Adatfeldolgozási Megállapodás

Utolsó frissítés: 2025.06.19.

Jelen Adatfeldolgozási Megállapodás (a továbbiakban: Megállapodás vagy DPA) az irat.ai szolgáltatásra vonatkozó Általános Szerződési Feltételek (a továbbiakban: ÁSZF) elválaszthatatlan részét képezi. A Megállapodás az Európai Parlament és a Tanács (EU) 2016/679 Rendeletének (a továbbiakban: GDPR) 28. cikke alapján jött létre az alábbi Felek között:

a Felhasználó (a továbbiakban mint Adatkezelő), és

az Entel Kft. (székhely: 1025 Budapest, Szépvölgyi út 32. 1. em 1., cégjegyzékszám: 01 09 065978, a továbbiakban mint Adatfeldolgozó vagy Szolgáltató).

Az Adatkezelő és az Adatfeldolgozó a továbbiakban együttesen: Felek.

A Felhasználó a Szolgáltatás igénybevételével elfogadja a jelen Adatfeldolgozási Megállapodás rendelkezéseit.

1. Fogalommeghatározások

A jelen Megállapodásban használt, eltérő rendelkezés hiányában nagybetűvel írt kifejezések az alábbi jelentéssel bírnak:

“Alkalmazandó Adatvédelmi Jogszabályok”: minden hatályos adatvédelmi vagy adatvédelmi jogszabály vagy rendelet, beleértve, de nem kizárólagosan az európai adatvédelmi törvényeket.
“Adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. A jelen DPA kontextusában a Felhasználó minősül Adatkezelőnek.
“Felhasználói Személyes Adat”: minden olyan Személyes Adat, amelyet az Adatfeldolgozó az Adatkezelő nevében a Megállapodás alapján kezel.
“Érintett”: azonosított vagy azonosítható természetes személy.
“Érintetti Jogok”: minden, az Érintetteket az Alkalmazandó Adatvédelmi Jogszabályok alapján megillető jog, beleértve a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, korlátozáshoz, hordozhatósághoz, tiltakozáshoz való jogot.
“GDPR”: Az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet).
“Adatvédelmi Incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
“Személyes Adat”: azonosított vagy azonosítható természetes személyre (“érintett”) vonatkozó bármely információ.
“Kezelés” vagy “Adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.
“Al-adatfeldolgozó”: bármely, az Adatfeldolgozó által megbízott személy vagy szervezet, aki a Felhasználói Személyes Adatokat az Adatkezelő nevében kezeli.
“SCC” (Standard Contractual Clauses vagy Általános Szerződéses Feltételek): az Európai Bizottság 2021/914 végrehajtási határozatának mellékletét képező általános szerződéses feltételek a személyes adatoknak harmadik országokba történő továbbítására vonatkozóan.

2. A Megállapodás tárgya és az adatkezelés részletei

2.1. A Megállapodás tárgya

E Megállapodás tárgya azon személyes adatok Adatfeldolgozó általi kezelésére vonatkozó feltételek meghatározása, amelyeket az Adatkezelő a Szolgáltatásba feltölt és annak keretében kezel. Az Adatfeldolgozó ezen adatokat kizárólag az Adatkezelő nevében, és az ÁSZF-ben, valamint a jelen Megállapodásban rögzített utasításai szerint kezeli.

2.2. Az adatfeldolgozás részletei

Az adatkezelés tárgya: Az irat.ai átiratkészítő, dokumentumfeldolgozó és asszisztens szolgáltatás nyújtása az ÁSZF szerint.

Az adatkezelés időtartama: Az adatkezelés a Felek közötti Szerződés időtartama alatt történik. A Felhasználói személyes adatok az Adatkezelő általi törlésig, de legfeljebb a Szolgáltató Adatkezelési Tájékoztatójában rögzített 90 napos alapértelmezett megőrzési ideig kerülnek megőrzésre. A szerződéses jogviszony megszűnésekor az adatok további sorsáról a jelen Megállapodás 3.8 pontja rendelkezik.

Az adatkezelés jellege és célja: Az Adatkezelő által feltöltött hang- és szöveges állományok automatizált feldolgozása, beleértve az átírást, fordítást, összefoglalást és egyéb, a Szolgáltatás funkciói által lehetővé tett szöveggenerálási és -elemzési műveleteket az Adatkezelő törvényes feladatainak (pl. jegyzőkönyvezés) támogatása céljából. A Felhasználó által létrehozott alfelhasználói fiókok adminisztrációja, azonosítása és a Szolgáltatáshoz való hozzáférés biztosítása.

A személyes adatok típusa: A kezelt adatok köre az Adatkezelő által feltöltött tartalmaktól függ, és különösen az alábbiakra terjedhet ki: azonosító adatok (pl. név, beosztás), elérhetőségi adatok (pl. telefonszám, e-mail cím, alfelhasználói fiók név), különleges adatok (pl. hangfelvételben elhangzó politikai véleményre vonatkozó adat), hang (hangfelvételen), és bármely egyéb személyes adat, amely a feltöltött tartalmakban szerepel.

Az érintettek kategóriái: Önkormányzati képviselők, polgármester, hivatali munkatársak, nyilvános üléseken felszólaló állampolgárok, szakértők, és bármely természetes személy, akinek személyes adata a feltöltött tartalomban megjelenik. A Felhasználó munkavállalói vagy megbízottjai, akik számára a Felhasználó alfelhasználói hozzáférést hoz létre a Szolgáltatáshoz (a továbbiakban: Alfelhasználók);

3. Az Adatfeldolgozó jogai és kötelezettségei

3.1. Adatkezelési utasítások

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. A Szolgáltatás rendeltetésszerű használata dokumentált utasításnak minősül.

3.2. Titoktartás

Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaljanak, vagy jogszabályon alapuló titoktartási kötelezettség alatt álljanak.

3.3. Az adatkezelés biztonsága

Az Adatfeldolgozó a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket hajt végre a kockázat mértékének megfelelő szintű adatbiztonság garantálása érdekében. Ezen intézkedések a következők:

Fizikai hozzáférés-szabályozás: Intézkedések az illetéktelenek adatközponti létesítményekbe való bejutásának megakadályozására.
Virtuális hozzáférés-szabályozás: Felhasználói azonosítási és hitelesítési eljárások, jelszóbiztonság, automatikus zárolás.
Adathozzáférés-szabályozás: Annak biztosítása, hogy a jogosult személyek csak a jogosultságuknak megfelelő adatokhoz férjenek hozzá (pl. szerepkör-alapú hozzáférés, titkosítás).
Adattovábbítás-szabályozás: Intézkedések az adatok védelmére elektronikus továbbítás vagy szállítás során (pl. titkosítás, naplózás).
Bevitel-ellenőrzés: Annak nyomon követése, hogy a személyes adatokat ki és mikor vitte be, módosította vagy törölte a rendszerekből (naplózás).
Rendelkezésre állás szabályozása: Az adatok véletlen megsemmisülés vagy elvesztés elleni védelme (pl. biztonsági mentések, vírus- és tűzfalvédelem, vészhelyreállítási terv).
Elválasztás elve: Annak biztosítása, hogy a különböző célokból gyűjtött adatok elkülönítetten legyenek kezelve (pl. adatbázisok logikai szétválasztása, éles és tesztkörnyezetek szegregációja).

3.4. Kiberbiztonsági megfelelés (NIS2)

Az Adatfeldolgozó kijelenti, hogy a 3.3 pontban említett biztonsági intézkedéseket úgy működteti, hogy az támogassa az Adatkezelő beszállítói láncra vonatkozó kiberbiztonsági kötelezettségeinek teljesítését.

3.5. További adatfeldolgozók igénybevétele

a) Az Adatkezelő a jelen Megállapodás elfogadásával általános felhatalmazást ad az Adatfeldolgozónak Al-adatfeldolgozók igénybevételére. Az Adatfeldolgozó az általa igénybe vett Al-adatfeldolgozók naprakész listáját igény esetén rendelkezésre bocsátja.
b) Az Adatfeldolgozó vállalja, hogy az Al-adatfeldolgozók körének tervezett módosításáról (új al-adatfeldolgozó bevonása vagy csere) előzetesen, ésszerű időn belül tájékoztatja az Adatkezelőt. Az Adatkezelő a tájékoztatást követő 30 napon belül írásban, indoklással ellátva kifogást emelhet a változtatással szemben.
c) Amennyiben az Adatkezelő kifogást emel, a Felek jóhiszeműen együttműködnek a kifogás feloldása érdekében. Ha az Adatfeldolgozó a kifogás ellenére az új Al-adatfeldolgozó igénybevétele mellett dönt, erről tájékoztatja az Adatkezelőt, mely esetben Adatkezelő jogosult a Szerződést jogkövetkezmények nélkül azonnali hatállyal felmondani.
d) Az Adatfeldolgozó biztosítja, hogy az általa igénybe vett Al-adatfeldolgozókkal kötött szerződés a jelen Megállapodásban foglaltakkal legalább azonos szintű adatvédelmi kötelezettségeket rójon az Al-adatfeldolgozóra.

3.6. Adatvédelmi Incidens kezelése

Az Adatfeldolgozó indokolatlan késedelem nélkül értesíti az Adatkezelőt, amint tudomást szerez a Felhasználói Személyes Adatokat érintő Adatvédelmi Incidensről, és minden ésszerűen elvárható segítséget megad az incidens kivizsgálásához és orvoslásához.

3.7. Az érintetti jogok gyakorlásának és az Adatkezelő egyéb kötelezettségeinek támogatása

Az Adatfeldolgozó, figyelembe véve az adatkezelés jellegét, megfelelő technikai és szervezési intézkedésekkel, lehetőségeihez mérten segíti az Adatkezelőt az Érintetti Jogok érvényesítésében, valamint a GDPR 32–36. cikk szerinti kötelezettségek (adatbiztonság, incidensbejelentés, hatásvizsgálat) teljesítésében.

3.8. Adatok törlése vagy visszajuttatása

A szerződéses jogviszony megszűnésekor az Adatfeldolgozó az Adatkezelő (Felhasználó) döntése szerint minden Felhasználói személyes adatot töröl vagy visszajuttat. Az adatok visszajuttatását az Adatfeldolgozó elsődlegesen az ÁSZF 3.6. pontjában részletezett önkiszolgáló funkcióval biztosítja, amely lehetővé teszi az Adatkezelő számára, hogy adatait letöltse. Az Adatkezelő felelőssége, hogy a szerződés megszűnése előtt igénye esetén ezen jogával éljen. Amennyiben az Adatkezelő a szerződés megszűnéséig nem él az adatok letöltésének lehetőségével és másképp nem rendelkezik, az Adatfeldolgozó az adatokat – a jogszabályi kötelező adatmegőrzési idők kivételével – véglegesen törli.

3.9. Ellenőrzés és audit

a) Az Adatfeldolgozó az Adatkezelő kérésére rendelkezésre bocsát minden olyan információt és dokumentációt (pl. harmadik fél által kiállított tanúsítványok, auditjelentések összefoglalói), amely a jelen Megállapodásban foglalt kötelezettségek teljesítésének igazolásához szükséges.
b) Amennyiben a rendelkezésre bocsátott információk nem elegendőek az Adatkezelő számára a megfelelőség igazolásához, az Adatkezelő jogosult – évente legfeljebb egy alkalommal – saját maga vagy megbízottja útján auditot végezni. Az Adatkezelő köteles az auditot legalább 30 nappal előre bejelenteni. Az auditot úgy kell lefolytatni, hogy az ne zavarja aránytalanul az Adatfeldolgozó rendes üzletmenetét.
c) Az audit költségei az Adatkezelőt terhelik, kivéve, ha az audit az Adatfeldolgozó részéről a jelen Megállapodás súlyos megszegését tárja fel.

3.10. Felelősség és kártalanítás

A Felek rögzítik, hogy a GDPR 82. cikke szerinti, az érintettekkel szembeni esetleges közös és egyetemes felelősségüket a jelen megállapodás nem korlátozza. A jelen pont a Felek egymás közötti felelősségmegosztását szabályozza. Az Adatfeldolgozó vállalja, hogy kártalanítja az Adatkezelőt minden olyan, harmadik fél (beleértve a felügyeleti hatóságot és az érintetteket) által érvényesített kár, bírság, költség és követelés tekintetében, amely bizonyíthatóan abból ered, hogy az Adatfeldolgozó megszegte a jelen Adatfeldolgozási Megállapodásban vagy a GDPR-ban meghatározott, kifejezetten az adatfeldolgozókra vonatkozó kötelezettségeit. Az Adatkezelő vállalja, hogy kártalanítja az Adatfeldolgozót minden olyan kár, bírság, költség és követelés tekintetében, amely bizonyíthatóan az Adatkezelő jogellenes utasításaiból, vagy abból ered, hogy az Adatkezelő a GDPR szerinti adatkezelői kötelezettségeit súlyosan megszegte. Adatfeldolgozó jelen pont szerinti kártalanítási kötelezettségének felső határa – a szándékos vagy súlyosan gondatlan károkozás esetét kivéve – a káresemény bekövetkezését megelőző 12 hónap során az Adatkezelő által a Szolgáltató részére kifizetett nettó szolgáltatási díjak összege.

4. Nemzetközi adattovábbítások

4.1. Felhatalmazás

Az Adatkezelő felhatalmazza az Adatfeldolgozót, hogy a Felhasználói Személyes Adatokat az Európai Gazdasági Térségen (EGT) kívülre is továbbítsa, feltéve, hogy az Adatfeldolgozó megfelelő adatvédelmi garanciákat alkalmaz.

4.2. Garanciák

Ilyen garanciának minősül az Európai Bizottság megfelelőségi határozata, vagy annak hiányában a Felek között létrejött, az Európai Bizottság által elfogadott Általános Szerződéses Feltételek (SCC) alkalmazása. A jelen DPA elfogadásával a Felek az SCC 2. modulját (adatkezelőtől adatfeldolgozónak) tekintik magukra nézve kötelezőnek minden olyan adattovábbítás esetén, amely más megfelelő garancia hatálya alá nem esik.

5. Különös rendelkezések

5.1. Nemzeti Adatvagyonról szóló törvény

A Felek rögzítik, hogy a jelen Megállapodás szerinti tevékenység a GDPR 28. cikke szerinti adatfeldolgozásnak minősül, és nem a nemzeti adatvagyon hasznosításának rendszeréről szóló törvény szerinti adathasznosítás.

5.2. Átláthatósági kötelezettségek az AI Rendelet szerint

A Felek tudomásul veszik, hogy a Szolgáltatás az Európai Parlament és a Tanács (EU) 2024/1689 rendelete a mesterséges intelligenciáról (AI Act) 50. cikke szerinti átláthatósági kötelezettségek hatálya alá esik. E kötelezettség teljesítése érdekében az Adatfeldolgozó (Szolgáltató) vállalja, hogy: i. A Szolgáltatás felhasználói felületén egyértelműen és állandó jelleggel jelzi, amikor a Felhasználó MI-rendszerrel lép interakcióba, vagy MI által generált tartalmat (pl. átirat, összefoglaló vázlat) lát. ii. Minden, a rendszer által generált és exportált dokumentumot géppel olvasható, a C2PA iparági szabványnak megfelelő digitális metaadattal (vízjellel) lát el legkésőbb 2026. augusztus 2-től. Ez a metaadat azonosítja a tartalmat mint mesterségesen generáltat. Az Adatkezelő (Felhasználó) felelőssége, hogy a Szolgáltatás segítségével készített dokumentumokban biztosítsa a szükséges emberi felügyeletet, és amennyiben azokat közzéteszi vagy harmadik félnek továbbítja, a címzetteket a vonatkozó jogszabályok szerint tájékoztassa a technológia használatáról. Az Adatfeldolgozó javasolja, hogy az Adatkezelő az exportált dokumentumokban szerepeltesse az ember által is olvasható következő tájékoztatást: “A dokumentum vázlatát az irat.ai mesterséges intelligencia hozta létre. A végleges változat emberi felülvizsgálat és szerkesztés eredménye.”

6. Záró rendelkezések

A jelen Megállapodás az ÁSZF hatálya alatt érvényes. A Megállapodásban nem szabályozott kérdésekben a GDPR és a vonatkozó magyar jogszabályok irányadók.

A Megállapodás a Felek közötti jogviszony megszűnésével hatályát veszti, a titoktartási és adattörlési kötelezettségek kivételével, amelyek a jogviszony megszűnését követően is fennmaradnak.