Adatfeldolgozási szerződés
Az ÁSZF 1. melléklete, a GDPR 28. cikk (3) bekezdése szerinti tartalommal. Verzió: 2026-12-10 (az ÁSZF-fel együtt hatályos, 12. pont)
Felek: az Előfizető mint adatkezelő (a továbbiakban: Adatkezelő), és a Szolgáltató mint adatfeldolgozó (a továbbiakban: Adatfeldolgozó).
1. Tárgy és időtartam
Az Adatfeldolgozó a Garagevo Szolgáltatás nyújtása érdekében kezeli az Adatkezelő ügyfeleinek és munkatársainak adatait, az előfizetés idejére és az ÁSZF 10.4. pontja szerinti törlésig.
2. Az adatkezelés jellege és célja
Tárolás, rendszerezés, lekérdezés, megjelenítés, továbbítás az Adatkezelő utasítására (például árajánlat küldése az ügyfélnek, számla készítése a bekapcsolt számlázóban), mentés és törlés. Cél: a műhely munkalapjainak, árajánlatainak, ügyfél- és járműnyilvántartásának vezetése.
A munkalaphoz tartozó fotókat és aláírásokat a program nem korlátlan ideig őrzi: a megőrzés a munkalap tényleges jótállási idejéhez és a munkalaphoz kapcsolódó jogi igények érvényesítésére nyitva álló időhöz igazodik, az Adatkezelő beállításai szerint. Jogvita esetén az Adatkezelő egy munkalap fotóit és aláírásait megőrzési zárolással a törlésből kiveheti, a zárolás feloldásáig. Ezek az Adatkezelő utasításai a megőrzési időre.
3. Érintettek és adatkörök
Az adatkezeléssel érintett személyek köre kiterjed az Előfizető ügyfeleire, azok képviselőire, kapcsolattartóira, a szervizelt járművek tulajdonosaira, üzembentartóira és tényleges használóira, ideértve a céges járművek vezetőit is.
| Érintettek | Adatok |
|---|---|
| A műhely ügyfelei (magánszemélyek, cégek kapcsolattartói) | név, cím, telefonszám, e-mail, adószám (cégnél), számlázási adatok |
| A járművek tényleges használói, a céges járművek vezetői (sofőrök) | név, telefonszám, e-mail cím, ha a szerviz rögzíti |
| Járművek (az üzemben tartóhoz köthetők) | rendszám, alvázszám, gyártmány, típus, km állás, javítási előzmények, fotók |
| Munkalapok, árajánlatok | hibaleírás, tételek, árak, aláírás, jóváhagyás ideje és módja |
| A műhely munkatársai | név, e-mail, szerepkör, belépési napló |
Különleges adatot (egészségügyi, bűnügyi stb.) a program nem kér, ilyet az Adatkezelő nem rögzíthet.
4. Az Adatfeldolgozó kötelezettségei
4.1. Az adatokat kizárólag az Adatkezelő dokumentált utasításai szerint kezeli. Utasításnak minősül az ÁSZF, ez a szerződés, és az Adatkezelő programbeli műveletei. Ha egy utasítás jogszabályba ütközik, erről haladéktalanul tájékoztatja az Adatkezelőt.
4.2. Az adatokhoz hozzáférő munkatársait titoktartásra kötelezi.
4.3. Megteszi a GDPR 32. cikke szerinti intézkedéseket (5. pont).
4.4. Al-adatfeldolgozót csak a 2. mellékletben felsoroltak közül vesz igénybe, az ott megjelölt célra. Új al-adatfeldolgozó igénybevételéről, valamint egy meglévő al-adatfeldolgozó új célra történő igénybevételéről legalább 8 nappal a tényleges igénybevétel megkezdése előtt e-mailben értesíti az Adatkezelőt (a tulajdonosokat), és a 2. mellékletet ezzel együtt frissíti; az értesítési idő nem az ÁSZF elfogadásához, hanem a tényleges megkezdéshez igazodik. Az Adatkezelő az értesítési időn belül kifogást emelhet; ha a felek nem jutnak egyezségre, az Adatkezelő díjmentesen felmondhat. Az al-adatfeldolgozókat ugyanilyen kötelezettségek terhelik.
4.5. Segíti az Adatkezelőt az érintetti kérelmek teljesítésében (hozzáférés, helyesbítés, törlés, adathordozhatóság). Ezt elsősorban a programban elérhető kereséssel, szerkesztéssel, törléssel és exportálással teszi lehetővé. Ha érintett közvetlenül hozzá fordul, a kérést továbbítja az Adatkezelőnek.
4.6. Adatvédelmi incidensről az Adatkezelőt a tudomásra jutás után indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti. Megadja az incidens jellegét, az érintett adatköröket, a valószínű következményeket és a megtett intézkedéseket.
4.7. Segíti az Adatkezelőt az adatvédelmi hatásvizsgálatban és a hatósági egyeztetésben, a rendelkezésére álló információkkal.
4.8. A szerződés megszűnésekor az adatokat az ÁSZF 10.3. pontja szerint az Adatkezelő rendelkezésére bocsátja, majd a 10.4. pont szerint törli.
4.9. Az Adatkezelő kérésére rendelkezésre bocsátja a megfelelés igazolásához szükséges információkat. Évente egyszer, előzetes egyeztetés után ellenőrzést (auditot) is lehetővé tesz, elsősorban írásos kérdőív formájában.
5. Biztonsági intézkedések
- Az adatok tárolása az EU-ban történik (Frankfurt), titkosítva, a hálózati forgalom is titkosított (HTTPS/TLS).
- A műhelyek adatait sorszintű hozzáférés-szabályozás (RLS) választja el. Ezt minden változáskor automatikus tesztek ellenőrzik.
- Szerepkörök és jogosultságok a műhelyen belül.
- Napi mentés, 7 napos megőrzéssel. A mentés a Szolgáltató gépén titkosítva készül (AES256), és titkosítva tárolja a GitHub; a kulcs csak a Szolgáltatónál van.
- Az ügyfélnek küldött árajánlat és átvételi oldal linkje egyedi, kitalálhatatlan, lejár, és csak az adott dokumentumot mutatja.
- A hibajelzésekből a GitHubra csak automatikusan kitakart másolat kerül (6. pont).
- Adminisztrátori hozzáférés csak támogatáshoz, az Adatkezelő kérésére.
- Rendszeres frissítés, csak megbízható licencű összetevők.
6. Adattovábbítás az EU-n kívülre
6.1. Az Adatfeldolgozó személyes adatot az EU-n kívülre (az USA-ba) csak az alábbi címzetteknek, a 2. mellékletben jelölt célra továbbít. A megfelelő garanciát címzettenként határozza meg: ha a címzett az adott továbbításra érvényes EU–USA adatvédelmi keretrendszer (DPF) tanúsítással rendelkezik, az a garancia; ha nem, az Európai Bizottság általános szerződési feltételei (SCC), továbbítási hatásvizsgálattal (TIA) és kiegészítő intézkedésekkel. A DPF tanúsítást az Adatfeldolgozó a hivatalos listán (dataprivacyframework.gov) az igénybevétel előtt és utána évente ellenőrzi, az ellenőrzés napját rögzíti, és ha a tanúsítás megszűnik, SCC alapján folytatja vagy a továbbítást megszünteti.
| Címzett | Mit kap | Garancia | Kiegészítő intézkedések |
|---|---|---|---|
| Supabase Inc. (USA anyavállalat) | az adatok az EU-ban (Frankfurt) vannak; az USA-ból csak üzemeltetési és támogatási hozzáférés lehetséges | SCC a Supabase adatfeldolgozási szerződésében, a Supabase továbbítási hatásvizsgálata alapján (a Supabase saját közlése szerint DPF tanúsítása nincs) | tárolás az EU-ban, titkosítás tároláskor és átvitelkor, hozzáférés-szabályozás és naplózás |
| GitHub, Inc. (Microsoft) | (1) a titkosított napi mentés; (2) a hibajelzések kitakart másolata | DPF (a GitHub közlése szerint részt vesz benne), a tanúsítás hiányában SCC a GitHub adatfeldolgozási szerződésében | (1) a mentést az Adatfeldolgozó a saját gépén titkosítja (AES256), a kulcs csak nála van, a GitHub nem tudja kinyitni; (2) a GitHubra csak automatikusan kitakart szöveg kerül (telefonszám, e-mail cím, rendszám, alvázszám és nevek helyett „[kitakarva]”), csak a hiba reprodukálásához szükséges technikai adatokkal; a teljes szöveg és a képernyőkép az EU-ban (Supabase) marad, a jelzés csak egy 30 napig érvényes linket tartalmaz; a lezárt jelzések adatai az adatkezelési tájékoztató szerinti idő után törlődnek, illetve anonimizálódnak; titkosított átvitel (TLS) |
| Anthropic PBC (MI szolgáltató) | az adott MI kérés szövege vagy fotója, csak ha az Adatkezelő az MI funkciót bekapcsolja | SCC az Anthropic adatfeldolgozási feltételeiben (az Anthropic saját közlése szerint DPF tanúsítása nincs), továbbítási hatásvizsgálattal | csak az adott kéréshez szükséges adat; MI adatimportnál csak az oszlopnevek és mesterséges mintaadat, ügyféladat nem; tanításra nem használják; titkosított átvitel (TLS) |
| Cloudflare, Inc. | csak átmenő forgalom és IP cím, adatot nem tárol | DPF (a Cloudflare közlése szerint részt vesz benne), a tanúsítás hiányában SCC a Cloudflare adatfeldolgozási szerződésében | titkosított átvitel (TLS), adat nem marad a hálózatban |
| Microsoft Corporation (Windows Gyors segéd, távoli segítség, 2026. december 7-től) | a Szolgáltató munkatársa és a szerviz gépe közötti képernyőkép és vezérlés, csak a szerviz által indított és bármikor bontható segítség alatt; a Microsoft a kapcsolat állapotadatait (kezdet, vég, hibák) legfeljebb 3 napig tárolja | DPF (a Microsoft közlése szerint részt vesz benne), a tanúsítás hiányában SCC a Microsoft adatvédelmi feltételeiben | a kapcsolatot mindig a szerviz indítja egy egyszer használatos kóddal, és bármikor bontja; titkosított átvitel (TLS); a képernyő tartalmát a Microsoft nem tárolja és nem látja; a Szolgáltató csak a kért segítséghez szükséges ablakokat nézi, és a kapcsolatot naplózza |
| Stripe (a kártyás fizetés bevezetésekor, jelenleg nem aktív) | fizetési adatok; szerződő fél a Stripe Payments Europe, Limited (Írország), amely az adatokat a Stripe, LLC részére az USA-ba továbbíthatja | DPF (a Stripe közlése szerint a Stripe, LLC részt vesz benne), a tanúsítás hiányában SCC a Stripe adatvédelmi feltételeiben | a kártyaadatot a Szolgáltató nem látja és nem tárolja, csak a Stripe hivatkozását; titkosított átvitel (TLS) |
6.2. A címzettek közlését az Adatfeldolgozó 2026. november 5-én, a Microsoftét 2026. november 7-én ellenőrizte. Az Adatkezelő kérésére az Adatfeldolgozó a DPF ellenőrzés eredményét, a továbbítási hatásvizsgálatot és a vonatkozó szerződéseket rendelkezésre bocsátja.
7. Felelősség
A felek felelősségére a GDPR 82. cikke és az ÁSZF 9. pontja irányadó.