# Adatkezelési megállapodás > Komashi adatfeldolgozási megállapodás (D2 modul) – a GDPR 28. cikk szerinti feltételek a szolgáltató mint adatkezelő és a Komashi mint adatfeldolgozó között. Canonical: https://komashi.com/docs/hu/legal/data-processing-agreement/ Language: hu :::note[Magyar fordítás] Ez az oldal gépi fordítás alapján készült magyar tájékoztató változat. A jogi dokumentum hivatalos nyelve az angol; eltérés esetén az [angol eredeti](https://komashi.com/docs/legal/data-processing-agreement/index.md) az irányadó. ::: :::note[Dokumentum állapota] **v1.0** verzió, hatályos **2026-08-31**. A Feltételek hivatalos nyelve az angol; bármilyen fordítást csak tájékoztató jelleggel biztosítunk. ::: **D(2) modul – Adatfeldolgozási megállapodás (DPA)** **Verzió:** v1.0 · **Hatálybalépés dátuma:** 2026-08-31 Ez az Adatkezelési Szerződés a **Szolgáltató** (a „**Adatkezelő**”) és a **BMSHI TECHNOLOGY SERVICES - FZCO** („**Komashi**”, „**Feldolgozó**”) között jön létre, és beépül a Szolgáltatói Szerződésbe (A modul). Ez szabályozza a Végfelhasználó személyes adatainak Komashi általi feldolgozását a Szolgáltató nevében, a GDPR 28. cikkével és az Egyesült Arab Emírségek PDPL-vel összhangban. Az itt nem definiált nagybetűs kifejezések jelentése a 0. modulban vagy a GDPR-ben van. --- ## 1. Szerepek; Hatály > **Röviden:** Ügyfelei adatainál a Platformon Ön (a Szolgáltató) az adatkezelő, a Komashi pedig az Ön feldolgozója, aki csak az Ön utasításai szerint jár el. *Ez az összefoglaló csak kényelmi célokat szolgál, jogilag nem kötelező érvényű.* 1.1. Az Adatkezelő határozza meg a Szolgáltató szolgáltatásaival kapcsolatban a Platformra bevitt vagy ott generált Végfelhasználói személyes adatok ("**Adatkezelő adatai**") céljait és kezelési módjait. A Komashi az Adatkezelő adatait kizárólag az Adatkezelő nevében feldolgozóként dolgozza fel. 1.2. Az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusait és az érintettek kategóriáit a **1. melléklet** tartalmazza. 1.3. Ez az adatvédelmi nyilatkozat nem vonatkozik a Komashi adatkezelőként feldolgozott személyes adataira (lásd az Adatvédelmi szabályzat 2.1. pontját), sem a fizetési adatokra. **A Komashi nem része a pénzáramlásnak**: a Szolgáltatói szolgáltatásokért fizetett kifizetések közvetlenül a Végfelhasználóktól, a Fizetési Szolgáltatón keresztül az Adatkezelőhöz érkeznek; A Komashi nem nyilvántartott kereskedő, nem fizetési szolgáltató, és soha nem tart fenn, nem fogad, ellenőriz vagy továbbít végfelhasználói pénzeszközöket, kártyaszámokat vagy fizetési hitelesítő adatokat. A fizetés feldolgozását és az ahhoz kapcsolódó személyes adatokat a Fizetési Szolgáltató saját megfelelőségi rendszere szerint végzi. ## 2. Az adatkezelő kötelezettségei 2.1. Az Adatkezelő szavatolja, hogy: (a) az általa utasított adatkezelésre érvényes jogalappal rendelkezik; b) az érintettek rendelkezésére bocsátott minden jogszabályban előírt információt; c) utasításai megfelelnek a vonatkozó adatvédelmi jogszabályoknak; és (d) a Komashi előzetes írásbeli hozzájárulása nélkül nem ad utasítást a személyes adatok különleges kategóriáinak kezelésére. 2.2. Az Adatkezelő utasításai mindenekelőtt a Szolgáltatói Szerződés, a jelen adatvédelmi nyilatkozat, valamint az Adatkezelő konfigurációja és a Platform funkcióinak használata. A további utasításokhoz írásos megállapodás szükséges, és a Komashi ésszerű, költségalapú díjat számíthat fel olyan munkákért, amelyek túlmutatnak a platform szabványos funkcionalitásán, és erről előzetesen értesítik az Adatkezelőt. **Nem számítanak fel díjat a Komashi-nek a GDPR 28. cikk (3) bekezdése** értelmében végzett tevékenységéért, beleértve a 3.5. és 3.6. szakaszban szereplő segítségnyújtást. ## 3. A processzor kötelezettségei (GDPR 28. cikk (3) bekezdés) > **Röviden:** A Komashi csak az Ön utasítására dolgozza fel ügyfelei adatait, bizalmasan és biztonságban tartja azokat, segít a saját jogi kötelezettségeinek teljesítésében, és azonnal értesíti, ha valami baj van. *Nem kötelező érvényű összefoglaló.* A Komashi: 3.1. **Utasítások.** Az Adatkezelő csak az Adatkezelő dokumentált utasításai alapján dolgozza fel az adatokat (2.2. pont), ideértve a nemzetközi továbbításokat is, kivéve, ha a vonatkozó törvény másként köteles megtenni – ebben az esetben a Komashi a feldolgozás előtt tájékoztatja az Adatkezelőt erről a jogszabályi követelményről, kivéve, ha a jogszabály az ilyen tájékoztatást fontos közérdekű okok miatt tiltja. A Komashi haladéktalanul tájékoztatja az Adatkezelőt, ha véleménye szerint az utasítás sérti a vonatkozó adatvédelmi jogszabályokat. 3.2. **Titkosság.** Gondoskodjon arról, hogy az Adatkezelő adatainak feldolgozására jogosult személyeket szerződéses vagy jogszabályi titoktartási kötelezettség terheli. 3.3. **Biztonság.** A **2. mellékletben** meghatározott technikai és szervezési intézkedések végrehajtása és fenntartása, figyelembe véve a technika állását, a végrehajtás költségeit, valamint az adatkezelés jellegét, terjedelmét, összefüggéseit és céljait, valamint az érintetteket érintő kockázatokat (Art. 32 GDPR; PDPL biztonsági követelmények). A Komashi frissítheti a 2. mellékletet, feltéve, hogy a védelmi szint lényegesen nem csökken. 3.4. **Alfeldolgozók.** Ne vegyen igénybe alfeldolgozót a 4. szakasz szerinti engedély nélkül. 3.5. **Az érintettek jogai.** Figyelembe véve az adatkezelés jellegét, megfelelő technikai és szervezési intézkedésekkel lehetőség szerint segítse az Adatkezelőt az érintett kérelmeire (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) való válaszadási kötelezettségének teljesítésében. Ha az érintett az Adatkezelő adataival kapcsolatban közvetlenül megkeresi a Komashi-t, a Komashi az érintettet az Adatkezelőhöz irányítja (a Komashi maga nem továbbítja a kérelmet), és érdemben nem válaszol, kivéve az Adatkezelő utasítására, vagy ha azt jogszabály megköveteli. 3.6. **Segítségnyújtás.** Segítségnyújtás az Adatkezelőnek a GDPR 32–36. cikkében foglalt kötelezettségeinek (biztonság, jogsértés bejelentése, adatvédelmi hatásvizsgálatok, előzetes konzultáció) és ezzel egyenértékű PDPL kötelezettségeinek betartásában, figyelembe véve az adatkezelés jellegét és a Komashi rendelkezésére álló információkat. **Ezt a segítséget további díjak nélkül biztosítjuk**; A 2.2. szakasz csak azokra a munkákra vonatkozik, amelyek túlmutatnak a 28. cikk (3) bekezdésében előírtakon. 3.7. **Információ az adatvédelmi incidensről.** Értesítse az Adatkezelőt **indokolatlan késedelem nélkül**, miután tudomást szerzett az Adatkezelő adatait érintő személyes adatok megsértéséről. A Komashi szakaszonként adhat tájékoztatást, amint azok elérhetővé válnak, ideértve a jogsértés természetét, az érintettek és az érintett nyilvántartások kategóriáit és hozzávetőleges számát, a valószínű következményeket, a megtett vagy javasolt intézkedéseket, valamint a kapcsolattartási pontot. A Komashi értesítése nem jelenti a hiba vagy a felelősség elismerését. A hatóságok és az érintettek értesítése az Adatkezelő, mint adatkezelő feladata. 3.8. **Törlés vagy visszaküldés.** Az Adatkezelő választása szerint törölje vagy küldje vissza az Adatkezelő összes adatát a Szolgáltatások nyújtásának befejezése után, és törölje a meglévő másolatokat, kivéve, ha a vonatkozó jogszabályok tárolást írnak elő. Választás hiányában az Adatkezelői adatok puha törlésre, majd végleges törlésre kerülnek **az adatvédelmi szabályzat (D(1) modul) 9.2. szakaszában szereplő megőrzési időszakoknak megfelelően**. A törlés **ütemezett és automatikus**; a biztonsági mentésekből való törlés az ott megadott mentési forgatási ciklusban történik (Adatvédelmi szabályzat 9.2(c) szakasz), amelyen nem keresnek vagy szerkesztenek rekordonként.     (a) **A törvényes kötelezettség alapján őrzött nyilvántartások.** **Az Adatvédelmi szabályzat 9.2a szakasza kivételt képez e 3.8 szakasz alól, és érvényesül a törlés vagy visszaküldés esetén.** Különösen az Adatkezelő által a Platformon keresztül kiállított számlák az Adatkezelő saját számviteli nyilvántartásai, és azokat a szabályzat hatálya alá tartozó adatkezelési időszakig megőrzik (az adatkezelési szabályzat hatálya alá tartozik). 9.2a(b)); A Komashi korlátozott állapotban tartja őket, más célra nem használja, és az időszak végén törli őket. Az adatkezelő írásban utasíthatja a Komashit, hogy a nemzeti joga által megkövetelt hosszabb időtartamot alkalmazzon, és bármikor másolatot vagy exportot kérhet ezekről a feljegyzésekről. 3.9. **Ellenőrzések.** Az adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikkének való megfelelés bizonyításához szükséges, és lehetővé teszi az adatkezelő vagy megbízott könyvvizsgálója által végzett auditokat, beleértve az ellenőrzéseket is, és hozzájárul azokhoz.     (a) **Hogyan teljesül egy audit kérés.** A Komashi **jelenleg nem rendelkezik SOC 2 jelentéssel vagy ISO/IEC 27001 tanúsítvánnyal.** A Komashi először úgy teljesíthet egy audit kérelmet, hogy a kérelem hatókörét és sürgősségét figyelembe véve ésszerű időn belül megadja a 2 melléklet aktuális változatát, a szervezeti aláírással és a szervezeti nyilatkozattal együtt. egy meghatalmazott képviselő, aki megerősíti, hogy ezek az intézkedések hatályban vannak; az aktuális alfeldolgozók listája (3 melléklet); a tárhely- és infrastruktúra-megállapodások leírása, beleértve a Komashi saját tárhely- és infrastruktúra-szolgáltatói által birtokolt tanúsítványokat; a legutóbbi behatolási teszt vagy biztonsági értékelés eredményei, ha ilyent végeztek; és írásos válaszokat az Adatkezelő ésszerű, konkrét biztonsági kérdéseire. **Amennyiben ezek az információk ésszerűen nem teszik lehetővé az adatkezelő számára a megfelelőség ellenőrzését, az adatkezelő megkezdheti a (b) bekezdés szerinti ellenőrzést, és a Komashi nem utasítja el azt azon az alapon, hogy az (a) bekezdést betartották.** (b) **Ellenőrzések.** A helyszíni vagy távellenőrzés 30 napos előzetes értesítést igényel, évente legfeljebb egy alkalommal (személyes adatok megsértése vagy illetékes felügyeleti hatóság előírása nélkül) történik, nem zavarhatja indokolatlanul a működést, titoktartási kötelezettség alá esik, és az Adatkezelő költségére történik. (c) **Ha a Komashi később tanúsítványt szerez.** Ha a Komashi megszerez egy SOC 2 jelentést, ISO/IEC 27001 tanúsítványt vagy ezzel egyenértékű független audit jelentést, akkor a jelentést vagy tanúsítványt kérésre az Adatkezelő rendelkezésére bocsátja, bizalmasan kezelve, és az (a) bekezdés alapján ezen keresztül teljesítheti az ellenőrzési kérelmeket. Az ilyen tanúsítvány megszerzése **nem** vonja el az Adatkezelőt a (b) bekezdés szerinti ellenőrzéshez való jogától. ## 4. Alprocesszorok > **Röviden:** Ön általános jóváhagyást ad a 3. mellékletben felsorolt alfeldolgozókhoz és szolgáltatói csoportokhoz. Külön értesítés nélkül válthatunk a már felsorolt szolgáltatók között; tájékoztatjuk Önt egy nem jegyzett szolgáltató hozzáadása előtt, és Ön ésszerű adatvédelmi okokból tiltakozhat. *Nem kötelező érvényű összefoglaló.* 4.1. Az Adatkezelő **általános írásbeli felhatalmazást** ad a Komashi számára a **** (**3. melléklet**) címen megjelölt alfeldolgozók, szolgáltatói csoportok és downstream szolgáltatói csoportok bevonására. A listán szereplő szolgáltató csak akkor kapja meg az Adatkezelő adatait, ha a vonatkozó szolgáltatást, modellt, útvonalat vagy integrációt használják; A listázás nem jelenti azt, hogy minden szolgáltató aktív, vagy folyamatosan kap adatokat. 4.2. A 3. mellékletben már megjelölt al-feldolgozók vagy továbbfeldolgozók közötti kiválasztásra, útválasztásra vagy váltásra a 4.1. szakaszban foglalt engedély vonatkozik, és nem kiegészítés vagy csere, amely külön értesítést igényel. A 3. mellékletben még nem szereplő alfeldolgozó vagy szolgáltatói kategória bevonása előtt a Komashi a listaoldalon, e-mailben vagy a Platformon keresztül tájékoztatja az Adatkezelőt, és elegendő információt és ésszerű lehetőséget biztosít adatvédelmi okokból kifogásolására, mielőtt a megbízás hatályba lép. A Komashi jóhiszeműen megfontolja az időben benyújtott kifogást, és alternatív szolgáltató igénybevételével, az érintett feldolgozás korlátozásával, ésszerű kerülő megoldás felajánlásával vagy az érintett funkció vagy szolgáltatás leállításával orvosolhatja azt. Bármilyen felmondási vagy visszatérítési jog a Feltételekben máshol meghatározott vagy a vonatkozó jogszabályok által megköveteltre korlátozódik. 4.3. A Komashi minden egyes alfeldolgozóra írásos szerződésben a jelen adatvédelmi nyilatkozatban foglaltakkal lényegében egyenértékű adatvédelmi kötelezettségeket ró, és továbbra is teljes mértékben felelős az adatkezelő felé az alfeldolgozó teljesítményéért. ## 5. Nemzetközi átutalások > **Röviden:** Az adatkezelő alapadatait az EU/EGT területén tárolják és dolgozzák fel, az Egyesült Arab Emírségekből hozzáférés nélkül. Korlátozott adatok elérhetik az alkalmazásszintű szolgáltatókat más országokban, ahol egy funkció ezt megköveteli, a törvényes átviteli mechanizmus és a dokumentált átviteli értékelés függvényében. *Nem kötelező érvényű összefoglaló.* 5.1. A Komashi és alfeldolgozói a 3. mellékletben felsorolt ​​helyeken dolgozhatják fel az Adatkezelő adatait. A Komashi érvényes átviteli mechanizmus nélkül nem továbbíthatja az Adatkezelő adatait megfelelő védelemmel nem rendelkező országba. 5.2. **Ahol az adatkezelő adatait feldolgozzák.** A GDPR, Komashi hatálya alá tartozó Adatkezelők esetében: (a) ezeket az adatokat **az EU/EGT-n belül** tárolja és dolgozza fel, kivéve az 5.2a. szakaszban meghatározott továbbításokat; (b) megőrzi **az összes biztonsági másolatot az EU/EGT-n belül**; és (c) hozzáférést biztosít ezekhez az adatokhoz **az EU-n/EGT-n belül**, **az Egyesült Arab Emírségekből** semmilyen technikai hozzáférési eszköz nélkül. A Komashi egyesült arab emírségekbeli vállalatként történő regisztrációja önmagában nem jelenti az Adatkezelői adatok átadását, és az Adatkezelői adatok nem kerülnek továbbításra az Egyesült Arab Emírségekbe, illetve nem hozzáférhetők onnan. 5.2a. **Átutalás harmadik országokba; Általános szerződési feltételek.** Egyes, a **3. mellékletben** megjelölt alfeldolgozók az EU/EGT-n kívül telepedtek le, ezért az Adatkezelői adatok meghatározott kategóriáit a **V. fejezet GDPR** értelmében harmadik országba továbbítják. A 3. melléklet minden egyes alfeldolgozó esetében meghatározza az érintett adatkezelői adatok kategóriáit, a letelepedés országát és a hivatkozott átviteli mechanizmust.     (a) **Mechanizmus.** Minden ilyen átvitel az **EU Szerződéses Kikötések (EU) 2021/914 bizottsági végrehajtási határozat** alapján történik, amely hivatkozással beépült a jelen adatvédelmi nyilatkozatba, és a következőképpen van kiegészítve: **Kettes modul (adatkezelők között)** az adatkezelő és a Komashi között, valamint **a harmadik alfeldolgozó modul felé (feldolgozó)** A 7. szakasz (dokkolás) **alkalmazható**; a 11. szakasz szerinti választható független jogorvoslati mechanizmus **nem** alkalmazandó; 17. záradék (irányadó jog) = **Írország**; 18. záradék (fórum) = **Írország** bíróságai; **Az SCC I. és II. melléklete a jelen adatvédelmi nyilatkozat 1. és 2. mellékletéből egészül ki**; és a 3. melléklet a 9. szakasz a) pontjában szereplő általános felhatalmazási lehetőséghez elfogadott alfeldolgozók listája. Ha egy adott átadáshoz külön engedély vagy kitöltött SCC III. melléklet szükséges, a 3. melléklet megfelelő bejegyzései megadják az alfeldolgozói információkat erre a célra. Ha egy alfeldolgozó maga fogadta el ugyanazokat az Általános Szerződési Kikötéseket, vagy egy rá vonatkozó megfelelőségi határozat alapján tanúsították, a Komashi ehelyett támaszkodhat erre a mechanizmusra, és a 3. melléklet tartalmazza, hogy melyik vonatkozik rá. Ütközés esetén az SCC-k elsőbbséget élveznek a jelen adatvédelmi nyilatkozattal szemben. (b) **Átvitel hatásvizsgálata.** A Komashi **transzfer hatásvizsgálatot** végez és dokumentál a 3. mellékletben meghatározott átadásokra vonatkozóan, amely kiterjed a célország jogára, az érintett adatkategóriákra és az alkalmazott kiegészítő intézkedésekre. Az értékelést rendszeres időközönként felülvizsgálják, és amikor az átutalás, a rendeltetési hely, a szolgáltatói kategória vagy az alkalmazandó jogi keret lényeges változása szükségessé teszi a felülvizsgálatot. A vonatkozó információkat a 3.9 pont szerinti kérésre az Adatkezelő rendelkezésére bocsátják, a titoktartásra és a biztonsági szempontból érzékeny információk védelmére figyelemmel. (c) **Kiegészítő intézkedések.** A Komashi minden egyes átszállításnál a kiválasztott útvonalnak megfelelő és az átadási hatásvizsgálatban rögzített intézkedéseket alkalmaz. Ide tartozik az átviteli titkosítás; **adatminimalizálás, hogy csak a 3. mellékletben szereplő kategóriák hagyják el az EU/EGT-t**; szerződéses feltételek és rendelkezésre álló műszaki beállítások, amelyek megakadályozzák, hogy a címzett saját céljaira használja fel az Adatkezelő adatait, ideértve a modellképzést is, kivéve, ha az Adatkezelő erre a felhasználásra külön utasítást adott vagy engedélyezte; valamint átláthatósági vagy értesítési intézkedések a kötelező érvényű hatósági kérelmek esetében, a jogilag és szerződéses keretek között rendelkezésre álló mértékig. (d) **Új harmadik országbeli alfeldolgozók.** A Komashi nem vonhat be olyan új alfeldolgozót vagy szolgáltatói kategóriát az EU-n/EGT-n kívül, amelyre még nem terjed ki a 3. melléklet a b) pont szerinti értékelés előzetes elvégzése nélkül, és a 4.2. szakaszban leírt értesítési és kifogási eljárást követően. A 3. mellékletben szereplő engedélyezett pool által már lefedett harmadik országbeli szolgáltatók közötti útvonal nem igényel új értesítést, de továbbra is az e szakaszban szereplő biztosítékok hatálya alá tartozik. (e) **UK GDPR.** Az Egyesült Királyság GDPR hatálya alá tartozó Adatkezelői adatokra ugyanazok az Általános Szerződési Feltételek vonatkoznak, amelyeket a **UK Nemzetközi Adatátviteli Kiegészítés** (B.1.0 verzió vagy jogutód) módosított. 5.3. A PDPL hatálya alá tartozó adatkezelői adatok esetében a határokon átnyúló továbbítások megfelelnek a PDPL 22–23. cikkének és a vonatkozó végrehajtási szabályzatnak. ## 6. Felelősség; Elsőbbségi sorrend 6.1. A jelen adatvédelmi nyilatkozat szerinti felelősségre a 0. modul 10. szakaszában meghatározott korlátozások vonatkoznak, kivéve, ha ezt a korlátozást a vonatkozó adatvédelmi törvény vagy az SCC-k tiltják. **Ez a korlátozás csak a felek között érvényes.** Nem érinti, és nem is korlátozhatja az érintettnek a GDPR 82. cikke szerinti kártérítéshez való jogát egyik féllel szemben sem. 6.2. Ellentmondás esetén: (1) az SCC-k, (2) a jelen adatvédelmi nyilatkozat, (3) a Szolgáltatói szerződés. ## 7. Term 7.1. Ez az adatvédelmi nyilatkozat mindaddig érvényes, amíg a Komashi feldolgozza az adatkezelő adatait, és a Szolgáltatói szerződés megszűnéséig mindaddig fennáll, amíg az összes Adatkezelői adatot nem törlik vagy vissza nem küldik a 3.8. szakasz értelmében. --- ## Mellékletek 1–3 **Az 1. melléklet** (A feldolgozás leírása) és a **2. melléklet** (Műszaki és szervezési intézkedések, GDPR 32. cikk) **a jelen adatvédelmi nyilatkozat részét képezi**, és a **"D(2) modul – 1–2. melléklet"** (`module-d2-annexes.md`) tartalmazza. **A 3. melléklet** (Engedélyezett alfeldolgozók) **a jelen adatvédelmi nyilatkozat részét képezi**, és egy további külön dokumentumban, **"D(2) modul – 3. melléklet (Engedélyezett alfeldolgozók)"** (`module-d2-annex-3-subprocessors.md`), szintén ****. címen teszik közzé. Mindegyiknek megvan a maga változata és hatálybalépési dátuma. A 2. mellékletet a Komashi a **3.3. szakasz** szerint frissítheti (feltéve, hogy a védelmi szint lényegesen nem csökken); A 3. melléklet a **4.1. szakasz** általános felhatalmazása alapján, a **4.2. Ahol az SCC-k az **5.2a. szakaszban** vonatkoznak, az **SCC I. és II. melléklete az 1. és 2. mellékletből egészül ki**, míg a 3. melléklet a 9. cikk a) pontjában szereplő általános felhatalmazási lehetőség jóváhagyott alfeldolgozói listájaként működik, és az SCC III. mellékletében szereplő információkat szolgáltatja, ha ez a melléklet egy adott engedélyhez szükséges. A máshol található összefoglalók és a jelen mellékletek közötti ellentmondás esetén a mellékletek az irányadók.