DPA mellékletek 1-2
Szülői megállapodás. Ezek a mellékletek a Komashi adatfeldolgozási megállapodás részét képezik (D(2) modul), amely a Szolgáltatói szerződésbe (A modul) beépült. Az itt nem definiált nagybetűs kifejezések jelentése a DPA-ban, a 0. modulban vagy a GDPR-ben megadott.
Mellékletek verziója: v1.0 Mellékletek hatályba lépése: 2026-08-31
Hatály. Ez a dokumentum tartalmazza az 1. mellékletet (Feldolgozás leírása) és 2. mellékletet (Műszaki és szervezési intézkedések). A 3. melléklet (Engedélyezett alfeldolgozók) egy külön dokumentumban, module-d2-annex-3-subprocessors.md található, így az alfeldolgozók listája a saját ütemében mozoghat.
Karbantartás/módosítás.
- 1. melléklet (Feldolgozás leírása) csak a feldolgozás körével változik; frissítés a DPA mellett.
- A 2. melléklet (Műszaki és Szervezeti intézkedések) frissíthető a Komashi által a DPA §3.3 értelmében, feltéve, hogy a védelem szintje lényegesen nem csökken. Minden módosítás új verziószámot és hatálybalépési dátumot tartalmaz, a helyettesített verziók pedig megmaradnak, és kérésre elérhetők a 0. modul 4.5. szakasza alatt.
SCC-kapcsolat. Ahol az EU Általános Szerződési Kikötései érvényesek a DPA §5.2a, SCC I. melléklet ← 1. melléklet és SCC II. melléklet ← 2. melléklet (lent). A module-d2-annex-3-subprocessors.md 3. melléklete a 9. cikk a) pontjában szereplő általános engedélyezési lehetőséghez tartozó alfeldolgozók megállapodás szerinti listája, és tartalmazza az SCC III. mellékletének adatait, ha egy adott engedély megköveteli ezt a mellékletet.
1. melléklet – A feldolgozás leírása
Szekció neve “1. melléklet – A feldolgozás leírása”Az SCC I. mellékletet tölti fel, ahol az adatvédelmi törvény 5.2a szakasza vonatkozik.
Tárgy. A Komashi Platform biztosítása – Szolgáltatói jelenlét, szolgáltatáskatalógus, foglalások és megrendelések, előfizetések, számlázás, ügyfélkezelés, valamint tranzakciós üzenetküldés – az Adatkezelőnek.
Időtartam. A Szolgáltatói szerződés időtartama, plusz az Adatvédelmi szabályzat 9.2 szakaszában szereplő törlési időszakok és a 9.2a szakaszban (DPA 3.8. szakasz) található törvényes megőrzés.
Jellemző és cél. Az Adatkezelő adatainak tárolása, tárolása, továbbítása, megjelenítése, biztonsági mentése és technikai feldolgozása a Platformnak az Adatkezelő utasításai alapján történő működtetéséhez.
Feldolgozás gyakorisága. Folyamatos, a Szolgáltatói Szerződés időtartama alatt.
Az érintettek kategóriái.
| Kategória | Leírás |
|---|---|
| Végfelhasználók | Az Adatkezelő azon ügyfelei, akik a Platformon keresztül foglalják le, fizetik elő vagy vásárolják meg az Adatkezelő szolgáltatásait |
| Leendő végfelhasználók | Látogatók, akik megkezdik, de nem fejezik be a foglalást vagy regisztrációt az Adatkezelő jelenlétében |
| Az ellenőr munkatársai | Az Adatkezelő ügyfél-nyilvántartásban szereplő személyei (pl. lefoglalt szolgáltatást nyújtó személy, üzenetet küldő végfelhasználónak) |
Személyes adatok kategóriái.
| Kategória | Adatok |
|---|---|
| Identitás | Utó- és vezetéknév; a számlán feltüntetett név |
| Kapcsolatfelvétel | E-mail cím; telefonszám; postai vagy számlázási cím |
| Fiók | számlaazonosító; nyelv és terület; időzóna; számla állapota; hitelesítési események (bejelentkezési időbélyegek, IP-cím, felhasználói ügynök); jelszó sózott hash formában; ha harmadik fél identitásszolgáltatót használnak a bejelentkezéshez, az adott szolgáltató által visszaadott azonosító |
| Foglalás és rendelés | lefoglalt szolgáltatás vagy termék; dátum, idő és időtartam; mennyiség; hely, ahol az Adatkezelő rögzíti; foglalási állapot és előzmények; törlési és meg nem jelenési rekordok; megjegyzi, hogy a Végfelhasználó vagy az Adatkezelő hozzáad egy foglaláshoz |
| Előfizetés | Előfizetési terv; kezdési dátum; megújítási és lejárati dátumok; előfizetés állapota és előzményei |
| Számla és számlázás | számla száma, dátuma és pénzneme; sorok és leírások; nettó, adó és bruttó összegek; a Végfelhasználó által biztosított adóazonosítók; fizetés állapota és fizetési dátuma |
| Fizetési metaadatok | A Szolgáltató fizetési vagy számlázó szolgáltatójától kapott fizetési állapotra vonatkozó információk – tranzakció hivatkozási száma, összeg, pénznem, időbélyeg, siker vagy sikertelenség, visszatérítés állapota és fizetési mód típusa (pl. „kártya”, „átutalás”). Nincs kártyaszám, nincs lejárati dátum, nincs CVC, nincsenek banki hitelesítési adatok, nincs fizetés kezdeményezésére használható fizetési token, és nincsenek kártyatulajdonos-hitelesítési adatok (DPA 1.3. szakasz; Szolgáltatói feltételek 4.1a. szakasz) |
| Kommunikáció | Az Adatkezelő és a Végfelhasználó közötti, a Platformon keresztül küldött üzenetek; a Végfelhasználónak küldött tranzakciós e-mail és annak kézbesítési metaadatai; támogatási levelezés az Adatkezelő végfelhasználóival kapcsolatban |
| Használat és műszaki | oldal- és képernyőesemények az Adatkezelő jelenlétében; eszköz- és böngészőinformációk; IP-cím; időbélyegek; alkalmazás- és biztonsági naplóbejegyzések |
A személyes adatok speciális kategóriái (Art. 9 GDPR). Nincs. A Platform nincs konfigurálva speciális kategóriájú adatok gyűjtésére, és az Adatkezelő nem használhat szabad szövegű mezőket (foglalási megjegyzések, szolgáltatásleírások, üzenetek) ezek megadásához. A különleges kategóriájú adatok feldolgozásához külön írásos megállapodásra és további biztosítékokra van szükség az Adatvédelmi Szabályzat 2.1(d) szakasza értelmében.
Gyakorlati figyelmeztetés az egészségügyben, wellnessben és hasonló ágazatokban dolgozó adatkezelők számára: a szolgáltatás neve, a foglalási jegyzet vagy a végfelhasználó üzenete anélkül alakulhat át egészségügyi adatokká, hogy bárki úgy döntene, hogy kell. A Vezérlő felelős azért, hogy mit ír be és a végfelhasználói a szabad szöveges mezőkbe. Ha az Adatkezelő üzleti tevékenysége szükségszerűen magában foglal ilyen adatokat, akkor ezt a 2.1(d) szakaszban a feldolgozás megkezdése előtt meg kell adnia a Komashi-vel.
Büntetőítéletekre vagy bűncselekményekre vonatkozó adatok (GDPR 10. cikk). Nincs.
Gyermekadatok. A Platform nem gyermekeknek szól. Amennyiben az Adatkezelő saját szolgáltatásai gyermekeknek szólnak vagy gyermekeket használnak, az Adatkezelő felelős a jogalapért és a szükséges szülői hozzájárulásért.
Átvitelek. A Core Platform tárolása és feldolgozása az EU/EGT területén belül marad, az adatvédelmi törvény 5.2a szakaszában és a 3. mellékletben leírt korlátozott alkalmazásszintű átvitelek függvényében. A 3. melléklet meghatározza az engedélyezett címzett kategóriákat, szolgáltatói csoportokat, lehetséges helyszíneket és azokat a feleket, amelyek kifejezetten nem alfeldolgozók.
2. melléklet – Műszaki és szervezési intézkedések (Art. 32 GDPR)
Szekció neve “2. melléklet – Műszaki és szervezési intézkedések (Art. 32 GDPR)”Az SCC II. mellékletet tölti fel, ahol az DPA 5.2a szakasza vonatkozik. Ez a melléklet a ténylegesen hatályos intézkedéseket írja le. A Komashi frissítheti a DPA 3.3. szakasza szerint, feltéve, hogy a védelmi szint lényegesen nem csökken; minden módosításnál állítsa be a verziót, és archiválja a helyettesített szöveget.
Az infrastruktúra alaphelyzete. A Komashi saját infrastruktúrát üzemeltet, és nem bérel tárhely-, számítási- vagy adatbázis-szolgáltatásokat felhőszolgáltatótól (3. melléklet, A szakasz). Az alábbi intézkedések ezért a Komashi sajátjai, nem a tárhelyszolgáltató szabályozási keretrendszerétől örököltek; a fizikai biztonsági intézkedéseket a Komashi saját telephelyén is működteti.
| Terület | Intézkedések |
|---|---|
| Titkosítás | TLS 1.2+ az összes továbbítás alatt álló adatra, beleértve a belső szolgáltatások között is; nyugalmi titkosítás (AES-256 vagy azzal egyenértékű) adatbázisokhoz és biztonsági másolatokhoz; titkosítási kulcsok, amelyeket az adatoktól elkülönítve tárolnak, és kompromisszum vagy személyi változás esetén elforgatják |
| Hozzáférés-szabályozás és legkevesebb jogosultság | Szerep alapú hozzáférés; az Adatkezelő adataihoz való hozzáférés azokra a személyekre korlátozódik, akiknek egy meghatározott feladat elvégzéséhez szükségük van rájuk; kérésre biztosított hozzáférést, negyedévente felülvizsgálják, szerepváltoztatáskor vagy kilépéskor visszavonják; az EU/EGT adatkezelő adataihoz való minden hozzáférés csak az EU/EGT-n belülről származik (Adatvédelmi nyilatkozat 5.2. szakasz) |
| Adminisztratív hitelesítés | Többtényezős vagy jelszó nélküli hitelesítés minden adminisztrációs és termelési hozzáféréshez; nincs megosztott adminisztrációs hitelesítő adat; az adminisztratív ülések időkorlátozása |
| Naplózás és megfigyelés | A hozzáférési és biztonsági események központosított, manipulációbiztos naplózása; riasztás a rendellenes tevékenységre; naplók megőrzése az adatvédelmi szabályzat 9.2(b) szakasza szerint – alkalmazás- és biztonsági naplók 12 hónapig, infrastruktúra- és fájlszintű naplók 14 napig |
| Hálózatbiztonság | Hálózati elkülönítés a gyártás, a gyártás és a fejlesztés között; tűzfalak és biztonsági csoportok alapértelmezett tiltással; a fejlesztéstől elszigetelt termelés; nincs nyilvános interneten elérhető adatbázis; nyilvánosan nem elérhető adminisztrációs felületek |
| Sebezhetőség és javítások kezelése | Függőség- és infrastruktúra-javítás meghatározott cikluson belül, cikluson kívüli javításokkal a kritikus sérülékenységekhez; automatizált függőségi szkennelés CI-ben; az internetre néző szolgáltatások időszakos sebezhetőségi vizsgálata. Nincs külső behatolási vizsgálat – lásd a táblázat alatti bekezdést |
| Biztonsági mentés és katasztrófa utáni helyreállítás | Az EU-n/EGT-n belül tárolt titkosított biztonsági másolatok az adatvédelmi szabályzat 9.2(c) szakaszának rotációja alapján (napi 2 hét, heti 2 hónap, havi 6 hónap); dokumentált visszaállítási eljárás; visszaállítás legalább évente tesztelve; RPO 24 óra; RTO 72 óra |
| Biztonságos fejlesztés | Kód felülvizsgálata összevonás előtt; a feladatok szétválasztása a fejlesztés és a termeléshez való hozzáférés között; a titokkezelőben tárolt titkok, soha nem a forrás ellenőrzése alatt; ellenőrzési nyomvonal módosítása; függőségi szkennelés CI-ben |
| Személyzet | Írásbeli titoktartási kötelezettségek a hozzáféréssel rendelkező minden alkalmazottra és vállalkozóra vonatkozóan (DPA 3.2. szakasz); biztonsági tudatosság felvilágosítást a belépésről, és évente frissítik; hozzáférés visszavonva az utolsó munkanapon |
| Incidensreagálás | Dokumentált incidens-reagálás folyamat megnevezett felelősségekkel; jogsértésről szóló értesítés az adatkezelőknek az adatvédelmi nyilatkozat 3.7. szakaszában található ablakban; incidens utáni felülvizsgálat a korrekciós intézkedések rögzítésével |
| Fizikai biztonság | A berendezést a Komashi saját telephelyén tárolják az EU/EGT-ben, egy az általános irodahelyiségtől elkülönített, zárható szerverteremben, amely tűzérzékelővel van felszerelve. A létesítmény harmadik fél üzemeltetője nem rendelkezik fizikai hozzáféréssel (3. melléklet, A szakasz), és ennek megfelelően nincs külső létesítménytanúsítvány: a Komashi kizárólagos felelőssége ezekért az ellenőrzésekért. A fizikai belépés nem kerül külön naplózásra — a hozzáférést a zár korlátozza, és a kulcsot tartó személyek kis száma korlátozza, és nincs rögzített belépési nyom. A Komashi ezt kifejezetten kijelenti, és nem hagyja következtetni |
| Alfeldolgozói garancia | Lényegében egyenértékű kötelezettségeket előíró írásbeli szerződések (DPA 4.3. szakasz); alfeldolgozók, valamint a 3. mellékletben felsorolt felek, amelyek kifejezetten nem alfeldolgozók |
| Az adatkezelők elkülönítése | Az egyes Adatkezelők adatai logikailag el vannak különítve és hozzáférés-vezérelt; a Szolgáltató nem tudja elérni más szolgáltató adatait az alkalmazáson keresztül |
Az intézkedések hatékonyságának tesztelése (32. cikk (1) bekezdésének d) pontja). A Komashi nem rendel külső penetrációs vizsgálatot, és nem rendelkezik SOC 2 jelentéssel vagy ISO/IEC 27001 tanúsítvánnyal (DPA 3.9(a) szakasz). A hatékonyságot a fenti táblázatban már ismertetett intézkedésekkel tesztelik: automatikus függőségi vizsgálat a CI-ben, internetkapcsolatos szolgáltatások időszakos sebezhetőségi vizsgálata, meghatározott cikluson belüli javítás a kritikus sérülékenységek cikluson kívüli javításával, valamint a biztonsági másolatok éves visszaállítási tesztje. Ez a bekezdés inkább kimondja az álláspontot, mintsem kikövetkeztetésre hagyja: az Ellenőrző könyvvizsgálójának, aki megkérdezi, milyen független biztosíték létezik, itt kell megtalálnia a választ, és a válasz az, hogy a Komashi saját tesztelésén kívül nincs más.
3. melléklet – Engedélyezett alfeldolgozók
Szekció neve “3. melléklet – Engedélyezett alfeldolgozók”A 3. mellékletet egy külön dokumentum, a module-d2-annex-3-subprocessors.md (a https://komashi.com/legal/subprocessors számon is közzétéve), saját változatával és hatálybalépési dátumával, a DPA 4.1 §-ában foglalt általános felhatalmazás és a DPA 4.2. §-ában foglalt értesítési/kifogási eljárás alapján tartja fenn. Ez a jóváhagyott lista az SCC 9. szakaszának a) pontjában szereplő általános engedélyezési lehetőséghez, és az SCC III. mellékletében szereplő információkat szolgáltatja, ha az egyedi engedély megköveteli.