# DPA mellékletek 1-2

> Az adatfeldolgozási megállapodás mellékletei – a feldolgozás részletei, valamint a technikai és szervezési intézkedések.

Canonical: https://komashi.com/docs/hu/legal/dpa-annexes/
Language: hu

:::note[Magyar fordítás]
Ez az oldal gépi fordítás alapján készült magyar tájékoztató változat. A jogi dokumentum hivatalos nyelve az angol; eltérés esetén az [angol eredeti](https://komashi.com/docs/legal/dpa-annexes/index.md) az irányadó.
:::

:::note[Dokumentum állapota]
**v1.0** verzió, hatályos **2026-08-31**. A Feltételek hivatalos nyelve az angol; bármilyen fordítást csak tájékoztató jelleggel biztosítunk.
:::


**Szülői megállapodás.** Ezek a mellékletek **a Komashi adatfeldolgozási megállapodás részét képezik (D(2) modul)**, amely a Szolgáltatói szerződésbe (A modul) beépült. Az itt nem definiált nagybetűs kifejezések jelentése a DPA-ban, a 0. modulban vagy a GDPR-ben megadott.

**Mellékletek verziója:** v1.0
**Mellékletek hatályba lépése:** 2026-08-31

**Hatály.** Ez a dokumentum tartalmazza az **1. mellékletet** (Feldolgozás leírása) és **2. mellékletet** (Műszaki és szervezési intézkedések). **A 3. melléklet** (Engedélyezett alfeldolgozók) egy **külön dokumentumban, `module-d2-annex-3-subprocessors.md`** található, így az alfeldolgozók listája a saját ütemében mozoghat.

**Karbantartás/módosítás.**
- **1. melléklet** (Feldolgozás leírása) csak a feldolgozás körével változik; frissítés a DPA mellett.
- **A 2. melléklet** (Műszaki és Szervezeti intézkedések) frissíthető a Komashi által a **DPA §3.3** értelmében, feltéve, hogy a védelem szintje **lényegesen nem csökken**. Minden módosítás új verziószámot és hatálybalépési dátumot tartalmaz, a helyettesített verziók pedig megmaradnak, és kérésre elérhetők a **0. modul 4.5. szakasza** alatt.

**SCC-kapcsolat.** Ahol az EU Általános Szerződési Kikötései érvényesek a **DPA §5.2a**, **SCC I. melléklet ← 1. melléklet** és **SCC II. melléklet ← 2. melléklet** (lent). A `module-d2-annex-3-subprocessors.md` 3. melléklete a 9. cikk a) pontjában szereplő általános engedélyezési lehetőséghez tartozó alfeldolgozók megállapodás szerinti listája, és tartalmazza az SCC III. mellékletének adatait, ha egy adott engedély megköveteli ezt a mellékletet.

---

## 1. melléklet – A feldolgozás leírása

*Az **SCC I. mellékletet** tölti fel, ahol az adatvédelmi törvény 5.2a szakasza vonatkozik.*

**Tárgy.** A Komashi Platform biztosítása – Szolgáltatói jelenlét, szolgáltatáskatalógus, foglalások és megrendelések, előfizetések, számlázás, ügyfélkezelés, valamint tranzakciós üzenetküldés – az Adatkezelőnek.

**Időtartam.** A Szolgáltatói szerződés időtartama, plusz az **Adatvédelmi szabályzat 9.2 szakaszában** szereplő törlési időszakok és a **9.2a szakaszban** (DPA 3.8. szakasz) található törvényes megőrzés.

**Jellemző és cél.** Az Adatkezelő adatainak tárolása, tárolása, továbbítása, megjelenítése, biztonsági mentése és technikai feldolgozása a Platformnak az Adatkezelő utasításai alapján történő működtetéséhez.

**Feldolgozás gyakorisága.** Folyamatos, a Szolgáltatói Szerződés időtartama alatt.

**Az érintettek kategóriái.**

| Kategória| Leírás |
|---|---|
| **Végfelhasználók**| Az Adatkezelő azon ügyfelei, akik a Platformon keresztül foglalják le, fizetik elő vagy vásárolják meg az Adatkezelő szolgáltatásait |
| **Leendő végfelhasználók**| Látogatók, akik megkezdik, de nem fejezik be a foglalást vagy regisztrációt az Adatkezelő jelenlétében |
| **Az ellenőr munkatársai**| Az Adatkezelő ügyfél-nyilvántartásban szereplő személyei (pl. lefoglalt szolgáltatást nyújtó személy, üzenetet küldő végfelhasználónak) |

**Személyes adatok kategóriái.**

| Kategória| Adatok |
|---|---|
| **Identitás**| Utó- és vezetéknév; a számlán feltüntetett név |
| **Kapcsolatfelvétel**| E-mail cím; telefonszám; postai vagy számlázási cím |
| **Fiók**| számlaazonosító; nyelv és terület; időzóna; számla állapota; hitelesítési események (bejelentkezési időbélyegek, IP-cím, felhasználói ügynök); jelszó sózott hash formában; ha harmadik fél identitásszolgáltatót használnak a bejelentkezéshez, az adott szolgáltató által visszaadott azonosító |
| **Foglalás és rendelés**| lefoglalt szolgáltatás vagy termék; dátum, idő és időtartam; mennyiség; hely, ahol az Adatkezelő rögzíti; foglalási állapot és előzmények; törlési és meg nem jelenési rekordok; megjegyzi, hogy a Végfelhasználó vagy az Adatkezelő hozzáad egy foglaláshoz |
| **Előfizetés**| Előfizetési terv; kezdési dátum; megújítási és lejárati dátumok; előfizetés állapota és előzményei |
| **Számla és számlázás**| számla száma, dátuma és pénzneme; sorok és leírások; nettó, adó és bruttó összegek; a Végfelhasználó által biztosított adóazonosítók; fizetés állapota és fizetési dátuma |
| **Fizetési metaadatok**| A Szolgáltató fizetési vagy számlázó szolgáltatójától kapott fizetési állapotra vonatkozó információk – tranzakció hivatkozási száma, összeg, pénznem, időbélyeg, siker vagy sikertelenség, visszatérítés állapota és fizetési mód típusa (pl. „kártya”, „átutalás”). **Nincs kártyaszám, nincs lejárati dátum, nincs CVC, nincsenek banki hitelesítési adatok, nincs fizetés kezdeményezésére használható fizetési token, és nincsenek kártyatulajdonos-hitelesítési adatok** (DPA 1.3. szakasz; Szolgáltatói feltételek 4.1a. szakasz) |
| **Kommunikáció**| Az Adatkezelő és a Végfelhasználó közötti, a Platformon keresztül küldött üzenetek; a Végfelhasználónak küldött tranzakciós e-mail és annak kézbesítési metaadatai; támogatási levelezés az Adatkezelő végfelhasználóival kapcsolatban |
| **Használat és műszaki**| oldal- és képernyőesemények az Adatkezelő jelenlétében; eszköz- és böngészőinformációk; IP-cím; időbélyegek; alkalmazás- és biztonsági naplóbejegyzések |

**A személyes adatok speciális kategóriái (Art. 9 GDPR).** **Nincs.** A Platform nincs konfigurálva speciális kategóriájú adatok gyűjtésére, és az Adatkezelő nem használhat szabad szövegű mezőket (foglalási megjegyzések, szolgáltatásleírások, üzenetek) ezek megadásához. A különleges kategóriájú adatok feldolgozásához külön írásos megállapodásra és további biztosítékokra van szükség az **Adatvédelmi Szabályzat 2.1(d) szakasza** értelmében.

*Gyakorlati figyelmeztetés az egészségügyben, wellnessben és hasonló ágazatokban dolgozó adatkezelők számára:* a szolgáltatás neve, a foglalási jegyzet vagy a végfelhasználó üzenete anélkül alakulhat át egészségügyi adatokká, hogy bárki úgy döntene, hogy kell. A Vezérlő felelős azért, hogy mit ír be és a végfelhasználói a szabad szöveges mezőkbe. Ha az Adatkezelő üzleti tevékenysége szükségszerűen magában foglal ilyen adatokat, akkor ezt a 2.1(d) szakaszban **a feldolgozás megkezdése előtt** meg kell adnia a Komashi-vel.

**Büntetőítéletekre vagy bűncselekményekre vonatkozó adatok (GDPR 10. cikk).** Nincs.

**Gyermekadatok.** A Platform nem gyermekeknek szól. Amennyiben az Adatkezelő saját szolgáltatásai gyermekeknek szólnak vagy gyermekeket használnak, az Adatkezelő felelős a jogalapért és a szükséges szülői hozzájárulásért.

**Átvitelek.** A Core Platform tárolása és feldolgozása az EU/EGT területén belül marad, az adatvédelmi törvény 5.2a szakaszában és a **3. mellékletben** leírt korlátozott alkalmazásszintű átvitelek függvényében. A 3. melléklet meghatározza az engedélyezett címzett kategóriákat, szolgáltatói csoportokat, lehetséges helyszíneket és azokat a feleket, amelyek kifejezetten **nem** alfeldolgozók.

## 2. melléklet – Műszaki és szervezési intézkedések (Art. 32 GDPR)

*Az **SCC II. mellékletet** tölti fel, ahol az DPA 5.2a szakasza vonatkozik. Ez a melléklet a **ténylegesen hatályos** intézkedéseket írja le. A Komashi frissítheti a DPA 3.3. szakasza szerint, feltéve, hogy a védelmi szint lényegesen nem csökken; minden módosításnál állítsa be a verziót, és archiválja a helyettesített szöveget.*

**Az infrastruktúra alaphelyzete.** A Komashi **saját infrastruktúrát üzemeltet**, és nem bérel tárhely-, számítási- vagy adatbázis-szolgáltatásokat felhőszolgáltatótól (**3. melléklet, A szakasz**). Az alábbi intézkedések ezért a Komashi sajátjai, nem a tárhelyszolgáltató szabályozási keretrendszerétől örököltek; a fizikai biztonsági intézkedéseket a Komashi saját telephelyén is működteti.

| Terület| Intézkedések |
|---|---|
| **Titkosítás**| TLS 1.2+ az összes továbbítás alatt álló adatra, beleértve a belső szolgáltatások között is; nyugalmi titkosítás (AES-256 vagy azzal egyenértékű) adatbázisokhoz és biztonsági másolatokhoz; titkosítási kulcsok, amelyeket az adatoktól elkülönítve tárolnak, és kompromisszum vagy személyi változás esetén elforgatják |
| **Hozzáférés-szabályozás és legkevesebb jogosultság**| Szerep alapú hozzáférés; az Adatkezelő adataihoz való hozzáférés azokra a személyekre korlátozódik, akiknek egy meghatározott feladat elvégzéséhez szükségük van rájuk; kérésre biztosított hozzáférést, **negyedévente** felülvizsgálják, szerepváltoztatáskor vagy kilépéskor visszavonják; **az EU/EGT adatkezelő adataihoz való minden hozzáférés csak az EU/EGT-n belülről származik** (Adatvédelmi nyilatkozat 5.2. szakasz) |
| **Adminisztratív hitelesítés**| Többtényezős vagy jelszó nélküli hitelesítés minden adminisztrációs és termelési hozzáféréshez; nincs megosztott adminisztrációs hitelesítő adat; az adminisztratív ülések időkorlátozása |
| **Naplózás és megfigyelés**| A hozzáférési és biztonsági események központosított, manipulációbiztos naplózása; riasztás a rendellenes tevékenységre; naplók megőrzése az adatvédelmi szabályzat 9.2(b) szakasza szerint – alkalmazás- és biztonsági naplók 12 hónapig, infrastruktúra- és fájlszintű naplók 14 napig |
| **Hálózatbiztonság**| Hálózati elkülönítés a gyártás, a gyártás és a fejlesztés között; tűzfalak és biztonsági csoportok alapértelmezett tiltással; a fejlesztéstől elszigetelt termelés; **nincs nyilvános interneten elérhető adatbázis**; nyilvánosan nem elérhető adminisztrációs felületek |
| **Sebezhetőség és javítások kezelése**| Függőség- és infrastruktúra-javítás meghatározott cikluson belül, cikluson kívüli javításokkal a kritikus sérülékenységekhez; automatizált függőségi szkennelés CI-ben; az internetre néző szolgáltatások időszakos sebezhetőségi vizsgálata. **Nincs külső behatolási vizsgálat – lásd a táblázat alatti bekezdést** |
| **Biztonsági mentés és katasztrófa utáni helyreállítás**| Az EU-n/EGT-n belül tárolt titkosított biztonsági másolatok az adatvédelmi szabályzat 9.2(c) szakaszának rotációja alapján (napi 2 hét, heti 2 hónap, havi 6 hónap); dokumentált visszaállítási eljárás; visszaállítás legalább **évente** tesztelve; **RPO 24 óra; RTO 72 óra** |
| **Biztonságos fejlesztés**| Kód felülvizsgálata összevonás előtt; a feladatok szétválasztása a fejlesztés és a termeléshez való hozzáférés között; a titokkezelőben tárolt titkok, soha nem a forrás ellenőrzése alatt; ellenőrzési nyomvonal módosítása; függőségi szkennelés CI-ben |
| **Személyzet**| Írásbeli titoktartási kötelezettségek a hozzáféréssel rendelkező minden alkalmazottra és vállalkozóra vonatkozóan (DPA 3.2. szakasz); biztonsági tudatosság felvilágosítást a belépésről, és évente frissítik; hozzáférés visszavonva az utolsó munkanapon |
| **Incidensreagálás**| Dokumentált incidens-reagálás folyamat megnevezett felelősségekkel; jogsértésről szóló értesítés az adatkezelőknek az adatvédelmi nyilatkozat 3.7. szakaszában található ablakban; incidens utáni felülvizsgálat a korrekciós intézkedések rögzítésével |
| **Fizikai biztonság**| A berendezést a **Komashi saját telephelyén** tárolják az EU/EGT-ben, egy **az általános irodahelyiségtől elkülönített, zárható szerverteremben**, amely **tűzérzékelővel** van felszerelve. **A létesítmény harmadik fél üzemeltetője nem rendelkezik fizikai hozzáféréssel** (3. melléklet, A szakasz), és ennek megfelelően **nincs külső létesítménytanúsítvány**: a Komashi kizárólagos felelőssége ezekért az ellenőrzésekért. **A fizikai belépés nem kerül külön naplózásra** — a hozzáférést a zár korlátozza, és a kulcsot tartó személyek kis száma korlátozza, és nincs rögzített belépési nyom. A Komashi ezt kifejezetten kijelenti, és nem hagyja következtetni |
| **Alfeldolgozói garancia**| Lényegében egyenértékű kötelezettségeket előíró írásbeli szerződések (DPA 4.3. szakasz); alfeldolgozók, valamint a 3. mellékletben felsorolt ​​felek, amelyek kifejezetten nem alfeldolgozók |
| **Az adatkezelők elkülönítése**| Az egyes Adatkezelők adatai logikailag el vannak különítve és hozzáférés-vezérelt; a Szolgáltató nem tudja elérni más szolgáltató adatait az alkalmazáson keresztül |

**Az intézkedések hatékonyságának tesztelése (32. cikk (1) bekezdésének d) pontja).** A Komashi **nem** rendel külső penetrációs vizsgálatot, és nem rendelkezik SOC 2 jelentéssel vagy ISO/IEC 27001 tanúsítvánnyal (**DPA 3.9(a) szakasz**). A hatékonyságot a fenti táblázatban már ismertetett intézkedésekkel tesztelik: **automatikus függőségi vizsgálat a CI-ben**, **internetkapcsolatos szolgáltatások időszakos sebezhetőségi vizsgálata**, meghatározott cikluson belüli javítás a kritikus sérülékenységek cikluson kívüli javításával, valamint a biztonsági másolatok **éves visszaállítási tesztje**. Ez a bekezdés inkább kimondja az álláspontot, mintsem kikövetkeztetésre hagyja: az Ellenőrző könyvvizsgálójának, aki megkérdezi, milyen független biztosíték létezik, itt kell megtalálnia a választ, és a válasz az, hogy a Komashi saját tesztelésén kívül nincs más.

## 3. melléklet – Engedélyezett alfeldolgozók

**A 3. mellékletet egy külön dokumentum, a `module-d2-annex-3-subprocessors.md`** (a https://komashi.com/legal/subprocessors számon is közzétéve), saját változatával és hatálybalépési dátumával, a DPA 4.1 §-ában foglalt általános felhatalmazás és a DPA 4.2. §-ában foglalt értesítési/kifogási eljárás alapján tartja fenn. Ez a jóváhagyott lista az SCC 9. szakaszának a) pontjában szereplő általános engedélyezési lehetőséghez, és az SCC III. mellékletében szereplő információkat szolgáltatja, ha az egyedi engedély megköveteli.