Alfeldolgozók
Szülői megállapodás. Ez a melléklet a Komashi adatfeldolgozási megállapodás részét képezi (D(2) modul), és az 1–2. mellékletektől (module-d2-annexes.md) külön karbantartják, így az alfeldolgozók listája a saját ütemében újra kiadható. Az itt nem definiált nagybetűs kifejezések jelentése a DPA-ban, a 0. modulban vagy a GDPR-ben megadott.
3. melléklet verziója: v1.0 3. melléklet hatálybalépés dátuma: 2026-08-31 Közzétéve itt is: https://komashi.com/legal/subprocessors
Karbantartás/módosítás. Ezt a mellékletet az Általános felhatalmazás a DPA 4.1. szakaszában tartják fenn. A felhatalmazás az alábbiakban megnevezett címzettekre, szolgáltatói csoportokra és downstream szolgáltatói csoportokra vonatkozik. A már felsorolt készleten belüli kiválasztás vagy váltás nem igényel külön értesítést. A Komashi értesítést ad, és ésszerű lehetőséget ad kifogásra, mielőtt olyan címzett vagy szolgáltatói kategóriát vesz igénybe, amelyre még nem vonatkozik ez a melléklet, a DPA 4.2. szakaszában meghatározottak szerint. Minden közzétett módosítás új verziószámot és hatálybalépési dátumot tartalmaz, a helyettesített verziók pedig megmaradnak, és kérésre elérhetők a 0. modul 4.5. szakasza alatt.
SCC-kapcsolat. Ez a melléklet az SCC 9. cikk a) pontjában szereplő általános írásbeli felhatalmazás opciójának elfogadott al-feldolgozói listája. Ha egy adott átadás különleges engedélyt használ, és ehhez SCC III. melléklet szükséges, az alábbi vonatkozó bejegyzések adják meg az adott mellékletre vonatkozó információkat. Az DPA §5.2a szerinti EU-normál szerződéses kikötései működőképesek, nem függőek: A B és C szakasz azokra a címzettekre vonatkozik, akik harmadik országokban telepedtek le, harmadik országokban birtokolhatnak vagy ott dolgoznak fel adatokat. Az adatkezelői adatok ilyen címzetthez történő továbbítása előtt szükség van egy átviteli hatásvizsgálatra és egy megfelelő átviteli mechanizmusra. A jelen Melléklet hatálya alá nem tartozó címzett vagy szolgáltatói kategóriákra a 4.2. szakasz szerinti értesítési és kifogásolási eljárás vonatkozik a megbízás előtt.
3. melléklet – Engedélyezett alfeldolgozók
Szekció neve “3. melléklet – Engedélyezett alfeldolgozók”Általános felhatalmazás a DPA 4.1. szakasza szerint. A jelenlegi listát a https://komashi.com/legal/subprocessors. címen tartják fenn
A. Infrastruktúra
Szekció neve “A. Infrastruktúra”Egyáltalán nincs alprocesszor az infrastruktúra rétegben. A Komashi a Platform alkalmazását, adatbázisát, tárolóját és naplóindexálását futtatja az általa birtokolt berendezésen, saját telephelyén az EU/EGT-ben. Egyetlen szolgáltatótól sem bérel számítási, tárhely-, adatbázis- vagy naplóelemzési szolgáltatást, és a berendezés nincs harmadik féltől származó adatközpontban, így egy létesítmény üzemeltetőjének sincs fizikai hozzáférése a gépekhez. A kimenő tranzakciós e-maileket a Komashi saját levelezőszerverei küldik, így egyetlen kézbesítési szolgáltató sem kapja meg a címzettek nevét vagy címét.
A gyakorlati következmények az adatkezelő számára a következők:
(a) semmilyen harmadik félnek nincs logikai vagy fizikai fiókja a Platform adatbázisában, naplóiban vagy levelezésében;
(b) a naplózási réteg, amely általában a személyes adatok legkevésbé ellenőrzött helye, nem hagyja el a Komashi saját rendszereit; és
(c) ennek a rétegnek a biztonsági garanciája teljesen a Komashi sajátja. Nem örökölhető a létesítmény üzemeltetői tanúsítványa, és nincs rá utaló tárhelyszolgáltató audit jelentése, ezért a 2. melléklet közvetlenül tartalmazza a fizikai biztonsági kötelezettségvállalásokat, és ezért a DPA 3.9(a) szakasza dokumentált válasz, nem pedig tanúsítás köré épül. Ez mindkét irányba csökkent, és az Ellenőrzőnek így kell olvasnia: a CLOUD-törvény és a harmadik felek hozzáférésének kitettsége, amelyet egy bérelt létesítmény hordozna, nem merül fel, de külső auditor sem áll a fizikai ellenőrzések mögött. A 2. melléklet tehát közvetlenül tartalmazza ezeket az ellenőrzéseket – beleértve a nem működőt is, így a helyzet inkább értékelhető, mint feltételezhető.
A B szakaszban szereplő alfeldolgozók ezért csak alkalmazásszintű szolgáltatások – számlázás, mesterséges intelligencia, bejelentkezés és elemzés, valamint fizetési oldali ellenőrzés. Egyikük sem tartja nyugalomban az adatkezelői adatokat a Komashi nevében, mint infrastruktúra.
B. Alprocesszorok
Szekció neve “B. Alprocesszorok”A „Vezérlő adatai” oszlop azt mutatja, hogy valójában mi hagyja el a Komashi saját rendszereit. A felsorolt kategóriákon kívül semmi nem jut el a címzetthez.
| # | Alfeldolgozó (jogi név) | Szolgáltatás | Adatkezelő érkezett adatok | Feldolgozás helye | Tulajdonos/szülői joghatóság | Átviteli mechanizmus |
|---|---|---|---|---|---|---|
| 1 | Billingo Technologies Zrt. (Magyarország) | Számlák kiállítása és kézbesítése a Platformon keresztül | Számlázási név, cím, adóazonosító, e-mail cím, számla sorok és a számla kiállításához szükséges egyéb adatok | Magyarország | EU | Nincs – EU/EGT telephelyű |
| 2 | KBOSS.hu Kft. (“Számlázz.hu”, Magyarország) | Számlák kiállítása és kézbesítése a Platformon keresztül | Számlázási név, cím, adóazonosító, e-mail cím, számla sorok és a számla kiállításához szükséges egyéb adatok | Magyarország | EU | Nincs – EU/EGT telephelyű |
| 3 | OpenRouter, Inc., vonatkozó leányvállalatai, valamint a C szakaszban szereplő downstream modell- és következtetésszolgáltatók | Olyan kérések irányítása és feldolgozása, ahol engedélyezve van egy mesterséges intelligencia funkció. Egy kérés vagy munkafolyamat egy vagy több downstream modellt és következtetési szolgáltatót használhat, beleértve több szolgáltatót párhuzamosan vagy egymás után | Szolgáltatások nevei és leírásai, támogatási kérdések, támogatási jegyek tartalma és egyéb szabad szöveg, amelyet mesterséges intelligencia funkcióhoz küldtek be; kérés és válasz tartalom; modell, útválasztás, használati és biztonsági metaadatok. A szabad szöveg a végfelhasználó személyes adatait tartalmazhatja | Amerikai Egyesült Államok, EU/EGT és más helyek, amelyeket a részt vevő szolgáltatók a C részben vagy az ott hivatkozott szolgáltatói címtárban azonosítottak | Egyesült Államok | Útvonalonként változik; SCC-k, megfelelőségi határozat vagy más törvényes mechanizmus, adott esetben (E. szakasz) |
| 4 | Google Ireland Limited / Google LLC | (i) Google bejelentkezés, ahol a felhasználó azt választja; (ii) a Komashi saját számláján működtetett webelemzés | (i) Név, e-mail cím, Google-fiók azonosító; (ii) IP-cím, eszköz és böngésző adatok, használati és eseményadatok | Írország; Egyesült Államok | Egyesült Államok | SCC-k vagy megfelelő megfelelőségi határozat (E. szakasz) |
| 5 | Stripe Payments Europe, Limited / Stripe, Inc. — csak abban az esetben, ha a Stripe processzorként működik | A szolgáltató beépítése és ellenőrzése a Komashi utasítása alapján történt. Maga a fizetési művelet esetében a Stripe egy független kezelő – lásd a D szakaszt | Név, e-mail cím, számlázási adatok és a Szolgáltató ellenőrzéséhez / KYC szükséges személyes adatok | Írország; Egyesült Államok | Egyesült Államok | SCC-k vagy megfelelő megfelelőségi határozat (E. szakasz) |
A B és C rész együttesen írja le az engedélyezett címzett készletet. A listán szereplő szolgáltató nem feltétlenül kap Adatkezelői adatokat: csak akkor kap adatokat, ha a megfelelő integráció, modell, útvonal vagy tartalék van kiválasztva. Nincs tárhely, adatközpont vagy e-mail-kézbesítés bejegyzés, mert ezeket a funkciókat a Komashi saját berendezésén végzi el (A szakasz).
C. Engedélyezett mesterséges intelligencia modell és következtetési szolgáltató csoport
Szekció neve “C. Engedélyezett mesterséges intelligencia modell és következtetési szolgáltató csoport”Ha egy mesterséges intelligencia funkció engedélyezve van, a Komashi az alább felsorolt útválasztási szolgáltatáson keresztül egy vagy több modellüzemeltetőhöz, felhőalapú AI-szolgáltatáshoz vagy következtetési szolgáltatóhoz irányíthatja a kérést az alábbi készletben. Egy szolgáltatás vagy munkafolyamat nem korlátozódik egyetlen modellre: egyszerre vagy egymás után több modellt vagy szolgáltatót is használhat, beleértve az útválasztást, osztályozást, generálást, ellenőrzést, tartalékolást vagy minőségi összehasonlítást. Ez magában foglalhat két vagy három szolgáltatót ugyanabban a munkafolyamatban, de nincs ígéret vagy kötelező fix szám. Csak azok a szolgáltatók kapják meg az adatokat, amelyek részt vesznek a vonatkozó kérésben vagy munkafolyamatban. A csoport többi szolgáltatója pusztán azért nem kap semmit, mert szerepel a listán.
Az engedély a szolgáltatói csoportra és a kapcsolt vállalkozásra, regionális szerződő félre, felhőplatformra vagy infrastruktúra-üzemeltetőre terjed ki, amelyen keresztül az adott szolgáltató elérhetővé teszi a megfelelő modellt vagy végpontot. Az útvonaltól függően a szolgáltató feldolgozhatja a B. szakasz 3. sorában megadott adatkezelői adatkategóriákat az EU/EGT, az Egyesült Államok, az Egyesült Királyság, Kanada, Franciaország, Szingapúr vagy az adott végpontra vonatkozóan közzétett más régióban, kivéve az Egyesült Arab Emírségeket, kivéve, ha ez a melléklet és az adatvédelmi nyilatkozat 5.2. szakasza először módosul. Harmadik országból származó útvonalak esetén a Komashi a DPA 5.2a szakaszában leírt mechanizmust és értékelést alkalmazza.
Engedélyezett modellcsaládok
Szekció neve “Engedélyezett modellcsaládok”A következő modellcsaládok használhatók, beleértve azok jelenlegi, átnevezett, frissített és utódváltozatait, amelyeket egy felhatalmazott szolgáltatón keresztül bocsátottak rendelkezésre. Egy család listázása engedélyezi a használatát, de nem jelenti azt, hogy minden modell aktív.
| Modell fejlesztő | Engedélyezett mintacsaládok |
|---|---|
| OpenAI | GPT-modellek és kapcsolódó érvelési, multimodális, beágyazási, átírási és képmodellek |
| Antropikus | Claude modellek |
| Gemini modellek és kapcsolódó Google beágyazó vagy multimodális modellek | |
| Mistral AI | Mistral, Mixtral, Codestral és kapcsolódó modellek |
| Cohere | Command, Embed, Rerank és kapcsolódó modellek |
| xAI | Grok modellek |
| Meta | Láma modellek és kapcsolódó Meta AI modellek |
| DeepSeek | DeepSeek csevegés, érvelés, kódolás, Pro, Flash és kapcsolódó modellek |
| Alibaba Cloud | Qwen modellek és kapcsolódó Alibaba Cloud AI modellek |
| NVIDIA | Nemotron és a kapcsolódó NVIDIA AI modellek |
| Egyéb engedélyezett fejlesztők ebben a részben | Az adott fejlesztő vagy szolgáltató alatt azonosított modellek az útválasztási szolgáltatás aktuális modellkönyvtárában, feltéve, hogy az útvonal megfelel a DPA 5.2a szakaszában szereplő vezérlőknek |
A Komashi automatikus útválasztást vagy azzal egyenértékű útválasztási logikát is használhat egy vagy több engedélyezett modell kiválasztásához egy kérés vagy munkafolyamat számára. Az engedélyezett modellcsaládon belüli verziók közötti váltás vagy a családon belüli utódverzió hozzáadása nem új alprocesszor-bővítés.
Engedélyezett útválasztási és következtetési szolgáltatók
Szekció neve “Engedélyezett útválasztási és következtetési szolgáltatók”| Engedélyezett szolgáltatói csoport vagy szolgáltatás | Szerep az útválasztási láncban |
|---|---|
| OpenRouter | Útválasztási szolgáltatás |
| OpenAI | Modell operátor vagy API végpont szolgáltató |
| Antropikus | Modell operátor vagy API végpont szolgáltató |
| Google AI / Google Cloud Vertex AI | Modell üzemeltető, felhő AI szolgáltatás vagy végpont szolgáltató |
| Microsoft Azure AI | Cloud AI szolgáltatás vagy végpont szolgáltató |
| Amazon Web Services / Amazon Bedrock | Cloud AI szolgáltatás vagy végpont szolgáltató |
| Mistral AI | Modell operátor vagy API végpont szolgáltató |
| Cohere | Modell operátor vagy API végpont szolgáltató |
| xAI | Modell operátor vagy API végpont szolgáltató |
| Meta | Modelloperátor vagy belső modellvégpont-szolgáltató |
| DeepSeek | Modell operátor vagy API végpont szolgáltató |
| Alibaba Cloud | Cloud AI szolgáltatás vagy végpont szolgáltató |
| NVIDIA | Modell- vagy következtetés-végpont-szolgáltató |
| Együtt AI | Modelltárhely vagy következtetés szolgáltató |
| Tűzijáték AI | Modelltárhely vagy következtetés szolgáltató |
| Groq | Modelltárhely vagy következtetés szolgáltató |
| Cloudflare Workers AI | Modelltárhely, hálózati vagy következtetési szolgáltató |
| Baseten, DeepInfra, Nebius AI, Novita AI, Parasail, SambaNova, Venice és más megnevezett következtetési szolgáltatók elérhetővé az útválasztási szolgáltatáson keresztül | Alternatív kapacitás, tárhely vagy következtetési végpont egy kiválasztott modellhez |
Az útválasztási szolgáltatás aktuális modellkönyvtára, szolgáltatói címtár és az egyes részt vevő végpontokhoz csatolt szabályzat tovább azonosítja az elérhető modelleket, szolgáltatókat, feldolgozási régiókat és adatkezelési jellemzőket. A Komashi használhat útválasztási vezérlőket, szolgáltatói engedélyezési listákat, régióvezérlőket, zéró megőrzési beállításokat és adatgyűjtési korlátozásokat, ahol ez a funkcióhoz szükséges. A fent említett csoportokon és szolgáltatásokon kívüli modellfejlesztő vagy -szolgáltató új szolgáltatói kategóriaként kezelendő a DPA 4.2. szakasza szerint.
D. Felek, amelyek nem alfeldolgozók, és miért
Szekció neve “D. Felek, amelyek nem alfeldolgozók, és miért”Ezek felsorolása szándékos: az Adatkezelő jogásza megkeresi őket, és mindegyik ki van zárva meghatározott okból, nem pedig mulasztás miatt.
| Party | Miért nem az adatkezelői adatok alfeldolgozója |
|---|---|
| Barion Payment Zrt. · Mollie B.V. · Stripe (fizetési szakasz) | Mindegyik független adatkezelőként jár el az általa feldolgozott fizetési adatok tekintetében, saját engedélye és szabályozási kötelezettségei alapján meghatározva saját céljait és eszközeit (Adatvédelmi szabályzat 5.1(c) szakasz). A Komashi nem vonja be őket az Adatkezelő adatainak az utasításai alapján történő feldolgozására, nem vonatkozik rájuk a 4.2 szakasz kifogásolási joga, és a Komashi nem kap végfelhasználói pénzeszközöket, kártyaszámokat vagy fizetési hitelesítő adatokat (Szolgáltatói feltételek 4.1a szakasz). A Stripe ezenkívül megjelenik a B szakaszban az általa végrehajtott külön beléptetési és ellenőrzési feldolgozáshoz Komashi utasítására – a két szerepkör elkülönül és nem cserélhető fel |
| Webes analitika, amelyet a szolgáltató saját fiókjában konfigurál | Ha a Szolgáltató bekapcsolja a Google Analytics vagy a Microsoft Clarity szolgáltatást saját jelenléte céljából, saját számlájára, saját jogalapja és beleegyezésbegyűjtése alapján (a Szolgáltatói feltételek 6.7. szakasza), az adatkezelés a Szolgáltatóé, nem pedig a Komashié. Ez elkülönül attól az elemzéstől, amelyet a Komashi saját számlájára üzemeltet, és amely a B szakasz 4. sorának ii. pontjában található |
| árfolyam adatforrás | Csak referencia-kamatlábakat biztosít. Nem továbbítanak rá személyes adatokat (F modul, 4.2. szakasz) |
E. Harmadik országokból érkező átutalások
Szekció neve “E. Harmadik országokból érkező átutalások”A B. és C. szakaszban szereplő címzettek egy része harmadik országban telepedett le, harmadik országban van a tulajdonosa, vagy harmadik országban dolgozhat fel adatokat. Ha az Adatkezelő adatait ilyen címzetthez továbbítják, az átvitel az EU Általános Szerződési Kikötések, az alkalmazandó megfelelőségi határozat vagy az útvonalra vonatkozóan meghatározott más törvényes mechanizmus alapján történik, az Adatvédelmi Szabályzat 5.2a. szakaszában meghatározott feltételek mellett, és az Adatvédelmi Szabályzat 5.2a(b) szakasza által előírt átviteli hatásvizsgálat hatálya alá tartozik.
(a) Miért az SCC-k, és nem a megfelelőségi határozat. A címzettek némelyike rendelkezik, illetve az EU–USA adatvédelmi keretszabály szerint tanúsított minősítést kaphat, vagy kaphat. A Komashi ennek ellenére az SCC-kre, mint elsődleges mechanizmusra támaszkodik minden egyesült államokbeli átutalásnál. Az ok inkább a rugalmasság, mintsem az óvatosság: a megfelelőségi határozatot megsemmisíthetik vagy felfüggeszthetik, és az egyiktől függő csomag egyik napról a másikra elveszítené az átutalási alapját. Ha a címzett DPF-tanúsítvánnyal rendelkezik, ez a tanúsítás kiegészítő biztosítékként működik, nem pedig a hivatkozott alapként.
(b) Adatminimalizálás kiegészítő intézkedésként. A „Controller Data Received” oszlop a B szakaszban egy korlát. Csak az ott feltüntetett kategóriák hagyhatják el az EU-t/EGT-t, és csak ott, ahol a megfelelő integrációt, modellt, útvonalat vagy tartalékot alkalmazzák.
(c) Alfeldolgozó hozzáadása. A B és C szakaszban még nem szereplő címzett vagy szolgáltatói kategóriák esetén szükség van az DPA 5.2a(b) szakaszában szereplő átviteli hatásvizsgálat elvégzésére, ahol alkalmazható, valamint az DPA 4.2. szakaszában található értesítési és kifogásolási folyamatra, mielőtt a kiegészítés hatályba lép. Az engedélyezett poolon belüli kiválasztás vagy váltás nem igényel külön értesítést.
(d) További átvitel a mesterséges intelligencia útválasztási láncában. Az útválasztási szolgáltatás egy vagy több szolgáltatónak továbbíthat kérést a C szakaszban szereplő engedélyezett készletben, és ezek a szolgáltatók azonosított felhő- vagy következtetési végpontokat használhatnak a feldolgozásához. A Komashi külön értesítés nélkül módosíthatja vagy kombinálhatja a modelleket, szolgáltatókat, régiókat és tartalékokat ezen a készleten belül. Minden munkafolyamatban részt vevő szolgáltató megkaphatja a hozzárendelt feldolgozási lépéshez szükséges Adatkezelői adatokat. A Komashi a részt vevő útvonalakra ésszerűen elérhető szerződéses feltételeket és műszaki ellenőrzéseket alkalmazza, hogy korlátozza az Adatkezelő adatainak megőrzését és megakadályozza a címzett saját céljaira való felhasználását, ideértve a modellképzést is, kivéve, ha az Adatkezelő erre a felhasználásra külön utasítást adott vagy engedélyezte. A megőrzési és útválasztási jellemzők végpontonként változhatnak, és a részt vevő útvonalak esetében értékelik.
(e) Az Egyesült Arab Emírségekben nincs adatátvitel. A Komashi ottani regisztrációja ellenére (az adatvédelmi nyilatkozat 5.2. szakasza) az Adatkezelő adatait nem továbbítják az Egyesült Arab Emírségekbe, nem tárolják ott, illetve nem hozzáférhetők onnan.