Adatfeldolgozói Megállapodás és Adatkezelési Tájékoztató

1. A dokumentum tárgya, elfogadása és jellege

1.1 A jelen dokumentum kettős funkciót tölt be. Egyrészt a GDPR 28. cikke szerinti adatfeldolgozói megállapodásnak minősül azon személyes adatok tekintetében, amelyeket a Szolgáltató az Ügyfél megbízásából, adatfeldolgozóként kezel. Másrészt adatkezelési tájékoztatónak minősül azon adatkör tekintetében, amelyet a Szolgáltató önálló adatkezelőként kezel; erre vonatkozóan a 16. pont irányadó.

1.2 Szolgáltató: Azta Korlátolt Felelősségű Társaság (cégjegyzékszám: 01-09-470071, adószám: 32861196-2-41, székhely: 1139 Budapest, Váci út 99-105.). A Szolgáltató korábbi cégneve Phantic Kft. volt. Ügyfél: az a természetes vagy jogi személy, aki vagy amely a Szolgáltatást gazdasági vagy szakmai tevékenysége körében, egyedi Enterprise szerződés nélkül, előfizetéssel vagy díjmentesen veszi igénybe, és a jelen dokumentumot elfogadja.

1.3 A jelen dokumentum az Általános Szerződési Feltételek és Felhasználási Feltételek (a továbbiakban: ÁSZF) elválaszthatatlan részét képezi, és az előfizetés megrendelésekor, díjmentes használat esetén a regisztrációkor történő kifejezett elfogadással (a megfelelő jelölőnégyzet bejelölésével) lép hatályba a Felek között. Az elektronikus úton történő elfogadás a GDPR 28. cikk (9) bekezdése értelmében írásbeli formának minősül.

1.4 A jelen dokumentum egyedileg nem tárgyalható. A Szolgáltató az önkiszolgáló előfizetés keretében valamennyi Ügyfél részére azonos adatvédelmi feltételeket nyújt, és e feltételek egyedi módosítására nincs mód. Amennyiben az Ügyfélnek egyedi adatvédelmi feltételekre, egyedi utasításadásra, single-tenant környezetre, egyedi megőrzési időre, helyszíni auditra vagy az al-adatfeldolgozók egyedi blokkolására van szüksége, az Ügyfél az enterprise@azta.ai címen kezdeményezheti Enterprise szerződés megkötését, amelynek adatvédelmi melléklete egyedileg tárgyalható.

1.5 Amennyiben a jelen dokumentum valamely rendelkezése ellentétes az ÁSZF vagy bármely más dokumentum adatvédelmi tárgyú rendelkezésével, adatvédelmi kérdésekben a jelen dokumentum rendelkezése az irányadó.

1.6 A jelen dokumentum a Szolgáltatás valamennyi, az ÁSZF szerint igénybe vehető formájára irányadó, így az azta Pro, az azta Team és az Atlas előfizetésre, valamint a Szolgáltatás díjmentes használatára is. Az egyes funkciókra vonatkozó különös rendelkezések kizárólag akkor alkalmazandók, ha az adott funkció az Ügyfél számára elérhető. Az azta Pro egy felhasználó részére nyújtott önkiszolgáló előfizetés, amely magában foglalja a kérdések megválaszolását, a dokumentumok feltöltését és elemzését, a memóriát, a diktálást, a Word bővítményt (6/A. pont) és az Atlast (jogi szövegtár és gépi fordítás). Az azta Team több felhasználó részére nyújtott önkiszolgáló előfizetés, amely az azta Pro valamennyi funkcióján túl magában foglalja a csapatmunkát és a jogosultságkezelést, a Kompetenciaközpontot (6/C. pont), a naptárintegrációt és a meeting botot (6. pont), valamint a postafiók-integrációt (6/B. pont).

2. A Felek szerepkörei

2.1 A Felek szerepkörei a kezelt adatok típusa szerint oszlanak meg:

2.2 A Felek rögzítik, hogy a Szolgáltató a Tartalmak tekintetében kizárólag adatfeldolgozóként jár el, és e tartalmak vonatkozásában nem határozza meg az adatkezelés céljait. Amennyiben a Szolgáltató a jelen dokumentumban meghatározott utasításon túlmenően határozná meg az adatkezelés céljait vagy eszközeit, a GDPR 28. cikk (10) bekezdése értelmében az adott adatkezelés tekintetében adatkezelőnek minősülne; a Szolgáltató kötelezettséget vállal arra, hogy ilyen adatkezelést nem végez.

3. Az Ügyfél dokumentált utasítása

3.1 A jelen dokumentum, az ÁSZF és az Ügyfél által a Platform adminisztrációs felületén elvégzett beállítások együttesen minősülnek az Ügyfél dokumentált utasításának a GDPR 28. cikk (3) bekezdés a) pontja értelmében. Az Ügyfél a jelen dokumentum elfogadásával kijelenti, hogy az alábbiakban részletezett adatkezelési műveleteket adatkezelőként megismerte, azokat a saját céljai elérése érdekében szükségesnek ítéli, és ezek elvégzésére a Szolgáltatót utasítja.

3.2 Az Ügyfél utasítása a Tartalmak és a Fiókadatok tekintetében a következő adatkezelési műveletekre terjed ki, és ezeken túlmenő műveletre nem:

• a Tartalmak fogadása, tárolása és biztonsági mentése az Európai Unió területén, a 13. pont szerint;
• a Tartalmak továbbítása a „B” függelékben felsorolt al-adatfeldolgozóknak, kizárólag a válaszgenerálás, a dokumentumfeldolgozás, a beszédátírás és a webes keresés céljából;
• a Tartalmak alapján válaszok, összefoglalók és memók generálása, és ezek megjelenítése az Ügyfél felhasználói számára;
• a Tartalmak megjelenítése az Ügyfél felhasználói számára az Ügyfél által beállított jogosultságok szerint;
• a Fiókadatok kezelése a felhasználók hitelesítése és a jogosultságkezelés céljából;
• azta Team előfizetés esetén az összekapcsolt naptár olvasása, a megbeszéléseken való részvétel, a hang rögzítése, átírása és az átiratból összefoglaló készítése a 6. pont szerint, kizárólag azokon a megbeszéléseken, amelyekre az Ügyfél felhasználója a botot kifejezetten vagy az általa beállított szabály alapján meghívta;
• a Tartalmakhoz való emberi hozzáférés kizárólag az alábbi három esetben: (i) az Ügyfél kifejezett, dokumentált kérésére nyújtott ügyféltámogatás keretében, (ii) dokumentált biztonsági incidens vagy visszaélés (így különösen prompt-injection támadás) kivizsgálása céljából, vagy (iii) jogszabályi vagy kötelező hatósági kötelezettség teljesítése érdekében. Minden egyéb esetben a Tartalmak feldolgozása kizárólag automatizált módon történik;
• a Word bővítmény által a megnyitott dokumentumból kiolvasott tartalom 30 napig tartó tárolása és feldolgozása, valamint a felhasználó által jóváhagyott módosítások korrektúrával történő beírása a dokumentumba, a 6/A. pont szerint;
• azta Team előfizetés esetén az összekapcsolt céges postafiók olvasása, a beérkezett és elküldött levelekről tükrözött példány készítése és annak gépi feldolgozása, a felismert számlák és pénzügyi dokumentumok rendezése az Ügyfél munkaterületére, a hatósági levelekben szereplő határidők és bekért iratok kiemelése, válaszvázlat készítése, a felhasználó által jóváhagyott levél (válasz a meglévő levélszálban, továbbított levél vagy új levél) elküldése kizárólag a felhasználó kattintására és a címzettek megerősítését követően, az elküldött levelekről nyilvántartás vezetése, valamint a tükrözött példány törlése, a 6/B. pont szerint;
• azta Team előfizetés esetén a felhasználók Platform-használatára vonatkozó statisztikai kimutatás elkészítése és megjelenítése az Ügyfél adminisztrátora számára, a 6/C. pont szerint;
• a Tartalmak törlése és visszaállíthatatlanná tétele a 15. pont szerint.

3.3 A Szolgáltató a Tartalmakat saját céljára nem használja fel. A Szolgáltató különösen nem használja a Tartalmakat mesterséges intelligencia modell tanítására vagy finomhangolására, nem elemzi azokat egyedi szinten termékfejlesztési célból, nem hoz létre azokból származtatott adatállományt saját célra, és nem teszi azokat más ügyfél vagy harmadik személy számára hozzáférhetővé. A Szolgáltató termékfejlesztési célra kizárólag aggregált, álnevesített használati statisztikát használ, amely Tartalmat nem foglal magában.

3.4 Az Ügyfél a Platform beállításain keresztül további utasítást adhat, így különösen a funkciók ki- és bekapcsolásával, a felhasználói jogosultságok meghatározásával és az adatok törlésével. Az önkiszolgáló előfizetés keretében a jelen dokumentumban és a beállításokban foglaltakon túlmenő egyedi utasítás adására nincs mód; ilyen igény esetén az 1.4 pont irányadó.

3.5 A Szolgáltató haladéktalanul értesíti az Ügyfelet, ha megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt (GDPR 28. cikk (3) bekezdés második albekezdése). Ilyen esetben a Szolgáltató az érintett utasítás végrehajtását a kérdés tisztázásáig felfüggesztheti.

3.6 A Szolgáltató a Tartalmakat harmadik országba kizárólag a 13. pontban meghatározott módon és garanciák mellett továbbítja. Ettől eltérő továbbítást a Szolgáltató kizárólag akkor végez, ha arra uniós vagy tagállami jog kötelezi; ilyen esetben a Szolgáltató a feldolgozást megelőzően értesíti az Ügyfelet, kivéve, ha az értesítést az adott jogszabály fontos közérdekből tiltja.

3.7 A Szolgáltató kifejezetten vállalja, hogy az Ügyfél felhasználói által feltett kérdéseket (promptokat) és az azokra generált válaszokat - az előfizetési csomagtól függetlenül, a díjmentes használat esetén is - nem tekinti meg és nem olvassa el; ezek feldolgozása kizárólag automatizált módon, a válasz előállítása céljából történik. A Szolgáltató munkatársai e Tartalmakhoz kizárólag a 3.2 pontban meghatározott három esetben, ügyféltámogatás esetén kizárólag a kéréssel érintett körben férhetnek hozzá; minden ilyen hozzáférést a Szolgáltató módosíthatatlan hozzáférési naplóban rögzít. A 16. pont szerinti biztonsági és audit naplók a kérdések szövegét nem tartalmazzák. Ha a felhasználó a Platform felugró hibabejelentő ablakában hibát jelez, a Szolgáltató kizárólag a bejelentés szövegét, az oldal címét (URL), a bejelentés időpontját és a felhasználó azonosítóját ismeri meg; a beszélgetés a bejelentéshez nem kapcsolódik automatikusan, abban csak az szerepel, amit a felhasználó maga beír. A hibabejelentést a Szolgáltató ügyféltámogatási célból, a 16. pont szerint, önálló adatkezelőként kezeli.

4. Az adatkezelés tárgya, időtartama, jellege és célja

4.1 Tárgya: az Ügyfél által a Platformon kezelt személyes adatok. Jellege: gyűjtés, rögzítés, tárolás, rendszerezés, lekérdezés, felhasználás, automatizált elemzés mesterséges intelligencia segítségével, továbbítás az al-adatfeldolgozóknak, törlés. Célja: az azta Pro, illetve az azta Team szolgáltatás nyújtása az Ügyfél részére, azaz adózási és számviteli kutatási, elemzési és dokumentum-feldolgozási támogatás. Időtartama: az előfizetés fennállása és az azt követő időszak a fiók törléséig, valamint a fiók törlését követően a 15. pont szerinti megőrzési időtartam.

4.2 A Szolgáltató által az Ügyfél megbízásából végzett egyes adatkezelési műveletek:

4.3 A Szolgáltató a Platformon nem végez olyan automatizált egyedi döntéshozatalt vagy profilalkotást, amely az érintettre nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené (GDPR 22. cikk).

5. Az érintettek és az adatkategóriák

5.1 Az érintettek kategóriái:

• az Ügyfél munkavállalói és szerződéses közreműködői, akik a Platformot használják;
• az Ügyfél saját ügyfelei és végfelhasználói, amennyiben adataik bekerülnek a Tartalmakba;
• harmadik személyek, akik az Ügyfél dokumentumaiban vagy kérdéseiben név szerint vagy azonosítható módon megjelennek;
• a meeting bot használata esetén a megbeszélések valamennyi résztvevője, ideértve az Ügyfél saját ügyfeleit és más, az Ügyféllel jogviszonyban nem álló külső résztvevőket is, valamint a naptáresemények meghívottjai;
• a postafiók-integráció használata esetén az összekapcsolt postafiókba érkezett üzenetek feladói és további címzettjei, az Aztából küldött levelek címzettjei, valamint a számlákban és pénzügyi dokumentumokban szereplő személyek.

5.2 A személyes adatok kategóriái:

• Azonosító adatok: név, munkakör, szerepkör, céges e-mail cím, telefonszám.
• Hitelesítési és technikai adatok: SSO azonosító vagy e-mail és jelszó-hash, munkamenet-azonosító, IP-cím, eszköz- és böngészőinformáció, naplózási metaadatok.
• Tartalmi adatok: promptok, a feltöltött dokumentumok tartalma, a generált válaszok és memótervezetek, memóriák.
• Naptár- és meetingadatok: naptáresemények metaadatai és meghívottjai, a megbeszélések hangja (átmenetileg), az átirat és az összefoglaló tartalma, a résztvevők megjelenített neve, a megbeszélés időpontja és időtartama.
• Word-dokumentumadatok: a Word bővítmény által a megnyitott dokumentumból kiolvasott tartalom.
• Postafiók-adatok: az összekapcsolt postafiókba érkezett és onnan elküldött levelek tükrözött példánya (tárgy, feladó, címzettek, dátum, szövegtörzs, mellékletek, üzenetazonosító), a vázlatok, az elküldött levelek nyilvántartása (szöveg, címzettek, időpont), a felismert számlák és pénzügyi dokumentumok, valamint az azokból kinyert adatok.
• Kompetenciaközpont-adatok: a felhasználók Platform-használatának mennyiségi és időbeli adatai (így különösen a feltett kérdések és a generált kimenetek száma, valamint a napi aktivitás).
• Használati adatok: termékanalitikai események, kizárólag anonimizált vagy álnevesített formában.

5.3 Különleges kategóriájú adatok (GDPR 9. és 10. cikk). A Platform rendeltetése szerint nem különleges kategóriájú adatok kezelésére szolgál, és a Szolgáltató ilyen adatok kezelésére nem ad utasítást. A Szolgáltató az „A” függelék szerinti biztonsági intézkedéseket valamennyi Tartalomra egységesen alkalmazza. Amennyiben az Ügyfél dokumentumai kivételesen ilyen adatot tartalmaznak, az Ügyfél felelőssége, hogy ehhez a GDPR 9. cikk (2) bekezdése szerinti feltétel fennálljon, és hogy az adattakarékosság elvét betartsa.

6. Naptárintegráció és meeting bot (azta Team)

6.1 A Platform lehetővé teszi, hogy az Ügyfél felhasználói összekapcsolják a Google vagy a Microsoft naptárukat a Platformmal, és a megbeszéléseikre meghívják a Szolgáltató botját, amely a megbeszélésről szöveges átiratot és összefoglalót készít. A jelen 6. pont e funkcióra vonatkozó különös rendelkezéseket tartalmazza; egyebekben a jelen dokumentum valamennyi rendelkezése irányadó. A funkció kizárólag azta Team előfizetés keretében érhető el.

6.2 Szerepkörök. A naptáradatok, a megbeszélések hangja, az átiratok és az összefoglalók tekintetében az Ügyfél az adatkezelő, a Szolgáltató pedig adatfeldolgozó. Az Ügyfél adatkezelői felelőssége kiterjed a megbeszélések valamennyi résztvevőjére, ideértve azokat a külső résztvevőket is, akik nem az Ügyfél munkavállalói vagy ügyfelei.

6.3 A naptárkapcsolat technikai megvalósítása. A naptárintegrációt a Szolgáltató a Hyperdoc Inc. („Recall.ai", a továbbiakban: Recall.ai) Calendar API-ján keresztül valósítja meg. Ez azt jelenti, hogy az Ügyfél felhasználója által adott OAuth-engedélyt és az annak alapján kiállított hozzáférési tokeneket a Recall.ai tárolja, és a naptáresemények lekérdezését is a Recall.ai végzi a Szolgáltató megbízásából. A Recall.ai ezért nemcsak a megbeszélések hangja, hanem a naptáradatok tekintetében is a Szolgáltató al-adatfeldolgozójának minősül, a „B” függelék szerinti feltételekkel. A Szolgáltató kizárólag olvasási jogosultságot kér, és kizárólag azokat az eseményeket dolgozza fel, amelyek videokonferencia-linket tartalmaznak.

6.3/a A Google és a Microsoft szerepe. A naptárt üzemeltető Google, illetve Microsoft ebben a viszonyban nem a Szolgáltató al-adatfeldolgozója, hanem az Ügyfél saját szolgáltatója, amellyel az Ügyfél önálló jogviszonyban áll; a Szolgáltató, illetve a Recall.ai e rendszerekhez kizárólag az Ügyfél felhasználója által adott engedély alapján fér hozzá. Ugyanez irányadó a megbeszélés-platformokra (Google Meet, Microsoft Teams, Zoom és hasonlók). A Szolgáltató a Google API-kon keresztül megszerzett adatok kezelése során betartja a Google API Services User Data Policy előírásait, ideértve a Limited Use követelményeket, és e követelmények betartását az al-adatfeldolgozójára is kiterjeszti. A naptárkapcsolat bármikor megszüntethető; a megszüntetés a tárolt hozzáférési tokenek visszavonását és törlését is maga után vonja.

6.4 A Szolgáltató a funkció körében az alábbi adatkezelési műveleteket végzi, és ezeken túlmenő műveletet nem:

• az OAuth-engedély és a hozzáférési tokenek kezelése, valamint az összekapcsolt naptár olvasása a 6.3 pont szerinti al-adatfeldolgozó útján, kizárólag olvasási jogosultsággal, és kizárólag a videokonferencia-linket tartalmazó események tekintetében;
• a bot csatlakoztatása azokhoz a megbeszélésekhez, amelyekre az Ügyfél felhasználója a botot kifejezetten vagy az általa beállított szabály alapján meghívta;
• a megbeszélés hangjának rögzítése és továbbítása a „B” függelék szerinti al-adatfeldolgozóknak átírás céljából;
• az átirat és az abból készült összefoglaló előállítása, tárolása és megjelenítése az Ügyfél felhasználói számára;
• a hangfelvétel végleges törlése az átírást követően.

6.5 A Szolgáltató által biztosított átláthatósági funkciók. A Szolgáltató az Ügyfél megfelelésének támogatása érdekében az alábbi funkciókat biztosítja és tartja fenn a funkció teljes élettartama alatt:

• a bot a megbeszélés résztvevői számára láthatóan, a felvétel készítésére egyértelműen utaló néven csatlakozik;
• a bot a csatlakozáskor üzenetet küld a megbeszélés chatébe, amely tájékoztat a felvétel készítéséről és hivatkozik egy nyilvánosan elérhető résztvevői tájékoztatóra;
• a megbeszélés szervezője a bot eltávolítását a Platformon egy művelettel kezdeményezheti;
• az automatikus csatlakozás alapértelmezetten ki van kapcsolva, és az Ügyfél által bármikor kikapcsolható;
• a Szolgáltató lehetővé teszi az átirat egészének, valamint egy adott résztvevő megszólalásainak törlését vagy anonimizálását.

6.6 Technikai korlátozások. A bot kizárólag hangot rögzít; videó- és képernyőfelvétel nem készül. A hangfelvétel az átírást követően haladéktalanul, véglegesen törlésre kerül, és a Szolgáltató tartós tárolást nem végez. A Szolgáltató nem végez hangalapú biometrikus azonosítást, és a beszélők megkülönböztetéséhez nem tárol megbeszéléseken átívelő hangmintát. A Szolgáltató nem végez érzelemfelismerést; e tekintetben a 17. pont is irányadó.

6.7 Különleges kategóriájú adatok. A Felek rögzítik, hogy a megbeszélések tartalma esetenként a GDPR 9. cikke szerinti különleges kategóriájú adatot is tartalmazhat anélkül, hogy azt a résztvevők szándékosan osztanák meg. Az Ügyfél felelőssége annak mérlegelése, hogy mely megbeszéléseket rögzíti, és hogy fennáll-e a GDPR 9. cikk (2) bekezdése szerinti feltétel. A Szolgáltató a megbeszélésekből származó valamennyi adatra egységesen alkalmazza az „A” függelék szerinti biztonsági intézkedéseket.

6.8 Szakmai titok. A Szolgáltató tudomásul veszi, hogy az Ügyfél megbeszélésein adótitok, üzleti titok vagy más, jogszabály által védett titok hangozhat el, és e tartalmakra a 8.2 pont szerinti titoktartási kötelezettség teljeskörűen kiterjed.

6/A. Word bővítmény

6/A.1 Tárgyi hatály. A jelen 6/A. pont a Word bővítményre vonatkozó különös rendelkezéseket tartalmazza. Egyebekben a jelen dokumentum valamennyi rendelkezése e funkcióra is irányadó. A funkció az Ügyfél felhasználójának kifejezett kezdeményezésére aktiválódik. A Word bővítmény az azta Pro és az azta Team előfizetés keretében egyaránt elérhető.

6/A.2 Szerepkörök. A Word bővítmény által a megnyitott dokumentumból kiolvasott tartalom tekintetében az Ügyfél az adatkezelő, a Szolgáltató pedig adatfeldolgozó. Az Ügyfél adatkezelői felelőssége kiterjed a dokumentumokban szereplő harmadik személyekre is.

6/A.3 A Microsoft szerepe. A Microsoft Word és a Microsoft 365 az Ügyfél, illetve felhasználója saját szolgáltatása; a Microsoft e viszonyban nem a Szolgáltató al-adatfeldolgozója. A Microsoft Marketplace áruházon (korábban: AppSource) keresztüli terjesztéshez kapcsolódó adatok tekintetében a Microsoft önálló adatkezelőként jár el.

6/A.4 Az utasítás terjedelme. A Szolgáltató a funkció körében kizárólag az alábbi adatkezelési műveleteket végzi:

• a Word bővítmény által a megnyitott dokumentumból kiolvasott tartalom 30 napig tartó tárolása és feldolgozása, a kimenet megjelenítése az Ügyfél felhasználója számára, valamint a felhasználó által jóváhagyott módosítások korrektúrával (Track Changes) történő beírása a dokumentumba.

6/A.5 Közzététel. A Word bővítményt a Szolgáltató „Azta Korlátolt Felelősségű Társaság” kiadói néven, a Microsoft Partner Centerben ellenőrzött kiadói fiókon keresztül adja ki.

6/A.6 Modelltanítás kizárása. A Word bővítmény által a dokumentumból kiolvasott tartalmat sem a Szolgáltató, sem bármely al-adatfeldolgozó nem használja fel mesterséges intelligencia modell tanítására vagy finomhangolására. Ez a tartalom analitikai szolgáltatóhoz nem kerül továbbításra.

6/B. Postafiók-integráció (azta Team)

6/B.1 Tárgyi hatály. A jelen 6/B. pont a Gmail (Google Workspace) és a Microsoft Outlook (Microsoft 365) postafiók-integrációra vonatkozó különös rendelkezéseket tartalmazza; egyebekben a jelen dokumentum valamennyi rendelkezése e funkcióra is irányadó. A funkció kizárólag azta Team előfizetés keretében, az Ügyfél szervezetéhez tartozó céges postafiókokra érhető el, és az Ügyfél felhasználójának kifejezett kezdeményezésére aktiválódik. A funkció célja, hogy az Ügyfél felhasználója a céges postafiókja leveleit a Platformon kezelhesse: a Platform megjeleníti a beérkezett és elküldött leveleket, felismeri a számlákat és pénzügyi dokumentumokat és azokat az Ügyfél munkaterületére rendezi, a hatósági levelekből kiemeli a határidőket és a bekért iratokat, a válaszra váró levelekhez válaszvázlatot készít, és a felhasználó jóváhagyása esetén elküldi a levelet (választ, továbbított levelet vagy új levelet).

6/B.2 Szerepkörök. Az összekapcsolt postafiókból származó valamennyi adat tekintetében az Ügyfél az adatkezelő, a Szolgáltató pedig adatfeldolgozó. Az Ügyfél adatkezelői felelőssége kiterjed az üzenetek feladóira és további címzettjeire, valamint a számlákban és pénzügyi dokumentumokban szereplő személyekre is; az adatkezelés jogalapjának meghatározása és az érintettek tájékoztatása az Ügyfél kötelezettsége.

6/B.3 Hozzáférés. A Szolgáltató olvasási jogosultságot, valamint a jóváhagyott levelek elküldéséhez szükséges küldési jogosultságot kér: a Gmail-integráció a Google korlátozott hatókörű (restricted scope) gmail.readonly és érzékeny hatókörű (sensitive scope) gmail.send jogosultságát, a Microsoft Outlook-integráció a Microsoft Entra ID delegált Mail.Read, Mail.Send, User.Read és offline_access jogosultságát használja. A Szolgáltató alkalmazásszintű jogosultságot nem kér, így kizárólag a bejelentkezett felhasználó saját postafiókját éri el. A Szolgáltató levelet kizárólag akkor küld, ha a felhasználó a Küldés gombra kattint és a címzetteket megerősíti; ilyenkor kizárólag ezt az egyetlen levelet küldi el, a felhasználó saját postafiókjából, választ pedig a meglévő levélszálban küld. Ezen túlmenően a Szolgáltató levelet nem küld, a postafiókban levelet nem módosít és nem töröl, és a postafiók beállításaihoz nem fér hozzá. Az új levelekről a Szolgáltató Gmail esetén a Google Cloud Pub/Sub, Microsoft Outlook esetén a Microsoft Graph értesítése útján értesül; az értesítés kizárólag a postafiók címét és egy azonosítót tartalmaz, levéltartalmat nem. A Google és a Microsoft e viszonyban nem a Szolgáltató al-adatfeldolgozója, hanem az Ügyfél saját szolgáltatója.

6/B.4 Az utasítás terjedelme. A Szolgáltató a funkció körében kizárólag a következő adatkezelési műveleteket végzi: (a) első csatlakoztatáskor a postafiók utolsó 30 napjának beérkezett és elküldött leveleiről, ezt követően az új levelekről tükrözött példány készítése és a levelek megjelenítése a felhasználó számára; (b) a tükrözött levelek és mellékletek gépi feldolgozása a számlák és pénzügyi dokumentumok felismerése, a hatósági levelekben szereplő határidők és bekért iratok kiemelése, valamint a válaszvázlat elkészítése céljából; (c) a felismert dokumentumok és a belőlük kinyert adatok rendezése az Ügyfél munkaterületére; (d) válaszvázlat készítése a válaszra váró levelekhez, automatikusan vagy a felhasználó kérésére; a vázlat kizárólag a Platformon jelenik meg, a postafiókban piszkozatként nem jön létre; (e) a felhasználó által jóváhagyott levelek (válasz, továbbított levél, új levél) elküldése a 6/B.3 pont szerint; (f) az elküldött levelekről nyilvántartás vezetése (a levél szövege, címzettjei és a küldés időpontja); valamint (g) az adatok törlése a 6/B.5 pont szerint.

6/B.5 Megőrzés. A Szolgáltató a tükrözött leveleket és mellékleteket, a válaszvázlatokat és az egyéb vázlatokat, valamint az elküldött levelek nyilvántartását addig tárolja, amíg azokat a felhasználó nem törli; automatikus, időalapú törlés nincs. Törlésnek minősül, ha a felhasználó a levelet a postafiókjában törli vagy a kukába helyezi, ha a postafiókot a „Leválasztás és levelek törlése” gombbal leválasztja, illetve ha másik postafiókra vált; a tárolás legkésőbb a fiók törléséig tart, ezt követően a 15. pont irányadó. A felismert számlák, pénzügyi dokumentumok és a belőlük kinyert adatok az Ügyfél munkaterületén maradnak, amíg azokat az Ügyfél nem törli, de legfeljebb a fiók törléséig; ezt követően a 15. pont irányadó. A postafiók-kapcsolat a Beállítások › Kapcsolatok menüpontban kétféleképpen szüntethető meg: a levelek megtartásával vagy a levelek törlésével. A Szolgáltató a hozzáférési adatokat mindkét esetben törli, és Gmail esetén a hozzáférést a Google-nél is visszavonja; Microsoft-fiók esetén a hozzáférés a Szolgáltató oldaláról nem vonható vissza, azt a felhasználó a Microsoft-fiókja beállításaiban, illetve a rendszergazda a Microsoft Entra felügyeleti központban vonhatja vissza.

6/B.6 Emberi hozzáférés és a Google követelményei. A postafiókból származó adatokhoz a Szolgáltató munkatársai kizárólag a 3.2 pontban meghatározott három esetben, valamint aggregált, anonimizált formában, belső üzemeltetési célból férnek hozzá. A Szolgáltató a Google API-kon keresztül megszerzett adatok kezelése során betartja a Google API Services User Data Policy előírásait, ideértve a korlátozott hatókörű jogosultságokra vonatkozó Limited Use követelményeket, és a Google által előírt független biztonsági értékelést (CASA) elvégezteti, és évente megújítja.

6/B.7 Modelltanítás és analitika kizárása. A postafiókból származó adatokat sem a Szolgáltató, sem bármely al-adatfeldolgozó nem használja fel mesterséges intelligencia modell tanítására vagy finomhangolására, és ezek az adatok analitikai szolgáltatóhoz nem kerülnek továbbításra. A funkcióhoz új al-adatfeldolgozóként kizárólag a Google Cloud EMEA Limited (Google Cloud Pub/Sub) kerül bevonásra, az új levelekről szóló, levéltartalmat nem tartalmazó értesítések továbbítására (B.1/a pont).

6/B.8 Az Ügyfél kötelezettségei. Az Ügyfél szavatolja, hogy (a) kizárólag a szervezetéhez tartozó, rendelkezési joga alá eső céges postafiókot kapcsol össze, magáncélú postafiókot nem; (b) munkavállalói postafiók összekapcsolása esetén a munka törvénykönyvéről szóló 2012. évi I. törvény 11/A. §-át betartja, és a munkavállalót előzetesen tájékoztatja; (c) jogszabály által védett titkot - így különösen ügyvédi, orvosi vagy más foglalkozási titkot - tartalmazó postafiókot csak akkor kapcsol össze, ha annak feldolgozására megfelelő jogalappal rendelkezik; (d) az üzenetek feladói és további címzettjei, valamint az elküldött levelek címzettjei tekintetében megfelelő jogalappal rendelkezik, és őket a GDPR 13-14. cikkének megfelelően tájékoztatja; (e) a felhasználói az elküldendő levelet, ideértve a válaszvázlatot is, valamint a címzetteket küldés előtt ellenőrzik, és a funkciót kéretlen, reklám célú vagy tömeges levél küldésére nem használják. A Platformról elküldött levél tartalmáért és címzettjeiért az Ügyfél felel. A válaszvázlatot mesterséges intelligencia készíti, ezért az hibás vagy hiányos lehet, és nem minősül jogi vagy adózási tanácsadásnak (17.4 pont).

6/C. Kompetenciaközpont (azta Team)

6/C.1 Tárgyi hatály. A Kompetenciaközpont az azta Team előfizetés adminisztrációs felületén elérhető funkció, amely az Ügyfél által kijelölt adminisztrátor számára statisztikai kimutatást készít az Ügyfél felhasználóinak Platform-használatáról, így különösen a feltett kérdések számáról, a napi aktivitásról, az aktív felhasználókról és a generált kimenetekről. Egyebekben a jelen dokumentum valamennyi rendelkezése e funkcióra is irányadó.

6/C.2 Szerepkörök. A kimutatás alapjául szolgáló adatok tekintetében az Ügyfél az adatkezelő, a Szolgáltató pedig adatfeldolgozó. A Kompetenciaközpont használatának célját - a Platform szervezeten belüli kihasználtságának és bevezetésének nyomon követését - az Ügyfél határozza meg, és az adatkezelés jogalapjáért az Ügyfél felel.

6/C.3 Az utasítás terjedelme. A Szolgáltató a funkció körében kizárólag a felhasználók Platform-használatára vonatkozó mennyiségi és időbeli adatok összesítését, valamint a kimutatás megjelenítését végzi az Ügyfél adminisztrátora számára. A Kompetenciaközpont nem mesterséges intelligencián alapuló értékelés: a Szolgáltató a felhasználókról profilt nem alkot, és teljesítményüket nem értékeli.

6/C.4 Az Ügyfél kötelezettségei. Az Ügyfél vállalja és szavatolja, hogy (a) a felhasználókat a Kompetenciaközpont működéséről és az abban megismerhető adatokról előzetesen tájékoztatja, munkavállaló esetén a munka törvénykönyvéről szóló 2012. évi I. törvény 11/A. §-ának megfelelően; (b) a Kompetenciaközpont adatait nem használja fel a felhasználók teljesítményének vagy magatartásának értékelésére, illetve munkajogi intézkedés kizárólagos alapjául; (c) jogos érdekre hivatkozás esetén dokumentált érdekmérlegelést készít.

7. Az Ügyfél kötelezettségei és szavatosságai

7.1 Jogképesség és felhatalmazás. Az Ügyfél szavatolja, hogy a Szolgáltatást gazdasági vagy szakmai tevékenysége körében veszi igénybe, továbbá hogy a Tartalmak tekintetében ő minősül adatkezelőnek, vagy az adatkezelő - így különösen a munkáltatója vagy megbízója - felhatalmazása alapján, annak nevében jár el és köti meg a jelen megállapodást. Amennyiben az Ügyfél természetes személyként, de egy szervezet nevében fizet elő, a jelen megállapodás az adott szervezetet mint adatkezelőt is kötelezi.

7.2 Jogalap. Az Ügyfél biztosítja, hogy a Platformra továbbított vagy azon kezelt személyes adatok tekintetében megfelelő jogalappal rendelkezik, és azt dokumentálja. A Szolgáltató a jogalap meglétét nem vizsgálja és azért nem felel.

7.3 Érintetti tájékoztatás. Az Ügyfél gondoskodik arról, hogy a saját munkavállalóit, ügyfeleit és a Tartalmakban megjelenő harmadik személyeket a GDPR 13-14. cikkének megfelelően tájékoztassa az AI-alapú platform igénybevételéről és az abból fakadó adatkezelésekről, különös tekintettel a 13. pont szerinti, EGT-n kívüli továbbításokra.

7.4 Utasításadás jogszerűsége és adattakarékosság. Az Ügyfél kizárólag a GDPR-ral és az irányadó joggal összhangban álló utasítást adhat. Az Ügyfél biztosítja, hogy a Platformon kezelt adatok köre megfeleljen az adattakarékosság elvének, és hogy a felhasználói ne töltsenek fel a kérdés megválaszolásához szükségtelen személyes adatot.

7.5 A meeting bot használatának különös feltételei. Amennyiben az Ügyfél a 6. pont szerinti funkciót használja, az Ügyfél az alábbiakat vállalja és szavatolja:

• a megbeszélés valamennyi résztvevőjét - ideértve a külső résztvevőket is - előzetesen tájékoztatja a felvétel készítéséről, és a GDPR 13-14. cikke szerinti tájékoztatást megadja;
• megszerzi a Polgári Törvénykönyv 2:48. §-a szerinti, a hangfelvétel készítéséhez és felhasználásához szükséges személyiségi jogi hozzájárulást, illetve biztosítja, hogy a tájékoztatás és a tiltakozás lehetősége alapján az ráutaló magatartással megadottnak legyen tekinthető;
• a felvételt nem készíti a résztvevők tudta nélkül; az Ügyfél tudomásul veszi, hogy a titkos hangrögzítés a Büntető Törvénykönyv 422. §-a szerinti tiltott adatszerzést is megvalósíthatja;
• a bot eltávolítását kérő résztvevő kérését haladéktalanul teljesíti;
• munkavállalói megbeszélések rögzítése esetén betartja a munka törvénykönyvéről szóló 2012. évi I. törvény 11/A. §-át, és az átiratot nem használja rejtett teljesítményértékelésre vagy aránytalan munkavállalói megfigyelésre;
• elvégzi a GDPR 35. cikke szerinti adatvédelmi hatásvizsgálatot, amennyiben az a saját adatkezelése tekintetében kötelező, és dokumentált érdekmérlegelést (LIA) készít, ha jogos érdekre hivatkozik;
• a funkciót nem használja olyan megbeszélés rögzítésére, amelynek rögzítését jogszabály tiltja.

A Szolgáltató kérésre érdekmérlegelési és résztvevői tájékoztató mintát bocsát az Ügyfél rendelkezésére. A minta használata nem mentesíti az Ügyfelet az adatkezelői felelősség alól.

7.6 Kártalanítás. Az Ügyfél megtéríti a Szolgáltatónak azt a kárt, bírságot vagy igazolt költséget, amely abból ered, hogy az Ügyfél a 7.1-7.5 pontban, valamint a 6/B.8 és a 6/C.4 pontban foglalt kötelezettségeit vagy szavatosságait megszegte.

8. A Szolgáltató kötelezettségei

8.1 Utasítás szerinti feldolgozás. A Szolgáltató a személyes adatokat kizárólag a 3. pont szerinti dokumentált utasítás alapján kezeli (GDPR 28. cikk (3) bekezdés a) pont).

8.2 Titoktartás. A Szolgáltató biztosítja, hogy az adatokhoz hozzáféréssel rendelkező munkavállalói és közreműködői írásbeli titoktartási nyilatkozatot tettek, vagy azonos szintű jogszabályi titoktartási kötelezettség alatt állnak (GDPR 28. cikk (3) bekezdés b) pont). A Szolgáltató tudomásul veszi, hogy az Ügyfél tevékenysége körében a Tartalmak adótitoknak, üzleti titoknak vagy más, jogszabály által védett titoknak minősülhetnek.

8.3 Biztonsági intézkedések. A Szolgáltató az „A” függelék szerinti technikai és szervezési intézkedéseket tartja fenn, és azokat a technológia állásának megfelelően rendszeresen felülvizsgálja (GDPR 28. cikk (3) bekezdés c) pont és 32. cikk).

8.4 Al-adatfeldolgozók. A Szolgáltató a 9. pont szerint jár el (GDPR 28. cikk (2) és (4) bekezdés).

8.5 Segítségnyújtás az érintetti jogok teljesítéséhez. A Szolgáltató a 10. pont szerint jár el (GDPR 28. cikk (3) bekezdés e) pont).

8.6 Segítségnyújtás a 32-36. cikk szerinti kötelezettségekhez. A Szolgáltató a 11. és 12. pont szerint jár el, és az Ügyfél írásbeli kérésére, a rendelkezésére álló információk alapján és ésszerű mértékben segítséget nyújt az adatvédelmi hatásvizsgálat (GDPR 35. cikk) elkészítéséhez és az előzetes konzultációhoz (GDPR 36. cikk). A Szolgáltató e célra a Trust Centerben közzétett dokumentációt bocsátja rendelkezésre.

8.7 Törlés vagy visszaszolgáltatás. A Szolgáltató a 15. pont szerint jár el (GDPR 28. cikk (3) bekezdés g) pont).

8.8 A megfelelés igazolása és ellenőrzés. A Szolgáltató a 14. pont szerint jár el (GDPR 28. cikk (3) bekezdés h) pont).

8.9 Nyilvántartás. A Szolgáltató vezeti a GDPR 30. cikk (2) bekezdése szerinti adatfeldolgozói nyilvántartást, és annak az Ügyfélre vonatkozó részét indokolt kérésre, a bizalmas információk védelmét biztosító módon megtekinthetővé teszi.

8.10 Modelltanítás kizárása. A Szolgáltató garantálja, hogy az Ügyfél Tartalmai sem a Szolgáltató, sem bármely al-adatfeldolgozó által nem kerülnek felhasználásra modelltanításhoz vagy finomhangoláshoz. Az elsődleges AI inference gatewayként működő OpenRouterrel és a Mistral AI-jal Zero Data Retention konfiguráció van érvényben, amelynek alapján a válasz generálását követően sem a bemenetet, sem a kimenetet nem tárolják. A Mistral AI-nál a modelltanítás ezen felül a fiókbeállításokban is ki van kapcsolva; a Soniox a hangot memóriában dolgozza fel, és nem tárolja.

9. Al-adatfeldolgozók

9.1 Az Ügyfél a jelen dokumentum elfogadásával általános, előzetes jóváhagyását adja a „B” függelék szerinti al-adatfeldolgozók igénybevételéhez (GDPR 28. cikk (2) bekezdés).

9.2 Az al-adatfeldolgozók naprakész listája a Trust Centerben érhető el: https://azta.eu.trust.site/resources. Az Ügyfél a listához e-mail értesítésre iratkozhat fel.

9.3 Új al-adatfeldolgozó bevonásáról vagy meglévő cseréjéről a Szolgáltató a tervezett hatálybalépést megelőzően legalább 30 nappal e-mailben értesíti az Ügyfelet.

9.4 Kifogás. Az Ügyfél a GDPR 28. cikk (2) bekezdése alapján az értesítéstől számított 15 napon belül, írásbeli indokolással kifogást emelhet az új al-adatfeldolgozó bevonása, illetve a meglévő al-adatfeldolgozó cseréje ellen. A Szolgáltató a kifogást megvizsgálja, és az Ügyféllel a kifogás kézhezvételétől számított 15 napon belül egyeztet, különös tekintettel arra, hogy a kifogásban megjelölt aggály ésszerű intézkedéssel orvosolható-e. Az Ügyfél tudomásul veszi, hogy az önkiszolgáló, több bérlős (multi-tenant) környezetben egyedi al-adatfeldolgozó blokkolására nincs mód; erre kizárólag single-tenant Enterprise előfizetés keretében van lehetőség. Az al-adatfeldolgozó bevonása, illetve cseréje a 19.4 pont szerint rendkívüli felmondásra nem jogosít; az Ügyfél az előfizetését az ÁSZF szerinti rendes felmondással bármikor megszüntetheti.

9.5 A Szolgáltató valamennyi al-adatfeldolgozóval a GDPR 28. cikkének megfelelő szerződést köt, és az al-adatfeldolgozó adatvédelmi kötelezettségeinek teljesítéséért úgy felel, mintha az adott tevékenységet saját maga végezné (GDPR 28. cikk (4) bekezdés).

10. Érintetti kérelmek

10.1 A Platformon kezelt, az Ügyfél adatkezelésébe tartozó adatokkal kapcsolatos érintetti kérelmeket az érintettek az Ügyfélhez nyújtják be. Az érintetti jogok teljesítéséért az Ügyfél mint adatkezelő felel.

10.2 A Szolgáltatóhoz közvetlenül benyújtott ilyen kérelmeket a Szolgáltató érdemben nem válaszolja meg, hanem haladéktalanul, de legkésőbb 5 munkanapon belül továbbítja az Ügyfélnek, és erről az érintettet tájékoztatja.

10.3 A Szolgáltató az Ügyfél kérelmeinek teljesítését elsősorban a Platformon elérhető önkiszolgáló eszközökkel (exportálás, keresés, szerkesztés, törlés) támogatja. Amennyiben a kérelem teljesítése ezekkel nem lehetséges, a Szolgáltató az Ügyfél írásbeli utasítására ésszerű technikai és szervezési támogatást nyújt.

11. Adatvédelmi incidens

11.1 A Szolgáltató az Ügyfél adatait érintő adatvédelmi incidensről a tudomásszerzéstől számított 48 órán belül írásban értesíti az Ügyfelet. Az értesítés tartalmazza a GDPR 33. cikk (3) bekezdése szerinti elemeket: az incidens jellegét, az érintettek kategóriáit és hozzávetőleges számát, a várható következményeket, valamint a megtett vagy tervezett intézkedéseket. Ha az információk csak szakaszosan állnak rendelkezésre, a Szolgáltató azokat haladéktalanul kiegészíti.

11.2 A felügyeleti hatóság és az érintettek értesítéséről az Ügyfél mint adatkezelő dönt és gondoskodik. A Szolgáltató ehhez ésszerű támogatást nyújt.

11.3 A Szolgáltató dokumentált incidenskezelési folyamattal rendelkezik, amely lefedi az észlelést, az izolálást, a kivizsgálást, a helyreállítást, az értesítést és az utólagos elemzést.

12. Biztonság

12.1 A Szolgáltató az „A” függelék szerinti technikai és szervezési intézkedéseket alkalmazza.

12.2 A Szolgáltató érvényes ISO/IEC 27001:2022 tanúsítvánnyal rendelkezik. A tanúsítvány a Trust Centerben, illetve írásbeli kérésre, titoktartási kötelezettség mellett érhető el.

13. Nemzetközi adattovábbítás

13.1 EU adatrezidencia. Az Ügyfél Tartalmai nyugalmi állapotban az Európai Unió területén, az AWS és a Supabase frankfurti (eu-central-1) régiójában kerülnek tárolásra. Az inference hívások a Szolgáltató EU-beli környezetéből indulnak.

13.2 AI-feldolgozás és harmadik országba történő továbbítás. A Szolgáltató elsődleges inference gatewayként az OpenRouter, Inc. szolgáltatását veszi igénybe, EU-only konfigurációban: a Tartalmakat kizárólag az EU/EGT területén működő modellszolgáltatók dolgozzák fel, és azok harmadik országba nem kerülnek. Az USA-ba kizárólag a Szolgáltató OpenRouter-fiókjához kapcsolódó üzemeltetési adatok (fiók-, számlázási és naplóadatok) kerülnek. A Zero Data Retention konfiguráció biztosított. A diktálás a Soniox EU végpontján történik (13.2/a pont). A webes keresés funkció használata esetén a keresési kifejezés a „B” függelék szerinti szolgáltatóhoz (Exa Labs, Inc.), az USA-ba kerülhet továbbításra.

13.2/a A naptárintegráció és a meeting bot funkció tekintetében a Szolgáltató a Recall.ai szolgáltatását EU régiós (eu-central-1, Frankfurt) konfigurációban veszi igénybe; az adatokat a Recall.ai az EU régióban tárolja és dolgozza fel, a felvételeket tartósan nem tárolja, és rá is kiterjednek a Google API Services User Data Policy szerinti Limited Use követelmények (6.3/a pont). A Soniox szolgáltatását (diktálás és meeting bot) a Szolgáltató EU régiós projektben és EU végponton veszi igénybe; a Soniox a hangot és az átírt szöveget - a szerződésében meghatározott szűk kivételekkel - az EU régióban dolgozza fel, a rendszeradatok (fiók-, használati és számlázási adatok) azonban az USA-ba kerülhetnek. Mindkét szolgáltató amerikai bejegyzésű társaság, ezért a Szolgáltató velük a 13.3 pont szerinti garanciákat alkalmazza.

13.2/b A postafiók-integráció tekintetében a Gmail-postafiókba érkező új levelekről szóló értesítést a Google Cloud EMEA Limited (Google Cloud Pub/Sub) továbbítja, európai uniós tárolással; az értesítés kizárólag a postafiók címét és egy azonosítót tartalmaz, levéltartalmat nem. A szolgáltató anyavállalata a Google LLC (USA), ezért a Szolgáltató a 13.3 pont szerinti garanciákat alkalmazza. A postafiókból származó leveleket és mellékleteket a Szolgáltató a 13.1 és a 13.2 pont szerint, az EU-ban tárolja és dolgozza fel.

13.3 Garanciák. A harmadik országba történő továbbítások tekintetében a Szolgáltató az érintett al-adatfeldolgozókkal az Európai Bizottság 2021/914/EU végrehajtási határozata szerinti általános szerződési feltételek (SCC) megfelelő modulját (a továbbítás jellegétől függően a 2. vagy a 3. modult) megkötötte, illetve - ahol a címzett megfelelően tanúsított - az EU-USA Adatvédelmi Keretrendszerre (EU-US Data Privacy Framework) támaszkodik. Az SCC-k másolata az Ügyfél írásbeli, titoktartást vállaló kérésére rendelkezésre bocsátásra kerül.

13.4 Transzfer-hatásvizsgálat. A Szolgáltató a 13. pont szerinti továbbításokra vonatkozóan az EDPB 01/2020 számú ajánlása szerinti transzfer-hatásvizsgálatot (TIA) elvégezte, és azt legalább évente, valamint jogszabályváltozás vagy releváns hatósági vagy bírósági döntés esetén felülvizsgálja. A TIA összefoglalója a Trust Centerben érhető el.

14. A megfelelés igazolása és ellenőrzés

14.1 A Szolgáltató a GDPR 28. cikk (3) bekezdés h) pontja szerinti kötelezettségét elsődlegesen dokumentáció rendelkezésre bocsátásával teljesíti. A Szolgáltató a következőket bocsátja az Ügyfél rendelkezésére, a Trust Centerben vagy írásbeli kérésre, titoktartási kötelezettség mellett: az érvényes ISO/IEC 27001:2022 tanúsítvány, a legutóbbi sebezhetőségi és behatolásvizsgálat (VAPT) vezetői összefoglalója, a jelen dokumentum „A” és „B” függeléke, valamint évente egy alkalommal egy kitöltött biztonsági kérdőív (CAIQ vagy SIG-Lite), 30 napos válaszadási határidővel.

14.2 Helyszíni vagy távoli ellenőrzés. Amennyiben a 14.1 pont szerinti dokumentumok az Ügyfél indokolt megítélése szerint nem elegendőek a megfelelés igazolásához, vagy az Ügyfelet érintő adatvédelmi incidens következett be, vagy azt az Ügyfélre irányadó jogszabály, illetve az Ügyfél felügyeleti hatósága előírja, az Ügyfél jogosult évente legfeljebb egy alkalommal helyszíni vagy távoli ellenőrzést kezdeményezni. Az ellenőrzésre legalább 30 napos előzetes írásbeli értesítést követően, rendes munkaidőben, az Ügyfél költségén, a Szolgáltató hozzáférés-szabályozási rendjének tiszteletben tartásával kerül sor.

14.3 Az ellenőrzés nem zavarhatja meg a Szolgáltató szokásos üzletmenetét, és az ellenőrzést végző személy más ügyfelek adataihoz nem férhet hozzá. Az ellenőrzést végző személyét a Szolgáltató objektív, biztonsági okból, indokolással, 15 napon belül kifogásolhatja.

14.4 A Felek rögzítik, hogy a jelen 14. pont a GDPR 28. cikk (3) bekezdés h) pontja szerinti ellenőrzési jog gyakorlásának módját szabályozza, azt nem zárja ki és nem korlátozza olyan mértékben, amely az Ügyfelet a megfelelés igazolásában akadályozná.

15. Megszűnés, export és törlés

15.1 Megőrzés és export a fiók törlését követően. Az Ügyfél fiókjának (azta Team előfizetés esetén a szervezeti fióknak) bármely okból történő törlését követően a Szolgáltató az adatfeldolgozás körébe tartozó adatokat 30 napig megőrzi, olvasható, export-módban, hogy az Ügyfél azokat strukturált, széles körben használt, géppel olvasható formátumban letölthesse. Az Ügyfél a Platformon elérhető export-funkciót használhatja. Ezen időszak alatt az adatok az exporton kívül más célra nem használhatók fel.

15.2 Logikailag törölt állapot és végleges törlés. A 15.1 pont szerinti 30 napos időszak lejártát követően az adatok további 60 napra logikailag törölt állapotba kerülnek: az Ügyfél és felhasználói számára nem hozzáférhetők, a Szolgáltató azokat - a végleges törléshez szükséges műveletek kivételével - nem használja fel és nem dolgozza fel. A 60 napos időszak leteltével a Szolgáltató az Ügyfél valamennyi adatát véglegesen és visszaállíthatatlanul törli a produktív és a biztonsági mentési rendszereiből.

15.3 Az Ügyfél a fiók törlése előtt vagy azt követően bármikor kérheti az adatok azonnali törlését; ebben az esetben a 15.1 pont szerinti 30 napos időszak nem alkalmazandó, és a 15.2 pont szerinti 60 napos időszak a kéréstől számítandó.

15.4 Törlési igazolás. A Szolgáltató a végleges törlés megtörténtéről az Ügyfél írásbeli kérésére, a törlést követő 10 munkanapon belül írásbeli igazolást állít ki.

15.5 Jogszabályi kivétel. A 15.1-15.2 pont alól kivételt képeznek azok az adatok, amelyeket kötelező jogszabályi előírás alapján tovább kell megőrizni, különösen a számvitelről szóló 2000. évi C. törvény 169. §-a szerinti 8 éves iratmegőrzés a számlázási adatokra. Ezen adatok a határidő lejártáig zárolt, a hozzáféréstől elkülönített módon kerülnek megőrzésre.

16. A Szolgáltató mint önálló adatkezelő - adatkezelési tájékoztató

16.1 A jelen 16. pont a Szolgáltató által önállóan, saját céljaira kezelt adatkörre vonatkozó adatkezelési tájékoztatónak minősül. Az ebben a pontban foglalt adatkezelések tekintetében az érintettek jogaikat közvetlenül a Szolgáltatóval szemben gyakorolhatják.

16.2 A jelen pont szerinti adatkezelésekhez a Szolgáltató a „B” függelék szerinti adatfeldolgozókat veszi igénybe. A B.2 pont szerinti adatfeldolgozók a Tartalmakhoz nem férnek hozzá.

16.3 Az érintettek a jelen pont szerinti adatkezelésekkel kapcsolatban a GDPR 15-21. cikke szerinti jogaikat az info@azta.ai címen gyakorolhatják, és panasszal élhetnek a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (1055 Budapest, Falk Miksa u. 9-11., ugyfelszolgalat@naih.hu, https://naih.hu), illetve a szokásos tartózkodási helyük szerinti tagállami felügyeleti hatóságnál.

16.4 A Szolgáltató adatvédelmi tisztviselő kijelölésére nem köteles. Adatvédelmi kérdésekben a GRC Manager jár el: andras.nagy@azta.ai.

17. A mesterséges intelligenciáról szóló rendelet (AI Act) szerinti szerepek

17.1 A Szolgáltató az azta rendszer tekintetében az (EU) 2024/1689 rendelet (AI Act) szerinti szolgáltatónak (provider), az Ügyfél pedig alkalmazónak (deployer) minősül.

17.2 A rendszer az AI Act alapján nem minősül nagy kockázatú rendszernek. A Szolgáltató a rendszer jellemzőiről, korlátairól és az emberi felügyelet lehetőségéről az ÁSZF-ben és a Trust Centerben tájékoztat.

17.3 Az Ügyfél mint alkalmazó felel azért, hogy a saját felhasználói és ügyfelei felé teljesítse az AI Act 50. cikke szerinti átláthatósági kötelezettségeket, amennyiben a Platform kimenetét továbbadja vagy felhasználja, továbbá azért, hogy a felhasználói megfelelő AI-jártassággal rendelkezzenek az AI Act 4. cikke szerint.

17.4 A Platform kimenete pontatlan vagy hiányos lehet, nem minősül adótanácsadásnak vagy jogi tanácsadásnak, és emberi ellenőrzés nélkül nem használható fel. Ez az átiratokra és az azokból készült összefoglalókra is irányadó: a beszédfelismerés hibázhat, ezért az átirat a megbeszélés hiteles jegyzőkönyvének nem tekinthető.

17.5 A meeting bot átláthatósága. A bot a megbeszélés résztvevői számára az AI Act 50. cikk (1) bekezdése szerinti tájékoztatást a 6.5 pont szerinti funkciókkal nyújtja. Az Ügyfél mint alkalmazó felel azért, hogy e funkciókat ne kapcsolja ki és ne kerülje meg.

17.6 Érzelemfelismerés tilalma. Az AI Act 5. cikk (1) bekezdés f) pontja tiltja az érzelemfelismerő rendszerek alkalmazását a munkahelyen. A Szolgáltató a Platformon érzelemfelismerő funkciót nem nyújt, az Ügyfél pedig vállalja, hogy az átiratokat ilyen célra nem használja fel és nem dolgozza fel más rendszerrel.

18. Felelősség

18.1 Kártalanítás. A Szolgáltató megtéríti az Ügyfélnek azt az igazolt kárt, bírságot vagy harmadik személy által véglegessé vált hatósági döntéssel vagy jogerős bírósági ítélettel megállapított követelést, amely a Szolgáltatónak a jelen dokumentumban vagy a GDPR-ban foglalt kötelezettségei megszegéséből ered, feltéve, hogy az Ügyfél a követelésről a Szolgáltatót indokolatlan késedelem nélkül írásban értesíti, és lehetővé teszi a Szolgáltató számára a védekezésben való közreműködést.

18.2 Felelősségi korlát. A Felek rögzítik, hogy a Szolgáltatónak a jelen dokumentum szerinti adatvédelmi kötelezettségek megszegéséből eredő, az Ügyféllel szemben fennálló felelőssége összesen legfeljebb az Ügyfél által a kárt megelőző 12 hónapban ténylegesen megfizetett előfizetési díj összegéig terjed. Ez a korlátozás nem alkalmazandó szándékosan, súlyos gondatlansággal vagy bűncselekménnyel okozott, illetve emberi életet, testi épséget vagy egészséget megkárosító szerződésszegés esetén (Ptk. 6:152. §).

18.3 A jelen pont szerinti felelősségkorlátozás nem érinti a Feleknek a GDPR 82. cikke alapján az érintettekkel, illetve a felügyeleti hatósággal szemben fennálló, jogszabályon alapuló felelősségét.

19. A dokumentum módosítása

19.1 A Szolgáltató a jelen dokumentumot egyoldalúan módosíthatja, különösen jogszabályváltozás, kötelező felügyeleti hatósági iránymutatás vagy a Szolgáltatás funkcionális változása esetén.

19.2 A Szolgáltató a módosításról a hatálybalépést megelőzően legalább 30 nappal e-mailben értesíti az Ügyfelet, megjelölve a változás lényegét.

19.3 Amennyiben az Ügyfél a módosítást nem fogadja el, jogosult az előfizetését a módosítás hatálybalépésének napjával felmondani, díjmentes használat esetén a felhasználói fiókját megszüntetni, és a fel nem használt, előre kifizetett díj időarányos részének visszatérítésére. A felmondás hiányában a módosítás a hatálybalépés napjával a Felek között hatályossá válik.

19.4 A 19.3 ponttól eltérően az Ügyfél nem jogosult az előfizetését a módosítás hatálybalépésének napjával felmondani, ha a Szolgáltató új adatfeldolgozót vagy al-adatfeldolgozót von be, illetve egy meglévőt másikra cserél (9.3-9.4 pont). A Szolgáltató garantálja, hogy az ilyen módosítás az adatvédelem és az egyéb garanciák szintjét nem csökkenti.

19.5 A Szolgáltató a jelen dokumentumot nem módosíthatja úgy, hogy az a védelem szintjét a GDPR által megkívánt szint alá csökkentse. A dokumentum korábbi változatai a Trust Centerben elérhetők maradnak.

20. Hatály és irányadó jog

20.1 A jelen dokumentum az elfogadással lép hatályba, és az előfizetés, díjmentes használat esetén a felhasználói fiók megszűnéséig hatályban marad. A 15. pont szerinti kötelezettségek a fiók törlését követően az ott meghatározott ideig tovább élnek, a titoktartási kötelezettség pedig a megszűnést követően is fennmarad.

20.2 A jelen dokumentumra a magyar jog, valamint az Európai Unió közvetlenül alkalmazandó jogi aktusai az irányadók.

20.3 Amennyiben a jelen dokumentum valamely rendelkezése érvénytelen vagy végrehajthatatlan, az a többi rendelkezés érvényességét nem érinti; az érvénytelen rendelkezés helyébe a Felek szándékához legközelebb álló, érvényes rendelkezés lép.

„A” függelék - Technikai és szervezési intézkedések (TOM)

A.1 Titkosítás. Minden tárolt adat AES-256 titkosítással védett (at rest); minden átvitel TLS protokollon keresztül történik (in transit). A titkosítási kulcsok az AWS infrastruktúrán belül, központilag kezeltek.

A.2 Adatrezidencia. AWS és Supabase, Frankfurt (eu-central-1) régió. A Tartalmak nyugalmi állapotban nem replikálódnak EU-n kívüli régiókba.

A.3 Logikai elkülönítés. Az önkiszolgáló előfizetés több bérlős (multi-tenant) környezetben működik. Az egyes ügyfelek adatai logikailag, ügyfél-azonosító szintű hozzáférés-szabályozással és sorszintű biztonsági szabályokkal elkülönítettek. Fizikailag dedikált környezet kizárólag single-tenant Enterprise előfizetés keretében érhető el.

A.4 Hozzáférés-szabályozás. Szerepkör-alapú (RBAC) hozzáférés a legszűkebb szükséges jogosultság elve szerint, központi provisioninggel és kötelező többtényezős hitelesítéssel. A produktív adatokhoz csak formálisan jogosított munkavállalók férhetnek hozzá; a jogosultságok rendszeresen felülvizsgálatra kerülnek, és szerepváltáskor vagy kilépéskor haladéktalanul visszavonásra kerülnek.

A.5 Auditált naplózás. Infrastruktúra- és alkalmazásszintű központi naplózás. A naplók integritása biztosított; azokat az üzemeltetők nem módosíthatják és nem törölhetik.

A.6 Monitoring és riasztás. Automatizált anomália-detekció és riasztási rendszer, folyamatos triage-folyamattal.

A.7 Sebezhetőségi és behatolásvizsgálat. A Szolgáltató rendszeres, kockázatalapú prioritizálás szerint lefolytatott VAPT-programot tart fenn, és a megállapításokat dokumentáltan kezeli.

A.8 Tanúsítványok. Érvényes ISO/IEC 27001:2022 tanúsítvány.

A.9 Üzletmenet-folytonosság. Rendszeres, titkosított biztonsági mentés; dokumentált helyreállítási eljárás, rendszeres helyreállítási teszteléssel.

A.10 Incidenskezelés. Dokumentált incident response folyamat, amely lefedi az észlelést, az izolálást, a kivizsgálást, a helyreállítást, az ügyfél- és hatósági értesítést, valamint az utólagos elemzést.

A.11 Munkavállalói intézkedések. Titoktartási nyilatkozat, rendszeres adatvédelmi és információbiztonsági képzés, dokumentált ki- és beléptetési folyamat.

A.12 Al-adatfeldolgozók ellenőrzése. A Szolgáltató az al-adatfeldolgozókat bevonásuk előtt és azt követően rendszeresen, kockázatalapon értékeli.

„B” függelék - Al-adatfeldolgozók

B.1 Az Ügyfél Tartalmainak feldolgozásához igénybe vett al-adatfeldolgozók:

B.1/a A Google és a Microsoft a naptárintegráció, a megbeszélés-platformok (Google Meet, Microsoft Teams) és a Word bővítmény tekintetében nem a Szolgáltató al-adatfeldolgozói, hanem az Ügyfél saját szolgáltatói. A naptáradatok lekérdezését a Szolgáltató megbízásából a Recall.ai végzi, amely e tekintetben al-adatfeldolgozónak minősül, és a fenti táblázatban szerepel. A Word bővítmény által a dokumentumból kiolvasott tartalom feldolgozásához a Szolgáltató a fenti táblázatban felsorolt, meglévő al-adatfeldolgozóit veszi igénybe; e funkcióhoz új al-adatfeldolgozó bevonására nem kerül sor. A postafiók-integráció (6/B. pont) tekintetében a Google és a Microsoft szintén az Ügyfél saját szolgáltatója; a postafiókból származó adatok feldolgozásához a Szolgáltató a fenti táblázatban felsorolt al-adatfeldolgozóit veszi igénybe; e funkcióhoz új al-adatfeldolgozóként kizárólag a Google Cloud EMEA Limited (Google Cloud Pub/Sub) kerül bevonásra, az új levelekről szóló értesítések továbbítására. A felhasználó által jóváhagyott levelet a felhasználó levelezési szolgáltatója (a Google, illetve a Microsoft) kézbesíti. Lásd a 6.3, a 6.3/a, a 6/A.3 és a 6/B.3 pontot.

B.2 A Szolgáltató szerződéses, számlázási és ügyféltámogatási adataihoz kapcsolódó adatfeldolgozók. Az alábbi szolgáltatók kizárólag a 16. pont szerinti adatkörhöz férnek hozzá; a Tartalmakhoz nem.

B.3 A felsorolt al-adatfeldolgozók és adatfeldolgozók mindegyike a Szolgáltatóval kötött, a GDPR 28. cikkének megfelelő szerződés alapján jár el.