Adatfeldolgozói szerződés
a Megtekintő szolgáltatáshoz (az ÁSZF melléklete, GDPR 28. cikk (3) bekezdés)
Hatályos: 2026. október 20. · Verzió: 1.0
1. Felek
Adatkezelő: a Megtekintő szolgáltatásra regisztrált Előfizető (ingatlanközvetítő iroda), a regisztrációkor megadott cégadatokkal.
Adatfeldolgozó: Falus Tamás egyéni vállalkozó (székhely: 1133 Budapest, Pannónia utca 64. B ép. 5. em. 25., nyilvántartási szám: 43659688, adószám: 67151323-2-41), a Megtekintő szolgáltatás üzemeltetője.
Ez a szerződés az Általános Szerződési Feltételek elválaszthatatlan része, és az Előfizető a regisztrációval fogadja el.
2. Az adatfeldolgozás tárgya és célja
Az Adatfeldolgozó az Adatkezelő megbízásából és utasításai szerint tárolja és dolgozza fel azokat a személyes adatokat, amelyeket az Adatkezelő és felhasználói a Megtekintő szolgáltatásban rögzítenek, illetve amelyeket az érdeklődők az Adatkezelő által küldött linken keresztül megadnak. Az adatfeldolgozás célja kizárólag a szolgáltatás nyújtása: érdeklődők nyilvántartása, adatlapok bekérése, megtekintési és címkiadási nyilatkozatok előkészítése és elektronikus aláírása (az érdeklődő vagy az ügynök eszközén), az aláírt dokumentumok és csatolt okmányok tárolása, megtekintések és feladatok kezelése, értesítések küldése.
3. Az érintettek és az adatok köre
| Érintettek | Adatkategóriák |
|---|---|
| Érdeklődők (az ingatlan iránt érdeklődő természetes személyek) | Név, telefonszám, e-mail cím, lakcím, születési hely és idő, anyja neve, személyazonosító okmány száma és típusa, adóazonosító jel (ha az Adatkezelő bekéri), a személyazonosító igazolvány és a lakcímkártya képe, elektronikus aláírás képe, a kitöltés időpontja és IP-címe, az ingatlan, amelyet megtekint, a megtekintés időpontja |
| Az Adatkezelő ügyfelei (eladók, bérbeadók, megbízók), ha az Adatkezelő rögzíti őket | Név, elérhetőség, az ingatlan adatai |
| Az Adatkezelő felhasználói (ügynökök) – a szolgáltatás működtetéséhez szükséges mértékben | Név, e-mail, telefonszám, tevékenységnapló |
Különleges adat. Az alapfolyamat különleges adat feldolgozására nem irányul: az okmányképek az okmányon látható adatokat tartalmazzák; az Adatkezelő felel azért, hogy ezek bekérésére jogalapja van, és hogy csak a szükséges mezőket kéri be (a szolgáltatás beállításaiban az egyes mezők kötelezősége kikapcsolható).
Személyazonosság-ellenőrzés (Didit). Ha az Adatkezelő a beállításokban bekapcsolja az online személyazonosság-ellenőrzést, az érdeklődő a címkiadási nyilatkozat aláírása előtt a Didit szolgáltatásában okmányfotót és szelfit készít, amelyből a Didit élőség-vizsgálatot és arcegyeztetést végez. Ez a GDPR 9. cikke szerinti biometrikus adat kezelése, amely csak az érintett kifejezett hozzájárulásával (9. cikk (2) a) történhet. Erre tekintettel:
- a szolgáltatás az ellenőrzés előtt külön jelölőnégyzettel kéri az érintett kifejezett hozzájárulását, és felkínálja az alternatívát (személyes okmányellenőrzés a megtekintésen); a hozzájárulás megtagadása esetén az érintettet hátrány nem éri;
- az Adatfeldolgozó és a szolgáltatás nem tárol képet és biometrikus adatot; a Didit munkamenetét a döntés átvétele után azonnal, API-hívással törölteti, és csak az eredményt (jóváhagyva / elutasítva / kézi ellenőrzés, okmány típusa és országa, az okmányszám utolsó három karaktere, névegyezés) őrzi meg az érdeklődő rekordján;
- az Adatkezelő felel azért, hogy az ellenőrzés bekapcsolása előtt adatvédelmi hatásvizsgálatot (GDPR 35. cikk) végez; az Adatfeldolgozó ehhez a saját hatásvizsgálatát és a Didit dokumentációját rendelkezésre bocsátja.
4. Az adatfeldolgozás időtartama
A szerződés az Előfizetői szerződés fennállása alatt hatályos. A megszűnést követően az Adatfeldolgozó az 10. pont szerint jár el.
5. Az Adatfeldolgozó kötelezettségei
Az Adatfeldolgozó
- a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli; utasításnak minősül a szolgáltatás rendeltetésszerű használata és az Adatkezelő által megadott beállítások. Ha az Adatfeldolgozót uniós vagy tagállami jog kötelezi más adatkezelésre, erről az Adatkezelőt az adatkezelés előtt tájékoztatja, kivéve ha ezt a jog közérdekből tiltja;
- haladéktalanul tájékoztatja az Adatkezelőt, ha megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt;
- biztosítja, hogy a személyes adatokhoz hozzáférő munkatársai titoktartási kötelezettséget vállaltak, és csak a feladatuk ellátásához szükséges mértékben férnek hozzá az adatokhoz;
- a GDPR 32. cikkének megfelelő technikai és szervezési intézkedéseket tesz (lásd 1. melléklet);
- segíti az Adatkezelőt az érintetti kérelmek (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) teljesítésében: a szolgáltatás felületén az Adatkezelő maga tudja az érdeklődő adatait megtekinteni, exportálni, helyesbíteni és törölni; ha egy érintett közvetlenül az Adatfeldolgozóhoz fordul, az Adatfeldolgozó a kérelmet 3 munkanapon belül továbbítja az Adatkezelőnek;
- segíti az Adatkezelőt a GDPR 32–36. cikk szerinti kötelezettségek (adatbiztonság, incidens bejelentése, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében, a rendelkezésére álló információk alapján;
- az adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az Adatkezelőt a regisztrált irodavezetői e-mail címen, megadva az incidens jellegét, az érintettek és adatok becsült körét, a várható következményeket és a megtett intézkedéseket;
- az Adatkezelő rendelkezésére bocsátja a megfelelés igazolásához szükséges információkat, és évente legfeljebb egy alkalommal, legalább 30 nappal előre bejelentett, az üzletmenetet nem zavaró auditot tesz lehetővé az Adatkezelő vagy az általa megbízott, titoktartásra kötelezett auditor számára. Az audit költségeit az Adatkezelő viseli, kivéve ha az audit lényeges szerződésszegést tár fel.
6. Az Adatkezelő kötelezettségei
Az Adatkezelő felel azért, hogy
- a személyes adatok gyűjtésére és feldolgoztatására megfelelő jogalappal rendelkezik, és az érintetteket a GDPR 13. cikke szerint tájékoztatja (ideértve az érdeklődőknek szóló tájékoztatót a nyilatkozat kitöltő oldalán);
- a nyilatkozatsablonjai és a bekért mezők megfelelnek az adattakarékosság elvének;
- a felhasználói hozzáférésekért, a jelszavak biztonságáért és a felhasználói tevékenységéért;
- az érdeklődők adatait a saját megőrzési szabályai szerint törli; a szolgáltatás ehhez GDPR-törlési funkciót és lejárati figyelmeztetést biztosít, de a törlésről az Adatkezelő dönt.
7. További adatfeldolgozók (alvállalkozók)
- Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak a 2. mellékletben felsorolt további adatfeldolgozók igénybevételére.
- Az Adatfeldolgozó a további adatfeldolgozókkal írásban a jelen szerződéssel egyenértékű adatvédelmi kötelezettségeket köt ki, és azok teljesítéséért az Adatkezelő felé teljes felelősséggel tartozik.
- Új további adatfeldolgozó bevonásáról vagy cseréjéről az Adatfeldolgozó legalább 30 nappal előre e-mailben értesíti az Adatkezelőt. Az Adatkezelő indokolt esetben, az értesítéstől számított 15 napon belül kifogást emelhet; ha a felek nem tudnak megegyezni, az Adatkezelő az Előfizetői szerződést a változás hatálybalépéséig azonnali hatállyal felmondhatja.
8. Adattovábbítás harmadik országba
Az Adatfeldolgozó a személyes adatokat az Európai Gazdasági Térségen belül tárolja. Harmadik országba csak a 2. mellékletben megjelölt alvállalkozók (SMS- és WhatsApp-küldés) útján továbbít adatot, a GDPR V. fejezete szerinti garanciák (megfelelőségi határozat, illetve általános szerződési feltételek) mellett. A továbbított adat az érintett telefonszámára és az üzenet szövegére korlátozódik.
9. Titoktartás
Az Adatfeldolgozó a tudomására jutott személyes adatokat és az Adatkezelő üzleti információit a szerződés megszűnése után is bizalmasan kezeli, és azokat csak a szolgáltatás nyújtásához használja fel.
10. Az adatok sorsa a szerződés megszűnésekor
A szerződés megszűnésekor az Adatkezelő 30 napig exportálhatja a szolgáltatásból az érdeklődők adatait, az aláírt PDF-eket és a csatolt okmányokat. E határidő leteltével az Adatfeldolgozó az Adatkezelő választása szerint visszaszolgáltatja, majd minden példányt töröl; választás hiányában töröl. A törlés a biztonsági mentésekre a mentési ciklus végén, legkésőbb 90 napon belül terjed ki. Az Adatfeldolgozó csak azt őrzi meg, amire jogszabály kötelezi, és csak addig.
11. Felelősség
A felek felelősségére a GDPR 82. cikke irányadó. Az Adatfeldolgozó az Adatkezelő felé az ÁSZF felelősségkorlátozása szerint felel, kivéve ha a kár az Adatfeldolgozó szándékos vagy súlyosan gondatlan magatartásából ered.
12. Záró rendelkezések
A szerződésre a magyar jog és a GDPR az irányadó. Ha a jelen szerződés és az ÁSZF között ellentmondás van, az adatvédelmi kérdésekben a jelen szerződés az irányadó.
1. melléklet – Technikai és szervezési intézkedések
- Hozzáférés-szabályozás: szerepköralapú jogosultságok (platform-üzemeltető, irodavezető, ügynök); minden iroda adatai logikailag elkülönítve, iroda-azonosító szerinti szűréssel minden lekérdezésben; irodavezető és ügynök csak a saját irodája adatait látja.
- Átvitel titkosítása: minden kapcsolat HTTPS/TLS; az érdeklődőknek küldött linkek aláírt, lejáró (alapértelmezetten 14 napos) tokenek.
- Tárolás: az okmányképek és aláírt PDF-ek nem nyilvános (webről közvetlenül nem elérhető) tárhelyen, irodánként elkülönített mappában; letöltés csak jogosultság ellenőrzése után; jelszavak egyirányú hash-sel tárolva.
- Naplózás: belépések, dokumentum-letöltések és a platform-üzemeltető „belépés irodaként” műveletei naplózva.
- Mentés: rendszeres, titkosított biztonsági mentés, 30 napos megőrzéssel; visszaállítás irodánként lehetséges.
- Szerver-üzemeltetés: operációs rendszer és alkalmazás rendszeres frissítése, tűzfal, csak a szükséges portok nyitva, SSH kulcsos belépés, webhelyenként elkülönített rendszerfelhasználók; a titkos kulcsok (alkalmazás-, fizetési és SMS-kulcsok) környezeti változókban, a kódtól elkülönítve.
- Adattörlés: GDPR-törlési funkció az érdeklődő rekordjára és csatolmányaira; lejárati figyelmeztetés a megőrzési határidő előtt.
- Személyi intézkedések: a rendszerhez hozzáférő munkatársak titoktartási kötelezettséggel; hozzáférés csak a feladathoz szükséges mértékben.
2. melléklet – További adatfeldolgozók
| Alvállalkozó | Tevékenység | Adatok | Hely |
|---|---|---|---|
| DigitalOcean, LLC (101 Avenue of the Americas, New York, NY 10013, USA) | Szerverek, adatbázis és fájltárolás üzemeltetése | Minden, a szolgáltatásban tárolt adat | Frankfurt, Németország (EU); a szolgáltató amerikai, az EU–USA adatvédelmi keretrendszer tanúsítottja, DPA elfogadva |
| Didit Technologies S.L. – csak ha az Adatkezelő bekapcsolja | Online személyazonosság-ellenőrzés: okmány-olvasás, passzív élőség-vizsgálat, arcegyeztetés | Okmány képe és adatai, szelfi, biometrikus sablon az egyeztetés idejére; a döntés után a munkamenet törlésre kerül | EU (AWS, Írország); a Didit tartalék-megőrzése legfeljebb 1 hónap |
| Twilio Inc. (101 Spear Street, San Francisco, CA, USA) | SMS- és WhatsApp-üzenetek kézbesítése | Az érdeklődő telefonszáma, az üzenet szövege (ingatlan, link, iroda neve) | USA (EU–USA adatvédelmi keretrendszer, SCC) |
| Forpsi (INTERNET CZ, a.s., Ktiš 2, 384 03 Ktiš, Csehország) | E-mailes meghívók és értesítések kézbesítése (noreply@megtekinto.hu) | Az érdeklődő e-mail címe, az üzenet szövege | EU |
A Barion Payment Zrt. és a KBOSS.hu Kft. (Számlázz.hu) az Adatkezelő és az Adatfeldolgozó közötti díjfizetéshez kapcsolódnak, és ott az Adatfeldolgozó saját adatkezelői minőségében veszi őket igénybe; az érdeklődők adatait nem kapják meg.