Adatvédelmi tájékoztató

1. Az adatkezelő

Tárhelyszolgáltató: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Németország. Adattárolás: Németország.

Az Inflex Studio Kft. (a továbbiakban: „Szolgáltató” vagy „mi”) a LastERP vállalatirányítási szolgáltatás nyújtója. Jelen tájékoztató bemutatja, hogyan kezeljük a honlap látogatóinak, az érdeklődőknek, az ügyfeleink kapcsolattartóinak és a LastERP felhasználóinak személyes adatait. A tájékoztató 20. pontja az ügyfeleinkkel kötött adatfeldolgozói szerződés (DPA).

2. Jogszabályi háttér

3. Fogalmak

A „személyes adat”, „adatkezelés”, „adatkezelő”, „adatfeldolgozó”, „érintett”, „hozzájárulás” és „adatvédelmi incidens” fogalmak a GDPR 4. cikke szerinti jelentéssel bírnak.

Két szerepünk van. Saját adatkezelőként kezeljük az érdeklődők, az ügyfelek kapcsolattartói és a felhasználók adatait (5–11. pont). Adatfeldolgozóként kezeljük azokat az adatokat, amelyeket ügyfeleink a LastERP-ben rögzítenek a saját ügyfeleikről, partnereikről és munkavállalóikról. Ezekért az ügyfelünk az adatkezelő, és ezekkel kapcsolatban az érintettek elsősorban hozzá fordulhatnak (20. pont).

4. Kiknek az adatait kezeljük, milyen jogalapon

A LastERP kizárólag cégeknek és adószámmal rendelkező egyéni vállalkozóknak szól. Az adatkezelés jogalapja az érintett szerepétől függ:

Érdekmérlegelés. Jogos érdekünk, hogy szerződéses partnereinkkel és érdeklődőinkkel hatékonyan kapcsolatot tartsunk, és a szolgáltatást a cég által kijelölt felhasználóknak nyújtsuk. A cég nevében eljáró személy ésszerűen számíthat arra, hogy munkaköri kapcsolattartási adatait a partner kezeli. Csak a szükséges adatokat kezeljük, az adatkezelés az érintett jogait nem korlátozza aránytalanul, és az érintett bármikor tiltakozhat (16.5. pont).

5. Honlap és kapcsolatfelvétel

5.1. Bemutatókérés, kapcsolatfelvételi és pályázati űrlap

• Cél: az érdeklődő megkeresésének fogadása, a bemutató vagy konzultáció egyeztetése, az ajánlat elkészítése.
• Jogalap: jogos érdek (GDPR 6. cikk (1) f)); egyéni vállalkozó esetén a szerződést megelőző lépések (GDPR 6. cikk (1) b)).
• Kezelt adatok: név, céges e-mail-cím, cég neve, telefonszám (nem kötelező), létszámsáv, az érdeklődés tárgya (bemutató, beszélgetés, pályázat), a kiválasztott üzleti területek, az üzenet tartalma.
• Megőrzés: az utolsó kapcsolatfelvételtől számított 12 hónap, kivéve, ha a megkeresés szerződéskötéshez vezet (ekkor a 7. pont irányadó).

5.2. E-mail és telefon

• Cél: megkeresések fogadása és megválaszolása.
• Jogalap: jogos érdek (GDPR 6. cikk (1) f)). Az érintett ésszerűen számíthat arra, hogy megkeresésére választ kap.
• Kezelt adatok: név, e-mail-cím, telefonszám, az üzenet tartalma.
• Megőrzés: a válaszadást követő 12 hónap, kivéve, ha szerződéskötéshez vezet. Telefonbeszélgetést nem rögzítünk.

5.3. Chat és súgóközpont

• Cél: valós idejű ügyfélszolgálat és tudásbázis a honlapon és az alkalmazásban.
• Jogalap: jogos érdek; felhasználók esetén szerződés teljesítése.
• Kezelt adatok: név és e-mail-cím (ha megadja), a chatüzenetek tartalma, böngészőadatok.
• Megőrzés: 3 év, vagy a fiók törléséig.
• Adatfeldolgozók: Intercom, Inc. (San Francisco, USA), Tawk.to Inc. (Las Vegas, USA).

5.4. Közösségi média

• Cél: kommunikáció és tájékoztatás a LastERP közösségi oldalain (Facebook, Instagram, LinkedIn).
• Jogalap: hozzájárulás (az oldal követésével, üzenetküldéssel).
• Kezelt adatok: nyilvános profiladatok, az üzenetek tartalma.
• Megőrzés: az üzenetváltás lezárását követő 12 hónap, kivéve, ha szerződéskötéshez vezet.
• Közös adatkezelők: Meta Platforms Ireland Limited (Facebook, Instagram), LinkedIn Ireland Unlimited Company, a saját adatkezelési tájékoztatójuk szerint.

5.5. Online bemutató és konzultáció (Google Meet)

• Cél: bemutató, igényfelmérés, értékesítési vagy támogatási konzultáció videóhívásban.
• Jogalap: jogos érdek, illetve a szerződést megelőző lépések.
• Kezelt adatok: név, e-mail-cím, a konzultáció időpontja, a megbeszélés során elhangzott üzleti információk jegyzete.
• Felvétel: a hívás hang- és képanyagát nem rögzítjük, kivéve, ha erről előzetesen tájékoztatjuk a résztvevőket, és ahhoz hozzájárulnak.
• Megőrzés: 12 hónap, kivéve, ha szerződéskötéshez vezet.

6. Kapocs közösség: webinárok és rendezvények

6.1. Webinár-jelentkezés

• Cél: a jelentkezés nyilvántartása, a belépési link és az emlékeztetők, majd a felvétel vagy az anyagok elküldése.
• Jogalap: hozzájárulás (GDPR 6. cikk (1) a)).
• Kezelt adatok: e-mail-cím; ha megadja: név, cég neve; a részvétel ténye; a webinár alatt feltett kérdések.
• Megőrzés: a webinárt követő 12 hónap, vagy a hozzájárulás visszavonásáig.
• Hírlevél: a jelentkezés nem jelent hírlevél-feliratkozást; ahhoz külön hozzájárulást kérünk (10. pont).
• Felvétel: ha a webinárt rögzítjük, azt előre jelezzük. A felvételen csak az előadók és az önként bekapcsolt kamerájú vagy mikrofonú résztvevők szerepelnek.

6.2. Személyes rendezvények (Folyamatműhely, Kapocs Est)

• Cél: a regisztráció, a helyszíni részvétel és a kapcsolódó tájékoztatás.
• Jogalap: hozzájárulás.
• Kezelt adatok: név, e-mail-cím, telefonszám, cég neve, beosztás, étkezési igény (ha megadja).
• Fénykép és videó: a rendezvényeken fénykép és videó készülhet, amelyet a LastERP csatornáin közzétehetünk; ezt a meghívóban és a helyszínen jelezzük. Aki nem szeretne szerepelni, jelezze a helyszínen: az ilyen felvételt nem tesszük közzé, a már közzétettet kérésre eltávolítjuk.
• Megőrzés: a rendezvényt követő 12 hónap; a közzétett felvételek a törlési kérelemig.

7. Ügyfelek és felhasználók

7.1. Regisztráció és szerződéses kapcsolattartók

• Cél: a regisztráció, a szerződés megkötése és teljesítése, kapcsolattartás, számlázási és szerződéses értesítések.
• Jogalap: jogos érdek; egyéni vállalkozónál szerződés teljesítése.
• Kezelt adatok: név, beosztás, céges e-mail-cím, telefonszám, a cég neve, székhelye és adószáma.
• Megőrzés: a szerződés megszűnését követő 5 év (a polgári jogi elévülési idő). Ha a regisztrációból nem lesz előfizetés, a próbaidőszak lejártát követő 30 nap.

7.2. Felhasználói fiók

• Cél: a LastERP használata, a felhasználók azonosítása, jogosultságkezelés, biztonság.
• Jogalap: jogos érdek (a felhasználót az ügyfelünk jelöli ki); egyéni vállalkozónál szerződés teljesítése.

• Megőrzés: a felhasználói hozzáférés megszűnéséig; a műveleti naplóban szereplő azonosítók a szerződés megszűnését követő 5 évig. A hozzáférési naplókat 90 napig, a biztonsági eseményeket 1 évig őrizzük.

7.3. Bevezetés, oktatás, ügyfélszolgálat

• Cél: a bevezetés lebonyolítása, oktatás, hibabejelentések és kérések kezelése.
• Jogalap: jogos érdek, illetve szerződés teljesítése.
• Kezelt adatok: név, elérhetőség, a bejelentés tartalma, képernyőképek, a megoldás menete.
• Megőrzés: a szerződés megszűnését követő 3 év.

A bevezetés és a hibaelhárítás során munkatársaink beléphetnek az ügyfél fiókjába, és megismerhetik az ott tárolt adatokat. Ez adatfeldolgozásnak minősül, és a 20. pont szabályai vonatkoznak rá.

7.4. Termékhasználati statisztika és hibakövetés

• Cél: a szolgáltatás működésének, stabilitásának és használhatóságának javítása, hibakeresés.
• Jogalap: jogos érdek.
• Kezelt adatok: a funkciók használatára vonatkozó, lehetőség szerint összesített vagy álnevesített adatok, hibanaplók.
• Megőrzés: legfeljebb 2 év.
• Adatfeldolgozók: Google (Firebase), Mixpanel, Sentry (13. pont).

Profilalkotást és az érintettre joghatással járó automatizált döntéshozatalt nem végzünk.

8. Elektronikus aláírás és időbélyegzés

• Cél: a LastERP-ben készült dokumentumok fokozott biztonságú elektronikus aláírással (AdES) és minősített elektronikus időbélyeggel (QTS) történő ellátása.
• Jogalap: az aláírót meghívó ügyfelünk megbízásából, adatfeldolgozóként (20. pont); az aláírási folyamat bizonyíthatósága tekintetében saját jogos érdekünk alapján.

• Időbélyeg-szolgáltató: Microsec zrt. (1033 Budapest, Szentendrei út 89–93.), az eIDAS rendelet szerinti minősített bizalmi szolgáltató. Részére csak a dokumentum lenyomatát továbbítjuk, a dokumentum tartalmát nem.
• Megőrzés: az aláírástól számított 10 év.

9. Számlázás és fizetés

9.1. Számlázási adatok

• Cél: számla kiállítása, számviteli kötelezettség teljesítése.
• Jogalap: jogi kötelezettség (GDPR 6. cikk (1) c), Számv. tv. 169. §).
• Kezelt adatok: név vagy cégnév, számlázási cím, adószám, a számla tartalma, a fizetés adatai.
• Megőrzés: 8 év.
• Adatfeldolgozó: Billingo Technologies Zrt. (Budapest).

9.2. Bankkártyás fizetés (Stripe)

• Adatfeldolgozó: Stripe Payments Europe, Ltd. (Dublin, Írország).
• Jogalap: a fizetés lebonyolítása (szerződés teljesítése, illetve jogos érdek); a Stripe jogos érdeke a csalásmegelőzés.
• Továbbított adatok: név, e-mail-cím, számlázási cím, a tranzakció összege.

A bankkártyaadatok (kártyaszám, lejárat, CVC) közvetlenül a Stripe-hoz kerülnek, a mi szervereinken nem tárolódnak, és azokhoz nem férünk hozzá.

10. Hírlevél és szakmai tartalmak

• Cél: tájékoztatás a LastERP újdonságairól, webinárokról, rendezvényekről és szakmai tartalmakról.
• Jogalap: előzetes, kifejezett hozzájárulás (GDPR 6. cikk (1) a), Grt. 6. §).
• Kezelt adatok: e-mail-cím, név (nem kötelező), a feliratkozás ideje, megnyitási és kattintási adatok.
• Megőrzés: a leiratkozásig, de legfeljebb az utolsó aktivitástól számított 3 évig.
• Leiratkozás: a levelek alján található „Leiratkozás” linkkel, a [email protected] címen, vagy a fiók beállításaiban.
• Adatfeldolgozó: MailerLite Limited (Dublin, Írország).

A szolgáltatással kapcsolatos rendszerüzeneteket (például számla, díjváltozás, karbantartás, biztonsági értesítés) a felhasználók hírlevél-feliratkozás nélkül is megkapják, mert ezek a szerződés teljesítéséhez szükségesek.

11. Sütik (cookie-k) és webanalitika

11.1. Mi a süti

A honlap és az alkalmazás sütiket és hasonló technológiákat használ. A süti kis szöveges fájl, amelyet a böngésző az eszközön tárol.

11.2. Kategóriák

11.3. Alkalmazott sütik

11.4. A sütik kezelése

A honlap első látogatásakor süti-sáv jelenik meg, ahol kategóriánként engedélyezheti vagy elutasíthatja a sütiket. A hozzájárulás előtt csak a szükséges sütiket helyezzük el. A beállítást bármikor módosíthatja a lábléc „Süti-beállítások” linkjével vagy a böngészőjében. A szükséges sütik letiltása esetén a szolgáltatás nem működik megfelelően.

Az analitikai mérés le is tiltható: a süti-beállításokban az „Analitikai” kategória kikapcsolásával, a Google Analytics böngészőbővítménnyel (tools.google.com/dlpage/gaoptout), illetve a Hotjar leírása szerint (www.hotjar.com/policies/do-not-track/).

11.5. Cookiebot, Google Tag Manager és Consent Mode v2

A süti-sávot a Cookiebot szolgáltatás (Cybot A/S, Havnegade 39, 1058 Koppenhága, Dánia) biztosítja. A hozzájárulását egy első féltől származó CookieConsent sütiben tároljuk 1 évig.

A mérő- és marketingkódokat (Google Analytics, Google Ads, Meta Pixel, Hotjar, Intercom, MailerLite) a Google Tag Manager tölti be, kizárólag akkor, ha a megfelelő kategóriához hozzájárult.

A honlap a Google Consent Mode v2 mechanizmust alkalmazza:

• hozzájárulás előtt minden analitikai és marketingjel elutasított állapotban van; ekkor a Google sütit nem helyez el, csak névtelen, összesített jelzéseket kap;
• a hirdetési adatok hozzájárulás hiányában anonimizálva kerülnek feldolgozásra (ads_data_redaction);
• a hirdetési kattintásazonosítók (például gclid) sütik nélkül, URL-paraméterként is átadhatók a kapcsolódó aloldalakra (url_passthrough), személyes azonosítás nélkül;
• a hozzájárulás megadása után a mérés teljes körűen működik.

12. A megőrzési idők összefoglalása

13. Adatfeldolgozók

Az alábbi adatfeldolgozókat vesszük igénybe. Mindegyikkel a GDPR 28. cikke szerinti szerződésünk van.

13.1. Infrastruktúra és tárhely

13.2. Fizetés és számlázás

13.3. Kommunikáció és ügyfélszolgálat

13.4. Analitika, hibakövetés és hirdetés

13.5. Belső működés

13.6. Mesterséges intelligencia

Az AI-szolgáltatókra vonatkozó korlátozásokat a 20.2. pont tartalmazza.

13.7. Bizalmi szolgáltatás

13.8. Hozzájárulás-kezelés és biztonság

A Cookiebot, a Google Tag Manager és a Cloudflare Turnstile a honlap jogszerű és biztonságos működéséhez szükséges; jogalapjuk a jogos érdek (GDPR 6. cikk (1) f)).

13.9. Az ügyfél által bekapcsolt integrációk

Ha az ügyfél a LastERP-et külső szolgáltatáshoz kapcsolja (például Számlázz.hu, Billingo, NAV Online Számla, banki kapcsolat PSD2-szolgáltatón keresztül, Gmail, Microsoft 365, webshop, CRM, cégadat-szolgáltató, saját Stripe-fiók), az adatok az ügyfél utasítására és az ügyfél e szolgáltatóval kötött szerződése alapján áramlanak. Ezek a szolgáltatók nem a mi al-adatfeldolgozóink; adatkezelésükre a saját feltételeik vonatkoznak.

14. Adattovábbítás az EU-n kívülre

14.1. Az Amerikai Egyesült Államok

Egyes adatfeldolgozóink az Egyesült Államokban működnek. Az adattovábbítás jogalapja az EU–USA adatvédelmi keretrendszer (Data Privacy Framework, DPF): az Európai Bizottság 2023. július 10-i megfelelőségi határozata alapján a DPF-tanúsítvánnyal rendelkező amerikai vállalatok megfelelő szintű védelmet biztosítanak.

DPF-tanúsított szolgáltatók: Google LLC, OpenAI, L.L.C., Anthropic, PBC, Stripe, Inc., Intercom, Inc., Tawk.to Inc., Wildbit LLC (Postmark), Mixpanel, Inc., Functional Software, Inc. (Sentry), Notion Labs, Inc., Salesforce, Inc. (Slack), Meta Platforms, Inc., Cloudflare, Inc.

EU-n belüli szolgáltatók: Hetzner Online GmbH (Németország), TOPefekt s.r.o. (BulkGate, Csehország), MailerLite Limited (Írország), Nolt Software OÜ (Észtország), Hotjar Ltd. (Málta), Billingo Technologies Zrt. (Magyarország), Cybot A/S (Dánia), Microsec zrt. (Magyarország).

14.2. Általános szerződési feltételek (SCC)

Ha valamely szolgáltató nem rendelkezik DPF-tanúsítvánnyal, az adattovábbítás az Európai Bizottság által 2021. június 4-én elfogadott általános szerződési feltételek (SCC) alapján történik.

14.3. Tájékoztatás

Kérheti az adattovábbítás részleteit és az alkalmazott garanciák (DPF-tanúsítvány, SCC) másolatát a [email protected] címen.

15. Adatbiztonság

Megfelelő technikai és szervezési intézkedésekkel védjük a személyes adatokat; a részletes lista a 20.8. pontban található.

Adatvédelmi incidens esetén:

• 72 órán belül bejelentjük a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), ha az incidens valószínűleg kockázattal jár az érintettek jogaira;
• indokolatlan késedelem nélkül értesítjük az érintetteket, ha az incidens magas kockázattal jár;
• az incidenst és a megtett intézkedéseket dokumentáljuk.

Az ügyfeleink fiókjában tárolt adatokat érintő incidensről az ügyfelet a 20.4. pont szerint értesítjük.

16. Az érintettek jogai

16.1. A jogok összefoglalása

16.2. Hozzáférés

Visszajelzést kérhet arról, hogy kezeljük-e a személyes adatait, és ha igen, megkaphatja azok másolatát, valamint az adatkezelés céljára, jogalapjára, időtartamára és a címzettekre vonatkozó információkat.

16.3. Törlés

Kérheti adatai törlését, ha azokra már nincs szükség, ha visszavonta a hozzájárulását és nincs más jogalap, ha sikeresen tiltakozott, ha az adatkezelés jogellenes, vagy ha jogszabály írja elő a törlést. Nem töröljük az adatot, ha annak kezelése jogi kötelezettség teljesítéséhez (például számlák megőrzése) vagy jogi igény előterjesztéséhez, érvényesítéséhez, védelméhez szükséges.

16.4. Adathordozhatóság

A hozzájárulás vagy szerződés alapján, automatizált módon kezelt adatait géppel olvasható formátumban (JSON vagy CSV) kérheti.

16.5. Tiltakozás és automatizált döntéshozatal

A jogos érdeken alapuló adatkezelés ellen bármikor tiltakozhat. Közvetlen üzletszerzési célú adatkezelés elleni tiltakozás esetén az adatot erre a célra nem kezeljük tovább. Kizárólag automatizált, az érintettre joghatással járó döntéshozatalt nem alkalmazunk. Az analitikai eszközök adatai alapján döntéshozatali vagy marketingcélú szegmentálást nem végzünk.

16.6. A jogok gyakorlása

• E-mail: [email protected]
• Postán: Inflex Studio Kft., 1051 Budapest, Hercegprímás utca 18. tetőtér

A kérelmet az érintett azonosítását követően teljesítjük, legkésőbb 1 hónapon belül; ez összetett kérelem esetén további 2 hónappal meghosszabbítható, amiről tájékoztatjuk. Ha a kérelem ügyfelünk fiókjában tárolt adatot érint (amelyért az ügyfél az adatkezelő), a kérelmet 5 munkanapon belül továbbítjuk az ügyfélnek, és erről tájékoztatjuk az érintettet.

16.7. A felhasználó kötelezettségei

A felhasználó felel azért, hogy valós adatokat adjon meg, azokat naprakészen tartsa, a hozzáférési adatait titokban tartsa, és a LastERP-ben harmadik személyek adatait jogszerűen kezelje. A szolgáltatás harmadik felek oldalaira mutató linkeket tartalmazhat; ezek adatkezeléséért nem felelünk.

17. Panasz és jogorvoslat

17.1. Kapcsolatfelvétel velünk

Bármilyen adatkezelési kérdéssel vagy panasszal a 16.6. pont szerinti elérhetőségen fordulhat hozzánk. 1 hónapon belül válaszolunk.

17.2. Felügyeleti hatóság

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

• Cím: 1055 Budapest, Falk Miksa utca 9–11.
• Levelezési cím: 1363 Budapest, Pf. 9.
• Telefon: +36 1 391 1400
• E-mail: [email protected]
• Honlap: naih.hu

17.3. Bíróság

Jogai megsértése esetén bírósághoz fordulhat. A per az érintett választása szerint a mi székhelyünk szerinti, vagy a lakóhelye, tartózkodási helye szerinti törvényszék előtt is megindítható.

17.4. Irányadó jog

A tájékoztatóra és az adatkezelésre a magyar jog, különösen a GDPR, az Infotv. és a Ptk. az irányadó.

18. Az adatok tárolásának helye

Az ügyfeleink fiókjában tárolt adatokat (dokumentumok, szerződések, pénzügyi, készlet- és HR-adatok, aláírási adatok) és ezek biztonsági mentéseit kizárólag az Európai Unió területén, a Hetzner Online GmbH németországi adatközpontjaiban tároljuk és dolgozzuk fel. Egyes támogató szolgáltatások (analitika, ügyfélszolgálat, hírlevél) a 14. pontban leírt garanciák mellett EU-n kívüli szolgáltatót is igénybe vesznek; ezek az ügyfelek fiókjában tárolt dokumentumokhoz, üzleti adatokhoz és aláírási adatokhoz nem férnek hozzá. Az AI-funkciók a 20.2. pont szerinti korlátozásokkal működnek. Privát felhő szolgáltatás esetén az adatközpont helyét az ügyféllel kötött szerződés rögzíti.

19. Gyermekek, a tájékoztató módosítása

A LastERP vállalkozásoknak szól; 16 év alatti személyek adatait tudatosan nem gyűjtjük. Ha tudomásunkra jut, hogy ilyen adatot kezelünk, azt haladéktalanul töröljük.

A tájékoztatót módosíthatjuk. Lényeges változásról a regisztrált felhasználókat és az ügyfelek kapcsolattartóit legalább 15 nappal a hatálybalépés előtt e-mailben értesítjük; kisebb változásnál a honlapon tesszük közzé. Az al-adatfeldolgozók változására a 20.2. pont külön szabálya vonatkozik.

20. Adatfeldolgozói szerződés (DPA)

A GDPR 28. cikke szerinti adatfeldolgozói megállapodás

Ez a pont szabályozza az ügyfél (adatkezelő, a továbbiakban: „Ügyfél”) és az Inflex Studio Kft. (adatfeldolgozó, a továbbiakban: „Szolgáltató”) közötti adatfeldolgozást, amikor az Ügyfél a LastERP-et harmadik személyek személyes adatainak kezelésére használja. A DPA a LastERP-szerződés létrejöttével hatályba lép, a szerződés megszűnéséig, illetve az azt követő törlés megtörténtéig hatályos, és az ÁSZF elválaszthatatlan része.

Elsőbbség ellentmondás esetén:

1. az Ügyféllel kötött egyedi adatfeldolgozói szerződés (ha van);
2. jelen DPA;
3. az ÁSZF;
4. a tájékoztató egyéb pontjai.

20.1. Az adatfeldolgozás részletei

Tárgy: az Ügyfél által a LastERP-ben rögzített, feltöltött, importált vagy integráción keresztül beérkező személyes adatok kezelése.

Jelleg és cél:

A személyes adatok típusai (az Ügyfél döntésétől függően):

Az érintettek kategóriái: az Ügyfél ügyfelei és potenciális ügyfelei, üzleti partnerei és szállítói, munkavállalói, alvállalkozói, valamint az Ügyfél által meghatározott egyéb személyek.

A Szolgáltató a rögzített adatok tartalmát nem ellenőrzi. Azért, hogy az Ügyfél csak olyan adatot rögzítsen, amelynek kezelésére jogosult, az Ügyfél felel.

20.2. A Szolgáltató kötelezettségei

Utasítások. A Szolgáltató a személyes adatokat kizárólag az Ügyfél dokumentált utasításai alapján kezeli. Utasításnak minősül a szolgáltatás rendeltetésszerű használata, az Ügyfél felhasználóinak a felületen végzett műveletei, a bekapcsolt integrációk és automatizációk, valamint az Ügyfél írásbeli (e-mail) utasítása. Ha a Szolgáltató szerint egy utasítás jogszabályba ütközik, erről haladéktalanul tájékoztatja az Ügyfelet.

Titoktartás. Az adatokhoz hozzáférő munkatársak és közreműködők titoktartási kötelezettséget vállaltak, amely a jogviszony megszűnése után is fennmarad. A munkatársak csak a feladatukhoz szükséges mértékben férnek hozzá az Ügyfél fiókjához.

Biztonság. A Szolgáltató a GDPR 32. cikke szerinti intézkedéseket alkalmaz (20.8. pont).

Al-adatfeldolgozók. Az Ügyfél általános felhatalmazást ad a 13. pontban felsorolt al-adatfeldolgozók igénybevételére.

• Értesítés: új al-adatfeldolgozó bevonásáról vagy csere esetén a Szolgáltató legalább 30 nappal előre e-mailben értesíti az Ügyfelet.
• Kifogás: az Ügyfél az értesítéstől számított 14 napon belül írásban, indokolással kifogást emelhet. Megalapozott kifogás esetén a Szolgáltató alternatív megoldást keres; ha ilyen nincs, az Ügyfél a szerződést a változás hatálybalépésének napjára felmondhatja, és a hátralévő időszakra megfizetett díj időarányosan visszajár.
• Felelősség: a Szolgáltató az al-adatfeldolgozókra a DPA-val azonos kötelezettségeket ró, és tevékenységükért teljes mértékben felel.

Érintetti jogok. A Szolgáltató a szolgáltatás funkcióival (keresés, export, javítás, törlés, „ne keress” jelölés) segíti az Ügyfelet az érintetti kérelmek teljesítésében. A közvetlenül hozzá érkező kérelmet 5 munkanapon belül továbbítja az Ügyfélnek, és arra az Ügyfél utasítása nélkül érdemben nem válaszol.

Együttműködés. A Szolgáltató a rendelkezésére álló információkkal segíti az Ügyfelet az adatbiztonsági (GDPR 32. cikk), incidensbejelentési (33–34. cikk), adatvédelmi hatásvizsgálati (35. cikk) és előzetes konzultációs (36. cikk) kötelezettségeinek teljesítésében. Az ésszerű mértéket meghaladó közreműködést óradíjon számlázhatja.

AI-funkciók. A Szolgáltató:

• az AI-funkcióknak alapértelmezésben álnevesített adatot ad át; személyes adat csak akkor kerül AI-szolgáltatóhoz, ha az Ügyfél ezt a fiókban kifejezetten engedélyezi;
• az AI-funkciók csak az adott feladathoz szükséges adatokat dolgozzák fel;
• az Ügyfél adatait nem használja AI-modellek betanítására, finomhangolására vagy fejlesztésére, és ugyanezt AI-szolgáltatóitól is megköveteli;
• az Ügyfél adatait más ügyfelek adataival nem vonja össze.

Az Ügyfél által az API-hoz vagy az MCP-felülethez kapcsolt külső AI-eszköz az Ügyfél választása és felelőssége; az nem a Szolgáltató al-adatfeldolgozója.

Adatszeparáció. Minden Ügyfél egyedi bérlőazonosítóval (tenant) rendelkezik, az adatbázis-lekérdezések bérlőszinten szűrtek, a bérlők közötti adathozzáférés technikailag kizárt. Privát felhő szolgáltatás esetén az Ügyfél dedikált példányt kap.

Üzletmenet-folytonosság:

Naplók megőrzése:

20.3. Az Ügyfél kötelezettségei

Az Ügyfél szavatolja, hogy:

• a LastERP-ben kezelt személyes adatok kezelésére jogosult, és megfelelő jogalappal rendelkezik;
• az érintetteket (így különösen munkavállalóit) tájékoztatta;
• a szolgáltatást a GDPR-nak megfelelően használja, ideértve a felhasználói jogosultságok szükséges minimumra korlátozását.

Különleges adatok. A GDPR 9. cikke szerinti különleges adatot (például egészségügyi adatot) az Ügyfél csak akkor és csak olyan mértékben rögzíthet, amennyire arra jogszabály felhatalmazza, és lehetőleg az erre szolgáló mezőkben (például a távollét jogcíme a HR-modulban, diagnózis nélkül). Ha az Ügyfél ezen túl kíván különleges adatot kezelni, köteles erről a Szolgáltatót előzetesen írásban tájékoztatni, és igazolni a jogalapot. A Szolgáltató a különleges adat kezelését megtagadhatja.

20.4. Adatvédelmi incidens

A Szolgáltató az Ügyfél adatait érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az Ügyfél kapcsolati e-mail-címét. Az értesítés (az akkor rendelkezésre álló mértékben) tartalmazza:

• az incidens jellegét;
• az érintett adatok és érintettek kategóriáit és hozzávetőleges számát;
• a valószínű következményeket;
• a megtett vagy tervezett intézkedéseket;
• a kapcsolattartó elérhetőségét.

A hatóság és az érintettek értesítése az Ügyfél feladata; ebben a Szolgáltató közreműködik.

20.5. Ellenőrzés

Az Ügyfél jogosult ellenőrizni, hogy a Szolgáltató betartja-e a DPA-t:

Az Ügyfél az auditigényét legalább 30 nappal előre írásban jelzi. Az audit évente legfeljebb egyszer kérhető, kivéve incidens vagy hatósági eljárás esetén, és nem zavarhatja a szolgáltatás működését.

20.6. Az adatok visszaadása és törlése

A szerződés megszűnésekor:

• Visszaadás: az Ügyfél a megszűnést követő 30 napig a fiókból géppel olvasható formátumban (CSV, JSON, XLSX, a dokumentumok PDF-ben) exportálhatja az adatait.
• Törlés: a 30 nap lejártát követően a Szolgáltató a fiók adatait véglegesen törli; a biztonsági mentésekből az adatok a mentések megőrzési idejének (30 nap) lejártával törlődnek. Az Ügyfél kérésére a törlés korábban is megtörténhet.

Kérésre a Szolgáltató írásban igazolja a törlést. A törlés nem vonatkozik a Szolgáltatót saját jogon terhelő megőrzési kötelezettségre (például a Szolgáltató által kiállított számlák 8 évig, az aláírási adatok 10 évig).

20.7. Felelősség és módosítás

Az Ügyfél felel az adatkezelés jogszerűségéért, a Szolgáltató a DPA és a GDPR adatfeldolgozókra vonatkozó rendelkezéseinek betartásáért. Az érintettel szemben a felek a GDPR 82. cikke szerint felelnek; ha mindkét fél felelős a kárért, egyetemlegesen. Egymás közötti viszonyukban a felelősségre az ÁSZF 8. pontjának korlátozásai irányadók, a jogszabály által megengedett mértékben.

A Szolgáltató a DPA-t jogszabályváltozás vagy a szolgáltatás változása miatt módosíthatja; erről legalább 30 nappal előre értesíti az Ügyfelet, aki egyet nem értése esetén a szerződést felmondhatja.

20.8. 1. melléklet: technikai és szervezési intézkedések

Technikai intézkedések

Szervezési intézkedések

Adatközpont: Hetzner Online GmbH, németországi adatközpontok, ISO/IEC 27001 tanúsítvánnyal.

20.9. 2. melléklet: al-adatfeldolgozók

Az al-adatfeldolgozók teljes listáját a 13. pont tartalmazza. Utolsó frissítés: 2026. október 22.

Budapest, 2026. október 22.

Inflex Studio Kft.