Adatfeldolgozási szerződés

Verzió: 1.1 · Hatályos: 2026. november 1.

1. Felek és tárgy

1.1. Jelen adatfeldolgozási szerződés (DPA) a Vendigo Általános Szerződési Feltételei (ÁSZF) elválaszthatatlan része, és az ÁSZF elfogadásával a Vendigo előfizetője (Adatkezelő) és Facskó Máté egyéni vállalkozó (székhely: 1035 Budapest, Raktár utca 6. 2. emelet 8. ajtó, adószám: 59577447-1-41; Adatfeldolgozó) között jön létre.

1.2. A DPA tárgya az Adatkezelő által a Vendigo szolgáltatásban (a továbbiakban: Szolgáltatás) rögzített, illetve a Szolgáltatáson keresztül gyűjtött személyes adatok Adatfeldolgozó általi kezelése, az (EU) 2016/679 rendelet (GDPR) 28. cikkének megfelelően.

1.3. Ha a DPA és az ÁSZF rendelkezései eltérnek, a személyes adatok kezelése tekintetében a DPA az irányadó.

2. Az adatfeldolgozás részletei


Az adatfeldolgozás jellege	tárolás, rendszerezés, lekérdezés, megjelenítés, továbbítás az Adatkezelő által kijelölt címzettnek (például Számlázz.hu, Stripe), biztonsági mentés, törlés
Célja	a Szolgáltatás nyújtása: rendelésfelvétel, QR-kódos vendégrendelés és fizetés, asztalfoglalás, személyzet- és jogosultságkezelés, bizonylat- és számlakiállítás az Adatkezelő nevében, nyomtatás, készletkezelés, kimutatások
Időtartama	az ÁSZF szerinti szerződés időtartama, valamint a 9. pont szerinti visszaadási/törlési időszak
Az érintettek köre	az Adatkezelő vendégei (rendelők, fizetők, asztalfoglalók, számlát kérők), az Adatkezelő munkavállalói és megbízottai (Felhasználók)
A személyes adatok típusai	vendégek: rendelés tartalma és időpontja, asztal, megjegyzés, fizetés összege és állapota, kuponhasználat; foglalók: név, telefonszám, e-mail, létszám, időpont, megjegyzés; számlát kérők: név, cím, adószám; Felhasználók: név, e-mail, szerepkör, jogosultságok, hash-elt PIN, műszakadatok, műveleti napló
Különleges adatok	a Szolgáltatás különleges adat (GDPR 9. cikk) kezelésére nem szolgál. Az Adatkezelő gondoskodik róla, hogy a megjegyzés-mezőkben ilyen adatot (például egészségügyi adatot) csak a vendég kifejezett kérésére és a szolgáltatáshoz feltétlenül szükséges mértékben (például allergia jelzése) rögzítsenek.

3. Az Adatkezelő kötelezettségei

3.1. Az Adatkezelő felel azért, hogy az adatkezelésnek megfelelő jogalapja legyen, az érintetteket a GDPR 13–14. cikke szerint tájékoztassa (különösen a vendéglátóhelyen és a foglaláskor), és az általa adott utasítások jogszerűek legyenek.

3.2. Az Adatkezelő meghatározza a megőrzési időket, és – ha a Szolgáltatás erre funkciót biztosít – maga gondoskodik a szükségtelenné vált adatok törléséről, vagy a törlést az Adatfeldolgozótól kéri.

4. Az Adatfeldolgozó kötelezettségei

4.1. Utasításhoz kötöttség. Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. Dokumentált utasításnak minősül az ÁSZF, jelen DPA, valamint az Adatkezelő és a Felhasználók által a Szolgáltatásban végzett beállítás és művelet. Ha az Adatfeldolgozó megítélése szerint egy utasítás jogszabályba ütközik, erről az Adatkezelőt haladéktalanul tájékoztatja. Ha uniós vagy tagállami jog az Adatfeldolgozó számára további adatkezelést ír elő, erről az Adatkezelőt az adatkezelést megelőzően tájékoztatja, kivéve, ha ezt jogszabály tiltja.

4.2. Titoktartás. Az Adatfeldolgozó biztosítja, hogy a személyes adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak.

4.3. Adatbiztonság. Az Adatfeldolgozó végrehajtja a GDPR 32. cikke szerinti, a 7. pontban és az Adatvédelmi tájékoztató 9. pontjában leírt technikai és szervezési intézkedéseket.

4.4. Saját célú felhasználás tilalma. Az Adatfeldolgozó a személyes adatokat saját céljára nem használja, harmadik félnek nem adja el és nem teszi hozzáférhetővé, kivéve a 6. pont szerinti további adatfeldolgozókat és az Adatkezelő által kijelölt címzetteket. Személyes adatot nem tartalmazó, anonim, összesített statisztikát az Adatfeldolgozó a Szolgáltatás fejlesztése céljából készíthet.

4.5. Az érintetti jogok támogatása. Az Adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt az érintetti kérelmek (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) teljesítésében. Ha az érintett közvetlenül az Adatfeldolgozóhoz fordul, a kérelmet 5 munkanapon belül továbbítja az Adatkezelőnek, és azt az Adatkezelő utasítása nélkül nem teljesíti.

4.6. Együttműködés. Az Adatfeldolgozó segíti az Adatkezelőt a GDPR 32–36. cikkében foglalt kötelezettségek (adatbiztonság, incidensbejelentés, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében, a rendelkezésére álló információk alapján.

5. Adatvédelmi incidens

5.1. Az Adatfeldolgozó az Adatkezelőt érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az Adatkezelőt e-mailben.

5.2. Az értesítés – a rendelkezésre álló mértékben – tartalmazza: az incidens jellegét, az érintettek és az adatok kategóriáit és hozzávetőleges számát, a valószínű következményeket, a megtett vagy tervezett intézkedéseket, valamint a kapcsolattartó elérhetőségét. Az Adatfeldolgozó a később rendelkezésre álló információkat folyamatosan átadja.

5.3. Az incidens NAIH-hoz történő bejelentése és az érintettek tájékoztatása az Adatkezelő kötelezettsége; az Adatfeldolgozó ebben együttműködik.

6. További adatfeldolgozók (alvállalkozók)

6.1. Az Adatkezelő általános felhatalmazást ad az Adatfeldolgozónak további adatfeldolgozók igénybevételére. A DPA hatálybalépésekor igénybe vett további adatfeldolgozók:

Partner	Feladat	Hely
Hetzner Online GmbH	szerver- és adatbázis-tárhely, mentések	EU (Németország / Finnország)
Cloudflare, Inc.	DNS, hálózati védelem, mentések tárolása (R2)	USA / EU
Resend, Inc.	tranzakciós e-mailek (például meghívó, rendszerértesítés)	USA
Sentry (Functional Software, Inc.), ha a hibakövetés aktív	hibakövetés	USA / EU

6.2. Az Adatkezelő által a Szolgáltatásban bekapcsolt integrációk (különösen Stripe – online fizetés; Számlázz.hu – számlakiállítás az Adatkezelő saját fiókjával) esetében az Adatkezelő maga köt szerződést az adott szolgáltatóval, és az adatok az Adatkezelő utasítására kerülnek hozzájuk; ezek a szolgáltatók nem az Adatfeldolgozó alvállalkozói.

6.3. Az Adatfeldolgozó új további adatfeldolgozó igénybevételéről vagy cseréjéről legalább 30 nappal korábban e-mailben értesíti az Adatkezelőt. Az Adatkezelő az értesítést követő 15 napon belül, alapos adatvédelmi indokkal kifogást emelhet; ha a felek nem egyeznek meg, az Adatkezelő a szerződést a változás hatálybalépésének napjára díjmentesen felmondhatja, és az előre megfizetett díj időarányos részét visszakapja.

6.4. Az Adatfeldolgozó a további adatfeldolgozókra a jelen DPA-ban foglaltakkal lényegében azonos adatvédelmi kötelezettségeket ró ki írásbeli szerződésben, és azok teljesítéséért az Adatkezelő felé felel.

7. Technikai és szervezési intézkedések

titkosított adatátvitel (TLS) minden kapcsolatban;
az Adatkezelők adatainak logikai elkülönítése adatbázis-szintű sorszintű biztonsággal (Row-Level Security), amelyet az alkalmazás nem-tulajdonosi adatbázis-szerepkörrel, automatizált tesztekkel ellenőrzötten használ;
jelszavak és PIN-kódok hash-elt, külső szolgáltatói kulcsok titkosított tárolása;
szerepkör alapú hozzáférés, a legkisebb jogosultság elve, műveleti (audit) napló;
napi titkosított biztonsági mentés 30 napos megőrzéssel, rendszeresen tesztelt visszaállítással;
a szerverek ISO/IEC 27001 tanúsított EU-s adatközpontban működnek, nem-root konténerekben;
a függőségek és a futtatókörnyezet rendszeres biztonsági frissítése;
az üzemeltetői hozzáférés kulcsalapú, naplózott.

Az Adatfeldolgozó jogosult az intézkedéseket a technika fejlődésének megfelelően módosítani, feltéve, hogy a védelmi szint nem csökken.

8. Ellenőrzés

8.1. Az Adatfeldolgozó az Adatkezelő kérésére rendelkezésre bocsátja a DPA-ban foglalt kötelezettségek teljesítésének igazolásához szükséges információkat (például a technikai intézkedések leírását, az alvállalkozók listáját és szerződéses garanciáit).

8.2. Az Adatkezelő – vagy az általa megbízott, titoktartásra kötelezett auditor – évente legfeljebb egyszer, legalább 30 nappal előre egyeztetett időpontban, munkaidőben, a Szolgáltatás működését és más Adatkezelők adatainak bizalmasságát nem veszélyeztető módon ellenőrzést végezhet. Az ellenőrzés költségeit – kivéve, ha az lényeges szerződésszegést tár fel – az Adatkezelő viseli.

9. Az adatok visszaadása és törlése

9.1. A szerződés megszűnésekor az Adatfeldolgozó – az Adatkezelő választása szerint – a személyes adatokat a megszűnést követő 30 napon belül géppel olvasható formátumban (CSV/JSON) visszaadja, majd törli, vagy visszaadás nélkül törli.

9.2. A biztonsági mentésekben tárolt adatok a mentések 30 napos rotációja szerint törlődnek; addig azokhoz csak helyreállítási célból lehet hozzáférni.

9.3. A törlési kötelezettség nem vonatkozik azokra az adatokra, amelyek megőrzését uniós vagy tagállami jog írja elő; ezekről az Adatfeldolgozó tájékoztatja az Adatkezelőt.

10. Adattovábbítás harmadik országba

Az Európai Gazdasági Térségen kívüli adattovábbítás csak a GDPR V. fejezetének megfelelő garanciák (megfelelőségi határozat, különösen az EU–USA adatvédelmi keretrendszer, vagy az Európai Bizottság általános szerződési feltételei) mellett történik.

11. Felelősség és záró rendelkezések

11.1. A felek felelősségére a GDPR 82. cikke, valamint – a GDPR által nem szabályozott kérdésekben – az ÁSZF 12. pontja irányadó.

11.2. A DPA az ÁSZF-fel együtt lép hatályba és szűnik meg; a 9. pontban foglalt kötelezettségek a megszűnés után is fennállnak.

11.3. Az Adatfeldolgozó kapcsolattartója adatvédelmi ügyekben: info@vendigo.hu, +36 20 530 5345.