Adatfeldolgozási megállapodás

A Hívásfelvevő ÁSZF melléklete · GDPR 28. cikk · 1.0 változat · Hatályos: 2026. október 9-től

1. Felek és szerepek

1.1. Adatkezelő (Ügyfél): a Hívásfelvevő szolgáltatást megrendelő vállalkozás, az ügyféladatlapon rögzített adatokkal (név, cím, nyilvántartási szám, képviselő, kapcsolattartó, incidens-kapcsolat). Adatfeldolgozó (Szolgáltató): HERMES PHARMA Korlátolt Felelősségű Társaság, 1138 Budapest, Hajóépítő sétány 4.; cégjegyzékszám 01-09-449569; adószám 32921094-2-41; képviseli: Bor Zoltán ügyvezető; adatfeldolgozói és incidens-kapcsolat: adatvedelem@hivasfelvevo.hu.

1.2. Az Ügyfél a hívói adatok adatkezelője. Ha az Ügyfél maga is adatfeldolgozóként jár el (például egy rendelő nevében egy üzemeltető cég), ezt az adatlapon jelzi, megnevezi a végső adatkezelőt, és szavatolja, hogy a Szolgáltató alfeldolgozóként való bevonására felhatalmazása van.

1.3. A megállapodás az Ügyfél nevében kezelt személyes adatokra vonatkozik. A Szolgáltató saját (előfizetői, számlázási, honlapi, demó) adatkezelését az adatkezelési tájékoztató rendezi. A Szolgáltató a hívásadatokon saját célú adatkezelést nem folytat; összesített, személyes adatot nem tartalmazó használati statisztikát (hívások száma, percek, költségek) a szolgáltatás elszámolásához és fejlesztéséhez készít.

2. Az adatfeldolgozás tárgya és az utasítások

2.1. Tárgy: az Ügyfél telefonszámáról átirányított bejövő hívások fogadása az AI-asszisztenssel (Dóra), a hívás hangjának továbbítása és feldolgozása, beszédfelismerés, válaszalkotás, hangképzés, a hívás átiratának, összefoglalójának és a rögzített adatoknak (név, telefonszám, kérés, időpont) a tárolása és az Ügyfél részére e-mailben való megküldése, az adminisztrációs felületen való megjelenítése, exportja és törlése. Időtartam: a szolgáltatás beállításától a megszűnést követő törlésig. Célok, adatkategóriák, érintettek: az A melléklet szerint.

2.2. A Szolgáltató kizárólag az Ügyfél dokumentált utasítása alapján kezeli az adatokat, a nemzetközi továbbításra is kiterjedően. Utasításnak minősül az ÁSZF és e megállapodás, az ügyféladatlap tartalma (Dóra tudnivalói, az összefoglalók címzettje, a hangfelvétel be- vagy kikapcsolása, az időpontkezelés módja), valamint az Ügyfél kapcsolattartójának e-mailben adott, igazolható rendelkezése. Az adatlap változásait a Szolgáltató naplózza.

2.3. Ha jogszabály az utasítástól eltérő adatkezelést ír elő, a Szolgáltató erről az adatkezelés előtt tájékoztatja az Ügyfelet, kivéve ha a tájékoztatást jogszabály fontos közérdekből tiltja. Jogsértő vagy szükségtelen adat bekérésére irányuló utasítást a Szolgáltató nem hajt végre, és ezt haladéktalanul jelzi.

2.4. Az Ügyfél biztosítja a hívói adatkezelés jogalapját és a hívók tájékoztatását (az adatkezelési tájékoztató 1. melléklete szerinti minta alapján), és felel azért, hogy Dóra beállításánál csak a szükséges adatok bekérését kéri. Különleges adat (például egészségügyi adat) kezelésére az Ügyfél a saját tevékenységére irányadó szabályok (GDPR 9. cikk, egészségügyi szolgáltatónál az Eüak. és a titoktartás) alapján jogosult; ezt az A mellékletben nyilatkozatként rögzíti. A Szolgáltató ilyen adatot nem kér be célzottan.

3. Titoktartás és felhasználási korlát

3.1. Az adatokhoz a Szolgáltató részéről csak a feladatuk alapján feljogosított, titoktartásra kötelezett személyek férhetnek hozzá. A hívások átiratába vagy hangjába a Szolgáltató munkatársai csak az Ügyfél kérésére vagy igazolt hibaelhárítás céljából, a szükséges mértékben tekintenek bele; a hívások rutinszerű meghallgatása nem megengedett.

3.2. A Szolgáltató és alfeldolgozói az Ügyfél hívásadatait, a hangot, az átiratot, az összefoglalót és a rendelői adatokat nem használják saját vagy harmadik fél AI-modelljének tanítására vagy finomhangolására, reklámra, nyilvános bemutatóra vagy más ügyfél kiszolgálására. A szolgáltatás teljesítéséhez szükséges modellfuttatás nem minősül tanításnak. A tilalmat a Szolgáltató a beszállítói szerződésekben és a beállításokban érvényesíti.

3.3. Az álnevesített adat személyes adat marad. Anonimizált statisztika csak az 1.3. pont szerinti körben, személyes adat nélkül készül.

4. Biztonsági intézkedések

4.1. A Szolgáltató a GDPR 32. cikke szerinti, a kockázathoz igazodó technikai és szervezési intézkedéseket alkalmazza; a ténylegesen működő intézkedéseket a B melléklet tartalmazza. A védelem szintjének lényeges csökkentése az Ügyfél előzetes tájékoztatása nélkül nem vezethető be.

4.2. A Szolgáltató rendszeresen ellenőrzi a mentések visszaállíthatóságát, kezeli a biztonsági frissítéseket, az ügyfelek adatait egymástól ügyfélhez rendelve elkülöníti, és csak a szükséges hozzáférést adja.

5. Alfeldolgozók

5.1. Az Ügyfél általános írásbeli engedélyt ad a C mellékletben megnevezett alfeldolgozók bevonására. Új alfeldolgozó bevonása vagy csere előtt a Szolgáltató legalább 30 nappal e-mailben közli annak nevét, feladatát, a kezelt adatokat, az országot és a garanciákat. Az Ügyfél ez idő alatt megalapozott adatvédelmi okból tiltakozhat; ha nincs megfelelő alternatíva, a szerződést a változás hatálybalépéséig többletköltség nélkül felmondhatja, és a nem teljesített, előre fizetett díjat visszakapja.

5.2. A Szolgáltató az alfeldolgozókra írásbeli szerződéssel legalább az e megállapodásban vállalt adatvédelmi kötelezettségeket rója, és az alfeldolgozó teljesítéséért az Ügyféllel szemben teljes felelősséggel tartozik (GDPR 28. cikk (4)).

6. Nemzetközi adattovábbítás

6.1. EU/EGT-n kívüli adattovábbítás a C mellékletben megnevezett alfeldolgozóknál (ElevenLabs, Telnyx) az Egyesült Államokba fordulhat elő, az Európai Bizottság (EU) 2021/914 határozata szerinti általános szerződési feltételek (feldolgozó–alfeldolgozó modul), illetve az EU–USA adatvédelmi keret (DPF) szerinti tanúsítás alapján, az alfeldolgozók adatfeldolgozási megállapodásai szerint. Az Ügyfél e megállapodás elfogadásával az így dokumentált továbbításra utasítást ad.

6.2. Ha egy garancia megszűnik, a Szolgáltató jogszerű alternatívát vezet be, vagy a továbbítást leállítja, és erről az Ügyfelet tájékoztatja. A garanciák ellenőrzéséhez szükséges információt a Szolgáltató kérésre átadja.

7. Érintetti kérelmek és segítségnyújtás

7.1. A Szolgáltatóhoz érkező hívói kérelmet (hozzáférés, törlés, helyesbítés, korlátozás, adathordozhatóság, tiltakozás) a Szolgáltató 2 munkanapon belül továbbítja az Ügyfélnek, és annak utasítására a kérelem teljesítését 5 munkanapon belül technikailag támogatja (keresés az átiratokban, másolat, törlés a saját rendszerében és az ElevenLabs-nál). A hívó felé önállóan csak jogszabályi kötelezés vagy az Ügyfél kifejezett utasítása alapján nyilatkozik.

7.2. A Szolgáltató a rendelkezésére álló információkkal segíti az Ügyfél GDPR 32–36. cikk szerinti feladatait (biztonság, incidenskezelés, adatvédelmi hatásvizsgálat, előzetes konzultáció): átadja az adatfolyam, a tárolási helyek, a hozzáférések és a kockázatok leírását.

8. Adatvédelmi incidens

8.1. A Szolgáltató a személyes adatot érintő incidensről a tudomásszerzést követően indokolatlan késedelem nélkül, legkésőbb 24 órán belül e-mailben értesíti az Ügyfél kapcsolattartóját, akkor is, ha még nem ismert minden részlet. Az Ügyfél hatósági bejelentési kötelezettségét (72 óra) az Ügyfél értékeli; a Szolgáltató ehhez a szükséges információt megadja.

8.2. Az értesítés tartalmazza az esemény leírását, az érintett adatok és személyek körét és becsült számát, a valószínű következményeket, a megtett és tervezett intézkedéseket és a kapcsolattartót; a hiányzó részleteket a Szolgáltató fokozatosan pótolja, a bizonyítékokat megőrzi, a kiváltó okot vizsgálja.

9. Igazolás és ellenőrzés

A Szolgáltató az Ügyfél kérésére rendelkezésre bocsátja az e megállapodás és a GDPR 28. cikke szerinti megfelelés igazolásához szükséges információkat (adatfolyam, beállítások, alfeldolgozói megállapodások, a B melléklet intézkedéseinek leírása), és lehetővé teszi az Ügyfél vagy megbízott független auditor ellenőrzését. A rendes ellenőrzés időpontját és terjedelmét a felek legalább 15 nappal korábban egyeztetik, évente legfeljebb egy alkalommal; incidens vagy hatósági eljárás esetén soron kívül. Más ügyfelek adatai és üzleti titkok védelme mellett; a hatósággal való együttműködés díjhoz nem köthető.

10. Visszaadás és törlés

10.1. A szerződés megszűnésekor a Szolgáltató az Ügyfél választása szerint kiadja (CSV és JSON formátumban, az adminisztrációs felületen vagy biztonságos letöltési linken) és törli, vagy csak törli az Ügyfél hívásadatait. Az export kérésére a megszűnést követő 30 napon belül van lehetőség; ezt követően a Szolgáltató az adatokat a saját rendszeréből törli, az ElevenLabs-nál pedig a 30 napos megőrzés leteltével automatikusan törlődnek. A napi mentések legfeljebb 14 napig léteznek, így a törlés legkésőbb 14 nap után a mentésekből is érvényesül.

10.2. Jogszabály alapján megőrzendő adatot (számviteli bizonylat) a Szolgáltató elkülönítve, a kötelező ideig őrzi; a hívásadatok nem tartoznak ebbe a körbe. A Szolgáltató a törlést kérésre írásban igazolja.

11. Hatály és elsőbbség

A megállapodás az ÁSZF elfogadásával lép hatályba, és a törlés befejezéséig szükséges kötelezettségek a megszűnés után is fennmaradnak. Személyes adatok kérdésében az ÁSZF-fel szemben elsőbbséget élvez; a kötelező jogszabályok és az alkalmazott általános szerződési feltételek (SCC) elsőbbsége érintetlen. Módosítására az ÁSZF 13.1. pontja irányadó; új adatkezelési cél vagy korlátlan alfeldolgozói jog egyoldalú módosítással nem hozható létre. Irányadó a magyar jog; az érintettek jogai és a hatóság jogköre nem korlátozható.

A melléklet: az adatfeldolgozás leírása

B melléklet: technikai és szervezési intézkedések

• Hozzáférés: az adminisztrációs felületre csak a Hermes Pharma platformján azonosított (OIDC), admin vagy operátor szerepű felhasználó léphet be; a jogosultságokat a Szolgáltató vezeti és kilépéskor visszavonja.
• Titkosítás: minden webes kapcsolat HTTPS (TLS 1.2+, HSTS); a hívás SIP-továbbítása és a platformok közötti forgalom titkosított; a szerver lemezei és mentései a tárhelyszolgáltató védelmében.
• Elkülönítés: a hívásadatok ügyfélhez rendelve tárolódnak; az alkalmazás saját, korlátozott jogú adatbázis-felhasználóval dolgozik; a demó és az éles ügyfelek külön ügynökökön futnak.
• Hitelesség: az ElevenLabs-tól érkező hívásadatokat HMAC-aláírással ellenőrizzük; aláíratlan vagy hibás kérést elutasítunk és naplózunk.
• Naplózás: a beérkező webhookok, az adminisztrátori műveletek és a kiküldött e-mailek naplózása; a naplók 90 napig őrződnek.
• Mentés: napi, visszaolvasással ellenőrzött adatbázis-mentés, 14 napos megőrzéssel, korlátozott hozzáféréssel.
• Megőrzés és törlés: az ElevenLabs megőrzése 30 napra állítva; a saját rendszer törlése a megszűnés + 30 nap után; a törölt adat a mentések kifutásával is eltűnik.
• Beszállítók: adatfeldolgozási megállapodás minden alfeldolgozóval, a modelltanítás tilalma, EU adathely a Telnyx-nél, az alfeldolgozói listák figyelése.
• Munkatársak: titoktartási kötelezettség, a hívásokba való betekintés csak engedéllyel és indokkal.
• Incidens: 24 órás értesítés az Ügyfélnek, bizonyítékmegőrzés, okvizsgálat; a hatósági bejelentés támogatása.
• AI-biztonság: Dóra promptja tiltja a tanácsadást, a diagnózist és a kitalált adatokat; krízisprotokoll; az ügynök „alacsony bizalmi szintű” beállítással, külső eszközök nélkül fut; a hívások utólag ellenőrizhetők.

C melléklet: alfeldolgozók és az adatok útja

A Stripe (fizetés), a Google (webanalitika és a Hermes Pharma levelezése) és a Meta (hirdetésmérés) a Szolgáltató saját adatkezelésének címzettjei, nem a hívásadatok alfeldolgozói; részletek az adatkezelési tájékoztató 5. pontjában.

Elfogadás

A megállapodást az Ügyfél az ÁSZF elfogadásával (a megrendelés elküldésével) fogadja el; az elfogadás időpontját és a dokumentum változatát a Szolgáltató az ügyféladatlapon rögzíti, és kérésre az Ügyfélnek aláírt példányt küld. A Szolgáltató részéről: HERMES PHARMA Kft., Bor Zoltán ügyvezető.