Adatfeldolgozói szerződés (DPA)
A Veridis ügyviteli rendszer igénybevételéhez kapcsolódó adatfeldolgozás feltételei, az EU 2016/679 rendelet (GDPR) 28. cikke alapján. Ez a dokumentum a Szolgáltatási Szerződés (ÁSZF) elválaszthatatlan mellékletét képezi.
1. A Szerződő Felek
Adatkezelő (Megrendelő): a Veridis Szolgáltatást előfizető ügyvédi iroda vagy ügyvéd, akinek adatai az előfizetői szerződésben szerepelnek.
Adatfeldolgozó (Szolgáltató): A Szolgáltató pontos megnevezése és székhelye a szolgáltatás indulásakor kerül feltüntetésre. Kapcsolat: hello@veridis.hu.
A Szolgáltató a Szolgáltatási Szerződés teljesítése során a Megrendelő nevében és utasítására személyes adatokat dolgoz fel; adatvédelmi kérdésekben — ellentmondás esetén — a jelen DPA az irányadó.
2. Az adatfeldolgozás tárgya, jellege és célja
- Tárgy: a Megrendelő által a rendszerbe felvitt, illetve ott keletkező személyes adatok tárolása és a szolgáltatás működéséhez szükséges kezelése.
- Jelleg: felhőalapú (SaaS) tárolás, megjelenítés, keresés, dokumentum-generálás, határidő- és feladatkezelés, számlázási és elszámolási segédfunkciók; a Megrendelő beállítása szerint e-mail-küldés és külső rendszerekkel való szinkron.
- Cél: kizárólag a szolgáltatás nyújtása a Megrendelő számára. A Szolgáltató az adatokat saját céljára nem használja fel.
- Utasítás: a Szolgáltató kizárólag a Megrendelő dokumentált utasításai (ideértve a rendszer rendeltetésszerű használatát és beállításait) szerint jár el, kivéve, ha jogszabály kötelezi.
3. Az érintettek köre és az adatok kategóriái
Érintettek: a Megrendelő ügyfelei és képviselőik; az ügyekben szereplő természetes személyek (pl. ellenérdekű fél, tényleges tulajdonosok, felek); a Megrendelő munkatársai (felhasználók).
Adatkategóriák: azonosító és kapcsolati adatok (név, születési adatok, anyja neve, lakcím, adóazonosító/adószám, telefonszám, e-mail, okmányadatok – pl. a Pmt. átvilágításhoz); ügy- és eljárásadatok (ügyszám, tényállás, iratok, határidők, feladatok); pénzügyi és elszámolási adatok (díjak, órák, számlázás, letéti nyilvántartás); fiók- és tevékenységadatok.
Különleges adatok: a Megrendelő ügyeitől függően előfordulhatnak (pl. büntetőügyi adatok), amelyeket a Szolgáltató fokozott biztonsági intézkedésekkel kezel. Az adatok körének jogszerűségéért a Megrendelő mint adatkezelő felel.
4. Az adatfeldolgozás időtartama
Az adatfeldolgozás a Szolgáltatási Szerződés hatálya alatt áll fenn. A megszűnést követően a Szolgáltató a 8. pont szerint jár el.
5. A Megrendelő (Adatkezelő) kötelezettségei
- Kizárólag a Megrendelő dönt az adatkezelés céljáról és eszközeiről; ő az adatkezelő.
- Szavatolja, hogy az adatok kezelésének megfelelő jogalapja van, és teljesíti az érintettek tájékoztatását.
- Felel a saját felhasználói hozzáférések (jogosultságok, jelszavak, kétfaktoros hitelesítés) megfelelő kezeléséért.
6. A Szolgáltató (Adatfeldolgozó) kötelezettségei (GDPR 28. cikk)
A Szolgáltató vállalja, hogy:
- kizárólag a Megrendelő dokumentált utasítása alapján kezeli az adatokat (harmadik országba továbbítás is csak így), kivéve jogszabályi kötelezés esetén, amelyről előzetesen tájékoztat;
- biztosítja, hogy az adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaltak;
- végrehajtja a GDPR 32. cikk szerinti technikai és szervezési intézkedéseket (lásd 12. pont);
- al-adatfeldolgozót csak a 7. pont szerint vesz igénybe;
- segíti a Megrendelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) teljesítésében;
- segíti a Megrendelőt a 32–36. cikk szerinti kötelezettségekben (adatbiztonság, incidensbejelentés, hatásvizsgálat);
- a szolgáltatás megszűnésekor a Megrendelő döntése szerint visszaadja vagy törli az adatokat (8. pont);
- a megfelelés igazolásához szükséges információkat rendelkezésre bocsátja, és lehetővé teszi az ellenőrzést (9. pont).
7. Al-adatfeldolgozók
A Megrendelő általános felhatalmazást ad al-adatfeldolgozók igénybevételére az alábbi, mindenkor frissített lista szerint. A Szolgáltató az al-adatfeldolgozóra a jelen DPA-val azonos szintű kötelezettségeket telepít, és felel a tevékenységéért. Új al-adatfeldolgozó bevonásáról a Szolgáltató előzetesen tájékoztat, amely ellen a Megrendelő kifogással élhet.
| Al-adatfeldolgozó | Szolgáltatás | Régió / garancia |
|---|---|---|
| Tárhely-/szerver-szolgáltató | Kiszolgáló-infrastruktúra (adatbázis, fájlok tárolása) | EU adatközpont |
| KBOSS.hu Kft. (Számlázz.hu) | Számlakiállítás, kifizetettség rögzítése | Magyarország (EU) |
| Resend, Inc. | Kimenő e-mailek küldése (ha a Megrendelő aktiválja) | USA – megfelelő garancia (SCC) |
A Megrendelő saját fiókjával összekötött külső tárhely (Microsoft OneDrive – iratmentés, Google – Naptár-szinkron) esetén a jogviszony a Megrendelő és az adott szolgáltató között áll fenn; a Szolgáltató csak a Megrendelő utasítására, az ő fiókjába továbbít. A Megrendelő ügyfeleitől való esetleges fizetés-beszedéshez igénybe vett fizetési szolgáltató (pl. Barion) a fizetési adatok tekintetében külön adatkezelő.
8. Az adatok visszaadása és törlése
A szolgáltatás megszűnésekor a Megrendelő kérésére a Szolgáltató adatexportot biztosít. Ezt követően — a Megrendelő eltérő rendelkezése hiányában — a személyes adatokat törli, a biztonsági mentésekből is a mentési ciklusnak megfelelő időn belül, kivéve, ahol a megőrzést jogszabály írja elő.
9. Adatvédelmi incidens, ellenőrzés
A Szolgáltató az adatvédelmi incidensről indokolatlan késedelem nélkül értesíti a Megrendelőt, és átadja a rendelkezésre álló releváns információkat. A hatósági (NAIH) bejelentés és az érintettek tájékoztatása a Megrendelő kötelezettsége, amelyben a Szolgáltató együttműködik. A Szolgáltató a Megrendelő kérésére igazolja a megfelelést, és — előzetes egyeztetés után, a szolgáltatás zavarása nélkül, mások adatait nem érintve — lehetővé teszi az ellenőrzést.
10. Adattovábbítás harmadik országba
Az adatok elsődlegesen az EU/EGT területén kerülnek tárolásra. Amennyiben valamely al-adatfeldolgozó EU/EGT-n kívüli adatkezelést végezhet, a Szolgáltató gondoskodik a megfelelő garanciákról (megfelelőségi határozat vagy általános szerződési feltételek – SCC).
11. Vegyes rendelkezések
A jelen DPA a Szolgáltatási Szerződés részeként, annak megszűnéséig hatályos. Irányadó jog: Magyarország joga. Módosítás írásban érvényes; kivétel az al-adatfeldolgozói lista frissítése, amelyről a Szolgáltató a 7. pont szerint tájékoztat.
12. Technikai és szervezési intézkedések (GDPR 32. cikk)
A rendszerben bevezetett intézkedések kivonata:
- Titkosított átvitel: teljes HTTPS/TLS, HSTS (a böngésző csak HTTPS-en éri el az oldalt).
- Titkosított tárolás: a külső API-kulcsok és a kétfaktoros titkok titkosítva; a jelszavak visszafejthetetlen hash-sel tárolódnak.
- Hozzáférés-védelem: szerep- és jogosultságkezelés (RBAC) modul+művelet szintű jogokkal; kétfaktoros hitelesítés (2FA) választhatóan minden felhasználónak.
- Naplózás és felügyelet: tevékenységnapló, beépített hibakövető és lassú-kérés monitoring.
- Mentés és helyreállítás: rendszeres, automatikus adatbázis-mentés, helyreállítási lehetőséggel.
- Alkalmazásbiztonság: CSRF-védelem, biztonsági HTTP-fejlécek, session-védelem, jogosultság-alapú végpontvédelem.
- Adatminimalizálás: a felhasználók csak a jogosultságuk szerinti adatokat érik el.
A jelen dokumentum a Veridis rendszer mindenkori állapotához igazodik. A végleges DPA az üzemeltető cég adataival és a tényleges al-adatfeldolgozói listával válik teljessé.
Hatályos / utolsó frissítés: 2026. augusztus 7..