---

1. A megállapodás létrejötte, felek és szerepek

Jelen Adatfeldolgozási Megállapodás (a továbbiakban: DPA) a Dentál Raktár Kft. (a továbbiakban: Adatfeldolgozó vagy Szolgáltató) Mediscan szolgáltatására vonatkozó Általános Szerződési Feltételek (ÁSZF) elválaszthatatlan melléklete, és az ÁSZF elfogadásával, külön aláírás nélkül létrejön a Szolgáltató és a szolgáltatást igénybe vevő Ügyfél (a továbbiakban: Adatkezelő) között.

A GDPR 28. cikke alapján a jelen DPA hatálya alá tartozó adatkezelési műveletek tekintetében az Ügyfél az adatkezelő, a Szolgáltató az adatfeldolgozó. Nem tartozik a jelen DPA hatálya alá az az adatkör, amelyet a Szolgáltató saját adatkezelőként kezel (felhasználói fiókok, cégprofil, kapcsolattartás, számlázás); erre a Szolgáltató Adatkezelési Tájékoztatója irányadó.

2. A feldolgozás tárgya, jellege, célja és időtartama

Tárgya és jellege: az Adatkezelő számláiban, valamint – bekötése esetén – az Adatkezelő bankszámlájának tranzakcióiban szereplő személyes adatok tárolása, strukturálása, automatizált (MI-alapú) adatkinyerése, a banki tranzakciók és a számlák automatizált párosítása, megjelenítése, exportálása és továbbítása a Mediscan Invoice modul működtetése keretében; továbbá – feltöltése esetén – az Adatkezelő havi járulékbevallásából (08-as bevallás) kinyert bér- és járulékadatok tárolása, összesítése és megjelenítése.

Célja: kizárólag az ÁSZF szerinti szolgáltatás nyújtása az Adatkezelő részére. Az Adatfeldolgozó a személyes adatokat semmilyen saját célra – így különösen a dentalraktar.hu webáruház értékesítési, árazási, marketing- vagy versenyelemzési céljaira – nem használja fel (lásd 5. pont).

Időtartama: a szolgáltatási szerződés fennállásának időtartama, azzal, hogy a feltöltött számlaképeket (PDF, kép, fénykép) az Adatfeldolgozó a feltöltéstől számított legfeljebb 13 hónapig tárolja, amelyet követően azok automatikusan és visszaállíthatatlanul törlésre kerülnek; a szolgáltatás nem minősül tartós bizonylat- vagy dokumentumtárnak. A feltöltött járulékbevallás-fájlt az Adatfeldolgozó nem tárolja: abból kizárólag a 4. pontban felsorolt adatokat nyeri ki, a fájlt a feldolgozás után haladéktalanul, megszakított feltöltés esetén legkésőbb 48 órán belül automatikusan törli. Az adatok legkésőbb a 12. pont szerinti törléssel szűnnek meg.

3. Az érintettek kategóriái

• az Adatkezelő vevői, ideértve a magánszemély vevőket (fogorvosi praxis esetén jellemzően pácienseket);
• az Adatkezelő szállítói, üzleti partnerei, valamint ezek kapcsolattartói és képviselői;
• a bekötött bankszámla tranzakcióiban szereplő befizetők és kedvezményezettek, valamint – egyéni vállalkozó Adatkezelő esetén – maga a számlatulajdonos;
• a számlákon egyéb minőségben szereplő természetes személyek;
• az Adatkezelő munkavállalói, megbízottjai, személyesen közreműködő tagjai és vezető tisztségviselői, valamint az Adatkezelőtől osztalékban részesülő természetes személyek, amennyiben az Adatkezelő által feltöltött járulékbevallásban szerepelnek.

4. A személyes adatok kategóriái

Különleges adatokra vonatkozó figyelemfelhívás: fogorvosi praxis kimenő számlájának vevőadata közvetve egészségügyi vonatkozású lehet (a fogászati szolgáltatás igénybevételének ténye kiolvasható belőle). A felek rögzítik, hogy a rendszerbe egészségügyi dokumentáció, TAJ-szám vagy kezelési adat nem vihető be; az Adatkezelő felel azért, hogy számláin a jogszabály által megkövetelt adattartalmon túl egészségügyi adat ne szerepeljen. Az Adatfeldolgozó e körülményre tekintettel emelt szintű biztonsági intézkedéseket alkalmaz (7. pont).

Járulékbevallás: az Adatfeldolgozó a feltöltött bevallásból nem nyeri ki és nem tárolja a TAJ-számot, az eltartott gyermekek adatait, az adókedvezmények jogcímét (így pl. az anyák, az első házasok vagy a családi kedvezmény jogcímét), valamint a nyers bevallásfájlt (2. pont). A személyenkénti bér- és járulékadathoz az Adatkezelő felhasználói közül kizárólag a tulajdonos és a menedzser szerepkörű felhasználó fér hozzá.

5. Utasításadás; célhoz kötöttség és üzletági elkülönítés

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. Dokumentált utasításnak minősül az ÁSZF, a jelen DPA, az egyedi szolgáltatási szerződés, valamint a szolgáltatás felületén elérhető funkciók Adatkezelő általi használata (pl. könyvelői export indítása, bankszámla bekötése vagy leválasztása, törlés kezdeményezése). Ha az Adatfeldolgozó megítélése szerint valamely utasítás jogszabályt sért, erről az Adatkezelőt haladéktalanul tájékoztatja.

Az Adatfeldolgozó kifejezetten vállalja, hogy a jelen DPA hatálya alá tartozó adatokat a dentalraktar.hu webáruházi üzletága részére nem teszi hozzáférhetővé, és azokat webáruházi értékesítési, árazási, marketing-, ügyfélszerzési vagy versenyelemzési célra nem használja fel. Az adatokhoz kizárólag a Mediscan szolgáltatás üzemeltetéséhez szükséges, titoktartásra kötelezett munkatársak férnek hozzá.

6. Titoktartás

Az Adatfeldolgozó biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak. A titoktartási kötelezettség a szolgáltatási szerződés megszűnése után is fennmarad. Az Adatkezelő számlaadatai egyben az Adatkezelő üzleti titkát képezik.

7. Adatbiztonság – technikai és szervezési intézkedések (TOM)

Az Adatfeldolgozó a GDPR 32. cikkének megfelelően többek között az alábbi intézkedéseket alkalmazza:

• kizárólag olvasási jogosultságú külső kapcsolatok: a NAV Online Számla rendszeréhez és a bekötött bankszámlához a rendszer csak lekérdezési joggal kapcsolódik – a NAV felé adatot nem küld és nem módosít, a bankszámlán átutalást vagy más fizetési műveletet nem kezdeményezhet;
• a NAV technikai hitelesítő adatok titkosított tárolása (encryption at rest);
• a járulékbevallásból kinyert nevek titkosított tárolása, az adóazonosító jel helyett kulcsolt, vissza nem fejthető azonosító (álnevesítés);
• netbanki belépési azonosítót, jelszót vagy hitelesítési kódot az Adatfeldolgozó nem kér, nem lát és nem tárol – a banki azonosítás kizárólag a számlavezető bank felületén történik; bankkártya száma kizárólag maszkolt formában kerül tárolásra;
• ügyfelenkénti adat-elkülönítés (tenant-izoláció): minden lekérdezés cégszinten elkülönített;
• titkosított adatátvitel (HTTPS/TLS) valamennyi kapcsolaton;
• szerepkör-alapú hozzáférés-kezelés (tulajdonos, menedzser, munkatárs): minden felhasználó kizárólag a saját cége adataihoz és a szerepköréhez rendelt funkciókhoz fér hozzá;
• külső integrációk (pl. Telegram webhook, banki értesítések fogadása) titkos kulccsal történő hitelesítése;
• rendszeres biztonsági frissítések és biztonsági mentések;
• a könyvelői exporthivatkozások időbeli korlátozása (30 napos lejárat).

8. Al-adatfeldolgozók

Az Adatkezelő általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére. Az Adatfeldolgozó az al-adatfeldolgozókkal a jelen DPA-ban foglaltakkal legalább egyenértékű adatvédelmi kötelezettségeket tartalmazó szerződést köt, és teljes felelősséggel tartozik azok teljesítéséért.

A Nemzeti Adó- és Vámhivatal (NAV) nem al-adatfeldolgozó, hanem önálló adatkezelő; a szinkronizáció a NAV Online Számla rendszeréből az Adatkezelő technikai felhasználójával történik. Hasonlóképpen nem al-adatfeldolgozó az Aggreg8 számlainformációs szolgáltató és a számlavezető bank: az Aggreg8 Kft. (székhely: 6725 Szeged, Szent Ferenc utca 1.; adószám: 25930423-2-06) a Magyar Nemzeti Bank által nyilvántartásba vett számlainformációs szolgáltatóként (AISP) a bankszámla-adatokat az Adatkezelővel (annak képviselőjével) közvetlenül létrejött jogviszony és a bank felületén adott PSD2-felhatalmazás alapján, önálló adatkezelőként kéri le, és azokhoz az Adatfeldolgozó az Adatkezelő által az Aggreg8 felületén adott információmegosztási felhatalmazás alapján, kizárólag olvasási joggal fér hozzá. A Google reCAPTCHA a weboldal kapcsolatfelvételi űrlapján működik, és nem a jelen DPA, hanem a Szolgáltató Adatkezelési Tájékoztatója alá tartozik.

Új al-adatfeldolgozó igénybevétele vagy csere esetén az Adatfeldolgozó legalább 15 nappal előre értesíti az Adatkezelőt (e-mailben vagy a felületen). Az Adatkezelő az értesítéstől számított 15 napon belül kifogást emelhet; kifogás esetén a felek egyeztetnek, ennek eredménytelensége esetén az Adatkezelő jogosult a szerződést felmondani.

9. Harmadik országba történő adattovábbítás

Amennyiben a feldolgozás az EGT-n kívülre irányuló adattovábbítással jár (lásd 8. pont), az kizárólag a GDPR V. fejezete szerinti megfelelő garanciák – elsősorban az Európai Bizottság által elfogadott általános szerződési feltételek (SCC), illetve megfelelőségi határozat – alapján történik.

10. Segítségnyújtás az Adatkezelő részére

Az Adatfeldolgozó a feldolgozás jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel segíti az Adatkezelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) gyakorlásával kapcsolatos kérelmek megválaszolásában, valamint a GDPR 32–36. cikke szerinti kötelezettségek (adatbiztonság, incidenskezelés, adatvédelmi hatásvizsgálat) teljesítésében. Ha érintett közvetlenül az Adatfeldolgozóhoz fordul, az Adatfeldolgozó a kérelmet haladéktalanul továbbítja az Adatkezelőnek, és arra önállóan érdemben nem válaszol.

11. Adatvédelmi incidens bejelentése

Az Adatfeldolgozó a tudomására jutott, a jelen DPA hatálya alá tartozó adatokat érintő adatvédelmi incidensről indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzéstől számított 48 órán belül értesíti az Adatkezelőt az általa megadott kapcsolattartási e-mail-címen. Az értesítés tartalmazza az incidens jellegét, az érintett adatkategóriákat és érintettek megközelítő számát, a valószínűsíthető következményeket, valamint a megtett és tervezett intézkedéseket. A felügyeleti hatóság és az érintettek felé történő bejelentés az Adatkezelő feladata; ebben az Adatfeldolgozó együttműködik.

12. Az adatok törlése és visszaadása

Az Adatkezelő a szolgáltatás felületén elérhető törlési funkcióval bármikor kezdeményezheti a jelen DPA hatálya alá tartozó valamennyi adat végleges törlését; a törlés azonnal és visszavonhatatlanul végrehajtásra kerül. A szolgáltatási szerződés megszűnésekor az Adatfeldolgozó – az Adatkezelő választása szerint – visszaadja vagy törli a személyes adatokat, kivéve, ha uniós vagy tagállami jog az adatok tárolását írja elő. A biztonsági mentésekből az adatok a mentési ciklus szerint, legkésőbb 30 napon belül futnak ki. A számviteli bizonylatok jogszabályi (8 éves) megőrzési kötelezettsége az Adatkezelőt terheli; e kötelezettség teljesítéséről az Adatkezelő a törlés kezdeményezése előtt maga gondoskodik (pl. exportálással).

A bankszámla leválasztása az új banki adatok lekérdezését szünteti meg; a leválasztás előtt már átvett számla- és tranzakcióadatok az Adatkezelő törlési kérelméig (a fenti törlési funkció használatáig) a rendszerben maradnak, és azzal együtt törlődnek. A törlés során az Adatfeldolgozó az Aggreg8-nál adott információmegosztási felhatalmazásokat is automatikusan visszavonja, így ezt követően a bankszámla adataihoz nem fér hozzá. Az Aggreg8 által a saját adatkezelése körében tárolt adatok törlésére az Aggreg8 adatkezelési tájékoztatója irányadó.

A törlési funkció használatától függetlenül a feltöltött számlaképeket (PDF, kép, fénykép) az Adatfeldolgozó a feltöltéstől számított legfeljebb 13 hónapig tárolja, majd azokat automatikusan és visszaállíthatatlanul törli; ezen időszak elteltével a számlaképek a rendszerben már nem érhetők el. Az Adatkezelő a számára szükséges bizonylatok megőrzéséről (pl. a 8 éves számviteli megőrzési kötelezettség teljesítéséről) e határidőn belül, saját hatáskörben – jellemzően exportálással – gondoskodik.

13. Ellenőrzés (audit)

Az Adatfeldolgozó az Adatkezelő rendelkezésére bocsátja mindazokat az információkat, amelyek a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükségesek, továbbá évente egy alkalommal, ésszerű előzetes (legalább 15 napos) írásbeli értesítés mellett, üzemzavart nem okozó módon lehetővé teszi és elősegíti az Adatkezelő vagy megbízott auditora által végzett ellenőrzést. Az audit költségei az Adatkezelőt terhelik, kivéve, ha az audit súlyos szerződésszegést tár fel.

14. Felelősség és záró rendelkezések

Az Adatfeldolgozó felel az általa igénybe vett al-adatfeldolgozók tevékenységéért. A felek felelősségére egyebekben a GDPR 82. cikke és az ÁSZF felelősségi szabályai irányadók. A jelen DPA az ÁSZF elválaszthatatlan része; az ÁSZF és a DPA eltérése esetén az adatvédelmi kérdésekben a DPA irányadó. A jelen DPA-ban nem szabályozott kérdésekben a GDPR, az Infotv. és a magyar jog rendelkezései alkalmazandók.