Adatfeldolgozói megállapodás

az Előfizető (adatkezelő) és az Üzemeltető (adatfeldolgozó) között, a GDPR 28. cikke alapján

PISZKOZAT jogi átnézésre. Verzió: 0.4, 2026-10-27 (az első változat 2026-10-02-i). Nem végleges, nem jogi tanács. A [JOGÁSZNAK: ...] jelölések nyitott kérdések vagy hiányzó adatok; a teljes lista, a feltevések és az állítások kódbeli fedezete a README-ben van. Angol fordítás: Data Processing Agreement; eltérés esetén a magyar szöveg az irányadó. A 2. melléklet (műszaki és szervezési intézkedések) kizárólag olyan intézkedést állít, amely a 2026-10-02-i kódállapotban (main a71f768) ellenőrizhetően él, vagy amelyet az Üzemeltető külön megerősít. A tervezett, de még nem működő intézkedések szándékosan nincsenek benne (lásd a README "Ismert hiányok" listáját).

1. Hatály, felek, viszony az ÁSZF-hez

1.1. Felek. Adatkezelő: az Előfizető (az ÁSZF 1.2. pontja szerint). Adatfeldolgozó: az Üzemeltető, a Brandlab Marketing Ügynökség Kft. (székhely: 7632 Pécs, Kodolányi János utca 21. Fsz. 1. ajtó; cégjegyzékszám: Cg. 02-09-087230, Pécsi Törvényszék Cégbírósága; adószám: 32129144-2-02; képviseli: Horváth Dávid ügyvezető).

1.2. Viszony az ÁSZF-hez. Ez a megállapodás az ÁSZF elválaszthatatlan része, az ÁSZF elfogadásával jön létre. Az adatkezelésre vonatkozó kérdésekben eltérés esetén ez a megállapodás az irányadó. [JOGÁSZNAK: az elfogadás technikai módja; a regisztráció rögzíti az elfogadást (verzió, időpont, elfogadó), lásd az ÁSZF 2.1. és 2.1a. pontját.]

1.3. Tárgy. Az Üzemeltető az Előfizető megbízásából személyes adatokat kezel (feldolgoz) a SalonClick szolgáltatás nyújtása során. Az Előfizetőnek és képviselőinek a szolgáltatás igénybevételéhez kapcsolódó saját adatait (fiók, számlázás, biztonsági naplók) az Üzemeltető önálló adatkezelőként kezeli; erre az Üzemeltető Adatkezelési tájékoztatója vonatkozik.

2. A feldolgozás részletei

A feldolgozás tárgya, időtartama, jellege és célja, az adatok köre és az érintettek köre az 1. mellékletben található.

3. Az Előfizető utasításai

3.1. Az Üzemeltető a személyes adatokat kizárólag az Előfizető dokumentált utasításai alapján kezeli. Az utasítás: (a) ez a megállapodás és az ÁSZF; (b) az Előfizető és Felhasználói által a Szolgáltatás használata és beállítása (például rögzítés, törlés, exportálás, megőrzési beállítás, értesítési szabályok, bekötött szolgáltatások); (c) az Előfizető írásbeli külön utasítása az Üzemeltető támogatási csatornáján.

3.2. Ha az Üzemeltető megítélése szerint egy utasítás jogszabályt sért, erről az Előfizetőt haladéktalanul tájékoztatja, és az utasítás végrehajtását felfüggesztheti.

3.3. Az Üzemeltető a vendégadatot a saját céljára nem használja. Kivétel: a szolgáltatás üzemeltetéséhez szükséges, személyre nem visszavezethető összesített mutatók (például a foglalások, vendégek, munkatársak darabszáma a használat- és csomag-ellenőrzéshez). [JOGÁSZNAK: elfogadható-e ez a kivétel; anonim, összesített statisztika az Üzemeltető saját céljára.]

4. Az Üzemeltető kötelezettségei

4.1. Titoktartás és hozzáférés. Az Üzemeltető biztosítja, hogy a személyes adatokhoz hozzáférő személyek titoktartásra kötelezettek. Az Előfizető adataihoz az Üzemeltető munkatársa az ügyfélszolgálati belépésen át fér hozzá, amely kötelező indoklással, időkorláttal (alap 30, legfeljebb 120 perc), az Előfizető felületén látható jelzéssel és naplózással történik (ÁSZF 3.3.). A platform-réteg (háttérfolyamatok, platform-konzol, adatbázis-migráció, mentés) az Előfizetők közötti adatbázis-korlátozás nélküli kapcsolatot használ; ezt kizárólag az Üzemeltető rendszerei és az erre kijelölt munkatársak érik el. A platform-konzol a vendégadatokat nem jeleníti meg, csak összesített darabszámokat. [JOGÁSZNAK: munkatársi titoktartási nyilatkozatok és hozzáférés-kezelési szabályzat; az Üzemeltető szervezeti oldala a repóból nem látható.]

4.2. Biztonság. Az Üzemeltető a GDPR 32. cikke szerinti, a kockázatnak megfelelő műszaki és szervezési intézkedéseket alkalmaz, amelyek a 2. mellékletben szerepelnek. Az Üzemeltető ezeket tovább fejlesztheti, a biztonság szintjét azonban nem csökkentheti.

4.3. Alfeldolgozók. Az Előfizető általános felhatalmazást ad az Üzemeltetőnek alfeldolgozók igénybevételére. A mindenkori alfeldolgozók a 3. mellékletben szerepelnek. Az Üzemeltető az alfeldolgozók listájának bővítését vagy cseréjét legalább 15 nappal korábban e-mailben és a felületen bejelenti; az Előfizető ez alatt indokolt kifogást emelhet. Ha az alfeldolgozó cseréje a szolgáltatás folyamatossága miatt halaszthatatlan (például a szolgáltató kiesése), az Üzemeltető a cserét utólag, haladéktalanul jelenti be, és az Előfizető kifogási joga a bejelentéstől számított 15 napig fennáll. Ha a kifogás nem rendezhető, az Előfizető jogosult a szerződést a változás hatálybalépéséig díjmentesen felmondani. Az Üzemeltető az alfeldolgozóra ugyanazokat az adatvédelmi kötelezettségeket telepíti, mint amelyek az Üzemeltetőt e megállapodás szerint terhelik, és az alfeldolgozó mulasztásáért az Előfizető felé felel. [JOGÁSZNAK: általános vagy eseti felhatalmazás; a kifogás határideje és következménye; az alfeldolgozói szerződések megléte.]

4.4. Az érintettek jogai. Az Üzemeltető a Szolgáltatásban eszközöket biztosít az érintetti kérelmek teljesítéséhez: vendégenkénti teljes adatexport (JSON, adathordozhatóság), vendég törlése/anonimizálása (adminisztrátori jogosultsággal), a hozzájárulások naplója és visszavonása, a megőrzés automatikus beállítása. Ha az Üzemeltetőhöz érintetti kérelem érkezik, azt haladéktalanul továbbítja az Előfizetőnek, és önállóan nem válaszol rá, kivéve, ha jogszabály kötelezi. [Teljes szalon-export: a szalon adminisztrátora letöltheti (POST /api/admin/export/salon, lib/tenant-exit/export.ts buildTenantExport()); a lejárt munkamenetek és tokenek automatikus takarítása: lib/auth/token-sweep.ts, a percenkénti háttérfolyamat része.]

4.5. Segítségnyújtás a GDPR 32-36. cikke szerinti kötelezettségeknél. Az Üzemeltető az Előfizetőt a feldolgozás jellegének és a rendelkezésére álló információnak megfelelően segíti a biztonsági, az incidens-bejelentési, az adatvédelmi hatásvizsgálati és az előzetes konzultációs kötelezettségei teljesítésében. A Szolgáltatás beépített eszközei (export, törlés, hozzájárulás-napló, megőrzési beállítás) díjmentesek; az ezen túli egyedi közreműködés (például hatásvizsgálathoz adatgyűjtés, egyedi riport, hatósági megkeresés előkészítése) díja 15 000 Ft + áfa megkezdett óránként, előzetes árajánlat alapján.

4.6. Adatvédelmi incidens. Ha az Üzemeltető tudomást szerez arról, hogy az Előfizető személyes adatait érintő adatvédelmi incidens történt, azt indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzéstől számított 48 órán belül bejelenti az Előfizető 4. mellékletben megadott kapcsolattartójának. A bejelentés tartalmazza (ha ismert): az incidens jellegét, az érintett adatok és érintettek körét és hozzávetőleges számát, a valószínű következményeket, a megtett és tervezett intézkedéseket, valamint az Üzemeltető kapcsolattartóját. Az Üzemeltető az incidens kivizsgálásában és az Előfizető hatósági és érintetti értesítési kötelezettségeinek teljesítésében együttműködik. [JOGÁSZNAK: az Üzemeltető írásos incidenskezelési eljárása és a GDPR 30. cikk szerinti nyilvántartása elkészült (belső: 05-incident-response-procedure.md, 06-records-of-processing.md; README H16), jogászi átnézésre vár. A platform üzemzavar-mérései (például a háttérfolyamat leállása, a mentés hibája) ma már aktív riasztást küldenek az üzemeltetői címre (lib/platform/alerts.ts); ez nem incidens-észlelő rendszer, a személyesadat-incidens felismerése és kezelése szervezési feladat marad.]

4.7. Adatok visszaadása és törlése a szerződés megszűnésekor. A szerződés megszűnésétől számított 90 napig az Előfizető a teljes adatállományát exportálhatja (a fiók ez idő alatt írásvédett). Az ablakon belül az Előfizető a saját lemondását visszavonhatja (ÁSZF 7.7.). A 90 nap leteltével az Üzemeltető a személyes adatokat anonimizálja vagy törli, kivéve azt, amit jogszabály megőrzésre kötelez. A foglalási előzmények személyes adat nélkül, statisztikai célra megmaradhatnak. A megszűnt adat a mentésekből a mentési megőrzési idő alatt fokozatosan kiesik (alapértelmezés: 14 nap a helyi mentéseknél; a külső másolatok megőrzése az Üzemeltetői beállítástól függ). Az Előfizető kérésére az Üzemeltető a törlésről igazolást ad. [JOGÁSZNAK: az igazolás tartalma és formája. Az automatikus anonimizálás (lib/tenant-exit/anonymise.ts, anonymiseTenant(), runTenantAnonymisation()) és a teljes szalon-export (lib/tenant-exit/export.ts, buildTenantExport()) meg van írva; a D9 döntést a szerződés rögzíti. Az anonimizálás mélysége szalon-szinten (Előfizető munkatársai, naplók) nyitott.]

4.8. Igazolás és ellenőrzés. Az Üzemeltető az Előfizető kérésére rendelkezésre bocsátja a megállapodásban foglalt kötelezettségek teljesítésének igazolásához szükséges információkat. Az ügyfélszolgálati belépések naplója az Előfizető fiókjára vonatkozóan a rendszer programozási felületén (API) kérhető le; az Előfizető felületén ehhez ma nincs képernyő (ÁSZF 3.3.). Az Előfizető (vagy az általa megbízott, titoktartásra kötelezett független auditor, aki az Üzemeltető versenytársa nem lehet) évente legfeljebb egyszer, legalább 30 napos előzetes írásbeli értesítéssel, munkaidőben, saját költségén ellenőrizheti az Üzemeltető megfelelését, elsősorban dokumentumok, naplókivonatok és tanúsítások alapján; helyszíni vagy rendszerszintű vizsgálatra hatósági eljárás vagy igazolt adatvédelmi incidens esetén kerülhet sor. Az ellenőrzés az Üzemeltető más Előfizetőinek adatára nem terjedhet ki.

5. Az Előfizető kötelezettségei

5.1. Az Előfizető az adatkezelő: felel azért, hogy a személyes adatok kezelése jogszerű (megfelelő jogalap, célhoz kötöttség, adattakarékosság), az érintettek megfelelő tájékoztatást kapnak, és utasításai jogszerűek.

5.2. A Foglalóoldal beállításában megadható az Előfizető saját adatkezelési tájékoztatójának webcíme, amelyet a Vendég foglaláskor kötelező jelölőnégyzettel igazol; az Üzemeltető a tájékoztató szövegét nem adja és nem vizsgálja. A Vendég elfogadását a rendszer hozzájárulás-naplóban rögzíti (a szöveg nyelvével és verziójával).

5.3. Az Előfizető felel az egészségi állapotra utaló és más különleges adatok kezeléséhez szükséges külön hozzájárulások (a Szolgáltatásban rögzíthető "egészségügyi adatok kezelése" hozzájárulás) beszerzéséért, valamint a marketing-hozzájárulások kezeléséért, és annak biztosításáért, hogy csak a szükséges adatot rögzíti.

5.4. Az Előfizető felel Felhasználói jogosultságainak helyes beállításáért, a hozzáférési adatok védelméért és azért, hogy a távozó munkatárs hozzáférését megszünteti.

5.5. Az Előfizető felel azért, hogy a megőrzési beállításait (vendégadat automatikus anonimizálása) a saját adatkezelési tájékoztatójával összhangban állítja be.

5.6. Ha az Előfizető kiskorú Vendég adatait rögzíti, vagy kiskorú foglal a Foglalóoldalon, az Előfizető felel azért, hogy a kezeléshez szükséges jognyilatkozatot (különösen a 16. életévét be nem töltött Vendég hozzájárulásához a törvényes képviselő jóváhagyását) beszerezze, és hogy a kiskorúnak szóló tájékoztatás érthető legyen. A Szolgáltatás a Vendég életkorát nem ellenőrzi. [JOGÁSZNAK: a kiskorú vendégek kezelése szalon-szolgáltatásoknál (például kozmetikai kezelés szülői hozzájárulással), és hogy kell-e a Foglalóoldalon életkori nyilatkozat.]

5.7. A Felhasználók által beküldött hibajelentéshez csatolt képernyőképen a felületen éppen látható vendégadat is szerepelhet. Az Előfizető gondoskodik arról, hogy Felhasználói csak a hiba megértéséhez szükséges adatot tegyék láthatóvá (ÁSZF 9.9.).

6. Az Előfizető által bekötött szolgáltatások

6.1. Az Előfizető a Szolgáltatásban saját fiókjával harmadik fél szolgáltatásokat köthet be (bankkártyás fizetés, számlázás, hírlevél, naptár, mérőkódok; felsorolásuk a 3. melléklet B. részében). Ezek nem az Üzemeltető alfeldolgozói: a szolgáltatóval az Előfizető köt szerződést, és az Előfizető felel azért, hogy az adatfeldolgozási vagy adatkezelői viszony velük rendezett. Az Üzemeltető az Előfizető utasítására, a bekötés beállításai szerint továbbít adatot a szolgáltatónak. [JOGÁSZNAK: ez a konstrukció (az Előfizető saját szerződése a bekötött szolgáltatóval) megfelelő-e, vagy az Üzemeltető is alfeldolgozóként nevezze meg őket; különösen a mérőkódok, ahol a szolgáltató önálló adatkezelő lehet.]

6.2. A mérőkódok (Meta Pixel, Google Analytics 4, Google Ads, TikTok Pixel, Google Tag Manager) csak akkor töltődnek be a Foglalóoldalon, ha az Előfizető megadta az azonosítóikat, és a látogató a sávban hozzájárult; a hozzájárulás a látogató böngészőjében marad. A Google Tag Manager betöltése ezen felül üzemeltetői kapuhoz kötött, amely alapértelmezés szerint ki van kapcsolva. Az Előfizető a mérőkódokat saját adatkezelőként használja. Lásd a Sütiszabályzatot.

6.3. Vendégbelépés Google-fiókkal. Ha a Vendég a Foglalóoldalon Google-fiókkal lép be, a Google a Google-fiókhoz tartozó e-mail-címet, annak ellenőrzöttségét és a nyilvános nevet adja át; az Üzemeltető ezeket az Előfizető megbízásából, adatfeldolgozóként, kizárólag a Vendég azonosítására használja, a Google-azonosítót és a profilképet nem tárolja. A belépés során a Google Ireland Limited önálló adatkezelő. A Vendég tájékoztatása az Előfizető adatkezelési tájékoztatójának része. [JOGÁSZNAK: a funkció a Google Cloud Console-beli élesítés előtt nem érhető el.]

7. Nemzetközi adattovábbítás

Az Üzemeltető a vendégadatot a Contabo GmbH uniós infrastruktúráján tárolja. Az Európai Gazdasági Térségen kívüli (egyesült államokbeli) székhelyű alfeldolgozó a Cloudflare, Inc. (Turnstile) és – a mobilalkalmazás használatakor – az Expo szolgáltatója; esetükben a továbbítás alapja az EU–USA adatvédelmi keretrendszer szerinti megfelelőségi határozat (ha a szolgáltató tanúsított), ennek hiányában az Európai Bizottság általános szerződési feltételei. Alfeldolgozó az adatot az Európai Gazdasági Térségen kívül csak megfelelőségi határozat vagy az Európai Bizottság általános szerződési feltételei (és szükség esetén kiegészítő intézkedések) alapján kezelheti; az ilyen alfeldolgozót, az országot és a garanciát a 3. melléklet nevezi meg. [JOGÁSZNAK: különösen a Cloudflare Turnstile és az Expo push-szolgáltatás szolgáltatójának székhelye és a feldolgozás helye ellenőrzendő, mert ezek EGT-n kívüli feldolgozással járhatnak; továbbá az alfeldolgozók (3. melléklet A. rész) közül melyik kezel adatot az Európai Gazdasági Térségen kívül, és milyen megfelelő garancia alapján (megfelelőségi határozat, általános szerződési feltételek, kiegészítő intézkedések). A repóból sem a tárhely helye, sem a szolgáltatók feldolgozási helye nem állapítható meg, ezért az Üzemeltető tölti ki. Ezt a pontot a végleges szövegben nem szabad üresen hagyni.]

8. Felelősség

Az Üzemeltető és az Előfizető felelősségére a GDPR 82. cikke és az ÁSZF 9.4–9.7. pontja irányadó; az ÁSZF szerinti korlátozás a felek egymás közötti viszonyára vonatkozik, az érintettek GDPR szerinti igényeit nem érinti. A GDPR 82. cikk (5) bekezdése szerinti belső megtérítésben a felek a kárért való felelősségük arányában osztoznak; az Előfizető utasításából, jogellenes adatkezeléséből vagy a jelen megállapodás szerinti kötelezettségei megszegéséből eredő bírságot és kártérítést az Előfizető viseli. [JOGÁSZNAK: a felelősség korlátozásának viszonya az adatvédelmi jogsértésekből eredő kárhoz.]

9. Időtartam és megszűnés

Ez a megállapodás az ÁSZF hatálya alatt és a személyes adatok 4.7. pont szerinti visszaadásáig, anonimizálásáig vagy törléséig, illetve a mentésekből való kifutásig érvényes. A 4.1., 4.6., 4.7. és 8. pont a megszűnés után is hatályban marad, amíg az Üzemeltető az adatot kezeli.

10. Irányadó jog

A megállapodásra a magyar jog és a GDPR irányadó. A jogvitákra az ÁSZF 10.4. pontja szerinti illetékességi kikötés alkalmazandó. [JOGÁSZNAK: külföldi Előfizetők esetén a helyi kötelező szabályok.]

1. melléklet: A feldolgozás részletei

1.1. Tárgy, jelleg és cél

A SalonClick szalon-foglalási és szalonkezelő szolgáltatás üzemeltetése: a személyes adatok tárolása, lekérdezése, megjelenítése az Előfizető Felhasználóinak és a Vendégnek (publikus foglalóoldal, saját foglalások megtekintése), a foglalási és értesítési folyamatok futtatása (e-mail, SMS, a munkatársak mobil értesítései), exportálás, törlés és anonimizálás, mentés és helyreállítás, hibaelhárítás az Előfizető kérésére, ideértve a Felhasználók által beküldött hibajelentések és képernyőképek kivizsgálását.

1.2. Időtartam

A szerződés tartama, a 90 napos export-ablak, majd a mentésekből való kifutás (4.7. pont).

1.3. Az érintettek köre

• az Előfizető Vendégei (a foglalóoldalon foglalók és az Előfizető által rögzített ügyfelek, beleértve a nem regisztrált, név szerint felvett vendéget);
• érdeklődők, akik a foglalóoldal kapcsolatfelvételi űrlapján üzenetet küldenek;
• az Előfizető munkatársai (Felhasználók).

1.4. Az adatok köre

1.5. Különleges adatkategóriák

Amennyiben az Előfizető egészségi állapotra utaló adatot rögzít, a rendszer a következőket tartalmazhatja: ellenjavallat-jelölések (például allergia, lézeres kezelés ellenjavallata), allergiateszt (érzékenységi próba) eredménye és ideje, konzultációs feloldás ("alkalmas a kezelésre"), aláírt nyilatkozatok szövege és a Vendég kézjegyének képe, a kezelési lap (munka, recept, megjegyzés), az egyedi mezőkre adott és a szabad szöveges válaszok, megjegyzések. Az Előfizető dönti el, mit rögzít; a termék a Vendég külön "egészségügyi adatok kezelése" hozzájárulását is rögzíti. A Szolgáltatás nem tárol vendég-fényképet (kép csak a foglalóoldal fejléce és a munkatársak arcképe).

1.6. Gyakoriság és megőrzés

Folyamatos feldolgozás. A megőrzést az Előfizető állítja: a vendégadatok automatikus anonimizálása alapértelmezés szerint ki van kapcsolva, bekapcsolva alapértelmezés szerint 5 év inaktivitás után anonimizál; a kimenő üzenetek naplója alapértelmezés szerint 365 nap után törlődik; a kapcsolatfelvételi üzenetek ugyanazon az inaktivitási határon törlődnek, mint a vendégadatok, ha az automatikus megőrzés be van kapcsolva.

2. melléklet: Műszaki és szervezési intézkedések (a jelenlegi működés szerint)

A. Hozzáférés és az Előfizetők közötti elválasztás

1. Minden Előfizető-hatókörű adatmodell tenant-azonosítóval él, és az Előfizető nevében végzett minden lekérdezés automatikusan az Előfizető azonosítójára szűr (és írásnál azt tölti ki); a séma teljességét automatikus tesztek ellenőrzik. Kivétel a platform-réteg (lásd 4.1.).
2. Második védvonalként az adatbázis sor-szintű védelme (RLS) minden Előfizető-hatókörű táblán be van kapcsolva és kikényszerített (ENABLE és FORCE ROW LEVEL SECURITY); az alkalmazás kapcsolata az Előfizető azonosítóját adatbázis-beállításként viszi. Az RLS csak nem-superuser, nem-RLS-megkerülő adatbázis-szerepkörrel hat; ennek meglétét a tesztkörnyezetben mérték (2026-08-24), és a platform élesítési ellenőrzőlistája méri. [JOGÁSZNAK: az üzemeltető tölti ki; az éles környezetben ennek az ellenőrzése.]
3. Szerepkörök és képességek: a hozzáférést a munkatárs szerepköre és kapcsolóival állított jogosultságai szabályozzák; az érzékeny műveletek (vendégadat exportálása, vendég törlése) külön képességhez vagy adminisztrátori szerephez kötöttek, és az exportálás jelszavas (nem PIN-es) belépést kér.
4. A pultnál használt PIN-es gyors belépés csak a szalon által külön beléptetett eszközön működik.

B. Hitelesítés és munkamenet

5. A jelszavak és PIN-ek argon2id lenyomatként tárolódnak; a jelszó legalább 10 karakter, az erősségét a rendszer a szalon neve és a felhasználó adatai alapján is ellenőrzi.
6. Választható kétlépcsős azonosítás (hitelesítő alkalmazás) a szalon munkatársainak, visszaállító kódokkal; a titok AES-256-GCM-mel titkosítva tárolódik, a visszaállító kódok lenyomatként.
7. A belépési kísérletek korlátozottak (IP-cím és e-mail szerinti sebességkorlát, kétlépcsős kódok korlátja, PIN-zárolás); a számlálók a folyamat memóriájában élnek.
8. A munkamenet-token csak lenyomatként tárolódik; a süti HttpOnly, élesben Secure és SameSite=Lax; a munkatársi munkamenet 30 perc tétlenség után, legfeljebb 12 óra után lejár.
9. A mobil kliens munkameneteit forgatott, visszavonható tokenek adják; egy visszavont token újrahasználata a teljes tokenláncot érvényteleníti és naplózódik.

C. Titkosítás és adatátvitel

10. A harmadik fél szolgáltatások kulcsai (e-mail-jelszó, SMS-kulcs, előleg-fizetési és számlázási kulcsok, Mailchimp-kulcs, Google Naptár tokenek) és a kétlépcsős azonosítás titkai AES-256-GCM-mel titkosítva tárolódnak; a titkosító kulcs környezeti változó, az adatbázistól elkülönítve kezelendő. Kulcs nélkül a rendszer titkot nem tárol.
11. A böngésző felé HSTS (max-age=63072000; includeSubDomains; preload), X-Content-Type-Options, Referrer-Policy, Permissions-Policy fejléc és Content-Security-Policy érvényes, amely alapértelmezés szerint csak a saját forrást engedi; a Next.js miatt az inline szkript engedélyezett ('unsafe-inline', nonce nélkül), tehát a szabály az inline szkriptet nem korlátozza. Az admin felületen harmadik fél szkript és betűtípus nem töltődik be (a betűtípusok a rendszerben vannak). [JOGÁSZNAK: a foglalóoldal, az admin és a platform-konzol azonos originen fut, ezért a foglalóoldalra került harmadik fél szkriptje (a hozzájáruláshoz és az üzemeltetői GTM-kapuhoz kötött mérőkódok) elvben elérné az admin felület API-ját; a megoldás külön origin vagy nonce-os szabály (README H11). Jelezni kell-e ezt a mellékletben.]
12. Az adatátvitel titkosítása (TLS-lezárás az előtét-proxynál) és az adatok nyugalmi állapotú (lemez-) titkosítása: [JOGÁSZNAK: az üzemeltető tölti ki; megerősítendő; a repó csak az alkalmazás fejléceit rögzíti, a tárhely és a proxy beállítását nem, a docs/04 terve "managed" adatbázisról szól, a tényleges telepítés Coolify-on futó Postgres].

D. Naplózás és elszámoltathatóság

13. A foglalások és a törzsadatok módosításáról naplósor készül (ki, mikor, mit); a naplóba került személyes mezőket a vendég törlésekor a rendszer kitisztítja (lásd 17.). A napló a módosítást rögzíti, nem az olvasást.
14. Az ügyfélszolgálati belépés indoklással, időkorláttal és látható jelzéssel történik. A belépés kezdete naplózott; a vége is, ha kilépéssel, kijelentkezéssel vagy az Előfizető általi lezárással ér véget (az időkorlát lejártával megszűnő belépésnek nincs külön záró naplósora). A naplósorok az Előfizető fiókjára vonatkozóan a rendszer programozási felületén (API) kérhetők le; kezelőfelületi képernyő ehhez ma nincs. A támogatói belépésből végzett műveletek jelölése részleges: a közös naplózási ponton átmenő írások és a foglalási műveletek (létrehozás, jóváhagyás, lemondás, meg nem jelenés, áthelyezés) kapnak jelölést; több modul (többek között a kassza, a készlet, a vendég-összevonás, a bérszámfejtési időszak, az előleg-visszatérítés és a foglalás fizetése) közvetlenül ír a naplóba, jelölés nélkül. [JOGÁSZNAK: az Előfizetői felület és a teljes jelölés elkészültéig a melléklet ezt a részleges állapotot írja le; a hiányt az Üzemeltető építi (README H17).]
15. A Vendég hozzájárulásairól külön napló készül (fajta, csatorna, szövegverzió és nyelv, időpont, visszavonás).

E. Adatminimalizálás, törlés, adathordozhatóság

16. Vendégenkénti teljes adatexport JSON-ban (adminisztrátori vagy külön képességgel rendelkező munkatárs, jelszavas belépéssel).
17. A vendég törlése (elfeledtetés) a személyes adatot anonimizálja, az egészségügyi jellegű és más különleges adatot (ellenjavallat-jelölés, allergiateszt, aláírt nyilatkozat, kezelési lap, visszajelzés, egyedi mező-válasz) törli, a kimenő üzenetek naplójából a címzettet és a tartalmat felülírja, az auditnaplóból a személyes mezőket kitisztítja, a le nem küldött üzeneteket leállítja.
18. Választható automatikus vendég-anonimizálás inaktivitás után; automatikus törlés a kimenő üzenetek naplójára (365 nap) és a lejárt munkamenet- és jelszó-visszaállítási tokenekre.
19. A munkatársak mobil értesítései semleges tartalmúak (vendégadat nélküliek); a Google Naptárba kerülő esemény alapértelmezés szerint a vendég monogramját tartalmazza, nem a nevét.

F. Visszaélés és terhelés elleni védelem

20. Minden szerveroldali bemenet sémavalidáción megy át; a publikus végpontok sebességkorlátozottak; a foglalás véglegesítésénél Cloudflare Turnstile és kockázati jelek védik a rendszert (a foglalás megbízhatósága a védelem elé kerül: a szolgáltató kiesése nem zárja ki a vendéget).

G. Mentés és helyreállítás

21. A mentő-szkript naponta az adatbázisról tömörített mentést és külön szerepkör-mentést készít, a mentés méretét ellenőrzi, a helyi mentéseket alapértelmezés szerint 14 napig őrzi (a külső másolatot a szkript nem forgatja), opcionálisan külső másolatot készít, havi visszatöltés-próbamódot tartalmaz, és a futás eredményét jelenti a platform-konzolnak. [JOGÁSZNAK: az üzemeltető tölti ki; a mentések tényleges ütemezése, titkosítása, külső helye és megőrzése. A szkript nem titkosít; az üzemeltető jelzése szerint külső, titkosított mentés fut, amit a repó nem bizonyít.]

H. Szervezési intézkedések

22. Az Üzemeltető írásos adatvédelmi incidenskezelési eljárással és a GDPR 30. cikke szerinti nyilvántartással rendelkezik (belső dokumentumok, az Előfizetőnek kérésre bemutatja). A személyes adatokhoz az Üzemeltető oldalán egyetlen személy, az ügyvezető fér hozzá; további munkatárs csak írásbeli titoktartási nyilatkozattal és a 4.1. pont szerinti ügyfélszolgálati belépéssel kaphat hozzáférést. A tárhely fizikai és hálózati biztonságát a Contabo GmbH biztosítja a saját feltételei szerint. [ÜZEMELTETŐ: a Contabo biztonsági tanúsítványainak hivatkozása.]

3. melléklet: Alfeldolgozók és bekötött szolgáltatások

A. Az Üzemeltető alfeldolgozói

B. Az Előfizető által, saját fiókkal bekötött szolgáltatások (nem alfeldolgozók, lásd 6.1.)

4. melléklet: Kapcsolattartók és az incidens-bejelentés

• Az Üzemeltető adatvédelmi és incidens-kapcsolattartója: Horváth Dávid; horvath.david@brandlab.hu; +36 30 514 0867 (incidens esetén munkaidőn kívül is).
• Az Előfizető incidens-kapcsolattartója: a regisztrált e-mail-cím, valamint az Előfizető által a [JOGÁSZNAK: a felületen megadható-e külön adatvédelmi kapcsolattartó; ma nincs ilyen mező] helyen megadott kapcsolattartó.