ADATFELDOLGOZÁSI MELLÉKLET (DPA)

---

1. Bevezetés

1.1. Jelen Melléklet az ÁSZF elválaszthatatlan része, és a GDPR 28. cikk (3) bekezdése szerinti kötelező tartalmi elemeket rögzíti a Szolgáltató és a Felhasználó között.

1.2. A Melléklet az ÁSZF elfogadásával, elektronikus úton, külön aláírás nélkül lép hatályba [GDPR 28. cikk (9)], és a szerződés teljes időtartama alatt hatályban marad.

1.3. A Mellékletben használt fogalmak – eltérő rendelkezés hiányában – az ÁSZF-ben és a LivePly Adatkezelési Tájékoztatójában meghatározott jelentéssel bírnak.

1.4. A Melléklet kizárólag a Végfelhasználók személyes adatainak a Felhasználó nevében történő kezelésére vonatkozik. A Szolgáltató saját adatkezelői adatkezeléseit (a Felhasználó adatai, számlázás, hírlevél, valamint a 2.3. pont szerinti napló-adatkezelés) az Adatkezelési Tájékoztató szabályozza.

---

2. A felek szerepe

2.1. Adatkezelő a Felhasználó, aki a kezelés céljait és eszközeit a Chatbot beállításain, tudásbázisán és a saját felületén folytatott ügyfélkommunikáción keresztül meghatározza. Adatfeldolgozó a Szolgáltató, aki az adatokat kizárólag a Felhasználó dokumentált utasításai szerint, a Szolgáltatás nyújtásához szükséges mértékben kezeli.

2.2. A Szolgáltató az AI válaszok generálása tekintetében is kizárólag Adatfeldolgozóként jár el: a kezelés céljait és lényeges eszközeit e körben is a Felhasználó határozza meg (beállítások, rendszerprompt/persona, tudásbázis, egyéb konfiguráció), az AI kizárólag az így megadott kontextusból állítja elő a válaszokat. A Felek között a Végfelhasználók adatainak kezelése tekintetében közös adatkezelői (GDPR 26. cikk) jogviszony nem áll fenn.

2.3. A Szolgáltató önálló adatkezelői tevékenysége. A Szolgáltató a Végfelhasználói adatok egy szűk körét nem a Felhasználó nevében, hanem saját adatkezelői felelőssége mellett kezeli. Ide tartoznak elsősorban a műveleti és eszközhívási naplók, a biztonsági és hozzáférési naplók, a Végfelhasználói tájékoztató megjelenítésének naplója, valamint azok az adatok, amelyekre egy esetleges visszaélés kivizsgálásához szükség lehet. Ezen adatok kezelése a Szolgáltatás biztonságos, stabil és üzemszerű működéséhez fűződő jogos érdeken alapul [GDPR 6. cikk (1) f)].

Az ebbe a körbe tartozó adatok pontos tartalmát, az adatkezelés jogalapját és a megőrzési időt az Adatkezelési Tájékoztató 5.3a.–5.3b. pontja határozza meg. A Szolgáltató ezekből az adatokból a Felhasználótól független, önálló ügyfélnyilvántartást nem hoz létre, az adatokat marketingcélra nem használja, és sem saját, sem harmadik fél által működtetett mesterséges intelligencia modell tanítására nem használja vagy adja át. Ezt a kört kizárólag a Szolgáltatás működtetéséhez és biztonságához szükséges célokra használja.

A Szolgáltató e körben a GDPR 13–14. cikke szerinti tájékoztatást a Végfelhasználók felé közvetlenül, a weboldalán közzétett külön tájékoztatóval teljesíti.

---

3. A feldolgozás tárgya, időtartama, jellege és célja

3.1. Tárgy: a Felhasználó felületén üzemeltetett Chatboton keresztül a Végfelhasználók által megadott, illetve a használat során keletkező személyes adatok kezelése.

3.2. Időtartam: a szerződés fennállásának teljes időtartama, a 8. pontban foglalt kivétellel.

3.3. Jelleg és cél: automatizált (AI-alapú) és/vagy élő operátoros ügyfélkommunikáció, az AI válaszok generálása, a beszélgetések és csatolt fájlok tárolása, valamint a tudásbázis feldolgozása (ideértve az embedding célú feldolgozást).

3.4. Érintettek: a Chatbottal kommunikáló természetes személyek (Végfelhasználók).

3.5. Adatkategóriák: az üzenetek és válaszok; a beszélgetés metaadatai (időpont, munkamenet-azonosító); a csatolt fájl (kép: jpg, png, webp, gif; dokumentum: PDF, Word/docx, Excel/xlsx) tartalma és metaadatai (fájlnév, típus, méret, csatolás időpontja); a Végfelhasználó által önként közölt egyéb személyes adat. A fájl tartalmát kizárólag a Végfelhasználó határozza meg, a Szolgáltató előzetesen nem szűri; az harmadik személy adatát, illetve a GDPR 9. cikke szerinti különleges adatot is tartalmazhat (6.3. pont).

3.6. Kapcsolattartási adatok felismerése. A Chatbot a beszélgetésben közölt kapcsolattartási adatokat (név, telefonszám, e-mail cím) automatizáltan felismerheti, kinyerheti és strukturált formában a beszélgetéshez rendelheti; a névfelismerés az AI modellszolgáltató igénybevételével, a beszélgetés tartalmából történő következtetéssel is történhet. E művelet a 3.5. pont szerinti adatkörön belül marad, és nem jelent a 4.1. pont szerinti utasításokon túli önálló célt. Az így képzett érdeklődő- (lead-) adat önálló adatkör, amely a beszélgetéstől elkülönülten, önálló megőrzési idővel és önálló törlési útvonalon kezelendő (4.5a.).

3.7. Csatolt fájlok kezelése. a) Kép – a szöveges üzenettel együtt – továbbításra kerül az 1. számú melléklet szerinti AI modellszolgáltatóhoz a válasz előállítása céljából, kizárólag ha a hívott modell képfeldolgozásra alkalmas. b) Dokumentum tartalma a modellszolgáltatóhoz nem kerül továbbításra; azon a Szolgáltatás OCR-t, tartalmi vagy embedding-feldolgozást nem végez. A dokumentum kizárólag tárolásra kerül, és a Felhasználó jogosult munkatársai tekinthetik meg. c) A fájl megőrzési ideje a beszélgetésével azonos (4.5a. pont). d) A Felhasználó a kép- és dokumentum-csatolást az admin felületen külön-külön letilthatja; a letiltás a 4.1. pont szerinti dokumentált utasítás. Alapértelmezés szerint mindkettő engedélyezett.

E műveletek a 3.3. pont szerinti célon belül maradnak, és nem jelentenek önálló adatkezelési célt.

---

4. Az Adatfeldolgozó (Szolgáltató) kötelezettségei

4.1. Utasításra történő feldolgozás. A Szolgáltató az adatokat kizárólag a Felhasználó dokumentált utasításai szerint kezeli; a Chatbot-beállítások (tudásbázis, fallback, MCP-integráció, csatolmány-beállítás) dokumentált utasításnak minősülnek. Ha a Szolgáltatót jogszabály eltérő adatkezelésre kötelezi, erről – jogszabály eltérő rendelkezése hiányában – előzetesen tájékoztat.

4.2. Titoktartás. Az adatkezelésre feljogosított munkavállalók és közreműködők titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartás alatt állnak.

4.3. Adatbiztonság. A Szolgáltató a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmazza, különösen: tenant-szintű, elkülönített adatbázis-sémák; titkosított csatornán történő adattovábbítás; a jelszavak nem visszafejthető kriptográfiai lenyomatként (Argon2) történő tárolása; a hozzáférési kulcsok és tokenek titkosított (AES-256-GCM) tárolása; a hozzáférés biztosítása a legkisebb jogosultság elve szerint. A teljes leírás az Adatkezelési Tájékoztató 10. pontjában található.

4.4. Al-adatfeldolgozók. A Felhasználó általános felhatalmazást ad az 1. számú mellékletben felsorolt al-adatfeldolgozók igénybevételére. A kör bővítéséről a Szolgáltató legalább 30 naptári nappal a tervezett bevezetés előtt, a melléklet módosításával előzetesen tájékoztat; ha a Felhasználó a bővítést nem fogadja el, ez alatt az időszak alatt gyakorolhatja az ÁSZF szerinti felmondási jogát. A Szolgáltató az al-adatfeldolgozókra a rá vonatkozókkal azonos adatvédelmi kötelezettségeket ró. Ha a Felhasználó a bővítést kifogásolja és emiatt felmond, a Szolgáltató a fel nem használt időszakra eső, előre megfizetett díjat arányosan visszatéríti (ÁSZF 18.3. és 9.3. pont).

4.5. Érintetti jogok. A Szolgáltató – az admin felület funkciói útján (beszélgetés törlése, tudásbázis-tartalom eltávolítása) – észszerű keretek között segíti a Felhasználót az érintetti kérelmek teljesítésében.

4.5a. Megőrzési idő. A beszélgetések és a csatolt fájlok megőrzési idejét a Felhasználó az admin felületen, chatbotonként állítja be (1–3650 nap); a beállítás a 4.1. pont szerinti dokumentált utasításnak minősül. Beállítás hiányában az alapértelmezés 180 nap, ezt követően automatikus törlés. Az érdeklődő- (lead-) adat megőrzési idejét a Felhasználó ettől elkülönülten, ugyancsak chatbotonként állítja be; az alapértelmezés 12 hónap, a beállítható felső korlát 24 hónap, ezt követően automatikus törlés. Az érdeklődő-adat a beszélgetés törlését túléli, és önálló törlési útvonalon törlődik. Az Egészségügyi módban a megőrzési idő legfeljebb 30 nap lehet; ezt a korlátot a Szolgáltató technikailag kikényszeríti, és a magasabb beállítás mentése nem lehetséges. A választott időtartam célhoz kötöttségéért és indokolhatóságáért a Felhasználó mint Adatkezelő felel; a Szolgáltató által a felületen megjelenített figyelmeztetés e felelősséget nem érinti és nem osztja meg. A Végfelhasználónak megjelenített tájékoztatás naplója (megjelenítési napló) — az elszámoltathatóság igazolása érdekében [GDPR 5. cikk (2)] — a beszélgetés törlésétől függetlenül, a Szolgáltató által e célra meghatározott, de legalább az érintett beszélgetés megőrzési idejével azonos időtartamig, legalább 365 napig őrződik. A közreműködési és igazolási kötelezettség, valamint az érintetti jogok csak a kérelemkor az élő rendszerben ténylegesen meglévő adatra terjedhetnek ki. A Szolgáltató a rendszerről biztonsági mentést készít, amelynek megőrzési ideje 30 nap; a törlés a mentésekben ezen időtartam elteltével, a mentés lejáratával érvényesül. A Szolgáltató biztosítja, hogy visszaállítás esetén a korábban törölt adat ne kerüljön újra kezelésbe. A törölt adat az élő rendszerből nem kereshető elő és nem adható vissza, ezért a Szolgáltatót e körben felelősség nem terheli.

4.6. Közreműködés. A Szolgáltató – a rendelkezésére álló információk figyelembevételével – segíti a Felhasználót a GDPR 32–36. cikke szerinti kötelezettségei teljesítésében, és a Végfelhasználókat érintő adatvédelmi incidensről a tudomásszerzéstől számított 48 órán belül tájékoztatja.

4.7. Törlés vagy visszaadás a szerződés megszűnésekor. A megszűnést követően a Szolgáltató – a Felhasználó választása szerint – az adatokat törli vagy exportálható formában átadja. A megmaradó adatokat a Felhasználó nyilatkozata szerinti időpontban, ennek hiányában 30 napon belül törli, kivéve jogszabályi megőrzési kötelezettség esetén. Próbaidőszak alatti, díjfizetés előtti lemondásnál a Szolgáltató az adatokat – az ÁSZF 14.6. pontjával összhangban – haladéktalanul törli.

4.8. Igazolás. A Szolgáltató rendelkezésre bocsátja a kötelezettségei teljesítésének igazolásához szükséges információkat, és – dokumentáció-alapú formában – lehetővé teszi ennek ellenőrzését. Ez a gyakorlási mód a Felhasználó jogszabályon alapuló jogait nem korlátozza; hatósági megkeresés esetén a Szolgáltató a szükséges mértékben együttműködik.

---

5. Nemzetközi adattovábbítás

Ha az al-adatfeldolgozók igénybevétele EU-n kívüli továbbítással jár, a Szolgáltató a GDPR V. fejezete szerinti garanciákat (megfelelőségi határozat, SCC) alkalmazza, az Adatkezelési Tájékoztató 4.2. és 9. pontja szerint. Ez irányadó a 3.7. a) pont szerinti kép-továbbításra is: az a szöveges üzenetekre már alkalmazott adatáramláson belül, ugyanazon szolgáltató felé és ugyanazon garanciák mellett történik.

Nem tartozik e körbe a Felhasználói modell-végpont: az arra történő továbbítás a Felhasználó saját adatkezelői döntésén alapul (6.4. pont).

---

6. A Felhasználó (Adatkezelő) kötelezettségei

6.1. A Felhasználó szavatolja, hogy az adatkezeléshez megfelelő jogalappal rendelkezik, és utasításai megfelelnek a GDPR-nak.

6.2. A Felhasználó felelős Végfelhasználói megfelelő tájékoztatásáért – ideértve a fájlcsatolást és a 3.7. pont szerinti kezelést – saját adatkezelési tájékoztatója, illetve a LivePly Adatkezelési Tájékoztatójára hivatkozás útján.

6.3. A Felhasználó felelős a Chatbot megfelelő beállításáért az Adatkezelési Tájékoztató 5.6. (Gyermekek adatai) és 5.7. (Különleges adatkategóriák) pontja szerint, ideértve annak felmérését is, hogy indokolt-e a fájlcsatolás korlátozása vagy letiltása (3.7. d)).

6.4. Felhasználói modell-végpont. Ha a Felhasználó saját modellszolgáltatói hozzáférést (API-kulcsot) vagy saját modell-végpontot állít be, az arra történő továbbítás a Felhasználó mint Adatkezelő saját döntése, és nem a Szolgáltató al-adatfeldolgozói láncának része. A Felhasználó felel a továbbítás jogalapjáért, a GDPR V. fejezete szerinti garanciákért, a szolgáltatóval kötendő GDPR 28. cikk szerinti szerződésért, valamint a modell képfeldolgozási képességére vonatkozó jelölés helyességéért (ez határozza meg a 3.7. a) szerinti kép-továbbítást). A Szolgáltató a végpont adatkezelési gyakorlatát nem ellenőrzi, arra ráhatása nincs.

---

7. Felelősség

7.1. A jelen Melléklet megszegéséből eredő felelősségre az ÁSZF 12. pontja irányadó, ideértve a 12.1. pont szerinti összeghatárokat, a 12.3. pont szerinti kizárásokat, a 12.4. pont szerinti kivételeket és a 12.12. pont szerinti igényérvényesítési szabályokat.

7.2. Az ÁSZF 12.11. pontja szerinti kártalanítás e körben is alkalmazandó: ha a Végfelhasználó vagy más harmadik személy az adatkezeléssel összefüggő igényét – ideértve a közvetlenül a Szolgáltatóval szemben támasztott igényt – olyan okból érvényesíti, amely a Felhasználó utasításából, Chatbot-beállításából, tudásbázisából, feltöltött tartalmából, a Generált Tájékoztatóval kapcsolatos nyilatkozataiból, a Felhasználói modell-végpont igénybevételéből vagy felügyeleti mulasztásából ered, a Felhasználó köteles a Szolgáltatót kártalanítani.

7.3. A 7.2. pont nem érinti a GDPR 82. cikke szerinti, az érintettel szembeni jogszabályon alapuló felelősség-megosztást, és – az ÁSZF 12.11. (4) bekezdésével összhangban – nem terjed ki az igény azon részére, amely a Szolgáltató saját felelősségi körébe (ÁSZF 12.4. és 12.5. (5) pont) esik.

7.4. Felhasználói modell-végpont esetén a 6.4. pont és az ÁSZF 12.10. (2) bekezdése irányadó.

---

8. Hatály és irányadó jog

8.1. A Melléklet az ÁSZF-fel egyidejűleg lép hatályba és szűnik meg, a 4.7. pont szerinti, megszűnés utáni rendelkezések kivételével.

8.2. A Mellékletre az ÁSZF 18. pontjában megjelölt jogszabályok és a GDPR irányadók.

---

1. számú melléklet – Al-adatfeldolgozók listája

A táblázat a Végfelhasználók személyes adatait ténylegesen kezelő al-adatfeldolgozókat sorolja fel. A Szolgáltató valamennyi adatkezelésére kiterjedő teljes lista az Adatkezelési Tájékoztató 9. pontjában található; az ott felsorolt, itt nem szereplő alvállalkozók (Stripe, Szamlazz.hu, Mailjet, könyvelési szolgáltató) a Szolgáltató saját adatkezelői adatkezeléséhez kapcsolódnak, Végfelhasználói adatot nem kezelnek. Nem szerepel a Felhasználói modell-végpont (6.4. pont), mert arra a Szolgáltató nem al-adatfeldolgozóként támaszkodik.

A Szolgáltató a jövőben további AI modellszolgáltatót vehet igénybe; erre a 4.4. pont szerinti eljárás irányadó.

A melléklet a 4.4. pont szerinti eljárásrendben, az al-adatfeldolgozói kör változásakor frissül.