Adatfeldolgozási szerződés

Az Általános Szerződési Feltételek 1. számú melléklete

Hatályos: 2026. november 6-tól

Felek

Adatkezelő: a Beosztásom szolgáltatásra előfizető munkáltató, akinek adatait a regisztráció, illetve a megrendelés tartalmazza (a továbbiakban: Megrendelő vagy Adatkezelő),

Adatfeldolgozó: NP-Soft Studio Kft. (a továbbiakban: Szolgáltató vagy Adatfeldolgozó)

székhely: 1204 Budapest, Ady Endre utca 106. 3. emelet 13. ajtó
cégjegyzékszám: 01-09-408557
adószám: 32137213-2-43
e-mail: ugyfelszolgalat@beosztasom.hu

együtt: Felek.

1. A szerződés tárgya és létrejötte

1.1. A Megrendelő a beosztasom.hu felhőalapú beosztástervező szolgáltatást (a továbbiakban: Szolgáltatás) az Általános Szerződési Feltételek (a továbbiakban: ÁSZF) szerint veszi igénybe. A Szolgáltatás használata során a Megrendelő által rögzített, illetve a Megrendelő munkavállalói és egyéb felhasználói által a Megrendelő utasítására felvitt személyes adatok tekintetében a Megrendelő adatkezelőnek, a Szolgáltató adatfeldolgozónak minősül.

1.2. Jelen szerződés az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: GDPR) 28. cikk (3) bekezdése szerinti adatfeldolgozási szerződés. A szerződés az ÁSZF elfogadásával, a Szolgáltatás megrendelésével (ideértve az ingyenes próbaidőszak megkezdését is) jön létre, és az előfizetői jogviszony fennállásáig, továbbá a 8. pont szerinti törlés megtörténtéig hatályos.

1.3. Jelen szerződés nem terjed ki azokra az adatokra, amelyeket a Szolgáltató saját adatkezelőként kezel (így különösen a Megrendelő kapcsolattartási és számlázási adatai, a honlap látogatóinak adatai, a hírlevél, a Szolgáltatás használatáról készülő összesített statisztika). Ezekre a Szolgáltató Adatkezelési tájékoztatója irányadó.

2. Az adatfeldolgozás jellege, célja, időtartama

2.1. Jellege: a személyes adatok tárolása, rendszerezése, megjelenítése, a Megrendelő által kért számítások (beosztás, munkaidő-nyilvántartás, jelenlét, szabadság, bérpótlékok) elvégzése, exportálása, a Szolgáltatásból küldött értesítések kézbesítése, a felhasználók kérdéseinek megválaszolása a súgó-asszisztenssel, biztonsági mentés és törlés.

2.2. Célja: a Szolgáltatás nyújtása a Megrendelő részére, azaz a Megrendelő munkavállalóinak beosztás-tervezése, munkaidő- és jelenlét-nyilvántartása, távolléteik és szabadságaik nyilvántartása, valamint az ezekhez kapcsolódó kommunikáció.

2.3. Időtartama: az előfizetői jogviszony fennállása, ezt követően a 8. pontban meghatározott törlésig.

2.4. Az érintettek kategóriái, a személyes adatok típusai és a további adatfeldolgozók listája az A. függelékben, az alkalmazott technikai és szervezési intézkedések pedig a Szolgáltató Adatkezelési tájékoztatójának VIII. pontjában (Adatbiztonság) szerepelnek.

3. Az Adatkezelő utasításai

3.1. A Szolgáltató a személyes adatokat kizárólag a Megrendelő dokumentált utasításai alapján kezeli. A Felek dokumentált utasításnak tekintik a jelen szerződést, az ÁSZF-et, a Megrendelő által a Szolgáltatás felületén végzett beállításokat és műveleteket, valamint a Megrendelő írásban (e-mailben) adott utasításait.

3.2. Ha a Szolgáltató megítélése szerint valamely utasítás sérti a GDPR-t vagy más uniós, illetve tagállami adatvédelmi rendelkezést, erről a Megrendelőt haladéktalanul tájékoztatja, és az utasítás végrehajtását a Megrendelő megerősítéséig felfüggesztheti.

3.3. A Szolgáltató a személyes adatokat saját céljaira nem használja fel, harmadik személynek nem adja át, kivéve az A. függelékben felsorolt további adatfeldolgozókat, illetve ha azt uniós vagy tagállami jog írja elő; ez utóbbi esetben a Megrendelőt – ha a jogszabály nem tiltja – előzetesen tájékoztatja.

3.4. A súgó-asszisztens a felhasználó kérdésének megválaszolásához a felhasználó saját jogosultságai szerint elérhető adatokat olvashatja. A Megrendelő ezt a Szolgáltatás beállításai között a cég egészére kikapcsolhatja; kikapcsolt állapotban a súgó-asszisztens csak a Szolgáltatás használatára vonatkozó általános kérdésekre válaszol.

3.5. Ha a Megrendelő valamely felhasználója a saját AI-asszisztensét összekapcsolja a Szolgáltatással, az összekapcsolt asszisztens a felhasználó saját jogosultsága szerint látható adatokat olvashatja. Ez az adattovábbítás a felhasználó kezdeményezésére, a Megrendelő felelősségi körében történik; a választott AI-szolgáltató nem a Szolgáltató további adatfeldolgozója. A Megrendelő az összekapcsolást a 3.4. pont szerinti beállítással a cég egészére letilthatja.

4. Titoktartás

4.1. A Szolgáltató biztosítja, hogy a személyes adatokhoz kizárólag azok a munkavállalói és megbízottai férjenek hozzá, akiknek erre a Szolgáltatás nyújtásához, az ügyfélszolgálati feladatokhoz vagy az üzemeltetéshez szükségük van, és akik titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak.

4.2. Ügyfélszolgálati megkeresés esetén a Szolgáltató munkatársa a Megrendelő fiókjába kizárólag a hibaelhárításhoz szükséges mértékben lép be.

5. Adatbiztonság

5.1. A Szolgáltató a GDPR 32. cikkének megfelelően, a tudomány és technológia állása, a megvalósítás költségei, valamint az adatkezelés jellege és kockázatai figyelembevételével megfelelő technikai és szervezési intézkedéseket alkalmaz. A jelenleg alkalmazott intézkedéseket a Szolgáltató Adatkezelési tájékoztatójának VIII. pontja (Adatbiztonság) tartalmazza, amely e tekintetben a jelen szerződés része.

5.2. A Szolgáltató az 5.1. pont szerinti intézkedéseket a technika fejlődésének megfelelően módosíthatja, azonban a biztonság szintje ennek következtében nem csökkenhet.

6. További adatfeldolgozók

6.1. A Megrendelő jelen szerződés elfogadásával jóváhagyja az A. függelék 3. pontjában felsorolt további adatfeldolgozók igénybevételét.

6.2. A Szolgáltató a további adatfeldolgozóval olyan írásbeli szerződést köt, illetve olyan szerződési feltételeket fogad el, amely legalább a jelen szerződésben foglaltakkal azonos adatvédelmi kötelezettségeket ír elő. A további adatfeldolgozó kötelezettségeinek teljesítéséért a Szolgáltató a Megrendelővel szemben felelősséggel tartozik.

6.3. A Szolgáltató személyes adatot az Európai Gazdasági Térségen kívülre (harmadik országba) csak a GDPR V. fejezetének megfelelő garanciák mellett továbbít, így különösen az Európai Bizottság megfelelőségi határozata (ideértve az EU–USA adatvédelmi keretrendszert) vagy az Európai Bizottság által elfogadott általános adatvédelmi kikötések alapján.

7. Együttműködés, segítségnyújtás

7.1. Érintetti jogok. A Szolgáltató a Szolgáltatás funkcióival (adatok megtekintése, módosítása, exportálása, törlése) és – ha ez nem elegendő – egyedi megkeresésre segíti a Megrendelőt az érintettek GDPR III. fejezete szerinti kérelmeinek teljesítésében. Ha érintetti kérelem közvetlenül a Szolgáltatóhoz érkezik, azt haladéktalanul továbbítja a Megrendelőnek, és arra – a Megrendelő utasítása nélkül – érdemben nem válaszol.

7.2. Adatvédelmi incidens. A Szolgáltató a Megrendelő adatait érintő adatvédelmi incidensről a tudomására jutását követően indokolatlan késedelem nélkül értesíti a Megrendelőt a regisztrált e-mail címén (GDPR 33. cikk (2) bekezdés), és segíti a Megrendelőt a GDPR 33–34. cikke szerinti bejelentési és tájékoztatási kötelezettsége teljesítésében.

7.3. A Szolgáltató a rendelkezésére álló információk alapján segíti a Megrendelőt a GDPR 32–36. cikke szerinti kötelezettségei (adatbiztonság, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében.

8. Az adatok törlése, visszaadása a szerződés megszűnésekor

8.1. A Megrendelő az előfizetői jogviszony fennállása alatt bármikor exportálhatja az adatait a Szolgáltatás export funkcióival.

8.2. A Szolgáltató a Megrendelő adatait

a) a Megrendelő írásbeli (az ugyfelszolgalat@beosztasom.hu címre küldött) kérésére a kérés beérkezésétől számított 30 napon belül végleges hatállyal törli;
b) ilyen kérés hiányában az előfizetés megszűnésétől számított 2 év elteltével, illetve előfizetés nélkül lejárt próbaidőszak esetén a próbaidőszak lejártától számított 180 nap elteltével automatikusan, végleges hatállyal törli.

8.3. A biztonsági mentésekben tárolt adatok a mentések megőrzési rendje szerint (Adatkezelési tájékoztató, VIII.4. pont), a törlést követően legkésőbb 2 éven belül automatikusan törlődnek; addig azokat a Szolgáltató kizárólag adat-visszaállítás céljából, titkosított formában őrzi.

8.4. A törlési kötelezettség nem terjed ki azokra az adatokra, amelyek megőrzését uniós vagy tagállami jog írja elő.

9. Ellenőrzés, tájékoztatás

9.1. A Szolgáltató a Megrendelő írásbeli kérésére rendelkezésre bocsátja azokat az információkat, amelyek a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükségesek. Az ellenőrzés ilyen írásbeli tájékoztatás útján történik; ennél további ellenőrzésre csak akkor kerülhet sor, ha azt jogszabály vagy a felügyeleti hatóság kifejezetten előírja, és annak költségeit a Megrendelő viseli.

10. Záró rendelkezések

10.1. A Felek felelősségére a GDPR 82. cikke és az ÁSZF rendelkezései irányadók.

10.2. Jelen szerződés és az ÁSZF közötti ellentmondás esetén a személyes adatok védelmét érintő kérdésekben a jelen szerződés rendelkezései az irányadók.

10.3. A Szolgáltató a jelen szerződést az ÁSZF módosítására vonatkozó szabályok szerint módosíthatja.

10.4. A jelen szerződésben nem szabályozott kérdésekben a GDPR, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, valamint a Polgári Törvénykönyvről szóló 2013. évi V. törvény rendelkezései irányadók.

Budapest, 2026. november 6.

A. függelék – Az adatfeldolgozás részletei

1. Az érintettek kategóriái

a Megrendelő munkavállalói, illetve egyéb foglalkoztatottjai (a Szolgáltatásban: „munkavállalók”);
a Megrendelő vezetői, beosztás-készítői és egyéb, a Szolgáltatásba belépő felhasználói (a Szolgáltatásban: „operátorok”: adminisztrátor, vezető, beosztás-készítő);
a Megrendelő által hozzáférést kapott könyvelő, illetve könyvelőiroda munkatársai.

2. A személyes adatok típusai

azonosító és kapcsolattartási adatok: név, belépési e-mail cím, kapcsolattartási e-mail cím, telefonszám, profilkép (ha feltöltik), adóazonosító jel (ha a Megrendelő megadja), belső megjegyzés;
munkaszervezési adatok: munkakör, munkavégzési hely, munkarend, munkavállalói típus, munkaidő-keret és munkaidő-szabályok;
beosztási adatok: tervezett és végleges beosztás, a munkavállaló által megadott ráérési idők és kívánságok;
jelenléti adatok: tényleges munkakezdés és -befejezés, ideértve a munkahelyi QR-kódos be- és kijelentkezés időpontját;
távolléti adatok: szabadság, szabadságkeret, egyéb távollétek és azok típusa (például betegszabadság), a kérelmek és azok elbírálása; a Szolgáltatás egészségügyi diagnózist nem rögzít;
bérelszámolást előkészítő adatok: a ledolgozott idő alapján számított pótlékok, a bérszámfejtő rendszerek számára készített exportok;
kommunikáció: a Szolgáltatáson belüli üzenetek, értesítések, a súgó-asszisztenssel folytatott beszélgetések;
felhasználói fiók adatai: jelszó (kizárólag visszafejthetetlen, egyirányú titkosítással tárolt formában), a kétlépcsős azonosítás titkos kulcsa (titkosítva), értesítési beállítások, a Szolgáltatásban végzett műveletek naplója.

A Megrendelő felel azért, hogy a Szolgáltatásba – a szabad szöveges mezőkben sem – ne rögzítsen a fentieken kívüli, különösen a GDPR 9. cikke szerinti különleges személyes adatot.

3. További adatfeldolgozók

Név és székhely	Feladat	Érintett adatok	Adatkezelés helye, továbbítási garancia
DigitalOcean, LLC, 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, Amerikai Egyesült Államok	Tárhelyszolgáltatás: a Szolgáltatást és az adatbázisokat futtató szerver (DigitalOcean Droplet), valamint a titkosított biztonsági mentések tárolása (DigitalOcean Spaces).	A Szolgáltatásban tárolt valamennyi adat; a mentések AES-256 titkosítással, a Szolgáltató kulcsával titkosítva.	Frankfurt, Németország (szerver és mentések). Esetleges hozzáférés esetén: EU–USA adatvédelmi keretrendszer, illetve általános adatvédelmi kikötések (DigitalOcean Data Processing Agreement).
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Írország	E-mail szolgáltatás (Google Workspace): a Szolgáltatásból küldött rendszerüzenetek kézbesítése és az ügyfélszolgálati levelezés.	A levél címzettjének neve, e-mail címe és a levél tartalma (pl. beosztási időpontok, kérelmek elbírálása).	Európai Unió; harmadik országba továbbítás esetén EU–USA adatvédelmi keretrendszer, illetve általános adatvédelmi kikötések.
Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Írország (Gemini API)	Súgó-asszisztens: a felhasználó kérdésének és a megválaszolásához szükséges adatoknak a feldolgozása mesterséges intelligenciával, a válasz előállítása.	A kérdés és a beszélgetés szövege, a felhasználó szerepköre, valamint – ha a Megrendelő nem kapcsolta ki – a kérdéshez szükséges, a felhasználó által egyébként is látható adatok (pl. nevek, beosztások, jelenlét, távollét típusa).	A Google az adatokat a tanításhoz nem használja fel; garancia: Google adatfeldolgozói feltételei (Data Processing Addendum for Products Where Google is a Data Processor), harmadik országba továbbítás esetén EU–USA adatvédelmi keretrendszer, illetve általános adatvédelmi kikötések.
Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Írország	Súgó-asszisztens tartalék szolgáltatója: ha az elsődleges szolgáltató nem érhető el, ugyanazt a feladatot látja el.	Mint az előző sorban.	Garancia: Anthropic Data Processing Addendum, benne az általános adatvédelmi kikötésekkel (harmadik országba, az Anthropic, PBC-hez történő továbbítás esetén).