Adatfeldolgozási megállapodás

• Adatkezelő: a Platformra regisztrált Fotós — ő dönt a vásárlói és gyermek-adatok kezelésének céljairól és eszközeiről.
• Adatfeldolgozó: Dobó Imre egyéni vállalkozó (4029 Debrecen, Hajnal utca 14. 2/13., adószám: 53669401-1-29, email: doboimre86@gmail.com) — a Képesbolt platform üzemeltetője.

A DPA az ÁSZF elfogadásával, azzal egyidejűleg lép hatályba, és a szolgáltatási szerződés fennállása alatt — valamint az adatok törléséig — hatályban marad. A platform adatkezelői szerepben végzett adatkezeléseiről (fotós-fiókok, hírlevél) az Adatkezelési tájékoztató rendelkezik.

• Érintettek: a Fotós galériáinak látogatói és vásárlói (jellemzően szülők, családtagok), valamint a fényképeken ábrázolt személyek — köztük gyermekek.
• Adatkategóriák: vásárló neve, email címe, telefonszáma, szállítási és számlázási adatai; a rendelés tartalma és megjegyzései; galéria-hozzáférési adatok (email-kapu, látogatási napló: IP-cím, böngésző-azonosító); valamint a gyermekek képmását tartalmazó fényképek.

(1) Hatály. E pont csak akkor alkalmazandó, ha az adatkezelő Fotós a funkciót a fiókjában és az adott galériában bekapcsolta. A bekapcsolás és a beállítások (a levelek száma: egy vagy legfeljebb kettő; az időzítés: a belépés után megadott nappal, illetve a rendelési határidő előtt megadott nappal) a 4. pont szerinti dokumentált utasításnak minősülnek [GDPR 28. cikk (3) a)].

(2) Tárgy és cél. A galéria e-mail-kapuján belépett, de nem rendelő látogatóknak legfeljebb két, a rendelési határidőről szóló értesítő e-mail kiküldése a Fotós nevében és utasítása szerint; a belépéskor megjelenített tájékoztatás tudomásulvételének rögzítése; a leiratkozások és tiltakozások nyilvántartása (tiltólista), hogy az érintett több ilyen levelet ne kapjon.

(3) Jelleg. Automatizált ütemezés és kiküldés. A rendszer a kiküldést megszakítja, ha a látogató rendel, leiratkozik vagy tiltakozik, ha a galéria lezárul vagy lejár, illetve ha a Fotós a funkciót kikapcsolja. A határidő után levelet nem küld.

(4) Érintettek. A galéria e-mail-kapuján e-mail-címet megadó látogatók, akik a rendelési határidőig nem rendeltek.

(5) Adatkategóriák. E-mail-cím; a galéria azonosítója, neve és rendelési határideje; a belépés időpontja és nyelve; az, hogy az érintett rendelt-e; a belépéskor bemutatott tájékoztatás szövegváltozata és időbélyege; a kiküldés időpontja és állapota; a leiratkozás vagy tiltakozás ténye és időpontja.

(6) Megőrzés. Az emlékeztetőhöz kezelt adatokat az adatfeldolgozó az utolsó értesítés kiküldéséig, legkésőbb a galéria lezárásáig kezeli. A tudomásulvétel rögzítését a galéria törléséig, legkésőbb a 10. pont szerinti, a szerződés megszűnésekor esedékes törlésig őrzi. A tiltólistán csak az e-mail-cím és a tiltakozás ideje szerepel, és csak addig, amíg a Fotós fiókja fennáll, mert a tiltakozás csak így tartható be.

(7) A Fotós felelőssége. A levelek a Fotós nevében, a Fotós mint feladó feltüntetésével mennek ki. A kiküldés jogalapjáért, a levelek tartalmáért és az érintettek tájékoztatásáért a Fotós mint adatkezelő felel. A Platform által generált tájékoztató-szöveg ehhez segítség, a Fotós a saját tájékoztatójában is közzéteheti. Az adatfeldolgozó a jogalapot nem vizsgálja, a Fotós ezt a bekapcsoláskor külön tudomásul veszi.

Az adatfeldolgozó a személyes adatokat kizárólag az adatkezelő dokumentált utasításai alapján kezeli (GDPR 28. cikk (3) a)). Dokumentált utasításnak minősül az ÁSZF, a jelen DPA, valamint a Fotós által az admin-felületen elvégzett beállítások (galéria-védelem, integrációk, adat-export, törlés). Ha az adatfeldolgozó megítélése szerint valamely utasítás jogszabályba ütközik, erről az adatkezelőt haladéktalanul tájékoztatja.

Az adatfeldolgozó a feldolgozott adatokat nem használja saját célra, nem értékesíti, és harmadik személynek — a 7. pont szerinti al-adatfeldolgozókon kívül — nem adja át, kivéve, ha erre uniós vagy tagállami jog kötelezi; ilyen esetben az adatkezelőt a teljesítés előtt értesíti, ha a jog ezt nem tiltja.

Az adatfeldolgozó biztosítja, hogy a személyes adatokhoz hozzáférésre jogosult személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak (GDPR 28. cikk (3) b)). A hozzáférés a feladat ellátásához szükséges legkisebb körre korlátozott.

• titkosított adatátvitel (TLS/HTTPS) minden felületen és API-kapcsolatban;
• a bekötött szolgáltatói kulcsok és tokenek titkosított tárolása (AES-256-GCM);
• jelszavak bcrypt hash-elése; a galéria-hozzáférési sütik jelszót nem tartalmaznak;
• tenant-szintű jogosultság-szeparáció: minden Fotós adatai elkülönítve, kizárólag a saját fiókjából érhetők el;
• tokenes, időkorlátos letöltés: a megvásárolt képek egyedi, 30 napig érvényes linkeken érhetők el;
• galéria-védelmi eszközök: jelszó, email-kapu, időzített hozzáférés, vízjel, keresők kizárása;
• naplózás, valamint napi automatikus adatbázis-mentés 14 napos megőrzéssel.

Az adatkezelő általános felhatalmazást ad az alábbi al-adatfeldolgozók igénybevételére (GDPR 28. cikk (2)). Az adatfeldolgozó az al-adatfeldolgozókkal a jelen DPA-val legalább azonos szintű adatvédelmi kötelezettségeket köt ki, és a listaváltozásról az adatkezelőt előzetesen emailben értesíti — az adatkezelő a változással szemben kifogást emelhet.

Az adatfeldolgozó a tudomására jutott adatvédelmi incidensről az adatkezelőt indokolatlan késedelem nélkül — legkésőbb a tudomásszerzéstől számított 48 órán belül — értesíti (GDPR 33. cikk (2)), megadva az incidens jellegét, az érintett adatkörök és érintettek becsült körét, a valószínűsíthető következményeket és a megtett intézkedéseket. A felügyeleti hatóság felé történő bejelentés (72 óra) és az érintettek tájékoztatása az adatkezelő Fotós kötelezettsége; ebben az adatfeldolgozó teljes körűen közreműködik.

Az adatfeldolgozó — a feldolgozás jellegét figyelembe véve — megfelelő technikai és szervezési intézkedésekkel segíti az adatkezelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) teljesítésében (GDPR 28. cikk (3) e)), továbbá a GDPR 32-36. cikke szerinti kötelezettségek — adatbiztonság, incidens-kezelés, adatvédelmi hatásvizsgálat — teljesítésében (28. cikk (3) f)). Az érintettektől közvetlenül érkező kérelmeket az adatfeldolgozó haladéktalanul továbbítja az adatkezelőnek.

A szolgáltatási szerződés megszűnésekor az adatkezelő választása szerint az adatfeldolgozó a feldolgozott személyes adatokat visszaadja (a felületen elérhető adat-export révén) és/vagy törli (GDPR 28. cikk (3) g)). Az adatfeldolgozó a megszűnést követő 30 napos türelmi idő elteltével az aktív rendszerekből és az általa kezelt Drive-tárhelyről töröl vagy anonimizál minden feldolgozott személyes adatot; a törölt adat a napi biztonsági mentések 14 napos gördülő megőrzési idejének lejártával kerül ki végleg a mentésekből. Kivételt csak az az adat képez, amelynek megőrzésére uniós vagy tagállami jog magát az adatfeldolgozót kötelezi. A Vásárlóknak kiállított számlák a Fotós saját számlázófiókjában vannak; ezek megőrzése a Fotós kötelezettsége.

Az adatfeldolgozó az adatkezelő rendelkezésére bocsát minden olyan információt, amely a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges, továbbá lehetővé teszi és elősegíti az adatkezelő vagy megbízott auditora által végzett ellenőrzéseket (GDPR 28. cikk (3) h)). Az auditra évente legfeljebb egy alkalommal, legalább 15 napos előzetes írásbeli értesítéssel, az üzleti titkok és más ügyfelek adatainak védelme mellett kerülhet sor; a felmerülő költségeket az adatkezelő viseli, kivéve, ha az audit súlyos szabályszegést tár fel.

A jelen DPA 2026. augusztus 26-tól hatályos (v1.1; szerkesztői módosítás: 2026. október 16., a megőrzési hivatkozás pontosítása), és az ÁSZF részeként, azzal együtt módosul. A DPA-ban nem szabályozott kérdésekben a GDPR, az Infotv. és az ÁSZF rendelkezései irányadók.