Adatvédelem és megfelelés
Véglegesítve: 2026. október 11. · Cég360 platform · Az ÁSZF 12. pontja szerinti dokumentumok itt találhatók
1. Adatfeldolgozói megállapodás (DPA)
Jelen adatfeldolgozói megállapodás a GDPR 28. cikke szerint jön létre: a Platform igénybevételekor a Felhasználó adatkezelőként, a Szolgáltató adatfeldolgozóként jár el a Felhasználó által a Platformba feltöltött, harmadik személyeket érintő személyes adatok tekintetében (partnerek, ügyfelek, munkavállalók adatai). A megállapodás a Platform használatával – az ÁSZF elfogadásával – hatályba lép; külön aláírás nem szükséges.
- A feldolgozás tárgya
- A Platform pénzügyi, számviteli és adminisztratív szolgáltatásainak nyújtása, az adatok tárolása, feldolgozása és rendelkezésre bocsátása
- Időtartama
- A Felhasználó előfizetésének időtartama, majd a Törlési rend szerinti megőrzési és törlési időszakok
- A feldolgozás jellege és célja
- Tárolás, visszakereshetőség, riport- és bevallás-előkészítés, automatizált párosítás, értesítések, MI-alapú bizonylat-kiolvasás és javaslattétel, valamint – a Felhasználó által bekötött hatósági és banki kapcsolat esetén, annak megbízása alapján – NAV- és banki adatszolgáltatás
- Adatkategóriák
- Személyazonosító és kapcsolattartási adatok (név, e-mail, cím, adószám, TAJ-szám, bankszámlaszám), gazdasági események és bizonylatok, bérszámfejtési adatok, bejelentkezési és hozzáférési naplók
- Érintett kategóriák
- A Felhasználó képviselői és munkatársai, a Felhasználó partnerei, ügyfelei és munkavállalói
- Feldolgozás helye
- A 2. pont (Adatrezidencia) szerinti szolgáltatói infrastruktúra
Az adatfeldolgozó kötelezettségei:
- kizárólag a Felhasználó dokumentált utasítása szerint, a szerződés céljára dolgozza fel az adatokat; a magyar vagy uniós jog eltérő kötelezettsége esetén erről előzetesen tájékoztatja az adatkezelőt;
- gondoskodik a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedésekről (titkosítás, hozzáférés-kezelés, naplózás, mentés);
- csak a 2. pontban felsorolt al-feldolgozókat alkalmazza; új al-feldolgozó bevonásáról előre tájékoztat, és az adatkezelő észszerű ellenvetés esetén a megállapodást felmondhatja;
- segíti az adatkezelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, adathordozhatóság, tiltakozás) gyakorlásában, az adatvédelmi incidensek kezelésében és a hatósági eljárásokban;
- az adatvédelmi incidenst késedelem nélkül, legkésőbb 48 órán belül jelzi az adatkezelőnek az érintett adatokkal és intézkedésekkel együtt;
- a szerződés megszűnésekor a Felhasználó választása szerint visszaadja vagy törli az adatokat, kivéve azt, amit jogszabály őrizni kötelez.
A felhasználó (adatkezelő) kötelezettségei: kizárólag jogszerűen beszerzett, megfelelő jogalappal rendelkező adatot tölthet fel; az érintettek tájékoztatása és az adatkezelési jogalap megléte az ő felelőssége. A Platform nem vállalja az érintettek nevében történő tájékoztatást.
2. Adatrezidencia és szolgáltatók
- Tárolás helye
- A Platformot üzemeltető felhőszolgáltató (Base44 / Wix) jelenlegi infrastruktúráján, az Egyesült Államokban
- Enterprise-tárolás
- Enterprise szintű megállapodás esetén az alkalmazásadatok EU-s vagy Egyesült Királyságbeli klaszterben tárolhatók; a médiafájlok, a platformfiók- és számlázási adatok ettől függetlenül az Egyesült Államokban maradnak
- Titkosítás
- Az adatok átvitel közben (TLS) és nyugalmi állapotban is titkosítva vannak
- Tanúsítványok
- A platformszolgáltató saját, nyilvánosan közzétett közlése szerint SOC 2 Type II és ISO 27001 tanúsítvánnyal rendelkezik. Ezek a tanúsítványok a platformszolgáltatóéi, nem a Cég360-é; a tanúsítvány másolatát a szolgáltatótól kérjük be és ügyfélkérésre átadjuk
- Nemzetközi átadás
- Az Egyesült Államokba kerülő adatok átadása a GDPR V. fejezete szerinti biztosítékokkal (általános szerződéses feltételek – SCC) történik
- Egyéb adathelyek
- A NAV felé irányuló adatszolgáltatás és a PSD2 banki lekérdezés a Felhasználó megbízása alapján, magyar/EU-s hatóságok és bankok felé történik
Al-feldolgozók (beszállítók), akik a Platform működése során adathozzáférésre jogosultak:
| Szolgáltató | Feladat | Adathely | Kezelt adat |
|---|---|---|---|
| Base44 / Wix | Szoftverplatform, adattárolás, üzemeltetés | Egyesült Államok (Enterprise: EU/UK) | Az összes, a Platformba kerülő adat |
| SimplePay (Optimal Payment Solutions Zrt.) | Bankkártyás fizetésfeldolgozás, PCI DSS | Magyarország | Számlázási adatok, fizetési státusz; kártyaadat nem |
| NAV (Nemzeti Adó- és Vámhivatal) | Online Számla, eÁFA, nyugtaadatszolgáltatás | Magyarország | Számla-, nyugta- és bevallási adatok |
| Fizetési számlát vezető bank (PSD2) | Tranzakciólekérés a Felhasználó engedélyével | Magyarország | Szamlázási fiók tranzakciói |
| Magyar Nemzeti Bank | Árfolyam-adatok (nyilvános) | Magyarország | Árfolyam-kurzusok |
| A platform e-mail szolgáltatása | Rendszer- és tranzakciós e-mailek kézbesítése | Egyesült Államok | Címzett e-mail címe, levél tartalma |
| A platform mesterséges intelligencia (MI) szolgáltatása | Bizonylat-kiolvasás feltöltött fájlból, kontírozási javaslat, asszisztens válaszok | Egyesült Államok | A feltöltött bizonylat tartalma és a kérdéshez tartozó könyvelési adatok |
Mesterséges intelligencia használata: a Platform három helyen használ nyelvi modellt – feltöltött szállítói számla és banki PDF-kivonat kiolvasásánál, kontírozási javaslatnál és az asszisztens válaszainál. A feldolgozás a platformszolgáltató MI-szolgáltatásán keresztül történik, kizárólag a Felhasználó saját kérésére és az adott művelet végrehajtásához. Az MI javaslata sosem automatikus döntés: minden kontírozást és bizonylatadatot a Felhasználó hagy jóvá. A platformszolgáltató nyilvános feltételei szerint az ügyféladatokat nem használja MI-modellek tanítására; ezt a Cég360 nem tudja technikailag ellenőrizni, ezért a szolgáltatói nyilatkozatra támaszkodik, és az MI-funkciók használata nem kötelező – minden adat kézzel is rögzíthető.
A listán szereplő al-feldolgozók köre módosulhat; az aktualizált lista mindenkor ezen az oldalon olvasható, az új al-feldolgozó bevonása előtt legalább 30 nappal közzétesszük.
3. Szolgáltatási szintmegállapodás (SLA)
A Platform rendelkezésre állási célja havi 99% (éves szinten legfeljebb kb. 7,2 óra üzemzavar havonta), a tervezett karbantartások és a Szolgáltató fennhatóságán kívül eső okok (fennhatósági erő, külső szolgáltatók, NAV- és banki rendszerek üzemzavara) figyelembevételével. Az üzemzavar azon időszak, amíg a Platform bejelentkezés után egyáltalán nem érhető el; az egyes funkciók átmeneti, részleges akadályozottsága (pl. egy integráció hiánya) az üzemzavar definícióba nem tartozik.
Tervezett karbantartás előre jelzett időablakban történik, lehetőség szerint legalább 48 órával korábbi értesítéssel, és jellemzően az éjszakai órákra ütemezve. A tervezett karbantartás ideje nem minősül üzemzavarnak, amennyiben a jelzett ablakon belül marad.
Támogatási reakcióidők (első reagálás, munkanapokon):
| Esemény | Első reagálás | Megoldási cél |
|---|---|---|
| Kritikus üzemzavar (a Platform nem elérhető) | 1 munkanapon belül | 24–48 órán belül, vagy ismert dátumú megkerülés |
| Funkcionális hiba (adatvesztés vagy téves kiszámítás nélküli) | 2 munkanapon belül | Következő frissítésben |
| Kérdés, tanácsadás, beállítási segítség | 3 munkanapon belül | Észszerű határidőben |
A Platform jelenleg BETA-fejlesztési és validációs (Living Lab) szakaszban működik, ezért átmenetileg nem vállal díjkompenzációt vagy egyéb szankciót az üzemzavarok esetén; az SLA-célok a minőség mérésére és a jövőbeli, kész szintek kialakítására szolgálnak. A valós elérhetőségi adatokat a Felhasználók kérésére összesítve megosztjuk.
4. Incidenskezelési rend
Adatvédelmi incidens a személyes adatok biztonságát sértő esemény (törlés, elvesztés, jogosulatlan hozzáférés vagy közzététel). Az incidenseket az észleléstől kezdve naplózzuk, a felismerés és a lezárás időpontjával, az érintett adatokkal és a megtett intézkedésekkel együtt.
Súlyossági besorolás és célidők:
| Súlyosság | Jellemző eset | Kezelési cél |
|---|---|---|
| S1 – kritikus | Jogosulatlan hozzáférés vagy adatvesztés érintettek adatát | Azonnali elszigetelés, 48 órán belül adatkezelői/érintetti tájékoztatás megkezdése |
| S2 – súlyos | Részleges jogosulatlan hozzáférés, jelentős funkcióhiba | 24 órán belül elkülönítés, 72 órán belül összesítő |
| S3 – mérsékelt | Egy funkció hibája adatvesztés nélkül | Következő munkanapon belül értékelés |
| S4 – elhanyagolható | Megfigyelési, kozmetikai hiba | Rendszeres fejlesztési ciklusban |
Az eljárás lépései: észlelés (automatikus riasztás, Felhasználói bejelentés) → értékelés és súlyossági besorolás → elszigetelés és kárcsökkentés → hatósági és érintetti tájékoztatás → helyreállítás → utóelemzés és megelőző intézkedés.
Hatósági bejelentés: ha az incidens az érintettek jogaira kockázatot jelent, a Szolgáltató legkésőbb a felismeréstől számított 72 órán belül bejelenti a Nemzeti Adatvédelmi Hatóságnak (NAIH); ha az érintettek számára magas kockázat áll fenn, őket is késedelem nélkül, magyar nyelvű, érthető tájékoztatásban informálja.
Tájékoztatás tartalma: az incidens jellege és leírása, az érintett adatkörök és érintettek száma, a várható következmények, valamint a megtett és tervezett intézkedések. A bejelentés határidejéig fennálló ismerethiányról folyamatosan pótoljuk az információt.
Bejelentés és kapcsolat: minden Felhasználói jelzés a 2. pontban megadott elérhetőségeken (info@ceg360.hu) fogadható; a kártyás és banki jellegek miatt a fizetési incidensekhez a SimplePay Fizetési tájékoztatója is érinti.
5. Törlési rend
Törlési kérés benyújtása: a beállítások oldal Adatkezelés lapján elérhető GDPR-adatexport segítségével a Felhasználó bármikor letöltheti a teljes adatállományát ZIP-fájlban (entitásonként CSV-fájlokban); a törlési kérést ezt követően, vagy közvetlenül a Kapcsolat oldalon, illetve az info@ceg360.hu e-mail-címen lehet benyújtani. A kérést visszaigazoljuk, és a Felhasználó azonosítása után (a jogosultság igazolása céljából) végrehajtjuk.
Törlési folyamat és határidők:
- a kérés visszaigazolása: legfeljebb 5 munkanapon belül;
- a Felhasználó-fiók és az azhoz tartozó aktív adatállomány törlése (illetve a fizetős előfizetés lezárása): legfeljebb 30 nappal a kérés kézhezvétele után;
- a korábbi biztonsági mentésekből a törölt adat kiürülése: a következő mentési ciklusban, legfeljebb 30 nappal a törlés után (a mentések célja a működésbiztosság; a visszaállítás csak kifejezett kérésre, adminisztratív úton történik);
- a törölt adat helyreállítása a törlés után nem lehetséges, kivéve a mentésekből való visszatöltést a kiürítésig (ezt csak kifejezett Felhasználói kérésre végezzük).
Megőrzési időszakok (törlés előtt):
| Adatkör | Megőrzés | Jogalap |
|---|---|---|
| Fiók- és hozzáférési adatok (név, e-mail, bejelentkezési napló) | A fiók törlése után legfeljebb 30 napig | Szolgáltatásnyújtás és biztonsági naplózás |
| Pénzügyi bizonylatok (számlák, kiadások, bevételek, banktételek) | A szolgáltatás használatának időtartamában; a törvényes megőrzési kötelezettség (pl. a számviteli bizonylatok 8 éves megőrzése) az adatkezelőt – a Felhasználót – terheli, ezért az export után a Platform törli a saját példányát | Szerződés teljesítése; a Felhasználó jogi megőrzési kötelezettsége |
| Bérszámfejtési és munkavállalói adatok | A foglalkoztatás-nyilvántartási előírások szerinti időtartamra, a Felhasználó utasítása szerint | Munkajogi megőrzési kötelezettségek |
| Biztonsági mentések | A mentési ciklus szerint, legfeljebb 30 napig | Üzemfolytonosság |
| Üzemi, biztonsági és visszaélési naplók | Legfeljebb 3 évig | Jogos érdek: biztonság, visszaélés-megelőzés, jogi védelem |
A törlés hiánya, elutasítása esetén (pl. jogszabály által előírt megőrzés) a Felhasználó tájékoztatást kap az okról és a megőrzés időtartamáról. Az adatfeldolgozói megállapodásban rögzített érintetti jogokat a Kapcsolat oldalon lehet érvényesíteni; elutasított kérés esetén a Felhasználó a NAIH-hoz (naih.hu) vagy bírósághoz fordulhat.