Adatfeldolgozói nyilatkozat

Adatfeldolgozó / Szolgáltató:

Rackhost Informatikai Zártkörűen Működő Részvénytársaság

Rövid név:

Rackhost Zrt.

Székhely:

6722 Szeged, Tisza Lajos körút 41.

Cégjegyzékszám:

06-10-000489

Adószám:

25333572-2-06

Képviseli:

Csapó Gergely Gábor vezérigazgató és/vagy Virág Zoltán cégvezető a cégjegyzés szabályai szerint

Adatvédelmi kapcsolattartó:

Nagy Barbara

E-mail:

nagy.barbara@rackhost.hu

között az alábbi feltételekkel.

1. A Megállapodás tárgya és jogi természete

   1. Jelen adatfeldolgozói megállapodás (“Megállapodás”) a Felek között fennálló szolgáltatási szerződés, ÁSZF, egyedi megrendelés, megrendelőlap, online megrendelés vagy más fő szerződés (“Fő szerződés”) adatfeldolgozási melléklete.
   2. A Megállapodás a GDPR 28. cikk (3) bekezdése szerinti adatfeldolgozói szerződésnek minősül.
   3. A Megállapodás kizárólag arra az adatkezelésre vonatkozik, amelyet a Rackhost az Ügyfél nevében, az Ügyfél dokumentált utasításai alapján, adatfeldolgozóként végez.
   4. Ha a Megállapodás és a Fő szerződés között adatfeldolgozási kérdésben eltérés van, a Megállapodás irányadó. A szolgáltatás díjára, felelősségi korlátaira, rendelkezésre állására és műszaki paramétereire a Fő szerződés irányadó, kivéve, ha jelen Megállapodás kifejezetten másként rendelkezik.

2. Adatvédelmi szerepek elhatárolása

   1. Az Ügyfél adatkezelő. Az Ügyfél határozza meg, hogy a szolgáltatások igénybevétele során milyen személyes adatokat, milyen célból, milyen jogalappal, milyen érintettekről és mennyi ideig kezel.
   2. A Rackhost adatfeldolgozó, amikor az Ügyfél által a szolgáltatási infrastruktúrában elhelyezett, továbbított, tárolt, mentett vagy kezelt személyes adatokat az Ügyfél nevében kezeli. Ilyen különösen a webtárhelyen, email fiókban, VPS-en, szerveren, Cloud NAS tárhelyen, adatbázisban, logban vagy mentésben található ügyféloldali személyes adat.

   3. A Rackhost önálló adatkezelőként jár el különösen az alábbi esetekben:

      1. ügyfélfiók létrehozása és kezelése;
      2. szerződéskötés, számlázás, követeléskezelés, könyvelési és adójogi kötelezettségek teljesítése;
      3. ügyfélszolgálati kapcsolattartás saját ügyfélkezelési célból, ideértve az ügyfél kapcsolattartói adatainak, szerződéses azonosítóinak és support ügykezelési adatainak kezelését;
      4. domain-regisztrátori, domain-fenntartói vagy nyilvántartói kötelezettségek teljesítése;
      5. visszaélés-bejelentések, jogi megkeresések, hatósági vagy bírósági megkeresések kezelése;
      6. saját rendszerbiztonsági, csalásmegelőzési, hálózatvédelmi és szolgáltatásvédelmi célú naplózás, amennyiben azt a Rackhost saját célból és felelősségi körben végzi.
   4. A 2.3. pont szerinti önálló adatkezelésekre nem ez a Megállapodás, hanem a Rackhost külön adatkezelési tájékoztatója és a vonatkozó jogszabályok irányadók. A Rackhost adatkezelési tájékoztatója és jelen Megállapodás egymást kiegészítő, de eltérő jogviszonyokat rendező dokumentumok: a tájékoztató a Rackhost saját adatkezeléseit, jelen Megállapodás az Ügyfél nevében végzett adatfeldolgozást szabályozza.
   5. Ha egy konkrét szolgáltatás vagy művelet adatvédelmi szerepe vitatott vagy vegyes, a Felek a tényleges döntési jogkörök, célok és eszközök alapján értékelik a szerepeket. A puszta technikai hozzáférés önmagában nem jelenti azt, hogy a Rackhost az Ügyfél adatainak adatkezelőjévé válik.

3. Az adatfeldolgozás tárgya, célja és időtartama

   1. Az adatfeldolgozás tárgya az Ügyfél által igénybe vett Rackhost szolgáltatások nyújtásához szükséges technikai adatkezelési műveletek elvégzése.

   2. Az adatfeldolgozás célja:

      1. tárhely-, szerver-, email-, VPS-, DNS-, Cloud NAS-, mentési, monitoring-, support- és kapcsolódó infrastruktúra-szolgáltatások nyújtása;
      2. az Ügyfél által feltöltött, tárolt, továbbított vagy kezelt adatok technikai elérhetővé tétele;
      3. biztonsági mentés, visszaállítás, hibaelhárítás, karbantartás, jogosultságkezelés és incidenskezelés;
      4. a Fő szerződés szerinti szolgáltatás teljesítése.
   3. Az adatfeldolgozás időtartama a Fő szerződés fennállásának időtartama, valamint az azt követő technikai törlési, mentési, visszaállítási és jogi megőrzési időszak. A részletes időtartamokat az 1. melléklet tartalmazza.
   4. A Rackhost az Ügyfél személyes adatait a szolgáltatás megszűnését követően törli vagy az Ügyfél részére visszaadja, kivéve, ha uniós vagy tagállami jog az adatok további megőrzését írja elő, vagy ha az adat technikai mentésben a mentési ciklus természetes lejártáig még korlátozottan jelen van.

4. Dokumentált utasítások

   1. A Rackhost az Ügyfél személyes adatait kizárólag az Ügyfél dokumentált utasításai alapján kezeli. Dokumentált utasításnak minősül különösen:

      1. a Fő szerződés;
      2. jelen Megállapodás;
      3. az ÁSZF, szolgáltatásleírás és technikai dokumentáció;
      4. az Ügyfél online adminfelületen, ticketben, emailben vagy más elfogadott kommunikációs csatornán adott utasítása;
      5. a szolgáltatás rendeltetésszerű használatából szükségszerűen következő technikai művelet.
   2. A Rackhost haladéktalanul jelzi az Ügyfélnek, ha megítélése szerint az Ügyfél utasítása sérti a GDPR-t vagy más alkalmazandó adatvédelmi jogszabályt. Ilyen esetben a Rackhost jogosult az utasítás teljesítését felfüggeszteni, amíg az Ügyfél az utasítást nem erősíti meg, nem módosítja vagy nem vonja vissza.
   3. A Rackhost nem köteles olyan utasítást teljesíteni, amely jogszabályba ütközik, a szolgáltatás biztonságát veszélyezteti, harmadik személy jogait sérti, vagy a Fő szerződés szerinti szolgáltatás keretein kívül esik.

5. Az Ügyfél kötelezettségei

   1. Az Ügyfél felel azért, hogy:

      1. az általa kezelt személyes adatok kezelésének legyen megfelelő jogalapja;
      2. az érintettek megfelelő tájékoztatást kapjanak;
      3. az adatkezelés célhoz kötött, arányos és szükséges legyen;
      4. az Ügyfél által választott szolgáltatás biztonsági szintje megfeleljen az Ügyfél adatkezelési kockázatainak;
      5. az Ügyfél saját alkalmazásait, CMS-eit, bővítményeit, jelszavait, hozzáféréseit és konfigurációit biztonságosan kezelje;
      6. az Ügyfél ne helyezzen el jogellenes, szükségtelen vagy aránytalan személyesadat-állományokat a Rackhost rendszerein.
   2. Az Ügyfél köteles a Rackhost részére megadni minden olyan információt, amely szükséges ahhoz, hogy a Rackhost a GDPR 28. cikk szerinti adatfeldolgozói kötelezettségeit teljesíteni tudja.
   3. Az Ügyfél tudomásul veszi, hogy a Rackhost általános hoszting- és infrastruktúra-szolgáltatóként nem ismeri és nem ellenőrzi az Ügyfél által feltöltött tartalmak teljes körét, így az Ügyfél felel az általa kezelt adatok kategóriáinak, jogalapjának, megőrzési idejének és érintetti tájékoztatásának meghatározásáért.

6. Titoktartás és hozzáférés

   1. A Rackhost biztosítja, hogy az Ügyfél személyes adataihoz hozzáférő munkavállalók, közreműködők és szerződéses partnerek megfelelő titoktartási kötelezettség alatt álljanak.
   2. A Rackhost a hozzáféréseket szerepkör, szükségesség és jogosultsági szint alapján kezeli. Az Ügyfél adataihoz való hozzáférés csak szolgáltatásnyújtás, hibaelhárítás, karbantartás, biztonsági vizsgálat, incidenskezelés vagy jogszerű utasítás teljesítése érdekében történhet.
   3. A Rackhost belső szabályzatai szerint naplózza és ellenőrzi a kritikus adminisztratív hozzáféréseket, ha az adott rendszer műszaki jellege ezt lehetővé teszi.

7. Technikai és szervezési intézkedések

   1. A Rackhost a GDPR 32. cikkével összhangban megfelelő technikai és szervezési intézkedéseket alkalmaz. Az intézkedések célja a személyes adatok bizalmasságának, sértetlenségének, rendelkezésre állásának és ellenálló képességének biztosítása.
   2. A fő intézkedéseket a 2. melléklet tartalmazza. A Rackhost jogosult az intézkedéseket módosítani, ha a módosítás nem eredményez összességében alacsonyabb védelmi szintet.
   3. Az Ügyfél felel minden olyan biztonsági beállításért és alkalmazásszintű védelemért, amely az Ügyfél adminisztrációs felületén, alkalmazásában, CMS-ében, weboldalában, kódjában, adatbázisában, email kliensében, VPS-én vagy dedikált szerverén belül az Ügyfél ellenőrzési körébe tartozik.

8. További adatfeldolgozók

   1. Az Ügyfél általános felhatalmazást ad arra, hogy a Rackhost további adatfeldolgozókat vegyen igénybe, ha ez a szolgáltatás nyújtásához, fenntartásához, biztonságához, támogatásához vagy fejlesztéséhez szükséges.
   2. A Rackhost a további adatfeldolgozókkal olyan szerződést köt, amely a jelen Megállapodásban vállalt adatvédelmi kötelezettségekkel lényegében azonos védelmi szintet biztosít.
   3. A Rackhost az aktuális további adatfeldolgozók listáját a 3. mellékletben, az ügyféladmin felületen vagy külön közzétett aloldalon teszi elérhetővé.
   4. A Rackhost az új további adatfeldolgozó bevonásáról vagy meglévő további adatfeldolgozó cseréjéről előzetesen tájékoztatja az Ügyfelet. Az Ügyfél a tájékoztatástól számított 15 napon belül jogosult írásban, indokolt adatvédelmi okból kifogást emelni.
   5. Ha az Ügyfél kifogása megalapozott és a Felek nem tudnak megfelelő alternatívát kialakítani, az Ügyfél jogosult az érintett szolgáltatást a Fő szerződés felmondási szabályai szerint megszüntetni.
   6. A Rackhost felel azért, hogy a további adatfeldolgozó teljesítse a rá vonatkozó adatvédelmi kötelezettségeket.

9. Nemzetközi adattovábbítás

   1. A Rackhost elsődlegesen az Európai Gazdasági Térségen belül végez adatfeldolgozást.

   2. Harmadik országba vagy nemzetközi szervezet részére történő adattovábbításra csak akkor kerülhet sor, ha:

      1. azt az Ügyfél dokumentált utasítása tartalmazza;
      2. azt uniós vagy tagállami jog írja elő; vagy
      3. a továbbításhoz megfelelő GDPR szerinti adattovábbítási garancia áll rendelkezésre, ideértve különösen az Európai Bizottság megfelelőségi határozatát, általános szerződési feltételeket vagy más megfelelő garanciát.
   3. Ha a Rackhost harmadik országbeli további adatfeldolgozót vesz igénybe, gondoskodik a szükséges adattovábbítási mechanizmusról és - ha szükséges - a kiegészítő intézkedésekről.
   4. Ha jogszabály kötelezi a Rackhostot személyes adatok továbbítására, a Rackhost erről az Ügyfelet előzetesen tájékoztatja, kivéve, ha a tájékoztatást jogszabály fontos közérdekből tiltja.

10. Érintetti jogok támogatása

    1. A Rackhost a szolgáltatás jellegét és a rendelkezésére álló információkat figyelembe véve megfelelő technikai és szervezési intézkedésekkel támogatja az Ügyfelet az érintetti jogok teljesítésében.
    2. Ha érintett közvetlenül a Rackhosthoz fordul az Ügyfél adatkezelésével kapcsolatban, a Rackhost - amennyiben az Ügyfél azonosítható - az érintettet az Ügyfélhez irányítja vagy a kérelmet továbbítja az Ügyfélnek. A Rackhost az Ügyfél előzetes utasítása nélkül nem dönt az Ügyfél adatkezelését érintő érintetti kérelem érdeméről.
    3. A támogatásért a Rackhost külön díjat számíthat fel, ha a kérelem teljesítése a rendes szolgáltatási körön túlmutató egyedi munkaigényt jelent.

11. Adatvédelmi incidensek

    1. A Rackhost indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzéstől számított 48 órán belül értesíti az Ügyfelet az olyan adatvédelmi incidensről, amely a Rackhost adatfeldolgozói tevékenysége körében kezelt Ügyfél-adatokat érinti.

    2. Az értesítés - a rendelkezésre álló információk alapján - tartalmazza:

       1. az incidens jellegét;
       2. az érintett rendszert vagy szolgáltatást;
       3. az érintett adatok és érintetti kör becsült kategóriáit, ha ezek megállapíthatók;
       4. az incidens ismert vagy valószínű következményeit;
       5. a megtett vagy tervezett intézkedéseket;
       6. a Rackhost kapcsolattartóját.
    3. Ha minden információ nem áll rendelkezésre az első értesítéskor, a Rackhost az információkat ésszerű részletekben, utólag egészíti ki.
    4. Az Ügyfél felel a felügyeleti hatóság és az érintettek felé fennálló bejelentési vagy tájékoztatási kötelezettség teljesítéséért, kivéve, ha a jogszabály közvetlenül a Rackhostot kötelezi.
    5. Az Ügyfél köteles haladéktalanul értesíteni a Rackhostot minden olyan incidensről, amely a Rackhost szolgáltatásait vagy infrastruktúráját érintheti.

12. Adatvédelmi hatásvizsgálat és előzetes konzultáció támogatása

    1. A Rackhost a szolgáltatás jellegét és a rendelkezésére álló információkat figyelembe véve támogatja az Ügyfelet a GDPR 35-36. cikk szerinti hatásvizsgálat és előzetes konzultáció teljesítésében.
    2. A Rackhost támogatása elsősorban a szolgáltatásra vonatkozó műszaki, biztonsági, adatfeldolgozási és alvállalkozói információk megadására terjed ki.
    3. A Rackhost nem köteles az Ügyfél helyett adatvédelmi hatásvizsgálatot készíteni, kockázatértékelést elvégezni vagy hatósági álláspontot beszerezni, kivéve külön írásbeli megállapodás alapján.

13. Nyilvántartás és megfelelés igazolása

    1. A Rackhost vezeti a GDPR 30. cikk (2) bekezdése szerinti adatfeldolgozói nyilvántartást.

    2. A Rackhost az Ügyfél kérésére rendelkezésre bocsátja azokat az információkat, amelyek szükségesek a GDPR 28. cikk szerinti kötelezettségek teljesítésének igazolásához, feltéve, hogy az információ:

       1. az Ügyfél adatfeldolgozására releváns;
       2. nem sérti más ügyfelek, üzleti titkok, biztonsági kontrollok vagy harmadik személyek jogait;
       3. nem veszélyezteti a Rackhost rendszereinek biztonságát.

14. Adatok törlése, visszaadása és mentések

    1. A Fő szerződés megszűnésekor az Ügyfél köteles a számára szükséges adatokat a szolgáltatásból exportálni vagy lementeni.
    2. A Rackhost a szolgáltatás megszűnését követően az Ügyfél aktív adatait a Fő szerződés, ÁSZF vagy szolgáltatásleírás szerinti határidőben törli vagy hozzáférhetetlenné teszi.
    3. Biztonsági mentésekben az adatok a mentési ciklus lejártáig korlátozottan megőrződhetnek. A mentésekhez való hozzáférés korlátozott, azok nem éles adatkezelési célra szolgálnak.
    4. Ha jogszabály, hatósági vagy bírósági kötelezés, jogvita vagy visszaélés-kezelés miatt megőrzés szükséges, a Rackhost az érintett adatokat a szükséges mértékben és ideig megőrizheti.

15. Különleges adatok és magas kockázatú adatkezelések

    1. Az Ügyfél a Rackhost előzetes írásbeli tájékoztatása nélkül nem használhatja a szolgáltatást olyan adatkezelésre, amely az adott szolgáltatás rendes biztonsági és kockázati profilját meghaladó védelmet igényel.

    2. Ilyennek minősülhet különösen:

       1. különleges adatok nagy mennyiségű kezelése;
       2. bűnügyi személyes adatok kezelése;
       3. gyermekek nagy számú adatának kezelése;
       4. egészségügyi, pénzügyi vagy azonosítási adatok nagy kockázatú kezelése;
       5. olyan adatkezelés, amely adatvédelmi hatásvizsgálatot igényelhet.
    3. A Rackhost jogosult megtagadni vagy külön feltételekhez kötni az olyan adatkezelést, amely az adott szolgáltatás műszaki, biztonsági vagy jogi kereteit meghaladja.

16. Jogszabályi és hatósági megkeresések

    1. Ha hatóság, bíróság vagy más jogosult szerv az Ügyfél személyes adataival kapcsolatban közvetlenül a Rackhostot keresi meg, a Rackhost a megkeresést a jogszabályoknak megfelelően kezeli.
    2. Amennyiben jogszerűen megtehető, a Rackhost értesíti az Ügyfelet a megkeresésről. A Rackhost nem köteles értesíteni az Ügyfelet, ha ezt jogszabály tiltja vagy hatósági/bírósági rendelkezés kizárja.

17. Felelősség

    1. A Felek felelősségére a GDPR, az Infotv., a Polgári Törvénykönyv, a Fő szerződés és a jelen Megállapodás rendelkezései irányadók.
    2. Az Ügyfél felel az általa meghatározott adatkezelési célokért, jogalapokért, adattartalomért, érintetti tájékoztatásért, megőrzési időkért, felhasználói jogosultságokért és alkalmazásszintű biztonságért.
    3. A Rackhost felel azért, hogy adatfeldolgozóként a jelen Megállapodásban és a GDPR 28. cikkében meghatározott kötelezettségeket teljesítse.
    4. A Rackhost nem felel az Ügyfél saját kódjából, alkalmazásából, CMS-éből, bővítményéből, konfigurációjából, jelszókezeléséből, jogosultságkezeléséből vagy jogellenes adatkezelési döntéséből eredő adatvédelmi jogsértésért, kivéve, ha a jogsértés a Rackhost saját felróható adatfeldolgozói kötelezettségszegésével okozati összefüggésben áll.

18. Hatály és megszűnés

    1. A Megállapodás a Fő szerződés létrejöttével, a szolgáltatás megrendelésével vagy a Felek aláírásával lép hatályba.
    2. A Megállapodás addig marad hatályban, amíg a Rackhost az Ügyfél nevében személyes adatot kezel.
    3. A Megállapodás megszűnése nem érinti a titoktartási, törlési, megőrzési, incidenskezelési és audit-kötelezettségeket olyan mértékben, amennyiben azok természetüknél fogva a megszűnés után is fennmaradnak.

19. Irányadó jog és jogvita

    1. A Megállapodásra a magyar jog irányadó, azzal, hogy a GDPR közvetlenül alkalmazandó.
    2. A Felek a vitás kérdéseket elsődlegesen egyeztetéssel rendezik. Ennek sikertelensége esetén a Fő szerződés szerinti joghatósági és illetékességi szabályok irányadók.

20. Záró rendelkezések

    1. A Rackhost jogosult a Megállapodást módosítani, ha azt jogszabályváltozás, hatósági gyakorlat, szolgáltatásváltozás, technikai vagy biztonsági ok indokolja. A módosítás nem eredményezheti az Ügyfél személyes adatainak lényegesen alacsonyabb védelmi szintjét.
    2. A Rackhost a módosításról az Ügyfelet az ÁSZF szerinti módon tájékoztatja.
    3. Ha az Ügyfél a módosítást adatvédelmi okból nem fogadja el, jogosult az érintett szolgáltatást a Fő szerződés szabályai szerint megszüntetni.

Jelen DPA 2026. szeptember 1-től hatályos.