Ez az adatfeldolgozási szerződés (DPA) annak a megállapodásnak a részét képezi, amely egy üzleti, közszférabeli vagy egyéb szervezeti ügyfél (Ügyfél) és František Mráz, IČO 07961731, DIRI AI néven eljáró vállalkozó (Adatfeldolgozó) között jön létre, amennyiben a DIRI AI az Ügyfél megbízásából az Ügyfél személyes adatait kezeli.
1. Fogalommeghatározások és szerepek
Alkalmazandó adatvédelmi jog a GDPR, a cseh adatvédelmi jogszabályok és minden más, az érintett adatkezelésre alkalmazandó adatvédelmi jogszabály. Ügyfél személyes adatai az Ügyféltartalomban szereplő azon személyes adatok, amelyeket a DIRI AI kizárólag az Ügyfél dokumentált utasításai alapján kezel. A Biztonsági incidens jelentését a 8. szakasz határozza meg.
Az Ügyfél az esettől függően adatkezelő vagy adatfeldolgozó. A DIRI AI az Ügyfél személyes adatai tekintetében adatfeldolgozó vagy alfeldolgozó. A DIRI AI az Adatvédelmi tájékoztatóban leírt saját fiókkezelési, számlázási, csalásmegelőzési, jogszabályi megfelelési és biztonsági adminisztrációs céljaira önálló adatkezelő marad.
2. Hatály és időtartam
A DIRI AI az Ügyfél személyes adatait kizárólag a szolgáltatás nyújtása, biztonságának megőrzése, támogatása és törlése érdekében kezeli, az 1. melléklet és a dokumentált utasítások szerint. Ez a DPA a szolgáltatási szerződéssel együtt lép hatályba, és addig marad hatályban, amíg az Ügyfél személyes adatait törlik vagy visszaadják, a jogszerű megőrzés fenntartásával.
A szolgáltatási szerződés, a beállítások, a támogatási kérelmek és a dokumentált termékfunkciók jogszerű használata utasításnak minősül. A standard szolgáltatáson kívüli utasítás írásbeli módosítást, díjat vagy technikai felülvizsgálatot tehet szükségessé. A DIRI AI haladéktalanul tájékoztatja az Ügyfelet, ha észszerű megítélése szerint valamely utasítás sérti az Alkalmazandó adatvédelmi jogot, és az érintett adatkezelést felfüggesztheti, amíg a felek a kérdést rendezik.
3. Az Adatfeldolgozó kötelezettségei
A DIRI AI:
- az Ügyfél személyes adatait kizárólag dokumentált utasítások alapján kezeli, kivéve, ha uniós vagy tagállami jog másként írja elő; ahol ez megengedett, az ilyen adatkezelés előtt tájékoztatja az Ügyfelet;
- gondoskodik arról, hogy az adatkezelésre feljogosított személyek titoktartási kötelezettséggel tartozzanak;
- bevezeti és fenntartja a 2. mellékletben leírt, kockázatarányos intézkedéseket;
- az adatkezelés jellegét és a rendelkezésre álló információkat figyelembe véve segíti az Ügyfelet az érintetti jogok, a biztonság, az incidensértékelések, az adatvédelmi hatásvizsgálatok és a hatósági konzultációk terén;
- vezeti a GDPR 28. cikkének való megfelelés igazolásához szükséges nyilvántartásokat, és megőrzi az ehhez szükséges információkat;
- értesíti az Ügyfelet, ha az Ügyfél személyes adataira vonatkozóan kötelező erejű hatósági megkeresést kap, kivéve, ha jogszabály tiltja az értesítést; és
- az Ügyfél személyes adatait nem értékesíti, nem használja harmadik felek hirdetéseihez, nem végez biometrikus azonosítást vagy érzelemfelismerést, és nem tanít velük általános célú modellt külön írásbeli megállapodás és jogszerű jogalap nélkül.
4. Az Ügyfél kötelezettségei
Az Ügyfél felel az utasításai és az Ügyfél személyes adatai jogszerűségéért, tisztességességéért és pontosságáért. Az Ügyfélnek:
- biztosítania kell a szükséges tájékoztatást, és érvényes jogalapot kell teremtenie;
- arányosan kell beállítania a hozzáférést, a megőrzést és a szerepköröket;
- kerülnie kell a szükségtelen különleges kategóriájú, büntetőjogi jellegű, fizetésikártya-, hitelesítő, egészségügyi vagy valós ügyfelek titkait tartalmazó adatokat;
- kezelnie kell a munkavállalók/munkatársak bevonásával, a megfigyelési szabályokkal, a szakszervezeti vagy üzemi tanácsi kötelezettségekkel és az emberi felügyelettel kapcsolatos teendőket;
- válaszolnia kell az érintetteknek, és el kell végeznie a szükséges adatvédelmi hatásvizsgálatot; és
- gondoskodnia kell arról, hogy utasításai ne használják a DIRI AI-t tiltott vagy nagy kockázatú célokra.
5. Alfeldolgozók
Az Ügyfél általános felhatalmazást ad a hatályos Alfeldolgozók listáján szereplő alfeldolgozókra. A DIRI AI minden alfeldolgozót olyan adatvédelmi kötelezettségekhez köt, amelyek lényegükben nem kevésbé védelmezőek, mint e DPA vonatkozó kötelezettségei, és a jogszabályban előírt mértékben felel az alfeldolgozó teljesítéséért.
A DIRI AI-nak legalább 30 napos előzetes értesítést kell adnia az olyan új alfeldolgozóról, amely az Ügyfél személyes adatait fogja kezelni. Az Ügyfél ezen időszak alatt észszerű adatvédelmi okokra hivatkozva kifogást emelhet. A felek észszerű biztosítékot vagy alternatívát keresnek. Ha ilyen észszerűen nem áll rendelkezésre, bármelyik fél szankció nélkül megszüntetheti az érintett funkciót vagy szolgáltatást a ki nem használt, előre kifizetett érintett időszak tekintetében.
A biztonság, a jog vagy a szolgáltatás folytonossága érdekében szükséges sürgős csere korábban is végrehajtható, az értesítés pedig a lehető leghamarabb, észszerű időn belül történik. A DIRI AI ezeket az értesítéseket nyilvántartja, és tartós üzleti kapcsolattartási csatornán küldi el.
6. Nemzetközi adattovábbítások
A DIRI AI nem hajt végre korlátozott adattovábbítást jogszerű mechanizmus nélkül. Az adattovábbítástól függően ez lehet megfelelőségi határozat, az Európai Bizottság alkalmazandó általános szerződési feltételei (Standard Contractual Clauses), az Egyesült Királyságra vonatkozó kiegészítés (UK Addendum) vagy más érvényes biztosíték. A DIRI AI elvégzi és dokumentálja az adattovábbítási értékelést és az észszerű kiegészítő intézkedéseket, ahol ezek szükségesek.
Az Ügyfél észszerű kérésére a DIRI AI a titoktartás, valamint a biztonsági kitakarások fenntartásával rendelkezésre bocsátja a vonatkozó biztosítékokra vonatkozó információkat. Az Alfeldolgozók listája megnevezi a szolgáltatókat és a célokat; a DIRI AI szolgáltatói és adattovábbítási nyilvántartása (Vendor and Transfer Register) rögzíti az alkalmazandó helyeket és adattovábbítási mechanizmusokat. A szolgáltató székhelye vagy a kiválasztott régió önmagában nem bizonyítja, hogy adattovábbítás nem történik.
7. Érintetti kérelmek és segítségnyújtás
Ha a DIRI AI az Ügyfél személyes adataira vonatkozó kérelmet kap, érdemben nem válaszol rá, kivéve az Ügyfél utasítására vagy jogszabályi kötelezettség esetén. A kérelmet haladéktalanul továbbítja, ha az Ügyfél azonosítható, és rendelkezésre bocsátja az elérhető önkiszolgáló exportálási, helyesbítési és törlési funkciókat.
A standard észszerű segítségnyújtás az árban foglaltatik. Az aránytalan, ismétlődő vagy egyedi segítségnyújtásért – ahol a jog ezt megengedi – az üzleti ügyfelektől megállapodás szerinti észszerű díj számítható fel, de a DIRI AI nem számít fel díjat a saját szerződésszegése által okozott munkáért.
8. Biztonsági incidensek és adatvédelmi incidensek
Biztonsági incidens az Ügyfél személyes adatainak megerősített véletlen vagy jogellenes megsemmisülése, elvesztése, megváltozása, jogosulatlan közlése, illetve az azokhoz való jogosulatlan hozzáférés. Nem tartoznak ide a sikertelen kísérletek, amelyek nem veszélyeztetik az Ügyfél személyes adatait, például a blokkolt vizsgálatok vagy a sikertelen bejelentkezések.
A DIRI AI a Biztonsági incidensről való tudomásszerzést követően indokolatlan késedelem nélkül értesíti az Ügyfelet. Az operatív cél a kezdeti értesítés 48 órán belül, ha ez észszerűen lehetséges, de a jogi mérce az indokolatlan késedelem nélküli értesítés. Az értesítés tartalmazza a rendelkezésre álló információkat a következőkről:
- a jelleg, az időpont, az érintett rendszerek és érintettek;
- a valószínű következmények;
- a megfékezés, a mérséklés és a helyreállítás;
- a kapcsolattartó; és
- az Ügyfél értesítési kötelezettségeinek teljesítéséhez észszerűen szükséges információk.
Az információk szakaszosan is közölhetők. A DIRI AI megőrzi a vonatkozó bizonyítékokat, együttműködik az Ügyféllel, és megfelelő tájékoztatást ad a fejleményekről. Az értesítés nem jelent a felelősség vagy a mulasztás beismerését. Az Ügyfél dönti el, hogy értesítenie kell-e a hatóságot vagy az érintett személyeket, kivéve, ha a DIRI AI-t önálló jogi kötelezettség terheli.
A 48 órás időtartam operatív cél, nem garantált határidő, és nem késlelteti a jogszabály vagy e DPA által előírt korábbi értesítést.
9. Visszaadás és törlés
Az előfizetés alatt és a dokumentált exportálási időszakban az Ügyfél az elérhető Ügyféltartalmat általánosan használt, géppel olvasható formátumban exportálhatja. A megszűnéskor vagy írásbeli kérésre a DIRI AI az Ügyfél választása szerint törli vagy visszaadja az Ügyfél személyes adatait, kivéve, ha jogszabály megőrzést ír elő.
Az éles rendszerekből való törlést az alkalmazandó lezárási/exportálási időszakot követő 30 napon belül be kell fejezni. Az elkülönített, titkosított biztonsági másolatok az ellenőrzött szolgáltatói lejárati ciklus végéig fennmaradhatnak; ezek védettek maradnak, rendes használatra nem állítják vissza őket, és katasztrófa utáni helyreállítási visszaállítás esetén ismét törlésre kerülnek. A számlázási, biztonsági, csalásmegelőzési, jogi igényekkel kapcsolatos és jogi zárolási nyilvántartásokat kizárólag a DIRI AI adatkezelői céljai és az Adatmegőrzési szabályzat alapján őrzik meg.
A DIRI AI életciklus-kontrollokat tart fenn az alkalmazandó exportálási időszakra, a törlési feladatokra és a szolgáltatói biztonsági másolatok lejárati ciklusára vonatkozóan, és lényeges életciklus- vagy szolgáltatóváltozást követően felülvizsgálja azokat.
10. Audit és bizonyítékok
Észszerű írásbeli kérésre, évente legfeljebb egy alkalommal a DIRI AI rendelkezésre bocsátja a megfelelés igazolásához szükséges információkat, például e DPA-t, az alfeldolgozókra vonatkozó információkat, a biztonsági dokumentációt és az elérhető független jelentéseket. További kérések megengedettek lényeges Biztonsági incidens vagy hatósági követelmény esetén.
Ha ezek az információk nem elegendők, az Ügyfél arányos, távoli auditot kérhet független, megfelelően képzett, titoktartásra kötelezett auditortól. A helyszíni audit végső eszköz, amelyre a szokásos munkaidőben kerül sor, más ügyfelek adataihoz való hozzáférés és a biztonság veszélyeztetése nélkül. Az észszerű auditköltségeket az Ügyfél viseli, kivéve, ha az audit a DIRI AI lényeges szerződésszegését tárja fel. Egyetlen szolgáltatói tanúsítványt sem tüntetünk fel a DIRI AI tanúsítványaként.
11. Felelősség és elsőbbség
Az e DPA szerinti felelősségre a szolgáltatási szerződés rendelkezései irányadók, kivéve, ha az Alkalmazandó adatvédelmi jog nem engedi a korlátozást. Ha e DPA az Ügyfél személyes adatainak kezelése tekintetében ellentétes a szolgáltatási szerződéssel, e DPA az irányadó. A kötelező jogszabályok és az alkalmazandó, aláírt általános szerződési feltételek (Standard Contractual Clauses) mindkettőnél előrébb valók.
12. Kapcsolattartás és megkötés
Adatvédelmi kapcsolattartó: privacy@diriai.com. Ez a DPA csak akkor válik a szerződés részévé, ha a pontos 1.2.0 verziót a megrendelés előtt elérhetővé teszik, és érvényes szolgáltatási szerződésbe vagy aláírt megrendelésbe foglalják.
Verzió: 1.2.0. Dátum: 2026. augusztus 30.
1. melléklet – Az adatkezelés részletei
| Tétel | Leírás |
|---|---|
| Tárgy | MI-támogatott hang- és szöveges beszélgetési tréning, jelentéskészítés, csapatadminisztráció, támogatás, biztonság, export és törlés szolgáltatás üzemeltetése |
| Időtartam | Az előfizetési időszak, valamint a dokumentált exportálási/törlési időszak és a jogszerű kivételek |
| Jelleg | Gyűjtés, bekapcsolt esetben rögzítés, strukturálás, tárolás, lekérdezés, továbbítás jóváhagyott szolgáltatóknak, elemzés, generálás, pontozás, támogatás, korlátozás, export és törlés |
| Célok | Az ügyfél által kért szimulációk és jelentések biztosítása; a munkaterület és a korlátok adminisztrálása; a szolgáltatás védelme, támogatása és karbantartása |
| Érintettek | Az Ügyfél felhasználói, adminisztrátorai, tréningben résztvevői, a tartalomban szereplő munkavállalók/megbízottak, valamint más személyek, akiknek adatait az Ügyfél jogszerűen megadja |
| Adattípusok | Nevek, munkahelyi elérhetőségi és fiókadatok, szerepkörök, azonosítók, forgatókönyvek, szöveges/hangbemenet, opcionális hanganyag, átiratok, jegyzetek, jelentések, pontszámok, használati, eszköz-/hálózati és auditadatok, támogatási üzenetek |
| Különleges adatok | Standard csomagokban nem tervezettek és nem engedélyezettek. Az Ügyfél nem adhatja meg őket, kivéve, ha külön írásbeli utasításban a 9. és 10. cikk szerinti jogalapot, értékelést és biztosítékokat megállapodtak |
| Gyakoriság | Igény szerint, valamint folyamatosan a fiók-, biztonsági és szolgáltatásadminisztrációhoz |
| Visszaadás/törlés | Önkiszolgáló/kért export, majd törlés a 9. szakasz és az Adatmegőrzési szabályzat szerint |
2. melléklet – Műszaki és szervezési intézkedések
Ezek minimális szerződéses tervezési követelmények, nem tanúsítvány:
- Hozzáférés-szabályozás: egyedi fiókok, szerepköralapú és bérlőhöz kötött jogosultságkezelés, a legkisebb jogosultság elve, az adminisztrátor által szabályozott tagság és a privilegizált hozzáférések felülvizsgálata.
- Hitelesítés és munkamenetek: védett munkamenet-sütik, biztonságos adatátvitel, forgalomkorlátozás, a hitelesítő adatok és titkok elkülönítése, valamint többtényezős hitelesítés, ahol az elérhető.
- Bérlők elválasztása: bérlőazonosítók és kiszolgálóoldali jogosultságkezelés az Ügyféltartalom és az adminisztratív műveletek esetén; tesztek a bérlők közötti hozzáférésre.
- Titkosítás: TLS a támogatott továbbított adatokhoz, és szolgáltató által kezelt titkosítás nyugalmi állapotban, ahol ez ellenőrzött; a kulcsok és titkok kizárva a forráskódból és a naplókból.
- Adatminimalizálás: alapértelmezetten kikapcsolt rögzítés, ellenőrzött telemetria, korlátozott éles hibakeresés, teljes kártyaadatok tiltása, a tartalom kiszűrése a naplókból, valamint konfigurálható/rövid megőrzés.
- Naplózás és megfigyelés: auditálható biztonsági/adminisztrátori események, megtisztított hibafigyelés, riasztás és védett bizonyítékok hozzáférési és megőrzési korlátokkal.
- Rendelkezésre állás és helyreállítás: szolgáltatásállapot-figyelés, üzenetsorok és újrapróbálkozások, ahol helyénvaló, szolgáltatói biztonsági másolatok, helyreállítási eljárások és időszakos helyreállítási felülvizsgálat; a standard csomagok nem tartalmaznak szerződéses helyreállítási célkitűzést, kivéve, ha kifejezetten megállapodtak benne.
- Biztonságos fejlesztés: változtatások felülvizsgálata, automatizált tesztek, függőségi és titokellenőrzések, a környezetek elkülönítése és ellenőrzött éles módosítások.
- Incidenskezelés: dokumentált besorolási, megfékezési, bizonyítékrögzítési, értesítési és tanulságlevonási folyamat, kijelölt kapcsolattartó felelőssel.
- Szállítókezelés: DPA-/biztonsági felülvizsgálat, régió- és adattovábbítási értékelés, a legkevesebb adatot használó konfiguráció, valamint a kivezetés/törlés felülvizsgálata.
- Törlés és folytonosság: életciklus-feladatok a tartalom, az exportok, a naplók és a szolgáltatói objektumok esetén; a biztonsági másolatok lejárata és a jogi zárolások külön dokumentálva.
- Személyzet és irányítás: titoktartás, a „tudnia kell” elvén alapuló hozzáférés, időszakos hozzáférés-felülvizsgálat, adatvédelmi/biztonsági képzés és az adatkezelési tevékenységek nyilvántartása.
3. melléklet – Jóváhagyott alfeldolgozók
A https://diriai.com/en/legal/subprocessors címen közzétett hatályos lista hivatkozás útján a szerződés részét képezi. Egy szolgáltató e melléklet alapján kizárólag arra a felsorolt funkcióra jogosult, amelyet a DIRI AI ténylegesen igénybe vesz az alkalmazandó szolgáltatói szerződés alapján.