Mailerprotect logoMailerprotect

Legal

Privacy & Cookie Policy

This page explains what cookies Mailerprotect uses, why we use them, and how you can control your preferences.

ADATFELDOLGOZÁSI SZERZŐDÉS (DPA) a Mailerprotect.net szolgáltatás igénybevételéhez

Jelen Adatfeldolgozási Szerződés (a továbbiakban: DPA) az Általános Szerződési Feltételek (ÁSZF) elválaszthatatlan mellékletét képezi, és az Európai Parlament és a Tanács (EU) 2016/679 rendelete (Általános Adatvédelmi Rendelet, GDPR) 28. cikk (3) bekezdésében foglalt kötelező tartalmi elemeket szabályozza.

  1. Felek

Adatkezelő: az ügyfél, aki az ÁSZF alapján a Mailerprotect.net szolgáltatást igénybe veszi, és akinek a nevében/megbízásából a szolgáltató a levelezési adatokat kezeli.

Adatfeldolgozó: TM Infotech Kft. (9325 Sopronnémeti, Hunyadi utca 3/A, Cégjegyzékszám: 08 09 034842, Adószám: 32053461-2-08, EU adószám: HU32053461).

  1. Az adatkezelés tárgya és célja

Tárgy: Az ügyfél tartományára érkező (inbound), illetve az ügyfél szerverei által küldött (outbound) e-mail forgalom automatizált biztonsági szűrése.

Cél: Spam, adathalász (phishing) kísérletek, vírusok és egyéb káros tartalmak kiszűrése, valamint a kimenő IP-reputáció védelme. Az adatfeldolgozó a fentieken túl más célra az adatokat nem kezeli.

Kimenő anomália-detektálás jogalapja: A kompromittálódott fiókokból induló spam-/scam-kampányok felismerésére szolgáló, cégszintű kontextuális anomália-detektálás (a továbbiakban: anomália-detektálási modul) jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek - mind az adatfeldolgozó, mind az adatkezelő tekintetében -, amelynek célja a hálózat- és információbiztonság, valamint a csalás és visszaelés megelőzése (vö. GDPR (47) és (49) preámbulumbekezdés). Az adatkezelő felelőssége az érdekmérlegelési teszt (LIA) szükség szerinti elvégzése, valamint a saját munkavállalói felé nyújtott GDPR tájékoztatás kiegészítése ezzel a funkcióval.

Az adatkezelés jellege: Automatizált, valós idejű tartalom- és metaadat-elemzés (SPF-ellenőrzés, blacklist/whitelist egyeztetés, SpamAssassin heurisztika, Mailerprotect.net SmartFilter LLM+RAG alapú szemantikai elemzés).

  1. Az érintettek kategóriái és az adatok típusa

Érintettek: Az ügyfél alkalmazottai, ügyfelei és üzleti partnerei, akik az ügyfél e-mail rendszerén keresztül levelet küldenek vagy fogadnak.

Kezelt adatok köre: E-mail fejléc-adatok (feladó, címzett, tárgy, időbélyeg, küldő IP-cím), e-mail törzs és csatolmányok tartalma, valamint az ezekből képzett szűrési metaadatok (pl. spam-pontszám, blokkolás oka).

Anomália-detektálási profiladatok: Az anomália-detektálási modul kizárólag az ügyfél cégszintű, aggregált kommunikációs mintázatára (pl. jellemző címzetti kör, tárgyszavak, küldési gyakoriság) vonatkozó, statisztikai jellegű profilt képez; egyes munkavállalókra vonatkozó egyéni viselkedési profilt nem állít elő. A nyers levéltörzsek e célból sem kerülnek tartós tárolásra.

  1. Az adatfeldolgozó kötelezettségei (GDPR 28. cikk)

Az adatfeldolgozó:

  • kizárólag az adatkezelő írásbeli utasítása alapján, dokumentáltan kezeli az adatokat, ide nem értve, ha az adatkezelést uniós vagy tagállami jog írja elő;
  • biztosítja, hogy az adatkezelésre feljogosított munkavállalói titoktartási kötelezettséget vállaljanak;
  • a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket alkalmaz (lásd 7. pont);
  • a jelen DPA-ban rögzített feltételek szerint veheti igénybe további alfeldolgozó bevonását (lásd 5. pont);
  • a rendelkezésére álló eszközökkel segíti az adatkezelőt az érintetti jogok (GDPR III. fejezet) gyakorlásával kapcsolatos kérelmek teljesítésében;
  • segíti az adatkezelőt a GDPR 32-36. cikke szerinti kötelezettségek (adatbiztonság, incidensbejelentés, adatvédelmi hatásvizsgálat) teljesítésében;
  • a szolgáltatás megszűnésekor a 8. pont szerint jár el az adatokkal;
  • az adatkezelő rendelkezésére bocsát minden, a jelen DPA-ban foglalt kötelezettségek igazolásához szükséges információt, és lehetővé teszi az adatkezelő által vagy megbízásából végzett ellenőrzéseket (auditokat).
  1. Alfeldolgozók

Általános felhatalmazás: Az adatkezelő általános felhatalmazást ad az adatfeldolgozó számára további alfeldolgozó igénybevételére, az alábbi feltételekkel.

Jelenlegi alfeldolgozó: A szolgáltatás technikai hátterét kizárólag az adatfeldolgozó saját üzemeltetésű rendszerei biztosítják, amelyek egy EU-s (németországi) székhelyű szolgáltatótól, az IONOS-tól bérelt virtuális szerveren (VPS) futnak. Ezen a VPS-en kívül az adatfeldolgozó más külső alfeldolgozót nem vesz igénybe: a szűrési logika (SPF, blacklist/whitelist, SpamAssassin, Mailerprotect.net SmartFilter LLM+RAG modul) teljes egészében saját (self-hosted) infrastruktúrán, cégen belül fut, külső AI-szolgáltató (pl. OpenAI, Azure OpenAI, Anthropic) bevonása nélkül.

Adatlokáció: A feldolgozás és tárolás kizárólag az Európai Unió területén (Németország) történik; harmadik országba történő adattovábbítás jelenleg nem valósul meg.

Új alfeldolgozó bevonása: Az adatfeldolgozó köteles az adatkezelőt előzetesen, ésszerű határidővel (legalább 15 nappal) írásban tájékoztatni bármely új alfeldolgozó bevonásáról vagy meglévő alfeldolgozó cseréjéről. Az adatkezelő a tájékoztatástól számított 15 napon belül indokolt kifogást emelhet; ennek hiányában a változást elfogadottnak kell tekinteni.

Felelősség: Az adatfeldolgozó felel azért, hogy az általa igénybe vett alfeldolgozó a jelen DPA-ban foglaltakkal legalább egyenértékű adatvédelmi kötelezettségeket vállaljon, és az alfeldolgozó esetleges mulasztásáért az adatkezelővel szemben teljes felelősséggel tartozik.

  1. Adatmegőrzési idő

A feldolgozott e-mailek tartalma, valamint a szűréshez kapcsolódó naplók (logok) és karantén-adatok a feldolgozást követő 30 napig kerülnek tárolásra, ezt követően az adatfeldolgozó automatikusan és véglegesen törli azokat. Hosszabb megőrzés kizárólag az adatkezelő kifejezett, írásos kérésére, elkülönített jogalap megjelölésével történhet.

  1. Adatbiztonsági intézkedések (GDPR 32. cikk)

Az adatfeldolgozó az adatok jellegére, kockázatára tekintettel az alábbi technikai és szervezési intézkedéseket alkalmazza:

  • titkosított (TLS) adatátvitel a mailflow teljes szakaszán;
  • hozzáférés-szabályozás és naplózás a rendszerekhez való hozzáférésről;
  • a szűrőrendszerek és a mögöttes VPS infrastruktúra rendszeres biztonsági frissítése;
  • a 6. pont szerinti automatikus adattörlési mechanizmus;
  • a self-hosted architektúrából adódóan az adatok nem kerülnek ki külső AI- vagy egyéb SaaS-szolgáltatóhoz;
  • a levelek tartalmát (törzsét) és csatolmányait a SmartFilter kizárólag a szűrési folyamat lefutásának időtartamára, átmenetileg kezeli; önálló, tartós tartalmi adatbázis vagy archívum nem kerül létrehozásra, a törzsadatok a 6. pont szerinti megőrzési időn túl nem érhetők el;
  • amennyiben a levél tartalma a GDPR 9. cikke szerinti különleges adatkategóriába tartozó információt tartalmaz, ezen adatok kezelése kizárólag a fentiek szerinti átmeneti, automatizált szűrési célból történik, azokat az adatfeldolgozó elkülönítetten nem gyűjti, nem elemzi és profilalkotási célra nem használja;
  • a SmartFilter LLM+RAG modul kizárólag az adatfeldolgozó saját (self-hosted) infrastruktúráján fut; a levelek tartalma külső, harmadik fél által üzemeltetett LLM API-nak nem kerül továbbításra, és a modell(ek) jövőbeli tréningezésére nem kerül felhasználásra;
  • az anomália-detektálási modul által képzett cégszintű profiladatok titkosítva (encrypted) kerülnek tárolásra az adatbázisban, azokhoz sem harmadik fél, sem az ügyfél felhasználói nem férnek hozzá;
  • a mintafelismerés (LLM prompt) szintjén a politikai véleményre, vallási meggyőződésre és egészségi állapotra utaló, a GDPR 9. cikke szerinti különleges adatok kifejezetten ki vannak zárva az elemzésből, ezért ilyen adat az anomália-detektálási profilban nem rögzül.
  1. Adatvédelmi incidens kezelése

Az adatfeldolgozó a tudomására jutott adatvédelmi incidenst indokolatlan késedelem nélkül bejelenti az adatkezelőnek, megjelölve - a rendelkezésre álló információk szerint - az incidens jellegét, az érintett adatok körét, a valószínűsíthető következményeket és a megtett vagy tervezett intézkedéseket. Az adatfeldolgozó együttműködik az adatkezelővel a GDPR 33-34. cikke szerinti hatósági és érintetti bejelentési kötelezettségek teljesítésében.

  1. Az adatok sorsa a szerződés megszűnésekor

A jogviszony (ÁSZF) bármely okból történő megszűnését követően az adatfeldolgozó az adatkezelő adatait - beleértve a 6. pont szerinti megőrzési időn belüli logokat és karantén-adatokat is - haladéktalanul, visszaállíthatatlanul törli, kivéve, ha uniós vagy magyar jogszabály (pl. számviteli, adóügyi) az adatok további megőrzését írja elő. Ez utóbbi esetben az adatfeldolgozó kizárólag a jogszabályi kötelezettség teljesítéséhez szükséges mértékben és ideig kezeli tovább az adatokat.

  1. Felelősség és mentesülés harmadik személyek igényével szemben (GDPR 82. cikk)

Harmadik személy közvetlen igénye: A felek rögzítik, hogy a GDPR 82. cikke sui generis, deliktuális jellegű felelősséget keletkeztet, amely a szerződés relatív hatályára (privity of contract) tekintet nélkül lehetővé teszi, hogy az érintett természetes személy (különösen az adatkezelő munkavállalója vagy üzleti partnere) közvetlenül, önálló jogcímen lépjen fel az adatfeldolgozóval szemben. Erre a jogviszonyra a jelen DPA és az ÁSZF rendelkezései - mint harmadik személyre ki nem terjedő szerződéses kikötések - nem alkalmazhatók.

Az adatfeldolgozó mentesülése: Az adatfeldolgozó kizárólag az adatkezelő dokumentált utasításai alapján kezeli az adatokat, és a GDPR 28., illetve 32. cikke szerinti kötelezettségeit (dokumentált utasítás követése, megfelelő technikai és szervezési intézkedések alkalmazása, lásd 4. és 7. pont) e szerződés szerint teljesíti. Amennyiben az adatfeldolgozót a GDPR 82. cikke alapján harmadik személlyel szemben felelősség terhelné, az adatfeldolgozó a GDPR 82. cikk (3) bekezdése alapján mentesül a felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség - különösen, ha a kár abból ered, hogy az adatkezelő:

  • nem rendelkezett megfelelő jogalappal az adatok (e-mail forgalom) feldolgozásra történő átadásához;
  • elmulasztotta a saját felhasználói/munkavállalói GDPR szerinti tájékoztatását;
  • az adatfeldolgozó dokumentált utasításait megszegő, jogellenes utasítást adott, vagy
  • egyébként megszegte a jelen DPA-ban vagy az ÁSZF-ben foglalt kötelezettségeit.

Belső megtérítés: Amennyiben az adatfeldolgozót a GDPR 82. cikk (4) bekezdése szerinti egyetemleges felelősség alapján a ténylegesen felróható részénél nagyobb mértékű kártérítés megfizetésére kötelezik, az adatfeldolgozó a GDPR 82. cikk (5) bekezdése alapján jogosult a rá eső résznél nagyobb mértékben megfizetett összeget az adatkezelőtől visszkövetelni, a 11. pontban foglalt kártalanítási mechanizmus szerint.

  1. Kártalanítás (Indemnification)

Kártalanítási kötelezettség: Ha harmadik személy (különösen az adatkezelő munkavállalója, megbízottja vagy üzleti partnere) a szolgáltatás működésével vagy a személyes adatok kezelésével összefüggésben - ideértve különösen a GDPR megsértését - kártérítési vagy sérelemdíj-igényt érvényesít, és azt vele szemben bíróság vagy hatóság jogerősen megítéli, illetve azt egyezség keretében megfizeti, az adatkezelő köteles az adatfeldolgozót teljeskörűen és feltétel nélkül kártalanítani, amennyiben a kár vagy jogsértés az adatkezelő mulasztásából ered, különösen (nem kizárólagos felsorolás):

  • a munkavállalói/felhasználói GDPR szerinti tájékoztatás elmulasztása;
  • a biztonságtudatossági képzési kötelezettség (ÁSZF 3. pont) elmulasztása;
  • az adatok feldolgozásra történő átadásához szükséges jogalap hiánya;
  • a jelen DPA-ban vagy az ÁSZF-ben foglalt adatkezelői kötelezettségek megszegése.

A kártalanítás kiterjed különösen:

  • a harmadik személynek megítélt vagy megfizetett kártérítés, illetve sérelemdíj teljes összegére;
  • az adatfeldolgozóval szemben az adatkezelő mulasztásának betudhatóan kiszabott hatósági (pl. NAIH) bírságra;
  • az adatfeldolgozó felmerült, indokolt jogi képviseleti és eljárási költségeire.

Eljárási együttműködés: Az adatfeldolgozó a harmadik személy igényéről, illetve a vele szemben indult hatósági eljárásról indokolatlan késedelem nélkül tájékoztatja az adatkezelőt. Az adatkezelő jogosult - saját költségén - a védekezésbe bekapcsolódni; az adatfeldolgozó az adatkezelővel egyeztetve jár el az igény elismerése, egyezségkötés vagy elutasítása kérdésében.

Kizárás: A kártalanítási kötelezettség nem terjed ki arra a részre, amely kizárólag az adatfeldolgozó saját, a jelen DPA 4. és 7. pontja szerinti kötelezettségeinek (GDPR 28., illetve 32. cikk) megszegéséből ered.

  1. Automatizált döntéshozatal és emberi felülvizsgálat (GDPR 22. cikk)

A szolgáltatás keretében nyújtott automatizált szűrés (SPF-ellenőrzés, blacklist/whitelist, SpamAssassin heurisztika, SmartFilter LLM+RAG elemzés) a GDPR 22. cikke szerinti, kizárólag automatizált döntéshozatalnak minősülhet, amennyiben egy adott levél blokkolása/karanténba helyezése az érintettre nézve joghatással jár vagy őt hasonlóképpen jelentős mértékben érinti.

Emberi felülvizsgálat biztosítása: Az adatfeldolgozó e kockázat kezelése érdekében dedikált support e-mail csatornát tart fenn. Az érintett, illetve az adatkezelő ezen a csatornán keresztül bármikor kérheti:

  • a blokkolt vagy karanténba helyezett levél manuális, humán felülvizsgálatát;
  • a szűrési döntés indokolásának megismerését;
  • indokolt esetben a levél feloldását és kézbesítését.

Az adatfeldolgozó a kérelmet emberi közreműködéssel bírálja el, ezzel biztosítva a GDPR 22. cikk (3) bekezdése szerinti, az érintettet megillető álláspont kifejtéséhez és a döntés kifogásolásához való jogot. A humán felülvizsgálati mechanizmus elérhetőségéről az adatkezelő köteles saját felhasználóit/munkavállalóit tájékoztatni.

Kimenő anomália-detektálás és a 22. cikk: A kimenő irányú anomália-detektálási modul észlelése esetén a rendszer nem hoz végleges, önálló joghatással járó döntést: a mailflow-t ideiglenesen felfüggeszti (karanténba helyezi), és a végső döntést - a levelek kiengedéséről vagy törléséről - minden esetben az adatkezelő oldalán eljáró, arra jogosult természetes személy (rendszergazda/adminisztrátor) hozza meg manuálisan. Mivel a döntéshozatal nem kizárólagosan automatizált, e mechanizmusra a GDPR 22. cikk (1) bekezdése nem alkalmazandó; az érdemi emberi közreműködés (meaningful human involvement) az adatkezelő oldalán biztosított, nem pusztán formális jóváhagyás.

  1. Adatvédelmi hatásvizsgálat (DPIA) támogatása (GDPR 35. cikk)

A felek rögzítik, hogy a GDPR 35. cikke szerinti adatvédelmi hatásvizsgálat elvégzésének kötelezettsége kizárólag az adatkezelőt terheli.

Az adatfeldolgozó együttműködési kötelezettsége: Az adatfeldolgozó az adatkezelő írásbeli kérésére ésszerű határidőn belül rendelkezésre bocsátja a szolgáltatás technikai működésének leírását, valamint a 7. pont szerinti technikai és szervezési intézkedések dokumentációját annak érdekében, hogy az adatkezelő a saját DPIA-ját elvégezhesse. Az adatfeldolgozó a DPIA elvégzéséért, tartalmának helyességéért vagy elmaradásáért felelősséget nem vállal.

  1. Közös adatkezelés kizárása és munkavállalói megfigyelés

A felek kifejezetten rögzítik, hogy közöttük a GDPR 26. cikke szerinti közös adatkezelői (joint controller) jogviszony nem áll fenn; az adatfeldolgozó a szolgáltatás nyújtása során kizárólag technikai adatfeldolgozóként, az adatkezelő dokumentált utasításai alapján jár el, az adatkezelés céljait és eszközeit nem az adatfeldolgozó határozza meg.

Az adatkezelő szavatossága: Az adatkezelő szavatolja, hogy a munkavállalói, illetve felhasználói e-mail forgalmának a jelen szolgáltatás keretében történő ellenőrzéséhez/szűréséhez szükséges valamennyi munkajogi (így különösen a munka törvénykönyvéről szóló 2012. évi I. törvény 11/A. §-a szerinti) és adatvédelmi tájékoztatást megadta, és az ehhez szükséges jogalappal rendelkezik.

Mentesítés: Amennyiben harmadik személy (különösen az adatkezelő munkavállalója) az adatkezelő fenti szavatossági kötelezettségének megszegéséből eredően igényt érvényesít az adatfeldolgozóval szemben, arra a 10. és 11. pontban foglalt mentesülési és kártalanítási szabályok az irányadók.

  1. Irányadó jog

Jelen DPA-ra az ÁSZF-ben rögzített jogválasztás és joghatósági kikötés az irányadó.