Adatfeldolgozói megállapodás

Az Általános Szerződési Feltételek II. melléklete – Hatályos: 2026. szeptember 29. napjától​

Jelen adatfeldolgozói megállapodás (a továbbiakban: „Megállapodás”) az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: „GDPR”) 28. cikk (3) bekezdése szerinti szerződés, amely a Kvikk.hu Kft. Általános Szerződési Feltételeinek (a továbbiakban: „ÁSZF”) elválaszthatatlan részét képezi.

A Megállapodás az ÁSZF elfogadásával, annak részeként jön létre a felek között. A Megállapodásban nem szabályozott kérdésekben az ÁSZF, a GDPR és a hatályos magyar jogszabályok rendelkezései irányadók. Ellentmondás esetén a személyes adatok kezelésével kapcsolatos kérdésekben jelen Megállapodás rendelkezései az irányadók.

1. A felek​

Adatkezelő: a Platformon regisztrált Megrendelő (webáruház), amely a Platformon keresztül csomagot ad fel, illetve visszaküldést kezel (a továbbiakban: „Megrendelő” vagy „Adatkezelő”).

Adatfeldolgozó:

• Név: Kvikk.hu Kft. (a továbbiakban: „Platform Üzemeltető” vagy „Adatfeldolgozó”)
• Székhely: 3264 Kisnána, Béke u. 43.
• Cégjegyzékszám: 10-09-039300
• Adószám: 27768592-2-10
• Adatvédelmi kapcsolattartó: Füleki Alex Levente, [email protected]

A Megállapodásban használt, külön nem definiált fogalmak az ÁSZF I. mellékletében, illetve a GDPR 4. cikkében meghatározott jelentéssel bírnak.

2. Az adatfeldolgozás tárgya, jellege és célja​

2.1. A Megrendelő a saját vásárlóinak (Címzettjeinek) személyes adatait a vásárlói megrendelések teljesítése céljából kezeli. A Platform Üzemeltető ezeket az adatokat kizárólag a Megrendelő megbízásából, a Megrendelő nevében, a Platform szolgáltatásainak nyújtása érdekében kezeli.

2.2. Az adatfeldolgozás a következő tevékenységekre terjed ki:

• a Megrendelő által a Platformon, API-n vagy webáruház-integráción keresztül megadott szállítási adatok fogadása és tárolása;
• a csomagadatok továbbítása a Megrendelő által kiválasztott Partner (futárszolgálat) részére a csomag feladása érdekében;
• csomagcímkék, szállítólevelek és feladójegyzékek előállítása és tárolása;
• a csomag nyomon követése, a nyomkövetési adatok megjelenítése a Megrendelő és a Címzett számára;
• utánvétek elszámolása, a Partnerek által küldött utánvét- és számlajelentések egyeztetése;
• visszaküldések kezelése a Megrendelő visszaküldési portálján keresztül, ideértve a visszaküldő vásárló értesítését e-mailben;
• a csomagokkal kapcsolatos reklamációk és kártérítési igények ügyintézése a Partnerek felé;
• ügyfélszolgálati megkeresések kezelése a Megrendelő és a Partnerek irányában.

2.3. A Platform Üzemeltető a személyes adatokat a fenti céloktól eltérő célra – különösen saját marketing célra vagy harmadik fél részére történő értékesítés céljából – nem használja.

3. Az érintettek köre és a személyes adatok típusai​

3.1. Érintettek: a Megrendelő vásárlói, a csomagok Címzettjei, a visszaküldést kezdeményező vásárlók, valamint a Megrendelő által megadott kapcsolattartók.

3.2. Személyes adatok:

• Címzett neve, cégneve;
• szállítási cím, illetve a kiválasztott csomagpont vagy csomagautomata;
• telefonszám;
• e-mail cím;
• rendelésszám, a csomaghoz fűzött megjegyzés, a csomag értéke és az utánvét összege;
• a csomag nyomkövetési adatai (kézbesítési események, átvétel időpontja);
• visszaküldés esetén: a visszaküldés oka, a vásárló megjegyzése, csatolt fényképek, valamint a vásárló által a visszatérítéshez megadott bankszámlaszám;
• reklamáció esetén: a csomag tartalmára és kárára vonatkozó adatok, fényképek és levelezés.

3.3. A Platform Üzemeltető különleges kategóriájú személyes adatot (GDPR 9. cikk) nem kezel. A Megrendelő vállalja, hogy ilyen adatot a megjegyzés vagy egyéb szabad szöveges mezőkben nem ad meg.

4. Az adatfeldolgozás időtartama​

4.1. A Megállapodás az ÁSZF szerinti jogviszony fennállásáig hatályos.

4.2. A Platform Üzemeltető az egyes csomagokhoz tartozó személyes adatokat a Megrendelő fiókjának fennállása alatt tárolja, hogy azok a Megrendelő számára a Platformon visszakereshetők legyenek.

4.3. A jogviszony megszűnését követően a Platform Üzemeltető a Megrendelő írásbeli kérésére, a kérés beérkezésétől számított 30 napon belül a személyes adatokat törli, vagy a Megrendelő választása szerint géppel olvasható formátumban (CSV) a Megrendelő rendelkezésére bocsátja, majd törli. Nem törölhetők azok az adatok, amelyek megőrzését jogszabály írja elő – így különösen a számviteli bizonylatok alátámasztásához szükséges adatok a számvitelről szóló 2000. évi C. törvény 169. §-a szerinti 8 éves megőrzési időn belül –, ezeket a Platform Üzemeltető kizárólag a jogi kötelezettség teljesítéséhez szükséges mértékben őrzi meg.

5. A Megrendelő (Adatkezelő) jogai és kötelezettségei​

5.1. A Megrendelő felel azért, hogy a személyes adatok kezelésére megfelelő jogalappal rendelkezik, és a Címzetteket a GDPR 13–14. cikke szerint tájékoztatta arról, hogy adataikat a szállítás céljából futárszolgálatnak és a Platform Üzemeltetőnek továbbítja.

5.2. A Megrendelő a Platform rendeltetésszerű használatával – így különösen csomag feladásával, visszaküldés vagy reklamáció kezdeményezésével, valamint az API vagy az integrációk használatával – ad utasítást a Platform Üzemeltető részére az adatok kezelésére. Egyéb utasításait írásban, e-mailben ([email protected]) adhatja meg.

5.3. A Megrendelő felel a Platformon általa megadott adatok pontosságáért, valamint a megrendelői fiókjához tartozó hozzáférési adatok (jelszó, API-kulcs) biztonságos kezeléséért.

6. A Platform Üzemeltető (Adatfeldolgozó) kötelezettségei​

6.1. A Platform Üzemeltető a személyes adatokat kizárólag a Megrendelő dokumentált utasításai alapján kezeli, ideértve a harmadik országba történő adattovábbítást is, kivéve, ha az adatkezelést uniós vagy tagállami jog írja elő; ilyen esetben erről a Megrendelőt az adatkezelést megelőzően értesíti, kivéve, ha ezt a jogszabály tiltja. Ha a Platform Üzemeltető megítélése szerint valamely utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezést, erről a Megrendelőt haladéktalanul tájékoztatja.

6.2. A Platform Üzemeltető biztosítja, hogy a személyes adatokhoz kizárólag azok a munkavállalói és megbízottjai férjenek hozzá, akiknek ez feladatuk ellátásához szükséges, és akik titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak.

6.3. A Platform Üzemeltető megteszi a GDPR 32. cikke szerinti, a 9. pontban részletezett technikai és szervezési intézkedéseket.

6.4. A Platform Üzemeltető a 7. pontban foglalt feltételeket betartva vesz igénybe további adatfeldolgozót.

6.5. A Platform Üzemeltető az adatkezelés jellegének figyelembevételével, a lehetőségekhez mérten segíti a Megrendelőt az érintetti jogok (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) gyakorlására irányuló kérelmek teljesítésében. Ha érintetti kérelem közvetlenül a Platform Üzemeltetőhöz érkezik, azt 5 munkanapon belül továbbítja a Megrendelőnek, és a kérelmet a Megrendelő utasítása nélkül nem teljesíti, kivéve, ha erre jogszabály kötelezi.

6.6. A Platform Üzemeltető segíti a Megrendelőt a GDPR 32–36. cikkében foglalt kötelezettségek (adatbiztonság, adatvédelmi incidensek bejelentése, adatvédelmi hatásvizsgálat, előzetes konzultáció) teljesítésében, a rendelkezésére álló információk alapján.

6.7. A Platform Üzemeltető a Megrendelő rendelkezésére bocsát minden olyan információt, amely a jelen Megállapodásban és a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges, és lehetővé teszi a 11. pont szerinti ellenőrzést.

7. További adatfeldolgozók​

7.1. A Megrendelő jelen Megállapodás elfogadásával általános felhatalmazást ad a Platform Üzemeltetőnek további adatfeldolgozók igénybevételére. A Megállapodás hatálybalépésekor igénybe vett további adatfeldolgozók listáját az 1. függelék tartalmazza.

7.2. A Platform Üzemeltető a további adatfeldolgozók körének tervezett bővítéséről vagy cseréjéről a változást legalább 15 nappal megelőzően e-mailben értesíti a Megrendelőt, és a frissített listát közzéteszi a Platformon. A Megrendelő a változással szemben az értesítéstől számított 15 napon belül, indokolással ellátva kifogást emelhet. Ha a felek a kifogást nem tudják rendezni, a Megrendelő jogosult az ÁSZF szerinti jogviszonyt azonnali hatállyal felmondani.

7.3. A Platform Üzemeltető a további adatfeldolgozóval írásban köt szerződést, amely legalább a jelen Megállapodásban foglaltakkal azonos adatvédelmi kötelezettségeket ír elő. A további adatfeldolgozó kötelezettségszegéséért a Platform Üzemeltető a Megrendelővel szemben teljes felelősséggel tartozik.

8. A futárszolgálatok (Partnerek) szerepe​

8.1. A Platform Üzemeltető a csomagadatokat a Megrendelő által kiválasztott Partner részére a Megrendelő utasítására, a csomag kézbesítése céljából továbbítja. A Partnerek a csomagszállítási szolgáltatás nyújtása során – a postai szolgáltatásokról szóló 2012. évi CLIX. törvény és saját általános szerződési feltételeik alapján – önálló adatkezelőként járnak el, nem a Platform Üzemeltető további adatfeldolgozói. Az általuk végzett adatkezelésre saját adatkezelési tájékoztatójuk irányadó, amelyek elérhetőségét a Platform Üzemeltető Adatvédelmi nyilatkozata tartalmazza.

8.2. A Megrendelő tudomásul veszi, hogy a Partner kiválasztása a Megrendelő döntése, és a Címzetteket a Partner részére történő adattovábbításról az 5.1. pont szerint tájékoztatja.

9. Adatbiztonsági intézkedések​

A Platform Üzemeltető az alábbi technikai és szervezési intézkedéseket alkalmazza:

• a Platform, az API és a kapcsolódó szolgáltatások kizárólag titkosított (HTTPS/TLS) kapcsolaton érhetők el;
• a megrendelői fiókokhoz való hozzáférés felhasználónévvel és jelszóval, külső hitelesítési szolgáltatón keresztül történik; az API-hozzáférés egyedi, a Megrendelő által visszavonható API-kulccsal lehetséges;
• a Platform Üzemeltető munkatársai szerepkör alapú jogosultsággal, kizárólag a feladatukhoz szükséges mértékben férnek hozzá az adatokhoz;
• a Megrendelők adatai logikailag elkülönítve, kizárólag az adott Megrendelő fiókjához rendelve érhetők el;
• a generált dokumentumok (címkék, szállítólevelek, elszámolások) nem nyilvános tárhelyen tárolódnak, letöltésük aláírt, egy óra elteltével lejáró hivatkozással történik;
• a Megrendelő által beállított kimenő webhookokat a Platform Üzemeltető a webhookhoz tartozó egyedi titkos kulccsal (HMAC-SHA256) aláírja;
• az adatbázis felhőszolgáltatónál, titkosított tárolással és rendszeres biztonsági mentéssel üzemel;
• a rendszer működéséről és a lényeges műveletekről napló készül.

A Platform Üzemeltető az intézkedéseket a technika állásának megfelelően rendszeresen felülvizsgálja és szükség esetén fejleszti.

10. Adatvédelmi incidens​

10.1. A Platform Üzemeltető a tudomására jutott adatvédelmi incidensről a Megrendelőt indokolatlan késedelem nélkül, de legkésőbb az incidensről való tudomásszerzéstől számított 48 órán belül e-mailben értesíti.

10.2. Az értesítés – a rendelkezésre álló mértékben – tartalmazza az incidens jellegét, az érintettek és az adatok hozzávetőleges körét és számát, a valószínűsíthető következményeket, valamint a megtett vagy tervezett intézkedéseket. A Platform Üzemeltető a később rendelkezésre álló információkat késedelem nélkül pótolja.

10.3. Az incidens felügyeleti hatóság (Nemzeti Adatvédelmi és Információszabadság Hatóság) felé történő bejelentése és az érintettek tájékoztatása – amennyiben az incidens a Megrendelő adatait érinti – a Megrendelő kötelezettsége, amelyben a Platform Üzemeltető együttműködik.

11. Ellenőrzés​

11.1. A Megrendelő jogosult ellenőrizni a Megállapodásban foglalt kötelezettségek teljesítését. Az ellenőrzés elsősorban írásbeli tájékoztatáskérés útján történik, amelyre a Platform Üzemeltető 15 napon belül válaszol.

11.2. Helyszíni ellenőrzésre – ideértve a Megrendelő által megbízott, titoktartásra kötelezett független auditort is – legalább 30 nappal korábban egyeztetett időpontban, munkaidőben, évente legfeljebb egy alkalommal kerülhet sor, kivéve adatvédelmi incidens vagy hatósági eljárás esetén. Az ellenőrzés költségei a Megrendelőt terhelik.

12. Harmadik országba történő adattovábbítás​

12.1. Egyes további adatfeldolgozók az Európai Gazdasági Térségen kívüli székhellyel rendelkeznek, vagy ott is kezelhetnek adatokat (lásd 1. függelék). A Platform Üzemeltető ilyen adattovábbításra kizárólag a GDPR V. fejezetében foglalt garanciák mellett kerít sort, így különösen az Európai Bizottság megfelelőségi határozata (ideértve az EU–USA adatvédelmi keretrendszert), vagy az Európai Bizottság által elfogadott általános adatvédelmi kikötések alapján.

13. Felelősség​

13.1. A felek a GDPR 82. cikke szerint felelnek az adatkezeléssel okozott károkért. A Platform Üzemeltető kizárólag akkor felel, ha a GDPR-ban kifejezetten az adatfeldolgozókat terhelő kötelezettségeket nem teljesítette, vagy a Megrendelő jogszerű utasításait figyelmen kívül hagyta, illetve azokkal ellentétesen járt el.

14. Záró rendelkezések​

14.1. A Megállapodás módosítására az ÁSZF módosítására vonatkozó szabályok irányadók.

14.2. A Megrendelő kérésére a Platform Üzemeltető a jelen Megállapodás aláírt példányát is a Megrendelő rendelkezésére bocsátja. Az aláírt példány tartalma a Platformon közzétett szöveggel megegyezik.

1. függelék – További adatfeldolgozók​

Az 1. függelék változásairól a Platform Üzemeltető a 7.2. pont szerint értesíti a Megrendelőt.