A KapuSegéd Általános Szerződési Feltételeinek 1. számú melléklete
Hatályos: 2026. november 3. napjától.
A melléklet a Relax Szoftverház Kft. és a KapuSegéd szolgáltatás Felhasználója közötti adatfeldolgozást szabályozza. A melléklet az Általános Szerződési Feltételek (ÁSZF) IX. fejezetében hivatkozott adatfeldolgozói szerződés, és az Adatkezelési tájékoztatóval együtt alkalmazandó.
I. A felek és a melléklet helye
Adatfeldolgozó: Relax Szoftverház Kft.; székhely: 6625 Fábiánsebestyén, Bem u. 1.; cégjegyzékszám: 06-09-022136; adószám: 25349168-2-06; adatvédelmi kapcsolattartás: info@kapuseged.hu. A továbbiakban: Szolgáltató.
A Felhasználó adatait a megrendelés vagy az előfizetői szerződés tartalmazza. Ha a Felhasználó maga határozza meg az adatkezelés célját és lényeges eszközeit, adatkezelőként bízza meg a Szolgáltatót. Ha a Felhasználó saját ügyfele nevében adatfeldolgozó, a Szolgáltató további adatfeldolgozóként jár el; a Felhasználó köteles rendelkezni az ehhez szükséges adatkezelői felhatalmazással.
A melléklet a felek között az ÁSZF és az előfizetői szerződés szerinti elfogadással válik kötelezővé. A Szolgáltatási Tartalom adatvédelmi kezelésére vonatkozó eltérés esetén e melléklet alkalmazandó; kötelező jogszabályi rendelkezés elsőbbséget élvez. A melléklet fogalmai az Adatkezelési tájékoztató fogalmaival azonosak.
II. Az adatfeldolgozás tárgya és időtartama
Tárgy: a KapuSegéd Programban a Felhasználó nevében tárolt vagy a Felhasználó utasítására elért adatok és dokumentumok kezelése. Az adatfeldolgozás a szolgáltatás biztosításához szükséges ideig, majd a XII. fejezet szerinti visszaadásig és törlésig tart.
A Szolgáltató saját célú szerződéses, számlázási, marketing- és ügyfélszolgálati adatkezeléseire az Adatkezelési tájékoztató vonatkozik. A jelen melléklet nem ad e célokra felhatalmazást a Felhasználó ügyféladatainak felhasználására.
III. Célok és műveletek
Cél: a szerződésben és a Felhasználó beállításaiban meghatározott KapuSegéd-funkciók teljesítése. Műveletek: automatizált lekérdezés, átvétel, letöltés, rögzítés, tárolás, rendszerezés, keresés, megjelenítés, exportálás, címzettnek továbbítás és törlés; a tárhely-, cégkapu-, ÜPO-, ASP-, NAV- és M2M-kapcsolatok működtetése; technikai naplózás és hibaelhárítás.
A Felhasználó által beállított e-mail-küldéshez a Szolgáltató a Brevo szolgáltatását veszi igénybe a XIII. fejezet szerint. A Szolgáltató az ügyféladatokat nem értékesítheti, és önálló marketingre vagy általános AI-modell tanítására nem használhatja.
A súgó-asszisztens bejelentkezett felhasználónál, a Felhasználó kérdésére olvashat Szolgáltatási Tartalmat: azokat az adatokat, amelyeket a kérdező a Program felületén is lát. Ezt a kérdező a csevegőablakban, a „Láthatja az adataimat” jelölővel kérdésenként kikapcsolhatja. A lekérdezett adatokat a Szolgáltató kizárólag az adott válasz elkészítéséhez továbbítja a Google Gemini szolgáltatásnak, és a lekérdezés eredményét nem tárolja. A súgó-asszisztens adatot nem módosít és nem küld ki; az ügyfélkapuk belépési adatait és a letöltött dokumentumok tartalmát nem látja.
IV. Adatkategóriák és érintettek
Érintettek: a Felhasználó természetes személy képviselői, kapcsolattartói és munkatársai; könyvelt ügyfelei és képviselőik; egyéni vállalkozók; munkavállalók és egyszerűsített foglalkoztatottak; az elért iratokban vagy üzenetekben szereplő további természetes személyek.
Adatok: azonosító és elérhetőségi adatok; adóazonosító jel, adószám és TAJ-szám; foglalkoztatási és adózási adatok; adófolyószámla, bevallások, törzsadatok, KOMA-státusz; tárhelyes üzenetek, csatolmányok és kézbesítési adatok; Hozzáférési Adatok és M2M Kulcsadatok; felhasználói beállítások, összerendelések és technikai műveleti naplók.
Különleges vagy bűnügyi személyes adatok kezelése csak a megrendelt funkcióhoz elengedhetetlen körben, a megfelelő adatkezelői jogalappal és a kockázathoz igazított védelemmel történhet. A TAJ-szám önmagában nem tesz minden adatot egészségügyi adattá; az irat tartalmát külön kell vizsgálni.
V. Dokumentált utasítások
Utasításnak minősül a szerződés, a megrendelés, a kiválasztott funkció és programbeállítás, a megadott adatforrás, címzett és automatizmus, továbbá az igazolható elektronikus egyedi rendelkezés. Szóbeli utasítást a végrehajtás előtt dokumentálni kell.
A Szolgáltató csak ilyen utasítás alapján kezelhet és továbbíthat adatot, kivéve a rá vonatkozó kötelező jogszabályi előírást. Ilyen előírásról a Felhasználót előzetesen tájékoztatja, ha azt a jogszabály nem tiltja. Ha az utasítás adatvédelmi jogot sért, a Szolgáltató haladéktalanul jelzi, és az érintett műveletet a tisztázásig felfüggesztheti.
VI. A Felhasználó kötelezettségei
A Felhasználó gondoskodik a jogalapról, a megfelelő tájékoztatásról, az adatok pontosságáról és szükségességéről, a megőrzési rendelkezésekről, valamint a képviseleti és hozzáférési jogosultság igazolhatóságáról. Adatfeldolgozói szerepben biztosítja a mögöttes adatkezelő utasításainak és a feldolgozói láncnak az összhangját.
A Felhasználó naprakészen tartja kapcsolattartási adatait, korlátozza munkatársai jogosultságait, biztonságosan kezeli hitelesítési adatait, és haladéktalanul jelzi az észlelt jogosulatlan hozzáférést. Ezek nem mentesítik a Szolgáltatót saját adatvédelmi és adatbiztonsági kötelezettségei alól.
VII. Titoktartás és hozzáférés
A Szolgáltató az adatokat kizárólag a feladathoz szükséges, feljogosított személyek számára teszi hozzáférhetővé. E személyeket szerződéses vagy jogszabályi titoktartás köti a közreműködés megszűnése után is.
A munkatársak hozzáférése feladathoz kötött. Éles adat hibaelhárításhoz is csak a szükséges mértékben használható; fejlesztési és tesztelési célra elsődlegesen mesterséges vagy megfelelően anonimizált adatot kell alkalmazni.
VIII. Technikai és szervezési védelem
A Szolgáltató a kockázatokhoz igazodó technikai és szervezési intézkedéseket alkalmaz. Ezek közül a Program működésében:
- a Program és a felhasználók közötti adatátvitel titkosított (HTTPS) kapcsolaton történik;
- a Hozzáférési Adatokat (jelszavak, kétlépcsős azonosítás titkos kulcsai) és az M2M Kulcsadatokat (API-kulcs, aláíró kulcs) a Program titkosítva tárolja;
- minden felhasználó egyedi azonosítóval lép be, a kétlépcsős azonosítás a felhasználói fiókban bekapcsolható; a Szolgáltató adminisztrációs felülete csak kétlépcsős azonosítással érhető el;
- a Felhasználó az irodán belül szerepkörökkel és adózónkénti hozzáféréssel korlátozhatja munkatársai jogosultságait;
- az adatbázisról naponta jelszóval védett, titkosított mentés készül a XII. fejezet szerint.
A Szolgáltató a biztonsági frissítéseket és a feltárt sérülékenységeket a kockázattal arányosan kezeli, és incidens esetén a XI. fejezet szerint jár el.
IX. Hozzáférési Adatok és M2M Kulcsadatok
Az API-kulcsot a Felhasználó szerzi meg a NAV M2M-regisztrációja során, és manuálisan rögzíti a Programban. A Szolgáltató nem igényel kulcsot a Felhasználó helyett. A kulcs rögzítése technikai utasítás, és önmagában nem igazol képviseleti jogot.
A Hozzáférési Adatok és az M2M Kulcsadatok csak a kiválasztott kapcsolathoz használhatók, és a Program azokat titkosítva tárolja. Az M2M-kulcsot a Felhasználó a Programban bármikor törölheti; ilyenkor az API-kulcs és az aláíró kulcs azonnal törlődik az aktív rendszerből. Kompromittálódás esetén a Szolgáltató az érintett kapcsolat használatát haladéktalanul letiltja; a NAV-nál szükséges visszavonást vagy cserét a Felhasználóval egyeztetve kell végrehajtani.
X. Érintetti kérelmek és együttműködés
A Szolgáltató az érintett közvetlen megkeresését legkésőbb két munkanapon belül továbbítja a Felhasználóhoz, és annak utasítása nélkül érdemi adatkiadást vagy törlést nem végez, kivéve kötelező jogszabályi rendelkezést. Saját adatkezelésére irányuló kérelmet saját hatáskörben bírál el.
A Szolgáltató a rendelkezésére álló műszaki lehetőségekkel segíti a hozzáférést, helyesbítést, törlést, korlátozást és adathordozhatóságot. A szükséges támogatást indokolatlan késedelem nélkül, főszabály szerint öt munkanapon belül nyújtja; sürgős vagy összetett ügyben a felek az adatkezelő jogszabályi határidejéhez igazodnak. Segítséget nyújt az adatvédelmi hatásvizsgálathoz és az előzetes hatósági konzultációhoz is.
XI. Adatvédelmi incidens
A Szolgáltató a Szolgáltatási Tartalmat érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül első értesítést küld a Felhasználó szerződés szerinti kapcsolattartójának. Az első értesítéshez nem kell megvárni minden információ birtokába jutást: a hiányzó információk később, folyamatos kiegészítéssel is átadhatók.
Az értesítés az ismert adatok szerint ismerteti az eseményt, az érintett rendszereket, adatokat és érintetti kört, a várható következményeket, a megtett vagy tervezett intézkedéseket és a kapcsolattartót. A Szolgáltató megőrzi a szükséges bizonyítékokat, és a további adatfeldolgozóitól is késedelem nélküli jelzést követel meg.
A hatósági és érintetti bejelentésről az adatkezelő dönt; a Szolgáltató a szükséges információkkal segíti. A Szolgáltató saját adatkezelői kötelezettségei ettől függetlenek. Incidens jelzése a Szolgáltatónak: info@kapuseged.hu; sürgős esetben az ügyfélszolgálat telefonszáma is hívható: +36(21) 2022 289.
XII. Visszaadás, megőrzés és törlés
Letöltés a megszűnéskor. A szerződés megszűnésekor a Felhasználó az ÁSZF VI. fejezet 5. pontja szerint öt munkanapig jogosult az aktív rendszerben elérhető adatait a Program exportfunkcióival letölteni. Más formátumról vagy biztonságos átadási módról a felek külön egyeztethetnek.
Mi indítja a törlést. A szerződés vagy az előfizetés megszűnése önmagában nem törli az adatokat. Az iroda törlése akkor történik meg, ha a Felhasználó az iroda utolsó felhasználójaként a Programban törli a saját fiókját, vagy ha a Szolgáltató a Felhasználó kérésére, illetve az ÁSZF IV. fejezet 1.13. pontja szerinti esetben törli az irodát. Az egyes felhasználókat és ügyfélkapukat a Felhasználó a Programban maga is törölheti.
Hat hónapos megőrzés, kérésre azonnali végleges törlés. A törölt iroda, felhasználó és ügyfélkapu adatai a törléstől számított 6 hónapig megmaradnak. Ezalatt a Programban nem láthatók, a törölt ügyfélkapukhoz nem fut szinkron, és a törlés a Felhasználó kérésére visszavonható. A 6 hónap leteltével a rendszer a naponta futó automatikus törléssel véglegesen törli őket. A Felhasználó kérésére a Szolgáltató a végleges törlést a 6 hónap kivárása nélkül, azonnal elvégzi; a kérés az info@kapuseged.hu címen jelezhető.
Mi törlődik a végleges törléskor. A végleges törlés az adatbázisból törli az irodát, a felhasználókat, az ügyfélkapukat a Hozzáférési Adatokkal és az M2M Kulcsadatokkal együtt, az adózókat és a hozzájuk tartozó összes adatot (tárhelyes üzeneteket, bevallásokat, hiányzó bevallásokat, foglalkoztatotti adatokat, fizetési kötelezettségeket, adófolyószámla- és önkormányzati adatokat), valamint a kiküldött levelek nyilvántartását és a felhasználók súgó-beszélgetéseit. A dokumentum-fájltárolóból ugyanekkor törlődnek a tárhelyes üzenetek letöltött dokumentumai, a bevallások letöltött fájljai (PDF, XKR), az adófolyószámla-kivonatok és az önkormányzati adószámla-dokumentumok.
Biztonsági mentések. Az adatbázisról naponta jelszóval védett, titkosított mentés készül a DigitalOcean amszterdami (ams3) adatközpontjában lévő, elkülönített mentési tárhelyre. A mentések megőrzési rendje: az utolsó 7 nap minden mentése, utána 16 napig napi egy, 8 hétig heti egy, 4 hónapig havi egy és 2 évig évi egy mentés marad meg; a régebbieket a rendszer automatikusan törli. Ezért egy aktív rendszerből törölt adat az adatbázis-mentésekben a törléstől számítva legfeljebb körülbelül két év hét hónapig maradhat meg.
A mentési példányok nem használhatók napi működéshez és más célra, kizárólag adatvesztés utáni helyreállításra. Helyreállításkor a korábbi törléseket a rendszer használatba vétele előtt újra végre kell hajtani. A korábbi hitelesítési adatok nem aktiválhatók újra automatikusan.
Naplók és jogszabályi megőrzés. A Program technikai naplóit a rendszer automatikusan törli: a műveleti naplót 3 hónap, a szinkronfutások és a portálkapcsolatok technikai adatait 1 hónap, a funkcióhasználati statisztikát 400 nap után. Kötelező uniós vagy tagállami megőrzés esetén az érintett adatot elkülönítve, csak e kötelezettség céljára szabad tárolni; az okról és időtartamról a Felhasználó tájékoztatást kap.
A Szolgáltató a kérésre végzett törlést dokumentálja, és kérésre igazolást ad. A további adatfeldolgozóknál is érvényesíti a visszaadási és törlési kötelezettséget.
XIII. További adatfeldolgozók
A Felhasználó általános írásbeli felhatalmazást ad a jelen fejezetben egyedileg azonosított és a megrendelt funkcióhoz szükséges további adatfeldolgozókra.
DigitalOcean, LLC (Egyesült Államok): felhőinfrastruktúra. Az alkalmazás- és adatbázis-kiszolgáló, valamint a dokumentum-fájltároló a frankfurti (fra1), a mentési tárhely az amszterdami (ams3) adatközpontban működik; az ügyfélkapukból adatot letöltő gépek a frankfurti, az amszterdami vagy a londoni adatközpontban futnak. Kezelt adatok: a Program adatbázisa, a letöltött dokumentumok, a mentések és a technikai adatok. Adatfeldolgozási feltételek: https://www.digitalocean.com/legal/data-processing-agreement.
Sendinblue SAS (Brevo) (Párizs, Franciaország): rendszerlevelek és a Felhasználó által meghatározott adózói levelek kézbesítése. Kezelt adatok: a címzett e-mail-címe, a levél tárgya, tartalma és csatolmányai, valamint a kézbesítési események. A Program a Brevótól kapott kézbesítési, megnyitási és kattintási eseményekből jeleníti meg a Felhasználónak a levelek állapotát és eseményeit. Feltételek és adatfeldolgozási megállapodás: https://www.brevo.com/legal/termsofuse/.
Google LLC (Egyesült Államok): a súgó-asszisztens válaszainak előállítása a fizetős Gemini API-n keresztül, a III. fejezet szerinti adat-hozzáférés esetén a kérdéshez lekérdezett Szolgáltatási Tartalommal. A Google a fizetős szolgáltatásra vonatkozó feltételei szerint a kérdéseket és a válaszokat nem használja a termékei fejlesztésére, és azokat adatfeldolgozóként, az adatfeldolgozási kiegészítése szerint kezeli. Feltételek: https://ai.google.dev/gemini-api/terms.
Az OpenAI hangátirat-szolgáltatás, az IP-Telekom telefonközpont, a Microsoft és Google levelezés, a Billingo számlázás, az NP-Soft Studio szerződéskötés és a SalesAutopilot hírlevélküldés a Szolgáltató saját adatkezelésének közreműködője. Pusztán e minőségük miatt nem válnak a Felhasználó Szolgáltatási Tartalmának további adatfeldolgozójává. Ha ilyen tartalmat is kezelnének, bevonásukra a jelen fejezet értesítési szabályai vonatkoznak.
A NAV és más hatósági Kapcsolódó Rendszer önálló feladatai szerint jár el; nem a Szolgáltató további adatfeldolgozója. A Felhasználó által megjelölt végső levélcímzett, valamint a Felhasználó által a Programhoz kapcsolt saját szolgáltatás (például a saját AI-asszisztens összekapcsolása vagy a PmtSegéd-szinkron) a Felhasználó által választott címzett, nem a Szolgáltató további adatfeldolgozója.
A Szolgáltató új vagy lecserélt további adatfeldolgozóról legalább 15 naptári nappal a bevonás előtt, igazolható elektronikus módon értesíti a Felhasználót, feltüntetve a céget, a feladatot, az adatkört, a helyszínt és a továbbítási feltételeket. A Felhasználó ezen idő alatt adatvédelmi okból kifogást emelhet. Megállapodás hiányában az érintett adatkezelés az új közreműködővel nem kezdhető meg; a felek más megoldásról vagy az érintett szolgáltatás megszüntetéséről egyeztetnek.
A Szolgáltató a további adatfeldolgozóval legalább e melléklettel azonos védelmi kötelezettségeket köt ki, ellenőrzi a megfelelő garanciákat, és a Felhasználó felé felel az általa bevont további adatfeldolgozó adatvédelmi kötelezettségeinek teljesítéséért.
XIV. Nemzetközi adattovábbítás
EGT-n kívüli tárolás, támogatási hozzáférés vagy más adattovábbítás csak dokumentált utasítás és az adott továbbításhoz ténylegesen alkalmazható jogi garancia mellett megengedett.
A londoni adatközpontban futó letöltő gépeknél az Egyesült Királyságra vonatkozó európai bizottsági megfelelőségi határozat az alap. Az egyesült államokbeli DigitalOcean, LLC és Google LLC esetében az alap a szolgáltató adatfeldolgozási feltételeiben szereplő garancia (az Európai Bizottság általános szerződési feltételei, illetve ahol alkalmazható, az EU–USA adatvédelmi keret). A puszta EU-régióválasztás önmagában nem zárja ki a harmadik országból való hozzáférést. A GDPR 49. cikk szerinti kivétel nem használható a rendszeres üzemszerű továbbítás általános pótlására.
XV. Ellenőrzés és igazolhatóság
A Szolgáltató a megfelelés igazolásához szükséges információkat hozzáférhetővé teszi, és lehetővé teszi a Felhasználó vagy megbízott független ellenőr vizsgálatát. Elsőként dokumentumok és meglévő ellenőrzési jelentések használhatók; ezek elégtelensége esetén helyszíni ellenőrzés is végezhető.
A vizsgálatot rendes esetben tíz munkanappal előre kell egyeztetni; incidens, megalapozott jogsértési gyanú vagy hatósági igény esetén rövidebb idő alkalmazható. Más ügyfelek adatait, üzleti titkokat és a rendszer biztonságát védeni kell, ez azonban az ellenőrzési jog kiüresítéséhez nem vezethet. Az észlelt hiányosságok megszüntetését határidővel dokumentálni kell.
XVI. Hatósági megkeresések
A Szolgáltató a Szolgáltatási Tartalomra irányuló hatósági vagy bírósági megkeresésről indokolatlan késedelem nélkül tájékoztatja a Felhasználót, kivéve, ha ezt jogszabály tiltja. Kizárólag a jogszerűen kötelező adatkört adja át, a megkeresést és a teljesítést dokumentálja. A Felhasználó utasítása nem zárhatja ki a Szolgáltató közvetlen jogszabályi együttműködési kötelezettségét.
XVII. Felelősség és költségek
Mindegyik fél felel a rá háruló kötelezettségek megszegéséért. A melléklet nem korlátozza az érintettek kötelező jogszabályon alapuló igényeit, a hatóság jogköreit vagy a Szolgáltató további adatfeldolgozókért fennálló felelősségét.
A szokásos adatvédelmi együttműködés a szolgáltatás része. Rendkívüli egyedi fejlesztés vagy adatmigráció díjáról előzetesen külön megállapodás köthető; díjegyeztetés nem késleltetheti a kötelező intézkedést, incidensjelzést vagy törvényes határidő teljesítését.
XVIII. Kapcsolattartás és módosítás
Adatvédelmi és incidensügyi kapcsolattartás a Szolgáltató felé: info@kapuseged.hu. A Felhasználó kapcsolattartóját az előfizetői szerződés vagy a fiók nyilvántartása tartalmazza.
A melléklet módosítására és elfogadására az ÁSZF szabályai alkalmazandók. A módosítás nem tehet korábbi jogellenes adatkezelést utólag jogszerűvé, és nem csökkentheti a kötelező adatvédelmi védelmet.
XIX. Hatály
A melléklet 2026. november 3-án lép hatályba, és az ÁSZF elválaszthatatlan részét képezi. A felek közötti alkalmazására az ÁSZF elfogadási és módosítási szabályai irányadók.
Fábiánsebestyén, 2026. november 3.
Relax Szoftverház Kft., a KapuSegéd üzemeltetője