Adatfeldolgozói megállapodás

1. Felek és fogalmak

Adatkezelő: A Bokko platformot előfizető természetes személy vállalkozó vagy jogi személy (a továbbiakban: „Előfizető"), aki a platformon keresztül ügyfelei (vendégek) személyes adatait kezeli saját foglalási és ügyfélkezelési céljaira.

Adatfeldolgozó: Bokko (a továbbiakban: „Bokko"), a foglalási platform üzemeltetője, aki az Előfizető megbízásából és utasításai alapján, az általa meghatározott célra végez adatfeldolgozást.

Személyes adat, adatkezelés, érintett: A GDPR 4. cikkében meghatározott fogalmak szerint értelmezendők.

GDPR: Az Európai Parlament és a Tanács 2016/679/EU rendelete (általános adatvédelmi rendelet).

2. Tárgy és időtartam

A jelen megállapodás tárgya a Bokko platform által az Előfizető nevében végzett vendégfoglalási adatfeldolgozás, a Szolgáltatói szerződésben meghatározott platformszolgáltatás keretein belül.

A megállapodás a Szolgáltatói szerződéssel egyidejűleg lép hatályba és a szerződéses jogviszony fennállásáig tart. A jogviszony megszűnésének eseteit és következményeit a 14. pont szabályozza.

3. A feldolgozás jellege és célja

A Bokko az Előfizető nevében az alábbi adatkezelési műveleteket végzi:

• vendégfoglalási kérések fogadása, tárolása és kezelése;
• foglalási státuszok kezelése és frissítése, ideértve az átütemezési és lemondási folyamatokat is;
• tranzakciós email értesítések, valamint opcionális SMS és email emlékeztetők küldése az Előfizető értesítési beállításai alapján;
• vendégprofil, foglalási előzmény és kapcsolódó eseménynapló tárolása az Előfizető számára;
• opcionális online fizetési, előleg-, visszatérítési, kártyagarancia- és számlázási folyamatok technikai kiszolgálása;
• opcionális Google Calendar szinkronizáció;
• várólistás adatok kezelése, ha az Előfizető ezt a funkciót engedélyezte.

A Bokko az adatokat kizárólag az Előfizető dokumentált utasításai, a jelen megállapodás és a Szolgáltatói szerződés alapján kezeli — kivéve ahol kötelező jogszabály ettől eltérő feldolgozást ír elő, amely esetben a Bokko az Előfizetőt erről (a jogszabály által megengedett mértékben) tájékoztatja.

4. Adatkategóriák és érintetti körök

Különleges adatkategóriát (GDPR 9. cikk — egészségügyi, faji, vallási, szexuális irányultságra vonatkozó stb. adat) a Bokko rendszere alapértelmezés szerint nem kezel és nem tárol. Az Előfizető kifejezetten tilos ilyen adatot a platformon rögzíteni, tárolni vagy megjegyzések formájában feltüntetni. Ha a Bokko tudomást szerez ilyen adat jogellenesen rögzített jelenlétéről, jogosult azt zárolni, hozzáférhetetlenné tenni, eltávolítani, vagy az Előfizetőtől annak haladéktalan eltávolítását kérni — a jogi megfelelés és a platformszabályok kikényszerítéséhez szükséges mértékben. A Bokko az intézkedésről az Előfizetőt értesíti. Súlyos vagy ismétlődő jogsértés esetén a Bokko a Szolgáltatói szerződést azonnali hatállyal felmondhatja.

5. Utasítási jog és dokumentáció

Az Előfizető az adatkezelő; az utasítási jog kizárólag az Előfizetőt illeti meg. A Bokko kizárólag az Előfizető dokumentált utasításai, a jelen megállapodás és a Szolgáltatói szerződés alapján végez adatfeldolgozást.

Ha a Bokko megítélése szerint valamely utasítás a GDPR-t vagy más alkalmazandó adatvédelmi jogszabályt sértene, erről haladéktalanul tájékoztatja az Előfizetőt, és az utasítás végrehajtását felfüggesztheti mindaddig, amíg az Előfizető az utasítást meg nem változtatja vagy megerősíti.

A platform konfigurációs beállításain — mint például az értesítési beállítások, a fizetési integráció engedélyezése vagy a várólistás funkció — keresztül megadott Előfizetői beállítások dokumentált utasításnak minősülnek.

6. Titoktartás

A Bokko gondoskodik arról, hogy az adatfeldolgozásban részt vevő személyek megfelelő titoktartási kötelezettség — jogszabályi vagy szerződéses — hatálya alatt álljanak, és az adatokhoz való hozzáférés kizárólag a szükséges mértékű legyen (need-to-know elv).

A titoktartási kötelezettség a jogviszony megszűnése után is fennmarad.

7. Technikai és szervezési intézkedések (GDPR 32. cikk)

A Bokko a kockázat jellegét, valószínűségét és súlyát figyelembe véve megfelelő technikai és szervezési intézkedéseket alkalmaz a személyes adatok biztonságának garantálásához. Az intézkedések különösen az alábbiakat foglalják magukban:

• Hozzáférés-kezelés: szerepalapú hozzáférés-ellenőrzés, a szükségesség elvének (need-to-know, least privilege) megfelelően;
• Hálózati és alkalmazás-szintű védelmi intézkedések: jogosulatlan közvetlen adatírás megakadályozása, minden adatmódosítás ellenőrzött, hitelesített csatornán keresztül;
• Átvitel-titkosítás: titkosított összeköttetés (TLS) minden érintett adatátviteli csatornán;
• Vendégoldali műveleti hitelesítés: egyszer használatos, időkorlátozott, kriptográfiailag véletlenszerű tokenek a vendég által kezdeményezett műveletekhez;
• Kérés-korlátozás: automatizált visszaélések megelőzésére irányuló sebességkorlátozó mechanizmusok a nyilvános végpontokon;
• Tárolási titkosítás: személyes adatok titkosítva tárolva a felhő-infrastruktúrában (at-rest encryption);
• Titkosítási kulcsok kezelése: hitelesítési adatok és API-kulcsok biztonságos, verziókövetett kezelése, a nyílt forráskódtól és a felhasználói adatoktól elkülönítve;
• Hozzáférési naplózás: adminisztrátori és felügyeleti hozzáférések naplózása és rendszeres felülvizsgálata;
• Többfaktoros hitelesítés: erős hitelesítési lehetőség elérhető és ajánlott a privilegizált hozzáféréshez.

A jelen DPA a TOMs céljait és szintjét rögzíti; az alkalmazott konkrét technológiai megvalósítás a Bokko biztonsági összefoglalójában (kérésre, titoktartási megállapodás keretében bocsátható rendelkezésre) kerül részletezésre. Az architektúra változásai nem teszik szükségessé a jelen DPA módosítását, feltéve hogy a biztonsági szint legalább egyenértékű marad.

8. Al-adatfeldolgozók (GDPR 28. cikk (2) bekezdés)

A Bokko az Előfizető általános előzetes felhatalmazása alapján al-adatfeldolgozókat vehet igénybe. A jelen megállapodás elfogadásával az Előfizető hozzájárul a jelenleg igénybe vett al-adatfeldolgozók alkalmazásához.

A jelenleg igénybe vett al-adatfeldolgozók listája jelen megállapodás incorporált mellékletének minősül, és a getbokko.com/legal/sub-processors oldalon érhető el folyamatosan naprakész formában. A lista minimálisan tartalmazza minden al-adatfeldolgozóra: jogi entitás nevét, székhelyét/országát, a feldolgozás célját és szerepét, az alkalmazott harmadik-országba irányuló adattovábbítási garanciát (GDPR V. fejezete szerint), valamint az utolsó frissítés dátumát. Ez az oldal a jelen megállapodás elválaszthatatlan részét képezi.

Ha a Bokko új al-adatfeldolgozót kíván bevonni vagy meglévőt lecserélni, az Előfizetőt a változás hatálybalépése előtt legalább 14 nappal értesíti az Előfizető regisztrált email-címére küldött értesítőben (a platform értesítési felületén is megjelenik).

Az Előfizető az értesítő kézhezvételétől számított 14 napon belül írásban (emailben a support@bokko.app címre) indokolt adatvédelmi kifogást emelhet, amelynek alapos oka lehet különösen:

• az al-adatfeldolgozó nem biztosít a GDPR V. fejezete szerinti megfelelő adattovábbítási garanciát;
• az al-adatfeldolgozó bevonásával EU/EGT-n kívüli adattovábbítás jön létre megfelelő garancia nélkül;
• az al-adatfeldolgozó alkalmazását jogszabályi vagy hatósági tiltás zárja ki.

Ha az Előfizető a határidőn belül nem emel kifogást, a jóváhagyást megadottnak kell tekinteni. Sikeres, alapos kifogás esetén a Bokko a tervezett változástól eláll, vagy — ha a változás műszakilag elkerülhetetlen — az Előfizető a Szolgáltatói szerződést díjmentes azonnali felmondással megszüntetheti.

A Bokko az al-adatfeldolgozókra a jelen megállapodással legalább azonos szintű adatvédelmi kötelezettségeket ró ki, és teljes mértékben felelős az al-adatfeldolgozók kötelezettségeinek teljesítéséért az Előfizető felé.

9. Adattovábbítás harmadik országba (GDPR V. fejezet)

A Bokko az adatokat elsődlegesen EU/EGT területén belül tárolja és kezeli. Az alábbi al-adatfeldolgozók esetén kerülhet sor EU/EGT-n kívüli adattovábbításra; az alkalmazott GDPR V. fejezet szerinti garanciák a táblázatban szerepelnek.

EGT-n kívüli adattovábbítással járó al-adatfeldolgozók:

Kizárólag EGT-n belüli al-adatfeldolgozók — harmadik-ország továbbítás nem releváns:

Az alkalmazott garanciák (SCC-k) másolatai az Előfizető kérésére rendelkezésre bocsáthatók. A naprakész al-adatfeldolgozói lista (incorporált melléklet) az Al-adatfeldolgozók oldalon érhető el.

10. Érintetti jogok támogatása (GDPR 28. cikk (3) bekezdés e) pont)

A Bokko technikai és szervezési lehetőségein belül segíti az Előfizetőt a GDPR III. fejezete szerinti érintetti joggyakorlási kérelmek (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás és egyéb jogok) határidőre történő teljesítésében. Az adatkezelő (Előfizető) válaszadási határideje főszabály szerint 1 hónap a kérelem beérkezésétől; bonyolult vagy nagyszámú kérelem esetén ez legfeljebb további 2 hónappal meghosszabbítható (GDPR 12. cikk (3) bekezdés).

Ha az érintett közvetlenül a Bokkohoz fordul vendégfoglalási adataival kapcsolatos kérelemmel, a Bokko a kérelmet indokolatlan késedelem nélkül, de legkésőbb 5 munkanapon belül továbbítja az Előfizető felé, és szükség esetén technikai segítséget nyújt a teljesítéshez.

Az Előfizető dashboard felületén az exportfunkciókon és törlési eszközökön keresztül közvetlenül is teljesíthet érintetti kérelmeket.

11. Adatvédelmi incidensek (GDPR 33–34. cikk)

Ha a Bokko tudomást szerez olyan adatvédelmi incidensről, amely a jelen megállapodás hatálya alá tartozó személyes adatokat érinti, köteles erről az Előfizetőt indokolatlan késedelem nélkül értesíteni, és a rendelkezésre álló információkat szakaszosan, indokolatlan további késedelem nélkül megadni.

Az értesítés tartalmazza (a rendelkezésre álló mértékben):

• az incidens jellegének leírását, beleértve az érintett adatkategóriákat és az érintett személyek hozzávetőleges számát;
• a kapcsolattartó nevét és elérhetőségét;
• az incidens valószínű következményeinek leírását;
• a Bokko által megtett vagy tervezett intézkedéseket az incidens kezeléséhez és az okozott kár enyhítéséhez.

Az Előfizető felelős azért, hogy — amennyiben az incidens bejelentési kötelezettséget keletkeztet — a NAIH-nak a GDPR 33. cikke szerinti 72 órán belül bejelentést tegyen. A Bokko ésszerű segítséget nyújt ehhez az értesítés és a dokumentáció rendelkezésre bocsátásával.

Az incidensértesítés fogadásának csatornája: support@bokko.app (tárgy: „ADATVÉDELMI INCIDENS — [Előfizető neve]”).

12. Adatvédelmi hatásvizsgálat (DPIA, GDPR 35. cikk)

Ha az Előfizető a végzett adatkezelési tevékenységek jellege alapján köteles adatvédelmi hatásvizsgálatot (DPIA) elvégezni, a Bokko ésszerű mértékben segítséget nyújt ehhez:

• az adatfeldolgozási műveletek és technikai intézkedések leírásával;
• a Bokko által alkalmazott biztonsági intézkedések és al-adatfeldolgozói garanciák dokumentációjával;
• a kockázatcsökkentő intézkedések azonosításában való közreműködéssel.

Az előzetes konzultáció (GDPR 36. cikk) iránti igény esetén a Bokko szintén együttműködik az Előfizetővel a szükséges dokumentáció összeállításában.

13. Audit és megfelelési együttműködés

A Bokko az Előfizető kérésére rendelkezésre bocsátja a GDPR 28. cikk szerinti megfelelés igazolásához szükséges információkat, beleértve különösen a jelen megállapodásban vállalt kötelezettségek teljesítésének dokumentációját.

Az Előfizető jogosult auditot végezni (vagy erre megbízott auditort igénybe venni) azzal, hogy:

• az auditról az Előfizető legalább 30 nappal előre értesíti a Bokkot;
• az audit nem okoz aránytalan terhet a Bokko üzleti működésére nézve (az ütemezésről egyeztetés szükséges);
• az auditor megfelelő titoktartási kötelezettséget vállal a Bokko bizalmas üzleti információinak védelme érdekében;
• az auditot évente legfeljebb egyszer lehet elvégezni, kivéve ha adatvédelmi incidens ezt szükségessé teszi.

A Bokko éves szintű biztonsági összefoglalót tehet elérhetővé az Előfizetők számára, amely elsődleges bizonyítási eszközként csökkenti az egyedi audit szükségességét. Ez az összefoglaló azonban nem váltja ki és nem korlátozza az Előfizető Art. 28(3)(h) szerinti jogát arra, hogy ellenőrzéseket és auditokat kezdeményezzen és támogasson.

14. Törlés és visszaszolgáltatás a jogviszony végén (GDPR 28. cikk (3) bekezdés g) pont)

A Szolgáltatói szerződés megszűnésekor a Bokko az Előfizető választása szerint visszaadja vagy törli a személyes adatokat (GDPR 28. cikk (3) bekezdés g) pont):

• Visszaadás: a Bokko a megszűnéstől számított 30 napon belül exportálhatóvá teszi és az Előfizető rendelkezésére bocsátja a személyes adatokat (JSON formátum, a dashboard exportfunkcióján keresztül). Az önkiszolgáló export tartalmazza: vendégprofil-dokumentumokat és foglalási dokumentumokat (top-level mezők). Részletes eseménynaplók és értesítési metaadatok (booking subcollection adatok) egyedi DSAR kérésre a support@bokko.app csatornán keresztül elérhetők.
• Törlés: az Előfizető a 30 napos ablak alatt bármikor törlési kérelmet nyújthat be (support@bokko.app), amelyet a Bokko 10 munkanapon belül teljesít.

Ha az Előfizető a 30 napos ablak alatt egyik lehetőséggel sem él, a Bokko az adatokat automatikusan törli vagy visszavonhatatlanul anonimizálja, kivéve ahol uniós vagy tagállami jog megőrzési kötelezettséget ír elő (különösen: számviteli és adójogi dokumentumok, amelyeknél a megőrzési kötelezettség a Bokko-ra mint számlakibocsátóra vonatkozik).

Biztonsági mentések: Az infrastruktúra szintjén készített mentési másolatok automatikusan törlődnek a backup-ciklus lejártával, amely legfeljebb 30 nap.

A törlés elvégzéséről a Bokko az Előfizető kérésére írásos megerősítést bocsát ki.

Ideiglenes megőrzési felfüggesztés (legal hold): Az Előfizető dokumentált utasítására a Bokko a törlés végrehajtását meghatározott rekordok tekintetében ideiglenesen felfüggesztheti, ha a további megőrzés jogi kötelezettség teljesítéséhez, hatósági eljáráshoz, vagy jogi igények megalapozásához, érvényesítéséhez vagy védelméhez szükséges. Az ilyen megőrzés célhoz kötött, időben korlátozott és dokumentált; a felfüggesztés megszűnésekor a Bokko az érintett rekordokat az általános törlési szabályok szerint kezeli. A felfüggesztési kérelmet és annak indokát az Előfizetőnek írásban kell megküldenie (support@bokko.app).

15. Felelősség és kártalanítás

Az Előfizető, mint adatkezelő, felelős azért, hogy:

• a vendégek részére megfelelő Art. 13 tájékoztatást nyújtson a foglalási folyamat során;
• kizárólag jogszerűen kezelt adatot rögzítsen a platformon;
• a vendégek érintetti joggyakorlási kérelmeit határidőre teljesítse;
• adatvédelmi incidens esetén a NAIH felé a bejelentési kötelezettségének eleget tegyen.

A Bokko adatfeldolgozóként felelős a jelen megállapodásban vállalt kötelezettségek teljesítéséért. A Bokko felelőssége nem terjed ki az Előfizető utasításaiból vagy az Előfizető által a platformon rögzített adatok jogszerűtlenségéből eredő károkra.

Mindkét fél köteles a másik felet haladéktalanul értesíteni, ha tudomást szerez bármely olyan körülményről, amely a jelen megállapodás teljesítését veszélyeztetheti.

Adatvédelmi kárfelelősség (GDPR 82. cikk): Amennyiben az adatfeldolgozói kötelezettségek megsértéséből eredő adatvédelmi jellegű kár (pl. adatvédelmi incidens, az Art. 32 biztonsági intézkedések elmulasztása, titoktartás-megsértés) keletkezik, a kárfelelősség a GDPR 82. cikke szerint alakul. Az ilyen adatvédelmi károkra a Szolgáltatói szerződésben meghatározott általános felelősségkorlátok nem alkalmazandók — a kárfelelősség felső határa tekintetében az alkalmazandó GDPR-rendelkezések irányadók.

16. Irányadó jog és vitarendezés

A jelen megállapodásra a magyar jog és a GDPR az irányadó. Az adatvédelmi felügyeleti hatóság tekintetében az adatkezelő székhelye szerinti tagállam hatósága az illetékes; magyarországi adatkezelők esetén a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) (naih.hu).

A felek között felmerülő vitás kérdéseket elsősorban tárgyalásos úton rendezik. Amennyiben ez nem vezet eredményre, a vita eldöntésére a Bokko székhelye szerint illetékes bíróság jogosult.

17. Módosítás és verziókezelés

A Bokko a jelen megállapodást egyoldalúan módosíthatja, ha ezt jogszabályi változás, NAIH vagy más adatvédelmi hatóság ajánlása, vagy az alkalmazott technológia érdemi változása indokolja. A módosításról az Előfizetők a hatálybalépés előtt legalább 30 nappal értesítést kapnak (platform értesítésen vagy emailen keresztül).

Ha a módosítás az Előfizető számára lényeges hátrányos változást jelent (különösen: az Előfizető jogainak szűkítése, a Bokko adatvédelmi kötelezettségeinek csökkentése), az Előfizető az értesítéstől számított 30 napon belül írásban kifogást emelhet. Ha a felek tárgyaláson nem jutnak egyezségre, az Előfizető a Szolgáltatói szerződést díjmentes rendkívüli felmondással megszüntetheti a módosítás hatálybalépéséig.

Az aktuális verzió dátuma és tartalma mindig ezen az oldalon érhető el. A korábbi verziók archívuma kérésre rendelkezésre bocsátható.

Dokumentumhierarchia: Amennyiben a Szolgáltatói szerződés és a jelen Adatfeldolgozói megállapodás között ellentmondás áll fenn az adatvédelmi kötelezettségek tekintetében, a jelen DPA rendelkezései az irányadók, és a Szolgáltatói szerződés velük ellentétes rendelkezései az adatvédelmi kérdésekben nem alkalmazandók.

Jelenlegi verzió: 1.0 — hatályos: 2026. április 15-től.