Adatfeldolgozói szerződés

Jelen adatfeldolgozói szerződés (a továbbiakban: Adatfeldolgozói szerződés) az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, a továbbiakban: GDPR) 28. cikke szerint rögzíti, hogyan kezeli a Signingo üzemeltetője azokat a személyes adatokat, amelyeket a Felhasználó a Signingo szolgáltatásban, a saját szerződéseihez rögzít.

Az Adatfeldolgozói szerződés folyamatosan elérhető és letölthető a következő címen: https://signingo.hu/data-processing-agreement

1. A felek

Adatfeldolgozó: NP-Soft Studio Kft (a továbbiakban: Szolgáltató vagy Adatfeldolgozó)

• Székhely: 1204 Budapest, Ady Endre utca 106. 3. em. 13. ajtó
• Cégjegyzékszám: 0109408557
• Adószám: 32137213-2-43
• E-mail: info@signingo.hu
• Telefon: +36302382241

Adatkezelő: a Signingo regisztrált felhasználója, illetve az a vállalkozás vagy szervezet, amelynek nevében a felhasználó a Signingo profilját használja (a továbbiakban: Felhasználó vagy Adatkezelő).

2. A szerződés létrejötte és helye a felek jogviszonyában

1. Az Adatfeldolgozói szerződés a Signingo Általános Szerződési Feltételeinek (https://signingo.hu/terms-and-conditions, a továbbiakban: ÁSZF) része, és az ÁSZF elfogadásával, külön aláírás nélkül jön létre. Az Adatfeldolgozói szerződés elektronikus formában, a GDPR 28. cikk (9) bekezdésének megfelelően jön létre.
2. Az Adatfeldolgozói szerződés közzététele előtt regisztrált Felhasználók esetében az Adatfeldolgozói szerződés az ÁSZF erre utaló módosításának hatálybalépésével, a szolgáltatás további használatával jön létre.
3. A személyes adatok kezelésével kapcsolatos kérdésekben az Adatfeldolgozói szerződés rendelkezései az irányadók. Minden más kérdésben (például díjak, rendelkezésre állás, felelősség) az ÁSZF rendelkezései érvényesek.
4. A Szolgáltató saját adatkezeléseit (például a felhasználói fiók, a számlázás, a hírlevél, a súgó-asszisztens beszélgetései, a weboldal látogatása) az adatkezelési tájékoztató (https://signingo.hu/privacy-policy) írja le; ezekben a Szolgáltató önálló adatkezelő, és ezekre az Adatfeldolgozói szerződés nem vonatkozik.

3. Fogalmak

Az Adatfeldolgozói szerződésben használt fogalmak (például személyes adat, adatkezelés, adatkezelő, adatfeldolgozó, érintett, adatvédelmi incidens) a GDPR 4. cikkében meghatározott jelentéssel bírnak. Ezen felül:

• Signingo: a Szolgáltató által a https://signingo.hu címen és annak aldomainjein üzemeltetett online szerződéskötő szolgáltatás, beleértve a webes felületet és az API-t.
• Ügyféladat: minden olyan személyes adat, amelyet a Felhasználó, a Felhasználó profiljának társfelhasználói, vagy a Felhasználó által meghívott aláíró felek a Felhasználó profiljához tartozó szerződésekben, sablonokban és ezek mellékleteiben rögzítenek.
• További adatfeldolgozó: az a szolgáltató, amelyet a Szolgáltató az Ügyféladatok kezelésébe bevon (GDPR 28. cikk (2) és (4) bekezdés).

4. Az adatfeldolgozás tárgya és a szerepek elhatárolása

1. A Szolgáltató az Ügyféladatok tekintetében adatfeldolgozóként, a Felhasználó nevében és megbízásából jár el. Az Ügyféladatok kezelésének célját és eszközeit a Felhasználó határozza meg azzal, hogy a Signingo funkcióit használja.
2. Az a szerződés, amelyet egy másik felhasználó hozott létre, és amelyben a Felhasználó csak meghívott aláíró fél, a létrehozó felhasználó Ügyféladata. Ebben az esetben a létrehozó felhasználó az adatkezelő, a Felhasználó pedig a saját adatait az ő részére adja meg.
3. Az a továbbítás, amelyet a Felhasználó maga indít vagy állít be (például a szerződés letöltése, exportja, a Felhasználó által megadott webhook-címre küldött értesítés, az API-kulccsal történő lekérdezés, vagy a Felhasználó saját AI-asszisztensének összekapcsolása), a Felhasználó utasítására történik. Az ilyen módon adatot kapó szolgáltatások nem a Szolgáltató további adatfeldolgozói; velük a Felhasználó áll jogviszonyban.

5. Az adatfeldolgozás jellege és célja

Az adatfeldolgozás jellege: az Ügyféladatok tárolása, rendszerezése, megjelenítése a szerződéshez hozzáférő személyeknek, továbbítása e-mailben a Felhasználó által megadott címzetteknek (aláírási meghívók, emlékeztetők, értesítések), a szerződés PDF változatának elkészítése, a Signingo elektronikus bélyegzőjének és időbélyegének elhelyezése a dokumentumon, a szerződésen végzett műveletek naplózása, exportálás, biztonsági mentés és törlés.

Az adatfeldolgozás célja:

• a Signingo szolgáltatás nyújtása: szerződések elkészítése sablonból vagy önállóan, a szerződés tartalmának egyeztetése és véglegesítése, a szerződő felek meghívása és a szerződés aláíratása;
• az aláírt dokumentum és a hozzá tartozó tevékenységnapló előállítása és megőrzése, hogy a felek a megkötött szerződést később bizonyítékként használhassák;
• a Felhasználó által beállított értesítések, webhookok és API-kapcsolatok működtetése;
• ügyfélszolgálat és hibaelhárítás a Felhasználó kérésére vagy a szolgáltatás működésének helyreállításához;
• a szolgáltatás biztonsága, az adatok mentése és helyreállíthatósága.

A Szolgáltató az Ügyféladatokat saját céljára nem használja: nem adja el, nem használja hirdetésre vagy profilalkotásra, és mesterséges intelligencia modell tanítására sem használja.

6. Az adatfeldolgozás időtartama

Az Adatfeldolgozói szerződés a Felhasználó Signingo-fiókjának fennállásáig hatályos. A fiók törlésével megszűnik; a 15. pontban leírt törlési kötelezettségek a megszűnés után is terhelik a Szolgáltatót, amíg azokat teljesíti.

7. Az érintettek köre

• a Felhasználó szerződéseinek aláírói és szerződő felei (például a Felhasználó ügyfelei, üzleti partnerei, munkavállalói, megbízottai), illetve ezek képviselői és kapcsolattartói;
• azok a személyek, akiknek az adatait a Felhasználó a szerződés szövegében, a kitöltendő mezőkben vagy a mellékletekben rögzíti;
• azok a személyek, akik a Felhasználó szerződéséhez megjegyzést (kommentet) írnak.

8. A kezelt személyes adatok köre

• az aláíró neve, e-mail-címe és telefonszáma;
• a szerződő fél adatai: magánszemélynél név, anyja neve, születési hely és idő, lakcím; vállalkozásnál a cégnév, adószám, székhely és az aláíró neve;
• az aláíráskép (megrajzolt vagy feltöltött), az aláírás időpontja, és az aláíráskor rögzített IP-cím és eszközadat;
• a saját elektronikus aláírással vagy AVDH-val aláírt, feltöltött PDF-ben szereplő aláírói adatok;
• a szerződés szövege, a kitöltendő mezők tartalma és a mellékletek (képek, PDF-ek), a bennük szereplő bármely személyes adattal együtt;
• a szerződéshez írt megjegyzések (kommentek);
• a szerződés tevékenységnaplója (ki, mikor, milyen műveletet végzett);
• a szerződéssel kapcsolatban kiküldött levelek adatai (címzett, a levél tárgya és típusa, kézbesítési állapot).

A Signingo nem különleges kategóriába tartozó személyes adatok (GDPR 9. cikk), és nem bűnügyi személyes adatok (GDPR 10. cikk) kezelésére készült. Ha a Felhasználó ilyen adatot rögzít a szerződésben, annak jogszerűségéért ő felel.

9. Az Adatkezelő kötelezettségei és utasításai

1. A Felhasználó felel azért, hogy az Ügyféladatok kezelésének jogalapja legyen, és hogy az érintetteket (különösen a meghívott aláírókat) a GDPR 13. és 14. cikke szerint tájékoztassa, beleértve azt is, hogy a szerződéskötéshez a Signingo szolgáltatást használja.
2. A Felhasználó felel az általa megadott adatok pontosságáért, különösen azért, hogy a meghívót csak olyan e-mail-címre küldje, amelyet kizárólag a meghívott személy kezel (ÁSZF, „Szerződések” rész).
3. A Szolgáltató a Felhasználó dokumentált utasításai alapján kezeli az Ügyféladatokat. Utasításnak minősül az ÁSZF, az Adatfeldolgozói szerződés, a Felhasználó által a Signingo felületén vagy API-ján végzett művelet és beállítás, valamint a Felhasználó fiókjához tartozó e-mail-címről az info@signingo.hu címre küldött írásos utasítás.
4. Ha a Szolgáltató megítélése szerint egy utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt, erről a Felhasználót haladéktalanul tájékoztatja (GDPR 28. cikk (3) bekezdés).

10. Az Adatfeldolgozó kötelezettségei

1. A Szolgáltató az Ügyféladatokat kizárólag a Felhasználó dokumentált utasításai alapján és az 5. pontban írt célokra kezeli, ideértve a harmadik országba történő továbbítást is.
2. Ha uniós vagy tagállami jog (például hatósági vagy bírósági megkeresés) a Szolgáltatót az utasításoktól eltérő adatkezelésre kötelezi, erről a Felhasználót az adatkezelés előtt tájékoztatja, kivéve, ha a tájékoztatást jogszabály tiltja. Ilyenkor a Szolgáltató csak a megkeresés céljához elengedhetetlenül szükséges adatot adja ki.
3. A Szolgáltató nyilvántartást vezet a Felhasználó nevében végzett adatkezelési tevékenységekről (GDPR 30. cikk (2) bekezdés).
4. A Szolgáltató a rendelkezésére álló információk alapján segíti a Felhasználót a GDPR 32–36. cikkében foglalt kötelezettségei teljesítésében (adatbiztonság, incidensek bejelentése, adatvédelmi hatásvizsgálat, előzetes konzultáció).

11. Titoktartás és hozzáférés

1. Az Ügyféladatokhoz a Szolgáltató részéről csak azok a munkatársak és megbízottak férhetnek hozzá, akiknek erre a szolgáltatás üzemeltetéséhez szükségük van, és akik titoktartási kötelezettséget vállaltak, vagy akiket jogszabályon alapuló titoktartási kötelezettség terhel.
2. A Szolgáltató erre feljogosított munkatársai a Felhasználó Signingo-fiókjába és az Ügyféladatokba csak ügyfélszolgálati kérés teljesítéséhez, hibaelhárításhoz, a szolgáltatás biztonságának védelméhez vagy jogszabályi kötelezettség teljesítéséhez, és csak az ehhez szükséges mértékben tekinthetnek be.
3. A titoktartási kötelezettség az Adatfeldolgozói szerződés megszűnése után is fennáll.

12. Az adatok biztonsága

A Szolgáltató a GDPR 32. cikke szerint, a kockázatokkal arányos technikai és szervezési intézkedésekkel védi az Ügyféladatokat. A jelen Adatfeldolgozói szerződés közzétételekor alkalmazott intézkedések:

• Adatközpont az Európai Unióban: a Signingo szervere, adatbázisa, a fájlok tárhelye és a biztonsági mentések a DigitalOcean frankfurti (Németország) adatközpontjában vannak.
• Titkosított kapcsolat: a Signingo felülete és API-ja kizárólag titkosított (HTTPS) kapcsolaton érhető el; a titkosítatlan címről a rendszer a titkosítottra irányít át.
• Belépés és jogosultságok: a jelszavakat a rendszer csak egyirányú, visszafejthetetlen formában (bcrypt) tárolja. A felhasználó a fiókjához kétlépcsős azonosítást kapcsolhat be. A szerződéshez csak a profil tagjai és a szerződés aláírói férnek hozzá; a profil tagjait a profil tulajdonosa hívja meg és távolíthatja el.
• Vendég aláírók: a regisztráció nélküli aláírók egy egyedi, véletlenszerűen generált linken érik el a szerződést, amelyet a rendszer csak a megadott e-mail-címre küld el.
• Hozzáférési kulcsok: az API hozzáférési kulcsai lejárnak (a belépési kulcs 3 nap, a megújító kulcs 60 nap után), a felhasználó által létrehozott API-kulcsok a felületen visszavonhatók.
• Aláírt dokumentumok: az aláírt szerződés PDF-je nem nyilvános tárhelyen van, és csak időkorlátos, aláírt letöltési linken érhető el.
• A dokumentum sértetlensége: az aláírt PDF-re a Signingo elektronikus bélyegzője és minősített időbélyeg kerül, így a dokumentum utólagos módosítása kimutatható. A szerződésen végzett műveleteket a rendszer naplózza.
• Webhookok: a Felhasználó által beállított webhook-címre küldött minden értesítést a rendszer titkos kulccsal aláírja, hogy a fogadó oldal ellenőrizhesse a feladót.
• Visszaélések elleni védelem: a regisztráció robotszűrővel (CAPTCHA) védett, a belépési és más érzékeny műveleteket a rendszer kérésszám-korláttal védi.
• Mentés és helyreállítás: az adatbázisról a rendszer naponta kétszer biztonsági mentést készít, amelyet AES-256 titkosítással, külön tárhelyre ment. A fájlok tárhelye verziókövetett, így véletlen törlés vagy felülírás esetén a korábbi állapot visszaállítható.
• Üzemeltetés: az adminisztrációs felület külön címen, csak a Szolgáltató kijelölt munkatársai számára érhető el. A rendszer működését óránkénti automatikus ellenőrzés figyeli.

A Szolgáltató az intézkedéseket a technika fejlődésével összhangban felülvizsgálhatja és módosíthatja, de a védelem szintjét nem csökkentheti.

13. További adatfeldolgozók

1. A Felhasználó általános felhatalmazást ad arra, hogy a Szolgáltató az alábbi további adatfeldolgozókat vegye igénybe (GDPR 28. cikk (2) bekezdés).

DigitalOcean, LLC

• Elérhetőség: privacy@digitalocean.com (székhely: USA)
• Tevékenység: szerver, adatbázis, fájltárhely és biztonsági mentés
• Érintett Ügyféladatok: minden Ügyféladat
• Az adatkezelés helye: Frankfurt, Németország (EU)

Brevo SAS

• Székhely: 9-17 rue Salneuve, 75017 Párizs, Franciaország
• Tevékenység: a Signingo által küldött e-mailek kézbesítése (aláírási meghívók, emlékeztetők, értesítések)
• Érintett Ügyféladatok: a címzett neve és e-mail-címe, a levél tartalma (például a szerződés neve, a küldő és az aláírók neve, a szerződés linkje), kézbesítési állapot
• Az adatkezelés helye: Európai Unió

Google LLC (Gemini API)

• Székhely: 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
• Tevékenység: a súgó-asszisztens válaszainak előállítása, csak akkor, ha a bejelentkezett felhasználó a súgó-asszisztensnek kérdést tesz fel, és nem kapcsolta ki „Az asszisztens ráláthat a rendszerben tárolt adataimra” kapcsolót
• Érintett Ügyféladatok: a kérdés megválaszolásához lekérdezett adatok: a szerződések neve és állapota, az aláírók neve, e-mail-címe és aláírási állapota, a kitöltendő mezők, a kiküldött levelek, a kommentek és a tevékenységnapló. A szerződések szövegét és az aláírók személyazonosító adatait (adószám, anyja neve, születési hely és idő, lakcím, IP-cím, eszköz) a súgó-asszisztens nem látja.
• Az adatkezelés helye: az Egyesült Államokban is történhet (lásd a 14. pontot)

2. Nem további adatfeldolgozó, mert Ügyféladatot nem kap:
   • a minősített időbélyeg szolgáltatója (Microsec zrt., e-Szignó): az időbélyegzéshez csak a dokumentum lenyomata (egyirányú kivonata) jut el hozzá, a dokumentum tartalma és a benne szereplő személyes adat nem;
   • a Stripe (fizetés), a Billingo (számlázás) és az SMS-küldő szolgáltató (a regisztrációnál és a telefonszám módosításánál a felhasználó saját telefonszámának megerősítése): ezek a Felhasználó saját fiók- és számlázási adatait kezelik, a Szolgáltató önálló adatkezelése keretében (adatkezelési tájékoztató).
3. A Szolgáltató a további adatfeldolgozókra az Adatfeldolgozói szerződésben foglaltakkal lényegében azonos adatvédelmi kötelezettségeket telepít (GDPR 28. cikk (4) bekezdés). A további adatfeldolgozó kötelezettségszegéséért a Szolgáltató a Felhasználóval szemben úgy felel, mintha azt maga követte volna el.
4. A Szolgáltató a további adatfeldolgozók körének tervezett változásáról a Felhasználót tájékoztatja, aki a változás ellen az info@signingo.hu címen tiltakozhat (GDPR 28. cikk (2) bekezdés).

14. Adattovábbítás harmadik országba

Az Ügyféladatokat a Szolgáltató az Európai Unióban tárolja. Harmadik országba (az Európai Gazdasági Térségen kívülre) Ügyféladat csak a GDPR V. fejezetében előírt garanciák mellett kerülhet: a 13. pontban felsorolt, egyesült államokbeli székhelyű további adatfeldolgozók esetében az Európai Bizottság által elfogadott általános adatvédelmi szerződési feltételek, illetve az EU–USA adatvédelmi keret alapján.

15. Az érintettek jogainak segítése

1. A Szolgáltató a Signingo funkcióival segíti a Felhasználót abban, hogy az érintettek kérelmeit (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás) teljesíteni tudja: a Felhasználó a szerződéseket és az aláírói adatokat a felületen megtekintheti, a még alá nem írt szerződést módosíthatja vagy törölheti, a szerződések listáját és a fiók tevékenységnaplóját exportálhatja, az aláírt PDF-et letöltheti.
2. A már aláírt szerződés a felületen nem törölhető. Ha a Felhasználónak egy érintett kérelme miatt ilyen szerződést kell törölnie vagy korlátoznia, az info@signingo.hu címen kérheti a Szolgáltató közreműködését.
3. Ha egy érintett közvetlenül a Szolgáltatóhoz fordul egy Ügyféladattal kapcsolatban, a Szolgáltató a kérelmet indokolatlan késedelem nélkül továbbítja a Felhasználónak, és az érintettet a Felhasználóhoz irányítja. A kérelemről a Szolgáltató a Felhasználó utasítása nélkül nem dönt.

16. Adatvédelmi incidens

1. Ha a Szolgáltató az Ügyféladatokat érintő adatvédelmi incidensről tudomást szerez, arról a Felhasználót indokolatlan késedelem nélkül értesíti a fiókjához tartozó e-mail-címen (GDPR 33. cikk (2) bekezdés).
2. Az értesítés a rendelkezésre álló mértékben tartalmazza az incidens jellegét, az érintettek és az érintett adatok körét és hozzávetőleges számát, a valószínűsíthető következményeket, valamint a megtett vagy tervezett intézkedéseket. Ami az első értesítéskor még nem ismert, azt a Szolgáltató később, késedelem nélkül pótolja.
3. Az incidens felügyeleti hatóságnak történő bejelentése és az érintettek tájékoztatása (GDPR 33. és 34. cikk) a Felhasználó, mint adatkezelő feladata; ebben a Szolgáltató a rendelkezésére álló információkkal segíti. A Szolgáltató az incidenst, annak hatásait és az orvoslására tett intézkedéseket dokumentálja.

17. Ellenőrzés

1. A Szolgáltató a Felhasználó kérésére rendelkezésére bocsát minden olyan információt, amely az Adatfeldolgozói szerződésben és a GDPR 28. cikkében foglalt kötelezettségek teljesítésének igazolásához szükséges.
2. A Szolgáltató lehetővé teszi és elősegíti a Felhasználó vagy az általa megbízott ellenőr által végzett ellenőrzést (GDPR 28. cikk (3) bekezdés h) pont).

18. A szerződés megszűnése: az adatok visszaadása és törlése

1. Visszaadás: a Felhasználó a szerződés megszűnése előtt, a Signingo felületén bármikor letöltheti az aláírt szerződések PDF-jét, és exportálhatja a szerződések listáját és a fiók tevékenységnaplóját. A Szolgáltató a fiók törlése után az Ügyféladatokat nem tudja visszaadni, ezért a Felhasználó a szükséges példányokat a törlés előtt mentse le.
2. Törlés: a Felhasználó a Signingo-fiókját a felületen törölheti. A fiók törlésekor a Szolgáltató a Felhasználó minden Ügyféladatát törli: a Felhasználó saját profiljait és azok minden szerződését, a szerződések szövegével, aláírói adataival, kitöltött mezőivel, mellékleteivel, kommentjeivel, tevékenységnaplójával, a kiküldött levelek adataival és az aláírt PDF-ekkel együtt.
3. A Felhasználó profiljához tartozó szerződés törlésével a szerződés a többi aláíró fél számára is elérhetetlenné válik a Signingóban. A felek által korábban letöltött példányokat a törlés nem érinti.
4. Biztonsági mentések: a törölt adatok a titkosított adatbázis-mentésekben legfeljebb 40 napig, a fájltárhely korábbi változatai között legfeljebb 365 napig maradnak meg, ezután automatikusan törlődnek. Ez idő alatt a Szolgáltató a mentésekből Ügyféladatot csak a rendszer helyreállításához használ.
5. Az Ügyféladatok megőrzését uniós vagy tagállami jog írhatja elő; ilyenkor a Szolgáltató az adatokat csak az előírt ideig és célra őrzi meg.

19. Felelősség

A felek felelősségére a GDPR 82. cikke és az ÁSZF felelősségi szabályai az irányadók. A Szolgáltató a Signingo használatával létrehozott szerződések tartalmáért és érvényességéért az ÁSZF szerint nem felel; a Felhasználó felel azért, hogy a szerződésekben rögzített személyes adatokat jogszerűen kezelje.

20. Módosítás, kapcsolattartás, irányadó jog

1. A Szolgáltató az Adatfeldolgozói szerződést az ÁSZF módosítására vonatkozó szabályok szerint módosíthatja. A módosítás a https://signingo.hu/data-processing-agreement címen történő közzététellel lép hatályba.
2. Az Adatfeldolgozói szerződéssel és az Ügyféladatokkal kapcsolatos kérdések, utasítások és tiltakozások címe: info@signingo.hu, postai úton: 1204 Budapest, Ady Endre utca 106. 3. em. 13. ajtó.
3. Az Adatfeldolgozói szerződésre a magyar jog, a GDPR, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény az irányadó.

Budapest, 2026. november 7.