ADATFELDOLGOZÁSI MEGÁLLAPODÁS

Online CMR-kezelő szolgáltatás

Dokumentum verziószáma: 1.0 · Hatályos: 2026. 11. 01-től · Elérhető: https://onlinecmr.hu/adatfeldolgozas

1. A megállapodás hatálya

1.1. Ez a megállapodás a Szolgáltató valamennyi előfizetőjére (Előfizető) vonatkozik, és a GDPR (EU 2016/679 rendelet) 28. cikke szerinti adatfeldolgozási szerződésnek minősül.

1.2. A megállapodás az erre hivatkozó egyedi szerződés aláírásával jön létre, és az ÁSZF-fel együtt az egyedi szerződés részét képezi.

1.3. Személyes adatok kezelése tárgyában ez a megállapodás elsőbbséget élvez az ÁSZF-fel és az egyedi szerződéssel szemben, kivéve, ha a Felek írásban kifejezetten eltérően rendelkeznek.

1.4. A megállapodás nem vonatkozik azokra az adatkezelésekre, amelyeknél a Szolgáltató a saját céljaira kezel adatot (a felhasználói fiókok létrehozása és a bejelentkezés, számlázás, kapcsolattartás, valamint a rendszer biztonsága és az adminisztratív műveletek naplózása). Ezekről az Adatkezelési Tájékoztató szól: https://onlinecmr.hu/adatkezeles. Az Előfizető felhasználóinak a Szolgáltatásban végzett műveleteihez kapcsolódó adatai (például a fuvarlevelek naplójában szereplő e-mail-cím és időpont) ugyanakkor az Előfizető megbízásából kezelt adatok, ezekre e megállapodás vonatkozik.

2. A Felek

Adatfeldolgozó (Szolgáltató): maXolutions.hu Korlátolt Felelősségű Társaság

• Székhely: 6722 Szeged, Tisza Lajos körút 41.
• Cégjegyzékszám: 06-09-021222
• Adószám: 22992877-2-06
• E-mail: contact@maxolutions.hu

Adatkezelő (Előfizető): az egyedi szerződésben megnevezett előfizető cég, az ott megadott adatokkal.

3. Az adatkezelés részletei

Adatkezelő: az Előfizető.

Adatfeldolgozó: a Szolgáltató.

Az Előfizető nem tölthet fel különleges adatot a Szolgáltatásba.

4. A Szolgáltató kötelezettségei

4.1. A Szolgáltató:

a) az adatokat kizárólag az Előfizető dokumentált utasításaira és kizárólag a Szolgáltatás nyújtásához használja, ideértve az adattovábbításra vonatkozó utasításokat is. Az utasításokat írásban, illetve a Szolgáltatás felhasználói felületén vagy adminisztratív funkcióiban rögzítetten kell megadni. Ha a Szolgáltató úgy ítéli meg, hogy egy utasítás az adatvédelmi jogszabályba ütközik, erről haladéktalanul tájékoztatja az Előfizetőt;

b) csak titoktartási kötelezettség alatt álló, a személyes adatok kezelésére felhatalmazott munkatársakat enged az adatokhoz, kizárólag a szükséges mértékben;

c) a kockázatnak megfelelő technikai és szervezési biztonsági intézkedéseket alkalmaz, ideértve különösen a titkosított adatátvitelt (TLS), a jelszavak visszafejthetetlen (hash-elt) formában történő tárolását, az Előfizetők adatainak elkülönített kezelését, az adminisztratív felületek külön hitelesítését, a naplózást, a rendszeres, több helyszínen tárolt mentést (4.2. pont), a biztonsági frissítéseket, valamint az adatok rendelkezésre állásának és a hozzáférésnek technikai vagy fizikai incidens esetén történő gyors helyreállítását;

d) ha egy érintett a személyes adataihoz kapcsolódó, GDPR szerinti kérelmével közvetlenül a Szolgáltatóhoz fordul, a Szolgáltató azt legkésőbb 5 munkanapon belül továbbítja az Előfizetőnek, és a kérelem technikai teljesítésében az Előfizető utasítása szerint közreműködik;

e) segíti az Előfizetőt az adatbiztonsági, incidenskezelési és hatásvizsgálati kötelezettségei (GDPR 32–36. cikk) teljesítésében;

f) kérésre átadja azokat az információkat, amelyek igazolják, hogy betartja ezt a megállapodást;

g) lehetővé teszi és támogatja az Előfizető vagy az általa megbízott, írásbeli titoktartási kötelezettséget vállalt auditor által végzett, a jelen Megállapodás szerinti adatfeldolgozásra kiterjedő ellenőrzést, ideértve szükség esetén a helyszíni vizsgálatot is. Rendes ellenőrzés évente egy alkalommal, legalább 30 napos előzetes írásbeli bejelentéssel végezhető. Adatvédelmi incidens, a megfelelésre vonatkozó megalapozott aggály vagy hatósági megkeresés esetén további ellenőrzés is végezhető, az eset körülményeihez igazodó előzetes értesítéssel. Az ellenőrzés elsődlegesen dokumentumok és távoli egyeztetés útján történik; az Előfizető a megfelelő független tanúsítványt vagy auditjelentést az ellenőrzéshez elegendőnek fogadhatja el. Az ellenőrzés során biztosítani kell más ügyfelek adatainak, valamint a Szolgáltató üzleti titkainak és rendszerei biztonságának védelmét. Az ellenőrzés költségei az Előfizetőt terhelik, azonban azok nem lehetnek az ellenőrzési jog gyakorlását akadályozó, aránytalan mértékűek.

4.2. A Szolgáltató a mentések egy példányát a saját magyarországi telephelyén, saját üzemeltetésű mentési szerveren is tárolja. A mentések titkosított csatornán kerülnek a telephelyre, a mentési szerver az éles rendszerhez kizárólag olvasási joggal fér hozzá, a mentésekhez pedig csak a 4.1. b) pont szerinti munkatársak férnek hozzá. A Szolgáltató a mentéseket legfeljebb 14 napig őrzi meg.

5. Adatvédelmi incidens

5.1. Ha a személyes adatokat érintő adatvédelmi incidens történik, a Szolgáltató késedelem nélkül, legkésőbb a tudomásszerzéstől számított 48 órán belül értesíti az Előfizetőt.

5.2. A Szolgáltató megadja a rendelkezésre álló információkat, együttműködik az Előfizetővel a kockázatértékelésben, a szükséges intézkedések megtételében és az esetleges bejelentési kötelezettségek teljesítésében. A hatóság (NAIH) és az érintettek értesítése az Előfizető feladata.

6. Alvállalkozók

6.1. Az Előfizető hozzájárul, hogy a Szolgáltató a CMR-adatok kezelésében részt vevő, az alábbi teljes listában felsorolt alvállalkozókat vegye igénybe.

Nem szerepel a listán:

• a Szolgáltató saját magyarországi telephelyén, saját munkatársaival végzett adatkezelés, ideértve a mentések ott tárolt példányát (3. és 4.2. pont), mert ez nem alvállalkozó igénybevétele;
• a számlázó program és a könyvelő, mert ők nem a CMR-adatokat kezelik, hanem a Szolgáltató saját számlázási adatait.

6.2. Új alvállalkozó bevonásáról a Szolgáltató legalább 30 nappal előre, írásban (e-mailben) értesíti az Előfizetőt. Ha az Előfizető indokoltan tiltakozik, és a Felek nem jutnak megegyezésre, az Előfizető a hatálybalépésig felmondhat. Ilyenkor a ki nem használt díjat a Szolgáltató visszafizeti.

6.3. A Szolgáltató az alvállalkozókkal csak olyan írásbeli szerződés vagy általuk közzétett, a Szolgáltató által elfogadott szerződéses feltételek alapján működik együtt, amely legalább a jelen Megállapodásban foglalt adatvédelmi kötelezettségekkel azonos szintű kötelezettségeket ír elő. A Szolgáltató az alvállalkozók adatfeldolgozásáért úgy felel, mintha azt maga végezte volna. Kérésre a Szolgáltató tájékoztatja az Előfizetőt az alkalmazott alvállalkozói szerződéses feltételek elérhetőségéről.

7. Adattovábbítás

7.1. A Szolgáltató a személyes adatokat az Európai Gazdasági Térségben (EGT) tárolja és dolgozza fel. A 6.1. pontban felsorolt alvállalkozók az adatokat az EGT-n belül tárolják; ha egy alvállalkozó saját szolgáltatásnyújtása körében – például üzemeltetési támogatás során – korlátozott mértékben EGT-n kívüli hozzáférés történhet, az a GDPR V. fejezete szerinti garanciák (megfelelőségi határozat, így az EU–USA adatvédelmi keretrendszer, vagy általános adatvédelmi kikötések) alapján történik.

7.2. A 7.1. pontban foglaltakon túl az EGT-n kívülre történő adattovábbításra vagy az EGT-n kívüli adatfeldolgozásra kizárólag az Előfizető előzetes dokumentált utasítása alapján, a GDPR V. fejezetében meghatározott feltételek teljesülése mellett kerülhet sor. További adatfeldolgozó bevonása esetén a 6.2. pont szerinti eljárást is alkalmazni kell.

8. Az Előfizető felelőssége

8.1. Az adatok kezelésének jogszerűségéért az Előfizető mint adatkezelő felel. Az Előfizetőnek rendelkeznie kell a kezelés jogalapjával, és ő tájékoztatja az érintetteket, például a sofőröket és a partnereit.

8.2. Az Előfizető gondoskodik arról, hogy a Szolgáltatásba feltöltött adatok megfeleljenek ennek a megállapodásnak, és ne tartalmazzanak különleges adatot.

9. Törlés vagy visszaadás a szerződés végén

9.1. A szerződés megszűnését követő 30 napon belül az Előfizető a Szolgáltató 2. pontban megadott e-mail-címén kérheti a Szolgáltatásban tárolt adatainak rendelkezésre bocsátását a 9.2. pont szerint. Ez a lehetőség akkor is megilleti az Előfizetőt, ha a Szolgáltatáshoz való hozzáférése már megszűnt vagy felfüggesztésre került. Ha az Előfizető ezen időszak alatt nem kéri az adatok rendelkezésre bocsátását, a Szolgáltató az adatokat a 30 napos időszak leteltét követő 30 napon belül törli az éles rendszerből; a mentésekből történő törlésre a 9.2. pont rendelkezései irányadók.

9.2. Az Előfizető 9.1. pont szerinti kérésére a Szolgáltató a Szolgáltatásban tárolt adatokat – ideértve a CMR-dokumentumokat, a törzsadatokat és az alapértelmezett adatokat – a kérés kézhezvételétől számított 30 napon belül, biztonságos módon rendelkezésre bocsátja. A CMR-dokumentumokat PDF-formátumban, az egyéb adatokat géppel olvasható, általánosan használt formátumban adja át. Az adatok átadását követően a Szolgáltató az éles rendszerben tárolt személyes adatokat 30 napon belül törli. Ha az Előfizető az adatok visszaadása nélkül kéri azok törlését, a Szolgáltató a törlést a kérelem kézhezvételétől számított 30 napon belül teljesíti. A mentésekből az adatok a mentések rendszeres cseréjével, az éles rendszerből történő törlést követő legfeljebb 30 napon belül törlődnek; addig a Szolgáltató a mentéseket kizárólag helyreállításra használja. Helyreállítás esetén a Szolgáltató gondoskodik arról, hogy a korábban törölt adatok ne kerüljenek ismét rendes használatba, és azokat ismét törli. A törlést kérésre írásban igazolja.

9.3. A törlési kötelezettség nem terjed ki azokra a személyes adatokra, amelyek további megőrzését a Szolgáltatóra alkalmazandó uniós vagy tagállami jog előírja. Ilyen esetben a Szolgáltató az adatokat kizárólag az előírt célból és időtartamig őrzi meg, hozzáférésüket korlátozza, és a megőrzés jogalapjáról és időtartamáról tájékoztatja az Előfizetőt, kivéve, ha ezt jogszabály tiltja.

9.4. A CMR-ek és egyéb, jogszabály szerint megőrzendő dokumentumok megőrzése az Előfizető feladata, ezért a szerződés vége előtt vagy a 9.1–9.2 szerinti időszakban gondoskodnia kell azok exportjáról.

10. Felelősség

10.1. A Felek az érintettekkel szemben a GDPR 82. cikke szerint felelnek.

10.2. A Felek egymás közötti felelősségére az ÁSZF 7. pontja, illetve az egyedi szerződés irányadó.

11. Módosítás

11.1. A Szolgáltató ezt a megállapodást jogszabályváltozás vagy a Szolgáltatás lényeges változása miatt módosíthatja. Erről legalább 30 nappal előre értesíti az Előfizetőt.

11.2. Az adatkezelés tárgyát, célját, időtartamát, az adattípusokat, az érintetti köröket, az adattovábbítást vagy az alvállalkozói kört érintő módosítás csak az Előfizető előzetes hozzájárulásával, illetve a 6.2. pont szerinti eljárás alkalmazásával történhet.

11.3. Ha az Előfizető a módosítást nem fogadja el, a módosítás hatálybalépéséig felmondhatja a Szerződést (ÁSZF 9.1. pont). A korábbi verziókat a Szolgáltató megőrzi.