Adatfeldolgozási szerződés

Az óvoda és a 4V3D OÜ között, a Minute Mission csoportszolgáltatásra. 1.0 verzió, 2026. szeptember 23.

Ez a szerződés magyar nyelvű szövege. A szerződés angolul és észtül is megjelenik, és ez a két szöveg az irányadó. Az észt ügyfelek az észt szöveget írják alá. Ha ez a fordítás eltér az angol szövegtől, az angol szöveg dönt.

Hogyan lehet elfogadni

Két módon, azonos hatállyal.

• A megrendeléskor. Jelöljék be a négyzetet, amellyel elfogadják ezt a szerződést, 1.0 verzió. A verziót és a dátumot rögzítjük a fiókjuknál, az elfogadott szöveg pontos másolatát e-mailben elküldjük Önöknek, és az a fiókjukban is elérhető marad.
• Papíron, ha az intézményüknek aláírásra van szüksége. Kérjék tőlünk az info@4v3d.ee címen, és ugyanezt a szöveget elküldjük dokumentumként, az adataiknak szánt táblázattal. Írják alá elektronikusan (eIDAS szerinti minősített aláírással, DocuSign, Adobe Sign vagy saját nemzeti rendszerük útján), és küldjék vissza. A 4V3D OÜ ugyanazt a fájlt aláírja és visszaküldi. A szerződés a két aláírás közül a későbbivel lép hatályba.

Adatfeldolgozó: 4V3D OÜ, nyilvántartási szám 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Észtország. Képviselő: Oskar Viil, az igazgatóság tagja. Kapcsolat: info@4v3d.ee.

1. Mire terjed ki ez a szerződés

Az óvoda (az adatkezelő) a Minute Missiont használja, amely a 4V3D OÜ (az adatfeldolgozó) által üzemeltetett webes alkalmazás, és amelyben a pedagógus a csoport küldetéseinek és jutalmainak tábláját vezeti. Ehhez a 4V3D OÜ a II. mellékletben leírt személyes adatokat az óvoda nevében és annak utasításai szerint kezeli.

Ez a szerződés mindazt tartalmazza, amiben a GDPR és az UK GDPR Article 28(3) rendelkezése szerint az adatkezelőnek és az adatfeldolgozónak írásban meg kell állapodnia. Akkor is alkalmazandó, ha az óvoda nem az EGT-ben vagy az Egyesült Királyságban letelepedett.

2. Melyik jog vonatkozik Önökre

• EGT-beli óvoda. A GDPR alkalmazandó. A 3. pont is alkalmazandó.
• Egyesült királyságbeli óvoda. Az UK GDPR és a Data Protection Act 2018 alkalmazandó. Az alábbiakban a GDPR-re való hivatkozásokat az UK GDPR-re való hivatkozásként kell érteni, a felügyeleti hatóságra való hivatkozást az Information Commissionerre való hivatkozásként, és a 3. pont nem alkalmazandó.
• Bárhol máshol működő óvoda. Önökre a saját adatvédelmi joguk vonatkozik, ezek a feltételek pedig szerződéses alapon kötik a 4V3D OÜ-t. A 4V3D OÜ az Európai Unióban letelepedett, ezért erre az adatkezelésre mindenképpen a GDPR kötelezi. Itt semmi nem csorbítja azt a jogot, amelyet a saját joguk ad Önöknek.

3. Az Európai Bizottság általános szerződési feltételei

Ha az óvoda az EGT-ben letelepedett, a felek alkalmazzák az adatkezelők és adatfeldolgozók közötti általános szerződési feltételeket, amelyek a bizottsági végrehajtási határozat Decision (EU) 2021/915 mellékletében szerepelnek, azok hivatalos angol szövege szerint. Ezek a feltételek e szerződés részét képezik, az alábbi mellékletek pedig az ő mellékleteik. A Clause 5 (csatlakozás) nem alkalmazandó. A Clause 7.7 szerint a 2. lehetőség alkalmazandó: a további adatfeldolgozók általános írásbeli engedélyezése, minden változásról 30 nappal korábbi értesítéssel. Ha a feltételek és ez a szerződés eltérnek, a feltételek az irányadók.

4. Mit vállal a két fél

A 4V3D OÜ vállalja, hogy:

• A személyes adatokat kizárólag a szolgáltatás nyújtásához és kizárólag az óvoda dokumentált utasításai szerint kezeli, ideértve a harmadik országba történő továbbítást is. Ezek az utasítások: ez a szerződés és a szolgáltatás óvodai használata. Ha uniós vagy tagállami jog a 4V3D OÜ-t más adatkezelésre kötelezi, erről előbb tájékoztatja az óvodát, kivéve, ha ezt az adott jog tiltja.
• Az adatokat soha nem használja a saját céljaira, nem adja el, semminek a betanítására nem használja, és a IV. mellékletben megnevezett további adatfeldolgozókon kívül senkinek nem mutatja meg.
• Gondoskodik arról, hogy mindenkit, aki hozzáfér, titoktartás kössön.
• Fenntartja a III. mellékletben szereplő biztonsági intézkedéseket, és nem gyengíti azokat.
• Kizárólag a IV. mellékletben szereplő további adatfeldolgozókat veszi igénybe. A 4V3D OÜ újat vonhat be vagy cserélhet, és erről előbb 30 napos írásbeli értesítést küld az óvoda kapcsolattartójának. Az óvoda ezen a 30 napon belül kifogást emelhet; ha a kifogás nem rendezhető, az óvoda megszüntetheti a szolgáltatást, és a hónap fel nem használt részére visszatérítést kap.
• Segít az óvodának megválaszolni a szülő vagy a munkatárs kérelmét. A pedagógusok és a vezető ezeket az adatokat a szolgáltatásban maguk is megtekinthetik, helyesbíthetik, exportálhatják és törölhetik. Ha a kérelem mégis a 4V3D OÜ-höz érkezik, azt öt munkanapon belül továbbítja az óvoda kapcsolattartójának, és közvetlenül nem válaszolja meg.
• Segíti az óvodát az Articles 32 to 36 szerinti kötelezettségeiben (biztonság, incidensbejelentés, hatásvizsgálat, előzetes konzultáció), figyelembe véve azt, amit a 4V3D OÜ ténylegesen tud.
• Az adatvédelmi incidensről a tudomásszerzéstől számított 24 órán belül tájékoztatja az óvoda kapcsolattartóját, az akkor ismert információkkal, a többit pedig úgy, ahogy az kiderül.
• A szolgáltatás megszűnésekor 30 napon belül törli az adatokat, vagy előbb visszaadja azokat, ha az óvoda kéri. A titkosított biztonsági mentésekből 90 napon belül tűnnek el. A 4V3D OÜ írásban visszaigazolja, amikor az adat megszűnt.
• Rendelkezésre bocsátja az e kötelezettségek teljesítésének igazolásához szükséges információkat, és lehetővé teszi az auditot. A gyakorlatban ez kérésre adott írásbeli válaszokat és dokumentációt jelent. Helyszíni vagy harmadik fél által végzett audit 30 napos értesítéssel, az óvoda költségén, évente legfeljebb egyszer szervezhető, kivéve, ha incidens történt.
• Haladéktalanul szól az óvodának, ha egy utasítás az adatvédelmi jogot sértheti.

Az óvoda vállalja, hogy:

• Gondoskodik arról, hogy ehhez az adatkezeléshez jogalapja legyen, és hogy a szülőket tájékoztatták. A 4V3D OÜ nem találkozik a szülőkkel, és ezt nem tudja Önök helyett megtenni.
• A szolgáltatásban tartott adatokat arra korlátozza, amit a II. melléklet leír. Így különösen: szabad szöveges mezőbe ne írják be a gyermek vezetéknevét, egészségügyi adatát, a gyermekről szóló értékelést, sem a család körülményeire vonatkozó bármit.
• Naprakészen tartja a saját fiókadatait, és szól a 4V3D OÜ-nek, ha a kapcsolattartó személye megváltozik.
• Maga kezeli a munkatársai fiókjait: a távozó pedagógus belépését megszünteti.

5. Két dolog, ami nem az Önök nevében végzett adatkezelés

Itt mondjuk ki, hogy később senkinek ne kelljen találgatnia.

• Munkatársi fiókok. A pedagógus vagy a vezető neve, e-mail-címe és jelszava nélkül a szolgáltatás egyáltalán nem működne, és azt a 4V3D OÜ dönti el, hogyan üzemelteti. Erre a szűk célra a 4V3D OÜ adatkezelő, nem adatfeldolgozó, és a saját adatvédelmi tájékoztatója alkalmazandó. Minden, ami a gyermekekre vonatkozik, az óvoda nevében végzett adatkezelés, és erre ez a szerződés vonatkozik.
• A fizetés. Ha az óvoda kártyával fizet, a fizetést a Stripe Payments Europe Ltd bonyolítja. A Stripe az óvoda számlázási nevét, címét, adószámát, e-mail-címét és kártyaadatait kapja meg, gyermekre vonatkozó adatot nem. Ezeknek a számlázási adatoknak a 4V3D OÜ az adatkezelője. A Stripe ezért e szerződés szerint nem további adatfeldolgozó, és nem szerepel a IV. mellékletben.

6. Időtartam, alkalmazandó jog és felelősség

Ez a szerződés addig tart, amíg a 4V3D OÜ az óvoda adatait kezeli, és a szolgáltatás megszűnése után az adatok törléséig hatályban marad.

Az észt jog alkalmazandó, és a Harju Megyei Bíróság rendelkezik joghatósággal, kivéve, ha az óvoda olyan közintézmény, amelynek saját szabályai a nemzeti jogát és bíróságait írják elő; ebben az esetben a felek erről az aláírás előtt állapodnak meg.

A felelősségre a Minute Mission felhasználási feltételei irányadók, amelyeket ez a szerződés kiegészít, de nem vált fel.

I. melléklet. A felek

Adatkezelő: az óvoda, a megrendeléskor megadott vagy az aláírt példányba beírt adatai szerint. Szerepe: a csoporttáblán tartott gyermekadatok adatkezelője.

Adatfeldolgozó: 4V3D OÜ, nyilvántartási szám 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Észtország. Kapcsolat: Oskar Viil, az igazgatóság tagja, info@4v3d.ee. Adatvédelmi tisztviselőt nem neveztünk ki, mert a GDPR itt nem ír elő ilyet.

Bármelyik fél írásban értesítheti a másikat a kapcsolattartója megváltozásáról.

II. melléklet. Az adatkezelés leírása

III. melléklet. Biztonsági intézkedések

• Az adatok az Európai Unióban vannak. Az alkalmazás és a biztonsági mentései a Hetzner Online GmbH finnországi, helsinki adatközpontjában futnak (ISO/IEC 27001 tanúsítvánnyal). A szolgáltatási e-maileket a franciaországi Scaleway SAS küldi. Harmadik országba nincs továbbítás.
• Minden átvitel titkosított (HTTPS, érvényben lévő Content Security Policy mellett). Jelszót soha nem tárolunk, csak annak hash-ét, és a munkamenet-tokeneket is hash formájában tároljuk, így az adatbázis másolata nem működő kulcsok gyűjteménye.
• Minden csoport külön fiók. A pedagógus csak a saját csoportjába járó gyermekeket látja. A vezetőnek egyetlen belépése van a saját csoportjaihoz, és máséhoz nincs hozzáférése.
• Csoportfiókba fényképet nem lehet feltölteni, a push értesítések ki vannak kapcsolva, a gyermekek képei pedig egy rögzített rajzkészletből valók.
• Napi titkosított biztonsági mentés, 14 napig a szerveren és 90 napig azon kívül megőrizve. Olyan nyilvános kulccsal titkosítjuk, amely magán a szerveren nincs meg, így a szerver a saját mentéseit nem tudja elolvasni. A mentésből való visszaállítást teszteltük.
• A szerverhez csak a 4V3D OÜ igazgatósági tagja fér hozzá. Nincs hozzáféréssel rendelkező munkavállaló, alvállalkozó vagy ügyfélszolgálati munkatárs.
• Nincs analitika, nincs reklámeszköz és semmilyen nyomkövetés. Az egyetlen rendszeres jelentés a regisztrációk, az aktív fiókok és a hibák napi darabszáma, amely nevet nem tartalmaz.
• Sebességkorlátozás a belépésnél és a regisztrációnál, valamint 30 napos korlát arra, hogy visszamenőleg meddig lehet egy küldetést kipipálni, így egy tévedés vagy egy visszaélés nem írhat át hónapokra visszamenő előzményeket.
• Írásos biztonsági átvizsgálást a teljes forráskódon kétszer végzett egy külső modell, legutóbb 2026. szeptember 20-án, és a megállapításokat lezártuk.

IV. melléklet. További adatfeldolgozók

Mindkettő az Európai Unióban van. Az EU-n kívül nincs további adatfeldolgozó, és nincs értékelendő nemzetközi adattovábbítás.