Data Processing Agreement (DPA)
Adatfeldolgozói Megállapodás

1. Definitions

• "Controller": The Customer, who determines the purposes and means of processing the Guests' personal data using the Blutency Platform.
• "Processor": The Service Provider who processes personal data on behalf of the Controller pursuant to this Agreement.
• "Personal Data": Any information relating to an identified or identifiable natural person as defined in GDPR Art. 4(1).
• "Employee": A natural person registered by the Customer on the Platform, to whom a service, working hours or bookable appointment slot is linked.
• "Guest": The natural person who books an appointment through the booking interface provided by the Customer.
• "Processing": Any operation on personal data as defined in GDPR Art. 4(2).
• "Sub-processor": Any third-party processor engaged by Blutency to process personal data on behalf of the Controller.
• "GDPR": Regulation (EU) 2016/679 of the European Parliament and of the Council.
• "Supervisory Authority": NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság (National Authority for Data Protection and Freedom of Information), https://naih.hu.

Capitalised terms not separately defined in this Agreement shall have the meaning assigned to them in the GTC.

2. Subject Matter, Nature, Purpose and Duration of the Agreement

Subject matter: the processing of personal data of End Users and Employees registered by the Customer on the Platform, on behalf of the Controller and based on documented instructions, to the extent necessary for the provision of the Service.

Nature of processing: the collection, recording, organisation, structuring, storage, retrieval, use, transmission, modification, restriction, erasure and destruction of personal data, to the extent necessary for the provision of the Service.

Purpose of processing: The operation and provision of the appointment booking service ordered under the GTC — in particular: storing bookings, sending confirmation and reminder notifications (email and/or SMS), providing the booking management administrative interface, and synchronising approved bookings with the Customer's Google Calendar (if enabled).

Duration: the processing of personal data takes place for the duration of the Agreement, in accordance with the Controller's documented instructions and the settings available on the Platform. The provisions of Section 11 apply to the return and deletion of data following termination of the Agreement.

3. Categories of Data Subjects and Personal Data

Data Subjects: Guests who book appointments through the Customer's booking widget and (in the case of SMS reminders) recipients of SMS messages, as well as Employees registered by the Customer on the Platform.

The Platform is not designed for the processing of special categories of personal data (GDPR Art. 9). The Customer may only record or transmit such data through the Platform if they have an appropriate legal basis and guarantees for doing so, and the Service Provider has given prior written consent.

4. Obligations of the Processor (GDPR Art. 28(3))

The Processor, in accordance with the requirements of the GDPR:

1. Processes personal data solely on the basis of the Controller's documented instructions, including transfers of personal data to third countries or international organisations, except where required to do so by EU or Member State law applicable to the Processor; in such cases, the Processor shall inform the Controller of that legal requirement before processing, unless the law prohibits this on grounds of important public interest.
2. Immediately informs the Controller if, in its opinion, an instruction infringes the GDPR or other applicable EU or Member State data protection law.
3. Ensures confidentiality — ensures that persons authorised to process personal data are subject to an appropriate duty of confidentiality.
4. Implements appropriate technical and organisational measures (GDPR Art. 32) in accordance with Section 8 of this Agreement.
5. Engages further processors solely in accordance with Section 6 on the basis of the Controller's prior general authorisation.
6. In accordance with GDPR Art. 28(4), imposes on any further processor data protection obligations at least equivalent to those set out in this Agreement, and remains liable to the Controller for the performance of the further processor's obligations.
7. Assists the Controller in fulfilling requests for the exercise of Data Subjects' rights (GDPR Arts. 15–22).
8. Assists the Controller in fulfilling obligations under GDPR Arts. 32–36 (security, DPIA, breach notification).
9. At the Controller's choice, returns or deletes personal data upon termination of the Agreement in accordance with Section 11.
10. Makes available to the Controller or an auditor mandated by the Controller all information necessary for inspections and provides access in accordance with Section .. of this Agreement.

5. Obligations of the Controller

The Customer, as Controller, is obliged in particular to:

• ensure that the processing of personal data, its transfer to the Service Provider and instructions given to the Service Provider as Processor comply with applicable data protection legislation;
• provide Guests and Employees with appropriate data processing information in accordance with the GDPR;
• determine and document the legal basis, purpose and required retention period for the processing of personal data;
• handle and respond to requests for the exercise of Data Subjects' rights as Controller, and forward without delay to the Service Provider any requests requiring its involvement;
• ensure that only personal data necessary and proportionate to the purpose of the Service is processed on the Platform;
• refrain from processing special categories of personal data contrary to the conditions set out in Section 3;
• immediately notify the Service Provider of any circumstance that may affect the security or lawful processing of personal data processed on the Platform.

6. Sub-processors

The Controller grants general written authorisation for the Processor to engage further processors to carry out data processing operations under this Agreement. The list of currently engaged further processors is set out in Annex 1.

The Processor shall notify the Controller of any intended engagement of a new further processor or replacement of an existing further processor prior to such engagement, and shall provide an adequate opportunity for the Controller to raise a reasonable objection on data protection grounds to such change. The Parties shall cooperate in good faith to resolve the objection. If the objection cannot be reasonably resolved, the Processor may either refrain from engaging the relevant further processor or provide the Controller with the opportunity to terminate the relevant Service.

7. Limitation of Liability

Given that the Service is provided free of charge on a test-operation basis during the beta period, the Service Provider's aggregate liability as Processor for breaches of this Agreement towards the Customer as Controller — to the fullest extent permitted by law — shall be limited to a maximum of [●] HUF.

The limitation of liability under this section — to the extent permitted by law — shall cover all claims asserted by the Controller against the Processor arising from a breach of this Agreement, including claims for reimbursement of compensation, damages or other indemnities paid by the Processor to Data Subjects or other third parties.

This section does not limit the rights of Data Subjects under GDPR Art. 82, and does not apply to any liability or indemnification claim whose limitation is excluded by mandatory applicable law.

8. External Services and Integrations Chosen by the Customer

If the Customer connects their own account or an external service of their own choosing to the Platform — in particular their own Google Calendar account or own SMTP service — such external service may, depending on the circumstances, act as the Customer's direct service provider and does not automatically qualify as a further processor of the Service Provider.

Activation of such an integration constitutes a documented instruction from the Customer as Controller to the Service Provider to transfer personal data required for the operation of the integration to the external service designated by the Customer. The Customer, as Controller, is responsible for ensuring that the legal basis, information notices, contractual terms and — in the case of transfers to third countries — the appropriate transfer mechanism under Chapter V of the GDPR required for the use of the external service are in place.

If an external service is engaged by the Service Provider as part of its own service chain for processing on behalf of the Customer, the provisions of Section 6 on further processors shall apply.

9. Transfers to Third Countries

The Processor shall only transfer personal data to recipients outside the European Economic Area on the basis of the Controller's documented instructions and subject to the conditions set out in Chapter V of the GDPR.

If a further processor processes personal data outside the European Economic Area, the Processor shall apply an appropriate data transfer mechanism, relying in particular on an adequacy decision, the EU-US Data Privacy Framework — where the recipient holds a valid certification — or Standard Contractual Clauses adopted by the European Commission.

The currently engaged further processors and the related data transfer mechanisms are set out in Annex 1.

10. Data Security Measures (GDPR Art. 32)

The Processor, in accordance with GDPR Art. 32 and proportionate to the risks, implements in particular the following technical and organisational measures:

• AES-256 encryption at rest; TLS 1.2+ for data in transit
• Encrypted storage of OAuth tokens; bcrypt password hashing
• Role-based access control; tenant isolation (data segregation by customer_id)
• Audit log for all critical operations (login, booking creation/deletion, account changes)
• CSRF protection on all state-changing operations
• Automatic daily backups
• Rate limiting on all publicly accessible endpoints
• Idempotency filtering to prevent duplicate bookings

The Service Provider is entitled to adjust the technical and organisational measures to reflect advances in technology and changes to the Platform, provided that the overall level of data security is not thereby reduced.

11. Assistance with the Exercise of Data Subject Rights

The Controller is responsible for responding to Data Subject requests. Taking into account the nature of the processing, the Processor shall provide assistance to the Controller, through the technical means available to it, in fulfilling access, rectification, erasure, restriction of processing, data portability and objection requests, to the extent that the relevant Data Subject right applies to the Controller's processing.

• Access (Art. 15): The Controller may access booking data and associated personal data processed therein through the Platform's administrative interface. If fulfilling a Data Subject access request requires the provision of data not available through the administrative interface, the Controller may request the Processor's assistance.
• Rectification (Art. 16): The Controller may rectify personal data processed on the Platform using the functions provided for this purpose on the Platform. If rectification of certain data cannot be carried out through the Platform, the Controller may request the Processor's assistance.
• Erasure (GDPR Art. 17): The Controller may delete individual bookings through the Platform. If the complete erasure of a Data Subject's personal data requires the Processor's involvement, the Controller may request this by email at hello@blutency.com.
• Restriction of processing (GDPR Art. 18): If fulfilling a Data Subject request requires the Processor's involvement, the Controller may request this by email at hello@blutency.com.
• Data portability (GDPR Art. 20): The Platform provides the Controller with CSV-format data export. If fulfilling a Data Subject request requires the provision of additional data, the Controller may request the Processor's assistance.
• Objection (Art. 21): Where a Data Subject has the right to object to the Controller's processing, the Processor shall cooperate in fulfilling the objection request received by the Controller, in accordance with the nature of the processing and the technical means available to it. For example, the Platform may enable the Guest to modify their notification preferences for a given notification type via a link placed in individual notifications, without affecting the Controller's obligations in relation to handling Data Subject requests.

12. Notification of Personal Data Breaches

In the event of a personal data breach, the Processor shall notify the Controller without undue delay and, where possible, within 24 hours, providing the nature of the breach, the categories and approximate number of Data Subjects and personal data records concerned, the likely consequences, and the measures taken or planned to address the breach. If all information is not available simultaneously, the Processor may provide it in stages.

The Controller is responsible for notifying NAIH and the affected natural persons in accordance with GDPR Arts. 33–34.

13. Return and Deletion of Data upon Termination

Upon termination of the Agreement, the Controller is entitled to request the return or deletion of personal data. Unless the Controller instructs otherwise, the Service Provider shall provide a data export option for 30 days following termination, after which the personal data covered by this Agreement shall be deleted.

Personal data contained in backups shall be deleted in accordance with the Service Provider's regular backup and overwrite cycle; until then, such data may be retained solely for recovery purposes and may not be used for active processing.

The Service Provider shall confirm deletion to the Controller in writing or electronically upon request.

The Service Provider may only retain irreversibly anonymised statistical data following termination of the Agreement from which the natural person concerned can no longer be identified.

If a legal obligation applicable to the Service Provider requires the retention of certain data, the Service Provider may retain such data solely for the period and purpose necessary to fulfil that legal obligation, in storage separate from active processing.

14. Contact and Governing Law

The Service Provider's identifying and contact details are the same as those set out in the GTC. Data protection contact address: hello@blutency.com.

This Agreement is concluded in electronic form and constitutes a written agreement within the meaning of GDPR Art. 28(9).

This Agreement is governed by Hungarian law. The provisions of the GTC on dispute resolution apply to disputes between the Parties.

The competent supervisory authority is the Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH).

Matters not regulated by this Agreement are governed by the provisions of the GTC. The obligations under this Agreement do not affect the rights and claims of Data Subjects or the supervisory authority based on applicable law.

Annex 1 – Further Processors Engaged During the Beta Period

This Annex lists the further processors actually engaged during the beta period that process personal data covered by this DPA.

The Stripe payment service is not active during the beta period and relates to the later payment of the Customer's own subscription; it is therefore not included in this Annex. The Twilio SMS function is not active during the beta period. Before activation, the Service Provider shall update this Agreement and the further processor list as necessary.

The provisions of Section 7 apply to the connection of the Customer's own Google Calendar account or own SMTP service.

1. Fogalmak

• „Adatkezelő": Az Ügyfél, aki meghatározza a Vendégek személyes adatainak kezelési céljait és eszközeit a Blutency Platform segítségével.
• „Adatfeldolgozó": A Szolgáltató aki az Adatkezelő nevében, e Megállapodás alapján kezeli a személyes adatokat.
• „Személyes adat": A GDPR 4. cikk (1) bekezdése szerinti, azonosított vagy azonosítható természetes személyre vonatkozó bármely információ.
• „Munkatárs": az Ügyfél által a Platformon rögzített természetes személy, akihez szolgáltatás, munkaidő vagy foglalható időpont kapcsolódik.
• „Vendég": az a természetes személy, aki az Ügyfél által biztosított foglalási felületen keresztül időpontot foglal.
• „Adatkezelés": A GDPR 4. cikk (2) bekezdése szerinti bármely művelet személyes adatokon.
• „Alvállalkozó adatfeldolgozó": Minden olyan harmadik fél adatfeldolgozó, akit a Blutency az Adatkezelő nevében végzett adatkezelésre vesz igénybe.
• „GDPR": Az Európai Parlament és Tanács (EU) 2016/679. rendelete.
• „Felügyeleti hatóság": NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság, https://naih.hu.

A jelen Megállapodásban külön nem definiált, nagy kezdőbetűvel írt fogalmak jelentése megegyezik az ÁSZF-ben meghatározott jelentéssel.

2. A Megállapodás tárgya, az adatkezelés jellege, célja és időtartama

Tárgy: a Végfelhasználók, valamint az Ügyfél által a Platformon rögzített Munkatársak személyes adatainak az Adatkezelő nevében és dokumentált utasításai alapján, a Szolgáltatás nyújtásához szükséges kezelése.

Az adatkezelés jellege: a személyes adatok gyűjtése, rögzítése, rendszerezése, strukturálása, tárolása, lekérdezése, felhasználása, továbbítása, módosítása, korlátozása, törlése és megsemmisítése, a Szolgáltatás nyújtásához szükséges mértékben.

Az adatkezelés célja: Az ÁSZF alapján megrendelt időpontfoglalási szolgáltatás működtetése és nyújtása — különösen: foglalások tárolása, visszaigazolási és emlékeztető értesítések küldése (e-mail és/vagy SMS), a foglaláskezelő adminisztrációs felület biztosítása, és jóváhagyott foglalások szinkronizálása az Ügyfél Google Naptárával (ha engedélyezve van).

Időtartam: a személyes adatok feldolgozása a Szerződés fennállása alatt, az Adatkezelő dokumentált utasításai és a Platformon rendelkezésre álló beállítások szerint történik. A Szerződés megszűnését követő adat-visszaadásra és törlésre a 11. pont rendelkezései irányadók.

3. Az érintettek kategóriái és a személyes adatok

Érintettek: a Vendégek, akik az Ügyfél foglalási widgetjén keresztül időpontot foglalna és (SMS emlékeztetők esetén) az SMS üzenetek címzettjei, valamint az Ügyfél által a Platformon rögzített Munkatársak.

A Platform nem különleges kategóriájú személyes adatok (GDPR 9. cikk) kezelésére készült. Az Ügyfél ilyen adatot kizárólag akkor rögzíthet vagy továbbíthat a Platformon keresztül, ha ehhez megfelelő jogalappal és garanciákkal rendelkezik, és ehhez a Szolgáltató előzetesen írásban hozzájárult.

4. Az adatfeldolgozó kötelezettségei (GDPR 28. cikk (3) bekezdés)

Az Adatfeldolgozó a GDPR előírásaival összehangban:

1. Kizárólag az Adatkezelő dokumentált utasításai alapján kezeli a személyes adatokat, ideértve a harmadik országba vagy nemzetközi szervezet részére történő adattovábbítást is, kivéve, ha az adatkezelést az Adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő; ilyen esetben az Adatfeldolgozó az adatkezelést megelőzően tájékoztatja az Adatkezelőt, kivéve, ha ezt a jogszabály fontos közérdekből tiltja.
2. haladéktalanul tájékoztatja az Adatkezelőt, ha megítélése szerint valamely utasítás sérti a GDPR-t vagy más alkalmazandó uniós vagy tagállami adatvédelmi rendelkezést
3. Titoktartást biztosít — biztosítja, hogy a személyes adatok kezelésére feljogosított személyek megfelelő titoktartási kötelezettség alatt álljanak;
4. Megfelelő technikai és szervezési intézkedéseket alkalmaz (GDPR 32. cikk) a jelen Megállapodás 8. pontja szerint
5. Az Adatkezelő előzetes általános felhatalmazása alapján kizárólag a 6. pont szerint vesz igénybe további adatfeldolgozót;
6. a GDPR 28. cikk (4) bekezdésének megfelelően a további adatfeldolgozóra legalább a jelen Megállapodásban meghatározottal azonos szintű adatvédelmi kötelezettségeket ró, és a további adatfeldolgozó kötelezettségeinek teljesítéséért az Adatkezelő felé felelősséggel tartozik;
7. Segíti az Adatkezelőt az érintetti jogok iránti kérelmek teljesítésében (GDPR 15–22. cikk).
8. Segíti az Adatkezelőt a GDPR 32–36. cikkei szerinti kötelezettségek (biztonság, DPIA, incidensbejelentés) teljesítésében.
9. A Szerződés megszűnésekor az Adatkezelő választása szerint visszaadja vagy törli a személyes adatokat a 11. pont szerint.
10. Az Adatkezelő vagy általa megbízott auditor részére az ellenőrzéshez szükséges információkat és hozzáférést biztosítja a jelen Megállapodás .. pontja szerint.

5. Az adatkezelő kötelezettségei

Az Ügyfél, mint Adatkezelő köteles különösen:

• biztosítani, hogy a személyes adatok kezelése, a Szolgáltató részére történő átadása és a Szolgáltató, mint Adatfeldolgozó részére adott utasítások megfeleljenek az alkalmazandó adatvédelmi jogszabályoknak;
• a Vendégek és a Munkatársak részére a GDPR szerinti megfelelő adatkezelési tájékoztatást biztosítani;
• meghatározni és dokumentálni a személyes adatok kezelésének jogalapját, célját és szükséges megőrzési idejét;
• az érintetti jogok gyakorlására irányuló kérelmeket adatkezelőként kezelni és megválaszolni, valamint a Szolgáltató közreműködését igénylő kérelmeket részére késedelem nélkül továbbítani;
• biztosítani, hogy a Platformon kizárólag a Szolgáltatás céljához szükséges és arányos személyes adatokat kezeljen;
• tartózkodni különleges személyes adatoknak a 3. pontban meghatározott feltételekkel ellentétes kezelésétől;
• haladéktalanul értesíteni a Szolgáltatót minden olyan körülményről, amely a Platformon kezelt személyes adatok biztonságát vagy jogszerű kezelését érintheti.

6. Alvállalkozó adatfeldolgozók

Az Adatkezelő általános írásbeli felhatalmazást ad arra, hogy az Adatfeldolgozó a jelen Megállapodás szerinti adatkezelési műveletek elvégzéséhez további adatfeldolgozókat vegyen igénybe. A jelenleg igénybe vett további adatfeldolgozók listáját az 1. számú melléklet tartalmazza.

Az Adatfeldolgozó új további adatfeldolgozó igénybevételéről vagy meglévő További adatfeldolgozó cseréjéről annak igénybevételét megelőzően tájékoztatja az Adatkezelőt, és megfelelő lehetőséget biztosít arra, hogy az Adatkezelő a változással szemben észszerű, adatvédelmi okból kifogást emeljen. A Felek a kifogás rendezése érdekében jóhiszeműen együttműködnek. Amennyiben a kifogás észszerű módon nem rendezhető, az Adatfeldolgozó jogosult az érintett további adatfeldolgozó igénybevételétől eltekinteni, vagy az Adatkezelő számára lehetőséget biztosítani az érintett Szolgáltatás megszüntetésére.

7. Felelősségkorlátozás

Tekintettel arra, hogy a Szolgáltatás a béta időszakban díjmentesen, tesztüzemi jelleggel kerül biztosításra, a Szolgáltatónak, mint Adatfeldogozónak a jelen Megállapodás megszegéséből eredő, az Ügyféllel, mint Adatkezelővel szembeni összesített kártérítési felelőssége – a jogszabály által megengedett legteljesebb mértékben – legfeljebb [●] Ft összegre korlátozódik.

A jelen pont szerinti felelősségkorlátozás – a jogszabály által megengedett mértékben – kiterjed valamennyi, a jelen Megállapodás megszegéséből eredő, az Adatkezelő által az Adatfeldogozóval szemben érvényesített igényre, ideértve az Adatfeldolgozó által az érintett vagy más harmadik személy részére megfizetett kártérítés, sérelemdíj vagy más kártalanítás megtérítésére irányuló igényt is.

A jelen pont nem korlátozza az érintetteknek a GDPR 82. cikke alapján fennálló jogait, és nem alkalmazható olyan felelősségre vagy megtérítési igényre, amelynek korlátozását kötelezően alkalmazandó jogszabály kizárja.

8. Az Ügyfél által választott külső szolgáltatások és integrációk

Ha az Ügyfél saját fiókját vagy saját maga által választott külső szolgáltatót kapcsol a Platformhoz - így különösen saját Google Naptár-fiókot vagy saját SMTP-szolgáltatást -, az ilyen külső szolgáltató az adott körülményektől függően az Ügyfél közvetlen szolgáltatójaként járhat el, és nem minősül automatikusan a Szolgáltató további adatfeldolgozójának.

Az ilyen integráció aktiválása az Ügyfél, mint Adatkezelő dokumentált utasításának minősül arra, hogy a Szolgáltató az integráció működéséhez szükséges személyes adatokat az Ügyfél által kijelölt külső szolgáltatás részére továbbítsa. Az Ügyfél, mint Adatkezelő felel azért, hogy a külső szolgáltatás igénybevételéhez szükséges adatvédelmi jogalap, tájékoztatás, szerződéses feltételek és - harmadik országba történő adattovábbítás esetén - a GDPR V. fejezete szerinti megfelelő továbbítási jogcím rendelkezésre álljon.

Amennyiben valamely külső szolgáltatót a Szolgáltató saját szolgáltatási láncának részeként, az Ügyfél nevében végzett adatkezeléshez vesz igénybe, arra a 6. pont további adatfeldolgozókra vonatkozó rendelkezései alkalmazandók.

9. Harmadik országba irányuló adattovábbítás

Az Adatfeldolgozó személyes adatot az Európai Gazdasági Térségen kívüli címzett részére kizárólag az Adatkezelő dokumentált utasítása alapján és a GDPR V. fejezetében meghatározott feltételek teljesülése esetén továbbít.

Ha valamely további adatfeldolgozó az Európai Gazdasági Térségen kívül kezel személyes adatot, az Adatfeldolgozó megfelelő adattovábbítási mechanizmust alkalmaz, így különösen megfelelőségi határozatra, az EU-USA Adatvédelmi Keretrendszerre - a címzett érvényes tanúsítása esetén - vagy az Európai Bizottság által elfogadott általános szerződési feltételekre támaszkodik.

A jelenleg alkalmazott további adatfeldolgozók és a kapcsolódó adattovábbítási mechanizmusok az 1. számú mellékletben szerepelnek.

10. Adatbiztonsági intézkedések (GDPR 32. cikk)

Az Adatfeldolgozó a GDPR 32. cikkének megfelelően, a kockázatokkal arányosan különösen az alábbi technikai és szervezési intézkedéseket alkalmazza:

• AES-256 titkosítás nyugalmi állapotban; TLS 1.2+ adatátvitel
• OAuth tokenek titkosított tárolása; bcrypt jelszó hash
• Szerepkör-alapú hozzáférés-vezérlés; tenant izolációs (customer_id szerinti) adatszegregáció
• Auditnapló minden kritikus művelethez (bejelentkezés, foglalás létrehozás/törlés, fiókváltoztatások)
• CSRF-védelem minden állapotmódosító műveleten
• Automatikus napi biztonsági mentések
• Sebességkorlátozás minden nyilvánosan elérhető végponton
• Idempotenciaszűrés a duplikált foglalások megelőzésére

A Szolgáltató jogosult a technikai és szervezési intézkedéseket a technológia fejlődéséhez és a Platform változásaihoz igazítani, feltéve, hogy az adatbiztonság általános szintje ezáltal nem csökken.

11. Segítségnyújtás az érintetti jogok gyakorlásához

Az érintetti kérelmek megválaszolásáért az Adatkezelő felel. Az Adatfeldolgozó az adatkezelés jellegének figyelembevételével, a rendelkezésére álló technikai lehetőségek útján segítséget nyújt az Adatkezelőnek a hozzáférési, helyesbítési, törlési, adatkezelés-korlátozási, adathordozhatósági és tiltakozási kérelmek teljesítésében, amennyiben az adott érintetti jog az Adatkezelő adatkezelésére alkalmazandó.

• Hozzáférés (15. cikk): Az Adatkezelő a Platform adminisztrációs felületén hozzáférhet az ott kezelt foglalási adatokhoz és a kapcsolódó személyes adatokhoz. Amennyiben az érintetti hozzáférési kérelem teljesítéséhez olyan adatok átadása szükséges, amelyek az adminisztrációs felületen nem érhetők el, az Adatkezelő kérheti az Adatfeldolgozó közreműködését.
• Helyesbítés (16. cikk): Az Adatkezelő a Platformon erre biztosított funkciók igénybevételével helyesbítheti a kezelt személyes adatokat. Amennyiben valamely adat helyesbítése a Platformon keresztül nem végezhető el, az Adatkezelő kérheti az Adatfeldolgozó közreműködését.
• Törlés (GDPR 17. cikk): Az Adatkezelő az egyes foglalásokat a Platformon keresztül törölheti. Amennyiben valamely érintett személyes adatainak teljes körű törléséhez az Adatfeldolgozó közreműködése szükséges, azt az Adatkezelő a hello@blutency.com e-mail-címen kérheti.
• Adatkezelés korlátozása (GDPR 18. cikk): Amennyiben az érintetti kérelem teljesítéséhez az Adatfeldolgozó közreműködése szükséges, az Adatkezelő azt a hello@blutency.com e-mail-címen kérheti.
• Adathordozhatóság (GDPR 20. cikk): A Platform az Adatkezelő részére CSV-formátumú adatexportot biztosít. Amennyiben az érintetti kérelem teljesítéséhez további adatok átadása szükséges, az Adatkezelő az Adatfeldolgozó közreműködését kérheti.
• Tiltakozás (21. cikk): Amennyiben az Adatkezelő által végzett adatkezelés tekintetében az érintettet tiltakozási jog illeti meg, az Adatfeldolgozó az adatkezelés jellegének és a rendelkezésére álló technikai lehetőségeknek megfelelően közreműködik az Adatkezelőhöz érkezett tiltakozási kérelem teljesítésében. Így pl. Platform lehetővé teheti, hogy a Vendég az egyes értesítésekben elhelyezett linken keresztül módosítsa az adott értesítési típusra vonatkozó beállításait azzal, hogy ez a funkció nem érinti az Adatkezelőnek az érintetti kérelmek kezelésével kapcsolatos kötelezettségeit.

12. Adatvédelmi incidensek bejelentése

Adatvédelmi incidens esetén az Adatfeldolgozó az Adatkezelőt indokolatlan késedelem nélkül, lehetőség szerint 24 órán belül értesíti, és megadja az incidens jellegét, az érintett személyek és adatok körét, a valószínűsíthető következményeket, és a megtett vagy tervezett intézkedéseket. Amennyiben valamennyi információ egyidejűleg nem áll rendelkezésre, az Adatfeldolgozó az adatokat szakaszosan is megadhatja.

Az Adatkezelő felelős a NAIH és az érintett természetes személyek értesítéséért a GDPR 33–34. cikke szerint.

13. Adatok visszaadása és törlése a megszűnéskor

A Szerződés megszűnésekor az Adatkezelő jogosult a személyes adatok visszaadását vagy törlését kérni. Ha az Adatkezelő eltérően nem rendelkezik, a Szolgáltató a megszűnést követő 30 napig adatexportálási lehetőséget biztosít, majd a jelen Megállapodás hatálya alá tartozó személyes adatokat törli.

A biztonsági mentésekben található személyes adatok a Szolgáltató rendes mentési és felülírási ciklusa szerint törlődnek; addig kizárólag helyreállítási célból tarthatók meg, és aktív adatkezelésre nem használhatók.

A Szolgáltató az Adatkezelő kérésére a törlés megtörténtét írásban vagy elektronikus úton igazolja.

A Szolgáltató kizárólag olyan, visszafordíthatatlanul anonimizált statisztikai adatokat őrizhet meg a Szerződés megszűnését követően, amelyekből az érintett természetes személy többé nem azonosítható.

Ha valamely adat megőrzését a Szolgáltatóra alkalmazandó jogszabály kötelezően előírja, a Szolgáltató az adatot kizárólag e jogszabályi kötelezettség teljesítéséhez szükséges ideig és célból, az aktív adatkezeléstől elkülönítetten kezelheti.

14. Kapcsolat és irányadó jog

A Szolgáltató azonosító és kapcsolattartási adatai megegyeznek az ÁSZF-ben meghatározott adatokkal. Adatvédelmi kapcsolattartási cím: hello@blutency.com.

A jelen Megállapodás elektronikus formában jön létre, és a GDPR 28. cikk (9) bekezdése szerinti írásbeli megállapodásnak minősül.

A jelen Megállapodásra a magyar jog irányadó. A Felek közötti jogviták rendezésére az ÁSZF vitarendezésre vonatkozó rendelkezései alkalmazandók.

Az illetékes felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH).

A jelen Megállapodásban nem szabályozott kérdésekben az ÁSZF rendelkezései irányadók. A jelen Megállapodás szerinti kötelezettségek nem érintik az érintettek vagy a felügyeleti hatóság jogszabályon alapuló jogait és igényeit.

1. számú melléklet – A béta időszakban igénybe vett további adatfeldolgozók

A jelen melléklet a béta időszakban ténylegesen igénybe vett, a jelen DPA hatálya alá tartozó személyes adatokat kezelő További adatfeldolgozókat tartalmazza.

A Stripe fizetési szolgáltatás a béta időszakban nem aktív, és az Ügyfél saját előfizetésének későbbi fizetéséhez kapcsolódik; ezért a jelen mellékletben nem szerepel. A Twilio SMS-funkció a béta időszakban nem aktív. Aktiválása előtt a Szolgáltató a jelen Megállapodást és a további adatfeldolgozói listát szükség szerint frissíti.

Az Ügyfél saját Google Naptár-fiókjának vagy saját SMTP-szolgáltatásának csatlakoztatására a 7. pont rendelkezései irányadók.