Data Processing Agreement (DPA)
Adatfeldolgozási Megállapodás

1. Definitions

• "Controller": The Customer, who determines the purposes and means of processing personal data of End Users / Guests through the Blutency Platform.
• "Processor": Blutency, who processes personal data on behalf of the Controller pursuant to this DPA.
• "Personal Data": Any information relating to an identified or identifiable natural person ("Data Subject") as defined in GDPR Art. 4(1).
• "Processing": Any operation on Personal Data as defined in GDPR Art. 4(2).
• "Sub-processor": Any third-party processor engaged by Blutency to Process Personal Data on behalf of the Controller.
• "GDPR": Regulation (EU) 2016/679 of the European Parliament and of the Council.
• "Supervisory Authority": NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság (Hungarian National Authority for Data Protection and Freedom of Information), https://naih.hu.

2. Subject Matter, Nature and Purpose

Subject matter: The processing of End User personal data collected via the Customer's booking widget embedded in the Customer's website or shared link, as necessary to provide the Blutency appointment booking Platform.

Nature of processing: Collection, recording, organisation, structuring, storage, adaptation, retrieval, consultation, use, disclosure, erasure and destruction of Personal Data.

Purpose of processing: Operating and providing the appointment booking services contracted for by the Customer under the Terms of Service — specifically: storing appointment bookings, sending booking confirmation and reminder notifications (email and/or SMS), providing the Customer's dashboard for managing bookings, and syncing approved bookings with the Customer's Google Calendar (if enabled).

Duration: For the duration of the Terms of Service, plus 30 days following termination for data access, after which Personal Data is permanently deleted.

3. Categories of Data Subjects and Personal Data

Data Subjects: End Users (guests) who book appointments through the Customer's booking widget; and (where SMS reminders are enabled) recipients of SMS messages.

⚠️ The Platform is not designed to collect special categories of personal data (Art. 9 GDPR) such as health, biometric, racial, religious, or financial data. The Customer must not use Blutency to process such data unless they have implemented appropriate safeguards and obtained prior written agreement from Blutency.

4. Processor Obligations (GDPR Art. 28(3))

As Data Processor, Blutency shall:

1. Process only on documented instructions from the Controller (this DPA and the Terms of Service constitute those instructions). If Blutency is required by EU or Member State law to process data beyond these instructions, it will inform the Controller unless prohibited by law.
2. Ensure confidentiality — persons authorised to process Personal Data are bound by confidentiality obligations.
3. Implement appropriate technical and organisational measures (Article 32 GDPR) including:
   • Encryption of data at rest (AES-256) and in transit (TLS 1.2+)
   • Encrypted storage of OAuth tokens and API secrets
   • Password hashing with bcrypt
   • Role-based access control (tenant isolation)
   • Audit logging of all sensitive operations
   • Regular automated backups
   • Server infrastructure on Hetzner Cloud (EU/Germany)
4. Respect sub-processor restrictions — see Section 6 below. General written authorisation is given for the sub-processors listed in Section 6. Blutency will notify the Controller of intended changes at least 30 days in advance.
5. Assist the Controller in responding to Data Subject requests (Arts. 15–22) within commercially reasonable timescales, by providing appropriate technical measures and information.
6. Assist the Controller in ensuring compliance with Arts. 32–36 (security, DPIA, breach notification).
7. Delete or return Personal Data upon termination: within 30 days of termination, Blutency will provide a data export option and then permanently delete all Personal Data. Anonymised aggregate statistics may be retained.
8. Make available all information necessary to demonstrate compliance with this Article, and allow for and contribute to audits and inspections conducted by the Controller or its authorised auditor (with 30 days' notice and at the Controller's cost).

5. Controller Obligations

The Customer (Controller) is responsible for:

• Ensuring a valid legal basis (e.g. consent, contract) for collecting End User personal data.
• Providing End Users with a clear privacy notice before their data is collected (typically on the booking form or website).
• Handling and responding to Data Subject rights requests received from End Users.
• Notifying Blutency of any data subject requests that require Blutency's involvement (e.g. erasure requests that require backend deletion).
• Ensuring that the data collected via the booking widget is proportionate to the booking purpose.
• Reporting suspected data security incidents immediately to Blutency.

6. Sub-processors

Blutency currently uses the following sub-processors to process Personal Data. By accepting this DPA, you grant general authorisation for these sub-processors.

Blutency will notify the Controller of any intended changes to this sub-processor list (additions or replacements) at least 30 days in advance by email. The Controller may object to any new sub-processor within 14 days of notification; if no resolution can be reached, the Controller may terminate the Agreement without penalty.

7. International Data Transfers

Where Personal Data is transferred to sub-processors outside the European Economic Area (EEA), Blutency ensures that:

• Transfers to Stripe, Google, and Twilio are covered by the EU-US Data Privacy Framework (DPF) adequacy decision (European Commission, July 2023) where the recipient is DPF-certified, supplemented by Standard Contractual Clauses (SCCs, Commission Implementing Decision 2021/914).
• Transfers to Resend are covered by Standard Contractual Clauses (SCCs).
• All primary data storage, databases, and application servers are located in the EU (Hetzner Cloud, Germany). Data exported to US sub-processors is limited to what is strictly necessary for the specific service (e.g. only the End User's email address and booking reference are shared with the email provider).

8. Security Measures (Art. 32 GDPR)

Blutency maintains the following technical and organisational security measures:

• Pseudonymisation and encryption: Verification tokens hashed; OAuth tokens encrypted at rest; all data transmitted over TLS 1.2+
• Confidentiality: Role-based access control; strict tenant isolation (multi-tenancy scoped by customer_id); employees access only their tenant's data
• Integrity: Audit log of all critical operations (login, booking create/cancel, account changes); CSRF protection on all state-changing operations
• Availability: Automated daily backups; redundant server configuration; 99.9% availability target
• Resilience: Rate limiting on all public-facing endpoints; idempotency keys on booking creation to prevent duplicate entries
• Regular testing: Pre-launch security audit completed; ongoing vulnerability monitoring

9. Data Subject Rights Assistance

Blutency assists the Controller in fulfilling Data Subject rights under Arts. 15–22 GDPR as follows:

• Access (Art. 15): The Customer's dashboard shows all bookings and associated End User data. Blutency can provide a full data export on request.
• Rectification (Art. 16): Customer can edit End User data directly in the dashboard.
• Erasure (Art. 17): Customer can delete individual bookings from the dashboard. For complete End User data erasure, contact bnkyboti@gmail.com.
• Restriction (Art. 18): Contact Blutency at bnkyboti@gmail.com to restrict processing of specific End User data.
• Portability (Art. 20): CSV export available from the dashboard. Full data export available on request within 30 days.
• Objection (Art. 21): End Users may opt out of reminder emails via the unsubscribe link in each email. SMS opt-out can be processed by contacting the Customer or Blutency.

10. Personal Data Breach Notification

In the event of a Personal Data breach (Art. 33 GDPR):

• Blutency will notify the Controller without undue delay and, where feasible, within 72 hours of becoming aware of a breach affecting Controller's End User data.
• Notification will include, to the extent known: nature of the breach, categories and approximate number of data subjects and records affected, likely consequences, measures taken or proposed to address the breach.
• The Controller is responsible for notifying NAIH and affected Data Subjects where required by Art. 33–34 GDPR.

11. Data Return and Deletion upon Termination

Upon termination of the Terms of Service:

• Within 30 days of termination, the Customer may download their data (bookings, End User records) in CSV format from the dashboard or by request.
• After the 30-day window, all Personal Data will be permanently and irreversibly deleted from Blutency's systems and from sub-processors where technically possible.
• Blutency will provide written confirmation of deletion upon request.
• Anonymised, non-identifiable aggregate statistics (booking counts, usage metrics) may be retained indefinitely for product improvement.
• Data required to be retained by applicable law (e.g. financial records for 8 years under Hungarian accounting law) may be retained for the legally required period, isolated from active processing.

12. Contact and Governing Law

Blutency (Data Processor):
[TODO: Full Legal Company Name]
[TODO: Registered Address], Hungary
Data protection contact: bnkyboti@gmail.com

This DPA is governed by Hungarian law. Disputes are subject to the jurisdiction of Hungarian courts. NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) is the competent supervisory authority.

1. Fogalmak

• „Adatkezelő": Az Ügyfél, aki meghatározza a Végfelhasználók / Vendégek személyes adatainak kezelési céljait és eszközeit a Blutency Platform segítségével.
• „Adatfeldolgozó": A Blutency, aki az Adatkezelő nevében, e Megállapodás alapján kezeli a személyes adatokat.
• „Személyes adat": A GDPR 4. cikk (1) bekezdése szerinti, azonosított vagy azonosítható természetes személyre vonatkozó bármely információ.
• „Adatkezelés": A GDPR 4. cikk (2) bekezdése szerinti bármely művelet személyes adatokon.
• „Alvállalkozó adatfeldolgozó": Minden olyan harmadik fél adatfeldolgozó, akit a Blutency az Adatkezelő nevében végzett adatkezelésre vesz igénybe.
• „GDPR": Az Európai Parlament és Tanács (EU) 2016/679. rendelete.
• „Felügyeleti hatóság": NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság, https://naih.hu.

2. Tárgy, jelleg és cél

Tárgy: A Végfelhasználók személyes adatainak kezelése, amelyeket az Ügyfél weboldalába beágyazott vagy megosztott linken elérhető foglalási widgeten keresztül gyűjtenek, a Blutency időpontfoglalási Platform nyújtásához szükséges mértékben.

Az adatkezelés jellege: Személyes adatok gyűjtése, rögzítése, szervezése, strukturálása, tárolása, adaptálása, lekérdezése, felhasználása, közlése, törlése és megsemmisítése.

Az adatkezelés célja: Az ÁSZF alapján megrendelt időpontfoglalási szolgáltatás működtetése és nyújtása — különösen: foglalások tárolása, visszaigazolási és emlékeztető értesítések küldése (e-mail és/vagy SMS), a foglaláskezelő adminisztrációs felület biztosítása, és jóváhagyott foglalások szinkronizálása az Ügyfél Google Naptárával (ha engedélyezve van).

Időtartam: Az ÁSZF időtartamára, majd a megszűnést követő 30 napig (adathozzáférés céljából), azt követően a személyes adatok végleges törlése megtörténik.

3. Az érintettek kategóriái és a személyes adatok

Érintettek: Végfelhasználók (vendégek), akik az Ügyfél foglalási widgetjén keresztül időpontot foglalnak; és (SMS emlékeztetők esetén) az SMS üzenetek címzettjei.

⚠️ A Platform nem különleges kategóriájú személyes adatok (GDPR 9. cikk) kezelésére készült. Az Ügyfél nem használhatja a Blutencyt egészségügyi, biometrikus, faji, vallási vagy pénzügyi adatok kezelésére a Blutency előzetes írásos beleegyezése nélkül.

4. Az adatfeldolgozó kötelezettségei (GDPR 28. cikk (3) bekezdés)

Adatfeldolgozóként a Blutency:

1. Kizárólag az Adatkezelő dokumentált utasításai alapján kezeli a személyes adatokat (jelen Megállapodás és az ÁSZF ezeket az utasításokat tartalmazza).
2. Titoktartást biztosít — az adatkezelésre feljogosított személyek titoktartási kötelezettség alatt állnak.
3. Megfelelő technikai és szervezési intézkedéseket alkalmaz (GDPR 32. cikk), beleértve: AES-256 titkosítás, TLS 1.2+ adatátvitel, OAuth tokenek titkosított tárolása, bcrypt jelszó hash, szerepkör-alapú hozzáférés-vezérlés, auditnapló, automatikus biztonsági mentések, EU-alapú szerver infrastruktúra (Hetzner Cloud, Németország).
4. Alvállalkozó adatfeldolgozókat csak a 6. szakaszban felsorolt, előzetesen jóváhagyott alvállalkozókkal vesz igénybe, és a változásokról legalább 30 nappal korábban értesíti az Adatkezelőt.
5. Segíti az Adatkezelőt az érintetti jogok iránti kérelmek teljesítésében (GDPR 15–22. cikk).
6. Segíti az Adatkezelőt a GDPR 32–36. cikkei szerinti kötelezettségek (biztonság, DPIA, incidensbejelentés) teljesítésében.
7. Törli vagy visszaadja a személyes adatokat a megszűnéskor: a megszűnéstől számított 30 napon belül adatexportálási lehetőséget biztosít, majd véglegesen törli az összes személyes adatot.
8. Az Adatkezelő vagy általa megbízott auditor részére az ellenőrzéshez szükséges információkat és hozzáférést biztosítja (30 napos előzetes értesítéssel, az Adatkezelő költségén).

5. Az adatkezelő kötelezettségei

Az Ügyfél (Adatkezelő) felelős:

• A Végfelhasználók adatainak gyűjtéséhez érvényes jogalap biztosításáért.
• Egyértelmű adatkezelési tájékoztató nyújtásáért a Végfelhasználók számára az adatgyűjtés előtt.
• Az érintetti jogok iránti kérelmek kezeléséért és megválaszolásáért.
• Az adatbiztonságot veszélyeztető incidensek azonnali bejelentéséért a Blutency felé.

6. Alvállalkozó adatfeldolgozók

A Blutency az alvállalkozói lista változásairól (új alvállalkozó vagy csere) legalább 30 nappal előre értesíti az Adatkezelőt. Az Adatkezelő 14 napon belül kifogást emelhet; ha nem születik megállapodás, az Adatkezelő jogkövetkezmények nélkül felmondhatja a Szerződést.

7. Harmadik országba irányuló adattovábbítás

Az EGT-n kívüli adattovábbítás esetén a Blutency biztosítja, hogy:

• A Stripe, Google és Twilio részére történő átadás az EU-US adatvédelmi keretrendszer (DPF) megfelelőségi határozata, valamint az SCC-k alapján jogszerű.
• A Resend részére történő átadás SCC-k alapján jogszerű.
• Az elsődleges adattárolás és szervereink az EU-ban találhatók (Hetzner Cloud, Németország); az USA-beli alvállalkozóknak csak a minimálisan szükséges adatot továbbítjuk.

8. Adatbiztonsági intézkedések (GDPR 32. cikk)

• AES-256 titkosítás nyugalmi állapotban; TLS 1.2+ adatátvitel
• OAuth tokenek titkosított tárolása; bcrypt jelszó hash
• Szerepkör-alapú hozzáférés-vezérlés; tenant izolációs (customer_id szerinti) adatszegregáció
• Auditnapló minden kritikus művelethez (bejelentkezés, foglalás létrehozás/törlés, fiókváltoztatások)
• CSRF-védelem minden állapotmódosító műveleten
• Automatikus napi biztonsági mentések
• Sebességkorlátozás minden nyilvánosan elérhető végponton
• Idempotenciaszűrés a duplikált foglalások megelőzésére

9. Segítségnyújtás az érintetti jogok gyakorlásához

• Hozzáférés (15. cikk): Az adminisztrációs felületen minden foglalás és érintetti adat megtekinthető. Teljes adatexport igényelhető.
• Helyesbítés (16. cikk): Az Ügyfél szerkesztheti az adatokat az adminisztrációs felületen.
• Törlés (17. cikk): Egyedi foglalások törölhetők a felületen; teljes érintetti adattörléshez vegye fel a kapcsolatot: bnkyboti@gmail.com.
• Korlátozás (18. cikk): Adatkezelés-korlátozási kéréssel forduljon a Blutencyhez: bnkyboti@gmail.com.
• Hordozhatóság (20. cikk): CSV-export elérhető; teljes adatexport 30 napon belül igényelhető.
• Tiltakozás (21. cikk): A Végfelhasználók az e-mailben található leiratkozó linkkel leiratkozhatnak az emlékeztetőkről.

10. Adatvédelmi incidensek bejelentése

Adatvédelmi incidens esetén a Blutency az Adatkezelőt indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül értesíti, és megadja az incidens jellegét, az érintett személyek és adatok körét, a valószínűsíthető következményeket, és a megtett vagy tervezett intézkedéseket.

Az Adatkezelő felelős a NAIH és az érintett természetes személyek értesítéséért a GDPR 33–34. cikke szerint.

11. Adatok visszaadása és törlése a megszűnéskor

• A megszűnést követő 30 napon belül az Ügyfél CSV formátumban letöltheti adatait.
• A 30 napos időszak lejárta után minden személyes adat véglegesen és visszavonhatatlanul törlődik.
• A Blutency írásos törlési igazolást ad ki kérésre.
• Anonimizált, nem azonosítható aggregált statisztikák (foglalásszám, használati mutatók) korlátlan ideig megőrizhetők.
• Jogszabályi megőrzési kötelezettség alá eső adatok (pl. pénzügyi bizonylatok a Számviteli tv. szerint 8 évig) a kötelező időtartamig megőrizhetők, elkülönített tárolásban.

12. Kapcsolat és irányadó jog

Blutency (Adatfeldolgozó):
[TODO: Teljes cégnév]
[TODO: Székhely cím], Magyarország
Adatvédelmi kapcsolat: bnkyboti@gmail.com

Jelen Megállapodásra a magyar jog az irányadó. A vitákat a magyar bíróságok hatáskörébe soroljuk. Az illetékes felügyeleti hatóság a NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság, 1055 Budapest, Falk Miksa utca 9–11., ugyfelszolgalat@naih.hu, https://naih.hu).