Adatfeldolgozói megállapodás

az ÁSZF 1. számú melléklete

A GDPR 28. cikk (3) bekezdése alapján, a RIR — FitCoach szolgáltatáshoz

Hatályos: 2026. szeptember 25. napjától Verzió: 1.0

Preambulum

A jelen megállapodás (a továbbiakban: Megállapodás) egyrészről

• [TELJES NÉV] egyéni vállalkozó (székhely: [SZÉKHELY CÍM], nyilvántartási szám: [EV NYILVÁNTARTÁSI SZÁM], adószám: [ADÓSZÁM]), mint Adatfeldolgozó (a továbbiakban: RIR),

másrészről

• az a személyi edző, aki a RIR — FitCoach szolgáltatásra edzőként regisztrált, mint Adatkezelő (a továbbiakban: Edző)

között jött létre.

A Megállapodás az ÁSZF elválaszthatatlan része. Az Edző a regisztrációval és az ÁSZF elfogadásával a jelen Megállapodást is elfogadja. Külön aláírás nem szükséges, de az Edző kérésére a RIR aláírt példányt bocsát rendelkezésre.

Az Edző tudomásul veszi, hogy a klienseinek edzés- és egészségi adatai tekintetében ő minősül önálló adatkezelőnek, és e minőségében a GDPR szerinti valamennyi adatkezelői kötelezettség őt terheli.

1. Az adatkezelés tárgya

1.1. A RIR az Edző megbízásából, kizárólag a FitCoach szolgáltatás nyújtása céljából kezeli az Edző klienseinek személyes adatait.

1.2. Az adatkezelés részleteit az 1. számú Függelék tartalmazza.

1.3. A Megállapodás időtartama megegyezik az Edző előfizetésének, illetve fiókjának fennállásával.

2. Az Edző (Adatkezelő) kötelezettségei

Az Edző szavatolja, hogy:

2.1. a klienseinek adatait jogszerűen gyűjtötte, és jogosult azokat a RIR részére feldolgozás céljából átadni;

2.2. beszerezte a kliens kifejezett hozzájárulását (GDPR 9. cikk (2) a) pont) az egészségügyi adatok — így különösen a sérülésekre, fájdalomra, közérzetre, testadatokra és haladási fotókra vonatkozó adatok — kezeléséhez, és e hozzájárulást igazolható módon dokumentálta;

2.3. a klienseit a saját adatkezeléséről a GDPR 13–14. cikke szerint tájékoztatta, ideértve azt is, hogy a RIR adatfeldolgozóként jár el;

2.4. 18 év alatti kliens esetén beszerezte a törvényes képviselő hozzájárulását, és 14 év alatti személyt nem rögzít a rendszerben;

2.5. a rendszerben kizárólag olyan adatot rögzít, amely az edzésszolgáltatás nyújtásához szükséges — különösen nem rögzít orvosi dokumentációt, diagnózist, leletet vagy egyéb, a céljához nem szükséges egészségügyi adatot;

2.6. a hozzáférési adatait bizalmasan kezeli, és gondoskodik arról, hogy a fiókjához más ne férjen hozzá;

2.7. haladéktalanul értesíti a RIR-t, ha egy kliens olyan kérelmet nyújt be, amelynek teljesítéséhez a RIR közreműködése szükséges.

2.8. Az Edző felel az általa a RIR-nek adott utasítások jogszerűségéért. Ha a RIR úgy ítéli meg, hogy egy utasítás jogszabályba ütközik, erre az Edző figyelmét felhívja, és az utasítás teljesítését felfüggesztheti.

3. A RIR (Adatfeldolgozó) kötelezettségei

A GDPR 28. cikk (3) bekezdésének megfelelően a RIR vállalja, hogy:

a) Dokumentált utasítások. A személyes adatokat kizárólag az Edző dokumentált utasításai alapján kezeli. Utasításnak minősül az ÁSZF, a jelen Megállapodás, valamint az Edző által a szolgáltatás felületén végzett minden művelet. Ha uniós vagy tagállami jog a RIR-t adatkezelésre kötelezi, erről az adatkezelést megelőzően tájékoztatja az Edzőt, kivéve, ha ezt a jogszabály fontos közérdekből tiltja.

b) Titoktartás. Biztosítja, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállaltak, vagy jogszabályon alapuló titoktartási kötelezettség alatt állnak.

c) Adatbiztonság. Meghozza a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket. Ezek részletes felsorolását a 2. számú Függelék tartalmazza.

d) További adatfeldolgozók. További adatfeldolgozót kizárólag a 4. pont szerint vesz igénybe.

e) Érintetti jogok. A technikai lehetőségekhez mérten, megfelelő intézkedésekkel segíti az Edzőt abban, hogy teljesíteni tudja az érintettek jogainak gyakorlására irányuló kérelmeit. Ennek keretében a szolgáltatás felületén biztosítja az adatok megtekintésének, javításának, exportálásának és törlésének lehetőségét.

f) Együttműködés. Segíti az Edzőt a GDPR 32–36. cikke szerinti kötelezettségek teljesítésében, ideértve az adatvédelmi incidensek kezelését és — szükség esetén — a hatásvizsgálatot.

g) Törlés vagy visszaszolgáltatás. A szolgáltatás nyújtásának befejezését követően az Edző választása szerint minden személyes adatot töröl vagy visszajuttat, és törli a meglévő másolatokat, kivéve, ha uniós vagy tagállami jog az adatok tárolását írja elő. A gyakorlati végrehajtást a 6. pont szabályozza.

h) Ellenőrzés. Az Edző rendelkezésére bocsát minden olyan információt, amely a jelen Megállapodásban foglalt kötelezettségek teljesítésének igazolásához szükséges, továbbá lehetővé teszi és elősegíti az Edző vagy az általa megbízott ellenőr által végzett auditokat a 7. pont szerint.

4. További adatfeldolgozók (alfeldolgozók)

4.1. Az Edző általános felhatalmazást ad a RIR-nek arra, hogy a szolgáltatás nyújtásához további adatfeldolgozókat vegyen igénybe.

4.2. Az igénybe vett alfeldolgozók listáját a 3. számú Függelék tartalmazza.

4.3. A RIR minden alfeldolgozóval olyan szerződést köt, amely az alfeldolgozóra a jelen Megállapodással azonos szintű adatvédelmi kötelezettségeket ró.

4.4. Új alfeldolgozó igénybevételéről vagy alfeldolgozó cseréjéről a RIR az Edzőt legalább 30 nappal előre, e-mailben értesíti. Az Edző a változással szemben ezen időszakon belül, indokolt esetben, írásban kifogást emelhet. Ha a felek a kifogást nem tudják rendezni, az Edző az előfizetését rendkívüli felmondással, a fel nem használt időszakra eső díj időarányos visszatérítése mellett megszüntetheti.

4.5. Az alfeldolgozó tevékenységéért a RIR úgy felel, mintha az adatkezelést maga végezte volna.

5. Adatvédelmi incidens

5.1. A RIR az adatvédelmi incidens tudomására jutását követően indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti az Edzőt.

5.2. Az értesítés tartalmazza — a rendelkezésre álló mértékben — az incidens jellegét, az érintettek és az érintett adatok kategóriáit és hozzávetőleges számát, a valószínűsíthető következményeket, valamint a megtett vagy tervezett intézkedéseket.

5.3. A hatóság (NAIH) és az érintettek felé történő bejelentés az Edző mint adatkezelő kötelezettsége; a RIR ehhez minden szükséges segítséget megad.

6. Az adatok sorsa a szerződés megszűnésekor

6.1. Az Edző előfizetésének megszűnését követően a RIR 30 napig fenntartja az adatokhoz való hozzáférést, hogy az Edző az adatokat exportálhassa.

6.2. A 30 napos időszak elteltével a RIR az Edző klienseihez tartozó valamennyi személyes adatot törli, ideértve a biztonsági mentésekben lévő példányokat is, legkésőbb a törlést követő 90 napon belül (a mentési ciklus lejártával).

6.3. Kivételt képeznek azok az adatok, amelyek megőrzésére a RIR-t jogszabály kötelezi (különösen a számviteli bizonylatok, 8 év).

6.4. Ha egy kliens hozzájárul ahhoz, hogy másik edzőhöz kerüljön át, a RIR a kliens adatait az új edző fiókjához rendeli. Ilyenkor a korábbi Edző az adatokhoz a továbbiakban nem fér hozzá.

6.5. A törlés megtörténtéről a RIR az Edző kérésére írásban nyilatkozik.

7. Ellenőrzés (audit)

7.1. Az Edző jogosult a jelen Megállapodás betartását ellenőrizni. Az ellenőrzés elsődleges módja: a RIR írásbeli megkeresésre, 30 napon belül megküldi a vonatkozó dokumentációt (biztonsági intézkedések leírása, alfeldolgozói lista, szolgáltatói tanúsítványok).

7.2. Helyszíni ellenőrzésre — ésszerű gyakorisággal, évente legfeljebb egy alkalommal, legalább 30 nappal korábbi írásbeli értesítés mellett, munkaidőben, a RIR üzletmenetének indokolatlan zavarása nélkül — akkor kerülhet sor, ha a 7.1. pont szerinti dokumentáció nem elegendő.

7.3. Az ellenőrzés költségeit az Edző viseli, kivéve, ha az ellenőrzés a RIR súlyos szerződésszegését tárja fel.

7.4. Az ellenőrzés során az Edző nem szerezhet hozzáférést más edzők vagy azok klienseinek adataihoz.

8. Felelősség

8.1. A felek felelősségére a GDPR 82. cikke és az ÁSZF 13. pontja irányadó.

8.2. Az Edző köteles a RIR-t mentesíteni minden olyan igény alól, amely abból ered, hogy az Edző megszegte a 2. pontban vállalt kötelezettségeit — különösen, ha elmulasztotta a kliens hozzájárulásának beszerzését vagy a kliens tájékoztatását.

9. Záró rendelkezések

9.1. A jelen Megállapodásra a magyar jog irányadó.

9.2. Ellentmondás esetén a jelen Megállapodás rendelkezései megelőzik az ÁSZF általános rendelkezéseit, az adatkezelési kérdésekben.

9.3. A RIR a Megállapodást a jogszabályi változásoknak megfelelően módosíthatja, a 4.4. pont szerinti értesítési rend alkalmazásával.

1. számú Függelék — Az adatkezelés leírása

Az adatkezelés tárgya: a FitCoach szolgáltatás nyújtása az Edző részére, a klienseinek kezelése céljából.

Az adatkezelés időtartama: az Edző fiókjának fennállása, valamint a 6. pont szerinti türelmi idő.

Az adatkezelés jellege és célja: tárolás, rendszerezés, megjelenítés, szerkesztés, törlés, biztonsági mentés, statisztikai és szabályalapú elemzés készítése az Edző számára, értesítések küldése.

Az érintettek kategóriái: az Edző kliensei (természetes személyek).

A személyes adatok kategóriái:

Különleges adatok kezelésének korlátai: az egészségügyi adatok kizárólag a kliens kifejezett hozzájárulása alapján kezelhetők; a hozzájárulás beszerzése az Edző feladata. Az adatok titkosítva tárolódnak, hozzáférésüket sorszintű biztonsági szabályok korlátozzák.

2. számú Függelék — Technikai és szervezési intézkedések

3. számú Függelék — Alfeldolgozók

A mindenkori naprakész lista elérhető: [ALFELDOLGOZÓI LISTA URL]