Szolgáltató (adatfeldolgozó): BudyByte Kft. — székhely, cégjegyzékszám: KITÖLTENDŐ
Szolgáltatás: Dentalite fogtechnikai ERP
Ügyfél (adatkezelő): a szolgáltatásra előfizető rendelő vagy fogtechnikai labor
Verzió: 2026-08-04-v2
Hatályos: KITÖLTENDŐ – közzététel dátuma

3.1. Szerepek

A felek rögzítik, hogy a szolgáltatásban kezelt, az Ügyfél által bevitt személyes adatok tekintetében az Ügyfél minősül adatkezelőnek, a Szolgáltató pedig adatfeldolgozónak, amennyiben a Szolgáltató az adatokat kizárólag az Ügyfél nevében és utasításai alapján kezeli.

A Szolgáltató a jelen feltételek alapján kezelt személyes adatokat kizárólag a szolgáltatás nyújtása céljából kezeli. A Szolgáltató ezeket az adatokat saját céljára — így különösen saját marketingjéhez, profilalkotáshoz, termékfejlesztéshez vagy harmadik személy részére történő átadáshoz — nem használja fel, és azokat más Ügyfél adataival nem vonja össze. Ez alól kivétel a személyazonosításra alkalmatlanná tett, összesített statisztikai adat.

Ha valamely adatkezelési művelet célját és eszközeit a Szolgáltató önállóan határozza meg, úgy az adott művelet vonatkozásában a szerepe eltérő lehet; ezt a 3.1.1. pont dokumentálja.

3.1.1. Szervezeteken átnyúló funkciók — a szerepek elhatárolása

A szolgáltatásban két olyan funkció van, amely szervezeti határon átnyúlik, ezért a felek a szerepeket ezekre külön rögzítik:

• Páciensjavaslat (autofill): új páciens rögzítésekor a rendszer felajánlja a belépett fogorvos saját, más szervezetben már rögzített pácienseinek adatait, hogy azokat ne kelljen újra beírni.
• Kezelési előzmény szervezeteken át: a fogorvos egy páciensről összesítve látja a saját munkáit akkor is, ha azok több laborban készültek.

Mindkét funkció kizárólag a belépett fogorvos saját pácienseit és saját munkáit jeleníti meg; más fogorvos vagy más szervezet adatát nem teszi elérhetővé. A technikai összekapcsolást a rendszer akkor és csak akkor hozza létre, amikor a fogorvos egy javaslat alapján maga hozza létre az új pácienskartont.

A felek álláspontja szerint a Szolgáltató e funkciók tekintetében is adatfeldolgozóként jár el, mert az összekapcsolás célját a fogorvos mint az Ügyfél nevében eljáró felhasználó határozza meg, és az adat nem kerül ki abból a körből, amelyhez az adott felhasználó egyébként is hozzáfér. A felek rögzítik, hogy e minősítés jogi megerősítése folyamatban van; ha az eltérőnek bizonyul, a Szolgáltató a jelen feltételeket a 3.11. pont szerint módosítja, és a funkció működését az Ügyfél általi engedélyezéshez köti.

3.2. Az adatfeldolgozás tárgya

A Szolgáltató az adatkezelő Ügyfél részére online ERP rendszer hozzáférést, tárhelyet, adatmentést, technikai üzemeltetést és felhasználói támogatást biztosít.

3.3. Az adatfeldolgozás időtartama

Az adatfeldolgozás az Ügyféllel fennálló szerződés időtartamáig, illetve az adatok visszaszolgáltatásáig vagy törléséig tart.

3.4. Az adatok típusa és az érintettek kategóriái

Lehetséges adattípusok:

• az Ügyfél kapcsolattartóinak adatai,
• felhasználói fiókadatok,
• üzleti megrendelési adatok,
• pácienshez kapcsolható adatok (név, elérhetőség, születési dátum),
• a kezeléshez tartozó dokumentáció: munkák, munkafázisok, fogankénti állapotok, feltöltött felvételek, a munkához tartozó szakmai üzenetek,
• esetenként egészségügyi vagy arra következtetést engedő adatok.

Érintettek kategóriái:

• Ügyfél kapcsolattartói,
• a labor felhasználói,
• együttműködő orvosok felhasználói,
• páciensek.

3.5. A Szolgáltató kötelezettségei

A Szolgáltató köteles:

• az adatokat kizárólag az Ügyfél dokumentált utasítása alapján kezelni — ideértve a harmadik országba vagy nemzetközi szervezet részére történő adattovábbítást is —, kivéve, ha a kezelést uniós vagy tagállami jog írja elő; ez utóbbi esetben a Szolgáltató az adatkezelést megelőzően értesíti erről az Ügyfelet, kivéve, ha az értesítést a jogszabály fontos közérdekből tiltja (GDPR 28. cikk (3) a),
• haladéktalanul jelezni az Ügyfélnek, ha megítélése szerint az Ügyfél valamely utasítása sérti a GDPR-t vagy más adatvédelmi jogszabályt; az ilyen utasítás teljesítését a Szolgáltató a jelzés elbírálásáig felfüggesztheti (GDPR 28. cikk (3) utolsó bekezdés),
• biztosítani, hogy a hozzáféréssel rendelkező személyek titoktartási kötelezettség alatt álljanak; a Szolgáltató munkavállalói és közreműködői írásbeli titoktartási nyilatkozatot tesznek, amely a jogviszony megszűnése után is hatályban marad,
• a hozzáférést a feladat ellátásához szükséges legszűkebb körre korlátozni,
• megfelelő technikai és szervezési intézkedéseket alkalmazni (GDPR 32. cikk),
• segíteni az adatkezelőt az érintetti kérelmek teljesítésében ésszerű mértékben (3.5.1. pont),
• segíteni az adatkezelőt a biztonság, incidenskezelés és hatásvizsgálat teljesítésében (GDPR 32–36. cikk),
• az adatkezelő döntése szerint a szerződés végén az adatokat törölni vagy visszaadni, és a meglévő másolatokat törölni, kivéve, ha a további tárolást uniós vagy tagállami jog előírja,
• az Ügyfél rendelkezésére bocsátani minden olyan információt, amely a fenti kötelezettségek teljesítésének igazolásához szükséges, valamint lehetővé tenni és elősegíteni az auditokat (3.9. pont).

Ha a Szolgáltatóhoz közvetlenül érkezik érintetti kérelem olyan adat vonatkozásában, amelynek adatkezelője az Ügyfél, a Szolgáltató a kérelmet érdemi válasz nélkül, haladéktalanul továbbítja az Ügyfélnek, és erről a kérelmezőt tájékoztatja.

3.5.1. Az érintetti kérelmek teljesítéséhez biztosított eszközök

A Szolgáltató az Ügyfélnek — külön díj és külön kérelem nélkül, a szolgáltatásba építve — az alábbi eszközöket adja, hogy az Ügyfél a saját páciensei kérelmeit teljesíteni tudja:

A törlés jellegéről. A törlési kérés teljesítése az azonosító adatok (név, elérhetőség, születési dátum) végleges eltávolítását jelenti, a kezelési dokumentáció (munkák, fázisok, felvételek) megőrzése mellett. Ennek oka, hogy a dokumentációra az Ügyfélre vonatkozó jogszabályi megőrzési kötelezettség állhat fenn, amely a GDPR 17. cikk (3) b) pontja alapján megelőzi a törlési kérést. Ilyen kötelezettséget keletkeztethet különösen:

• egészségügyi szolgáltató Ügyfél esetén az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről szóló 1997. évi XLVII. törvény 30. §-a (az egészségügyi dokumentáció megőrzése),
• fogtechnikai labor Ügyfél esetén az orvostechnikai eszközökről szóló (EU) 2017/745 rendelet (MDR) 10. cikk (8) bekezdése és XIII. melléklete, amely a rendelésre készült eszköz dokumentációjának megőrzését írja elő (általában legalább 10 év, beültethető eszköz esetén 15 év).

Az anonimizálás és a megőrzési kötelezettség viszonya. Az MDR XIII. melléklete a rendelésre készült eszköz nyilatkozatában a páciens azonosítására nevet, betűszót vagy számkódot enged meg, tehát a megőrzési kötelezettség pszeudonim azonosítóval is teljesíthető. A rendszer anonimizálási megoldása ezzel összhangban áll: a dokumentáció és a belső azonosító megmarad, a névhez kötés szűnik meg.

Annak megítélése, hogy egy konkrét kérés esetén a megőrzési kötelezettség fennáll-e, és hogy az adott Ügyfélre melyik jogszabály vonatkozik, az Ügyfél mint adatkezelő feladata — a Szolgáltató a technikai lehetőséget biztosítja, a döntést nem hozza meg. Ha az Ügyfél a tényleges törlés mellett dönt, azt a Szolgáltató az Ügyfél írásbeli utasítására, egyedi eljárásban végrehajtja.

3.5.2. Alkalmazott biztonsági intézkedések

A tényleges technikai és szervezési intézkedések felsorolása az Adatkezelési tájékoztató 2.8. pontjában, részletes kockázatértékeléssel a hatásvizsgálatban található. Ezek a dokumentumok e feltételek részét képezik.

A Szolgáltató a biztonsági intézkedéseket a technika állásához igazodóan módosíthatja, feltéve, hogy a védelem szintje nem csökken.

3.5.3. Adattárolás helye

A páciens- és munkaadatok tárolása az Európai Unión belül (AWS, frankfurti régió) történik. Harmadik országba történő adattovábbítás a páciensadatok tekintetében nem valósul meg.

3.6. Al-adatfeldolgozók

Az Ügyfél a jelen feltételek elfogadásával általános felhatalmazást ad a Szolgáltatónak al-adatfeldolgozók igénybevételére (GDPR 28. cikk (2)).

Az igénybe vett al-adatfeldolgozók naprakész, tételes listája — szerepükkel, a hozzáférés terjedelmével és az adattárolás helyével — az Adatfeldolgozók mellékletben található.

Új al-adatfeldolgozó bevonása vagy meglévő cseréje esetén a Szolgáltató az Ügyfelet a változás hatálybalépését megelőzően legalább 30 nappal elektronikus úton értesíti. Az Ügyfél a változás ellen az értesítéstől számított 15 napon belül, indokolással kifogást emelhet. Kifogás esetén a felek egyeztetnek; ha a kifogás nem orvosolható, az Ügyfél jogosult a szerződést a változás hatálybalépésének napjára, külön díj nélkül felmondani, és az adatai kiadását a 3.8. pont szerint kérni. A határidőben nem kifogásolt változás elfogadottnak minősül.

A Szolgáltató kötelezettségei az al-adatfeldolgozókkal szemben (GDPR 28. cikk (4)):

• az al-adatfeldolgozóval kötött szerződésben a jelen feltételekkel azonos tartalmú adatvédelmi kötelezettségeket köt ki, különösen a megfelelő technikai és szervezési intézkedések tekintetében,
• meggyőződik arról, hogy az al-adatfeldolgozó megfelelő garanciákat nyújt,
• az al-adatfeldolgozó teljesítéséért az Ügyféllel szemben teljes mértékben felel, mintha az adott tevékenységet maga végezte volna.

3.7. Incidenskezelés

A Szolgáltató indokolatlan késedelem nélkül értesíti az Ügyfelet, ha a személyes adatokat érintő biztonsági incidens jut a tudomására.

Ez a gyakorlatban azt jelenti, hogy a Szolgáltató a tudomásszerzést követően indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesítést küld, akkor is, ha a vizsgálat még nem zárult le. Az értesítés tartalmazza az incidens jellegét, az érintett adatkörök és — ha megállapítható — az érintettek hozzávetőleges számának megjelölését, a valószínű következményeket, a megtett és tervezett intézkedéseket, a kapcsolattartó adatait, és minden olyan további információt, amely az Ügyfél saját bejelentési kötelezettségének megítéléséhez szükséges. A még nem ismert információt a Szolgáltató utólag, folyamatosan pótolja.

A felügyeleti hatóság felé a bejelentést az Ügyfél teszi meg, mivel a páciensadatok tekintetében ő az adatkezelő. A Szolgáltató ehhez minden rendelkezésére álló információt megad, és — ha az Ügyfél kéri — a bejelentés elkészítésében közreműködik. A Szolgáltató belső eljárásrendje: Adatvédelmi incidens eljárásrend.

A Szolgáltató minden incidenst nyilvántartásba vesz, és a nyilvántartást az Ügyfél kérésére — az őt érintő rész tekintetében — hozzáférhetővé teszi.

3.8. Az adatok kezelése a szerződés végén

A szerződés megszűnését követően az Ügyfél választhat:

• Kiadás: az Ügyfél adatainak gépi olvasható kiadása (a szolgáltatás exportfunkcióival, illetve kérésre teljes adatbázis-kivonatként), vagy
• Törlés: az Ügyfél adatainak törlése.

Az Ügyfél döntéséig a Szolgáltató az adatokat változatlanul, hozzáférés nélkül megőrzi, legfeljebb a szerződés megszűnésétől számított 60 napig. Ezt követően — ellentétes utasítás hiányában — az adatok törlésre kerülnek, a meglévő másolatokkal együtt. A biztonsági mentésekből a törlés a mentési ciklus (30 nap) lejártával válik teljeskörűvé.

A Szolgáltató az adatok kiadását vagy törlését az Ügyfél kérésére írásban igazolja.

Az Ügyfél kifejezetten tudomásul veszi, hogy a 60 nap letelte után az adatok visszaállíthatatlanul elvesznek, és hogy a rá vonatkozó dokumentációmegőrzési kötelezettség teljesítéséhez szükséges másolat beszerzése az ő felelőssége.

Nem törölhető az az adat, amelynek megőrzésére a Szolgáltatót uniós vagy tagállami jog kötelezi (különösen a számviteli bizonylatok).

3.9. Audit és együttműködés

A Szolgáltató az Ügyfél rendelkezésére bocsát minden olyan információt, amely a jelen feltételekben foglalt kötelezettségek teljesítésének igazolásához szükséges, továbbá lehetővé teszi és elősegíti az Ügyfél vagy az általa megbízott más ellenőr által végzett auditokat, ideértve a helyszíni vizsgálatot is (GDPR 28. cikk (3) h).

Az audit gyakorlati rendje:

• az Ügyfél az auditot legalább 30 nappal korábban, írásban jelenti be,
• audit naptári évente egy alkalommal kérhető, ezen felül akkor, ha az Ügyfelet érintő adatvédelmi incidens történt, vagy ha azt a felügyeleti hatóság elrendeli,
• az audit a rendes üzletmenet indokolatlan zavarása nélkül, munkaidőben zajlik, és nem terjedhet ki más Ügyfelek adataira, illetve a Szolgáltató üzleti titkaira,
• az ellenőr titoktartási kötelezettséget vállal; a Szolgáltató jogosult a versenytársnak minősülő ellenőrt indokolással elutasítani,
• az audit költségét az Ügyfél viseli, kivéve, ha az audit a Szolgáltatónak felróható lényeges szerződésszegést tár fel,
• a Szolgáltató az audit iránti igényt elsődlegesen dokumentumalapú tájékoztatással (kitöltött kérdőív, a jelen dokumentáció, a felhőszolgáltató tanúsítványai) is teljesítheti, ha az az Ügyfél ellenőrzési céljának eléréséhez elegendő.

3.10. Felelősség

A felek egymással szembeni, jelen feltételek megszegéséből eredő felelősségére az ÁSZF 1.6.1. pontja szerinti korlátozások irányadók.

Ez a korlátozás nem érinti a felek GDPR 82. cikke szerinti, az érintettekkel szemben fennálló felelősségét, és nem érinti a felek egymással szembeni megtérítési igényét, amely a tényleges felelősség arányához igazodik.

3.11. A feltételek módosítása

A Szolgáltató a jelen feltételeket az ÁSZF 1.12. pontja szerinti eljárásban, a hatálybalépést megelőzően legalább 30 nappal küldött értesítéssel módosíthatja. Az Ügyfél terhére többletkötelezettséget keletkeztető, illetve a védelem szintjét érintő módosítás kizárólag az Ügyfél kifejezett elfogadásával válik a szerződés részévé.

Jogszabályváltozás vagy felügyeleti hatósági elvárás miatt szükséges módosítás esetén a felek kötelesek a feltételeket haladéktalanul, jóhiszeműen az új követelményekhez igazítani.