DokuTékaAlvállalkozói (sub-processor) lista
Verzió: 1.1 · Hatályos: 2026. 09. 22.
Ez a lista a DokuTéka szolgáltatáshoz igénybe vett adatfeldolgozókat (a GDPR 28. cikk (2) és (4) bekezdése szerinti „további adatfeldolgozókat") nevezi meg. A szereposztás:
- a könyvelőiroda az adatkezelő — ő dönti el, milyen ügyféladatot tölt fel;
- a Financia Kft. (DokuTéka) az adatfeldolgozó — az iroda nevében tárol és továbbít;
- az itt felsoroltak a mi alvállalkozóink — mi vesszük igénybe őket, és mi felelünk a munkájukért az iroda felé.
A verziószám akkor lép, ha a lista tartalma változik — nem akkor, amikor a szöveget csinosítjuk.
A lista
| Alvállalkozó | Mit csinál | Milyen adathoz fér hozzá | Hol kezeli |
|---|---|---|---|
| DigitalOcean, LLC (105 Edgeview Drive, Ste. 425, Broomfield, CO 80021, USA) | Kiszolgáló (droplet), menedzselt PostgreSQL adatbázis, Spaces objektumtároló, DNS | Minden alkalmazásadat: felhasználói fiókok, ügyfél- és dokumentum-metaadat, a dokumentumok titkosított blobjai | Frankfurt, Németország (fra1 régió) |
| Sinch France SAS (Mailjet) (55 rue La Boétie, 75008 Párizs, Franciaország) | A valós irodák tranzakciós leveleinek kiküldése (meghívó, kézbesítési értesítő, emlékeztető, jelszó-visszaállítás) | A címzett e-mail címe, a levél tárgya és szövege — benne a dokumentum címe, de maga a dokumentum soha | Franciaország és Belgium (EU) |
| Grafana Labs (Grafana Cloud) | Üzemeltetői metrikák és alkalmazásnaplók gyűjtése, riasztás | Naplósorok: időbélyeg, kérés-azonosító, végpont, hibaüzenet, e-mail cím és iroda-azonosító (hibakereséshez); metrikák (darabszámok, futásidők). Dokumentumtartalom és titok nem | Németország (a prod-eu-west-2 régió, a szolgáltató besorolása szerint „AWS Germany") |
A naplósorokba azért kerül e-mail cím, mert enélkül egy hibabejelentés nyomozhatatlan lenne. Ez tudatos döntés, és korlátozott: a napló 14 nap után törlődik, hozzáférni csak üzemeltetői jogosultsággal lehet, titkot és dokumentumtartalmat pedig a kiadási kapu automatikus ellenőrzése tart ki belőle.
Ami szándékosan NINCS a listán
| Szolgáltatás | Miért nem adatfeldolgozó |
|---|---|
| Better Stack (státuszoldal, elérhetőség-figyelés) | Kizárólag nyilvános címeket hív meg kívülről, és a válasz státuszkódját nézi. Nem kap és nem tárol ügyféladatot; a státuszoldalon sincs irodaszám, forgalom vagy végpontnév. |
| ClamAV (kártevő-keresés) | A saját kiszolgálónkon futó konténer, nem külső szolgáltatás. A feltöltött fájl nem hagyja el a gépet, és nem megy mintaküldés sehova. |
| Gitea (gitea.com) — forráskód, jegyek | Fejlesztési eszköz. Ügyféladat nem kerül bele; ami bekerül, az a mi saját munkatársaink neve és e-mail címe. |
| Mailpit (demo postaláda) | A saját kiszolgálónkon fut, és kizárólag a demo iroda levelét fogadja. Valós iroda levele soha nem megy ide (MailRouting) — ez a szabály azért van, mert a demo jelszava nyilvános. |
Ez a szakasz azért van itt, mert egy hiányzó tétel különben úgy néz ki, mintha elfelejtettük volna felvenni.
EU-n kívüli adattovábbítás
A tárolás és a feldolgozás fizikailag az EU területén történik: a DigitalOcean fra1 régiója Frankfurt, a Grafana Cloud példány a szolgáltató németországi régiójában fut, a Mailjet francia és belga adatközpontokat használ.
A DigitalOcean és a Grafana Labs viszont amerikai bejegyzésű társaság, tehát az anyavállalati hozzáférés lehetősége miatt a továbbítás kérdése akkor is felmerül, ha az adat Frankfurtban van. Ezt nem az adatközpont címe dönti el, hanem a szerződéses garanciák: a szolgáltatók adatfeldolgozói szerződése és az abban hivatkozott uniós standard szerződési feltételek (SCC).
A dokumentumok tartalma emellett irodánkénti kulccsal titkosítva kerül a tárolóba, tehát a tárolóhoz való hozzáférés önmagában nem ad hozzáférést a dokumentumokhoz. Ez nem váltja ki a szerződéses garanciát, de érdemben szűkíti, mihez lehet hozzáférni.
Új alvállalkozó bevezetése
A GDPR 28. cikk (2) bekezdése szerint az adatkezelőt előzetesen értesíteni kell, és lehetőséget kell adni a kifogásolásra. A vállalásunk:
- Az új alvállalkozó a bevezetés előtt legalább 30 nappal felkerül erre a listára, és az irodák e-mailben értesítést kapnak a változásról.
- Az iroda a 30 napon belül kifogásolhatja a változást. Ha a kifogás megalapozott és nem tudunk más megoldást ajánlani, az iroda rendkívüli felmondással élhet, az adatait pedig kiadjuk (lásd a szerződés megszűnésére vonatkozó szabályokat).
- Egy alvállalkozó eltávolítása nem igényel várakozást — az szűkíti az adatok körét, nem bővíti.
Kapcsolat
Adatfeldolgozói szerződést (DPA), kérdést vagy kifogást a tamogatas@dokuteka.hu címre várunk.