← Vissza

Adatfeldolgozási szerződés

1.0-s változat, hatályos: 2026. október 26-tól. English version

Ez a szerződés első változata. Ügyvédi átnézése folyamatban van; ha emiatt változik, az új változatot itt tesszük közzé, és a lényeges változásokról e-mailben értesítünk. Ha aláírt példányra van szükséged, írj nekünk az info@repu.hu címre.

1. A felek

Adatkezelő: a Repu szolgáltatást előfizető vagy próbaidőben használó vállalkozás, a Repu-fiókjában és a számlázási adataiban megadott adatokkal (a továbbiakban: Adatkezelő).

Adatfeldolgozó: Trident Shield Group Kft. (székhely: 4485 Nagyhalász, Jókai utca 18.; cégjegyzékszám: 15-09-093902; adószám: 32873537-2-15; e-mail: info@repu.hu), a Repu üzemeltetője (a továbbiakban: Adatfeldolgozó vagy Repu).

2. A szerződés tárgya és viszonya a Felhasználási feltételekhez

Ez a szerződés az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 28. cikkének (3) bekezdése szerint rögzíti, hogyan kezeli a Repu az Adatkezelő megbízásából azokat a személyes adatokat, amelyekkel kapcsolatban a Repu adatfeldolgozó. Részletezi a Felhasználási feltételek 9/A. és 9/B. pontjában rögzített adatfeldolgozói szerepet. Ha ez a szerződés és a Felhasználási feltételek az adatfeldolgozás kérdésében eltérnek, ez a szerződés az irányadó.

Nem tartoznak ide azok az adatok, amelyeknek a Repu maga az adatkezelője (például az Adatkezelő fiókjának adatai, a számlázás, a Repu saját üzleti megkeresései); ezekről az Adatvédelmi tájékoztató szól.

3. Az adatfeldolgozás részletei

Az adatfeldolgozás tárgyát, időtartamát, jellegét és célját, az adatok és az érintettek körét az 1. melléklet tartalmazza.

4. Az Adatfeldolgozó kötelezettségei

  • Utasítás szerint: a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. Utasításnak minősül ez a szerződés, a Felhasználási feltételek, valamint az, ahogyan az Adatkezelő a Repu-t beállítja és használja (például kampányt indít, listát tölt fel, munkatársat vesz fel). Ha egy utasítás szerinte jogszabályba ütközik, erről haladéktalanul tájékoztatja az Adatkezelőt.
  • Titoktartás: az adatokhoz csak azok a munkatársai férnek hozzá, akiknek ez a szolgáltatás működtetéséhez, az Adatkezelő kérésére vagy biztonsági okból szükséges, és akik titoktartásra kötelezettek.
  • Biztonság: a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmaz; a jelenlegieket a 3. melléklet sorolja fel.
  • Érintetti kérelmek: megfelelő eszközökkel segíti az Adatkezelőt az érintettek kérelmeinek teljesítésében (például a címzett törlése, leiratkozás, a kért adatok kikeresése). Ha érintett közvetlenül a Repu-hoz fordul, a kérelmet indokolatlan késedelem nélkül továbbítja az Adatkezelőnek.
  • Adatvédelmi incidens: ha a megbízásból kezelt adatokat érintő adatvédelmi incidensről tudomást szerez, indokolatlan késedelem nélkül értesíti az Adatkezelőt, és átadja a GDPR 33. cikk (3) bekezdése szerinti, rendelkezésére álló információkat.
  • Közreműködés: az adatfeldolgozás jellegét és a rendelkezésére álló információkat figyelembe véve segíti az Adatkezelőt a GDPR 32-36. cikke szerinti kötelezettségei teljesítésében (biztonság, incidens-bejelentés, hatásvizsgálat, előzetes konzultáció).
  • Ellenőrzés: az Adatkezelő kérésére rendelkezésére bocsátja a megfelelés igazolásához szükséges információkat, és lehetővé teszi az előre egyeztetett, ésszerű terjedelmű ellenőrzést, amelyet az Adatkezelő vagy az általa megbízott, titoktartásra kötelezett ellenőr végez.

5. Az Adatkezelő kötelezettségei

Az Adatkezelő felel az adatkezelés jogalapjáért, az érintettek tájékoztatásáért és a szükséges hozzájárulások beszerzéséért (például az értékelés-kérő üzenetek címzettjeinél, a munkatársai tájékoztatásáért a munkatársi QR-kártyák esetén), valamint azért, hogy a Repu-ba csak jogszerűen megszerzett adatot vigyen be. Különleges adatot (például egészségügyi adatot) a Repu-ba szándékosan nem visz be.

6. Alvállalkozók (további adatfeldolgozók)

Az Adatkezelő általános felhatalmazást ad arra, hogy a Repu a 2. mellékletben felsorolt további adatfeldolgozókat igénybe vegye. Mindegyik csak a saját feladatához szükséges adatot kapja meg, és a Repu velük a GDPR 28. cikk (4) bekezdésének megfelelő, írásbeli szerződést köt vagy fogad el. Új alvállalkozó bevonása vagy csere előtt a Repu frissíti ezt a listát, és az Adatkezelőt a fiókjához tartozó e-mail címen előzetesen értesíti; az Adatkezelő az értesítéstől számított 14 napon belül tiltakozhat. Ha a tiltakozásra nem találunk megoldást, az Adatkezelő az előfizetését a Felhasználási feltételek szerint felmondhatja. A Repu az alvállalkozói teljesítéséért úgy felel, mintha maga járt volna el.

7. Adattovábbítás az EGT-n kívülre

Egyes alvállalkozók az Európai Gazdasági Térségen kívül, főként az Amerikai Egyesült Államokban is feldolgozhatnak adatot (a 2. melléklet jelöli, hol). Ilyenkor a GDPR V. fejezete szerinti garancia érvényes: az Európai Bizottság általános szerződési feltételei (Standard Contractual Clauses) és/vagy az EU-USA adatvédelmi keretrendszer (Data Privacy Framework), az adott szolgáltató tanúsítási státuszától függően.

8. Időtartam, törlés és visszaadás

A szerződés addig hatályos, amíg a Repu az Adatkezelő megbízásából személyes adatot kezel. Az Adatkezelő az adatait a Beállításokban bármikor letöltheti (adathordozhatóság) és a fiókjával együtt törölheti. A fiók törlésekor a Repu a megbízásból kezelt adatokat törli, kivéve, ha jogszabály a megőrzésüket írja elő. A törölt adatok a titkosított biztonsági mentésekből a megőrzési idő (jellemzően 90 nap, a havi mentéseknél hosszabb) lejártával tűnnek el.

9. Felelősség, irányadó jog

A felek felelősségére a GDPR 82. cikke és a Felhasználási feltételek 11. pontja (Felelősség korlátozása) irányadó, amennyiben azt jogszabály lehetővé teszi. A szerződésre a magyar jog az irányadó; a jogvitákra a Felhasználási feltételek 16. pontja vonatkozik.

10. Aláírás

A szerződés a Repu használatával és a Felhasználási feltételek elfogadásával jön létre. Aláírt példányt kérésre küldünk.

Az Adatfeldolgozó nevében: Trident Shield Group Kft., képviseli: Demeter Alex, ügyvezető.

1. melléklet: az adatfeldolgozás részletei

  • Tárgy és cél: a Repu szolgáltatás nyújtása az Adatkezelő részére: Google-értékelések fogadása és megválaszolása, értékelés-kérő e-mailek és SMS-ek küldése, az értékelő oldal és a munkatársi QR-kártyák működtetése, statisztikák készítése.
  • Jelleg: tárolás, rendszerezés, lekérdezés, továbbítás a 2. mellékletben felsorolt alvállalkozóknak a feladatuk elvégzéséhez, üzenetek kézbesítése, törlés.
  • Időtartam: az előfizetés (próbaidő) idejére, a 8. pont szerinti törlésig.
  • Érintettek és adatok:
    • az Adatkezelő vevői, vendégei, akiknek értékelés-kérést küld: név, e-mail cím, telefonszám, az üzenet nyelve, a kérés oka és az esemény időpontja, a kézbesítés, a megnyitás és a kattintás ténye, a leiratkozás, a hozzájárulás igazolása, a feltöltött listák és a számlázó-összekötésből kapott vevői elérhetőségek;
    • vendégek, akik az értékelő oldalon privát üzenetet írnak: az üzenet szövege, a megadott elérhetőség, időpont, az IP-címből képzett, vissza nem fejthető azonosító;
    • a Google-on értékelést írók: a Google-on látható név, az értékelés szövege, csillagszáma és a rá adott válasz;
    • az Adatkezelő munkatársai: név, szerepkör, a munkatársi link vagy QR-kártya beolvasásainak és Google-koppintásainak száma, a becsült értékelések; a fiókba meghívott kollégák neve, e-mail címe és szerepköre.
  • Különleges adatok: nem cél. Előfordulhat, hogy egy vendég az értékelésében vagy a privát üzenetében az egészségére vonatkozó információt ír; ezt a Repu ugyanígy, csak az Adatkezelő számára elérhetően kezeli.

2. melléklet: alvállalkozók

  • Supabase

    Adatbázis, bejelentkezés, háttérfolyamatok, fájltárhely

    EU, Írország

  • Vercel

    A weboldal és az alkalmazás kiszolgálása

    EU, Írország (Dublin): szerveroldali futtatás; a statikus tartalmat a globális hálózat szolgálja ki

  • Anthropic (Claude API)

    Válaszjavaslatok és elemzések megírása

    USA

  • Stripe

    Bankkártyás fizetés, előfizetés

    EU (Írország) és USA

  • Google

    A Google Cégprofil adatai, nyilvános helyadatok (Places), térkép (hozzájárulással vagy kérésre), Google-bejelentkezés; hozzájárulással Google Analytics

    Globális

  • Google Workspace

    Az info@repu.hu levelezés (Gmail) és a megbeszélések meghívói (Google Naptár)

    Globális

  • Postproxy

    Összeköttetés a Google Cégprofillal: értékelések, válaszok, bejegyzések

    EU

  • Resend

    E-mailek kézbesítése, köztük az értékelés-kérőké

    USA

  • Twilio

    SMS-ek kézbesítése

    USA

  • PostHog

    Termékhasználati statisztika, csak hozzájárulással

    EU, Németország (Frankfurt)

  • Apify

    Nyilvános Google Térkép-adatok beolvasása az ajándék elemzéshez

    EU, Csehország

  • Számlázz.hu

    Számlakiállítás; ha összekötöd, számlázó-összekötés

    Magyarország

  • Billingo

    Számlázó-összekötés, ha összekötöd

    Magyarország

A lista megegyezik a Trust Center és az Adatvédelmi tájékoztató listájával. A Repu saját üzleti megkereséseihez használt szolgáltatók (Instantly, Cal.com) az Adatkezelő adataihoz nem férnek hozzá, ezért nem szerepelnek itt.

3. melléklet: technikai és szervezési intézkedések

  • Az adatbázis és a fájltárhely az EU-ban, a Supabase írországi (eu-west-1) szerverein van; az oldalak szerveroldali előállítása 2026. október 26-tól a Vercel dublini (Írország) régiójában fut.
  • Titkosított kapcsolat (HTTPS, HSTS) minden oldalon; az adatbázis-kapcsolat titkosított.
  • A tárhelyszolgáltatók (Supabase, Vercel) az adatokat titkosítva (AES-256) tárolják.
  • A számlázó-összekötések hozzáférési kulcsait AES-GCM titkosítással tároljuk.
  • Az adatbázis minden táblájára sorszintű hozzáférés-szabályozás érvényes: egy fiók csak a saját vállalkozása adatait éri el, ezt az adatbázis kényszeríti ki.
  • A belső adminisztrációs felülethez csak kijelölt munkatársak férnek hozzá, a jogosultságot a szerver szerepkör alapján ellenőrzi.
  • A bankkártyaadatot a Stripe fizetőoldalán adják meg; a Repu szervereire nem jut el.
  • A beérkező webhookokat (fizetés, e-mail, Google-összeköttetés) aláírás alapján ellenőrizzük.
  • Éjszakánként titkosított (AES-256) teljes adatbázis-mentés készül, 90 napig, a havi mentések hosszabb ideig megőrizve.
  • Minden kódváltozás verziókezelt; egy hibás kiadás visszaállítható.
  • A szolgáltatás fő részeit ötpercenként automatikusan ellenőrizzük.
  • A QR-kódos beolvasások kétszeri számolásának kiszűréséhez IP-cím helyett titkos kulccsal képzett, vissza nem fejthető azonosítót használunk, legfeljebb 1 napig.
  • A nyelvi modell (Anthropic) kereskedelmi API-ján küldött adatokat a szolgáltató alapértelmezés szerint nem használja modelltanításra.
  • Automatikus adatmegőrzési szabályok: például az ütemezett kérések várólistás adatai a küldés után 30 nappal törlődnek.

Data Processing Agreement

Version 1.0, effective from 26 October 2026. This English version is provided for convenience; if the two versions differ, the Hungarian version prevails. This is a first version and is being reviewed by a lawyer. For a signed copy, write to info@repu.hu.

1. Parties

Controller: the business that subscribes to or trials Repu, as identified in its Repu account and billing details. Processor: Trident Shield Group Kft. (registered office: Jókai utca 18., 4485 Nagyhalász, Hungary; company registration no. 15-09-093902; tax no. 32873537-2-15; info@repu.hu), the operator of Repu.

2. Subject matter

This agreement sets out, under Article 28(3) GDPR, how Repu processes personal data on the Controller's behalf. It details the processor role described in sections 9/A and 9/B of the Terms of Use; where they differ on data processing, this agreement prevails. Data for which Repu is itself the controller (the Controller's account, billing, Repu's own outreach) is covered by the Privacy Policy.

3. Processor obligations

  • Process personal data only on the Controller's documented instructions: this agreement, the Terms of Use and the way the Controller configures and uses Repu. Inform the Controller without delay if an instruction appears to infringe the law.
  • Ensure that only staff who need access to run the service, at the Controller's request or for security, can access the data, and that they are bound by confidentiality.
  • Apply the technical and organisational measures of Article 32 GDPR; the current measures are listed in Annex 3.
  • Assist the Controller with data subject requests and forward any request received directly without undue delay.
  • Notify the Controller without undue delay after becoming aware of a personal data breach affecting the Controller's data, with the information available under Article 33(3) GDPR.
  • Assist the Controller with its obligations under Articles 32-36 GDPR, taking into account the nature of processing and the information available.
  • Make available the information needed to demonstrate compliance and allow reasonable, pre-agreed audits by the Controller or an auditor bound by confidentiality.

4. Controller obligations

The Controller is responsible for the legal basis, for informing data subjects, for obtaining any required consent (for example from recipients of review requests, and informing its staff about staff QR cards), and for entering only lawfully obtained data. The Controller does not intentionally enter special categories of data.

5. Sub-processors

The Controller gives general authorisation for the sub-processors in Annex 2. Each receives only the data it needs and is bound by a written agreement meeting Article 28(4) GDPR. Before adding or replacing a sub-processor, Repu updates the list and notifies the Controller by e-mail in advance; the Controller may object within 14 days. If no solution is found, the Controller may terminate its subscription under the Terms of Use. Repu remains liable for its sub-processors.

6. Transfers outside the EEA

Some sub-processors may process data outside the EEA, mainly in the United States (see Annex 2). Such transfers rely on the European Commission's Standard Contractual Clauses and/or the EU-U.S. Data Privacy Framework, depending on the provider's certification.

7. Term, deletion and return

This agreement applies for as long as Repu processes personal data on the Controller's behalf. The Controller can export its data in Settings at any time and delete it together with the account. On account deletion Repu deletes the Controller's data unless the law requires retention. Deleted data leaves the encrypted backups when their retention period ends (typically 90 days, longer for monthly backups).

8. Liability and governing law

Liability is governed by Article 82 GDPR and, where the law allows, section 11 of the Terms of Use. Hungarian law applies; disputes are governed by section 16 of the Terms of Use. The agreement is concluded by using Repu and accepting the Terms of Use; a signed copy is available on request. For the Processor: Trident Shield Group Kft., represented by [managing director's name], managing director.

Annex 1: details of processing

  • Subject matter and purpose: providing Repu to the Controller: receiving and replying to Google reviews, sending review-request e-mails and SMS, running the review page and staff QR cards, statistics.
  • Nature: storage, organisation, retrieval, transmission to the sub-processors in Annex 2 for their tasks, message delivery, erasure.
  • Duration: for the subscription (trial), until deletion under section 7.
  • Data subjects and data: the Controller's customers who receive review requests (name, e-mail, phone, language, reason and event time, delivery/open/click status, opt-out, consent evidence, uploaded lists and contacts from a connected invoicing tool); guests who send a private message on the review page (message, contact details, time, an irreversible IP-derived identifier); Google reviewers (public display name, review text, rating, reply); the Controller's staff (name, role, scans and Google taps of their link or QR card, estimated reviews) and invited team members (name, e-mail, role).
  • Special categories: not intended. A guest may mention health information in a review or private message; Repu handles it the same way, visible only to the Controller.

Annex 2: sub-processors

  • Supabase

    Database, authentication, background jobs, file storage

    EU, Ireland

  • Vercel

    Hosting and server-side rendering of the website and the app

    EU, Ireland (Dublin): server-side processing; static content served by the global network

  • Anthropic (Claude API)

    Drafting reply suggestions and analyses

    USA

  • Stripe

    Card payments and subscriptions

    EU (Ireland) and USA

  • Google

    Google Business Profile data, public place data (Places), maps (with consent or on request), Google sign-in; Google Analytics with consent

    Global

  • Google Workspace

    The info@repu.hu mailbox (Gmail) and meeting invitations (Google Calendar)

    Global

  • Postproxy

    Connection to the Google Business Profile: reviews, replies, posts

    EU

  • Resend

    E-mail delivery, including review-request e-mails

    USA

  • Twilio

    SMS delivery

    USA

  • PostHog

    Product analytics, consent-based

    EU, Germany (Frankfurt)

  • Apify

    Reading public Google Maps data for the gift analysis

    EU, Czechia

  • Számlázz.hu

    Invoicing; the invoicing integration if the customer connects it

    Hungary

  • Billingo

    Invoicing integration if the customer connects it

    Hungary

Annex 3: technical and organisational measures

  • Database and file storage in the EU, on Supabase servers in Ireland (eu-west-1); from 26 October 2026 server-side rendering runs in Vercel's Dublin (Ireland) region.
  • Encrypted connections (HTTPS, HSTS) on every page; encrypted database connection.
  • Hosting providers (Supabase, Vercel) encrypt data at rest (AES-256).
  • Invoicing-integration access keys are stored with AES-GCM encryption.
  • Row-level access control on every database table: an account can only reach its own business's data, enforced by the database.
  • Internal admin access is limited to designated staff, with the role checked by the server.
  • Card data is entered on Stripe's payment page and never reaches Repu's servers.
  • Incoming webhooks (payments, e-mail, Google connection) are verified by signature.
  • Nightly encrypted (AES-256) full database backup, kept 90 days, monthly backups longer.
  • Every code change is version-controlled; a faulty release can be rolled back.
  • The main parts of the service are checked automatically every five minutes.
  • Duplicate QR scans are filtered with an irreversible keyed identifier instead of the IP address, kept at most 1 day.
  • By default, the language-model provider (Anthropic) does not use data sent through its commercial API for training.
  • Automatic retention rules, for example queued review-request data is deleted 30 days after sending.