SalesAutopilot AI és adatfeldolgozási szerződéskiegészítés

Ez a kiegészítés a SalesAutopilot Kft. és a szolgáltatást igénybe vevő Szerződő közötti Szolgáltatási Szerződés adatfeldolgozási, AI-használati, törlési és kapcsolódó biztonsági rendelkezéseit módosítja. A kiegészítésben a SalesAutopilot Kft. rövid neve SAPI. A személyes adatokra az Európai Parlament és a Tanács (EU) 2016/679 rendelete, a GDPR alkalmazandó.

Hatálybalépés: A SalesAutopilot e módosítást 2026. november 2-án teszi közzé a Weboldalon, és ugyanezen a napon e-mailben értesíti a Szerződőket.

A 3.4.1. és 3.4.5. pont kizárólag az újonnan bevezetett SAPI Robi AI asszisztensre és annak kreditelszámolására vonatkozó rendelkezései a 12. pont (4) bekezdése alapján 2026. november 2-án lépnek hatályba; a meglévő Szerződőre az AI asszisztens bekapcsolásával alkalmazandók.

A Szegmens AI-generátor módosult kreditelszámolása a meglévő Szerződő külön tájékoztatást követő, kifejezett elfogadásával már 2026. november 2-től alkalmazható. A SAPI Robit be nem kapcsoló meglévő Szerződő számára a Szegmens AI-generátor 2026. november 2-től nem érhető el.

A jelen módosítás további rendelkezései a meglévő Szerződőkre a 12. pont (3) bekezdése alapján 2026. december 2-án lépnek hatályba.

A 2026. november 2-án vagy azt követően regisztráló Szerződőre a szerződéskötés előtt megismerhetővé tett és általa elfogadott teljes szerződésszöveg a szerződés létrejöttétől alkalmazandó.

1 Az adatvédelmi szerepek és az utasítások

A Szolgáltatási Szerződés 3.2. (1) bekezdése helyébe a következő rendelkezés lép.

Ha a Szerződő saját célból személyes adatot kezel a szolgáltatásban, e tartalom tekintetében adatkezelő, a SAPI pedig dokumentált utasításai szerint eljáró adatfeldolgozó. Ha a Szerződő más adatkezelő adatfeldolgozójaként jár el, az adatfeldolgozási lánchoz szükséges felhatalmazásról is gondoskodik. A technikai megoldás, a biztonsági intézkedés vagy az API-kulcs kiválasztása önmagában nem határozza meg a felek valamennyi adatvédelmi szerepét.

A SAPI saját szerződéses, felhasználói, számlázási és önállóan meghatározott működési célú adatkezelései elkülönülnek az ügyféltartalom feldolgozásától. Ezekről az általános és az AI adatkezelési tájékoztató rendelkezik. A saját cél megnevezése nem ad általános felhatalmazást a Szerződő feliratkozói adatainak saját célú elemzésére.

A Szerződő utasítása a szerződésből, a jogosult személy szolgáltatási beállításából, engedélyezett műveletéből vagy rögzíthető írásos kéréséből állapítható meg. A SAPI az utasítás teljesítéséhez szükséges adatot kezeli, és jelzi, ha megítélése szerint az utasítás adatvédelmi rendelkezést sért. A szolgáltatás egyik funkciójának engedélyezése nem azonos a feliratkozó vagy más érintett GDPR szerinti hozzájárulásával.

2 AI funkciók és a kapcsolódó feldolgozás

A Szolgáltatási Szerződés a következő 3.4. ponttal egészül ki.

2.1 A SAPI által biztosított AI funkciók

A SAPI Robi asszisztens és a szegmensgenerátor a SAPI Anthropic-kapcsolatát használja. A SAPI Robi a kérés, beszélgetési előzmény és a feladat végrehajtásához használt műveleti bemenet vagy eredmény személyes tartalmát is továbbíthatja. A szegmensgenerátor feliratkozói adatrekordot nem továbbít; mezőelnevezésben, terméknévben vagy szabad szövegben azonban szerepelhet személyes adat.

A SAPI Robi minden író művelet előtt a jogosult felhasználó külön jóváhagyását kéri; a szerver a jóváhagyott műveletet ellenőrzi. Olvasási művelethez külön jóváhagyás nem szükséges. E kontroll nem általánosítható az MCP-kapcsolatra vagy az ügyfél által beállított automatizmusokra. A felhasználó az eredményt, címzetti kört, tartalmat és időzítést az engedélyezés előtt érdemben ellenőrzi.

A SAPI a saját Anthropic- és OpenAI-kapcsolatát szolgáltatási háttérfeladatokhoz is használhatja. A kézbesítési hibák értelmezése, az adathalászat és levélszemét felismerése, valamint a kért márkastílus kinyerése eltérő feldolgozás. A megszüntetett belső levél- és űrlapkereső fennmaradó OpenAI-objektumainak állapotát, megőrzését és törlését az AI adatkezelési tájékoztató 6. és 9. fejezete ismerteti; a harmincnapos API-naplóidő nem általános törlési határidő minden ilyen objektumra. A saját ügyfélkapcsolati és belső Make/Sonix-folyamatokat a SAPI önálló adatkezelőként végzi; ezek nem válnak pusztán e kiegészítés miatt a Szerződő utasítására végzett adatfeldolgozássá.

2.2 Az ügyfél saját AI szolgáltatása

Az AI prompt művelet és az AI-szegmenselemzés a Szerződő saját OpenAI-hozzáférésével működik. Az adatátadást a SAPI szervere technikailag közvetíti. Az MCP esetében a Szerződő az általa választott külső AI-kliensnek engedélyez kapcsolatot; ezen az adatúton maga az MCP-szerver nem választ és nem hív külön SAPI-modellszolgáltatót.

A saját AI-szolgáltatóval fennálló szerződést, az érintettek tájékoztatását, a jogalapot és a szolgáltató további adatkezelési feltételeit a Szerződő rendezi. A SAPI ettől függetlenül felel a saját adatfeldolgozói, biztonsági és adattovábbítási kötelezettségeiért. Saját kulcs vagy külső kliens alkalmazása nem zárja ki a SAPI-oldali technikai naplózást.

Az AI prompt művelet feliratkozónként automatikusan is futhat, és a modell válaszát feliratkozói mezőbe írhatja. A Szerződő a további szegmentálással és műveletekkel együtt értékeli a profilalkotást és a GDPR 22. cikke szerinti döntési hatást. Nem minden AI-feldolgozás minősül e cikk alá tartozó döntésnek.

2.3 Az MCP hozzáférésének feltételei

Az MCP konkrét művelethívás alapján ad át adatot, automatikus előzetes háttérszinkront nem végez. A művelet paramétere és eredménye személyes adatot tartalmazhat. A teljes külső beszélgetési előzményt a SAPI nem kapja meg; a strukturált paraméterekben ugyanakkor a kérésből származó szöveg is szerepelhet.

A hozzáférési token hét napig használható. Az MCP-belépés jelenleg nem alkalmazza a fiók kétlépcsős azonosítását. Egyedi token-visszavonás és külön, kizárólag MCP-re vonatkozó csak olvasási profil nincs; a külső kliensben végzett kapcsolatbontás önmagában nem teszi használhatatlanná a már kiadott tokent. Sürgős letiltás az info@salesautopilot.hu címen kérhető; a fiók API-kulcsainak inaktiválása más API-integrációkat is érinthet.

Az MCP egyes kampány-, számla-, termék-, adó-, szállítási és követésidomain-műveleteinél a felhasználói jogosultság-ellenőrzés a közölt állapot szerint korlátozott. A SAPI e kitettséget megfelelő technikai vagy átmeneti hozzáférési intézkedéssel kezeli; a korlát ismertetése nem hárítja a Szerződőre a SAPI saját biztonsági felelősségét.

A műveleti jóváhagyás a külső AI-kliens működésétől és beállításától függ. Nincs minden író lépéshez SAPI Robival azonos SAPI-jóváhagyás. Feliratkozó, lista, levél vagy kampány törlésére nincs ügyféloldali MCP-eszköz; űrlapmező eltávolítható. Levélküldés és kiküldésaktiválás is elérhető, az elküldött levél nem vonható vissza.

2.4 AI alkalmazásával támogatott ügyfélszolgálat

Az Intercom Fin a chatben közölt üzenet és a tudásbázis alapján válaszolhat; önmagában nem olvassa a SAPI-fiók tartalmát. Bejelentett hiba kivizsgálásához a SAPI munkatársa ügyazonosítóhoz kötött, időkorlátos, csak olvasási belső AI-eszközt is használhat kétlépcsős azonosítás és naplózás mellett. Az e-mail-cím és telefonszám kitakarása nem jelenti minden személyes tartalom anonimizálását.

Az ügyfél tartalmának vizsgálata a dokumentált támogatási kérés és a szolgáltatás teljesítéséhez szükséges terjedelem keretében történik. Az AI-közreműködésről a vizsgálat megkezdése előtt hozzáférhető tájékoztatást kell adni a jogosult ügyfélkapcsolattartónak. Ettől elkülönülő saját célra a SAPI az ügyfél tartalmát e rendelkezés alapján nem használhatja fel.

2.5 Kredit és felhasználói kimutatás

A kreditnyilvántartás a fiókhoz és felhasználóhoz kapcsolódó elszámolási adatokat tartalmazza, az üzenetek szövegét nem. A fő felhasználó, a teljes beállítási jogosultságú és a pénzügyi jogosultságú felhasználó névvel, e-mail-címmel, kérésszámmal és felhasznált kredittel havi kimutatást láthat és tölthet le. Ez nem teszi számukra olvashatóvá más felhasználó SAPI Robi-beszélgetését. A Szerződő a saját munkatársi tájékoztatását és a kimutatás további használatát önállóan rendezi.

Extra kredit mentett kártyás megvásárlásához az adott terhelés külön engedélyezése szükséges. Ez fizetési felhatalmazás, nem az elszámolás valamennyi adatkezelésére adott GDPR-hozzájárulás. A kredit felhasználhatósága és az elszámolási adatok megőrzése eltérő kérdés; az adatmegőrzést az AI adatkezelési tájékoztató részletezi.

3 További adatfeldolgozók és nemzetközi adattovábbítás

A Szolgáltatási Szerződés 3.2. (5) bekezdése helyébe a következő rendelkezés lép.

A Szerződő általános írásbeli engedélyt ad a szolgáltatáshoz megjelölt további adatfeldolgozók igénybevételére. A SAPI az új vagy helyettesítő további adatfeldolgozóról előzetesen, annak neve, feladata, adatkezelési helye és az érintett adatok megadásával tájékoztatja a Szerződőt, és a bevonás előtt érdemi lehetőséget biztosít adatvédelmi kifogás előterjesztésére. Az értesítésnél a szerződésmódosításra vonatkozó 12. (3)-(4) bekezdés alkalmazhatóságát is figyelembe kell venni.

Kifogás esetén a felek a kifogásolt adatátadást és az adott szolgáltatás jogszerű biztosítását egyeztetik. A kifogással érintett adatok az új címzettnek a szükséges engedély és megfelelő garanciák rendezése előtt nem adhatók át. Az értesítés vagy a szolgáltatás további használata nem helyettesíti az érintett külön szükséges hozzájárulását.

A SAPI a további adatfeldolgozót a GDPR 28. cikk (4) bekezdésének megfelelő szerződéshez köti, és saját kötelezettségeiért e láncban továbbra is felel. EGT-n kívüli továbbításnál a GDPR V. fejezete szerinti feltételeket és az adatkezelő dokumentált utasítását is biztosítani kell. Az írországi fő tárhely vagy európai szerződő fél önmagában nem jelent minden adatútra kizárólag európai feldolgozást.

3.1 A kapcsolódó szolgáltatói jegyzék

Az alábbi jegyzék a SAPI szolgáltatásához igénybe vett feldolgozói kapcsolatokat az érintett használati eset szerint tartalmazza. Ha a közreműködő a SAPI saját adatkezeléséhez dolgozik, adatfeldolgozó; a Szerződő tartalmán végzett szolgáltatási feldolgozásnál további adatfeldolgozó. A táblázat nem ad engedélyt az ügyfél tartalmának új saját célú használatára.

A Szerződő saját OpenAI- vagy külső MCP-szolgáltatóját a Szerződő választja és szerződteti; az nem válik ettől automatikusan a SAPI további adatfeldolgozójává. A SAPI saját ügyfélkapcsolati célú Make- és Sonix-feldolgozását az általános és az AI adatkezelési tájékoztató ismerteti; e saját használat miatt ezek nem tartoznak automatikusan a Szerződő tartalmát kezelő további adatfeldolgozók körébe.

4 Törlés visszaadás és biztonsági mentések

A Szolgáltatási Szerződés 2.2. (5) és 2.3. (8) bekezdésében szereplő, minden adat haladéktalan és nem reprodukálható törlésére vonatkozó rendelkezések helyébe, valamint a 10.3. (1) bekezdéséhez a következő szabályok lépnek.

A szolgáltatás megszűnésekor a Szerződő a GDPR 28. cikk (3) bekezdés g) pontja szerint választ az általa kezelt személyes adatok visszaadása és törlése között. A választást és a teljesítéshez szükséges utasítást időben, rögzíthető módon közli. Az önkiszolgáló export lehetősége nem szünteti meg a SAPI jogszabály szerinti együttműködési kötelezettségét. A visszaadás után megmaradó példányokat is törölni kell, kivéve a további tárolást előíró uniós vagy tagállami jog esetét.

A napi karbantartás lemondásnál a lemondás dátuma után három nappal, tartozás miatti felfüggesztésnél a lejárt számla időpontja után negyvenöt nappal indítja a fiók működési tartalmának törlését. A szolgáltatás megszűnése, az aktív törlés és valamennyi másolat végleges eltávolítása nem azonos időpont. A saját számviteli iratokat és a szükséges konkrét igénybizonyítékot a SAPI elkülönülő saját jogalapja és megőrzési ideje szerint kezeli; ez nem jogosítja fel a teljes feliratkozói tartalom további tárolására.

A fő Aurora MySQL és MongoDB heti mentéseinek közölt megőrzése kilencvenegy nap, a fő Aurora folyamatos mentéséé hét nap. A további rétegek rövidebb, például három-, hét- vagy tizennégy napos ciklusban is működnek. A korábban készült mentés a benne szereplő adatot lejáratáig tartalmazhatja, de nem használható a teljesített érintetti törlés visszafordítására vagy új célra.

A kézi és régi másolatok, a leállított adatbázis-másolatok és a korábbi S3-objektumverziók megőrzése legfeljebb kilencven nap: a kézi snapshot és a leállított másolat esetében a létrehozástól, a korábbi objektumverziónál a nem aktuálissá válástól számítva. A fiók heti logikai mentése a fiók törlésekor törlődik. A többi mentési rétegben a leghosszabb megőrzés a heti mentések kilencvenegy napja. Az aktív rendszerből törölt adat legkésőbb a törléstől számított kilencvenegy nap elteltével a SAPI biztonsági mentéseiből és az itt felsorolt archív másolatokból is törlődik. A másolatkészítés vagy helyreállítás nem hosszabbíthatja meg ezt az időtartamot. A külön megőrzött technikai naplókra és külső szolgáltatói példányokra az AI adatkezelési tájékoztatóban ismertetett szabályok vonatkoznak.

A korábban meghatározott kilencvennapos ügyfél-visszaállítási szolgáltatás időablaka nem a heti snapshot élettartama és nem feltétel nélküli ígéret minden adat helyreállíthatóságára. A visszaállítás dokumentált, jogosult kéréshez, ellenőrzött adatkezelési jogosultsághoz és a korábbi érintetti törlések érvényesítéséhez kötött. A SAPI az aktív visszaadást vagy törlést, a jogszerűen fennmaradó példányt és annak végleges kifutását külön igazolja.

A leiratkozás csak a küldési állapotot módosítja; az egyedi rekord törlése nem jelent valamennyi kapcsolódó napló, másik lista, szolgáltatói példány és mentés automatikus törlését. A teljes érintetti kérelem végrehajtásában a SAPI a dokumentált utasítás szerint, a szükséges rendszerekre kiterjedően közreműködik. A technikai megőrzési idő nem az érintetti kérelem megválaszolására adott általános haladék.

Az AI- és MCP-naplók, a SAPI Robi-beszélgetések és a külső szolgáltatói példányok eltérő szabályait az AI adatkezelési tájékoztató részletezi. A MongoDB AI- és MCP-példányok fióktörlése nem terjed ki a harminc- vagy kilencvennapos CloudWatch-példányok azonnali törlésére; a Bugsnag hatvannapos ideje és a CloudTrail egyéves infrastruktúra-auditja külön szabály. Az indokolatlan tartalmi naplózás szükségességét a SAPI felülvizsgálja, és a törlési kötelezettségeket a tényleges célnak és szerepnek megfelelően teljesíti.

5 Biztonság hatásvizsgálat és saját használati adatok

A Szolgáltatási Szerződés 3.2. (6) bekezdésének általános kockázatkizáró nyilatkozata és a 3.3. (6) bekezdésének személyes adatok hozzáférését általánosan kizáró mondata helyébe a következő rendelkezések lépnek.

A Szerződő adatkezelőként a tényleges cél, adatkör, méret, érintetti kör, profilalkotás és döntési hatás alapján értékeli az adatvédelmi kockázatot és a GDPR 35. cikke szerinti hatásvizsgálat szükségességét. A SAPI a saját felelősségi körében vizsgálja a szolgáltatás kockázatait, és a GDPR 28. cikk (3) bekezdés f) pontja szerint segíti a Szerződőt. Az AI alkalmazása önmagában nem tesz minden művelethez teljes hatásvizsgálatot kötelezővé, de a szolgáltatás általános megnevezése alapján magas kockázat sem zárható ki.

A saját használati és költségkimutatás azonosítót és adott esetben személyes adatot is tartalmazhat. A SAPI a saját célhoz szükséges adatkört, jogalapot és megőrzést elkülöníti az ügyfél tartalmán végzett adatfeldolgozástól. A feliratkozói tartalom saját termékfejlesztési felhasználását ez a rendelkezés önmagában nem engedélyezi.

A Szolgáltatási Szerződés 8. pontjának biztonsági rendelkezései az alábbi pontosításokkal alkalmazandók. Az alkalmazás titkosított hálózati kapcsolatát TLS biztosítja; az SHA-256 önmagában nem a hálózati kapcsolat titkosítási protokollja. A fő Aurora-adatbázis és mentései tároláskor titkosítottak; ez nem minden régi komponensre kiterjedő tényállítás. A SAPI a személyes adatok kockázatához igazodó védelmet a GDPR 32. cikke szerint biztosítja.

A felhasználói fiókhatár, a projektmappa-jogosultság és az egyes integrációk hozzáférési korlátai elkülönülnek. A Szerződő a felhasználói jogosultságok megadásáért, a SAPI pedig azok saját rendszerében történő megfelelő technikai érvényesítéséért felel. A 8. pont felhasználói beállításokra utaló rendelkezése nem hárítja át a SAPI saját biztonsági kötelezettségét.

A visszaállításhoz szükséges idő a hiba jellegétől, adatmennyiségtől és helyreállítási rétegtől függ. A 8. pontban szereplő általános kétórás helyreállítási ígéret helyébe az a rendelkezés lép, hogy a SAPI a helyreállítást indokolatlan késedelem nélkül megkezdi, és a várható teljesítési időről, valamint lényeges változásáról tájékoztatja a Szerződőt. Az adott szolgáltatásra külön megállapodott, ennél pontosabb szolgáltatási vállalás elsőbbséget élvez. A SAPI a helyreállíthatóságot és a biztonsági intézkedések hatékonyságát rendszeresen vizsgálja; a visszaállítás a korábbi törlések érvényesítését is biztosító eljáráshoz kötött.

6 Hatály és kapcsolódó tájékoztatás

E kiegészítés a kifejezetten módosított tárgykörben irányadó; a Szolgáltatási Szerződés egyéb rendelkezéseit nem módosítja. Nem korlátozhatja az érintett GDPR szerinti jogait, a felek közvetlen jogszabályi kötelezettségeit vagy az alkalmazandó felelősségi szabályokat.

A kizárólag új szolgáltatás bevezetését és a már működő szolgáltatás feltételeinek módosítását a hatályos szerződés 12. (3)-(4) bekezdése szerint külön kell kezelni. Az újonnan bevezetett SAPI Robi AI asszisztensre és annak kreditelszámolására vonatkozó rendelkezések 2026. november 2-án, a többi módosítás a meglévő Szerződőkre 2026. december 2-án lép hatályba. A Szegmens AI-generátor módosult kreditelszámolása a meglévő Szerződő külön tájékoztatást követő, kifejezett elfogadásával már 2026. november 2-től alkalmazható. A SAPI Robit be nem kapcsoló meglévő Szerződő számára a Szegmens AI-generátor 2026. november 2-től nem érhető el. A tájékoztatók időszerű helyesbítését, az érintetti jogok teljesítését és a szükséges biztonsági intézkedést a szerződéses értesítési idő nem halasztja el.

Általános adatkezelési tájékoztató: https://www.salesautopilot.hu/adatkezelesi-tajekoztato. Az AI adatkezelési tájékoztató az AI-funkciók részletes működését, adatait, megőrzését, címzettjeit és az érintetti joggyakorlást ismerteti. A tájékoztatók nem helyettesítik e kiegészítés szerződéses elfogadását vagy az alkalmazandó módosítási eljárást.