Hatályos: 2026. június 20-tól — Sparkle5, LLC — Verzió: 1.0

Adatfeldolgozási megállapodás (DPA)

Ez az Adatfeldolgozási megállapodás (a továbbiakban: „DPA”) a Sparkle5, LLC (a továbbiakban: „Luvu” vagy „mi”) és Ön (a továbbiakban: „Ügyfél” vagy „Ön”) között fennálló Felhasználási feltételek részét képezi, és minden olyan esetben alkalmazandó, amikor a Sparkle5, LLC a Luvu szolgáltatással összefüggésben az Ön nevében személyes adatokat kezel. Célja, hogy megfeleljen a GDPR 28. cikkének, az Egyesült Királyság 2018. évi adatvédelmi törvényének (UK Data Protection Act 2018) és az azokkal egyenértékű jogszabályoknak.

1. Fogalommeghatározások

Személyes adat, adatkezelés, adatkezelő, adatfeldolgozó, érintett — a GDPR-ban meghatározott jelentéssel.
További adatfeldolgozó — bármely harmadik fél, amelyet a Luvu a szolgáltatással összefüggésben a nevünkben végzett személyesadat-kezeléssel bíz meg.
Általános szerződési feltételek (SCC) — az Európai Bizottság által elfogadott 2. modul (adatkezelő → adatfeldolgozó) és 3. modul (adatfeldolgozó → további adatfeldolgozó) szerinti feltételek ((EU) 2021/914 bizottsági határozat).

2. Szerepkörök és hatály

A Luvu végfelhasználóira (a társkereső alkalmazásra mint termékre) vonatkozó személyes adatok tekintetében a Sparkle5, LLC az adatkezelő. Minden olyan személyes adat tekintetében, amelynek standard termékünkön kívül (pl. vállalati integrációs szerződések, white-label telepítések keretében) az Ön nevében történő kezelésére Ön (az Ügyfél) utasít minket, a Sparkle5, LLC adatfeldolgozóként jár el, és erre az adatkezelésre ez a DPA irányadó.

3. Az adatkezelés tárgya, időtartama, jellege és célja

Tárgy: A Luvu szolgáltatás nyújtása — párkeresés, üzenetküldés, személyazonosság-ellenőrzés, számlázás és az ezeket támogató infrastruktúra.
Időtartam: Az adatkezelés a Felhasználási feltételek hatályának idejére tart; a megszűnést követően az adatokat az Adatvédelmi tájékoztatónk § 7 szerinti megőrzési rend alapján őrizzük meg.
Jellege és célja: Személyes adatok tárolása, rendszerezése, lekérdezése, továbbítása és törlése a szolgáltatás nyújtásához, működtetéséhez, biztonságának biztosításához és fejlesztéséhez szükséges mértékben.
A személyes adatok típusai: Azonosító adatok, kapcsolattartási adatok, profiladatok, a 9. cikk szerinti különleges kategóriájú személyes adatok (szexuális irányultság és preferenciák, az Adatvédelmi tájékoztató § 1 szerint adott kifejezett hozzájárulás alapján), helyadatok, eszközazonosítók, fizetési metaadatok, tartalmak (üzenetek, fotók, hanganyagok), használati és naplóadatok.
Az érintettek kategóriái: Regisztrált Luvu-felhasználók.

4. Az adatfeldolgozó kötelezettségei

Amennyiben adatfeldolgozóként járunk el, vállaljuk, hogy:

a személyes adatokat kizárólag az adatkezelő dokumentált utasításai alapján kezeljük, kivéve, ha azt uniós vagy tagállami jog írja elő számunkra;
biztosítjuk, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettség hatálya alá tartozzanak;
végrehajtjuk a II. mellékletben ismertetett technikai és szervezési intézkedéseket;
további adatfeldolgozót kizárólag előzetes általános írásbeli felhatalmazás alapján, és olyan tükörképszerű (back-to-back) szerződéses kötelezettségek mellett veszünk igénybe, amelyek nem nyújtanak kisebb védelmet, mint ez a DPA — lásd: § 5 és I. melléklet;
az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel, a lehetséges mértékben segítjük az adatkezelőt abban, hogy teljesíteni tudja az érintetti kérelmek megválaszolására vonatkozó kötelezettségét (GDPR III. fejezet);
segítséget nyújtunk a GDPR 32–36. cikke szerinti biztonsági, adatvédelmi incidens-bejelentési, adatvédelmi hatásvizsgálati (DPIA) és előzetes konzultációs kötelezettségek teljesítéséhez;
a megszűnéskor valamennyi személyes adatot töröljük vagy visszaadjuk — adatait Ön bármikor maga is exportálhatja a Beállítások → Adatvédelem → Adatok exportálása menüpontban;
az adatkezelő rendelkezésére bocsátunk minden olyan információt, amely a megfelelés igazolásához szükséges, továbbá lehetővé tesszük és elősegítjük az adatkezelő vagy az általa megbízott más auditor által végzett auditokat, ideértve a helyszíni vizsgálatokat is. Auditra 12 hónapos időszakonként legfeljebb egyszer kerülhet sor, kivéve biztonsági incidenst követően.

5. További adatfeldolgozók

Ön ezennel általános írásbeli felhatalmazást ad a Luvu számára az I. mellékletben felsorolt további adatfeldolgozók igénybevételére. A további adatfeldolgozók tervezett bevonásáról vagy cseréjéről alkalmazáson belüli bannerben, valamint a nyilvántartásunkban szereplő e-mail-címére küldött e-mailben értesítjük Önt, észszerű időt (legalább 30 napot) biztosítva arra, hogy észszerű indokok alapján kifogást emeljen, mielőtt az új további adatfeldolgozó megkezdi az adatkezelést. Az I. mellékletben szereplő lista mindenkor megegyezik az Adatvédelmi tájékoztató § 5 szerinti, a további adatfeldolgozókat tartalmazó táblázattal.

6. Nemzetközi adattovábbítás

Amennyiben valamely további adatfeldolgozó az EU-n/EGT-n kívül található, az adattovábbítás alapja (i) az Európai Bizottság megfelelőségi határozata, vagy (ii) a 3. modul szerinti általános szerződési feltételek, adott esetben kiegészítő garanciákkal (adattovábbítási hatásvizsgálat, technikai titkosítás, a kormányzati hatóságok részére történő adatközlésre vonatkozó szerződéses korlátozások) kiegészítve. A határokon átnyúló adattovábbítások aktuális listáját és az egyes esetekben alkalmazott garanciákat az I. melléklet tartalmazza.

7. Biztonság — a II. melléklet összefoglalója

Az alábbi technikai és szervezési intézkedéseket (TOM) alkalmazzuk:

Titkosítás továbbítás közben: TLS 1.3 erős titkosítási algoritmusokkal; HSTS preload.
Titkosítás tároláskor: AES-256 az adatbázisok, az objektumtároló és a biztonsági mentések esetében.
Hozzáférés-szabályozás: A legkisebb jogosultság elvén alapuló, szerepköralapú hozzáférés, időkorlátos adminisztrátori munkamenetek, kötelező többtényezős hitelesítés (MFA) minden éles környezeti hozzáféréssel rendelkező szerepkör számára.
Hálózati elkülönítés: Az éles szerverek WireGuard VPN mögött működnek; nyilvánosan csak TLS-végpontok érhetők el.
Naplózás és monitorozás: Központosított, strukturált naplók, hibakövetés, anomáliariasztások; a nyers IP-címeket tárolás előtt SHA-256 algoritmussal hasheljük, ha azokat analitikai célra vagy kéréskorlátozásra (rate limiting) használjuk.
Biztonsági mentések: Titkosított, éjszakánkénti adatbázis-mentések, amelyeket 30 napig külső helyszínen (EU) őrzünk meg.
Sérülékenységkezelés: A függőségeket minden CI-buildnél ellenőrizzük; a titokszkennelés (secret scanning) blokkolja a hitelesítő adatokat tartalmazó commitokat.
Fotó- és hangtartalmak: Privát S3 ACL-ek rövid élettartamú, aláírt URL-ekkel (2 órás TTL); nyers nyilvános URL-ek nincsenek.
Fióktörlési garanciák: Logikai (soft) törlés 30 napos türelmi idővel, majd visszafordíthatatlan végleges törlés; a pénzügyi nyilvántartásokat megőrizzük, ahol azt jogszabály előírja (10 évig).

8. Adatvédelmi incidens bejelentése

Az Ön adatait érintő tényleges vagy észszerűen feltételezhető adatvédelmi incidenst követően indokolatlan késedelem nélkül, de legkésőbb 48 órán belül értesítjük Önt, megadva a GDPR 33. cikk (3) bekezdése által előírt információkat, amennyiben azok rendelkezésre állnak, és jóhiszeműen együttműködünk Önnel az incidenskezelésben és az azt követő további értesítésekben.

9. Felelősség és időtartam

A felek e DPA szerinti felelősségére az alapul szolgáló Felhasználási feltételekben meghatározott korlátozások és kizárások vonatkoznak. Ez a DPA a fent megjelölt hatálybalépési napon lép hatályba, és az alapul szolgáló Feltételek megszűnésével egyidejűleg megszűnik.

I. melléklet — Engedélyezett további adatfeldolgozók

Ez a lista megegyezik az Adatvédelmi tájékoztató § 5 szerinti, a további adatfeldolgozókat tartalmazó táblázattal, és minden alkalommal frissül, amikor egy további adatfeldolgozót felveszünk, eltávolítunk vagy módosítunk. Az alábbiakban a fent megjelölt hatálybalépési nap szerinti aktuális állapotot közöljük. A hiteles, naprakész lista mindig a /pages/privacy oldalon látható változat.

Az USA-ba és Izraelbe irányuló, határokon átnyúló adattovábbításokra a 3. modul szerinti SCC-k vonatkoznak, kivéve, ha megfelelőségi határozat alkalmazandó; az EU-ban található adatfeldolgozók esetében nincs szükség SCC-re.

Google LLC — Sign-In & Identity (SSO) — USA — SCC.
Google LLC — Firebase Cloud Messaging (push értesítések) — USA — SCC.
Google LLC — Google Play Billing & Developer API (androidos vásárlások érvényesítése) — USA — SCC.
Google LLC — Maps Static API & Geocoder (helymegosztó üzenetek) — USA — SCC.
Apple Inc. — SSO, In-App Purchase, APNs — USA — SCC.
Stripe, Inc. — Webes fizetésfeldolgozás — USA — SCC.
Singular Labs, Inc. — Telepítések és alkalmazáson belüli események attribúciója — USA / Izrael — SCC.
Hetzner Online GmbH — Objektumtároló (fotók, hangüzenetek, chatképek) — Németország (EU) — SCC nem szükséges.
Mailgun Technologies (Sinch) — Tranzakciós e-mail — EU-s szerverek — SCC nem szükséges.
SMTP2GO Pty Ltd — Tranzakciós e-mail (másodlagos) — EU-s szerverek — SCC nem szükséges.
Giphy Inc. — GIF-keresési tartalmak az üzenetekben — USA — SCC.

II. melléklet — Technikai és szervezési intézkedések

Az összefoglalót lásd fent, a § 7 alatt. A teljes TOM-dokumentáció vállalati ügyfeleink számára titoktartási megállapodás (NDA) alapján, kérésre érhető el a privacy@luvu.plus címen.

Kapcsolat

Sparkle5, LLC — Adatvédelmi kapcsolattartó: privacy@luvu.plus.