Tervezet. Ez a dokumentum még nem végleges: a szolgáltató adatai kitöltésre, a szöveg jogi ellenőrzésre vár.
Adatkezelési tájékoztató
Ez a tájékoztató elmondja, milyen személyes adatokat kezelünk a Core Ops Suite weboldalán és alkalmazásában, miért, meddig, és milyen jogai vannak ezekkel kapcsolatban.
1. Az adatkezelő
- Név: Szűcs Dávid
- Székhely: [KITÖLTENDŐ]
- Cégjegyzékszám: [KITÖLTENDŐ]
- Adószám: [KITÖLTENDŐ]
- Adatvédelmi megkeresések: [email protected]
2. Két különböző szerep: adatkezelő és adatfeldolgozó
Adatkezelőként kezeljük azokat az adatokat, amelyek a szolgáltatás nyújtásához szükségesek: a felhasználói fiók adatait, a szervezeti tagságot, az előfizetés és a számlázás adatait, valamint a rendszer biztonságos működéséhez szükséges naplókat. Erről szól ez a tájékoztató.
Adatfeldolgozóként kezeljük azokat a dokumentumokat, leveleket és számlákat, amelyeket ügyfeleink töltenek fel a rendszerbe. Ezekben harmadik személyek adatai is szerepelhetnek. Ezekért az adatokért az ügyfél (a feltöltő szervezet) az adatkezelő; mi az ő utasítása szerint, az adatfeldolgozási feltételek alapján dolgozzuk fel őket. Ha egy ilyen dokumentumban szereplő személy kérdezne, elsősorban a feltöltő szervezethez forduljon.
3. Milyen adatokat, milyen célból és jogalappal kezelünk?
| Adatkör | Cél | Jogalap | Megőrzés |
|---|---|---|---|
| Név, e-mail-cím, profilkép és Google-azonosító (Google-fiókos belépéskor) | Felhasználói fiók létrehozása, bejelentkezés | Szerződés teljesítése (GDPR 6. cikk (1) b) | A fiók törléséig |
| Szervezeti tagság, szerepkör, meghívások | A szervezet tagjainak és jogosultságainak kezelése | Szerződés teljesítése | A tagság megszűnéséig; a meghívás 7 nap után lejár, és elfogadás nélkül nem használható |
| Előfizetés, csomag, számlázási név és cím, adószám, befizetések | Előfizetési díjak beszedése, számlázás | Szerződés teljesítése; a számviteli bizonylatoknál jogi kötelezettség (GDPR 6. cikk (1) c) | A számviteli bizonylatokat a számvitelről szóló 2000. évi C. törvény 169. §-a szerint 8 évig |
| Felhasználási adatok (feldolgozott levelek száma) | A csomag kereteinek érvényesítése, elszámolás | Szerződés teljesítése | A szervezet adataival együtt |
| Tevékenységnapló (ki, mit, mikor tett a szervezetben) | Visszakereshetőség a szervezet számára, biztonság | Szerződés teljesítése; jogos érdek (biztonság) | A szervezet adataival együtt |
| Szervernaplók (IP-cím, időpont, kért cím) | Visszaélések és támadások kiszűrése, hibakeresés | Jogos érdek (GDPR 6. cikk (1) f) | Legfeljebb 30 nap |
| Hibanaplók (a hiba technikai adatai, felhasználói és szervezeti azonosító — e-mail-cím, IP-cím és dokumentumtartalom nélkül) | Az alkalmazás hibáinak felderítése és javítása | Jogos érdek (GDPR 6. cikk (1) f) | Legfeljebb 90 nap |
| Push-értesítési feliratkozás (a böngésző által adott azonosító) | Értesítések küldése a böngészőbe | Hozzájárulás (GDPR 6. cikk (1) a) — bármikor visszavonható | A visszavonásig |
| E-mailes megkeresések | Kapcsolattartás, ügyfélszolgálat | Jogos érdek | Az ügy lezárásától számított 1 évig |
4. Belépés Google-fiókkal: milyen Google-adatokat kezelünk?
A Core Ops Suite alkalmazásba kizárólag Google-fiókkal lehet belépni. A belépéskor csak az alapvető azonosításhoz szükséges hozzáférést kérjük (openid, email, profile), és a Google-tól kizárólag ezeket az adatokat kapjuk meg:
- a nevét,
- az e-mail-címét,
- a profilképét,
- a Google-fiókja egyedi azonosítóját.
Mire használjuk: kizárólag a felhasználói fiók létrehozására és a bejelentkezésre, illetve arra, hogy a nevét és a profilképét a szervezet többi tagja lássa az alkalmazásban (pl. a csapat listájában), és hogy az e-mail-címére meghívót, értesítést küldhessünk.
Amit nem teszünk: nem férünk hozzá a Google-fiókja más adataihoz (levelezés, naptár, Drive, névjegyek stb.); a Google-adatokat nem adjuk el, nem használjuk hirdetésre, és nem adjuk át mesterséges intelligencia modellek tanítására. Harmadik félnek csak a 6. pontban felsorolt adatfeldolgozók kapják meg, a szolgáltatás működtetéséhez szükséges mértékben.
Tárolás és védelem: az adatokat titkosított kapcsolaton keresztül kapjuk, és az Európai Unióban, a felhasználói fiókjához kapcsolva tároljuk (lásd 7. és 9. pont). A belépéskor a Google által kiadott hozzáférési tokent a belépési rendszer (Auth.js) szabványos működése szerint eltároljuk, de vele semmilyen Google-szolgáltatást nem hívunk.
Törlés és visszavonás: a fiókja és a Google-tól kapott adatai törlését a [email protected] címen kérheti; a kérést legfeljebb egy hónapon belül teljesítjük. Az alkalmazás hozzáférését a Google-fiókjában bármikor visszavonhatja (myaccount.google.com/permissions); ezután Google-fiókkal nem tud belépni, amíg újra hozzá nem járul.
A Core Ops Suite a Google API-kból kapott adatok felhasználása és más alkalmazásba való továbbítása során betartja a Google API Services User Data Policy előírásait, beleértve a „Limited Use” (korlátozott felhasználás) követelményeit.
Summary in English — Google user data. Core Ops Suite uses Google Sign-In only, with the basic scopes openid, email and profile. We receive your name, email address, profile picture and Google account ID, and use them solely to create your account, sign you in, show your name and picture to members of your organization, and send you invitations and notifications. We do not access any other Google data, do not sell it, do not use it for advertising, and do not use it to train AI models. Data is stored in the European Union. You can request deletion at [email protected] and revoke access at myaccount.google.com/permissions. Core Ops Suite's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
5. Mesterséges intelligencia a feldolgozásban
A feltöltött dokumentumokat mesterséges intelligencia elemzi: a levelekből határidőket, feleket, teendőket és összefoglalót nyer ki. Ehhez a tartalmat az Anthropic szolgáltatásának továbbítjuk.
- A szolgáltató az API-n keresztül kapott tartalmat szerződéses vállalása szerint nem használja saját modelljei tanítására.
- A digitális (szöveges) PDF-levelekben a jól felismerhető azonosítókat — például adószámot, TAJ-számot, bankszámlaszámot, e-mail-címet, telefonszámot — a továbbítás előtt helyettesítő jelölésekre cseréljük, és csak a válasz megérkezése után állítjuk vissza. Szkennelt dokumentumoknál ez technikailag nem lehetséges, ezek eredeti formájukban kerülnek elemzésre.
- Az elemzés alapján nem születik Önre joghatással járó automatizált döntés: az eredmények javaslatok, amelyeket a felhasználó ellenőriz.
6. Adatfeldolgozók
Az alábbi szolgáltatókat vesszük igénybe. Mindegyikkel adatfeldolgozási szerződés köt minket.
| Adatfeldolgozó | Feladat | Érintett adatok | Adatkezelés helye |
|---|---|---|---|
| Hetzner Online GmbH | Szerverek, adatbázis, fájltárolás és mentések üzemeltetése | A szolgáltatásban tárolt összes adat | Németország (Európai Unió) |
| Anthropic, PBC | A feltöltött dokumentumok mesterséges intelligenciával történő elemzése | A dokumentumok szövege, illetve képe | Amerikai Egyesült Államok Továbbítás jogalapja: Az Európai Bizottság általános szerződési feltételei (SCC) |
| Google Ireland Limited | Bejelentkezés Google-fiókkal | Név, e-mail-cím, profilkép, Google-azonosító | Írország (Európai Unió) |
| Stripe Payments Europe, Ltd. | Előfizetési díjak beszedése, számlázási adatok kezelése | Számlázási név és cím, adószám, e-mail-cím, fizetési adatok | Írország (Európai Unió) |
| Functional Software, Inc. (Sentry) | Az alkalmazás hibáinak naplózása és értesítés a hibákról | Technikai hibaadatok, felhasználói és szervezeti azonosító (e-mail-cím, IP-cím és dokumentumtartalom nélkül) | Németország (Európai Unió, a Sentry EU régiója) Továbbítás jogalapja: Az Európai Bizottság általános szerződési feltételei (SCC) — a szolgáltató amerikai |
| Plausible Insights OÜ | Sütimentes, összesített látogatottsági statisztika a weboldalon | Személyazonosításra nem alkalmas, összesített látogatási adatok | Észtország (Európai Unió) |
| Sendinblue SAS (Brevo) | Rendszerüzenetek (értesítések, meghívók) e-mailes kézbesítése | Címzett e-mail-címe, az üzenet tartalma | Franciaország, Németország, Belgium (Európai Unió) |
A böngészős push-értesítéseket a böngésző gyártójának értesítési szolgáltatása (pl. Google, Mozilla, Apple) kézbesíti, titkosított formában.
7. Hol tároljuk az adatokat?
Az adatbázis, a feltöltött fájlok és a mentések az Európai Unióban, a Hetzner Online GmbH szerverein vannak (Németország (Európai Unió)). Az Európai Gazdasági Térségen kívülre csak a mesterséges intelligenciával végzett elemzéshez továbbítunk adatot, a fenti táblázatban megjelölt garanciákkal.
8. Meddig őrizzük a szervezet adatait?
Az előfizetés vagy a próbaidő lejárta, illetve lemondás után a szervezet adatai 90 napig csak olvasható módban elérhetők és exportálhatók. A törlés előtt e-mailben figyelmeztetjük a szervezet adminisztrátorait; a 90. nap után a szervezet adatait és fájljait véglegesen töröljük. A szervezet adminisztrátora a törlést korábban is kezdeményezheti.
Az adatbázisról naponta mentés készül, amelyet 7 napig őrzünk. A törölt adatok ezért legfeljebb 7 nap elteltével a mentésekből is eltűnnek.
9. Hogyan védjük az adatokat?
- Minden kapcsolat titkosított (HTTPS/TLS).
- Minden adatbázis-lekérdezés kötelezően a felhasználó saját szervezetére szűr; a fájlok szervezetenként külön előtag alatt tárolódnak.
- A fájlokhoz csak rövid ideig (legfeljebb 1 óráig) érvényes, aláírt hivatkozással lehet hozzáférni.
- Belépés csak Google-fiókkal; a szervezetbe csak meghívással és a meghívás elfogadásával lehet bekerülni.
- Napi adatbázis-mentés, tevékenységnapló.
10. Az Ön jogai
A GDPR alapján Ön kérheti:
- a személyes adataihoz való hozzáférést (15. cikk),
- a pontatlan adatok helyesbítését (16. cikk),
- az adatai törlését (17. cikk),
- az adatkezelés korlátozását (18. cikk),
- az adatai géppel olvasható formában történő kiadását (hordozhatóság, 20. cikk),
- és tiltakozhat a jogos érdeken alapuló adatkezelés ellen (21. cikk).
Hozzájáruláson alapuló adatkezelésnél a hozzájárulását bármikor visszavonhatja; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét. Kérését a [email protected] címre küldheti; legfeljebb egy hónapon belül válaszolunk.
11. Jogorvoslat
Ha úgy véli, hogy adatai kezelése jogsértő, panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH; 1055 Budapest, Falk Miksa utca 9–11.; www.naih.hu), vagy bírósághoz fordulhat. Kérjük, előbb keressen meg minket — a legtöbb kérdést gyorsan meg tudjuk oldani.
12. Sütik
A sütikről külön süti-tájékoztatónk szól. Röviden: a weboldal nem használ sütit, az alkalmazás csak a működéshez szükségeseket.
13. Változások
Ha a tájékoztató lényegesen változik, a hatálybalépés előtt e-mailben értesítjük a felhasználókat. A mindenkori hatályos változat ezen az oldalon érhető el.