Adatvédelmi tájékoztató
Ez a tájékoztató azt írja le, hogy a Veridyn termékútlevél-szolgáltatás (a továbbiakban: Szolgáltatás) hogyan kezeli a személyes adatokat, összhangban az (EU) 2016/679 rendelettel (GDPR) és a 2011. évi CXII. törvénnyel (Infotv.).
1. Az adatkezelő
Név: véglegesítés alatt
Székhely: véglegesítés alatt
Cégjegyzék- / nyilvántartási szám: véglegesítés alatt
Adószám: véglegesítés alatt
Képviselő: véglegesítés alatt
E-mail: [email protected]
Telefon: véglegesítés alatt
Adatvédelmi tisztviselő kijelölése nem kötelező; adatvédelmi kérdésekben a fenti e-mailen elérhetők vagyunk.
2. Mire terjed ki a tájékoztató, szerepek
A tájékoztató a veridyn.eu weboldal látogatóira, a regisztrált felhasználókra és a kapcsolatfelvevőkre vonatkozik.
Szerepek: a fiók- és számlázási adatok tekintetében a Szolgáltató az adatkezelő. A felhasználók által a termékútlevelekbe feltöltött adatok tekintetében – amennyiben azok személyes adatot tartalmaznak – a felhasználó az adatkezelő, a Szolgáltatás pedig adatfeldolgozóként jár el, a külön Adatfeldolgozói szerződés (DPA) szerint (lásd az ÁSZF-et is).
Ahol a Szolgáltató adatfeldolgozó — vagyis a Felhasználó utasítására dolgoz fel adatot (termékadat, feltöltött dokumentum, beszállítói elérhetőség, csapat-tagok, kimenő értesítés, hozzáférési link) —, a kötelezettségeket a külön Adatfeldolgozási megállapodás részletezi: a feldolgozás tárgya, az alvállalkozók, a biztonsági intézkedések, az incidens-kezelés és az auditjog.
3. A kezelt adatok, célok és jogalapok
| Adatkör | Cél | Jogalap | Megőrzés |
|---|---|---|---|
| Fiókadatok: név / cégnév, e-mail, jelszó („hash" formában) | Fiók, bejelentkezés, a Szolgáltatás nyújtása | Szerződés – 6. cikk (1) b) | A fiók fennállásáig + 30 nap |
| Termékútlevél-adatok (a felhasználó viszi fel) | Publikus, többnyelvű útlevelek és QR előállítása | Szerződés – 6. cikk (1) b) | A termék / fiók törléséig (ill. jogszabályi megőrzés) |
| Kapcsolati űrlap: név, e-mail, cég, üzenet | A megkeresés megválaszolása | Jogos érdek – 6. cikk (1) f) | 24 hónap (automatikus törlés) |
| Jelszó-visszaállító token | A jelszó biztonságos visszaállítása | Szerződés / jogos érdek | 1 óra (egyszer használható) |
| Beolvasás-napló (időbélyeg, IP-hash) | Analitika, üzemeltetés, visszaélés-megelőzés | Jogos érdek – 6. cikk (1) f) | 24 hónap (automatikus törlés) |
| Meghívott munkatársak: név, e-mail, szerep és jogosultság-lista | Egy fiókon belül több felhasználó kezelése; ki mit láthat és módosíthat | Szerződés teljesítése – 6. cikk (1) b). Az adatot a fiók tulajdonosa adja meg, ő az érintett munkatárs felé az adatkezelő. | A hozzáférés visszavonásáig, majd a fiókkal együtt (lezárás + 30 nap) |
| Beszállítói adatbekérés: a beszállító neve és e-mail-címe, a kért mezők, üzenet, egyszer használatos hozzáférési token | A felhasználó megbízásából adatot kérünk a beszállítójától egy tokenes űrlapon, hogy a hiányzó termékadat bekerülhessen az útlevélbe. A megkeresést mi küldjük a felhasználó utasítására. | A felhasználó (adatkezelő) jogos érdeke vagy szerződése – mi adatfeldolgozóként járunk el. A felhasználó szavatolja, hogy jogosult megadni nekünk a beszállító elérhetőségét. | A bekérés lezárásáig (beolvasztás vagy visszavonás), majd a fiókkal együtt. A token a lejáratáig érvényes. |
| Kimenő értesítések (webhook): a beállított HTTPS-végpont, az esemény törzse és a kézbesítési napló (kísérletek, HTTP-státusz, hibaüzenet) | A felhasználó kérésére értesítést küldünk a saját rendszerébe, amikor egy útlevél változik. Ez általunk indított adattovábbítás egy olyan címre, amelyet a felhasználó ad meg. | A felhasználó utasítása – mi adatfeldolgozóként járunk el. A végpont biztonságáért és a rá továbbított adat további sorsáért a felhasználó felel. | A lezárult (kézbesített vagy véglegesen hibás) kézbesítési sorok: 90 nap. Legfeljebb 6 újrapróbálkozás, növekvő várakozással. |
| Szolgáltatói belépés naplója: melyik munkatársunk, melyik fiókba, mikor be és mikor ki, IP-lenyomat | Támogatáshoz és hibakereséshez a munkatársunk beléphet a fiókba. Ezt módosíthatatlan naplóba vezetjük, és a felhasználó a Beállításokban maga is látja. Minden verzió, amit ilyenkor mentünk, meg van jelölve a változás-történetben. | Jogos érdek – 6. cikk (1) f): a szolgáltatás nyújtása és az elszámoltathatóság. Az érdekmérlegelés eredménye, hogy a belépés ténye az ügyfél felé is látható. | Automatikusan nem törlődik — ez a napló az elszámoltathatóság bizonyítéka. Kérésre, egyedi vizsgálat után ritkítható. |
| DPP-készültségi teszt: e-mail-cím és a kitöltött válaszok (nem regisztrált érdeklődőktől is) | A teszt eredményének megküldése, és — ha ehhez hozzájárultál — kapcsolatfelvétel a felkészülésről | Hozzájárulás – 6. cikk (1) a). A hozzájárulás bármikor, következmény nélkül visszavonható. | A hozzájárulás visszavonásáig, de legfeljebb 24 hónap az utolsó kapcsolatfelvételtől |
| Belépési kísérletek: e-mail, IP-cím, időpont, siker vagy kudarc | Jelszó-kitalálás és visszaélés megakadályozása (kísérlet-korlátozás) | Jogos érdek – 6. cikk (1) f): a fiókok védelme | 7 nap (automatikus törlés). A korlátozási ablak órás, ezért ennél hosszabb megőrzésnek nincs célja. |
| Fejlesztői API: a kulcs visszafejthetetlen lenyomata (a nyílt kulcsot csak egyszer, létrehozáskor adjuk ki), hívás-számlálók, az ismétlés-védelemhez tárolt válaszok | Gépi integráció hitelesítése, a kérés-korlát betartatása, és hogy egy megismételt kérés ne hozzon létre kétszer ugyanazt | Szerződés teljesítése – 6. cikk (1) b) | A kulcs a visszavonásáig; az ismétlés-védelem gyorsítótára 48 óra |
| Teszt-fiók (sandbox) és a közös demó-fiók adatai | Integráció kipróbálása éles adat érintése nélkül. A sandboxból kimenő hívás (e-mail, webhook) nem indul. A demó-fiók csak olvasható: amit ott beírnak, nem mentődik el. | Szerződés teljesítése – 6. cikk (1) b) | A sandbox tartalma bármikor üríthető, és az ürítés dátuma látszik; a fiók megszűnésével törlődik |
| Feltöltött dokumentumok (PDF, kép) és a hozzájuk tartozó láthatósági szint | Tanúsítványok, megfelelőségi nyilatkozatok és vizsgálati jegyzőkönyvek csatolása az útlevélhez. A fájlok a weben közvetlenül nem elérhető tárban állnak; kiszolgálás csak hozzáférés-ellenőrzés után. | A felhasználó utasítása – mi adatfeldolgozóként járunk el. A dokumentum tartalmáért (üzleti titok, harmadik fél adata) a felhasználó felel. | Amíg a felhasználó törli, illetve a fiókkal együtt (lezárás + 30 nap) |
| Hozzáférési linkek: token, láthatósági szint, címke, lejárat, felhasználás-szám és utolsó felhasználás ideje | A felhasználó bejelentkezés nélkül megnyithatóvá tehet szűkebb adatszintet hatóságnak vagy jogos érdekű félnek. A felhasználás követése azért van, hogy egy kiszivárgott link észlelhető legyen. | A felhasználó utasítása – mi adatfeldolgozóként járunk el | A link a lejáratáig vagy a visszavonásig érvényes; a napló-sor a nyomonkövethetőség miatt utána is megmarad. Lejárat megadása nélkül a link nem jár le — erre a rendszer a kiadáskor figyelmeztet. |
A dőlten jelölt megőrzési időket az adatkezelő a tényleges gyakorlatának megfelelően véglegesíti.
4. DPP-specifikus adatkezelés
- Nyilvános termékútlevél: a termékútlevelek NYILVÁNOSAN elérhetők (QR-kóddal vagy linkkel bárki megtekintheti). Ha a felhasználó (adatkezelő) személyes adatot visz az útlevélbe (pl. a gazdasági szereplő kapcsolattartójának neve, e-mailje), az a publikus passporton megjelenik; ennek jogalapját és szükségességét a felhasználó biztosítja.
- Beolvasás-analitika: az útlevél-megtekintéseket összesített formában naplózzuk; az IP-címet nem azonosítható formában, hanem visszafejthetetlen hash-ként tároljuk (a látogató nem azonosítható), és a bot-forgalmat szűrjük. Jogalap: jogos érdek.
- Rétegzett hozzáférés: a felhasználó lejáró linket adhat hatóságnak vagy jogos érdekű félnek a nem-nyilvános mezők megtekintéséhez.
- EU DPP-nyilvántartás: a felhasználó megbízásából a termékútlevél azonosítóit továbbíthatjuk az EU központi nyilvántartásába, amint az elérhetővé válik.
5. Adatfeldolgozók
A Szolgáltatás működéséhez az alábbi adatfeldolgozókat vesszük igénybe:
- Tárhelyszolgáltató / szerver: Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Németország – EU) – a weboldal és az adatbázis tárolása az Európai Unió területén; nincs harmadik országba irányuló adattovábbítás.
- CDN, proxy, DNS és biztonság: Cloudflare, Inc. (USA) – a weboldal forgalmának gyorsítótárazása, DDoS-védelem, DNS és biztonsági szűrés; IP-címet és technikai forgalmi metaadatokat kezel. Továbbítási garancia: EU általános szerződési feltételek (SCC) és az EU–USA adatvédelmi keret (DPF).
- E-mail küldés: smtp2go (Help Monkey Limited; EU-s kézbesítő: mail-eu.smtp2go.com) – tranzakciós e-mailek (üdvözlő, jelszó-visszaállítás, értesítők).
- Fizetési szolgáltató: Stripe (Stripe Payments Europe, Ltd., Írország; anyacég: Stripe, Inc., USA) – az előfizetési díjak és előfizetések feldolgozása. Továbbítási garancia: SCC és DPF.
6. Adattovábbítás, harmadik ország
Személyes adatot harmadik félnek csak a fenti adatfeldolgozók útján, a megjelölt célból továbbítunk. Ha valamely adatfeldolgozó az EGT-n kívül is kezel adatot, a továbbítás megfelelő garanciák (pl. az Európai Bizottság általános adatvédelmi szerződési feltételei, SCC – és/vagy az EU–USA adatvédelmi keret, DPF) mellett történik. Marketing célból adatot nem adunk át, és nem értékesítünk.
7. Az érintett jogai
Az érintettet megilleti a hozzáférés (15. cikk), a helyesbítés (16.), a törlés („elfeledtetés", 17.), az adatkezelés korlátozása (18.), az adathordozhatóság (20.), valamint a jogos érdeken alapuló adatkezelés elleni tiltakozás (21.) joga. A hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármikor visszavonható (ez nem érinti a visszavonás előtti adatkezelés jogszerűségét).
Jogai gyakorlását a [email protected] címen kezdeményezheti; kérelmét indokolatlan késedelem nélkül, legkésőbb 1 hónapon belül teljesítjük.
8. Sütik
A weboldal a működéséhez szükséges sütiket használ. Részletek a Cookie-szabályzatban.
9. Adatbiztonság
A jelszavakat kizárólag biztonságos, egyirányú „hash" formában tároljuk; az API-kulcsokat szintén hash-elve; a kommunikáció HTTPS-en titkosított; a felületet CSRF- és munkamenet-védelem óvja. Az adatokhoz csak a feladat ellátásához szükséges mértékben férünk hozzá.
10. Gyermekek
A Szolgáltatás vállalkozásoknak szól, nem gyermekeknek. Tudatosan nem gyűjtünk 16 éven aluli személyektől adatot.
11. Jogorvoslat
Adatkezeléssel kapcsolatos panasszal a felügyeleti hatósághoz fordulhat:
Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
1055 Budapest, Falk Miksa utca 9–11. · naih.hu · [email protected]
Jogainak megsértése esetén bírósághoz is fordulhat.
12. A tájékoztató módosítása
A tájékoztatót szükség szerint módosíthatjuk; a mindenkori hatályos változat ezen az oldalon érhető el, a frissítés dátumával.