Adatkezelési tájékoztató
Hatályos: 2026. október 22.
A jelen adatkezelési tájékoztató bemutatja, hogy a CardeArt online szolgáltatás használata során Kasza Péter egyéni vállalkozó milyen személyes adatokat, milyen célból, milyen jogalapon és mennyi ideig kezel. A tájékoztató természetes személy felhasználók, csoportvezetők, csoporttagok, meghívottak és névtelen reflexiós résztvevők számára készült.
Közérthetően: csak olyan adatot kérünk és használunk, amelyre a szolgáltatás működéséhez, a biztonsághoz, a fizetéshez, a számlázáshoz vagy jogi kötelezettség teljesítéséhez szükségünk van. Ha egy adat megadásához hozzájárulás kell, azt előre, külön és érthetően kérjük.
1. Az adatkezelő és az adatkezelés alapjai
- Adatkezelő: Kasza Péter egyéni vállalkozó (a továbbiakban: „Üzemeltető” vagy „Adatkezelő”).
- Székhely: 3945 Sátoraljaújhely, Bányácska u. 15.
- Kapcsolattartási e-mail-cím: info@cardeart.com
Az adatkezelő adatvédelmi tisztviselőt jelenleg nem jelöl ki, mivel a jelen tájékoztatóban ismertetett adatkezelések alapján ilyen tisztviselő kijelölése nem kötelező. Az adatvédelmi kérdéseket és kérelmeket az info@cardeart.com címen fogadjuk.
A személyes adatokat a tisztesség, jogszerűség, átláthatóság, célhoz kötöttség, adattakarékosság, pontosság, korlátozott tárolhatóság, integritás és bizalmas jelleg elvei szerint kezeljük.
2. A CardeArt szolgáltatás, az érintettek és a szerepkörök
A CardeArt online eszköz csoportvezetők számára. A csoportvezető csoportot hozhat létre, tagokat hívhat meg, kártyahúzásos vagy kártya nélküli feladatokat és kérdőíveket adhat ki, élő reflexiós alkalmat és közös rajzolást szervezhet. A szolgáltatásban csak természetes személyek regisztrálhatnak; szervezeti fiók nincs.
| Szerepkör | Hogyan kerül kapcsolatba a szolgáltatással? | Fontos adatvédelmi jellemző |
|---|---|---|
| Csoportvezető | Önállóan regisztrál; a szolgáltatást előfizetéssel vagy – amíg az éles fizetés nem indul – hozzáférési kóddal használhatja. | Csoportot hoz létre, tagokat hív meg, feladatokat és kérdőíveket kezel. |
| Csoporttag | A csoportvezető meghívójával csatlakozik. | A csoportvezető a saját csoportjához kapcsolódó adatokat és válaszokat láthatja. |
| Meghívott | A csoportvezető által megadott e-mail-címre küldött meghívó alapján regisztrálhat. | A meghívó hét napig érvényes; a meghívás adatai külön megőrzési szabály alá esnek. |
| Névtelen reflexiós résztvevő | QR-kódon keresztül, fiók nélkül küldhet be egy szót és egy kérdést. | A beküldéshez nem kell fiók; a böngésző által létrehozott véletlen azonosító hash-ét tároljuk. |
| Adminisztrátor | Az Üzemeltető saját adminisztrációs feladataihoz használja a rendszert. | Az adminisztrátori hozzáférés a szolgáltatás üzemeltetéséhez és biztonságához szükséges. |
Nincs nyilvános felhasználói profil. A csoporttagok egymás adatait nem látják. A csoportvezető csak a saját csoportjaihoz tartozó adatokat látja. A kivetített reflexiós nézet a képet vagy a kártyát név nélkül jeleníti meg.
3. Adatkezelői és adatfeldolgozói szerepek
Az Üzemeltető önálló adatkezelőként jár el a felhasználói fiókok, a regisztráció és hitelesítés, a rendszerüzenetek, az előfizetés, a fizetés és számlázás, a biztonság, a naplózás, a mentések, valamint az ezekhez kapcsolódó jogi kötelezettségek és jogos érdekek teljesítése tekintetében.
A csoportvezető önálló adatkezelő a saját tagjai kiválasztása és meghívása, a meghívott e-mail-címének saját forrásból történő megadása, a feladatok és kérdőívek tartalmának meghatározása, valamint a platformról letöltött adatok és PDF-exportok saját célú további használata tekintetében. A csoportvezető felelős azért, hogy saját adatkezelési céljai és utasításai jogszerűek legyenek, és hogy a tagokat megfelelően tájékoztassa.
Az Üzemeltető a csoportvezető utasításai szerint, technikai szolgáltatóként kezeli a csoporttartalmakat: a feladatokat, válaszokat, feltöltéseket, reflexiókat, közös rajzokat és az ezekhez kapcsolódó eredményeket. E körben az Üzemeltető adatfeldolgozóként jár el. A csoportvezetői használat feltételei és az adatfeldolgozói rendelkezések az ÁSZF-ben, illetve a csoportvezetővel kötött szerződésben jelennek meg.
Iskolai vagy más intézményi használatnál, ha a csoportvezető az intézmény nevében és pedagógiai vagy szervezeti feladata körében jár el, főszabály szerint az intézmény lehet az adatkezelő, a CardeArt pedig adatfeldolgozó. A konkrét szerepeket és az utasítások kereteit az intézménnyel vagy a csoportvezetővel kötött szerződés rendezi.
4. Kiskorúak és életkor-ellenőrzés
Csoportvezető csak 18. életévét betöltött személy lehet. Csoporttagként gyermek is használhatja a szolgáltatást, például iskolai vagy csoportvezető által szervezett foglalkozás keretében.
Ha valamely adatkezelés jogalapja hozzájárulás, 16 év alatti gyermek esetén a szülői felügyeletet gyakorló személy hozzájárulását kell beszerezni és – a körülményekhez igazodó módon – ellenőrizni. A hozzájárulásos adatkezelésekhez kapcsolódó életkor-ellenőrzésnél csak a szükséges minimális adatot kezeljük. A GDPR 8. cikke ebben a körben a gyermek által adott hozzájárulásra vonatkozó feltételeket rendezi; önmagában nem jelenti azt, hogy az életkor megállapítása minden esetben önálló jogi kötelezettség lenne.
A regisztrációs felületen az életkor-ellenőrzés céljára kor-nyilatkozat jelenik meg: a felhasználó nyilatkozik arról, hogy betöltötte-e a 16. életévét. Születési dátumot, születési időt és születési helyet nem kezelünk. Az életkor-ellenőrzés kizárólag annak megállapítására szolgál, hogy szükséges-e szülői hozzájárulás vagy alkalmazandó-e valamely korlátozás.
Kiskorúaknak marketinghírlevelet nem küldünk, és kiskorú felhasználóról reklámcélú profilt nem készítünk. Google Signals, remarketing és User-ID alapú elemzés jelenleg nincs bekapcsolva.
5. Részletes adatkezelések
Az alábbi táblázat összefoglalja a CardeArt fő adatkezeléseit. A „címzettek” között adatfeldolgozók és olyan szolgáltatók is szerepelhetnek, amelyek a saját szolgáltatásukhoz kapcsolódóan önállóan is kezelnek adatot. A részletes címzetti és adattovábbítási információkat a 7. fejezet tartalmazza.
| Cél | Kezelt adatok | Jogalap | Megőrzés | Címzettek |
|---|---|---|---|---|
| Regisztráció és felhasználói fiók | E-mail-cím, jelszó bcrypt-hash-e, vezetéknév és keresztnév, szerepkör, technikai azonosítók, csomag és – csoportvezetőnél – kuponkód. | GDPR 6. cikk (1) b) – szerződés teljesítése; egyes biztonsági elemeknél 6. cikk (1) f). | A fiók fennállásáig. Törlési kérelem esetén legfeljebb 30 napon belül törlés vagy anonimizálás, a jogszabály alapján megőrzendő adatok kivételével. | netcup; az érintett szolgáltatási partnerek. |
| A feltételek elfogadásának bizonyítása | Az ÁSZF és a tájékoztató elfogadásának ténye, időpontja és az elfogadott dokumentumok verziója. | GDPR 6. cikk (1) c) – jogi kötelezettség; 6. cikk (1) f) – elszámoltathatóság és jogi igények. | A fiók fennállásáig, majd a jogi igények elévüléséhez igazodó ideig; a dokumentált adatvédelmi kérelmek 5 évig. | netcup. |
| Életkor-ellenőrzés és adott esetben szülői hozzájárulás | A kor-nyilatkozat (betöltötte-e a felhasználó a 16. életévét); szükség esetén a szülői hozzájárulás ténye, időpontja és ellenőrzésének adatai. | GDPR 6. cikk (1) b) – szolgáltatás nyújtása; ha hozzájárulás szükséges, 6. cikk (1) a); adott esetben 6. cikk (1) c). | A fiókkal együtt törlődik; a hozzájárulás igazolásához szükséges adat a jogi igények és elszámoltathatóság időtartamáig őrizhető. | netcup; az ellenőrzéshez használt e-mail-szolgáltató, ha van. |
| Csoportok, feladatok és kérdőívek | Csoport- és tagsági adatok, név, e-mail-cím, státusz, meghívás és csatlakozás ideje, feladatok, kártyák, teljesítési idők, szöveges és választásos válaszok, csillagos értékelések, kép- és hangfeltöltések. | GDPR 6. cikk (1) b) a csoportvezetői szolgáltatás teljesítéséhez; csoporttartalomnál a csoportvezető utasítása. | A csoport fennállásáig, illetve a tag fiókjának törléséig. Az eltávolított tag e-mail-címe legfeljebb 30 napig marad meg. | netcup; Backblaze mentés; csoportvezető a saját jogosultságai szerint. |
| Reflexiók és közös rajz | Egy szó és egy kérdés, közös rajz vonalai, a beküldéshez kapcsolódó technikai adatok. | GDPR 6. cikk (1) b) a szolgáltatás teljesítéséhez; csoporttartalomnál a csoportvezető utasítása. | A csoport fennállásáig, illetve a tag fiókjának törléséig; névtelen beküldésnél a vonatkozó munkamenet- és csoportszabály szerint. | netcup; Backblaze mentés; csoportvezető a megjelenített eredmények szerint. |
| Meghívók | Meghívott e-mail-címe, meghívótoken hash-e, csoport neve, csoportvezető neve, státusz és időpontok. | GDPR 6. cikk (1) b) a meghívás teljesítéséhez; 6. cikk (1) f) a meghívási folyamat biztonságához. | A meghívó 7 napig érvényes; az el nem fogadott meghívó adatai a lejárattól számított 30 napig maradnak meg. | Resend; netcup; csoportvezető. |
| Rendszerüzenetek | Címzett e-mail-címe, keresztnév, csoportvezető neve, csoport neve, feladat címe, meghívó- vagy megerősítő link és a levél tartalma. | GDPR 6. cikk (1) b) – a szolgáltatás és a biztonságos kommunikáció teljesítése. | A kézbesítéshez szükséges ideig; a kapcsolódó fiók-, meghívó- vagy ügyfélszolgálati megőrzési idő szerint. | Resend, Inc.; címzett; netcup. |
| Névtelen QR-kódos reflexió | A beküldött szó és kérdés, valamint a böngésző által létrehozott véletlen azonosító hash-e. | GDPR 6. cikk (1) b) – a reflexiós funkció nyújtása; biztonsági elemeknél 6. cikk (1) f). | A kapcsolódó reflexiós alkalom és csoport fennállásáig, illetve az adott funkció céljának teljesüléséig; a böngészőben lévő azonosító a felhasználó döntéséig vagy törléséig. | netcup; csoportvezető a név nélküli megjelenítés szerint. |
| Előfizetés és fizetés – Stripe | Név, e-mail-cím, belső felhasználói azonosító, Stripe-ügyfél- és előfizetés-azonosító, státusz, csomag, időszak vége, próbaidő vége és lemondási jelzés. A kártyaadatot nem tároljuk. | GDPR 6. cikk (1) b) – előfizetési szerződés; 6. cikk (1) f) – fizetési és csalásmegelőzési folyamatok működtetése. | Az előfizetés megszűnésétől számított 5 év az előfizetési és tranzakciós adatoknál. | Stripe Payments Europe Ltd. és Stripe csoport; netcup. |
| Számlázás | Vevő neve, e-mail-címe, számlázási cím, számlaazonosítók, összeg, pénznem, státusz, Billingo-azonosító és letöltési link. | GDPR 6. cikk (1) c) – számviteli jogi kötelezettség; az előfizetési kapcsolódó adatoknál 6. cikk (1) b) és f). | A számlák és számviteli bizonylatok kiállításuktól számított 8 évig; az előfizetési és tranzakciós adatok az előfizetés megszűnésétől 5 évig. | Billingo Technologies Zrt.; netcup. |
| Kuponok | Kuponkód, érvényesség, beváltás, valamint e-mail-címhez kötött kuponnál az e-mail-cím. | GDPR 6. cikk (1) b) – kupon és előfizetés teljesítése. | A kupon lejáratától vagy beváltásától számított 5 évig, az előfizetési adatokkal együtt. | netcup; Stripe, ha a kupon az előfizetéshez kapcsolódik. |
| Ügyfélszolgálati levelezés | A küldő neve, e-mail-címe és az üzenet tartalma, beleértve az ügy rendezéséhez önként megadott adatokat. | GDPR 6. cikk (1) f) – jogos érdek az ügy kezelése és a jogi igények bizonyíthatósága; szerződéses kérdésnél 6. cikk (1) b). | Az ügy lezárásától számított 1 év. | Zoho Corporation B.V. EU adatközpont; netcup, ha az adatot továbbítjuk vagy archiváljuk. |
| Biztonsági és auditnaplók | Felhasználói azonosító, művelet, erőforrás, IP-cím, időpont, HTTP-metódus és útvonal; bejelentkezési eseménynél eredmény, IP-cím és szükség szerint hash-elt e-mail-cím. | GDPR 6. cikk (1) f) – a szolgáltatás biztonsága, visszaélések vizsgálata és incidenskezelés. | Auditnapló: 1 év. Sikertelen bejelentkezési esemény: 90 nap. A tokeneket nem naplózzuk, a személyes adatok mennyiségét minimalizáljuk. | netcup; kizárólag az Üzemeltető jogosult adminisztrátora. |
| API-, alkalmazás- és 5xx-proxynaplók | Kérésenként metódus, útvonal, státusz, válaszidő, felhasználói és kérésazonosító; tokenek, query stringek és hitelesítési fejlécek nélkül. Az 5xx-proxynapló csak a szükséges hibainformációt tartalmazza. | GDPR 6. cikk (1) f) – hibakeresés, incidensek kivizsgálása és a rendszer biztonsága. | Konténerenként 3 × 10 MB rotáció, legfeljebb 30 nap; a régebbi napló automatikusan felülíródik. | netcup; kizárólag az Üzemeltető jogosult adminisztrátora. |
| Mentések | A CardeArt adatbázisa és feltöltött fájljai elkülönített, kliensoldalról titkosított mentésben. | GDPR 6. cikk (1) f) – helyreállíthatóság és üzletmenet-folytonosság. | 7 napi, 4 heti és 6 havi pillanatkép; legfeljebb körülbelül 6 hónap. Éles törlés után az adat a mentésben a rotációig megmaradhat. | Backblaze, Inc.; az Üzemeltető. |
| GA4 analitika | IP-anonimizált oldalmegtekintési és eseményadatok; az URL-ből a jelszó-visszaállítási, meghívó- és reflexiós tokeneket kiszűrjük. | GDPR 6. cikk (1) a) – előzetes, önkéntes hozzájárulás. | A hozzájárulás visszavonásáig a böngészőben; a GA4-ben kezelt adatok a Google Analytics-fiókban beállított adatmegőrzési idő szerint. | Google Ireland Ltd. és szükség szerint Google LLC. |
| Sütibeállítások bizonyítása | A döntés kategóriája, időpontja és a szabályzat verziója a látogató böngészőjében. | GDPR 6. cikk (1) c) – a hozzájárulás és a választás bizonyíthatósága. | A süti-szabályzat következő verzióváltásáig, illetve a böngészőben való törlésig. | A böngésző; a döntés szerveroldali másolatát nem tároljuk. |
| Adatvédelmi kérelmek és panaszok | A kérelmező azonosításához, a kérelem elbírálásához és a teljesítés dokumentálásához szükséges adatok, valamint a kérelem és a válasz. | GDPR 6. cikk (1) c) – elszámoltathatóság és érintetti jogok teljesítése. | A kérelem lezárásától számított 5 év. | netcup; az Üzemeltető. |
6. Születési adatok, adatminimalizálás és automatizált döntéshozatal
Születési dátumot, születési időt és születési helyet nem kezelünk. Az életkor-ellenőrzéshez kizárólag a regisztrációs felületen alkalmazott, minimális adatot kérjük: a kor-nyilatkozatot arról, hogy a felhasználó betöltötte-e a 16. életévét. A korábbi, a szolgáltatás céljaihoz nem szükséges születési adatokat nem tartjuk meg.
A felhasználó a profiljában a módosítható adatait megváltoztathatja. Az e-mail-cím technikai és biztonsági okból nem módosítható közvetlenül a profilban; ilyen igényt az info@cardeart.com címen lehet jelezni.
A CardeArt nem végez a GDPR 22. cikke szerinti, joghatással vagy hasonlóan jelentős hatással járó automatizált döntéshozatalt, és nem végez profilalkotást ilyen célból. A kártyahúzás véletlenszerű. Az életkor alapján kizárólag az dőlhet el, hogy szükséges-e szülői hozzájárulás vagy valamely korlátozás.
7. Címzettek, adatfeldolgozók és adattovábbítás
A szolgáltatás működéséhez az alábbi szolgáltatók vehetnek részt az adatkezelésben. A szolgáltatók hozzáférése a feladatukhoz szükséges adatokra korlátozódik. Ahol a szolgáltató adatfeldolgozóként jár el, az adatkezelést szerződés és utasítások keretezik.
| Szolgáltató | Szerep | Hely és kezelt adatok | EGT-n kívüli adattovábbítás |
|---|---|---|---|
| netcup GmbH | VPS-tárhely, alkalmazás, PostgreSQL-adatbázis és feltöltött fájlok. | Virtuális szerver a bécsi adatközpontban; a CardeArt éles adatai. A VPS-hez és az adatbázishoz kizárólag Kasza Péter fér hozzá. | Nem. |
| Backblaze, Inc. | Titkosított biztonsági mentés. | B2, EU Central régió, Amszterdam; napi mentés 3:30-kor. A mentés kliensoldalon, restic segítségével AES-256-tal titkosított; a visszafejtési kulcs csak a VPS-en és az Üzemeltető jelszókezelőjében található. A Backblaze a tartalomhoz a titkosítás miatt nem fér hozzá. Megőrzés legfeljebb körülbelül 6 hónap. | Az amerikai anyavállalat elméleti hozzáférési lehetősége miatt az adattovábbítási kockázatot figyelembe vesszük; a mentés tartalma titkosított. |
| Resend, Inc. | Rendszer-e-mailek kézbesítése. | USA; címzett e-mail-címe és az üzenet tartalma, például megerősítő, jelszó-visszaállítási és meghívólevél. | Igen. Az alkalmazandó garanciák között az Európai Bizottság megfelelőségi határozata, ha alkalmazható, illetve az Európai Bizottság által elfogadott általános szerződési feltételek és kiegészítő intézkedések jöhetnek szóba. |
| Stripe Payments Europe Ltd. és Stripe csoport | Kártyás fizetés és előfizetés kezelése. | Stripe Payments Europe Ltd. Írország; a Stripe-csoport egyes szolgáltatásai az Egyesült Államokhoz kapcsolódhatnak. A Stripe a fizetéshez szükséges adatokat és a kártyaadatokat a saját felelősségére kezeli; mi kártyaadatot nem tárolunk. | Igen. A továbbítás alapja az alkalmazandó megfelelőségi határozat, illetve az Európai Bizottság által elfogadott általános szerződési feltételek és kiegészítő intézkedések lehetnek. |
| Billingo Technologies Zrt. | Elektronikus számlák kiállítása. | Magyarország; vevő neve, e-mail-címe, számlázási címe és a számlázáshoz szükséges bizonylati adatok. | Nem. |
| Zoho Corporation B.V. | Az info@cardeart.com ügyfélszolgálati postafiók kezelése. | EU-s adatközpont; az ügyfélszolgálati levelezés feladója, címzettje és tartalma. | Nem, az alkalmazott EU-s adatközpont alapján. |
| Google Ireland Ltd. / Google LLC | GA4 analitika; csak előzetes hozzájárulás után. | Google Ireland Ltd. Írország; a szolgáltatás a Google-csoport egyes amerikai szolgáltatásaihoz kapcsolódhat. IP-anonimizált analitikai adatok és megtisztított oldalmegtekintési adatok. | Igen, ha a feldolgozás Google LLC vagy más EGT-n kívüli szolgáltatás bevonásával történik. Az alkalmazandó garanciák a megfelelőségi határozat, ha alkalmazható, illetve általános szerződési feltételek és kiegészítő intézkedések lehetnek. |
| YouTube vagy Vimeo | Beágyazott videó lejátszása a feladatleírásban. | A videó csak előzetes hozzájárulás és a lejátszó aktiválása után töltődik be; a szolgáltató saját technológiái adatot kezelhetnek. | Lehetséges, ha a szolgáltató EGT-n kívüli infrastruktúrát használ. A videóbetöltés a hozzájárulás visszavonásával letiltható. |
A fenti adattovábbításoknál a szolgáltatói szerződések és adatfeldolgozási feltételek aktuális változatait figyelembe vesszük. EGT-n kívüli adattovábbítás esetén csak megfelelő jogi garanciák és – szükség szerint – kiegészítő technikai vagy szervezési intézkedések mellett továbbítunk adatot. Konkrét tanúsítási vagy megfelelőségi státuszt csak akkor tekintünk alkalmazhatónak, ha annak feltételei az adott szolgáltatásra ténylegesen fennállnak.
8. Sütik és hasonló technológiák
A CardeArt nemcsak sütiket, hanem localStorage-t és IndexedDB-t is használhat. Ezeket együtt „sütik és hasonló technológiák” néven kezeljük. A szükséges technológiák a bejelentkezéshez, a munkamenethez, a biztonsághoz és a süti-döntés megőrzéséhez kellenek. A statisztikai technológiákat csak előzetes hozzájárulás után töltjük be.
| Technológia | Tárolás helye | Cél | Hozzájárulás |
|---|---|---|---|
| Bejelentkezési tokenek | localStorage | A munkamenet fenntartása és a bejelentkezett funkciók működtetése. | Nem; szükséges technológia. |
| DPoP-kulcspár | IndexedDB | A munkamenet eszközhöz kötése; a kulcspár nem exportálható. | Nem; szükséges biztonsági technológia. |
| ct_cookie_consent | localStorage | A süti-döntés, annak időpontja és a szabályzat verziójának megőrzése. | Nem; a választás bizonyításához szükséges. |
| Névtelen reflexiós azonosító | A böngészőben | Egy képre egy névtelen beküldés lehetővé tétele és a visszaélés megelőzése. | Nem; a névtelen funkció működéséhez szükséges. |
| Google Analytics 4 | Süti és hasonló technológiák | Látogatottság és használati statisztikák mérése. IP-anonimizálást alkalmazunk, és az URL-ekből kiszűrjük a tokeneket. | Igen; csak előzetes hozzájárulás után. |
| YouTube / Vimeo videó | Külső videótechnológia | Videó megjelenítése a feladatleírásban. | Igen; a lejátszó csak kattintás után töltődik be. |
A hozzájárulási bannerben jelenleg két kategória van: „Szükséges” és „Statisztikai (Google Analytics)”. A döntés az „Elfogadás”, „Elutasítás” vagy „Beállítások” gombbal adható meg. A beállítások a „Süti beállítások” funkcióban bármikor megváltoztathatók vagy visszavonhatók. A süti-döntésnek nincs szerveroldali másolata.
Jelenleg nincs bekapcsolva Google Signals, remarketing, User-ID, hirdetési pixel, hőtérkép, Sentry vagy Cloudflare. Ha ezek közül később bármelyik bevezetésre kerülne, a tájékoztatót és a hozzájárulási beállításokat előzetesen frissítjük; a marketing célú technológiákat külön, önkéntesen választható kategóriához kötjük.
9. Megőrzési idők és törlés
A személyes adatokat csak addig őrizzük, ameddig az adott célhoz szükséges, illetve ameddig jogszabály, jogi igény vagy biztonsági érdek ezt indokolja. A fiók törlésekor a törlés vagy anonimizálás legfeljebb 30 napon belül megtörténik, a számviteli és előfizetési adatok kivételével.
- Aktív felhasználói fiók: a fiók fennállásáig.
- Törölt fiók: a törlési kéréstől számított 30 napon belül végleges törlés vagy anonimizálás; a számlázási és előfizetési adatok a rájuk irányadó hosszabb ideig megmaradhatnak.
- El nem fogadott meghívó: a 7 napos érvényesség lejártától számított 30 nap.
- Kor-nyilatkozat: a fiókkal együtt törlődik, az igazolási és jogi igényekhez szükséges minimális adat kivételével.
- Csoporttagság, feladat-eredmény, kérdőív-válasz és reflexió: a csoport fennállásáig, illetve a tag fiókjának törléséig; eltávolított tag e-mail-címe legfeljebb 30 nap után törlődik.
- Munkamenet és refresh token: 7 napig érvényes, majd a lejárattól számított 30 napon belül törlődik.
- Fizetési tranzakciók és előfizetési adatok: az előfizetés megszűnésétől számított 5 év.
- E-mail-címhez kötött kupon: a kupon lejártától vagy beváltásától számított 5 évig.
- Számlák és számviteli bizonylatok: a kiállítástól számított 8 évig.
- Ügyfélszolgálati levelezés: az ügy lezárásától számított 1 évig.
- Auditnapló: 1 évig; sikertelen bejelentkezési esemény: 90 napig.
- Alkalmazás- és API-kérésnapló: konténerenként 3 × 10 MB rotáció, legfeljebb 30 napig.
- Reverse proxy naplója kizárólag 5xx válaszoknál: legfeljebb 30 napig.
- Süti-hozzájárulás: a süti-szabályzat következő verzióváltásáig, illetve a böngészőben való törlésig.
- Backblaze-mentések: 7 napi, 4 heti és 6 havi pillanatkép, legfeljebb körülbelül 6 hónapig.
- Adatvédelmi kérelmek és panaszok: a kérelem lezárásától számított 5 évig.
A mentésekben szereplő törölt adat a mentés rotációjáig megmaradhat. Egyetlen törlési kérelem miatt a mentést nem írjuk át azonnal. Ha mentésből állítunk helyre rendszert, a közben törölt adatokat ismét töröljük.
10. Érintetti jogok és kérelmek
Az érintett a személyes adatai kezelésével kapcsolatban az alábbi jogokat gyakorolhatja:
- Tájékoztatás és hozzáférés: kérheti annak megerősítését, hogy kezelünk-e róla adatot, és kérheti az adatok másolatát, valamint az adatkezelés fő körülményeiről szóló tájékoztatást.
- Helyesbítés: kérheti a pontatlan vagy hiányos adatok javítását.
- Törlés: kérheti adatainak törlését, ha annak nincs jogszabályi vagy más elsőbbséget élvező megőrzési oka.
- Az adatkezelés korlátozása: kérheti, hogy az adatokat csak meghatározott célból kezeljük, például vita esetén.
- Adathordozhatóság: a hozzájáruláson vagy szerződésen alapuló, automatizált adatkezelésnél kérheti az általa megadott adatok tagolt, széles körben használt és géppel olvasható formátumát, illetve – ha technikailag lehetséges – azok továbbítását más adatkezelőnek.
- Tiltakozás: jogos érdeken alapuló adatkezelés ellen a saját helyzetével kapcsolatos okból tiltakozhat; közvetlen üzletszerzés ellen bármikor tiltakozhat.
- Hozzájárulás visszavonása: a hozzájárulását bármikor visszavonhatja. A visszavonás nem érinti a korábbi adatkezelés jogszerűségét.
Kérelmét az info@cardeart.com e-mail-címre küldheti. A kérelem teljesítése előtt szükség esetén kérhetjük az Ön azonosítását, hogy személyes adatait ne adjuk ki illetéktelen személynek. A kérelmekre főszabály szerint a beérkezéstől számított egy hónapon belül válaszolunk. A kérelem összetettsége vagy a kérelmek száma miatt ez a határidő további két hónappal meghosszabbítható; erről az első hónapon belül tájékoztatást adunk.
A jogok nem korlátlanok: például számlázási adatokat a számviteli jogszabály szerinti megőrzési idő alatt nem tudunk törölni, és a szolgáltatás biztonságához szükséges adat kezelését sem feltétlenül lehet azonnal megszüntetni.
11. Jogorvoslat
Ha úgy véli, hogy személyes adatainak kezelése sérti a vonatkozó adatvédelmi szabályokat, elsőként kérjük, hogy írjon az info@cardeart.com címre, hogy a kérdést kivizsgálhassuk.
Panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH). Postai cím: 1363 Budapest, Pf. 9. Székhely: 1055 Budapest, Falk Miksa utca 9–11. E-mail: ugyfelszolgalat@naih.hu.
Az érintett bírósághoz is fordulhat. A bírósági jogorvoslatra a vonatkozó jogszabályok szerinti illetékességi és hatásköri szabályok alkalmazandók.
12. Adatbiztonság
Az Üzemeltető a kockázatokkal arányos technikai és szervezési intézkedésekkel védi a személyes adatokat. Ilyen intézkedés különösen a hozzáférések korlátozása, az adminisztrátori hozzáférés szűkítése, a jelszavak bcrypt-hash formában való tárolása, a HTTPS és más megfelelő átviteli titkosítás alkalmazása, a naplózott adatok minimalizálása, valamint a mentések kliensoldali AES-256 titkosítása.
Az éles rendszer, az adatbázis és a feltöltött fájlok a netcup bécsi VPS-én működnek; ezekhez kizárólag Kasza Péter fér hozzá. A mentések visszafejtési kulcsa nem kerül a Backblaze-hez, hanem csak a VPS-en és az Üzemeltető jelszókezelőjében található.
Az adatbiztonság nem jelent abszolút, minden kockázatot kizáró garanciát. Incidens vagy jogosulatlan hozzáférés gyanúja esetén az Üzemeltető a jogszabályi kötelezettségek szerint kivizsgálja az esetet, megteszi a szükséges intézkedéseket, és ahol kell, értesíti az érintetteket vagy a felügyeleti hatóságot.
13. Marketingkommunikáció és jelenleg nem működő funkciók
A CardeArt jelenleg nem küld marketinghírlevelet, nem alkalmaz Google Signals-t, remarketinget vagy User-ID alapú reklámcélú profilalkotást, és nincs mobilalkalmazás vagy aktív push-értesítés. Rendszerüzeneteket kizárólag a szolgáltatás működéséhez, biztonságához és az előfizetéshez kapcsolódóan küldünk.
Ha később marketinghírlevelet vezetünk be, ahhoz külön, előzetes, önkéntes és visszavonható hozzájárulást kérünk. A hozzájárulást, annak időpontját és szövegét dokumentáljuk, minden levélben biztosítjuk a leiratkozást, és a kiskorúaknak nem küldünk hírlevelet. Az új adatkezelést a bevezetés előtt a tájékoztatóban is bemutatjuk.
14. A tájékoztató módosítása
A tájékoztatót módosíthatjuk, ha változik a CardeArt szolgáltatása, az adatkezelés célja vagy jogalapja, az igénybe vett szolgáltató, a megőrzési idő, a jogszabályi környezet vagy a biztonsági megoldás. A módosítás hatálybalépésének napját a tájékoztató elején feltüntetjük.
Lényeges változás esetén a felhasználókat a változás jellegéhez igazodó, megfelelő módon előzetesen tájékoztatjuk. Ha egy új adatkezeléshez hozzájárulás szükséges, azt az új adatkezelés megkezdése előtt külön kérjük. A tájékoztató mindenkor hatályos változata a CardeArt felületén érhető el.
15. Jogi háttér
A tájékoztató értelmezésénél és az adatkezelések kialakításánál különösen az alábbi jogszabályokat vesszük figyelembe:
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, GDPR), különösen az 5., 6., 8., 12–22., 28., 32., 44–49. cikk.
- 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról.
- 2000. évi C. törvény a számvitelről, különösen a 169. §.
- 2013. évi V. törvény a Polgári Törvénykönyvről, különösen a 6:22. §.
- 2008. évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól, különösen a 6. §.
A jogszabályok változása esetén a tájékoztató vonatkozó részeit felülvizsgáljuk és szükség szerint módosítjuk.