Verzió: 0.2-tervezet · Kelt: 2026-10-02
Adatkezelési tájékoztató
A [TERMÉKNÉV] platform üzemeltetőjének adatkezelése (az Üzemeltető mint adatkezelő)
PISZKOZAT jogi átnézésre. Verzió: 0.1, 2026-10-02. Nem végleges, nem jogi tanács. A
[JOGÁSZNAK: ...]jelölések nyitott kérdések vagy hiányzó adatok; a teljes lista, a feltevések és az állítások kódbeli fedezete a README-ben van. Angol fordítás: Privacy Notice; eltérés esetén a magyar szöveg az irányadó. A szöveg a 2026-10-02-i kódállapotot (main a71f768) írja le. Ahol a működés még fejlesztés alatt áll, azt a szöveg jelzi.
1. Az adatkezelő
[JOGÁSZNAK: az Üzemeltető cégneve, székhelye, cégjegyzékszáma, adószáma, e-mail-címe, postai címe. A tulajdonos tölti ki.] Adatvédelmi tisztviselő: [JOGÁSZNAK: kötelező-e kijelölni; ha igen, elérhetősége. Ha nem, az adatvédelmi kapcsolattartó e-mail-címe.]
2. Mire vonatkozik ez a tájékoztató, és mire nem
2.1. Amire vonatkozik. Azokra a személyes adatokra, amelyeket az Üzemeltető a saját jogán, adatkezelőként kezel a [TERMÉKNÉV] szolgáltatás nyújtásával kapcsolatban: a szalont regisztráló és vezető személyek (az Előfizető képviselői, a fiók tulajdonosai), a számlázási és kapcsolattartók, az ügyfélszolgálatot megkereső személyek, valamint az Üzemeltető platform-felhasználói (üzemeltetői munkatársak) adatai.
2.2. Amire nem vonatkozik. A szalonok Vendégeinek és munkatársainak adatait az Üzemeltető a szalon megbízásából, adatfeldolgozóként kezeli. Ezekre az adott szalon adatkezelési tájékoztatója és az Üzemeltető–szalon Adatfeldolgozói megállapodása vonatkozik (Adatfeldolgozói megállapodás). Ha Ön egy szalon vendége, kérjük, jogai gyakorlásához elsősorban a szalonhoz forduljon.
3. Az adatkezelések
A jogalapok a GDPR 6. cikk (1) bekezdése szerintiek. [JOGÁSZNAK: minden jogalap megerősítése, különösen az (f) pont szerinti jogos érdekek érdekmérlegelése és a Felhasználók (munkatársak) fiókadatainak szerepe.]
| # | Cél | Kezelt adatok | Jogalap | Megőrzés |
|---|---|---|---|---|
| 3.1 | Regisztráció és a fiók létrehozása | e-mail-cím, a regisztráló neve, a szalon neve és azonosítója, a szalon nyilvános telefonszáma, szakma, időzóna, a jelszó egyirányú (argon2id) lenyomata, a megerősítő hivatkozás lenyomata | szerződés megkötését megelőző lépések, szerződés teljesítése (b) | a megerősítő hivatkozás 24 óráig érvényes; a megerősítéskor a jelentkezési sor törlődik. A lejárt, meg nem erősített sor törlése ma csak akkor történik meg, ha az érintett újra próbálkozik; automatikus söprés nincs. [JOGÁSZNAK: fejlesztési feladat; söprés bevezetése] |
| 3.2 | A fiók működtetése és biztonsága | név, e-mail-cím, telefonszám (ha megadta), szerepkör, a jelszó és a PIN lenyomata, a kétlépcsős azonosítás titkának titkosított alakja és a visszaállító kódok lenyomata, utolsó belépés ideje, munkamenet- és belépési-link-tokenek lenyomata | szerződés teljesítése (b); a rendszer védelme (f) | a fiók fennállása alatt; a munkamenetek lejárat után törlődnek (munkatársi munkamenet: legfeljebb 12 óra, 30 perc tétlenség után lejár); a lejárt belépési-link tokenek lenyomata ma nem törlődik automatikusan [JOGÁSZNAK: fejlesztési feladat]; a fiók sorsa a szerződés megszűnése után: 5. pont |
| 3.3 | A szolgáltatási szerződés teljesítése | a szalon Csomagja, előfizetésének állapota és időpontjai (próbaidő vége, állapotváltások), az SMS-kredit mozgásai | szerződés teljesítése (b) | a szerződés tartama alatt és utána a számviteli megőrzés idejéig, amennyiben a tétel bizonylathoz kötődik; [JOGÁSZNAK: megőrzési idő] |
| 3.4 | Számlázás és könyvelés | a szalon neve, a számla sorszáma, időszaka, összege, fizetési állapota; a számlázási adatok (cégnév, adószám, cím, számla-e-mail) a bevezetésüket követően; a fizetés adatai | jogi kötelezettség (c) (számviteli és adójogi előírások); szerződés teljesítése (b) | a jogszabályban előírt ideig. [JOGÁSZNAK: a pontos idő és jogszabályi hely; a rendszer kódkommentjei 8 évet feltételeznek számviteli bizonylatokra, ez nem jogi állásfoglalás.] Ma a számla a rendszer saját sorszámozásával, kézzel készül; a vevőadatot a regisztráció még nem kéri be |
| 3.5 | Rendszerüzenetek küldése | a címzett e-mail-címe, neve, az üzenet tartalma (regisztráció megerősítése, jelszó-visszaállítás, belépési hivatkozás; a későbbiekben üdvözlő, próbaidő-lejárat, számla, fizetési emlékeztető, felfüggesztés értesítése) | szerződés teljesítése (b) | az üzenetnapló sorai alapértelmezés szerint 365 nap után törlődnek |
| 3.6 | Ügyfélszolgálat és hibaelhárítás | a megkeresés tartalma, az érintett szalon és fiók adatai; ügyfélszolgálati belépés esetén az indoklás, az időtartam, a belépés kezdete és (kilépés, kijelentkezés vagy lezárás esetén) vége, valamint az ezalatt végzett egyes műveletek részleges naplójelölése (Adatfeldolgozói megállapodás 2. melléklet 14. pont) | szerződés teljesítése (b); a hibaelhárítás és a szolgáltatás biztonsága (f) | [JOGÁSZNAK: megőrzési idő; a termékben ma nincs támogatási csatorna, ezért a megkeresések tárolási helye és ideje még nem meghatározott] |
| 3.7 | Működési és biztonsági naplózás | ki, mikor, milyen műveletet végzett (naplósor: szereplő típusa és azonosítója, művelet, érintett objektum), az üzemeltetői (platform-) műveletek és az ügyfélszolgálati belépések, a háttérfolyamatok és mentések futásának naplója | jogos érdek (f): a szolgáltatás biztonsága, elszámoltathatóság, jogi igények érvényesítése | az auditnaplóra ma nincs automatikus törlési szabály; [JOGÁSZNAK: megőrzési idő] |
| 3.8 | Visszaélés elleni védelem | belépési és regisztrációs kísérletek, amelyek IP-címhez kötött számlálói a folyamat memóriájában élnek (adatbázisba nem kerülnek) | jogos érdek (f) | a folyamat újraindításáig, legfeljebb az ablak hosszáig (percek); a tárhely és az előtét-proxy saját naplóiról lásd a 4. pontot |
| 3.9 | Jogi igények, hatósági megkeresések | a jogi igény érvényesítéséhez, védekezéshez szükséges adatok | jogos érdek (f); jogi kötelezettség (c) | az igény elévüléséig [JOGÁSZNAK: kitöltendő] |
| 3.10 | Az Üzemeltető platform-felhasználói (üzemeltetői munkatársak) | név, e-mail-cím, a jelszó lenyomata, utolsó belépés, munkamenetek, a végzett üzemeltetői műveletek naplója | jogos érdek (f); a munkaszerződés/megbízás teljesítése | a jogviszony alatt és utána [JOGÁSZNAK: kitöltendő] |
3.11. Marketing. Az Üzemeltető ma nem küld marketing jellegű megkeresést az Előfizetőknek, és a termékben nincs erre szolgáló funkció. Ha ez megváltozik, külön hozzájárulás vagy az erre alkalmas jogalap szükséges, és ez a tájékoztató módosul. [JOGÁSZNAK: ha az Üzemeltető később ügyfélhírlevelet küld.]
3.12. Sütik és böngészőtár. A platform által beállított sütiket és böngészőtárat a Sütiszabályzat sorolja fel.
3.13. Értékesítés, hirdetési felhasználás és profilalkotás. Az Üzemeltető az Előfizetők személyes adatait nem adja el, hirdetési célra nem használja, és az Előfizetők adatairól nem készít a szerződés teljesítésén túli profilt. [JOGÁSZNAK: a tulajdonos dönt; megerősítendő. A kódban van egy, a termékbe nem bekötött lemorzsolódási pontszám-modul (lib/tenant-health); ha az élesedik, ezt a pontot és az 8. pontot módosítani kell.]
3.14. Belépés Google-fiókkal. A platform lehetővé teszi a munkatársak és a vendégek számára a Google-fiókkal történő belépést. A Google a következő adatokat továbbítja az Üzemeltetőnek: a Google-fiókhoz tartozó e-mail-cím, annak ellenőrzöttsége (email_verified) és a fiókhoz tartozó nyilvános név. A profilképet az Üzemeltető NEM tárolja. A Google-fiók azonosítóját (sub) az Üzemeltető NEM tárolja; a belépés kizárólag az ellenőrzött e-mail-cím alapján történik: munkatársak és vendégek a meglévő fiókjukba lépnek be, regisztrációnál a Google által igazolt e-mail-cím a cím birtoklását igazolja. Az adatkezelés célja: a felhasználó azonosítása és a belépés lehetővé tétele. Az adatkezelés jogalapja: a szerződés teljesítése, illetve az érintett kérésére történő lépések (GDPR 6. cikk (1) bekezdés b) pont). Az adatok megőrzése: a Google-tól kapott adatokat az Üzemeltető a meglévő fiókadatokon (név, e-mail-cím) túl külön NEM tárolja. Címzett: a belépési folyamat során a Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Írország) mint önálló adatkezelő jár el; a Google adatkezelésére a Google adatvédelmi irányelvei (https://policies.google.com/privacy) vonatkoznak. [JOGÁSZNAK: a teljes adatkör, a jogalap (különösen a vendégek esetében), a megőrzés és a Google mint önálló adatkezelő státuszának megerősítése. A Google-azonosító nem-tárolása technikai döntés, amelyből a későbbi fiók-összekapcsolás hiánya következik — ennek jogi következményeit a jogász mérlegelje. A szöveg a 2026-10-08-i kódállapotot írja le; a funkció a Google Cloud Console-ban történő élesítés előtt nem elérhető a felhasználók számára.]
4. A címzettek, az adatfeldolgozók és a harmadik országba történő továbbítás
4.1. Az Üzemeltető adatfeldolgozói és címzettjei. Az Üzemeltető az alábbi szolgáltatókat veszi igénybe a saját adatkezeléséhez. [JOGÁSZNAK: minden szolgáltató neve, székhelye, az adatkezelés helye, az adatfeldolgozási szerződés megléte; ezeket a tulajdonos tölti ki.]
| Szolgáltatás | Mire | Mely adatok | Státusz |
|---|---|---|---|
| Tárhely és infrastruktúra szolgáltatója | az alkalmazás, az adatbázis és a mentések futtatása | minden, az Üzemeltető rendszerében tárolt adat | [JOGÁSZNAK: név, székhely, adatközpont helye. A repó csak azt rögzíti, hogy az alkalmazás Coolify-on, Docker-konténerben fut (docs/05-deploy.md), a szolgáltatót nem.] |
| Kimenő levelezés (SMTP) szolgáltatója | a rendszerüzenetek kézbesítése | a címzett e-mail-címe, neve, az üzenet tartalma | [JOGÁSZNAK: szolgáltató és feladó-domain kiválasztása még nyitott (D1, D11); az útmutató példaként MXroute-ot említ, ez nem döntés] |
| Stripe | a platformdíj bankkártyás beszedése | az Előfizető képviselőjének és számlázási adatai, fizetési adatok (a kártyaadatot a Stripe kezeli, az Üzemeltető nem látja) | tervezett (D4), a mostani hullámban nincs bekötve [JOGÁSZNAK: önálló adatkezelő vagy adatfeldolgozó] |
| Számlázz.hu | a platform saját számláinak kiállítása | számlázási adatok | tervezett (D5), a mostani hullámban nincs bekötve |
| Könyvelő, jogi és egyéb tanácsadó | könyvelés, jogi képviselet | a feladathoz szükséges számlázási és szerződési adatok | [JOGÁSZNAK: megnevezés] |
4.2. Hatóságok. Az Üzemeltető jogszabályi kötelezettség alapján adatot továbbít hatóságnak.
4.3. Harmadik országba történő továbbítás. [JOGÁSZNAK: a 4.1. pont szolgáltatói közül melyik kezel adatot az Európai Gazdasági Térségen kívül (például a Stripe, a levelezési szolgáltató), és milyen megfelelő garancia (megfelelőségi határozat, általános szerződési feltételek) alapján. A repó ezt nem tartalmazza, és az Üzemeltető rendszere tárhelyének helye sincs rögzítve.]
4.4. Naplók az alkalmazáson kívül. A tárhely és az előtét-proxy (a kód szerint Traefik) saját naplóiban IP-cím és kérés-adatok szerepelhetnek. [JOGÁSZNAK: az üzemeltető tölti ki; ezek megőrzési ideje és beállítása a hosting oldalán dől el, a repó nem rögzíti.]
5. Megőrzési idők és az adatok sorsa a szerződés megszűnése után
5.1. A szerződés megszűnésekor a fiók 90 napig írásvédett, exportálható állapotban marad, majd az Üzemeltető a személyes adatokat anonimizálja vagy törli; a számlákat és számviteli bizonylatokat, valamint a szükséges naplókat a jogszabály szerinti ideig őrzi meg (ÁSZF 8. pont). [JOGÁSZNAK: mely, az Előfizető képviselőire vonatkozó adat marad meg, mennyi ideig és milyen jogalapon. Az automatikus anonimizálás meg van írva (lib/tenant-exit/anonymise.ts, anonymiseTenant(), runTenantAnonymisation()), az anonimizálás végén a deletedAt beállításra kerül (anonymise.ts:208).]
5.2. A háttérfolyamat a lejárt munkameneteket és jelszó-visszaállítási tokeneket, valamint a lejárt mobil-munkamenet tokeneket rendszeresen törli.
6. Az adatbiztonság
Az Üzemeltető az adatokat a kockázatnak megfelelő műszaki és szervezési intézkedésekkel védi. Ezek jelen állapotukban: jelszavak és PIN-kódok egyirányú (argon2id) lenyomata; a munkamenet-tokenek csak lenyomatként tárolódnak; a kétlépcsős azonosítás titka és a harmadik fél szolgáltatások kulcsai AES-256-GCM titkosítással tárolódnak; az Előfizetők közötti adat-elválasztást az alkalmazás szűrése és az adatbázis sor-szintű védelme (RLS) adja; a böngésző felé HSTS és további biztonsági fejlécek (Content-Security-Policy, Referrer-Policy, X-Content-Type-Options, Permissions-Policy); a belépési kísérletek korlátozása; a platform üzemeltetői műveletei indoklással, auditnaplóval történnek. A részletes, ellenőrzött lista az Adatfeldolgozói megállapodás 2. mellékletében van. [JOGÁSZNAK: az üzemeltetői oldali kétlépcsős azonosítás ma nincs; a mentések titkosítása és a lemez-titkosítás a repóból nem bizonyítható, ezért itt nem állítjuk.]
7. Az érintettek jogai
7.1. Ön jogosult: tájékoztatást kérni az adatai kezeléséről és azokhoz hozzáférni; kérni az adatai helyesbítését; kérni az adatai törlését, ha ennek jogszabályi feltételei fennállnak; kérni a kezelés korlátozását; tiltakozni a jogos érdeken alapuló kezelés ellen; kérni az adatai hordozhatóságát, ha a kezelés szerződésen alapul; a hozzájáruláson alapuló kezelés esetén a hozzájárulását bármikor visszavonni.
7.2. A kérelmét az 1. pontban megadott elérhetőségen terjesztheti elő. Az Üzemeltető a kérelemre legfeljebb egy hónapon belül érdemben válaszol. [JOGÁSZNAK: a személyazonosítás módja; a törlési kérelem és a számviteli megőrzés viszonya.]
7.3. Jogorvoslat. Panasszal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) fordulhat, vagy bírósághoz fordulhat. [JOGÁSZNAK: a hatóság és a bíróság elérhetőségének ellenőrzése, külföldi Előfizetők esetén a helyi felügyeleti hatóság.]
8. Automatizált döntéshozatal
Az Üzemeltető jelenleg nem alkalmaz profilalkotáson alapuló döntéshozatalt. A fiók állapotának egyes váltásai (próbaidő lejárta utáni átállás az Ingyenes csomagra, késedelmes és felfüggesztett állapot) időzített háttérfolyamat, a fizetési események alapján automatikusan történnek. [JOGÁSZNAK: ezek a lépések a GDPR 22. cikk szerinti, jogi hatással járó automatizált döntésnek minősülnek-e; ha igen, a szükséges garanciák és emberi beavatkozás lehetősége. A felfüggesztés feloldása ma kézi üzemeltetői művelet.]
9. A szalonok vendégeinek adatai
Ha Ön egy szalon vendége (a szalon online foglalóoldalán foglalt, vagy a szalon rögzítette az adatait), az adatai adatkezelője a szalon. A szalon adatkezelési tájékoztatójából tudhatja meg, hogyan kezeli az adatait, és ott gyakorolhatja jogait. Az Üzemeltető ezekhez az adatokhoz csak a szalon megbízásából, adatfeldolgozóként fér hozzá. Ha az Üzemeltetőhöz érkezik ilyen kérelem, azt továbbítja az érintett szalonnak, és önállóan nem teljesíti.
10. A tájékoztató módosítása
Az Üzemeltető a tájékoztatót módosíthatja; a lényeges módosításról az Előfizetőt előre értesíti. A korábbi verziók kérésre elérhetők. [JOGÁSZNAK: értesítési határidő.]
Változásnapló
- 2026-10-08 — 3.14. pont (Belépés Google-fiókkal): PISZKOZAT — jogász jóváhagyására vár.