Adatkezelési tájékoztató

1. Kétféle szerep: adatkezelő és adatfeldolgozó

Az Adatkezelő saját adatkezelőként kezeli a weboldal látogatóinak, az érdeklődőknek (lead), a regisztrálóknak és az Adminisztrátoroknak az adatait, valamint a support-kéréseket.

Az EverySec-rendszerbe az Ügyfél által feltöltött adatok (munkatársak, partnerek, jelenlét, bérek, dokumentumok stb.) tekintetében az Ügyfél az adatkezelő, az Adatkezelő pedig adatfeldolgozó; erre az Adatfeldolgozói megállapodás (DPA) vonatkozik. Ha Ön egy EverySec-et használó cég munkatársa, az adatai kezeléséről a munkáltatójánál érdeklődjön.

2. Weboldal-látogatás

Kezelt adatok: IP-cím, böngésző- és eszközadatok, látogatott oldalak, időpont (szerver-naplók). Cél: a weboldal működtetése, biztonság, hibaelhárítás. Jogalap: jogos érdek (GDPR 6. cikk (1) f)). Megőrzés: 30 nap.

Sütik: a weboldal kizárólag a működéshez szükséges sütiket használ (pl. a regisztrációs folyamat azonosítója, 24 óra). Marketing- vagy követő sütit, külső analitikát nem használunk; ha ez változik, a tájékoztatót frissítjük és hozzájárulást kérünk.

3. Kapcsolatfelvétel, ajánlatkérés, bemutató (lead)

Kezelt adatok: név, e-mail, telefon, cégnév, üzenet, forrás (pl. melyik oldalról), IP-cím. Cél: a megkeresés megválaszolása, ajánlatadás, kapcsolattartás. Jogalap: szerződés előkészítése (6. cikk (1) b)) és jogos érdek. Megőrzés: 2 év az utolsó kapcsolatfelvételtől, vagy a törlési kérésig.

4. Regisztráció és hitelesítés

Kezelt adatok: cégnév és azonosító, iparág, létszám, a regisztráló neve, e-mail-címe, telefonszáma, az e-mail- és SMS-kódok ellenőrző hash-e (a kód maga nem tárolódik), a megadott jelszó hash-e (bcrypt), IP-cím, böngésző, a folyamat lépéseinek naplója, az esetlegesen megadott munkatársak neve és elérhetősége, valamint a varázslóban megadott szabad szöveg.

Cél: a szerződés létrehozása, a Tenant létrehozása, az e-mail-cím és a telefonszám valódiságának ellenőrzése, visszaélés megelőzése (rate limit). Jogalap: szerződés (6. cikk (1) b)) és jogos érdek (biztonság). Megőrzés: a regisztrációs kérés adatai 1 év; a Tenant adatai a szerződés fennállásáig.

Az SMS-t az Infobip, az e-mailt a Mailjet kézbesíti (ld. al-adatfeldolgozók).

5. Az EverySec-rendszer és a mobilalkalmazás használata

Az Adminisztrátor és a Felhasználók belépési adatai (e-mail, telefon, jelszó-hash, munkamenet-azonosítók, eszköz-azonosítók push-értesítéshez) a Szolgáltatás nyújtásához szükségesek. Jogalap: szerződés. Megőrzés: a fiók fennállásáig, a munkamenetek legfeljebb 180 napig.

A mobilalkalmazás helymeghatározást csak a check-in funkciónál, a Felhasználó engedélyével és az adott pillanatban használ; folyamatos helykövetés nincs.

A Tenantban tárolt egyéb adatokért az Ügyfél felel adatkezelőként (1. pont).

6. Support-kérések

Kezelt adatok: a kérést beküldő neve, e-mail-címe, Tenant-azonosító, a kérés tárgya és szövege, csatolt képernyőkép. Cél: hibaelhárítás, ügyfélszolgálat. Jogalap: szerződés. Megőrzés: 2 év.

7. Al-adatfeldolgozók

Google Cloud EMEA Ltd. (Írország) — felhőinfrastruktúra, tárhely, Firebase App Hosting, Cloud Run, Cloud Storage, push-értesítés (FCM); régiók: europe-west1 (Belgium), europe-west4 (Hollandia).

MongoDB, Inc. / MongoDB Atlas — adatbázis-szolgáltatás, EU-régió.

Mailjet (Sinch) — tranzakciós e-mailek (kódok, üdvözlő levél, értesítések), EU.

Infobip Ltd. — SMS-küldés (hitelesítő kódok, belépési kód).

Billingo Technologies Zrt. — számlázás, az Ügyfél saját Billingo-fiókján keresztül.

Google LLC — Gemini API (Chrono AI, számla-kinyerés, regisztrációs asszisztens): a feldolgozás az EU-n kívül is történhet; a Google API-adatkezelési feltételei szerint a bemeneti adatokat a modell tanítására nem használják. Az adattovábbítás az EU Bizottság általános szerződési feltételei (SCC) alapján történik.

Apple Inc. és Google LLC — mobilalkalmazás-áruházak és push-kézbesítés.

A lista változásáról az Adminisztrátorokat előzetesen értesítjük (DPA 7. pont).

8. Adatbiztonság

Tenantonként elkülönített adatbázis, titkosított kapcsolat (TLS), jelszavak bcrypt-hash-sel, kódok csak hash-ként, szerepkör-alapú jogosultságok, naplózás, rendszeres biztonsági mentés, titkok központi titokkezelőben. Az adatvédelmi incidenst 72 órán belül bejelentjük a NAIH-nak, és — ha az Ügyfél adatait érinti — haladéktalanul értesítjük az Ügyfelet.

9. Adattovábbítás harmadik országba

Az adatokat elsődlegesen az EU-ban tároljuk. A Google Gemini API és egyes szolgáltatói támogatási folyamatok esetén előfordulhat EU-n kívüli feldolgozás, amelyre az általános szerződési feltételek (SCC) és a szolgáltatók adatvédelmi keretrendszerei nyújtanak garanciát.

10. Az Ön jogai

Hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás; a hozzájárulás visszavonása (ahol a jogalap hozzájárulás). Kérését az support@everysec.hu címen nyújthatja be; 30 napon belül válaszolunk.

Panasszal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (1055 Budapest, Falk Miksa utca 9–11.; www.naih.hu) vagy bírósághoz fordulhat.

11. Módosítás

A tájékoztatót a szolgáltatás változásával frissítjük; a hatályos változat mindig az everysec.app/adatvedelem oldalon érhető el, a módosítás dátumával.