Adatkezelési tájékoztató
Hatályos: 2026. október 18.
1. Az adatkezelő
Mészáros János egyéni vállalkozó, az operex.eu és az OPEREX alkalmazás üzemeltetője (a továbbiakban: Adatkezelő).
Kapcsolat: support@operex.eu
Az Adatkezelő adatkezelőként (controller) jár el a saját Előfizetői (az OPEREX-et megrendelő vállalkozások és felhasználóik) adatai vonatkozásában, és adatfeldolgozóként (processor) az Előfizető által a rendszerbe vitt üzemeltetési adatok — köztük az Előfizető munkavállalóinak a műszaknaplóban, eseménynaplóban és feladatokban megjelenő személyes adatai — vonatkozásában. Az adatfeldolgozói viszony részletes szabályait az Adatfeldolgozási Megállapodás (DPA) tartalmazza.
2. Kezelt személyes adatok
Előfizetői (account) adatok — az Adatkezelő mint controller
- Kapcsolattartó neve, e-mail címe, telefonszáma
- A vállalkozás neve, címe, adószáma (számlázáshoz)
- Felhasználói fiók adatai: e-mail, jelszó-hash, szerepkör, belépési naplók
Üzemeltetési adatok — az Adatkezelő mint adatfeldolgozó (az Előfizető a controller)
- Az Előfizető munkavállalóinak azonosítói: név, beosztás/szerepkör, fiók-azonosító
- Műszaknapló- és eseménynapló-bejegyzések, valamint azok szerzősége (ki, mit, mikor rögzített), a bejegyzésekhez csatolt fényképekkel együtt
- Vezetői utasítások visszaigazolása, feladat-státuszok és indoklások
- Append-only audit-nyom (módosíthatatlan napló minden bejegyzésről és állapotváltásról)
Különleges adatok: egy incidens- vagy near-miss-bejegyzés kivételesen egészségügyi vonatkozású adatot is tartalmazhat (pl. sérülés leírása). Ezek céljáról és jogalapjáról az Előfizető mint adatkezelő dönt; az OPEREX kizárólag az Előfizető utasítása szerint, technikai szolgáltatóként tárolja azokat.
Technikai és biztonsági adatok — az Adatkezelő mint controller
- Sikertelen belépési kísérletek naplója: e-mail-cím, IP-cím, böngésző-azonosító (visszaélés-megelőzés)
- HTTP hozzáférési napló: a kérések adatai, az IP-cím utolsó szakasza elhagyva (IPv4 /24, IPv6 /48)
- Böngésző-oldali hibanapló (diagnosztika): a hiba adatai, IP-cím, böngésző-azonosító
- Bejelentkezési előzmények: időpont és böngésző/eszköz megnevezése, IP-cím nélkül (az Előfizető rendszergazdája számára elérhető, külön jogosultsággal)
Érdeklődők, feliratkozók és látogatók — az Adatkezelő mint controller
- A kapcsolati űrlapon önként megadott adatok (név, e-mail, üzenet)
- Hírlevél: név, e-mail-cím, nyelv, a feliratkozás ideje és forrása, a hozzájárulás nyoma, a leiratkozás ténye; a kiküldött levelek megnyitásának és a bennük lévő hivatkozásokra kattintásnak mérése (címzettenként)
- Üzleti megkeresés: vállalkozások kapcsolattartóinak neve és üzleti e-mail-címe, üzleti kapcsolatfelvétel céljából
- Honlap-látogatottság: az operex.eu oldalain süti nélküli, összesített mérés az Adatkezelő saját üzemeltetésű Umami kiszolgálóján (oldalmegtekintések, a PDF-letöltésekre kattintás); az alkalmazásban (bejelentkezés után) nincs harmadik fél által végzett analitika
Fizetési adatok: bankkártya-adatot az Adatkezelő nem tárol. A fizetési és számlázási szolgáltató kiválasztása jelenleg folyamatban van. Az OPEREX pilot / korai hozzáférés fázisban működik — éles, fizetős előfizetés még nincs. A fizetési szolgáltató, valamint a hozzá kapcsolódó számlázási és adatkezelési feltételek az éles fizetés bevezetése előtt kerülnek be ebbe a dokumentumba.
3. Az adatkezelés jogalapja
- Szerződés teljesítése (GDPR 6. cikk (1) b)) — a szolgáltatás nyújtása az Előfizető részére
- Jogos érdek (GDPR 6. cikk (1) f)) — a rendszer biztonsága és a biztonsági naplók, visszaélés-megelőzés, a szolgáltatás fejlesztése, a honlap süti nélküli, összesített látogatottság-mérése, valamint a vállalkozások kapcsolattartóinak üzleti megkeresése (utóbbi ellen bármikor tiltakozhatsz — lásd 6. pont)
- Jogi kötelezettség (GDPR 6. cikk (1) c)) — számviteli és adózási kötelezettségek
- Hozzájárulás (GDPR 6. cikk (1) a)) — a kapcsolati űrlap útján történő megkereséshez, a hírlevélre való feliratkozáshoz és az ahhoz kapcsolódó megnyitás-/kattintás-méréshez; a hozzájárulást bármikor visszavonhatod (a hírlevél leiratkozó hivatkozásával vagy e-mailben)
- Az üzemeltetési (feldolgozott) adatok jogalapjáért az Előfizető mint adatkezelő felel (pl. munkaviszony, jogi kötelezettség, jogos érdek)
4. Adatfeldolgozók (al-adatfeldolgozók)
| Szolgáltató | Cél | Adattárolás helye |
|---|---|---|
| Hetzner Online GmbH | Szerver és tárhely; ezen fut a self-hosted adatbázis, a hitelesítés és a fájltárolás | EU (Németország) |
| Cloudflare, Inc. | Off-szerver biztonsági mentés (a teljes adatbázis és fájltár másolata) katasztrófa-helyreállításhoz, valamint DNS-szolgáltatás | US-székhelyű szolgáltató — EU–USA Adatvédelmi Keret (DPF). Az éles kiszolgáló mentése EU-joghatóságú tárolóba megy; a megosztott demó/teszt környezet mentése ma nem EU-joghatóságú tárolóban van, és az átállásra nincs kitűzött időpont |
| Resend Inc. | Tranzakciós és értesítő e-mailek küldése; a kiküldött műszakjelentés-PDF mellékletként ezen a szolgáltatáson halad át | US — EU–USA Adatvédelmi Keret (DPF); a keret listáján szereplő jogi entitás neve: PLUS FIVE FIVE |
| Zoho Corporation B.V. | Bejövő e-mail postafiók (a kapcsolatfelvételi és ügyfélszolgálati levelezés fogadása) | EU (a szolgáltató EU-s adatközpontja) |
| Anthropic PBC | Műszakszöveg-fordítás — kizárólag akkor, ha az Adatkezelő aktiválja az opcionális fordítás-funkciót (alapértelmezetten kikapcsolva; jelenleg egyetlen előfizetőnél sincs bekapcsolva) | US — a szolgáltató nem szerepel az EU–USA Adatvédelmi Keret listáján (ellenőrizve: 2026. szeptember 22.); a továbbítás alapja a szolgáltató adatvédelmi tájékoztatója szerint megfelelőségi határozat, illetve általános szerződési feltételek (SCC) |
| DeepL SE | Műszakszöveg-fordítás (a fordítás-funkció választható második szolgáltatója) — kizárólag akkor, ha az Adatkezelő aktiválja az opcionális fordítás-funkciót, és a fordítás ennél a szolgáltatónál fut (jelenleg egyetlen előfizetőnél sem) | EU (Németország) |
Nem al-adatfeldolgozó: az adatbázis, a hitelesítés és a fájltárolás self-hosted Supabase formájában, saját üzemeltetésben, a fenti Hetzner-kiszolgálón fut, a nyilvános honlap cookie-mentes látogatottság-mérése pedig saját üzemeltetésű Umamival történik (kizárólag a honlapon, az alkalmazásban nem; a letöltés-kattintásokat összesítve mérjük: a letöltött fájl neve és az a lap, ahonnan kattintottak — személyes adat nélkül) — ezekhez külön felhő-szolgáltató nem fér hozzá. A fizetési és számlázási szolgáltató kiválasztása folyamatban van; ő a saját feltételei szerint, önálló adatkezelőként jár el, ezért nem al-adatfeldolgozó.
Dedikált vagy on-premise (Enterprise) telepítésnél az adatfeldolgozók köre eltérhet; ezt a vonatkozó egyedi szerződés rögzíti.
5. Adatmegőrzés időtartama
- Felhasználói fiók adatai: a fiók törlésekor a belépés azonnal megszűnik, és a belépési adatokat (jelszó-hash) töröljük; az e-mail-cím és az utolsó belépés ideje 30 nap elteltével automatikusan álnevesítésre kerül. A név a műszaknapló-bejegyzések és az audit-nyom szerzőjeként az üzemeltetési adatok része (lásd a következő pontot) — törlési kérelemre az Előfizető utasítása szerint azt is álnevesítjük. A rendszergazda által deaktivált fiók visszaállítható, ezért az adatai az előfizetés megszűnéséig megmaradnak; az előfizetés megszűnésekor a 30 napos türelmi idő után törlés
- Üzemeltetési adatok (műszaknapló, esemény, audit-nyom): az Előfizető utasítása szerint, a rá vonatkozó jogszabályi (munkavédelmi, ipari, ISO 45001) megőrzési kötelezettség figyelembevételével. A bejegyzéshez csatolt fényképet az Előfizető rendszergazdája törölheti: a törlés a képet az alkalmazásból eltávolítja (a helyén a törlés nyoma marad), a törlés előtt már legenerált (és kiküldött) napló-PDF-ekben azonban a kép megmarad, mert azok a generáláskori állapot változtathatatlan rekordjai
- Számlázási adatok: a számvitelről szóló 2000. évi C. törvény szerint 8 év
- Kapcsolati üzenetek: a megkeresés elintézéséhez szükséges ideig
- Hírlevél: a leiratkozásig; leiratkozáskor a személyes adatot töröljük, és csak azt a tiltó-jelölést őrizzük meg, amely megakadályozza, hogy a címre újra hírlevelet küldjünk. A kiküldött levelek naplója 180 napig, a kampány-mérés (kézbesítés, megnyitás, kattintás) 365 napig marad meg
- Technikai naplók: a sikertelen belépések naplója 90 nap; a HTTP hozzáférési napló és a böngésző-oldali hibanapló 30 nap; a naplók off-szerver másolata legfeljebb kb. 90 nap. A bejelentkezési előzmények és a módosíthatatlan audit-nyom az üzemeltetési adatokkal azonos szabály szerint (az előfizetés idejéig) maradnak meg
- Biztonsági mentés: az adatbázis mentése napi bontásban 30 napig, heti bontásban legfeljebb 89 napig; így a törölt adat a mentésekből legfeljebb 90 napon belül kerül ki (kivéve, ha jogszabály hosszabb megőrzést ír elő)
6. Az érintett jogai
- Hozzáférés joga — másolat a kezelt adataidról
- Helyesbítés joga — pontatlan adat javítása
- Törlés joga („elfeledtetés")
- Adathordozhatóság joga — géppel olvasható formátumban
- A kezelés korlátozásához és a tiltakozáshoz való jog (jogos érdek alapú kezelés ellen; üzleti megkeresés ellen bármikor, indoklás nélkül)
- A hozzájárulás visszavonásának joga — a visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét
- Bírósághoz fordulás joga (GDPR 79. cikk; Infotv. 22–23. §) — a per a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindítható
Automatizált döntéshozatalt vagy profilalkotást, amely rád nézve joghatással járna, nem végzünk. Adatvédelmi tisztviselőt nem jelöltünk ki; az adatvédelmi ügyekben a fenti címen érsz el minket.
Jogaid gyakorlásához írj a support@operex.eu címre; indokolatlan késedelem nélkül, legkésőbb 30 napon belül válaszolunk.
Ha az adataid az Előfizető (munkáltatód vagy a téged megbízó vállalkozás) által a rendszerbe vitt üzemeltetési adatok között szerepelnek, az ezekkel kapcsolatos kérelmeidet elsősorban az Előfizetőhöz (mint adatkezelőhöz) kell intézned; az OPEREX a kérelmet továbbítja, és az Előfizető utasítása szerint jár el.
7. Adatbiztonság
- Titkosított adatátvitel (TLS), HSTS
- Tenant-izoláció Row-Level Security (RLS) szabályokkal, az adatréteg-szűrésben is megerősítve
- Append-only (módosíthatatlan) audit-nyom
- Szerepkör-alapú jogosultságkezelés (RBAC)
- Az éles kiszolgáló adatai az EU-ban (Németország) futnak; az off-szerver biztonsági mentés a 4. pontban megnevezett szolgáltatónál tárolódik (a továbbítás részleteit a 8. pont adja); rendszeres biztonsági mentés és frissítés
8. Nemzetközi adattovábbítás
A személyes adatok elsődleges tárolási helye az Európai Gazdasági Térség (EGT) területe (Németország). Az EGT-n kívülre kizárólag a GDPR V. fejezete szerinti garanciák mellett történik továbbítás. Az EU–USA Adatvédelmi Keret (DPF) alapján: Cloudflare, Inc. (US, off-szerver biztonsági mentés és DNS), illetve Resend Inc. (US, e-mail-kézbesítés). Általános szerződési feltételek (SCC) alapján: Anthropic PBC (US, műszakszöveg-fordítás — kizárólag az opcionális fordítás-funkció aktiválása esetén).
9. Panasz benyújtása
Ha úgy érzed, hogy adataid kezelése sérti a GDPR-t, panaszt tehetsz a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH), vagy — ha más uniós tagállamban élsz vagy dolgozol — a lakóhelyed vagy munkahelyed szerinti felügyeleti hatóságnál (GDPR 77. cikk).
NAIH · 1055 Budapest, Falk Miksa utca 9-11. · naih.hu · ugyfelszolgalat@naih.hu