Adatkezelési Tájékoztató | AIDOBOZ # Adatkezelési Tájékoztató **Hatálybalépés dátuma:** 2026. május 15. **Verzió:** `2026-05-15` ## 1. Bevezetés és Adatkezelő Adatai Jelen Adatkezelési Tájékoztató leírja, hogy a **Premium Ultimate Kft.** (a továbbiakban: "AIDOBOZ", "mi" vagy "a miénk") hogyan gyűjti, használja és védi az Ön személyes adatait, amikor igénybe veszi Szoftver mint Szolgáltatásunkat, az AIDOBOZ-t (a "Szolgáltatás"). Elkötelezettek vagyunk az Ön adatainak átlátható és az Általános Adatvédelmi Rendeletnek (GDPR) megfelelő kezelése mellett. **Adatkezelőként** az adataink a következők: CégnévPremium Ultimate Korlátolt Felelősségű Társaság**Rövidített név**Premium Ultimate Kft.**Székhely**1163 Budapest, Veres Péter út 51., Magyarország**Cégjegyzékszám**01-09-426058**Adószám**32474341-2-42**Adatvédelmi Tisztviselő** ## 2. Milyen Információkat Gyűjtünk és Miért Különböző típusú információkat gyűjtünk meghatározott célokból a Szolgáltatásunk nyújtása és fejlesztése érdekében. A Személyes Adatok megadása szerződéses követelmény, amely a velünk kötendő szolgáltatási szerződéshez szükséges. Ezen adatok hiányában nem tudja igénybe venni Szolgáltatásunkat. AdatkategóriaKonkrét AdattípusokAdatkezelés CéljaJogalap**Azonosító és kapcsolat**Név, e-mail címFiók létrehozása és kezelése, ügyfélszolgálat, szolgáltatási tájékoztatásGDPR Art. 6(1)(b) — szerződés teljesítése**Hitelesítési adatok**Jelszó hash, két-faktoros (2FA) secret, passkeyBejelentkezés, fiókvédelemGDPR Art. 6(1)(b)**Használati adatok**IP-cím, User-Agent, böngészési idő, eszközazonosítókBiztonság, hibakeresés, használat-elemzésGDPR Art. 6(1)(f) — jogos érdek**Workspace fájlok (Ügyféladatok)**A felhasználó által feltöltött dokumentumok, képek, videók, hangokA szolgáltatás funkcióinak biztosítása, kizárólag az Ön nevébenGDPR Art. 6(1)(b)**AI chat tartalom**Chat üzenetek, AI válaszok, vektor-beágyazások (embedding)AI chat és vektor-keresési funkciókGDPR Art. 6(1)(b)**WhatsApp üzenetek** *(ha aktív)*Bejövő/kimenő üzenetek, hangüzenet-átiratokWhatsApp Web bridge integrációGDPR Art. 6(1)(b)**Hangrögzítések (narráció és átirat)** *(ha aktív)*Mikrofon-rögzített audio, generált beszédVoice chat funkciókGDPR Art. 6(1)(b)**Pénzügyi adatok**Stripe customer ID, tranzakció-azonosító, számlázási adatokElőfizetés-kezelés, számlázásGDPR Art. 6(1)(b) + 6(1)(c) (számviteli kötelezettség)**Süti adatok**XSRF-TOKEN, laravel\_sessionBejelentkezés, biztonság (CSRF védelem)ePrivacy 5(3) — technikailag szükséges, mentesülés a hozzájárulás alól**Analitikai esemény-adatok**Oldal-megtekintés, kattintási út, eseménynév; User-Agent + dátum hash-éből 24 óránként újragenerált anonim azonosító (cookieless)Szolgáltatás-minőség mérése, hibák felderítése, használati trendekGDPR Art. 6(1)(f) — jogos érdek**Marketing** *(csak opt-in alapján)*E-mail címMarketing tájékoztatókGDPR Art. 6(1)(a) — hozzájárulás Jogos érdekeink közé tartozik a szolgáltatásunk felügyelete a biztonságos és megfelelő működés érdekében, valamint a használati trendek elemzése a funkciók és a felhasználói élmény javítása céljából. ### 2.1 Sütitábla A szolgáltatás csak az alábbi, **technikailag szükséges** sütiket helyezi el a felhasználó eszközén. Analitikai, marketing vagy harmadik-fél tracking sütit **nem** alkalmazunk. Süti névCélÉlettartamForrás`XSRF-TOKEN`CSRF támadás elleni védelem (Laravel session token)Session (max 2 óra)1st party (aidoboz.hu)`laravel_session`Bejelentkezés / munkamenet állapotSession (max 2 óra)1st party (aidoboz.hu)Cloudflare Turnstile challenge cookie (`cf_chl_*`)Bot-elleni védelem regisztráció / bejelentkezés flow-banSession / max 30 percCloudflare (sub-processor) Mivel csak a szolgáltatás működéséhez technikailag szükséges sütiket alkalmazunk, az ePrivacy irányelv 5(3) cikke értelmében **nem kérünk sütihasználati hozzájárulást** — jelen tájékoztatás kielégíti a jogszabályi követelményt. ### 2.2 Süti-mentes analitika A weboldal **PostHog** termékhasználati analitikát alkalmaz **cookieless mode** módban: nem állít be sütit, nem hoz létre perzisztens kliens-oldali azonosítót, és nem fingerprint-eli a böngészőt. A PostHog naponta változó, anonim session-azonosítót (`distinct_id`) generál a User-Agent + dátum hash-éből, kizárólag a mérési időszak (~24 óra) erejéig. Az IP-címet a PostHog backend a project-szintű `anonymize_ips` beállítás miatt az ingestion-kor eldobja, így sem a `distinct_id` képzéséhez, sem a tárolt eseményekben nem szerepel. Mivel nincs terminal-equipment storage (süti, localStorage, sessionStorage), az ePrivacy irányelv 5(3) cikke **nem alkalmazandó** — nem szükséges hozzájárulás. A feldolgozás jogalapja **GDPR Art. 6(1)(f) — jogos érdek**: a szolgáltatás minőségének mérése, hibák felderítése, használati trendek elemzése. Az adatok az **EU régióban (Frankfurt)** kerülnek tárolásra; a PostHog retention 90 nap. A felhasználó bármikor opt-out-olhat a `Do-Not-Track` HTTP fejléc beállításával vagy ad-blocker / privacy-böngésző használatával. ## 3. Adatmegőrzés Személyes Adatait csak a szükséges ideig őrizzük meg: - **Fiókadatok** (név, email, jelszó hash, 2FA secret, passkey): a fiók aktív állapotáig, majd a felhasználói törlési kérelmet követő 30 napos visszavonási ablak után véglegesen törölve. - **Számviteli adatok** (számlák, tranzakciók, számlázási cím): a magyar számviteli törvény (Sztv. 169. §) szerint **8 évig** megőrzve; ezeket törlés helyett **anonimizáljuk** (név → "\[anonimizált\]", felhasználói azonosító → null, megőrizve a pénzügyi adatokat). - **AI chat tartalom** (üzenetek, vektor-beágyazások): a fiók aktív állapotáig, vagy amíg a felhasználó nem törli a thread-et. Fióktörléskor minden chat-thread és üzenet azonnal és véglegesen törlésre kerül. - **Workspace fájlok**: a felhasználói törlés után 30 napig a kuka-mappában maradnak (visszaállíthatók), utána véglegesen törölve a MinIO-ból. - **Használati / centralizált log adatok**: 30 nap (WhatsApp-specifikus logokat 7 nap). A logokból a személyes adatok (e-mail, jelszó, hozzáférési tokenek) automatikus szűrésen mennek keresztül a betárolás előtt. - **WhatsApp üzenetek**: legfeljebb 90 nap a session DB-ben + 7 nap a centralizált logokban. - **PostHog analitikai események**: 90 nap után a PostHog automatikusan törli őket. - **Backup snapshotok**: a napi pg\_dump + mysqldump fájlok az AWS S3 Frankfurt régióban (EU) titkosítva 30 napig megőrződnek, utána lifecycle policy alapján törlődnek. - **Consent időbélyegek (audit)**: 5 év elévülési időre megőrizve; fióktörlés után az érintett személy beazonosíthatatlanul. ## 4. Adatfeldolgozás és Adattovábbítás Az Ön adatait magyarországi csapatunk és az alább felsorolt harmadik fél szolgáltatók dolgozzák fel. Minden adatfeldolgozónkkal Adatfeldolgozási Szerződést (DPA) kötöttünk annak biztosítására, hogy az Ön adatait azonos szintű gondossággal és a GDPR-nak megfelelően kezeljék. ### Infrastruktúra-szolgáltatók SzolgáltatóCélHelyszínDPA / Adatvédelmi TájékoztatóRackForest Zrt.Elsődleges tárhely, virtuális szerverBudapest, Magyarország (EU)[Link](https://rackforest.com/hu/adatvedelmi-nyilatkozat/)Amazon Web Services (AWS)Adatbázis biztonsági mentés (napi pg\_dump + mysqldump titkosított ZIP-ben), 30 napos megőrzéseu-central-1 (Frankfurt, Németország, EU)[Link](https://aws.amazon.com/compliance/eu-data-protection/) ### Fizetés és számlázás SzolgáltatóCélHelyszínDPAStripeBankkártyás fizetésfeldolgozásGlobális (EU-USA DPF megfelelőség)[Link](https://stripe.com/privacy) + [DPA](https://stripe.com/legal/dpa)Számlázz.hu (KBOSS.hu Kft.)E-számla kiállításaBudapest, Magyarország (EU)[Link](https://www.szamlazz.hu/szamla/adatvedelem) ### Kommunikáció SzolgáltatóCélHelyszínDPAPostmark (ActiveCampaign Inc.) — egyetlen email-szolgáltató (Mailgun / Amazon SES nincs használatban)Tranzakciós e-mail küldés (regisztráció, jelszó, számla, riasztások)EU régió (EU-USA DPF megfelelőség)[Link](https://postmarkapp.com/privacy-policy)Meta (WhatsApp Business)WhatsApp Web bridge — amennyiben a felhasználó használja a WhatsApp integrációt, az üzenetei a Meta WhatsApp infrastruktúráján mennek átGlobális (EU-USA DPF megfelelőség)[Link](https://www.whatsapp.com/legal/privacy-policy-eea) ### Biztonság SzolgáltatóCélHelyszínDPACloudflare (Turnstile, Workers / Images)Bot-elleni védelem regisztráció / bejelentkezés flow-ban; képek hátterének eltávolítása (a kép csak a kérés idejére kerül feldolgozásra, nem tárolódik)EU + USA (EU-USA DPF megfelelőség)[Link](https://www.cloudflare.com/privacypolicy/) ### Egyszeri bejelentkezés (Single Sign-On) SzolgáltatóCélHelyszínDPAGoogle (Sign in with Google)OAuth 2.0 bejelentkezés — csak az e-mail cím és a profilkép kerül átadásraGlobális (EU-USA DPF megfelelőség)[Link](https://policies.google.com/privacy) > Más OAuth identity-szolgáltatókat (Facebook, Twitter, GitHub, LinkedIn) **nem kínálunk** — kizárólag a Google. ### Analitika SzolgáltatóCélHelyszínDPAPostHog Inc.Süti-mentes termékhasználati analitikaeu.i.posthog.com (Frankfurt, Németország, EU régió)[Link](https://posthog.com/dpa) Az adatok elsődleges tárolása az **Európai Unión belül** történik. A globális szolgáltatókkal (Stripe, Cloudflare, Google, PostHog) az EU-USA Adatvédelmi Keretrendszer (DPF) biztosítja a GDPR-szintű védelmet. ## 5. MI és LLM Al-feldolgozók Minden MI/LLM kérés a saját üzemeltetésű **`zdr-proxy`** szolgáltatáson keresztül a Vercel AI Gateway felé halad. A proxy **Zero Data Retention (ZDR)** jelzőt csatol minden kérelemhez, így a Vercel AI Gateway csak ZDR-megfelelő szolgáltatókhoz irányítja a kéréseket. Ez azt jelenti, hogy az MI-szolgáltatók **nem tárolják** a hozzájuk küldött tartalmat sem AI-tanításra, sem audit célra a kérés feldolgozási idején túl. Kivétel: a beszéd-felismerés (hangüzenetek, videófeliratok), a szövegfelolvasás és egyes multimodális Gemini-kérések a `zdr-proxy`-ból **közvetlenül a Google Vertex AI-hoz** mennek, a Vercel AI Gateway nélkül. Ezeknél az adatmegőrzés-mentességet a Google Cloud projektünk adatkezelési beállításai biztosítják: a Google a tartalmat a kérés feldolgozásán túl nem tárolja, és nem használja MI-tanításra. **Explicit használt MI-szolgáltatók:** MI-szolgáltatóCélHelyszínAdatkezelési SzabályzatGoogle (Gemini)LLM válaszgenerálás, beágyazás (embedding), beszéd-felismerés (WhatsApp hangüzenet-átirat, videók hangsávjának átírása feliratozáshoz)Globális (EU-USA DPF megfelelőség)[Link](https://policies.google.com/privacy)OpenAILLM válaszgenerálásGlobális (EU-USA DPF megfelelőség)[Link](https://openai.com/policies/row-privacy-policy/)AnthropicLLM válaszgenerálásGlobális (EU-USA DPF megfelelőség)[Link](https://www.anthropic.com/legal/privacy)DeepInfraModell-inferenciaGlobális (EU-USA DPF megfelelőség)[Link](https://deepinfra.com/privacy)Vercel AI GatewayKérés-útválasztás (ZDR kikényszerítés)Globális (EU-USA DPF megfelelőség)[Link](https://vercel.com/legal/privacy-policy) **Fallback ZDR-megfelelő szolgáltatók:** A Vercel AI Gateway terheléselosztási vagy rendelkezésre-állási okból a kérést a fenti szolgáltatókon túl további ZDR-megfelelő providerekhez is irányíthatja: **Azure OpenAI, AWS Bedrock, Groq, Fireworks AI, Together AI, Mistral, Nebius, Cerebras, Parasail, Baseten**. Mindegyikre ugyanaz a ZDR-policy érvényes — az adat kizárólag a kérés feldolgozási idejére kerül a szolgáltatóhoz. A teljes, naprakész lista a oldalon érhető el. ## 6. Automatizált Döntéshozatal MI és LLM szolgáltatásokat használunk olyan funkciókhoz, mint az automatizált tartalomgenerálás és adatelemzés. Bár ezek az eszközök automatizált feldolgozást foglalnak magukban, **nem vesznek részt** olyan automatizált döntéshozatalban, amely joghatással járna Önre nézve vagy hasonlóan jelentősen érintené Önt. Minden jelentős döntés emberi felügyelettel történik. ## 7. Az Ön GDPR Jogai Önnek a GDPR alapján joga van: 1. **Hozzáféréshez** — Másolatot kérni az általunk tárolt személyes adatairól. *Gyakorlása*: bejelentkezés → My Profile → **"Adatok exportálása"** gomb; a kért ZIP letöltési linket e-mailben küldjük, 72 órán át érvényes. 2. **Helyesbítéshez** — Kérni a pontatlan vagy hiányos adatok helyesbítését. *Gyakorlása*: My Profile → **"Személyes adatok"** szekció (név, email módosítás). 3. **Törléshez (az elfeledtetéshez való jog)** — Kérni adatai törlését, ha nincs nyomós ok a további kezelésükre. *Gyakorlása*: My Profile → **"Veszélyzóna" → "Fiók törlése"**. A kérelmet 30 napos visszavonási ablak után véglegesítjük; számviteli adatok anonimizálva 8 évig megőrzendők. 4. **Az adatkezelés korlátozásához** — Kérni személyes adatai kezelésének felfüggesztését. *Gyakorlása*: írjon a `dpo@aidoboz.hu` címre. 5. **Adathordozhatósághoz** — Kérni adatait strukturált, géppel olvasható (CSV + JSON) formátumban. Ugyanaz a felület, mint a Hozzáférés (My Profile → Adatok exportálása). 6. **Tiltakozáshoz** — Marketing célú adatkezelés ellen: My Profile → **"Adatvédelmi beállítások" → marketing opt-out**. Egyéb tiltakozás: `dpo@aidoboz.hu`. 7. **A hozzájárulás visszavonásához** — A marketing opt-in bármikor visszavonható (My Profile → Adatvédelmi beállítások). Az ÁSZF és Adatvédelmi Tájékoztató elfogadását fiók megtartása mellett nem lehet visszavonni; visszavonáshoz a fiókot is törölni kell. 8. **Az automatizált döntéshozatallal kapcsolatos jogokhoz** — Mivel nem alkalmazunk joghatással bíró automatizált döntéshozatalt (6. szakasz), ez gyakorlatilag tárgytalan; általános kérdésekkel forduljon a `dpo@aidoboz.hu` címhez. Egyéb jogi vagy panaszügyekben kérjük, vegye fel a kapcsolatot Adatvédelmi Tisztviselőnkkel a **** címen. A kérelmekre a GDPR Art. 12(3) szerint **30 napon belül** válaszolunk. ## 8. Panasztételi Jog Ha bármilyen aggálya van személyes adatai felhasználásával kapcsolatban, joga van panaszt tenni a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH). Az EU más országaiban élő felhasználók a helyi adatvédelmi hatóságukhoz is fordulhatnak. - **Cím:** 1055 Budapest, Falk Miksa utca 9-11. - **Weboldal:** - **E-mail:** ## 9. Biztonság, Gyermekek Adatvédelme és Külső Linkek Robusztus biztonsági intézkedéseket alkalmazunk adatai védelme érdekében: HTTPS + HSTS minden külső forgalomra, jelszó-hash bcrypt-tel, két-faktoros hitelesítés és passkey támogatás, hozzáférés-naplózás, encryption-at-rest a Postgres és MinIO data dir szerver-szintű LUKS titkosításával, Cloudflare Turnstile bot-védelem, a Loki és alkalmazás-log szintű automatikus PII-szűrés, a Telescope debug-eszközben kötelező hitelesítőadat-redakció. Egyetlen módszer sem 100%-ban biztonságos. Szolgáltatásunk **nem 18 éven aluli** gyermekeknek szól, és tudatosan nem gyűjtünk tőlük adatokat. Oldalunk tartalmazhat külső oldalakra mutató linkeket, amelyekért nem vállalunk felelősséget. ## 10. Változások és Kapcsolatfelvétel Jelen Adatvédelmi Tájékoztató technikai verzió-azonosítója: **`2026-05-15`** — a regisztráció és a verzió-bumpok ezt rögzítik a felhasználói rekordban (Art. 7 bizonyíthatóság). Kérdéseivel forduljon hozzánk bizalommal az **** címen, adatvédelmi tárgyú megkereséssel a **** címen.