Adatkezelési tájékoztató

Adatkezelő: Kódvéna (a továbbiakban: Adatkezelő). Kapcsolat adatvédelmi ügyekben: e-mail cím megjelenítése. Web: kodvena.hu.

A cégjegyzékben szereplő azonosító adatok (cégnév, székhely, adószám) a számlán és a szerződésen a mindenkori kibocsátói adatok szerint szerepelnek. Külön adatvédelmi tisztviselőt (DPO) jelenleg nem vagyunk kötelesek kijelölni; a megkereséseket a fenti e-mail címen fogadjuk.

Az adatkezelésre a GDPR (2016/679 EU rendelet), az Infotv. (2011. évi CXII. törvény) és az elektronikus hírközlésről szóló törvény sütikre vonatkozó szabályai (Eht., ePrivacy) irányadók.

• Fiókadatok: név, e-mail, opcionális telefonszám, jelszó (csak visszafejthetetlen, sózott hash), ÁSZF- és adatkezelés-elfogadás ideje és verziója, e-mail-megerősítés ideje.
• Profilkép és aláírás: ha feltöltöd, a profilkép és (admin esetén) a kézírásos aláírás képe. Az aláírás az árajánlaton és a szerződésen jelenik meg.
• Számlázási profil: magánszemély/cég, név, cím, adószám, közösségi adószám, e-mail, telefon.
• Igényfelvétel: a beszélgetés szövege, csatolt fájlok (kép, videó, hang, dokumentum), hangüzenet, a felmérés mezői, IP-cím a visszaélés ellen.
• Projekt- és ticketadatok: üzenetek, feladatok, fájlok, szerver- és belépési adatok (titkosítva), időbejegyzések.
• Ajánlat, szerződés, fizetés: tételek, összegek, határidők, elfogadás/elutasítás, aláírás képe, aláírás ideje és IP-címe, PayPal-azonosítók, nyugta és számla.
• Biztonsági adatok: belépések ideje, IP-cím, böngésző/eszköz, munkamenetek, 2FA titok (titkosítva), audit napló.
• Értesítések: e-mail, SMS, böngésző push-feliratkozás, értesítési beállítások.
• Kampányok (csak admin): teszt e-mail/SMS küldés a megadott címre, leadgyűjtés nyilvános forrásból.
• Látogatottsági statisztika: oldal, landing, hivatkozó, keresőszó, UTM, ország, város, régió, IP-cím, internetszolgáltató, eszköz/böngésző, nyelv, munkamenet-azonosító. A saját mérés a süti-sávtól függetlenül indul.

• Szerződés teljesítése (GDPR 6. cikk (1) b): fiók, igényfelvétel, árajánlat, szerződés, fizetés, ticket, projekt, nyugta.
• Jogi kötelezettség (6. cikk (1) c): számviteli bizonylatok őrzése, számlázás, fogyasztóvédelmi és adójogi kötelezettségek.
• Jogos érdek (6. cikk (1) f): visszaélés megelőzése, botvédelem (Turnstile), biztonsági napló, audit, rendszerüzemeltetés, jogosulatlan belépés észlelése, a saját webhely látogatottságának mérése (oldal, forrás, eszköz, IP, hozzávetőleges hely). Érdekmérlegelés: a fiók, a rendszer és a szolgáltatás fejlesztésének védelme, az érintett érdekeivel arányosan.
• Hozzájárulás (6. cikk (1) a, ePrivacy): külső statisztikai és marketing sütik (lásd: Sütik), opcionális marketing üzenet, push-értesítés. A hozzájárulás bármikor visszavonható a süti-beállításokból vagy a fiókból.

Csak a feladatukhoz szükséges adatot kapják. Jelenlegi, tipikus partnerek:

• Resend – tranzakciós e-mail küldése (EU/US, szerződéses adatfeldolgozás).
• PayPal – online fizetés; a PayPal saját adatkezelőként is eljár a fizetéshez. Adatkezelési tájékoztatójuk a paypal.com-on érhető el.
• BIP Kampány – SMS küldése, ha kéred vagy az értesítés SMS-csatornája be van kapcsolva.
• Valós idejű üzenetkezelő (Pusher-protokoll) – élő ticket- és állapotfrissítés.
• Cloudflare, Inc. (USA) – hálózati és védelmi szolgáltató: tartalomkiszolgálás, DNS, DDoS-védelem, valamint a Turnstile botvédelem a belépésnél, a regisztrációnál és az ingyenes eszközöknél.
• Google Ireland Ltd. (Google LLC, USA) – Google Analytics látogatottsági statisztika és Google Ads hirdetésmérés, csak süti-hozzájárulással. Az USA-ba történő továbbítás az EU–USA adatvédelmi keretrendszer (Data Privacy Framework) alapján.
• Meta Platforms Ireland Ltd. (Meta Platforms, Inc., USA) – Meta Pixel hirdetésmérés, csak süti-hozzájárulással. Az USA-ba történő továbbítás az EU–USA adatvédelmi keretrendszer alapján.
• TikTok Technology Limited (Írország) – TikTok Pixel hirdetésmérés, csak süti-hozzájárulással. EU-n kívüli továbbítás az Európai Bizottság általános szerződési feltételei alapján.
• Hibakövetés (Sentry) – ha be van kapcsolva, technikai hibajelentés, lehetőleg személyes adat nélkül.
• Kereső (Meilisearch) – a portálon belüli keresés, a saját szerveren.
• Contabo GmbH (München, Németország) – tárhelyszolgáltató: a Szolgáltatás futtatása (VPS); a fájlok a saját, titkosított tárhelyen vannak.
• ipwho.is – a látogató IP-címéből hozzávetőleges hely (ország, város, régió, szolgáltató). A lekérés a háttérben, rövid időkorláttal történik; ha nem válaszol, a mérés ettől függetlenül megmarad.
• MI-szolgáltatók: Cursor (Anysphere, Inc., USA) és Claude (Anthropic, PBC, USA) – igényfelvétel, az ingyenes eszközök (pl. látványterv) és a fejlesztői futtatás: a beszélgetés és a kért feladat szövege a modellnek továbbítódhat a válaszhoz. Ne adj meg jelszót a chatben.

Harmadik országba (EEA-n kívülre) adattovábbítás csak megfelelő garanciával (például standard szerződéses klauzulák) történik, ha az adott partner ezt igényli. A PayPal és egyes e-mail/AI szolgáltatók az Egyesült Államokban is kezelhetnek adatot.

Hatóságnak csak jogszabályi kötelezettség alapján adunk ki adatot.

• Fiók- és projektadatok: a fiók törléséig, illetve a szerződéses kapcsolat végéig.
• Igényfelvétel (vendég): a beszélgetés a munkamenet-süti élettartamáig, majd a leadott igény a projekt részeként.
• Biztonsági és belépési naplók: jellemzően 12 hónap.
• Audit napló: a rendszer védelme és a viták tisztázása érdekében hosszabb ideig, de nem korlátlanul.
• Számviteli bizonylatok (számla, nyugta, szerződés): a számviteli törvény szerint legalább 8 év.
• Süti-hozzájárulás: 12 hónap, utána újra kérdezünk; a szabályzat lényeges változásakor is.
• Látogatottsági események: jellemzően 24 hónap, utána törölhetők.
• Aláírás-kép: a kapcsolódó ajánlat/szerződés megőrzéséig.

Kérhetsz tájékoztatást, hozzáférést, helyesbítést, törlést, az adatkezelés korlátozását, adathordozhatóságot, és tiltakozhatsz a jogos érdeken alapuló kezelés ellen. A hozzájárulást bármikor visszavonhatod a jövőre nézve. A kérést a e-mail cím megjelenítése címen vagy a belépett fiókból (profil, számlázás, süti-beállítások) intézheted. Válasz: 30 napon belül.

Panasz: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9–11., naih.hu, [email protected]. Bírósághoz is fordulhatsz.

Törlés korlátai: a számviteli és adójogi megőrzés, a folyamatban lévő jogvita és a biztonsági kötelezettségek miatt egyes adatokat a törlési kérelem után is meg kell tartanunk, amíg a jogalap fennáll.

A jelszavakat soha nem tároljuk és nem naplózzuk olvashatóan. A belépési titkokat titkosítva tároljuk, az admin felületen maszkolva jelennek meg. A fájlokat privát lemezen, véletlen névvel, tartalom szerinti típusszűréssel és – ha be van kapcsolva – kártevő-ellenőrzéssel kezeljük. A lényeges műveleteket módosíthatatlan audit naplóban rögzítjük. HTTPS-t használunk. Nincs tökéletes biztonság; a gyanús belépésről értesítünk.

A sütikre a GDPR és az Eht. 155. § vonatkozik: a működéshez nem szükséges sütikhez (külső statisztika: Google Analytics; marketing: Google Ads, Meta és TikTok Pixel) előzetes hozzájárulás kell, ezeket csak elfogadás után töltjük be. A döntést a nyilvános oldalakon egy rövid kérdésben kérjük (Mindet elfogadom / Beállítom vagy elutasítom), és a lábléc „Süti-beállítások” linkjén kategóriánként bármikor módosíthatod; visszavonáskor a mérés leáll, és a hozzájuk tartozó sütiket töröljük. A döntés 12 hónapig érvényes.

Döntés előtti események: amíg nem döntöttél, a megnézett oldalakat és az oldalon tett lépéseidet (pl. ajánlatkérő gomb) a böngésződ munkamenet-tárolója őrzi a lap bezárásáig, külső félhez nem kerülnek. Ha elfogadod, ezek ekkor mennek ki a kiválasztott szolgáltatóknak; ha elutasítod, törlődnek. Az igény beküldését és a regisztrációt a szerverünk legfeljebb 7 napig őrzi ugyanígy, majd törli.

Szükséges (mindig aktív): belépési munkamenet, CSRF-védelem, „Maradjak bejelentkezve”, az igényfelvétel folytatása (kva_intake), a süti-döntés megjegyzése (kva_consent). Ezek nélkül a belépés, a biztonság és az űrlapok nem működnek. Az „E-mail cím megjegyzése” a böngésző helyi tárolójában van, nem süti.

Saját statisztika (süti-sávtól függetlenül): oldalnézet, landing lépések, hivatkozó, keresőszó, UTM, ország/város, IP-cím, böngésző/eszköz, nyelv. A mérés első féltől származik, a böngésző helyi tárolójában lévő látogató- és munkamenet-azonosítóval. A hozzávetőleges helyet (város, régió, szolgáltató) az IP alapján, háttérben kérjük le.

Külső statisztika – Google Analytics (csak hozzájárulással): a nyilvános oldalakon (az ügyfélportálon és az adminban nem) látogatottsági statisztika: megnézett oldalak, hivatkozó, eszköz, böngésző, hozzávetőleges hely. Sütik: _ga és _ga_*, legfeljebb 2 évig. A Google Analytics az IP-címet nem tárolja. Visszavonáskor a mérés leáll, és a sütiket töröljük.

Marketing – Google Ads, Meta és TikTok Pixel (csak hozzájárulással): a nyilvános oldalakon a Google-, Facebook-, Instagram- és TikTok-hirdetéseink mérése és személyre szabása (remarketing): megnézett oldalak, hirdetésből érkezés, eszköz. Sütik: _gcl_* (legfeljebb 90 napig), _fbp (legfeljebb 90 napig) és _ttp (legfeljebb 13 hónapig). Az igény beküldésekor és a regisztrációkor a TikToknak és a Metának a szerverünkről is jelezzük az eseményt; ilyenkor az e-mail címed, a telefonszámod és a fiókazonosítód csak visszafejthetetlen kivonatként (SHA-256), az IP-címmel és a böngésző azonosítójával együtt megy ki, a hirdetés és az esemény összekapcsolásához (csak marketing-hozzájárulással). Visszavonáskor a mérés leáll, és a sütiket töröljük.

A kérdés a nyilvános oldalakon akkor jelenik meg, amikor legalább egy képernyőnyit görgetsz, vagy legkésőbb 10 másodperc múlva (rövid oldalon 5 másodperc múlva). Az ügyfélportálon és az adminban nincs külső mérés, ott nem kérdezünk.

A Kódvéna Captcha az ügyfeleink weboldalain (és a saját űrlapjainkon) védi az űrlapokat a spamtől és a botoktól. Az ügyfél weboldalán az adatkezelő a weboldal üzemeltetője, a Kódvéna az ő megbízásából adatfeldolgozóként jár el; a saját oldalainkon mi vagyunk az adatkezelő. Jogalap: a weboldal üzemeltetőjének jogos érdeke a visszaélések kiszűrésében (GDPR 6. cikk (1) f). Sütit nem használ.

Mit vizsgál: a kérés IP-címét, a böngésző technikai adatait (böngészőazonosító, nyelv, időzóna, képernyőméret, a grafikus megjelenítő típusa, egy rajzolási próba kivonata), hogy a böngésző automatizált-e, és az oldalon végzett interakciók számát (egérmozgás, billentyű, görgetés darabszáma, tartalom nélkül). Kirakósnál a csúszka mozgásának időpontjait és koordinátáit. Az IP-címből hozzávetőleges helyet és szolgáltatót kérünk le (ipwho.is, lásd fent).

Mit tárolunk és meddig: az eseménynaplóban az IP-cím helyett annak visszafejthetetlen kivonatát és maszkolt tartományát (pl. 203.0.113.0/24), az országot, a szolgáltatót, a böngésző és az eszköz típusát, a kockázati pontszámot és annak okait, 90 napig. Az ellenőrzés tokenje 5 percig, a visszaélés-számlálók legfeljebb 1 óráig élnek. A látogatóról profilt nem építünk, az adatokat más célra nem használjuk.

Az általunk készített és üzemeltetett weboldalakon a Kódvéna weboldal-kódja süti nélkül méri a látogatottságot, a weboldal üzemeltetőjének megbízásából (ő az adatkezelő, mi adatfeldolgozóként járunk el). Jogalap: az üzemeltető jogos érdeke a weboldal használatának megismerésében (GDPR 6. cikk (1) f).

Mit tárolunk: a megnézett oldalt, a hivatkozó oldal címét (domain), az UTM-forrást, hogy a látogatás belépés volt-e, az eszköz, a böngésző és a rendszer típusát, a hozzávetőleges helyet (ország, város, a város kerekített koordinátái) és egy naponta változó sóval képzett, visszafejthetetlen látogatóazonosítót. Az IP-címet nem tároljuk: a helyet a kérés pillanatában a Cloudflare országjelzéséből, illetve az ipwho.is-től kérjük le, és csak az eredményt őrizzük meg. A látogatóról profilt nem építünk; az adatokat az üzemeltető összesítve látja.

A videóhoz a megadott webcímet, a weboldal nyilvános tartalmának vázlatát, a választott beállításokat (hang, zene, kiemelési kérés), a kért módosítások szövegét és az IP-cím, illetve a böngésző visszafejthetetlen kivonatát (napi keret és visszaélés-szűrés) tároljuk. Ha értesítést kérsz, az e-mail címedre egyszer levelet küldünk a kész videóról; másra nem használjuk.

Megőrzés: a videó és az adatai 30 napig érhetők el a megosztható linken, utána a videófájlokat töröljük. A weboldalt egy elkülönített böngésző nyitja meg: űrlapot nem küld, nem jelentkezik be, és a mérőkódokat (analitika, hirdetés) nem tölti be. Jogalap: a kérésedre nyújtott szolgáltatás (GDPR 6. cikk (1) b), az értesítő levélnél a hozzájárulásod (6. cikk (1) a).

A fórum hozzászólásai nyilvánosak: belépés nélkül is olvashatók a kodvena.hu/forum oldalon, és a keresők is indexelhetik őket. A nyilvános nézetben a neved helyett csak a családneved kezdőbetűje és a keresztneved látszik (pl. „K. Anna”), az üzenetben szereplő e-mail címeket és telefonszámokat kitakarjuk, a csatolmányok és a reakciók nevei csak belépve látszanak. A munkatársaink teljes névvel szerepelnek.

Jogalap és törlés: a fórum használata a szolgáltatás része (GDPR 6. cikk (1) b); a saját hozzászólásodat bármikor törölheted, ekkor a nyilvános nézetből is eltűnik (a gyorsítótár miatt legfeljebb néhány percen belül).

Az ingyenes weboldal-ellenőrző eredményoldalán feliratkozhatsz arra, hogy 30 naponta újraellenőrizzük a vizsgált címet, és e-mailben elküldjük az eredményt (előző és új pontszám, a legfontosabb teendők, link a riportra). Ehhez az e-mail címedet, a vizsgált webcímet, a pontszámokat, a feliratkozás és a levelek idejét, valamint az IP-cím visszafejthetetlen kivonatát (visszaélés-szűréshez) tároljuk.

Jogalap és időtartam: a hozzájárulásod (GDPR 6. cikk (1) a), amelyet a levelekben lévő linkkel egy kattintással visszavonhatsz; ekkor a feliratkozás adatait töröljük, és több levelet nem küldünk. Havonta legfeljebb egy levelet kapsz címenként, más célra (pl. hírlevélre) az adatot nem használjuk.

A https://kodvena.hu/mcp címen nyilvános MCP szerver működik: nyelvi modellre épülő (LLM) asszisztensek (pl. ChatGPT, Claude) ezen keresztül olvashatják a weboldal nyilvános tartalmát (szolgáltatások, GYIK, blog), és a felhasználó kérésére igényleadást indíthatnak. Belépés és fiók nem kell hozzá, sütit nem használ, személyes adatot nem kér.

Igényleadás: ha a felhasználó azt kéri, az asszisztens átadja nekünk az igény összefoglalóját (pl. milyen weboldal kell, milyen funkciókkal). Ebből egy egyszer használható link készül; az összefoglalót 7 napig tároljuk, ha a felhasználó nem nyitja meg, utána törlődik. A linken a felhasználó a saját döntése szerint folytatja az igényfelmérést; ettől kezdve az igényfelmérésre vonatkozó szabályok érvényesek. Jogalap: a felhasználó kérésére a szerződés előkészítése (GDPR 6. cikk (1) b).

Ingyenes eszközök az asszisztensből: ha a felhasználó egy ingyenes eszközt kér (pl. weboldal-ellenőrzés, domainkeresés, AI bemutatóvideó, adatkezelési tájékoztató vagy ÁSZF vázlat), az asszisztens által átadott adatokat ugyanúgy kezeljük, mint ha a felhasználó a weboldalon, az adott eszközben adta volna meg (lásd az adott eszköz szakaszát); az eredmény egy kodvena.hu linken érhető el.

Napló: a visszaélések kiszűrésére a kérések IP-címét legfeljebb 1 óráig használjuk (kérésszám-korlát), a szervernapló a használt eszköz nevét és a válaszidőt rögzíti. Az asszisztens szolgáltatója (pl. OpenAI, Anthropic) a saját adatkezelési szabályai szerint kezeli a beszélgetést; arra nincs ráhatásunk.

Ha a belépésnél vagy a regisztrációnál a „Folytatás Google-fiókkal” vagy a „Folytatás Facebookkal” gombot választod, a Google (Google Ireland Ltd.) vagy a Meta (Meta Platforms Ireland Ltd.) a te engedélyeddel átadja nekünk a nevedet, az e-mail címedet és a nálunk használt felhasználói azonosítódat. Jogalap: a szerződés (a fiók) létrehozása és teljesítése (GDPR 6. cikk (1) b).

A fiókodhoz csak a szolgáltató azonosítóját és az e-mail címet kötjük; a Google- vagy Facebook-jelszavadat soha nem látjuk, és a szolgáltató hozzáférési tokenjét sem tároljuk, más adatot (ismerősök, bejegyzések) nem kérünk le. Ha a Google vagy a Facebook e-mail címe egy meglévő fiókunkéval egyezik, a belépés ahhoz a fiókhoz kapcsolódik. A kapcsolat a fiók törlésével megszűnik; a szolgáltatónál az alkalmazás hozzáférését te magad is visszavonhatod.

Ha a Kódvéna Facebook-oldalának Messengeren írsz, az igényfelmérő asszisztensünk válaszol (nyelvi modell, LLM). Az adatkezelő a Kódvéna. Jogalap: a te kérésedre, a szerződés megkötését megelőző lépések (GDPR 6. cikk (1) b), valamint a visszaélések megelőzésében fennálló jogos érdekünk (6. cikk (1) f).

Mit kezelünk: a Messenger által adott oldal-szintű azonosítódat (PSID; a neved és a profilod nem kérjük le), az üzeneteid szövegét, az asszisztens válaszait és az igényfelmérés során összegyűlt adatokat. Képet, hangot és fájlt Messengeren nem dolgozunk fel. Az üzenetek a válaszadáshoz az MI-szolgáltatóinkhoz kerülnek (lásd az adatfeldolgozóknál); a Meta Platforms Ireland Ltd. a Messenger szolgáltatójaként a saját adatkezelési tájékoztatója szerint kezeli a beszélgetést.

Fiók-összekötés (csak ha kéred): meglévő ügyfélként az asszisztens egy egyszer használható, 30 percig érvényes linket küld; a kodvena.hu-n belépve összekötheted a Messenger-beszélgetést a fiókoddal. Ekkor a PSID mellé a fiókod azonosítóját is tároljuk, az asszisztens pedig kizárólag a saját projektjeid állapotáról (ticketek, árajánlatok, fizetések) ad tájékoztatást, és a jóváhagyásod után ticketet nyit a projektedben. Az összekötést a Messengerben a „leválasztás” szóval bármikor megszüntetheted.

Meddig: a be nem küldött beszélgetéseket az igényfelvétel megőrzési ideje után töröljük; ha az igényt beküldöd, az a projekt adataként kezelendő tovább. A visszaélés-védelmi számlálók legfeljebb egy napig élnek.

Adataid törlése: írd meg Messengeren, hogy „töröljétek az adataimat”, vagy írj az adatvédelmi címünkre: e-mail cím megjelenítése (ha tudod, add meg, mikor írtál az oldalnak). Legkésőbb 30 napon belül töröljük a beszélgetést és a hozzá tartozó azonosítót, és erről visszaigazolást küldünk. A Messengerben lévő másolatot a Facebookon te magad törölheted.

A Szolgáltatás nem 16 év alattiaknak szól, és 18 év alatt nem lehet fiókot nyitni. Ha tudomásunkra jut, hogy gyermek adatait kezeltük hozzájárulás nélkül, töröljük.

A lényeges változásról e-mailben vagy a felületen szólunk. A verziószám és az utolsó módosítás dátuma mindig látszik ennek az oldalnak a tetején és alján. A süti-szabályzat lényeges változásakor a hozzájárulást újra kérjük. Kapcsolódó dokumentum: ÁSZF.