Adatkezelő és megkeresések

Adatkezelő: Full AI Technology Kft. (székhely: 8174 Balatonkenese, Bocskai István utca 68., Magyarország; adószám: 32479078-2-19). Adatvédelmi kapcsolattartó:privacy@kkvzz.hu. A beérkező kérelmekre legfeljebb 30 napon belül válaszolunk. Tevékenységünk mérete és jellege alapján adatvédelmi tisztviselő (DPO) kijelölése nem kötelező, ezért külön DPO-t nem jelöltünk ki; adatvédelmi kérdésekben a fenti címen állunk rendelkezésre.

Két adatkezelői szerep elhatárolása

Fontos megkülönböztetni, mikor milyen szerepben járunk el.

• Adatkezelőként járunk el a saját ügyfeleink (előfizetők, kapcsolattartók), a weboldal látogatói és a megkeresők adatai vonatkozásában – ezekről szól a jelen tájékoztató.
• Adatfeldolgozóként járunk el azon személyes adatok vonatkozásában, amelyeket az Ügyfél (a saját szervezete) tölt fel a modulokba (pl. munkavállalói, ügyfelei, betegei adatai). Ezek kezelését az Adatfeldolgozói megállapodás (DPA) szabályozza, az adatkezelő ilyenkor az Ügyfél.

Kezelt adatok köre

• Nyilvános weboldal: cookie-mentes, első feles webanalitikai eseményadatok (lásd lentebb), valamint biztonsági célú technikai naplóadatok (IP-cím, böngésző típusa, időbélyeg). Az oldalon elérhető kapcsolatfelvételi űrlapon a felhasználó által önként megadott adatokat is kezeljük (lásd lentebb).
• Kapcsolatfelvételi űrlap: cégnév (opcionális), név, email cím, telefonszám (opcionális) és az üzenet szövege.
• Fiók és előfizetés: a bejelentkezéshez és megrendeléshez az email címre, névre, a szervezet nevére és a választott csomagra van szükség; az előfizetés aktiválásához számlázási és fizetési adatok.
• Webalkalmazás-használat: a fiókhoz kötődő szerepkörök, beállítások, valamint az AI-asszisztens igénybevétele esetén a beadott kérdések/utasítások és az azokra adott válaszok (lásd „Mesterséges intelligencia alapú funkciók”).
• Tranzakciós email-naplók (MailerSend): a bejelentkezési/értesítő emailekhez kapcsolódó metaadatok (küldés ideje, cél cím, státusz, IP) audit célra 30 napig.

Megjegyzés: az Ügyfél által a modulokba feltöltött személyes adatok (pl. HR/bér adatok, ügyfél- és beteg-adatok, ezen belül a GDPR 9. cikke szerinti különleges adatok) tekintetében az Ügyfél az adatkezelő, mi pedig adatfeldolgozóként, a DPA szerint járunk el.

Kapcsolatfelvételi űrlap

A nyilvános weboldal kapcsolatfelvételi űrlapján megadott adatokat a megkeresés megválaszolása és a lehetséges üzleti kapcsolatfelvétel céljából kezeljük.

• A beküldött adatok a KKVzz értékesítési (CRM) rendszerébe kerülnek, ahol érdeklődői (lead) bejegyzés jön létre a megkeresés kezeléséhez.
• Jogalap: GDPR 6. cikk (1) f) – jogos érdek (beérkező megkeresések megválaszolása), illetve szerződéskötést megelőző lépésként a 6. cikk (1) b) szerint, ha a megkeresés ajánlatkérésre irányul.
• Megőrzés: a megkereséssel kapcsolatos adatokat a kapcsolat lezárásáig, ezt követően az értékesítési modul adatmegőrzési szabályzata szerint kezeljük; üzleti kapcsolat hiányában az adatokat töröljük vagy anonimizáljuk.
• Az űrlap kitöltése önkéntes; a név és az email cím megadása a válaszadáshoz szükséges, ezek hiányában a megkeresést nem tudjuk feldolgozni.

Adatkezelés jogalapja és célja

• GDPR 6. cikk (1) b) – szerződés teljesítése: a felhasználói fiók létrehozása, a bejelentkezési link kézbesítése, a megrendelés feldolgozása és a szolgáltatás nyújtása.
• GDPR 6. cikk (1) c) – jogi kötelezettség: számviteli és adózási dokumentumok megőrzése.
• GDPR 6. cikk (1) f) – jogos érdek: visszaélések megelőzése, naplózás, incidenskezelés, a szolgáltatás biztonsága és a webanalitika.
• GDPR 6. cikk (1) a) – hozzájárulás: ahol külön hozzájárulást kérünk (pl. opcionális marketing-kommunikáció); a hozzájárulás bármikor visszavonható.

Aladatfeldolgozók és adattovábbítás

A szolgáltatás nyújtásához az alábbi aladatfeldolgozókat vesszük igénybe. Mindegyikkel a GDPR 28. cikke szerinti adatfeldolgozói feltételek vannak érvényben.

• Google Cloud (Google Ireland Ltd.) – az alkalmazás kiszolgálása és a titkosított adatbázis az EU-ban (europe-west4 régió); objektumtárolás (feltöltött dokumentumok), valamint dokumentum-felismerés (Google Cloud Vision OCR) számlák és iratok feldolgozásához.
• Google Vertex AI (Gemini, Google Ireland Ltd.) – az AI-alapú funkciók nyelvi modellje. A feldolgozás EU-régióban (europe-west4) történik. Részletek alább, a „Mesterséges intelligencia alapú funkciók” szakaszban.
• MailerSend (MailerLite Limited, Írország) – tranzakciós email küldés (belépési linkek, értesítések). Adatvédelmi nyilatkozatuk részletezi a GDPR-megfelelést és az alvállalkozókat.
• Barion Payment Zrt. (Magyarország) – online bankkártyás fizetés feldolgozása az előfizetés, az AI-erőforrás és a sportbérlet megrendelésénél. A kártyaadatokat közvetlenül a Barion kezeli (PCI-DSS), azokat mi nem látjuk és nem tároljuk. Barion adatkezelés.
• Hibanaplózás és webanalitika: a kliens- és szerveroldali hibajelentéseket, valamint az első feles, cookie-mentes webanalitikát saját, az EU-ban (Google Cloud) üzemeltetett rendszerünkben kezeljük; külső hibamonitorozó vagy analitikai szolgáltatót nem veszünk igénybe.

Az itt felsorolt aladatfeldolgozók az adatokat az EU-ban (illetve az EU számára megfelelőségi garanciák mellett) kezelik. Az Ügyfél által saját döntése alapján bekapcsolható külső integrációkról (pl. banki, e-aláírási, email-/naptár-szinkron) a DPA rendelkezik; ezek adattovábbítása az Ügyfél utasítására és felelősségére történik.

Mesterséges intelligencia (AI) alapú funkciók

A KKVzz beépített AI-asszisztenst és AI-ügynököket kínál (pl. kérdés-válasz, összegzés, dokumentum-felismerés).

• Az AI-funkciók a Google Vertex AI (Gemini) nyelvi modelljét használják, a feldolgozás EU-régióban (europe-west4) történik – EU-n kívülre e célból nem továbbítunk adatot.
• Az AI-nak átadott tartalom kizárólag az adott kérés megválaszolásához kerül felhasználásra. A modell az adatainkat nem használja a saját betanításához (a Vertex AI vállalati feltételei szerint).
• Az AI-funkciók igénybevétele a felhasználó döntésén múlik; az AI-asszisztensbe ne adjon be olyan adatot, amely a kérés megválaszolásához nem szükséges.
• Az AI-válaszok hibázhatnak; a kimenetet érdemes ellenőrizni. Az AI nem hoz a felhasználóra nézve joghatással járó, kizárólag automatizált döntést.

Első feles, cookie-mentes webanalitika

A weboldal látogatottságát saját, adatvédelem-tudatos analitikával mérjük.

• Nem helyezünk el analitikai vagy marketing cookie-t, és nyers IP-címet nem tárolunk.
• Statisztikai célból napi rotációval képzett, visszafejthetetlen látogatói/munkamenet-azonosító hash-eket, az oldal útvonalát, a hivatkozó domaint, az IP-ből származtatott országot és az aktív időt rögzítjük.
• Jogalap: GDPR 6. cikk (1) f) – jogos érdek (a szolgáltatás fejlesztése és üzemeltetése), arányos, a magánszférát kímélő módon.

Megőrzési idők

• Hozzáférési/biztonsági naplók: 90 nap.
• MailerSend kézbesítési naplók: 30 nap.
• Szerződéses/elszámolási dokumentumok: 8 év (számviteli előírás).
• Inaktív felhasználói fiókok: 12 hónap inaktivitás után – rendszeres felülvizsgálat keretében – töröljük vagy anonimizáljuk, kivéve ha jogi kötelezettség miatt meg kell őrizni. A fiók bármikor önállóan is törölhető.

Érintetti jogok

• Hozzáférés és tájékoztatás kérése a tárolt adataidról.
• Helyesbítés vagy törlés igénylése. A fiók (és tulajdonosként a szervezet) önállóan is törölhető a webalkalmazásban (Előfizetés → Veszélyzóna).
• Az adatkezelés korlátozása.
• Adathordozhatóság: a fiókhoz tartozó személyes adataidat géppel olvasható (JSON) formátumban kérheted; a webalkalmazás Fiók oldalán önkiszolgáló adatexport is elérhető.
• Tiltakozás a jogos érdeken (6. cikk (1) f) alapuló adatkezelés ellen; tiltakozás esetén az adatkezelést megszüntetjük, kivéve, ha azt kényszerítő erejű jogos ok indokolja.
• Hozzájárulás visszavonása, amennyiben az adott adatkezelés hozzájáruláson alapul; a visszavonás a korábbi adatkezelés jogszerűségét nem érinti.
• Panasztétel a felügyeleti hatóságnál: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9-11.; postacím: 1363 Budapest, Pf. 9.; ugyfelszolgalat@naih.hu; naih.hu.

Adatvédelmi incidens

Adatvédelmi incidens esetén – amennyiben az valószínűsíthetően kockázattal jár – indokolatlan késedelem nélkül, legkésőbb 72 órán belül bejelentést teszünk a NAIH felé, magas kockázat esetén pedig az érintetteket is tájékoztatjuk. Adatfeldolgozói szerepben az incidensről indokolatlan késedelem nélkül értesítjük az Ügyfelet (adatkezelőt).

Automatizált döntéshozatal

Nem végzünk a GDPR 22. cikke szerinti, kizárólag automatizált, az érintettre nézve joghatással járó döntéshozatalt vagy profilalkotást. Az AI-alapú funkciók a felhasználó döntését támogatják, nem helyettesítik.

A tájékoztató módosítása

A jelen tájékoztatót időről időre frissítjük; a hatályos verziót és dátumát a dokumentum fején tüntetjük fel. Lényeges változásról a webalkalmazáson belül vagy emailben tájékoztatunk.