shield_lock Adatvédelem

Adatvédelmi nyilatkozat

Állapot: 2026. november | Adatkezelő: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Alapelvek

A személyes adatokat a GDPR (EU) 2016/679 rendelettel összhangban kezeljük. Az Ön adatainak védelme kiemelten fontos számunkra. A qr3.app a Privacy by Design (beépített adatvédelem) elve alapján készült: az IP-címeket soha nem tároljuk — azokat az Edge-en (Cloudflare Workers) azonnal álnevesítjük HMAC-SHA-256-tal, hosszú élettartamú titokkal, céllal és UTC-nappal, még az adatok véglegesítése előtt.

2. Kezelt adatok

2.1 API-használat (Regisztrált felhasználók)

  • Fiókadatok: e-mail-cím, név (a Clerk.com hitelesítésen keresztül)
  • Számlázási adatok: Stripe ügyfél-azonosító, előfizetési státusz (bankkártyaadatok nélkül — ezeket a Stripe közvetlenül kezeli)
  • Használati adatok: létrehozott QR-kódok, munkaterület-konfigurációk (Workspace)
  • Jogalap: GDPR 6. cikk (1) bekezdés b) pont (szerződés teljesítése)

2.2 Beolvasási analitika (A QR-kódokat beolvasó végfelhasználók)

  • IP-álnév: HMAC-SHA-256 hosszú élettartamú titokkal, céllal és UTC-nappal — álnevesített személyes adat; a kivonatból közvetlenül nem állítható helyre, de a titok birtokosa az adott napra újraszámíthat egy ismert IP-jelöltet
  • Eszközadatok: eszköztípus, operációs rendszer, böngésző (a User-Agentből, anonimizálva)
  • Geolokációs adatok: ország, város (a Cloudflare CF-IPCountry fejlécből — IP-cím nem kerül tárolásra)
  • Jogalap: GDPR 6. cikk (1) bekezdés f) pont (a QR-kód tulajdonosának statisztikákhoz fűződő jogos érdeke)
  • Megőrzési idő: 90 nap, ezt követően automatikusan törlődik

2.3 Weboldal-látogatás (qr3.app)

Az oldallekérések nyelvi verziók szerinti számlálásához a qr3.app a Cloudflare Web Analytics szolgáltatást használja. Ez a szolgáltatás nem használ sütiket vagy egyéb kliensoldali tárolási mechanizmust, nem tárol IP-címeket, és nem hoz létre felhasználói profilokat. Az összesített formában gyűjtött adatok: az oldal elérési útja, a hivatkozó oldal (referrer), a böngésző és az eszköz típusa, valamint az ország. Szolgáltató: Cloudflare, Inc., mint adatfeldolgozó (Adatfeldolgozási megállapodás). Jogalap: GDPR 6. cikk (1) bekezdés f) pont — jogos érdek a nyelvenkénti elérés méréséhez. Leiratkozási (opt-out) süti használata nem szükséges, mivel az Ön eszközén nem történik adattárolás.

2.4 Használati statisztika és webhook-naplók (Regisztrált felhasználók)

  • Használati statisztika: Dashboard-aktivitás naponta (mely UTC-napokon nyitotta meg egy felhasználó egy munkaterület dashboardját) és API-használati számlálók művelet és nap szerint (egy API-kulcs kéréseinek száma művelet és eredmény szerint). A dashboard-aktivitásnál a felhasználó, a szervezet és a munkaterület azonosítója, az UTC-nap és az adott nap első megnyitásának időpontja kerül tárolásra; az API-számlálóknál a szervezet, a munkaterület és az API-kulcs azonosítója, az UTC-nap, a művelet, az eredmény, a darabszám, valamint a nap első és utolsó kérésének időpontja — IP-cím és User-Agent nem.
  • Webhook-kézbesítési naplók: Kézbesítési kísérletenként: eseménytípus, időpont, állapot, HTTP-állapotkód és válaszidő, az elküldött eseményadatok, valamint a fogadó válaszának első kilobájtja (1 KB) vagy egy hibaüzenet. Beolvasási eseményeknél az eseményadatok a látogató országát, eszköztípusát, operációs rendszerét, böngészőjét és nyelvét tartalmazzák, kódeseményeknél a teljes kódot a célcímmel és a jegyzetekkel együtt. A látogatók IP-címe és User-Agent adata nem kerül tárolásra, de az eseményadatok és a fogadó válasza személyes adatokat tartalmazhatnak.
  • Cél: Üzemeltetés, hibakeresés és termékfejlesztés
  • Jogalap: GDPR 6. cikk (1) bekezdés f) pont (jogos érdek a biztonságos üzemeltetésben, a hibakeresésben és a szolgáltatás továbbfejlesztésében)
  • Megőrzési idő: 90 nap (az aktuális UTC-nap és az azt megelőző 89 nap), ezt követően automatikusan törlődik; DELETE /v1/account esetén azonnal

2.5 Auditnapló (Regisztrált felhasználók)

  • Tartalom: Egy munkaterület minden módosításáról (például kódok, API-kulcsok, tagok vagy webhookok esetén): időpont, művelet, az érintett erőforrás, a módosított értékek és hogy ki járt el (felhasználó- vagy API-kulcs-azonosító). Közvetlenül az API-n keresztüli hívásoknál ezenfelül az IP-álnév (HMAC-SHA-256 UTC-naponként, külön célra) és a user agent. IP-címet, titkos adatokat (secrets) és API-kulcsokat nem tárolunk.
  • Cél: A módosítások visszakövethetősége a munkaterület csapata számára és a szolgáltatás biztonsága
  • Jogalap: GDPR 6. cikk (1) bekezdés f) pont (jogos érdek a visszakövethető módosításokban és a szolgáltatás biztonságában)
  • Megőrzési idő: IP-álnév és user agent 90 nap, a bejegyzés 365 nap (mindig az aktuális UTC-nap és az azt megelőző napok), ezután automatikus törlés; DELETE /v1/account esetén a saját szervezetek bejegyzései azonnal törlődnek, más csapatokban az IP-álnév és a user agent törlődik

3. Adatok továbbítása harmadik felek részére

Az adatokat kizárólag a következő szolgáltatóknak továbbítjuk. Eltérő jelzés hiányában ezek a megbízásunkból kezelik az adatokat (GDPR 28. cikk). Ha eközben adatok az USA-ba kerülnek, ez az EU–USA adatvédelmi keretrendszeren (EU-US Data Privacy Framework) alapul, amely szerint e szolgáltatók amerikai társaságai tanúsítvánnyal rendelkeznek (megfelelőségi határozat, GDPR 45. cikk), másodlagosan pedig az Európai Bizottság általános adatvédelmi kikötésein (SCCs) az adatfeldolgozási szerződéseikben (GDPR 46. cikk (2) bekezdés c) pont).

  • Cloudflare, Inc. (USA) — infrastruktúra, CDN, Workers: a weboldal, a dashboard és az API üzemeltetése, adatbázis, fájltárolás és várólisták, a rendszerüzenetek küldése (Cloudflare Email Service) és a Web Analytics (2.3. pont)
  • Clerk, Inc. (USA) — hitelesítés: e-mail-cím, név, bejelentkezési és munkamenet-adatok (köztük IP-cím, az abból meghatározott hely és böngésző) és megerősítő e-mailek. Regisztrációkor a Clerk védelmet épít be az automatizált regisztrációk ellen (Cloudflare Turnstile). Ha Ön Google-fiókkal jelentkezik be, a Clerk ebből a fiókból megkapja az Ön nevét és e-mail-címét.
  • Stripe Payments Europe, Ltd. (Írország) — fizetésfeldolgozás és számlák. A fizetési adatokat a Stripe közvetlenül gyűjti; mi nem kapunk kártyaadatokat. A csalásmegelőzésért, saját jogi kötelezettségeiért és termékei továbbfejlesztéséért a Stripe maga felel.
  • Functional Software, Inc. (Sentry) (USA, tárolás az EU-ban) — hibaelemzés az API, az átirányítások és a dashboard számára: hibaüzenetek és kérésminták (metódus, útvonal paraméterek nélkül, állapotkód, időtartam, belső azonosítók). Az IP-címeket, fejléceket, sütiket és paramétereket küldés előtt eltávolítjuk; a szövegben lévő e-mail-címeket és kulcsokat kitakarjuk. Jogalap: GDPR 6. cikk (1) bekezdés f) pont (jogos érdek a hibamentes és biztonságos üzemeltetésben)
  • Google Cloud EMEA Ltd. (Írország; Google Cloud Web Risk) — a célcímek ellenőrzése adathalászat és kártevők szempontjából: kód létrehozásakor vagy módosításakor, az API-n keresztüli ellenőrzéskor és az éjszakai újraellenőrzéskor a kód célcíme vagy a hozzá tartozó landing page linkjei. Csak a cím kerül továbbításra, fiók- vagy látogatói adat nem; ha maga a cím személyes adatot tartalmaz (például egy paraméterben), az is továbbításra kerül. Jogalap: GDPR 6. cikk (1) bekezdés f) pont (a látogatók védelme a csalárd célokkal szemben és a szolgáltatás biztonsága)
  • Microsoft (Microsoft 365) — a(z) office@qr3.app postafiók: a nekünk írt e-mailek, a rendszerüzenetekre adott válaszokat is beleértve, és a válaszaink. Jogalap: GDPR 6. cikk (1) bekezdés b) pont (a szerződéssel kapcsolatos megkeresések), illetve f) pont (egyéb megkeresések)

Reklámcélú adattovábbítás nem történik.

4. Az Ön jogai (GDPR 15–22. cikkek)

  • Hozzáférés (15. cikk): GET /v1/account/privacy vagy e-mail a office@qr3.app címre
  • Adathordozhatóság (20. cikk): GET /v1/account/export — az összes adat exportálása JSON formátumban
  • Törlés (17. cikk): DELETE /v1/account vagy e-mail. Fiókja azonnal törlődik: azok a szervezetek, amelyeknek Ön a tulajdonosa, az összes munkaterülettel, kóddal, termékútlevéllel, fájllal és statisztikával együtt (ha egy ilyen szervezetnek van másik szervezeti adminisztrátora, ő veszi át az adatokkal és az előfizetéssel együtt), az Ön tagságai más szervezetekben, a Clerknél lévő bejelentkezése és a Stripe-nál lévő ügyfélrekordja. A futó előfizetés azonnal megszűnik, időarányos visszatérítés nélkül. Nagyon nagy fiókok esetén a törlés néhány órán belül befejeződik. Az adatbázis biztonsági mentéseiben (Cloudflare D1 Time Travel) a törölt adatok legfeljebb 30 napig visszaállíthatók, ezt követően véglegesen eltávolításra kerülnek. Kivételt képeznek a számlák, amelyeket a hétéves törvényes megőrzési időn át a Stripe-nál őrzünk (§ 132 BAO), valamint a harmadik felek bejelentései visszaélésszerű kódokról (visszaélések megelőzése).
  • Korlátozás (18. cikk): e-mail a office@qr3.app címre
  • Tiltakozás (21. cikk): bármikor, a jogos érdekeken alapuló adatkezelés ellen

5. Sütik (Cookies)

A qr3.app kizárólag technikailag szükséges munkamenet-sütiket (session cookies) használ (hitelesítés a Clerk segítségével). Nem használunk marketing- vagy követő sütiket. Ezért a süti-irányelv (Cookie Directive) szerinti hozzájárulás nem szükséges. A Cloudflare Web Analytics (lásd a 2.3 szakaszt) szintén nem használ sütiket.

6. Adatbiztonság

Minden adatátvitel titkosított csatornán történik (TLS 1.3). Az adatbázis titkosítása nyugalmi állapotban (at-rest) a Cloudflare D1 segítségével valósul meg. Az API-kulcsokat kivonatolva (hash) tároljuk. Webhook-aláírások HMAC-SHA256 használatával.

7. Panasztételhez való jog

Önnek joga van panaszt tenni az osztrák adatvédelmi hatóságnál:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Adatvédelmi kapcsolattartás

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app