Adatvédelmi Szabályzat

1. Bevezetés

Az eIDAS Pro („mi”, „minket” vagy „miénk”) elkötelezett az Ön magánszférájának védelme és személyes adatainak biztonságos kezelése mellett. Ez az Adatvédelmi Szabályzat ismerteti, hogyan gyűjtjük, használjuk, tároljuk és védjük az információkat, amikor Ön igénybe veszi digitális személyazonosság-ellenőrzési szolgáltatásainkat.

Szolgáltatásunk a beépített adatvédelem és az adatminimalizálás elvein alapul, teljes mértékben megfelelve az Általános Adatvédelmi Rendeletnek (GDPR) és az eIDAS Rendeletnek.

2. Adatkezelő

Az eIDAS Pro adatfeldolgozóként jár el ügyfeleink (adatkezelők) nevében, akik ellenőrzési szolgáltatásainkat integrálják alkalmazásaikba. Az eIDAS Pro-val való közvetlen kommunikáció esetén (weboldal-látogatások, támogatási kérések, konzultációk) az eIDAS Pro az adatkezelő.

Elérhetőség: E-mail: support [at] eidas-pro.com LinkedIn: linkedin.com/company/eidas-pro

3. Az általunk feldolgozott információk

3.1 Életkor- és személyazonosság-ellenőrzés

Amikor valaki szolgáltatásunkon keresztül ellenőrzi magát, egy kereskedő indít egy ellenőrzési munkamenetet, amelyet a személy az alábbi módszerek egyikével fejez be:

• Banki azonosítás (iDIN) az IDURA-n keresztül: Ön a saját bankjával jelentkezik be. Brókerünk, az IDURA, kizárólag azt küldi el nekünk, hogy az életkor-ellenőrzés sikeres volt-e. Banki bejelentkezésének technikai azonosítóját kapjuk meg, amelyet kizárólag a válasz ellenőrzése idejére használunk, és soha nem tárolunk. Az Ön nevét, címét vagy születési dátumát soha nem kapjuk meg.
• Európai uniós digitális személyazonossági tárca (EUDI-tárca): tárcája megosztja születési dátumát a személyazonosító adataiból. Ezt a memóriában összevetjük az előírt életkorral, majd elvetjük; soha nem tároljuk.

Ellenőrzési munkamenetet tárolunk (kereskedő, ellenőrzés típusa, módszer, státusz, az igen/nem eredmény és időbélyegek), amíg az ellenőrzés zajlik. A munkamenetek 15 perccel az indításuk után lejárnak, majd törlődnek.

Ha a kereskedő országfeltételt állít be, csak azt tároljuk, hogy teljesült-e (igen vagy nem), magát az országot soha. A kereskedő egy munkamenethez egy álnevesített rendelési hivatkozást (legfeljebb 64 karakter) csatolhat; ez a munkamenettel együtt törlődik, és nem kerül az auditbejegyzésbe.

Minden eredményről ellenőrzési auditbejegyzést vezetünk: kereskedő, munkamenet-hivatkozás, módszer, kimenetel, az elutasítás oka, a feldolgozás időtartama, és hiba esetén a hiba típusa és üzenete. Ez nem tartalmaz IP-címet, böngésző- vagy eszközazonosítót, az Ön személyét azonosító adatot, sem születési dátumot.

3.2 Technikai adatok

• Webszerver-naplók: webszerverünk minden kérésnél rögzíti az IP-címet, a böngésző user-agentjét és a kért URL-t, biztonsági és hibaelhárítási célból.
• Kérésszám-korlátozás: a visszaélések megakadályozása érdekében percenkénti időablakokban számoljuk a kéréseket IP-cím szerint; a számlálók az időablak lejártával törlődnek.
• Alkalmazásnaplók: alkalmazásnaplóink a szolgáltatás eseményeit és hibáit rögzítik; nem tartalmaznak IP-címet, sem az ellenőrzést végző személyt azonosító adatot.
• Hibafigyelés: amikor szoftverünk hibázik, a hibát elküldjük a Sentrynek. Nem küldünk IP-címet vagy bejelentkezési adatokat a Sentrynek; egy hibajelentés tartalmazhat korlátozott technikai kontextust, például a böngésző típusát és az oldal címét.
• Adminisztrációs konzol: belső adminisztrációs konzolunk, amely kizárólag az eIDAS Pro munkatársai számára érhető el privát hálózaton keresztül, az adminisztrátorok bejelentkezési eseményeit 90 napig, az adminisztratív műveleteket (például kereskedői fiók felfüggesztését, jóváírás megadását vagy a szankciós lista módosítását) 180 napig rögzíti. Ezek a bejegyzések tartalmazzák az adminisztrátor e-mail-címét, a műveletet és az érintett fiókot, de nem tartalmaznak IP-címet vagy böngészőadatot. Ha a művelet kereskedői fiókot érint, a kereskedői fiók azonosítóját is eltároljuk vele.

3.3 Weboldal- és marketingadatok

Amikor meglátogatja weboldalunkat vagy felveszi velünk a kapcsolatot, a következőket dolgozhatjuk fel:

• Az űrlapokon megadott kapcsolattartási adatok (név, e-mail, cég)
• Süti nélküli elemzésen (Umami) keresztül gyűjtött anonim használati statisztikák; sem IP-cím, sem süti nem azonosítja Önt
• Kommunikációs adatok (támogatási kérések, konzultációs feljegyzések)

3.4 Ügyfélfiók-adatok

A szolgáltatásunkat használó kereskedők esetében fiókhitelesítési adatokat, számlázási információkat (a Stripe kezeli; kártyaadatokat soha nem látunk) és használati statisztikákat (ellenőrzések száma, hibaarányok) dolgozunk fel.

4. Miért dolgozunk fel adatokat

• Szolgáltatásnyújtás: ellenőrzések elvégzése kereskedők számára és fiókjaik kezelése.
• Biztonság: a webszerver-naplók és a kérésszám-korlátozás megvédik a szolgáltatást a visszaélésektől (jogos érdek).
• A szolgáltatás igazolása: az ellenőrzési auditbejegyzés lehetővé teszi egy kereskedő és számunkra is, hogy igazoljuk, hogy egy ellenőrzés megtörtént, és mi lett az eredménye.
• Megbízhatóság: a hibafigyelés lehetővé teszi számunkra a hibák felderítését és javítását.
• Partnerprogram: vállalkozásonként egy partnerkód-kedvezmény alkalmazása, vállalkozása nevének, csomagjának és a befizetett összegeknek a megosztása az Önt ajánló partnerrel, valamint a partnerek kifizetése és elszámolása (hozzájárulás, szerződés és jogos érdek; lásd a 6.1. szakaszt).
• Kommunikáció és jogi megfelelés: megkeresések megválaszolása, számlázás és jogi kötelezettségeink teljesítése.

5. Megőrzés

A 10 éves időtartamok a luxemburgi kereskedelmi törvénykönyv (Code de commerce) 16. cikkéből következnek, amely előírja, hogy a számviteli nyilvántartásokat (számlák, fizetési, jutalék- és kifizetési nyilvántartások) annak az üzleti évnek a végétől számított 10 évig meg kell őrizni, amelyre vonatkoznak. Ez csak ezekre a nyilvántartásokra vonatkozik; fiókja megszüntetésekor minden egyéb adatot 30 napon belül törlünk, kivéve az ellenőrzési auditrekordokat, amelyek a szokásos 365 napos megőrzési idejük végéig megmaradnak (nem tartalmaznak az ellenőrzött személyt azonosító adatot). Adatmegőrzési szabályzatunk minden időtartamot és azok érvényesítésének módját felsorolja.

6. Címzettek

Személyes adatait nem adjuk el. Kizárólag a következőkkel osztjuk meg:

• IDURA (Idura ApS, Dánia), személyazonosság-brókerünk, és a Bluem, az iDIN-szolgáltató, ha a banki azonosítást választja. Mindketten önálló adatkezelőként járnak el az általuk végzett azonosítás tekintetében; az IDURA tájékoztatása szerint az ellenőrzés az IDURA-n keresztül halad át, de ott nem tárolódik. Az Ön bankja a bejelentkezését önálló adatkezelőként kezeli.
• Tárhelyszolgáltatás: a Macronet (macronet.hu) üzemelteti szervereinket Magyarországon.
• Adatbázis: Supabase Pte. Ltd. (Szingapúr); az adatbázis tárolási helye Frankfurt, Németország.
• E-mail: Resend (Plus Five Five, Inc., USA), fiók- és szolgáltatási e-mailekhez, valamint hírlevelekhez; a fiókadatokat és a naplókat az Egyesült Államokban tárolja.
• Hibafigyelés: Sentry (Functional Software, Inc., USA); a hibajelentések tárolási helye Frankfurt, Németország.
• Elemzés: Umami, saját üzemeltetésben; süti nélkül.
• Botvédelem: a Cloudflare Turnstile (Cloudflare, Inc., USA) ellenőrzi weboldalunk űrlapjait és a nyilvános demót automatizált visszaélések ellen; az ellenőrzés során feldolgozza IP-címét és böngészőjeleit. E jelek tekintetében a Cloudflare saját feltételei szerint önálló adatkezelőként is eljár.
• Fizetések: Stripe (Stripe Payments Europe, Limited, Írország), az előfizetési számlázáshoz.
• Hatóságok, ha a jogszabály előírja.
• Partnerek, a 6.1. szakaszban leírtak szerint.

6.1 Partnerprogram

• Kereskedők: ha partnerkódot használnak, vállalkozása nevét, csomagját és a befizetett összegeket megosztjuk az Önt ajánló partnerrel, amíg a partner jutalékot kap az előfizetése után (legfeljebb 12 hónapig). A jogalap a kód megadásakor adott hozzájárulása, valamint a szerződés.
• Egy vállalkozás ellenőrzése: eltároljuk az adószámot és a cégjegyzékszámot, a webshop domainjét és a Stripe által biztosított kártya-ujjlenyomatot (token, nem kártyaadat). Ezeket a fiókok között összevetjük, hogy vállalkozásonként egy kedvezményt alkalmazzunk. A jogalap a kedvezményekkel való visszaélés megelőzéséhez fűződő jogos érdekünk.
• Partnerek és jelentkezők: a kapcsolattartási és vállalkozási adatokat, az IBAN-t és a kifizetési nyilvántartásokat a partneri jogviszony idejére, majd számviteli bizonylatként további 10 évig megőrizzük. Az elutasított jelentkezéseket a döntést követő 12 hónap elteltével töröljük. A még el nem bírált jelentkezéseket a döntésig megőrizzük; ezeket automatikusan nem töröljük.
• Jutalék-nyilvántartások: 10 évig őrizzük (számviteli kötelezettség).

7. API-ügyfelek számára (B2B)

Mit jelent ez? Önnek továbbra is szüksége van:

• Adatvédelmi szabályzatra, amely feltünteti az eIDAS ellenőrzés használatát
• Megőrzési szabályzatra az ellenőrzési naplókhoz (30-90 napot javasolunk)
• Törlési eljárásokra a lejárt adatok esetére
• Érintetti kérelmek kezelésére (hozzáférési, törlési kérelmek)
• Alapvető biztonsági intézkedésekre a tárolt ellenőrzési eredményekhez

Amire NINCS szüksége:

• Különleges adatkategóriák kezelése (nem tárolunk biometrikus adatokat)
• Dokumentumtárolási biztonsági infrastruktúra
• Képmegőrzési és anonimizálási munkafolyamatok

8. Az Ön GDPR szerinti jogai

Önnek joga van:

• Hozzáférés: Másolatot kérni az általunk tárolt személyes adatairól
• Helyesbítés: Pontatlan vagy hiányos adatok javítása
• Törlés („elfeledtetéshez való jog”): Adatai törlésének kérése
• Korlátozás: Adatai feldolgozásának korlátozása
• Adathordozhatóság: Adatai géppel olvasható formátumban történő megkapása
• Tiltakozás: Marketing kommunikáció vagy bizonyos adatfeldolgozási tevékenységek elleni tiltakozás
• Panasz benyújtása: Panasz benyújtása az illetékes nemzeti adatvédelmi hatóságnál

E jogok gyakorlásához forduljon hozzánk a következő címen: support [at] eidas-pro.com. 30 napon belül válaszolunk.

8.1 A hozzájárulás visszavonása

Ha az adatkezelés az Ön hozzájárulásán alapul – például vállalkozása adatainak megosztása az Önt ajánló partnerrel, partnerjelentkezésének elbírálása vagy termékhírek küldése –, hozzájárulását bármikor visszavonhatja. Írjon a support [at] eidas-pro.com címre „Hozzájárulás visszavonása” tárggyal, és jelölje meg, melyik hozzájárulását vonja vissza; marketing e-mailek esetén bármelyik üzenet leiratkozási linkjét is használhatja. Ezt követően leállítjuk a hozzájáruláson alapuló adatkezelést. A visszavonás nem érinti a visszavonás előtt végzett adatkezelés jogszerűségét (GDPR 7. cikk (3) bekezdés). Azokat az adatokat, amelyeket más jogalapon – például számviteli nyilvántartásként – meg kell őriznünk, kizárólag erre a célra őrizzük meg.

9. Biztonsági intézkedések

• Titkosított adatátvitel (TLS) minden kapcsolathoz
• Kérésszám-korlátozás visszaélések ellen
• Adatvédelmi incidens bejelentése a felügyeleti hatóságnak 72 órán belül, ha ezt jogszabály előírja

10. Sütik

• Ellenőrzési munkamenet-süti (eidas_vs): összeköti böngészőjét az Ön által indított ellenőrzéssel; feltétlenül szükséges; 15 perc után lejár.
• Munkamenet- és beállítás-sütik weboldalunkon és irányítópultjainkon: bejelentkezve tartják Önt, és megjegyzik beállításait.
• Elemzés: az Umami süti nélkül működik.

Nem használunk reklámsütiket, sem viselkedésalapú nyomkövetést.

A weboldalon található egyes képek, köztük a kezdőlap háttérvideói, mesterséges intelligenciával készültek.

11. Nemzetközi adattovábbítás

Szervereink és adatbázisunk biztonsági mentései (Magyarország), adatbázisunk (Supabase, tárolási helye Frankfurt, Németország) és elemzésünk (saját üzemeltetésben) az EU-n belül találhatók. Az IDURA (Idura ApS) Dániában letelepedett. Egyes szolgáltatók az EGT-n kívül letelepedettek, vagy onnan férhetnek hozzá adatokhoz:

• Supabase (Supabase Pte. Ltd., Szingapúr) és USA-beli kapcsolt vállalkozása Szingapúrból és az Egyesült Államokból hozzáférhet az adatbázishoz. Garancia: a Bizottság által elfogadott általános adatvédelmi kikötések (SCC) (a Supabase nem rendelkezik tanúsítással az EU–USA adatvédelmi keretrendszer szerint).
• Resend (Plus Five Five, Inc.) a fiókadatokat és az e-mail-naplókat az Egyesült Államokban tárolja; az e-maileket uniós küldési régión keresztül küldjük. Garancia: EU–USA adatvédelmi keretrendszer és SCC.
• Sentry (Functional Software, Inc.) a hibajelentéseket Frankfurtban (Németország) tárolja, és az Egyesült Államokból hozzáférhet azokhoz. Garancia: EU–USA adatvédelmi keretrendszer, tartalékként SCC.
• Stripe az uniós ügyfelekkel az ír Stripe Payments Europe, Limited-en keresztül köt szerződést, és adatokat továbbít az egyesült államokbeli Stripe, LLC részére. Garancia: EU–USA adatvédelmi keretrendszer, tartalékként SCC.
• Cloudflare (Cloudflare, Inc.) a Turnstile-t globális hálózatán üzemelteti. Garancia: EU–USA adatvédelmi keretrendszer, tartalékként SCC.

Alfeldolgozók oldalunk felsorolja az összes szolgáltatót, az általuk feldolgozott adatokat és a tárolás helyét.

12. Kiskorúak

Az életkor-ellenőrzés éppen azért létezik, hogy a kiskorúak elutasíthatók legyenek. Ha egy kiskorú próbál ellenőrzést végezni, a kísérletet ugyanúgy dolgozzuk fel, mint bármely mást: az eredmény elutasítás lesz, és semmit nem tárolunk, ami azonosítaná őt.

13. A szabályzat módosítása

Előfordulhat, hogy frissítjük ezt az Adatvédelmi Szabályzatot adatkezelési gyakorlatunk vagy a jogi követelmények változásainak tükrözése érdekében. A jelentős változásokat a következőképpen közöljük:

• E-mail értesítés a regisztrált felhasználóknak
• Jól látható értesítés a weboldalunkon
• A szabályzat tetején lévő „Utolsó frissítés” dátum frissítése

A szolgáltatásaink változások utáni további használata a frissített szabályzat elfogadását jelenti.

14. Kapcsolatfelvétel

Adatvédelemmel kapcsolatos kérdések, kérések vagy aggályok esetén:

E-mail: support [at] eidas-pro.com Tárgysor: Adatvédelmi kérelem - [Kérelem típusa] Válaszidő: 30 napon belül (a GDPR előírásainak megfelelően)

Sürgős biztonsági ügyekben kérjük, használja a „SÜRGŐS: Biztonsági probléma” tárgysort, és 24 órán belül válaszolunk.