Adatvédelmi szabályzat (GDPR)

Adatkezelő

A személyes adatok adatkezelője:

(a továbbiakban: „Adatkezelő”).

A személyes adatok védelmével kapcsolatos bármely ügyben az alábbi elérhetőségen vehet fel velünk a kapcsolatot:
[email protected]

Az adatok forrásai

Adatokat kapunk:

• Öntől: a regisztrációkor, a fiókbeállításokban, a projektekben, űrlapokon és üzenetekben,
• munkáltatója személyazonosság-szolgáltatójától és felhasználói címtárából, ha az bekapcsolta az egyszeri bejelentkezést (SSO): e-mail-cím, utónév és vezetéknév, csoporttagságok,
• egy partner rendszeréből, ha a tervezőt a partner által kezelt szervezetben használja (pl. gyártó, forgalmazó vagy biztonsági vállalkozás irányítási rendszere): e-mail-cím, utónév és vezetéknév, cégnév, adószám, az Ön azonosítója a partner rendszerében és az Ön szerepköre, az objektumok projektjeinél pedig az objektum neve, címe és koordinátái.

Az ilyen szervezetben végzett munkájával kapcsolatos adatokat a szervezet nevében kezeljük, amely ezek adatkezelője (pl. az Ön munkáltatója), adatfeldolgozási szerződés alapján (GDPR 28. cikk). Ezekkel az adatokkal kapcsolatban forduljon a szervezethez; segítünk neki teljesíteni az Ön jogait.

A kezelt adatok köre

Az Adatkezelő az alábbi személyes adatokat kezelheti:

• e-mail-cím,
• a kapcsolatfelvételi vagy regisztrációs űrlapokon megadott adatok,
• a szolgáltatások nyújtásához és a számlázáshoz szükséges adatok,
• ha a munkáltatója bekapcsolta az egyszeri bejelentkezést (SSO): azok az identitásattribútumok, amelyeket az identitásszolgáltatójuk a bejelentkezéskor közöl (e-mail-cím, vezeték- és keresztnév, csoporttagságok), valamint azok a fiókadatok, amelyeket a címtáruk a fiókja létrehozása, frissítése vagy inaktiválása céljából küld nekünk,
• ha a tervezőt egy partner (pl. gyártó vagy forgalmazó) által kezelt szervezetben használja: azok az adatok, amelyeket a partner rendszere a hozzáférés megadásakor és a bejelentkezésekor küld nekünk (e-mail-cím, utó- és vezetéknév, cégnév, adószám, az Ön azonosítója a partner rendszerében), valamint az adott szervezetben végzett tevékenységének naplója (bejelentkezések, projektmódosítások, exportok), amelyet a szervezet tulajdonosa és adminisztrátorai láthatnak,
• technikai adatok, például IP-cím, böngésző- és eszközinformációk (biztonsági és analitikai célból).

Az adatkezelés céljai és jogalapjai

Az adatokat a következő célokból és a következő jogalapokon kezeljük:

• a szolgáltatás nyújtása (fiók, projektek, csapatmunka, az Ön által indított MI-funkciók): GDPR 6. cikk (1) bekezdés b) pont, szerződés teljesítése,
• válasz a fiókkal és a szolgáltatással kapcsolatos megkeresésekre és üzenetekre: GDPR 6. cikk (1) bekezdés b) pont, a szerződés megkötése előtt GDPR 6. cikk (1) bekezdés f) pont (jogos érdek a megkeresés megválaszolásához),
• fizetések és elszámolás: GDPR 6. cikk (1) bekezdés b) pont; számlák és könyvelés: GDPR 6. cikk (1) bekezdés c) pont, jogi kötelezettség,
• a szolgáltatás biztonsága és a visszaélések megelőzése (műszaki naplók, kéréskorlátok, eszközkorlát): GDPR 6. cikk (1) bekezdés f) pont, jogos érdek,
• saját statisztikáink a szolgáltatás használatáról és a szolgáltatás fejlesztése: GDPR 6. cikk (1) bekezdés f) pont, jogos érdek,
• a Google analitikája és hirdetésmérése (Google Analytics, Google Ads): GDPR 6. cikk (1) bekezdés a) pont, hozzájárulás,
• jogi igények előterjesztése, érvényesítése és védelme: GDPR 6. cikk (1) bekezdés f) pont, jogos érdek.

Adatok címzettjei

Az adatok az Adatkezelőt támogató, megbízható szolgáltatókkal oszthatók meg az alábbi területeken:

• tárhelyszolgáltatás,
• informatikai szolgáltatások,
• könyvelés,
• fizetésfeldolgozás,

kizárólag a szolgáltatások nyújtásához szükséges mértékben.

Az Adatkezelő különösen a következő adatfeldolgozókat veszi igénybe:

• Supabase: alkalmazásadatbázis, hitelesítés és fájltárolás (EU-régió),
• Cloudflare: a webhely kiszolgálása és védelme (IP-cím és a szolgáltatáshoz intézett kérések),
• Stripe: fizetésfeldolgozás,
• Resend: tranzakciós e-mailek küldése,
• Anthropic: az MI-asszisztens és az MI-tervező, csak ha a felhasználó maga indítja el őket (a projekt leírása, a kérdés és a csatolt fájlok; soha nem a helyszín címe vagy a fiók adatai),
• Google (Analytics, Ads): webhelyanalitika (kizárólag az Ön hozzájárulásával),
• Google Public DNS, amely azt a DNS rekordot olvassa, amely igazolja, hogy egy szervezet a domainje tulajdonosa (kizárólag a domainnév, személyes adat nélkül),
• LH.pl Sp. z o.o.: a weboldal fájljainak tárhelyszolgáltatása (Lengyelország).

Amikor a felhasználó megjeleníti a térképet vagy címet keres, a böngésző közvetlenül csatlakozik a térkép- és címkereső szolgáltatókhoz (Google, Esri, Geoportal, OpenStreetMap Foundation, komoot, OpenFreeMap, Amazon Web Services, FOSSGIS). Ezek megkapják a böngésző IP-címét és a térkép területét vagy a beírt címet, és azokat önálló adatkezelőként, saját feltételeik szerint kezelik.

A YouTube (Google) videói csak akkor töltődnek be, amikor Ön a lejátszásra kattint, a YouTube fokozott adatvédelmi módjában (youtube-nocookie.com); ekkor a Google megkapja a böngésző IP-címét. Arab, dévanágari, japán, koreai vagy thai írást tartalmazó PDF exportálásakor a böngésző a szükséges betűtípust a Google Fontsról tölti le, így a Google szintén megkapja az IP-címet. A szolgáltatás összes többi betűtípusát saját szerverünkről szolgáljuk ki.

Adattovábbítás az Európai Gazdasági Térségen (EGT) kívülre

Az alapvető alkalmazásadatokat (fiókok és projektek) az Európai Unión belüli szervereken tároljuk. A fenti adatfeldolgozók közül azonban egyesek az EGT-n kívül is kezelhetnek adatokat:

• Supabase: az adatokat az EU-ban tárolják, a szolgáltató támogatási hozzáférésével az Egyesült Államokból és Szingapúrból,
• Stripe: fizetésfeldolgozás (Írország / Egyesült Államok),
• Google (Analytics, Ads): analitika, kizárólag az Ön hozzájárulásával (Egyesült Államok),
• Cloudflare: a webhely kiszolgálása és védelme (Egyesült Államok és globális hálózat),
• Anthropic: az MI-asszisztens és az MI-tervező, csak ha a felhasználó maga indítja el őket (Egyesült Államok),
• Resend: tranzakciós e-mailek kézbesítése (Egyesült Államok).

Az adattovábbítás alapja a Stripe, a Google, a Cloudflare és a Resend esetében az Európai Bizottság megfelelőségi határozata az EU-USA adatvédelmi keretről (Data Privacy Framework), az Anthropic és a Supabase esetében pedig az Európai Bizottság által elfogadott általános szerződési feltételek (SCC). Ezen garanciák másolatát a fenti kapcsolattartási címen kérheti.

Sütik és analitika

A szolgáltatás sütiket és hasonló, helyi tárolást használó technológiákat alkalmaz két kategóriában:

• feltétlenül szükséges — a szolgáltatás működéséhez elengedhetetlenek (bejelentkezési munkamenet, biztonság, valamint a sütikre vonatkozó választásának megjegyzése); mindig aktívak, és nem igényelnek hozzájárulást,
• analitikai és hirdetési: Google Analytics és Google Ads, amelyek a szolgáltatás használatának és hirdetéseink hatékonyságának mérésére, valamint a Google-hirdetések személyre szabására szolgálnak; ezek kizárólag az Ön elfogadását követően működnek, az Ön hozzájárulása alapján (GDPR 6. cikk (1) bekezdés a) pont).

Az analitikai és hirdetési sütiket a hozzájárulási sávban elfogadhatja vagy elutasíthatja, és választását bármikor módosíthatja. Az elutasítás nem korlátozza a szolgáltatáshoz való hozzáférést.

Hozzájárulását bármikor visszavonhatja az oldal láblécében található „Sütibeállítások” gombbal vagy az alábbi gombbal. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét. A visszavonás után töröljük a Google sütijeit a böngészőjéből, és többé nem töltjük be a Google címkéit.

Adatmegőrzési idő

A személyes adatok megőrzési ideje:

• a szerződés időtartama alatt,
• a fiókadatokat a fiók megszüntetését követő 30 napon belül töröljük vagy anonimizáljuk, kivéve, ha a jogszabály hosszabb megőrzést ír elő,
• a számlázási és számlanyilvántartási adatokat — az adó- és számviteli jogszabályok által megkövetelt ideig (Lengyelországban annak a számviteli évnek a végétől számított 5 évig, amelyben az ügylet megtörtént),
• az identitásszolgáltatótól kapott attribútumokat a fiók fennállásáig őrizzük, és minden bejelentkezéskor frissítjük; a címtár általi inaktiválás megszünteti a hozzáférést, de önmagában nem törli a fiókot,
• a kezelt szervezetben vezetett tevékenységnaplót a fiókja vagy a szervezet törléséig őrizzük meg; a hozzáférés partner általi visszavonása megszünteti a hozzáférést, de önmagában nem törli sem a fiókot, sem a naplót,
• az MI-funkciók kérdései és válaszai: a tartalom 90 napig, maga a bejegyzés tartalom nélkül 12 hónapig,
• az alkalmazás műszaki hibanaplói: 30 napig, a kéréskorlátok nyilvántartása: 1 óráig, a letiltott eszközök nyilvántartása: 12 hónapig,
• a szervezet eseménynaplója (tagok és hozzáférések változásai, SSO-események, beállítások módosításai, a projektek adminisztrátori megtekintései): annyi ideig, amennyit az SSO-t használó szervezet beállít, egyéb esetben 12 hónapig,
• a bejelentkezések előzményei (eszköztípus, böngésző és rendszer, IP-cím nélkül), a szolgáltatás használati statisztikái és a szolgáltatásról írt értékelések módosításainak előzményei: 24 hónapig,
• a hozzájárulás visszavonásáig, ha az adatkezelés hozzájáruláson alapul.

Adatvédelmi tisztviselő

Az Adatkezelő nem nevezett ki adatvédelmi tisztviselőt, mivel erre a GDPR 37. cikke alapján nem köteles. Valamennyi adatvédelmi kérdésben kérjük, a fent megadott elérhetőségi címet használja.

A felhasználó jogai

A felhasználót megilletik az alábbi jogok:

• hozzáférés a személyes adataihoz,
• adatok helyesbítése,
• adatok törlése,
• az adatkezelés korlátozása,
• adathordozhatóság,
• tiltakozás az adatkezelés ellen,
• a hozzájárulás bármikori visszavonása, amely nem érinti a visszavonás előtti adatkezelés jogszerűségét,
• panasz benyújtása a felügyeleti hatósághoz (NAIH).