Adatkezelési tájékoztató
Tervezet: 2026. október 23.
Sablon – indulás előtt ügyvéd ellenőrzi. Ez a szöveg a Stafeta indulására készült tervezet; a kettős zárójeles részek kitöltésre, a többi jogi átnézésre vár. Nem jogi tanács.
1. Az adatkezelő
Baráth Vince egyéni vállalkozása (holland eenmanszaak), amely a Stafeta (platform) és az Artavizo (tanácsadás) kereskedelmi néven működik. Cégjegyzékszám (KvK): KvK-szám. Adószám (btw-id): btw-id. Székhely: székhely címe, Hollandia. Kapcsolat: hello@stafeta.ai.
Adatvédelmi tisztviselőt a GDPR 37. cikke alapján nem kell kijelölnünk; az adatvédelmi kérdéseket a fenti címen fogadjuk.
2. Két szerep: adatkezelő és adatfeldolgozó
A weboldalon (várólista, Futó-jelentkezés, kapcsolatfelvétel) és a fiókadatoknál (ki regisztrált, melyik cég, számlázás) mi vagyunk az adatkezelő. Ez a tájékoztató erről szól.
A platformon belüli tartalomnál – kártyák, e-mailek, átiratok, kapcsolatok, HR- és pénzügyi rekordok, nyilvántartások – az ügyfélcég az adatkezelő, mi az ő utasítására dolgozunk fel. Ezt az adatfeldolgozási megállapodás rendezi; a munkavállalóknak szóló tájékoztató a munkáltató dolga, ehhez a tanácsadói csomagunk ad sablont.
3. Milyen adatot, milyen célból, milyen jogalapon
| Mi | Cél | Jogalap (GDPR 6. cikk (1)) |
|---|---|---|
| Várólista és Futó-űrlap: név, cégnév, e-mail, cégméret, ország | Kapcsolatfelvétel a Stafeta indulásáról; az ajánlói program | a) hozzájárulás |
| Fiók: név, e-mail, jelszó-hash, a hitelesítő alkalmazás titka (titkosítva), helyreállító kódok hash-e | Belépés két lépcsőben; a fiók biztonsága | b) szerződés; c) jogi kötelezettség (biztonság) |
| Belépési napló: időpont, IP-cím első szakasza, böngésző, esemény (sikertelen belépés, zárolás, új eszköz) | Visszaélés felismerése, értesítés a tulajdonosnak | f) jogos érdek: a fiókok védelme |
| Számlázás: cégnév, cím, EU-s adószám, számlák, fizetési állapot (a kártyaadatot a Stripe kezeli, mi nem látjuk) | Előfizetés, számla, adóbevallás | b) szerződés; c) jogi kötelezettség (számviteli, áfa) |
| Használati statisztika: napi, munkaterületenkénti darabszámok funkciónként – személy, útvonal és IP nélkül | A termék fejlesztése | f) jogos érdek; a tulajdonos kikapcsolhatja |
| Ügyfélszolgálati levelezés | Válasz a kérdésedre | b) szerződés; f) jogos érdek |
Hírlevelet nem küldünk. Profilalkotást és automatizált döntést rólad nem végzünk. A platform belső tartalmát a mesterséges intelligencia modell csak az ügyfélcég kérésére, az ő adatfeldolgozójaként dolgozza fel (lásd a 7. pontot).
4. Adatfeldolgozóink
Szolgáltatókat veszünk igénybe, akik a mi nevünkben dolgoznak fel adatot: adatbázis és tárhely az EU-ban (Supabase, Frankfurt), webtárhely (Vercel), mesterséges intelligencia (Anthropic, Claude API), fizetés és számlázás (Stripe), robotvédelem (Cloudflare Turnstile), tranzakciós e-mail (SMTP-szolgáltató neve). A teljes, naprakész lista a helyekkel és a továbbítás jogalapjával: alvállalkozó adatfeldolgozók.
Az ügyfélcég által bekötött eszközök (Mailchimp, Google Drive/Docs/Gmail, Microsoft 365, WordPress) nem a mi alvállalkozóink: azokat az ügyfél a saját fiókjával és utasítására használja, mi csak a kért műveletet hajtjuk végre, jóváhagyás után.
5. Továbbítás az EU-n kívülre
Az adatbázis, a fájlok és a biztonsági mentések az EU-ban vannak. Az Anthropic (USA) az EU–USA adatvédelmi keret (DPF) és az általános szerződési feltételek (SCC) alapján dolgoz fel; az API-n küldött adatot a szolgáltató nem használja modell betanítására, és a megőrzés a kereskedelmi feltételek szerint történik: az Anthropic megőrzési és EU-feldolgozási feltételei a szerződéskötés napján ellenőrizendők. A Stripe és a Cloudflare EU-s egységei dolgoznak fel, amerikai anyacégük DPF/SCC alatt.
6. Meddig őrizzük
- Várólista és Futó-jelentkezés: a hozzájárulás visszavonásáig, legfeljebb a nyilvános indulást követő 12 hónapig.
- Fiók és munkaterület: a szerződés idejére. Lemondás után 60 napig olvasható és exportálható, majd töröljük (14 és 3 nappal előtte e-mailben jelzünk).
- Saját fiók törlése: azonnali kiléptetés, 7 nap türelmi idő visszavonási linkkel, végleges törlés utána; a név 30 nap múlva anonimizálva („Korábbi munkatárs”), a munka a cégnél marad.
- Belépési napló: 12 hónap. Számlák és adózási bizonylatok: a holland jog szerinti 7 év.
- Használati statisztika: 13 hónap, csak összesítve. Biztonsági mentések: a mentések megőrzési ideje.
7. Mesterséges intelligencia – átláthatóság (AI Act)
A Stafeta általános célú MI-modellt használ (Claude, Anthropic). Az ügynökök csak javaslatot és vázlatot készítenek: nem küldenek, nem törölnek, nem fizetnek; minden kifelé menő dolgot ember hagy jóvá. Amit az MI írt, azt a felületen „vázlat”, „javaslat” jelöléssel mutatjuk, az indoklással együtt.
A rendszer nem végez érzelemfelismerést, biometrikus azonosítást, egyéni teljesítménypontozást vagy a munkavállalók megfigyelését; a terhelést csak csapatszinten mutatja. Az ügyfélcég a saját munkatársait az AI Act 4. cikke szerinti MI-jártassági anyagokkal tájékoztathatja – ehhez adunk sablont. A Stafeta saját besorolását (nem magas kockázatú rendszer) az AI Act III. melléklete alapján ügyvéddel ellenőriztetjük.
8. Biztonság
Kétlépcsős belépés mindenkinek, titkosított kapcsolat, munkaterületenkénti elkülönítés az adatbázisban, naplózás, EU-s tárhely. Részletek a Biztonság oldalon. Adatvédelmi incidens esetén a jogszabály szerint 72 órán belül értesítjük a hatóságot és – ahol kell – az érintetteket.
9. Jogaid
Hozzáférés, helyesbítés, törlés, az adatkezelés korlátozása, adathordozhatóság, tiltakozás a jogos érdeken alapuló kezelés ellen, a hozzájárulás visszavonása. Írj a hello@stafeta.ai címre; 30 napon belül válaszolunk. A platform belső tartalmával kapcsolatos kérést az ügyfélcéghez (a munkáltatódhoz) továbbítjuk, mert ott ő az adatkezelő.
Panasszal a holland Autoriteit Persoonsgegevenshez (autoriteitpersoonsgegevens.nl) vagy – magyarországi érintettként – a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (naih.hu) fordulhatsz.
10. Összekötött fiókok: Gmail, Microsoft 365, Facebook, Instagram, LinkedIn
Az ügyfélcég a saját fiókjait kötheti a Stafetához: Gmailt vagy Microsoft 365-öt a válaszok küldéséhez, Facebook-oldalt, Instagram üzleti fiókot vagy LinkedIn céges oldalt a posztok közzétételéhez. Az összekötést a fiók tulajdonosa végzi a szolgáltató saját hozzájárulási képernyőjén, és bármikor megszüntetheti a Stafetában (Beállítások → Összeköttetések, postafióknál Beállítások → E-mail) vagy a szolgáltató fiókbeállításaiban.
Google-felhasználói adatok (Gmail). A Stafeta kizárólag az e-mail-küldés jogát (gmail.send) és az e-mail-címedet kéri; levél olvasására, listázására, keresésére, címkézésére vagy törlésére sosem kér és sosem kap jogot. Mit tesz az adattal: amikor egy személy jóváhagyott egy választ egy feladatkártyán, a Stafeta pontosan azt az üzenetet küldi el, egyszer, a személy saját Gmail-címéről, az ügyfél levélszálában; a kártyán megőrzi az elküldött üzenet azonosítóját és címzettjeit a naplóhoz; a frissítő tokent titkosítva tárolja, és a fiók leválasztásakor törli. A szál kontextusa a Stafeta címére továbbított másolatból jön, nem a postafiókból. A Google API-kból kapott adatok Stafeta általi felhasználása és más alkalmazásnak történő továbbítása megfelel a Google API Services User Data Policy-nak, beleértve a korlátozott felhasználás (Limited Use) követelményeit. Az eredeti angol nyilatkozat: „Stafeta's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.” (Google API Services User Data Policy).
Microsoft 365 (Outlook). Ugyanez a delegált Mail.Send jogosultsággal és az alapprofiloddal: a Stafeta csak a jóváhagyott választ küldi el a saját postafiókodból, és sosem olvassa azt.
Facebook, Instagram és LinkedIn. A Stafeta tárolja az oldal vagy fiók hozzáférési tokenjét (titkosítva), az oldal vagy fiók azonosítóját és nevét, és minden poszthoz a jóváhagyott szöveget, képet, időpontot és a platform által visszaadott azonosítót, hogy egy poszt sose jelenjen meg kétszer. Semmi nem jelenik meg anélkül, hogy egy személy jóvá ne hagyta volna a pontos szöveget, képet és időpontot. A Stafeta csak azt olvassa, ami ehhez kell: az oldal nevét, az összekötött Instagram-fiók felhasználónevét és közzétételi keretét, és – hálózati hiba után – azt, hogy a jóváhagyott poszt már megjelent-e. Követőket, privát üzeneteket, hozzászólásokat vagy statisztikákat nem olvas.
11. Az adataid törlése
Az adataidat háromféleképpen törölheted, indoklás nélkül:
- Fiók leválasztása (Gmail, Microsoft 365, Facebook, Instagram, LinkedIn): a Stafetában Beállítások → Összeköttetések → Leválasztás, vagy a Stafeta eltávolítása a szolgáltató biztonsági beállításaiban (Google-fiók → Biztonság → Harmadik felek hozzáférése; Facebook → Beállítások → Üzleti integrációk). A tárolt token azonnal törlődik. Ami marad: a már jóváhagyott válaszok és posztok naplója (szöveg, időpont, a platform azonosítója); ezt a munkatér tulajdonosa a kártyával együtt törli.
- A saját fiókod törlése: Beállítások → Fiók → Fiókom törlése. Azonnal kijelentkeztetünk mindenhonnan; 7 napig visszavonhatod az e-mailben kapott linkkel; utána a törlés végleges, a neved 30 nap után anonimizáljuk („Volt tag”), a cég munkaadatai a cégnél maradnak.
- Kérd tőlünk: írj a hello@stafeta.ai címre „Adataim törlése” tárggyal az érintett címről, vagy nevezd meg az összekötött Google-, Facebook- vagy Instagram-fiókot. A kérést 5 munkanapon belül visszaigazoljuk, a törlést 30 napon belül elvégezzük, és szólunk, amikor kész. Az ügyfélcég által kezelt tartalmat (a munkaterét) a cég törli, vagy az ő utasítására mi.
A törölt adat a titkosított mentésekből azok lejártával tűnik el (megőrzés: 6. pont).
12. Sütik és változások
A sütikről és a böngésző tárolójáról külön oldal szól: sütik. Ha ez a tájékoztató változik, az új változatot itt tesszük közzé a dátummal; lényeges változásról a fiókkal rendelkezőket e-mailben értesítjük.