Adatvédelmi tájékoztató

1. Adatkezelő és kapcsolat

Az adatkezelő a QRVesta. Adatvédelmi kérdéseivel és kérelmeivel írjon a info@qrvesta.com címre, vagy használja a kapcsolatfelvételi űrlapot.

2. Két szerepünk

Adatkezelőként kezeljük a webhely látogatóinak, a kapcsolatfelvételi űrlapon írók adatait, valamint a panelfiókok bejelentkezési és biztonsági adatait.

Adatfeldolgozóként kezeljük az ügyfeleink által munkaterületükön megadott tartalmat (QR-kódok, céljaik, névjegyadatok, logók) és kódjaik beolvasási statisztikáit, az adott ügyfél utasítására és kizárólag a szolgáltatás nyújtásához. Ezeknek az adatoknak az adatkezelője az ügyfél; a feltételeket az adatfeldolgozási szerződés tartalmazza. Ha ilyen adattal kapcsolatos kérelmet küld nekünk, továbbítjuk az érintett ügyfélnek.

3. Milyen adatokat kezelünk

• QR-kódot beolvasók: Egy dinamikus kód beolvasásakor csak az időpontot, az országot, az eszköz típusát (mobil, táblagép, asztali, egyéb) és az operációs rendszert rögzítjük. Az országot a Cloudflare határozza meg a kapcsolatból; az eszköz típusa és az operációs rendszer a böngésző által küldött azonosító szövegből (user agent) származik. Sem az IP-címet, sem magát az azonosító szöveget nem tároljuk; ezek a rekordok senkit sem azonosítanak. Ugyanarról a hálózatról ugyanarra a kódra percenként legfeljebb egy beolvasást számolunk; ezt a korlátot a Cloudflare sebességkorlátozója tartja nyilván, az adatbázisba nem kerül.
• Ahová a beolvasás vezet: A weboldal-kódok a beolvasót az ügyfél által megadott címre, a helyszín-kódok a Google Térképre (Google LLC) irányítják. Ilyenkor a böngésző közvetlenül kapcsolódik ahhoz a webhelyhez, amely a kapcsolati adatokat (pl. az IP-címet) saját adatvédelmi tájékoztatója szerint kezeli. Ezeknek a webhelyeknek nem küldünk adatot, és azt sem adjuk át, honnan érkezett a látogató (referrer).
• Panelfelhasználók: felhasználónév, megjelenített név, a jelszó visszafejthetetlen lenyomata (magát a jelszót soha nem tároljuk), munkaterület-tagságok és szerepkörök, az utolsó bejelentkezés ideje; munkamenetek (kezdet, utolsó aktivitás, lejárat) és megbízható eszközök. Telefonszámot nem kérünk. Az e-mail-cím megadása nem kötelező: a felhasználók a profiljukban adhatják meg, ha e-mailben szeretnének értesítéseket kapni. A címet csak azután használjuk, hogy tulajdonosa az általunk küldött hivatkozással megerősítette, és kizárólag ezekhez az értesítésekhez és a megerősítéshez (marketingre soha). Ezeket az e-maileket e-mail-küldő szolgáltatónkon keresztül küldjük.
• Tevékenységnapló: ki mit és mikor tett egy munkaterületen (pl. kód létrehozása, szerkesztése, felhasználó hozzáadása), a műveletet végző akkori megjelenített neve és az érintett rekord akkori neve. Egyes bejegyzések felhasználóneveket és korábbi megjelenített neveket is tartalmaznak (pl. felhasználó hozzáadása, törlése, átnevezése). Ezek a nevek a felhasználó vagy a rekord törlése után is a tevékenységnaplóban maradnak, amíg a bejegyzés megőrzési ideje le nem jár. Be- és kijelentkezési eseményeknél rövidített IP-címet (az IPv4-cím utolsó része nullázva, az IPv6-címnek csak a /48 előtagja) és az országot is rögzítjük; sikertelen bejelentkezéskor a beírt felhasználónevet is (csak ha az a fiók létezik).
• Bejelentkezési kísérletek számlálói: a jelszótalálgatást korlátozó, rövid életű számlálók felhasználónévenként (a nem létező nevek is), hálózatonként (teljes IPv4-cím vagy IPv6 /64 előtag) vagy eszközönként; legfeljebb kb. 24 óráig.
• Hivatkozás-előnézet: Ha a panelen megnyitja egy weboldal-kód telefonos előnézetét, a szerverünk maga tölti le a céloldalt és annak előnézeti képét; az Ön böngészője nem kapcsolódik ahhoz a webhelyhez. Az oldal címe, leírása és képe legfeljebb egy óráig marad a Cloudflare gyorsítótárában.
• Munkaterület-tartalom: QR-kódok és céljaik, a kódokba írt tartalom (pl. egy névjegy neve, telefonszáma, e-mail-címe), mappák, projektek, logók és márkaszínek. Ezeket ügyfeleink adják meg.
• Kapcsolatfelvételi űrlap: név, e-mail-cím, opcionális cégnév, téma és üzenet. Az üzenet e-mailben jut el hozzánk, a webhelyen nem tároljuk. A visszaélések megelőzésére IP-címét a Cloudflare sebességkorlátozója és a Cloudflare Turnstile ellenőrzés rövid ideig használja; mi nem tároljuk.
• Webhely-látogatók: Nem használunk analitikai, hirdetési vagy követő eszközöket. A webhely kiszolgálásához és védelméhez a Cloudflare kapcsolati adatokat (pl. IP-cím, kért cím) kezel. Szervernaplóink (Cloudflare Workers Logs) csak az alkalmazás által írt hiba- és karbantartási üzeneteket őrzik meg; a kérésenkénti automatikus naplók (az IP-címmel és a böngésző adataival) ki vannak kapcsolva. Ezen üzenetek megőrzési idejét a Cloudflare határozza meg (néhány nap).

Az adatokat elektronikusan, automatikusan vagy az Ön általi megadással gyűjtjük, miközben a webhelyet, a panelt, a rövid hivatkozásokat és a kapcsolatfelvételi űrlapot használja.

4. Célok és jogalapok

Adatait nem adjuk el, nem használjuk hirdetésre, és nem készítünk profilt.

5. Megőrzési idők

Az időtartamokat a kód határozza meg, és egy naponta futó automatikus törlés érvényesíti őket:

• Beolvasások: 366 nap, utána törlődnek. Egy kód összesített beolvasásszáma és utolsó beolvasásának ideje a kód fennállásáig megmarad.
• Tevékenységnapló: 365 nap; a be- és kijelentkezések, valamint a sikertelen és letiltott bejelentkezések bejegyzései (rövidített IP-címmel) 90 nap. A törölt felhasználók és rekordok nevei ezen idők leteltéig a tevékenységnaplóban maradnak.
• Bejelentkezési számlálók: 24 óra használaton kívül töltött idő után törlődnek.
• Munkamenetek: a böngésző bezárásakor, legkésőbb 12 óra után érnek véget; „emlékezz rám” esetén legfeljebb 30 nap után. A 7 napig nem használt munkamenet véget ér.
• Megbízható eszközök: ha 365 napig nem jelentkeznek be velük, elfelejtjük őket.
• Nem használt logók: 24 óra után törlődnek.
• Fiókok és munkaterület-tartalom: a szolgáltatás igénybevételéig; törlődnek, ha az ügyfél törli őket vagy a munkaterületet törlik.
• Értesítési e-mail-cím: amíg a felhasználó el nem távolítja, vagy a fiókot nem törlik. A megerősítő hivatkozás 24 óráig érvényes. Az általunk küldött e-mailek másolatait (címzett, tárgy, szöveg) hibaelhárítás céljából 14 napig őrizzük, utána töröljük.
• Kapcsolatfelvételi üzenetek: a levelezéshez szükséges ideig maradnak a postafiókunkban, utána töröljük őket.
• Biztonsági mentések: az adatbázisról minden éjjel automatikus mentés készül. Minden mentést AES-256-tal titkosítunk egy olyan kulccsal, amely csak az üzemeltetőnél van (maga a szolgáltatás nem tudja olvasni a mentéseket), és a Cloudflare R2-ben, az Európai Unió joghatósága alatt tároljuk; csak a legutóbbi 14 mentést őrizzük meg, minden új mentés a legrégebbit törli. Emellett a Cloudflare D1 időpontra visszaállító funkciója (Time Travel) az adatbázis korábbi állapotait a fiók csomagjától függően a Cloudflare által meghatározott ideig (legfeljebb 7 napig) őrzi. A törölt adatok a mentésekben legfeljebb 14 napig, a Time Travelben legfeljebb 7 napig maradhatnak meg.

6. Az adatok helye és továbbítása

A szolgáltatás a Cloudflare, Inc. (USA) infrastruktúráján fut. Az adatbázis a Cloudflare D1-ben, nyugat-európai helymegjelöléssel található. A kéréseket az Önhöz legközelebbi Cloudflare adatközpont szolgálja ki, így az adatok az Európai Gazdasági Térségen és Törökországon kívül is kezelhetők. A kapcsolatfelvételi üzenetek az üzemeltető Google (Gmail) postafiókjába érkeznek. A felhasználóknak szóló értesítő és megerősítő e-maileket e-mail-küldő szolgáltatónkon keresztül küldjük; ez a szolgáltató az e-mail-küldés bekapcsolásakor felkerül az adatfeldolgozók oldalára. A titkosított adatbázis-mentéseket a Cloudflare R2-ben, az Európai Unió joghatósága alatt tároljuk.

A külföldre történő továbbítás a GDPR V. fejezetének és a KVKK 9. cikkének garanciáin (pl. általános szerződési feltételek és szolgáltatóink adatfeldolgozási szerződései) alapul. Szolgáltatóink listája az adatfeldolgozók oldalon található. Hatóságokkal csak akkor osztunk meg adatot, ha jogszabály előírja.

7. Biztonság

• A kapcsolatok kizárólag HTTPS-en keresztül jönnek létre.
• A jelszavakat sózott, szándékosan lassú lenyomatként (PBKDF2) tároljuk; a jelszótalálgatást felhasználónévenként, hálózatonként és eszközönként korlátozzuk.
• A munkamenet-sütiket szkriptek nem olvashatják, és csak erre a webhelyre kerülnek elküldésre.
• A panelre való bejelentkezést a Cloudflare Turnstile védi a robotok ellen.
• A szerepkörök és a projektenkénti hozzáférés révén minden felhasználó csak azokat az adatokat látja, amelyekhez jogosult; a Wi-Fi-jelszavakat csak a kódokat szerkeszthető szerepkörök látják. A fontos műveletek a tevékenységnaplóba kerülnek.
• Az oldalakat szigorú tartalombiztonsági irányelvvel szolgáljuk ki; a webhely és a panel nem tölt be máshonnan szkriptet (kivéve a Cloudflare Turnstile-t a kapcsolatfelvételi oldalon és a panel bejelentkezésénél). A panel más webhelyekről képet sem tölt be; a hivatkozás-előnézetek képeit a szerverünk hozza le.
• Az adatbázis a Cloudflare infrastruktúráján található; éjszakai mentéseit egy csak az üzemeltetőnél lévő kulccsal titkosítjuk, így maga a szolgáltatás nem tudja olvasni őket. Az üzemeltetői panel nem mutatja a munkaterületek tartalmát. Az üzemeltető egy munkaterület adatait csak adatigénylés teljesítéséhez (az ügyfél kérésére vagy a szolgáltatás megszűnésekor) exportálja; minden ilyen exportálás bekerül az üzemeltető saját tevékenységnaplójába (az ügyfélében nem jelenik meg). Közvetlen adatbázis-hozzáférést csak karbantartáshoz, mentéshez és támogatáshoz, a szükséges mértékben használunk.

8. Az Ön jogai

A GDPR alapján Önt megilleti a hozzáférés, a helyesbítés, a törlés, az adatkezelés korlátozása, a tiltakozás és az adathordozhatóság joga. A KVKK 11. cikke alapján azt is megtudhatja, kezelik-e adatait és hogyan, kinek továbbították őket, kérheti, hogy a helyesbítésről és törlésről a címzetteket értesítsék, tiltakozhat a kizárólag automatizált elemzés hátrányos eredménye ellen, és kártérítést követelhet jogellenes adatkezelés miatt.

Kérelmeit a info@qrvesta.com címre küldje; 30 napon belül díjmentesen válaszolunk. Személyazonossága igazolásához további adatokat kérhetünk. Panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH), lakóhelye szerinti felügyeleti hatóságnál vagy a török személyesadat-védelmi hatóságnál is.

9. Kaliforniai lakosok (CCPA/CPRA)

Személyes információkat nem adunk el, nem osztunk meg kontextusokon átívelő viselkedésalapú hirdetéshez, és érzékeny személyes információkat nem használunk következtetések levonására. Az általunk gyűjtött kategóriákat és céljaikat fent ismertetjük: azonosítók (felhasználónév; nem kötelező értesítési e-mail-cím; az űrlapon megadott név és e-mail; bejelentkezési események rövidített IP-címe), internetes tevékenység (senkit sem azonosító beolvasási statisztikák, tevékenységnapló) és az űrlapon leírtak.

Joga van megismerni, helyesbíttetni és töröltetni adatait, és e jogok gyakorlása miatt nem érheti hátrányos megkülönböztetés. Kérelmével írjon a info@qrvesta.com címre.

10. Gyermekek

A QRVesta vállalkozásoknak szóló szolgáltatás, és nem 16 év alatti gyermekeknek szól. Tudatosan nem gyűjtünk adatot gyermekektől.

11. Változások

A szolgáltatás változásával frissítjük ezt az oldalt; az aktuális dátum az oldal tetején látható. A fontos változásokat ezen az oldalon tesszük közzé, és a munkaterületek adminisztrátorait is igyekszünk értesíteni az általuk megadott elérhetőségen. A sütikről a sütikezelési tájékoztató szól.