Adatkezelési Tájékoztató

1. Az Adatkezelő

Az Adatkezelő — méretéből és tevékenységéből adódóan — a GDPR alapján nem köteles adatvédelmi tisztviselőt (DPO) kinevezni. Az adatvédelmi tárgyú megkeresések a fenti email címen küldhetők.

A személyes adatok kezelése mellett a weboldal szolgáltatásaira az Általános Szerződési Feltételek (ÁSZF) irányadók.

2. Fogalmak

• Adatkezelő: az OnStart, mint egyéni vállalkozás (1. pont).
• Érintett: az a természetes személy, akinek személyes adatait az Adatkezelő kezeli.
• Megrendelő: az ÁSZF szerinti megrendelést leadó természetes vagy jogi személy.
• Adatfeldolgozó: az a szolgáltató, aki az Adatkezelő nevében és utasítása szerint kezel személyes adatokat (GDPR 28. cikk).
• GDPR: az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet).
• Referenciaszám: minden projekthez automatikusan rendelt egyedi azonosító (#OS-ÉÉHHNN-XXXXX), mely az ügyfél azonosítását szolgálja.

3. Az adatkezelés jogalapja

Az Adatkezelő az adatkezelési célonként eltérő, a GDPR 6. cikke szerinti jogalapokat alkalmaz:

4. A kezelt személyes adatok köre

Az Adatkezelő a weboldal használata, a kapcsolatfelvétel, a szolgáltatás nyújtása, valamint a nyereményjáték lebonyolítása során az alábbi kategóriájú személyes adatokat kezeli:

4.1. Kapcsolatfelvételi űrlap kitöltésekor

4.2. OnStart Aktív feliratkozás (aktiv-feliratkozas.html)

A meglévő ügyfeleknek szóló rövid feliratkozási űrlap a következő adatokat kezelheti:

4.3. Chat widget üzenetküldése

A weboldalon elérhető chat widget a kapcsolatfelvételt segíti. A chat űrlap beküldése a chat-send.php endpoint felé történik, amely emailben továbbítja az üzenetet a hello@onstart.hu címre.

A chat üzeneteket kizárólag a megkeresés megválaszolásához, az esetleges későbbi egyeztetéshez és visszaélések megelőzéséhez kezeljük. Az üzenet az email szolgáltatón (Rackhost — lásd 8. pont) keresztül továbbítódik, ahol az email szolgáltató adatfeldolgozóként hozzáférhet az üzenethez. A megőrzési idő a kapcsolatfelvételi adatokra vonatkozó szabályok szerint alakul.

4.4. Automatikusan gyűjtött szervernaplózási adatok

A weboldal működtetése során a tárhelyszolgáltató és a webszerver technikai naplóadatokat rögzíthet hibakeresés, üzembiztonság és informatikai biztonsági események kivizsgálása céljából.

4.5. Rate limiting (IP-hash)

A kapcsolatfelvételi űrlap visszaélés-megelőző védelméhez a Megrendelő IP-címét hash-elve (anonimizálva) tároljuk rövid ideig, hogy ugyanarról az IP-címről érkező túl sok kérelmet blokkolhassuk. A hash-elt IP rövid időn (kb. 10 perc) belül törlődik.

4.6. Premium látogatáskövetés (track.php / latogatok)

Prémium csomagban — kifejezett megrendelés esetén — a track.php segítségével látogatáskövetés történik a projekthez tartozó weboldalakon. A tracking adatok a latogatok adatbázis táblába kerülnek, projekthez kötött tracking_id alapján.

A track.php endpoint tiszteletben tartja a böngésző Do Not Track (DNT) jelzését: ha a böngésző navigator.doNotTrack === "1" értéket küld, nem történik küldés. A latogatok rekordok törlése a kapcsolódó projekt automatizált adatmegőrzési cleanup-ja (180 nap) szerint és a projekt végleges törlésekor megtörténik.

Amennyiben a Premium látogatáskövetés a Megrendelő ügyfél weboldalán kerül elhelyezésre, az OnStart az ügyfél utasításai szerint adatfeldolgozóként is eljárhat. Ilyen esetben a Megrendelő mint saját weboldalának adatkezelője köteles a látogatóit a mérésről, annak jogalapjáról és az esetleges hozzájárulási beállításokról megfelelően tájékoztatni.

4.7. Számlázási adatok a demó elfogadásakor

Amikor a Megrendelő a demó értesítő emailre válaszolva elfogadja a demót (és ezzel jelzi a fizetési szándékát), a számla kiállításához az alábbi adatokat kérjük be. Ezeket a Megrendelő válasz-emailben adja meg.

E adatkezelés jogalapja a szerződés teljesítése (GDPR 6. cikk (1) b)), a megőrzésüké pedig a jogi kötelezettség (GDPR 6. cikk (1) c)) — a számviteli megőrzési kötelezettség szerint (lásd 6. és 10. pont, 8 év). A számlázási címet és az adószámot az Adatkezelő az adatbázisban titkosítva tárolja (lásd 9. pont). Ezek az adatok az admin felületen, illetve admin értesítő emailben jutnak el az Adatkezelőhöz a számla kiállítása céljából.

5. Outreach — saját üzletszerzési tevékenység

Az Adatkezelő — vállalkozási tevékenységének részeként — nyilvánosan elérhető forrásokból (cégnyilvántartás, vállalkozói weboldalak, közösségi média üzleti profilok) potenciális ügyfél (lead) adatokat gyűjthet, és számukra személyre szabott üzleti ajánlatot tartalmazó cold emailt küldhet.

5.1. Kezelt adatok köre (lead-enként)

5.2. Jogalap

Az Adatkezelő jogos érdeke — GDPR 6. cikk (1) f) — a vállalkozási tevékenységének népszerűsítésére irányuló korlátozott, célzott üzleti kommunikáció. A megkeresések kizárólag üzleti email címekre, kizárólag B2B kontextusban történnek; az érdekmérlegelés során az Adatkezelő figyelembe vette, hogy:

• az érintett adatok többsége nyilvánosan elérhető, üzleti célra közzétett;
• a megkeresés mennyisége korlátozott, célzott (nem tömeges spam);
• a címzett bármikor egyetlen kattintással leiratkozhat (lásd 5.4 és 12. pont).

5.3. Email tartalom generálása

A cold email szövege részben AI eszközzel (lásd 7. pont) készülhet, mindig emberi felülvizsgálattal. Az email a Szolgáltató sablonjába csomagolva, az ÁSZF szerinti márkanév alatt kerül kiküldésre.

5.4. Tiltakozási és leiratkozási jog

A címzett bármikor jogosult:

• tiltakozni az adatkezelés ellen (GDPR 21. cikk);
• egyetlen kattintással leiratkozni a kapott email leiratkozási linkjén (token-alapú, lásd 12. pont);
• kérni az adatok teljes törlését (lásd 11. pont).

Leiratkozást követően az érintett email cím globális leiratkozási listára (blocklist) kerül, és további megkeresés nem küldhető rá. A blocklist a leiratkozás célzott érvényesülése érdekében hosszú távon fennmarad (kivéve, ha az érintett kifejezetten kéri a listáról való törlést is).

5.5. Titkosítás

Az érzékenynek tekinthető lead-adatok (email, telefon, cím) az adatbázisban titkosítva kerülnek tárolásra (lásd 9. pont).

6. Számlázási és számviteli adatok

Az Adatkezelő mint egyéni vállalkozás jogszabályi kötelezettsége alapján a kiállított számlák és a kapcsolódó számviteli bizonylatok adatait megőrzi. A jogalap a GDPR 6. cikk (1) c) — jogi kötelezettség teljesítése (különösen a számvitelről szóló 2000. évi C. törvény).

A 8 éves számviteli megőrzési kötelezettség elsőbbséget élvez az érintett törlési kérelmével szemben. Az érintett kérheti a számlán nem szereplő egyéb adatok korábbi törlését, a számlaadatok kötelező megőrzése mellett.

7. Mesterséges intelligencia (AI) eszközök használata

Az Adatkezelő a vállalkozási tevékenysége során — különösen szövegtervezés, kódgenerálás, lead-személyreszabás területén — AI-alapú nagy nyelvi modelleket alkalmazhat (jellemzően Anthropic Claude és/vagy OpenAI rendszerek).

7.1. Mi kerül és mi NEM kerül AI-rendszerbe

• Általában igen: a Megrendelő által átadott, weboldalon nyilvánosan megjelenítendő tartalom (szövegek, leírások);
• Általában nem: hozzáférési adatok, jelszavak, banki adatok, magán természetű információk, harmadik fél bizalmas adatai.

7.2. Emberi felülvizsgálat

Az AI által generált tartalom minden esetben emberi felülvizsgálaton esik át, mielőtt felhasználásra vagy a Megrendelő részére átadásra kerülne.

7.3. AI szolgáltatók mint adatfeldolgozók

Az AI-szolgáltatók a Megrendelő adatait — a saját feltételeik szerint — adatfeldolgozóként kezelik. Részletek a 8. pont szerinti adatfeldolgozói táblázatban. Az AI-szolgáltatók adatkezelési feltételeit a Szolgáltató folyamatosan figyelemmel kíséri.

8. Adatfeldolgozók és adattovábbítás

Az Adatkezelő az alábbi harmadik fél szolgáltatókat veszi igénybe, amelyek a tevékenységük során az Ön személyes adataihoz hozzáférhetnek:

Az Adatkezelő személyes adatokat jogszabályi kötelezettség, hatósági vagy bírósági megkeresés, illetve jogi igény előterjesztése, érvényesítése vagy védelme esetén is továbbíthat az arra jogosult szervek vagy jogi képviselők részére.

9. Adatbiztonsági intézkedések

Az Adatkezelő a kezelt személyes adatokat megfelelő technikai és szervezési intézkedésekkel védi, az adatok bizalmasságának, integritásának és rendelkezésre állásának biztosítása érdekében. A jelenleg alkalmazott legfontosabb intézkedések:

• Titkosított adatátvitel: minden adatátvitel HTTPS (TLS) protokollon keresztül történik.
• Érzékeny adatok adatbázis-szintű titkosítása: az érzékeny mezőket (email, telefon, cím, valamint a számlázási cím és adószám — projektek és outreach leadek esetén) az alkalmazás titkosítva tárolja az adatbázisban.
• Admin hitelesítés: az adminisztrációs felület jelszavas védelem, kétfaktoros (2FA, email-alapú kódos) hitelesítés és session-időkorlát alkalmazásával védett.
• CSRF védelem: az admin felület belső műveletei CSRF tokennel védettek.
• Hozzáférés-korlátozás: az adatbázis és a konfigurációs fájlok webes hozzáférés ellen védettek (.htaccess, jogosultságkezelés).
• Biztonságos fájlkezelés: a feltöltött fájlok MIME-típus és kiterjesztés ellenőrzéssel, biztonságos fájlnévvel kerülnek mentésre.
• Rate limiting: a kapcsolatfelvételi űrlap és egyéb publikus endpointok IP-alapú korlátozással védettek.
• Titkosított külső szolgáltatói jelszavak: az SMTP és egyéb külső szolgáltatói jelszavak a konfigurációban titkosított formában tárolhatók.
• Token-alapú érzékeny linkek: a demó URL-ek és a leiratkozási linkek aláírt, nehezen kitalálható tokenekkel védettek; a leiratkozási tokenek HMAC-aláírással is rendelkeznek.
• Incidenskezelés: az esetleges adatvédelmi incidenseket nyilvántartjuk, kivizsgáljuk, és — szükség esetén — a GDPR szerinti határidőben bejelentjük a felügyeleti hatóságnak, illetve tájékoztatjuk az érintetteket (lásd 16. pont).

Megjegyzés: az Adatkezelő a fenti intézkedéseken túl is törekszik a technika állása szerinti ésszerű védelem fenntartására, ide értve további HTTP biztonsági fejléceket és a tárhelyszolgáltató által biztosított védelmi intézkedéseket. Az alkalmazott intézkedések köre időről időre frissülhet.

10. Adatmegőrzési időtartam

Az alábbi általános megőrzési időkereteket alkalmazzuk; a tényleges megőrzés a céllal és a jogalappal összhangban a legrövidebb szükséges időtartamú:

11. Az Ön jogai (érintetti jogok)

A GDPR alapján az érintettet az alábbi jogok illetik meg:

• Hozzáférés joga (15. cikk): tájékoztatást kérhet arról, milyen adatait kezeljük.
• Helyesbítés joga (16. cikk): kérheti a pontatlan adatok javítását.
• Törlés joga (17. cikk, „elfeledtetéshez való jog"): kérheti személyes adatai törlését.
• Korlátozás joga (18. cikk): kérheti az adatkezelés korlátozását.
• Adathordozhatóság joga (20. cikk): kérheti adatai géppel olvasható formátumban történő kiadását.
• Tiltakozás joga (21. cikk): tiltakozhat a jogos érdeken alapuló adatkezelés (pl. outreach, referencia) ellen.
• Hozzájárulás visszavonása: a hozzájáruláson alapuló adatkezeléshez adott hozzájárulást bármikor visszavonhatja.

A jogok gyakorlására az Adatkezelő indokolatlan késedelem nélkül, legfeljebb a kérelem kézhezvételétől számított 30 napon belül reagál. Bonyolult kérelem esetén ez a határidő — a GDPR 12. cikk (3) bek. szerint — további legfeljebb 60 nappal meghosszabbítható, az érintett előzetes tájékoztatása mellett.

12. Direkt marketing és leiratkozás

Ha Ön az 5. pont szerinti outreach megkeresést kapott vagy egyéb email-kommunikációra iratkozott fel, az alábbi módokon érvényesítheti a leiratkozáshoz / tiltakozáshoz való jogát:

• Egyetlen kattintásos leiratkozás: a kapott email alján található leiratkozási linkre kattintva azonnal lekerül a megkeresési listáról. A link HMAC-aláírással védett, token-alapú — kifejezetten az Ön email címéhez tartozik.
• Manuális leiratkozás: küldjön emailt a hello@onstart.hu címre „Leiratkozás" tárggyal.

A leiratkozás után az érintett email cím globális leiratkozási listára (blocklist) kerül; további megkeresés erre a címre nem küldhető. Ez akkor is érvényes, ha az érintett később új minőségben (pl. más vállalkozás kapcsolattartójaként) ismét feltűnne, és a Szolgáltató tudomást szerezne erről.

A leiratkozási jog gyakorlása nem érinti a szerződéses jogviszonyhoz kapcsolódó, kötelező értesítéseket (pl. számlázás, technikai értesítés). Ezeket az Adatkezelő a szerződés teljesítéséhez szükséges mértékben továbbra is küldheti.

13. Sütik (cookie-k)

13.1. Szükséges sütik (nincs hozzájáruláshoz kötve)

13.2. Analitikai sütik (csak hozzájárulás után)

Az analitikai sütik kizárólag a cookie_consent=accepted állapot esetén kerülnek elhelyezésre: a weboldal csak ekkor tölti be a Google Analytics (GA4) scriptet. Ha a felhasználó a sütiket elutasítja (cookie_consent=declined), a GA script nem töltődik be, így analitikai cookie-k sem kerülnek elhelyezésre. A GA4 mérési azonosító: G-DCFL2F9H9K. Az IP cím anonimizálva kerül továbbításra a Google felé.

13.3. A süti-hozzájárulás módosítása / visszavonása

A felhasználó a süti-hozzájárulás állapotát bármikor módosíthatja az alábbi módokon:

• Itt, a tájékoztatóban, az alábbi gomb használatával — a beállítás visszaállítódik, és a következő oldalbetöltéskor a süti-banner újra megjelenik:

Süti-beállítások visszaállítása

• vagy a böngészője beállításaiban (a böngésző „sütik / privát adatok törlése" menüpontjaiban) — a tárolt cookie_consent cookie törlésével.

14. Külső betűtípusok

A weboldal jelenleg Google Fonts betűtípust használ a megjelenés egységesítéséhez. A betűtípusok betöltése során a böngésző technikai adatokat (például IP cím, böngésző adatai, kért erőforrás) továbbíthat a Google részére. A Google adatkezelési tájékoztatója: https://policies.google.com/privacy?hl=hu.

Tervezett változás: az Adatkezelő tervezi a betűtípusok saját szerverről történő kiszolgálását (self-hosted Google Fonts) annak érdekében, hogy az IP-cím külföldi szerverre küldését elkerülje. Az átállás után jelen pont és a Google Fonts adatfeldolgozói említése törlésre kerülhet.

15. Korhatár

Az OnStart szolgáltatásai és a weboldal nem 16 év alatti személyek részére készültek. Az Adatkezelő nem gyűjt tudatosan személyes adatot 16 év alatti személyekről. Amennyiben az Adatkezelő tudomást szerez arról, hogy ilyen adat került hozzá, azt indokolatlan késedelem nélkül törli.

Üzleti megrendelést leadni csak cselekvőképes nagykorú személy, illetve cselekvőképes jogi személy nevében arra jogosult személy jogosult.

16. Adatvédelmi incidens

Az Adatkezelő adatvédelmi incidens esetén — a GDPR 33–34. cikk szerint — indokolatlan késedelem nélkül, legkésőbb 72 órán belül bejelenti az incidenst a felügyeleti hatóságnak (NAIH), amennyiben az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve.

Magas kockázatú incidens esetén az Adatkezelő az érintetteket is közvetlenül tájékoztatja.

Az Adatkezelő minden incidenst belső nyilvántartásba vesz, és az incidensekből származó tapasztalatokat a biztonsági intézkedések fejlesztésére használja.

17. Jogorvoslati lehetőségek

Ha Ön úgy érzi, hogy az adatkezelés sérti jogait, az alábbi lehetőségei vannak:

1. Közvetlen megkeresés: Forduljon hozzánk a hello@onstart.hu címen (tárgy: „Adatvédelem"). Igyekszünk 15 napon belül érdemi választ adni.
2. Felügyeleti hatóság: Panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH):
   • Cím: 1055 Budapest, Falk Miksa utca 9–11.
   • Telefon: +36 (1) 391-1400
   • Email: ugyfelszolgalat@naih.hu
   • Weboldal: www.naih.hu
3. Bírósági út: A lakóhelye vagy tartózkodási helye szerinti törvényszékhez fordulhat.

18. A tájékoztató módosítása

Az Adatkezelő fenntartja a jogot a jelen Adatkezelési Tájékoztató módosítására. A módosított változatot ezen az oldalon tesszük közzé, az „Utolsó módosítás" dátum frissítésével.

A módosítások a közzétételtől kezdődően, NEM visszamenőleges hatállyal érvényesek. A módosítás előtt rögzített adatokra a rögzítéskor hatályos tájékoztató szerinti megőrzési és kezelési szabályok maradnak alkalmazhatók, kivéve, ha az új rendelkezés az érintett javára szól, vagy ha azt kötelező jogszabály eltérően írja elő.

Lényeges változás (pl. új adatfeldolgozó bevonása, új adatkezelési cél, harmadik országba történő új adattovábbítás) esetén az Adatkezelő a weboldalon külön értesítést helyez el, és — ahol ez ésszerű — emailben is tájékoztatja a már szerződéses kapcsolatban álló ügyfeleit.