Adatkezelési tájékoztató
Piszkozat — a tájékoztató a tényleges működést tükrözi, de a cégalapítást követően ügyvédi véglegesítésre vár (adatkezelő cégadatai, megőrzési idők pontosítása).
Ki kezeli az adataidat?
Az adatkezelő a Certando szolgáltatás üzemeltetője (a cégadatok — cégnév, székhely, adószám — a folyamatban lévő cégalapítást követően kerülnek itt feltüntetésre). Kapcsolat adatvédelmi ügyekben: hello@certando.com.
A tájékoztató az EU általános adatvédelmi rendelete (GDPR — (EU) 2016/679) és az Infotv. (2011. évi CXII. törvény) alapján készült. A sütikről és a helyi tárolásról külön oldal szól: Süti-tájékoztató.
Milyen adatokat, miért és meddig?
| Adatkör | Kezelt adatok | Cél | Jogalap | Megőrzés |
|---|---|---|---|---|
| Fiókadatok | Név, céged neve, email-cím, telefonszám (opcionális), jelszó (titkosított formában), honnan hallottál rólunk (opcionális) | Bejelentkezés, a szolgáltatás nyújtása, kapcsolattartás; a „honnan hallottál rólunk” kizárólag statisztikai célra | Szerződés teljesítése — GDPR 6. cikk (1) b); a statisztikai adat jogos érdek — GDPR 6. cikk (1) f) | A fiók törléséig |
| Szervezeti adatok | Cégnév, biztonsági osztály, kontroll-állapotok, kockázatok, incidensek, beszállítói regiszter, adatkezelési tevékenységek nyilvántartása, ISO-állapotok, rendszer-nyilvántartás (EIR) és eltérések, szervezeti kérdőív (benne az árbevétel) | A megfelelés-nyilvántartás vezetése — ez maga a szolgáltatás | Szerződés teljesítése — GDPR 6. cikk (1) b) | Az előfizetés megszűnése után 90 nappal törlésre kerül |
| Bizonyíték-fájlok | A feltöltött dokumentumok és SHA-256 ujjlenyomatuk | Auditbizonyítékok tárolása | Szerződés teljesítése — GDPR 6. cikk (1) b) | Az előfizetés megszűnése után 90 nappal törlésre kerül |
| Tevékenységnapló | Felhasználónév, időbélyeg, elvégzett művelet | A nyilvántartás hitelességének bizonyítása (hash-láncolt, nem módosítható napló) | Szerződés teljesítése és jogos érdek — GDPR 6. cikk (1) b) és f) | A szolgáltatás jellegéből adódóan futamidő alatt nem módosítható; megszűnés után törlésre kerül |
| Email-értesítések | Címzett email-címe, az értesítés tárgya (pl. határidő-emlékeztető) | Határidő-emlékeztetők, meghívások, rendszerüzenetek küldése | Szerződés teljesítése — GDPR 6. cikk (1) b) | Küldési napló: 90 nap |
| Meghívások | A meghívott munkatárs / auditor neve és email-címe | Csapattag vagy auditor hozzáférésének létrehozása a szervezet kérésére | Szerződés teljesítése — GDPR 6. cikk (1) b) | A tagság megszűnéséig |
| Előfizetési igénylés | Az igénylő neve, email-címe, cégneve, a választott csomag és számlázási ciklus, az igénylés időpontja | Az előfizetési igény feldolgozása, ajánlatadás, szerződéskötés és számlázás előkészítése | Szerződés teljesítése, illetve szerződéskötést megelőző lépések — GDPR 6. cikk (1) b) | A szerződés megszűnését követő 5 év (elévülés); a kiállított számlák adatai a számviteli törvény szerint 8 év |
| Érdeklődő-nyilvántartás | Név, email-cím, cégnév, a besorolási varázsló eredménye (érintettségi kategória), a regisztráció ideje | Belső ügyfélkapcsolati nyilvántartás vezetése, hogy a jelentkezőket meg tudjuk keresni és segíteni tudjuk a bevezetést | Jogos érdek — GDPR 6. cikk (1) f). Az érdekmérlegelés eredménye kérésre megküldhető; a nyilvántartásból bármikor kérhető a törlés. | Az utolsó kapcsolatfelvételtől számított 2 év, vagy a törlési kérelemig |
| Látogatottsági statisztika | A megnyitott oldal címe, a hivatkozó oldal, az ország, az eszköz és böngésző típusa — mindez összesítve, egyedi azonosító és süti nélkül | A weboldal használatának mérése és fejlesztése | Jogos érdek — GDPR 6. cikk (1) f). A mérés süti nélkül működik, és nem alkalmas természetes személy azonosítására. | Összesített formában, a szolgáltatónál beállított megőrzési idő szerint |
| Referencia és esettanulmány | Az ügyfél cégneve és logója; esettanulmány esetén — kizárólag az érintett külön hozzájárulásával — a megszólaló természetes személy neve, beosztása, nyilatkozata, esetleg képmása | A Szolgáltató saját szolgáltatásának bemutatása (weboldal, ajánlatok, esettanulmány) | A cégnév és logó jogi személy adata, amelyre a GDPR nem terjed ki — annak használata szerződéses (felhasználási) engedélyen alapul. Természetes személy adatai esetén: hozzájárulás — GDPR 6. cikk (1) a), amely bármikor, indoklás nélkül visszavonható. | A hozzájárulás visszavonásáig, illetve a szerződés megszűnését követő 2 évig; a nyilatkozat tényét az igazolási kötelezettség miatt a visszavonástól számított 5 évig őrizzük |
| Kapcsolatfelvétel | Név, email-cím, az üzenet tartalma (hello@certando.com) | Megkeresések megválaszolása | Jogos érdek — GDPR 6. cikk (1) f) | Az ügy lezárása után legfeljebb 1 év |
A demó mód kizárólag a te böngésződben (localStorage) tárol adatokat — azok hozzánk nem jutnak el, és semmilyen szerverre nem kerülnek fel.
Kik férnek hozzá? — adatfeldolgozók
Az adataidat nem adjuk el, és nem adjuk át harmadik félnek marketing-célra. (Ez alól egyetlen, kizárólag a te kifejezett engedélyeddel élő kivétel a referencia: ha ehhez külön hozzájárulsz, a cégneved és logód megjelenhet a saját weboldalunkon és ajánlatainkban — ez az engedély bármikor visszavonható.) A szolgáltatás működtetéséhez az alábbi adatfeldolgozókat vesszük igénybe. (Az általad a rendszerbe feltöltött adatok feldolgozását külön dokumentum, az Adatfeldolgozási megállapodás rendezi.)
| Adatfeldolgozó | Feladat | Adattárolás helye |
|---|---|---|
| Supabase Inc. | Adatbázis, hitelesítés és fájltárolás | EU-adatközpont (AWS eu-west-1, Írország) |
| Vercel Inc. | Webtárhely és tartalomkiszolgálás (CDN) | EU/USA — EU–USA adatvédelmi keret (DPF), ill. általános szerződési feltételek (SCC) |
| Vercel Inc. (Vercel Analytics) | Süti nélküli, összesített látogatottsági statisztika | EU/USA — EU–USA adatvédelmi keret (DPF), ill. általános szerződési feltételek (SCC) |
| Resend (Plus Five Five, Inc.) | Tranzakciós emailek küldése | USA — általános szerződési feltételek (SCC) |
| Forward Email LLC | A hello@certando.com bejövő leveleinek továbbítása | USA — általános szerződési feltételek (SCC) |
Az érdemi adatok (fiók, szervezeti adatok, bizonyítékok, napló) kizárólag az EU-s adatközpontban tárolódnak. Az USA-beli szolgáltatóknál (email-küldés, tartalomkiszolgálás) a továbbítás a GDPR V. fejezete szerinti garanciákkal történik.
Hogyan védjük az adataidat?
- Titkosított kapcsolat (TLS/HTTPS) minden adatátvitelnél, titkosított tárolás.
- Szervezetenkénti szigorú adat-elkülönítés az adatbázis szintjén (sor-szintű hozzáférés-szabályozás, RLS) — egyik ügyfél sem láthatja a másik adatait.
- Hash-láncolt, nem módosítható tevékenységnapló — az utólagos manipuláció technikailag kizárt és detektálható.
- Jelszavak kizárólag egyirányú titkosítással (bcrypt) tárolódnak.
- Szerepkör-alapú jogosultságok: az auditor-hozzáférés csak olvasásra képes.
- Választható kétlépcsős azonosítás (2FA). Ha a szervezet bekapcsolja a kötelező kétlépcsős azonosítást, az adatbázis szintjén tiltjuk az írást annak a felhasználónak, aki nem állította be — nem csak a felületen.
- Ütemezett, EU-n belül tárolt biztonsági mentések, és a hozzáférések rendszeres felülvizsgálata.
Ha téged meghívtak — nem tőled kaptuk az adataidat
Ha munkatársként vagy auditorként kaptál meghívót, a nevedet és az email-címedet nem tőled, hanem a téged meghívó szervezettől kaptuk meg. Erről a GDPR 14. cikke alapján tájékoztatunk: az adatok forrása a meghívó szervezet, a kezelés célja a hozzáférésed létrehozása és a szolgáltatás nyújtása, jogalapja pedig a szervezettel kötött szerződésünk teljesítése — GDPR 6. cikk (1) b).
Az adataidat a tagságod megszűnéséig kezeljük, és minden jogod ugyanúgy megillet, mint bárki mást (lásd a következő pontot). A hozzáférésedet a szervezet tulajdonosa bármikor visszavonhatja — ez a naplóba kerül.
Fontos tudnod: az auditor-hozzáférés a szervezet teljes megfelelési anyagát látja — a kontrollok állapotát, a feltöltött bizonyítékokat és a teljes tevékenységnaplót, benne a munkatársak nevével és a műveletek időpontjával. Módosítani semmit nem tud. Ezt a hozzáférést kizárólag a szervezet tulajdonosa hozhatja létre, és bármikor visszavonhatja.
Milyen jogaid vannak?
- •Hozzáférés: megtudhatod, milyen adataidat kezeljük, és másolatot kérhetsz róluk.
- •Helyesbítés: pontatlan adataid javítását kérheted.
- •Törlés: kérheted adataid törlését („elfeledtetéshez való jog”).
- •Korlátozás: kérheted az adatkezelés felfüggesztését vita esetén.
- •Adathordozhatóság: adataidat géppel olvasható formátumban megkapod, és másik szolgáltatóhoz viheted.
- •Tiltakozás: a jogos érdeken alapuló adatkezelés ellen tiltakozhatsz.
- •Hozzájárulás visszavonása: hozzájáruláson alapuló adatkezelésnél bármikor, indoklás nélkül.
Jogaid gyakorlásához írj a hello@certando.com címre — legkésőbb 30 napon belül érdemben válaszolunk. Automatizált, joghatással járó döntéshozatalt és profilalkotást nem végzünk (a besorolási varázsló javaslatot ad, amelyet te rögzítesz).
Jogorvoslat
Ha úgy érzed, az adatkezelésünk sérti a jogaidat, panaszt tehetsz a felügyeleti hatóságnál: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) — 1055 Budapest, Falk Miksa utca 9–11.; levelezési cím: 1363 Budapest, Pf. 9.; www.naih.hu. Emellett bírósághoz is fordulhatsz. Előtte azonban örülnénk, ha először nekünk jeleznéd a problémát — a leggyorsabban közvetlenül mi tudunk segíteni.
A tájékoztató változásai
Hatályos: 2026. július 20-tól. Ha a tájékoztató érdemben változik (pl. új adatfeldolgozó, cégadatok véglegesítése), a bejelentkezett felhasználókat emailben értesítjük, és a változást itt jelezzük.