Adatvédelmi szabályzat

1. Adatkezelő

Signal Core s.r.o., Rybná 716/24, 110 00 Prága 1, Cseh Köztársaság · Cégjegyzékszám: 24460354 · ÁFA-szám: CZ24460354

Bejegyzés: Prágai Városi Bíróság, C szakasz, 198765 fájl

GDPR kérdések: [email protected]

2. Adatvédelmi tisztviselő (DPO)

Adatvédelmi tisztviselőt nevezünk ki, aki a GDPR megfelelésért felel. A DPO független, és közvetlenül a vezetésnek jelent.

Kapcsolat: [email protected] · postacím: Signal Core s.r.o., DPO részére, Rybná 716/24, Prága 1

3. Milyen adatokat kezelünk

Felhasználói típus és cél szerint az alábbi adatkategóriákat kezeljük:

Azonosítás és kapcsolat

• Vezetéknév, keresztnév (alkotó) / cégnév (márka)
• E-mail cím, telefon (opcionális)
• Cím (számlázási, székhely)
• Cégjegyzékszám, ÁFA-szám, bankszámlaszám (IBAN, BIC)
• Adóazonosító szám (TIN) DAC7-hez

Profilad atok

• Avatar, bio, közösségi profilok (IG, TikTok, YouTube), követőszámok
• Tartalmi kategóriák (lifestyle, gaming, fashion stb.)
• Referenciák, korábbi eredmények

Tranzakciós adatok

• Kampányok, konverziók, kifizetések története
• Számlák, adóügyi dokumentumok
• Bejelentkezési naplók, IP-cím, user agent

Tracking és mérés

• Cookie-k (alapértelmezetten csak funkcionálisak, lásd Cookie-k)
• Click ID, Conversion ID, fraud score
• IP geolokáció (ország, régió) — riportoláshoz és anti-fraudhoz, pontos hely nem mentődik

KYC és adóadatok

• Személyi okmány — Stripe Identityn keresztül, nem tároljuk a képet, csak a verifikáció státuszát
• Selfie biometria — Stripe / Sumsubnál tárolva, nem nálunk
• VAT VIES ellenőrzési napló

4. Célok és jogalapok (GDPR 6. cikk)

Minden adatkategóriához pontosan ismerjük, miért kezeljük és a GDPR 6. cikk mely jogalapja alapján:

A hozzájárulást bármikor visszavonhatja (e-mail, alkalmazáson belüli beállítások) a visszavonás előtti adatkezelést nem érintve.

5. Címzettek és adatfeldolgozók

Az adatokat gondosan kiválasztott adatfeldolgozókkal osztjuk meg, mindegyikkel DPA szerződésünk van GDPR 28. cikk szerint:

• Stripe (Írország/USA) — fizetések, KYC; SCC + USA megfelelőség
• Polygon.io (USA) — piaci adatok; SCC
• Cloudflare (USA) — CDN, anti-DDoS; SCC + ENISA
• DigitalOcean (USA/EU régiók) — hosting; SCC, EU szerverek Frankfurtban
• Sumsub (UK) — KYC tartalék; UK megfelelőségi határozat
• Twilio / SendGrid (USA) — tranzakciós e-mailek; SCC
• Anthropic (USA) — Claude AI tartalom-elemzéshez (opcionális, csak metaadatok, nincs személyes adat)
• Könyvelő cég (CZ) — számlázás, adók; szerződéses kapcsolat

A lista nyilvános és frissített a Beállítások → Adatvédelem → Subprocessors menüpontban.

6. Nemzetközi adattovábbítások

Néhány adat az EU/EGT-n kívülre kerül (USA — Stripe, Cloudflare, Polygon stb.). Minden továbbításhoz:

• Standard Contractual Clauses (SCC) — 2021/914 verzió
• Data Privacy Framework (DPF) — tanúsított partnereknél (Stripe, Cloudflare)
• Kiegészítő intézkedések — titkosítás nyugalmi és szállítási állapotban (TLS 1.3, AES-256)
• TIA (Transfer Impact Assessment) — minden EU-n kívüli továbbításhoz elvégezve

7. Megőrzési időszakok

8. Az Ön jogai (GDPR 15–22. cikk)

Önnek joga van:

• Hozzáférés (15. cikk) — adatainak ingyenes másolata; export a Beállítások → Adatvédelem → Adatok letöltése menüből
• Helyesbítés (16. cikk) — pontatlan adatok javítása
• Törlés / Right to be forgotten (17. cikk) — adatok törlése (a törvényi archiválási kötelezettségek mellett)
• Adatkezelés korlátozása (18. cikk) — adatkezelés szüneteltetése vita esetén
• Hordozhatóság (20. cikk) — adatok exportálása strukturált, géppel olvasható formátumban (JSON / CSV)
• Tiltakozás (21. cikk) — jogos érdeken alapuló adatkezeléssel szemben
• Panasz a felügyeleti hatóságnál — cseh ÚOOÚ, uoou.gov.cz

30 napon belül válaszolunk a kérelem benyújtásától. Komplex esetekben 60 nappal meghosszabbíthatjuk értesítéssel.

9. Automatizált döntéshozatal és profilalkotás

Automatizált döntéshozatalt csak korlátozott mértékben használunk:

• Anti-fraud scoring — algoritmus 0–100 fraud score-t rendel hozzá. ≥ 80 score automatikus nem-engedélyezést jelent. A supportnál emberi felülvizsgálatot kérhet
• Kampány-ajánlások — algoritmus alkotókat párosít kampányokhoz audience, niche és anti-fraud score alapján. Nincs jogi következménye, ignorálható

Nem alkalmazunk automatizált döntéshozatalt jogi következményekkel a GDPR 22. cikke szerint.

10. Gyermekek és kiskorúak

A Tandemio nem 18 év alatti gyermekeknek készült. Regisztrációkor KYC (alkotó) vagy cégazonosítóval (márka) ellenőrizzük az életkort.

Ha kiskorú regisztrációját észleljük, a fiókot azonnal lezárjuk és az adatokat töröljük. Szülők, akik felfedezik, hogy gyermekük Tandemiót használ, írjanak a [email protected]-ra.

11. Biztonság

A GDPR 32. cikk szerinti technikai és szervezési intézkedéseket alkalmazzuk:

• Titkosítás nyugalmi állapotban — AES-256 adatbázisokon és biztonsági mentéseken
• Titkosítás szállítás közben — TLS 1.3 + HSTS, nincs fallback
• Jelszó hashing — Argon2id (memory-hard)
• 2FA — opcionális felhasználóknak, kötelező adminoknak
• Rate limiting + WAF — Cloudflare
• Penetration testing — éves külső audit
• ISO 27001 alignment — tanúsítvány nélkül, de a folyamatok megfelelnek
• Background check — produkciós adatokhoz hozzáférő munkatársaknak

12. Adatvédelmi incidens értesítés

Adatszivárgás esetén:

• Felügyeleti hatóság (CZ ÚOOÚ) az észleléstől számított 72 órán belül (GDPR 33. cikk)
• Érintett felhasználók indokolatlan késedelem nélkül, ha magas kockázat áll fenn (GDPR 34. cikk)
• Az értesítés tartalmazza: az incidens jellegét, az érintettek kategóriáit és számát, valószínű következményeit, intézkedéseket

Nyilvános státusz: tandemio.app/security (tervezett).

13. Szabályzat módosításai

Módosíthatjuk ezt a szabályzatot. Lényeges változtatások (új adatkategóriák, új címzettek) esetén legalább 30 nappal előtte értesítjük e-mailben.

A jelenlegi verzió mindig ezen az oldalon található a hatálybalépés dátumával. A korábbi verziókat archiváljuk.

14. Kapcsolat és panaszok

DPO: [email protected] · Általános: [email protected]

Postacím: Signal Core s.r.o., DPO részére, Rybná 716/24, 110 00 Prága 1

Hatósági panasz: Cseh Adatvédelmi Hivatal (ÚOOÚ), Pplk. Sochora 27, 170 00 Prága 7, uoou.gov.cz