Adatvédelmi tájékoztató

Verzió 1.0 · Hatályos: 2026.11.12.

1. Bevezetés

Jelen adatvédelmi tájékoztató célja, hogy ismertesse az Onix App (a továbbiakban: „Szolgáltatás") használata során megvalósuló adatkezelési gyakorlatot, az Európai Parlament és a Tanács (EU) 2016/679 rendeletének (GDPR) megfelelően.

A Szolgáltatás használatával a felhasználó megismeri és tudomásul veszi a jelen tájékoztatóban foglaltakat.

Jelen tájékoztató a Szolgáltatás valamennyi felületére kiterjed: a webes felületre, valamint az iOS és Android mobilalkalmazásra egyaránt.

Jelen tájékoztató a Felhasználási feltételekkel, az Adatfeldolgozói szerződéssel (DPA) és a Süti-tájékoztatóval együtt értelmezendő.

2. Adatkezelő adatai

• Cégnév: OKert Tata Kft.
• Székhely: Kiss Ernő utca 26. B. ép., 2890 Tata, Magyarország
• Cégjegyzékszám: 11-09-028683
• Adatvédelmi ügyekben elérhetőség: onix@onixapp.hu

(a továbbiakban: „Szolgáltató")

A Szolgáltató adatvédelmi tisztviselő kijelölésére nem köteles, így ilyet nem alkalmaz.

3. Az adatkezelés jellege

A Szolgáltató kettős szerepben jár el:

• a felhasználói fiókokkal, valamint a Szolgáltatás technikai működtetésével és biztonságával kapcsolatos adatok tekintetében adatkezelő,
• a Szolgáltatáson keresztül rögzített üzleti adatok tekintetében adatfeldolgozó.

A Szolgáltatást igénybe vevő vállalkozás minősül adatkezelőnek azon adatok tekintetében, amelyeket a rendszerbe feltölt.

4. Kezelt adatok köre

4.1 Felhasználói adatok

• felhasználónév
• e-mail cím
• jelszó (titkosított formában, a Firebase Authentication rendszerén keresztül – a Szolgáltató a jelszót nem ismeri meg)
• szerepkör és munkaterülethez (workspace) tartozás
• fiók állapota (aktív / inaktív), fióktörlés kérése esetén a kérés időpontja
• Google- vagy Apple-fiókkal történő bejelentkezés esetén: a fiókszolgáltató által átadott név, e-mail cím és fiókazonosító, valamint Google-fióknál a profilkép címe, amelyet a munkaterülethez való csatlakozási kérelem a munkaterület adminisztrátorainak megjelenít
• a feltételek elfogadásának igazolása: az elfogadás időpontja, az elfogadott dokumentumok verziója, valamint az elfogadáskor használt IP-cím és böngészőazonosító (user agent)

4.2 A rendszer használata során kezelt adatok

A felhasználók által a rendszerbe feltöltött adatok különösen:

• projekt adatok (pl. projekt neve, értéke, ügyféladatok)
• munkaidő nyilvántartás
• órabérek és bérszámfejtési alapadatok
• események (naptár)
• anyagköltségek
• gépek használati adatai (óraállás)
• képfeltöltések
• jegyzetek, megjegyzések

Ezen adatok köre személyes adatokat is tartalmazhat. Ezen adatok tekintetében a Szolgáltatást igénybe vevő vállalkozás az adatkezelő.

4.3 Technikai és hibakeresési adatok

Az alkalmazás stabilitásának biztosítása érdekében – az alkalmazás hibája (összeomlása) esetén – az alábbi adatok kerülnek rögzítésre a Firebase Crashlytics szolgáltatáson keresztül:

• eszköz típusa, operációs rendszer verziója
• alkalmazás verziószáma
• hibanapló (stack trace) és a hiba időpontja
• a Crashlytics által generált, telepítéshez kötött technikai azonosító

A hibanapló-gyűjtés kizárólag az iOS és Android mobilalkalmazásban működik; a webes felületen ilyen adatgyűjtés nem történik.

Ez az adatgyűjtés a mobilalkalmazás Beállítások képernyőjén bármikor kikapcsolható.

A visszaélések megelőzése érdekében az alkalmazás a szerver felé küldött kéréseit a Firebase App Check szolgáltatással hitelesíti: az eszköz platformszolgáltatása (Androidon a Google Play Integrity, iOS-en az Apple DeviceCheck) igazolja, hogy a kérés az eredeti alkalmazásból, valódi eszközről érkezik. Az alkalmazás a működési beállításait (például egy új verzió elérhetőségét) a Firebase Remote Config szolgáltatásból kéri le. Mindkettő az eszköz és az alkalmazás alapadatait (platform, alkalmazásverzió) és egy telepítéshez kötött technikai azonosítót használ. Ezek a Szolgáltatás biztonságos működéséhez szükségesek, ezért nem kapcsolhatók ki (jogalap: 5.4 pont).

4.4 Értesítésekkel és jelentésküldéssel kapcsolatos adatok

A Szolgáltatás automatikus e-mail értesítéseket, ütemezett jelentéseket és adatexportokat, valamint alkalmazáson belüli (push) értesítéseket küldhet. Ennek keretében kezelt adatok:

• címzett e-mail cím
• a kiküldött értesítés vagy jelentés tárgya és tartalma (amely a 4.2 pont szerinti üzleti adatokat, így személyes adatokat is tartalmazhat)
• küldési naplók: időbélyeg, kézbesítési státusz, esetleges hibaüzenet
• push értesítés esetén: az eszközhöz rendelt értesítési azonosító (push token), az eszköz típusa és operációs rendszere

4.5 Ügyfélszolgálati bejelentések adatai

Ha a felhasználó az alkalmazásból hibabejelentést, funkciójavaslatot vagy kérdést küld:

• a bejelentés kategóriája, tárgya és szövege, valamint a hozzá tartozó teljes üzenetváltás
• a bejelentő neve, e-mail címe és munkaterülete
• az alkalmazás verziószáma és a használt platform (Android / iOS / web)

A bejelentés szövegét a felhasználó szabadon fogalmazza, ezért az további személyes adatot is tartalmazhat. Az alkalmazás a bejelentő űrlapon kifejezetten felhívja a figyelmet arra, hogy csak a szükséges személyes adatokat adja meg.

4.6 Amit a Szolgáltatás NEM kezel

A bejelentkezés utáni felületen és a mobilalkalmazásban:

• helymeghatározási (GPS) adat
• marketing- vagy reklámcélú profilalkotáshoz használt azonosító
• a GDPR 9. cikke szerinti különleges kategóriájú adat (egészségügyi, biometrikus stb.)
• fizetési kártyaadat (a bankkártyás fizetést a Stripe fizetési oldala kezeli, lásd 6. pont)

A rendszerbe felvitt üzleti adatokat a Szolgáltató hirdetési célra nem használja fel, és azokból profilalkotás nem történik. A nyilvános weboldalon ugyanakkor a látogató hozzájárulása esetén hirdetési célú azonosítók is működnek, lásd a 4.7 pontot.

4.7 A weboldal látogatásakor kezelt adatok

Az onixapp.hu és az app.onixapp.hu látogatásakor a Szolgáltató az alábbi adatokat kezeli:

• IP-cím, böngésző- és eszközadatok, a megtekintett oldalak, a látogatás ideje és a hivatkozó forrás
• a látogatás forrására utaló kampányazonosítók (utm paraméterek, valamint hirdetési kattintás-azonosítók, például gclid vagy fbclid), amennyiben a látogató ilyen hivatkozásról érkezik
• az IP-cím alapján becsült, város szintű földrajzi hely
• hozzájárulás esetén süti-azonosítók, valamint a weboldalon a látogatói munkamenet felvétele (egérmozgás, kattintás, görgetés) a Contentsquare szolgáltatáson keresztül

A munkamenet-felvétel kizárólag a nyilvános weboldalon működik. A bejelentkezés utáni felületen nem fut, így a rendszerbe felvitt üzleti adatokról felvétel nem készül.

A Szolgáltató a látogatottság alapszintű mérését saját üzemeltetésű, süti nélküli rendszerrel (Umami) végzi a németországi szerverén. Ez eszközazonosítót nem tárol, és az adat harmadik félhez nem kerül. Az IP-címet ez a mérés nem tárolja, kizárólag a munkamenet azonosítójának kiszámításához használja fel.

A sütik tételes felsorolását, élettartamát és a hozzájárulás visszavonásának módját a Süti-tájékoztató tartalmazza.

4.8 A bemutató-időpontfoglalás adatai

A weboldal időpontfoglalójának (onixapp.hu/idopont) használatakor a Szolgáltató az alábbi adatokat kezeli:

• név
• e-mail-cím és telefonszám
• a foglaláshoz írt megjegyzés (nem kötelező)
• a választott időpont, a bemutatót tartó munkatárs, a foglalás állapota (például áthelyezve, lemondva, nem jelent meg), lemondáskor a megadott indok (nem kötelező), valamint ha a látogató kampányhivatkozásról érkezett, annak forrása (utm paraméter)

Az időpontfoglaló a Szolgáltató saját üzemeltetésű rendszere; a foglalások a németországi szerveren tárolódnak (6. pont). A visszaélések kiszűréséhez a rendszer a látogató IP-címét a kérés idején használja fel, de nem tárolja.

Google Naptár és Google Meet. A bemutató a Szolgáltató Google Workspace-naptárában jön létre eseményként, Google Meet-hivatkozással. Az esemény tartalmazza a látogató nevét, e-mail-címét, telefonszámát és megjegyzését, a bemutatót tartó munkatárs pedig meghívót kap rá, így a saját naptárában is megjelenik. A látogató nem kap Google-meghívót: a naptárfájlt (.ics) a Szolgáltató e-mailben küldi. A szabad időpontok számításához a rendszer a munkatársak Google Naptárából csak a foglalt idősávokat kérdezi le, az események tartalmát nem.

E-mailek. A Szolgáltató a foglalásról visszaigazolást, a Meet-hivatkozást, áthelyezéskor és lemondáskor értesítést, valamint a bemutató előtt 24 órával és 1 órával emlékeztetőt küld. A leveleket a Szolgáltató saját üzemeltetésű automatizációs rendszere (6. pont) a Szolgáltató Google Workspace-postafiókjából küldi ki.

Kezelőhivatkozás. A levelekben egyedi hivatkozás van, amellyel a foglalás bejelentkezés nélkül áthelyezhető vagy lemondható, legkésőbb 2 órával a kezdés előtt. A hivatkozás a megőrzési idő végéig él (8. pont); az általa megnyitott oldalon semmilyen mérés nem fut.

Mérés a foglaló oldalon. A saját üzemeltetésű, süti nélküli látogatottsági mérés (Umami, 4.7 pont) a foglalás lépéseit (például a nap és az időpont kiválasztását, az elküldést) személyes adat nélkül rögzíti; hozzájárulás esetén ugyanezek a lépések a Google Analytics 4-be is eljutnak. A foglalási űrlapba beírt adatok mérésbe nem kerülnek, a mezők tartalma a munkamenet-felvételből is ki van takarva.

A megőrzési idő lejártakor a rendszer a foglalásból törli a személyes adatokat (statisztikai célra csak az időpont, az állapot és a forrás marad), és a Google Naptár eseményéből is eltávolítja őket.

5. Az adatkezelés célja és jogalapja

5.1 Felhasználói fiók kezelése

• cél: a szolgáltatás biztosítása, azonosítás, hozzáférés-kezelés
• jogalap: szerződés teljesítése (GDPR 6. cikk (1) b))

A feltételek elfogadásának igazolására rögzített adatok (4.1 pont) kezelésének jogalapja a Szolgáltató jogos érdeke (GDPR 6. cikk (1) f)): a szerződés megkötésének bizonyíthatósága.

5.2 Szolgáltatás működtetése

• cél: a szolgáltatás funkcióinak biztosítása és technikai működtetése
• jogalap: szerződés teljesítése (GDPR 6. cikk (1) b))

5.3 Értesítések, jelentések és rendszerüzenetek küldése

• cél: a Szolgáltatás működéséhez kapcsolódó e-mail értesítések, ütemezett jelentések és adatexportok, valamint alkalmazáson belüli (push) értesítések küldése
• jogalap: szerződés teljesítése (GDPR 6. cikk (1) b))

Ezek az üzenetek a Szolgáltatás működésének részét képezik, nem minősülnek reklámnak, ezért külön hozzájárulást nem igényelnek. A push értesítések az eszköz operációs rendszerének beállításaiban bármikor kikapcsolhatók. A reklámcélú megkeresésekre az 5.6 pont irányadó.

5.4 Hibakeresés, stabilitás és biztonság

• cél: az alkalmazás hibáinak felderítése és javítása, a Szolgáltatás biztonságos működésének biztosítása, visszaélések megelőzése
• jogalap: a Szolgáltató jogos érdeke (GDPR 6. cikk (1) f)) – a működőképes és biztonságos szolgáltatás nyújtásához fűződő érdek
• tiltakozás lehetősége: a hibanapló-gyűjtés a mobilalkalmazás Beállítások képernyőjén bármikor kikapcsolható, illetve a tiltakozás a 2. pont szerinti elérhetőségen jelezhető

5.5 Számlázás és jogszabályi kötelezettségek

• cél: számlakiállítás, számviteli bizonylatok megőrzése
• jogalap: jogi kötelezettség teljesítése (GDPR 6. cikk (1) c)); a számvitelről szóló 2000. évi C. törvény 169. §-a alapján 8 év

5.6 Marketing kommunikáció

• cél: hírlevelek és tájékoztatók küldése
• jogalap: az érintett hozzájárulása (GDPR 6. cikk (1) a))

A felhasználó jogosult a hozzájárulását bármikor visszavonni, különösen a marketing e-mailekben található leiratkozási linken keresztül. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.

5.7 Ügyfélszolgálat és kapcsolattartás a pilot időszak alatt

• cél: a felhasználói bejelentések (hibabejelentés, kérdés, funkciójavaslat) fogadása, megválaszolása és nyomon követése; a pilot időszak alatt a Szolgáltatás bevezetésének segítése, kapcsolattartás az Előfizetővel e-mailben vagy telefonon
• jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)): az ügyfélszolgálatot és a panaszbejelentés lehetőségét a Felhasználási feltételek 1. pontja, a pilot időszak alatti kapcsolattartást az 5.1 pontja vállalja

A bejelentésre adott válaszról a felhasználó e-mail értesítést kap, és a beszélgetés az alkalmazáson belül is elérhető marad.

Amikor egy munkaterület pilot időszaka elindul, a Szolgáltató belső értesítést kap a munkaterület nevéről, a fizetésnél megadott e-mail címről és a választott csomagról, hogy fel tudja venni a kapcsolatot az Előfizetővel. Az értesítést a Szolgáltató saját, a Hetzner szerverén futó automatizálása küldi.

A pilot időszak lejárta előtt 7 nappal a Stripe a Szolgáltató megbízásából e-mailben emlékezteti az Előfizetőt a fizetésnél megadott e-mail címre a pilot közelgő lejártára és az azt követő díjlevonásra. Ez a szerződés teljesítéséhez tartozó tájékoztatás (jogalap: GDPR 6. cikk (1) b)).

5.8 Weboldali mérés és hirdetés

Cél: a weboldal látogatottságának és használatának elemzése, a hirdetési kampányok eredményességének mérése, valamint remarketing.

Jogalap: a látogató hozzájárulása (GDPR 6. cikk (1) a). A süti nélküli, saját üzemeltetésű látogatottsági mérés jogalapja a Szolgáltató jogos érdeke (GDPR 6. cikk (1) f) a weboldal működésének és teljesítményének értékeléséhez.

A hozzájárulás bármikor visszavonható, lásd a Süti-tájékoztatót.

5.9 Automatizált döntéshozatal

A Szolgáltatás keretében automatizált döntéshozatal nem történik, és a rendszerbe felvitt üzleti adatokból profilalkotás sem.

A nyilvános weboldalon, kizárólag a látogató hozzájárulása esetén, hirdetési célú profilalkotás (remarketing) történhet. Ez a látogatóra nézve joghatással nem jár, és a hozzájárulás bármikor visszavonható.

5.10 Bemutató-időpontfoglalás

• cél: a bemutató megszervezése és lebonyolítása Google Meeten, az időpont egyeztetése, áthelyezése vagy lemondása, valamint a visszaigazoló, értesítő és emlékeztető e-mailek küldése
• jogalap: a szerződés megkötését megelőző lépések (GDPR 6. cikk (1) b))

5.11 Ajánlói program

• cél: az ajánlói kedvezmény és az ajánlónak járó egyenleg elszámolása (Felhasználási feltételek 5.2 pont, Ajánlói program)
• kezelt adatok: a munkaterület saját ajánlói kódja; az ajánlott munkaterületnél az a kód, amellyel érkezett; az ajánló munkaterületnél az ajánlott munkaterület belső azonosítója, az ajánlás állapota, a jóváírt és a visszatérítés miatt csökkentett összegek a hozzájuk tartozó számla azonosítójával, valamint az egyenleg
• jogalap: szerződés teljesítése (GDPR 6. cikk (1) b))
• hozzáférés: az ajánló munkaterület tulajdonosa, adminisztrátorai és azok a tagjai, akiknek a szerepköre ezt megengedi, csak összesített számokat látnak (az ajánlások száma állapot szerint, a kapott és a levonásra váró egyenleg); az ajánlott nevét, cégnevét és elérhetőségét nem. Az ajánlott nem látja, ki ajánlotta

6. Adatfeldolgozók

A Szolgáltató az alábbi adatfeldolgozókat veszi igénybe:

Google (Firebase / Google Cloud Platform)

• Szerződő fél az EGT-ben: Google Cloud EMEA Limited (Írország)
• Adatvédelmi tájékoztatásuk: firebase.google.com/support/privacy
• Az általuk igénybe vett további al-adatfeldolgozók listája: cloud.google.com/terms/subprocessors
• Igénybe vett szolgáltatások: felhasználó-hitelesítés (Authentication), adatbázis (Firestore), fájltárolás (Storage), szerveroldali funkciók (Cloud Functions), hibanapló-kezelés (Crashlytics), push értesítések kézbesítése (Cloud Messaging), az alkalmazás hitelesítése (App Check), működési beállítások (Remote Config), valamint a Google-fiókkal történő bejelentkezés
• Az adatbázis tárolási helye: Európai Unió (europe-central2 – Varsó, Lengyelország). A feltöltött fájlok (naplófotók, exportok) tárolási helye jelenleg az Egyesült Államok (us-east1); az Európai Unióba költöztetésük tervben van
• Egyes technikai szolgáltatások – így különösen a hibanapló-kezelés (Crashlytics), valamint egyes szerveroldali funkciók – működése során adatfeldolgozás az Egyesült Államokban is történhet (lásd 7. pont)

Hetzner Online GmbH (Németország)

• Igénybe vett szolgáltatás: szerverinfrastruktúra a weboldal és a webes felület (onixapp.hu, app.onixapp.hu), a saját üzemeltetésű látogatottsági mérés (Umami), az exportszolgáltatás (export.onixapp.hu), a saját üzemeltetésű időpontfoglaló (onixapp.hu/idopont), valamint a Szolgáltató saját üzemeltetésű automatizációs és értesítésküldő rendszere számára
• A webes felület és az exportszolgáltatás a 4.2 pont szerinti üzleti adatokat is feldolgozza
• Adatközpont helye: Falkenstein, Németország – Európai Unió
• Adatvédelmi tájékoztatásuk: hetzner.com/legal/privacy-policy

Az e-mail értesítések és az ütemezett jelentések előállítását és kiküldését a Szolgáltató saját üzemeltetésű (self-hosted) automatizációs rendszere végzi a fenti szerveren. Ehhez a Szolgáltató harmadik fél automatizációs szoftverszolgáltatót nem vesz igénybe, az adatok a szoftver fejlesztőjéhez nem kerülnek továbbításra.

Google Ireland Limited (Google Analytics 4, Google Ads, Google Tag Manager)

• Igénybe vett szolgáltatás: a weboldal látogatottsági elemzése, hirdetési konverziómérés és remarketing
• Kizárólag a látogató hozzájárulása esetén, lásd a Süti-tájékoztatót
• Adatvédelmi tájékoztatásuk: policies.google.com/privacy
• Adatkezelés helye: a Google globális infrastruktúrája; az Egyesült Államokba történő adattovábbítás a 7. pont szerinti garanciák mellett történik

Meta Platforms Ireland Limited (Meta Pixel, Conversions API)

• Igénybe vett szolgáltatás: hirdetési konverziómérés és remarketing
• Kizárólag a látogató hozzájárulása esetén
• Adatvédelmi tájékoztatásuk: facebook.com/privacy/policy
• Adatkezelés helye: a Meta globális infrastruktúrája; az Egyesült Államokba történő adattovábbítás a 7. pont szerinti garanciák mellett történik

Contentsquare SAS (Franciaország)

• Igénybe vett szolgáltatás: a nyilvános weboldal használatának elemzése (munkamenet-felvétel, hőtérkép). A bejelentkezés utáni felületen nem működik
• Kizárólag a látogató hozzájárulása esetén
• Adatvédelmi tájékoztatásuk: contentsquare.com/privacy-center
• Adattárolás helye: Európai Unió
• A felvételeken a beírt mezőértékek maszkolva vannak, azokat a szolgáltatás nem rögzíti

Apple Distribution International Ltd. (Írország)

• Igénybe vett szolgáltatás: push értesítések kézbesítése iOS eszközökre (Apple Push Notification service), az Apple-fiókkal történő bejelentkezés (Sign in with Apple), valamint az alkalmazás hitelesítése iOS-en (DeviceCheck)

Google Workspace / Gmail (Google Ireland Limited)

• Igénybe vett szolgáltatás: az automatikus értesítések és jelentések kiküldése SMTP-n keresztül, valamint az elküldött üzenetek tárolása a Szolgáltató postafiókjában
• Adatfeldolgozási szerződés: Google Cloud Data Processing Addendum
• Adatkezelés helye: a Google globális infrastruktúrája; az Egyesült Államokba történő adattovábbítás a 7. pont szerinti garanciák mellett történik

Stripe Payments Europe, Limited (Írország)

• Igénybe vett szolgáltatás: az előfizetési díj bankkártyás fizetése (a kártya elmentésével a pilot időszak végén esedékes és a későbbi díjak levonásához) és az előfizetés nyilvántartása
• Átadott adatok: az Előfizető e-mail címe, cégneve, adószáma és számlázási címe; a weboldali mérésre adott hozzájárulás esetén a konverziómérés azonosítói is (lásd 5.8 pont)
• A kártyaadatokat kizárólag a Stripe kezeli, azok a Szolgáltatóhoz nem kerülnek
• A pénzforgalmi és csalásmegelőzési jogszabályokból eredő saját kötelezettségei körében a Stripe önálló adatkezelő
• Adatvédelmi tájékoztatásuk: stripe.com/privacy
• Adatkezelés helye: a Stripe globális infrastruktúrája; az Egyesült Államokba történő adattovábbítás a 7. pont szerinti garanciák mellett történik

KBOSS.hu Kft. (Számlázz.hu, Magyarország)

• Igénybe vett szolgáltatás: az előfizetési díjról szóló elektronikus számla kiállítása és tárolása, valamint a számlaadatok jogszabály szerinti továbbítása a Nemzeti Adó- és Vámhivatal (NAV) online számla rendszerébe
• Átadott adatok: az Előfizető neve vagy cégneve, számlázási címe, adószáma és e-mail címe, valamint a számla tételei és összege
• Adatkezelés helye: Magyarország, Európai Unió
• Adatvédelmi tájékoztatásuk: szamlazz.hu

A Szolgáltató jogosult további adatfeldolgozók igénybevételére, amelyről a felhasználókat előzetesen tájékoztatja.

7. Adattovábbítás és harmadik országba történő továbbítás

A Szolgáltató személyes adatokat harmadik fél részére nem továbbít, kivéve:

• adatfeldolgozók részére (lásd 6. pont)
• jogszabályi kötelezettség teljesítése esetén, hatóság megkeresésére

Az e-mail értesítések és az ütemezett jelentések előállítása a Szolgáltató németországi (Európai Unió) szerverén történik. Az üzenetek tényleges kiküldése és a postafiókban való tárolása a Google Workspace (Gmail) rendszerén keresztül valósul meg.

A 6. pontban megjelölt technikai szolgáltatások – így különösen a hibanapló-kezelés, egyes szerveroldali funkciók, a feltöltött fájlok tárolása, a push értesítések kézbesítése, valamint az e-mailek kiküldése és tárolása – esetén az Egyesült Államokba történő adattovábbítás az alábbi garanciák mellett történik:

• az Európai Bizottság által elfogadott általános szerződési feltételek (SCC), amelyeket a Google adatfeldolgozási szerződése (Google Cloud Data Processing Addendum) tartalmaz, valamint
• a Google tanúsított részvétele az EU–USA adatvédelmi keretrendszerben (EU–US Data Privacy Framework), amelyre vonatkozóan az Európai Bizottság megfelelőségi határozatot hozott

A weboldali méréshez és hirdetéshez igénybe vett szolgáltatók (Google Analytics 4, Google Ads, Meta) esetén az Egyesült Államokba történő adattovábbítás ugyanezen garanciák mellett történik, és kizárólag a látogató hozzájárulása esetén kerül rá sor. A Contentsquare esetében az adattárolás az Európai Unión belül valósul meg.

A bankkártyás fizetéshez igénybe vett Stripe esetén az Egyesült Államokba történő adattovábbítás szintén az általános szerződési feltételek (SCC) és a Stripe adatvédelmi keretrendszerbeli tanúsított részvétele alapján történik.

8. Adattárolás időtartama

A fentiektől eltérően a Szolgáltató jogosult az adatokat hosszabb ideig megőrizni, amennyiben azt jogszabály írja elő, vagy jogi igény érvényesítéséhez, illetve védelméhez szükséges.

9. Adatbiztonság

A Szolgáltató megfelelő technikai és szervezési intézkedéseket alkalmaz az adatok védelme érdekében, különösen:

• titkosított adatkommunikáció (HTTPS/TLS)
• titkosított adattárolás (a felhő infrastruktúra szintjén)
• hozzáférés-szabályozás, szerepkör alapú jogosultságkezelés
• a jelszavak kizárólag titkosított (hash-elt) formában, a Firebase Authentication rendszerében kerülnek tárolásra
• biztonságos felhő infrastruktúra (Google Firebase)
• a Szolgáltató saját üzemeltetésű szervere esetén: tűzfal, korlátozott és azonosításhoz kötött hozzáférés, rendszeres biztonsági frissítések
• az e-mail kommunikáció titkosított csatornán (TLS) történik
• rendszeres biztonsági mentések
• monitoring és hibakezelés (beleértve a crash értesítéseket)
• eseménynaplózás biztonsági célból

10. Az érintettek jogai

A felhasználót az alábbi jogok illetik meg:

• hozzáféréshez való jog – tájékoztatás arról, hogy milyen adatait kezelik
• helyesbítéshez való jog – pontatlan adat javítása
• törléshez való jog („elfeledtetéshez való jog")
• adatkezelés korlátozásához való jog
• adathordozhatósághoz való jog – géppel olvasható formátumban
• tiltakozáshoz való jog – a jogos érdeken alapuló adatkezelés (5.4 pont) ellen
• hozzájárulás visszavonásához való jog – a hozzájáruláson alapuló adatkezelés (5.6 pont) esetén

A jogok gyakorlása az alábbi elérhetőségen kérhető: onix@onixapp.hu

A Szolgáltató a kérelmet legkésőbb 1 hónapon belül teljesíti. Ez a határidő indokolt esetben további 2 hónappal meghosszabbítható, amelyről a Szolgáltató a kérelem beérkezésétől számított 1 hónapon belül tájékoztatást ad.

A felhasználó a fiókja törlését az alkalmazás Beállítások → Fiók törlése menüpontjában, a onixapp.hu/torles oldalon is kezdeményezheti, illetve az onix@onixapp.hu címen kérheti. A fiókot a Szolgáltató a kéréskor azonnal letiltja, és a kéréstől számított 30 nap után törli (8. pont). Egy munkaterület tulajdonosa a fiókja törlése előtt a munkaterület törlését kéri (lásd alább), különben a munkaterület és az előfizetése gazdátlan maradna.

A munkatér végleges törlése. A munkatér tulajdonosa és adminisztrátorai az alkalmazás Munkatér beállítások → Munkatér törlése menüpontjában kérhetik a munkatér és minden hozzá tartozó üzleti adat végleges törlését. A kérés előtt az alkalmazás felajánlja a teljes adatexportot, és a kérőnek nyilatkoznia kell arról, hogy elolvasta ezt a tájékoztatót, tudomásul veszi, hogy az adatok jogszabályi megőrzése az ő felelőssége, és hogy a törlés a türelmi idő után nem visszafordítható. A törlés a kérés után 24 órával kezdődhet el. Ez alatt a munkatér használható marad, a kérőt és a munkatér többi adminisztrátorát a Szolgáltató e-mailben értesíti, és a kérés a levélben található linken bejelentkezés nélkül, vagy az alkalmazásban bármikor visszavonható. A végrehajtáskor a Szolgáltató lemondja a munkatér Stripe-előfizetését, majd törli a munkatér adatait: a projekteket, munkaidő-bejegyzéseket, anyagokat, gépeket, naptárbejegyzéseket, jelentéseket, a tagok munkatérhez tartozó adatait és a feltöltött fájlokat (naplófotók, exportok). A biztonsági mentésekben tárolt másolatok a mentési ciklus szerinti felülírási időn belül szűnnek meg. A törlés elvégzéséről a kérő e-mailes igazolást kap. A munkatér törlése nem törli a tagok bejelentkezési fiókját; azt külön, a fent leírt módon lehet törölni. A Stripe-ügyfélrekord és a kiállított számlák a számviteli megőrzési kötelezettség miatt megmaradnak (lásd a 8. pontot). Ha a törlést jogszabályi vagy hatósági kötelezettség akadályozza (jogi zár), a Szolgáltató a törlést a zár megszűnéséig nem hajtja végre.

11. Jogorvoslat

A felhasználó panasszal élhet a felügyeleti hatóságnál:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

• Cím: 1055 Budapest, Falk Miksa utca 9-11.
• Postacím: 1363 Budapest, Pf. 9.
• Telefon: +36 (1) 391-1400
• E-mail: ugyfelszolgalat@naih.hu
• Honlap: naih.hu

A felhasználó jogsérelem esetén bírósághoz is fordulhat. A per – választása szerint – a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható.

12. 16 év alatti személyek

A Szolgáltatás 16 év alatti személyek számára nem elérhető. A Szolgáltató tudatosan nem gyűjt 16 év alatti személyektől személyes adatot.

13. Tájékoztató módosítása

A Szolgáltató jogosult jelen tájékoztató módosítására.

A módosításokról a felhasználók elektronikus úton értesítést kapnak. A mindenkor hatályos tájékoztató a Szolgáltató weboldalán és az alkalmazás Beállítások képernyőjén érhető el.

14. Hatálybalépés

Jelen tájékoztató hatálybalépésének dátuma: 2026.11.12.

Jelen dokumentum az Adatvédelmi tájékoztató 1.0-s verziója.