Adatvédelmi Tájékoztató
Szolgáltatás: RelayDesktop (RelayDesktop.com)
Jelen tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: GDPR vagy Rendelet) 13. és 14. cikke, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) alapján tájékoztatja a RelayDesktop szolgáltatás felhasználóit (a továbbiakban: Érintett vagy Felhasználó) a személyes adataik kezeléséről.
1. Az Adatkezelő kiléte
| Adat | Érték |
|---|---|
| Cégnév | NRD System Kft. |
| Székhely | 7100 Szekszárd, Herman Ottó utca 37. 3. em. 7. |
| Cégjegyzékszám | 17-09-010507 |
| Nyilvántartó bíróság | Szekszárdi Törvényszék Cégbírósága |
| Adószám | 25121326-2-17 |
| Közösségi adószám | HU25121326 |
| Képviselő (ügyvezető) | Bánya Márió |
| Elérhetőség (adatvédelmi ügyekben) | [email protected] |
| Weboldal | https://relaydesktop.com |
Az Adatkezelő önálló adatvédelmi tisztviselő (DPO) kijelölésére a GDPR 37. cikke alapján jelenleg nem köteles (nincs nagy volumenű, rendszeres és szisztematikus megfigyelésen alapuló, illetve különleges adatkategóriákra kiterjedő adatkezelés) — adatvédelmi kérdésekben a fenti kapcsolattartó elérhetőségen érhető el.
2. Kezelt adatok köre, jogalapja, célja és tárolási ideje
A RelayDesktop öt fő adatkategóriát kezel. Az alábbi táblázat kategóriánként adja meg a jogalapot (GDPR 6. cikk (1) bekezdés), a célt és a megőrzési időt.
2.1 Regisztrációs / fiókadatok
| Kezelt adatok | Név (vagy felhasználónév), e-mail cím, jelszó kizárólag hash-elt formában (a nyers jelszót az Adatkezelő soha nem tárolja és nem is ismerheti meg), fiók-szerepkör (tulajdonos/admin/felhasználó), B2B esetén cégnév és adószám; a checkout-folyamat jognyilatkozatainak naplója (ÁSZF/Adatvédelmi tájékoztató elfogadása, B2C Előfizetőnél az azonnali szolgáltatás-megkezdést kérő jelölőnégyzet állapota) — mindegyikhez időbélyeg, a Felhasználó azonosítója és IP-címe |
| Jogalap | GDPR 6. cikk (1) bek. b) pont — szerződés teljesítése (a fiók és a szolgáltatás nyújtásának előfeltétele) |
| Cél | Azonosítás, bejelentkezés, a szolgáltatáshoz és a célgépekhez való hozzáférés kezelése, számlázási/B2B adószám-validáció |
| Tárolási idő | A fiók fennállása alatt, majd az előfizetés megszűnését követően a jelen tájékoztató 4. pontjában részletezett törlési folyamat szerint. Inaktivitás esetén (pl. az Ingyenes csomagnál) 1 év után a fiók automatikusan törlésre kerül, 30 és 7 nappal előtte figyelmeztető e-mail mellett |
2.2 Fizetési / számlázási adatok
| Kezelt adatok | Számlázási név és cím, előfizetési csomag, díj, fizetési státusz, a Stripe által visszaadott tranzakció-azonosító. A bankkártya-adatokat (kártyaszám, lejárat, CVC) az Adatkezelő SOHA nem látja, nem kéri be és nem tárolja — azokat kizárólag a fizetési szolgáltató, a Stripe kezeli, közvetlenül az Érintett és a Stripe között (PCI-DSS SAQ-A minősítésű integráció, ami a lehető legalacsonyabb kártyaadat-érintettséget jelenti a kereskedő oldalán) |
| Jogalap | GDPR 6. cikk (1) bek. b) pont (szerződés teljesítése) a díjbeszedésre; c) pont (jogi kötelezettség teljesítése) a számla kiállítására és megőrzésére, a számvitelről szóló 2000. évi C. törvény és az általános forgalmi adóról szóló 2007. évi CXXVII. törvény alapján |
| Cél | Előfizetési díj beszedése, számla kiállítása, NAV Online Számla adatszolgáltatás |
| Tárolási idő | 8 év — lásd részletesen a 3. pontot |
2.3 Használati telemetria és statisztika
| Kezelt adatok | Aktív használati óraszám, relay/forgalmi statisztika (átvitt adatmennyiség, relay_ratio), session-hossz és -szám, kapcsolat-minőségi mutatók (RTT, csomagvesztés), sikertelen belépési kísérletek, biztonsági anomália-jelzők. Ez a réteg a per-felhasználó statisztika és a szolgáltatás-minőségi/csalás-elleni elemzés alapja |
| Jogalap | GDPR 6. cikk (1) bek. b) pont (a csomaghatárok — pl. időkorlát, egyidejű kapcsolat-szám — kikényszerítése a szerződés/előfizetés része) és f) pont (jogos érdek: szolgáltatásminőség, kapacitástervezés, csalás-/visszaélés-észlelés, indokolt esetben célzott upsell-ajánlat) |
| Cél | Csomag-korlátok betartatása, hibaelhárítás, kapacitástervezés, biztonsági anomália-észlelés, upsell-célzás |
| Tárolási idő | Rétegzett: részletes idősoros adat (Cloudflare Analytics Engine) 30 nap, napi aggregátum (D1) 1 év, hosszú távú archívum (R2) legfeljebb 7 év, biztonsági naplók (sikertelen belépés stb.) 12 hónap |
Fontos elv (adat-minimalizálás): ez a réteg kizárólag metaadatot kezel. A RelayDesktop soha nem rögzíti és nem tárolja a távoli munkamenet tartalmát — sem képernyőképet, sem billentyűleütést, sem vágólap-tartalmat, sem fájlnevet. Az IP-cím a feldolgozás során hash-elt (pepper-elt) formában kerül tárolásra, az időbélyegek 1 perces "bucket"-be aggregálva.
2.4 Eszköz-metaadat
| Kezelt adatok | Eszköz-azonosító (a rendszer által generált), eszköz-fingerprint (hoszt-név, géptípus jellemzők hash-elt formában), az eszközhöz rendelt felhasználó(k) és jogosultsági szint, utolsó jelentkezés (heartbeat) időpontja. NEM tartalmazza a képernyő tartalmát — a relay-infrastruktúra technikailag vak közvetítő |
| Jogalap | GDPR 6. cikk (1) bek. b) pont (a szolgáltatás — a távoli hozzáférés — technikai előfeltétele) és f) pont (jogos érdek: eszköz-visszaélés, jogosulatlan hozzáférés elleni védelem, provisioning-token védelem) |
| Cél | A célgép azonosítása és a hozzáférés-jogosultság érvényesítése, a 24 órás heartbeat-alapú revalidáció, visszaélés (pl. token-lopás) észlelése |
| Tárolási idő | Az eszköz aktív regisztrációja alatt; törléskor/leválasztáskor a jelen tájékoztató 4. pontja szerint |
2.5 Support-ticket tartalma (AI-alapú ügyfélszolgálat)
| Kezelt adatok | A support-ticket szövege (az Érintett által megadott kérdés/probléma leírása), az esetlegesen abban önkéntesen megadott személyes adatok, az AI-triázs által generált válasz-javaslat és bizalmi (confidence) szint |
| Jogalap | GDPR 6. cikk (1) bek. b) pont (szerződés teljesítése — ügyfélszolgálat nyújtása) |
| Cél | Ügyfélkérdések megválaszolása; az induló szakaszban (az első 2–4 hétben) minden AI-válaszjavaslatot ember hagy jóvá küldés előtt, ezt követően csak magas bizalmi szint esetén megy ki automatikusan a válasz |
| Tárolási idő | Az ügy lezárását követően a panaszkezeléshez és az esetleges igényérvényesítéshez szükséges ideig, a jogszabályban előírt megőrzési idő figyelembevételével; ha jogvita-kockázat indokolja, audit céllal hosszabb ideig is megőrizhető |
Fontos: ha egy support-ticket tartalma személyes adatot érint és a ticket triázsához AI-feldolgozás (OpenRouter.ai) szükséges, ez a 6. pontban részletezett adatfeldolgozói és nemzetközi adattovábbítási szabályok hatálya alá esik.
3. Tárolási idő — különös figyelem a számviteli megőrzési kötelezettségre
A legtöbb adatkategóriánál a tárolási idő a fenti táblázatokban szerepel. Egy kategóriánál azonban a GDPR törléshez való joga (17. cikk) korlátozott, és ezt fontos világosan érteni:
A számlák és az azokhoz kapcsolódó számviteli bizonylatok/audit napló a 2000. évi C. törvény a számvitelről 169. § (2) bekezdése alapján a számla kiállításától számított 8 évig megőrzendők. Ez a kötelezettség jogszabályi eredetű, és a GDPR 17. cikk (3) bekezdés b) pontja kifejezetten kimondja, hogy a törléshez való jog nem alkalmazandó, amennyiben az adatkezelés jogi kötelezettség teljesítéséhez szükséges.
Gyakorlati következmény: ha egy Érintett a fiókja teljes törlését kéri (akár GDPR-alapú törlési kérelem, akár egyszerű felmondás útján), a RelayDesktop:
- törli/anonimizálja a fiók személyes adatait (név, e-mail, eszköz-adatok stb.),
- de a már kiállított számlákat és a hozzájuk tartozó tranzakciós/audit-adatokat a törvényi 8 éves határidő lejártáig megőrzi, mert ezt jogszabály írja elő, nem az Adatkezelő döntése.
Ez a szabály nem GDPR-megkerülés, hanem a GDPR-ba beépített, más uniós/tagállami jogszabállyal fennálló kollízió kifejezett feloldása.
4. GDPR törlési folyamat — gyakorlati lépések
A fiók törlése (akár önkéntes lemondás, akár explicit GDPR-törlési kérelem alapján) az alábbi automatizált folyamat szerint zajlik:
- Figyelmeztető e-mail a törlés előtt és a törlés napján.
- Eszköz-visszavonás (device revoke) a rendezvous- és relay-infrastruktúrán — a törölt fiókhoz tartozó eszközök azonnal elvesztik a hozzáférést.
- Személyes adatok anonimizálása az adatbázisban (D1) — a név, e-mail, egyéb közvetlen azonosító eltávolítása/hash-elése.
- A számlák és az audit napló a 3. pontban leírt 8 éves megőrzési kötelezettség miatt NEM törlődik — ez a lépés kifejezetten kivétel, nem hiba.
- A tenant-hoz tartozó fájlok (pl. exportok) törlése a tárolóból (R2).
- Minden törlési esemény naplózásra kerül (
gdpr_requestsaudit-tábla) — ez bizonyítja a kérelem teljesítését egy esetleges hatósági ellenőrzés esetén.
Explicit, önkéntes törlési kérelem esetén ez a folyamat azonnal elindítható, nem kell megvárni az előfizetés lejártát — de a számla-megőrzési kivétel ekkor is fennáll.
5. Adatfeldolgozók és adattovábbítás címzettjei
Az Adatkezelő az alábbi adatfeldolgozókat (GDPR 28. cikk szerinti Processor) veszi igénybe. Egyikük sem önálló adatkezelő a továbbított adatok tekintetében, hanem az Adatkezelő utasítása alapján, szerződéses keretek (adatfeldolgozási szerződés / DPA) között jár el.
| Adatfeldolgozó | Szerep | Érintett adatkategória | Székhely / adatfeldolgozás helye |
|---|---|---|---|
| Stripe, Inc. | Fizetés lebonyolítása, bankkártya-adatok kezelése, számlázási esemény (webhook) | Fizetési/számlázási adatok (2.2 pont) | Amerikai Egyesült Államok (EU-n kívüli adattovábbítás, ld. 6. pont) |
| Számlázz.hu (KBOSS.hu Kft.) | Elektronikus számla kiállítása, NAV Online Számla adatszolgáltatás | Számlázási adatok (2.2 pont) | Magyarország |
| Cloudflare, Inc. | Teljes technikai infrastruktúra (Workers, D1, R2, Analytics Engine, Pages, e-mail-routing, Turnstile) | Gyakorlatilag valamennyi adatkategória (a teljes control plane Cloudflare-en fut) | Globális hálózat, USA-székhelyű anyavállalat (EU-n kívüli adattovábbítás, ld. 6. pont) |
| OpenRouter, Inc. | AI-alapú support-triázs és biztonsági anomália-magyarázat | Support-ticket tartalma, ha személyes adatot érint (2.5 pont); biztonsági esemény-metaadat | Az OpenRouter API-n keresztül több AI-modell-szolgáltató (pl. USA-alapú) is feldolgozhatja az adatot — EU-n kívüli adattovábbítás, ld. 6. pont |
| Resend | Tranzakciós e-mailek (regisztráció-megerősítés, számla-értesítés, figyelmeztetések) kézbesítése | E-mail cím, az e-mail tartalma | Resend, Inc., Amerikai Egyesült Államok (San Francisco, CA) — EU-n kívüli adattovábbítás, ld. 6. pont |
| Contabo GmbH, Hetzner Online GmbH, RackForest Zrt. | A relay-kiszolgálók (a távoli munkamenetek titkosított forgalmát továbbító szerverek) bérelt infrastruktúrája | A kapcsolódó eszközök IP-címe és a kapcsolat technikai metaadatai; a munkamenet tartalma végponttól végpontig titkosított, ahhoz a relay és üzemeltetője nem fér hozzá | Contabo GmbH: München, Németország · Hetzner Online GmbH: Gunzenhausen, Németország · RackForest Zrt.: Budapest, Magyarország (mindhárom székhelye az EGT-n belül van; az egyes relay-kiszolgálók helye a kapcsolat régiójától függ) |
| NAV (Nemzeti Adó- és Vámhivatal) | Törvényi adatszolgáltatás (NAV Online Számla) — nem adatfeldolgozói jogviszony, hanem jogszabályi kötelezettségen alapuló adattovábbítás | Számlázási adatok (2.2 pont) | Magyarország |
Fontos: minden fenti, DPA-alapon eljáró adatfeldolgozóval (a NAV kivételével, mert az önálló adatkezelőként, jogszabályi kötelezettség alapján kapja az adatot) a RelayDesktop (NRD System Kft.) a GDPR 28. cikke alapján adatfeldolgozási szerződést (DPA-t) köteles kötni.
6. Adattovábbítás az Európai Gazdasági Térségen (EGT) kívülre
A fenti táblázatban jelölt adatfeldolgozók közül a Stripe, a Resend és az OpenRouter amerikai székhelyű, illetve a Cloudflare globális infrastruktúráján keresztül szintén sor kerülhet EGT-n kívüli adatfeldolgozásra.
Az EGT-n kívüli adattovábbítás jogszerű alapja a GDPR V. fejezete szerint jellemzően:
- a szolgáltató EU–USA Adatvédelmi Keretrendszer (EU-U.S. Data Privacy Framework, DPF) szerinti tanúsítása (megfelelőségi határozat, GDPR 45. cikk) — a Stripe, a Cloudflare és a Resend nyilvános adatvédelmi nyilatkozata szerint e keretrendszer alapján tanúsított, és/vagy
- az Európai Bizottság által elfogadott általános adatvédelmi kikötések (Standard Contractual Clauses, SCC-k) (GDPR 46. cikk (2) bekezdés c) pont) — az OpenRouter adatfeldolgozási szerződése ezeken alapul, a Cloudflare pedig a DPF-tanúsítás megszűnése esetére, valamint egyéb EGT-n kívüli továbbításokra is ezeket alkalmazza.
Az egyes adattovábbításokra alkalmazott garanciáról az Érintett az 1. pontban megadott adatvédelmi elérhetőségen további tájékoztatást kérhet.
7. Az Érintett jogai
A GDPR III. fejezete alapján az Érintettet az alábbi jogok illetik meg a rá vonatkozó személyes adatok kezelésével kapcsolatban:
| Jog | Röviden | Megjegyzés |
|---|---|---|
| Hozzáférés (GDPR 15. cikk) | Tájékoztatást kérhet arról, hogy kezelünk-e rá vonatkozó adatot, és ha igen, milyet | — |
| Helyesbítés (GDPR 16. cikk) | Kérheti a pontatlan adatok kijavítását | Sok adat (pl. profil-adatok) önkiszolgáló módon, a portálon is módosítható |
| Törlés / "elfeledtetéshez való jog" (GDPR 17. cikk) | Kérheti adatai törlését | Korlátozott a 3. pontban ismertetett 8 éves számviteli megőrzési kötelezettség tekintetében |
| Adatkezelés korlátozása (GDPR 18. cikk) | Bizonyos esetekben kérheti az adatkezelés felfüggesztését törlés helyett | — |
| Adathordozhatóság (GDPR 20. cikk) | Kérheti a saját adatai strukturált, géppel olvasható formátumban történő átadását | A fiók-adatok exportja a self-service portálról is elérhető |
| Tiltakozás (GDPR 21. cikk) | A jogos érdeken alapuló adatkezelés (pl. telemetria egyes elemei, upsell-célzás) ellen tiltakozhat | Az Adatkezelő ilyenkor mérlegeli, hogy van-e olyan kényszerítő jogos érdek, ami felülírja a tiltakozást |
A jogok gyakorlása a 1. pontban megadott adatvédelmi kapcsolattartói elérhetőségen kezdeményezhető. Az Adatkezelő a kérelmet indokolatlan késedelem nélkül, de legfeljebb egy hónapon belül teljesíti (GDPR 12. cikk (3) bekezdés).
8. Panasztételi jog
Amennyiben az Érintett úgy ítéli meg, hogy adatainak kezelése sérti a GDPR-t vagy az Infotv.-t, panasszal élhet a felügyeleti hatóságnál:
Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) Cím: 1055 Budapest, Falk Miksa utca 9–11. Postacím: 1363 Budapest, Pf.: 9. Telefon: +36 1 391 1400 E-mail: [email protected] Weboldal: https://naih.hu
Az Érintett a jogainak megsértése esetén bírósághoz is fordulhat (Infotv. és a Polgári perrendtartásról szóló törvény szerinti hatáskörrel és illetékességgel rendelkező bíróság előtt).
9. Sütik (cookie-k)
A RelayDesktop weboldala és ügyfélportálja a működéshez szükséges munkamenet-kezeléshez sütit (cookie-t) használ; statisztikai/analitikai vagy marketing célú sütit jelenleg nem használ. A sütik kategóriáiról, céljáról, élettartamáról és a hozzájárulás visszavonásának módjáról külön Cookie-tájékoztató ad részletes felvilágosítást, az elektronikus hírközlésről szóló 2003. évi C. törvény 155. §-a és a GDPR alapján.
A hatályos Cookie-tájékoztató a /cookie-tajekoztato aloldalon érhető el.
10. A tájékoztató módosítása
Az Adatkezelő fenntartja a jogot jelen tájékoztató módosítására (pl. jogszabályváltozás, új adatfeldolgozó bevonása, új funkció esetén). A módosításokról az Érintetteket a weboldalon és/vagy e-mailben tájékoztatjuk. A mindenkor hatályos verzió a weboldalon érhető el.