Adatfeldolgozók és címzettek

Hatályos: 2026. október 3.Verzió: 1.3

Összes jogi dokumentum
Ezen az oldalon

Ez az oldal tételesen felsorolja, hogy kihez kerülnek a Szolgáltatás működése során személyes adatok, milyen szerepben, hol tárolják őket, és milyen jogalapon megy adat az Európai Gazdasági Térségen kívülre. A NAIH gyakorlata szerint nem elég az általános "harmadik felek" fordulat: minden közreműködőt névvel, székhellyel és a konkrét tevékenységgel kell megnevezni - ez az oldal ezt teljesíti. Az adatkezelés céljait és jogalapjait az Adatvédelmi tájékoztató tartalmazza.

A Röviden feliratú összefoglalók tájékoztató jellegűek, a szakasz teljes szövegének megértését segítik. Jogilag minden esetben a teljes szöveg az irányadó.

A dokumentum magyar és angol nyelven érhető el. A két változat eltérése esetén a magyar változat az irányadó, kivéve, ha az angol változat a Fogyasztóra kedvezőbb.

1. A szerepek különbsége

RövidenNem mindegyik címzett adatfeldolgozó. Aki saját célt is meghatároz, az önálló adatkezelő, és a saját szabályzata szerint jár el.

A címzettek három csoportba sorolhatók, és a különbség nem formai:

Adatfeldolgozó
Kizárólag a Szolgáltató dokumentált utasítása szerint kezelhet adatot, a GDPR 28. cikke szerinti szerződés alapján. Saját célra nem használhatja fel. Ide tartozik a Supabase, a Vercel, az OpenAI, a PostHog, a Google Ireland, a Resend, a Formspree és a GitHub (titkosított mentések).
Önálló adatkezelő
Saját célt is meghatároz, és a saját adatvédelmi tájékoztatója szerint jár el; a Szolgáltatónak erre nincs ráhatása. Ide tartozik a kereskedelmi lebonyolító, a Google LLC a belépésnél, és a Telegram az üzemeltető hibaértesítéseinél.
Közös adatkezelő
A gyűjtés és a továbbítás vonatkozásában a Szolgáltatóval együtt határozza meg a célt és az eszközöket (GDPR 26. cikk). Ide tartozik a Meta a hirdetési pixel esetében.

2. A közreműködők listája

RövidenNyolc adatfeldolgozó és négy önálló vagy közös adatkezelő. Az elsődleges tárolás mindenhol az Európai Unióban van, ahol ez technikailag lehetséges.
  • Közreműködő
    Supabase, Inc.
    970 Toa Payoh North, Singapore 318992
    supabase.com/privacy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Adatbázis és hitelesítési infrastruktúra: itt tárolódik a fiók, az esküvőprofil, a vendéglista és minden feltöltött tartalom.
    Tárolás helye
    Európai Unió, Frankfurt (Németország)
    Adattovábbítás jogalapja
    SCC (2021/914/EU)
  • Közreműködő
    Vercel Inc.
    340 Pine Street, Suite 701, San Francisco, CA 94104, USA
    vercel.com/legal/privacy-policy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Az alkalmazás futtatása, tartalomkiszolgálás, technikai naplózás és süti nélküli, összesített látogatottság-mérés (Web Analytics).
    Tárolás helye
    Európai Unió, fra1 régió
    Adattovábbítás jogalapja
    SCC (2021/914/EU)
  • Közreműködő
    OpenAI Ireland Ltd
    The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Írország
    openai.com/policies/privacy-policy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Az AI-funkciók nyelvi feldolgozása (az EGT-beli ügyfelek szerződő fele; a feldolgozás az OpenAI csoport vállalataival történik). Csak az a szöveg megy át, amit a Felhasználó az adott kéréshez megad (a kulturális tanácsadónál a Felhasználó kifejezett hozzájárulásával a pár kulturális és vallási háttere is). Az OpenAI az API-ügyfelek adatait a saját szabályzata szerint nem használja modell-tréningre; a kéréseket visszaélés-figyelés céljából alapértelmezés szerint legfeljebb 30 napig őrzi, kivéve, ha jogszabály hosszabb megőrzést ír elő.
    Tárolás helye
    Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    SCC (2021/914/EU) az OpenAI adatfeldolgozási kiegészítésében
  • Közreműködő
    PostHog, Inc.
    2261 Market Street #4008, San Francisco, CA 94114, USA
    posthog.com/privacy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Termékanalitika: mely funkciókat használják és hol akadnak el a felhasználók. Kizárólag azonosított módban fut, anonim látogatót nem követ.
    Tárolás helye
    Európai Unió, Frankfurt (Németország)
    Adattovábbítás jogalapja
    SCC (2021/914/EU)
  • Közreműködő
    Google Ireland Limited
    Gordon House, Barrow Street, Dublin 4, Írország
    policies.google.com/privacy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Google Analytics 4 webanalitika. Csak marketing-hozzájárulás után tölt be. A meghívó- és feltöltési tokent tartalmazó oldalak ki vannak zárva a mérésből.
    Tárolás helye
    Európai Unió és Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    SCC; továbbítás a Google LLC-nek az EU-USA adatvédelmi keretrendszer (DPF) alapján
  • Közreműködő
    Resend, Inc.
    2261 Market Street #5039, San Francisco, CA 94114, USA
    resend.com/legal/privacy-policy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Tranzakciós e-mailek kézbesítése (regisztráció megerősítése, jelszó-visszaállítás, fiókértesítések). Címzett e-mail-címet és a levél tartalmát kapja meg; hírlevelet nem küldünk rajta.
    Tárolás helye
    Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    SCC (2021/914/EU)
  • Közreműködő
    Formspree, Inc.
    Amerikai Egyesült Államok
    formspree.io/legal/privacy-policy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Megkapja a Kapcsolat oldal űrlapján küldött nevet, e-mail-címet, tárgyat és üzenetet, e-mailben továbbítja a Szolgáltatónak, és a szolgáltatási feltételei szerinti ideig másolatot őriz róla a felületén. Aki nem szeretné használni, közvetlenül is írhat a megadott e-mail-címre.
    Tárolás helye
    Amerikai Egyesült Államok (Amazon Web Services infrastruktúra)
    Adattovábbítás jogalapja
    SCC (2021/914/EU)
  • Közreműködő
    GitHub, Inc.
    88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA
    docs.github.com/site-policy
    Szerep
    Adatfeldolgozó
    Mit csinál
    Az adatbázis és a feltöltött fájlok napi, titkosított mentésének tárolása (14 napi másolat, 6 havi archívum, verzióelőzmény nélkül). A fájlokat feltöltés előtt AES-256-tal titkosítjuk, a kulcs a GitHubnál nincs meg.
    Tárolás helye
    Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    SCC (2021/914/EU) a GitHub adatvédelmi megállapodásában
  • Közreműködő
    Sold through Link, LLC (korábban Lemon Squeezy, LLC)
    222 South Main Street, Suite 500, Salt Lake City, UT 84101, USA
    lemonsqueezy.com/privacy
    Szerep
    Önálló adatkezelő
    Mit csinál
    Kereskedelmi lebonyolító (merchant of record): a saját nevében köti a vásárlást, állítja ki a számlát, és kezeli a kártyaadatokat PCI-DSS szerint. A Szolgáltató csak az előfizetés státuszát és az azonosítókat kapja meg.
    Tárolás helye
    Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    SCC (2021/914/EU)
  • Közreműködő
    Google LLC
    1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
    policies.google.com/privacy
    Szerep
    Önálló adatkezelő
    Mit csinál
    Google-fiókos belépés (OAuth). A Szolgáltató csak a visszaadott azonosítót és e-mail-címet tárolja. Ez az útvonal nem kötelező: e-mail-cím és jelszó is használható.
    Tárolás helye
    Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    EU-USA adatvédelmi keretrendszer (DPF, tanúsított címzett)
  • Közreműködő
    Telegram Messenger Inc.
    EU-képviselő: EDPO, Avenue Huart Hamoir 71, 1030 Brüsszel, Belgium
    telegram.org/privacy
    Szerep
    Önálló adatkezelő
    Mit csinál
    Az üzemeltető azonnali értesítése szerverhibáról. Az értesítés a hiba szövegét és a művelet nevét tartalmazza; az azonosítók csak visszafejthetetlen, 8 karakteres kivonatként szerepelnek, az e-mail-címeket küldés előtt kicseréljük. Az értesítést a személyes adatok minimalizálására terveztük, de egy hibaszöveg ritkán így is tartalmazhat például nevet.
    Tárolás helye
    Európai Unió (Hollandia) az EGT-beli fiókoknál; a vállalkozás az EGT-n kívül van bejegyezve
    Adattovábbítás jogalapja
    A Telegram nem kínál adatfeldolgozási szerződést vagy adattovábbítási kikötést; adattakarékosságra támaszkodunk (3. pont)
  • Közreműködő
    Meta Platforms Ireland Limited
    Merrion Road, Dublin 4, D04 X2K5, Írország
    facebook.com/privacy/policy
    Szerep
    Közös adatkezelő (GDPR 26. cikk)
    Mit csinál
    Hirdetési pixel a Facebook- és Instagram-hirdetések méréséhez. A közös adatkezelés csak a pixelen keresztüli adatgyűjtésre és -továbbításra terjed ki; a további kezelésről a Meta maga dönt, a saját szabályzata szerint. Csak marketing-hozzájárulás után tölt be; hozzájárulás nélkül semmilyen kérés nem indul a Meta felé.
    Tárolás helye
    Európai Unió és Amerikai Egyesült Államok
    Adattovábbítás jogalapja
    SCC; továbbítás a Meta Platforms, Inc.-nek az EU-USA adatvédelmi keretrendszer (DPF) alapján

A listán NEM szerepel külső QR-kódgenerátor: a megosztási linkek QR-kódját a Szolgáltatás saját végponton állítja elő, így a tokenes URL nem hagyja el a szervert. Hibakövető szolgáltatás (Sentry) sincs használatban.

3. Adattovábbítás az EGT-n kívülre

RövidenAz elsődleges jogalap az általános szerződési feltétel (SCC); a tanúsított amerikai címzetteknél az adatvédelmi keretrendszer (DPF). Minden címzettre dokumentált adattovábbítási hatásvizsgálat készült.

A fenti címzettek közül több az Amerikai Egyesült Államokban letelepedett, vagy onnan is hozzáférhet az adatokhoz. Az elsődleges tárolási hely az Európai Unió (Supabase és PostHog: Frankfurt; Vercel: EU-s régió), az USA-ból való hozzáférés azonban önmagában is adattovábbításnak minősül, ezért mindegyikhez megjelöljük a jogalapot.

  • Általános szerződési feltételek (SCC). Az elsődleges jogalap az Európai Bizottság (EU) 2021/914 végrehajtási határozatával elfogadott általános szerződési feltételek, az Európai Adatvédelmi Testület által elvárt kiegészítő intézkedésekkel együtt: titkosítás átvitel közben és nyugalmi állapotban, EU-s tárolás, és a továbbított adatkör minimalizálása.
  • EU-USA adatvédelmi keretrendszer (DPF). Ha az amerikai címzett az érintett adatokra tanúsítvánnyal rendelkezik (Google LLC, Meta Platforms, Inc.), az Európai Bizottság (EU) 2023/1795 megfelelőségi határozatára támaszkodunk; a tanúsítványt a hivatalos listán ellenőrizzük, és időszakosan felülvizsgáljuk. Ha a címzett az SCC-t is aláírta, az szerződéses tartalékként rendelkezésre áll; ha a megfelelőségi határozat vagy egy tanúsítvány megszűnne, az adattovábbítást újraértékeljük, és az SCC-re támaszkodunk vagy felfüggesztjük.
  • Hozzájárulás a marketingeszközökhöz. A Google Analytics 4 és a Meta pixel csak a süti-sávon adott hozzájárulás után aktiválódik. Ez a hozzájárulás a sütik használatára és az adatkezelési célokra vonatkozik; adattovábbítási jogalapként nem használjuk, azt a táblázat címzettenként megadja.
  • Telegram. A Telegram nem kínál adatfeldolgozási szerződést vagy adattovábbítási kikötést. Az értesítéseket ezért a személyes adatok minimalizálására terveztük: az e-mail-címeket, tokeneket, idézett értékeket és adatbázis-kulcsértékeket küldés előtt kicseréljük, az azonosítók pedig csak visszafejthetetlen kivonatként szerepelnek; név csak ritkán, szokatlan hibaszövegben fordulhat elő. Ezt a csatornát folyamatosan felülvizsgáljuk (Adatvédelmi tájékoztató 2.7.).

Minden címzettre dokumentált adattovábbítási hatásvizsgálat készült, amely kérésre megismerhető. Fő megállapítása: a Szolgáltatás szándékosan nem továbbít a GDPR 9. cikke szerinti különleges adatot, egyetlen kivétellel, a kulturális tanácsadóval, amely a Felhasználó kifejezett, külön hozzájárulásával a pár kulturális és vallási hátterét is elküldi az OpenAI-nak (Adatvédelmi tájékoztató 2.2.). Ennek az adatkezelésnek a jogalapja a GDPR 6. cikk (1) bek. a) pontja és 9. cikk (2) bek. a) pontja szerinti kifejezett hozzájárulás, az adattovábbítást pedig az SCC és a fenti kiegészítő intézkedések biztosítják. Szabad szöveges mezőben és fényképen ilyen adat akkor is előfordulhat, ha a Felhasználó maga viszi be (Adatfeldolgozási feltételek 1. pont). A tárolás egyébként ott történik az Európai Unióban, ahol ez technikailag lehetséges, a hozzáférés pedig a szolgáltatás működtetéséhez szükséges mértékre korlátozódik. Ha tudomásunkra jut, hogy egy adattovábbításnak már nincs érvényes jogalapja, a helyzetet haladéktalanul értékeljük, megtesszük a szükséges intézkedéseket, szükség esetén az adattovábbítást felfüggesztjük, és az érintett Felhasználókat tájékoztatjuk, ha ez őket vagy az adataikat lényegesen érinti.

4. Változás a listán

RövidenÚj közreműködő bevonása előtt legalább 15 nappal értesítünk, és kifogásolni is lehet.

A GDPR 28. cikk (2) bekezdése alapján, ha a Szolgáltató új adatfeldolgozót von be, vagy egy meglévőt lecserél, arról a Felhasználókat a változás hatálybalépése előtt legalább 15 nappal értesíti, alkalmazáson belüli üzenetben vagy e-mailben, és ez az oldal is frissül.

A Felhasználó az értesítéstől számított 15 napon belül, észszerű adatvédelmi indokkal tiltakozhat az értesítésben megadott elérhetőségen. A tiltakozást jóhiszeműen megvizsgáljuk, és a változás hatálybalépése előtt válaszolunk. Ha a tiltakozás megalapozott, és észszerű alternatívát nem tudunk ajánlani, a Felhasználó a szerződést a hatálybalépés napjáig díjmentesen felmondhatja, és az adatait az ÁSZF 20. pontja szerint kinyerheti.