Adatvédelmi tájékoztató

1. Az adatkezelő és elérhetőségei

A Dosszi szolgáltatást a(z) DRB Services Kft. (a továbbiakban: Szolgáltató) üzemelteti. Adatvédelmi kérdéseivel, kérelmeivel a [email protected] címen fordulhat hozzánk.

2. Kinek a nevében kezeljük az adatokat?

A Dosszi üzleti szolgáltatás: cégek (a továbbiakban: Ügyfél) használják, hogy munkatársaik számlákat és más iratokat rögzítsenek és töltsenek fel. Ezért kétféle szerepben kezelünk adatokat:

• Adatfeldolgozóként az Ügyfél által (a munkatársai révén) feltöltött dokumentumok és azok adatai (például a számlákon szereplő nevek, címek, adószámok, tételek) tekintetében. Ezeknek az adatoknak az Ügyfél az adatkezelője: ő határozza meg, mit tölt fel, mennyi ideig őrzi és ki férhet hozzá. Ezeket az adatokat kizárólag az Ügyfél utasításai szerint, a vele kötött adatfeldolgozási megállapodás (GDPR 28. cikk) alapján kezeljük. Az ilyen adatokkal kapcsolatos kérelmeit elsősorban a munkáltatójához (az Ügyfélhez) intézze; ha hozzánk érkezik, továbbítjuk az Ügyfélnek.
• Adatkezelőként a felhasználói fiókok adatai, a bejelentkezési és biztonsági naplók, a készülékadatok, a hibadiagnosztika és az alkalmazás használati statisztikái tekintetében. Ezekre vonatkoznak elsősorban az alábbi pontok.

3. Milyen adatokat, milyen célból és jogalapon kezelünk?

Fiókot nem lehet szabadon regisztrálni: a felhasználót az Ügyfél cégadminisztrátora vagy a Szolgáltató hívja meg. A meghívó kiküldéséhez szükséges adatokat ezért az Ügyféltől kapjuk.

Az Ügyfél cégadminisztrátora a cégéhez tartozó felhasználók fiókadatait, a feltöltött dokumentumokat és a cég műveleti naplóját láthatja. A céges felhasználó a beállításától függően a saját vagy a cég összes dokumentumát látja. Automatizált döntéshozatalt vagy profilalkotást, amely Önre joghatással járna, nem végzünk; adatait nem adjuk el és reklámcélra nem használjuk.

4. Adatfeldolgozók és címzettek

A szolgáltatás működtetéséhez az alábbi adatfeldolgozókat vesszük igénybe. Mindegyikükkel adatfeldolgozási megállapodást kötöttünk.

• DigitalOcean, LLC (USA) – tárhely, alkalmazásszerver, adatbázis és fájltárolás. Az adatok tárolási helye: Frankfurt (Németország, EU).
• Resend (USA) – rendszerüzenetek (meghívó, belépési kód, jelszó-visszaállítás, értesítések) e-mailes kézbesítése: címzett neve, e-mail-címe és az üzenet tartalma.
• Google (Firebase Cloud Messaging) – push értesítések kézbesítése a mobilalkalmazásba: push token és az értesítés szövege (dokumentumnév, állapot). iOS-eszközökön a kézbesítés az Apple Push Notification szolgáltatásán keresztül történik.
• Functional Software, Inc. (Sentry) (USA) – az alkalmazás hibajelentéseinek fogadása és elemzése, személyes adatok nélkül.
• PostHog – termékanalitika az EU-ban (Frankfurt) üzemeltetett felhőben.
• Cloudflare, Inc. (Turnstile) (USA) – robotszűrés a webes bejelentkezési és jelszókezelő űrlapokon: IP-cím és böngészőjellemzők.

Harmadik országba történő továbbítás. A Resend, a Sentry hibajelentés-fogadó szolgáltatása, a Cloudflare és a Google szolgáltatásai az Egyesült Államokban is kezelhetnek adatokat; a DigitalOcean és a PostHog amerikai anyavállalata az EU-ban tárolt adatokhoz üzemeltetési célból hozzáférhet. Ezekben az esetekben az adattovábbítás az Európai Bizottság által elfogadott általános szerződési feltételek (GDPR 46. cikk (2) bekezdés c) pont, 2021/914/EU határozat), illetve – ha a szolgáltató tanúsított – az EU–USA adatvédelmi keretrendszer (megfelelőségi határozat, GDPR 45. cikk) alapján történik. A garanciák másolatát a [email protected] címen kérheti.

Hatósági megkeresés esetén adatot csak jogszabályban előírt esetben és mértékben adunk át.

5. Megőrzési idők összefoglalva

• Fiókadatok: a fiók fennállása alatt és utána 30 napig.
• Műveleti (audit) napló: 1 év.
• Belépési kódok: 10 perc; munkamenetek: 30 perc tétlenség vagy 12 óra; az alkalmazás frissítő tokenje: 7 nap használat nélkül.
• Push token: kijelentkezésig vagy a készülék visszavonásáig.
• Dokumentumok: az Ügyfél utasítása szerint; a számviteli bizonylatok 8 éves megőrzése (Számv. tv. 169. §) az Ügyfél kötelezettsége.
• Hibajelentések: legfeljebb 90 nap; termékanalitika: legfeljebb 12 hónap; a fiók törlésekor a személyprofilt töröljük.

6. Adatbiztonság

• Minden kapcsolat titkosított (HTTPS/TLS), a webes felület szigorú biztonsági fejlécekkel működik.
• Minden bejelentkezéshez kötelező a jelszó és az e-mailben kapott egyszer használható kód (kétlépcsős azonosítás).
• A jelszavakat és a kódokat csak egyirányú kivonatként tároljuk; sikertelen próbálkozások után a fiók átmenetileg zárolódik.
• A fájlok privát tárhelyen vannak, nyilvános link nem létezik; megnyitásuk bejelentkezés után, 60 másodpercig érvényes linkkel történik.
• A mobilalkalmazás helyi adatbázisa titkosított, és egy perc tétlenség után az alkalmazás biometrikus azonosítással vagy a készülék kódjával zárható fel.
• A műveleti napló utólag nem módosítható és nem törölhető.

7. Az Ön jogai

A GDPR alapján Ön jogosult:

• hozzáférésre (15. cikk): tájékoztatást és másolatot kérhet a kezelt személyes adatairól;
• helyesbítésre (16. cikk): nevét a Beállítások oldalon maga is módosíthatja, e-mail-címének módosítását a cégadminisztrátorától vagy tőlünk kérheti;
• törlésre (17. cikk): kérheti fiókja és személyes adatai törlését;
• az adatkezelés korlátozására (18. cikk);
• adathordozhatóságra (20. cikk): a fiókadatait géppel olvasható formában (JSON) is kikérheti;
• tiltakozásra (21. cikk): a jogos érdeken alapuló adatkezelés – így a termékanalitika – ellen bármikor tiltakozhat.

Hogyan nyújthatja be kérelmét?

• Fióktörlés az alkalmazásból vagy a webről: a mobilalkalmazás Beállítások menüjében, illetve a platform.dosszi.app Beállítások oldalán válassza a „Fiók törlésének kérése” lehetőséget. A kérelemről értesítjük a cége adminisztrátorát és a Szolgáltatót, majd a fiókot töröljük, és erről e-mailben tájékoztatjuk.
• E-mailben: minden más kérelmet a [email protected] címre küldhet, lehetőleg a fiókjához tartozó e-mail-címről. Ha kétségünk merül fel személyazonosságát illetően, további azonosítást kérhetünk.

Kérelmére indokolatlan késedelem nélkül, legfeljebb egy hónapon belül válaszolunk; ez a határidő indokolt esetben további két hónappal meghosszabbodhat, amiről értesítjük. A válasz díjmentes. A fiók törlése nem érinti a cége által feltöltött dokumentumokat: azok az Ügyfél adatai, megőrzésükről az Ügyfél dönt (lásd 2. és 3.3. pont); ezek tekintetében kérelmét továbbítjuk az Ügyfélnek.

8. Jogorvoslat

Ha úgy látja, hogy személyes adatai kezelése sérti a jogszabályokat, kérjük, először forduljon hozzánk a [email protected] címen, hogy orvosolhassuk a problémát. Panaszt tehet a felügyeleti hatóságnál is:

Jogai megsértése esetén bírósághoz is fordulhat (GDPR 79. cikk, Infotv. 23. §); a per – választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindítható.

9. Sütik (cookie-k)

A dosszi.app weboldal nem használ sütiket, analitikát vagy külső követőkódot; a betűtípusokat is saját szerverünkről töltjük be.

A platform.dosszi.app webes felület kizárólag a működéshez feltétlenül szükséges sütiket használja:

• __Host-dosszi_session – a bejelentkezett munkamenet sütije (csak a szerver olvashatja; 30 perc tétlenség után, de legfeljebb 12 óra elteltével lejár);
• a bejelentkezés e-mailes kódellenőrző lépésének rövid életű sütije (10 perc);
• dosszi_sidebar – megjegyzi, hogy az oldalsáv össze van-e csukva (személyes adatot nem tartalmaz, 1 év).

Ezekhez nem kell hozzájárulás (az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése). Analitikai vagy reklámcélú sütit a webes felület nem használ.

10. A tájékoztató módosítása és hatálya

A tájékoztatót a szolgáltatás vagy a jogszabályok változása esetén módosíthatjuk. Lényeges változás esetén a hatálybalépés előtt e-mailben vagy a szolgáltatásban értesítjük a felhasználókat. A mindenkor hatályos változat ezen az oldalon érhető el (dosszi.app/adatvedelem/).