Adatkezelési tájékoztató

1. Bevezetés és a tájékoztató célja

Jelen adatkezelési tájékoztató (a továbbiakban: „Tájékoztató") azt írja le, hogy az AM Studios Group Korlátolt Felelősségű Társaság (a továbbiakban: „Adatkezelő" vagy „Szolgáltató") a https://www.szavazzmagadra.hu oldalon elérhető Szavazz Magadra szolgáltatás keretében hogyan kezeli a látogatók személyes adatait.

Az adatkezelés a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról szóló, 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: „GDPR"), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: „Infotv.") rendelkezéseinek megfelelően történik.

A Tájékoztató kifejezett célja, hogy minden érintett számára világosan, érthetően és átlátható módon ismertesse, milyen adatokat, milyen célból, milyen jogalapon, milyen időtartamig kezelünk, kik férnek hozzá ezen adatokhoz, és milyen jogok illetik meg az érintetteket.

2. Az adatkezelő azonosítása és elérhetőségei

Az Adatkezelő nem köteles adatvédelmi tisztviselőt (DPO) kijelölni, mivel a fő tevékenységünk nem áll különleges adatok nagyszámú érintett tekintetében történő, rendszeres és nagymértékű figyelemmel kísérésében [GDPR 37. cikk (1) bekezdés]. Az Adatkezelő évente felülvizsgálja ezt a helyzetet.

3. Fogalommeghatározások

• Személyes adat - azonosított vagy azonosítható természetes személyre vonatkozó bármely információ.
• Különleges adat - a GDPR 9. cikkében felsorolt kategóriák egyike, többek között az egészségi állapotra vonatkozó adat. A kalkulátor által gyűjtött adatok többsége ebbe a körbe tartozik (lásd 7. szakasz).
• Érintett - az a természetes személy, akinek a személyes adatait kezeljük (jelen esetben a kalkulátor használója).
• Adatkezelő - az AM Studios Group Kft.
• Adatfeldolgozó - olyan szervezet, amely az Adatkezelő nevében és utasítása szerint adatokat kezel (pl. Google, Twilio, Vercel - lásd 8. szakasz).
• Hozzájárulás - az érintett akaratának önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű kinyilvánítása.
• Kifejezett hozzájárulás - a fentinél szigorúbb követelmény: a hozzájárulásnak konkrétan az érintett különleges adatok kezelésére kell vonatkoznia (GDPR 9. cikk (2) bek. a) pont).

4. A kezelt adatok köre

Az alábbi táblázat az összes olyan adatot tartalmazza, amelyet a szolgáltatás működtetése során bármilyen formában érintünk vagy tárolunk. A táblázat a GDPR 30. cikke szerinti adatkezelési nyilvántartás kivonata.

4.1 A felhasználó által megadott adatok

4.2 A rendszer által számított (származtatott) adatok

A megadott adatokból az algoritmusunk a következő származtatott értékeket számítja ki. Ezek mindegyike különleges (egészségügyi) adatnak minősül a GDPR 9. cikke értelmében, mivel az érintett egészségi állapotára vonatkozó következtetéseket vonnak le.

• BMR (alapanyagcsere-igény, kcal)
• TDEE (teljes napi energiafelhasználás, kcal)
• Napi célkalória (a tempó és cél alapján korrigálva)
• Napi makrótápanyag-eloszlás (fehérje / szénhidrát / zsír grammban)
• BMI (testtömegindex) szám
• BMI kategória (Alulsúlyos / Normál / Túlsúlyos / Elhízott) - klinikai osztályozás
• Heti edzésszám és napi lépésszám-ajánlás
• Napi vízfogyasztási ajánlás (liter)
• Mozgásterv-leírások (szöveges javaslatok)
• Célterv: hány hét alatt érhető el a célsúly különböző tempóknál (opcionális)

4.3 Technikai metaadatok és hozzájárulási nyilvántartás

• IP cím (csonkolt) - az IPv4 cím utolsó oktettjét, illetve az IPv6 cím utolsó 80 bitjét automatikusan eltávolítjuk a tárolás előtt. Ez a GDPR 5. cikk (1) bekezdés c) pontja szerinti adattakarékossági alapelv érvényesítését szolgálja.
• Böngésző azonosító (User-Agent) - a böngésződ által küldött szabványos fejléc.
• Hozzájárulás időbélyege - a szervert kiszolgáló időbélyeg.
• Hozzájárulás verziója - a Tájékoztató azon verziójának azonosítója, amelyhez a hozzájárulás kapcsolódik (jelenleg: 2.0-2026-04-07).
• Az egyes hozzájárulások állapota - egészségügyi adatok hozzájárulás (kötelező), adatvédelmi tájékoztató elfogadása (kötelező), statisztikai sütik (opcionális).

5. Az adatkezelés céljai

• Személyes étrend- és mozgásterv elkészítése - a megadott adatok alapján napi kalória-, makró- és mozgásajánlás kiszámítása.
• A terv elektronikus kézbesítése - az eredmények emailben történő elküldése a megadott címre.
• A hozzájárulás bizonyítása - a GDPR 7. cikk (1) bekezdés alapján az Adatkezelőt terheli annak bizonyítása, hogy az érintett a hozzájárulását megadta. Ehhez szükséges a hozzájárulás körülményeinek (időbélyeg, csonkolt IP, User-Agent, verzió) tárolása.
• Visszaélések megelőzése - a túlzott terhelés és automatizált visszaélések kiszűrése a csonkolt IP cím rövid távú memóriában tartásával (1 órás csúszóablak, max. 5 kérés / IP-email páros).
• Statisztikai látogatottságmérés (csak külön hozzájárulással) - a Firebase Analytics szolgáltatáson keresztül anonimizált statisztikai adatok gyűjtése a szolgáltatás fejlesztése érdekében. Ez kizárólag akkor történik, ha a süti banneren kifejezetten engedélyezted.

Az adatokat kizárólag a fenti célokra használjuk. Marketing célú profilalkotást nem végzünk, az adatokat harmadik félnek kereskedelmi célból nem adjuk át, és semmilyen körülmények között nem értékesítjük.

6. Az adatkezelés jogalapja

Az adatkezelés jogalapja az érintett egyes adatkategóriák tekintetében a következő:

Érdekmérlegelés a jogos érdek alapú adatkezeléshez

A csonkolt IP cím és a User-Agent mező tárolása az Adatkezelő jogos érdekét képezi a visszaélések megelőzése és a szolgáltatás integritásának biztosítása érdekében. Az érintett jogaival és érdekeivel szembeni hatást a következő intézkedések csökkentik: (1) az IP címet a tárolás előtt /24 (IPv4) vagy /48 (IPv6) szintre csonkoljuk, így az nem alkalmas egyetlen személy egyértelmű azonosítására; (2) a User-Agent mező nyilvános böngészőinformáció; (3) ezeket az adatokat soha nem továbbítjuk harmadik félnek és nem használjuk profilalkotásra. Az érdekmérlegelés eredménye: az Adatkezelő érdeke arányos és elsőbbséget élvez.

7. Különleges (egészségügyi) adatok kezelése

Fontos: a kalkulátor által kezelt adatok többsége - a nem, kor, testsúly, magasság, BMI, BMI-kategória és a származtatott egészség-ajánlások - a GDPR 9. cikke szerinti különleges személyes adatnak minősülnek. Ezek kezelésére a szigorúbb szabályok vonatkoznak.

A 29-es Munkacsoport (jelenleg EDPB) 2015-ös állásfoglalása szerint a testtömeg vagy magasság önmagában nem feltétlenül egészségügyi adat, de ha azokat olyan számításhoz használják fel, amely egészségi állapotra vonatkozó következtetést von le(mint pl. BMI kategória), akkor az egész adatkör egészségügyi adattá válik. A mi szolgáltatásunk pontosan ilyen besorolást végez (Alulsúlyos / Normál / Túlsúlyos / Elhízott), így az adatkör egésze a 9. cikk hatálya alá tartozik.

Ezért az adatkezelés jogalapja a GDPR 9. cikk (2) bekezdés a) pontja szerinti kifejezett hozzájárulás, amelyet az érintett a kalkulátor utolsó lépésénél, egy kifejezetten erre szolgáló jelölőnégyzettel adhat meg. A jelölőnégyzet előre nincs kipipálva, és a hozzájárulás elválasztható a többi opcionális hozzájárulástól (pl. statisztikai sütik).

Az Adatkezelő semmilyen körülmények között nem nyújt orvosi tanácsot, diagnózist vagy terápiát. Az emailben kapott terv kizárólag tájékoztató jellegű; egészségügyi kérdésekben mindig fordulj képesített szakemberhez.

8. Adatfeldolgozók és címzettek

Az adataidat kizárólag az alább felsorolt feldolgozók ismerik meg, és csak a szükséges mértékben. Mindhárom feldolgozó EU-s vagy az EU-USA Adatvédelmi Keretmegállapodás (DPF) tanúsítványával rendelkező szervezet.

Google Ireland Limited (Firebase Firestore + Analytics)

• Szerep: adatfeldolgozó (adattárolás, opcionális statisztika)
• Cím: Gordon House, Barrow Street, Dublin 4, Írország
• Adatkezelési helyszín: Európai Unió, "eur3" multi-régió (Belgium és Hollandia)
• Mit kap: a 4. szakaszban felsorolt összes adatot kivéve a sütiket (azokat csak akkor, ha a statisztikai sütiket engedélyezted)
• Szolgáltatás-feltételek: Firebase Data Processing and Security Terms

Twilio Ireland Limited (SendGrid - email kézbesítés)

• Szerep: adatfeldolgozó (technikai email kézbesítés)
• Cím: 25-28 North Wall Quay, Dublin 1, Írország
• Mit kap: az email címedet és a kiküldendő HTML emailt (amely a kalkulátor eredményét tartalmazza)
• Adatkezelési kiegészítő: Twilio Data Protection Addendum
• Alfeldolgozói lista: Twilio Sub-Processors

Vercel Inc. (alkalmazás-hosztolás)

• Szerep: adatfeldolgozó (kiszolgálási infrastruktúra)
• Cím: 440 N Barranca Ave #4133, Covina, CA 91723, Egyesült Államok
• Adatkezelési helyszín: Frankfurt (eu-central-1) régió a futtatáshoz; az Egyesült Államok a vezérlősíkhoz
• Mit kap: a HTTP kérések technikai metaadatait (IP cím, fejlécek). Ezek a Vercel hozzáférési naplójában maradhatnak ~30 napig.
• Adatkezelési kiegészítő: Vercel Data Processing Addendum

Az adataidat semmilyen más harmadik félnek nem továbbítjuk, és soha nem értékesítjük azokat.

9. Nemzetközi adattovábbítás (Schrems II)

A fenti adatfeldolgozók anyavállalatai (Google LLC, Twilio Inc., Vercel Inc.) az Egyesült Államokban székelnek, és bizonyos támogatási vagy felügyeleti tevékenységeik során az adatok harmadik országba (USA) történő továbbítása előfordulhat. A Schrems II ítélet (C-311/18) alapján az ilyen továbbítások csak megfelelő jogi eszköz mellett jogszerűek.

Az alkalmazott jogi eszközök

• Megfelelőségi határozat (DPF) - 2023. július 10. óta hatályban van az EU-USA Adatvédelmi Keretmegállapodásra vonatkozó megfelelőségi határozat. Mindhárom feldolgozó (Google, Twilio, Vercel) tanúsított az EU-USA Data Privacy Framework keretében. A státuszt itt ellenőrizheted: www.dataprivacyframework.gov/list
• 2021-es szabványos szerződéses záradékok (SCC-k) - amelyek az adatfeldolgozók által egyébként is alkalmazandóak (Decision (EU) 2021/914), és amelyeket a fent hivatkozott DPA dokumentumok tartalmaznak.
• Kiegészítő technikai intézkedések:
  • TLS 1.2+ titkosítás minden átvitel során
  • AES-256 titkosítás a tároláskor (Google-managed)
  • IP cím csonkolása (/24 vagy /48) minimalizálás céljából
  • Az adatok elsődleges tárolási helye az EU (eur3 multi-régió)

A továbbítási hatásvizsgálatunk (Transfer Impact Assessment) belső dokumentumként rendelkezésre áll, és kérésre - megfelelő azonosítás után - bemutatható.

10. Megőrzési idő és törlés

A 24 hónapos megőrzési időt ténylegesen érvényesíti a Firestore TTL-szabály. Az adatkezelési időt nem csupán deklaráltuk, hanem műszaki megoldással biztosítjuk, hogy az adatok automatikusan törlődjenek a határidő lejártakor. A hozzájárulás visszavonása esetén ennél korábban, erre irányuló kérésre haladéktalanul töröljük.

11. Az érintett jogai

A GDPR alapján a következő jogok illetnek meg minden érintettet. Ezek gyakorlásához írj az info@amstudios.hu címre. Az Adatkezelő a megkeresésre 30 napon belül válaszol, kivételes esetben (komplex kérés) ez 60 nappal meghosszabbítható, amiről az érintettet tájékoztatjuk.

• Hozzáférés joga (GDPR 15. cikk) - tájékoztatást kérhetsz arról, hogy kezelünk-e rád vonatkozó adatot, és ha igen, milyen adatot.
• Helyesbítés joga (GDPR 16. cikk) - pontatlan vagy hiányos adataid javítását kérheted.
• Törlés joga ("elfeledtetéshez való jog") (GDPR 17. cikk) - kérheted az adataid végleges törlését, ha azok kezelése már nem szükséges, vagy a hozzájárulásodat visszavontad.
• Adatkezelés korlátozása (GDPR 18. cikk) - kérheted, hogy az adataid kezelését bizonyos esetekben korlátozzuk (pl. amíg a helyesbítési kérésedet feldolgozzuk).
• Adathordozhatóság joga (GDPR 20. cikk) - kérheted az adataid géppel olvasható (JSON) formátumban való átadását, vagy közvetlen továbbítását egy másik adatkezelőhöz.
• Tiltakozás joga (GDPR 21. cikk) - tiltakozhatsz a jogos érdek alapú adatkezelés ellen (pl. csonkolt IP cím tárolása).
• Hozzájárulás visszavonása (GDPR 7. cikk (3)) - bármikor, indoklás nélkül, díjmentesen visszavonhatod a hozzájárulásod. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.
• Panasz joga (GDPR 77. cikk) - panasszal fordulhatsz a felügyeleti hatósághoz (NAIH - lásd 18. szakasz).

Az Adatkezelő ezeket a jogokat díjmentesen biztosítja, kivéve nyilvánvalóan megalapozatlan vagy túlzó kérések esetén, amikor ésszerű díjat számíthat fel, vagy megtagadhatja a kérést a GDPR 12. cikk (5) bekezdése szerint.

12. Hozzájárulás visszavonása

A GDPR alapelve, hogy a hozzájárulás visszavonásának ugyanolyan egyszerűnek kell lennie, mint a megadásának. A hozzájárulásod visszavonásához küldj egy emailt az info@amstudios.hu címre "Hozzájárulás visszavonása" tárggyal és add meg azt az email címet, amellyel a kalkulátort használtad. Az Adatkezelő ellenőrzi a kérés érvényességét, és 5 munkanapon belül törli az összes hozzád köthető submission dokumentumot.

A statisztikai sütik (Firebase Analytics) hozzájárulását bármikor módosíthatod a Sütibeállítások oldalon.

13. Automatizált döntéshozatal és profilalkotás

A GDPR 22. cikke szabályozza a kizárólag automatizált adatkezelésen alapuló döntéseket. A kalkulátor működése automatizált: az általad megadott adatokból egy algoritmus - emberi beavatkozás nélkül - kiszámítja a személyes terved.

A kalkulátor eredménye kizárólag tájékoztató jellegű, és nem hoz olyan döntést, amely rád nézve joghatással járna vagy hasonlóan jelentős mértékben érintene. Az eredményt szabadon figyelmen kívül hagyhatod, megvitathatod orvossal vagy dietetikussal, és emberi felülvizsgálatot kérhetsz az info@amstudios.hu címen, ahol az Adatkezelő képviselője személyesen áttekinti az eredményt és válaszol a kérdéseidre.

Marketing célú profilalkotást az Adatkezelő nem végez. Az eredményeket nem használjuk fel arra, hogy személyre szabott reklámokat küldjünk vagy a viselkedésedet kövessük.

14. Sütik és helyi tárolás

Az Eht. § 155 (4) és az Európai Parlament és a Tanács 2002/58/EK irányelve alapján a nem feltétlenül szükséges sütik elhelyezéséhez előzetes, tájékozott hozzájárulás szükséges. Ezt az alapelvet teljes mértékben betartjuk: a statisztikai célú sütik kizárólagakkor kerülnek elhelyezésre az eszközödön, ha a süti banneren a "Elfogadom" gombra kattintottál.

A süti-beállításaidat bármikor módosíthatod a Sütibeállítások oldalon.

15. Adatbiztonsági intézkedések

Az Adatkezelő a GDPR 32. cikke alapján a kockázatnak megfelelő szintű technikai és szervezési intézkedéseket alkalmaz az adatok védelme érdekében:

• Titkosítás átvitelben - minden HTTP kapcsolat TLS 1.2 vagy újabb verzióval titkosított
• Titkosítás tároláskor - a Firestore alapértelmezetten AES-256 titkosítást alkalmaz
• Hozzáférés-szabályozás - a Firestore biztonsági szabályai minden közvetlen kliens-oldali hozzáférést tiltanak; az adatok kizárólag az Admin SDK-n keresztül, szerver-oldalon érhetők el
• A legkisebb jogosultság elve - a szolgáltatási fiók (service account) csak a feltétlenül szükséges minimális szerepkörrel rendelkezik (Cloud Datastore User)
• Adatminimalizálás - az IP címet a tárolás előtt csonkoljuk; csak a feltétlenül szükséges adatokat kérjük be
• Visszaélés-megelőzés - automatizált rate-limiting (5 kérés / IP-email páros / óra)
• Naplózás - a kiszolgáló oldalon nem naplózunk személyes adatokat (különösen email címet)
• Kulcsforgatás - a szolgáltatási fiók kulcsát évente cseréljük
• Belső dokumentáció - adatkezelési nyilvántartás (GDPR 30. cikk), DPIA (35. cikk), továbbítási hatásvizsgálat (TIA), és incidens-kezelési eljárás belső dokumentumokban karbantartva

16. Adatvédelmi incidens kezelése

A GDPR 33. cikke alapján adatvédelmi incidens esetén az Adatkezelő vállalja, hogy 72 órán belül bejelenti az incidenst a felügyeleti hatóságnak (NAIH) az online bejelentő rendszerén keresztül, amennyiben az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve.

A 34. cikk alapján magas kockázatú incidens esetén az érintetteket is közvetlenül, indokolatlan késedelem nélkül értesítjük a megadott email címen, és tájékoztatást nyújtunk az incidens jellegéről, várható következményeiről és a megtett intézkedésekről.

17. Gyermekek adatai

Az Infotv. § 6 alapján Magyarországon a digitális szolgáltatások kontextusában a kifejezett hozzájárulás megadásához 16. életév betöltése szükséges. Ennek megfelelően:

• A szolgáltatás 16 év alatti személyek számára nem elérhető.
• A kalkulátor űrlap technikailag elutasítja a 16-nál fiatalabb életkort.
• Ha tudomást szerzünk arról, hogy 16 évesnél fiatalabb személytől gyűjtöttünk adatokat, azokat haladéktalanul töröljük.
• Ha gyermek vagy és tévedésből megadtad az adataidat, kérlek értesítsd a szülődet vagy gondviselődet, és írj az info@amstudios.hu címre, hogy adataidat töröljük.

18. Felügyeleti hatóság

Ha úgy ítéled meg, hogy az adatkezelésünk megsérti a jogszabályokat vagy a jogaidat, panaszt tehetsz a magyar felügyeleti hatóságnál:

A panasztétel előtt javasoljuk, hogy először lépj kapcsolatba velünk az info@amstudios.hu címen - sok kérdést gyorsan és közvetlenül meg tudunk oldani.

19. A tájékoztató módosítása

Az Adatkezelő fenntartja a jogot, hogy ezt a Tájékoztatót bármikor egyoldalúan módosítsa - például jogszabályi változás, új adatkezelési cél, vagy új adatfeldolgozó bevezetése esetén. A módosított verziót ezen az oldalon közzétesszük, és a verziószámot, valamint a hatálybalépés dátumát a tetején feltüntetjük.

Lényeges változás esetén az érintetteket a megadott email címen keresztül is értesítjük, és lehetőséget biztosítunk a hozzájárulás újbóli megadására vagy visszavonására.

Az Adatkezelő minden hozzájárulási nyilvántartásban rögzíti, hogy az érintett a Tájékoztató melyik verziójához adta a hozzájárulását. A jelen verzió azonosítója: 2.0-2026-04-07