Adatvédelmi tájékoztató

1. Bevezetés

A Phora AI (a továbbiakban: 'mi', 'szolgáltató') elkötelezett a személyes adataid védelme mellett. Ez az adatvédelmi tájékoztató bemutatja, hogyan gyűjtjük, használjuk, osztjuk meg és védjük az adataidat, amikor igénybe veszed az AI-alapú képátalakító szolgáltatásunkat. A Phora támogatja a Shopify, WooCommerce, BigCommerce és más e-kereskedelmi platformokat.

A fiók létrehozásával és a Phora AI használatával elfogadod az adatkezelési gyakorlatunkat a jelen tájékoztatóban leírtak szerint.

Adatkezelő (szolgáltató) azonosító adatai

A 2001. évi CVIII. törvény (Ekertv.) 4. §-a, valamint a GDPR 13. cikke alapján közzétett kötelező azonosítók:

Adatvédelmi tisztviselő (DPO)

A GDPR 37. cikke alapján a Phora AI nem köteles adatvédelmi tisztviselőt kinevezni, és jelenleg nem nevezett ki DPO-t. Adatvédelemmel kapcsolatos kérdésekben a [email protected] címre írhatsz, 'GDPR kérés' tárgymegjelöléssel.

2. Milyen adatokat gyűjtünk

2.1 Kereskedői adatok

Fiók létrehozásakor az alábbi adatokat gyűjtjük:

• Fiókadatok: E-mail cím, név (e-mail/jelszó alapú regisztrációnál)
• Bolt domain: A boltod URL-je az azonosításhoz és csatlakozáshoz
• Hozzáférési token: OAuth token a boltod adatainak eléréséhez
• Bolt információk: A platformod által biztosított alapvető boltadatok

2.2 Termékadatok

A képátalakítási szolgáltatás nyújtásához hozzáférünk:

• Termékazonosítók: Az átalakításra kiválasztott termékek azonosítói
• Termékképek: Az AI átalakításra kiválasztott képfájlok
• Termék metaadatok: Variáns azonosítók és kép URL-ek

2.3 Használati adatok

Automatikusan gyűjtjük:

• Feladatinformációk: Átalakítási feladatok, promptok, stílusok és állapotok
• Számlázási adatok: Kreditcsomag szint, kredithasználat és tranzakciók
• Technikai naplók: Hibanaplók és teljesítménymutatók a szolgáltatás fejlesztéséhez
• Technikai adatok: IP cím, böngésző típusa és verziója, eszközinformációk hibakereséshez, visszaélés-megelőzéshez és a szolgáltatás biztonságának fenntartásához (Sentry hibakövetésen keresztül)
• Adminisztrátori hozzáférés (impersonate): Ügyfélszolgálati hibaelhárítás céljából kijelölt adminisztrátor a fiókodba belépve vizsgálhat hibákat. Minden ilyen belépés audit naplóba kerül, a belépett adminisztrátor azonosítója, időpont és indok rögzítésével. Jogalap: a GDPR 6. cikk (1) f) szerinti jogos érdek (szolgáltatás üzemeltetése, hibaelhárítás).

2.4 Amit NEM gyűjtünk

3. Mire használjuk az adataidat

3.1 Szolgáltatásnyújtás

• AI képátalakítások feldolgozása a Google Gemini AI segítségével
• Átalakított képek feltöltése a termékkatalógusodba
• Feladatsorok és feldolgozási állapotok kezelése

3.2 Számlázás és kreditkezelés

• Kredithasználat és csomagvásárlások nyilvántartása
• Kreditegyenlegek és funkciószintek kezelése
• Használati jelentések készítése az átláthatóság érdekében

3.3 Szolgáltatásfejlesztés

• Összesített használati minták elemzése a funkciók fejlesztéséhez
• Teljesítménymutatók és hibaráták figyelése
• Belső elemzések a hatékonyság növeléséhez

3.4 Biztonság és megfelelőség

• Audit naplók vezetése biztonsági célokból
• Csalás és visszaélés észlelése és megelőzése
• Jogszabályi kötelezettségek teljesítése és a Felhasználási feltételek érvényesítése

4. Adatmegosztás és továbbítás

4.1 Harmadik fél szolgáltatók (alvállalkozók)

Az alábbi szolgáltatókkal (alvállalkozókkal) osztunk meg adatokat. Mindegyikkel GDPR-megfelelő adatfeldolgozói szerződés (DPA) áll fenn. A teljes, naprakész alvállalkozói lista a legal-subprocessors.md dokumentumban érhető el:

• Google Gemini AI: Google Gemini AI (Google Cloud, US): AI képátalakítás. EU-US Data Privacy Framework megfelelő. A Google Cloud DPA-ja érvényes: https://policies.google.com/privacy
• Amazon S3: Amazon Web Services S3 (EU, eu-central-1): Képek ideiglenes tárolása presigned upload-hoz (48 órán belül törlődnek).
• Railway: Railway (EU, Amsterdam): Alkalmazás hosting, PostgreSQL adatbázis és napi backup.
• Upstash Redis: Upstash Redis (EU, Ireland): Rate limiting és gyorsítótárazás.
• Stripe: Stripe (US + Ireland): Fizetés-feldolgozás és számlázás. PCI-DSS Level 1, bankkártya-adatot a PHORA nem tárol.
• Sentry: Sentry (US): Hibakövetés és performance monitoring. Csak hibaadatok és technikai adatok.
• Resend: Resend (EU/US): Tranzakcionális emailek küldése (regisztráció, jelszó-visszaállítás, értesítések).
• Google OAuth: Google OAuth (US): Bejelentkezés Google fiókkal (opcionális). Csak email, név és profilkép URL.

4.2 E-kereskedelmi platformok

A platformod API-ján keresztül (Shopify, WooCommerce, BigCommerce) az alábbiakat végezzük:

• Termék- és médiaadatok olvasása
• Átalakított képek feltöltése
• Termékinformációk szinkronizálása

4.3 Jogi kötelezettségek

Az adataidat közzétehetjük, ha jogszabály kötelez rá, vagy az alábbi célokból:

• Jogi eljárásoknak vagy hatósági megkereséseknek való megfelelés
• Felhasználási feltételeink érvényesítése
• A Phora AI, felhasználóink vagy a nyilvánosság jogainak, tulajdonának vagy biztonságának védelme

5. Adatmegőrzés

5.1 Aktív kereskedők

Amíg aktívan használod a Phora AI-t, az alábbi konkrét időtartamokkal őrizzük meg az adatokat:

• Feladatelőzmények: A fiók aktív időtartamáig (korlátlan) — az eredmények letöltéséhez hozzáférsz bármikor
• Kredit főkönyv: A fiók aktív időtartamáig + 8 év a számviteli törvény (2000. évi C. tv.) szerint, a fiók megszűnése után is megőrizve
• Számlák és számlázási rekordok: 8 év a magyar számviteli kötelezettség miatt
• Munkamenet tokenek: 30 nap inaktivitás után automatikus lejárat, rendszeres rotálás
• Audit naplók (bejelentkezés, kritikus műveletek): 12 hónap
• Hibanaplók (Sentry): 90 nap (automatikus törlés)

5.2 Fiók törlése után

Amikor törlöd a fiókodat vagy leválasztod a boltodat:

• Azonnal: A boltkapcsolat és a hozzáférési tokenek visszavonásra kerülnek
• 48 órán belül: A legtöbb személyes adatodat töröljük, beleértve:
  • Feladatrekordok és feladatelemek
  • Fiókadatok (email, név)
  • Munkamenet tokenek
  • Bolt kapcsolati adatok

Összesített, anonimizált adatok: Szolgáltatásfejlesztés céljából korlátlan ideig megőrizhetők, mivel ezek már nem tartalmaznak személyes adatot.

5.3 Képadatok

A termékképeidet NEM tároljuk tartósan. A képek:

• Ideiglenesen töltődnek le az átalakítás feldolgozása során
• 48 órán belül törlődnek a memóriából és minden ideiglenes tárolóból
• Nem kerülnek adatbázisba vagy hosszú távú tárolóba
• Nem használjuk és a Google Gemini sem használja modell tanításra

6. GDPR-megfelelőség (európai felhasználók)

Ha az Európai Gazdasági Térségben (EGT) tartózkodsz, a GDPR alapján az alábbi jogok illetnek meg:

6.1 Jogaid

• Hozzáférési jog (15. cikk): Kérheted az adataid másolatát
• Helyesbítési jog (16. cikk): Kérheted a pontatlan adatok javítását
• Törlési jog (17. cikk): Kérheted az adataid törlését
• Adathordozhatósághoz való jog (20. cikk): Kérheted az adataid géppel olvasható formátumban
• Tiltakozási jog (21. cikk): Tiltakozhatsz az adatkezelés ellen

6.2 Adattörlési és hordozhatósági kérések

Támogatjuk a platformok (Shopify, WooCommerce, BigCommerce) adatvédelmi követelményeit:

• customers/data_request: 30 napon belül válaszolunk az adatexport-kérésekre
• customers/redact: Kérésre 30 napon belül töröljük vagy anonimizáljuk az érintett adatokat (megjegyzés
• shop/redact: Az alkalmazás eltávolítását vagy a bolt leválasztását követő 48 órán belül minden kapcsolódó adatot törlünk

6.3 Az adatkezelés jogalapja (célonként)

A GDPR 6. cikk (1) bekezdése alapján az adataidat az alábbi jogalapokon, célonkénti bontásban kezeljük:

• Szerződés teljesítése [Art. 6(1)(b)]: Fiók létrehozása, képátalakítási szolgáltatás nyújtása, kreditvásárlás és kreditegyenleg kezelése, ügyfélszolgálat.
• Jogi kötelezettség [Art. 6(1)(c)]: Számviteli bizonylatok megőrzése 8 évig (2000. évi C. tv. 169. §), adóbevallás, hatósági megkeresések teljesítése.
• Jogos érdek [Art. 6(1)(f)]: Csalás- és visszaélés-megelőzés, szolgáltatás biztonsága, termékfejlesztés, belső elemzések, adminisztrátori hibaelhárítás (impersonate). A jogos érdek mérlegelési teszt a kérésedre rendelkezésre áll.
• Hozzájárulás [Art. 6(1)(a)]: Nem kötelező marketing emailek, opcionális Google OAuth bejelentkezés, analitikai / hirdetési cookie-k. A hozzájárulást bármikor visszavonhatod, ez nem érinti a visszavonás előtti adatkezelés jogszerűségét.
• Létfontosságú vagy közérdek [Art. 6(1)(d–e)]: Nem alkalmazunk ilyen jogalapot.

6.4 Adatvédelmi incidens bejelentése

A GDPR 33–34. cikke alapján adatvédelmi incidens esetén indokolatlan késedelem nélkül, legkésőbb a tudomásszerzéstől számított 72 órán belül bejelentjük az incidenst a NAIH-nak, és amennyiben az jelentős kockázattal jár a jogaidra nézve, közvetlenül is értesítünk téged (e-mail + alkalmazáson belüli értesítés).

7. Adatbiztonság

Iparági szabványnak megfelelő biztonsági intézkedéseket alkalmazunk:

7.1 Technikai védelmi intézkedések

• Titkosítás átvitel közben: Minden adat HTTPS/TLS protokollon keresztül közlekedik
• Titkosítás tároláskor: Az adatbázis PostgreSQL SSL-lel titkosított
• Hozzáférés-vezérlés: Szerepalapú hozzáférés JWT hitelesítéssel
• API biztonság: Sebességkorlátozás és OAuth 2.0 / API-kulcs alapú hitelesítés a platform-integrációkhoz

7.2 Működési védelmi intézkedések

• Audit naplók: Minden kritikus művelet módosíthatatlan rekordokban naplózva
• Környezetek elkülönítése: Éles és fejlesztői környezetek szétválasztva
• Titokkezelés: API kulcsok környezeti változókban, soha nem kódban
• Sebezhetőség-figyelés: Hibakövetés Sentry-vel, rendszeres biztonsági frissítések

7.3 Memóriakezelés

• Képek memóriában feldolgozva, agresszív tisztítással
• Nincs tartós képadat-tárolás
• Kényszerített szemétgyűjtés feldolgozás után

8. Nemzetközi adattovábbítás

A Phora AI-t Magyarországról (Európai Unió) működtetjük. Az adataidat az alábbi helyekre továbbíthatjuk és ott kezelhetjük:

• Európai Unió: Elsődleges adattárolás és -feldolgozás
• Egyesült Államok: Google Gemini AI API (a Google megfelel az EU-US adatvédelmi keretrendszernek)

Biztosítjuk, hogy minden nemzetközi adattovábbítás megfeleljen a GDPR követelményeinek megfelelő biztosítékok, például Standard Szerződéses Klauzulák (SCC) vagy megfelelőségi határozatok révén.

9. Gyermekek adatainak védelme

A Phora AI üzleti célú (B2B) platform e-kereskedelmi kereskedők számára. A GDPR 8. cikke és a magyar Info tv. (2011. évi CXII. tv.) alapján az információs társadalommal összefüggő szolgáltatásokra vonatkozó digitális hozzájárulás korhatára Magyarországon 16 év. Tudatosan nem gyűjtünk adatot 16 év alatti személyektől, és a szolgáltatás nem célozza őket. Ha tudomásunkra jut, hogy 16 év alatti adott meg adatokat, haladéktalanul töröljük; ilyen esetben kérjük, vedd fel velünk a kapcsolatot a [email protected] címen.

10. A tájékoztató módosítása

Időről időre frissíthetjük ezt az adatvédelmi tájékoztatót. A változásokat ezen az oldalon tesszük közzé frissített 'Utolsó frissítés' dátummal. A lényeges változásokról értesítünk:

• Alkalmazáson belüli értesítéssel bejelentkezéskor
• E-mail értesítéssel a fiókodhoz tartozó e-mail címre (jelentős változások esetén)

A Phora AI további használata a változások után a frissített adatvédelmi tájékoztató elfogadását jelenti.

11. Választási lehetőségeid és jogaid

11.1 Adathozzáférés

Az adataidhoz az alábbi módokon férhetsz hozzá:

• Feladatelőzmények megtekintése a Phora AI vezérlőpulton
• Adatexport kérése az alábbi elérhetőségeken

11.2 Adattörlés

Az adataidat az alábbi módokon törölheted:

• Fiókod törlése a beállítások oldalon (automatikus törlés 48 órán belül)
• Kapcsolatfelvétel azonnali törlés kéréséhez

11.3 Leiratkozás

Az adatgyűjtést bármikor leállíthatod az alkalmazás eltávolításával. Bizonyos adatkezelés azonban szükséges a szolgáltatás nyújtásához (pl. képek küldése a Gemini AI-nak átalakításhoz).

12. Kapcsolat

Ha kérdésed, aggályod vagy kérésed van az adatvédelmi tájékoztatóval vagy az adataiddal kapcsolatban, vedd fel velünk a kapcsolatot:

GDPR-ral kapcsolatos kérések esetén kérjük, az e-mail tárgyában tüntesd fel: 'GDPR kérés'.

13. Felügyeleti hatóság

Ha az EGT-ben tartózkodsz és aggályaid vannak az adatkezelési gyakorlatunkkal kapcsolatban, jogodban áll panaszt tenni a helyi adatvédelmi hatóságnál. Magyarországon:

14. Összefoglaló