Adatkezelési Tájékoztató
Részletes tájékoztatás a Cashletics adatkezeléseiről, jogalapjairól, megőrzési idejéről és az érintetti jogokról.
B blokk · Felhasználók felé, kötelező
Adatkezelési Tájékoztató
Cashletics mobilalkalmazás — Magyar nyelvű változat
AT-001
| Adatkezelő | Mózer Ferenc egyéni vállalkozó 6044 Kecskemét, Hetény-Belsőnyír 268/2. |
| Hatálybalépés | 2026. október 12. |
| Készítette | Dr. Crespo Zsuzsanna | zsuzsanna@crespo.hu |
| Verzió | v1.10.1 |
| Kapcsolódó dokumentumok | AT-001-EN (angol fordítás) — eltérés esetén a MAGYAR szöveg irányadó |
1. Az adatkezelő adatai
| Adatkezelő neve | Mózer Ferenc |
| Gazdálkodási forma | Egyéni vállalkozó (EV) |
| Székhely / levelezési cím | 6044 Kecskemét, Hetény-Belsőnyír 268/2. |
| EV nyilvántartási szám | 58145155 |
| Adószám | 41905517-1-23 |
| Adatvédelmi kapcsolattartó e-mail | privacy@cashleticsapp.com |
| Support e-mail | support@cashleticsapp.com |
| Jogi e-mail | legal@cashleticsapp.com |
| Support telefon | +36 30 728 4422 |
| Honlap | https://cashleticsapp.com/legal.php |
| Adatkérelem (webes) | https://cashleticsapp.com/adatkerelem.php |
| Fióktörlés (webes) | https://cashleticsapp.com/fiok-torlese.php |
| Válaszadási határidő | 30 nap (GDPR 12. cikk) |
2. A tájékoztató célja és az adatkezelés alapelvei
Ez a tájékoztató bemutatja, hogy a Cashletics alkalmazás használata során milyen személyes adatokat kezelünk, milyen célból, milyen jogalappal, meddig őrizzük meg azokat, és milyen jogok illetik meg az érintetteket.
Az adatkezelés alapelvei (GDPR 5. cikk):
Jogszerűség, tisztességesség és átláthatóság
Célhoz kötöttség — az adatokat csak meghatározott, egyértelmű célra használjuk
Adattakarékosság — csak az adott célhoz szükséges adatokat kezeljük
Pontosság és korlátozott tárolhatóság
Integritás, bizalmas jelleg és elszámoltathatóság
| Kérjük, hogy az alkalmazásba ne rögzítsen különleges adatot (pl. egészségügyi betegség, politikai meggyőződés) vagy harmadik személy személyes adatát, kivéve ha erre megfelelő jogalappal rendelkezik. |
3. Adatkezelési jogalapok áttekintése
| Jogalap | GDPR hivatkozás | Mikor alkalmazzuk |
|---|---|---|
| Szerződés teljesítése | 6(1)(b) | Fiók, pénzügyi bejegyzések, célok — az alkalmazás alapfunkcióihoz szükséges |
| Hozzájárulás | 6(1)(a) | Analytics, marketing értesítés, AdMob, ranglista, banki értesítés |
| Explicit hozzájárulás | 9(2)(a) | Egészségügyi adat (lépésszám) — különleges adat |
| Jogos érdek | 6(1)(f) | Hibajavítás, visszaélés-megelőzés, belső statisztika |
| Jogi kötelezettség | 6(1)(c) | Adózási, számviteli megőrzési kötelezettség (ha alkalmazandó) |
Az adatszolgáltatás jogalapja. A regisztrációhoz szükséges adatok (e-mail-cím, jelszó) megadása a szolgáltatás igénybevételének feltétele: ezek nélkül a fiók nem hozható létre, mert nélkülük a szolgáltatás nem nyújtható. Minden további adat megadása önkéntes — az egészségügyi adatok, a banki értesítések olvasása, az analitikai célú adatkezelés és a marketingcélú megkeresés egyaránt külön hozzájáruláshoz kötött, és bármikor visszavonható. A hozzájárulás megtagadása vagy visszavonása kizárólag az érintett funkció elérhetőségét érinti, a fiók egészét nem.
4. Kezelt adatok — tételes táblázat
Az alábbi tábla a főbb adatkezelési tevékenységeket tartalmazza. A teljes tételes nyilvántartás (GDPR 30. cikk): ROPA-001.
| Adatkör | Konkrét adatok | Cél | Jogalap | Megőrzési idő |
|---|---|---|---|---|
| Fiókadatok | E-mail cím, felhasználónév, avatár, jelszó (hash), Google UID | Regisztráció, azonosítás, biztonság | 6(1)(b) | Fiók törléséig + 30 nap |
| Profiladatok (működési) | Nyelv, pénznem, választott téma | Az alkalmazás működése és megjelenítése | 6(1)(b) | Fiók törléséig |
| Profiladatok (opcionális) | Ország, életkor, nem | Személyre szabás — megadásuk önkéntes | 6(1)(a) hozzájárulás | Fiók törléséig, illetve a hozzájárulás visszavonásáig |
| Pénzügyi bejegyzések | Bevétel/kiadás összeg, kategória, dátum, megjegyzés | Alkalmazás alapfunkció, statisztika | 6(1)(b) | Fiók törléséig + 30 nap |
| Megtakarítási célok | Cél neve, összeg, határidő, státusz | Alkalmazás alapfunkció | 6(1)(b) | Fiók törléséig + 30 nap |
| Pontok / jelvények | XP, CP, érmék, szintek, jelvények, sorozat, Piggy Coin-egyenleg, érme-eredet (forrásvédelem), váltási tranzakciók, láda-nyitási események, limitszámlálók | Játékosítás, motiváció | 6(1)(b) | Fiók törléséig |
| Ranglista adatok | Felhasználónév, avatár, pontszám — nyilvános | Közösségi verseny, motiváció | 6(1)(a) hozzájárulás | Hozzájárulás visszavonásáig |
| Consent adatok | Ki mikor mit fogadott el (időbélyeg, verzió) | GDPR 7(1) bizonyíthatóság | 6(1)(c) jogi kötelezettség | Fiók törlése + 5 év |
| Nyereményjáték adatok | Részvétel, sorsolás, nyertes azonosítása; a nyertes neve és postacíme (kézbesítéshez); a nyeremény jogcíméről és forintértékéről szóló igazolás adatai | Sorsolás lefolytatása, nyeremény átadása, adó- és számviteli kötelezettség teljesítése | 6(1)(b); a számviteli bizonylat: 6(1)(c) | Részvételi adatok: a fiók fennállásáig · sorsolási nyilvántartás: 5 év · kézbesítési adatok: kézbesítés + 1 év · számviteli bizonylat: 8 év (Sztv.) |
| Egészségügyi adat | Lépésszám (napi aggregált) | Aktivitás követés, jutalom | 9(2)(a) explicit hozzájárulás | Hozzájárulás visszavonásáig / max 90 nap |
| Banki értesítés szöveg | Értesítés szövege (feldolgozás után törölve) | Kiadás felismerés (opcionális) | 6(1)(a) hozzájárulás | Feldolgozás után azonnal törölve |
| Analitikai adatok | Használati események, képernyő idő, verzió | Hibajavítás, fejlesztés | 6(1)(a) hozzájárulás | Eseményadatok: 2 hónap. Felhasználói adatok: 14 hónap, amely új felhasználói aktivitás esetén újraindul — a megőrzés a felhasználó utolsó aktivitásától számítandó. |
| Reklám adatok (AdMob) | Reklám azonosító, Android ID, IP | Reklámcélú személyre szabás | 6(1)(a) hozzájárulás | AdMob saját szabályzata szerint |
| Support kommunikáció | E-mail levelezés tartalma | Ügyfélszolgálat | 6(1)(b) / 6(1)(f) | 3 év |
| Technikai / diagnosztikai | Eszköz típus, OS verzió, alkalmazás verzió | Hibajavítás, biztonság | 6(1)(f) jogos érdek | 90 nap |
| Visszaélés-jelzések | Felhasználói azonosító, a jelzés oka, a kifogásolt művelet paraméterei, időbélyeg | Csalás- és visszaélés-megelőzés, utólagos vizsgálhatóság | 6(1)(f) jogos érdek | 12 hónap |
| Adminisztrátori közlemények | Az üzenet címe és szövege, célzott üzenetnél a címzett azonosítója, időbélyeg | Szolgáltatási közlemények kiküldése és naplózása | 6(1)(b) | 12 hónap |
| Támogatási üzenetek (alkalmazáson belül) | Azonosító, megjelenített név, e-mail-cím, az üzenet szabad szövege, adminválasz | Ügyfélszolgálat, támogatás nyújtása | 6(1)(b) | Fióktörléstől 30 nap, egyébként az ügy lezárásától 12 hónap |
| Napi műveletkorlát | Felhasználói azonosító, dátum, napi műveletszám | Visszaélés-megelőzés a barátlista-műveleteknél | 6(1)(f) jogos érdek | Fiók törléséig |
| Barátkód-összerendelés | A megosztható PiggyRun barátkód és a felhasználói azonosító szerveroldali összerendelése (verzió, időbélyeg) | Közösségi funkció — barátlista | 6(1)(b) | Fiók törléséig — fióktörléskor törlődik |
Törlés és biztonsági mentés viszonya. A fiók törlésekor az adatok az éles adatbázisból a 4. pont táblázatában adatkörönként megadott megőrzési idő szerint — az ott jelzett kivételekkel — kerülnek törlésre; a törlési folyamat az EJ-001 szerint haladéktalanul megindul. A rendszer napi biztonsági mentéseket készít, amelyek megőrzési ideje 98 nap; a törölt adat ezekben a mentésekben a mentés lejáratáig, de legfeljebb 98 napig még szerepelhet. A biztonsági mentéseket kizárólag üzemzavar vagy adatvesztés utáni helyreállításra használjuk. Ha helyreállítás történik, a korábban kért törléseket a helyreállított adatokon ismételten végrehajtjuk. A mentésekhez való hozzáférés naplózott.
5. Címzettek, adatfeldolgozók és Firebase adatfolyam-térkép
Az alkalmazás az alábbi Firebase (Google LLC) szolgáltatásokat és egyéb adatfeldolgozókat veszi igénybe. Minden adatfeldolgozóval írásbeli adatfeldolgozói szerződés (DPA) kötendő / kötött (GDPR 28. cikk). Tételes nyilvántartás: DPA-001.
5.1 Firebase aktív szolgáltatások
| Szolgáltatás | Google LLC egység | Kezelt adatok | Szerver helye | Transzfer alap |
|---|---|---|---|---|
| Firebase Auth | Google LLC | E-mail, Google UID, jelszó (hash), belépési idő | USA / EU | EU-US DPF |
| Cloud Firestore | Google LLC | Minden felhasználói adat (profil, tranzakciók, pontok, consent) | EU — eur3 multirégió (igazolt) | EU-US DPF |
| Firebase Analytics | Google LLC | Használati események, munkamenet adatok, eszköz infó | USA | EU-US DPF |
| Cloud Functions | Google LLC | Szerver oldali feldolgozás (jutalmak, sorsolás) | USA / EU | EU-US DPF |
5.2 Egyéb címzettek és adatfeldolgozók
| Címzett | Székhely | Szerep | Kezelt adatok | Transzfer alap |
|---|---|---|---|---|
| Google LLC / AdMob | USA | Reklám megjelenítés | Android ID, IP, reklámkövetési adat | EU-US DPF |
| Google LLC / Play Store | USA | Előfizetés, vásárlás | Tranzakció metaadat | EU-US DPF |
| Sybell Informatika Kft. | Budapest, HU | Webtárhely, e-mail (support) | Support levelezés | EU — nincs USA-transzfer |
| Bánki Balázs (egyéni fejlesztő) | Magyarország | Fejlesztés és üzemeltetési támogatás. ÉLES ADATHOZZÁFÉRÉS JELENLEG NINCS — az kizárólag a DPA-003 (aláírva 2026. szeptember 7.) alapján, külön dokumentált technikai aktiválást követően, korlátozott és naplózott formában nyílik meg | Az aktiválás UTÁN, a hibaelhárítás és a vészleállítás körében elérhetővé váló éles adatok | EU — nincs USA-transzfer |
| Nyilvánosság (ranglista) | — | A nyilvános ranglista címzettje | Felhasználónév, avatár, pontszám | — (nincs harmadik országba továbbítás) |
| A Masterpont Kft. (masterpont.hu) NEM adatfeldolgozó — nem fér hozzá semmilyen felhasználói adathoz. |
5.3 Firebase adatfolyam-térkép (sematikus)
Telefon → Firebase Auth (hitelesítés) → Cloud Firestore (adattárolás) → Firebase Analytics (analitika) → Cloud Functions (szerver feldolgozás) → AdMob (reklám) — minden USA-átvitel EU-US DPF alapon.
6. Egészségügyi adat — lépésszám (GDPR 9. cikk)
| ⚠️ KÜLÖNLEGES ADAT — GDPR 9. CIKK | A lépésszám egészségügyi adatnak minősül. Kezelése kizárólag explicit hozzájárulással lehetséges (GDPR 9(2)(a)). |
| Paraméter | Android (Health Connect) | iOS (HealthKit) |
|---|---|---|
| Adat forrása | Health Connect API vagy telefon szenzor | iOS / HealthKit jelenleg nem aktív; iOS-verzió indulása előtt frissítendő |
| Engedély típusa | READ_STEPS | iOS / HealthKit jelenleg nem aktív |
| Kezelt adatok | Napi aggregált lépésszám | iOS / HealthKit jelenleg nem aktív; iOS-verzió előtt frissítendő |
| Jogalap | GDPR 9(2)(a) explicit hozzájárulás | GDPR 9(2)(a) explicit hozzájárulás |
| Tárolás | Firestore (aggregált, nem nyers) | Firestore (aggregált, nem nyers) |
| Megőrzési idő | Hozzájárulás visszavonásáig / max 90 nap | iOS / HealthKit jelenleg nem aktív; iOS-verzió előtt frissítendő |
| Visszavonható? | Igen — bármikor, alkalmazás beállításokból | Igen — bármikor |
Az egészségügyi adat (lépésszám) KIZÁRÓLAG:
aktivitás követésre és játékos jutalom meghatározására használatos
NEM kerül továbbításra AdMob-hoz, harmadik fél hirdetőhöz, vagy bármilyen külső szerverre (a Firestore EU-US DPF alapján tárolja)
NEM jelenik meg nyilvános ranglistán
NEM használható biztosítási, foglalkoztatási vagy hiteldöntésekhez és reklámcélra (Google Play Health Policy); a megengedett személyre szabási célokat a 10. pont sorolja fel
Részletes hozzájárulási szöveg és feltételek: HE-001 Egészségügyi adat nyilatkozat.
7. Banki értesítés-olvasás adatkezelése
Az alkalmazás opcionálisan — kizárólag a felhasználó explicit hozzájárulásával — banki push értesítések szövegéből segít kiadások felismerésében.
| Paraméter | Érték |
|---|---|
| Kezelt adat | Értesítés szövege (push notification content) |
| Az app HOZZÁFÉR | Értesítés szövegéhez |
| Az app NEM FÉR HOZZÁ | Bankfiókhoz, számlaszámhoz, egyenleghez, PIN-hez |
| Cél | Kiadás automatikus felismerése szövegből |
| Feldolgozás helye | Lokálisan az eszközön |
| Megőrzés | Az értesítés szövege feldolgozás után azonnal törölve |
| Jogalap | GDPR 6(1)(a) hozzájárulás (BH-001) |
| Visszavonható? | Igen — bármikor, alkalmazás beállításokból |
| Play Store policy | Google Play Financial Data policy kompatibilis |
Részletes feltételek: BH-001 Banki értesítés hozzájárulás.
8. Push értesítések és marketing
| Értesítés típusa | Jogalap | Visszavonható? |
|---|---|---|
| Tranzakciós / service értesítés (pl. jutalom elérhető) | 6(1)(b) szerződés | Korlátozható (de nem kapcsolható ki teljesen) |
| Motivációs / napi emlékeztető | 6(1)(a) hozzájárulás | Igen — bármikor |
| Marketing / promóció | 6(1)(a) hozzájárulás | Igen — bármikor |
9. Harmadik országba irányuló adattovábbítás (USA-transzfer)
A cashleticsapp.com webhely és e-mail infrastruktúra kizárólag EU-ban (Sybell Informatika Kft., Budapest) működik — nem történik USA-transzfer az e-mail során. Az alkalmazás Firebase és AdMob használata során az alábbi szolgáltatások esetében áll fenn harmadik országba (USA) irányuló adattovábbítás, kizárólag az EU–US Adatvédelmi Keretrendszer (EU-US DPF) alapján. A Cloud Firestore-ban tárolt adatok fizikailag az eur3 európai multirégióban tárolódnak (igazolt); a transzfer-alap a Google LLC általi hozzáférés lehetősége miatt marad fenntartva:
| Adatfeldolgozó | Továbbított adatok | Transzfer alap | DPF tanúsítvány |
|---|---|---|---|
| Google LLC / Firebase Auth | Hitelesítési adatok | EU-US DPF | Google LLC — tanúsított |
| Google LLC / Cloud Firestore | Minden felhasználói adat | EU-US DPF | Google LLC — tanúsított |
| Google LLC / Firebase Analytics | Használati analitika | EU-US DPF | Google LLC — tanúsított |
| Google LLC / Cloud Functions | Szerver feldolgozás | EU-US DPF | Google LLC — tanúsított |
| Google LLC / AdMob | Reklámcélú adatok | EU-US DPF | Google LLC — tanúsított |
| Google LLC / Play Store | Előfizetés metaadatok | EU-US DPF | Google LLC — tanúsított |
| Sybell Informatika Kft. (e-mail) | Support kommunikáció | EU — nincs USA-transzfer | — |
Az EU-US DPF keretrendszer elérhető: https://www.dataprivacyframework.gov/
Megjegyzés: Az EU-US DPF esetleges érvénytelenítése esetén az adattovábbítás jogalapja a Google LLC által alkalmazott Standard Contractual Clauses (SCC), az Európai Bizottság 2021/914/EU végrehajtási határozata alapján — ez a Google Cloud adatfeldolgozói megállapodás (DPA) részeként automatikusan alkalmazandó. A garanciák másolata beszerezhető: a Google LLC EU-US DPF tanúsítása a www.dataprivacyframework.gov oldalon, az SCC szövege az Európai Bizottság 2021/914/EU végrehajtási határozatának mellékleteként (eur-lex.europa.eu), a Google Cloud adatfeldolgozási feltételei a cloud.google.com/terms/data-processing-addendum címen — kérésre a privacy@cashleticsapp.com címen is. Egyszerűen: az adatok Európában tárolódnak, de az amerikai székhelyű Google LLC hozzáférhet hozzájuk; erre az Európai Unió által elismert garanciák vonatkoznak, és a jogaid ugyanúgy érvényesíthetők, mint az EU-n belül.
10. Profilozás és automatizált döntéshozatal (GDPR 22. cikk)
Az alkalmazás pénzügyi, aktivitás és játékosítási adatokból összetett felhasználói profilt alakíthat ki (pénzügyi + egészségügyi + viselkedési adatok kombinációja). Ez profilozási kockázatot hordoz.
Az alkalmazás KIZÁRÓLAG a következő célokra használ profilozást:
Személyre szabott jutalmak és kihívások megjelenítése
Ranglista pontszám számítása
Tiltott profilozási célok (Google Play Health Policy és GDPR 22. cikk alapján):
Hitel-, biztosítási, foglalkoztatási döntések automatikus meghozatala
Egészségügyi adat reklámcélú használata
Harmadik félnek történő értesítés nélküli továbbítás
Automatikus műveletelutasítás. Egyes műveleteket — például jutalom jóváírását vagy a napi korlát feletti műveletet — a rendszer automatikusan elutasíthat. Ez nem jár fiókletiltással, pontlevonással vagy tartós szankcióval. Ha egy elutasítást indokolatlannak tart, a support@cashleticsapp.com címen jelezheti.
Részletes adatvédelmi hatásvizsgálat: DPIA-001.
11. Az érintett jogai (GDPR 15–22. cikk)
| Jog | GDPR cikk | Tartalom | Gyakorlás módja |
|---|---|---|---|
| Hozzáférés joga | 15. cikk | Tájékoztatás a kezelt adatokról | privacy@cashleticsapp.com vagy adatkerelem.php |
| Helyesbítés joga | 16. cikk | Pontatlan adat javítása | Alkalmazás profil szerkesztés vagy e-mail |
| Törlés joga | 17. cikk | Adatok törlése („elfeledtetés”) | fiok-torlese.php vagy privacy@cashleticsapp.com |
| Korlátozás joga | 18. cikk | Adatkezelés korlátozásának kérése | privacy@cashleticsapp.com |
| Hordozhatóság joga | 20. cikk | Adatok géppel olvasható formátumban | privacy@cashleticsapp.com (JSON export) |
| Tiltakozás joga | 21. cikk | Jogos érdek alapú kezelés ellen | privacy@cashleticsapp.com |
| Hozzájárulás visszavonása | 7. cikk (3) | Bármikor, visszaható erő nélkül | Alkalmazás beállítások, e-mail vagy postai levél (6044 Kecskemét, Hetény-Belsőnyír 268/2.) |
| Panasz jog | 77. cikk | NAIH-hoz fordulhat | NAIH: www.naih.hu | ugyfelszolgalat@naih.hu |
Válaszadási határidő: indokolatlan késedelem nélkül, de legkésőbb 30 nap (GDPR 12. cikk). Indokolt esetben 60 napig meghosszabbítható, erről az érintettet értesítjük. (A GDPR 12(3) egy hónapot ír; az adatkezelő ennél szigorúbb, 30 napos határidőt vállal.) Az érintetti kérelmek kezelésének részletes folyamata: EJ-001.
12. Gyermekek adatainak védelme
A hozzájáruláson alapuló adatkezeléshez a magyar szabályozás szerint a 16. életév betöltése szükséges (GDPR 8. cikk). Ezen felül az adatkezelő saját döntése alapján az alkalmazás 16 év alatti személyek számára egyáltalán nem elérhető: a szülői hozzájárulás kezelését nem vezetjük be, ezért 16 év alatti személy szülői hozzájárulással sem regisztrálhat. Az alkalmazás a Google Play Families programban sem vesz részt. Amennyiben tudomásunkra jut, hogy 16 év alatti személy adatait kezeljük, azokat haladéktalanul töröljük, és a fiókot felfüggesztjük. Ilyen esetet kérjük jelezni: privacy@cashleticsapp.com
13. Adatbiztonság
Firebase biztonsági szabályok (Firestore Security Rules) — felhasználónként elkülönített adathozzáférés
Hitelesítés: Firebase Auth (e-mail + jelszó hash, Google SSO)
Adatforgalom: HTTPS / TLS titkosítás minden kommunikációban; Tárolás: Google Cloud AES-256 titkosítás (encryption at rest) — összhangban a GPS-001 Play Console deklarációval
Hozzáférés korlátozás: Firebase Console hozzáféréssel az adatkezelő, valamint az adatkezelővel adatfeldolgozói szerződés alapján eljáró fejlesztő rendelkezhet; a hozzáférés jogosultságkorlátozással, naplózással, MFA/2FA védelemmel és a szükségesség elve szerint történik.
Adatvédelmi incidens esetén: NAIH-bejelentés indokolatlan késedelem nélkül, de legkésőbb 72 órán belül (GDPR 33. cikk); sablon: INC-001
14. Sütik és követés
A cashleticsapp.com weboldal tracker-mentes — nincs Google Analytics, Meta Pixel, Google Tag Manager vagy egyéb cookie. Cookie-banner nem szükséges.
Az alkalmazáson belül a Firebase Analytics nem hagyományos sütiket, hanem app-szintű azonosítókat használ. Részletes szabályzat: CK-001 Cookie & Tracking Policy.
15. A tájékoztató módosítása
Az adatkezelő jogosult jelen tájékoztatót módosítani. Lényeges változásról a felhasználót legalább 15 nappal korábban értesíti (e-mail vagy alkalmazás). A hatályos verzió mindig elérhető: https://cashleticsapp.com/legal.php?slug=adatkezeles
Verziókezelés és változáskövetés
A. Verziótörténet
| Verzió | Dátum | Változtatás | Jóváhagyta |
|---|---|---|---|
| v1.5 | 2026 | Első kiadás — végleges | Dr. Crespo Zsuzsanna |
| v1.7 | 2026. augusztus 1. | Sybell székhely javítása (DPA-001); DPA-002 3.6 incidens-bejelentés szűkítése + nem korlátozható felelősségi kategóriák; DPA-003 felelősségkorlátozás (12 havi díj, min. 500.000 Ft); publikálási dátum frissítése | Dr. Crespo Zsuzsanna |
| v1.8 | 2026. augusztus 1. | Zsuzsa jóváhagyása átvezetve (DPIA-001, LIA-001, PR-001 lektorálva; DPA-002 3.6 + felelősségi keret; DPA-003 felelősségkorlátozás). Aláírások folyamatban. | Dr. Crespo Zsuzsanna |
| v1.8.1 | 2026. augusztus 4. | Soron kívüli pontosítás: a 4. pont adattáblájában a Pontok / jelvények adatkör kiegészítve a PiggyRun minijátékhoz kapcsolódó adatelemekkel (Piggy Coin-egyenleg, érme-eredet, váltási tranzakciók, láda-nyitási események, limitszámlálók). Egyéb tartalmi változás nincs. [Belső változat — nem került publikálásra; a javításai a v1.8.2-be épültek be.] | Dr. Crespo Zsuzsanna |
| v1.8.2 | 2026. augusztus 5. | Publikálás előtti pontosítás: a GDPR 33. cikk (1) szerinti „indokolatlan késedelem nélkül” fordulat pótolva; a 16 éves korhatár indokolása kettéválasztva (jogszabályi korhatár, illetve az adatkezelő kizárási döntése); a Firebase Analytics megőrzési ideje a tényleges konfigurációra javítva (eseményadat 2 hónap, felhasználói adat 14 hónap, aktivitásra újrainduló). [Nem került publikálásra; a v1.8.3 váltotta fel a dátum- és verziótábla-javítással.] | Dr. Crespo Zsuzsanna |
| v1.8.3 | 2026. augusztus 6. | Publikálás előtti adminisztratív javítás: a hatálybalépés dátuma egységesítve a borítón, a láblécben és a verziótáblában; a nem publikált v1.8.1 és v1.8.2 sorok megjelölve; a hiányzó v1.6 verzió jelölve. Új tartalmi elem: GDPR 13. cikk (2) e) — az adatszolgáltatás kötelező jellege. [Nem került publikálásra; a v1.8.4 váltotta fel a szövegpontosításokkal.] | Dr. Crespo Zsuzsanna |
| v1.8.4 | 2026. augusztus 7. | Publikálás előtti szövegpontosítás és kiegészítés. Hat elírás javítva a 3., 4., 5. és 8. pont tábláiban. A 4. pont megőrzési oszlopában a megfogalmazás egységesítve („fiók törléséig”), a lépésszám megőrzési ideje a 6. ponttal összhangba hozva („max 90 nap”), a rövidített kifejezések feloldva. A 4. pont bevezetője pontosítva: a tábla a főbb adatkezelési tevékenységeket tartalmazza, a teljes tételes nyilvántartás a ROPA-001. A 6. pont tiltási felsorolása kiegészült a foglalkoztatási döntésekkel. A 10. pont új bekezdést kapott az automatikus műveletelutasításról és annak kifogásolási módjáról. A 11. pontban a 7. cikk (3) hivatkozás formátuma egységesítve. A verziótáblából eltávolítva a v1.7 sor adminisztrációs duplikátuma, a v1.8.3 sor leírásából a rá vonatkozó utalás törölve, és a tábla alá bekerült a korábbi kiadások dátumadatairól szóló megjegyzés. A B. Változáskövetés tábla kiegészült az irányadó nyelvre vonatkozó sorral. Az angol változatba pótolva a Standard Contractual Clauses tartalék jogalapról szóló megjegyzés. Az adatkezelés köre nem változott; a kiegészítések tájékoztatási jellegűek. [Nem került publikálásra; a publikált változat a v1.8 maradt.] | Dr. Crespo Zsuzsanna |
| v1.9 | 2026. augusztus 1. | PiggyRun minijáték, Piggy Coin, részvételi jegytípusok (sima/ezüst/arany) és véletlenszerű jutalomcsomagok (ládák) szabályozása; láda szerencsejáték-jogi minősítése jóváhagyva; gamifikációs adatelemek bővítése (AT-001, ROPA-001); DPA-001 AdMob/Firebase elfogadási dátumok; DPIA-001 I4 lezárva. | Dr. Crespo Zsuzsanna |
| v1.9.1 | 2026. augusztus 1. | Sybell (DPA-002): a szerződéstervezet aláírása helyett a Sybell ÁSZF 11.1 pontja (2026.07.20., GDPR 28. cikk (3) és (9)) rendezi az adatfeldolgozást; hivatkozások átvezetve (DPA-001, DPA-002, DPIA-001, CHK-001, D2-UGY, SZ-001, WEL-001, XHV-001); ÁSZF archiválva. | Dr. Crespo Zsuzsanna |
| v1.10 | 2026. augusztus 1. | DPA-003 (Bánki Balázs): a fejlesztői észrevételek átvezetése — fejlesztői szerepkör és adatkategóriák szűkítése, incidensbejelentés GDPR 33(2), jogellenes utasítás jelzése GDPR 28(3), harmadik országos transzfer pontosítása, felelősségi alsó korlát törlése. Adminisztrátori funkciókapcsolók és audit-napló felvétele (ROPA-001 17. tétel, 12 hónap megőrzés); admin felület hozzáférési mátrix pontosítása (SZ-001 2.1). | [külön nem került jóváhagyásra — a v1.10.1 váltotta fel] |
| v1.10.1 | 2026. augusztus 6. · kieg. 2026. szeptember 4. és 5. | EN terminológiai egységesítés (Article, Data Controller); a lektori döntések átvezetése; a négy dokumentálatlan kollekció adatköre az AT-001 4. pontjában. 2026. szeptember 4-i kiegészítés: az aláíratlan példányokban az előre kitöltött aláírási dátum helyett helyőrző (14 dokumentum); a GDPR 12(3) szerinti „indokolatlan késedelem nélkül” fordulat átvezetése (AT-001 HU/EN, EJ-001); a DPIA-001-ben az egészségügyi adat visszavonás utáni megőrzése 7 napról 30 napra, a HE-001-gyel egységesítve; a BH-001 angol változatában az EU-US Data Privacy Framework hivatkozás javítása; a DPA-002-ben az aláírás helyett a Sybell ÁSZF 11.1 pontján és az adatkezelői írásbeli utasításon alapuló jogviszony rögzítése; a DPA-001 28. cikk szerinti nyilvántartásában oszlopeltolódás javítása. Továbbá: a ROPA-001 és az ATJ-001 szövegében a nyilvántartott adatkezelési tevékenységek száma a tényleges 25-re javítva (korábban 17, illetve 16); a HJ-001 consent-példáiban a soha nem publikált AT-001 v1.8.3 hivatkozás a publikált v1.8-ra javítva. A lektori döntések átvezetése (2026. szeptember 4.): a GDPR 28(3)(f) szerinti segítségnyújtási kötelezettség beemelése a DPA-002 3.7 és a DPA-003 3.10 pontjaként; a GPS-001 Play Data Safety táblájában a Firebase Analytics felé történő továbbítás — a dokumentum saját fogalmi elhatárolásával összhangban — már nem megosztásként szerepel, az egészségügyi és fitnesz adat pedig nem kötelezőként; a LIA-001 hatóköréből kikerült a Firebase Analytics (L1) és az arra épülő aggregált elemzés (L3), mert azok jogalapja hozzájárulás, és a kizárási tábla ezzel kiegészült; a KK-001 korhatár-indoklásából elmarad a téves Infotv.-hivatkozás, a GPS-001 és az XHV-001 azonos fordulatával együtt; az EJ-001 válaszadási határideje összhangba hozva az AT-001 nyilvános ígéretével (összesen legfeljebb 60 nap); a 12(3) szerinti 30 napos vállalás mellé magyarázó megjegyzés került; a BH-001 magyar változata megkapta a harmadik országba történő adattovábbítás leírását; az AT-001 a Cloud Firestore tárolási helyét a ROPA-val egyezően eur3 európai multirégióként adja meg; a fejlesztő bekerült az AT-001 adatfeldolgozói felsorolásába, a DPA-003 utasítási pontja pedig a transzfer-fordulattal egészült ki; hat helyen az „anonimizált” megjelölés „álnevesített”-re pontosítva. Az adatkezelő 2026. szeptember 4-i nyilatkozata alapján: az adminfelületi kétfaktoros hitelesítés lejárt határidő helyett a tényleges teljesítés dátumával (2026. szeptember 1.) szerepel; a fejlesztő nevére szóló vészleállítási hozzáférés még nincs aktiválva, ezért az SZ-001 hozzáférési mátrixa és a DPA-003 3.9.8 átmeneti rendelkezése a mai és a végleges működést külön rögzíti, a szerepkörrel ténylegesen elérhető adatok tételes felsorolásával; a korábbi projektszintű (Editor) jogosultság visszavonása rögzítve. Az INC-001 érintetti ága megkapta a GDPR 34(3) mentesülési okait, a ROPA 06. tételének megőrzési ideje az AT-001-gyel összhangba került, egy lejárt külső hivatkozás cserélve, és az SZ-001 két többoldalas táblája fejlécismétlést kapott. A dokumentumok első oldaláról elmarad a fejlécben amúgy is szereplő logó második példánya (29 dokumentum); a fejléces logó változatlan, és a dokumentumok szövege egyetlen karakterrel sem változott. 2026. szeptember 5-i kiegészítés: a hozzájárulás visszavonásának módjai közé bekerült a postai út (kettős visszavonási csatorna); az 5.2 tábla „Adatfeldolgozó” oszlopa „Címzett”-re módosítva, és a nyilvános ranglista címzettként felvéve; a csomagszintű lektori jóváhagyás átvezetve a verziótáblába. 2026. szeptember 6-i kiegészítés: az adatkezelő 2026. szeptember 5-i válasza alapján a csomag hatálybalépése 2026. augusztus 1-ről 2026. október 1-re módosítva (79 hely; a DPA-003 alkalmazandósági fordulata, a D2-UGY jóváhagyási dátumai és a verziótáblák dátumai szándékosan érintetlenek). 2026. szeptember 6-i, a külső minőségellenőrzés (P2) 37 igazolt lelete alapján tett kiegészítés: az 5.2 tábla fejlesztői sora a tényleges állapotot rögzíti — éles adathozzáférés jelenleg nincs, az a DPA-003 aláírása és külön technikai aktiválás után nyílik meg. A P1 külső ellenőrzés újramérése alapján: a 9. pontban a megfelelő garanciák másolatának beszerezhetősége megadva (GDPR 13(1)(f)). A P3–P5 külső ellenőrzés (végrehajthatóság · az érintett szemével · adverzariális) 2026.09.06-i leletei alapján: a fióktörlési mondat a 4. pont adatkörönkénti megőrzési idejére utal; a 6. pont profilozási tilalma a 10. pontra hivatkozik; a 9. pontban köznyelvi magyarázat a garanciákról. Az adatkezelő 2026. szeptember 7-i részstátuszlevele és az aláírt DPA-003 alapján (2026. szeptember 11.): a fejlesztő adatfeldolgozó sora a DPA-003 aláírásának dátumát tartalmazza. 2026. szeptember 11-i kiegészítés (AT-001 ↔ ROPA teljesség, cellapárosítás): a 4. tábla új sora a barátkód-összerendelésről (ROPA-001 23.). 2026. szeptember 16-i második kiegészítés (a lektor 2026.09.15-i 3., 4., 6. és 9. döntése): a banki értesítés két lépésre bontva a ROPA 06-ban (olvasás/feldolgozás 6(1)(a) + azonnali törlés; a jóváhagyott bejegyzés a 03. tétel szerint 6(1)(b)); a nyereményjáték adatköre és megőrzési ideje az AT-001 HU/EN 4. táblájában és a ROPA 10-ben a PR-001 8. fejezetéhez igazítva (négy megőrzési idő, számviteli bizonylat 6(1)(c)); a PR-001 törlési mondata a GDPR 17(3) b) pontjára hivatkozó feltételes formába; a PR-001 hatálybalépési cellája „2026. október 1.”; a profiladat-sor kettévált (nyelv/pénznem/téma 6(1)(b) · ország/életkor/nem 6(1)(a), opcionális). 2026. szeptember 16-i harmadik kiegészítés (a lektor jóváhagyásával): az 5. fejezet címe „Címzettek, adatfeldolgozók és Firebase adatfolyam-térkép” — összhangban az 5.2 tábla 2026. szeptember 5-én „Címzett”-re módosított oszlopával (HU és EN). 2026. szeptember 24-i kiegészítés: a csomag hatálybalépése 2026. október 1-ről 2026. OKTÓBER 12-re módosult. Indok: az ÁSZF-001 14. pontja és az AT-001 9. pontja szerint a felhasználókat a változásról legalább 15 nappal a hatálybalépés előtt értesíteni kell; a közzététel és az értesítés 2026. szeptember 27-én történt meg (a korábban tervezett szeptember 25. helyett). A KK-001 és a PR-001 aláírási dátuma a közzététel napja. | Dr. Crespo Zsuzsanna |
[A v1.6 verzió az AT-001 vonatkozásában nem került kiadásra; a verziószám a csomag más dokumentumaihoz kötődik.]
[A korábbi kiadások dátumadatai hiányosak vagy egységesítettek: a v1.5 sor dátuma év pontossággal szerepel, a v1.7 és a v1.8 sor pedig azonos dátumot visel. Ezek visszamenőleges pontosítása nem történik. A v1.8.1–v1.8.4 sorok a publikált tájékoztató ágán készültek, de egyik sem került publikálásra; dátumuk az adott változat saját keltezése (elkészülési, illetve tervezett hatálybalépési dátum), amelynek visszamenőleges pontosítása nem történik. Ezért a v1.8.4 után a táblázatban látszólagos dátum-visszalépés jelenik meg; a verziók tartalmi sorrendje a verziószám szerinti.]
B. Változáskövetés — eltérések a 2026.03.16-i tervezethez képest
| Pont | Tervezet | Végleges verzió | Indok |
|---|---|---|---|
| Egészségügyi adat | Hiányzott | Külön fejezet (6. pont) | GDPR 9. cikk kötelező |
| Banki értesítés | Hiányzott | Külön fejezet (7. pont) | Play Financial Data policy |
| Firebase tételes | Általános | Auth/Firestore/Analytics/CF bontva (5. pont) | GDPR 28. cikk, átláthatóság |
| AdMob | Hiányzott | Önálló adatfeldolgozó (5. pont) | Külön adatfeldolgozó |
| USA-transzfer | Általános | Tételes bontás EU-US DPF (9. pont) | GDPR 46. cikk |
| Megőrzési idők | „ésszerű ideig” | Tételes tábla (4. pont) | GDPR 5(1)(e) |
| Ranglista adat | Hiányzott | Külön bek. (4. pont) | Nyilvános személyes adat |
| Consent tárolás | Hiányzott | Firestore-ban (4. pont) | GDPR 7(1) bizonyíthatóság |
| Nyereményjáték | Hiányzott | Külön ROPA-sor (4. pont) | Adatkezelési cél |
| Profilozás | Hiányzott | GDPR 22. cikk kockázat (10. pont) | DPIA-001 alapja |
| Irányadó nyelv | Hiányzott | Borító (az EN változatban a 15. pont is) | Fordítási eltérés esetén a magyar szöveg irányadó |
C. Aláírási blokk
| Szerep | Név | Dátum | Aláírás |
|---|---|---|---|
| Készítette | Dr. Crespo Zsuzsanna | ||
| Átvevő / jóváhagyta | Mózer Ferenc |
Következő felülvizsgálat: 2027. augusztus 1.
v1.5a kiegészítés — lépésszám jogosultságok:
Androidon az alkalmazás a READ_STEPS mellett READ_HEALTH_DATA_HISTORY és ACTIVITY_RECOGNITION jogosultságot is kérhet. Ezek célja a korábbi időszaki aggregált lépésszám-összesítések és az Android aktivitás-/lépésszám-támogatás biztosítása. Ez nem jelent GPS-, útvonal-, pulzus-, edzéstípus- vagy más egészségügyi adatkezelést.