Archivált tervezet letöltése (2026-10-09-tervezet-1)
Éjféli Posta – Adatkezelési tájékoztató
TERVEZET – nem hatályos; a tényleges éles rendszerhez véglegesítendő.
Verzió: 0.2, 2026. október 9. Hatálybalépés: [KITÖLTENDŐ].
Szerkesztői megjegyzés: a tesztrendelési rendszer már adatokat ment a Cloudflare D1 adatbázisába, Barion Sandbox-fizetést kezel és Resend-emaileket küld. Nem pusztán statikus bemutatóűrlap. Éles Barion-elfogadóhely még nincs létrehozva. Az alábbi dokumentum az éles működés tervezete, a jelenlegi tesztműködést külön jelzi; a megőrzési és szolgáltatói feltételek lezárásáig nem végleges tájékoztató.
1. Az adatkezelő és a kapcsolat
Aján-Baróthy Borbála egyéni vállalkozó; székhely: 1142 Budapest, Tanya utca 12.; nyilvántartási szám: 58886546; adószám: 54943353-1-42; honlap: https://ejfeliposta.hu.
Adatvédelmi és ügyfélszolgálati kapcsolattartás: ejfeliposta@gmail.com. Telefon: +36 30 242 4993. A vállalkozási név, székhely és adószám változatlanságát a megrendelő 2026. szeptember 30-án megerősítette; forrásuk a 2024-es bejegyzési értesítés.
A domain más személy nevére regisztrálása nem teszi őt automatikusan a vásárlói adatok adatkezelőjévé. Ha más személy hozzáfér a rendeléskezelőhöz, szerepét, jogosultságát és titoktartását külön rendezni kell.
2. Milyen adatokat kezelünk és miért?
Az adatkezelés a GDPR, az alkalmazandó magyar adatvédelmi, kereskedelmi és adójogi szabályok szerint történik. Csak a megjelölt célhoz szükséges adatokat kérjük. A rendelés teljesítését nem tesszük marketing-hozzájárulástól függővé.
| Cél | Adatkör | Tervezett jogalap | Megőrzés / véglegesítési feltétel |
|---|---|---|---|
| Weboldal kiszolgálása, alapvető biztonság | IP-cím, kérés ideje, böngésző/eszköz technikai adatai, kért erőforrás, hibák | Jogos érdek, GDPR 6. cikk (1) f) | [A Cloudflare tényleges naplózásához igazítandó; saját naplókra javaslat 30 nap, incidens kivételével] |
| Rendelés, kapcsolat, címzés és teljesítés | Név, email, postázási cím, csomag, összeg, rendelésazonosító, időpont, teljesítési hónapok, szükséges megjegyzés | Szerződés / szerződéskötést megelőző lépések, 6. cikk (1) b) | A teljesítés és szükséges ügyintézés idejéig; jogi igényekhez szükséges bizonyíték külön cél alatt |
| Fizetés és visszatérítés | Fizetési mód, összeg, státusz, Barion- és tranzakcióazonosítók; átutalásnál utaló neve, szükséges banki azonosító és közlemény | 6. cikk (1) b); kötelező bizonylatoknál c) | Teljesítésig, majd a bizonyítási/adójogi cél szerint elkülönítve |
| Előfizetés, ismétlődő terhelés, lemondás | Csomag és időszak, következő terhelés, felhatalmazás és feltételverzió, Barion token/TraceId, állapot, lemondás ideje | 6. cikk (1) b) | Aktív előfizetés alatt; lemondás után nincs további terhelési felhasználás; a szükséges bizonyíték a jogi igények határidejéig |
| Rendelési és megújulási emailek | Emailcím, név, rendelés szükséges adatai, kiküldés és kézbesítés státusza | 6. cikk (1) b); jogérvényesítési értesítésnél c) vagy f) | Szerződéses bizonyíték megőrzéséhez igazítva; rövid technikai emailnapló [javaslat: 90 nap] |
| Számlázás, adózás | Számlázási név/cím, szükség esetén adószám, számlatételek, díjak, számlaazonosító | Jogi kötelezettség, 6. cikk (1) c) | A közvetített könyvelői útmutatás szerint legalább 5 év. [A megőrzés kezdőpontja és az esetleges hosszabbítás feltételei a törlési folyamat előtt pontosítandók.] |
| Fogyasztói panasz | Panasz tartalma, azonosításhoz szükséges adatok, jegyzőkönyv, válasz | Jogi kötelezettség, 6. cikk (1) c) | 3 év a fogyasztóvédelmi törvény szerint |
| Elállás és jogi igények | Nyilatkozat, rendelésazonosító, időpont, visszaigazolás, elszámolás, releváns levelezés | Jogi kötelezettség és jogi igényekhez fűződő jogos érdek, 6. cikk (1) c), f) | A jogi igény elévüléséig, főszabály szerint esedékességtől 5 év; folyamatban lévő jogvita és elévülési változás figyelembevételével |
| Ügyfélszolgálati kérdés rendelés nélkül | Név, email és a megkeresés tartalma | Kérésre tett szerződés előtti lépések vagy a megkeresés megválaszolásához fűződő jogos érdek | [Javaslat: lezárás után 1 év, ha nincs külön panasz- vagy jogvita-cél] |
| Kezelőfelület és biztonságos ügyféllink | Jogosultság, belépési/lejáró token hash, szükséges hozzáférési és módosítási események | Szerződés teljesítése, illetve biztonsági jogos érdek | Link lejáratáig; jogosultság fennállásáig; releváns biztonsági napló rövid, rögzített ideig |
A szögletes zárójelű határidők tervezési javaslatok, nem már működő törlési mechanizmusok. Nem őrzünk meg minden rendelési mezőt automatikusan ugyanannyi ideig, mint egy számlát. Az egyéni vállalkozásra nem alkalmazunk ellenőrzés nélkül általános „minden számla 8 év” sablonszabályt. A végleges tájékoztatóban konkrét határidő vagy meghatározható megőrzési szempont szerepel, és ehhez törlési folyamat tartozik.
Sikertelen, szerződésig el nem jutó rendelés teljes címadataira javasolt megőrzés: lezárástól 30 nap, utána törlés/anonimizálás, ha nincs befizetés, panasz, csalásgyanú vagy jogvita. Ez is jóváhagyásra és megvalósításra vár. Biztonsági mentések tervezett törlési ciklusa: [KITÖLTENDŐ]; helyreállítás után a törlési döntéseket újra alkalmazni kell.
3. Kötelező adatok, más címzett és megjegyzések
A név, email, teljes postázási cím és szükséges számlázási adat nélkül a rendelés nem teljesíthető. A megjegyzés nem kötelező. Oda ne írjon egészségügyi, okmány-, bankkártya- vagy más szükségtelen érzékeny adatot.
Ha a vásárló más személynek kéri a levelet, csak a kézbesítéshez szükséges címzetti név és cím adható meg. [VÉGLEGESÍTENDŐ: támogatunk-e ajándékozást; ha igen, a közvetett adatgyűjtés GDPR 14. cikk szerinti címzetti tájékoztatását és jogalapját is ki kell dolgozni.] E lehetőséget a tervezet nem tekinti már bevezetett szolgáltatásnak.
4. Kik férnek hozzá az adatokhoz?
A vállalkozó és az általa feljogosított, titoktartásra kötelezett közreműködők csak feladatukhoz szükséges mértékben. A tervezett szolgáltatók szerepeit alább különböztetjük meg; nem minden címzett adatfeldolgozó.
| Szolgáltató | Feladat és adatok | Állapot |
|---|---|---|
| Cloudflare, a fiók szerinti szerződő jogalany [pontosítandó] | Weboldal/DNS/biztonság, Pages Functions, Worker és D1 rendelési adatbázis | A tesztrendszerben már használt |
| Barion Payment Zrt. | Fizetés és csalásmegelőzés; tranzakcióadatok, saját felületén megadott fizetési adatok, Pixel esetén technikai adatok | Sandboxban bekötött; éles elfogadóhely még nincs. Pénzforgalmi és saját csalásmegelőzési céljaiban önálló adatkezelő |
| Plus Five Five, Inc. (Resend) | Tranzakciós email küldése, szükséges levéltartalom és kézbesítési állapot | A tesztrendszerben már működő levélküldő; az adatfeldolgozási feltételek ellenőrzése még szükséges |
| Magyar Posta Zrt. | Ajánlott levél: címzett neve/címe, feladási azonosító, feladási és kézbesítési adatok | Elsőbbségi ajánlott feladás; éles postázás még nem indult. A szolgáltatói adatkezelési feltételek véglegesítendők |
| Billingo; Dobronoki Nóra e.v. könyvelő, székhely: 3980 Sátoraljaújhely, Révész utca 2 3/1 | Számlázási/adózási adatok, számlakézbesítési email | Induláskor kézi számlázás, minden esetben emailben küldött e-számla. A közvetített könyvelői útmutatás: normál számla, teljesítés dátuma lehet a fizetés dátuma, bizonylatmegőrzés legalább 5 év. Szerződéses szerepek és a megőrzési idő számítása véglegesítendők |
| Google Gmail [pontos szolgáltatói és szerződéses adatok véglegesítendők] | Ügyfélszolgálati és tulajdonosi emailek | Kijelölt cím: ejfeliposta@gmail.com; nem Workspace-fiók |
| OTP Bank | Átutalás és visszatérítés | Saját pénzforgalmi céljaira önálló adatkezelő |
A Rackhost domainregisztrátori feladata önmagában nem jelenti, hogy megkapja a megrendelési adatokat. Ha ott készül az emailfiók, ezt külön szolgáltatásként fel kell venni. A GitHubon a honlap forráskódja és nyilvános tartalma tárolható, vásárlói adatot vagy titkos kulcsot oda nem töltünk fel.
Indulás előtt a tényleges szolgáltatók teljes neve, címe, adatvédelmi elérhetősége, szerepe és a kezelt adatok köre kitöltendő. Az adatfeldolgozókkal megfelelő megállapodás szükséges. A még nem használt szolgáltatót nem írjuk le működőként a végleges tájékoztatóban.
5. Barion és ismétlődő fizetés
A kártyaadatok a Barion felületén kerülnek megadásra. A kereskedőnek nincs szüksége a teljes kártyaszámra, lejáratra és CVC-kódra; ezeket nem tárolja. A fizetés azonosítóját, összegét, pénznemét és státuszát kezeli. Ismétlődő terheléshez az előfizetéshez kötött fizetési azonosítók és felhatalmazási bizonyíték kerülnek tárolásra, szigorú hozzáférés-védelemmel.
Az ismétlődő fizetés elfogadása fizetési felhatalmazás, nem általános GDPR-hozzájárulás minden adatkezeléshez. A szerződés teljesítéséhez szükséges adatkezelés jogalapja a GDPR 6. cikk (1) b). Lemondás után a felhatalmazást új terhelésre nem használjuk; a korábbi tranzakciókhoz és jogi kötelezettségekhez szükséges adatokat megfelelő elkülönítéssel tovább őrizhetjük.
A Barion saját adatkezelési tájékoztatója: https://www.barion.com/hu/adatvedelmi-tajekoztato/ [a végleges Barion által előírt hivatkozással ellenőrizendő].
6. Sütik és Barion Pixel
A végleges oldalon a ténylegesen használt sütikről és hasonló technológiákról technikai felmérés alapján külön nyilvántartás készül: név, szolgáltató, cél, adatkör, időtartam, első/harmadik fél és hozzájárulási kezelés.
A Base Barion Pixel tervezett célja a fizetési csalások megelőzése. Barion dokumentációja szerint e cél jogos érdeken alapul, és a Base Pixel betöltését nem a marketing-hozzájárulástól teszik függővé. Ez nem jelent automatikus engedélyt marketingre: a tényleges adatkezelést, érdekmérlegelést, süti-szabályokat és tájékoztatást a bevezetéskor ellenőrizni kell.
Full Barion Pixel, hirdetési követés és marketingcélú adatküldés bevezetése jelenleg nem eldöntött. Ha ilyen funkció lesz, ahol szükséges, előzetes és visszavonható hozzájárulást kell kérni. Elutasítás miatt a rendelés nem akadályozható. Nem használunk előre bejelölt marketing-hozzájárulást.
Jelen tervezet nem állítja, hogy a Barion Pixel már be van kötve, és nem talál ki sütineveket vagy élettartamokat. [INDULÁS ELŐTT: valós sütileltár és a Barion aktuális kötelező tájékoztatójának egyeztetése.]
A jelenlegi tesztkód munkamenetsütijei
Az alábbiak saját domaines, Secure, HttpOnly, SameSite=Strict sütik. Nem reklámozási célúak. A böngészős lejárat nem jelenti automatikusan az adatbázisrekord törlését.
| Név | Cél | Élettartam |
|---|---|---|
__Host-ep_customer_test | Előfizetői belépés | 15 perc |
__Host-ep_owner | Tulajdonosi belépés | 4 óra |
__Host-ep_checkout_test | Saját tesztrendelés állapotának elérése | Kártyás rendelésnél 1 óra; átutalásnál 7 nap |
Az emailes ügyféllink 30 percig érvényes és egyszer használható; ez nem külön süti. A leltár a saját alkalmazáskódra vonatkozik. Az éles rendszer, a Cloudflare esetleges kiegészítő védelmei és a később bevezetett Barion Pixel külön végső felmérést igényelnek.
7. Nemzetközi adattovábbítás
A Cloudflare globális szolgáltatása és a tesztrendszerben használt Resend miatt EGT-n kívüli adatkezelés is felmerülhet. Nem állítjuk, hogy minden adat kizárólag Magyarországon vagy az EU-ban marad.
A konkrét szerződő jogalanyok, alfeldolgozók, adatkezelési helyek és továbbítási garanciák a szolgáltatói szerződések alapján rögzítendők. Alkalmazható garancia lehet megfelelő megfelelőségi határozat vagy az Európai Bizottság általános szerződési feltételei megfelelő kiegészítő intézkedésekkel. Data Privacy Framework alapjára csak az érintett jogalany aktuális tanúsításának és hatályának ellenőrzése után hivatkozunk. A garanciák másolatáról/elérhetőségéről az ügyfélszolgálat tájékoztatást ad.
8. Az érintett jogai
Ön tájékoztatást és hozzáférést kérhet adataihoz, kérheti a pontatlan adatok helyesbítését, a törlést vagy az adatkezelés korlátozását az alkalmazandó feltételekkel. A szerződésen vagy hozzájáruláson alapuló automatizált adatkezelésnél az adathordozhatóság is megilletheti. Jogos érdeken alapuló adatkezelés ellen saját helyzetével kapcsolatos okból tiltakozhat; a kérelmet egyedileg megvizsgáljuk. Közvetlen üzletszerzés ellen bármikor tiltakozhat.
Ha valamely adatkezelés hozzájáruláson alapul, azt bármikor visszavonhatja, a korábbi adatkezelés jogszerűségének érintése nélkül. A törlés nem terjed ki olyan adatokra, amelyek őrzése jogi kötelezettség vagy jogi igény érvényesítése miatt szükséges. Az előfizetés lemondása nem törli automatikusan a kötelező bizonylatokat.
A kérelmeket az 1. pont szerinti működő elérhetőségen fogadjuk. Főszabály szerint egy hónapon belül válaszolunk; összetett vagy nagyszámú kérelemnél a GDPR szerinti legfeljebb további két hónapos hosszabbításról és okáról az első hónapon belül tájékoztatunk. Az azonosításhoz csak arányos adatot kérünk, nem kérünk rutinszerűen okmánymásolatot.
Panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (1055 Budapest, Falk Miksa utca 9–11.; ugyfelszolgalat@naih.hu; https://naih.hu; levelezési cím: 1363 Budapest, Pf. 9.; telefon: +36 (1) 391 1400), illetve bírósághoz fordulhat. Az emailcím tájékoztatáskérésre szolgál; hatósági eljárás megindításához a NAIH hivatalos benyújtási útmutatóját kell követni: https://naih.hu/ugyfelszolgalat-kapcsolat. E jogokat nem kötjük előzetes belső panaszkezeléshez.
9. Automatizálás és biztonság
A tesztrendszer már automatizálja a rendelési státuszok, megújulási dátumok és emailértesítések kezelését. Ezeket emberi ügyfélszolgálaton keresztül felül lehet vizsgálni. A vállalkozás jelenleg nem tervez saját hitelképességi vagy hasonló profilozást. A Barion önálló csalásmegelőzési és fizetési döntéseiről a Barion saját tájékoztatója rendelkezik. Ha a kész rendszer GDPR 22. cikk szerinti döntést hozna, arról külön, megfelelő tájékoztatás és garancia szükséges.
Tervezett intézkedések: HTTPS; titkos kulcsok elkülönített tárolása; jogosultsághoz kötött adminfelület; hozzáférések és állapotmódosítások naplózása; a személyes adatok kizárása URL-ekből és forráskódból; lejáró ügyféllinkek; rendszeres törlés és mentés. Ezek tényleges megvalósítását az élesítés előtt igazolni kell. Biztonsági incidensnél dokumentált kivizsgálás és – a jogszabályi feltételek fennállásakor – hatósági/érintetti értesítés történik.
10. A tájékoztató változásai és források
A végleges tájékoztatót az oldalról folyamatosan elérhetővé tesszük. Új cél vagy lényeges változás előtt megfelelően tájékoztatjuk az érintetteket, és szükség esetén új jogalapot/hozzájárulást biztosítunk.
- GDPR, különösen 5–6., 12–22., 28., 32–34., 44–49. cikk: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=hu
- Panaszkezelés: https://njt.jog.gov.hu/jogszabaly/1997-155-00-00
- Cloudflare adatfeldolgozási feltételek: https://www.cloudflare.com/en-gb/cloudflare-customer-dpa/
- Resend szerződési és adatfeldolgozási dokumentumok: https://resend.com/legal
- Barion Base Pixel: https://docs.barion.com/Implementing_the_Base_Barion_Pixel
- Barion marketing-hozzájárulás: https://docs.barion.com/Barion_Pixel_Consent_Management_requirements
- NAIH: https://naih.hu/ugyfelszolgalat-kapcsolat
Az előkészített éles rendszer saját munkamenetsütijei – 2026. október 13.
Az alábbi leltár a helyi éles forráskódot írja le, nem állítja, hogy a telepítés megtörtént. Mindegyik saját domaines, Secure és HttpOnly süti.
| Név | Cél | Élettartam | SameSite |
|---|---|---|---|
__Host-ep_live_customer | Vásárlói belépés | 15 perc | Lax |
__Host-ep_live_owner | Tulajdonosi belépés | 4 óra | Strict |
__Host-ep_live_receipt | A saját rendelés fizetési állapotának elérése | 24 óra | Lax |
Az egyszer használható emailes belépési link 30 percig érvényes. A munkamenetek és linkek adatbázisban tárolt lejárata a hozzáférés ellenőrzésekor érvényesül; a lejárt rekordokat a háttérfolyamat takarítja. A fizetési állapot sütije aláírt hozzáférést tartalmaz. Ez a leltár nem helyettesíti a szolgáltatói sütik telepítés utáni ellenőrzését.