Adatvédelem

1. Az adatkezelő

A Gyógytorna Atlasz (https://fizioatlasz.hu) üzemeltetője és adatkezelője:

• Név: [Üzemeltető neve]
• Székhely: [Székhely]
• Kapcsolat: [Kapcsolat e-mail]

Az adatkezelő adatai a tervezet véglegesítésekor kerülnek ide; addig a szögletes zárójeles mezők helyőrzők.

2. Milyen adatokat kezelünk

Az oldal böngészéséhez nem kell fiók, a belépéshez kötött funkciókhoz (jegyzetek, csoportok, feltöltés, gyakorlás mentése) igen. Fiókkal a következő adatok keletkeznek:

• Fiókadatok: e-mail-cím, megjelenített név, a jelszó egyirányú (hash) lenyomata a Better Auth könyvtár kezelésében (a jelszó nem olvasható vissza), az e-mail-cím megerősítésének állapota, a fiók létrehozásának és módosításának ideje.
• Google-fiókos belépésnél (csak ha ezt választod): a Google által átadott fiókazonosító, név, e-mail-cím, esetleg profilkép címe, valamint a belépéshez kapott Google-tokenek, amelyeket a Better Auth a fiókhoz tárol.
• Ideiglenes ellenőrző adatok (`verification` tábla): Google-fiókos belépésnél a belépési folyamat állapotjelzője (OAuth state), legfeljebb 10 percig; ha az e-mail-küldés bekapcsolásra kerül, az e-mail-cím megerősítéséhez és a jelszó-visszaállításhoz kiadott egyszeri ellenőrző kódok is ide kerülnének, lejárati idővel (az e-mail-küldés jelenleg nincs bekapcsolva).
• Munkamenet: a munkamenet azonosítója (jelszó nélküli belépési jel), lejárata, a belépéskor észlelt IP-cím és a böngésző azonosító sora (user agent).
• Általad létrehozott tartalom: jegyzetek (privát vagy csoportnak megosztott), a közös jegyzetek korábbi változatai a szerző megjelölésével, mentett 3D nézetek, saját tételsorok.
• Feltöltött anyagok: a fájl (privát tárolóban), a neve, típusa, mérete és a hozzárendelt tételek. Fájlonként legfeljebb 20 MB.
• Gyakorlási adatok: gyakorlási munkamenetek (időpont, időtartam, önértékelés pontonként), az ismétlési kártyák ütemezési állapota.
• Hangfelvételek: ha a gyakorláskor felvételt készítesz, a böngésző kér mikrofon-hozzáférést; a felvétel (legfeljebb 10 perc) a privát tárolóba kerül, és csak te éred el.
• Csoport: a csoport neve, a tagság és a meghívókódok (lejárati idővel). A csoport tagjai egymás megjelenített nevét látják, az e-mail-címet nem.
• Biztonsági és túlterhelés elleni számlálók: IP-cím alapú kérésszámlálók a belépési és regisztrációs végpontokon, e-mail-cím és IP-cím szerinti belépési próbálkozás-számláló, napi írási keretek (felhasználónként, IP-nként és oldalszinten).

Szándékosan nem kezelünk különleges adatot (egészségügyi adat, vallás stb.). Kérünk, hogy a jegyzeteidbe és a feltöltéseidbe ne tegyél betegadatot vagy más személyes adatot harmadik személyről.

3. Az adatkezelés célja és jogalapja

• Fiók létrehozása, belépés, a funkciók (jegyzetek, csoportok, feltöltés, gyakorlás, felvétel) nyújtása: a szolgáltatás igénybevételére irányuló szerződés teljesítése, GDPR 6. cikk (1) bekezdés b) pont.
• Visszaélések, jelszó-próbálgatás és túlterhelés elleni védelem (IP-alapú számlálók, napi keretek), a szolgáltatás biztonsága: jogos érdek, GDPR 6. cikk (1) bekezdés f) pont. Az érdekmérlegelési teszt élesítés előtt elkészítendő.
• Google-fiókos belépés: a te kezdeményezésedre, a belépés nyújtásához szükséges (6. cikk (1) bekezdés b) pont).

Az oldal nem használ analitikát, hirdetési vagy követő eszközt, és nem végez profilozást vagy automatizált, joghatással járó döntéshozatalt.

4. Adatfeldolgozók és címzettek

• Cloudflare, Inc.: tárhely és hálózat. A weboldal és az API Cloudflare Workerként fut, az adatbázis (D1) és a fájltároló (R2) is Cloudflare-szolgáltatás. A Cloudflare a forgalom kiszolgálása során az IP-címet és a kérés adatait is feldolgozza, és a Worker működési naplóit is vezeti (a megőrzés a Cloudflare szabályai szerint történik). [A Cloudflare adatfeldolgozási szerződésének (DPA) ellenőrzése szükséges.]
• Google (Google Ireland Limited / Google LLC, [pontos szerződő fél ellenőrizendő]): csak ha Google-fiókkal lépsz be; ekkor a Google a saját adatkezelési tájékoztatója szerint kezeli a belépési adataidat.
• Betűtípus: az Inter betűtípust az oldal saját tárhelyről (a Cloudflare-en keresztül) szolgálja ki, a betűtípus betöltésekor nem veszünk igénybe Google Fonts vagy más külső betűtípus-szolgáltatást.
• E-mail-küldés: jelenleg nincs bekapcsolva (nem küldünk megerősítő vagy jelszó-visszaállító levelet). Bekapcsolás esetén a Cloudflare Email Service lesz a küldő, és ezt a tájékoztatót frissíteni kell.

Adatot hirdetőknek vagy más harmadik félnek nem adunk át. A csoportnak megosztott tartalom (közös jegyzet, csoportos anyag) a csoport tagjai számára látható.

5. Adattovábbítás az Európai Gazdasági Térségen kívülre

A Cloudflare és a Google amerikai vállalat; az adatok az EGT-n kívülre is kerülhetnek. A jogalap az adatfeldolgozó EU-USA adatvédelmi keretrendszer (DPF) szerinti tanúsítása vagy az általános szerződési feltételek (SCC) alkalmazása. [Az aktuális tanúsítás és a szerződéses garanciák ellenőrzése, szükség esetén átviteli hatásvizsgálat készítése szükséges.]

6. Meddig őrizzük az adatokat

• Fiók, jegyzetek, feltöltések, felvételek, gyakorlási adatok, mentett nézetek, tételsorok: a fiók törléséig. Az egyes elemeket (jegyzet, anyag, felvétel, nézet, tételsor) te magad is törölheted az oldalon; ilyenkor a hozzájuk tartozó fájl is törlődik a tárolóból.
• Munkamenet: 7 napig érvényes, használat közben naponta megújul; kijelentkezéskor törlődik. A lejárt munkamenet-sorok (IP-cím, böngészőazonosító) időzített tömeges törlése jelenleg nincs beállítva, ezek a fiók törléséig megmaradhatnak [üzemeltetői döntés szükséges].
• Belépési próbálkozás-számláló (e-mail-cím és IP-cím szerint): 15 perces időablak, a lejárt sorokat a naponta egyszer (03:17 UTC) futó takarítás törli, így legfeljebb kb. egy napig maradnak meg.
• IP-alapú kérésszámláló (Better Auth): a takarítás a 24 óránál régebbi sorokat törli, így legfeljebb kb. két napig marad meg.
• Napi írási keretek (felhasználónként, IP-nként, oldalszinten): a nap lejárta után a napi takarítás törli.
• Cloudflare működési naplói: a Cloudflare saját megőrzési szabályai szerint.

Fiók törlése jelenleg kérésre történik (lásd a 7. pontot): az üzemeltető a fiókot és a hozzá tartozó adatbázis-sorokat, valamint a tárolóban lévő fájlokat (anyagok, felvételek) törli. [A fájlok törlése jelenleg kézi lépés; a folyamatot élesítés előtt rögzíteni kell.]

7. Az érintett jogai

A GDPR szerint kérheted a rólad kezelt adatok megismerését (15. cikk), helyesbítését (16.), törlését (17.), a kezelés korlátozását (18.), az általad megadott adatok géppel olvasható formában való kiadását (20.), és tiltakozhatsz a jogos érdeken alapuló kezelés ellen (21.). Kérésedet a(z) [Kapcsolat e-mail] címen add le; legfeljebb egy hónapon belül válaszolunk (12. cikk (3) bekezdés). Önkiszolgáló adatexport vagy fióktörlés jelenleg nincs, ezeket kérésre az üzemeltető végzi el.

Panasszal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH, 1055 Budapest, Falk Miksa utca 9-11., ugyfelszolgalat@naih.hu, https://naih.hu) fordulhatsz, vagy bírósághoz is fordulhatsz (GDPR 77-79. cikk; az információs önrendelkezési jogról szóló 2011. évi CXII. törvény). [A hatóság elérhetősége élesítés előtt ellenőrizendő.]

8. Adatbiztonság

• Az oldal kizárólag titkosított (HTTPS) kapcsolaton érhető el.
• A jelszavakat nem tároljuk olvasható formában. A munkamenet-süti HttpOnly, Secure és SameSite=Lax jelölésű.
• A feltöltött fájlok és a felvételek privát tárolóban vannak, nyilvános webcím nélkül; letöltésük jogosultság-ellenőrzés után lehetséges.
• A hozzáférés-ellenőrzés az API kódjában történik, minden kérésnél; a belépési végpontokon próbálkozás-korlát és napi keretek védenek a találgatás és a túlterhelés ellen.

Adatvédelmi incidens esetén a GDPR 33-34. cikke szerint járunk el. [Incidenskezelési folyamat kidolgozandó.]

9. A tájékoztató módosítása

A tájékoztatót az oldalon közzétett új változattal módosítjuk. Ez a szöveg tervezet, a hatályba lépés napja a jogi ellenőrzés után kerül ide.