Adatkezelési tájékoztató
Hatályos: [2026. … …] · English version
Tervezet. Élesítés előtt ügyvéddel ellenőriztetni kell.
Ez a tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 13–14. cikke és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján bemutatja, hogy a mumus (a mumus.app webalkalmazás és a „mumus – Bug Reporter” böngészőbővítmény) milyen személyes adatokat, milyen célból és jogalapon kezel, és milyen jogok illetik meg Önt. Eltérés esetén a magyar változat az irányadó.
1. Az adatkezelő
Digital Zombies Kft.
Székhely: [irányítószám, település, utca, házszám]
Cégjegyzékszám: [Cg. 01-09-……], adószám: [……-…-…]
E-mail: [hello@mumus.app], adatvédelmi kapcsolattartó: [privacy@mumus.app]
[Adatvédelmi tisztviselő neve és elérhetősége, ha kinevezésre került]
Adatkezelő vagy adatfeldolgozó? Ha egy szervezet (például egy ügynökség) az ügyfelei számára használja a mumust, a munkaterületén lévő bejelentések, megjegyzések, képernyőképek és fájlok tekintetében az a szervezet az adatkezelő, mi pedig az ő megbízásából, adatfeldolgozási szerződés (GDPR 28. cikk) alapján adatfeldolgozóként járunk el. A fiók-, számlázási és weboldaladatok tekintetében mi vagyunk az adatkezelő.
2. Fiókadatok
| Adatok | Cél | Jogalap | Időtartam |
|---|---|---|---|
| Név, e-mail-cím, jelszó (kizárólag Argon2id hash-ként tárolva), kétlépcsős azonosítás titkos kulcsa (titkosítva), értesítési beállítások, bejelentkezési időpontok | Fiók létrehozása és használata, bejelentkezés, értesítések | Szerződés teljesítése (GDPR 6. cikk (1) b)) | A fiók törléséig |
| Mobiltelefonszám (opcionális, csak megerősítés után) | SMS-értesítések | Szerződés teljesítése (GDPR 6. cikk (1) b)); bármikor törölhető a fiókbeállításokban | Törlésig, legkésőbb a fiók törléséig |
| Meg nem erősített regisztráció, jelszó-visszaállító link | Regisztráció és fiók-helyreállítás | Szerződés megkötése (GDPR 6. cikk (1) b)) | 24 óra, ill. 1 óra érvényesség, 7 nap után törlés |
3. Számlázás és fizetés
Az előfizetés fizetése a Stripe (Stripe Payments Europe Ltd., Dublin, Írország) Checkout és ügyfélportál felületén történik. A kártya- és bankszámla-adatokat a Stripe oldalain kell megadni: azokat a mumus nem látja és nem tárolja. A Stripe megkapja az előfizető személy nevét, e-mail-címét, számlázási címét, adószámát és a fizetési adatokat; a közösségi adószámot a VIES rendszerben ellenőrzi. Mi a Stripe ügyfél- és előfizetés-azonosítót, a csomagot, a számlázási időszakot, az előfizetés állapotát és a számlák adatait tároljuk.
A jogszabály szerinti számlát a Számlázz.hu (KBOSS.hu Kft.) rendszerében állítjuk ki. A Számlázz.hu megkapja a számlázási nevet, címet, e-mail-címet, adószámot és a számla összegeit, és a számlát a jogszabály szerint jelenti a Nemzeti Adó- és Vámhivatalnak (NAV Online Számla).
Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)), valamint jogi kötelezettség (GDPR 6. cikk (1) c)): az általános forgalmi adóról szóló 2007. évi CXXVII. törvény (Áfa tv.) 159–169. §-a és a számvitelről szóló 2000. évi C. törvény (Szt.) 169. §-a. Megőrzési idő: a számlákat és a számviteli bizonylatokat 8 évig őrizzük meg, a munkaterület törlése után is.
4. A böngészőbővítmény által gyűjtött adatok
A bővítmény egy weboldalon semmit sem tesz, amíg Ön ott meg nem nyitja, és az oldal nem tartozik valamelyik projektjéhez (a Chrome weboldalanként engedélyt kér). Adatot csak akkor küld a mumusnak, ha Ön bejelentést, megjegyzést vagy felvételt küld:
| Adat | Mikor | Cél |
|---|---|---|
| A látható lap képernyőképe | Bejelentés létrehozásakor (küldés előtt eltávolítható) | A hiba bemutatása |
| A lap képernyőfelvétele (csak kép, hang nélkül) | Csak ha Ön elindítja; a Chrome felvételjelzőt mutat | A hiba bemutatása |
| Az oldal címe (az érzékeny URL-paraméterek, pl. tokenek eltávolítva), az oldal neve, a megjelölt elem pozíciója és szelektora | Bejelentéssel együtt | Az oldal megtalálása, a jelölő elhelyezése |
| Böngésző, operációs rendszer, nyelv, időzóna, ablak- és képernyőméret | Bejelentéssel együtt | A hiba reprodukálása |
| Az oldal legutóbbi konzolhibái és sikertelen hálózati kérései (a titkos adatok, pl. tokenek, jelszavak, sütik kitakarva) | Bejelentéssel együtt, a projektjei weboldalain | A hiba okának megtalálása |
| A bejelentés szövege és a megjegyzések | Küldéskor | Maga a bejelentés |
A bővítmény nem követi a böngészését, nem olvassa a projektjein kívüli weboldalakat, nem ad el és nem oszt meg adatot hirdetőkkel, és nem tartalmaz analitikát. A bejelentkezési token a bővítmény háttérfolyamatában marad, és csak a csatlakoztatott mumus-szerverre kerül elküldésre. Ezekre az adatokra a munkaterület gazdája az adatkezelő (lásd 1. pont).
E-mailes bejelentés és weboldal-widget
Ha egy projekt bekapcsolja ezeket a csatornákat, a tagok a projekt titkos e-mail-címére küldött levéllel, vagy a projekt weboldalán futó mumus widgettel (pl. telefonról, QR-kódos bejelentkezés után) is bejelenthetnek.
- E-mail: a levél a tárhelyszolgáltatónknál (IONOS, Németország) lévő bejelentési postafiókba érkezik, amelyet a mumus percenként kiolvas és kiürít. Ezután ellenőrizzük a DKIM-aláírását és a feladó tagságát, majd a tárgyat, a szöveget, a mellékleteket és a feladót feladatként tároljuk. Az ellenőrzésen elbukó leveleket tárolás nélkül eldobjuk (csak egy naplósor marad az okkal és a feladó domainjével, [90] napig). A feladónak visszaigazolást küldünk.
- Widget: a weboldal átlagos látogatóinál semmit sem tesz. Bejelentkezett bejelentőknél elküldi a bejelentés szövegét, az opcionális képernyőképet, az oldal címét, a megjelölt elemet, a böngészőt, az operációs rendszert, a nyelvet, az időzónát, a képernyő- és ablakméretet, a tájolást és az oldal el nem kapott JavaScript-hibáit. A weboldal helyi tárolójában egy
"1"jelzőt, a mumus keret tárolójában egy bejelentkezési tokent (7 nap) tárol.
Ezek a bejelentések a munkaterület tartalmát képezik: az adatkezelő a szervezet, mi az ő megbízásából adatfeldolgozóként járunk el (adatfeldolgozási szerződés).
5. Használati statisztika (csak hozzájárulással)
Ha a süti-sávban az „Accept analytics” gombra kattint, mérjük a mumus weboldal és webalkalmazás használatát, hogy megtaláljuk és javítsuk a nehezen érthető folyamatokat. Ezt mi magunk végezzük, saját, EU-n belüli szervereinken, harmadik fél eszközei nélkül:
- Oldalmegtekintések: csak az oldaltípus neve (pl. „projekttábla”), soha nem azonosítók, feladatcímek vagy lekérdezési paraméterek.
- Kattintások felületi elemekre: a fejlesztőink által megadott elemazonosító (pl. „új feladat gomb”) és a kattintás oldalhoz viszonyított helye. Soha nem szövegtartalom, űrlapadat vagy billentyűleütés.
- „Dühös kattintások” (több gyors kattintás ugyanarra a pontra), görgetési mélység, az oldalon töltött idő és a böngészőablak mérete.
Az események csak egy, egy böngészőlap-munkamenetig élő véletlenszerű azonosítóhoz kapcsolódnak (mumus-analytics-session, session storage). Felhasználói azonosítót, e-mail-címet vagy IP-címet nem tárolunk velük. Más weboldalakon nincs követés, és nincs profilalkotás. Az eseményeket 90 nap után töröljük.
Jogalap: az Ön hozzájárulása (GDPR 6. cikk (1) a)), az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) 155. § (4) bekezdése. A hozzájárulását bármikor visszavonhatja a lábléc vagy a fiókmenü „Cookie settings” pontjában; a mérés ekkor azonnal leáll. Hozzájárulás nélkül semmit nem mérünk. Részletek: süti-tájékoztató.
6. A szolgáltatás üzemeltetése és biztonsága
Az ügyfélszolgálat, a tárhelykeretek betartatása és a helyes számlázás érdekében szervezetenként használati adatokat vizsgálunk, például a tagok, projektek és feladatok számát, a felhasznált tárhelyet és annak növekedését, az előfizetés állapotát és az utolsó bejelentkezést. A bejelentések tartalmát ehhez nem olvassuk. Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)) és jogos érdekünk a stabil, méltányosan használt szolgáltatáshoz (GDPR 6. cikk (1) f)).
Webszerverünk technikai naplót vezet (IP-cím, időpont, kért cím, állapotkód, böngésző) a szolgáltatás biztonsága érdekében; ezeket [14] nap után töröljük. A biztonsági eseményeket (pl. sikertelen bejelentkezés) [90] napig őrizzük. Jogalap: jogos érdekünk az informatikai biztonsághoz (GDPR 6. cikk (1) f)). Az érdekmérlegelési tesztet kérésre rendelkezésre bocsátjuk.
Kiszivárgott jelszavak ellenőrzése: jelszó megadásakor a jelszó SHA-1 hash-ének első öt karakterét a Have I Been Pwned szolgáltatással vetjük össze (k-anonimitás). Maga a jelszó soha nem hagyja el a szerverünket.
7. Ügyféltörténetek
Az ügyféltörténetek oldalon csak olyan személyek és cégek nevét, fényképét, logóját és idézetét tesszük közzé, akik ehhez írásban hozzájárultak (GDPR 6. cikk (1) a)). A hozzájárulás bármikor visszavonható; ekkor a történetet eltávolítjuk.
8. Címzettek és adatfeldolgozók
| Címzett | Feladat | Hely |
|---|---|---|
| [IONOS SE, Montabaur] | Tárhely (szerver Németországban), domainek, a bejelentésekhez használt postafiók | Németország |
| [Hetzner Online GmbH, Gunzenhausen] | Titkosított külső biztonsági mentések | Németország |
| [Brevo (Sendinblue SAS), Párizs] | E-mail-küldés, SMS-értesítések (ha bekapcsolja) | Franciaország / EU |
| [KBOSS.hu Kft. (Számlázz.hu), Budapest] | Számlakiállítás, NAV Online Számla adatszolgáltatás | Magyarország / EU |
| [Stripe Payments Europe Ltd., Dublin] | Fizetés, adószám-ellenőrzés (VIES), adószámítás | Írország; USA-ba történő továbbítás az EU–USA adatvédelmi keretrendszer és általános szerződési feltételek alapján |
| [Twilio Ireland Ltd.] (opcionális) | SMS-értesítések, csak ha a Brevo helyett ezt használjuk | Írország; USA-ba történő továbbítás az EU–USA adatvédelmi keretrendszer és általános szerződési feltételek alapján |
| Nemzeti Adó- és Vámhivatal | Számlaadat-szolgáltatás (önálló adatkezelő, jogi kötelezettség) | Magyarország |
Az SMS-értesítések a projekt nevét, a feladat számát és egy rövid címet tartalmaznak. Az Ön által csatlakoztatott AI-asszisztensek (pl. Claude Code vagy Codex) azokat a feladatadatokat kapják meg, amelyeket az Ön tokenjével lekérnek. A tokeneket Ön kezeli és vonhatja vissza; az AI-szolgáltató az Ön saját szerződéses partnere.
9. Megőrzési idők összefoglalva
- Bejelentések, megjegyzések, fájlok: amíg a szervezet törli őket vagy megszünteti a munkaterületet. Az előfizetés megszűnése után a munkaterület csak olvasható; ha [6 hónapig] előfizetés nélkül marad, 30 napos előzetes e-mailes értesítés után törölhetjük (ÁSZF 12. pont). A tulajdonos által törölt munkaterület 30 nap után véglegesen törlődik.
- Használati statisztika: 90 nap. Webszerver-napló: [14] nap. Biztonsági napló: [90] nap.
- Számlák és számviteli bizonylatok: 8 év (Szt. 169. §).
- Biztonsági mentések: [30] nap után felülíródnak.
10. Sütik és helyi tárolás
A mumus egy munkamenet-sütit használ a bejelentkezéshez és a CSRF-védelemhez, valamint egy sütit, amely a süti-választását tárolja (mindkettő feltétlenül szükséges). A téma (világos/sötét) választását a böngésző helyi tárolója őrzi. Használati statisztika csak hozzájárulással fut. Hirdetési sütik nincsenek. Teljes lista: süti-tájékoztató.
11. Az Ön jogai
Ön jogosult tájékoztatást és hozzáférést kérni (GDPR 15. cikk), kérheti adatai helyesbítését (16. cikk), törlését (17. cikk), kezelésének korlátozását (18. cikk), élhet az adathordozhatósághoz való joggal (20. cikk), és tiltakozhat a jogos érdeken alapuló adatkezelés ellen (21. cikk). Hozzájárulását bármikor visszavonhatja; ez a visszavonás előtti adatkezelés jogszerűségét nem érinti (7. cikk (3) bekezdés). Kérelmét [privacy@mumus.app] címen nyújthatja be; legkésőbb egy hónapon belül válaszolunk (12. cikk (3) bekezdés). Ha adatai egy szervezet munkaterületén vannak, kérelmét továbbítjuk az adott szervezetnek mint adatkezelőnek.
Önkiszolgálás: saját fiókját bármikor törölheti a Account settings → Delete account menüpontban. A munkaterület tulajdonosa a Team & access → Data & deletion oldalon teljes exportot tölthet le (JSON, CSV és az összes fájl), és törölheti a munkaterületet. A törölt munkaterület 30 napig visszaállítható, azután véglegesen törlődik; a biztonsági mentésekben lévő másolatok a mentések megőrzési idején belül felülíródnak.
12. Jogorvoslat
Ha úgy érzi, hogy megsértettük adatvédelmi jogait, panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH; 1055 Budapest, Falk Miksa utca 9–11.; postacím: 1363 Budapest, Pf. 9.; telefon: +36 1 391 1400; e-mail: ugyfelszolgalat@naih.hu; naih.hu), vagy a lakóhelye szerinti EU-tagállam felügyeleti hatóságánál. Jogai megsértése esetén bírósághoz is fordulhat (Infotv. 23. §); a per – választása szerint – a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható. Kérjük, előbb forduljon hozzánk, hogy a problémát gyorsan megoldhassuk.
13. Adatbiztonság
Minden kapcsolat TLS-titkosítással történik; kétlépcsős bejelentkezés, projektenkénti szerepköralapú hozzáférés, a webgyökéren kívüli privát fájltárolás és titkosított titkos kulcsok védik az adatokat. Részletek: Security. Adatvédelmi incidens esetén a GDPR 33–34. cikke szerint járunk el.
14. Automatizált döntéshozatal, módosítás
Automatizált döntéshozatalt és profilalkotást (GDPR 22. cikk) nem végzünk. A tájékoztatót a jogszabályok vagy a szolgáltatás változása esetén módosíthatjuk; a lényeges változásokról e-mailben értesítjük a felhasználókat.