Adatkezelési tájékoztató
Hatályos: 2026. szeptember 23-tól
1. Az adatkezelő
A ShiftAssist platform adatkezelője a ShiftAssist Korlátolt Felelősségű Társaság.
- Adatkezelő neve: ShiftAssist Korlátolt Felelősségű Társaság (ShiftAssist Kft.)
- Székhely: 1214 Budapest, Nyuszi sétány 18. fszt. 1.
- Cégjegyzékszám: 01-09-457866 (Fővárosi Törvényszék Cégbírósága)
- Adószám: 33076568-2-43
- Email: info@shiftassist.hu
Az adatkezelő önálló adatvédelmi tisztviselő (DPO) kijelölésére a GDPR 37. cikke alapján nem kötelezett.
Jelen tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) és az Infotv. (2011. évi CXII. törvény) alapján készült.
2. Az adatkezelés célja és jogalapja
| Adatkör | Cél | Jogalap | Megőrzés |
|---|---|---|---|
| Név, email cím | Regisztráció, bejelentkezés, értesítések | Szerződés teljesítése (GDPR 6. cikk (1) b) | Fiók törléséig |
| Telefonszám | Kapcsolattartás (opcionális) | Hozzájárulás (GDPR 6. cikk (1) a) | Fiók törléséig |
| Munkabeosztás és jelenlét | Beosztáskezelő funkció | Szerződés teljesítése | Előfizetés megszűnésétől 30 nap |
| Óra- és napibér adatok | Bérköltség kalkuláció | Jogos érdek / szerződés | Előfizetés megszűnésétől 30 nap |
| Helyadatok (GPS be-clockolás) | Jelenléti ellenőrzés (opcionális) | Jogos érdek | 90 nap |
| Munkaidő-nyilvántartás és havi dolgozói megerősítés (napi munkaidő-adatok, elfogadó/kifogásoló nyilatkozat, a nyilatkozatkor látott kimutatás pillanatképe és ellenőrző összege, a nyilatkozat időpontja, IP-cím, böngésző-azonosító) | Az Mt. 134. § szerinti nyilvántartás támogatása, a nyilatkozat hitelességének utólagos igazolhatósága | A munkáltató jogi kötelezettsége (GDPR 6. cikk (1) c), Mt. 134. §), ill. jogos érdek (6. cikk (1) f) — nem hozzájárulás | A munkajogi igények elévüléséig (3 év), ill. az előfizetés megszűnésétől 30 nap |
| Számlázási adatok | Díjfizetés, számla kiállítása | Jogi kötelezettség (Sztv.) | 8 év (számviteli törvény) |
3. Adatbiztonság
Az érzékeny személyes adatokat (név, email, telefonszám, bér) az adatbázisban iparági szabványnak megfelelő titkosítással tároljuk:
- AES-256-GCM mező-szintű titkosítás a PII-mezőkre (név, email, telefonszám), additional authenticated data (AAD) kötéssel a sor-azonosítóhoz — ciphertext-swap támadások ellen védelmi réteg.
- HMAC-SHA256 determinisztikus hash az email-keresésekhez (email_hash), így az adatbázisban a tiszta email nem tárolódik.
- Pseudonym-mező az audit-naplóban — a user_id nem visszafejthető a naplóból.
- TLS 1.3 minden kommunikációra (HTTPS).
- Row-Level Security (RLS) az adatbázis-szinten — multi-tenant izoláció garantált.
A rendszerhez csak az arra jogosult személyek (felhasználók, platform adminisztrátorok) férnek hozzá. Minden módosítás audit-naplóba kerül (90 napos megőrzéssel).
4. Adatfeldolgozók
Az adatkezelő az alábbi adatfeldolgozókat veszi igénybe:
| Adatfeldolgozó | Tevékenység | Székhely |
|---|---|---|
| Supabase Inc. | Adatbázis, hitelesítés (EU adatközpont) | USA / EU (GDPR megfelelő, DPA megkötve) |
| Vercel Inc. | Tárhelyszolgáltatás, szerverfunkciók | USA (SCCs alapján, DPA megkötve) |
| Vercel Analytics & Speed Insights | Anonimizált oldal-megtekintési és teljesítmény-metrikák (cookie nélkül) | USA (SCCs alapján, DPA megkötve) |
| Cloudflare Inc. | Bot-védelem (Turnstile captcha) bejelentkezés/regisztrációkor — IP-cím és böngésző-fingerprint feldolgozás | USA (SCCs alapján, GDPR megfelelő) |
| Resend Inc. | Tranzakciós email küldés | USA (GDPR megfelelő) |
| Stripe Inc. | Online fizetés, számlázás | USA / EU (PCI DSS, GDPR megfelelő) |
| Upstash, Inc. | Sebességkorlátozás (rate limiting) a bejelentkezési és biztonsági végpontokon — IP-cím alapú, rövid élettartamú kulcsok | USA (SCCs alapján, DPA megkötve) |
| Functional Software, Inc. (Sentry) | Hibakövetés és alkalmazás-monitorozás — a hibajelentésekből a személyes adatokat automatikusan szűrjük | EU adatközpont (de.sentry.io) |
| Anthropic PBC | AI-asszisztens (cégenként kapcsolható, opcionális funkció) — a felhasználó által beírt kérdés, és a válaszhoz szükséges, név nélküli beosztási adatok feldolgozása | USA (SCC-k alapján; a DPA az API szolgáltatási feltételeinek része) |
Az AI-asszisztensről külön: a nyelvi modellhez a dolgozókról kizárólag név nélküli adatok jutnak el — azonosító, szerep, munkakör, órakeret és telephely. Nevet, e-mail-címet és telefonszámot a modell nem kap; a neveket a felület oldja fel, már a válasz megérkezése után. Ugyanakkor a felhasználó által beírt kérdés szövege változatlan formában továbbítódik, ezért ha valaki nevet vagy más személyes adatot ír a kérdésébe, az azzal együtt utazik. A szolgáltató feltételei szerint az API-n átadott adatokat nem használják a modellek tanítására.
5. Adattovábbítás harmadik országba
Egyes adatfeldolgozók (Vercel, Stripe, Cloudflare, Resend, Upstash, Anthropic) az USA-ban működnek. Az adattovábbítás az EU-USA Adatvédelmi Keretrendszer (DPF), illetve standard szerződési záradékok (SCCs) alapján jogszerű. A hibakövetés (Sentry) kizárólag EU-s adatközpontban történik.
6. Érintetti jogok
A GDPR alapján az alábbi jogokkal rendelkezel adataid vonatkozásában:
- Hozzáférési jog – megtekintheted és exportálhatod a kezelt adataidat (az appban: Beállítások → Adatok exportálása)
- Helyesbítési jog – kérheted a pontatlan adatok javítását
- Törlési jog – kérheted az adataid törlését (vezetőként az appban: Beállítások → Fiók törlése; dolgozóként: Profilom → Fiók törlése). A folyamat részletei: Fiók és adatok törlése
- Adathordozhatósági jog – géppel olvasható formátumban kérheted adataidat (JSON)
- Tiltakozás joga – tiltakozhatsz a jogos érdeken alapuló adatkezelés ellen
- Korlátozáshoz való jog – kérheted az adatkezelés korlátozását
Kérelmek benyújtása: info@shiftassist.hu – a kérelmeket 30 napon belül teljesítjük.
7. Sütik (cookie-k)
A ShiftAssist alkalmazás (app.shiftassist.hu) kizárólag a működéshez szükséges sütiket használja: munkamenet-azonosítás, nyelvválasztás, telephely-kontextus és biztonsági ellenőrzés. Ezekhez a jogszabály szerint nem kell hozzájárulás.
Egyetlen kivétel a regisztráció utáni megerősítő oldal: ott a Google Ads a regisztrációt konverzióként méri (_gcl_au süti) — de kizárólag akkor, ha a www.shiftassist.hu weboldalon előzetesen hozzájárultál a hirdetési sütikhez. Ezt a döntésedet a sa_consent süti rögzíti, amelyet a weboldal a teljes shiftassist.hu domainre ír, ezért az alkalmazás is látja. Hozzájárulás nélkül — illetve ha elutasítottad, vagy a döntésed 6 hónapnál régebbi — a mérőkód be sem töltődik. A hozzájárulás a weboldal láblécének „Süti-beállítások” pontjából bármikor visszavonható.
A marketing weboldalunkon (www.shiftassist.hu) jelenleg egyetlen hirdetési süti sincs bekapcsolva: hirdetés-mérő kódot (Google Ads, Meta) ma nem töltünk be, tehát ilyen süti — hozzájárulással sem — nem kerül a készülékére. Az alábbi táblázat „csak hozzájárulással” jelölésű sorai azt írják le, mi történne, ha a hirdetés-mérést később bekapcsolnánk — ez kizárólag a látogató előzetes hozzájárulásával történhet. A döntést a weboldal alján megjelenő sávban lehet megadni vagy elutasítani, és a lábléc „Süti-beállítások” pontjából bármikor visszavonható.
| Süti | Cél | Élettartam | Ki helyezi el |
|---|---|---|---|
| sa_consent | A süti-hozzájárulásról hozott döntésed tárolása (a weboldal és az alkalmazás is ebből olvassa) | 6 hónap | ShiftAssist |
| sa_marketing_locale | A választott nyelv megjegyzése | 1 év | ShiftAssist |
| munkamenet-süti | Bejelentkezett állapot fenntartása | a munkamenet végéig | ShiftAssist |
| app_lang | Az appban választott nyelv megjegyzése | 1 év | ShiftAssist |
| sa_theme | Világos/sötét megjelenés megjegyzése | 1 év | ShiftAssist |
| sa-active-site | A legutóbb megnyitott telephely megjegyzése | a munkamenet végéig | ShiftAssist |
| _fbp, _fbc | Meta (Facebook, Instagram) hirdetés-mérés | 3 hónap | Meta — csak hozzájárulással — ma nincs bekapcsolva |
| _gcl_au | Google Ads hirdetés-mérés | 3 hónap | Google — csak hozzájárulással — a weboldalon ma nincs bekapcsolva; az alkalmazásban a regisztráció utáni oldalon, kizárólag a weboldalon adott hozzájárulás alapján |
| _gcl_aw, _gcl_gb | Google Ads konverzió-összekötés: a hirdetésre kattintás és a regisztráció összekapcsolása | 90 nap | Google — csak hozzájárulással — ma nincs bekapcsolva |
8. Automatizált döntéshozatal
A rendszer beosztás-javaslatokat tesz heurisztikus algoritmussal (pl. munkajogi szabályok, megbízhatóság, állomás-prioritás figyelembevétele), de a végső döntést minden esetben a manager/admin felhasználó hozza. Kizárólag automatizált döntéshozatal jogkövetkezménnyel nem történik.
9. Jogorvoslat
Panasszal fordulhatsz a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH): naih.hu | ugyfelszolgalat@naih.hu | 1055 Budapest, Falk Miksa utca 9–11.
10. Tájékoztató módosítása
Jelen tájékoztató módosítása esetén az érintetteket email-ben értesítjük, és az új változat hatályba lépésének dátumát feltüntetjük az oldalon.