Adatkezelési tájékoztató
Hatályos: 2026. augusztus 3-tól
1. Az adatkezelő
A ShiftAssist platform adatkezelője a ShiftAssist Korlátolt Felelősségű Társaság.
- Adatkezelő neve: ShiftAssist Korlátolt Felelősségű Társaság (ShiftAssist Kft.)
- Székhely: 1214 Budapest, Nyuszi sétány 18. fszt. 1.
- Cégjegyzékszám: 01-09-457866 (Fővárosi Törvényszék Cégbírósága)
- Adószám: 33076568-2-43
- Email: info@shiftassist.hu
Az adatkezelő önálló adatvédelmi tisztviselő (DPO) kijelölésére a GDPR 37. cikke alapján nem kötelezett.
Jelen tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) és az Infotv. (2011. évi CXII. törvény) alapján készült.
2. Az adatkezelés célja és jogalapja
| Adatkör | Cél | Jogalap | Megőrzés |
|---|---|---|---|
| Név, email cím | Regisztráció, bejelentkezés, értesítések | Szerződés teljesítése (GDPR 6. cikk (1) b) | Fiók törléséig |
| Telefonszám | Kapcsolattartás (opcionális) | Hozzájárulás (GDPR 6. cikk (1) a) | Fiók törléséig |
| Munkabeosztás és jelenlét | Beosztáskezelő funkció | Szerződés teljesítése | Előfizetés megszűnésétől 30 nap |
| Óra- és napibér adatok | Bérköltség kalkuláció | Jogos érdek / szerződés | Előfizetés megszűnésétől 30 nap |
| Helyadatok (GPS be-clockolás) | Jelenléti ellenőrzés (opcionális) | Jogos érdek | 90 nap |
| Munkaidő-nyilvántartás és havi dolgozói megerősítés (napi munkaidő-adatok, elfogadó/kifogásoló nyilatkozat, a nyilatkozatkor látott kimutatás pillanatképe és ellenőrző összege, a nyilatkozat időpontja, IP-cím, böngésző-azonosító) | Az Mt. 134. § szerinti nyilvántartás támogatása, a nyilatkozat hitelességének utólagos igazolhatósága | A munkáltató jogi kötelezettsége (GDPR 6. cikk (1) c), Mt. 134. §), ill. jogos érdek (6. cikk (1) f) — nem hozzájárulás | A munkajogi igények elévüléséig (3 év), ill. az előfizetés megszűnésétől 30 nap |
| Számlázási adatok | Díjfizetés, számla kiállítása | Jogi kötelezettség (Sztv.) | 8 év (számviteli törvény) |
3. Adatbiztonság
Az érzékeny személyes adatokat (név, email, telefonszám, bér) az adatbázisban iparági szabványnak megfelelő titkosítással tároljuk:
- AES-256-GCM mező-szintű titkosítás a PII-mezőkre (név, email, telefonszám), additional authenticated data (AAD) kötéssel a sor-azonosítóhoz — ciphertext-swap támadások ellen védelmi réteg.
- HMAC-SHA256 determinisztikus hash az email-keresésekhez (email_hash), így az adatbázisban a tiszta email nem tárolódik.
- Pseudonym-mező az audit-naplóban — a user_id nem visszafejthető a naplóból.
- TLS 1.3 minden kommunikációra (HTTPS).
- Row-Level Security (RLS) az adatbázis-szinten — multi-tenant izoláció garantált.
A rendszerhez csak az arra jogosult személyek (felhasználók, platform adminisztrátorok) férnek hozzá. Minden módosítás audit-naplóba kerül (90 napos megőrzéssel).
4. Adatfeldolgozók
Az adatkezelő az alábbi adatfeldolgozókat veszi igénybe:
| Adatfeldolgozó | Tevékenység | Székhely |
|---|---|---|
| Supabase Inc. | Adatbázis, hitelesítés (EU adatközpont) | USA / EU (GDPR megfelelő, DPA megkötve) |
| Vercel Inc. | Tárhelyszolgáltatás, szerverfunkciók | USA (SCCs alapján, DPA megkötve) |
| Vercel Analytics & Speed Insights | Anonimizált oldal-megtekintési és teljesítmény-metrikák (cookie nélkül) | USA (SCCs alapján, DPA megkötve) |
| Cloudflare Inc. | Bot-védelem (Turnstile captcha) bejelentkezés/regisztrációkor — IP-cím és böngésző-fingerprint feldolgozás | USA (SCCs alapján, GDPR megfelelő) |
| Resend Inc. | Tranzakciós email küldés | USA (GDPR megfelelő) |
| Stripe Inc. | Online fizetés, számlázás | USA / EU (PCI DSS, GDPR megfelelő) |
| Upstash, Inc. | Sebességkorlátozás (rate limiting) a bejelentkezési és biztonsági végpontokon — IP-cím alapú, rövid élettartamú kulcsok | USA (SCCs alapján, DPA megkötve) |
| Functional Software, Inc. (Sentry) | Hibakövetés és alkalmazás-monitorozás — a hibajelentésekből a személyes adatokat automatikusan szűrjük | EU adatközpont (de.sentry.io) |
5. Adattovábbítás harmadik országba
Egyes adatfeldolgozók (Vercel, Stripe, Cloudflare, Resend, Upstash) az USA-ban működnek. Az adattovábbítás az EU-USA Adatvédelmi Keretrendszer (DPF), illetve standard szerződési záradékok (SCCs) alapján jogszerű. A hibakövetés (Sentry) kizárólag EU-s adatközpontban történik.
6. Érintetti jogok
A GDPR alapján az alábbi jogokkal rendelkezel adataid vonatkozásában:
- Hozzáférési jog – megtekintheted és exportálhatod a kezelt adataidat (az appban: Beállítások → Adatok exportálása)
- Helyesbítési jog – kérheted a pontatlan adatok javítását
- Törlési jog – kérheted az adataid törlését (az appban: Beállítások → Fiók törlése)
- Adathordozhatósági jog – géppel olvasható formátumban kérheted adataidat (JSON)
- Tiltakozás joga – tiltakozhatsz a jogos érdeken alapuló adatkezelés ellen
- Korlátozáshoz való jog – kérheted az adatkezelés korlátozását
Kérelmek benyújtása: info@shiftassist.hu – a kérelmeket 30 napon belül teljesítjük.
7. Sütik (cookie-k)
A ShiftAssist kizárólag szükséges sütiket alkalmaz: munkamenet-azonosítás (Supabase auth token) és biztonsági tokenek. Harmadik feles reklám- vagy követési célú cookie-kat nem használunk.
8. Automatizált döntéshozatal
A rendszer beosztás-javaslatokat tesz heurisztikus algoritmussal (pl. munkajogi szabályok, megbízhatóság, állomás-prioritás figyelembevétele), de a végső döntést minden esetben a manager/admin felhasználó hozza. Kizárólag automatizált döntéshozatal jogkövetkezménnyel nem történik.
9. Jogorvoslat
Panasszal fordulhatsz a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH): naih.hu | ugyfelszolgalat@naih.hu | 1055 Budapest, Falk Miksa utca 9–11.
10. Tájékoztató módosítása
Jelen tájékoztató módosítása esetén az érintetteket email-ben értesítjük, és az új változat hatályba lépésének dátumát feltüntetjük az oldalon.