Adatkezelési tájékoztató

1. Az adatkezelő

Az exaas.org weboldal (a továbbiakban: Weboldal) és az ExaaS – Exercise-as-a-Service szolgáltatás előkészítésével összefüggő adatkezelések adatkezelője:

Név: InqSoft Kft.
Székhely: 2051 Biatorbágy, Karikó János utca 25.
Cégjegyzékszám: 13-09-199146
Adószám: 26708100-2-13
E-mail: info.inqsoft@inqsoft.hu
Telefon: +36-30-6966452
Weboldal: https://inqsoft.hu
Adatvédelmi kapcsolattartó: Wicklein Zsolt

Tárhely és a tárolt adatok kezelése: a Weboldal a DiMa.hu Kft. szerverén fut. A Weboldal tartalmát, valamint a tárhelyen lévő adatokat (naplók, beállítások, a robotvédelem és a sebességkorlátozás futási adatai) az InqSoft Kft. kezeli és üzemelteti. A DiMa.hu Kft. kizárólag a tárhely- és szerverinfrastruktúrát biztosítja, adatfeldolgozóként, az adatkezelő utasításai szerint; a tárolt adatokat saját célra nem használhatja.

2. Alapelvek és jogszabályi háttér

Az adatkezelés során az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, a továbbiakban: GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.), az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) és az elektronikus kereskedelmi szolgáltatásokról szóló 2001. évi CVIII. törvény (Ektv.) szerint járunk el.

Az oldal a beépített és alapértelmezett adatvédelem (GDPR 25. cikk) elvét követi: csak a feltétlenül szükséges adatokat kezeljük, a lehető legrövidebb ideig; nem alkalmazunk reklámkövetést, közösségimédia-beépülőt, külső betűtípus- vagy tartalomszolgáltatót (CDN), és automatizált döntéshozatalt vagy profilalkotást sem végzünk.

3. Az egyes adatkezelések

3.1. A Weboldal technikai működése (szervernapló)

Cél: A Weboldal kiszolgálása, hibakeresés, az informatikai biztonság fenntartása.
Kezelt adatok: IP-cím, a kérés időpontja, a megnyitott oldal címe, HTTP-státuszkód, böngésző- és operációsrendszer-azonosító (user agent), hivatkozó oldal.
Jogalap: Az adatkezelő jogos érdeke (GDPR 6. cikk (1) f) pont): a szolgáltatás biztonságos és üzemszerű működtetése.
Megőrzés: 30 nap, ezt követően a naplók automatikusan törlődnek
Adatfeldolgozó: DiMa.hu Kft. (4032 Debrecen, Békessy Béla u. 9. C. ép. 3. em. 10.; adószám: 14079665-2-09; info@dima.hu) – tárhely- és szerverinfrastruktúra-szolgáltatás

3.2. Visszaélések megelőzése és robotvédelem

Cél: Az űrlap tömeges, automatizált (robot általi) kitöltésének, a túlterheléses támadásoknak és a visszaéléseknek a megelőzése, biztonsági események észlelése.
Kezelt adatok: Az IP-cím helyett annak egyirányú, kulcsolt kivonata (HMAC-SHA256, álnevesített adat), a kérések időpontja, a biztonsági esemény típusa (pl. érvénytelen biztonsági token). A robotvédelem egy rövid számítási feladat, amelyet az Ön böngészője old meg; ehhez semmilyen adat nem kerül harmadik félhez, és eszköz-ujjlenyomatot sem készítünk.
Jogalap: Az adatkezelő jogos érdeke (GDPR 6. cikk (1) f) pont): a Weboldal és az érintettek védelme a visszaélésekkel szemben. Az érdekmérlegelés során figyelembe vettük, hogy az adatok álnevesítettek, rövid ideig tároljuk őket, és más célra nem használjuk.
Megőrzés: A kérésszámláló adatok 1 óra elteltével automatikusan törlődnek; a biztonsági naplóbejegyzések a szervernapló megőrzési ideje szerint.
Adatfeldolgozó: DiMa.hu Kft. (4032 Debrecen, Békessy Béla u. 9. C. ép. 3. em. 10.; adószám: 14079665-2-09; info@dima.hu) – tárhely- és szerverinfrastruktúra-szolgáltatás

3.3. Előregisztráció és kapcsolatfelvétel

Cél: Kapcsolatfelvétel az érdeklődővel, a pilot programban való részvétel és az ExaaS szolgáltatás egyeztetése.
Kezelt adatok: Név, e-mail-cím, szervezet neve (nem kötelező), érdeklődési terület, üzenet (nem kötelező), a hozzájárulás időpontja.
Jogalap: Az Ön hozzájárulása (GDPR 6. cikk (1) a) pont), amelyet az űrlap jelölőnégyzetével ad meg. A hozzájárulás bármikor, indokolás nélkül visszavonható; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét.
Megőrzés: a hozzájárulás visszavonásáig, legfeljebb az utolsó kapcsolatfelvételtől számított 2 évig. Ha szerződés jön létre, az adatokat a szerződéses jogviszony szabályai szerint kezeljük tovább.
Címzettek: Az adatokat a Weboldal adatbázisban nem tárolja: e-mail üzenetként jutnak el az adatkezelő munkatársaihoz. Adatfeldolgozó: DiMa.hu Kft. (4032 Debrecen, Békessy Béla u. 9. C. ép. 3. em. 10.; adószám: 14079665-2-09; info@dima.hu) – tárhely- és szerverinfrastruktúra-szolgáltatás; DiMa.hu Kft. – az űrlap üzeneteit a tárhelyszerver levelezőrendszere kézbesíti.

3.4. Vállalati érettség- és igényfelmérés (kérdőív)

Cél: A szervezetek kiberbiztonsági érettségének és igényeinek felmérése, a szolgáltatás és a pilot program kialakítása; kérésre személyre szabott ajánlat készítése.
Kezelt adatok: A kérdőívben megadott válaszok; ha a kérdőív kéri vagy Ön megadja: név, beosztás, szervezet, e-mail-cím. Elsősorban a szervezetre vonatkozó, nem személyes adatokat kérünk.
Jogalap: Az Ön hozzájárulása (GDPR 6. cikk (1) a) pont), amelyet a kérdőív önkéntes kitöltésével és beküldésével ad meg.
Megőrzés: a felmérés kiértékeléséig, legfeljebb a kitöltéstől számított 2 évig.
Adatfeldolgozó: A kérdőív a Microsoft Forms szolgáltatásban fut (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Írország). A kérdőív megnyitásakor a Microsoft saját adatkezelési feltételei is irányadók.

3.5. Látogatottsági statisztika (Google Analytics 4)

Cél: Összesített, statisztikai elemzés arról, hogyan használják a látogatók a Weboldalt (pl. megtekintett oldalak, a kérdőív és az előregisztráció gombjainak használata), a Weboldal fejlesztése érdekében.
Kezelt adatok: Véletlenszerű süti-azonosító, a megtekintett oldalak és események, hozzávetőleges földrajzi hely (ország, város), eszköz- és böngészőadatok, hivatkozó oldal. A Google Analytics 4 IP-címet nem tárol. A Google Signals és a reklámcélú funkciók ki vannak kapcsolva.
Jogalap: Az Ön hozzájárulása (GDPR 6. cikk (1) a) pont; Eht. 155. § (4) bekezdés). A Google Analytics a hozzájárulás előtt egyáltalán nem töltődik be. A hozzájárulást a lábléc „Süti-beállítások” hivatkozásával bármikor visszavonhatja; ekkor a Weboldal törli a statisztikai sütiket.
Megőrzés: A sütik legfeljebb 13 hónapig, a statisztikai adatok a Google Analytics rendszerében legfeljebb 14 hónapig.
Adatfeldolgozó: Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Írország).

3.6. Külső hivatkozások

A Weboldal hivatkozásokat tartalmaz más oldalakra (pl. LinkedIn-profilok, partnereink és kutatási intézmények oldalai, tudományos publikációk). Ezek az oldalak csak akkor kapnak Önről adatot, ha a hivatkozásra kattint; adatkezelésükért az adott oldal üzemeltetője felel. Közösségimédia-beépülőket (pl. „Tetszik” gombot) nem használunk.

4. Sütik és helyi tárolás

A Weboldal csak a működéséhez feltétlenül szükséges sütit használ, statisztikai sütit pedig kizárólag az Ön hozzájárulásával.

Név	Típus	Cél	Élettartam
`__Host-exaas` / `exaas_sid`	Feltétlenül szükséges, saját	Munkamenet az űrlaphoz: biztonsági token (CSRF-védelem), robotvédelem, visszajelző üzenetek. Csak a főoldalon jön létre.	A böngésző bezárásáig
`exaas_consent_v1`	Feltétlenül szükséges, helyi tárolás (localStorage)	A süti-beállításokkal kapcsolatos döntés megjegyzése.	180 nap
`_ga`, `_ga_<azonosító>`	Statisztikai, Google Analytics	A látogatók megkülönböztetése a statisztikához.	13 hónap

A feltétlenül szükséges süti alkalmazása az Eht. 155. § (4) bekezdése alapján nem igényel hozzájárulást. A sütiket böngészője beállításaiban bármikor törölheti vagy letilthatja; a munkamenet-süti letiltása esetén az előregisztrációs űrlap nem küldhető el.

5. Adatfeldolgozók, címzettek, adattovábbítás

Tárhelyszolgáltatás: DiMa.hu Kft. (4032 Debrecen, Békessy Béla u. 9. C. ép. 3. em. 10.; adószám: 14079665-2-09; info@dima.hu) – tárhely- és szerverinfrastruktúra-szolgáltatás
Elektronikus levelezés: DiMa.hu Kft. – az űrlap üzeneteit a tárhelyszerver levelezőrendszere kézbesíti
Kérdőív: Microsoft Ireland Operations Ltd. (Microsoft Forms)
Látogatottsági statisztika: Google Ireland Limited (Google Analytics 4)

Adatfeldolgozóink kizárólag az adatkezelő utasításai szerint, írásbeli adatfeldolgozási szerződés alapján kezelhetik az adatokat. Személyes adatot nem adunk el, és marketingcélra harmadik félnek nem adunk át. A Microsoft és a Google szolgáltatásai esetén nem zárható ki, hogy az adatok az Európai Gazdasági Térségen kívülre (az Amerikai Egyesült Államokba) is eljutnak; ezek a szolgáltatók az EU–USA adatvédelmi keretrendszer (Data Privacy Framework) szerint tanúsítottak, és az Európai Bizottság általános adatvédelmi kikötéseit alkalmazzák (GDPR 45–46. cikk).

Hatóság, bíróság vagy más jogosult szerv jogszabályon alapuló megkeresésére az adatkezelő a megkeresés teljesítéséhez szükséges adatokat átadhatja.

6. Adatbiztonság

Az adatok védelmét a kockázatokkal arányos technikai és szervezési intézkedésekkel biztosítjuk (GDPR 32. cikk), az InqSoft Kft. ISO/IEC 27001 szerinti információbiztonsági irányítási rendszerének keretében. A Weboldal fejlesztése az OWASP ajánlásai szerint történt, többek között:

titkosított (HTTPS) kapcsolat és szigorú biztonsági fejlécek, külső szkriptek tiltása;
adattakarékos működés: nincs adatbázis, a beküldött adatok nem maradnak a webszerveren;
a kód, a beállítások és a futási adatok a nyilvánosan elérhető könyvtáron kívül, korlátozott hozzáféréssel;
álnevesített naplózás, visszaélés- és robotvédelem, rendszeres biztonsági tesztelés.

Adatvédelmi incidens esetén a GDPR 33–34. cikke szerint járunk el: a Nemzeti Adatvédelmi és Információszabadság Hatóságot 72 órán belül értesítjük, és ha az incidens valószínűsíthetően magas kockázattal jár, az érintetteket is tájékoztatjuk.

7. Az Ön jogai

Tájékoztatás és hozzáférés (GDPR 15. cikk): visszajelzést kérhet arról, hogy kezeljük-e adatait, és másolatot kérhet róluk.
Helyesbítés (16. cikk): kérheti pontatlan adatai javítását, hiányos adatai kiegészítését.
Törlés (17. cikk): kérheti adatai törlését, ha az adatkezelés célja megszűnt, visszavonta hozzájárulását, vagy az adatkezelés jogellenes.
Az adatkezelés korlátozása (18. cikk): kérheti, hogy adatait – a tárolás kivételével – átmenetileg ne kezeljük.
Adathordozhatóság (20. cikk): a hozzájárulás alapján kezelt adatait tagolt, géppel olvasható formában kikérheti, vagy kérheti azok továbbítását.
Tiltakozás (21. cikk): a jogos érdeken alapuló adatkezelés ellen saját helyzetével kapcsolatos okból bármikor tiltakozhat.
A hozzájárulás visszavonása (7. cikk (3) bekezdés): bármikor, ugyanolyan egyszerűen, mint ahogyan megadta.

Kérelmét a info.inqsoft@inqsoft.hu címre vagy az adatkezelő székhelyére küldött levélben terjesztheti elő. Kérelmét indokolatlan késedelem nélkül, de legfeljebb egy hónapon belül teljesítjük, amely szükség esetén – a kérelmek összetettségére tekintettel – további két hónappal meghosszabbítható; erről a késedelem okainak megjelölésével tájékoztatjuk. Az ügyintézés díjmentes. Kérelme teljesítése előtt személyazonossága megerősítését kérhetjük, hogy adatai illetéktelen személyhez ne jussanak.

8. Jogorvoslat

Ha úgy véli, hogy adatai kezelése sérti a jogszabályokat, javasoljuk, hogy először bennünket keressen meg, hogy a problémát mielőbb orvosolhassuk. Emellett jogosult panaszt tenni a felügyeleti hatóságnál:

Hatóság: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Cím: 1055 Budapest, Falk Miksa utca 9–11.
Postacím: 1363 Budapest, Pf. 9.
Telefon: +36 1 391 1400
E-mail: ugyfelszolgalat@naih.hu
Weboldal: www.naih.hu

Jogai megsértése esetén bírósághoz is fordulhat (GDPR 79. cikk, Infotv. 23. §). A per elbírálása a törvényszék hatáskörébe tartozik; a pert – választása szerint – lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindíthatja.

9. Egyéb rendelkezések

Kiskorúak: a Weboldal és a szolgáltatás szervezeteknek szól; 16 év alatti személyek adatait tudatosan nem kezeljük.

Automatizált döntéshozatal: automatizált döntéshozatalt, ideértve a profilalkotást is, nem alkalmazunk.

Módosítás: a tájékoztatót az adatkezelés vagy a jogszabályok változása esetén frissítjük; a mindenkori változat ezen az oldalon érhető el, a verziószám és a hatálybalépés napjának feltüntetésével. Lényeges változás esetén – ha a hozzájárulásán alapuló adatkezelést érinti – ismét a hozzájárulását kérjük.