1. Az adatkezelő és a kapcsolattartás
- Adatkezelő
- Még nincs megadva
- Kapcsolattartási cím
- Még nincs megadva
- Adatvédelmi e-mail
- Még nincs megadva
- Tárhelyszolgáltató
- Még nincs megadva
- Tárhelyszolgáltató címe és országa
- Még nincs megadva
A hiányzó adatok kitöltéséig ez a dokumentum tervezet, és a nyilvános regisztráció nem nyílik meg. Zárt üzemeltetői tesztfiók egyszer használatos telepítési kóddal hozható létre.
2. A szolgáltatás és a kezelt adatok
Az Edzésnaplóm személyes edzés- és étrendtervező, naplózó alkalmazás, 18 éven felülieknek. Teljes nevet, e-mail-címet és lakcímet a fiókhoz nem kérünk. Becenév használható.
A fiókrendszer egyirányú felhasználónév-azonosítót, belépési és helyreállítási ellenőrző hasheket, sókat, titkosított kulcscsomagokat, véletlen fiókazonosítót, létrehozási és hozzájárulási időpontot, valamint a tájékoztató elfogadott verzióját tárolja. A felhasználónevek egyirányú azonosítója nem teszi őket teljesen névtelenné. A nyers jelszót és a nyers helyreállítási kódot nem tároljuk, és a böngésző nem küldi el őket a szervernek.
A személyes napló tartalmazhat életkort, magasságot, testsúlyt, célokat, allergéneket, étrendi preferenciákat, saját ételeket és recepteket, edzésterveket, súlyokat, ismétléseket, fájdalomjelölést, jegyzeteket és az importált Keep-jegyzeteket. A titkosított tartalmat is személyes adatként kezeljük. Egyes adatok egészségi állapotra utalhatnak.
3. Célok és jogalapok
A fiók és a kért szolgáltatás biztosításának jogalapja a GDPR 6. cikk (1) b) pontja. Az egészségi állapotra utaló, saját döntésből megadott adatok kezeléséhez külön, kifejezett hozzájárulást kérünk a 9. cikk (2) a) pontja alapján. A biztonsági védelem és a visszaélések megelőzése a 6. cikk (1) f) pontja szerinti jogos érdeken alapul; az adatkezelés szükséges mértékére korlátozzuk. Marketing-, hirdetési és profilértékesítési célú felhasználást nem végzünk.
A hozzájárulás nem terjed ki külső közösségi közzétételre. Az egészségi adatok kezeléséhez adott hozzájárulás a Fiókom alatt a fiók és a napló törlésével visszavonható. A visszavonás nem érinti a korábbi adatkezelés jogszerűségét.
4. Titkosítás és a védelem határai
A személyes naplót a böngésző AES-256-GCM eljárással titkosítja. A kulcs feloldásához hosszú jelszó és PBKDF2-alapú kulcsszármaztatás szükséges; a szerver külön Argon2id belépési ellenőrző hashsel dolgozik. A személyes tervszámítások a böngészőben futnak. A szerver a napló titkosított adatcsomagját és a működéshez szükséges fiókadatokat kapja.
Ez a megoldás az ellopott adatbázis és titkosított mentés tartalmának közvetlen elolvasását nehezíti meg. Az aktívan feltört weboldal módosított programkódot küldhet a böngészőnek; fertőzött eszköz, rosszindulatú bővítmény vagy gyenge jelszó is kockázat. Teljes vagy minden körülmény közötti visszafejthetetlenséget nem ígérünk.
A kulcs a megnyitott böngésző munkamemóriájában használható. Nem mentjük a böngésző tartós tárába; kijelentkezéskor a napló bezárul. Inaktivitáskor 15 perc után automatikus zárolás történik. Újratöltés után ismét fel kell oldani a naplót. Az elveszett jelszóhoz a helyreállítási kód szükséges; mindkettő elvesztésekor az üzemeltető nem tudja visszaadni a titkosított napló tartalmát.
5. Külső adatforrás és adatfeldolgozók
A tárhelyszolgáltató az infrastruktúra működtetésében adatfeldolgozóként vehet részt. A végleges szolgáltatói adatok és az esetleges nemzetközi adattovábbítás feltételeinek ellenőrzése az éles nyitás feltétele.
Az Open Food Facts termékkereső csak a „Bolti termék keresése” műveletkor kapja meg a beírt keresőkifejezést, a külön forrásszolgáltatáson keresztül. Nem küldjük el hozzá a teljes személyes naplót, a fiókazonosítót vagy a belépési adatokat. A keresőkifejezés önmagában is lehet érzékeny: személyes nevet vagy egészségi részleteket ne írj bele. A kereső válaszát legfeljebb egy óráig gyorsítótárazzuk; hiba esetén korábbi, legfeljebb 24 órás találat jelzett módon jelenhet meg. A forrásszolgáltató saját tájékoztatója: Open Food Facts feltételek.
A szükséges böngészős tervezőfájlokat saját tárhelyünkről szolgáljuk ki; a használat közben nem kell külső CDN-hez kapcsolódni. A DNS és a tanúsítvány kiállításához használt infrastruktúra technikai adatokat kezelhet, a titkosított napló tartalmát nem kapja meg.
6. Megőrzés, javítás és törlés
Az aktív naplót a fiók törléséig tároljuk. A felhasználó javíthatja a profilját és edzésadatait; a lezárt edzés javításainál a korábbi értékek a titkosított naplón belüli változási előzményben megmaradnak. A tervek visszaállítható törlése nem végleges adateltávolítás.
A végleges fióktörlés eltávolítja az aktív fiókot, a titkosított naplót és a munkameneteket. A törölt fiók véletlen azonosítóját a mentések visszaállításakor történő újbóli megjelenés megelőzésére a mentési megőrzésnél legfeljebb egy nappal tovább őrizzük meg. A biztonsági mentések üzemeltetői megőrzési ideje: még nincs beállítva. A megőrzéshez és visszaállításhoz az üzemeltetőnek a dokumentált mentési/törlési eljárást kell alkalmaznia; a titkosítás nem teszi a megőrzési kötelezettséget szükségtelenné.
A munkamenet legfeljebb 8 órás, a szerver 30 perc inaktivitás után nem fogadja el. A sebességkorlátozás egyirányú technikai azonosítói legfeljebb egy órás aktív ablakhoz kötődnek, a lejárt rekordok a következő karbantartó kéréskor törlődnek. Infrastruktúra-hozzáférési naplók megőrzése: még nincs beállítva. Az alkalmazás személyes naplótartalmat és keresőkifejezést nem ír működési naplóba.
A korábbi, egyfelhasználós változat adatai és az abból készült régi mentések nem válnak visszamenőleg automatikusan titkosítottá. Az üzemeltetői átvitel és a régi adatbázis titkosított lezárása külön művelet. Amíg ez nincs rendezve, a nyilvános regisztráció zárva marad.
7. Sütik és böngészőtároló
A bejelentkezéshez kizárólag szükséges munkamenetsütit használunk, HttpOnly, SameSite=Strict és éles HTTPS-en Secure beállítással. Nem tartalmaz jelszót vagy olvasható naplóadatot. A világos/sötét megjelenés választását a localStorage tárolja. Nincs reklám- vagy analitikai süti, és a titkosítás kulcsát nem helyezzük a localStorage-ba.
8. Az érintetti jogok gyakorlása
A saját adatokhoz belépés után hozzáférhetsz, olvasható JSON-ban exportálhatod őket, és javítást vagy végleges fióktörlést végezhetsz. Az olvasható exportot te töltöd le a saját eszközödre. Jogosult lehetsz továbbá az adatkezelés korlátozására, az adathordozhatóságra és a jogos érdeken alapuló kezelés elleni tiltakozásra. A kéréseket a fenti adatvédelmi kapcsolaton lehet benyújtani; a személyazonosság ellenőrzéséhez nem kérjük a nyers jelszavadat vagy helyreállítási kódodat.
Az adatkezelő a kérelemről főszabály szerint egy hónapon belül ad tájékoztatást; az esetleges hosszabbításról és okáról értesít. A szerver által nem ismert titkosítási kulcsot a hozzáférési jog gyakorlása sem teszi előállíthatóvá.
9. Jogorvoslat és változások
Panaszt tehetsz a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (1055 Budapest, Falk Miksa utca 9–11.; ugyfelszolgalat@naih.hu), és bírósági jogorvoslatot is igénybe vehetsz.
A szolgáltatás működésének vagy az adatkezelés lényeges változásának esetén a tájékoztatót frissítjük. A tájékoztató nem tanúsítvány: a megfelelő működéshez a dokumentum mellett az üzemeltetői eljárások és a megadott szolgáltatói információk is szükségesek.
Jogszabályi háttér: GDPR — hivatalos magyar szöveg.