BPMN Lineage OSDataTrail

Adatkezelési tájékoztató

Hatályos: 2026-09-03 · verzió 1.0

Kitöltendő közzététel előtt. Az adatkezelő jogi neve és a kapcsolattartási cím helyőrzőként szerepel ([ADATKEZELŐ JOGI NEVE], [KAPCSOLATTARTÓ E-MAIL], [SZÉKHELY]). A Google OAuth hozzájárulási képernyőjének nyilvános publikálása előtt ezeket valós adatokra kell cserélni. Ez a dokumentum a szoftver tényleges adatkezelését írja le; a jogi kereteket az adatkezelőnek kell véglegesítenie.

1. Ki kezeli az adatokat

Az adatkezelő: [ADATKEZELŐ JOGI NEVE], székhely: [SZÉKHELY]. Adatvédelmi kapcsolat: [KAPCSOLATTARTÓ E-MAIL]. A DataTrail egy önkiszolgáló, többbérlős (multitenant) B2B SaaS a BPMN folyamat- és adatkapcsolati bizonyítékok kezelésére.

2. A legfontosabb elv: éles ügyféladat nincs a megosztott szolgáltatásban

A hosztolt (felhő) verzió kizárólag fiktív demó-korpuszt szolgál ki — nincs benne valós szervezet, személy, endpoint vagy tranzakció. A valós repository-k, kódok és lineage-adatok beolvasása kizárólag lokális vagy on-premise telepítésben fut, az ügyfél saját környezetében; az ehhez használt hozzáférési token soha nem kerül a megosztott adatbázisba, és soha nem hagyja el az ügyfél gépét/hálózatát.

3. Milyen személyes adatot kezelünk

Adatkör	Cél	Jogalap
E-mail cím, megjelenített név	Fiók azonosítása, bejelentkezés, meghívók	Szerződés teljesítése (a szolgáltatás nyújtása)
Jelszó (csak sózott hash-ként; Google belépésnél nincs jelszó)	Hitelesítés	Szerződés teljesítése
Google fiók alapadatai (e-mail, profil) a „Bejelentkezés Google-lel" használatakor	Bejelentkezés; nem kérünk Gmail-, Drive- vagy egyéb erőforrás-hozzáférést	Hozzájárulás
Bérlő-, munkaterület- és tagsági metaadatok, szerepkörök, meghívók (token-lenyomatként)	Multitenant hozzáférés-kezelés	Szerződés teljesítése
Audit napló (ki, mit, mikor, milyen eredménnyel)	Biztonság, elszámoltathatóság	Jogos érdek
Munkamenet-süti (HttpOnly, SameSite=Lax) / Supabase munkamenet	Bejelentkezett állapot fenntartása	Szerződés teljesítése (feltétlenül szükséges süti)

4. Amit soha nem gyűjtünk vagy tárolunk

Valós ügyfél-lineage, kód vagy payload a hosztolt szolgáltatásban — csak fiktív demóadat.
Git hozzáférési token vagy jelszó — a repository-credential csak a lokális/on-prem futtató memóriájában él egyetlen futás idejére, majd törlődik; nem kerül fájlba, naplóba, URL-be vagy adatbázisba.
Fizetési kártyaadat közvetlenül (ha van fizetés, azt külső, PCI-megfelelő szolgáltató kezeli).
Különleges (érzékeny) személyes adat.

5. Tenant-izoláció

Minden bérlő (cég) csak a saját adatait látja. A hosztolt adatbázisban ezt PostgreSQL Row-Level Security (RLS) kényszeríti ki, kiegészítve entitlement- és szerepkör-ellenőrzéssel; a hozzáférés alapból tiltott (fail-closed). Az izolációt visszaállítható teszt-suite bizonyítja.

6. Adatfeldolgozók (al-adatfeldolgozók)

Szolgáltató	Szerep
Supabase	Hosztolt adatbázis (PostgreSQL) és hitelesítés
Vercel	A statikus alkalmazás hosztolása és CDN
Google	OAuth bejelentkezés (a felhasználó választása szerint)

On-premise telepítésben nincs harmadik feles adatfeldolgozó; minden adat az ügyfél saját környezetében marad.

7. Adatmegőrzés

Fiók- és munkaterület-adatok: a fiók fennállásáig, illetve a törlési kérésig.
Munkamenet: legfeljebb 12 óra inaktivitásig (lokális), illetve a Supabase munkamenet lejáratáig.
Audit napló: korlátozott, gördülő méretben, biztonsági célból.
Meghívók: 7 nap után lejárnak.

8. A felhasználó jogai

A hozzáférés, helyesbítés, törlés, korlátozás, tiltakozás és adathordozhatóság joga megillet. Kérésedet a [KAPCSOLATTARTÓ E-MAIL] címen jelezheted. A Google-hozzájárulás bármikor visszavonható a Google fiókod biztonsági beállításaiban.

9. Adatbiztonság

Jelszavak csak sózott, kulcsnyújtott hash-ként (scrypt) tárolódnak; Google-belépésnél nincs jelszó.
Szigorú Content-Security-Policy, X-Frame-Options: DENY, kereszt-eredetű izoláció.
Repository-műveletek szigorú, read-only-upstream szerződéssel; redirect- és credential-helper-védelemmel.

10. Nemzetközi adattovábbítás

Az al-adatfeldolgozók infrastruktúrája az adott szolgáltató régióválasztásától függ; a részleteket az adatkezelő a [SZÉKHELY] szerinti joghatóság szerint véglegesíti.

11. A tájékoztató módosítása

A tájékoztató változása esetén a „Hatályos" dátumot frissítjük, és lényeges változásról a bejelentkezéskor tájékoztatunk.