1. Ki kezeli az adataidat, és mire terjed ki ez a tájékoztató?
1.1. Adatkezelő:
- Plattio Magyarország Kereskedelmi Korlátolt Felelősségű Társaság (Plattio Magyarország Kft.)
- Székhely: 1061 Budapest, Andrássy út 5. 3. em. 8.
- Cégjegyzékszám: Cg. 01-09-351494; adószám: 27275421-2-42
- E-mail: support@keyfly.app
- Márkanév: Keyfly (https://keyfly.app, alkalmazás: https://app.keyfly.app)
1.2. Hatály. Ez a tájékoztató a Keyfly alkalmazásban (app.keyfly.app) végzett adatkezelésekre vonatkozik: fiókok és fiókbiztonság (kétlépcsős azonosítás, aktív belépések), céges fiókok és csapatok, e-mail-értesítések, telefonszám-megerősítés, bankszámlák, ingatlanok, bérleti jogviszonyok, meghívók, ajánlatkérés, ellenőrzések (személyazonosság, jövedelem, KHR), díjfizetés, kárigények és ügyfélszolgálat. A keyfly.app weboldal várólistájához kapcsolódó adatkezelésről külön tájékoztató szól.
1.3. Jogszabályi háttér. Az adatkezelésre az (EU) 2016/679 általános adatvédelmi rendelet (GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.), valamint a biztosítási tevékenységről szóló 2014. évi LXXXVIII. törvény (Bit.) biztosítási titokra vonatkozó szabályai az irányadók.
1.4. A Partnerbiztosító szerepe. A kaucióhelyettesítő garanciát a Partnerbiztosító nyújtja, amely a kockázatvállaláshoz, a kárrendezéshez és a megtérítéshez kapcsolódó adatkezelését önálló adatkezelőként, saját tájékoztatója szerint végzi.
2. Milyen célból, milyen jogalapon és milyen adataidat kezeljük?
Az alábbi táblázat célonként mutatja az érintetteket, az adatköröket és a GDPR 6. cikk (1) bekezdése szerinti jogalapot. A megőrzési időket a 3. pont tartalmazza (az „M” jelölés oda mutat).
| # | Cél | Érintettek | Adatkör | Jogalap | M |
|---|---|---|---|---|---|
| A | Fiók létrehozása, bejelentkezés, fiókkezelés | Felhasználók | név, e-mail-cím, telefonszám, profilkép, lakcím és levelezési cím (ország, irányítószám, település, közterület és házszám, emelet/ajtó; nem kötelező), jelszó (kizárólag hashelt formában), nyelvi beállítás, ÁSZF-elfogadás verziója és ideje, e-mailes hivatkozások (megerősítés, jelszó-visszaállítás), utolsó bejelentkezés ideje; Google-bejelentkezésnél a Google-tól kapott név, e-mail-cím és Google-fiókazonosító (2.9. pont) | b) szerződés teljesítése | M1 |
| B | Céges fiók és Csapat kezelése (cég hozzáadása adószám alapján, meghívók, hozzáférési kérések, Szerepkörök, fiókgazda-átadás) | Csapattagok, hozzáférést kérők, a cég képviselője | a NAV adózói nyilvántartásából lekért cégnév, adószám, székhely és a lekérdezés ideje (2.6. pont); a Fiókgazda és az Adminok által megadott vagy módosított cégadatok: megjelenő név, cégnév, az adószám utolsó három számjegye, közösségi adószám, cégjegyzékszám, székhely, levelezési cím, kapcsolattartási e-mail-cím és telefonszám; Csomag; a csapattag neve, e-mail-címe, Szerepköre (Fiókgazda/Admin/Kezelő/Megtekintő), csatlakozásának ideje és meghívója; hozzáférési kérés: a kérő neve, e-mail-címe, üzenete, a kérés és a döntés ideje, a döntést hozó személy | b) szerződés teljesítése; a cég képviselőjének adataira f) jogos érdek | M1, M3 |
| C | Ingatlanok és bérleti jogviszonyok nyilvántartása | Bérbeadó, Bérlő, Bérlőtárs | ingatlan strukturált címe és típusa (lakás, ház, szoba, iroda, üzlethelyiség, vendéglátóhely, raktár/ipari ingatlan, garázs/parkolóhely vagy egyéb), helyrajzi szám (opcionális), bérleti időszak, bérleti díj, kaució összege, felek neve és elérhetősége, a bérleti szerződés állapota | b) szerződés teljesítése | M2 |
| D | Meghívók küldése (bérleti szerződéshez, csapatba) | Meghívott személy (lehet, hogy még nem Felhasználó) | név, e-mail-cím, a meghívó küldője, a meghívás tárgya, kiküldés, lejárat és elfogadás ideje | f) jogos érdek (a meghívó fél és a Keyfly érdeke a kapcsolatfelvételben) | M3 |
| E | Bérlőtársak és Együttlakók rögzítése | Bérlőtársak, Együttlakók | név | f) jogos érdek | M2 |
| F | Ajánlatkészítés és jogosultság-értékelés | Bérlő, Bérlőtárs | bérleti adatok, az ellenőrzések eredménye (G–I), számított mutatók, ajánlat, döntés és indokai | b) szerződéskötést megelőző lépések; automatizált döntés esetén GDPR 22. cikk (2) a) (5. pont) | M4 |
| G | Személyazonosság ellenőrzése (tervezett) | Bérlő | név, születési hely és idő, DÁP-azonosítás eredménye, vagy igazolvány típusa, száma, érvényessége | – | M5 |
| H | Jövedelem ellenőrzése (tervezett) | Bérlő, Bérlőtárs | open banking: számlatulajdonos neve, számlaszám, a hozzájárulásban megjelölt hónap jóváírásai; vagy NAV jövedelemigazolás; vagy munkáltatói igazolás; az ellenőrzés eredménye (igazolt jövedelemsáv) | b) szerződéskötést megelőző lépések; az open banking-hozzáféréshez a számlainformációs szolgáltatónál adott kifejezett hozzájárulásod is szükséges | M5 |
| I | Saját KHR-jelentés feltöltése (nagy összegű kauciónál) | Bérlő | a KHR-jelentés tartalma (hiteladatok, késedelmek), az értékelés eredménye | – | M5 |
| J | Adatvalósági nyilatkozat és hozzájárulások igazolása | Felhasználók | a nyilatkozat/hozzájárulás szövege és dokumentumverziója, időpont, Felhasználó-azonosító | c) jogi kötelezettség (GDPR 7. cikk (1)); f) jogos érdek (bizonyítás) | M6 |
| K | Biztosításközvetítés: adatok átadása a Partnerbiztosítónak | Bérlő, Bérbeadó, Bérlőtárs | az ajánlathoz és a szerződéshez szükséges adatok (C, F–I eredményei) | b) szerződés; c) jogi kötelezettség (Bit.) | M2 |
| L | Kárigények koordinálása | Bérbeadó, Bérlő | kárbejelentés, követelés összege, dokumentumok, fotók, észrevételek, üzenetek | b) szerződés; f) jogos érdek (jogi igények) | M2 |
| M | Díjfizetés és számlázás | Fizető Felhasználók | név/cégnév, számlázási cím, adószám, összeg, tranzakció-azonosító; bankkártyaadatot a Keyfly nem kezel | b) szerződés; számlák: c) jogi kötelezettség (számviteli és áfa-szabályok) | M7 |
| N | Ügyfélszolgálat és panaszkezelés | Megkeresők | név, e-mail-cím, megkeresés tartalma, válasz | ügyfélszolgálat: f) jogos érdek; fogyasztói panasz: c) jogi kötelezettség (Fgytv. 17/A. §) | M8 |
| O | Változásnapló (audit log) és munkatársi hozzáférések | Felhasználók, munkatársak | ki, mikor, milyen adatot módosított (régi és új érték), munkatársi hozzáférések | f) jogos érdek (bizonyítás, adatbiztonság, GDPR 32. cikk) | M9 |
| P | Biztonsági és technikai naplók | Felhasználók, látogatók | IP-cím, böngésző és eszköz adatai, bejelentkezési kísérletek, hibanaplók | f) jogos érdek (visszaélések megelőzése, üzembiztonság) | M10 |
| Q | Rendszerértesítők e-mailben (meghívó, megerősítő és jelszó-visszaállító hivatkozás, kétlépcsős belépési kód, bérleti és csapatesemények, számlák, biztonsági értesítések) | Felhasználók | e-mail-cím, nyelv, értesítés tartalma és kategóriája, kézbesítési státusz; értesítési beállítások témánként (2.5. pont) | b) szerződés teljesítése; biztonsági értesítések: f) jogos érdek is (fiókbiztonság, GDPR 32. cikk) | M10 |
| R | Kétlépcsős azonosítás (nem kötelező) | Felhasználók | a hitelesítő alkalmazás titkos kulcsa (a Supabase hitelesítési szolgáltatásában tárolva) és a bekapcsolás ideje; 10 tartalék kód kizárólag SHA-256 hash formában és felhasználásuk ideje; sikertelen tartalékkód-kísérletek (Felhasználó-azonosító, időpont); e-mailes belépési kód: a kód kizárólag hash formában, lejárata, a hibás próbálkozások száma és a küldések naplója (Felhasználó-azonosító, időpont), valamint az, hogy az e-mailes kódot kikapcsoltad-e | b) szerződés teljesítése (az általad bekapcsolt biztonsági funkció); a sikertelen kísérletek naplózása: f) jogos érdek (a kódok kitalálásának megakadályozása, GDPR 32. cikk) | M11 |
| S | Aktív belépések (munkamenetek) listája és kijelentkeztetés | Felhasználók | munkamenet-azonosító, a böngésző azonosító szövege (user agent), IP-cím, a belépés és az utolsó aktivitás ideje; a listán csak a böngésző, az operációs rendszer és az utolsó aktivitás látszik | b) szerződés teljesítése; f) jogos érdek (fiókbiztonság) | M12 |
| T | Keyfly-újdonságok e-mailben (nem kötelező, alapból kikapcsolva) | Felhasználók, akik ezt bekapcsolták | név, e-mail-cím, nyelv, a beállítás állapota | a) hozzájárulás | M13 |
| U | Biztonságos eszközök (a kétlépcsős kód 30 napos kihagyása egy böngészőben; nem kötelező) | Felhasználók, akik ezt kérik | rekordazonosító, Felhasználó-azonosító, egy véletlen token SHA-256 hash-e, az eszköz megnevezése (böngésző · operációs rendszer, a user agent alapján), a megjelölés, a lejárat és az utolsó használat ideje; a böngészőben a kf_trusted süti (6. pont) | b) szerződés teljesítése (az általad kért biztonsági funkció) | M14 |
| V | Telefonszám megerősítése SMS-kóddal (2.7. pont) | Felhasználók, akik telefonszámot adnak meg | telefonszám; a megerősítés alatt álló szám és a 10 perces érvényesség lejárata; az elküldött SMS-ek naplója (Felhasználó-azonosító, időpont); a megerősítés ideje. A Twilio-nak átadott adat: a telefonszám és az üzenet nyelve; a kódot a Twilio állítja elő, küldi el és ellenőrzi, a Keyfly nem látja és nem tárolja. | b) szerződés teljesítése | M1, M15 |
| W | Bankszámlák a kárkifizetésekhez és visszatérítésekhez (nem kötelező; 2.8. pont) | Felhasználók; Céges fiókok Csapattagjai | pénznem, IBAN, számlatulajdonos neve, megnevezés, elsődleges jelölés, ki és mikor vette fel, a módosítás ideje; a módosításokat a változásnapló a számlaszámnak csak az utolsó négy karakterével, a számlatulajdonos neve nélkül rögzíti (O sor) | b) szerződés teljesítése | M16 |
| X | Automatizált visszaélések elleni védelem (robotszűrés, Cloudflare Turnstile) a belépési, regisztrációs és elfelejtett jelszó űrlapokon (app.keyfly.app, admin.keyfly.app) | Az űrlapokat használó látogatók | IP-cím, a Cloudflare által értékelt böngésző- és eszközjellemzők, egyszer használható token; a szerverünk a tokent és a látogató IP-címét ellenőrzésre elküldi a Cloudflare-nek. A Keyfly ebből semmit nem tárol. | f) jogos érdek (visszaélések elleni védelem, adatbiztonság, GDPR 32. cikk) | nem tároljuk |
2.1. Más személyektől kapott adatok. Ha adataidat más Felhasználó adja meg (pl. meghívott, Bérlőtársként vagy Együttlakóként rögzített), az első kapcsolatfelvételkor (meghívó e-mail), de legkésőbb egy hónapon belül tájékoztatunk erről a tájékoztatóról (GDPR 14. cikk).
2.2. Jogos érdek. A jogos érdeken alapuló adatkezelésekhez érdekmérlegelési tesztet készítünk, amelyet kérésedre megismerhetsz. Ezek ellen tiltakozhatsz (8. pont).
2.3. Különleges adatok. Különleges kategóriába tartozó adatot (pl. egészségügyi, vallási adat) nem kérünk. Open banking-ellenőrzésnél kizárólag a jóváírásokat (bevételeket) vizsgáljuk, a terhelések részleteit nem tároljuk.
2.4. Adatszolgáltatás elmaradásának következménye. Az A, C, F–I célhoz szükséges adatok megadása a szolgáltatás, illetve az ajánlat feltétele; ezek hiányában nem tudunk Fiókot létrehozni, illetve ajánlatot adni.
2.5. E-mail-értesítések. A szolgáltatással kapcsolatos értesítéseket (Q sor) a beállításaidban témánként kikapcsolhatod: a bérleti jogviszony változásai, emlékeztető a bérleti idő lejárta előtt, Csapat (hozzáférési kérések, fiókgazda-váltás), számlák. A meghívókat és a biztonsági értesítéseket (pl. a kétlépcsős azonosítás be- és kikapcsolása, belépés tartalék kóddal) mindig elküldjük. A Keyfly újdonságairól szóló levelek (T sor, havonta legfeljebb egy) alapból ki vannak kapcsolva: csak akkor küldjük őket, ha a kapcsolót bekapcsolod, és a hozzájárulásodat a kapcsoló kikapcsolásával bármikor visszavonhatod.
2.6. A Céges fiók adatainak forrása. Céges fiók létrehozásakor a megadott adószám első nyolc számjegyét továbbítjuk a számlázz.hu adózó-lekérdező szolgáltatásának, amely a NAV adózói nyilvántartásából visszaadja a szervezet nevét, adószámát és székhelyét (B sor, 4.4. pont). Ezeket az adatokat a Céges fiók létrehozásakor újra lekérjük. Később a Fiókgazda és az Adminok a cégadatokat kézzel módosíthatják (az adószám első nyolc számjegye kivételével), és a „Frissítés a NAV-ból” funkcióval újra lekérhetik őket; ilyenkor is csak az adószám első nyolc számjegye megy ki, és a lekért adatok csak mentéskor kerülnek a Céges fiókba. A Céges fiók kapcsolattartási e-mail-címe és telefonszáma egy munkavállaló személyes adata is lehet (pl. nevét tartalmazó e-mail-cím).
2.7. Telefonszám. A telefonszámod megadása nem kötelező. Arra használjuk, hogy a bérleti jogviszonnyal és a biztosítással kapcsolatban felvegyük veled a kapcsolatot, valamint (tervezett) hogy biztosítási ajánlatkéréskor megerősítsük a személyazonosságodat. A számot megadáskor és módosításkor egy SMS-ben küldött 6 jegyű kóddal kell megerősítened; ehhez megerősített e-mail-cím szükséges. A kódot a Twilio adatfeldolgozó Twilio Verify szolgáltatása (4.3. pont) állítja elő, küldi el az általa országonként választott feladótól („A Keyfly ellenőrző kódod: …” szöveggel és azzal a figyelmeztetéssel, hogy ne add meg senkinek), és ellenőrzi; a kódot a Keyfly nem látja és nem tárolja. A Twilio a telefonszámodat kapja meg, és a szolgáltatás részeként visszaélés-megelőzésre (Fraud Guard) is kezeli. A kód 10 percig érvényes; túl sok hibás próbálkozás után a Twilio letiltja. Óránként legfeljebb 3, naponta legfeljebb 10 kódot kérünk. SMS-t csak az Európai Unió és az EGT tagállamaiban, Svájcban, az Egyesült Királyságban, Ukrajnában, Szerbiában, az Amerikai Egyesült Államokban és Kanadában használt mobilszámra küldünk. A telefonszámot és a megerősítés idejét addig őrizzük, amíg el nem távolítod, vagy törlöd a Fiókot.
2.8. Bankszámlák. A személyes fiókodhoz, illetve a Céges fiókhoz megadott bankszámlákat a kárkifizetések és a visszatérítések teljesítésére használjuk; a kifizetés a kifizetés pénznemében megadott elsődleges számlára történik. A magyar számlaszámot IBAN-ná alakítjuk, és az ellenőrző számjegyeket helyben ellenőrizzük; ehhez külső banki szolgáltatást nem használunk.
2.9. Bejelentkezés Google-fiókkal. Ha a Google-fiókoddal regisztrálsz vagy lépsz be, a Google (Google Ireland Limited, illetve Google LLC) mint önálló adatkezelő a saját bejelentkezési szolgáltatásában azonosít téged (a Google adatvédelmi irányelvei), és átadja nekünk a nevedet, az e-mail-címedet és a Google-fiókod azonosítóját. Ezeket a bejelentkezéshez és a Fiókod létrehozásához használjuk; a Google-profilképedet nem használjuk és nem tároljuk. Jogalap: b) szerződés teljesítése (az általad választott belépési mód). A Google-fiókot a Beállítások → Bejelentkezés és biztonság oldalon leválaszthatod; ekkor töröljük a Google-fiókazonosító kapcsolatát, és később másik Google-fiókot is kapcsolhatsz. A Fiókod belépési e-mail-címe a Google-fiók kapcsolásától nem változik. A Keyfly munkatársai felületén (admin) Google-bejelentkezés nincs.
3. Meddig őrizzük meg az adataidat?
Az adatokat csak addig őrizzük, ameddig a cél eléréséhez vagy jogszabályi kötelezettség teljesítéséhez szükséges. Ha jogvita, hatósági eljárás vagy folyamatban lévő kárigény/megtérítés van, az érintett adatokat annak jogerős lezárásáig megőrizzük. A megőrzési idő lejárta után az adatokat töröljük vagy visszafordíthatatlanul anonimizáljuk.
| M | Adatkör | Megőrzési idő | Indoklás |
|---|---|---|---|
| M1 | Fiók- és csapatadatok | A Fiók fennállásáig. A Fiók törlésekor (8.4. pont) a profil (név, e-mail-cím, telefonszám, lakcím és levelezési cím, nyelv, értesítési beállítások), a profilkép, a személyes fiók, a csapattagságok és a csak általad használt Céges fiókok azonnal törlődnek; a profilkép cseréjekor vagy eltávolításakor a korábbi kép azonnal törlődik. Céges fiók adatai: a Céges fiók fennállásáig. E-mailes hivatkozások (megerősítés, jelszó-visszaállítás): 1 óráig érvényesek, felhasználáskor érvényüket vesztik, rekordjuk 30 nap után törlődik. Google-bejelentkezési adatok (Google-fiókazonosító kapcsolata): a Google-fiók leválasztásáig vagy a Fiók törléséig. | A Ptk. 6:22. § szerinti 5 éves általános elévülési idő alatt a szerződésből eredő igények érvényesíthetők. |
| M2 | Bérleti jogviszonyok, ingatlanadatok, Bérlőtársak/Együttlakók, a Partnerbiztosítónak átadott adatok, kárigények | A Bérleti jogviszony lezárásától (a bérleti szerződés vége + 60 nap, vagy a kárigény lezárása) számított 5 év; folyamatban lévő megtérítés vagy jogvita esetén annak lezárásáig. A lezárt bérleti szerződés adataihoz a Bérlő ez alatt csak olvasási hozzáférést kap. | A bérleti szerződésből és a garanciából eredő igények 5 éves elévülése (Ptk. 6:22. §). |
| M3 | Meghívók adatai; Céges fiókhoz benyújtott hozzáférési kérések | Az érvényesség (7 nap; munkatársi meghívó: 48 óra) + 1 év. Elfogadott meghívó esetén a bérleti/csapat-rekord részévé válik (M1/M2). Hozzáférési kérés: az elbírálásig vagy visszavonásig, majd az után 1 évig (napi automatikus törlés); a kérő Fiókjának vagy a Céges fióknak a törlésekor azonnal törlődik. | Annak igazolása, ki kit hívott meg, és visszaélések kivizsgálása; 1 év után erre jellemzően nincs szükség. |
| M4 | Ajánlatok és jogosultsági döntések | Szerződéskötés esetén M2 szerint; ha nem jön létre szerződés, az ajánlattól számított 1 év. | A döntés elleni kifogás (GDPR 22. cikk (3)), panasz kezelése és az ismételt ajánlatkérések kezelése. |
| M5 | Ellenőrzések nyers adatai: igazolványadatok/-kép, számlatranzakciók, NAV jövedelemigazolás, munkáltatói igazolás, KHR-jelentés | A döntést követő legfeljebb 30 nap, majd törlés. Csak az eredményt őrizzük meg (ellenőrzés típusa, dátuma, sikeressége, igazolt jövedelemsáv) az M4/M2 szerint. | Adattakarékosság és korlátozott tárolhatóság (GDPR 5. cikk (1) c) és e)): a nyers adat a döntés után nem szükséges; a 30 nap a hibák és kifogások kezelését szolgálja. |
| M6 | Adatvalósági nyilatkozatok, hozzájárulások, elfogadott dokumentumverziók | Az érintett szerződés megszűnésétől, illetve a hozzájárulás visszavonásától számított 5 év. | A hozzájárulás és a nyilatkozat igazolása (GDPR 7. cikk (1)) az elévülési idő alatt. |
| M7 | Számlák és számviteli bizonylatok | 8 év | A számvitelről szóló 2000. évi C. törvény 169. §-a. |
| M8 | Ügyfélszolgálati levelezés; panaszok | Általános megkeresés: a lezárástól számított 2 év. Fogyasztói panasz és válasz: 5 év. | Panasz: Fgytv. 17/A. § (7). Egyéb: az ismétlődő megkeresések kezelése. |
| M9 | Változásnapló (audit log) és munkatársi hozzáférések | Az érintett rekord (bérleti szerződés, fiók) megőrzési ideje (M1/M2); azzal együtt törlődik. A naplóbejegyzések közben nem módosíthatók. | A napló a rekordhoz kapcsolódó bizonyíték; a rekordnál tovább nincs célja. |
| M10 | Biztonsági és technikai naplók; e-mail-kézbesítési naplók | 90 nap; biztonsági incidens esetén a kivizsgálás lezárásáig. | Visszaélések és hibák felderítése; az incidensek jellemzően ennyi időn belül kiderülnek. |
| M11 | Kétlépcsős azonosítás adatai (hitelesítő alkalmazás, tartalék kódok, sikertelen tartalékkód-kísérletek, e-mailes belépési kódok és küldési naplójuk) | A kétlépcsős azonosítás kikapcsolásáig, a tartalék kóddal történő belépésig vagy a Fiók törléséig; új tartalék kódok készítésekor a korábbiak törlődnek. Sikertelen kísérletek: sikeres tartalékkódos belépéskor azonnal, egyébként 1 nap után, a napi automatikus törléskor. E-mailes belépési kód: 5 percig érvényes, legkésőbb 1 napon belül törlődik; a küldési napló: 2 nap. | A funkció működéséhez szükséges; a kísérletek naplója csak az óránként 10 kísérletes korlát betartását szolgálja. |
| M12 | Munkamenetek (aktív belépések) | A munkamenet végéig: kijelentkezés, kijelentkeztetés az aktív belépések listáján, jelszóváltás utáni automatikus kijelentkeztetés vagy a Fiók törlése; a munkamenet 30 nap használat nélkül automatikusan megszűnik. | A bejelentkezés fenntartásához és a fiókbiztonsághoz szükséges. |
| M13 | Keyfly-újdonságok beállítása | A hozzájárulás visszavonásáig (a kapcsoló kikapcsolásáig) vagy a Fiók törléséig. | Hozzájáruláson alapuló adatkezelés (GDPR 7. cikk (3)). |
| M14 | Biztonságos eszközök | A megjelöléstől számított 30 napig (lejárat), majd a napi automatikus törléskor törlődik; korábban, ha eltávolítod, ha módosítod a jelszavad, kikapcsolod a kétlépcsős azonosítást, tartalék kóddal lépsz be, vagy törlöd a Fiókot. Felhasználónként legfeljebb 10 eszköz; újabb megjelöléskor a legrégebbi törlődik. A kf_trusted süti 30 napig él. | A funkció működéséhez szükséges; a 30 napos korlát és az automatikus eltávolítás a fiókbiztonságot szolgálja. |
| M15 | Telefonszám-megerősítés: a megerősítés alatt álló szám és az elküldött SMS-ek naplója | A megerősítés alatt álló szám: sikeres megerősítéskor azonnal, egyébként a 10 perces érvényesség lejárta után legkésőbb 1 nappal, a napi automatikus törléskor törlődik. Az SMS-napló: 2 nap. A telefonszám és a megerősítés ideje: M1 (az eltávolításig vagy a Fiók törléséig). | A szám csak a megerősítéshez kell; a napló csak az óránkénti és napi korlátok betartását szolgálja. |
| M16 | Bankszámlák | Amíg törlöd, vagy amíg a személyes fiókot, illetve a Céges fiókot törlik. A kifizetési bizonylatok a számviteli megőrzés szerint (M7). A nem törölhető változásnapló (M9) a bankszámla-módosításokból csak a számlaszám utolsó négy karakterét őrzi meg, a számlatulajdonos nevét nem. | A kifizetésekhez szükséges; a számviteli bizonylatokra a számvitelről szóló 2000. évi C. törvény 169. §-a vonatkozik. |
4. Kik ismerhetik meg az adataidat?
4.1. A Keyfly munkatársai kizárólag a feladatukhoz szükséges mértékben, kétlépcsős azonosítással férnek hozzá az adatokhoz; hozzáférésüket a változásnapló rögzíti. A munkatársakat titoktartási kötelezettség terheli.
4.2. Más Felhasználók. A Bérleti jogviszony adatait a Bérbeadó és a Bérlő (és Bérlőtárs) látja; a Céges fiók adatait a Csapattagok Szerepkörük szerint látják. A Csapattagok látják egymás nevét, e-mail-címét és Szerepkörét; hozzáférési kérésnél a kérő nevét, e-mail-címét és üzenetét a Fiókgazda és az Adminok látják. A profilképedet, a lakcímedet és levelezési címedet, az aktív belépéseid és a biztonságos eszközeid listáját más Felhasználó (Csapattag, a Bérleti jogviszony másik féle) nem látja; a címeid a Bérleti jogviszony adatai közé sem kerülnek át. A Céges fiók cégadatait – a kapcsolattartási e-mail-címet és telefonszámot is – a Céges fiók minden Csapattagja látja. A Céges fiók bankszámláit is minden Csapattag látja, de csak a Fiókgazda és az Adminok vehetnek fel, módosíthatnak vagy törölhetnek; a személyes fiókod bankszámláit más Felhasználó nem látja. A bankszámlákat a Keyfly munkatársai a kifizetésekhez láthatják (4.1. pont). Az ellenőrzések nyers adatait (M5) a másik fél nem látja; a Bérbeadó.
4.3. Adatfeldolgozók (a Keyfly megbízásából, adatfeldolgozási szerződés alapján):
| Adatfeldolgozó | Feladat | Adattárolás helye |
|---|---|---|
| Supabase Inc. | Adatbázis, hitelesítés (bejelentkezés, munkamenetek, a kétlépcsős azonosítás titkos kulcsa), fájltárolás (pl. profilkép) | EU régió |
| Vercel Inc. | Az alkalmazás tárhelye, szerveroldali funkciók | EU (Frankfurt, fra1) a szerveroldali funkcióknál; a tartalomkiszolgáló hálózat globális |
| Resend | Rendszerértesítő e-mailek küldése | EU (Írország, eu-west-1) |
| Twilio Ireland Limited (Dublin, Írország; a Twilio Inc., USA része) | Telefonszám-megerősítés (Twilio Verify): a 6 jegyű kód előállítása, SMS-ben küldése és ellenőrzése; visszaélés-megelőzés (Fraud Guard) | USA-ba továbbítás lehetséges (4.5. pont) |
| Cloudflare, Inc. (USA) – adatvédelmi irányelvek: cloudflare.com/privacypolicy | Robotszűrés (Turnstile) a belépési, regisztrációs és elfelejtett jelszó űrlapokon (X sor) | Globális hálózat; USA-ba továbbítás lehetséges (4.5. pont) |
| Google – Google Workspace | Ügyfélszolgálati postafiók (support@keyfly.app) | – |
4.4. Önálló adatkezelők, akiknek adatot továbbítunk, vagy akik a szolgáltatásukhoz közvetlenül kezelik az adataidat:
- Partnerbiztosító – kockázatvállalás, szerződéskötés, kárrendezés, megtérítés;
- Fizetési szolgáltató – a bankkártya- és fizetési adatok kezelése;
- Engedélyezett számlainformációs szolgáltató – a bankszámla-adatok lekérése a hozzájárulásod alapján;
- Azonosítási szolgáltató – személyazonosság ellenőrzése;
- Google Maps Places – amikor a bérelt ingatlan, a lakcímed, a levelezési címed vagy a Céges fiók címét megadod, a beírt címrészletet a Keyfly szervere továbbítja a Google-nak, és címjavaslatokat kap vissza. A Google csak a beírt szöveget kapja meg: a neved, az e-mail-címed és az IP-címed nem, a böngésződ nem kapcsolódik közvetlenül a Google-hoz, és Google-süti sem kerül az eszközödre. A javaslatlistán „Powered by Google” jelölés látható;
- Google Ireland Limited / Google LLC – bejelentkezés Google-fiókkal, ha ezt választod: a Google a saját bejelentkezési szolgáltatásában önálló adatkezelőként azonosít, és továbbítja nekünk a nevedet, az e-mail-címedet és a Google-fiókazonosítódat (2.9. pont; a Google adatvédelmi irányelvei);
- számlázz.hu – Céges fiók létrehozásakor és a „Frissítés a NAV-ból” funkció használatakor az adószám első nyolc számjegyét továbbítjuk, és a NAV adózói nyilvántartásából visszakapjuk a szervezet nevét, adószámát és székhelyét (2.6. pont); a Felhasználóról személyes adatot nem továbbítunk;
- Hatóságok, bíróságok (pl. NAIH, MNB, nyomozóhatóság) – kizárólag jogszabályon alapuló megkeresés esetén.
4.5. Harmadik országba továbbítás. Adataidat elsősorban az EU-ban tároljuk. A Supabase, a Vercel, a Resend, a Google, a Twilio és a Cloudflare anyavállalata, illetve székhelye az Amerikai Egyesült Államokban van, ezért támogatási, karbantartási vagy hálózati célból előfordulhat EU-n kívüli hozzáférés. Ilyenkor a továbbítás az EU–USA adatvédelmi keretrendszer szerinti tanúsítás (GDPR 45. cikk) vagy az Európai Bizottság által elfogadott általános szerződési feltételek (GDPR 46. cikk) alapján történik. A garanciákról a support@keyfly.app címen kérhetsz másolatot.
5. Automatizált döntéshozatal és profilalkotás
5.1. Mikor döntünk automatizáltan? Ajánlatkéréskor a Platform értékeli, hogy jogosult vagy-e a kaucióhelyettesítő garanciára, és milyen Díjjal. Ha teljesen automatizált, és rád nézve joghatással jár vagy hasonlóan jelentősen érint (pl. elutasítás vagy magasabb Díj), a GDPR 22. cikke alkalmazandó.
5.2. Jogalap. Az automatizált döntés a szerződés megkötéséhez szükséges (GDPR 22. cikk (2) a)), mert az ajánlat azonnali, online előállítását szolgálja.
5.3. A döntés logikája. A döntés a következő szempontokon alapul:
- a személyazonosság ellenőrzésének eredménye;
- az igazolt jövedelem és a bérleti díj aránya;
- a kaució összege;
- nagy összegű kauciónál a feltöltött KHR-jelentés adatai.
A döntéshez nem használunk különleges kategóriába tartozó adatot, és olyan jellemzőt sem, amely nemre, életkorra, származásra vagy más védett tulajdonságra utal.
5.4. Garanciák. Ha automatizált döntés érint, jogosult vagy arra, hogy:
- emberi beavatkozást kérj (a döntést a Keyfly erre jogosult munkatársa felülvizsgálja);
- kifejtsd az álláspontodat, és további dokumentumokat nyújts be;
- kifogást emelj a döntés ellen.
Kérelmedet a döntés képernyőjén vagy a support@keyfly.app címen nyújthatod be. A felülvizsgálatot 15 napon belül elvégezzük, és az eredményről indokolt tájékoztatást küldünk. A döntési modellt rendszeresen ellenőrizzük hibák és indokolatlan megkülönböztetés szempontjából.
5.5. A Partnerbiztosító döntése. A végleges kockázatvállalási döntést a Partnerbiztosító hozza; az ahhoz kapcsolódó jogaidról a Partnerbiztosító tájékoztatója rendelkezik.
5.6. Marketing. Adataidról marketing célú profilt nem készítünk.
6. Sütik az alkalmazásban
6.1. Az alkalmazás kizárólag a működéshez szükséges, illetve az általad kifejezetten kért funkcióhoz szükséges sütiket és hasonló helyi tárolási megoldásokat használ. Ezekhez az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése alapján nem kell hozzájárulás.
| Süti | Cél | Élettartam | Típus |
|---|---|---|---|
| Munkamenet- / hitelesítési süti | A bejelentkezés fenntartása a munkamenet alatt, a kérések hitelesítése | A munkamenet végéig | Feltétlenül szükséges |
| „Maradjak bejelentkezve” süti | Bejelentkezve tart a böngésző bezárása után is, ha ezt választod | – | Az általad kért funkcióhoz szükséges |
| Nyelvi süti | A választott nyelv (magyar/angol) megjegyzése | – | Az általad kért funkcióhoz szükséges |
kf_trusted | Biztonságos eszköz felismerése: ha kérted, ezen a böngészőn 30 napig nem kérjük a kétlépcsős kódot. httpOnly süti, egy rekordazonosítót és egy véletlen tokent tartalmaz; nálunk csak a token hash-e tárolódik. | 30 nap | Feltétlenül szükséges (biztonsági süti) |
6.2. Az alkalmazásban analitikai vagy marketing sütit nem használunk. Ha a jövőben bevezetnénk ilyet, előtte a hozzájárulásodat kérjük. A sütiket a böngésződ beállításaiban törölheted; a szükséges sütik törlése után újra be kell jelentkezned.
7. Hogyan védjük az adataidat?
A GDPR 32. cikke szerint a kockázattal arányos technikai és szervezési intézkedéseket alkalmazunk, különösen:
- titkosított (HTTPS/TLS) adatátvitel; adattárolás EU-beli adatközpontokban;
- jelszavak kizárólag hashelt formában; lejáró e-mailes hivatkozások (megerősítés, jelszó-visszaállítás: 1 óra) és egyszer használható meghívó hivatkozások (meghívó: 7 nap, munkatársi meghívó: 48 óra);
- szerepkör-alapú hozzáférés (Fiókgazda/Admin/Kezelő/Megtekintő), a bérleti adatokhoz csak az érintett felek férnek hozzá;
- munkatársi hozzáférés csak kétlépcsős azonosítással és a szükséges mértékben;
- a Felhasználók számára választható kétlépcsős azonosítás hitelesítő alkalmazással vagy e-mailben küldött kóddal (a kódot csak hash formában tároljuk, 5 percig érvényes, 5 hibás próbálkozás után érvényét veszti); a tartalék kódokat kizárólag SHA-256 hash formában tároljuk, a tartalékkód-próbálkozásokat óránként 10-re korlátozzuk, és a kétlépcsős azonosítás be- és kikapcsolásáról, valamint a tartalék kóddal történt belépésről mindig e-mailt küldünk;
- biztonságos eszközök: a kétlépcsős kód 30 napos kihagyása csak a Felhasználó kérésére (alapból kikapcsolva); a böngészőben tárolt véletlen tokennek csak a hash-ét tároljuk; Felhasználónként legfeljebb 10 eszköz, amelyeket jelszóváltáskor, a kétlépcsős azonosítás kikapcsolásakor és tartalék kódos belépéskor mind törölünk; a Keyfly munkatársainál nem érhető el;
- telefonszám-megerősítés: a telefonszám csak SMS-kóddal megerősítve kerül a profilba; a kódot a Twilio állítja elő és ellenőrzi, a Keyfly nem tárolja; a kód 10 percig érvényes, túl sok hibás próbálkozás után a Twilio letiltja; óránként legfeljebb 3, naponta legfeljebb 10 kód kérhető;
- bankszámlák: az IBAN ellenőrző számjegyeit helyben ellenőrizzük; bankszámlát csak a fiók Fiókgazdája és Adminjai (személyes fióknál te) vehetnek fel, módosíthatnak vagy törölhetnek, és a módosításokat a változásnapló a számlaszám utolsó négy karakterével, a számlatulajdonos neve nélkül rögzíti;
- az aktív belépések listája, ahonnan bármelyik másik eszköz kijelentkeztethető; jelszóváltáskor a többi eszközön automatikusan kijelentkeztetünk;
- az e-mail-cím és a jelszó módosításához a jelenlegi jelszó, a Fiók törléséhez a jelszó és – ha be van kapcsolva – a kétlépcsős azonosítás kódja szükséges;
- a profilképet privát tárhelyen tároljuk, csak a Felhasználó fér hozzá, és rövid lejáratú hivatkozással jelenik meg;
- csak hozzáfűzhető, utólag nem módosítható változásnapló;
- az ellenőrzések nyers adatainak gyors törlése (3. pont, M5);
- adatfeldolgozási szerződések a szolgáltatókkal; rendszeres biztonsági mentés.
Adatvédelmi incidens esetén azt nyilvántartjuk, szükség esetén 72 órán belül bejelentjük a NAIH-nak (GDPR 33. cikk), és ha az incidens valószínűleg magas kockázattal jár rád nézve, késedelem nélkül tájékoztatunk (GDPR 34. cikk).
8. Milyen jogaid vannak, és hogyan élhetsz velük?
| Jog | Mit jelent | Mikor élhetsz vele |
|---|---|---|
| Hozzáférés (GDPR 15. cikk) | Tájékoztatást és másolatot kérhetsz a kezelt adataidról; adataidat a beállításokban magad is letöltheted (8.3. pont). | Mindig |
| Helyesbítés (16. cikk) | Kérheted a pontatlan adatok javítását; a nevedet, telefonszámodat, profilképedet, nyelvedet és e-mail-címedet a Fiókban magad is módosíthatod. | Mindig |
| Törlés (17. cikk) | Kérheted adataid törlését; a Fiókodat a beállításokban magad is törölheted (8.4. pont). | Ha a megőrzés nem szükséges jogi kötelezettséghez vagy jogi igényhez (3. pont) |
| Korlátozás (18. cikk) | Kérheted, hogy adataidat csak tároljuk, de másra ne használjuk. | Pl. vitatott pontosság vagy folyamatban lévő tiltakozás idejére |
| Adathordozhatóság (20. cikk) | Géppel olvasható formában megkaphatod az általad megadott adatokat; JSON-fájlként magad is letöltheted (8.3. pont). | Szerződésen vagy hozzájáruláson alapuló adatkezelésnél |
| Tiltakozás (21. cikk) | Tiltakozhatsz a jogos érdeken alapuló adatkezelés ellen. | A 2. pontban f) jogalapú adatkezeléseknél |
| Hozzájárulás visszavonása (7. cikk (3)) | Bármikor visszavonhatod; ez nem érinti a korábbi adatkezelés jogszerűségét. A Keyfly-újdonságokra vonatkozó hozzájárulást az Értesítések között a kapcsoló kikapcsolásával vonhatod vissza. | Hozzájáruláson alapuló adatkezelésnél |
| Automatizált döntéssel kapcsolatos jogok (22. cikk) | Emberi beavatkozás, álláspont kifejtése, kifogás. | 5. pont |
8.1. Kérelmedet a support@keyfly.app címre küldheted. Indokolatlan késedelem nélkül, legkésőbb egy hónapon belül válaszolunk; ez szükség esetén további két hónappal meghosszabbítható, amiről tájékoztatunk (GDPR 12. cikk (3)). Az eljárás díjmentes. Ha kétség merül fel a személyazonosságodat illetően, azonosításhoz szükséges kiegészítő információt kérhetünk.
8.2. Lezárt bérleti szerződések. A lezárt bérleti szerződés adataihoz Bérlőként a megőrzési idő alatt csak olvasási hozzáférésed van; a törlési kérelmet a 3. pont szerinti megőrzési kötelezettségek figyelembevételével bíráljuk el.
8.3. Adataid letöltése. A beállításokban (Adataid → Adatok letöltése) egy JSON-fájlban letöltheted a profilodat, a fiókjaidat és tagságaidat, a hozzáférési kéréseidet, a bérleti szerződés-kérelmeidet, a számodra látható bérleti jogviszonyokat és ingatlanokat, az általad küldött meghívókat, a hozzájárulásaidat, az ajánlatkéréseidet, kötvényeidet és kárügyeidet, az aktív belépéseidet (eszköz, kezdet, utolsó aktivitás), a kétlépcsős azonosítás adatait (típus, bekapcsolás ideje), a biztonságos eszközeidet (megnevezés, megjelölés, lejárat, utolsó használat), a telefonszámod megerősítésének idejét és a fiókjaidhoz tartozó bankszámlákat (GDPR 15. és 20. cikk). A fájl titkos adatokat (pl. meghívó- és tartalékkódok) nem tartalmaz.
8.4. A Fiók törlése. A Fiókodat a beállításokban (Adataid → Fiók törlése) magad is törölheted a jelszavad és – ha bekapcsoltad – a kétlépcsős azonosítás kódjának megadásával. A törlés nem lehetséges, amíg olyan Céges fiók Fiókgazdája vagy, amelynek más tagja is van (előbb a fiókgazdai szerepet kell átadnod), amíg biztosítási kötvényed vagy kárügyed van (ilyenkor a törlést az ügyfélszolgálat intézi, a 3. pont szerinti megőrzési kötelezettségek figyelembevételével), ha a Keyfly munkatársa vagy, illetve ha a személyes fiókodhoz vagy egy csak általad használt Céges fiókhoz ingatlan, bérleti jogviszony vagy bérleti szerződés-kérelem tartozik (ilyenkor is az ügyfélszolgálat intézi a törlést: support@keyfly.app). A törléskor azonnal törlődik a belépésed (a munkamenetekkel, a kétlépcsős azonosítással, a tartalék kódokkal és a biztonságos eszközökkel együtt), a profilod (a telefonszám megerősítésének adataival) és a profilképed, a személyes fiókod (a hozzá megadott bankszámlákkal), a csapattagságaid, a hozzáférési kéréseid, a hozzájárulási nyilatkozataid és az ajánlatkéréseid rekordja, valamint azok a Céges fiókok, amelyeknek egyedüli tagja voltál (bankszámláikkal együtt). Azokban a Céges fiókokban, amelyekben rajtad kívül más is tag, az általad rögzített adatok (pl. ingatlanok, bérleti jogviszonyok) a Céges fióknál maradnak; a változásnapló bejegyzései (M9) megmaradnak.
9. Jogorvoslat
9.1. Panaszoddal először hozzánk fordulhatsz (support@keyfly.app), de ez nem feltétele a hatósági vagy bírósági eljárásnak.
9.2. Panasz a felügyeleti hatóságnál (GDPR 77. cikk):
- Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
- Székhely: 1055 Budapest, Falk Miksa utca 9–11.
- Postacím: 1363 Budapest, Pf. 9.
- Telefon: +36 1 391 1400
- E-mail: ugyfelszolgalat@naih.hu
- Weboldal: https://naih.hu
Panaszt a szokásos tartózkodási helyed vagy munkahelyed szerinti más EU-tagállami felügyeleti hatóságnál is tehetsz.
9.3. Bírósági jogorvoslat (GDPR 79. cikk, Infotv. 23. §): pert indíthatsz; a per elbírálása a törvényszék hatáskörébe tartozik, és választásod szerint a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindítható.
10. Adatvédelmi tisztviselő, módosítás, verzió
10.1. Adatvédelmi tisztviselő. Adatvédelmi kérdésekben a support@keyfly.app címen érsz el minket.
10.2. Módosítás. A tájékoztatót az adatkezelések vagy a jogszabályok változása esetén módosítjuk. Lényeges változás előtt e-mailben és az alkalmazásban értesítünk. Ha új adatkezeléshez hozzájárulás szükséges, azt külön kérjük.
10.3. Verzió:
- Verzió: account-privacy-2026-11-02
- Hatályba lépés: 2026. 11. 02.
- Kapcsolódó dokumentumok: Keyfly ÁSZF; a várólista adatkezelési tájékoztatója; a Partnerbiztosító adatkezelési tájékoztatója