Adatkezelési tájékoztató.

1. Az adatkezelő

• Név: StarGround Technologies Kft.
• Székhely: 4324 Kállósemjén, Kossuth út 91.
• Cégjegyzékszám: 15-09-093254
• Adószám: 32740736-2-15
• E-mail: contact@stargroundtech.com

Adatvédelmi tisztviselő (DPO) kinevezésére a GDPR 37. cikke szerint nem vagyunk kötelesek, ezért nem nevezünk ki. Adatvédelmi kérdésekben a fenti e-mail címen állunk rendelkezésedre. A tájékoztatóra az (EU) 2016/679 rendelet (GDPR) és az információs önrendelkezési jogról szóló 2011. évi CXII. törvény (Infotv.) az irányadó.

2. Kikre vonatkozik ez a tájékoztató?

A tájékoztató az alábbi érintetti körök adatkezelését fedi le:

• a weboldal látogatói (www.invoicestar-app.com), ideértve a kapcsolati űrlap beküldőit és a demó-időpontot foglalókat;
• a regisztrált felhasználók (könyvelők, könyvelőirodák munkatársai) és a fiókhoz meghívott további felhasználók;
• a felhasználóink ügyfelei és azok partnerei, akiknek adatai a feldolgozott számlákban megjelennek — az ő adataik tekintetében szerepünk a 3. pont szerinti adatfeldolgozó.

3. Mikor vagyunk adatkezelő, és mikor adatfeldolgozó?

Az adatkezelésben betöltött szerepünk attól függ, milyen adatról van szó:

• Adatkezelőként járunk el a saját ügyfeleink (a regisztrált könyvelők és irodák) adatai tekintetében — a fiók- és kapcsolattartási adatok, a számlázási, weboldal- és ügyféltámogatási adatok kezelésének céljait és eszközeit mi határozzuk meg.
• Adatfeldolgozóként (GDPR 28. cikk) járunk el azon könyvelési adatok tekintetében, amelyeket a könyvelő az ügyfelei (a könyvelt cégek) nevében dolgoz fel a rendszerünkben — jellemzően a NAV-ból letöltött szállítói számlák adatai. Ezeknek az adatoknak az adatkezelője a könyvelő (illetve a könyvelt cég); mi az adatokat kizárólag a felhasználó utasítása szerint, a szolgáltatás nyújtása érdekében kezeljük, és a szolgáltatás megszűnésekor — a felhasználó választása szerint — visszaadjuk vagy töröljük.

Az adatfeldolgozói minőségünkben kezelt könyvelési adatokat kizárólag a szolgáltatás nyújtására használjuk fel — sosem saját marketingre, és harmadik félnek sem adjuk át, kivéve a felhasználó utasítására vagy jogszabályi kötelezettség alapján. Erre az adatkezelésre a GDPR 28. cikke szerinti adatfeldolgozói megállapodás (DPA) irányadó — benne az igénybe vett további adatfeldolgozók (6. pont) általános felhatalmazásával és a változásukról szóló előzetes értesítési kötelezettségünkkel —, amely az ÁSZF elválaszthatatlan melléklete, és amelyet a regisztrációkor az ÁSZF elfogadásával együtt fogadsz el. Cégszerűen aláírt példányt a contact@stargroundtech.com címen kérhetsz.

4. A kezelt adatok köre

A szolgáltatás és a weboldal használata során az alábbi adatokat kezeljük:

• Fiókadatok: felhasználónév, e-mail cím, kapcsolattartó neve, kapcsolattartói e-mail és telefonszám, cégnév, cég címe, adószám, a használt könyvelőprogram megnevezése.
• Meghívott felhasználók adatai: a Menedzser által meghívott Könyvelő e-mail címe és neve. A meghívó felel azért, hogy a meghívott hozzájárult az adatai megadásához; a meghívott az első belépéskor maga is megismeri e tájékoztatót.
• Belépési adatok: jelszó (kizárólag egyirányú, visszafejthetetlen hash formájában), munkamenet-azonosító, a legutóbbi bejelentkezés IP-címe és időpontja.
• Számlázási adatok: az előfizetéshez kapcsolódó azonosító. A bankkártya-adatokat nem mi, hanem a fizetési szolgáltató (Stripe) kezeli.
• NAV Online Számla (OSA) hozzáférési adatok: a NAV technikai felhasználónév, technikai jelszó és aláírókulcs, amelyeket te adsz meg a számláid letöltéséhez. Ezeket hozzáférés-korlátozással kezeljük, és kizárólag a NAV-kapcsolat működtetésére használjuk.
• Számla- és könyvelési adatok: a NAV-tól letöltött bejövő (szállítói) számlák adatai, az általad feltöltött AuditXML-ből kinyert korábbi könyvelési tételek, valamint a kontírozási javaslatok és az általad elfogadott vagy módosított végleges értékek (a 3. pont szerinti adatfeldolgozói szerepben).
• Kapcsolati űrlap adatai: név, e-mail cím, cégnév (opcionális) és az üzenet szövege; az űrlap visszaélés-védelméhez a beküldő IP-címét rövid ideig (legfeljebb 1 óráig) technikai számlálóban kezeljük.
• Demó-foglalás adatai: a Cal.com naptárba beágyazott foglaláskor megadott név, e-mail és a választott időpont.
• Ügyféltámogatási adatok: a chaten vagy e-mailben küldött üzenetek és az azokban megadott adatok.
• Naplóadatok: biztonsági és üzemeltetési naplók, az adminisztratív műveletek naplója.

Harmadik felek adatai a számlákban: a NAV-ból letöltött, illetve AuditXML-ből feldolgozott számlák a szállítók (és esetenként más harmadik felek) adatait is tartalmazzák. Ezeket — a 3. pontban írtak szerint — a könyvelő adatkezelő megbízásából, adatfeldolgozóként kezeljük.

5. Célok, jogalapok és megőrzési idők

Cél	Érintett adatkör	Jogalap (GDPR 6. cikk (1))	Megőrzés
A szolgáltatás nyújtása (fiók, NAV-letöltés, kontírozási javaslat, export)	fiók-, belépési, NAV-hozzáférési, számla- és könyvelési adatok	b) — szerződés teljesítése	a fiók fennállásáig, majd az elévülési idő végéig (általában 5 év, Ptk. 6:22. §)
Számlázás, előfizetés-kezelés, bizonylatmegőrzés	számlázási adatok, kiállított számlák	b), valamint c) — jogi kötelezettség (Számv. tv. 169. §)	a számviteli bizonylatokra legalább 8 év
Biztonság, visszaélés-megelőzés, naplózás	belépési és naplóadatok, űrlap-IP	f) — jogos érdek (biztonságos üzemeltetés)	üzemeltetési naplók: legfeljebb 30 nap; biztonsági és adminisztratív műveleti naplók: legfeljebb 1 év; a kapcsolati űrlap IP-számlálója: legfeljebb 1 óra; az AI-kapacitás technikai mérőadatai: legfeljebb 90 másodperc; a legutóbbi belépésed IP-címe és időpontja: a fiókod fennállásáig (mindig csak a legutóbbi értéket tároljuk)
A szolgáltatás fejlesztése a kontírozási korrekciókból (8. pont)	elfogadott/javított kontírozási visszajelzések	f) — jogos érdek, bármikor letiltható a fiókbeállításokban	a tiltakozásig, illetve a fiók törléséig
Kapcsolatfelvétel megválaszolása (űrlap, e-mail, demó)	kapcsolati űrlap és demó-foglalás adatai, levelezés	b) — szerződést megelőző lépések, illetve f) — jogos érdek	az ügy lezárásáig, majd az igényérvényesítési elévülési időig
Ügyféltámogatás	támogatási üzenetek	b), illetve f)	a fiók fennállásáig, majd az elévülési időig

A fiók létrehozásához és a szolgáltatás működéséhez szükséges adatok megadása kötelező — hiányukban a szolgáltatást nem tudjuk nyújtani. A jogos érdeken alapuló adatkezeléseinkhez érdekmérlegelési tesztet készítettünk, amelyet kérésre rendelkezésre bocsátunk.

6. Adatfeldolgozók és címzettek

A szolgáltatás működtetéséhez az alábbi adatfeldolgozókat vesszük igénybe. Mindegyik a velünk kötött adatfeldolgozói szerződés, illetve saját adatvédelmi szabályzata szerint jár el:

Adatfeldolgozó	Tevékenység	Hely
Kinsta Inc. (Sevalla)	Tárhely, adatbázis, gyorsítótár	EU (szerverek)
Cloudflare	Fájltárolás (R2), tartalomszolgáltatás (CDN), titkosított továbbítás	EU / globális
Google (Google Ireland Ltd.)	AI kontírozási javaslatok — Google Gemini (8. pont)	EU
SzámlaBridge → Számlázz.hu (KBOSS.hu Kft.)	Számlakiállítás	Magyarország
SendGrid (Twilio)	Tranzakciós (rendszer-) e-mailek	USA (SCC)
Google Workspace (Google Ireland Ltd.)	A contact@ levelezés fogadása	EU / USA
Cal.com, Inc.	Demó-időpontfoglalás (beágyazott naptár)	USA (SCC)
Chatwoot (saját üzemeltetésű)	Ügyféltámogatás — chat és e-mail egy helyen	EU (saját szerver)
Slack	Belső értesítések (új regisztráció, előfizetés)	USA (SCC)

Önálló adatkezelők. A bankkártyás fizetést a Stripe a kártyaadatok tekintetében önálló adatkezelőként végzi, saját adatvédelmi szabályzata szerint. A NAV az Online Számla rendszer üzemeltetőjeként önálló adatkezelő; onnan a te megbízásod alapján, a te technikai hozzáféréseddel töltünk le adatot.

A weboldal megjelenítéséhez külső tartalomszolgáltatókat (Google Fonts betűkészletek, Cloudflare és jsDelivr CDN-ek, a Stripe, a Cal.com és a Chatwoot beágyazott szkriptjei) is használunk; ezek a böngésződből az IP-címedet és technikai adatokat kaphatnak a betöltéskor.

Az adataidat nem adjuk el, és nem adjuk át marketing célból harmadik feleknek.

7. Adattovábbítás harmadik országba

A tényleges ügyfél- és könyvelési adatok feldolgozása (tárolás, AI-feldolgozás) az Európai Unión belül történik. Néhány szolgáltatónk ugyanakkor egyesült államokbeli vállalat, így az alábbi, szűk adatkörökben előfordulhat USA-beli adatkezelés. Minden ilyen továbbítás a GDPR V. fejezete szerinti megfelelő garancián alapul — az adott szolgáltatóra pontosan az alábbiak szerint:

Szolgáltató	Mi kerül hozzá	Továbbítási garancia
SendGrid — Twilio Inc. (USA)	a rendszer-e-mailek címzettadata és tartalma (név, e-mail cím, üzenet)	EU–USA adatvédelmi keret (DPF) — aktív tanúsítás; emellett SCC az adatfeldolgozói szerződésben
Slack — Salesforce, Inc. (USA)	kizárólag belső működési értesítések (pl. új regisztráció, előfizetési esemény ténye) — számla- és könyvelési adat soha	DPF — a Salesforce aktív tanúsítása név szerint kiterjed a Slack Technologies, LLC-re; emellett SCC
Cal.com, Inc. (USA)	demó-időpontfoglalás: név, e-mail cím, választott időpont, megjegyzés	az Európai Bizottság általános szerződési feltételei (SCC) és adatfeldolgozói szerződés
Cloudflare, Inc. (USA)	CDN: technikai forgalmi adatok (IP-cím, kérés-metaadatok); a fájltárolás (R2) EU-adathelyszínen történik	DPF — aktív tanúsítás; emellett SCC a Cloudflare adatfeldolgozói szerződésében
Google (Google Ireland Ltd. / Google LLC)	az AI-feldolgozás EU adatrezidenciájú végponton fut (8. pont); a contact@ levelezést a Google Workspace kezeli	szerződő felünk az EU-beli Google Ireland; esetleges USA-beli továbbításra a Google LLC aktív DPF-tanúsítása és a Google szerződéses SCC-i vonatkoznak
Stripe (önálló adatkezelő)	számlázási név, e-mail, fizetési előzmények; a kártyaadatokat közvetlenül a Stripe-nak adod meg	DPF — aktív tanúsítás (Stripe, LLC); a Stripe saját adatvédelmi szabályzata szerint
Kinsta Inc. — Sevalla (USA)	a tárhely szerverei az EU-ban futnak; USA-beli hozzáférés legfeljebb üzemeltetési-támogatási céllal fordulhat elő	DPF — aktív tanúsítás; emellett SCC az adatfeldolgozói szerződésben

A DPF-tanúsítások aktuális állapotát bármikor ellenőrizheted a dataprivacyframework.gov hivatalos nyilvántartásában. Ha az EU–USA adatvédelmi keret a jövőben érvényét vesztené, az érintett továbbításokat az Európai Bizottság által elfogadott általános szerződési feltételek (SCC) és a szükséges kiegészítő intézkedések alapján folytatjuk, vagy az adott szolgáltatót EU-beli alternatívára cseréljük.

8. Mesterséges intelligencia és az adataid

A kontírozási javaslatokat a Google Gemini nyelvi modelljei készítik. Erről nyíltan és részletesen tájékoztatunk — amit fontos tudnod:

• A Google nem tanítja a modelljeit az adataidon. A Google az API-n keresztül küldött adatokat — saját szerződéses feltételei szerint — nem használja fel a modelljei tanítására, és azokat csak korlátozott ideig, visszaélés-megelőzési céllal kezeli.
• Hol fut. Az AI-feldolgozás európai uniós adatrezidenciájú végponton történik; a könyvelési adat nem hagyja el az EU-t.
• Korlátozott adatkör. A javaslathoz csak az adott számla kontírozásához szükséges adatokat továbbítjuk.
• Saját döntéselőzményeid. A szolgáltatás része, hogy a korábbi — általad jóváhagyott — kontírozási döntéseidet a saját fiókodon belül visszakeressük, és a hasonló tételeknél figyelembe vesszük: így a javaslatok a te gyakorlatodhoz igazodnak. Ez a szerződés teljesítésén alapul, és nem terjed túl a fiókodon.
• Szolgáltatásfejlesztés — te döntesz. Az elfogadott vagy javított javaslatokból származó visszajelzéseket a szolgáltatás pontosságának fejlesztésére is felhasználhatjuk. Ez a beállítás alapértelmezetten be van kapcsolva, a jogalapja a jogos érdekünk — és a fiókod beállításai között bármikor, egy kattintással kikapcsolhatod; ekkor a visszajelzéseidet fejlesztési célra a továbbiakban nem használjuk fel.
• Te döntesz, nem a gép. Az AI csak javaslatot ad; minden tételt te fogadsz el vagy módosítasz (lásd 10. pont).

9. Adatbiztonság

Az adataid védelmére az alábbi technikai és szervezési intézkedéseket alkalmazzuk:

• Titkosított átvitel: minden adat TLS-titkosítással utazik a hálózaton.
• Jelszóvédelem: a jelszavakat kizárólag egyirányú, modern hash-eljárással (PBKDF2-SHA256) tároljuk; nyílt szövegként soha.
• EU-n belüli tárolás: az alkalmazás, az adatbázis és a fájlok az Európai Unión belül, a tárhelyszolgáltató szintjén titkosított lemezeken tárolódnak.
• Hozzáférés-szabályozás és naplózás: a bejelentkezéseket és a kritikus adminisztratív műveleteket naplózzuk; az adatokhoz csak az arra jogosultak férnek hozzá; az egyidejű munkamenetek számát korlátozhatjuk.
• Kötelező e-mail-megerősítés minden fiókhoz, a fiókátvétel kockázatának csökkentésére.

10. Automatizált döntéshozatal

Az InvoiceStar AI-ja javaslatot ad a kontírozásra, de nem hoz rád nézve kizárólag automatizált, joghatással járó döntést. Minden javasolt tételt szakképzett könyvelő vizsgál felül, aki azt elfogadja, módosítja vagy elveti, mielőtt bármilyen könyvelési tétel rögzülne. Az érdemi emberi felülvizsgálat és a végső döntés a könyvelőnél van. Így nem valósul meg a GDPR 22. cikke szerinti, kizárólag automatizált egyedi döntéshozatal.

11. Az érintett jogai

A GDPR alapján az alábbi jogok illetnek meg, amelyeket a contact@stargroundtech.com címen gyakorolhatsz:

• Hozzáférés a rólad kezelt adatokhoz (15. cikk).
• Helyesbítés — pontatlan adat javítása (16. cikk).
• Törlés — „elfeledtetéshez való jog" (17. cikk).
• Korlátozás — az adatkezelés korlátozása (18. cikk).
• Adathordozhatóság — adataid tagolt, géppel olvasható formátumban (20. cikk).
• Tiltakozás a jogos érdeken alapuló adatkezelés ellen (21. cikk) — ideértve a 8. pont szerinti fejlesztési felhasználás elleni tiltakozást, amely a fiókbeállításokban közvetlenül is gyakorolható.
• Hozzájárulás visszavonása, ahol az adatkezelés hozzájáruláson alapul (7. cikk (3)); a visszavonás a korábbi adatkezelés jogszerűségét nem érinti.

A kérelmedre legkésőbb 1 hónapon belül válaszolunk; ez indokolt esetben két hónappal meghosszabbítható, amiről tájékoztatunk. Az adatok védelme érdekében a kérelmezőt azonosítjuk. A kérelmek teljesítése díjmentes, kivéve a nyilvánvalóan megalapozatlan vagy túlzó kérelmeket. A törléshez való jog nem érvényesülhet azon adatokon, amelyeket jogszabály (pl. a Számv. tv.) alapján tovább kell őriznünk. Ha a kérelmed a 3. pont szerinti, adatfeldolgozóként kezelt adatot érint, a kérelmet — a GDPR-nak megfelelően — továbbítjuk az adatkezelő könyvelőnek, és a teljesítésben közreműködünk.

12. Adataid törlése

Adataid törlését bármikor kérheted a contact@stargroundtech.com címen, az „Adattörlési kérelem" tárggyal. A kérelmet azonosítást követően legfeljebb 30 napon belül teljesítjük.

A törlés kiterjed a fiókodra, a projektjeidre, a feltöltött és feldolgozott számláidra, a kontírozási eredményekre és a kapcsolódó AI-tárolókra. Egyes adatokat jogszabályi kötelezettség miatt (pl. számviteli bizonylatok) a megőrzési idő lejártáig tovább kell őriznünk; erről a kérelem teljesítésekor tájékoztatunk. A biztonsági mentések a törlés után még korlátozott ideig (jellemzően legfeljebb 7 napig) tartalmazhatják az adatokat, ezt követően felülíródnak. A törlés előtt az adataidat a beépített exportfunkciókkal kimentheted.

A naplóadatokra az 5. pont szerinti külön megőrzési idők vonatkoznak: az üzemeltetési naplók legfeljebb 30 nap, a biztonsági és az adminisztratív műveleti naplók legfeljebb 1 év elteltével törlődnek vagy anonimizálódnak. A fiókod törlése után a rád vonatkozó naplóbejegyzések legkésőbb ezeknek az időknek a végével tűnnek el; addig kizárólag biztonsági és visszaélés-megelőzési célra, hozzáférés-korlátozással őrizzük őket. A tárhely-infrastruktúra (Sevalla/Kinsta, Cloudflare) a saját technikai naplóit a saját adatkezelési szabályzata szerint, jellemzően rövid — a Sevallánál legfeljebb kb. 30 napos — ideig őrzi.

13. Sütik (cookies)

A működéshez szükséges (munkamenet- és biztonsági) sütiket használunk, amelyek a bejelentkezésedhez és a biztonságos használathoz kellenek; ezek jogalapja az elektronikus kereskedelmi törvény (2001. évi CVIII. tv. 13/A. §) szerinti jogos érdek. Marketing- vagy nyomkövető sütiket nem helyezünk el. A beágyazott külső szolgáltatások (a fizetéskor a Stripe, a demó-foglaló naptárnál a Cal.com, a bejelentkezett felületen a Chatwoot) a saját működésükhöz állíthatnak be sütiket, a saját tájékoztatóik szerint.

14. Jogorvoslat

Ha úgy érzed, hogy az adatkezelésünk sérti a jogaidat, kérjük, először nálunk jelezd — igyekszünk gyorsan rendezni. Emellett panaszt tehetsz a felügyeleti hatóságnál:

• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
• Cím: 1055 Budapest, Falk Miksa utca 9–11.
• Postacím: 1363 Budapest, Pf. 9.
• Telefon: +36 1 391 1400
• E-mail: ugyfelszolgalat@naih.hu
• Web: naih.hu

Jogaidat bírósági úton is érvényesítheted, választásod szerint a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is.

15. A tájékoztató módosítása

A tájékoztatót időről időre frissíthetjük. A mindenkori hatályos változat ezen az oldalon érhető el; lényeges változásról a regisztrált felhasználókat e-mailben is értesítjük.

16. Kapcsolat

Adatvédelmi kérdéseiddel fordulj hozzánk bizalommal a contact@stargroundtech.com címen.