Adatvédelmi tájékoztató

1. Az adatkezelő és elérhetősége

A Zappla online számlázó szolgáltatás (a továbbiakban: Szolgáltatás) vonatkozásában a személyes adatok kezeléséért felelős adatkezelő (a továbbiakban: Szolgáltató / Adatkezelő) az alábbi vállalkozás:

Név / cégnév:

Avemor Solutions

Cégforma:

Korlátolt felelősségű társaság

Székhely:

1163 Budapest, Veres Péter út 51.

Cégjegyzékszám:

01-09-459417

Nyilvántartó hatóság:

Szombathelyi Törvényszék Cégbírósága

Adószám:

33095242-2-42

Közösségi adószám:

HU33095242

Képviselő:

Truckó Marianna

E-mail:

hello@zappla.hu

Weboldal:

https://zappla.hu

Adatvédelmi kérdésekben a következő elérhetőségen fordulhat hozzánk: support@zappla.hu. A Szolgáltató tevékenysége alapján nem köteles adatvédelmi tisztviselő (DPO) kijelölésére; adatvédelmi tisztviselőt nem jelölt ki.

2. A tájékoztató hatálya és a Szolgáltató kettős szerepe

A jelen tájékoztató a Szolgáltatás (webes felület és mobilalkalmazás) használata során megvalósuló adatkezelésre vonatkozik. A tájékoztató a GDPR (az Európai Parlament és a Tanács (EU) 2016/679 rendelete) 13–14. cikke, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján készült. (Ez a tájékoztató a számlázó termékre vonatkozik, és független a marketing weboldal külön adatkezelési tájékoztatójától.)

A Szolgáltató kettős szerepben jár el:

• Adatkezelőként a Felhasználó fiók-, vállalkozási és számlázási adatai, valamint a Szolgáltatás működtetéséhez kapcsolódó adatok tekintetében.
• Adatfeldolgozóként azon ügyfél-, partner- és számlacímzett-adatok tekintetében, amelyeket a Felhasználó visz be a rendszerbe. Ezekre nézve maga a Felhasználó az adatkezelő, a Szolgáltató pedig az ő megbízásából, utasítása szerint kezeli az adatokat (lásd a 15. pontot).

3. A kezelt személyes adatok köre

• Fiókadatok: név, e-mail-cím, nyelv, jelszó (titkosított formában), bejelentkezési és technikai azonosítók.
• Vállalkozási adatok: a Felhasználó vállalkozásának neve, címe, adószáma, bankszámlaszáma, logó, aláírás.
• Számla- és partneradatok: a kiállított számlák adatai, beleértve a vevők/partnerek nevét, címét, adószámát, a számlatételeket és a számla PDF-et.
• Előfizetési és fizetési adatok: a csomag, a számlázási adatok és a fizetés állapota (a kártyaadatokat a fizetési szolgáltató kezeli, azokat nem tároljuk).
• NAV-adatszolgáltatáshoz szükséges technikai azonosítók: titkosítva tárolva.
• Használati és technikai adatok: a Szolgáltatás használatára vonatkozó események, eszköz- és böngészőadatok, IP-cím, naplók.
• Ügyfélszolgálati adatok: a megkeresések, üzenetek és az azokhoz kapcsolódó adatok.
• AI-asszisztens használati adatai: az asszisztensnek feltett kérdések és a kapott válaszok (maszkolt formában naplózva), a beszélgetés-előzmény, valamint az asszisztens által a válaszhoz lekérdezett üzleti kivonatok.
• E-mail-kommunikációs adatok: a Szolgáltatásból küldött e-mailek címzettje, tárgya és kézbesítési eseményei (kézbesítés, megnyitás és kattintás időpontja), valamint a Szolgáltatónak küldött e-mailek tartalma és csatolmányai.

4. A mobilalkalmazás által kezelt adatok

A Szolgáltatás iOS- és Android-alkalmazásként is elérhető (App Store, Google Play). Az alkalmazás a webes Szolgáltatással azonos fiókot és adatokat használ; az alábbi adatkezelések kizárólag a mobilalkalmazásra jellemzők. Az eszköz-engedélyek (névjegyek, kamera, mikrofon, biometria, értesítések) mindegyike a Felhasználó kifejezett, a rendszer által kért engedélyével indul, és a készülék beállításaiban bármikor visszavonható.

• Push-értesítések: az értesítések kézbesítéséhez az alkalmazás egy eszköz-specifikus értesítési tokent regisztrál, amelyet a Szolgáltató a Fiókhoz kötve tárol, és az Expo push-szolgáltatásán (adatfeldolgozó) át az Apple, illetve a Google értesítési rendszerének ad át. A token nem tartalmaz személyes adatot, de az eszközt azonosítja; kijelentkezéskor, az értesítések kikapcsolásakor vagy az alkalmazás törlésekor érvénytelenítjük. Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b) — az értesítés a Szolgáltatás része); a nem kötelező értesítések a Felhasználó beállítása szerint mennek.
• Névjegyek importja: a Felhasználó kérésére az alkalmazás a készülék névjegyeiből egy kiválasztott névjegy adatait (név, e-mail, telefonszám, cím) veszi át új ügyfél rögzítéséhez. Kizárólag a kiválasztott névjegy adatai kerülnek a rendszerbe, ügyféladatként (a Felhasználó adatkezelő, a Szolgáltató adatfeldolgozó — lásd az adatfeldolgozói tevékenységről szóló pontot); a névjegylista egésze nem kerül feltöltésre és nem tárolódik.
• Kamera, fotók és tétel-képek: a kamera a NAV QR-kód beolvasásához, valamint a tételek és a vállalkozás logójának lefényképezéséhez használható; a készített vagy kiválasztott képek a Szolgáltató tárhelyén (Supabase Storage, EU) a számla- és vállalkozási adatok részeként tárolódnak. A galéria egésze nem kerül feldolgozásra.
• Mikrofon és diktálás: a hangalapú ügyfélkereséshez az alkalmazás az eszköz beszédfelismerőjét használja; a felismert szöveg keresőkifejezésként hasznosul, hangfelvételt a Szolgáltató nem tárol és nem továbbít saját szerverére. Az operációs rendszer beszédfelismerője a gyártó (Apple, Google) feltételei szerint működik.
• Biometrikus belépés: a Face ID / Touch ID / ujjlenyomat-alapú gyors belépés kizárólag a készüléken, az operációs rendszer biztonságos tárában történik; biometrikus adat a Szolgáltatóhoz nem kerül, a Szolgáltató csak a belépés sikerének tényét kapja meg.
• Eszköz- és alkalmazásadatok: az alkalmazás verziója, az operációs rendszer és a készülék típusa a hibajelentésekhez (Sentry), valamint — hozzájárulás esetén — a termékhasználati analitika (PostHog), a webes Szolgáltatással azonos feltételek mellett (lásd a Sütik és nyomkövetés pontot).
• Fizetés az alkalmazásban: a Pro és a Lifetime csomag az alkalmazáson belül is megvásárolható. A fizetést itt is a Stripe végzi, az alkalmazásba ágyazott fizetési felületén; a kártyaadatot a Stripe kezeli, a Szolgáltató nem ismeri meg és nem tárolja. Az alkalmazás-áruházak szabályai alapján az alkalmazáson belüli vásárlásokról a Szolgáltató a tranzakció azonosítóját, összegét, időpontját és az áruház által kiadott technikai jelentési azonosítót továbbítja az Apple Distribution International Ltd. (App Store), illetve a Google Commerce Ltd. (Google Play) részére a jutalék elszámolása céljából (jogalap: a Szolgáltató szerződéses kötelezettsége és jogos érdeke, GDPR 6. cikk (1) b) és f)). Az áruházak felé nevet, e-mail-címet vagy kártyaadatot nem továbbítunk; a számlát a Szolgáltató állítja ki.
• Alkalmazás-áruházak: az alkalmazás letöltése és frissítése az Apple App Store, illetve a Google Play szolgáltatásán át történik; az áruház üzemeltetője e körben önálló adatkezelő, saját adatvédelmi tájékoztatója szerint.

5. Az adatkezelés céljai és jogalapjai

Az egyes adatkezelési célokat és azok jogalapját az alábbi táblázat foglalja össze:

6. A jogi dokumentumok elfogadásának naplózása

A regisztrációkor (és a feltételek lényeges módosításakor) a Felhasználó az ÁSZF-et kifejezetten elfogadja, a jelen tájékoztatót pedig megismeri. A Szolgáltató az elfogadás tényének utólagos bizonyíthatósága érdekében (Ptk. 6:78. §, Ptk. 6:7. § (3)) elfogadási naplót vezet, amely a következő adatokat tartalmazza:

• az elfogadás időpontja, módja és felülete (web / iOS / Android);
• az elfogadott dokumentum típusa, verziója és tartalmi lenyomata (hash) — a megjelenített szöveg utólag változatlan formában visszakereshető;
• a fiók azonosítója és e-mail-címe;
• webes elfogadásnál az IP-cím és a böngésző-azonosító (user agent);
• mobilalkalmazásban az alkalmazás verziója;
• a kliens nyelvi beállítása, valamint az, hogy a dokumentum végiggörgetése megtörtént-e.

Az adatkezelés célja a szerződés létrejöttének és tartalmának bizonyítása, valamint jogi igények előterjesztése, érvényesítése és védelme; jogalapja a Szolgáltató jogos érdeke (GDPR 6. cikk (1) f)). A napló a fiók fennállása alatt, majd a megszűnését követően az igények elévüléséig (általában 5 évig — Ptk. 6:22. §) kerül megőrzésre; a törléshez való jog e körben a GDPR 17. cikk (3) e) pontja alapján korlátozott.

7. Címzettek és adatfeldolgozók

A Szolgáltatás működtetéséhez a Szolgáltató az alábbi adatfeldolgozókat (illetve a fizetésnél önálló adatkezelőt) veszi igénybe. Mindegyikükkel a GDPR 28. cikke szerinti adatfeldolgozói szerződés (vagy azzal egyenértékű feltételek) van érvényben:

Ezen felül címzett a Nemzeti Adó- és Vámhivatal (NAV) az Online Számla rendszer felé teljesített kötelező adatszolgáltatás keretében (lásd a 13. pontot). Az adatfeldolgozók aktuális listáját a Szolgáltató naprakészen tartja; a lista lényeges változásáról a jelen tájékoztató frissítésével tájékoztat.

Az alkalmazáson belüli vásárlások jutalék-elszámolásához címzett az Apple Distribution International Ltd. (App Store) és a Google Commerce Ltd. (Google Play) — önálló adatkezelőként, kizárólag a tranzakció azonosítója, összege, időpontja és az áruház technikai jelentési azonosítója tekintetében (lásd a mobilalkalmazásról szóló pontot).

8. Harmadik országba történő adattovábbítás

Az adatok elsődlegesen az Európai Unión belül (eu-west-1 régió, Írország) kerülnek tárolásra. Egyes adatfeldolgozók (pl. a fizetési, e-mail-, hibakövetési és AI-szolgáltatók) anyavállalata az Egyesült Államokban található, ezért előfordulhat harmadik országba történő adattovábbítás. Ezt a Szolgáltató kizárólag megfelelő garanciák mellett teszi: ahol a szolgáltató az EU–USA adatvédelmi keret (Data Privacy Framework) tanúsított résztvevője, az Európai Bizottság megfelelőségi határozata (GDPR 45. cikk), egyébként az Európai Bizottság által jóváhagyott általános szerződési feltételek (SCC, GDPR 46. cikk) alapján. A garanciákról és az egyes szolgáltatókra vonatkozó részletekről további tájékoztatás a fenti adatvédelmi elérhetőségen kérhető.

9. Megőrzési idők

10. Az érintett jogai

Az érintettet a GDPR alapján az alábbi jogok illetik meg:

• tájékoztatáshoz és hozzáféréshez való jog (15. cikk);
• helyesbítéshez való jog (16. cikk);
• törléshez való jog (17. cikk) — azzal a korlátozással, hogy a jogszabály szerint kötelezően megőrzendő adatok (pl. számlák) a megőrzési idő végéig nem törölhetők;
• az adatkezelés korlátozásához való jog (18. cikk);
• adathordozhatósághoz való jog (20. cikk);
• tiltakozáshoz való jog a jogos érdeken alapuló adatkezelés ellen (21. cikk);
• hozzájárulás visszavonásának joga (a hozzájáruláson alapuló adatkezelésnél).

Kérelmét a fenti adatvédelmi elérhetőségen (support@zappla.hu) nyújthatja be; a Szolgáltató a kérelmet a jogszabályi határidőn belül (főszabály szerint egy hónapon belül) teljesíti. Ha úgy ítéli meg, hogy az adatkezelés jogát sérti, panasszal fordulhat a felügyeleti hatósághoz, illetve bírósághoz:

11. Adatbiztonság és incidenskezelés

A Szolgáltató a GDPR 32. cikke szerinti megfelelő technikai és szervezési intézkedéseket alkalmaz (többek között titkosítás, hozzáférés-korlátozás, naplózás, biztonsági mentés). A NAV-hoz kapcsolódó technikai azonosítók titkosítva tárolódnak. Adatvédelmi incidens esetén a Szolgáltató a jogszabályi határidőkön belül — indokolatlan késedelem nélkül, és lehetőség szerint 72 órán belül — értesíti a felügyeleti hatóságot (NAIH), valamint — ha az incidens az érintettek jogaira nézve magas kockázattal jár — az érintetteket is (GDPR 33–34. cikk).

12. Mesterséges intelligencia (AI) és automatizált döntéshozatal

A Szolgáltató nem hoz az érintettre nézve joghatással járó vagy őt hasonlóan jelentős mértékben érintő, kizárólag automatizált döntést a GDPR 22. cikke értelmében.

A Szolgáltatás beépített asszisztense mesterséges intelligencián alapuló rendszer, és ezt a felület is jelzi. Az asszisztens alapesetben nagy nyelvi modell (LLM) igénybevétele nélkül működik: szabályalapú értelmezővel és a beépített súgó keresésével válaszol. Nagy nyelvi modelles válasz kizárólag a Felhasználó kifejezett kérésére — a „Pontosabb AI-válasz” lehetőség kiválasztásakor — készül, havi keret terhére.

Nagy nyelvi modelles válasz kérésekor az AI-szolgáltató felé a következő adatok kerülnek átadásra:

• a kérdés és a beszélgetés-előzmény szövege — a Felhasználó üzeneteiben szereplő e-mail-címeket, adószámokat, bankszámlaszámokat, telefonszámokat és technikai azonosítókat a rendszer az átadás előtt automatikusan kitakarja (maszkolás);
• a vállalkozás neve és adózási módja;
• a válasz elkészítéséhez szükséges üzleti kivonatok (például számla- és ügyféllisták: nevek, összegek, státuszok).

Nem kerül átadásra: jelszó, fizetésikártya-adat, a NAV-kapcsolat technikai hitelesítő adatai, valamint fájlok és csatolmányok. Különleges kategóriájú személyes adat (GDPR 9. cikk) átadása nem célzott: a Szolgáltatás nem ilyen adatok kezelésére szolgál, és a Felhasználó az ÁSZF alapján vállalja, hogy AI-feldolgozásra kerülő szövegbe ilyen adatot nem visz be.

A nagy nyelvi modelles feldolgozást az Anthropic, a súgó-keresés szövegbeágyazását az OpenAI végzi adatfeldolgozóként, a Címzettek és adatfeldolgozók pontban ismertetett garanciákkal; az átadott adatokon egyik szolgáltató sem tanít modellt. Az ügyfélszolgálati és tartalmi munkát támogató belső AI-használat minden esetben operátori (emberi) felülvizsgálat mellett történik. Az asszisztens által előkészített műveletek (például számlapiszkozat készítése vagy e-mail-küldés) kizárólag a Felhasználó megerősítésével hajtódnak végre; az AI-válaszok tájékoztató jellegűek.

A mobilalkalmazás diktálás-funkciója a készülék gyártójának (Apple, Google) beszédfelismerő platformszolgáltatását használja; a hangfeldolgozásra a gyártó saját adatkezelési feltételei irányadók.

13. Kötelező adatszolgáltatás a NAV felé

A számlázásra vonatkozó jogszabályok (az általános forgalmi adóról szóló 2007. évi CXXVII. törvény és végrehajtási rendeletei) alapján a kiállított számlák meghatározott adatait a Szolgáltatás — a Felhasználó beállítása szerint — valós időben továbbítja a NAV Online Számla rendszerébe. Ez jogszabályon alapuló kötelező adatszolgáltatás, amely a tiltakozás vagy törlés jogával nem korlátozható; a NAV az adatok önálló adatkezelője a rá vonatkozó szabályok szerint.

14. Sütik és nyomkövetés

A Szolgáltatás belső (bejelentkezés mögötti) felülete a működéshez szükséges sütiket és technikai tárolást használ (pl. munkamenet, biztonság, beállítások). Ezek nélkül a Szolgáltatás nem működik; jogalapjuk a szerződés teljesítése, illetve a Szolgáltató jogos érdeke (GDPR 6. cikk (1) b) és f)), az Eht. 155. § (4) szerinti szükséges tárolás keretében.

A nem feltétlenül szükséges, analitikai célú nyomkövetést (PostHog terméphasználati statisztika) a Szolgáltató kizárólag az Ön „statisztikai” cookie-hozzájárulása alapján alkalmazza (GDPR 6. cikk (1) a); Eht. 155. § (4)). Hozzájárulás hiányában a Szolgáltatás nem hoz létre analitikai azonosítót és nem küld használati eseményt — a mérés néma marad. A használati adatokat a termékfejlesztéshez a lehető legkisebb mértékben kezeljük.

A hozzájárulás bármikor, díjmentesen megadható, módosítható és visszavonható a nyilvános oldalak láblécében — így a jelen oldal láblécében is — elérhető „Cookie-beállítások” gombbal; a visszavonás ugyanolyan egyszerű, mint a megadás (GDPR 7. cikk (3)). A sütik és a böngészőben tárolt elemek tételes felsorolását (név, szolgáltató, cél, élettartam, kategória) a Weboldal adatkezelési tájékoztató tartalmazza.

15. Adatfeldolgozói tevékenység (a Felhasználó ügyféladatai)

A Felhasználó által a rendszerbe bevitt ügyfél-, partner- és számlacímzett-adatok tekintetében a Felhasználó az adatkezelő, a Szolgáltató pedig — az ő megbízásából — adatfeldolgozó. A Szolgáltató e körben a GDPR 28. cikke szerint:

• az adatokat kizárólag a Felhasználó dokumentált utasítása szerint kezeli;
• biztosítja a feldolgozásban résztvevők titoktartását;
• megfelelő technikai és szervezési biztonsági intézkedéseket alkalmaz;
• al-adatfeldolgozókat a jelen tájékoztatóban felsorolt körben, megfelelő garanciák mellett vesz igénybe, és változásukról tájékoztat;
• segíti a Felhasználót az érintetti kérelmek teljesítésében és az adatvédelmi kötelezettségek (biztonság, incidens) teljesítésében;
• a szerződés megszűnésekor — a kötelező megőrzési idő figyelembevételével — az adatokat törli vagy a Felhasználónak visszaadja, és lehetővé teszi az ellenőrzést.

16. A tájékoztató módosítása

A Szolgáltató a jelen tájékoztatót jogosult egyoldalúan módosítani különösen jogszabályváltozás, a Szolgáltatás vagy az adatfeldolgozói kör változása esetén. A mindenkor hatályos változat a weboldalon érhető el; lényeges változásról a Szolgáltató ésszerű időben tájékoztatást ad. A tájékoztató verzióját és hatálybalépését a dokumentum fejléce tartalmazza.

17. Kapcsolat

Adatvédelmi kérdéseivel, kérelmeivel forduljon hozzánk bizalommal: support@zappla.hu. A Szolgáltató postai elérhetősége a fenti adatkezelői blokkban szerepel.