Adatkezelési Tájékoztató – LeletMagyarul.hu

Az alábbi adatkezelési tájékoztató célja, hogy a LeletMagyarul.hu (a továbbiakban: „Szolgáltató”) által üzemeltetett weboldal felhasználói számára átlátható módon bemutassa, hogyan történik a személyes adatok kezelése, milyen jogok illetik meg a felhasználót, valamint milyen technikai és szervezeti intézkedésekkel biztosítjuk az adatvédelmi előírásoknak való megfelelést.

A Szolgáltató adatkezelése a hatályos magyar jogszabályoknak, így különösen a 2011. évi CXII. törvénynek (Infotv.), valamint az Európai Parlament és Tanács (EU) 2016/679 rendeletének (GDPR) megfelelően történik.

---

1. Adatkezelő megnevezése és elérhetősége

Név: Kiss-Hanzsa Produkciós Iroda Kft.
Székhely: 6772 Deszk, Tömörkény István utca 10., Magyarország
Cégjegyzékszám: 06-09-021428
Adószám: 24992141-2-06
Email: kapcsolat@leletmagyarul.hu

Az Adatkezelő felelős az oldal és a szolgáltatás működéséért, valamint az adatkezelés jogszerűségéért.

Adatvédelmi tisztviselő (DPO): a Szolgáltatóhoz jelenleg nincs kinevezve adatvédelmi tisztviselő. Az adatvédelmi megkereséseket a fenti e-mail-címen fogadjuk.

---

2. Kezelt adatok köre

A szolgáltatás a következő adatokat kezeli. A feltöltött lelet egészségügyi adat, ezért a GDPR 9. cikke szerinti különleges kategóriájú személyes adat.

• Feltöltött PDF tartalmának maszkolt (pszeudonimizált) szövege: a felismert azonosítókat (név, TAJ, születési dátum, telefonszám, esetszám, naplószám és hasonló intézményi dokumentumazonosítók) a rendszer automatikusan maszkolja. A kicsomagolt (még maszkolatlan) szöveg a maszkoláshoz a Szolgáltató által üzemeltetett, Google Cloud Platformon (GCP, EU-régió) futó PII előszűrőn megy át, ott nem marad meg. A szűrés nem tökéletes: a felhasználó ellenőrzi a szöveget, mielőtt az MI feldolgozná. Szándékosan maradhat a nem, az életkor, a laborértékek és a diagnózisok, mert ezek kellenek a lelet értelmezéséhez. Az eredeti PDF-et nem tároljuk.
• Fájlhash (SHA-256): kizárólag szerveroldalon készül, hogy ugyanazon PDF újbóli feltöltésekor ne kelljen kétszer fizetni, és a terheléskorlátozás működjön. A hash nem szerepel a nyilvános URL-ben.
• Hozzáférési token: véletlenszerű, kitalálhatatlan azonosító, amellyel a felhasználó 48 órán át eléri a folyamatot és az elkészült magyarázatot.
• MI-kimenet: a maszkolt szöveg alapján készült strukturált, magyar nyelvű magyarázat (megjeleníthető / letölthető PDF).
• Kapcsolatfelvételi adatok: a Kapcsolat oldalon vagy e-mailben megadott név, e-mail-cím, telefonszám és üzenet, csak a megjelölt ügyintézési célra.
• Számlázási / fizetési metaadatok: a Stripe-tól a Szolgáltatóhoz eljutó adatok (tranzakcióazonosító, összeg, fizetés státusza, a számlázáshoz szükséges e-mail-cím és név). A bankkártyaadatokhoz a Szolgáltató nem fér hozzá.
• Technikai napló: a webtárhely (Netlify) és a backend (Convex) által a működéshez rögzített IP-cím, időbélyeg, kérésútvonal és hibajelzés, biztonsági és üzemeltetési célból. A PII előszűrő nem rögzíti a lelettartalmat naplóban.
• Sütik és mérés: lásd a sütitájékoztatót. A Google Analytics, a Microsoft Clarity és a Meta Pixel nem fut a leletfeltöltési és -ellenőrzési oldalakon.

---

3. Az adatkezelés célja

Az adatkezelés célja a feltöltött leletek laikus megértésének segítése, anélkül, hogy a Szolgáltató diagnózist vagy orvosi tanácsot adna.

• Maszkolás, felhasználói ellenőrzés, majd Google Gemini API alapú magyarázat.
• Fizetés lebonyolítása a Stripe rendszerén keresztül.
• Kapcsolatfelvétel megválaszolása.
• Jogszabályi számlamegőrzés.
• Hozzájárulás esetén weboldal-statisztika és hirdetésmérés. A leletúton a Pixel és az analitika nem fut. Sikeres fizetés után, csak sütielfogadás esetén, minimális szerveroldali konverziós esemény (összeg, pénznem, eseményazonosító), lelettartalom és e-mail nélkül.

Automatizált döntéshozatal (GDPR 22. cikk): a folyamat automatizált, de nem születik az érintettre nézve joghatással járó vagy hasonlóan jelentős döntés. A kimenet tájékoztató, edukációs jellegű, nem diagnózis és nem kezelési utasítás.

---

4. Az adatkezelés jogalapja

• Lelet (egészségügyi adat): a felhasználó kifejezett hozzájárulása a feltöltés előtti jelölőnégyzettel — GDPR 6. cikk (1) a) és 9. cikk (2) a). A hozzájárulás bármikor visszavonható (7. cikk (3)); a visszavonás nem érinti a visszavonás előtti kezelés jogszerűségét. Gyakorlatban: a folyamat megállításával, a 48 órás törléssel, illetve a kapcsolat@leletmagyarul.hu címre küldött kéréssel.
• ÁSZF: külön jelölőnégyzettel fogadható el, nem ráutaló magatartással.
• Sütik / analitika / marketing: külön hozzájárulás a sütibanneren (GDPR 6. cikk (1) a); a visszavonás a lábléc Süti-beállítások hivatkozásával ugyanolyan egyszerű, mint a megadás.
• Számlázás: jogi kötelezettség teljesítése — GDPR 6. cikk (1) c), a számvitelről szóló 2000. évi C. törvény 169. §-a (számla- és könyvviteli bizonylatok 8 évig).
• Kapcsolatfelvétel: hozzájárulás vagy jogos érdek / szerződéses lépések, a megkeresés jellegétől függően.

---

5. Adattárolás és megőrzési idők

• Lelethez kapcsolódó tartalom (maszkolt szöveg, hash, token, MI-kimenet): 48 óra a Convex backendben, utána törlés. Az eredeti PDF nem kerül tárolásra.
• PII előszűrés (GCP): a lelettartalom nem kerül adatbázisba, mentésre vagy tartalmi/audit naplóba. A feldolgozás memóriában, a kérés idejére történik. A GCP üzemeltetési metaadata (időbélyeg, útvonal, státusz) a kérés törzse nélkül előfordulhat.
• Számlázási adatok: 8 év (számviteli kötelezettség).
• Kapcsolatfelvétel: az ügy lezárásáig, illetve a jogi igények érvényesítéséhez szükséges ideig.
• Analitikai / marketing sütik: a szolgáltatók saját megőrzési ideje szerint (Google Analytics jellemzően 14 hónap, Microsoft Clarity jellemzően 13 hónap, Meta a saját szabályzata szerint), és csak hozzájárulás esetén, a leletúton kívül.
• Szervernapló: a webtárhely (Netlify) és a backend szokásos, rövid üzemeltetési ideje.

---

6. Adattovábbítás, adatfeldolgozók és harmadik ország

A szolgáltatás USA-hoz kötődő adatfeldolgozókat is igénybe vesz. A továbbítás a GDPR 46. cikke szerinti garanciákkal (jellemzően EU–USA Data Privacy Framework és/vagy általános szerződési feltételek / SCC) történik. A garanciákba a lent megadott adatvédelmi oldalakon lehet betekinteni.

PII előszűrés: a maszkolást a Szolgáltató saját, Google Cloud Platformon (Cloud Run, europe-west1, EU) üzemeltetett szolgáltatása végzi. A kicsomagolt szöveg a kérés idejére memóriában kerül feldolgozásra, majd a maszkolt kimenet visszakerül a backendhez. A lelettartalom nem íródik adatbázisba, nem készül róla mentés, és nem kerül tartalmi vagy audit naplóba. A GCP üzemeltetési metaadata (időbélyeg, útvonal, státusz) a kérés törzse nélkül előfordulhat.

MI-feldolgozás: a Szolgáltató a Google Gemini API-t használja, nem a fogyasztói ChatGPT-felületet. A bemenet a felhasználó által jóváhagyott, maszkolt szöveg. Az API-használat során a Szolgáltató nem engedélyezi a bemenet modelltanításra fordítását; a Google az API-adatokra vonatkozó, hatályos adatfeldolgozói feltételei szerint jár el.

Stripe: a kártyaadatok a Stripe-nál maradnak. A Szolgáltató nem fér hozzá a teljes kártyaszámhoz, de kereskedőként látja a tranzakcióazonosítót, az összeget, a státuszt, valamint a számlázáshoz szükséges e-mail-címet és nevet.

---

7. Technikai és szervezési intézkedések

• HTTPS / TLS a forgalom titkosítására.
• A weboldal hosztingja: Netlify.
• Az eredeti PDF nem tárolása.
• Automatikus maszkolás a Szolgáltató GCP-n (EU) üzemeltetett PII előszűrőjén: nincs adatbázis, nincs mentés, nincs tartalmi/audit napló; + felhasználói ellenőrzés a továbbítás előtt.
• Véletlenszerű hozzáférési token az URL-ben; a hash nem nyilvános.
• 48 órás törlés a leletadatokra a Convex backendben.
• Analitika és session-replay tiltása a leletfeltöltési és -ellenőrzési útvonalon.
• Hozzáférés-korlátozás: a magyarázatot az éri el, aki a tokent birtokolja.
• Üzemeltetési naplózás a webtárhelynél (Netlify) és a backendnél; a PII előszűrőn a lelettartalom nem naplózódik.

---

8. Adatvédelmi incidens

Személyes adatokat érintő incidens esetén a Szolgáltató a GDPR 33–34. cikke szerint jár el: a NAIH-ot 72 órán belül értesíti, ha a bejelentési küszöb teljesül, és az érintetteket is tájékoztatja, ha az incidens valószínűsíthetően magas kockázattal jár. Bejelentés: kapcsolat@leletmagyarul.hu.

---

9. Kiskorúak és más személy lelete

A szolgáltatás 18. életévét betöltött természetes személyeknek szól. Kiskorú leletét szülő vagy törvényes képviselő töltheti fel.

Ha a feltöltő más személy (például hozzátartozó) leletét adja át, az érintett a páciens. A feltöltő szavatolja, hogy a kezeléshez megfelelő jogalapja van (saját adat, szülői felügyelet, vagy az érintett hozzájárulása). A Szolgáltató az érintettet a GDPR 14. cikke szerint — a rendelkezésére álló elérhetőségek hiányában — a weboldalon közzétett jelen tájékoztatóval tájékoztatja.

---

10. Felhasználói jogok

A GDPR szerinti jogok:

• hozzáférés,
• helyesbítés,
• törlés,
• az adatkezelés korlátozása (18. cikk),
• adathordozhatóság,
• tiltakozás (21. cikk), ahol a jogalap ezt lehetővé teszi,
• a hozzájárulás bármikori visszavonása (7. cikk (3)).

A kérelmeket a Szolgáltató egy hónapon belül teljesíti; ez indokolt esetben további két hónappal meghosszabbítható, erről tájékoztatást adunk.

Kérelem: kapcsolat@leletmagyarul.hu.

---

11. Jogorvoslat — NAIH

Panasszal a Szolgáltatóhoz vagy a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) lehet fordulni:

• Cím: 1055 Budapest, Falk Miksa utca 9-11.
• Levelezés: 1363 Budapest, Pf. 9.
• Telefon: +36 1 391 1400
• E-mail: ugyfelszolgalat@naih.hu
• Honlap: https://www.naih.hu

---

12. Kapcsolattartás

Elérhetőség: kapcsolat@leletmagyarul.hu

Az elérhetőségeket a megkeresés megválaszolására használjuk, harmadik félnek marketingcélra nem adjuk át.

---

13. Záró rendelkezések

A LeletMagyarul.hu üzemeltetője a Kiss-Hanzsa Produkciós Iroda Kft. (6772 Deszk, Tömörkény István utca 10.; cégjegyzékszám: 06-09-021428; adószám: 24992141-2-06), Magyarországon bejegyzett vállalkozás. A szolgáltatás magyar joghatóság alatt működik; jogvitában a magyar bíróság az illetékes.