Adatkezelési tájékoztató

A SnappyCards szolgáltatás üzemeltetője és a személyes adatok kezelője az alábbi társaság:

• Cégnév: ORYNEX INTERNATIONAL LLP (a felületen megjelenő márkanév: Orynex LLC / SnappyCards)
• Társasági forma: BC Limited Liability Partnership (Brit Columbia, Kanada)
• Cégjegyzékszám: LL0003199
• Székhely: Vancouver, BC, Kanada
• Üzemeltető weboldala: https://orynex.co/
• Termék: https://snappycards.app

Adatvédelmi és általános kérdésekben az adatkezelő az info@orynex.co e-mail címen érhető el.

A szolgáltatás nyújtása során az alábbi személyesadat-kategóriákat kezeljük:

• Fiókadatok: e-mail cím, név és jelszó. A jelszót a Supabase Auth kezeli, és kizárólag hash-elt (visszafejthetetlen) formában tároljuk – olvasható, nyílt szöveges jelszót soha nem tárolunk.
• Profiladatok: a felület nyelve, az anyanyelv, a tanult nyelvek, valamint a felhasználói szerepkör (diák, tanár vagy iskolai adminisztrátor).
• Felhasználói tartalom: az általad létrehozott szókártya-szókészletek és kártyák, valamint a hozzájuk feltöltött média (kép, hang, videó).
• Használati adatok: a tanulási munkamenetek, a mért reakcióidők, valamint a kártyánkénti haladás és elsajátítási szint.
• Hibabejelentések: a szolgáltatáson keresztül küldött hibajelzéseid és üzeneteid, a hozzájuk csatolt képernyőképekkel együtt.
• Vásárlási és előfizetési adatok: a megrendelés összege, pénzneme, státusza és tételei, a kiállított bizonylat adatai, az AI-kredit egyenleged és annak mozgásai, valamint a Stripe-tól kapott ügyfél-, előfizetés- és fizetési azonosítók. Bankkártyaszámot, lejárati dátumot és CVC-kódot nem kezelünk és nem tárolunk – ezeket kizárólag a Stripe kezeli.
• Technikai adatok: IP-cím, böngésző- és eszközadatok, valamint a rendszernaplók.

Az egyes adatkezelési célokat és azok jogalapjait a GDPR 6. cikke szerint az alábbiak szerint határozzuk meg:

• Szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont): a fiók létrehozása és fenntartása, a tanulási szolgáltatás nyújtása, a szókészletek és kártyák tárolása, a tanulási haladás követése és megjelenítése, valamint a megrendelt előfizetések, AI-kredit csomagok és szókészletek teljesítése.
• Jogos érdek (GDPR 6. cikk (1) bekezdés f) pont): a szolgáltatás biztonságának fenntartása, a visszaélések és csalások megelőzése, a hibakeresés, valamint a szolgáltatás fejlesztése és minőségének javítása.
• Hozzájárulás (GDPR 6. cikk (1) bekezdés a) pont): az analitikai mérés (Google Analytics 4), miután a süti-banneren elfogadtad az analitika kategóriát, valamint az esetleges marketingcélú megkeresések. A hozzájárulás bármikor, díjmentesen visszavonható.
• Jogi kötelezettség (GDPR 6. cikk (1) bekezdés c) pont): az adó- és számviteli előírásokból fakadó kötelezettségek teljesítése, így különösen a fizetős előfizetésekhez és a boltban történő vásárlásokhoz kapcsolódó bizonylatok kiállítása.

A szolgáltatás működtetéséhez az alábbi adatfeldolgozókat és harmadik fél szolgáltatókat vesszük igénybe. Mindegyikkel a GDPR-nak megfelelő adatfeldolgozói vagy szerződéses garanciák vannak érvényben.

Elsődleges adatfeldolgozó:

• Supabase: adatbázis (Postgres), hitelesítés (Auth), fájltárolás (Storage) és háttérfüggvények (Edge Functions). Az elsődleges adattárolás az Európai Unión belül, az eu-north-1 (Stockholm, Svédország) régióban történik.

További adatfeldolgozók:

• Resend: tranzakciós e-mailek küldése (megerősítés, meghívó, jelszó-visszaállítás).
• OpenAI (USA): kártyák és szövegek fordítása, valamint kártyák és szövegek MI-alapú generálása (az ezekhez a funkciókhoz beküldött szöveget kapja meg).
• Anthropic (Claude, USA): a felület (UI) szövegeinek kötegelt fordítása.
• fal.ai (USA): AI-alapú kép- és videógenerálás a kártyákhoz.
• ElevenLabs (USA): szövegfelolvasás (TTS) a kártyákhoz és a szövegek hangoskönyv-változatához.
• Groq (USA): az MI által generált kártyahang automatikus kiejtés-ellenőrzése; csak a generált hangot és a kártya szövegét kapja meg, a saját felvételeidet soha.
• Google (Analytics, USA): látogatottsági statisztika (Google Analytics 4) a weboldalon és a szolgáltatás webes oldalain (például a belépésnél, a regisztrációnál és a vezérlőpultokon), az analitikai hozzájárulás szerint – lásd a 7. pontot. A mobilalkalmazás képernyői (/app/) nem használják a Google Analyticset.
• Netlify: a weboldal statikus hosztolása és tartalomkiszolgálása (CDN).
• Stripe (USA): fizetésfeldolgozás az előfizetésekhez, az AI-kredit csomagokhoz és a boltban megvásárolható szókészletekhez.

A fizetés a Stripe által üzemeltetett Checkout oldalon történik: a bankkártya adatait kizárólag a Stripe kezeli, azok a SnappyCards rendszerébe nem jutnak el és ott nem tárolódnak. A Stripe felé az e-mail címedet, a megvásárolt tétel megnevezését, valamint a rendelés és a fiókod belső azonosítóját továbbítjuk; a Stripe-tól a fizetés azonosítóit, összegét, pénznemét és státuszát kapjuk vissza.

Az elsődleges adattárolás az Európai Unión belül történik: a Supabase eu-north-1 (Stockholm, Svédország) régiójában. Adataid tehát alapesetben az EU-n belül kerülnek tárolásra.

Az adatkezelő Kanadában (Brit Columbia) rendelkezik székhellyel.

A 4. pontban felsorolt adatfeldolgozók egy része (például OpenAI, Anthropic, fal.ai, ElevenLabs, Groq, Google, Stripe, Resend, Netlify) az Egyesült Államokban működik. Az ezekhez történő adattovábbítás jogszerűségét és megfelelő szintű védelmét az Európai Bizottság által elfogadott általános szerződési feltételek (Standard Contractual Clauses, SCC), valamint egyéb megfelelő garanciák biztosítják.

A fiókot a törlésig őrizzük meg. A fiók törlésekor azonnali, végleges (hard delete) törlés történik: a privát szókészleteid és a fiókod véglegesen megszűnnek – nincs 30 napos türelmi idő, és nincs helyreállítási lehetőség.

Bizonyos adatok technikai vagy jogi okból a fiók törlése után is fennmaradnak, de a személyazonosításra alkalmas kapcsolat megszüntetésével:

• A használati és költségnapló (ai_usage_log) a felhasználó törlése után is megmarad, de a felhasználó azonosítója nélkül – a napló kizárólag bővíthető (append-only), és a számlázás, illetve a könyvelés célját szolgálja.
• Az AI-kredit mozgásainak naplója (credit_transactions) szintén fennmarad, a felhasználó azonosítója nélkül.
• Az audit-naplók bejegyzései megmaradnak, de az érintett azonosítója NULL értékre áll: a nyom megmarad, a személyhez kötés azonban megszűnik.

A megrendelések, a bizonylatok, az előfizetési adatok és a kredit-egyenleg ezzel szemben a fiókkal együtt törlődnek a rendszerünkből; a fizetési tranzakciók nyilvántartását ezt követően a fizetésfeldolgozó (Stripe) kezeli a saját megőrzési szabályai szerint.

A szolgáltatás a böngésződ helyi tárolójában (localStorage) néhány, a működéshez elengedhetetlen tételt tárol:

• sb-<projekt>-auth-token: a Supabase bejelentkezési munkamenet tokenje; a szolgáltatás működéséhez elengedhetetlen.
• snappy_user_language: a felület kiválasztott nyelve; elengedhetetlen.
• snappy_consent: a cookie-hozzájárulással kapcsolatos döntésed; elengedhetetlen.
• további kisebb működési beállítások (például nézet-preferenciák és folyamatban lévő meghívók azonosítói); szintén elengedhetetlen, működési célú tételek.

Ezen felül egy nem elengedhetetlen tételt is tárolunk: a snappy_first_touch az első látogatásod forrását rögzíti a böngésződ helyi tárolójában (localStorage — ez nem süti, és nem fut harmadik féltől származó kód). Azt jegyzi fel, honnan érkeztél: a hivatkozó oldal domainjét, azt az oldalt, amelyen beléptél, az esetleges kampányparamétereket (utm), illetve a megosztott szókészlet-linket, ha azon keresztül jöttél. Nevet, e-mail-címet, teljes hivatkozó URL-t vagy keresőkifejezést nem tárol. Ez az adat nem hagyja el az eszközödet, kivéve, ha regisztrálsz: ekkor a fiókodhoz mentjük, hogy lássuk, mely csatornák működnek. Harmadik félnek nem adjuk át. 90 nap után már nem használjuk, és a következő látogatásodkor felülíródik; a böngésző webhelyadatainak törlésével bármikor eltávolíthatod.

A felület nyelvét a böngésződ nyelvi beállításából (navigator.language) ismerjük fel; ez az információ nem hagyja el az eszközödet.

A süti-banner külön „analitika” hozzájárulási kategóriát is tartalmaz. Ebben a kategóriában a szolgáltatás a Google Analytics 4 (mérési azonosító: G-6K8XK8M6QT) eszközt használja a weboldalon és a szolgáltatás webes oldalain; a mobilalkalmazás képernyői (/app/) nem használják. Alapértelmezetten le van tiltva (Google Consent Mode v2, alapból tiltva): amíg nem fogadod el az analitika kategóriát, nem kerül analitikai süti a böngésződbe, azonosítót nem tárolunk, és a Google legfeljebb süti nélküli, azonosítót nem tartalmazó jelzéseket kaphat. A teljes mérés csak azután indul, hogy a süti-banneren elfogadtad az analitika kategóriát.

A hozzájárulási döntésedet bármikor módosíthatod vagy visszavonhatod az oldal láblécében található „Süti-beállítások” linkre kattintva, amely újra megnyitja a választó sávot.

A GDPR 15–22. cikke alapján az alábbi jogok illetnek meg a rólad kezelt személyes adatokkal kapcsolatban:

• Hozzáférés joga: tájékoztatást kérhetsz arról, hogy milyen adatokat kezelünk rólad.
• Helyesbítés joga: kérheted a pontatlan vagy hiányos adataid javítását, kiegészítését.
• Törlés joga: kérheted a rólad kezelt adatok törlését.
• Az adatkezelés korlátozásának joga: bizonyos esetekben kérheted az adatkezelés korlátozását.
• Adathordozhatóság joga: kérheted, hogy adataidat tagolt, géppel olvasható formátumban átadjuk.
• Tiltakozás joga: tiltakozhatsz a jogos érdeken alapuló adatkezelés ellen.
• Hozzájárulás visszavonása: a hozzájáruláson alapuló adatkezelést bármikor, díjmentesen visszavonhatod; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét.

Jogaidat az info@orynex.co címen gyakorolhatod. Panasz esetén a magyar felhasználók a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH, https://naih.hu) fordulhatnak; minden EU/EGT-felhasználó a saját lakóhelye szerinti adatvédelmi felügyeleti hatóságnál is eljárhat.

A SnappyCards a kiskorú felhasználók regisztrációjánál támogatja a szülői hozzájárulás folyamatát, összhangban a GDPR 8. cikkével, amely az információs társadalommal összefüggő szolgáltatások vonatkozásában a gyermek hozzájárulására alkalmazandó feltételeket szabályozza.

Ha a regisztráló felhasználó életkora a hozzájáruláshoz szükséges korhatár alatt van, az adatkezelés a szülő vagy a szülői felügyeletet gyakorló személy hozzájárulásával, illetve annak megerősítésével történik. Ennek keretében a rendszer által biztosított folyamatban a szülő adhatja meg vagy tagadhatja meg a hozzájárulást.

Adataid védelme érdekében több szintű technikai és szervezési intézkedést alkalmazunk:

• Sorszintű hozzáférés-szabályozás (Row Level Security, RLS) minden adattáblán, amely biztosítja, hogy minden felhasználó csak a saját, illetve a számára jogosultan hozzáférhető adatokat érje el.
• JWT-alapú (tokenes) hitelesítés minden bejelentkezéshez és háttérművelethez.
• Titkosított (HTTPS) adatátvitel a böngésző és a kiszolgáló között.

Felhívjuk a figyelmet arra, hogy az interneten történő adattovábbítás és -tárolás soha nem lehet teljes mértékben kockázatmentes. A fenti intézkedésekkel a kockázatot ésszerű szinten tartjuk, de teljes körű biztonságot nem garantálhatunk.

SnappyCards-fiókodat és a hozzá tartozó adatokat bármikor törölheted:

• Az alkalmazásban: Menü → Fiók törlése.
• A weboldalon: nyisd meg a fiókmenüt (a neved a jobb felső sarokban) → Fiók törlése.
• E-mailben: ha nem tudsz belépni, küldd el a törlési kérésedet a fiókodhoz tartozó e-mail-címről az info@orynex.co címre. A fiókot a kérés beérkezésétől számított 30 napon belül töröljük.

Az alkalmazásban vagy a weboldalon indított törlés azonnali és végleges (hard delete): nincs türelmi idő, és a törölt adatok utólag nem állíthatók helyre.

Mi törlődik: a fiókod, a profiladataid, a privát (kizárólag saját magadnak létrehozott, konkrét csoporttal meg nem osztott) szókártya-szókészleteid, a tanulási haladásod és munkamenet-adataid, valamint a megrendeléseid, a bizonylataid, az előfizetési adataid és a kredit-egyenleged.

Mi marad meg: a használati és költségnapló, valamint az AI-kredit mozgásainak naplója a felhasználói azonosítód nélkül fennmarad (append-only, számviteli célból); az audit-naplók bejegyzései megmaradnak, de az azonosítód NULL értékre áll (anonimizált nyom). A más felhasználókkal megosztott szókészletek szintén fennmaradhatnak, de a hozzájuk kötött személyes azonosítód nélkül.

Ezt a tájékoztatót időről időre frissíthetjük, például jogszabályi változás, új funkció vagy új adatfeldolgozó bevezetése esetén. A lényeges változásokról a szolgáltatáson keresztül vagy e-mailben értesítünk. A mindenkori hatálybalépés dátumát a dokumentum tetején tüntetjük fel; javasoljuk, hogy időnként tekintsd át a tájékoztató aktuális változatát.

Adatvédelmi kérdéseiddel, kéréseiddel vagy panaszaiddal az adatkezelőt az info@orynex.co e-mail címen érheted el. Igyekszünk minden megkeresésre ésszerű határidőn belül, a GDPR-ban foglaltaknak megfelelően válaszolni.