Globális Adatkezelési Tájékoztató
A LAYX a kezdetektől fogva a beépített adatvédelem (Privacy by Design) elvére épül. Nem kérünk valódi nevet, email címet a fiókhoz, telefonszámot, névjegyzéket vagy tartózkodási helyet. Az érzékeny felszerelési adatokat a telefonod már feltöltés előtt helyben titkosítja. Jelen dokumentum részletesen bemutatja az adatkezelési gyakorlatunkat és a téged megillető jogokat Magyarországon, az Európai Unióban és világszerte.
1. Az Adatkezelő Adatai & Kapcsolat
A LAYX szolgáltatás fejlesztője és globális üzemeltetője a Three Guys s.r.o. (székhely: Szlovák Köztársaság, Európai Unió; a továbbiakban: „Adatkezelő” az EU Általános Adatvédelmi Rendelete – GDPR – és a vonatkozó nemzetközi adatvédelmi jogszabályok szerint).
- Székhely: Three Guys s.r.o., Szlovák Köztársaság, Európai Unió
- Kijelölt Adatvédelmi Kapcsolattartó: privacy@layx.app
- Közvetlen jogi megkeresések: privacy@layx.app
2. Építészeti Garanciák: Zéró Tudás & Szuverén Azonosítás
A hagyományos közösségi hálózatok személyes adatokat gyűjtenek a hirdetők kiszolgálása és a viselkedési profilalkotás céljából. A LAYX ezt a modellt határozottan elutasítja, és matematikai garanciákat alkalmaz:
- Szuverén 12 Szavas Helyreállítási Jelmondat: A fiókod a telefonodon helyben jön létre egy 12 véletlenszerű szóból álló magkulcsból (seed phrase). A 12 szót a szerverünk soha nem kapja meg és nem tárolja. A telefonod ebből származtatja a hitelesítési tokent, az AES-256 széf-titkosítási kulcsot és a végpontok közötti üzenetküldési kulcsokat. Ha elveszíted a 12 szót, a fiókodat mi sem tudjuk visszaállítani.
- Eszközoldali Sealed Vault (AES-256-GCM): A gyári számok, vételárak, számlák és privát jegyzetek közvetlenül a telefonodon titkosítódnak a helyi eszköz kulcsoddal, mielőtt a hálózaton keresztül feltöltődnének. Szervereink kizárólag olvashatatlan rejtjelezett adatot (ciphertext) tárolnak.
- Kliensoldali Metaadat- és EXIF-törlés: Mielőtt bármely fotó elhagyná a készülékedet, a LAYX natív motorja újrakódolja a képet, maradéktalanul eltávolítva az EXIF-fejléceket, IPTC-adatokat, a kamera gyári azonosítóját és a pontos GPS helykoordinátákat.
- 24 Órás Eltűnő E2EE Üzenetek: A konkrét tárgyakról indított privát megkeresések végponttól végpontig titkosítottak, és 24 óra elteltével automatikusan, visszavonhatatlanul megsemmisülnek a rendszerből.
3. Kezelt Adatok Teljes Leltára & Megőrzési Idők
Kizárólag azokat a technikai és a felhasználó által megadott adatokat kezeljük, amelyek elengedhetetlenek a szolgáltatás működéséhez.
| Adatkategória & Elemek | Adatkezelési Cél | Jogalap (GDPR / Globális) | Megőrzési Idő |
|---|---|---|---|
| Álnév / Hívójel (Callsign) & Bio (pl. @GRAINLINE, opcionális leírás) |
Nyilvános megjelenés az appban; a publikus Dropok azonosítása. | Szerződés teljesítése (GDPR 6. cikk (1) b)) | A fiók vagy a hívójel törléséig. |
| Kriptográfiai Kulcsok & Technikai ID (Véletlen UUID, hash-elt token, publikus kulcs) |
Kriptográfiai beléptetés, munkamenet és titkosított üzenetek kézbesítése. | Szerződés teljesítése (GDPR 6. cikk (1) b)) | A fiók törléséig. A privát kulcsok soha nem hagyják el az eszközt. |
| Nyilvános Vault Elemek (Márka, modell, kategória, specifikációk, fotók) |
A tárgykatalógus megjelenítése és megjelölések a napi Dropokon. | Szerződés teljesítése / Hozzájárulás | Az elem vagy a fiók törléséig. |
| Sealed Vault Adatok & Számlafotó Blobok (Gyári szám, ár, jegyzet, és AES-256-GCM kliensoldalon titkosított számlafotók) |
Biztonságos privát leltár biztosításhoz. A számlafotók bájt-szinten titkosítva kerülnek feltöltésre a privát tárhelyre. Csak titkosított szöveg és bináris blob. A LAYX számára zéró tudás. | Szerződés teljesítése (GDPR 6. cikk (1) b)) | Titkosított formában az elem vagy fiók törléséig. Fióktörléskor azonnal és véglegesen törlődik. |
| Napi Dropok (Metaadatmentes fotó, szöveg, tárgycímkék, idő) |
A napi időrendi hírfolyam és a naptári hordási napló működtetése. | Szerződés teljesítése / Hozzájárulás | A Drop vagy a fiók törléséig. |
| Tárgy-üzenetek (E2EE Chat) (Végpontok között titkosított üzenetcsomagok) |
1:1 privát megkeresések lebonyolítása konkrét tárgyakról. | Szerződés teljesítése (GDPR 6. cikk (1) b)) | 24 óra elteltével automatikusan törlődik. |
| Közösségi Interakciók (Nodok, könyvjelzők, tiltólista, jelentések) |
Elismerések, saját mentések, moderáció és biztonság. | Szerződés teljesítése / Jogos érdek | A fiók törléséig. |
| Eszköz Tokenek & Hitelesítés (Push token, Apple App Attest / Play Integrity ID) |
Reggeli Drop értesítések küldése; automatizált botok és visszaélések kizárása. | Jogos érdek (GDPR 6. cikk (1) f)) / Biztonság | Kijelentkezésig, eszköz eltávolításáig vagy fióktörlésig. |
| Adatbázis Mentések & PITR (Automatizált, pont-az-időben helyreállítható biztonsági mentések) |
Katasztrófa utáni helyreállítás és ellenállóképesség. Nyugalmi állapotban AES-256 titkosítással védve. | Jogos érdek (GDPR 6. cikk (1) f)) / Biztonság | Gördülő 7 napig megőrizve, utána az ütemezett rotáció során véglegesen törlődik. |
| Várólista Email Cím (Kizárólag a weboldalon megadva) |
Zártkörű béta (TestFlight / Google Play) meghívó kiküldése. | Hozzájárulás (GDPR 6. cikk (1) a)) | A meghívó után 7 nappal véglegesen törlődik. Soha nem kapcsolódik az app fiókodhoz. |
| Szerver Hozzáférési Naplók & IP (Átmeneti hálózati kapcsolati adatok) |
DDoS támadások elleni védelem, hálózati biztonság. | Jogos érdek (GDPR 6. cikk (1) f)) / Biztonság | Legfeljebb 7 napig megőrizve, utána automatikusan felülíródik. |
4. Amit Soha Nem Teszünk (Globális Garanciavállalás)
- Soha nem adunk el és nem bocsátunk áruba személyes adatokat: Nem kereskedünk adatokkal, és nem működünk együtt adatbrókerekkel.
- Nincs viselkedési nyomkövetés és hirdetési profilalkotás: Nem követünk harmadik felek oldalain, és nem jelenítünk meg hirdetési hálózatokat.
- Nem töltjük fel a telefonkönyvedet: A LAYX soha nem kéri a névjegyzéked átadását. A kapcsolatfelvétel manuális Callsign vagy QR-kód alapján történik.
- Nincs valós idejű helymeghatározás: Nem gyűjtünk és nem naplózunk GPS koordinátákat.
- Nem működtetünk piacteret: Nem kezelünk bankkártyaadatokat vagy fizetési tranzakciókat.
5. Nemzetközi Adattovábbítások & Európai Adat-Szuverenitási Ütemterv
Fő adatbázis- és titkosított tárhely-infrastruktúránkat jelenleg a Supabase biztosítja az Amazon Web Services (AWS) amerikai adatközpontjában (USA Kelet, us-east-1) a kezdeti nyílt Genesis béta időszakában.
Az Európai Gazdasági Térségből (EGT), az Egyesült Királyságból vagy Svájcból történő adattovábbítások esetén:
- Az adattovábbítások szigorúan megfelelnek a GDPR V. fejezetének, az Európai Bizottság által elfogadott Általános Szerződési Feltételekre (Standard Contractual Clauses – SCC) támaszkodva (2021/914/EU határozat).
- Főbb hosting infrastruktúra-szolgáltatóink rendelkeznek és aktívan megfelelnek az EU–US Data Privacy Framework (DPF) keretrendszer előírásainak.
- Kriptográfiai védelem: Minden érzékeny széf-adat, számlafotó és személyes üzenet eszközoldalon, az átvitel előtt titkosításra kerül. Mivel a feloldó kulcsok kizárólag a te eszközödön léteznek és a szerverhez sosem jutnak el, sem a LAYX, sem az AWS, sem harmadik országok hatóságai nem képesek hozzáférni a titkosított tartalmakhoz.
- EU-Central-1 (Frankfurt) Migrációs Terv: Az európai felhasználóink teljes adatszuverenitásának garantálására a Three Guys s.r.o. infrastrukturális ütemtervet határozott meg: az 1000 aktív felhasználó elérésekor vagy a hivatalos európai kereskedelmi bevezetéskor a teljes adatbázist és fájltárhelyet közvetlenül a Supabase frankfurti régiójába (
eu-central-1, Frankfurt, Németország) migráljuk.
6. Nemzetközi Joghatósági Rendelkezések (USA, UK, Kanada, Ausztrália, Svájc)
A LAYX megfelel az Egyesült Államok tagállami törvényeinek (különösen a California Consumer Privacy Act – CCPA/CPRA, VCDPA, CPA), az Egyesült Királyság (UK GDPR), Kanada (PIPEDA) és Ausztrália (Privacy Act 1988) jogszabályi követelményeinek.
- USA (CCPA/CPRA & Állami Adatvédelmi Törvények): Kifejezetten kijelentjük, hogy nem értékesítünk („do not sell”) és nem osztunk meg („do not share”) személyes adatokat viselkedésalapú hirdetési célokra. Érzékeny adatokat nem használunk profilalkotásra. A kaliforniai fogyasztókat megilleti a hozzáférés, törlés, helyesbítés és a hátrányos megkülönböztetés tilalma. Tiszteletben tartjuk a Global Privacy Control (GPC) jelzéseket.
- Egyesült Királyság (UK GDPR & DPA 2018): A brit felhasználókat megilletik a GDPR-nak megfelelő jogok, valamint a panaszjog az Information Commissioner's Office (ICO) felé.
- Kanada (PIPEDA & Quebec Law 25): Érvényesülnek a méltányos információs elvek; az adatalanyok a kanadai adatvédelmi biztoshoz (OPC) fordulhatnak.
- Ausztrália (Privacy Act 1988 & APPs): Megfelelünk a 13 Ausztrál Adatvédelmi Alapelvnek, panaszjog biztosított az OAIC felé.
- Svájc (revFADP): A svájci szövetségi adatvédelmi törvény szerinti jogok biztosítottak (FDPIC).
7. Az Érintettek Jogai az Európai Unióban (GDPR)
Az Európai Unió és Magyarország területén élő felhasználókat az alábbi jogok illetik meg:
- Hozzáférési jog (15. cikk): Tájékoztatást és másolatot kérhetsz a kezelt személyes adataidról.
- Helyesbítéshez való jog (16. cikk): Kérheted a pontatlan adatok javítását közvetlenül az appban vagy emailben.
- Törléshez való jog („az elfeledtetéshez való jog”, 17. cikk): Bármikor törölheted a teljes fiókodat az appban vagy a privacy@layx.app címen.
- Adatkezelés korlátozásához való jog (18. cikk): Meghatározott esetekben kérheted az adatok zárolását.
- Adathordozhatósághoz való jog (20. cikk): Kérheted nyilvános adataid géppel olvasható formátumban történő átadását.
- Tiltakozáshoz való jog (21. cikk): Tiltakozhatsz a jogos érdeken alapuló adatkezelés ellen.
- Felügyeleti Hatósághoz Fordulás Joga: Jogodban áll panaszt benyújtani a vezető felügyeleti hatóságnál: Úrad na ochranu osobných údajov Slovenskej republiky (Hraničná 12, 820 07 Bratislava 27, Szlovákia; dataprotection.gov.sk), illetve lakóhelyed szerinti nemzeti hatóságnál (Magyarországon: Nemzeti Adatvédelmi és Információszabadság Hatóság – NAIH, 1055 Budapest, Falk Miksa utca 9-11., naih.hu).
8. Fiók- és Adattörlés az Applikáción Belül (Apple 5.1.1(v) & Google Play)
Az Apple App Store és a Google Play irányelveinek teljes mértékben megfelelve:
- Fiókodat és minden kapcsolódó adatodat közvetlenül az applikáción belül, bármikor, önállóan törölheted a Profil → Fiók törlése gombbal (a Profil fül legalján), részletes leírás a /delete-account/hu/ oldalon.
- A megerősítést követően a rendszerünk azonnali és visszavonhatatlan törlési folyamatot hajt végre: a feltöltött Dropjaid, nyilvános leltári tételeid, eszköztokenjeid és a hitelesítési adataid véglegesen törlődnek. A titkosított széfadatok megsemmisülnek.
- Mivel a 12 szavas jelmondat kizárólag nálad volt, az app és a fiók törlése után semmilyen helyreállítható nyom nem marad a szervereken.
9. Biztonság, Visszaélések Jelentése & Emberi Moderáció
A közösség biztonságának megőrzése érdekében:
- Ha egy felhasználó kifogásolható üzenetet vagy szabálysértő profilt jelent, a bejelentő készüléke ideiglenesen feloldja a kérdéses üzenetváltást, és ezt a szűkített szövegrészletet elküldi az emberi moderációs csapatunknak.
- Moderátoraink minden bejelentést 24 órán belül kivizsgálnak, a szabálysértő tartalmakat törlik, az elkövető fiókokat kitiltják.
- Bármely felhasználót egyetlen érintéssel letilthatsz, ami azonnal elrejti minden posztját és interakcióját előled.
10. Gyermekek Védelme & Korhatár (Szigorú 18+ Szabály)
A LAYX kizárólag 18 éven felüli cselekvőképes személyek számára érhető el. Tudatosan nem gyűjtünk és nem kezelünk adatokat 13 év alatti gyermekektől (COPPA), 16 év alatti kiskorúaktól (GDPR, CCPA) vagy fiatalkorúaktól. Amennyiben tudomást szerzünk arról, hogy egy felhasználó nem töltötte be a 18. életévét, fiókját azonnal megszüntetjük és adatait haladéktalanul töröljük.
11. A Tájékoztató Módosítása
Lényeges módosítások esetén az alkalmazáson belüli értesítést teszünk közzé, és frissítjük a dokumentum tetején található hatálybalépési dátumot. A szolgáltatás további használata a módosítások elfogadását jelenti.
12. Kapcsolat
Adatvédelmi kérdésekkel, jogérvényesítéssel és hatósági kapcsolatfelvétellel összefüggésben:
Email: privacy@layx.app
Társaság: Three Guys s.r.o. (Jogi és Adatvédelmi Részleg)
Joghatóság: Szlovák Köztársaság, Európai Unió