MENTUM · Adatkezelési Tájékoztató (tervezet)

Hatály / verzió: 2026-09-12. Készült a ~/KFT/1x1-CLO-jogi-igazgato/web-jogi/ tudásbázisból (hatály-bélyeg: 2026-08-08, arfeltuntetes-omnibus és nis2 esetén 2026-09-02) és a tényleges rendszerből (migrációk, worker, mobil kód). Státusz: TERVEZET-ÜGYVÉDI-VÉLEMÉNYEZÉSRE. Nem publikálható és nem hivatkozható végleges jogi szövegként az ügyvédi véglegesítésig. A ⚠️ jelölésű pontok ügyvédi döntést igényelnek.

0. Tartalomjegyzék

A NAIH 2025-2026-os webshop-ellenőrzési gyakorlata (NAIH-11128-5/2025., NAIH-4021-1/2026.) kifejezetten elvárja a tartalomjegyzéket, a logikus szerkezetet, és hogy egy adatkezelési cél minden információja (cél, adatkör, jogalap, időtartam, címzettek) egy helyen álljon.

Az adatkezelő és elérhetősége
Fogalmak
Kezelt adatkörök, célok, jogalapok, megőrzés (a fő tábla)
Adatfeldolgozók és a tárolás helye
A mesterséges intelligencia használatának átláthatósága
Adattovábbítás harmadik országba
Az érintett jogai és azok gyakorlása
Panasz a NAIH-nál és bírósági jogorvoslat
Sütik és hasonló technológiák
Kiskorúak
Adatbiztonság
Adatvédelmi incidens
A tájékoztató módosítása, verziókövetés
Hivatkozott jogszabályok hatály-bélyeggel
Nyitott pontok az ügyvédnek

1. Az adatkezelő és elérhetősége

Adat	Érték
Adatkezelő neve	PROMOKIT GLOBAL Tanácsadó és Szolgáltató Korlátolt Felelősségű Társaság (rövid név: PROMOKIT GLOBAL Kft.)
Székhely	4025 Debrecen, Simonffy utca 4-6. fszt. 41.
Cégjegyzékszám	09-09-034200
Nyilvántartó bíróság	Debreceni Törvényszék Cégbírósága
Adószám	32038114-2-09
Közösségi adószám	HU32038114
Képviselő	Szilágyi Norbert Richárd ügyvezető
Termék / szolgáltatás	MENTUM mobilalkalmazás és a mentum.hu weboldal
Kapcsolat adatvédelmi ügyekben	hello@mentum.hu
Weboldal	https://mentum.hu

Forrás a cégadatokra: ~/agy-tudasbazis/rolam/cegadatok.md és ~/agy-tudasbazis/rolam/sajat-ceg-azonositok.md. Más forrásból cégadat nem került a dokumentumba.

Adatvédelmi tisztviselő (DPO): a Szolgáltató nem jelölt ki adatvédelmi tisztviselőt. A GDPR 37. cikk (1) bekezdése szerinti kötelező esetek (közhatalmi szerv, az érintettek rendszeres és szisztematikus, nagymértékű megfigyelése mint fő tevékenység, különleges adatok nagy számban történő kezelése) a Szolgáltató álláspontja szerint nem állnak fenn. ⚠️ Ügyvédi megerősítést igényel, mert a szolgáltatás lényege a felhasználó viselkedésének folyamatos követése és mintázatok felismerése, ami a "rendszeres és szisztematikus megfigyelés" fogalmához közel áll; a "nagymértékű" feltétel a várható felhasználószámnál (első évben néhány száz fő) vélhetően nem teljesül.

2. Fogalmak

Szolgáltatás / App: a MENTUM mobilalkalmazás (iOS és Android) és a hozzá tartozó szerver-oldali kiszolgálás.
Felhasználó: a Szolgáltatást regisztrált fiókkal igénybe vevő természetes személy.
Mentor: a Szolgáltatás szöveges, mesterséges intelligencián alapuló mentor-funkciója, amellyel a Felhasználó az Appon belül beszélget. A Felhasználó felé a mentor neve Vince, de a Felhasználó minden felületen tájékoztatást kap arról, hogy nem emberrel, hanem mesterséges intelligencián alapuló programmal beszélget.
Akta: a Felhasználóról a Szolgáltatás által vezetett, a Felhasználó számára az Appban megjelenített adatgyűjtemény (profil, mutatók, célok, vállalások, minták, összefoglalók).
Átirat: a Felhasználó által feltöltött saját e-könyvből a Szolgáltatás által készített, a Felhasználó személyes használatára szolgáló rövidített, személyre szabott szöveg.

3. Kezelt adatkörök, célok, jogalapok, megőrzés

A tábla a tényleges adatbázis-sémán alapul (app/supabase/migrations/0001_init.sql, 0002_b3_lever.sql, 0003_b1_auth_zaras.sql, mérve 2026-09-12). Ami nincs a táblában, azt a Szolgáltatás nem kezeli.

Adatkör	Konkrét adatok (adatbázis-tábla)	Cél	Jogalap	Megőrzés
Fiók és hitelesítés	e-mail cím, jelszó kizárólag kriptográfiai lenyomat (hash) formában, fiók-azonosító, nyelv, régió (`auth.users`, `users`)	a fiók létrehozása, azonosítás, bejelentkezés	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig, törléskor azonnal
Profil	megszólítás, szakma, szakma-kategória, létszám-sáv, árbevétel-sáv (`profiles`)	a mentorálás személyre szabása	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Mutatók és heti bejegyzések	legfeljebb 3 aktív mutató neve, meghatározása, mértékegysége, és a hozzájuk heti bontásban beírt értékek (`metrics`, `metric_entries`)	a heti tükör-rituálé és a fejlődés követése	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Célok	90 napos cél szövege, mércéje, állapota (`goals`)	fókusz-kijelölés, számonkérés	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Vállalások	a vállalás szövege, határidő, eredet (beszélgetés, tükör vagy könyv), állapot, ok-címke, csúszások száma, heti kiemelt vállalás jelzése (`commitments`)	a szolgáltatás magja: a vállalások rögzítése és számonkérése	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Mentor-beszélgetések	a Felhasználó és a mentor üzeneteinek teljes szövege, a Felhasználó által jelentett (kifogásolt) válasz jelzése és indoka (`messages`)	a mentorálás nyújtása, a beszélgetés folytonossága, a jelentett válaszok kivizsgálása	szerződés teljesítése, GDPR 6. cikk (1) b); a jelentések kivizsgálásánál emellett jogi kötelezettség, GDPR 6. cikk (1) c), a Google Play tartalom-moderálási elvárása miatt	⚠️ a nyers üzenetek adatbázis-szintű megőrzési ideje ma nincs korlátozva (a `messages` táblán nincs automatikus törlés). Erre a Szolgáltatónak határidőt kell rögzítenie, lásd a 15. pont 3. kérdését
Heti tükör válaszai	a heti rituálé kitöltésének ténye, utolsó kitöltött hét, kihagyott hetek száma (`mirror_meta`), és a rituáléban rögzített mutató-értékek (`metric_entries`)	a rituálé működtetése, a kihagyások kezelése	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Minták	a rendszer által felismert ismétlődő viselkedési minta szövege, az azt alátámasztó bizonyítékok, a minta állapota (aktív vagy a Felhasználó által vitatott, visszavont) (`patterns`)	a mentorálás minőségének javítása; a minta a Felhasználó számára az Aktában látható és bármikor vitatható	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig; a vitatott minta nem törlődik, hanem visszavont állapotba kerül, hogy a Felhasználó lássa a saját döntését
Összefoglalók	heti és havi összefoglaló a beszélgetésekről és az eseményekről (`digests`)	a mentor-kontextus hatékony felépítése a teljes beszélgetés-előzmény helyett	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Beállítások	tükör-nap, tükör-időpont, értesítés engedélyezve, szabadság-mód (`preferences`)	a szolgáltatás időzítése a Felhasználó választása szerint	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig
Értesítések és push-token	az ütemezett értesítés időpontja, szövege, típusa, kiküldés ténye (`push_schedule`), valamint az eszköz push-tokenje	emlékeztetők kézbesítése a Felhasználó által kért időpontban	szerződés teljesítése, GDPR 6. cikk (1) b); az értesítés engedélyezése az operációs rendszer szintjén a Felhasználó külön döntése	a fiók fennállásáig, illetve az értesítések kikapcsolásáig
Feltöltött könyvek	a feltöltött fájl neve, mérete, feldolgozási állapota, a fájlból készült átirat fejezetenként, a kiemelés-jelöltek (`books`, `book_chapters`, `highlights`)	a Felhasználó saját, jogszerűen birtokolt könyvéből személyes használatú átirat készítése	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig; az eredeti fájl a feldolgozás után, lásd a 15. pont 4. kérdését
Könyv-keret és tranzakciói	a havi könyv-keret egyenlege és annak változásai (`credits`, `credit_transactions`)	a csomaghoz tartozó könyv-keret nyilvántartása	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig, majd a számviteli bizonylatokhoz kapcsolódó részben a 8 éves kötelező megőrzés szerint
Előfizetés-állapot	előfizetés-státusz, alapítói jelölés (`users`), a bolttól vagy az előfizetés-kezelőtől érkező események és azonosítók (`subscription_events`)	a jogosultság megállapítása, a szerződés teljesítése	szerződés teljesítése, GDPR 6. cikk (1) b)	a fiók fennállásáig; az elszámoláshoz kapcsolódó adatok a számviteli megőrzés szerint
Számlázási adat	a számlán szereplő név, cím és a számla tartalma	jogszabályi számla-kiállítási és megőrzési kötelezettség	jogi kötelezettség, GDPR 6. cikk (1) c), a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése	8 év, a számlázási rendszerben, nem az App adatbázisában
Támogatási levelezés	a hello@mentum.hu címre írt levél tartalma és a válasz	a megkeresés megválaszolása, a panasz kezelése	szerződés teljesítése, GDPR 6. cikk (1) b); panasz esetén jogi kötelezettség, GDPR 6. cikk (1) c)	panasznál a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. § (7) bekezdése szerint 3 év
Hozzájárulás nyilvántartása	annak ténye és időpontja, hogy a Felhasználó elfogadta a mentor-feldolgozásra vonatkozó tájékoztatást	a hozzájárulás bizonyíthatósága	jogi kötelezettség és elszámoltathatóság, GDPR 5. cikk (2), 7. cikk (1)	a fiók fennállásáig

Amit a Szolgáltatás NEM kezel (ez is kötelező tájékoztatási elem, mert a Felhasználó észszerű elvárásait formálja):

nincs analitikai vagy termékhasználat-mérő beépítve az Appba,
nincs hirdetés-azonosító (IDFA, Android Advertising ID) és nincs hirdetési célú adatgyűjtés,
nincs helyadat-gyűjtés,
nincs harmadik feles követő vagy reklám-szoftverfejlesztői készlet (SDK),
nincs névjegyzék-, naptár-, fénykép- vagy mikrofon-hozzáférés a mentor-funkcióhoz.

Különleges adatkategória. A Szolgáltatás nem kér és nem gyűjt célzottan a GDPR 9. cikke szerinti különleges adatot (egészségügyi állapot, vallás, politikai vélemény, szexuális élet). Ha a Felhasználó a beszélgetésben önként oszt meg ilyet, az a beszélgetés részeként tárolódik, de a Szolgáltatás nem elemzi és nem profilozza: a "minták" adatkör kizárólag üzleti és munkaszervezési viselkedésre vonatkozik. ⚠️ Az ügyvédnek meg kell erősítenie, hogy ez az elhatárolás elegendő-e, vagy szükséges-e külön figyelmeztetés a beszélgetés-felületen, illetve külön jogalap.

Krízis-helyzet. Ha a Felhasználó önveszélyeztetésre utaló jelzést ad, a Szolgáltatás a mentor-funkciót felfüggeszti, rövid, emberi hangvételű választ ad, és magyar segélyforrásokat jelenít meg (112, Lelki Elsősegély Szolgálat 116-123). Ez a beszélgetés-részlet a többi üzenettel azonos módon tárolódik. ⚠️ Az ügyvédnek kell megmondania, hogy erre a részletre szükséges-e eltérő (szigorúbb vagy rövidebb) megőrzési szabály, és hogy a helyzet érint-e a GDPR 9. cikke szerinti adatkategóriát.

4. Adatfeldolgozók és a tárolás helye

A GDPR 13. cikk (1) bekezdés e) pontja szerint a címzetteket meg kell nevezni. Minden itt felsorolt szolgáltatóval a GDPR 28. cikk (3) bekezdése szerinti adatfeldolgozási szerződés (DPA) szükséges.

Adatfeldolgozó	Szerepe a Szolgáltatásban	Feldolgozás helye	Továbbítás harmadik országba
Supabase Inc.	adatbázis és felhasználói hitelesítés: az Akta, a beszélgetések, a könyv-adatok és a fiókadatok tárolása	Európai Unió, Írország, `eu-west-1` régió	a tárolás EU-ban történik; a szolgáltató társaság székhelye az Amerikai Egyesült Államokban van, ezért a támogatási és üzemeltetési hozzáférés miatt harmadik országbeli hozzáférés nem zárható ki, lásd a 6. pontot
Render Services Inc.	a szerver-oldali feldolgozó (worker) futtatása: a mentor-válaszok előállításának vezérlése, a könyv-feldolgozás, az értesítés-ütemezés	Európai Unió, Németország, Frankfurt	mint fent
Anthropic PBC	a nyelvi modell szolgáltatója: a mentor válaszainak, a heti és havi összefoglalóknak, valamint a könyv-átiratnak az előállítása	Amerikai Egyesült Államok	igen, lásd a 6. pontot
RevenueCat, Inc.	előfizetés-kezelés: a bolti vásárlás és a jogosultság állapotának nyilvántartása. Vásárlási és eszköz-azonosítót kezel, bankkártya-adatot NEM	Amerikai Egyesült Államok	igen, lásd a 6. pontot
Apple Inc.	az App Store-on keresztüli terjesztés, az alkalmazáson belüli vásárlás és a fizetés lebonyolítása, iOS-push kézbesítése	az Apple saját adatkezelési feltételei szerint	igen, lásd a 6. pontot
Google LLC	a Google Play Áruházon keresztüli terjesztés, az alkalmazáson belüli vásárlás és a fizetés lebonyolítása; a Firebase Cloud Messaging kizárólag Androidon az értesítés kézbesítésére	a Google saját adatkezelési feltételei szerint	igen, lásd a 6. pontot
Expo (650 Industries, Inc.)	az alkalmazás build-szolgáltatása (EAS) és a push-token kezelése az értesítés kézbesítéséhez	Amerikai Egyesült Államok	igen, lásd a 6. pontot
Tárhely.eu Kft.	a mentum.hu weboldal és a hello@mentum.hu levelezés tárhelye	Magyarország	nem
Webes fizetési szolgáltató	a mentum.hu weboldalon indított előfizetés fizetésének lebonyolítása	⚠️ NYITOTT: a szolgáltató kiválasztása a jelen dokumentum készítésekor még nem történt meg	a választás után pótolandó

A fizetési szolgáltató sora azért szerepel üresen, mert a docs/uzlet/web-ertekesites-es-alapito-terelés.md szerint a weboldalon is lesz előfizetés-vásárlás, de a szolgáltató kiválasztása nyitott döntés. Élesítés előtt ezt a sort ki kell tölteni, és a tájékoztatót újra ki kell adni.

⚠️ Az adatfeldolgozók pontos cégjogi adatai (bejegyzett székhely, cégazonosító) a mindenkori saját adatfeldolgozási szerződésükből és adatvédelmi tájékoztatójukból veendők át. Ez a tervezet ezeket szándékosan nem tartalmazza: nem állt rendelkezésre ellenőrzött forrás, és találgatott cégadat a tájékoztatóban önmagában is jogsértés (a NAIH a pontatlan adatkezelői és címzetti adatokat átláthatósági hibaként értékeli).

⚠️ A DPA-k megkötésének státusza a jelen dokumentum készítésekor nem igazolt, ez a docs/jog/megfeleles-checklist.md-ben nyitott tételként szerepel.

5. A mesterséges intelligencia használatának átláthatósága

A Felhasználó a regisztráció során, minden személyes adat megadása ELŐTT külön képernyőn kap tájékoztatást arról, hogy a mentor mesterséges intelligencián alapuló program, nem emberi tanácsadó, és hogy a beszélgetései, valamint az Aktája releváns része egy külső nyelvi szolgáltatóhoz kerül. A továbblépés csak egy kifejezett, pipálandó nyilatkozat elfogadása után lehetséges (megvalósítva: app/apps/mobile/app/onboarding/consent.tsx, igazolva docs/verify/b6/).
A továbbítás célja kizárólag a Felhasználónak szóló válasz, összefoglaló vagy átirat előállítása.
Az adatot a nyelvi szolgáltató nem használja fel saját modelljeinek betanítására. ⚠️ Ennek szerződéses biztosítása (az Anthropic PBC felé a tanításból való kizárás és a nulla adatmegőrzésre, angolul zero data retention, vonatkozó megállapodás) a jelen tervezet készítésekor nincs igazolva, lásd a 15. pont 1. kérdését. Amíg ez nincs megkötve, az adatmegőrzés az Anthropic PBC mindenkori API-szabályzata szerint alakul, és a tájékoztatóban ezt kell szerepeltetni, nem a szigorúbb állítást.
A rendszer a Felhasználóról felismert mintákat az Aktában megmutatja, indokolja, és a Felhasználó bármikor vitathatja. A Szolgáltatás nem vezet a Felhasználó elől elrejtett profilt.
Automatizált döntéshozatal a GDPR 22. cikke értelmében (a Felhasználóra joghatással járó vagy őt hasonlóan jelentős mértékben érintő, kizárólag automatizált döntés) a Szolgáltatásban nincs: a mentor javaslatot és tükröt ad, döntést a Felhasználó hoz. ⚠️ Ügyvédi megerősítést igényel, hogy a mintázat-felismerés és a személyre szabás a GDPR 4. cikk 4. pontja szerinti profilalkotásnak minősül-e (a Szolgáltató álláspontja szerint igen, ezért a tájékoztató ezt nyíltan kimondja), és hogy elegendő-e a 13. cikk (2) bekezdés f) pontja szerinti tájékoztatás, vagy további garancia is kell.
A Szolgáltatás megfelel az (EU) 2024/1689 rendelet (MI-rendelet) 50. cikk (1) bekezdése szerinti átláthatósági követelménynek: a Felhasználó legkésőbb az első interakciókor egyértelmű tájékoztatást kap arról, hogy mesterséges intelligenciával kommunikál. Az 50. cikk átláthatósági szabályai 2026-08-02 óta alkalmazandók. ⚠️ A közlés pontos szövegezésének megfelelőségét az ügyvéd erősítse meg.

6. Adattovábbítás harmadik országba

Az adatbázis és a szerver-oldali feldolgozás az Európai Unión belül (Írország, illetve Németország) történik. A 4. pontban megjelölt szolgáltatók egy része azonban az Amerikai Egyesült Államokban működik, ezért a Szolgáltatás adatkezelése harmadik országba történő adattovábbítással jár (GDPR V. fejezet, 44-49. cikk). Ez különösen a mentor-válaszok előállítására (Anthropic PBC), az előfizetés-kezelésre (RevenueCat, Inc.), a bolti fizetésre és az értesítés-kézbesítésre (Apple Inc., Google LLC), valamint az alkalmazás-buildre és a push-tokenre (Expo) áll.

A továbbítás jogszerűségi útvonala kétféle lehet:

Megfelelőségi határozat (GDPR 45. cikk): a Bizottság (EU) 2023/1795 végrehajtási határozata (2023-07-10) alapján az EU-US Data Privacy Framework listáján tanúsított amerikai címzett felé a továbbítás külön garancia nélkül jogszerű. A Törvényszék a T-553/23. sz. (Latombe) ügyben 2025-09-03-án elutasította a határozat megsemmisítésére irányuló keresetet, a fellebbezés (C-703/25 P) folyamatban van.
Általános szerződési feltételek (GDPR 46. cikk (2) c), SCC) plusz kiegészítő intézkedések, ha a címzett nincs a listán.

⚠️ Ügyvédi ellenőrzési pont, szolgáltatónként elvégzendő a launch előtt: minden amerikai címzettnél ellenőrizni kell a tanúsítást a hivatalos listán (dataprivacyframework.gov/list), és a tájékoztatóba be kell írni, melyik szolgáltatónál melyik jogalap áll (megfelelőségi határozat vagy SCC). Amíg ez az ellenőrzés nem történt meg, ez a szakasz nem tekinthető véglegesnek. Vészforgatókönyv: ha a megfelelőségi határozat a fellebbezésben elbukna, minden amerikai továbbítást az általános szerződési feltételekre kell átállítani.

⚠️ A tervezes/06-architektura-es-koltseg.md szerint előkészített alternatíva, hogy a nyelvi modell hívása egy európai uniós régióban működő felhő-szolgáltatón keresztül történjen. Az ügyvédnek arra is válaszolnia kell, hogy az induló felállás elfogadható-e, vagy már az indulásnál át kell térni az EU-régiós megoldásra (lásd a 15. pont 2. kérdését).

7. Az érintett jogai és azok gyakorlása

Jog (GDPR)	Mit jelent	Hogyan gyakorolható
Hozzáférés (15. cikk)	megtudni, milyen adatot kezelünk	az Appban az Aktám képernyő folyamatosan mutatja; teljes másolat a hello@mentum.hu címen is kérhető
Helyesbítés (16. cikk)	pontatlan adat javítása	az Aktám képernyőn a profil mezői közvetlenül szerkeszthetők; a felismert minta a Vitatom gombbal visszavonható
Törlés (17. cikk)	az adatok végleges törlése	az Appban az Aktám képernyőn a Fiók törlése funkcióval, várakozási idő nélkül, azonnal; a törlés kiterjed a profilra, a mutatókra, a célra, a vállalásokra, a beszélgetésekre, a könyv-állapotokra, a hozzájárulás-nyilvántartásra és az ütemezett értesítésekre
Az adatkezelés korlátozása (18. cikk)	az adat megőrzése mellett a kezelés felfüggesztése	a hello@mentum.hu címen
Adathordozhatóság (20. cikk)	az adat kivitele gépi olvasásra alkalmas formában	az Appban az Aktám exportálása funkcióval, két formátumban: olvasható szöveg és nyers adat
Tiltakozás (21. cikk)	tiltakozás a jogos érdeken alapuló kezelés ellen, marketing esetén feltétel nélkül	a hello@mentum.hu címen; a Szolgáltatás ma nem folytat közvetlen üzletszerzési adatkezelést
Hozzájárulás visszavonása (7. cikk (3))	a hozzájáruláson alapuló kezelés megszüntetése a jövőre nézve	a hello@mentum.hu címen, illetve a fiók törlésével

Határidő: a kérelmeket indokolatlan késedelem nélkül, de legkésőbb 1 hónapon belül teljesítjük; a határidő a GDPR 12. cikk (3) bekezdése szerint 2 hónappal meghosszabbítható, erről az érintettet tájékoztatjuk. A teljesítés főszabályként ingyenes (12. cikk (5)).

⚠️ A szerver-oldali törlés-lánc. A jelenlegi megvalósítás (app/apps/mobile/src/data/accountDeletion.ts) a készüléken lévő teljes állapotot törli, és a kód kifejezetten jelzi, hogy a szerver-oldali (adatbázis-szintű) törlés bekötése még hátravan. Ez a launch előtt kötelezően elvégzendő fejlesztési tétel, és a Google Play fiók-törlési szabálya miatt weben is elérhető törlési útvonalat kell biztosítani (lásd docs/jog/store-szovegek.md). A tájékoztató addig nem publikálható, amíg a szerver-oldali törlés nem működik: a jelen szöveg olyan jogot ír le, aminek a teljes technikai lánca még nem áll.

8. Panasz a NAIH-nál és bírósági jogorvoslat

Az adatkezeléssel kapcsolatos panasszal a Felhasználó a Nemzeti Adatvédelmi és Információszabadság Hatósághoz fordulhat, illetve a GDPR 79. cikke alapján bírósághoz. A per az érintett lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható.

Adat	Érték
Hatóság	Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Székhely	1055 Budapest, Falk Miksa utca 9-11.
Postacím	1363 Budapest, Pf. 9.
Weboldal	naih.hu
E-mail	ugyfelszolgalat@naih.hu

9. Sütik és hasonló technológiák

Az Appban nincs süti. A mobilalkalmazás nem használ böngésző-sütit, és nem helyez el a készüléken hozzájárulás-köteles követő állományt. Az App kizárólag a szolgáltatás nyújtásához elengedhetetlen helyi tárolást használ (bejelentkezési munkamenet-jelző, a Felhasználó beállításai, a helyi olvasási pozíció), ami a 2002/58/EK irányelv 5. cikk (3) bekezdésének második mondata szerinti kivétel alá esik.

A mentum.hu weboldal nem használ sütit és nem használ analitikát. A weboldalon nincs látogatás-mérés, nincs hirdetési képpont (pixel) és nincs harmadik feles követő, ezért hozzájárulás-kérő ablak sem jelenik meg. Részletek: docs/jog/suti-tajekoztato.md.

⚠️ Ha a weboldalon később analitika, hirdetési képpont vagy webes fizetési szolgáltató kerül bevezetésre, az hozzájárulás-köteles lehet, és ekkor hozzájárulás-kezelő felületet kell bevezetni, a jelen tájékoztatót és a süti-tájékoztatót pedig frissíteni kell. A weboldal tartalmi gazdája erről külön dönt.

10. Kiskorúak

A Szolgáltatás felnőtt, 18. életévét betöltött vállalkozóknak és cégvezetőknek szól. A Szolgáltatás nem gyerekeknek készült, nem gyűjt tudatosan 16 év alatti gyermek adatát, és a bolti korhatár-besorolást is ennek megfelelően kérjük (lásd docs/jog/store-szovegek.md).

A GDPR 8. cikke szerint az információs társadalommal összefüggő szolgáltatásoknál a gyermek hozzájárulása 16 éves kor alatt csak a szülői felügyeletet gyakorló engedélyével érvényes; Magyarország nem szállította le ezt a korhatárt. Mivel a Szolgáltatás jogalapja a szerződés teljesítése és nem a hozzájárulás, a 8. cikk közvetlenül nem alkalmazandó, viszont a cselekvőképesség polgári jogi szabályai igen. ⚠️ Az ügyvédnek kell eldöntenie, szükséges-e kifejezett életkor-megerősítés a regisztrációnál.

11. Adatbiztonság

A Szolgáltató a GDPR 32. cikke szerint, a kockázathoz igazodó technikai és szervezési intézkedéseket alkalmaz. A jelenleg megvalósított és a kódból igazolható intézkedések:

titkosított adatátvitel (HTTPS/TLS) minden felületen,
a jelszavak kizárólag kriptográfiai lenyomatként tárolódnak (a hitelesítést a Supabase Auth végzi),
adatbázis-szintű, soronkénti hozzáférés-korlátozás: minden felhasználói tábla row level security védelem alatt áll, és minden szabály a bejelentkezett felhasználó saját sorára korlátoz (0001_init.sql, 0003_b1_auth_zaras.sql),
a szerver-oldali API-kulcsok kizárólag a szerveren élnek, a mobilalkalmazásba soha nem kerülnek be,
a szerver élesben csak valódi hitelesítéssel indulhat el: a fejlesztői belépési mód éles környezetben kódszinten tiltott (services/worker/src/env.ts).

⚠️ Mentés, mentés-titkosítás, hozzáférés-naplózás és rendszeres tesztelés: ezek megvalósítása a launch előtt rögzítendő és dokumentálandó, a jelen dokumentum nem talált rájuk bizonyítékot.

12. Adatvédelmi incidens

Adatvédelmi incidens esetén a Szolgáltató indokolatlan késedelem nélkül, lehetőleg a tudomásszerzéstől számított 72 órán belül bejelentést tesz a NAIH-nak (GDPR 33. cikk (1)), magas kockázat esetén az érintetteket is tájékoztatja (34. cikk), és minden incidenst belső nyilvántartásba vesz, a be nem jelentetteket is (33. cikk (5)). ⚠️ A belső incidens-kezelési eljárásrend (ki észleli, ki dönt, milyen sablonnal értesítünk) még nem készült el, ez a launch előtti feladat.

13. A tájékoztató módosítása, verziókövetés

A Szolgáltató a tájékoztatót módosíthatja, a módosításról a Felhasználót az Appon belül vagy e-mailben tájékoztatja. A tájékoztató mindenkori hatályos szövege a https://mentum.hu/adatkezeles címen érhető el. A NAIH gyakorlata szerint a korábbi verziókat archiválni kell és a hatálybalépés dátumát fel kell tüntetni; a Szolgáltató ezt a fenti verzió-bélyeggel és a weboldalon elérhető változat-jegyzékkel biztosítja. ⚠️ A módosítás hatálybalépésének módja (különösen, ha a módosítás a szerződéses feltételeket is érinti) ügyvédi kérdés.

14. Hivatkozott jogszabályok hatály-bélyeggel

A hatály-bélyegek forrása a CLO web-jogi tudásbázis jogszabaly-regiszter.json fájlja és a hivatkozott terület-fájlok frontmatter mezői.

Jogszabály	Amit innen veszünk	Hatályos állapot a forrásban	Forrás-fájl
(EU) 2016/679 rendelet (GDPR)	jogalapok, tájékoztatási kötelezettség, érintetti jogok, adatfeldolgozói lánc, incidens, harmadik országba továbbítás	2026-08-08	`web-jogi/jogszabaly-tar/gdpr-adatvedelem.md`
2011. évi CXII. törvény (Infotv.)	a NAIH hatásköre és eljárása	2026-08-08	ugyanott
(EU) 2023/1795 bizottsági végrehajtási határozat (EU-US Data Privacy Framework)	az USA-ba irányuló továbbítás megfelelőségi alapja; a Törvényszék T-553/23. sz. ügyben hozott, 2025-09-03-i ítélete fenntartotta, a C-703/25 P fellebbezés folyamatban	2026-08-08	ugyanott
(EU) 2025/2518 rendelet (GDPR eljárási rendelet)	a határokon átnyúló panasz-eljárás, alkalmazandó 2027-04-02-től	2026-08-08	ugyanott
2002/58/EK irányelv (ePrivacy) és 2003. évi C. törvény (Eht.) 155. § (4)	a végberendezésen történő tárolás hozzájárulási szabálya és a két kivétel	2026-08-08	`web-jogi/jogszabaly-tar/eprivacy-cookie.md`
2001. évi CVIII. törvény (Ektv.) 4. §	az impresszum kötelező adattartalma	2026-08-08	`web-jogi/jogszabaly-tar/ektv-impresszum.md`
2000. évi C. törvény (számviteli törvény) 169. § (2)	a számviteli bizonylatok 8 éves megőrzése	2026-08-08 (a GDPR-fájlon keresztül)	`web-jogi/jogszabaly-tar/gdpr-adatvedelem.md`
1997. évi CLV. törvény (Fgytv.) 17/A. §	panaszkezelés, a panasz és a válasz 3 éves megőrzése	2026-08-08	`web-jogi/jogszabaly-tar/fogyasztovedelem-webshop.md`
(EU) 2024/1689 rendelet (MI-rendelet) 50. cikk	a mesterséges intelligenciával folytatott kommunikáció közlési kötelezettsége, alkalmazandó 2026-08-02 óta	2026-08-08	`web-jogi/jogszabaly-tar/ai-act.md`

⚠️ Minden hatály-bélyeg 2026-08-08-i (két területen 2026-09-02-i) állapotot tükröz. Az ügyvédi véglegesítéskor a bélyegeket frissíteni kell, és a hatályos szöveget a njt.hu, illetve az EUR-Lex időállapotával kell egyeztetni.

15. Nyitott pontok az ügyvédnek

Ezek a docs/jog/ugyvedi-megrendelo.md nyitott kérdés-listájában is szerepelnek.

A nyelvi modell szolgáltatójával kötendő megállapodás tartalma: a tanításból való kizárás és a nulla adatmegőrzés (zero data retention) szerződéses biztosítása, illetve ennek hiányában milyen szöveg mehet ki a tájékoztatóban.
Az USA-ba irányuló továbbítás jogalapja szolgáltatónként (megfelelőségi határozat vagy általános szerződési feltételek), és hogy elfogadható-e az induló felállás, vagy EU-régiós modellhívásra kell áttérni.
A beszélgetések nyers szövegének megőrzési ideje: meddig maradhat a messages táblában, kell-e automatikus törlés vagy anonimizálás.
A feltöltött eredeti könyv-fájl sorsa a feldolgozás után: megmarad-e a Felhasználó fiókjában vagy törlődik, és mi kerüljön erről a tájékoztatóba.
A szerver-oldali törlési lánc elvárt terjedelme, beleértve a biztonsági mentéseket.
Profilalkotás és automatizált döntéshozatal minősítése a mintázat-felismerésnél.
A krízis-helyzetben keletkező beszélgetés-részlet adatkategóriája és megőrzése.
Életkor-megerősítés szükségessége a regisztrációnál.