Adatkezelési tájékoztató
Szolgáltatás: Dentalite (fogtechnikai ERP)
Verzió: 2026-08-04-v2
Hatályos: KITÖLTENDŐ – közzététel dátuma
2.1. Az adatkezelő adatai
Adatkezelő: BudyByte Kft.
Székhely: KITÖLTENDŐ – cégjegyzék szerinti székhely
Cégjegyzékszám: KITÖLTENDŐ
Adószám: KITÖLTENDŐ
Képviselő: KITÖLTENDŐ – név
E-mail: KITÖLTENDŐ – adatvédelmi ügyekben használt e-mail cím (pl. adatvedelem@dentalite.hu)
Telefon: KITÖLTENDŐ
Weboldal: https://dentalite.hu
Adatvédelmi tisztviselő (DPO): a Szolgáltató adatvédelmi tisztviselőt nem jelölt ki. A GDPR 37. cikk (1) bekezdés b) és c) pontja a kijelölést akkor teszi kötelezővé, ha az adatkezelő fő tevékenysége az érintettek nagymértékű, rendszeres és szisztematikus megfigyelése, vagy különleges adatok nagy számban történő kezelése. A Szolgáltató jelenlegi méretére és ügyfélszámára tekintettel a kijelölés nem kötelező; ezt a Szolgáltató az ügyfélszám növekedésével rendszeresen felülvizsgálja. Adatvédelmi kérdésekben a fenti e-mail címen lehet a Szolgáltatóhoz fordulni.
2.2. A tájékoztató célja
Jelen tájékoztató a Dentalite szolgáltatás weboldalához, regisztrációjához, kapcsolattartásához és szolgáltatásnyújtásához kapcsolódó személyes adatkezeléseket ismerteti.
Fontos: a szolgáltatásban az Ügyfél által rögzített páciensadatok tekintetében az Ügyfél (a rendelő vagy a labor) az adatkezelő, a Szolgáltató pedig adatfeldolgozó. Ezekre az adatokra nem a jelen tájékoztató, hanem az Ügyfél saját adatkezelési tájékoztatója irányadó; a Szolgáltató és az Ügyfél viszonyát az Adatfeldolgozási feltételek szabályozzák.
2.3. Kezelt adatok köre
a) Regisztráció és fiókkezelés
- név
- cégnév
- e-mail cím
- telefonszám
- jelszó hash, vagy Google-fiókkal történő belépés esetén a Google által visszaadott azonosító
- szállítási cím
- számlázási adatok
- szervezeti tagság és szerepkör
- technikai naplóadatok
b) Kapcsolattartás
- név
- e-mail cím
- üzenet tartalma
c) Szolgáltatás használata
- bejelentkezési naplók
- IP-cím
- böngésző- és eszközadatok
- műveleti naplók
- rendszerhasználati események
d) Ügyfél által rögzített üzleti és pácienshez kapcsolható adatok
- munkákhoz kapcsolódó azonosítók
- megrendelési és státuszadatok
- partneradatok
- pácienshez kapcsolódó, az Ügyfél által feltöltött vagy rögzített adatok
Amennyiben az Ügyfél egészségügyi adatot vagy arra utaló információt kezel a rendszerben, az különleges személyes adatnak minősülhet. Ezen adatok tekintetében az adatkezelő az Ügyfél.
e) Meghívott, még nem regisztrált személyek adatai
Ha egy meglévő felhasználó munkatársat vagy együttműködő fogorvost hív meg a szervezetébe, a Szolgáltató a meghívott e-mail címét és — ha megadták — nevét a meghívó felhasználótól, tehát nem közvetlenül az érintettől kapja meg (GDPR 14. cikk).
- Cél: a meghívó kiküldése és a regisztráció lehetővé tétele.
- Jogalap: a Szolgáltató és a meghívó szervezet jogos érdeke (GDPR 6. cikk (1) f) — a munkatársak szolgáltatásba való behívása; az érdekmérlegelés eredménye, hogy az érintett észszerűen számíthat a megkeresésre, mert az a munkaviszonyához vagy szakmai együttműködéséhez kapcsolódik.
- Megőrzés: a meghívó elfogadásáig vagy lejártáig; el nem fogadott meghívó esetén a lejáratot követő törlésig.
- Az érintett jogai: a meghívott bármikor tiltakozhat az adatkezelés ellen és kérheti adatai törlését a 2.1. pont szerinti e-mail címen; ilyen esetben a Szolgáltató a meghívót visszavonja.
- Tájékoztatás: a meghívó e-mail tartalmazza a jelen tájékoztatóra mutató hivatkozást.
2.4. Az adatkezelés célja és jogalapja
| Adatkezelési cél | Kezelt adatok | Jogalap | Megőrzés |
|---|---|---|---|
| Regisztráció, fiók létrehozása, a szolgáltatás nyújtása | 2.3. a) | Szerződés teljesítése (GDPR 6. cikk (1) b) | 2.6. szerint |
| Belépés Google-fiókkal (opcionális) | e-mail cím, név, Google azonosító | Szerződés teljesítése (GDPR 6. cikk (1) b) — a felhasználó által választott belépési mód | a fiók fennállásáig |
| E-mail cím megerősítése | e-mail cím, megerősítő azonosító | Szerződés teljesítése, valamint a fiókbiztonsághoz fűződő jogos érdek | a megerősítésig |
| Számlázás, számviteli megőrzés | számlázási adatok | Jogi kötelezettség (GDPR 6. cikk (1) c; Számv. tv. 169. §) | 8 év |
| Előfizetési díj beszedése | fizetési tranzakció azonosítója | Szerződés teljesítése (GDPR 6. cikk (1) b) | a szerződés + elévülés |
| Kapcsolattartás, ügyfélszolgálat, panaszkezelés | 2.3. b) | Szerződés teljesítése (meglévő ügyfél esetén), egyébként jogos érdek (GDPR 6. cikk (1) f) — a megkeresések megválaszolása | a megkeresés lezárását követő 1 év |
| Rendszerbiztonság, visszaélések felderítése (technikai naplózás) | IP-cím, eszközadat, belépési kísérletek | Jogos érdek (GDPR 6. cikk (1) f) — a szolgáltatás és a benne tárolt egészségügyi adatok védelme | 30 nap |
| Műveleti (audit) naplózás: ki, mit, mikor | felhasználó azonosítója, a művelet időpontjában érvényes név és e-mail cím, a művelet leírása | Jogos érdek (GDPR 6. cikk (1) f) és elszámoltathatóság (GDPR 5. cikk (2)) | 5 év |
| A jogi dokumentumok elfogadásának bizonyítása | felhasználó azonosítója, dokumentum típusa és verziója, időpont, IP-cím | Jogos érdek és jogi igény érvényesítése (GDPR 6. cikk (1) f, 5. cikk (2)) | a szerződés megszűnését követő elévülési időig |
| Rendszerértesítések küldése | címzett azonosítója, az értesítés megjelenítéséhez szükséges adatok | Szerződés teljesítése (GDPR 6. cikk (1) b) | olvasott 90 nap, olvasatlan 180 nap |
| Meghívók kiküldése | 2.3. e) | Jogos érdek (GDPR 6. cikk (1) f) | a meghívó lejártáig |
Jogos érdeken alapuló adatkezelések. A Szolgáltató a fenti, jogos érdeken alapuló adatkezelésekre érdekmérlegelési tesztet végzett, amelynek eredménye szerint az adatkezelés az érintettek jogaival és szabadságaival arányos. A teszt összefoglalója a 2.1. pont szerinti e-mail címen kérhető. Az érintett ezen adatkezelések ellen a GDPR 21. cikke alapján bármikor tiltakozhat.
Különleges adatok. Különleges személyes adatok esetén a megfelelő általános jogalap mellett külön GDPR 9. cikk szerinti feltétel is szükséges, amelynek biztosítása az Ügyfél feladata az általa bevitt adatok vonatkozásában (jellemzően a GDPR 9. cikk (2) h) pontja: egészségügyi ellátás nyújtása). A Szolgáltató a páciensadatok tekintetében adatfeldolgozóként jár el, jogalapról nem dönt.
2.4.1. Kötelező-e az adatszolgáltatás?
A regisztrációhoz és a szolgáltatás használatához szükséges adatok (név, e-mail cím, jelszó) megadása szerződéskötési feltétel: ezek hiányában a fiók nem hozható létre, és a szolgáltatás nem vehető igénybe. A számlázási adatok megadása jogszabályon alapuló kötelezettség; ezek hiányában a fizetős előfizetés nem köthető meg. A telefonszám és a szállítási cím megadása önkéntes.
2.4.2. Automatizált döntéshozatal és profilalkotás
A Szolgáltató nem alkalmaz olyan, kizárólag automatizált adatkezelésen alapuló döntéshozatalt — ideértve a profilalkotást is —, amely az érintettre nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené (GDPR 22. cikk). Az előfizetéssel összefüggő automatikus lépések (például a keret betelte esetén a beállítás szerinti csomagváltás) az Ügyfél előzetes, kifejezett rendelkezésén alapuló szerződésteljesítési műveletek, nem az érintett személyét értékelő döntések.
2.5. Adatfeldolgozók és címzettek
A Szolgáltató által igénybe vett adatfeldolgozók és önálló adatkezelő címzettek naprakész, tételes listáját az Adatfeldolgozók melléklet tartalmazza.
Összefoglalóan: felhőalapú tárhely- és adatbázis-szolgáltató (Amazon Web Services, EU-n belül, frankfurti régió), e-mail küldő szolgáltató, fizetési szolgáltató, számlázó szolgáltató és DNS-szolgáltató. Jogszabályi kötelezettség alapján címzett lehet a Nemzeti Adó- és Vámhivatal (számlaadat-szolgáltatás), valamint megkeresésére bíróság vagy hatóság.
Az adatok tárolása az Európai Unión belül történik. Két igénybe vett szolgáltató székhelye van az EU-n kívül (DNS-szolgáltatás, illetve forráskódtárolás); ezek pácienshez kapcsolható adathoz nem férnek hozzá. Az ezekhez kapcsolódó esetleges adattovábbítás garanciáját az Európai Bizottság által elfogadott általános szerződési feltételek (SCC), illetve az EU–USA Adatvédelmi Keret (Data Privacy Framework) szerinti tanúsítás biztosítja; a garanciák másolata a 2.1. pont szerinti e-mail címen kérhető.
Új adatfeldolgozó bevonásáról a Szolgáltató az Ügyfelet előre értesíti, az adatfeldolgozási feltételek szerint.
2.6. Adatmegőrzés
| Adatkör | Megőrzési idő | Mi valósítja meg |
|---|---|---|
| Fiókadatok | a szerződés fennállásáig, majd az igényérvényesítés elévülési idejéig (Ptk. szerint 5 év) | törlési kérésre azonnali anonimizálás (lásd 2.7.) |
| Számlázási adatok | 8 év (a számvitelről szóló törvény szerint) | jogi kötelezettség, törlési kérésre sem törölhető |
| Alkalmazás- és hozzáférési naplók (technikai) | 30 nap | a felhőszolgáltató naplómegőrzési beállítása |
| Műveleti napló (audit napló: ki, mit, mikor) | 5 év | automatikus, ütemezett törlés |
| Rendszerértesítések | olvasott: 90 nap, olvasatlan: 180 nap | automatikus, ütemezett törlés |
| Jogi dokumentumok elfogadása | a szerződés megszűnését követő elévülési időig | fióktörléskor sem törlődik — ez maga a bizonyíték |
| Biztonsági mentések | 30 nap | az adatbázis-szolgáltató automatikus mentései |
| Ügyfél által rögzített páciensadatok | az Ügyfél mint adatkezelő döntése és a rá vonatkozó megőrzési szabályok szerint | a Szolgáltató adatfeldolgozóként az Ügyfél utasítására töröl vagy anonimizál |
| Az Ügyfél teljes adatállománya a szerződés megszűnése után | 60 nap, majd törlés | az Adatfeldolgozási feltételek 3.8. pontja |
A biztonsági mentések miatt a törlés a mentésekből legfeljebb a fenti mentési időtartam elteltével érvényesül teljeskörűen; a mentésekből visszaállított adatokon a törlést a Szolgáltató ismételten végrehajtja.
2.7. Érintetti jogok
Az érintettet megilleti a hozzáféréshez, helyesbítéshez, törléshez, adatkezelés korlátozásához, tiltakozáshoz és adathordozhatósághoz való jog a vonatkozó GDPR szabályok szerint.
A Szolgáltató a kérelmet a beérkezéstől számított egy hónapon belül teljesíti; a határidő a kérelem összetettségére tekintettel további két hónappal meghosszabbítható, amiről a Szolgáltató a kérelem beérkezésétől számított egy hónapon belül tájékoztat. A kérelem teljesítése díjmentes, kivéve, ha a kérelem egyértelműen megalapozatlan vagy — különösen ismétlődő jellege miatt — túlzó.
Hogyan gyakorolhatók ezek a jogok a gyakorlatban
Saját fiókjával kapcsolatban (itt a Szolgáltató az adatkezelő) a felhasználó a szolgáltatásban közvetlenül, kérelem és várakozás nélkül intézkedhet:
- Hozzáférés és adathordozhatóság: a fiókban tárolt személyes adatok gépi olvasható (JSON) formában letölthetők. Tartalma: fiókadatok, szervezeti tagságok, az elfogadott jogi dokumentumok.
- Törlés: a fiók véglegesen törölhető. Ekkor a név, e-mail cím, telefonszám, jelszó és szállítási cím helyére azonosításra nem alkalmas érték kerül minden olyan helyen is, ahol azt a rendszer korábban lemásolta (üzenetek szerzője, műveleti napló szereplője, szállítási címzett).
- Korlátozás: a fiók visszafordíthatóan inaktiválható a törlés helyett.
- Tiltakozás: a jogos érdeken alapuló adatkezelések ellen a 2.1. pont szerinti e-mail címen.
Nem törölhető, mert jogszabály írja elő vagy mert nem a felhasználó rendelkezik felette:
- a számlázási adatok (számviteli megőrzési kötelezettség),
- a műveleti napló ténye (a jogszerűség igazolhatósága; a naplóból viszont a név és e-mail cím eltűnik),
- a jogi dokumentumok elfogadásának ténye (ez maga a bizonyíték arra, hogy az adatkezelés jogszerű alapon történt),
- a kezelési dokumentáció, amelynek adatkezelője az Ügyfél (rendelő/labor).
Ismert korlát. Más felhasználók postafiókjában lévő értesítések és a munkákhoz tartozó, ember által írt üzenetek szövege megnevezheti a törölt felhasználót. Az értesítések a fenti megőrzési idők alatt automatikusan törlődnek; a szabad szöveges üzenetek tartalma technikailag nem szűrhető.
Páciensadatokkal kapcsolatban a kérelmet ahhoz az Ügyfélhez (rendelőhöz, laborhoz) kell benyújtani, amely az adatokat rögzítette — a Szolgáltató itt adatfeldolgozó, és csak az Ügyfél utasítására járhat el. Ha ilyen kérelem közvetlenül a Szolgáltatóhoz érkezik, a Szolgáltató azt érdemi válasz nélkül továbbítja az érintett Ügyfélnek, és erről a kérelmezőt tájékoztatja. A Szolgáltató az Ügyfél számára biztosítja a teljes páciensdokumentáció kiadását és a páciens azonosító adatainak visszafordíthatatlan törlését (anonimizálás), utóbbinál a kezelési dokumentáció a jogszabályi megőrzési kötelezettség miatt megmarad.
Panasz benyújtható a NAIH-hoz is, amely Magyarország felügyeleti hatósága, továbbá az érintett bírósághoz fordulhat (a per a lakóhelye szerinti törvényszék előtt is megindítható).
Nemzeti Adatvédelmi és Információszabadság Hatóság — 1055 Budapest, Falk Miksa utca 9-11., ugyfelszolgalat@naih.hu, https://naih.hu
2.8. Adatbiztonság
A Szolgáltató megfelelő technikai és szervezési intézkedésekkel védi az adatokat, különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisülés ellen.
A Szolgáltató által ténylegesen alkalmazott intézkedések:
- Titkosítás: minden kapcsolat HTTPS-en; az adatbázis és a képtároló titkosított tárolást használ; az adatbázis csak titkosított kapcsolatot fogad el.
- Hálózati elszigetelés: az adatbázis és a gyorsítótár nem érhető el az internetről, kizárólag az alkalmazás privát hálózatából.
- Szerepkör alapú hozzáférés, szervezetenként külön (OWNER / ADMIN / DENTIST / TECHNICIAN); minden végpont jogosultsági ellenőrzésen keresztül működik, és a szervezetek adatai el vannak szigetelve egymástól.
- Jelszavak csak egyirányú, sózott hash formában tárolva; a munkamenetek azonnal visszavonhatók.
- Belépési védelem: ismételt hibás belépés után zárolás, a hitelesítési végpontokon kérésszám-korlátozás.
- Műveleti napló: minden lényeges módosítás visszakereshető (ki, mit, mikor).
- Mentés és helyreállítás: automatikus napi mentés, 30 napon belül bármely időpontra visszaállítható állapot; a visszaállítás működése próbával ellenőrzött.
- Riasztás: a rendszer hibáiról és rendellenességeiről automatikus értesítés érkezik, így az esetleges incidensek észlelése nem a felhasználói bejelentésen múlik.
- Képek: a feltöltött felvételek nem nyilvánosak, kizárólag rövid ideig érvényes, egyedi hivatkozáson keresztül érhetők el.
- Változáskezelés: minden kódváltozás automatizált tesztkészleten megy át a szolgáltatásba kerülés előtt.
Ismert korlát: a szolgáltatás jelenleg nem támogat kétfaktoros hitelesítést (2FA). A Szolgáltató ezt a hiányosságot a hatásvizsgálatban dokumentálta, és pótlását a felhasználószám növekedésével tervezi.
2.9. Sütik és helyi tárolás
A szolgáltatás kizárólag a működéshez feltétlenül szükséges sütiket, illetve azzal egyenértékű böngészőoldali tárolást használ:
| Cél | Mit tárol | Meddig |
|---|---|---|
| Bejelentkezett állapot fenntartása | a munkamenet azonosítására szolgáló token | a kijelentkezésig, illetve a token lejártáig (hozzáférési token: 1 óra, megújító token: 30 nap) |
| Alapvető felhasználói beállítások | pl. nyelv, felület-beállítás | a törlésig |
A Szolgáltató nem használ analitikai, marketing- vagy közösségi médiához kapcsolódó sütiket, követőkódot, hirdetési azonosítót vagy harmadik feles mérőeszközt. A feltétlenül szükséges tárolás az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése alapján hozzájárulás nélkül alkalmazható, ezért a szolgáltatás nem jelenít meg sütibannert.
Megjegyzés a jövőre nézve: ha a Szolgáltató később analitikai vagy marketingcélú eszközt vezet be, az kizárólag előzetes, kifejezett hozzájárulás alapján történhet, amelyhez sütikezelő felület és e pont módosítása szükséges.
2.10. A tájékoztató módosítása
A Szolgáltató jogosult a jelen tájékoztatót egyoldalúan módosítani, különösen jogszabályváltozás, új funkció bevezetése vagy új adatfeldolgozó bevonása esetén.
A módosításról a Szolgáltató a felhasználókat elektronikus úton és a szolgáltatás felületén értesíti, a hatálybalépést megelőzően. Az érintettek jogait érdemben érintő módosítás esetén a Szolgáltató a tájékoztató új verziójának elfogadását a belépéskor külön is bekéri és rögzíti.
A tájékoztató korábbi verziói a 2.1. pont szerinti e-mail címen kérhetők.