Adatkezelési tájékoztató

1. Az adatkezelő

Adatkezelő

Kiss Industries

Jogi forma

Einzelfirma (svájci egyéni vállalkozás)

Székhely

Sundgauerstrasse 5, CH-4055 Basel, Svájc

UID

CHE-356.644.168

Cégjegyzékszám

CH-270.1.021.210-1

Honlap

fotoai.hu

Kapcsolat adatvédelmi ügyekben

[email protected]

1.1. Európai uniós képviselő (GDPR 27. cikk)

Az EU-ban tartózkodó érintettek és az uniós felügyeleti hatóságok adatkezeléssel kapcsolatos kérdésekben az adatkezelő mellett vagy helyett az alábbi magyarországi képviselőhöz is fordulhatnak:

• AGRO-TÚR Mezőgazdasági Termelő, Kereskedelmi és Szolgáltató Korlátolt Felelősségű Társaság (AGRO-TÚR Kft.)
• Székhely és postai elérhetőség: 5400 Mezőtúr, Felsőrészinyomás 105., Magyarország
• Cégjegyzékszám: 16-09-001984
• Adószám: 10688003-2-16

A képviselő ebben a minőségében kapcsolattartási pont: nem válik a FotóAI adatkezelőjévé, adatfeldolgozójává vagy adatvédelmi tisztviselőjévé; az adatkezelés jogszerűségéért és a kérelmek teljesítéséért továbbra is Kiss Industries felel.

Az adatkezelés során az általános adatvédelmi rendelet (GDPR, (EU) 2016/679), az információs önrendelkezési jogról szóló 2011. évi CXII. törvény (Infotv.) és — a svájci székhelyre tekintettel — a svájci adatvédelmi törvény (revDSG) szerint járunk el. Svájcot az Európai Bizottság megfelelő védelmi szintet biztosító országként ismerte el, ezért az EU-ból a svájci adatkezelőhöz történő továbbításhoz nincs szükség további garanciára.

2. A kezelt adatok és az adatkezelés célja

2.1. Fiók és bejelentkezés

Kezeljük az e-mail-címed, a neved és — Google-bejelentkezésnél — a Google által átadott profilképed, a fiók létrehozásának idejét, a választott csomagodat és a fiókbeállításaidat. Google-bejelentkezésnél a Google a nevet, az e-mail-címet és a profilképet adja át; e-mailes bejelentkezésnél egyszer használatos belépési hivatkozást küldünk a Resenden keresztül. Jelszót nem kérünk és nem tárolunk. Cél: a fiók létrehozása és azonosítása, a Szolgáltatás nyújtása, kapcsolattartás. Jogalap: szerződés teljesítése. Megőrzés: a fiók törléséig.

Új regisztrációkor a nevedet és az e-mail-címedet belső értesítésként az üzemeltető Telegram-csatornájára is elküldjük (jogos érdek: a szolgáltatás működésének és a visszaélések figyelése).

2.2. Feltöltött képek és referenciák

A generáláshoz feltöltött képeket (amelyeken jellemzően te vagy más, hozzájáruló személy látható) nem nyilvános tárhelyen tároljuk, és csak a te fiókodhoz rendeljük. Egy generálás indításakor a prompttal együtt kizárólag az ahhoz a generáláshoz kiválasztott képeket továbbítjuk a generálást végző AI-szolgáltatónak (5. pont). Az arcképeket nem használjuk személyazonosításra, arcfelismerő adatbázist nem építünk belőlük, és saját AI-modellt nem tanítunk velük. Ha más személyről töltesz fel képet, az ő hozzájárulásáért te felelsz (ÁSZF 10. pont). Cél és jogalap: a szerződés teljesítése. Megőrzés: amíg a Könyvtárból nem törlöd, legfeljebb a fiók törléséig; a szerződés megszűnése után, illetve 12 hónap inaktivitás után (élő előfizetés és le nem járt kreditcsomag nélkül) 14 napos előzetes e-mailes értesítést követően töröljük (ÁSZF 13. pont).

2.3. Promptok és létrehozott tartalmak

Tároljuk a promptjaidat, a választott modellt és beállításokat, a generálás állapotát és kreditárát, valamint a létrehozott képeket, videókat és hangfájlokat. A létrehozott képek és videók nehezen kitalálható, egyedi webcímen érhetők el: a Könyvtár csak neked listázza őket, de aki a pontos webcímet ismeri (például mert megosztottad vele), bejelentkezés nélkül is megnyithatja a fájlt. Cél és jogalap: a szerződés teljesítése. Megőrzés: amíg nem törlöd, legfeljebb az ÁSZF 13. pontja szerinti törlésig; a törölt tétel a Kukába kerül, és 30 nap után véglegesen töröljük a tárhelyről.

2.4. Promptjavítás és asszisztens

Ha a promptjavítást vagy az alkotást segítő asszisztenst használod, a beírt szöveget az OpenAI, illetve tartalékként a Google modellje dolgozza fel, és javaslatot ad vissza. A javaslatot te hagyod jóvá; automatikus döntés nem születik.

2.5. Fizetés és számlázás

Vásárláskor a Stripe kezeli a kártyaadataidat — ezeket mi soha nem látjuk és nem tároljuk. Tőlünk a Stripe a nevedet és az e-mail-címedet kapja meg; a Stripe-tól a fizetés állapotát, az összeget, a számlázási nevet, címet és országot (az adó meghatározásához), valamint a számla és az előfizetés azonosítóit kapjuk meg. Cél: a szerződés teljesítése és a számviteli, adózási kötelezettségek (jogalap: szerződés teljesítése, jogi kötelezettség). Megőrzés: a számlázási adatokat az irányadó számviteli és adójogi szabályok által előírt ideig őrizzük meg, a fiók törlése után is.

2.6. Vásárlási nyilatkozatok, elállás

Díjköteles megrendelésenként kezeljük a vásárlás előtt tett külön nyilatkozatok (azonnali teljesítés kérése, az AI-eredmény minőségére vonatkozó eltérés elfogadása) szövegét, elfogadásuk időpontját és eredményét, a nyilatkozatszöveg és az ÁSZF változatát, a megrendelés IP-címét és böngészőazonosítóját (user agent), a Stripe munkamenet- vagy számlaazonosítót, valamint a visszaigazoló e-mail kiküldésének adatait. Előfizetéstől való elállás esetén rögzítjük az érintett vásárlást, a megfizetett összeget, a jóváírt és felhasznált krediteket, a visszatérítés összegét és a Stripe-visszatérítés azonosítóját. Cél: a szerződéskötés, a nyilatkozatok és a jogszabályi kötelezettségek teljesítésének bizonyítása (jogalap: szerződés teljesítése, jogi kötelezettség és jogos érdek). Megőrzés: a kapcsolódó igények elévüléséig, a fiók törlése után is.

2.7. API-kulcsok, MCP és CLI

Az általad létrehozott API-kulcsnak csak a visszafejthetetlen kivonatát és az azonosító előtagját tároljuk, valamint a kulcs utolsó használatának idejét. Ha saját AI-ügynököt csatlakoztatsz, az ügynök a kulcs jogosultságának erejéig lekérdezheti az adataidat (például a Könyvtár tételeit), és azok az ügynököt üzemeltető szolgáltatóhoz jutnak; ebben a viszonyban az a szolgáltató a te partnered, nem a miénk.

2.8. Technikai és biztonsági adatok

A Szolgáltatás biztonsága, a használati korlátok betartatása és a hibakeresés érdekében kezeljük a kérések IP-címét, a böngésző azonosítóját (user-agent) és időpontját, valamint a hibanaplókat. Jogalap: jogos érdek. Megőrzés: a naplókat a tárhely- és hibakövető szolgáltatók megőrzési ideje szerint, a korlátozáshoz használt számlálókat a korlátozási időablak lejártáig tartjuk meg.

2.9. Érdeklődők e-mail-címe

Ha fiók nélkül megadod az e-mail-címedet a honlap feliratkozó mezőjében, azt a forrás megjelölésével rögzítjük, hogy a FotóAI-ról és ajánlatairól tájékoztathassunk. Jogalap: hozzájárulás, amely bármikor visszavonható a [email protected] címen vagy a levelek leiratkozási hivatkozásával. Megőrzés: a hozzájárulás visszavonásáig.

2.10. Ügyfélszolgálat

Ha írsz nekünk, az e-mail-címedet, a neved és a levelezés tartalmát a kérdés megválaszolásához kezeljük (jogalap: szerződés teljesítése, fiók nélküli érdeklődőnél jogos érdek). Megőrzés: a kérdés lezárásáig, illetve jogi igény fennállásáig.

2.11. Automatizált döntés

Rád nézve joghatással járó, kizárólag automatizált döntést és profilalkotást nem végzünk. A generálások automatikus biztonsági szűrője elutasíthat egy promptot vagy képet; ilyenkor krediteket nem terhelünk, és a [email protected] címen emberi felülvizsgálatot kérhetsz.

3. Az adatkezelés jogalapjai

• Szerződés teljesítése (GDPR 6. cikk (1) b)): fiók, bejelentkezés, feltöltések, promptok, létrehozott tartalmak, kreditek, fizetés, ügyfélszolgálat.
• Jogi kötelezettség (6. cikk (1) c)): számviteli és adózási bizonylatok, az elállás teljesítése.
• Jogos érdek (6. cikk (1) f)): a Szolgáltatás biztonsága, a visszaélések megelőzése, hibakeresés, belső riasztások, látogatottságmérés, jogi igények bizonyítása.
• Hozzájárulás (6. cikk (1) a)): az érdeklődői e-mail-cím és a marketingcélú megkeresések. A hozzájárulás bármikor visszavonható; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét.

4. Adatkezelői szerepek

A fiók, a szerződés, a fizetés, a naplók és a Szolgáltatás működése tekintetében Kiss Industries önálló adatkezelő. Ha a Szolgáltatást üzleti célra, más személyek képeivel használod, e képek tekintetében te is adatkezelő vagy, és neked kell rendelkezned az érintettek hozzájárulásával. A Google-bejelentkezésnél a Google, a fizetésnél a Stripe a saját feltételei szerint önálló adatkezelőként is eljárhat.

5. Adatfeldolgozók és címzettek

A Szolgáltatás nyújtásához az alábbi adatfeldolgozókat vesszük igénybe:

• Vercel Inc.

  A honlap és az alkalmazás kiszolgálása (tárhely, szerver nélküli futtatás), a kérések technikai naplózása.

  Adatok: IP-cím, böngészőadatok, a kért oldal, a kérések időpontja; az alkalmazáson átmenő minden adat.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• MongoDB, Inc. (MongoDB Atlas)

  Az alkalmazás adatbázisa.

  Adatok: Fiók-, kredit-, előfizetés-, generálási és naplóadatok, a promptok, a Könyvtár tételeinek adatai.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• Cloudflare, Inc.

  A feltöltött és létrehozott fájlok tárolása (R2, korábbi fájloknál Cloudflare Images), tartalomkiszolgálás (CDN), DNS és hálózati védelem, valamint a nyilvános űrlapokon használt Turnstile robotszűrő.

  Adatok: A feltöltött képek és a létrehozott fájlok; a látogató IP-címe és böngészőadatai.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• Stripe

  A fizetés lebonyolítása (fizetési oldal, kártyaadatok, előfizetés-kezelés, visszatérítés), az adó kiszámítása (Stripe Tax), a számlák és bizonylatok kiállítása és kézbesítése.

  Adatok: Név, e-mail-cím, számlázási cím és ország, a vásárolt termék és összeg; a kártyaadatokat kizárólag a Stripe kezeli.

  Hely, garancia: Európai Unió és Amerikai Egyesült Államok; DPF és SCC

• Resend (Plus Five Five, Inc.)

  Rendszer-e-mailek kézbesítése: belépési hivatkozás, fizetési, sikertelen fizetési és lemondási értesítés, az elállás visszaigazolása, az éves megújulás és a kreditcsomag lejárata előtti emlékeztető.

  Adatok: E-mail-cím, név, a levél tartalma, a kézbesítés naplóadatai.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• Google (Google LLC, Google Ireland Ltd.)

  Bejelentkezés Google-fiókkal (ebben a Google önálló adatkezelő), valamint a Gemini- és Veo-modellek futtatása (kép- és videógenerálás, promptjavítás) a Google API-szolgáltatásán keresztül.

  Adatok: Bejelentkezéskor név, e-mail-cím, profilkép; generáláskor a prompt és az ahhoz csatolt referenciaképek.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• OpenAI (OpenAI, L.L.C. / OpenAI Ireland Ltd.)

  Képgenerálás OpenAI-modellel, a prompt javítása és az alkotást segítő asszisztens.

  Adatok: A prompt és a generáláshoz csatolt referenciaképek; az asszisztensnek írt üzenetek.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• fal (Features and Labels, Inc.)

  Több kép-, videó- és hangmodell, valamint a képeszközök (például háttéreltávolítás, felnagyítás) futtatása; egyes modelleknél tartalék szolgáltató.

  Adatok: A prompt és a generáláshoz csatolt referenciaképek, illetve a feldolgozandó kép.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• BytePlus Pte. Ltd. (BytePlus ModelArk)

  Egyes ByteDance-modellek (Seedance-videó, Seedream-kép) futtatása.

  Adatok: A prompt és a generáláshoz csatolt referenciaképek. A szolgáltató a biztonsági szűrőn fennakadt tartalmat a saját tájékoztatása szerint legfeljebb 180 napig megőrzi.

  Hely, garancia: Szingapúr, Malajzia, Indonézia (megfelelőségi határozat nélküli harmadik országok); általános szerződési feltételek (SCC)

• ElevenLabs (Eleven Labs, Inc.)

  Hanggenerálás (szövegfelolvasás).

  Adatok: A felolvasandó szöveg és a választott hang azonosítója.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

• DataFast (JustShipIt Pte. Ltd.)

  A honlap látogatottságának és a konverziók (például regisztráció, vásárlás) mérése.

  Adatok: Látogató- és munkamenet-azonosító, meglátogatott oldalak, hivatkozó oldal, kampányparaméterek, eszköz- és böngészőadatok, hozzávetőleges hely.

  Hely, garancia: Szingapúr; általános szerződési feltételek (SCC)

• Telegram (Telegram Messenger Inc.)

  Az üzemeltető belső riasztásai és értesítései: új regisztráció, fizetési események, elállás, üzemzavar.

  Adatok: Új regisztrációnál a név és az e-mail-cím; egyéb értesítésekben a belső felhasználói azonosító és az összeg.

  Hely, garancia: Harmadik ország; általános szerződési feltételek (SCC)

• Sentry (Functional Software, Inc.) — ha be van kapcsolva

  Hibakövetés: az alkalmazás hibáinak rögzítése a javításhoz.

  Adatok: A hibához tartozó technikai adatok, a kérés adatai, a belső felhasználói azonosító.

  Hely, garancia: Amerikai Egyesült Államok; EU–USA adatvédelmi keret (DPF) és/vagy általános szerződési feltételek (SCC)

Az AI-szolgáltatók üzleti API-szolgáltatásait használjuk; ezek a szolgáltatók saját feltételeik szerint az API-n keresztül kapott adatokat alapértelmezés szerint nem használják modelljeik tanítására, de a visszaélések kiszűrése érdekében korlátozott ideig megőrizhetik. Mi magunk semmilyen AI-modellt nem tanítunk a feltöltött képeiddel, a promptjaiddal vagy a létrehozott tartalmaiddal.

Személyes adataidat harmadik országba csak megfelelő garanciák mellett (megfelelőségi határozat, EU–USA adatvédelmi keret, az Európai Bizottság általános szerződési feltételei) továbbítjuk. Adataidat nem adjuk el, és nem adjuk át harmadik félnek saját marketingcéljaira.

6. Megőrzési idők összefoglalva

• Fiókadatok, kreditek, beállítások: a fiók törléséig.
• Feltöltött képek, promptok és létrehozott tartalmak: amíg nem törlöd őket, legfeljebb a szerződés végéig, illetve 12 hónap inaktivitásig, ha élő előfizetés és le nem járt kreditcsomag nincs (14 nappal korábbi értesítéssel, ÁSZF 13. pont); a Kukából 30 nap után véglegesen.
• Számlázási adatok és bizonylatok: az irányadó számviteli és adójogi megőrzési idő végéig.
• Vásárlási nyilatkozatok, elállási nyilatkozatok és visszatérítések: a kapcsolódó igények elévüléséig.
• Technikai naplók: a tárhely- és hibakövető szolgáltatók megőrzési ideje szerint.
• Érdeklődői e-mail-cím: a hozzájárulás visszavonásáig.

7. Sütik (cookie-k) és helyi tároló

A FotóAI a következő sütiket és böngészőbeli tárolókat használja:

• Bejelentkezés (szükséges): a NextAuth munkamenet-sütije (next-auth.session-token, legfeljebb 30 napig), CSRF-védelmi sütije (next-auth.csrf-token) és a belépés utáni visszairányítást tároló sütije (next-auth.callback-url); éles környezetben „__Secure-”, illetve „__Host-” előtaggal. Ezek nélkül a bejelentkezés nem működik.
• Sütihozzájárulás (szükséges): fotoai_cookie_consent, a választásod a sütikről, legfeljebb 1 évig.
• Látogatottságmérés (DataFast): a DataFast szkriptje csak a hozzájárulásod után töltődik be. Ekkor látogató- és munkamenet-azonosítót tartalmazó sütit helyez el a böngészőben (datafast_visitor_id, datafast_session_id), hogy a látogatások és a konverziók összesíthetők legyenek.
• Gyors Google-bejelentkezés (Google One Tap): ha bejelentkezés nélkül jársz az oldalon, és a sütibeállításoknál a Marketing kategóriát is elfogadtad, betöltjük a Google bejelentkezési szkriptjét (accounts.google.com), amely felajánlja a belépést a Google-fiókoddal. A szkript a Google saját sütijeit használhatja; ezekre a Google tájékoztatója vonatkozik. Hozzájárulás nélkül nem töltődik be.
• Hálózati védelem (Cloudflare): a Cloudflare a robotszűréshez és a támadások kivédéséhez biztonsági sütit (például __cf_bm) helyezhet el.
• Helyi tároló (localStorage, sessionStorage): a felület állapotát tárolja a böngésződben — például az árlapon választott havi/éves nézetet, az értesítési beállításokat, a félbehagyott prompt piszkozatát és a Könyvtár nézetét. Ezek nem kerülnek hozzánk, és a böngészőből törölhetők.

A Stripe fizetési oldala és a Google bejelentkezési oldala a saját domainjükön, saját sütiket használnak; ezekre a Stripe, illetve a Google tájékoztatója vonatkozik. Hirdetési vagy közösségimédia-követő sütit nem használunk. A már elhelyezett sütiket a böngésző beállításaiban bármikor törölheted.

8. Adatbiztonság

Az adatokat titkosított kapcsolaton (HTTPS) keresztül továbbítjuk. A feltöltött képek nem nyilvános tárhelyen vannak, a feltöltés rövid ideig érvényes, aláírt hivatkozással történik. Az API-kulcsokból csak visszafejthetetlen kivonatot tárolunk, a szolgáltatói titkos kulcsokat titkosított környezeti változókban tartjuk. Hozzáférés csak annak van, akinek a feladatához szükséges. Adatvédelmi incidens esetén a GDPR szerint járunk el, és ha az rád nézve magas kockázattal jár, közvetlenül is értesítünk.

9. A jogaid

A GDPR alapján jogosult vagy:

• tájékoztatást és hozzáférést kérni az adataidról (15. cikk);
• a pontatlan adataid helyesbítését kérni (16. cikk);
• az adataid törlését kérni („elfeledtetéshez való jog”, 17. cikk);
• az adatkezelés korlátozását kérni (18. cikk);
• az adataidat géppel olvasható formátumban megkapni (adathordozhatóság, 20. cikk);
• a jogos érdeken alapuló adatkezelés ellen tiltakozni (21. cikk);
• a hozzájárulásodat bármikor visszavonni.

Az adataid letöltését és a fiókod törlését a Beállítások › Adataim oldalon kezdeményezheted; minden más kérelmet a [email protected] címen fogadunk. Indokolatlan késedelem nélkül, legfeljebb egy hónapon belül válaszolunk; ez összetett kérelemnél további két hónappal meghosszabbítható, amiről egy hónapon belül tájékoztatunk.

A fiók törlésével a fiókadatokat, a kreditegyenleget, a feltöltött képeket és a létrehozott tartalmakat töröljük. A jogszabály alapján kötelezően megőrzendő adatok (számlázási bizonylatok) és a jogi igények bizonyításához szükséges adatok (elállás, 2.6. pont) a rájuk irányadó megőrzési idő végéig megmaradnak. A fiók törlése a szerződést megszünteti, további díjat nem számítunk fel, a fel nem használt kredit elvész, önkéntes visszatérítés nincs; a 14 napon belüli elállás ettől függetlenül az ÁSZF 9. pontja szerint gyakorolható.

10. Kiskorúak

A FotóAI-t kizárólag 18. életévüket betöltött személyek használhatják, és kiskorúról kép nem tölthető fel. Ha tudomásunkra jut, hogy kiskorú hozott létre fiókot, vagy kiskorút ábrázoló kép került fel, a fiókot és az adatokat töröljük.

11. Jogorvoslat

Ha úgy érzed, hogy az adatkezelésünk sérti a jogaidat, először nálunk érdemes jelezned a [email protected] címen. Emellett panaszt tehetsz a felügyeleti hatóságnál:

• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) — 1055 Budapest, Falk Miksa utca 9–11.; levelezési cím: 1363 Budapest, Pf. 9.; naih.hu
• Svájci Szövetségi Adatvédelmi és Információs Biztos (FDPIC/EDÖB) — edoeb.admin.ch

Bírósághoz is fordulhatsz: a pert választásod szerint a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindíthatod.

12. A tájékoztató módosítása

A tájékoztatót időről időre frissítjük (például új adatfeldolgozó bevonásakor). A lényeges változásokról e-mailben vagy az alkalmazásban értesítünk. A mindenkor hatályos változat a fotoai.hu/privacy-policy címen érhető el; a Szolgáltatás használatának feltételeit az ÁSZF tartalmazza.