Adatkezelési tájékoztató

1. Az adatkezelő

Neve:

— még nincs beállítva —

E-mail:

support@lhp.hu

Weboldal:

https://lhp.hu

2. Az adatkezelés célja, jogalapja, és időtartama

3. Kezelt adatok köre

• Azonosító adatok: név, e-mail cím, opcionálisan telefonszám.
• Hitelesítési adatok: jelszó (bcrypt hash formában tárolva), kétlépcsős azonosítás titka, mentési kódok hash-ei, passkey publikus kulcsok.
• Technikai adatok: IP-cím, böngésző-azonosító (User-Agent), bejelentkezés időpontja, eszközazonosító (csak "emlékezzen rám" funkció használata esetén).
• Naplóadatok: bejelentkezés, kijelentkezés, jelszóváltoztatás, e-mail-csere, 2FA-aktiválás/-kikapcsolás, fiókhoz kapcsolódó egyéb biztonsági események.
• Engedélyek: mely külső alkalmazás (OAuth2 kliens) számára engedélyezted a fiókoddal való belépést és milyen adatkörre (scope).
• Csoporttagság: mely belső csoportokhoz tartozol (jogosultságkezelés miatt).
• Nyelvi és felhasználói beállítások: választott nyelv, megjelenési preferenciák.

4. Adatok továbbítása — kapcsolt alkalmazások

A LHP Auth központi bejelentkezést biztosít több, az LHP csoporthoz tartozó alkalmazás számára (a továbbiakban: kapcsolt alkalmazás). Egy kapcsolt alkalmazásba való belépéskor a felhasználó hozzájárulása alapján az adott alkalmazás megkapja a hozzájárulásban feltüntetett adatkört. Ez tipikusan a következőket tartalmazza:

• openid — egyedi, változatlan azonosító (subject), amelyen a kapcsolt alkalmazás felismeri a fiókodat;
• profile — név és felhasználói beállítások;
• email — e-mail cím és megerősítettségi állapot;
• phone — telefonszám és megerősítettségi állapot (csak ha megadtad);
• groups — csoporttagságok (jogosultságkezeléshez).

A kapcsolt alkalmazások önálló adatkezelőként vagy a LHP Auth adatfeldolgozójaként kezelik az átvett adatokat, saját adatkezelési tájékoztatójuk szerint. A jelenleg aktív kapcsolt alkalmazások listája és a hozzájuk tartozó adatkör belépéskor a hozzájárulási képernyőn jelenik meg. A korábban megadott engedélyeket bármikor visszavonhatod a /profile/applications oldalon.

Egyes kapcsolt alkalmazások a SCIM (System for Cross-domain Identity Management) szabvány szerint automatikusan értesülnek a fiókod létrejöttéről és frissítéseiről (provisioning). Erre csak akkor kerül sor, ha az adott alkalmazáshoz a LHP Auth működtetője a SCIM-átadást kifejezetten engedélyezte. SCIM-szinkronizált fiók törlésekor a fiókod a kapcsolt alkalmazásból is deaktiválásra kerül, ugyanakkor az egyedi azonosítód megmarad annak érdekében, hogy egy esetleges későbbi újraprovisioning ne ütközzön összevétel- vagy biztonsági problémákba.

5. Adatfeldolgozók

A LHP Auth működtetése során a következő típusú adatfeldolgozókat vesszük igénybe:

• Tárhelyszolgáltató: a szerver, az adatbázis és a feltöltött fájlok tárolása.
• E-mail kézbesítő szolgáltatás: hitelesítési, jelszó-visszaállítási és értesítő e-mailek küldése.
• Hibadiagnosztikai / monitoring szolgáltatás: működési és biztonsági incidensek felderítése.

A mindenkor igénybe vett adatfeldolgozók pontos listáját és elérhetőségét kérésre, a support@lhp.hu címen biztosítjuk.

6. Az érintett jogai

A GDPR alapján az alábbi jogokkal élhetsz:

• Hozzáférési jog (15. cikk) — letöltheted a rólad tárolt adatokat strukturált JSON formátumban a /profile/privacy oldalon.
• Helyesbítéshez való jog (16. cikk) — neved, e-mail címed, telefonszámod a /profile/personal oldalon módosíthatod.
• Törléshez való jog / "elfeledtetéshez való jog" (17. cikk) — a /profile/privacy oldalon kezdeményezheted a fiókod törlését. A törlés a kérést követő 30 napos visszavonási idő után végrehajtódik. A 30 napon belül egyszerűen visszavonhatod a kérést.
• Adatkezelés korlátozásához való jog (18. cikk).
• Adathordozhatósághoz való jog (20. cikk) — az adatexport tartalmazza a hordozható mezőket gépileg olvasható formátumban.
• Tiltakozáshoz való jog (21. cikk) — a jogos érdeken alapuló adatkezelés ellen tiltakozhatsz a support@lhp.hu címen.
• Hozzájárulás visszavonása — a hozzájáruláson alapuló adatkezelés bármikor visszavonható, a visszavonás nem érinti az addig történt jogszerű adatkezelést.

Kérelmedet legkésőbb 30 napon belül teljesítjük. Ha úgy gondolod, hogy az adatkezelés a jogaidat sérti, panaszt nyújthatsz be a felügyeleti hatóságnál:

Bírósági jogorvoslatra is jogosult vagy a lakóhelyed szerinti törvényszéken.

7. Sütik

A LHP Auth működéséhez kizárólag az alábbi, technikailag feltétlenül szükséges sütiket használjuk (az ePrivacy irányelv és az NMHH gyakorlata szerint ezekhez nem szükséges külön hozzájárulás):

• lhp-auth-session — munkamenet-azonosító, a bejelentkezett állapot fenntartása.
• XSRF-TOKEN — CSRF-támadások elleni védelem.
• Esetenként ideiglenes átirányítási és nyelvválasztási sütik.

Külső analitikai vagy hirdetési süti nem kerül elhelyezésre.

8. Adatbiztonság

A jelszavakat egyirányú, sózott bcrypt algoritmussal tároljuk; a kétlépcsős azonosítás titkait és a passkey privátkulcsokat soha nem ismerjük (a passkey-k esetén csak a publikus kulcs kerül hozzánk). A teljes forgalom TLS-titkosítással utazik. Hozzáférés-felügyelet, audit naplózás, rate limiting és behatolásdetektálás védi a rendszert. Részleteket biztonsági incidens vagy felelős hibabejelentés esetén a security@lhp.hu címen, illetve a /.well-known/security.txt szerint fogadunk.

9. A tájékoztató módosítása

Az adatkezelési tájékoztatót szükség esetén egyoldalúan módosíthatjuk. Lényeges változás esetén a regisztrált felhasználókat e-mailben vagy a belépéskor megjelenő értesítésen keresztül tájékoztatjuk legalább 15 nappal a hatálybalépés előtt.