Adatvédelmi szabályzat
Ez az Adatvédelmi szabályzat ismerteti, hogy a MEGZO Integrator Vortex milyen személyes adatokat dolgoz fel, miért, kinek a nevében, valamint hogyan védi és őrzi meg azokat. A platform tényleges technikai kontrolljait tükrözi, ahogy azokat az ICS4BIZ & IT SRL (cégjegyzékszám: 40365405), az adatfeldolgozó üzemelteti.
Szerepünk: adatfeldolgozó
A MEGZO Integrator Vortex integrációs middleware. Az ERP-jét egyetlen igazságforrásként tartjuk, és szinkronizáljuk a termékeket, árakat, készletet és rendeléseket közte és az értékesítési csatornái között. GDPR-fogalmakkal: Ön (az ügyfelünk / a kereskedő) az adatkezelő, a MEGZO pedig adatfeldolgozó, amely az Ön dokumentált utasításai alapján jár el.
Nem állítunk elő, bocsátunk ki vagy nyújtunk be adóügyi vagy jogi számlát, és nem nyújtunk be az e-Factura / ANAF vagy bármely adóhatóság felé. Ahol egy számla-flow engedélyezve van, csak lekérjük az ERP-je vagy számlázó szolgáltatása által már előállított PDF-et, és a vonatkozó csatornarendeléshez csatoljuk.
Milyen személyes adatokat dolgozunk fel
Személyes adat csak azon rendelési payloadok részeként jut el hozzánk, amelyek egy értékesítési csatornából az ERP-jébe áramlanak. Adattakarékosságot gyakorlunk – egyetlen kanonikus marketplace-ügyfél modellt –, és csak azt dolgozzuk fel, amire egy rendelés létrehozásához és teljesítéséhez szükség van:
- Vevőazonosítók: név, valamint a csatorna rendelési / ügyfél-referenciája.
- A teljesítéshez szükséges elérhetőségi adatok: e-mail és/vagy telefon, ahol a csatorna megadja.
- Szállítási és (ahol releváns) számlázási cím.
- Rendelési sortartalom: termékek, mennyiségek, árak, deviza, valamint rendelés- és szállítmánystátusz.
Nem keresünk különleges kategóriájú adatokat, és nem tárolunk fizetésikártya-adatot – a fizetést a csatorna és az Ön fizetési szolgáltatói kezelik, nem a MEGZO.
Miért dolgozzuk fel (cél & jogalap)
A rendelési PII-t egyetlen célból dolgozzuk fel: hogy elvégezzük az Ön által megbízott integrációs szolgáltatást – egy csatornarendelést Sales Orderré alakítva az ERP-jében, szinkronizálva a készletet és az árakat, csatolva az ERP-je által előállított számla PDF-et, és visszaadva a követési/AWB-adatokat. A jogalap az adatkezelő-adatfeldolgozó viszony: az Ön utasításai és az Önnel megállapodott adatfeldolgozási feltételek (lásd az Adatfeldolgozási megállapodásunkat) alapján járunk el.
Alfeldolgozók
A szolgáltatást kisszámú, rögzített infrastruktúra-alfeldolgozói körön üzemeltetjük. Nem adunk el adatot, és nem osztjuk meg reklám- vagy analitikai harmadik felekkel.
| Alfeldolgozó | Cél | Régió |
|---|---|---|
| Cloudflare, Inc. | Edge compute & storage (Workers, R2 blob, Queues, Durable Objects, Hyperdrive) | Global (EU data localization available) |
| Neon, Inc. | Managed PostgreSQL control-plane database (accessed via Cloudflare Hyperdrive) | EU region |
Az üzleti adatai az ERP-jében maradnak; a vezérlősík-adatbázis csak konfigurációt, kapcsolatokat és üzemeltetési metaadatot tárol. Egy alfeldolgozó hozzáadását vagy módosítását rögzítjük, és a DPA szerint elérhetővé tesszük az adatkezelők számára.
Megőrzés & törlés
Átfolyó motor vagyunk, nem adattárház: a rendelési PII-t egy szinkron befejezéséhez dolgozzuk fel, és nem őrizzük meg önálló archívumként. Az egyetlen hely, ahol egy payload fennmaradhat, a dead-letter queue (DLQ), amely egy sikertelen szinkron újrapróbálására vagy vizsgálatára szolgál – és ezt automatikusan ürítjük.
- DLQ payload-ürítés: a sikertelen üzenetek payloadjait gördülő ütemezés szerint töröljük. A megőrzési ablakot kódban érvényesítjük (
DLQ_RETENTION_DAYS), alapértelmezésben 30 nap; az auditmetaadat (a PII-t hordozó törzs nélkül) nyomonkövethetőség céljából megőrizhető. - Naplók: soha nem naplózunk kéréstörzset, hitelesítő adatot, tokent vagy auth-fejlécet – csak referenciákat és hash-eket –, így a naplók nem válnak a személyes adatok másodlagos tárolójává.
- Megszűnéskor: a szolgáltatás végén a tenantjéhez kötött vezérlősík-rekordokat a DPA visszaadási és törlési feltételei szerint töröljük.
Hogyan védjük
A biztonság a platformba van építve, nem utólag rácsavarozva:
- Titkosítás nyugalmi állapotban: a hitelesítő adatokat AES-256-GCM-mel pecsételjük le; a mesterkulcs a Worker Secretsben él, a tenant-szintű titkosított adat pedig az adatbázisban. A titkokat kizárólag a memóriában, a felhasználás pontján fejtjük vissza, soha nem naplózzuk, soha nem tároljuk titkosítatlanul, és soha nem adjuk vissza a felületre.
- Titkosítás átvitel közben: minden forgalom – a csatornák felé, az ERP-je felé és az admin-felületünk felé – TLS-en fut.
- Tenant-izoláció: az adatbázis tenantra kulcsolt sorszintű biztonságot (RLS) érvényesít, így az egyik ügyfél adata nem érhető el a másik kontextusából.
- Webhook-hitelesség: minden bejövő webhookot HMAC-kel ellenőrzünk a határon (Standard Webhooks – id/időbélyeg/aláírás replay-ablakkal), mielőtt bármit feldolgoznánk; a nem hitelesített hívásokat elutasítjuk.
- Legkisebb jogosultság & zárolt admin: az admin felület Cloudflare Access mögött, zárolt Content-Security-Policyvel fut; a szolgáltatási hitelesítő adatok csak arra korlátozottak, amire az egyes integrációknak szükségük van.
Érintetti jogok
Mivel adatfeldolgozók vagyunk, az érintettek (a rendelések mögötti vevők) jogaikat rendszerint annál a kereskedőnél gyakorolják, aki nekik értékesített – az adatkezelőnél. Amikor Ön mint adatkezelő hozzáférési, helyesbítési, törlési, korlátozási, hordozhatósági vagy tiltakozási kérelmet kap, segítünk Önnek teljesíteni azt minden olyan adatra nézve, amelyet az Ön nevében dolgozunk fel, beleértve a PII-t hordozó payloadok megtalálását és törlését. Ilyen kérelem irányításához vegye fel a kapcsolatot: office@megzo.biz.
Nemzetközi adattovábbítás
Infrastruktúra-alfeldolgozóink globálisan működnek, a vezérlősík-adatbázishoz EU-régiókat használunk. Ahol az adat az EGT-n kívülre kerül, azt az alfeldolgozók saját adattovábbítási mechanizmusai (például az EU általános szerződési feltételek) fedik le. A konkrét adattovábbítási mechanizmusokat és bármely ügyfél által kért adatlokalizációt az ügyfélenkénti DPA-ban erősítjük meg.
Kapcsolat
Kérdések e dokumentumról vagy egy érintetti / adatkezelői kérelemről: office@megzo.biz. A fent leírtak szerint válaszolunk, és a kérelmeket a felelős operátorhoz irányítjuk. Adatkezelő és szolgáltató: ICS4BIZ & IT SRL (operator of MEGZO Integrator Vortex, company reg. no. 40365405).