Adatvédelmi tájékoztató — weakestlink
Utolsó frissítés: 2026. szeptember 29.
Ez a tájékoztató azt írja le, hogyan kezeli a weakestlink azokat a személyes adatokat, amelyeknek maga az adatkezelője. Ha az Ön munkáltatója a weakestlinket használja biztonságtudatossági képzésre, akkor a munkatársak adatai tekintetében a munkáltató az adatkezelő, a weakestlink pedig adatfeldolgozóként jár el — lásd az A. mellékletet.
1. Adatkezelő
A WEAKESTLINK ApS (dán cégjegyzékszám, CVR: 46614011) a weakestlink.io oldalon történő személyesadat-kezelés adatkezelője. Elérhetőség: info@weakestlink.io.
2. Milyen adatokat kezelünk, milyen célból és milyen jogalapon
| Adatok | Cél | Jogalap (GDPR 6. cikk) | Törlés időpontja |
|---|---|---|---|
| Az ügyfél kapcsolattartója (név, e-mail, beosztás) | A szervezet fiókjának létrehozása és kezelése | Szerződés (6. cikk (1) bek. b) pont) | Az ügyfélkapcsolat megszűnésekor |
| Számlázási adatok | Számlázás és könyvelés | Jogi kötelezettség (6. cikk (1) bek. c) pont) | 5 év, a dán számviteli törvény szerint |
| Szervernaplók (IP-cím, időpont) | Üzemeltetés és biztonság | Jogos érdek (6. cikk (1) bek. f) pont) | 90 nap |
| E-mail-cím, ha Ön maga iratkozik fel, hogy értesítést kapjon egy hamarosan megjelenő modulról (AI-Klar, deepfake) | Értesítés küldése Önnek, amikor a modul elérhetővé válik | Hozzájárulás (6. cikk (1) bekezdés a) pont) — hozzájárulását bármikor visszavonhatja, ha ír nekünk | Legkésőbb 12 hónappal a feliratkozás után |
| A Google kattintásazonosítója (klik-id), ha egy Google-hirdetésről érkezik, a kattintás időpontja, valamint az, hogy létrejött-e a fiók, illetve megkezdődött-e a fizetés | Hirdetésmérés: annak megállapítása, hogy egy Google-hirdetés eredményezett-e fióklétrehozást | Jogos érdek (art. 6(1)(f)) — tiltakozhat ellene, lásd a 7. szakaszt | A kattintást követő 90 nap. Ha egy konverziót jelentettünk a Google-nak, azt a jelentést követő 90 nap elteltével töröljük |
| Látogatottsági statisztika: oldalmegtekintések és gombkattintások a böngésző típusával, az eszközzel és az országgal együtt. Sütik nélkül, az IP-címet nem tároljuk | Annak megismerése, mely oldalakat használják, hogy fejleszthessük őket. A statisztika saját szerverünkön fut (Umami), és semmilyen harmadik féllel nem osztjuk meg | Jogos érdek (art. 6(1)(f)) | Összesített statisztikaként tároljuk, név, e-mail-cím és IP-cím nélkül |
Nem kezelünk CPR-számot, és semmilyen különleges adatot (GDPR 9. cikk) sem dolgozunk fel.
3. Mesterséges intelligencia alkalmazása
Mesterséges intelligenciát (az Anthropic Claude modelljét) használunk képzési tartalmak és szimulációs sablonok megírásához — leckékhez, kvízekhez és csalióüzenetekhez — belsőleg, még a közzététel előtt. Az AI-szolgáltatásoknak semmilyen ügyféladatot és semmilyen, az Önök munkatársaira vonatkozó személyes adatot nem továbbítunk, és éles üzemben sem futtatunk AI-t az Önök adatain.
4. Adatfeldolgozók és aladatfeldolgozók
Az alábbi adatfeldolgozókat vesszük igénybe. Az EU/EGT-n kívüli szolgáltatók esetében az adattovábbítás az Európai Bizottság megfelelőségi határozata (EU–U.S. Data Privacy Framework) és/vagy általános szerződési feltételek (SCC) alapján történik:
| Szolgáltató | Szolgáltatás | Ország | Az adattovábbítás jogalapja |
|---|---|---|---|
| Anthropic PBC | Képzési tartalom AI-alapú megírása (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Kimenő tranzakciós és értesítési e-mailek (pl. e-mail-cím megerősítése) | Frankrig | — |
| Cloudflare, Inc. | Hálózat, TLS és DDoS-védelem | USA | DPF/SCC |
A tárolás saját infrastruktúrán, Dániában történik.
Ha kártyával fizetnek, a kártyaadatokat és a fizetési adatokat fizetési szolgáltatónk, a QuickPay (QuickPay ApS, Dánia) és a kártyaelfogadó Clearhaus (Clearhaus A/S, Dánia) kezeli mint önálló adatkezelők a fizetési jogszabályok alapján — nem mint a mi adatfeldolgozóink. A teljes kártyaszámot soha nem kapjuk meg. Erre a kezelésre a QuickPay és a Clearhaus saját adatvédelmi tájékoztatói vonatkoznak.
5. Adattovábbítás
Adatokat csak akkor adunk át, ha ez a szolgáltatás nyújtásához szükséges, ha jogszabály írja elő, vagy ha ehhez hozzájárult. Egyetlen kivétel: ha egy Google-hirdetésen keresztül érkezett hozzánk, a hirdetés klik-id azonosítóját (gclid), az időpontot, valamint azt, hogy létrejött-e vagy ki lett-e fizetve a fiók, továbbítjuk a Google Ireland Ltd. (Google Ads) részére, hogy lássuk, mely hirdetések működnek. Nevet, e-mail-címet és IP-címet nem küldünk. A Google az adatokat továbbíthatja az egyesült államokbeli Google LLC részére. A Google tájékoztatása szerint ez az EU-U.S. Data Privacy Framework alapján történik, amelynek a Google LLC tanúsított résztvevője, egyéb esetben pedig általános szerződési feltételek (SCC) alapján. Adatokat soha nem értékesítünk.
6. Megőrzés és törlés
A konkrét megőrzési határidőket a 2. szakasz táblázata tartalmazza. A számviteli bizonylatokat a dán számviteli törvény alapján az üzleti év végétől számított 5 évig őrizzük meg. Ezt követően az adatokat töröljük vagy anonimizáljuk.
7. Az Ön jogai
Önt megilleti a hozzáférés, a helyesbítés, a törlés, az adatkezelés korlátozása, az adathordozhatóság és a tiltakozás joga (GDPR art. 15–21). Ha hozzájárulását adta, azt bármikor visszavonhatja a jövőre nézve. Írjon nekünk a info@weakestlink.io címre — legkésőbb a megkeresést követő egy hónapon belül válaszolunk. Ha nem szeretné, hogy felhasználjuk a hirdetés klik-id azonosítóját (2. és 5. szakasz), ugyanerre a címre írva tiltakozhat (art. 21) — ekkor töröljük a klik-id azonosítót, és semmit nem jelentünk a fiókjáról a Google-nek. Ha egy ügyfelünk munkatársa, munkáltatójához is fordulhat, amely az adatkezelő (lásd A. melléklet).
8. Panasz
Panasszal fordulhat az adatkezelésünkkel kapcsolatban a dán Datatilsynet hatósághoz (Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk). Magyarországon panaszát a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) is benyújthatja, www.naih.hu.
9. Sütik
Két cookie-t használunk: egy munkamenet-cookie-t a bejelentkezéshez és a biztonsághoz, valamint — ha Ön maga választ nyelvet a nyelvválasztóban — egy cookie-t, amely megjegyzi a választását. Ha egy Google-hirdetésen keresztül érkezik, a hirdetés klik-id azonosítóját a szerverünkön, a munkamenetben tároljuk, hogy jelezni tudjuk a Google-nek, vezetett-e a kattintás fiók létrehozásához (lásd 5. szakasz). Maga a cookie csak egy véletlenszerű munkamenet-azonosítót tartalmaz. Más nyomkövető cookie-t és harmadik féltől származó cookie-t nem használunk, a látogatottsági statisztika (Umami) pedig egyáltalán nem használ cookie-t.
10. Módosítások
A jelen szabályzat lényeges módosításairól a weakestlink.io oldalon és/vagy e-mailben tájékoztatjuk Önöket.
A. melléklet — a szerepkörök megoszlása a munkatársak képzése során
Amikor egy vállalat (az Ön munkáltatója) a weakestlink szolgáltatást használja biztonsági képzésre és phishing-szimulációra, a vállalat minősül adatkezelőnek a munkatársakra vonatkozó adatok tekintetében, és a weakestlink adatfeldolgozóként jár el. Az adatkezelés a regisztrációkor megkötött adatfeldolgozói szerződésben foglalt utasítások szerint történik. Ez a szabályzat ilyenkor csak azokra az adatokra vonatkozik, amelyeknek mi magunk vagyunk az adatkezelői (az ügyfél kapcsolattartási és számlázási adatai, valamint az üzemeltetés).
Phishing-szimulációkat kizárólag dokumentált jogalapon futtatunk (a szervezet hozzájárulása és egy jóváhagyott jogos érdek mérlegelés alapján). A jelentések összesítettek, és csak legalább öt fős csoportokra mutatnak számokat. Az egyes munkatársak eredményeit (kockázati pontszám, kurzusok haladása és szimulációs események) csak a szervezet adminisztrátora láthatja — és a vezetők, ha a szervezet ezt maga bekapcsolja. A cél célzott extra képzés, soha nem kipellengérezés vagy szankció. Az eredményeket az ügyfélkapcsolat idejére őrizzük meg, és annak megszűnésekor az adatfeldolgozási szerződés szerint töröljük. Sosem tároljuk, hogy egy munkatárs mit írt be egy szimuláció során, csak azt, hogy történt egy esemény.