VibeVox — GDPR Compliance & Adatvédelmi Architektúra

Alapja: Deep Research kutatás #3 — GDPR compliance és architekturális elemzés (2026. április) Referencia dokumentumok: STRATEGY.md · Pricing.md · privacy-policy.html Jogi entitás: Europa Trade Studio LLC (US-bejegyzett)

Tartalomjegyzék

1. A probléma összefoglalása
2. Adatfolyam térkép — ki mit lát?
3. Sub-processor kockázati mátrix
4. A Groq „EU Frankfurt" marketing claim — mi igaz és mi nem?
5. EU Data Residency — lehetséges megoldások és árak
6. Döntés: Azure OpenAI EU mint BYOK opció
7. Controller/Processor mátrix — ki miért felel?
8. EU Képviselő — Article 27 kötelezettség
9. Article 9 — Biometrikus adat kockázat (hangfelvétel)
10. NIS2 direktíva — mikroenterprise kivétel
11. MVCS — Minimum Viable Compliance Set (6 dokumentum)
12. B2B onboarding — Azure EU segítség a prémium ügyfeleknek
13. Privacy Policy jelenlegi állapota és hiányosságai
14. Döntések összefoglalása
15. ROPA — Kettős mátrix (Controller + Processor)
16. DSAR Protokoll és pgAudit implementáció
17. SCC Module 2 — Groq adattovábbítás dokumentáció
18. Breach Notification SOP

1. A probléma összefoglalása

A VibeVox stratégiája három helyen hivatkozik arra, hogy „az adat Európában marad" vagy „GDPR-kompatibilis":

1. STRATEGY.md többszöri hivatkozás: „Frankfurt EU szerver", „Zürich EU szerver", „adat soha nem hagyja el az EU-t"
2. privacy-policy.html: „Not stored permanently on our servers after processing"
3. Marketing tervek: „100% EU Frankfurt szerveren"

A deep research kutatás kimutatta, hogy ezek az állítások részben igazak, részben pontatlanok — és a pontatlanság B2B értékesítésnél blokkol, jogi kockázatot jelent, és a privacy-tudatos CEE fejlesztőket idegenítheti el.

Ez a dokumentum feltárja a pontos helyzetet, a lehetséges megoldásokat, azok költségét és a meghozott döntéseket.

2. Adatfolyam térkép — ki mit lát?

2.1. Managed Cloud mód (Pro előfizetés)

Felhasználó
    │
    ▼ (HTTPS, TLS 1.3)
VibeVox Proxy szerver (Google Cloud VPS, US región)
    │
    ├──► Groq API (hangfelvétel → szöveg)
    │       Groq Inc. (US cég, Frankfurt routing, de DPA megengedi US átvitelt)
    │       Adat: hangfelvétel WAV/WebM (tipikusan 10-360 másodperc)
    │       Megőrzés: Groq DPA szerint „processing only", de nincs explicit törlési garancia
    │
    ├──► Supabase (history, vocabulary, usage szinkron)
    │       Supabase Inc. (US cég, Zürich EU adatközpont - eu-central-2)
    │       Adat: szöveges transzkripció, szókincs, használati statisztikák
    │       Megőrzés: amíg a felhasználó nem törli
    │
    └──► Stripe (fizetés, előfizetés-kezelés)
            Stripe Inc. (US cég, teljes EU DPA + SCC + PCI DSS Level 1)
            Adat: email, számlázási adatok, kártyaadatok (Stripe tokenizelve)
            Megőrzés: jogi kötelezettség szerint (adójog: 7 év)

2.2. BYOK mód (Bring Your Own Key)

Felhasználó
    │
    ├──► KÖZVETLENÜL a felhasználó által választott STT API-hoz
    │       (Groq / OpenAI / Google Gemini / Azure OpenAI)
    │       A VibeVox app csak az API hívást intézi — az API kulcs a felhasználóé
    │       ETS LLC NEM processor ebben a relációban
    │
    ├──► Supabase Zürich (history szinkron — ha bejelentkezve)
    │
    └──► Stripe (ha előfizetés aktív)

2.3. A VibeVox Proxy szerver

A jelenlegi VibeVox proxy (Google Cloud VPS) a Managed Cloud mód kapuja. Fontos megjegyezni:

3. Sub-processor kockázati mátrix

A GDPR 28. cikke értelmében minden sub-processort listázni kell. A felhasználóknak joguk van értesítést kapni, ha sub-processor változik.

Kockázati besorolás

Mitigáció — hogyan kezeljük a Groq 🔴-t?

A Groq a legmagasabb kockázatú sub-processor, mert:

1. Hangfelvétel a legérzékenyebb adattípus (potenciálisan biometrikus, ld. Article 9 szekció)
2. A DPA nem tartalmaz explicit törlési SLA-t a hangfeldolgozás utánra
3. Frankfurt routing ≠ EU data residency garancia

Mitigációs intézkedések:

• Managed Cloud: A VibeVox marketing szövegeit pontosítjuk (ld. 4. szekció)
• BYOK: Az Azure OpenAI EU endpoint mint opció megoldja az EU data residency-t (ld. 6. szekció)
• B2B DPA: A sub-processor listában a Groq explicit „SCC-alapú, EU Frankfurt routing" megjelöléssel kerül

4. A Groq „EU Frankfurt" marketing claim — mi igaz és mi nem?

A jelenlegi állítás

A STRATEGY.md és a marketing tervek többszöri hivatkozása:

• „Adat nem hagyja el az EU-t"
• „Frankfurt EU szerver"
• „GDPR-kompatibilis"

Mi igaz?

Mit mond a GDPR valójában?

Széles körben elterjedt tévhit, hogy a GDPR megtiltja az adat EU-n kívülre küldését. Ez NEM igaz.

A GDPR 46. és 47. cikke azt mondja: adatot LEHET harmadik országba (pl. USA-ba) továbbítani, HA megfelelő biztosítékok vannak. Ezek lehetnek:

• Standard Contractual Clauses (SCC) — az EU Bizottság által jóváhagyott szerződéses garanciák
• EU-US Data Privacy Framework (DPF) — 2023 júliusában az EU Bizottság elfogadta
• Adequacy Decision — az EU kimondta, hogy az adott ország adatvédelmi szintje elegendő

A Groq SCC-vel működik — tehát jogilag GDPR-konform. De a marketing szöveg „adat EU-ban marad" NEM ugyanaz mint „SCC-vel EU-n kívülre is mehet". A kettő közötti különbség az, amit a DPO-k kiszúrnak.

A pontos marketing szöveg (döntés: 2026-04-06)

5. EU Data Residency — lehetséges megoldások és árak

5.1. A négy STT provider összehasonlítása

5.2. Árkülönbség — unit economics hatás

Az OpenAI/Azure Whisper pontosan 3.2× drágább mint a Groq:

200 perc/hó (átlagos user):
  Groq:         $0.37    → €0,34
  OpenAI/Azure: $1.20    → €1,10    ← (3.2× drágább)

1000 perc/hó (power user):
  Groq:         $1.85    → €1,70
  OpenAI/Azure: $6.00    → €5,49    ← (3.2× drágább)

3000 perc/hó (heavy user):
  Groq:         $5.55    → €5,09
  OpenAI/Azure: $18.00   → €16,47   ← (3.2× drágább)

5.3. Managed Cloud margin hatás (ha Azure-ra álltunk volna)

5.4. Gemini 2.5 Flash — potenciális jövőbeli EU managed cloud backend

A Gemini 2.5 Flash a Google Vertex AI EU régiókban (europe-west4, Hollandia) elérhető, és árazása token-alapú (~$0.001-0.002/perc becsült), ami közelíti a Groq árazását.

Előnyök:

• ✅ EU Data Residency (regionális endpoint-tal)
• ✅ Olcsó (Groq-szintű vagy olcsóbb)
• ✅ Google Cloud DPA (robusztus, EU-konform)

Hátrányok:

• 🟡 CEE nyelvi minőség (HU/SK/PL/CS) — benchmarkolás szükséges a Whisper large-v3 ellen
• 🟡 Eltérő API struktúra — pipeline.py módosítást igényel
• 🟡 Token-alapú árazás — a tényleges perc-ár függ a beszéd sűrűségétől

Döntés: Fázis 2-re a Gemini 2.5 Flash EU-s tesztelése bekerül a roadmapbe mint potenciális managed cloud backend, ami lehetővé tenné az „adat 100%-ban EU-ban marad" állítást.

6. Döntés: Azure OpenAI EU mint BYOK opció

A döntés (2026-04-06)

A Managed Cloud backend marad Groq-on (unit economics, ld. 5.3. szekció).

A BYOK provider listába bekerül az Azure OpenAI EU mint negyedik opció — kifejezetten az EU Data Residency-t igénylő B2B ügyfeleknek (ügyvédi irodák, klinikák).

BYOK Provider választó (Fázis 2, Settings → Advanced / Developer tab):

  ○ Groq Whisper       — ⚡ Leggyorsabb, legolcsóbb
                          SCC, EU Frankfurt routing
                          ~$0.00185/perc

  ○ OpenAI Whisper      — 🎯 Legjobb minőség
                          SCC, US processing
                          ~$0.006/perc

  ○ Google Gemini Flash — 🧠 Multimodális
                          EU régió elérhető (Vertex AI)
                          ~$0.001–0.002/perc

  ● Azure OpenAI        — 🔒 100% EU Data Residency
                          Azure EU adatközpont (westeurope / swedencentral)
                          ~$0.006/perc
                          ⚠️ Azure fiók és resource setup szükséges

Miért BYOK-nál és nem Managed Cloud-nál?

A B2B ügyfél (ügyvéd, orvos) profitja ebből

A B2B ügyfél szempontjából az Azure OpenAI BYOK a legtisztább opció:

1. A cég saját Azure fiókjából fut a Whisper — az adat a cég kontrollja alatt marad
2. A DPA a cég és a Microsoft között jön létre — az ETS LLC nem közvetítő
3. Az EU Data Residency a cég Azure konfigurációjából fakad, nem a VibeVox ígéretéből
4. A VibeVox app „csak" az API hívást intézi — mint egy intelligens kliensalkalmazás

Az Azure BYOK regisztráció nehézsége — és hogyan oldja meg a B2B support

Az Azure OpenAI regisztráció bonyolultabb mint a Groq vagy OpenAI:

1. Azure fiók létrehozása
2. Azure OpenAI resource létrehozása (eu-west / swedencentral régió!)
3. Whisper model deploy-ja a resource-ban
4. API kulcs + Endpoint URL másolása
5. VibeVox Settings → Advanced → Azure OpenAI → endpoint + key beillesztése

Döntés: A B2B tier (€15–20/szék/hó) tartalmazza a prioritásos onboarding supportot. A support csapat (vagy akár személyes videó hívás) segít az ügyfélnek:

• Azure fiók beállítása EU régióban
• Whisper model deploy
• VibeVox app konfigurálása

Ez nulla fejlesztési cost — csak support-idő, amit a B2B emelt ár bőven fedez. Egy 10 fős ügyvédi iroda esetén a €15/szék/hó = €150/hó. Egy egyszeri 30 perces videó hívás (setup support) = max €20 elvi költség. A maradék 11 hónap tiszta margin.

7. Controller/Processor mátrix — ki miért felel?

A GDPR két fő adatkezelési szerepet definiál:

• Controller (Adatkezelő): meghatározza, MIÉRT és HOGYAN kezelik az adatot
• Processor (Adatfeldolgozó): a Controller nevében végrehajtja az adatkezelést

A VibeVox architektúrája négy különböző kombinációt teremt:

7.1. Szereposztás üzemmódonként

* BYOK módban az ETS LLC nem processzálja a hangot — csak szoftvert biztosít. Ez jogilag közelebb áll a licencárus szerephez, mint a processzorhoz.

7.2. Miért fontos a mátrix?

A jogi dokumentáció (Privacy Policy, DPA, ToS) teljesen más szöveget igényel a négy esetben.

7.3. Teendő

• B2B Managed Cloud DPA: ETS LLC = Processor, dokumentálni kell a Controller jogait (hozzáférés, törlés, audit)
• B2B BYOK DPA: ETS LLC = szoftver-szolgáltató, a DPA scope-ja csökkentett (csak Supabase history/vocab)
• Mindkét DPA-ban: Sub-processor lista, SCC referencia, törlési mechanizmus

8. EU Képviselő — Article 27 kötelezettség

A helyzet

A GDPR 27. cikke előírja: ha egy EEA-n kívül bejegyzett vállalkozás EU-s személyek adatait kezeli, kötelező egy EU-ban lévő képviselőt kijelölni.

Az ETS LLC az USA-ban bejegyzett → Article 27 alá esik.

Mi az EU Képviselő?

Az EU Képviselő a hatóságok és az érintettek EU-s kapcsolattartó pontja. NEM döntéshozó — csak a kommunikációs csatornát biztosítja. Lehet:

• Természetes személy (pl. ügyvéd Belgiumban)
• Erre specializált cég (DataRep, VeraSafe, Prighter)

Költség

Következmény ha nincs

1. GDPR 83. cikk: akár €10 millió bírság (vagy az éves árbevétel 2%-a)
2. B2B DPO-k a Privacy Policy-ban keresik — ha nincs, a szoftver nem kerülhet be a procurement listára
3. Felhasználói panasz esetén a hatóság (pl. NAIH) az EU Képviselőhöz fordul — ha nincs, eljárás indul

Teendő

• Azonnali (P0): DataRep vagy VeraSafe regisztráció (~€200/év)
• Privacy Policy frissítés: EU Képviselő nevének és elérhetőségének feltüntetése
• Erőfeszítés: 1 online form kitöltése + fizetés → 1-2 munkanap

9. Article 9 — Biometrikus adat kockázat (hangfelvétel)

A jogi háttér

A GDPR 9. cikke a különleges kategóriájú adatok (Special Categories) kezelését szabályozza. Ide tartozik a biometrikus adat.

GDPR 4. cikk (14) definíciója:

„Biometrikus adat: természetes személy testi, fiziológiai vagy viselkedési jellemzőiből előállított adatok, amelyek lehetővé teszik az egyedi azonosítást — pl. arc, ujjlenyomat, hang."

Mikor számít a hangfelvétel biometrikus adatnak?

A GDPR-értelmezés szerint a hangfelvétel akkor biometrikus adat, ha az adatkezelés célja a személy egyedi azonosítása a hang alapján.

A VibeVox kockázata

A jelenlegi architektúrában:

1. A felhasználó hangja átmenetileg a Groq API-n tartózkodik feldolgozás közben
2. A Groq DPA nem garantál explicit törlési SLA-t az audio-ra
3. Ha a Groq bármilyen okból megtartja a hangot → a biometrikus adat kockázat emelkedik

Különösen kritikus a B2B orvosi szektorban:

• Ha orvos diktál diagnózist → a hang tartalmaz:
  • Azonosítható egészségügyi adatot (a páciens diagnózisa) — Article 9(1) egészségügyi adat
  • Az orvos hangját — potenciálisan biometrikus
• A DPA-nak explicit módon ki kell térnie erre

Mitigáció

DPA Article 9 kikötés

A B2B DPA-ban az alábbi explicit kikötés szükséges:

Article 9 — Különleges kategóriájú adatok

A Szolgáltató (ETS LLC) tudomásul veszi, hogy a Szolgáltatás használata során
az Ügyfél (Controller) különleges kategóriájú személyes adatokat (GDPR 9. cikk)
dolgoztathat fel, ideértve de nem kizárólag egészségügyi adatokat.

A Szolgáltató kötelezettséget vállal, hogy:
(a) a hangfelvételt kizárólag a transzkripció céljából dolgozza fel,
(b) a hangfelvételt a feldolgozás befejezését követően haladéktalanul törli,
(c) a hangfelvételt nem használja biometrikus azonosítás céljára,
(d) a sub-processorok (Groq Inc., Microsoft Azure) megfelelő biztosítékokat
    nyújtanak a különleges kategóriájú adatok kezelésére.

Az Ügyfél köteles a 9. cikk (2) bekezdés szerint alkalmazandó jogalapot biztosítani
(explicit hozzájárulás vagy az egészségügyi célra vonatkozó kivétel).

10. NIS2 direktíva — mikroenterprise kivétel

Mi a NIS2?

A NIS2 direktíva (2022/2555/EU) a kiberbiztonsági megfelelési keretrendszer, amely 2024 októbere óta tagállami jogban is él. Az EU legfontosabb kiberbiztonsági szabályozása.

Az ETS LLC helyzete

Jó hír: A mikroenterprise kivétel miatt az ETS LLC közvetlenül nem kell NIS2 auditot végeztetnie.

A „compliance by proxy" kockázat

Rossz hír: Ha a VibeVox B2B ügyfelei NIS2-hatálya alá esnek (ügyvédi irodák, klinikák, pénzügyi szervezetek), tőlük elvárás lesz, hogy szállítóik is NIS2-kompatibilisek legyenek — még ha formálisan nem kötelező.

Konkrétan: ha egy lengyel közjegyzői iroda VibeVox-t akar vásárolni, és az iroda maga NIS2 hatálya alá esik, az IT-vezető rákérdez: „Van NIS2 megfelelési nyilatkozatotok?"

Teendő

11. MVCS — Minimum Viable Compliance Set (6 dokumentum)

A Minimum Viable Compliance Set az a dokumentum-csomag, amely minimálisan szükséges ahhoz, hogy egy EU-s GDPR-kötelezett szervezet (ügyvédi iroda, klinika) megvásárolhassa a VibeVox-t.

A 6 kötelező dokumentum

A jelenlegi Privacy Policy hiányosságai

A meglévő privacy-policy.html tartalmaz alapelemeket, de:

Prioritási sorrend

P0 — B2B launch előtt KÖTELEZŐ (blokkol):
  1. ✏️  Privacy Policy frissítése (EU Képviselő, sub-processorok, Controller/Processor)
  2. 📄  DPA template elkészítése (click-wrap, online aláírható)
  3. 📄  Zero Retention Policy dokumentum
  4. 📄  Sub-processor List (önálló PDF, DPA melléklete)
  5. 🍪  Cookie Policy (landing page-hez)

P1 — Első B2B ügyfél előtt:
  6. 📋  ROPA (Article 30) belső dokumentum
  7. 📋  Article 9 kockázatértékelés (orvosi/jogi szektor számára)
  8. 👤  EU Képviselő kijelölése (DataRep/VeraSafe)

12. B2B onboarding — Azure EU segítség a prémium ügyfeleknek

A koncepció

A B2B tier (€15–20/szék/hó) emelt árjáért cserébe a VibeVox aktív support-ot ad az Azure OpenAI EU beállításához. Ez nem automatizálható onboarding — személyes segítség.

Az onboarding flow

1. B2B ügyfél regisztrál a VibeVox-re (landing page / sales)
        │
2. Support felveszi a kapcsolatot — 30 perces videó hívás időpont
        │
3. Videó hívás tartalma:
   a) Azure fiók létrehozása (ha nincs) — EU billing address
   b) Azure OpenAI resource létrehozása → westeurope vagy swedencentral régió
   c) Whisper model deploy a resource-ban
   d) API kulcs + Endpoint URL generálása
   e) VibeVox app konfigurálása (Settings → Advanced → Azure OpenAI)
   f) Teszt diktálás — működik?
        │
4. Follow-up email: DPA + Sub-processor List + Zero Retention Policy csatolva
        │
5. Működik ✅

Költség-haszon

Landing page szöveg (iránymutatás)

A B2B landing page compliance szekciójában:

🔒 100% EU Data Residency — igény szerint

Ha szervezete megköveteli, hogy a hangfelvétele soha ne hagyja el az EU-t, az Azure OpenAI BYOK opciónk teljes EU adatrezidenciát biztosít — westeurope vagy swedencentral régión.

Mi segítünk beállítani: A B2B csomagunk tartalmazza a 30 perces onboarding videó hívást, ahol support csapatunk konfigurál mindent. Egy hívás — és az adatai az EU-ban maradnak.

[DPA letöltése] [Sub-processor Lista] [Compliance Csomag]

13. Privacy Policy jelenlegi állapota és hiányosságai

Referencia: privacy-policy.html

A jelenlegi Privacy Policy (hatályos: 2026. április 1.) alapvető elemeket tartalmaz, de a kutatás alapján az alábbi frissítések szükségesek:

14. Döntések összefoglalása

Elfogadott döntések (2026-04-06)

Nyitott kérdések

1. EU Képviselő: ✅ DataRep választva (2026-04-10) — következő lépés: regisztráció
2. A DPA-t ki írja meg? Sablon kész (§3 08_Compliance.md) + lengyel/cseh ügyvédi felülvizsgálat (€800-1500) szükséges a Tajemnica Zawodowa kompatibilitáshoz
3. Gemini Flash CEE benchmark: Mikor és hogyan teszteljük HU/SK/PL/CS nyelven?
4. Privacy Policy HTML redesign: A jelenlegi „Android" badge → multi-platform privacy policy kell
5. VPS geolokáció: A jelenlegi US VPS-t EU-ba érdemes-e áthelyezni a B2B marketing erősítése érdekében?
6. pgAudit soft delete audit: sync.py deleted_at mező megvizsgálandó — fizikai törlés garantálva?

Kapcsolódó dokumentumok:

• STRATEGY.md — Üzleti stratégia és fázistervek
• ROADMAP.md — Technikai sprint tracker
• Pricing.md — Árazási részletek és payment gateway döntések
• privacy-policy.html — Jelenlegi Privacy Policy (frissítendő)
• Competitors.md — Versenytárs-elemzés

15. ROPA — Kettős mátrix (Controller + Processor)

VibeVox mint Adatkezelő (B2C + belső műveletek):

VibeVox mint Adatfeldolgozó (B2B deploymentek):

Akció: Google Sheets ROPA táblázat összeállítása a fenti mezők alapján. Negyedévente felülvizsgálandó. A DataRep regisztrációhoz feltöltendő 30 napon belül.

16. DSAR Protokoll és pgAudit implementáció

pgAudit aktiválás (Supabase)

-- 1. pgAudit engedélyezése: Supabase Dashboard → Extensions → pgaudit

-- 2. Törlés-audit role létrehozása
CREATE ROLE "erasure_auditor" NOINHERIT;
ALTER ROLE "postgres" SET pgaudit.role TO 'erasure_auditor';
GRANT DELETE ON public.dictation_history TO "erasure_auditor";
GRANT DELETE ON auth.users TO "erasure_auditor";

-- 3. DSAR törlési bizonyíték lekérdezése (audit log export)
SELECT 
    CAST(t.timestamp AS DATETIME) AS timestamp,
    event_message 
FROM postgres_logs AS t
CROSS JOIN UNNEST(metadata) AS m
CROSS JOIN UNNEST(m.parsed) AS p
WHERE event_message LIKE 'AUDIT%DELETE%public.dictation_history%'
ORDER BY timestamp DESC;

DSAR folyamat lépései (SOP)

1. Kérelem fogadása hitelesített emailben
   → Automatikus linkés megerősítő email (NEM személyi igazolvány kérés!)

2. Minden Supabase tábla lekérdezése
   (auth.users, public.profiles, history, vocabulary)

3. Fizikai törlés (nem soft delete!) minden táblában

4. pgAudit log CSV exportálása → compliance archív

5. Stripe ügyfél adat törlése / anonimizálása

6. Visszaigzoló email → audit log csatolható

Akció: pgAudit aktiválás + test deletion + log export validálás (~8-12 óra, €0 költség)

17. SCC Module 2 — Groq adattovábbítás dokumentáció

SCC Annex I — Feldolgozás részletei

SCC Annex II — Technical and Organisational Measures (TOMs)

• TLS 1.3 titkosítás átvitel alatt
• RAM-only ephemerális feldolgozás (nincs diskírtás)
• Groq Zero Retention Policy (verifikkálandó az adott tier-nél)
• VibeVox Proxy: hangfelvétel nem tárolódik — csak transit

TIA védelmi narratíva (FISA 702 / CLOUD Act ellen)

Mivel a VibeVox hangfolyamok kizárólag ephemerálisan dolgozódnak fel (RAM-ban, milliszekundumok alatt) és soha nem kerülnek US lemez-tárolóra, nincs maradékadat egy hatósági szubpéna számára. A BYOK felhasználóknál a VibeVox nem is látja az API kulcsot — a potenciális US kormányzati megkeresés az egyedi felhasználó STT-provider fiókját érintené, nem a VibeVox infrastruktúráját.

Akció: EC SCC Module 2 sablon letöltése → Annex I-II kitöltése → TIA megírása (~6-8 óra, €0 költség) Célfájl: docs/Legal/SCC_Module2_Groq.pdf

18. Breach Notification SOP

Kötelező elemek

1. Adatkezelői szintű értesítés (72 óra): UODO/NAIH felé Art. 33 alapján
2. Közvetlen egyedi email az érintett felhasználóknak (NEM blog, NEM dashboard banner)
3. Az email tartalmazza:
   • Mi történt?
   • Milyen adatok érintettek?
   • Milyen kockázat van?
   • Mit tehet a felhasználó?
4. B2B szektorban: 24-48 óra SLA az ügyfél cégnek (DPA-ba rögzítendő)

Belső döntési fa — mikor kell értesíteni?

Incidensnek minősül-e?
  ├── NEM: Belső dokumentum (mi történt, miért nem kell értesíteni)
  └── IGEN:
        ├── Különleges adat vagy >100 érintett? → 72h UODO értesítés KÖTELEZŐ
        ├── Magas kockázat az érintetteknek? → Egyedi email AZONNAL
        └── B2B ügyfél érintett? → 24-48h ügyfél-értesítés (DPA SLA)

Akció: 1-2 oldalas Breach Notification SOP dokumentum létrehozása: docs/Legal/Breach_Notification_SOP.md (~2 óra, €0 költség)

19. Stripe Tax & Taxually — Adókezelési Sub-processor Architektúra

A két rendszer szerepe

Stripe Tax — mit kezel adatvédelmi szempontból?

A Stripe Tax a checkout folyamat során az alábbi adatokat kezeli:

Vevő által megadott adatok:
  ├── Számlázási cím (ország, irányítószám) → ÁFA-kulcs meghatározásához
  ├── EU VAT szám (opcionális, B2B esetén) → VIES ellenőrzéshez
  └── Tranzakciós összeg → ÁFA kiszámításához

Stripe által generált adatok:
  ├── Adótípus (normál / reverse charge / zero rate)
  ├── Alkalmazott ÁFA-kulcs és összeg
  └── Adójelentés (Taxually-nek továbbítva)

GDPR jogalap: GDPR Art. 6(1)(c) — jogi kötelezettség (EU adójog: OSS/MOSS szabályozás). Az ÁFA adat kezelése NEM igényel külön hozzájárulást — jogi kötelezettség.

Reverse Charge — adatvédelmi aspektus

B2B Reverse Charge esetén a folyamat adatvédelmileg egyszerűbb:

Sub-processor lista frissítés (§3 kiegészítés)

A §3 Sub-processor kockázati mátrixba a Taxually bekerül:

Taxually + Stripe Tax adat megosztási határvonal

Stripe Tax → Taxually adatfolyam:
  ✅ Ország-szintű ÁFA összesítők (pl. PL: €234 ÁFA / hó)
  ✅ Adótípusok (standard / zero / reverse charge bontás)
  ❌ NEM: egyéni vásárló neve, email-je, kártyaadatai
  ❌ NEM: vásárlók személyes azonosítói

Teendők