Adatkezelési tájékoztató

Zéró Számla (Zero) Verzió: 1.0-draft
Hatályos: Ellenőrzés alatt
Korábbi változatok: Ellenőrzés alatt

Ez a tájékoztató elmondja, milyen személyes adatokat kezel a Zéró Számla (röviden: Zero), miért, mennyi ideig, kinek adjuk át őket, és milyen jogaid vannak. Az (EU) 2016/679 rendelet (GDPR) 13. és 14. cikke, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján készült.

Röviden

• A Zero számlázó, amelyet a saját AI-asszisztensedből használsz. A Zero szerverei nem hívnak AI-t, és nem látják a beszélgetéseidet. Csak azt kapják meg, amit az AI-asszisztensed egy eszközhívásban átküld.
• Az adatokat az Európai Unióban, a Scaleway párizsi adatközpontjában tároljuk, titkosítva. Az üzemeltető cég amerikai, ezért a 7. pontban leírjuk, mit jelent ez.
• A számláidon szereplő adatoknál (vevők, partnerek) te vagy az adatkezelő, mi az adatfeldolgozód. A fiókod adatainál mi vagyunk az adatkezelő.
• A kiállított számlákat a törvény miatt 8 évig megőrizzük, akkor is, ha törlöd a fiókodat. A teljes adatállományodat bármikor letöltheted.
• Nem használunk analitikai vagy hirdetési sütit, nem adjuk el az adataidat, és nem profilozunk.
• Az üzemeltető DEROR, LLC uniós GDPR-képviselője az írországi Euverify Limited. Adatvédelmi ügyben hozzá is fordulhatsz (1. pont).

---

1. Ki kezeli az adataidat

Uniós képviselő (GDPR 27. cikk)

A DEROR, LLC az Európai Unióban nem rendelkezik telephellyel, ezért a GDPR 27. cikke szerint írásban uniós képviselőt jelölt ki. A képviselő az uniós érintettek és a felügyeleti hatóságok kapcsolattartója minden, a GDPR-hoz kapcsolódó ügyben. Hozzá is fordulhatsz, ha nem közvetlenül nekünk szeretnél írni.

• Képviselő: Euverify Limited, Unit 3D North Point House, North Point Business Park, New Mallow Road, Cork, T23 AT2P, Írország
• Kérelem benyújtása a képviselőnél: a képviselő igazolási oldalán, a „Submit a Request” gombbal: https://gdpr.euverify.com/verify/86756d40-f030-48d6-94cc-6bc25d05c19b
• A kijelölés ellenőrzése: ugyanezen az oldalon a képviselő nyilvánosan igazolja, hogy a DEROR, LLC uniós GDPR-képviselője (igazolásszám: EV103205, 2026. június 12. óta, a lap szerint aktív).

Az igazolás azt tanúsítja, hogy a 27. cikk szerinti képviselő kijelölése megtörtént. Nem tanúsítja, hogy a Zero adatkezelése minden tekintetben megfelel a GDPR-nak; ezért mi felelünk, ahogy ez a tájékoztató leírja. A képviselő kijelölése a mi felelősségünket nem érinti (GDPR 27. cikk (5) bekezdés).

Ellenőrzés alatt

2. Ki miért felel: a szerepek

A Zero működése közben több szereplő is kezel adatot. Mindegyiküknek más a felelőssége.

3. Amit a nevedben, adatfeldolgozóként kezelünk

Amikor a Zeróval számlát állítasz ki, a vevőid és partnereid adatait te kezeled, a saját jogi kötelezettséged (számlázás, megőrzés) teljesítéséhez. Mi ezeket az adatokat csak a te utasításodra, a szolgáltatás nyújtásához dolgozzuk fel, saját célra nem használjuk, nem elemezzük és nem adjuk el.

• Érintett adatok: a vevők és partnerek neve, címe, adószáma, e-mail-címe, bankszámlaszáma (ha megadod), a számlák tételei és összegei; a NAV-ból lekérdezett, neked kiállított (bejövő) számlák adatai; a vevői számlaoldal megtekintésének adatai (időpont, megnyitások száma).
• Az adatfeldolgozás szabályai: az Adatfeldolgozási szerződés Ellenőrzés alatt (GDPR 28. cikk), amely az ÁSZF része. Ellenőrzés alatt
• Megőrzés: a kiállított bizonylatokat és adataikat legalább 8 évig, módosíthatatlan archívumban őrizzük, mert a számviteli bizonylatokat ennyi ideig meg kell őrizni (Sztv. 169. § (2)); utána automatikusan töröljük. A ki nem állított számlavázlatokat Ellenőrzés alatt. A partneradatokat, amíg nem törlöd őket vagy a fiókodat.
• Mit kell tenned: a saját adatkezelési tájékoztatódban nevezd meg a Zerót adatfeldolgozóként. Ehhez kész, bemásolható szövegrészeket adunk. Ellenőrzés alatt

Ha a vevőd vagy partnered minket keres meg az adatai miatt, a kérését továbbítjuk hozzád, és segítünk teljesíteni.

4. Az AI-asszisztensed: mi megy hova

Ez a rész azért fontos, mert a Zero másképp működik, mint egy hagyományos számlázó.

Mit kap meg a Zero. Az AI-asszisztensed a beszélgetés alapján eszközhívást küld a Zerónak (például: „készíts számlavázlatot ennek a vevőnek ezekkel a tételekkel”). A Zero csak ezt a strukturált kérést kapja meg. A beszélgetés többi részét, a fájljaidat és a többi bekötött eszközöd adatait nem látja.

Mit küld vissza a Zero. Az eszközhívásra adott választ, például egy számla adatait vagy egy listát. A listákban a lehető legkevesebb adatot küldjük (azonosító, összeg, állapot, dátum, a partner neve); a teljes tartalmat (cím, e-mail, tételek) csak akkor, ha egy konkrét bizonylatot kifejezetten lekérsz. A NAV-kulcsaidat és más titkokat soha nem küldjük az AI-asszisztensnek.

Ki felel azért, ami az AI-szolgáltatónál történik. Az AI-asszisztenst te választod, és a vele kötött szerződésed határozza meg, hogyan kezeli az adatokat (például tanít-e a beszélgetéseiden, hol tárolja őket, meddig). Amikor a Zero az eszközhívásra válaszol, a választ a te utasításodra, a te AI-asszisztensednek adjuk át. Az AI-szolgáltató nem a mi adatfeldolgozónk, és nem mi adjuk át neki az adatot a saját döntésünkből. Az AI-szolgáltató a te szerződésed szerint vagy a te adatfeldolgozód, vagy önálló adatkezelő; ezt az ő feltételei döntik el.

Amit javaslunk. Ha magánszemély vevők adatait is kezeled, használj üzleti AI-előfizetést adatfeldolgozási szerződéssel, vagy kapcsold ki, hogy a szolgáltató a beszélgetéseidből tanuljon. A saját adatkezelési tájékoztatódban az AI-asszisztens használatát is érdemes feltüntetni; ehhez is adunk mintaszöveget.

A hozzáférés naplózott és visszavonható. Minden eszközhívást naplózunk (5.5. pont). A Zero és az AI-asszisztens kapcsolatát bármikor visszavonhatod.

5. Amit adatkezelőként kezelünk

5.1. Fiók és belépés

• Adatok: e-mail-cím; a neved, ha megadod Ellenőrzés alatt; az e-mail-cím megerősítésének adatai; a bekötött AI-kliensek azonosítói és a hozzáférési tokenek (titkosítva vagy lenyomatként tárolva); az ÁSZF elfogadásának ideje és verziója.
• Cél: a fiók létrehozása és működtetése, a belépés, az AI-asszisztens hozzáférésének engedélyezése.
• Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)).
• Megőrzés: a fiók törléséig. A hozzáférési tokenek 1 óráig, a frissítő tokenek legfeljebb 30 napig (összesen legfeljebb 90 napig) érvényesek. Az ÁSZF elfogadásának adatait a szerződés megszűnése után 5 évig őrizzük (Ptk. 6:22. §, elévülés), jogos érdekünk alapján (GDPR 6. cikk (1) f)). Ellenőrzés alatt

5.2. A vállalkozásod adatai és a NAV-kulcsok

• Adatok: a vállalkozás neve, címe, adószáma, bankszámlaszáma, a számlázási beállítások; a NAV technikai felhasználó azonosítója, jelszava, aláíró- és cserekulcsa. Egyéni vállalkozónál ezek személyes adatok.
• Cél: a számlák kiállítása a vállalkozás nevében és a NAV-adatszolgáltatás.
• Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)).
• Megőrzés: a fiók törléséig; a kiállított számlákon szereplő kibocsátói adatok a számlával együtt 8 évig (3. pont). A NAV-kulcsokat a fiók törlésekor azonnal töröljük.
• Védelem: a NAV-kulcsokat titkosítva (AES-256-GCM) tároljuk, kizárólag a biztonságos linken lehet megadni őket, és soha nem kerülnek az AI-asszisztenshez vagy a naplókba.

5.3. Meghívott tagok és könyvelők

• Adatok: a meghívott e-mail-címe, a szerepe és a jogosultságai, a meghívás és az elfogadás ideje.
• Cél: a meghívás kézbesítése és a hozzáférés kezelése.
• Jogalap: a meghívó vállalkozás és a meghívott jogos érdeke a közös munkához (GDPR 6. cikk (1) f)); elfogadás után a meghívottal kötött szerződés (6. cikk (1) b)).
• Megőrzés: a meghívás 14 napig érvényes, az el nem fogadott meghívást ezután Ellenőrzés alatt. A hozzáférés a visszavonásig vagy a fiók törléséig él; a hozzáférés tényét a biztonsági napló az 5.5. pont szerint őrzi.

5.4. Szolgáltatási e-mailek

• Adatok: a címzett e-mail-címe, a levél tárgya és típusa, a kézbesítés állapota.
• Cél: a számla kézbesítése a vevődnek (alapból bekapcsolva, számlánként kikapcsolható), az e-mail-cím megerősítése, a biztonsági és a szolgáltatással kapcsolatos értesítések.
• Jogalap: a fiókoddal kapcsolatos levelezésnél szerződés teljesítése (GDPR 6. cikk (1) b)). A vevőnek küldött számlánál a levél a te nevedben, a te utasításodra megy ki (adatfeldolgozás, 3. pont).
• Megőrzés: a kézbesítési eseményeket 180 napig őrizzük, utána automatikusan töröljük.
• Hírlevél: nem küldünk. Ha a jövőben küldenénk, csak a kifejezett hozzájárulásoddal.

5.5. Biztonsági és hozzáférési napló

• Adatok: IP-cím, böngésző vagy kliens azonosítója (user-agent), a fiók és a vállalkozás azonosítója, a hívás csatornája (például MCP, linkes oldal), a művelet, az időpont és az eredmény.
• Cél: a visszaélések felderítése és megelőzése, a rendszer biztonsága, az adatfeldolgozás elszámoltathatósága (ki, mikor, mihez fért hozzá).
• Jogalap: jogos érdek (GDPR 6. cikk (1) f)): a te adataid és a rendszer védelme. Az érdekmérlegelés eredményét kérésre megküldjük. Ellenőrzés alatt
• Megőrzés: 2 év, utána automatikus törlés. Ellenőrzés alatt

5.6. Hibakövetés

• Adatok: a hiba technikai leírása, időpont, a kérés útvonala. Személyes adatot a hibajelentésből szűrővel eltávolítunk (az IP-cím, a fiókazonosítón kívüli adatok, a kérések tartalma nem kerül át). Ellenőrzés alatt
• Cél: a hibák felderítése és javítása.
• Jogalap: jogos érdek (GDPR 6. cikk (1) f)).
• Megőrzés: Ellenőrzés alatt.

5.7. Kapcsolatfelvétel és panaszok

• Adatok: a neved, e-mail-címed és amit a levélben írsz.
• Cél: a kérdésed megválaszolása, a panasz kezelése.
• Jogalap: jogos érdek (GDPR 6. cikk (1) f)); ha a szerződéssel kapcsolatos, szerződés teljesítése (6. cikk (1) b)).
• Megőrzés: az ügy lezárásától számított 5 évig (Ptk. 6:22. §). Ellenőrzés alatt

5.8. Hozzáférés a törölt fiók archívumához

• Adatok: a törölt fiók e-mail-címének kriptográfiai lenyomata (magát a címet nem őrizzük meg olvasható formában), az egyszer használható kód és a letöltés ideje.
• Cél: hogy a fiók törlése után is letölthesd a megőrzött bizonylataidat.
• Jogalap: jogos érdek (GDPR 6. cikk (1) f)): a megőrzési kötelezettséged teljesítésének segítése.
• Megőrzés: a lenyomatot a bizonylatok megőrzési idejének végéig, a kódot 30 percig őrizzük.

5.9. A vevői számlaoldal látogatói

• Adatok: a megtekintés ideje, IP-cím és böngészőazonosító a biztonsági naplóban; ha az oldal azonosítást kér, a megadott e-mail-cím és az egyszer használható kód. Ellenőrzés alatt
• Cél és jogalap: a számla megjelenítése a kiállító (te) megbízásából (adatfeldolgozás, 3. pont); a visszaélések megelőzése jogos érdekünk alapján (GDPR 6. cikk (1) f)).
• Megőrzés: a biztonsági naplóban 2 év (5.5. pont).

5.10. A weboldal (zeroszamla.hu)

• A weboldal nem használ sütit, analitikát, hirdetési vagy közösségi mérőkódot, és külső betűtípust sem tölt be más szerverről.
• A weboldalt kiszolgáló Cloudflare a kérésekről technikai naplót készít (IP-cím, időpont, kért oldal) a hálózat biztonsága és a támadások kiszűrése érdekében. Jogalap: jogos érdek (GDPR 6. cikk (1) f)). Megőrzés: a Cloudflare szabályai szerint Ellenőrzés alatt.

6. Kinek adjuk át az adatokat

6.1. Adatfeldolgozóink

Minden adatfeldolgozónkkal a GDPR 28. cikke szerinti szerződést kötöttünk. Ellenőrzés alatt

A DigiCert az időbélyeghez kizárólag egy lenyomatot (hash) kap, amelyből a számla tartalma nem állítható vissza. Átláthatósági okból szerepel a listán.

Új adatfeldolgozó bevonása előtt Ellenőrzés alatt nappal e-mailben értesítünk.

6.2. Más címzettek

• NAV: a számlák adatait az Áfa tv. 10. melléklete és a 23/2014. (VI. 30.) NGM rendelet alapján beküldjük a NAV Online Számla rendszerébe. A NAV ezeket saját jogon kezeli.
• A vevőid: a nekik kiállított számlát e-mailben és linken kapják meg.
• Az AI-szolgáltatód: a 4. pont szerint, a te utasításodra.
• A meghívott könyvelőd és munkatársaid: a jogosultságuk szerint.
• Stripe: ha a vevői számlaoldalon bekapcsolod a kártyás fizetést, a vevő a fizetési adatait közvetlenül a te Stripe-fiókodnak adja meg; a kártyaadatok hozzánk nem kerülnek. Ellenőrzés alatt
• Hatóságok: bíróság, ügyészség, nyomozó hatóság vagy más hatóság megkeresésére, ha jogszabály kötelez rá. Az amerikai hatósági megkeresésekről a 7. pontban írunk.

7. Adattovábbítás az Európai Unión kívülre

Hol vannak az adatok. A személyes adatokat nyugalmi állapotban az Európai Unióban, a Scaleway párizsi adatközpontjában tároljuk, titkosítva.

Az üzemeltető amerikai cég. A DEROR, LLC az Amerikai Egyesült Államokban bejegyzett társaság. Ezért a rendszer üzemeltetéséhez szükséges hozzáférés az EU-n kívülről is történhet, és a cég az amerikai jog hatálya alá tartozik, ami elvileg azt is jelenti, hogy amerikai hatóság adatot kérhet tőle. Ezt nem hallgatjuk el. Amit teszünk: az adatokat titkosítva tároljuk; az üzemeltetői hozzáférés naplózott és a szükséges minimumra korlátozott; hatósági megkeresést csak akkor teljesítünk, ha jogilag kötelező, és amennyiben a jog megengedi, értesítünk róla.

Milyen garanciákkal. Az EU-n kívüli hozzáféréshez és továbbításhoz az Európai Bizottság által elfogadott általános adatvédelmi kikötéseket (GDPR 46. cikk (2) c), a 2021/914/EU végrehajtási határozat szerinti szerződési feltételek) alkalmazzuk; a számláid adatainál ezek az Adatfeldolgozási szerződés részei. Ellenőrzés alatt A Cloudflare, Inc. a saját közlése szerint az EU-USA adatvédelmi keret (Data Privacy Framework) szerinti tanúsítására támaszkodik, és ha ez megszűnne, általános adatvédelmi kikötésekre tér át. A DigiCert, Inc. személyes adatot nem kap (6.1. pont), ezért nála adattovábbítás nem történik. A garanciák másolatát kérésre megküldjük.

Ellenőrzés alatt

8. Megőrzési idők összefoglalva

9. Hogyan védjük az adatokat

• titkosított kapcsolat (TLS) minden felületen;
• a titkok (NAV-kulcsok) titkosítva, kulcsrotációval tárolva; titok nem kerül naplóba és nem megy át a beszélgetésen;
• adatbázis-szintű elkülönítés: egy felhasználó lekérdezése technikailag sem érheti el egy másik felhasználó adatait;
• a kiállított bizonylatok módosíthatatlan (WORM) archívumban, bájtra azonosan;
• OAuth 2.1 alapú hozzáférés az AI-asszisztensek számára, visszavonható engedélyekkel;
• minden visszafordíthatatlan művelet előtt előnézet és megerősítés;
• tűzfal, kéréskorlát és bot-szűrés az API és az MCP előtt;
• minden adathozzáférés naplózva;
• naponta titkosított mentés, rendszeres visszaállítási próbával.

Ellenőrzés alatt

Ha adatvédelmi incidens történik, a GDPR 33. és 34. cikke szerint járunk el: 72 órán belül bejelentjük a felügyeleti hatóságnak, ha az a jogaidat kockázatnak teszi ki, és ha a kockázat magas, téged is értesítünk. A te adatfeldolgozódként az általunk észlelt incidensről indokolatlan késedelem nélkül tájékoztatunk.

10. Ha törlöd a fiókodat

1. A törlés előtt le kell töltened a teljes exportot (a bizonylatok PDF-je, strukturált adatai és tartalomjegyzék). A Zero ezt ellenőrzi.
2. A törléskor a fiókadataidat anonimizáljuk, a NAV-kulcsokat, a hozzáféréseket és a munkameneteket töröljük, az AI-asszisztensek engedélyeit visszavonjuk. Ellenőrzés alatt
3. A kiállított bizonylatokat nem töröljük a megőrzési idő végéig. A számviteli bizonylatok megőrzését jogszabály írja elő (Sztv. 169. § (2)), és a GDPR 17. cikk (3) bekezdés b) pontja ezt a törléshez való jog alóli kivételként elismeri.
4. A megőrzött bizonylataidat a törlés után is letöltheted: az archívum oldalán egyszer használható kódot kérhetsz arra a címre, amellyel a fiókod működött.
5. A megőrzési idő lejárta után a bizonylatokat és adataikat automatikusan töröljük.

11. A jogaid

A GDPR alapján a következőket kérheted tőlünk. A kérelmet az info@zeroszamla.hu címre küldheted, vagy az uniós képviselőnknél is benyújthatod (1. pont).

• hozzáférés (15. cikk): megmondjuk, milyen adatodat kezeljük, és másolatot adunk róla;
• helyesbítés (16. cikk): a pontatlan adatot kijavítjuk. A kiállított számla adatai ez alól kivételek: azokat csak módosító vagy sztornó számlával lehet javítani;
• törlés (17. cikk): töröljük az adatodat, kivéve, ha jogszabály a megőrzését írja elő (10. pont);
• korlátozás (18. cikk);
• adathordozhatóság (20. cikk): a teljes exportot gépileg olvasható formában bármikor letöltheted;
• tiltakozás (21. cikk): a jogos érdeken alapuló adatkezelés ellen.

Automatizált döntéshozatal és profilalkotás (22. cikk) nincs: a Zero minden joghatással járó lépést a te megerősítésedhez köt.

A kérelmedre legkésőbb egy hónapon belül válaszolunk; ez indokolt esetben további két hónappal meghosszabbítható, erről a határidőn belül értesítünk. A kérelem teljesítése díjmentes. A kérelem teljesítése előtt ellenőrizhetjük a személyazonosságodat (például a fiókod e-mail-címére küldött kóddal).

Ha a számláidon szereplő adatokkal kapcsolatban a vevőd vagy partnered fordul hozzánk, a kérelmet hozzád továbbítjuk, mert azoknál az adatoknál te vagy az adatkezelő (3. pont).

12. Jogorvoslat

Ha úgy gondolod, hogy megsértettük a jogaidat, először írj nekünk (info@zeroszamla.hu), vagy fordulj az uniós képviselőnkhöz (1. pont), hogy orvosolhassuk. Panaszt tehetsz a felügyeleti hatóságnál is:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
1055 Budapest, Falk Miksa utca 9-11., postacím: 1363 Budapest, Pf. 9.
E-mail: ugyfelszolgalat@naih.hu, web: https://naih.hu

Panaszt tehetsz annak az EU-tagállamnak a hatóságánál is, ahol élsz vagy dolgozol. Bírósághoz is fordulhatsz (GDPR 79. cikk, Infotv. 23. §); a pert a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindíthatod.

13. Gyerekek

A Zero vállalkozásoknak szól. 16 éven aluli személy nem hozhat létre fiókot. Ellenőrzés alatt

14. Sütik és helyi tárolás

A zeroszamla.hu weboldal nem használ sütit.

A linkes oldalakon (app.zeroszamla.hu) csak a működéshez feltétlenül szükséges sütiket használjuk. Ezekhez nem kell hozzájárulás (az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése, az ePrivacy-irányelv 5. cikk (3) bekezdése).

Mindegyik süti HttpOnly és Secure jelölésű, harmadik félhez nem kerül, és nem követ más oldalakon.

Ellenőrzés alatt

15. A tájékoztató módosítása

A tájékoztatót módosíthatjuk, ha a Zero működése vagy a jogszabályok változnak. A lényeges változásokról legalább 15 nappal előre e-mailben értesítünk. A hatályos és a korábbi változatok a zeroszamla.hu oldalon érhetők el.