DEÁK INFÓ

Adatvédelmi, adatbiztonsági, sütikezelési
és belső felhasználási szabályzat

1.0. verzió

Belső, bejelentkezéshez kötött intézményi rendszer

1. A szabályzat célja és hatálya

A szabályzat célja, hogy meghatározza a Deák infó zárt, belső intézményi rendszer használatának adatvédelmi, adatbiztonsági, hozzáférési, megőrzési és felhasználási szabályait, továbbá közérthető tájékoztatást adjon az érintett munkatársak személyes adatainak kezeléséről.

A szabályzat személyi hatálya kiterjed a rendszer valamennyi felhasználójára, különösen az igazgatóra, az igazgatóhelyettesekre, munkaközösség-vezetőkre, pedagógusokra, NOKS-munkatársakra, technikai dolgozókra, karbantartókra és rendszeradminisztrátorokra.

A szabályzat tárgyi hatálya kiterjed a Deák infó és Deák Fókusz modulokban kezelt felhasználói fiókokra, jogosultságokra, munkaközösségi és osztálykapcsolatokra, naptári eseményekre, munkatervekre, beszámolókra, gyorsfeljegyzésekre, belső üzenetekre, feladatokra, javítási és asszisztensi beosztásokra, csatolmányokra, műveleti naplókra és biztonsági mentésekre.

2. Alapelvek és fogalmak

Az adatkezelés során az intézmény a GDPR 5. cikkében meghatározott alapelvek szerint jár el: jogszerűség, tisztességes eljárás és átláthatóság; célhoz kötöttség; adattakarékosság; pontosság; korlátozott tárolhatóság; integritás és bizalmas jelleg; elszámoltathatóság.

3. Az adatkezelő, kapcsolattartó és adatfeldolgozó

Tárhelyszolgáltató és adatfeldolgozó: RACKFOREST Zrt., 1132 Budapest, Victor Hugo utca 11., 5. emelet B05001; adószám: 32056842-2-41; telefon: +36 1 211 0044.

A WordPress alapértelmezett levélküldése a RackForest tárhelyi környezetén keresztül történik. Jelenleg nincs külön analitikai, reklám-, közösségi vagy más külső tartalomszolgáltató integrálva.

4. A rendszerben kezelhető és tiltott adatok

4.1. Kezelhető adatok

• munkatárs neve, felhasználóneve, intézményi e-mail-címe, munkaköre és jogosultsági szerepe;
• munkaközösségi tagság, osztályfőnöki szerep és tanított osztályok;
• belső naptári, munkatervi, beszámolói, feladat- és beosztási adatok;
• belső megjegyzések, gyorsfeljegyzések, chat- és üzenőfali tartalmak;
• műveleti, belépési, hibakezelési és biztonsági naplóadatok;
• munkavégzéshez kapcsolódó, nem érzékeny csatolmányok.

4.2. Kifejezetten tiltott adatok

• tanuló vagy szülő neve, elérhetősége, azonosítója vagy más személyes adata;
• tanulóról, szülőről vagy más érintettről készült fénykép, hang- vagy videófelvétel;
• egészségügyi adat, SNI-, BTMN-, fogyatékossági vagy pszichológiai adat;
• szakértői vélemény, orvosi dokumentum, fegyelmi irat vagy gyermekvédelmi dokumentum;
• jelszó, bankkártyaadat, magánlevelezés vagy a munkavégzéshez nem szükséges magánjellegű adat.

5. Adatkezelési célok és jogalapok

A rendszerben végzett adatkezelések elsődleges célja az intézményi feladatellátás, a belső munkaszervezés, a jogosultságkezelés, a munkatervi és beszámolói folyamatok támogatása, valamint a rendszer biztonságos működtetése. A jogalap főszabály szerint a GDPR 6. cikk (1) bekezdés c) és e) pontja: jogi kötelezettség teljesítése, illetve közérdekű vagy közhatalmi feladat ellátása. A konkrét jogalap az adatkezelés céljától függően kerül alkalmazásra.

A rendszer használatához kapcsolódó „Elolvastam” vagy „Tudomásul vettem” nyilatkozat nem adatkezelési hozzájárulás, hanem a tájékoztatás megtörténtének igazolása. Az intézményi feladatellátáshoz szükséges adatkezelést nem a munkatárs hozzájárulása alapozza meg.

6. Jogosultságok és hozzáférés-kezelés

A hozzáférés a legkisebb szükséges jogosultság elve szerint történik. Minden felhasználó kizárólag azokat az adatokat és funkciókat érheti el, amelyek munkaköréhez, kijelölt feladatához, munkaközösségéhez vagy osztálykapcsolatához szükségesek.

A jogosultságokat az igazgató vagy az általa kijelölt vezető állítja be. A felhasználói fiók a hozzáférési jogosultság megszűnését követő egy héten belül törlendő vagy anonimizálandó. A hozzáférés azonnal felfüggeszthető, ha biztonsági kockázat, visszaélés vagy jogosulatlan használat gyanúja merül fel.

7. Belső felhasználási szabályok

1. A felhasználó a belépési adatait más személynek nem adhatja át, és más fiókját nem használhatja.
2. Közös vagy nyilvánosan hozzáférhető számítógépen a használat befejezésekor ki kell jelentkezni.
3. A felhasználó köteles a láthatósági és megosztási beállításokat mentés előtt ellenőrizni.
4. A rendszerbe kizárólag intézményi munkavégzéshez kapcsolódó, szükséges és pontos adat rögzíthető.
5. A gyorsfeljegyzés személyes jellegű lehet, de abban sem szerepelhet tanulói, szülői vagy különleges adat.
6. Fájl csak akkor tölthető fel, ha annak intézményi célja egyértelmű, tartalma jogszerű, és nem tartalmaz tiltott adatot.
7. Tömeges export, képernyőkép vagy adatmásolat csak vezetői engedéllyel készíthető, ha az személyes adatot tartalmaz.
8. A rendszerben észlelt téves jogosultságot, adatvesztést, gyanús belépést vagy téves megosztást azonnal jelezni kell.
9. A felhasználó köteles a tanévi beosztását és osztálykapcsolatait a rendszer kérésére ellenőrizni és jóváhagyni.
10. A vezetőség jogosult a szabálytalan tartalmat törölni, a jogosultságot korlátozni és a szükséges vizsgálatot megindítani.

8. Adatbiztonság és incidenskezelés

Az adatkezelő a GDPR 24. és 32. cikkének megfelelő technikai és szervezési intézkedéseket alkalmaz. Ezek különösen a szerepköralapú jogosultságok, naplózás, jelszóvédelem, rendszeres frissítés, biztonsági mentés, hozzáférés-visszavonás, titkosított webkapcsolat és incidensnapló vezetése.

8.1. Felhasználói teendők incidens esetén

• A felhasználó haladéktalanul jelezze a problémát a kissnetimea@deakdamo.hu címen vagy a megadott telefonszámon.
• Ne törölje a bizonyítékokat, naplókat vagy gyanús üzeneteket, kivéve, ha a további kár megelőzése ezt feltétlenül szükségessé teszi.
• Jogosulatlan hozzáférés gyanúja esetén változtassa meg a jelszavát, és jelentkezzen ki minden eszközről.
• Téves megosztás esetén jelezze, mely adat, kinek és mikor vált hozzáférhetővé.

8.2. Intézményi eljárás

Az adatvédelmi kapcsolattartó dokumentálja az eseményt, korlátozza a hozzáférést, felméri a kockázatot és koordinálja a helyreállítást. Ha az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira, az adatkezelő a GDPR 33. cikke szerint indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül értesíti a NAIH-ot. Magas kockázat esetén az érintettek tájékoztatása is szükséges lehet.

9. Megőrzési és törlési rend

A törlés történhet végleges eltávolítással, visszaállíthatatlan anonimizálással vagy a mentési ciklus lejártával. Folyamatban lévő jogvita, incidensvizsgálat vagy kötelező iratmegőrzés esetén a törlés a szükséges időre korlátozható.

10. Sütikezelési tájékoztató

A Deák infó kizárólag a bejelentkezéshez, munkamenethez, biztonsághoz és felhasználói beállításokhoz szükséges technikai sütiket használ. Analitikai, reklám- vagy profilalkotó süti jelenleg nincs használatban.

A feltétlenül szükséges sütik a szolgáltatás működéséhez szükségesek, ezért alkalmazásuk nem a felhasználó választható hozzájárulásán alapul. A sütikről azonban a rendszer egyértelmű tájékoztatást biztosít. Ha később nem szükséges vagy harmadik félhez kapcsolódó süti kerül bevezetésre, azt csak a tájékoztató frissítése és – ahol szükséges – előzetes hozzájáruláskezelés után lehet aktiválni.

11. Érintetti jogok és jogorvoslat

Az érintett a GDPR keretei között kérheti személyes adataihoz való hozzáférést, azok helyesbítését, az adatkezelés korlátozását, valamint – a jogalaptól és az intézményi kötelezettségektől függően – törlését. Jogosult továbbá tiltakozni a közérdekű feladat vagy jogos érdek alapján végzett adatkezelés ellen, ha annak feltételei fennállnak.

A kérelmet a kissnetimea@deakdamo.hu címre lehet megküldeni. Az adatkezelő indokolatlan késedelem nélkül, főszabály szerint egy hónapon belül válaszol. A személyazonosság igazolása kérhető, ha a kérelmező kiléte nem állapítható meg biztonsággal.

Felügyeleti hatóság: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9–11.; levelezési cím: 1363 Budapest, Pf. 9.; e-mail: ugyfelszolgalat@naih.hu; honlap: www.naih.hu.

Az érintett bírósághoz is fordulhat, ha megítélése szerint személyes adatainak kezelése megsérti a GDPR vagy az alkalmazandó magyar jog rendelkezéseit.

12. Külső szolgáltatások és mesterséges intelligencia

A Deák infó jelenlegi verziója nem tartalmaz közvetlen OpenAI-, ChatGPT-, Google Analytics-, Facebook-, YouTube-, külső térkép-, reklám- vagy profilalkotó integrációt. Az ilyen szolgáltatás későbbi bevezetése előtt adatvédelmi felülvizsgálatot kell végezni, szükség esetén adatfeldolgozói szerződést kell kötni, és a tájékoztatót frissíteni kell.

• A Deák infóból származó személyes adat, belső üzenet, dokumentum, képernyőkép vagy adatbázisrészlet külső mesterségesintelligencia-szolgáltatásba nem másolható be vezetői engedély nélkül.
• Tanulói, szülői, egészségügyi, fegyelmi, szakértői vagy más különleges adat külső AI-szolgáltatásba semmilyen körülmények között nem tölthető fel.
• Szakmai szöveg külső AI-val csak anonimizált formában, az intézményi titoktartás betartásával dolgozható fel.
• A külső AI által készített tartalom pontosságát és jogszerűségét felhasználás előtt embernek kell ellenőriznie.

13. Felülvizsgálat és hatálybalépés

A szabályzat 2026. július 24-én lép hatályba. Felülvizsgálata legalább évente, továbbá minden jelentős funkció-, szolgáltató-, jogszabály- vagy adatkezelési változás esetén szükséges.

A szabályzat aktuális változata a Deák infó belépési felületéről és láblécéből elérhető. Lényeges módosítás esetén a felhasználóknak a következő belépéskor meg kell jeleníteni a változásról szóló tájékoztatást, és az „Elolvastam” nyilatkozatot újra rögzíteni kell.

Jóváhagyás és verziókövetés

A dokumentum hatályos változatának jóváhagyása és éves felülvizsgálata az adatkezelő képviselőjének feladata.

1. melléklet – Adatkezelési nyilvántartás

Az alábbi táblázat a Deák infó tipikus adatkezeléseit foglalja össze. A rendszerben ténylegesen használt funkciók és jogosultságok szerint alkalmazandó.

2. melléklet – Sütilista

A WordPress és a Deák infó verziójától, valamint a „Jegyezz meg” beállítástól függően a pontos süti-nevek és lejárati idők változhatnak. A rendszer kizárólag az alábbi szükséges kategóriákat alkalmazza.

A felhasználó a böngészőjében törölheti vagy letilthatja a sütiket, de a szükséges sütik tiltása esetén a bejelentkezés és a rendszer használata nem működik megfelelően.

3. melléklet – Adatfeldolgozók jegyzéke

Jelenleg nincs további külső adatfeldolgozó vagy analitikai szolgáltató. Új szolgáltató bevonása esetén a jegyzéket és az adatkezelési tájékoztatót előzetesen frissíteni kell.

4. melléklet – Felhasználói tudomásulvételi nyilatkozat

Alulírott kijelentem, hogy a Deák infó adatvédelmi, adatbiztonsági, sütikezelési és belső felhasználási szabályzatának aktuális változatát elolvastam, tartalmát megismertem és tudomásul vettem.

Tudomásul veszem különösen, hogy:

• a rendszerben tanulói, szülői, fényképes, egészségügyi, SNI-, BTMN-, szakértői, fegyelmi vagy más különleges adat nem rögzíthető;
• a belépési adataimat más személynek nem adhatom át;
• a megosztási és láthatósági beállításokat mentés előtt ellenőriznem kell;
• adatvédelmi vagy biztonsági eseményt haladéktalanul jelentenem kell;
• a rendszerből származó adatot külső AI- vagy felhőszolgáltatásba vezetői engedély nélkül nem tölthetek fel.

5. melléklet – Jogszabályi háttér és hivatalos források

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR)
• 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról
• NAIH – Süti (cookie) tájékoztató
• NAIH – Adatvédelmi szótár

A szabályzat különösen a GDPR 5., 6., 12–22., 24., 25., 28., 30., 32–34. cikkeiben foglalt elvek és kötelezettségek figyelembevételével készült.