GDPR-kész astroyogi API fejlesztőknek

Az első asztrológiai API teljes EU-rezidenciával. Ha B2C terméket fejlesztesz az európai piacra, a GDPR-megfelelőség kérdése még azelőtt felmerül, hogy az első kódsort megírnád. Az AstroWay alapértelmezetten megoldja ezt, extra díjak és jogi akrobatika nélkül.

Miért fontos ez

A többi asztrológiai API (DivineAPI, AstrologyAPI, Prokerala) az USA-ban / Indiában található. Ez azt jelenti:

A birth.date, birth.time, birth.lat, birth.lon (=GDPR szerinti PII) az USA-n/Indián keresztül megy.
Alfeldolgozói közzététel az adatvédelmi irányelveidhez: fel kell sorolnod a joghatóságukat.
DPA (Adatfeldolgozási Megállapodás): vagy nem elérhető, vagy csak Enterprise szinten, külön szerződéssel.
EU-EUR Adatvédelmi Hatósági audit kockázat: határokon átnyúló adatátvitel SCC nélkül = 10M€+ bírság.

Az AstroWay Pro csomagja (59$/hó) alapértelmezett EU-rezidenciát biztosít számodra: minden adatot a Hetzner Nürnbergi adatközpontjában tárolunk és dolgozunk fel. Ezeket a gépeket Ukrajnából adminisztráljuk, és a DPA a Standard Szerződéses Klauzulákkal fedezi ezt a hozzáférést, ahelyett, hogy úgy tennénk, mintha nem létezne.

Technikai stack

Réteg	Helyszín / szolgáltató
Számítási kapacitás	Hetzner, Nürnberg (Németország)
Adatbázis	EU-rezidens, ugyanabban az adatközpontban - az adatok nem hagyják el Nürnberget
CDN / DNS	Cloudflare EU-régiós gyorsítótár-szabályokkal (az EU-ból érkező kéréseket EU-s edge szerverek szolgálják ki)
Tranzakciós e-mailek	Brevo (korábban Sendinblue), EU-alapú, GDPR-kompatibilis SMTP
Jelentésfájlok	Nürnbergi infrastruktúránk: hozzáférés csak aláírt, időkorlátos linken keresztül, EU-n kívüli replikáció nélkül
Analitika	GA4 anonymizeIp-vel + semmilyen személyes adat az eseményekben (Plausible self-hosted a roadmapon)
Naplók	strukturált JSON, csak IP-hash (nyers IP-k nélkül), 30 napos megőrzés

Alapértelmezetten (minden Pro+ kulcshoz)

✅ Adatfolyam csak az EU-n belül: a születési adatok soha nem hagyják el Nürnberget
✅ Az adatok az EU-ban maradnak, és pontosan elmondjuk, mit jelent ez: a születési adatok Nürnberben tárolódnak és dolgozódnak fel, és sehol máshol nem másolódnak. Ezeket a rendszereket Ukrajnából adminisztráljuk, és a GDPR V. fejezete átadásnak tekinti a távoli hozzáférést is, még akkor is, ha semmi sem hagyja el az EU-t, így a DPA a Standard Szerződéses Klauzulákkal fedezi ezt a hozzáférést.
✅ IP-cím hashelés: a naplókban csak egy sózott SHA-256 hash, plusz az IP-cím első 16 bitje tárolódik, ami alapján látható a hálózat, de nem a konkrét eszköz. Magát az IP-címet sehol sem tároljuk: a kérések gyakoriságának korlátozása a folyamat memóriájában történik, és az IP-címet sem írjuk sehova.
✅ Naplók 30 napos megőrzése: ezután a naplók automatikusan törlődnek.
⚠️ Anonimizált analitika (GA4): anonymize_ip + semmilyen személyes adat az eseményekben. Plausible self-hosted (cookie-k nélkül) – a roadmapon. A migrációig javasoljuk saját cookie-banner használatát a B2C frontendeden.
✅ Törléshez való jog: a DELETE /v1/me/account (Bearer JWT, {"confirmation": "DELETE"} törzs) azonnal letiltja az összes fiókkulcsot, és 30 napra ütemezi a törlést. Ezen időszak alatt a kérés visszavonható a POST /v1/me/account/cancel-deletion segítségével, utána egy napi feladat törli az adataidat. A határidő szándékos: a törlés nem lehet visszafordíthatatlan egyetlen téves parancs miatt.

Kérésre (Pro+ előfizetőknek)

📄 DPA (Adatfeldolgozási Megállapodás): standard GDPR 28. cikkely sablon. Olvasd el a teljes szöveget, fogadd el a műszerfalon egy gombnyomással, és azonnal letöltheted a PDF-et, amely tartalmazza az elfogadásról szóló bejegyzést: fiók, verzió, dátum. A 28. cikkely 9. pontja elfogadja a megállapodást “írásos formában, beleértve az elektronikusat is”, így nem kell aláírásra várni. Papíralapú, aláírt másolatot kérésre készítünk a legal@astroway.info címen.
📋 Alfeldolgozók listája: teljes lista (Hetzner, Cloudflare, SMTP-szolgáltatónk és fizetési szolgáltatónk) mindegyik megfelelőségi dokumentumával. A Brevo mint SMTP-szolgáltató szerepel a DPA mellékletében az azt aláíró ügyfelek számára.
🗂️ DPIA (Adatvédelmi Hatásvizsgálat) hozzájárulás: ha jogi csapatod DPIA-t készít a termékedhez, technikai támogatást nyújtunk a részünkről.

Enterprise ügyfeleknek (egyedi csomag)

🛡️ SOC 2 Type II: a roadmapon (az auditáló cég még nincs rögzítve, ETA TBD). Ha ez blokkolja az integrációdat – írj a legal@astroway.info címre, készen állunk egy külön auditálási együttműködés megfontolására.
🇪🇺 Jogi személy az EU-n belül: jelenlegi jogi forma ukrán egyéni vállalkozó (Maxim Burkhan). Ha beszerzési osztályod EU GmbH-t (Németország / Észtország) igényel – egyedileg megbeszéljük a legal@astroway.info címen, a folyamat 4-8 hét.
🔐 Dedikált infrastruktúra igény szerint: külön szerver Nürnbergben és izolált adatbázis
📞 Közvetlen biztonsági csatorna: security@astroway.info incidensek kezelésére

Összehasonlítás: AstroWay vs. USA-ban hostolt versenytársak

Kritikus egy EU-s fejlesztő számára	AstroWay Pro $59	DivineAPI	AstrologyAPI	Prokerala
Számítási kapacitás az EU-ban	✅ Hetzner Nürnberg	❌ USA	❌ USA	❌ India
Standard DPA elérhető	✅ Pro+ csomaggal	❌ csak Enterprise	❌ csak Enterprise	❌ csak Enterprise
GDPR-megfelelőség alapértelmezetten	✅ infrastruktúra szinten	⚠️ SCC-n keresztül	⚠️ SCC-n keresztül	⚠️ SCC-n keresztül
Analitika cookie-k nélkül	⚠️ GA4 anonimizálva (Plausible a roadmapon)	❌ GA4	❌ GA4	❌ GA4
Adatfolyam garancia csak az EU-n belül	✅ írásban	❌	❌	❌
Technikai hozzájárulás a DPIA-hoz	✅ biztosított	❌	❌	❌
Törléshez való jog endpoint	✅ `DELETE /v1/me/account`	❌ ticketen keresztül	❌ ticketen keresztül	❌ ticketen keresztül

Ár

EU-rezidencia, DPA, GDPR az infrastruktúra szintjén – minden benne van a Pro 59$/hó csomagban. Nem külön díj, nem értékesítési megkeresés, nem egyedi árazás.

Ez egy tudatos stratégia: a Hetznerben való elhelyezés nem kerül nekünk semmibe (infrastruktúránk amúgy is Nürnbergben van), a DPA pedig egy standard sablon, amelyet egyszer kell aláírni e-mailben. Nem kell fizetni a magánszféráért, ami alapértelmezetten járna.

GYIK

Igen – a Free csomag ugyanazt az infrastruktúrát (Hetzner Nürnberg), ugyanazt az anonimizált analitikát, ugyanazt a 30 napos napló megőrzést biztosítja. A DPA a Free csomaghoz nem elérhető (ez egy adminisztratív többletköltség, ami csak a fizetős szinten térül meg), de technikailag az adatok feldolgozása azonos.

Ha jogászod aláírt DPA-t igényel – az Indie (5$/hó) sem biztosítja azt. A legolcsóbb DPA-val rendelkező opció = Pro 59$.

Mi a helyzet az EUB Schrems II ítéletével? A Cloudflare CDN-etek: ez egy amerikai cég?

A Cloudflare amerikai, de EU-régiós gyorsítótár-szabályokat használunk (az EU IP-ről érkező kéréseket EU-s edge szerverek szolgálják ki), és az origin server (ahol az adatok ténylegesen feldolgozásra kerülnek) a Hetzner Nürnbergben található. A PII (születési adatok) ugyanabban a régióban haladnak át a Cloudflare edge-en, és nem tárolódnak az edge-en – csak tranzitként.

Kritikusan érzékeny felhasználási forgatókönyvek (orvosi alkalmazások, B2G) esetén megkerülhető a Cloudflare DNS-útválasztással az origin szerverre – írj a legal@astroway.info címre.

Milyen gyorsan kapom meg a DPA-t a Pro csomagra való előfizetés után?

Standard DPA (a mi sablonunk): azonnal. A szöveg elérhető a /legal/dpa/ címen, elfogadható a műszerfalon, a PDF pedig ott tölthető le, és tartalmazza az elfogadásról szóló bejegyzést.
Egyedi módosítások jogászodtól: megfontoljuk, de határidőt nem ígérünk, mert nincs belső jogászunk. A 28. cikkely standard pontjairól nem tárgyalunk: ezeket az Európai Bizottság sablonjából vettük át, éppen azért, hogy ne kelljen róluk vitatkozni.

Alá kell írnom a DPA-t, ha B2B fejlesztő vagyok, saját PII nélkül?

Ha végterméked PII-t dolgoz fel (és a születési adatok PII-nek számítanak) – akkor igen, jogászod valószínűleg aláírt DPA-t fog kérni az összes alfeldolgozóval. Ezt standard módon biztosítjuk. Ha az integrációd belső (csak alkalmazottak), valószínűleg a DPA nem kritikus, de jobb, ha így is aláírod.

Mit tesz az AstroWay, ha végrehajtottam a `DELETE /v1/me/account` parancsot?

API-kulcsok: lágyan törlődnek (anti-abuse cooldown)
Fiók-kulcs kapcsolat: megszakad; a kulcs nem rendelhető újra
Felhasználói profil: töröltként jelölve időbélyeggel
Használati naplók: az IP-hash már nem PII, megmarad a számlázási audit céljából
Rendelési előzmények: megőrzésre kerülnek, mert ezt írja elő az adójogszabály. Egyéni vállalkozók esetében ez 1095 nap az Adótörvénykönyv 44.3. pontja szerint, azaz három év, nem hét: a GDPR 17. cikkelyének (3) bekezdés b) pontja kifejezetten kizárja az ilyen nyilvántartásokat a törléshez való jog alól.
Tranzakciós e-mailek: SMTP-szolgáltatónk 90 nap után automatikusan törli őket.

A teljes folyamat kérésre elérhető a legal@astroway.info címen.

Kapcsolat

Jogi/DPA: legal@astroway.info
Biztonsági incidensek: security@astroway.info
Alfeldolgozók listája / DPIA: hello@astroway.info

Hasznos volt?

Javítás javaslata

Utoljára frissítve: 2026. szept. 29.

// Előző

Végpontonkénti költség

Következő //

Founders' Lifetime Deal