Data Processing Agreement

Adatfeldolgozási megállapodás, 1. verzió

Hatályos: 2026.09.20. AstroWay API, api.astroway.info. Pontosítva: 2026.10.12.: a 2. szakasz most már tartalmazza, hogy az AI végpontok mit küldenek a nyelvi modelleknek. Egyik fél kötelezettsége sem változott.

1. Kik vagyunk és mire terjed ki ez a megállapodás

Ez a megállapodás közted, az Ügyfél (adatkezelőként eljárva) és Maksym Burkhan, egyéni vállalkozó (ФОП), Ukrajna között jött létre, aki az api.astroway.info szolgáltatást üzemelteti, mint a te adatfeldolgozód a GDPR 28. cikke értelmében.

Ez mindaddig érvényes, amíg a fiókod létezik és kéréseket küldesz az API-nak, és csak az API-n keresztül küldött adatokra vonatkozik. A saját fiókod adatai különálló ügy, ahol mi vagyunk az adatkezelők, és a mi adatvédelmi szabályzatunk érvényes.

2. Milyen adatokat dolgozunk fel és miért

Tárgy és cél. Születési adatokat küldesz az API-nak: dátumot, pontos időt, időzónát vagy eltolást, és koordinátákat. Mi kiszámítunk egy asztrológiai eredményt és visszaadjuk azt. Ez a teljes cél, és az API hívás a te utasításod.

Érintettek kategóriái. A végfelhasználóid, vagy bárki, akinek a születési pillanatát beküldöd.

Adattípusok. Születési dátum és idő, koordináták, valamint az opcionális name és city mezők. A name és city soha nem kerül tárolásra: a kérés időtartamára a memóriában maradnak, és sehová sem íródnak.

Időtartam. A fiókod fennállásáig, a 9. szakaszban foglaltak szerint.

Amit a hívásról naplózunk, nem a személyről. Végpont, metódus, állapot, késleltetés, bájtszámok, a hívó IP-címének sózott, visszafordíthatatlan kivonata és az IP-cím első 16 bitje, a User-Agent, az eredet, és egy durva ország, város és hálózati szolgáltató. Ezt 30 napig őrizzük meg.

AI végpontok. A /v1/interpret/*, /v1/horoscope/*, /v1/reports/ai/* és /v1/ai/* végpontok harmadik féltől származó nyelvi modellekkel generálják a szöveget. Ezek a szolgáltatók csak a kiszámított horoszkópot kapják meg: jegyeket, házakat és aspektusokat egész fokú orbiszokkal. Soha nem kapják meg a születési dátumot, időt, koordinátákat, nevet vagy helyet, amit te küldtél, ezért nem minősülnek al-feldolgozóknak a 4. szakasz értelmében. Az általad írt szabad szöveg, például egy tarot kérdés vagy egy chat üzenet, úgy kerül átadásra a modellnek, ahogy azt írtad.

3. Mire vállalkozunk

• Az adataidat csak a dokumentált utasításaid alapján dolgozzuk fel, amelyek az általad végrehajtott API hívások és az általad küldött írásbeli utasítások, kivéve, ha az EU vagy tagállami jog másként írja elő; ebben az esetben a feldolgozás előtt tájékoztatunk, hacsak a törvény nem tiltja.
• Ha egy utasítás jogellenesnek tűnik számunkra, azonnal jelezzük, ahelyett, hogy csendben végrehajtanánk.
• A szolgáltatást egy személy üzemelteti, aki titoktartásra kötelezett, és ő az egyetlen ember, akinek adminisztratív hozzáférése van.
• Fenntartjuk az 5. szakaszban leírt biztonsági intézkedéseket.
• Segítünk neked válaszolni az érintett kérelmére, és segítünk a 32–36. cikk szerinti kötelezettségeid teljesítésében, amennyire ez lehetséges, és figyelembe véve, hogy milyen adatokat tartunk nyilván. Ez a minősítés a törvény sajátja, és itt az konkrét: nem tárolunk nevet, e-mail címet és azonosítót a végfelhasználóidról, így általában nem találjuk meg egy személy adatait a mi oldalunkon. Te megteheted a saját nyilvántartásaidon keresztül, és a DELETE /v1/me/account töröl mindent, amit a fiókodról tárolunk.
• Nem használjuk az adataidat saját céljainkra, nem adjuk el, és nem használjuk modellek képzésére.

4. Al-feldolgozók

Kettő van, és ők az infrastruktúra:

Al-feldolgozó	Szerep	Helyszín
Hetzner Online GmbH	számítási, adatbázis- és fájltárolás	Nürnberg, Németország
Cloudflare, Inc.	CDN, DNS és DDoS védelem, EU-régiós gyorsítótár-szabályokkal	USA cég, EU-s peremhálózatok szolgálják ki az EU-s forgalmat

Ugyanazokat az adatvédelmi kötelezettségeket írjuk elő számukra, mint amiket mi viselünk itt, és teljes mértékben felelősséggel tartozunk neked azért, amit ők tesznek.

Általános felhatalmazást adsz erre a kettőre. E-mailben értesítünk, mielőtt hozzáadnánk vagy lecserélnénk egyet, és te kifogást emelhetsz ésszerű adatvédelmi okokból; ha nem tudjuk feloldani a kifogást, leállíthatod a szolgáltatás használatát, és visszatérítjük a befizetett időszak fel nem használt részét.

Fizetési és e-mail szolgáltatóink szándékosan nincsenek ebben a táblázatban, mert soha nem látnak olyan adatokat, amelyekre ez a megállapodás vonatkozik. A Brevo tranzakciós leveleket küld neked, a Monobank pedig kártyás fizetéseket fogad el, 2026 októberében pedig a LiqPay is hozzáadásra kerül. Mindkettő a te fiókodra vonatkozik, nem a végfelhasználóidra, ezért az adatvédelmi szabályzatban vannak megnevezve.

5. Biztonság

• A kommunikáció kizárólag TLS-en keresztül történik, a sima HTTP átirányításra kerül.
• A jelszavak bcrypt-tel vannak hashelve, és az API kulcsok is hashelve tárolódnak.
• Az IP-címek csak sózott SHA-256 formájában tárolódnak, a sor írásakor számítva. A só a szerver környezetében él, soha nem a kódban.
• Az adatbázis-fiókok fogyasztónként elkülönülnek, mindegyik a legszűkebb, működő jogosultsággal rendelkezik, és az adatbázis csak loopback-en figyel.
• A biztonsági mentések AES-256-tal titkosítva vannak, mielőtt elhagynák a gépet.
• Az adminisztratív hozzáférés SSH kulccsal történik, egy személy számára, nincsenek megosztott hitelesítő adatok.

Amivel nem rendelkezünk, mert azt állítani rosszabb lenne, mint elmondani: nincs saját SOC 2 jelentésünk és ISO 27001 tanúsítványunk. A Hetzner rendelkezik ISO/IEC 27001 tanúsítvánnyal azon adatközpontra vonatkozóan, ahol a szervereink találhatók.

6. Adattovábbítás, világosan megfogalmazva

Az adataidat Nürnbergben, Németországban található szervereken dolgozzuk fel, és nem másoljuk az EGT-n kívülre.

Mindazonáltal Ukrajnában vagyunk bejegyezve, amelynek nincs megfelelőségi határozata a 45. cikk értelmében. Az EDPB 05/2021 iránymutatása szerint ez önmagában harmadik országba történő adattovábbításnak minősül, és ugyanez vonatkozik az Ukrajnából történő adminisztratív hozzáférésre ezekhez a német szerverekhez, mert a távoli hozzáférés akkor is számít, ha semmi sem kerül másolásra. Tehát nem azt mondjuk, hogy nincs határokon átnyúló adattovábbítás; van, és ez a megállapodás fedezi azt.

Megkötjük a 2021/914 (EU) végrehajtási határozat standard szerződési feltételeit, Második modul (adatkezelőtől adatfeldolgozóig), amelyek hivatkozással beépülnek ebbe a megállapodásba, és ütközés esetén felülírják azt. A jelen megállapodás 2., 5. és 4. szakasza szolgál I., II. és III. mellékletként. Mindkét felet megnevező aláírt példány kérésre elérhető a legal@astroway.info címen.

A gyakorlatban az átvitel a németországi rendszerekhez való hitelesített adminisztratív hozzáférést jelenti, nem pedig egy adatbázis exportálását.

7. A megfelelőség igazolása

Megadjuk neked azokat az információkat, amelyekre szükséged van a 28. cikknek való megfelelés igazolásához ezen megállapodás és a fenti biztonsági leírásunk révén, és egy ésszerű írásbeli biztonsági kérdőívet kitöltünk bármely tizenkét hónapos időszakban ingyenesen.

Ha ez nem elegendő, bármely tizenkét hónapos időszakban egyszer ellenőrizheted a jelen megállapodásnak való megfelelést, harminc napos írásbeli értesítéssel, távolról, munkaidőben, kizárólag az általunk számodra végzett adatfeldolgozásra vonatkozóan, és soha nem egy másik ügyfél adataira. Te viseled az ellenőrzés és az általad kijelölt auditor költségeit. Ezek a korlátozások nem érvényesek, ha egy felügyeleti hatóság ellenőrzést ír elő.

8. Adatvédelmi incidens esetén

Indokolatlan késedelem nélkül értesítünk téged, miután tudomásunkra jutott egy személyes adat incidens, amely az általunk számodra feldolgozott adatokat érinti, e-mailben a fiókod címére. Az első értesítés hiányos lehet, és további információk birtokában frissítjük azt.

Nem rendelkezünk a végfelhasználóid elérhetőségeivel, így a 34. cikk szerinti értesítés a te feladatod marad.

9. A megállapodás megszüntetése

Amikor a fiókod megszűnik, jelezd nekünk, hogy a nálunk tárolt adataidat vissza szeretnéd-e kapni vagy törölni, és mi ennek megfelelően járunk el. Ha nem jelzel semmit, töröljük azokat.

Az egyetlen kivétel az, amit az adójog megkövetel tőlünk: a fizetési nyilvántartások, 1095 napig az ukrán adótörvény 44.3. §-a szerint. Három év, nem az a hét, amire a szöveg korábbi tervezete tippelt. A GDPR 17. cikk (3) bekezdés b) pontja a jogi kötelezettség alapján megőrzött nyilvántartásokat kizárja a törléshez való jog hatálya alól, ezért a törlési kérelem nem vonatkozik rájuk.

10. A megállapodás elfogadása

A műszerfaladon fogadod el, és az elfogadásról szóló feljegyzés tartalmazza a fiókod nevét, a verziót és az időpontot. A 28. cikk (9) bekezdése előírja, hogy a szerződésnek írásban kell lennie, “beleértve az elektronikus formát is”, így ez a feljegyzés a szerződés, és nincs mire várni. A letölthető PDF ugyanazt a feljegyzést tartalmazza. Kérésre ellenjegyzett papíralapú másolat is rendelkezésre áll.

Ha lényegesen módosítjuk ezt a szöveget, az új verzióvá válik, és felkérünk téged, hogy fogadd el azt; az általad elfogadott verzió marad az, amibe beleegyeztél.