Adatvédelmi Tájékoztató / Privacy Policy — BillingHUNter

Language note / Nyelvi megjegyzés: This Privacy Policy is available in Hungarian and English in this same file. In case of any discrepancy, the Hungarian version prevails. — A dokumentum magyarul és angolul is elérhető ugyanebben a fájlban. Eltérés esetén a magyar szöveg az irányadó.

Hatálybalépés napja / Effective date: 2026. október 1.

🇭🇺 MAGYAR VERZIÓ

1. Az Adatkezelő adatai

(a továbbiakban: „Adatkezelő")

Kapcsolatfelvétel: adatvédelmi kérdésekben elsődlegesen e-mailben várjuk megkeresését a support@cdhntrs.hu címen.

Postai úton kérjük, hogy a levelezési címre írjon (1215 Budapest, Katona József utca 31/A 3/38.) — ezt a címet közvetlenül az Adatkezelő kezeli.

Fontos figyelmeztetés a székhelyre küldött levelekhez: a székhelyre (2724 Újlengyel, Petőfi Sándor utca 48.) érkező postai küldeményeket az Adatkezelő megbízásából külső székhelyszolgáltató — a Gross Office Kft. (székhely: 1027 Budapest, Bem rakpart 50. I. em. 1., adószám: 25096695-2-41) — bontja fel, szkenneli, és a tartalmát elektronikusan, a küldeményt fizikailag is továbbítja az Adatkezelő részére. A székhelyre írt levél tartalmához tehát a székhelyszolgáltató is hozzáfér; adatvédelmi megkeresésében kérjük, használja az e-mail-címet vagy a levelezési címet.

A tájékoztató hatálya két felületre terjed ki:

• billinghunter.hu – marketing/landing oldal (a továbbiakban: Landing oldal),
• app.billinghunter.hu – a BillingHUNter számlázó alkalmazás (a továbbiakban: Alkalmazás vagy Szolgáltatás).

A két felület adatkezelése eltér: a Landing oldal látogatóira a 2.1., az Alkalmazás felhasználóira a 2.2. szakasz vonatkozik.

2. Kezelt adatok, célok és jogalapok

2.1. Landing oldal (billinghunter.hu)

A kapcsolatfelvételi űrlap útja: az űrlapadatok az api.codehunters.hu központi szolgáltatáshoz kerülnek, amely a beérkezett megkeresést a szerveren futó adatbázis levelezési várólistájában rögzíti. A rendszer e-mailt generál, amely a Forpsi SMTP szerverén keresztül a Forpsi postaládába érkezik, onnan automatikus továbbítással jut az ügyvezető személyes Gmail postaládájába — ez az egyetlen postafiók, amelybe a megkeresések tartalma eljut. A várólista-bejegyzések és a beérkezett e-mailek törlési kérelemig megmaradnak — automatikusan nem töröljük őket; a biztonsági mentésekben a 30 napos rotációig szerepelhetnek.

2.2. Alkalmazás (app.billinghunter.hu)

Megjegyzés a rate limitinghez: az Alkalmazás és a szerverek IP-cím alapú kéréskorlátozást (rate limiting) alkalmaznak a visszaélések megelőzésére. Ez technikai biztonsági intézkedés, amelyhez az IP-cím rövid távú feldolgozása szükséges.

3. Adattárolás helyei

3.1. Szerverek és adatbázis

Az Alkalmazás, a Landing oldal és a kapcsolódó szolgáltatások (beleértve a levelezési várólistát) az Oracle Cloud Infrastructure által biztosított virtuális gépen futnak.

Szerver helyszíne: Milánó, Olaszország (Európai Unió)

A felhasználói és üzleti adatok a szerveren futó adatbázisban tárolódnak. A hozzáférés alkalmazásonként elkülönített, jelszóval védett.

3.2. Naplóinfrastruktúra

A rendszernaplókat (alkalmazás-, hozzáférési-, hiba- és biztonsági naplók) a szerveren futó naplókezelő infrastruktúra tárolja. A naplók kizárólag a saját szervereinken maradnak, harmadik félnek nem kerülnek továbbításra. A naplók IP-címeket és technikai azonosítókat tartalmazhatnak; kezelésük jogos érdek (6(1)(f)) alapján történik biztonsági és hibakeresési célból.

3.3. Biztonsági mentések

Az adatbázisokról naponta készül biztonsági mentés. A mentések jelszóval védett, tömörített állományokként a szerveren és az Adatkezelő ügyvezetőjének személyes Google Drive fiókjában tárolódnak; a megőrzési idő 30 nap. A törölt adatok a mentésekből a rotáció során legfeljebb 30 napon belül törlődnek.

A generált számla-PDF-ekről emellett külön másodlagos mentés készül az Azure Blob Storage szolgáltatásba (Microsoft, West Europe régió, Hollandia). A Google Drive és az Azure tárolása során az adatok az USA-ba is továbbítódhatnak az EU–US Data Privacy Framework, illetve az általános szerződési feltételek (SCC) alapján.

4. Adatfeldolgozók és adattovábbítás

• Oracle Cloud Infrastructure — tárhelyszolgáltatás (Milánó, EU).
• Google Drive (Google Ireland Ltd.) — jelszóval védett napi biztonsági mentések az ügyvezető személyes Google-fiókjába, 30 nap megőrzés; USA-átvitel megfelelőségi határozat/SCC alapján.
• Microsoft Azure Blob Storage — generált számla-PDF-ek másodlagos mentése (West Europe régió, Hollandia).
• BlazeArts Kft. (Forpsi) (1096 Budapest, Thaly Kálmán utca 39., adószám: 12539833-2-43) és Google (Gmail) — levelező infrastruktúra; a tranzakciós e-mailek és a landing oldali megkeresések kézbesítése.
• Gross Office Kft. (1027 Budapest, Bem rakpart 50. I. em. 1., adószám: 25096695-2-41) — székhelyszolgáltató; a székhelyre érkező postai küldeményeket az Adatkezelő megbízásából felbontja, szkenneli, és a tartalmukat elektronikusan, a küldeményeket fizikailag továbbítja az Adatkezelő részére.
• Barion Payment Zrt. (1083 Budapest, Bókay János utca 44-46. C5. épület, 8. emelet, adószám: 25353192-2-42) — fizetésfeldolgozás és Barion Pixel; a fizetési (kártya)adatok kizárólag a Barionnál keletkeznek.
• Google Analytics 4 és Meta Pixel (Meta Platforms Ireland Ltd.) — webanalitika és hirdetésmérés, kizárólag hozzájárulás esetén; USA-átvitel SCC-k alapján.
• NAV — a számlaadatok jogszabályi kötelezettség alapján (Áfa tv.); a NAV a továbbítást követően önálló adatkezelő.
• Versus Könyvelő Kft. (1201 Budapest, Kossuth L. u. 32. 5/49., adószám: 23426728-2-43) — az Adatkezelő könyvelője; a Felhasználók előfizetéséről kiállított számlák és a kapcsolódó számlázási adatok a könyvviteli kötelezettségek teljesítéséhez kerülnek továbbításra (6(1)(c) jogi kötelezettség).

Az Adatkezelő a fenti körön túl személyes adatokat harmadik félnek nem ad át, kivéve jogszabályi kötelezettség vagy a hatóság célhoz kötött megkeresése esetén.

5. Megőrzési idő

• Fiókadatok: a fiók megszűnéséig; a fiók alkalmazásbeli „törlése" technikailag letiltást (deaktiválást) jelent — a deaktiválás után a Felhasználó nem tud bejelentkezni, a rendszer nem küld e-maileket a regisztrált e-mail címére, az adatok azonban a jogszabályi megőrzési kötelezettségekig megmaradnak, és a fiók kérésre az ügyfélszolgálaton keresztül újraaktiválható.
• Végleges törlés: ha a Felhasználó a fiókjához kapcsolódó adatok végleges törlését szeretné, először deaktiválnia kell a fiókját az alkalmazásban, majd e-mailben kell megkeresnie minket. Törlési kérelmet kizárólag a support@cdhntrs.hu címre küldött e-mailben fogadunk be, és csak akkor dolgozzuk fel, ha az a fiók regisztrált e-mail címéről érkezik — ez szolgál a kérelmező azonosítására.
• Számla- és könyvviteli adatok: 8 év (2000. évi C. tv. 169. §) — ez az Adatkezelő saját kimenő számláira (pl. előfizetési számlák) és az ezekhez kapcsolódó adatokra vonatkozik; az érintetti törlési kérelmet ez felülírja.
• A Felhasználó által kiállított számlák tartalmát a jogviszony végén töröljük vagy anonimizáljuk; a Felhasználó számláinak jogszabályi megőrzési kötelezettsége (8 év) a Felhasználót terheli — az Alkalmazás nem vállalja át a Felhasználó számviteli megőrzési kötelezettségét.
• Biztonsági mentések: 30 nap; a törölt adatok a mentési ciklusból a rotációval kerülnek ki.
• Naplók: naplóforgás szerint, maximum 90 nap.
• Landing oldali megkeresések és ügyfélszolgálati levelezés: törlési kérelemig (automatikus törlés nincs).
• Tétlen fiókok: az e-mail-címét nem hitelesített regisztrációkat rendszeresen töröljük; azt a fiókot, amelyhez soha nem kapcsolódott fizetős előfizetés, legalább 24 hónapja inaktív, és amelyhez egyetlen véglegesített számla sem tartozik, a regisztrált e-mail címre küldött legalább 30 napos figyelmeztetést követően törölhetjük (ÁSZF 12.5). Legalább egy kiállított számlához kapcsolódó fiók ezen a módon nem törlődik.

6. Adatbiztonság

TLS-titkosított kapcsolat; a jelszavak kizárólag hashelt formában tárolódnak; a szerver adminisztratív elérése kizárólag az Adatkezelő eszközéről, SSH-kulccsal lehetséges; tűzfal-korlátozás — csak a működéshez szükséges portok vannak nyitva; heti rendszerességű biztonsági frissítések; alkalmazásonként elkülönített, jelszóval védett adatbázis-hozzáférés; IP-alapú rate limiting; rendszernaplózás és monitorozás; napi jelszóval védett biztonsági mentés — a szerverlemez és a mentési tárhelyek (Azure, Google Drive) szolgáltatói oldali titkosítást is alkalmaznak. A személyes adatokhoz kizárólag az Adatkezelő fér hozzá, jogszerű működési céllal. Adatvédelmi incidens esetén a bejelentést 72 órán belül megtesszük a NAIH felé, magas kockázat esetén az érintetteket is tájékoztatjuk.

7. Az érintett jogai

Tájékoztatás, hozzáférés, helyesbítés, törlés (a jogszabályi megőrzés korlátaival), korlátozás, adathordozhatóság, tiltakozás jogos érdek esetén, hozzájárulás visszavonása (cookie banner / support@cdhntrs.hu).

Gyakorlás: e-mail a support@cdhntrs.hu címre; válaszadási határidő 30 nap. Összetett vagy számos kérelem esetén a határidő további két hónappal meghosszabbítható, amelyről a kérelem kézhezvételétől számított egy hónapon belül értesítünk.

Törlés helyszínei (landing oldali megkeresés esetén): levelezési várólista adatbázis (OCI, Milánó), a megkeresés által célzott Forpsi postaláda és az ügyvezető Gmail postaládája, biztonsági mentések (30 napos rotációval), Forpsi SMTP naplók (törlés kezdeményezése).

Törlés helyszínei (az Alkalmazás fiók- és számlaadatai esetén): levelezési várólista és alkalmazás-adatbázis (OCI, Milánó), Google Drive biztonsági mentések (30 napos rotációval), Azure Blob számla-PDF másolatok, tranzakciós e-mail tárhelyek (Forpsi postaláda, ügyvezetői Gmail), szervernaplók (maximum 90 nap).

8. Jogorvoslat

• Panasz az Adatkezelőnél: support@cdhntrs.hu.
• NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság, 1055 Budapest, Falk Miksa u. 9–11., ugyfelszolgalat@naih.hu, naih.hu.
• Bírósághoz fordulás joga — a bíróság soron kívül jár el.

9. Sütik és hozzájárulás

9.1. Technikai sütik és helyi tár

A Szolgáltatás működéséhez technikai sütik/helyi tár szükséges (bejelentkezési állapot, hozzájárulás-beállítás, nyelvi beállítás a munkamenet-tárban).

9.2. Követők — csak hozzájárulás után

A követők kizárólag a hozzájárulási sávban adott engedély után töltődnek be, és csak az éles (production) domaineken aktívak — kivéve a Barion Pixelt, amely a biztonságos kártyás fizetéshez a Barion által kötelezően előírt csalásmegelőzési céllal mind a landing oldalon, mind az alkalmazásban hozzájárulás nélkül is betöltődik, és a felhasználó által nem kapcsolható ki (6(1)(f) jogos érdek). A hozzájárulás bármikor visszavonható a felületen; visszavonás esetén a hozzájárulás-alapú követők nem töltődnek be, és a hozzájuk tartozó sütik törlődnek.

10. Módosítás

Az Adatkezelő a tájékoztatót módosíthatja; a lényeges változásokról e-mailben vagy alkalmazáson belüli értesítéssel tájékoztat.

🇬🇧 ENGLISH VERSION

(Convenience translation — the Hungarian version above prevails.)

1. Data Controller

CodeHunters Kft. — 2724 Újlengyel, Petőfi Sándor utca 48., Hungary; postal: 1215 Budapest, Katona József utca 31/A 3/38.; reg. 13-09-235219 (Budapest-Capital Regional Court); tax 28730349-2-13 / HU28730349; support@cdhntrs.hu; +36 30 640 2722.

Contact: for privacy matters please contact us primarily by e-mail at support@cdhntrs.hu.

By post, please write to our postal (correspondence) address — 1215 Budapest, Katona József utca 31/A 3/38., Hungary — which is handled directly by the Controller.

Important notice for mail sent to the registered seat: postal items arriving at the registered seat (2724 Újlengyel, Petőfi Sándor utca 48.) are opened, scanned and forwarded to the Controller — electronically and physically — by an external registered-seat service provider, Gross Office Kft. (seat: 1027 Budapest, Bem rakpart 50. I. em. 1., Hungary; tax no. 25096695-2-41), acting on the Controller's behalf under contract. The seat provider therefore gains access to the content of letters addressed to the registered seat; for privacy matters please use the e-mail or postal address above.

This policy covers two surfaces:

• billinghunter.hu — the marketing/landing page (the Landing page),
• app.billinghunter.hu — the BillingHUNter invoicing application (the Application or Service).

Data processing differs per surface: Section 2.1 applies to Landing page visitors, Section 2.2 to Application users.

2. Data processed, purposes, legal bases

2.1. Landing page (billinghunter.hu)

Contact form flow: submissions go to the central api.codehunters.hu service, which records them in the mail queue of the database on the server. The system then generates an email delivered to the Forpsi mailbox via the Forpsi SMTP server, which automatically forwards it to the managing director's Gmail mailbox — the only mailbox where the inquiry's content ends up. Queue entries and the received e-mails are kept until deletion is requested — they are never deleted automatically; they may also appear in backups for the 30-day rotation period.

2.2. Application (app.billinghunter.hu)

Rate limiting note: the Application and the servers apply IP-based rate limiting to prevent abuse. This is a technical security measure requiring short-term processing of the IP address.

3. Storage locations

3.1. Servers and database

The Application, the Landing page and the related services (including the mail queue) run on a virtual machine provided by Oracle Cloud Infrastructure.

Server location: Milan, Italy (European Union)

User and business data is stored in the database running on the server. Access is isolated per application and password-protected.

3.2. Log infrastructure

System logs (application, access, error and security logs) are stored by the log-management infrastructure running on the server. Logs remain exclusively on our own servers and are not transferred to third parties. Logs may contain IP addresses and technical identifiers; they are processed under legitimate interest (Art. 6(1)(f)) for security and debugging purposes.

3.3. Backups

Daily backups are created of the databases. Backups are stored as password-protected archives on the server and in the personal Google Drive account of the Controller's managing director; retention is 30 days. Deleted data is removed from backups by rotation within a maximum of 30 days.

Generated invoice PDFs are additionally backed up to Azure Blob Storage (Microsoft, West Europe region, Netherlands). Google Drive and Azure storage may involve transfer to the USA under the EU–US Data Privacy Framework and/or Standard Contractual Clauses (SCC).

4. Processors and transfers

• Oracle Cloud Infrastructure — hosting (Milan, EU).
• Google Drive (Google Ireland Ltd.) — password-protected daily backups to the managing director's personal Google account, 30-day retention; US transfer under adequacy/SCCs.
• Microsoft Azure Blob Storage — secondary backup of generated invoice PDFs (West Europe region, Netherlands).
• BlazeArts Kft. (Forpsi) (1096 Budapest, Thaly Kálmán utca 39., Hungary; tax no. 12539833-2-43) and Google (Gmail) — mail infrastructure for transactional e-mail and landing-page inquiries.
• Gross Office Kft. (1027 Budapest, Bem rakpart 50. I. em. 1., Hungary; tax no. 25096695-2-41) — registered-seat provider; opens, scans and forwards postal items arriving at the registered seat to the Controller, electronically and physically, under contract.
• Barion Payment Zrt. (1083 Budapest, Bókay János utca 44-46. Building C5, 8th floor, Hungary; tax no. 25353192-2-42) — payment processing and Barion Pixel; card data is created solely at Barion.
• Google Analytics 4 and Meta Pixel (Meta Platforms Ireland Ltd.) — analytics and advertising measurement, only with consent; US transfer under SCCs.
• NAV — invoice data transmitted as required by law; NAV is an independent controller thereafter.
• Versus Könyvelő Kft. (1201 Budapest, Kossuth L. u. 32. 5/49., Hungary; tax no. 23426728-2-43) — the Controller's accountant; invoices issued for Users' subscriptions and related billing data are transferred to them for statutory bookkeeping purposes (Art. 6(1)(c) legal obligation).

No other personal-data transfers occur except under legal obligation or authority requests limited to the specified purpose.

5. Retention

• Account data: until termination — in-app account "deletion" is a technical deactivation, not erasure: after deactivation the user cannot log in and no e-mails are sent to the address, but the data remains for statutory retention, and the account can be reactivated on request via support.
• Permanent deletion: to have account data permanently erased, the user must first deactivate the account in the application, then contact us by e-mail. Deletion requests are accepted only via support@cdhntrs.hu, and are processed only if sent from the account's registered e-mail address — this is how we verify the requester's identity.
• Invoice/accounting data: 8 years (Accounting Act §169) — applies to the Controller's own sales invoices (e.g. subscription invoices) and related data; this overrides erasure requests.
• Content of invoices issued by Users is deleted or anonymised at the end of the relationship; statutory retention of the User's invoices (8 years) is the User's own obligation — the Service does not assume the User's accounting retention duties.
• Backups: 30 days; deleted data leaves backups by rotation.
• Logs: per rotation, maximum 90 days.
• Landing-page inquiries and support correspondence: until deletion is requested (no automatic deletion).
• Dormant accounts: registrations whose e-mail address was never verified are deleted regularly; an account that never had a paid subscription, has been inactive for at least 24 months and has no finalised invoice may be deleted after a warning of at least 30 days sent to the registered e-mail address (ToS §12.5). An account with at least one issued invoice is not deleted this way.

6. Security

TLS-encrypted connections; passwords stored hashed only; administrative server access via SSH key, restricted to the Controller's device; firewall restriction — only the ports required for operation are open; weekly security updates; per-application, password-protected database access; IP-based rate limiting; system logging and monitoring; daily password-protected backups — the server disk and the backup storage services (Azure, Google Drive) also apply provider-side encryption. Only the Controller accesses personal data, for legitimate operational purposes. In the event of a personal-data breach we notify NAIH within 72 hours and, where the breach poses a high risk, the affected data subjects as well.

7. Your rights

Information, access, rectification, erasure (subject to statutory retention), restriction, portability, objection to legitimate-interest processing, consent withdrawal (cookie banner / support@cdhntrs.hu). Requests: support@cdhntrs.hu — response within 30 days. For complex or numerous requests the deadline may be extended by two further months; we will inform you of the extension within one month of receiving the request.

Deletion locations (landing-page inquiries): mail queue database (OCI, Milan), the Forpsi mailbox targeted by the inquiry and the managing director's Gmail mailbox, backups (30-day rotation), Forpsi SMTP logs (deletion initiated).

Deletion locations (Application account and invoice data): mail queue and application databases (OCI, Milan), Google Drive backups (30-day rotation), Azure Blob invoice-PDF copies, transactional mail stores (Forpsi mailbox, managing director's Gmail), server logs (maximum 90 days).

8. Remedies

Complaint to the Controller (support@cdhntrs.hu); to NAIH (1055 Budapest, Falk Miksa u. 9–11., ugyfelszolgalat@naih.hu); or to court (expedited procedure).

9. Cookies and consent

9.1. Technical cookies and local storage

Technical cookies/local storage are required for login state, consent settings and the UI language preference (session storage).

9.2. Trackers — only after consent

Trackers load only after consent given in the banner, and only on the production domains — except the Barion Pixel, which loads without consent on both the landing page and in the application as fraud prevention required by Barion for secure card payments, and cannot be disabled by the user (Art. 6(1)(f) legitimate interest). Consent can be withdrawn at any time in the interface; on withdrawal, consent-based trackers are not loaded and their cookies are deleted.

10. Changes

Material changes are notified by e-mail or in-app notice.