Adatvédelmi Tájékoztató – Quarma360 Teljesítményértékelési Platform

Hatálybalépés dátuma: 2025. november 12. | Verzió: 2.0

1. Általános rendelkezések

1.1. A Tájékoztató hatálya

Jelen Adatvédelmi Tájékoztató (a továbbiakban: Tájékoztató) az NW Business Korlátolt Felelősségű Társaság (székhely: HU-6500 Baja, Szabadság út 79. 2. em 9. ajtó, cégjegyzékszám: 03-09-138461, adószám: 32576340-2-03; a továbbiakban: Adatkezelő vagy Társaság) által üzemeltetett Quarma360 teljesítményértékelési platform (a továbbiakban: Platform) használata során végzett adatkezelési tevékenységeket ismerteti.

1.2. A Platform jellemzői

A Platform egy B2B (business-to-business) SaaS (Software as a Service) szolgáltatás, amely szervezetek számára teszi lehetővé munkavállalóik 360 fokos, kompetencia-alapú teljesítményértékelését. A Platform célja a munkavállalói teljesítmény objektív mérése, nyomon követése és dokumentálása, amely alapul szolgálhat javadalmazási, előléptetési, fejlesztési és egyéb HR-döntésekhez.

1.3. Jogszabályi megfelelés

Az Adatkezelő kötelezettséget vállal arra, hogy minden személyes adat kezelése során maradéktalanul megfelel az Európai Unió Általános Adatvédelmi Rendeletének (GDPR – 2016/679/EU rendelet), a magyar információs önrendelkezési jogról szóló 2011. évi CXII. törvénynek (Infotv.), valamint a kapcsolódó hatályos jogszabályoknak.

1.4. Érintetti körök

Jelen Tájékoztató hatálya kiterjed az alábbi érintettekre:

• a Platformot igénybe vevő szervezetek kapcsolattartó személyei (B2B ügyfelek),
• a teljesítményértékelésben részt vevő munkavállalók,
• a Platform weboldalának látogatói.

2. Adatkezelő azonosítása és elérhetőségei

2.1. Adatkezelő adatai

Adat	Érték
Név	NW Business Korlátolt Felelősségű Társaság
Székhely	HU-6500 Baja, Szabadság út 79. 2. em 9. ajtó
Levelezési cím	HU-6500 Baja, Szabadság út 79. 2. em 9. ajtó
Cégjegyzékszám	03-09-138461
Adószám	32576340-2-03
EU ÁFA szám	HU32576340
Nyilvántartó bíróság	Kecskeméti Törvényszék Cégbírósága

2.2. Adatvédelmi felelős elérhetőségei

Adat	Érték
Név	Zeller Bálint (ügyvezető)
E-mail cím	[email protected]
Telefonszám	+36 70 265 2651

2.3. Általános kapcsolatfelvételi lehetőségek

Adat	Érték
E-mail cím	[email protected]
Elérhető nyelvek	magyar, angol
Válaszadási határidő	30 nap (indokolt esetben további 60 nappal meghosszabbítható)

2.4. Adatvédelmi tisztviselő

Az Adatkezelő nem köteles külön adatvédelmi tisztviselő (Data Protection Officer, DPO) kinevezésére, tekintettel arra, hogy a GDPR 37. cikk (1) bekezdése szerinti feltételek nem teljesülnek. Az adatvédelmi feladatokat az ügyvezető látja el.

3. Adatkezelési szerepkörök tisztázása

3.1. Adatkezelő és adatfeldolgozó fogalma

Adatkezelő (GDPR 4. cikk 7. pont): az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza.

Adatfeldolgozó (GDPR 4. cikk 8. pont): az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel.

3.2. Szerepkörök a Platform használata során

Munkavállalói teljesítményértékelés tekintetében:

• Adatkezelő: a Platformot használó szervezet (munkáltató), amely meghatározza, hogy a munkavállalói milyen célból, milyen adatkörrel és milyen módon kerülnek értékelésre.
• Adatfeldolgozó: az NW Business Kft. (Quarma360), amely kizárólag a munkáltató nevében és utasításai alapján dolgozza fel a munkavállalók személyes adatait a Platform műszaki szolgáltatásának keretében.

B2B szolgáltatás nyújtása tekintetében:

• Adatkezelő: az NW Business Kft., amely önállóan határozza meg az ügyfélkapcsolatok kezelésének célját és eszközeit.

3.3. Felelősség elhatárolása

A fenti szerepkörök alapján a munkáltató felelős azért, hogy a munkavállalók személyes adatainak kezelése megfelelő jogalappal és a hatályos jogszabályoknak megfelelően történjen. Az NW Business Kft. mint adatfeldolgozó a munkáltató írásbeli utasításai szerint jár el, és önállóan nem dönt a személyes adatok kezelésének céljairól.

4. Kezelt személyes adatok köre

4.1. Szervezeti kapcsolattartók személyes adatai

A Platform használatára vonatkozó szerződés megkötése és teljesítése érdekében az Adatkezelő az alábbi személyes adatokat kezeli a szervezetek kapcsolattartó személyeiről:

Adatkategória	Kezelt adatok	Kötelező
Személyes azonosító adatok	teljes név, e-mail cím, telefonszám	Igen
Szervezeti adatok	cégnév, székhely, adószám, EU ÁFA szám, cégjegyzékszám	Igen
Számlázási információk	számlázási cím, bankszámlaszám	Igen
Technikai rendszeradatok	IP cím, böngésző típusa és verziója, eszköz-azonosítók	Automatikus

4.2. Munkavállalói személyes adatok

A teljesítményértékelési folyamat lebonyolítása érdekében az Adatkezelő adatfeldolgozóként az alábbi munkavállalói személyes adatokat kezeli:

4.2.1. Alapvető személyazonosító és szervezeti adatok

Adattípus	Tartalom
Személyazonosító adatok	teljes név, e-mail cím (céges vagy magán)
Szervezeti adatok	beosztás/titulus, szervezeti szint, szervezeti egység/részleg, felettes neve, beosztottak nevei, nettó bér (opcionális)

4.2.2. Teljesítményértékelési adatok (a Platformon keletkező adatok)

• kompetencia-pontszámok (0–100 skálán),
• önértékelési eredmények,
• kollegiális értékelések (anonimizált formában),
• vezetői értékelések (anonimizált formában),
• beosztotti értékelések (anonimizált formában),
• vezetői rangsorok (anonimizált formában),
• időszakos teljesítménytörténet,
• teljesítménykategória (ún. Bonus/Malus besorolás) (M04–M01, A00, B01–B10 skálán).

4.2.3. Bonus/Malus számítási adatok

• teljesítménykategória,
• alkalmazott szorzók,
• nettó havi jövedelem (kizárólag, amennyiben a munkáltató használja a Platform automatikus bónuszszámítási funkcióját).

4.2.4. Viselkedési telemetria és megbízhatósági adatok

Amennyiben a munkáltató nem kapcsolta ki a Platform AI telemetria funkcióját, az alábbi adatok kerülhetnek gyűjtésre:

• értékelések kitöltési időtartamai,
• válaszváltoztatások száma és gyakorisága,
• kitöltési szünetidők hossza,
• megbízhatósági pontszám (trust score, 0–20 skála),
• megbízhatósági index (trust index, 0–100% skála),
• gyanús viselkedési jelzők,
• használt eszköz típusa (asztali számítógép, mobileszköz).

4.2.5. Technikai rendszeradatok

• IP címek,
• munkamenet-azonosítók,
• cookie azonosítók,
• böngésző fingerprint adatok,
• rendszernapló-bejegyzések.

4.3. Szigorú anonimizálási mód és AI telemetria kikapcsolása

4.3.1. Szigorú anonimizálási mód működése

A Platform lehetőséget biztosít a munkáltató számára, hogy szervezeti szinten engedélyezze a szigorú anonimizálási módot. E mód aktiválása esetén a rendszer nem tárolja el az értékelést kitöltő munkavállaló azonosítóját az adatbázisban, még analitikai célból sem.

4.3.2. AI telemetria automatikus kikapcsolása

A szigorú anonimizálási mód automatikusan kikapcsolja az AI telemetria funkciókat, mivel azok működéséhez szükséges a felhasználói viselkedési adatok tárolása és elemzése.

4.3.3. Nem gyűjtött adatok szigorú anonimizálási módban

Szigorú anonimizálási mód esetén nem kerül sor a 4.2.4. pont szerinti viselkedési telemetria gyűjtésére és feldolgozására, következésképpen a rendszer nem végez fraud detection (visszaélés-észlelési) tevékenységet.

4.3.4. AI telemetria független kikapcsolása

Az AI telemetria funkció a szigorú anonimizálási mód aktiválása nélkül is kikapcsolható. Ebben az esetben a felhasználó azonosítója tárolásra kerül, azonban a 4.2.4. pont szerinti viselkedési adatok gyűjtése nem történik meg.

4.3.5. Konfiguráció felelőssége

A fenti beállítások megváltoztatása a munkáltató adminisztrátorának joga és felelőssége. Az Adatkezelő adatfeldolgozóként kizárólag a munkáltató által meghatározott konfigurációnak megfelelően jár el.

4.4. Weboldal-látogatók adatai

A Platform weboldalának látogatói tekintetében az Adatkezelő az alábbi adatokat gyűjti:

• IP cím,
• böngésző típusa és verziója,
• operációs rendszer típusa,
• látogatási időpontok,
• megtekintett oldalak URL címei,
• nyelvi preferenciák.

Marketing célú analitikai adatgyűjtés (pl. Microsoft Clarity szolgáltatás): kizárólag a látogató kifejezett hozzájárulása esetén történik, és magában foglalhatja hőtérképek, session replay és kattintási minták rögzítését.

5. Adatkezelés célja és jogalapja

5.1. Általános elvek

Az Adatkezelő minden esetben meghatározott, egyértelmű és jogszerű célból végez személyes adatok kezelést. Az adatkezelés jogalapját a GDPR 6. cikk (1) bekezdésében meghatározott jogalapok valamelyike képezi.

5.2. Adatkezelési célok, jogalapok és megőrzési idők

Adatkezelés célja	Jogalap (GDPR 6. cikk)	Adatmegőrzési időtartam
360 fokos teljesítményértékelés lebonyolítása	(f) – munkáltató jogos érdeke	munkaviszony fennállása + 3 év, ezt követően anonimizálás
Kompetenciák mérése és nyomon követése	(f) – munkáltató jogos érdeke	munkaviszony fennállása + 3 év, ezt követően anonimizálás
Bónusz és málusz számítás	(b) – szerződés teljesítése, vagy (f) – jogos érdek	munkaviszony fennállása + 3 év, ezt követően anonimizálás
Visszaélés-észlelés (fraud detection)	(f) – értékelési rendszer integritása	értékelési időszak lezárása + 1 év
SaaS szolgáltatás nyújtása szervezetek számára	(b) – szerződés teljesítése	szerződés fennállása + 30 nap
Számlázás és fizetés kezelése	(b) – szerződés teljesítése; (c) – jogi kötelezettség	8 év (számviteli kötelezettség)
Ügyfélszolgálat és technikai támogatás	(b) – szerződés teljesítése	a probléma megoldása + 1 év
Rendszerbiztonság és visszaélések megelőzése	(f) – jogos érdek; (c) – jogi kötelezettség	1 év
Marketing analitika	(a) – hozzájárulás	hozzájárulás visszavonásáig, de legfeljebb 2 év

5.3. Jogos érdek mérlegelési tesztje

Amennyiben az adatkezelés jogalapja a jogos érdek (GDPR 6. cikk (1) bekezdés f) pont), az Adatkezelő elvégezte a szükséges jogos érdek mérlegelési tesztet (Legitimate Interest Assessment – LIA). Ennek eredménye szerint:

• A munkáltató jogos érdeke: a munkavállalók teljesítményének mérése, fejlesztése, az objektív és átlátható javadalmazási rendszer kialakítása, a szervezet hatékony működésének biztosítása.
• Ésszerű elvárhatóság: a munkavállalók ésszerűen számíthatnak arra, hogy munkaviszonyuk keretében teljesítményértékelés alá esnek, ha erről előzetesen megfelelő tájékoztatást kapnak.
• Arányosság: az adatgyűjtés a célhoz képest szükséges és arányos, kizárólag munkahelyi teljesítményre vonatkozik, megfelelő technikai és szervezési intézkedések védik az adatokat, az érintettek gyakorolhatják jogaikat.
• Visszaélés-észlelés jogos érdeke: a fraud detection célja az értékelési rendszer megbízhatóságának és integritásának védelme, amely a munkáltató és a munkavállalók közös érdeke.

5.4. A munkáltató felelőssége a jogalap biztosításáért

5.4.1. A munkáltató által biztosítandó jogalapok

A munkavállalói teljesítményértékelés tekintetében a jogalap biztosítása a munkáltató feladata. A jogalap különösen az alábbi lehet:

• (b) pont – a munkaszerződés teljesítése, ha a teljesítményértékelés a munkaszerződés elválaszthatatlan része vagy a javadalmazás meghatározásához szükséges;
• (f) pont – a munkáltató jogos érdeke, megfelelő jogos érdek mérlegelési teszttel alátámasztva;
• (c) pont – jogi kötelezettség teljesítése, amennyiben azt kollektív szerződés vagy jogszabály írja elő.

5.4.2. Tiltott jogalap – hozzájárulás

Az Adatkezelő felhívja a figyelmet arra, hogy a munkaviszony keretében végzett adatkezeléshez a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás főszabály szerint nem megfelelő jogalap, tekintettel a munkáltató és munkavállaló közötti alá-fölérendeltségi viszonyra.

6. Automatizált döntéshozatal és mesterséges intelligencia alkalmazása

6.1. Általános rendelkezések

6.1.1. AI-alapú rendszer használata

A Platform a teljesítményértékelési folyamat támogatására mesterséges intelligencia (AI) alapú elemzéseket alkalmaz. Az AI-funkciók a Microsoft Azure OpenAI Service (EU régió) keretében futó, speciálisan konfigurált nyelvi modellekre épülnek.

6.1.2. GDPR 22. cikk alkalmazása

Az AI-alapú feldolgozás a GDPR 22. cikk hatálya alá tartozik, amely az automatizált döntéshozatalt – ideértve a profilalkotást – szabályozza.

6.2. AI-alapú automatizált döntéshozatal tartalma

6.2.1. Megbízhatósági pontszám (trust score) számítása

Az AI-alapú rendszer a kitöltési viselkedés elemzése alapján automatikusan megbízhatósági pontszámot (trust score: 0–20 skála, trust index: 0–100%) határoz meg egyes értékelésekhez. A számítás többek között az alábbi paramétereket veszi figyelembe:

• kitöltési időtartamok és időzítési minták,
• válaszváltoztatások száma és gyakorisága,
• válaszok konzisztenciája,
• statisztikai szélsőértékek (outlier-ek).

6.2.2. Teljesítmény-küszöbértékek automatikus meghatározása

A rendszer AI-alapú algoritmus segítségével javaslatot tesz a teljesítménykategóriák (bónusz/málusz szintek) küszöbértékeire a pontszámok statisztikai eloszlása alapján. A küszöbértékek meghatározása során a rendszer figyelembe veszi:

• az értékelt munkavállalók pontszámainak eloszlását,
• a szervezet korábbi értékelési adatait,
• a munkáltató által meghatározott konfigurációs paramétereket.

6.2.3. Az automatizált döntéshozatal jellemzői

• a döntéshozatal determinisztikus algoritmusokon alapul,
• a döntés szigorú, előre meghatározott szabályok és matematikai képletek alapján történik,
• az algoritmusok működése dokumentált és auditálható,
• a döntéshozatal logikája a munkáltató számára ismertethető.

6.3. Az automatizált döntéshozatal korlátozása és emberi felülvizsgálat

6.3.1. A „kizárólag automatizált” döntéshozatal hiánya

Az AI-alapú automatizált döntéshozatal nem minősül a GDPR 22. cikk (1) bekezdése szerinti „kizárólag automatizált döntéshozatalnak”, mivel:

• a munkáltató adminisztrátora vagy vezetője bármikor felülvizsgálhatja, módosíthatja vagy figyelmen kívül hagyhatja az AI által generált eredményeket;
• egy munkavállalót nem érhet hátrányos munkaügyi következmény kizárólag az AI által generált trust score alapján;
• a végső döntést minden esetben emberi személy (adminisztrátor vagy vezető) hozza meg.

6.3.2. Az érintett jogai az automatizált döntéshozatallal kapcsolatban

Az érintett munkavállaló jogosult:

• emberi beavatkozást kérni az automatizált döntéshozatalba,
• véleményt kifejezni az automatizált döntéssel kapcsolatban,
• az automatizált döntést vitatni,
• magyarázatot kérni az automatizált döntéshozatal logikájára és főbb kritériumaira.

6.4. Pseudonimizálás és adatvédelem az AI feldolgozás során

6.4.1. Adatminimalizálás az Azure OpenAI Service felé

A Microsoft Azure OpenAI Service felé továbbított adatok kizárólag pseudonimizált formában kerülnek továbbításra. Az AI-modell nem kap hozzáférést az alábbi adatokhoz:

• érintett neve,
• e-mail címe,
• konkrét beosztása vagy pozíciója,
• nettó jövedelme,
• bármely egyéb, közvetlen személyazonosításra alkalmas adat.

6.4.2. Az Azure OpenAI Service felé továbbított adatok köre

Az Azure OpenAI Service számára jellemzően az alábbi adatok kerülnek továbbításra:

• pseudonimizált felhasználói azonosítók (pl. „user_123”),
• numerikus kompetenciapontszámok,
• időzítési adatok (másodpercben),
• viselkedési metrikák numerikus formában,
• aggregált statisztikai adatok.

6.4.3. Adatmegőrzés az Azure OpenAI Service rendszerében

Az Azure OpenAI Service a vonatkozó szolgáltatói szabályzat szerint nem használja fel az adatokat modelltréning céljára. A kérések naplóadatai legfeljebb korlátozott ideig (általában legfeljebb 30 napig) kerülnek megőrzésre, kizárólag az üzemeltetési, biztonsági és visszaélés-megelőzési célok érdekében.

6.5. AI funkciók kikapcsolásának lehetősége

6.5.1. A munkáltató jogai

A munkáltató adminisztrátora bármikor jogosult:

• kikapcsolni az AI-alapú trust score számítást,
• kikapcsolni a telemetria adatgyűjtést,
• engedi a szigorú anonimizálási módot, amely automatikusan deaktiválja az összes AI telemetria funkciót.

6.5.2. Funkcionalitás fenntartása AI nélkül

Az AI funkciók kikapcsolása nem eredményezi a Platform alapvető értékelési funkcióinak működésképtelenségét. A teljesítményértékelési folyamat AI nélkül is teljes körűen lebonyolítható.

6.6. Adatvédelmi hatásvizsgálat (DPIA)

6.6.1. DPIA elvégzése

Az Adatkezelő a GDPR 35. cikk alapján adatvédelmi hatásvizsgálatot (Data Protection Impact Assessment – DPIA) végzett a Platform AI-alapú funkcióira vonatkozóan.

6.6.2. DPIA eredménye

A DPIA eredménye szerint a megfelelő technikai és szervezési intézkedések (pseudonimizálás, emberi felülvizsgálat lehetősége, kikapcsolási opció, korlátozott megőrzési idők) alkalmazása mellett a maradványkockázat elfogadható szintre csökkenthető.

7. Adatfeldolgozók és nemzetközi adattovábbítás

7.1. Adatfeldolgozók listája

Az Adatkezelő a GDPR 28. cikk alapján adatfeldolgozási megállapodásokat (Data Processing Agreement – DPA) köt az alábbi adatfeldolgozókkal:

Adatfeldolgozó	Székhely	Tevékenység	DPA státusz
Microsoft Ireland Operations Ltd. (Azure OpenAI Service)	Dublin, Írország	AI-alapú elemzés, trust score támogatása	Elérhető
Barion Payment Zrt.	Budapest, Magyarország	online fizetési tranzakciók kezelése	Elérhető
Billingo Technologies Zrt.	Budapest, Magyarország	automatikus számlakiállítás	Elérhető
Amazon Web Services EMEA SARL	EU régió (Frankfurt)	titkosított biztonsági mentések (AWS S3)	Elérhető
Websupport Magyarország Kft.	Budapest, Magyarország	VPS hosting, szerverinfrastruktúra	Szerződés
Cloudflare, Inc.	USA (EU szerverekkel)	DNS, CDN, DDoS védelem	Elérhető
Google Ireland Ltd.	Dublin, Írország	OAuth bejelentkezés, kapcsolódó Google-szolgáltatások	Elérhető
Microsoft Ireland Operations Ltd.	Dublin, Írország	OAuth bejelentkezés, Microsoft Clarity	Elérhető
SÁMÁN & SÁMÁN Bt.	6500 Baja, Magyarország	könyvelési szolgáltatások	Szerződés
Raiffeisen Bank Zrt.	Budapest, Magyarország	banki szolgáltatások, fizetési tranzakciók	Szerződés

7.2. Nemzetközi adattovábbítás (harmadik országok)

7.2.1. Általános rendelkezés

Egyes adatfeldolgozók esetében személyes adatok továbbítására kerülhet sor az Európai Gazdasági Térségen (EGT) kívüli országokba, különösen az Amerikai Egyesült Államokba. Az ilyen adattovábbítás kizárólag a GDPR 44–49. cikke szerinti megfelelő garanciák biztosítása mellett történik.

7.2.2. Microsoft Azure OpenAI Service

Az Azure OpenAI Service esetében az adatfeldolgozás alapvetően EU régióban (pl. Frankfurt) történik. A szolgáltatás igénybevételének célja, hogy az AI-feldolgozás lehetőség szerint az EGT területén belül maradjon. Amennyiben mégis szükségessé válna harmadik országba irányuló adattovábbítás (például Microsoft támogatási eljárás során), úgy annak jogalapja a standard szerződéses záradékok (SCC) és a Microsoft által vállalt további garanciák.

7.2.3. Google, Microsoft (Clarity), Cloudflare és egyéb szolgáltatók

A Google Ireland Ltd., a Microsoft Ireland Operations Ltd. és a Cloudflare Inc. esetében a személyes adatok EGT-n kívülre történő továbbítására is sor kerülhet. Ezen adattovábbítások esetén:

• elsődleges védelemként standard szerződéses záradékok (SCC) kerülnek alkalmazásra,
• a szolgáltatók rendelkeznek EU–US Data Privacy Framework (DPF) tanúsítvánnyal (amennyiben alkalmazható),
• adatminimalizálási elv érvényesül: csak a szolgáltatás nyújtásához szükséges minimális adatok kerülnek továbbításra.

7.2.4. DPA és SCC dokumentumok

Az érintett kérésére az Adatkezelő rendelkezésre bocsátja az adatfeldolgozási megállapodások és a standard szerződéses záradékok lényeges tartalmának másolatát.

8. Adatmegőrzési időtartamok és anonimizálás

8.1. Általános adatmegőrzési elvek

Az Adatkezelő a személyes adatokat csak addig őrzi meg, ameddig az adatkezelés céljának eléréséhez szükséges, figyelembe véve a jogszabályi előírásokat, az elévülési időket, valamint az érintettek és az Adatkezelő jogos érdekeit.

8.2. Részletes adatmegőrzési idők

Adatkategória	Megőrzési időtartam	Jogi alap
Aktív szervezeti szerződések adatai	a szerződés fennállása alatt	GDPR 6. cikk (1) b) pont
Lezárt szervezeti szerződések adatai (kivéve számlák)	a szerződés megszűnését követő 30 nap	GDPR 5. cikk (1) e) pont
Lezárt értékelési időszakok munkavállalói adatai	munkaviszony fennállása + 3 év, ezt követően anonimizálás	GDPR 6. cikk (1) f) pont
Anonimizált teljesítményadatok	korlátlan ideig (nem minősül személyes adatnak)	GDPR 26. preambulum
Számlák és pénzügyi dokumentumok	8 év	2000. évi C. törvény 169. §
Fizetési tranzakciók adatai	5 év	Ptk. 6:22. §
Audit naplók és biztonsági rendszernaplók	1 év	GDPR 6. cikk (1) f) pont
Ügyfélszolgálati kommunikáció	a probléma megoldása + 1 év	GDPR 6. cikk (1) b) pont
Marketing cookie adatok	hozzájárulás visszavonásáig, de legfeljebb 2 év	GDPR 6. cikk (1) a) pont
Biztonsági mentések (AWS S3)	15 napos rolling (forgó) megőrzés	GDPR 6. cikk (1) f) pont

8.3. Anonimizálási folyamat

8.3.1. Anonimizálás kezdeményezése

A munkaviszony megszűnését követő három év elteltével az Adatkezelő visszafordíthatatlan anonimizálási eljárást hajt végre a volt munkavállaló teljesítményértékelési adatain.

8.3.2. Törlésre kerülő személyazonosításra alkalmas adatok

• teljes név,
• e-mail cím,
• telefonszám,
• beosztás/titulus,
• nettó jövedelem,
• szervezeti egység/részleg neve.

8.3.3. Megmaradó anonimizált adatok

• pseudonimizált felhasználói azonosító (pl. „user_789”),
• kompetenciapontszámok numerikus értékei,
• értékelési időszakok időpontjai,
• szervezeti szint általános kategóriája (vezető/középvezető/munkavállaló) név nélkül,
• aggregált statisztikai adatok.

8.3.4. Jogi státusz anonimizálás után

Az anonimizálást követően az adatok nem tartoznak a GDPR hatálya alá, mivel azokból az érintett személye nem azonosítható, és ésszerű ráfordításokkal sem tehető azonosíthatóvá.

8.4. Biztonsági mentések és adattörlés

8.4.1. Backup rendszer működése

Az Adatkezelő naponta kétszer teljes adatbázis biztonsági mentést készít, amelyek 15 napos rolling ciklusban kerülnek tárolásra.

8.4.2. Törlési jelölők hiánya

A biztonsági mentési rendszer nem alkalmaz külön törlési jelölőket. Ha egy személyes adat az éles adatbázisból törlésre kerül, az a korábbi mentésekben legfeljebb 15 napig maradhat meg, ezt követően a legrégebbi backup automatikus felülírása miatt véglegesen törlődik.

8.4.3. Törlési kérelmek végrehajtása

Törlési kérelem esetén az érintett személyes adatai az éles rendszerből haladéktalanul törlésre kerülnek. A biztonsági mentésekben maradt példányok legfeljebb 15 napig őrződnek meg, kizárólag katasztrófa-helyreállítási célból.

8.4.4. GDPR 17. cikknek való megfelelés

A fenti mechanizmus a GDPR 17. cikk szerinti törléshez való jog gyakorlását nem akadályozza, tekintettel arra, hogy a backup adatok nem képezik aktív adatkezelés tárgyát, és kizárólag informatikai biztonsági célt szolgálnak.

9. Az érintettek jogai

9.1. Általános rendelkezések

Az érintetteket a GDPR 15–22. cikkei alapján széles körű jogok illetik meg személyes adataik kezelésével kapcsolatban. Az Adatkezelő minden szükséges intézkedést megtesz annak érdekében, hogy ezen jogok gyakorlása egyszerű, átlátható és ésszerű határidőn belül történjen.

9.1.1. Költségmentesség

Az érintetti jogok gyakorlása főszabály szerint ingyenes. Az Adatkezelő kizárólag nyilvánvalóan megalapozatlan vagy – különösen ismétlődő jellegű – túlzó kérelmek esetén számíthat fel ésszerű díjat, illetve tagadhatja meg a kérelem teljesítését.

9.1.2. Válaszadási határidő

Az Adatkezelő az érintett kérelmére legkésőbb 30 napon belül válaszol. Indokolt esetben ez a határidő további 60 nappal meghosszabbítható, amelyről az érintettet a késedelem okainak megjelölésével értesíteni kell.

9.2. Hozzáférési jog (GDPR 15. cikk)

Az érintett jogosult arra, hogy visszajelzést kapjon arról, kezelik-e a rá vonatkozó személyes adatokat, és ha igen, jogosult a személyes adatokhoz és bizonyos kiegészítő információkhoz (adatkezelés céljai, kategóriák, címzettek, megőrzési idők, jogok, adatforrás, automatizált döntéshozatal ténye, harmadik országbeli adattovábbítások garanciái) hozzáférni.

Az Adatkezelő az érintett kérésére a kezelt személyes adatok másolatát PDF, JSON vagy Excel formátumban biztosítja. Az első másolat ingyenes, további másolatokért – adminisztratív költségen alapuló – ésszerű díj számítható fel.

9.3. Helyesbítéshez való jog (GDPR 16. cikk)

Az érintett jogosult arra, hogy kérje a pontatlan vagy hiányos személyes adatainak helyesbítését vagy kiegészítését. Az Adatkezelő a kérelmet indokolatlan késedelem nélkül teljesíti.

9.4. Törléshez való jog – „elfeledtetéshez való jog” (GDPR 17. cikk)

Az érintett kérheti személyes adatainak törlését, ha többek között: az adatokra már nincs szükség, az érintett visszavonja hozzájárulását, tiltakozik az adatkezelés ellen és nincs elsőbbséget élvező jogos ok, az adatkezelés jogellenes, vagy jogi kötelezettség írja elő a törlést. A törléshez való jog nem korlátlan; különösen jogi kötelezettségek, számviteli előírások, illetve jogi igények érvényesítése miatt az Adatkezelő jogosult bizonyos adatokat tovább megőrizni.

Munkaviszony fennállása alatt a munkavállalói teljesítményértékelési adatok törlése jellemzően nem lehetséges, tekintettel arra, hogy azok a munkáltató jogos érdekén alapulnak. A munkaviszony megszűnését követő három év elteltével ugyanakkor automatikus anonimizálásra kerül sor.

9.5. Az adatkezelés korlátozásához való jog (GDPR 18. cikk)

Az érintett jogosult az adatkezelés korlátozását kérni, ha vitatja az adatok pontosságát, az adatkezelés jogellenes, de nem kívánja azok törlését, az adatokra jogi igény érvényesítéséhez szüksége van, vagy tiltakozott az adatkezelés ellen, és folyamatban van a jogos érdek vizsgálata. Korlátozás esetén a személyes adatok – a tárolás kivételével – csak az érintett hozzájárulásával vagy jogi igények érvényesítésével kapcsolatban kezelhetők.

9.6. Adathordozhatósághoz való jog (GDPR 20. cikk)

Az érintett jogosult az általa az Adatkezelő rendelkezésére bocsátott személyes adatok hordozhatóságára, ha az adatkezelés hozzájáruláson vagy szerződésen alapul és automatizált módon történik. Az Adatkezelő az adathordozhatóságot jelenleg CSV és JSON formátumban biztosítja; az automatikus adatexport funkció fejlesztés alatt áll, addig a kért adatok manuálisan, 30 napon belül kerülnek átadásra.

9.7. Tiltakozáshoz való jog (GDPR 21. cikk)

Az érintett jogosult arra, hogy saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak jogos érdeken alapuló kezelése ellen. Tiltakozás esetén az Adatkezelő az adatokat nem kezelheti tovább, kivéve, ha olyan kényszerítő erejű jogos okot igazol, amely elsőbbséget élvez az érintett jogaival szemben, vagy az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges.

Közvetlen üzletszerzés – ideértve a profilalkotást is, ha az ehhez kapcsolódik – céljából végzett adatkezeléssel szemben az érintett bármikor jogosult tiltakozni.

9.8. Automatizált döntéshozatallal kapcsolatos jogok (GDPR 22. cikk)

Az érintett jogosult arra, hogy ne terjedjen ki rá olyan, kizárólag automatizált adatkezelésen (profilalkotást is beleértve) alapuló döntés hatálya, amely rá nézve joghatással jár vagy hasonlóképpen jelentős mértékben érinti. A Platform AI-funkciói mellett a döntéshozatal nem kizárólag automatizált, mivel a végső döntést minden esetben ember hozza meg, és az érintett kérheti az emberi felülvizsgálatot.

9.9. Panasztételhez való jog (GDPR 77. cikk)

Az érintett jogosult panaszt benyújtani a felügyeleti hatósághoz, ha megítélése szerint a rá vonatkozó személyes adatok kezelése sérti a GDPR rendelkezéseit.

Magyarországi felügyeleti hatóság:

Adat	Érték
Név	Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Postacím	1530 Budapest, Pf.: 5.
Cím	1055 Budapest, Falk Miksa utca 9–11.
Telefon	+36 (1) 391-1400, +36 30 683 5969
E-mail	[email protected]
Weboldal	https://naih.hu

Az Adatkezelő kéri az érintetteket, hogy panasz benyújtása előtt lehetőség szerint először közvetlenül az Adatkezelővel vegyék fel a kapcsolatot ([email protected]), hogy a felmerült problémát békés úton lehessen rendezni.

9.10. Bírósági jogorvoslathoz való jog (GDPR 79. cikk)

Az érintett jogosult bírósági jogorvoslatra, ha megítélése szerint a személyes adatainak a GDPR-ba ütköző kezelése következtében megsértették a rendelet szerinti jogait. Az eljárás az érintett választása szerint az adatkezelő vagy adatfeldolgozó székhelye szerinti tagállam bírósága előtt, vagy az érintett szokásos tartózkodási helye szerinti tagállam bírósága előtt indítható meg.

10. Munkáltatói felelősség és kötelezettségek

10.1. Munkáltató mint adatkezelő

A munkavállalók teljesítményértékelése tekintetében a Platformot használó szervezet (munkáltató) minősül adatkezelőnek a GDPR 4. cikk 7. pontja alapján. A munkáltató felelős az adatkezelés jogi megalapozásáért, a megfelelő tájékoztatásért és az érintetti jogok biztosításáért.

10.2. Kötelezettségek a Platform használatbavétele előtt

10.2.1. Előzetes tájékoztatás (GDPR 13–14. cikk)

A munkáltatónak a Platform használatbavétele előtt írásban tájékoztatnia kell az érintett munkavállalókat többek között a teljesítményértékelés céljáról, jogalapjáról, a kezelt adatok köréről, az adatmegőrzés időtartamáról, az adatfeldolgozóról (NW Business Kft.), az érintettek jogairól, a panasztételi lehetőségekről, valamint az AI-elemzés és telemetria használatáról és kikapcsolhatóságáról.

10.2.2. Belső szabályzat kialakítása

A munkáltatónak célszerű teljesítményértékelési szabályzatot vagy a meglévő belső szabályzatok kiegészítését elkészítenie, amely rögzíti az értékelés célját, gyakoriságát, folyamatát, az értékelt kompetenciákat, az eredmények felhasználásának módját (bónusz, előléptetés, fejlesztési terv), valamint a munkavállalói visszajelzés és fellebbezés lehetőségét.

10.2.3. Jogalap meghatározása

A munkáltató feladata annak eldöntése, hogy a teljesítményértékelés mely jogalap alapján történik (munkaszerződés teljesítése, jogos érdek vagy jogi kötelezettség). A jogos érdek alkalmazása esetén jogos érdek mérlegelési tesztet kell végezni.

10.2.4. Tiltott jogalap – hozzájárulás

A munkáltató nem támaszkodhat főszabályként a munkavállalói hozzájárulásra a teljesítményértékelés jogalapjaként, mivel a felek közötti alá-fölérendeltség miatt a hozzájárulás tipikusan nem tekinthető szabadnak.

10.2.5. Korhatár és különleges adatok tilalma

• a munkáltatónak biztosítania kell, hogy 16 év alatti személyek ne kerüljenek a rendszerbe (GDPR 8. cikk),
• tilos a GDPR 9. cikk szerinti különleges adatok (faji vagy etnikai származás, politikai vélemény, vallási vagy világnézeti meggyőződés, szakszervezeti tagság, egészségügyi adatok, szexuális irányultság) gyűjtése teljesítményértékelési célból,
• a nettó jövedelem adat megadása kizárólag akkor kötelező, ha a munkáltató aktiválja a Platform automatikus bónuszkalkulációs funkcióját.

10.2.6. Érintetti jogok biztosításának eljárásrendje

A munkáltatónak belső eljárásrendet kell kialakítania arra, hogyan kezeli a munkavállalók hozzáférési, helyesbítési, törlési, korlátozási vagy tiltakozási kérelmeit, és hogyan működik együtt az Adatkezelővel ezen jogok gyakorlásában.

10.3. Technikai és adatvédelmi konfigurációs döntések

A munkáltató adminisztrátora a Platform konfiguráció során dönt a következőkről:

• AI telemetria engedélyezése vagy kikapcsolása,
• szigorú anonimizálási mód engedélyezése,
• bónusz/málusz rendszer használata és a nettó jövedelem adatok kezelésének módja,
• többszintű szervezeti struktúra (részlegek, egységek) használata.

Ezen döntésekről a munkáltató köteles előzetesen tájékoztatni a munkavállalókat.

10.4. Folyamatos adatvédelmi kötelezettségek

A munkáltatónak biztosítania kell, hogy a Platform által szolgáltatott adatokat csak jogszerű és arányos módon használja fel, ne ossza meg jogosulatlan harmadik felekkel, betartsa az adatmegőrzési és anonimizálási szabályokat, az AI által generált eredményeket ne használja kizárólagos alapként hátrányos munkaügyi döntésekhez, és lehetővé tegye a munkavállalók számára adatvédelmi jogaik gyakorlását.

11. Adatbiztonsági intézkedések

11.1. Általános elvek

Az Adatkezelő a GDPR 32. cikkével összhangban megfelelő technikai és szervezési intézkedéseket hajt végre a kockázatokhoz igazodó biztonsági szint elérése érdekében, figyelembe véve a technika állását, a megvalósítás költségeit, az adatkezelés jellegét, körülményeit, céljait és az érintettek jogaira gyakorolt hatást.

11.2. Technikai biztonsági intézkedések

11.2.1. Hálózati és átviteli biztonság

• minden adatátvitel SSL/TLS titkosítással (HTTPS, TLS 1.2 vagy magasabb),
• Cloudflare DDoS-védelem,
• rate limiting az API és webes kérésekre,
• IP whitelisting bizonyos adminisztrátori funkciókhoz,
• Fail2Ban vagy hasonló IP-blokkoló mechanizmus ismétlődő sikertelen bejelentkezések esetén.

11.2.2. Adattárolás és titkosítás

• jelszavak tárolása erős hash algoritmussal (pl. bcrypt),
• biztonsági mentések AES-256 titkosítással AWS S3 tárhelyen,
• kimenő e-mail forgalom TLS-sel védve (mail.quarma360.com SMTP).

11.2.3. Hozzáférés-védelem

• kétfaktoros hitelesítés (2FA) e-mail alapú kóddal,
• OAuth 2.0 integráció Google és Microsoft szolgáltatókkal,
• automatikus munkamenet-lejárati idők,
• CSRF védelem minden űrlapon,
• erős jelszókövetelmények (min. 8 karakter, kis- és nagybetű, szám).

11.2.4. Alkalmazásszintű biztonság

• minden felhasználói bemenet validálása és szűrése,
• XSS elleni védelem,
• SQL injection elleni védelem (prepared statement-ek, ORM használata),
• szerepkör-alapú hozzáférés-vezérlés (RBAC).

11.3. Szervezési biztonsági intézkedések

11.3.1. Hozzáférési jogosultságok korlátozása

Felhasználói szint	Hozzáférés
NW Business Kft.	teljes rendszerszintű hozzáférés technikai karbantartási és támogatási célokra; az ügyfélszervezetek belső adataihoz való hozzáférés kizárólag kifejezett ügyfélkérésre, hibaelhárítás céljából
Admin (szervezet)	hozzáférés kizárólag saját szervezet adatállományához
Manager (részlegvezető)	hozzáférés kizárólag a saját részleg adataihoz (ha a többszintű részlegkezelés engedélyezett)
CEO	hozzáférés összesített eredményekhez; az egyéni részletes értékelésekhez való hozzáférés szervezeti szabályozástól függ
Employee (munkavállaló)	hozzáférés kizárólag saját összesített eredményeihez (a munkáltató konfigurációja szerint)

11.3.2. Monitoring és auditálás

• audit trail: minden lényeges művelet (bejelentkezés, adatmódosítás, adatexport) naplózása felhasználó-azonosítóval és időbélyeggel,
• rendszernaplók 1 éves megőrzéssel,
• telemetria alapú monitoring gyanús viselkedések észlelésére (amennyiben a telemetria engedélyezett).

11.3.3. Adatvédelmi incidensek kezelése

• incidenskezelésért felelős személy: Zeller Bálint (ügyvezető, adatvédelmi felelős),
• 72 órás bejelentési kötelezettség a NAIH felé, ha az incidens kockázatot jelent az érintettek jogaira és szabadságaira,
• az érintettek közvetlen értesítése magas kockázat esetén,
• incidensnapló vezetése, utólagos elemzés és megelőző intézkedések bevezetése.

11.3.4. Munkavállalók képzése

Az Adatkezelő munkatársai folyamatos oktatásban részesülnek adatvédelmi és információbiztonsági témákban, és titoktartási kötelezettséget vállalnak. A hozzáférési jogosultságokat rendszeresen felülvizsgálják.

11.4. Biztonsági mentések

Az Adatkezelő automatikus biztonsági mentéseket készít a Laravel Spatie Backup csomag használatával.

Paraméter	Érték
Gyakoriság	naponta kétszer
Megőrzési időtartam	15 napos rolling backup
Tárolás helye	Amazon Web Services (AWS) S3, EU régió (Frankfurt, eu-central-1)
Titkosítás	AES-256 „at rest”
Helyreállítási teszt	legalább negyedévente

11.5. Cookie-k kezelése

11.5.1. Feltétlenül szükséges cookie-k (hozzájárulás nélkül)

Cookie neve	Cél	Lejárati idő
laravel_session	munkamenet fenntartása, bejelentkezési állapot	2 óra inaktivitás után
XSRF-TOKEN	CSRF védelem	2 óra
remember_web_*	„Emlékezz rám” funkció	1 év
locale	nyelvi beállítás megjegyzése	1 év
org_id	szervezeti kontextus megjegyzése	munkamenet vége

11.5.2. Marketing célú cookie-k (hozzájárulás szükséges)

Cookie neve	Cél	Lejárati idő
_clck	Microsoft Clarity – felhasználó azonosítása, session-követés	1 év
_clsk	Microsoft Clarity – session adatok	1 nap
CLID	Microsoft Clarity – felhasználó hosszú távú azonosítása	1 év

A cookie-beállítások a weboldal láblécében elérhető „Cookie beállítások” menüpontban módosíthatók. A feltétlenül szükséges cookie-k használata nem igényel hozzájárulást; a marketing célú cookie-k csak az érintett kifejezett hozzájárulása esetén kerülnek alkalmazásra.

12. Adatvédelmi hatásvizsgálat (DPIA)

12.1. DPIA elvégzésének kötelezettsége

Az Adatkezelő a GDPR 35. cikke alapján adatvédelmi hatásvizsgálatot végzett, tekintettel arra, hogy a Platform működése nagy léptékű munkavállalói teljesítményadat-kezeléssel, viselkedési telemetriával, AI-alapú profilalkotással és automatizált döntéshozatali elemekkel jár.

12.2. Azonosított kockázatok és csökkentő intézkedések

Kockázat	Valószínűség	Hatás	Kockázatcsökkentő intézkedés
Adatszivárgás	Alacsony	Magas	HTTPS, titkosítás, 2FA, DDoS-védelem, hozzáférés-korlátozás
Azure OpenAI adatkezelés	Közepes	Alacsony-közepes	pseudonimizálás, EU régió használata, SCC, korlátozott megőrzési idők
Automatizált döntések igazságtalansága	Alacsony	Közepes	emberi felülvizsgálat, AI funkciók kikapcsolhatósága
Munkavállaló magánszférájának sérelme	Közepes	Közepes	csak munkahelyi teljesítmény, hozzáférés-korlátozás, 3 év után anonimizálás
Jogosulatlan belső hozzáférés	Alacsony	Magas	RBAC, audit trail, jogosultság-felülvizsgálat
Adatvesztés	Nagyon alacsony	Magas	napi többszöri backup, redundáns tárolás, rendszeres helyreállítási tesztek

12.3. Maradványkockázat

A kockázatcsökkentő intézkedések bevezetését követően a maradványkockázat az Adatkezelő megítélése szerint alacsony/közepes szintre csökken, amely elfogadhatónak minősül. A GDPR 36. cikke szerinti előzetes hatósági konzultáció nem vált szükségessé.

12.4. DPIA felülvizsgálata

Az Adatkezelő vállalja, hogy a DPIA-t rendszeresen felülvizsgálja, különösen jelentős rendszermódosítás, adatvédelmi incidens, jogszabályváltozás vagy a felügyeleti hatóság ajánlása esetén, de legalább 2 évente.

13. Módosítások, kapcsolatfelvétel, irányadó jog

13.1. A Tájékoztató módosítása

Az Adatkezelő fenntartja a jogot, hogy jelen Tájékoztatót bármikor módosítsa a szolgáltatások, technológiák, jogi kötelezettségek vagy üzleti gyakorlat változásának megfelelően.

Lényeges módosítások esetén (pl. új adatfeldolgozó bevonása, lényeges új funkció, amely az adatkezelést érinti) az Adatkezelő legalább 30 nappal a változások hatálybalépése előtt értesíti a regisztrált felhasználókat (e-mailben és/vagy a Platformon megjelenő értesítéssel).

13.2. Kapcsolatfelvétel

Adatvédelmi kérdések, kérelmek és panaszok esetén az alábbi elérhetőségeken lehet kapcsolatba lépni az Adatkezelővel:

Adat	Érték
Adatvédelmi felelős	Zeller Bálint (ügyvezető)
E-mail	[email protected]
Telefon	+36 70 265 2651
Általános támogatás	[email protected]
Postai cím	NW Business Kft., Adatvédelmi felelős, HU-6500 Baja, Szabadság út 79. 2. em 9. ajtó, Magyarország

13.3. Irányadó jog és jogviták

Jelen Tájékoztatóra és az Adatkezelő adatkezelési tevékenységére a magyar jog, valamint közvetlenül alkalmazandó uniós jogszabályok (különösen a GDPR) az irányadók.

Jogvita esetén az érintett először az Adatkezelővel kísérelheti meg a békés rendezést. Amennyiben ez nem vezet eredményre, az érintett jogosult a NAIH-hoz fordulni, illetve bírósági eljárást kezdeményezni az Adatkezelő székhelye vagy saját lakóhelye/szokásos tartózkodási helye szerinti bíróság előtt.

13.4. Záró rendelkezések

Jelen Tájékoztató 2025. november 12. napján lép hatályba.

A Tájékoztató magyar nyelven készült, és ez a hiteles verzió. Esetleges fordítások és a magyar változat közötti eltérés esetén a magyar nyelvű szöveg az irányadó.

14. Gyors referencia táblázat

Kérdés	Válasz
Adatkezelő	NW Business Kft., HU-6500 Baja, Szabadság út 79. 2. em 9. ajtó
Kapcsolatfelvétel	[email protected], +36 70 265 2651
Adattárolás helye	EU (Magyarország, Szlovákia, Frankfurt – AWS S3)
AI szolgáltató	Microsoft Azure OpenAI Service (EU régió, pseudonimizált adatokkal)
Harmadik országok	Google, Microsoft, Cloudflare – SCC + DPF, adatminimalizálás
Adatmegőrzés (munkavállalói adatok)	munkaviszony + 3 év, majd anonimizálás
Számlák megőrzése	8 év (számviteli törvény)
Nettó jövedelem tárolása	igen, csak ha a bónuszszámítás funkció aktív; titkosítva, HR célra
Érintetti jogok gyakorlása	kérelem küldése: [email protected] (30 napos határidő)
NAIH panasz	[email protected], https://naih.hu
Cookie-k kezelése	„Cookie beállítások” menüpont a weboldal láblécében
AI használat	automatizált elemzés, determinisztikus algoritmusokkal, emberi felülvizsgálattal, kikapcsolható funkciókkal
Szigorú anonimizálási mód	elérhető; az összes AI telemetriát kikapcsolja
Backup megőrzés	15 napos rolling backup; törölt adatok legfeljebb 15 napig maradnak a mentésekben
DPIA	elkészült, legutóbbi felülvizsgálat: 2025. november 12.

Köszönjük, hogy elolvasta az Adatvédelmi Tájékoztatónkat. Kérdés esetén kérjük, vegye fel velünk a kapcsolatot a [email protected] címen.