Adatkezelési tájékoztató
Verzió: 0.1 · Hatályos: 2026-10-25
uzempraxis.hu · üzemorvosi praxismenedzsment-szolgáltatás
Üzemeltető: MATRIX CBS Kft. · uzempraxis.hu · [KAPCSOLATI E-MAIL — kitöltendő]
A 2011. évi CXII. törvény (Infotv.), valamint az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, GDPR) előírásainak eleget téve ezúton tájékoztatjuk a szolgáltatást használó üzemorvosi praxisok és az általuk szerződtetett cégek felhasználóit személyes adataik kezeléséről, valamint arról, milyen szerepben kezeljük a szolgáltatásban rögzített munkavállalói adatokat.
Az adatkezelő
| Az adatkezelő neve | MATRIX CBS Kft. |
| Az adatkezelő címe | Székhely: 6724 Szeged, Pulz u. 3-2.; adószám: 13847951-2-06; cégjegyzékszám: 06-09-010970 [ELLENŐRIZENDŐ: a cégadatok egyetlen forrásból, a kód cégadat-konfigurációjából] |
| Elérhetőségek | e-mail: [kitöltendő] · telefon: [kitöltendő] · honlap: uzempraxis.hu |
| Adatvédelmi kapcsolattartó | [NÉV, ELÉRHETŐSÉG — kitöltendő] |
Kinek szól ez a tájékoztató, és kinek nem
Szól: a szolgáltatást használó üzemorvosi praxis felhasználóinak (üzemorvos, asszisztens) és a praxissal szerződött cégek fiókját használó kapcsolattartóknak – az ő adataik tekintetében a MATRIX CBS Kft. adatkezelő (I–IV. szakasz).
Nem ez a tájékoztató szól a munkavállalóknak, akiket a cég a szolgáltatáson keresztül üzemorvosi vizsgálatra küld. Az ő adataik adatkezelője a munkáltatójuk és az üzemorvosi praxis; őket ők tájékoztatják. A MATRIX CBS Kft. ezeket az adatokat adatfeldolgozóként kezeli (V. szakasz).
Egyik adatkezelési cél esetében sem történik profilalkotás vagy automatizált döntéshozatal.
I. Regisztráció és felhasználói fiók
| Személyes adat | Cél | Jogalap | Megőrzési idő |
|---|---|---|---|
| Név, e-mail-cím, szerepkör, a praxis vagy a cég neve; jelszó (kivonatként); kétlépcsős azonosítás adatai (hitelesítő alkalmazás titka; biztonsági kulcs esetén a kulcs nyilvános kulcsa, azonosítója, a felhasználó adta megnevezése, a felvétel és az utolsó használat ideje); ha a felhasználó Google-fiókkal is belép, a Google-fiók azonosítója | A szolgáltatás nyújtása, a felhasználó azonosítása, a jogosultságok kezelése | Szerződés teljesítése – GDPR 6. cikk (1) bekezdés b) pont | A fiók megszüntetéséig; utána [IDŐTARTAM — kitöltendő] |
A kezelt személyes adatok forrása: az érintett, illetve a praxis adminisztrátora, aki az asszisztens vagy a cég fiókját létrehozza; nyilvános cégregisztrációnál a cég képviselője.
Nyilvános cégregisztráció. A praxis oldalán regisztráló vállalkozás adószáma alapján a cég nevét és székhelyét a NAV nyilvános cégadatbázisából (az MTX Számla cégadat-lekérdezésén keresztül) töltjük ki. A megadott cég- és kapcsolattartói adatokat a megerősítő levélben lévő link megnyitásáig titkosítva tároljuk; ha a regisztrációt 24 órán belül nem erősítik meg, az adatok törlődnek. Jogalap: a szerződés megkötését megelőző lépés – GDPR 6. cikk (1) bekezdés b) pont. A visszaélések (tömeges, gépi regisztráció) elleni védelem miatt a kérés IP-címét legfeljebb egy óráig, kivonatos formában használjuk a kérések számának korlátozására (jogos érdek – f) pont).
Adatfeldolgozók
| Tevékenység | Adatfeldolgozó |
|---|---|
| Tárhely- és szerverszolgáltatás | [TÁRHELYSZOLGÁLTATÓ NEVE, SZÉKHELYE — kitöltendő: az uzempraxis.hu-t kiszolgáló szerver üzemeltetője] |
| Rendszerüzenetek kiküldése (e-mail) | [SMTP-SZOLGÁLTATÓ NEVE, SZÉKHELYE — kitöltendő; ha a saját szerver, ezt kell megnevezni] |
Harmadik (EU-n kívüli) országba történő adattovábbítás: [a fenti szolgáltatóktól függ — EU-s szolgáltatónál: nem történik].
Biztonsági kulcs (választható). Ha a felhasználó biztonsági kulcsot (pl. YubiKey) vagy az eszköze
beépített azonosítóját (passkey) veszi fel, a rendszer csak a kulcs nyilvános részét és azonosítóját
tárolja; a titkos kulcs, a kulcs PIN-kódja és az ujjlenyomat soha nem kerül a rendszerbe. A
felhasználó a kulcsot bármikor törölheti a fiókoldalán. [ELLENŐRIZENDŐ: jogi megfogalmazás; csak ha a V0.1 tartalmazza]
Külső szolgáltatások a belépésnél
- Google-belépés (választható). Ha a felhasználó Google-fiókkal lép be, a Google (Google
Ireland Limited) önálló adatkezelőként azonosítja; tőle a Google-fiók azonosítója, az e-mail-cím
és a név érkezik, ebből csak az azonosítót tároljuk a fiók összekapcsolásához. A kapcsolat a
fiókoldalon bármikor bontható.
[ELLENŐRIZENDŐ: jogi megfogalmazás, harmadik országba továbbítás minősítése] - Kiszivárgott jelszavak ellenőrzése. Jelszó beállításakor a rendszer a jelszó kivonatának
első 5 karakterét elküldi a HaveIBeenPwned „Pwned Passwords” szolgáltatásnak, és a válasz
alapján elutasítja az ismert adatszivárgásokban szerepelt jelszót. A jelszó és a teljes
kivonat nem kerül ki.
[ELLENŐRIZENDŐ: jogi megfogalmazás]
Az érintett jogai (szerződésen alapuló adatkezelés)
- Tájékoztatáshoz való jog – Az érintett jogosult már az adatkezelés megkezdése előtt tájékozódni a személyes adatok kezelésének módjáról.
- Hozzáféréshez való jog – Az érintett jogosult kikérni az adatkezelőtől a róla tárolt személyes adatokat.
- Helyesbítéshez való jog – Az érintett jogosult személyes adatai helyesbítését kérni.
- Törléshez való jog – Az érintett kérheti adatai törlését, ha az adatkezelés célja megszűnt.
- Korlátozáshoz való jog – Az érintett kérheti az adatkezelés korlátozását a kivizsgálás idejére.
- Adathordozhatósághoz való jog – Az érintett jogosult a róla tárolt, általa megadott adatokat tagolt, géppel olvasható formátumban megkapni.
II. Szerződés és számlázás a praxis és a cég között
A praxis a szolgáltatáson keresztül számláz a céggel kötött szerződése alapján; a számlát a praxis saját számlázó fiókja (MTX Számla, a MATRIX CBS Kft. rendszere) állítja ki, a praxis nevében. Ebben az üzemeltető adatfeldolgozó, a számla kibocsátója a praxis.
| Személyes adat | Cél | Jogalap | Megőrzési idő |
|---|---|---|---|
| A szerződésben és a számlán szereplő név, cím, bankszámlaszám (egyéni vállalkozó cégnél), a kapcsolattartó neve és e-mail-címe; a számlázási tételen és a teljesítési igazoláson a vizsgálaton megjelent — és ha a szerződés így rendelkezik, a távol maradt vagy a határidő után lemondott — munkavállalók neve, a vizsgálat napja és a jogcím (megjelent / nem jelent meg / késői lemondás) | A szerződés rögzítése, a vizsgálati díj számlázása, a bizonylat megőrzése | Jogi kötelezettség teljesítése – GDPR 6. cikk (1) bekezdés c) pont; Áfa tv., Számv. tv. | A Számvitelről szóló 2000. évi C. törvény 169. § alapján: 8 év |
A kezelt személyes adatok forrása: a cég képviselője, a praxis, illetve adószám alapján a nyilvános cégadatbázis (az MTX Számla cégadat-lekérdezésén keresztül).
Adatfeldolgozók és címzettek
| Tevékenység | Adatfeldolgozó / címzett |
|---|---|
| Számlázó rendszer | MTX Számla (mtxszamla.hu) – a MATRIX CBS Kft. saját rendszere, a praxis fiókjával |
| Címzett: NAV | Nemzeti Adó- és Vámhivatal – a számlaadatok az Online Számla rendszerbe jogszabály alapján továbbításra kerülnek (önálló adatkezelő) |
| Címzett: a cég | a számla és a teljesítési igazolás a cég megadott e-mail-címére |
Az érintett jogai (jogi kötelezettségen alapuló adatkezelés)
Tájékoztatáshoz, hozzáféréshez, helyesbítéshez és korlátozáshoz való jog.
Mivel az adatkezelés jogalapja jogi kötelezettség teljesítése, a törléshez való jog a kötelező megőrzési idő alatt nem gyakorolható (GDPR 17. cikk (3) bekezdés b) pont), az adathordozhatósághoz való jog pedig erre az adatkezelésre nem terjed ki (GDPR 20. cikk (1) bekezdés).
III. Kapcsolattartás és ügyféltámogatás
| Személyes adat | Cél | Jogalap | Megőrzési idő |
|---|---|---|---|
| Név, e-mail-cím, a megkeresés tartalma | Kérdések megválaszolása, hibabejelentések kezelése | Szerződés teljesítése – GDPR 6. cikk (1) bekezdés b) pont; szerződéskötés előtti megkeresésnél az érintett kérése | [IDŐTARTAM — kitöltendő, felső korláttal] |
Praxis-jelentkezés az uzempraxis.hu oldalán. Ha az oldalon a „Praxist indítanék” űrlapot kitölti, a megadott nevet,
e-mail-címet és az üzenetet e-mailben továbbítjuk az üzemeltető munkatársainak, hogy felvehessük Önnel a kapcsolatot; az
adatokat a levélen kívül a rendszer adatbázisában nem tároljuk. Jogalap: a szerződéskötést megelőző lépés az érintett
kérésére – GDPR 6. cikk (1) bekezdés b) pont. Megőrzési idő: [IDŐTARTAM — kitöltendő, felső korláttal]. Az űrlap a
visszaélések (gépi kitöltés) elleni védelem miatt rejtett mezőt és beküldési időzítést használ, a beküldések számát
IP-címenként óránként korlátozzuk; az IP-cím kivonatos formában, legfeljebb egy óráig él a számlálóban (jogos érdek –
GDPR 6. cikk (1) bekezdés f) pont).
Támogatási hozzáférés. Hibabejelentés kivizsgálásához vagy ügyfélkérésre az üzemeltető kijelölt munkatársa (platformadminisztrátor) beléphet a praxis felületére, az ok és az indoklás megadásával, időkorláttal (legfeljebb 4 óra). A belépés alatt a praxis adminisztrátorának jogkörével járhat el, módosítást is végezhet. Minden belépést, megnyitott oldalt és módosítást a rendszer naplóz, a naplót a praxis adminisztrátora a saját felületén megtekintheti. A hozzáférés nem jelenti a felhasználók fiókjának átvételét (jelszavukat, kétlépcsős azonosításukat nem érinti), és ezen az úton sem érhető el a praxis számlázó kulcsa és a titkosított azonosítók nyers értéke, számla nem véglegesíthető, és az automatikus számlázás sem kapcsolható be vagy át.
IV. Biztonsági naplózás
| Személyes adat | Cél | Jogalap | Megőrzési idő |
|---|---|---|---|
| Felhasználói azonosító, a belépés időpontja, IP-cím, az elvégzett műveletek (ki, mikor, melyik cégnél, mit módosított) | A rendszer és a kezelt adatok védelme, visszaélések felderítése, az elszámoltathatóság biztosítása | Jogos érdek – GDPR 6. cikk (1) bekezdés f) pont | Belépési napló: [legfeljebb 1 év — kitöltendő]; műveleti napló: a kapcsolódó adat megőrzési idejéig |
| Megtekintési napló: felhasználói azonosító, időpont, IP-cím, a megnyitott oldal, a cég és a megnyitott tétel azonosítója – a képernyőn megjelenített adat nem | Annak nyomon követése, ki és mikor fért hozzá a munkavállalói adatokhoz és a minősítésekhez | Jogos érdek – GDPR 6. cikk (1) bekezdés f) pont | [javaslat: 2 év — kitöltendő] |
Az érdekmérlegelési teszt írásban rendelkezésre áll [ELKÉSZÍTENDŐ]. Az érintett a jogos
érdeken alapuló adatkezelés ellen tiltakozhat (GDPR 21. cikk).
V. Munkavállalói adatok – adatfeldolgozóként
A szolgáltatásban a cég a saját munkavállalóit rögzíti és küldi üzemorvosi vizsgálatra; a praxis a vizsgálat tényét és a munkaköri alkalmasság minősítését rögzíti. Ezeknél:
| Szerep | Ki |
|---|---|
| Adatkezelő | a munkáltató (a cég) a foglalkozás-egészségügyi kötelezettsége körében; az üzemorvosi praxis a saját egészségügyi szolgáltatói nyilvántartása körében [ELLENŐRIZENDŐ: jogi megerősítés] |
| Adatfeldolgozó | MATRIX CBS Kft. (a szolgáltatás üzemeltetője) |
- A kezelt adatkör: a munkavállaló neve, születési dátuma, TAJ-száma, munkaköre (FEOR-kód), a cég melyik telephelyén dolgozik, a vizsgálati időpont és a megjelenés ténye (megjelent, nem jelent meg, lemondva), valamint a munkaköri alkalmasság minősítése (alkalmas / nem alkalmas / korlátozással alkalmas), annak érvényessége és lejárata.
- A szolgáltatás vizsgálati leletet, orvosi véleményt, megjegyzést vagy az alkalmassági
véleményt nem tárol; ezeket az üzemorvos a saját egészségügyi nyilvántartásában (EESZT)
kezeli. A munkaköri alkalmasság minősítése (alkalmas / nem alkalmas / korlátozással
alkalmas) egészségügyi adatnak minősül; ezt a GDPR 9. cikk (2) bekezdés b) és h) pontja
alapján, titkosítva tároljuk, és minden megtekintését naplózzuk.
[ELLENŐRIZENDŐ: jogi megfogalmazás] - A TAJ-számot külön kulccsal titkosítva tároljuk; a teljes érték megjelenítése naplózott.
- A cég a munkavállalót bármikor törölheti; a törlés végleges, előzményt nem őrzünk; a még számlára nem került számlázási tételei is törlődnek. A már kiszámlázott vagy elkészült számlapiszkozaton szereplő tételen és a teljesítési igazoláson a munkavállaló neve és a vizsgálat napja a számviteli bizonylat részeként a II. szakasz szerinti ideig megmarad.
- Munkavállalók tömeges feltöltésekor a feltöltött fájl a feldolgozás után azonnal törlődik.
- Értesítő levelek. A praxis beállításai szerint a cég kapcsolattartója (és ha a praxis így állítja be, a cég felhasználói) e-mailt kap a praxis nevében: érkezési emlékeztetőt (a munkavállalók neve és időpontja), a meg nem jelentek névsorát, és összevont figyelmeztetést a lejáró vagy lejárt alkalmasságokról (név, munkakör, a lejárat napja). A praxis munkatársai napi összesítőt (cégenként létszám, név nélkül) és szerződés-lejárati értesítést kapnak. A minősítés, a TAJ-szám és a születési dátum egyik levélbe sem kerül. A munkavállaló maga nem kap levelet. A kiküldésről naplót vezetünk (melyik praxis, milyen levél, melyik cégnek vagy felhasználónak, mikor, sikerült-e) — a levél szövege, tárgya és az e-mail-cím nélkül; megőrzési idő: 90 nap.
- Az adatokat kizárólag a praxis és a cég utasítása szerint, a szolgáltatás nyújtása céljából kezeljük; saját célra nem használjuk fel.
- Az adatkezelés célját, jogalapját és a megőrzési időt a munkáltató és a praxis határozza meg; a munkavállalók tájékoztatása az ő kötelezettségük.
- A részletes feltételeket a praxissal kötött adatfeldolgozói szerződés tartalmazza
[AZ ÁSZF MELLÉKLETE — elkészítendő], amely felsorolja az általunk igénybe vett további adatfeldolgozókat is. - A szolgáltatás megszűnésekor az adatokat a praxis döntése szerint letölthető archívumként átadjuk, illetve töröljük, kivéve, ha jogszabály a megőrzést előírja.
[HA A FOGLALJORVOST.HU-KAPCSOLAT ELKÉSZÜL: itt kell megnevezni a partnert, a továbbított adatkört és a szerepét — addig ez a bekezdés nem szerepelhet]
Sütik
A bejelentkezés utáni felület kizárólag a működéshez elengedhetetlen sütiket használ
(munkamenet és biztonsági token; „emlékezz rám” tartós belépés nincs). A böngésző
helyi tárolójában (localStorage) csak két felületi beállítás tárolódik: az oldalsáv nyitott vagy
zárt állapota és a választott megjelenés (világos/sötét). A naptár utoljára választott nézete szintén. Részletes lista: doc/data-inventory.md.
Az uzempraxis.hu nyilvános oldalai (bemutatkozás, praxiskereső, jelentkezési űrlap, jogi oldalak) kizárólag a működéshez
elengedhetetlen munkamenet-sütit és biztonsági tokent használják (az űrlap védelmére); mérés, hirdetés vagy külső szolgáltatás
(betűtípus, térkép, közösségi bővítmény) nincs. A praxiskereső a praxisok szervezeti adatait (név, város, telephely, rövid
leírás) mutatja, személyes adatot nem. [HA A NYILVÁNOS OLDALON MÉRÉS LESZ: külön süti-tájékoztató és hozzájárulás-kezelés szükséges — addig ez a mondat marad]
Adatbiztonsági intézkedések
| Hozzáférés | Szerepkör szerinti jogosultság; a praxis felhasználóinál kötelező, a cégfióknál választható kétlépcsős azonosítás; a praxisok és a cégek adatai egymástól elkülönítve; a praxist a saját internetcíme azonosítja |
| Titkosítás | Titkosított kapcsolat (HTTPS); a TAJ-szám és a bankszámlaszám mezőszinten titkosítva; titkosított mentések |
| Naplózás | Minden lényeges művelet és a munkavállalói adatok megtekintése naplózott (ki, mikor, mit) |
| Mentés | Rendszeres, titkosított mentés [GYAKORISÁG ÉS MEGŐRZÉS — kitöltendő] |
| Fejlesztés | A fejlesztői és tesztkörnyezetben valós személyes adat nem kerül felhasználásra |
[CSAK AZ SZEREPELHET ITT, AMI ÉLESBEN TÉNYLEGESEN MEGVALÓSULT — élesítés előtt soronként ellenőrizendő]
érintetti jogok gyakorlása
Az adatkezelő a kérelem beérkezésétől számított egy hónapon belül köteles válaszolni és tájékoztatni az érintettet a kérelme tárgyában meghozott intézkedésekről. Szükség esetén ez a határidő további két hónappal meghosszabbítható. Ha az adatkezelő nem tesz intézkedéseket, legkésőbb egy hónapon belül tájékoztatja az érintettet ennek okairól, valamint a panasztételi és bírósági jogorvoslati lehetőségekről.
Ha a kérelem a szolgáltatásban rögzített munkavállalói adatra vonatkozik, azt az adatkezelőhöz – a munkáltatóhoz vagy az üzemorvosi praxishoz – kell benyújtani; a hozzánk érkező ilyen kérelmet az illetékes praxisnak továbbítjuk.
Panasz benyújtása
| Név | Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) |
| Székhely | 1055 Budapest, Falk Miksa utca 9-11. |
| Postacím | 1363 Budapest, Pf. 9. |
| [email protected] | |
| Telefon | +36 (1) 391-1400 |
| Honlap | https://naih.hu |
Bírósági jogorvoslat
A bírósági jogorvoslatra vonatkozó rendelkezéseket az Infotv. tartalmazza. Az érintett az adatkezelő ellen bírósághoz fordulhat; a pert választása szerint a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja. Aki a GDPR megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, kártérítésre jogosult az adatkezelőtől vagy az adatfeldolgozótól; az adatkezelő, illetve az adatfeldolgozó mentesül a felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.