Így vigyázunk a vállalkozásod és a vendégeid adataira
A Repu a Google-értékeléseiddel, a vendégeid elérhetőségével és az előfizetéseddel dolgozik. Itt pontosan leírjuk, hol tároljuk ezeket, ki fér hozzájuk, és mit teszünk a védelmükért. Csak azt írjuk le, amit igazolni is tudunk.
Az adatod a tiéd, mi csak vigyázunk rá
A Repu-t a Trident Shield Group Kft. fejleszti és üzemelteti Magyarországon. A fiókod adatainak mi vagyunk az adatkezelői, a vendégeid adatait (például akiknek értékelés-kérést küldesz) pedig a te megbízásodból, adatfeldolgozóként kezeljük. Kis csapat vagyunk, ezért az építőköveinket gondosan választjuk: ahol tehetjük, független auditon átment szolgáltatókra építünk, és csak annyi adatot kérünk, amennyi a munkához kell.
EU-s adatbázis
Az adatbázisunk az Európai Unióban, Írországban fut.
Titkosítás mindenhol
Titkosított kapcsolat minden oldalon, titkosított tárolás a szolgáltatóinknál.
Szigorú hozzáférés
Minden fiók csak a saját vállalkozása adatait éri el, ezt az adatbázis kényszeríti ki.
Auditált szolgáltatók
Adatbázis, szerver, fizetés és nyelvi modell: mind SOC 2 Type II jelentéssel rendelkező szolgáltatónál.
Megfelelés, őszintén
Sok oldal mutat tanúsítvány-logókat. Mi csak azt mutatjuk, ami igaz: mit teljesít a Repu maga, és mit a szolgáltatók, akikre épít.
GDPR
Így működünkMagyar adatkezelőként a GDPR szerint dolgozunk: nyilvános adatvédelmi tájékoztató és alvállalkozói lista, érintetti jogok, adatmegőrzési szabályok, incidenskezelés, hozzájáruláshoz kötött statisztikai sütik. Felügyeleti hatóságunk a NAIH. GDPR-tanúsítványt nem tüntetünk fel: jóváhagyott GDPR-tanúsítási rendszer ma alig létezik, és mi nem rendelkezünk ilyennel.
SOC 2 Type II
A szolgáltatóinknálA Repu-nak nincs saját SOC 2 jelentése. Az adatbázisunk (Supabase), a szerverünk (Vercel), a fizetés (Stripe) és a nyelvi modell (Anthropic) szolgáltatója független auditor által ellenőrzött SOC 2 Type II jelentéssel rendelkezik.
ISO 27001
A szolgáltatóinknálSaját ISO 27001 tanúsítványunk nincs. A Supabase, a Vercel, az Anthropic és a Twilio ISO 27001 tanúsított.
PCI DSS
A Stripe kezeliA bankkártyaadatot a Stripe fizetőoldalán adod meg. A Stripe PCI DSS Level 1 tanúsított, ez a kártyás fizetés legszigorúbb szintje. A kártyaszámod soha nem jut el a Repu szervereire, mi csak azt látjuk, hogy a fizetés sikerült-e.
Amit nem állítunk
A Repu-nak nincs saját SOC 2, ISO 27001 vagy AICPA-auditált jelentése, ezért ilyen logót nem is használunk. Ha a cégednek beszerzéshez biztonsági kérdőívet kell kitöltetnie, küldd el az info@repu.hu címre, és válaszolunk rá.
Adatvédelem a GDPR szerint
Hol vannak az adatok
Az adatbázis és a fájltárhely a Supabase írországi (EU) szerverein van, és 2026. október 26-tól az oldalakat is az EU-ban, Dublinban állítjuk elő. Ha egy szolgáltatónk az EU-n kívül dolgozza fel az adatot, az Európai Bizottság általános szerződési feltételei vagy az EU-USA adatvédelmi keretrendszer védi.
Mit tárolunk
A Google Cégprofilod adatait, az értékeléseket és a válaszokat, a beállításaidat, és ha értékelés-kérést küldesz, a címzett nevét és elérhetőségét. A teljes listát az adatvédelmi tájékoztató írja le.
Meddig őrizzük
Amíg a fiókod aktív. A lemondási okokat és az elégedettségi válaszokat 24 hónap után automatikusan töröljük. A Google-hozzáférési kulcsokat a lecsatlakoztatáskor azonnal töröljük, a számlákat a számviteli törvény szerint 8 évig őrizzük.
Ha baj történik
Adatvédelmi incidensnél a GDPR 33-34. cikke szerint járunk el: ha kötelező, 72 órán belül bejelentjük a NAIH-nak, és értesítjük az érintetteket.
Sütik
Alapból csak a működéshez szükséges sütiket használjuk. Statisztikai sütit csak akkor teszünk, ha a süti-ablakban elfogadod, és ezt bármikor visszavonhatod.
Adatfeldolgozási megállapodás
A vendégeid adatait a te megbízásodból kezeljük. Az adatfeldolgozási szerződést bárki elolvashatja; aláírt példányért írj nekünk.
Infrastruktúra és alvállalkozók
Ezekkel a szolgáltatókkal dolgozunk, hogy a Repu működjön. Mindegyik csak a saját feladatához szükséges adatot kapja meg.
| Szolgáltató | Mire használjuk | Hol | Tanúsítás |
|---|---|---|---|
| Supabase | Adatbázis, bejelentkezés, háttérfolyamatok, fájltárhely | EU, Írország | SOC 2 Type IIISO 27001 |
| Vercel | A weboldal és az alkalmazás kiszolgálása | EU, Írország (Dublin): szerveroldali futtatás; a statikus tartalmat a globális hálózat szolgálja ki | SOC 2 Type IIISO 27001:2022 |
| Anthropic (Claude API) | Válaszjavaslatok és elemzések megírása | USA | SOC 2 Type IIISO 27001:2022ISO/IEC 42001:2023 |
| Stripe | Bankkártyás fizetés, előfizetés | EU (Írország) és USA | PCI DSS Level 1SOC 1 és SOC 2 Type II |
| A Google Cégprofil adatai, nyilvános helyadatok (Places), térkép (hozzájárulással vagy kérésre), Google-bejelentkezés; hozzájárulással Google Analytics | Globális | Nem tüntetünk fel | |
| Google Workspace | Az info@repu.hu levelezés (Gmail) és a megbeszélések meghívói (Google Naptár) | Globális | Nem tüntetünk fel |
| Postproxy | Összeköttetés a Google Cégprofillal: értékelések, válaszok, bejegyzések | EU | SOC 2 Type II folyamatban, saját közlésük szerint |
| Resend | E-mailek kézbesítése, köztük az értékelés-kérőké | USA | SOC 2 Type II |
| Twilio | SMS-ek kézbesítése | USA | SOC 2 Type IIISO 27001 |
| PostHog | Termékhasználati statisztika, csak hozzájárulással | EU, Németország (Frankfurt) | SOC 2 Type II |
| Apify | Nyilvános Google Térkép-adatok beolvasása az ajándék elemzéshez | EU, Csehország | SOC 2 Type II |
| Számlázz.hu | Számlakiállítás; ha összekötöd, számlázó-összekötés | Magyarország | Nem tüntetünk fel |
| Billingo | Számlázó-összekötés, ha összekötöd | Magyarország | Nem tüntetünk fel |
Tanúsítást csak ott tüntetünk fel, ahol a szolgáltató saját biztonsági oldalán ellenőriztük (2026. október 25.). A saját üzleti levelezésünkhöz (például ha mi keresünk meg egy vállalkozást) az Instantly és a Microsoft szolgáltatását, az időpontfoglaláshoz a Cal.com-ot is használjuk; ezek a Repu-fiókod adataihoz nem férnek hozzá.
Biztonsági gyakorlat
Hozzáférés
- Az adatbázis minden tábláján sorszintű hozzáférés-szabályozás fut: egy fiók csak a saját vállalkozása adatait éri el. Ezt az adatbázis kényszeríti ki, nem a felület.
- A Repu belső felületét csak kijelölt munkatársak érik el, szerepkör szerint, és ezt a szerver ellenőrzi.
Titkosítás
- Minden oldal csak HTTPS-en érhető el, HSTS-sel, így a böngésző titkosítatlan kapcsolatot nem is nyit.
- Az adatbázis és a szerver szolgáltatója AES-256 titkosítással tárolja az adatokat.
- A számlázó-összekötések hozzáférési kulcsait külön, AES-GCM titkosítással tároljuk.
Mentés és visszaállítás
- Minden éjjel titkosított, teljes adatbázis-mentés készül, amelyet 90 napig, a havi mentéseket hosszabb ideig őrizzük.
- Minden kódváltozás verziókövetett, egy hibás kiadás helyére gyorsan visszatehetjük az előzőt.
Megfigyelés
- Ötpercenként automatikusan ellenőrizzük a szolgáltatás fő részeit.
- A beérkező értesítéseket (fizetés, e-mail, Google-összekötés) aláírással ellenőrizzük, mielőtt bármit tennénk velük.
Incidenskezelés
- Ha egy szolgáltatásunk akadozik, a rendszerállapot-oldalon jelezzük.
- Adatvédelmi incidensnél a GDPR szerint értesítjük a NAIH-ot és az érintetteket.
Fizetés
- A kártyaadatot a Stripe fizetőoldalán adod meg; a kártyaszám nem jut el a Repu szervereire.
Válaszírás és az adataid
A válaszjavaslatokat az Anthropic Claude nyelvi modellje írja, a kereskedelmi API-ján keresztül. Egy válaszhoz az értékelés szövege, a csillagok száma, az értékelő Google-on látható neve és a beállításaid (például a hangnemed) mennek át, és ha a funkció be van kapcsolva, néhány korábbi, általad kézzel írt válasz mintaként, hogy a te hangodon szóljon. A vendégeid e-mail címe és telefonszáma ehhez nem kell, ezért azt nem küldjük el.
Nem tanítanak vele
Az Anthropic a kereskedelmi API-n beküldött adatokat alapértelmezés szerint nem használja a modelljei tanítására.
Te döntesz
Válasz csak akkor kerül ki a Google-ra, ha jóváhagyod, vagy ha te kapcsoltad be az automatikus küldést.
Auditált szolgáltató
Az Anthropic SOC 2 Type II jelentéssel, ISO 27001 és ISO/IEC 42001 tanúsítással rendelkezik.
Hol dolgozzák fel
Az USA-ban, az Európai Bizottság általános szerződési feltételeivel vagy az EU-USA keretrendszerrel védve.
A jogaid
A GDPR szerint jogod van hozzáférni az adataidhoz, kijavíttatni, töröltetni és hordozni őket, korlátozni a kezelésüket, tiltakozni, és a hozzájárulásodat bármikor visszavonni. A legtöbbet a Beállításokban magad is elintézheted, a többihez írj az info@repu.hu címre: legkésőbb egy hónapon belül válaszolunk. Ha úgy érzed, nem kezeltük jól az adataidat, a NAIH-hoz (naih.hu) is fordulhatsz.
Dokumentumok
Biztonsági kapcsolat
Biztonsági hibát találtál, vagy kérdésed van az adataiddal kapcsolatban? Írj nekünk. Minden bejelentést elolvasunk és megválaszolunk. Kérjük, egy hiba részleteit ne tedd közzé, amíg nem javítottuk.
Gyakori kérdések
A Repu SOC 2 tanúsított?
Nem, és ezt nem is állítjuk. A Repu kis magyar csapat, saját SOC 2 vagy ISO 27001 auditunk még nincs. Amire építünk, az viszont auditált: az adatbázisunk, a szerverünk, a fizetés és a nyelvi modell szolgáltatója SOC 2 Type II jelentéssel rendelkezik.
Hol tárolják az adataimat?
Az adatbázisunk az Európai Unióban, Írországban fut, a Supabase szerverein, és 2026. október 26-tól az oldalak szerveroldali előállítása is az EU-ban, Dublinban (Írország) történik, a Vercel szerverein. Néhány szolgáltatónk az EU-n kívül is feldolgozhat adatot (például az Anthropic az USA-ban írja a válaszjavaslatokat, és a Resend és a Twilio kézbesíti a leveleket és SMS-eket); ilyenkor az Európai Bizottság általános szerződési feltételei vagy az EU-USA adatvédelmi keretrendszer védik az adatot.
Látja a Repu a bankkártyám adatait?
Nem. A kártyaadatot a Stripe fizetőoldalán adod meg, a Repu szervereire nem jut el. Mi csak az előfizetés állapotát és a számlát látjuk.
Tanítanak a vendégeim értékeléseivel mesterséges intelligenciát?
Nem. A válaszjavaslatokat az Anthropic Claude modellje írja, a kereskedelmi API-ján keresztül. Az Anthropic az így beküldött adatokat alapértelmezés szerint nem használja a modelljei tanítására, és mi sem adjuk el vagy osztjuk meg őket másokkal.
Kapok adatfeldolgozási megállapodást (DPA)?
Igen. A vendégeid adatait (például az értékelés-kérők címzettjeit) a te megbízásodból, adatfeldolgozóként kezeljük. Az adatfeldolgozási szerződést (magyarul és angolul, az alvállalkozói listával és a biztonsági intézkedésekkel) a repu.hu/adatfeldolgozasi-szerzodes oldalon olvashatod. Ha aláírt példányra van szükséged, írj nekünk az info@repu.hu címre.
Mi történik az adataimmal, ha lemondom?
A Google-fiókod hozzáférési kulcsait a lecsatlakoztatáskor vagy a fiók törlésekor azonnal töröljük. A fiókodat és az adataidat a Beállításokban törölheted. A számlákat a számviteli törvény miatt 8 évig meg kell őriznünk.
Ki fér hozzá a vendégeim adataihoz?
Te és azok a kollégák, akiket meghívsz. A Repu részéről csak kijelölt munkatársak, és csak akkor, ha a szolgáltatás működtetéséhez, a te kérésedre vagy biztonsági okból szükséges. Az adatbázis minden táblája sorszintű hozzáférés-szabályozással védett, így egy fiók csak a saját vállalkozása adatait látja.
Nézd meg, mit tesz a Repu a Google-profiloddal
Bankkártya nélkül kipróbálhatod. Ha előtte kérdésed van a biztonságról, írj nekünk.