Adatkezelési tájékoztató

NAMTRAC Kft. (Kiber Kontroll)
Utolsó módosítás: 2026. október 8.
Hatályos: 2026. október 8.

1. Bevezetés

Ez az adatkezelési tájékoztató (a továbbiakban: „Tájékoztató”) ismerteti, hogy a NAMTRAC Kft. — a „Kiber Kontroll” márkanév alatt működve (a továbbiakban: „mi”, „minket”, „miénk”) — milyen személyes adatokat kezel, mire használja azokat, és hogyan védi meg, amikor igénybe veszed a www.kiberkontroll.hu weboldalt és kibertudatossági tréning szolgáltatásunkat (a továbbiakban: „Szolgáltatás”).

Elkötelezetten védjük a személyes adataidat, és maradéktalanul betartjuk az alábbi jogszabályokat:

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (az Általános Adatvédelmi Rendelet, „GDPR”)
• Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény („Infotv.”)
• Az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény
• Egyéb alkalmazandó uniós és nemzeti adatvédelmi jogszabályok

Adatkezelő:
NAMTRAC Kft.
1094 Budapest, Márton utca 23-25. fszt. 4.
Cégjegyzékszám: 01-09-877488
Adószám: 13869449-2-43 | Közösségi adószám: HU13869449
Weboldal: www.kiberkontroll.hu
Adatvédelmi kapcsolattartó: adatvedelem@kiberkontroll.hu

2. A Tájékoztató hatálya

Ez a Tájékoztató az alábbi személyekre vonatkozik:

• Weboldal-látogatók — mindenki, aki felkeresi a www.kiberkontroll.hu oldalt
• Hírlevél-feliratkozók és érdeklődők — mindenki, aki feliratkozik hírlevelünkre, vagy a weboldalon keresztül kapcsolatba lép velünk
• Ügyfelek — azok a vállalatok és szervezetek, amelyek előfizetnek kibertudatossági tréning szolgáltatásunkra
• Tréning-résztvevők („mentoráltak”) — ügyfeleink azon munkavállalói, akik szimulált adathalász- és tudatossági tréningprogramban vesznek részt, ideértve az ügyfélportál használatát is

Tájékoztatás tréning-résztvevők számára: Ha olyan munkavállaló vagy, aki szimulált adathalász e-mailt kapott, tréning-landingoldalra jutott, vagy az ügyfélportált használja, akkor a tréningprogramban való részvételed vonatkozásában a munkáltatód (a mi ügyfelünk) az adatkezelő. A Kiber Kontroll az adataidat kizárólag adatfeldolgozóként, a munkáltatód nevében és utasításai szerint kezeli. Kérjük, tájékozódj a munkáltatód belső adatkezelési tájékoztatójából és informatikai használati szabályzatából is.

3. Elkötelezettségünk az adatvédelem iránt

Az adatvédelem mint alapelv

Attól a pillanattól kezdve, hogy a munkáltatód előfizet a Szolgáltatásra, egészen az előfizetés megszűnéséig a személyes adatok védelme és a magánszféra tiszteletben tartása a legfőbb prioritásunk. Ez az elkötelezettség különösen a tréning-résztvevőkre vonatkozik: meggyőződésünk, hogy egy hatékony biztonságtudatossági program csak bizalomra épülhet — a bizalom pedig felelős, arányos és átlátható adatkezelésen alapul.

A Szolgáltatás teljes nyújtása során az alábbi elveket alkalmazzuk:

• Adattakarékosság: Kizárólag azokat az adatokat gyűjtjük, amelyek a Szolgáltatás nyújtásához feltétlenül szükségesek.
• Célhoz kötöttség: A tréning céljából gyűjtött adatokat kizárólag erre a célra használjuk — soha nem marketing, profilalkotás vagy az e Tájékoztatóban nem szereplő felek részére történő átadás céljából.
• Titoktartás: A tréning eredményei összesített formában kerülnek a munkáltatóhoz; az egyéni eredményeket kizárólag a munkáltató szervezetén belüli, arra feljogosított személyek láthatják.
• Méltóság és tisztelet: Az adathalász-szimulációkat kizárólag oktatási eszközként alkalmazzuk. Az eredményeket mi nem használjuk fegyelmi eljárás alapjaként, a munkáltatóknak is azt javasoljuk, hogy ne tegyék, és soha nem adjuk ki azokat a munkáltatón kívüli félnek.
• Átláthatóság: Egyértelműen tájékoztatunk arról, mit gyűjtünk, miért és meddig őrizzük meg.
• Beépített adatvédelem: Az adatvédelmi garanciák a rendszer architektúrájába vannak beépítve — nem utólagos kiegészítésként.

4. Az általunk kezelt adatok köre

4.1 Weboldal-látogatók

Amikor felkeresed a www.kiberkontroll.hu weboldalt, az alábbi adatokat kezelhetjük:

4.2 Hírlevél-feliratkozók és érdeklődők

A feliratkozást e-mailben kell megerősítened (double opt-in): a hírlevelet csak azután kapod, hogy a kiküldött megerősítő linkre kattintottál. A feliratkozók adatait saját, Magyarországon üzemeltetett szerverünkön tároljuk, a hírleveleket saját levelezőszerverünkön keresztül küldjük – külső hírlevélszolgáltatót nem veszünk igénybe. Bármikor leiratkozhatsz bármely hírlevelünk leiratkozási linkjével vagy az adatvedelem@kiberkontroll.hu címre írva.

4.3 Ügyfelek (előfizető szervezetek)

Amikor a szervezeted előfizet a Szolgáltatásra, az alábbi, magától a szervezettől származó adatokat kezeljük:

Ezen adatok megadása az előfizetési szerződés feltétele; nélkülük a Szolgáltatást nem tudjuk nyújtani, és számlát sem tudunk kiállítani.

4.4 Tréning-résztvevők (mentoráltak)

A tudatossági tréningprogramba bevont munkavállalók esetén az alábbi adatokat kezeljük a munkáltató nevében. Az adatokat a munkáltató adja meg; más forrásból nem gyűjtünk adatot.

A munkáltató által rögzített adatok:

A szimulációk során rögzített interakciós adatok:

Ügyfélportál (tréning-dashboard):

Az e-mail-cím különleges védelme: A tréning-résztvevők e-mail-címét kizárólag titkosítva (AES-256) tároljuk a munkáltató fiókjában. Küldéskor a cím csak a tréningüzenet kézbesítéséhez kerül visszafejtésre a memóriában, majd azonnal törlődik — olvasható formában soha nem kerül alkalmazásnaplóba, e-mail-naplóba, elemzőrendszerbe vagy a munkáltató titkosított tárolóján kívüli bármely adatbázismezőbe.

Jelszómezők kizárása: Ha egy szimulált űrlap jelszómezőt tartalmaz, az automatikusan ki van zárva a rögzítésből, és soha nem tároljuk. A Kiber Kontroll semmilyen tréningűrlapon megadott jelszót — sem valódit, sem tesztjelszót — nem őriz meg.

5. Adatkezelési folyamatok

5.1 A tudatossági tréning szolgáltatás nyújtása

A személyes adatokat az alábbi célokra kezeljük:

• Ütemezett szimulált adathalász e-mailek küldése a munkáltató nevében
• A résztvevők szimulációs e-mailekkel kapcsolatos interakcióinak (megnyitás, kattintás, űrlapküldés, bejelentés) rögzítése, és ezek tréning-eredményként a munkáltató rendelkezésére bocsátása
• Személyes ügyfélportál biztosítása a résztvevőknek saját fejlődésük követésére, valamint programértesítők küldése
• Anonimizált, összesített riportok készítése a program hatékonyságáról
• Előfizetési jogosultságok kezelése (aktív, próba, felfüggesztett)

5.2 Szimulált adathalász e-mailek

A szimulációs e-maileket a Kiber Kontroll által üzemeltetett vagy licencelt domainekről küldjük, és a gyakori social engineering támadásokra hasonlítanak. Minden szimulációs link kriptográfiailag aláírt követőazonosítót (HMAC-SHA256) tartalmaz, amely résztvevőnként és szimulációnként egyedi. Ez biztosítja, hogy:

• Az interakciós rekordok hitelesek, és a manipuláció észlelhető
• Egyetlen résztvevő sem téveszthető össze egy másikkal
• A követés szigorúan az adott szimulációra korlátozódik

5.3 Összesített riportok és statisztikák

A munkáltatónak bemutatott tréning-eredmények, ahol csak lehetséges, anonimizált vagy összesített formában jelennek meg. Ahol egyéni eredmények is láthatók (pl. résztvevőnkénti riportban), a hozzáférés az előfizető szervezeten belüli, feljogosított adminisztrátori fiókokra korlátozódik.

5.4 Ügyfélfiók és számlázás kezelése

Az előfizetési és számlázási adatokat a fiókok kezelésére, számlák kiállítására, a fizetések fizetési rendszeren keresztüli feldolgozására, valamint a magyar számviteli és adójogi kötelezettségek teljesítésére használjuk.

5.5 A weboldal működtetése és statisztikák

Munkamenet-sütiket, weboldal-statisztikai eszközöket és szervernaplókat használunk weboldalunk működtetéséhez és fejlesztéséhez. A statisztikai és marketingeszközök kizárólag a hozzájárulásoddal működnek.

5.6 Az általunk küldött e-mailek

E-mailjeinket (tréningértesítők, rendelési és számlázási levelek, hírlevelek, megkeresésekre adott válaszok) saját, Magyarországon üzemeltetett levelezőszerverünkön keresztül küldjük. Az elküldött levelekről hibaelhárítás céljából 12 hónapig kézbesítési naplót vezetünk; a tréning-résztvevőknek küldött leveleknél a napló csak a küldés tényét rögzíti — a címet és a tartalmat soha.

6. Az adatkezelés jogalapja

Érdekmérlegelés a munkavállalói adatok kezeléséhez: A biztonságtudatossági képzés a kiberfenyegetések elleni védekezés széles körben elismert szervezeti szükséglete. Az adathalász-szimulációs és tudatossági tréningtevékenység arányos ezzel a céllal. A munkavállalókat a biztonságtudatossági tesztelésről munkáltatójuk informatikai használati szabályzata, munkaszerződése vagy információbiztonsági szabályzata tájékoztatja; Magyarországon a Munka Törvénykönyvéről szóló 2012. évi I. törvény 11/A. §-a előírja, hogy a munkáltató az ilyen intézkedésekről előzetesen tájékoztassa a munkavállalókat. A Kiber Kontroll adatfeldolgozóként jár el; az adatkezelő a munkáltató szervezet, amely felelős a megfelelő jogalap meglétéért és a munkavállalók tájékoztatásáért.

7. A tréning-résztvevők magánszférájának védelme

A munkavállalói magánszféra védelmét nem tárgyalható kérdésnek tekintjük. Ez a fejezet összefoglalja a tréning-résztvevők esetében alkalmazott konkrét garanciákat.

Amit soha nem teszünk:

• Soha nem tároljuk a résztvevők e-mail-címét titkosítatlan formában
• Soha nem naplózzuk az e-mail-címeket olvasható formában semmilyen szinten — sem alkalmazásnaplóban, sem e-mail-naplóban, sem infrastruktúra-naplóban, sem elemzőrendszerben
• Soha nem rögzítjük a szimulált űrlapokon megadott jelszavakat
• Soha nem adjuk ki az egyéni tréning-eredményeket a munkáltató szervezetén kívüli félnek
• Soha nem használjuk a tréning-interakciós adatokat hirdetésre, profilalkotásra vagy a tréningprogramon kívüli bármely célra
• Soha nem rögzítünk hangot, videót, képernyőtartalmat vagy billentyűleütéseket

Amit mindig megteszünk:

• Az e-mail-címeket titkosítjuk (AES-256), és küldés után azonnal töröljük a memóriából
• Szimulációnként egyedi kriptográfiai azonosítót használunk, hogy a követés egyértelmű legyen
• Biztosítjuk, hogy a tréning-eredményekhez kizárólag a munkáltató feljogosított adminisztrátorai férjenek hozzá
• Deduplikációt alkalmazunk, hogy egy interakciót szimulációnként csak egyszer számoljunk
• Lehetőséget adunk a résztvevőknek a gyanús e-mailek bejelentésére, így a szimuláció azonnali tanulási lehetőséggé válik
• A szimulációs linkre kattintó résztvevőket semleges oktatóoldalra irányítjuk, amely elmagyarázza a tréning jellegét

Riportok: A munkáltatók összesített statisztikákat kapnak (pl. kattintási arány részlegenként vagy csapatonként). Egyéni eredmények kizárólag szerepkör-alapú riportokban jelennek meg, amelyekhez csak a munkáltató feljogosított munkatársai férnek hozzá.

8. Adattovábbítás és adatfeldolgozók

Személyes adatokat kizárólag az alábbiak szerint adunk át. Személyes adatot nem értékesítünk, nem adunk bérbe és nem kereskedünk vele.

A RACKFOREST Zrt. (1132 Budapest, Victor Hugo utca 11., 5. em.) Magyarországon, az Európai Gazdasági Térségen belül üzemelteti webszervereinket és adatbázisainkat. A tudatossági tréning Szolgáltatás keretében kezelt személyes adatok a tárhelyszolgáltatás miatt nem kerülnek az EGT-n kívülre.

Minden adatfeldolgozó köteles megfelelő technikai és szervezési biztonsági intézkedéseket fenntartani. Ahol a GDPR előírja, adatfeldolgozási szerződést kötöttünk.

EGT-n kívülre csak akkor továbbítunk adatot, ha:

• a címzettre uniós megfelelőségi határozat vonatkozik — ideértve az EU–USA adatvédelmi keretrendszer szerint tanúsított vállalatokat (a Bizottság (EU) 2023/1795 végrehajtási határozata) —, vagy
• általános szerződési feltételeket (SCC — a Bizottság (EU) 2021/914 végrehajtási határozata) alkalmazunk.

9. Adatmegőrzés

10. Biztonsági intézkedések

A GDPR 32. cikkével és az iparági legjobb gyakorlatokkal összhangban megfelelő technikai és szervezési intézkedéseket alkalmazunk, többek között:

• Érzékeny adatok titkosítása tároláskor — az e-mail-címeket AES-256 titkosítás védi; a jelszavakat kizárólag egyirányú hash formájában tároljuk; az érzékeny API-hozzáférési adatokat iparági szabványos algoritmusokkal titkosítva tároljuk
• Titkosítás átvitel közben — minden kapcsolaton legalább TLS 1.2
• Kriptográfiailag aláírt követés — minden szimulációs link HMAC-SHA256 aláírású tokent tartalmaz; a manipuláció azonnal észlelhető és elutasításra kerül
• Szerepkör-alapú hozzáférés-szabályozás — a személyes adatokhoz való hozzáférés szervezeti szerepkörökhöz kötött; a legkisebb jogosultság elvét alkalmazzuk
• Az e-mail-címek naplózásának tilalma — az alkalmazás-, e-mail- és infrastruktúra-naplózás minden szinten kizárja a mentoráltak e-mail-címét
• Jogosultságok szétválasztása — a résztvevői interakciókat rögzítő komponens csak olvasni tudja a résztvevői adatokat, és kizárólag az interakciós rekordokat írhatja
• Webalkalmazás-tűzfal és brute-force elleni védelem — aktív a nyilvános weboldalon
• Rendszeres biztonsági frissítések — az operációs rendszert és az alkalmazásokat rendszeresen frissítjük
• Titkosított biztonsági mentések — az adatbázis-mentések titkosítva, telephelyen kívül tárolódnak

Ezen intézkedések ellenére egyetlen rendszer sem teljesen biztonságos. Adatvédelmi incidens esetén — ahol ez kötelező — 72 órán belül értesítjük az illetékes felügyeleti hatóságot, az érintetteket pedig indokolatlan késedelem nélkül tájékoztatjuk, ha az incidens valószínűsíthetően magas kockázattal jár rájuk nézve, a GDPR 33–34. cikkével összhangban. Ahol adatfeldolgozóként járunk el, indokolatlan késedelem nélkül értesítjük a munkáltatót (adatkezelőt).

11. A jogaid

A GDPR alapján az alábbi jogok illetnek meg a személyes adataiddal kapcsolatban:

A jogaid gyakorlása: Írásbeli kérelmedet küldd az adatvedelem@kiberkontroll.hu címre. Kérelmedre indokolatlan késedelem nélkül, de legkésőbb a beérkezéstől számított egy hónapon belül válaszolunk; ez a határidő összetett vagy nagyszámú kérelem esetén további két hónappal meghosszabbítható, amelyről az első hónapon belül tájékoztatunk. A kérelem teljesítése előtt kérhetjük a személyazonosságod igazolását.

Tréning-résztvevők: Az adathalász-szimulációs és ügyfélportál-adatokkal kapcsolatos jogaid gyakorlásához elsősorban a munkáltatódhoz fordulj, mivel ő az adatkezelő a tréningadataid tekintetében. A munkáltató nevében tárolt adatokat érintő kérelmek teljesítésében teljes körűen együttműködünk a munkáltatóddal.

Felügyeleti hatóság: Ha úgy véled, hogy az adataidat nem megfelelően kezeltük, panaszt tehetsz a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH):

• Név: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
• Weboldal: www.naih.hu
• Postacím: 1363 Budapest, Pf. 9.
• E-mail: ugyfelszolgalat@naih.hu

Az EU-n belüli lakóhelyed vagy munkavégzési helyed szerinti felügyeleti hatósághoz is fordulhatsz.

Bíróság: Jogaid megsértése esetén bírósághoz is fordulhatsz (GDPR 79. cikk). Magyarországon a per elbírálása a törvényszék hatáskörébe tartozik; a pert választásod szerint a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindíthatod.

12. Sütik (cookie-k)

Az LW Cookie hozzájáruláskezelő platformmal kérjük és rögzítjük a hozzájárulásodat, mielőtt nem feltétlenül szükséges sütiket helyeznénk el. A sütik teljes listája, céljuk és élettartamuk a sütibeállítások panelen érhető el.

Alkalmazott süti-kategóriák:

A sütibeállításaidat bármikor módosíthatod a weboldal láblécében található „Sütibeállítások” linkre kattintva.

Megjegyzés a tréningoldalakról: A szimulációs landingoldalak nem helyeznek el statisztikai vagy marketingcélú sütit. Kizárólag a tréningtoken biztonságos ellenőrzéséhez szükséges minimális sütiket használják.

13. Automatizált döntéshozatal

Nem hozunk az érintettekre joghatással járó vagy őket hasonlóképpen jelentős mértékben érintő, kizárólag automatizált adatkezelésen alapuló döntést (GDPR 22. cikk). Az ügyfélportálon megjelenő pontokat, szinteket és kitüntetéseket automatikusan számítjuk, ezek azonban csak a résztvevőnek szóló visszajelzésként szolgálnak, és nincs joghatásuk vagy ahhoz hasonlóan jelentős hatásuk. A tréning-eredményekről szóló riportok ténybeli nyilvántartásként állnak a munkáltató rendelkezésére; az ezek alapján tett lépésekről a munkáltató feljogosított munkatársai emberi mérlegelés alapján döntenek.

14. Gyermekek adatai

Szolgáltatásunkat vállalatok és nagykorú munkavállalóik számára terveztük. Tudatosan nem kezeljük 16 év alatti személyek személyes adatait. Ha úgy véled, hogy kiskorú adatait adták meg, kérjük, haladéktalanul jelezd az adatvedelem@kiberkontroll.hu címen.

15. A Tájékoztató módosítása

Ezt a Tájékoztatót módosíthatjuk, ha adatkezelési gyakorlatunk, a jogszabályi előírások vagy a Szolgáltatás változik. Az érdemi változásokról az előfizetőket e-mailben és/vagy weboldalunkon jól látható közleményben, legalább 14 nappal a hatálybalépés előtt értesítjük. Az oldal tetején szereplő „Utolsó módosítás” dátum a legutóbbi változás időpontját mutatja.

16. Kapcsolat

Adatvédelmi kérdéseiddel, a jogaid gyakorlásával vagy aggályaiddal fordulj hozzánk:

NAMTRAC Kft. — Kiber Kontroll
1094 Budapest, Márton utca 23-25. fszt. 4.
E-mail: adatvedelem@kiberkontroll.hu
Weboldal: www.kiberkontroll.hu

Ez az adatkezelési tájékoztató az (EU) 2016/679 rendelettel (GDPR) és az alkalmazandó magyar adatvédelmi jogszabályokkal összhangban készült. Az angol és a magyar változat tartalma azonos.