Adatkezelési tájékoztató

1. Az Adatkezelő

A továbbiakban: „Adatkezelő”. Jelen tájékoztató kiterjed a weboldal látogatóira, érdeklődőkre, publikus tudásszintfelmérőt kitöltőkre, regisztrált felhasználókra, képzésben részt vevő személyekre, vállalati kapcsolattartókra, csoportadminisztrátorokra és a rendszerben kijelölt oktatókra.

2. Jogszabályi háttér

• az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR);
• 2011. évi CXII. törvény (Infotv.);
• 2013. évi LXXVII. törvény a felnőttképzésről (Fktv.);
• 11/2020. (II. 7.) Korm. rendelet a felnőttképzésről szóló törvény végrehajtásáról;
• 1996. évi XX. törvény a személyazonosító jel helyébe lépő azonosítási módokról és az azonosító kódok használatáról;
• 2000. évi C. törvény a számvitelről;
• 2013. évi V. törvény a Polgári Törvénykönyvről;
• 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatásokról és az információs társadalommal összefüggő szolgáltatásokról.

Az Fktv. alapján kezelt képzési személyes adatok és a képzés megvalósítását igazoló dokumentumok megőrzése főszabály szerint a felnőttképzési szerződés megkötésétől, illetve a dokumentum keletkezésétől számított nyolcadik év utolsó napjáig szükséges.

3. Adatkezelési alapelvek

• jogszerűség, tisztességes eljárás és átláthatóság;
• célhoz kötöttség és adattakarékosság;
• pontos és szükség esetén naprakész adatok;
• korlátozott tárolhatóság;
• integritás és bizalmas jelleg;
• elszámoltathatóság.

Az Adatkezelő nem kér és nem kíván kezelni különleges személyes adatot (pl. egészségügyi, vallási, politikai vagy biometrikus adatot), kivéve ha erre jogszabály vagy kifejezett, megfelelő jogalap alapján feltétlenül szükség lenne. A szabad szöveges mezőkben ilyen adat megadását kerülni kell.

4. Az adatkezelések részletes áttekintése

5. A mérési adatok részletezése

• Választartalom: a felhasználó konkrét válasza, a válasz állapota (megadott / Nem tudom / nincs válasz), a helyes megoldás méréskori snapshotja és az elért pont.
• Időadatok: kérdésenkénti válaszidő, látható és aktív idő, teljes aktív kitöltési idő; ezek célja a tudás és válaszadási hatékonyság összehasonlítása, nem automatikus csalásfelderítés.
• Technikai események: nyitás, mentés, navigáció, lezárás, fókuszvesztés és aktivitási események. Ezek részben a mérés folytathatóságát, konzisztenciáját és utólagos ellenőrizhetőségét szolgálják.
• Riportadatok: összpont, maximális pont, százalék, témaköri részpontok, Nem tudom válaszok száma, PRE/POST változás és későbbi részletes értékelési mutatók.
• Snapshot-elv: a rendszer megőrizheti a kérdés szövegének, verziójának és helyes megoldásának méréskori állapotát, hogy egy későbbi kérdésbank-módosítás ne változtassa meg visszamenőleg a korábbi mérés értelmét.

6. Csoportadminisztrátorok, oktatók és szerepköralapú hozzáférés

A rendszer a hozzáféréseket feladat- és csoportkörhöz köti. A Core admin és Szuperadmin az adminisztratív feladataihoz szükséges adatkörben jár el; a Csoportadmin kizárólag a saját csoportjaihoz, az Oktató pedig kizárólag a számára kiírt oktatási órákhoz és az azokhoz tartozó operatív adatokhoz kap hozzáférést.

6.1. Csoportadminisztrátor

A kijelölt Csoportadmin a saját csoportjára korlátozva megismerheti a képzés szervezéséhez, a jelenlét ellenőrzéséhez és a szerződés szerinti riportáláshoz szükséges mérési és képzési eredményeket. Más vállalat vagy más csoport adataihoz nem kap hozzáférést. A jelenléti adatokat saját csoportjában rögzítheti vagy igazolhatja; e műveletek naplózottak.

6.2. Oktató

Az Oktató a számára kiírt órákhoz kapcsolódó órarendet és oktatási anyagokat olvashatja, továbbá a jelenléti ívet kezelheti és a jelenlét/hiányzás státuszát igazolhatja. Nem módosíthat vállalatot, kampányt, csoportlétszámot, csoporttagságot, kurzust, témakör-törzsadatot vagy a résztvevők személyes törzsadatait.

Az oktatói, csoportadminisztrátori és adminisztrátori hozzáférések, valamint a jelenléti adatok módosításai auditnaplóban rögzíthetők. Ha ugyanaz a személy több szerepkörrel rendelkezik, az egyes műveleteket mindig az adott művelethez szükséges jogosultsági kör alapján engedélyezi a rendszer.

6.3. Vállalati eredmény-hozzáférés

A vállalati Megrendelő vagy annak kijelölt Csoportadminja a szerződésben meghatározott képzési és vezetői riportokat megismerheti. A Megrendelő az így megismert eredmények képzési célon túli – például munkáltatói teljesítményértékelési – felhasználása tekintetében saját adatkezelési felelősséggel és megfelelő jogalappal tartozik. Az ExcelOktatas.hu eredményei önmagukban nem képeznek kizárólag automatizált munkajogi döntést.

7. Automatizált értékelés és kurzusajánlás

A rendszer automatikusan számíthat pontszámot, százalékot, témaköri eredményt és PRE/POST fejlődési mutatót. A publikus szintfelmérő vagy későbbi részletes kiértékelő motor az eredmények alapján ajánlhat kurzust vagy fejlesztendő témakört.

Ezek az automatikus értékelések oktatási/tájékoztató célúak. Nem eredményeznek kizárólag automatizált módon olyan döntést, amely a Résztvevőre nézve joghatással járna vagy őt hasonlóan jelentős mértékben érintené. Vállalati képzésnél a kurzusba sorolás és a képzési döntések emberi/szerződéses döntéssel történnek.

8. Adatok forrása

• a felhasználó/érintett által közvetlenül megadott adatok;
• a vállalati Megrendelő vagy jogosult Csoportadmin által megadott résztvevői/csoportadatok;
• a rendszer használata során automatikusan keletkező technikai és mérési adatok;
• a képzési szerződésből, számlázásból vagy jogszabályi adatszolgáltatásból származó adatok;
• az oktatási azonosító szám – ha az érintett rendelkezik ilyennel – az Oktatási Hivataltól, a FAR-on keresztül is az Adatkezelő tudomására juthat, illetve annak hiányában a kiadását a felnőttképző a FAR-on keresztül kezdeményezheti.

Ha a Megrendelő adja meg a Résztvevő adatait, köteles biztosítani, hogy az adatátadás jogszerű legyen, és a Résztvevő a szükséges tájékoztatást megkapja. Az Adatkezelő a Résztvevő első érdemi rendszerhasználatakor saját tájékoztatását is elérhetővé teszi.

9. Adattovábbítás, címzettek és adatfeldolgozók

A Google-szolgáltatások igénybevétele esetén az adatok az Európai Gazdasági Térségen kívüli szolgáltatói infrastruktúrába is kerülhetnek. Ilyen esetben a szolgáltató által alkalmazott, GDPR szerinti adattovábbítási garanciák (például megfelelőségi határozat, standard szerződéses feltételek vagy más megfelelő garancia) irányadóak.

A Google Ireland Ltd. / Google LLC felé történő adattovábbítás az Európai Bizottság EU–US Data Privacy Framework (DPF) megfelelőségi határozatán, valamint az alkalmazott általános szerződési feltételeken (SCC) alapul.

10. Felnőttképzési jogszabály alapján kezelt adatok

Ha a képzés az Fktv. hatálya alá tartozik, az Adatkezelő a GDPR 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség teljesítése érdekében kezeli és – a jogszabályban meghatározott körben – a FAR felé továbbítja a résztvevő adatait.

A FAR-adatszolgáltatáshoz szükséges résztvevői adatok: családi és utónév, születési családi és utónév, születési hely, születési idő, anyja születési családi és utóneve, elektronikus levelezési cím és legmagasabb iskolai végzettség. Az oktatási azonosító számot – ha már létezik – az Oktatási Hivatal a természetes személyazonosító adatok alapján a FAR-on keresztül közölheti a felnőttképzővel; ha az érintett nem rendelkezik oktatási azonosítóval, annak kiadását a felnőttképző a FAR-on keresztül kezdeményezheti.

FAR-os képzés adatai: a képzés megnevezése, jellege, helye, óraszáma, első képzési napja, tervezett befejezése, továbbá a képzési díj és annak költségviselője; az alkalmazandó jogszabály alapján további képzésszervezési és haladási adatok is kezelhetők.

A FAR-ban kiállított tanúsítvány adattartalmát a 11/2020. (II. 7.) Korm. rendelet határozza meg. A tanúsítványon a résztvevő családi és utóneve, születési neve, születési helye és ideje, valamint anyja születési neve is szerepel. Az ExcelOktatas.hu külön, dekoratív oklevele nem azonos a FAR-ban kiállított hivatalos tanúsítvánnyal.

Mikrotanúsítvány: a jelenlegi ExcelOktatas.hu FAR-folyamat a szokásos FAR tanúsítvány kiállítására készül, nem mikrotanúsítványra. Ezért a mikrotanúsítványhoz külön előírt további azonosítók (így különösen adóazonosító jel, társadalombiztosítási azonosító jel és állampolgárság) nem kerülnek általánosan bekérésre. Ha a későbbiekben mikrotanúsítványt adó képzés indul, az adatkezelési tájékoztatót és az adatbekérést a képzés megkezdése előtt ennek megfelelően módosítani kell.

A bemeneti kompetenciamérés, előzetes tudásmérés, képzési értékelés és az elektronikus szakmai felkészítést/ellenőrzést igazoló dokumentumok a képzési dokumentáció részévé válhatnak. Az Fktv. 21. § szerinti személyes adatok megőrzése főszabály szerint a felnőttképzési szerződés megkötésétől számított nyolcadik év utolsó napjáig történik.

Adatkezelési tájékoztató elfogadása: a regisztráció során rögzített jelölés és időpont azt igazolja, hogy az érintett a tájékoztatót megismerte. Ez önmagában nem teszi hozzájárulás alapúvá azokat az adatkezeléseket, amelyek jogalapja szerződés teljesítése, jogi kötelezettség vagy jogos érdek.

11. Adatmegőrzés részletes szabályai

12. Adatbiztonság

Az Adatkezelő a GDPR 25. és 32. cikkének megfelelően kockázatarányos technikai és szervezési intézkedéseket alkalmaz. Az éles üzemi rendszerben a személyes, mérési, jelenléti, órarendi és személyes adatot tartalmazó riport-/oklevélállományok nyugalmi állapotban alkalmazásszintű, hitelesített titkosítással kerülnek tárolásra. A relációk működéséhez szükséges belső technikai azonosítók álnevesített/pseudonim formában maradhatnak olvashatók, önmagukban közvetlen személyazonosításra nem szolgálnak.

• Visszafejthető adattitkosítás: a működéshez szükséges személyes adatok erős, hitelesített titkosítással tárolódnak; a visszafejtés kizárólag a jogosult alkalmazási folyamatban történik.
• Egyirányú hitelesítési védelem: jelszavak és más visszafejtést nem igénylő hitelesítési titkok korszerű, sózott egyirányú hash formájában kerülnek tárolásra.
• Kereshető titkos mezők: ahol üzletileg szükséges az egyedi keresés vagy egyezésvizsgálat, külön kulcsolt, vissza nem fejthető keresőindex használható; a nyers személyes adat ebből nem állítható elő.
• Kulcskezelés: a titkosítás teljes kulcsanyaga nem kerül az adatbázisba; a kulcsok elkülönített konfigurációs/runtime komponensekkel, verziózható és rotálható módon kerülnek kezelésre, külön helyreállítási eljárással.
• Fájl-at-rest védelem: személyes adatot tartalmazó riportok, oklevelek és más tárolt dokumentumok jogosultság-ellenőrzött módon, titkosított tárolásból kerülnek kiadásra.
• Hálózati védelem: HTTPS/TLS használata a webes adatforgalomhoz.
• Szerepköralapú hozzáférés: Core admin, Szuperadmin, Csoportadmin, Oktató és Hallgató jogosultsági körök, az oktatói nézetben szigorú adatminimalizálással.
• Alkalmazásbiztonság: CSRF-védelem, reCAPTCHA/honeypot/rate-limit, biztonságos munkamenet-kezelés és jogosultság-ellenőrzött fájl-/riportletöltés.
• Audit: biztonsági és üzleti műveletek naplózása; a nyers IP-címhez csak a Core admin férhet hozzá, más adminisztratív nézetben vissza nem fejthető azonosító alkalmazható. Az auditnaplóban a szükségesnél több nyers személyes adat nem kerül rögzítésre.
• Mentés és helyreállítás: biztonsági mentés, kulcsoktól elkülönített backup-stratégia, helyreállítási képesség és a védelmi intézkedések rendszeres felülvizsgálata.

Egyetlen informatikai rendszer sem tehető abszolút kockázatmentessé; az Adatkezelő a kockázatok, a technológia állása és a megvalósítás költségei alapján rendszeresen felülvizsgálja a védelmi intézkedéseket.

13. Sütik, reCAPTCHA és látogatottságmérés

13.1. Szükséges sütik

A weboldal a munkamenet, bejelentkezés, biztonság és a felhasználói beállítások működéséhez szükséges sütiket használhat. Ezek a szolgáltatás működéséhez szükségesek.

13.2. Google reCAPTCHA v3

A kapcsolatfelvételi, regisztrációs, belépési, jelszó-visszaállítási és tudásszintfelmérési űrlapok védelmére Google reCAPTCHA v3 használható. A szolgáltatás technikai adatokat és kockázati jeleket továbbíthat a Google felé a bot- és visszaélésvédelem céljából. Jogalap: az Adatkezelő jogos érdeke a rendszer és az űrlapok védelméhez.

13.3. Statisztikai sütik / Google Analytics

A statisztikai mérés csak akkor aktiválható, ha a weboldal tényleges mérőkódja beállításra került és a látogató a nem szükséges/statisztikai sütikhez hozzájárult. A hozzájárulás a felhasználó böngészőjében visszavonható.

14. Az érintett jogai

• hozzáférés kérése a kezelt személyes adatokhoz és az adatkezelésre vonatkozó információkhoz;
• helyesbítés kérése;
• törlés kérése, ha annak feltételei fennállnak;
• az adatkezelés korlátozásának kérése;
• adathordozhatóság a GDPR szerinti esetekben;
• hozzájárulás bármikori visszavonása, ha az adatkezelés hozzájáruláson alapul;
• jogos érdeken alapuló adatkezelés ellen tiltakozás;
• panasz benyújtása a felügyeleti hatósághoz és bírósági jogorvoslat igénybevétele.

A kérelem a gabor@exceloktatas.hu címre küldhető. Az Adatkezelő a kérelmet a GDPR szerinti határidőben kezeli, és szükség esetén az érintett személyazonosságának megerősítését kérheti.

15. Felügyeleti hatóság

Az érintett jogosult a NAIH-hoz panaszt benyújtani, illetve bírósághoz fordulni.

Továbbá tájékoztatjuk, hogy jogainak megsértése esetén az Adatkezelő ellen a lakóhelye vagy tartózkodási helye szerinti törvényszéken peres eljárást indíthat.

16. Adatvédelmi incidens

Az Adatkezelő az adatvédelmi incidenseket belsőleg dokumentálja, és ha az incidens valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a GDPR szerinti esetben bejelenti a felügyeleti hatóságnak. Magas kockázat esetén az érintettek tájékoztatása is megtörténik, kivéve ha a GDPR szerinti kivétel alkalmazható.

17. A tájékoztató módosítása és verziókövetése

Az Adatkezelő a tájékoztatót különösen jogszabály-, szolgáltatás- vagy adatkezelési változás esetén módosíthatja. A weboldalon az aktuális verzió és a korábbi archivált változatok is elérhetők. Lényeges változás esetén a regisztrált felhasználók megfelelő tájékoztatást kaphatnak.