Adatkezelési tájékoztató
1. Adatkezelő és állapot
Az adatkezelő a MyStudium üzemeltetője: Jócsák Attila, magánszemély. Nyilvánosan megadott címe: 2314 Halásztelek II. Rákóczi Ferenc út 2. Kapcsolati és adatvédelmi e-mail-címe: info@mystudium.hu; az adatok az impresszumban is szerepelnek. Ez a tervezet a jelenlegi kód működését mutatja be; a szolgáltatói szerződések, adattovábbítási garanciák és megőrzési feltételek még véglegesítendők.
2. Milyen adat merre kerül?
| Művelet | Adatok | Tárolás / továbbítás |
|---|---|---|
| Helyi fiók | Név, felhasználónév, jelszóból származtatott ellenőrző adat és titkosított tanulótér. | A böngésző IndexedDB-tárhelyén. A jelszó nincs olvasható szövegként mentve. |
| Felhőfiók | ChatGPT-azonosítóból képzett azonosító; a profil neve, felhasználóneve, sója és ellenőrző adata; titkosított tananyagcsomag. | A MyStudium kiszolgálóján / R2-tárhelyen. A név és a felhasználónév metaadatként olvasható marad. |
| Tananyagok | Jegyzet, fotó, AI-eredmény, vizsgaidőpont, helyszín, órarend, ismétlési állapot, kedvenc intézmény. | Helyben, összekapcsolt profilnál jelszóval titkosítva a felhőben is. |
| API-kulcs | A felhasználó saját OpenAI-kulcsa. | Helyben titkosítva. Generáláskor a MyStudium kiszolgálója átmenetileg továbbítja az OpenAI-nak. Nem része a felhőprofilnak vagy a JSON-mentésnek. |
| AI-kérés | Kiválasztott forrásszöveg, csatolt képek, cím, tantárgy, szempontok és kérés. | Csak indított generáláskor: böngésző → MyStudium → OpenAI Responses API. A kérés tartalma ilyenkor feldolgozható, olvasható formában jut a szolgáltatáshoz. |
| Belépés és eszközkapcsolat | A platform azonosítási fejlécei; eszközkód, jogosultsági token lenyomata és lejárata. | Az azonosítás a ChatGPT Sites platformon történik. A saját kód nem menti el a ChatGPT e-mail-címet a tanulóprofilba. |
| Technikai működés | IP-cím és kérésadatok a hálózati továbbításhoz; időablakhoz kötött IP-lenyomat az összekapcsolás sebességkorlátozásához. | A saját kód a korlátozási kulcsot tárolja. A tárhelyplatform külön naplózhat forgalmi és biztonsági adatokat; ennek pontos beállítása ellenőrizendő. |
3. Célok és a jogalapok tervezete
A kért fiók-, mentési és AI-funkció célja a tanulóalkalmazás biztosítása; a véglegesítés során a szerződés teljesítéséhez szükséges adatkezelés (GDPR 6. cikk (1) b)) alkalmazhatóságát kell rögzíteni. A jogosulatlan hozzáférés elleni védelem tervezett alapja jogos érdek (f)), dokumentált érdekmérlegeléssel. Kötelező panaszmegőrzésnél jogi kötelezettség (c)) lehet irányadó, ha a szabály az üzemeltetőre alkalmazandó.
A konkrét jogalapokat az üzemeltető jogállása és szerződéses folyamata alapján még jóvá kell hagyni. Az AI-forrásküldés külön jóváhagyása nem általános GDPR-hozzájárulás, és nem helyettesíti más személy adatainak jogszerű kezelését. Marketingcélú adatkezelés nincs beépítve.
4. Szolgáltatók, hozzáférés és nemzetközi továbbítás
Technikai szereplők: ChatGPT Sites az azonosításhoz és a webes közzétételhez; Cloudflare a futtatáshoz és tárhelyhez; OpenAI az indított AI-kérésekhez. A MyStudium nem kapcsolódik az egyetemek Neptun-adatbázisához. Egy külső hivatkozás megnyitásakor az adott oldal saját adatkezelése érvényesül.
A szerződő jogi személyeket, adatfeldolgozói vagy önálló adatkezelői szerepeket, alvállalkozókat, tényleges adatkezelési helyeket és az EGT-n kívüli továbbítás garanciáit az üzemeltető szolgáltatói szerződései alapján kell pontosítani. Jelenleg nem ígérünk kizárólag EU-n belüli feldolgozást vagy adattovábbítás-mentességet.
Az API-kérést a kód store:false beállítással küldi. Ez nem jelent teljes megőrzésmentességet: a szolgáltató biztonsági célú adatkezelése és a saját API-projekt beállításai külön számítanak. Részletek: OpenAI API adatkezelési beállítások.
5. Megőrzés: amit a kód jelenleg tesz
- A helyi tanulótér a böngésző tárhelyének törléséig vagy eltávolításáig marad meg; nincs beépített időalapú lejárat.
- A felhőprofilnál nincs automatikus inaktivitási törlés. A megőrzési határidőt, törlési eljárást és esetleges szolgáltatói mentéseket még véglegesíteni kell.
- A kapcsolókód 10 perc, az eszközengedély 30 nap után használhatatlan. Ez érvényességi idő: a lejárt technikai rekordok fizikai takarítása jelenleg nincs automatizálva. A sikeresen kiadott eszközengedélyhez tartozó kapcsolókód törlődik; az adott eszköz leválasztása törli annak kiszolgálói engedélyét.
- A sebességkorlátozás időablakja 10 másodperc, de a létrehozott technikai kulcs automatikus fizikai törlése még nincs megoldva.
- Az API-kulcs a helyi kulcseltávolításig vagy a helyi adatok törléséig marad meg. Az OpenAI-nál a kulcsot külön kell visszavonni.
- A tárhelyplatform naplóinak, mentéseinek, valamint a kapcsolattartási és panaszadatoknak a konkrét megőrzési rendje az üzemeltető részéről pontosítandó.
6. Joggyakorlás és törlés
A feltételek fennállása esetén hozzáférést, helyesbítést, törlést, korlátozást és adathordozhatóságot kérhetsz, jogos érdeken alapuló kezelés ellen tiltakozhatsz. Hozzájárulás esetén az a jövőre nézve visszavonható. Az adatvédelmi kérelmekre főszabály szerint egy hónapon belül kell választ adni; indokolt hosszabbításról tájékoztatást kell küldeni.
A saját tananyag exportálható a profilmenüből. A kijelentkezés, egy eszköz leválasztása vagy a böngészőadatok törlése nem egyenlő a teljes felhőprofil törlésével. Adatvédelmi és a teljes felhőprofil törlésére irányuló kérelem megadott kapcsolati címe: info@mystudium.hu. A fogadó postafiók működése és a kérelmek ügyintézési rendje még ellenőrizendő. Jelszót, API-kulcsot nem kell és nem szabad elküldeni.
Panasz esetén a Nemzeti Adatvédelmi és Információszabadság Hatósághoz is fordulhatsz: 1055 Budapest, Falk Miksa utca 9–11.; postacím: 1363 Budapest, Pf. 9.; telefon: +36 (1) 391-1400. A hivatalos benyújtási módokat a Hatóság oldalán ellenőrizd. Bírósági jogorvoslat is igénybe vehető.
7. Biztonság és személyes tananyag
A titkosítás csökkenti a hozzáférési kockázatot, de nem teszi a személyes adatokat anonim adattá, és nem véd egy már hozzáférhető készüléktől vagy minden szoftverhibától. Az AI-kéréshez kiválasztott forrás a továbbítás során feldolgozható formában jelenik meg. Egészségügyi, büntetőjogi, azonosító vagy más érzékeny adatot ne tölts fel; a tananyagban szereplő személyeket lehetőség szerint anonimizáld.
A MyStudium nem hoz felvételi, osztályozási vagy más joghatással járó döntést. A próbavizsga értékelése a felhasználó saját önértékelése. Az alkalmazás saját kódjában nincs hírlevélküldés vagy reklámprofil-készítés.
E-mail-cím megerősítése
Az új regisztráció e-mail-címet és megerősítő kódot igényel. A kód tíz percig érvényes, legfeljebb öt alkalommal próbálható meg. A kiszolgáló az e-mail-címet, a kód lenyomatát, a próbálkozások számát és a megerősítés időpontját kezeli; a kódot levélküldő szolgáltatás továbbítja. A levélküldő szolgáltató kiválasztása és éles beállítása még folyamatban van. A fiók e-mail-címe és megerősítési időpontja helyi, illetve szinkronizált fiókmetaadatként tárolódik. Ez a megerősítés nem biztosít titkosításijelszó-visszaállítást.
Privacy notice
1. Controller and status
The controller is the MyStudium operator: Jócsák Attila, a private individual. The public address supplied is 2314 Halásztelek II. Rákóczi Ferenc út 2. The contact and privacy email is info@mystudium.hu; these details also appear in the legal notice. This draft describes the current code; provider agreements, transfer safeguards and retention arrangements still need to be finalized.
2. What data goes where?
| Operation | Data | Storage / transmission |
|---|---|---|
| Local account | Name, username, password-derived verifier and encrypted study space. | Browser IndexedDB. The password is not saved as readable text. |
| Cloud account | An identifier derived from the ChatGPT user ID; profile name, username, salt and verifier; encrypted study data. | MyStudium server / R2 storage. Name and username remain readable metadata. |
| Study materials | Notes, photos, AI output, exam dates and locations, timetable, review progress and favorite institution. | Locally and, for a linked profile, password-encrypted in the cloud. |
| API key | Your own OpenAI API key. | Encrypted locally; temporarily relayed through MyStudium to OpenAI during generation. Excluded from the cloud profile and JSON backups. |
| AI request | Selected source text, attached images, title, subject, criteria and prompt. | Only when generation starts: browser → MyStudium → OpenAI Responses API. The content is readable for processing during this request. |
| Sign-in and device linking | Platform identity headers; pairing code, device token hash and expiry. | ChatGPT Sites handles identity. The app’s code does not save the ChatGPT email address in the study profile. |
| Technical operation | IP and request data for network delivery; a time-windowed IP hash for device-link rate limiting. | The app stores the rate-limit key. The hosting platform may separately record traffic and security logs; its exact configuration must be checked. |
3. Purposes and proposed legal bases
Accounts, saves and AI are used to provide the requested study app; the final notice must confirm the application of processing necessary for a contract (GDPR Article 6(1)(b)). Protection against unauthorized access is proposed to rely on legitimate interests (f), supported by a documented balancing assessment. Mandatory complaint retention may rely on legal obligation (c) where applicable.
These bases still require approval according to the operator’s status and contractual process. Approving an AI source submission is not blanket GDPR consent and does not authorize processing another person’s data. Marketing processing is not built into the app.
4. Providers, access and international transfers
Technical providers are ChatGPT Sites for identity and publication, Cloudflare for runtime and storage, and OpenAI for AI requests you start. MyStudium does not connect to university Neptun databases. An external site’s own privacy rules apply when you open its link.
The contracted legal entities, processor or independent-controller roles, subprocessors, actual processing locations and safeguards for transfers outside the EEA must be confirmed from the operator’s agreements. Exclusive EU processing or absence of international transfers is not promised.
The code sends API requests with store:false. This does not mean zero retention: provider security processing and your API project settings also matter. See OpenAI API data controls.
5. Retention: what the code currently does
- The local study space remains until browser storage is cleared or removed; it has no built-in time-based expiry.
- Cloud profiles have no automatic inactivity deletion. Retention limits, the deletion process and any provider backups still need to be finalized.
- Pairing codes become unusable after 10 minutes and device authorization after 30 days. These are validity periods: expired records are not automatically purged. The pairing code is deleted after issuing device authorization; disconnecting that device deletes its server authorization record.
- Rate limiting uses a 10-second window, but automatic physical deletion of its stored keys has not yet been implemented.
- API keys remain until locally removed or local data is cleared. Revoke the key separately at OpenAI.
- The operator must confirm retention rules for platform logs, backups, correspondence and complaints.
6. Your rights and deletion
Where applicable, you may request access, correction, erasure, restriction and data portability, and object to legitimate-interest processing. Consent can be withdrawn for the future. Privacy requests generally require a response within one month; reasons for any permitted extension must be communicated.
Export your materials from the profile menu. Signing out, unlinking a device or clearing browser data does not delete the full cloud profile. The supplied contact for privacy and full-cloud-profile deletion requests is info@mystudium.hu. Mailbox operation and the request-handling procedure still need verification. Never send passwords or API keys.
You may complain to the Hungarian National Authority for Data Protection and Freedom of Information: 1055 Budapest, Falk Miksa utca 9–11.; postal address: 1363 Budapest, Pf. 9.; phone: +36 (1) 391-1400. Check the Authority’s website for official submission methods. Judicial remedies are also available.
7. Security and personal study content
Encryption reduces access risks, but does not make personal data anonymous or protect an already accessible device against every software defect. Selected AI sources are readable for processing during transmission. Do not upload health, criminal-offence, identification or other sensitive data; anonymize people mentioned in study material where possible.
MyStudium does not make admissions, grading or other decisions with legal effects. Practice grading is your own self-assessment. The app’s code does not send newsletters or build advertising profiles.
Email address verification
New registration requires an email address and verification code. Codes expire after ten minutes and allow at most five attempts. The server processes the email address, code hash, attempt count and verification time; an email delivery service sends the code. Selection and live configuration of the email delivery provider are pending. Account email addresses and verification timestamps are stored as local and synchronized account metadata. This verification does not enable recovery of an encryption password.