Adatkezelési Tájékoztató
1. Adatkezelő
2. A forráskódban igazoltan kezelt adatok
| Adatkategória | Technikai cél | Megőrzés jelenleg | Jogi alap állapota |
|---|---|---|---|
| Felhasználónév, technikai UUID, szerepkör | Fiók, Launcher-handshake, Minecraftazonosítás, jogosultságok | Fiók létezése idején; nincs felhasználói törlési folyamat | Szerződés teljesítése valószínű, de dokumentálandó |
| Kötelező azonosító a regisztrációkor, fiókazonosítás, későbbi értesítés és számla kiküldése | Fiók létezése idején | Szerződés teljesítése a nyitott szolgáltatáshoz, külön célra külön jogalap igazolandó | |
| Jelszó-hash | Hitelesítés | Fiók létezése idején; a jelszó nem kerül tárolásra | Szerződés és biztonsági intézkedés dokumentálandó |
| IP-cím, utolsó IP, utolsó belépés és utolsó online idő | Biztonság, Launcher-handshake, online állapot, többfiókos védelem | Nincs automatikus retention-folyamat igazolva | Érdekből végzett kezelésnél szükséges Indokolt kockázatvizsgálat hiányzik |
| Device UID és eszközmunkamenetek | Eszközazonosítás, biztonság, párhuzamos Launcher-munkamenetek | Nincs automatikus törlési szabály igazolva | Cél, küldő és megőrzés pontosítandó |
| Launcher-handshake token | 24 órás Launcher-hitelesítés és védett modletöltés | Lejárat után a következő belépéskor törlődik | Szerződés és biztonsági cél dokumentálandó |
| Fiók- és eszközsession | Webes és Launcher-munkamenet fenntartása | Webes session alapértelmezetten 7 nap; kiszolgálói retention igazolandó | Szerződés teljesítése dokumentálandó |
| 2FA-titok, bekapcsolási állapot | Kétlépcsős hitelesítés | Fiók létezése idején; nincs önálló retention-folyamat | Nem szükségszerűen hozzájáruláson alapuló, inkább biztonsági intézkedés |
| Verifikációs kód (só + SHA-256 hash), küldés- és lejárati idő, próbálkozásszám, kódküldő IP | E-mail-cím tulajdonjogának igazolása a fiók és a játék indításának engedélyezéséhez | Lejáratkor törölve; a sikeres ellenőrzés után azonnal törölve; a táblában nincs nyitott kód | Szerződés teljesítése a szolgáltatás nyitott fiókkal történő használatához, külön célra külön jogalap igazolandó |
| Skin, avatar és médiafájlok | Profil- és chatmegjelenítés | Fájlok és rekordok fiókhoz kötött elérhetősége; automatikus törlés nincs igazolva | A feltöltő és mások jogai külön vizsgálandók |
| Barátság, csoport, tagság, üzenet, tiltás | Közösségi szolgáltatások és moderáció | Adatbázisban a kapcsolódó fiók/csapoport fennállásáig; egységes lejárat nincs implementálva | Szerződés és moderációs cél külön dokumentálandó |
| Kreditek, vásárlások, tranzakciók | Bolt, egyenleg, vásárlási előzmény | Nincs automatikus 5 éves lejárati folyamat a forráskódban | Számviteli megőrzés csak a megfelelő könyvelési és bizonylati körben |
| ÁSZF/GDPR elfogadás időbélyege | Az elfogadás bizonyítása | Fiók rekordjában a fiók mellett | Bizonyítéki cél igazolandó |
3. Jogalapok
A fiók működéséhez szükséges adatoknál feltehetően a GDPR 6.1.b. cikk szerződéses szükségesség releváns, a biztonsági és fraud-prevenciós adatoknál pedig 6.1.f. érdek vagy más jogalap szükséges. Ezek végleges megállapítása adatkezelési hatásvizsgálat és a Szolgáltató tényleges cél szerinti értékelése nélkül nem végezhető el.
- A biztonsági cél, a szükségesség, az adatminimalizálás és az érdekmérleg dokumentumát még ki kell készíteni.
- A 2FA nem minősül automatikusan hozzájáruláson alapuló kezelésnek.
- A marketing és hirdetési célú adatkezelés a Google AdSense-en keresztül megvalósul; ehhez külön célra külön jogalapot kell megállapítani, és az érintettet megfelelően tájékoztatni kell.
- A verifikációs kód ellenőrzése a fiók és a játék használhatóságának feltétele, nem marketing célú adatkezelés.
4. Biztonsági intézkedések – kódból igazolható részek
- A webes/API regisztráció jelszóhash-e bcrypt költség 10-zel, a jelszócsere költség 12-vel készül.
- A session-cookie neve
galaxymc.sid, HttpOnly és SameSite=Lax beállítással készül. A Secure attribútumot az alkalmazás nem állítja be; a HTTPS-t a környező infrastruktúra biztosítja. - Védett modletöltéskor AES-256-GCM titkosítás használható, ha a szolgáltatás környezetében érvényes 64 karakteres titkosítókulcs van beállítva.
- A Launcher tokenek kriptográfiai véletlennyel készülnek és 24 órás lejárattal tárolódnak.
- Nincs kódban igazolható állítás: TLS 1.3, HSTS, napi titkosított backup, 30 napos backup-megőrzés, teljes adatbiztonsági monitoring vagy incidenskezelési gyakorlat. Ezeket csak igazolás után szabad dokumentálni.
5. Alvállalkozók és adattovábbítás
A forráskód MariaDB-t, Cloudflare Tunnelt és más belső szolgáltatásokat hivatkozik, de ebből nem állapítható meg a tényleges szolgáltató neve, szerverhelye, DPA-ja vagy harmadik országbeli adatkezelése.
[KÖTELEZŐEN AUDITÁLANDÓ] Rögzítendő valamennyi hosting-, adatbázis-, CDN-, e-mail-, külső fordítás-, analitika-, média- és biztonsági szolgáltató; a feldolgozás célja, országa, jogi alapja, megőrzése és kapcsolattartója. Harmadik országbeli átvitel esetén külön átviteli feltétel szükséges.
6. Cookie-k
galaxymc.sid: Express munkamenet-cookie, legfeljebb 7 nap, HttpOnly, SameSite=Lax; a Secure jelölés infrastruktúrától függ.- A forráskódban a Google AdSense hirdetési scriptje (
pagead2.googlesyndication.com) minden oldalon betöltődik. Ez külső szolgáltatás, saját sütiket és reklám-azonosítókat állíthat be, a felhasználó IP-címét és böngészőinformációit is feldolgozhatja. A hirdetési sütik tiltásával a hirdetések egy része nem jelenik meg. - [KÖTELEZŐEN ELLENŐRZENDŐ] Az AdSense után a tájékoztatót ki kell egészíteni a hirdetési partnerek listájával, a felhasznált sütik nevével, céljával és megőrzésükkel, továbbá a Google hirdetési süti-beállítások linkjével. EU-s közönség esetén a hirdetéshez hozzájárulási (consent) mechanizmus is szükséges, különben a hirdetéseknek tilos betöltődniük a hozzájárulás előtt.
- A sütik böngészőben korlátozhatók vagy törölhetők. A szükséges munkamenet-cookie letiltása kijelentkezéshez vezethet.
7. Érintetti jogok és kérelmek
Az érintett a GDPR 12–22. cikke szerinti jogait gyakorolhatja. Hozzáférési, javítási, törlési, korlátozási, adathordozási, tiltakozási és automatizált döntéshozatalhoz kapcsolódó kérelmek a [email protected] címre küldhetők.
A GDPR szerint indokolt esetben a kérelem teljesítésének határideje legfeljebb egy hónap, ami indokolt esetben két hónappal meghosszabbítható. A jelenlegi kódban nincs önálló adat-export és teljes fióktörlési folyamat, ezért ezek működését a kérelem elfogadása előtt implementálni és tesztelni kell.
Az adatvédelmi incidensről a hatályos kötelezettségek szerint kell értesíteni az adatkezelőt és az érintetteket. Az incidenskezelési szerepek, elérhetőségek és sablonok még igazolandók.
8. Automatikus döntés és profilalkotás
A forráskód cheat- és többfiók-ellenőrzési jelzéseket használ. A dokumentált állítás az lenne, hogy ezek önmagukban nem hoznak olyan automatizált döntést, amelynek joghatása lenne az érintettre. Ezt a tényleges moderációs és sanction-flow ellenőrizni kell; profilalkotást vagy emberi felülvizsgálat nélküli blokkolást jelenleg nem dokumentálunk.
9. Megőrzési és törlési politika – nyitott végrehajtás
A táblázat jelenlegi állapota alapján nincs egységes automatikus retention-folyamat a fiókadatokra, eszközmunkamenetekre, közösségi adatokra vagy tranzakciókra. A közzétetté váló tájékoztatóhoz létre kell hozni és auditálni kell a kategorikus megőrzési táblázatot, a mentési kivételeket és a technikai törlési feladatot.
10. Felügyeleti hatóság
Magyarországi adatkezelő esetén a panasz a Nemzeti Adatvédelmi és Információszabadság Hatósághoz nyújtható be. A hatóság elérhetősége és az aktuális eljárási információk a hivatalos honlapon ellenőrzendők.
11. Hivatalos jogforrások
- GDPR – 2016/679 rendelet
- 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról
- 2001. évi CVIII. törvény az elektronikus kereskedelmi és információs társadalmi szolgáltatásokról
A hivatkozások tájékoztató jellegűek. A hatályos jogszabály-szöveget, a tényadatokat és a jogalapokat a közzététel előtt újra kell ellenőrizni.
A tájékoztató jóváhagyási és közzétételi dátuma csak a sárga nyitott pontok lezárása után adható meg.