Adatkezelési Tájékoztató

A jelen tájékoztató a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről szóló (EU) 2016/679 rendelet (GDPR) 13. és 14. cikke szerinti tájékoztatás. A v2.0 a RENEXUS teljes platform-adatkezelését, valamint a discovery-, communication-vault- és cold tender-meghívási célállapotot egységesen írja le. Hatálybalépés: 2026. szeptember 24. A dokumentum a 2026. szeptember 24-i tényállásból indul ki, és a rollout előtti gyakorlatot nem minősíti visszamenőleg jogszerűnek.

1. A Tájékoztató célja, státusza és hatálya

A RENEXUS SYSTEMS Kft. (a továbbiakban: RENEXUS, Adatkezelő vagy Szolgáltató) a https://renexus.hu címen elérhető B2B tender- és ajánlatkérési platform működtetőjeként a jelen Tájékoztatóban ad tájékoztatást az általa végzett személyesadat-kezelésekről.

A Tájékoztató egységesen lefedi:

• a Platformon Ajánlatkérőként (AK) vagy Ajánlattevőként (AT) regisztrált szervezetek természetes személy felhasználóit, kapcsolattartóit és képviselőit;
• a felhasználó szervezetek által megadott további természetes személyeket, így különösen csapattagokat, szakembereket és külsős szakembereket;
• a tender-, ajánlati, hiánypótlási, kiegészítő tájékoztatási és más eljárási dokumentumokban szereplő természetes személyeket;
• a RENEXUS discovery rendszerében nyilvánosan elérhető szakmai vagy üzleti forrás alapján szereplő természetes személyeket;
• a communication vaultban kezelt szakmai e-mail-címek érintettjeit;
• a konkrét cold tender-meghívások címzettjeit;
• a szervezeti, előfizetési, Enterprise-, support-, számlázási és fizetési folyamatok természetes személy érintettjeit;
• a Platform korábbi, legacy működése során keletkezett személyes adatok érintettjeit;
• a weboldal látogatóit és a Platform technikai, biztonsági és műveleti naplóiban szereplő személyeket.

A Platform üzleti (B2B) szolgáltatás. A jogi személyre vonatkozó adatok önmagukban nem személyes adatok, azonban a jogi személy nevében eljáró vagy azzal kapcsolatba hozható természetes személy adatai — például név, üzleti e-mail-cím, telefonszám, beosztás, szakmai önéletrajz — a GDPR hatálya alá tartozhatnak.

A v2 discovery/tender-meghívási célállapot nem kezel telefonszámot, nem pontoz és nem rangsorol természetes személyeket, és személyek kiválasztására nem használ AI-t, LLM-et vagy embedding-alapú modellt. Ez nem jelenti azt, hogy a Platform más, regisztrált felhasználói vagy szerződéses folyamataihoz kapcsolódóan telefonszám egyáltalán ne kerülhetne kezelésre; e köröket a jelen Tájékoztató külön kezeli.

A jelen Tájékoztató a rollout előtti gyakorlatot nem minősíti visszamenőleg jogszerűnek. A történeti eltéréseket a 22. fejezet és a kapcsolódó LIA/DPIA külön kezeli.

2. Az adatkezelő és kapcsolattartás

Adatvédelmi tisztviselő: A RENEXUS jelenleg nem jelölt ki adatvédelmi tisztviselőt. Az adatvédelmi kérelmeket a support@renexus.hu címen fogadja.

3. Adatkezelői szerepek

3.1. RENEXUS mint önálló adatkezelő

A RENEXUS önálló adatkezelőként határozza meg a discovery rendszer általános célját és lényeges eszközeit, így különösen:

• a forráscsaládokat;
• a discovery index adatkategóriáit;
• az identitás- és deduplikációs modellt;
• a provenance rendszerét;
• a communication vault felépítését;
• a globális suppression működését;
• az objektív relevanciaszűrés infrastruktúráját;
• a biztonsági és auditnaplókat;
• az index- és vault-szintű retention/review szabályokat.

3.2. Konkrét tenderhez kapcsolódó közös adatkezelési szakasz

A konkrét tender releváns címzetti körének kialakításában, az ajánlatkérő emberi címzett-kiválasztásában és a meghívási folyamatban a RENEXUS és az adott Ajánlatkérő közös adatkezelése merülhet fel.

Az Ajánlatkérő határozza meg a beszerzési célt, a tender tartalmát, a munkarészeket és a szakmai feltételeket; a RENEXUS biztosítja a discovery, kommunikációs, suppression-, újraellenőrzési és audit-infrastruktúrát.

A GDPR 26. cikk szerinti konkrét felelősségmegosztás lényegét az adott tenderhez kapcsolódó adatkezelési információ és a teljes közös adatkezelési tájékoztatás teszi hozzáférhetővé.

3.3. Adatfeldolgozói helyzet

A RENEXUS adatfeldolgozóként járhat el különösen akkor, ha egy Ajánlatkérő kizárólag a saját forrásából származó beszállítói listát kezeli a Platformon, és az adat nem olvad be a RENEXUS saját discovery rendszerébe, vagy ha külön, explicit „processor mode” kerül alkalmazásra.

Ilyen esetben a GDPR 28. cikk szerinti adatfeldolgozói megállapodás irányadó.

4. A discovery és communication architektúra

4.1. Discovery index

A discovery index célja szakmailag releváns gazdasági szereplők és szakemberek tényszerű, objektív szűrhetősége.

A tartós discovery rekord természetes személy esetén tipikusan a következő adatokat tartalmazhatja:

• név;
• kamara és kamarai nyilvántartási azonosító;
• szakmai jogosultság, annak kódja és érvényessége;
• szakág, szakmai tevékenység vagy releváns kulcsszó;
• település/régió, ha a szakmai relevanciához szükséges;
• forráscsalád, forrásazonosító vagy URL, ahol rendelkezésre áll;
• source_observed_at / source_collected_at / last_verified_at jellegű frissességi adatok;
• aktív/megjeleníthető státusz;
• objektív bekerülési vagy kizárási ok.

A discovery index nem tartalmaz nyers cold e-mail-címet vagy telefonszámot.

4.2. Communication vault

A cold kapcsolatfelvételhez használható személyes e-mail-cím a discovery indextől elkülönített communication vaultban kezelhető.

A raw e-mail:

• normál keresési API-ból és frontendből nem érhető el;
• kontakt-referenciával kapcsolódik a discovery alanyhoz;
• kizárólag engedélyezett célra, naplózott resolveren keresztül oldható fel;
• cold tender-meghívásnál közvetlenül a tényleges küldés előtt kerül JIT módon feloldásra;
• új cold email logban és sessionben nem tárolódik nyers formában.

A tender-discovery rendszerben telefonszám nem kezelhető.

4.3. Provenance

A RENEXUS rekord- és mezőszinten dokumentálja az adat eredetét olyan mértékben, amennyire az az elszámoltathatóság, a pontosság, a GDPR 14. cikk szerinti forrásközlés és az érintetti joggyakorlás érdekében szükséges.

5. Adatforrások

A RENEXUS forráscsaládjai a célállapotban különösen:

5.1. MMK szakmai nyilvántartás

A Magyar Mérnöki Kamara nyilvánosan elérhető szakmai nyilvántartásából származhatnak szakmai jogosultsági és azonosító adatok. A RENEXUS nem állítja, hogy a kamarai e-mail-cím kötelezően nyilvános adat lenne, és a nyilvános szakmai adatok hozzáférhetőségét nem tekinti korlátlan harmadik-fél újrafelhasználási engedélynek.

Új, periodikus teljes kamarai scraping a célállapotban nem működik.

5.2. MÉK / MEKON

A Magyar Építész Kamara / MEKON nyilvános szakmai felületeiről szakmai jogosultsági és egyes, az érintett nyilvánossági beállításai szerint hozzáférhető adatok származhatnak. A RENEXUS e nyilvánosságot nem tekinti automatikus, korlátlan üzleti újrafelhasználási jogosultságnak.

5.3. REKORE

A RENEXUS a nyilvános REKORE taglistából származó, már meglévő adatokat „partial” forrásstátusszal kezelheti. Új automatikus teljes REKORE-import nem része a célállapotnak.

5.4. Vállalkozások nyilvános honlapjai

A RENEXUS szakmai/üzleti kapcsolatfelvételre közzétett céges elérhetőségi és tevékenységi adatokat kezelhet. Magánjellegű elérhetőségek célzott gyűjtése nem része a rendszer céljának.

A 2026. júniusi vállalkozási weboldal-forrás egyszeri előállításakor tevékenységi besorolást LLM-alapú osztályozás segített; ez a forrás 2026. szeptember 23. óta nem vesz részt a személyek keresési és meghívási folyamatában.

5.5. Ajánlatkérő saját listája

Az Ajánlatkérő saját, kézzel vagy fájlból feltöltött beszállítói adatainak jogalapjáért az Ajánlatkérő felel; e körben a RENEXUS adatfeldolgozóként járhat el, ha az adat nem kerül a saját discovery indexbe.

6. Regisztráció, fiókkezelés, szervezeti és kapcsolattartási adatok

6.1. Regisztráció és fiókkezelés

Cél: felhasználói fiók létrehozása és fenntartása, a felhasználó és az általa képviselt szervezet azonosítása, bejelentkezés és jogosultságkezelés, a Platform-szolgáltatás nyújtása, továbbá a szolgáltatáshoz szükséges rendszerüzenetek küldése.

Kezelt adatok:

• a szervezet cégadatai: cégnév, cégforma, adószám, cégjegyzékszám vagy más nyilvántartási szám, székhely és szükség esetén levelezési/számlázási cím;
• a természetes személy felhasználó vagy kapcsolattartó neve, üzleti e-mail-címe, beosztása/szerepköre és a regisztrációs folyamatban megadott kapcsolattartói telefonszáma;
• a regisztráció és bejelentkezés technikai adatai, jelszó kizárólag nem visszafejthető lenyomatként, tokenek és azok lenyomatai, időbélyegek, elfogadott jogi dokumentumok és nyilatkozatok;
• ajánlattevői oldalon a szolgáltatás működéséhez megadott szakmai és üzleti beállítások, tevékenységi kategóriák, tender-értékkategóriák és — ahol alkalmazandó — szakmagyakorlási jogosultságokra vonatkozó szervezeti nyilatkozatok.

Jogalap: egyéni vállalkozó vagy saját nevében szerződő természetes személy esetén GDPR 6. cikk (1) b) pont. Jogi személy szervezet nevében eljáró természetes személyek adatainál GDPR 6. cikk (1) f) pont: a RENEXUS és a felhasználó szervezet jogos érdeke a szerződés létrehozásához, teljesítéséhez, jogosultságkezeléshez és kapcsolattartáshoz szükséges természetes személy azonosítása.

Megőrzés: a fiók és a szükséges kapcsolattartási adatok főszabály szerint a fiók fennállásáig kezelhetők. Törlési kérelem esetén a RENEXUS a kérelmet indokolatlan késedelem nélkül, legkésőbb a GDPR 12. cikk szerinti határidőben kezeli; a tényleges törlést a jogi kötelezettségek, legal hold és a 18. fejezetben rögzített kivételek korlátozhatják.

Az adatszolgáltatás következménye: a kötelezőként megjelölt regisztrációs adatok nélkül a fiók létrehozása vagy az adott szolgáltatás igénybevétele nem lehetséges.

6.2. Kapcsolattartók, képviselők és további felhasználók

Cél: a felhasználó szervezettel való üzleti és szerződéses kapcsolattartás, jognyilatkozatok címzettjének és megtételére jogosult személynek az azonosítása, tender- és rendszerkommunikáció.

Adatok: név, beosztás/szerepkör, üzleti e-mail, üzleti telefonszám, szervezeti kapcsolódás, jogosultságok, valamint a Platformon végzett auditált műveletek.

Forrás: az érintett maga vagy az őt kijelölő/felhatalmazó szervezet.

Jogalap: GDPR 6. cikk (1) f) pont — a RENEXUS és a felhasználó szervezet jogos érdeke a hatékony szerződéses és üzleti kapcsolattartás.

Megőrzés: a kapcsolattartói vagy képviselői minőség fennállásáig, módosításig/törlésig, illetve az adott jognyilatkozat, audit- vagy jogvita-nyomvonal megőrzési idejéig.

6.3. Szervezet, tagság, felhatalmazás, előfizetés és Enterprise-folyamat

A Platform szervezeti működése során kezelhető a szervezeti tagság és szerepkör, meghívás/csatlakozás, felhatalmazás, előfizetési csomag és státusz, kreditek és felhasználási események, valamint Enterprise-ajánlatkéréshez kapcsolódó kapcsolattartói és üzleti adatok.

Cél: a szervezeti fiók működtetése, a jogosultságok és felhatalmazások kezelése, az előfizetési vagy díjköteles szolgáltatások nyújtása és az Enterprise-igények kezelése.

Jogalap: a szerződésben közvetlenül érintett természetes személynél GDPR 6. cikk (1) b) pont; jogi személy nevében eljáró személyeknél 6. cikk (1) f) pont. Számlázási/számviteli adatoknál a 14. fejezet szerinti 6. cikk (1) c) pont is alkalmazandó.

Megőrzés: a szervezeti/szerződéses jogviszony fennállásáig és a 18. fejezet szerinti, adott adatcsoporthoz kapcsolódó időtartamig.

6.4. Rendszerüzenetek és működési értesítések

A RENEXUS a szolgáltatás működéséhez kapcsolódó, nem reklámcélú üzeneteket küldhet, így különösen regisztráció-megerősítést, jelszó-helyreállítást, tender- és határidőértesítést, hiánypótlási felhívást, ajánlat/bontási értesítést, jogi dokumentumok és díjszabás változásáról szóló tájékoztatást.

Jogalap: a szolgáltatás teljesítéséhez szükséges üzeneteknél GDPR 6. cikk (1) b) pont, illetve jogi személy kapcsolattartójánál 6. cikk (1) f) pont.

A gazdasági reklámnak minősülő általános promóció, newsletter vagy platformmarketing nem tartozik e jogalap alá.

6.5. Support- és ügyfélszolgálati kommunikáció

Cél: felhasználói kérdések, hibabejelentések, adatvédelmi és joggyakorlási kérelmek, számlázási vagy technikai problémák kezelése.

Adatok: feladó neve és elérhetősége, szervezeti kapcsolat, az üzenet és esetleges melléklet tartalma, az ügy kezeléséhez szükséges technikai és auditadat.

Jogalap: a kérelem jellegétől függően GDPR 6. cikk (1) b), c) vagy f) pont. Adatvédelmi érintetti kérelemnél a RENEXUS jogi kötelezettsége és elszámoltathatósága is irányadó.

Megőrzés: az ügy lezárásához szükséges ideig, továbbá akkor és olyan terjedelemben, ameddig a jogi igények, elszámoltathatóság vagy más jogi kötelezettség indokolja. A RENEXUS egységes support-adatmegőrzését a retention-policy alapján rendszeresen felülvizsgálja.

7. Ajánlattevői profil, szakemberek és feltöltött harmadik személyek adatai

7.1. Ajánlattevői profil

A profil célja, hogy az Ajánlattevő a saját döntése szerint bemutathassa vállalkozását, referenciáit, szakmai kapacitását és a Platform szolgáltatásaihoz szükséges adatait.

A profilban kezelhető többek között:

• céges arculati és bemutatkozó tartalom;
• referencia-projektek;
• szakmai jogosultsági, minősítési és tevékenységi adatok;
• pénzügyi adatok vagy sávok;
• több kapcsolattartó;
• az Ajánlattevő által megjelölt csapattagok/szakemberek neve, beosztása, szakmai önéletrajza, jogosultságai és — ha feltöltésre kerül — fényképe.

Jogalap: a saját felhasználói/szervezeti profil szolgáltatásánál GDPR 6. cikk (1) b) pont; a jogi személy szervezettel kapcsolatba hozható természetes személyek és feltöltött harmadik személyek esetén a konkrét helyzettől függően 6. cikk (1) f) pont, illetve ahol a Platform külön hozzájárulást kér, 6. cikk (1) a) pont.

7.2. Harmadik személyek és külsős szakemberek

Ha a szakember adatait nem maga az érintett, hanem a felhasználó szervezet rögzíti, az adat forrása a feltöltő/kijelölő szervezet. A szervezet köteles a saját adatkezelői kötelezettségeit teljesíteni és az adatközléshez megfelelő jogalappal rendelkezni.

A külsős szakember tokenes CV- és hozzájárulási folyamatában a RENEXUS az érintettnek közvetlen tájékoztatást ad; a hozzájáruláson alapuló elemeknél a hozzájárulás bármikor visszavonható, anélkül hogy ez a korábbi kezelés jogszerűségét érintené.

7.3. Láthatóság és címzettek

A profil egyes elemei a felhasználó beállításától és az adott funkciótól függően lehetnek:

• publikusak;
• csak RENEXUS-felhasználók számára láthatók;
• csak Ajánlatkérők számára láthatók;
• privátak.

Publikus láthatóság esetén a tartalom keresőmotorok által indexelhető és harmadik személyek által másolható. Természetes személy adata csak megfelelő jogalappal tehető szélesebb körben hozzáférhetővé.

A nem publikus fájlok és szakemberi dokumentumok hozzáférése szerveroldali jogosultság-ellenőrzéshez kötött.

Megőrzés: a profilelem felhasználó általi törléséig, a szakemberhez kapcsolódó jogosultság/hozzájárulás megszűnéséig vagy a fiók megszűnéséig, az audit- és jogi megőrzési kivételekkel.

8. Tenderek, ajánlatok, alkalmassági döntések és kapcsolódó dokumentumok

8.1. Tenderfolyamat

Cél: tenderek létrehozása, közzététele és lebonyolítása; érdeklődések, ajánlatok, kiegészítő tájékoztatás (Q&A/KT), hiánypótlások, bontás, értékelés, döntések és kapcsolódó kommunikáció kezelése.

Adatok: a tenderhez és ajánlathoz feltöltött dokumentumokban szereplő személyes adatok; kapcsolattartók, aláírók és szakemberek adatai; eljárási események; időbélyegek; műveletet végző felhasználó; adott esetben szakmai önéletrajz, jogosultság és referenciaadat.

Jogalap: a Platform-szolgáltatás nyújtásához kapcsolódóan GDPR 6. cikk (1) b) pont; a jogi személyek képviselői, kapcsolattartói és dokumentumokban szereplő harmadik személyek esetén a konkrét helyzettől függően 6. cikk (1) f) pont.

Címzettek: az adott tender Ajánlatkérője a részére benyújtott érdeklődéseket, ajánlatokat és szükséges dokumentumokat megismerheti. Más Ajánlatkérő adataihoz vagy ajánlataihoz a tenant-izoláció miatt nem férhet hozzá.

Megőrzés: a tenderhez kapcsolódó, jogvita szempontjából lényeges dokumentumok és auditadatok főszabály szerint a polgári jogi igények általános elévülési idejéhez igazodó 5 évig őrizhetők, kivéve ha jogszabály, szerződéses kötelezettség vagy legal hold más időt indokol.

8.2. Alkalmassági minősítés (M2) — emberi döntés

Az Ajánlatkérő a saját tenderében a benyújtott műszaki, pénzügyi és személyi adatok alapján alkalmassági döntést rögzíthet.

A Platform e döntést nem hozza meg automatikusan és nem helyettesíti az Ajánlatkérő emberi mérlegelését. A minősítéshez AI-alapú, kizárólag automatizált döntéshozatal nem kapcsolódik.

Jogalap: a Platform-szolgáltatás és a tender lebonyolítása körében 6. cikk (1) b) pont, illetve a dokumentumokban szereplő harmadik személyek tekintetében adott esetben 6. cikk (1) f) pont.

8.3. Verifikációs aggregátum

A Platform megjeleníthet olyan összesített szervezeti mutatót, amely azt jelzi, hogy hány különböző Ajánlatkérő minősítette az Ajánlattevő szervezetet alkalmasnak.

A mutató szervezetre, nem természetes személyre vonatkozó aggregátum; nem jeleníti meg az értékelő Ajánlatkérők kilétét, és önmagában nem hoz döntést. Az aggregátum nem azonos a discovery rendszerben korábban alkalmazott személy-score/rank megoldással.

9. Objektív relevanciaszűrés, emberi kiválasztás és audit

A v2 célállapotban a RENEXUS:

• nem pontoz természetes személyeket;
• nem készít rankot, „top” vagy „best” listát;
• nem használ AI-t, LLM-et vagy embeddinget személyek kiválasztására;
• objektív szakmai és adott esetben földrajzi szűrőket alkalmaz;
• semleges, determinisztikus rendezést alkalmaz;
• a konkrét címzettet az Ajánlatkérő emberi döntéssel választja ki;
• legalább 100 címzett esetén külön emberi megerősítést kér és auditál.

A matching audit kizárólag az alkalmazott objektív feltételeket, a bekerülés/kizárás okát és az emberi kiválasztási eseményt dokumentálja.

10. Cold tender-meghívások

10.1. Cél és jogalap

A RENEXUS discovery rendszerében szereplő személy konkrét tenderrel akkor kereshető meg, ha az objektív szakmai adatai alapján a tender vagy annak valamely munkarésze számára releváns lehet.

A RENEXUS saját discovery- és kommunikációs műveleteinek jogalapja a GDPR 6. cikk (1) f) pontja szerinti jogos érdek, a külön LIA v2-ben dokumentált feltételekkel.

A konkrét tender meghívási szakaszában az adott Ajánlatkérő saját adatkezelői szerepe és jogalapja is irányadó.

10.2. Egy tenderhez egy cold email

Ugyanazon érintett ugyanazon tenderhez egy cold meghívót kap; a számára releváns munkarészek ebben egyesítve jelennek meg.

Változatlan tender azonos alanynak nem küldhető új cold outreachként ismételten. Indokolt kézi újraküldés vagy lényegesen módosult tender külön auditált esemény.

A RENEXUS nem alkalmaz általános numerikus hard frekvenciacapet; warning-only outreach telemetry működhet.

10.3. Send-time revalidation

Közvetlenül a küldés előtt a rendszer fail-closed módon ellenőrzi legalább a subject aktív státuszát, suppressiont, relevanciát, a rendelkezésre álló szakmai snapshotot, provenance-t, contact státuszt és frissességet.

Élő MMK/MÉK ellenőrzés nincs.

10.4. RFQ és marketing elhatárolása

A jogos érdekre épülő cold tender-meghívás kizárólag konkrét ajánlatkérés/RFQ lehet.

Maradhat RENEXUS-logó, RENEXUS-név és rövid, tényszerű magyarázat arról, hogy a RENEXUS ajánlatkérési rendszer, továbbá a konkrét tender megtekintésére szolgáló operatív CTA.

Ezen jogalapon nem kerülhet a levélbe általános platformmarketing, „ingyenes” sales-érv, általános regisztrációs vagy „csatlakozz” CTA, feature-lista, előfizetés-promóció, upsell vagy newsletter.

Ha egy konkrét üzenet tartalma gazdasági reklámnak minősül, a Grt./Ektv. szerinti szabályok alkalmazandók; a GDPR 6. cikk (1) f) pont nem helyettesíti az esetleges reklámjogi hozzájárulást.

11. GDPR 14. cikk szerinti tájékoztatás

Mivel a discovery és vault adatok jellemzően nem közvetlenül az érintettől származnak, a GDPR 14. cikk alkalmazandó.

11.1. Első cold kapcsolatfelvétel

Az első cold tender-meghívásban rövid, jól látható réteg szerepel legalább:

• a RENEXUS és adott esetben az Ajánlatkérő adatkezelői szerepéről;
• arról, hogy a címzett miért kapta a levelet;
• az adatforrás/forráscsalád megjelöléséről;
• a kezelt adatkategóriák rövid köréről;
• a jogalapról és a jogos érdekről;
• a tiltakozás lehetőségéről;
• a teljes Tájékoztató és a /adatgyujtes oldal linkjéről.

11.2. Még meg nem keresett discovery-alanyok

A RENEXUS nem alkalmaz olyan általános szabályt, amely minden még meg nem keresett alanyt automatikusan a GDPR 14. cikk (5) b) szerinti „aránytalan erőfeszítés” kivétel alá sorol.

A kivétel alkalmazhatóságát dokumentált, konkrét proportionality assessment alapján lehet vizsgálni, megfelelő garanciák mellett.

11.3. Történeti helyzet

A rollout előtti esetleges 14. cikk szerinti határidő- vagy tájékoztatási hiányt a v2 tájékoztatás nem teszi visszamenőleg szabályossá; e kérdés külön historical-remediation és DPIA-kockázat.

12. Tiltakozás és globális suppression

A cold tender-outreach ellen az érintett egyszerűen és díjmentesen tiltakozhat.

A RENEXUS e joggyakorlást a cold tender-meghívások tekintetében feltétel nélküli, globális, subject-level suppressionként teljesíti: a tiltakozott érintett új forrásból vagy új e-mail-címmel sem aktiválható újra cold outreach céljára.

A suppression csak a tiltás érvényesítéséhez szükséges minimális identity/contact-hash és scope adatot őrizheti.

A suppression fenntartásának jogalapja a GDPR 6. cikk (1) f) pontja szerinti jogos érdek: a RENEXUS-nak és az érintettnek is jogos érdeke, hogy a korábban kifejezett tiltakozás ténylegesen, forrásfüggetlenül érvényesüljön, és az érintett új adatforrásból történő visszakerülés miatt ne kapjon ismét cold megkeresést.

A cold-outreach tiltás nem jelenti automatikusan a felhasználó által kért vagy szerződés teljesítéséhez szükséges tranzakciós/account üzenetek tiltását.

13. Vincent és más AI-funkciók

13.1. Funkciók és adatkör

A Platform Vincent elnevezésű, Anthropic Claude API-ra épülő opcionális AI-funkciókat használhat különösen tenderdokumentum-elemzésre, platform- és folyamatsúgóra, szövegjavaslatokra, valamint munkarész-követelmény javaslatára.

A feldolgozott tartalom az adott funkciótól függően tartalmazhat tenderszöveget, dokumentumot, kiegészítő tájékoztatási kérdést/választ, felhasználói chatüzenetet és más, a felhasználó által elemzésre átadott tartalmat. Ha e tartalom természetes személyre vonatkozó információt tartalmaz, az személyes adatnak minősül.

Jogalap: a szolgáltatást aktívan igénybe vevő természetes személy saját adatainál a szerződéses szolgáltatás nyújtásához szükséges mértékben GDPR 6. cikk (1) b) pont; a feltöltött/elemzett dokumentumokban szereplő harmadik személyeknél a konkrét körülményektől függően 6. cikk (1) f) pont.

13.2. Emberi kontroll és személymatching kizárása

AI által javasolt szakmai feltétel emberi jóváhagyás nélkül nem válhat aktív matching feltétellé.

A Vincent vagy más AI-funkció nem választ személyt, nem hoz létre természetes személyre score-t/rankot, és nem dönt arról, hogy ki kapjon cold tender-meghívást.

Az AI által generált válasz, javaslat vagy összefoglaló a felhasználói folyamatban emberi ellenőrzést igényel, ahol annak tartalma joghatásra vagy külső kommunikációra hathat.

13.3. Szolgáltató és adattovábbítás

Az Anthropic használata technikailag igazolt. Az Anthropic standard kereskedelmi feltételeihez adatfeldolgozási és nemzetközi adattovábbítási rendelkezések kapcsolódnak; a RENEXUS konkrét fiók- és szerződéses dokumentációjának belső ellenőrzése folyamatban van. A RENEXUS ezért a jelen Tájékoztatóban nem állít olyan konkrét RENEXUS-fiókszintű transzfergaranciát, amelynek elfogadása nem dokumentált.

A 2026. júniusi, vállalkozási weboldalak egyszeri tevékenységi osztályozásához Google Gemini 2.5 Flash is használatban volt; ez történeti feldolgozás, és a forrás 2026. szeptember 23. óta nem vesz részt a személykeresési/meghívási útvonalban.

13.4. Megőrzés

A Vincent-funkciókhoz kapcsolódó platformon tárolt kimenetek, chat- vagy elemzési adatok az adott funkció és a kapcsolódó tender/fiók életciklusához, illetve a dokumentált feature-retentionhöz igazodnak. A platformsúgó naplóinak kód szerinti törlési ideje 12 hónap; egyéb AI-adatkörök megőrzését az adott funkció és a 18. fejezet szerinti retention-policy határozza meg.

14. Díjfizetés, számlázás és fizetési szolgáltatások

Cél: díjköteles szolgáltatások elszámolása, díjbekérő/számla kiállítása, fizetési státusz kezelése, számviteli és adójogi kötelezettségek teljesítése.

Kezelt adatok: számlázási név/cégnév, cím, adószám, kapcsolattartó neve és e-mail-címe, megrendelt szolgáltatás vagy tétel, összeg, rendelésszám, számla és fizetési státusz.

Jogalap: a szerződés teljesítéséhez szükséges adatnál GDPR 6. cikk (1) b) pont; számviteli és adójogi adatoknál GDPR 6. cikk (1) c) pont, különösen az Áfa tv. számlakibocsátási és az Sztv. bizonylatmegőrzési szabályai alapján.

Megőrzés: a számviteli bizonylatokat és az azokat alátámasztó adatokat a RENEXUS az Sztv. 169. § (2) bekezdéséhez igazodóan 8 évig őrzi meg.

A technikai rendszerben a Számlázz.hu (KBOSS.hu Kft.) éles használata igazolt. A számlakiállításhoz a vevő neve/cégneve, címe, e-mail-címe, adószáma, a megrendelt tétel, összeg és rendelésszám kerülhet továbbításra.

A bankkártyás fizetés a Számlázz.hu fizetési oldalán keresztül a Barion Payment Zrt. rendszerében történhet. A Barion és a Számlázz.hu saját adatkezelési tájékoztatója alapján a saját fizetési/számlázási szolgáltatásuk körében önálló adatkezelőként is eljárhatnak. A RENEXUS szolgáltatói szerződéses dokumentációjának és a szerepmegosztásnak a belső compliance-felülvizsgálata folyamatban van.

15. Audit-, biztonsági, műveleti és support-naplók

A RENEXUS a Platform biztonsága, elszámoltathatósága, visszaélések megelőzése, jogviták kezelése és eljárási cselekmények bizonyíthatósága érdekében többféle naplót vezethet.

Adatok: a műveletet végző felhasználó/subject azonosítója, szervezeti kapcsolat, művelettípus, tárgy, időbélyeg, technikai metaadat, adott esetben matching- és kiválasztási ok, confirmation event, invitation event és contact-access esemény.

Jogalap: GDPR 6. cikk (1) f) pont — a RENEXUS és a felhasználók jogos érdeke a Platform integritásához, visszakövethetőségéhez, incidensfelderítéshez és jogviták rendezéséhez.

A cold contact access log és matching audit nyers e-mail-címet nem tartalmazhat.

Megőrzés:

• a tenderhez kapcsolódó, bizonyítási szempontból lényeges auditnyomvonal főszabály szerint a tender lezárásától számított 5 évig kezelhető;
• a szerver biztonsági naplói legfeljebb 90 napig kezelhetők, kivéve ha konkrét biztonsági esemény vagy jogvita hosszabb megőrzést indokol;
• az alkalmazásszerver működési és hibanaplói legfeljebb 365 napig kezelhetők; a jogi igény érvényesítéséhez szükséges korábbi naplóállomány a jogi igény lezárásáig őrizhető;
• az ütemezett háttérfeladatok kis terjedelmű működési naplóinak megőrzési idejét a RENEXUS a retention-policy következő felülvizsgálata során rögzíti;
• a törlési vagy más érintetti kérelem teljesítésének minimális nyomvonala az elszámoltathatóság és jogi igények miatt legfeljebb 5 évig őrizhető;
• matching-, invitation- és contact-access naplókra külön, korlátozott retention-policy irányadó;
• legal hold esetén a szükséges adat a jogi igény lezárásáig megőrizhető.

A korábbi, korlátlan auditmegőrzési megközelítés nem általános v2-szabály.

16. Sütik, helyi böngészőtárolás és szervernaplók

A Platform működéséhez feltétlenül szükséges munkamenet- és biztonsági sütiket használ. A munkamenet-süti a bejelentkezési munkamenethez és a CSRF-védelemhez szükséges; főszabály szerint a böngésző bezárásáig vagy kijelentkezésig él. Az „emlékezz rám” funkció esetén a kapcsolódó süti jelenlegi beállítása 7 nap.

A szükséges sütik használatának célja a szolgáltatás nyújtása és biztonsága; a személyes adatok kezelésének jogalapja a konkrét folyamattól függően GDPR 6. cikk (1) b) vagy f) pont. A RENEXUS jelenleg nem használ harmadik fél marketing-, hirdetési vagy analitikai követő technológiát.

Egyes nem személyes vagy korlátozott felhasználói megjelenítési beállításokat a böngésző localStorage/sessionStorage területe őrizheti.

A Platform webszervere hálózat- és információbiztonsági, hibakeresési és visszaélés-felderítési célból technikai naplót vezethet, amely többek között IP-címet, időpontot, kért erőforrást és technikai böngészőazonosítót tartalmazhat. Jogalap: GDPR 6. cikk (1) f) pont. Megőrzés: főszabály szerint legfeljebb 90 nap, kivéve biztonsági esemény vagy jogvita esetén.

A Számlázz.hu vagy Barion oldalára történő átirányítást követően e szolgáltatók saját cookie- és adatkezelési szabályai alkalmazandók.

17. Címzettek, szolgáltatók és harmadik országbeli adattovábbítás

17.1. Funkcionális címzettek

A személyes adatok az adott szolgáltatási folyamattól függően az alábbi címzetti körök számára válhatnak hozzáférhetővé:

• az adott tender Ajánlatkérője a számára benyújtott érdeklődés, ajánlat és kapcsolódó dokumentumok körében;
• más RENEXUS-felhasználók vagy a nyilvánosság kizárólag a felhasználó által beállított profil-láthatóság szerint;
• hatóság, bíróság vagy más jogosult szerv jogszabályi kötelezettség vagy jogi igény esetén;
• az alábbi technikai szolgáltatók a saját funkciójuk ellátásához szükséges mértékben.

17.2. Technikai és külső szolgáltatók

A v1-ben szereplő Voyage AI és Serper használata a 2026. szeptember 24-i kódellenőrzés alapján nem igazolt, ezért a v2 nem tünteti fel őket aktív szolgáltatóként.

17.3. Harmadik országba irányuló adattovábbítás

A Google egyes szolgáltatásai és az Anthropic szolgáltatásnyújtása EGT-n kívüli adatmozgással járhat.

A 2026. szeptember 24-i belső ellenőrzés szerint a Google LLC aktív résztvevője az EU–U.S. Data Privacy Frameworknek. Az Anthropic a DPF-listán nem szerepel; a szolgáltató standard kereskedelmi/adatfeldolgozási feltételei SCC-alapú rendelkezéseket tartalmazhatnak.

A RENEXUS kizárólag olyan konkrét transzfergaranciát tekint saját maga tekintetében igazoltnak, amelynek fiók- és szerződésszintű alkalmazhatósága dokumentált. A konkrét Google Workspace-/Gmail-/Drive- és Anthropic-fiókokhoz tartozó elfogadási és szerződéses dokumentáció belső felülvizsgálata folyamatban van.

Az érintett a ténylegesen alkalmazott adattovábbítási garanciákról és azok másolatáról a support@renexus.hu címen kérhet további tájékoztatást.

18. Megőrzési és felülvizsgálati szabályok

A RENEXUS nem alkalmaz általános, korlátlan „a cél fennállásáig” formulát minden adatcsoportra. Ahol pontos jogszabályi határidő nem állapítható meg, a Tájékoztató időtartam helyett a megőrzési idő meghatározásának szempontjait is megadhatja.

A 0093-as általános retention motor a v2 első production rolloutjakor report/dry-run módban indulhat; a destruktív enforcement külön, dokumentált változáskezeléssel aktiválható. Ez nem érinti a már működő, cold levéltörzsre vonatkozó 90 napos törlést.

19. Adatbiztonsági intézkedések és ismert korlátok

A RENEXUS többek között:

• HTTPS/TLS kommunikációt;
• elkülönített discovery- és vault-réteget;
• adatbázis-szerepköröket és SECURITY DEFINER resolvereket;
• célhoz kötött contact-feloldást és access loggingot;
• exportkorlátozást;
• globális suppressiont;
• send-time fail-closed revalidationt;
• production secret- és filesystem PII-hardeninget;
• need-to-know hozzáférést és auditot

alkalmaz.

Ismert korlátok:

• a vault raw érték alkalmazásszinten nincs at-rest titkosítva;
• HMAC használat működik a vault/suppression egyes részein, de kulcsrotáció nincs;
• egyes provenance e-mail-hash értékek még kulcs nélküliek lehetnek;
• a contact access log nem WORM;
• superuser/backup szinten raw contact hozzáférés technikailag lehetséges;
• élő kamarai revalidation nincs;
• egyes tranzakciós email-log útvonalakban raw cím történetileg megmaradhat.

20. Érintetti jogok és azok gyakorlása

Az érintettet a GDPR szerint különösen megilleti:

• hozzáférés joga: visszajelzés és másolat kérése a kezelt személyes adatokról, ideértve az adatforrást, címzetteket és megőrzési információt;
• helyesbítés joga: pontatlan adat javítása, hiányos adat kiegészítése;
• törlés joga, ha a GDPR 17. cikk feltételei fennállnak, a jogi kötelezettségi és jogi igényhez kapcsolódó kivételekkel;
• korlátozás joga a GDPR 18. cikk szerinti esetekben;
• adathordozhatóság joga ott, ahol a GDPR 20. cikk feltételei fennállnak;
• tiltakozás joga a GDPR 6. cikk (1) f) ponton alapuló adatkezeléssel szemben;
• hozzájárulás visszavonása, ha valamely adatkezelés hozzájáruláson alapul;
• panasz és bírósági jogorvoslat.

Cold tender-outreach esetén a RENEXUS a tiltakozást a saját működésében feltétel nélküli globális suppressionként teljesíti, ezért az ilyen tiltakozó alanynak új cold tender-meghívás nem küldhető.

A kérelmek a support@renexus.hu címen vagy a RENEXUS székhelyére küldött postai levélben nyújthatók be. A RENEXUS szükség esetén arányos személyazonosság-ellenőrzést végez.

A kérelmet a RENEXUS indokolatlan késedelem nélkül, de legkésőbb a beérkezéstől számított egy hónapon belül megválaszolja; a GDPR 12. cikk (3) bekezdése szerinti feltételekkel a határidő legfeljebb további két hónappal meghosszabbítható. A tájékoztatás főszabály szerint díjmentes.

21. Automatizált döntéshozatal és profilalkotás

A v2 tender-discovery célállapotban nincs természetes személyek pontozása vagy rangsorolása, nincs AI-alapú címzett-kiválasztás és nincs olyan kizárólag automatizált döntés, amely másik címzett kiválasztásával vagy természetes személy teljesítményének értékelésével járna.

A send-time rendszer automatikusan blokkolhat egy küldést suppression, inaktív státusz, elveszett relevancia, invalid contact vagy más dokumentált feltétel miatt; e blokk nem választ helyette másik személyt.

22. Historical / legacy adatkezelés és korábbi marketing

A rollout előtti rendszer több olyan adatot és folyamatot tartalmazott, amelyet a v2 célállapot nem tart fenn vagy amelynek megőrzése külön remediationt igényel, így különösen:

• telefonszámok a tender-discovery adatállományban;
• természetes személyek score/rank szerinti rendezése;
• ugyanazon tender munkarészenkénti külön cold e-mailjei;
• régi marketing/regisztrációs levélelemek;
• megfelelő GDPR 14. cikk szerinti short layer nélküli cold megkeresések;
• legacy raw e-mail-adatok egyes történeti táblákban, fájlokban vagy mentésekben;
• a korábbi szolgáltatói és transzferdokumentáció egyes hiányai.

A jelen v2 e történeti adatkezelést nem minősíti visszamenőleg megfelelőnek, és nem ad automatikus vagy korlátlan megőrzési jogalapot. A történeti adatállományt a külön retention/remediation döntések szerint kell felülvizsgálni. Amely legacy adat megőrzése továbbra is szükséges jogi igény előterjesztéséhez, érvényesítéséhez vagy védelméhez, annak jogalapja a konkrét körülmények között GDPR 6. cikk (1) f) pont lehet; jogszabályi megőrzési kötelezettségnél 6. cikk (1) c) pont alkalmazandó. Ha ilyen szükségesség vagy más érvényes jogalap nem igazolható, az adatot törölni vagy megfelelően anonimizálni kell.

2026 júniusában a Gmail API-n keresztül két cold marketingkampány és egy regisztrált ajánlattevőknek szóló kampány történt. A marketingkampányokhoz tartozó leiratkozásokat a marketing-suppression nyilvántartás őrzi. Ezek nem tartoznak a jelen LIA szerinti konkrét RFQ-jogalap hatálya alá.

A kampányok jogalap-dokumentációja, a címlisták további szükségessége és megőrzése külön historical-remediation feladat. A már rögzített marketing-tiltakozás/suppression a további nem kívánt marketing megakadályozása érdekében a szükséges minimális adatkörrel fenntartható; e minimális tiltólista célja kizárólag a korábban kifejezett tiltakozás tiszteletben tartása és az ismételt megkeresés megelőzése.

A RENEXUS a következő compliance review-ban külön felülvizsgálja a történeti marketinglista-fájlok, marketing_sends rekordok, legacy e-mail-logok és más korábbi személyesadat-állományok szükségességét és kivezetését.

23. Jogorvoslat

Az érintett panaszt nyújthat be a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH), és bírósághoz fordulhat.

A NAIH elérhetősége:

• cím: 1055 Budapest, Falk Miksa utca 9–11.;
• postacím: 1363 Budapest, Pf. 9.;
• honlap: https://www.naih.hu.

A RENEXUS javasolja, hogy az érintett — jogainak korlátozása nélkül — panaszával először a support@renexus.hu címen keresse meg a RENEXUS-t.

24. Kapcsolódó dokumentumok

A v2 adatkezelési rendszerhez kapcsolódó dokumentumok:

• RENEXUS Érdekmérlegelési Teszt (LIA) v2.0;
• RENEXUS Adatvédelmi Hatásvizsgálat (DPIA) v1.0;
• Tájékoztató a tender-meghívások jogi természetéről v2.0;
• https://renexus.hu/adatgyujtes;
• az adott tenderhez kapcsolódó adatkezelői/joint-controller tájékoztatás, ahol alkalmazandó.

25. Módosítás, hatálybalépés és felülvizsgálat

A RENEXUS a Tájékoztatót lényeges adatkezelési, technikai, jogi, szolgáltatói vagy szervezeti változás esetén felülvizsgálja.

A v2.0 a LIA-remediációs production rollouttal, a cold tender-email v2, a nyilvános /adatgyujtes oldal, a tender-meghívási tájékoztató v2, a LIA v2 és a DPIA kapcsolódó production aktiválásával egyidejűleg lép hatályba. A hatálybalépés napja: 2026. szeptember 24.

A RENEXUS vezetői döntése alapján a 2026. szeptember 24-i belső compliance review egyes, dokumentációs jellegű szolgáltatói és történeti tételei a production hatálybalépést követő utólagos review feladatai maradnak. E tételek belső státusza ettől nem változik „lezártra”; azokat a következő felülvizsgálat során a rendelkezésre álló szerződések, account-információk és történeti dokumentumok alapján ismét értékelni kell.

A Tájékoztató lényeges módosításáról a regisztrált felhasználókat a változás jellegéhez igazodó módon tájékoztatni kell. Új adatkezelési cél, új aktív adatfeldolgozó, új EGT-n kívüli adatmozgás, személymatchingben alkalmazott új AI/automatizáció vagy a discovery/cold outreach lényeges változása külön felülvizsgálati trigger.