Alvállalkozók (alfeldolgozók)
Ez az oldal a teljes lista — az egyetlen hiteles forrás. Az adatvédelmi tájékoztató, a GDPR-oldal, a DPA és a biztonsági oldal mind ide hivatkozik; ha bárhol eltérést látsz, ez az oldal az irányadó.
30 napos előzetes értesítés minden változásról
Új alvállalkozó bevonása előtt legalább 30 nappal e-mailben értesítjük a fiókok számlázási kapcsolattartóit, és frissítjük ezt az oldalt. Az adatkezelő ügyfél az értesítéstől számított 30 napon belül, indokolással tiltakozhat — a tiltakozás következményeit a DPA 7. pontja rendezi.
Feliratkozás az értesítőre: (tárgy: „Alvállalkozói értesítő”)
1. Aktív alvállalkozók
A lista utolsó módosítása: 2026. július 31. A „Szerződő jogalany” oszlop azt mutatja, melyik céggel áll fenn a szerződés — a továbbítás megítélésénél ez számít, nem az, hogy fizikailag hol van a szerver.
| Szolgáltató | Mire használjuk | Szerződő jogalany | Adattárolás helye | Továbbítás alapja |
|---|---|---|---|---|
| Hetzner Online GmbH DPA | Alkalmazás-hosting (Kubernetes cluster), Redis gyorsítótár | Németország | Németország (Falkenstein / Nürnberg) | Nincs továbbítás — EU-s jogalany, EU-s adatközpont |
| OVH Hosting Limited DPA | Felügyelt MongoDB adatbázis — az összes operatív adat tárolása | Írország (Dublin) — a szerződő fél | Franciaország (Gravelines) — az adatközpont | Nincs továbbítás — EU-s jogalany, EU-s adatközpont |
| Mollie B.V. DPA | Fizetésfeldolgozás (kártya, SEPA, iDEAL) | Hollandia (Amszterdam) | EU | Nincs továbbítás — EU-s jogalany, EU-s tárolás |
| Billingo Technologies Zrt. DPA | Elektronikus számlázás és NAV Online Számla adatszolgáltatás | Magyarország | Magyarország | Nincs továbbítás — EU-s jogalany, EU-s tárolás |
| Tarhely.eu / EZIT Kft. DPA | E-mail kézbesítés (SMTP relay a mail.cadensa.io címen), domain-szolgáltatás | Magyarország | Magyarország | Nincs továbbítás — EU-s jogalany, EU-s tárolás |
| Plausible Insights OÜ DPA | Süti- és azonosítómentes látogatottságmérés a nyilvános weboldalon | Észtország (Tallinn) | EU (Németország) | Nincs továbbítás — EU-s jogalany, EU-s tárolás |
| Vercel Inc. DPA | A weboldal és az alkalmazás statikus fájljainak kiszolgálása (hosting + CDN). Ügyféladatot nem tárol: az API-hívások közvetlenül az EU-s backendre mennek. | ⚠️ Egyesült Államok (Delaware) — a szerződő fél amerikai | EU edge régió (fra1, Frankfurt) | Az adat kiszolgálása az EU-s edge régióban történik, mégis SCC-vel dolgozunk. Ez nem ellentmondás: a tárolás helye és a hozzáférés lehetősége két külön kérdés. A Vercel amerikai mérnökei a támogatás és az üzemeltetés keretében távolról hozzáférhetnek a rendszerhez, és ez a hozzáférés a GDPR szerint továbbításnak minősül akkor is, ha az adat fizikailag Frankfurtban marad. Alap: Vercel DPA + SCC. Érintett adat: IP-cím, User-Agent, kérés-metaadat. |
| Formbricks GmbH DPA | A visszajelzés-, támogatás- és biztonsági bejelentő űrlapok, valamint az NPS-kérdőívek motorja (app.formbricks.com). Amit az űrlapba írsz, az hozzájuk kerül. | Németország (Kiel) — Kuhnkestr. 6, 24118 Kiel | Németország (EU) | Nincs továbbítás — EU-s jogalany, EU-s tárolás. A widget a böngésződben jelöli, melyik kérdőívet láttad már; ehhez az analitikai kategória hozzájárulása kell, e nélkül be sem töltődik. |
| Functional Software, Inc. (Sentry) DPA | Hibanaplózás és teljesítménymérés a webalkalmazásban. Csak hibaesemény és teljesítményminta: a munkamenet-rögzítés (session replay) ki van kapcsolva, képernyőtartalmat nem gyűjtünk. Az éles backend nem küld adatot a Sentrynek. | ⚠️ Egyesült Államok (San Francisco) — a szerződő fél amerikai | EU régió (de.sentry.io, Németország) | A Sentry EU-s adatrégióját használjuk, az események Németországban maradnak. A jogalany viszont amerikai, és a támogatás távoli hozzáférése továbbításnak minősül. Alap: Sentry DPA + SCC. Az Authorization- és Cookie-fejlécet, valamint a query stringet a küldés előtt eltávolítjuk. |
| Wasabi Technologies LLC DPA | Objektumtár három elkülönített tárolóval: (1) titkosított adatbázis-mentések forgó megőrzéssel, (2) számla-PDF archívum WORM Object Lockkal, (3) profilképek. A profilkép-tároló nyilvánosan olvasható, hogy a kép a felületen megjelenjen — ide tehát ne tölts fel olyat, amit nem vállalsz nyilvánosan. A profilkép feltöltése nem kötelező, és bármikor törölhető. | ⚠️ Egyesült Államok (Massachusetts) — a szerződő fél amerikai | Németország (eu-central-2, Frankfurt) | Az adat az EU-ban marad, de a jogalany amerikai. Alap: Wasabi DPA + SCC. A mentések feltöltés előtt AES-256-GCM titkosítást kapnak — a kulcs nálunk marad, a Wasabi olvasni nem tudja. |
2. Ami szándékosan nincs a listán
Google LLC — Google Naptár integráció
A Google nem a mi alvállalkozónk, mert nem a mi utasításunkra dolgozik. Amikor a saját Google-fiókodat kötöd be OAuth-tal, a Google a saját szolgáltatása tekintetében önálló adatkezelő. Az integráció opcionális, alapból ki van kapcsolva, csak olvasható jogosultsággal fut, és bármikor visszavonható. A továbbítás alapja a 45. cikk szerinti megfelelőségi határozat (EU–USA adatvédelmi keret).
Google LLC — Google-fiókkal történő bejelentkezés
Ugyanez a helyzet, mint a naptárnál: a Google itt sem a mi utasításunkra dolgozik, hanem a saját hitelesítési szolgáltatása tekintetében önálló adatkezelő. Ha ezt választod, a Google megtudja, hogy bejelentkeztél a Cadensába, mi pedig megkapjuk tőle a nevedet, e-mail-címedet és profilképedet. A bejelentkezés Google-fiók nélkül is működik e-mail-cím és jelszó párossal — ez nem kötelező út. A továbbítás alapja a 45. cikk szerinti megfelelőségi határozat.
Microsoft Entra ID és SAML alapú bejelentkezés jelenleg nincs implementálva, ezért a Microsoft semmilyen minőségben nem szerepel ezen a listán. Amint elkészül, előbb ide kerül fel, és csak utána élesítjük.
Stripe
A számlázás korábban Stripe-on futott, ma Mollie-n (Hollandia). A Stripe nem kap adatot: az éles környezet nem tartalmaz Stripe-kulcsot, és a fizetési forgalom teljes egészében a Mollie-n megy. A régi Stripe-kód a webhook-végponttal együtt még a kódbázisban van a migráció miatt, de kulcs hiányában nem működik, és a következő takarításnál kikerül.
CDN, WAF és analitikai szolgáltatók
Nincs Cloudflare, nincs Google Analytics, nincs hirdetési vagy közösségimédia-pixel a szolgáltatásban. A weboldal statikus kiszolgálását a Vercel edge végzi (ld. fent), az alkalmazás API-forgalma közvetlenül a Hetzner-clusterbe megy.
3. Az amerikai jogalanyokról őszintén
Három alvállalkozónk amerikai bejegyzésű cég: a Vercel, a Wasabi és a Sentry. Mindhárom EU-régióban tárol, de az anyavállalat amerikai joghatóság alatt áll, ezért elvben fennáll a CLOUD Act-kitettség. Ezt inkább kimondjuk, mint hogy „100% EU-s láncot” állítsunk, amit egy alapos beszerző öt perc alatt megcáfol.
Érdemes külön kimondani, miért van SCC olyan szolgáltatónál is, amelyik az EU-ban tárol. Azért, mert a GDPR szerint nemcsak az adat fizikai mozgása továbbítás, hanem a harmadik országból való hozzáférés lehetősége is. Egy amerikai szolgáltató mérnöke a támogatás vagy az üzemeltetés keretében ránézhet a rendszerre — ez akkor is továbbítás, ha a lemez Frankfurtban forog. Az „EU-s tárolás” tehát önmagában nem elég válasz, és aki ezt állítja, az vagy nem gondolta végig, vagy nem mondja el.
- • A munkaidő-adatok, projektek és riportok — vagyis az ügyféladatok érdemi része — egyik amerikai jogalanyhoz sem jutnak el: azok a Hetzner clusterben és az OVHcloud adatbázisában vannak.
- • A Wasabinál tárolt mentések a feltöltés előtt titkosítva vannak, a kulcs nem kerül ki hozzájuk.
- • A transzferhatás-vizsgálatot (TIA) mindhárom szolgáltatóra elvégeztük; beszerzési eljáráshoz kérésre kiadjuk. A szerződő entitást és a tárolási régiót a szolgáltatói számlákból ellenőriztük, nem a marketinganyagokból.
Kapcsolódó dokumentumok:
A dokumentum nyelve
Ez a dokumentum angol és magyar nyelven készült. Más nyelvi felületeken az angol szöveg jelenik meg. A két változat közötti eltérés esetén az angol nyelvű szöveg az irányadó — kivéve, ha a szerződő fél Magyarországon élő fogyasztó, mert ilyenkor a magyar nyelvű változat érvényesül. Ha eltérést találsz a két verzió között, kérjük jelezd a legal@cadensa.io címen: kijavítjuk.