1. Adatkezelő

Dege György Krisztián E.V. (a továbbiakban: „Szolgáltató" vagy „mi") üzemelteti a www.blueberrystudio.io címen elérhető szolgáltatást (a továbbiakban: „Szolgáltatás").

• Székhely: 8000 Székesfehérvár, Aradi utca 65.
• Adószám: 68489607-1-27
• Nyilvántartási szám: 51820019
• Kapcsolat: hello@blueberrystudio.io

2. Milyen adatokat kezelünk?

A Szolgáltatás használata során a következő személyes adatokat kezelhetjük:

• Fiókadatok: név, email cím, jelszó (hash formában), szerepkör.
• Csatlakoztatott közösségi fiókok: Facebook Page azonosító és név, Instagram Business fiók azonosítója és felhasználóneve, hozzáférési tokenek (titkosítva tárolva).
• Posztok és médiatartalmak: a Szolgáltatáson keresztül közzétett szövegek, képek, videók és hozzájuk kapcsolódó meta-adatok (ütemezési időpont, státusz, statisztikák).
• Cégadatok (B2B): cégnév, kapcsolattartó, portál token, márkajellemzők.
• Használati adatok: IP cím, böngésző/eszköz típus, időbélyegek, rate-limit és biztonsági naplók.
• Sütik (cookies): bejelentkezési session, biztonsági (CSRF) tokenek. Nyomkövető / reklám sütit nem használunk.

3. Miért kezeljük ezeket az adatokat?

• A Szolgáltatás működtetéséhez (szerződés teljesítése, GDPR 6. cikk (1) b)
• Közösségi média posztok közzétételéhez és ütemezéséhez a felhasználó nevében
• Analitikai jellegű, összesített teljesítmény-adatok visszajelzéséhez a felhasználónak
• Biztonsági fenyegetések észleléséhez és visszaélés megelőzéséhez (jogos érdek, 6. cikk (1) f)
• Jogszabályi kötelezettségek teljesítéséhez (számlázás, adóügyek) (6. cikk (1) c)

4. Harmadik fél adatfeldolgozók

A Szolgáltatás működtetéséhez a következő adatfeldolgozókat vesszük igénybe:

• Vercel Inc. — tárhely és hosting (USA, EU szerverek; DPA + SCC)
• Neon Inc. — PostgreSQL adatbázis (EU régió)
• Meta Platforms, Inc. — Facebook + Instagram API közzétételhez
• Anthropic PBC — AI szöveg-generálás (Claude modellek)
• Google LLC — Gemini AI modellek
• OpenAI, L.L.C. — AI sticker/kép generálás
• ElevenLabs Inc. — AI hang- és felirat-generálás
• Cloudinary Ltd. — média tárolás és transzformáció
• Resend, Inc. — tranzakcionális e-mail küldés
• Stripe, Inc. — fizetés-feldolgozás
• Inngest, Inc. — háttérben futó feladatok orchestrálása

Minden adatfeldolgozóval GDPR-kompatibilis szerződésben (Data Processing Agreement, DPA) rögzített jogviszonyban állunk. Az EU-n kívüli adatfeldolgozók esetében a Standard Contractual Clauses (SCC) és/vagy megfelelőségi határozatok biztosítják a védelem szintjét.

5. Meddig tároljuk az adatokat?

• Aktív fiók: amíg a felhasználó fenntartja a fiókját
• Törölt fiók: 30 napon belül visszafordíthatatlanul eltávolítjuk
• Közzétett poszt meta-adatok: a fiók élettartama alatt, törléskor eltávolítjuk
• Biztonsági és rate-limit naplók: 90 nap
• Számlázási adatok: jogszabály szerinti megőrzési idő (8 év)

6. A felhasználó jogai (GDPR)

• Hozzáférés: tájékoztatást kérhet arról, milyen adatait kezeljük
• Helyesbítés: pontatlan adatait javíthatja
• Törlés („elfeledtetéshez való jog"): kérheti adatainak törlését
• Korlátozás: kérheti az adatkezelés korlátozását
• Adathordozhatóság: kérheti adatainak strukturált formában való megküldését
• Tiltakozás: tiltakozhat jogos érdeken alapuló adatkezelés ellen
• Panasz: panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH, naih.hu)

Jogait a hello@blueberrystudio.io címen gyakorolhatja. Kérelmére 30 napon belül válaszolunk.

7. Adatbiztonság

A személyes adatokat titkosított csatornákon (HTTPS/TLS) továbbítjuk, a hozzáférési tokeneket AES-256-GCM algoritmussal titkosítva tároljuk, a jelszavakat pedig bcrypt hash formájában őrizzük. Az infrastruktúra EU-s régióban fut, a hozzáférés role-based jogosultságokkal van szabályozva.

8. Meta (Facebook / Instagram) integráció

Amikor Facebook-kal csatlakozik, a Meta Graph API-n keresztül a következő engedélyeket kérjük: pages_show_list, pages_read_engagement, pages_manage_posts, instagram_basic, instagram_content_publish, business_management.

Ezekkel csak azt csináljuk, amit a felhasználó kifejezetten engedélyez: a választott Page-ekre és IG Business fiókokra való közzétételt és az azokhoz tartozó statisztikák lekérdezését. A hozzáférés bármikor visszavonható a Facebook Beállítások → Alkalmazások és webhelyek menüben, illetve kérheti az adatok teljes törlését a Data Deletion végponton keresztül.

9. A jelen tájékoztató módosítása

Fenntartjuk a jogot, hogy a jelen tájékoztatót frissítsük. Lényeges változás esetén a felhasználókat e-mailben vagy a Szolgáltatáson belüli értesítéssel tájékoztatjuk. A mindenkori hatályos verzió dátuma a dokumentum tetején látható.

1. Data Controller

Dege György Krisztián E.V. (hereinafter "Provider" or "we") operates the service available at www.blueberrystudio.io (the "Service").

• Registered address: 8000 Székesfehérvár, Aradi utca 65., Hungary
• Tax ID: 68489607-1-27
• Registration number: 51820019
• Contact: hello@blueberrystudio.io

2. What data do we process?

When you use the Service, we may process the following personal data:

• Account data: name, email, password (hashed), role.
• Connected social accounts: Facebook Page ID and name, Instagram Business account ID and username, access tokens (stored encrypted).
• Posts and media: texts, images, videos published through the Service, and their related metadata (schedule, status, analytics).
• Company data (B2B): company name, contact, portal token, brand attributes.
• Usage data: IP address, browser/device type, timestamps, security and rate-limit logs.
• Cookies: login session, security (CSRF) tokens. We do not use tracking or advertising cookies.

3. Purpose of processing

• Providing the Service (contract performance, GDPR Art. 6(1)(b))
• Publishing and scheduling social media posts on behalf of the user
• Delivering aggregate analytics / performance feedback
• Detecting security threats and preventing abuse (legitimate interest, Art. 6(1)(f))
• Compliance with legal obligations (invoicing, taxation) (Art. 6(1)(c))

4. Third-party processors

To operate the Service, we rely on the following sub-processors:

• Vercel Inc. — hosting (USA, EU regions; DPA + SCC)
• Neon Inc. — PostgreSQL database (EU region)
• Meta Platforms, Inc. — Facebook + Instagram API for publishing
• Anthropic PBC — AI text generation (Claude models)
• Google LLC — Gemini AI models
• OpenAI, L.L.C. — AI sticker/image generation
• ElevenLabs Inc. — AI voice and subtitle generation
• Cloudinary Ltd. — media storage and transformation
• Resend, Inc. — transactional email
• Stripe, Inc. — payment processing
• Inngest, Inc. — background job orchestration

All processors are bound by GDPR-compliant Data Processing Agreements (DPA). For non-EU processors, Standard Contractual Clauses (SCC) and/or adequacy decisions ensure the level of protection.

5. Retention periods

• Active account: while the user maintains the account
• Deleted account: irreversibly removed within 30 days
• Published post metadata: for the lifetime of the account
• Security and rate-limit logs: 90 days
• Billing records: statutory retention period (8 years in Hungary)

6. Your rights (GDPR)

• Access: request information on the data we hold about you
• Rectification: correct inaccurate data
• Erasure ("right to be forgotten"): request deletion of your data
• Restriction: restrict processing
• Portability: receive your data in a structured format
• Object: object to processing based on legitimate interest
• Complaint: lodge a complaint with the Hungarian Data Protection Authority (NAIH, naih.hu) or your local supervisory authority

Exercise your rights by emailing hello@blueberrystudio.io. We respond within 30 days.

7. Data security

Personal data is transmitted over encrypted channels (HTTPS/TLS), access tokens are stored encrypted with AES-256-GCM, and passwords are stored as bcrypt hashes. Infrastructure runs in EU regions, with role-based access controls.

8. Meta (Facebook / Instagram) integration

When you connect with Facebook, we request the following Meta Graph API permissions via OAuth: pages_show_list, pages_read_engagement, pages_manage_posts, instagram_basic, instagram_content_publish, business_management.

We only use these permissions for what the user explicitly authorises: publishing to the selected Pages and IG Business accounts, and retrieving the related analytics. You can revoke access at any time in Facebook Settings → Apps and Websites, or request full data deletion via our Data Deletion endpoint.

9. Updates to this policy

We may update this policy. Material changes will be communicated via email or in-app notification. The current effective date is shown at the top of the document.