A Hevu technikai kialakítása támogatja az EU általános adatvédelmi rendeletének alapelveit. A végleges jogi dokumentumot az adatkezelő cégadataival, céljaival, jogalapjaival, adatmegőrzési idejével és tárhelyszolgáltatójával szükséges kitölteni.
Adatkezelőként véglegesítendő: az üzemeltető hivatalos neve, címe, elérhetősége és adatvédelmi kapcsolattartója. A technikai tárhely- és levelezési szolgáltató a Rackhost Zrt. (6722 Szeged, Tisza Lajos körút 41.); az adatfeldolgozói szerepet, a választott szolgáltatás helyét és feltételeit az üzemeltető szerződésében is ellenőrizni kell.
A fiók működéséhez név, e-mail-cím, jelszókivonat, cégprofil és biztonsági események kezelhetők. Az ajánlatkészítés során az ügyfelek kapcsolattartási és projektadatai kerülhetnek a rendszerbe. A fejlesztőnek küldött támogatási üzeneteket, azok státuszát és a választ a kapcsolattartás, hibajavítás és termékfejlesztés céljából tároljuk. Csak a szerződés teljesítéséhez, az ajánlatadáshoz és a biztonságos működéshez szükséges adat rögzítendő.
A jelszavak egyirányú, erős PHP jelszókivonattal tárolódnak. Az ajánlati munkaterület, valamint a fejlesztőnek küldött üzenetek és válaszok AES-256-GCM hitelesített titkosítással kerülnek az adatbázisba. Felhasználónként elkülönített lekérdezések, CSRF-védelem, botellenőrzés, próbálkozás-korlátozás, biztonsági HTTP-fejlécek, munkamenet-azonosító csere és pszeudonimizált biztonsági napló támogatja a bizalmasságot és integritást.
Az adatmegőrzési határidőt az adatkezelőnek célonként kell meghatároznia. A fiókbeállításokból a felhasználó letöltheti a saját adatait, illetve jelszavas megerősítéssel véglegesen törölheti a fiókot, a cégprofilt és az ajánlati munkaterületet. Jogszabály alapján kötelezően megőrzendő bizonylatok külön szabály alá eshetnek.
Ha a felhasználó kifejezetten elindítja a gyártói megrendelést, a rendszer a beszállítóként rögzített címre továbbítja a rendelési azonosítót és a szükséges műszaki tételsort a Rackhost hitelesített SMTP-szolgáltatásán keresztül. A megrendelésbe csak a gyártáshoz szükséges adat kerül; a küldési esemény pszeudonimizált biztonsági naplóban rögzül.
Az érintett hozzáférést, helyesbítést, törlést, korlátozást vagy adathordozhatóságot kérhet, illetve tiltakozhat az alkalmazandó jogalaptól függően. Adatvédelmi incidens esetén dokumentált értékelés és szükség szerint a felügyeleti hatóság 72 órán belüli értesítése szükséges.