service-finder/docs/V01_gemini/05_Security_Model.md

(Biztonság és Identitás.)

🔐 SECURITY & IDENTITY MODEL

1. Identitás Kezelés (Person vs User)

• Person: Természetes személy (GDPR alany). deleted_at esetén nem töröljük, csak minden személyes adatmezőt (név, email, tel) hashelünk/anonimizálunk, de a statisztikai ID megmarad.
• User: Belépési fiók. Egy Person-höz több User tartozhat.
• Company: Céges entitás. Tulajdonosa egy Person.

2. Authentication

• Token: JWT (JSON Web Token) HS256.
• Password: Argon2 hash.
• Anti-Enumeration: "Ha létezik ilyen email cím, küldtünk egy levelet" (nem áruljuk el, hogy regisztrált-e).

3. Soft Delete Logika

Minden táblában (users, vehicles, events) kötelező a deleted_at.

• API szinten: Minden lekérdezéshez automatikusan hozzáadódik a WHERE deleted_at IS NULL.
• Admin szinten: Láthatóak a törölt elemek is (Audit célból).