Adatkezelési tájékoztató

1. Adatkezelő és kapcsolat

Adatkezelő: Hello Varázs Kft.; székhely és levelezési cím: 1065 Budapest, Révay utca 6. fszt. 7.; cégjegyzékszám: 01-09-418454; adószám: 32329478-2-42. Adatkezeléssel kapcsolatos kérés: hello@hellovarazs.hu; telefon: +36 20 522 2250.

Ez a tájékoztató a Hello Varázs új weboldalának működését írja le. A rendelési, fiók-, utalvány- és pénzügyi adatok kezelése saját rendszerben történik. Az ÁSZF és ez a tájékoztató a weboldal saját dokumentuma; megnyitásukhoz nem csatlakozunk külső jogidokumentum-szolgáltatóhoz.

Élesítés előtt véglegesítendő: a Rendszeres Kft. adatfeldolgozói megállapodása és az esetleges további adatfeldolgozók leltára; az éles számlázási és fizetési integráció címzettjei; a technikai és keresési naplók jóváhagyott megőrzési és törlési rendje; az esetleges harmadik országbeli adattovábbítás garanciái. Amíg ezek hiányoznak, ez a dokumentum egyeztetési változat.

2. Rendelés és az utalványok kiállítása

Adatok: név, e-mail-cím, számlázási irányítószám, település, cím, céges számlánál megadott adószám; rendelt tételek, mennyiségek, árak, választott utalványgrafika, rendelési szám, fizetési mód és állapot, az ÁSZF-elfogadás időpontja. A rendeléshez és dokumentumokhoz való biztonságos hozzáféréshez jogosultsági tokenek és munkamenetadatok is tartoznak.

Cél és jogalap: a rendelés fogadása, szerződéskötés, teljesítés, kapcsolattartás és az utalványok átadása: GDPR 6. cikk (1) b) pont, szerződés és szerződéskötést megelőző lépések. Más személy nevében leadott rendelés kapcsolattartási adatainál a szerződés teljesítéséhez fűződő jogos érdek is alkalmazandó lehet, a szükségesség és az érintetti jogok mérlegelésével.

Megőrzés: a számviteli bizonylatot és az azt alátámasztó adatokat legalább 8 évig kell megőrizni a számviteli törvény alapján. A kizárólag szerződéses igényérvényesítéshez szükséges adatokat az igény elévüléséig, főszabály szerint az esedékességtől számított 5 évig kezeljük. Folyamatban lévő jogvita, elévülést érintő körülmény vagy más törvényi kötelezettség ezt módosíthatja. Az éles rendszer törlési eljárását ezekhez az időkhöz kell igazítani.

A teljesítéshez szükséges adatok hiányában a rendelést nem tudjuk elfogadni vagy kézbesíteni. Az adatkezeléshez nem kérünk általános hozzájárulást, ha annak jogalapja a szerződés vagy jogi kötelezettség.

3. Fiók és hozzáférés-védelem

Adatok: név, e-mail-cím, jelszó egyirányú, védett lenyomata, jogosultsági szerep, fiókállapot, a megerősítési és jelszó-visszaállítási kérésekhez kapcsolódó tokenlenyomatok és időpontok, bejelentkezési munkamenet. A jelszó olvasható eredeti formáját nem tároljuk.

Cél és jogalap: regisztrált hozzáférés és fiókszolgáltatások biztosítása: GDPR 6. cikk (1) b). A visszaélések elleni védelem és a jogosultsági ellenőrzések: GDPR 6. cikk (1) f), a fiók és a felhasználók adatainak védelméhez fűződő jogos érdek.

Megőrzés: a fiók fennállásáig, illetve a megszüntetéshez szükséges ügyintézésig. A törlendő fiókhoz kapcsolódó számlák és jogszerűen megőrzendő rendelési adatok külön jogalapon megmaradhatnak. A bejelentkezési munkamenet érvényessége 7 nap; a jelszó-visszaállítási tokené 1 óra, a fiókmegerősítési tokené 24 óra. Az érvényesség lejárta nem azonos az adat fizikai törlésével; az utóbbi rendjét az éles üzemeltetési szabályzatban kell véglegesíteni.

A fiókhoz szükséges adatok megadása önkéntes, de nélkülük a fiókszolgáltatás nem használható. Vendégként történő vásárlás ettől függetlenül lehetséges.

4. Voucher, ajándékutalvány és pénztárca

Adatok: utalványazonosító, érintett rendelés és ajánlat, beváltó partner, érvényesség, állapot, beváltás ideje és az azt rögzítő jogosult; ajándékutalványnál eredeti és fennmaradó érték, foglalások, felhasználások, visszatérítések és fiókhoz kapcsolás. Az egyenlegváltozásokat elszámolási naplóban rögzítjük.

Cél és jogalap: a megvásárolt jogosultság biztosítása és elszámolása: GDPR 6. cikk (1) b); jogszabály szerinti pénzügyi nyilvántartás: c) pont; a többszörös beváltás és jogosulatlan módosítás megelőzése: f) pont szerinti jogos érdek.

Megőrzés: a felhasználhatóság és az elszámolás idején, majd a vonatkozó szerződéses igények elévüléséig; a számviteli bizonylatot alátámasztó pénzügyi mozgásoknál legalább 8 évig. Az utalvány lejárata nem szünteti meg a jogszabályi megőrzési kötelezettséget.

Az ajándékozó a PDF-et vagy a kódot maga is továbbadhatja. Más személy adatait csak megfelelő jogalappal adja meg. A beváltó partner kizárólag a saját ajánlatához tartozó jogosultságot és a teljesítéshez szükséges adatokat ismerheti meg. A partner saját foglalási és szolgáltatási adatkezeléséről önállóan köteles tájékoztatást adni.

5. Fizetés, számlázás és e-mail-kézbesítés

A kiválasztott fizetési módhoz a tranzakció azonosítója, összege, pénzneme, állapota és a rendeléshez szükséges visszajelzés tartozik. Átutalásnál a befizetés azonosításához szükséges banki adatok kezelhetők. A SimplePay bankkártyaadatait a fizetési szolgáltató kezeli; a teljes kártyaszámot és biztonsági kódot a Hello Varázs rendszerében nem kérjük és nem tároljuk.

A számlázási integráció a név, számlázási cím, szükség esetén adószám, tétel- és ellenértékadatok továbbításával járhat. A számlázás jogalapja jogi kötelezettség, GDPR 6. cikk (1) c). A fizetés rendezésének jogalapja a szerződés, b) pont. Csak a ténylegesen aktivált integráció részesülhet adatban; annak pontos szolgáltatói adatait az élesítés előtt fel kell tüntetni.

A rendelési és fiókértesítésekhez a címzett e-mail-címét, a levél tartalmát, a kézbesítési állapotot és az esetleges csatolmányokat kezeljük. Az utalványok és számlák a levél mellékletei vagy védett elérési hivatkozásai lehetnek. A kapcsolódó adatok megőrzése a rendelés vagy fiókügy megőrzéséhez igazodik; a külön technikai kézbesítési naplók időtartama még véglegesítendő.

6. Megkeresések, panaszok és jogi igények

Adatok: a megkereső neve, elérhetősége, üzenete, rendelési hivatkozása és az ügyhöz önként csatolt dokumentumok, valamint az ügyintézés és válaszadás adatai.

Jogalap: szerződéssel kapcsolatos ügyintézésnél a GDPR 6. cikk (1) b), fogyasztói panasz jogszabály szerinti kezelésénél c), általános üzleti kapcsolattartásnál és jogi igények védelménél az f) pont szerinti jogos érdek. Különleges adatot – például részletes egészségügyi adatot – kérés nélkül ne küldjön az ügyfélszolgálatnak.

Megőrzés: a fogyasztói panaszt, a szóbeli panaszról készült jegyzőkönyvet és az érdemi válasz másolatát 3 évig; a szerződéshez tartozó levelezést a vonatkozó szerződéses igények elévüléséig. Folyamatban lévő eljárásban az ahhoz szükséges adatok a jogszerű lezárásig megőrizhetők.

7. Keresési és biztonsági naplók

A saját keresési napló a megadott keresőkifejezést, annak normalizált változatát, a szűrőket, a találatszámot, az esemény időpontját és egy kérésazonosítót rögzíti. A keresési eseményhez a rendszer nem kapcsol vásárlói fiókazonosítót, e-mail-címet vagy IP-címet. A szabadon beírt kifejezés ettől még tartalmazhat személyes adatot; ilyen adatot a keresőbe ne írjon.

A napló célja a kereső javítása és a hiányzó találatok azonosítása; tervezett jogalapja a GDPR 6. cikk (1) f) pont szerinti jogos érdek, érdekmérlegelés mellett. Nem hozunk létre hirdetési profilt, és ehhez nem állítunk be követősütit. A tárolási időt és az automatikus törlést az éles indulás előtt véglegesíteni kell; a napló jelenleg nem tekinthető véglegesített megőrzési rendű adatkezelésnek.

A biztonság és elszámoltathatóság érdekében az adminisztratív, pénzügyi és beváltási műveletek jogosultját, tárgyát és időpontját naplózzuk. A webszerver és a levelezés technikai adatokat, köztük IP-címet és hibainformációt is kezelhet. Ezek nem használhatók korlátlan idejű általános megfigyelésre; a címzettek és megőrzési idők az üzemeltetési leltárban véglegesítendők.

8. Sütik és külső tartalmak

A szükséges munkamenet-, kosár- és sütiválasztási adatok, valamint a vendégrendelés helyi hozzáférési tokenjének részleteit a sütitájékoztató tartalmazza. A külső térképek alapértelmezés szerint nem töltődnek be.

Az OpenStreetMap-térkép bekapcsolása önkéntes döntés. A térképcsempe-kéréssel a külső szolgáltató az IP-címet és a böngészőkérés technikai adatait kapja meg; az opcionális betöltés jogalapja a GDPR 6. cikk (1) a) pont szerinti hozzájárulás. A hozzájárulás a Sütibeállításokban bármikor visszavonható, ami a visszavonás előtti adatkezelés jogszerűségét nem érinti. A cím és a külső útvonaltervező linkje térképbetöltés nélkül is használható.

Az új weboldalon jelenleg nincs Google Analytics, Meta Pixel vagy más hirdetési követőkód. A külső oldalra mutató hivatkozás csak a felhasználó kattintására nyílik meg; a céloldal adatkezeléséről annak üzemeltetője ad tájékoztatást.

9. Címzettek, adatfeldolgozók és adattovábbítás

Adatokhoz csak a feladatuk ellátásához szükséges körben férhetnek hozzá a Hello Varázs jogosult munkatársai és szerződött adatfeldolgozói. Ide tartozhat a tárhely és rendszerüzemeltetés, az e-mail-kézbesítés, a könyvelés és számlázás. A tárhelyet, a rendszerüzemeltetést és az e-mail-kézbesítést a Rendszeres Kft. biztosítja (2161 Csomád, Kossuth Lajos út 47.; adószám: 22740175-2-13; weboldal: rendszeres.hu; telefon: +36 1 445 1121). E feladatok során a rendszerben tárolt és a kézbesítéshez szükséges adatokhoz az adatkezelő utasításai szerinti, szükséges körben férhet hozzá. A további adatfeldolgozók – például könyvelés vagy alvállalkozó infrastruktúra – nevét és feladatát a végleges leltár alapján kell kiegészíteni.

Az élményt teljesítő partner a saját szolgáltatása foglalása és teljesítése tekintetében önálló adatkezelő lehet. A fizetési szolgáltatók jogszabályi és saját szolgáltatási kötelezettségeik tekintetében szintén önálló adatkezelők lehetnek. Jogszerű hatósági, bírósági megkeresés vagy törvényi kötelezettség esetén az érintett adatokat az eljáró szervnek átadhatjuk.

Az alkalmazott szolgáltatók teljes adatkezelési földrajzi helye még egyeztetendő; ezért nem állítjuk, hogy minden adat minden esetben kizárólag Magyarországon vagy az EGT-ben marad. Harmadik országba irányuló személyesadat-továbbítás csak a GDPR V. fejezete szerinti feltételekkel indítható; a konkrét címzettet és garanciát előzetesen közölni kell.

10. Adatbiztonság és mentések

A jogosultságokat szerepkörök szerint korlátozzuk, a hozzáférést munkamenettel és tokenekkel védjük. A partneri hozzáférés az adott partnerhez tartozó műveletekre korlátozott. Az utalványkód és a vendégrendelési hozzáférési link titkos kezelése a felhasználó érdeke is; ezek illetéktelen továbbadását kerülje.

Az üzletmenet folytonosságához biztonsági mentések készülnek. A mentések adatköre és törlési ciklusa az éles üzemeltetési rend része; visszaállításkor a korábbi, jogszerű törlési és korlátozási kérelmeket ismét érvényesíteni kell. A mentés nem indok korlátlan adatmegőrzésre.

11. Az érintett jogai

A hello@hellovarazs.hu címen kérheti az adatkezelésről szóló tájékoztatást és adatai másolatát, a pontatlan adatok helyesbítését, a GDPR feltételei szerinti törlést vagy korlátozást. A jogszabályi feltételek esetén kérheti az adathordozhatóságot is. A jogos érdeken alapuló adatkezelés ellen saját helyzetével kapcsolatos okból tiltakozhat; ezt érdemben megvizsgáljuk.

Ha az adatkezelés hozzájáruláson alapul, azt bármikor visszavonhatja. Az opcionális térkép hozzájárulása a Sütibeállításokban módosítható. A visszavonás a korábbi jogszerű adatkezelést nem teszi jogellenessé, és nem vonja maga után a külön törvényi jogalappal megőrzendő számlaadatok törlését.

A kérelemre indokolatlan késedelem nélkül, főszabály szerint egy hónapon belül válaszolunk. Összetett vagy nagyszámú kérelem esetén a GDPR szerinti legfeljebb további két hónapos hosszabbításról és annak okáról az első hónapon belül értesítést küldünk. A kérelmező azonosításához csak arányos, szükséges adatot kérünk; személyazonosító okmány másolatát rutinszerűen ne küldje el.

A törlési jog nem korlátlan: számviteli kötelezettség, jogszabályi megőrzés vagy jogi igény védelme esetén az érintett adatok a szükséges körben megmaradhatnak. Az elutasítás okát és a jogorvoslat lehetőségét közöljük. A Hello Varázs nem hoz a GDPR 22. cikke szerinti, kizárólag automatizált, joghatással vagy hasonló jelentős hatással járó egyedi döntést, és nem végez ilyen profilalkotást.

12. Panasz és jogorvoslat

Ha adatkezelési panaszát nem tudja velünk rendezni, a Nemzeti Adatvédelmi és Információszabadság Hatósághoz fordulhat: www.naih.hu; levelezési cím: 1363 Budapest, Pf. 9.; székhely: 1055 Budapest, Falk Miksa utca 9–11.; e-mail: ugyfelszolgalat@naih.hu. A hatósági eljárás megindításának aktuális módját a hatóság honlapja ismerteti. Ön a GDPR szerint bírósági jogorvoslattal is élhet.

A tájékoztató lényeges módosítását a weboldalon közzétesszük, és szükség esetén külön tájékoztatást küldünk. Új cél vagy hozzájárulást igénylő szolgáltatás bevezetése előtt az érintetteket tájékoztatni kell; az ÁSZF elfogadása vagy a weboldal további használata nem jelent automatikus hozzájárulást.