1.Az adatkezelő és a Szalonok szerepe
A tájékoztató a Sunnypass ÁSZF melléklete; a benne nagybetűvel írt fogalmak (Alkalmazás, Szalon, Bérlet, Jegy stb.) az ÁSZF szerinti jelentésűek.
| Adatkezelő | Wellmatic Kft. (Wellmatic Informatika Fejlesztő és Tanácsadó Korlátolt Felelősségű Társaság) |
| Székhely | 1191 Budapest, Üllői út 200. |
| Cégjegyzékszám | 01-09-864661 |
| Adószám | 13619275-2-43 |
| Képviseli | Juhász Gergely ügyvezető |
| Adatvédelmi kapcsolattartó | info@wellmatic.hu, +36 20 332 9159 |
| Adatvédelmi tisztviselő | nincs kijelölve; kijelölése a GDPR 37. cikke alapján nem kötelező |
Ki mit kezel?
- A Wellmatic Kft. önálló adatkezelőként kezeli a fiókkal, a bejelentkezéssel, az Alkalmazás és a Rendszer működésével, a panaszkezeléssel és a fióktörléssel kapcsolatos adatokat.
- A Szalon – amelytől a Felhasználó a Bérletet vagy Jegyet vásárolja – önálló adatkezelőként kezeli az adásvétellel, a fizetéssel, a számlázással, az elállással és a helyszíni kiszolgálással kapcsolatos adatokat. A Szalon adatait és elérhetőségét az Alkalmazás a vásárlás előtt feltünteti; a Szalon saját adatkezelési tájékoztatója is irányadó.
- A Wellmatic Kft. a Szalon adatfeldolgozójaként tárolja és jeleníti meg a Szalon számára az értékesítési és használati adatokat.
2.Kezelt adatok, célok, jogalapok, időtartamok
A Felhasználó fiókjának törlésekor az ÁSZF IX/3–4. pontja irányadó: 14 napig visszaállítható, utána a Bérletek és Jegyek megszűnnek, a személyes adatok a megerősítéstől számított 30 napon belül törlésre vagy anonimizálásra kerülnek. Ez alól csak a jogszabály alapján megőrzendő adatok (számlák, panaszok, elállási nyilatkozatok) kivételek, amelyeket elkülönítve, a megőrzési idő végéig tárolunk.
| # | Adatkezelés és cél | Kezelt adatok | Jogalap | Időtartam | Adatkezelő |
|---|---|---|---|---|---|
| 2.1 | Regisztráció, fiók fenntartása, kapcsolattartás | e-mail-cím(ek), nagykorúsági nyilatkozat, fiókazonosító, regisztráció időpontja, ÁSZF-elfogadás időpontja, a fiókkal összekapcsolt Szalonok és az összekapcsolás időpontja; önkéntesen megadva: teljes név, telefonszám, postai cím, születési dátum | GDPR 6. cikk (1) b) – szerződés teljesítése | a fiók törléséig, utána legfeljebb 30 nap | Wellmatic |
| 2.2 | Bejelentkezés Belépési linkkel vagy kóddal, visszaélések megelőzése | e-mail-cím, egyszer használható token és kód (csak hash formában), munkamenet- és eszközazonosító, időbélyeg; fiókonkénti biztonsági napló (bejelentkezések és módjuk, sikertelen próbálkozások, letiltások, kijelentkezések, címváltozások, felfüggesztések, törlési lépések; IP-cím nélkül); a Szalonok munkatársainál a webes jelszó, csak hash formában | 6. cikk (1) b); alkalmazás- és biztonsági naplónál (1) f) – jogos érdek | token és kód: 15 perc; munkamenet: kijelentkezésig, legfeljebb 30 nap; alkalmazásnapló: 30 nap; biztonsági napló: 90 nap | Wellmatic |
| 2.3 | Bérletek, Jegyek, Feltöltések nyilvántartása (ÁSZF IV.) | Szalon, Bérlet/Jegy fajtája, vásárlás és Feltöltés időpontja, ár, Lejárat, hátralévő percek vagy keret | 6. cikk (1) b) | a Lejáratig, utána 5 év az igényérvényesítéshez; fióktörléskor a 14 napos visszaállítási idő végéig; a Szalonkapcsolat csak érvényes Bérlet és Jegy hiányában szüntethető meg, a nyilvántartási adatok ezután is az igényérvényesítéshez 5 évig maradnak | Wellmatic, a Szalon adatfeldolgozójaként is |
| 2.4 | Foglalás, szoláriumozás indítása, levonás, panasz esetén bizonyítás (ÁSZF IV/3–5, X/3) | Készülék és Szalon, foglalás és indítás időpontja, választott időtartam, levont percek vagy Jegy, leállás időpontja, módja és kezdeményezője (Felhasználó vagy Szalon), a Foglalások és azok megszűnése, QR-token | 6. cikk (1) b); bizonyításhoz (1) f) | 5 év; fióktörléskor 30 napon belül anonimizálás, folyamatban lévő panasz esetén annak lezárásáig | Wellmatic |
| 2.5 | Fizetés lebonyolítása | tranzakcióazonosító, összeg, időpont, státusz; ha a Felhasználó kéri, a mentett kártya myPOS-tokenje, típusa és utolsó négy számjegye; a teljes kártyaszámot sem a Wellmatic, sem a Szalon nem látja | 6. cikk (1) b) | a számviteli megőrzés végéig (8 év); a mentett kártya a törléséig, legkésőbb a fiók megszűnéséig | Szalon (a myPOS a Szalon szolgáltatója) |
| 2.6 | Nyugta vagy számla kiállítása, könyvvitel | nyugtánál: e-mail-cím, termék, összeg; számlánál ezen felül: név, számlázási cím és – ha megadta – adószám | 6. cikk (1) c) – 2007. évi CXXVII. tv. 159. §, 2000. évi C. tv. 169. § | 8 év | Szalon; a Wellmatic a számlázási adatok másolatát a vásárlás mellett, a Szalon adatfeldolgozójaként 8 évig őrzi |
| 2.7 | Elállás és a teljesítés megkezdésének kérése (ÁSZF V/6) | név, e-mail-cím, szerződés azonosítója, a nyilatkozat tartalma és időpontja, a jelölőnégyzet bejelölésének időpontja | 6. cikk (1) c) – 45/2014. (II. 26.) Korm. r.; bizonyításhoz (1) f) | 5 év (Ptk. elévülési idő) | Szalon; a Wellmatic rögzíti és továbbítja |
| 2.8 | Panaszkezelés (ÁSZF X.) | név, e-mail-cím, telefonszám, postai cím, a panasz és a válasz tartalma, hivatkozási szám, jegyzőkönyv, kapcsolódó naplóadatok | 6. cikk (1) c) – 1997. évi CLV. tv. 17/A. § | a válaszadástól számított 3 év, a fiók törlése után is | Wellmatic; az érintett Szalon a jóváírásról való döntéshez elérhetőségi adatok nélkül kapja meg |
| 2.9 | Rendszerértesítők e-mailben és push-értesítésben (Belépési link, visszaigazolások, ÁSZF-módosítás, foglalás) | e-mail-cím, push-eszköztoken, az értesítés tárgya és időpontja | 6. cikk (1) b) és c) | az elküldéstől számított 30 nap, legfeljebb a fiók megszűnéséig; az üzenet szövegét elküldés után töröljük; az eszköztoken kijelentkezéskor, 90 napi használaton kívüliség után, illetve a fiók törlésekor törlődik | Wellmatic |
| 2.10 | Fióktörlési kérelem teljesítése és igazolása | a kérelem, a megerősítés és a törlés időpontja, fiókazonosító; a törlés 14. és 30. napja között a fiók e-mail-címeinek hash-értéke, hogy azonos címmel új fiók regisztrálásakor jelezni lehessen, hogy a régi fiók már nem állítható vissza (a végleges törléskor ez is törlődik) | 6. cikk (1) c) – GDPR 5. cikk (2), 17. cikk | 5 év | Wellmatic |
| 2.11 | Hírlevél, marketingcélú e-mail és push-értesítés a Szalonok akcióiról és ajánlatairól, a fiókjukat az adott Szalonnal összekapcsoló Felhasználóknak | e-mail-cím, push-eszköztoken, csatornánként a hozzájárulás és a leiratkozás időpontja és módja, a Felhasználó fiókjával összekapcsolt Szalonok (az összekapcsolástól annak megszüntetéséig vagy a fiók törléséig) | 6. cikk (1) a) – önkéntes, bármikor visszavonható hozzájárulás; 2008. évi XLVIII. tv. 6. § | a hozzájárulás visszavonásáig; a hozzájárulás és a visszavonás tényét az igazoláshoz 5 évig őrizzük | Wellmatic |
| 2.12 | Mentett számlázási adatok a számlakérő űrlap kitöltéséhez | név, számlázási cím, adószám – csak ha a Felhasználó elmenti, a profil postai címétől elkülönítve | 6. cikk (1) b) | a Felhasználó általi törlésig, legkésőbb a fiók megszűnéséig | Wellmatic |
| 2.13 | Fiók felfüggesztésének nyilvántartása (ÁSZF IX/2) | a felfüggesztés oka, a megsértett ÁSZF-pont, ki és mikor függesztette fel, illetve oldotta fel | 6. cikk (1) f) – jogos érdek (igényérvényesítés) | a feloldástól számított 5 év | Wellmatic |
| 2.14 | Alkalmazással nyitható ajtó használata (ahol a Szalonban ilyen van) | Felhasználó, időpont, a nyitás engedélyezése vagy elutasítása és annak oka | 6. cikk (1) b); visszaélések kivizsgálásához (1) f) | [megőrzési idő – pl. 90 nap] | Wellmatic, a Szalon adatfeldolgozójaként is |
Marketingüzenetek (2.11): hírlevelet, marketingcélú e-mailt és akciókról szóló push-értesítést csak annak küldünk, aki ehhez csatornánként külön, előre be nem jelölt jelölőnégyzettel hozzájárult. Az üzenetek a Szalonok akcióiról szólnak, és egy Szalon üzeneteit csak az kapja meg, aki a fiókját az adott Szalonnal összekapcsolta; az összekapcsolás megszüntetésével vagy a fiók törlésével az adott Szalon üzenetei azonnal megszűnnek; a Szalon a címzettek adatait nem kapja meg. A hozzájárulás nem feltétele az Alkalmazás használatának vagy a vásárlásnak. Minden marketingcélú e-mailben leiratkozási link van, a push-értesítés pedig az Alkalmazás beállításaiban kapcsolható ki; a leiratkozás ingyenes és azonnali hatályú.
Amit nem kezelünk: a Rendszer IP-címet [ellenőrzendő: a webszerver hozzáférési naplójának beállítása], helyadatot, valamint bőrtípusra vagy egészségi állapotra vonatkozó adatot nem tárol. A kamerát kizárólag a Szalon QR-kódjának beolvasására használja. A kódot a telefonon, a Google ML Kit beépített modelljével olvassa be; a kamera képe és a kód tartalma nem kerül a Google-hoz, a kamera képét az Alkalmazás nem tárolja és nem továbbítja, csak a kód tartalmát küldi a Rendszernek. Automatizált döntéshozatalt nem végez.
Sütik: a Szalonok munkatársai által használt webes felület a bejelentkezett munkamenetet egyetlen, a működéshez feltétlenül szükséges sütiben (session_token) tárolja, a böngésző bezárásáig, illetve a „Maradjak bejelentkezve” beállítás esetén 30 napig. Nyomkövető vagy analitikai sütit nem használunk.
3.Címzettek és adatfeldolgozók
A személyes adatokat a Wellmatic Kft. erre felhatalmazott, titoktartásra kötelezett munkatársai, valamint az alábbi címzettek és adatfeldolgozók ismerhetik meg, a feladatukhoz szükséges mértékben. Az adatfeldolgozók az adatokat kizárólag a Wellmatic utasításai szerint, saját célra nem kezelhetik.
| Címzett | Szerep | Tevékenység | Érintett adatok |
|---|---|---|---|
| A vásárlás szerinti Szalon | önálló adatkezelő | adásvétel, számlázás, elállás, helyszíni kiszolgálás, panasz | 2.3–2.7 szerinti adatok, a saját Készülékeire és vásárlásaira korlátozva; a róla szóló panaszokat (2.8) a Felhasználó azonosítójával, nevével és a szoláriumozási adatokkal, de e-mail-cím, telefonszám és postai cím nélkül kapja meg; a 2.11 szerinti marketingadatokat nem kapja meg |
| Contabo GmbH (81549 München, Aschauer Straße 32a, Németország; info@contabo.com) | adatfeldolgozó | tárhelyszolgáltatás | valamennyi, a Rendszerben tárolt adat |
| Mailgun Technologies, Inc. (USA), EU-régiós adatközpont (Frankfurt, Németország) | adatfeldolgozó | Belépési linkek, visszaigazolások, értesítők és hírlevelek kézbesítése | e-mail-cím, az üzenet tartalma |
| Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Írország) – Firebase Cloud Messaging | adatfeldolgozó | rendszer- és (hozzájárulás esetén) marketingcélú push-értesítések kézbesítése | push-eszköztoken, az értesítés tartalma |
| Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Írország) – Apple Push Notification service | adatfeldolgozó | a Firebase ezen keresztül kézbesíti az iOS-eszközökre szóló push-értesítéseket | push-eszköztoken, az értesítés tartalma |
| KBOSS.hu Kft. (szamlazz.hu; 1031 Budapest, Záhony utca 7.; cégjegyzékszám: 01-09-303201), illetve Billingo Technologies Zrt. (1133 Budapest, Árbóc utca 6.) | a Szalon adatfeldolgozója – annál a Szalonnál, amelyik az adott szolgáltatást használja | nyugták és számlák kiállítása és e-mailben történő kézbesítése | 2.6 szerinti adatok |
| myPOS Limited (Floor 1, 12 St Stephen's Green, Dublin 2, Írország; cégjegyzékszám: 700880; az Ír Központi Bank által engedélyezett elektronikuspénz-kibocsátó, nyilvántartási szám: C475122) [ellenőrzendő a Szalon myPOS-szerződése alapján] | a Szalon szolgáltatója | bankkártyás fizetés | a fizetőoldalon megadott adatok; ezekhez a Wellmatic nem fér hozzá |
| Bíróság, hatóság | címzett | jogszabályon alapuló megkeresés teljesítése | a megkeresésben meghatározott adatok |
Szalonok által feltöltött képek: a termékek, hírek és a Szalon arculatának képeit az Alkalmazás a Szalon által megadott internetcímről tölti be, ezért az adott tárhely üzemeltetője a kép letöltésekor látja az eszköz IP-címét. Ezt az adatot nem a Wellmatic kezeli. [döntendő: ez maradjon, vagy a Rendszer saját szerverén keresztül töltse a képeket]
Harmadik országba továbbítás: a Wellmatic a személyes adatokat kizárólag az Európai Gazdasági Térségen belül tárolja és kezeli: a Rendszer a Contabo németországi adatközpontjában fut, az e-maileket a Mailgun EU-régiós (frankfurti) adatközpontja kézbesíti, a push-értesítések szolgáltatója a Google Ireland Limited. Harmadik országba személyes adatot nem továbbít. A Mailgun, a Google és az Apple anyavállalata az Egyesült Államokban működik; arra az esetre, ha az adatokhoz onnan hozzáférnének, az adatfeldolgozói szerződések az Európai Bizottság általános szerződési feltételeit, illetve az EU–USA adatvédelmi keretet alkalmazzák. További adatfeldolgozó bevonásáról a Wellmatic e tájékoztató módosításával ad tájékoztatást.
4.Adatbiztonság és adatvédelmi incidens
A Wellmatic a technika mindenkori fejlettségének megfelelő technikai és szervezési intézkedésekkel védi az adatokat a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés és megsemmisülés ellen. Ennek keretében különösen:
- jelszó nélküli, egyszer használható és rövid ideig érvényes Belépési linket alkalmaz;
- a Belépési linkeket és kódokat csak visszafejthetetlen (hash) formában tárolja, így az adatbázis másolatával sem lehet belépni;
- a Rendszer és az Alkalmazás közötti forgalmat titkosított csatornán továbbítja;
- a szoláriumozás indítását a Szalonban megjelenített, rendszeresen változó, aláírt QR-kódhoz köti, amely másolással nem használható fel;
- a teljes bankkártyaszámot nem látja és nem tárolja: a fizetés a myPOS fizetőoldalán történik, mentett kártyánál pedig csak a myPOS által kiadott token, a kártya típusa és utolsó négy számjegye kerül tárolásra;
- a személyes adatokhoz csak a feladatukhoz szükséges jogosultsággal rendelkező munkatársak férnek hozzá;
- rendszeres, elkülönítetten tárolt biztonsági mentést készít. A mentésekből a törölt adatok a mentések megőrzési idejének (30 nap) lejártával tűnnek el; mentés visszaállításakor a korábban törölt adatokat ismét törli.
Adatvédelmi incidens esetén a Wellmatic az incidenst kivizsgálja, és – ha az valószínűsíthetően kockázattal jár – legkésőbb 72 órán belül bejelenti a Nemzeti Adatvédelmi és Információszabadság Hatóságnak. Ha az incidens magas kockázattal jár az érintettek jogaira nézve, az érintetteket is indokolatlan késedelem nélkül tájékoztatja. Az incidensekről nyilvántartást vezet.
5.Az érintett jogai és jogorvoslat
A Felhasználó az alábbi jogait az info@wellmatic.hu címen, a Szalon által kezelt adatok tekintetében a Szalonnál is gyakorolhatja; a Wellmatic a hozzá érkezett, Szalont érintő kérelmet továbbítja. A kérelmet a Wellmatic indokolatlan késedelem nélkül, legfeljebb egy hónapon belül teljesíti; ez a határidő indokolt esetben további két hónappal meghosszabbítható, amiről egy hónapon belül tájékoztat. Az eljárás díjmentes; egyértelműen megalapozatlan vagy túlzó kérelem esetén a Wellmatic észszerű díjat számíthat fel vagy megtagadhatja az intézkedést. Kétség esetén a kérelmező személyazonosságának megerősítését kérheti, jellemzően a fiókhoz tartozó e-mail-címen keresztül.
- Tájékoztatás és hozzáférés: a kezelt adatokról és azok másolatáról.
- Helyesbítés: a pontatlan adatok javítása; a bejelentkezési e-mail-címek az Alkalmazásban is hozzáadhatók és törölhetők (ÁSZF III/4).
- Törlés: a fiók az Alkalmazásban is törölhető (ÁSZF IX/3); a jogszabály alapján megőrzendő adatok a megőrzési idő végéig maradnak.
- Az adatkezelés korlátozása, például ha a Felhasználó vitatja az adatok pontosságát.
- Adathordozhatóság: a Felhasználó által megadott, szerződés vagy hozzájárulás alapján kezelt adatok tagolt, géppel olvasható formátumban; ezeket a Felhasználó az Alkalmazásban maga is letöltheti (Profil → Adatok exportálása).
- Tiltakozás a jogos érdeken alapuló adatkezelés (2.2, 2.4, 2.7) ellen.
- Hozzájárulás visszavonása (2.11) bármikor, leiratkozással vagy az Alkalmazás beállításaiban, a korábbi adatkezelés jogszerűségének érintése nélkül.
Panasz a felügyeleti hatóságnál: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9–11.; postacím: 1363 Budapest, Pf. 9.; telefon: +36 1 391-1400; e-mail: ugyfelszolgalat@naih.hu; honlap: naih.hu.
Bírósághoz fordulás: a Felhasználó a jogainak megsértése esetén bírósághoz is fordulhat; a pert a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindíthatja.
6.Egyéb rendelkezések
- Kiskorúak. Az Alkalmazást kizárólag 18. életévét betöltött személy használhatja (ÁSZF III/1, VI/1). Ha a Wellmatic tudomására jut, hogy 18 éven aluli személy regisztrált, a fiókot megszünteti, és az adatait törli.
- Az adatok forrása. A Wellmatic az adatokat a Felhasználótól, illetve az Alkalmazás és a Készülékek használata során keletkező naplókból gyűjti; más forrásból nem szerez személyes adatot.
- Módosítás. A Wellmatic e tájékoztatót módosíthatja. A módosítást a hatálybalépés előtt legalább 15 nappal a www.sunnypass.eu oldalon közzéteszi, és e-mailben is értesíti a Felhasználókat. Új adatkezelési cél esetén – ha az hozzájáruláson alapul – a Felhasználó hozzájárulását külön kéri.
- Irányadó jogszabályok: az (EU) 2016/679 rendelet (GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, az elektronikus kereskedelmi szolgáltatásokról szóló 2001. évi CVIII. törvény, valamint a gazdasági reklámtevékenységről szóló 2008. évi XLVIII. törvény.