Adatkezelési tájékoztató (GDPR)
Korábbi verziók (Archívum) →Adatkezelési tájékoztató Verzió: v1.2 — Hatályos: 2026. október 18-tól
Ezt az adatvédelmi nyilatkozatot a Tolvaj Dorka egyéni vállalkozó (adószám: 90779402-1-31, székhely: 2800 Tatabánya, Réti utca 36., a továbbiakban: „Stúdió”) biztosítja annak érdekében, hogy tájékoztassa az app.voleurstudio.hu weboldal látogatóit és ügyfeleit arról, hogyan gyűjtjük, kezeljük és védjük személyes adataikat.
1. Az adatgyűjtés célja és módja
A Stúdió az alábbi személyes adatokat gyűjti:
név, e-mail cím és a fiók azonosításához szükséges adatok,
foglalási előzmények, vásárolt bérletek és tranzakciók adatai,
Opcionálisan az órákhoz/foglalásokhoz kapcsolódó extra vagy egészségügyi megjegyzések (amennyiben a vendég ezt megadja). Egészségügyi adat a panasz vagy sérülés leírása, a kismama státusz és a kineziológiai tapasz kérése. A vendég ezeket a megadás helyén olvasható tájékoztatás mellett adja meg. A megadás a kezeléshez adott hozzájárulás. A hozzájárulás a profilban bármikor visszavonható; a visszavonás törli a tárolt egészségügyi adatokat.
A jogalap célonként:
| Cél | Jogalap |
|---|---|
| Fiók és foglalás (név, e-mail, a fiókhoz megadott telefon, jelszó hash-elve, foglalás, várólista, jelenlét) | GDPR 6. cikk (1) bekezdés b) pont, a foglalási szerződés teljesítése |
| Bérlet és a fizetés állapota az alkalmazásban (bérlet, csomag, összeg, státusz, időpont) | GDPR 6. cikk (1) bekezdés b) pont, szerződés |
| Egészségügyi adat: panasz vagy sérülés szövege, kismama státusz, kineziológiai tapasz kérése | GDPR 9. cikk (2) bekezdés a) pont és 6. cikk (1) bekezdés a) pont, kifejezett hozzájárulás. A vendég az adatot a mező vagy a jelölőnégyzet melletti nyilatkozat mellett adja meg. A megadás a kezeléshez adott hozzájárulás. A profilban bármikor visszavonható; a visszavonás törli a tárolt egészségügyi adatot. |
| Szolgáltatási e-mail (visszaigazolás, emlékeztető, várólista, lemondás, fiók-megerősítés, jelszó) | GDPR 6. cikk (1) bekezdés b) pont, szerződés |
| Böngészős értesítés (push), csak adminisztrátor és oktató, az eszközén külön bekapcsolva. Az értesítés szövege nem tartalmaz egészségügyi adatot. | GDPR 6. cikk (1) bekezdés a) pont, hozzájárulás |
| Visszajelzés a szolgáltatás minőségéről | GDPR 6. cikk (1) bekezdés f) pont, jogos érdek: a foglalási rendszer javítása |
| Technikai napló és a fiók biztonsága (regisztrációkor tárolt IP-cím; a szerver naplójában IP-cím, felhasználó-azonosító és user agent a belépési korlátnál és a hozzájárulás igazolásánál) | GDPR 6. cikk (1) bekezdés f) pont, jogos érdek: visszaélés megakadályozása és a hozzájárulás igazolása |
A fiók és a foglalás adatai a szerződéshez kellenek; ezek nélkül az online foglalás nem jön létre. Az egészségügyi adat, a telefon és a push megadása nem feltétele a fióknak.
A foglalási fiókot az nyithatja, aki betöltötte a 18. életévét. A megerősítés szövege: „Elmúltam 18 éves”. Születési dátumot nem tárolunk, csak a megerősítés időpontját. 18 év alatti vendég online fiókot nem használ; a foglalását a személyzet rögzíti, a szülő vagy más törvényes képviselő útján.
2. Adattárolás és adatkezelés
Az összegyűjtött adatokat a 8. pontban felsorolt adatfeldolgozók kezelik. A foglalási rendszer felhőben fut, a háttérben relációs adatbázis van. Ez a rendszer megfelel az Európai Unió GDPR (EU 2016/679) rendeletének.
A jelszavak és érzékeny hitelesítési adatok minden esetben egyirányú titkosítással (hash-elve) kerülnek eltárolásra.
A felhasználói és foglalási adatokhoz, valamint az egészségügyi megjegyzésekhez kizárólag a Stúdió adminisztrátorai, illetve a megfelelő órákat tartó oktatók (instruktorok) férnek hozzá, szigorúan csak a feladataik ellátásához (pl. edzések levezetése) szükséges mértékben.
A Stúdió az adatokat nem értékesíti, és marketing céljából harmadik félnek nem továbbítja. A 8. pont adatfeldolgozói a rendszer üzemeltetéséhez kapják meg az adatokat. Jogszabály (például számviteli és számlázási kötelezettség) ettől függetlenül előírhat továbbítást.
A fiókot, a foglalást és a bérlet-, valamint fizetési előzményt az utolsó aktivitástól számított 2 évig őrizzük, utána anonimizáljuk. Utolsó aktivitás a belépés, a foglalás vagy a vásárlás közül a legkésőbbi. Az anonimizálás a nevet, az e-mailt, a telefont és az egészségügyi adatot törli; a foglalás és a fizetési előzmény az anonim fiók alatt megmarad. Személyzeti fiókot ez az automatikus anonimizálás nem érint. Az egészségügyi adat a hozzájárulás visszavonásáig vagy a törlésig marad meg. A stúdió saját számláit nem ez az alkalmazás állítja ki és nem itt tárolja; a számla a stúdió könyvelésében marad, a számviteli őrzési idő alatt.
3. Az érintettek jogai
Az érintettek jogosultak:
Tájékoztatást kérni személyes adataik kezeléséről,
Kérni adataik helyesbítését, profiljuk vagy adataik törlését (kivéve a jogszabály alapján kötelezően megőrzendő kapcsolódó számlázási/könyvelési adatokat) vagy zárolását,
Kérni adataik hordozható kiadását (a profil Adataim letöltése),
Tiltakozni az adatkezelés ellen,
Hozzájárulásukat bármikor visszavonni.
Automatizált döntéshozatalt, ideértve a profilalkotást, nem végzünk.
A kérelmeket az alábbi e-mail címen lehet benyújtani:
tolvajdorci2@gmail.com
A Stúdió a kérelmekre a beérkezéstől számított 30 napon belül törvényi kötelezettségének megfelelően válaszol.
4. Sütik és böngészős tárolás
A rendszer harmadik féltől származó hirdetési vagy profilalkotó sütit nem használ. Az oldal alján két egyforma gomb közül lehet választani: Elfogadom vagy Elutasítom. A választás az eszközön marad, időponttal és verzióval. Új verzió esetén a kérdés újra megjelenik. A lábléc „Sütibeállítások” felirata ugyanerre a választásra visz, a visszavonás ugyanilyen egyszerű. Választás előtt a nem szükséges tárolás nem indul el. Elutasításkor a Stúdió törli a nem szükséges kulcsokat. A tájékoztató elolvasható a választás nélkül is.
Az éles, https oldal a belépés sütijeit biztonságos előtaggal írja. Ezek a kért szolgáltatáshoz elengedhetetlenek (Eht. 155. § (4), az ePrivacy irányelv 5. cikk (3) bekezdése). Fejlesztői, nem https címen az előtag nélküli nevek érvényesek: next-auth.session-token, next-auth.csrf-token, next-auth.callback-url. OAuth-süti (pkce, state, nonce) nincs használatban.
| Kulcs | Hol | Cél | Alap |
|---|---|---|---|
| __Secure-next-auth.session-token | süti, 7 nap | bejelentkezett munkamenet | elengedhetetlen, Eht. 155. § (4) |
| __Host-next-auth.csrf-token | süti | belépés közbeni kérés-hamisítás elleni védelem | elengedhetetlen, Eht. 155. § (4) |
| __Secure-next-auth.callback-url | süti | a belépés utáni visszalépés címe | elengedhetetlen, Eht. 155. § (4) |
| voleur.cookieConsent | localStorage | a sütiválasztás, annak időpontja és verziója | elengedhetetlen, a választás megjegyzése |
| voleur.push.optOut | localStorage | az oktató vagy admin ezen az eszközön kikapcsolta a pusht | elengedhetetlen, a visszavonás megjegyzése |
| booking_catalog_groups_v1 | localStorage | a nyilvános óratípus-csoportok gyorsítótára | csak az Elfogadom után; a foglalás enélkül is működik |
| voleur_app_review_dismissed | localStorage | az értékelőkártya elrejtése ezen az eszközön | csak az Elfogadom után |
| booking_catalog_services_v1_ és a felhasználó azonosítója | sessionStorage | az adott vendég szolgáltatáslistájának gyorsítótára a lap bezárásáig | csak az Elfogadom után; a kulcs azonosítót tartalmaz |
| admin_catalog_services, admin_catalog_rooms, admin_catalog_instructors | sessionStorage | a személyzeti katalógus gyorsítótára a lap bezárásáig | csak az Elfogadom után |
5. Az adatvédelmi nyilatkozat módosítása
A Stúdió fenntartja a jogot jelen adatvédelmi tájékoztató módosítására.
Minden lényeges változásról a rendszerünk e-mailben, vagy a foglalási weboldalon közzétett közleményben értesíti a felhasználókat.
6. Kapcsolat és felügyeleti hatóság
Adatvédelmi kérdések vagy panasz esetén:
tolvajdorci2@gmail.com
Felügyeleti hatóság:
Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
1055 Budapest, Falk Miksa utca 9–11.
https://www.naih.hu
7. Adatvédelmi incidens
Adatvédelmi incidensnél a Stúdió a GDPR 33. cikke szerint, ha az incidens kockázatot jelent, az incidensről való tudomásszerzéstől számított 72 órán belül bejelentést tesz a NAIH-nak. A GDPR 34. cikke szerint magas kockázatnál az érintetteket is értesíti. Az incidensekről nyilvántartást vezet.
8. Adatfeldolgozók és adattovábbítás harmadik országba
Az adatkezelő a következő adatfeldolgozókat veszi igénybe. Az adatfeldolgozó az adatkezelő utasítása szerint jár el, és az adatokat saját céljára nem használja. A felsorolás a rendszer forráskódjában és dokumentációjában ellenőrizhető szolgáltatókra, valamint azok nyilvános adatfeldolgozói dokumentumaira épül.
Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA): a foglalási rendszer tárhelye és üzemeltetése. Az adatok az Amerikai Egyesült Államokban is feldolgozásra kerülhetnek. Garancia: a Vercel nyilvános adatfeldolgozói szerződése (DPA, vercel.com/legal/dpa) az Európai Bizottság 2021/914 határozata szerinti általános szerződési feltételeket (SCC) alkalmazza, és a Vercel az EU–USA Data Privacy Framework (DPF) szerint tanúsított (vercel.com/legal/privacy-notice). Web: vercel.com. E-mail: privacy@vercel.com.
Prisma Data, Inc. (251 Little Falls Drive, Wilmington, Delaware 19808, USA; EU iroda: Prenzlauer Allee 193, 10405 Berlin; kapcsolat: dpo@prisma.io): adatbázis tárhely és üzemeltetés (Prisma Postgres). A tárolás az Európai Unióban lévő adatközpontban történik. A szerződő fél az Amerikai Egyesült Államokban bejegyzett társaság. Garancia: a nyilvános adatfeldolgozói szerződés (https://www.prisma.io/legal/dpa, PDF: https://www.prisma.io/legal/prisma-dpa.pdf) a továbbítást az Európai Bizottság 2021. évi általános szerződési feltételeire (2021 EU Standard Contractual Clauses), az Egyesült Királyság IDTA-jára, valamint az EU–USA, brit kiterjesztésű és svájci–USA Data Privacy Frameworkre alapítja. A Prisma Data, Inc. EU–USA Data Privacy Framework tanúsítása aktív (https://www.dataprivacyframework.gov/participant/4665). Alfeldolgozók: https://www.prisma.io/legal/security-and-compliance.
SendPulse Inc. (220 E 23rd St #401, New York, NY 10010, USA): a rendszerüzenetek (foglalás visszaigazolása, emlékeztető, várólista, óra lemondása) SMTP-kézbesítése. A szerződő fél a SendPulse Inc. A levelek tárolása elsősorban az Európai Unióban történik (Németország: Hetzner Online GmbH, Contabo GmbH, Velia.net GmbH, valamint AWS EU régió), a SendPulse adatfeldolgozói szerződése szerint (https://sendpulse.com/legal/processing). Az adatok az Amerikai Egyesült Államokba is kerülhetnek, például a Google LLC alfeldolgozón keresztül. Garancia: az Európai Bizottság 2021/914 határozata szerinti általános szerződési feltételek (SCC) a SendPulse DPA-jában. EU–USA Data Privacy Framework tanúsítást nem állítunk.
Böngészős értesítés (web push): a szerver a web-push programkönyvtárral, VAPID-aláírással küld a böngésző által adott feliratkozási végpontra. A push szolgáltatóhoz csak ez a végpont és a titkosított üzenet jut el; az üzenet szövegét a szolgáltató nem látja. A kód nem választ szolgáltatót: a végpont a böngészőtől függ (Chrome / Firebase Cloud Messaging, Firefox / Autopush, Microsoft Edge, telepített iOS PWA / Apple Push Notification service).
Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland): a Chrome Firebase Cloud Messaging szolgáltatása. Az Európai Gazdasági Térségben a Google általános adatvédelmi szabályzata a Google Ireland Limitedet nevezi meg adatkezelőnek (https://policies.google.com/privacy). Az USA-ba továbbításnál a Google LLC EU–USA Data Privacy Framework tanúsítása az irányadó (https://policies.google.com/privacy/frameworks, https://www.dataprivacyframework.gov/participant/5780), és ahol ez nem fedi a továbbítást, az Európai Bizottság általános szerződési feltételei (SCC). A Firebase Cloud Messagingre külön adatvédelmi tájékoztatót nem találtunk.
Mozilla Corporation (1875 Mission Street, Suite 103, San Francisco, CA 94103, USA): a Firefox Autopush szolgáltatása. A Mozilla az adatokat az Amerikai Egyesült Államokban kezeli. Garancia: az Európai Bizottság által jóváhagyott általános szerződési feltételek (SCC), a Firefox adatvédelmi tájékoztatója szerint (https://www.mozilla.org/en-US/privacy/firefox/). EU–USA Data Privacy Framework tanúsítást a Mozilla adatvédelmi oldalain nem találtunk. A cím a Mozilla adatvédelmi szabályzatának elérhetőségi blokkjából származik (https://www.mozilla.org/en-US/privacy/).
Apple Distribution International Limited (Hollyhill Industrial Estate, Hollyhill, Cork, Republic of Ireland): a telepített iOS alkalmazás Apple Push Notification service szolgáltatása. Az Európai Gazdasági Térségben ez a társaság az adatkezelő. Garancia: általános szerződési feltételek (SCC) az Apple adatvédelmi szabályzata szerint (https://www.apple.com/ie/legal/privacy/en-ww/). EU–USA Data Privacy Framework tanúsítást ebben a szabályzatban nem találtunk.
Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland): a Microsoft Edge Windows értesítési szolgáltatása (WNS), ha a feliratkozás végpontja ide mutat. Az Európai Gazdasági Térségben ez a társaság az adatkezelő (https://www.microsoft.com/en-us/privacy/privacystatement). Az USA-ba továbbításnál a Microsoft Corporation EU–USA Data Privacy Framework tanúsítása az irányadó (https://www.dataprivacyframework.gov/participant/6474), valamint az Európai Bizottság által jóváhagyott általános szerződési feltételek (SCC) a Microsoft adatvédelmi nyilatkozata szerint. A nyilatkozat a WNS-t külön nem nevezi meg.
A korábbi tájékoztató az archívumban olvasható.
Hatályba lépés dátuma: 2026. október 18. (verzió: v1.2)
Verziótörténet: - v1.1: Hatályos: 2026. április 2. – 2026. október 17. (adatfeldolgozói lista nélkül) - v1.2: Hatályos: 2026. október 18-tól. Adatfeldolgozók felsorolása: tárhely (Vercel), adatbázis (Prisma Postgres), e-mail (SendPulse), böngészős értesítés. Az egészségügyi adat kezeléséhez a vendég a megadással járul hozzá, és ezt a profilban visszavonhatja. Jogalap célonként, kétéves megőrzés, korhatár, adatvédelmi incidens, sütik és a hozzájárulás visszavonása.