1. Bevezető rendelkezések

1.1. Az adatkezelő megnevezése és elérhetőségei

Jelen adatkezelési tájékoztató kiadója és a személyes adatok kezeléséért felelős szervezet:

• Cégnév: Krekács Rex Bt.
• Székhely: 1162 Budapest, Mátyás Király u. 88.
• Cégjegyzékszám: 01 06 413293
• Adószám: 28571933-2-42
• E-mail cím: [email protected]
• Telefonszám: +36 30 263 7073
• Honlap: www.rexkave.hu

Az adatkezelő a személyes adatok kezelésével kapcsolatosan mindenben megfelel a jelen tájékoztatóban, továbbá az irányadó jogszabályokban foglaltaknak.

1.2. Az adatkezelési tájékoztató célja

Jelen adatkezelési tájékoztató célja, hogy a Krekács Rex Bt. mint adatkezelő részletes és átlátható tájékoztatást adjon:

• az adatkezelés jogalapjáról és céljáról,
• a kezelt adatok köréről,
• az adatkezelés időtartamáról,
• az adatfeldolgozók és adattovábbítások köréről,
• valamint az érintetteket megillető jogokról és jogorvoslati lehetőségekről.

Az adatkezelő e dokumentum révén biztosítja, hogy az érintettek jogai és szabadságai tiszteletben legyenek tartva, valamint a személyes adatok kezelése minden esetben a jogszabályi előírásokkal összhangban történjen.

1.3. Jogszabályi háttér

Az adatkezelő az adatkezelési tevékenysége során az alábbi jogszabályok rendelkezéseit alkalmazza:

• az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) az egyének védelméről a személyes adatok kezelése tekintetében, valamint az ilyen adatok szabad áramlásáról (általános adatvédelmi rendelet, GDPR),
• a 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.),
• a 2000. évi C. törvény a számvitelről (Számviteli tv.),
• a 2007. évi CXXVII. törvény az általános forgalmi adóról (Áfa tv.),
• az 1997. évi CLV. törvény a fogyasztóvédelemről (Fgytv.),
• a 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatásokról (Ekertv.),
• a 2008. évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről (Grt.),
• valamint minden további, az adatkezelésre vonatkozó hatályos magyar és európai uniós jogszabály.

1.4. Az adatkezelés hatálya

Jelen adatkezelési tájékoztató hatálya kiterjed minden olyan adatkezelésre, amelyet az adatkezelő:

• a www.rexkave.hu honlap és webshop működtetése során,
• a vásárlási és szállítási folyamatok lebonyolítása során,
• a számlázási és könyvelési kötelezettségek teljesítése érdekében,
• a marketing és hírlevélküldési tevékenység során,
• valamint a közösségi média és online hirdetési szolgáltatások (Meta, Google Ads, Google Analytics, Omnisend) alkalmazása keretében végez.

A tájékoztató vonatkozik továbbá minden olyan természetes személyre, aki:

• a webshop látogatója,
• a webshopban vásárló ügyfél,
• a hírlevélre feliratkozó,
• marketing és remarketing célú cookie-k elfogadása révén adatkezelés alá esik.

1.5. Az adatkezelő elkötelezettsége

Az adatkezelő elkötelezett a személyes adatok védelme iránt, és az alábbi alapelveket érvényesíti minden adatkezelés során:

• Jogszerűség, tisztességesség és átláthatóság: minden adatkezelés csak jogszerű alapon, tisztességesen, és az érintett számára átlátható módon történik.
• Célhoz kötöttség: a személyes adatok kizárólag előre meghatározott, egyértelmű és jogszerű célból kerülnek felhasználásra.
• Adattakarékosság: az adatkezelő kizárólag a cél eléréséhez szükséges mértékben kezel személyes adatokat.
• Pontosság: az adatkezelő minden észszerű intézkedést megtesz annak érdekében, hogy a kezelt adatok pontosak és naprakészek legyenek.
• Korlátozott tárolhatóság: a személyes adatokat csak a szükséges ideig kezeli, ezt követően törlésre kerülnek, kivéve, ha jogszabály hosszabb megőrzést ír elő.
• Integritás és bizalmas jelleg: az adatkezelő megfelelő technikai és szervezési intézkedéseket alkalmaz annak érdekében, hogy a személyes adatok biztonságát megvédje a jogosulatlan hozzáféréstől, megváltoztatástól, nyilvánosságra hozataltól, törléstől vagy megsemmisüléstől.

2. Adatkezelés alapelvei

Az adatkezelő a személyes adatok kezelése során az Európai Parlament és a Tanács (EU) 2016/679 rendeletének (GDPR) 5. cikkében meghatározott adatkezelési alapelveknek megfelelően jár el.

2.1. Jogszerűség, tisztességesség és átláthatóság

Az adatkezelő minden adatkezelési tevékenységet kizárólag olyan jogalap alapján végez, amely megfelel a GDPR 6. cikkében meghatározott feltételeknek (pl. érintetti hozzájárulás, szerződés teljesítése, jogi kötelezettség teljesítése, jogos érdek).

Az adatkezelés minden körülmények között tisztességes módon, az érintettek jogos érdekeinek tiszteletben tartásával történik.

Az adatkezelő biztosítja, hogy az érintettek teljes körű és közérthető tájékoztatást kapjanak személyes adataik kezeléséről, annak céljairól, jogalapjáról, időtartamáról, az adatok címzettjeiről, valamint a jogaik gyakorlásának módjáról.

2.2. Célhoz kötöttség

Az adatkezelő a személyes adatokat kizárólag meghatározott, egyértelmű és jogszerű célból gyűjti és kezeli.

Az adatokat nem kezeli a célokkal össze nem egyeztethető módon, kivéve, ha az érintett ehhez előzetesen hozzájárult, vagy azt a GDPR, illetve más jogszabály kifejezetten megengedi.

A célhoz kötöttség elve biztosítja, hogy az adatkezelő kizárólag olyan adatokat használjon fel, amelyek szükségesek a webshop működéséhez, a szerződések teljesítéséhez, a jogszabályokban előírt kötelezettségek teljesítéséhez, valamint az érintett hozzájárulásán alapuló marketing és kommunikációs tevékenységekhez.

2.3. Adattakarékosság

Az adatkezelő minden esetben csak olyan személyes adatot kezel, amely az adatkezelés céljának megvalósulásához feltétlenül szükséges.

Az adatkezelő törekszik arra, hogy a személyes adatok köre minimalizált legyen, elkerülve a felesleges adatgyűjtést.

Az adattakarékosság elvének megfelelően az adatkezelő informatikai rendszerei és folyamatai úgy kerülnek kialakításra, hogy azok lehetőség szerint csak a szükséges mértékű adatkezelést tegyék lehetővé.

2.4. Pontosság

Az adatkezelő minden észszerű intézkedést megtesz annak érdekében, hogy a kezelt személyes adatok pontosak és naprakészek legyenek.

Amennyiben az adatkezelő tudomására jut, hogy valamely kezelt személyes adat pontatlan vagy elavult, az adatot indokolatlan késedelem nélkül helyesbíti vagy törli.

Az érintett jogosult kérni a pontatlan személyes adatainak helyesbítését, illetve a hiányos adatok kiegészítését (GDPR 16. cikk).

2.5. Korlátozott tárolhatóság

Az adatkezelő a személyes adatokat az adatkezelési cél megvalósulásához szükséges ideig kezeli.

A tárolási idő lejártával az adatokat törli, anonimizálja, vagy archiválja, kivéve, ha jogszabály eltérő, kötelező megőrzési időt határoz meg (pl. számviteli és adójogi kötelezettségek esetén 8 év).

Az adatkezelő belső szabályzatok útján gondoskodik arról, hogy a szükségtelenül hosszú tárolás ne valósuljon meg, és a személyes adatok csak a szükséges ideig maradjanak rendszereiben.

2.6. Integritás és bizalmas jelleg

Az adatkezelő biztosítja a személyes adatok megfelelő biztonságát a jogosulatlan vagy jogellenes adatkezeléssel, véletlen elvesztéssel, megsemmisüléssel vagy károsodással szemben.

E célból az adatkezelő megfelelő technikai és szervezési intézkedéseket alkalmaz, különös tekintettel a következőkre:

• az adatátvitel titkosítása (SSL/TLS, HTTPS protokoll),
• az adatokhoz való hozzáférés jogosultsági szintekhez kötése,
• rendszeres biztonsági mentések,
• naplózás és ellenőrzés,
• adatfeldolgozók kötelezése megfelelő adatvédelmi garanciák biztosítására.

Az adatkezelő elvárja minden adatfeldolgozótól és szerződéses partnerétől, hogy a személyes adatok kezelése során ugyanezeket a biztonsági elveket alkalmazzák.

3. Cookie-k és online követés

3.1. A cookie fogalma

A cookie („süti") egy olyan kis méretű adatfájl, amelyet a honlap az érintett böngészőjére küld, és amelyet a böngésző az érintett eszközén eltárol.

A cookie-k célja többek között:

• a honlap zavartalan működésének biztosítása,
• a felhasználói élmény javítása,
• statisztikai adatok gyűjtése a látogatók viselkedéséről,
• marketing és remarketing célú személyre szabott hirdetések megjelenítése.

A cookie-k egy része nem tartalmaz személyes adatot, más részük azonban olyan egyedi azonosítót tárol, amely közvetve alkalmas lehet a felhasználó azonosítására.

3.2. A cookie-k típusai

Az adatkezelő honlapján az alábbi cookie-típusok kerülnek alkalmazásra:

• Munkamenet (session) cookie-k: ideiglenes sütik, amelyek a böngésző bezárásáig maradnak aktívak, céljuk a webshop működésének biztosítása.
• Funkcionális cookie-k: a felhasználó által megadott beállításokat (pl. nyelv, kosár tartalma) tárolják, ezzel kényelmesebbé téve a vásárlási folyamatot.
• Analitikai cookie-k: statisztikai adatokat gyűjtenek a látogatók weboldal-használatáról (pl. látogatott oldalak, időtartam).
• Marketing és remarketing cookie-k: lehetővé teszik, hogy az érintett érdeklődési körének megfelelő hirdetéseket jelenítsünk meg a Google, a Meta (Facebook, Instagram), a Barion Pixel és az Omnisend rendszerein keresztül.

3.3. A cookie-k jogalapja

A nem feltétlenül szükséges cookie-k alkalmazásának jogalapja az érintett hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

A szükséges cookie-k alkalmazása az adatkezelő jogos érdekén alapul (GDPR 6. cikk (1) bekezdés f) pont), mivel ezek nélkül a webshop alapvető funkciói nem lennének biztosíthatók.

3.4. Alkalmazott harmadik fél szolgáltatások és cookie-k

3.4.1. Google szolgáltatások

• Google Analytics: A Google elemző eszköze, amely statisztikai adatokat gyűjt a felhasználói viselkedésről. A Google Analytics anonim módon, IP-cím rövidítéssel működik (IP anonimizálás), az érintett személy azonosítására nem alkalmas.
• Google Ads: remarketing és konverziókövetés céljából használunk sütiket. Ezek lehetővé teszik, hogy az érintett olyan hirdetéseket kapjon, amelyek a korábbi böngészési és vásárlási szokásaihoz kapcsolódnak.

Az adattovábbítás az Egyesült Államokba is megtörténhet. A Google LLC az Európai Bizottság által jóváhagyott SCC (Standard Contractual Clauses) alapján biztosít megfelelő adatvédelmi garanciát.

3.4.2. Meta (Facebook, Instagram)

• Meta Pixel: segítségével követjük a felhasználók weboldalon végzett műveleteit (pl. vásárlás, kosárba helyezés), és ez alapján jelenítünk meg személyre szabott hirdetéseket a Meta platformjain.
• Az adattovábbítás során bizonyos személyes adatokat (pl. e-mail cím, telefonszám) hash-elt (titkosított) formában továbbítunk a Meta részére, kizárólag abban az esetben, ha a felhasználó a cookie-kezelési hozzájárulást elfogadta.

Az adattovábbítás az Egyesült Államokba is megtörténhet. A Meta Platforms Ireland Limited az Európai Bizottság által jóváhagyott SCC (Standard Contractual Clauses) alapján biztosít garanciát.

3.4.3. Omnisend

• Az Omnisend szolgáltatás a hírlevélküldést és az e-mail marketing automatizációt biztosítja.
• Az Omnisend cookie-k segítségével nyomon követhető, hogy a felhasználó hogyan reagál a hírlevelekre (megnyitás, kattintás), és a weboldalon végzett böngészési szokásai alapján személyre szabott marketing üzenetek küldhetők.

Az adattovábbítás az EU területén kívül is történhet, a szolgáltató SCC szerződések alkalmazásával biztosítja a GDPR-nak megfelelő adatkezelést.

3.4.4. Barion Pixel

• A webshopban online fizetés során a Barion Payment Zrt. által üzemeltetett Barion Pixel működik.
• A Barion Pixel segítségével a vásárlási és böngészési adatok alapján a Barion és partnerei célzott, személyre szabott hirdetéseket jeleníthetnek meg.
• Az adattovábbítás titkosított formában történik (hash-elt e-mail címek, titkosított tranzakciós adatok).
• A Barion kizárólag a GDPR által megengedett módon és célokra kezeli az adatokat, és a rendszer működése megfelel a pénzügyi szektorban elvárt biztonsági követelményeknek.

3.5. Hozzájárulás kezelése

A felhasználó a weboldalra való első belépéskor cookie-banner segítségével dönthet arról, hogy elfogadja-e a nem feltétlenül szükséges cookie-k használatát.

A hozzájárulás bármikor visszavonható a böngésző beállításain keresztül, illetve a honlapon elérhető cookie-kezelési beállítások segítségével.

3.6. A cookie-k élettartama

• Munkamenet cookie-k: a böngésző bezárásáig érvényesek.
• Funkcionális cookie-k: legfeljebb 1 évig tárolódnak.
• Analitikai cookie-k: általában 2 évig tárolódnak.
• Remarketing cookie-k (Google, Meta, Barion, Omnisend): legfeljebb 180 napig maradnak aktívak, kivéve, ha az érintett azokat korábban törli.

3.7. Tiltakozás és törlés lehetősége

Az érintett bármikor törölheti a cookie-kat a saját böngészőjében, valamint letilthatja azok jövőbeni használatát. A leggyakrabban használt böngészők vonatkozó beállításai az alábbi linkeken érhetők el:

• Chrome: https://support.google.com/chrome/answer/95647
• Firefox: https://support.mozilla.org/hu/kb/weboldalak-altal-elhelyezett-sutik-torlese-szamito
• Safari: https://support.apple.com/kb/ph21411
• Edge: https://support.microsoft.com/help/4027947

4. Webshop működéséhez szükséges adatkezelések

Az adatkezelő a webshop üzemeltetése és a vásárlások lebonyolítása során az alábbi adatkezelési tevékenységeket végzi.

4.1. Kapcsolatfelvétel

Az adatkezelés célja:
Az érintettek által kezdeményezett kapcsolatfelvétel kezelése (pl. e-mailben, telefonon, kapcsolatfelvételi űrlapon keresztül).

Kezelt adatok köre:

• név,
• e-mail cím,
• telefonszám,
• a megkeresésben szereplő egyéb személyes adatok.

Az adatkezelés jogalapja:
Az érintett hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

Az adatkezelés időtartama:
A kapcsolatfelvétel lezárultáig, de legfeljebb 90 napig.

4.2. Regisztráció a weboldalon

Az adatkezelés célja:
Felhasználói fiók létrehozása, amely a későbbi vásárlásokat megkönnyíti (pl. adatok újbóli megadása nélkül).

Kezelt adatok köre:

• név,
• lakcím,
• telefonszám,
• e-mail cím,
• a regisztráció időpontja,
• a megvásárolt termékek és szolgáltatások története.

Az adatkezelés jogalapja:
Az érintett hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

Az adatkezelés időtartama:
A hozzájárulás visszavonásáig, vagy a regisztráció törléséig.

4.3. Rendelés feldolgozása és teljesítése

Az adatkezelés célja:
A webshopon keresztül leadott rendelések feldolgozása, a vásárlások teljesítése.

Kezelt adatok köre:

• név,
• szállítási cím,
• számlázási cím,
• e-mail cím,
• telefonszám,
• a megrendelés azonosítója,
• a megrendelt termékek és azok jellemzői,
• a vásárlás időpontja.

Az adatkezelés jogalapja:
A szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont).

Az adatkezelés időtartama:
A polgári jogi elévülési idő lejártáig, amely 5 év.

4.4. Számlázás (Billingo)

Az adatkezelés célja:
A hatályos jogszabályoknak megfelelő számla kiállítása, valamint a számviteli kötelezettségek teljesítése.

Kezelt adatok köre:

• név,
• számlázási cím,
• e-mail cím,
• telefonszám,
• rendelés azonosító és tartalma.

Az adatkezelés jogalapja:
Jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pont, Áfa tv. 159. §, Számviteli tv. 169. §).

Az adatkezelés időtartama:
A kiállított számlák a számviteli törvény alapján 8 évig megőrzendők.

4.5. Szállítás

Az adatkezelés célja:
A megrendelt termék kiszállítása a vásárló részére.

Kezelt adatok köre:

• név,
• szállítási cím,
• e-mail cím,
• telefonszám.

Az adatkezelés jogalapja:
A szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont).

Az adatkezelés időtartama:
A kiszállítás teljesítéséig.

Adatfeldolgozók:

• DPD Hungária Kft.,
• FoxPost Zrt.,
• Magyar Posta Zrt.

A szállító cégek az adatokat kizárólag a kézbesítéshez szükséges mértékben használhatják fel.

4.6. Garanciális ügyintézés és fogyasztóvédelmi panaszok kezelése

Az adatkezelés célja:
A vásárlók által bejelentett garanciális és fogyasztóvédelmi panaszok kezelése, jogérvényesítés biztosítása.

Kezelt adatok köre:

• vásárló neve,
• e-mail cím,
• telefonszám,
• a panasz tartalma,
• a vásárlás azonosító adatai.

Az adatkezelés jogalapja:
Jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pont, Fgytv. 17/A. §).

Az adatkezelés időtartama:
A panaszok és garanciális ügyek dokumentációját a törvényben meghatározott módon 5 évig köteles az adatkezelő megőrizni.

4.7. Hozzájárulás igazolhatósága

Az adatkezelés célja:
Az érintetti hozzájárulások (pl. regisztráció, marketing hozzájárulás) bizonyíthatósága jogvita esetén.

Kezelt adatok köre:

• hozzájárulás időpontja,
• IP-cím,
• felhasználói azonosító.

Az adatkezelés jogalapja:
Jogi kötelezettség (GDPR 7. cikk (1) bekezdés).

Az adatkezelés időtartama:
Az adatkezelés megszűnését követő polgári jogi elévülési idő végéig (általában 5 év).

5. Marketing célú adatkezelések

Az adatkezelő marketingtevékenysége során a GDPR, az Infotv., valamint a gazdasági reklámtevékenységről szóló 2008. évi XLVIII. törvény (Grt.) rendelkezéseinek megfelelően jár el. A marketing célú adatkezelés minden esetben az érintett hozzájárulásán alapul, amelyet az érintett bármikor, indokolás nélkül visszavonhat.

5.1. Hírlevél- és SMS-küldés (Omnisend, BulkGate)

Az adatkezelés célja:
Az érintettek tájékoztatása új termékekről, akciókról, kedvezményekről, szakmai tartalmakról, illetve a webshop működésével kapcsolatos hírekről e-mail vagy SMS formájában.

Kezelt adatok köre:

• név,
• e-mail cím (hírlevélküldés esetén),
• telefonszám (SMS-küldés esetén),
• rendelési adatok (pl. vásárlás időpontja, termék jellege),
• hírlevélre vagy SMS-re adott reakciók (pl. megnyitás, kattintás, kézbesítés).

Az adatkezelés jogalapja:
Az érintett hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

Hozzájárulásnak minősül:

• ha az érintett a weboldalon kifejezetten feliratkozik a hírlevélre vagy az SMS-értesítésekre,
• vagy ha a webshopban rendelést ad le, és az adatkezelési tájékoztató elfogadásával hozzájárul a marketing üzenetek fogadásához (Grt. 6. § (1) bekezdés).

Az adatkezelés időtartama:
Az érintett hozzájárulásának visszavonásáig. Leiratkozásra minden hírlevélben és SMS-ben elhelyezett leiratkozási lehetőség segítségével bármikor mód van.

5.2. Remarketing és személyre szabott hirdetések (Google, Meta, Barion Pixel, Omnisend)

Az adatkezelés célja:
Személyre szabott reklámok megjelenítése az érintett számára a korábbi weboldal-látogatások, vásárlások és érdeklődési kör alapján.

Kezelt adatok köre:

• cookie-azonosítók,
• IP-cím (anonimizált formában),
• eszköz- és böngészőadatok,
• hash-elt (titkosított) formában továbbított személyes adatok: e-mail cím, telefonszám.

Az adatkezelés jogalapja:
Az érintett hozzájárulása a cookie-banner elfogadásával (GDPR 6. cikk (1) bekezdés a) pont).

Az adatkezelés időtartama:
A remarketing cookie-k általában legfeljebb 180 napig tárolódnak, kivéve, ha az érintett azok törléséről előbb gondoskodik.

Adatfeldolgozók és szolgáltatók:

• Google Ireland Ltd.
  • Székhely: Gordon House, Barrow Street, Dublin 4, Írország
  • Szolgáltatások: Google Ads, Google Analytics (remarketing és konverziókövetés)
• Meta Platforms Ireland Ltd.
  • Székhely: 4 Grand Canal Square, Dublin 2, Írország
  • Szolgáltatás: Meta Pixel (Facebook, Instagram hirdetések)
  • Hash-elt e-mail címek és telefonszámok továbbítása titkosított formában
• Barion Payment Zrt.
  • Székhely: 1117 Budapest, Infopark sétány 1. I. épület, Magyarország
  • Szolgáltatás: Barion Pixel – böngészési és vásárlási adatok alapján célzott hirdetések megjelenítése
  • Az adattovábbítás titkosított formában történik (hash-elt adatok)
• BulkGate
  • Székhely: B. Nemcové 767/13, Šumperk, 78701, Csehország
  • Szolgáltatás: SMS küldés, kétirányú SMS kommunikáció, értesítések, API integráció
  • Az adattovábbítás titkosított csatornákon keresztül történik; nemzetközi adattovábbítás is előfordulhat (SCC alkalmazásával).
• Omnisend, UAB
  • Szolgáltatás: e-mail alapú remarketing (pl. kosárelhagyási e-mailek)
  • Automatikus értesítések küldése a felhasználó korábbi aktivitása alapján

5.3. Profilalkotás

Az adatkezelő a marketing tevékenység részeként profilalkotást végez, amely során az érintett böngészési és vásárlási szokásai alapján személyre szabott ajánlatokat jelenít meg.

A profilalkotás célja:

• releváns, érdeklődéshez igazodó tartalmak megjelenítése,
• kedvezmények, akciók személyre szabott közlése,
• a vásárlói élmény növelése.

A profilalkotás jogalapja:
Az érintett hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

Az érintett jogosult tiltakozni a profilalkotás ellen, és kérheti, hogy adatait marketing célokra ne használják fel.

6. Adattovábbítások és adatfeldolgozók

Az adatkezelő a személyes adatok feldolgozása során igénybe vesz adatfeldolgozókat és bizonyos esetekben harmadik országba történő adattovábbítást is végez. Az adatfeldolgozók az adatokat kizárólag az adatkezelő megbízásából és utasításai szerint kezelhetik, önálló döntést az adatok felhasználásáról nem hozhatnak.

6.1. Tárhelyszolgáltató

6.2. Számlázási szolgáltató

6.3. Logisztikai partnerek (szállítás)

• DPD Hungária Kft. (1158 Budapest, Késmárk utca 14/B)
• FoxPost Zrt. (3200 Gyöngyös, Batsányi János utca 9.)
• Magyar Posta Zrt. (1138 Budapest, Dunavirág utca 2-6.)

Adatkezelés célja: a megrendelt termék kézbesítése.

Kezelt adatok köre: név, szállítási cím, telefonszám, e-mail cím.

Jogalap: szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont).

Megőrzési idő: a szállítás teljesítéséig.

6.4. Könyvelési szolgáltató

Az adatkezelő könyvelési szolgáltatót vesz igénybe a számviteli bizonylatok feldolgozására.

Adatkezelés célja: számviteli kötelezettségek teljesítése.

Kezelt adatok köre: név, számlázási adatok, rendelési adatok.

Jogalap: jogi kötelezettség (GDPR 6. cikk (1) bekezdés c) pont).

Megőrzési idő: a Számviteli törvény alapján 8 év.

6.5. Marketing és analitikai szolgáltatók

Google (Google Ireland Ltd. / Google LLC)

• Székhely: Gordon House, Barrow Street, Dublin 4, Írország
• Szolgáltatások: Google Ads, Google Analytics
• Adattovábbítás: az Egyesült Államokba is történhet, Standard Contractual Clauses (SCC) alapján.

Meta Platforms Ireland Ltd.

• Székhely: 4 Grand Canal Square, Dublin 2, Írország
• Szolgáltatások: Meta Pixel (Facebook, Instagram hirdetések)
• Adattovábbítás: hash-elt (titkosított) adatok továbbítása, az Egyesült Államokba is történhet SCC alapján.

Omnisend, UAB

• Székhely: Verkių g. 25C-1, Vilnius, LT-08223, Litvánia
• Szolgáltatás: e-mail marketing, hírlevélküldés, kosárelhagyási kampányok
• Adattovábbítás: EU-n kívülre is történhet, SCC alkalmazásával.

BulkGate

• Székhely: B. Nemcové 767/13, Šumperk, 78701, Csehország
• Szolgáltatás: SMS küldés, kétirányú SMS kommunikáció, értesítések, API integráció
• Adattovábbítás: Nemzetközi adattovábbítás is történhet, az alkalmazandó szerződéses garanciák (pl. SCC) mellett.

Barion Payment Zrt.

• Székhely: 1117 Budapest, Infopark sétány 1. I. épület
• Szolgáltatás: Barion Pixel – online fizetéshez és remarketinghez kapcsolódó adatok kezelése
• Adattovábbítás: hash-elt e-mail címek, tranzakciós adatok titkosított formában kerülnek továbbításra.

6.6. Hatósági adattovábbítások

Az adatkezelő kizárólag törvényi felhatalmazás alapján, a hatóság írásbeli megkeresése esetén ad át személyes adatokat (pl. adóhatóság, bíróság, rendőrség).

Az adattovábbítás minden esetben az Infotv. 15. § (2)–(3) bekezdése szerint nyilvántartásra kerül.

6.7. Harmadik országba irányuló adattovábbítás

Az adatkezelő bizonyos esetekben (Google, Meta, Omnisend) személyes adatokat továbbít az Európai Unión kívüli országokba is.

Az adattovábbítás jogalapja az Európai Bizottság által jóváhagyott Standard Contractual Clauses (SCC), amelyek biztosítják a GDPR szerinti védelmi szintet.

7. Az érintettek jogai

Az érintetteket a személyes adataik kezelése során a GDPR és az Infotv. rendelkezései szerint az alábbi jogok illetik meg.

Az adatkezelő biztosítja, hogy a joggyakorlás díjmentesen, indokolatlan késedelem nélkül, de legkésőbb 30 napon belül megtörténjen (GDPR 12. cikk (3) bekezdés).

7.1. A hozzájárulás visszavonásának joga (GDPR 7. cikk (3) bekezdés)

Az érintett bármikor jogosult a személyes adatai kezeléséhez adott hozzájárulását visszavonni.

• A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.
• A visszavonás következményeként bizonyos szolgáltatások (pl. hírlevél, személyre szabott ajánlatok) nem lesznek elérhetők.
• A jogi kötelezettségen alapuló adatkezelések (pl. számlázás) esetén a hozzájárulás visszavonása nem eredményezi az adatok törlését.

7.2. Hozzáféréshez való jog (GDPR 15. cikk)

Az érintett jogosult arra, hogy visszajelzést kapjon arról, kezeljük-e a rá vonatkozó személyes adatokat, és amennyiben igen, jogosult az alábbi információkhoz hozzáférni:

• az adatkezelés céljai,
• a kezelt adatok köre,
• az adattovábbítás címzettjei,
• az adatkezelés időtartama,
• az érintett jogai és jogorvoslati lehetőségei,
• az adatok forrása (ha nem az érintettől gyűjtöttük),
• az esetleges automatizált döntéshozatal és profilalkotás ténye.

Az adatkezelő az érintett kérésére másolatot biztosít a kezelt adatokról. A további másolatokért adminisztratív költségtérítés számítható fel.

7.3. Helyesbítéshez való jog (GDPR 16. cikk)

Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a pontatlan személyes adatokat, illetve kiegészítse a hiányos adatokat.

7.4. Törléshez való jog („elfeledtetéshez való jog") (GDPR 17. cikk)

Az érintett jogosult arra, hogy az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha az alábbi okok valamelyike fennáll:

• a személyes adatokra már nincs szükség abból a célból, amelyből gyűjtöttük,
• az érintett visszavonta a hozzájárulást, és nincs más jogalap,
• az érintett tiltakozik a jogos érdeken alapuló adatkezelés ellen, és nincs elsőbbséget élvező ok,
• a személyes adatokat jogellenesen kezeltük,
• a törlést jogszabály írja elő.

Nem alkalmazható a törléshez való jog, ha az adatkezelés szükséges:

• jogi kötelezettség teljesítéséhez (pl. számlák megőrzése),
• jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez.

7.5. Az adatkezelés korlátozásához való jog (GDPR 18. cikk)

Az érintett kérheti a személyes adatok kezelésének korlátozását, ha:

• vitatja az adatok pontosságát (a helyesbítésig),
• az adatkezelés jogellenes, de nem kéri a törlést,
• az adatkezelőnek már nincs szüksége az adatokra, de az érintett jogi igény érvényesítéséhez még igen,
• az érintett tiltakozott az adatkezelés ellen, amíg el nem dől, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e.

A korlátozás ideje alatt a személyes adatok – a tároláson kívül – csak az érintett hozzájárulásával vagy jogi igényekhez használhatók fel.

7.6. Tiltakozáshoz való jog (GDPR 21. cikk)

Az érintett jogosult arra, hogy saját helyzetével összefüggő okokból bármikor tiltakozzon személyes adatai kezelése ellen, ha az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés f) pontja (jogos érdek).

Amennyiben a tiltakozás marketing célú adatkezelés ellen irányul (pl. hírlevél, remarketing, profilalkotás), az adatokat a továbbiakban e célból nem kezelhetjük.

7.7. Adathordozhatósághoz való jog (GDPR 20. cikk)

Az érintett jogosult arra, hogy a rá vonatkozó, általa az adatkezelő részére megadott személyes adatokat strukturált, széles körben használt, géppel olvasható formátumban (pl. XML, JSON, CSV) megkapja, valamint arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa.

Az adathordozhatóság joga kizárólag az érintett hozzájárulásán vagy szerződés teljesítésén alapuló adatkezelés esetén illeti meg.

7.8. Automatizált döntéshozatal és profilalkotás alóli mentesülés (GDPR 22. cikk)

Az érintett jogosult arra, hogy ne terjedjen ki rá olyan döntés hatálya, amely kizárólag automatizált adatkezelésen alapul, beleértve a profilalkotást, és amely joghatással járna vagy hasonlóan jelentős mértékben érintené.

Az adatkezelő marketingtevékenysége (pl. Meta, Google, Omnisend, Barion Pixel) során profilalkotást végez, azonban:

• ez nem minősül joghatással járó automatizált döntéshozatalnak,
• kizárólag marketing és hirdetési célból történik,
• az érintett bármikor tiltakozhat ellene.

7.9. Panaszjog és jogorvoslati lehetőségek

Az érintett jogosult panasszal élni a felügyeleti hatóságnál:

Az érintett továbbá bírósághoz is fordulhat, és polgári pert indíthat az adatkezelővel szemben a személyes adatai jogellenes kezelése esetén.

8. Automatizált döntéshozatal és profilalkotás

8.1. Általános rendelkezések

Az adatkezelő a személyes adatok kezelése során nem alkalmaz olyan automatizált döntéshozatalt, amely kizárólag gépi feldolgozás alapján, emberi közreműködés nélkül joghatással járna az érintett számára, vagy az érintettet hasonlóan jelentős mértékben érintené (GDPR 22. cikk (1) bekezdés).

Az adatkezelő ugyanakkor profilalkotást végez marketing és üzleti döntések támogatása érdekében, amelynek célja a szolgáltatások javítása és a vásárlói élmény fokozása.

8.2. A profilalkotás fogalma

Profilalkotásnak minősül minden olyan, személyes adatok automatizált kezelésén alapuló tevékenység, amelynek célja az érintett bizonyos személyes tulajdonságainak (pl. érdeklődés, vásárlási szokás, preferenciák) értékelése vagy előrejelzése.

A profilalkotás során az adatkezelő az érintettek online viselkedésére vonatkozó adatokat elemzi és értékeli.

8.3. Profilalkotás célja

Az adatkezelő profilalkotást az alábbi célokból végez:

• személyre szabott reklámok és ajánlatok megjelenítése,
• remarketing kampányok működtetése (Meta, Google, Barion Pixel, Omnisend),
• kosárelhagyási értesítők küldése,
• ügyfélélmény javítása és hirdetési költségek optimalizálása.

8.4. Felhasznált adatok köre

Profilalkotás során az adatkezelő és partnerei az alábbi adatokat dolgozzák fel:

• cookie-azonosítók,
• IP-cím (anonimizált formában),
• eszköz- és böngészőinformációk,
• böngészési előzmények (pl. megtekintett termékek, oldalak),
• vásárlási adatok (pl. megvásárolt termékek, rendelési gyakoriság),
• hash-elt (titkosított) formában továbbított e-mail cím és telefonszám.

8.5. Automatizált döntések jellege és korlátai

Az adatkezelő által végzett profilalkotás:

• nem jár joghatással az érintettre nézve,
• nem befolyásolja az érintett szerződéses jogait,
• kizárólag marketing és reklámcélokat szolgál,
• célja, hogy az érintett a számára releváns tartalmakat, kedvezményeket és hirdetéseket kapja.

Az adatkezelő nem hoz kizárólag automatizált döntéseket például hitelbírálat, szerződéskötés, jogosultság-megállapítás vagy hasonló jelentős ügyek kapcsán.

8.6. Az érintett jogai profilalkotással kapcsolatban

Az érintett jogosult arra, hogy:

• bármikor tiltakozzon a profilalkotás ellen (GDPR 21. cikk),
• kérje, hogy személyes adatait ne használják fel marketing célú profilalkotásra,
• hozzáférést kérjen a profilalkotás során felhasznált személyes adataihoz,
• emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.

A tiltakozás gyakorlása esetén az érintett adatait az adatkezelő a továbbiakban nem használja fel marketing célú profilalkotásra.

8.7. Adattovábbítás harmadik felek részére

A profilalkotás során gyűjtött adatokat az alábbi partnerek részére továbbítjuk:

• Google Ireland Ltd. (Google Ads, Google Analytics remarketing)
• Meta Platforms Ireland Ltd. (Meta Pixel, Facebook és Instagram hirdetések)
• Barion Payment Zrt. (Barion Pixel, vásárlási adatok alapján célzott hirdetések)
• Omnisend, UAB (e-mail remarketing, kosárelhagyási kampányok)

Az adattovábbítás minden esetben titkosítással (hash-elés) történik, és a szolgáltatók a GDPR által előírt garanciák mellett kezelik az adatokat.

9. Adatbiztonsági intézkedések

Az adatkezelő a személyes adatok biztonságát kiemelten fontosnak tartja, és ennek érdekében megfelelő technikai és szervezési intézkedéseket hozott annak érdekében, hogy a személyes adatokat megvédje:

• a jogosulatlan hozzáféréstől,
• a megváltoztatástól,
• a nyilvánosságra hozataltól,
• a törléstől vagy megsemmisítéstől,
• valamint a véletlen megsemmisüléstől, sérüléstől és a technikai hozzáférhetetlenségtől.

Az adatkezelő az alábbi biztonsági elveket érvényesíti a GDPR 32. cikkével összhangban:

9.1. Technikai intézkedések

• Adatátvitel titkosítása: a honlap és webshop minden kommunikációja SSL/TLS protokollon keresztül, titkosított HTTPS kapcsolattal történik.
• Hash-elés és titkosítás: a Meta, Google, Barion és Omnisend rendszerekbe továbbított személyes adatok (pl. e-mail cím, telefonszám) hash-elt, titkosított formában kerülnek továbbításra.
• Hozzáférésvédelem: a személyes adatokhoz csak azok a munkavállalók és adatfeldolgozók férhetnek hozzá, akiknek a munkakörükből fakadóan szükségük van rá.
• Szerverbiztonság: a weboldalt és adatbázisokat üzemeltető szerverek fizikai és hálózati biztonsági védelemmel rendelkeznek (tűzfal, behatolás-észlelő rendszerek, folyamatos monitorozás).
• Mentések: az adatbázisokról rendszeres biztonsági mentés készül, amely külön szerveren kerül tárolásra, korlátozott hozzáféréssel.
• Adatminimalizálás: az adatbázisban csak a szükséges adatok kerülnek tárolásra, felesleges vagy elavult adatok törlésre, anonimizálásra kerülnek.

9.2. Szervezési intézkedések

• Adatvédelmi tudatosság: az adatkezelő munkatársai rendszeres adatvédelmi és biztonsági oktatásban részesülnek.
• Hozzáférés-kezelés: a felhasználói fiókokhoz kapcsolódó jogosultságokat szigorúan szabályozzuk, minden hozzáférés naplózásra kerül.
• Adatfeldolgozói szerződések: minden adatfeldolgozóval (pl. Billingo, Tárhelypark, Omnisend, szállítócégek, könyvelő, Barion, Meta, Google) szerződés biztosítja, hogy a GDPR-nak megfelelően kezeljék a személyes adatokat.
• Incidenskezelés: az adatkezelő rendelkezik eljárással az adatvédelmi incidensek felismerésére, kezelésére és a NAIH felé történő bejelentésére a GDPR 33–34. cikke alapján.

9.3. Harmadik fél szolgáltatók biztonsági garanciái

• Google és Meta: az adattovábbítás titkosított formában történik, az adattárolás a GDPR-nak megfelelő Standard Contractual Clauses (SCC) alapján biztosított.
• Omnisend: a szolgáltatás adatközpontjai az Európai Unió területén találhatók, EU-n kívüli adattovábbítás esetén SCC biztosítja a megfelelő védelmet.
• Barion: pénzforgalmi szolgáltatóként a Barion Payment Zrt. az MNB felügyelete alatt áll, rendszere megfelel a pénzügyi szektor legszigorúbb biztonsági követelményeinek (PCI DSS tanúsítvány).
• Billingo és Tárhelypark: a magyar adatvédelmi előírásoknak megfelelően működnek, garantálják a személyes adatok biztonságát.

9.4. Adatbiztonsági célkitűzések

Az adatkezelő minden esetben arra törekszik, hogy:

• az adatokhoz kizárólag az arra jogosult személyek férhessenek hozzá,
• az adatok megőrzése biztonságos környezetben történjen,
• az érintettek személyes adataihoz illetéktelen harmadik személyek ne férhessenek hozzá,
• adatvédelmi incidens bekövetkezése esetén azonnali intézkedés történjen, és szükség esetén értesítést kapjon az érintett és a felügyeleti hatóság.

10. Jogorvoslati lehetőségek

Az érintettek a személyes adataik kezelése során felmerülő bármilyen panasz, észrevétel vagy kifogás esetén jogosultak közvetlenül az adatkezelőhöz, valamint a felügyeleti hatósághoz vagy bírósághoz fordulni.

10.1. Panasztétel az adatkezelőnél

Az érintett elsődlegesen közvetlenül az adatkezelőhöz fordulhat az adatkezeléssel kapcsolatos kérdéseivel vagy panaszaival.

Az adatkezelő a beérkezett panaszokra indokolatlan késedelem nélkül, de legkésőbb 30 napon belül érdemi választ ad.

10.2. Panasz benyújtása a felügyeleti hatóságnál

Amennyiben az érintett úgy ítéli meg, hogy a személyes adatai kezelése megsérti a GDPR rendelkezéseit, jogosult panasszal élni a felügyeleti hatóságnál.

Az érintett bármely más, lakóhelye vagy tartózkodási helye szerinti uniós tagállam felügyeleti hatóságához is jogosult panaszt benyújtani.

10.3. Bírósági jogorvoslat

Az érintett jogosult arra is, hogy a lakóhelye, tartózkodási helye, vagy az adatkezelő székhelye szerint illetékes törvényszék előtt bírósági eljárást kezdeményezzen, ha megítélése szerint személyes adatainak kezelése sérti a GDPR-t vagy más jogszabályi rendelkezést.

A bírósági eljárás peres eljárás keretében zajlik, amelynek során az érintett mentesül az illetékfizetési kötelezettség alól.

10.4. Kártérítési és sérelemdíj igény

Amennyiben az adatkezelő vagy adatfeldolgozó jogellenes adatkezelése következtében az érintett vagyoni vagy nem vagyoni kárt szenvedett, jogosult kártérítést és sérelemdíjat követelni a GDPR 82. cikke alapján.

11. Adatkezelési tájékoztató módosítása

11.1.

Az adatkezelő fenntartja a jogot arra, hogy jelen adatkezelési tájékoztatót bármikor, egyoldalúan módosítsa, amennyiben:

• az adatkezelés körében, céljában, jogalapjában vagy módjában változás következik be,
• új adatkezelési tevékenység kezdődik,
• változás történik a vonatkozó jogszabályi környezetben,
• hatósági vagy bírósági döntés ezt szükségessé teszi,
• technológiai, informatikai vagy biztonsági változás indokolja a módosítást.

11.2. A módosítás formája

Az adatkezelési tájékoztató mindenkori hatályos változata a honlapon elérhető és letölthető.

A módosítás hatálybalépésének időpontját az adatkezelő minden esetben egyértelműen feltünteti a dokumentum elején („Hatálybalépés dátuma").

11.3. Az érintettek tájékoztatása a módosításról

• Az érintettek a honlap első használatakor a módosítás hatálybalépését követően figyelmeztetést kapnak a változásról (pl. felugró ablak, tájékoztató szöveg).
• Amennyiben a módosítás az érintett hozzájárulásán alapuló adatkezelést érinti (pl. marketing, cookie-k), az adatkezelő ismételten kéri az érintett hozzájárulását.
• Lényeges változás esetén (pl. új adatkezelési cél bevezetése, új adatfeldolgozó bevonása) az érintettek e-mailben is értesítést kaphatnak, amennyiben regisztrált felhasználók vagy hírlevél-feliratkozók.

11.4. Az érintettek jogai módosítás esetén

Az adatkezelési tájékoztató módosítása nem érinti az érintettek jogait.

Az érintettek a módosítást követően is jogosultak minden, a GDPR-ban és jelen tájékoztatóban rögzített jogukat gyakorolni (hozzáférés, helyesbítés, törlés, tiltakozás, hordozhatóság, hozzájárulás visszavonása).

11.5. A módosítás időpontja és hatálya

A módosított adatkezelési tájékoztató a honlapon való közzététellel lép hatályba.

A közzététel időpontjától kezdve a webshop és az adatkezelő szolgáltatásainak használata a módosított tájékoztató elfogadását jelenti.