Adatkezelési tájékoztató - Shopilo Magyarország

1. Az adatkezelő

A shopilo.hu weboldalon végzett adatkezelés tekintetében a GDPR 4. cikk 7. pontja szerinti adatkezelő:

1.1 Adatvédelmi tisztviselő

Értékelésünk szerint a GDPR 37. cikke szerinti adatvédelmi tisztviselő kijelölése társaságunk számára jelenleg nem kötelező. Minden adatvédelmi kérdésben a [email protected] címen fordulhatsz hozzánk.

1.2 Amit nem gyűjtünk

A Shopilo mobilalkalmazás ezen felül egyáltalán nem gyűjt mobil hirdetési azonosítókat (Apple IDFA / Google Advertising ID), és nem tartalmaz beépített hirdetési SDK-kat vagy harmadik féltől származó analitikai SDK-kat. A Google Analytics 4 és a Meta Pixel kizárólag a weboldalon működik, az alkalmazásban nem.

2. Milyen adatokat kezelünk és miért?

Az alábbi táblázat áttekintést ad a shopilo.hu weboldalon végzett valamennyi adatkezelési tevékenységről:

2.1 Jogos érdek (GDPR 6. cikk (1) bekezdés f) pont)

A jogos érdeket jogalapként csak szűk körben alkalmazzuk: a szolgáltatás biztonságának szavatolásához és a visszaélések elleni védekezéshez szükséges szervernaplók kezelésére (Cloudflare, Hetzner), valamint a bejelentkezési és kapcsolatfelvételi űrlapok automatizált visszaélésekkel (botokkal) szembeni védelmére a Cloudflare Turnstile segítségével (kezelt adatok: IP-cím és a böngésző technikai jellemzői). Az érdekmérlegelés során figyelembe vettük, hogy a naplóadatokat rövid ideig őrizzük, és azokat harmadik feleknek saját céljaikra nem adjuk át. Felhívjuk figyelmedet, hogy a végberendezéseden történő adattárolás (sütik) esetében jogos érdekre nem alapozunk: a feltétlenül szükséges sütiket az Eht. 155. § (5) bekezdése szerinti kivétel alapján alkalmazzuk, minden más süti a hozzájárulásodat igényli (Eht. 155. § (4) bekezdés, lásd az 5. pontot).

2.2 Árfigyelő és hírlevél — kétlépcsős megerősítés (double opt-in)

Az árfigyelők a GDPR 6. cikk (1) bekezdés a) pontja szerinti kifejezett hozzájárulásodat igénylik, amelyet kétlépcsős megerősítési eljárással (double opt-in) kérünk. A feliratkozás után küldött megerősítő e-mail kizárólag a hozzájárulás megerősítésére szolgál, és nem tartalmaz reklámot. Ha a jövőben hírlevelet indítunk, arra ugyanez az eljárás vonatkozik.

A reklámot tartalmazó elektronikus üzenetek (hírlevél, a követett üzletek ajánlatairól szóló e-mailek, ajánlatokat népszerűsítő árértesítők) a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény (Grt.) 6. § (1) bekezdése szerint csak előzetes, egyértelmű és kifejezett hozzájárulásod alapján küldhetők. Ennek megfelelően:

• a hozzájárulást adó személyek adatairól nyilvántartást vezetünk (Grt. 6. § (5) bekezdés), amely a hozzájárulás megadásának idejét és módját, valamint a megerősítés adatait is tartalmazza;
• hozzájárulásodat bármikor, ingyenesen és indokolás nélkül visszavonhatod: az egyes e-mailekben található leiratkozási linkkel, a fiókbeállításokban, e-mailben a [email protected] címen, vagy postai úton a DontPayFull SRL, Str. Zece Mese nr. 9, Ap. 1, 024061 Bukarest, Románia címen (Grt. 6. § (3) és (6) bekezdés);
• a visszavonást követően adataidat haladéktalanul töröljük a nyilvántartásból, és további reklámüzenetet nem küldünk;
• az e-mailes közvetlen üzletszerzés jogalapjaként a jogos érdeket kifejezetten kizárjuk.

Az elektronikus reklámra vonatkozó szabályok megsértése esetén a Nemzeti Média- és Hírközlési Hatóság (NMHH) jár el (Grt. 24. § (4) bekezdés); a személyes adatok kezelésével kapcsolatos panaszokat a 8. pontban megjelölt adatvédelmi felügyeleti hatóságokhoz nyújthatod be.

2.3 Kiskorúak

A Shopilo.hu nem gyermekeknek szól. A GDPR 8. cikk (1) bekezdése alapján — amelytől a magyar jog nem tér el — az információs társadalommal összefüggő szolgáltatások vonatkozásában a gyermek a 16. életévének betöltésétől adhat maga érvényes hozzájárulást; 16 év alatti gyermek esetén a hozzájárulást a szülői felügyeletet gyakorló személy adja meg vagy engedélyezi. Tudatosan nem gyűjtünk személyes adatokat 16 év alatti személyektől. Ha tudomásunkra jut, hogy ilyen adatokat gyűjtöttünk, azokat haladéktalanul töröljük.

Shopilo mobilalkalmazás — kiegészítő adatkezelés

A fentiekben ismertetett adatkezelésen túl a Shopilo mobilalkalmazás (iOS és Android) használatára a következők vonatkoznak. Az alkalmazásba jelszó nélkül lehet bejelentkezni: e-mail-címedre egyszer használatos kódot vagy bejelentkezési linket küldünk. Felhasználói fiókod, a követett üzletek és a hírlevél-beállításaid ugyanazok a felhasználói fiókadatok, mint a weboldalon (lásd fent a D. adatkategóriát).

Az alkalmazásban a jogos érdek (GDPR 6. cikk (1) bekezdés f) pont) alapján végzett adatkezelés a következőkre terjed ki: az állandó alkalmazástelepítési azonosítóra, amelyet a vendég-munkamenetek biztosítására és az interfész (API) biztonságos használatára alkalmazunk; a készülék integritásának ellenőrzésére az Apple App Attest és a Google Play Integrity szolgáltatások segítségével, szolgáltatásaink visszaélésekkel és automatizált támadásokkal szembeni védelme érdekében; valamint az összeomlás- és hibadiagnosztikára, amely az alkalmazás stabil működését szolgálja. Az összeomlás-diagnosztikai adatokat kizárólag saját üzemeltetésű hibakövető infrastruktúránkban kezeljük (Sentry, amelyet a DontPayFull SRL az ellenőrzése alatt álló szervereken üzemeltet). Ezen adatok egyikét sem használjuk reklámcélra vagy profilalkotásra.

3. Adatfeldolgozók és címzettek

A GDPR 28. cikke szerinti alábbi adatfeldolgozókat vesszük igénybe. Valamennyi adatfeldolgozóval adatfeldolgozási szerződést (DPA) kötöttünk:

Más harmadik felek csak akkor kapják meg személyes adataidat, ha azt jogszabály írja elő (pl. bűnüldöző hatóságok jogerős határozaton alapuló megkeresésére), vagy ha ehhez kifejezetten hozzájárultál.

Shopilo mobilalkalmazás — további címzettek

Ha a Shopilo mobilalkalmazásban bekapcsolod a push-értesítéseket, a push token az Expo Push Service szolgáltatáson (650 Industries, Inc., USA) keresztül jön létre, az értesítéseket pedig a készülékplatformod értesítési szolgáltatása kézbesíti — iOS-en az Apple Push Notification service (Apple Inc.), Androidon a Firebase Cloud Messaging (Google LLC). A push token technikai útválasztási azonosító; nem használjuk reklámcélra vagy alkalmazások közötti követésre. Interfészünk (API) visszaélésekkel szembeni védelme érdekében az alkalmazás az Apple App Attest szolgáltatással (iOS) és a Google Play Integrity API-val (Android) ellenőrzi a készülék és az alkalmazástelepítés integritását; az ellenőrzés során az Apple vagy a Google technikai ellenőrzési kérést kap a készülékedről. Az alkalmazás emellett rendszeresen ellenőrzi az alkalmazásfrissítések elérhetőségét az Expo EAS Update szolgáltatásán keresztül, ami technikailag IP-címed továbbításával jár az Expo szervereire.

4. Nemzetközi adattovábbítás

Egyes adatfeldolgozóink az Európai Gazdasági Térségen (EGT) kívül találhatók. Az ilyen, harmadik országba irányuló adattovábbítások esetén a GDPR 44. és azt követő cikkei által megkövetelt védelmi szintet a következőképpen biztosítjuk:

4.1 Google LLC és Meta Platforms Inc. — EU-US Data Privacy Framework

A Google LLC és a Meta Platforms Inc. az EU-US Data Privacy Framework (DPF) keretrendszer szerinti tanúsítvánnyal rendelkezik, amelynek megfelelőségét az Európai Bizottság a 2023. július 10-i C(2023) 4745 megfelelőségi határozatában elismerte. Az Egyesült Államokba történő adattovábbítás ezért a GDPR 45. cikke alapján megengedett. Az érvényes tanúsítványok a dataprivacyframework.gov oldalon ellenőrizhetők.

4.2 Google Analytics 4 — kiegészítő technikai garanciák

4.3 Cloudflare Inc. (beleértve a Turnstile-t) — DPF és általános adatvédelmi kikötések

A Cloudflare szintén rendelkezik EU-US DPF tanúsítvánnyal. Ezen felül a GDPR 46. cikk (2) bekezdés c) pontja szerinti általános adatvédelmi kikötéseket (SCC) is alkalmazunk. Ez a CDN- és biztonsági szolgáltatásokra, valamint a Cloudflare Turnstile botvédelemre egyaránt vonatkozik. Az adatkezelés túlnyomó része az EGT-n belüli európai Points of Presence (PoP) pontokon keresztül történik.

4.4 Hetzner Online GmbH és CookieScript — EU-n belüli adatkezelés

A Hetzner Online GmbH (Németország) és a CookieScript (EU) kizárólag az EGT területén kezeli az adatokat. Ezen adatfeldolgozók esetében harmadik országba irányuló adattovábbításra vonatkozó külön garanciákra nincs szükség.

Apple Inc. és 650 Industries, Inc. (Expo) — mobilalkalmazás

A Shopilo mobilalkalmazás tekintetében az Apple Inc. (Apple Push Notification service, App Attest) és a Google LLC (Firebase Cloud Messaging, Play Integrity) az EU-US Data Privacy Framework (DPF) szerinti tanúsítvánnyal rendelkezik; az Egyesült Államokba történő adattovábbítás ezért a GDPR 45. cikke alapján megengedett. A 650 Industries, Inc. („Expo”, USA) a push tokeneket és az alkalmazásfrissítési kéréseket kezeli; ezeket az adattovábbításokat a GDPR 46. cikk (2) bekezdés c) pontja szerinti, az Expo adatfeldolgozási szerződésének részét képező általános adatvédelmi kikötések (SCC) védik.

5. Sütik (cookie-k) és követés

A Shopilo mobilalkalmazás maga nem helyez el sütiket, és nem tartalmaz beépített, harmadik féltől származó követő-, hirdetési vagy analitikai SDK-kat. Ez a pont kizárólag a weboldalra vonatkozik.

5.1 A hozzájárulások kezelése a CookieScripttel

Amikor először látogatsz el a shopilo.hu oldalra, megjelenik a CookieScript süti-tájékoztató sávja (cookie-banner). Itt az egyes sütikategóriákhoz külön-külön hozzájárulhatsz, vagy elutasíthatod azokat. Döntésedet rögzítjük, és azt a láblécben található süti-beállítások linken keresztül bármikor visszavonhatod vagy módosíthatod. A visszavonás nem érinti a korábban, hozzájárulás alapján végzett adatkezelés jogszerűségét.

5.2 Sütikategóriák

Feltétlenül szükséges sütik (hozzájárulás nem szükséges, Eht. 155. § (5) bekezdése szerinti kivétel): Ezek a sütik a szolgáltatás működéséhez elengedhetetlenek, például a hozzájárulási döntéseid tárolásához (CookieScript süti), vagy az alapvető biztonsági funkciók biztosításához (Cloudflare, beleértve a bejelentkezési és kapcsolatfelvételi űrlapokat védő Cloudflare Turnstile-t).

Analitikai sütik (hozzájárulás az Eht. 155. § (4) bekezdése és a GDPR 6. cikk (1) bekezdés a) pontja szerint): Google Analytics 4 — kizárólag akkor aktív, ha ehhez hozzájárultál.

Marketingsütik (hozzájárulás az Eht. 155. § (4) bekezdése és a GDPR 6. cikk (1) bekezdés a) pontja szerint): Meta Pixel — kizárólag akkor aktív, ha ehhez kifejezetten hozzájárultál.

5.3 Affiliate sütik

A Shopilo.hu maga nem helyez el affiliate követő sütiket. Ha egy kereskedő linkjére kattintasz, és átlépsz a kereskedő weboldalára, a kereskedő vagy az érintett affiliate hálózat saját domainjein sütiket helyezhet el. Ezekre kizárólag az adott kereskedő vagy hálózat adatvédelmi szabályai vonatkoznak, nem pedig ez az adatkezelési tájékoztató.

5.4 A Google Analytics 4 letiltása (opt-out)

A CookieScript hozzájárulás-kezelésén túl a Google Analytics 4 adatgyűjtését a Google böngészőbővítményével is letilthatod: tools.google.com/dlpage/gaoptout

Az összes alkalmazott sütiről, azok érvényességi idejéről és szolgáltatóiról részletes információt a cookie-szabályzatunkban találsz.

6. Megőrzési idők

A személyes adatokat haladéktalanul töröljük vagy anonimizáljuk, amint az adatkezelés célja megszűnt, és jogszabályi megőrzési kötelezettség nem áll fenn. Az alábbi táblázat összefoglalja a megőrzési időket:

Jogszabályi megőrzési kötelezettségek (pl. a román adójogszabályok szerinti számviteli kötelezettségek) egyes esetekben hosszabb megőrzési időt tehetnek szükségessé. Ilyenkor az adatkezelés a jogszabály által megkövetelt mértékre korlátozódik.

7. Jogaid

Érintettként a DontPayFull SRL-lel szemben a következő jogok illetnek meg. Jogaid gyakorlásához írj a [email protected] címre. Kérelmedre egy hónapon belül válaszolunk (GDPR 12. cikk (3) bekezdés).

7.1 A GDPR szerinti jogok (15–22. cikk)

7.2 Kiegészítő nemzeti szabályozás: az Infotv. (2011. évi CXII. törvény)

7.3 Nincs adatszolgáltatási kötelezettség

A Shopilo.hu alapfunkcióinak használatához nem szükséges személyes adatokat megadnod. Ha bizonyos funkciók (felhasználói fiók, árfigyelő) igénybevételéhez adatok megadása szükséges, erről az adatok bevitelekor tájékoztatunk. Az adatok megadásának elmaradása kizárólag azzal a következménnyel jár, hogy az adott funkció nem vehető igénybe.

8. Felügyeleti hatóságok

Jogod van ahhoz, hogy személyes adataid kezelésével kapcsolatban panaszt nyújts be egy adatvédelmi felügyeleti hatósághoz (GDPR 77. cikk).

8.1 Fő felügyeleti hatóság (egyablakos ügyintézés)

A GDPR 56. cikke szerinti fő felügyeleti hatóság (egyablakos ügyintézési mechanizmus, „one-stop-shop”) a román adatvédelmi hatóság:

8.2 Helyi felügyeleti hatóság a magyarországi felhasználók számára

A Magyarországon élő felhasználók panaszukkal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz is fordulhatnak (Infotv. 38. §, GDPR 77. cikk):

Felhívjuk figyelmedet, hogy a NAIH tájékoztatása szerint hatósági eljárás egyszerű e-mailben nem indítható; panaszodat a NAIH online ügyindítási felületén vagy postai úton nyújthatod be.

A felügyeleti hatóságnál történő panasztétel joga nem érinti más jogorvoslati lehetőségek igénybevételét, így különösen a 7.2 pontban ismertetett bírósági jogérvényesítést.

9. Kapcsolatfelvétel és adatvédelmi kérelmek

Az adatvédelemmel, jogaid gyakorlásával vagy adatvédelmi bejelentésekkel kapcsolatos minden kérdésben az alábbi elérhetőségeken fordulhatsz hozzánk:

Kapcsolatfelvételi űrlapunkat a Kapcsolat oldalon éred el. Az adatvédelmi kérelmekre díjmentesen, egy hónapon belül válaszolunk (GDPR 12. cikk (3) bekezdés). Összetett vagy nagyszámú kérelem esetén ezt a határidőt további két hónappal meghosszabbíthatjuk, amiről előzetesen tájékoztatunk.

9.1 A személyazonosság ellenőrzése a kérelmek során

Adataid jogosulatlan hozzáféréssel szembeni védelme érdekében az érintetti kérelmek teljesítésekor személyazonosságod észszerű mértékű ellenőrzését kérhetjük. Az ennek során megadott azonosító adatokat kizárólag kérelmed teljesítésére használjuk, és ezt követően töröljük.

9.2 Az adatkezelési tájékoztató módosítása

Fenntartjuk a jogot, hogy ezt az adatkezelési tájékoztatót a jogszabályok, a technikai körülmények vagy szolgáltatásaink változása esetén frissítsük. A lényeges változásokról legalább 14 nappal hatálybalépésük előtt egyértelmű értesítéssel tájékoztatunk a shopilo.hu oldalon, illetve — amennyiben lehetséges — e-mailben a regisztrált felhasználókat. A szolgáltatás további használata önmagában nem minősül a módosítások elfogadásának; kérjük, ismerd meg a változásokat, és fogadd el azokat kifejezetten. Az oldal tetején feltüntetett utolsó frissítési dátumot ennek megfelelően módosítjuk.

További jogi információkat az impresszumban, az általános szerződési feltételekben (ÁSZF), valamint a cookie-szabályzatban találsz.