Adatkezelési tájékoztató

2. Milyen adatokat, milyen célból kezelünk?

Kapcsolatfelvétel és ajánlatkérés

A kapcsolatfelvételi űrlapon nevet, e-mail-címet, opcionálisan telefonszámot, témát, tárgyat és üzenetet kérünk. Az adatkezelés célja a megkeresés megválaszolása, ajánlat előkészítése és a kapcsolattartás. Jogalapja a szerződéskötést megelőző lépések megtétele, illetve egyéb megkeresésnél az adatkezelő válaszadáshoz és igényérvényesítéshez fűződő jogos érdeke (GDPR 6. cikk (1) b) és f) pont).

Élményfestés-foglalás

Foglaláskor kezeljük a kapcsolattartó nevét, e-mail-címét és telefonszámát, a résztvevők nevét, a választott eseményt, létszámot, fizetési módot, foglalási és fizetési állapotot, valamint számlakérés esetén a számlázási adatokat és céges vásárlásnál az adószámot. A cél a hely biztosítása, a foglalás kezelése, a résztvevők értesítése, a fizetés és a bizonylat kiállítása. Jogalapja a szerződés teljesítése és a számviteli, adózási kötelezettségek teljesítése (GDPR 6. cikk (1) b) és c) pont).

Webáruházi vásárlás és élményutalvány

Vásárláskor kezeljük a nevet, e-mail-címet, szükség szerint telefonszámot, a megvásárolt termék vagy utalvány adatait, a fizetési és rendelési állapotot, továbbá számlakérés esetén a számlázási adatokat és az adószámot. A bankkártyaadatokat nem a Rózsaüveg, hanem a Stripe fizetési felülete kezeli. Jogalap a szerződés teljesítése és a jogi kötelezettségek teljesítése.

Az online elállási funkció használatakor rögzítjük a rendelés azonosítóját, a nyilatkozat változatlan tartalmát és időpontját, a jogosultság számításának alapját, a visszaküldés és adminisztratív elbírálás állapotát, valamint a Stripe-visszatérítés és a kapcsolódó számviteli korrekció azonosítóit. Ezek az adatok a szerződés megszüntetésének teljesítéséhez, jogi kötelezettségeinkhez és az igény bizonyíthatóságához szükségesek.

Ügyféltörzs és ügyintézés

A foglalásokból, rendelésekből és korábbi, jogszerűen kezelt ügyféladatokból egységes ügyféltörzs készülhet. Ebben a kapcsolattartási és számlázási adatok, foglalási és vásárlási előzmények, hozzájárulási állapotok, valamint az ügyintézéshez szükséges belső megjegyzések szerepelhetnek. Hozzáférést kizárólag feladatuk szerint jogosult adminisztrátorok kapnak. A cél az ügyfélkérések teljesítése, az előzmények visszakeresése és a jogi igények kezelése. Jogalap a GDPR 6. cikk (1) f) pontja szerinti jogos érdek: az ügyfélkérések és jogi igények kezelése. Az ügyféltörzs adatait az utolsó ügylettől számított 5 évig, a számviteli bizonylatokhoz kötött adatokat 8 évig őrizzük meg.

Hírlevél

Hírlevelet csak külön, önkéntes hozzájárulás alapján küldünk. Ehhez a nevet, e-mail-címet, nyelvet, a hozzájárulás és visszavonás időpontját és forrását kezeljük. Minden hírlevél automatikus leiratkozási lehetőséget tartalmaz. A hozzájárulás visszavonása nem érinti a korábbi adatkezelés jogszerűségét (GDPR 6. cikk (1) a) pont).

Látogatottságmérés, marketing és sütibeállítások

A szükséges működési technológiák a webhely biztonságához, a sütibeállítások megőrzéséhez és a visszaélések megakadályozásához szükségesek. A saját, álnevesített látogatottságmérés a Google Analytics és a Microsoft Clarity csak elemzési hozzájárulás után, a Meta Pixel csak marketing-hozzájárulás után indul el. A Google Search Console és a Bing Webmaster Tools összesített keresési adatokat ad; ezek önmagukban nem helyeznek el marketing sütit a látogató eszközén. A hozzájárulás bármikor módosítható.

Kampányforrás. Ha elemzési hozzájárulást adsz, a Google Analytics megkapja a hirdetési linkben szereplő kampányparamétereket (utm_*), hogy lássuk, melyik kampány hozott látogatót, a vásárlásokat pedig a rendelés mérési azonosítójával jelentjük (a neved és az e-mail-címed nélkül). Ugyanezzel a hozzájárulással egy 30 napos saját sütiben (rozsauveg_attribution) megőrizzük az utolsó kampánykattintás adatait: forrás, közeg, kampány, hirdetés és hirdetéscsoport neve, a belépő oldal útvonala, az előző oldal tartományneve, és hogy érkezett-e Meta-kattintási azonosító (az azonosító értékét nem tároljuk). Ha ezután rendelést adsz le vagy foglalsz, ezt az adatot a rendeléshez vagy foglaláshoz mentjük, hogy a marketing eredményét költség és bevétel szerint értékelhessük. Jogalap: hozzájárulás (GDPR 6. cikk (1) a) pont). A kampányadatot a hozzá tartozó rendelés vagy foglalás törlésekor együtt töröljük. Hozzájárulás nélkül a süti nem jön létre, és a rendeléshez nem mentünk kampányadatot.

Képek és eseménygalériák

Az élményfestés eseményeken fotó- és videófelvétel készülhet. A felvételeket az alkalom dokumentálására, valamint a Rózsaüveg bemutatására használjuk a honlapon és közösségi oldalainkon (például Facebook-bejegyzésekben). Elsősorban az elkészülő festményeket, a kezeket és a hangulatot fotózzuk. Ha nem szeretnél a képeken szerepelni, jelezd a helyszínen a szervezőnek, és ezt tiszteletben tartjuk.

Felismerhető arcot csak az érintett előzetes, önkéntes hozzájárulásával teszünk közzé (Ptk. 2:48. §; GDPR 6. cikk (1) a) pont). A foglalási űrlap külön, alapból üres jelölőnégyzete kizárólag a foglaló saját képmására vonatkozik. Más felnőtt résztvevő önállóan nyilatkozik; kiskorúnál a szülő vagy törvényes képviselő külön hozzájárulása szükséges. A foglalás és a részvétel nem függ a hozzájárulástól. Hozzájárulás hiányában a galériába kerülő képeken az arcokat közzététel előtt felismerhetetlenné tesszük (elmosással); az ilyen, nem felismerhető képek közzétételének jogalapja a Rózsaüveg bemutatásához fűződő jogos érdek (GDPR 6. cikk (1) f) pont), amely ellen bármikor tiltakozhatsz.

Kérésre eltávolítjuk. Ha egy általunk közzétett képen felismered magad vagy gyermekedet, és nem szeretnéd, hogy ott szerepeljen, a védett kapcsolati elérhetőségeken jelezd: a képet indokolás nélkül, haladéktalanul, legkésőbb 3 munkanapon belül eltávolítjuk vagy felismerhetetlenné tesszük az általunk kezelt felületeken (honlap, saját közösségi oldalak). Mások által továbbosztott példányok eltávolítását a tőlünk elvárható módon kezdeményezzük. A hozzájárulás visszavonása a korábbi adatkezelés jogszerűségét nem érinti. A képeket a közzétételi cél megszűnéséig, illetve a hozzájárulás visszavonásáig vagy a tiltakozásig kezeljük. A hozzájárulás időpontját és a nyilatkozat változatát annak igazolásához szükséges ideig őrizzük meg.

3. Adatfeldolgozók és adattovábbítások

• Stripe: bankkártyás fizetés, fizetési állapot és csalásmegelőzés. Stripe adatvédelmi tájékoztató
• KBOSS.hu Kft. / Számlázz.hu: számla és nyugta kiállítása, jogszabály szerinti megőrzése. Számlázz.hu adatvédelem
• Brevo: tranzakciós e-mailek, foglalási és rendelési értesítések, valamint hozzájáruláson alapuló hírlevelek továbbítása. Brevo adatvédelmi tájékoztató
• Cloudflare: tartalomszolgáltatás, biztonsági szolgáltatások, Turnstile robotvédelem, admin-hozzáférés és médiatárolás. Cloudflare adatvédelmi tájékoztató
• Microsoft: hozzájárulás esetén a Microsoft Clarity látogatóelemzés (kattintási hőtérkép és munkamenet-visszajátszás az oldalon belüli mozgásról, hogy a mobilos és asztali használatot javíthassuk). A beviteli mezők tartalmát maszkoljuk, a kezelőlinkes és tokenes oldalakon (foglalás- és rendeléskezelés, utalványbeváltás, hírlevél-megerősítés) nem fut. Jogalap: hozzájárulás (GDPR 6. cikk (1) a) pont). Microsoft adatvédelmi nyilatkozat
• Google: hozzájárulás esetén Google Analytics, továbbá Google Maps, Search Console és Workspace szolgáltatások. Google adatvédelmi tájékoztató
• Tárhely.Eu Szolgáltató Kft.: az alkalmazás és az adatbázis tárhelyszolgáltatója. Székhely: 1144 Budapest, Ormánság utca 4. X. em. 241.; kapcsolati cím: 1097 Budapest, Könyves Kálmán körút 12–14. Szolgáltatói adatvédelem.

Meta Pixel – közös adatkezelés

A Meta Pixel kizárólag marketing-hozzájárulás után működik. A Pixel adatainak gyűjtése és a Meta Platforms Ireland Ltd. részére történő továbbítása tekintetében a szolgáltató és a Meta közös adatkezelők; ez a szerepmegosztás az EUB C-40/17 (Fashion ID) ügyében kifejtett elvet követi. A továbbítás utáni adatkezelést a Meta önálló adatkezelőként végzi. A felelősségmegosztásra a Meta Controller Addendum vonatkozik. További részletek és érintetti jogok: Meta adatvédelmi tájékoztató. Jogait bármelyik közös adatkezelővel szemben gyakorolhatja.

Szerveroldali vásárlásmérés (Meta Conversions API). Marketing-hozzájárulás esetén sikeres fizetés után, valamint a helyszíni fizetésű foglalás e-mailes megerősítésekor a szerverünk is elküld a Metának egy „Vásárlás” eseményt, hogy a hirdetések eredménye akkor is mérhető legyen, ha a böngésző blokkolja a Pixelt. Az esemény tartalma: a vásárlás értéke és pénzneme, a rendelés mérési azonosítója, az oldal címe lekérdezési paraméterek nélkül, valamint a böngésző IP-címe, böngészőleírása és a Meta sütijei (_fbp, _fbc). Nevet, e-mail-címet, telefonszámot vagy címet nem küldünk. A böngészős és a szerveroldali esemény azonos azonosítóval érkezik, így a Meta egyszer számolja. Hozzájárulás nélkül szerveroldali esemény sem megy. Helyszíni fizetésű foglalásnál a foglaláskor a Meta sütiket (_fbp, _fbc) a foglaláshoz mentjük, hogy a megerősítéskor az esemény a hirdetéshez köthető legyen; az esemény értéke a foglalás összege, az IP-cím és a böngészőleírás a megerősítő kattintásból származik, és ezeket nem tároljuk. A mentett sütiket a foglalással együtt töröljük.

Egyes szolgáltatók az Európai Gazdasági Térségen kívül is kezelhetnek adatot. Ilyenkor az adattovábbítás a GDPR szerinti megfelelőségi határozat, általános szerződési feltételek vagy más megfelelő garancia alapján történik; a részleteket az adott szolgáltató tájékoztatója tartalmazza.

4. Adatbiztonság

A hozzáféréseket szerepkörök szerint korlátozzuk, az adminisztrációt Cloudflare Access és Google Workspace bejelentkezés védi, a nyilvános űrlapokon Turnstile robotvédelmet alkalmazunk. A kommunikáció titkosított HTTPS-kapcsolaton történik. Bankkártyaadatot nem tárolunk.

5. Megőrzési idő

• A számviteli bizonylatokat és az azok alapjául szolgáló adatokat a számviteli jogszabályok szerinti 8 évig őrizzük meg.
• A szerződéses, rendelési és foglalási adatokat a teljesítéstől, megszűnéstől vagy jogvita lezárásától számított általános elévülési idő végéig, illetve ha bizonylathoz kapcsolódnak, a hosszabb számviteli megőrzési idő végéig kezeljük.
• A kapcsolatfelvételi üzeneteket az ügy lezárásáig, majd az esetleges igényérvényesítéshez szükséges ideig kezeljük.
• A hírlevélküldéshez használt adatokat a hozzájárulás visszavonásáig kezeljük; a hozzájárulás vagy leiratkozás igazolásához szükséges minimális naplóadatokat az igényérvényesítéshez szükséges ideig megőrizhetjük.
• A sütibeállítás 180 napig érvényes, ezt követően új hozzájárulást kérhetünk.
• Biztonsági naplókat csak a hibakereséshez, visszaélés-megelőzéshez és jogi igényekhez szükséges ideig tartunk meg.

6. Az érintett jogai

Ön kérheti a személyes adataihoz való hozzáférést, azok helyesbítését, törlését, kezelésük korlátozását és — ha annak feltételei fennállnak — adathordozhatóságát. Tiltakozhat a jogos érdeken alapuló adatkezelés ellen, és hozzájárulását bármikor visszavonhatja. Kérelmét a fenti, robotellenőrzés után megjeleníthető elérhetőségek egyikén küldheti el. Kérelmére indokolatlan késedelem nélkül, legkésőbb egy hónapon belül válaszolunk (GDPR 12. cikk (3)). Szükség esetén ez további két hónappal meghosszabbítható; az okokról az első hónapon belül tájékoztatjuk. A kérelem teljesítése előtt személyazonosságának észszerű igazolását kérhetjük.

Automatizált döntéshozatalt vagy profilalkotást, amely Önre nézve joghatással vagy hasonló jelentős hatással járna, nem végzünk.

7. Panasz és jogorvoslat

Adatkezelési panasszal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) fordulhat: 1055 Budapest, Falk Miksa utca 9–11.; naih.hu. Bírósági jogorvoslatot is igénybe vehet.

Az adatkezelési folyamatok vagy a szolgáltatók változásakor ezt a tájékoztatót frissítjük. A lényeges változásokról az érintetteket megfelelő módon tájékoztatjuk.