Adatvédelmi tájékoztató

Jelen tájékoztató azt mutatja be, hogyan kezeli a [Cégnév] (székhely: [Székhely], cégjegyzékszám: [Cégjegyzékszám], adószám: [Adószám]; a továbbiakban: „Szolgáltató” vagy „Calendio”) a Calendio időpontfoglaló és üzletvezetési szolgáltatás (a továbbiakban: „Szolgáltatás”) működtetése és nyújtása során megismert személyes adatokat, összhangban a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról szóló, az Európai Parlament és a Tanács (EU) 2016/679 rendeletével (a továbbiakban: „GDPR”), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénnyel (a továbbiakban: „Infotv.”).

Név: [Cégnév]
Székhely: [Székhely]
Cégjegyzékszám: [Cégjegyzékszám]
Adószám: [Adószám]
Képviselő: [Képviselő neve]
E-mail: [Kapcsolattartási e-mail cím]
Telefonszám: [Telefonszám]

Adatvédelmi kérdésekben elérhető kapcsolattartó: [Adatvédelmi kapcsolattartó vagy adatvédelmi tisztviselő neve és e-mail címe, amennyiben a Szolgáltató ilyet kijelöl].

• Személyes adat: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ.
• Adatkezelő: az a természetes vagy jogi személy, aki a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza.
• Adatfeldolgozó: az a természetes vagy jogi személy, aki az adatkezelő nevében, annak utasításai szerint kezel személyes adatokat.
• Érintett: az a természetes személy, akire a személyes adat vonatkozik.
• Hozzájárulás: az érintett akaratának önkéntes, konkrét, megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása.
• Adatvédelmi incidens: a biztonság olyan sérülése, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
• Címzett: az a személy, akivel a személyes adatot közlik, akár harmadik fél, akár nem.

A Szolgáltató a személyes adatok kezelése során a GDPR 5. cikkében foglalt alapelveket érvényesíti: jogszerűség, tisztességes eljárás és átláthatóság; célhoz kötöttség; adattakarékosság; pontosság; korlátozott tárolhatóság; integritás és bizalmas jelleg; valamint elszámoltathatóság. A Szolgáltató a szükséges mértéket meghaladó adatot nem kér és nem kezel, és a kezelt adatok körét a jelen tájékoztatóban meghatározott célokhoz igazítja.

A Calendio egy olyan platform, amelyet vállalkozások (a jelen tájékoztató és a Calendio Általános Szerződési Feltételei szerint: „Felhasználó”) a saját ügyfeleik (a továbbiakban: „Vendég”) kiszolgálására, időpontfoglalás céljából használnak. Erre tekintettel a Szolgáltató kétféle minőségben kezelhet személyes adatot:

4.1 A Szolgáltató mint önálló adatkezelő

A Szolgáltató önálló adatkezelőként jár el a Felhasználók (vállalkozás-tulajdonosok) és a Felhasználók által meghívott Csapattagok saját fiókadatai, a Szolgáltató saját hírlevele és marketingkommunikációja, a Szolgáltatás saját weboldalán gyűjtött sütik és statisztikai adatok, a saját ügyfélszolgálati megkeresések, valamint a saját biztonsági (bejelentkezési) naplózása tekintetében.

4.2 A Szolgáltató mint adatfeldolgozó

A Vendégek időpontfoglalás során megadott személyes adatai (pl. név, e-mail cím, telefonszám, megjegyzés) tekintetében az adott Felhasználó (a Vendéget kiszolgáló vállalkozás) minősül önálló adatkezelőnek a GDPR értelmében, a Szolgáltató pedig a Felhasználó megbízásából, annak utasításai szerint, a GDPR 28. cikke szerinti adatfeldolgozóként jár el. A felek jogait és kötelezettségeit e körben az Adatfeldolgozási melléklet részletezi, amely a jelen tájékoztató és az ÁSZF elválaszthatatlan részét képezi. Ez azt jelenti, hogy:

• a Felhasználó felelős azért, hogy a Vendégei adatait jogszerűen (megfelelő jogalap, pl. szerződés teljesítése vagy hozzájárulás birtokában) gyűjtse, és hogy saját Vendégei felé az adatkezelésről a vonatkozó jogszabályoknak megfelelően tájékoztatást adjon;
• a Szolgáltató a Vendégek adatait kizárólag a Szolgáltatás nyújtásához (a foglalás rögzítéséhez, lebonyolításához, az értesítések küldéséhez, valamint — ha a Felhasználó ezt bekapcsolja — a fizetési, számlázási és marketingfunkciók biztosításához) szükséges mértékben, a Felhasználó utasításai szerint kezeli, és azokat saját célra nem használja fel;
• ha Ön Vendégként szeretné gyakorolni a 10. pont szerinti jogait a nála rögzített adatai tekintetében, kérését elsődlegesen közvetlenül az érintett vállalkozáshoz (mint adatkezelőhöz) kell intéznie; a vállalkozás a Calendio fiókjába épített, önkiszolgáló adatkérés-kezelő eszközön keresztül tudja a kérést nyilvántartani és — az Ön e-mailes azonosítását és megerősítését követően — teljesíteni.

5.1 Fiókregisztráció és bejelentkezés (Felhasználó és Csapattagok)

Kezelt adatok: név, e-mail cím, jelszó (titkosítva tárolva), telefonszám, cégnév és egyéb számlázási/cégadatok, ha megadásra kerülnek, profilkép (ha feltöltésre kerül).
Cél: fiók létrehozása, azonosítás, bejelentkezés, a Szolgáltatás nyújtása.
Jogalap: szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont).
Időtartam: a fiók fennállása alatt, a fiók törlését követően a jogszabályi (számviteli, adózási) megőrzési kötelezettség szerinti időtartamig, egyebekben a fiók törlésekor anonimizálásra kerül.

5.2 Vendégek adatai időpontfoglaláskor

Kezelt adatok: név, e-mail cím, telefonszám, a foglalt szolgáltatásra és időpontra vonatkozó adatok, opcionális megjegyzés, a hírlevél-feliratkozás ténye, opcionálisan születésnap.
Cél: a Vendég és a Felhasználó közötti szolgáltatási szerződés (időpontfoglalás) lebonyolítása, visszaigazolás és emlékeztető küldése.
Adatkezelő: az érintett Felhasználó (4.2 pont); a Szolgáltató e körben adatfeldolgozó.
Jogalap: a Felhasználó és a Vendég közötti szerződés teljesítése, illetve a Felhasználó jogos érdeke a foglalás lebonyolításához szükséges kommunikáció tekintetében.
Időtartam: a Felhasználó fiókjában történő törlésig, illetve a Felhasználó fiókjának megszűnéséig, azt követően a jogszabályi megőrzési kötelezettség szerint.

5.3 Fizetés és előlegkezelés

Kezelt adatok: a fizetéshez szükséges tranzakciós azonosítók, összeg, státusz. Bankkártyaadatot a Szolgáltató nem tárol, azt kizárólag a Barion Payment Zrt. fizetési szolgáltató kezeli, önálló adatkezelőként.
Jogalap: szerződés teljesítése, illetve jogi kötelezettség teljesítése (számviteli, adózási jogszabályok).
Időtartam: a számviteli bizonylat-megőrzési időtartamig (lásd 8. pont).

5.4 Számlázás

Kezelt adatok: számlázási név, cím, adószám (ha releváns), a kiállított bizonylat adatai.
Adatfeldolgozó: Billingo Technologies Zrt. és/vagy KBOSS.hu Kft. (Számlázz.hu), a Felhasználó választása szerint.
Jogalap: jogi kötelezettség teljesítése (a számvitelről szóló 2000. évi C. törvény).
Időtartam: a számla kiállításától számított 8 év (2000. évi C. törvény 169. §).

5.5 SMS-értesítés

Kezelt adatok: a Vendég telefonszáma és az értesítés szövege.
Adatfeldolgozó: SeeMe (seeme.hu), amennyiben az adott Felhasználó bekapcsolja az SMS-értesítést.
Jogalap: a Felhasználó és a Vendég közötti szerződés teljesítése.
Időtartam: a kézbesítési napló a Felhasználó fiókjában történő törlésig, illetve a jogszabályi megőrzési idő szerint kerül megőrzésre.

5.6 Google Naptár szinkronizáció

Amennyiben a Felhasználó vagy Csapattagja saját döntése alapján bekapcsolja a Google Naptár integrációt, a Szolgáltatás a Vendég azonosítására alkalmas adatot nem küld a Google felé: a Google Naptárba szinkronizált esemény kizárólag egy általános, „foglalt” jellegű bejegyzésként (a Vendég nevének, e-mail címének és egyéb személyes adatának megjelenítése nélkül) kerül létrehozásra, amelynek célja kizárólag az időpontütközések elkerülése. A Google Ireland Limited ezen integráció keretében önálló adatkezelőnek minősül a saját szolgáltatása (Google Naptár, Google-fiók) tekintetében.

5.7 Hírlevél és marketing kommunikáció

Kezelt adatok: név, e-mail cím, fel- és leiratkozás időpontja, a kiküldött és megnyitott üzenetek statisztikái.
Jogalap: az érintett önkéntes hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont, összhangban a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvénnyel), amely bármikor, indoklás nélkül, a leiratkozási linkre kattintva vagy a fiókbeállításokban visszavonható.
Időtartam: a leiratkozásig; a leiratkozott adatokat a Szolgáltató véglegesen törli.

5.8 Sütik és hasonló technológiák

A Szolgáltatás a látogatás során sütiket (cookie) használ. A sütik kategóriái:

• Szükséges sütik — a bejelentkezés, a biztonságos űrlapküldés (CSRF-védelem), a nyelvi és a cookie-beállítások megjegyzése, valamint — a bankkártyás fizetést elfogadó Felhasználóknál — a Barion csalásmegelőzési (fraud prevention) jelzése céljából. Ezek jogalapja a Szolgáltató jogos érdeke, illetve a szerződés teljesítése; ezekhez nem szükséges előzetes hozzájárulás, és nem is kapcsolhatók ki.
• Funkcionális sütik — pl. élő ügyfélchat munkamenetének fenntartása, ha az adott Felhasználó ilyen funkciót aktivál.
• Analitikai sütik — pl. látogatottsági statisztika (Google Analytics, Microsoft Clarity), amely segít megérteni, hogyan használják a látogatók az oldalt.
• Marketing sütik — hirdetési konverziók mérésére és célzott hirdetések megjelenítésére szolgáló sütik (pl. Google Ads, Meta/Facebook Pixel), amelyeket a Szolgáltató, illetve — a saját nyilvános oldalaikon — az egyes Felhasználók kapcsolhatnak be.

A funkcionális, analitikai és marketing sütik kizárólag az érintett előzetes, kifejezett hozzájárulása esetén aktiválódnak; a hozzájárulás a „Cookie beállítások” gombra kattintva bármikor megadható, módosítható vagy visszavonható. A sütikről és azok pontos megnevezéséről, élettartamáról a cookie-beállító felület ad részletes, naprakész tájékoztatást.

5.9 Ügyfélszolgálati megkeresések

Kezelt adatok: a megkeresésben megadott név, e-mail cím, telefonszám és a megkeresés tartalma.
Jogalap: az érintett hozzájárulása, illetve a Szolgáltató jogos érdeke a megkeresés megválaszolásához.
Időtartam: a megkeresés elintézésétől számított [2] évig, kivéve, ha a megkeresés jogvita alapjául szolgál.

5.10 Biztonsági naplózás

Kezelt adatok: a bejelentkezési kísérlet időpontja és eredménye (sikeres/sikertelen), a használt eszköz böngészőazonosítója (user agent) és IP-címe.
Cél: jogosulatlan hozzáférési kísérletek, fiókfeltörés és visszaélés felderítése és megakadályozása.
Jogalap: a Szolgáltató jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont).
Időtartam: az IP-cím és a böngészőazonosító a rögzítéstől számított 90 napig kerül megőrzésre, ezt követően automatikusan anonimizálásra, majd a rekord további 1 év után véglegesen törlésre kerül.

A Szolgáltató a Szolgáltatás működtetéséhez az alábbi adatfeldolgozókat / címzetteket veszi igénybe:

• Tárhelyszolgáltatás: [Tárhelyszolgáltató neve, székhelye és elérhetősége — lásd Impresszum]
• E-mail kézbesítés: [Az e-mail küldésére (SMTP) használt szolgáltató neve és székhelye]
• Bankkártyás fizetés és előlegkezelés: Barion Payment Zrt. (1117 Budapest, Infopark sétány 1. I. ép. 5. em. 5. — a székhely adatait a Barion mindenkori nyilvántartása szerint szükséges ellenőrizni) — a Barion saját adatvédelmi tájékoztatója az általa kezelt fizetési adatokra vonatkozik.
• Számlázás: Billingo Technologies Zrt. és/vagy KBOSS.hu Kft. (Számlázz.hu) — attól függően, hogy az adott Felhasználó melyik számlázási integrációt választja.
• SMS-küldés: SeeMe (seeme.hu) — tranzakciós SMS-üzenetek kézbesítése, amennyiben az adott Felhasználó bekapcsolja az SMS-értesítést.
• Naptárszinkronizáció: Google Ireland Limited (Google Naptár), kizárólag akkor, ha az érintett Felhasználó vagy Csapattagja saját döntése alapján bekapcsolja a Google Naptár integrációt.
• Analitikai és marketing sütik szolgáltatói: pl. Google (Analytics, Ads), Microsoft (Clarity), Meta (Facebook/Instagram Pixel) — kizárólag az érintett hozzájárulása esetén, a 5.8 pontban foglaltak szerint.

A Szolgáltató harmadik fél részére kizárólag jogszabályi kötelezettség teljesítése, hatósági megkeresés, vagy a fent felsorolt adatfeldolgozói szerződések keretében, a feltétlenül szükséges mértékben továbbít személyes adatot.

A fent felsorolt szolgáltatók egy része (pl. Google, egyes analitikai és marketing szolgáltatók) az Európai Gazdasági Térségen kívülre, jellemzően az Amerikai Egyesült Államokba is továbbíthat személyes adatot. Ilyen esetben a Szolgáltató, illetve az érintett szolgáltató a GDPR V. fejezete szerinti megfelelő garanciákra (így különösen az Európai Bizottság megfelelőségi határozatára — pl. az EU–U.S. Data Privacy Framework keretében —, vagy az Európai Bizottság által kibocsátott általános adatvédelmi kikötésekre) támaszkodik.

• Fiók- és foglalási adatok: a fiók fennállása alatt, a fiók törlését követően a jogszabályi (számviteli, adózási) megőrzési kötelezettség szerinti időtartamig, egyebekben anonimizálásra kerülnek.
• Számviteli bizonylatok (számlák): a számvitelről szóló 2000. évi C. törvény 169. §-a alapján a kiállítástól számított 8 évig.
• Hírlevél-feliratkozás: a leiratkozásig, azt követően véglegesen törölve.
• Cookie-alapú adatok: a 5.8 pontban és a cookie-beállító felületen meghatározott időtartamig.
• Bejelentkezési biztonsági napló (IP-cím, böngészőazonosító): 90 nap, ezt követően automatikus anonimizálás, a rekord pedig 1 év után véglegesen törlésre kerül.
• Ügyfélszolgálati megkeresések: az elintézéstől számított [2] évig.

A Szolgáltató megfelelő technikai és szervezési intézkedésekkel — így különösen titkosított adattárolással és -kommunikációval (HTTPS), jelszavak visszafejthetetlen (hash-elt) tárolásával, jogosultságkezeléssel, valamint a hozzáférések naplózásával — gondoskodik a személyes adatok biztonságáról, és megakadályozza azok jogosulatlan megismerését, megváltoztatását vagy törlését. A Szolgáltató munkatársai és a 6. pontban felsorolt adatfeldolgozók kizárólag a feladatuk ellátásához szükséges mértékben, titoktartási kötelezettség mellett férnek hozzá a személyes adatokhoz.

A GDPR alapján Önt — a jelen tájékoztató 4. pontjában meghatározott szereposztás szerint, az adott adatkezelővel szemben — az alábbi jogok illetik meg: hozzáférés a rá vonatkozó személyes adatokhoz, azok helyesbítése, törlése („elfeledtetéshez való jog”), az adatkezelés korlátozása, adathordozhatóság, valamint tiltakozás az adatkezelés ellen; hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármikor, indoklás nélkül visszavonható, ez azonban nem érinti a visszavonás előtt végzett adatkezelés jogszerűségét.

• Ha Ön regisztrált Felhasználó (vállalkozás-tulajdonos) vagy Csapattag, kérelmét a fiókbeállításokban elérhető funkciókon, vagy az 1. pontban megjelölt elérhetőségeken nyújthatja be.
• Ha Ön Vendégként szeretné gyakorolni jogait egy adott vállalkozásnál rögzített adatai tekintetében, kérését — a 4.2 pontban foglaltak szerint — elsődlegesen közvetlenül az érintett vállalkozáshoz kell intéznie, amely a Calendio fiókjába épített önkiszolgáló eszközön keresztül tudja azt nyilvántartani és teljesíteni; a Szolgáltató — adatfeldolgozói minőségében — a vállalkozás utasítására működik közre a kérelem teljesítésében.

A Szolgáltató, illetve az érintett vállalkozás a kérelmet indokolatlan késedelem nélkül, de legfeljebb 1 hónapon belül teljesíti, és erről az érintettet írásban tájékoztatja.

A Szolgáltató a Szolgáltatás keretében nem alkalmaz a GDPR 22. cikke szerinti, kizárólag automatizált döntéshozatalon — ideértve a profilalkotást is — alapuló olyan döntést, amely az érintettre nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.

A Szolgáltatás Felhasználóként és Csapattagként kizárólag a 18. életévüket betöltött, cselekvőképes természetes személyek, illetve az általuk képviselt vállalkozások számára vehető igénybe. Vendégként — az adott Felhasználó saját szolgáltatási körétől függően — kiskorú személy adatai kizárólag törvényes képviselőjének hozzájárulásával vagy közreműködésével kerülhetnek rögzítésre; ennek biztosítása az érintett Felhasználó, mint adatkezelő felelőssége.

A Szolgáltató nyilvántartást vezet az esetleges adatvédelmi incidensekről, és — amennyiben az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve — a tudomásszerzést követő 72 órán belül bejelenti azt a Nemzeti Adatvédelmi és Információszabadság Hatóságnak. Ha az incidens valószínűsíthetően magas kockázattal jár az érintettek jogaira nézve, a Szolgáltató az érintetteket is tájékoztatja, kivéve, ha a GDPR 34. cikke szerinti mentesülési feltételek valamelyike fennáll.

A Szolgáltatással vagy az adatkezeléssel kapcsolatos panaszát a Panaszkezelési tájékoztatóban foglaltak szerint nyújthatja be. Ha Ön úgy véli, hogy személyes adatainak kezelése sérti a GDPR vagy az Infotv. rendelkezéseit, panasszal fordulhat a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) — 1055 Budapest, Falk Miksa utca 9-11., postacím: 1363 Budapest, Pf. 9., telefon: +36 (1) 391-1400, e-mail: ugyfelszolgalat@naih.hu, honlap: www.naih.hu —, vagy jogainak megsértése esetén az illetékes törvényszékhez fordulhat. A per — az Ön választása szerint — az Ön lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindítható.

A Szolgáltató fenntartja a jogot jelen tájékoztató módosítására, különösen jogszabályváltozás vagy a Szolgáltatás funkcióinak bővülése esetén. Lényeges módosításról a Szolgáltató e-mailben és/vagy a Szolgáltatás felületén tájékoztatást nyújt. A tájékoztató mindenkor hatályos szövege a jelen oldalon érhető el; korábbi verziók kérésre, az 1. pontban megjelölt elérhetőségen keresztül igényelhetők.

Jelen tájékoztató hatálybalépésének napja: [Hatálybalépés dátuma].