ADATKEZELÉSI TÁJÉKOZTATÓ A TERMÉSZETES SZEMÉLYEK ADATAINAK KEZELÉSÉRŐL ÉS AZ ÉRINTETT SZEMÉLY JOGAIRÓL

A Young Kft. (a továbbiakban: Adatkezelő), mint a firsthand.hu  (továbbiakban webáruház) üzemeltetője, kiemelten fontosnak tartja a személyes adatok védelmét, és az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: GDPR), valamint a hazai jogszabályok alapján az alábbi, átlátható tájékoztatást nyújtja az érintettek részére.

Tartalom:

1. AZ ADATKEZELŐ MEGNEVEZÉSE

2. ADATFELDOLGOZÓK MEGNEVEZÉSE

3. TÁJÉKOZTATÓ AZ EGYES ADATKEZELÉSEKRŐL

4. VÁSÁRLÁST KÖNNYÍTŐ SZOLGÁLTATÁSOKKAL, ÉRTESÍTÉSEKKEL KAPCSOLATOS ADATKEZELÉSEK

5. A WEBÁRUHÁZI VÁSÁRLÁSHOZ KAPCSOLÓDÓ ADATKEZELÉSEK

6. A WEBÁRUHÁZBAN ÉRTÉKESÍTETT TERMÉKEK SZÁMLÁZÁSÁHOZ KAPCSOLÓDÓ ADATKEZELÉS

7. LOGISZTIKA, HÁZHOZSZÁLLÍTÁS ÉS CSOMAGPONT-ÁTVÉTEL ADATKEZELÉSE

8. ÜGYFÉLSZOLGÁLAT, KAPCSOLATFELVÉTEL ÉS PANASZKEZELÉS

9. TÁJÉKOZTATÓ AZ ÉRINTETTEK JOGAIRÓL ÉS JOGORVOSLATI LEHETŐSÉGEIRŐL

10. AZ ADATKEZELÉS BIZTONSÁGA (TECHNIKAI ÉS SZERVEZÉSI INTÉZKEDÉSEK)

11. AZ ADATVÉDELMI INCIDENSEK KEZELÉSE ÉS BELSŐ NYILVÁNTARTÁSA

12. ZÁRÓ RENDELKEZÉSEK (HATÁLYBALÉPÉS ÉS FELÜLVIZSGÁLAT)

Az Adatkezelési tájékoztató pontjai részletesen:

1. AZ ADATKEZELŐ MEGNEVEZÉSE

Cégnév: YOUNG Consulting Kereskedelmi és Szolgáltató Kft. (rövid név: Young Kft.)

Cégjegyzékszám: 06-09-001365

Nyilvántartó bíróság: Csongrád-Csanád Vármegyei Törvényszék Cégbírósága

Adószám: 10627950-2-06

Székhely: 6723 Szeged, Pille utca 30.

Telefon: +36 62 422 901

Ügyfélszolgálat:  +36 70 804 2220

E-mail: info@firsthand.hu

Honlap: www.firsthand.hu

Képviselő: Tihanyi Béláné cégvezető

Adatvédelmi tisztviselő: A GDPR 37. cikke alapján a Társaság nem köteles adatvédelmi tisztviselő kijelölésére.

A Webáruház megnevezése: Firsthand

Honlapja: www.firsthand.hu (a továbbiakban: weboldal, felület, honlap)

2. ADATFELDOLGOZÓK MEGNEVEZÉSE

2.1. IT és tárhelyszolgáltató adatfeldolgozó megnevezése:

• Cégnév: BlazeArts Kft.
• Székhely: 1096 Budapest, Thaly Kálmán utca 39.
• Adószám: 12539833243
• E-mail: info@forpsi.hu
• Weboldal: https://forpsi.hu

Feladat: Szerverkapacitás biztosítása, adatok fizikai és logikai tárolása, IT infrastruktúra karbantartása.

2.2. A Társaság küldeményeinek szállítását, kézbesítését végző adatfeldolgozók:

A Társaság küldeményeinek szállítását, kézbesítését végző adatfeldolgozók és önálló adatkezelők pontos adatai a 7. pontban találhatóak meg részletesen, a választott szállítási mód függvényében.

Az adatfeldolgozók kizárólag az Adatkezelő írásbeli utasításai alapján járhatnak el, az adatokat kizárólag a kézbesítés idejéig kezelhetik, és munkavállalóikat szigorú titoktartási kötelezettség terheli.

2.3. Adatvédelmi tisztviselő és a profilalkotás ténye:

Társaságunk nem köteles adatvédelmi tisztviselő kinevezésére. Tájékoztatjuk az érintetteket, hogy a weboldalon nyújtott egyes kényelmi és marketing szolgáltatások (így a Hanna virtuális mentor, a kosárelhagyó automatizmusok és a személyre szabott hűségpont-rendszer) működtetése érdekében az érintettek hozzájárulása alapján online viselkedésalapú követést és profilalkotást végzünk a személyre szabott felhasználói élmény és egyedi ajánlatok biztosítása céljából. Ezen adatkezelések részletes feltételeit a 4. pont tartalmazza.

2.4. Adatvédelmi kérelmek:

Amennyiben az érintettnek bármilyen kérdése vagy kérése van az adatkezeléssel kapcsolatban, kérelmét postai úton a 6723 Szeged, Pille utca 30. címre, vagy elektronikusan a weboldal kapcsolat menüpontján keresztül, vagy Email-ben, az info@firsthand.hu címre küldheti el. Az Adatkezelő a GDPR 12. cikk (3) bekezdése alapján indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a hozott intézkedésekről.

2.5. Külföldi adattovábbítás:

Az Adatkezelő az alapvető működés során harmadik országba (Európai Gazdasági Térségen kívülre) személyes adatot nem továbbít. [Megjegyzés: A Google Analytics vagy amerikai hátterű marketingeszközök használata esetén az adatok az USA-ba továbbításra kerülhetnek a DPF keretein belül, ezt a Sütitájékoztató részletezi.]

3. TÁJÉKOZTATÓ AZ EGYES ADATKEZELÉSEKRŐL

3.1. Sütikezelés a honlapon

3.1.1 A sütik használatának alapelvei

Az Adatkezelő a webáruház működtetése során úgynevezett sütiket (cookie-kat) alkalmaz a honlap alapvető funkcióinak biztosítása, a felhasználói élmény fokozása, valamint analitikai és marketing célú mérések elvégzése érdekében. A sütik kisméretű adatfájlok, amelyeket a weboldal látogatásakor a böngésző ment le a felhasználó eszközére, az alábbiak szerint:

A legnépszerűbb böngészők süti beállításairól és információiról az alábbi linkeken lehet tájékozódni:

3.1.2. A sütik kategóriái, jogalapja és tárolási ideje

Elengedhetetlenül szükséges (funkcionális) sütik:
Ezen sütik nélkül a webáruház alapvető funkciói (pl. kosár tartalmának megőrzése, bejelentkezés, biztonsági folyamatok) nem működnek.

Jogalap: Az Adatkezelő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont) a honlap működőképességének biztosítására.

Tárolási idő: Elsősorban a munkamenet végéig (böngésző bezárásáig), vagy maximum 365 napig.

Statisztikai és analitikai sütik (pl. Google Analytics):
Segítségével az Adatkezelő anonimizált adatokat gyűjt a honlap látogatottságáról, a felhasználók viselkedéséről.

Jogalap: Az érintett előzetes és önkéntes hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont, valamint az Eht. 155. § (4) bekezdése),  amely az előzetes tájékoztatáson alapuló hozzájárulást írja elő.

Tárolási idő: A süti típusától függően 1 naptól maximum 2 évig.

Marketing és hirdetési célú sütik (pl. Meta Pixel):
Lehetővé teszik a felhasználók érdeklődési körének megfelelő, személyre szabott hirdetések megjelenítését harmadik felek felületein.

Jogalap: Az érintett kifejezett, előzetes hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

Tárolási idő: Maximum 180 nap.

3.1.3. A sütik kezelése és törlése

A felhasználó a honlapra történő első belépéskor a „Süti-kezelő sávban” (Cookie Banner) kategóriánként szabadon beállíthatja, hogy mely sütik futtatásához járul hozzá. A hozzájárulás bármikor visszavonható. A felhasználó a saját böngészőjének beállításaiban is bármikor letilthatja vagy törölheti a sütiket.

3.2. A honlapon történő felhasználói fiók létrehozásával (regisztráció) kapcsolatos adatkezelés

Az adatkezelés célja: A webáruházban történő vásárlás lebonyolításának egyszerűsítése, a megrendelések történetének nyomon követése, a számlázási és szállítási adatok kényelmi tárolása és a szerződéses kötelezettségek hatékony előkészítése.

Az adatkezelés jogalapja: Olyan szerződés teljesítése, amelyben az érintett az egyik fél, vagy a szerződés megkötését megelőzően az érintett kérésére történő lépések megvétele (GDPR 6. cikk (1) bekezdés b) pont).

Az adatszolgáltatás elmaradásának következménye: Felhasználói fiók hiányában a kényelmi funkciók és a korábbi rendelések története nem érhető el.

Érintetti kör: Minden természetes személy, aki a webáruház felületén felhasználói fiókot regisztrál.

Kezelt adatok köre:

• Regisztrációkor: Felhasználó név, e-mail cím, jelszó (titkosítva), valamint alkoholtermékek vásárlási jogosultsága miatt a 18. életév betöltésére vonatkozó megerősítés (születési év és/ellenőrzés nyilatkozat ténye).
• Felhasználói fiókban: Teljes név, lakcím, számlázási név (Cég esetén cégnév), számlázási cím  és szállítási adatok (pontos cím), telefonszám - A személyes adatok címzettjei: Az Adatkezelő belső ügyfélszolgálati és értékesítési feladatokat ellátó munkavállalói, valamint az IT tárhelyszolgáltató kijelölt munkatársai.

A személyes adatok tárolásának időtartama: A felhasználói fiók érintett általi kezdeményezett törléséig. Amennyiben a fiókhoz vásárlási tranzakció kötődött, a számviteli bizonylatokat érintő személyes adatokat a Számviteli törvény (Sztv.) 169. § (2) bekezdése alapján kötelezően 8 évig megőrizzük, a felhasználói fiókot magát pedig az utolsó aktivitástól számított 3. év utolsó napján inaktiváljuk és töröljük, amennyiben nem áll fenn jogi igényérvényesítési kötelezettség.

4. VÁSÁRLÁST KÖNNYÍTŐ SZÁLGÁLTATÁSOKKAL, ÉRTESÍTÉSEKKEL  KAPCSOLATOS ADATKEZELÉS

I. KATEGÓRIA: HOZZÁJÁRULÁS NÉLKÜL (SZERZŐDÉS TELJESÍTÉSE VAGY JOGOS ÉRDEK ALAPJÁN) VÉGZETT ADATKEZELÉSEK (SOFT OPT-IN – KÜLÖN CHECKBOX NEM SZÜKSÉGES)

4.1. Regisztráció utáni rendszerismertető és onboarding e-mail sorozat 

- Az adatkezelés célja: A felhasználó regisztrációját követő, automatizált, kizárólag edukációs és funkcionális jellegű e-mail sorozat küldése, amely bemutatja a webáruház használatát, az affiliate-ajánlói rendszert és a hűségpontok működését. A levelek konkrét vagy közvetett termékajánlást, kereskedelmi reklámot, külső értékesítési linket nem tartalmaznak.

- Az adatkezelés jogalapja: Olyan szerződés teljesítése, amelyben az érintett az egyik fél (GDPR 6. cikk (1) bekezdés b) pont). A regisztrációval létrejött felhasználói fiók szolgáltatás nyújtásának, az onboarding folyamatnak a szerves részét képezi a rendszer működésének bemutatása. Mivel kereskedelmi reklámot nem tartalmaz, a Grt. 6. §-a nem terjed ki rá.

- Az adatszolgáltatás elmaradásának következménye: A felhasználó nem kapja meg a fiók működéséhez szükséges technikai útmutatókat.

- Érintetti kör: Minden természetes személy, aki a webáruházban felhasználói fiókot regisztrál.

- Kezelt adatok köre: Felhasználó neve, e-mail címe, regisztráció időpontja, nyelvi preferencia.

- Profilalkotás ténye: Nem történik profilalkotás, a rendszer minden regisztrálónak azonos struktúrájú tájékoztatást küld.

- A személyes adatok címzettjei: Az Adatkezelő ügyfélszolgálati és IT feladatokat ellátó munkavállalói, valamint tárhelyszolgáltatója (adatfeldolgozó).

- A személyes adatok tárolásának időtartama: A felhasználói fiók fennállásáig (törléséig).

4.2. Kosárelhagyó értesítések

- Az adatkezelés célja: A kosárfolyamatot és a vásárlást félbehagyó látogatók automatizált emlékeztetése e-mailben (maximum 1-2 alkalommal, a kosárelhagyást követő 24-48 órán belül), amely kizárólag a kosárba helyezett termékek listáját tartalmazza a tranzakció befejezésének megkönnyítése érdekében. Kiemelt ajánlat gyűjtőlink kizárólag meglévő (korábban már vásárolt) ügyfelek esetén jelenhet meg a levélben.

- Az adatkezelés jogalapja: Az Adatkezelő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont), összhangban a GDPR (47) preambulum bekezdésével.

Az Adatkezelő elvégezte a vonatkozó Érdekmérlegelési tesztet, amely megállapította, hogy a kosárban felejtett termékekre vonatkozó emlékeztetés az e-kereskedelmi üzletmenet fenntartásához fűződő valós gazdasági érdek, és nem korlátozza aránytalanul az érintett magánszféráját, mivel az adatok kezelése kizárólag a kosár összeállításától számított maximum 30 napig tart, és az érintett a kiküldött emlékeztetőben vagy az Adatkezelő elérhetőségein bármikor, indokolás nélkül tiltakozhat az adatkezelés ellen (leiratkozás). Az e-mail cím gyűjtése kizárólag a folyamatban lévő, de meg nem szakított pénztárfolyamatból történik.

- Érdekmérlegelési Teszt (ÉMT) eredményének magja: Az Adatkezelő jogos gazdasági érdeke az elmaradt tranzakciók realizálása. Az adatkezelés arányos és szükséges, mivel a felhasználó aktív magatartással (kosárba helyezés) indította el a folyamatot, így észszerűen számíthat technikai emlékeztetőre. Az érintett jogai nem sérülnek, mivel a levélben azonnali és ingyenes tiltakozási jogot biztosítunk.

- Az adatszolgáltatás elmaradásának következménye: Az érintett nem kap emlékeztetőt a kosárban felejtett termékekről.

- Érintetti kör: Azon azonosítható (bejelentkezett vagy adatokat megadó) felhasználók, akik terméket helyeztek a kosárba, de a rendelést nem véglegesítették.

- Kezelt adatok köre: E-mail cím, kosár tartalma (termékek megnevezése, mennyisége, értéke), kosárelhagyás időpontja.

- Profilalkotás ténye: Nem valósít meg történeti vagy viselkedésalapú profilalkotást; a rendszer kizárólag az aktuális munkamenet (session) kosáradatait olvassa be az emlékeztető kiküldéséhez.

- A személyes adatok tárolásának időtartama: A kosárelhagyástól számított maximum 48 óra, ezt követően az ideiglenes kosáradatok ezen célból törlésre kerülnek.

4.3. Kedvezménypont-számla vezetés és lejárati értesítések

- Az adatkezelés célja: A felhasználó által végzett aktivitásokért (vásárlások, termékértékelések, affiliate ajánlások, szakmai kérdések megválaszolása) járó hűségpontok pontos nyilvántartása a felhasználói profilban, valamint automatizált e-mail értesítések küldése a pontok jóváírásáról és azok elévülési/lejárati határidejéről (kiegészítve a Kiemelt Ajánlatok felületére mutató funkcionális beváltási linkkel).

- Az adatkezelés jogalapja: Olyan szerződés teljesítése, amelyben az érintett az egyik fél (GDPR 6. cikk (1) bekezdés b) pont – a törzsvásárlói/pontgyűjtő program feltételeinek teljesítése). A lejárati értesítő küldése nem minősül kéretlen reklámnak, hanem a szerződésszerű, jóhiszemű és tisztességes teljesítés (Ptk. 1:3. §) körébe tartozó kötelező és fogyasztóvédelmi szempontból indokolt tájékoztatás.

- Kezelt adatok köre: Felhasználó neve, e-mail címe, aktuális pontszámlájának egyenlege, pontszerzési jogcímek, pontok lejárati ideje.

- Profilalkotás ténye: Nem tartalmaz viselkedésalapú marketing célú profilalkotást; a pontok kiszámítása és könyvelése tisztán matematikai alapon történik.

- A személyes adatok tárolásának időtartama: A felhasználói fiók fennállásáig. Amennyiben a pontbeváltás konkrét adásvételben (számlázott tranzakcióban) realizálódik, a bizonylatokhoz kapcsolódó adatokat a Számviteli törvény 169. § (2) bekezdése alapján 8 évig meg kell őrizni.

4.4. Kedvencek lista szolgáltatáshoz kapcsolódó adatkezelés 

- Az adatkezelés célja: A felhasználó által létrehozott, az érdeklődési körének megfelelő és a rendszeres vásárlást könnyítő, listákba rendezett, termék / ajánlat információt, elérési linket tartalmazó adatok tárolása.

- Az adatkezelés jogalapja: természetes vevő érintett esetén szerződés (szolgáltatás) teljesítése (GDPR 6. cikk /1/ b./).

- Az érintett jogosult arra, hogy a szolgáltatást bármikor visszavonja, oly módon, hogy a szolgáltatást nem igényli, a listákat törli.

A hozzájárulás, igény visszavonása nem érinti a szerződés (szolgáltatás) teljesítéséhez szükségességén alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás, szolgáltatási igény visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását. A "Kedvencek" lista szolgáltatást az érintett a, „Saját Fiók / Kedvencek” felületen, a listák törlésével, vagy írásban, vagy e-mailben tett nyilatkozattal bármikor lemondhatja, megszűntetheti, amely a hozzájárulás visszavonását jelenti. Ilyen esetben a szolgáltatást (funkciót) igénybe vevő, minden, a szolgáltatás teljesítésével kapcsolatos adatát haladéktalanul törölni kell.

- Az adatszolgáltatás elmaradásának következménye: a "Kedvencek" lista nem lesz elérhető, annak segítségével a termékek nem előhívhatók. 

- Érintett személy: aki Igénybe veszi a "Kedvencek" lista felületét és listákat hoz létre.

- A kezelt adatkör: termék és kategória adatok, regisztrációs azonosító.

- Profilalkotás ténye: Nem tartalmaz viselkedésalapú marketing célú profilalkotást, Automatizált döntéshozatalt, az érintetteket nem minősíti, nem kategorizálja.

- A személyes adatok címzettjei – akik betekinthetnek az adatokba - illetve a címzettek kategóriái: a Társaság ügyfélszolgálattal, értékesítési tevékenységével kapcsolatos feladatokat ellátó munkavállalói, adatfeldolgozóként a Társaság IT szolgáltatója tárhely szolgáltatást végző munkavállalói.

- Adattovábbítás harmadik országba: nincs.

- A személyes adatok tárolásának időtartama: az igény fennállásáig, vagy az érintett hozzájárulása, igénye visszavonásáig (listák törlése, vagy törlési kérelméig).  A nem aktív e-mail címeket és hozzá kapcsolódó személyes adatokat törölni kell. Nem aktív az e-mail cím, ha az oda küldött hírlevél kézbesíthetetlen jelzéssel érkezik vissza.

4.5. Felhasználói választáson alapuló extra kedvezménykupon

- Az adatkezelés célja: A felhasználó saját, manuális és tudatos választása alapján, az automata virtuális mentor (Hanna modul) egyedi kuponkódot generál, majd azt egy alkalommal megküldi a felhasználó e-mail címére.

- Az adatkezelés jogalapja:

  1. Amikor a felhasználó a saját fiókjában vagy a kosárfolyamatban maga kezdeményezi a kupon kérését: GDPR 6. cikk (1) bekezdés b) pont (Szerződés teljesítése vagy szerződéskötést megelőző lépések megtétele az érintett kérésére). Mivel az adatkezelés a látogató által kért egyedi kényelmi szolgáltatás nyújtásához elengedhetetlen, adatgyűjtés, tárolás, profilalkotás nem történik, ehhez külön checkbox nem szükséges.

  2. Amennyiben a rendszer a lehetőséget rendszeres időközönként (pl. 3 havonta egyszer) felkínálja e-mailben a hűségprogram tagjainak: GDPR 6. cikk (1) bekezdés f) pont (Az adatkezelő jogos érdeke).

- Érdekmérlegelési Teszt (ÉMT) eredményének magja (havi emlékeztető esetén): Az Adatkezelő üzleti érdeke a felhasználói élmény (UX) maximalizálása és a lojalitás erősítése, összhangban a GDPR (47) preambulumával. A folyamat zéró kockázattal jár, mert nem alkalmaz háttér-adatgyűjtést vagy rejtett algoritmusokat; kizárólag a tag által manuálisan megadott gombnyomásnyi információt dolgozza fel a kupon generálásához. Az e-mail alján biztosított a leiratkozási (tiltakozási) jog (GDPR 21. cikk). Mivel a felhasználó kérésére küldjük, a Grt. 6. § (1) bekezdése szerinti reklámtilalmat nem sérti.

- Kezelt adatok köre: Felhasználó neve, e-mail címe, a manuálisan választott termékkategória megnevezése, kupon generálásának időpontja, kuponkód.

- Profilalkotás ténye: Nem valósít meg profilalkotást (az adatok nem kerülnek tárolásra); a funkció minden tag számára egyformán biztosított technikai lehetőség, rejtett viselkedéskövetés nélkül.

- A személyes adatok tárolásának időtartama: A kupon generálásáig és kiküldéséig, illetve az emlékeztetők tekintetében a leiratkozásig vagy a fiók törléséig.

4.6. Vásárlás utáni Soft Upsell és ügyfélgondozás (Tranzakciós / Értéknövelt levélsorozat)

- Az adatkezelés célja: A sikeres vásárlást követő, automatizált e-mail sorozat küldése, amely a megvásárolt termék szakszerű használatához nyújt támogatást (tippek, trükkök, tisztítási tanácsok), és kizárólag a megvásárolt termékhez szorosan, szakmailag kapcsolódó kiegészítő termékeket vagy tartozékokat (pl. tisztítószer, kompatibilis kellék) ajánl fel közvetlen értékesítési céllal, beleértve a Kiemelt Ajánlatok linkjét.

- Az adatkezelés jogalapja: Az Adatkezelő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont), összhangban a GDPR (47) preambulumbekezdésével és a Grt. 6. § (5a) bekezdésével (hazai soft-opt-in szabályozás meglévő ügyfelek esetén). Tájékoztatjuk, hogy a vásárlás folyamata során (a pénztár oldalon, vásárlói üzenben) az érintettnek lehetősége van kifejezetten tiltakozni a vásárlást követő direkt marketing üzenetek ellen. Ezen lehetőség hiányában a szolgáltatást nem biztosítjuk.

- Érdekmérlegelési Teszt (ÉMT) eredményének magja: Az Adatkezelő jogos üzleti érdeke a közvetlen üzletszerzés (direct marketing) a meglévő ügyfélkörben. Az adatkezelés arányos, mert kizárólag a már megvásárolt termékhez kötődik, nem zúdít a vevőre irreleváns reklámot, és az időtartama korlátozott (a termék életciklusához igazítva). A vevőnek a vásárlás során és minden egyes e-mail láblécében biztosított az azonnali, ingyenes és indokolás nélküli tiltakozás (leiratkozás) joga (GDPR 21. cikk).

- Kezelt adatok köre: Vásárló neve, e-mail címe, megvásárolt termék típusa/kategóriája, vásárlás időpontja, rendelésszám.

- Profilalkotás ténye: Minimális, statikus vásárlási alapú szűrést valósít meg (az adott termék ID alapján triggerelődő levél), de nem minősül összetett, viselkedésalapú háttér-profilalkotásnak.

- A személyes adatok tárolásának időtartama: A vásárlástól számított maximum 1-2 év (a termék jellegétől és életciklusától függően), vagy az érintett tiltakozásáig (leiratkozásáig).

4.7 Vásárolt termékek értékelése

- Az adatkezelés célja: A megvásárolt termékek értékelése, vélemény írása a weboldal erre kijelölt felületén. Az egyedi hűségprogram szerint a felhasználó, a hozzászólásért kedvezménypontot kap.

Az értékelések célja a fogyasztók tájékoztatása (social proof) és a termékek minőségbiztosítása, a pontok pedig a vásárlói hűség ösztönzését szolgálják. A folyamat nem alkalmaz rejtett algoritmusokat, külső profilalkotást vagy viselkedéskövetést.

- Az adatkezelés jogalapja: GDPR 6. cikk (1) bekezdés b) pont (Szerződés teljesítése): Mivel a weboldalon a vásárlás regisztrációhoz kötött, a felhasználó a regisztrációval és a vásárlással elfogadja a webáruház ÁSZF-ét, a Hűségprogram működését (tájékoztató a weboldal pontok – kedvezmények felületén). Az értékelési lehetőség felajánlása és a pontok transzparens jóváírása ezen belső hűségprogram-szerződés szerves, vállalt része és technikai végrehajtása.

Jogi kiegészítés a Grt. és Fgytv. alapján: Mivel a megkeresés a felhasználó által kezdeményezett zárt hűségprogram teljesítése, a levél nem minősül kéretlen gazdasági reklámnak (Grt. 6. §). Emellett megfelel az EU-s és hazai fogyasztóvédelmi előírásoknak, mert garantálja, hogy megkülönbözteti a azokat a véleményeket, azon személyek értékeléseit, akik azt a webáruházban ténylegesen megvásárolták (hitelesített fogyasztói vélemények).

- Kezelt adatok köre:

• Felhasználó e-mail címe és felhasználóneve.

• A megvásárolt termék pontos megnevezése és azonosítója (ID).
• A rendelés azonosítószáma és a kézbesítés időpontja (az n8n időzítéséhez).
• A szöveges értékelés tartalma, a csillagok száma, valamint a beküldés időpontja.
• A sikeres értékelésért jóváírt hűségpontok összege.

- Profilalkotás ténye: Nem valósít meg történeti vagy rendszerszintű profilalkotást.

- A személyes adatok tárolásának időtartama: A felhasználói fiók fennállásáig.

-Érdekmérlegelési Teszt (ÉMT) / Jogi indokolás:

Mivel az adatkezelés elsődleges jogalapja a szerződés teljesítése, önálló Érdekmérlegelési Teszt (ÉMT) lefolytatása a GDPR szerint nem szükséges. A felhasználó a kötelező regisztrációval és a hűségprogramba való belépéssel önkéntesen kérte a szolgáltatást, amelynek elválaszthatatlan eleme a pontgyűjtés és a visszajelzés lehetősége. Ha a tisztán látás kedvéért mégis vizsgálnánk a jogos érdeket (a minőségbiztosítás és a fogyasztói transzparencia oldaláról), az adatkezelés akkor is teljesen arányos, mivel a véleménynyilvánítás opcionális (nem kötelező kitölteni), a felhasználó nem szenved hátrányt, kizárólag vagyoni értékű előnyhöz (pontokhoz) jut, és a profilja nem kerül külső marketing-szegmentálásra

4.8. Webshopon belüli kontextuális ajánlások (On-site Upsell és Cross-sell)

- Az adatkezelés célja: A webáruház felületén (a terméklapokon vagy a kosár oldalon) az éppen megtekintett termékhez kapcsolódó termékajánlások (pl. kávégép mellé kávékapszula vagy édesség) megjelenítése az on-site értékesítés hatékonyságának növelése érdekében.

- Az adatkezelés jogalapja: Az Adatkezelő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont – a vállalkozás és az értékesítés szabadsága). Mivel a folyamat nem tárol adatokat tartósan, és nem kapcsolja össze azokat korábbi látogatások adataival, az érintett magánszféráját nem veszélyezteti; megfelel a fizikai boltokban alkalmazott elrendezési logikának.

- Kezelt adatok köre: Az aktuális látogatás során megtekintett termék kategóriája, a kosár pillanatnyi tartalma. Személyes adatok tartós, adatbázisoldali rögzítése nem történik.

- Profilalkotás ténye: Nem valósít meg történeti vagy rendszerszintű profilalkotást.

- A személyes adatok tárolásának időtartama: Kizárólag az aktuális felhasználói munkamenet (session) időtartama; a böngésző bezárásával vagy a session lejártával az adatok törlődnek.

II. KATEGÓRIA: KIFEJEZETT, ELŐZETES HOZZÁJÁRULÁSHOZ KÖTÖTT ADATKEZELÉSEK (SZIGORÚ OPT-IN – KÜLÖN, ELŐRE BE NEM PIPÁLT CHECKBOX KÖTELEZŐ)

4.9. Általános direkt marketing (DM) és hírlevél-szolgáltatás

- Az adatkezelés célja: Általános és tematikus hírek, információk, kereskedelmi reklámok és aktuális beszállítói akciós ajánlatok közvetlen üzletszerzési célú (direkt marketing) megküldése e-mailben az Adatkezelő által forgalmazott teljes termékkörről (ideértve kiemelten az élelmiszer, alkoholtermék, vegyi áru és műszaki cikk kategóriákat is).

- Az adatkezelés jogalapja: Az érintett kifejezett, előzetes és önkéntes hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont, valamint összhangban a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény Grt. 6. § (1)-(2) bekezdése és az Eht. 162. §-a).

A hírlevélre történő feliratkozás teljesen független a webáruházi vásárlástól vagy a regisztrációtól, nem kötelező, nem tehető a szerződéskötés feltételévé. Az érintett jogosult arra, hogy hozzájárulását bármikor, korlátozás és indokolás nélkül, ingyenesen visszavonja a levelek láblécében elhelyezett „Leiratkozás” linkre kattintással, vagy az info@firsthand.hu e-mail címre küldött nyilatkozattal. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.

- Az adatszolgáltatás elmaradásának következménye: Az érintett nem kap általános akciós értesítéseket és hírleveleket.

- Érintetti kör: Minden természetes személy, aki a hírlevél-küldésre kifejezetten feliratkozik.

- Kezelt adatok köre: Teljes név, e-mail cím, a feliratkozás időpontja, IP-cím, hozzájárulás log fájl-adatai. Az IP-cím tárolására kizárólag a visszaélések (automatizált robotok regisztrációja) megakadályozása és a hozzájárulás bizonyíthatósága céljából kerül sor (jogos érdek, GDPR 6. cikk (1) f).

- Profilalkotás ténye: Jelen hírlevél-szolgáltatás során az Adatkezelő nem alkalmaz egyedi viselkedéskövetést vagy profilalkotást; minden feliratkozó azonos tartalmú kampányüzeneteket kap.

- A személyes adatok címzettjei: Az Adatkezelő marketing feladatait ellátó munkavállalói, valamint az IT-tárhelyszolgáltató és a hírlevél-küldő automatizációs rendszerek (PrestaShop modulok, n8n/Make technikai integrációk) üzemeltetői mint adatfeldolgozók.

- A személyes adatok tárolásának időtartama: Az érintett hozzájárulásának visszavonásáig (leiratkozásig). A leiratkozás gombot minden egyes hírlevél láblécében biztosítjuk, vagy a kérés jelezhető az info@firsthand.hu címen.  A leiratkozást követően a direkt marketing célból kezelt személyes adatok haladéktalanul, de legkésőbb 5 munkanapon belül törlésre kerülnek a hírlevél-adatbázisból. Az Adatkezelő automatikusan törli az adatokat, amennyiben a kézbesítési rendszer tartós és végleges kézbesíthetetlenséget (hard bounce, legalább 3 egymást követő sikertelen hibaüzenet) igazol vissza.

4.10. Viselkedésalapú komplex profilalkotás és automata kuponkezelés (Hanna marketing modul)

- Az adatkezelés célja: A felhasználó, a weboldalon tanúsított teljes böngészési és vásárlási előzményeinek, kosárértékének, látogatási gyakoriságának, cookie-adatainak és preferenciáinak tartós, rendszerszintű elemzése (profilalkotás) abból a célból, hogy a háttér-algoritmusok egyedi vásárlói profilokat dedukáljanak, és ez alapján személyre szabott, automatizált marketing ajánlatokat, egyedi kedvezménykuponokat és perszonalizált e-mail kommunikációt küldjenek.

- Az adatkezelés jogalapja: Az érintett kifejezett, előzetes, különálló és önkéntes hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont).

- Jogalap indokolása: A GDPR 22. cikke és a hatósági (NAIH) iránymutatások értelmében a felhasználói viselkedés nyomon követése, automatizált elemzése és az ez alapján történő célzott marketing-profilalkotás olyan mértékben avatkozik be az érintett információs önrendelkezési jogába, amely nem alapozható jogos érdekre vagy egyszerű szerződéses kényelmi funkcióra. Ehhez a regisztráció során vagy a kosárfolyamatban egy teljesen különálló, előre be nem pipált, kötelezővé nem tehető jelölőnégyzetet (checkbox) biztosítunk. A hozzájárulás a Saját Fiókban bármikor, azonnali hatállyal és ingyenesen visszavonható („Kilépek a profilalkotás alapú kuponosztásból” gombbal).

- Az adatszolgáltatás elmaradásának következménye: A felhasználó nem kap az egyedi fogyasztási szokásaihoz igazított kuponokat és perszonalizált ajánlatokat.

- Érintetti kör: Azon regisztrált felhasználók, akik ehhez a komplex marketing-profilalkotáshoz kifejezetten hozzájárultak.

- Kezelt adatok köre: Név, e-mail cím, IP-cím, cookie-azonosítók, teljes vásárlási és böngészési história (megtekintett termékek, kategóriák), kattintási statisztikák, kosárelőzmények, rendszer által generált egyedi kuponkódok adatai.

- Profilalkotás ténye: **IGEN, az adatkezelés kifejezetten profilalkotást valósít meg.** A rendszer (PrestaShop, n8n/Make és Google AI Studio integráció útján) automatizáltan elemzi a felhasználó viselkedését, és ez alapján egyedi vásárlói kategóriákba sorolja az érintettet. Az automatizmus emberi beavatkozás nélkül fut le, de joghatást vagy az érintettre nézve hasonlóan jelentős következményt nem vált ki (kizárólag pozitív kedvezményeket biztosít), így megfelel a GDPR 22. cikkének.

- A személyes adatok címzettjei: Az Adatkezelő marketing és IT fejlesztési munkatársai, valamint a titkosított adatcsatornákat és automatizációt biztosító technikai adatfeldolgozók.

-Külföldi adattovábbítás: Az adatfeldolgozás során igénybe vett Google AI Studio, Claude, egyéb AI szöveges modellek, N8N technológia kapcsán az adatok az USA-ba kerülhetnek továbbításra. Az adattovábbítás a "Data Privacy Framework" (DPF) keretrendszer alapján történik, amely az Európai Bizottság megfelelőségi határozata alapján biztosítja az adatok megfelelő védelmét.

- A személyes adatok tárolásának időtartama: Az érintett hozzájárulásának visszavonásáig, vagy a felhasználói fiók végleges törléséig.

5. WEBÁRUHÁZI VÁSÁRLÁSHOZ KAPCSOLÓDÓ ADATKEZELÉS

5.1. Vásárlási tranzakciók lebonyolítása természetes személy, vevők (fogyasztók) esetén

- Az adatkezelés célja:
A webáruházban forgalmazott termékek (élelmiszerek, vegyi áruk, műszaki cikkek, alkoholtermékek stb.) online értékesítésére irányuló szerződés létrehozása, tartalmának meghatározása, a megrendelés feldolgozása, a teljesítés (szállítás, logisztika) figyelemmel kísérése, a vásárlási tranzakció adminisztrációja, az ügyfélszolgálati megkeresések kezelése, valamint az alkoholtermékek értékesítése során a jogszabályban előírt életkor-ellenőrzési kötelezettség teljesítése.

- Az adatkezelés jogalapja:

  1. Általános adatok tekintetében: A megrendelés lebonyolításához, a szerződés megkötéséhez és teljesítéséhez szükséges adatok (név, szállítási cím, telefon, e-mail) esetében a jogalap a szerződés teljesítése [GDPR 6. cikk (1) bek. b) pont]

  2. Alkoholtermékek rendelése esetén az életkor ellenőrzése tekintetében: Az Adatkezelőre vonatkozó jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pont), összhangban a fogyasztóvédelemről szóló 1997. évi CLV. törvény (Fgytv.) 16/A. § (1) bekezdésével (fiatalkorúak alkohollal történő kiszolgálásának tilalma).

- Az adatszolgáltatás elmaradásának következménye:
A szerződés nem tud létrejönni, a megrendelést az Adatkezelő nem tudja befogadni és teljesíteni. Alkoholtermék esetén az életkor igazolásának (nyilatkozat) elmaradása a termék értékesítésének megtagadását vonja maga után.

- Érintettek köre:
Minden természetes személy, aki a webáruházban vásárlást indít vagy megrendelést ad le.

- Kezelt adatok köre:
Teljes név, számlázási név és cím, szállítási név és cím, e-mail cím, telefonszám, a megrendelés egyedi azonosítószáma, a vásárlás időpontja, a megvásárolt termékek megnevezése, mennyisége, vételára, az alkalmazott fizetési és szállítási mód, hűségpont-felhasználás adatai, valamint alkoholtermék vásárlása esetén a 18. életév betöltésére vonatkozó kötelező és kifejezett nyilatkozat (születési év vagy igen/nem visszaigazolás).

- Profilalkotás ténye:
Jelen folyamatban marketing célú profilalkotás nem történik; az adatok feldolgozása kizárólag a logisztikai és szerződéses folyamat végrehajtására korlátozódik.

- A személyes adatok címzettjei és az adatfeldolgozók:

  1. Az Adatkezelő ügyfélszolgálati, raktározási és értékesítési feladatokat ellátó munkavállalói.

  2. Logisztikai partnerek (adatfeldolgozók): A csomagok kézbesítését végző futárszolgálatok és logisztikai szolgáltatók (pl. MPL / Magyar Posta Zrt., Foxpost – az aktuálisan választott szállítási mód függvényében), akik részére a név, a szállítási cím és a telefonszám/e-mail cím továbbításra kerül a kiszállítás koordinálása érdekében.

  3. Pénzügyi és fizetési partner (önálló adatkezelő / adatfeldolgozó): Az online bankkártyás fizetések lebonyolítása során a kártyaadatokat és a fizetési tranzakció adatait a MyPOS (Interpayis AD / MyPOS Service Ltd.) mint önálló adatkezelő, biztonságos zárt rendszerben kezeli, a 2013. évi CCXXXV. törvény előírásainak megfelelően.

Az online bankkártyás fizetések lebonyolítása során a kártyaadatokat a MyPOS (MyPOS Service Ltd.) mint önálló adatkezelő kezeli, a 2013. évi CCXXXV. törvény előírásainak megfelelően.

Az Adatkezelő bankkártya-adatokat nem lát és nem tárol. A tranzakció sikerességének igazolása, a vásárló neve és az ellenérték összege az Adatkezelő számlavezető bankjának kivonatán is megjelenik.

- A személyes adatok tárolásának időtartama a szerződés teljesítése (GDPR 6. cikk (1) b)) jogalapon: A megrendelés leadásától a szerződés teljesüléséig (a termék átvételéig és a vételár megfizetéséig). Ezt követően a polgári jogi elévülés végéig az adatok kezelése a 5.2. pont szerinti jogalapon folytatódik.

5.2. Vásárlási adatok megőrzése jogi igények érvényesítése és védelme céljából (A szerződés teljesítését követő fázis)

- Az adatkezelés célja:
A számviteli bizonylatok (számlák) törvényi megőrzési kötelezettségének teljesítése, valamint a polgári jogi igények érvényesítése.  A teljesített szerződésekből eredő esetleges polgári jogi igények (pl. hibás teljesítés, szavatossági, kártérítési vagy jogalap nélküli gazdagodási igények) bírósági vagy hatósági úton történő érvényesítése, illetve az Adatkezelővel szemben támasztott igényekkel szembeni jogi védelem biztosítása.

- Az adatkezelés jogalapja:
Az Adatkezelő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont).

- Érdekmérlegelési Teszt (ÉMT) eredményének magja:
Az Adatkezelő jogos gazdasági és jogvédelmi érdeke, hogy a Polgári Törvénykönyvben biztosított elévülési idő alatt bizonyítani tudja a szerződés szerződésszerű teljesítését és kezelni tudja a jogvitákat. Az adatkezelés az érintettre nézve nem jelent aránytalan korlátozást, mivel az adatok zárt, utólagosan nem módosítható archívumban kerülnek tárolásra, kizárólag jogvita esetén kerülnek felhasználásra, és megegyeznek a vásárlás során amúgy is megadott adatokkal. Az érintettet megilleti a tiltakozás joga (GDPR 21. cikk).

- Kezelt adatok köre:
A vásárló neve, e-mail címe, telefonszáma, a szerződés tárgya (termékek), a teljesítés időpontja, rendelésszám, fizetési adatok (számlaadatok kivételével, amelyek a 6. pont alá tartoznak).

- A személyes adatok tárolásának időtartama:

a) Számviteli bizonylatok esetén: Az Sztv. 169. § (2) bekezdése alapján a kiállítástól számított 8 év.

b) Egyéb szerződéses adatok (nem bizonylatok): A Ptk. 6:22. § (1) bekezdése szerinti 5 éves általános elévülési idő.

5.3. Jogi személy vevők (céges vásárlók) képviselőinek és kapcsolattartóinak adatkezelése

- Az adatkezelés célja:
A webáruházban jogi személyek (vállalkozások, intézmények) által leadott megrendelések teljesítése, a szerződéses feltételek operatív egyeztetése, a szállítással, átvétellel kapcsolatos folyamatos kapcsolattartás és együttműködés biztosítása.

- Az adatkezelés jogalapja:
Az Adatkezelő és a jogi személy partner közös jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont).

- Érdekmérlegelési Teszt (ÉMT) eredményének magja:
A szervezetnek, mint absztrakt jogi formációnak elengedhetetlen szüksége van arra, hogy a nevében eljáró és a kapcsolatot tartó természetes személyek útján kommunikáljon. Az Adatkezelő jogos gazdasági érdeke a B2B tranzakciók zökkenőmentes lebonyolítása. Az érintett (képviselő/kapcsolattartó) magánszférájának korlátozása minimális és arányos, mivel kizárólag a professzionális minőségében megadott, a munkavégzéséhez kapcsolódó elérhetőségi adatait kezeljük, amelyek megadásával az érintettnek a pozíciójából fakadóan észszerűen számolnia kell. Az érintettet megilleti a tiltakozás joga.

- Kezelt adatok köre:
A jogi személy képviselőjének/kapcsolattartójának neve, céges telefonszáma, céges e-mail címe, beosztása/titulusa, a képviselt cég neve.

- A személyes adatok tárolásának időtartama:
A jogi személy partnerrel fennálló szerződéses kapcsolat megszűnését (vagy a szerződés teljesülését) követő 5 év (a Ptk. 6:22. § (1) bekezdése szerinti polgári jogi elévülési idő végéig).

-Tájékoztatás:
Amennyiben az adatok kezelése nem közvetlenül az érintettől származik (hanem a jogi személy partnerünktől), az érintettet a GDPR 14. cikk szerinti tájékoztatás illeti meg, amelyet a partnerünkön keresztül vagy közvetlenül elérhető Adatkezelési Tájékoztatónk biztosít.

6. A WEBÁRUHÁZBAN ÉRTÉKESÍTETT TERMÉK / SZOLGÁLTATÁS SZÁMLÁZÁSÁHOZ KAPCSOLÓDÓ ADATKEZELÉS

- Az adatkezelés célja:
A webáruházban történt vásárlások után a jogszabályoknak megfelelő számviteli bizonylat (számla/módosító számla) kiállítása, az adó- és számviteli kötelezettségek (könyvvezetés, adóalap-megállapítás, online számla-adatszolgáltatás) teljesítése.

- Az adatkezelés jogalapja:
Az Adatkezelőre vonatkozó jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pont), összhangban az általános forgalmi adóról szóló 2007. évi CXXVII. törvény (Áfa tv.) 159. § (1) bekezdésével (számlakibocsátási kötelezettség), a számvitelről szóló 2000. évi C. törvény (Számviteli tv.) 166-169. §-aival, valamint a jövedéki adóról szóló 2016. évi LXVIII. törvény (Jöt.) elszámolási és bizonylati előírásaival.

- Az adatszolgáltatás elmaradásának következménye:
Jogszabályba ütköző állapot jönne létre, számla hiányában a vásárlás (ügylet) nem bonyolítható le jogszerűen, így az Adatkezelő köteles megtagadni a kiszolgálást.

- Érintettek köre:
Minden természetes személy (magánszemély vevő, egyéni vállalkozó, őstermelő stb.), akinek a nevére a webáruházban történő vásárlás során számla kerül kiállításra.

- Kezelt adatok köre:
Számlázási név (vagy egyéni vállalkozói név és titulus), számlázási cím (ország, irányítószám, város, utca, házszám), adóalany magánszemély/egyéni vállalkozó esetén adószám, a vásárlás megnevezése (tételek), mennyisége, egységára, a teljesítés helye és ideje, a számla kiállításának kelte és fizetési határideje, alkalmazott áfa-kulcs, az áfa összege, a számla végösszege, valamint a fizetés módja.

- Profilalkotás ténye:
Jelen adatkezelés során profilalkotás vagy automatizált döntéshozatal nem történik; az adatok rögzítése és formázása szigorúan a jogszabályi minták alapján valósul meg.

- A személyes adatok címzettjei és az adatfeldolgozók:

  1. Az Adatkezelő pénzügyi, számlázási és könyvelési feladatokat ellátó munkavállalói.

  2. Számlázási rendszer szolgáltatója (adatfeldolgozó): A Billingo online számlázó platformot üzemeltető Billingo Technologies Zrt. (Székhely: 1133 Budapest, Árbóc utca 6. I. emelet), amely az Adatkezelővel kötött adatfeldolgozói szerződés alapján biztosítja a bizonylatok generálását és felhőalapú tárolását.

  3. Könyvelési szolgáltató (adatfeldolgozó): A Young Kft, a könyvviteli és adózási feladatokat saját hatáskörében (tevékenységi kör) végzi, a bizonylatokat a könyvelőprogramban rögzíti.

  4. Hatósági címzett: A Nemzeti Adó- és Vámhivatal (NAV). Az Áfa tv. előírásai alapján az Adatkezelő a kiállított számlák adatairól automatizált, elektronikus online adatszolgáltatást teljesít a NAV felé. Jövedéki ellenőrzés vagy adóellenőrzés keretében a számlákba és a kapcsolódó nyilvántartásokba a NAV jövedéki és adóztatási szervei betekinthetnek.

- A személyes adatok tárolásának időtartama:
A Számviteli törvény 169. § (1)-(2) bekezdése alapján a számla kiállításának évét követő naptári évtől számított **szigorú 8 év**. A jogszabályi előírás miatt ezen időtartam alatt az adatok nem törölhetők az érintett kérésére sem (a törléshez való jog korlátozott a jogi kötelezettség fennállása miatt). Az Adatkezelő az érintett törlési kérelmét ezen időtartam alatt a GDPR 17. cikk (3) bekezdés b) pontja alapján, jogi kötelezettség teljesítése érdekében köteles elutasítani.

7. LOGISZTIKA, HÁZHOZSZÁLLÍTÁS ÉS CSOMAGPONT-ÁTVÉTEL ADATKEZELÉSE

- Az adatkezelés célja:
A webáruházban megrendelt termékek vevőhöz történő eljuttatása, a házhozszállítás, illetve csomagpontra/automatába történő kézbesítés logisztikai lebonyolítása, a csomag státuszáról szóló értesítések küldése.

- Az adatkezelés jogalapja:
A szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont) – a szállítás a felek közötti adásvételi szerződés részét képezi.

- Kezelt adatok köre:
Címzett neve, szállítási cím (ország, irányítószám, város, utca, házszám), telefonszám, e-mail cím, a csomag egyedi azonosítószáma, utánvétes fizetés esetén az utánvét összege.

- Címzettek és adatkezelési státuszuk (Logisztikai partnerek):

  A futárszolgálatok a csomag átvételét és a szállítási folyamat saját hálózatukban történő megszervezését követően az elektronikus hírközlésről szóló 2003. évi CXXXVI. törvény, valamint a postai szolgáltatásokról szóló 2012. évi CLIX. törvény alapján **önálló adatkezelőnek** minősülnek, az adatokat saját adatkezelési szabályzatuk szerint kezelik. Saját adatkezelési elveikért és a postai jogszabályoknak való megfelelésért önállóan felelnek. Az Adatkezelő az adatokat a szerződés teljesítése [GDPR 6. cikk (1) bek. b) pont] jogalapján továbbítja feléjük.

 A továbbított adatok kezelésével kapcsolatban az érintett közvetlenül a szolgáltatók adatvédelmi tájékoztatója alapján gyakorolhatja jogait:

FOXPOST:

• Cégnév: FoxPost Korlátolt Felelősségű Társaság (FoxPost Kft.)
• Székhely: 1097 Budapest, Könyves Kálmán körút 12-14.
• Adószám: 32435119-2-43
• FoxPost Kft. adatkezelési tájékoztatója: https://www.foxpost.hu

MPL:

• Cégnév: Magyar Posta Zártkörűen Működő Részvénytársaság (Magyar Posta Zrt.)
• Székhely: 1138 Budapest, Dunavirág utca 2-6.
• Adószám: 10901235-2-44
• Magyar Posta Zrt. adatkezelési tájékoztatója: https://www.posta.hu/adatkezelesi_tajekoztato

Megjegyzés:
Az automaták belső működési mechanizmusában harmadik fél felé extra adattovábbítás nem történik, a fenti logisztikai szolgáltatók saját rendszerükön belül kezelik az átvételi kódokat.

- A személyes adatok tárolásának időtartama:
A szállítás sikeres lebonyolításáig, ezt követően a számlázási adatok részeként a Számviteli tv. alapján 8 évig, a szállítási adatok és igazolások tekintetében a polgári jogi elévülés végéig (5 év, GDPR 6. cikk (1) f) jogalapon) a jogi igények védelmében.

8. ÜGYFÉLSZOLGÁLAT, KAPCSOLATFELVÉTEL ÉS PANASZKEZELÉS

8.1. Általános kapcsolatfelvétel és ügyfélszolgálati megkeresések (nem minősülő panaszok)

- Az adatkezelés célja:
A honlap Kapcsolat menüpontján, e-mailen vagy telefonon érkező általános (termékekkel, készlettel, működéssel kapcsolatos) felhasználói kérdések, észrevételek megválaszolása és adminisztrációja.

Megjegyzés:
Telefonos ügyfélszolgálatunk hívásait minőségbiztosítási vagy egyéb célból nem rögzítjük.

- Az adatkezelés jogalapja:
Az Adatkezelő és az érintett közös jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont) a gördülékeny üzleti kommunikáció és a vásárlás elősegítése érdekében.

- Kezelt adatok köre:
Név, e-mail cím, telefonszám, Felhasználó és megrendelés azonosító, az üzenet tárgya és szabad szöveges tartalma, a megkeresés időpontja.

- Tárolási idő:
A megkeresés végleges megválaszolásától, illetve az ügy lezárásától számított 1 év, kivéve, ha az üzenet tartama alapján a felek között szerződés jön létre vagy jogvita alakul ki (ez esetben a szerződéses vagy az elévülési idő irányadó). Ez esetben az adatkezelés időtartama a Polgári Törvénykönyv szerinti elévülési időhöz igazodik (főszabály szerint 5 év).

8.2. Fogyasztóvédelmi panaszkezelés

- Az adatkezelés célja:
A webáruházban vásárolt termékekkel kapcsolatos minőségi, szavatossági, fogyasztóvédelmi panaszok törvényes intézése, jegyzőkönyvezése, írásbeli panaszok megválaszolása.

- Az adatkezelés jogalapja:
Az Adatkezelőre vonatkozó jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pont), összhangban a fogyasztóvédelemről szóló 1997. évi CLV. törvény (Fgytv.) 17/A. §-ával.

- Kezelt adatok köre:
Fogyasztó neve, lakcíme, a panasz előterjesztésének helye, ideje, módja, a panasz részletes leírása, a fogyasztó által bemutatott iratok, dokumentumok, jegyzőkönyv azonosítószáma, az Adatkezelő panaszra adott írásbeli válasza.

- A személyes adatok tárolásának időtartama:
Az Fgytv. 17/A. § (7) bekezdésében előírt kötelező jogszabályi határidő alapján a panaszról felvett jegyzőkönyv és az arra adott válasz másolati példánya tekintetében a betételtől/megválaszolástól számított **szigorú 3 év**. Ezen időtartam alatt az érintett törlési kérelme (GDPR 17. cikk) jogi kötelezettség teljesítése miatt korlátozott.

9. TÁJÉKOZTATÓ AZ ÉRINTETTEK JOGAIRÓL ÉS JOGORVOSLATI LEHETŐSÉGEIRŐL

9.1. Átlátható tájékoztatás, kommunikáció és az érintett joggyakorlásának elősegítése

9.1.1. Az Adatkezelő az érintett részére a személyes adatok kezelésére vonatkozó valamennyi információt és minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtja. Az információkat írásban vagy más módon – ideértve az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát (GDPR 12. cikk).

9.1.2. Az Adatkezelő elősegíti az érintett jogainak a gyakorlását. Az érintett a jogait a „Saját fiók (Fiókom)” felületen közvetlenül, vagy az ugyfelszolgalat@firsthand.hu e-mail címre küldött nyilatkozattal gyakorolhatja. Az Adatkezelőnek megalapozott kétségei esetén az érintett személyazonosságának megerősítéséhez további információkat kérhet be, mielőtt a kérelem alapján intézkedne.

9.1.3. Az Adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a jogai gyakorlására irányuló kérelme nyomán hozott intézkedésekről. E határidő a GDPR 12. cikk (3) bekezdésében írt feltételekkel (a kérelem összetettsége és a kérelmek száma alapján) további két hónappal meghosszabbítható, amelyről az érintettet a késedelem okainak megjelölésével a kérelem vételétől számított egy hónapon belül tájékoztatni kell.

9.1.4. Ha az Adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be a felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

9.1.5. Az Adatkezelő az információkat és az érintett jogairól szóló tájékoztatást és intézkedést díjmentesen biztosítja. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az Adatkezelő az adminisztratív költségekre tekintettel ésszerű mértékű díjat számíthat fel, vagy megtagadhatja a kérelem alapján történő intézkedést.

9.2. Az érintett hozzáférési joga

9.2.1. Az érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a GDPR 15. cikkében meghatározott kapcsolódó információkhoz (adatkezelés céljai, kategóriái, címzettek, tárolási idő) hozzáférést kapjon.

9.2.2. Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a GDPR 46. cikk szerinti megfelelő garanciákról.

9.2.3. Az Adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. A webáruház, a regisztrált felhasználók számára a „Saját fiók (Fiókom)” felületen közvetlen digitális adatexport funkciót biztosít, amely lehetővé teszi a tárolt személyes adatok azonnali letöltését. Az érintett által kért további másolatokért az Adatkezelő az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel.

9.3. A helyesbítéshez való jog

9.3.1. Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat.

9.3.2. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését is. A regisztrált felhasználók ezen adataikat a „Saját fiók (Fiókom)” felületen önállóan, bármikor módosíthatják és aktualizálhatják.

9.4. A törléshez való jog („az elfeledtetéshez való jog”)

9.4.1. Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha az alábbi indokok valamelyike fennáll:

a)  a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b)  az érintett visszavonja az adatkezelés alapját képező hozzájárulását (pl. hírlevél, profilalkotás esetén), és az adatkezelésnek nincs más jogalapja;

c)  az érintett a GDPR 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a GDPR 21. cikk (2) bekezdése alapján tiltakozik a közvetlen üzletszerzés célú adatkezelés ellen;

d)  a személyes adatokat jogellenesen kezelték;

e)  a személyes adatokat az Adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell.

9.4.2. A törléshez való jog nem érvényesíthető, amennyiben az adatkezelés szükséges jogi kötelezettség teljesítése (így különösen a Számviteli törvény szerinti 8 éves bizonylatmegőrzési kötelezettség, vagy a Fogyasztóvédelmi törvény szerinti 3 éves panaszmegőrzési kötelezettség), illetve jogi igények előterjesztése, érvényesítése, illetve védelme céljából.

9.5. Az adatkezelés korlátozásához való jog

9.5.1. Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát;

b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;

c) az Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy

d) az érintett a GDPR 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

9.5.2. Az adatkezelés korlátozása esetén az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

9.6. A személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség

Az Adatkezelő minden olyan címzettet (pl. tárhely-szolgáltató, számlázási és logisztikai partnerek) tájékoztat valamennyi helyesbítésről, törlésről vagy adatkezelés-korlátozásról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére az Adatkezelő tájékoztatja e címzettekről. Az ügyfélszolgálathoz érkező igényeket az érintett azonosítását követően teljesítjük, az elvégzett intézkedésekről e-mailben küldünk visszaigazolást.

9.7. Az adathordozhatósághoz való jog

Az érintett jogosult arra, hogy a rá vonatkozó, általa az Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban (CSV/JSON) megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa, ha az adatkezelés hozzájáruláson (GDPR 6. cikk (1) bekezdés a) pont) vagy szerződésen (GDPR 6. cikk (1) bekezdés b) pont – pl. regisztráció, törzsvásárlói pontrendszer) alapul, és az adatkezelés automatizált módon történik. Ennek technikai feltételeit a felhasználó a „Saját fiók (Fiókom)” menüpont alatt elhelyezett adathordozhatósági funkcióval önállóan is kezdeményezheti.

9.8. A tiltakozáshoz való jog

9.8.1. Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak az Adatkezelő jogos érdekén (GDPR 6. cikk (1) bekezdés f) pont) alapuló kezelése ellen. **Az Adatkezelő kifejezetten felhívja a figyelmet, hogy a webáruház felületén jogos érdek alapján végzett adatkezelések (így a Hanna modul által küldött kosárelhagyó emlékeztetők, a vásárlást követő soft-upsell kiegészítő termékajánlások, valamint a havi rendszeres kuponlehetőség-értesítők) ellen a felhasználó bármikor, azonnal, ingyenesen és indokolás nélkül tiltakozhat.**

9.8.2. Tiltakozás esetén az Adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az Adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

9.8.3. Ha a személyes adatok kezelése közvetlen üzletszerzés (Direct Marketing) érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is. Ha az érintett tiltakozik a közvetlen üzletszerzés érdekében történő kezelés ellen, a személyes adatok a továbbiakban e célból nem kezelhetők, az automatizált marketing folyamatok az érintett tekintetében leállításra kerülnek.

9.9. Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást

9.9.1. Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértekben érintené.

9.9.2. A webáruház felületén a felhasználói viselkedés követésén és rendszerszintű elemzésén alapuló DM-profilalkotás kizárólag a felhasználó előzetes, kifejezett és önkéntes hozzájárulása (GDPR 6. cikk (1) bekezdés a) pont szerinti szigorú Opt-in checkbox) esetén aktiválódik.

9.10. Az érintett tájékoztatása az adatvédelmi incidensről

9.10.1. Az adatvédelmi incidens a biztonság olyan sérülése, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

9.10.2. Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő **indokolatlan késedelem nélkül** tájékoztatja az érintettet az adatvédelmi incidensről az általa megadott elérhetőségeken (elsődlegesen e-mailben). E tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a következőket:

a) az adatvédelmi kapcsolattartó nevét és elérhetőségeit;

b) ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;

c) ismertetni kell az Adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve az esetleges hátrányos következmények enyhítését célzó intézkedéseket.

9.10.3. Az érintettet nem kell tájékoztatni, ha a GDPR 34. cikk (3) bekezdésében rögzített feltételek bármelyike teljesül (pl. az Adatkezelő megfelelő technikai védelmi intézkedéseket – így titkosítást – alkalmazott, amelyek a fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat, vagy ha az incidens után olyan intézkedéseket tett, amelyek biztosítják, hogy a magas kockázat a továbbiakban valószínűsíthetően nem valósul meg).

9.11. A felügyeleti hatóságnál történő panasztételhez való jog (hatósági jogorvoslathoz való jog)

Az érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a GDPR előírásait. Magyarországon az adatvédelmi felügyeleti hatóság a NAIH. A panasz benyújtható postai úton, vagy elektronikus úton az e-Papír szolgáltatáson keresztül (https://epapir.gov.hu).

Magyarországon az adatvédelmi felügyeleti hatóság:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Székhely: 1055 Budapest, Falk Miksa utca 9-11.

Postacím: 1363 Budapest, Pf.: 9.

Telefon: +36 (1) 391-1400 | Telefax: +36 (1) 391-1410

Elektronikus postacím: ugyfelszolgalat@naih.hu | Honlap: www.naih.hu

9.12. A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

9.12.1. Minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben (GDPR 78. cikk).

9.12.2. Minden érintett jogosult a hatékony bírósági jogorvoslatra, ha az illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

9.13. Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

9.13.1. Minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak a GDPR-nak nem megfelelő kezelése következtében megsértették a Rendelet szerinti jogait (GDPR 79. cikk).

9.13.2. Az Adatkezelővel szembeni eljárást az Adatkezelő tevékenységi helye (székhelye) szerinti szerinti törvényszék bírósága előtt kell megindítani. Az eljárás megindítható az érintett szokásos tartózkodási helye (lakóhelye vagy tartózkodási helye) szerinti törvényszék előtt is. Magyarországon a per elbírálása a Törvényszék hatáskörébe tartozik.

10. Az adatkezelés biztonsága (Technikai és szervezési intézkedések) 

TÁJÉKOZTATÁS ADATBIZTONSÁGI INTÉZKEDÉSEKRŐL

Az Adatkezelő valamennyi célú és jogalapú adatkezelése vonatkozásában a személyes adatok biztonsága érdekében megtette azokat a technikai és szervezési intézkedéseket és kialakította azokat az eljárási szabályokat, amelyek GDPR érvényre juttatásához szükségesek.   

Az Adatkezelő az adatokat megfelelő intézkedésekkel védi a véletlen vagy jogellenes megsemmisítés, elvesztés, megváltoztatás, sérülés, jogosulatlan nyilvánosságra hozatal vagy az azokhoz való jogosulatlan hozzáférés ellen.

10.1. Adatbiztonság

Az Adatkezelő a tudomány és a technológia állása, a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja (GDPR 32. cikk, Infotv. 7. §).

10.2. Technikai és szervezési biztonsági intézkedések

Az Adatkezelő a webáruház informatikai ökoszisztémájában az alábbi specifikus technikai és szervezési biztonsági intézkedéseket alkalmazza:

10.2.1. Informatikai és hálózati biztonság: A webáruház szerverei és adatbázisai zárt, TLS/SSL titkosítással védett HTTPS csatornákon keresztül kommunikálnak. Az adatbázisokat folyamatos szoftveres tűzfalak (WAF) védik a külső támadások (SQL injection, Cross-Site Scripting, DDoS) ellen.

10.2.2. API és automatizációs adatbiztonság: A webáruházat kiszolgáló PrestaShop motor, valamint a belső folyamatokat automatizáló n8n és Google Sheets rendszerek közötti adatkapcsolatok kizárólag egyedi, titkosított API-tokeneken és biztonságos OAuth2 protokollokon keresztül valósulnak meg. Az automatizációkat futtató szerverekhez való hozzáférés szigorúan korlátozott, az adatátviteli naplók (logfájlok) folyamatos felügyelet alatt állnak. A Google-rendszerek (pl. Google Sheets, AI-Studio) használata kapcsán az Adatkezelő biztosítja, hogy az adattovábbítás a "Data Privacy Framework" (DPF) keretrendszer megfelelőségi határozatának keretein belül, vagy az Európai Bizottság által jóváhagyott Általános Szerződési Feltételek (SCC) alkalmazásával történjen.

10.2.3. Hozzáférési jogosultságok: Az Adatkezelő belső szervezeti felépítésében (Young Kft.) szigorú szerepkör-alapú jogosultságkezelés (RBAC) érvényesül. A vevői adatokhoz, rendelési adatokhoz és a Hanna marketing modul által gyűjtött profilozási adatokhoz kizárólag az arra feljogosított, a feladataik ellátásához feltétlenül szükséges munkavállalók (pl. ügyfélszolgálat, logisztikai menedzser) férhetnek hozzá, egyedi, kétfaktoros hitelesítéssel (2FA) védett felhasználói fiókokon keresztül.

10.2.4. Adatbányászat és profilalkotás védelme: A Hanna marketing modul viselkedésalapú (kosárelhagyás, termékmegtekintés) adatait elkülönített adatbázis-struktúrában kezeljük. Az adatok álnevesítettek (pszeudonimizáltak), a közvetlen vásárlói azonosítók (név, e-mail) a profilozási adatoktól technikailag elszeparáltan kerülnek tárolásra.

10.2.5. Mentési rendszerek és üzletmenet-folytonosság: Az Adatkezelő a webáruház teljes adatbázisáról és a kapcsolódó rendszerekről napi rendszerességgel automatizált, titkosított biztonsági mentést készít elkülönített felhőalapú tárolókba, biztosítva, hogy fizikai vagy technikai incidens esetén az adatok rendelkezésre állása és a rendszerek működése haladéktalanul helyreállítható legyen.

11. Az Adatvédelmi incidensek kezelése és belső nyilvántartása   

11.1. Adatvédelmi incidensnek minősül a biztonság olyan sérülése, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi (GDPR 4. cikk 12. pont).

11.2. Az Adatkezelő az adatvédelmi incidenst haladéktalanul, de legkésőbb 72 órával azután, hogy az incidens a tudomására jutott, bejelenti az illetékes felügyeleti hatóságnak (NAIH), kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve (GDPR 33. cikk (1) bekezdés).

11.3. Belső Incidens-nyilvántartási kötelezettség:

Az Adatkezelő a jogszabályi előírásoknak (GDPR 33. cikk (5) bekezdés és Infotv. 25/G. §) megfelelően naprakész, belső adatvédelmi incidens-nyilvántartást vezet. A nyilvántartásban minden egyes adatvédelmi esemény kapcsán kötelezően rögzítésre kerülnek az alábbi adatok:

a) az adatvédelmi incidens pontos jellege, körülményei és időpontja;

b) az incidenssel érintett személyes adatok köre, kategóriái és az érintett természetes személyek hozzávetőleges száma;

c) az incidensből eredő, valószínűsíthető vagy ténylegesen bekövetkezett hátrányos következmények és kockázatok;

d) az Adatkezelő által az incidens orvoslására, hatásainak enyhítésére, valamint a hasonló események jövőbeni megelőzésére megtett vagy tervezett technikai és szervezési intézkedések;

e) annak indokolása, ha az Adatkezelő megítélése szerint az incidens nem járt magas kockázattal, így az érintettek közvetlen tájékoztatása mellőzhető volt.

A belső nyilvántartás tartalmát az Adatkezelő jogi megfelelőség igazolása (elszámoltathatóság) céljából legalább 5 évig megőrzi.

12. Záró rendelkezések (Hatályba lépés és Felülvizsgálat) 

12.1. Jogi koherencia és alkalmazandó jog

A jelen Adatkezelési Tájékoztatóban nem szabályozott kérdésekben a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről szóló (EU) 2016/679 európai parlamenti és tanácsi rendelet (GDPR), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) rendelkezései, és a mindenkor hatályos magyar jogszabályok az irányadók.

12.2. Egyoldalú módosítás joga és a Felhasználók értesítése

12.2.1. Az Adatkezelő fenntartja a jogot, hogy a jelen Adatkezelési Tájékoztatót a jogszabályi háttér változása, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) iránymutatásai, vagy a webáruház technológiai és marketing-automatizációs folyamatainak (pl. új AI-modulok, fizetési vagy logisztikai partnerek integrálása) módosulása esetén egyoldalúan módosítsa.

12.2.2. A módosított Adatkezelési Tájékoztatót az Adatkezelő a weboldalon teszi közzé. Amennyiben a módosítás az adatkezelés jogalapját, célját vagy az érintettek jogait érdemben érinti (pl. új típusú profilalkotás bevezetése), úgy az Adatkezelő a regisztrált felhasználókat a módosítás hatálybalépése előtt legalább 15 nappal, e-mailben is kifejezetten értesíti, és szükség esetén beszerzi a szükséges hozzájárulásokat (Opt-in). Amennyiben az érintett a módosítást nem fogadja el, és az adatkezelés jogalapja a hozzájárulás, az Adatkezelő köteles az érintett személyes adatait az érintett kérése nélkül is törölni, amennyiben az adatkezelés folytatásához egyéb jogalap (pl. jogszabályi kötelezettség) nem áll fenn.

12.3. Hatálybalépési záradék

A jelen Adatkezelési Tájékoztató 2026. június 29. napján lép hatályba, és ezzel egyidejűleg a korábbi adatkezelési nyilatkozatok, tájékoztatók hatályukat vesztik.

Kelt: Szeged, 2026. július 2.

YOUNG Kft. (adatkezelő)