Adatkezelési tájékoztató

Ez a tájékoztató elmondja, hogy az Easy4You Bt. mint adatkezelő milyen személyes adatokat, milyen célból, milyen jogalapon és meddig kezel az andycake.eu weboldal, a webáruház és az AndyCake hűségprogram használata során, kik ismerhetik meg ezeket az adatokat, és milyen jogok illetik meg Önt. A tájékoztató az Európai Unió általános adatvédelmi rendelete (az (EU) 2016/679 rendelet, a továbbiakban: GDPR) 13. és 14. cikke, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján készült.

Tartalom

1. Az adatkezelő és elérhetőségei
2. A tájékoztató hatóköre, jogalapok és jogszabályok
3. Az egyes adatkezelések
   1. 3.1. A weboldal működése és biztonsága
   2. 3.2. Robotvédelem (Cloudflare Turnstile)
   3. 3.3. Visszaélések elleni korlátozás
   4. 3.4. Sütik (cookie-k)
   5. 3.5. Regisztráció, felhasználói fiók és belépés
   6. 3.6. AndyCake hűségprogram (hűségkártya és pontok)
   7. 3.7. Rendelés a webáruházban
   8. 3.8. Címjegyzék
   9. 3.9. Online bankkártyás fizetés (SimplePay)
   10. 3.10. Számlázás
   11. 3.11. Kiszállítás (GLS, Magyar Posta, DHL Express)
   12. 3.12. Térkép a csomagpont kiválasztásához (OpenStreetMap)
   13. 3.13. Rendszerüzenetek e-mailben
   14. 3.14. Elállás a szerződéstől
   15. 3.15. Panaszkezelés, szavatossági és jótállási igények
   16. 3.16. Kapcsolatfelvétel, ügyfélszolgálat
   17. 3.17. Statisztika (csak hozzájárulással)
   18. 3.18. A korábbi webáruház (andycake.eu) vásárlóinak adatai
   19. 3.19. Hírlevél és személyre szabott ajánlatok (Brevo)
4. Tárhely, adatfeldolgozók és más címzettek
5. Adattovábbítás az Európai Gazdasági Térségen kívülre
6. Megőrzési idők áttekintése
7. Adatbiztonság
8. Adatvédelmi incidensek kezelése
9. Automatizált döntéshozatal, profilalkotás
10. Korhatár: 16 év
11. Az Ön jogai
12. Hogyan élhet a jogaival?
13. Jogorvoslat: panasz a NAIH-nál, bírósági út
14. A tájékoztató módosítása

1. Az adatkezelő és elérhetőségei

• Név: Easy4You Betéti Társaság (Easy4You Bt.)
• Székhely: 1185 Budapest, Poprád utca 17.
• Levelezési cím: 1185 Budapest, Poprád utca 17.
• Cégjegyzékszám: 01-06-797594 (nyilvántartja: Fővárosi Törvényszék Cégbírósága)
• Adószám: 27876228-2-43
• Képviselő: Gonda Andrea
• E-mail: [email protected]
• Telefon: +36 30 798 5998
• Üzlet: 1181 Budapest, Üllői út 365. fszt. 6.
• Weboldal: andycake.eu

A továbbiakban „mi” alatt az Easy4You Bt.-t értjük; az Általános Szerződési Feltételekben (ÁSZF) ugyanez a társaság „Szolgáltató” néven szerepel. Adatvédelmi kérdéseivel közvetlenül a fenti elérhetőségeken fordulhat hozzánk.

2. A tájékoztató hatóköre, jogalapok és jogszabályok

Ez a tájékoztató a következő adatkezelésekre vonatkozik:

• az andycake.eu weboldal (magyar és angol nyelvű felületének) látogatása;
• a regisztráció, a felhasználói fiók és az AndyCake hűségprogram (hűségkártya, pontok nyilvántartása, ideértve a pontok üzletünkben történő jóváírását is);
• a webáruházban leadott rendelések: fizetés, számlázás, kiszállítás, elállás, panaszok, szavatossági és jótállási igények intézése;
• a hírlevél és a személyre szabott ajánlatok, ha Ön feliratkozik rájuk;
• a velünk való kapcsolattartás (e-mail, telefon, személyes megkeresés).

A rendelésre vonatkozó részek (3.7–3.12. és 3.14. pont, valamint a 3.13. és a 3.15. pont rendeléssel kapcsolatos része) akkor alkalmazandók, ha Ön a webáruházban rendel.

A tájékoztató nem terjed ki munkatársaink adatainak kezelésére, sem azokra a külső weboldalakra (például a futárszolgálatok csomagkövető oldalaira), amelyekre linkkel hivatkozunk: ezekre az adott szolgáltató saját tájékoztatója irányadó.

2.1. Jogalapok

Minden adatkezelésünk a GDPR 6. cikk (1) bekezdésének valamelyik pontján alapul. Az egyes adatkezeléseknél megadjuk, melyiken:

• a) hozzájárulás – például a statisztikai és a marketingsütik, valamint a hírlevél esetén. A hozzájárulás önkéntes, és bármikor visszavonható; a visszavonás nem érinti a korábbi adatkezelés jogszerűségét.
• b) szerződés teljesítése – például a regisztráció, a hűségprogram és a rendelés teljesítése, illetve a szerződés megkötését megelőző lépések.
• c) jogi kötelezettség teljesítése – például a számlázás, a panaszok és az elállási nyilatkozatok kezelése.
• f) jogos érdek – például a weboldal biztonsága. Ilyenkor mindig megnevezzük, mi a jogos érdekünk, és Ön tiltakozhat az adatkezelés ellen (11. pont).

2.2. Irányadó jogszabályok

• GDPR – az (EU) 2016/679 rendelet;
• Infotv. – az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény;
• Eker. tv. – az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény (különösen 6. § és 13/A. §);
• Eht. – az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése;
• Grt. – a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény (különösen 6. §);
• Ptk. – a Polgári Törvénykönyvről szóló 2013. évi V. törvény;
• Fgytv. – a fogyasztóvédelemről szóló 1997. évi CLV. törvény;
• 45/2014. (II. 26.) Korm. rendelet a fogyasztó és a vállalkozás közötti szerződések részletes szabályairól;
• 19/2014. (IV. 29.) NGM rendelet a fogyasztó és vállalkozás közötti szerződés keretében eladott dolgokra vonatkozó szavatossági és jótállási igények intézésének eljárási szabályairól;
• 151/2003. (IX. 22.) Korm. rendelet az egyes tartós fogyasztási cikkekre vonatkozó kötelező jótállásról;
• Áfa tv. – az általános forgalmi adóról szóló 2007. évi CXXVII. törvény;
• Számv. tv. – a számvitelről szóló 2000. évi C. törvény.

3. Az egyes adatkezelések

Az alábbiakban minden adatkezelésnél egy helyen találja a célt, a kezelt adatokat, a jogalapot, a megőrzési időt és a címzetteket. Az adatfeldolgozók és más címzettek pontos adatait a 4. pont, a megőrzési idők összefoglalását a 6. pont tartalmazza.

3.1. A weboldal működése és biztonsága

Weboldalunk a Cloudflare hálózatán keresztül érhető el: minden kérés először a Cloudflare szerverein halad át, amelyek kiszűrik a támadásokat (például a túlterheléses támadásokat), gyorsítják a betöltést és titkosítják a kapcsolatot. A kéréseket ezután a saját, bérelt szerverünk szolgálja ki.

• Cél: a weboldal elérhetővé tétele, biztonságos és megbízható működése, támadások és visszaélések kivédése, műszaki hibák felderítése.
• Kezelt adatok: IP-cím, a kérés időpontja, a megnyitott oldal címe (URL), a böngésző és az operációs rendszer adatai (user agent), a kérés egyéb technikai adatai. Mivel a titkosított kapcsolat a Cloudflare-nél végződik, a Cloudflare az űrlapokon beküldött adatokat is továbbítja a szerverünkre – ezt adatfeldolgozóként, a mi megbízásunkból teszi.
• Hálózati hibajelentések (Network Error Logging): a Cloudflare kérésére a böngészője jelentést küldhet a Cloudflare-nek (a.nel.cloudflare.com), ha az oldal betöltése hálózati hiba miatt meghiúsul. A jelentés a hiba típusát és időpontját, az érintett oldal címét, valamint az Ön IP-címét és böngészőadatait tartalmazza, és a hálózat megbízhatóságának javítását szolgálja (részletek a Cookie (süti) tájékoztatóban). [kitöltendő: Cloudflare Network Error Logging kikapcsolása (vagy megtartásának indoka)]
• Saját szerverünk: nem vezet hozzáférési naplót, vagyis nem rögzíti, hogy ki melyik oldalt nyitotta meg. A műszaki hibanaplókba csak kivételesen kerülhet személyes adat (például egy hibás kérés rendelésazonosítója).
• Jogalap: GDPR 6. cikk (1) f) pont. Jogos érdekünk, hogy a weboldal biztonságosan, megbízhatóan és támadásoktól védetten működjön (GDPR 32. cikk); ez az Ön érdeke is, hiszen így védjük a fiókját és az adatait.
• Megőrzés: a Cloudflare biztonsági naplói: [kitöltendő: Cloudflare biztonsági naplóinak megőrzési ideje (a csomag és a beállítások szerint)]; szerverünk hibanaplói: [kitöltendő: szerver hibanaplóinak megőrzési ideje (javaslat: 30 nap, naplórotációval)].
• Címzettek: Cloudflare, Inc. – adatfeldolgozó (USA, az adattovábbítás garanciáiról lásd az 5. pontot) és a tárhelyszolgáltató Contabo GmbH – adatfeldolgozó.

3.2. Robotvédelem (Cloudflare Turnstile)

A regisztrációs űrlapon, a jelszó-visszaállítás kérésére szolgáló űrlapon, az online elállási nyilatkozat űrlapján és a kapcsolatfelvételi űrlapon a Cloudflare Turnstile robotszűrőt használhatjuk. Ez a böngészőben lefutó, többnyire észrevétlen ellenőrzéssel dönti el, hogy valószínűleg ember tölti-e ki az űrlapot.

• Cél: az automatizált (robot) regisztrációk, jelszó-visszaállítási kérések és űrlapbeküldések kiszűrése, a tömeges, kéretlen e-mail-küldés megakadályozása.
• Kezelt adatok: IP-cím, a böngésző és az eszköz technikai jellemzői (user agent, TLS-ujjlenyomat), a weboldal azonosítója, valamint az ellenőrzés eredménye (egy token), amelyet szerverünk az Ön IP-címével együtt ellenőrzésre elküld a Cloudflare-nek.
• Jogalap: GDPR 6. cikk (1) f) pont. Jogos érdekünk a fiókok és a szolgáltatás védelme a tömeges, automatizált visszaélésektől.
• Megőrzés: az ellenőrzés eredményét nem tároljuk, csak az adott űrlap elbírálásához használjuk.
• Címzettek: Cloudflare, Inc. – adatfeldolgozóként; a Turnstile-jelek robotfelismerés fejlesztésére történő felhasználása tekintetében önálló adatkezelőként. Részletek: a Turnstile adatvédelmi kiegészítése (angol nyelven).
• Ha nem adja meg: sikertelen ellenőrzés esetén az űrlap nem küldhető el.

3.3. Visszaélések elleni korlátozás

A belépési, regisztrációs, e-mail-megerősítési, jelszó-visszaállítási és jelszómódosítási kísérletek, a fióktörlési kísérletek és az adatletöltések, valamint az online elállási nyilatkozatok és a kapcsolatfelvételi űrlapon küldött üzenetek beküldésének számát időablakonként korlátozzuk, IP-címenként, e-mail-címenként, illetve felhasználónként.

• Cél: a jelszavak próbálgatásának, a fiókok feltörésének, a tömeges regisztrációnak és az e-mail-küldés visszaélésszerű használatának megakadályozása.
• Kezelt adatok: IP-cím, a megadott e-mail-cím vagy a felhasználói azonosító, a kísérletek száma és az időablak vége.
• Jogalap: GDPR 6. cikk (1) f) pont. Jogos érdekünk a felhasználói fiókok, a hűségpontok és a szolgáltatás védelme a jogosulatlan hozzáféréstől és a visszaélésektől.
• Megőrzés: az időablak 15 perc vagy 1 óra; a lejárt rekordokat az ablak lejártát követő 24 órán belül automatikusan töröljük.
• Címzettek: az adatokat csak a tárhelyszolgáltatónk (Contabo GmbH) tárolja adatfeldolgozóként, másnak nem adjuk át.

3.4. Sütik (cookie-k)

Weboldalunk az Ön eszközén kis adatfájlokat (sütiket) tárol, illetve olvas ki. Három csoportot használunk:

• Működéshez szükséges sütik: a belépéshez és annak biztonságához (Auth.js munkamenet-, CSRF- és átirányítási sütik), a kosár tartalmához (andycake_cart, 30 nap), a megkezdett kártyás fizetés folytatásához (andycake_awaiting_order, 7 nap), a nyelvválasztáshoz (NEXT_LOCALE, a böngésző bezárásáig), a sütikkel kapcsolatos döntése megjegyzéséhez (andycake_consent, 180 nap), valamint a Cloudflare által biztonsági célból esetenként beállított sütik (például __cf_bm, cf_clearance). Ezek nélkül az Ön által kért funkciók (belépés, kosár, biztonságos kapcsolat) nem működnének, ezért nem kapcsolhatók ki. Jogalap: GDPR 6. cikk (1) f) pont – jogos érdekünk, hogy a weboldal és az Ön által kért funkciók működjenek.
• Statisztikai sütik (andycake_vid, andycake_cart_id, valamint a Google Analytics _ga és _ga_<azonosító> sütije): csak az Ön hozzájárulásával – részletek a 3.17. pontban.
• Marketingsütik (a Brevo követőkódjának sib_cuid és uuid sütije): csak az Ön hozzájárulásával, és csak a személyre szabott hírlevélre feliratkozott, bejelentkezett felhasználónál – részletek a 3.19. pontban.

Hirdetési (reklám-) vagy közösségimédia-sütiket nem használunk. A sütik teljes listáját (név, cél, élettartam) a Cookie (süti) tájékoztató tartalmazza. Döntését bármikor módosíthatja az oldal alján lévő „Cookie-beállítások” linkkel.

3.5. Regisztráció, felhasználói fiók és belépés

A regisztrációval felhasználói fiókot hoz létre, amely egyben az AndyCake hűségprogramban való részvétel alapja. Regisztráláskor a következő nyilatkozatot fogadja el: „Elfogadom az ÁSZF-et és a hűségprogram feltételeit, megismertem az Adatkezelési tájékoztatót, és elmúltam 16 éves.” Ez a nyilatkozat nem minősül az adatkezeléshez adott hozzájárulásnak: az adatkezelési tájékoztató tekintetében csak azt igazolja, hogy Ön azt megismerte.

• Cél: a fiók létrehozása és kezelése, belépés, az e-mail-cím valódiságának ellenőrzése, az elfelejtett jelszó visszaállítása, a feltételek elfogadásának igazolása, a hűségkártya és – ha rendel – a korábbi rendelések megjelenítése.
• Kezelt adatok: e-mail-cím (kötelező); jelszó (kötelező – kizárólag visszafejthetetlen, bcrypt eljárással képzett hash-értékként tároljuk, így mi sem ismerjük); név (nem kötelező); telefonszám (nem kötelező, a fiókoldalon adható meg); az e-mail-cím megerősítésének időpontja; a feltételek elfogadásának időpontja és az elfogadott dokumentumok változata; a fiók szerepköre és egy munkamenet-verziószám, amellyel a belépéseket érvényteleníteni tudjuk. Az e-mail-megerősítő és a jelszó-visszaállító linkekben lévő egyszer használatos kódot csak hash-értékként tároljuk.
• Így működik: regisztráció után megerősítő linket küldünk, amely 24 óráig érvényes; a hűségkártya csak a megerősítés után jön létre. Ha az e-mail-címhez már tartozik fiók, erről erre a címre küldünk értesítést. A jelszó-visszaállító link 1 óráig érvényes; új jelszó beállítása után minden korábbi belépés érvényét veszti. Belépéskor titkosított munkamenet-sütit helyezünk el, amely a nevét, e-mail-címét, fiókazonosítóját, a fiók szerepkörét és a munkamenet-verziószámot tartalmazza, és az utolsó használattól számított 30 napig érvényes; kilépéskor megszűnik.
• Jogalap: GDPR 6. cikk (1) b) pont – a szerződés (az ÁSZF és a hűségprogram feltételei) megkötése és teljesítése. Az elfogadás időpontját és a dokumentumok változatát a GDPR 6. cikk (1) f) pontja alapján rögzítjük: jogos érdekünk igazolni, hogy Ön mikor és mely feltételeket fogadta el.
• Megőrzés: a fiók törléséig. A felhasznált megerősítő és visszaállító kódokat azonnal, a lejártakat a lejáratot követő 24 órán belül töröljük. Meg nem erősített fiókok: [kitöltendő: meg nem erősített fiókok törlési ideje (javaslat: 30 nap)].
• Módosítás, törlés: nevét és telefonszámát a fiókoldalon maga is módosíthatja, e-mail-címe módosítását e-mailben kérheti. Fiókját a fiókoldalon maga is törölheti (jelenlegi jelszava megadásával), és ott a fiókjához tárolt adatait géppel olvasható (JSON) fájlban le is töltheti; a fiókoldal a webáruház rendelési funkciójának megnyitásától érhető el. A fiók törlését e-mailben is kérheti ([email protected]), ilyenkor a 12. pontban írt határidőn belül (főszabályként egy hónapon belül) intézkedünk. A fiókkal együtt törlődik a hűségkártya, a pontnapló és a címjegyzék; a pontokra gyakorolt hatásáról a hűségprogram feltételei (ÁSZF) rendelkeznek. A leadott rendelések adatait jogos érdekünk alapján (3.7. pont), a számlákat jogi kötelezettség alapján (3.10. pont) az ott írt ideig a fiók törlése után is megőrizzük, de azok a fiókhoz a továbbiakban nem kapcsolódnak.
• Címzettek: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1–3.2. pont), Plus Five Five, Inc. (Resend – e-mailek, 3.13. pont).
• Ha nem adja meg: e-mail-cím és jelszó nélkül nem lehet regisztrálni.

3.6. AndyCake hűségprogram (hűségkártya és pontok)

Megerősített fiókonként egy hűségkártya jár. A kártya 13 jegyű számát és vonalkódját a kártya oldalán látja. Pontot kizárólag üzletünk munkatársai írnak jóvá vagy vonnak le, a kártya vonalkódjának beolvasásával. A beolvasó oldalt csak az erre jogosult munkatársak érik el; a kamera képét a munkatárs eszköze helyben dolgozza fel, és csak a kártyaszám jut el a szerverünkre. Ha a kártya oldala nyitva van, a jóváírás azonnal megjelenik rajta.

• Cél: a hűségkártya kiállítása, a pontok nyilvántartása, jóváírása és levonása, az egyenleg megjelenítése, valamint a pontokkal kapcsolatos kérdések és viták tisztázása (például ha egy jóváírást vitat).
• Kezelt adatok: kártyaszám, a tagság kezdete, pontegyenleg; a pontmozgások naplója: a változás (jóváírás vagy levonás), az új egyenleg, az időpont, a műveletet rögzítő munkatárs azonosítója és egy nem kötelező megjegyzés (például blokkszám). Beolvasáskor a munkatárs a nevét, e-mail-címét, egyenlegét, a tagság kezdetét és az utolsó öt pontmozgást látja.
• Amit nem rögzítünk: a pontnaplóban nem tároljuk, milyen termékeket vásárolt; a megjegyzés mezőbe munkatársaink csak a jóváírás azonosításához szükséges adatot (például blokkszámot) írnak. A hűségprogram adatait nem használjuk marketingre, és nem adjuk át harmadik félnek.
• Jogalap: GDPR 6. cikk (1) b) pont – a hűségprogram feltételei (ÁSZF) szerinti szerződés teljesítése.
• Megőrzés: a fiók törléséig; a fiók törlésével a kártya és a teljes pontnapló is törlődik. A program esetleges megszűnése esetén: [kitöltendő: a hűségprogram adatainak sorsa és megőrzése a program megszűnésekor].
• Címzettek: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1. pont).
• Ha nem adja meg: fiók nélkül nem vehet részt a hűségprogramban.

3.7. Rendelés a webáruházban

Rendelni regisztrációval és anélkül (vendégként) is lehet; vendégrendeléskor nem hozunk létre Önnek fiókot. Ha belépve rendel, a rendelés a fiókjához kapcsolódik, és a fiókjában megtekinthető. A rendelés csak az ÁSZF – kártyás fizetésnél a SimplePay adattovábbítási nyilatkozat – elfogadása után adható le.

• Cél: az adásvételi szerződés megkötése és teljesítése: a rendelés visszaigazolása, a fizetés, a csomagolás és a kiszállítás, kapcsolattartás a rendelésről, az utánvétes fizetés lehetőségének megállapítása, valamint a szerződésből eredő jogi igények kezelése.
• Kezelt adatok:
  • kapcsolattartás: e-mail-cím, név, telefonszám;
  • számlázás: név, ország, irányítószám, település, cím, adószám (csak ha cégként vásárol);
  • szállítás: a szállítási mód, a választott csomagpont vagy csomagautomata azonosítója és neve; eltérő szállítási cím esetén a címzett neve és címe. A telefonszám megadása minden online rendelésnél kötelező: a futárszolgálat az Ön által megadott számon értesít a kézbesítésről, illetve arról, hogy a csomag a választott csomagpontra vagy csomagautomatába megérkezett (3.11. pont); eltérő címzett esetén is ezt a számot adjuk át a futárszolgálatnak;
  • a rendelés adatai: rendelésszám, termékek, mennyiségek, árak, szállítási díj, utánvétdíj, végösszeg, fizetési mód, a rendelés állapota és időpontjai;
  • fizetés: a SimplePay tranzakcióazonosítója, a fizetés állapota és összege (bankkártyaadatot nem kapunk, 3.9. pont);
  • kiszállítás: a futárszolgálat, a csomagszám (követési szám) és a szállítási címke.
• Jogalap: GDPR 6. cikk (1) b) pont – a szerződés megkötése és teljesítése. A teljesítés után az adatokat a GDPR 6. cikk (1) f) pontja alapján őrizzük: jogos érdekünk az esetleges jogi igények (például szavatossági igény, fizetési vita) érvényesítése, illetve az azokkal szembeni védekezés az elévülési időn belül.
• Megőrzés: a szerződés teljesítésétől számított 5 évig (Ptk. 6:22. § (1) bekezdés – általános elévülési idő). A számla adatait ettől függetlenül 8 évig kell megőriznünk (3.10. pont); e-mail-címét és telefonszámát azonban nem ezen az alapon, hanem csak a rendelési adatokkal együtt, 5 évig őrizzük.
• Címzettek: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1. pont), Plus Five Five, Inc. (Resend – visszaigazoló és állapotértesítő e-mailek, 3.13. pont), SimplePay Zrt. (3.9. pont), KBOSS.hu Kft. (3.10. pont), a futárszolgálatok (3.11. pont). Az új rendelésről munkatársaink belső értesítést kapnak e-mailben, illetve a böngészőjükben megjelenő, végpontok között titkosított értesítésként, amelynek tartalmát a böngésző értesítési szolgáltatója nem látja.
• Ha nem adja meg: a kötelezőként jelölt adatok nélkül a rendelést nem tudjuk fogadni és teljesíteni.

Ha más személy adatait adja meg (például egy megajándékozott nevét, címét és telefonszámát szállítási adatként), ezeket Öntől kapjuk. Kérjük, csak akkor adja meg őket, ha erre jogosult, és tájékoztassa az érintettet erről a tájékoztatóról. A címzett adatait kizárólag a kézbesítéshez használjuk (jogalap: GDPR 6. cikk (1) f) pont – az Ön és a mi jogos érdekünk, hogy a csomag a megjelölt címzetthez eljusson), és a rendelési adatokkal azonos ideig őrizzük.

3.8. Címjegyzék

• Cél: a fiókjában elmentett címekkel gyorsabban kitöltheti a rendelési adatokat a pénztárban.
• Kezelt adatok: a cím megnevezése (címke), a címzett neve, ország, irányítószám, település, cím, telefonszám (nem kötelező), alapértelmezett cím jelölése.
• Jogalap: GDPR 6. cikk (1) b) pont – a fiókhoz tartozó, Ön által önkéntesen használt szolgáltatás.
• Megőrzés: amíg Ön nem törli, legkésőbb a fiók törléséig. A címeket – amint a webáruház elérhető – a fiókjában bármikor módosíthatja vagy törölheti; addig ezt e-mailben kérheti tőlünk. A már leadott rendelésben szereplő cím a rendelési adatok között marad (3.7. pont).
• Címzettek: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1. pont).

3.9. Online bankkártyás fizetés (SimplePay)

Bankkártyás fizetéskor a SimplePay Zrt. biztonságos fizetőoldalára irányítjuk. Kártyaadatait ott adja meg; azokhoz mi nem férünk hozzá, és nem is tároljuk őket. A fizetés indítása előtt Ön kifejezetten elfogadja az adattovábbítási nyilatkozatot, amely szerint az alábbi adatai a SimplePay Zrt.-hez mint adatfeldolgozóhoz kerülnek.

• Cél: az online fizetés lebonyolítása, a fizetés eredményének megállapítása, szükség esetén visszatérítés, valamint a visszaélések megelőzése.
• A SimplePay-nek átadott adatok: név, e-mail-cím, telefonszám (a rendeléshez megadott szám), számlázási ország, irányítószám, település és cím, rendelésazonosító, a fizetendő összeg és pénzneme, a fizetőoldal nyelve.
• A SimplePay-től kapott adatok: a fizetés eredménye és állapota, a SimplePay tranzakcióazonosítója.
• Jogalap: GDPR 6. cikk (1) b) pont – a szerződés teljesítése (a vételár megfizetése).
• Megőrzés: a fizetési adatokat a rendelési adatokkal együtt, 5 évig őrizzük (3.7. pont).
• Címzettek: a SimplePay Zrt. adatfeldolgozóként kezeli a tranzakciós adatokat, és a mi megbízásunkból dolgozza fel a kártyaadatokat is. A kártyaadatokhoz a kártyaelfogadásban részt vevő OTP Bank Nyrt. és Borgun hf. önálló adatkezelőként férnek hozzá. Részletek: a SimplePay adatkezelési tájékoztatói.
• Ha nem adja meg: az adattovábbítási nyilatkozat elfogadása nélkül bankkártyával nem fizethet.

3.10. Számlázás

• Cél: a számla kiállítása és megőrzése, a számla adatainak jogszabály szerinti bejelentése az adóhatóságnak.
• Kezelt adatok: számlázási név és cím, adószám (ha cégként vásárol), a rendelés azonosítója, a tételek, az összegek, a fizetési mód, a számla sorszáma. A számlázóprogram a számla adataival együtt az e-mail-címét is megkapja, hogy az elektronikus számlát Önnek megküldhesse (jogalap: GDPR 6. cikk (1) b) pont – a számla megküldése); [kitöltendő: a Számlázz.hu e-mailben küldi-e a számlát a vevőnek?] (ha nem, az e-mail-címet nem adjuk át). Az e-mail-cím nem része a számla kötelező tartalmának.
• Jogalap: GDPR 6. cikk (1) c) pont – jogi kötelezettség: a számlakiállítás (Áfa tv. 159. §) és a számviteli bizonylatok megőrzése (Számv. tv. 169. § (2) bekezdés).
• Megőrzés: 8 év (Számv. tv. 169. § (2) bekezdés). Az e-mail-cím és a telefonszám nem része a számla kötelező tartalmának, ezért azokat nem ezen az alapon, hanem a rendelési adatokkal együtt, 5 évig őrizzük (3.7. pont). A Számlázz.hu rendszerében a számlához kapcsolódó e-mail-cím megőrzési ideje: [kitöltendő: meddig őrzi a Számlázz.hu a vevő e-mail-címét a számlával együtt].
• Címzettek: KBOSS.hu Kft. (Számlázz.hu, adatfeldolgozó). A számla adatait a számlázóprogram a jogszabály szerint a Nemzeti Adó- és Vámhivatal (NAV) online számlarendszerébe is beküldi; magánszemély vevő nevét és címét ez az adatszolgáltatás nem tartalmazza. A számviteli bizonylatokat könyvelőnk is megkapja: [kitöltendő: könyvelő neve, címe (adatfeldolgozó)].
• Ha nem adja meg: a számla kötelező adatait jogszabály írja elő (Áfa tv. 169. §); ezek nélkül nem tudunk számlát kiállítani, így a rendelést sem tudjuk teljesíteni.

3.11. Kiszállítás (GLS, Magyar Posta, DHL Express)

A csomagot a választott futárszolgálat kézbesíti. A futárszolgálatok postai szolgáltatóként önálló adatkezelők: a megkapott adatokat saját adatkezelési tájékoztatójuk szerint kezelik, és a kézbesítésről e-mailben vagy SMS-ben értesíthetik Önt.

• Cél: a csomag kézbesítése, értesítés a kézbesítésről, csomagkövetés, az utánvétes összeg beszedése.
• A futárszolgálatnak átadott adatok: a címzett neve, a szállítási cím vagy a választott csomagpont, illetve csomagautomata, e-mail-cím, telefonszám (a rendeléshez kötelezően megadott szám, amelyen a futárszolgálat a kézbesítésről, illetve a csomag csomagpontra vagy csomagautomatába érkezéséről értesít), a rendelés hivatkozási száma, a csomag súlya, utánvétnél a beszedendő összeg.
• Magyarországi kiszállítás: GLS General Logistics Systems Hungary Csomag-Logisztikai Kft. (GLS) vagy Magyar Posta Zrt. (MPL). A csomagpontok listáját szerverünk tölti le a futárszolgálattól; ehhez az Ön adatait nem használjuk.
• Nemzetközi kiszállítás (DHL Express): [kitöltendő: DHL Express nemzetközi szállítás ténylegesen elérhető-e?]. Ha a pénztárban a DHL Expresst választja, a szállítási díj kiszámításához szerverünk a ShipIT Limited (Starshipit) rendszerének csak az irányítószámot, a települést és az országot, valamint a csomag súlyát és értékét küldi el – nevet, utcacímet, e-mail-címet vagy telefonszámot nem. Ha DHL Expresszel rendel, a szállítási címkét a Starshipit rendszerében készítjük el, így a címzett fenti adatait a ShipIT Limited, valamint a DHL Express Magyarország Kft. és a DHL International GmbH is megkapja. A Starshipit az adatokat Ausztráliában (Microsoft Azure) tárolja, és feltételei szerint azokat saját üzleti céljaira is felhasználhatja, ezért önálló adatkezelőként is eljárhat (a továbbítás garanciáiról lásd az 5. pontot). Az EGT-n kívüli címre szóló csomagnál az adatokat a célország kézbesítő partnerei is megkapják.
• Jogalap: GDPR 6. cikk (1) b) pont – a szerződés teljesítése (kiszállítás). Ha a címzett nem Ön, az ő adatai tekintetében GDPR 6. cikk (1) f) pont (3.7. pont).
• Megőrzés nálunk: a rendelési adatokkal együtt, 5 évig (3.7. pont). A futárszolgálatok megőrzési idejéről saját tájékoztatójuk rendelkezik.
• Címzettek: a fent megnevezett futárszolgálatok és a ShipIT Limited (elérhetőségük a 4.2. pontban). Ha a csomagkövető linket megnyitja, a futárszolgálat weboldalára jut, amelyre annak saját tájékoztatója irányadó.
• Ha nem adja meg: a szállítási adatok nélkül a csomagot nem tudjuk kézbesíteni.

3.12. Térkép a csomagpont kiválasztásához (OpenStreetMap)

Ha a pénztárban csomagpontos vagy csomagautomatás szállítást választ, a csomagpont-választó megnyitásakor egy térkép is betöltődik. A térképet megjelenítő programot saját szerverünkről töltjük be, a térképrészleteket (csempéket) viszont a böngészője közvetlenül az OpenStreetMap Foundation szervereiről (a Fastly tartalomkézbesítő hálózatán keresztül) kéri le. Kisebb képernyőn a térkép nem jelenik meg, de a böngésző ekkor is lekérhet térképrészletet. A csomagpontot a keresőmezővel a listából is kiválaszthatja (a keresés csak a mi szerverünkre jut el), a térképrészletek lekérése azonban ettől függetlenül megtörténik. [kitöltendő: térkép betöltése csak a „Térkép megjelenítése” gombra kattintva (javasolt fejlesztés; ha elkészül, ez a bekezdés módosítandó)]

• Cél: hogy a csomagpontot térképen, kényelmesen kiválaszthassa.
• Az OpenStreetMap Foundation-höz eljutó adatok: IP-cím, a böngésző és az operációs rendszer adatai, a hivatkozó oldal címe (a pénztár oldala), a lekérés időpontja és a megnézett térképrészlet.
• Jogalap: az adatok gyűjtése és az OpenStreetMap Foundation-höz való továbbítása tekintetében mi vagyunk az adatkezelő; jogalap: GDPR 6. cikk (1) f) pont – jogos érdekünk a kényelmes, térképes csomagpontválasztás biztosítása. A továbbiakban az OpenStreetMap Foundation önálló adatkezelőként kezeli az adatokat.
• Megőrzés: mi ezeket az adatokat nem tároljuk. Az OpenStreetMap Foundation saját adatvédelmi szabályzata szerint kezeli a szervereire érkező kérések naplóit.
• Címzettek: OpenStreetMap Foundation – önálló adatkezelő (Egyesült Királyság – megfelelőségi határozat); a térképrészleteket megbízásából a Fastly, Inc. (USA) tartalomkézbesítő hálózata szolgálja ki (lásd az 5. pontot).

3.13. Rendszerüzenetek e-mailben

Rendszerüzenetként csak a szolgáltatás működéséhez szükséges (tranzakciós) leveleket küldünk: e-mail-cím megerősítése, jelszó-visszaállítás, értesítés meglévő fiókról, a rendelés visszaigazolása, a rendelés állapotának változása (csomagszámmal és követési linkkel), sikertelen fizetés esetén újrafizetési link, az elállási nyilatkozat átvételének visszaigazolása. Ezek reklámot nem tartalmaznak; hírlevelet és más reklámlevelet csak annak küldünk, aki feliratkozott rá (3.19. pont).

• Kezelt adatok: e-mail-cím, név, a levél tartalma (például a rendelés adatai), a kézbesítés adatai (időpont, sikeres-e a kézbesítés).
• Jogalap: GDPR 6. cikk (1) b) pont – a szerződés teljesítése; a rendelés megérkezésének visszaigazolása (Eker. tv. 6. §), a szerződés megerősítése (45/2014. (II. 26.) Korm. rendelet 18. §) és az elállási nyilatkozat átvételének visszaigazolása (45/2014. (II. 26.) Korm. rendelet 22. §) esetén GDPR 6. cikk (1) c) pont – jogi kötelezettség.
• Megőrzés: a levelek tartalma a kapcsolódó adatkezelés megőrzési idejéhez igazodik (például rendelésnél 5 év). A küldőszolgáltatás kézbesítési naplói: [kitöltendő: Resend kézbesítési naplóinak megőrzési ideje (fiókbeállítás)].
• Címzettek: Plus Five Five, Inc. (Resend) – adatfeldolgozó, USA; az adattovábbítás garanciáiról lásd az 5. pontot.

3.14. Elállás a szerződéstől

Elállási jogát az online elállási felületen (belépés nélkül is) vagy bármilyen más egyértelmű nyilatkozattal (például e-mailben, levélben, a nyilatkozatminta kitöltésével, telefonon vagy személyesen az üzletünkben) gyakorolhatja. Az online nyilatkozat átvételéről a tartalmát, valamint a beérkezés dátumát és időpontját tartalmazó visszaigazolást küldünk e-mailben.

• Cél: az elállási nyilatkozat fogadása, átvételének visszaigazolása, az elállás intézése (visszatérítés), valamint annak igazolása, hogy az elállást szabályszerűen kezeltük.
• Kezelt adatok: név, e-mail-cím, rendelésszám, az érintett termékek (nem kötelező), megjegyzés (nem kötelező), a nyilatkozat beérkezésének és a visszaigazolás elküldésének időpontja, a kapcsolódó rendelés és – ha van – fiók; a visszaélések elleni korlátozáshoz az IP-cím (3.3. pont). Utánvétes rendelésnél, ha a visszatérítést banki átutalással teljesítjük (ÁSZF), az e-mailben megadott számlatulajdonos nevét és bankszámlaszámát is.
• Jogalap: GDPR 6. cikk (1) c) pont – jogi kötelezettség (45/2014. (II. 26.) Korm. rendelet 20–23. §). Az elállás lezárása utáni megőrzés jogalapja a GDPR 6. cikk (1) f) pontja: jogos érdekünk, hogy egy esetleges jogvitában igazolni tudjuk az elállás kezelését.
• Megőrzés: a nyilatkozat beérkezésétől számított 5 évig. A visszatérítést igazoló bizonylatot a számviteli szabályok szerint 8 évig (Számv. tv. 169. § (2) bekezdés).
• Címzettek: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1. pont), Plus Five Five, Inc. (Resend – a visszaigazoló e-mail és a belső értesítés), kártyás fizetés visszatérítésénél SimplePay Zrt. (3.9. pont). A nyilatkozat másolatát belső értesítésként e-mailben is megkapjuk, így az a bejövő levelezésünket kezelő e-mail-szolgáltatóhoz is eljut: [kitöltendő: a bejövő levelezést kezelő e-mail-szolgáltató neve, címe].
• Ha nem adja meg: az online felületen a név, az e-mail-cím és a rendelésszám megadása kötelező, mert ezek nélkül nem tudjuk azonosítani a rendelést és visszaigazolást küldeni. Más módon tett nyilatkozatnál ezek hiánya nem teszi érvénytelenné az elállást, de nehezebben azonosítjuk a rendelést.

3.15. Panaszkezelés, szavatossági és jótállási igények

• Cél: a panasz kivizsgálása és megválaszolása, a szavatossági és jótállási igények intézése, az előírt jegyzőkönyv felvétele, valamint a hatósági ellenőrzés lehetővé tétele.
• Kezelt adatok: név, lakcím vagy levelezési cím, e-mail-cím, telefonszám (ha megadja), rendelésszám, a panasz vagy igény leírása, a bemutatott iratok és fényképek, a termék megnevezése és vételára, a vásárlás és a hiba bejelentésének időpontja, a hiba leírása, az érvényesített igény és rendezésének módja, a felvett jegyzőkönyv, valamint a válaszunk.
• Jogalap: GDPR 6. cikk (1) c) pont – jogi kötelezettség: Fgytv. 17/A. § (panaszkezelés), illetve Ptk. 6:159–6:173. §, a 151/2003. (IX. 22.) Korm. rendelet (kötelező jótállás) és a 19/2014. (IV. 29.) NGM rendelet (szavatosság, jótállás).
• Megőrzés: a panaszról felvett jegyzőkönyvet, illetve az írásbeli panaszt és a válaszunk másolatát 3 évig (Fgytv. 17/A. § (7) bekezdés); a szavatossági vagy jótállási igényről felvett jegyzőkönyvet a felvételétől számított 3 évig (19/2014. (IV. 29.) NGM rendelet 4. § (6) bekezdés).
• Címzettek: e-mailes panasznál és válasznál az e-mail-szolgáltatónk ([kitöltendő: a bejövő levelezést kezelő e-mail-szolgáltató neve, címe], 4.1. pont). Ha Ön békéltető testülethez, hatósághoz vagy bírósághoz fordul, az eljáráshoz szükséges adatokat az eljáró szervnek átadjuk.
• Ha nem adja meg: a hiányzó adatok nélkül a panaszt vagy az igényt nem tudjuk kivizsgálni.

3.16. Kapcsolatfelvétel, ügyfélszolgálat

• Cél: a hozzánk e-mailben, a kapcsolatfelvételi űrlapon, telefonon vagy személyesen érkező kérdések megválaszolása.
• Kezelt adatok: név, e-mail-cím, telefonszám, a rendelésszám (ha megadja), az üzenet tartalma és időpontja, valamint a válaszunk. A kapcsolatfelvételi űrlapon küldött üzenetet a webáruház adatbázisában tároljuk, és e-mailben továbbítjuk magunknak.
• Jogalap: ha a megkeresés rendeléshez, a hűségprogramhoz vagy szerződés megkötéséhez kapcsolódik, GDPR 6. cikk (1) b) pont; egyéb esetben GDPR 6. cikk (1) f) pont – jogos érdekünk, hogy a hozzánk fordulók kérdéseire válaszoljunk.
• Megőrzés: rendeléshez kapcsolódó levelezés a rendelési adatokkal együtt, 5 évig (3.7. pont); egyéb megkeresések: [kitöltendő: egyéb megkeresések megőrzési ideje (javaslat: a lezárástól 1 év)].
• Címzettek: e-mailes megkeresésnél az e-mail-szolgáltatónk (adatfeldolgozó): [kitöltendő: a bejövő levelezést kezelő e-mail-szolgáltató neve, címe]; az űrlapon küldött üzenetnél ezen felül Contabo GmbH (tárhely) és Plus Five Five, Inc. (Resend – az értesítő e-mail kézbesítése, 3.13. pont).
• Ha nem adja meg: elérhetőség nélkül nem tudunk válaszolni.

3.17. Statisztika (csak hozzájárulással)

Ha a sütisávban vagy a „Cookie-beállítások” ablakban hozzájárul a statisztikai sütikhez, két saját fejlesztésű statisztikai funkciót és a Google Analytics 4 elemzőszolgáltatást használjuk. Hozzájárulás nélkül egyik sem működik.

• Látogatottság (élő látogatók): az andycake_vid süti (180 nap) egy véletlenszerű azonosítót tárol. Böngészés közben a böngészője oldalváltáskor és nyitott lapnál kb. 45 másodpercenként jelzést küld a szerverünknek. Rögzítjük: a látogatóazonosítót, az éppen megnyitott oldal címét, a böngésző adatait (user agent), az utolsó aktivitás időpontját, belépett felhasználónál a fiókazonosítót és az e-mail-címet is. IP-címet nem tárolunk. Munkatársaink egy belső felületen látják, hányan és mely oldalakon vannak éppen a weboldalon (belépett felhasználónál az e-mail-címmel, egyébként „Vendég” jelöléssel).
• Kosárstatisztika (félbehagyott kosarak): az andycake_cart_id süti (30 nap) egy véletlenszerű azonosítót tárol, amelyhez szerverünkön rögzítjük a kosár tartalmát (termékek, mennyiség, érték), állapotát (aktív, félbehagyott, megrendelt), az utolsó módosítás időpontját, belépett felhasználónál a fiókazonosítót és az e-mail-címet is. Munkatársaink egy belső felületen látják a folyamatban lévő és a félbehagyott kosarakat. E statisztika alapján nem küldünk Önnek e-mailt (a kosárban hagyott termékekről szóló emlékeztetőt csak a személyre szabott hírlevél feliratkozóinak, a 3.19. pont szerint küldjük).
• Google Analytics 4: a Google Analytics kódja a _ga és a _ga_<azonosító> sütiben (2 év az utolsó látogatástól) véletlenszerű azonosítót tárol, és oldalváltáskor, valamint a vásárlás egyes lépéseinél (termék megtekintése, kosárba tétel, pénztár, sikeres rendelés) jelzést küld a Google-nek. A Google megkapja az azonosítót, a megnyitott oldal címét, a hivatkozó oldalt, a böngésző, az operációs rendszer és az eszköz adatait, az IP-címből meghatározott hozzávetőleges helyet, a megnézett és a kosárba tett termékeket, sikeres rendelésnél a rendelésszámot, a termékeket és a végösszeget, belépett felhasználónál a belső fiókazonosítót is (a nevét és az e-mail-címét nem). Az adatokat összesített jelentésekben látjuk. Hirdetésre nem használjuk őket: hirdetési sütit nem engedélyezünk, a mérést nem kapcsoljuk össze Google Ads-fiókkal, a Google-jeleket (Google signals) és a Google saját céljaira történő adatmegosztást kikapcsoltuk. Részletek a Cookie (süti) tájékoztatóban.
• Cél: annak megértése, hogyan használják látogatóink a weboldalt, a kínálat és a vásárlási folyamat fejlesztése, a műszaki problémák (például elakadás a pénztárban) észrevétele.
• Jogalap: GDPR 6. cikk (1) a) pont – hozzájárulás; a sütik elhelyezéséhez és kiolvasásához az Eht. 155. § (4) bekezdése szerinti hozzájárulás.
• Megőrzés: a látogatottsági adatot az utolsó aktivitástól számított 24 óra, a kosárstatisztikai adatot az utolsó aktivitástól számított 30 nap elteltével automatikusan töröljük. A Google Analytics a látogatóhoz kötött (egyedi) adatokat 2 hónap után törli; az ezekből készült összesített jelentések megmaradnak, de azokból Ön nem azonosítható.
• Visszavonás: hozzájárulását bármikor visszavonhatja az oldal alján lévő „Cookie-beállítások” linkkel, ugyanolyan egyszerűen, ahogy megadta. Visszavonáskor az andycake_vid és az andycake_cart_id sütit, valamint az ezekhez tartozó látogatottsági és kosárstatisztikai rekordot azonnal töröljük, a Google Analytics leáll, a _ga és a _ga_<azonosító> sütit töröljük, és új statisztikai adatot nem rögzítünk. Ha be volt jelentkezve, kérésére a fiókjához kapcsolódó Google Analytics-adatokat is töröltetjük. A visszavonás abban a böngészőben hat, amelyben megteszi; ha más böngészőben vagy eszközön is hozzájárult, ott külön vonhatja vissza, vagy e-mailben kérheti az ott rögzített adatok azonnali törlését. A visszavonás nem érinti a korábbi adatkezelés jogszerűségét.
• Címzettek: a saját statisztika adatait csak erre jogosult munkatársaink látják; adatfeldolgozók: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1. pont). A Google Analytics adatait a Google Ireland Limited kezeli adatfeldolgozóként (4.1. pont); az adatok az USA-ba is eljutnak (5. pont). A statisztikai adatokból profilt nem építünk, és marketingre nem használjuk őket.
• Ha nem járul hozzá: ennek semmilyen hátrányos következménye nincs, a weboldal ugyanúgy használható.

3.18. A korábbi webáruház (andycake.eu) vásárlóinak adatai

Korábbi webáruházunkból (andycake.eu) csak a regisztrált (nem vendégként vásárló, nem törölt) vásárlói fiókokat vettük át az új rendszerbe, az elmúlt 5 év rendeléseivel együtt. [kitöltendő: a korábbi webáruház adatainak szűrése megtörtént-e (a jelenlegi import a vendégvásárlókat, a törölt fiókokat és minden rendelést átvett; ezeket törölni kell)] [kitöltendő: a korábbi webáruház (andycake.eu) adatkezelője is az Easy4You Bt. volt-e (ha nem, az érintett vásárlókat egy hónapon belül egyenként, e-mailben kell tájékoztatni – GDPR 14. cikk)] Az átvett adatok: név, e-mail-cím, jelszó (a korábbi rendszerben képzett hash-formában: [kitöltendő: a korábbi webáruház jelszó-hashei bcrypt formátumúak-e (ha nem, törölni kell őket, és a vásárló új jelszót állít be)]), a mentett címek (telefonszámmal), a hírlevél-feliratkozás ténye és időpontja (ha a korábbi webáruházban feliratkozott), valamint a korábbi rendelések és azok tételei.

• Cél: hogy korábbi vásárlóink új regisztráció nélkül, meglévő fiókjukkal beléphessenek, láthassák korábbi rendeléseiket, és csatlakozhassanak a hűségprogramhoz; valamint a korábbi rendelésekhez kapcsolódó kötelezettségeink (például szavatosság, számlamegőrzés) teljesítése.
• Jogalap: az új rendszerben még nem használt régi fiókoknál GDPR 6. cikk (1) f) pont – jogos érdekünk, hogy korábbi vásárlóink új regisztráció nélkül folytathassák a vásárlást; ez ellen tiltakozhat (11. pont). Ha a fiókot használja (belép, vagy a kártya aktiválásakor elfogadja a feltételeket), a 3.5. pontban írt jogalap. A korábbi rendelések és számlák adatainál a 3.7. és a 3.10. pontban írt jogalap. A korábbi hírlevél-feliratkozásnál a GDPR 6. cikk (1) a) pont – az Ön korábban adott hozzájárulása, amely csak a hírlevélre szól, és bármikor visszavonható (3.19. pont).
• Hűségkártya: a korábbi fiókokhoz a hűségkártya csak akkor jön létre, ha Ön a kártya aktiválásakor elfogadja az ÁSZF-et és a hűségprogram feltételeit.
• Megőrzés: ha a régi fiókot [kitöltendő: határidő, ameddig a nem használt régi fiókokat töröljük (javaslat: 2027. október 1.)] napjáig nem használja, töröljük; ha használja, a fiók törléséig (3.5. pont). A korábbi rendelések és számlák adatait a 3.7. és a 3.10. pontban írt ideig őrizzük. Ha nem kívánja tovább használni a fiókját, bármikor kérheti a törlését.
• Címzettek: Contabo GmbH (tárhely), Cloudflare, Inc. (3.1. pont).

3.19. Hírlevél és személyre szabott ajánlatok (Brevo)

Hírlevelet és más reklámlevelet (akciókról, újdonságokról, a kosárban hagyott termékekről, illetve a vásárlásaihoz illő ajánlatokról) csak annak küldünk, aki erre kifejezetten feliratkozott. Feliratkozni a fiókoldalon lehet; ez a feliratkozás a hírlevélre, a vásárlásaihoz illő ajánlatokra és a kosáremlékeztetőre együtt szól (a továbbiakban: személyre szabott hírlevél). Korábbi webáruházunk (andycake.eu) fiókjaihoz tartozó hírlevél-feliratkozásokat is átvettük (3.18. pont). Ezek még a korábbi feltételekkel születtek, ezért e feliratkozóknak csak hírlevelet küldünk, és rendeléseiket, böngészési adataikat nem adjuk át a Brevónak – amíg a fiókoldalon a személyre szabott hírlevélhez is hozzá nem járulnak. A leveleket a Brevo (Sendinblue SAS) levélküldő rendszerével küldjük.

• Cél: hírlevél küldése; a feliratkozó érdeklődéséhez és korábbi vásárlásaihoz illő ajánlatok küldése; emlékeztető a kosárban hagyott termékekről; a levelek eredményességének mérése.
• Kezelt adatok:
  • e-mail-cím, név (ha megadta), a feliratkozás időpontja és forrása, visszavonásnál annak időpontja;
  • ha a személyre szabott hírlevélre iratkozott fel: a webáruházban leadott rendelései (rendelésszám, időpont, állapot, a termékek, mennyiségük és áruk, a végösszeg és a felhasznált kuponkód);
  • ha ezen felül a marketingsütikhez is hozzájárult, és be van jelentkezve: a Brevo követőkódja által rögzített adatok (a megnézett oldalak, a kosár tartalma, a befejezett rendelés; részletek a Cookie (süti) tájékoztatóban);
  • a kiküldött levelek adatai: a kézbesítés, a megnyitás és a levélben lévő linkekre kattintás ténye és időpontja.
• Így működik: feliratkozáskor e-mail-címét és nevét felvesszük a Brevo hírlevél-listájára (a listát naponta egyeztetjük). A személyre szabott hírlevél feliratkozóinak rendeléseit leadáskor és állapotváltozáskor – legfeljebb 15 perc késéssel – elküldjük a Brevónak. A kosáremlékeztetőt a Brevo automatikusan küldi, ha a kosarát rendelés nélkül hagyja ott; ehhez a marketingsütikhez adott hozzájárulás és a bejelentkezés is szükséges. A termékek és a kategóriák adatait (név, ár, kép, link) is átadjuk a Brevónak; ezek nem személyes adatok.
• Profilalkotás: a személyre szabott hírlevél feliratkozóinál a megnézett termékek, a kosár és a korábbi rendelések alapján választjuk ki, milyen ajánlatot vagy emlékeztetőt küldünk (GDPR 4. cikk 4. pont). Ennek egyetlen következménye, hogy milyen tartalmú reklámlevelet kap; Önre nézve joghatással vagy hasonlóan jelentős hatással nem jár.
• Jogalap: GDPR 6. cikk (1) a) pont – az Ön hozzájárulása; a reklámlevelek küldéséhez a Grt. 6. § (1) bekezdése szerinti előzetes és kifejezett hozzájárulás, a marketingsütikhez az Eht. 155. § (4) bekezdése szerinti hozzájárulás. A feliratkozás és a leiratkozás időpontját és forrását a hozzájárulás igazolására rögzítjük (GDPR 7. cikk (1) bekezdés, Grt. 6. § (5) bekezdés).
• Leiratkozás: bármikor, díjmentesen és indoklás nélkül leiratkozhat a fiókoldalon, a levelek alján lévő leiratkozó linkkel vagy e-mailben ([email protected]).
• Megőrzés: a hozzájárulás visszavonásáig. Leiratkozáskor hírlevelet többé nem küldünk, a Brevóban tárolt adatait (névjegy, rendelések, a követőkód adatai) legkésőbb a leiratkozást követő napon töröljük; ugyanez történik a fiók törlésekor. A feliratkozás és a leiratkozás tényét és időpontját nálunk a fiók törléséig őrizzük, hogy igazolni tudjuk.
• Címzettek: Sendinblue SAS (Brevo) – adatfeldolgozó (Franciaország; az adatokat az EU-ban tárolja, egyes alvállalkozói az USA-ban is hozzáférhetnek, lásd az 5. pontot), Contabo GmbH (tárhely).
• Ha nem iratkozik fel: ennek semmilyen hátrányos következménye nincs; a rendeléseivel és a fiókjával kapcsolatos rendszerüzeneteket (3.13. pont) ettől függetlenül megkapja.

4. Tárhely, adatfeldolgozók és más címzettek

Adataihoz munkatársaink közül csak azok férnek hozzá, akiknek erre a feladatuk ellátásához szükségük van. Adatfeldolgozóink kizárólag a mi megbízásunkból és utasításaink szerint, a GDPR 28. cikke szerinti szerződés alapján kezelhetik az adatokat; saját célra nem használhatják fel őket. Az önálló adatkezelők a megkapott adatokat saját felelősségükre, saját tájékoztatójuk szerint kezelik. Hatóságnak, bíróságnak csak jogszabályban előírt esetben, megkeresésre adunk ki adatot.

4.1. Adatfeldolgozók

4.2. Önálló adatkezelők

5. Adattovábbítás az Európai Gazdasági Térségen kívülre

• Amerikai Egyesült Államok – Cloudflare, Inc., Plus Five Five, Inc. (Resend) és – a Google Analytics adatainál, csak hozzájárulás esetén – a Google LLC: mindhárom cég részt vesz az EU–USA adatvédelmi keretrendszerben (Data Privacy Framework), amelyre az Európai Bizottság (EU) 2023/1795 végrehajtási határozata megfelelőségi határozatot hozott. Tartalékként mindhárom szolgáltató adatfeldolgozási feltételei tartalmazzák az Európai Bizottság (EU) 2021/914 végrehajtási határozatával elfogadott általános adatvédelmi kikötéseket is (GDPR 46. cikk (2) bekezdés c) pont; a továbbiakban: SCC).
• A Brevo alvállalkozói – a Sendinblue SAS (Brevo) az adatokat az EU-ban (Franciaország, Belgium) tárolja; egyes alvállalkozói – például a Cloudflare, Inc. (tartalomkézbesítés, támadásszűrés) és a Zendesk, Inc. (ügyfélszolgálati rendszer) – az USA-ban is hozzáférhetnek az adatokhoz, az EU–USA adatvédelmi keretrendszer, SCC, illetve kötelező erejű szervezeti szabályok (BCR) alapján, a Brevo adatfeldolgozási feltételeinek 2. melléklete szerint.
• Egyesült Királyság – OpenStreetMap Foundation: az Európai Bizottság megfelelőségi határozata alapján (hatályos 2031. december 27-ig). A térképrészleteket az OpenStreetMap Foundation megbízásából a Fastly, Inc. (USA) tartalomkézbesítő hálózata szolgálja ki; a Fastly részt vesz az EU–USA adatvédelmi keretrendszerben.
• Új-Zéland és Ausztrália – ShipIT Limited (Starshipit), csak DHL Express használata esetén: Új-Zélandra megfelelőségi határozat vonatkozik (2013/65/EU), Ausztráliára és a Starshipit szolgáltatóinak egy részére nem – a Starshipit tájékoztatója szerint az adatokat további szolgáltatókhoz, többek között a Fülöp-szigetekre is továbbíthatja. Az alkalmazott garancia: [kitöltendő: Starshipit: megkötött adatfeldolgozói szerződés és SCC (Ausztrália nem megfelelő ország)].
• EGT-n kívüli szállítási cím – ha csomagját EGT-n kívüli országba kéri, a címzett adatainak a célország kézbesítő partnereihez való eljuttatása a szerződés teljesítéséhez szükséges (GDPR 49. cikk (1) b) pont; ha a címzett nem Ön, a címzett érdekében kötött szerződés teljesítéséhez szükséges, GDPR 49. cikk (1) c) pont). A DHL tájékoztatója szerint a vállalatcsoporton belüli továbbításhoz megfelelő garanciákat (például kötelező erejű szervezeti szabályokat [BCR] és SCC-t) alkalmaz.
• Kártyás fizetés – a kártyás fizetésben részt vevő szereplők (például kártyatársaságok) EGT-n kívüli adattovábbításáról a SimplePay adatkezelési tájékoztatója ad felvilágosítást.

Az alkalmazott garanciák (például az SCC) másolatát kérésre megküldjük: [email protected].

6. Megőrzési idők áttekintése

Ha a megőrzési idő alatt jogvita vagy hatósági eljárás indul, az érintett adatokat annak jogerős lezárásáig megőrizhetjük (jogalap: GDPR 6. cikk (1) f) pont – jogos érdekünk jogi igényeink érvényesítése és védelme; ilyenkor a törlési kérelmet a GDPR 17. cikk (3) bekezdés e) pontja alapján utasíthatjuk el).

A rövid megőrzési idejű adatokat (látogatottsági és kosárstatisztika, visszaélés-korlátozás, e-mail-megerősítő és jelszó-visszaállító kódok) automatikus folyamat rendszeresen törli. A többi adatot a megőrzési idő leteltét követően töröljük: [kitöltendő: a hosszú megőrzésű adatok (rendelések, számlák, elállások, panaszok) törlésének módja és gyakorisága (javaslat: automatikus havi törlés)].

7. Adatbiztonság

Az adatok biztonsága érdekében a kockázatokkal arányos műszaki és szervezési intézkedéseket alkalmazunk (GDPR 32. cikk), különösen:

• a weboldal kizárólag titkosított (HTTPS/TLS) kapcsolaton érhető el, a böngésző és a Cloudflare, valamint a Cloudflare és a szerverünk között is;
• a jelszavakat csak visszafejthetetlen, bcrypt eljárással képzett hash-értékként tároljuk, így azokat munkatársaink sem ismerhetik meg;
• az e-mailben küldött megerősítő és visszaállító kódokat csak hash-értékként tároljuk, és rövid ideig érvényesek; a belépési süti titkosított, a böngésző szkriptjei számára nem olvasható, és csak titkosított kapcsolaton továbbítódik; jelszócsere után minden korábbi belépés érvényét veszti;
• az adminisztrációs funkciókhoz (rendeléskezelés, hűségkártya-beolvasás, statisztika) csak az erre jogosult munkatársak férnek hozzá, saját fiókkal;
• az adatbázis közvetlenül az internetről nem érhető el; a szerver előtt a Cloudflare támadásszűrése működik;
• a belépési és egyéb kísérletek számát korlátozzuk, és robotvédelmet alkalmazunk (3.2–3.3. pont);
• bankkártyaadatokat nem kezelünk: azokat csak a SimplePay kapja meg;
• a rövid megőrzési idejű adatokat automatikus folyamat törli (6. pont);
• biztonsági mentés: [kitöltendő: biztonsági mentések helye és megőrzési ideje].

Kérjük, Ön is vigyázzon adatai biztonságára: jelszavát ne adja meg másnak, és ne használja más szolgáltatásoknál is.

8. Adatvédelmi incidensek kezelése

Ha adatvédelmi incidens (például jogosulatlan hozzáférés vagy adatvesztés) következik be, azt nyilvántartásba vesszük, és megtesszük a szükséges intézkedéseket a hatásainak csökkentésére (GDPR 33. cikk (5) bekezdés). Az incidenst a tudomásunkra jutásától számított 72 órán belül bejelentjük a Nemzeti Adatvédelmi és Információszabadság Hatóságnak, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal az érintettek jogaira és szabadságaira nézve (GDPR 33. cikk (1) bekezdés). Ha az incidens valószínűleg magas kockázattal jár, Önt is késedelem nélkül értesítjük, és tájékoztatjuk a megtett intézkedésekről és arról, mit tehet a saját védelmében (GDPR 34. cikk).

9. Automatizált döntéshozatal, profilalkotás

Nem hozunk kizárólag automatizált adatkezelésen alapuló, Önre nézve joghatással járó vagy hasonlóan jelentős döntést (GDPR 22. cikk). Egyetlen egyszerű, automatizált értékelést végzünk: a pénztárban a korábbi rendelései fizetési állapota alapján dől el, hogy felajánljuk-e az utánvétes fizetést (csak belépett vásárlónak, akinek legalább egy korábbi rendelése már ki van fizetve). Ennek csak az a következménye, hogy az utánvét nem választható – bankkártyával ettől függetlenül mindenki fizethet. Profilalkotást ezen kívül csak a személyre szabott hírlevél feliratkozóinál végzünk, az érdeklődésükhöz és vásárlásaikhoz illő ajánlatok kiválasztásához (3.19. pont). Ennek joghatása nincs, csak a reklámlevél tartalmát befolyásolja, és a hírlevélről való leiratkozással bármikor megszüntethető.

10. Korhatár: 16 év

A regisztráció és a hűségprogram 16 éven aluliak számára nem elérhető; ezt a regisztrációkor Ön kijelenti. Ha tudomásunkra jut, hogy 16 év alatti személy hozott létre fiókot, a fiókot (a hűségkártyával és a pontnaplóval együtt) töröljük; a leadott rendelések és számlák adatait a 3.7. és a 3.10. pont szerint őrizzük meg. Ha szülőként vagy törvényes képviselőként ilyen esetet észlel, kérjük, írjon nekünk: [email protected].

11. Az Ön jogai

• Hozzáférés (GDPR 15. cikk): tájékoztatást kérhet arról, hogy kezelünk-e Önről személyes adatot, és ha igen, melyeket, milyen célból, meddig és kinek adtuk át; az adatokról másolatot kérhet.
• Helyesbítés (GDPR 16. cikk): kérheti a pontatlan adatok javítását és a hiányos adatok kiegészítését. Mentett címeit, nevét és telefonszámát – amint a webáruház elérhető – a fiókjában maga is módosíthatja; addig ezek, e-mail-címének módosítását pedig bármikor tőlünk kérheti e-mailben.
• Törlés (GDPR 17. cikk): kérheti adatai törlését, ha azokra már nincs szükség, ha visszavonja hozzájárulását, ha sikeresen tiltakozott, ha az adatkezelés jogellenes, vagy ha a törlést jogszabály írja elő (GDPR 17. cikk (1) bekezdés). Nem törölhetjük azokat az adatokat, amelyeket jogszabály alapján meg kell őriznünk (például a számlákat), vagy amelyek jogi igények érvényesítéséhez vagy védelméhez szükségesek.
• Az adatkezelés korlátozása (GDPR 18. cikk): kérheti, hogy adatait – törlés helyett – csak tároljuk, például amíg vitatja azok pontosságát, vagy ha azokra egy jogi igényéhez szüksége van.
• Adathordozhatóság (GDPR 20. cikk): a szerződés vagy hozzájárulás alapján, automatizáltan kezelt, Ön által megadott adatait (például fiók-, rendelési és hűségprogram-adatait) tagolt, géppel olvasható formátumban megkaphatja, illetve kérheti, hogy – ha műszakilag megvalósítható – azokat közvetlenül egy másik adatkezelőnek adjuk át.
• Tiltakozás (GDPR 21. cikk): a jogos érdeken alapuló adatkezelések (a 3. pontban „GDPR 6. cikk (1) f) pont” jogalappal jelöltek, például a 3.1–3.4., a 3.12. és a 3.18. pont szerintiek) ellen saját helyzetével kapcsolatos okból bármikor tiltakozhat. Ilyenkor az adatkezelést abbahagyjuk, kivéve, ha azt olyan kényszerítő erejű jogos ok indokolja, amely elsőbbséget élvez az Ön érdekeivel szemben, vagy ha az jogi igények érvényesítéséhez vagy védelméhez szükséges. A közvetlen üzletszerzés (hírlevél, személyre szabott ajánlatok) céljából végzett adatkezelés – és az ahhoz kapcsolódó profilalkotás – ellen bármikor, indoklás nélkül tiltakozhat; ilyenkor adatait erre a célra többé nem kezeljük (GDPR 21. cikk (2)–(3) bekezdés).
• A hozzájárulás visszavonása (GDPR 7. cikk (3) bekezdés): a statisztikai és a marketingsütikhez adott hozzájárulását bármikor visszavonhatja az oldal alján lévő „Cookie-beállítások” linkkel, a hírlevél-feliratkozását pedig a fiókoldalon, a levelek alján lévő leiratkozó linkkel vagy e-mailben. A visszavonás nem érinti a korábbi adatkezelés jogszerűségét.

Az adatok helyesbítéséről, törléséről vagy az adatkezelés korlátozásáról azokat a címzetteket is értesítjük, akikkel az adatokat közöltük, kivéve, ha ez lehetetlen vagy aránytalan erőfeszítést igényelne (GDPR 19. cikk).

12. Hogyan élhet a jogaival?

• E-mailben: [email protected] – lehetőleg a fiókjához tartozó e-mail-címről;
• Postai levélben: Easy4You Bt., 1185 Budapest, Poprád utca 17..

Fiókja törlését és a fiókjához tárolt adatok letöltését a fiókoldalon maga is elintézheti (3.5. pont); minden más kérést a fenti elérhetőségeken teljesítünk. Ha kétségünk merül fel a kérelmező személyazonosságát illetően, a kérés teljesítéséhez további információt kérhetünk (GDPR 12. cikk (6) bekezdés).

Kérelmére indokolatlan késedelem nélkül, legkésőbb a beérkezésétől számított egy hónapon belül válaszolunk. Ezt a határidőt a kérelem összetettsége vagy a kérelmek száma miatt további két hónappal meghosszabbíthatjuk; erről az első hónapon belül, az ok megjelölésével tájékoztatjuk (GDPR 12. cikk (3) bekezdés). Ha nem teszünk intézkedést, ennek okairól egy hónapon belül tájékoztatjuk, valamint arról, hogy panaszt tehet a hatóságnál és bírósághoz fordulhat (GDPR 12. cikk (4) bekezdés). A tájékoztatás és az intézkedés díjmentes; nyilvánvalóan megalapozatlan vagy túlzó kérelem esetén észszerű díjat számíthatunk fel, vagy megtagadhatjuk az intézkedést (GDPR 12. cikk (5) bekezdés).

13. Jogorvoslat: panasz a NAIH-nál, bírósági út

Ha úgy érzi, hogy megsértettük adatvédelmi jogait, kérjük, először forduljon hozzánk, hogy a problémát mielőbb orvosolhassuk. Ettől függetlenül bármikor panaszt tehet a felügyeleti hatóságnál (GDPR 77. cikk) – Magyarországon:

Panaszt a szokásos tartózkodási helye vagy munkahelye szerinti, illetve a feltételezett jogsértés helye szerinti EU-tagállam adatvédelmi hatóságánál is tehet.

Jogai megsértése esetén bírósághoz is fordulhat (GDPR 79. cikk; Infotv. 23. §). A per elbírálása a törvényszék hatáskörébe tartozik; a pert – választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja.

14. A tájékoztató módosítása

Ez a tájékoztató 2026. október 18. napjától hatályos. Ha adatkezelésünk változik (például új szolgáltatót veszünk igénybe vagy új funkciót vezetünk be), a tájékoztatót módosítjuk, és a módosított szöveget ezen az oldalon, a hatálybalépés dátumával tesszük közzé; lényeges változásról a regisztrált felhasználókat e-mailben is értesítjük. Fiókjában rögzítjük, melyik változatot fogadta el. A korábbi változatokat megőrizzük, és kérésre megküldjük.