Adatkezelési tájékoztató
Vendégek, érdeklődők és weboldal-látogatók részére
1. Az Adatkezelő azonosító adatai
| Márkanév | Borostyán Kozmetika |
| Adatkezelő | Ficza Beáta egyéni vállalkozó |
| Nyilvántartási szám | 28071285 |
| Adószám | 65833430-1-30 |
| Székhely | 3300 Eger, Torony utca 1. fs. 6. ajtó |
| Szolgáltatás helye | 3300 Eger, Torony utca 3. |
| info@borostyankozmetika.hu | |
| Telefon | +36 80 088 981 |
| Weboldal | borostyankozmetika.hu |
2. A tájékoztató célja és adatkezelési alapelvek
A Borostyán Kozmetika csak meghatározott, egyértelmű és jogszerű célból, a szükséges mértékben és meghatározott ideig kezel személyes adatot. Gondoskodik az adatok pontosságáról, biztonságáról és az érintetti jogok gyakorlásáról.
- A foglaláshoz és szolgáltatáshoz szükséges adatkezelés nem kapcsolódik kötelező marketing-hozzájáruláshoz.
- Egészségügyi adat különleges adat; csak konkrét, szakmailag szükséges célból és külön kifejezett hozzájárulással kezelhető.
- A marketing és a marketingcélú kép-/videófelhasználás önkéntes, külön hozzájárulási esemény.
- A hozzájárulás bármikor ingyenesen visszavonható; a visszavonás nem érinti a korábbi adatkezelés jogszerűségét.
- A Borostyán Kozmetika adatai elkülönülnek az ugyanazon szalonban működő más önálló vállalkozások adataitól.
3. Rendszerek és adatáramlás
Az online időpontfoglalás a borostyankozmetika.hu weboldalba integrált időpontfoglaló modulon történik. A foglalási adatok a weboldal tárhelyi környezetében kerülnek rögzítésre, majd API-kapcsolaton keresztül a Borostyán Kozmetika saját fejlesztésű CRM/ügyviteli rendszerébe kerülhetnek.
A saját fejlesztésű CRM az Adatkezelő belső ügyviteli eszköze: vendégkapcsolat, foglalások, szolgáltatási előzmény, előleg, kommunikáció, panaszkezelés, hűség-/kuponfolyamatok és szükséges naplózás kezelésére használható. Az e-mail-küldés a CRM-ből történik, a levelezési infrastruktúrát a Rackhost biztosítja.
A foglalás-visszaigazolás, jóváhagyás, 24 órás és 3 órás emlékeztető, fizetési tájékoztatás és más, a szerződés teljesítéséhez közvetlenül kapcsolódó üzenet nem marketing, ha nem tartalmaz önálló reklámot.
4. Az egyes adatkezelések
| Adatkezelés | Kezelt adatok | Cél | Jogalap | Megőrzés |
|---|---|---|---|---|
| Weboldal technikai működése | IP-cím, időpont, kért oldal, technikai eszközadat | biztonságos működés, visszaélés-megelőzés | GDPR 6. cikk (1) f) | aktív napló főszabály szerint max. 30 nap |
| Kapcsolatfelvétel | név, e-mail/telefon, üzenet | válaszadás, egyeztetés | GDPR 6. cikk (1) b) és szükség szerint f) | ügy lezárásától 1 év; szerződés esetén a szükséges adat átkerülhet |
| Online/telefonos foglalás | név, e-mail, telefon, szolgáltatás, időpont, foglalási ID, megjegyzés | szerződés előkészítése/teljesítése, időpontkezelés | GDPR 6. cikk (1) b) | részletes rekord 1 év; szükséges minimumadat legfeljebb 5 év |
| Foglalási e-mailek és emlékeztetők | név, e-mail, foglalás, szolgáltatás, időpont | visszaigazolás, jóváhagyás, 24h/3h emlékeztető | GDPR 6. cikk (1) b) | foglalási rekord ideje; technikai kézbesítési napló max. 1 év |
| Vendégtörténet / CRM | azonosító/elérhetőség, teljesített és lemondott időpont, szolgáltatás, fizetési státusz, szükséges ügyintézési megjegyzés | folytonos ügyfélkezelés, szerződéses igények, viták | GDPR 6. cikk (1) b) és f) | utolsó szolgáltatástól legfeljebb 5 év; egészségügyi adat nélkül |
| Előleg- és foglalási kockázati jelzés | no-show/késői lemondás ténye, fennálló díj, előlegigény státusza | kapacitásvédelem, szerződéses kockázat | GDPR 6. cikk (1) f) | legfeljebb 5 év, emberi felülvizsgálattal |
| Egészségügyi kérdőív | csak a kezeléshez szükséges allergia, érzékenység, gyógyszerszedés és releváns állapot | biztonságos kezelés, ellenjavallat | GDPR 6. cikk (1) a) és 9. cikk (2) a) | az utolsó azonos kockázatú kezeléstől főszabály szerint 1 év |
| Sminktetoválási beleegyezés és kezelési dokumentáció | azonosító adatok, hozzájárulás, szükséges egészségi adat, technikai kezelési adat | biztonság, hozzájárulás igazolása, jogi igény | GDPR 6. cikk (1) a)/b)/f) és 9. cikk (2) a) | 5 év a kezeléstől; jogvita esetén annak lezárásáig |
| Fénykép/videó marketingre | képmás, videó, opcionális keresztnév, közzétételi csatorna | referenciamunka és marketing | GDPR 6. cikk (1) a), Ptk. 2:48. § | visszavonásig vagy cél megszűnéséig |
| Hírlevél / marketing e-mail | név, e-mail, hozzájárulás ideje és forrása, leiratkozási státusz | közvetlen üzletszerzés | GDPR 6. cikk (1) a), Grt. 6. § | visszavonásig; a consent bizonyítéka korlátozottan max. 5 év |
| SumUp fizetés | fizetési összeg, tranzakcióazonosító, fizetési státusz; a Kozmetika teljes kártyaadatot nem kap | előleg és szolgáltatási díj rendezése | GDPR 6. cikk (1) b), illetve szolgáltatói jogi kötelezettségek | a Kozmetikánál a szerződés/számvitel ideje; SumUp saját szabályai szerint is kezel adatot |
| Számlázás / NAV | név, cím, adószám ha szükséges, számlaadat, összeg | számlázás, adó- és számviteli kötelezettség | GDPR 6. cikk (1) b) és c) | számviteli bizonylatok legalább 8 év |
| Telefonhívás és hangfelvétel | hívó/hívott szám, időpont, hang, beszélgetés tartalma | minőségbiztosítás, visszakereshetőség, panasz/jogvita | GDPR 6. cikk (1) f), dokumentált érdekmérlegelés | általános felvétel 1 év; panaszanyag részeként 3 év |
| Panaszkezelés | név, elérhetőség, panasz, kapcsolódó foglalás, jegyzőkönyv, válasz | fogyasztóvédelmi kötelezettség | GDPR 6. cikk (1) c) | 3 év |
| Elégedettségi felmérés | elérhetőség/foglalási ID, válaszok | szolgáltatásminőség fejlesztése | GDPR 6. cikk (1) f) | meghívó napló max. 1 év; személyhez kötött válasz max. 1 év |
5. Egészségügyi adatok és beleegyező nyilatkozatok
Az egészségügyi kérdőív nem kérhet általánosságban teljes kórtörténetet vagy „minden betegséget”. Csak az adott kezelés szakmai ellenjavallatainak megítéléséhez ténylegesen szükséges adatok kérhetők.
Sminktetoválásnál például csak szakmailag indokolt körben kérdezhető:
- véralvadást érdemben befolyásoló gyógyszer szedésének ténye;
- cukorbetegség vagy gyógyulást érdemben befolyásoló állapot ténye, részletes kórtörténet nélkül;
- aktív fertőző/gyulladásos állapot, ha a kezelés biztonságára hat;
- ismert allergia vagy korábbi reakció a kezelés anyagaira;
- egyéb, előre meghatározott szakmai kontraindikáció.
A kérdőív megnyitása előtt külön, kifejezett egészségügyi adatkezelési hozzájárulás szükséges. A kérdőívhez csak a kezelésben és a biztonsági ellenőrzésben részt vevő, jogosult személy férhet hozzá. Egészségügyi részletek általános CRM-megjegyzésbe vagy marketingprofilba nem kerülhetnek.
6. Telefonhívások és hangrögzítés
A +36 80 088 981 telefonszámon a telefonközpontban rögzítésre beállított ügyintézési hívások hangfelvétellel rögzülnek. A technikai szolgáltatást a Zadarma felhőalapú telefonközpont biztosítja.
Cél: minőségbiztosítás, a megbeszéltek visszakereshetősége, valamint panasz és jogvita esetén a kommunikáció bizonyíthatósága. Jogalap: GDPR 6. cikk (1) f) szerinti jogos érdek, külön dokumentált érdekmérlegelés mellett.
A hívás elején rövid tájékoztatást kell adni a rögzítés tényéről, céljáról, az 1 éves fő megőrzési időről és az Adatkezelési tájékoztató elérhetőségéről. Aki nem kíván rögzített telefonhívásban ügyet intézni, e-mailben vagy személyesen is kapcsolatba léphet.
Részletes egészségügyi adatot telefonhívás hangfelvételén lehetőség szerint nem kérünk; ilyen adathoz a védett kérdőívet kell használni.
7. Hírlevél és marketingkommunikáció
Marketingcélú e-mail, kupon- vagy szolgáltatási ajánlat természetes személy részére kizárólag előzetes, egyértelmű és kifejezett hozzájárulás alapján küldhető. A marketing checkbox opcionális, nem lehet előre bejelölve és nem feltétele a foglalásnak.
A marketing-hozzájárulás alapján a Borostyán Kozmetika a foglalás során megadott nevet és e-mail-címet kezeli. A hírlevelet a saját fejlesztésű CRM rendszer küldi a Rackhost e-mail-infrastruktúráján keresztül.
A hozzájárulás bármikor ingyenesen visszavonható, és minden marketingüzenetben egyértelmű leiratkozási lehetőséget kell biztosítani. A leiratkozás nem érinti a foglalással, fizetéssel, számlázással vagy panaszkezeléssel kapcsolatos kötelező/szerződéses üzeneteket.
8. Fényképek és videók
Marketingcélú fénykép vagy videó készítése és közzététele csak külön hozzájárulással történik. A szolgáltatás igénybevétele nem tehető marketingcélú kép-/videóhozzájárulás feltételévé.
A hozzájárulást célszerű elkülöníteni legalább a felvétel készítése, a marketingcélú közzététel, az arc felismerhetősége, a név feltüntetése és a közzétételi csatornák (weboldal, Facebook, Instagram, TikTok) szerint.
9. Adatfeldolgozók, címzettek és külső szolgáltatók
| Szolgáltató/címzett | Azonosítás | Feladat | Érintett adat |
|---|---|---|---|
| Rackhost Zrt. | 6722 Szeged, Tisza Lajos körút 41.; 06-10-000489; 25333572-2-06 | tárhely, e-mail és kapcsolódó infrastruktúra | weboldali, CRM-hez és levelezéshez szükséges adatok |
| SumUp | A tényleges SumUp-csoporttag a fizetési szolgáltatás és az ügyfélkapcsolat szerint | online bankkártyás fizetés / fizetési link; a fizetési adatok tekintetében a SumUp saját adatvédelmi feltételei szerint önálló adatkezelőként is eljárhat | tranzakcióhoz szükséges adatok; a Borostyán Kozmetika a teljes bankkártyaadatot nem tárolja |
| Zadarma | Zadarma vállalatcsoport; európai képviseletek között IP Telecom Bulgaria LTD és VOICE CLOUD S.L. | felhőalapú telefonközpont, hívásmetaadatok és hangrögzítés; a szolgáltatói szerep a szerződés és az adott funkció szerint értékelendő | telefonszám, hívásmetaadat, hangfelvétel; a szolgáltató tájékoztatója szerint az EU-s adatok kezdeti gyűjtése és tárolása EU-s adatbázisokban történik, nemzetközi adattovábbítás ugyanakkor lehetséges |
| KBOSS.hu Kft. / Számlázz.hu | 1031 Budapest, Záhony utca 7/D.; adószám 13421739-2-41 | elektronikus számlázás; a KBOSS.hu Kft. az adott adatkezelési művelettől függően adatkezelőként és adatfeldolgozóként is eljárhat | számlázáshoz szükséges vevő- és bizonylati adatok |
| Nemzeti Adó- és Vámhivatal | jogszabály szerinti címzett | kötelező online számlaadat-szolgáltatás és adózási feladatok | jogszabály szerint átadandó számlaadatok |
| Szerződött könyvelési szolgáltató | címzetti/adatfeldolgozói kategória | könyvelés, adózási adminisztráció | számviteli és adózási adatok |
| Közösségi platformok | Facebook/Instagram/TikTok szolgáltatói | hozzájárulással közzétett marketingtartalom | képmás/videó, opcionálisan név, platforminterakciók |
Az egyes külső szolgáltatók pontos adatvédelmi szerepét mindig a Borostyán Kozmetika aktuális szerződésével és az adott szolgáltatási funkcióval összhangban kell értelmezni. EGT-n kívüli adattovábbítás esetén a GDPR V. fejezetében előírt feltételeknek és garanciáknak teljesülniük kell.
10. Az online időpontfoglaló és a saját CRM jogi szerepe
A weboldalba integrált online időpontfoglaló rendszer és a saját fejlesztésű CRM egymással API-kapcsolaton keresztül kommunikálhat. Ez az adatáramlás a Borostyán Kozmetika saját ügyviteli körén belül történik, és nem eredményezi azt, hogy a CRM önálló adatkezelővé vagy külön adatfeldolgozóvá válna.
Az Adatkezelő a foglaláskor alkalmazott ÁSZF- és adatkezelési verziót, valamint a szükséges checkboxok értékét és időbélyegét bizonyítható módon naplózhatja a saját CRM-ben.
11. Sütik és weboldali technológiák
A weboldal a működéshez feltétlenül szükséges sütiket hozzájárulás nélkül alkalmazhatja. Analitikai, kényelmi vagy marketingcélú, nem szükséges sütik csak előzetes hozzájárulás után aktiválhatók.
A cookie-panelnek a ténylegesen aktív sütik nevét, szolgáltatóját, célját és lejáratát naprakészen kell felsorolnia. A „Mindet elfogadom” mellett azonos szinten „Elutasítom” vagy egyenértékű lehetőséget, továbbá részletes beállítási panelt kell biztosítani.
12. Adatbiztonság és hozzáférés
Az Adatkezelő a kockázathoz igazodó technikai és szervezési intézkedéseket alkalmaz: jogosultságalapú hozzáférés, egyedi fiókok, erős hitelesítés, rendszeres frissítés, naplózás, mentés, hozzáférés-felülvizsgálat, munkaállomás-zárolás és a vendégek elől védett képernyő-elhelyezés.
Ha egy vendég egy kijelzőn véletlenül más személy adatát láthatná, az adatbiztonsági felelősséget nem lehet a vendégre hárított általános titoktartási kötelezettséggel kiváltani; az illetéktelen betekintést az Adatkezelőnek kell megelőznie.
13. Profilalkotás és automatizált döntések
A saját CRM a korábbi foglalási eseményekből jelezheti, hogy előleg kérése vagy foglalási korlátozás indokolt lehet. Ez döntéstámogató jelzés. A Vendéggel szemben lényeges döntés – így előlegkötelezettség vagy foglalási korlátozás – nem kizárólag automatizált módon történik, hanem jogosult személy felülvizsgálja.
Egészségügyi adatot megbízhatósági, marketing- vagy gazdasági profilozásra nem használunk.
14. Megőrzési idők összefoglalása
| Adatkör | Megőrzés | Megjegyzés |
|---|---|---|
| Részletes foglalási rekord | 1 év | automatikus törlés/anonimizálás; szükséges minimumadat mehet az 5 éves vendégtörténetbe |
| Vendégtörténet minimális szerződéses eseményei | 5 év az utolsó szolgáltatástól | egészségügyi adat nélkül |
| Általános egészségügyi kérdőív | 1 év | védett tár; jogvita esetén zárolható |
| Sminktetoválási dokumentáció | 5 év | jogvita esetén annak lezárásáig |
| Telefonhangfelvétel | 1 év | panaszanyag részeként 3 év |
| Panasz + válasz | 3 év | fogyasztóvédelmi megőrzés |
| Számla/előlegszámla/számviteli bizonylat | legalább 8 év | jogszabályi megőrzés |
| Marketing consent | visszavonásig az aktív marketingnyilvántartásban | visszavonáskor a marketingküldés azonnal leáll; a hozzájárulás megtörténtének minimális bizonyítéka elkülönítetten csak az esetleges jogi igények igazolásához szükséges ideig tartható meg |
| Marketingfotó/videó | visszavonásig vagy cél megszűnéséig | visszavonás után saját felületek felülvizsgálata |
| Biztonsági technikai napló | főszabály szerint max. 30 nap | incidens esetén célhoz kötött megőrzés |
15. Érintetti jogok
Az érintett a GDPR feltételei szerint kérheti a személyes adataihoz való hozzáférést, azok helyesbítését, törlését, kezelésük korlátozását, egyes esetekben adathordozhatóságát, továbbá tiltakozhat a jogos érdeken alapuló adatkezelés ellen. A hozzájárulás bármikor visszavonható.
A kérelmek az info@borostyankozmetika.hu címen nyújthatók be. Az Adatkezelő indokolatlan késedelem nélkül, főszabály szerint egy hónapon belül válaszol; a GDPR-ban meghatározott feltételek mellett a határidő meghosszabbítható.
Felügyeleti hatóság
Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH): 1055 Budapest, Falk Miksa utca 9-11.; levelezési cím: 1363 Budapest, Pf. 9.; e-mail: ugyfelszolgalat@naih.hu; telefon: +36 (1) 391-1400. Az érintett bírósághoz is fordulhat.
16. Adatvédelmi incidensek
Az Adatkezelő a személyes adatok biztonságát sértő eseményt kivizsgálja és dokumentálja. Ha az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira, a GDPR szerinti feltételekkel bejelenti a felügyeleti hatóságnak; magas kockázat esetén az érintettet is tájékoztatja.
17. A tájékoztató módosítása és verziókezelése
Az Adatkezelő a tájékoztatót jogszabály-, szolgáltatási vagy technikai változás esetén módosíthatja. Az aktuális változat a weboldalon érhető el. Lényeges változás esetén megfelelő tájékoztatást biztosít.
Verzió: 1.2 – 2026.08.09. Hatálybalépés: a weboldalon történő közzététel és a kapcsolódó rendszerbeállítások egyidejű élesítésének napja. A hozzájárulásoknál és foglalásoknál alkalmazott dokumentumverziókat bizonyítható módon meg kell őrizni.
18. Főbb jogszabályi hivatkozások
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), különösen 5., 6., 9., 12-22., 28., 32-34. cikk.
- 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról.
- 2013. évi V. törvény a Polgári Törvénykönyvről, különösen a képmás és hangfelvétel szabályai.
- 1997. évi CLV. törvény a fogyasztóvédelemről.
- 2000. évi C. törvény a számvitelről.
- 2008. évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól.
- 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatásokról.