AIBootcamp
Tartalom betöltése…
Tartalom betöltése…
Ez a tájékoztató azt írja le, hogy az aibootcamp.hu honlap és webshop üzemeltetése során milyen személyes adatot kezelünk, miért, milyen jogalapon, meddig, kinek adjuk át, és Ön ezzel szemben mit tehet. Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, a továbbiakban: GDPR) 13. és 14. cikke szerinti előzetes tájékoztatás. Nem általános sablon: a 4. pont alatti adatkezelési blokkok a rendszer tényleges működését írják le, mezőnév szinten, úgy, ahogy az adatbázisban szerepelnek. Ha valamit nem csinálunk, azt is megírjuk (lásd a 19. pontot). A tájékoztató hatálya kiterjed: – az aibootcamp.hu honlapra és webshopra (és annak angol nyelvű párjára, az aibootcamp.space címen) – a cdn.aibootcamp.hu címen kiszolgált letölthető fájlokra (e-book) – a honlapról indított hírlevélre, űrlapokra, esemény-regisztrációkra és kupon-kampányokra – a fentiekhez kapcsolódó levelezésre és ügyfélszolgálatra. Nem terjed ki a skillpass.id / auth.skillpass.id azonosítási szolgáltatás saját adatkezelésére (lásd a 15. pontot), sem azoknak a harmadik feleknek az adatkezelésére, akikhez a honlapunkról kilépő hivatkozás vezet. Verzió és hatálybalépés: lásd a 22. pontot.
– Név: Everengine Kft. – Székhely: 1056 Budapest, Belgrád rakpart 26. – Cégjegyzékszám: 01-09-905129 – Nyilvántartó cégbíróság: Fővárosi Törvényszék Cégbírósága (1051 Budapest, Nádor u. 28.) – Adószám: 14467947-2-41 – Közösségi adószám: HU14467947 – Felnőttképzési nyilvántartási szám: B/2023/000718 – Adatvédelmi kapcsolattartás: [email protected] – Ügyfélszolgálat (e-mail): [email protected] – Ügyfélszolgálat (telefon): +36 70 455 3415 – Honlap: https://aibootcamp.hu – Tárhelyszolgáltató: Rackforest Informatikai Kereskedelmi Szolgáltató és Tanácsadó Zrt. (székhely: 1132 Budapest, Victor Hugo utca 11. 5. em. B05001.; e-mail: [email protected]) A cégadatok teljes, az Ekertv. 4. §-a szerinti felsorolását az Impresszum tartalmazza. Adatvédelmi tisztviselő. Az adatkezelő adatvédelmi tisztviselőt nem nevezett ki, mert a GDPR 37. cikk (1) bekezdése szerinti egyik eset sem áll fenn: nem közhatalmi szerv vagy közfeladatot ellátó szerv; fő tevékenysége nem az érintettek nagymértékű, rendszeres és szisztematikus megfigyelése; és fő tevékenysége nem a GDPR 9. cikk szerinti különleges adatok vagy a 10. cikk szerinti büntetőjogi adatok nagy számban történő kezelése. Adatvédelmi kérdéseivel a fenti kapcsolattartási címen fordulhat hozzánk; a megkeresésre ugyanúgy a 17. pont szerinti határidőben válaszolunk.
A GDPR 5. cikke szerint az adatait jogszerűen, tisztességesen és átláthatóan, célhoz kötötten kezeljük, és csak annyit kezelünk, amennyi a cél eléréséhez feltétlenül szükséges. Ennek az elvnek néhány, a rendszerbe beépített következménye: – Az IP-címet soha nem tároljuk nyersen. Ahol a naplózásnak szüksége van arra, hogy két kérés ugyanarról a helyről jött-e, kulcsolt HMAC-SHA256 lenyomatot tárolunk (lásd a 4.5. pontot). – A tokeneket nem tároljuk nyersen. A letöltési linkek, a hírlevél-megerősítő linkek és a QR-jegyek titkos részéből csak lenyomat marad az adatbázisban. – Az analitika engedélyezett listával dolgozik. Csak előre meghatározott események és mezők menthetők; érzékeny útvonalról (pénztár, kosár, fiók, belépés, kapcsolat) egyáltalán nem fogadunk el mérési eseményt. – A hozzájárulásokat célonként külön soron tartjuk nyilván, időbélyeggel és az elfogadott jogi dokumentum verziójával, mert egyetlen logikai mezőből utólag nem bizonyítható, mire is adott hozzájárulást. Különleges kategóriájú (GDPR 9. cikk) személyes adatot — egészségügyi, világnézeti, biometrikus és hasonló adatot — nem kérünk és nem kezelünk. Kérjük, hogy a szabadszöveges mezőkbe (megjegyzés, üzenet) se írjon ilyet.
Ez a pont az adatkezelések tényleges nyilvántartása. Minden blokk megadja a célt, a jogalapot (a pontos GDPR-cikkel), a kezelt adatkört mezőnév szinten, a megőrzési időt, az adat forrását és a címzetteket.
Cél. Hogy a honlap használható legyen: a kosár és a több lépésből álló folyamatok (pénztár, űrlap, regisztráció) megőrizzék az állapotukat két kérés között; hogy a beküldött űrlapok ne legyenek meghamisíthatók más honlapról (CSRF-védelem); és hogy a nyilvános végpontokat ne lehessen automatizált kérésekkel elárasztani (sebességkorlát). Jogalap. – GDPR 6. cikk (1) bekezdés b) pont — szerződés teljesítése, illetve a szerződés megkötését megelőzően az Ön kérésére történő lépések megtétele: kosár és pénztár nélkül a vásárlás technikailag nem lehetséges. – GDPR 6. cikk (1) bekezdés f) pont — jogos érdek a biztonsági résznél (CSRF-védelem, sebességkorlát, visszaélés-felderítés). Érdekmérlegelés: az adatkezelő jogos érdeke a szolgáltatás rendelkezésre állása és a visszaélések megelőzése; a kezelt adat a látogató azonosítására alkalmatlan, véletlenszerű munkamenet-azonosító, amelyet rövid idő után törlünk; ezzel szemben álló érintetti érdeksérelmet nem azonosítottunk. A GDPR (49) preambulumbekezdése a hálózat- és információbiztonsági célú adatkezelést kifejezetten jogos érdeknek ismeri el. – Az elektronikus kereskedelmi szolgáltatásokról szóló 2001. évi CVIII. törvény (Ekertv.) 13/A. § (3) bekezdése szerint a szolgáltató „a szolgáltatás nyújtása céljából kezelheti azon személyes adatokat, amelyek a szolgáltatás nyújtásához technikailag elengedhetetlenül szükségesek" — ugyanez a bekezdés köti ki, hogy erre is csak a szükséges mértékben és ideig kerülhet sor. A szerződéssel összefüggő azonosító adatok kezelését a 13/A. § (1) bekezdése teszi lehetővé. Kezelt adatkör. auth.sessions tábla: – id — véletlenszerű munkamenet-azonosító (az aib_sid süti értéke) – kind — guest (be nem jelentkezett látogató) vagy user (bejelentkezett felhasználó) – csrf_secret — munkamenetenként külön generált, 32 bájtos véletlen titok, amelyből a CSRF-token képződik – created_at, last_seen_at, expires_at, revoked_at, rotated_from — a munkamenet életciklusa – bejelentkezett látogatónál ezen felül: issuer (az azonosítást végző szolgáltató), subject (a SkillPass-azonosító), email, display_name, token_expires_at, valamint access_token_enc és refresh_token_enc — a SkillPass hozzáférési és frissítési token AES-256-GCM-mel titkosítva, nyersen soha. auth.oidc_transactions tábla (csak a bejelentkezés néhány másodperce alatt él): state, nonce, code_verifier, return_to, session_id, created_at, expires_at. auth.rate_limits tábla: bucket (a művelet neve és a munkamenet azonosítója, pl. newsletter:<munkamenet>), hits, window_start. Sütik. aib_sid (a munkamenet azonosítója) és aib_order_cap (vendégként leadott rendelés megtekintéséhez). Mindkettő HttpOnly, SameSite=Lax, Path=/, éles üzemben Secure, és nincs Domain attribútuma (host-only), így más aldomainre nem küldjük el. Részletek az 5. pontban. Megőrzési idő. Vendég-munkamenet: 12 óra. Bejelentkezett munkamenet: 30 nap. A lejárt munkamenetek nem használhatók, és a lejárt sorokat töröljük. Az OIDC-tranzakció a bejelentkezés befejezéséig, legfeljebb néhány percig él. A sebességkorlát-ablakok legfeljebb 1 óra hosszúak, és az új ablak felülírja a régit. Forrás. Közvetlenül Öntől, a böngészője kéréseiből. Címzettek. A tárhelyszolgáltató (Rackforest Informatikai Kereskedelmi Szolgáltató és Tanácsadó Zrt. (székhely: 1132 Budapest, Victor Hugo utca 11. 5. em. B05001.; e-mail: [email protected])) és a Cloudflare mint proxy — lásd a 12. pontot.
Cél. Hogy a választott témákban hírlevelet küldjünk Önnek, és hogy bizonyítani tudjuk: a feliratkozás valóban Öntől származik. Jogalap. – GDPR 6. cikk (1) bekezdés a) pont — az Ön hozzájárulása. A hozzájárulás önkéntes, konkrét, megfelelő tájékoztatáson alapul, és bármikor, ugyanolyan egyszerűen visszavonható, ahogy megadta (GDPR 7. cikk (3) bekezdés). – A hozzájárulás bizonyíthatóságát a GDPR 5. cikk (2) bekezdése (elszámoltathatóság) és 7. cikk (1) bekezdése írja elő — ezért tároljuk a hozzájárulás szövegét, időpontját és verzióját. – A gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény (Grt.) 6. §-a alapján reklámot elektronikus levélben csak előzetes, egyértelmű és kifejezett hozzájárulással küldünk. Dupla opt-in. A feliratkozás önmagában nem indít hírlevelet. Előbb megerősítő levelet küldünk a megadott címre; a hírlevél csak akkor indul, ha a levélben lévő linkre kattint. A megerősítő link 48 óráig érvényes. Ha nem erősíti meg, a feliratkozás pending státuszban marad, és nem kap hírlevelet. Kezelt adatkör. engagement.newsletter_subscriptions tábla: – email — a feliratkozó e-mail címe (kisbetűsítve tároljuk, hogy egy cím egy sor legyen) – topics — a választott témák (AI-agentek, AI a munkában, Kutatás és módszertan, Képzések és események, Könyvek és újdonságok) – status — pending (megerősítésre vár), active (megerősített), unsubscribed (leiratkozott) – consent — a hozzájárulás bizonyítéka: a cél, az elfogadott dokumentum verziója, az elfogadás ténye – confirm_token_hash — a megerősítő link titkos részének SHA-256 lenyomata (a nyers token csak a levélben létezik), confirm_expires_at, confirmed_at – created_at, updated_at. Megőrzési idő. A hozzájárulás visszavonásáig. Leiratkozáskor a feliratkozás unsubscribed státuszba kerül; törlési kérésre a sort töröljük. Kivétel: a leiratkozás tényét rögzítő tiltólista-bejegyzés (4.3. pont) ilyenkor is megmarad — ez a leiratkozás bizonyítéka, és ez akadályozza meg, hogy a címe egy későbbi feltöltéssel visszakerüljön a listára. Forrás. Közvetlenül Öntől, a honlap feliratkozó űrlapjáról. Egyes esetekben partneroldalról (pl. a könyv kampányoldaláról), szerver-szerver átadással — ilyenkor a partner a hozzájárulás szó szerinti szövegét, az elfogadás időpontját és a forrás megnevezését is átadja, és ezt őrizzük meg bizonyítékként. Címzettek. Mailgun (EU régió) mint levélküldő adatfeldolgozó — lásd a 12. pontot.
Cél. Hogy a leiratkozott cím többé ne kapjon tőlünk levelet — akkor se, ha a cím egy későbbi kampánylistával vagy partneri átadással újra hozzánk kerülne —, és hogy a leiratkozás megtörténte utólag bizonyítható legyen. Jogalap. – GDPR 6. cikk (1) bekezdés c) pont — jogi kötelezettség teljesítése: a GDPR 21. cikk (3) bekezdése szerint, ha Ön tiltakozik a közvetlen üzletszerzés célú adatkezelés ellen, az adatai e célból többé nem kezelhetők. Ennek a tilalomnak a betartásához nyilván kell tartanunk, hogy mely címre nem küldhetünk levelet. – GDPR 6. cikk (1) bekezdés f) pont — jogos érdek: annak bizonyítása, hogy a leiratkozást teljesítettük, és hogy a későbbi küldések kizárása működik. Érdekmérlegelés: az érintett érdeke (hogy ne kapjon több levelet) és az adatkezelő érdeke (hogy ezt bizonyítani tudja, és hogy ne kövessen el jogsértést egy későbbi küldéssel) ugyanabba az irányba mutat; a nyilvántartott adat a minimumra szorított. – A törlési jog korlátja: GDPR 17. cikk (3) bekezdés b) pont (jogi kötelezettség teljesítése) és e) pont (jogi igények előterjesztése, érvényesítése, illetve védelme). Kezelt adatkör. engagement.unsubscribes tábla: – email — a normalizált (kisbetűs) e-mail cím; ez a tábla elsődleges kulcsa – scope — mire szól a letiltás: all (minden levél — ez az egykattintásos leiratkozás alapértelmezése), newsletter, campaign – at — a leiratkozás időpontja – source — honnan érkezett: one-click (az RFC 8058 szerinti, levélből indított POST), page (leiratkozó oldal), admin (operátori rögzítés) – user_agent — a leiratkozást küldő eszköz azonosítója (a levelezőszolgáltató egykattintásos kérésénél üres marad) – ip_hash — kulcsolt HMAC-SHA256 lenyomat, nyers IP-cím soha. Megőrzési idő. Határozatlan ideig. Ez az egyetlen nyilvántartásunk, amelyet törlési kérésre sem ürítünk. Az ok gyakorlati és jogi: a tiltakozásnak túl kell élnie azt az adatot, amely kiváltotta. Ha a tiltólista-sort is törölnénk, a címe egy későbbi listafeltöltéssel visszakerülne a címlistára, és újra levelet kapna — pontosan az ellenkezője annak, amit kért. A sor tartalma ezért a lehető legszűkebb: cím, hatókör, időpont, és a beérkezés körülményei. Minden kampány- és hírlevél-küldés előtt ezt a listát nézzük meg; ami rajta van, arra nem megy levél. Forrás. A levélben lévő leiratkozási link, a leiratkozó oldal, illetve az Ön ügyfélszolgálati kérése alapján operátori rögzítés. Címzettek. Nincs külső címzett. A tiltólistát nem adjuk át a levélküldő szolgáltatónak; a szűrést a saját rendszerünkben végezzük, és a Mailgun felé már csak a szűrt címlista megy ki.
Cél. Hogy a kért e-bookot elküldjük Önnek (egyedi letöltési linkkel), hogy az igénylést teljesíteni tudjuk, és hogy bizonyítható legyen, pontosan mire adott hozzájárulást. Jogalap. GDPR 6. cikk (1) bekezdés a) pont — hozzájárulás, célonként külön. A bizonyíthatóságot a GDPR 7. cikk (1) bekezdése követeli meg. Kezelt adatkör. engagement.form_submissions tábla (ez a tábla szolgálja ki az összes publikus űrlapot; a form mező mondja meg, melyikről van szó): – form — az űrlap kulcsa (az e-book igénylésnél ebook) – locale — a beküldés nyelve – name, email, phone, company — a megadott név, e-mail cím, telefonszám és cégnév – note — szabad szöveges megjegyzés (mivel Ön bármit beleírhat, ezt is személyes adatként kezeljük) – fields — az űrlapspecifikus további mezők – status — received, fulfilled (a letöltési link kiment), failed – ip_hash — kulcsolt HMAC-SHA256 lenyomat, nyers IP-cím soha – user_agent — a böngésző azonosítója – session_id — a böngésző vendég-munkamenete (nem felhasználói azonosító) – created_at, updated_at, fulfilled_at. engagement.form_consents tábla — célonként külön sor: – purpose — privacy (az adatkezelési tájékoztató megismerése), newsletter (hírlevél-hozzájárulás), marketing – accepted — elfogadta-e – document_slug, document_version — pontosan melyik jogi dokumentum melyik verzióját fogadta el – accepted_at — az elfogadás időpontja. Miért külön sorban. Egyetlen „elfogadom" pipából utólag nem lehet bizonyítani, hogy a beküldő az adatkezelési tájékoztató megismerését, a hírlevelet, vagy mindkettőt fogadta el. A célonkénti külön sor a GDPR 7. cikk (2) bekezdésének is megfelel: a különböző célú hozzájárulásokat egymástól elkülönítve kell kérni és nyilvántartani. Megőrzési idő. Amíg a hozzájárulás él. Ha visszavonja a hozzájárulást vagy törlést kér, mindkét tábla érintett sorait töröljük (a beküldés törlése kaszkádban viszi a hozzájárulásokat). Ilyenkor a már kiadott letöltési jogosultságot is visszavonjuk. Forrás. Közvetlenül Öntől, az /e-book oldal űrlapjáról. Címzettek. Mailgun (EU régió) — a levél kiküldéséhez.
Cél. Hogy tudjuk, kinek adtunk ki letöltési linket, és hogy a linket felhasználták-e; hogy kiszűrjük a linkkel való visszaélést (pl. egy egyedi link tömeges továbbadását); és hogy a fájlkiszolgálás hibáit fel tudjuk deríteni. Jogalap. – GDPR 6. cikk (1) bekezdés b) pont — az Ön kérésére nyújtott szolgáltatás (a kért fájl elérhetővé tétele) teljesítése. – GDPR 6. cikk (1) bekezdés f) pont — jogos érdek a visszaélés kiszűrésére és a szolgáltatás üzemeltetésére. Érdekmérlegelés: a naplózás célja a kiadott jogosultságok elszámolása; az azonosításra alkalmas elem (az IP-cím) helyett kulcsolt, visszafejthetetlen lenyomatot tárolunk, így a beavatkozás mértéke a lehető legkisebb. Kezelt adatkör. files.grants tábla (a kiadott letöltési jogosultságok): – token_hash — a letöltési link titkos részének SHA-256 lenyomata; a nyers token csak a kiadás pillanatában létezik, és kizárólag az Önnek küldött levélbe kerül. Így a napló birtokában sem lehet működő letöltési linket hamisítani – subject_kind — lead (e-mail cím alapján), user (bejelentkezett felhasználó), manual, campaign – subject_ref — a jogosultság alanya: jellemzően e-mail cím vagy felhasználó-azonosító. Ez az egyetlen közvetlenül azonosító mező a nyilvántartásban – issued_at, expires_at, max_downloads, download_count, revoked_at, meta. files.downloads tábla (letöltési napló): – at — a letöltés időpontja – ip_hash — kulcsolt HMAC-SHA256 lenyomat, 32 hexadecimális karakterre vágva – ip_country — kizárólag országszint, a Cloudflare CF-IPCountry fejlécéből – user_agent, referer — technikai fejlécek, 512 karakterre vágva – bytes_sent — az átvitt bájtok száma – outcome — ok, partial (tartomány-kérés), denied (nincs érvényes jogosultság), not_found – request_id, file_id, grant_id. Miért nem tárolunk nyers IP-címet. Az IP-cím önmagában személyes adat, és a kiszolgáló naplójában gyakorlatilag azonosítja az internet-előfizetést, sokszor a személyt is. A naplónak viszont nincs szüksége magára a címre — csak arra, hogy meg tudja mondani: két letöltés ugyanarról a helyről jött-e. Ehhez elég egy kulcsolt lenyomat: az IP-t egy titkos kulccsal (AIB_IP_HASH_KEY) HMAC-SHA256 algoritmussal képezzük le, és az eredmény első 32 hexadecimális karakterét tároljuk. Ez a lenyomat: – a kulcs nélkül nem fejthető vissza, és nem is szótárazható végig (a kulcs nélkül a lehetséges IP-k kipróbálása sem ad találatot) – a kulccsal is csak arra használható, hogy egy ismert IP-címről eldöntsük, szerepel-e a naplóban — címlistát nem lehet belőle visszaállítani. Ez a GDPR 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság és a 25. cikk szerinti beépített adatvédelem gyakorlati megvalósítása. Ugyanezt az eljárást alkalmazzuk az űrlap-beküldéseknél (4.4.) és a leiratkozásoknál (4.3.) is. Token nélküli letöltés. A nyilvánosként megjelölt fájlok token nélkül is letölthetők (hogy a levélben lévő link akkor se sérüljön, ha a token elveszik). Ilyenkor a naplósor grant_id nélkül keletkezik, és nem köthető személyhez — csak azt mutatja, hogy a fájlt letöltötték. Nem nyilvántartott kulcsra (szkennerzaj, találgatás) egyáltalán nem naplózunk. Megőrzési idő. A letöltési napló és a lejárt jogosultságok legfeljebb 24 hónap. Az e-book letöltési jogosultságot a kiadástól számított 365 napra adjuk ki. Forrás. A letöltési kérés (a böngészője és a Cloudflare fejlécei). Címzettek. Cloudflare (az országkód forrása), a tárhelyszolgáltató.
Cél. Hogy a webshopban leadott rendelését fogadni, visszaigazolni, a fizetést lebonyolítani és a megrendelt terméket vagy szolgáltatást teljesíteni tudjuk. Jogalap. GDPR 6. cikk (1) bekezdés b) pont — a szerződés teljesítése, illetve a szerződés megkötését megelőzően az Ön kérésére történő lépések megtétele. Az itt felsorolt adatok megadása nélkül a szerződés nem jön létre; ennyiben az adatszolgáltatás a szerződéskötés előfeltétele (GDPR 13. cikk (2) bekezdés e) pont). A számlázáshoz és a számviteli megőrzéshez kapcsolódó rész jogalapja ettől eltér — lásd a 4.8. pontot. Kezelt adatkör. commerce.quotes tábla (ajánlat, a pénztár első lépése): – session_id, buyer_type (private magánszemély / business cég), delivery, currency, locale – billing — számlázási adatok: name (név), email, company (cégnév), vatId (adószám / közösségi adószám), country (kétbetűs országkód), postalCode, city, address, phone – shipping — eltérő szállítási cím esetén ugyanezek a mezők – lines — a kosár tételei, recurring — az előfizetéses tételek – total_minor, shipping_minor, tax_minor, coupon_code, discount, tax_incomplete – required_consents — mely jogi dokumentumokat kell elfogadni, és azok mely verzióját – expires_at — az ajánlat 30 percig érvényes. commerce.orders tábla (rendelés): – buyer_email, buyer (a fenti számlázási és szállítási adatok pillanatképe), issuer, subject (bejelentkezett vásárlónál a SkillPass-azonosító) – status — pending, paid, failed, cancelled, refunded – currency, total_minor, tax_minor, shipping_minor, coupon_code, locale – consents — mit fogadott el, melyik verzióban: az ÁSZF-et, az adatkezelési tájékoztatót, digitális tartalomnál a 14 napos elállási jogról szóló nyilatkozatot – idempotency_key, request_fingerprint — technikai mezők, hogy egy dupla kattintásból ne legyen két rendelés – stripe_session_id, stripe_payment_intent — a fizetési tranzakció azonosítói a Stripe-nál – guest_capability_hash — vendégként leadott rendelésnél a rendelés megtekintéséhez szükséges képesség lenyomata – immediate_digital, paid_at, refund_reason, refunded_at, failure_reason, created_at, updated_at. További kapcsolódó nyilvántartások: commerce.order_lines (tételek: termékazonosító, cím, mennyiség, egységár, áfakulcs), commerce.fulfillments (teljesítés állapota), commerce.entitlements (megszerzett jogosultságok), commerce.subscriptions (előfizetések), commerce.credit_ledger (kreditegyenleg mozgásai), commerce.stock_movements (készletmozgás). Fizetés — kártyaadatot nem kezelünk. A fizetés a Stripe által üzemeltetett, a Stripe saját oldalán megnyíló fizetőoldalon (hosted checkout) történik. A Stripe felé a rendelésazonosító, az Ön e-mail címe, a tételek megnevezése, mennyisége és összege, valamint a szállítási díj megy át. A bankkártya számát, lejáratát és biztonsági kódját Ön közvetlenül a Stripe oldalán adja meg; ez az adat a mi rendszerünkbe soha nem kerül be, azt nem látjuk és nem tároljuk. A fizetés eredményéről a Stripe aláírt értesítést (webhookot) küld, amelynek aláírását minden esetben ellenőrizzük. Megőrzési idő. A szerződés teljesítéséig, azt követően a polgári jogi igények elévüléséig — a Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) 6:22. § (1) bekezdése szerint 5 év („Ha e törvény eltérően nem rendelkezik, a követelések öt év alatt évülnek el."). A le nem adott (lejárt) ajánlatokat töröljük. Miért nem törlünk a számlázás után. Az Ekertv. 13/A. § (7) bekezdése főszabály szerint a számlázást követő törlést írja elő — de kifejezetten csak „törvény eltérő rendelkezése hiányában". Márpedig a Számv. tv. 169. §-a éppen ilyen eltérő rendelkezés: a számviteli bizonylatnak minősülő adatkört 8 évig meg kell őrizni (4.8. pont). A két szabály tehát nem mond ellent egymásnak: ami nem számviteli bizonylat, azt az 5 éves elévülési idő után töröljük, a bizonylat viszont a 8 év leteltéig marad. Forrás. Közvetlenül Öntől, a pénztár űrlapjáról. A fizetés eredménye a Stripe-tól. Címzettek. Stripe (fizetés), a számlázási szolgáltató (4.8.), a futárszolgálat fizikai termék esetén (4.9.), bejelentkezett vásárlónál a SkillPass.ID (15. pont), a tárhelyszolgáltató. Ma nincs élesítve. A pénztár a jogi dokumentumok jóváhagyásáig zárva volt; a vásárlás funkció a tájékoztató közzétételekor még nem indult el. Ahogy elindul, a fenti leírás szerint működik.
**Cél.** Hogy SkillPass.ID-val belépve a kosara a fiókjához kötve megmaradjon (másik eszközön is folytathatja, és az ügyfélportálon is látja), és hogy — ha kéri — a pénztár a következő vásárlásnál a korábban megadott adataival legyen kitöltve, amelyeket csak szerkesztenie kell. **Jogalap.** A kosár fiókhoz mentése: GDPR 6. cikk (1) bekezdés b) pont — az Ön által igénybe vett fiókos vásárlási szolgáltatás nyújtása. A pénztári adatok megjegyzése: GDPR 6. cikk (1) bekezdés a) pont — az Ön hozzájárulása, amelyet a pénztárban az „Adataim megjegyzése a következő vásárláshoz" jelölővel ad meg (a jelölő alapból üres). A hozzájárulás bármikor visszavonható: a jelölő kikapcsolásával a mentett adatokat azonnal töröljük; a visszavonás a korábbi kezelés jogszerűségét nem érinti. **Kezelt adatkör.** `commerce.customer_carts`: a SkillPass-azonosító (`issuer`, `subject`), a kosár tételei (termékazonosító, mennyiség) és a kosárban megadott kuponkód. `commerce.customer_profiles`: a SkillPass-azonosító és a pénztár mezői — név, e-mail cím, telefonszám, vevőtípus, cégnév, adószám, számlázási és szállítási cím, átvételi mód. Fizetési adatot nem mentünk. **Megőrzési idő.** A kosarat addig, amíg Ön módosítja vagy üríti, illetve amíg a SkillPass.ID-fiókja fennáll; a pénztári adatokat a hozzájárulás visszavonásáig. Vendégként (belépés nélkül) a kosár és a kupon csak az Ön böngészőjében tárolódik. **Forrás.** Közvetlenül Öntől, a kosárból és a pénztár űrlapjáról. **Címzettek.** Nincs; az adatokat csak az aibootcamp rendszere kezeli, a tárhelyszolgáltatónál (12. pont).
Cél. Hogy a fogyasztói elállási nyilatkozatát fogadni, elbírálni és a visszatérítést teljesíteni tudjuk. Jogalap. GDPR 6. cikk (1) bekezdés c) pont — jogi kötelezettség teljesítése: a fogyasztó és a vállalkozás közötti szerződések részletes szabályairól szóló 45/2014. (II. 26.) Korm. rendelet szerinti elállási jog kezelése, valamint a Ptk. szerinti kellékszavatossági és jótállási kötelezettségek teljesítése. Emellett GDPR 6. cikk (1) bekezdés f) pont — jogos érdek a jogi igények érvényesítése és védelme körében. Kezelt adatkör. commerce.withdrawals tábla: order_ref (a rendelés hivatkozása), name, confirmation_email, scope (mire vonatkozik az elállás), declaration (a nyilatkozat szövege), version (az elállási nyilatkozatminta verziója), status, declared_at, acknowledged_at, decision_note (operátori megjegyzés az Önnek adott válaszhoz). A visszatérítés ténye a rendelésen: refund_reason, refunded_at. Megőrzési idő. Az elállás elbírálásától és a visszatérítés teljesítésétől számított 5 év (a Ptk. 6:22. § szerinti általános elévülési idő, a jogi igények érvényesíthetősége miatt). A visszatérítés számviteli bizonylata 8 évig marad (4.8.). Forrás. Közvetlenül Öntől, az elállási űrlapról vagy írásbeli nyilatkozatából. Címzettek. A fizetési szolgáltató (a visszatérítés végrehajtásához), a számlázási szolgáltató (sztornó vagy helyesbítő számla).
Cél. Hogy a vásárlásáról jogszabálynak megfelelő számlát állítsunk ki, és hogy a számviteli bizonylatot a törvényben előírt ideig megőrizzük. Jogalap. GDPR 6. cikk (1) bekezdés c) pont — jogi kötelezettség teljesítése: – az általános forgalmi adóról szóló 2007. évi CXXVII. törvény (Áfa tv.) 159. §-a szerinti számlakibocsátási kötelezettség és 169. §-a szerinti kötelező számlaadattartalom – a számvitelről szóló 2000. évi C. törvény (Számv. tv.) 169. § (2) bekezdése: „A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni." Ugyanígy 8 év a 169. § (1) bekezdése szerint a beszámoló és az azt alátámasztó nyilvántartás megőrzési ideje. Kezelt adatkör. A számlára kerülő adatok: a vevő neve (magánszemélynél a természetes személy neve, cégnél a cégnév), országkód, irányítószám, település, cím, e-mail cím; üzleti vevőnél az adószám, uniós vevőnél a közösségi adószám; az adóalanyiság minősítése (private / company / eu_company / non_eu); a tételek megnevezése, cikkszáma, mennyisége, nettó egységára és áfakulcsa; a szállítási díj; a fizetés módja és ténye; a rendelésszám. A rendelésen tárolt hivatkozások: invoice_id, invoice_number, invoice_pdf_url, invoice_error, valamint a commerce.invoices tábla (provider, external_id, status, pdf_url). Megőrzési idő. Legalább 8 év a Számv. tv. 169. § (2) bekezdése alapján, a bizonylat kiállításától számítva. Ezt az adatkört törlési kérésre sem törölhetjük, mert jogi kötelezettség köti — ezt a GDPR 17. cikk (3) bekezdés b) pontja kifejezetten a törléshez való jog korlátjaként nevesíti. Törlési kérés esetén a többi nyilvántartásból töröljük az adatait, a számviteli bizonylat viszont a 8 év leteltéig megmarad, és kizárólag erre a célra használjuk. Forrás. A rendelés adataiból (4.6.). Címzettek. A számlázási szolgáltató — KBOSS.hu Kft. (szamlazz.hu, Számla Agent), az invoice.aibos.space szolgáltatás közvetítésével. Bejelentkezett vásárlónál a számla a SkillPass-fiókjába is bekerülhet. Státusz: élő (2026-09-17-től). A számlát és — átutalásos fizetésnél — a díjbekérőt a számlázz.hu Számla Agentje állítja ki; a PDF-et a saját tárolónkból, a cdn.aibootcamp.hu címről, az Ön e-mail-címéhez kötött hivatkozással adjuk ki, és minden letöltésről napló készül (4.5. pont). A díjbekérő nem számviteli bizonylat; megőrzési ideje a rendelésé (4.6. pont). A számlázz.hu a saját rendszerében is megőrzi a kiállított bizonylatokat.
Cél. Hogy a megrendelt fizikai terméket (könyvet) a megadott címre kiszállítsuk. Jogalap. GDPR 6. cikk (1) bekezdés b) pont — a szerződés teljesítése. A futárszolgálat felé továbbítás e nélkül nem lehetséges: cím nélkül nincs kézbesítés. Kezelt adatkör. A futárszolgálatnak átadott adatok: a címzett name (neve), country, zip (irányítószám), city, address, email, phone (telefonszám — a futár ezen egyeztet), a csomagok száma és súlya, a tételek cikkszáma, a rendelésazonosító és a küldeményhez fűzött megjegyzés. Az utánvét összege minden esetben nulla (nincs utánvétes fizetés). A rendelésen tárolt hivatkozások: shipment_id, shipment_group_id, shipment_status, shipment_label_url, shipment_error. Megőrzési idő. A kiszállítás teljesítéséig, azt követően a kapcsolódó igények elévüléséig (5 év, Ptk. 6:22. §). A számviteli bizonylat része 8 év (4.8.). Forrás. A rendelés szállítási adataiból; ha nem adott meg külön szállítási címet, a számlázási címből. Címzettek. A futárszolgálat (Deliveo), a delivery.aibos.space szolgáltatás közvetítésével. A futárszolgálat a saját fuvarozási tevékenysége körében önálló adatkezelőként is eljár, és a küldemény kezeléséről saját tájékoztatót ad. Státusz: kész, de még nincs élesítve. A logisztikai integráció megépült, de a tájékoztató közzétételekor még nincs bekapcsolva.
Cél. Hogy eseményre (online vagy budapesti képzésre, webinárra) regisztrálni tudjon, hogy kiállítsuk az e-jegyét, és hogy a helyszínen vagy az online térben be tudjuk léptetni. Jogalap. – GDPR 6. cikk (1) bekezdés b) pont — a szerződés (részvételi jogviszony) teljesítése; fizetős eseménynél a megvásárolt szolgáltatás nyújtása. – A beléptetés (a jegy érvényességének ellenőrzése) a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdekünkön alapul: hogy a korlátozott férőhelyre csak az lépjen be, akinek érvényes jegye van. Érdekmérlegelés: a kezelt adat a jegy státusza és a belépés időpontja; enélkül a rendezvény kapacitása és a fizetős jegyek értéke nem védhető. Kezelt adatkör. events.registrations tábla: event_id, email, issuer és subject (bejelentkezett résztvevőnél a SkillPass-azonosító), status (confirmed / waitlisted / cancelled), order_id (fizetős eseménynél), locale, created_at. events.tickets tábla: qr_token_hash (a QR-kódba kerülő token lenyomata — a nyers token csak a jegyen létezik), status (valid / used / cancelled), checked_in_at (a beléptetés időpontja), checked_in_by (a beléptető operátor azonosítója), created_at. SkillPass-fiókba átkerülő adatok. Bejelentkezett résztvevőnél a jegy a SkillPass-fiókjában is megjelenik. Ekkor a következő mezők kerülnek át: user_id (a SkillPass-azonosító), external_id (a regisztráció azonosítója), event_title, starts_at, ends_at, format (online / onsite), venue (a nyilvános helyszín), qr_url, status. Megőrzési idő. Az esemény napjától a kapcsolódó igények elévüléséig (5 év, Ptk. 6:22. §); fizetős eseménynél a számviteli bizonylat 8 évig (4.8.). A beléptetési adatot (checked_in_at) az esemény lezárását követően csak a részvétel igazolásához használjuk. Forrás. Közvetlenül Öntől (regisztráció), illetve a rendelésből (fizetős esemény). Címzettek. Mailgun (a jegy és az emlékeztető kiküldése), SkillPass.ID (a jegy megjelenítése a fiókban).
Cél. Hogy a korábbi hozzájárulása alapján ígért, személyre szóló kedvezménykódot kiadjuk és kiküldjük Önnek, és hogy a beváltást nyomon tudjuk követni (egy kódot egyszer lehessen felhasználni). Jogalap. – GDPR 6. cikk (1) bekezdés a) pont — az a hozzájárulás, amely alapján a kód készült (például a könyv kampányoldalán adott feliratkozás, amelynél a kedvezményt ígértük). A kód kiküldése ennek a hozzájárulásnak a teljesítése. – A beváltást követően a kód sorsa a szerződéshez kapcsolódik: GDPR 6. cikk (1) bekezdés b) pont, a számviteli nyom pedig c) pont (4.8.). Kezelt adatkör. commerce.coupons tábla: – code — a kedvezménykód (félreolvashatatlan ábécéből, véletlen utótaggal) – issued_to_email — akinek kiadtuk, kisbetűsítve. Ettől a mezőtől lesz a sor személyes adat: egy konkrét természetes személyhez rendelt kedvezmény – campaign — a kampány kulcsa; ez adja a megőrzés kontextusát – kind (percent / fixed_minor), value, product_ids, valid_from, valid_to, max_uses, uses, active – letter_sent_at — mikor ment ki a kampánylevél erre a kódra (küldés-bizonyíték, egyben az ismételt küldés kizárása) – used_at, used_order_id — a beváltás ténye és a rendelés, amelyben beváltották. Tiltólista-ellenőrzés. A kampánylevél kiküldése előtt minden címet összevetünk a tiltólistával (4.3.). Aki leiratkozott, nem kap kampánylevelet — akkor sem, ha van érvényes kódja. Megőrzési idő. A megőrzés a kampányt követi: a kampány lezárása és a kód érvényességének lejárta után a személyhez kötést töröljük (az issued_to_email mezőt ürítjük), így a sorból személytelen kampánystatisztika marad. A beváltott kód a rendelésen (orders.coupon_code) számviteli nyomként megmarad a 4.8. pont szerinti 8 évig. Forrás. A partneroldali feliratkozás (szerver-szerver átadás), amely a hozzájárulás szó szerinti szövegét, időpontját és forrását is átadja; illetve operátori kiadás. Címzettek. Mailgun (EU régió) — a kampánylevél kiküldése.
Cél. Hogy a kérdéseire, kéréseire és panaszaira érdemi választ adjunk, és hogy a panaszkezelést jogszabálynak megfelelően dokumentáljuk. Jogalap. – GDPR 6. cikk (1) bekezdés b) pont, ha a megkeresés a köztünk fennálló (vagy készülő) szerződéshez kapcsolódik — például rendeléssel, számlával, szállítással kapcsolatos kérdés. – GDPR 6. cikk (1) bekezdés f) pont az egyéb megkereséseknél. Érdekmérlegelés: a megkeresés megválaszolásához fűződő érdek kölcsönös — Ön választ vár, mi pedig válaszolni szeretnénk; a kezelt adat az, amit Ön maga írt meg. – GDPR 6. cikk (1) bekezdés c) pont fogyasztói panasz esetén: a fogyasztóvédelemről szóló 1997. évi CLV. törvény (Fgytv.) 17/A. § (7) bekezdése szerint a vállalkozás a szóbeli panaszról felvett jegyzőkönyvet vagy az írásbeli panaszt, továbbá a panaszra adott érdemi válaszának másolati példányát három évig köteles megőrizni, és azt az ellenőrző hatóságoknak kérésükre bemutatni. Kezelt adatkör. engagement.support_requests tábla: name (név), email, topic (a megkeresés tárgya), message (a szabad szöveges üzenet — kérjük, ide ne írjon különleges adatot), session_id (a böngésző munkamenete), status (received és a további feldolgozási állapotok), created_at. Ezen felül az Önnel folytatott levelezés (a levelezőrendszerünkben). Megőrzési idő. – Fogyasztói panasz esetén a szóbeli panaszról felvett jegyzőkönyvet vagy az írásbeli panaszt, továbbá az arra adott érdemi válasz másolati példányát az Fgytv. 17/A. § (7) bekezdése alapján 3 évig őrizzük meg. Ezt az adatot ez idő alatt törlési kérésre sem törölhetjük (GDPR 17. cikk (3) bekezdés b) pont). Ha a panaszból jogvita lesz, az ügy iratait ezen felül a jogi igény elévüléséig megőrizzük. – Egyéb megkeresés esetén az ügy lezárását követő 1 évig — hogy egy visszatérő kérdésnél lássuk az előzményt —, ezt követően töröljük. – Ha a megkeresés jogvitához vezet, az ügy iratait a jogi igény érvényesíthetőségéig őrizzük (GDPR 17. cikk (3) bekezdés e) pont). Forrás. Közvetlenül Öntől. Címzettek. Nincs külső címzett; a megkeresést a saját rendszerünkben kezeljük. A válaszlevél kiküldéséhez a Mailgun (EU régió) jár el adatfeldolgozóként.
Cél. Hogy be tudjon lépni a fiókjába, hogy a megvásárolt jogosultságai, jegyei és számlái egy helyen elérhetők legyenek, és hogy a fizetős tartalmakat a jogosultsága alapján szolgálhassuk ki. Jogalap. GDPR 6. cikk (1) bekezdés b) pont — a szerződés teljesítése (a megvásárolt hozzáférés biztosítása, illetve a fiókszolgáltatás nyújtása). Hogyan működik. A belépés OpenID Connect protokollal, a auth.skillpass.id szolgáltatáson keresztül történik, PKCE-vel védve. A jelszavát mi nem látjuk és nem tároljuk — az a SkillPass.ID oldalán marad. Kezelt adatkör nálunk. auth.sessions tábla (lásd a 4.1. pontot): issuer (az azonosítást végző szolgáltató), subject (a SkillPass-azonosító), email, display_name, valamint a hozzáférési és frissítési token AES-256-GCM-mel titkosítva (access_token_enc, refresh_token_enc, token_expires_at). A jogosultságok nálunk: commerce.entitlements (issuer, subject, product_id, kind, status, granted_at, expires_at, synced_at). A SkillPass.ID felé továbbított adatok. Bejelentkezett felhasználó vásárlása vagy regisztrációja után a következő mezők kerülnek át, hogy a fiókjában megjelenjenek: – jogosultságnál: user_id, external_id, kind, product_ref, title, source_name (AI Bootcamp), status, granted_at, meta.order_id – jegynél: user_id, external_id, event_title, starts_at, ends_at, format, venue, qr_url, status – kreditnél: user_id, balance, as_of – értesítésnél: a címzett azonosítója, a téma, a cím, a szöveg, a hivatkozás és a nyelv. Megőrzési idő. A munkamenet 30 nap; a jogosultságok a lejáratukig vagy visszavonásukig, illetve a szerződés megszűnését követő elévülési időig. Adatkezelői szerepek. A SkillPass.ID a saját fiók-, azonosítási és jogosultságkezelési adatkezelése tekintetében önálló szolgáltatásként működik, és a kapcsolódó adatkezelésről saját tájékoztatót ad. A két rendszer közötti adatkezelői, illetve adatfeldolgozói viszony pontos rögzítése — beleértve a GDPR 26. cikk szerinti közös adatkezelés kérdését — folyamatban van; amint lezárul, ezt a pontot a tájékoztató soron következő verziójában pontosítjuk, és a változásról a 22. pont szerint tájékoztatjuk. Címzettek. SkillPass.ID.
Cél. Hogy lássuk, mely oldalak, termékek, cikkek és események érdeklik a látogatókat, és hogy mérni tudjuk a honlap sebességét és stabilitását (web vitals). Ezekből fejlesztjük a honlapot és a kínálatot. Jogalap. GDPR 6. cikk (1) bekezdés a) pont — az Ön hozzájárulása. Ezt magyar jogszabály is külön előírja: az Ekertv. 13/A. § (4) bekezdése szerint a szolgáltató a szolgáltatás igénybevételével kapcsolatos adatokat a szerződés teljesítésén és a technikailag elengedhetetlen körön túli célból — „így különösen szolgáltatása hatékonyságának növelése… piackutatás céljából" — kizárólag az adatkezelési cél előzetes meghatározása mellett és az igénybe vevő hozzájárulása alapján kezelheti. Hozzájárulás nélkül tehát nem mérünk; a hozzájárulás bármikor, következmény nélkül visszavonható, és a honlap ettől ugyanúgy használható marad. Az Ekertv. 13/A. § (6) bekezdése alapján ezeket a mérési adatokat nem kapcsoljuk össze az Ön azonosító adataival, és hozzájárulása nélkül harmadik személynek nem adjuk át — ezt a gyakorlatban az biztosítja, hogy a mérési esemény csak engedélyezett mezőket tartalmazhat, és e-mail cím nem kerülhet bele. Kezelt adatkör. engagement.analytics_events tábla: – event — kizárólag előre engedélyezett esemény: page_view, product_view, add_to_cart, event_view, article_view, search_used, web_vital. Bármi más elutasításra kerül – path — kizárólag relatív útvonal, lekérdezési paraméterek nélkül, legfeljebb 200 karakter – properties — kizárólag engedélyezett mezők: productId, eventId, articleId, resultCount, name, value, rating. A szöveges érték legfeljebb 120 karakter lehet, és @ jelet nem tartalmazhat (így e-mail cím nem csúszhat be) – consent_version — a hozzájárulás verziója – session_id — a böngésző munkamenete (nem személyazonosító) – created_at. Érzékeny útvonalról nem mérünk. A rendszer eleve elutasítja a mérési eseményt, ha az a következő útvonalak valamelyikéről érkezik: /penztar, /kosar, /rendeles, /fiok, /elallas, /belepes, /auth, /kapcsolat, /hirlevel. Ezekről az oldalakról tehát nem keletkezik mérési adat. Nincs harmadik feles követés. A honlapon nincs Google Analytics, nincs Meta (Facebook) pixel, nincs más hirdetési vagy elemzőszkript, nincs hirdetésazonosító, és nincs honlapokon átívelő (cross-site) követés. A mérés a saját szerverünkön történik, és az adat nem hagyja el a rendszerünket. Megőrzési idő. A nyers mérési események legfeljebb 24 hónapig; ezt követően csak az összesített, személyhez nem köthető kimutatások maradnak meg. Forrás. A böngészője, az Ön hozzájárulása alapján. Címzettek. Nincs külső címzett.
Cél. Hogy utólag megállapítható legyen, melyik munkatársunk mikor, milyen adminisztratív műveletet végzett — például módosított-e egy rendelést, kiadott-e kupont, jóváhagyott-e jogi dokumentumot. Ez egyszerre az Ön adatainak védelmét szolgálja és a mi elszámoltathatóságunkat. Jogalap. GDPR 6. cikk (1) bekezdés c) pont és f) pont, a GDPR 5. cikk (2) bekezdése (elszámoltathatóság) és 32. cikk (1) bekezdés d) pontja (az intézkedések rendszeres tesztelése és értékelése) szerinti kötelezettség teljesítéseként. Érdekmérlegelés: az auditnapló az operátorok — nem az ügyfelek — tevékenységét rögzíti; enélkül egy jogosulatlan hozzáférés vagy téves módosítás nem lenne felderíthető. Kezelt adatkör. admin.audit_log tábla: operator_id (az operátor azonosítója), roles (a jogosultságai a művelet pillanatában), action (a művelet neve, pl. legal.approve), resource és resource_id (melyik adaton), payload (a művelet adattartalma — ez az Ön adatait is érintheti, például egy módosított rendelés mezőit), created_at. Megőrzési idő. A napló keletkezésétől számított 5 év (a jogi igények elévüléséig, illetve az elszámoltathatóság igazolásához). Forrás. Az operátori felület (AIBOS konzol) műveleteiből. Címzettek. Nincs külső címzett.
Cél. Ha Ön a Szolgáltató felnőttképzésnek minősülő képzésére jelentkezik, a képzés megszervezése, a felnőttképzési szerződés megkötése és teljesítése, a haladás és a teljesítmény értékelése, a tanúsítvány kiállítása, valamint a jogszabályban előírt adatszolgáltatás és dokumentummegőrzés. Jogalap. – A felnőttképzési szerződés megkötéséhez és teljesítéséhez: GDPR 6. cikk (1) bekezdés b) pont (a szerződés teljesítése), a felnőttképzésről szóló 2013. évi LXXVII. törvény (Fktv.) 13. § (1) bekezdése és a 11/2020. (II. 7.) Korm. rendelet 21. §-a szerinti tartalommal. – A felnőttképzés adatszolgáltatási rendszerébe (FAR) történő adattovábbításhoz és a dokumentumok megőrzéséhez: GDPR 6. cikk (1) bekezdés c) pont (jogi kötelezettség teljesítése), az Fktv. 15. § (1) bekezdése és 16. §-a alapján. Kezelt adatkör. Az Fktv. 15. § (1) bekezdése szerint: az oktatás vagy képzés megnevezése, jellege, helye, óraszáma, kezdésének és tervezett befejezésének időpontja; a képzésben részt vevő személy természetes személyazonosító adatai (születési név, születési hely és idő, anyja születési neve), elektronikus levelezési címe és legmagasabb iskolai végzettsége; a képzési díj és annak költségviselője. Ezen felül a jelenléti ívek, a teljesítményértékelés eredménye és a kiállított tanúsítvány adatai. A legmagasabb iskolai végzettségről. Ezt az adatot a törvény írja elő; nem a mi kérésünk, és nem használjuk másra, mint a kötelező adatszolgáltatásra. Megőrzési idő. Az Fktv. 16. §-a szerint a dokumentumok és a kezelt személyes adatok a keletkezésüktől számított nyolcadik év utolsó napjáig. Ez kötelező megőrzés: ezen belül a törlési kérelemnek a GDPR 17. cikk (3) bekezdés b) pontja alapján nem tudunk eleget tenni. Az adatszolgáltatás kötelező jellege. A FAR-ba történő adatszolgáltatás jogszabályi kötelezettség. Ha Ön ezeket az adatokat nem adja meg, a képzésben való részvétele nem biztosítható — ez nem üzletpolitikai döntés, hanem az Fktv. következménye. Címzettek. A felnőttképzési államigazgatási szerv (a felnőttképzés adatszolgáltatási rendszerén keresztül). A Szolgáltató felnőttképzési nyilvántartási száma: B/2023/000718. Jelenlegi állapot. A webshopban ma egyetlen felnőttképzésnek minősülő termék sem vásárolható meg; ez az adatkezelés akkor indul, amikor az első ilyen képzés meghirdetésre kerül. Minden képzés adatlapja jelzi, hogy az adott alkalom felnőttképzésnek minősül-e.
Sütinek azt a kis adatcsomagot nevezzük, amelyet a honlap a böngészőjében helyez el. A vonatkozó szabály. Az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) 155. § (4) bekezdése szerint „egy előfizetőnek vagy felhasználónak elektronikus hírközlő végberendezésén csak az érintett felhasználó vagy előfizető világos és teljes körű — az adatkezelés céljára is kiterjedő — tájékoztatását követő hozzájárulása alapján lehet adatot tárolni, vagy az ott tárolt adathoz hozzáférni". Ehhez járul a GDPR, és — a mérési és marketingcélú adatkezelésnél — az Ekertv. 13/A. § (4) bekezdése, amely a hozzájárulást kifejezetten az információs társadalommal összefüggő szolgáltatást nyújtókra írja elő. A feltétlenül szükséges sütikhez nem kérünk hozzájárulást. Ez a 2002/58/EK (ePrivacy) irányelv 5. cikk (3) bekezdésének kivételén és a felügyeleti hatóság kialakult gyakorlatán alapul: az a süti, amely nélkül az Ön által kifejezetten kért szolgáltatás (a kosár, a pénztár, a bejelentkezés) nem működik, nem igényel külön hozzájárulást. Minden máshoz — így a méréshez — igen. Amit használunk: – aib_sid — Mire való: A munkamenet azonosítása: kosár, pénztár, űrlapok állapota, CSRF-védelem, bejelentkezett állapot · Típus: Feltétlenül szükséges · Élettartam: 12 óra (vendég) / 30 nap (bejelentkezett) · Kell-e hozzájárulás: Nem – aib_order_cap — Mire való: Vendégként leadott rendelés megtekintésének engedélyezése · Típus: Feltétlenül szükséges · Élettartam: A rendelés megtekintéséhez szükséges ideig · Kell-e hozzájárulás: Nem Mindkét süti HttpOnly (a böngészőben futó szkript nem fér hozzá), SameSite=Lax (más honlapról indított kérésekkel nem megy el), Path=/, éles üzemben Secure (csak titkosított kapcsolaton), és nincs Domain attribútuma, tehát csak arra a hosztra érvényes, amelyik beállította. Biztonsági süti a proxytól. A honlap előtt a Cloudflare áll (12. pont). A Cloudflare a bot- és túlterhelésvédelem működtetéséhez saját, biztonsági célú sütit helyezhet el (például __cf_bm). Ez a süti az ePrivacy-szabályok szerint a szolgáltatás nyújtásához feltétlenül szükséges kategóriába tartozik, és nem alkalmas reklámcélú profilalkotásra. Analitika. A saját webanalitikánk (4.14.) nem tesz külön sütit: a mérés a már meglévő munkamenethez kapcsolódik, és csak akkor indul el, ha Ön ehhez hozzájárult. A hozzájárulás bármikor visszavonható. Amit nem használunk. Nincs hirdetési süti, nincs közösségimédia-süti, nincs harmadik feles elemzőszkript, nincs újracélzó (retargeting) azonosító, és nincs eszközlenyomat-vétel (fingerprinting) követési céllal. A sütikről szóló részletes leírást — a teljes listát és a beállítás módját — a külön Sütitájékoztató tartalmazza; ez a pont annak az adatvédelmi összefoglalója. Eltérés esetén az itt leírt jogalapok és megőrzési idők az irányadók. Hogyan kezelheti a sütiket. A hozzájárulását a honlap süti-beállításában bármikor módosíthatja vagy visszavonhatja. A böngészője beállításaiban is törölheti vagy letilthatja a sütiket — ekkor azonban a feltétlenül szükséges sütik hiányában a kosár és a pénztár nem fog működni.
– Munkamenet, biztonság — Az adatszolgáltatás jellege: A szolgáltatás nyújtásához technikailag szükséges · Mi történik, ha nem adja meg: A honlap kosár- és pénztárfunkciói nem működnek – Hírlevél — Az adatszolgáltatás jellege: Önkéntes, hozzájáruláson alapul · Mi történik, ha nem adja meg: Nem kap hírlevelet; a honlap egyébként használható – E-book igénylés — Az adatszolgáltatás jellege: Önkéntes, hozzájáruláson alapul · Mi történik, ha nem adja meg: Nem tudjuk elküldeni a letöltési linket – Vásárlás — Az adatszolgáltatás jellege: A szerződéskötés előfeltétele · Mi történik, ha nem adja meg: A rendelés nem adható le – Számlázás — Az adatszolgáltatás jellege: Jogszabályon alapul · Mi történik, ha nem adja meg: A számla nem állítható ki, a vásárlás nem teljesíthető – Szállítás — Az adatszolgáltatás jellege: A szerződés teljesítéséhez szükséges · Mi történik, ha nem adja meg: A fizikai termék nem kézbesíthető – Esemény, jegy — Az adatszolgáltatás jellege: A részvételhez szükséges · Mi történik, ha nem adja meg: A regisztráció nem rögzíthető – Ügyfélszolgálat — Az adatszolgáltatás jellege: Önkéntes · Mi történik, ha nem adja meg: Nem tudunk válaszolni – Analitika — Az adatszolgáltatás jellege: Önkéntes, hozzájáruláson alapul · Mi történik, ha nem adja meg: Nem mérünk; a honlap ugyanúgy használható
A megjegyzés, üzenet és hasonló szabadszöveges mezőkbe Ön bármit beírhat, ezért ezeket teljes egészében személyes adatként kezeljük. Kérjük, hogy ne írjon ide különleges kategóriájú adatot (egészségi állapot, világnézet, származás, szakszervezeti tagság, biometrikus vagy genetikai adat, szexuális élettel kapcsolatos adat), sem harmadik személy adatát. Ha mégis ilyen kerül a rendszerünkbe, azt — amennyiben a megkeresés megválaszolásához nem szükséges — törlés útján távolítjuk el.
A GDPR 32. cikke alapján a kockázattal arányos technikai és szervezési intézkedéseket alkalmazzuk. Az alábbiak a rendszerben ténylegesen megvalósított intézkedések: Titkosítás. – A honlap és minden háttérszolgáltatás kizárólag titkosított (HTTPS/TLS) kapcsolaton érhető el. – A SkillPass hozzáférési és frissítési tokent az adatbázisban AES-256-GCM algoritmussal titkosítva tároljuk, nyersen soha. Lenyomat nyers érték helyett. Ahol nem a nyers értékre van szükség, csak a felismerésre, ott lenyomatot tárolunk: – a letöltési link titkos része: SHA-256 lenyomat (a nyers token csak a kiküldött levélben létezik) – a hírlevél-megerősítő link: SHA-256 lenyomat – a QR-jegy tokenje: lenyomat – az IP-cím: kulcsolt HMAC-SHA256 lenyomat (4.5. pont), nyers IP-cím sehol – a vendég-rendelés megtekintési képessége: lenyomat. Ennek gyakorlati következménye, hogy még az adatbázis vagy a napló birtokában sem lehet működő letöltési linket, jegyet vagy megerősítő linket hamisítani. Adattakarékosság a naplókban. A user_agent és a referer értékét 512 karakterre vágjuk. Az analitika engedélyezett listával dolgozik, és érzékeny útvonalról nem fogad el eseményt. Nem nyilvántartott fájlkulcsra (szkennerzaj) egyáltalán nem naplózunk. Hozzáférés-kezelés. Az adminisztrációs felületet (AIBOS konzol) szerepkör-alapú jogosultságkezelés védi; a személyes adatokhoz csak az fér hozzá, akinek a munkájához szükséges. A gép-gép kapcsolatok (SkillPass, számlázás, logisztika) külön hitelesítéssel, szűk hatókörű (scope-olt) hozzáféréssel működnek. Naplózás. Minden adminisztratív művelet auditnaplóba kerül: ki, mikor, mit, melyik adaton (4.15. pont). Visszaélés-védelem. – műveletenkénti sebességkorlát a nyilvános végpontokon (feliratkozás, űrlap, ügyfélszolgálat, leiratkozás) – munkamenetenként külön véletlen titokból képzett CSRF-token az állapotváltó műveletekhez – HttpOnly, SameSite=Lax, Secure, host-only munkamenet-süti – a fizetőoldal hosztjának ellenőrzése (a rendszer csak a Stripe hivatalos fizetőoldalára enged átirányítani) – a fizetési értesítés (webhook) kriptográfiai aláírásának ellenőrzése és az események duplikációszűrése – idempotencia-kulcs a rendelés- és a kimenő hívásoknál, hogy egy megismételt kérésből ne legyen kétszeres művelet – állandó idejű (timing-safe) összehasonlítás a szerver-szerver hitelesítésnél. Mentés. Az adatbázisról napi mentés készül; a mentéseket 14 napig őrizzük, ezt követően automatikusan törlődnek. Ennek gyakorlati következménye, hogy egy törlési kérés teljesítése után az adat legfeljebb 14 napig még szerepelhet egy korábbi mentésben; ezekhez a mentésekhez helyreállításon kívül nem nyúlunk, és a helyreállítás után a törlést megismételjük. Infrastruktúra. A rendszer az Európai Unió területén, Németországban (Frankfurt am Main) üzemeltetett szervereken fut, előtte a Cloudflare proxyjával. Felhívjuk a figyelmét, hogy az interneten továbbított adat teljes biztonsága nem garantálható; a fenti intézkedések a kockázatot csökkentik, de nem szüntetik meg teljesen.
Ha olyan biztonsági esemény történik, amely a kezelt személyes adatok jogellenes megsemmisítését, elvesztését, módosítását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi, azt belső nyilvántartásba vesszük, kivizsgáljuk, és megtesszük a kárenyhítő intézkedéseket. Ha az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve, azt a tudomásszerzéstől számított 72 órán belül bejelentjük a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (GDPR 33. cikk). Ha az incidens magas kockázattal jár, Önt is közvetlenül, indokolatlan késedelem nélkül tájékoztatjuk (GDPR 34. cikk).
Nem alkalmazunk olyan kizárólag automatizált adatkezelésen — ideértve a profilalkotást is — alapuló döntéshozatalt, amely Önre nézve joghatással járna vagy Önt hasonlóképpen jelentős mértékben érintené (GDPR 22. cikk). Nem osztályozzuk a látogatókat személyiség-, magatartás- vagy fizetőképességi profilba, nem építünk hirdetési profilt, és nem adunk el ilyen adatot senkinek. A hírlevél témák szerinti szűrése kizárólag az Ön által saját maga megjelölt témákon alapul; ez nem profilalkotás, hanem az Ön kifejezett választásának követése.
A szolgáltatásaink felnőtteknek szólnak. 16 éven aluli személytől tudatosan nem gyűjtünk személyes adatot, és nem kínáljuk nekik közvetlenül a szolgáltatásainkat. A GDPR 8. cikk (1) bekezdése szerint az információs társadalommal összefüggő szolgáltatások közvetlen kínálása esetén a gyermek hozzájárulása akkor jogszerű, ha a gyermek betöltötte a 16. életévét; ez alatt a szülői felügyeletet gyakorló engedélye vagy jóváhagyása szükséges. A GDPR 8. cikk (1) bekezdése megengedi a tagállamoknak, hogy ennél alacsonyabb — de 13 évnél nem alacsonyabb — korhatárt állapítsanak meg; Magyarország ezzel a lehetőséggel nem élt, az Infotv. ilyen rendelkezést nem tartalmaz, ezért nálunk a rendeleti 16 éves korhatár az irányadó. Ha tudomásunkra jut, hogy 16 éven aluli személy adatát a szülői felügyeletet gyakorló hozzájárulása nélkül kezeljük, az adatot haladéktalanul töröljük. Ha Ön szülői felügyeletet gyakorlóként ilyet észlel, kérjük, jelezze a 17. pontban megadott elérhetőségen.
Adatfeldolgozó az, aki a mi utasításunk szerint, a mi nevünkben kezel adatot; címzett az, akinek adatot továbbítunk. Mindegyikükkel a GDPR 28. cikke szerinti adatfeldolgozói szerződést kötünk (illetve a szolgáltató adatfeldolgozói feltételeit fogadjuk el), és csak olyan szolgáltatót veszünk igénybe, amely megfelelő garanciákat nyújt. – Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, Amerikai Egyesült Államok) — Mit végez: DNS, proxy, tartalomkiszolgálás, bot- és túlterhelésvédelem, országkód-fejléc · Milyen adatot lát: IP-cím, kérésfejlécek, kért útvonal · Hol kezeli: Globális hálózat; a kérés EU-n kívüli csomóponton is áthaladhat · Garancia: GDPR 28. cikk szerinti adatfeldolgozói feltételek; harmadik országba történő továbbításnál általános adatvédelmi kikötések (SCC) — lásd a 13. pontot · Állapot: Élő – Mailgun (a Sinch csoport szolgáltatása) — Mit végez: Tranzakciós és kampánylevelek kiküldése · Milyen adatot lát: Címzett e-mail címe, a levél tárgya és tartalma, kézbesítési napló, leiratkozási lista · Hol kezeli: EU régió (api.eu.mailgun.net): a levél tartalma, az eseménynapló és a listák az EU-ban maradnak. A fiók-, számlázási és hozzáférési adatok (fiókadatok, API-kulcsok, domainnevek) a szolgáltató globális rendszereibe is replikálódnak, és a támogatást amerikai csoporttag is elláthatja · Garancia: GDPR 28. cikk szerinti adatfeldolgozói feltételek; harmadik országba történő továbbításnál SCC, illetve az EU–USA adatvédelmi keret — lásd a 13. pontot · Állapot: Élő – Stripe Payments Europe, Limited (Írország) — a csoport egyesült államokbeli tagjaival — Mit végez: Bankkártyás fizetés (a Stripe saját fizetőoldalán), visszatérítés · Milyen adatot lát: Rendelésazonosító, e-mail cím, tételek és összegek; a kártyaadatot közvetlenül Öntől kapja · Hol kezeli: Európai Unió és Amerikai Egyesült Államok · Garancia: GDPR 28. cikk szerinti adatfeldolgozói szerződés; általános adatvédelmi kikötések (SCC). A Stripe a csalásmegelőzés, a pénzmosás elleni és a pénzforgalmi jogszabályi kötelezettségei körében önálló adatkezelőként is eljár, és erről saját tájékoztatót ad · Állapot: Élő – SkillPass.ID — Mit végez: Azonosítás (OIDC), fiók, jogosultságok, jegyek, számlák megjelenítése · Milyen adatot lát: SkillPass-azonosító, e-mail cím, megjelenítendő név, jogosultságok, jegyek · Hol kezeli: Saját ökoszisztéma · Garancia: Lásd a 4.13. és a 15. pontot · Állapot: Élő – Rackforest Informatikai Kereskedelmi Szolgáltató és Tanácsadó Zrt. (székhely: 1132 Budapest, Victor Hugo utca 11. 5. em. B05001.; e-mail: [email protected]) — Mit végez: Szerver- és tárhelyszolgáltatás · Milyen adatot lát: A rendszerben tárolt valamennyi adat · Hol kezeli: Európai Unió (Németország) · Garancia: GDPR 28. cikk szerinti adatfeldolgozói szerződés · Állapot: Élő – KBOSS.hu Kereskedelmi és Szolgáltató Kft. (szamlazz.hu, Számla Agent) — székhely: 1031 Budapest, Záhony utca 7.; cégjegyzékszám: 01-09-303201; adószám: 13421739-2-41 — Mit végez: Számla és díjbekérő kiállítása és megőrzése · Milyen adatot lát: A számla adattartalma (4.8. pont) · Hol kezeli: Magyarország · Garancia: GDPR 28. cikk szerinti adatfeldolgozói szerződés. A szolgáltató saját tájékoztatója szerint egyes szolgáltatásai körében önálló adatkezelőként is eljár · Állapot: Élő (2026-09-17-től) – Deliveo (üzemelteti: Mav-IT Magyar Vállalatirányítási és Informatikai Tanácsadó Kft., székhely: 1183 Budapest, Ráday Gedeon utca 1.; adószám: 12368615-2-43) — Mit végez: Csomagfeladás, futárszolgálati közvetítés · Milyen adatot lát: Címzett neve, címe, telefonszáma, e-mail címe, csomagadatok · Hol kezeli: Magyarország · Garancia: Az élesítés feltétele a GDPR 28. cikk szerinti adatfeldolgozói szerződés megkötése; a fuvarozó a saját fuvarozási tevékenysége körében önálló adatkezelő is · Állapot: Élő (2026-09-17-től) Egyéb címzettek. Jogszabályi kötelezettség alapján, megkeresésre adatot adhatunk át bíróságnak, ügyészségnek, nyomozó hatóságnak, szabálysértési hatóságnak, közigazgatási hatóságnak, a Nemzeti Adatvédelmi és Információszabadság Hatóságnak, illetve jogszabály felhatalmazása alapján más szervnek. Ilyen megkeresés esetén csak annyi adatot adunk ki, amennyit a megkeresés pontosan megjelöl, és amennyi a cél eléréséhez feltétlenül szükséges. Könyvelési, adótanácsadási vagy jogi képviseleti szolgáltatást nyújtó partnereink a saját szakmai szabályaik szerint járnak el, és a rájuk bízott adatot titoktartási kötelezettség terheli. Nem adjuk el az adatait, és nem adjuk át harmadik félnek reklámcélra.
A rendszer súlypontja az Európai Unióban van: a szerverek az EU-ban (Németország) állnak, a levélküldés a Mailgun EU-s régióját használja, a számlázás és a logisztika magyarországi szolgáltatóval tervezett. Néhány ponton azonban Európai Gazdasági Térségen kívüli — jellemzően egyesült államokbeli — adatkezelés is felmerül. Az alábbiakban nyíltan megírjuk, hol: – Cloudflare. A szerződő fél a Cloudflare, Inc. (Egyesült Államok); a szolgáltatás globális hálózaton működik, ezért a kérés EU-n kívüli csomóponton is áthaladhat, és ott is véget érhet a titkosított kapcsolat. A Cloudflare kínál EU-n belüli adatlokalizációt, ez azonban külön megrendelhető, vállalati szintű kiegészítő szolgáltatás, nem alapértelmezés — ezért nem állítjuk, hogy a proxy forgalma minden esetben az EU-n belül marad. – Mailgun. A levél tartalma, az eseménynapló, a listák és a leiratkozási adatok az EU-s régióban maradnak (api.eu.mailgun.net). Ugyanakkor a fiók- és számlázási adatok, az API-kulcsok és a domainnevek a szolgáltató globális rendszereibe is replikálódnak, és az ügyfélszolgálati támogatást a csoport amerikai tagja is elláthatja. Az EU-s régió tehát a levéltartalomra ad EU-n belüli kezelést, nem a szolgáltatás minden elemére. – Stripe. A szerződő fél a Stripe Payments Europe, Limited (Írország), de a fizetési szolgáltatás nyújtásában a vállalatcsoport egyesült államokbeli egységei is részt vehetnek. Milyen garanciával. Minden ilyen továbbítás az Európai Bizottság által elfogadott általános adatvédelmi kikötéseken (Standard Contractual Clauses, SCC — GDPR 46. cikk (2) bekezdés c) pont) alapul, kiegészítve a szolgáltató technikai és szervezési kiegészítő intézkedéseivel (titkosítás átvitel közben és nyugalmi állapotban, hozzáférés-korlátozás, a hatósági megkeresésekről szóló átláthatósági jelentés). Amennyiben az adott szolgáltató az EU–USA adatvédelmi keret (Data Privacy Framework) tanúsított résztvevője, a továbbítás emellett a GDPR 45. cikke szerinti megfelelőségi határozaton — a Bizottság (EU) 2023/1795 végrehajtási határozatán — is alapulhat. Az adott szolgáltatóra vonatkozó garanciák másolatát a 17. pont szerinti elérhetőségen kérheti tőlünk. Ezeken túl nem továbbítunk adatot harmadik országba vagy nemzetközi szervezetnek.
A GDPR alapján a következő jogok illetik meg. A jogok gyakorlásának gyakorlati módját a 17. pont írja le. Hozzáférés (GDPR 15. cikk). Kérheti, hogy tájékoztassuk arról, kezelünk-e Önről adatot; ha igen, hozzáférést kérhet ezekhez az adatokhoz, valamint az adatkezelés céljához, az érintett adatkategóriákhoz, a címzettekhez, a megőrzési időhöz, a jogaihoz és az adatok forrásához. Kérésére az adatokról másolatot adunk. Helyesbítés (GDPR 16. cikk). Ha az adata pontatlan, kérheti a helyesbítését; ha hiányos, kérheti a kiegészítését. A számlázási adat helyesbítése a már kiállított számlán csak a számviteli szabályok szerinti helyesbítő bizonylattal lehetséges. Törlés — az „elfeledtetéshez való jog" (GDPR 17. cikk). Kérheti az adatai törlését, különösen ha már nincs szükség rájuk arra a célra, amelyre gyűjtöttük; ha visszavonta a hozzájárulását és nincs más jogalap; ha tiltakozott, és nincs elsőbbséget élvező jogszerű ok; vagy ha az adatkezelés jogellenes volt. A törlést nem tudjuk teljesíteni annyiban, amennyiben az adatkezelés – jogi kötelezettség teljesítéséhez szükséges — jellemzően a számviteli bizonylat 8 éves megőrzése (4.8.) és a fogyasztói panasz 3 éves megőrzése (4.12.) — GDPR 17. cikk (3) bekezdés b) pont – jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges — GDPR 17. cikk (3) bekezdés e) pont; ide tartozik a leiratkozási tiltólista (4.3.) is, amelynek éppen az a rendeltetése, hogy a tiltakozást túlélje az adat, amely kiváltotta. Ilyenkor a többi nyilvántartásból töröljük az adatait, a megtartott adatkört pedig kizárólag a megtartás céljára használjuk, és a megőrzési idő leteltével töröljük. A válaszunkban mindig megírjuk, pontosan mit töröltünk és mit tartottunk meg, és miért. Az adatkezelés korlátozása (GDPR 18. cikk). Kérheti, hogy az adatait „zároljuk" — tároljuk, de ne használjuk —, ha vitatja az adat pontosságát (a pontosság ellenőrzésének idejére), ha az adatkezelés jogellenes, de nem kéri a törlést, ha már nincs szükségünk az adatra, de Önnek kell jogi igény érvényesítéséhez, vagy ha tiltakozott és az elbírálás folyamatban van. Adathordozhatóság (GDPR 20. cikk). Az Ön hozzájárulásán vagy szerződésen alapuló, automatizált módon kezelt adatait tagolt, széles körben használt, géppel olvasható formátumban (JSON) megkapja, és kérheti, hogy azokat egy másik adatkezelőnek továbbítsuk, ha ez technikailag megvalósítható. Ez a jog nem terjed ki a jogi kötelezettség vagy jogos érdek alapján kezelt adatokra. Tiltakozás (GDPR 21. cikk). A jogos érdeken alapuló adatkezelés ellen (4.1., 4.3., 4.5., 4.10., 4.12., 4.15.) bármikor tiltakozhat a saját helyzetével kapcsolatos okból. Ilyenkor az adatkezelést megszüntetjük, kivéve, ha bizonyítjuk, hogy azt olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Ön érdekeivel szemben, vagy amelyek jogi igények érvényesítéséhez kapcsolódnak. Közvetlen üzletszerzés (hírlevél, kampánylevél) ellen feltétel nélkül, indokolás nélkül tiltakozhat — ilyenkor az adatait e célból többé nem kezeljük (GDPR 21. cikk (2)–(3) bekezdés). A tiltakozását a tiltólistán (4.3.) tartjuk nyilván, éppen azért, hogy érvényesüljön. A hozzájárulás visszavonása (GDPR 7. cikk (3) bekezdés). A hozzájáruláson alapuló adatkezeléseknél (hírlevél, e-book igénylés, kuponkampány, analitika) a hozzájárulását bármikor, ugyanolyan egyszerűen visszavonhatja, ahogy megadta. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét. A hírlevélről minden levél láblécében egyetlen kattintással leiratkozhat, és a levelek List-Unsubscribe fejlécet is tartalmaznak, így a levelezőprogramja saját leiratkozó gombja is működik. Tájékoztatás a címzettekről (GDPR 19. cikk). Minden helyesbítésről, törlésről és korlátozásról értesítjük azokat, akikkel az adatot közöltük, kivéve, ha ez lehetetlen vagy aránytalan erőfeszítést igényel. Kérésére tájékoztatjuk arról, kik ezek a címzettek. Nincs automatizált döntéshozatal (GDPR 22. cikk). Lásd a 10. pontot.
A belépés és a fiók a skillpass.id szolgáltatáson keresztül működik. A határ egyszerűen megfogható: – A jelszavát és a fiókja hitelesítési adatait a SkillPass.ID kezeli, azt mi nem látjuk és nem tároljuk. A belépéskor tőlük kapott azonosítót, e-mail címet és megjelenítendő nevet vesszük át (4.13.). – Amit Ön a webshopban tesz — kosár, rendelés, számlázási adat, e-book igénylés, hírlevél, esemény-regisztráció — a mi rendszerünkben keletkezik, és ezért mi felelünk adatkezelőként. – Amit a fiókjában lát (jogosultságok, jegyek, számlák) részben tőlünk átvett adat; ennek megjelenítéséről és tárolásáról a SkillPass.ID gondoskodik, és erről saját tájékoztatót ad. A két rendszer közötti adatkezelői, illetve adatfeldolgozói viszony pontos rögzítése folyamatban van (lásd a 4.13. pontot). Ha bizonytalan, kihez forduljon, írjon nekünk a 17. pontban megadott elérhetőségen — a megkeresését továbbítjuk, ha nem a mi hatáskörünkbe tartozik.
A kezelt adatok túlnyomó része közvetlenül Öntől származik. A GDPR 14. cikke szerinti tájékoztatás azokra az esetekre, amikor nem: – Partneroldali feliratkozás. Egyes kampányoknál (például a könyv kampányoldaláról) a feliratkozás szerver-szerver átadással érkezik hozzánk. Ilyenkor az adott partner átadja az e-mail címét, a hozzájárulás szó szerinti szövegét, a hozzájárulás időpontját, a forrás megnevezését, a böngésző azonosítóját és — kizárólag kulcsolt lenyomat formájában — az IP-címét. Az adatkategóriák: kapcsolattartási adat (e-mail cím) és a hozzájárulás bizonyítéka. – SkillPass.ID. A belépéskor a SkillPass.ID-tól kapjuk meg az Ön azonosítóját, e-mail címét és megjelenítendő nevét (4.13.). – Stripe. A fizetés eredményét (sikeres/sikertelen, összeg, tranzakcióazonosító) a Stripe-tól kapjuk vissza. – Cloudflare. A kérés országkódját (CF-IPCountry) a Cloudflare adja hozzá a kéréshez. Ezekben az esetekben az átvételtől számított egy hónapon belül, illetve — ha az adatot kapcsolatfelvételre használjuk — legkésőbb az első kapcsolatfelvételkor tájékoztatjuk Önt (GDPR 14. cikk (3) bekezdés). A megerősítő levél vagy a kampánylevél tartalmazza ezt a tájékoztatást és a leiratkozás lehetőségét.
Hova írjon. – E-mailben: [email protected] — ide várjuk az adatvédelmi kérelmeket és az általános ügyfélszolgálati megkereséseket is. A tárgymezőben jelezze, ha adatvédelmi kérelmet küld, így gyorsabban a megfelelő kollégához kerül. – Postán: Everengine Kft., 1056 Budapest, Belgrád rakpart 26.. – Telefonon: +36 70 455 3415 — telefonon azonban csak tájékoztatást tudunk adni; a jogai gyakorlásához írásbeli kérelemre van szükség, hogy a kérés és az arra adott válasz dokumentálható legyen. Mit írjon meg. Hogy gyorsan és pontosan tudjunk válaszolni, kérjük, adja meg: – melyik jogát gyakorolja (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás, hozzájárulás visszavonása) – melyik e-mail címhez kapcsolódik a kérés — a nyilvántartásaink jelentős része e-mail cím szerint kereshető vissza (hírlevél, e-book igénylés, letöltési jogosultság, kupon, leiratkozás) – ha vásárláshoz kapcsolódik, a rendelésszámot vagy a rendelés dátumát – ha csak egy adatkörre vonatkozik a kérés, melyikre — így nem kell a teljes nyilvántartást átnéznünk, és gyorsabban válaszolunk. Hogyan azonosítjuk Önt. Alapesetben a kérést arról az e-mail címről fogadjuk el, amely a nyilvántartásunkban szerepel, és a választ is oda küldjük. Ha megalapozott kétségünk támad a kérelmező személyazonossága felől, a GDPR 12. cikk (6) bekezdése alapján további információt kérhetünk — de nem kérünk személyi igazolvány-másolatot, és nem kérünk olyan adatot, amely nálunk egyébként nem szerepel. Ha nem tudjuk Önt azonosítani (például mert a kért adat csak visszafejthetetlen lenyomat formájában létezik), erről a GDPR 11. cikk (2) bekezdése alapján tájékoztatjuk, és további adatot ilyenkor sem gyűjtünk az azonosítás kedvéért. Mennyi időn belül válaszolunk. A kérelem beérkezésétől számított egy hónapon belül (GDPR 12. cikk (3) bekezdés). Ha a kérelem összetett, vagy több kérelem érkezik egyszerre, ez a határidő további két hónappal meghosszabbítható — a hosszabbításról és annak okáról az első hónapon belül tájékoztatjuk. Ha nem intézkedünk a kérelme nyomán, legkésőbb egy hónapon belül megírjuk, miért nem, és tájékoztatjuk a NAIH-hoz fordulás és a bírósági jogorvoslat lehetőségéről (GDPR 12. cikk (4) bekezdés). Mennyibe kerül. A jogai gyakorlása díjmentes. Ha a kérelem egyértelműen megalapozatlan vagy — különösen ismétlődő jellege miatt — túlzó, a GDPR 12. cikk (5) bekezdése alapján ésszerű díjat számíthatunk fel, vagy megtagadhatjuk az intézkedést; ennek indokoltságát ilyenkor nekünk kell bizonyítanunk. Ami azonnal működik, kérelem nélkül. – Leiratkozás: minden hírlevelünk és kampánylevelünk láblécében egyetlen kattintással; a levelek List-Unsubscribe fejlécet is hordoznak, így a levelezőprogramja leiratkozó gombja is működik. A leiratkozás azonnal hatályosul. – Süti-hozzájárulás visszavonása: a honlap süti-beállításában. – Munkamenet megszüntetése: kijelentkezéssel.
Először érdemes hozzánk fordulni. Ha úgy érzi, hogy az adatkezelésünkkel kapcsolatban sérelem érte, kérjük, írjon a 17. pontban megadott elérhetőségen. A legtöbb kérdés így a leggyorsabban rendezhető. Ez azonban nem feltétele annak, hogy hatósághoz vagy bírósághoz forduljon — az alábbi jogorvoslatok ettől függetlenül megilletik. Panasz a felügyeleti hatóságnál. A GDPR 77. cikke, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) 22. §-a alapján bejelentéssel vizsgálatot kezdeményezhet, illetve adatvédelmi hatósági eljárás lefolytatását kérelmezheti a magyar felügyeleti hatóságnál: – Név: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) – Székhely: 1055 Budapest, Falk Miksa utca 9–11. – Postacím: 1363 Budapest, Pf.: 9. – Telefon: +36 (1) 391-1400; ügyfélszolgálat: +36 (30) 683-5969, +36 (30) 549-6838 – E-mail: [email protected] – Honlap: https://naih.hu – Hivatali kapu: rövid név: NAIH, KR ID: 429616918 Ha nem Magyarországon él vagy dolgozik, panaszát a szokásos tartózkodási helye vagy a munkahelye szerinti tagállam felügyeleti hatóságánál is előterjesztheti (GDPR 77. cikk (1) bekezdés). Bírósági jogorvoslat. A GDPR 79. cikke és az Infotv. 23. §-a alapján bírósághoz is fordulhat, ha megítélése szerint az adatkezelő az adatait a jogszabályok megsértésével kezeli. A per elbírálása törvényszéki hatáskörbe tartozik. Az Infotv. 23. § (3) bekezdése szerint a pert — választása szerint — a saját lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja, tehát nem kell az adatkezelő székhelye szerinti bírósághoz utaznia. A bizonyítás minket terhel. Az Infotv. 23. § (2) bekezdése szerint azt, hogy az adatkezelés a jogszabályi előírásoknak megfelel, az adatkezelő, illetve az adatfeldolgozó köteles bizonyítani — nem Önnek kell bizonyítania a jogsértést. Ha a bíróság a keresetnek helyt ad, a jogsértés tényét megállapítja, és szükség esetén egyúttal a kártérítés, illetve sérelemdíj iránti igényről is határoz (Infotv. 23. § (5) bekezdés). Kártérítés és sérelemdíj. Ha az adatkezelés következtében kára keletkezett vagy személyiségi joga sérült, a GDPR 82. cikke, illetve a Ptk. alapján kártérítést, illetve sérelemdíjat követelhet. Fogyasztóvédelem. A vásárlással kapcsolatos — nem adatvédelmi — panaszával a területileg illetékes fogyasztóvédelmi hatósághoz, a békéltető testülethez vagy az európai online vitarendezési platformhoz is fordulhat; ezek elérhetőségét az Általános Szerződési Feltételek tartalmazzák.
Az átláthatóság kedvéért itt soroljuk fel azt, ami ebben a rendszerben nincs: – Nincs Google Analytics, nincs Google Tag Manager, nincs Meta (Facebook) pixel, és nincs semmilyen más harmadik feles követő- vagy elemzőszkript. – Nincs hirdetési süti, nincs újracélzás (retargeting), nincs hirdetési azonosító, nincs hirdetési közönség-építés. – Nincs profilalkotáson alapuló automatizált döntéshozatal (GDPR 22. cikk). – Nincs honlapokon átívelő követés és nincs követési célú eszközlenyomat-vétel (fingerprinting). – Nem kezelünk kártyaadatot — a bankkártya számát, lejáratát és biztonsági kódját közvetlenül a Stripe fizetőoldalán adja meg, az hozzánk nem jut el. – Nem tárolunk nyers IP-címet egyik nyilvántartásunkban sem. – Nem adjuk el és nem adjuk bérbe az adatait, és nem adjuk át harmadik félnek reklámcélra. – Nem kérünk és nem kezelünk különleges kategóriájú adatot (GDPR 9. cikk). – Nem vásárolunk címlistát, és nem küldünk levelet olyan címre, amely nem iratkozott fel. Ha a jövőben ezek bármelyike megváltozik, azt a tájékoztató új verziójában — a 22. pont szerint — előzetesen közöljük.
A pontos adat a saját érdeke is: rossz e-mail címre nem érkezik meg a számla, a letöltési link vagy a jegy. Ha megváltozik az e-mail címe, a számlázási vagy a szállítási adata, kérjük, jelezze a 17. pontban megadott elérhetőségen, vagy — bejelentkezett felhasználóként — frissítse a fiókjában. A már kiállított számla adatát utólag csak a számviteli szabályok szerinti helyesbítő bizonylattal lehet módosítani.
A honlapunkon lehetnek más honlapokra mutató hivatkozások. Az azokon folyó adatkezelésért nem felelünk; kérjük, olvassa el az adott honlap saját tájékoztatóját. Ez a tájékoztató kizárólag az 1. pontban megjelölt saját felületeinkre vonatkozik.
Verzió: 2026-09-29. Készítette és kibocsátotta: Everengine Kft.. Hogyan verziózunk. Minden jogi dokumentumunk dátum alapú verziószámot kap. A rendszer nem csak a mindenkori legfrissebb szöveget tárolja: az elfogadás pillanatában rögzítjük, hogy Ön pontosan melyik dokumentum melyik verzióját fogadta el. A rendelésnél ezt a rendelés consents mezője, az űrlapoknál az engagement.form_consents tábla document_slug és document_version mezője őrzi, időbélyeggel együtt. Így utólag is visszakereshető és bizonyítható, ki mit olvasott és fogadott el — ez egyszerre az Ön és a mi védelmünk. Módosítás. A tájékoztatót akkor módosítjuk, ha a szolgáltatás, a felhasznált technológia, az igénybe vett adatfeldolgozók köre vagy a jogszabályi környezet változik. A módosított szöveg a honlapon való közzétételével lép hatályba. Lényeges változásnál előzetesen értesítünk. Ha a módosítás új adatkezelési célt vezet be, a jogalapot változtatja meg, új adatfeldolgozót von be, vagy az Ön jogainak gyakorlását érinti, arról a hatálybalépés előtt — a hírlevél-feliratkozóknak levélben, minden látogatónak a honlapon jól látható közleményben — tájékoztatjuk. Hozzájáruláson alapuló adatkezelés céljának bővítéséhez új hozzájárulást kérünk; a régi hozzájárulás erre nem terjed ki. Korábbi verziók. A korábbi verziók a 17. pontban megadott elérhetőségen kérhetők, hogy ellenőrizhető legyen, mi volt hatályban akkor, amikor Ön a szolgáltatást igénybe vette.