Adatkezelési tájékoztató

Röviden: a pecsétkártyához nem kérünk személyes adatot. A kártya egy véletlenszerű azonosító, amihez a pecsétek száma tartozik. Személyes adatot csak akkor kezelünk, ha valaki önként tárcafiókot nyit, ha egy vállalkozás kapcsolatba lép velünk, vagy ha egy vállalkozás munkatársa belép a rendszerbe. Ez a tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény alapján készült.

1. Ki kezeli az adatokat?

A szolgáltató

Név: Sóti Viktória Vivien e.v.
Székhely: 2194 Tura, Hősök útja 21.
Adószám: 92541942-1-33
Cégjegyzékszám / nyilvántartási szám: [Hiányzik: Cégjegyzékszám / nyilvántartási szám]
E-mail: [Hiányzik: Kapcsolattartó e-mail]

(a továbbiakban: Stampback vagy „mi”). Adatvédelmi kérdésben ezen az e-mail-címen érhetsz el minket.

Kártyák és pecsétek: a vállalkozás az adatkezelő

Minden pecsétkártya egy vállalkozás (kávézó, pékség, szalon stb.) hűségprogramjához tartozik. A kártya és a pecsét-előzmények tekintetében az adott vállalkozás az adatkezelő, a Stampback pedig a megbízásából, utasításai szerint, adatfeldolgozóként jár el (GDPR 28. cikk). A vállalkozás elérhetőségét a kártya részleteinél találod.

Tárcafiók és weboldal: a Stampback az adatkezelő

Az önkéntes tárcafiók, a vállalkozói kapcsolatfelvétel, a vállalkozások felhasználói fiókjai és a weboldal biztonsági működése tekintetében a Stampback az adatkezelő.

2. A pecsétkártya (fiók nélkül)

Amikor kártyát kérsz, nem adsz meg nevet, e-mail-címet, telefonszámot vagy más azonosító adatot. Amit a kártyához tárolunk:

a kártya véletlenszerű sorozatszáma és titkos kulcsa (ezzel nyílik meg a kártyád);
a pecsétek és beváltások száma, időpontja, és — ha a vállalkozás használja — melyik munkatárs vagy helyszín adta;
ha a hely üzenetet küld, az üzenet szövege és ideje;
ha a kártyát Walletbe teszed (ha a hely kártyáján ez elérhető), a Wallet-frissítéshez szükséges technikai azonosítók (az Apple, illetve a Google által adott eszköz- és kártyaazonosító);
ha a kártyának becenevet adsz, a becenév — ezt a hely is látja a pultnál, hogy megszólíthasson;
ha a hely engedi a kártya megosztását (pl. családdal), a megosztás ténye.

Cél: a hűségprogram működtetése (pecsét gyűjtése, jutalom beváltása, visszaélések megelőzése). Jogalap: a vállalkozás jogos érdeke, illetve a programban való részvételed (GDPR 6. cikk (1) b) és f)), a vállalkozás mint adatkezelő meghatározása szerint.

A kártyák listáját a telefonod böngészője tárolja (helyi tároló). Ez a te készülékeden marad; ha törlöd a böngésző adatait, a lista eltűnik. Fiók nélkül a kártyához írt privát jegyzet és értékelés (1–5 csillag), a kedvencek és a sorrend is csak a telefonodon van.

3. Az önkéntes tárcafiók

Ha fiókot nyitsz, hogy több telefonon is lásd a kártyáidat, ezeket kezeljük:

e-mail-cím (a belépéshez — egyszer használatos belépő linket vagy kódot küldünk);
a fiókhoz kapcsolt kártyák listája, és hogy melyiket archiváltad, melyik a kedvenced, milyen sorrendben látod őket;
a kártyához írt privát jegyzet és értékelés (1–5) — fiókkal ezeket a szerveren tároljuk, hogy minden készülékeden lásd; a hely nem látja őket;
nyelv (a vendégoldal tizenegy nyelve közül: magyar, angol, német, ukrán, román, olasz, spanyol, francia, portugál, cseh, lengyel);
születési hónap — csak ha megadod, nap és év nélkül, a vállalkozások születésnapi ajándékához;
város — csak ha megadod, a „közeli ajánlatok” és „új helyek” értesítésekhez;
az értesítési beállításaid (melyik fajta értesítést kéred), és a nagy betűs mód beállítása.

Cél: a kártyáid szinkronizálása a készülékeid között, összevonás, születésnapi üzenet, a kért értesítések. Jogalap: a fiók használatára vonatkozó szerződés (GDPR 6. cikk (1) b)); a születési hónap és a város esetén a hozzájárulásod (6. cikk (1) a)), amelyet a mező törlésével bármikor visszavonhatsz.

„Hozzád hasonló vendégek” ajánló

A tárcában ajánlhatunk új helyeket abból, hogy a hozzád hasonló kártyákkal rendelkező vendégek hol gyűjtenek még. Ehhez a kártyáid (mely helyeken van kártyád) alapján, név és elérhetőség nélkül, összesítve számolunk; egyetlen más vendég adatát sem látod, és a helyek sem látják, hol gyűjtesz még. Ez profilalkotásnak minősülhet; joghatással vagy hasonlóan jelentős hatással nem jár. Jogalap: jogos érdek (releváns helyek ajánlása, GDPR 6. cikk (1) f)); tiltakozhatsz ellene az alább megadott elérhetőségen. [ellenőrizendő: az ajánló pontos működése és kikapcsolhatósága]

A vállalkozások az e-mail-címedet nem látják, és a születési hónapodat sem: a rendszer csak azt jelzi nekik, hogy egy kártyának születésnapi üzenet járhat.

A fiók oldalán az adataidat egy gombbal letöltheted (JSON), és a fiókot törölheted.

4. Vállalkozók kapcsolatfelvétele

A weboldal kapcsolatfelvételi és bemutató-kérő űrlapján megadott adatokat (név, üzlet neve, e-mail-cím, telefonszám, város, üzenet) arra használjuk, hogy felvegyük veled a kapcsolatot és ajánlatot adjunk.

Jogalap: a hozzájárulásod, illetve a szerződéskötést megelőző lépések (GDPR 6. cikk (1) a) és b)). Megőrzés: ha nem jön létre szerződés, az utolsó kapcsolatfelvételtől számított [12] hónapig, vagy amíg a törlést nem kéred. Követő vagy tájékoztató leveleket csak akkor küldünk, ha az űrlapon ezt külön, önkéntesen kérted; ezt a hozzájárulást bármikor visszavonhatod.

5. A vállalkozások felhasználói

A vállalkozások tulajdonosainak és munkatársainak e-mail-címét, szerepkörét, a dolgozói kódok mellé megadott nevet és a felületen végzett műveletek naplóját (ki, mikor, mit módosított) a szerződés teljesítése és a visszaélések kivizsgálása érdekében kezeljük (GDPR 6. cikk (1) b) és f)), a szerződés fennállása alatt és utána [12] hónapig.

5/A. Értesítések, helyadat, térkép, időjárás

Telefonos értesítések (Web Push)

Ha a tárcában bekapcsolod az értesítéseket, a böngésződ egy értesítési címet (végpontot és titkosítási kulcsokat) ad, amelyet a kártyáiddal és a nyelveddel együtt eltárolunk, hogy értesítést küldhessünk (pl. pecsét, jutalom, a helyek kampányüzenetei, fiókkal a kért fajtájú ajánlatok). Az üzenetet a böngésződ gyártójának értesítési szolgáltatása (pl. Apple, Google, Mozilla) kézbesíti. Jogalap: a hozzájárulásod (GDPR 6. cikk (1) a)), amelyet a Fiók oldalon az értesítések kikapcsolásával bármikor visszavonhatsz. Kijelentkezéskor és a fiók törlésekor a feliratkozást töröljük.

Helymeghatározás

A „közel hozzám” rendezéshez csak akkor kérjük a helyzetedet, amikor erre koppintasz, és a böngésző engedélyt kér. A helyzetedet a telefonodon használjuk a távolság kiszámításához, nem küldjük el és nem tároljuk.

Térkép (OpenStreetMap)

A helyek térképének csempéit az OpenStreetMap Foundation (OSMF, Egyesült Királyság) szerverei szolgálják ki. Amikor a térképet megnyitod, a böngésződ közvetlenül tőlük tölti le a képeket, így az OSMF megkapja az IP-címedet és a böngésződ adatait (a mi oldalunk címét csak rövidített formában). Az OSMF a saját adatkezelési tájékoztatója szerint kezeli ezeket. Jogalap: jogos érdek (a térkép megjelenítése, GDPR 6. cikk (1) f)).

Időjárás (Open-Meteo)

A vállalkozások statisztikájában az időjárás és a forgalom összevetéséhez az Open-Meteo szolgáltatástól kérünk időjárási adatot a hely koordinátái alapján; ilyenkor az Open-Meteo megkapja a koordinátákat és a lekérdező IP-címét. Vendégadatot nem küldünk.

6. IP-cím, biztonság, hibanapló

Az IP-címet mi magunk nem mentjük el az adatbázisunkba. A túlterhelés és a tömeges, gépi kártyakérés elleni védelemhez az IP-címből egy sózott, visszafejthetetlen lenyomatot képzünk, és ezt csak a korlátozási időablak lejártáig (legfeljebb [24 óra]) őrizzük meg. A tárhely- és belépési szolgáltatóink (Vercel, Supabase) a kérések kiszolgálásakor műszaki naplót vezetnek, amely az IP-címet is tartalmazza; ezeket a saját feltételeik szerint korlátozott ideig [naplómegőrzési idő — ellenőrizendő] őrzik meg, biztonsági és hibaelhárítási célból. Jogalap: jogos érdek (a szolgáltatás biztonsága, GDPR 6. cikk (1) f)).

Ha az oldalon hiba történik, egy hibanaplóba elmentjük a hibaüzenetet és az oldal címét, hogy javítani tudjuk. Ebben nem szerepel a neved vagy az e-mail-címed. Megőrzés: [30] nap.

7. Sütik és helyi tárolás

Nem használunk hirdetési, követő vagy analitikai sütit. A böngésződ helyi tárolójában (localStorage, sessionStorage, és a service worker gyorsítótárában) csak a működéshez szükséges adatok vannak:

a kártyáid listája és titkos kulcsa (hogy egy újabb QR-olvasás ne adjon új kártyát, és a tárca megmutassa őket);
a kártyák és a tárca utolsó ismert állapota és előzményei (hogy net nélkül is lásd őket);
fiók nélkül a kártyák kedvenc-jelölése, sorrendje, privát jegyzete és értékelése, valamint a helyben archivált kártyák;
hogy melyik jutalmat ünnepeltük már meg, melyik ajánlatot zártad be, és melyik kártyát kötöttük már a fiókodhoz;
a választott nyelv, téma (világos / sötét / rendszer) és a nagy betűs mód;
ha belépsz, a belépés munkamenete, és a belépéshez legutóbb használt e-mail-cím (hogy ne kelljen újra beírnod);
a weboldal és a vendégoldal fájljai a gyorsítótárban, hogy offline is megnyíljon;
ha egy partner linkjén érkeztél, a partner kódja;
a pultnál: a párosított eszköz munkamenete, a dolgozói kódok, és internetkapcsolat nélkül a feltöltésre váró pecsétek sora.

Ezek a működéshez feltétlenül szükségesek, ezért nem kérünk hozzájuk külön hozzájárulást. Kijelentkezéskor a fiókod kártyáit és a gyorsítótárazott kártyaadatokat töröljük erről a készülékről.

8. Kik férnek hozzá az adatokhoz? (adatfeldolgozók)

Szolgáltató	Mire használjuk	Hol
Vercel Inc.	A weboldal és a szerveroldali funkciók kiszolgálása (tárhely)	Nemzetközi hálózat; EU-n kívüli továbbításnál az Európai Bizottság általános szerződési feltételei (SCC) alapján
Supabase Inc.	Adatbázis, belépés, logótárolás	Európai Unió — Frankfurt (Németország) régió
[E-mail-küldő szolgáltató neve]	A belépő link vagy kód kiküldése	[ellenőrizendő]
Apple Inc. / Google LLC	A Wallet-kártya tárolása és frissítése — csak ha a kártyát te teszed a Walletbe	Az Apple és a Google saját adatkezelési feltételei szerint
A böngésződ értesítési szolgáltatója (pl. Apple, Google, Mozilla)	A telefonos értesítések kézbesítése — csak ha bekapcsolod	A szolgáltató saját feltételei szerint
OpenStreetMap Foundation	Térképcsempék (önálló adatkezelőként kapja meg az IP-címedet, ha a térképet megnyitod)	Egyesült Királyság (megfelelőségi határozat)
Open-Meteo	Időjárási adat a vállalkozások statisztikájához (a hely koordinátái alapján)	[ellenőrizendő]

Adatot nem adunk el, és reklámcélra nem adunk át senkinek. A vállalkozás csak a saját kártyáit és azok pecsétadatait látja.

9. Meddig őrizzük az adatokat?

Kártya: amíg törlöd, vagy amíg a vállalkozás szerződése fennáll. A [24] hónapja nem használt kártyát anonimizálhatjuk; az összesített statisztika megmarad, de már nem köthető kártyához.
Tárcafiók: amíg törlöd. Törléskor az e-mail-címed és a profilod (nyelv, születési hónap, város, értesítési beállítások, privát jegyzetek és értékelések) törlődik.
Értesítési feliratkozás: amíg az értesítéseket ki nem kapcsolod, ki nem jelentkezel, vagy a böngésző a címet érvényteleníti.
IP-lenyomat: legfeljebb [24 óra]. Szolgáltatói műszaki naplók: [ellenőrizendő]. Hibanapló: [30] nap. Kapcsolatfelvétel: [12] hónap.
Számlázási adatok (vállalkozásoknál): a számviteli törvény szerint 8 évig.

10. A jogaid

Jogod van tájékoztatást kérni és hozzáférni az adataidhoz, kérni a helyesbítésüket, törlésüket, kezelésük korlátozását, tiltakozni a jogos érdeken alapuló kezelés ellen, és kérni az adathordozhatóságot. A hozzájárulásodat bármikor visszavonhatod; ez nem érinti a korábbi kezelés jogszerűségét.

Kártya törlése: a kártya oldalán, a „Kártya törlése” gombbal.
Fiók adatainak letöltése és a fiók törlése: a Stampback-tárca Fiók oldalán.
Minden más kérés: [Hiányzik: Kapcsolattartó e-mail]. Egy hónapon belül válaszolunk.

A kártyáddal kapcsolatos kérésben — mivel ott a vállalkozás az adatkezelő — a vállalkozáshoz is fordulhatsz; mi segítjük őt a teljesítésben. Mivel a kártya nincs a nevedhez kötve, a kéréshez a kártyádat (a kártya linkjét vagy kódját) kell megadnod.

11. Panasz és jogorvoslat

Ha úgy érzed, megsértettük az adatvédelmi jogaidat, kérjük, először írj nekünk ([Hiányzik: Kapcsolattartó e-mail]). Panaszt tehetsz a felügyeleti hatóságnál is:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Cím: 1055 Budapest, Falk Miksa utca 9–11.; postacím: 1363 Budapest, Pf. 9.
Web: www.naih.hu; e-mail: ugyfelszolgalat@naih.hu

Jogaid megsértése esetén bírósághoz is fordulhatsz; a pert a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindíthatod.

12. A tájékoztató változása

Ha a tájékoztató lényegesen változik, az oldalon jelezzük, és a tárcafiókkal rendelkezőket e-mailben is értesítjük.