Adatfeldolgozási feltételek (vendégadatok)

1. A feldolgozás tárgya és időtartama#

Vendégadat a vendégek, kísérőik, kapcsolattartók, szállítói kapcsolattartók és más harmadik személyek azon személyes adata, amelyet a Felhasználó a Szolgáltatásba bevisz, feltölt vagy azon keresztül kezel, illetve amelyet a vendég maga ad meg a Felhasználó által megosztott linken (visszajelzés, fotófeltöltés). A szállítói kapcsolattartókra ugyanazok a szabályok vonatkoznak, mint a vendégekre.

Tárgy

A Vendégadatok tárolása és kezelése az esküvőszervező funkciók működtetéséhez.

Időtartam

A felhasználói fiók fennállásáig, illetve az adatok Felhasználó általi törléséig. A fiók törlése a Vendégadatokat - a feltöltött fényképeket is - vele együtt törli.

Jelleg és cél

Csak ami a Szolgáltatás nyújtásához, biztonságához, karbantartásához és támogatásához szükséges: tárolás, rendszerezés, megjelenítés, keresés, export, a Felhasználó által a Szolgáltatás valamely funkciójával elindított AI-elemzés, a megosztott vendégoldal, a visszajelzési folyamat és a fotógyűjtés kiszolgálása, biztonsági mentés, valamint a Felhasználó által küldött támogatási kérések kezelése.

Az érintettek köre

Vendégek és kísérőik, kapcsolattartók (tanú, ceremóniamester, rokon), szállítói kapcsolattartók, valamint a vendégfotókat feltöltő vagy azokon szereplő személyek; esküvőszervezőnél a szervező ügyfelei is.

A személyes adatok típusai

Név, e-mail-cím, telefonszám, kapcsolat, visszajelzési státusz, étkezési igény, ülésrendi és szállásbeosztás, utazási és transzferadatok, fényképek és a feltöltők neve, a vendéghez rendelt token, valamint minden, amit a Felhasználó szabad szöveges mezőbe ír.

Különleges adat. A Szolgáltatás nem arra készült, hogy a vendégekről a GDPR 9. cikke szerinti különleges adatot kérjen vagy gyűjtsön: az étkezési igény mező preferenciát kér, és a visszajelzési oldal arra kéri a vendéget, hogy egészségügyi részletet ne adjon meg. Egy szabad szöveges bejegyzés vagy egy fénykép mégis felfedhet egészségügyi, vallási vagy más különleges adatot. A Felhasználó ilyen adatot csak érvényes jogalap és a 9. cikk szerinti feltétel megléte esetén vihet be; ha mégis bekerül, a Szolgáltató azt kizárólag a Felhasználó utasítása szerint, ugyanazokkal az intézkedésekkel kezeli. (A pár SAJÁT kulturális és vallási háttere nem vendégadat: arra a Felhasználó kifejezett hozzájárulása és az Adatvédelmi tájékoztató 2.2. pontja irányadó.)

Esküvőszervezők. Ha a Felhasználó hivatásos esküvőszervező, az ügyfél adatainak és az ügyfél számára rögzített Vendégadatoknak a kezelési céljáról és eszközeiről ő dönt, vagy erre az ügyféltől kap felhatalmazást. A szervező felel azért, hogy jogosult a Szolgáltató felé utasítást adni.

2. A Felhasználó mint adatkezelő kötelezettségei#

A Felhasználó adatkezelőként vállalja, hogy:

• csak olyan személyes adatot visz be, amelynek kezelésére megfelelő jogalappal rendelkezik - jellemzően az érintett hozzájárulásával, illetve az esküvő megszervezéséhez fűződő jogos érdek alapján -, és csak a célhoz szükséges, releváns és pontos adatot;
• tájékoztatja az érintetteket arról, hogy adataik esküvőszervező alkalmazásba kerülnek, és hogy jogaik gyakorlásához kihez fordulhatnak;
• telefonszámot, címet vagy más elérhetőséget a publikált vendégoldalon csak az érintett előzetes tudtával és beleegyezésével tesz közzé;
• a személyes meghívó- és feltöltő linkeket nem terjeszti olyan körben, ahol az adatok illetéktelenekhez juthatnak;
• meghatározza a Vendégadatok megőrzési idejét, és a már nem szükséges adatokat a felületen törli;
• az érintetti kérelmeket (hozzáférés, helyesbítés, törlés) a felületen maga teljesíti, ahol az erre lehetőséget ad, és elvégzi az adatkezelőként rá háruló adatvédelmi hatásvizsgálatot, konzultációt, illetve incidensbejelentést.

A Szolgáltató ebbe nem lát bele, és nem is kell belelátnia: a Vendégadatok tartalmát nem vizsgálja.

3. A Szolgáltató mint adatfeldolgozó kötelezettségei#

A Szolgáltató adatfeldolgozóként vállalja, hogy:

• a Vendégadatokat kizárólag a Felhasználó dokumentált utasítása alapján kezeli, az EGT-n kívüli továbbítást is ideértve. A Szolgáltatás használata a jelen dokumentummal együtt ilyen utasításnak minősül. Ha a Szolgáltató úgy ítéli meg, hogy egy utasítás sérti a GDPR-t vagy más adatvédelmi jogszabályt, erről indokolatlan késedelem nélkül tájékoztatja a Felhasználót, kivéve, ha jogszabály tiltja, és az érintett adatkezelést a kérdés tisztázásáig felfüggesztheti;
• a Vendégadatokat saját célra - így marketingre, profilalkotásra vagy AI-modell tanítására, finomhangolására, fejlesztésére - nem használja; a Vendégadatok AI-elemzése csak akkor történik, ha a Felhasználó a Szolgáltatás valamely funkciójával elindítja;
• a hozzáféréssel rendelkezőket titoktartásra kötelezi, és a hozzáférést a feladathoz szükséges körre korlátozza;
• alkalmazza a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket, amelyek a jelen dokumentum szerinti, egyeztetett biztonsági intézkedések: titkosítás átvitel közben (HTTPS/TLS) és nyugalmi állapotban, jelszavak kizárólag bcrypt-kivonatként, sorszintű hozzáférés-szabályozás az adatbázisban, a megosztási tokenek szerveroldali ellenőrzése, a vendégfotók zárt tárhelyen, csak rövid élettartamú aláírt hivatkozással elérhetően, a tokenes oldalak kizárása a mérésből, napi biztonsági mentés, korlátozott adminisztratív hozzáférés és a biztonsági frissítések gyors telepítése. A Szolgáltató ezeket frissítheti, ha a védelem összszintje nem csökken; további részletek az Adatvédelmi tájékoztató 7. pontjában;
• a hozzá érkező, Vendégadatra vonatkozó érintetti kérelmet indokolatlan késedelem nélkül továbbítja a Felhasználónak, és arra érdemben csak a Felhasználó utasítására vagy jogszabályi kötelezés esetén válaszol; ha a kérelem egy fénykép vagy más tartalom eltávolítására irányul, amely a Felhasználó céljait érintő döntés nélkül elrejthető vagy törölhető, ezt a technikai lépést a Szolgáltató maga is megteheti, és erről a Felhasználót értesíti;
• észszerű technikai és szervezési segítséget nyújt az érintetti kérelmek (hozzáférés, helyesbítés, törlés, korlátozás, tiltakozás, adathordozhatóság) teljesítéséhez, valamint az adatvédelmi hatásvizsgálathoz és az előzetes konzultációhoz;
• a Vendégadatokat érintő adatvédelmi incidensről a tudomásszerzést követően indokolatlan késedelem nélkül értesíti a Felhasználót, hogy az a GDPR 33. cikke szerinti 72 órás határidőt tartani tudja. Az értesítés - amennyire ismert - tartalmazza az incidens jellegét, az érintettek és az érintett adatok kategóriáit és hozzávetőleges számát, a valószínű következményeket, a megtett vagy tervezett intézkedéseket és egy kapcsolattartási pontot; a még nem ismert információt részletekben pótolja. Arról, hogy és hogyan értesíti a felügyeleti hatóságot és az érintetteket, a Felhasználó mint adatkezelő dönt;
• hatóság Vendégadat kiadására irányuló kötelező megkeresésének teljesítése előtt - ahol jogszabály megengedi - tájékoztatja a Felhasználót;
• az adatkezelés végén a Felhasználó választása szerint visszaadja a Vendégadatokat (az ÁSZF 20. pontja szerinti, bármikor elérhető exporttal) vagy törli azokat, kivéve, ha uniós vagy tagállami jog tárolást ír elő. Ha a Felhasználó a felületen egyes tételeket töröl, a Szolgáltató azokat ennek megfelelően törli. A rendszeres biztonsági mentésekben átmenetileg megmaradó másolatok az éles használattól elkülönítve maradnak, és a törléstől számított legkésőbb 6 hónap múlva onnan is eltűnnek (napi másolat 14 nap, havi archívum 6 hónap).

4. További adatfeldolgozók és nemzetközi adattovábbítás#

A Szolgáltató a szolgáltatás nyújtásához további adatfeldolgozókat vesz igénybe. Ehhez a Felhasználó a GDPR 28. cikk (2) bekezdése szerinti általános felhatalmazást ad. Az igénybe vett további adatfeldolgozók teljes listája - székhellyel, tevékenységgel, tárolási hellyel és adattovábbítási jogalappal - az Adatfeldolgozók és címzettek oldalon található.

A Szolgáltató minden további adatfeldolgozóra szerződésben ugyanazokat az adatvédelmi kötelezettségeket hárítja, amelyeket a jelen dokumentum tartalmaz, az általa végzett szolgáltatáshoz igazodó mértékben, és teljesítésükért úgy felel, mint a sajátjáért.

Új további adatfeldolgozó igénybevétele vagy egy meglévő cseréje előtt a Szolgáltató legalább 15 nappal előre értesít. A Felhasználó ezen idő alatt észszerű adatvédelmi indokkal tiltakozhat; a Szolgáltató a tiltakozást jóhiszeműen megvizsgálja, és a változás hatálybalépése előtt válaszol. Ha a tiltakozás megalapozott, és észszerű alternatíva nem ajánlható, a Felhasználó a hatálybalépés előtt díjmentesen felmondhat, és exportálhatja az adatait (az adatfeldolgozói oldal 4. pontja).

Ha egy további adatfeldolgozó a Vendégadatokat az EGT-n kívül kezeli, a Szolgáltató biztosítja, hogy a GDPR V. fejezete szerinti érvényes mechanizmus - megfelelőségi határozat vagy általános szerződési feltétel (SCC) - alkalmazandó legyen, és kérésre rendelkezésre bocsátja a mechanizmus és a kiegészítő garanciák igazolásához észszerűen szükséges információt.

5. Ellenőrzés és felelősség#

A Szolgáltató rendelkezésre bocsát minden olyan információt, amely a GDPR 28. cikkének való megfelelés igazolásához szükséges - az alkalmazott biztonsági intézkedések leírását, a további adatfeldolgozók listáját, az adattovábbítási jogalapokat és az adattovábbítási hatásvizsgálatot -, és lehetővé teszi, valamint elősegíti a Felhasználó vagy az általa megbízott ellenőr által végzett ellenőrzést, ideértve a helyszíni vizsgálatot is.

Az adatkezelés jellegére és arra tekintettel, hogy a Szolgáltató egyéni vállalkozó, az ellenőrzés jellemzően távolról történik: írásbeli válaszokkal, biztonsági dokumentációval, az infrastruktúra-szolgáltatók tanúsítványaival és más észszerű bizonyítékkal, észszerű határidőn belül. Helyszíni vizsgálat akkor kérhető, ha a távoli bizonyítékok nem elegendők, vagy felügyeleti hatóság előírja. A Felhasználó erről észszerű időben előre értesít, kerüli a Szolgáltató működésének zavarását, és a megszerzett információt bizalmasan kezeli. Az ellenőrzés költségét mindkét fél maga viseli; ha az ellenőrzés a Szolgáltatónak felróható lényeges jogsértést tár fel, a javítás igazolásának észszerű többletköltségét a Szolgáltató viseli.

A felelősség a GDPR 82. cikkét követi: mindkét fél a saját szerepéből eredő jogsértésért felel. A jelen dokumentum nem zárja ki és nem korlátozza a felelősséget olyan mértékben, amilyenben azt a GDPR vagy más kógens jogszabály tiltja; így az ÁSZF 13. pontja szerinti felelősségkorlátozás nem terjed ki a GDPR szerinti hatósági bírságra és az érintettek kártérítési igényére.