Adatvédelmi tájékoztató

1. Bevezetés

A jelen Adatvédelmi tájékoztató (a továbbiakban: „Tájékoztató") célja, hogy az Social Dream Group Kft. (a továbbiakban: „Adatkezelő" vagy „Társaság") által üzemeltetett studiozone.hu weboldal és a hozzá kapcsolódó foglalási rendszer, hírlevél, kapcsolatfelvételi űrlap és egyéb szolgáltatások használói (a továbbiakban: „Érintett" vagy „Felhasználó") részletes és átlátható tájékoztatást kapjanak személyes adataik kezeléséről.

Az Adatkezelő elkötelezett az Érintettek személyes adatainak védelme mellett, és különösen fontosnak tartja az információs önrendelkezési jog tiszteletben tartását.

Az adatkezelés a hatályos magyar és európai uniós jogszabályok rendelkezéseinek megfelelően történik, kiemelten:

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, „GDPR");
• 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról („Infotv.");
• 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatások egyes kérdéseiről („Eker. tv.");
• 2008. évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről („Grtv.");
• 2007. évi CXXVII. törvény az általános forgalmi adóról („Áfa tv.");
• 2000. évi C. törvény a számvitelről („Számv. tv.");
• 2013. évi V. törvény a Polgári Törvénykönyvről („Ptk.").

2. Az Adatkezelő adatai

Az Adatkezelő nem köteles adatvédelmi tisztviselőt (DPO) kijelölni a GDPR 37. cikke alapján, mivel tevékenysége nem teszi szükségessé. Adatvédelmi ügyekben az info@studiozone.hu címre kell írni.

3. Az adatkezelés alapelvei

Az Adatkezelő a személyes adatok kezelése során az alábbi alapelveket tartja be (GDPR 5. cikk):

• Jogszerűség, tisztességes eljárás és átláthatóság: az adatkezelés mindig jogszerű, az Érintettek számára átlátható módon történik.
• Célhoz kötöttség: személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történik.
• Adattakarékosság: kizárólag a célok eléréséhez szükséges adatok kerülnek kezelésre.
• Pontosság: a kezelt adatok pontosak és naprakészek.
• Korlátozott tárolhatóság: a személyes adatok csak a célok eléréséhez szükséges ideig kerülnek tárolásra.
• Integritás és bizalmas jelleg: az adatok biztonságát megfelelő technikai és szervezési intézkedésekkel biztosítjuk.
• Elszámoltathatóság: az Adatkezelő felelős a fenti alapelvek betartásáért és azt képes igazolni.

4. A kezelt személyes adatok köre és az adatkezelési tevékenységek

4.1. Stúdió foglalás

4.2. Felhasználói fiók (regisztráció)

4.3. Hírlevél küldés

4.4. Kapcsolatfelvételi űrlap

4.5. Számlázás

4.6. Online bankkártyás fizetés

4.7. Naplózási (log) adatok

4.8. Sütik (cookie-k)

A sütikre vonatkozó részletes tájékoztató a jelen Tájékoztató 8. pontjában található.

5. Adatfeldolgozók

Az Adatkezelő a tevékenysége során az alábbi adatfeldolgozókat veszi igénybe. Az adatfeldolgozók kizárólag az Adatkezelő utasítása alapján és nevében járnak el, önálló döntést a kezelt adatokról nem hozhatnak.

5.1. Tárhelyszolgáltató

5.2. E-mail küldő szolgáltató

5.3. Bankkártyás fizetés

5.4. Számlázási rendszer

5.5. Statisztikai szolgáltatások

6. Adattovábbítás harmadik országba

Az Adatkezelő személyes adatot kizárólag az alábbi feltételek mellett továbbít az Európai Gazdasági Térségen kívülre:

• Az Európai Bizottság megfelelőségi határozatával rendelkező országba (pl. USA — EU-USA Data Privacy Framework hatálya alatt működő szervezet);
• A GDPR 46. cikke szerinti megfelelő garanciák megléte mellett (pl. EU általános szerződéses feltételek, „SCC");
• Az Érintett kifejezett, tájékozott hozzájárulása alapján.

Jelenleg ilyen továbbítás csak a Google szolgáltatások (Analytics, Tag Manager) felé történik, amelyek az EU-USA Data Privacy Framework keretében bonyolítják az adattovábbítást.

7. Az Érintettek jogai

Az Érintett a GDPR alapján az alábbi jogokkal rendelkezik:

7.1. A hozzáférés joga (GDPR 15. cikk)

Az Érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha igen, jogosult arra, hogy hozzáférést kapjon a személyes adatokhoz és az adatkezelés körülményeihez.

7.2. A helyesbítéshez való jog (GDPR 16. cikk)

Az Érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat, illetve kérje a hiányos személyes adatok kiegészítését.

7.3. A törléshez való jog („elfeledtetéshez való jog", GDPR 17. cikk)

Az Érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha az alábbi indokok valamelyike fennáll:

• a személyes adatokra már nincs szükség abból a célból, amelyből gyűjtötték;
• az Érintett visszavonja az adatkezelés alapját képező hozzájárulását, és nincs más jogalap;
• az Érintett tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok;
• a személyes adatokat jogellenesen kezelték;
• a személyes adatokat uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell.

A törlés nem érinti azokat az adatokat, amelyek megőrzésére az Adatkezelőnek jogszabályi kötelezettsége van (pl. számlázási adatok 8 évig).

7.4. Az adatkezelés korlátozásához való jog (GDPR 18. cikk)

Az Érintett jogosult kérni, hogy az Adatkezelő korlátozza az adatkezelést, ha pl. vitatja az adatok pontosságát.

7.5. Az adathordozhatósághoz való jog (GDPR 20. cikk)

Az Érintett jogosult arra, hogy a rá vonatkozó személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban (pl. JSON, CSV) megkapja, illetve ezeket egy másik adatkezelőnek továbbítsa.

7.6. A tiltakozáshoz való jog (GDPR 21. cikk)

Az Érintett tiltakozhat személyes adatainak kezelése ellen, ha az jogos érdeken alapul, illetve a közvetlen üzletszerzés (marketing) céljából történő adatkezelés ellen bármikor tiltakozhat.

7.7. A hozzájárulás visszavonásához való jog

Az Érintett a hozzájárulását bármikor visszavonhatja. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.

7.8. Az automatizált döntéshozatallal kapcsolatos jogok (GDPR 22. cikk)

Az Adatkezelő nem alkalmaz olyan automatizált döntéshozatalt (beleértve a profilalkotást), amely az Érintettre joghatással járna vagy hasonlóan jelentős mértékben érintené.

7.9. Az érintetti jogok gyakorlása

Az Érintett a fenti jogait az info@studiozone.hu címen küldött elektronikus levélben gyakorolhatja, vagy a postai címen levélben. Az Adatkezelő a megkeresést 30 napon belül teljesíti, vagy indokoltan elutasítja. A megkeresés kapcsán szükséges lehet az Érintett személyazonosságának ellenőrzése.

A jogok gyakorlása ingyenes, kivéve, ha a kérés egyértelműen megalapozatlan vagy túlzó (különösen ismétlődő jellege miatt).

8. Sütik (cookie-k)

A weboldal kis méretű szöveges fájlokat (sütiket) helyez el a látogatók eszközén a működés és a felhasználói élmény biztosítása érdekében.

8.1. Az alkalmazott sütik típusai

a) Szigorúan szükséges sütik (hozzájárulás nem szükséges)

b) Statisztikai sütik (hozzájárulás szükséges)

c) Marketing sütik (hozzájárulás szükséges)

8.2. Hozzájárulás kezelése

A weboldal első látogatásakor egy süti-tájékoztató sáv jelenik meg, ahol az Érintett választhat: elfogad mindent, csak a szükségeseket, vagy egyedileg testreszabja a hozzájárulását. A választást a böngészőben elmentjük 12 hónapig.

A hozzájárulás bármikor módosítható vagy visszavonható a süti-beállítások újraindításával (a lábléc „Süti-beállítások" linkjére kattintva).

8.3. Sütik tiltása a böngészőben

Minden modern böngészőben lehetőség van a sütik kezelésére (törlés, letiltás). A részletes leírást a böngésző súgója tartalmazza. Felhívjuk a figyelmet, hogy a szigorúan szükséges sütik tiltása esetén bizonyos funkciók (pl. bejelentkezés, foglalás) nem fognak megfelelően működni.

9. Adatbiztonság

Az Adatkezelő a tudomány és a technológia jelenlegi állása szerinti megfelelő technikai és szervezési intézkedéseket alkalmaz a személyes adatok védelmére. Az alkalmazott védelmi intézkedések különösen:

9.1. Technikai intézkedések

• HTTPS/TLS titkosítás minden adatátvitelre (Let's Encrypt vagy hasonló érvényes SSL-tanúsítvány);
• Jelszavak iparági szabványnak megfelelő hash-eléssel (bcrypt) tárolva, sózással;
• SQL-injection elleni védelem (prepared statements, paraméteres lekérdezések);
• XSS (cross-site scripting) elleni védelem (htmlspecialchars, CSP fejlécek);
• CSRF (cross-site request forgery) elleni védelem (tokenes védelem minden űrlapon);
• X-Frame-Options, X-Content-Type-Options biztonsági HTTP fejlécek;
• HttpOnly és Secure flag a session cookie-knál, SameSite=Lax beállítás;
• Brute force védelem (rate limiting) bejelentkezés és jelszó-visszaállítás esetén;
• Rendszeres biztonsági mentések (napi szinten, titkosítva tárolva);
• Rendszeres biztonsági frissítések a szerveren és az alkalmazásban.

9.2. Szervezési intézkedések

• Hozzáférés-szabályozás: csak az arra jogosult személyek férhetnek hozzá személyes adatokhoz;
• Szerepkör-alapú jogosultságkezelés az admin felületen;
• Naplózás (audit log) a kritikus műveletekről;
• Adatkezelési nyilvántartás vezetése (GDPR 30. cikk);
• Adatfeldolgozói szerződések kötése minden adatfeldolgozóval (GDPR 28. cikk);
• Munkavállalók/közreműködők tájékoztatása az adatvédelmi szabályokról és titoktartási kötelezettségük;
• Adatvédelmi incidens kezelésére vonatkozó eljárás kidolgozása.

10. Adatvédelmi incidens

Adatvédelmi incidens (adatszivárgás, illetéktelen hozzáférés stb.) esetén az Adatkezelő azt indokolatlan késedelem nélkül, de legkésőbb 72 órán belül bejelenti a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), kivéve, ha az incidens valószínűleg nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.

Magas kockázatú incidens esetén az Adatkezelő az Érintetteket is tájékoztatja.

Az Adatkezelő adatvédelmi incidens-nyilvántartást vezet.

11. Gyermekek adatainak védelme

A weboldal szolgáltatásai elsősorban 18 év feletti felhasználóknak szólnak. 16 év alatti gyermekek esetében a hírlevélre való feliratkozáshoz vagy egyéb hozzájárulás-alapú adatkezeléshez a törvényes képviselő (szülő) hozzájárulása szükséges.

Ha tudomásunkra jut, hogy gyermek hozzájárulás nélkül adta meg adatait, azokat haladéktalanul töröljük.

12. Profilalkotás és automatizált döntéshozatal

Az Adatkezelő nem alkalmaz olyan automatizált döntéshozatalt — ideértve a profilalkotást is —, amely az Érintettre nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené (GDPR 22. cikk).

A Google Analytics által végzett anonimizált viselkedési statisztika nem minősül profilalkotásnak GDPR értelemben.

13. Jogorvoslati lehetőségek

13.1. Panasz az Adatkezelőnél

Ha az Érintett úgy érzi, hogy az Adatkezelő megsértette személyes adatainak védelmére vonatkozó jogát, először javasolt közvetlenül az Adatkezelőhöz fordulni az info@studiozone.hu címen. Az Adatkezelő 30 napon belül érdemi választ ad.

13.2. Hatósági panasz (NAIH)

13.3. Bírósági jogérvényesítés

Az Érintett a jogainak megsértése esetén bírósághoz is fordulhat. A per — az Érintett választása szerint — a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható.

14. A Tájékoztató módosítása

Az Adatkezelő fenntartja a jogot, hogy a jelen Tájékoztatót egyoldalúan módosítsa. A módosítások a weboldalon történő közzététellel lépnek hatályba. Jelentős változás esetén — különösen akkor, ha az érinti az adatkezelés célját vagy jogalapját — az Adatkezelő külön értesíti az Érintetteket.

A jelen Tájékoztató aktuális verziója mindig elérhető a studiozone.hu/adatvedelem címen.

15. Kapcsolat

Adatvédelmi kérdésekben az Adatkezelő az alábbi elérhetőségeken áll rendelkezésre:

Social Dream Group Kft.
2161 Csomád, Szent István utca 48.
E-mail: info@studiozone.hu
Telefon: +36 30 341 34 16