ADATKEZELÉSI SZABÁLYZAT
(GENERAL DATA PROTECTION REGULATION)
Jelen szabályzat felülvizsgálata és karbantartása a jogszabályi változások függvényében évente történik.
Hatályba lépett: 2018.07.01 — Alkalmazandó: 2018.07.01-től
Az adatkezelő adatai
| Szervezet neve: | Virágász Kft. |
|---|---|
| Székhely: | 9023 Győr, Álmos utca 6. 2. ép. |
| Adószám: | 23087385-2-08 |
| Képviseletre jogosult: | Rebák Áron, Kállay Gábor |
Tartalomjegyzék
- A szabályzat célja
- A szabályzat hatálya
- Fogalommeghatározások
- Alapelvek
- Az adatkezelés jogalapja
- Az adatok megismerésére jogosultak köre
- Az érintett személy jogai
- Az érintett kérelme esetén alkalmazandó eljárás
- Adatvédelmi incidens esetén alkalmazandó eljárás
- Munkaviszonnyal kapcsolatos adatkezelés
- Egyéb tevékenységek és kezelt adatkörök
- Az adatfeldolgozással kapcsolatos szabályok
- Az adatbiztonságra vonatkozó rendelkezések
- Egyéb rendelkezések
- Sütik (cookie-k) és hasonló technológiák
- Mellékletek
I. A szabályzat célja
Jelen szabályzat célja a Vállalkozásunk adatvédelmi és adatkezelési politikáját rögzítő belső szabályok megállapítása, a természetes személyek magánszférájának tiszteletben tartásának biztosítása, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, illetve a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.) – Általános Adatvédelmi Rendelet – által meghatározott adatvédelmi és adatkezelési rendelkezések betartásával, melyek érvényesítésével a Vállalkozás valamennyi tevékenysége, szolgáltatásának igénybevétele során biztosítja az érintettek személyes adatok védelméhez való jogának tiszteletben tartását az érintettek személyes adatainak feldolgozása, illetőleg kezelése során.
A Vállalkozás jelen szabályzat elfogadásával deklarálja az EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.) – továbbiakban „Rendelet” – 5. cikkében foglalt személyes adatok kezelésére vonatkozó elvek betartását.
II. A szabályzat hatálya
Személyi hatály
Jelen szabályzat hatálya a Vállalkozásra és azon természetes személyekre terjed ki, akikre az adatkezelési tevékenysége kiterjed. A jelen szabályzatban rögzített adatkezelési tevékenység természetes személyek személyes adataira irányul. A szabályzat hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre, illetve amely különösen olyan vállalkozásokra vonatkozik, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat. Jogi személy az egyesület, a gazdasági társaság, a szövetkezet, az egyesülés és az alapítvány.
Időbeli hatály
Jelen szabályzat időbeli hatálya a megállapításának napjától további rendelkezésig, vagy a szabályzat visszavonásának napjáig áll fenn.
III. Fogalommeghatározások
- érintett: bármely információ alapján azonosított vagy azonosítható természetes személy;
- azonosítható természetes személy: aki közvetlen vagy közvetett módon, különösen valamely azonosító (név, azonosító szám, helymeghatározó adat, online azonosító) vagy a természetes személy azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
- személyes adat: az érintettre vonatkozó bármely információ;
- különleges adat: a személyes adatok különleges kategóriáiba tartozó adat (faji vagy etnikai származás, politikai vélemény, vallási vagy világnézeti meggyőződés, szakszervezeti tagság, genetikai, biometrikus, egészségügyi, szexuális életre vagy irányultságra vonatkozó adatok);
- hozzájárulás: az érintett akaratának önkéntes, határozott és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánítása;
- adatkezelő: aki az adatkezelés célját meghatározza, az adatkezelésre vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja – a Vállalkozás esetében a Virágász Kft.;
- adatkezelés: az adaton végzett bármely művelet vagy műveletek összessége (gyűjtés, rögzítés, tárolás, felhasználás, továbbítás, törlés stb.);
- adatfeldolgozó: aki az adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel;
- adatvédelmi incidens: a biztonság olyan sérelme, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását, nyilvánosságra hozatalát vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
- profilalkotás: személyes adat bármely olyan – automatizált módon történő – kezelése, amely az érintett személyes jellemzőinek értékelésére, elemzésére vagy előrejelzésére irányul;
- rendelet: az EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.).
IV. Alapelvek
Személyes adat kizárólag meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának; az adatok felvételének és kezelésének tisztességesnek és törvényesnek kell lennie. Csak olyan személyes adat kezelhető, amely a cél megvalósulásához elengedhetetlen és alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető.
A Vállalkozás az általa kezelt személyes adatokat székhelyén tárolja elektronikus állomány formájában, illetve papír alapú dokumentumokon, az adatbiztonságra vonatkozó jogszabályi előírások megtartása mellett. Jelen rendelkezés valamennyi, a Vállalkozás által végzett adatkezelési és adatfeldolgozói tevékenység tekintetében érvényes.
V. Az adatkezelés jogalapja
A személyes adatok kezelése jogszerűségének az érintett hozzájárulásán kell alapulnia, vagy valamely egyéb jogszerű, jogszabály által megállapított alappal kell rendelkeznie.
Hozzájárulás adható írásban, vagy elektronikus úton (weboldalon jelölőnégyzet, technikai beállítás, illetve egyéb egyértelmű magatartás). A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés nem minősül hozzájárulásnak.
Az érintett jogosult hozzájárulását bármikor visszavonni. A visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.
Az adatkezelés jogszerűnek minősül, ha olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy a szerződés megkötését megelőzően az érintett kérésére történő lépésekhez szükséges. A szerződés teljesítéséhez nem szükséges adatok kezeléséhez adott hozzájárulás nem lehet a szerződéskötés feltétele.
Jogi kötelezettség teljesítése esetén az adatkezelés jogalapját törvény határozza meg; az érintett hozzájárulása nem szükséges. Az adatkezelő köteles tájékoztatni az érintettet az adatkezelés céljáról, jogalapjáról, időtartamáról, az adatkezelő személyéről, jogairól és a jogorvoslati lehetőségekről. Az adatkezelő a hozzájárulás visszavonását követően is jogosult kezelni azon adatkört, amely valamely rá vonatkozó jogi kötelezettség teljesítése végett szükséges.
Az adatkezelő vagy harmadik fél jogos érdeke jogalapot teremthet, feltéve, hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget. A jogos érdek fennállásának megállapításához körültekintően meg kell vizsgálni, hogy az érintett észszerűen számíthat-e az adott célú adatkezelésre.
VI. Az adatok megismerésére jogosultak köre
A személyes adatokat a Vállalkozás a vonatkozó adatkezelési célhoz kapcsolódó hozzáférési jogosultságokkal rendelkező munkavállalói, illetve a Vállalkozás részére szolgáltatási szerződések alapján adatfeldolgozási tevékenységet végző személyek, szervezetek ismerhetik meg, a Vállalkozás által meghatározott terjedelemben és a tevékenységük végzéséhez szükséges mértékben. Az adatfeldolgozók felsorolását a szabályzat 1. sz. melléklete tartalmazza.
VII. Az érintett személy jogai
Az érintett jogosult arra, hogy adatainak kezelésére irányuló tevékenység megkezdését megelőzően tájékoztatást kapjon. Az adatkezelő tájékoztatást ad többek között: az adatkezelő kilétéről és elérhetőségeiről; az adatkezelés céljáról és jogalapjáról; jogos érdekről (ha alkalmazandó); a címzettekről; harmadik országba történő továbbításról; a tárolás időtartamáról; az érintett jogairól; a hozzájárulás visszavonásának jogáról; a panaszbenyújtás jogáról; az adatszolgáltatás kötelező jellegéről; valamint az automatizált döntéshozatalról (ha van).
Ha az adatokat nem az érintettől szerezték meg, az adatkezelő a forrásról és a fenti információkról is tájékoztatást ad, a Rendeletben meghatározott kivételek figyelembevételével.
Az érintett jogosult visszajelzést kapni arról, hogy személyes adatainak kezelése folyamatban van-e, és ha igen, hozzáférést kapni az adatokhoz, valamint az adatkezelés céljaihoz, az adatkategóriákhoz, a címzettekhez, a tárolási időtartamhoz, jogaihoz, a panaszjoghoz, az adatforráshoz és az automatizált döntéshozatalra vonatkozó információkhoz. Kérésre az adatkezelő az adatok másolatát rendelkezésre bocsátja; további másolatokért észszerű adminisztratív díj számítható fel.
Helyesbítés: az érintett kérheti a rá vonatkozó pontatlan adatok indokolatlan késedelem nélküli helyesbítését, illetve a hiányos adatok kiegészítését.
Törlés („elfeledtetés”): az érintett kérheti adatai törlését, ha pl. az adatokra már nincs szükség, a hozzájárulást visszavonta és nincs más jogalap, tiltakozott és nincs elsőbbséget élvező ok, az adatkezelés jogellenes, vagy jogi kötelezettség írja elő a törlést – a Rendeletben meghatározott kivételekkel.
Az érintett kérheti az adatkezelés korlátozását (pl. pontosság vitatása, jogellenes kezelés törlés helyetti korlátozása, jogi igény érvényesítése, tiltakozás elbírálásáig). A helyesbítésről, törlésről vagy korlátozásról az adatkezelő tájékoztatja a címzetteket, ha ez nem lehetetlen vagy aránytalan.
Az adathordozhatóság joga alapján az érintett tagolt, géppel olvasható formátumban megkaphatja adatait, és továbbíthatja másik adatkezelőnek, ha a kezelés hozzájáruláson vagy szerződésen alapul és automatizált.
Az érintett tiltakozhat közérdekű/közhatalmi, illetve jogos érdeken alapuló adatkezelés, valamint közvetlen üzletszerzés ellen. Direkt marketing esetén a tiltakozást követően az adatok e célból nem kezelhetők.
Az érintett jogosult arra, hogy ne terjedjen ki rá kizárólag automatizált adatkezelésen (ideértve a profilalkotást) alapuló, rá nézve joghatással járó döntés hatálya – a Rendeletben meghatározott kivételekkel.
Panasztétel: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c.
Telefon: +36 (1) 391-1400 · Fax: +36 (1) 391-1410
Web: www.naih.hu · E-mail: ugyfelszolgalat@naih.hu
Az érintett bírósági jogorvoslattal is élhet a felügyeleti hatóság, illetve az adatkezelő/adatfeldolgozó döntésével vagy mulasztásával szemben.
Uniós vagy tagállami jog bizonyos esetekben (pl. nemzetbiztonság, közbiztonság, büntetőeljárás, fontos közérdek) korlátozhatja az érintetti jogokat, a Rendelet feltételei szerint.
Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az incidens jellegéről, a kapcsolattartóról, a valószínűsíthető következményekről és a megtett/tervezett intézkedésekről – a Rendeletben meghatározott kivételekkel.
VIII. Az érintett kérelme esetén alkalmazandó eljárás
- A Vállalkozás elősegíti az érintett jogainak gyakorlását; a kérelmet nem tagadhatja meg, kivéve ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.
- Indokolatlan késedelem nélkül, de legfeljebb a kérelem beérkezésétől számított 25 napon belül tájékoztatja az érintettet a hozott intézkedésekről.
- Elektronikus kérelem esetén a tájékoztatás lehetőség szerint elektronikusan történik.
- Ha nem tesz intézkedést, ugyanezen határidőn belül tájékoztat a visszautasítás okairól, valamint a panasz- és bírósági jogorvoslati lehetőségről.
- A tájékoztatás és intézkedés főszabály szerint díjmentes. Egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó kérelem esetén 5000 Ft díj számítható fel, vagy a kérelem megtagadható.
- Személyazonosság kétsége esetén az adatkezelő további azonosító adatokat kérhet.
IX. Adatvédelmi incidens esetén alkalmazandó eljárás
Adatvédelmi incidensnek minősül pl. eszköz elvesztése/ellopása, titkosítási kulcs elvesztése, ransomware, rendszer támadása, tévesen elküldött e-mail, címlista nyilvánosságra hozatala.
Észlelés esetén a Vállalkozás képviselője haladéktalanul vizsgálatot folytat, és megteszi a szükséges intézkedéseket. Az incidenst indokolatlan késedelem nélkül, lehetőség szerint legkésőbb 72 órán belül bejelenti a felügyeleti hatóságnál, kivéve ha valószínűsíthetően nem jár kockázattal. Az adatfeldolgozó az incidensről indokolatlan késedelem nélkül tájékoztatja az adatkezelőt.
A Vállalkozás nyilvántartja az incidenseket (tények, hatások, intézkedések).
X. Munkaviszonnyal kapcsolatos adatkezelés
A Vállalkozás jelenleg nem rendelkezik alkalmazottakkal; a szabályzat ezen pontja munkaviszony létesítése esetén kiegészítésre kerül a szabályzat felülvizsgálata során.
XI. Adatkezeléssel érintett egyéb tevékenységek
1.1 Pénzmosás elleni kötelezettségek: ügyfél-átvilágítás során rögzített azonosító adatok; megőrzés a szerződés megszűnésétől számított 8 évig.
1.2 Számviteli kötelezettségek: természetes személy ügyfelek/vevők/szállítók neve, címe, adószáma; megőrzés 8 év.
1.3 Adó- és járulékkötelezettségek: Art. szerinti bevallások adatai; megőrzés jellemzően 8 év; bizonyos munkaügyi iratok nem selejtezhetők.
1.4 Biztosítási jogviszony: bejelentéshez szükséges adatok; jellemzően a jogviszony megszűnését követő 5 év.
1.5 Panaszkezelés: név, lakcím, panasz adatai; a jegyzőkönyv és válasz másolata 5 évig megőrzendő.
Jogalap: hozzájárulás. Adatok: név, cím, telefon, e-mail. Cél: azonosítás, kapcsolattartás, ajánlatadás. Időtartam: az információ/ajánlat nyújtását követő 30 nap után törlés.
Cookie-k: a weboldal sütiket és hasonló technológiákat alkalmaz; részletes tájékoztatás a XV. Sütik (cookie-k) és hasonló technológiák fejezetben található. A nem szükséges cookie-khoz előzetes hozzájárulás szükséges.
Regisztráció / hírlevél: jogalap a hozzájárulás. Hírlevél: név, e-mail. Regisztráció: név, lakcím, e-mail, telefon, jelszó. Időtartam: visszavonásig / leiratkozásig / törlési kérelemig. Leiratkozás a levelek láblécében vagy postai úton lehetséges.
Direkt marketing: kifejezett hozzájárulás alapján; adatok: név, cím, telefon, e-mail; visszavonásig.
Webáruház: vásárlás esetén jogalap a szerződés teljesítése és jogi kötelezettség. Adatok: név, lakcím, telefon, belépési adatok, bankszámlaszám (ha releváns). Időtartam: a szerződés megszűnésétől számított 5 év.
Közösségi oldalak: a Vállalkozás jelen lehet pl. Facebookon / Twitteren; a követők nevét kezeli, az ott közzétett egyéb adatokra a közösségi oldal saját szabályzata irányadó. Időtartam: a hozzájárulás visszavonásáig.
Szerződéses adatkezelés: kapcsolattartás, igényérvényesítés, kötelezettségek teljesítése. Adatok: név, lakcím, telefon, e-mail, bankszámlaszám, vállalkozói/őstermelői igazolvány szám, kapcsolattartói adatok. Időtartam: a szerződés megszűnésétől számított 5 év.
Nyereményjáték: hozzájárulás alapján; adatok: név, születési idő, cím, e-mail, telefon; az eredmény megállapítását követő 30 nap.
XII. Az adatfeldolgozással kapcsolatos szabályok
A Vállalkozás megbízott külső adatfeldolgozót vehet igénybe különösen: internetes honlap üzemeltetésére, adó- és számviteli kötelezettségek teljesítésére, megrendelt termékek kiszállítására. Az adatfeldolgozók felsorolását az 1. sz. melléklet tartalmazza.
Az adatfeldolgozó érdemi döntést nem hoz, az adatokat kizárólag az adatkezelő rendelkezései szerint dolgozza fel, saját célra nem használja. Az utasítások jogszerűségéért a Vállalkozás felel. További adatfeldolgozó igénybevételére a Vállalkozás főszabály szerint nem ad felhatalmazást. Az adatfeldolgozásra vonatkozó szerződést írásba kell foglalni.
Amennyiben a Vállalkozás maga is adatfeldolgozóként jár el (pl. számviteli tevékenység), a Rendelet szerinti garanciákat nyújt, együttműködik az adatkezelővel, és biztosítja az adatok biztonságát.
XIII. Az adatbiztonságra vonatkozó rendelkezések
A Vállalkozás gondoskodik a személyes adatok álnevesítéséről/titkosításáról, a rendszerek bizalmas jellegéről, integritásáról és rendelkezésre állásáról, incidens esetén a helyreállítás képességéről, valamint az intézkedések rendszeres teszteléséről.
Informatikai nyilvántartások: vírusvédelem, fizikai védelem, jogosulatlan hozzáférés elleni védelem, rendszeres biztonsági mentés. Papír alapú nyilvántartások: fizikai biztonság és tűzvédelem; az adathordozók biztonságos őrzése.
Személyes adatokhoz csak az férhet hozzá, akinek munkaköre/feladata ezt indokolja, és aki titoktartási kötelezettséget vállalt.
XIV. Egyéb rendelkezések
- A Vállalkozás ügyvezetője ismerteti a szabályzatot a munkavállalókkal, és gondoskodik annak betartásáról.
- A Vállalkozás adatvédelmi tisztviselő kinevezésére nem köteles.
- Hatósági megkeresés esetén a Vállalkozás a megkeresés céljához szükséges mértékben továbbít adatot.
- Az adatkezelés megkezdésétől legalább háromévente felülvizsgálja, hogy az adatkezelés a célhoz szükséges-e; a dokumentációt tíz évig megőrzi.
- A szabályzat megállapítása és módosítása a Vállalkozás vezetőjének feladatkörébe tartozik. A módosítások a weboldalon történő közzététellel lépnek hatályba.
Kelt: Szigetszentmiklós, 2018. év június hónap 30. — Virágász Kft.
XV. Sütik (cookie-k) és hasonló technológiák
A weboldal a működése és a látogatottság mérése érdekében sütiket, illetve hasonló technológiákat (pl. helyi tároló / local storage) alkalmazhat. A sütiket az alábbi kategóriákba soroljuk.
15.1. Feltétlenül szükséges (technikai) sütik
Ezek a weboldal alapvető működéséhez, a biztonsághoz vagy az Ön által kifejezetten kért szolgáltatás biztosításához szükségesek (pl. munkamenet, süti-hozzájárulás választásának megjegyzése). Jogalap: a szolgáltatás nyújtásához szükséges adatkezelés, illetve — ahol alkalmazandó — jogos érdek / a szolgáltatás teljesítése. Ezek nélkül a weboldal egyes funkciói nem vagy nem megfelelően működnek.
15.2. Analitikai / statisztikai sütik (Google Analytics 4)
A Google Analytics 4 a weboldal használatának mérésére szolgál. Ezek a sütik / tárolók csak az Ön előzetes hozzájárulásával kerülnek elhelyezésre vagy aktiválásra. A mérés során a Google Analytics tipikus sütinevei közé tartozhatnak például: _ga, _ga_* (és a Google által időről időre használt további azonosítók).
A hozzájárulás kezeléséhez a weboldal süti-kezelő felületet (banner / beállítások) jelenít meg, és a Google Consent Mode jelzéseivel igazítja a Google címkék viselkedését az Ön választásához. Hozzájárulás hiányában az analitikai sütik nem aktiválódnak; a Google legfeljebb korlátozott, süti nélküli / modellezett mérést végezhet a Consent Mode beállításaitól függően.
A Google Analytics beállításainál az Adatkezelő törekszik a magánszféra-barát opciók alkalmazására (például IP-rövidítés / Google által biztosított adatvédelmi beállítások, ahol elérhetők). A Google Analytics nem kerül összekapcsolásra olyan hirdetési funkciókkal, amelyekhez Ön nem járult hozzá.
15.3. Marketing / hirdetésmérési sütik (Meta Pixel)
A Meta (Facebook) Pixel a weboldal látogatóinak mérésére és a Facebook-hirdetések teljesítményének követésére szolgál (pl. oldalmegtekintés, ajánlatkérés / lead esemény). Ezek a sütik / technológiák csak az Ön előzetes hozzájárulásával aktiválódnak (süti-banner „Elfogadás”, vagy a beállításokban engedélyezett analitikai/marketing sütik).
Adatkezelő: Meta Platforms Ireland Limited (Meta). További információ: Meta adatvédelmi szabályzat.
15.4. Google Search Console
A Google Search Console nem helyez el a látogató böngészőjében a weboldalunkon keresztül saját analitikai sütit. A szolgáltatás a Google keresési rendszereiben keletkező, a webhelyünkre vonatkozó teljesítményadatokat jeleníti meg az Adatkezelő számára.
15.5. Hozzájárulás kezelése és visszavonása
- a weboldalon megjelenő süti-bannerben / süti-beállításokban bármikor módosíthatja választását;
- böngészőjében törölheti a már elhelyezett sütiket, illetve korlátozhatja azok használatát;
- a Meta hirdetésméréséről további információ: Meta adatvédelmi szabályzat.
Mellékletek
(A mellékletek az adatfeldolgozó közreműködésével válnak elérhetővé.)
- Az adatfeldolgozók nyilvántartása
- Személyes adatok kezeléséhez hozzájáruló nyilatkozat
- Direkt marketing célú adatkezeléshez hozzájáruló nyilatkozat
- Adatkezelési tájékoztató szerződéses adatkezelés esetén
- Tájékoztatás elektronikus megfigyelőrendszer alkalmazásáról
- Adatfeldolgozási szerződés
- Weboldal adatkezelési tájékoztató / Munkahelyi adatkezelési tájékoztató
- Titoktartási nyilatkozat / Adatvédelmi klauzula munkaszerződéshez
- Munkaviszonnyal, direkt marketinggel, regisztrációval/hírlevéllel, ügyféladatokkal kapcsolatos nyilvántartások
- Adatvédelmi incidensek nyilvántartása és bejelentés
- Nyilvántartás az érintett hozzáférési jogával kapcsolatos intézkedésekről