Adatvédelmi tájékoztató

1. Bevezetés

A Platform a teljes európai uniós piacon érhető el. A személyes adatok kezelése a magyar jog és az EU GDPR előírásai szerint történik; a vezető (egyablakos ügyintézés szerinti) felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH). Az Európai Unió bármely tagállamában lakó érintettek a saját tagállami felügyeleti hatóságukhoz, illetve bíróságukhoz is fordulhatnak.

A Platform két fő felhasználói kört szolgál ki: a kérdezőket (akik tanácsadást vásárolnak) és a tanácsadókat (akik tanácsadási szolgáltatást nyújtanak). Kérjük, hogy a Platform használata előtt figyelmesen olvassa el jelen Tájékoztatót, amely részletesen leírja, hogy milyen személyes adatokat, milyen célból, milyen jogalapon és mennyi ideig kezelünk, valamint hogy Önt milyen jogok illetik meg.

2. Az adatkezelő adatai

3. A kezelt személyes adatok köre

A Platform működése során az alábbi személyes adatkategóriákat kezeljük. Az adatok megadása a regisztrációhoz és a szolgáltatás igénybevételéhez szükséges; egyes adatok megadása nélkül a Platform bizonyos funkciói nem vehetők igénybe.

3.1 Regisztrációs és fiókadatok

• Név és megjelenített név
• E-mail cím
• Telefonszám (opcionális, SMS-értesítésekhez)
• Születési év
• Felület nyelve és profilkép
• Jelszó (kizárólag Argon2id algoritmussal titkosított, visszafejthetetlen formában tárolva)
• Bejelentkezési mód (jelszó, Google- vagy Apple-fiók), és külső azonosító (Google- vagy Apple-azonosító) közösségi bejelentkezés esetén
• Kétlépcsős hitelesítés állapota és tartalék kódok (titkosítva), bejelentkezés-biztonsági adatok (sikertelen bejelentkezési kísérletek, zárolási állapot)

3.2 Tanácsadói profil- és pénzügyi adatok

• Tanácsadói megnevezés, bemutatkozó szöveg, ország, tanácsadási nyelvek és szakmai tapasztalat
• Profil- és galériaképek
• Számlázási adatok: cégnév, ország, város, irányítószám, cím, adószám és EU-s közösségi adószám
• Banki adatok kifizetéshez: számlatulajdonos neve, bank neve és IBAN (az IBAN AES-256-GCM titkosítással tárolva, megjelenítéskor maszkolva)
• Stripe Connect fiókazonosító és kifizetési beállítások
• Tanácsadói kredit-egyenleg (a tanácsadó a Platformtól vásárolt kreditekkel teszi elérhetővé vagy bővíti a foglalási idősávjait)

3.3 Tranzakciós és szolgáltatási adatok

• Foglalási és időpont-adatok (foglalt idősáv, állapot, fizetési határidő)
• Fizetési adatok: tranzakció összege (EUR pénznemben), állapota és azonosítója; a kérdező közvetlenül a tanácsadónak fizet a Stripe rendszerén keresztül, a teljes kártyaadat-kezelést a Stripe végzi
• Banki átutalásos fizetés esetén az átutalás referenciakódja és a kapcsolódó adatok
• Számlázási adatok és kiállított számlák (adószám, cím, címzett e-mail cím)
• A kérdező és a tanácsadó közötti üzenetek
• Online konzultáció kapcsolódási adatai (terem-azonosító, csatlakozási link)
• Értékelések, vélemények és azokra adott válaszok
• Panaszok, viták (dispute) és bejelentések adatai

3.4 Technikai adatok

• A Platform a böngészőben helyi tárolóban (localStorage) tárolja a hitelesítési tokeneket (access token, refresh token), valamint a nyelvi és témabeállítást
• A nyelvi (locale) és a téma- (theme-mode) beállítást sütiben (cookie) is tároljuk a megfelelő felület megjelenítéséhez
• A süti-hozzájárulási beállítás a böngésző helyi tárolójában tárolódik (cookieConsent)
• Fizetés és banki átutalás során az adatok átmenetileg a böngésző munkamenet-tárolójában (sessionStorage) tárolódnak, és kiolvasás után törlődnek
• Utolsó aktivitás időpontja, fiók létrehozásának és módosításának időpontja
• A Platform nem használ analitikai (Google Analytics, Matomo stb.) vagy marketing (Facebook Pixel, hirdetési) sütiket vagy nyomkövető szkripteket

4. Az adatkezelés céljai

A személyes adatokat az alábbi, meghatározott és jogszerű célokból kezeljük. Az adatkezelés célja minden esetben megfelelő és releváns, és csak a szükséges mértékre korlátozódik.

• Fiók létrehozása és kezelése: a regisztráció, a bejelentkezés és a felhasználói fiók működtetése.
• Azonosítás és kapcsolattartás: a felhasználók azonosítása és a velük való kapcsolattartás a szolgáltatással összefüggésben.
• A tanácsadási szolgáltatás nyújtása: időpontfoglalás, online konzultáció lebonyolítása, üzenetváltás, valamint az értékelési rendszer működtetése.
• Fizetések és kifizetések kezelése: a kérdező tanácsadónak történő fizetésének, a tanácsadói kredit megvásárlásának, a tanácsadói kifizetéseknek (payout) és a visszatérítéseknek a feldolgozása, EUR pénznemben, a Stripe közreműködésével.
• Számlázás és könyvelés: elektronikus számla kiállítása és a jogszabályi számviteli kötelezettségek teljesítése.
• Biztonság és visszaélés-megelőzés: a Platform és a felhasználók védelme, csalás és visszaélés megelőzése, a tanácsadói profilok automatizált tartalom-ellenőrzése.
• Jogi kötelezettségek teljesítése: jogszabályi előírásokon alapuló nyilvántartási, számviteli és hatósági kötelezettségek teljesítése.
• Panaszkezelés és viták rendezése: a felhasználói panaszok, viták és bejelentések kezelése.

5. Az adatkezelés jogalapjai

A személyes adatok kezelése a GDPR 6. cikke szerinti alábbi jogalapokon történik. Minden adatkezeléshez a célnak megfelelő jogalap tartozik.

• Hozzájárulás (GDPR 6. cikk (1) a)): a regisztráció és a nem feltétlenül szükséges sütik használata az Ön önkéntes, kifejezett hozzájárulásán alapul. A hozzájárulás bármikor visszavonható, ez azonban nem érinti a visszavonás előtti adatkezelés jogszerűségét.
• Szerződés teljesítése (GDPR 6. cikk (1) b)): a tanácsadási szolgáltatás nyújtásához, a foglalás, a fizetés és a kifizetés lebonyolításához kapcsolódó adatkezelés a felhasználóval kötött szerződés teljesítéséhez szükséges.
• Jogi kötelezettség teljesítése (GDPR 6. cikk (1) c)): a számlázási és számviteli adatok kezelése jogszabályi kötelezettségen alapul.
• Jogos érdek (GDPR 6. cikk (1) f)): a Platform biztonságának fenntartása, a csalás és visszaélés megelőzése, valamint a hálózati és informatikai biztonság garantálása az adatkezelő jogos érdekén alapul. Az Ön jogai és szabadságai elsőbbséget élveznek, ha azokat az adatkezelés indokolatlanul korlátozná.

6. Adattovábbítás és adatfeldolgozók

A személyes adatokat harmadik feleknek kizárólag a szolgáltatás nyújtásához szükséges mértékben, adatfeldolgozói szerződés keretében adjuk át. Az alábbi adatfeldolgozókat vesszük igénybe, kizárólag az adott célhoz szükséges adatok körében:

• Stripe (fizetés és kifizetés): a kártyás fizetések, a Stripe Connect tanácsadói számlák, a kifizetések és a visszatérítések feldolgozása. A Stripe a fizetés során a vásárló e-mail címét és a tranzakciós adatokat kezeli; a teljes kártyaadat-kezelés a Stripe oldalán történik.
• MongoDB Atlas (adatbázis): a Platform teljes adatbázisának (fiókok, profilok, üzenetek, számlák stb.) tárolása és üzemeltetése.
• Amazon Web Services (AWS S3) – fájltárolás: a profil- és galériaképek, valamint a feltöltött PDF-dokumentumok tárolása.
• Billingo (számlázás): elektronikus számlák kiállítása; a számlázáshoz szükséges partner- és számladatok kezelése.
• Twilio (SMS): ha az SMS-értesítés engedélyezett, a telefonszámra küldött SMS-értesítések kézbesítése.
• AI-szolgáltató (Mistral) – profil-validáció: a tanácsadói profil nevének, bemutatkozó szövegének és profilképének automatizált ellenőrzése (tiltott tartalom és kontaktinformáció kiszűrése).
• Google (bejelentkezés): Google-fiókkal történő bejelentkezés esetén a Google-azonosító, valamint a tokenből származó e-mail cím és név kezelése.
• Apple (bejelentkezés): Apple-fiókkal történő bejelentkezés esetén az Apple-azonosító kezelése.
• VIES (EU adószám-ellenőrzés): az EU-s közösségi adószámok érvényességének ellenőrzése az Európai Bizottság VIES szolgáltatásán keresztül.

Egyes adatfeldolgozók az EGT-n kívül is kezelhetnek adatot: a Stripe, az AWS és a Google (Egyesült Államok) az EU–USA adatvédelmi keret (Data Privacy Framework), illetve ennek hiányában az Európai Bizottság által elfogadott általános szerződési feltételek (SCC) alapján. Ezek a garanciák biztosítják, hogy az Ön adatai az EU-ban garantálttal lényegében egyenértékű védelmet élvezzenek.

7. Az adatok megőrzési ideje

A személyes adatokat csak a cél eléréséhez szükséges ideig, illetve a jogszabályban előírt időtartamig őrizzük meg. A tényleges megőrzési idők az alábbiak:

• Bejelentkezési munkamenetek (refresh token): 7 nap.
• Kétlépcsős hitelesítési és e-mail-megerősítési kódok: 15 perc.
• Jelszó-visszaállító tokenek: 30 perc.
• Hozzáférési (access) token: 15 perc; a függőben lévő regisztrációhoz tartozó titkosított token: 15 perc.
• Számlázási és számviteli adatok: a jogszabályban előírt megőrzési ideig, amely a számlák esetében jellemzően 8 év.
• Felhasználói fiók adatai: a fiók törléséig (anonimizálásáig); a fiók törlésekor az azonosító adatok (e-mail, név) anonimizálásra kerülnek és a fiók deaktiválódik.
• Tanácsadói profil törlése: a törlést követően a profil legfeljebb 1 évig megőrzésre kerül (jogi és elszámolási okból), majd véglegesen, fizikailag törlésre kerül.
• A hozzájáruláson alapuló adatkezelés a hozzájárulás visszavonásáig tart, kivéve, ha más jogalap (pl. jogi kötelezettség) a további megőrzést indokolja.
• A számladokumentumok (beleértve a kedvezményezett nevét, e-mail-címét és postacímét) a teljes 8 éves törvényi megőrzési időszakra megőrzésre kerülnek, és törlési kérelem esetén sem törölhetők a GDPR 17. cikk (3) bekezdés b) pontja alapján.
• Alkalmazáson belüli értesítések: a létrehozásukat követő 90 nap után automatikusan és véglegesen törlődnek, függetlenül attól, hogy elolvasták-e azokat.
• Privát üzenetek: a fiók törlésekor az adott fiók által küldött üzenetek tartalmát visszafordíthatatlanul anonimizáljuk; a beszélgetés-előzmény egyébként a másik fél számára elérhető marad, amíg ő nem törli, vagy a saját fiókja törléséig. A mindkét fél által törölt üzeneteket a kölcsönös törlést követő 30 nap után véglegesen, fizikailag eltávolítjuk.
• Biztonsági és audit naplók: a jogi megfelelés és igényérvényesítés céljából irányadó, jogszabályban előírt megőrzési ideig (jellemzően 8 év) megőrizzük.

8. Az érintettek jogai

A GDPR alapján Önt az alábbi jogok illetik meg személyes adatai kezelésével kapcsolatban. Kérelmét indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított 1 hónapon belül teljesítjük (a kérelem összetettsége esetén ez a határidő két további hónappal meghosszabbítható).

• Hozzáféréshez való jog: tájékoztatást kérhet arról, hogy kezeljük-e a személyes adatait, és ha igen, hozzáférhet azokhoz, valamint a kezelésükre vonatkozó információkhoz.
• Helyesbítéshez való jog: kérheti a pontatlan személyes adatainak helyesbítését, illetve a hiányos adatok kiegészítését.
• Törléshez való jog („az elfeledtetéshez való jog”): kérheti személyes adatainak törlését, ha az adatkezelés célja megszűnt, vagy ha visszavonta a hozzájárulását, és nincs más jogalap az adatkezelésre.
• Az adatkezelés korlátozásához való jog: meghatározott esetekben kérheti az adatkezelés korlátozását (zárolását).
• Tiltakozáshoz való jog: tiltakozhat a jogos érdeken alapuló adatkezelés ellen, valamint bármikor, díjmentesen a közvetlen üzletszerzés célú adatkezelés ellen.
• Adathordozhatósághoz való jog: kérheti, hogy az Ön által rendelkezésünkre bocsátott adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, illetve más adatkezelőhöz továbbítsa.
• Automatizált döntéshozatallal és profilalkotással kapcsolatos jog: joga van ahhoz, hogy ne terjedjen ki Önre olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, amely Önre nézve joghatással járna vagy hasonló módon jelentősen érintené.
• A hozzájárulás visszavonásához való jog: a hozzájáruláson alapuló adatkezeléshez adott hozzájárulását bármikor visszavonhatja; a visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.

Jogai gyakorlásához, illetve bármely adatvédelmi kérdésben az adatkezelő a privacy@alladviser.eu e-mail címen érhető el. A személyes adatok módosítása vagy törlése a Platform beállításaiban is kezdeményezhető.

9. Adatbiztonság

A személyes adatok védelme érdekében megfelelő technikai és szervezési intézkedéseket alkalmazunk, amelyek biztosítják az adatok megfelelő szintű biztonságát a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisülés, valamint a véletlen elvesztés és sérülés ellen.

• Titkosított (TLS/HTTPS) adatátvitel a Platform és a felhasználók között.
• A jelszavak kizárólag Argon2id algoritmussal, visszafejthetetlen formában tárolva.
• Kétlépcsős hitelesítés (2FA) lehetősége a fiókok védelmére.
• A banki IBAN-adatok AES-256-GCM titkosítással tárolva, megjelenítéskor maszkolva.
• Hozzáférés-korlátozás: a személyes adatokhoz csak a feladatuk ellátásához szükséges, arra jogosult személyek férhetnek hozzá.
• Bejelentkezés-biztonsági intézkedések: sikertelen bejelentkezési kísérletek korlátozása és fiókzárolás visszaélés esetén.
• Adatvédelmi incidens esetén az adatkezelő – amennyiben az incidens valószínűsíthetően kockázattal jár a természetes személyek jogaira nézve – indokolatlan késedelem nélkül, legkésőbb 72 órán belül bejelentést tesz a felügyeleti hatóságnak (NAIH), és szükség esetén az érintetteket is tájékoztatja.

10. Sütik (cookie-k)

A Platform a működéséhez feltétlenül szükséges sütiket és helyi tárolót használ (a felület nyelvének és témájának megjegyzéséhez, valamint a bejelentkezett állapot fenntartásához). A Platform nem használ analitikai vagy marketing célú sütiket, sem nyomkövető szkripteket. Egyes funkciók (pl. a Google- és Apple-bejelentkezés, valamint a Stripe-fizetés) harmadik felek esszenciális sütijeit állíthatják be a működésükhöz. A sütik használatáról és kezeléséről részletes tájékoztatást a Süti-tájékoztatóban talál.

11. Gyermekek adatainak védelme

A Platform információs társadalommal összefüggő szolgáltatás. A 16. életévét be nem töltött gyermek esetében a személyes adatok kezelése csak akkor és olyan mértékben jogszerű, ha a hozzájárulást a gyermek feletti szülői felügyeletet gyakorló adta meg, illetve engedélyezte. Az egyes uniós tagállamok ezt a korhatárt 13 és 16 év között eltérően is megállapíthatják; a vonatkozó tagállami szabályozás az irányadó. A Platform tudatosan nem gyűjt 16. életévét be nem töltött gyermekektől személyes adatot megfelelő szülői hozzájárulás nélkül.

12. A Tájékoztató módosítása

Az adatkezelő fenntartja a jogot, hogy jelen Tájékoztatót bármikor módosítsa, különösen jogszabályváltozás vagy a szolgáltatás változása esetén. A módosított Tájékoztató a Platformon való közzétételével lép hatályba. A lényeges változásokról a felhasználókat megfelelő módon tájékoztatjuk. Kérjük, rendszeresen tekintse át a Tájékoztató aktuális verzióját.

13. Jogorvoslat és panasztétel

Amennyiben úgy ítéli meg, hogy személyes adatainak kezelése sérti a jogszabályi előírásokat, jogosult panaszt tenni a felügyeleti hatóságnál. A vezető (egyablakos ügyintézés szerinti) felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH). Az Európai Unió bármely tagállamában lakó érintett ugyanakkor a saját szokásos tartózkodási helye, munkahelye vagy a feltételezett jogsértés helye szerinti tagállam felügyeleti hatóságához is fordulhat, valamint bírósági jogorvoslattal is élhet.

14. Kapcsolat

Adatvédelmi kérdéseivel, kérelmeivel vagy panaszaival az alábbi elérhetőségeken kereshet minket:

• Adatkezelő: Horváth Tibor György e.v.
• Székhely: 1123 Budapest, Táltos u. 14. 1. emelet 2.
• Adatvédelmi e-mail: privacy@alladviser.eu
• Általános ügyfélszolgálat: info@alladviser.eu
• Adatvédelmi kapcsolattartó: privacy@alladviser.eu
• Telefon: +36 30 744 0290