Adatkezelési szabályzat (Adatvédelmi nyilatkozat)
Verzió: 3.0 · Hatályos: 2026. október 4-től · Az alkalmazásra, a vibelify.app weboldalra, a szervezői felületre és a Staff alkalmazásra egyaránt vonatkozik
1. Az adatkezelő és a jogszabályi háttér
- Adatkezelő: DEMO PLACEHOLDER Kft., székhely: 0000 Demo város, Placeholder utca 0., cégjegyzékszám: 00-00-000000 (demo placeholder), adószám: 00000000-0-00 (demo placeholder), e-mail és adatvédelmi megkeresések: [email protected].
- Jogszabályok: az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.), az elektronikus kereskedelmi szolgáltatásokról szóló 2001. évi CVIII. törvény, a gazdasági reklámtevékenységről szóló 2008. évi XLVIII. törvény és a számvitelről szóló 2000. évi C. törvény.
Az Adatkezelő a személyes adatokat bizalmasan, célhoz kötötten, csak a cél eléréséhez szükséges mértékben és ideig kezeli, és megteszi a biztonságukhoz szükséges technikai és szervezési intézkedéseket. Az adatok felvétele előtt tájékoztatjuk az érintettet a cél, a jogalap és a kezelés időtartama felől; ahol az adatszolgáltatás nem kötelező, ezt jelezzük, és a megtagadásáért nem alkalmazunk hátrányt. A jegyvásárláskor a Szervező (az eladó) a számlázáshoz és a szerződés teljesítéséhez kapott adatokat önálló adatkezelőként kezeli.
Az Adatkezelő az adatokat nem adja el és marketing célra harmadik félnek nem adja át; automatizált döntéshozatalt vagy profilalkotást a Felhasználókkal szemben nem alkalmaz (a felhasználónév és csapatnév közzététel előtti listaalapú szűrésén és a Szervezők jegyértékesítésének automatikus jóváhagyásán kívül, amelyek emberi felülvizsgálatot kérhetnek).
2. Kezelt adatok, célok, jogalapok és megőrzési idők
Felhasználók (alkalmazás és weboldal fiók)
Ugyanaz a fiók használható az alkalmazásban és a weboldalon. Születési dátumot nem kérünk és nem tárolunk; a 16. életév betöltéséről a regisztrációval nyilatkozol. A korábbi appverziókban megadott születési dátumokat és képviselői nyilatkozatokat töröltük.
| Adat | Cél | Jogalap (GDPR 6. cikk) | Megőrzés |
|---|---|---|---|
| E-mail cím, felhasználónév, jelszó (bcrypt hash), megerősítő kód (hash) | Fiók létrehozása és azonosítása, értesítések, jelszó-visszaállítás, jegyek fiókhoz kötése | 6(1)(b) szerződés teljesítése | A fiók törléséig (meg nem erősített fiók 7 nap) |
| Apple-, Google-fiókazonosító | Bejelentkezés Apple-/Google-fiókkal | 6(1)(b) | A fiók törléséig |
| Profilkép, városnév, értesítési beállítások | Profil, helyi események, értesítések | 6(1)(b); a profilkép 6(1)(a) hozzájárulás | A fiók törléséig |
| Eszközazonosító, regisztrációkori IP-cím | Visszaélés-megelőzés, biztonsági naplózás | 6(1)(f) jogos érdek | A fiók törléséig |
| Jelentkezések, becsekkolások, megtekintések, értékelések, csapat- és tornaadatok, küldetés-haladás, alkalmazáson belüli értesítések | A funkciók működtetése, a Szervező összesített statisztikája (név nélkül), jutalmak beváltása | 6(1)(b); a megtekintések 6(1)(f) | A fiók törléséig; az események kezdés után 30 nappal törlődnek; az értesítésekből a legutóbbi 20 marad |
| Push értesítési token | Értesítések kézbesítése (emlékeztetők, csapatmeghívó, moderáció) | 6(1)(a) hozzájárulás (eszközszintű engedély) | Visszavonásig, a fiók törléséig |
| Munkamenet (app tokenek, hash; weboldalon süti) | Bejelentkezett állapot, kijelentkezés | 6(1)(b) | App: visszavonás után 7 nap; weboldal: 30 nap |
| Alkalmazás-megnyitások ideje | Összesített használati statisztika | 6(1)(f) | 90 nap |
| Bejelentések és moderációs intézkedések | Tartalommoderálás, DSA szerinti indokolás és bizonyítás | 6(1)(c), 6(1)(f) | Amíg a jogorvoslati és bizonyítási igény fennáll |
| Hiba- és összeomlásjelentések (hibaüzenet, eszköztípus, verzió) | Stabilitás, hibakeresés; az Üzemeltető saját szerverére kerül, a fiókhoz nem rendelődik | 6(1)(f) | 30 nap |
Jegyvásárlók
Jegyet fiókkal és fiók nélkül is lehet vásárolni. A Szervező a mi adatainkból a jegyértékesítéshez szükséges részt önálló adatkezelőként megkapja.
| Adat | Cél | Jogalap (GDPR 6. cikk) | Megőrzés |
|---|---|---|---|
| Név, e-mail cím, telefonszám (ha megadod) | A rendelés teljesítése, a jegyek kézbesítése, kapcsolattartás a rendelés ügyében | 6(1)(b) | 8 év (számviteli megőrzés) |
| Számlázási adatok (név vagy cégnév, cím, cég esetén adószám) | Számla kiállítása a Szervező számlázóján keresztül | 6(1)(c) jogi kötelezettség | 8 év |
| Rendelés- és jegyadatok, fizetési azonosító és állapot (kártyaadatot nem kapunk), kuponkód, beolvasás ideje | Jegykiállítás, beléptetés, visszatérítés, elszámolás a Szervezővel | 6(1)(b), 6(1)(c) | 8 év |
| Fiókod azonosítója a rendelésen, a feltételek tudomásulvételének ideje és verziója | A jegyek megjelenítése a fiókban; annak igazolása, mit fogadtál el | 6(1)(b), 6(1)(f) | 8 év; fiók törlésekor a rendelés a fiókról leválik |
| Visszatérítési és lemondási kérelmek, vitatott fizetések, e-mail cím javítási kérelem (név, helyes és hibás cím, IP-cím) | Kérelmek elbírálása, csalás megelőzése, jegy kézbesítése a jogos vevőnek (automatikus javítás nincs, munkatárs hagyja jóvá) | 6(1)(b), 6(1)(f) | 8 év, illetve amíg a jogi igény érvényesíthető |
Szervezők, értékesítők és Staff-munkatársak
| Adat | Cél | Jogalap (GDPR 6. cikk) | Megőrzés |
|---|---|---|---|
| E-mail cím, név vagy szervezet neve, jelszó (hash), kétlépcsős azonosítás titkosított kulcsa, város, bemutatkozás, logó és borító, közösségi linkek, kapcsolattartó neve és telefonszáma | Szervezői fiók, nyilvános szervezői profil (a kapcsolattartó adatai nem nyilvánosak), kapcsolattartás, értesítések | 6(1)(b); a közösségi linkek 6(1)(a) | A fiók törléséig |
| Eladói adatok (név vagy cégnév, cím, adószám, cégjegyzékszám, kapcsolattartó e-mail) | A jegyértékesítés feltétele, az eladó azonosítása a vevők felé (DSA 30. cikk), számlázás, a jóváhagyás ellenőrzése, a Szervezői szerződés | 6(1)(b), 6(1)(c) | A fiók törléséig; a bizonylatokhoz kötött adat 8 évig |
| Barion POS kulcs, számlázó (Billingo, Számlázz.hu) kulcs, Cooltix API-kulcs (mind AES-256-GCM titkosítással tárolva) | Fizetés indítása és lezárása, számlák kiállítása, Cooltix-kimutatás a Szervező nevében | 6(1)(b) | Az összekötés megszüntetéséig vagy a fiók törléséig |
| A Szervezői szerződés és az ÁSZF elfogadásának naplója (verzió, idő, mód, IP, az adatok pillanatképe); az ellenőrzés eredménye | Annak igazolása, mit és mikor fogadott el a Szervező; a hibás adatok követése | 6(1)(c), 6(1)(f) | A jogviszony megszűnése után a követelések elévüléséig |
| Jegyeladási tételek és kimutatások; belépési naplók, műveleti napló (IP, böngészőazonosító) | Bevételi kimutatás, elszámolás, biztonság, vitás műveletek visszavezetése | 6(1)(b), 6(1)(f) | Amíg a cél fennáll; a számviteli adat 8 évig |
| Értékesítő/Staff: név, e-mail, jelszó (hash), meghívókód (hash), jutalék-beállítás, eladási és beolvasási napló | A Staff alkalmazás működtetése, a Szervező nyilvántartása (csak a saját embereit látja) | 6(1)(b), 6(1)(f) | A fiók törléséig, a rendeléshez kötött napló a rendelés megőrzési idejéig |
| Ismert belépési eszközök: böngésző és operációs rendszer családja, ország, az utolsó belépés IP-címe és ideje | Az új eszközről történő belépés megerősítése e-mailben (a megerősítő link 30 percig érvényes), a fiók védelme | 6(1)(f) jogos érdek | Legfeljebb 30 eszköz fiókonként; a fiók törléséig |
| Szervezet tagjai és meghívottak: név, e-mail cím, szerepkör; az e-mail cím megerősítő kódja (hash, 30 percig érvényes) | A szervezet kezelése, a tagok hozzáférésének szabályozása, az e-mail cím megerősítése | 6(1)(b) | A fiók törléséig |
| Megkeresési nyilvántartás: hogyan jutott el hozzánk a Szervező (marketinges hivatkozás, a regisztrációkor megadott ajánló), a megkeresés állapota és időpontja, belső jegyzet, a szerződéskötés ideje | A Szervezők megkeresése, a szerződéskötés követése, a marketingesek jutalékának elszámolása | 6(1)(f) jogos érdek | A szervezői fiók törléséig; a jutalék elszámolásához szükséges adat 8 évig |
| Marketinges: név, e-mail cím, telefonszám (ha megadták), egyedi kód, a hozott szervezők forgalmából járó jutalék elszámolása | A marketingesi együttműködés teljesítése, a jutalék kifizetése | 6(1)(b), 6(1)(c) | A szerződés megszűnése után a számviteli megőrzési időig (8 év) |
A Szervező nyilvános adatai (név, város, bemutatkozás, logó, közösségi linkek) az alkalmazásban és a nyilvános eseményoldalakon megjelennek; a jegyvásárlási oldalon az eladó azonosító adatai is láthatók. A felhasználók e-mail címe, helye, jelentkezései, becsekkolásai és vásárlásai más felhasználónak és a Szervezőnek (név szerint) nem látszanak; a Szervező csak összesített számokat lát, kivéve a tornára nevezett csapatok tagjainak nevét és a jutalom beváltójának felhasználónevét.
3. Helyadatok, galéria, értesítések
- Helyadat (csak az alkalmazás, önkéntes engedéllyel): előtérben a koordináták a készüléken maradnak (város felismerése, saját pozíció a térképen). Háttérben csak az automatikus becsekkoláshoz használjuk: ha egy aktív esemény helyszínének 250 méteres körzetébe érsz, az app becsekkolást kezdeményez, amit a szerver 200 méteren belül a kezdés előtti 2 és utáni 5 órás ablakban fogad el; a szerver a becsekkolás tényét és idejét rögzíti, a koordinátát nem. Útvonalat, mozgási előzményt nem tárolunk, a helyzetedet másokkal nem osztjuk meg, hirdetési célra nem használjuk. Az engedély az eszköz beállításaiban bármikor visszavonható. A térkép a 7 napi becsekkolásokból rácsba összesített, személyhez nem köthető forgalmi pontokat mutat.
- Galéria: a képeket kizárólag a Szervező tölti fel (WebP-re újrakódolva, metaadatok nélkül), a Cloudflare R2 tárhelyen tárolódnak, 30 nap után automatikusan és véglegesen törlődnek. A rólad készült, azonosítható kép eltávolítását az Alkalmazás bejelentő funkciójával vagy a [email protected] címen kérheted (GDPR 17. cikk, Ptk. 2:48. §); a bejelentést emberi felülvizsgálattal bíráljuk el. A képek feltöltéséről a Szervező dönt és a képen szereplőkért felel; az Üzemeltető jogalapja a 6(1)(f) jogos érdek, tiltakozás vagy bejelentés esetén a képet eltávolítjuk.
- Értesítések: push értesítést csak az eszközszintű engedéllyel küldünk (esemény-emlékeztető 24 és 1 órával a kezdés előtt, pénteki hétvégi előnézet, új esemény a városodban vagy a követett szervezőtől, csapatmeghívó, küldetés, galéria, moderáció). Az emlékeztetők és a városi értesítések az Alkalmazás beállításaiban külön kikapcsolhatók. Reklám- vagy hírlevél jellegű push üzenetet nem küldünk. A jegyvásárláshoz kapcsolódó rendszerüzenetek e-mailben érkeznek; ezek a szerződés teljesítéséhez tartoznak.
4. Sütik és technikai adatok
A mobilalkalmazás nem használ sütit, a bejelentkezési tokent a készülék biztonságos tárolójában őrzi. A weboldal csak a működéshez szükséges adatokat tárolja: a vevői fiók munkamenet-sütijét (user_token, httpOnly, 30 nap), a szervezői munkamenet-sütit (org_token, httpOnly, 24 óra), a nyelvi beállítás sütijét (vibelify_lang, 1 év) és egy bejelentkezési jelzést a böngésző helyi tárolójában (nem tartalmaz személyes adatot). Ezek a szolgáltatás nyújtásához feltétlenül szükségesek, hozzájárulást nem igényelnek. Google Analytics: a látogatottság méréséhez a nyilvános oldalakon (vibelify.app, center.vibelify.app, organizer.vibelify.app) Google Analytics 4-et használunk, kizárólag a hozzájárulásoddal. Amíg a süti-sávban nem fogadod el, a Google kódja be sem töltődik, és semmi nem megy a Google felé. Elfogadás után az oldalmegtekintésekről (oldal címe és útvonala, eszköz- és böngészőadatok, becsült hely, a Google által beállított _ga sütik) kapunk összesített statisztikát; a hirdetési funkciókat kikapcsoltuk, a lekérdezés-paramétereket (például e-mail cím) és a rendelések azonosítóit nem küldjük el. A döntésed a vibelify_consent sütiben (1 év) tárolódik, a lábléc „Süti-beállítások” hivatkozásával bármikor megváltoztatható; az elutasítással a már beállított _ga sütiket töröljük. Jogalap: 6(1)(a) hozzájárulás; megőrzés: a Google Analytics beállítása szerint (14 hónap). A szervezői panelen, az adminisztrációs felületeken és a beágyazott jegyvásárlón nem mérünk. Emellett a látogatottságot a Cloudflare Web Analytics is méri süti és egyedi azonosító nélkül, összesítve. A jegylink-kattintást naponta egyszer, az IP-címből és böngészőazonosítóból képzett, naponta elévülő, visszafejthetetlen lenyomattal mérjük (6(1)(f), a nyers IP-t nem tároljuk). A weboldal és az API forgalma a Cloudflare hálózatán halad át, amely biztonsági célból kezeli az IP-címet. A forgalmi és biztonsági naplókat (kérésszám, gyanús IP-k percenkénti összesítése) 7 napig, a lezárt riasztásokat 180 napig őrizzük.
5. Adattovábbítás és adatfeldolgozók
Személyes adatot hatóságnak vagy bíróságnak csak jogszabályon alapuló, kötelező megkeresésre, a megkeresésben megjelölt körben adunk ki. A szolgáltatás igénybevételével adataid a jegyvásárláskor a Szervezőhöz is eljutnak (lásd fent). Az alábbi szolgáltatókat vesszük igénybe:
| Szolgáltató | Cél | Székhely |
|---|---|---|
| Barion Payment Zrt. | Kártyás fizetés, a pénz zárolása az esemény végéig, kifizetés és visszatérítés; a kártyaadatot kizárólag a Barion kezeli | Magyarország (EU) |
| Billingo Technologies Zrt., KBOSS.hu Kft. (Számlázz.hu) | A Szervező által bekötött számlázó: a számlához a vevő neve, e-mail címe és számlázási adatai kerülnek hozzájuk | Magyarország (EU) |
| Brevo (Sendinblue) | Tranzakciós e-mailek: megerősítő és jelszó-visszaállító levelek, rendelés-visszaigazolás és jegyek, lemondási értesítések, szervezői levelek | Franciaország (EU) |
| Google LLC (Google Analytics) | Látogatottság-mérés, csak a süti-hozzájárulás után töltődik be | USA (SCC) |
| Cloudflare, Inc. | CDN és tűzfal, R2 képtárhely, Turnstile robotvédelem, süti nélküli Web Analytics | USA (SCC) |
| Expo (Expo Push) | Push értesítések kézbesítése | USA (SCC) |
| Mapbox, Inc. | Az alkalmazás térképe (a térképszelvények letöltésekor a készülék IP-címe és a megjelenített terület a szolgáltatóhoz kerül) | USA (SCC) |
| Apple Inc., Google LLC | Bejelentkezés Apple-/Google-fiókkal az alkalmazásban és a weboldalon | USA (SCC) |
| Sentry (Functional Software, Inc.) | Szerveroldali hibák naplózása (személyes adat automatikus küldése kikapcsolva); a mobilalkalmazás összeomlásai nem ide kerülnek | USA (SCC) |
| OpenStreetMap Foundation (Nominatim) | Címkeresés a szervezői felületen (az Üzemeltető szerverén keresztül, a szervező IP-címe nem jut el hozzájuk) | Egyesült Királyság / EGT |
| Cooltix | Külső jegyértékesítő; a Szervező hozzájárulásával a saját jegyeladási tételeit olvassuk be a kimutatáshoz, vásárlói személyes adat nem kerül át | Magyarország (EU) |
| Európai Bizottság VIES | A Szervező adószámának és nevének ellenőrzése az uniós áfa-nyilvántartásban | EU |
| Saját szerver (MySQL, Redis) | Az adatok elsődleges tárolása, kérésszámlálás (nem tárol tartós személyes adatot a Redis) | Magyarország (EU) |
Az EGT-n kívüli (USA) szolgáltatókhoz az adattovábbítás alapja az Európai Bizottság általános szerződési feltételei (SCC, 2021/914/EU), esetenként az EU-USA adatvédelmi keretrendszer. Az adatfeldolgozókat az adatkezelő szerződésben köti a GDPR szerinti garanciákra.
6. Adatbiztonság
Az Adatkezelő a személyes adatok kezelése során a lehető legnagyobb gondossággal jár el, és a technika állásához mért technikai és szervezési intézkedéseket alkalmaz: titkosított (HTTPS/TLS) kommunikáció; bcrypt-tel hash-elt jelszavak és kódok; rövid élettartamú, visszavonható hozzáférési tokenek; httpOnly, Secure, SameSite=strict sütik és CSRF-védelem; kérésszám-korlátozás és robotellenőrzés (Cloudflare Turnstile) a belépési, regisztrációs, jegyvásárlási és űrlapvégpontokon; tűzfallal védett adatbázis, a pénzügyi adatok külön adatbázisban; a Barion-, számlázó- és Cooltix-kulcsok titkosított tárolása; feltöltésnél fájltípus-ellenőrzés és újrakódolás; az adminisztrátori és szervezői műveletek naplózása, forgalmi és biztonsági figyelés automatikus riasztással és IP-tiltással. Az internet nem százszázalékosan biztonságos; az elvárható gondosság ellenére megvalósuló kivédhetetlen támadásokból eredő károkért az Adatkezelő nem felel. Adatvédelmi incidens esetén a GDPR 33. cikke szerint 72 órán belül értesítjük a NAIH-ot, magas kockázat esetén az érintetteket is haladéktalanul.
7. Az érintett jogai és a jogorvoslat
Az érintett kérheti a hozzáférést a kezelt adataihoz, a helyesbítést, a törlést („elfeledtetés"), a kezelés korlátozását, az adathordozhatóságot, tiltakozhat a jogos érdeken alapuló kezelés ellen, visszavonhatja a hozzájárulását, és kérheti az automatikus döntés (például a szervezők jóváhagyása) emberi felülvizsgálatát. Az Alkalmazásban a Beállítások, Adataim letöltése azonnal JSON-fájlt készít; a Fiók törlése azonnal és véglegesen törli az adataidat (a jogszabály által megőrzésre kötelezett számviteli adatok kivételével). Egyéb kérelmet a [email protected] címre kell küldeni; az Adatkezelő 30 napon belül (indokolt esetben legfeljebb 90 napon belül), ingyenesen teljesíti. Ha a kérelmet nem teljesítjük, a ténybeli és jogi indokokat 30 napon belül írásban közöljük. A jegyvásárlásnál a Szervezővel szemben is közvetlenül gyakorolhatod a jogaidat.
Jogsértés esetén panaszt tehetsz a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH, 1055 Budapest, Falk Miksa utca 9-11., naih.hu, [email protected]), vagy bírósághoz fordulhatsz; a per a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindítható. Az adatkezelő köteles megtéríteni az adatok jogellenes kezelésével vagy az adatbiztonsági követelmények megszegésével okozott kárt; az adatfeldolgozó által okozott kárért az érintettel szemben ő felel, kivéve, ha a kárt az adatkezelés körén kívül eső, elháríthatatlan ok okozta, vagy az a károsult szándékos vagy súlyosan gondatlan magatartásából ered.
8. Életkor és módosítás
A fiókot a 16. életévét betöltött személy használhatja; ennél fiatalabb a törvényes képviselő hozzájárulásával sem regisztrálhat. Ha tudomást szerzünk arról, hogy 16 év alatti személy regisztrált, a fiókot és a hozzá tartozó adatokat töröljük; törvényes képviselő a [email protected] címen jelezheti ezt. Az Adatkezelő jogosult a szabályzatot módosítani; a lényeges változásról legalább 15 nappal a hatálybalépés előtt az Alkalmazásban és/vagy e-mailben értesít. A hozzájáruláson alapuló kezelések külön hozzájárulási követelménye ettől függetlenül érvényes.
Kapcsolat: [email protected] · Vibelify, Magyarország
Lásd még: ÁSZF · ÁSZF Vásárlóknak · ÁSZF Szervezőknek · Impresszum