1. Az adatkezelő és az adatvédelmi kapcsolattartás

Teljes cégnév

Infinity Market Korlátolt Felelősségű Társaság

Rövid név

Infinity Market Kft. (a továbbiakban: Adatkezelő)

Székhely és levelezési cím

1061 Budapest, Jókai tér 10. 2. em. 1B.

Cégjegyzékszám

01-09-394158

Adószám

27546419-2-42

Képviselő

Deme György ügyvezető

Weboldal

possibilis.hu

Adatvédelmi és ügyfélszolgálati e-mail

info@possibilis.hu

Telefon

+36 20 580 3250

A webáruház látogatóinak, vásárlóinak és kapcsolattartóinak adataival kapcsolatos kérelmeket az Adatkezelőhöz kell címezni. A Webfy Creative ec. a webáruház technikai üzemeltetésében működik közre; nem ő a teák eladója, és a vásárlói adatok kereskedelmi céljairól nem ő dönt. A közreműködők szerepét a 14. fejezet részletezi.

Az adatvédelmi megkeresés tárgyában célszerű feltüntetni: „Adatvédelmi kérelem”. Ez azonban nem feltétele a kérelem érvényességének.

2. A tájékoztató hatálya, az adatok forrása és a jogalapok

Ez a tájékoztató a Possibilis webáruház használatával, a tea- és teakeverék-rendelésekkel, az online fizetéssel, a magyarországi kézbesítéssel, a számlázással, a kapcsolattartással, az elállással és a panaszkezeléssel összefüggő személyesadat-kezelést ismerteti. Az érintett lehet látogató, vásárló, csomagcímzett, fiókhasználó, értékelést küldő személy vagy szervezet természetes személy kapcsolattartója.

Személyes adat minden olyan információ, amely alapján egy természetes személy közvetlenül vagy közvetve azonosítható. Egy gazdasági társaság neve önmagában nem feltétlenül személyes adat, de a kapcsolattartó neve, személyhez kötődő munkahelyi e-mail-címe, valamint az egyéni vállalkozó adatai személyes adatnak minősülhetnek. A technikai azonosító vagy a kódolt adat sem feltétlenül anonim.

Az adatok forrása: az Ön által kitöltött rendelési vagy egyéb űrlap, az Ön levele és telefonos közlése; a böngésző által továbbított technikai információ; a fizetési szolgáltató és a bank tranzakciós visszajelzése; valamint a kézbesítő szállítási státusza és átvételi igazolása. Ha más személy az Ön számára rendel, vagy munkáltatója kapcsolattartóként jelöli meg, a nevet és a kapcsolattartási adatokat ettől a személytől vagy szervezettől kapjuk.

Nem közvetlen adatgyűjtésnél az Adatkezelő a GDPR 14. cikkének megfelelően, az alkalmazandó kivételekre figyelemmel nyújt tájékoztatást: legkésőbb egy hónapon belül, de ha ennél korábban kapcsolatba lép az érintettel, az első kapcsolatfelvételkor, illetve korábbi adattovábbítás esetén legkésőbb az első továbbításkor. A vásárlótól kérjük, hogy a megadott másik címzettet is tájékoztassa; ez nem váltja ki az Adatkezelő saját kötelezettségét.

A tájékoztató megismerése nem általános adatkezelési hozzájárulás. A rendelés teljesítéséhez szükséges adatkezelés a GDPR 6. cikk (1) bekezdés b) pontján, a számlázás és más kötelező feladat a c) pontján alapul. A szerződéssel nem érintett kapcsolattartás, a biztonság és az indokolt jogi igényvédelem jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek. Önkéntes közzétételnél, illetve a hozzájárulást igénylő követésnél a GDPR 6. cikk (1) bekezdés a) pontja alkalmazandó.

Jogos érdek alkalmazásakor az Adatkezelőnek vizsgálnia kell az adatkezelés szükségességét és arányosságát, valamint az érintett érdekeit és jogait. Az egyes céloknál megnevezett jogos érdekkel kapcsolatos érdekmérlegelés lényegéről az adatvédelmi kapcsolattartási címen kérhető tájékoztatás. A tiltakozás szabályait a 19. fejezet ismerteti.

3. Kosár, megrendelés és szerződéses kapcsolattartás

Cél: a kiválasztott termékek kosárban tartása, a megrendelés rögzítése, a szerződés létrehozása és teljesítése, a fizetés és a kézbesítés szervezése, a rendeléshez tartozó tájékoztatások megküldése, valamint a téves adatok javítása.

Kezelt adatok: vezetéknév és keresztnév; számlázási név és cím; szükség esetén cégnév és adószám; e-mail-cím; telefonszám; a szállítási címzett neve és címe vagy a kiválasztott csomagautomata; a termékek, kiszerelések, mennyiségek, árak és kedvezmények; a fizetési és szállítási mód; a rendelés azonosítója, időpontja, állapota és megjegyzése; a visszaigazolások, valamint az alkalmazott ÁSZF-változat elfogadásának igazolásához szükséges adatok. A rendszer a rendeléshez kapcsolódó IP-címet és böngészőazonosítót biztonsági és bizonyítási célból is kezelheti.

Jogalap: a természetes személy vásárlóval kötendő vagy megkötött szerződés teljesítése, GDPR 6. cikk (1) b). Szervezeti kapcsolattartó, másik csomagcímzett és biztonsági adat esetén az adott adatkezelés jogalapja jogos érdek, GDPR 6. cikk (1) f): a rendelés szabályos teljesítése, a jogosulttal való egyeztetés és a visszaélések megelőzése. A számviteli megőrzés ettől elkülönülő jogi kötelezettség.

Kötelező vagy önkéntes: a pénztár a szükséges adatokat jelöli. Név, megfelelő kapcsolattartási, számlázási és a választott kézbesítési módhoz szükséges adatok nélkül a rendelés nem teljesíthető. Az adószámot csak a számlázási szabályok szerinti esetben kell megadni; magánszemély vásárlótól adóazonosító jel megadása nem szükséges. A megjegyzés önkéntes: abban ne adjon meg bankkártyaadatot, személyazonosító okmányadatot vagy szükségtelen egészségügyi információt.

Megőrzés: a teljesítéshez a rendelés lezárásáig; ezt követően csak a szerződés és az elszámolás igazolásához szükséges adatokat őrizzük meg, az igény esedékességéhez igazodó, főszabály szerint ötéves elévülési időre, jogos érdek alapján. A számlának és a könyvelést alátámasztó iratnak minősülő adatokat a 7. fejezet szerint kezeljük. Nem kell minden technikai adatot, megjegyzést és kapcsolattartási adatot automatikusan öt vagy nyolc évig megőrizni.

A rendelés nélkül elhagyott kosár nem válik automatikusan marketinglistává. A véglegesen meghiúsult, pénzmozgással és konkrét jogvitával nem járó rendelés operatív adatait a meghiúsulás lezárásától számított legfeljebb 30 nap után töröljük vagy anonimizáljuk. Ez nem jelent a vásárlónak adott fizetési határidőt és nem határozza meg a szerződés megszüntetésének feltételeit.

Hozzáférés: a rendeléskezelésre feljogosított munkatársak és a szükséges technikai adatfeldolgozók; a választott fizetési és szállítási szolgáltató csak a saját feladatához szükséges adatokat kapja meg.

4. Regisztráció nélküli vásárlás és vásárlói fiók

A webáruházban regisztráció nélkül is lehet vásárolni. A rendelés teljesítése nem köthető marketingcélú fiókhoz vagy hírlevél-feliratkozáshoz.

Ha Ön a weboldalon külön felkínált fióklétrehozást választja, a fiókszolgáltatás célja a belépés, a címek és korábbi rendelések elérése, valamint az ismételt vásárlás egyszerűsítése. Ennek adatai a felhasználói azonosító, az e-mail-cím, a jelszó egyirányúan képzett ellenőrző értéke, a fiókhoz mentett nevek és címek, a rendelések kapcsolatai, valamint a belépés és a jelszóhelyreállítás technikai adatai. A jelszót nem szükséges és nem szabad az ügyfélszolgálatnak elküldeni.

Jogalap: az Ön által kért fiókszolgáltatás teljesítése, GDPR 6. cikk (1) b); a fiókbiztonságot szolgáló naplózásnál a jogosulatlan hozzáférés megelőzéséhez fűződő jogos érdek, GDPR 6. cikk (1) f).

Megőrzés: a fiók megszüntetéséig. A megszüntetés az adatvédelmi e-mail-címen kérhető. A fiók törlése nem érinti a rendelések, számlák vagy panaszok olyan elkülönített adatainak megőrzését, amelyekhez továbbra is jogi kötelezettség vagy igazolható jogos érdek kapcsolódik. A fiók létrehozása önmagában nem eredményez reklámküldést.

5. Kapcsolatfelvétel és általános ügyfélszolgálat

Cél: termékkel, készlettel, összetétellel, rendeléssel vagy a honlap használatával kapcsolatos kérdések megválaszolása, valamint a kapcsolódó egyeztetés.

Adatok: név, e-mail-cím vagy telefonszám, az üzenet tartalma és időpontja, az Ön által küldött mellékletek, illetve az ügy megoldásához szükséges rendelési adatok. Telefonos egyeztetésnél a szükséges ügyintézési feljegyzés is kezelhető. E tájékoztató nem szolgál telefonhívások hangrögzítésére vonatkozó tájékoztatásként; ilyen adatkezelés külön előzetes tájékoztatást igényel.

Jogalap: szerződéskötés előkészítése vagy szerződés teljesítése, GDPR 6. cikk (1) b), ha Ön vásárlóként vagy leendő vásárlóként érdeklődik. Más ügyben, illetve szervezeti kapcsolattartónál a megkeresés észszerű megválaszolásához és a kommunikáció visszakereshetőségéhez fűződő jogos érdek, GDPR 6. cikk (1) f).

Megőrzés: az általános, szerződéshez vagy panaszhoz nem kapcsolódó levelezést az ügy lezárásától számított legfeljebb egy évig kezeljük. A rendelést, panaszt, elállást vagy konkrét jogi igényt igazoló iratrészre az adott ügytípus megőrzési szabálya irányadó; ez nem indokolja a teljes postafiók korlátlan megőrzését.

Kapcsolatfelvételkor az adatok megadása önkéntes, de válaszcím vagy az ügy azonosításához szükséges információ hiányában nem mindig adható érdemi válasz. Az adatokhoz az ügyben eljáró munkatárs és a levelezés, illetve az űrlap működtetéséhez szükséges adatfeldolgozó férhet hozzá.

6. Fizetési adatkezelés: Barion és közvetlen banki átutalás

6.1. Barion bankkártyás fizetés

Cél: a fizetési művelet elindítása és azonosítása, a fizetés eredményének visszaigazolása, szükség esetén a visszatérítés és a fizetési reklamáció kezelése. A szolgáltató a Barion Payment Zrt.

A fizetési művelethez kapcsolódó adatkör: rendelési és fizetési azonosító, összeg, pénznem, időpont, fizető e-mail-címe, a fizetési kérelemben szereplő termékadatok és tételösszegek, valamint a fizetési vagy erős ügyfél-hitelesítési folyamatban szükséges számlázási, szállítási és technikai adatok. A tényleges adatátadás csak a kiválasztott fizetés teljesítéséhez és biztonságához szükséges körre terjedhet ki. Az Adatkezelő a fizetési státuszt, a tranzakciós hivatkozást és a visszatérítés adatait kapja vissza.

A teljes bankkártyaszámot, a biztonsági kódot és a banki hitelesítési adatokat a vásárló a fizetési szolgáltató vagy a bank felületén adja meg. Ezeket az Infinity Market Kft.-nek nem kell megadni. A fizetéshez szükséges adattovábbítás jogalapja a szerződés teljesítése, GDPR 6. cikk (1) b); a bizonylati adatok megőrzése jogi kötelezettség, az esetleges vitás fizetéshez szükséges bizonyítékok kezelése pedig jogos érdek.

A Barion a saját pénzforgalmi, csalásmegelőzési, azonosítási és jogszabályi feladatai tekintetében önálló adatkezelő. Nem minősül minden műveletében a webáruház adatfeldolgozójának. Saját adatkezelésének céljairól, adatköréről, megőrzési idejéről, címzettjeiről és az érintetti jogok gyakorlásáról a Barion adatkezelési tájékoztatója ad részletes tájékoztatást. A Barion Pixel nem azonos a fizetési művelet adattovábbításával; arról a 12. fejezet szól.

6.2. Közvetlen banki átutalás és visszautalás

Átutalásnál az Adatkezelő a banktól megismerheti az utaló nevét, az utaló bankszámlaszámát, az összeget, a közleményt, a jóváírás időpontját és az azonosítót. A cél a fizetés rendeléshez párosítása és az elszámolás. Visszautalásnál a szükséges kedvezményezetti nevet és számlaszámot kezeljük.

A saját nevében fizető vásárlónál a jogalap a szerződés teljesítése; más személy befizetésénél a fizetés azonosításához és elszámolásához fűződő jogos érdek. A számlavezető bankok és a fizetési műveletet teljesítő pénzforgalmi intézmények saját tevékenységükben önálló adatkezelők. Az Adatkezelő által alkalmazott számlát a rendeléshez adott fizetési tájékoztatás tartalmazza.

Megőrzés: a fizetési művelet operatív adatai az elszámolás lezárásáig, a szükséges szerződéses bizonyítékok a 15. fejezet szerinti ideig, a számviteli bizonylatok nyolc évig maradnak meg. A webáruház nem tárolhat szükségtelen fizetési hibakeresési naplókat ugyanilyen hosszú ideig.

7. Számlázás, könyvelés és adózási adatszolgáltatás

Cél: a rendelésről és annak helyesbítéséről bizonylat kiállítása, a számla e-mailes megküldése, könyvvezetés, számviteli megőrzés és az előírt adózási adatszolgáltatás.

Adatok: számlázási név és cím, szervezeti vagy vállalkozói vásárlásnál az előírt adószám, a számla sorszáma és dátumai, a termékek és mennyiségek, nettó és bruttó összegek, adótartalom, fizetési mód, elszámolási és helyesbítési adatok. Az e-mail-cím az elektronikus kézbesítéshez szükséges; nem kell emiatt a számlán vagy valamennyi adóhatósági adatszolgáltatásban feltüntetni.

Jogalap: GDPR 6. cikk (1) c), különösen a számvitelről szóló 2000. évi C. törvény és az általános forgalmi adóról szóló 2007. évi CXXVII. törvény szerinti kötelezettség. Az e-mailes kézbesítéshez szükséges adatkezelés a szerződés teljesítéséhez kapcsolódik. Az elektronikus számlázás elfogadása nem ad felhatalmazást marketingküldeményekre.

Megőrzés: a számlát és a könyvviteli elszámolást alátámasztó bizonylatot a számviteli törvény 169. §-a szerinti nyolc évig őrizzük, olvasható és visszakereshető módon. Folyamatban lévő hatósági ügyben vagy külön megőrzési kötelezettség esetén a szükséges iratot annak lezárásáig, illetve az előírt további ideig meg kell tartani. A nyolcéves szabály nem vonatkozik automatikusan a teljes felhasználói fiókra, minden böngészési adatra vagy az összes levélre.

Címzettek: a számlázást és könyvelést végző, erre feljogosított munkatársak; az igénybe vett számlázási, könyvelési, dokumentumtárolási és elektronikus kézbesítési szolgáltatók a feladatukhoz szükséges körben; a Nemzeti Adó- és Vámhivatal a törvényben előírt adatszolgáltatás címzettjeként. Magánszemély vásárló személyes adatait a NAV Online Számla-adatszolgáltatásban nem továbbítjuk azon a körön túl, amelyet jogszabály megenged vagy előír.

8. Csomagfeladás és kézbesítés

Cél: a termék eljuttatása a választott magyarországi címre vagy csomagautomatába, a címzett értesítése, az átadás igazolása, az esetleges kézbesítési hiba és visszaszállítás kezelése.

Adatok: a címzett neve, kézbesítési címe vagy az automata és az átvételi hely azonosítója, e-mail-címe, telefonszáma, a csomag és a rendelés összerendeléséhez szükséges azonosító, a szolgáltatás jellemzői, valamint a kézbesítés státusza és igazolása. A teljes rendelési megjegyzést vagy a tételes vásárlási előzményt nem kell a kézbesítőnek átadni, ha az nem szükséges a szállításhoz.

Szolgáltatók: a választott MPL-kézbesítésnél a Magyar Posta Zrt., FOXPOST-kézbesítésnél a FoxPost Kft. A webáruház mindkét szolgáltatónál csomagautomatás és házhozszállítási lehetőséget biztosít. A választástól függően annak a szolgáltatónak továbbítjuk az adatokat, amely a küldeményt kezeli.

Jogalap: a vásárlónál a szerződés teljesítése, GDPR 6. cikk (1) b); a vásárlótól eltérő címzettnél a vásárló és az Adatkezelő kézbesítéshez fűződő jogos érdeke, GDPR 6. cikk (1) f). A kézbesítési elérhetőségek megadása az adott szolgáltatás igénybevételéhez szükséges, nem marketing-hozzájárulás.

A postai szolgáltatók a saját kézbesítési, nyomkövetési, panaszkezelési és jogszabályi feladataik tekintetében önálló adatkezelők. Saját adatmegőrzésüket és közreműködőiket a saját tájékoztatóik határozzák meg. Az Adatkezelő a nála meglévő kézbesítési bizonyítékokat a szerződéses igényekhez szükséges ideig kezeli; az időközben szükségtelenné vált technikai részadatokat törli.

9. Elállás, visszáru és pénzvisszatérítés

Cél: az elállási nyilatkozat fogadása és igazolása, a szerződés és a termék azonosítása, a visszáru kezelése és a visszatérítés teljesítése. A lábléc „Elállás a szerződéstől” funkciójához kapcsolódó adatkezelésre is ez a fejezet vonatkozik.

Adatok: név, kapcsolattartási e-mail-cím, a rendelés azonosítására alkalmas adat, az érintett termékek, a nyilatkozat tartalma, a beküldés és a megerősítés napja és időpontja, az átvételi elismervény, a visszaküldéshez tartozó csomagadatok, a visszaérkezés és a visszafizetés adatai. Bankszámlaszám és kedvezményezetti név csak akkor szükséges, ha a visszatérítés jogszerűen átutalással történik.

Jogalap: a nyilatkozat fogadásánál és a kötelező visszaigazolásnál a 45/2014. (II. 26.) Korm. rendeletből eredő jogi kötelezettség, GDPR 6. cikk (1) c); az elszámolás és a visszafizetés lebonyolításánál a szerződéses jogviszony rendezése; a jogszerű teljesítés igazolásához szükséges iratoknál jogos érdek.

Nem feltétel: az elállás indokolása, egészségügyi adat megadása, új fiók létrehozása vagy reklámküldés elfogadása. Az elállási nyilatkozat elküldéséhez általánosan nem követelhető bankszámlaszám. Az űrlap adatvédelmi szövege nem teheti a törvényes elállási jogot egy hozzájárulás megadásától függővé.

Megőrzés: a nyilatkozatot és a teljesítés szükséges bizonyítékait az ügy lezárása után, az igény elévüléséhez igazodóan főszabály szerint öt évig; a visszatérítés számviteli bizonylatait nyolc évig őrizzük. Az elállás nem minősül automatikusan fogyasztói panasznak; ha külön panasz is keletkezik, arra a 10. fejezet szabálya irányadó.

10. Fogyasztói panaszok, minőségi kifogások és jogi igények

Cél: a panasz vagy szavatossági igény kivizsgálása, a kötelező jegyzőkönyv felvétele, a válaszadás, a megfelelő termék vagy visszatérítés biztosítása, illetve szükség esetén a hatósági, békéltető testületi vagy bírósági ügyben történő eljárás.

Adatok: név, postai vagy elektronikus elérhetőség, rendelési és termékadatok, a bejelentés helye, ideje, módja és tartalma, a bemutatott bizonyítékok, az igényelt megoldás és az Adatkezelő álláspontja, szükség esetén a jegyzőkönyv aláírása és egyedi azonosítója. Élelmiszerrel kapcsolatos ügyben ide tartozhat a tételazonosító, a minőségmegőrzési idő és a termékről, illetve csomagolásáról készült fénykép.

Jogalap: GDPR 6. cikk (1) c), a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. §-a, illetve a 19/2014. (IV. 29.) NGM rendelet alapján. A konkrét jogi igény előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges további adatkezelés jogalapja a GDPR 6. cikk (1) f) pontja szerinti jogos érdek.

Megőrzés: a fogyasztói panaszt, jegyzőkönyvet és érdemi válasz másolatát a vonatkozó törvény szerint három évig; a szavatossági jegyzőkönyvet a felvételétől számított három évig kell megőrizni. Ha tényleges jogvita indokol további megőrzést, csak az ahhoz szükséges iratokat kezeljük az igény elévüléséig, illetve az eljárás és annak végrehajtása lezárásáig. A külön jogalapot, adatkört és megőrzési indokot ilyenkor elkülönítetten kell kezelni.

A megadott adatokat az ügyintézők, a szükséges technikai szolgáltatók, indokolt esetben jogi képviselő, illetékes hatóság, békéltető testület vagy bíróság ismerheti meg. Adatátadás csak jogszerű megkeresés vagy az adott ügyhöz szükséges jogérvényesítés alapján, a szükséges körben történik.

Egészségügyi adatok: az Adatkezelő nem kér általános egészségi adatlapot és nem készít a tea-vásárlásokból egészségügyi profilt. Kérjük, ne küldjön teljes egészségügyi dokumentációt. Ha egy konkrét termékbiztonsági vagy kártérítési ügy elbírálásához egészségügyi adat elengedhetetlen, azt kizárólag a megfelelő általános jogalap és a GDPR 9. cikke szerinti külön feltétel – így jogi igény esetén a 9. cikk (2) f) pontja – fennállásakor, szűkített hozzáféréssel kezeljük. A szükségtelen különleges adatokat töröljük vagy kitakarjuk.

11. Termékértékelések és vásárlói vélemények

A weboldalon közzétett személyhez kapcsolható értékelés vagy ajánlás adatkezelési célja a termékkel és a szolgáltatással kapcsolatos tapasztalat bemutatása.

Adatok: az értékelésnél megadott megjelenítési név, pontszám, szöveg, dátum és a termék kapcsolata. E-mail-címet, teljes címet vagy telefonszámot nem kell nyilvánosan feltüntetni. A beküldő e-mail-címe és a technikai adatok az értékelés hitelességének ellenőrzésére, kapcsolattartásra és visszaélés-megelőzésre használhatók, nem a nyilvános értékelés részei.

Jogalap: az Ön által önként kért, névhez kapcsolt közzétételhez adott hozzájárulás, GDPR 6. cikk (1) a). A visszaélések felismerésére és a moderálásra szükséges korlátozott technikai adatkezelés jogalapja jogos érdek, GDPR 6. cikk (1) f). Egy általános ügyfélszolgálati levél vagy panasz nem tehető közzé névvel pusztán azért, mert azt az Adatkezelő megkapta.

Megőrzés: a közzététel a hozzájárulás visszavonásáig, illetve addig tarthat, amíg az érintett termékhez vagy szolgáltatáshoz a vélemény érdemben kapcsolódik. A visszavonást az adatvédelmi e-mail-címen lehet közölni. A nyilvános név és a személyes szövegrész ilyenkor törlendő vagy valóban anonimizálandó; konkrét visszaélési ügy szükséges bizonyítéka a 15. fejezet szerint külön megőrizhető.

A korábbi vélemény más felületen, reklámban vagy a főoldalon történő új felhasználása nem következik automatikusan az eredeti termékértékelésből; ahhoz az eredeti tájékoztatásnak és hozzájárulásnak is megfelelőnek kell lennie.

12. Sütik, technikai azonosítók és Barion Pixel

12.1. Mit jelent a süti és a hasonló technológia?

A süti a böngészőben tárolt kis adatállomány. Az oldal emellett helyi vagy munkamenet-tárolót, technikai kérést, képpontot („pixelt”) és más azonosítót is használhat. Az adatvédelmi követelmények nem kizárólag a hagyományos sütikre vonatkoznak. Egy azonosító IP-címmel, munkamenettel vagy rendeléssel összekapcsolva személyes adat lehet.

A kifejezetten kért kosár-, belépési és biztonsági funkcióhoz elengedhetetlen tárolást el kell különíteni a statisztikai, hirdetési és más nem szükséges követéstől. Az utóbbiakhoz előzetes, önkéntes és megfelelően részletezett hozzájárulás szükséges. A weboldal puszta használata, a görgetés vagy az ÁSZF elfogadása nem ilyen hozzájárulás. A marketing elutasítása önmagában nem akadályozhatja a vásárlást.

A böngészőben való tárolás megengedhetősége és az így megszerzett személyes adatok további kezelésének GDPR-jogalapja két külön vizsgálat. A „jogos érdek” megjelölés önmagában nem tesz minden követősütit hozzájárulás nélkül használhatóvá.

Webszerver- és biztonsági naplózás: az oldal lekérésekor a kiszolgáló kezeli a kapcsolat létrehozásához szükséges IP-címet és kérési adatokat. A hozzáférési és hibanapló a lekérés időpontját, az érintett oldal vagy erőforrás címét, a böngésző által küldött technikai jellemzőket, a válasz állapotkódját, hiba esetén annak technikai leírását, valamint – ha a böngésző továbbítja – az érkezési oldal címét tartalmazhatja. Célja a weboldal kiszolgálása, a hibakeresés és a támadások felismerése; a napló megőrzésének jogalapja az üzembiztos és biztonságos működéshez fűződő jogos érdek, GDPR 6. cikk (1) f). A naplókat az Adatkezelő és a feladatuk szerint eljáró Webfy/Sybell közreműködők kezelhetik. Az általános napló megőrzése legfeljebb 30 nap; konkrét biztonsági esemény szükséges bizonyítéka a 15. fejezet szerint elkülönítve tartható meg. A kapcsolat alapadatait a böngésző automatikusan továbbítja; azok nélkül a kért oldal nem szolgálható ki, de ez nem indokol korlátlan naplózást vagy marketingcélú felhasználást.

12.2. A webshophoz kapcsolódó azonosítók

Az alábbi táblázat a WooCommerce/WordPress és a Barion kapcsolódó funkcióinak azonosítóit és a szolgáltatók által dokumentált alapértékeket ismerteti. Nem teljes körű, élő böngészőből készített sütileltár. A csillag egyedi utótagot jelöl; egyes azonosítók csak a megfelelő funkció tényleges használatakor jönnek létre. A gyártói alapérték nem bizonyítja az egyedi telepítés azonos beállítását. Az aktív nem szükséges technológiák konkrét szolgáltatóját, célját és tárolási idejét a hozzájárulás kérésekor is meg kell jeleníteni.

A böngészőbeli élettartam nem azonos a szolgáltató szerveroldali adatmegőrzésével. A szükséges WooCommerce-kosáradatok kezelésének jogalapja a kért szolgáltatás teljesítése; a valóban szükséges biztonsági adatkezelésé az informatikai védelemhez fűződő jogos érdek. A hozzájárulási döntés bizonyításához szükséges napló elkülönítetten kezelendő.

12.3. Barion Pixel: csalásmegelőzés és külön marketingcél

A Barion Pixel a fizetési visszaélések felismerését támogatja. Az általa kezelt adatok között lehet böngésző- és eszközjellemző, IP-cím, képzett eszközazonosító, munkamenet-azonosító, oldalmegtekintés, esemény és időbélyeg. A Barion a saját csalásmegelőzési adatkezelését a saját tájékoztatója szerint végzi; a technikai beépítés és a weboldali hozzájáruláskezelés az Adatkezelő felelősségi körét is érinti.

A Barion integrációs dokumentációja a csalásmegelőzési alapazonosítókat a szükséges sütik között sorolja fel. Ez nem jelent korlátlan felhatalmazást minden látogató bármely célú követésére: a konkrét működésnél a szükségességet, arányosságot és az eszközhozzáférés feltételeit is teljesíteni kell. A saját célú személyesadat-kezelés jogalapját a Barion adatkezelési tájékoztatója határozza meg; jogos érdeken alapuló kezelés ellen az érintett tiltakozhat.

A marketingcélú Barion Pixel-működés nem kötelező része a bankkártyás vásárlásnak. Marketing- vagy hirdetési célú eseményküldés, profilalkotás és adattársítás csak az e célra adott külön hozzájárulás mellett működhet. A hozzájárulás hiányában a marketingfunkciót nem szabad aktívként jelezni a szolgáltatónak. A visszavonás után az ilyen eseményküldést is meg kell szüntetni.

Részletes források: Barion adatkezelési tájékoztató; Barion süti-tájékoztató; Barion Pixel hozzájáruláskezelési dokumentáció; WooCommerce sütidokumentáció.

12.4. Döntés és visszavonás

Az önkéntes statisztikai vagy marketingfunkciót a weboldali hozzájáruláskezelőben kell külön elfogadni; a nem szükséges célok elutasítását és a korábbi választás módosítását is biztosítani kell. A hozzájárulás visszavonása a visszavonás előtti adatkezelés jogszerűségét nem érinti.

A sütik a böngésző beállításaiban is megtekinthetők és törölhetők. A szükséges sütik tiltása miatt a kosár vagy a bejelentkezés nem feltétlenül működik. A böngészőben történő törlés nem helyettesíti a szerveroldali adatok törlésére irányuló kérelmet, és önmagában nem biztosítja a követési hozzájárulás visszavonását valamennyi rendszerben. Adatvédelmi kérelmet az info@possibilis.hu címen is lehet küldeni.

13. Hírlevél, reklámküldés és további külső tartalmak

A vásárlás, a fióklétrehozás, a panasz vagy az elállás nem jelent hírlevél-feliratkozást. A rendelés állapotáról, fizetéséről, kézbesítéséről és a joggyakorlásról küldött, ezekre a célokra korlátozott ügyleti e-maileket el kell különíteni a reklámtól.

Természetes személynek elektronikus reklám csak az adott célra és adatkezelőre vonatkozó, előzetes és kifejezett hozzájárulással küldhető. Külön hírlevél-szolgáltatás alkalmazásakor a feliratkozásnál annak tényleges adatköreit, megőrzését, kézbesítési szolgáltatóját és a leiratkozás módját előzetesen ismertetni kell. Egy rendeléshez megadott e-mail-cím nem másolható át automatikusan hírlevél- vagy elhagyottkosár-marketinglistába.

Az Adatkezelőnek címzett, reklámküldést megtiltó vagy hozzájárulást visszavonó nyilatkozat díjmentesen megtehető az adatvédelmi e-mail-címen is. A küldés megszüntetésének igazolásához és az újabb jogellenes megkeresés megelőzéséhez csak a feltétlenül szükséges, elkülönített tiltási adat tartható meg; a teljes marketingprofil nem.

Új külső analitikai, reklám-, hírlevél-, videó-, térkép- vagy közösségi beágyazási szolgáltatás nem vezethető be pusztán e tájékoztató általános rendelkezéseire hivatkozással. Az új adatkezelésről annak megkezdése előtt konkrét tájékoztatás és szükség esetén külön hozzájárulás szükséges. Egy külső oldalra mutató egyszerű link és az oldal betöltésekor adatot továbbító beágyazás nem azonos adatkezelés.

14. Az adatokhoz hozzáférők és a címzettek

Az Adatkezelőnél csak a feladat ellátására feljogosított személyek férhetnek hozzá az adatokhoz. A külső adatfeldolgozó az Adatkezelő utasításai alapján jár el; a GDPR 28. cikke szerinti szerződéses garanciákat és a további adatfeldolgozók igénybevételének feltételeit biztosítani kell. Az önálló adatkezelő a saját adatkezelési céljáért és jogalapjáért felel.

A WooCommerce és a WordPress szoftver használata önmagában nem jelenti, hogy a teljes vásárlói adatbázist a szoftver fejlesztőjének továbbítjuk. Külső felhő-, fizetési, mérési vagy egyéb bővítményszolgáltatás adatátadását mindig önállóan kell megvizsgálni és ismertetni.

Az adatfeldolgozói szerződés szükségessége, a titoktartás és az adatbiztonság nem helyettesíti az érintett előzetes tájékoztatását. A címzetti kategóriák feltüntetése mellett Ön a rá vonatkozó adatátadások konkrét címzettjeiről is kérhet információt a GDPR szerinti hozzáférési jog keretében.

15. Megőrzési idők, törlés és anonimizálás

Az adatkezelési időt mindig az adott cél határozza meg. A következő megőrzési rend az Adatkezelő saját adatkezelésére vonatkozik; az önálló adatkezelő fizetési és postai szolgáltatók a saját tájékoztatójuk szerint járnak el. A nem jogszabályból eredő alábbi határidők az Adatkezelő által e tájékoztatóban meghatározott felső korlátok.

Ha a cél korábban megszűnik, és nincs további jogszerű megőrzési indok, az adat korábban törlendő. Ha ugyanaz az irat több célt szolgál, a hosszabb megőrzés csak az ahhoz ténylegesen szükséges adatokra alkalmazható, nem a teljes kapcsolódó adatállományra.

A törlés vagy valódi anonimizálás az aktív rendszerben észszerűen végrehajtható módon történik. A kizárólag katasztrófa utáni helyreállításra használt, hozzáférésében korlátozott mentésben a törölt adat a gördülő mentési ciklus lejártáig szerepelhet, de onnan normál üzleti célra nem használható vissza. Egy egyszerű névcsere, belső azonosító vagy hash nem jelent feltétlenül anonimizálást.

Konkrét jogi vagy biztonsági ügy miatt meghosszabbított megőrzésnél az érintett adatkört elkülönítjük, a szükségességet felülvizsgáljuk, és az akadály megszűnése után töröljük. Az elévülésre való általános hivatkozás nem igazol korlátlan adatmegőrzést.

16. Külföldi szolgáltatók és az Európai Gazdasági Térségen kívüli továbbítás

A megnevezett weboldal-üzemeltető, infrastruktúra-, Barion-fizetési és belföldi kézbesítési partner magyarországi szolgáltató. Ez önmagában nem bizonyítja valamennyi szerver, alvállalkozó, levelezési útvonal vagy távoli hozzáférés kizárólag magyarországi, illetve EGT-n belüli működését.

Ha egy szolgáltatás személyes adatot az Európai Gazdasági Térségen kívülre továbbít vagy onnan tesz hozzáférhetővé, a GDPR V. fejezete szerinti feltételeket külön teljesíteni kell. Az alkalmazható eszköz lehet az Európai Bizottság adott címzettre és adatkörre kiterjedő megfelelőségi határozata, vagy megfelelő garancia, így általános adatvédelmi szerződési feltétel, a szükséges kiegészítő védelemmel. A továbbítás önálló követelmény; egy süti elfogadása nem helyettesíti automatikusan.

Az Adatkezelő által igénybe vett szolgáltatás ilyen továbbításáról a címzettet vagy címzetti kört, az érintett országot, a garanciát és annak megismerhetőségét az adatátadás előtt konkrétan ismertetni kell. A jelen általános rendelkezés nem felhatalmazás ismeretlen külföldi marketing- vagy felhőszolgáltatók bevonására.

Az önálló adatkezelőként működő bank, Barion vagy kézbesítő saját további adatkezeléséről és nemzetközi továbbításairól a szolgáltató tájékoztatója ad információt. Az Adatkezelő által végzett továbbítások garanciáinak másolata vagy lényegi kivonata az adatvédelmi elérhetőségen kérhető, más személyek jogainak és védett üzleti adatainak tiszteletben tartásával.

17. Adatbiztonság és incidenskezelés

Az Adatkezelőnek és technikai közreműködőinek a kockázattal arányos technikai és szervezési védelemmel kell gondoskodniuk az adatok bizalmasságáról, sértetlenségéről és rendelkezésre állásáról. Ennek része a feladatokhoz igazodó hozzáférés, a megfelelő hitelesítés, a rendszerkarbantartás, a titoktartás, a biztonsági mentés és a törlési rend. A weboldalon megadott adatokat HTTPS-kapcsolaton kell továbbítani.

Az adatvédelmi incidenseket az Adatkezelő kivizsgálja és dokumentálja. Ha a GDPR alapján bejelentés szükséges, azt az illetékes felügyeleti hatóságnak indokolatlan késedelem nélkül és lehetőség szerint a tudomásszerzéstől számított 72 órán belül kell megtenni. Magas érintetti kockázat esetén az érintetteket is indokolatlan késedelem nélkül tájékoztatni kell, a jogszabályi kivételekre figyelemmel.

Banki jelszót, egyszer használatos hitelesítési kódot és teljes bankkártyaadatot az Adatkezelőnek soha ne küldjön. Gyanús, a Possibilis nevében érkező üzenet esetén a honlapon szereplő ügyfélszolgálati elérhetőségen ellenőrizheti a megkeresést.

18. Automatizálás, profilalkotás és gyermekek adatai

A webáruház a megadott termékek, mennyiségek, címek és fizetési adatok alapján automatizáltan számít összeget, rögzít rendelést és küld ügyleti üzeneteket. A rendelési visszaigazolás automatizálása nem jelent önmagában személyes jellemzőket értékelő ügyfélprofilozást.

A jelen tájékoztató szerinti rendeléskezelés nem terjed ki olyan külön ügyfélminősítő rendszerre, amely személyes jellemzők értékelésével, kizárólag automatizáltan döntene a vásárlóval szemben hátrányos, joghatással vagy hasonlóan jelentős hatással járó feltételről. Ilyen új kezelés csak a GDPR 22. cikkének feltételeivel és külön előzetes tájékoztatással vezethető be.

A Barion és a bank a fizetés biztonsága érdekében saját automatizált kockázatelemzést és döntést alkalmazhat; annak feltételeiről és az érintett jogairól az adott szolgáltató tájékoztat. A webáruház ügyfélszolgálatán kérhető a rendelés és a fizetési státusz emberi ellenőrzése. A marketingcélú profilalkotás ettől elkülönülő, a 12–13. fejezet szerinti adatkezelés.

A webáruház nem kér a tea megvásárlásához születési dátumot vagy a vásárló gyermekeinek adatait. A hozzájáruláson alapuló, közvetlenül gyermeknek kínált információs társadalmi szolgáltatásnál a GDPR 8. cikke szerinti életkori és szülői felhatalmazási követelményt be kell tartani; ez nem azonos a vásárlási szerződés megkötésére való polgári jogi képességgel. Ha gyermek adata szükségtelenül került a rendszerbe, az Adatkezelő a törlésről és a további kezelés jogszerű rendezéséről intézkedik.

19. Az Ön jogai és a kérelmek kezelése

19.1. Milyen jogokat gyakorolhat?

Hozzáférés: visszajelzést kérhet arról, hogy kezeljük-e az adatait, megismerheti az adatköröket, célokat, jogalapokat, forrásokat, megőrzést, címzetteket és az alkalmazandó továbbítási garanciákat, valamint másolatot kérhet a személyes adatairól. Ez nem sértheti más személyek jogait.

Helyesbítés: kérheti a pontatlan adat javítását és a hiányos adat kiegészítését. Egy már kibocsátott számlánál a korrekció a számlázási szabályok szerinti bizonylattal történik, nem az eredeti irat nyom nélküli átírásával.

Törlés: a GDPR feltételei szerint kérheti az adat törlését, például ha a cél megszűnt, nincs megfelelő jogalap, vagy a hozzájárulását visszavonta és más jogalap nincs. A törlési jog nem írja felül a szükséges számviteli megőrzést és a konkrét jogi igény védelmét.

Korlátozás: kérheti az adatkezelés korlátozását a GDPR 18. cikkének eseteiben, például a pontosság ellenőrzésének idejére vagy a tiltakozás elbírálásáig. Korlátozás alatt az adat a tároláson kívül csak a rendeletben meghatározott feltételekkel kezelhető.

Adathordozhatóság: az Ön által rendelkezésre bocsátott, hozzájáruláson vagy szerződésen alapuló, automatizáltan kezelt adatokat tagolt, széles körben használt, géppel olvasható formában kérheti. Műszaki megvalósíthatóság esetén kérhető közvetlen továbbítás másik adatkezelőnek. Ez nem általános jogosultság minden belső értékelés vagy jogi kötelezettség alapján őrzött adat áthelyezésére.

Tiltakozás: a saját helyzetével kapcsolatos okból tiltakozhat a jogos érdeken alapuló kezelés ellen. Az Adatkezelő ilyenkor csak a GDPR szerinti kényszerítő erejű jogos ok vagy jogi igény igazolt szükségessége mellett folytathatja azt. Közvetlen üzletszerzés ellen bármikor, indokolás nélkül tiltakozhat; az ilyen célú kezelést, ideértve a kapcsolódó profilalkotást, meg kell szüntetni.

Hozzájárulás visszavonása: a hozzájáruláson alapuló adatkezeléshez adott hozzájárulás bármikor visszavonható, ugyanolyan egyszerű módon, ahogyan megadta. A visszavonás a korábbi, jogszerű adatkezelést nem teszi visszamenőleg jogellenessé. A hozzájárulás visszavonása nem szünteti meg a más, érvényes jogalapon szükséges adatkezelést.

Ha a GDPR 22. cikke szerinti automatizált döntés alkalmazandó, az ott meghatározott feltételekkel kérhető emberi beavatkozás, előadható a saját álláspont és vitatható a döntés. A fizetési szolgáltató saját döntéseivel kapcsolatban közvetlenül a szolgáltatónál is gyakorolhatók a vonatkozó jogok.

19.2. Hová küldhető a kérelem, és mikor válaszolunk?

A kérelmet az info@possibilis.hu címre, vagy postán az Infinity Market Kft., 1061 Budapest, Jókai tér 10. 2. em. 1B. címre lehet elküldeni. Nem szükséges jogszabályt vagy cikkelyt idéznie; a kérését és az érintett adatkezelést tegye azonosíthatóvá.

A válaszadás indokolatlan késedelem nélkül, főszabály szerint egy hónapon belül történik. Összetett vagy nagyszámú kérelem esetén a határidő további két hónappal meghosszabbítható, de az első hónapon belül ennek indokáról is tájékoztatást kell adni. Elutasításnál az indokokat és a jogorvoslat lehetőségét is közöljük.

A joggyakorlás főszabály szerint díjmentes. Nyilvánvalóan megalapozatlan vagy túlzó, különösen ismétlődő kérelemnél a GDPR szerinti kivétel alkalmazható; ennek megalapozottságát az Adatkezelőnek kell igazolnia. Azonosítási kétség esetén csak a szükséges, arányos kiegészítő információ kérhető. Személyazonosító okmány másolatát nem kell minden kérelemhez automatikusan csatolni.

A címzetteket a helyesbítésről, törlésről vagy korlátozásról a GDPR 19. cikke szerint értesítjük, ha ez nem lehetetlen és nem igényel aránytalan erőfeszítést. Kérésére ezekről a címzettekről is tájékoztatást adunk.

19.3. Hatósági és bírósági jogorvoslat

Ha úgy véli, hogy személyes adatainak kezelése jogsértő, panasszal fordulhat a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH), illetve a GDPR szerint illetékes más tagállami felügyeleti hatósághoz. Az Adatkezelő előzetes megkeresése segítheti a rendezést, de a GDPR szerinti panaszjog nem tehető általánosan ennek teljesítésétől függővé.

NAIH székhely

1055 Budapest, Falk Miksa utca 9–11.

Levelezési cím

1363 Budapest, Pf. 9.

Telefon

+36 1 391 1400

Tájékoztatási e-mail

ugyfelszolgalat@naih.hu

Honlap és elektronikus ügyindítás

naih.hu; Online ügyindítás

A NAIH hivatalos tájékoztatása szerint az ügyfélszolgálati e-mail-cím nem szolgál hatósági eljárás e-mailes megindítására; formális ügyindításnál a Hatóság által megadott elektronikus vagy postai benyújtási módot kell követni.

Bírósághoz is fordulhat, és a GDPR feltételei szerint kártérítést kérhet. A magyar eljárási szabályok szerint a per törvényszék hatáskörébe tartozik; az érintett a törvény szerinti esetben a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is eljárhat. A hatósági panasz és a bírósági jogorvoslat a GDPR szerinti feltételekkel egymástól függetlenül is igénybe vehető.

20. A tájékoztató módosítása és jogszabályi háttér

Az Adatkezelő a tényleges adatkezelés vagy a jogi követelmények változásakor módosítja e tájékoztatót, és a hatályos változatot a honlapon elérhetővé teszi. Lényeges új célról, új adatátadásról és a hozzájárulást érintő változásról az adatkezelés megkezdése előtt tájékoztatást kell adni; a szöveg átírása önmagában nem pótolja a szükséges új hozzájárulást és nem teremti meg egy korábbi jogellenes adatkezelés jogalapját.

A szerződéses feltételeket a webáruház Általános Szerződési Feltételei tartalmazzák. E tájékoztató nem szűkíti a fogyasztó vagy más érintett törvényes jogait.

Az adatkezelés főbb jogforrásai: az (EU) 2016/679 rendelet (GDPR); a 2011. évi CXII. törvény (Infotv.); a 2001. évi CVIII. törvény; a 2003. évi C. törvény 155. §-a; a 2000. évi C. törvény; a 2007. évi CXXVII. törvény; a 2008. évi XLVIII. törvény; a 2013. évi V. törvény; az 1997. évi CLV. törvény; a 45/2014. (II. 26.) Korm. rendelet; a 19/2014. (IV. 29.) NGM rendelet. A jogszabályokra történő hivatkozás mellett az egyes adatkezelések konkrét célját és jogalapját a fenti fejezetek adják meg.