1. A tájékoztató célja és hatálya
Jelen tájékoztató a www.gocard.hu weboldal, a GoCard-fiókok, a digitális névjegykártyák és a kapcsolódó fizikai QR/NFC-kártyák használata során végzett személyesadat-kezelésekről ad tájékoztatást. Érintettek a látogatók, regisztrált felhasználók, vásárlók, érdeklődők és a nyilvános digitális névjegyeken szereplő személyek. A tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendeletén (GDPR), valamint az alkalmazandó magyar jogszabályokon alapul. Az adatkezelési tájékoztató megismerése nem jelenti valamennyi adatkezeléshez való általános hozzájárulást: minden adatkezeléshez külön, megfelelő jogalap szükséges.
2. Az adatkezelő azonosítása és elérhetősége
Adatkezelő: ÉLETKÁRTYA.HU Informatikai Kereskedelmi és Szolgáltató Korlátolt Felelősségű Társaság (ÉLETKÁRTYA.HU Kft.). Székhely: 2120 Dunakeszi, Fő út 71. Cégjegyzékszám: 13-09-167769. Adószám: 24807753-2-13. Képviselő: Szmodics-Báthory Zsófia Zsuzsanna. Weboldal: https://www.gocard.hu. Kapcsolat és adatvédelmi kérelmek: info@gocard.hu; ugyfelszolgalat@gocard.hu. Az adatvédelmi tisztviselő kijelölésének kötelezettségét és esetleges kijelölését külön ellenőrizni szükséges; jelen tervezet nem állítja, hogy kijelölt adatvédelmi tisztviselő működik.
3. Alapelvek és adatbiztonság
Az adatkezelő a személyes adatokat jogszerűen, tisztességesen és átláthatóan, meghatározott célokra, az adattakarékosság, pontosság, korlátozott tárolhatóság, integritás és bizalmas jelleg követelményeivel összhangban kezeli. A hozzáférést feladatkörhöz és jogosultsághoz köti, indokolt technikai és szervezési intézkedéseket alkalmaz (például hozzáférés-szabályozás, naplózás, biztonsági mentés és biztonságos adatátvitel). Teljes körű, kockázatmentes biztonság nem garantálható; adatvédelmi incidens esetén a GDPR szerinti értékelési, dokumentálási és szükség szerinti bejelentési, értesítési szabályok irányadók.
4. A kezelt adatok és adatkezelési műveletek
A konkrét adatmezők a szolgáltatás használatától függenek. A GoCard rendszerében előfordulhatnak: név, e-mail-cím, telefonszám, belépési azonosító és hitelesítési adatok; fiókbeállítások; számlázási és szállítási név, cím, adószám (ha releváns); megrendelés, termék, fizetési állapot, számlaadatok; a digitális névjegyhez önként megadott név, munkakör, vállalkozás, elérhetőségek, weboldalak, közösségimédia-hivatkozások, profilkép és további közzétett mezők; QR/NFC-azonosítók; ügyfélszolgálati levelezés; IP-cím, időbélyeg, böngésző- és eszközadatok, technikai naplóbejegyzések. Különleges személyes adat megadása a nyilvános névjegyben nem szükséges és nem ajánlott.
5. Weboldal-látogatás és technikai naplózás
Cél: a weboldal működtetése, a hibák feltárása, a visszaélések megelőzése, informatikai biztonság és a szolgáltatás rendelkezésre állásának biztosítása. Kezelt adatok: IP-cím, látogatás ideje, kért erőforrás, böngésző- és eszközjellemzők, hibakódok és szükséges technikai azonosítók. Jogalap: GDPR 6. cikk (1) f) pont, az adatkezelő jogos érdeke a biztonságos üzemeltetéshez, megfelelő érdekmérlegelés mellett. Megőrzés: a szükséges, dokumentált naplómegőrzési idő; ennek pontos hosszát az éles rendszer üzemeltetési beállításai alapján véglegesíteni kell. A naplóadatokhoz kizárólag felhatalmazott személyek és szükség esetén szerződött tárhely-/üzemeltetési szolgáltatók férhetnek hozzá.
6. Regisztráció, felhasználói fiók és belépés
Cél: a felhasználói fiók létrehozása, azonosítás, bejelentkezés, hozzáférés-kezelés és a szolgáltatás teljesítése. Adatok: név, e-mail-cím, szükséges hitelesítési és fiókadatok, választott csomag, fiókállapot, időbélyegek. Jogalap: GDPR 6. cikk (1) b) pont (szerződés teljesítése, illetve szerződéskötést megelőző lépések). A biztonsági események naplózása a 6. cikk (1) f) pont alapján történhet. Ha a felhasználó külső azonosítási szolgáltatóval (például Google) lép be, a szolgáltató által továbbított, a belépéshez szükséges adatok kerülhetnek kezelésre; a konkrét adatkör és szolgáltató az éles integráció szerint ellenőrizendő. Megőrzés: a fiók fennállása alatt, megszűnését követően a jogi igények és kötelező megőrzések által indokolt ideig; a tényleges törlési folyamat és határidő véglegesítendő.
7. Digitális névjegy, profil és nyilvánosság
A felhasználó saját digitális névjegyét hozhatja létre, szerkesztheti és a rendszerben beállított módon megoszthatja. A nyilvános profilra feltöltött adatok a profil hivatkozását megnyitó személyek számára hozzáférhetővé válhatnak, beleértve a QR-kódot beolvasó vagy NFC-kártyát érintő személyeket. A nyilvános hozzáférés lehetősége nem azonos azzal, hogy az adatkezelő minden egyéb célra felhasználhatja az adatokat. Cél: a felhasználó által kért digitális névjegy megjelenítése és megosztása. Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)); a nyilvánosságra hozatal módját és a választható láthatósági beállításokat az éles felülettel egyeztetni kell. A felhasználó csak olyan harmadik személy adatát töltheti fel, amelynek közzétételére megfelelő jogalappal rendelkezik. A profilban megjelenő hivatkozások külső szolgáltatókhoz vezethetnek, amelyek saját adatkezelési szabályai érvényesek.
8. Fizikai QR- és NFC-kártyák
A fizikai GoCard-kártyán elhelyezett QR-kód és NFC-azonosító a kapcsolódó digitális névjegy vagy a szolgáltatás megfelelő hivatkozásának megnyitását szolgálja. A kártya egyedi technikai azonosítója a felhasználói fiókhoz kapcsolható. A kártya átadása más személynek a nyilvános profil elérhetőségét is megoszthatja. Cél: a megrendelt termék előállítása, személyre szabása, összerendelése és működtetése. Jogalap: GDPR 6. cikk (1) b) pont. A kártyagyártó vagy logisztikai partner csak a teljesítéshez szükséges adatokat kaphatja meg, megfelelő szerződéses feltételek mellett.
9. Megrendelés, számlázás és szállítás
Cél: megrendelések rögzítése és teljesítése, termékgyártás, kézbesítés, számlázás, számviteli és adókötelezettségek teljesítése, panaszkezelés. Adatok: megrendelő és címzett neve, elérhetőségei, számlázási/szállítási adatok, rendelési tételek, árak, fizetési és teljesítési állapot, számlaazonosító. Jogalap: GDPR 6. cikk (1) b) pont a szerződés teljesítéséhez, valamint 6. cikk (1) c) pont a jogszabályi kötelezettségekhez. A számviteli bizonylatokat a számviteli törvény szerinti, főszabály szerint legalább 8 éves időtartamig kell megőrizni. Egyéb rendelési adatok a teljesítéshez, panaszkezeléshez és jogi igényekhez szükséges ideig kezelhetők. A tényleges szállítási és számlázási partnerek nevét az éles közzététel előtt meg kell adni.
10. Online bankkártyás fizetés – SimplePay
A GoCard weboldalon az online bankkártyás fizetés a SimplePay rendszerén keresztül történhet. A fizetési szolgáltató: OTP Mobil Szolgáltató Kft. A fizetési folyamat indításához és a tranzakció egyeztetéséhez szükséges adatok (például rendelésazonosító, fizetendő összeg, pénznem, tranzakcióazonosító, fizetési státusz, valamint az integrációban ténylegesen átadott vásárlói adatok) a szolgáltató részére továbbításra kerülhetnek. A bankkártyaadatok megadása és feldolgozása a SimplePay fizetési felületén történik; a GoCard által ténylegesen kezelt kártyaadatok körét a fizetési integráció alapján ellenőrizni kell. A fizetés lebonyolításának jogalapja a szerződés teljesítése (GDPR 6. cikk (1) b)), a kapcsolódó bizonylatoké jogi kötelezettség (6. cikk (1) c)). Az OTP Mobil saját adatkezeléseiről saját tájékoztatója rendelkezik. A SimplePay által ténylegesen átvett mezőket és az adattovábbítási tájékoztatás pontos szövegét az éles API-beállítások alapján véglegesíteni kell.
11. Ügyfélszolgálat és kapcsolattartás
Cél: megkeresések megválaszolása, ügyintézés, reklamációk és jogérvényesítés kezelése. Adatok: név, e-mail-cím, üzenet tartalma, ügyazonosító, kapcsolódó rendelési adatok és levelezési előzmények. Jogalap: a megkeresés jellegétől függően GDPR 6. cikk (1) b), c) vagy f) pont. A fogyasztói panaszokhoz kapcsolódó iratok megőrzésére a vonatkozó fogyasztóvédelmi szabályok irányadók; az egyéb levelezést csak az ügyintézéshez és az esetleges jogi igényekhez szükséges ideig őrizzük. Az ügyfélszolgálati e-mail-rendszer szolgáltatójának azonosítása még szükséges.
12. Hírlevelek és közvetlen üzletszerzés
Marketingcélú elektronikus üzenetek küldése csak az alkalmazandó jogszabályoknak megfelelő előzetes, megfelelő tájékoztatáson alapuló hozzájárulással történhet. Jogalap: GDPR 6. cikk (1) a) pont, továbbá a vonatkozó elektronikus reklámszabályok. A hozzájárulás önkéntes, visszavonható, a leiratkozásnak egyszerűnek és díjmentesnek kell lennie. A regisztráció vagy vásárlás nem jelent automatikus marketinghozzájárulást. Ha a GoCard jelenleg nem küld hírlevelet, e pont csak a funkció bevezetésekor alkalmazandó; a tényleges hírlevélküldő szolgáltató adatait külön fel kell tüntetni.
13. Sütik és hasonló technológiák
A weboldal működéséhez feltétlenül szükséges sütik a szolgáltatás technikai biztosítását szolgálhatják. A nem feltétlenül szükséges analitikai, marketing- vagy személyre szabási sütik alkalmazása főszabály szerint előzetes hozzájárulást igényel; a hozzájárulás megtagadása nem akadályozhatja a feltétlenül szükséges funkciók használatát. A felhasználó a hozzájárulását később is módosíthatja vagy visszavonhatja. A sütik nevét, szolgáltatóját, célját, időtartamát és kategóriáját az aktuális sütitájékoztatóban kell feltüntetni. A ténylegesen telepített sütik listáját technikai vizsgálattal kell pontosítani; nem állítható ellenőrzés nélkül, hogy nincs analitika vagy harmadik féltől származó süti.
14. QR/NFC-megnyitások és használati statisztikák
A QR/NFC-hivatkozások megnyitása során a szerver technikai kérést kap. Ha a rendszer eseménynaplózást vagy használati statisztikát alkalmaz, a kezelt adatok körébe tartozhat a kártyaazonosító, a megnyitás időpontja, forrásjelzés (QR vagy NFC), technikai eszközadat, IP-cím és a hivatkozás célja. Ezekből nem következik, hogy a megnyitó személy ténylegesen kapcsolatba lépett a névjegy tulajdonosával. Cél: a szolgáltatás működtetése, visszaélésmegelőzés, illetve – ha ténylegesen működik – használati statisztika. Jogalap és megőrzés a tényleges adatkezelési céltól függ: a biztonsági naplózás jogos érdeken, a nem szükséges követési/analitikai technológia adott esetben hozzájáruláson alapulhat. A GoCard konkrét naplózási és statisztikai működését indulás előtt fel kell mérni; ez a pont nem állítja, hogy minden felsorolt adatot jelenleg gyűjt a rendszer.
15. Címzettek, adatfeldolgozók és adattovábbítás
A szolgáltatás működtetésében az adatkezelő munkatársai, megfelelő jogosultságú megbízottai és szerződött partnerei vehetnek részt. Lehetséges címzetti kategóriák: tárhely- és szerverüzemeltető, domain-/e-mail-szolgáltató, informatikai karbantartó, bankkártyás fizetési szolgáltató (SimplePay / OTP Mobil Szolgáltató Kft.), számlázó és könyvelő, kártyagyártó, csomagkézbesítő, ügyfélszolgálati és hírlevélküldő szolgáltató, amennyiben igénybe veszik őket. A tényleges szolgáltatók nevét, szerepét és szükség esetén székhelyét az éles közzétételhez külön, ellenőrzött jegyzékben kell feltüntetni. Hatóságnak vagy bíróságnak adatot kizárólag megfelelő jogalap és szükséges terjedelem mellett adunk át.
16. Harmadik országba történő adattovábbítás
Ha valamely ténylegesen használt szolgáltató az Európai Gazdasági Térségen kívülre továbbít személyes adatot, a továbbítás jogalapját és garanciáit (például megfelelőségi határozat vagy általános szerződési feltételek és szükséges kiegészítő intézkedések) a GDPR V. fejezete szerint kell biztosítani és ismertetni. A GoCard tényleges szolgáltatói és adattovábbítási útvonalai alapján ellenőrizni kell, történik-e ilyen továbbítás; ellenőrzés nélkül nem állítható, hogy nincs.
17. Megőrzési idők és törlés
A személyes adatok megőrzési idejét az adatkezelés célja és jogalapja határozza meg. Fiók- és profiladatok: a szolgáltatás használatához szükséges ideig, majd a megszüntetés és jogi kötelezettségek szerint. Számlák és számviteli bizonylatok: főszabály szerint legalább 8 év. Ügyfélszolgálati és panaszadatok: a vonatkozó jogszabályi és igényérvényesítési idő szerint. Technikai naplók: dokumentált, szükséges időtartamig. Hírlevél-hozzájárulás: visszavonásig, a hozzájárulás igazolásához szükséges bizonyítékok megfelelő megőrzésével. A fióktörlés nem eredményezheti a kötelezően megőrzendő számlák azonnali törlését. A pontos belső megőrzési időket és automatizmusokat az üzemeltetésnek dokumentálnia kell.
18. Az érintettek jogai
Az érintett a GDPR feltételei szerint kérhet tájékoztatást és hozzáférést a kezelt személyes adataihoz, azok helyesbítését, törlését, az adatkezelés korlátozását, adathordozhatóságot; tiltakozhat a jogos érdeken alapuló adatkezelés ellen; hozzájárulás esetén azt bármikor visszavonhatja a visszavonás előtti kezelés jogszerűségének sérelme nélkül. Automatizált döntéshozatal esetén a GDPR 22. cikke szerinti jogok alkalmazandók; a GoCard ilyen döntéshozatalának meglétét külön ellenőrizni kell. A jogok nem korlátlanok, például jogszabályi megőrzési kötelezettség fennállhat. Kérelmeket az adatkezelő elérhetőségein lehet benyújtani; az adatkezelő főszabály szerint egy hónapon belül válaszol, indokolt esetben a GDPR szerint hosszabbítható határidővel.
19. Panasz és jogorvoslat
Az érintett adatkezelési panasszal elsőként az adatkezelőhöz fordulhat. Jogosult továbbá panaszt benyújtani a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH), illetve bírósági jogorvoslattal élhet. NAIH: 1055 Budapest, Falk Miksa utca 9–11.; honlap: https://www.naih.hu; e-mail: ugyfelszolgalat@naih.hu. A hatósági elérhetőségeket közzététel előtt ellenőrizni kell. A panasz benyújtása nem zárja ki a bírósághoz fordulás jogát.
20. Kiskorúak és harmadik személyek adatai
A GoCard üzleti és személyes kapcsolattartásra szolgáló digitális névjegytermék. A szolgáltatás korhatárát és a kiskorúak regisztrációjára vonatkozó tényleges szabályokat az ÁSZF-fel és a regisztrációs folyamattal össze kell hangolni. A felhasználó más személy adatát (például kolléga fényképét, telefonszámát) kizárólag megfelelő felhatalmazással teheti közzé. Az adatkezelő az ilyen bejelentéseket megvizsgálja, és indokolt esetben intézkedik.
21. A tájékoztató módosítása és hatálya
Az adatkezelő a tájékoztatót a szolgáltatás, a jogszabályok vagy az adatkezelési gyakorlat változása esetén módosíthatja. A lényeges változásokról megfelelő módon tájékoztatja az érintetteket; új hozzájárulást igénylő adatkezelés nem vezethető be pusztán a szöveg módosításával. A tervezet összeállításának dátuma: 2026. október 26. A tényleges hatálybalépés napját a jóváhagyott, közzétett változaton kell feltüntetni.
