Adatkezelési Tájékoztató

1. Bevezetés

A jelen Adatkezelési Tájékoztató (a továbbiakban: „Tájékoztató") célja, hogy a Dr. Hartmann Máté egyéni vállalkozó (a továbbiakban: „Adatkezelő") által végzett személyes adatkezelési tevékenységekről átlátható és érthető tájékoztatást nyújtson az érintettek számára, az Európai Parlament és a Tanács (EU) 2016/679 számú általános adatvédelmi rendeletének (a továbbiakban: „GDPR"), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek (a továbbiakban: „Infotv.") megfelelően.

Az Adatkezelő a személyes adatok védelmét kiemelten fontosnak tartja, és minden ésszerű intézkedést megtesz az adatok jogszerű, tisztességes és átlátható kezelése érdekében.

2. Az Adatkezelő adatai

Az Adatkezelő a GDPR 37. cikke alapján adatvédelmi tisztviselő (DPO) kijelölésére nem köteles, és ilyet nem is jelölt ki.

3. Fogalmak

A jelen Tájékoztatóban használt fogalmak jelentése a GDPR 4. cikkében meghatározottakkal egyezik. A leggyakrabban használt fogalmak:

Személyes adat: Azonosított vagy azonosítható természetes személyre („érintett") vonatkozó bármely információ.

Adatkezelő: Az a szervezet vagy természetes személy, aki a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza.

Adatfeldolgozó: Az a szervezet vagy természetes személy, aki az adatkezelő nevében személyes adatokat kezel.

Adatkezelés: A személyes adatokon végzett bármely művelet vagy műveletek összessége (gyűjtés, rögzítés, tárolás, felhasználás, törlés stb.).

Megrendelő: Az Adatkezelő szolgáltatását igénybe vevő vállalkozás vagy egyéni vállalkozó az Általános Szerződési Feltételek (a továbbiakban: „ÁSZF") szerint.

4. Az adatkezelési tevékenységek áttekintése

Az Adatkezelő az alábbi adatkezelési tevékenységeket végzi:

A jelen Tájékoztató 5–9. szakasza részletesen bemutatja az egyes tevékenységeket.

5. B2B elektronikus direkt marketing (Adatkezelőként)

5.1. Az adatkezelés célja

Az Adatkezelő — saját szolgáltatásának népszerűsítése érdekében — vállalkozások részére elektronikus levél formájában reklámüzeneteket küld („hideg B2B marketing").

5.2. Az érintettek köre

Olyan vállalkozások képviselői, akiknek a vállalkozása megjelenik a közhiteles nyilvántartásokban (különösen a cégjegyzékben), illetve akik a vállalkozásukhoz tartozó nyilvános felületeken (saját weboldal, közösségi média) szerepelnek.

Az Adatkezelő kifejezett szándéka, hogy adatkezelése csak vállalkozásokra (jogi személyekre) terjedjen ki, és lehetőség szerint kerülje a természetes személyek (különösen egyéni vállalkozók) adatainak kezelését.

5.3. A kezelt adatok köre

Az Adatkezelő kizárólag a vállalkozáshoz köthető olyan általános elektronikus elérhetőségeket gyűjti és használja, melyek konkrét természetes személyhez közvetlenül nem rendelt általános e-mail címeknek minősülnek.

Az Adatkezelő nem épít listát olyan e-mail címekből, amelyek konkrét természetes személyt azonosítanak.

Az Adatkezelő tisztában van azzal, hogy az általános e-mail címek bizonyos esetekben közvetett módon is természetes személyhez köthetők lehetnek. Az Adatkezelő ezért az adatkezelést a személyes adatok kezelésére vonatkozó szabályok teljes körű alkalmazásával végzi, függetlenül attól, hogy az adott e-mail cím egyértelműen személyes adatnak minősül-e.

5.4. Az adatok forrása

a) Közhiteles nyilvántartások, így különösen a Cégjegyzék — ahol az adott vállalkozás elérhetőségi adatai jogszabály alapján nyilvánosak.

b) A vállalkozások saját nyilvános felületei — saját weboldal, Facebook-oldal, LinkedIn-oldal stb., ahol a vállalkozás maga teszi közzé az elérhetőségét.

Az Adatkezelő nem vásárol címlistát harmadik féltől.

5.5. Az adatkezelés jogalapja

A GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek.

5.6. Jogos érdek mérlegelési teszt (összefoglaló)

Az Adatkezelő jogos érdeke: A saját szolgáltatása piaci megismertetése és új vállalkozói ügyfelek megszólítása, amely az Adatkezelő üzleti tevékenysége folytatásához szükséges.

A megfontolt szükségesség és arányosság:

• Az adatkezelés kizárólag általános, nem személyhez kötött céges e-mail címekre korlátozódik.
• Az adatok nyilvános forrásokból származnak, ahol a vállalkozás maga tette közzé az elérhetőségét.
• A küldemények kizárólag B2B (üzleti) tartalmúak, nem érintik az érintett magánéletét.
• Az Adatkezelő küldemény-volumene alacsony, nem tömeges marketingről van szó.
• Az érintettek bármikor, egyszerű módon tiltakozhatnak és leiratkozhatnak.

Az érintettek érdekei és jogai: A személyes adatok védelméhez fűződő érdeket az fenti garanciák megfelelően védik. Az érintettek észszerűen elvárhatják, hogy a vállalkozásukhoz tartozó, nyilvánosan elérhető általános üzleti e-mail címet más vállalkozások üzleti megkereséssel felhasználják, különösen amikor a megkeresés tárgya releváns szakmai szolgáltatás.

A mérlegelés eredménye: Az Adatkezelő jogos érdeke az adott adatkezeléshez fűződő érdekekkel és garanciákkal együtt felülmúlja az érintettek érdekeit és alapvető jogait.

5.7. Az adatkezelés időtartama

a) Aktív marketing-listára kerüléstől a leiratkozásig, illetve a tiltakozás kézhezvételéig.

b) A leiratkozás/tiltakozás tényét és időpontját az Adatkezelő a tiltakozás kézhezvételét követően 5 (öt) évig nyilvántartja, kizárólag annak igazolása érdekében, hogy az adott címre nem küld újabb megkeresést.

5.8. Az érintettek jogai és a tiltakozás (leiratkozás)

Az érintett bármikor, indokolás nélkül tiltakozhat a jogos érdeken alapuló adatkezelés ellen [GDPR 21. cikk]. Tiltakozás esetén az Adatkezelő haladéktalanul megszünteti a marketing-célú adatkezelést az adott e-mail cím tekintetében.

A tiltakozás (leiratkozás) az alábbi módokon nyújtható be:

• A marketing-üzenetre adott válaszüzenetben — bármely egyértelműen leiratkozási szándékot kifejező megjegyzéssel.
• Közvetlenül az info@deminimis.hu e-mail címen — a leiratkozni kívánt e-mail cím megadásával.

Minden marketing-üzenet végén az Adatkezelő egyértelmű tájékoztatást ad a leiratkozás módjáról.

5.9. Címzettek, adatfeldolgozók

Az 5. szakasz szerinti adatkezelés során az Adatkezelő az alábbi adatfeldolgozót veszi igénybe:

6. Szerződéskötés, teljesítés és platform-használat (Adatkezelőként)

6.1. Az adatkezelés célja

A Megrendelővel kötendő vagy megkötött szerződéses jogviszony létrehozása, fenntartása és teljesítése. Az adatkezelés magában foglalja különösen:

a) A szerződés előkészítését és megkötését (ide értve a Megrendelőlap fogadását és visszaigazolását), módosítását, megszüntetését.

b) A Megrendelővel és annak Felhasználóival történő, a szerződés teljesítéséhez szükséges kapcsolattartást.

c) A Platformhoz való hozzáférés biztosítását, a Felhasználói fiókok kezelését (létrehozás, módosítás, törlés).

d) Az ÁSZF szerinti de minimis átvilágítási és nyilvántartás-vezetési szolgáltatás nyújtását.

e) A szolgáltatással kapcsolatos panaszok kivizsgálását és kezelését.

f) A számlák kiállítását és a kibocsátott számlák, valamint kapcsolódó iratok tárolását.

6.2. Az érintettek köre

a) A Megrendelő (egyéni vállalkozó esetén természetes személy) törvényes képviselői és cégjegyzésre jogosult személyei.

b) A Megrendelő által kapcsolattartóként megnevezett természetes személyek.

c) A Megrendelőhöz rendelt, a Platform Felhasználói (jellemzően a Megrendelő munkavállalói, megbízottjai).

6.3. A kezelt adatok kategóriái

a) Azonosító és kapcsolattartási adatok: Név, beosztás, munkahelyi e-mail cím, munkahelyi telefonszám.

b) Egyéni vállalkozó esetén további azonosító adatok: lakcím (mint székhely), adóazonosító jel, adószám, nyilvántartási szám.

c) Képviseleti jogosultsággal kapcsolatos adatok: A cégjegyzéki adatok, illetve meghatalmazás esetén a meghatalmazás tartalma.

d) A szolgáltatás teljesítéséhez kapcsolódó adatok: A Megrendelő képviselőinek nyilatkozatai, a Megrendelőlapon szereplő adatok, a Megrendelővel folytatott e-mail és egyéb kommunikáció tartalma.

e) A Platform Felhasználói fiókokhoz tartozó adatok: Felhasználónév, e-mail cím, titkosított jelszó-hash, utolsó belépés időpontja, IP-cím, naplózási adatok.

f) Számlázási adatok: A számla kibocsátásához szükséges adatok (a vállalkozási adatok mellett szükséges esetekben természetes személy neve, lakcíme).

6.4. Az adatkezelés jogalapja

A GDPR 6. cikk (1) bekezdés b) pontja — szerződés teljesítése.

Egyéni vállalkozó Megrendelő esetén az érintett (mint szerződő fél) természetes személy adatainak kezelése közvetlenül a szerződéses jogviszonyon, illetve az annak megkötését megelőző intézkedéseken alapul.

Jogi személy Megrendelő képviselőinek, kapcsolattartóinak és Felhasználóinak adatai vonatkozásában az adatkezelés a Megrendelő és az Adatkezelő közötti szerződés teljesítéséhez objektíve szükséges, ezért alapul a GDPR 6. cikk (1) bekezdés b) pontján.

6.5. Az adatok forrása

Az adatok közvetlenül a Megrendelőtől, illetve a Megrendelő képviselőitől és kapcsolattartóitól származnak. A képviseleti jogosultság ellenőrzése céljából az Adatkezelő igénybe veheti a Cégjegyzék nyilvános adatait is.

6.6. Az adatkezelés időtartama

a) A szerződéses jogviszony fennállása alatt az adatkezelés folyamatos.

b) A szerződés megszűnését követően az adatkezelés a szerződésből származó igények kezelése érdekében szükséges ideig, legkésőbb a Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) 6:22. § szerinti általános 5 éves elévülési idő végéig folytatódik.

c) A Platform Felhasználói fiókokhoz kapcsolódó naplózási adatok megőrzési ideje 12 hónap.

6.7. Címzettek, adatfeldolgozók

A jelen 6. szakasz szerinti adatkezelési folyamatban az Adatkezelő az alábbi adatfeldolgozókat veszi igénybe:

A jelen szakasz szerinti folyamatban az Adatkezelő harmadik fél részére adatot nem továbbít. A számviteli bizonylatok továbbításáról és kezeléséről a 7. szakasz, a jogi igényérvényesítési célú adattovábbításról a 8. szakasz ad tájékoztatást.

7. Számviteli és adójogi kötelezettségek teljesítése (Adatkezelőként)

7.1. Az adatkezelési folyamat tárgya

A jelen szakasz tárgya a 6. szakasz szerinti adatkezelési folyamatban keletkező számviteli bizonylatok (különösen a kibocsátott számlák és a hozzájuk kapcsolódó dokumentumok) megőrzése és továbbítása a jogszabály által előírt címzettek (különösen a Nemzeti Adó- és Vámhivatal, a könyvelő, illetve a számlázóprogramon keresztül a NAV Online Számla rendszere) felé.

7.2. Az adatkezelés célja

A számviteli, adójogi és könyvviteli jogszabályok által előírt nyilvántartási, megőrzési, adatszolgáltatási és bejelentési kötelezettségek teljesítése.

7.3. A kezelt adatok kategóriái

a) A kibocsátott számlákon szereplő adatok (különösen egyéni vállalkozó Megrendelő esetén természetes személy neve, lakcíme, adóazonosítója).

b) A kapcsolódó könyvelési alapdokumentumokban szereplő, természetes személyt azonosító adatok.

7.4. Az adatkezelés jogalapja

A GDPR 6. cikk (1) bekezdés c) pontja — jogi kötelezettség teljesítése.

A jogi kötelezettséget különösen az alábbi jogszabályok írják elő:

• a számvitelről szóló 2000. évi C. törvény (különösen 169. §),
• az általános forgalmi adóról szóló 2007. évi CXXVII. törvény (különösen 10. §, 175. §, valamint az Online Számla bejelentési kötelezettségre vonatkozó rendelkezések),
• az adózás rendjéről szóló 2017. évi CL. törvény.

7.5. Az adatkezelés időtartama

A számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése szerinti 8 év a számla kiállítását követő üzleti év vége után.

7.6. Címzettek

a) Nemzeti Adó- és Vámhivatal (NAV) — az Online Számla rendszeren keresztül történő automatikus adatszolgáltatás útján, illetve adóhatósági ellenőrzés esetén.

b) A könyvelői szolgáltató — mint adatfeldolgozó, a könyvviteli szolgáltatás nyújtása érdekében.

A könyvelői szolgáltató konkrét adatait az Adatkezelő kérésre megadja.

8. Az Adatkezelő jogi igényeinek érvényesítése, illetve védelme (Adatkezelőként)

8.1. Az adatkezelési folyamat tárgya

A 6. szakasz szerinti adatkezelési folyamatban keletkező, a szerződés teljesítésével kapcsolatos adatok és dokumentumok továbbítása harmadik felek (különösen az Adatkezelő által megbízott ügyvéd, követeléskezelő, peres ellenfél, bíróság vagy más jogalkalmazó szerv) részére, amennyiben az az Adatkezelő jogi igényeinek érvényesítése vagy a vele szemben támasztott igények elleni védekezés érdekében szükséges.

8.2. Az adatkezelés célja

Az Adatkezelő szerződésen vagy jogszabályon alapuló igényeinek érvényesítése, illetve a vele szemben támasztott igényekkel szembeni jogi védekezés.

8.3. A kezelt adatok kategóriái

A 6. szakaszban felsorolt adatkategóriák közül a konkrét igényérvényesítéshez vagy védekezéshez szükséges adatok.

8.4. Az adatkezelés jogalapja

A GDPR 6. cikk (1) bekezdés f) pontja — jogos érdek.

Az Adatkezelő jogos érdeke: A szerződésszerű teljesítéshez fűződő érdek, illetve a jogi védekezéshez való jog gyakorlása. Az Adatkezelő — mint egyéni vállalkozó — gazdasági tevékenységének fenntartásához nélkülözhetetlen, hogy a szerződésből származó igényeit érvényesíteni tudja, és a vele szemben támasztott igényekkel szemben szakszerűen védekezhessen.

Az érintettek érdekei és jogai: Az adattovábbítás kizárólag a konkrét igényhez szükséges mértékben, a jogi képviselet és a hatékony jogi védelem érdekében indokolt címzettek felé történik. Az érintettek észszerűen elvárhatják, hogy egy szerződés keretében keletkezett adataikat a szerződő fél a jogvita rendezése érdekében felhasználja.

A mérlegelés eredménye: Az Adatkezelő jogos érdeke az adott garanciák mellett felülmúlja az érintettek érdekeit és alapvető jogait.

8.5. Az adatkezelés időtartama

Az igényérvényesítési vagy jogi védekezési cél megvalósulásáig, ennek hiányában legkésőbb a Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:22. § szerinti elévülési idő végéig.

8.6. Címzettek

a) Az Adatkezelő által megbízott ügyvéd — ügyvédi titoktartás mellett.

b) Követeléskezelő — amennyiben az Adatkezelő követeléskezelőt vesz igénybe.

c) Bíróság, hatóság, jogalkalmazó szerv — jogvita esetén.

d) Peres ellenfél és annak jogi képviselője — peres eljárás keretében, a Polgári perrendtartás által előírt mértékben.

Az adattovábbítás ténye és köre az Adatkezelő részéről nyilvántartásra kerül.

9. De minimis nyilvántartás vezetése — feltöltött dokumentumokban szereplő harmadik személyek adatai (Adatfeldolgozóként)

9.1. A jogviszony jellege

A Megrendelő által a Platformra feltöltött dokumentumokban és adatokban szereplő olyan személyes adatok tekintetében, amelyek nem a Megrendelő képviselőire, kapcsolattartóira vagy Felhasználóira vonatkoznak (így különösen: a Megrendelő kapcsolt vállalkozásainak képviselői, a támogatói okiratokban szereplő természetes személyek, a részvénykönyvekben vagy tulajdoni hányadokat rögzítő dokumentumokban szereplő természetes személyek), az Adatkezelő a Megrendelő javára végzett adatfeldolgozóként jár el a GDPR 4. cikk 8. pontja értelmében.

Ezen adatok tekintetében a Megrendelő az adatkezelő, és ő határozza meg az adatkezelés célját és eszközeit; az Adatkezelő (mint adatfeldolgozó) a Megrendelő utasításai szerint és kizárólag a szolgáltatás nyújtása érdekében végez adatkezelési műveleteket.

9.2. Az adatfeldolgozási jogviszony szabályozása

Az adatfeldolgozási jogviszony részletes szabályait, az érintett adatok típusát, az adatfeldolgozás célját és időtartamát, az adatbiztonsági intézkedéseket, az al-adatfeldolgozók kezelését és az érintetti jogok érvényesítését az ÁSZF 12. szakasza („Adatfeldolgozási feltételek") tartalmazza, amely a deminimis.hu/aszf oldalon érhető el.

9.3. Tájékoztatási kötelezettség az érintettekkel szemben

A jelen 9. szakasz hatálya alá tartozó érintettek tájékoztatása a Megrendelő (adatkezelő) felelőssége. Az érintettek a jogaikat — a GDPR 12–22. cikke alapján — közvetlenül a Megrendelőhöz fordulva érvényesíthetik. Amennyiben az érintett az Adatkezelőhöz fordul valamely jog érvényesítése iránt, az Adatkezelő a megkeresést haladéktalanul továbbítja a Megrendelőnek, és segíti a Megrendelőt a kérelem teljesítésében az ÁSZF 12. szakaszának megfelelően.

10. Az adatok biztonsága

Az Adatkezelő a GDPR 32. cikke alapján a kockázat mértékének megfelelő technikai és szervezési intézkedéseket alkalmaz az adatok biztonsága érdekében, így különösen:

a) Titkosított kommunikáció (HTTPS/TLS) a Platform és minden kapcsolódó felület tekintetében.

b) Hozzáférés-vezérlés: a Platform szerepkör-alapú jogosultságkezeléssel működik; a Felhasználók kizárólag a Megrendelő által hozzáférhetővé tett adatokat látják.

c) Erős jelszókezelés és jelszó-hash-elés a Felhasználói fiókok tekintetében.

d) Automatizált biztonsági mentések és visszaállítási képesség.

e) Naplózás a Platform használatára vonatkozóan, a biztonsági események utólagos vizsgálatának lehetővé tétele érdekében.

f) Az al-adatfeldolgozókkal kötött adatfeldolgozási szerződések, illetve azok megfelelőségi garanciái.

11. Az érintettek jogai

A GDPR 15–22. cikke alapján az érintetteket az alábbi jogok illetik meg:

a) Hozzáférés joga (GDPR 15. cikk) — Az érintett tájékoztatást kérhet arról, hogy az Adatkezelő milyen személyes adatait kezeli, és másolatot kérhet róluk.

b) Helyesbítés joga (GDPR 16. cikk) — Az érintett kérheti a pontatlan adatok helyesbítését, illetve a hiányos adatok kiegészítését.

c) Törlés joga („elfeledtetéshez való jog") (GDPR 17. cikk) — Az érintett bizonyos esetekben kérheti adatainak törlését.

d) Az adatkezelés korlátozásához való jog (GDPR 18. cikk) — Az érintett bizonyos esetekben kérheti, hogy az Adatkezelő korlátozza adatkezelését.

e) Adathordozhatósághoz való jog (GDPR 20. cikk) — Az érintett kérheti, hogy az általa rendelkezésre bocsátott adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, vagy ezeket egy másik adatkezelőnek továbbítsák.

f) Tiltakozáshoz való jog (GDPR 21. cikk) — Az érintett tiltakozhat a jogos érdeken alapuló adatkezelés ellen, ide értve a direkt marketing-célú adatkezelést is. Direkt marketing-célú adatkezelés esetén a tiltakozás joga feltétel nélkül megilleti az érintettet.

g) Az automatizált döntéshozatallal kapcsolatos jogok (GDPR 22. cikk) — Az Adatkezelő nem végez automatizált egyedi döntéshozatalt vagy profilalkotást, amely az érintettre nézve joghatással járna.

11.1. A jogok gyakorlásának módja

Az érintett a jogait az info@deminimis.hu e-mail címen érvényesítheti. Az Adatkezelő a kérelem beérkezésétől számított legfeljebb 1 (egy) hónapon belül tájékoztatja az érintettet a kérelem alapján tett intézkedésekről. Ez a határidő bonyolult vagy nagyszámú kérelem esetén további 2 (két) hónappal meghosszabbítható; a hosszabbításról az Adatkezelő a kérelem beérkezésétől számított 1 hónapon belül tájékoztatja az érintettet.

11.2. Az érintett azonosítása

Az Adatkezelő — kétség esetén — jogosult az érintett azonosítását szolgáló további információkat kérni, hogy a kérelem teljesítésekor a személyes adatokhoz illetéktelen személy ne férhessen hozzá.

12. Jogorvoslati lehetőségek

12.1. Panasz az Adatkezelőhöz

Az érintett bármikor fordulhat panaszával közvetlenül az Adatkezelőhöz az info@deminimis.hu e-mail címen. Az Adatkezelő a panaszt 30 (harminc) napon belül megvizsgálja és érdemben megválaszolja.

12.2. Felügyeleti hatóság

Az érintett az adatkezeléssel kapcsolatos panaszával a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) fordulhat:

12.3. Bírósági jogérvényesítés

Az érintett az Adatkezelő ellen pert indíthat. A per a Fővárosi Törvényszék, illetve az érintett választása szerint a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható.

13. A Tájékoztató módosítása

Az Adatkezelő fenntartja a jogot a jelen Tájékoztató egyoldalú módosítására, különösen jogszabályváltozás, hatósági állásfoglalás vagy az adatkezelési tevékenység lényeges megváltozása esetén. A módosított Tájékoztató a Weboldalon történő közzététellel lép hatályba. Az Adatkezelő a lényeges módosításokról a Megrendelőit e-mailben is értesíti.