← Vissza a főoldalra

Adatvédelmi tájékoztató

Hogyan kezeljük a személyes adatokat — külön az Előfizetőkét és külön a Vendégekét.

0. A legfontosabb: a kettős szerep

A MostFoglalok esetében két, élesen elkülönülő adatkezelés zajlik:

1. Az adatkezelő adatai

Adatvédelmi tisztviselő (DPO): a Szolgáltató adatvédelmi tisztviselőt nem jelölt ki. A GDPR 37. cikk (1) bekezdése szerinti feltételek nem állnak fenn: a Szolgáltató nem közhatalmi szerv; fő tevékenysége nem az érintettek rendszeres és szisztematikus, nagymértékű megfigyelése (időpontfoglalások kezelése történik, nem megfigyelés); és nem kezel nagy számban a GDPR 9. cikke szerinti különleges adatot. A Szolgáltató ezt a besorolást az ügyfélszám növekedésével rendszeresen felülvizsgálja.

A) rész — az Előfizetők adatai

Ebben a részben a Szolgáltató adatkezelőként jár el.

2. Milyen adatokat kezelünk, miért és meddig

2.1 Regisztráció és fiókkezelés

2.2 A szerződési feltételek elfogadásának bizonyítéka

2.3 Biztonsági és üzemeltetési adatok

2.4 Számlázás

2.5 Kapcsolattartás és ügyfélszolgálat

E-mailben érkező megkeresések és azok mellékletei — a válaszadás céljából, jogos érdek alapján, 1 évig.

2.6 Visszajelzések az adminisztrációs felületről

A visszajelzést a rendszer tárolja, és e-mailben továbbítja a Szolgáltatónak (a 4. pontban megnevezett levélküldő szolgáltatón keresztül).

2.7 Google Naptár-kapcsolat (opcionális)

Ha az Előfizető az adminisztrációs felületen összeköti a Google Naptárát, a rendszer a foglalásait egy általa létrehozott, külön naptárba írja ki az Előfizető Google-fiókjában.

A rendszer a Google-fiókból semmilyen más adatot nem olvas (a meglévő naptárakhoz és eseményekhez nem fér hozzá), és a kapott adatot más célra nem használja. A MostFoglalok a Google API-kból kapott adatok felhasználása és bármely más alkalmazásba történő továbbítása során megfelel a Google API Services User Data Policy szabályzatnak, beleértve annak „Limited Use" (korlátozott felhasználás) követelményeit. („MostFoglalok's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements." — Google API Services User Data Policy)

A kapcsolat bármikor leválasztható; ekkor a rendszer a létrehozott naptárat törli a Google-ben, a hozzáférést visszavonja, és a fenti adatokat törli.

3. Sütik (cookie-k)

A rendszer nem használ követő, analitikai vagy marketing sütit. Egyetlen süti működik:

Ez a szolgáltatás nyújtásához feltétlenül szükséges süti, ezért az elektronikus hírközlési szabályok szerint hozzájárulás nem szükséges hozzá. Beállításai: HttpOnly, SameSite=Lax, HTTPS-en Secure.

A nyilvános foglalóoldal és a nyitóoldal nem helyez el sütit, és nem tölt be külső forrásból betűtípust, szkriptet vagy képet — a Vendég böngészője kizárólag a mostfoglalok.hu felé kommunikál.

3.1 Nyomkövetés a kiküldött e-mailekben

Ez a pont mind a Vendégeknek, mind az Előfizetőknek küldött levelekre vonatkozik.

A rendszer a leveleket külső levélküldő szolgáltatón keresztül küldi ki (lásd a 4. pontot). A levélküldő két technikai eszközt használ:

Fontos, hogy mit jelent ez a gyakorlatban. Az átirányító cím formailag a mostfoglalok.hu aldomainje, technikailag azonban a levélküldő rendszerére mutat — a kattintás adata tehát oda kerül. A levél tartalma, a hivatkozás célja és a hivatkozás működése nem változik.

Miért van így: a megnyitási és kattintási visszajelzés a levélküldő szolgáltatás alapértelmezett, a kézbesítés ellenőrzését szolgáló funkciója. A Szolgáltató ezeket az adatokat kizárólag a kézbesítés ellenőrzésére és hibaelhárításra használja; belőlük nem készít profilt, nem használja őket célzott hirdetéshez, és nem adja át harmadik félnek.

Ki fér hozzá: a Szolgáltató és a levélküldő szolgáltató. Az Előfizető (a szalon) ezeket az adatokat nem látja — a levélküldői fiók a Szolgáltatóé, az adminisztrációs felületen megnyitási vagy kattintási statisztika nem jelenik meg.

Meddig: a levélküldő a küldési eseményeket (kézbesítés, megnyitás, kattintás) a saját, nyilvános tájékoztatása szerint legfeljebb 24 hónapig tartja meg.

Mit tehet, ha nem szeretné: a legtöbb levelezőprogramban kikapcsolható a képek automatikus letöltése — ezzel a megnyitás-jelző nem működik. A kattintás-átirányító elkerüléséhez a levélben szereplő hivatkozás helyett a mostfoglalok.hu oldalról is elérhető minden funkció.

Jogalap: a Szolgáltató álláspontja szerint a kézbesítés technikai ellenőrzése a szolgáltatás nyújtásához szükséges (GDPR 6. cikk (1) b), illetve a Szolgáltató jogos érdeke (6. cikk (1) f).

4. Kinek adjuk át az adatokat

A Szolgáltató nem ad el és nem ad át adatot marketing célra. Adattovábbítás kizárólag az alábbi, szerződéses garanciákkal rendelkező közreműködők felé történik:

Harmadik ország. A Szolgáltató maga nem továbbít személyes adatot az Európai Gazdasági Térségen kívülre, és a felsorolt közreműködők — a Google kivételével — az adatokat az Európai Unión belül kezelik. Ha az Előfizető összeköti a Google Naptárát, a 2.7 pont szerinti adatok és a foglalások kiírt adatai a Google rendszerébe kerülnek, amely azokat az Európai Gazdasági Térségen kívül, így az Amerikai Egyesült Államokban is kezelheti; ilyen esetben az adattovábbításra a GDPR V. fejezete szerinti megfelelő garanciák (az EU–USA adatvédelmi keret szerinti tanúsítás, illetve az Európai Bizottság által elfogadott általános szerződési feltételek) mellett kerülhet sor, a Google saját adatkezelési feltételei szerint. A funkció nélkül ilyen továbbítás nem történik. A levélküldő szolgáltató saját alvállalkozói között — elsősorban ügyfélszolgálati és technikai támogatási célból — lehetnek az EGT-n kívül letelepedett szervezetek; ilyen esetben az adattovábbításra kizárólag a GDPR V. fejezete szerinti megfelelő garanciák (így az Európai Bizottság által elfogadott általános szerződési feltételek, illetve az EU–USA adatvédelmi keret) mellett kerülhet sor, amelyeket a levélküldő saját adatfeldolgozói megállapodása rögzít.

Konkrétan: a levélküldő a leveleket és a hozzájuk tartozó adatokat európai uniós adatközpontokban tárolja és dolgozza fel (Franciaország, Németország, Belgium, Írország). Az Európai Gazdasági Térségen kívüli alvállalkozói nem a levelek kézbesítését végzik, hanem ügyfélszolgálati és csoporton belüli technikai támogatási feladatokat (Egyesült Államok, India, Kanada) — ezekre az általános szerződési feltételek vonatkoznak. A mindenkori, teljes alvállalkozói lista a levélküldő adatfeldolgozói megállapodásának mellékletében érhető el, és az Előfizető kérésére a Szolgáltató rendelkezésre bocsátja.

5. Automatizált döntéshozatal

A Szolgáltató nem végez profilalkotást, és nem hoz olyan, kizárólag automatizált döntést, amely az Előfizető személyes tulajdonságainak értékelésén alapulna.

Három folyamat fut automatikusan, és mindhárom kizárólag a szerződés teljesítéséhez szükséges (GDPR 22. cikk (2) a) pont):

Egyik folyamat sem értékeli az Előfizető személyét vagy viselkedését — a kiváltó ok mindhárom esetben egyetlen, objektív tény (a díj beérkezése, illetve egy dátum elérése). Az Előfizető mindhárom esetben emberi közreműködést kérhet, és a döntést vitathatja a fenti címen (GDPR 22. cikk (3)).

6. Az érintett jogai

Az Előfizető (és képviselője) jogosult:

• tájékoztatást kérni arról, milyen adatait kezeljük;
• helyesbítést kérni a pontatlan adatok javítására;
• törlést kérni („elfeledtetéshez való jog") — a jogszabályi megőrzési kötelezettség (például a számlák 8 éves megőrzése) korlátai között;
• az adatkezelés korlátozását kérni;
• adathordozhatóságot kérni — az adatait tagolt, géppel olvasható formában;
• tiltakozni a jogos érdeken alapuló adatkezelés ellen;
• hozzájárulását visszavonni, ha az adatkezelés hozzájáruláson alapul.

Hogyan: e-mailben a info@mostfoglalok.hu címen. A Szolgáltató a kérelmet legfeljebb 1 hónapon belül teljesíti; összetett kérelemnél ez 2 hónappal meghosszabbítható, amiről az érintettet tájékoztatjuk.

Jogorvoslat

Panasz a felügyeleti hatóságnál:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
1055 Budapest, Falk Miksa utca 9-11. · Levelezési cím: 1363 Budapest, Pf. 9.
Telefon: +36 1 391 1400 · E-mail: ugyfelszolgalat@naih.hu · Web: naih.hu

Bírósági jogérvényesítés: az érintett a lakóhelye vagy tartózkodási helye szerinti törvényszékhez fordulhat.

B) rész — a Vendégek adatai

Ebben a részben a Szolgáltató adatfeldolgozóként jár el.

7. Ki felel a Vendégek adataiért

A gyakorlatban: a Vendég az adataival kapcsolatos kéréseit annál a vállalkozásnál kezdeményezheti, amelynél foglalt — annak elérhetőségeit a foglalóoldal tartalmazza. Ha a Vendég mégis a Szolgáltatóhoz fordul, a Szolgáltató a kérést haladéktalanul továbbítja az érintett Előfizetőnek, és erről a Vendéget tájékoztatja.

A jogviszony részletes feltételeit az Adatfeldolgozói feltételek (DPA) tartalmazzák.

8. Milyen vendégadatokat kezel a rendszer

Ha az Előfizető összeköti a Google Naptárát, a foglalás adatai közül a Vendég neve és telefonszáma, a szolgáltatás, a munkatárs és az időpont az Előfizető Google Naptárában is megjelenik (a Vendég e-mail címe és a megjegyzés nem). Lemondáskor az esemény törlődik; a Vendég adatainak törlésekor (anonimizálásakor) a személyes adat az eseményből is kikerül.

Megerősítetlen foglalási kérelem. Ha a Vendég egy vállalkozásnál először foglal online, a foglalás csak akkor jön létre, ha a megadott e-mail címre küldött levélben megerősíti. A megerősítésig a rendszer a kérelmet — a Vendég nevét, e-mail címét, telefonszámát (ha megadta), a választott időpontot, szolgáltatást és munkatársat, valamint a hozzájárulások tényét és időpontját — legfeljebb 15 percig tárolja, és addig az időpontot fenntartja. A cél a hamis és az automatizált (gépi) foglalások kiszűrése. A meg nem erősített kérelem a határidő lejárta után legfeljebb 1 órán belül törlődik; megerősítéskor a kérelemből a személyes adatok azonnal törlődnek, és a foglalás a szokásos módon kezelendő. A rendszer rögzíti, hogy a Vendég az adott vállalkozásnál az e-mail címét megerősítette (időponttal), így a további foglalásainál már nem kér újabb megerősítést. A meg nem erősített kérelem az Előfizető adminisztrációs felületén nem jelenik meg.

9. Meddig őrizzük a vendégadatokat

A foglalási adatokhoz kapcsolódó személyes adatokat a rendszer 2 év inaktivitást követően automatikusan anonimizálja: a név, az e-mail cím, a telefonszám és a megjegyzés eltávolításra kerül, a foglalás ténye statisztikai célból megmarad.

Az Előfizető ettől függetlenül bármikor kezdeményezheti egy Vendég adatainak törlését (anonimizálását) az adminisztrációs felületen.

A meg nem erősített foglalási kérelem megőrzését a 8. pont írja le (a megerősítési határidő után legfeljebb 1 óra).

10. Marketing célú megkeresés

Adatkezelő: az Előfizető (a szalon). A Szolgáltató adatfeldolgozó.

Jogalap: a Vendég előzetes, kifejezett hozzájárulása (GDPR 6. cikk (1) a), valamint a gazdasági reklámtevékenység alapvető feltételeiről szóló 2008. évi XLVIII. törvény (Grt.) 6. §-a).

A kezelt adatok: a hozzájárulás időpontja, a megadáskori IP-cím, a hozzájárulási szöveg verziószáma, valamint a leiratkozáshoz tartozó egyedi azonosító. A verzió és az IP a hozzájárulás bizonyíthatóságához kell (GDPR 7. cikk (1)) — verzió nélkül nem lenne igazolható, mihez járult hozzá a Vendég.

A hozzájárulás bármikor, indoklás nélkül visszavonható: minden marketing-levél alján van leiratkozó link, és a levelezőprogramok egykattintásos leiratkozó gombja is működik. A leiratkozás azonnal hatályba lép, és csak arra a szalonra vonatkozik, amelyiktől a levél érkezett.

A visszavonás nem érinti a foglalással kapcsolatos (tranzakciós) leveleket: a visszaigazolást, az emlékeztetőt és a lemondás visszaigazolását a Vendég továbbra is megkapja, mert azok a szerződés teljesítéséhez szükségesek.

Kézi (telefonos) foglalásnál marketing-hozzájárulás nem rögzíthető — azt a szalon nem adhatja meg a Vendég helyett.

Megőrzés: a hozzájárulás nyoma a vendégadat általános megőrzési idejéig (9. pont), utána az anonimizálás a marketing-mezőket is törli.

11. Az online foglalás tiltása („foglalás-tiltás")

Adatkezelő: az Előfizető (a szalon). A Szolgáltató adatfeldolgozó.

Jogalap: az Előfizető jogos érdeke (GDPR 6. cikk (1) f)) — az ismételten meg nem jelenő vendég miatt kieső, más vendégnek már ki nem adható időpontok okozta kár megelőzése.

A kezelt adatok: a Vendég telefonszáma és/vagy e-mail címe, az Előfizető által megadott indoklás, valamint a bejegyzés létrehozásának és lejáratának időpontja. Az indoklás megadása kötelező — enélkül a bejegyzés nem hozható létre. Ez teszi az érdekmérlegelést utólag is ellenőrizhetővé.

Megőrzési idő: legfeljebb 1 év, utána a rendszer automatikusan törli a bejegyzést. Az Előfizető ennél rövidebbet is választhat, és a bejegyzést bármikor, egy kattintással visszavonhatja.

A hatása korlátozott: a bejegyzés kizárólag az online foglalást tiltja. A Vendég telefonon vagy személyesen továbbra is kérhet időpontot, és az Előfizető maga bármikor felveheti a foglalást.

Ez nem automatizált döntéshozatal a GDPR 22. cikke értelmében: a tiltásról az Előfizető dönt egyedileg, indoklással; a rendszer csak végrehajtja.

Az érintett jogai: a Vendég tájékoztatást kérhet arról, hogy szerepel-e a listán, tiltakozhat az adatkezelés ellen (GDPR 21. cikk), és kérheti a bejegyzés törlését. A kérést az Előfizetőhöz kell címezni, mint adatkezelőhöz.

12. Az Előfizető által feltöltött vendéglista

Adatkezelő: az Előfizető. A Szolgáltató adatfeldolgozó — az adatokat kizárólag tárolja és az Előfizető rendelkezése szerint kezeli.

Az Előfizető a korábbi nyilvántartásából feltöltheti a vendégei nevét, telefonszámát és e-mail címét. Az adatok jogszerű kezeléséért és átadásáért — ideértve az érintettek GDPR 13–14. cikk szerinti tájékoztatását is — az Előfizető felel; erről az ÁSZF 8.7 pontja külön szavatosságot tartalmaz.

Az így behozott Vendégek marketing-levelet nem kapnak, mert tőlük nincs hozzájárulás. Hozzájárulást a saját foglalásukkor tudnak adni.

C) rész — mindkét adatkezelésre vonatkozó szabályok

13. Adatbiztonság

A Szolgáltató a kockázat mértékéhez igazodó technikai és szervezési intézkedéseket alkalmaz (GDPR 32. cikk):

Hozzáférés és elkülönítés

• Minden előfizető adata logikailag elkülönítve; az adatbázis-lekérdezések szigorúan az adott előfizetőre szűrnek, központilag kikényszerítve.
• Jelszavak kizárólag egyirányú kriptográfiai lenyomatként tárolva.
• Hozzáférési tokenek szintén lenyomatként; visszavonhatók és lejárnak.
• Jelszóváltoztatáskor a korábban indított munkamenetek érvénytelenné válnak.
• Szerepkör-alapú jogosultságkezelés.

Átvitel és tárolás

• Titkosított kapcsolat (HTTPS/TLS) minden felületen.
• A Google Naptár-kapcsolat hozzáférési tokenje hitelesített titkosítással tárolva; a kapcsolat leválasztásakor törlődik.
• Az alkalmazás forráskódja és a konfiguráció (jelszavak, kulcsok) a webszerverről nem érhető el.

Támadás elleni védelem

• Kizárólag paraméterezett adatbázis-lekérdezések (SQL-injection ellen).
• Kimenet-szűrés (XSS ellen). CSRF-védelem a belépett felület (admin) minden űrlapján. A nyilvános regisztrációs és foglalási űrlapot — ahol nincs belépett munkamenet, amit ilyen támadással vissza lehetne élni — rejtett csapdamező és kérésszámláló védi.
• Biztonsági HTTP-fejlécek, beleértve a tartalombiztonsági szabályzatot (CSP) és a keretezés elleni védelmet.
• Kérésszámláló a belépés, a regisztráció és a foglalás visszaélésszerű használata ellen; fiókzárolás ismételt sikertelen belépés után.

Rendelkezésre állás és helyreállíthatóság

• Rendszeres, automatikus adatbázis-mentés.

Elszámoltathatóság

• Az adminisztrációs események naplózása (ki, mit, mikor, honnan).
• Az adatkezelési műveletek (export, törlés) külön naplózva.

Adattakarékosság

• A vendégadatok 2 év inaktivitás után automatikusan anonimizálódnak.
• Az üzemeltetési naplók 30 nap, az adminisztrációs napló 365 nap után automatikusan törlődik.

14. Adatvédelmi incidens

Saját adatkezelése körében a Szolgáltató az adatvédelmi incidenst indokolatlan késedelem nélkül, de legkésőbb a tudomásszerzést követő 72 órán belül bejelenti a NAIH-nak, és — ha az incidens valószínűsíthetően magas kockázattal jár — tájékoztatja az érintetteket.

Adatfeldolgozói szerepében a Szolgáltató az érintett Előfizetőt mint adatkezelőt indokolatlan késedelem nélkül, de legkésőbb 48 munkaidős órán belül értesíti.

15. A tájékoztató módosítása

A Szolgáltató a jelen tájékoztatót módosíthatja. A lényeges módosításról az Előfizetőket e-mailben, a hatálybalépés előtt legalább 30 nappal értesíti. A mindenkor hatályos szöveg a https://mostfoglalok.hu/adatvedelem címen érhető el, verziószámmal és hatálybalépési dátummal.

Hatályos 2026. szeptember 30. óta · Verzió: 1.5