Adatkezelési tájékoztató
Ez a tájékoztató elmondja, milyen személyes adatokat kezelünk, amikor a palmo weboldalt vagy mobilalkalmazást használod, mire használjuk őket, meddig őrizzük, kinek adjuk át, és milyen jogaid vannak. A tájékoztató az Európai Unió általános adatvédelmi rendelete ((EU) 2016/679 rendelet, GDPR) és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján készült.
1. Az adatkezelő
A személyes adataidat Győrfy Balázs magánszemély, a palmo üzemeltetője kezeli:
- Postacím: 1046 Budapest, Bajza József utca 2.
- E-mail: balazsgyorfy@gmail.com
Adatvédelmi tisztviselő kinevezésére nem vagyunk kötelesek, ezért ilyen nincs. Adatvédelmi kérdésben a fenti e-mail-címen érsz el minket.
2. Röviden
- Csak annyi adatot kérünk, amennyi a szolgáltatáshoz kell: regisztrálni felhasználónévvel, e-mail-címmel és jelszóval lehet.
- Nem használunk analitikai, reklám- vagy közösségimédia-követőket, és nem jelenítünk meg harmadik féltől származó reklámot.
- Az adataidat nem adjuk el, és marketingcélra nem adjuk át senkinek.
- A feltöltött fotókból eltávolítjuk a helyadatokat és más rejtett metaadatokat.
- A jelszavadat egyirányú titkosítással (hash) tároljuk, így azt mi sem látjuk.
3. Milyen adatokat, mire és meddig kezelünk
Az egyes adatkezelések jogalapja a GDPR 6. cikk (1) bekezdésének valamelyik pontja: b) szerződés teljesítése (a Felhasználási feltételek szerinti szolgáltatás nyújtása), c) jogi kötelezettség teljesítése vagy f) jogos érdek. Ahol jogos érdekre hivatkozunk, megnevezzük, mi az.
Regisztráció és fiók
- Adatok: felhasználónév, e-mail-cím, jelszó (hash formájában), a regisztráció és az e-mail-cím megerősítésének időpontja, az utolsó belépés időpontja, a választott nyelv, az értesítési beállítások.
- Cél: a fiók létrehozása és kezelése, a belépés, a fiókot érintő ügyekben való kapcsolattartás.
- Jogalap: szerződés teljesítése.
- Megőrzés: a fiók törléséig, utána a Törölt adatok megőrzése pont szerint.
Nyilvános profil
- Adatok: felhasználónév, és ha megadod: név, bemutatkozás, profilkép; a rólad szóló értékelések és a hirdetéseid.
- Cél: hogy a többi felhasználó tudja, kivel kerül kapcsolatba.
- Jogalap: szerződés teljesítése. A név, a bemutatkozás és a profilkép megadása önkéntes, ezeket bármikor módosíthatod vagy törölheted.
- Megőrzés: amíg nem módosítod, vagy a fiók törléséig.
Hirdetések
- Adatok: a hirdetés címe, leírása, ára, kategóriája, állapota, a megye és ha megadod, a település; a fotók; a hirdetés állapota és időpontjai; törlésnél a törlés általad megadott oka.
- Cél: a hirdetés közzététele, moderálása és megjelenítése a böngészésben és a keresésben.
- Jogalap: szerződés teljesítése.
- Megőrzés: amíg nem törlöd a hirdetést. Az archivált hirdetés a profilodon látható marad, amíg nem törlöd. A fotókból feltöltéskor eltávolítjuk az EXIF-metaadatokat (például a GPS-helyadatot és a készülék adatait).
Üzenetek és ajánlatok
- Adatok: a beszélgetés résztvevői, az üzenetek szövege, elküldésének és elolvasásának időpontja; az ajánlatok összege, állapota és időpontjai.
- Cél: a felhasználók közötti kapcsolattartás és az ajánlattétel; bejelentés esetén a visszaélések (például csalás) kivizsgálása.
- Jogalap: szerződés teljesítése; a visszaélések kivizsgálásánál jogos érdek (a felhasználók és a szolgáltatás védelme).
- Megőrzés: egy beszélgetés mindkét résztvevőhöz tartozik, ezért az egyik fél fiókjának törlése nem törli: a másik fél számára megmarad. Az üzenetekre jelenleg nem alkalmazunk automatikus törlési határidőt. Egy beszélgetés törlését a jogaid gyakorlásával kérheted.
Értékelések
- Adatok: az értékelő és az értékelt felhasználó, a hirdetés, a csillagok száma, a szöveg és az időpont.
- Cél: az eladók megbízhatóságának bemutatása és a hirdetések sorrendjének kialakítása.
- Jogalap: szerződés teljesítése; az értékelt eladó szempontjából jogos érdek (a vevők tájékoztatása).
- Megőrzés: az értékelés törléséig. A fiókod törlésekor az általad írt értékelések név nélkül megmaradnak, a rólad szóló értékelések pedig törlődnek.
Kedvencek és megtekintések
- Adatok: a kedvencnek jelölt hirdetések; bejelentkezett felhasználónál az, hogy melyik hirdetést mikor tekintette meg.
- Cél: a kedvencek listája, értesítés egy kedvenc hirdetés árának csökkenéséről, valamint a hirdetések népszerűségének kiszámítása a sorrendhez. A megtekintéseket nem használjuk személyre szabott ajánlásra, és senkinek nem mutatjuk meg, ki nézett meg egy hirdetést.
- Jogalap: szerződés teljesítése (kedvencek); jogos érdek (megtekintések: a hirdetések sorrendjének kialakítása).
- Megőrzés: a kedvenceket a kedvencekből való eltávolításig vagy a fiók törléséig, a megtekintéseket a fiók végleges törléséig őrizzük.
Értesítések
- Adatok: az értesítések tartalma és olvasottsága; az iOS-alkalmazásban az Apple által kiadott push-azonosító (push token) és az eszköz platformja.
- Cél: tájékoztatás a fiókodat érintő eseményekről e-mailben, push-értesítéssel és az értesítéslistán.
- Jogalap: szerződés teljesítése.
- Megőrzés: az értesítéseket a fiók törléséig őrizzük. A push-azonosító kijelentkezéskor, a fiók törlésekor, vagy amikor az Apple érvénytelennek jelzi (például mert törölted az alkalmazást), törlődik.
Bejelentések és moderáció
- Adatok: a bejelentő és a bejelentett felhasználó, a bejelentett hirdetés, a bejelentés oka és leírása, a döntés és időpontja, a döntést hozó adminisztrátor. Az adminisztrátori műveletekről naplót vezetünk: melyik adminisztrátor, mikor, milyen műveletet végzett, és milyen IP-címről.
- Cél: a jogsértő tartalmak kezelése, a moderációs döntések visszakövethetősége és a visszaélések megelőzése.
- Jogalap: jogi kötelezettség teljesítése (DSA 16. és 17. cikk); jogos érdek (a szolgáltatás és a felhasználók védelme, a döntések utólagos igazolhatósága).
- Megőrzés: a bejelentésekre és az adminisztrátori naplóra jelenleg nem alkalmazunk automatikus törlési határidőt. Ha a bejelentő vagy a bejelentett felhasználó fiókja véglegesen törlődik, a bejelentésből a rá utaló azonosító törlődik.
Belépés és biztonság
- Adatok: a munkamenet azonosítója és a hozzá tartozó technikai adatok (például IP-cím és böngészőtípus); a sikertelen belépési kísérletek száma; az alkalmazásban a belépési token, a hozzá tartozó eszköznév és az utolsó használat időpontja.
- Cél: a bejelentkezés fenntartása, a fiók és a szolgáltatás védelme, például a jelszópróbálgatás korlátozása.
- Jogalap: szerződés teljesítése (bejelentkezés); jogos érdek (biztonság).
- Megőrzés: a munkamenet 120 perc inaktivitás után lejár; az „Emlékezz rám” választásakor a belépés legfeljebb 400 napig megmaradhat. Az alkalmazás belépési tokenje 90 napig érvényes, és kijelentkezéskor törlődik. A belépési kísérletek számlálója néhány perc után törlődik.
Kapcsolatfelvétel, panaszok és kérelmek
- Adatok: a neved, az e-mail-címed, a leveled tartalma és a válaszunk.
- Cél: a megkeresés megválaszolása, a panaszok kezelése, jogi igények érvényesítése és védelme.
- Jogalap: jogos érdek (a megkeresések megválaszolása és a jogi igények védelme); adatvédelmi kérelmeknél jogi kötelezettség (GDPR 12. cikk).
- Megőrzés: 5 évig, ami a polgári jogi igények általános elévülési ideje.
Látogatás regisztráció nélkül
- Ha regisztráció nélkül böngészel, csak a működéshez szükséges technikai adatokat kezeljük: a kiszolgálás során látjuk az IP-címedet és a böngésződ adatait, és munkamenet-sütit helyezünk el (lásd: Sütik és helyi tárolás). Analitikát és követést nem alkalmazunk.
4. Törölt adatok megőrzése
Ha törölsz valamit (hirdetést, fotót vagy a fiókodat), vagy mi törlünk egy tartalmat moderációs döntéssel, az adat nem tűnik el azonnal a rendszerből: 90 napig elzárva, mások számára nem láthatóan megőrizzük, majd automatikusan, véglegesen töröljük. Ez idő alatt csak visszaélések és bejelentések kivizsgálására, jogi igények védelmére és hatósági megkeresés teljesítésére használjuk (jogos érdek). Ha a tartalommal kapcsolatban bejelentés van folyamatban, a végleges törlés a bejelentés lezárásáig elhalasztódik.
A fiókod törlésekor:
- a neved, a bemutatkozásod és a profilképed azonnal eltűnik a nyilvános felületről; a felhasználóneved és az e-mail-címed helyére helyettesítő azonosító kerül;
- a belépési tokenjeid, a push-azonosítóid, az értesítéseid és a kedvenceid azonnal törlődnek, a folyamatban lévő ajánlataid lezárulnak;
- az általad írt értékelések név nélkül megmaradnak, a rólad szóló értékelések törlődnek;
- a hirdetéseid archiválódnak és kikerülnek a keresésből, de a szövegük és a fotóik a közvetlen linkjükön megnyithatók maradhatnak – ha ezt nem szeretnéd, a fiók törlése előtt töröld a hirdetéseidet;
- a beszélgetéseid a másik fél számára megmaradnak, a neved helyett „Törölt felhasználó” felirattal;
- a fiók 90 nap elteltével véglegesen törlődik, vele együtt a profilképed és a megtekintési adataid is.
Az adatbázisról tárhelyszolgáltatónk rendszeres biztonsági mentést készít. A törölt adatok a mentésekből azok lejártával tűnnek el.
5. Ki fér hozzá az adataidhoz
Más felhasználók és a nyilvánosság: a profilod, a hirdetéseid és az általad írt értékelések nyilvánosak, és a keresőmotorok is indexelhetik őket. Az üzeneteidet csak a beszélgetés másik résztvevője látja.
Adminisztrátorok: a moderációt az üzemeltető és az általa megbízott, titoktartásra kötelezett adminisztrátorok végzik, akik csak a feladatukhoz szükséges adatokhoz férnek hozzá.
Adatfeldolgozók: a szolgáltatás működtetéséhez az alábbi szolgáltatókat vesszük igénybe. Ők az adatokat csak a mi megbízásunkból, a velük kötött adatfeldolgozási feltételek szerint kezelhetik:
- Laravel Cloud (Laravel Holdings Inc., 60 Broad Street, 24th Floor, #1559, New York, NY 10004, USA, privacy@laravel.com) – tárhely és alkalmazásszerver az Európai Unióban.
- Cloudflare (Cloudflare, Inc., San Francisco, USA) – a Laravel Cloud ezen a hálózaton keresztül szolgálja ki a weboldalt: túlterheléses támadások elleni védelmet és gyorsítótárazást végez, ezért látja a látogatók IP-címét és kéréseit.
- Supabase (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, privacy@supabase.com) – adatbázis és fájltárolás (fotók, profilképek) az Európai Unióban (Frankfurt) található adatközpontban.
- Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) – e-mailek kézbesítése: a címzett e-mail-címe és a levél tartalma.
- Apple Push Notification service (Apple Inc., Cupertino, USA) – push-értesítések kézbesítése az iOS-alkalmazásba: a push-azonosító és az értesítés szövege.
Bunny Fonts (BunnyWay d.o.o., Ljubljana, Slovenia): a weboldal betűtípusai innen töltődnek be, ezért a böngésződ közvetlenül kapcsolódik a Bunny szervereihez, amelyek így látják az IP-címedet. A szolgáltató saját tájékoztatása szerint nem naplóz és nem követ.
Hatóságok és bíróságok: jogszabályi kötelezettség alapján, megkeresésre (például a rendőrség, egy bíróság, a NAIH vagy az NMHH részére) a szükséges adatokat átadhatjuk.
6. Adattovábbítás az Európai Unión kívülre
Az adatbázisunk és a feltöltött fájlok az Európai Unióban tárolódnak. Néhány szolgáltatónk azonban az Egyesült Államokban vagy Szingapúrban székel, és üzemeltetési vagy támogatási célból ott is hozzáférhet adatokhoz.
Ilyenkor az adattovábbítás az Európai Bizottság EU–USA adatvédelmi keretrendszerről szóló megfelelőségi határozatán (ha a szolgáltató ehhez csatlakozott), vagy az Európai Bizottság által elfogadott általános szerződési feltételeken (standard contractual clauses) alapul (GDPR 45. és 46. cikk). Ezekről kérésre részletes tájékoztatást adunk.
8. Automatizált döntéshozatal és profilalkotás
Nem hozunk rólad olyan, kizárólag automatizált adatkezelésen alapuló döntést, amely rád nézve joghatással járna, vagy téged hasonlóan jelentős mértékben érintene (GDPR 22. cikk). A moderációs döntéseket ember hozza.
A hirdetések sorrendjét egy automatikusan számított relevanciapontszám határozza meg (frissesség, a kedvencek és a megtekintések száma, a fotók száma, az eladó értékelése). Ez a hirdetést rangsorolja, nem téged; személyre szabott ajánlást vagy reklámprofilt nem készítünk.
9. Kiskorúak
Regisztrálni csak a 18. életévét betöltött személy tud. Ha tudomásunkra jut, hogy ennél fiatalabb személy regisztrált, a fiókot töröljük. Ha szülőként vagy gondviselőként ilyet észlelsz, kérjük, írj nekünk.
10. Adatbiztonság
- A weboldal és az alkalmazás kizárólag titkosított (HTTPS) kapcsolaton érhető el.
- A jelszavakat erős, egyirányú hash-algoritmussal (bcrypt) tároljuk.
- A belépési kísérleteket korlátozzuk a jelszópróbálgatás ellen.
- Az adminisztrátori műveleteket naplózzuk; az alkalmazás adminisztrátori funkcióihoz ezen felül külön jelszó-megerősítés és időkorlát tartozik.
- Felfüggesztett fióknál a munkamenetek és a belépési tokenek azonnal érvényüket vesztik.
- A feltöltött fotókból eltávolítjuk a rejtett metaadatokat.
Ha adatvédelmi incidens történik, és az kockázattal jár a jogaidra, 72 órán belül bejelentjük a NAIH-nak; ha magas kockázattal jár, téged is haladéktalanul értesítünk (GDPR 33. és 34. cikk). Az incidensekről nyilvántartást vezetünk.
11. A jogaid
- Hozzáférés: megkérdezheted, milyen adatokat kezelünk rólad, és másolatot kérhetsz róluk (GDPR 15. cikk).
- Helyesbítés: a legtöbb adatot a fiókbeállításokban magad javíthatod; ami ott nem módosítható, annak helyesbítését tőlünk kérheted (16. cikk).
- Törlés: a fiókodat a beállításokban bármikor törölheted, és kérheted egyes adataid törlését is, ha a kezelésük már nem szükséges, vagy jogellenes (17. cikk).
- Korlátozás: kérheted, hogy vitás esetben (például ha vitatod egy adat pontosságát) az adatot a vita eldöntéséig csak tároljuk, más célra ne használjuk (18. cikk).
- Adathordozhatóság: az általad megadott, szerződés alapján kezelt adataidat géppel olvasható formátumban kérheted (20. cikk).
- Tiltakozás: a jogos érdeken alapuló adatkezelés ellen tiltakozhatsz. Ilyenkor az adatkezelést abbahagyjuk, kivéve, ha kényszerítő erejű jogos ok vagy jogi igény indokolja a folytatását (21. cikk).
A kérelmedet a balazsgyorfy@gmail.com címre küldd, lehetőleg a fiókodhoz tartozó e-mail-címről, hogy azonosítani tudjunk. Ha a kérelem más címről érkezik, a személyazonosságod ellenőrzéséhez további adatot kérhetünk.
A kérelmet indokolatlan késedelem nélkül, legkésőbb egy hónapon belül teljesítjük. Ez a határidő szükség esetén további két hónappal meghosszabbítható; erről az első hónapon belül értesítünk. Az ügyintézés ingyenes, de a nyilvánvalóan megalapozatlan vagy túlzó kérelmek teljesítését megtagadhatjuk, vagy észszerű díjat számíthatunk fel érte (GDPR 12. cikk).
12. Jogorvoslat
Ha úgy érzed, hogy megsértettük az adatvédelmi jogaidat, kérjük, először írj nekünk: igyekszünk gyorsan orvosolni a problémát.
Panaszt tehetsz a felügyeleti hatóságnál: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), cím: 1055 Budapest, Falk Miksa utca 9–11., postacím: 1363 Budapest, Pf. 9., telefon: +36 1 391 1400, e-mail: ugyfelszolgalat@naih.hu, honlap: naih.hu. Az eljárás megindításának módját a NAIH honlapja írja le. Ha az Európai Unió más tagállamában élsz, a lakóhelyed szerinti adatvédelmi hatósághoz is fordulhatsz.
Jogaid megsértése esetén bírósághoz is fordulhatsz. A per – választásod szerint – a lakóhelyed vagy a tartózkodási helyed szerint illetékes törvényszék előtt is megindítható (Infotv. 23. §).
13. A tájékoztató módosítása
Ha az adatkezelés lényegesen változik (például új adatfeldolgozót vagy új adatkategóriát vezetünk be), a tájékoztatót frissítjük, és a lényeges változásokról e-mailben vagy a szolgáltatásban megjelenő értesítéssel tájékoztatunk. Az utolsó módosítás dátuma az oldal tetején látható.