Adatkezelési tájékoztató

1. Adatkezelői szerepek

A Bokko egy online időpontkérő és foglaláskezelő platform személyes szolgáltatók számára. A rendszer két eltérő adatkezelési helyzetet kezel:

• Szolgáltatói fiók és platformüzemeltetés: a Bokko önálló adatkezelő a szolgáltató fiókadatai, hozzáférési adatai, technikai és biztonsági naplói tekintetében.
• Vendégfoglalások: a vendég által megadott foglalási adatok elsődleges üzleti célja az, hogy a kiválasztott szolgáltató a kérést kezelni tudja. A vendégfoglalási adatok tekintetében az adatkezelő a szolgáltató, a Bokko a vendégfoglalási adatok tekintetében adatfeldolgozóként jár el. Kivételt képeznek azok az esetek, amikor a Bokko platformbiztonsági, visszaélés-megelőzési vagy jogi megfelelési célból önálló döntési jogkörrel rendelkezik — ezekben az esetekben a Bokko önálló adatkezelőként jár el.
• Platformszintű feldolgozás: a Bokko a szolgáltatás működtetéséhez, fejlesztéséhez és a számlázási jogviszony teljesítéséhez szükséges egyes feldolgozásokat önálló adatkezelőként is végezheti. Ahol a Bokko statisztikai vagy fejlesztési célból anonimizált adatokat használ, az ilyen feldolgozás az érintettekre közvetlenül vissza nem vezethető formában történik.

A Bokko és a szolgáltatók közötti szerepkiosztást a GDPR 28. cikke szerinti adatfeldolgozói megállapodás rögzíti, amely a Bokko Szolgáltatói szerződésének részét képezi. A megállapodás tárgyát a vendégfoglalási adatok feldolgozása képezi, időtartama a szerződéses jogviszony fennállásáig tart, az adatkategóriákat és az érintetti köröket e tájékoztató 2. pontja tartalmazza, az utasítási jog a szolgáltatót illeti meg. A Bokko nem hoz a szolgáltatásnyújtás konkrét feltételeire és tartalmára vonatkozó üzleti döntéseket, azonban a platform működéséhez szükséges technikai feldolgozási műveleteket önállóan végzi. Ennélfogva a vendégfoglalási adatok tekintetében az adatkezelő a szolgáltató.

Open Beta üzemeltetés. A Bokko jelenleg Open Beta fázisban, magánszemély üzemeltetésében működik; cégalapítás tervezett, időpontja még nem rögzített. Az üzemeltető Ektv. 4. § (1) a)-c) szerinti alapadatai:
Üzemeltető: Mácsik Dávid (magánszemély)
Lakcím: 7100 Szekszárd, Fürdőház utca 1
Elektronikus elérhetőség: [email protected]
A tárhelyszolgáltatóra vonatkozó adatokat (Ektv. 4. § (1) h)) az Impresszum & Kapcsolat oldal tartalmazza.

1a. Adatkezelési alapelvek (GDPR 5. cikk)

A Bokko a személyes adatok kezelése során a következő, a GDPR 5. cikkében rögzített alapelveket alkalmazza:

• Jogszerűség, tisztességes eljárás és átláthatóság — minden adatkezelésünk jogalapra épül (jellemzően GDPR 6. cikk (1) a), b), c) vagy f) pont; lásd 3. szakasz), és az érintett számára átláthatóan dokumentált.
• Célhoz kötöttség — személyes adatot csak meghatározott, egyértelmű és jogszerű célra gyűjtünk, és nem kezeljük az eredeti céllal össze nem egyeztethető módon.
• Adattakarékosság — a kezelt adatok köre az adatkezelési célhoz szükségesre korlátozódik; ezért a foglaláshoz kötelező adatok minimumát (név, email cím) és minden további adatmező opcionalitását a 2. szakasz részletesen megjeleníti.
• Pontosság — a pontatlan adatot kérésre haladéktalanul helyesbítjük vagy töröljük (lásd 6. szakasz, érintetti jogok).
• Korlátozott tárolhatóság — az adatokat csak a kezelési cél eléréséhez szükséges ideig tároljuk. A részletes adatkörönkénti megőrzési időket az 5. szakasz és a Megőrzési és törlési rend tartalmazza.
• Integritás és bizalmasság — a személyes adatok biztonságát megfelelő technikai és szervezési intézkedésekkel védjük (lásd 8. szakasz).
• Elszámoltathatóság — minden adatkezelés dokumentált, a megfelelőséget igazolni tudjuk (adatfeldolgozói nyilvántartás, sub-processor lista, retention-jobs audit, consent-napló).

2. Kezelt adatok köre

A jelenlegi alkalmazáslogika alapján a Bokko az alábbi adatokat kezeli.

3. Az adatkezelés céljai és jogalapjai

3a. Marketing kommunikáció – hírlevél

A Bokko lehetővé teszi a szolgáltatók (Előfizetők) számára, hogy hírlevelet küldjenek azoknak a vendégeiknek, akik ehhez korábban önkéntesen hozzájárultak.

Jogalap

Az adatkezelés jogalapja kizárólag az érintett vendég önkéntes, konkrét és visszavonható hozzájárulása (GDPR 6. cikk (1) a) pont, GDPR 7. cikk). A hozzájárulás megadása nem feltétele a foglalás lebonyolításának, és bármikor visszavonható.

Double opt-in folyamat

A hozzájárulás gyűjtése kétlépéses folyamatban (double opt-in) történik:

1. A vendég a foglalási folyamat során opcionális jelölőnégyzet bepipálásával jelzi szándékát.
2. A rendszer megerősítő emailt küld a vendégnek egy egyszeri, időkorlátos linkkel.
3. A hozzájárulás kizárólag a link aktiválása után kerül granted (engedélyezett) állapotba.

Amíg a vendég a megerősítő linket nem aktiválja, hírlevelet nem kap.

Leiratkozás módjai

• Egyérintéses leiratkozó link: minden kiküldött hírlevél-emailben található, RFC 8058 szabványnak megfelelő List-Unsubscribe fejléccel és szöveges leiratkozó linkkel.
• Közvetlen email kérés: a vendég emailben kérheti leiratkoztatását a szolgáltatótól vagy a Bokko elérhetőségein keresztül.
• Dashboard kérés: a foglalás részleteit vagy vendégprofilját megtekintve a vendég jelezheti leiratkozási szándékát a szolgáltató felé, aki a Bokko adminisztrációs felületén érvényesítheti azt.

Suppression lista

A Bokko rendszer automatikusan kizárja a hírlevél-küldésből azokat a vendégeket, akiknek hozzájárulása visszavont, lejárt, vagy akiknél az email-cím sikertelen kézbesítési eseményt (bounce) eredményezett. Ez az elv a visszavonástól számítva azonnal érvényes.

Megőrzési idők

• Hozzájárulási napló (audit): 5 év a hozzájárulás megadásától vagy visszavonásától számítva, jogszabályi és bizonyíthatósági célból.
• Hírlevél-esemény napló (megnyitás, kézbesítési státusz): 24 hónap.

Visszavonás joga

A vendég bármikor, indoklás nélkül visszavonhatja hozzájárulását. A visszavonás nem érinti a visszavonás előtt végzett adatkezelés jogszerűségét. Visszavonás után a rendszer haladéktalanul felveszi az érintett email-címet a suppression listára.

3b. Visszajelzés-kérő email a befejezett szolgáltatás után (post-booking review request)

A Bokko lehetővé teszi a Szolgáltatók számára, hogy a befejezettnek jelölt időpont után egyszeri, tranzakciós jellegű visszajelzés-kérő emailt küldjenek a vendégnek. Ez a funkció opcionális, alapértelmezetten kikapcsolt, és kizárólag a Szolgáltató engedélyezésével aktív. A funkció nem marketing kommunikáció: nem tartalmaz promóciós tartalmat, kupont, újrafoglalási felhívást, csillagos értékelést, sem hírlevél-feliratkozási ajánlatot. A vendég kizárólag a szolgáltatás-élményre vonatkozó kérdést és a Szolgáltató kapcsolati adatait kapja.

Jogalap

Az adatkezelés jogalapja a Szolgáltató jogos érdeke a vendégkapcsolat fenntartására és a szolgáltatás-minőség visszajelzésére (GDPR 6. cikk (1) bekezdés f) pont). Az érdekmérlegelési teszt eredménye: a vendég ésszerűen elvárja a szolgáltatás utáni egyszeri ellenőrzést; az adatkezelés alacsony adatvédelmi behatolással jár (nincs profilalkotás, nincs marketing-tartalom, az emailek nem tartalmaznak megnyitási vagy kattintási mérést, és minden egyes email egyetlen kattintású leiratkozási linket tartalmaz).

Gyakorisági korlát

Ugyanaz a vendég 90 napon belül legfeljebb egy visszajelzés-kérő emailt kap ugyanattól a Szolgáltatótól (frequent-guest védelem). Ez a korlát rendszerszinten kötelező, a Szolgáltató nem írhatja felül.

Visszajelzés-kérő emailek leiratkozása

Minden visszajelzés-kérő email tartalmaz egy kattintható leiratkozási linket. A link megerősítésével (kétlépéses folyamat: link megnyitása → megerősítő gomb) a vendég ettől a Szolgáltatótól nem kap több visszajelzés-kérő emailt (per-Szolgáltató, per-vendég leiratkozás). A leiratkozási döntés a rendszer szempontjából irreverzibilis; ha a vendég később mégis visszavonja, közvetlenül a Szolgáltatóhoz kell fordulnia.

Tiltakozási jog

A vendég a GDPR 21. cikk (1) bekezdése alapján bármikor tiltakozhat az ezen célból végzett adatkezelés ellen. Tiltakozás esetén a Szolgáltató köteles haladéktalanul leállítani a további visszajelzés-kérő emailek küldését.

Megőrzési idők

• Visszajelzés-kérő email audit (task) napló: 3 hónap a létrehozástól. Operatív audit és hibakeresési cél.
• Vendég-szintű küldési időbélyeg (a gyakorisági korlát számításához): a vendég nyilvántartásának megőrzési ideje szerint (lásd Megőrzési és törlési rend).

4. Címzettek, adatfeldolgozók és igénybe vett infrastruktúra-szolgáltatók

A jelenlegi architektúra alapján az adatok az alábbi szolgáltatókhoz vagy infrastruktúra-partnerekhez juthatnak el. Egyes szolgáltatók csak opcionális funkciók aktiválása esetén vesznek részt a feldolgozásban.

• Google Firebase - Auth, Firestore, Cloud Functions, Hosting és Firebase Analytics infrastruktúra.
• BulkGate (Spoje.net, s.r.o.) - SMS emlékeztetők kiküldése. EU-s székhely; az SMS-kézbesítési lánc harmadik országot is érinthet.
• Mailjet - tranzakciós email értesítések (foglalási státusz, emlékeztetők, opcionális post-booking visszajelzés-kérés) kiküldése.
• Sentry — hibamonitoring és technikai diagnosztika. A Bokko Sentry konfigurációja beforeSend hookon keresztül technikai adatminimalizálási szűrést alkalmaz: többek között az email-címek, telefonszámok, hitelesítési tokenek és ismert foglalási token minták redaktálva kerülnek továbbításra a Sentry felé.
• Google Calendar API - opcionális naptár-szinkronizáció. A Bokko minimális jogosultságú (calendar.events) hozzáférést kér; csak a saját maga által létrehozott eseményeket írja és olvassa. A munkatársi naptár-push és a törlés-detektálás csak kifejezett kapcsolódás (opt-in) esetén aktív.
• Google Maps Platform (Places API) — cím-autocomplete a szalonprofil és a vendég számlázási cím mezőknél; a keresési karakterek Google szervereire kerülnek, a foglalási profillal való összekapcsolás nélkül.
• Stripe, Barion, SimplePay — online fizetésekhez, előlegekhez, refundokhoz és kapcsolódó fizetési metaadatokhoz előkészített szolgáltatók, ha az Előfizető ilyen funkciót aktivál és a Bokko az adott szolgáltatást elérhetővé teszi. Open Beta alatt a Bokko által kezelt online fizetési adatáramlás nem aktív; ezek az integrációk előkészített állapotban vannak.
• Billingo, Számlázz.hu - opcionális számlázási integrációk és a számlakiállításhoz szükséges számlázási adatok feldolgozása.
• Cloudflare - DNS-kezelés és Cloudflare Web Analytics: a getbokko.com landing oldalakon cookie nélküli, aggregált látogatottsági mérés; a Bokko nem használja egyedi felhasználói profilalkotásra. A mérési script kizárólag analytics hozzájárulás esetén töltődik be.

Egyes szolgáltatók esetén az adatok az Európai Gazdasági Térségen kívülre is továbbítódhatnak. A részletes, aktuális szolgáltatólista és a régiós/adattovábbítási bontás a külön al-adatfeldolgozói oldalon érhető el. Az adattovábbítás jogszerűsége jellemzően az alábbi mechanizmusokon alapul:

• Általános szerződési feltételek (SCC): az Európai Bizottság 2021/914/EU végrehajtási határozata szerinti standard szerződési feltételek, amelyekre az érintett szolgáltatók támaszkodnak.
• EU–US Data Privacy Framework (DPF): ahol az adatfeldolgozó tanúsítvánnyal rendelkezik az EU–US Data Privacy Framework keretében, az adattovábbítás ezen az adequacy decision alapján is jogszerű.

A Bokko a vonatkozó szolgáltatói és szerződéses garanciákra, különösen SCC-re és — ahol alkalmazható — az EU–US Data Privacy Frameworkre támaszkodik.

A Bokko fenntartja a jogot adatfeldolgozók bevonására vagy cseréjére, amelyről a szolgáltatókat megfelelően tájékoztatja.

4a. Külső szolgáltatások (nem adatfeldolgozók)

A foglalási oldalon az alábbi külső szolgáltatások jelenhetnek meg. Ezek a szolgáltatások saját adatkezelők (independent controllers) — nem a Bokko al-adatfeldolgozói. Saját adatvédelmi feltételeik vonatkoznak rájuk.

Google Maps térkép

A foglalási oldalon a szolgáltató címének megjelenítéséhez Google Maps térkép jelenhet meg, amennyiben a szolgáltató a címét a Google Places keresőből választotta ki és a térkép szekció be van kapcsolva. A térkép NEM töltődik be automatikusan; egy „Térkép megjelenítése" gombra kell kattintanod ahhoz, hogy a böngésződ kapcsolódjon a Google szolgáltatásaihoz. Ha kattintottál, a választásod a böngésződ helyi tárolójában (localStorage bokko.mapConsent) domain-szinten eltárolódik — minden további bokko.app-foglalási oldalon a térkép automatikusan megjelenik ugyanazon a böngészőn. A térkép betöltésekor a böngésződ kapcsolatba léphet a Google szolgáltatásaival, amely során a Google technikai adatokat — például IP-címet, böngésző- és eszközadatokat, időpontot és referrer információt — kezelhet, illetve a Google saját cookie- és bejelentkezési állapotától függő adatokat.

A Google Maps használatára a Google adatvédelmi szabályzata és a Google szolgáltatási feltételei vonatkozhatnak.

A térkép-beállítást bármikor visszavonhatod a saját foglalási oldalad adatkezelési tájékoztató linkjén keresztül (a foglalási oldal láblécéből vagy az „Adatkezelés" gomb-ról elérhető oldalon). A visszavonás után minden Bokko-foglalási oldalon ismét placeholder jelenik meg, és a térképet újra el kell fogadnod. (A visszavonás technikailag csak a booking.bokko.app origin alatti oldalakon működik — a jelenlegi getbokko.com oldalon megjelenített tájékoztató ezt dokumentálja, de magát a böngésződ tárolóját más origin felől nem tudja módosítani.)

Google reCAPTCHA Enterprise

A Bokko a publikus foglalási, regisztrációs és más automatizált visszaélésre érzékeny felületeken Google reCAPTCHA Enterprise bot- és abuse-szűrést alkalmaz. A védelem célja a tömeges automatizált foglalási vagy regisztrációs kísérletek megelőzése, illetve az SMS- és email-küldési erőforrások védelme. A szűrés a háttérben fut, a felhasználónak nem kell rejtvényt megoldania, nincs kattintási interakció — a Google a böngészőből származó adatok alapján kockázati pontszámot számít, és csak a magas kockázatú forgalmat utasítja el.

A reCAPTCHA Enterprise használata során a Google a böngésződ által automatikusan átadott technikai adatokat kezeli — például IP-címet, böngésző- és eszközjeleket, interakciós és risk analysis adatokat — valamint egy szükséges sütit állít be (lásd a 7. szekciót). Az adatkezelés jogalapja a Bokko jogos érdeke a szolgáltatás biztonságos üzemeltetésében (GDPR 6. cikk (1) bek. f) pont). A harmadik fél: Google Ireland Limited (EU). További információ: Google adatvédelmi szabályzata, reCAPTCHA Enterprise dokumentáció.

5. Megőrzési idők

A Bokko külön megőrzési és törlési rendet alkalmaz. A részletes szabályok a Megőrzési és törlési rend oldalon érhetők el. A megőrzési szabályok részben automatizált, részben adminisztratív eljárásokkal kerülnek végrehajtásra.

A teljes, adatkörönkénti megőrzési táblázat a Megőrzési és törlési rend oldalon érhető el.

6. Érintetti jogok

Az érintetteket a vonatkozó jogszabályok szerint megilletheti különösen:

• a hozzáféréshez való jog,
• a helyesbítéshez való jog,
• a törléshez való jog,
• az adatkezelés korlátozásához való jog,
• az adathordozhatósághoz való jog,
• a tiltakozáshoz való jog a jogos érdeken alapuló adatkezeléssel szemben;
• az automatizált döntéshozatal és profilalkotás elleni védelem joga (GDPR 22. cikk) — a Bokko jelenleg nem végez ilyen feldolgozást; részletek: AI és automatizált feldolgozás.

Ha a kérés közvetlenül egy adott szolgáltatónál történt foglalással kapcsolatos, az érintetti kérelmet elsőként a szolgáltató tudja érdemben kezelni, mivel a vendégfoglalási adatok tekintetében az adatkezelő a szolgáltató. A Bokko a szolgáltató adatfeldolgozójaként a szolgáltató utasításai alapján jár el, és indokolatlan késedelem nélkül támogatja az érintetti kérelmek teljesítését, figyelembe véve a vonatkozó jogszabályi határidőket.

A Bokko saját adatkezelési körébe tartozó kérelmeket (pl. szolgáltató fiókadatai) közvetlenül a [email protected] címen lehet benyújtani.

7. Sütik és technikai naplók

A rendszer technikailag szükséges sütiket és böngészőoldali tárolóelemeket alkalmaz — beleértve a cookie, localStorage és sessionStorage megoldásokat — például a Firebase Auth munkamenet-kezeléséhez, a consent állapot tárolásához, a nyelvi és megjelenési preferenciákhoz, valamint egyes foglalási űrlapok előkitöltéséhez.

A Bokko hozzájáruláshoz kötött analitikai mérést alkalmaz:

• Platform alkalmazások (dashboard, foglalási oldal): Firebase Analytics a Flutter platformalkalmazásokban — kizárólag az érintett előzetes hozzájárulása esetén aktiválódik.
• Landing oldalak (getbokko.com): Cloudflare Web Analytics — cookie nélküli, aggregált statisztika; a Bokko nem használja egyedi felhasználói profilalkotásra; kizárólag analytics hozzájárulás esetén töltődik be.

Remarketing vagy célzott hirdetési sütiket a Bokko jelenleg nem alkalmaz.

A publikus foglalási és regisztrációs felületeken a Google reCAPTCHA Enterprise bot-szűrés egy szükséges sütit (_GRECAPTCHA) is elhelyezhet a böngésződben. Ez a süti a kockázatelemzéshez szükséges technikai cookie, jogos érdek alapján consent nélkül kezelt; lejárati ideje a Google által meghatározott időtartam (a böngésződ Application → Cookies nézetében ténylegesen megfigyelhető). Harmadik fél: Google. A reCAPTCHA Enterprise adatkezelésének részleteit a 4a szekció tartalmazza.

A részletes sütitípusokat, megőrzési időket és a hozzájárulás kezelését a Cookie és tracking tájékoztató tartalmazza.

8. Adatbiztonság

A Bokko a jelenlegi implementáció szerint több technikai védelmi megoldást alkalmaz, így például:

• jogosultságalapú Firestore hozzáférés-szabályokat,
• közvetlen kliens oldali foglalásírás tiltását,
• telefonnormalizálást és visszaélés-megelőző rate limitet,
• token alapú vendégválasz-oldalt átütemezési helyzetekre — a tokenek időben korlátozott érvényességűek és egyszer használatosak,
• több rétegű automatikus biztonsági mentést (Point-in-Time Recovery 7 napra, napi backup 14 napos retentionnal, heti backup 84 napos retentionnal) — részletek a DPA 14. szakaszában.

Teljes biztonság azonban az interneten nem garantálható. A Bokko hozzáférés-naplózási, folyamatos felülvizsgálati és incidenskezelési eljárásokat alkalmaz az adatok védelme érdekében. Adatvédelmi incidens esetén a Bokko a vonatkozó jogszabályoknak megfelelően jár el. Ha a Bokko az adott adatkezelés tekintetében adatkezelőként jár el, szükség esetén indokolatlan késedelem nélkül, lehetőség szerint a GDPR 33. cikke szerinti 72 órás határidőn belül értesíti az illetékes felügyeleti hatóságot, valamint súlyos kockázat esetén az érintetteket is. Ha a Bokko adatfeldolgozóként jár el, az incidenst indokolatlan késedelem nélkül jelzi az érintett szolgáltató részére.

A Bokko kizárólag a szükséges és arányos adatokat kezeli. Az adatminimalizálás elvét a funkcióterv és a kódbázis szintjén érvényesítjük.

9. Panasz és kapcsolat

Adatvédelmi tisztviselő (DPO): A Bokko a GDPR 37. cikke alapján adatvédelmi tisztviselő kijelölésére nem köteles, mivel (a) nem közhatalmi szerv vagy közfeladatot ellátó szerv, (b) fő tevékenysége nem igényel olyan adatkezelési műveleteket, amelyek jellegüknél, hatókörüknél és/vagy céljaiknál fogva az érintettek rendszeres és szisztematikus, nagy léptékű megfigyelését teszik szükségessé, és (c) nem kezel nagy léptékben különleges kategóriájú vagy büntetőjogi adatokat. Adatvédelmi kérdésekkel közvetlenül a [email protected] címen lehet kapcsolatba lépni.

Adatvédelmi kérdés vagy kérelem esetén írj a következő címre: [email protected]. A Bokko indokolatlan késedelem nélkül, legkésőbb a vonatkozó jogszabályi határidőn belül válaszol.

Magyarországon panasz nyújtható be a Nemzeti Adatvédelmi és Információszabadság Hatósághoz is:
NAIH
1055 Budapest, Falk Miksa utca 9-11.
Telefon: +36 (1) 391-1400
Email: [email protected]
https://www.naih.hu/

10. Verziókezelés

A Bokko fenntartja a jogot a tájékoztató frissítésére. Lényeges változás esetén az új verzió hatálybalépési dátumát ezen az oldalon kell feltüntetni, és szükség esetén külön értesítést is kell küldeni a szolgáltatók részére.

Felülvizsgálat: A Bokko a jelen tájékoztatót évente, illetve uniós vagy hazai jogszabályváltozás esetén felülvizsgálja, és a megállapított változásokat új verzióban érvényesíti. A korábbi hatályos verziók a Jogi dokumentumok oldal aljáról elérhetők.