ADATVÉDELMI TÁJÉKOZTATÓ

Hatálybalépés: 2026. április 29. Utolsó frissítés: 2026. július 30. Verzió: 1.6

Röviden: A 1booq csak a foglalások és — az 1desq modulban — a helyszíni ügyfélkezelés működéséhez szükséges személyes adatokat kezeli. Soha nem adunk el személyes adatot, és az EU adatvédelmi szabályai (GDPR) szerint működünk. Adataid exportját vagy törlését bármikor kérheted. A teljes jogi szöveg lent olvasható.

1. Bevezetés

Jelen Adatvédelmi Tájékoztató („Tájékoztató") bemutatja, hogy a 1booq online foglaláskezelő platform (üzemeltető: WaveOne Technologies Kft., a továbbiakban: „Üzemeltető") miként kezeli a személyes adatokat a Szolgáltatás használata során.

A személyes adatok kezelése az Európai Parlament és a Tanács (EU) 2016/679 rendeletével („GDPR"), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénnyel („Infotv."), valamint a vonatkozó magyar és uniós jogszabályokkal összhangban történik.

A Tájékoztatót az Általános Szerződési Feltételekkel és a Cookie Tájékoztatóval együtt kell értelmezni.

2. Adatkezelő és kapcsolattartás

Adatkezelő: WaveOne Technologies Kft. Székhely / postacím: 1181 Budapest, Vasvári Pál u. 26, Magyarország Cégjegyzékszám: 01-09-451611 Adószám: 32961430-1-43

Kapcsolat adatvédelmi ügyekben: privacy@1booq.com Általános ügyfélszolgálat: support@1booq.com

Adatvédelmi tisztviselő (DPO): az Üzemeltető jelen Tájékoztató hatálybalépésekor nem köteles adatvédelmi tisztviselőt kijelölni a GDPR 37. cikk alapján. Amennyiben a tevékenység változása miatt ilyen kijelölés szükségessé válik, úgy erről a jelen Tájékoztató frissítése útján tájékoztatjuk a Felhasználókat.

3. Fogalmak és szerepkörök

A Szolgáltatás többszereplős foglalási platform, amelyben a személyes adatkezelés szerepköröket érint.

3.1. A Felhasználók tipikus csoportjai

• Szolgáltató (angolul: Provider): a szolgáltatást nyújtó vállalkozás — az a felhasználó, aki saját vállalkozását, telephelyeit és foglalható időpontjait kezeli a platformon.
• Munkatárs (angolul: Worker): a Szolgáltató által meghívott személy, aki a Szolgáltató foglalásait kezeli.
• Ügyfél (angolul: Client): magánszemély vagy vállalkozás, aki a Szolgáltató(k) időpontjaira foglalást ad le – regisztrált felhasználóként vagy (ha a Szolgáltató engedélyezi) anonim foglalóként is.
• desq-vállalkozás: az 1desq modulban (ÁSZF 10/C. szakasz) létrehozott vállalkozás, amely a saját ügyfeleiről Ügyfélkartonokat és kapcsolódó nyilvántartásokat (szolgáltatás-értékesítés, belépés, kulcs, adatlap, fizetés) vezet.
• desq-munkatárs: a desq-vállalkozásba meghívott személy (tulajdonos, kezelő vagy recepciós szerepkörben), aki a vállalkozás ügyfél-adatait annak utasítására kezeli.

3.2. Adatkezelői és adatfeldolgozói szerepek

Az Üzemeltető a következő minőségekben jár el:

• Önálló Adatkezelő a platform általános működtetése körében (pl. regisztráció, hitelesítés, fiókkezelés, számlázás, biztonsági célok).
• Adatfeldolgozó a Szolgáltató ügyfeleinek foglalási adataira nézve azokban az esetekben, amikor a Szolgáltató saját ügyfeleit, saját üzleti céljaira kezeli a platformon. Ilyenkor a Szolgáltató az Önálló Adatkezelő az adott ügyfél-adatkörre nézve, az Üzemeltető pedig a Szolgáltató megbízásából technikailag tárolja és feldolgozza az adatokat. Ugyanez irányadó az 1desq modulra: a desq-vállalkozás Ügyfélkartonjain és kapcsolódó rekordjaiban (szolgáltatás-értékesítések, belépési és jelenléti napló, kulcs-kiadások, adatlapok, fizetési és számlázási rekordok) kezelt személyes adatok tekintetében a desq-vállalkozás az Önálló Adatkezelő, az Üzemeltető pedig Adatfeldolgozó. A részleteket — alfeldolgozói listával és biztonsági intézkedésekkel — a külön közzétett Adatfeldolgozási Megállapodás (DPA) tartalmazza (lásd még az ÁSZF 20.1. szakaszát).

3.3. Nincs közös adatkezelőség

Az Üzemeltető és a Szolgáltató nem közös adatkezelőként járnak el a GDPR 26. cikke értelmében. Mindkét fél önálló adatkezelő a 3.2. szakaszban foglalt adatkörök és adatkezelési célok tekintetében. Ahol az adat a két szerepkör között áramlik (pl. egy Foglalás, amelyet az Üzemeltető a Szolgáltató megbízásából tárol, ugyanakkor saját biztonsági naplójába is bekerül), ott mindkét fél kizárólag a saját jogalapja és saját hatáskörén belül kezeli az adatot.

4. Kezelt adatok köre

4.1. Regisztrációs és fiókadatok (minden Felhasználó)

• név,
• e-mail cím,
• jelszó (bcrypt-hash formában),
• 9 jegyű egyedi felhasználói azonosító (User UID),
• profilkép (opcionális, Supabase Storage tárolóban),
• nem (opcionális),
• telefonszám (opcionális),
• nyelvbeállítás (en/hu/de),
• e-mail hitelesítés ideje,
• fiókbeállítások és értesítési preferenciák.

Belépés Google- vagy Apple-fiókkal (OAuth). A Felhasználók e-mail/jelszó páros helyett a Google- vagy Apple-fiókjukkal is regisztrálhatnak és bejelentkezhetnek. Ilyenkor — a Felhasználónak a szolgáltató hozzájárulási képernyőjén adott felhatalmazása alapján — az Üzemeltető megkapja a Felhasználó e-mail címét és nevét a fiók létrehozásához vagy eléréséhez; a Google ezen felül a profilképet is átadja, ha elérhető. Az Apple-fiókos belépésnél a Felhasználó választhatja az Apple „E-mail-cím elrejtése" opcióját, amely esetben az Üzemeltető csak egy anonimizált Apple-átirányító e-mail címet kap, amely az üzeneteket a Felhasználónak továbbítja; az Apple a nevet csak az első belépéskor adja át, profilképet pedig nem. Az Üzemeltető a Felhasználó Google- vagy Apple-jelszavát soha nem kapja meg és nem tárolja. Az összekapcsolt fiók a profil „Bejelentkezési módok" szekciójában látható és ellenőrizhető.

4.2. Szolgáltató-specifikus adatok

• a Szolgáltató neve (cégnév, egyéni vállalkozó vagy magánszemély neve) és szolgáltatási kategóriája; a kredit-vásárláshoz kapcsolódó számlázási és adóadatokat a Paddle (Merchant of Record) kezeli, az Üzemeltető cégjegyzékszámot vagy adószámot nem tárol,
• telephelyek (provider_site): cím, város, ország, GPS-koordináták, időzóna, szolgáltatás-leírások, képek,
• a foglalási helyek konfigurációja,
• egyedi, a Szolgáltató által definiált adatmezők a foglalási űrlapokon (pl. szabadtextes megjegyzés, dátum, szám, kiválasztás).

4.3. Foglalási adatok (Ügyfél és Szolgáltató szemszögéből)

• foglalás időpontja, időtartama, státusza (BU/AP/AU/RP/RU/PA/DP/DU/NP/MV),
• a Szolgáltató által definiált foglalási űrlap kitöltött értékei,
• a foglaló személy neve, e-mail címe, telefonszáma (ha megadta),
• opcionálisan az Ügyfél megjegyzései, értékelései.

4.4. Kétfaktoros hitelesítés (2FA)

• TOTP titkos kulcs (titkosítva),
• tartalékkódok (bcrypt-hash formában).

4.5. Üzenetek

A Felhasználók között (Szolgáltató ↔ Ügyfél, Szolgáltató ↔ Munkatárs) küldhető közvetlen üzenetek (message) tartalma és metaadatai (küldő, címzett, időbélyeg, olvasás időpontja).

4.6. Értékelések és jegyzetek

• értékelés (rating, 1–5 skála) és jegyzet (note), amelyet a Szolgáltató adhat az Ügyfélről, illetve az Ügyfél adhat a Szolgáltatóról.

4.7. Fizetési és számlázási adatok

• Credit Subscription mennyiség (50–10 000 Kredit/hó) és státusz (aktív / szüneteltetett / lemondott),
• egyszeri Credit pack vásárlások nyilvántartása,
• Paddle által kezelt paddle_customer_id,
• kredit egyenleg (credit_balance) és tranzakciók (credit_transaction),
• számla történet, fizetési visszaigazolások.

Fontos: A bankkártya-adatokat, IBAN/számlaszám adatokat és más fizetési adatokat az Üzemeltető nem tárolja. Ezeket kizárólag a Paddle (Merchant of Record) dolgozza fel.

4.8. Technikai és használati adatok

• IP-cím (bejelentkezési biztonság és visszaélés-megelőzés céljából),
• eszköz- és böngészőadatok (User-Agent),
• operációs rendszer,
• naplóadatok (sikeres/sikertelen bejelentkezések, biztonsági események),
• hibajelzések és alkalmazáshibák a Sentry hibafigyelő szolgáltatáson keresztül (a hibaeseményben technikai adatok szerepelhetnek: IP-cím, böngésző-azonosító, az érintett oldal URL-je; a munkamenet-visszajátszás ki van kapcsolva, a hitelesítési fejlécek és sütik elküldés előtt eltávolításra kerülnek),
• push-értesítési tokenek és feliratkozások (kizárólag ha a Felhasználó az értesítéseket engedélyezte): webes push esetén a böngésző push-feliratkozása, mobilalkalmazásban az eszköz push-tokenje,
• tranzakciós e-mailek kézbesítési és bounce eseményei (az e-mail-szolgáltató — MailerSend — alapvető telemetriája a megbízható kézbesítés érdekében; az open tracking pixel alapértelmezetten kikapcsolva van, részletek a Cookie Tájékoztatóban),
• cookie-k és hasonló technológiák (részletesen a Cookie Tájékoztatóban).

4.9. Helyadatok

A Szolgáltató telephelyeinek helyszíne (cím + GPS-koordináták) a platformon nyilvánosan kereshető, ha a Szolgáltató a keresést engedélyezte (discoverable_flag).

A Felhasználó eszközének helyadata (geolocation): a publikus kereső és a dashboard időjárás-widgetje a böngésző helymeghatározási funkcióját használhatja, hogy közeli találatokat, illetve a tartózkodási helyhez tartozó időjárást mutasson. A böngésző ehhez engedélyt kér a Felhasználótól; az engedély megtagadható, és megtagadás esetén a Szolgáltatás az alapértelmezések (pl. választott város vagy alapértelmezett régió) szerint működik tovább. Engedély esetén az Üzemeltető a hozzávetőleges koordinátákat (kb. 4 tizedesjegyre kerekítve) a következőkre használja:

• a közeli Szolgáltatók kereséséhez (a koordináták a saját szerverünkre kerülnek), és a koordináták város/ország szintre történő visszafejtéséhez az OpenStreetMap / Nominatim geokódoló szolgáltatáson keresztül;
• az időjárás-adatok lekéréséhez az Open-Meteo szolgáltatástól (a koordináták az Open-Meteo felé kerülnek).

Az Üzemeltető a pontos helyadatot nem tárolja tartósan a Felhasználó profiljában; a keresési szűrők átmenetileg a böngészőben tárolódhatnak (lásd a Cookie Tájékoztatót). Jogalap: GDPR 6. cikk (1) a) — a böngésző helymeghatározási engedélyén keresztül adott hozzájárulás, amely bármikor visszavonható a böngésző beállításaiban.

4.10. Fiók-helyreállításhoz kapcsolódó azonosítási adatok

Ha a Felhasználó elveszíti a 2FA-eszközét és a tartalék kódjait is, és manuális fiók-helyreállítást igényel az ÁSZF 5.4. szakasza szerint, az Üzemeltető a kérelem ellenőrzéséhez bekérheti:

• a Felhasználó nevével egyező hivatalos fényképes igazolvány maszkolt (pl. csak a név és a fénykép látható, egyéb azonosítók kitakarva) másolatát,
• a regisztrált e-mail címről érkező megerősítést,
• adott esetben a számlázási adatok megerősítését.

Jogalap: GDPR 6. cikk (1) b) — szerződés teljesítése (fiók-hozzáférés visszaállítása), és 6. cikk (1) f) — jogos érdek (jogosulatlan hozzáférés megelőzése).

Megőrzés és biztonság: az azonosítási dokumentumokat az Üzemeltető titkosított csatornán fogadja, korlátozott hozzáféréssel kezeli, és az ellenőrzés befejezése után haladéktalanul, de legkésőbb 30 napon belül törli. Az Üzemeltető nem kér igazolványmásolatot egyszerű e-mail csatolmányként, ha biztonságos feltöltési csatorna áll rendelkezésre.

Az Üzemeltető lehetőség szerint alternatív azonosítási módokat részesít előnyben (regisztrált e-mail + biztonsági kérdések + számlázási adatok + adminisztratív jóváhagyás), és igazolványmásolatot csak végső esetben kér.

4.11. Külső naptár-kapcsolat adatai (opcionális)

A regisztrált Felhasználó opcionálisan összekötheti a Google Naptárát, hogy a Szolgáltatás figyelmeztethesse, ha egy új Foglalás ütközik a saját naptárában már szereplő eseménnyel. A kapcsolat kizárólag opt-in alapú, és a profilbeállításokban bármikor szétkapcsolható.

A naptár összekötött állapotában az Üzemeltető a következőket kezeli:

• a Google által kiadott OAuth hozzáférési és refresh token, titkosított formában tárolva, kizárólag az összekötött naptár olvasásához;
• az összekötött naptár eseményeinek kezdő és záró időpontja, igény szerint lekérdezve az ütközések felismeréséhez;
• az ütköző esemény címe és helyszíne, kizárólag a Felhasználónak visszamutatva, hogy az ütközés-figyelmeztetés értelmezhető legyen.

A Szolgáltatás csak olvasási hozzáférést kér (a calendar.events.readonly jogosultságot), és a Felhasználó naptárában semmit nem hoz létre, nem módosít és nem töröl. A naptári események tartalmát az Üzemeltető átmenetileg, az ütközés-ellenőrzéshez használja, és az adatbázisában nem tárolja. A naptár szétkapcsolása törli a tárolt tokeneket, és visszavonja az Üzemeltető hozzáférését a Google-nál.

Megfelelés a Google követelményeinek (Limited Use). Az 1booq a Google API-któl kapott adatok felhasználása és bármely más alkalmazás részére történő továbbítása során a Google API Services User Data Policy előírásait követi, ideértve a „Limited Use" (korlátozott felhasználás) követelményeit is. Ennek megfelelően az Üzemeltető:

• a Google Naptár adatait kizárólag a jelen pontban leírt, a Felhasználó felé megjelenő foglalásütközés-figyelmeztetés biztosítására használja;
• a Google Naptár adatait nem használja hirdetési célokra, és nem értékesíti, illetve nem továbbítja harmadik feleknek, kivéve amennyiben az e funkció biztosításához, biztonsági célból vagy jogszabályi kötelezettség teljesítéséhez szükséges;
• ezekhez az adatokhoz emberi hozzáférést nem enged, kivéve a Felhasználó kifejezett hozzájárulásával, biztonsági okból (pl. visszaélés kivizsgálása) vagy jogszabályi kötelezettség teljesítése érdekében;
• a Google Naptár adatait nem használja általános célú mesterségesintelligencia- vagy gépi tanulási modellek fejlesztésére, javítására vagy tanítására.

Kapcsolat az AI-asszisztenssel (4.12. pont). Ha a Felhasználó összekötötte a naptárát, és az AI foglalási asszisztenst használja, az asszisztens megjelöli azokat a javasolt időpontokat, amelyek ütköznek a Felhasználó naptárával, a foglalási javaslat lépésénél pedig hivatkozhat az ütköző esemény címére és időpontjára, hogy a figyelmeztetés értelmezhető legyen. A fent leírt átmeneti felhasználás alóli kivételként ezek az ütközési adatok a 4.12. pont szerint tárolt beszélgetés-előzmény részévé válnak, és kizárólag e funkció biztosítása érdekében továbbításra kerülnek az Anthropic mint az Üzemeltető adatfeldolgozója részére, ugyanazon megőrzési szabályok mellett; hirdetésre vagy AI-modellek tanítására nem kerülnek felhasználásra. A Google Naptár adatai Szolgáltatók vagy más Felhasználók számára soha nem kerülnek megosztásra.

Jogalap: GDPR 6. cikk (1) a) — hozzájárulás. A Felhasználó a naptár kifejezett összekötésével ad hozzájárulást, amely a szétkapcsolással bármikor visszavonható.

4.12. AI foglalási és kereső asszisztens adatai

A Szolgáltatás mesterséges intelligencián alapuló asszisztenst kínál (a technológiát az Anthropic PBC „Claude" modellje biztosítja), amely három felületen érhető el:

• Saját foglalási asszisztens — bejelentkezett Felhasználó számára a foglalások létrehozásának és kezelésének segítésére;
• Publikus AI-kereső a 1booq.com-on — szolgáltatók és szabad időpontok természetes nyelvű keresésére;
• Beágyazható Szolgáltató-widget — amelyet a Szolgáltató a saját weboldalán helyezhet el, és amely anonim (be nem jelentkezett) látogatóval is folytathat beszélgetést.

Az asszisztens működése során a következő adatok kerülnek feldolgozásra és — a kérés teljesítéséhez szükséges mértékben — továbbításra az Anthropic felé mint az Üzemeltető adatfeldolgozója:

• a Felhasználó által az AI-csevegésbe beírt üzenetek és a beszélgetés előzménye;
• a kérés teljesítéséhez szükséges platformadatok (pl. szabad időpontok, a Szolgáltató és Foglalási helyek publikus adatai, bejelentkezett Felhasználó esetén a saját foglalásai), amelyeket az asszisztens kontextusként kap meg.

A beszélgetéseket és üzeneteket az Üzemeltető a saját adatbázisában tárolja (ai_booking_conversation, ai_booking_message), hogy a Felhasználó a beszélgetést web és mobil között folytathassa; emellett a beszélgetésenkénti token-felhasználást méri a kredit-elszámolás kalibrálásához és a visszaélés-megelőzéshez. Az anonim widget-beszélgetések nem természetes személyhez, hanem a Szolgáltató API-kulcsához kötődnek.

Hangalapú használat (ha elérhető): az asszisztens opcionális hangmódjában a Felhasználó mikrofonon keresztül beszélhet az asszisztenshez. Ilyenkor a hangfelvétel a beszédfelismerés (átiratozás) céljából az OpenAI (Whisper) részére kerül továbbításra mint az Üzemeltető adatfeldolgozója; az asszisztens szöveges válasza pedig — ha a Felhasználó ezt a módot választotta — az OpenAI beszédszintézis-szolgáltatásával kerül gépi hangon felolvasásra. Az Üzemeltető a hangfelvételt nem tárolja — az kizárólag az átiratozás idejéig kerül feldolgozásra; az elkészült átirat a beszélgetés-előzmény részévé válik, és arra a jelen pont szerinti tárolási és megőrzési szabályok vonatkoznak. A hangmód kizárólag a Felhasználó kifejezett választására aktiválódik (mikrofon-engedély + módválasztás), és bármikor kikapcsolható. Az OpenAI az adatokat az Egyesült Államokban dolgozza fel; a garanciákat lásd a 7. és 7.1. szakaszban.

Az AI-asszisztens beszélgetés-előzményeire a jelen pont szerinti megőrzési szabályok az Ügyfél-oldali és a Szolgáltatói (operátori) használat során keletkező átiratokra egyaránt kiterjednek.

Fontos felhasználói figyelmeztetés: kérjük, ne adjon meg az AI-csevegésben különleges kategóriájú (GDPR 9. cikk) vagy a foglaláshoz szükségtelen személyes adatot. A beírt szöveg az Anthropic felé, hangmód használata esetén a hangfelvétel az OpenAI felé továbbításra kerül.

Jogalap: bejelentkezett Felhasználó saját asszisztense és a foglalási funkció esetén GDPR 6. cikk (1) b) (szerződés/szolgáltatás-funkció teljesítése); a token-mérés és visszaélés-megelőzés tekintetében GDPR 6. cikk (1) f) (jogos érdek). Az anonim widget-csevegés esetén a jogalap a GDPR 6. cikk (1) f) — az Üzemeltető és a widgetet működtető Szolgáltató jogos érdeke a látogató által kifejezetten kért csevegő-funkció biztosításában; a csevegés a Szolgáltató weboldalán, a látogató tevékeny használata nyomán jön létre, és az AI-jelleget a felület egyértelműen jelzi.

Nemzetközi adattovábbítás: az Anthropic az adatokat az Egyesült Államokban dolgozza fel; a továbbítás garanciáit lásd a 7. és 7.1. szakaszban. Az asszisztens nem hoz a Felhasználóra nézve a GDPR 22. cikke szerinti, kizárólag automatizált döntést — a foglalást minden esetben a Felhasználó (vagy a Szolgáltató beállított logikája) erősíti meg (lásd 6. szakasz).

4.13. Az 1desq modul adatai

Az 1desq a Szolgáltatás ügyfél- és recepciókezelő modulja (ÁSZF 10/C. szakasz). A modulban a következő adatok kezelése történik:

a) Ügyfélkartonok: az ügyfél neve, e-mail címe és telefonszáma (ha megadták), a desq-vállalkozás megjegyzései, számlázási adatok (számlázási név, cím, ország), a karton állapota és fiók-összekapcsolása. Ügyfélkarton a platformon fiókkal nem rendelkező személyről is vezethető (ideértve az adat-importot is); ilyenkor az érintett tájékoztatása a desq-vállalkozás kötelezettsége.

b) Szolgáltatás-értékesítések és fizetés-nyilvántartás: a kiadott szolgáltatás-konstrukciók (pl. bérlet, tagság) adatai és megállapodott ára, a rögzített fizetések (összeg, mód, időpont, részfizetés, tartozás), valamint a kiállított számlák nyilvántartási adatai (számlaszám, vevő-adatok, tételek). A kassza-funkció használatakor a kassza-munkamenetek adatai is rögzülnek: nyitó és záró összeg, várható és számolt egyenleg közti eltérés, készpénzmozgások, valamint a nyitást/zárást végző desq-munkatárs személye.

c) Belépési, jelenléti és kulcs-adatok: a belépések időpontja és a felhasznált szolgáltatás-konstrukció, a jelenléti (bent tartózkodási) állapot, valamint a kulcs- és eszközkiadások (melyik kulcs, mikor, mikor került visszaadásra).

d) Kártya-azonosítók és kioszk-események: az ügyfélhez rendelt — akár korábbi, platformon kívüli beléptető-rendszerből származó — kártya-azonosító, valamint az önkiszolgáló kioszk beolvasási eseményeinek naplója (időpont, eredmény, beolvasott azonosító). Biometrikus adatot a Szolgáltatás nem kezel.

e) Adatlapok (űrlapok): a desq-vállalkozás által meghatározott sablonok szerinti tartalom, a vállalkozás döntése szerint; ha az különleges kategóriájú (pl. egészségügyi) adatot tartalmaz, annak adatkezelője kizárólag a desq-vállalkozás, a saját GDPR 9. cikk (2) bekezdése szerinti jogalapjával (ÁSZF 10/C.5. szakasz) — az Üzemeltető azt kizárólag Adatfeldolgozóként tárolja, saját célra nem használja fel.

f) A Felhasználó saját desq-számlázási adatai: a Felhasználó a profiljában megadhatja saját számlázási adatait (név, cím, ország), hogy a desq-vállalkozások számlát állíthassanak ki a részére. Ezeket az Üzemeltető fiókadatként, önálló adatkezelőként kezeli, és a számlát kiállító desq-vállalkozás részére kizárólag a számla kiállításához szükséges körben adja át.

g) Számlázó-integráció: ha a desq-vállalkozás a saját számlázó-szolgáltatói fiókját (pl. Számlázz.hu, Billingo) köti be, az Üzemeltető a szolgáltatói API-kulcsot titkosítva tárolja, és a számla kiállításához szükséges adatokat (vevő neve, címe, tételek) a vállalkozás utasítására továbbítja a számlázó-szolgáltató felé. A számlázó-szolgáltató a desq-vállalkozás saját szerződéses partnere (önálló címzett), nem az Üzemeltető adatfeldolgozója.

Szerepek és jogalapok: az a)–e) pontok szerinti adatok tekintetében a desq-vállalkozás az Önálló Adatkezelő, az Üzemeltető Adatfeldolgozó (lásd a DPA-t); az Üzemeltető saját, önálló adatkezelői tevékenysége a modul technikai üzemeltetésére, a fiók- és díj-elszámolásra, valamint a biztonságra korlátozódik — jogalap: GDPR 6. cikk (1) b) (szerződés teljesítése) és 6. cikk (1) f) (jogos érdek: biztonság, visszaélés-megelőzés). A fiókkal rendelkező ügyfél a saját felületén látja a hozzá kapcsolt kartonok adatait; a karton és a fiók összekapcsolása kizárólag megerősített csatornán történik (ÁSZF 10/C.3. szakasz).

5. Az adatkezelés céljai és jogalapjai

5.1. Szerződés teljesítése – GDPR 6. cikk (1) b)

• felhasználói fiók létrehozása, működtetése, hitelesítése (ideértve az opcionális Google- vagy Apple-fiókkal történő belépést is),
• foglalás rögzítése, visszaigazolása, lemondása,
• fizetési és számlázási folyamatok lebonyolítása,
• platform-funkciók biztosítása (naptár, üzenetek, értékelés, kredit-rendszer),
• az 1desq modul funkcióinak biztosítása (ügyféltörzs, szolgáltatás-értékesítés, belépés-kezelés, adatlapok, számlázás-támogatás — 4.13. szakasz).

5.2. Jogi kötelezettség – GDPR 6. cikk (1) c)

• számviteli, adózási kötelezettségek (számlaőrzés 8 évig),
• hatósági megkeresések teljesítése,
• kötelező fogyasztóvédelmi tájékoztatás,
• pénzmosás elleni kötelezettségek (a Paddle oldalán is),
• amennyiben a platform működése a hatálya alá esik, a Digital Services Act (EU 2022/2065) 30. cikke szerinti kereskedői nyomon követhetőség: ebben az esetben a Szolgáltatók azonosító adatainak gyűjtése, ésszerű ellenőrzése és — alkalmazandó esetben — a fogyasztók részére történő rendelkezésre bocsátása (a ténylegesen kezelt Szolgáltató-adatkört lásd a 4.2. szakaszban),
• amennyiben a platform működése a hatálya alá esik, az EU 2021/514 (DAC7) irányelv szerinti platformüzemeltetői adatszolgáltatási kötelezettség teljesítése: a Szolgáltató azonosítási és pénzügyi adatainak az illetékes adóhatóság (NAV vagy más EU-tagállam adóhatósága) felé történő továbbítása.

5.3. Jogos érdek – GDPR 6. cikk (1) f)

• informatikai és hálózati biztonság (naplózás, hozzáférés-ellenőrzés),
• visszaélés-megelőzés (spam, csalás, automatizált támadások),
• jogi igények megalapozása, érvényesítése, védelme,
• a Szolgáltatás fejlesztése és hibajavítása, technikai teljesítmény optimalizálása.

Az Üzemeltető minden esetben elvégzi a GDPR 6. cikk (1) f) pont szerinti érdekmérlegelést, és azt kérésre rendelkezésre bocsátja.

5.4. Hozzájárulás – GDPR 6. cikk (1) a)

• hírlevél / marketing üzenetek küldése,
• nem nélkülözhetetlen cookie-k (funkcionális / analitikai / marketing),
• valóban opcionális profiladatok, mint pl. nem (ahol kizárólag statisztikai célból gyűjtjük),
• opcionális külső naptár (Google Naptár) összekötése a foglalás-ütközés felismeréséhez (lásd 4.11. szakasz).

Megjegyzés a "nem kötelező" profiladatokról: a profilkép és a telefonszám, bár megadásuk önkéntes, a GDPR 6. cikk (1) b) (szerződés teljesítése) alapján kerül kezelésre, ha a Felhasználó megadja őket — a profilkép a Szolgáltató nyilvános foglalási oldalán jelenik meg (a Szolgáltatás célzott része), a telefonszám pedig a foglaláshoz kapcsolódó kommunikációra szolgál. Az "önkéntes" jelleg arra vonatkozik, hogy a Felhasználó megadja-e őket, nem pedig a kezelésük jogalapjára, ha már megadta.

A hozzájárulás bármikor visszavonható, a visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.

6. Automatizált döntéshozatal és profilalkotás

Az Üzemeltető nem alkalmaz kizárólag automatizált döntéshozatalt (GDPR 22. cikk), amely a Felhasználóra nézve joghatással járna vagy hasonlóan jelentős módon érintené.

Az automatikus foglalás-elfogadás (auto_acc_usr_req_flag) a Szolgáltató által előre beállított, technikai jellegű elfogadási logika, amely nem minősül a GDPR 22. cikke szerinti profilalkotásnak.

Az AI foglalási és kereső asszisztens (4.12. szakasz) javaslatokat tehet (pl. szabad időpontok ajánlása, foglalási szándék összeállítása), de nem hoz a Felhasználóra nézve joghatással járó vagy hasonlóan jelentős, kizárólag automatizált döntést: a tényleges foglalást a Felhasználó erősíti meg, illetve azt a Szolgáltató által beállított elfogadási logika kezeli. Az asszisztens nem végez a Felhasználó értékelésére irányuló profilalkotást.

7. Adatfeldolgozók és adattovábbítás

Az Üzemeltető a következő adatfeldolgozókat veszi igénybe a Szolgáltatás működtetéséhez:

Az Üzemeltető minden adatfeldolgozóval a GDPR 28. cikke szerinti adatfeldolgozási szerződést köt.

A desq-vállalkozások számlázó-szolgáltatói (pl. Számlázz.hu, Billingo): e szolgáltatók nem az Üzemeltető adatfeldolgozói, hanem az adott desq-vállalkozás saját szerződéses szolgáltatói (önálló címzettek). Az Üzemeltető a számla-adatokat kizárólag a desq-vállalkozás utasítására, a vállalkozás által megadott API-kulccsal továbbítja feléjük (4.13. szakasz).

Push-értesítések kézbesítési útvonala: a webes push-értesítéseket a Felhasználó saját böngészőjének push-szolgáltatása (a böngészőtől függően pl. Google, Mozilla vagy Apple rendszere) kézbesíti a Web Push szabvány szerint, titkosított tartalommal; a mobilalkalmazás push-értesítéseit az Expo szolgáltatása továbbítja az Apple (APNs), illetve a Google (FCM) kézbesítő rendszerei felé. Push-értesítés kizárólag a Felhasználó kifejezett engedélye alapján kerül beállításra, és az engedély az eszközön, illetve a fiókbeállításokban bármikor visszavonható.

7.1. Nemzetközi adattovábbítás garanciái

EGT-n kívüli adattovábbítás esetén az Üzemeltető:

• EU-USA Data Privacy Framework tanúsítvánnyal rendelkező adatfeldolgozókat részesít előnyben,
• Standard Szerződési Záradékokat (SCC) alkalmaz (Európai Bizottság 2021/914 határozata szerinti modulok),
• a kockázatelemzés alapján kiegészítő technikai és szervezési intézkedéseket alkalmaz (átvitelkori titkosítás, hozzáférés-ellenőrzés, álnevesítés).

7.2. Harmadik fél által nyújtott azonosítási és naptár-szolgáltatások (Google, Apple)

A Szolgáltatás a következő opcionális integrációkat kínálja harmadik fél szolgáltatókkal:

• Belépés Google-fiókkal: ha a Felhasználó a Google-fiókjával regisztrál vagy lép be, a hitelesítés a Google saját infrastruktúráján történik, és az Üzemeltető kizárólag a 4.1. szakaszban leírt azonosítási adatokat kapja meg.
• Belépés Apple-fiókkal: ha a Felhasználó az Apple-fiókjával regisztrál vagy lép be, a hitelesítés az Apple saját infrastruktúráján történik, és az Üzemeltető kizárólag a 4.1. szakaszban leírt azonosítási adatokat kapja meg (adott esetben az Apple „E-mail-cím elrejtése" átirányítóján keresztül).
• Google Naptár-kapcsolat: ha a Felhasználó összeköti a Google Naptárát (4.11. szakasz), a csak olvasási naptár-hozzáférés a Google Calendar API-n keresztül történik.

Ezen integrációk esetében a Google (Google Ireland Limited / Google LLC) és az Apple (Apple Distribution International Ltd.) egyaránt önálló adatkezelőként jár el a saját adatvédelmi irányelvei szerint (Google Adatvédelmi Irányelvek, Apple Adatvédelmi Irányelvek); az Üzemeltető e tevékenységek tekintetében nem közös adatkezelő velük. Az adatcsere kizárólag a Felhasználónak a szolgáltató hozzájárulási képernyőjén adott felhatalmazása nyomán jön létre, és a Felhasználó ezt a hozzáférést bármikor visszavonhatja — a 1booq-on belül (leválasztás / szétkapcsolás), vagy a Google- vagy Apple-fiókja biztonsági beállításaiban.

8. Adatmegőrzés

A GDPR korlátozott tárolhatóság elve (5. cikk (1) bek. e) pont) szerint az alábbi megőrzési időket alkalmazzuk:

A megőrzési időt indokolhatja továbbá jogi igény érvényesítése, gyakorlása vagy védelme; ilyen esetben az adat az eljárás befejezéséig megőrizhető.

9. Adatbiztonság

Az Üzemeltető megfelelő technikai és szervezési intézkedéseket alkalmaz, különösen:

• titkosítás: adatbázis-szintű titkosítás nyugalmi állapotban, TLS 1.2+ az átvitel során,
• jelszavak: bcrypt-hash (10+ kör),
• 2FA: opcionális TOTP alapú kétfaktoros hitelesítés,
• hozzáférés-szabályozás: minimális jogosultság elvén alapuló belső hozzáférés,
• naplózás: biztonsági események központi gyűjtése,
• biztonsági mentések: titkosított formában tárolva,
• verziókövetett infrastruktúra: a változtatások auditálhatóak,
• rate limiting: 5 sikertelen bejelentkezés után 15 perc fiók-zárolás,
• CSRF, XSS, SQL injection védelem: a keretrendszer szintjén biztosítva.

10. Adatvédelmi incidensek kezelése

Adatvédelmi incidens (biztonsági, titoktartási vagy integritási sérelem) esetén az Üzemeltető a GDPR 33–34. cikke szerint jár el:

• az észleléstől számított 72 órán belül értesíti a felügyeleti hatóságot, ha az incidens a természetes személyek jogaira és szabadságaira nézve valószínűsíthetően kockázattal jár,
• amennyiben az incidens magas kockázatot hordoz, úgy indokolatlan késedelem nélkül értesíti az érintett Felhasználókat is,
• részletesen dokumentálja az incidenst, a hatását, és a megtett intézkedéseket.

11. Az érintettek jogai

A GDPR 15–22. cikke szerint Önnek joga van:

• hozzáférést kérni a személyes adataihoz,
• helyesbítést kérni a pontatlan adatok esetén,
• törlést kérni („elfeledtetéshez való jog"),
• az adatkezelés korlátozását kérni,
• adathordozhatóságot kérni (strukturált, géppel olvasható formátumban),
• tiltakozni az adatkezelés ellen (különösen jogos érdek alapú kezelés esetén),
• hozzájárulását visszavonni (ha a kezelés hozzájáruláson alapul),
• panaszt tenni a felügyeleti hatóságnál.

11.1. Kérelmek benyújtása

Kérelmeit a következő címen nyújthatja be:

• E-mail: privacy@1booq.com
• Postai úton: az Üzemeltető székhelycíme.

Az Üzemeltető a kérelemre indokolatlan késedelem nélkül, de legkésőbb 1 hónapon belül válaszol. A határidő legfeljebb további 2 hónappal meghosszabbítható a kérelem összetettsége miatt; erről az érintettet tájékoztatjuk.

11.2. Azonosítás

Az Üzemeltető a kérelem teljesítése előtt ellenőrzi a kérelmező személyazonosságát (pl. a regisztrált e-mail cím útján), a jogsértő kiadás elkerülése érdekében.

11.3. Költségek

Az Üzemeltető a kérelem teljesítését ingyenesen biztosítja, kivéve ha a kérelem nyilvánvalóan megalapozatlan vagy túlzó (ilyenkor ésszerű költségtérítést kérhet vagy megtagadhatja a kérelmet).

11.4. Kapcsolat-specifikus korlátozások

Figyelem: egy Szolgáltató által kezelt ügyfél-adatokra vonatkozó érintetti kérelem (pl. egy Ügyfél kéri egy Szolgáltatónál lévő foglalási adatainak törlését) elsődlegesen a Szolgáltatóhoz (mint Önálló Adatkezelőhöz) nyújtandó be. Az Üzemeltető mint Adatfeldolgozó a Szolgáltató utasítására jár el.

Ugyanez irányadó az 1desq Ügyfélkartonokra: az azokon és a kapcsolódó rekordokban (értékesítés, belépés, adatlap) kezelt adatokra vonatkozó érintetti kérelem elsődlegesen az érintett desq-vállalkozáshoz (mint Önálló Adatkezelőhöz) nyújtandó be; az Üzemeltető Adatfeldolgozóként a vállalkozás utasítására jár el.

A Szolgáltató az ilyen törlési kérelmet közvetlenül a Szolgáltatás felületén is teljesítheti — az egyes foglalások szintjén, a regisztrált Ügyfél kapcsolati adatlapján, illetve nem regisztrált (vendég) Ügyfél esetén e-mail cím vagy telefonszám alapján. Az Üzemeltető ezeket az eszközöket Adatfeldolgozóként biztosítja; a törlés a foglalási előzményekben az Ügyfél személyes azonosítóit eltávolítja, a foglalás személyhez nem köthető vázát (időpont, állapot) a másik fél jogos érdeke és az elszámoltathatóság érdekében megőrizve.

12. Kiskorúak adatainak védelme

A Szolgáltatás regisztrált használata kizárólag 18. életévüket betöltött személyek számára érhető el. Az Üzemeltető nem gyűjt tudatosan személyes adatokat 18 év alatti személyekről.

Amennyiben az Üzemeltető tudomására jut, hogy 18 év alatti személy adatát kezeli (a törvényes képviselő előzetes jóváhagyása nélkül), úgy az adatot indokolatlan késedelem nélkül törli.

Nem regisztrált (publikus) foglalás esetén 18 év alatti személy kizárólag a törvényes képviselő felügyelete mellett, a törvényes képviselő nevében foglalhat időpontot.

13. Üzenetek és kommunikáció

A Szolgáltatás keretében Felhasználók közötti közvetlen üzenetváltás lehetséges. Az Üzemeltető az üzenetek tartalmát nem monitorozza rutinszerűen, de:

• automatizált spam- és visszaélés-szűrő rendszerek működhetnek,
• jogszabályi kötelezettség vagy bejelentés alapján a tartalom vizsgálható,
• súlyos jogsértés esetén az üzenet eltávolítható, illetve a Felhasználó fiókja korlátozható.

Bejelentési és intézkedési mechanizmus (Digital Services Act 2022/2065/EU): jogellenes tartalom bármikor bejelenthető a legal@1booq.com e-mail címre. Az eljárás részletei (indokolt döntés, jogorvoslat) az ÁSZF 11.5. szakaszában találhatók.

A törölt üzenetek a másik fél részéről a törlést követően nem elérhetők, ugyanakkor a technikai biztonsági mentés időtartama alatt (max. 90 nap) rendszer-szinten megmaradhatnak.

14. Értékelések, jegyzetek és rangsorolás

A Szolgáltató és az Ügyfél egymást értékelheti (rating), és a Szolgáltató jegyzetet készíthet az Ügyfélről (note) saját belső használatra.

• A belső jegyzeteket más Felhasználó nem látja; ezekhez az Ügyfél érintett személyként kérheti a hozzáférést a GDPR 15. cikke alapján.
• A nyilvános értékelések (ha ilyen funkció aktív) közzététele a Szolgáltató oldalán megtörténhet. Az értékelés szerkesztését/törlését a Felhasználó kérheti, az Üzemeltető pedig moderálja a nyilvánvalóan sértő tartalmat.

15. Marketing kommunikáció

Marketing jellegű üzeneteket (hírlevél, új funkciók, speciális ajánlatok) az Üzemeltető kizárólag:

• kifejezett előzetes hozzájárulás alapján (új Felhasználó esetén) — GDPR 6. cikk (1) a) és a 2008. évi XLVIII. tv. (Grtv.) 6. §; vagy
• a Grtv. 6. § (4) bekezdése által engedélyezett keretek között meglévő ügyfélkapcsolat esetén, ugyanazon vagy hasonló Szolgáltatásra (soft opt-in)

küld. Minden ilyen üzenetben szerepel ingyenes, egy-kattintásos leiratkozási link, és a Felhasználó a fiókja beállításaiban bármikor módosíthatja a marketing-preferenciáit.

16. Cookie-k

A cookie-k és hasonló technológiák részletes leírását a külön közzétett Cookie Tájékoztató tartalmazza.

17. Panasztétel és jogorvoslat

Ha Ön úgy véli, hogy az adatkezelés jogait sérti, panaszt tehet:

Az Üzemeltetőnél: privacy@1booq.com

Vagy közvetlenül a felügyeleti hatóságnál: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 1055 Budapest, Falk Miksa u. 9–11. Postacím: 1363 Budapest, Pf. 9. E-mail: ugyfelszolgalat@naih.hu Weboldal: https://naih.hu

Ezen kívül Ön bírósághoz is fordulhat (GDPR 79. cikk). A pert lakóhelye vagy tartózkodási helye szerinti, vagy az Üzemeltető székhelye szerinti bíróság előtt is megindíthatja.

18. A Tájékoztató módosítása

Az Üzemeltető jogosult a jelen Tájékoztatót egyoldalúan módosítani, különösen:

• jogszabályi vagy hatósági követelményváltozás miatt,
• új szolgáltatási funkció bevezetése esetén,
• új adatfeldolgozó alkalmazása esetén.

Lényeges változás esetén az Üzemeltető a módosítás hatálybalépését megelőzően legalább 15 nappal előzetesen tájékoztatja a Felhasználókat e-mailben vagy a platformon belüli értesítéssel. Kizárólag hozzájáruláson alapuló, új adatkezelés esetén az Üzemeltető új, kifejezett hozzájárulást kér.

19. Kapcsolat

Adatvédelmi kérdések: privacy@1booq.com Általános ügyfélszolgálat: support@1booq.com Postai cím: az Üzemeltető székhelyére a jelen Tájékoztató 2. pontja szerint.

A Szolgáltatás használatával Ön elismeri, hogy a jelen Adatvédelmi Tájékoztatót megismerte.