Adatvédelmi Tájékoztató

Az Adatkezelő adatai

Adatvédelmi tisztviselő

Az Adatkezelő a GDPR 37. cikke alapján nem köteles adatvédelmi tisztviselő kijelölésére. Az adatvédelemmel kapcsolatos kérdésekkel, kérelmekkel az Adatkezelő az info@hirlevelek.eu e-mail címen kereshető.

A kezelt adatok köre, céljai és jogalapjai

Az alábbiakban részletezzük az egyes adatkezelési tevékenységeket, a kezelt adatok körét, az adatkezelés célját, jogalapját és az adatmegőrzési időt.

3.1. Regisztrációs adatok

3.2. Számlázási adatok

3.3. Feliratkozói adatok (a Felhasználó által kezelt adatok)

3.4. Technikai adatok

3.5. AI generálási adatok

3.6. Fizetési adatok

3.7. Kampány statisztikák

3.8. Google Analytics adatok

3.9. Facebook/Meta Pixel adatok

Jogalapok részletezése

4.1. Szerződés teljesítése — GDPR 6. cikk (1) b)

A regisztrációs adatok, fizetési adatok és AI generálási adatok kezelése a Felhasználó és a Szolgáltató közötti szerződés teljesítéséhez szükséges. Ezen adatok megadása nélkül a Szolgáltatás nem vehető igénybe.

4.2. Jogos érdek — GDPR 6. cikk (1) f)

A technikai adatok, kampánystatisztikák, és egyes feliratkozói adatok kezelése az Adatkezelő jogos érdekén alapul. Az érdekmérlegelési teszt dokumentációja az Adatkezelőnél rendelkezésre áll.

Az Adatkezelő jogos érdekei különösen:

• a Szolgáltatás biztonságos üzemeltetése és a visszaélések megelőzése;
• a Szolgáltatás minőségének javítása;
• a szerződéses jogok érvényesítése.

4.3. Hozzájárulás — GDPR 6. cikk (1) a)

Az analitikai cookie-k (Google Analytics), marketing cookie-k (Facebook Pixel), valamint a marketing célú e-mailek küldése kizárólag az érintett előzetes, önkéntes, tájékoztatáson alapuló hozzájárulásán alapul. A hozzájárulás bármikor visszavonható — a visszavonás nem érinti a megelőző adatkezelés jogszerűségét.

4.4. Jogi kötelezettség — GDPR 6. cikk (1) c)

A számlázási adatok megőrzése a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése alapján 8 évig kötelező. Az Adatkezelő e kötelezettségének a Billingo számlázó rendszeren keresztül tesz eleget.

Adattovábbítás harmadik országba

A Szolgáltató az alábbi esetekben továbbít személyes adatokat az EGT-n kívüli harmadik országba (Amerikai Egyesült Államok):

• Resend, Inc. (e-mail küldés)
• Twilio Inc. / SendGrid (e-mail küldés)
• Stripe, Inc. (fizetésfeldolgozás)
• Cloudflare, Inc. (CDN, képtárolás)
• OpenAI, LLC (AI szöveggenerálás)
• Anthropic, PBC (AI szöveggenerálás)

Az USA-ba irányuló adattovábbítás jogalapja: az Európai Bizottság által jóváhagyott általános szerződési feltételek (Standard Contractual Clauses, SCCs) a GDPR 46. cikk (2) bekezdés c) pontja alapján, illetve amennyiben alkalmazandó, az EU-USA Data Privacy Framework megfelelőségi határozata alapján.

Adatfeldolgozók

Adatmegőrzési idők összefoglaló

Az érintettek jogai

A GDPR III. fejezete (12–22. cikk) és az Infotv. alapján az érintetteket az alábbi jogok illetik meg:

8.1. Hozzáférési jog — GDPR 15. cikk

Az érintett jogosult tájékoztatást kérni arról, hogy adatai kezelés alatt állnak-e, és ha igen, hozzáférhet azokhoz, valamint az adatkezelés céljaihoz, kategóriáihoz, a megőrzési időhöz és az egyéb kapcsolódó információkhoz.

8.2. Helyesbítéshez való jog — GDPR 16. cikk

Az érintett kérheti pontatlan személyes adatainak indokolatlan késedelem nélküli helyesbítését, illetve a hiányos adatok kiegészítését.

8.3. Törléshez való jog — GDPR 17. cikk

Az érintett kérheti adatainak törlését, ha az adatkezelés célja megszűnt, a hozzájárulást visszavonta, tiltakozik az adatkezelés ellen, vagy az adatokat jogellenesen kezelték. A törlési jog nem alkalmazandó jogi kötelezettség (pl. számlázási adatok 8 éves megőrzése) esetén.

8.4. Az adatkezelés korlátozásához való jog — GDPR 18. cikk

Az érintett kérheti az adatkezelés korlátozását, ha vitatja az adatok pontosságát, az adatkezelés jogellenes, vagy jogi igények előterjesztéséhez szüksége van az adatokra.

8.5. Adathordozhatósághoz való jog — GDPR 20. cikk

Az érintett jogosult a rá vonatkozó adatokat tagolt, géppel olvasható formátumban (pl. CSV, JSON) megkapni, és azokat más adatkezelőhöz továbbítani.

8.6. Tiltakozáshoz való jog — GDPR 21. cikk

Az érintett bármikor tiltakozhat a jogos érdeken alapuló adatkezelés ellen. Közvetlen üzletszerzés esetén a tiltakozás korlátozás nélkül érvényesíthető.

8.7. Automatizált döntéshozatal elleni védelem — GDPR 22. cikk

A Szolgáltatás keretében kizárólag automatizált adatkezelésen alapuló, joghatással járó döntés nem történik.

8.8. Hozzájárulás visszavonása

A hozzájárulás visszavonható a cookie beállítások módosításával, az e-mailekben lévő leiratkozási linkkel, vagy az info@hirlevelek.eu e-mail-re küldött kérelemmel.

Jogorvoslati lehetőségek

Ha az érintett megítélése szerint az Adatkezelő megsértette a vonatkozó jogszabályokat, panaszt nyújthat be:

Az érintett a GDPR 79. cikke és az Infotv. 22. §-a alapján bírósági jogorvoslattal is élhet — a per a lakóhely vagy tartózkodási hely szerinti törvényszék előtt indítható. Az érintett a GDPR 82. cikke alapján kártérítést is követelhet, ha az adatkezelés megsértése kárt okozott.

Cookie-k (sütik)

A Szolgáltatás cookie-kat használ a működéshez, analitikához és marketinghez. A részletes szabályokat a Cookie Szabályzat tartalmazza, amely a jelen Tájékoztató elválaszthatatlan részét képezi.

Adatbiztonság

Az Adatkezelő a GDPR 32. cikke alapján megfelelő technikai és szervezési intézkedéseket alkalmaz a személyes adatok védelme érdekében. Az alkalmazott biztonsági intézkedések (a NAIH 2024–2025-ös iránymutatásával összhangban):

• Titkosítás: TLS/SSL (HTTPS) protokollon keresztüli adatátvitel. Az adatbázisban tárolt érzékeny adatok titkosítva kerülnek tárolásra.
• Jelszókezelés: bcrypt algoritmussal hash-elt jelszavak — az Adatkezelő nem fér hozzá a nyers jelszóhoz.
• Hozzáférés-korlátozás: need-to-know elv, titoktartási kötelezettség.
• Kétfaktoros hitelesítés (2FA): az adminisztratív hozzáférésekhez kétfaktoros azonosítás szükséges.
• Biztonsági mentés: rendszeres automatizált, titkosított biztonsági mentések, amelyeket az Adatkezelő elkülönített, geográfiailag szeparált helyen tárol.
• Naplózás és eseményfigyelés: hozzáférési naplók a jogosulatlan belépés észlelésére, valós idejű eseményfigyelés.
• Szoftverfrissítések: a szerver és az alkalmazás rendszeres, haladéktalan biztonsági frissítést kap.
• Tűzfal és DDoS-védelem: Cloudflare hálózati szintű védelme.
• Tesztelési környezet szeparálása: fejlesztői és éles környezetek szigorúan elkülönítve üzemelnek (NAIH NAIH-5446-9/2024 határozatával összhangban).
• Rendszeres biztonsági audit: rendszeres sebezhetőségi vizsgálatok és biztonsági ellenőrzések.

Az Adatkezelő adatvédelmi incidensek bekövetkezése esetén az adatbiztonsági intézkedéseit felülvizsgálja és szükség esetén megerősíti.

Automatizált döntéshozatal és profilalkotás

A Szolgáltatás keretében a GDPR 22. cikke értelmében vett automatizált döntéshozatal nem történik. Az AI szöveggenerálás nem minősül profilalkotásnak, mivel nem az érintett személyes adatai alapján és nem joghatással járóan történik — a generált szöveg szabadon módosítható, elfogadható vagy elvethető. A kampánystatisztikák aggregált statisztikai célt szolgálnak, nem egyéni profilalkotást.

Gyermekek adatai

A Szolgáltatás nem irányul 16 éven aluli személyekre. A GDPR 8. cikke és az Infotv. alapján 16 éven aluli személy nem regisztrálhat. Ha az Adatkezelő tudomására jut, hogy 16 éven aluli személy adatait kezeli, haladéktalanul intézkedik az adatok törléséről.

Adatvédelmi incidenskezelés

14.1. Az adatvédelmi incidens fogalma

Adatvédelmi incidens: az adatbiztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi (GDPR 4. cikk 12. pont). Ilyen lehet különösen: adatszivárgás, jogosulatlan hozzáférés, zsarolóvírusos támadás, véletlen adattörlés, téves e-mail küldés, elveszett hozzáférési adatok.

14.2. Bejelentési kötelezettség a NAIH felé — GDPR 33. cikk

Az Adatkezelő az adatvédelmi incidenst — amennyiben az valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve — köteles indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután bejelenteni a NAIH-nak, hogy az incidens tudomására jutott. Ha a bejelentés 72 órán belül nem lehetséges, a késedelmet indokolni kell.

A bejelentésnek legalább a következőket kell tartalmaznia:

• az incidens jellege, az érintett személyek és adatok körének hozzávetőleges száma és kategóriái;
• a kapcsolattartó neve és elérhetősége (info@hirlevelek.eu);
• az incidensből eredő valószínűsíthető következmények;
• az Adatkezelő által az incidens orvoslására tett vagy tervezett intézkedések.

Ha az Adatkezelő már észszerű mértékű bizonyossággal rendelkezik az incidens bekövetkeztéről, de még nem áll rendelkezésre minden információ, szakaszos bejelentéssel élhet — a bejelentés utólag kiegészíthető.

14.3. Az érintett tájékoztatása — GDPR 34. cikk

Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár az érintett természetes személyek jogaira és szabadságaira nézve, az Adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az incidensről. A tájékoztatás tartalmazza:

• az incidens jellegét közérthető nyelven;
• az adatvédelmi tisztviselő vagy kapcsolattartó elérhetőségét;
• az incidens valószínűsíthető következményeit;
• az Adatkezelő által megtett intézkedéseket, beleértve az érintett számára javasolt lépéseket.

Az érintettet nem kell külön értesíteni, ha: (a) az adatkezelő megfelelő technikai védelmi intézkedéseket (pl. titkosítás) alkalmazott és ezek az incidens által érintett adatokra is kiterjedtek; (b) az Adatkezelő az incidenskövetően olyan intézkedéseket tett, amelyek biztosítják, hogy a magas kockázat valószínűleg nem valósul meg; vagy (c) az értesítés aránytalan erőfeszítést igényelne — ebben az esetben nyilvánosan közzétett tájékoztatással kell gondoskodni az érintett tájékoztatásáról.

14.4. Adatfeldolgozói incidens

Amennyiben az adatvédelmi incidens valamely adatfeldolgozó tevékenységi körén belül valósul meg, az adatfeldolgozó azt tudomásszerzését követően indokolatlan késedelem nélkül köteles bejelenteni az Adatkezelőnek — aki ezt követően teljesíti a NAIH felé fennálló bejelentési kötelezettségét.

14.5. Incidensnyilvántartás

Az Adatkezelő az adatvédelmi incidensekről belső incidensnyilvántartást vezet, amelyben rögzíti az incidens tényeit, hatásait és az orvoslásra tett intézkedéseket — függetlenül attól, hogy bejelentési kötelezettség keletkezett-e. A nyilvántartást az Adatkezelő megőrzi és a NAIH kérésére rendelkezésre bocsátja.

Adatfeldolgozói szerződések — GDPR 28. cikk

Az Adatkezelő a 6. pontban felsorolt valamennyi adatfeldolgozóval a GDPR 28. cikke szerinti írásban kötött adatfeldolgozói szerződéssel (Data Processing Agreement, DPA) rendelkezik, amely biztosítja, hogy:

• az adatfeldolgozó kizárólag az Adatkezelő dokumentált utasítása alapján kezeli a személyes adatokat;
• az adatfeldolgozó titoktartási kötelezettséget vállal;
• az adatfeldolgozó megfelelő technikai és szervezési biztonsági intézkedéseket alkalmaz a GDPR 32. cikkével összhangban;
• az adatfeldolgozó az Adatkezelő előzetes írásbeli jóváhagyása nélkül nem vesz igénybe további (al)adatfeldolgozót;
• az adatfeldolgozó az adatkezelés befejezését követően törli vagy visszaszolgáltatja a személyes adatokat;
• az adatfeldolgozó minden szükséges információt az Adatkezelő rendelkezésére bocsát a GDPR-megfelelőség igazolásához, és lehetővé teszi az auditot.

Hírlevél küldés — Grt. szerinti hozzájárulási követelmények

A természetes személyeknek küldött marketing jellegű elektronikus levelek (hírlevelek, promóciós e-mailek) küldésére a GDPR-on túlmenően a 2008. évi XLVIII. törvény (Grt.) 6. §-a is irányadó.

16.1. Az előzetes, kifejezett hozzájárulás kötelezettsége

Elektronikus hirdetés természetes személynek közvetlen megkeresés módszerével — így különösen elektronikus levelezés útján — kizárólag akkor közölhető, ha ahhoz az elektronikus hirdetés címzettje előzetesen, egyértelműen és kifejezetten hozzájárult (Grt. 6. § (1) bek.).

16.2. A hozzájáruló nyilatkozat kötelező tartalma

A Grt. 6. § (2) bekezdése alapján a hozzájáruló nyilatkozatnak tartalmaznia kell:

• a nyilatkozó nevét (ezért a feliratkozási űrlapon a név megadása kötelező mező);
• azon személyes adatok körét, amelyek kezeléséhez a nyilatkozó hozzájárul;
• a hozzájárulás önkéntes és a megfelelő tájékoztatás birtokában történő kifejezését.

16.3. A hozzájárulás megadásának módja a Hírlevelek.eu platformon

A Hírlevelek.eu platformon keresztül feliratkozó természetes személyek a feliratkozási űrlapon:

• megadják keresztnevüket (kötelező mező — Grt. 6. § (2) bek. alapján);
• megadják e-mail címüket;
• egy jelölőnégyzet (checkbox) bejelölésével, aktív tevőleges cselekménnyel adják meg hozzájárulásukat, amely tartalmaz egy hivatkozást a jelen Adatvédelmi Tájékoztatóra;
• a checkbox nem lehet előre bejelölt állapotban (GDPR (32) preambulumbekezdés).

16.4. Double opt-in

A Platform lehetővé teszi a double opt-in (kétlépéses visszaigazolású feliratkozás) alkalmazását, amelynek keretében a feliratkozó az e-mail-fiókjára küldött visszaigazoló linkre kattintással erősíti meg feliratkozási szándékát. Ez az eljárás ajánlott, mivel a feliratkozás tényét és idejét a legmegbízhatóbb módon igazolja.

16.5. Leiratkozás biztosítása

Minden kiküldött hírlevélben egyértelműen és szembetűnően feltüntetett leiratkozási lehetőséget kell biztosítani, amely magában foglalja:

• egy kattintható leiratkozási linket az e-mailben;
• az Adatkezelő postai elérhetőségét (Grt. 6. § (6) bek. alapján postai úton is lehetővé kell tenni a leiratkozást): 4029 Debrecen, Hajnal utca 14. 2/13.

A leiratkozás visszaigazolást kap az érintett e-mail-fiókjába, és az Adatkezelő haladéktalanul, de legkésőbb 5 munkanapon belül törli az érintett adatait a küldési listáról. A leiratkozás tényét és időpontját az Adatkezelő nyilvántartja (opt-out lista) a Grt. 6. § alapján fennálló tiltási lista fenntartási kötelezettsége miatt.

Adatkezelési nyilvántartás — GDPR 30. cikk

Az Adatkezelő a GDPR 30. cikke alapján belső adatkezelési nyilvántartást vezet az általa végzett adatkezelési tevékenységekről. Ez a nyilvántartás nem kerül közzétételre a weboldalon, de a NAIH kérésére az Adatkezelő rendelkezésre bocsátja.

A nyilvántartás tartalmazza különösen:

• az adatkezelő nevét és elérhetőségeit;
• az adatkezelési tevékenységek céljait;
• az érintetti kategóriák és személyes adatok kategóriáinak leírását;
• a címzetteket, beleértve a harmadik országbeli és nemzetközi szervezeteket;
• a harmadik országba irányuló adattovábbításokat és az alkalmazott garanciákat;
• a megőrzési határidőket;
• a technikai és szervezési biztonsági intézkedések általános leírását.

A nyilvántartás folyamatosan frissítésre kerül, különösen új adatfeldolgozó bevonása, adatkezelési cél megváltozása vagy adatfajta változása esetén.

A Tájékoztató módosítása

Az Adatkezelő fenntartja a jogot a jelen Tájékoztató módosítására — különösen jogszabályváltozás, új adatkezelési tevékenység bevezetése, adatfeldolgozó-váltás vagy hatósági állásfoglalás alapján. A módosításokról az Adatkezelő az alkalmazásban megjelenő értesítéssel és/vagy e-mailben tájékoztat, a hatályba lépés előtt legalább 15 nappal. A korábbi verziók a weboldalon archívumban elérhetők.

Hatályba lépés

A jelen Adatvédelmi Tájékoztató 2026. április 6. napján lép hatályba és visszavonásig érvényes.

Utolsó módosítás: 2026. április 6.