Adatvédelmi Tájékoztató

1. Adatkezelő

Név: KalmaKomfort Kft.
Székhely: 2310 Szigetszentmiklós, Dorottya utca 26/B 1. em. 1.a.
Cégjegyzékszám: 13-09-233790
Adószám: 32548046-2-13
E-mail: hello@amory.hu
Telefon: +36 30 680 4606

1.1. Adatvédelmi tisztviselő (DPO)

Az Adatkezelő a GDPR 37. cikke alapján nem köteles adatvédelmi tisztviselőt kijelölni, tekintettel arra, hogy fő tevékenysége nem nagymértékű különleges adatok kezelése, és nem végez rendszeres, szisztematikus nagymértékű megfigyelést. Adatvédelmi kérdésekben a hello@amory.hu címen kereshet minket.

2. Kezelt személyes adatok, célok és jogalapok

2.1. Párok regisztrációja

Kezelt adatok: név, e-mail cím, jelszó (bcrypt algoritmussal hashelt és sózott formában), esküvő dátuma, megye, partner neve, profilkép.
Cél: felhasználói fiók létrehozása, személyre szabott szolgáltatás nyújtása, ajánlatkérések kezelése.
Jogalap: GDPR 6. cikk (1) b) — szerződés teljesítéséhez szükséges.

2.2. Szolgáltatók regisztrációja

Kezelt adatok: név, e-mail, jelszó (bcrypt hashelt és sózott), cégnév, adószám, telefonszám, székhely cím, bankkártya tokenizált adatok (kártyaszámot nem tároljuk, a Barion kezeli).
Cél: előfizetés kezelése, számlázás, profil megjelenítése a platformon, ajánlatkérések fogadása.
Jogalap: GDPR 6. cikk (1) b) — szerződés teljesítése; valamint GDPR 6. cikk (1) f) — jogos érdek.

A jogos érdek konkrétan: az előfizetési díj és jutalék behajtása, a platform biztonságos működtetése (visszaélés-megelőzés, csalásvédelem), valamint a szolgáltatás minőségének fejlesztése (összesített statisztikák alapján). Az érintett érdekei és jogai nem élveznek elsőbbséget, tekintettel a szolgáltatás üzleti jellegére.

2.3. Ajánlatkérések és üzenetek

Kezelt adatok: ajánlatkérés tartalma, esküvő részletei, üzenetek, válaszok.
Cél: szolgáltató–pár közötti kommunikáció biztosítása.
Jogalap: GDPR 6. cikk (1) b) — szerződés teljesítése.

2.4. Vendéglista és esküvői weboldal

Kezelt adatok: vendégek neve, e-mail címe, telefonszáma, étkezési igényei, RSVP válasza, ültetési információk.
Cél: esküvő szervezésének támogatása, RSVP kezelés.
Jogalap: GDPR 6. cikk (1) a) — az érintett hozzájárulása (a pár felelőssége, lásd 2.4.1.).

2.4.1. A pár tájékoztatási kötelezettsége: A vendéglistára feltöltött személyes adatok tekintetében a pár közös adatkezelőnek minősül. A pár köteles vendégeit a GDPR 14. cikke alapján tájékoztatni arról, hogy adataikat az Amory platformon rögzíti. Az Amory platformon az esküvői weboldal láblécében automatikusan megjelenik egy adatvédelmi link a vendégek tájékoztatására.

2.5. Marketing kommunikáció

Kezelt adatok: e-mail cím, név, felhasználói preferenciák.
Cél: hírlevél küldése, promóciók, platform újdonságok kommunikálása.
Jogalap: GDPR 6. cikk (1) a) — az érintett kifejezett, előzetes hozzájárulása.

A hozzájárulás bármikor visszavonható. Leiratkozás: minden marketing e-mail alján egy kattintással, vagy a fiókbeállításokban. A hozzájárulás visszavonása nem érinti a visszavonás előtti adatkezelés jogszerűségét.

2.6. Webshop vásárlások

Kezelt adatok: név, e-mail, telefonszám, szállítási cím, vásárlási előzmények.
Cél: megrendelés teljesítése, szállítás, számlázás, kapcsolattartás.
Jogalap: GDPR 6. cikk (1) b) — szerződés teljesítése.

2.7. Közösségi bejelentkezés (OAuth)

Kezelt adatok: a közösségi szolgáltató (Google/Facebook) által megosztott e-mail cím, név, profilkép, szolgáltató-specifikus azonosító.
Cél: egyszerűsített regisztráció és bejelentkezés.
Jogalap: GDPR 6. cikk (1) a) — az érintett hozzájárulása (a közösségi bejelentkezés használatával).

3. Adatfeldolgozók és adattovábbítás

3.1. Adatfeldolgozók

• Rackforest Informatikai Kft. (1132 Budapest, Victor Hugo u. 18-22.) — szerver hosting, e-mail szolgáltatás, Magyarország
• Barion Payment Zrt. (1117 Budapest, Infopark sétány 1.) — fizetésfeldolgozás, Magyarország
• KBOSS.hu Kft. (Számlázz.hu) (1031 Budapest, Záhony u. 7.) — számlázás, NAV Online Számla, Magyarország
• Meta Platforms Ireland Ltd. (Facebook Login) — közösségi bejelentkezés, Írország (EU)
• Google Ireland Ltd. (Google Login) — közösségi bejelentkezés, Írország (EU)

3.2. Harmadik országba történő adattovábbítás

A Facebook és Google szolgáltatások használata során adattovábbítás történhet az Amerikai Egyesült Államokba. A megfelelő szintű védelem az alábbiak alapján biztosított:

• Az Európai Bizottság 2021/914 végrehajtási rendelete szerinti Standard Contractual Clauses (SCC)
• A Meta és Google csatlakoztak az EU-US Data Privacy Framework-höz (Európai Bizottság 2023. július 10-i megfelelőségi határozata)

Az adattovábbítás célja: közösségi bejelentkezés biztosítása, a felhasználó kényelmes és biztonságos azonosítása. Az adattovábbítás kizárólag a felhasználó kifejezett cselekvése (bejelentkezés gombra kattintás) esetén történik.

4. Adatok megőrzése

• Felhasználói fiókok adatai: a fiók törléséig
• Szolgáltatói profilok: előfizetés lejárata + 60 nap, utána végleges törlés
• Esküvői weboldalak: esküvő dátuma + 30 nap, utána automatikus törlés
• Vendéglista adatok: esküvő dátuma + 30 nap
• Számlázási adatok: 8 év (2000. évi C. törvény, számviteli törvény)
• Webshop megrendelések: 8 év (számviteli kötelezettség)
• Marketing hozzájárulás: a visszavonásig
• Audit logok: 2 év

5. Automatizált döntéshozatal és profilalkotás

A Platform nem alkalmaz olyan automatizált döntéshozatalt vagy profilalkotást, amely a felhasználókra nézve jogi hatással járna vagy őket hasonlóan jelentős mértékben érintené (GDPR 22. cikk).

A szolgáltatók keresési találatokban való megjelenési sorrendjét algoritmikus rangsorolás határozza meg (profil-kitöltöttség, értékelések, válaszidő alapján), azonban ez nem minősül a GDPR 22. cikke szerinti automatizált döntéshozatalnak, mivel nem jár jogi vagy hasonlóan jelentős hatással.

6. Érintetti jogok

A GDPR alapján Ön az alábbi jogokkal rendelkezik:

• Hozzáférés joga (15. cikk) — tájékoztatást kérhet a kezelt adatairól
• Helyesbítés joga (16. cikk) — kérheti pontatlan adatai javítását
• Törlés joga (17. cikk, „elfeledtetéshez való jog") — kérheti adatai törlését
• Adathordozhatóság joga (20. cikk) — adatait géppel olvasható formátumban (JSON) kérheti
• Tiltakozás joga (21. cikk) — tiltakozhat a jogos érdeken alapuló adatkezelés ellen
• Korlátozás joga (18. cikk) — kérheti az adatkezelés korlátozását
• Hozzájárulás visszavonása (7. cikk (3)) — a hozzájáruláson alapuló adatkezelés esetén bármikor visszavonható

Kérelmét a hello@amory.hu címre küldheti. Az Adatkezelő a kérelmet legkésőbb 30 napon belül teljesíti. Szükség esetén (bonyolult kérés, nagyszámú kérelem) a határidő további 60 nappal meghosszabbítható, erről előzetesen tájékoztatjuk.

7. Adatbiztonság

Az Adatkezelő az alábbi technikai és szervezési intézkedéseket alkalmazza:

• Jelszavak bcrypt algoritmussal hashelt és sózott formában kerülnek tárolásra
• Adatátvitel kizárólag HTTPS/TLS 1.3 titkosítással
• Szenzitív adatok oszlopszintű titkosítással
• Rendszeres biztonsági mentések
• Hozzáférés-korlátozás (role-based access control)
• Teljes audit log: ki, mikor, mit módosított

8. Cookie-k és technikai azonosítók

Munkamenet cookie (wfy_session): a belépés és a kosár működéséhez szükséges technikai cookie. HttpOnly, Secure, SameSite=Lax. Érvényesség: 7 nap. Hozzájárulás nem szükséges (ePrivacy irányelv 5. cikk (3) — feltétlenül szükséges cookie).

Analitika: A Platform a Plausible Analytics rendszert használja, amely GDPR-kompatibilis és nem használ cookie-kat, nem tárol személyes adatot.

Facebook Login SDK: A Facebook bejelentkezés használatakor a Meta cookie-kat helyezhet el (fblo_, fbm_, fbsr_). Ezek kizárólag akkor kerülnek elhelyezésre, ha a felhasználó aktívan a Facebook bejelentkezés gombot használja. A cookie-k célja: autentikáció, munkamenet-fenntartás. A Meta adatkezelési tájékoztatója: https://www.facebook.com/privacy/policy/

9. Adattovábbítás közhatalmi szervek részére

Az Adatkezelő személyes adatot kizárólag jogszerű hatósági megkeresés alapján ad ki. Minden hatósági megkeresést jogi felülvizsgálat alá vetünk, és kizárólag:

• érvényes jogszabályi felhatalmazás esetén,
• a kért adatmennyiség minimumában,
• az érintett tájékoztatása mellett (ha a jogszabály lehetővé teszi)

adunk ki adatot. Jogilag megalapozatlan, aránytalanul széles vagy formailag hibás megkereséseket visszautasítjuk.

10. Panasz és jogorvoslat

Panaszával az alábbi szervekhez fordulhat:

10.1. Felügyeleti hatóság

Panasz tehető bármely EU tagállam adatvédelmi felügyeleti hatóságához, különösen a felhasználó szokásos tartózkodási helye, munkahelye, vagy a feltételezett jogsértés helye szerinti tagállam hatóságához.

Magyarországon az illetékes felügyeleti hatóság:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Cím: 1055 Budapest, Falk Miksa utca 9-11.
Telefon: +36 1 391 1400
E-mail: ugyfelszolgalat@naih.hu
Weboldal: www.naih.hu

10.2. Bírósági jogorvoslat

Az érintett a GDPR 79. cikke alapján bírósághoz fordulhat, ha megítélése szerint személyes adatainak kezelése sérti a GDPR rendelkezéseit. A per a felhasználó lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható.