Jogi információk

Adatkezelési tájékoztató

Kamor Kft. – www.balatonfuredisobarlang.hu

1. A tájékoztató célja

Jelen tájékoztató célja, hogy rögzítse a Kamor Kft. (a továbbiakban: „Adatkezelő”) által alkalmazott adatvédelmi és adatkezelési gyakorlatot, továbbá, hogy az Adatkezelő www.balatonfuredisobarlang.hu weboldalának látogatói, a nyelvtanfolyamokra jelentkező tanulók és szüleik/törvényes képviselőik, a hírlevélre feliratkozók, az időpontot foglaló érintettek, valamint az Adatkezelővel egyéb módon kapcsolatba lépő érintettek megfelelő tájékoztatást kapjanak személyes adataik kezeléséről.

Az Adatkezelő kiemelt figyelmet fordít az érintettek – így különösen a kiskorú tanulók – személyes adatainak védelmére, azokat bizalmasan kezeli, és minden tőle elvárható technikai és szervezési intézkedést megtesz a személyes adatok biztonsága érdekében.

Jelen tájékoztató kialakításakor az Adatkezelő különös tekintettel vette figyelembe az alábbi jogszabályokat:

• az Európai Parlament és a Tanács (EU) 2016/679 rendelete (a továbbiakban: GDPR);
• az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Info tv.);
• a Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.), különös tekintettel a képmáshoz való jogra (Ptk. 2:48. §);
• a számvitelről szóló 2000. évi C. törvény;
• az egyének védelméről a személyes adatok gépi feldolgozása során Strasbourgban, 1981. január 28. napján kelt egyezmény kihirdetéséről szóló 1998. évi VI. törvény.

2. Az Adatkezelő adatai

Adatvédelmi tisztviselő (DPO) elérhetőségei

3. A tájékoztatóban használt fogalmak

• Adatkezelés: az alkalmazott eljárástól függetlenül a személyes adatokon végzett bármely művelet vagy műveletek összessége, így különösen gyűjtése, rögzítése, rendszerezése, tárolása, felhasználása, továbbítása, korlátozása, törlése és megsemmisítése.
• Adatkezelő: a 2. pontban meghatározott szervezet, amely az adatkezelés céljait és eszközeit önállóan vagy másokkal együtt meghatározza.
• Adatfeldolgozó: az a szolgáltató, aki az Adatkezelő nevében személyes adatokat kezel.
• Adattovábbítás: az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele.
• Adatvédelmi incidens: a biztonság olyan sérülése, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
• Érintett: az a természetes személy, akit a személyes adat alapján – közvetve vagy közvetlenül – azonosítani lehet, vagy aki a weboldalon, e-mail, telefon vagy postai úton kapcsolatba lép az Adatkezelővel.
• Harmadik személy: az a természetes vagy jogi személy, amely nem azonos az érintettel, az Adatkezelővel vagy az Adatfeldolgozóval.
• Hozzájárulás: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló, egyértelmű kinyilvánítása.
• Személyes adat: bármely információ, amely alapján egy természetes személy érintett közvetlenül vagy közvetve azonosíthatóvá válik.

A fogalommeghatározások a GDPR 4. cikkével összhangban állnak.

4. Adatkezelési alapelvek

Az Adatkezelő a jóhiszeműség, a tisztesség és az átláthatóság elvének megfelelően, kizárólag a jelen tájékoztatóban meghatározott célokból kezel személyes adatot; a kezelt adatok köre arányban áll az adatkezelés céljával.

• Adattakarékosság: a kezelt adatok az adatkezelés céljának eléréséhez szükséges mértékre korlátozódnak.
• Pontosság: az Adatkezelő minden észszerű intézkedést megtesz a pontatlan adatok haladéktalan törlése vagy helyesbítése érdekében.
• Korlátozott tárolhatóság: az adatok tárolása az érintettek azonosítását csak a kezelés céljának eléréséhez szükséges ideig teszi lehetővé.
• Integritás és bizalmas jelleg: az Adatkezelő megfelelő technikai és szervezési intézkedésekkel biztosítja az adatok biztonságát.
• Elszámoltathatóság: az Adatkezelő igazolni tudja a fenti alapelveknek való megfelelést.

Az Adatkezelő a kezelt személyes adatokat – a jelen tájékoztatóban megjelölt adatfeldolgozókon és a jogszabályi kötelezettségeken kívül – harmadik személynek nem adja át.

5. Az egyes adatkezelési tevékenységek

Az Adatkezelő adatkezelési tevékenységeinek részletes, GDPR 30. cikk szerinti nyilvántartását (ROPA) külön dokumentum tartalmazza; az alábbiakban ennek az érintettek számára releváns, közérthető összefoglalása szerepel.

5.1. Nyelvtanfolyamra történő jelentkezés, szerződéskötés, tanulói jogviszony

• Érintettek: a nyelvtanfolyamra jelentkező tanulók (ezen belül kiskorú tanulók és 16. életévüket betöltött tanulók), valamint szüleik/törvényes képviselőik.
• Kezelt adatok: a tanuló neve és elérhetősége (e-mail, telefonszám); szülő/törvényes képviselő neve és elérhetősége.
• Cél: a nyelvoktatási szerződés megkötése és teljesítése, a tanulóval/szülővel való kapcsolattartás.
• Jogalap: GDPR 6. cikk (1) bek. b) pont – szerződés teljesítése.
• Címzettek: nincs külső címzett. Harmadik országba történő továbbítás nem történik.
• Megőrzési idő: a tanulói jogviszony megszűnésétől számított 1 év.

5.2. Számlázás

• Érintettek: a tanulók/szülők mint a számla szerinti vevők.
• Kezelt adatok: név, lakcím.
• Cél: a nyelvtanfolyam díjának számlázása, számviteli bizonylatolási kötelezettség teljesítése.
• Jogalap: GDPR 6. cikk (1) bek. c) pont – jogi kötelezettség teljesítése (2000. évi C. törvény a számvitelről).
• Címzett: KBOSS.hu Kft. (Számlázz.hu) mint adatfeldolgozó. Harmadik országba történő továbbítás nem történik.
• Megőrzési idő: 8 év (a Számviteli tv. szerinti megőrzési idő).

5.3. Nyári nyelvi tábor – fotó- és videófelvétel

• Érintettek: a táborban részt vevő tanulók, kiemelten a 18. életévüket be nem töltött tanulók.
• Kezelt adatok: kép- és hangfelvétel (fotó, videó).
• Cél: a tábor eseményeinek bemutatása a közösségi média felületeken és a honlapon.
• Jogalap: GDPR 6. cikk (1) bek. a) pont – az érintett, illetve 18 év alatti tanuló esetén a szülő/törvényes képviselő hozzájárulása; 18 év alatti tanulók esetén minden esetben előzetes, írásbeli szülői hozzájárulás szükséges, amelyet az Adatkezelő külön nyilatkozat formájában szerez be és tart nyilván.
• Címzettek: az Adatkezelő közösségi média felületeinek üzemeltetői (Meta / Facebook / Instagram), valamint a honlap tárhelyszolgáltatója.
• Harmadik országba történő továbbítás: a közösségi média platformok üzemeltetőinek adatkezelési gyakorlata miatt előfordulhat, hogy a feltöltött tartalom harmadik országban is tárolásra kerül.
• Megőrzési idő: a hozzájárulás visszavonásáig, ennek hiányában a közzététel céljának megvalósulásáig.

5.4. Mesterséges intelligencia alapú eszközök a tananyagfejlesztésben

Az Adatkezelő oktatási tananyagok és feladatlapok összeállításához AI-alapú eszközöket (pl. ChatGPT, Gemini) vehet igénybe. Ezen eszközök használata során személyes adat kezelésére nem kerül sor: kizárólag anonim, általános oktatási tartalom generálása történik. Az Adatkezelő belső szabályként rögzíti, hogy AI-eszközökbe tanulói vagy szülői személyes adat nem kerülhet bevitelre.

5.5. Kapcsolatfelvétel

Az érintett telefonon, a weboldal kapcsolati űrlapján vagy e-mailben léphet kapcsolatba az Adatkezelővel. A kapcsolati űrlapon megadott adatokat a Web3Forms szolgáltatás továbbítja az Adatkezelő info@balatonfuredisobarlang.hu Zoho postafiókjába.

• Cél: kapcsolatfelvétel és -tartás az érintett és az Adatkezelő között.
• Jogalap: GDPR 6. cikk (1) bek. a) pont – az érintett hozzájárulása.
• Címzett: a kapcsolati űrlap esetén a Web3Forms (Web3Creative, India) mint adatfeldolgozó, amely az üzenetet az Adatkezelő postafiókjába továbbítja (lásd 6. pont).
• Megőrzési idő: folyamatos kapcsolattartás esetén a hozzájárulás visszavonásáig; ennek hiányában a megkeresés elintézésétől számított 6 hónapig, vagy jogszabályban előírt határidőig.

5.6. Időpontfoglalás

Az Adatkezelő a weboldalba beágyazott melod foglalórendszeren keresztül biztosítja az időpontfoglalás lehetőségét. A rendszert Felker Patrik Zsolt e.v. üzemelteti adatfeldolgozóként.

• Kezelt adatok: az érintett neve, e-mail-címe és/vagy telefonszáma, a foglalás adatai (szolgáltatás, időpont, létszám, jegytípusok és a tájékoztató ár), a megjegyzés (ha az érintett megad ilyet), a foglalás nyelve, valamint a foglalás módosításának és lemondásának adatai.
• Cél: az időpont rögzítése és kezelése, ideértve a visszaigazoló, emlékeztető, áthelyezési és lemondási értesítést e-mailben – akkor is, ha az Adatkezelő zárva tartás miatt mondja le a foglalást –, valamint azt, ha az érintett a levélben kapott egyedi hivatkozással maga helyezi át vagy mondja le a foglalását.
• Jogalap: GDPR 6. cikk (1) bek. b) pont – szerződés teljesítése/szerződéskötést megelőző lépések.
• Címzett: Felker Patrik Zsolt e.v. (melod) mint adatfeldolgozó; további adatfeldolgozói: a Supabase, Inc. (adatbázis, frankfurti adatközpont, EU) és a Cloudflare, Inc. (a foglaló kiszolgálása, e-mail-küldés, bot-védelem). Lásd a 6. pontot.
• Megőrzési idő: a foglalás időpontjától számított 24 hónap, ezt követően az Adatkezelő a foglalási adatokat törli vagy anonimizálja.

5.6.1. Ajánlatok és visszahívó levél (a foglaláskor külön kérhető)

A foglaláskor az érintett egy külön, nem kötelező jelölőnégyzettel kérheti, hogy az Adatkezelő e-mailben ajánlatokat küldjön neki, és jelezze, mikor érdemes újra foglalnia. A jelölőnégyzet szövege: „Kérek e-mailt a vállalkozástól ajánlatokról és arról, mikor érdemes újra foglalnom. Bármikor leiratkozhatok.” Ugyanez angolul és németül is elérhető. A foglalás a jelölőnégyzet bejelölése nélkül is teljes értékű.

• Kezelt adatok: név, e-mail-cím, a foglalások időpontja és nyelve, a hozzájárulás időpontja, pontos szövege és módja, illetve a leiratkozás időpontja.
• Cél: ajánlatok és újrafoglalásra emlékeztető levél küldése; utóbbi akkor, ha az érintett hosszabb ideje nem vette igénybe a szolgáltatást.
• Jogalap: GDPR 6. cikk (1) bek. a) pont – az érintett hozzájárulása; a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény 6. §-a.
• A hozzájárulás visszavonása: bármikor, ingyenesen, minden ilyen levél alján található „Leiratkozás” hivatkozással, vagy az info@balatonfuredisobarlang.hu címen. A visszavonás a korábbi adatkezelés jogszerűségét nem érinti. A foglalásról szóló értesítéseket (visszaigazolás, emlékeztető) az érintett a leiratkozás után is megkapja.
• Címzett: Felker Patrik Zsolt e.v. (melod) mint adatfeldolgozó, további adatfeldolgozóként a Supabase, Inc. és a Cloudflare, Inc.
• Megőrzési idő: a hozzájárulás visszavonásáig. A hozzájárulás megadásának és visszavonásának igazolására szolgáló naplót az Adatkezelő a visszavonástól számított 5 évig (az általános elévülési idő) őrzi meg.

5.7. Hírlevél

Az Adatkezelő a MailerLite rendszerén keresztül küld hírlevelet a feliratkozott érintettek részére.

• Kezelt adatok: e-mail cím (és amennyiben az érintett megadja, neve).
• Cél: hírlevél küldése, marketing célú tájékoztatás.
• Jogalap: GDPR 6. cikk (1) bek. a) pont – az érintett hozzájárulása.
• Címzett: MailerLite mint adatfeldolgozó.
• Megőrzési idő: a leiratkozásig; leiratkozáskor az adatok a MailerLite rendszerében automatikusan törlődnek.

5.8. Sütik (cookie-k) és a weboldal működése

A weboldal nem alkalmaz Google Analyticset, Facebook Pixelt vagy egyéb remarketing kódot. A weboldal kizárólag technikai (funkcionális) sütiket használ (pl. nyelvbeállítás, süti-tájékoztatás megjelenítési állapota), amelyek a szolgáltatás nyújtásához szükségesek, ezért ezekhez a GDPR alapján nincs szükség előzetes hozzájárulásra (consent bannerre), kizárólag a jelen tájékoztatóban foglalt tájékoztatásra.

Látogatottsági statisztika céljából az Adatkezelő a Cloudflare Web Analytics szolgáltatást használja. A szolgáltatás nem helyez el sütit a látogató eszközén, nem használ ujjlenyomat-alapú (fingerprinting) azonosítást, és nem követi a látogatót weboldalak között. A mérés kizárólag összesített, statisztikai adatokat állít elő (pl. oldalletöltések száma, hivatkozó oldal, böngésző- és eszköztípus, országszintű földrajzi megoszlás); a látogató IP-címét a Cloudflare a mérés során nem tárolja. Mivel a mérés nem igényel hozzáférést a látogató eszközén tárolt adatokhoz, ahhoz az Elker tv. és a GDPR alapján előzetes hozzájárulás nem szükséges; jogalapja az Adatkezelő jogos érdeke a weboldal működésének és látogatottságának megismeréséhez (GDPR 6. cikk (1) bek. f) pont). A méréshez a weboldal a static.cloudflareinsights.com címről tölt be egy szkriptet.

5.9. Beágyazott külső tartalmak

A weboldal Kapcsolat oldalán Google Maps térkép kerül beágyazásra, amelynek üzemeltetője (Google LLC) a beágyazott térkép használata során önálló adatkezelőként jár el. A weboldalon jelenleg nincs beágyazott YouTube-videó, Facebook- vagy Instagram-feed. A weboldalon használt betűtípusok (Google Fonts) saját szerverről töltődnek be, ezért ezekkel kapcsolatban harmadik féllel adatmegosztás nem történik.

5.10. Tárhelyszolgáltatás és tartalomkiszolgálás (CDN)

A weboldal statikus fájljait a Cloudflare Pages szolgálja ki, elsősorban európai szerverekről; a domain regisztrátora a Rackhost Zrt. A látogatókat a Cloudflare CDN globálisan az európai edge-szerverekről szolgálja ki. A Cloudflare, Inc. USA-székhelyű szolgáltató, amely az adattovábbítást az EU–US Data Privacy Framework tanúsítása, valamint Standard Contractual Clauses alkalmazásával biztosítja. A Cloudflare a DDoS-védelem céljából rövid ideig (kb. 24 óráig) tárolja a látogató IP-címét és User-Agent adatát; ennek jogalapja az Adatkezelő és a Cloudflare jogos érdeke a weboldal biztonságos üzemeltetéséhez (GDPR 6. cikk (1) bek. f) pont).

6. Adatfeldolgozók és egyéb címzettek

Az Adatkezelő a tevékenysége ellátásához adatfeldolgozókat vesz igénybe. Az adatfeldolgozók önálló döntést nem hoznak, kizárólag az Adatkezelővel kötött szerződés és a kapott utasítások szerint járnak el; további adatfeldolgozó igénybevételére csak az Adatkezelő hozzájárulásával jogosultak. Az Adatkezelő az igénybe vett adatfeldolgozókat az alábbi táblázatban jelöli meg:

7. Adatbiztonsági intézkedések

Az Adatkezelő valamennyi adminisztrációs felületén (Cloudflare, GitHub, Zoho Mail, melod, MailerLite, Rackhost) kötelezően bekapcsolt kétfaktoros hitelesítést (2FA) alkalmaz.

Az adatokhoz való hozzáférés a feladatok ellátásához szükséges mértékre korlátozott: az Adatkezelő (Kamor Kft.) hozzáférése kiterjed az e-mail postafiókra, a foglalásokra és a hírlevél-listára; a weboldal fejlesztője (Felker Patrik e.v.) adatfeldolgozói szerepben, technikai adminisztrátori jogosultsággal rendelkezik.

A fenti szolgáltatók naplózzák a bejelentkezéseket és a fontosabb műveleteket a következő időtartamban: Cloudflare 6 hónap, Zoho 6 hónap, MailerLite 12 hónap, melod (foglalások és kiküldött levelek naplója) 30 nap, GitHub határozatlan ideig.

Biztonsági mentések: a weboldal forráskódja GitHub-repóban, határozatlan ideig kerül tárolásra (a Cloudflare Pages ebből generálja az oldalt); az e-mail postafiók mentései a Zoho EU-s adatközpontjában 30 napig visszaállíthatók; a foglalási adatok napi mentése a melod adatbázisában (Supabase, Frankfurt, EU) történik, 7 napos megőrzéssel; a hírlevél-adatok napi mentése a MailerLite EU-s szerverein történik, 30 napos visszaállíthatósággal.

Az Adatkezelő a több lehetséges adatkezelési megoldás közül azt választja, amely a személyes adatok magasabb szintű védelmét biztosítja, kivéve, ha ez aránytalan nehézséget jelentene.

8. Adatvédelmi incidens

Adatvédelmi incidensnek minősül minden olyan esemény, amely az Adatkezelő által kezelt személyes adatokkal kapcsolatban jogosulatlan vagy véletlen hozzáférést, megváltoztatást, közlést, törlést, elvesztést vagy megsemmisítést eredményez.

Az Adatkezelő az adatvédelmi incidenst a tudomására jutásától számított 72 órán belül köteles bejelenteni a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) részére, kivéve, ha bizonyítható, hogy az incidens valószínűsíthetően nem jár kockázattal az érintettek jogaira nézve. A bejelentés tartalmazza az Adatkezelő elérhetőségét, az incidens jellegét, az érintettek és az adatok körét, a valószínűsíthető következményeket, valamint a megtett és tervezett intézkedéseket.

Az Adatkezelő az incidens észlelését követő 72 órán belül tájékoztatja az érintetteket is, amennyiben az incidens valószínűsíthetően magas kockázattal jár a jogaikra és szabadságaikra nézve. Az Adatkezelő az adatvédelmi incidensekről nyilvántartást vezet, amelyet az incidens észlelésétől számított 5 évig őriz meg.

9. Az érintettek jogai

Az érintett tájékoztatást kérhet személyes adatai kezeléséről, kérheti azok helyesbítését, törlését (a kötelező adatkezelések kivételével), az adatkezelés korlátozását, élhet adathordozási és tiltakozási jogával a 2. pontban megjelölt elérhetőségeken.

Kiskorú érintett esetén a jogok gyakorlása – a szülő/törvényes képviselő hozzájárulásán alapuló adatkezelések tekintetében – a szülő/törvényes képviselő útján történik.

Az Adatkezelő a kérelem benyújtásától számított legfeljebb egy hónapon belül teljesíti a kérést, és erről a megadott elérhetőségen tájékoztatja az érintettet.

Az érintett jogosult arra, hogy tájékoztatást kapjon arról, hogy adatait milyen jogalapon, milyen célból, mennyi ideig kezeli az Adatkezelő, kinek továbbította azokat, és alkalmaz-e automatizált döntéshozatalt.

Az érintett hozzájárulását bármikor, indokolás nélkül visszavonhatja; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét.

Az érintett tiltakozhat személyes adatai kezelése ellen, amennyiben álláspontja szerint az Adatkezelő az adatot a megjelölt céllal összefüggésben nem megfelelően kezeli.

10. Jogorvoslati lehetőségek

Az Érintett kérdéseivel, az adatainak módosítására, törlésére, hozzájárulás visszavonására irányuló kéréseivel, továbbá észrevételeivel az Adatkezelőt a Tájékoztató 2. pontjában részletezett elérhetőségein keresheti fel.

Az Érintett a jogainak megsértése esetén az Adatkezelő ellen bírósághoz fordulhat. A bíróság az ügyben soron kívül jár el.

Az Érintett a jogainak megsértése esetén adatvédelmi hatósági eljárást kezdeményezhet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál.

11. Záró rendelkezések

Az Adatkezelő fenntartja a jogot, hogy jelen tájékoztatót egyoldalú döntésével bármikor módosítsa. A tájékoztató mindenkor hatályos változata a www.balatonfuredisobarlang.hu weboldalon érhető el.

A jelen tájékoztatóban nem szabályozott kérdésekben a GDPR és a hatályos magyar jogszabályok rendelkezései az irányadók.

Hatályos: 2026. szeptember 28. napjától