Adatkezelési tájékoztató

1. A tájékoztató célja és hatálya

A jelen tájékoztató bemutatja, hogy a Premium Sport Kft. milyen személyes adatokat, milyen célból és jogalapon kezel a Heavy Tools webáruház (heavytools.hu) használata, a vásárlás, ügyfélkapcsolat, hűségprogram, marketing és álláspályázatok kapcsán.

A tájékoztató a GDPR 12–14. cikke szerinti átlátható tájékoztatást szolgálja. Egyes speciális adatkezelésekhez (például nyereményjáték vagy visszaélés-bejelentés) külön, részletes tájékoztató is kapcsolódhat; ilyen esetben a külön tájékoztató az adott adatkezelésre vonatkozóan kiegészíti ezt a dokumentumot.

2. Az adatkezelő és elérhetőségei

3. Alapelvek

A személyes adatokat a GDPR alapelveivel összhangban kezeljük. Ennek megfelelően:

·   az adatkezelés jogszerű, tisztességes és átlátható;

·   csak meghatározott és közölt célból használunk adatot;

·   csak a célhoz szükséges adatokat kérjük és kezeljük;

·   törekszünk az adatok pontosságára és naprakészen tartására;

·   az adatokat csak a szükséges vagy jogszabályban előírt ideig őrizzük;

·   megfelelő technikai és szervezési intézkedésekkel védjük a bizalmasságot, sértetlenséget és rendelkezésre állást;

·   az adatkezelés megfelelőségét az elszámoltathatóság elvének megfelelően dokumentáljuk.

4. A fő adatkezelési tevékenységek

Az alábbi táblázat összefoglalja a jelen tájékoztató hatálya alá tartozó fő adatkezeléseket. A jogalapot mindig az adott célhoz külön rendeljük; a vásárlás teljesítését nem tesszük adatkezelési hozzájárulástól függővé.

A táblázatban szereplő megőrzési idők nem írják felül a kötelező törlési tilalmakat, hatósági megkereséseket, jogi igényérvényesítést vagy külön jogszabályi megőrzést. Az „azonnali törlés” helyett mindig a jogalap és a kötelező megőrzés vizsgálandó.

A telefonos ügyfélszolgálati hívásokat rögzítjük. A hívás elején tájékoztatást adunk a rögzítésről és annak céljáról. A felvételekhez kizárólag az arra jogosult személyek férhetnek hozzá; az érintett a GDPR szerinti hozzáférési jogát a hangfelvételre is gyakorolhatja. Ha az adatkezelés jogos érdeken alapul, az érintett tiltakozhat; az ügyintézéshez írásbeli csatorna is rendelkezésre áll.

5. Cookie-k és hasonló tárolási/hozzáférési technológiák

A weboldalak cookie-kat, local storage-ot, pixeleket, tageket vagy más hasonló technológiákat használhatnak. A technikailag szükséges eszközök a kért szolgáltatás működését, például a munkamenetet, kosarat, biztonságot vagy a hozzájárulási beállítások megőrzését szolgálják.

A nem feltétlenül szükséges analitikai, marketing- és profilozási technológiák csak a vonatkozó magyar elektronikus hírközlési szabályok és a GDPR szerinti megfelelő előzetes hozzájárulást követően aktiválhatók. Az elutasításnak ugyanolyan könnyűnek kell lennie, mint az elfogadásnak, a hozzájárulás pedig bármikor visszavonható.

·   a cookie banner első rétegén legyen valódi „Elutasítom” lehetőség is, ne csak „Elfogadom”;

·   nem szükséges marketing/analitikai tagek nem tölthetők be a hozzájárulás előtt;

·   a célokat és – ahol releváns – harmadik feleket, cookie/technológia-nevet és élettartamot a cookie-beállításokban egyértelműen fel kell tüntetni;

·   a hozzájárulás visszavonása után a jövőbeni nem szükséges hozzáférést meg kell szüntetni;

·   a CMP naplózza a hozzájárulás/tiltás bizonyításához szükséges adatokat.

Jelenleg alkalmazott nem szükséges technológiák: Google Analytics 4 (webanalitika), Microsoft Clarity (viselkedési analitika és munkamenet-visszajátszás), Meta Pixel és Google Ads remarketing (hirdetési mérés és remarketing), valamint – a beállított funkciók szerint – SALESmanago webes tracking és perszonalizáció. Ezeket a megfelelő analitikai/marketing hozzájárulás alapján használjuk. A CMP-ben szereplő cookie-/technológia-neveknek, céloknak, szolgáltatóknak és élettartamoknak mindenkor a tényleges GTM/CMP konfigurációt kell tükrözniük.

6. Közvetlen üzletszerzés és elektronikus marketing

Természetes személy részére elektronikus levélben vagy azzal egyenértékű egyéni kommunikációs eszközzel reklámot főszabály szerint csak előzetes, egyértelmű és kifejezett hozzájárulással küldünk a 2008. évi XLVIII. törvény 6. §-ával összhangban. A marketing-hozzájárulás külön áll a vásárlástól és a fiók létrehozásától.

A hozzájárulás bármikor, indokolás és díj nélkül visszavonható, például a levél leiratkozási linkjén vagy az adatvédelmi kapcsolattartón keresztül. A leiratkozás után a címet tiltó/suppression listában minimális formában megőrizhetjük annak biztosítására, hogy arra újabb marketing ne induljon. Nyilvánosan elérhető vagy céges cím sem használható automatikusan személyes marketingre, ha természetes személyt azonosít és nincs megfelelő jogalap.

·   a marketing checkbox nem lehet előre bejelölve;

·   a hozzájárulásnak csatornánként és célonként kellően konkrétnak kell lennie;

·   minden marketingüzenetben egyszerű leiratkozást biztosítunk;

·   a hozzájárulás megadásának idejét, módját és tartalmát elszámoltatható módon dokumentáljuk;

·   harmadik fél ajánlatainak küldéséhez vagy adatátadáshoz külön, megfelelően konkrét jogalap szükséges.

7. Címzettek és adatfeldolgozók

Személyes adatot csak olyan címzettnek adunk át, akinek az a meghatározott célhoz szükséges, vagy ha az átadást jogszabály írja elő. A szolgáltatók adatfeldolgozóként vagy – saját céljaik tekintetében – önálló adatkezelőként járhatnak el.

·   webshop-, tárhely- és IT-üzemeltetők; a jelenlegi nyilvános Heavy Tools adatok szerint tárhelyszolgáltató: NetGo.hu Kft., 2100 Gödöllő, Kossuth u. 32. II/6, Hungary;

·   fizetési szolgáltatók: K&H Bank Zrt. (bankkártyás fizetés) és PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A.);

·   futár- és logisztikai szolgáltatók: GLS és MPL;

·   számlázási, könyvelési, audit- és adótanácsadási szolgáltatók;

·   CRM-, hírlevél- és marketingautomatizáció: SALESmanago (Benhauer sp. z o.o.);

·   hozzájáruláshoz kötött analitikai és hirdetési technológiák: Google Analytics 4 és Google Ads (Google), Meta Pixel (Meta), Microsoft Clarity (Microsoft);

·   jogi képviselők, követeléskezelők, biztosítók, ha konkrét ügyben szükséges;

·   hatóságok, bíróságok és más jogosult szervek jogszabályon alapuló megkeresés esetén.

Az aktuális, név szerinti szolgáltatói listát és azok adatkezelő/adatfeldolgozó szerepét a Társaság belső GDPR-nyilvántartása és szerződései alapján kell naprakészen tartani; a közzétett dokumentumot minden szolgáltatóváltásnál felül kell vizsgálni.

8. Nemzetközi adattovábbítások

Ha személyes adatot az Európai Gazdasági Térségen kívüli országba vagy nemzetközi szervezet részére továbbítunk, csak a GDPR V. fejezete szerinti feltételekkel járunk el. Ilyen alap lehet különösen az Európai Bizottság megfelelőségi határozata, megfelelő garancia (például általános szerződési feltételek/SCC) vagy kivételesen a GDPR 49. cikke szerinti eltérés.

A Google, Meta és Microsoft szolgáltatásai esetén személyes adatok az EGT-n kívül, különösen az Egyesült Államokban is hozzáférhetővé válhatnak vagy feldolgozhatók. Ilyen továbbítás csak a GDPR V. fejezete szerinti megfelelő mechanizmus alapján történhet, ideértve – ahol alkalmazható – a megfelelőségi határozatot és az EU–USA Adatvédelmi Keretrendszert, illetve az általános szerződési feltételeket (SCC) és szükség esetén kiegészítő intézkedéseket. A SALESmanago EGT-ben letelepedett szolgáltató; esetleges alfeldolgozói továbbításait a szerződéses dokumentáció alapján kezeljük.

9. Az adatok forrása és a megadás kötelező jellege

A személyes adatok fő forrásai:

·   az érintett maga (rendelés, regisztráció, ügyfélszolgálati levelezés vagy telefonhívás, marketing-feliratkozás, pályázat);

·   a rendelési és fizetési folyamat során létrejövő tranzakciós adatok;

·   a böngésző/eszköz és a weboldal technikai naplói;

·   szolgáltatók visszaigazolásai (például fizetési vagy kézbesítési státusz);

·   jogszerűen elérhető nyilvános forrás csak konkrét, előre meghatározott cél és jogalap mellett – a nyilvánosság önmagában nem teszi korlátlanul felhasználhatóvá a személyes adatot.

A szerződés teljesítéséhez vagy törvényi kötelezettséghez szükséges mezők megadása kötelező lehet; ezek hiányában a rendelést, számlázást vagy kért szolgáltatást nem tudjuk teljesíteni. Marketing-, opcionális profil- és egyéb kényelmi adatok megadása önkéntes, és azok megtagadása nem zárhatja ki az alapvető vásárlási szolgáltatást.

10. Adatmegőrzés

Az adatot nem egy általános, korlátlan időtartamig, hanem célonként meghatározott ideig őrizzük. A megőrzés végét követően az adatot töröljük vagy visszafordíthatatlanul anonimizáljuk, kivéve, ha jogszabály, hatósági kötelezés, csalásmegelőzés vagy jogi igény további megőrzést indokol.

·   számlák és számviteli bizonylatok: a magyar számviteli törvény alapján 8 év;

·   fogyasztói panasz/jegyzőkönyv és érdemi válasz a Fgytv. 17/A. § (7) alapján: 3 év, ha ez a szabály alkalmazandó;

·   rendes polgári jogi igények bizonyítékai: az alkalmazandó elévülési idő végéig, magyar jog esetén tipikusan 5 év;

·        ügyfélszolgálati levelezés és telefonos hangfelvételek: 5 év; a hangfelvétel megőrzése a hívás időpontjától, a levelezésé az adott ügy lezárásától számítandó;

·   marketing: visszavonás/leiratkozásig, a hozzájárulás és a tiltás bizonyításához szükséges minimális nyilvántartással;

·   fiók: az ügyfél törlési kérelméig / a fiók megszüntetéséig, kivéve a tovább őrzendő számlázási, szerződéses vagy jogi adatot;

·   álláspályázat: főszabály szerint 6 hónap a sikertelen folyamat lezárásától, kivéve eltérő jogalapot.

11. Az érintettek jogai

A GDPR feltételei szerint az érintettet – az adott adatkezelés jogalapjától függően – a következő jogok illetik meg:

·   hozzáférés a kezelt személyes adatokhoz és másolat kérése;

·   pontatlan adat helyesbítésének és hiányos adat kiegészítésének kérése;

·   törlés kérése, ha a GDPR 17. cikkének feltételei fennállnak;

·   az adatkezelés korlátozásának kérése;

·   adathordozhatóság a GDPR 20. cikke szerinti, hozzájáruláson vagy szerződésen alapuló automatizált adatkezeléseknél;

·   tiltakozás a GDPR 6. cikk (1) e) vagy f) pontján alapuló adatkezelés ellen; közvetlen üzletszerzés ellen bármikor, indokolás nélkül lehet tiltakozni;

·   hozzájárulás bármikori visszavonása, amely nem érinti a visszavonás előtti adatkezelés jogszerűségét;

·   panasz benyújtása a felügyeleti hatósághoz és bírósági jogorvoslat.

Az érintetti kérelmet indokolatlan késedelem nélkül, főszabály szerint a beérkezéstől számított egy hónapon belül megválaszoljuk. A határidő a GDPR feltételei szerint további két hónappal meghosszabbítható; erről és az okokról egy hónapon belül tájékoztatást adunk. A kérelmek főszabály szerint díjmentesek; csak a GDPR által megengedett, nyilvánvalóan megalapozatlan vagy túlzó kérelmeknél számítható fel észszerű díj vagy tagadható meg az intézkedés.

Joggyakorlási kérelem: gabor.szentkatolnai@heavytools.com, illetve postai úton a Társaság székhelyére. Szükség esetén, az adatbiztonság érdekében és arányos módon kérhetjük a kérelmező személyazonosságának megerősítését.

12. Profilalkotás és automatizált döntéshozatal

A forrásanyagok személyre szabott hírlevelet és érdeklődéshez igazított ajánlatokat is említenek. Ha ilyen funkciót ténylegesen használunk, az érintett preferenciái, vásárlási előzményei és – csak megfelelő cookie/marketing hozzájárulással – böngészési interakciói alapján szegmenseket képezhetünk az ajánlatok relevanciájának növelésére.

A jelen tájékoztatóban leírt működés nem tartalmaz olyan, kizárólag automatizált döntést, amely az érintettre nézve joghatással járna vagy őt hasonlóan jelentős mértékben érintené. Ha ilyen döntéshozatalt bevezetünk, előzetesen külön tájékoztatást adunk a logikáról, jelentőségről, várható következményekről és a GDPR 22. cikke szerinti jogokról.

13. Adatbiztonság és incidensek

Kockázatarányos technikai és szervezési intézkedéseket alkalmazunk, és adatfeldolgozóinkkal a GDPR 28. cikke szerinti szerződéses követelményeket érvényesítjük.

·   hozzáférés-szabályozás és jogosultságkezelés;

·   titkosított vagy biztonságos adatátviteli megoldások, ahol indokolt;

·   naplózás, mentés, sérülékenység- és incidenskezelési folyamatok;

·   hozzáférések rendszeres felülvizsgálata és munkatársi titoktartás;

·   adatvédelmi incidens kockázatértékelése, dokumentálása és szükség esetén hatósági/érintetti bejelentése a GDPR 33–34. cikke szerint.

14. Gyermekek adatai

A webáruház általános értékesítési szolgáltatása nem gyermekeknek szóló adatgyűjtő szolgáltatásként működik. Ha valamely online funkcióhoz gyermek hozzájárulására támaszkodnánk, az információs társadalommal összefüggő szolgáltatásokra vonatkozó, alkalmazandó korhatárt és szülői hozzájárulási követelményt külön ellenőrizzük. Gyermekektől szükségtelen adatot tudatosan nem kérünk.

15. Panasz a felügyeleti hatóságnál

Ha úgy véli, hogy személyes adatainak kezelése sérti a GDPR-t, jogosult panaszt tenni az illetékes felügyeleti hatóságnál. Magyarországon:

16. Főbb jogszabályok

A tájékoztató kialakításakor különösen az alábbi szabályokat vettük figyelembe:

·   Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR);

·   2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.);

·   2008. évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól, különösen 6. §;

·   2003. évi C. törvény az elektronikus hírközlésről, a végberendezésen történő adattárolás/hozzáférés szabályai;

·   2000. évi C. törvény a számvitelről;

·   1997. évi CLV. törvény a fogyasztóvédelemről, amennyiben az adott fogyasztói panaszkezelésre alkalmazandó.

17. A tájékoztató módosítása

A tájékoztatót rendszeresen, továbbá lényeges szolgáltató-, technológiai-, adatkezelési vagy jogszabályváltozáskor felülvizsgáljuk. A lényeges változásokról a körülményekhez igazodó, átlátható módon tájékoztatjuk az érintetteket. A mindenkor hatályos verzió a Heavy Tools weboldalán érhető el. 

Hatályos: 2026. szeptember 9-től