Adatkezelési tájékoztató

Hatályos: 2025. december 26. napjától

1. BEVEZETŐ

A SzerszámraFel Kft. (a továbbiakban: Adatkezelő) kiemelt figyelmet fordít a személyes adatok védelmére, és elkötelezett a hatályos adatvédelmi jogszabályok, különösen az EU 2016/679 rendelet (GDPR) és a 2011. évi CXII. törvény (Infotv.) maradéktalan betartása mellett.

Jelen tájékoztató részletesen bemutatja a baggerdepo.eu weboldalon megvalósuló adatkezelési folyamatokat, az adatkezelés célját, jogalapját, időtartamát, valamint az érintettek jogait.

Kapcsolati adatok
  • Teljes jogi név: SzerszámraFel Kft.
  • E-mail: [email protected]
  • Postai cím: 2465 Ráckeresztúr, Hősök tér 10/1
2. KEZELT SZEMÉLYES ADATOK ÉS JOGALAPJUK

KOMMUNIKÁCIÓS ADATOK

Ide tartozik minden olyan adat, amelyet az érintett e-mailben, űrlapon, közösségi média felületen vagy más kommunikációs csatornán keresztül juttat el.

Jogalap: GDPR 6. cikk (1) f) – jogos érdek

VÁSÁRLÓI ADATOK

Név, számlázási és szállítási cím, e-mail cím, telefonszám, megrendelt termékek és vásárlási adatok.

Jogalap: GDPR 6. cikk (1) b) – szerződés teljesítése

FELHASZNÁLÓI ÉS TECHNIKAI ADATOK

IP-cím, böngészőadatok, látogatási statisztikák, cookie adatok, navigációs útvonalak, eszközinformációk.

Jogalap: GDPR 6. cikk (1) f) – jogos érdek

MARKETING ADATOK

Felhasználói preferenciák, marketinghozzájárulások, remarketing adatok. Az adatokat célzott hirdetések (pl. Facebook™, Google) megjelenítésére használhatjuk.

Jogalap: GDPR 6. cikk (1) a) – hozzájárulás

Az Adatkezelő nem kezel különleges adatokat (pl. egészségügyi, politikai, vallási, biometrikus adatok).

3. ADATGYŰJTÉS MÓDJA
  • érintett által közvetlenül megadott adatok (rendelés, kapcsolatfelvétel)
  • automatikus adatgyűjtés (cookie-k, analitika)
  • külső szolgáltatók (Google, Facebook, Barion)
4. ADATBIZTONSÁGI INTÉZKEDÉSEK
  • SSL titkosítás a teljes weboldalon
  • prémium biztonsági szoftverek (brute force, vírusvédelem)
  • pszeudonimizált adatbázis-kezelés
  • adatvédelmi hatásvizsgálat elvégzése
5. ADATTOVÁBBÍTÁS ÉS NEMZETKÖZI ADATKEZELÉS

Adatokat továbbíthatunk tárhelyszolgáltatóknak, futárcégeknek, könyvelőknek, jogi és pénzügyi partnereknek.

EU-n kívüli adattovábbítás esetén kizárólag megfelelő garanciák mellett, vagy az érintett kifejezett hozzájárulásával történik adattovábbítás.

6. ADATKEZELÉS IDŐTARTAMA
  • szerződéses adatok: jogviszony + 5 év
  • számlázási adatok: 8 év (jogszabályi kötelezettség)
  • marketing adatok: hozzájárulás visszavonásáig
7. AZ ÉRINTETT JOGAI
  • hozzáférés
  • helyesbítés
  • törlés
  • korlátozás
  • adathordozhatóság
  • tiltakozás

Az Adatkezelő az adatkiadás előtt jogosult az érintett személyazonosságát ellenőrizni.

8. JOGORVOSLAT

Panasz tehető a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH):

1055 Budapest, Falk Miksa utca 9–11.
https://www.naih.hu

SzerszámraFel Kft. – Adatkezelési tájékoztató

Adatfeldolgozók és adattovábbítások

Hatályos: 2025. december 26. napjától

1. ADATFELDOLGOZÁS ÁLTALÁNOS ELVEI

A SzerszámraFel Kft. kizárólag olyan adatfeldolgozókat vesz igénybe, akik megfelelő technikai és szervezési intézkedésekkel biztosítják a személyes adatok védelmét, és megfelelnek a GDPR követelményeinek.

Az adatfeldolgozókkal minden esetben írásbeli adatfeldolgozói szerződés (Data Processing Agreement – DPA) kerül megkötésre.

2. IGÉNYBE VETT ADATFELDOLGOZÓK
Tevékenység Adatfeldolgozó Adattípus
Tárhelyszolgáltatás EU-s tárhelyszolgáltató felhasználói és vásárlói adatok
Számlázás / könyvelés Könyvelőiroda / számlázó szoftver számlázási adatok
Szállítás MPL, egyedi logisztikai partnerek név, cím, telefonszám
Online fizetés Barion Payment Zrt. fizetési tranzakciós adatok
Analitika / marketing Google LLC, Meta Platforms Inc. technikai és marketing adatok
3. NEMZETKÖZI ADATTOVÁBBÍTÁS

Egyes adatfeldolgozók az Európai Gazdasági Térségen (EGT) kívül működnek. Ilyen esetekben az adattovábbítás kizárólag megfelelő garanciák mellett történik, különösen az Európai Bizottság által elfogadott általános szerződési feltételek (SCC) alkalmazásával, vagy az érintett kifejezett hozzájárulásával.

4. TÁJÉKOZTATÁS ÉS KAPCSOLATTARTÁS

Az adatfeldolgozással kapcsolatos kérdések az [email protected] e-mail címen tehetők fel.

SzerszámraFel Kft. – Adatfeldolgozók listája

Adatvédelmi incidenskezelési eljárásrend

Szolgáltató / Adatkezelő: SzerszámraFel Kft. (baggerdepo.eu)

Hatályos: 2025. december 26. napjától

Jelen eljárásrend célja, hogy egységesen, gyorsan és bizonyítható módon kezeljük a személyes adatokat érintő adatvédelmi incidenseket a GDPR (EU 2016/679) 33–34. cikkeivel összhangban.

1. Fogalmak
  • Adatvédelmi incidens: a személyes adatok véletlen vagy jogellenes megsemmisülése, elvesztése, megváltoztatása, jogosulatlan közlése, vagy az adatokhoz való jogosulatlan hozzáférés.
  • Érintett: azonosított vagy azonosítható természetes személy.
  • NAIH: Nemzeti Adatvédelmi és Információszabadság Hatóság.
2. Szerepkörök és felelősségek
Szerepkör Feladat
Incidenskoordinátor
(Ügyvezető vagy kijelölt vezető)		 Bejelentés fogadása, vizsgálat elindítása, döntés NAIH/érintetti tájékoztatásról, dokumentáció jóváhagyása.
IT felelős / rendszergazda Technikai kivizsgálás, izolálás, mentés, helyreállítás, logok biztosítása, javító intézkedések, bizonyítékmegőrzés.
Ügyfélszolgálat / értékesítés Gyanús események azonnali jelzése, érintetti megkeresések kezelése, kommunikáció előkészítése jóváhagyás után.
Külső adatfeldolgozók
(tárhely, Barion, futár, analitika)		 Saját oldali incidensek haladéktalan jelzése, együttműködés a kivizsgálásban, érintett adatok körének tisztázása.
Belső incidens-bejelentési csatorna: [email protected]
Bejelentési elv: minden gyanút azonnal, legkésőbb észleléstől számított 2 órán belül jelezni kell.
3. Incidens-észlelés és azonnali intézkedések

3.1. Tipikus jelzések:

  • jogosulatlan belépés / gyanús admin aktivitás
  • adatbázis-szivárgás gyanú, kiszivárgott fájl, log riasztás
  • téves címzettnek küldött e-mail/számla, téves csomagcímke
  • kártevő / zsarolóvírus jelzés
  • adatfeldolgozó értesítése (pl. tárhelyszolgáltató)

3.2. Azonnali (0–4 óra) teendők:

  1. Izolálás: érintett fiókok jelszóváltása, hozzáférések felfüggesztése, érintett rendszer leválasztása.
  2. Bizonyítékmegőrzés: logok mentése, képernyőmentések, eseménynaplók, érintett levelezés/üzenetek rögzítése.
  3. Kármentés: adatszivárgás útjának megszüntetése, sérülékenység ideiglenes lezárása.
  4. Incidensazonosító: egyedi azonosító létrehozása (pl. INC-YYYYMMDD-001), nyilvántartás megnyitása.
4. Kivizsgálás és osztályozás

4.1. Kivizsgálás tartalma:

  • mi történt, mikor történt, hogyan derült ki
  • milyen rendszerek érintettek (webshop, levelezés, tárhely, adatbázis)
  • milyen személyes adatok érintettek (név, cím, e-mail, telefonszám, rendelési adatok stb.)
  • érintettek becsült száma
  • az incidens tart-e még / ismétlődhet-e

4.2. Kockázati besorolás (GDPR kockázat az érintettekre):

Szint Jellemző Következmény
Alacsony korlátozott adat, gyorsan elhárított, minimális visszaélési esély általában nincs NAIH-bejelentés (de nyilvántartás kötelező)
Közepes szélesebb körű adat (pl. cím + elérhetőség), potenciális visszaélés NAIH-bejelentés tipikusan szükséges
Magas jelentős mennyiségű adat, pénzügyi/azonosítási visszaélés kockázata, tartós hatás NAIH + érintetti tájékoztatás tipikusan szükséges
Fontos: bankkártyaadatok nem kerülnek a kereskedőhöz (Barion), azonban tranzakciós azonosítók és kapcsolódó rendelések adatai érintettek lehetnek. A kockázatot mindig a ténylegesen érintett adatkör alapján kell megállapítani.
5. Bejelentési kötelezettség (NAIH) és érintetti tájékoztatás

5.1. NAIH bejelentés: ha az adatvédelmi incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira, az Adatkezelő a tudomásszerzéstől számított 72 órán belül bejelenti az illetékes felügyeleti hatóságnak (NAIH).

5.2. Érintettek tájékoztatása: ha az incidens magas kockázattal jár, az Adatkezelő indokolatlan késedelem nélkül, közérthető módon tájékoztatja az érintetteket.

Döntési szempontok (irányadó):
  • érintett adatok jellege (pl. cím, telefonszám, rendelési adatok)
  • érintettek száma
  • adatok visszaélési lehetősége (csalás, adathalászat, személyazonosság-lopás)
  • adatok titkosítottsága/pszeudonimizáltsága
  • incidens tartama és elhárítás gyorsasága
6. Kommunikációs szabályok
  • Incidenssel kapcsolatban kifelé (ügyfél, partner, sajtó) csak az Incidenskoordinátor jóváhagyásával történhet kommunikáció.
  • Az érintetti tájékoztatásnak tartalmaznia kell a lényeges tényeket, a kockázatot és a javasolt óvintézkedéseket (pl. jelszócsere, adathalászat-figyelem).
  • A kommunikáció legyen tényszerű, ellenőrzött, és kerülje a találgatást.
7. Incidens-nyilvántartás (kötelező)

Az Adatkezelő minden incidensről nyilvántartást vezet, függetlenül attól, hogy történt-e hatósági bejelentés. A nyilvántartás tartalma legalább:

  • incidens azonosító, dátum/idő, észlelés módja
  • esemény leírása, érintett rendszerek
  • érintett adatkör és érintettek becsült száma
  • kockázati besorolás és döntés indoka (NAIH/érintett tájékoztatás)
  • megtett intézkedések (azonnali, helyreállítás, megelőzés)
  • külső partnerek bevonása, értesítések
  • lezárás dátuma, utólagos tanulságok
8. Helyreállítás, megelőzés és utóellenőrzés
  1. Javítás: sérülékenység befoltozása, jogosultságok felülvizsgálata, frissítések telepítése.
  2. Helyreállítás: mentések visszaállítása, rendszerintegritás ellenőrzése, monitoring erősítése.
  3. Megelőzés: jelszó- és MFA-szabályok, hozzáférés-kezelés, naplózás, oktatás, incidens-szimuláció.
  4. Utóellenőrzés: 7–30 napon belül kontroll: ismétlődik-e a probléma, megvalósult-e a javító intézkedés.
9. Minták (belső használatra)
9.1. Incidens bejelentő minimum adatok (belső):
• Ki jelzi (név, elérhetőség)?
• Mikor észlelte?
• Mi történt röviden?
• Milyen rendszer/oldal érintett?
• Van-e képernyőkép/log/részlet?
• Érintett-e személyes adat (milyen)?
9.2. Érintetti tájékoztatás minimum tartalom (GDPR 34):
• Mi történt és mikor?
• Milyen adatok lehetnek érintettek?
• Milyen következmények lehetségesek?
• Mit tettünk a károk csökkentésére?
• Mit tehet az érintett (pl. jelszócsere, gyanús e-mailek kerülése)?
• Kapcsolat: [email protected]
9.3. NAIH bejelentéshez szükséges minimum tartalom (GDPR 33):
• incidens jellege és időpontja
• érintett adatkörök és érintettek becsült száma
• várható következmények
• megtett/intézkedett lépések
• kapcsolattartó elérhetősége
10. Kapcsolattartás (belső és külső)

SzerszámraFel Kft. – Adatvédelmi incidenskezelési eljárásrend