Adatvédelmi Nyilatkozat

1. Adatkezelő

A Centrio szalonkezelő platform üzemeltetője (a továbbiakban: „Adatkezelő"):

• Cégnév: SzoRa Solution Kft.
• Székhely: 2030 Érd, Szendrői utca 51.
• Cégjegyzékszám: 13-09-236277 (nyilvántartó bíróság: Budapest Környéki Törvényszék Cégbírósága)
• Adószám: 32649491-2-13
• Közösségi (EU) adószám: HU32649491
• Képviselő: Keller Bence ügyvezető
• Telefon: +36 70 429 3040
• Elérhetőség: info@centrio.hu
• Platform URL: www.centrio.hu

2. Kezelt személyes adatok

2.1. Regisztráció és bejelentkezés

A platformra való regisztrációhoz és bejelentkezéshez az alábbi adatokat kezeljük:

• E-mail cím — fiók azonosításához, értesítések küldéséhez
• Megjelenítési név — személyre szabott felhasználói élményhez
• Jelszó (csak e-mail alapú regisztrációnál) — titkosítva tárolva, soha nem látható

2.2. Google OAuth bejelentkezés

Ha Google-fiókkal jelentkezik be, a Google hitelesítési szolgáltatásától (Google LLC, 1600 Amphitheatre Pkwy, Mountain View, CA 94043, USA) az alábbi adatokat kapjuk meg:

• Google-fiók e-mail cím
• Megjelenítési név (keresztnév és vezetéknév)
• Google-fiók azonosító (sub / user ID)

Ezeket az adatokat kizárólag a fiók létrehozásához és azonosításához használjuk. Google OAuth tokeneket titkosítva tároljuk. A Google adatvédelmi szabályzata elérhető: policies.google.com/privacy.

2.3. Szalonkezelési adatok (operátorok által felvett adatok)

A Centrio platformot szépségipari szakemberek (operátorok) saját vendégeik és időpontjaik kezelésére használják. Az operátorok által a platformon rögzített vendégadatok (név, telefonszám, e-mail cím, születésnap, kezelési előzmények) vonatkozásában az operátor minősül adatkezelőnek, a Centrio platform adatfeldolgozóként jár el. Az operátor felelős ezen adatok GDPR-megfelelő kezeléséért a saját vendégeivel szemben.

A Centrio nem vállal felelősséget a Megrendelő/operátor adatkezelési gyakorlatáért; a vendégadatok tekintetében az operátor minősül adatkezelőnek, a Centrio adatfeldolgozóként jár el, és a Megrendelő/operátor szavatolja az általa rögzített adatok jogszerű kezelésének jogalapját.

2.3.1. Vendég születésnapja (opcionális)

Ha az operátor bekapcsolja, az online foglalási űrlapon a vendég opcionálisan megadhatja a születésnapját. A születésnap megadása nem feltétele a foglalásnak. Az operátor ezt az adatot kizárólag abból a célból kezeli, hogy a vendéget születésnapja alkalmából kedvezménnyel vagy kuponnal lephesse meg. A születésnap megadása a vendég önkéntes hozzájárulásán alapul; a vendég bármikor kérheti annak törlését az adott operátortól. Az operátor — mint adatkezelő — felel ezen adat jogszerű kezeléséért.

2.3.2. Vendég-fiók (opcionális, a vendég saját fiókja)

A vendégek opcionálisan saját Centrio-fiókot hozhatnak létre. A fiók nem feltétele az időpontfoglalásnak — foglalni fiók nélkül is lehet.

⚠️ Ebben az esetben a Centrio adatkezelőnek minősül (nem adatfeldolgozónak): a vendég-fiók a vendég és a Centrio közti közvetlen jogviszony, függetlenül attól, hogy a vendég melyik szalonnál járt.

A fiókkal kapcsolatban kezelt adatok:

• e-mail cím (a fiók azonosítója) és a megerősítés időpontja
• megadott név (nem kötelező)
• jelszó — kizárólag titkosított lenyomatként (bcrypt), soha nem visszafejthető formában
• Google- vagy Facebook-fiók azonosító, ha a vendég ezt a belépési módot választja
• a vendég által saját maga megerősített összekapcsolások: mely szalonoknál/kezelőknél lévő vendég-bejegyzés tartozik a fiókjához

Jogalap: a fiók létrehozása és fenntartása a GDPR 6. cikk (1) b) pontja (szerződés teljesítése — a vendég kéri a fiókot); a Google/Facebook belépés a 6. cikk (1) a) pontja (hozzájárulás).

Összekapcsolás — bizonyított csatornán. Egy szalonnál lévő vendég-bejegyzés kizárólag akkor kapcsolódik a fiókhoz, ha a vendég a saját e-mail-fiókjába küldött, egyszer használatos megerősítő linkre rákattint. A puszta e-mail- vagy telefonszám-egyezés önmagában nem hoz létre kapcsolatot. Az összekapcsolás a szalonok számára semmilyen új hozzáférést nem ad: egyik szalon sem tudja meg, hogy a vendég máshol is járt — ez az információ kizárólag a vendég saját fiók-nézetében jelenik meg.

Megőrzési idő: a fiók fennállásáig. A vendég a fiókját bármikor, önkiszolgálóan törölheti a fiók oldalán.

⚠️ Mire terjed ki a fiók törlése — és mire nem. A törlés a Centrio-fiókot szünteti meg: az e-mail-címet, a belépési adatokat és az összekapcsolásokat véglegesen töröljük. A törlés nem érinti a szalonok saját vendég-nyilvántartását: azokra az adatokra a szalon az adatkezelő (a Centrio adatfeldolgozó), és a kiállított számlákra a számvitelről szóló 2000. évi C. törvény szerint 8 éves megőrzési kötelezettség vonatkozik, amit sem a szalon, sem a Centrio nem írhat felül. Ha a vendég egy adott szalonnál lévő adatainak törlését/anonimizálását kéri, azt közvetlenül az adott szalonnál kell kezdeményeznie.

2.3.3. Push-értesítés a saját foglalásaidról (opcionális, a vendég-fiók funkciója)

Ha rendelkezel Centrio-fiókkal, a fiókodban opcionálisan engedélyezheted a böngésző-push-értesítéseket a saját foglalásaidról (visszaigazolás, emlékeztető, és ha egy várólistás időpont felszabadul). Ez a hozzájárulás a hírlevél/marketing-hozzájárulástól teljesen elkülönített, önálló kategória — a bekapcsolása nem iratkoztat fel marketingre, és fordítva sem; a kettő egymástól függetlenül, bármikor be- és kikapcsolható a fiók oldalán.

Ezzel kapcsolatban kezelt adatok:

• a böngésződ push-feliratkozásának eszköz-egyedi végpont-címe (URL) és két titkosítási kulcsa — ezeket a böngésződ generálja, amikor engedélyezed az értesítést
• a hozzájárulás megadásának időpontja és a tájékoztató elfogadott verziója (GDPR „bizonyítható hozzájárulás" követelménye)

Jogalap: 6. cikk (1) a) — hozzájárulás. A hozzájárulás bármikor, ugyanolyan egyszerűen visszavonható, mint ahogy megadható — a visszavonás véglegesen leállítja a küldést erre az eszközre.

Megőrzési idő: a hozzájárulás visszavonásáig, vagy a fiók törléséig. A visszavonás nem törli azonnal a rekordot (a visszavonás TÉNYÉT a bizonyíthatóság miatt megőrizzük), de a küldést azonnal és véglegesen leállítja.

⚠️ A push-üzenet TARTALMA (a foglalásod adatai) végpontok között titkosítva utazik — a push-szolgáltató a tartalmat nem látja. Az, hogy KAPTÁL egy értesítést, ÉS ANNAK IDŐPONTJA, viszont technikailag szükségszerűen áthalad a böngésződ push-szolgáltatóján — ez az alábbi „Harmadik felek" (5.) szekcióban van részletezve.

⛔ iOS Safari korlát: iPhone-on/iPaden a push-értesítés csak akkor működik, ha az oldalt a Kezdőképernyőre telepíted — böngészőből megnyitva nem érkezik meg, akkor sem, ha itt engedélyezed.

2.4. Munkamenet és technikai adatok

• JWT munkamenet token (LocalStorage-ban tárolva) — a bejelentkezési állapot megőrzéséhez
• Naplófájlok (IP-cím, böngésző típusa, kért URL, időbélyeg) — biztonsági és hibakeresési célból, 30 napig megőrizve

3. Az adatkezelés célja és jogalapja

4. Adattárolás helye és időtartama

Tárolás helye és kiszolgálás: A platformot — az alkalmazást és az adatbázist egyaránt — az Adatkezelő saját üzemeltetésű, magyarországi szerverén működtetjük. Az Eker. tv. 4. §-a szerinti tárhelyszolgáltató ezért maga az Adatkezelő; azonosító adatai az 1. pontban és az Impresszumban szerepelnek. Külső tárhely- vagy adatbázis-szolgáltatót nem veszünk igénybe, és maga a kiszolgálás nem jár az Európai Gazdasági Térségen kívülre irányuló adattovábbítással. Az egyes funkciókhoz kapcsolódó, konkrét harmadik felek felé irányuló adattovábbításokat — köztük az EGT-n kívülieket — az 5. szekció sorolja fel tételesen.

Ha a platform kiszolgálását a jövőben külső szolgáltatóra bízzuk, azt a változás hatálybalépése előtt ebben a pontban és az Impresszumban is közzétesszük, a dokumentum verziójának emelésével együtt.

5. Harmadik felek

• Google LLC — OAuth hitelesítési szolgáltatás. Adatvédelmi tájékoztató: policies.google.com/privacy
• Számlázz.hu (KBOSS.hu Kft.) — Ha az operátor a platformon belüli számlakiállítás funkciót használja, a számlázáshoz szükséges adatokat a Számlázz.hu API-n keresztül továbbítjuk. Adatvédelmi tájékoztató: szamlazz.hu/adatvedelem
• Google Tag Manager / Google Analytics — Látogatói statisztikák gyűjtésére. A Google Analytics nem anonim — egyedi azonosítót (_ga, _ga_* süti) tárol. A mérést csak akkor engedélyezzük, ha a süti-sávon a „Statisztikai" kategóriát elfogadod (részletek a 7. szekcióban). Az adatok az EU-n kívülre is kerülhetnek, az adattovábbítás a Google Standard Contractual Clauses alapján történik.
• Meta Platforms Ireland Ltd. (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Írország) — Meta Pixel, a Facebook-hirdetéseink méréséhez és optimalizálásához. A Pixel a publikus oldalainkon fut, és azt továbbítja a Metának, hogy a látogató mely oldalt nézte meg, illetve befejezte-e a regisztrációt. ⛔ Személyes adatot (e-mail-címet, nevet) sem nyersen, sem titkosított (hash-elt) formában NEM adunk át — a Meta „advanced matching" funkcióját szándékosan nem használjuk. A Pixel kizárólag akkor töltődik be, ha a süti-sávon a „Marketing" kategóriát elfogadod; hozzájárulás nélkül a Meta szervere felé egyetlen kérés sem indul. A hozzájárulás visszavonása után a gyűjtés leáll. Adatvédelmi tájékoztató: facebook.com/privacy/policy
• Email-kézbesítő szolgáltató — a rendszer-értesítések és tranzakciós e-mailek kézbesítéséhez SMTP-alapú email-kézbesítő szolgáltatót veszünk igénybe.
• Google Calendar (Google LLC) — ⚠️ kezelőnkénti, alapértelmezés szerint KIKAPCSOLT opció. Ha egy kezelő a saját fiókjában bekapcsolja a naptár-szinkronizációt, a Centrio a kezelő időpontjait kiírja a kezelő saját Google-naptárába. Ilyenkor a vendég teljes neve az esemény címeként, a foglalt szolgáltatások neve, időtartama és ára pedig az esemény leírásaként kerül át a Google-höz, az időpont kezdő és záró időpontjával együtt. A szinkronizáció egyirányú (Centrio → Google Calendar): a Google-naptárból nem olvasunk vissza adatot. A funkció kizárólag azoknál a kezelőknél fut, akik azt kifejezetten engedélyezték; a többi kezelő vendégadatai soha nem kerülnek a Google-höz ezen az úton.

  ⚠️ Ki miért felel: a vendégadatok tekintetében a kezelő az adatkezelő (l. 2.3. szekció), a Centrio adatfeldolgozó. A szinkronizáció bekapcsolása a kezelő döntése, ezért a saját vendégei tájékoztatása is a kezelő kötelezettsége. Google adatvédelmi tájékoztató: policies.google.com/privacy.

• Feltételes integrációk — csak a kezelő kifejezett bekapcsolása esetén. Az alábbi szolgáltatások nem futnak alapértelmezés szerint; feléjük adattovábbítás kizárólag akkor történik, ha az adott kezelő az adott funkciót a saját fiókjában bekapcsolja. Ha ez nem történik meg, ezek a szolgáltatók semmilyen adatot nem kapnak.
  • Billingo — ha a kezelő a Billingo-t választja számlázó szolgáltatónak, a számla kiállításához szükséges adatokat a Billingo API-ján keresztül továbbítjuk (a Számlázz.hu-val azonos szerepben).
  • Brevo — ha a kezelő bekapcsolja a hírlevél-szinkronizációt, az érintett vendég e-mail címe és keresztneve kerül át a Brevo hírlevél-listájára.
  • ⚠️ Telegram — ha a kezelő bekapcsolja a Telegram-értesítést, az új és lemondott foglalásokról szóló üzenet — amely a vendég nevét is tartalmazza — a Telegram szerverein keresztül kézbesül a kezelőnek. ⛔ A Telegram szolgáltatás üzemeltetője az Egyesült Arab Emírségekben működik, amely nem tartozik az EGT-hez, és a GDPR 45. cikke szerint nem rendelkezik megfelelőségi (adekvátsági) határozattal — vagyis nem adekvát harmadik ország. Ennek a továbbításnak a jogalapja ezért a kezelő kifejezett, e kockázat ismeretében adott hozzájárulása (GDPR 49. cikk (1) a)). A funkció bekapcsolása nélkül a Telegram felé semmilyen adat nem megy.
  • Facebook Messenger (Meta) — ha a kezelő Messenger-értesítést kapcsol be, ugyanez az értesítés (a vendég nevével) a Meta Send API-ján keresztül kézbesül a kezelőnek. Meta adatvédelmi tájékoztató: facebook.com/privacy/policy.
• OpenStreetMap / Nominatim — a szalon üzleti címének koordinátákra fordítása (geokódolás), hogy a szalon a publikus oldalon és a keresésben térképen megjeleníthető legyen. Kizárólag a kezelő által megadott szalon-cím kerül továbbításra — vendégadat soha.
• NAV Online Számla rendszer (Nemzeti Adó- és Vámhivatal) — ha az operátor a platformon keresztül számlát állít ki, a kiállított számlák adatai törvényi kötelezettség alapján (Áfa tv. / vonatkozó NAV rendelet, GDPR 6. cikk (1) c)) automatikusan a NAV online számla-adatszolgáltatási rendszerébe továbbítódnak. Ez minden számlakiállítási útvonalra vonatkozik: akár külső számlázó szolgáltatón keresztül (pl. Számlázz.hu, Billingo), akár a platformon belüli közvetlen NAV-számlakiállítási funkcióval történik a kiállítás. Ez nem a klasszikus GDPR-értelemben vett adatfeldolgozás, hanem állami adatszolgáltatási kötelezettség — átláthatóság kedvéért soroljuk fel.
• Groq Inc. (USA) — a platformba épített AI-asszisztens (Beállítások / admin felület) az Ön kérésére a bejelentkezett kezelő saját scope-jában lévő adatokhoz (időpontok, vendégek neve/telefonszáma, szolgáltatások) fér hozzá, hogy választ tudjon adni. Az adattovábbítás az EU-n kívülre a Google Standard Contractual Clauses alapján történik.
• Böngésző push-értesítési szolgáltatók (Google FCM / Apple / Mozilla) — ha engedélyezed a push-értesítést a saját foglalásaidról (2.3.3. szekció), a böngésződ a használt platform szerint a Google Firebase Cloud Messaging (Chrome/Edge/Android), az Apple Push Notification service (Safari/iOS) vagy a Mozilla Autopush (Firefox) szolgáltatásán keresztül kézbesíti az értesítést. Ezek a push-szolgáltatók a kézbesítéshez technikailag szükségszerűen látják az eszköz-egyedi végpont-címet, az üzenet küldésének időpontját és méretét — az üzenet TARTALMÁT (a foglalásod adatait) NEM, mert az végpontok között titkosított. Adatvédelmi tájékoztatók: Google (FCM), Apple, Mozilla.
• Barion Payment Zrt. (székhely: 1117 Budapest, Infopark sétány 1. I. épület 5. emelet; a Magyar Nemzeti Bank felügyelete alatt álló elektronikuspénz-kibocsátó intézmény, engedélyszám: H-EN-I-1064/2013) — Az online előfizetési díj fizetésének feldolgozója. A fizetés indításakor a Barion felé továbbított adatok köre az előfizetés-fizetéshez kapcsolódó tranzakciós/fizetési adatokra (pl. fizetendő összeg, tranzakció-azonosító, e-mail cím) korlátozódik; a bankkártya adatait kizárólag a Barion biztonságos rendszere kezeli, azok a kereskedőhöz (a Centrio-hoz) nem jutnak el, azokat nem látjuk és nem tároljuk. A kártya- és fizetési adatok vonatkozásában a Barion Payment Zrt. a saját adatkezelési tájékoztatója szerint önálló adatkezelőnek minősül. Adatvédelmi tájékoztató: barion.com/hu/adatvedelmi-tajekoztato

  Barion Pixel (csalásmegelőzés — Base): A platform publikus oldalain a Barion Base Pixel nevű mérőkódját alkalmazzuk. A Pixel technikai és munkamenet-adatokat gyűjt (munkamenet-azonosító, böngésző- és eszközadatok, egy harmadik féltől származó, a barion.html dokumentumon keresztül elhelyezett süti), amelyek kizárólag a fizetési csalás megelőzését szolgálják — nem marketing célúak. Ennek jogalapja a Barion és a Centrio jogos érdeke a fizetési visszaélések elleni védelemben (GDPR 6. cikk (1) f)). Mivel nem marketing célú, ez a mérés nem függ a süti-sáv „Statisztikai" vagy „Marketing" kategóriájának hozzájárulásától, és akkor is betöltődik, ha csak a szükséges sütiket fogadod el (a Barion hivatalos elvárása szerint). A Barion Pixelről bővebben: barion.com/hu/adatvedelmi-tajekoztato.

  Barion Pixel (marketing-elemzés — Teljes): A fenti Base Pixel MELLETT — kizárólag az előfizetés- és kiegészítő-szolgáltatás-vásárlási felületeken — a Barion Teljes (Full) Pixel marketing-esemény-rétegét is alkalmazzuk. Ez a bejelentkezett üzemeltető e-mail-címének titkosított (hash-elt) lenyomatát és a vásárlási folyamat tranzakciós esemény-adatait (a fizetési oldal megtekintése, a csomag kosárba helyezése, a fizetés-indítás és a sikeres vásárlás ténye, a fizetendő összeggel) továbbítja a Barion részére marketing-elemzés és hirdetés-optimalizálás céljából. Ez a réteg — a Base Pixellel ELLENTÉTBEN — marketing célú, jogalapja a te hozzájárulásod (GDPR 6. cikk (1) a)), ezért KIZÁRÓLAG akkor fut, ha a süti-sávon a „Marketing" kategóriát elfogadod. Ha nem járulsz hozzá a marketing sütikhez, a Teljes Pixel egyetlen eseménye sem tüzel, és e-mail-lenyomat sem kerül továbbításra. Nyers (nem hash-elt) e-mail-címet soha nem továbbítunk.

6. Az érintett jogai (GDPR 15–21. cikk)

Az Ön személyes adataival kapcsolatban az alábbi jogokat gyakorolhatja:

• Hozzáférés joga (15. cikk): Tájékoztatást kérhet az Önről kezelt adatokról.
• Helyesbítés joga (16. cikk): Kérheti a pontatlan adatok javítását.
• Törlés joga (17. cikk): Kérheti a személyes adatai törlését („elfeledtetéshez való jog"). A fiók törlését közvetlenül, self-service módon is kezdeményezheti a Beállítások „Veszélyes zóna" szekciójából — a törlés azonnal deaktiválja a fiókot, majd a 30 napos türelmi időszak alatt visszavonható marad. A türelmi idő lejárta utáni végleges törlés menetét — és azt, hogy az ma felügyelt, nem automatikus folyamat — a 4. pont „Fiókadatok" sora írja le. (A kiállított NAV-számlákra a 4. pont szerinti 8 éves törvényi megőrzési kötelezettség vonatkozik.)
• Az adatkezelés korlátozásához való jog (18. cikk): Bizonyos esetekben kérheti az adatkezelés korlátozását.
• Adathordozhatóság joga (20. cikk): Kérheti adatait géppel olvasható formátumban.
• Tiltakozás joga (21. cikk): Tiltakozhat az adatkezelés ellen, ha az jogos érdeken alapul.

Jogait az info@centrio.hu e-mail-címen érvényesítheti. Panasszal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) fordulhat: naih.hu.

7. Sütik (cookie-k)

A platform munkamenet-kezeléshez JWT tokent használ, amelyet a böngésző LocalStorage tárolójában tárolunk — ez technikailag nem süti, de hasonló célt szolgál. A harmadik féltől származó statisztikai sütik (Google Tag Manager / Google Analytics) nem anonimak — a Google Analytics egyedi azonosítót tárol (_ga, _ga_* süti). A statisztikai (Google Analytics) mérést csak akkor engedélyezzük, ha a süti-sávon elfogadod a „Statisztikai" kategóriát; a hozzájárulásodat a Google Tag Manageren keresztül jelezzük, és ennek megfelelően engedélyezzük vagy tiltjuk a mérést. Ha csak a szükséges sütiket fogadod el, statisztikai mérés nem történik.

A Barion csalásmegelőzési Base Pixel sütije a „Szükséges" (nem a „Statisztikai") kategóriába tartozik: jogos érdeken alapuló, fizetési csalás elleni védelmet szolgál, ezért a hozzájárulás-alapú statisztikai/marketing sütiktől függetlenül, feltétel nélkül betöltődik (részletek az 5. szekcióban). A Barion Teljes (Full) Pixel marketing-esemény-rétege ezzel szemben a „Marketing" süti-kategóriába tartozik, és kizárólag a „Marketing" kategória elfogadása esetén fut (a Base Pixel barion.html sütijén felül nem helyez el önálló süti-azonosítót — ugyanazt a Barion-mérőkör-infrastruktúrát használja, csak akkor küld marketing-eseményeket, ha hozzájárulsz).

Részletes süti-tájékoztatónkat, a pontos kategóriákat és a konkrét tárolók listáját a Süti-tájékoztató oldalon olvashatod.

8. Adatbiztonság

A személyes adatokat titkosított HTTPS kapcsolaton keresztül továbbítjuk. A jelszavakat erős hash algoritmussal tároljuk. A Google OAuth refresh tokeneket AES-256-GCM titkosítással tároljuk. Rendszeresen végzünk biztonsági mentést az adatokból.

9. Kapcsolat

Adatvédelmi kérdésekkel, kérésekkel forduljon hozzánk:

info@centrio.hu

10. A nyilatkozat módosítása

Fenntartjuk a jogot jelen nyilatkozat módosítására. Lényeges változás esetén e-mailben értesítjük a regisztrált felhasználókat. Az aktuális verzió mindig ezen az oldalon érhető el.