ADATKEZELÉSI TÁJÉKOZTATÓ

Érvényes 2023. 10. 01. naptól.

A jelen adatkezelési tájékoztató célja, hogy a Hévízi Szent András Reumakórház és Gyógyfürdő az Európai Unió általános adatvédelmi rendelete (a továbbiakban: GDPR) 13. cikkében foglaltakkal összhangban tájékoztatást nyújtson az online jegyértékesítés céljából üzemeltetett rendszerében, így az online módon végzett jegyértékesítésével összefüggésben végzett adatkezelésekről. 

1. Az Adatkezelő megnevezése és elérhetősége

a továbbiakban:     Adatkezelő vagy Intézmény.

Adatvédelmi tisztviselő elérhetőségei:
E-mail: adatvedelem@spaheviz.hu
Postai cím: 8380 Hévíz, Dr. Schulhof Vilmos sétány 1.  – a borítékra kérjük írja rá: „Adatvédelmi tisztviselő részére”.

A szolgáltatásnyújtással összefüggő egyéb adatkezelések (pl. a belépőjegyek érvényességének ellenőrzése) vonatkozásában az Adatkezelő nem önállóan határozza meg az adatkezelés célját, hanem azt a szolgáltatást nyújtó szolgáltató(k) érdekében végzi (pl. adattovábbítást végez), így e tekintetben adatfeldolgozónak minősül.

2. Az adatfeldolgozó megnevezése és elérhetősége

a továbbiakban:       Adatfeldolgozó.

Az Adatkezelő és az Adatfeldolgozó között létrejött szolgáltatási szerződés alapján az Adatfeldolgozó teljes körű informatikai szolgáltatást nyújt az Adatkezelő részére, amely magába foglalja a jegyértékesítéshez alkalmazott honlap, valamint szoftver üzemeltetését, fejlesztését és az adatok tárolásához szükséges tárhelyszolgáltatást.

3. Az egyes adatkezelésekre vonatkozó információk

3.1. Online jegyértékesítési felületen regisztrációval vagy regisztráció nélkül történő jegyvásárlás

Az érintett személye: valamennyi természetes személy, aki a spaheviz.hu weboldalon történő regisztrálást követően a felhasználói profilon keresztül vagy regisztráció nélkül fürdőjegyet vásárol.

Az adatkezelés célja: az Adatkezelő szolgáltatásának igénybevételére jogosító névre szóló fürdőjegy megvásárlásának biztosítása, valamint a jegy vásárló részére – elektronikus formában – történő megküldése. 

Az adatkezelés jogalapja: a GDPR 6. cikk (1) bekezdés b) pontja szerint az Adatkezelő és az érintett között szolgáltatás nyújtására és igénybevételére létrejött szerződés teljesítése.

Az adatkezelés céljának eléréséhez kezelt személyes adatok köre, továbbá a személyes adatok kezelésének tényleges célja:

A fürdőbelépőjegy és bérlet vásárlása esetén kezelt személyes adatok köre és azok célja

Az adatkezelés időtartama:

1. a fürdőjegy esetén a szolgáltatás igénybevételéig tart.
2. a bérletvásárláshoz szükséges többlet adatok a felhasználói profilhoz rendeltek, kezelésük azok felhasználó (érintett) általi törléséig vagy a profil törléséig történik.

Az adattovábbítás címzettje:OTP Mobil Szolgáltató Kft. (székhely: 1143 Budapest, Hungária krt. 17-19., cégjegyzékszám: 01-09-174466, elérhetőség: ugyfelszolgalat@simple.hu).

Számlázással kapcsolatosan:

KBOSS.hu Kft

1031 Budapest, Záhony utca 7/D.

Adószám: 134217-2-41

Cégjegyzékszám: 01-09-303201

Belépőjegyváltással kapcsolatosan:

ASSA ABLOY Opening Solutions Hungary Korlátolt Felelősségű Társaság

Postacím:8000 Székesfehérvár, Palánkai u. 5.

Telefonszám: (+36) 22 510 170

E-mail cím: sales.seawing@assaabloy.com

Cégjegyzékszám: 07-09-001285

Adószám: 10271731-2-07

Az adattovábbítás célja: az elektronikus úton vásárolt jegy ellenértéknek megfizetése, erős ügyfélhitelesítés, csalásanalízis és ügyféltájékoztatás. Az adattovábbítás jogalapja: GPDR 6. cikk (1) bekezdés b) pontja szerint az Adatkezelő és az érintett között létrejött szerződés teljesítése valamint a PSD2 irányelv és az SCA rendelet szerint előírt adatszolgáltatási kötelezettség teljesítése.

3.2. A fürdőszolgáltatás igénybevételére való jogosultság ellenőrzése

Az érintett személye: valamennyi természetes személy, aki az Adatkezelőnél vásárolt fürdőjeggyel belép és kedvezményre való jogosultságot – ideértve a kedvezmény igénybevételére való jogosultság ellenőrzését is – az Adatkezelő képviseletében eljáró ellenőrzésre jogosult személy(ek) ellenőrzik. 

Az adatkezelés célja: a szolgáltatás kedvezményes áron történő ellenőrzése. Az ellenőrzés során az Adatkezelő nevében eljáró jegyvizsgáló (Infopult) a személyazonosság ellenőrzése során megtekinti a fürdőjegyet és az erre a célra szolgáló eszközével leolvassa a jegyen található QR kódot, amely alapján az általa használt eszköz a jegy vásárláskori adatairól (érvényesség, viszonylat, kedvezmény, stb.) A jegyvizsgáló e mellett – amennyiben a vendég kedvezményes árú jegyet vásárolt – a személyazonosság megállapítása érdekében kéri a személyazonosításra alkalmas okmány bemutatását is.

Az adatkezelés jogalapja: a GDPR 6. cikk (1) bekezdés b) pontja szerint az Adatkezelő és az érintett között szolgáltatás nyújtására és igénybevételére létrejött szerződés teljesítése.

Az adatkezelés céljának eléréséhez kezelt személyes adatok: a jegyen szereplő jegyadatok és a vendég személyes adatai (0neve, születési ideje, és a kedvezmény igénybevétele esetén a kedvezmény jogcíme) és az okmányon szereplő név, születési idő, igazolványszám és képmás (fénykép). 

Az adatkezelés időtartama: a jegy ellenőrzéséig.

3.4. A 3.1. és a 3.2. pontban megjelölt eredeti céloktól eltérő célból végzett adatkezelés (statisztikai adatok készítése)

Az adatkezelés célja: az Adatkezelő által kifejezetten a jegyértékesítéssel és/vagy a jegyellenőrzéssel összefüggésben kezelt személyes adatokból – különböző szempontok szerint – statisztikai adatok készülhetnek, amelyek az Adatkezelő értékesítési tevékenységével, illetve szolgáltatás nyújtásával összefüggő döntések megalapozását, vagy korábbi döntések következményeinek a mérését szolgálhatják. Mindemellett – tekintettel arra, hogy az Intézmény közfeladatot ellátó szervezetnek minősül – amennyiben olyan közérdekű adat iránti igény érkezik az Adatkezelőhöz, amelynek teljesítése a jegyértékesítési és/vagy a jegyellenőrzési tevékenységgel összefüggésben kezelt személyes adatokból történő statisztikai adat készítésével valósítható meg, úgy az Infotv. vonatkozó szabályaira tekintettel e célból is felhasználhatja a személyes adatokat. A statisztikai adatok elkészítése minden esetben olyan formában történik, hogy abból utólag az érintett már nem azonosítható be.

Az adatkezelés jogalapja: 

1. a GDPR 6. cikk (1) bekezdés f) pont szerint az Adatkezelő jogos érdeke, amely abban nyilvánul meg, hogy az Adatkezelőnek jogos érdeke fűződik ahhoz, hogy a jegyértékesítési illetve jegyellenőrzési tevékenysége során kezelt személyes adatokból olyan statisztikai adatokat készítsen, amely az értékesítési és ellenőrzési tevékenységének, valamint a szolgáltatás nyújtásának fejlesztésével kapcsolatos döntések meghozatalát elősegíti, megalapozza. 
2. amennyiben a statisztikai adat elkészítésére azért van szükség, mert az egyben közérdekű adatnak is minősül és annak kiadására az Infotv. szerinti adatigény teljesítése miatt szükség van, úgy az adatkezelés jogalapja a GDPR 6 cikk (1) bekezdés e) pontja szerint az adatkezelő közfeladatának ellátása.

3.5. Számla kiállítása a jegyvásárlásról és a számla megőrzése

Az érintett személye: valamennyi természetes személy, aki az Adatkezelő online jegyértékesítésre alkalmazott bármely felületén bármilyen terméket vásárol.

Az adatkezelés célja: az Adatkezelő által nyújtott szolgáltatás ellenértékének kifizetéséről szóló számla, adott esetben helyesbítő számla/számlával egy tekintet alá eső okirat kiállítása és jogszabály szerinti megőrzése. 

Az adatkezelés jogalapja: a GDPR 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség teljesítése, amelyet az általános forgalmi adóról szóló 2007. CXXVII. törvény 169-170.§ határoz meg.

Az adatkezelés céljának eléréséhez kezelt személyes adatok: a számlázási név, számlázási cím (ország, irányítószám, település, közterület neve és jellege, házszám, emelet/ajtó), a számla adatai.

Az adatkezelés időtartama: a számvitelről szóló 2000. évi C. törvény 169.§ (2) bekezdése alapján az adott évi beszámoló közzétételétől számított 8 év, valamint amennyiben a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény (a továbbiakban: Pmt.) 58.§ (1) bekezdése alapján az 5. §-ban meghatározott felügyeletet ellátó szerv, a pénzügyi információs egység, a nyomozó hatóság, az ügyészség és a bíróság megkeresésére a megkeresésben meghatározott ideig, legfeljebb az üzleti kapcsolat megszűnésétől, illetve az ügyleti megbízás teljesítésétől számított tíz évig köteles megőrizni.

Az adattovábbítás címzettje: a magyar adóhatóság (Nemzeti Adó és Vámhivatal). Az adattovábbítás célja: jogszabály szerinti adatszolgáltatási kötelezettség teljesítése. Az adattovábbítás jogalapja: a GDPR 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség teljesítése, amelyet 2007. CXXVII. törvény, valamint 23/2014. (VI. 30.) NGM rendelet ír elő.

3.6. Az online jegyértékesítéshez kapcsolódó monitoring rendszer működtetése

Az érintett személye: valamennyi természetes személy, aki az Adatkezelő online jegyértékesítésre alkalmazott felületén bármilyen tevékenységet folytat.

Az adatkezelés célja: az Adatkezelő által végzett értékesítés során keletkező értékesítési és számlázási adatok az esetlegesen keletkező hibák naplófájlban történő rögzítése a hibák monitorozása és elemzése, valamint a feltárt hibák kiküszöbölése céljából, valamint amennyiben az érintett részéről bármely okból igényérvényesítés történik, úgy az igény elbírálása.

Az adatkezelés jogalapja: a GDPR 6. cikk (1) bekezdés f) pontja szerint az Adatkezelő jogos érdeke. 

A kezelt személyes adatok köre: bejelentkezéskor használt e-mail cím, regisztráció nélküli vásárlásnál a megadott értesítési e-mailcím, a vásárlás során az online jegyvásárlási rendszerben végzett tevékenységek és időpontjai, a csatlakozott eszköz IP címe.

Az adatkezelés időtartama: az Online Jegyvásárlási Rendszer hibátlan működése esetén illetve az adott tranzakcióra vonatkozó vásárlói észrevétel hiányában a vásárlástól számított legfeljebb 15 napon belül automatikusan törlődnek. Hiba vagy meghatározott tranzakcióra vonatkozó panasz, észrevétel beérkezése esetén az érintett monitoring adatokat az észrevétel, panasz kivizsgálásáig illetve a hiba kijavításáig tárolja a monitoring rendszer.

3.7. Az online jegyértékesítéshez kapcsolódó egyéb adatkezelések

Az Adatkezelő által végzett online jegyértékesítéshez, illetve az Adatkezelő szolgáltatásához az alábbi adatkezelések szorosan kapcsolódnak, amelyek tekintetében a GDPR 13. cikk szerinti tájékoztatást az Adatkezelő önállóan teljesíti.

4. Az érintetteket megillető jogok és azok gyakorlásának módja

Az érintett elsősorban az Adatkezelő 1. pontban megjelölt elérhetőségein keresztül előterjesztett kérelmében gyakorolhatja az őt megillető érintetti jogokat. Tájékoztatjuk az érintettet, hogy az Adatkezelő bármely elérhetőségén előterjesztheti az érintetti jog gyakorlására irányuló kérelmét, azonban javasoljuk, hogy azt az 1. pontban megjelölt elérhetőségek valamelyikén keresztül tegye meg.

Az Adatkezelő a kérelem benyújtásától számított legrövidebb idő alatt, legfeljebb azonban egy hónapon belül írásban, közérthető formában adja meg a tájékoztatást. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Az Adatkezelő elsősorban olyan formában teljesíti az érintett kérelmét, ahogyan azt az érintett kéri. Ha az érintett elektronikus úton nyújtotta be a kérelmet, úgy az Adatkezelő – az érintett eltérő kérése hiányában – elektronikus úton adja meg a választ.

Az Adatkezelő az érintetti jogok gyakorlását díjmentesen biztosítja az érintett részére. Amennyiben az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az Adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre észszerű összegű díjat számíthat fel, vagy megtagadhatja a kérelem alapján történő intézkedést. Az Adatkezelő mindaddig megtagadhatja az érintetti jogainak gyakorlására irányuló kérelem teljesítését, ameddig kétséget kizáróan nem tudja azonosítani.

4.1.  A hozzáféréshez való jog és másolatkéréshez való jog

Az érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e. A hozzáférés joga alapján az érintett jogosult arra, hogy a folyamatban lévő adatkezeléssel összefüggő személyes adatokhoz és az alábbi információkhoz hozzáférést kapjon az adatkezelés céljáról, az adatkezeléssel érintett személyes adatok kategóriáiról, az adatkezelés időtartamáról, arról, hogy kik és milyen célból kapják vagy kapták meg az érintett személyes adatait, az adatkezeléssel összefüggő jogairól, a felügyeleti hatósághoz címzett panasz benyújtásának jogáról.  

Az érintett kérésére az Adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát – amennyiben az nem érinti hátrányosan mások jogait és szabadságait – rendelkezésére bocsátja. Az érintett által kért további másolatokért Adatkezelő költségtérítést állapíthat meg.

4.2. Az adatok módosításához, helyesbítéséhez és kiegészítéséhez való jog 

Az érintett az 1. pontban megadott elérhetőségen keresztül kérheti a rá vonatkozó pontatlan személyes adatainak módosítását (helyesbítését), illetve a hiányos személyes adatok kiegészítését. Adatkezelő a helyesbítésről értesíti az érintettet.

Amennyiben az érintettnek az Adatkezelő online jegyértékesítési rendszereiben felhasználói fiókja van, úgy az érintettnek lehetősége van önállóan is módosítani a felhasználói fiókban rögzített személyes adatokat.

4.3. Hozzájárulás visszavonásához való jog

Az érintett a GDPR 6. cikk (1) bekezdés a) pontja szerinti megadott hozzájárulását, az Adatkezelő bármely elérhetőségén időbeli korlátozás nélkül visszavonhatja, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét. Amennyiben az érintett visszavonja az adatkezeléshez adott hozzájárulását az Adatkezelő az érintett adatait késedelem nélkül törli és a megtett intézkedésekről az érintettet tájékoztatja.

Az érintett a 3.1. pontban megjelölt adatkezelési folyamat [az online jegyértékesítési felületeken történő regisztráció] keretében adott hozzájárulását a felhasználói profil törlésével bármikor visszavonhatja. 

4.4. Az adatok törléséhez való jog („elfeledtetéshez való jog”)

Az érintett kérheti a személyes adatainak törlését, ha az adatkezelés célja megszűnt, ha az érintett visszavonja hozzájárulását, ha az adatok kezelése jogellenes, ha az adatok tárolásának meghatározott határideje lejárt, továbbá, ha azt bíróság vagy hatóság elrendelte. Az Adatkezelő a személyes adatok törléséről értesíti az érintettet. Az Adatkezelő a személyes adatokat nem törli, ha azok az Adatkezelőre vonatkozó jogszabályi kötelezettség teljesítéséhez, továbbá jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükségesek.

Tájékoztatjuk az érintettet, hogy a nem aktivált regisztrációhoz megadott e-mail cím és regisztrációs adatok törlése az aktiváló email kiküldése után 72 órával automatikusan megtörténik.

4.5. Az adatkezelés korlátozása

Az érintett az Adatkezelő bármely elérhetőségén kérheti, hogy a személyes adatainak kezelését az Adatkezelő korlátozza amennyiben:

• vitatja a személyes adatok pontosságát (ez esetben a korlátozás arra az időtartamra vonatkozik, amíg az Adatkezelő ellenőrzi az adatok helyességét); 
• az adatkezelés jogellenes, de az érintett ellenzi az adatok törlését és kéri azok felhasználásának korlátozását;
• az adatkezelés célja megszűnt, de az érintettnek szüksége van azokra jogi igények előterjesztéséhez, érvényesítéséhez, védelméhez.

Az adatkezelés korlátozása addig tart, amíg az érintett által megjelölt indok szükségessé teszi. Ebben az esetben a személyes adatokat – a tárolás kivételével – csak az érintett hozzájárulásával; vagy jogi igények előterjesztéséhez, érvényesítéséhez, védelméhez; vagy más természetes vagy jogi személy jogainak védelme érdekében; vagy fontos közérdekből kezeljük. Az Adatkezelő az érintett kérésére történt korlátozás feloldásáról az érintettet előzetesen tájékoztatja.

4.6. Adathordozhatósághoz való jog

Az érintett jogosult arra, hogy a rá vonatkozó, általa rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha az adatkezelés a 6. cikk (1) bekezdésének a) pontja vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul és az adatkezelés automatizált módon történik.

4.7. Tiltakozáshoz való jog

Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a GDPR 6. cikk (1) bekezdésének e) és f) pontján alapuló kezelése ellen. Ez a jogosultság a jelen adatkezelési tájékoztatóban foglalt 3.4. és 3.6. pontban megjelölt adatkezelés esetén gyakorolható. Ebben az esetben az adatkezelő a személyes adatokat nem kezeli tovább, kivéve, ha az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. Amennyiben az érintett a jelen adatkezelési tájékoztatóban foglalt Adatkezeléssel szemben tiltakozik, úgy az Adatkezelő egyedileg vizsgálja meg a kérelem teljesíthetőségét.

4.8. Jogorvoslati lehetőségek

4.8.1. Az Adatkezelőhöz való fordulás joga

Ha az érintettnek a személyes adatai kezelésével kapcsolatban észrevétele, kifogása van, vagy az adatai kezeléséről tájékoztatást szeretne kérni, akkor azt az adatvedelem@spaheviz.hu elérhetőségen teheti meg.

4.8.2. Panasztételhez való jog

Amennyiben az érintett az Adatkezelő által végzett adatkezeléssel nem ért egyet vagy úgy véli, hogy az adatkezelő megsértette valamely jogát, úgy panasszal élhet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál az alábbi elérhetőségek bármelyikén:

4.8.3. Bírósági jogorvoslathoz való jog

Amennyiben az érintett az Adatkezelő által végzett adatkezeléssel nem ért egyet vagy úgy véli, hogy az Adatkezelő megsértette valamely jogát, úgy az érintett közvetlenül is fordulhat jogorvoslatért az Adatkezelővel szemben, amely kérelmet az Adatkezelő székhelye szerinti vagy az érintett lakóhelye, illetve tartózkodási helye szerinti bírósághoz kell benyújtania. A bíróság az ügyben soron kívül jár el.

5. Az adatkezelések során alkalmazott és hivatkozott jogszabályok

Az Adatkezelő a jelen adatkezelési tájékoztató 4. pontjában megjelölt adatkezelési folyamatai során az alábbi jogszabályokat alkalmazza: 

• a számvitelről szóló 2000. évi C. törvény (Számviteli tv.);
• a Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.);
• az általános forgalmi adóról szóló 2007. CXXVII. törvény (Áfa tv.);
• a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény (Pmt.);    
• a számla és a nyugta adóigazgatási azonosításáról, valamint az elektronikus formában megőrzött számlák adóhatósági ellenőrzéséről szóló 23/2014. (VI. 30.) NGM rendelet;
• az Európai Parlament és a Tanács (EU) 2015/2366 irányelve (2015. november 25.) a belső piaci pénzforgalmi szolgáltatásokról és a 2002/65/EK, a 2009/110/EK és a 2013/36/EU irányelv és a 1093/2010/EU rendelet módosításáról, valamint a 2007/64/EK irányelv hatályon kívül helyezéséről (PSD2 irányelv);
• a Bizottság (EU) 2018/389 felhatalmazáson alapuló rendelete az (EU) 2015/2366 európai parlamenti és tanácsi irányelvnek az erős ügyfél-hitelesítésre, valamint a közös és biztonságos nyílt kommunikációs standardokra vonatkozó szabályozástechnikai standardok tekintetében történő kiegészítéséről (SCA rendelet).