Adatkezelési szabályzat

Süti típusa	Munkamenet sütik (session) Állandó vagy mentett sütik
Adatkezelés jogalapja	Az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalmi szolgáltatások egyes kérdéseiről szóló 2001. CVIII. törvény (Elkertv.) 13/A. § (3) bekezdése
Adatkezelés időtartama	A vonatkozó látogatói munkamenet lezárásáig tartó időszak az érintett törléséig, maximum 30 nap
Kezelt adatkör	connect.sid

Személyes adat	Az adatkezelés célja
Név	Azonosítás
Telefonszám	Kapcsolattartás, egyeztetés
E-mail cím	Kapcsolattartás, az ajánlat (válasz) megküldéséhez szükséges.
Üzenet	Az ajánlat kidolgozásához és testre szabásához szükséges.
Az ajánlatkérés időpontja	Technikai művelet végrehajtása.
Az ajánlatkérés kori IP cím	Technikai művelet végrehajtása.

2. Az érintettek köre: A hotel szolgáltatásaival kapcsolatban minőségi kifogással élő, panaszt tevő valamennyi érintett.

3. Az adatkezelés időtartama, az adatok törlésének határideje: A felvett kifogásról felvett jegyzőkönyv, átirat és az arra adott válasz másolati példányait a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. § (7) bekezdése alapján 5 évig kell megőrizni.

4. Az adatok megismerésére jogosult lehetséges adatkezelők személye, a személyes adatok címzettjei: A személyes adatokat az adatkezelő sales és marketing munkatársai kezelhetik, a fenti alapelvek tiszteletben tartásával.

5. Az érintettek adatkezeléssel kapcsolatos jogainak ismertetése:

• Az érintett kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és
• tiltakozhat az ilyen személyes adatok kezelése ellen, valamint
• az érintettnek joga van az adathordozhatósághoz, továbbá a hozzájárulás bármely időpontban történő visszavonásához.

6. A személyes adatokhoz való hozzáférést, azok törlését, módosítását, vagy kezelésének korlátozását, az adatok hordozhatóságát, az adatkezelések elleni tiltakozást az alábbi módokon tudja érintett kezdeményezni:

• postai úton a 5435 Martfű Ifjúság út 2. címen,
• e-mail útján a info@martfuspa.hu e-mail címen,
• telefonon a 06 56/452 416 számon.

7. Az adatkezelés jogalapja: 6. cikk (1) bekezdés c) pont, és a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. § (7) bekezdése.

8. Tájékoztatjuk, hogy

• a személyes adat szolgáltatása jogi kötelezettségen alapul.
• a szerződés megkötésének előfeltétele a személyes adatok kezelése.
• köteles a személyes adatokat megadni, hogy panaszát kezelni tudjuk.
• az adatszolgáltatás elmaradása azzal a következménnyel jár, hogy nem tudjuk kezelni a hozzánk beérkezett panaszát.

Címzettek, akikkel a személyes adatokat közlik

„címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e.

Adatfeldolgozók (akik, az adatkezelő nevében végzik az adatkezelést)

Az adatkezelő a saját adatkezelési tevékenységeinek elősegítése céljából, továbbá érintettel kötött szerződés-, illetve a jogszabályok által támasztott kötelezettségeinek teljesítése érdekében adatfeldolgozókat vesz igénybe.

Az adatkezelő nagy hangsúlyt fektet arra, hogy kizárólag olyan adatfeldolgozókat vegyen igénybe, akik vagy amelyek megfelelő garanciákat nyújtanak az adatkezelés GDPR-ban foglalt követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására.

Az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy a jelen szabályzatban foglalt személyes adatokat kizárólag az adatkezelő utasításának megfelelően kezeli.

Az adatfeldolgozó tevékenységeiért az adatkezelő jogi felelősséggel tartozik. Az adatfeldolgozó csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be a GDPR-ban meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta, vagy azokkal ellentétesen járt el.

Az adatfeldolgozónak az adatok kezelését érintően érdemi döntéshozatala nincsen.

Az adatkezelő az informatikai háttár biztosítására tárhely-szolgáltatót, a megrendelt termékek kiszállítására futárszolgálatot, mint adatfeldolgozót vehet igénybe.

Egyes adatfeldolgozók

Adatfeldolgozói tevékenység:

Tárhely-szolgáltatás:

• RACKFOREST ZRT.
  Cím: 1132 Budapest, Victor Hugo utca 11. 5. em. B05001.
  Központi telefonszám: +36 1 211 0044 E-mail: info@rackforest.hu

Adattovábbítás harmadik fél részére

„harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;

A harmadik fél adatkezelők a saját nevükben, a saját adatvédelmi szabályzatuknak megfelelően kezelik az általunk közölt személyes adatokat.

Adatkezelő tevékenysége:

Online fizetés

• SimplePay Zrt. 

• 1138 Budapest, Váci út 135-139. B. ép. 5. em.

• Ügyfélszolgálat elérhetőségei: ugyfelszolgalat@simple.hu, +36 1/20/30/70 3-666-611

• https://simplepay.hu/

Belső adatvédelem (adatlap)

1. Az adatkezelés jogalapja: a GDPR 6. cikk (1) bekezdés c) pontja.

2. Az adatkezelés célja: az idegenforgalmi adóval kapcsolatos jogszabályi előírásoknak való megfelelés.

3. Az adatkezelés időtartama, az adatok törlésének határideje: amíg az illetékes hatóság az adott jogszabályokban meghatározott kötelezettségek teljesítését ellenőrizheti, továbbá a szerződés esetén határideje – a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdésének megfelelően – az adott évet követő 7. év december 31-e.

4. A kezelt adatok köre: név, e-mail, lakcím, igazolvány szám, állampolgárság, születési idő, rendszám, egyéb személyes adatok.

5. Az adatok megismerésére jogosult lehetséges adatkezelők személye: A személyes adatokat az adatkezelő munkatársai kezelhetik, a fenti alapelvek tiszteletben tartásával.

6. Az érintettek adatkezeléssel kapcsolatos jogainak ismertetése:

• Az érintett kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és
• az érintettnek joga van az adathordozhatósághoz, továbbá a hozzájárulás bármely időpontban történő visszavonásához.

9. A személyes adatokhoz való hozzáférést, azok törlését, módosítását, vagy kezelésének korlátozását, az adatok hordozhatóságát az alábbi módokon tudja érintett kezdeményezni:

• postai úton a 5435 Martfű Ifjúság út 2. címen,
• e-mail útján a info@martfuspa.hu e-mail címen,
• telefonon a 06 56/452 416 számon.

Közösségi oldalak

1. Az adatgyűjtés ténye, a kezelt adatok köre: Facebook/Google+/Twitter/Pinterest/Youtube/Instagram stb. közösségi oldalakon regisztrált neve, illetve a felhasználó nyilvános profilképe.

2. Az érintettek köre: Valamennyi érintett, aki regisztrált a Facebook/Google+/Twitter/Pinterest/Youtube/Instagram stb. közösségi oldalakon, és „lájkolta” a weboldalt.

3. Az adatgyűjtés célja: A közösségi oldalakon, a weboldal egyes tartalmi elemeinek, termékeinek, akcióinak vagy magának a weboldalnak a megosztása, illetve „lájkolása”, népszerűsítése.

4. Az adatkezelés időtartama, az adatok törlésének határideje, az adatok megismerésére jogosult lehetséges adatkezelők személye és az érintettek adatkezeléssel kapcsolatos jogainak ismertetése: Az adatok forrásáról, azok kezeléséről, illetve az átadás módjáról, és jogalapjáról az adott közösségi oldalon tájékozódhat az érintett. Az adatkezelés a közösségi oldalakon valósul meg, így az adatkezelés időtartamára, módjára, illetve az adatok törlési és módosítási lehetőségeire az adott közösségi oldal szabályozása vonatkozik.

5. Az adatkezelés jogalapja: az érintett önkéntes hozzájárulása személyes adatai kezeléséhez a közösségi oldalakon.

Ügyfélkapcsolatok és egyéb adatkezelések

1. Amennyiben az adatkezelő szolgáltatásaink igénybevétele során kérdés merülne fel, esetleg problémája lenne az érintettnek, a honlapon megadott módokon (telefon, e-mail, közösségi oldalak stb.) kapcsolatba léphet az adatkezelővel.

2. Adatkezelő a beérkezett e-maileket, üzeneteket, telefonon, Facebook-on stb. megadott adatokat az érdeklődő nevével és e-mail címével, valamint más, önként megadott személyes adatával együtt, az adatközléstől számított legfeljebb 2 év elteltével törli.

3. E tájékoztatóban fel nem sorolt adatkezelésekről az adat felvételekor adunk tájékoztatást.

4. Kivételes hatósági megkeresésre, illetőleg jogszabály felhatalmazása alapján más szervek megkeresése esetén a Szolgáltató köteles tájékoztatás adására, adatok közlésére, átadására, illetőleg iratok rendelkezésre bocsátására.

5. A Szolgáltató ezen esetekben a megkereső részére – amennyiben az a pontos célt és az adatok körét megjelölte – személyes adatot csak annyit és olyan mértékben ad ki, amely a megkeresés céljának megvalósításához elengedhetetlenül szükséges.

Tájékoztatás elektronikus megfigyelőrendszer alkalmazásáról

Felhívjuk a figyelmét, hogy Társaságunk az ügyféltérben/tulajdonát képező területen, az ahhoz tartozó egységekben elektronikus megfigyelő- és rögzítő rendszert (kamerarendszer) üzemeltet. A megfigyelt, jelen táblával jelzett területre (helyiségbe) való belépése esetén az elektronikus megfigyelőrendszer az ön képmását és cselekvését rögzíteni fogja.

A kamerás megfigyelés jogalapja az érintett önkéntes hozzájárulása Társaságunk figyelemfelhívó táblák formájában kihelyezett tájékoztatása alapján. Az érintett hozzájárulása kifejezett ráutaló magatartás formájában is megadható. Ilyen kifejezett ráutaló magatartásnak minősül, ha az elektronikus megfigyelő- és rögzítő rendszerrel megfigyelt helyiségbe/területre bemegy, illetve ott tartózkodik. Amennyiben ön a hozzájárulását megadni nem kívánja, a figyelemfelhívó táblával megjelölt helyiségekbe/területre vagy egységekbe ne lépjen be.

A felvételek készítésének célja az emberi élet, a testi épség, személyi szabadság védelme, az üzleti titok védelme, a személy- és vagyonvédelem érdekében a jogsértések megelőzése, észlelése, a jogsértések bizonyítása, az ügyféltérben előforduló esetleges balesetek körülményeinek a dokumentálása, és a biztosító feladatainak ellátásához szükséges, a közönség számára nyilvános magánterületének a védelme. A kamerás megfigyelőrendszer hangot nem rögzít.

Az elektronikus megfigyelőrendszer által rögzített felvételek (személyes adatok) tárolásának helye Társaságunk székhelye, a felvételek tárolásának időtartama az elkészítéstől számított 3 munkanap.

A kezelt adatok köre: az üzemeltetett kamerarendszer által rögzített érintett képmás, és egyéb személyes adatok.

A kamerafelvétel útján rögzített személyes adatok címzetteinek kategóriái: a Társaság vezetője, a kamerarendszert működtető munkavállalók, az üzemeltetést ellátó adatfeldolgozó a jogsértések felderítése, rendszer működésének ellenőrzése céljából.

Az érintettek jogai

1. A hozzáférés joga: Ön jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a rendeletben felsorolt információkhoz hozzáférést kapjon.

2. A helyesbítéshez való jog: Ön jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse az Önre vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, Ön jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

3. A törléshez való jog: Ön jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje az Önre vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy Önre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje meghatározott feltételek esetén.

4. Az elfeledtetéshez való jog: Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy Ön kérelmezte a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

5. Az adatkezelés korlátozásához való jog: Ön jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbi feltételek valamelyike teljesül:

• Ön vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;
• az adatkezelés jogellenes, és Ön ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
• az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de Ön igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez;
• Ön tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e Ön jogos indokaival szemben.

6. Az adathordozhatósághoz való jog: Ön jogosult arra, hogy az Önre vonatkozó, Ön által egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta (…)

7. A tiltakozáshoz való jog: Ön jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a (…) kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is.

8. Tiltakozás közvetlen üzletszerzés estén: Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, Ön jogosult arra, hogy bármikor tiltakozzon az Önre vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. Ha Ön tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők.

9. Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást: Ön jogosult arra, hogy ne terjedjen ki Önre az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.

Az előző bekezdés nem alkalmazandó abban az esetben, ha a döntés:

• Ön és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
• meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely Ön jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy
• Ön kifejezett hozzájárulásán alapul.

Intézkedési határidő

Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított 1 hónapon belül tájékoztatja Önt a fenti kérelmek nyomán hozott intézkedésekről.

Szükség esetén ez 2 hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított 1 hónapon belül tájékoztatja Önt.

Ha az adatkezelő nem tesz intézkedéseket Ön kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja Önt az intézkedés elmaradásának okairól, valamint arról, hogy Ön panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

Az adatkezelés biztonsága

Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:

• a) a személyes adatok álnevesítését és titkosítását;
• b) a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;
• c) fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
• d) az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.

Az adatkezelő konkrét adatbiztonsági intézkedései:

Flexys Számítástechnikai Rendszerház Kft. (1037 Budapest, Kunigunda útja 15., Tel.:  +36 1 368 2079, E-mail: flexys@flexys.hu) front office szoftverét használja a vendégforgalom, a statisztikai szolgáltatások, valamint a számlázással kapcsolatos feladatok ellátására.

A személyes adatok védelmét a következő intézkedések biztosítják:

• 1. A front office rendszer adatbázisához a hotel ügyvezetője és a front office menedzser rendelkezik hozzáférési jogosultsággal.
• 2. A rendszerbe csak ellenőrzött és hiteles adatok kerülhetnek be, amelyek változatlansága igazolható.
• 3. Az adatokhoz való jogosulatlan hozzáférés és a jogosulatlan adatbevitel elleni védelem biztosított.
• 4. Annak ellenőrzése és megállapíthatósága, hogy a személyes adatot ki, mikor vitte be a rendszerbe, időközben módosított-e a tartalmán.
• 5. A telepített számítástechnikai rendszerek üzemzavar esetén történő helyreállítása, az adatbázisok biztosítása.

Az érintett tájékoztatása az adatvédelmi incidensről

Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.

Az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit; ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

Az érintettet nem kell tájékoztatni, ha a következő feltételek bármelyike teljesül:

• az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;
• az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;
• a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.

Ha az adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett tájékoztatását.

Adatvédelmi incidens bejelentése a hatóságnak

Az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az 55. cikk alapján illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.

Panasztételi lehetőség

Az adatkezelő esetleges jogsértése ellen panasszal a Nemzeti Adatvédelmi és Információszabadság Hatóságnál lehet élni:

• Nemzeti Adatvédelmi és Információszabadság Hatóság
• 1125 Budapest, Szilágyi Erzsébet fasor 22/C.
• Levelezési cím: 1530 Budapest, Postafiók: 5.
• Telefon: +36 -1-391-1400
• Fax: +36-1-391-1410
• E-mail: ugyfelszolgalat@naih.hu

Zárszó

A tájékoztató elkészítése során figyelemmel voltunk az alábbi jogszabályokra:

• A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.)
• 2011. évi CXII. törvény – az információs önrendelkezési jogról és az információszabadságról (a továbbiakban: Infotv.)
• 2001. évi CVIII. törvény – az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről (főképp a 13/A. §-a)
• 2008. évi XLVII. törvény – a fogyasztókkal szembeni tisztességtelen kereskedelmi gyakorlat tilalmáról;
• 2008. évi XLVIII. törvény – a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól (különösen a 6.§-a)
• 2005. évi XC. törvény az elektronikus információszabadságról
• 2003. évi C. törvény az elektronikus hírközlésről (kifejezetten a 155.§-a)
• 16/2011. sz. vélemény a viselkedésalapú online reklám bevált gyakorlatára vonatkozó EASA/IAB-ajánlásról
• A Nemzeti Adatvédelmi és Információszabadság Hatóság ajánlása az előzetes tájékoztatás adatvédelmi követelményeiről
• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről

Letölthető dokumentumok

• Adatvédelmi incidens jegyzőkönyv
• Az érintett tájékoztatása az adatvédelmi incidensről
• Hozzájárulás GDPR szerint
• Nyilatkozat törlésről

Martfű, 2023. október 20.

Privacy Policy

Introduction

Termál-Medical Zrt. (Martfű-Termál SPA)
(Address: 1037 Budapest, Bimbó út 7., 2nd floor; Telephone: +36 56 452 416; Email: info@martfuspa.hu; Tax number: 12400139-2-41; Company registration number: 01-10-043889)
(hereinafter referred to as: Service Provider, Data Controller) hereby accepts and adheres to the provisions of this Privacy Policy.

Pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation, GDPR), and repealing Directive 95/46/EC, we provide the following information.

This Privacy Policy governs the data processing practices of the website https://martfuspa.hu/ and applies to the data processing activities of Martfű-Termál SPA.

The Privacy Policy is available at: https://martfuspa.hu/adatkezelesi-szabalyzat

Modifications to this Policy shall enter into force upon publication at the above link.

---

Data Controller and Contact Information

Name: Termál-Medical Zrt.
Registered address: 1022 Budapest, Bimbó út 7., 2nd floor
Email: info@martfuspa.hu
Phone number: +36 56 452 416

---

Definitions

1. “Personal data”: any information relating to an identified or identifiable natural person („data subject”); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, identification number, location data, an online identifier, or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural, or social identity of that natural person;

2. “Processing”: any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure, or destruction;

3. “Controller”: the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law;

4. “Processor”: a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller;

5. “Recipient”: a natural or legal person, public authority, agency or another body, to whom or to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing;

6. “Data subject’s consent”: any freely given, specific, informed and unambiguous indication of the data subject’s wishes by which they, by a statement or by a clear affirmative action, signify agreement to the processing of personal data relating to them;

7. “Personal data breach”: a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed.

   Principles of Personal Data Processing

   Personal data shall be:

   a) processed lawfully, fairly and in a transparent manner in relation to the data subject (“lawfulness, fairness and transparency”);
   b) collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes; further processing for archiving purposes in the public interest, scientific or historical research purposes, or statistical purposes shall, in accordance with Article 89(1), not be considered incompatible with the initial purposes (“purpose limitation”);
   c) adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (“data minimisation”);
   d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay (“accuracy”);
   e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed; personal data may be stored for longer periods insofar as the personal data will be processed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1), subject to implementation of the appropriate technical and organisational measures required by this Regulation to safeguard the rights and freedoms of the data subject (“storage limitation”);
   f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (“integrity and confidentiality”).

   The data controller shall be responsible for, and be able to demonstrate compliance with, the above principles (“accountability”).

   ---

   Data Processing Activities

   Room Reservation and Quote Requests

   1. Scope of data collection, processed data, and purpose of processing:

   Personal Data	Purpose of Processing
   Name (first and last name)	Required for contact, quote requests, room booking, and issuing a valid invoice.
   Email address	Communication purposes.
   Telephone number	Communication and more effective coordination regarding booking, requests, and billing.
   Billing name and address	For issuing valid invoices, establishing, defining, modifying, and monitoring the performance of the contract, invoicing fees, and enforcing claims.
   Booking-related data (date and time, arrival date, departure date, number of adults, number of children, children’s ages, meal type, room type)	To enable booking and quote requests.
   Date of booking/request	Technical operation.
   IP address at the time of booking/request	Technical operation.

    

   Note: The email address does not need to contain personal data.

   2. Scope of data subjects: All individuals submitting a booking or quote request through the website.

   3. Duration of data processing, deadline for deletion:
      If the User does not make a room reservation, personal data will be deleted immediately after responding to the quote request (in this case, the Controller is not entitled to send newsletters either).
      If a room is booked, a contract is concluded, and the data retention period is governed by accounting laws. According to Section 169 (2) of Act C of 2000 on Accounting, such data must be retained for 8 years.
      Accounting records that directly or indirectly support accounting (including general ledger accounts and analytical or detailed records) must be retained in a readable format and retrievable based on references in the accounting entries for at least 8 years.

   4. Authorized data controllers, recipients of personal data:
      Personal data may be processed by the Controller’s sales and marketing staff in accordance with the above principles.

   5. Data subjects’ rights:
      The data subject may request from the Controller:

   • access to their personal data,

   • rectification, erasure, or restriction of processing,

   • may object to the processing of such data,

   • has the right to data portability,

   • and may withdraw consent at any time.

   6. Methods for exercising data rights:

   • by mail: 5435 Martfű, Ifjúság út 2.

   • by email: info@martfuspa.hu

   • by phone: +36 56 452 416

   7. Legal basis of processing:
      Based on the data subject’s consent (Article 6(1)(a) and (b) of the GDPR), Section 5(1) of the Hungarian Info Act, Section 169(2) of Act C of 2000 on Accounting, and Section 13/A(3) of Act CVIII of 2001 on electronic commerce services and certain aspects of information society services.

   The Service Provider may process personal data that are technically necessary for the provision of the service.
   Where conditions are otherwise equal, the Service Provider must choose and operate tools used for providing information society services in such a way that personal data are only processed if strictly necessary for the provision of the service and for the fulfillment of legal requirements—only to the necessary extent and duration.

   8. Please note that:

   • the processing of your data is based on your consent,

   • providing personal data is required in order to make a booking or respond to your request,

   • failure to provide data means we cannot process your reservation or respond to your inquiry.

     Gift Voucher

     1. Data Collection, Scope of Personal Data, and Purpose of Processing

     Personal Data	Purpose of Processing
     Name	Required for contact, purchasing the gift voucher, and issuing a valid invoice.
     Email address	For communication and sending confirmation.
     Company name	Required for contact, purchasing the gift voucher, and issuing a valid invoice.
     Billing address	Required for issuing a valid invoice.
     Name of beneficiary	For communication and sending confirmation.
     Email address of beneficiary	For communication and sending confirmation.
     Date of purchase of the voucher	For technical operation.
     IP address at the time of purchase	For technical operation.

      

     Note: The email address does not have to contain personal data.

     ---

     2. Scope of Data Subjects

     All individuals who purchase a gift voucher via the website.

     ---

     3. Duration of Data Processing and Deadline for Deletion

     If any of the conditions of Article 17(1) of the GDPR are met, the data will be retained until the data subject requests deletion. The controller shall inform the data subject electronically about the deletion of any personal data provided by the data subject, in accordance with Article 19 of the GDPR. If the request also includes the deletion of the email address, the controller shall delete it after sending the notification.

     Exception: Invoices and accounting documents must be retained for 8 years in accordance with Section 169(2) of Act C of 2000 on Accounting.

     Contractual data may be deleted after the expiration of the civil law limitation period, based on the data subject’s request.

     Accounting records (including general ledger accounts and analytical or detailed records) that directly or indirectly support accounting must be retained in a readable format and retrievable manner for at least 8 years.

     ---

     4. Authorized Data Controllers and Recipients

     Personal data may be processed by the data controller’s sales and marketing personnel in accordance with the above principles.

     ---

     5. Data Subject Rights

     The data subject may request from the controller:

     • access to their personal data,

     • rectification, deletion, or restriction of processing,

     • objection to processing,

     • data portability,

     • withdrawal of consent at any time.

     ---

     6. Methods for Exercising Rights

     The data subject may submit requests:

     • by post: 5435 Martfű, Ifjúság út 2.

     • by email: info@martfuspa.hu

     • by phone: +36 56 452 416

     ---

     7. Legal Basis for Processing

     Based on the data subject’s consent, per Article 6(1)(a) and (b) of the GDPR, Section 5(1) of the Hungarian Info Act, Section 169(2) of Act C of 2000 on Accounting, and Section 13/A(3) of Act CVIII of 2001 on Electronic Commerce.

     The service provider may process personal data that are technically necessary for the provision of the service. Where conditions are otherwise equal, the service provider shall choose and operate tools used in providing services of the information society in such a way that personal data are only processed if strictly necessary for the service provision and for the fulfillment of legal obligations, and only to the necessary extent and duration.

     ---

     8. Please Note

     • The processing of your data is required for fulfilling the gift voucher purchase.

     • You are required to provide your personal data so that we can process the gift voucher purchase.

     • Failure to provide data will result in us being unable to process your gift voucher purchase.

     ---

     Data Processors Involved

     Web Hosting Service Provider

     1. Activity performed by the data processor: Hosting services

     2. Name and contact details of the processor:

     RACKFOREST ZRT.
     Address: 1132 Budapest, Victor Hugo utca 11. 5th floor, B05001
     Phone: +36 1 211 0044
     Email: info@rackforest.hu

     3. Scope of processing and data: All personal data provided by the data subject.

     4. Scope of data subjects: All users of the website.

     5. Purpose of processing: Ensuring accessibility and proper operation of the website.

     6. Duration of processing and deadline for deletion: Until the termination of the agreement between the controller and the hosting provider or until deletion is requested by the data subject directly to the hosting provider.

     7. Legal basis of processing: Article 6(1)(c) and (f) of the GDPR, and Section 13/A(3) of Act CVIII of 2001 on electronic commerce and information society services.

     ---

     Cookies

     1. Data processed: Unique identifier, dates, timestamps

     2. Scope of data subjects: All website visitors.

     3. Purpose of processing: Identifying users and tracking visitors.

     4. Duration of processing:

     Type of Cookie	Purpose	Duration
     Session cookies	Communication over the session	Until the session ends
     Persistent or saved cookies	Visitor identification	Until deleted by the user, max 30 days

      

     Processed data: connect.sid

     5. Authorized personnel to access cookies: The controller does not process personal data via cookies.

     6. User rights regarding cookies: Users can delete cookies in their browser’s Tools/Settings menu, usually under Privacy settings.

     7. Legal basis of processing: Consent is not required if the sole purpose of using cookies is communication over an electronic communication network or if the use is strictly necessary for the service requested by the user.

        Use of Google Ads (AdWords) Conversion Tracking

        1. The data controller uses the online advertising program „Google Ads (AdWords)” and within its framework, the Google conversion tracking service. Google Conversion Tracking is an analytics service provided by Google Inc. (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA; „Google”).

        2. When a user accesses the website via a Google advertisement, a cookie required for conversion tracking is placed on their computer. These cookies are valid for a limited period and do not contain any personal data, so the user cannot be personally identified through them.

        3. When the user browses certain pages of the website and the cookie has not yet expired, both Google and the data controller can see that the user clicked on the advertisement.

        4. Each Google Ads (AdWords) client receives a different cookie, so cookies cannot be tracked across the websites of other AdWords clients.

        5. The information obtained through conversion cookies is used to generate conversion statistics for clients who opt for conversion tracking in Google Ads. Clients are informed about the number of users who clicked on their advertisement and were redirected to a page with a conversion tracking tag. However, they do not receive any information that could personally identify users.

        6. If you do not wish to participate in conversion tracking, you can opt out by disabling cookies in your browser settings. After doing so, you will not be included in conversion tracking statistics.

        7. For more information and Google’s privacy policy, please visit: www.google.de/policies/privacy/

        ---

        Use of Google Analytics

        1. This website uses Google Analytics, a web analytics service provided by Google Inc. („Google”). Google Analytics uses „cookies,” which are text files stored on your computer to help analyze how users use the website.

        2. Information generated by cookies regarding the user’s activity on the website is usually transmitted to and stored on a Google server in the USA. If IP anonymization is activated on the website, Google will shorten the user’s IP address within member states of the European Union or in other countries party to the Agreement on the European Economic Area.

        3. Only in exceptional cases will the full IP address be transmitted to a Google server in the USA and shortened there. On behalf of the operator of this website, Google will use this information to evaluate how the user uses the website, to compile reports on website activity, and to provide other services related to website and internet usage.

        4. Within Google Analytics, the IP address transmitted by the user’s browser is not merged with other data held by Google. Users can prevent the storage of cookies through their browser settings. However, please note that in this case, some features of the website may not function fully. Users can also prevent Google from collecting and processing data (including their IP address) generated by cookies and related to their website usage by downloading and installing the browser plug-in available at: https://tools.google.com/dlpage/gaoptout?hl=en

        ---

        Customer Contact

        1. Data Collected, Scope of Personal Data, and Purpose of Processing

        Personal Data	Purpose of Processing
        Name, email address, phone number	Contact, identification, contract performance, business purpose

         

        2. Scope of Data Subjects

        All individuals who contact the data controller by phone/email/in person or who have a contractual relationship with the controller.

        3. Duration of Processing and Deadline for Deletion

        Processing lasts until the end of the legal relationship between the controller and the data subject, or in case of claims, up to 5 years following the contract.

        4. Authorized Data Controllers and Recipients

        Personal data may be processed by authorized staff of the data controller, respecting the principles outlined above.

        5. Data Subject Rights

        The data subject may request from the controller:

        • access to their personal data,

        • rectification, deletion, or restriction of processing,

        • data portability,

        • withdrawal of consent at any time.

        6. Methods of Exercising Rights

        By post: 5435 Martfű, Ifjúság út 2.
        By email: info@martfuspa.hu
        By phone: +36 56 452 416

        7. Legal Basis for Processing

        7.1. Article 6(1)(b) and (c) of the GDPR.
        7.2. For the enforcement of contractual claims: Hungarian Civil Code (Act V of 2013) §6:21 and §6:22:

        Claims shall lapse after five years unless otherwise provided by law. The limitation period begins when the claim becomes due. Agreements to alter the limitation period must be in writing. Any agreement excluding limitation is void.

        8. Notice

        • Data processing is necessary for contract performance and providing offers.

        • You are required to provide personal data so that we can fulfill your request/order.

        • Failure to provide data means we cannot process your request/order.

        ---

        Request for Proposal – Conference Organization / Customized Offers Form

        1. Data Collected, Scope of Personal Data, and Purpose of Processing

        Personal Data	Purpose of Processing
        Name	Identification
        Phone number	Communication and coordination
        Email address	Communication and sending the proposal
        Message	To develop and tailor the proposal
        Time of request	Technical operation
        IP address at time of request	Technical operation

         

        Note: The email address does not have to contain personal data.

        2. Scope of Data Subjects

        All individuals submitting a proposal request through the website.

        3. Duration of Processing and Deadline for Deletion

        Until the data subject requests deletion. The data controller notifies the data subject electronically of the deletion of any personal data provided, in accordance with Article 19 of the GDPR. If the request includes the email address, it will also be deleted after notification.

        4. Authorized Data Controllers and Recipients

        Personal data may be processed by authorized staff of the controller, as described in this notice.

        5. Data Subject Rights

        The data subject may request:

        • access to their personal data,

        • rectification, deletion, or restriction of processing,

        • data portability,

        • withdrawal of consent at any time.

        6. Methods of Exercising Rights

        By post: 5435 Martfű, Ifjúság út 2.
        By email: info@martfuspa.hu
        By phone: +36 56 452 416

        7. Legal Basis for Processing

        Article 6(1)(b) of the GDPR.

        8. Notice

        • Processing is required to provide a proposal.

        • You are required to provide personal data so that we can send you a proposal.

        • Without providing data, we cannot offer you a customized proposal.

          Contact Form

          1. Scope of data collection, types of personal data processed, and purpose of data processing:

          Personal Data	Purpose of Data Processing
          Name	Identification
          E-mail address	Communication, sending replies
          Phone number	Communication
          Message content	Required to provide a response
          Time of contact	Execution of technical operation
          IP address at time of contact	Execution of technical operation

           

          The e-mail address does not need to contain personal data.

          2. Scope of data subjects: All individuals who send messages via the contact form.

          3. Duration of data processing / deletion deadline: Until the data subject requests deletion.

          4. Authorized data processors / recipients of personal data: Personal data may be processed by employees of the data controller who are authorized for this task.

          5. Rights of data subjects regarding data processing:

          The data subject may request access to, rectification or erasure of personal data, or restriction of processing.
          The data subject also has the right to data portability and the right to withdraw consent at any time.

          6. Means of exercising data subject rights:

          • By mail: 5435 Martfű, Ifjúsági út 2.

          • By e-mail: info@martfuspa.hu

          • By phone: +36 70 443 0171

          7. Legal basis of processing: The data subject’s consent under Article 6(1)(a) and (b) of the GDPR.

          8. Additional information:

          • The data processing is based on your consent and is necessary for contacting or requesting an offer.

          • You are required to provide your personal data to be able to contact us.

          • Failure to provide data means you will not be able to contact the service provider.

          ---

          Guestbook

          1. Scope of data collection, types of personal data processed, and purpose of data processing:

          Personal Data	Purpose of Data Processing
          Name	Identification
          E-mail address	Communication, identification
          Date and IP address	Execution of technical operation

           

          The e-mail address does not need to contain personal data.

          2. Scope of data subjects: All individuals who write in the guestbook.

          3. Duration of data processing / deletion deadline: Until the data subject requests deletion.

          4. Authorized data processors / recipients of personal data: Personal data may be processed by employees of the data controller who are authorized for this task.

          5. Rights of data subjects regarding data processing:

          The data subject may request access to, rectification or erasure of personal data, or restriction of processing.
          The data subject also has the right to data portability and the right to withdraw consent at any time.

          6. Means of exercising data subject rights:

          • By mail: 5435 Martfű, Ifjúsági út 2.

          • By e-mail: info@martfuspa.hu

          • By phone: +36 56 452 416

          7. Legal basis of processing: The data subject’s consent under Article 6(1)(a) and (b) of the GDPR.

          8. Additional information:

          • This data processing is based on your consent.

          • You must provide personal data in order to write in the guestbook.

          • If data is not provided, you will not be able to write in the guestbook.

          ---

          Newsletter and Direct Marketing Activities

          1. In accordance with Section 6 of Act XLVIII of 2008 on the Basic Requirements and Certain Restrictions of Commercial Advertising Activities, the user may give prior and express consent to being contacted by the service provider via the contact details provided during registration with marketing offers and other communications.

          2. The customer may also consent to the processing of personal data necessary for sending marketing communications in accordance with the provisions of this Privacy Policy.

          3. The service provider does not send unsolicited marketing messages, and the user may unsubscribe at any time, without restriction or justification, and free of charge.
             In that case, the service provider will delete all personal data necessary for sending marketing messages from its records and will not contact the user further with offers.
             The user can unsubscribe by clicking the link in the message.

          4. Scope of data collection, types of personal data processed, and purpose of data processing:

          Personal Data	Purpose of Data Processing
          Name, e-mail address	Identification, enabling newsletter subscription
          Time of subscription	Execution of technical operation
          IP address at subscription	Execution of technical operation

           

          5. Scope of data subjects: All individuals who subscribe to the newsletter.

          6. Purpose of data processing: Sending marketing communications (email, SMS, push notifications) containing promotional content, as well as updates about current news, products, offers, new features, etc.

          7. Duration of data processing / deletion deadline: Until the withdrawal of consent, i.e., until unsubscription.

          8. Authorized data processors / recipients of personal data: Personal data may be processed by sales and marketing employees of the data controller, in accordance with the above principles.

          9. Rights of data subjects regarding data processing:

          The data subject may request access to, rectification or erasure of personal data, or restriction of processing.
          The data subject may also object to the processing and has the right to data portability and to withdraw consent at any time.

          10. Means of exercising data subject rights:

          • By mail: 5435 Martfű, Ifjúsági út 2.

          • By e-mail: info@martfuspa.hu

          • By phone: +36 56 452 416

          11. The data subject may unsubscribe from the newsletter at any time, free of charge.

          12. Legal basis of processing: The data subject’s consent under Article 6(1)(a) and (f) of the GDPR and Section 6(5) of Act XLVIII of 2008 on Commercial Advertising Activities:

          The advertiser, advertising service provider, or publisher may maintain records of the personal data of individuals who have given their consent. Such data may only be processed according to the content of the consent statement, and may be transferred to third parties only with prior consent of the data subject.

          13. Additional information:

          • The data processing is based on your consent and the legitimate interest of the service provider.

          • Providing your personal data is required if you wish to receive the newsletter.

          • If data is not provided, we will not be able to send you newsletters.

            Complaint Handling

            1. Fact of data collection, scope of processed data, and purpose of data processing:

            Personal Data	Purpose of Data Processing
            Last name and first name	Identification, communication
            Email address	Communication
            Phone number	Communication
            Billing name and address	Identification, handling quality complaints, inquiries, and problems related to services

             

            2. Scope of data subjects:
               All individuals who file a quality complaint or claim related to the hotel’s services.

            3. Duration of data processing and deadline for data deletion:
               Records of complaints and the responses thereto must be retained for 5 years according to Section 17/A (7) of Act CLV of 1997 on Consumer Protection.

            4. Persons authorized to access data, recipients of personal data:
               Personal data may be handled by the data controller’s sales and marketing staff, observing the principles outlined above.

            5. Data subject rights related to data processing:
               The data subject may request access to their personal data, correction, deletion, or restriction of processing;
               object to the processing of their personal data;
               exercise the right to data portability;
               and withdraw consent at any time.

            6. Methods for exercising data subject rights (access, deletion, modification, restriction, portability, objection):

            • By postal mail to: 5435 Martfű, Ifjúság út 2.

            • By email: info@martfuspa.hu

            • By phone: +36 56 452 416

            7. Legal basis for data processing:
               Article 6(1)(c) of the GDPR and Section 17/A (7) of Act CLV of 1997 on Consumer Protection.

            8. Additional information:

            • Providing personal data is based on a legal obligation.

            • Processing personal data is a prerequisite for concluding the contract.

            • You are required to provide your personal data to enable complaint handling.

            • Failure to provide data results in inability to handle your complaint.

            ---

            Recipients of Personal Data

            • Recipients: Natural or legal persons, public authorities, agencies, or other bodies to whom personal data are disclosed, regardless of whether they are third parties.

            Data Processors

            The data controller engages data processors to assist in data processing and to fulfill contractual and legal obligations. The data controller ensures that processors provide sufficient guarantees to comply with GDPR requirements and protect data subject rights through appropriate technical and organizational measures.

            Processors and any persons authorized by the data controller or processor to access personal data process the data only according to the controller’s instructions.

            The data controller is legally liable for the processing activities of processors. Processors are liable only if they fail to comply with GDPR obligations or act against lawful instructions.

            Processors do not make substantive decisions regarding data processing.

            Data processors may include:

            • Hosting service provider

            • Courier service for delivering ordered products

            ---

            Examples of Data Processors

            • Hosting service:
              RACKFOREST ZRT.
              Address: 1132 Budapest, Victor Hugo utca 11. 5th floor, B05001
              Phone: +36 1 211 0044
              Email: info@rackforest.hu

            ---

            Data Transfer to Third Parties

            • Third parties are entities other than the data subject, controller, processor, or persons authorized to process data under the controller or processor’s direct control.

            • Third-party controllers process personal data under their own privacy policies.

            Data Controller Activities

            • Online payment:
              SimplePay Zrt.
              Address: 1138 Budapest, Váci út 135-139. B building, 5th floor
              Customer service: ugyfelszolgalat@simple.hu, +36 1/20/30/70 3-666-611
              Website: https://simplepay.hu/

            ---

            Internal Data Protection (Data Sheet)

            1. Legal basis: Article 6(1)(c) of the GDPR.

            2. Purpose: Compliance with tourism tax regulations.

            3. Duration: Until the competent authority’s inspection rights expire and until December 31 of the 7th year after the relevant year, according to accounting law.

            4. Data processed: name, email, address, ID number, nationality, date of birth, license plate number, and other personal data.

            5. Authorized persons: Data controller staff in compliance with principles.

            6. Rights of data subjects: access, correction, deletion, restriction, portability, and withdrawal of consent.

            7. Requests may be initiated via the postal address, email, or phone number provided above.

            ---

            Social Media

            1. Data collected: Names registered on social media platforms such as Facebook, Google+, Twitter, Pinterest, YouTube, Instagram, and public profile pictures.

            2. Data subjects: Anyone registered on these platforms who “likes” the website.

            3. Purpose: Sharing, liking, and promoting content, products, campaigns, or the website.

            4. Duration and processing: Governed by the respective social media platform’s policies.

            5. Legal basis: voluntary consent of the data subject.

            ---

            Customer Relations and Other Data Processing

            1. Contact may be made via phone, email, or social media for questions or issues related to the service.

            2. Messages and voluntarily provided data are deleted after 2 years from data provision.

            3. Other data processing activities not listed here will be explained at data collection.

            4. The service provider must respond to official authorities’ requests as required by law.

            5. Only the necessary data will be disclosed, proportional to the request.

            ---

            Notice on Electronic Surveillance System

            Our company operates an electronic surveillance and recording system (CCTV) in customer areas and owned premises. Entering the clearly marked monitored area means your image and actions will be recorded.

            • The legal basis for recording is the data subject’s voluntary consent, given by explicit or implied action (such as entering or remaining in the monitored area).

            • If you do not consent, please avoid entering the marked areas.

            • Purpose: protection of life, physical integrity, personal freedom, business secrets, property, prevention and detection of offenses, documenting accidents, and insurer obligations.

            • Audio is not recorded.

            • Storage location: Company headquarters.

            • Storage duration: 3 working days from recording.

            • Data scope: recorded images and other personal data.

            • Recipients of recorded data: Company management, operators, data processors involved in system operation and incident investigation.

              Rights of the Data Subject

              1. Right of Access: You have the right to receive feedback from the data controller as to whether your personal data is being processed, and if such processing is underway, you are entitled to access your personal data and the information listed in the Regulation.

              2. Right to Rectification: You have the right to request that the data controller correct any inaccurate personal data concerning you without undue delay. Taking into account the purpose of the processing, you also have the right to request the completion of incomplete personal data — including by means of a supplementary statement.

              3. Right to Erasure: You have the right to request that the data controller erase your personal data without undue delay, and the data controller is obliged to erase your personal data without undue delay under certain conditions.

              4. Right to be Forgotten: If the data controller has made your personal data public and is obliged to erase it, taking into account available technology and implementation costs, it shall take reasonable steps — including technical measures — to inform other data controllers processing the personal data that you have requested the deletion of links to, or copies or replicates of, those personal data.

              5. Right to Restriction of Processing: You have the right to request restriction of processing if any of the following conditions apply:

              • You contest the accuracy of the personal data, for a period enabling the data controller to verify the accuracy of the personal data;

              • The processing is unlawful and you oppose the erasure of the personal data and request restriction instead;

              • The data controller no longer needs the personal data for processing purposes, but you require them for the establishment, exercise or defense of legal claims;

              • You have objected to processing; in this case, the restriction applies pending verification of whether the legitimate grounds of the data controller override yours.

              6. Right to Data Portability: You have the right to receive the personal data you have provided to a data controller in a structured, commonly used, and machine-readable format, and you are entitled to transmit those data to another controller without hindrance from the controller to which the personal data were provided.

              7. Right to Object: You have the right to object at any time for reasons related to your particular situation to the processing of your personal data, including profiling based on those provisions.

              8. Objection in Case of Direct Marketing: If personal data is processed for direct marketing purposes, you have the right to object at any time to such processing of your personal data, including profiling to the extent that it is related to direct marketing. If you object, the personal data will no longer be processed for these purposes.

              9. Automated Individual Decision-Making, Including Profiling: You have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning you or similarly significantly affects you.

              The above does not apply if the decision:

              • Is necessary for the conclusion or performance of a contract between you and the data controller;

              • Is authorized by Union or Member State law applicable to the controller, which also provides suitable measures to safeguard your rights, freedoms, and legitimate interests;

              • Is based on your explicit consent.

              ---

              Response Time

              The data controller shall inform you of the measures taken on your requests without undue delay, and in any case within one month of receipt of the request. This period may be extended by two further months if necessary, with notification of the reasons for the delay within one month.

              If the data controller does not take action on your request, they shall inform you without delay and at the latest within one month of the reasons for inaction and your right to lodge a complaint with a supervisory authority or to seek judicial remedy.

              ---

              Data Security

              The data controller and processor shall implement appropriate technical and organizational measures considering the state of the art, implementation costs, the nature, scope, context, and purposes of processing, and the varying risks to the rights and freedoms of natural persons, to ensure a level of security appropriate to the risk, including but not limited to:

              a) pseudonymization and encryption of personal data;

              b) ensuring confidentiality, integrity, availability, and resilience of processing systems and services;

              c) ability to restore availability and access to personal data promptly in case of a physical or technical incident;

              d) regular testing, assessment, and evaluation of the effectiveness of technical and organizational measures.

              ---

              Specific Security Measures

              Flexys IT System House Ltd. (1037 Budapest, Kunigunda útja 15., Tel.: +36 1 368 2079, E-mail: flexys@flexys.hu) provides the front office software used for guest traffic, statistical services, and invoicing.

              The protection of personal data is ensured by the following:

              1. Access rights to the front office database are limited to the hotel manager and front office manager.

              2. Only verified and authenticated data can be entered into the system, with integrity verifiable.

              3. Protection against unauthorized access and unauthorized data entry is ensured.

              4. Control and traceability of who entered or modified personal data and when.

              5. Restoration of IT systems and data backup to ensure availability in case of failure.

              ---

              Notification of Data Protection Incidents

              If a data breach likely poses a high risk to the rights and freedoms of individuals, the data controller shall notify the data subject without undue delay.

              The notification shall clearly and comprehensibly describe the nature of the breach, the contact details of the data protection officer or other contact points, the likely consequences, and measures taken or planned to mitigate adverse effects.

              Notification is not required if:

              • Appropriate technical and organizational measures (e.g., encryption) were applied rendering data unintelligible to unauthorized persons;

              • Further measures were taken ensuring the high risk is no longer likely;

              • Notification would involve disproportionate effort, in which case public communication or similar measures must ensure effective information.

              If the controller has not informed the data subject, the supervisory authority may require it after assessing the high risk.

              ---

              Reporting Data Breaches to Authorities

              The data controller shall notify the competent supervisory authority without undue delay and, where feasible, not later than 72 hours after becoming aware of a personal data breach unless it is unlikely to result in a risk to individuals’ rights and freedoms. If notification is delayed, reasons must be provided.

              ---

              Right to File Complaints

              You may lodge a complaint against the data controller’s potential violations with the National Authority for Data Protection and Freedom of Information (NAIH):

              NAIH contact details:

              • Address: 1125 Budapest, Szilágyi Erzsébet fasor 22/C

              • Mailing address: 1530 Budapest, P.O. Box 5

              • Phone: +36-1-391-1400

              • Fax: +36-1-391-1410

              • E-mail: ugyfelszolgalat@naih.hu

              ---

              Closing Statement

              This information was prepared in consideration of the following legislation:

              • Regulation (EU) 2016/679 of the European Parliament and of the Council (General Data Protection Regulation – GDPR)

              • Act CXII of 2011 on informational self-determination and freedom of information

              • Act CVIII of 2001 on certain issues of electronic commerce and information society services

              • Act XLVII of 2008 on unfair commercial practices against consumers

              • Act XLVIII of 2008 on the fundamental requirements and certain restrictions of economic advertising activity

              • Act XC of 2005 on electronic freedom of information

              • Act C of 2003 on electronic communications

              • Opinion No. 16/2011 on behavioral online advertising best practices by EASA/IAB

              • Recommendations of the National Authority for Data Protection on pre-contractual information requirements

                Downloadable Documents

                • Data Protection Incident Report

                • Notification to the Data Subject Regarding the Data Protection Incident

                • GDPR Consent Form

                • Deletion Statement

              ---

              Martfű, 20 October 2023