Adatkezelési tájékoztató

Az Adatkezelő az Egri Ingatlan Korlátolt Felelősségű Társaság, amely a DavidBnB.AI néven üzemelteti a rövidtávú ingatlanmenedzsment szolgáltatást.

Az adatkezelési tevékenységeinkkel kapcsolatos kérdéseiddel, kérelmeiddel a [email protected] címen fordulhatsz hozzánk. Az érdemi válasz érdekében kérjük, hogy a megkeresésben azonosítható módon add meg az érintett adatokat (pl. a használt e-mail cím, ingatlan, foglalás).

A GDPR 37. cikke alapján az Adatkezelő számára adatvédelmi tisztviselő (DPO) kijelölése nem kötelező, mert sem a tevékenységünk fő jellege, sem a kezelt adatok mennyisége vagy jellege nem teszi azt szükségessé. Az adatvédelmi kérdések felelőse az ügyvezető.

A jelen tájékoztatóban használt fogalmakat a GDPR és a magyar Infotv. szerint értjük; az alábbi rövid magyarázat csak az olvashatóságot segíti.

Személyes adat

Bármely azonosított vagy azonosítható természetes személyre vonatkozó információ (pl. név, e-mail, IP-cím, foglalási azonosító).

Érintett

Az a természetes személy, akinek a személyes adatait kezeljük (pl. weboldal-látogató, érdeklődő, tulajdonos, vendég).

Adatkezelő

Az a szervezet, aki a személyes adatok kezelésének céljait és eszközeit meghatározza – jelen esetben az Egri Ingatlan Kft.

Adatfeldolgozó

Az Adatkezelő nevében és utasítása szerint személyes adatokat kezelő szervezet (pl. tárhelyszolgáltató, e-mail küldő, AI-szolgáltató).

Adatkezelés

Bármely művelet a személyes adatokon: gyűjtés, rögzítés, tárolás, módosítás, továbbítás, törlés, stb.

Hozzájárulás

Az érintett önkéntes, konkrét, tájékozott és egyértelmű akaratnyilvánítása arra vonatkozóan, hogy adatainak kezelésével egyetért.

Címzett

Bármely természetes vagy jogi személy, aki/amely részére az adatokat továbbítjuk vagy hozzáférést biztosítunk (pl. hatóság, partner, szolgáltató).

Profilalkotás

Személyes adatok automatizált értékelése bizonyos személyes jellemzők elemzésére (pl. érdeklődés, vásárlási hajlandóság). A DavidBnB-nél az érintettre joghatást gyakorló, kizárólag automatizált döntéshozatalt nem alkalmazunk – részletek a 13. szekcióban.

Adatvédelmi incidens

Olyan biztonsági esemény, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

Harmadik ország

Az Európai Gazdasági Térségen kívüli ország (pl. USA, Egyesült Királyság, Egyesült Arab Emírségek).

Adatkezelési gyakorlatunk az alábbi jogszabályokra épül:

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről.
• 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.).
• 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatásokról és az információs társadalommal összefüggő szolgáltatásokról (Eker. tv.).
• 2008. évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól (Grt.).
• 2000. évi C. törvény a számvitelről (Számv. tv.) – számviteli bizonylatok 8 éves megőrzése.
• 2017. évi CL. törvény az adózás rendjéről (Art.).
• 1990. évi C. törvény a helyi adókról – idegenforgalmi adó (IFA).
• 239/2009. (X. 20.) Korm. rendelet az egyéb szálláshely-szolgáltatási tevékenység folytatásának feltételeiről.
• 235/2019. (X. 15.) Korm. rendelet a Nemzeti Turisztikai Adatszolgáltató Központ (NTAK) működéséről és adatszolgáltatásról.
• 2007. évi II. törvény a harmadik országbeli állampolgárok beutazásáról és tartózkodásáról – ez alapozza meg a Vendég Információs Zárt Adatbázis (VIZA) / Turisztikai Információs Központ (TIM) felé történő kötelező adatszolgáltatást.

A személyes adatokat a GDPR 5. cikkében rögzített alapelvek szerint kezeljük.

• Jogszerűség, tisztesség és átláthatóság – minden adatkezelési célhoz egyértelmű jogalapot társítunk és tájékoztatást adunk róla.
• Célhoz kötöttség – csak a meghatározott, jogszerű cél eléréséhez szükséges adatokat kezeljük.
• Adattakarékosság – nem kérünk és nem tárolunk több adatot, mint amennyi feltétlenül szükséges.
• Pontosság – törekszünk arra, hogy az adatok pontosak és naprakészek legyenek; a hibás adatokat haladéktalanul helyesbítjük.
• Korlátozott tárolhatóság – minden célhoz konkrét megőrzési időt rendelünk; az idő letelte után az adatokat töröljük vagy anonimizáljuk.
• Integritás és bizalmas jelleg – technikai és szervezési intézkedésekkel védjük az adatokat a jogosulatlan hozzáféréstől és sérüléstől.
• Elszámoltathatóság – a fenti alapelvek érvényesülését dokumentáljuk és bizonyíthatóvá tesszük.

Az alábbi táblázat foglalja össze, hogy milyen célból, milyen jogalapon, milyen érintetti körről, milyen adatokat és meddig kezelünk. A 7. szekcióban külön kiemeljük, mikor járunk el adatfeldolgozóként (vendégadatok kezelése).

Amikor egy ingatlantulajdonos a DavidBnB platformon keresztül kezeli a vendégeivel folytatott kommunikációt és üzemelteti az ingatlanát, a vendégek személyes adatai vonatkozásában az adatkezelő a tulajdonos – a DavidBnB ilyen esetben a GDPR 28. cikke szerinti adatfeldolgozóként jár el. Ebben a relációban az alábbiak érvényesülnek:

• A tulajdonos és a DavidBnB között adatfeldolgozói szerződés (DPA) kerül megkötésre, amely meghatározza a feldolgozás célját, körét és időtartamát.
• A DavidBnB az adatokat kizárólag a tulajdonos írásbeli utasítása szerint dolgozza fel, kivéve, ha jogszabály eltérően rendelkezik.
• Titoktartási kötelezettséget vállalunk minden, az adatokhoz hozzáférő munkatársunkra és további adatfeldolgozónkra.
• A tulajdonos előzetes általános vagy egyedi engedélye alapján további adatfeldolgozókat (al-feldolgozó) vehetünk igénybe; a 8. szekcióban felsorolt szolgáltatók részben al-feldolgozóként működnek közre.
• Megfelelő technikai és szervezési intézkedésekkel támogatjuk a tulajdonost az érintetti jogok teljesítésében.
• Adatvédelmi incidens esetén indokolatlan késedelem nélkül értesítjük a tulajdonost.
• A szolgáltatás megszűnésekor – a tulajdonos választása szerint – az adatokat visszaszolgáltatjuk vagy töröljük, kivéve, ha jogszabály a megőrzést kötelezővé teszi.

Saját jogon (adatkezelőként) is kezelünk vendégadatokat ott, ahol erre jogszabály kötelez minket (pl. NTAK, VIZA, számvitel) – ezt a 6. szekció megfelelő sorai jelölik.

Szolgáltatásunk működtetéséhez az alábbi adatfeldolgozókat (technikai és üzleti partnereket) vesszük igénybe. Mindegyikkel adatfeldolgozói szerződést (DPA) kötöttünk, és a GDPR 28. cikkének megfelelő garanciákat követelünk meg.

Egyes adatfeldolgozóink (különösen az Egyesült Államokban tevékenykedő technológiai szolgáltatók) székhelye az Európai Gazdasági Térségen kívül található. Ezekre az adattovábbításokra a GDPR V. fejezete szerinti megfelelő garanciákat alkalmazzuk.

• EU–US Data Privacy Framework (DPF) – a tanúsított amerikai szolgáltatókra vonatkozó megfelelőségi határozat (2023/1795/EU). A DavidBnB az alábbi DPF-tanúsítvánnyal rendelkező szolgáltatókat veszi igénybe: OpenAI, Mailgun, Twilio, Stripe (Stripe, Inc.), Hospitable, Vultr (a tanúsítványt rendszeresen ellenőrizzük a https://www.dataprivacyframework.gov listán).
• Az Európai Bizottság Általános Szerződési Feltételei (Standard Contractual Clauses – SCC) [2021/914/EU], amelyeket minden olyan szolgáltatóval megkötöttünk, ahol a DPF-tagság nem áll fenn vagy időközben megszűnt.
• Kiegészítő intézkedések: titkosítás átvitelben (TLS 1.2+) és nyugalmi állapotban (AES-256), hozzáférés-szabályozás, belső jogi felülvizsgálat, kockázatértékelés (Transfer Impact Assessment).
• A Stripe Payments Europe Limited – mint EU-s vállalat – elsődleges szerződéses partner; a Stripe, Inc. felé történő adattovábbításra a Stripe csoport SCC + DPF kombinációja vonatkozik.

A nemzetközi adattovábbítások részletes garanciáival és a vonatkozó dokumentumok másolatával kapcsolatban a [email protected] címen kérhetsz tájékoztatást.

Weboldalunk sütiket (cookie-kat) és böngésző-oldali tárolási megoldásokat (localStorage) használ a megfelelő működéshez, illetve – kizárólag a hozzájárulásod alapján – marketing célokra is.

Az adatok bizalmasságát, integritását és rendelkezésre állását az alábbi technikai és szervezési intézkedésekkel biztosítjuk:

• Titkosított kommunikáció (TLS 1.2+) az összes nyilvános végponton.
• Adatok titkosított tárolása (AES-256) az adatbázisokban és a backupokban.
• Jelszavak biztonságos tárolása (bcrypt egyirányú hash, sózás).
• Hozzáférés-vezérlés (RBAC), legkisebb jogosultság elve, többfaktoros hitelesítés a belső eszközökön.
• Naplózás és audit (NATS-eseményeken keresztül központi audit-trail) – jogosulatlan hozzáférések detektálása.
• Tűzfalak, hálózati szegmentáció (privát NATS, privát adatbázis-hálózat), DDoS-szűrés.
• Szoftverfrissítések, sebezhetőség-figyelés és patch-elés.
• Biztonsági mentések napi rendszerességgel, georedundáns tárolással.
• Munkatársi titoktartási nyilatkozat és adatvédelmi képzés.
• Adatvédelmi incidensekre vonatkozó belső eljárásrend.

A GDPR 12–22. cikkei alapján az érintettek az alábbi jogokat gyakorolhatják:

Tájékoztatáshoz való jog

Tömör, átlátható és könnyen érthető formában tájékoztatást kapsz az adatkezelésünkről – ezt jelen tájékoztató is szolgálja.

Hozzáférési jog

Visszaigazolást kérhetsz arra vonatkozóan, hogy kezelünk-e rólad személyes adatot; ha igen, hozzáférést és másolatot adunk az adatokról.

Helyesbítés joga

Kérheted a pontatlan adatok módosítását vagy a hiányos adatok kiegészítését.

Törléshez való jog („elfeledtetéshez” való jog)

A GDPR 17. cikkében meghatározott esetekben kérheted az adataid törlését – kivéve, ha az adatkezelést jogszabály vagy létfontosságú jogos érdek továbbra is indokolja (pl. számviteli kötelezettség).

Korlátozáshoz való jog

Bizonyos esetekben (pl. helyesbítés folyamatban) kérheted az adatkezelés korlátozását – ekkor csak a megőrzés folytatódik.

Adathordozhatósághoz való jog

Kérheted, hogy az általunk kezelt, általad rendelkezésre bocsátott adatokat tagolt, géppel olvasható formátumban (pl. JSON) megkapd vagy másik adatkezelőhöz továbbítsuk – ahol ez technikailag lehetséges.

Tiltakozáshoz való jog

Tiltakozhatsz a jogos érdeken alapuló adatkezeléssel szemben, különösen közvetlen üzletszerzés esetén.

Hozzájárulás visszavonása

A korábban adott hozzájárulásodat bármikor, ingyenesen visszavonhatod – ez a visszavonást megelőző adatkezelést nem érinti.

Automatizált döntéshozatal alóli mentesség

Joghatást gyakorló, kizárólag automatizált döntéshozatalt nem alkalmazunk; ha mégis ilyen helyzet merülne fel, emberi beavatkozást kérhetsz.

A jogok gyakorlására irányuló kérelmedet a [email protected] címen vagy postai úton (Egri Ingatlan Kft., 4033 Debrecen, Fülöp utca 4.) tudjuk fogadni. A kérelem érdemi elbírálását követően a GDPR 12. cikk (3) bekezdése szerinti határidőben (alapesetben 1 hónapon belül, indokolt esetben további 2 hónapnyi hosszabbítással) válaszolunk. A jogok gyakorlása ingyenes; nyilvánvalóan megalapozatlan vagy túlzó kérelem esetén ésszerű díjat számíthatunk fel vagy a kérelem teljesítését megtagadhatjuk.

Szolgáltatásunk alapeleme a mesterséges intelligencia: vendégválaszokat, javaslatokat, ütemezéseket és összefoglalókat generálunk LLM-modellek segítségével. Ezekre vonatkozóan az alábbi alapelveket követjük:

• Az AI-alapú feldolgozás célja a hatékonyabb, gyorsabb és pontosabb vendégkommunikáció és üzemeltetés – nem önálló döntéshozatal.
• A vendégekre joghatást gyakorló döntés (pl. foglalás-elutasítás, biztonságiérték-zárolás) minden esetben emberi felülvizsgálattal történik (autopilot review queue).
• Az AI-modellbe küldött adatokat a feltétlenül szükséges minimumra szorítjuk, és kerüljük a különleges kategóriájú adatok átadását.
• A DavidBnB az OpenAI „API platform” feltételei szerint úgy használja a modellt, hogy az API-n keresztül beküldött tartalom alapból nem kerül a modellek tanításába.
• A tulajdonossal megkötött DPA pontosan rögzíti, hogy a vendégadatokon végzett AI-feldolgozás milyen célból és milyen feltételekkel történhet.
• Profilalkotást marketing remarketing célból kizárólag a Meta Pixelhez és a TikTok Pixelhez adott hozzájárulás esetén végzünk – ennek visszavonása bármikor lehetséges.

A GDPR 33. cikke szerint az adatvédelmi incidenst – ha azzal valószínűsíthetően kockázatot jelent az érintettek jogaira és szabadságaira – a tudomásszerzéstől számított 72 órán belül bejelentjük a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) felé. Magas kockázat esetén a GDPR 34. cikke alapján az érintetteket is közvetlenül értesítjük.

• Az incidenseket belső incidens-naplóban dokumentáljuk (esemény, érintettek köre, hatás, megtett intézkedések).
• Adatfeldolgozóinkat szerződésben kötelezzük arra, hogy az általuk észlelt incidenseket indokolatlan késedelem nélkül jelentsék felénk.
• A tulajdonosokat (mint adatkezelőket) értesítjük minden olyan incidensről, amely a vendégadataikat érinti.

Ha úgy érzed, hogy az adatkezelésünk a GDPR vagy más jogszabály rendelkezéseit sérti, az alábbi jogorvoslati lehetőségek állnak rendelkezésedre:

Az érintett a polgári bíróságok előtt is fordulhat: a pert a Fővárosi Törvényszék vagy a lakóhelye / tartózkodási helye szerinti törvényszék előtt indíthatja. A keresetindítást megelőzően javasoljuk, hogy ügyét a [email protected] címre küldött megkereséssel próbáljuk közösen rendezni.

Az Adatkezelő fenntartja a jogot, hogy a jelen tájékoztatót egyoldalúan módosítsa – például jogszabályváltozás, új szolgáltatás bevezetése vagy biztonsági fejlesztés esetén. A jelentős változásokról a felhasználókat előzetesen, megfelelő időben értesítjük (pl. weboldalon közzétett figyelmeztetéssel, vagy bejelentkezett felhasználók esetén e-mailben).

A tájékoztató verziószámát és utolsó frissítésének dátumát a dokumentum tetején jelöljük. A korábbi verziók másolata kérésre a [email protected] címen igényelhető.