GDPR-tájékoztató

1. A GDPR áttekintése és vállalásaink

Az általános adatvédelmi rendelet (GDPR) átfogó adatvédelmi jogszabály, amely azt szabályozza, hogyan gyűjthetik, kezelhetik és tárolhatják az Európai Gazdasági Térségben (EGT) élő természetes személyek személyes adatait.

A Printedin teljes mértékben elkötelezett a GDPR betartása mellett. A személyes adatokat jogszerűen, tisztességesen és átlátható módon kezeljük. Adatokat csak meghatározott, egyértelmű és jogszerű célokból gyűjtünk, és gondoskodunk arról, hogy azok megfelelőek és relevánsak legyenek, és a szükségesre korlátozódjanak.

2. Az adatkezelő adatai

A GDPR értelmében a Printedin a felhasználóink személyes adatainak adatkezelője. Ez azt jelenti, hogy mi határozzuk meg a személyes adatok kezelésének céljait és eszközeit.

3. Az adatkezelés jogalapja

A GDPR 6. cikke alapján a személyes adatokat a következő jogalapokon kezeljük:

Ha az adatkezelés jogalapja a hozzájárulás, jogosult vagy azt bármikor visszavonni. A visszavonás nem érinti a visszavonás előtt végzett adatkezelés jogszerűségét.

4. A személyes adatok kategóriái

A személyes adatok következő kategóriáit kezeljük:

5. Az érintett jogai

A GDPR alapján a személyes adataiddal kapcsolatban a következő jogok illetnek meg. Minden megalapozott kérésre 30 napon belül válaszolunk (összetett kérések esetén ez a határidő 60 nappal meghosszabbítható):

5.1 Hozzáférési jog (15. cikk)

Jogosult vagy visszajelzést kapni arról, hogy kezeljük-e a személyes adataidat, és kérheted az adataid másolatát széles körben használt elektronikus formátumban.

5.2 A helyesbítéshez való jog (16. cikk)

Kérheted a pontatlan személyes adataid helyesbítését, illetve a hiányos adatok kiegészítését. Az adatok többségét közvetlenül a profilbeállításaidban is frissítheted.

5.3 A törléshez való jog (17. cikk)

Kérheted a személyes adataid törlését („az elfeledtetéshez való jog”), a ránk vonatkozó jogi kötelezettségek sérelme nélkül (ilyenek például a kötelezően megőrzendő adózási nyilvántartások).

5.4 Az adatkezelés korlátozásához való jog (18. cikk)

Kérheted az adataid kezelésének korlátozását, amíg ellenőrizzük azok pontosságát vagy mérlegeljük jogos érdekeinket, illetve akkor is, ha az adatkezelés jogellenes, de ellenzed az adatok törlését.

5.5 Az adathordozhatósághoz való jog (20. cikk)

Jogosult vagy arra, hogy a személyes adataidat tagolt, széles körben használt, géppel olvasható formátumban (JSON vagy CSV) megkapd, és azokat egy másik adatkezelőnek továbbítsd.

5.6 A tiltakozáshoz való jog (21. cikk)

Tiltakozhatsz a jogos érdeken alapuló, illetve a közvetlen üzletszerzési célú adatkezelés ellen. Ilyenkor az adatkezelést befejezzük, kivéve, ha bizonyítjuk, hogy azt olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érdekeiddel szemben.

5.7 Az automatizált döntéshozatallal kapcsolatos jogok (22. cikk)

Nem alkalmazunk olyan automatizált döntéshozatalt vagy profilalkotást, amely rád nézve joghatással járna, vagy téged hasonlóképpen jelentős mértékben érintene.

6. Adatkezelési tevékenységek

A GDPR 30. cikkének megfelelően nyilvántartást vezetünk az adatkezelési tevékenységekről. Főbb adatkezelési tevékenységeink:

• Felhasználói regisztráció: a név, az e-mail-cím és a jelszó kezelése a fiók létrehozásához.
• Terméktervezés: a feltöltött képek és szövegek kezelése a tervek előnézetének elkészítéséhez.
• Rendelésteljesítés: a címek és a fizetési adatok kezelése a nyomtatáshoz és a szállításhoz.
• Ügyfélszolgálat: a levelezés és a fiókadatok kezelése a megkeresések megválaszolásához.
• Marketing: az e-mail-címek kezelése, hogy emlékeztessünk egy befejezetlenül hagyott tervedre (hozzájárulás alapján, az értesítési beállításaid szerint).
• Válaszok a megkeresésekre: a velünk folytatott levelezésed és a hozzá tartozó megbízás adatainak továbbítása egy MI-szolgáltatónak, amely választervezetet készít, mi pedig átnézzük (szerződés teljesítése és jogos érdek).
• Analitika: a használati adatok kezelése szolgáltatásaink fejlesztése érdekében (hozzájárulás alapján).
• Hirdetés: az oldalmegtekintések és a vásárlások kezelése a hirdetések hatékonyságának méréséhez és célközönségek kialakításához (hozzájárulás alapján).

6.1 További adatfeldolgozók

A további adatfeldolgozók következő kategóriáit vesszük igénybe, és mindegyikükkel megfelelő adatfeldolgozási szerződést kötöttünk:

7. Nemzetközi adattovábbítás

A személyes adatokat elsősorban az Európai Gazdasági Térségen (EGT) belül tároljuk és kezeljük. Ha az EGT-n kívülre kell adatokat továbbítani, a megfelelő védelmet a következőkkel biztosítjuk:

• Megfelelőségi határozatok: adattovábbítás olyan országokba, amelyekről az Európai Bizottság megfelelőségi határozatot hozott.
• Általános adatvédelmi kikötések (SCC): az EU által jóváhagyott szerződési feltételek, amelyek egyenértékű adatvédelmet biztosítanak.
• Kiegészítő intézkedések: szükség esetén további technikai és szervezési intézkedések (titkosítás, álnevesítés).

8. Adatvédelmi intézkedések

A GDPR 32. cikkének megfelelően olyan technikai és szervezési intézkedéseket alkalmazunk, amelyek a kockázat mértékének megfelelő biztonsági szintet garantálnak:

8.1 Technikai intézkedések

• TLS 1.2 vagy 1.3 titkosítás a böngésződ és a szervereink közötti összes adatforgalomra
• AES-256 titkosítás a külső helyszínen tárolt biztonsági mentésekre, még mielőtt elhagynák a szervert
• jelszavak tárolása kizárólag sózott PBKDF2-HMAC-SHA256 hash formájában (600 000 iteráció)
• automatizált tesztek, köztük biztonsági ellenőrzések, minden kiadás előtt
• hálózati szegmentálás és tűzfalvédelem
• a bejelentkezések, valamint a fiókokban és a rendelésekben végzett változtatások rögzítése auditnaplóban

8.2 Szervezési intézkedések

• adatvédelmi képzések és tudatosságnövelő programok a munkatársak számára
• a legkisebb jogosultság elvén alapuló hozzáférés-szabályozás
• titoktartási megállapodások minden munkavállalóval és szerződéses partnerrel
• adatvédelmi hatásvizsgálatok (DPIA) a magas kockázatú adatkezelésekhez
• az adatkezelési tevékenységek rendszeres felülvizsgálata és auditálása
• incidenskezelési eljárások és eszkalációs protokollok

9. Adatvédelmi incidensek bejelentése

A GDPR 33. és 34. cikkének megfelelően eljárásokat alakítottunk ki az adatvédelmi incidensek kezelésére:

• Felügyeleti hatóságok: ha olyan adatvédelmi incidens történik, amely valószínűleg kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az incidensről való tudomásszerzéstől számított 72 órán belül bejelentjük az illetékes felügyeleti hatóságnak. Az Egyesült Királyságban élő érintettek esetében ez az Information Commissioner’s Office (ICO). Az Európai Gazdasági Térségben élő érintettek esetében az adott tagállam illetékes hatósága – mivel nincs tevékenységi helyünk az EU-ban, a bejelentés nem egyetlen fő felügyeleti hatóságon keresztül történik.
• Érintett személyek: indokolatlan késedelem nélkül tájékoztatjuk az érintetteket, ha az incidens valószínűsíthetően magas kockázattal jár a jogaikra és szabadságaikra nézve.
• Dokumentáció: minden adatvédelmi incidenst, súlyosságától függetlenül, rögzítünk az incidens-nyilvántartásunkban, a tényekkel, a hatásokkal és a megtett orvosló intézkedésekkel együtt.

10. Adatvédelmi kapcsolattartás

Nem jelöltünk ki adatvédelmi tisztviselőt, és a GDPR ezt nem is írja elő számunkra: a 37. cikk (1) bekezdése csak a közhatalmi szervek, valamint azon adatkezelők számára teszi kötelezővé, amelyek nagy számban figyelnek meg személyeket, vagy a személyes adatok különleges kategóriáit kezelik nagy számban. Az adatvédelemért a vállalkozás vezetése felel, és ő válaszol az ilyen kérésekre is. Itt érhetsz el minket:

11. Felügyeleti hatóság és panaszok

Ha úgy gondolod, hogy a személyes adataid általunk végzett kezelése sérti az adatvédelmi jogszabályokat, jogosult vagy panaszt benyújtani egy felügyeleti hatóságnál (77. cikk). Az, hogy melyik hatóságnál, attól függ, hol vagy te, és nem attól, hogy hol vagyunk mi:

11.1 Ha az Európai Gazdasági Térségben tartózkodsz

Panaszt tehetsz a szokásos tartózkodási helyed, a munkahelyed vagy a feltételezett jogsértés helye szerinti tagállam felügyeleti hatóságánál. Mivel az Egyesült Királyságban van tevékenységi helyünk, és nem az Unióban, egyetlen hatóság sem jár el velünk szemben fő felügyeleti hatóságként – a saját országod hatósága illetékes. Magyarországon ez a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapest, Falk Miksa utca 9–11., www.naih.hu. Az Európai Adatvédelmi Testület közzéteszi az összes nemzeti hatóság aktuális elérhetőségét:

11.2 Ha az Egyesült Királyságban tartózkodsz

Az Egyesült Királyság felügyeleti hatósága az Information Commissioner’s Office. Az alábbi adatok az ICO saját elérhetőségei – nem a mieink; ha velünk szeretnél kapcsolatba lépni, lásd a fenti „Adatvédelmi kapcsolattartás” részt.

Ennek a jognak a gyakorlása semmibe sem kerül, és nem feltétele, hogy előbb hozzánk fordulj – de mi szívesebben orvosoljuk a problémát, mielőtt erre szükséged lenne. Ha írsz a privacy@printedin.com címre, 30 napon belül válaszolunk.