HőKép3D · hokep3d.hu
Adatkezelési tájékoztató
A HőKép3D mérnöki hőkamerás felmérési szolgáltatásával és a hokep3d.hu honlappal összefüggő személyes adatkezelésről, az (EU) 2016/679 rendelet (GDPR) 13–14. cikke és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján.
Szolgáltatásunk kizárólag vállalkozásoknak szól. Ezért személyes adatot elsősorban vállalkozások képviselőitől, kapcsolattartóitól és munkavállalóitól kezelünk, illetve járulékosan a felmérések során készült felvételeken.
1. Az adatkezelő
| Név | [Cégnév] ([cégforma]); szolgáltatási név: HőKép3D (a továbbiakban: Adatkezelő) |
| Székhely | [székhely] |
| Cégjegyzékszám / nyilvántartási szám, adószám | [cégjegyzékszám / nyilvántartási szám]; [adószám] |
| Képviselő | [ügyvezető / egyéni vállalkozó neve] |
| Adatvédelmi kapcsolattartó | [név], info@hokep3d.hu, [+36 …] |
| Adatvédelmi tisztviselő | Az Adatkezelő a GDPR 37. cikk (1) bekezdése alapján adatvédelmi tisztviselő kijelölésére nem köteles (tevékenysége nem személyek rendszeres és nagymértékű megfigyelésén, nem különleges adatok nagymértékű kezelésén alapul, és nem közhatalmi szerv). [confirm] |
Az Adatkezelő a GDPR 30. cikke szerinti adatkezelési nyilvántartást és adatvédelmi incidens-nyilvántartást vezet.
2. Alapfogalmak
2.1. Személyes adat: azonosított vagy azonosítható természetes személyre vonatkozó bármely információ (pl. név, e-mail-cím, telefonszám, felismerhető arckép, gépjármű-rendszám). Jogi személy cégadatai nem személyes adatok; személyes adat viszont a jogi személy képviselőjének, kapcsolattartójának, munkavállalójának, továbbá az egyéni vállalkozónak az adata.
2.2. Adatkezelő: aki az adatkezelés céljait és eszközeit meghatározza; adatfeldolgozó: aki az adatkezelő nevében, utasításai szerint kezel személyes adatot (GDPR 4. cikk 7–8. pont).
2.3. Felvétel: a felmérés során a létesítményről készített radiometrikus hőkép, látható fényű (RGB) fénykép vagy videó, drónfelvétel és fotogrammetriai adat.
3. Alapelvek
3.1. Az Adatkezelő a személyes adatokat jogszerűen, tisztességesen és átlátható módon, meghatározott, egyértelmű és jogszerű célból, a cél eléréséhez szükséges mértékben és ideig kezeli (GDPR 5. cikk).
3.2. A szolgáltatás tárgya épületek, szerkezetek és berendezések – nem személyek – vizsgálata. A felvételeken megjelenő személyek és rendszámok adatait csak járulékosan kezeljük, és a lehető legkisebb mértékre szorítjuk (adattakarékosság; beépített és alapértelmezett adatvédelem – GDPR 25. cikk).
3.3. Az Adatkezelő automatizált döntéshozatalt, ideértve a profilalkotást (GDPR 22. cikk), nem alkalmaz. A felvételek feldolgozásához használt AI-támogatott eszközöket kizárólag épületfelvételek műszaki feldolgozására használjuk, személyek azonosítására vagy értékelésére nem; a dokumentációba kerülő megállapításokat mérnök hagyja jóvá. A hozzájáruláson alapuló hirdetésmérés (4.10 pont) esetén a Google a saját hirdetési rendszerében személyre szabási célú adatkezelést is végezhet; ezt az érintett a hozzájárulás megtagadásával vagy visszavonásával kizárhatja.
4. Az egyes adatkezelések
4.1. Ajánlatkérés, kapcsolatfelvétel (honlapi űrlap, e-mail, telefon)
| Érintettek | az ajánlatot kérő vagy kapcsolatot felvevő személy (vállalkozás képviselője, munkavállalója, egyéni vállalkozó) |
| Adatok | név, beosztás, cégnév, e-mail-cím, telefonszám, az üzenet tartalma |
| Cél | az ajánlatkérés és a megkeresés megválaszolása, árajánlat készítése |
| Jogalap | egyéni vállalkozó esetén GDPR 6. cikk (1) b) – az érintett kérésére a szerződéskötést megelőző lépések megtétele; vállalkozás munkavállalója, képviselője esetén 6. cikk (1) f) – jogos érdek (az üzleti megkeresés megválaszolása) |
| Forrás | az érintett |
| Megőrzés | szerződéskötés hiányában az utolsó kapcsolatfelvételtől számított 12 hónap; szerződéskötés esetén a 4.2 pont szerint |
| Megjegyzés | Az adatok megadása az ajánlatadás feltétele; hiányában az ajánlat nem adható. |
4.2. Árajánlat, szerződéskötés és -teljesítés, kapcsolattartás, a dokumentáció átadása
| Érintettek | a Megrendelő kapcsolattartói, képviselői, helyszíni kísérői, a felhasználói hozzáféréssel rendelkező munkatársak |
| Adatok | név, beosztás, e-mail, telefon, aláírás, helyszíni jelenlét ideje, a 3D hőtérkép eléréséhez szükséges azonosító és a hozzáférési napló (időpont, IP-cím, művelet) |
| Cél | a szerződés megkötése és teljesítése, kapcsolattartás, a dokumentáció biztonságos átadása |
| Jogalap | egyéni vállalkozó Megrendelő esetén 6. cikk (1) b) – szerződés teljesítése; vállalkozás munkatársa esetén 6. cikk (1) f) – jogos érdek (a szerződés teljesítéséhez szükséges kapcsolattartás); a hozzáférési napló: 6. cikk (1) f) – a dokumentáció biztonsága, visszaélések felderítése |
| Forrás | az érintett vagy az érintett munkáltatója (a Megrendelő) |
| Megőrzés | a szerződés megszűnésétől számított 5 év (Ptk. 6:22. § – általános elévülési idő); a hozzáférési napló: 12 hónap |
4.3. Számlázás, könyvvezetés
| Érintettek | egyéni vállalkozó Megrendelő; a számlán feltüntetett kapcsolattartó |
| Adatok | név, cím, adószám, számlázási e-mail |
| Jogalap | 6. cikk (1) c) – jogi kötelezettség: az általános forgalmi adóról szóló 2007. évi CXXVII. törvény, a számvitelről szóló 2000. évi C. törvény (a továbbiakban: Számv. tv.) |
| Megőrzés | 8 év (Számv. tv. 169. § (2) bekezdés) |
| Címzettek | könyvelő, számlázóprogram-szolgáltató, NAV (Online Számla adatszolgáltatás) |
4.4. Üzleti megkeresés (kimenő ajánlat) – leendő megrendelők
Az Adatkezelő kimenő üzleti megkeresést a belső megkeresési szabályzat szerint végez.
| Kiket keresünk meg | kizárólag jogi személy általános, szervezeti jellegű e-mail-címét (pl. info@, iroda@, ugyfelszolgalat@), amelyet a vállalkozás saját honlapján vagy a cégnyilvántartásban tett közzé; levelet a vállalkozás megjelölt funkciója (pl. létesítményüzemeltetési vezető) figyelmébe címezhetünk |
| Kiket NEM keresünk meg előzetes hozzájárulás nélkül | név szerint megjelölt természetes személyt (munkavállalót, vezetőt), egyéni vállalkozót, magáncímet vagy freemail-címet, vásárolt vagy automatikusan gyűjtött lista szereplőit. Ezeknek a személyeknek a címére a közvetlen üzletszerzési célú elektronikus levelet csak az érintett előzetes, egyértelmű és kifejezett hozzájárulásával (a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény [a továbbiakban: Grt.] 6. §; GDPR 6. cikk (1) a)) küldünk. |
| Adatok | a szervezet neve, általános e-mail-címe, honlapja, a cím forrása és gyűjtésének ideje, a megkeresések és a válaszok ténye |
| Jogalap | az általános szervezeti címek kezelése – amennyiben az egyáltalán személyes adatnak minősül – a GDPR 6. cikk (1) f) pontja szerinti jogos érdek (üzleti kapcsolatfelvétel); az érdekmérlegelési teszt kérésre rendelkezésre áll. Hozzájárulással megadott, név szerinti elérhetőség esetén 6. cikk (1) a) |
| Forrás | a vállalkozás honlapja, cégnyilvántartás; hozzájárulás esetén az érintett |
| Tiltakozás, leiratkozás | az érintett a megkeresés ellen bármikor, indokolás nélkül tiltakozhat (GDPR 21. cikk (2)–(3)), illetve a hozzájárulását bármikor visszavonhatja: e-mailben („LEIRATKOZÁS”), a levélben szereplő hivatkozáson, vagy postán. A kérést 1 munkanapon belül teljesítjük. |
| Megőrzés | az utolsó kapcsolatfelvételtől számított 24 hónap; tiltakozás vagy leiratkozás esetén a további megkeresés kizárására szolgáló minimális azonosító (e-mail-cím) letiltási listán [5] évig, évenkénti felülvizsgálattal marad [confirm]; a hozzájárulás igazolása a visszavonástól számított 3 évig |
| Tájékoztatás (GDPR 14. cikk) | Az első megkeresés láblécében: az adatkezelő azonosítása, az adat forrása, jogalap, e-mail és postai tiltakozási lehetőség, e tájékoztató elérhetősége. |
4.5. A honlap működtetése, szervernaplók, statisztika
| Érintettek | a honlap látogatói |
| Adatok | IP-cím, a kérés időpontja, kért oldal, böngésző- és eszköztípus, hivatkozó oldal (szervernapló) |
| Cél | a honlap biztonságos működtetése, hibakeresés, visszaélések elleni védelem |
| Jogalap | 6. cikk (1) f) – jogos érdek (a honlap működése és biztonsága) |
| Megőrzés | 30 nap |
| Sütik, nyomkövetés | A honlap a látogató eszközén hozzájárulás nélkül csak a süti-döntés megjegyzéséhez feltétlenül szükséges helyi tárolást (hk3d-consent) használ. Mérő- és hirdetési sütiket kizárólag a látogató hozzájárulásával helyez el; részletek a 4.10 pontban és a Süti tájékoztatóban. |
| Statisztika | Hozzájárulás nélkül nincs: a látogatottság-mérés, a viselkedéselemzés és a hirdetésmérés a látogató hozzájárulásán alapul (4.10 pont). |
4.6. Helyszíni felvételek (hőkép, RGB, drón, fotogrammetria)
Lásd az 5. és 6. pontot.
4.7. Munkavédelmi, belépési dokumentáció
| Érintettek | az Adatkezelő helyszínen dolgozó munkatársai, a Megrendelő kísérője |
| Adatok | név, aláírás, az oktatás időpontja |
| Jogalap | 6. cikk (1) c) – a munkavédelemről szóló 1993. évi XCIII. törvény szerinti kötelezettség; illetve 6. cikk (1) f) – jogos érdek |
| Megőrzés | a szerződés megszűnésétől számított 5 év |
4.8. Jogi igények érvényesítése és védelme
| Adatok | az adott igénnyel érintett, a fenti adatkörökbe tartozó adatok |
| Jogalap | 6. cikk (1) f) – jogos érdek |
| Megőrzés | az igény elévüléséig, illetve a jogerős lezárásig |
4.9. Esettanulmány-hozzájárulás, visszajelzés (pilot program)
| Érintettek | a hozzájáruló Megrendelő képviselője; a visszajelzési beszélgetésben résztvevő személy |
| Adatok | név, beosztás, a hozzájárulás ténye, ideje és tartalma, a visszajelzés tartalma |
| Jogalap | 6. cikk (1) b) (a pilot program szerződéses feltételei) és f); név szerint idézett vélemény vagy az érintett nevével közölt anyag esetén külön hozzájárulás, 6. cikk (1) a) |
| Megőrzés | a hozzájárulás érvényességi ideje + a visszavonástól számított 3 év (bizonyíthatóság) [confirm] |
| Megjegyzés | Az anonimizált esettanulmány nem tartalmaz személyes adatot, vállalkozás-azonosításra alkalmas adatot, felismerhető személyt és rendszámot. |
4.10. Hozzájáruláson alapuló mérés: látogatottság-statisztika, viselkedéselemzés, hirdetésmérés
| Érintettek | a honlap azon látogatói, akik a süti-sávon a megfelelő kategóriához hozzájárultak |
| Szolgáltatások, kategóriák | Statisztika: Google Analytics 4 (Google Ireland Ltd.); Viselkedéselemzés: Microsoft Clarity (Microsoft Ireland Operations Ltd.); Hirdetésmérés: Google Ads konverziómérés (Google Ireland Ltd.). Kategóriánként külön döntés; egyik sincs előre kiválasztva. |
| Adatok | online azonosítók (sütik: _ga, _ga_*, _clck, _clsk, _gcl_au, _gcl_aw), IP-cím (a kérés technikai velejárójaként a szolgáltató megkapja), megtekintett oldalak és időpontjuk, hivatkozó forrás (a személyes adatnak látszó lekérdezési paraméterek eltávolításával), eszköz-, böngésző- és operációs rendszer-adatok, hozzávetőleges földrajzi hely, események (ajánlatkérés elküldése, e-mail- és telefonszám-kattintás, PDF-letöltés fájlnévvel, kalkulátor-használat létesítménytípussal és szinttel, 3D nézet indítása, ajánlati oldal szegmense), Clarity esetén kattintás-, görgetés- és egérmozgás-adatok és az oldalhasználat maszkolt, visszajátszható rögzítése; hirdetésre kattintás esetén a hirdetéskattintás azonosítója. Nem kerül a mérésbe: név, e-mail-cím, telefonszám, az űrlap bármely tartalma (az űrlapmezőket a Clarity maszkolja, az eseményekbe nem kerülnek bele). |
| Cél | a honlap látogatottságának és használhatóságának elemzése, fejlesztése; annak mérése, hogy a hirdetések ajánlatkéréshez vezetnek-e |
| Jogalap | GDPR 6. cikk (1) bekezdés a) – az érintett hozzájárulása; az eszközön tárolt adatok eléréséhez és elhelyezéséhez az Eht. 155. § (4) bekezdése szerinti hozzájárulás. A hozzájárulás önkéntes, megtagadása nem jár hátránnyal, a honlap és az ajánlatkérés használata nem függ tőle. |
| Hozzájárulás kezelése | A hozzájárulást az első látogatáskor sáv kéri („Elfogadom” és „Elutasítom” azonos súllyal, kategóriánkénti „Beállítások”). A szkriptek hozzájárulás előtt nem töltődnek be. A döntés (kategóriánként), időpontja és a tájékoztató verziója a látogató böngészőjének helyi tárolójában (hk3d-consent) rögzül, 12 hónapig érvényes. |
| Visszavonás | Bármikor, ugyanolyan egyszerűen: a lábléc „Süti-beállítások” hivatkozásával, vagy e-mailben (info@hokep3d.hu). Visszavonás után a szolgáltatás szkriptjét a honlap nem tölti be, és a hozzá tartozó sütiket a saját domainjén törli. A visszavonás a korábbi adatkezelés jogszerűségét nem érinti. |
| Címzettek, adatfeldolgozók | Google Ireland Limited (Google Analytics 4, Google Ads), Microsoft Ireland Operations Limited (Microsoft Clarity). A Google Analytics és a Clarity esetében az érintett szolgáltató adatfeldolgozóként jár el; a Google Ads hirdetésmérés egyes elemei tekintetében a Google a saját feltételei szerint önálló adatkezelő is lehet [confirm]. A Google Signals és a hirdetés-személyre szabás a Google Analyticsben ki van kapcsolva; a Clarity számára hirdetési tárolást nem engedélyezünk. |
| Harmadik országba továbbítás | A szolgáltatók az adatokat az Egyesült Államokban is kezelhetik; ennek garanciáit a 10. pont (EU–USA adatvédelmi keretrendszer, ennek hiányában általános szerződési kikötések) ismerteti. |
| Megőrzés | Sütik: a Süti tájékoztató 4. pontja szerint (_ga, _ga_* 2 év; _gcl_au, _gcl_aw 90 nap; _clck 1 év; _clsk 1 nap). A szolgáltatóknál tárolt adatok: Google Analytics eseményszintű adatok 14 hónap (a GA4-ben beállított adatmegőrzési idő); Clarity munkamenet-rögzítések és mérőszámok a Clarity beállítása szerint, legfeljebb [30 nap / 13 hónap]; Google Ads konverziós adatok a Google Ads beállítása szerint [confirm]. A hozzájárulás igazolása: lásd a 11. pontot. |
5. Helyszíni felvételek – részletes szabályok
5.1. Cél és szükségesség. A felvételek célja a létesítmény épülethéjának és berendezéseinek műszaki vizsgálata. A felvételek nem irányulnak személyek azonosítására. A radiometrikus hőképek felbontása általában nem teszi lehetővé a személyek azonosítását; az RGB- és drónfelvételeken azonban egy személy vagy rendszám felismerhető lehet. A Nemzeti Adatvédelmi és Információszabadság Hatóság álláspontja szerint a felismerhető kép- és videófelvétel személyes adat, rögzítése adatkezelés.
5.2. Szerepek. Mivel a felvételek a Megrendelő létesítményében, a Megrendelő megbízásából készülnek, a felvételeken járulékosan megjelenő személyek és rendszámok adatai tekintetében a Megrendelő az adatkezelő, az Adatkezelő pedig adatfeldolgozó, az ÁSZF 2. Mellékletében (GDPR 28. cikk szerinti feltételek) foglaltak szerint. Ebben a minőségében az Adatkezelő a Megrendelő utasításai szerint jár el; a személyek és rendszámok kitakarása alapértelmezett utasítás. Az Adatkezelő önálló adatkezelőként kezel minimális adatot a saját jogos érdekében: a mérés ellenőrizhetőségét biztosító integritás-kivonat-jegyzékhez (ez személyes adatot nem tartalmaz), a jogi igények védelméhez, valamint a minőségbiztosításhoz (aggregált, anonim formában). [confirm: a szerepek végleges jogi minősítése]
5.3. Jogalap. A Megrendelő jogalapja jellemzően a GDPR 6. cikk (1) f) pontja szerinti jogos érdek (a létesítmény műszaki állapotának felmérése); az Adatkezelő saját adatkezelése is jogos érdeken alapul. Az érdekmérlegelési tesztet kérésre rendelkezésre bocsátjuk.
5.4. Minimalizálás a rögzítéskor. A felmérést lehetőség szerint munkaidőn kívül, éjszaka végezzük; a felvételek készítése előtt a Megrendelő kísérőjével egyeztetve a személyeket a látómezőből kikérjük; a megjelölt, kizárt területekről felvétel nem készül; a drónos repülést úgy tervezzük, hogy a szomszédos ingatlanok és közterületek a lehető legkisebb mértékben kerüljenek a felvételre.
5.5. Minimalizálás a feldolgozáskor. A felismerhető személyeket és rendszámokat a feldolgozás kezdetén kitakarjuk vagy elmossuk; a dokumentációban és bármely közlésben csak kitakart anyag szerepel. A külső (pl. AI-támogatott) szolgáltatóhoz feltöltés előtt – ahol technikailag lehetséges – kitakarunk. Az EXIF/GPS-metaadatokat a projekten kívüli megosztás előtt eltávolítjuk.
5.6. Megőrzés. A kitakarás nélküli eredeti felvételeket – ha az integritás-ellenőrzés miatt szükséges – legfeljebb az átadástól számított 12 hónapig őrizzük, szigorúan korlátozott hozzáféréssel; ezt követően töröljük. A kitakart nyers adatot és a dokumentációt az átadástól számított 3 évig őrizzük meg. [confirm]
5.7. Tájékoztatás a helyszínen. A Megrendelő vállalja, hogy munkavállalóit és a helyszínen tartózkodókat a felmérésről előzetesen tájékoztatja; az Adatkezelő erre rövid tájékoztató szöveget (a „Helyszíni hozzájárulás” melléklete) bocsát rendelkezésre, amely e tájékoztatóra mutat. Drónos repülés idején a felszállási pont közelében tájékoztató táblát helyezünk ki.
5.8. Tiltakozás. Az érintett a felvételek kezelése ellen a 12. pont szerint tiltakozhat (a Megrendelőnél vagy nálunk, az Adatkezelő elérhetőségein); megalapozott tiltakozás esetén kitakarjuk vagy töröljük az érintettre vonatkozó képrészletet, és a módosítást dokumentáljuk.
6. Drónos felvételezés
6.1. Drónos felvételezést csak ott végzünk, ahol a légtér és az engedélyek lehetővé teszik (a légiközlekedésről szóló 1995. évi XCVII. törvény, a 4/1998. (I. 16.) Korm. rendelet, az (EU) 2019/947 és 2019/945 rendelet szerint), a Megrendelő hozzájárulásával. A repülési területet a hivatalos légtérinformációs alkalmazásban ellenőrizzük.
6.2. A drónos felvételezés a személyek magánszférájára nagyobb hatással lehet, mint a földi felvétel, ezért adatvédelmi hatásvizsgálati szűrést (küszöbelemzést) végeztünk és dokumentáltunk. A szűrés eredménye szerint a kockázat – a következő garanciák mellett – nem magas: a repülés a Megrendelő telephelyére korlátozott; szomszédos ingatlanok, közterületek és a munkavállalók feletti repülés kerülése; felszállási pont tájékoztató táblával; rövid megőrzés; a személyek és rendszámok kitakarása a feldolgozás kezdetén; az érintettek előzetes tájékoztatása a Megrendelő útján. A szűrés eredményét a változó körülményekhez (pl. új helyszíntípus) igazítjuk.
6.3. A drónos felvételekre az 5. pont szabályai megfelelően alkalmazandók. Az Adatkezelő a hatóságnak az eseti légtérigényhez a személyes adatok védelmére vonatkozó nyilatkozatot ad, ha ez szükséges.
7. A honlap, tárhely, statisztika
7.1. A honlap tárhelyét [tárhelyszolgáltató neve, székhelye, e-mail-címe] biztosítja (adatfeldolgozó). A tárhelyszolgáltató kezeli a szervernaplókat.
7.2. A honlap betűtípusait és szkriptjeit saját szerverünkről szolgáljuk ki; nem ágyazunk be harmadik féltől származó tartalmat (térképek, videók, közösségimédia-modulok), amelyek a látogató IP-címét harmadik félnek továbbítanák. Kivétel: a Google Analytics 4, a Microsoft Clarity és a Google Ads szkriptjét a honlap kizárólag akkor tölti be, ha a látogató az adott kategóriához hozzájárult (4.10 pont); hozzájárulás nélkül a látogató böngészője ezekhez a szolgáltatókhoz nem kapcsolódik. Ha további külső szolgáltatást vezetünk be, e tájékoztatót módosítjuk, és hozzájárulást kérünk.
7.3. Az ajánlatkérő űrlap [e-mail alapú (mailto) / a(z) [űrlapszolgáltató] szolgáltatásán keresztül működik – adatfeldolgozó]. [a ténylegesen használt megoldás megnevezendő]
7.4. A honlapon külső közösségimédia-profilokra mutató hivatkozások kizárólag hivatkozások; a hivatkozás követésével a harmadik fél saját adatkezelési szabályai érvényesek.
8. Adatbiztonság
8.1. Az Adatkezelő a GDPR 32. cikke szerint a kockázatokkal arányos technikai és szervezési intézkedéseket alkalmaz, különösen:
a) titkosítás: az adatok továbbítása titkosított csatornán (TLS), a tárolt nyers felvételek és mentések titkosítva, a terepi adathordozók eszköztitkosítással;
b) hozzáférés-kezelés: szerepkör alapú, a szükséges minimumra korlátozott hozzáférés; kétlépcsős azonosítás az adminisztratív és felhőfiókokhoz; a jogosultságok rendszeres felülvizsgálata;
c) integritás: minden nyers fájlról a rögzítést követően kivonat (hash) készül, amely a felvételek utólagos módosításának kimutatására szolgál; a feldolgozás verziónaplóval követhető;
d) rendelkezésre állás: rendszeres, elkülönített helyen tárolt biztonsági mentés, a visszaállítás időszakos tesztelése;
e) szervezési intézkedések: munkatársak titoktartási kötelezettsége, adatvédelmi oktatás, az adathordozók biztonságos törlése vagy megsemmisítése.
8.2. Adatvédelmi incidens. Az Adatkezelő az incidenseket nyilvántartja; a kockázatot jelentő incidenst a tudomásszerzéstől számított 72 órán belül bejelenti a NAIH-nak (GDPR 33. cikk); magas kockázat esetén az érintetteket is indokolatlan késedelem nélkül tájékoztatja (GDPR 34. cikk). Adatfeldolgozói minőségben az Adatkezelő az incidenst a Megrendelőnek 48 órán belül jelzi.
9. Adatfeldolgozók és címzettek
9.1. Az Adatkezelő az alábbi adatfeldolgozókat veszi igénybe, a GDPR 28. cikke szerinti írásbeli szerződés alapján (a lista a tényleges szolgáltatókkal kitöltendő):
| Tevékenység | Adatfeldolgozó | Érintett adatkör | Az adatkezelés helye |
|---|---|---|---|
| Honlap-tárhely | [tárhelyszolgáltató neve, székhelye] | szervernaplók, űrlap-adatok | [EU/EGT] |
| E-mail és irodai szoftver | [szolgáltató] | levelezés, kapcsolattartói adatok | [EU/EGT / USA – 10. pont] |
| Látogatottság-statisztika, hirdetésmérés (csak hozzájárulással, 4.10 pont) | Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Írország (Google Analytics 4, Google Ads) | online azonosítók, IP-cím, oldalhasználati és eseményadatok, hirdetéskattintás-azonosító | EU/EGT; harmadik országba (USA) továbbítás lehetséges – 10. pont |
| Viselkedéselemzés (csak hozzájárulással, 4.10 pont) | Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Írország (Microsoft Clarity) | online azonosítók, IP-cím, maszkolt oldalhasználati rögzítés, kattintási és görgetési adatok | EU/EGT; harmadik országba (USA) továbbítás lehetséges – 10. pont |
| Felhőtárhely, biztonsági mentés | [szolgáltató] | nyers felvételek, dokumentáció | [EU/EGT] |
| AI-támogatott feldolgozás (képfeldolgozás, szövegszerkesztés) | [szolgáltató] | kitakart felvételek, mérési adatok | [EU/EGT / USA – 10. pont] |
| Könyvelés | [könyvelő neve, székhelye] | számlázási adatok | Magyarország |
| Számlázóprogram | [szolgáltató] | számlázási adatok (NAV Online Számla) | Magyarország |
| Alvállalkozó (pl. drónpilóta, terepi munkatárs) | [ha van] | felvételek, kapcsolattartói adatok | [ ] |
| Űrlapszolgáltató | [ha van] | ajánlatkérési adatok | [ ] |
9.2. Az AI-szolgáltatóval kötött szerződésben kizárjuk, hogy az átadott adatokat saját modelljeinek tanítására vagy egyéb saját célra felhasználja, és előírjuk az adatok feldolgozás utáni törlését.
9.3. Egyéb címzettek. Személyes adatot harmadik félnek nem adunk el és nem adunk át, kivéve: a) a Megrendelőt (a dokumentáció részeként, kitakart formában); b) jogszabályon alapuló kötelezettség esetén a hatóságokat (NAV, bíróság, nyomozó hatóság); c) jogi képviselőnket jogi igény esetén; d) szükség esetén a légiközlekedési hatóságot a drónos repüléssel összefüggésben; e) a biztosítót és a biztosításközvetítőt kárigény esetén.
10. Harmadik országba továbbítás
10.1. Elsősorban az Európai Gazdasági Térségen (EGT) belüli adatkezelési helyet alkalmazó szolgáltatót választunk. Ha valamely adatfeldolgozó az adatokat az EGT-n kívül kezeli, a továbbítás az alábbi garanciák valamelyike alapján történik: a) az Európai Bizottság megfelelőségi határozata (GDPR 45. cikk), ideértve az EU–USA adatvédelmi keretrendszerről (EU–US Data Privacy Framework) szóló (EU) 2023/1795 végrehajtási határozatot, ha az amerikai címzett a keretrendszer szerint tanúsított (a Google LLC és a Microsoft Corporation – a nyilvános DPF-jegyzék szerint – tanúsított szervezet; az aktuális státusz a https://www.dataprivacyframework.gov oldalon ellenőrizhető [confirm]); b) az Európai Bizottság általános adatvédelmi kikötései ((EU) 2021/914 végrehajtási határozat; GDPR 46. cikk (2) c)), a továbbítási hatásvizsgálat elvégzésével és szükség szerint kiegészítő intézkedésekkel (pl. titkosítás). [confirm: a keretrendszer aktuális státuszának ellenőrzése a használatbavétel idején]
10.2. Az érintett kérésére tájékoztatást adunk az alkalmazott garanciáról és annak elérhetőségéről.
11. Megőrzési idők összefoglalása
| Adatkör | Megőrzési idő |
|---|---|
| Ajánlatkérés, szerződéskötés nélküli kapcsolattartás | utolsó kapcsolatfelvételtől 12 hónap |
| Szerződéses dokumentumok, kapcsolattartói adatok | a szerződés megszűnésétől 5 év |
| Számviteli bizonylatok | 8 év |
| Kimenő üzleti megkeresés (szervezeti címek) | utolsó kapcsolatfelvételtől 24 hónap |
| Letiltási lista (tiltakozás / leiratkozás) | [5] év, évenkénti felülvizsgálattal |
| Hozzájárulások igazolása | érvényesség + a visszavonástól 3 év |
| Süti-döntés (hk3d-consent, a látogató böngészőjében) | 12 hónap, vagy a tájékoztató verziójának változásáig |
| Mérés: sütik és szolgáltatói adatok (Google Analytics 4, Microsoft Clarity, Google Ads) | a 4.10 pont szerint (sütik 1 nap – 2 év; szolgáltatói adatok [2–14] hónap) |
| Kitakart nyers adat és dokumentáció | az átadástól 3 év |
| Kitakarás nélküli eredeti felvételek (ha szükséges) | az átadástól legfeljebb 12 hónap |
| Szervernapló | 30 nap |
| 3D hőtérkép hozzáférési napló | 12 hónap |
| Adatvédelmi incidens-nyilvántartás | 5 év |
| Drónos DPIA-szűrés dokumentációja | a tevékenység időtartama + 3 év |
12. Az érintettek jogai
12.1. Hozzáférés (GDPR 15. cikk): tájékoztatást kérhet arról, hogy személyes adatainak kezelése folyamatban van-e, és hozzáférhet az adatokhoz, másolatot kérhet.
12.2. Helyesbítés (16. cikk): kérheti a pontatlan adatok helyesbítését, a hiányos adatok kiegészítését.
12.3. Törlés (17. cikk): kérheti adatainak törlését, ha az adatkezelés célja megszűnt, hozzájárulását visszavonta, sikeresen tiltakozott, vagy az adatkezelés jogellenes – kivéve, ha az adatkezelés jogi kötelezettség teljesítéséhez (pl. számviteli megőrzés) vagy jogi igény előterjesztéséhez, érvényesítéséhez, védelméhez szükséges.
12.4. Korlátozás (18. cikk): kérheti az adatkezelés korlátozását az adatok pontosságának vitatása, jogellenes adatkezelés, jogi igény vagy tiltakozás elbírálása idejére.
12.5. Adathordozhatóság (20. cikk): a szerződés vagy hozzájárulás alapján, automatizált módon kezelt, általa megadott adatait tagolt, széles körben használt, géppel olvasható formátumban megkaphatja.
12.6. Tiltakozás (21. cikk): a jogos érdeken alapuló adatkezelés ellen saját helyzetével kapcsolatos okból bármikor tiltakozhat; ilyenkor az adatokat nem kezeljük tovább, kivéve, ha kényszerítő erejű jogos okok vagy jogi igény indokolják. A közvetlen üzletszerzés célú adatkezelés elleni tiltakozás esetén az adatok e célból nem kezelhetők tovább, indokolás nélkül.
12.7. Hozzájárulás visszavonása: hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármikor visszavonható; ez a visszavonás előtti adatkezelés jogszerűségét nem érinti. A honlapi mérés (4.10 pont) hozzájárulását a lábléc „Süti-beállítások” hivatkozásával a megadással azonos egyszerűséggel vonhatja vissza.
12.8. A kérelmek intézése. A kérelmet az 1. pontban megadott elérhetőségeken lehet benyújtani. Kérelmére indokolatlan késedelem nélkül, legfeljebb egy hónapon belül válaszolunk; ez a határidő szükség esetén – az Ön tájékoztatása mellett – további két hónappal meghosszabbítható (GDPR 12. cikk (3)). A tájékoztatás díjmentes; nyilvánvalóan megalapozatlan vagy túlzó kérelem esetén észszerű díjat számíthatunk fel, vagy a kérelmet megtagadhatjuk. Kétség esetén további azonosító információt kérhetünk. Ha az adatkezelő nem mi, hanem a Megrendelő (5.2 pont), a kérelmet továbbítjuk neki.
13. Jogorvoslat
13.1. Panasszal fordulhat hozzánk az 1. pont szerinti elérhetőségeken; javasoljuk, hogy hatósági vagy bírósági eljárás előtt keressen meg minket.
13.2. Hatósági panasz (GDPR 77. cikk, Infotv. 52. §): Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH); cím: 1055 Budapest, Falk Miksa utca 9–11.; postacím: 1363 Budapest, Pf. 9.; e-mail: ugyfelszolgalat@naih.hu; honlap: https://www.naih.hu.
13.3. Bírósági jogorvoslat (GDPR 79. cikk, Infotv. 23. §): jogainak megsértése esetén bírósághoz fordulhat. A per elbírálása a törvényszék hatáskörébe tartozik; a per – az Ön választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindítható. Az illetékes törvényszék a https://birosag.hu oldalon kereshető.
13.4. A jogellenes adatkezeléssel okozott kár megtérítését, illetve sérelemdíjat követelhet (GDPR 82. cikk; Ptk. 2:52. §).
14. A tájékoztató módosítása
14.1. Jogszabályváltozás, új adatfeldolgozó igénybevétele vagy új adatkezelési cél esetén e tájékoztatót módosíthatjuk. A módosított tájékoztatót a hatálybalépés előtt közzétesszük a https://hokep3d.hu/adatkezelesi-tajekoztato/ oldalon, és az aktív szerződéses kapcsolatban álló Megrendelők kapcsolattartóit e-mailben értesítjük.
14.2. Új adatkezelési cél esetén az adatkezelés megkezdése előtt külön tájékoztatást adunk, és szükség esetén hozzájárulást kérünk.
14.3. A korábbi változatokat archiváljuk, és kérésre rendelkezésre bocsátjuk.
Kapcsolódó dokumentumok: ÁSZF (25–26. pont, 2. Melléklet) · Süti tájékoztató · Helyszíni hozzájárulás · Esettanulmány-hozzájárulás.