Adatkezelési tájékoztató

1. Bevezetés

1.1. Az adatkezelési tájékoztató célja

Jelen tájékoztató célja, hogy átláthatóan bemutassa, hogyan történik a személyes adatok kezelése a pszichológiai tanácsadási tevékenység és a weboldal működtetése során, valamint ismertesse az érintettek jogait és azok gyakorlásának módját.

1.2. Jogszabályi háttér

Az adatkezelésre különösen az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), valamint a 2011. évi CXII. törvény (Infotv.) irányadó.

2. Az adatkezelő adatai

Név: Gergely Dorina Petra egyéni vállalkozó

Székhely: 1108 Budapest, Mádi utca 198.

Adószám: 92175048-1-42

Egyéni vállalkozói nyilvántartási szám: 62506876

E-mail: gergelydorina.pszichologus@gmail.com

Telefon: +36 20 613 4465

Weboldal: https://gergelydorinapszichologus.hu

Személyes konzultáció helyszíne: Iskolautca Fejlesztő, Vecsés

A tájékoztató a weboldalon érhető el; kérésre a konzultációt megelőzően is rendelkezésre áll.

3. Fogalommeghatározások

Személyes adat: azonosított vagy azonosítható természetes személyre vonatkozó információ. Adatkezelő: aki az adatkezelés céljait és eszközeit meghatározza. Adatfeldolgozó: aki az adatkezelő nevében adatot kezel. Érintett: az a személy, akire az adat vonatkozik. Adatvédelmi incidens: a személyes adatok biztonságának olyan sérülése, amely megsemmisítést, elvesztést, megváltoztatást, jogosulatlan közlést vagy hozzáférést eredményez.

4. Az adatkezelés alapelvei

A személyes adatok kezelése jogszerűen, tisztességesen, átláthatóan, meghatározott célból, a szükséges mértékben és ideig történik. Az adatkezelő törekszik pontosságukra, bizalmas jellegük megőrzésére és a jogosulatlan hozzáférés megakadályozására.

5. Adatkezelési célok és jogalapok

5.1. Weboldali kapcsolatfelvétel és időpont-egyeztetés

Cél: megkeresések fogadása, megválaszolása, konzultáció előkészítése és időpont-egyeztetés. Kezelt adatok: név, e-mail-cím, opcionális telefonszám, a leendő kliens életkora, az üzenetben önként megadott adatok és a levelezés tartalma. Jogalap: a megkeresés jellegétől függően GDPR 6. cikk (1) b) pont (szerződéskötést megelőző lépések) vagy f) pont (a megkeresések kezelése iránti jogos érdek). Különleges adatok közlését az űrlapon nem kér az adatkezelő; ha ilyen adat érkezik, kezelésének GDPR 9. cikk szerinti feltételét külön vizsgálni kell.

A weboldali űrlap üzeneteit a Rackhost szervere e-mailben továbbítja az adatkezelő Gmail-postafiókjába. Az űrlap nem hoz létre üzenet-adatbázist, és nem menti az üzenettartalmat alkalmazásoldali fájlba. A levélküldés és a kézbesítés zárt tesztkörnyezetben ellenőrzésre került. Ha a megkeresésből nem lesz együttműködés, a levelezést a megkereséstől számított 6 hónap után az adatkezelő törli. Létrejött együttműködés esetén a kapcsolódó levelezést az együttműködés lezárását követő 6 hónap után az adatkezelő törli, kivéve, ha jogi kötelezettség vagy konkrét igény érvényesítése hosszabb megőrzést indokol.

5.2. Pszichológiai tanácsadás és szakmai dokumentáció

Cél: pszichológiai tanácsadás nyújtása, a konzultációk szakmai folyamatának követése. Kezelt adatok: azonosító és kapcsolattartási adatok, anamnézis, hozott problémák, megfigyelések, a konzultációk rövid írásos összefoglalói, szükség esetén a törvényes képviselő adatai és nyilatkozatai. Ezek között egészségi állapotra vagy más különleges személyes adatra vonatkozó információ is lehet.

A pszichológiai tanácsadáshoz szükséges általános személyes adatok kezelésének jogalapja a GDPR 6. cikk (1) bekezdés b) pontja (szerződés teljesítése, illetve az érintett kérésére történő szerződéskötést megelőző lépések). A tanácsadás során esetlegesen kezelt, egészségi állapotra vagy más különleges adatkategóriára vonatkozó adatok kezeléséhez a GDPR 9. cikk (2) bekezdés a) pontja szerinti kifejezett, igazolható hozzájárulás szolgálhat kivételként, ha az önkéntesség és a többi feltétel teljesül. A kifejezett hozzájárulás a tanácsadás megkezdése előtt, a felnőtt kliens vagy kiskorú esetén a jogosult törvényes képviselő(k) által aláírt nyilatkozaton, külön jelölőnégyzettel dokumentálandó; a tanácsadáshoz adott beleegyezés ettől elkülönül. A GDPR 9. cikk (2) h) pontjának alkalmazhatósága a tevékenység jogi besorolásától és a GDPR 9. cikk (3) bekezdésében foglalt feltételektől függ, ezért nem kerül automatikusan alkalmazásra. A tanácsadási jogviszony lezárása után a jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez ténylegesen szükséges szakmai dokumentáció megőrzésére a GDPR 6. cikk (1) f) pontja szerinti jogos érdek, különleges személyes adatok esetén a GDPR 9. cikk (2) f) pontja szerinti kivétel szolgálhat alapul, szükségességi és érdekmérlegelési vizsgálat mellett. A Ptk. 6:22. § szerinti általános elévülési idő öt év; ez nem jelent automatikus, minden feljegyzésre kiterjedő kötelező ötéves megőrzést.

5.3. Kiskorúak részvétele

Kiskorúak tanácsadása esetén az első személyes alkalommal, az érdemi tanácsadás megkezdése előtt a szülői felügyeleti jog gyakorlására jogosult törvényes képviselő(k) írásos nyilatkozata kerül bekérésre. Közös szülői felügyelet esetén főszabályként mindkét szülő aláírása kérendő; ettől eltérő helyzetben a jogosultságot egyedileg kell tisztázni. A tanácsadáshoz adott beleegyezés és a különleges személyes adatok GDPR 9. cikk (2) a) pontja szerinti kifejezett adatkezelési hozzájárulása elkülönítendő. Felnőtt klienseknél a különleges személyes adatokhoz adott kifejezett hozzájárulást külön jelölőnégyzetet tartalmazó, aláírt kliensnyilatkozat dokumentálja.

5.4. Online konzultáció

Az online konzultáció Google Meet segítségével történik. Hang- vagy videófelvétel nem készül; kizárólag írásos szakmai feljegyzések készülnek. A szolgáltató a kapcsolat működtetése során technikai és egyéb személyes adatokat kezelhet a saját feltételei szerint.

5.5. Számlázás és számviteli kötelezettségek

Cél: számlakiállítás és jogszabályi kötelezettségek teljesítése. Kezelt adatok: számlázási név, cím és a jogszabály által megkövetelt egyéb adatok. Jogalap: GDPR 6. cikk (1) c) pont. Számlázóprogram: Számlázz.hu. A számviteli bizonylatok megőrzési ideje a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése alapján legalább 8 év. Az adókötelezettség megállapításához szükséges iratokra az adózás rendjéről szóló 2017. évi CL. törvény 78. § (3) bekezdésében foglalt megőrzési szabály is irányadó.

5.6. Facebook és Messenger

A Messengeren érkező megkereséseket általános tájékoztatásra és időpont-egyeztetésre kezeli az adatkezelő; érzékeny szakmai információk megosztását ott nem kér az adatkezelő. Az adatkezelő saját oldalán kezelt eredménytelen megkereséseket 6 hónap után, a létrejött együttműködéshez kapcsolódó üzeneteket az együttműködés lezárása után 6 hónappal törli, a szükséges kivételekkel. A Meta önálló adatkezelése és az oldalstatisztikákhoz kapcsolódó esetleges közös adatkezelés külön szabályok alá eshet.

6. Kezelt adatok tárolása és időtartama

A digitális szakmai feljegyzések az adatkezelő saját, jelszóval védett, kizárólag általa használt számítógépén kerülnek tárolásra. A papíralapú dokumentáció tárolása az adatkezelő otthonában, zárható, kizárólag általa hozzáférhető szekrényben történik. Az e-mailes és Messenger-kapcsolattartás megőrzése az 5.1. és 5.6. pont szerint történik. A tanácsadás lezárását követően a szakmai dokumentációból kizárólag a lehetséges polgári jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges adatok őrizhetők meg, a szükséges mértékben, főszabályként legfeljebb az általános 5 éves elévülési időhöz igazodva (Ptk. 6:22. §). A megőrzés szükségességét és az elévülés kezdő időpontját az adott jogviszony és igény alapján kell értékelni; az elévülés megszakadása vagy nyugvása az időtartamot módosíthatja. A különleges adatok ilyen célú kezelésénél a GDPR 9. cikk (2) f) pontjának feltételei is irányadók. A nem szükséges adatok törlendők. A számviteli bizonylatokra ettől elkülönülő, legalább 8 éves megőrzési szabály vonatkozik.

7. Az érintettek jogai

Az érintett a GDPR feltételei szerint tájékoztatást és hozzáférést kérhet, kérheti adatai helyesbítését, törlését, kezelésük korlátozását, élhet adathordozhatósági jogával, tiltakozhat a jogos érdeken alapuló adatkezelés ellen, és hozzájáruláson alapuló adatkezelésnél visszavonhatja hozzájárulását. A jogok nem minden esetben korlátlanok, például jogszabályi megőrzési kötelezettség esetén. Kérelmeket az adatkezelő e-mail-címére lehet küldeni; a válaszadás főszabály szerint egy hónapon belül történik.

8. Adatbiztonság

A papíralapú dokumentáció zárható szekrényben, a digitális feljegyzések jelszóval védett, kizárólag az adatkezelő által használt számítógépen kerülnek tárolásra. A dokumentációhoz más személy nem férhet hozzá. Az adatok továbbítása, a hordozható eszközök használata és az iratok szállítása során is a jogosulatlan hozzáférés megelőzésére törekszik.

9. Adatvédelmi incidensek

Az adatvédelmi incidenseket az adatkezelő dokumentálja. Amennyiben az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira, a GDPR 33. cikke szerint indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül az adatkezelő bejelenti a NAIH részére. Magas kockázat esetén az érintetteket is tájékoztatja a GDPR 34. cikke szerint.

10. Adatfeldolgozók és címzettek

Rackhost Informatikai Zrt. (Rackhost Zrt.; 6722 Szeged, Tisza Lajos körút 41.; cégjegyzékszám: 06-10-000489): domainregisztráció, a weboldal tárhelyének biztosítása, valamint a kapcsolat@gergelydorinapszichologus.hu postafiók és a weboldali levelek technikai továbbítása. A weboldal HTTPS-kapcsolatot használ. A domaines postafiókra közvetlenül érkező levelek a Gmail-címre továbbítódnak; az átirányítás beállítása nem őriz külön postafiókmásolatot a Rackhostnál. Ez nem zárja ki a szolgáltatói naplók vagy technikai mentések létét. A Rackhost a megrendelő nevében végzett tárhely-adatfeldolgozásnál adatfeldolgozó, saját ügyfélkapcsolati adatai körében önálló adatkezelő. Tájékoztató: https://www.rackhost.hu/privacy-policy; adatfeldolgozói feltételek: https://www.rackhost.hu/dpa. Az ügyfél nevében végzett tárhely- és levelezési adatfeldolgozásra a Rackhost adatfeldolgozói feltételei vonatkoznak. A szolgáltató saját rendszerbiztonsági célú adatkezelése elkülönül ettől. A Rackhost tájékoztatása szerint a webtárhelyről naponta, a reggeli vagy délelőtti órákban készül biztonsági mentés. A szolgáltató az elmúlt 30 napra visszamenő visszaállítás lehetőségét garantálja; közlése szerint 30 napnál régebbi mentések is előfordulhatnak. A 30 nap ezért nem tekinthető a mentésekből történő végleges törlés igazolt felső határának. A naplók típusonkénti megőrzési idejét, a régebbi mentések végleges törlési idejét és az esetleges levélmentések külön szabályait a szolgáltató válasza nem határozta meg; ezekre további pontosítás szükséges.

Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Írország): ingyenes, személyes Gmail-fiókon keresztüli levelezés és Google Meet konzultáció; kattintással aktiválható Google Térkép. A Google a fogyasztói szolgáltatásokban a saját adatvédelmi feltételei szerint kezel adatokat; nem állítható, hogy az ingyenes Gmail-fiókhoz Google Workspace adatfeldolgozói megállapodás tartozik. A Google a személyes adatokat az EGT-n kívül is feldolgozhatja; az általa ismertetett garanciák közé tartoznak a megfelelőségi határozatok, az EU–USA adatvédelmi keretrendszer (az arra tanúsított amerikai jogalanyoknál), valamint szükség esetén az általános szerződési feltételek. https://policies.google.com/privacy?hl=hu; https://policies.google.com/privacy/frameworks

KBOSS.hu Kft. (Számlázz.hu; 1031 Budapest, Záhony utca 7.; cégjegyzékszám: 01-09-303201): számlakiállítás és kapcsolódó számlaadat-kezelés. A számlázási feladatok körében adatfeldolgozói, saját szolgáltatói adatkezeléseinél önálló adatkezelői szerepet is betölthet. A szolgáltató közzététele szerint az adatfeldolgozási infrastruktúra az EU/EGT területén működik; ebből nem következik, hogy valamennyi lehetséges továbbítás kizárólag EGT-n belüli. https://www.szamlazz.hu/adatvedelem

Külső könyvelési szolgáltató: a szükséges számlázási és számviteli adatok feldolgozása.

Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Írország): Facebook-oldal és Messenger üzenetküldés. A Meta a platform működtetésével kapcsolatos személyes adatokat saját feltételei szerint kezeli; egyes oldalstatisztikai műveleteknél közös adatkezelés is felmerülhet. A Meta szolgáltatásaival összefüggésben EGT-n kívüli adattovábbítás is lehetséges. A Meta által alkalmazott aktuális garanciák és a közös adatkezelés feltételei a szolgáltató mindenkori adatvédelmi és oldalkezelői feltételeiből ismerhetők meg: https://www.facebook.com/privacy/policy/ és https://www.facebook.com/legal/terms/page_controller_addendum. Messenger használatakor érzékeny pszichológiai adatok küldése nem javasolt.

Nemzetközi adattovábbítás: a Google és a Meta szolgáltatásainál EGT-n kívüli feldolgozás, illetve adattovábbítás lehetséges. A Google közzétett tájékoztatása megfelelőségi határozatokat, EU–USA adatvédelmi keretrendszert és szükség esetén általános szerződési feltételeket nevez meg. A Meta esetében az alkalmazandó garanciákat a mindenkori szolgáltatói feltételek határozzák meg. A Rackhost adatfeldolgozási és önálló adatkezelési műveleteit a szolgáltató adatfeldolgozói nyilatkozata és adatkezelési tájékoztatója különíti el. A könyvelő mint címzetti kategória: külső könyvelési szolgáltató.

11. Sütik és külső tartalmak

A weboldal nem használ Google Analytics, Facebook Pixel vagy más látogatottságmérő, illetve marketingcélú követőrendszert. Az űrlap szükséges munkamenetsütijét és az alkalmazás technikai adatkezelését az alábbi technikai rész ismerteti. A szolgáltatói szervernaplók ettől elkülönülnek. Az Iskolautca Fejlesztőt bemutató Google Térkép csak a látogató külön kattintására töltődik be; a betöltés előtt nem történhet Google-tartalomlekérés. A térkép aktiválásakor a Google technikai adatokat, például IP-címet kezelhet, és sütiket alkalmazhat. A nem szükséges sütikhez és külső tartalmakhoz a szükséges előzetes hozzájárulást biztosítani kell.

12. Adatvédelmi tisztviselő

A GDPR 37. cikkében foglalt kijelölési kötelezettség fennállását a tevékenység jellege és mértéke alapján kell megítélni. Jelenleg külön adatvédelmi tisztviselő nincs megnevezve; adatvédelmi kérdésekkel közvetlenül az adatkezelőhöz lehet fordulni.

13. Jogérvényesítési lehetőségek

Panasz tehető a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH), 1055 Budapest, Falk Miksa utca 9–11.; telefon: +36 1 391 1400; e-mail: ugyfelszolgalat@naih.hu; honlap: https://www.naih.hu. Az érintett bírósághoz is fordulhat, és a jogszabály szerinti illetékességi szabályok alapján a lakóhelye vagy tartózkodási helye szerinti törvényszéken is megindíthatja a pert.

14. Jogszabályok

Különösen: GDPR (EU 2016/679 rendelet); 2011. évi CXII. törvény; 2000. évi C. törvény a számvitelről; 2013. évi V. törvény (Ptk.), különösen 6:22. §; 2017. évi CL. törvény (Art.), különösen 78. § (3). Az esetlegesen alkalmazandó szakmai és egészségügyi ágazati szabályokat a tevékenység jogi besorolásának ellenőrzésekor kell pontosítani.

15. Záró rendelkezések

Hatálybalépés: a weboldalon történő közzététel napja. A tájékoztatót az adatkezelő az adatkezelés vagy a jogszabályi környezet változásakor frissíti. A változásokat a weboldalon közzéteszi; ez nem helyettesíti az esetleg szükséges új hozzájárulás beszerzését.

Gergely Dorina Petra egyéni vállalkozó

A weboldal technikai működése

Az űrlap nem tárol üzeneteket adatbázisban: a kitöltött adatokat e-mailben továbbítja. Aktivált űrlapnál a PHPSESSID nevű, szükséges munkamenetsüti védi a beküldést; Secure, HttpOnly és SameSite=Strict beállítást kap, és a böngésző munkamenetéig érvényes. A visszaélések korlátozásához a szerver titkos kulccsal képzett IP-azonosítót és próbálkozási időpontokat tárol, üzenettartalmat nem. A küldési korlát az előző egy óra próbálkozásait veszi figyelembe. A technikai fájlok utolsó módosításától számított 24 óra elteltével az oldal következő sikeres automatikus karbantartási kérése törli a lejárt fájlokat. Ez a kérés az oldal megnyitásakor indul; forgalom vagy sikeres kérés hiányában a fizikai fájl tovább megmaradhat. Az üzenettartalom nem kerül ezekbe a fájlokba. A technikai adatkezelés célja a visszaélések megelőzése, jogalapja a weboldal és a levelezés védelméhez fűződő jogos érdek (GDPR 6. cikk (1) f)). A titkos kulccsal képzett IP-azonosító álnevesített technikai adat, nem anonim adat.

A Google-térkép csak az adott oldalon megadott külön engedéllyel töltődik be. Az engedélyt nem tároljuk; a térkép bezárható. Nincs analitika, marketingkövetés vagy külső betűkészlet.