Adatvédelmi tájékoztató

1. Az adatkezelő

A weboldalon folyó adatkezelésért felelős:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Németország
kontakt@tradedaynight.de

Adatvédelmi tisztviselőt nem neveztünk ki. A § 38 BDSG (német szövetségi adatvédelmi törvény) szerinti törvényi küszöbértékeket nem érjük el.

2. Milyen adatokat kezelünk

A platform üzemeltetése során a következő adatokat kezeljük:

• Fiókadatok: E-mail-cím, felhasználónév, jelszó (csak hash-értékként tárolva), a regisztráció és a bejelentkezés időpontja. A felhasználónevet a regisztrációkor te magad választod (3–20 karakter, legfeljebb 30 naponta módosítható). Nyilvánosan látható – például az asztalodnál, az értékeléseknél és a chatben –, ezért ne tartalmazza se a teljes nevedet, se elérhetőségeket. A születési dátumodat regisztrációkor csak azért kérjük, hogy ellenőrizzük a nagykorúságodat; csak a megerősítés időpontját tároljuk, a dátumot nem.
• Bejelentkezés Google- vagy Apple-fiókkal: Ha Google-fiókoddal jelentkezel be, a Google továbbítja nekünk az e-mail-címedet, a nevedet és a Google-fiókod egy azonosítóját; ezekkel hozzuk létre a fiókodat, illetve jelentkeztetünk be. A Google-nál használt jelszavadat nem ismerjük meg. A szolgáltató a Google Ireland Limited (Írország); az adatok továbbítása a Google LLC (USA) részére lehetséges. Az Apple-fiókkal (Apple Distribution International Ltd., Írország) történő bejelentkezést akkor kínáljuk, amint aktiválva lesz; ott elrejtheted az e-mail-címedet. A jogalap a felhasználási szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont).
• Profiladatok: kereskedői státusz, tagsági státusz, értékelések.
• Tartalmak: ajánlatok, termékképek, chatüzenetek, felhasználók közötti ár- és csereajánlatok. Ha valaki módosítja egy kártya árát, új kártyát tesz fel vagy töröl egyet, elmentjük a kártya címét, az árat – módosításnál a régit és az újat, törölt kártyánál az utolsót –, valamint azt, hogy ki és mikor tette; ezt csak az asztal tulajdonosa láthatja. Ezeket a bejegyzéseket tizenkét hónap után automatikusan töröljük.
• A chatek és megőrzésük: Egy megkeresés chatjében lévő üzeneteket, ajánlatokat és képeket csak a résztvevők látják – a kereskedőnél az arra jogosult munkatársai is. Az „Elrejtés magam elől” funkcióval egy lezárult chatet eltávolítasz a listádból. A fizetett vásárlás nélküli chateket töröljük, amint minden résztvevő elrejtette őket, egyébként a lezárásuk után hét nappal. Fizetett vásárlás esetén a chat tartalmát (üzeneteket és képeket) a rendelés utolsó módosítása után tizenkét hónappal töröljük; a megkeresés, a rendelés, az értékelés és az elfogadott ajánlatot tartalmazó sor bizonylatként megmarad. Amíg egy probléma vagy vita nyitott, vagy a chattel kapcsolatos bejelentésről még nem döntöttünk, nem törlünk. A jogalap a GDPR 6. cikk (1) bekezdés b) pontja (az ügylet lebonyolítása) és f) pontja (bizonyítás visszaterhelések és a vásárlásból eredő igények esetén). Lezártnak számít az a vásárlás nélküli chat is, amelyben 30 napja nem történt semmi; a törlést előre bejelentjük a chatben. A chatben érkező új üzenetekről, ajánlatokról és megkeresésekről e-mailben is értesítünk. Ezekről az e-mailekről bármikor leiratkozhatsz – a „Fiókom” → „Értesítések” alatt, vagy az egyes e-mailekben található linken keresztül; ehhez fiókonként egy véletlenszerű azonosítót tárolunk, amelyet a fiókkal együtt törlünk. Az alkalmazás értesítéseit ez nem érinti, a rendelésekről, fizetésekről, határidőkről és a fiókod biztonságáról szóló e-maileket pedig továbbra is megkapod.
• Fotók és videók: Feltöltéskor a fotókat lekicsinyítjük, és eltávolítjuk a beágyazott adatokat, például a fényképezőgépet, a felvétel idejét és helyét; a videóknál a felvétel helyét távolítjuk el. A kártyáid fotói és videói nyilvánosan láthatók, amíg a kártya kínálatban van.
• Szállítási cím: keresztnév, vezetéknév, utca, házszám, irányítószám, település és ország. Ezeket az adatokat csak akkor mutatjuk meg a másik szerződő félnek, ha egy üzletet kötelező érvénnyel megerősítettek és kifizettek – előtte a másik fél számára nem láthatók. Telefonszámot nem kérünk és nem tárolunk, amíg nem kínálunk szállítási címkéket; a korábban önkéntesen megadott számokat töröltük.
• Rendelési és fizetési adatok: rendelésszám, összeg, szállítási költség, jutalékkulcs, a rendelés állapota, a fizetés, a feladás és az átvétel visszaigazolásának időpontja, valamint a fizetés azonosítója a fizetési szolgáltatónál. A bankkártya-, bankszámla- és okmányadatokat nem mi kezeljük, hanem kizárólag a Stripe fizetési szolgáltató; ezeket soha nem látjuk.
• Fizetési módok vásárláskor: A fizetés a Stripe fizetési oldalán történik. Hogy ott mely fizetési módok jelennek meg, az országodtól, az összegtől és az eszközödtől függ: kártya, Apple Pay, Google Pay, Link (a Stripe-nál tárolt fizetési adatok), banki átutalás, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco és Satispay. Fizetési adataidat közvetlenül a Stripe-nál, illetve az adott szolgáltatónál adod meg; mi csak az összeget, az időpontot, a fizetési módot és a fizetés azonosítóját látjuk. A fizetési módtól függően saját felelősségükre adatot kezelnek továbbá: a kártyatársaságok és a bankod; az Apple vagy a Google az eszközödön történő jóváhagyáshoz (Apple Pay, Google Pay); a Revolut Pay, az Amazon Pay, a MobilePay, az MB WAY és a Satispay esetében az adott szolgáltató; az iDEAL, a Bancontact, az EPS, a Przelewy24, a Multibanco és a banki átutalás esetében a bankod és a rendszer üzemeltetője. Ezek adatvédelmi tájékoztatói érvényesek. A jogalap a GDPR 6. cikk (1) bekezdés b) pontja. Ha a Stripe PayPalt kínál fel, a PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) is saját felelősségére kezeli az adataidat.
• Visszaterhelések: Ha egy vevő a bankján keresztül visszaterhelteti a fizetést, átadjuk a Stripe fizetési szolgáltatónak a rendelés bizonyítékait, amelyeket a Stripe továbbít a vevő bankjának: rendelésszám, a rendelés fajtája és a kártyák megnevezése, az asztal neve azzal az adattal, hogy magánszemélyként vagy vállalkozóként árusítanak-e rajta, az eladó és a vevő TradeDay&Night-felhasználóneve, a fizetés összege és időpontja, futárszolgálat, nyomkövetési szám és feladási dátum, a szállítási cím irányítószáma és országa, hogy visszaigazolták-e az átvételt és mikor, valamint a rendelés előzményei (fizetés, feladás, átvétel, bejelentett problémák, visszatérítések). Ha ez nem elég, egyes esetekben további bizonyítékokkal egészítjük ki a rendelésből, például egy kivonattal a csevegéséből. A jogalap a mi és a kereskedő jogos érdeke, hogy a jogalap nélküli visszaterheléseket elhárítsuk (GDPR 6. cikk (1) bekezdés f) pont).
• A kereskedők kifizetési számláinak egyenlege: Naponta egyszer lekérdezzük a Stripe-nál minden kereskedői kifizetési számla egyenlegét – az összeget, a pénznemet és azt, hogy be van-e állítva a negatív egyenleg csoportos beszedése –, és a kereskedő fiókjánál mindig csak a legutóbbi állapotot tároljuk; ezt csak mi látjuk. Így észrevesszük a negatív egyenleget, például egy visszaterhelés után, és követelhetjük a nyitott összegeket. A kifizetési számla egyeztetésekor tároljuk továbbá a hozzá kapcsolt bankszámla országát és pénznemét, valamint azt, hogy a Stripe csoportos beszedéssel ki tudja-e egyenlíteni a negatív egyenleget; ettől függ a kifizetés előtti várakozási idő (7 vagy 30 nap). A jogalap a GDPR 6. cikk (1) bekezdés b) és f) pontja.
• A kereskedők alsó korhatára: A kereskedők kifizetési számlájának minden egyeztetésekor ellenőrizzük, hogy a Stripe kiskorúként tartja-e nyilván a számla tulajdonosát – a születési dátum alapján, ha a Stripe továbbítja nekünk, valamint az alapján, hogy a Stripe kér-e vagy rögzített-e törvényes képviselőt. Csak az eredményt tároljuk, a születési dátumot nem. Ha a számla tulajdonosa 18 év alatti, az asztalnyitás és az eladás tiltva marad, mert a TradeDay&Night csak 18 éves kortól használható. A jogalap a GDPR 6. cikk (1) bekezdés b) és f) pontja.
• Nyitott követelések és követeléskezelés: Ha egy felhasználó egy visszaterhelés után valamilyen összeggel tartozik nekünk, a követelést a fiókkal, a rendeléssel, az összeggel, a díjjal, az okkal és az állapottal együtt tároljuk. Ha rendezetlen marad, átadhatjuk egy követeléskezelő cégnek az ehhez szükséges adatokkal – név, cím, e-mail-cím, rendelés és összeg; ez csak nyitott követelés esetén történik. A jogalap a követeléseink érvényesítéséhez fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont). A követelés adatait ugyanúgy őrizzük meg, mint a többi rendelési és fizetési adatot (6. pont).
• Adatok feljelentéshez részcserénél: Ha egy kereskedő részcserénél nem küldi vissza határidőre a vevő kártyáit, a vevő rendelkezésére bocsátjuk a feljelentéshez szükséges adatokat. A rendelés adatai mellett ezek tartalmazzák a kereskedő nevét és címét – azt a szállítási címet, amelyet a részcserénél már megosztottunk a vevővel –, üzletszerűen eladó kereskedőknél pedig az eladói adatokat. A jogalap a vevő jogos érdeke, hogy visszakövetelje a kártyáit és feljelentést tegyen (GDPR 6. cikk (1) bekezdés f) pont). A nyomozó hatóságoknak ezeket az adatokat megkeresésre adjuk át (GDPR 6. cikk (1) bekezdés c) vagy f) pont).
• Hozzávetőleges tartózkodási hely: Egy oldal megnyitásakor a tárhelyszolgáltatónk, a Vercel az IP-címedből meghatározza az országodat és egy hozzávetőleges helyet (nagyjából városi szinten), és mindkettőt továbbadja a kiszolgálóinknak. Ezeket az adatokat kizárólag arra használjuk, hogy a vásárokat és a kereskedői asztalokat a közelség sorrendjében mutassuk, és hogy megmondjuk, szállít-e egy asztal az országodba. Ha be vagy jelentkezve, és megadtál szállítási címet, helyette ennek a címnek az országát vesszük alapul. Az adatokat nem tároljuk, nem kapcsoljuk össze a fiókoddal, és nem adjuk tovább harmadik félnek; ettől semmi nem jelenik meg és semmi nem tűnik el, csak a sorrend változik. A jogalap az áttekinthető, hozzád illő megjelenítéshez fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont). Emellett ennek az országnak az alapján választunk nyelvet, ha nyelvmegjelölés nélküli címet nyitsz meg, és sem a korábban választott nyelv, sem a böngésződ nyelvi beállítása nem egyezik egyik nyelvünkkel sem.
• A kereskedők adóügyi adatai: A kereskedők megadják a nevüket, címüket, születési dátumukat, illetve cégjegyzékszámukat, adóazonosító jelüket, adott esetben közösségi adószámukat, valamint önkéntesen a bankszámlaadataikat. A platformüzemeltetőknek a német platformadó-átláthatósági törvény (PStTG, DAC7 uniós irányelv) szerint évente egyszer jelenteniük kell a német Szövetségi Központi Adóhivatalnak (BZSt) az eladókat, eladásaik számát, bevételeiket és a visszatartott díjakat; a BZSt az adatokat más uniós tagállamok adóhatóságainak továbbíthatja. Csak az kerül jelentésre, aki eléri a törvényes küszöböket (évi 30 eladás vagy több mint 2.000 €). Ha az adatok hiányoznak, amikor egy eladó jelentésköteles lesz, bekérjük őket, és kétszer emlékeztetünk (20 és 40 nap után); ha 60 nap után sincsenek meg, az új eladások szünetelnek, amíg meg nem érkeznek (§ 22 PStTG). A megadott közösségi adószámot – a kereskedőkét, valamint cég nevében történő vásárlásnál a vevőkét is – az Európai Bizottság héa-információcsere-rendszerében (VIES) ellenőrizzük; oda csak a szám kerül, a válasz pedig közli, hogy érvényes-e, és adott esetben a hozzá nyilvántartott nevet. A jogalap a GDPR 6. cikk (1) bekezdés c) pontja. Az adatokat tíz évig őrizzük meg, ahogy a törvény előírja. Az adóügyi adatok nélküli kereskedők a kifizetési számlájuknál önkéntesen megadhatnak egy számlázási címet (név vagy cégnév és cím), hogy jutalékbizonylataik bizonylatszámot kapjanak (GDPR 6. cikk (1) bekezdés b) pont); bármikor törölhető, és a fiókkal együtt törlődik, a már kiállított bizonylatokat pedig a számlákhoz hasonlóan megőrizzük.
• Magánszemély eladók – számlálás, ellenőrzési szünet és kérdőív: A magánszemélyként vezetett asztaloknál naptári évenként számoljuk a kifizetett eladásokat és azok összegét. 20 eladástól vagy 1.500 €-tól jelezzük ezt; 30 eladástól vagy 2.000 €-tól az új eladások szünetelnek, amíg az eladó hiánytalanul meg nem adja az adóügyi adatait, és ki nem tölt egy kérdőívet (például: Célzottan vásárolsz továbbértékesítésre? Új árut árusítasz?). Ehhez az asztalán lévő kártyákat is kiértékeljük – milyen gyakran fordul elő ugyanaz a kártya, és mennyi lezárt termék van köztük. Ha a válaszok nem aggályosak, a szünet automatikusan véget ér; ellenkező esetben egy ember vizsgálja meg az ügyet. A szünet automatikusan jön létre, és ideiglenes; letiltást mindig ember rendel el. A kapcsolatfelvételi űrlapon keresztül bármikor kérheted, hogy egy ember vizsgálja meg az ügyet. A számlálást, a válaszokat és a döntést az érintett naptári évet követő harmadik év végéig őrizzük meg. Ehhez nem kapcsolódik semmilyen értesítés az adóhatóság felé. A jogalap a mi és a vevők jogos érdeke abban, hogy senki ne lépjen fel magánszemélyként, aki üzletszerűen jár el (GDPR 6. cikk (1) bekezdés f) pont).
• Nyilvántartás a német áfatörvény § 22f szerint: A TradeDay&Night-on lebonyolított minden eladásról rögzítjük, amit a német általános forgalmi adóról szóló törvény (UStG) § 22f előír: az eladó nevét és címét (magáneladóknál a születési dátumot is, vállalkozásoknál az e-mail-címet és a közösségi adószámot), az adószámot és a bankszámla adatait, ha ismertek, a feladás országát, a szállítás országát, irányítószámát és települését, az időpontot és az összeget, az eladott kártyákat és a rendelésszámot. Ha egy eladó módosítja eladói vagy adóügyi adatait, vagy törli a fiókját, a korábbi változatot megőrizzük, amíg korábbi eladásokhoz szükség van rá. A nyilvántartást tíz évig őrizzük meg, és kérésre elektronikusan átadjuk az adóhatóságnak (§ 22f (4) UStG; GDPR 6. cikk (1) bekezdés c) pont). Akit a platformok adóügyi átláthatóságáról szóló német törvény alapján jelentünk, a következő év január 31-ig e-mailben és az eladói felületen megtudja, mit jelentettünk. Az eladók táblázatként letölthetik eladásaikat; ez tartalmazza a vevő felhasználónevét, valamint a szállítás országát, irányítószámát és települését, amelyeket a szállításhoz amúgy is megkapnak.
• Vállalkozó eladók eladói adatai: A vállalkozó eladóknak meg kell adniuk a vevők számára a nevüket, illetve cégnevüket, címüket és elérhetőségeiket (§ 312l BGB, Art. 246d EGBGB). Ezek az adatok az asztal egy külön oldalán szerepelnek. Az e-mail-cím csak egy kattintás után jelenik meg; ehhez látogatónként számoljuk a lekéréseket – bejelentkezett felhasználóknál a felhasználói azonosító, egyébként az IP-címből képzett, vissza nem fejthető kulcs alapján –, és ezt a számlálást két nap után töröljük, hogy senki ne gyűjthesse be automatikusan a címeket. A telefonszámot csak akkor jelenítjük meg, ha az eladó kifejezetten engedélyezte. Minden rendelésnél rögzítjük az adatokat úgy, ahogyan a vásárláskor érvényesek voltak. A jogalap a GDPR 6. cikk (1) bekezdés c) pontja, a mennyiségi korlát tekintetében az f) pont.
• Várólista további országokhoz: Ha feliratkozol a várólistára egy olyan országhoz, ahol kereskedői számlák még nem lehetségesek, a fiókodhoz tároljuk az országot, az oldal nyelvét és az időpontot. Amint ott lehetségessé válnak a kereskedői számlák, e-mailt küldünk a fiókod címére; az e-mail után 30 nappal töröljük a bejegyzést. A várólistáról bármikor leiratkozhatsz ugyanott, és a fiókoddal együtt a bejegyzés is törlődik. A jogalap a hozzájárulásod (GDPR 6. cikk (1) bekezdés a) pont), amelyet a leiratkozással vonsz vissza.
• Indulási lista: Ha a megnyitás előtt feliratkozol az indulási listára, tároljuk az e-mail-címedet, az oldal nyelvét, a hozzájáruló szöveg változatát, valamint a feliratkozás és a megerősítés időpontját – a hozzájárulásod alapján (GDPR 6. cikk (1) bekezdés a) pont). Először kapsz egy e-mailt a megerősítéshez; megerősítés nélkül 7 nap után töröljük a bejegyzést. Az induláskor pontosan egy e-mailt küldünk, utána töröljük a címet. Bármikor leiratkozhatsz a megerősítő e-mailben lévő linken keresztül; ezzel visszavonod a hozzájárulásodat. A visszaélések megelőzése érdekében címenként és IP-címenként számoljuk a feliratkozásokat, ahogy a visszaélés elleni korlátoknál leírtuk. Az e-maileket a Resend szolgáltatáson keresztül küldjük.
• Címjavaslatok és címellenőrzés: A szállítási cím megadásakor megfelelő címeket javaslunk, és mentéskor ellenőrizzük, hogy a cím létezik-e. Ehhez a szerverünk a beírt címszöveget – a neved és az IP-címed nélkül – elküldi a Photonnak, a komoot GmbH (Németország) címszolgáltatásának, amely az OpenStreetMap nyílt térképadataira épül. Ezeket a lekérdezéseket nem tároljuk. A jogalap a szerződés teljesítése, amelyhez kézbesíthető cím tartozik (GDPR 6. cikk (1) bekezdés b) pont), valamint jogos érdekünk a hibátlan küldemények iránt (GDPR 6. cikk (1) bekezdés f) pont).
• Védelem az automatikus kérések ellen: A bejelentkezési, regisztrációs, jelszó-visszaállítási, kapcsolatfelvételi, utalványbeváltási, kívánságbeküldési és szerződésfelmondási űrlapoknál tárhelyszolgáltatónk, a Vercel (BotID) ellenőrzi, hogy ember küldi-e el őket. Ehhez a böngésződ technikai jellemzői és az IP-címed kerülnek kiértékelésre; reklám- vagy elemzési célú sütik közben nem keletkeznek. A jogalap a platform és felhasználói visszaélésekkel – például tömeges bejelentkezési kísérletekkel és spammel – szembeni védelméhez fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont). A bejelentkezési, regisztrációs, jelszó-visszaállítási, kapcsolatfelvételi és tartalombejelentési űrlapoknál ezenfelül a Cloudflare Turnstile-t is használjuk (lásd a 4. pontot). Bejelölendő négyzet csak akkor jelenik meg, ha automatizált kérést gyanítunk – például sok sikertelen próbálkozás után.
• Mennyiségi korlátok a visszaélések ellen: Hogy a fiókokat és a postafiókokat megvédjük a tömeges próbálkozásoktól, számoljuk a sikertelen bejelentkezéseket, valamint a regisztrációkat, a jelszó-visszaállítási kéréseket, a kapcsolatfelvételi üzeneteket, a fiók nélküli bejelentéseket és az utalványbeváltásokat – mindig e-mail-címenként, illetve fiókonként és IP-címenként. Ehhez sem magát a címet, sem az IP-címet nem tároljuk, csak egy a kulcsunkkal képzett ellenőrző értéket (HMAC), amely e kulcs nélkül nem fejthető vissza; ezt legkésőbb egy nap után töröljük, egy cím sikertelen próbálkozásait pedig már a következő sikeres bejelentkezéskor. Ha elérünk egy korlátot, rövid megerősítést vagy egy kis türelmet kérünk. A jogalap a platform és felhasználói visszaélésekkel szembeni védelméhez fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont).
• Automatikus chatszűrő és figyelmeztetések: A chat küldés előtt automatikusan ellenőrzi, hogy az üzenetek tartalmaznak-e telefonszámot, e-mail-címet, postai címet, más szolgáltatásokban használt elérhetőséget vagy idegen linket – így védjük a vevőket és az eladókat a platformon kívüli csalásoktól. Az egyértelmű eseteket nem kézbesítjük, és figyelmeztetést vonnak maguk után; a nem egyértelmű eseteket csak nem kézbesítjük. 30 napon belül három figyelmeztetés után a chat 30 napra letiltásra kerül; a böngészés, a vásárlás és a folyamatban lévő rendelések továbbra is lehetségesek. Tároljuk a figyelmeztetést, az időpontot és az okot. Ez a letiltás automatikusan jön létre: a kapcsolatfelvételi űrlapon keresztül bármikor kérheted, hogy egy ember vizsgálja felül, kifejtheted az álláspontodat, és megtámadhatod; ha nem volt indokolt, feloldjuk. A jogalap a platform biztonságos, visszaélésektől mentes működéséhez fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont).
• Tartalmak bejelentése: Aki a „Jelentés” funkcióval tartalmat jelent, megadja nekünk az okot, egy leírást, önkéntesen egy e-mail-címet és – bejelentkezve – legfeljebb öt képet bizonyítékként; a bejelentkezett felhasználó jelentése a fiókjához kapcsolódik; chatből érkező jelentésnél betekintünk az érintett chatelőzménybe. Döntünk a jelentésről, és a döntést indoklással közöljük a bejelentővel és az érintett személlyel (a Digital Services Act 16. és 17. cikke). A jelentést a döntés igazolásaként megőrizzük; a képeket a döntés után hat hónappal töröljük, amikor a panasz benyújtásának határideje lejárt. A jogalap a GDPR 6. cikk (1) bekezdés c) pontja a Digital Services Acttel összefüggésben, valamint a biztonságos platformhoz fűződő jogos érdekünk (f) pont).
• Letiltás: Ha letiltasz egy fiókot, tároljuk, hogy ki kit tiltott le, hogy ne keletkezzenek köztetek új megkeresések és üzenetek. A folyamatban lévő rendeléseket ettől függetlenül lebonyolítjuk. A letiltás addig érvényes, amíg fel nem oldod, vagy amíg az egyik fiókot nem törlik. A jogalap a GDPR 6. cikk (1) bekezdés b) és f) pontja.
• Kapcsolatfelvételi űrlap és e-mail: Ha a kapcsolatfelvételi űrlapon írsz nekünk, a nevedet, az e-mail-címedet és az üzenetedet kezeljük, hogy válaszolhassunk. Az üzenet a levelezőszolgáltatásunkon (Resend) keresztül e-mailként érkezik a Google-nál (Gmail) lévő postafiókunkba. A levelezést addig őrizzük meg, amíg az ügyedhez szükséges, azon túl csak akkor, ha törvényi megőrzési kötelezettség áll fenn (például üzleti levelek esetén a § 257 HGB szerint). A jogalap a GDPR 6. cikk (1) bekezdés b), illetve f) pontja.
• Felmondás a „Szerződések felmondása itt” funkcióval: A felmondógombbal (§ 312k BGB) történő felmondáshoz kezeljük a nevet, az e-mail-címet, a felmondott szerződést, a felmondás fajtáját, adott esetben annak okát és időpontját, és a felmondást e-mailben visszaigazoljuk. A felmondást bizonyítékként őrizzük meg, amíg a szerződésből eredő igények el nem évülnek (a felmondás évének végétől számított három év). A jogalap a GDPR 6. cikk (1) bekezdés c) pontja a § 312k BGB-vel összefüggésben.
• Alkalmazás és értesítések: Androidos és iOS-es alkalmazásunkban ugyanazok a szabályok érvényesek, mint a weboldalon. Ha engedélyezed az értesítéseket, eszközönként tárolunk egy értesítési azonosítót (push token), az operációs rendszert és az alkalmazás nyelvét, hogy értesíthessünk például új üzenetekről vagy beérkezett fizetésekről. Az értesítések a Google Firebase Cloud Messaging szolgáltatásán keresztül futnak (Google Ireland Limited; az USA-ban történő adatkezelés lehetséges). Az azonosítót töröljük, ha kijelentkezel, ha a Google érvénytelennek jelzi, vagy ha törlöd a fiókodat. A jogalap a hozzájárulásod (GDPR 6. cikk (1) bekezdés a) pont, § 25 Abs. 1 TDDDG), amelyet az eszközöd beállításaiban bármikor visszavonhatsz. Tagságot az alkalmazásban nem értékesítünk. Ha az alkalmazásban hiba történik vagy összeomlik, ezt jelenti a hibanaplónknak – csak az alkalmazás verziójával, az operációs rendszerrel, az érintett képernyővel és a hibaüzenettel, a fiókod és tartalmak nélkül. Ehhez az alkalmazás megjegyzi az eszközödön, hogy legutóbb szabályosan zárult-e be. A jogalap a hibamentes alkalmazáshoz fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont, § 25 Abs. 2 Nr. 2 TDDDG).
• Ajánló linkek az Amazonra: Néhány vásári kiegészítőkre vonatkozó ajánlás a partnerazonosítónkkal az Amazonra mutat. Mielőtt egy ilyen linkre kattintasz, az Amazon semmilyen adatot nem kap tőlünk. A kattintás után az Amazon adatvédelmi tájékoztatója és sütijei érvényesek; ha ott vásárolsz, jutalékot kapunk anélkül, hogy megtudnánk, ki vásárolt. A jogalap a platform finanszírozásához fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont).
• Biztonsági mentések és naplók: Adatbázisunkról naponta biztonsági mentést készítünk az adatbázis-szolgáltatónk, a Supabase nem nyilvános tárhelyére az EU-ban; minden mentést 14 nap után törlünk. Tárhelyszolgáltatónk, a Vercel az oldalak megnyitásakor technikai adatokat (IP-cím, időpont, lekért cím, böngészőazonosító) naplóz a biztonságos működés és a hibakeresés érdekében, és rövid idő után törli azokat. A szervereinken előforduló hibákat saját hibanaplóban rögzítjük – IP-cím és űrlaptartalom nélkül, csak a hiba címét, fajtáját és üzenetét –, hogy kijavíthassuk őket; a kijavított hibát 90 nappal később töröljük a naplóból. A jogalap a biztonságos, elérhető működéshez fűződő jogos érdekünk (GDPR 6. cikk (1) bekezdés f) pont). [Megadni a Vercel szervernaplóinak törlési határidejét (csomagtól függően)]

Betekintés vitás ügyben: Ha az egyik fél a fizetés felszabadítása előtt vitás ügyet jelent be, betekintünk az érintett csevegésbe és a rendelési adatokba, hogy a visszatérítésről vagy a felszabadításról dönteni tudjunk. Bejelentett vitás ügy nélkül nem olvassuk a csevegéseket. A jogalap a GDPR 6. cikk (1) bekezdés b) és f) pontja.

Gyűjtőlista: Ha gyűjtőlistát hozol létre, a fiókodban tároljuk a nevét és a rajta lévő kártyákat a sorozattal, a számmal, a nyelvvel, az állapottal, a mennyiséggel, a maximális áraddal, a jegyzeteddel és azzal együtt, hogy kipipáltad-e őket, hogy a weboldal és az alkalmazás ugyanazt a listát mutassa (GDPR 6. cikk (1) bekezdés b) pont). Az alkalmazás másolatot tart az eszközödön, hogy a lista hálózat nélkül is működjön; kijelentkezéskor ott törlődik. Ha olvasási hivatkozást hozol létre, bárki, akinél megvan a hivatkozás, látja a lista nevét és a kártyákat – a maximális ár, a jegyzet és a fiók nélkül. A hivatkozást bármikor visszavonhatod. A listákat magad törlöd; a fiókod törlésével minden gyűjtőlista törlődik.

3. Jogalapok

Az adatkezelés a felhasználási szerződés teljesítése érdekében (GDPR 6. cikk (1) bekezdés b) pont), jogi kötelezettségek teljesítése érdekében (GDPR 6. cikk (1) bekezdés c) pont), valamint a platform biztonságos üzemeltetéséhez fűződő jogos érdekünk alapján (GDPR 6. cikk (1) bekezdés f) pont) történik.

4. Igénybe vett szolgáltatók

A következő szolgáltatókat vesszük igénybe. Az adatfeldolgozókkal minden esetben van a GDPR 28. cikke szerinti szerződés.

• Vercel (Vercel Inc., USA) – a weboldal tárhelye. A projekt kiszolgálói funkciói a dublini (Írország) régióban (dub1) futnak. Adatfeldolgozó. [Adatfeldolgozási szerződést visszaigazolni – a Vercel vezérlőpultján a Settings, Legal alatt]
• Supabase (Supabase Inc., USA) – adatbázis, felhasználói fiókok, fájltárolás és a csevegés valós idejű frissítése. Az adatok az eu-west-1 régióban (Írország) vannak. Adatfeldolgozó. [Adatfeldolgozási szerződést visszaigazolni – a Supabase szervezeti beállításaiban]
• Resend (Resend, Inc., USA) – értesítő e-mailek küldése. Az e-mail-cím és az adott üzenet tartalma kerül továbbításra. Adatfeldolgozó; az adatkezelés az USA-ban történik. [Adatfeldolgozási szerződést visszaigazolni, és megadni az USA-ba történő továbbítás alapját – megfelelőségi határozat (Data Privacy Framework) vagy általános adatvédelmi kikötések]
• Cloudflare (Cloudflare, Inc., USA) – Turnstile, az automatikus kérések elleni ellenőrzés a bejelentkezési és kapcsolatfelvételi űrlapokon. Az IP-cím és a böngésző technikai jellemzői kerülnek feldolgozásra. Adatfeldolgozó; az USA-ban történő adatkezelés lehetséges. [Adatfeldolgozási szerződést visszaigazolni (Cloudflare Data Processing Addendum), és megadni az USA-ba történő továbbítás alapját – megfelelőségi határozat (Data Privacy Framework) vagy általános adatvédelmi kikötések]
• Stripe (Stripe Payments Europe, Limited, Írország, valamint Stripe, Inc., USA) – a fizetős tagság, a felhasználók közötti fizetések és a kereskedőknek szóló kifizetések lebonyolítása. A Stripe a fizetési adatokat nagyrészt önálló adatkezelőként kezeli, nem a mi megbízásunkból, különösen a saját felügyeleti jogi kötelezettségeinek teljesítése érdekében (pénzmosás megelőzése, a kereskedők személyazonosságának ellenőrzése). Erre az adatkezelésre a Stripe adatvédelmi tájékoztatója vonatkozik. Hogy a Stripe milyen fizetési módokat kínál, és milyen szolgáltatások állnak mögöttük, azt a 2. pontban, a „Fizetési módok vásárláskor” alatt találod.
• Google (Google Ireland Limited, Írország, és Google LLC, USA) – bejelentkezés Google-fiókkal, ha kéred, értesítések az alkalmazásban (Firebase Cloud Messaging) és e-mail-postafiókunk (Gmail), ahová a kapcsolatfelvételi űrlap üzenetei érkeznek. A Firebase Cloud Messaging és a postafiók tekintetében a Google adatfeldolgozó; az USA-ban történő adatkezelés lehetséges. [Megerősíteni az adatfeldolgozási szerződést (Firebase: Data Processing and Security Terms), és megadni az USA-ba történő továbbítás jogalapját; a postafiókhoz adatfeldolgozási szerződéssel rendelkező fiókot (Google Workspace) vagy saját domain alatti postafiókot választani]
• YouTube (Google Ireland Limited, Írország, és Google LLC, USA) – a kereskedők élő közvetítései az asztaluk oldalán. A lejátszó csak akkor töltődik be, ha a „Közvetítés betöltése” gombra koppintasz; addig nincs kapcsolat a YouTube-bal. Ezt követően a Google többek között megkapja az IP-címedet, a böngésződre és eszközödre vonatkozó adatokat és a megtekintett oldalt, és sütiket helyezhet el; az USA-ban történő adatkezelés lehetséges (Data Privacy Framework). A bővített adatvédelmi módot használjuk (youtube-nocookie.com). A jogalap a kattintással adott hozzájárulásod (a GDPR 6. cikk (1) bekezdés a) pontja, a TDDDG 25. § (1) bekezdése). A YouTube-on történő adatkezelésre a Google adatvédelmi irányelvei vonatkoznak.

5. Sütik és helyi tárolás

Csak technikailag szükséges sütiket és helyi tárolást használunk: a bejelentkezési sütiket, amelyek nélkül a fiók nem használható; egy sütit a legutóbb választott nyelvvel (egy év); az alkalmazásban egy sütit, amely az alkalmazásnézetet jelöli (30 perc); egy sütit a nyelvjavaslatra adott válasszal (egy év); kóddal történő bejelentkezéskor és jelszó-visszaállításkor egy sütit a megadott e-mail-címmel, hogy a kód hozzárendelhető legyen (egy óra); 18 év alatti születési dátum megadása után egy sütit, amely letiltja a regisztrációt (24 óra); az indulásig egy sütit, amely hozzáférést ad az előnézethez (legfeljebb 180 nap); valamint egy kereskedő csapatához való csatlakozáskor egy sütit a meghívóval (egy óra). Magában a böngészőben (localStorage vagy sessionStorage) tárolódnak a legutóbb használt keresőkifejezések, a világos és sötét megjelenés közötti választás, az érdeklődési kosár tartalma, egy bezárt értékelési emlékeztető és egy termék vázlata a létrehozás ideje alatt – ezek a bejegyzések a készüléken maradnak.

Elemző vagy marketingeszközöket nem használunk. Hozzájárulást kérő sáv ezért nem szükséges.

Megjegyzés az üzemeltetőnek, nem a felhasználóknak: [Amint elemző vagy marketingeszköz kerül be, ezen a helyen kötelező lesz a hozzájárulást kérő sáv, a fenti bekezdést pedig ki kell cserélni]

6. Tárolási idő

A fiókadatokat addig tároljuk, amíg a fiók fennáll. A fent megadott címre küldött kérésre törlünk egy fiókot; ez alól kivételt képeznek azok az adatok, amelyeket meg kell vagy meg szabad őriznünk.

A fiókodat bármikor magad is törölheted: a „Fiókom” → „Fiók törlése” menüpontban. Feltétel, hogy már ne legyen folyamatban rendelés. Azonnal törlődnek a bejelentkezési adataid, a profilod, a szállítási címed, a keresési hirdetéseid, a kedvencek (kártyák és kereskedők), a gyűjtőlistáid, az értesítések, a szavazataid és a figyelmeztetéseid; a futó tagság megszűnik. Az asztalod és a kártyáid lekerülnek a katalógusból. Amit meg kell őriznünk – a rendelési, fizetési és számlázási adatokat, valamint a kereskedők adóadatait –, az a törvényes határidőig zárolva tárolva marad; maga a profil ekkor anonimizált. A chatelőzmények és az értékelések a másik fél számára olvashatók maradnak, a neved helyett „Törölt fiók” áll ott. A megőrzés jogalapja a GDPR 6. cikk (1) bekezdés c) pontja a § 147 AO-val és a § 257 HGB-vel összefüggésben, a chatek további megjelenítéséé a mi és a másik fél nyomon követhető ügylethez fűződő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont).

Azt, hogy meddig őrizzük a chateket, a 2. pontban, „A chatek és megőrzésük” alatt találod. Az összes határidőt áttekinthetően a pont végén található táblázat mutatja.

A rendelési, fizetési és számlázási adatokat a kereskedelmi és adójogi előírások szerint őrizzük meg: tíz évig a § 147 Abgabenordnung (német adózás rendjéről szóló törvény) és a § 257 Handelsgesetzbuch (német kereskedelmi törvénykönyv) alapján, annak a naptári évnek a végétől számítva, amelyben a rendelés lezárult. Ez idő alatt az adatok a további kezelés elől zárolva vannak.

A figyelmeztetéseket és a zárolási időszakokat töröljük, ha a visszaélések elhárításához már nincs rájuk szükség.

Törlési határidők áttekintése

Ez a táblázat összefoglalja, mely adatokat meddig őrizzük meg. A zárolt azt jelenti: az adatokat már csak a megadott célra őrizzük, egyébként nem kezeljük tovább.

7. A jogaid

Jogod van a hozzáféréshez, a helyesbítéshez, a törléshez, az adatkezelés korlátozásához, az adathordozhatósághoz és a tiltakozáshoz. Ezen felül panaszt tehetsz valamelyik adatvédelmi felügyeleti hatóságnál. Az illetékes hatóság: Hessischer Beauftragter für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Automatizált döntések: Néhány lépés automatikusan történik: a chat letiltása három figyelmeztetés után, a magánszemély eladók ellenőrzési szünete a küszöb elérésétől, valamint egy fiók zárolása, ha egy vevő azután terhelteti vissza a fizetést, hogy maga igazolta vissza az átvételt, ha egy kereskedő részcserénél nem küldi vissza határidőre a vevő kártyáit, vagy ha egy kereskedő 90 napon belül két visszaterhelést saját hibájából elveszít. Mindezek a lépések ideiglenesek. Bármikor kérheted, hogy egy ember vizsgálja meg az ügyet, kifejtheted az álláspontodat, és megtámadhatod a döntést (GDPR 22. cikk (3) bekezdés) – a legegyszerűbben a kapcsolatfelvételi űrlapon keresztül. A fiókod vagy az eladásaid végleges letiltásáról mindig ember dönt.