Adatkezelési tájékoztató

1. Adatkezelő megnevezése

Jelen adatkezelési tájékoztató a CampSet táborszervező alkalmazás (a továbbiakban: "Szolgáltatás") által kezelt személyes adatokra vonatkozik. Az adatkezelő a Szolgáltatást üzemeltető természetes vagy jogi személy (a továbbiakban: "Adatkezelő").

Kapcsolat: az alkalmazáson belüli kapcsolatfelvételi lehetőségeken keresztül, vagy a regisztrációkor megadott email címen.

2. Kezelt személyes adatok köre és célja

2.1 Regisztráció során megadott adatok

• Név – a felhasználó azonosítása, táborok szervezéséhez és a kapcsolattartáshoz
• Email cím – bejelentkezéshez, értesítések küldéséhez, jelszó-visszaállításhoz
• Jelszó (hashelt formában) – a fiók biztonságos eléréséhez
• Telefonszám – kapcsolattartás a táborokkal kapcsolatban (opcionális)
• Megjegyzések – szabad szöveges jegyzet (opcionális)
• Regisztráció időpontja – adminisztrációs célból

Megjegyzés: a fiókadatok közül a név, email cím és telefonszámláthatóvá válhat a tábor csapattagjai számára az adott táboron belül, a tábor szervezésével összefüggésben.

2.2 Résztvevői profil adatai

• Név, email, telefonszám – jelentkezésekhez és kapcsolattartáshoz
• Születési dátum, nem – tábori csoportbesoroláshoz, statisztikákhoz
• Étrendi igények és megjegyzések – étkezés megszervezéséhez
  ⚠️ Különleges adat (GDPR 9. cikk): egészségügyi adatnak minősül. Kitöltése önkéntes.
• Kapcsolattartó adatai – vészhelyzet esetén

2.3 Táborokkal kapcsolatos adatok

• Saját táborok adatai – cím, leírás, időpontok, árak, beállítások – a tábor szervezéséhez
  A tábor alapadatai (cím, leírás, időpontok, árak, helyszín) a jelentkezők számára is láthatóak a jelentkezési folyamat során.
• Résztvevők adatai – a táborba jelentkező személyek által megadott adatok (név, email, telefonszám, étrend, stb.)
• Csapattagok adatai – a tábor szervezőcsapatának tagjai által megadott információk
• Adatbekérő mezők válaszai – a táborhoz tartozó egyedi kérdésekre adott válaszok

2.5 Adatok titkosítása

A fokozott biztonság érdekében az alábbi személyes adatok AES-256-GCMalgoritmussal titkosítva kerülnek tárolásra az adatbázisban:

• Résztvevők étrendi megjegyzései (egészségügyi adat)
• Résztvevők kapcsolattartó adatai
• Résztvevői jegyzetek
• Résztvevői profil étrendi megjegyzései és kapcsolattartó adatai
• Adatbekérő mezőkre adott válaszok (különös tekintettel a kiskorú táborozók által megadott adatokra)

A titkosítás random generált inicializációs vektorral (IV) történik, így ugyanazon adat többszöri titkosítása minden alkalommal eltérő kimenetet ad. A titkosító kulcs (ENCRYPTION_KEY) az alkalmazás környezeti változójában kerül tárolásra, az adatbázistól függetlenül. A titkosítatlan adatok kizárólag a szerver memóriájában, a visszafejtés pillanatában érhetők el.

3. Adatok megismerésére jogosultak

Az alábbi személyek és rendszerek férhetnek hozzá az adatokhoz:

4. Adatok tárolásának időtartama

• Felhasználói fiók adatai: a fiók törléséig (lásd 7. pont)
• Táborok adatai: a fiók törlését követően anonimizálva megmaradhatnak statisztikai célból
• Résztvevők adatai: a tábor szervezőjének fiókja törléséig, vagy a résztvevő egyéni kérésére történő törlésig
• Session cookie: 7 nap, vagy a kijelentkezésig
• Push subscription: amíg a felhasználó értesítéseket kér, vagy a fiók törléséig

5. Adattovábbítás, harmadik fél hozzáférés

A Szolgáltatás az alábbi szolgáltatókat veszi igénybe az adatok tárolásához és feldolgozásához:

• Adatbázis – az adatok tárolása helyi (saját üzemeltetésű) Microsoft SQL Server adatbázisban történik, a Prisma ORM rétegen keresztül. Az adatbázis az Adatkezelő felügyelete alatt áll.
• Email szolgáltató – értesítő email-ek küldéséhez a MailGun szolgáltatást használjuk.

A Szolgáltatás a személyes adatokat kizárólag a fent meghatározott célokra használja, azokat harmadik fél számára nem értékesíti, és nem továbbítja az Európai Gazdasági Térségen (EGT) kívülre.

6. Az adatkezelés jogalapja

• GDPR 6. cikk (1) bekezdés a) pont – hozzájárulás (önkéntes adatmegadás regisztrációkor)
• GDPR 6. cikk (1) bekezdés b) pont – szerződés teljesítése (táborok szervezése, jelentkezések kezelése)
• GDPR 6. cikk (1) bekezdés f) pont – jogos érdek (táborok működtetése, statisztikák)
• GDPR 9. cikk (2) bekezdés a) pont – kifejezett hozzájárulás az étrendi adatok kezeléséhez

7. Felhasználói jogok

Önt az alábbi jogok illetik meg a személyes adatai tekintetében:

• Hozzáférés joga – kérheti, hogy tájékoztatást adjunk a kezelt adatairól
• Helyesbítés joga – bármikor módosíthatja adatait a profiloldalon
• Törlés joga („az elfeledtetéshez való jog”) – a profiloldalon keresztül kérheti fiókja törlését
• Adathordozhatóság joga – a profiloldalon keresztül JSON formátumban letöltheti az összes adatát
• Adatkezelés korlátozásához való jog – kérheti adatai kezelésének korlátozását
• Tiltakozás joga – tiltakozhat adatai kezelése ellen (pl. közvetlen marketing célból)

8. Adatbiztonsági intézkedések

• A jelszavak soha nem kerülnek tárolásra plain-text formában, minden esetben bcrypt hash-el védjük őket
• A session tokenek JWT alapúak, titkos kulccsal aláírva, HTTP-only cookie-ban tárolva
• Az adatbázis kapcsolat titkosított csatornán történik
• A szerver oldali műveletek ellenőrzik a felhasználó jogosultságát (tábor tulajdonos/szervező/admin)
• A fiók törlésekor minden személyes adat anonimizálásra vagy törlésre kerül
• Az alkalmazás HTTPS-en keresztül érhető el
• Adattitkosítás: a kiemelt biztonságot igénylő adatok (étrendi adatok, kapcsolattartók, adatbekérő válaszok) AES-256-GCM algoritmussal titkosítva kerülnek tárolásra. A titkosító kulcs az adatbázison kívül, környezeti változóban van tárolva, így adatbázis kompromittálódása esetén sem olvashatók a titkosított mezők.

9. Adatvédelmi incidens kezelése

Adatvédelmi incidens esetén az Adatkezelő haladéktalanul, de legkésőbb 72 órán belül értesíti az illetékes adatvédelmi hatóságot, valamint tájékoztatja az érintett felhasználókat, ha az incidens valószínűsíthetően magas kockázattal jár természetes személyek jogaira és szabadságaira nézve.

10. Kapcsolat és jogorvoslat

Adatkezeléssel kapcsolatos kérdések, észrevételek esetén az alkalmazáson belüli kapcsolatfelvételi lehetőségeken keresztül léphet kapcsolatba az Adatkezelővel.

Ha úgy érzi, hogy az Adatkezelő megsértette az adatkezelésre vonatkozó jogszabályokat, panaszt nyújthat be a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH):

• Web: www.naih.hu
• Cím: 1055 Budapest, Falk Miksa utca 9-11.
• Email: ugyfelszolgalat@naih.hu

11. Jelen tájékoztató módosítása

Az Adatkezelő fenntartja a jogot jelen adatkezelési tájékoztató módosítására. A módosításokról a felhasználók értesítést kapnak az alkalmazáson belül vagy email-ben. A módosítások elfogadásához a felhasználóknak újra el kell fogadniuk a tájékoztatót, ha a jogszabályok azt megkövetelik.