Süti tájékoztató

Ez a tájékoztató azt írja le, hogy milyen sütiket és a böngészőjében tárolt egyéb adatokat használunk a nyilvános weboldalon (www.ravsolutions.eu), az alkalmazásban (app.ravsolutions.eu) és az ügyfélportálon (portal.ravsolutions.eu). Mindegyiket név szerint felsoroljuk, a céljával, az élettartamával és azzal együtt, hogy ki helyezi el.

A tájékoztató a sütikre és a hasonló technológiákra szorítkozik. Az adatkezelés jogalapjainak, a megőrzési időknek, az adatfeldolgozóknak és az érintetti jogoknak a teljes, cikkenkénti kifejtését a GDPR adatkezelési tájékoztató tartalmazza, a mindennapi helyzetek szerinti összefoglalót pedig az Adatkezelési tájékoztató. Ha e tájékoztató és a GDPR adatkezelési tájékoztató között eltérés mutatkozna, a GDPR adatkezelési tájékoztató az irányadó.

Az adatkezelő a Varga Richárd E.V. (székhely: 2030 ÉRD, VISEGRÁDI UTCA 4030/A/1; cégjegyzékszám: 62764999). A sütikkel kapcsolatos kérdéseit és kérelmeit a privacy@ravsolutions.eu címre várjuk.

A süti kisméretű szöveges bejegyzés, amelyet a meglátogatott oldal a böngészőjében helyez el, és amelyet a böngésző minden további lekéréskor automatikusan visszaküld ugyanannak a tartománynak. Ebből tudja a kiszolgáló, hogy két lekérés ugyanattól a böngészőtől érkezett — enélkül például a bejelentkezett állapot nem tartana ki két oldalbetöltés között.

Ugyanezt a hatást a böngésző más tárolói is elérik. A localStorage az adatot a böngésző bezárása után is megőrzi, a sessionStorage pedig a lap bezárásakor törli. Ezeket a böngésző nem küldi el automatikusan a kiszolgálónak, jogi megítélésük azonban azonos a sütikével, ezért az 5. pontban ugyanúgy tételesen felsoroljuk őket.

A weboldalainkon nyomkövető képpontot, eszközujjlenyomat-technológiát (device fingerprinting) és weboldalakon átívelő hirdetési azonosítót nem használunk. A kiszolgálói naplózás — amely nem süti, hanem minden internetes lekérés természetes velejárója — nem tartozik e tájékoztató hatálya alá; erről a GDPR adatkezelési tájékoztató 3. pontja szól.

A feltétlenül szükséges sütikhez nem kérünk hozzájárulást, mert az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése és a 2002/58/EK irányelv 5. cikk (3) bekezdése ez alól kivételt tesz: e sütik nélkül az Ön által kifejezetten kért szolgáltatás nem nyújtható. A hozzájuk kapcsolódó személyes adatot a szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont), a biztonság fenntartása körében pedig jogos érdekünk (f) pont) alapján kezeljük.

Minden más süti és böngészőben tárolt adat kizárólag az Ön előzetes, kategóriánként megadott, tevőleges hozzájárulásával kerülhet a készülékére (GDPR 6. cikk (1) bekezdés a) pont, 4. cikk 11. pont és 7. cikk). Előre bejelölt kapcsolót nem használunk, és a további böngészés önmagában nem minősül hozzájárulásnak.

Az elutasítás ugyanazon a felületen, ugyanannyi kattintással érhető el, mint az elfogadás, a hozzájárulás visszavonása pedig ugyanolyan egyszerű, mint a megadása (GDPR 7. cikk (3) bekezdés). A választható kategóriák elutasítása a weboldal és a szolgáltatás használatát semmilyen módon nem korlátozza.

Két ilyen sütit használunk. Mindkettőt a saját kiszolgálónk (api.ravsolutions.eu) helyezi el, mindkettő HttpOnly jelöléssel készül — így a weboldalon futó szkriptek nem olvashatják —, és éles üzemben mindkettőt kizárólag titkosított (HTTPS) kapcsolaton küldi vissza a böngésző.

„refreshToken”: bejelentkezéskor jön létre, és a munkamenet meghosszabbítására szolgáló egyszer felhasználható tokent tartalmaz. Ez teszi lehetővé, hogy ne kelljen negyedóránként újra jelszót megadnia. Élettartama 30 nap, SameSite=Strict beállítással — vagyis más weboldalról indított lekérésnél a böngésző nem küldi el —, kijelentkezéskor pedig töröljük. Jogalap: szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont).

„rav_consent_id”: kizárólag az alkalmazásban (app.ravsolutions.eu) jön létre, akkor, amikor Ön a süti sávon először dönt. Egyetlen véletlenszerűen generált azonosítót tartalmaz, amely a böngészőjét a szervereinken tárolt hozzájárulási bejegyzéshez kapcsolja; magát a döntést nem hordozza, és sem a nevét, sem az e-mail-címét nem tartalmazza. Élettartama 13 hónap (395 nap), SameSite=Lax beállítással. Jogalap: az a jogi kötelezettségünk, hogy a hozzájárulást igazolni tudjuk (GDPR 7. cikk (1) bekezdés és 6. cikk (1) bekezdés c) pont).

Ezen a kettőn kívül a ravsolutions.eu tartományban kizárólag a 6. és a 7. pontban leírt Google Analytics sütik íródnak a készülékére, azok is csak akkor, ha az analitikai kategóriához hozzájárul. Harmadik fél sütit egyik oldalunk sem helyez el a saját tartományában: az Analytics sütik saját (first-party) sütik, amelyeket a saját oldalunkon futó szkript ír, nem a Google valamelyik kiszolgálója.

Az alábbi bejegyzéseket nem sütiként, hanem a böngésző saját tárolójában helyezzük el. Egyiket sem küldi el automatikusan a böngésző a kiszolgálónak, és egyik sem alkalmas arra, hogy Önt más weboldalakon kövessük velük.

„rav_lang” (localStorage; a weboldalon, az alkalmazásban és az ügyfélportálon egyaránt): a kiválasztott felületi nyelvet tárolja, hogy a következő látogatáskor is azon a nyelven lássa az oldalt. A böngésző tárolójának törléséig marad meg. Ez a szolgáltatás nyújtásához szükséges, ezért a feltétlenül szükséges körbe tartozik.

Csak az alkalmazásban: „rav_auth” (sessionStorage) a bejelentkezett munkamenet rövid élettartamú hozzáférési tokenjét és a fiók alapadatait tartja, és a lap bezárásakor a böngésző törli; „files.viewMode” (localStorage) azt jegyzi meg, hogy a fájlokat listában vagy rácsban szeretné látni. Csak az ügyfélportálon: a „portal-verify:” előtaggal kezdődő bejegyzés (sessionStorage) azt igazolja, hogy Ön megadta a portál eléréséhez szükséges ellenőrző adatot, és a lap bezárásakor törlődik.

„ravsolutions.cookieConsent.v1” (localStorage; a nyilvános weboldalon és az ügyfélportálon): ezeken a felületeken a süti döntése kizárólag a saját böngészőjében tárolódik — nem hozunk létre azonosítót, és a döntést nem küldjük el a kiszolgálónak. Az alkalmazásban ezzel szemben a döntést a szervereinken rögzítjük, a „rav_consent_id” süti segítségével (lásd a 4. és a 9. pontot). Mindkét megoldás egyetlen célt szolgál: hogy ne kérdezzünk rá újra arra, amiről Ön már döntött. Ezért mindkettő feltétlenül szükségesnek minősül.

A süti sáv a feltétlenül szükségesek mellett négy választható kategóriát kínál: funkcionális, analitikai, marketing és beállítások. A kategóriák egymástól függetlenül kapcsolhatók, és a döntés bármikor módosítható.

A négy választható kategória közül jelenleg csak az analitikai van használatban. Ha ehhez hozzájárul, a nyilvános weboldalon és az alkalmazásban — az ügyfélportálon nem — Google Analytics 4-et töltünk be, amely két saját sütit helyez el a ravsolutions.eu tartományban: a „_ga” egy véletlenszerűen generált azonosítót tárol a böngészőjéhez, a „_ga_<adatfolyam-azonosító>” pedig az aktuális látogatás állapotát. Mindkettő élettartama 2 év. A funkcionális, a marketing és a preferencia kategóriában semmit nem helyezünk el a készülékén: hirdetési és közösségi médiás mérőeszközt egyet sem töltünk be, és ez a három kapcsoló addig hatástalan marad, amíg ilyen eszközt ténylegesen be nem vezetünk.

Az analitikai kategória így került használatba, és a jövőbeli bevezetések is így történnek: az eszközt előbb ebben a tájékoztatóban név szerint, céllal és élettartammal együtt feltüntettük, a hozzájárulás verziószámát megemeltük, és a süti sáv mindenkit újra megkérdezett — a korábbi verzióra adott hozzájárulás nem élt tovább. Olyan célra, amelyről akkor még nem tájékoztattuk, a már megadott hozzájárulás soha nem terjed ki.

A közösségi felületeinkre mutató hivatkozások egyszerű linkek: nem tartalmaznak beágyazott gombot, lejátszót vagy nyomkövető képpontot, így kattintás nélkül semmilyen adat nem jut a közösségi szolgáltatókhoz.

Az alábbi szolgáltatók a szolgáltatás működéséhez kellenek. Egyikük sem helyez el sütit a ravsolutions.eu tartományban; ahol mégis keletkezik süti, az a szolgáltató saját, más címen elérhető felületén jön létre, és arra a szolgáltató saját tájékoztatója vonatkozik. Az alkalmazáskiszolgálókat és az adatbázist a RackForest Zrt. üzemelteti Hungary (EU) területén; ez a szolgáltató a böngészőjében semmilyen bejegyzést nem hoz létre.

Google Fonts (Google Ireland Limited, illetve Google LLC): az oldalaink betűtípusa a fonts.googleapis.com és a fonts.gstatic.com címről töltődik be. Ez a betöltés az oldal megnyitásakor történik, még mielőtt Ön a süti sávon döntene. Sütit nem hoz létre és a készülékén semmit nem tárol, a lekéréssel azonban az IP-címe, a böngészője és az operációs rendszere adatai eljutnak a Google-hoz. Ha ezt el kívánja kerülni, azt a böngészőjében beállított tartalomkorlátozással teheti meg.

Google bejelentkezés (Google Identity Services): kizárólag a bejelentkezési és a regisztrációs oldalon töltjük be az accounts.google.com címről, és csak azért, hogy Ön Google-fiókkal is beléphessen. A Google ennek során a saját google.com tartományában helyezhet el sütit; ezekhez mi nem férünk hozzá, és nem is olvashatók a mi tartományunkból. Ha nem Google-fiókkal lép be, ez a szkript is betöltődik az adott oldalon, mert a gomb ott jelenik meg — a többi oldalunkon azonban nem.

Stripe (Stripe Payments Europe, Limited, illetve Stripe, Inc.): a fizetés a Stripe saját, checkout.stripe.com címen futó oldalán történik, ahová a fizetés indításakor átirányítjuk. A mi oldalainkon Stripe-szkript nem fut, és Stripe-süti nem keletkezik. A csalásmegelőzést és a fizetési munkamenet fenntartását szolgáló sütiket — például a „__stripe_mid” és a „__stripe_sid” bejegyzést — a Stripe a saját tartományában, saját adatvédelmi tájékoztatója szerint helyezi el, azt követően, hogy Ön elhagyta a mi oldalunkat.

Számlázz.hu (KBOSS.hu Kft.) és Brevo (Sendinblue SAS): a számlákat a kiszolgálónk állíttatja ki a Számlázz.hu rendszerében, a rendszer- és értesítő e-maileket pedig a kiszolgálónk küldeti el a Brevóval. Mindkét kapcsolat kizárólag a kiszolgálóink és a szolgáltató között zajlik: a böngészője nem lép velük kapcsolatba, így egyikük sem helyez el sütit vagy más adatot a készülékén. A Brevóval küldött e-mailekben megnyitásmérő képpontot és kattintásmérő átirányított hivatkozást nem használunk.

Cloudflare R2 (Cloudflare, Inc.): a feltöltött fájlokat, csatolmányokat és a számla-PDF-eket tárolja, European Union beállítással. Letöltéskor a böngészője egy időkorlátos, aláírt hivatkozáson keresztül közvetlenül a tárolótól kapja meg a fájlt; ez a lekérés sem sütit, sem más bejegyzést nem hoz létre a készülékén.

Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Írország, valamint Google LLC): a www.googletagmanager.com címről töltődik be a nyilvános weboldalon és az alkalmazásban — az ügyfélportálon soha —, és kizárólag akkor, ha az analitikai kategóriához hozzájárult. Addig a Google felé semmilyen lekérés nem indul, és a készülékére semmi nem íródik. Azt rögzíti, mely oldalakat nyitja meg, milyen sorrendben, továbbá a böngészője és készüléke alapvető technikai adatait, hogy lássuk, az oldal és a termék mely részeit használják ténylegesen. Az ehhez szükséges két „_ga” süti saját süti, a mi tartományunkban. Az IP-címét csonkított formában tároljuk, a hirdetési funkciók, a Google Signals és a hirdetésszemélyre szabás a beállításunkban ki van kapcsolva, így oldalak közötti hirdetési azonosító nem keletkezik, és az adatot hirdetésre nem használjuk. A Google a GDPR 28. cikke szerinti adatfeldolgozónk; a tulajdonon beállított megőrzés a felhasználói szintű adatokat legfeljebb 14 hónapra korlátozza. A hozzájárulás visszavonása az adatgyűjtést azonnal leállítja, és a „_ga” sütiket töröljük a böngészőjéből.

A 7. pontban felsorolt Google- és Stripe-szolgáltatások esetében az adatai egyesült államokbeli vállalathoz is eljuthatnak. E továbbítások jogalapja a GDPR 45. cikke szerinti megfelelőségi határozat, ahol a címzett az EU–USA adatvédelmi keretrendszer szerint tanúsított, egyébként pedig a GDPR 46. cikk (2) bekezdés c) pontja szerinti, az (EU) 2021/914 bizottsági végrehajtási határozattal elfogadott általános szerződési feltételek, kiegészítő technikai és szervezési intézkedésekkel együtt.

Egy adott továbbításnál alkalmazott garanciák másolatát a privacy@ravsolutions.eu címen kérheti. A továbbítások teljes leírását a GDPR adatkezelési tájékoztató 6. pontja tartalmazza.

Az első látogatáskor a süti sáv megkérdezi, mihez járul hozzá. Az „Összes elfogadása” és a „Választhatók elutasítása” ugyanazon a szinten, egyetlen kattintással érhető el; a „Testreszabás” a kategóriánkénti kapcsolókat nyitja meg. Amíg Ön nem dönt, a feltétlenül szükségeseken kívül semmit nem helyezünk el a készülékén.

Döntését bármikor módosíthatja: ezen az oldalon, a tájékoztató alatti „Süti beállítások” résznél, bejelentkezés után pedig a profiljában is. A visszavonás egyetlen művelet, külön indokolás nélkül, és a jövőre nézve azonnal hatályos. A visszavonás nem érinti a visszavonás előtti, hozzájáruláson alapuló adatkezelés jogszerűségét.

Az alkalmazásban a döntéseit — a döntés időpontjával, az érintett kategóriákkal, a hozzájárulás verziószámával, a döntés forrásával, a lerövidített (utolsó szegmensében nullázott) IP-címmel és a böngésző rövidített azonosítójával együtt — a szervereinken rögzítjük, nem csupán a böngészőjében. Erre azért van szükség, hogy a hozzájárulást a GDPR 7. cikk (1) bekezdése szerint igazolni tudjuk. A saját döntési előzményét ezen az oldalon megtekintheti.

Ha a kategóriák vagy a mögöttük álló célok megváltoznak, a hozzájárulás verziószámát megemeljük, és a süti sáv újra megkérdezi Önt; a korábbi döntés ilyenkor nem él tovább. Az alkalmazásban a hozzájárulási azonosító 13 hónap után lejár, ezért a rendszer ekkor is újra kérdez. A nyilvános weboldalon és az ügyfélportálon a döntése addig marad érvényben, amíg Ön meg nem változtatja, vagy a böngésző tárolóját nem törli.

A böngészője beállításaiban tőlünk függetlenül is korlátozhatja vagy törölheti a sütiket és a böngészőben tárolt adatokat. A pontos lépések böngészőnként eltérnek; a Chrome, a Firefox, a Safari és az Edge súgójában mind megtalálhatók. Ezt a lehetőséget bármikor igénybe veheti, és nem kell hozzá bennünket értesítenie.

Ha a feltétlenül szükséges sütiket is letiltja, a bejelentkezés és a bejelentkezett munkamenet fenntartása nem fog működni, a süti döntése pedig nem marad megjegyezve, ezért a sáv minden látogatáskor újra megjelenik. A nyilvános weboldal olvasása ettől függetlenül működik.

A tárolt bejegyzések böngészőből való törlése a már megtörtént adatkezelést nem teszi meg nem történtté, és az alkalmazásban a szervereinken rögzített hozzájárulási bejegyzést sem törli. Ha a hozzájárulását vissza kívánja vonni, kérjük, a 9. pont szerinti módon tegye, mert a visszavonást is rögzítenünk kell.

A „refreshToken” süti 30 nap, a „rav_consent_id” 13 hónap (395 nap) elteltével lejár, és a böngészőjéből automatikusan megszűnik. A Google Analytics sütik („_ga” és „_ga_<adatfolyam-azonosító>”) 2 év után járnak le, és abban a pillanatban töröljük őket, amikor az analitikai kategóriához adott hozzájárulását visszavonja. A böngésző tárolójában elhelyezett bejegyzéseknek nincs lejáratuk: a sessionStorage tartalmát a lap bezárása törli, a localStorage tartalmát pedig Ön törölheti a böngészőjéből.

A hozzájárulási döntéseket és azok előzményét a döntéstől számított 13 hónapig őrizzük meg, mert eddig kell tudnunk igazolni, mihez és mikor járult hozzá. Ezt követően a nyilvántartást töröljük.

A kiszolgálói naplókat 90 napig őrizzük. A többi adatkategória megőrzési idejét a GDPR adatkezelési tájékoztató 7. pontja sorolja fel.

A sütikkel összefüggésben kezelt adataira ugyanazok a jogok vonatkoznak, mint minden más adatára: tájékoztatás, hozzáférés, helyesbítés, törlés, az adatkezelés korlátozása, adathordozhatóság, tiltakozás, valamint a hozzájárulás bármikori visszavonása. E jogok tartalmát és gyakorlásuk módját a GDPR adatkezelési tájékoztató 8. és 9. pontja írja le; kérelmét a privacy@ravsolutions.eu címre küldheti, és arra legkésőbb egy hónapon belül válaszolunk.

Ha úgy ítéli meg, hogy az adatkezelésünk jogsértő, panasszal élhet a felügyeleti hatóságnál: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) / Hungarian National Authority for Data Protection and Freedom of Information, cím: H-1055 Budapest, Falk Miksa utca 9-11., Hungary, postacím: H-1363 Budapest, Pf. 9., Hungary, telefon: +36 1 391 1400, e-mail: ugyfelszolgalat@naih.hu, honlap: https://naih.hu. Bírósághoz fordulni is jogosult.

A tájékoztatót akkor frissítjük, ha új sütit vagy tárolási megoldást vezetünk be, ha egy meglévőnek a célja vagy az élettartama változik, vagy ha új szolgáltatót vonunk be. Az oldal fejlécében mindig a hatályos verziószám és a legutóbbi módosítás dátuma szerepel.

Ha a változás új célra irányul vagy egyébként érinti a hozzájárulás terjedelmét, nem elégszünk meg a szöveg módosításával: a hozzájárulás verziószámát megemeljük, és a süti sáv újra megkérdezi Önt, mielőtt bármit elhelyeznénk a készülékén.