Adatvédelmi tájékoztató
Verzió: 1.1 · Hatályos: 2026. november 1.
1. Az adatkezelő
| Adat | |
|---|---|
| Név | Facskó Máté egyéni vállalkozó (Facskó Máté e.v.) |
| Székhely | 1035 Budapest, Raktár utca 6. 2. emelet 8. ajtó |
| Adószám | 59577447-1-41 |
| Nyilvántartási szám | 57624309 |
| E-mail (adatvédelmi ügyek) | info@vendigo.hu |
| Telefon | +36 20 530 5345 |
(a továbbiakban: Szolgáltató vagy mi). Adatvédelmi tisztviselő kinevezésére a Szolgáltató az általános adatvédelmi rendelet (GDPR) 37. cikke alapján nem köteles; adatvédelmi kérdésekben a fenti elérhetőségeken lehet hozzánk fordulni.
A tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján készült.
2. Kinek szól ez a tájékoztató, és milyen szerepben kezeljük az adatokat?
A Vendigo étterem-menedzsment szoftver. Az adatok egy részét saját célra, adatkezelőként kezeljük (például az előfizető éttermek kapcsolattartóinak és számlázási adatai), más részét a vendéglátóhelyek megbízásából, adatfeldolgozóként (például a vendégek rendelései, foglalásai, a személyzet fiókjai).
| Érintett | Ki az adatkezelő? | Kihez forduljon? |
|---|---|---|
| Előfizető étterem kapcsolattartója, tulajdonosa | a Szolgáltató | hozzánk |
| A Szolgáltató ügyfélszolgálatával kapcsolatba lépő személy | a Szolgáltató | hozzánk |
| Az étterem személyzete (pincér, pultos, adminisztrátor) | az étterem; a biztonsági naplók tekintetében a Szolgáltató is | elsősorban az étteremhez |
| QR-kóddal rendelő vagy fizető vendég | az étterem | az étteremhez |
| Asztalt foglaló vendég | az étterem | az étteremhez |
Ha olyan adatról van szó, amelyet az étterem megbízásából kezelünk, a kérelmét továbbítjuk az étteremnek, és segítjük annak teljesítésében (GDPR 28. cikk (3) e) pont).
3. A Szolgáltató saját adatkezelései
3.1. Szerződéskötés és -teljesítés az előfizető étteremmel
| Érintettek | az előfizető tulajdonosa, képviselője, kapcsolattartója |
| Adatok | név, e-mail cím, telefonszám, beosztás; az előfizető cégadatai (ha egyéni vállalkozó: neve, székhelye, adószáma) |
| Cél | a szerződés megkötése, a Szolgáltatás nyújtása, kapcsolattartás, értesítések küldése |
| Jogalap | GDPR 6. cikk (1) b) pont (szerződés teljesítése); jogi személy előfizető kapcsolattartója esetén GDPR 6. cikk (1) f) pont (jogos érdek: a szerződéses kapcsolattartás) |
| Időtartam | a szerződés megszűnését követő 5 év (a Ptk. 6:22. § szerinti általános elévülési idő) |
3.2. Számlázás és könyvelés
| Adatok | a számlán szereplő adatok: név, cím, adószám, a szolgáltatás megnevezése, ellenérték, a fizetés adatai |
| Cél | számla kiállítása, számviteli és adózási kötelezettségek teljesítése |
| Jogalap | GDPR 6. cikk (1) c) pont (jogi kötelezettség): az általános forgalmi adóról szóló 2007. évi CXXVII. törvény 159–169. §, a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdés |
| Időtartam | a számla kiállítását követő 8 év |
3.3. Előfizetési díj beszedése
| Adatok | név, e-mail, számlázási cím, adószám; a bankkártya-adatokat kizárólag a Stripe kezeli, azokat mi nem látjuk és nem tároljuk |
| Cél | a havi előfizetési díj automatikus beszedése, fizetési késedelem kezelése |
| Jogalap | GDPR 6. cikk (1) b) pont |
| Időtartam | a szerződés megszűnését követő 5 év; a számlázási adatokra a 3.2. pont irányadó |
A Stripe a kártyás fizetés során a csalásmegelőzés és a pénzmosás elleni jogszabályok miatt saját jogon, önálló adatkezelőként is kezel adatokat; erről a Stripe adatvédelmi tájékoztatója ad tájékoztatást.
3.4. Ügyfélszolgálat, panaszkezelés
| Adatok | név, e-mail, telefonszám, a megkeresés tartalma, az érintett étterem azonosítója |
| Cél | kérdések megválaszolása, hibabejelentések és panaszok kezelése |
| Jogalap | GDPR 6. cikk (1) b) pont (előfizető esetén), egyébként GDPR 6. cikk (1) f) pont (jogos érdek: a megkeresés megválaszolása) |
| Időtartam | az ügy lezárását követő 2 év; panasz esetén 5 év |
3.5. Informatikai biztonság, naplózás, visszaélések megelőzése
| Érintettek | a Szolgáltatás minden felhasználója (személyzet, operátorok), valamint a vendég-felület látogatói |
| Adatok | IP-cím, böngésző- és eszközadatok (user agent), bejelentkezési és munkamenet-adatok, az elvégzett műveletek naplója (audit napló: ki, mikor, mit módosított), szervernaplók |
| Cél | a rendszer biztonságának fenntartása, jogosulatlan hozzáférés és visszaélés megelőzése és felderítése, hibaelhárítás, a tenant-elkülönítés ellenőrzése, a műveletek visszakövethetősége |
| Jogalap | GDPR 6. cikk (1) f) pont (jogos érdek); a GDPR 32. cikke szerinti biztonsági kötelezettség teljesítése |
| Időtartam | munkamenet-adatok: a munkamenet lejártát követő 30 nap; szervernaplók: 30 nap; audit napló: 2 év |
Érdekmérlegelés. A biztonsági naplózás nélkül nem tudnánk megvédeni az éttermek és vendégeik adatait, és nem tudnánk felderíteni egy esetleges jogosulatlan hozzáférést. A naplókhoz csak a Szolgáltató fér hozzá, azokat kizárólag biztonsági és hibaelhárítási célra használjuk, profilalkotásra vagy marketingre nem. Az érintettek a naplózást észszerűen elvárhatják egy pénzügyi műveleteket is kezelő rendszerben. Az érdekmérlegelési teszt teljes szövegét kérésre átadjuk. A naplózás ellen a 7. pont szerint tiltakozni lehet.
3.6. Hibakövetés (crash-riport)
| Adatok | a hiba technikai leírása, az eszköz típusa, operációs rendszer, az alkalmazás verziója, a felhasználó belső azonosítója és szerepköre (név és e-mail cím nélkül) |
| Cél | az alkalmazás hibáinak felderítése és javítása |
| Jogalap | GDPR 6. cikk (1) f) pont (jogos érdek: a Szolgáltatás hibamentes működése) |
| Időtartam | 90 nap |
3.7. Amit nem csinálunk
- Személyes adatot nem adunk el, nem adunk bérbe és hirdetési célra nem osztunk meg.
- A vendégekről marketing- vagy hirdetési profilt nem készítünk, és nyomkövető (tracking) technológiát nem használunk.
- Automatizált döntéshozatalt, amely az érintettre joghatással járna (GDPR 22. cikk), nem alkalmazunk.
- Hírlevelet csak előzetes, kifejezett hozzájárulás alapján küldenénk; jelenleg nem küldünk.
4. Az éttermek megbízásából kezelt adatok (adatfeldolgozás)
Ezeknél az adatoknál az étterem az adatkezelő, mi az étterem utasításai szerint, a vele kötött adatfeldolgozási szerződés alapján járunk el. Az étterem jogalapjait és megőrzési idejét az étterem saját tájékoztatója tartalmazza; az alábbiak a Vendigo működéséből adódó tájékoztatást adják.
4.1. QR-kódos rendelés és fizetés (vendégek)
- Regisztráció nem kell. A vendégtől nevet, e-mail címet vagy telefonszámot a rendeléshez nem kérünk.
- A rendeléshez kezelt adatok: az asztal azonosítója, a rendelt tételek, megjegyzések (például „gluténmentesen"), a rendelés időpontja és állapota, a fizetés összege és állapota, a felhasznált kuponkód.
- Kosár: a kosár tartalmát a böngésző munkamenet-tárhelye (sessionStorage) tárolja, amely a böngészőfül bezárásakor törlődik; a szerverre csak a leadott rendelés kerül.
- Kártyás fizetés: a kártyaadatokat közvetlenül a Stripe fizetési űrlapja kezeli; azokat sem a Vendigo, sem az étterem nem látja és nem tárolja. A Stripe a fizetéshez szükséges adatokat saját adatkezelőként is kezeli (Stripe adatvédelmi tájékoztató).
- Számla kérése: ha a vendég számlát kér, a számlán szereplő adatokat (név, cím, adószám) az étterem rögzíti, és a számlát az étterem saját Számlázz.hu-fiókjával állítja ki.
- Ha a vendég 18 év alatti, a rendelőfelületet csak törvényes képviselője hozzájárulásával használhatja; alkoholos italt 18 év alatti személy nem rendelhet.
4.2. Asztalfoglalás
Ha az étterem a foglalást a Vendigóban rögzíti: a foglaló neve, telefonszáma, e-mail címe (ha megadja), a vendégek száma, a foglalás időpontja és a megjegyzés. Ezeket az étterem a foglalás teljesítése és a vendéggel való kapcsolattartás céljából kezeli.
4.3. A személyzet adatai
A személyzeti fiókokhoz: név, e-mail cím, szerepkör, jogosultságok, a PIN-kód biztonságos (visszafejthetetlen, hash-elt) formában, műszakadatok, a felvett rendelések és elvégzett műveletek naplója. Ezeket az étterem a munkaszervezés, az elszámolás és a felelősség megállapítása céljából kezeli; a biztonsági naplózás tekintetében a 3.5. pont is irányadó.
5. Kik férnek hozzá az adatokhoz? (címzettek, adatfeldolgozók)
Az adatokhoz a Szolgáltató, valamint az alábbi, általunk igénybe vett adatfeldolgozók (alvállalkozók) férnek hozzá, kizárólag a feladatuk ellátásához szükséges mértékben, írásbeli szerződés alapján:
| Partner | Szerep | Székhely / adatkezelés helye |
|---|---|---|
| Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Németország) | szerver- és adatbázis-tárhely, biztonsági mentés tárolása | Németország / Finnország (EU) |
| Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Írország) | online és kártyás fizetés, előfizetési díj beszedése; részben önálló adatkezelő | Írország (EU); egyes adatok az USA-ba is kerülhetnek |
| KBOSS.hu Kft. (Számlázz.hu, 1031 Budapest, Záhony utca 7.) | számlák kiállítása és tárolása | Magyarország (EU) |
| Cloudflare, Inc. | DNS, e-mail-továbbítás, biztonsági mentések tárolása (R2), hálózati védelem | USA / EU |
| Resend, Inc. | tranzakciós e-mailek (meghívó, értesítés) kézbesítése | USA |
| 650 Industries, Inc. (Expo) | a mobilalkalmazás buildelése és frissítéseinek (OTA) kiszolgálása; a frissítés letöltésekor technikai adatokat (IP-cím, eszköztípus) lát | USA |
| Sentry (Functional Software, Inc.), ha a hibakövetés aktív | hibakövetés (3.6. pont) | USA / EU |
Az Apple Inc. és a Google LLC az alkalmazás terjesztése (App Store, Google Play) során saját adatkezelőként kezel adatokat a saját tájékoztatójuk szerint.
Hatóság (például bíróság, nyomozó hatóság, NAV, adatvédelmi hatóság) részére csak jogszabályban előírt esetben, megkeresésre adunk ki adatot.
6. Adattovábbítás az Európai Gazdasági Térségen kívülre
Az USA-ban székhellyel rendelkező partnerek esetében az adattovábbítás az Európai Bizottság EU–USA adatvédelmi keretrendszerről szóló megfelelőségi határozata alapján (ha a partner a keretrendszer szerint tanúsított), ennek hiányában a Bizottság által elfogadott általános szerződési feltételek (GDPR 46. cikk (2) c) pont) alapján történik. Az alkalmazott garanciákról a fenti elérhetőségeken másolatot kérhet.
7. Az Ön jogai
Ön jogosult:
- tájékoztatást és hozzáférést kérni a kezelt adatairól (GDPR 15. cikk);
- adatai helyesbítését kérni (GDPR 16. cikk);
- adatai törlését kérni (GDPR 17. cikk), ha az adatkezelésnek nincs jogalapja, vagy azt jogszabály nem teszi kötelezővé;
- az adatkezelés korlátozását kérni (GDPR 18. cikk);
- az általa megadott, szerződés alapján kezelt adatait géppel olvasható formában megkapni (adathordozhatóság, GDPR 20. cikk);
- a jogos érdeken alapuló adatkezelés ellen tiltakozni (GDPR 21. cikk) — ilyenkor az adatkezelést csak akkor folytatjuk, ha kényszerítő erejű jogos ok áll fenn;
- hozzájáruláson alapuló adatkezelés esetén a hozzájárulást bármikor visszavonni, ami a visszavonás előtti adatkezelés jogszerűségét nem érinti.
A kérelmet a info@vendigo.hu címre vagy postán a székhelyre küldheti. A kérelmet indokolatlan késedelem nélkül, legfeljebb egy hónapon belül teljesítjük; ez a határidő a kérelem összetettségére tekintettel további két hónappal meghosszabbítható, amiről egy hónapon belül tájékoztatjuk. A kérelem teljesítése díjmentes; nyilvánvalóan megalapozatlan vagy túlzó kérelem esetén észszerű díjat számíthatunk fel vagy a kérelmet megtagadhatjuk. A kérelmező személyazonosságának ellenőrzése érdekében további adatot kérhetünk.
8. Jogorvoslat
Ha úgy véli, hogy adatai kezelése jogszabályt sért, javasoljuk, hogy először hozzánk forduljon. Ön jogosult panaszt tenni a felügyeleti hatóságnál:
| Név | Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) |
| Cím | 1055 Budapest, Falk Miksa utca 9–11. |
| Postacím | 1363 Budapest, Pf. 9. |
| Telefon | +36 1 391 1400 |
| ugyfelszolgalat@naih.hu | |
| Honlap | www.naih.hu |
Jogai megsértése esetén bírósághoz is fordulhat (GDPR 79. cikk, Infotv. 23. §); a per – az Ön választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindítható.
9. Adatbiztonság
A személyes adatok védelme érdekében többek között az alábbi technikai és szervezési intézkedéseket alkalmazzuk:
- minden adatforgalom titkosított csatornán (HTTPS/TLS) zajlik;
- az éttermek adatait adatbázis-szintű sorszintű biztonsági szabályok (Row-Level Security) különítik el egymástól, amelyeket automatizált tesztek ellenőriznek;
- a jelszavakat és PIN-kódokat visszafejthetetlen (hash-elt) formában, a harmadik féltől származó hozzáférési kulcsokat (például Számlázz.hu Agent-kulcs) titkosítva tároljuk;
- a hozzáférés szerepkör alapú, a műveleteket audit napló rögzíti;
- az adatbázisról naponta titkosított biztonsági mentés készül, amelyet 30 napig őrzünk meg, és amelynek visszaállíthatóságát rendszeresen teszteljük;
- a szerverek az Európai Unió területén, ISO/IEC 27001 tanúsítvánnyal rendelkező adatközpontban működnek.
Adatvédelmi incidens esetén azt – ha kockázattal jár – a tudomásszerzéstől számított 72 órán belül bejelentjük a NAIH-nak, és ha magas kockázattal jár, az érintetteket is tájékoztatjuk (GDPR 33–34. cikk). Az éttermek megbízásából kezelt adatokat érintő incidensről az érintett éttermet haladéktalanul értesítjük.
10. Sütik és helyi tárolás
A sütikről és a helyi tárolásról a Süti-tájékoztató ad részletes tájékoztatást.
11. A tájékoztató módosítása
A tájékoztatót az adatkezelések vagy a jogszabályok változása esetén módosítjuk; a lényeges változásokról az előfizetőket e-mailben, a felhasználókat az alkalmazásban értesítjük. A tájékoztató hatályos szövege mindig a /jogi/adatvedelem címen érhető el.