Adatkezelési nyilatkozat
Mozgás-Korlátok Nélkül Alapítvány
Hatálybalépés: 2026.11.08.
1. Bevezetés, cél és hatály
Jelen adatkezelési tájékoztató és adatvédelmi szabályzat (a továbbiakban: Szabályzat) a Mozgás-Korlátok Nélkül Alapítvány (a továbbiakban: Alapítvány) által végzett, személyes adatokat érintő adatkezelések alapvető szabályait rendezi. A Szabályzat külső tájékoztatóként vonatkozik különösen a honlap látogatóira, az adományozókra, az adományigazolást kérő személyekre, a kapcsolattartókra, az érintetti jogokat gyakorlókra, valamint a támogatott gyermekek törvényes képviselőire. Belső szabályként köti az Alapítvány adatkezelésben részt vevő tisztségviselőit, munkatársait és közreműködőit.
A Szabályzat hatálya kiterjed a https://mozgaskorlatoknelkul.hu honlap működtetésére, az online adományozásra, az adományigazolásokkal kapcsolatos ügyintézésre, a honlapon közzétett támogatási történetekre, az elektronikus kapcsolattartásra, továbbá az adatbiztonsági és incidenskezelési folyamatokra. A külső szolgáltatók saját célú adatkezeléseire azok saját tájékoztatói irányadók; az Alapítvány ezek tartalmát nem irányítja.
1.1. Az Alapítvány hivatalos adatai
| Megnevezés | Adat |
|---|---|
| Adatkezelő neve | Mozgás-Korlátok Nélkül Alapítvány |
| Idegen nyelvű név | Moving Without Limits Foundation |
| Rövid név | MKN Alapítvány |
| Székhely | 8200 Veszprém, Boglárka utca 2/c. |
| Nyilvántartó bíróság | Veszprémi Törvényszék |
| Nyilvántartási szám | 19-01-0001989 |
| Adószám | 19444082-1-19 |
| Képviseletre jogosult személyek | Chen-Wölfinger Bernadett – önálló képviseleti joggal; Boda-Sipeki Judit, Csányi Anita, Németh Gabriella és Pekala Renáta Krisztina – együttes képviseleti joggal, kuratóriumi tag képviselőtárssal |
| mknalapitvany@gmail.com | |
| Telefon | 06 30 630 4645 |
| Honlap | https://mozgaskorlatoknelkul.hu |
1.2. A kuratórium tagjai és a képviselet
Az Alapítvány kuratóriumának tagjai: Chen-Wölfinger Bernadett, Boda-Sipeki Judit, Csányi Anita, Németh Gabriella és Pekala Renáta Krisztina. Chen-Wölfinger Bernadett önálló képviseleti joggal rendelkezik. Boda-Sipeki Judit, Csányi Anita, Németh Gabriella és Pekala Renáta Krisztina képviseleti jogukat együttesen, kuratóriumi tag képviselőtárssal gyakorolják.
Az Alapítvány célja az eltérő fejlődésmenetű gyermekek komplex támogatása, rehabilitációjuk és habilitációjuk elősegítése, továbbá orvosi beavatkozások, műtétek, gyógykezelések, rehabilitációs segédeszközök és a gyermekek iskolai, társadalmi beilleszkedését segítő eszközök finanszírozásának támogatása. Az adatkezelés során az Alapítvány nem kezel több adatot annál, mint ami e célok megvalósításához vagy jogi kötelezettségének teljesítéséhez szükséges.
1.3. Fogalmak és alapelvek
A Szabályzatban használt fogalmakat elsősorban a GDPR 4. cikke szerint kell értelmezni. Adatkezelő az Alapítvány, adatfeldolgozó az a természetes vagy jogi személy, amely az Alapítvány nevében és utasításai alapján kezel személyes adatokat. Címzett az a személy vagy szervezet, akivel vagy amellyel az adatot közlik; a címzett saját célú adatkezelése esetén önálló adatkezelőként járhat el.
- Jogszerűség, tisztességes eljárás és átláthatóság: minden adatkezelésnek meghatározott, világos célhoz és megfelelő jogalaphoz kell kapcsolódnia.
- Célhoz kötöttség és adattakarékosság: adat csak meghatározott célból, a szükséges mértékben és ideig kezelhető.
- Pontosság és korlátozott tárolhatóság: a pontatlan adatot javítani, a szükségtelenné vált adatot törölni vagy anonimizálni kell.
- Integritás és bizalmas jelleg: az adatot megfelelő technikai és szervezési intézkedésekkel kell védeni.
- Elszámoltathatóság: az Alapítványnak képesnek kell lennie az adatkezelés jogszerűségének és az intézkedések megtételének igazolására.
2. Jogszabályi háttér
A Szabályzat különösen az alábbi jogforrásokon alapul, az adott adatkezelésre irányadó rendelkezések szerint:
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról (általános adatvédelmi rendelet, GDPR), különösen az 5–7., 9., 12–22., 24., 25., 28., 30., 32–34. és 44–49. cikke.
- A 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.), különösen a 2., 5., 25/A. és 25/I. §.
- A 2003. évi C. törvény az elektronikus hírközlésről, különösen a 155. § a végberendezésen tárolt vagy ahhoz hozzáférő információk tekintetében.
- A 2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatásokról, valamint az információs társadalommal összefüggő szolgáltatásokról, különösen a 4. §.
- A 2000. évi C. törvény a számvitelről, különösen a 169. § a számviteli bizonylatok és az azokat alátámasztó nyilvántartások megőrzése tekintetében.
- A 2011. évi CLXXV. törvény az egyesülési jogról, a közhasznú jogállásról, valamint a civil szervezetek működéséről és támogatásáról, különösen a 17–20. és 24–26. §.
- A 350/2011. (XII. 30.) Korm. rendelet a civil szervezetek gazdálkodása, az adománygyűjtés és az adományozás egyes szabályairól, különösen az 5. és 11. §.
- A 2017. évi CL. törvény az adózás rendjéről, különösen a 202. §, ha az adatkezelés adóhatósági adatszolgáltatáshoz vagy adózási iratmegőrzéshez kapcsolódik.
- A 479/2016. (XII. 28.) Korm. rendelet a számviteli törvény szerinti egyes egyéb szervezetek beszámolókészítési és könyvvezetési kötelezettségének sajátosságairól, különösen a 9. §.
A konkrét adatkezelés jogalapját és megőrzési idejét az alábbi folyamatleírások tartalmazzák. Ha jogszabályváltozás, a szolgáltatói szerződés módosítása vagy a technikai működés változása miatt eltérés merül fel, a jogszabály és a tényleges adatkezelés szerinti, kedvezőbb adatvédelmi megoldást kell alkalmazni, és a Szabályzatot aktualizálni kell.
3. Az adatkezelő és az érintettek tájékoztatása
Az adatkezelő az Alapítvány; nevében a mindenkori kuratóriumi elnök jár el. Az adatkezeléssel kapcsolatos kérelmeket és észrevételeket az mknalapitvany@gmail.com e-mail-címen, illetve postai úton a székhely címén lehet benyújtani.
Az érintett a tájékoztatást tömör, érthető, könnyen hozzáférhető és világos formában kapja meg. A jelen dokumentum a honlapon folyamatosan hozzáférhető; az egyes űrlapok és hozzájárulások használatakor az adott adatkezeléshez kapcsolódó rövid tájékoztatást is biztosítani kell.
4. Adatkezelési műveletek
Az alábbi táblázatok az Alapítvány fő adatkezelési műveleteit, az érintetti kört, az adatcsoportokat, a célokat, a jogalapokat, a címzetteket és a megőrzési időket rögzítik. Különleges adat kezelése csak akkor történhet, ha annak jogalapja és szükségessége dokumentált.
4.1. Bankkártyás online adományozás
Az adomány önkéntes. Az Alapítvány az adománygyűjtés céljáról és az adományok felhasználásának alapvető kereteiről a honlapon tájékoztatást ad. Bankkártyaadatot az Alapítvány nem kér, nem lát és nem tárol; a kártyaadatok megadása a SimplePay fizetőfelületén történik.
| Szempont | Tartalom |
|---|---|
| Érintettek | Adományozók és az adományozó szervezet kapcsolattartói. |
| Adatcsoportok | Név, e-mail-cím, adomány összege, saját hivatkozási szám, SimplePay-tranzakcióazonosító, fizetési státusz és időpont; az elszámoláshoz szükséges számlázási vagy számviteli adatok. Bankkártyaszám, CVC/CVV-kód és teljes kártyaadat nem kerül az Alapítványhoz. |
| Cél | Az adomány fogadása, a fizetési folyamat technikai lezárása, visszaigazolás, kapcsolattartás, nyilvántartás és számviteli elszámolás. |
| GDPR-jogalap | A fizetési/adományozási folyamat teljesítéséhez GDPR 6. cikk (1) bekezdés b) pontja, amennyiben az adatkezelés szerződéses jogviszony teljesítéséhez szükséges; a számviteli és adózási kötelezettségekhez GDPR 6. cikk (1) bekezdés c) pontja. Az adományozás önkéntességét ez nem érinti. |
| GDPR 9. cikk | Nem kezelünk különleges adatot. Ha az adományozó az üzenetben önkéntesen különleges adatot közöl, azt nem használjuk fel az adományozási célon túl; szükségtelen adatot törlünk. |
| Címzettek/adatfeldolgozók | A SimplePay a saját fizetési és csalásmegelőzési célú adatkezelése tekintetében önálló adatkezelő/címzett; az Alapítvány csak a szolgáltatás indításához és az adomány azonosításához szükséges adatokat továbbítja. A Rackhost tárhely- és e-mail-adatfeldolgozóként vehet részt. |
| Megőrzési idő | A számviteli elszámolást alátámasztó adományozási és tranzakciós dokumentumok a tárgyévet követő 8 évig, illetve hosszabb jogszabályi kötelezettség esetén annak végéig őrzendők. A nem számviteli célú technikai adatot a cél megszűnésekor törölni kell. |
4.2. Adományigazolás vagy kapcsolódó adózási igazolás kérése
| Szempont | Tartalom |
|---|---|
| Érintettek | Az adományozó, jogi személy adományozó esetén a kapcsolattartó. |
| Adatcsoportok | Cégnév vagy név, adószám, székhely vagy lakcím csak akkor, ha az igazolás kiállításához szükséges, kapcsolattartó neve és e-mail-címe, opcionálisan telefonszám, adomány összege, időpontja, tranzakcióazonosító, az igazoláshoz szükséges megjegyzés és a beküldés technikai adatai. |
| Cél | Adományigazolás, számviteli bizonylat vagy kapcsolódó adózási igazolás kiállítása, továbbítása és az ehhez kapcsolódó kapcsolattartás. |
| GDPR-jogalap | GDPR 6. cikk (1) bekezdés c) pontja a jogszabályi, számviteli és adózási kötelezettségek teljesítéséhez; a válaszadáshoz és ügyintézéshez szükséges kapcsolattartási adat kezelése GDPR 6. cikk (1) bekezdés f) pontján is alapulhat. Opcionális telefonszám csak annak megadásával kezelhető. |
| GDPR 9. cikk | Nem szükséges különleges adat. Az űrlapon különleges adatot nem kérünk; a szabad szöveges mezőben közölt, szükségtelen különleges adatot törölni kell. |
| Címzettek/adatfeldolgozók | Könyvelő vagy adózási közreműködő kizárólag dokumentált feladatellátás keretében; Rackhost mint adatfeldolgozó, továbbá a jogszabályban meghatározott hatóság, ha az adattovábbítás kötelező. |
| Megőrzési idő | A kiállított igazolást és az azt alátámasztó dokumentumokat a tárgyévet követő 8 évig, illetve hosszabb jogszabályi vagy adózási megőrzési idő végéig kell megőrizni. |
4.3. Általános e-mailes kapcsolatfelvétel
| Szempont | Tartalom |
|---|---|
| Érintettek | A honlap látogatói, érdeklődők, önkéntesek, adományozók, támogatási kérelmezők és más kapcsolattartók. |
| Adatcsoportok | Név, e-mail-cím, telefonszám, a megkeresés tartalma és az ügy intézéséhez szükséges további adat. Különleges adatot az Alapítvány nem kér. |
| Cél | Kérdések megválaszolása, kapcsolattartás, önkéntes vagy támogatási ügy intézése, panasz kezelése. |
| GDPR-jogalap | GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek az általános tájékoztatás és ügyintézés esetén; ha szerződés vagy kérelem teljesítése szükséges, GDPR 6. cikk (1) bekezdés b) pontja; jogi kötelezettség esetén c) pont. |
| GDPR 9. cikk | Különleges adat kezelése nem cél. Ha az érintett ilyen adatot küld, csak akkor kezelhető, ha az ügy intézéséhez feltétlenül szükséges és megfelelő jogalap fennáll; egyébként törlendő vagy visszaküldendő. |
| Címzettek/adatfeldolgozók | Az ügyben kijelölt Alapítványi személyek, Rackhost mint e-mail-adatfeldolgozó, szükség esetén jogi, könyvelési vagy hatósági címzett. |
| Megőrzési idő | Az ügy lezárásától számított 1 év. Ha a megkeresésből jogvita várható vagy jogi igény érvényesítése szükséges, az adat a polgári jogi igény elévüléséig, illetve a jogvita jogerős lezárásáig kezelhető. |
4.4. Weboldal-biztonság és szervernaplók
| Szempont | Tartalom |
|---|---|
| Érintettek | A honlap látogatói, adminisztrátorok és az Alapítvány informatikai rendszereit használó személyek. |
| Adatcsoportok | IP-cím, időbélyeg, kért URL, státuszkód, böngésző és eszköz technikai adatai, hiba- és biztonsági események, bejelentkezési naplóadatok. |
| Cél | A honlap működtetése, hibakeresés, jogosulatlan hozzáférés és támadás észlelése, bizonyítása és elhárítása. |
| GDPR-jogalap | GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek, dokumentált érdekmérlegeléssel; a rendszer biztonságának és az információs társadalommal összefüggő szolgáltatásnak a biztosítása az Eker. tv. 4. §-ával összhangban. |
| GDPR 9. cikk | Nem cél különleges adat kezelése. |
| Címzettek/adatfeldolgozók | Rackhost mint tárhelyszolgáltató és adatfeldolgozó; informatikai biztonsági közreműködő csak dokumentált feladat alapján; hatóság jogszabályi kötelezés esetén. |
| Megőrzési idő | Szervernapló főszabály szerint 30 nap. Biztonsági incidens vagy jogérvényesítés esetén az érintett naplórész az ügy lezárásáig, illetve a jogi igény elévüléséig őrizhető. |
4.5. Feltétlenül szükséges sütik
Az Alapítvány a honlap alapvető működéséhez szükséges sütikről előzetes, világos tájékoztatást ad, de ezekhez nem kér hozzájárulást, mert a felhasználó által kifejezetten kért szolgáltatás nyújtásához feltétlenül szükségesek. A jogalap és a végberendezésen történő tárolás megítélése során a GDPR 6. cikk (1) bekezdés f) pontját és az elektronikus hírközlésről szóló 2003. évi C. törvény 155. §-át együtt kell alkalmazni.
| Süti neve | Célja | Élettartam | Hozzájárulás |
|---|---|---|---|
| theme | A világos vagy sötét megjelenés megjegyzése. | 1 év | Nem szükséges. |
| mkn_consent | A süti- és videóbeágyazási döntés tárolása. | 1 év | A működéshez szükséges beállításként nem szükséges. |
| mkn_session | Az adminisztrációs felületre való belépés munkamenete. | 7 nap | Nem szükséges. |
A honlap nem használ hirdetési vagy követő sütiket. A videóbeágyazások engedélyezése esetén a külső videószolgáltató saját sütiket helyezhet el; ezek csak előzetes hozzájárulás után tölthetők be. A hozzájárulási beállítás a honlap láblécében elérhető „Süti-beállítások” hivatkozással bármikor módosítható.
4.6. Umami webanalitika
| Szempont | Tartalom |
|---|---|
| Érintettek | A honlap látogatói. |
| Adatcsoportok | Oldalletöltés, hivatkozó oldal, böngésző- és eszköztípus, ország, régió és a rendszer technikai adatai. Az Umami nem használ sütit, nem hoz létre egyéni felhasználói profilt és nem tárolja az IP-címet; a látogatásokat naponta változó, vissza nem fejthető azonosítóval összesíti. |
| Cél | A honlap használatának összesített vagy pszeudonimizált mérése, a tartalom és a működés fejlesztése. |
| GDPR-jogalap | GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek, megfelelő érdekmérlegeléssel. Az érintett jogosult tiltakozni. |
| GDPR 9. cikk | Nem cél különleges adat kezelése. |
| Címzettek/adatfeldolgozók | Az Umami a honlappal azonos, a Stark Debora e.v. által üzemeltetett szerveren fut; külső analitikai szolgáltatóhoz adatot nem továbbítunk. A tárhelyet biztosító Rackhost adatfeldolgozóként vehet részt. |
| Megőrzési idő | A tárolt analitikai adatok nem teszik lehetővé a látogató azonosítását; az összesített statisztikákat a honlap működése alatt megőrizzük. |
4.7. Beágyazott videók: YouTube és TikTok
A külső videó csak az érintett előzetes, kifejezett hozzájárulása után töltődik be. Hozzájárulás hiányában a honlap nem küld kérést a videószolgáltató szervereihez, az előnézeti kép letöltését is beleértve.
| Szempont | Tartalom |
|---|---|
| Érintettek | A videó lejátszását engedélyező honlaplátogatók. |
| Adatcsoportok | A hozzájárulás ténye és időpontja, IP-cím, eszköz- és böngészőinformáció, megtekintett videó azonosítója, valamint a szolgáltató által elhelyezett süti- és naplóadatok. |
| Cél | Videótartalom megjelenítése és lejátszása. |
| GDPR-jogalap | Az Alapítvány beágyazási művelete: GDPR 6. cikk (1) bekezdés a) pontja szerinti előzetes hozzájárulás. A hozzájárulás visszavonható; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét. |
| GDPR 9. cikk | Különleges adat kezelése nem cél; az Alapítvány nem irányítja a szolgáltató további adatkezelését. |
| Címzettek/adatfeldolgozók | Google Ireland Limited (YouTube) és TikTok Technology Limited a szolgáltatásuk saját célú adatkezelése tekintetében címzettként, illetve önálló adatkezelőként járhatnak el. Az Alapítvány csak a szolgáltatás indításához szükséges adatokat továbbítja. |
| Megőrzési idő | A hozzájárulás bizonyítéka a visszavonástól vagy az adatkezelés megszűnésétől számított 5 évig, jogvita esetén annak lezárásáig. A szolgáltatóknál fennálló megőrzési időkre a saját tájékoztatójuk irányadó. |
A szolgáltatók adatokat az Európai Gazdasági Térségen kívülre is továbbíthatnak, különösen IP-címet és eszköz- vagy böngészőinformációt. Az Alapítvány e további adatkezelést nem irányítja. Az érintett a Google, illetve a TikTok saját adatkezelési tájékoztatójából tájékozódhat. Az európai felhasználók felé a YouTube szolgáltatója a Google Ireland Limited, a TikToké a TikTok Technology Limited. Mindkét szolgáltató továbbíthat adatot az Európai Gazdasági Térségen kívülre. A Google LLC (USA) részt vesz az EU–USA adatvédelmi keretrendszerben (Data Privacy Framework); a TikTok az Európai Bizottság általános szerződési feltételeire hivatkozik. A honlap a videókat csak a látogató kifejezett hozzájárulása után tölti be, a YouTube-videókat a kiterjesztett adatvédelmi módban (youtube-nocookie.com).
4.8. Támogatott gyermek történetének, képének és egészségi állapotára utaló adatainak közzététele
Az Alapítvány nem egészségügyi szolgáltató. A támogatás vagy a történet bemutatása érdekében nem kérhet és nem tarthat nyilván a közzétételhez szükségtelen részletességű diagnózist, kórtörténetet vagy orvosi dokumentumot. Csak a konkrét közzétételi célhoz feltétlenül szükséges, lehetőleg összefoglaló és kíméletes tartalom használható.
| Szempont | Tartalom |
|---|---|
| Érintettek | A támogatott gyermek, törvényes képviselője, valamint a közzétett képen vagy történetben felismerhető más személy. |
| Adatcsoportok | A gyermek neve vagy választott megjelölése, képmása, története, életkora vagy más azonosító adata, továbbá az egészségi állapotra utaló, a konkrét közzétételhez szükséges minimális információ. Orvosi dokumentum csak kivételesen, elkülönítetten és a közzétételhez szükséges mértékben kezelhető. |
| Cél | A támogatás céljának bemutatása, az Alapítvány küldetésének és eredményeinek ismertetése, valamint a nyilvánosság tájékoztatása. |
| GDPR-jogalap | A név, képmás és történet közzététele a törvényes képviselő önkéntes, konkrét, tájékozott és dokumentált hozzájárulásán alapul: GDPR 6. cikk (1) bekezdés a) pont. Az egészségi állapotra vonatkozó adat különleges adat; annak nyilvános közzétételéhez a GDPR 9. cikk (2) bekezdés a) pontja szerinti kifejezett hozzájárulás szükséges. |
| GDPR 9. cikk | A hozzájárulásnak külön meg kell határoznia az érintett adatokat, a felületeket, a célt és az időtartamot. A gyermek életkorának és érettségének megfelelő véleményét figyelembe kell venni. A hozzájárulás visszavonható, és a támogatás nyújtásának nem lehet feltétele. |
| Címzettek/adatfeldolgozók | A honlap látogatói és az internet nyilvánossága. Tárhely- és e-mail-szolgáltatás esetén Rackhost mint adatfeldolgozó. A szövegek angol és német fordításához Microsoft (Azure Translator), a titkosított biztonsági mentések tárolásához Cloudflare (R2) mint adatfeldolgozó. Közösségi vagy videós felületre továbbítás csak külön, kifejezett engedély és a konkrét felület megjelölése esetén. |
| Megőrzési idő | A közzétételi hozzájárulás és a nem nyilvános dokumentáció a közzététel időtartama alatt, majd a visszavonást követő 5 évig; jogvita esetén a jogvita lezárásáig. A nyilvános tartalmat visszavonáskor haladéktalanul el kell távolítani. A keresőmotorok gyorsítótárai felett az Alapítvány nem rendelkezik, de ésszerű eltávolítási kérelmet kezdeményez. |
Minden egyes közzétett tartalomhoz előzetes, írásbeli hozzájárulási nyilatkozat szükséges. A nyilatkozatnak rögzítenie kell a közzétett adatok körét, a felületeket, a célt, az időtartamot, a visszavonás módját és azt, hogy a visszavonás nem érinti a korábbi adatkezelés jogszerűségét. A hozzájárulás megtagadása vagy visszavonása nem járhat a támogatás megtagadásával vagy hátrányos megkülönböztetéssel.
4.9. Érintetti kérelmek, panaszok és incidens-nyilvántartás
| Szempont | Tartalom |
|---|---|
| Érintettek | Az a személy, aki a GDPR szerinti jogát gyakorolja, panaszt tesz, vagy akinek adatait adatvédelmi incidens érintheti. |
| Adatcsoportok | Azonosító és kapcsolattartási adatok, a kérelem vagy panasz tartalma, az érintett személyazonosságának ellenőrzéséhez szükséges minimális adatok, határidők, intézkedések, incidensleírás és kockázatértékelés. |
| Cél | Érintetti jogok teljesítése, panasz kivizsgálása, incidens dokumentálása, bejelentési és bizonyítási kötelezettségek teljesítése. |
| GDPR-jogalap | GDPR 6. cikk (1) bekezdés c) pontja a GDPR-ból és az Infotv.-ből fakadó kötelezettségek teljesítéséhez; GDPR 6. cikk (1) bekezdés f) pontja a jogi igények és az elszámoltathatóság biztosításához. |
| GDPR 9. cikk | Különleges adat csak akkor kerülhet a nyilvántartásba, ha az érintetti kérelem vagy incidens vizsgálatához elengedhetetlen; ilyenkor a GDPR 9. cikkének megfelelő feltételt dokumentálni kell. |
| Címzettek/adatfeldolgozók | Az Alapítvány kijelölt adatvédelmi felelőse és döntéshozói, szükség esetén adatvédelmi szakértő, hatóság, bíróság vagy biztosító; Rackhost mint adatfeldolgozó. |
| Megőrzési idő | Az érintetti kérelem és a teljesítés dokumentációja 5 évig. A hozzájárulás bizonyítéka a visszavonástól vagy az adatkezelés megszűnésétől 5 évig. Az incidensnyilvántartás az ügy lezárásától 5 évig, jogvita esetén annak lezárásáig. |
5. Adatfeldolgozók, címzettek és adattovábbítás
Az Alapítvány a szolgáltatói szerepeket az adott folyamat tényleges céljai és eszközei alapján minősíti. A SimplePay, a YouTube és a TikTok saját célú adatkezeléseik tekintetében nem minősülnek automatikusan adatfeldolgozónak. A Rackhost akkor adatfeldolgozó, amikor az Alapítvány nevében, annak dokumentált utasításai alapján tárhely- vagy e-mail-szolgáltatást nyújt; ehhez GDPR 28. cikke szerinti írásbeli adatfeldolgozói szerződés szükséges.
A honlap fejlesztését és üzemeltetését a Stark Debora e.v. térítésmentesen, adományként végzi. A honlapot kiszolgáló szervert (Rackhost), a biztonsági mentések külső tárhelyét (Cloudflare R2) és a gépi fordítást (Microsoft Azure Translator) a Stark Debora e.v. a saját nevére szóló szerződés alapján veszi igénybe; e szolgáltatók a Stark Debora e.v. további adatfeldolgozóiként járnak el, amelyhez az Alapítvány a GDPR 28. cikk (2) bekezdése szerinti általános írásbeli felhatalmazást ad. A Stark Debora e.v. a további adatfeldolgozók személyében tervezett változásról előzetesen tájékoztatja az Alapítványt. Az üzemeltetésben részt vevő adatfeldolgozók (Stark Debora e.v., Rackhost, Cloudflare) a honlapon keresztül kezelt valamennyi adatot érinthetik; a 4. pont táblázatai az egyes folyamatok sajátos címzettjeit tartalmazzák.
| Szolgáltató | Szerep és feladat | Elérhetőség / megjegyzés |
|---|---|---|
| SimplePay Zrt. | A fizetési szolgáltató saját célú adatkezelése tekintetében önálló adatkezelő/címzett; bankkártyás tranzakció lebonyolítása. | 1138 Budapest, Váci út 135–139. B. ép. 5. em.; https://simplepay.hu/adatkezelesi-tajekoztatok/ |
| Stark Debora egyéni vállalkozó | A honlap fejlesztése, üzemeltetése és karbantartása, a szerver és a biztonsági mentések kezelése. Az Alapítvány nevében és utasításai alapján GDPR 28. cikk szerinti adatfeldolgozó. | 2700 Cegléd, Hattyú utca 21.; https://starkerszoft.hu |
| Rackhost Zrt. | Tárhely- és e-mail-szolgáltató; az Alapítvány nevében végzett műveleteknél GDPR 28. cikk szerinti adatfeldolgozó. | 6722 Szeged, Tisza Lajos körút 41.; info@rackhost.hu; https://www.rackhost.hu/ |
| Cloudflare, Inc. (R2 tárhely) | A honlap adatbázisáról és feltöltött fájljairól naponta készülő biztonsági mentések szerveren kívüli tárolása. A mentések az adományozói és kapcsolatfelvételi adatokat is tartalmazzák; feltöltés előtt titkosítjuk őket, így tartalmukhoz a Cloudflare nem fér hozzá. A Stark Debora e.v. további adatfeldolgozója. | 101 Townsend Street, San Francisco, CA 94107, USA; a mentéseket az Európai Unió területén tárolja; https://www.cloudflare.com/privacypolicy/ |
| Microsoft Ireland Operations Limited (Azure Translator) | A honlap szövegeinek gépi fordítása angol és német nyelvre. A szövegek a támogatott gyermek nevét és egészségi állapotára utaló adatait is tartalmazhatják; a szolgáltató ezeket nem tárolja, és kizárólag a fordítás elkészítéséhez használja. A Stark Debora e.v. további adatfeldolgozója, a Microsoft adatfeldolgozói feltételei alapján. | One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Írország; a feldolgozás az Európai Unión belüli végponton történik; https://privacy.microsoft.com/ |
| Google Ireland Limited (YouTube) | A hozzájárulás után betöltött videó és a szolgáltató saját adatkezelése tekintetében címzett/önálló adatkezelő. | https://policies.google.com/privacy |
| TikTok Technology Limited | A hozzájárulás után betöltött videó és a szolgáltató saját adatkezelése tekintetében címzett/önálló adatkezelő. | https://www.tiktok.com/legal/privacy-policy |
Az Európai Gazdasági Térségen kívüli adattovábbítás csak a GDPR V. fejezetének megfelelő garanciák mellett történhet. A szolgáltatókra vonatkozó tudnivalók az alábbiak.
A Cloudflare, Inc. amerikai székhelyű vállalkozás, amely részt vesz az EU–USA adatvédelmi keretrendszerben (Data Privacy Framework), adatfeldolgozói feltételei pedig az Európai Bizottság általános szerződési feltételeit (SCC) is tartalmazzák. A biztonsági mentéseket olyan tárolóban helyezzük el, amely a Cloudflare kötelezettségvállalása szerint az adatokat kizárólag az Európai Unió területén tárolja, és a mentések már titkosítva kerülnek a szolgáltatóhoz.
A Microsoft a fordításra küldött szövegeket az Európai Unión belüli végponton dolgozza fel. Anyavállalata, a Microsoft Corporation (USA) részt vesz az EU–USA adatvédelmi keretrendszerben (Data Privacy Framework).
6. Adatbiztonság és belső adatvédelmi szabályok
6.1. Hozzáférés és titoktartás
Az Alapítvány szerepköralapú hozzáférést alkalmaz. Minden felhasználónak egyedi, erős jelszót és – ahol a rendszer lehetővé teszi – többtényezős hitelesítést kell használnia. Hozzáférés csak a feladat ellátásához szükséges mértékben és időtartamban adható. A hozzáféréseket legalább évente, valamint szerep- vagy személyi változáskor felül kell vizsgálni és a megszűnt jogosultságot haladéktalanul vissza kell vonni.
Az Alapítvány nevében személyes adatot kezelő tisztségviselő, munkatárs és közreműködő titoktartási kötelezettség alatt áll. A gyermekekre, egészségi állapotra, támogatási kérelmekre és adományozókra vonatkozó adatokat elkülönítetten, korlátozott hozzáféréssel kell kezelni.
6.2. Technikai és szervezési intézkedések
- Titkosított adatátvitel (HTTPS) és – ahol rendelkezésre áll – titkosított adattárolás.
- Rendszeres biztonsági frissítések, sérülékenységek kezelése és a rendszergazdai hozzáférések naplózása.
- Napi biztonsági mentés az adatbázisról és a feltöltött fájlokról: a szerveren 7 napig, külső, titkosított tárhelyen (Cloudflare R2, Európai Unió) 90 napig; a visszaállíthatóság időszakos ellenőrzése és a mentésekhez való hozzáférés korlátozása.
- A feltöltött képekből a rendszer által támogatott körben a beágyazott metaadatok, különösen a helymeghatározási adatok eltávolítása.
- A különleges adatok elkülönített, korlátozott és dokumentált kezelése; szükségtelen orvosi dokumentum nem gyűjthető.
- Az adatfeldolgozói szerződések, utasítások, hozzáférési listák és adatkezelési tevékenységek nyilvántartásának vezetése.
6.3. Adatvédelmi incidensek kezelése
Adatvédelmi incidens minden olyan biztonsági sérülés, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisüléséhez, elvesztéséhez, megváltoztatásához, jogosulatlan közléséhez vagy az azokhoz való jogosulatlan hozzáféréshez vezet. Az incidenst észlelő személy köteles azt haladéktalanul az Alapítvány kijelölt felelősének jelenteni.
- Az incidens azonosítása, azonnali elhatárolása és a további kár megelőzése.
- A tények, az érintett adatok, rendszerek, érintettek és a várható következmények rögzítése.
- Kockázatértékelés és annak eldöntése, hogy szükséges-e a NAIH értesítése. Ha az incidens kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a bejelentést indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül meg kell tenni a felügyeleti hatóságnál a GDPR 33. cikke szerint.
- Ha az incidens magas kockázattal jár, az érintetteket indokolatlan késedelem nélkül tájékoztatni kell a GDPR 34. cikke szerint.
- Az incidens, a kockázatértékelés, a megtett intézkedések és az értesítések nyilvántartása.
6.4. Adatkezelési tevékenységek nyilvántartása
Az Alapítvány a GDPR 30. cikke szerinti adatkezelési tevékenységek nyilvántartását vezeti vagy annak vezetéséről dokumentáltan gondoskodik. A nyilvántartásnak tartalmaznia kell legalább a célokat, az érintetti és adatkategóriákat, a címzetteket, a törlési határidőket, a technikai és szervezési intézkedéseket, valamint az adattovábbításokat.
7. Megőrzés, törlés és anonimizálás
Az Alapítvány az adatokat a jelen Szabályzatban rögzített időtartamig, illetve az alkalmazandó jogszabály által előírt hosszabb időtartamig őrzi. A megőrzési idő lejártakor az adatot törölni, anonimizálni vagy olyan módon kell archiválni, hogy az érintett azonosítása ne legyen lehetséges, kivéve, ha jogszabály vagy folyamatban lévő jogvita további megőrzést indokol.
A számviteli elszámolást alátámasztó adományozási dokumentumok, tranzakciós adatok és igazolások megőrzési ideje főszabály szerint a tárgyévet követő 8 év a számvitelről szóló 2000. évi C. törvény 169. §-a alapján. Hosszabb jogszabályi megőrzési kötelezettség esetén a hosszabb idő irányadó. A technikai és kapcsolatfelvételi adatokra az adatkezelési táblázatok szerinti rövidebb idő alkalmazandó.
Az éles rendszerből törölt adat a biztonsági mentésekben a mentés megőrzési idejének lejártáig, legfeljebb 90 napig még megmaradhat. A mentésekhez kizárólag adatvesztés utáni visszaállítás céljából lehet hozzáférni; visszaállítás esetén a közben törölt adatokat ismét törölni kell.
8. Az érintettek jogai és a jogorvoslat
Az érintett a GDPR 15–22. cikke alapján – a feltételek fennállása esetén – kérheti a rá vonatkozó adatokhoz való hozzáférést, azok helyesbítését, törlését, az adatkezelés korlátozását, élhet az adathordozhatóság jogával, tiltakozhat a jogos érdeken alapuló adatkezelés ellen, valamint kérheti az automatizált döntéshozatalhoz kapcsolódó jogainak biztosítását. A hozzájáruláson alapuló adatkezeléshez adott hozzájárulás bármikor visszavonható.
Az Alapítvány a kérelmekre indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül válaszol. Összetett vagy nagy számú kérelem esetén a határidő legfeljebb két hónappal meghosszabbítható; erről az Alapítvány az első hónapon belül tájékoztatást ad. Az Alapítvány a személyazonosság ellenőrzéséhez csak a szükséges mértékben kérhet további adatot.
A kérelmeket az mknalapitvany@gmail.com címen vagy a székhelyre küldött postai levélben lehet benyújtani. Az Alapítvány a jogszabályi kötelezettség alapján kezelt adatok törlését a kötelező megőrzési idő lejárta előtt megtagadhatja, de az adatkezelés korlátozását vagy a hozzáférést a GDPR szabályai szerint vizsgálja.
Az érintett panasszal fordulhat a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH), illetve bírósági jogorvoslatot vehet igénybe a GDPR 77. és 79. cikke, valamint az Infotv. alapján. A NAIH mindenkor hatályos hivatalos elérhetőségeit a https://naih.hu honlapon kell ellenőrizni; a Szabályzat nem rögzít változható postacímet.
9. Kiskorú adományozók és gyermekek érdeke
Az Alapítvány nem célzottan kiskorúaknak kínál adományozási szolgáltatást. Ezért a GDPR 8. cikke nem alkalmazható automatikusan minden adományozási helyzetre; annak alkalmazhatósága attól függ, hogy információs társadalommal összefüggő szolgáltatást kínálnak-e közvetlenül gyermek számára, és az adatkezelés hozzájáruláson alapul-e. Kiskorú adományozó esetén a polgári jogi cselekvőképességi szabályokat, az érintett életkorát és a törvényes képviselő bevonásának szükségességét eseti alapon kell vizsgálni.
A támogatott gyermekek adatainak kezelésekor a gyermek mindenek felett álló érdekét, életkorát, érettségét és véleményét figyelembe kell venni. A gyermek története vagy egészségi állapota nem használható fel a támogatás feltételeként, és a közzétételhez szükséges hozzájárulás hiánya nem eredményezhet hátrányt a támogatási kérelem elbírálásában.
10. A Szabályzat felülvizsgálata és módosítása
Az Alapítvány a Szabályzatot legalább évente, valamint új adatkezelés, szolgáltató- vagy rendszerbeállítás-változás, jogszabályváltozás vagy jelentős incidens esetén felülvizsgálja. A honlapon közzétett tájékoztató módosítása a közzététel időpontjától alkalmazandó; lényeges változás esetén az érintetteket jól látható módon kell tájékoztatni.