Adatfeldolgozási Szerződés (DPA)

Hatályos: 2026. október 6. · Verzió: 2026-10-06-2

Ez a dokumentum a Lashelp Felhasználási Feltételek (ÁSZF) elválaszthatatlan melléklete, és a GDPR 28. cikk (3) bekezdése szerinti írásbeli szerződésnek minősül a Szalon (adatkezelő) és a Lashelp (adatfeldolgozó) között. A Szalon ezt a szerződést a regisztrációkor, az ÁSZF elfogadásával együtt köti meg; az elfogadás tényét, időpontját, a verziót és az elfogadott szöveg tartalmi lenyomatát (SHA-256) a Lashelp naplózza.

Az adatfeldolgozó azonosító adatai az Impresszumban érhetők el. Az adatkezelő a Lashelpben regisztrált szalon, a fiókjában megadott azonosító adatokkal.

1. A feldolgozás tárgya, időtartama, jellege és célja

1.1. Tárgy. A Lashelp a Szalon megbízásából, a Szalon utasítására, a Lashelp platform nyújtásának keretében kezeli a Szalon vendégeinek és működésének személyes adatait.

1.2. Időtartam. A feldolgozás a Szalon fiókjának létrejöttétől a fiók megszűnéséig (illetve a törlési türelmi idő lejártáig) tart; a 8. pontban írt megőrzési utasítások szerinti adatokra a megőrzési idő végéig.

1.3. Jelleg és cél. Tárolás, rendszerezés, megjelenítés, továbbítás a Szalon által bekapcsolt integrációk felé, automatikus értesítés- és emlékeztetőküldés, számlázási adatok technikai továbbítása, a kiállított számla e-mailes kézbesítése és PDF-példányának megőrzése, a Költségekhez és a Leltár beérkezéséhez feltöltött blokk- és számlafotók gépi olvasása, biztonsági mentés, valamint a Szalon által kért támogatás és a hibaelhárítás. A cél kizárólag az ÁSZF szerinti szolgáltatás nyújtása.

1.4. Ami nem e szerződés szerinti adatfeldolgozás. A Lashelp üzemeltetőinek szalonokon átívelő vendégkeresése és annak 90 napos keresési naplója a Lashelp saját adatkezelése (GDPR 6. cikk (1) bekezdés f) pont: a platform biztonsága és a visszaélések megelőzése); erről a Lashelp Adatkezelési tájékoztatója 2.7. pontja szól. Ugyanez vonatkozik a Lashelp saját látogatottság-mérésére (a Lashelp önálló adatkezelő, a PostHog Inc. ebben a Lashelp saját adatfeldolgozója, nem a Szalon alfeldolgozója).

1.5. Anonimizálás a Szalon utasítására. A Szalon utasítja a Lashelpet, hogy a Szalon adataiból összesített, egyedi szalonra és érintettre vissza nem vezethető statisztikát készítsen. Az anonimizálást a Lashelp a Szalon megbízásából végzi, és a szolgáltatás fejlesztéséhez kizárólag az anonim eredményt használja; a Szalon személyes adatait ehhez saját célra nem kezeli és nem őrzi meg.

2. Az érintettek és az adatok kategóriái

2.1. Érintettek: a Szalon vendégei (ideértve a foglalást leadó, de meg nem jelent személyeket is), a Szalon munkatársai, valamint a Szalonnak írt üzenetek küldői.

2.2. Személyes adatok kategóriái: azonosító és kapcsolattartási adatok (név, e-mail, telefon); számlázási adatok (név, cím, adószám); foglalási és szolgáltatási adatok; vendégkártya-feljegyzések és preferenciák; fényképek (munkafotó, pilla-térkép, a vendég által feltöltött kép); üzenetek tartalma és metaadatai; fizetési metaadat; hozzájárulás-események és foglalási nyilatkozatok; a kiállított számlák adatai és PDF-példánya; a Költségekhez és a Leltár beérkezéséhez feltöltött blokk- és számlafotók (ezeken személyes adat, például a pénztáros neve vagy a kártya utolsó számjegyei is szerepelhet); ha a Szalon SMS-t küld, az SMS-ek naplója (sablon, időpont, kézbesítési állapot, a szöveg nélkül) és az SMS-re vonatkozó hozzájárulás. Technikai és hirdetési adatok: a foglalási link kampány-paraméterei és hirdetés-azonosítója (utm, ad_id; legfeljebb 13 hónap); ha a Szalon hirdetésmérési átadást kapcsol be: a hirdetési sütik azonosítói és a partner-azonosító (fbc, fbp; legfeljebb 13 hónap), a vendég hozzájárulásával a foglaló böngésző IP-címe és User-Agentje (legfeljebb 30 nap), a sütisávon adott hozzájárulással a foglaló oldal lépései (legfeljebb 90 nap).

2.3. Különleges kategóriájú adatok. A feldolgozás kiterjed a GDPR 9. cikke szerinti egészségügyi jellegű adatokra (allergia, érzékenység, kontaktlencse, várandósság, vérzékenység, hegesedésre való hajlam, és a Szalon egészségügyi jellegű feljegyzései). A Lashelp ezekre az adatokra a 6. pont szerinti fokozott biztonsági intézkedéseket alkalmazza, és nem továbbítja őket sem a fizetési, sem a számlázási, sem a naptár-integráció felé.

3. Az adatkezelő (Szalon) kötelezettségei

3.1. A Szalon szavatolja, hogy a személyes adatokat jogszerűen gyűjtötte, megfelelő jogalappal rendelkezik, és az érintetteket a GDPR 13–14. cikke szerint tájékoztatta — ideértve a saját adatkezelési tájékoztatójának közzétételét a nyilvános foglalási oldalán. Ha a Szalon más rendszerből vendégadatokat hoz be, a GDPR 14. cikk (3) bekezdése szerinti tájékoztatásról maga gondoskodik.

3.2. A különleges kategóriájú (egészségügyi jellegű) adatok kezeléséhez a Szalon köteles gondoskodni a GDPR 9. cikk (2) bekezdése szerinti jogalapról. A Lashelp platform ehhez a foglalás során külön, előre nem bejelölt, kifejezett hozzájárulást kér a vendégtől, ha a foglaláshoz foglalási kérdés tartozik; a hozzájárulás a szolgáltatás biztonságos elvégzésére és a vendég következő foglalásaihoz való megőrzésre szól. A Lashelp a hozzájárulás tényét, idejét, szövegét és verzióját naplózza; a hozzájárulás a vendégportálon és a Szalon elérhetőségein visszavonható. A Szalon kézi feljegyzéseiben, a foglalási zárolás indokában és a behozott jegyzetekben rögzített egészségügyi jellegű adatért a Szalon felel.

3.3. Kiskorú vendég. Ha a Szalon 18. életévét be nem töltött vendéget fogad, a foglalás és az egészségügyi jellegű adatok megadása a törvényes képviselő közreműködésével történhet; ennek biztosítása a Szalon mint adatkezelő felelőssége. A Lashelp ehhez annyit nyújt, hogy a 3.2. pont szerinti hozzájárulás szövege tartalmazza a vendég nyilatkozatát arról, hogy elmúlt 18 éves, vagy a törvényes képviselője hozzájárulásával foglal, és a nyilatkozatot a hozzájárulással együtt naplózza. A Lashelp az életkort nem ellenőrzi és nem is tudja ellenőrizni: a nyilatkozat a vendég kijelentése, nem igazolás. A vendégeket erről a Szalon adatkezelési tájékoztatója tájékoztatja.

3.4. A Szalon felel az általa a platformra felvitt adatok pontosságáért és jogszerűségéért, valamint azért, hogy a munkatársainak adott hozzáférés a szükséges mértékre korlátozódjon.

3.5. A reklám-hozzájárulások nyilvántartása. A Szalon foglaláson túli leveleit és promóciós SMS-eit (köszönő levél, töltés-emlékeztető, szabad időpont ajánlata, ajánlat félbehagyott foglalás után) a Lashelp a Szalon nevében és megbízásából küldi, és a sablonjukat a Lashelp írja; ezekben a Lashelp a Szalon reklámjának közzétevője, és a Szalonnal együtt felelhet. Az ezekhez adott hozzájárulások és visszavonások naplóját a Lashelp a Szalon mint reklámozó nevében, a gazdasági reklámtevékenységről szóló 2008. évi XLVIII. törvény (Grt.) 6. § (5) bekezdése szerinti nyilvántartásként vezeti. A Szalon postai vagy e-mail-címére érkezett visszavonást a Szalon rögzíti a Lashelpben.

4. Az adatfeldolgozó (Lashelp) kötelezettségei

4.1. Utasításhoz kötöttség. A Lashelp a személyes adatokat kizárólag a Szalon dokumentált utasítása alapján kezeli. Dokumentált utasításnak minősül:

• az ÁSZF és a jelen szerződés, a szolgáltatásnak a Mellékletben felsorolt, a Szalon által ki nem kapcsolható automatikus funkcióival együtt;
• a Szalon beállításai és műveletei a szolgáltatásban (például mely foglalási kérdéseket, leveleket és integrációkat kapcsol be, milyen adatot rögzít, hoz be, módosít vagy töröl);
• a Szalon fiókjához tartozó e-mail-címről a support@lashelp.hu címre küldött írásbeli utasítás, ha a szolgáltatás keretében végrehajtható.

Új, a Szalon által ki nem kapcsolható automatikus funkciót a Lashelp csak a jelen szerződés (és a Melléklet) módosításával vezethet be, a 9.2. pont szerinti értesítéssel; a Szalon a módosítással szemben az értesítési idő alatt kifogást emelhet, és ha a kifogást nem sikerül feloldani, a szerződést további jogkövetkezmény nélkül felmondhatja. Ha a Lashelpet uniós vagy tagállami jog kötelezi további adatkezelésre, erről a feldolgozás előtt tájékoztatja a Szalont, kivéve, ha ezt a jog fontos közérdekből tiltja.

4.2. Jelzési kötelezettség. A Lashelp haladéktalanul tájékoztatja a Szalont, ha megítélése szerint az utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezést.

4.3. Titoktartás és hozzáférő személyek. A Lashelp gondoskodik arról, hogy a személyes adatokhoz hozzáférő személyek titoktartási kötelezettséget vállaljanak, és csak a feladatuk ellátásához szükséges mértékben férjenek hozzá. A Lashelp munkaviszonyban álló munkatársai a GDPR 29. cikke szerint, a Lashelp irányítása alatt járnak el. Aki a saját vállalkozásában, szerződés alapján kap konzol- vagy adatbázis-hozzáférést, az alfeldolgozó: a Lashelp vele a GDPR 28. cikke szerinti szerződést köt, és az 5.2. pont listájára veszi.

4.4. Adatbiztonság. A Lashelp a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket alkalmazza — részletesen a 6. pontban.

4.5. Segítségnyújtás. A Lashelp a rendelkezésére álló eszközökkel segíti a Szalont

• az érintetti kérelmek teljesítésében (GDPR 12–22. cikk), különösen a platformba épített vendég-törlési, hozzájárulás-kezelési és adatlekérdezési funkciókkal;
• az adatbiztonsági kötelezettségek, az incidensbejelentés, az adatvédelmi hatásvizsgálat és az előzetes konzultáció teljesítésében (GDPR 32–36. cikk). A foglalási egészségügyi kérdésekre, a fényképekre és az online foglalás automatikus leállítására a Lashelp minta-hatásvizsgálatot készít, és azt a Szalon kérésére átadja; a Szalon azt a saját körülményeivel kiegészítve a sajátjaként elfogadhatja.

4.6. Adatvédelmi incidens. A Lashelp az általa észlelt vagy tudomására jutott adatvédelmi incidensről haladéktalanul, de legkésőbb 24 órán belül értesíti a Szalont a support@lashelp.hu-ról küldött üzenetben, és megadja az incidens jellegét, a valószínű következményeket és a megtett intézkedéseket. A hatósági bejelentés a Szalon mint adatkezelő kötelezettsége.

4.7. Ellenőrzés. A Lashelp a Szalon rendelkezésére bocsát minden olyan információt, amely a 28. cikk szerinti kötelezettségek teljesítésének igazolásához szükséges, és lehetővé teszi — előzetes írásbeli kérésre, naptári évenként legfeljebb egy alkalommal, ésszerű időben, a Lashelp működésének aránytalan zavarása nélkül — az auditot, ideértve a helyszíni vizsgálatot is. Az éves korlát nem alkalmazandó, ha az auditot adatvédelmi incidens vagy hatósági megkeresés indokolja. Az audit saját költségeit mindegyik fél maga viseli; a Lashelp a Szalontól legfeljebb az audit miatt ténylegesen felmerült, arányos többletköltségét kérheti, a Lashelpnek felróható hiányosságot feltáró auditnál semmit.

4.8. Üzemeltetői hozzáférés a vendégadatokhoz. A Lashelp kijelölt üzemeltetői a Szalon vendégadataihoz kizárólag a Szalon által kért támogatás, a hibaelhárítás és a platform biztonsága érdekében, ügyszámhoz kötött, legfeljebb 60 perces betekintésben férnek hozzá. Az alapnézetben a személyes adatok kitakarva látszanak, és minden megjelenítés naplózott. Különleges adat megjelenítéséhez, valamint adat módosításához vagy törléséhez egy második üzemeltető előzetes jóváhagyása szükséges. A hozzáférési naplót a Lashelp a Szalon kérésére, a 4.7. pont szerint rendelkezésre bocsátja.

5. Alfeldolgozók

5.1. A Szalon általános felhatalmazást ad a Lashelpnek alfeldolgozók igénybevételére. A Lashelp az alfeldolgozóra ugyanazokat az adatvédelmi kötelezettségeket hárítja, mint amelyek őt terhelik, és az alfeldolgozó tevékenységéért úgy felel, mintha maga járt volna el.

5.2. Az igénybe vett alfeldolgozók:

A Lashelp saját vállalkozásában dolgozó, hozzáféréssel rendelkező természetes személyt jelenleg nem vesz igénybe.

5.3. Nem alfeldolgozók. Az alábbi szolgáltatókkal a Szalon közvetlen jogviszonyba lép; a Lashelp feléjük az adatokat a Szalon utasítására, az adott integráció bekapcsolásával továbbítja, és csak a továbbításért felel:

• a Stripe Payments Europe, Ltd. a fizetés lebonyolítására a Szalon (mint kereskedő) adatfeldolgozója, a csalásmegelőzésre, az ügyfél-azonosításra és a jogi megfelelésre önálló adatkezelő, a Stripe saját adatfeldolgozási szerződése szerint;
• a Meta Platforms Ireland Ltd. a Metán át küldött üzenetekre önálló adatkezelő;
• a Google a naptár-integráció körében a Szalon Google-fiókjának típusa szerint jár el: Google Workspace-fióknál a Szalon adatfeldolgozója, magánfióknál önálló adatkezelő;
• a KBOSS.hu Kft. (Számlázz.hu) és a Szalon által bekötött más számlázó szolgáltató a Szalon saját adatfeldolgozója, a Szalon saját fiókján és kulcsán keresztül;
• A Szalon által a Lashelp-fiókjában (Fejlesztőknek) megadott fogadó cím (webhook) vagy API-kulcs birtokosa, a Szalon saját vagy általa megbízott rendszere. A Lashelp a Szalon utasítására, a Szalon által kiválasztott eseményeket és adatköröket továbbítja; egészségügyi adatot nem továbbít. A címzett adatkezeléséért a Szalon felel; a Lashelp csak a továbbításért.

5.4. Változás. Új alfeldolgozó igénybevétele vagy meglévő lecserélése, illetve egy alfeldolgozó új feladata előtt a Lashelp legalább 30 nappal korábban, e-mailben értesíti a Szalont. A Szalon az értesítéstől számított 14 napon belül, indokolással kifogást emelhet; ha a kifogást nem sikerül feloldani, a Szalon az érintett szolgáltatásra vonatkozóan felmondhatja a szerződést további jogkövetkezmény nélkül. Ha az új alfeldolgozót csak egy, a Szalon által bekapcsolandó funkció veszi igénybe, a Szalon a bekapcsoláskor az alfeldolgozót név szerint megnevező eseti felhatalmazást is adhat; ilyenkor a funkció a felhatalmazás után azonnal használható.

6. Technikai és szervezési intézkedések (GDPR 32. cikk)

• Titkosítás: az adatok átvitel közben (TLS) és tárolás közben titkosítva vannak; a különösen érzékeny technikai titkok külön kulcskezelő szolgáltatásban, titkosítva tárolódnak.
• Hozzáférés-kezelés: szerepkör-alapú jogosultság; szalonok közötti szigorú adatelkülönítés; az adatbázishoz jelszó nélküli, személyre szóló, ideiglenes hitelesítés.
• Emelt szintű védelem az üzemeltetői hozzáférésen: külön munkamenet, engedélylista és kötelező kétlépcsős azonosítás, minden hozzáférés naplózásával; a személyes adatok alapértelmezett kitakarása, ügyszámhoz kötött és időben korlátozott betekintés, valamint négyszemes jóváhagyás a különleges adatokhoz és minden adatmódosításhoz (4.8. pont).
• Naplózás: a biztonsági és adatkezelési események (belépés, jogi elfogadás, hozzájárulás változása, törlés) naplózottak és visszakereshetők.
• Alkalmazásbiztonság: szigorú tartalombiztonsági szabályzat (CSP), amely külső szkript betöltését csak a fizetési szolgáltató, a bejelentkezés és a Lashelp saját látogatottság-mérése számára engedi; a látogatottság-mérés a képernyő tartalmát nem továbbítja, és a címsorból sem továbbít azonosítót vagy hozzáférési kódot. A feltöltött fájlok nem nyilvános tárolóban, kizárólag aláírt, időkorlátos hivatkozással érhetők el.
• Rendelkezésre állás: rendszeres, automatikus biztonsági mentés; az adatok az Európai Unión belül (eu-west-1) tárolódnak.
• Adatminimalizálás: az egészségügyi jellegű adatok nem kerülnek a fizetési, számlázási és naptár-integrációkba; a naptáresemény résztvevőt nem tartalmaz.

7. Harmadik országba történő továbbítás

A Lashelp az adatokat az Európai Unión belül tárolja. Ha valamely alfeldolgozó művelete kiterjed az Európai Gazdasági Térségen kívülre, az a GDPR V. fejezete szerint, az alábbi garanciával történik:

A garanciák fennállását a Lashelp évente ellenőrzi, és ha egy garancia megszűnik, erről a Szalont haladéktalanul tájékoztatja. Az alkalmazott garancia másolatát a Szalon a support@lashelp.hu címen kérheti.

8. Az adatok visszaadása és törlése

8.1. A szerződés megszűnésekor a Lashelp — a Szalon választása szerint — az adatokat visszaadja vagy törli, és a meglévő másolatokat törli, kivéve, ha uniós vagy tagállami jog a tárolást előírja, vagy a 8.3. pont szerinti megőrzési utasítás vonatkozik rájuk.

8.2. A Szalon a fiókja törlését az alkalmazásból kezdeményezheti. A törlés 30 napos, visszavonható türelmi idő után végleges. Ezt követően a Lashelp törli a fájltárolóból a feltöltött médiát, a titkosított technikai titkokat, a hitelesítési szolgáltatónál lévő felhasználót, majd egyetlen adatbázis-tranzakcióban anonimizálja a foglalásokat és a vendégeket, és törli a szalonhoz kötött adatokat.

8.3. Megőrzés a Szalon utasítására. A Szalon utasítja a Lashelpet, hogy a fiók törlése után is őrizze meg:

• a szolgáltatásban kiállított számlákat, zárótételeket és a számlák archivált példányát a vevő adataival, a Szalon megőrzési kötelezettségének teljesítéséhez (archiválási szolgáltatás): a számviteli törvény hatálya alá tartozó Szalonnál a kiállítás évét követő 8 évig, egyéni vállalkozó Szalonnál az adó megállapításához való jog elévüléséig (főszabályként annak a naptári évnek az utolsó napjától számított 5 évig, amelyben az adóról bevallást kellett tenni). A megőrzési idő leteltével a Lashelp ezeket kérés nélkül, automatikusan törli; a megőrzött példányokat a Szalon addig a Lashelptől kérheti;
• a vendégfizetési tételeket (összeg, állapot, Stripe-azonosító) név és elérhetőség nélkül: a bizonylathoz kötött tételt a bizonylat megőrzési idejéig; a bizonylathoz nem kötött tételt a visszaterhelés elleni védekezéshez a fizetés napjától számított 5 évig, de ha a tétel a Lashelp platformdíj-számlájának alapja, legalább a fizetés évét követő hatodik naptári év végéig; utána a napi törlés eltávolítja őket;
• a foglalási nyilatkozatok és hozzájárulások vázát (típus, állapot, időpont), szöveg, név és elérhetőség nélkül, a nyilatkozat időpontjától számított 5 évig; a meg nem valósult foglaláshoz tartozó nyilatkozat-sorok a nyilatkozattól számított 30 nap után törlődnek;
• a kiküldött átárazási értesítés tényét, a küldés idejét, a szolgáltatás nevét, az időpont kezdetét, valamint a régi és az új árat, név és elérhetőség nélkül, a küldéstől számított 5 évig; az értesítő levél szövegét a Lashelp nem tárolja.

A hozzájárulás-események és a biztonsági naplók a személyes azonosítók eltávolítása mellett, a Szalon adatkezelési tájékoztatójában írt ideig maradnak meg. A Lashelp üzemeltetői módosítási naplójából a vendégadat-tartalom (a módosítás előtti és utáni állapot) a Szalon törlésével törlődik, illetve anonimizálódik; a művelet ténye (ki, mikor, mit) a bejegyzéstől számított 5 évig marad meg.

8.4. A Szalon a saját vendége törlési kérelmét az alkalmazásból hajthatja végre; ekkor a Lashelp anonimizálja a vendéghez tartozó foglalásokat és hozzájárulás-eseményeket, és törli a válaszait, preferenciáit, beszélgetéseit.

8.5. Törlés a Lashelp kezdeményezésére. A Lashelp a Szalon adatait saját kezdeményezésére csak akkor törli, ha az ÁSZF a Lashelp indokolással ellátott, tartós adathordozón közölt felmondásával megszűnt, a megszűnéstől legalább 30 nap eltelt, és a törlés tervezett időpontjáról a Szalont legalább 30 nappal korábban, a fiókjához tartozó e-mail-címre küldött értesítésben tájékoztatta. A Szalon felfüggesztése önmagában nem ad alapot a törlésre. Az értesítési idő alatt a Szalon olvasási hozzáféréssel rendelkezik az adataihoz, kimentheti őket, és kérheti a visszaadásukat; ha a visszaadást ezen időn belül kéri, a Lashelp az adatokat a visszaadás előtt nem törli. Rövidebb határidővel a Lashelp csak akkor töröl, ha jogszabály vagy hatósági határozat kötelezi rá, vagy ha a Szalon a korábbi törlést kifejezetten kéri. Ha a vállalkozásnak kiállított számlája van, a Lashelp a számlaadatokat a 8.3. pont szerint megtartja, a többi adatot legkésőbb a megszűnést követő 6 hónapon belül törli; addig azokat korlátozott hozzáférés mellett tárolja, és a Szalon kérésére visszaadja.

9. Felelősség és záró rendelkezések

9.1. A felek felelősségére a GDPR 82. cikke és az ÁSZF 6.3. pontja irányadó. Az ÁSZF 6.3. pontja szerinti felső határ nem vonatkozik az adatvédelmi incidensre, a súlyosan gondatlan szerződésszegésre, a Lashelp által írt és a Szalon által nem szerkeszthető sablonok (a Szalon adatkezelési tájékoztatója, foglalási és fizetési feltételei) hibájából eredő kárra, valamint a Szalonnak a GDPR 82. cikk (5) bekezdése szerinti visszkereseti igényére.

9.2. A Lashelp ezt a szerződést az ÁSZF módosítására vonatkozó szabályok szerint — legalább 15 napos előzetes értesítéssel, amelyet e-mailben is elküld — módosíthatja; az alfeldolgozók változására az 5.4. pont irányadó.

9.3. A jelen szerződésben nem szabályozott kérdésekben az ÁSZF, a GDPR és az Infotv. az irányadó.

Melléklet: a Szalon által ki nem kapcsolható automatikus funkciók

A szolgáltatás az alábbi automatikus műveleteket a Szalon beállításaitól függetlenül végzi; ezek a 4.1. pont szerinti dokumentált utasítás részei. Új ilyen funkció csak a jelen szerződés módosításával kerülhet ide (4.1. pont).