Adatkezelési Tájékoztató (GDPR)

1 Az Adatkezelő adatai

Cégnév: BNR PRO INVEST Kft.
Székhely: 6000 Kecskemét, Mária hegy 419.
Cégjegyzékszám: 03-09-133521 (Kecskeméti Törvényszék Cégirodája)
Adószám: 27349858-2-03
Közösségi adószám: HU27349858
E-mail: info@megkimelt.hu
Adatvédelmi kapcsolattartó: info@megkimelt.hu

2 Adatvédelmi tisztviselő (DPO) elérhetősége

Az Adatkezelő nem köteles külön adatvédelmi tisztviselőt kijelölni a GDPR 37. cikke alapján, azonban a felhasználók adatvédelmi kérdéseiben az Adatkezelő részéről kapcsolattartó:

E-mail: info@megkimelt.hu
Postai cím: BNR PRO INVEST Kft., 6000 Kecskemét, Mária hegy 419.

3 Az adatkezelés céljai, jogalapja, kezelt adatok köre, megőrzési idő

Az Adatkezelő az alábbi célokból, jogalapokon kezel személyes adatokat:

Cél	Jogalap (GDPR 6. cikk)	Kezelt adatok	Megőrzés
Regisztráció, fiókkezelés	(b) szerződés	név, e-mail, jelszó-hash, telefonszám	fiók törléséig
Hirdetésfeladás, közvetítés	(b) szerződés	jármű-adatok, fotók, ár, hirdető elérhetősége	hirdetés lejártáig + 30 nap
Alvázszám (VIN) — bizalmi jelzés és jármű-előélet ellenőrzés	(b) szerződés; az előzmény-ellenőrző partnernek történő átadás az érdeklődő kezdeményezésére	a hirdető által önkéntesen megadott alvázszám. A teljes alvázszám a hirdetésen nem jelenik meg — a látogatók csak a megadás tényét látják; az alvázszámot kizárólag az érdeklődő kérésére (az „Előzmény-ellenőrzés" gombra kattintva) adjuk át a jármű-előélet szolgáltató partnernek	hirdetés törléséig
Hatósági jármű-riport (SZÜF/JSZP) megjelenítése és kiolvasása	(b) szerződés + (f) jogos érdek (kilométeróra-visszaélések megelőzése)	a hirdető által önkéntesen feltöltött Járműszolgáltatási Platform riport (PDF), valamint az abból automatikusan kiolvasott jármű-adatok (rendszám, rögzített km-óra állások, műszaki érvényesség, tulajdonos-szám). A riport a hirdetésen nyilvánosan megtekinthető — erről a hirdető a feltöltéskor kifejezett tájékoztatást kap. A riport a hatósági rendszer sajátossága folytán természetes személy adatait nem tartalmazza	a riport a hirdetés törléséig; a kiolvasott km-történet (rendszám + km + dátum) visszaélés-megelőzési célból a hirdetéstől függetlenül
Számlázás (Sztv. teljesítés)	(c) jogi kötelezettség	számlázási név, cím, adószám, számla-tartalom	8 év (Sztv. 169. §)
Marketing-emailek (hírlevél)	(a) hozzájárulás	e-mail cím, név, érdeklődési kör	visszavonásig
Tippek és kiemelési ajánlatok a hirdetéseidhez (e-mail)	(a) kifejezett hozzájárulás (Grt. 6. § (1)) — önkéntes, nem feltétele a hirdetésfeladásnak, bármikor díjmentesen visszavonható a levél alján, a hirdetés oldalán, a Hirdetéseim-ben vagy a Profil › Hozzájárulások menüben; a visszavonás nem érinti a korábbi adatkezelés jogszerűségét	név, e-mail-cím, a hirdetés azonosítója és adatai; a hozzájárulás időpontja, felülete, a megjelenített szöveg, IP-cím és böngésző-azonosító	visszavonásig vagy a fiók törléséig; a hozzájárulást igazoló napló a visszavonástól 5 évig
„Szólj, ha jön hasonló” — e-mail-értesítő új, hasonló hirdetésekről (eladott, levett vagy lejárt hirdetés oldaláról kérve)	(a) hozzájárulás — belépés nélkül a megadott címre küldött megerősítő levéllel (kettős megerősítés), belépve a mentett keresés e-mail-értesítőjének bekapcsolásával; bármikor díjmentesen visszavonható a levelek alján egy kattintással, belépve a Mentett keresések oldalon	e-mail-cím, a figyelt feltételek (kategória, márka, modell, évjárat-sáv), a kérés forrás-hirdetése és oldala; a kérés, a megerősítés és a leiratkozás időpontja, a megjelenített szöveg, IP-cím és böngésző-azonosító; a kiküldött levelek száma és utolsó időpontja	a meg nem erősített kérés 30 napig; a megerősített értesítő a leiratkozásig, utána 30 nap múlva törlődik; a hozzájárulást igazoló napló a visszavonástól 5 évig
Hirdetés-összesítő (szolgáltatási értesítő a hirdetés első napjairól)	(b) szerződés teljesítése — a hirdetési szolgáltatás része; reklámot csak külön hozzájárulás esetén tartalmaz; a levél alján vagy a Profilban bármikor le lehet iratkozni	név, e-mail-cím, a hirdetés adatai és összesített statisztikája (megtekintések, mentések, üzenetek, telefonszám-megtekintések száma), lejárat	a fiók fennállásáig
E-mail-teljesítmény mérése (megnyitás, hivatkozás-kattintás)	(f) jogos érdek — annak megállapítása, hogy a kiküldött levél elérte-e a célját, és mely tartalom hasznos a címzettnek	a levélben elhelyezett álneves küldemény-azonosító; a megnyitás és a levélben lévő hivatkozásokra történő kattintás ténye, ideje és a hivatkozás címe. A leiratkozó és hozzájárulás-kezelő hivatkozások mérése nem történik. IP-címet és böngésző-azonosítót nem tárolunk — az ismételt lekérések kiszűrésére szolgáló technikai lenyomat kizárólag átmeneti gyorsítótárban, legfeljebb egy óráig él	a levél naplóbejegyzésével azonos ideig
Látogatói analitika	(a) cookie-hozzájárulás	IP-alapú hozzávetőleges helymeghatározás (ország/megye/város) — a teljes IP-címet kizárólag a memóriában, a helymeghatározás pillanatáig használjuk, tárolás előtt azonnal anonimizáljuk (IPv4: /24, IPv6: /48); eszköz- és böngészőadatok; megtekintett oldalak, görgetési mélység; első érintéses forrás (UTM); hozzájárulással beállított álneves látogatóazonosító (mk_vid)	30 nap
Kattintás-hőtérkép	(a) hozzájárulás	kattintás-koordináták, elem-típus és -azonosító (a kattintott elem szöveges tartalma nélkül)	30 nap
Google Analytics 4 (GA4) — látogatottság-mérés	(a) hozzájárulás	álneves süti-azonosító (_ga, _ga_XFPWBPTLHW), csonkolt IP-cím alapján hozzávetőleges helymeghatározás (ország/város), megtekintett oldalak és események, eszköz- és böngészőadatok, forgalmi forrás. Hozzájárulás hiányában a Google Consent Mode v2 süti-mentes (cookieless) módban működik: sem süti nem kerül az eszközre, sem álneves azonosító nem jön létre.	14 hónap (a Google rendszerében)
Google AdSense — hirdetéskiszolgálás	(a) hozzájárulás	hirdetési azonosítók (__gads, __gpi, IDE), IP-cím, megtekintett oldalak, hirdetés-interakciók. Hozzájárulás hiányában az AdSense-szkript be sem töltődik.	legfeljebb 13 hónap (a Google rendszerében)
Hirdetéseink (bannerek) megjelenésének és kattintásainak mérése	(f) jogos érdek — a hirdetési felületek elszámolása és hatékonyságuk mérése	napi összesített darabszámok hirdetésenként, hirdetési helyenként, méretenként és eszköztípus (mobil/asztali) szerint: betöltés, legalább egy másodperces megjelenés, kattintás. Süti, azonosító és IP-cím nem tárolódik — a véletlen dupla kattintások kiszűrésére szolgáló technikai lenyomat (az IP-cím és a böngésző-azonosító sózott hash-e) kizárólag átmeneti gyorsítótárban, legfeljebb 10 percig él. A hirdetőnek átadott hivatkozás csak a kampány, a hirdetési hely és a hirdetés nevét tartalmazza (UTM-paraméterek)	az összesített számok időkorlát nélkül; a technikai lenyomat legfeljebb 10 perc
Folyamatok elakadásának mérése (hirdetésfeladás és -szerkesztés, regisztráció, belépés, e-mail-megerősítés, fizetés, sütisáv)	(f) jogos érdek — annak felderítése, hol akadnak el vagy hol nehezebb a folyamat, és a hibák javítása; a látogatói útvonalnál (a) hozzájárulás (statisztikai sütik)	napi összesített darabszámok: melyik folyamat melyik lépéséig jutottak, melyik mezőnél volt hiba (a beírt érték nélkül), az eltelt idő sávja, visszalépés, technikai hibakód és a hiba lenyomata, belépett-e a felhasználó. Fotófeltöltési hibánál a hiba oka, a fájl méretsávja és típusa, valamint az eszköz operációs rendszerének és böngészőjének típusa (pl. „Android / Chrome”) — fájlnév, IP-cím és azonosító nélkül. A sütisávnál: megjelent-e, hol és melyik gombbal döntött a látogató, illetve döntés nélkül hány másodperc után távozott — süti és azonosító nélkül. Statisztikai hozzájárulás esetén a lépések időrendje a látogatói munkamenethez kötve is tárolódik; a hozzájárulás visszavonásakor leválasztjuk	az összesítők 400 napig, a látogatói útvonal 90 napig
Összesített látogatottsági statisztika	— (anonim adat, a GDPR hatályán kívül)	napi aggregátumok (ország/megye/eszköz/böngésző szerinti darabszámok, személyhez nem köthetően); hozzájárulás hiányában süti és azonosító nélküli napi oldalszámláló (csak a nap, az oldal címe és a darabszám — IP-cím, eszköz- és böngészőadat nélkül)	időkorlát nélkül
Chat-üzenetek	(b) szerződés	üzenet-tartalom, küldő/címzett, időbélyeg	fiók törléséig
Kereskedő cégének hitelesítése személyazonosítással („Hitelesített partner”) — választható, a céges e-mailes hitelesítés mellett	(a) hozzájárulás — a biometrikus adatra a GDPR 9. cikk (2) bekezdés a) pontja szerinti kifejezett hozzájárulás, az azonosítás indítása előtt külön jelölőnégyzettel; bármikor visszavonható	nálunk: az okmányon szereplő név, az ellenőrzés eredménye és időpontja, a hozzájárulás időpontja, a Didit-munkamenet azonosítója. Az okmány képét, a szelfit és az arcképes összevetést a Didit (adatfeldolgozónk) kezeli; ezeket mi nem töltjük le és nem tároljuk — csak ha a Didit egy azonosítást kézi ellenőrzésre jelöl, munkatársunk a Didit felületén megtekinti őket a döntéshez	nálunk a fiók törléséig; a Didit-nél a munkamenetet minden adatával (képek, kiolvasott és arcképes adatok) a döntés (hitelesítés vagy elutasítás) után haladéktalanul töröltetjük, a félbehagyott azonosításét a lejáratakor vagy újrakezdéskor
Visszaélés-megelőzés, biztonság	(f) jogos érdek	IP-cím, User-Agent, audit-naplók	12 hónap
Üzleti kapcsolatfelvételi lista (kereskedő-partnerek megkeresése)	(f) jogos érdek — üzleti partneri kapcsolat kiépítése; az adatok forrása: nyilvánosan elérhető cégadatok (cégnyilvántartás, a kereskedés saját honlapja)	cégnév, céges e-mail cím, telefonszám, weboldal	tiltakozásig, de legfeljebb az utolsó kapcsolatfelvételtől számított 12 hónapig; leiratkozásnál a cím tiltólistára kerül
Szolgáltatási értesítők és emlékeztetők (fiók-aktiválási segítség, hirdetés-lejárat, olvasatlan üzenet)	(f) jogos érdek — a megkezdett szolgáltatás használatának segítése; reklámot nem tartalmaznak, számuk korlátozott, és bármelyik levélből egy kattintással lemondhatók	név, e-mail cím, fiók-aktivitási állapot	a fiók fennállásáig / leiratkozásig
Meta (Facebook) Pixel és szerveroldali mérés (Conversions API) — hirdetés-mérés és remarketing	(a) hozzájárulás (süti-banner „Hirdetések" kategória) — hozzájárulás nélkül a mérőkód be sem töltődik, és a szerverről sem küldünk adatot	álneves süti-azonosítók (_fbp, _fbc), megtekintett hirdetés azonosítója, esemény-adatok; a regisztráció, a hirdetés beküldése és közzététele tényéről a szerverről is: SHA-256 eljárással hash-elt (visszafejthetetlenné alakított) e-mail-cím, telefonszám és felhasználó-azonosító, IP-cím, böngésző-azonosító (User-Agent)	max. 3 hónap (süti-élettartam); a szerveroldali küldéshez az IP-címet és a böngésző-adatot nálunk legfeljebb 7 napig őrizzük
Hirdetési kampányaink eredményességének mérése (honnan érkezett a regisztráló)	(f) jogos érdek — annak megállapítása, hogy a hirdetésekre költött összegből hány regisztráció és hirdetés lett; csak összesítve használjuk	a regisztrációkor a fiókhoz rögzített első érintés: forrás-csatorna, kampány-jelölés (UTM), érkezési oldal — ez csak a látogatói analitikához hozzájárulóknál ismert —, valamint az, hogy a regisztráció a Facebook/Instagram alkalmazás beépített böngészőjéből történt-e (a böngésző-azonosítóból)	a fiók fennállásáig; a fiók megszüntetésekor a kattintás-azonosító és az érkezési oldal törlődik
Jármű-katalógus továbbítása külső hirdetési felületre (Meta)	(f) jogos érdek + az ÁSZF 9. pontja szerinti felhasználási engedély — a hirdetések többlet-elérése	hirdetés-tartalom: jármű-adatok, fotók, ár, település (telefonszám és e-mail automatikusan kiszűrve)	a hirdetés aktív idejéig + max. 30 nap kivezetés
Csevegés-védelmi automatizmus (spam-/csalás-minták észlelése)	(f) jogos érdek — a felhasználók védelme a visszaélésektől	üzenet-tartalom automatikus mintázat-elemzése, küldési gyakoriság	a chat-üzenetekkel azonos ideig
Hozzájárulási napló (consent log)	(c) jogi kötelezettség	felhasználó-ID, dokumentum-típus, verzió, IP, UA	5 év
A Kereskedői nyilatkozat elfogadásának naplózása (a cég hitelesítésekor)	(f) jogos érdek — az elfogadás bizonyítása, jogi igények előterjesztése, érvényesítése és védelme	felhasználó- és cégazonosító, a cég neve és adószáma, a hitelesítési kérelem azonosítója, a nyilatkozat verziója és szövegének lenyomata (SHA-256), a bejelölt nyilatkozatok szövege, az elfogadás időpontja, IP-cím, böngésző-azonosító (User-Agent). A személyazonosítás biometrikus hozzájárulását külön bejegyzés rögzíti, a hozzájárulás szövegével	az elfogadástól számított 5 év (a fiók megszűnése után is, az elévülési időre tekintettel)

Biztonsági mentések: az adatokról titkosított biztonsági mentés készül (EU-n belüli tárolással), amelyből a legrégebbi példányok legfeljebb 14 nap után törlődnek. Törlési kérelem teljesítése után az adat a mentésekből e rotációval kerül ki véglegesen; visszaállítás esetén a már teljesített törléseket újra érvényesítjük.

4 Adatfeldolgozók (címzettek)

Az Adatkezelő a következő adatfeldolgozók szolgáltatásait veszi igénybe:

Tárhely-szolgáltató: Hetzner Online GmbH — a Platform működéséhez szükséges adatokat tárolja. A tárolás kizárólag az Európai Unió területén, a szolgáltató németországi adatközpontjában történik; a tárhely-szolgáltatás keretében harmadik országba adattovábbítás nem történik. A szolgáltató teljes cégadatai az Impresszumban érhetők el.
Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin, Ireland) — bankkártyás fizetés feldolgozása. A Stripe USA-ba is továbbít adatot, az adattovábbítás jogalapja a Bizottság által jóváhagyott Standard Contractual Clauses (SCC) + az EU-US Data Privacy Framework (DPF).
Didit Identity Spain, S.L. (adószám: B22929327; Calle Nápoles 227, P. 1, 08013 Barcelona, Spanyolország — Európai Unió) — a kereskedők személyazonosítása a cég hitelesítéséhez („Hitelesített partner”), adatfeldolgozóként. Ha a kereskedő ezt a módot választja, a Didit a hitelesítő oldalunkba ágyazott (vagy a saját, verify.didit.me címen elérhető) felületén a személyi igazolvány (jogosítvány, útlevél) fényképe és egy élő szelfi arcképes összevetésével azonosítja. A Didit által kezelt adatok: az okmány képe és a róla kiolvasott adatok (például név, születési idő, okmányszám, állampolgárság, érvényesség), az élő szelfi (kép, illetve rövid videó) és az arcképes (biometrikus) összevetés eredménye, valamint az eszköz és a kapcsolat technikai adatai (IP-cím, böngésző, eszköz) a visszaélések kiszűréséhez. A biometrikus adatot kizárólag a kereskedő kifejezett hozzájárulásával kezeli. Hozzánk csak az okmányon szereplő név, az eredmény és az időpont kerül; a döntés (hitelesítés vagy elutasítás) után a Didit-nél a munkamenetet minden adatával — a képekkel, a kiolvasott és az arcképes adatokkal együtt — haladéktalanul töröltetjük. Ha a Didit egy azonosítást kézi ellenőrzésre jelöl, az adatok az ellenőrzés lezárásáig maradnak meg nála. A Didit az adatokat szükség esetén az Európai Unión kívül is kezelheti, ilyenkor a GDPR V. fejezete szerinti garanciákkal (például általános adatvédelmi kikötésekkel). Korlátozott célokra (a szolgáltatás biztonsága, visszaélés-megelőzés, jogi kötelezettségek teljesítése) a Didit önálló adatkezelőként is eljárhat — erről a Didit tájékoztatója szól: didit.me/terms/verification-privacy-notice. Aki nem kíván hozzájárulni, a cégét céges e-mail címmel is hitelesítheti, vagy írhat nekünk.
KBOSS.hu Kft. (Számlázz.hu, 1031 Budapest, Záhony u. 7.) — elektronikus számla kiállítása.
Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) — CDN, reverse proxy, DNS és biztonsági szolgáltatás (WAF, DDoS-védelem); kizárólag IP-cím és kérés-metaadatok kezelése. Az USA-ba történő adattovábbítás jogalapja a Bizottság által jóváhagyott Standard Contractual Clauses (SCC).
SMTP/email-szolgáltató — tranzakciós e-mailek és hírlevelek kiküldéséhez.
Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Írország) — az alábbi szolgáltatások üzemeltetője:
- Google Analytics 4 — látogatottság-mérés. Kizárólag analitikai hozzájárulás esetén helyez el sütit; hozzájárulás hiányában a Google Consent Mode v2 süti-mentes módjában működik.
- Google Tag Manager — a mérőkódok kezelése. Önmagában nem gyűjt személyes adatot és nem helyez el sütit.
- Google AdSense — hirdetéskiszolgálás. A szkript kizárólag marketing-hozzájárulás után töltődik be.
A Google USA-ba is továbbít adatot. Az adattovábbítás jogalapja az EU-US Data Privacy Framework (DPF) — a Google LLC a keret tanúsított résztvevője —, kiegészítve a Bizottság által jóváhagyott Standard Contractual Clauses (SCC)-kel. Az Adatkezelő elfogadta a Google adatfeldolgozási feltételeit (Google Ads Data Processing Terms). A Google adatvédelmi tájékoztatója: policies.google.com/privacy.
cV Group, UAB (carVertical) (Aukštaičių g. 7, LT-11341 Vilnius, Litvánia — Európai Unió) — jármű-előélet ellenőrzési szolgáltatás. A carVertical nem adatfeldolgozónk, hanem önálló adatkezelő: kizárólag akkor kap adatot (a jármű alvázszámát), ha az érdeklődő a hirdetésen az „Előzmény-ellenőrzés" gombra kattintva maga kezdeményezi a lekérdezést. Az átadott adat járműazonosító; a hirdető az alvázszám megadásakor erről kifejezett tájékoztatást kap. A Szolgáltató a gombon keresztül indított vásárlások után közvetítői jutalékban részesülhet — ez az érdeklődő által fizetett árat nem befolyásolja. A carVertical adatkezelési tájékoztatója: carvertical.com/hu/adatvedelmi-iranyelvek.
Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Írország) — Meta (Facebook) Pixel: hirdetés-mérés és remarketing. A mérőkód kizárólag a süti-banner „Hirdetések" kategóriájának elfogadása után töltődik be; a mérési adatok tekintetében a Meta és az Adatkezelő közös adatkezelők, az adatok további kezelésének a Meta önálló adatkezelője. A Meta USA-ba is továbbít adatot (EU-US Data Privacy Framework). A hirdetések tartalma (jármű-katalógus) a dinamikus hirdetésekhez kerül továbbításra. A Meta adatkezelési tájékoztatója: facebook.com/privacy/policy.
Google Maps / OpenStreetMap — térképi megjelenítés (csak a térképet betöltő látogatókról).

Az adatfeldolgozók a saját adatkezelési tájékoztatóik alapján járnak el; a Szolgáltató minden adatfeldolgozóval írásos adatfeldolgozási szerződést kötött.

5 Adattovábbítás külföldre (harmadik országba)

Egyes adatfeldolgozók, illetve címzettek (Stripe, Cloudflare, Google — ideértve a Google Analytics 4-et és az AdSense-t —, valamint a Meta) USA-ba is továbbíthatnak adatot. Az adattovábbítás kizárólag a GDPR V. fejezete szerint engedélyezett biztosítékokkal (Standard Contractual Clauses + EU-US Data Privacy Framework) történik. A személyazonosítást végző Didit az EU-n kívüli adatkezelést ugyanígy, a GDPR V. fejezete szerinti garanciákkal végezheti.

A Google Analytics és az AdSense esetében az adattovábbítás kizárólag a felhasználó előzetes hozzájárulása alapján valósul meg. Hozzájárulás hiányában a Google Analytics süti-mentes módban működik, az AdSense pedig egyáltalán nem töltődik be — így hozzájárulás nélkül semmilyen azonosítható adat nem kerül harmadik országba.

6 Az érintett jogai (GDPR III. fejezet)

Tájékoztatáshoz való jog (Art. 13-14)
Hozzáférés joga (Art. 15) — másolatot kérhet a kezelt adatairól
Helyesbítés joga (Art. 16) — a profilján bármikor frissítheti adatait
Törlés joga ("elfeledtetéshez való jog") (Art. 17) — a profilján "Fiók törlése" gombbal kezdeményezhető (anonimizálással valósul meg, lásd ÁSZF 5. pont)
Adatkezelés korlátozása (Art. 18)
Adathordozhatóság (Art. 20) — a profilján "Adat-export" funkcióval ZIP-ben letöltheti összes adatát strukturált, géppel olvasható (JSON) formátumban
Tiltakozás joga (Art. 21) — különösen marketing célú adatkezelés ellen
Hozzájárulás visszavonásához való jog (Art. 7(3)) — a marketing-feliratkozás bármikor visszavonható, az e-mailek alján szereplő linkre kattintva vagy a profilon

Jogai gyakorlása érdekében forduljon hozzánk a info@megkimelt.hu címen. A megkereséseket 30 napon belül megválaszoljuk.

7 Felügyeleti hatósághoz fordulás joga

Amennyiben az adatkezelést jogellenesnek tartja, panaszt nyújthat be a felügyeleti hatóságnál:

Nemzeti Adatvédelmi és Információszabadság Hatóság — 1055 Budapest, Falk Miksa u. 9-11. — [email protected] — +36 (1) 391-1400

8 Sütik (cookie-k)

A Platform sütiket használ a működéshez, a felhasználói élmény javításához és — a felhasználó hozzájárulása alapján — analitikai és marketing célokra. A sütik részletes leírását, a süti-kategóriákat és a hozzájárulás visszavonásának módját a külön Cookie szabályzat tartalmazza.

A böngésző Global Privacy Control (GPC) jelzését tiszteletben tartjuk: GPC-jelzés esetén az analitikai és marketing adatkezelés a hozzájárulási beállítástól függetlenül tiltásra kerül. Az elavult „Do Not Track" (DNT) jelzést a böngészőgyártók kivezették; ennek szerepét nálunk a hozzájárulási sáv (cookie-banner) tölti be. A hozzájárulási döntéseket — a GDPR 7. cikk (1) bekezdése szerinti bizonyíthatóság érdekében — szerver-oldali naplóban is rögzítjük (időpont, választás, szabályzat-verzió).

9 Automatizált döntéshozatal, profilalkotás

Az Adatkezelő automatizált (részben MI-alapú) rendszereket alkalmaz az alábbi célokra — a működés lényege (GDPR 13. cikk (2) f)):

Hirdetés-előszűrés: a beküldött hirdetés szövegét, képeit és dokumentumait a rendszer automatikusan ellenőrzi (pl. azonos képek felismerése, tiltott vagy gyanús tartalom, rejtett elérhetőség jelzése). A hirdetés végleges elutasításáról minden esetben emberi moderátor dönt — a rendszer csak jelzést ad.
Személyes adatok kitakarása az iratfotókon: ha a hirdető forgalmi engedélyt, törzskönyvet, számlát vagy más iratot fotóz le, a rendszer a nyilvános képen tömör sávval kitakarja a kényes mezőket (név, cím, telefonszám, e-mail-cím, rendszám, alvázszám, okmányszám, vonalkód); a jármű adatai olvashatók maradnak. Az eredeti fotót nem nyilvánosan, változatlanul őrizzük. Ha a rendszer nem biztos benne, hogy minden kényes mezőt megtalált, az adott fotó a moderátor döntéséig nem jelenik meg; személyi igazolvány, jogosítvány vagy útlevél fotója nem jelenik meg.
Ár-összehasonlító címkék: a hirdetéseken megjelenő ár-jelzések („Jó ár", „Átlag alatti" stb.) a Platform saját aktív hirdetéseinek árstatisztikájával való automatikus összevetésből származnak; tájékoztató jellegűek, joghatással nem járnak, és nem minősítik a hirdetőt.
Csevegés-védelem: a chat-üzenetekben automatikus mintázat-elemzés keresi a spam- és csalás-jeleket, amely ideiglenes korlátozást (pl. némítást) alkalmazhat emberi közreműködés nélkül. Az érintett a korlátozás emberi felülvizsgálatát kérheti, álláspontját kifejtheti, és a döntést kifogásolhatja (GDPR 22. cikk (3) szerinti garanciák) — a kérelmet az ÁSZF 14. pontja szerinti panasz-úton fogadjuk.

A fenti rendszerek egyike sem hoz a GDPR 22. cikke szerinti, kizárólag automatizált adatkezelésen alapuló, az érintettre joghatással járó végleges döntést.

10 Adatbiztonsági intézkedések

Titkosított (TLS 1.2+) kapcsolat minden adatközlésnél (HTTPS).
Jelszavak bcrypt hash-eléssel tárolva.
Számlázási és pénzügyi adatok titkosítva tárolva.
Hozzáférés-szabályozás (RBAC), audit-naplózás.
Rendszeres biztonsági mentés és katasztrófa-helyreállítási terv.
Adatszivárgás-incidens esetén 72 órán belüli NAIH-bejelentés és érintett-tájékoztatás.

11 Kiskorúak adatainak kezelése

A Platform kizárólag 18. életévét betöltött személyek számára igénybe vehető. Tudatosan nem kezelünk 18 év alatti személyek adatait. Amennyiben tudomásunkra jut, hogy 18 év alatti személy adatait kezeljük, az adatokat haladéktalanul töröljük.

12 A tájékoztató módosítása

Az Adatkezelő fenntartja a jogot a jelen tájékoztató módosítására. A lényeges módosításokról a felhasználókat e-mailben vagy a Platformon keresztül értesítjük. Hatályos verzió: 2026-07-19.

Adatkezelési Tájékoztató