Adatvédelmi tájékoztató Simplepay kártyás fizetési műveletekhez

A SimplePay ZRT. FIZETÉSI MŰVELETEK ELFOGADÁSA PÉNZFORGALMI SZOLGÁLTATÁS KERETÉBEN VÉGZETT KÁRTYAELFOGADÁSSAL ÉS QVIK SZOLGÁLTATÁSSAL KAPCSOLATOS TEVÉKENYSÉGÉRE VONATKOZÓ ADATKEZELÉSI TÁJÉKOZTATÓJA

Jelen Adatkezelési Tájékoztató a SimplePay Zrt. fizetési műveletek elfogadása pénzforgalmi szolgáltatás keretében végzett kártyaelfogadói ÁSZF-jének és a fizetési műveletek elfogadása pénzforgalmi szolgáltatás keretében végzett egységes adatbeviteli megoldásokon alapuló fizetési (azonnali átutalás) megoldásra vonatkozó qvik ÁSZF-jének mellékletét képezi, és a kártyaelfogadói és a qvik Szolgáltatás során végzett adatkezelés feltételeit tartalmazza.

1.       Az adatkezelő adatai és elérhetőségei

SimplePay Zártkörűen Működő Részvénytársaság

Rövidített név:                          SimplePay Zrt.

Cégjegyzékszám:                       01-10-143303

Nyilvántartja:                           Fővárosi Törvényszék Cégbírósága

Székhelye:                                1138 Budapest, Váci út 135-139. B. ép. 5. em.

Postacíme:                                1138 Budapest, Váci út 135-139. B. ép. 5. em.

Adószáma:                                32835155-2-44

Képviseli:                                 Bese Péter vezérigazgató Tevékenységi engedély száma: H-EN-I-21/2023.

Tevékenységi engedély dátuma: 2023. február 22.

E-mail címe:                             dpo@simplepay.com

Honlap:                                    http://www.simplepay.hu

A továbbiakban: SimplePay vagy adatkezelő

2.       Az adatkezelő adatvédelmi tisztviselője

Sári Zsombor Elérhetőségei:

a)      SimplePay székhelyén (1138 Budapest, Váci út 135-139. B. ép. 5. em.)

b)     e-mail címe: dpo@simplepay.com

c)      postacíme: 1138 Budapest, Váci út 135-139. B. ép. 5. em.

3.       Az adatkezelés feltételei

Az SimplePay az alábbi természetes személyek alábbi adatait kezeli az alábbi célra, jogalapon és időtartamban:

A lakcímkártyán szereplő személyi azonosító számot (személyi számot) az SimplePay nem kezeli és jogszabály alapján nem is kezelheti.

Mivel a szerződés megkötéséhez szükséges személyes adatok szolgáltatása nélkül az SimplePay a szerződéskötést előkészíteni, a szerződést megkötni, illetőleg teljesíteni nem tudja, az Érintett köteles e célok eléréséhez szükséges személyes adatokat az SimplePay részére megadni. Az adatszolgáltatás elmaradása esetén az SimplePay jogosult a szerződéskötést, illetőleg a szerződés teljesítését megtagadni.

Az ügyfélszolgálati, panaszkezelési tevékenységet az SimplePay és az OTP Bank Nyrt. (1051 Budapest, Nádor u. 16.) közötti közös adatkezelési szerződés alapján az SimplePay és az OTP Bank Nyrt. közös adatkezelőként végzi. A GDPR 26. cikk (2) bekezdésének megfelelően ezúton adunk tájékoztatást a közös adatkezelési szerződés lényeges rendelkezéseiről:

-        Az SimplePay és az OTP Bank Nyrt. mindegyike maga vezeti a felelősségébe tartozó adatkezelési tevékenységekről az adatvédelmi nyilvántartást, adatvédelmi incidensekről vezetett nyilvántartást, az érintett személyek és felügyeleti hatóságok részéről az adatkezelésekkel kapcsolatban érkezett kérések nyilvántartását, az általuk az adatkezelésekkel kapcsolatban igénybe vett adatfeldolgozók nyilvántartását, valamint az adatkezelésekkel összefüggő adattovábbítások nyilvántartását.

-        A hozzájáruló nyilatkozatoknak az adatkezelők által közösen megállapított időtartamban, visszakereshető módon történő megőrzéséről az OTP Bank Nyrt. gondoskodik.

-        Az érintettek tájékoztatását akkor, amikor az ügyfélszolgálat telefonos vagy e-mail-en keresztül történő megkeresése történik, beleértve – amennyiben alkalmazható – az érintett hozzájáruló nyilatkozatának megszövegezését is, az OTP Bank Nyrt. végzi. OTP Bank Nyrt. gondoskodik továbbá az adatkezelési hozzájáruló nyilatkozatok beszerzéséről és tárolásáról, őrzéséről, nyilvántartásáról is.

-        Az SimplePay saját honlapján elhelyezett jelen adatkezelési tájékoztatójában az ügyfélszolgálati adatok kezelésével kapcsolatos tájékoztatást külön is megteszi.

-        Az SimplePay és az OTP Bank Nyrt. mindegyike a közös adatkezelések tekintetében külön- külön megfogalmazott adatkezelési tájékoztatójukat saját maguk külön-külön teszik közzé és juttatják el az érintetteknek.

-        Az SimplePay és az OTP Bank Nyrt. a közös adatkezeléssel érintett adatkezelések esetében közösen határozzák meg az adatkezelés célját és fő eszközeit a GDPR 26. cikk (1) bekezdésének megfelelően.

-        Az érintett mindegyik közös adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja jogait.

-        Az SimplePay és az OTP Bank Nyrt. a hozzájuk beérkezett megkereséseket maguk, önállóan válaszolják meg a közösen elfogadott eljárásrendnek megfelelően.

-        Az érintett adatainak helyesbítésére, törlésére, az adatkezelés korlátozására, az érintett adatai kezelése elleni tiltakozására és az adathordozhatóságra vonatkozó kérelmének teljesítése az SimplePay és az OTP Bank Nyrt. részéről önállóan történik.

-        A hatósági megkereséseket az SimplePay és az OTP Bank Nyrt. saját maga válaszolja meg azon hatósági megkeresések esetén, amik tevékenységéhez kapcsolódnak.

-        Az adatvédelmi incidenst az a közös adatkezelő jelenti be a hatóságnak, amelynek tevékenységét az incidens érinti.

-        Az érintetteket az adatvédelmi incidensről az az adatkezelő tájékoztatja, amelynek a tevékenységét az adatvédelmi incidens érintette. Ha az adatvédelmi incidens mindkét adatkezelőt érintette, az incidensről az érintetteket az adatkezelők önállóan, külön-külön tájékoztatják.

-        Az OTP Bank Nyrt. adatvédelmi tisztviselője: Gázmár Zoárd, e-mail: adatvedelem@otpbank.hu, cím: 1051 Budapest, Nádor u. 16.

A GDPR 6. cikk (1) bekezdés f) pontja szerinti Jogos érdek megjelölése: a panasztétel, panasz kivizsgálása, elintézése és kezelése körében történő adatkezelés, beleértve a telefonhívások rögzítését is, a vevő (Fizető Fél), az SimplePay és a Kereskedő közös érdeke, mivel ezen adatok kezelése a Honlap használatával, a kártyaelfogadási szolgáltatás igénybevételével, a vásárlási tranzakcióval összefüggő fogyasztóvédelmi, polgári jogi jogai és érdekei érvényesítéséhez szükséges. Ezen személyes adatok kezelése felett a vevő hangfelvételéhez kapcsolódó személyhez fűződő joga nem élvez elsőbbséget, mivel a személyhez fűződő joga nem sérül, hiszen a telefonhívás legelején, még a vevő megszólalása előtt tájékoztatást kap a vevő a hangfelvételes rögzítéséről, és módjában áll eldönteni, hogy ennek ellenére folytatja-e a telefonbeszélgetést vagy megszakítja azt. A telefonos ügyfélszolgálaton kívül az e-mailes ügyfélszolgálat ugyanolyan szolgáltatást és megoldást nyújt, vagyis van választási lehetőség a vevő panaszainak kivizsgálására.

A *-gal jelölt adatok megadása kötelező, anélkül az ügyfélszolgálat nem tudja rögzíteni a panaszt. A fenti jogos érdekeken alapuló adatkezelés ellen az érintett bármikor tiltakozhat.

A fenti jogos érdeken alapuló adatkezeléshez tartozó érdekmérlegelési teszteket az SimplePay kérésre megküldi az érintettnek.

A fenti hozzájáruláson alapuló adatkezelés esetén az érintett bármikor jogosult visszavonni hozzájárulását az SimplePay-nek küldött e-mailben: ugyfelszolgalat@simple.hu és az SimplePay-nek küldött postai levélben, valamint az IT körlevél alján biztosított leiratkozás gombra történő rányomással.

A fenti hozzájárulás megadása nem feltétele a Szerződés megkötésének, a hozzájárulás visszavonása pedig nincs jogi hatással a Szerződés hatályára.

4.      Adattovábbítás, adatfeldolgozók

4.1. Adattovábbítás önálló címzettjei

Az SimplePay a fenti személyes adatokat az alábbi önálló adatkezelőknek továbbítja:

a)      Nemzetközi kártyatársaságok:

-        MasterCard Europe S.P.R.L. (Chaussée de Tervuren 198A B-1410, Waterloo, Belgium)

-        Visa Europe Limited (1 Sheldon Square, London W2 6TT United Kingdom) – Az Európai Bizottság GDPR 45. cikk (3) bekezdése alapján 2021. június 28-án hozott megfelelőségi határozata alapján.

b)     Könyvvizsgáló:    Ernst    &    Young    Könyvvizsgáló    Korlátolt    Felelősségű Társaság

(HU-1132 Budapest, Váci út 20.; cg.: 01-09-267553) önálló adatkezelő

c)      Ügyvédi irodák

d)     Az SimplePay az Egységes Adatbeviteli Megoldásokon alapuló fizetési (azonnali átutalásos) megoldás (qvik Szolgáltatás) esetén adattovábbítást végez a GIRO Zrt.-hez (1054 Budapest, Vadász utca 31.; cg.: 01-10-041159) és az Innopay Zrt.-hez (1117 Budapest, Bogdánfy Ödön

utca 6.; cg.: 01-10-141836), amelynek keretében a Kereskedők tranzakciós adatai kerülnek továbbításra.

e)      Az SimplePay a qvik Szolgáltatással kapcsolatos reklamáció kezelés során a Kereskedő megbízásából eljárva a Fizető fél számlavezető bankjához továbbítja a reklamációval érintett Fizető fél nevét, e-mail címét és ha van, lakcímét, a vitatott tranzakció adatait és a reklamáció elbírálásának eredményét.

4.2. Adatfeldolgozók

Az SimplePay a fenti érintetti adatok kezelésébe az alábbi adatfeldolgozókat vonja be:

5.        Érintettek jogai

Az érintettek adatvédelmi jogait és jogorvoslati lehetőségeit részletesen a GDPR vonatkozó rendelkezései (így különösen a GDPR 15., 16., 17., 18., 19., 20., 21., 22., 77., 78., 79., 80. és 82. cikkei) tartalmazzák. Az alábbi összefoglalás tartalmazza a legfontosabb rendelkezéseket, illetve az Adatkezelő ennek megfelelően nyújt tájékoztatást az érintettek részére az adatkezeléssel kapcsolatos jogaikról és jogorvoslati lehetőségeikről.

Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

Az Adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen az érintett joggyakorlással (lásd: GDPR 15-22. cikkei) kapcsolatos kérelmének beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a kérelme nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az Adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

Ha az Adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

5.1             Az érintett hozzáférési joga

(1)             Az érintett jogosult arra, hogy visszajelzést kapjon az Adatkezelőtől arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e. Ha ilyen adatkezelés folyamatban van, az érintett jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a)            az adatkezelés céljai;

b)           az érintett személyes adatok kategóriái;

c)            azon címzettek vagy címzettek kategóriái, akikkel a személyes adatokat az Adatkezelő közölte vagy közölni fogja, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

d)           adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

e)            az érintett arra vonatkozó joga, hogy kérelmezheti a Munkáltatótól a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

f)            valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; és

g)           ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;

h)           automatizált döntéshozatal (GDPR 22. cikk (1) és (4)) ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

(2)             Ha személyes adatoknak harmadik országba történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a megfelelő garanciákról.

(3)             Az adatkezelés tárgyát képező személyes adatok másolatát az Adatkezelő az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az Adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

5.2             A helyesbítéshez való jog

Az érintett jogosult arra, hogy az Adatkezelő az érintett kérésére indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Az érintett jogosult továbbá arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

5.3             A törléshez való jog („az elfeledtetéshez való jog”)

(1)             Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha az alábbi indokok valamelyike fennáll:

a)            a személyes adatokra már nincs szükség abból a célból, amelyből azokat az Adatkezelő gyűjtötte vagy más módon kezelte;

b)           az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c)            az érintett tiltakozik az adatkezelése ellen, és adott esetben nincs elsőbbséget élvező jogszerű ok az adatkezelésre;

d)           a személyes adatok jogellenesen kerültek kezelésre;

e)            a személyes adatokat az Adatkezelőnek az alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; vagy

f)            a személyes adatok gyűjtésére információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

(2)             Ha az Adatkezelő nyilvánosságra hozta a személyes adatot, és a fentebb írtak értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megtesszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

(3)             Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges, többek között:

a)                a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;

b)               a személyes adatok kezelését előíró, az Adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése céljából;

c)                a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy

d)                jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.

5.4             Az adatkezelés korlátozásához való jog

(1)             Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

a)                az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát;

b)               az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;

c)                az Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy

d)               az érintett tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokaink elsőbbséget élveznek-e az érintett jogos indokaival szemben.

(2)             Ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

(3)             Az adatkezelés korlátozásának feloldásáról az Adatkezelő előzetesen tájékoztatja az érintett, akinek kérésére a fentiek alapján korlátozták az adatkezelést.

5.5            A személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség

Az Adatkezelő minden olyan címzettet tájékoztat valamennyi helyesbítésről, törlésről vagy adatkezelés-korlátozásról, akivel, illetve amellyel a személyes adatot közölte, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére az Adatkezelő tájékoztatja e címzettekről.

5.6             Az adathordozhatósághoz való jog

(1)             Az érintett jogosult arra, hogy a rá vonatkozó, általa az Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt az Adatkezelő akadályozná, ha:

a)                az adatkezelés hozzájáruláson, vagy szerződésen alapul; és

b)               az adatkezelés automatizált módon történik.

(2)             Az adatok hordozhatóságához való jog (1) bekezdés szerinti gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők (így az Adatkezelő és egyéb adatkezelő) közötti közvetlen továbbítását.

(3)             A fentebb írt jog gyakorlása nem sértheti a törléshez való jog („elfeledtetéshez való jog”) vonatkozásában írt rendelkezéseket, továbbá e jog nem érintheti hátrányosan mások jogait és szabadságait.

5.7             A tiltakozáshoz való jog

(1)             Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak jogos érdeken alapuló kezelése ellen. Ebben az esetben a személyes adatokat az Adatkezelő nem kezeli tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.