Adatkezelési tájékoztató és Adatfeldolgozói nyilatkozat

1. Általános rendelkezések

Jelen tájékoztató az idopontfoglalos.hu (üzemeltető: BABLA-KOMA Kft.) által végzett adatkezelési folyamatokat szabályozza, az Európai Parlament és a Tanács 2016/679 számú Általános Adatvédelmi Rendeletével (GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénnyel (Infotv.), valamint az egészségügyi adatok kezeléséről szóló 1997. évi XLVII. törvénnyel összhangban. A rendszer használatával az Ügyfél elfogadja az alábbi feltételeket.

2. Adatkezelő és Adatfeldolgozó elkülönítése

• Adatkezelő (a páciensekre vonatkozóan): A regisztrált egészségügyi szolgáltató (Ügyfél). Ő határozza meg, milyen páciensadatokat rögzít, és ő felel a páciensek tájékoztatásáért.
• Adatfeldolgozó (a páciensekre vonatkozóan): BABLA-KOMA Kft. (7150 Bonyhád, Május 1. utca 35.). A technikai hátteret, a tárolást és a titkosítást biztosítja.
• Adatkezelő (a felhasználókra/Ügyfélre vonatkozóan): BABLA-KOMA Kft. — a Szolgáltató és az Ügyfél (orvos/klinika) közötti szerződéses adatkezelő-vevő kapcsolat tekintetében az Ügyfél azonosítási, számlázási és technikai adatait a Szolgáltató mint Adatkezelő kezeli.

3. Adatkezelési kontakt

Adatkezelési ügyekben az Adatfeldolgozó/Adatkezelő közvetlenül elérhető:

• E-mail: bablakoma@gmail.com
• Postai cím: BABLA-KOMA Kft., 7150 Bonyhád, Május 1. utca 35.

A BABLA-KOMA Kft. külön kijelölt adatvédelmi tisztviselőt (DPO) nem foglalkoztat, mivel a GDPR 37. cikk (1) bekezdése szerinti kötelező feltételek nem állnak fenn (nem közhatalmi szerv; az alaptevékenysége nem a nagy mennyiségű, rendszeres és szisztematikus megfigyelés, és nem nagy mennyiségben kezel különleges kategóriába tartozó adatokat saját céljaira — csak Adatfeldolgozóként). Az adatkezelési ügyek a fenti elérhetőségeken intézhetők.

4. Kezelt adatok köre, célja és jogalapja

5. Adattárolási idő

• Felhasználói fiók (Ügyfél): a szerződés teljes időtartama alatt, és a szerződés megszűnése után 60 napig (visszaállítási tűréshatár).
• Számlázási adatok: a számvitelről szóló 2000. évi C. törvény 169. § alapján 8 évig.
• Páciens adatok: az Adatkezelő (Ügyfél) kezeli; a megőrzési időt az Adatkezelő határozza meg az 1997. évi XLVII. tv. (egészségügyi dokumentációra általában 30 év) szerint. Az Adatfeldolgozó az Ügyfél utasítása szerint tárolja és törli.
• Audit napló: 2 évig (automatikus tisztítás), kivéve a törvényi megőrzési kötelezettség esetén.
• Biztonsági mentések (backup): 7 napig a Szolgáltató szerverén, és hosszabb ideig (jellemzően 12 hónap) az Adatfeldolgozó saját, off-site (NAS) tárolóhelyén.
• Trusted device (megbízható böngésző): 30 napig az utolsó használattól számítva.

6. Adatbiztonság (Technikai garanciák)

A BABLA-KOMA Kft. az alábbi kiemelt biztonsági intézkedéseket alkalmazza:

• Titkosítás: Minden személyes adat (PII) és orvosi rekord AES-256-CBC eljárással titkosítva kerül mentésre az adatbázisba.
• Keresés: A kereshető mezők (név, TAJ, telefon) HMAC-SHA256 hash-el védettek, a sima szöveges keresés kizárt.
• Hozzáférés: Kötelező kétlépcsős azonosítás (TOTP / Google Authenticator) a doctor / orgadmin / superadmin szerepkörökhöz.
• Multi-tenant izoláció: Globális SQL scope biztosítja, hogy egy szervezet adatait egy másik szervezet nem láthassa.
• Auditálás: Minden páciens-, foglalási- és orvosi rekord-módosítás visszakövethető. PII (név, TAJ) az audit logból kizárt.
• HTTPS, biztonsági header-ek: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
• Erős jelszó követelmények: minimum 8 karakter, kis- és nagybetű, szám.

7. Adattovábbítás és al-adatfeldolgozók

A szolgáltatás működéséhez az alábbi al-adatfeldolgozókat vesszük igénybe:

• Tárhely: Magyar Hosting Kft. (1132 Budapest, Victor Hugo utca 18-22.) — online.mhosting.hu
• Számlázás: Számlázz.hu (KBOSS.hu Kft., 1031 Budapest, Záhony utca 7.) — kizárólag a számlázáshoz szükséges adatok továbbítása (vevő név, cím, adószám, számla összege).
• Fizetés: Banki átutalás közvetlenül a Szolgáltató bankszámlájára (K&H Bank Zrt.). A rendszer nem használ külső fizetésszolgáltatót (pl. Stripe, Barion).
• E-mail küldés: A Magyar Hosting Kft. által biztosított SMTP szerveren át (idopontfoglalos.hu domain).

Harmadik országba történő adattovábbítás: Nem történik. Az adatok kizárólag az Európai Unió/Európai Gazdasági Térség területén belül, magyar szolgáltatóknál kerülnek kezelésre és tárolásra.

8. Az érintettek jogai (GDPR 15-22. cikk)

Az érintetteket (mind az Ügyfél felhasználói, mind a páciensek) az alábbi jogok illetik meg:

• Hozzáférés joga (15. cikk): tájékoztatást kérhet arról, hogy adatait kezelik-e, és ha igen, milyen célból, mennyi ideig.
• Helyesbítés joga (16. cikk): a pontatlan vagy hiányos személyes adatok helyesbítését kérheti.
• Törlés joga / „elfelejtés joga" (17. cikk): az adatok törlését kérheti, ha azok kezelése már nem szükséges, vagy hozzájárulását visszavonta.
• Kezelés korlátozásához való jog (18. cikk): bizonyos esetekben kérheti, hogy az adatkezelés időlegesen szüneteljen.
• Adathordozhatósághoz való jog (20. cikk): a saját adatait tagolt, géppel olvasható formátumban (pl. JSON, CSV) megkaphatja, és átviheti másik adatkezelőhöz.
• Tiltakozáshoz való jog (21. cikk): tiltakozhat az adatkezelés ellen, ha az jogos érdeken alapul.
• Hozzájárulás visszavonása: ha az adatkezelés hozzájáruláson alapul, az bármikor visszavonható (a visszavonás előtti kezelés jogszerűségét nem érinti).

Páciensek jogai: A pácienseknek a jogaikat elsősorban a kezelő egészségügyi szolgáltatónál (Adatkezelőnél) kell érvényesíteniük. A BABLA-KOMA Kft. (Adatfeldolgozó) az Adatkezelő utasítása alapján jár el — beleértve a páciens adatainak végleges, visszaállíthatatlan törlését is.

Ügyfelek jogai: A felhasználói (B2B) adatokra vonatkozó jogok a fenti kapcsolattartási e-mailen érvényesíthetők. A Szolgáltató 30 napon belül válaszol (különös bonyolultság esetén 60 nap meghosszabbítással).

9. Adatvédelmi incidens kezelése

Adatvédelmi incidens (jogosulatlan hozzáférés, adatszivárgás, adatvesztés) esetén:

• Az Adatfeldolgozó indokolatlan késedelem nélkül, de legkésőbb 72 órán belül tájékoztatja az érintett Adatkezelő Ügyfelet a tudomásszerzéstől számítva.
• Az Adatkezelő (Ügyfél) felelős a felügyeleti hatóság (NAIH) felé történő bejelentésért, ha az incidens valószínűsíthetően magas kockázattal jár az érintettekre nézve.
• Az Adatfeldolgozó minden szükséges technikai és szervezési segítséget biztosít az incidens kivizsgálásához és a kármentesítéshez.

10. Automatizált döntéshozatal és profilalkotás

A rendszer nem alkalmaz a GDPR 22. cikke szerinti, kizárólag automatizált döntéshozatalt vagy profilalkotást, amely az érintettre nézve joghatással járna vagy jelentősen érintené.

A rendszerben található automatikus folyamatok (pl. „2 lemondás → automatikus blacklist", „auto-complete időpontok") nem minősülnek profilalkotásnak: ezek egyszerű, deterministic működésű üzleti szabályok, amelyeket az Adatkezelő (Ügyfél) bármikor kézzel felülbírálhat.

11. Sütik (Cookies)

A weboldal kizárólag a működéshez elengedhetetlen sütiket használ:

• laravel_session — bejelentkezett munkamenet azonosítása (élettartam: a böngésző bezárásáig vagy 2 óra inaktivitásig)
• XSRF-TOKEN — CSRF támadás elleni védelem (élettartam: 2 óra)
• trusted_device — sikeres 2FA bejelentkezés után 30 napra megjegyzett böngésző (opcionális, a felhasználó által bekapcsolható)
• cookie_ack (localStorage) — a süti-tájékoztató megjelenítésének elkerülése

Marketing- vagy nyomkövető (tracking) sütiket nem használunk. Külső analitikai eszköz (Google Analytics, Facebook Pixel) nincs a rendszerben.

12. Panasztétel / Felügyeleti hatóság

Az érintett a személyes adatainak kezelésével kapcsolatos panaszával a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH) fordulhat:

• Cím: 1055 Budapest, Falk Miksa utca 9-11.
• Postacím: 1363 Budapest, Pf. 9.
• Telefon: +36 1 391 1400
• E-mail: ugyfelszolgalat@naih.hu
• Web: naih.hu

Az érintett bírósághoz is fordulhat: a per — választása szerint — a lakóhelye vagy a tartózkodási helye szerinti törvényszék előtt is megindítható.

13. Tájékoztató módosítása

A Szolgáltató fenntartja a jogot, hogy jelen Adatkezelési tájékoztatót egyoldalúan módosítsa. A módosításokról a regisztrált felhasználókat e-mailben értesíti, és a hatályos verzió mindig elérhető az idopontfoglalos.hu/adatvedelem címen. A verziószám és a hatálybalépés dátuma a dokumentum elején található.