A GDPR és a magyar NAIH szigorúan szabályozza az ügyfél adatok kezelését. Egy kozmetikus, szalon, masszázs vagy orvosi rendelő érzékeny adatokat kezel: allergia, bőrtípus, kontraindikáció, fotó dokumentáció. A foglalási rendszernek alapból kell biztosítania az adatkezelési naplót, ügyfél exportot, felejtéshez való jogot, és a titkosított tárolást. A Bookinda 300+ funkciója között ez teljes mértékben elérhető.
Miért kritikus a GDPR a magyar szolgáltatóknak?
A magyar szolgáltató vállalkozások (szalonok, kozmetikák, masszázs központok, orvosi rendelők) érzékeny vendég adatokkal dolgoznak. Allergia, bőrtípus, kontraindikáció, fotó dokumentáció, egészségügyi információk. Ezek a GDPR szerint 'különleges adatok' kategóriába esnek, amelyek szigorúbb védelmet igényelnek.
A NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) Magyarországon a GDPR magyar végrehajtóhatósága. Bírság: 100 ezer Ft-tól 20 millió euróig (vagy az éves árbevétel 4%-áig), súlyos esetben.
A foglalási rendszer az adatkezelési folyamat középpontjában áll. Ha nem GDPR-megfelelő, a vállalkozás közvetlen kockázatot vállal.
GDPR alapkövetelmények egy foglalási rendszerre
A foglalási rendszernek a következőket kell támogatnia:
- Adatkezelési napló (audit log): minden hozzáférés és módosítás naplózva
- Ügyfél export: a vendég kérésére teljes adat-export PDF vagy JSON formátumban
- Felejtéshez való jog: a vendég kérésére minden adat törölhető (anonimizálással kombinálva)
- Adatkezelési tájékoztató: foglaláskor a vendég látja és elfogadja
- Hozzájárulás kezelése: külön hozzájárulás marketing email-hez, fotózáshoz, harmadik fél integrációhoz
- Titkosított tárolás: az adatok nyugalmi állapotban (encryption at rest) és átvitelben (TLS 1.3)
- Kétfaktoros hitelesítés: a tulajdonos és dolgozó belépéséhez
- Hozzáférési jogosultságok: dolgozónként eltérő hozzáférés (pl. dolgozó nem lát másik dolgozó vendégeit)
NAIH-specifikus elvárások Magyarországon
A NAIH a magyar GDPR végrehajtás során néhány specifikus szempontra kiemelten figyel:
Adatvédelmi tisztviselő (DPO): kötelező 250+ fős vállalkozásnál, vagy ha érzékeny adatokat kezel rendszeresen. Sok kozmetikus és masszázs központ ebbe a körbe esik.
Adatvédelmi hatásvizsgálat (DPIA): új technológiák bevezetésekor (pl. AI receptionist, biometrikus belépés) szükséges lehet.
Nemzetközi adattovábbítás: ha a foglalási rendszer szervere EU-n kívül van (pl. USA), az SCC vagy más jogi alap szükséges. A Bookinda EU szervereken működik, így ez nem jelent problémát.
Konkrét kockázatok és példák
Bírság példa 1: egy 50 fős kozmetikai szalon vendégfotókat WhatsApp-on tárolt, és kérésre sem tudta törölni az adatokat. NAIH bírság: 2,5 millió forint.
Bírság példa 2: egy magyar fitnesz lánc a vendégek biometrikus adatait kifejezett hozzájárulás nélkül tárolta. NAIH bírság: 8,7 millió forint.
Bírság példa 3: egy szalonnál a foglalási rendszer átviteli kapcsolata nem volt titkosítva, és adatszivárgás történt. NAIH bírság: 1,2 millió forint.
Ezeknek mindegyikét egy GDPR-megfelelő foglalási rendszer megelőzheti. A Bookinda 300+ funkciója között ezek alapból kezelve vannak.
Bookinda GDPR megközelítés
A Bookinda kifejezetten a magyar GDPR és NAIH követelményekhez igazodik. Adatkezelési napló (audit log) minden vállalkozásnál, ügyfélexport egyetlen kattintással, automatikusan kezelt törlési jog, kétfaktoros hitelesítés, valamint dolgozó szintű jogosultságkezelés.
A szerverek EU-n belül (Németország) találhatók, így nemzetközi adattovábbítási bonyodalmak nincsenek. Az adatok nyugalmi állapotban AES-256 titkosítással tárolva, átvitelben TLS 1.3 használva.
Részletes adatvédelmi tájékoztató sablon és adatkezelési tájékoztató elérhető, amelyet a vendégnek foglaláskor mutatunk és elfogadtatunk. Magyar nyelvű, NAIH-kompatibilis szöveggel.
GDPR checklista a foglalási rendszerre
Ha most válogatsz a rendszerek között, ezeket nézd át:
- Van-e adatkezelési napló (audit log)?
- Egyetlen kattintásra ügyfél export elérhető-e?
- Felejtéshez való jog automatizált-e?
- Adatok EU-n belül szervereken vannak-e?
- Titkosítás nyugalmi állapotban (AES-256) és átvitelben (TLS 1.3)?
- Kétfaktoros hitelesítés a tulajdonosnak és dolgozónak?
- Dolgozó-szintű jogosultsági kontroll?
- Hozzájárulás kezelése külön marketing, fotó, integráció szinten?
- NAIH-kompatibilis adatkezelési tájékoztató sablon elérhető?
Gyakori kérdések
Kötelező-e adatvédelmi tisztviselő (DPO) egy szalonra?
Nem mindig. Kötelező: 250+ fős vállalkozásnál, vagy ha érzékeny adatokat kezelnek rendszeresen, nagy számú érintett bevonásával. Sok kozmetikus, masszázs központ ebbe a körbe eshet, érdemes szakértővel konzultálni.
Mi a felejtéshez való jog (right to be forgotten)?
A vendég kérheti, hogy minden adata törlődjön a rendszerből. A Bookinda esetén ez automatizált: anonimizálással kombinálva (pl. számla előzmények megmaradnak adózási kötelezettség miatt, de a név és kontakt törlődik). Egyetlen kattintással kivitelezhető.
Hol található a Bookinda szervere?
EU-n belül, Németországban. Ez azt jelenti, hogy nemzetközi adattovábbítási bonyodalmak (SCC) nincsenek. Az adatok soha nem hagyják el az EU-t.
Mi a különbség az adatkezelési tájékoztató és az ÁSZF között?
Az ÁSZF az általános szerződési feltételeket tartalmazza (lemondási policy, fizetés stb.). Az adatkezelési tájékoztató kifejezetten az adatkezelésre vonatkozik (milyen adatokat gyűjtünk, miért, meddig, kinek továbbítjuk). A GDPR mindkettőt elvárja, foglaláskor a vendégnek mindkettőt mutatni kell.
Mi történik, ha adatszivárgás történik?
GDPR szerint 72 órán belül értesíteni kell a NAIH-ot, és érintett vendégeket is, ha az adatszivárgás 'nagy kockázatot' jelent. A Bookinda audit log-ja segít azonosítani, hogy mi történt, kit érint, és milyen adatok érintettek.
Mennyibe kerül a GDPR-megfelelőség egy foglalási rendszerben?
A Bookinda esetén a GDPR-megfelelőség alapból minden csomagban benne van, nincs külön felár. A NAIH-megfelelő tájékoztató sablonok ingyenesen elérhetők. Egy nem GDPR-megfelelő rendszer 'olcsóbbnak' tűnhet, de a NAIH bírság kockázata jelentősen drágább.