Ez a tájékoztató azt írja le, hogy a CASSINI 4 EDUCATION S.R.L. milyen személyes adatokat kezel a Cassini weboldalán és a Cassini alkalmazásában (a továbbiakban együtt: Platform), miért, milyen jogalappal, kinek adja tovább, meddig őrzi meg, és milyen jogaid vannak. A tájékoztató az Európai Unió általános adatvédelmi rendelete (GDPR, 2016/679) és a 190/2018. sz. román törvény alapján készült.
Diákoknak röviden
Ha diák vagy, ez a rövid összefoglaló neked szól. Az alatta lévő részek a teljes, jogi szöveget tartalmazzák.
- Azért kérjük a neved, az e-mail-címed, a telefonszámod és a lakcímed, hogy megtaláljuk a hozzád illő tanárt, megtartsuk az órákat, és el tudjuk intézni a számlázást.
- Azt is rögzítjük, hogy jártál-e órán, mi volt a házi feladat, és hogyan érezted magad (például fáradt vagy ideges voltál-e). A tanárod ezt azért írja le, hogy jobban segíthessen. Ezt a szüleid és a tanárod láthatja, más család nem.
- Az egészségedről (például allergiáról, figyelemzavarról, diszlexiáról) csak akkor kérdezünk, ha te vagy a szüleid ezt megadjátok, és külön bepipálva beleegyeztek. Nem kötelező megadni. Csak annyit írj le, amennyit szükségesnek tartasz.
- A bankkártya-adataidat soha nem látjuk. A fizetés a Stripe saját oldalán történik.
- Ha 16 évnél fiatalabb vagy, a szerződést a szüleid vagy a gondviselőd köti meg helyetted, és ő adja meg a hozzájárulásokat is.
- Bármikor kérheted a szüleiddel együtt, hogy mutassuk meg, mit tudunk rólad, javítsuk ki, vagy töröljük az adataidat. Írj erre a címre: adatvedelem@cassinihub.ro.
- Nem adjuk el az adataidat, és nem használjuk őket reklámozásra.
1. Ki kezeli az adataidat?
- Adatkezelő: CASSINI 4 EDUCATION S.R.L.
- Cégjegyzékszám: J26/23021/2024, adószám (CUI): 50561751
- Székhely: jud. Mureș, Miercurea Nirajului, str. Gazsó nr. 4
- Általános elérhetőség: office@cassinihub.ro, +40 754 224 060
- Adatvédelmi kapcsolattartó: adatvedelem@cassinihub.ro
Adatvédelmi kérdéseddel, kérelmeddel vagy panaszoddal erre az e-mail-címre fordulhatsz: adatvedelem@cassinihub.ro. Ezt a postafiókot a Cassini munkatársai olvassák, és a kérelmedre legkésőbb egy hónapon belül válaszolunk (GDPR 12. cikk (3) bekezdés).
2. Kikről kezelünk adatot?
A tájékoztató a következő csoportokra vonatkozik, mert az adatkezelés célja és jogalapja csoportonként eltérő lehet.
- Weboldal-látogatók.
- Kapcsolatfelvételi űrlapot kitöltők.
- Hírlevélre feliratkozók.
- Magánóra-jelentkezők (gyakran kiskorúak).
- Afterschool-jelentkezők: a gyermek és a szülő (a gyermek mindig kiskorú).
- Regisztrált diákok, köztük a szülő által létrehozott gyermekfiókok.
- Regisztrált szülők.
- Szülők, akiket kiskorú diák vagy jelentkező ad meg, és akik maguk nem töltöttek ki semmit (lásd a 8. pontot).
- Tanárok.
- Fizetők, vagyis bárki, aki számlát fizet.
- Cassini-munkatársak, előadók és bloggerek, akiknek adatai a weboldalon szándékosan nyilvánosak.
3. Milyen adatot, miért, milyen alapon és meddig kezelünk?
Az alábbi 3.1-3.13 pontok mindegyike egy-egy adatkezelési célt ír le. A megőrzési idő letelte után az adatot töröljük vagy végleg anonimizáljuk, kivéve, ha jogszabály hosszabb megőrzést ír elő.
3.1 Kapcsolatfelvételi űrlap
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Név, e-mail-cím, telefonszám, az üzenet szövege. Belső jegyzetet is vezethetünk az ügyről. | Megkeresésed megválaszolása. | GDPR 6. cikk (1) bekezdés b) pont (szerződéskötést megelőző lépések) vagy f) pont (jogos érdek a megkeresések megválaszolására). | Cassini-munkatársak az adminisztrációs felületen; a visszaigazoló e-mailt a saját levelezőszerverünk kézbesíti. | Az utolsó levelezéstől számított 12 hónap. |
3.2 Hírlevél
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| E-mail-cím, név, a leiratkozáshoz használt egyedi kód. | Marketing célú hírlevél küldése. A szolgáltatási üzenetektől független. | GDPR 6. cikk (1) bekezdés a) pont: hozzájárulás, amelyet bármikor visszavonhatsz. | A saját levelezőszerverünk kézbesíti a megerősítő e-mailt. | A leiratkozásig. Leiratkozáskor a sort véglegesen töröljük, a leiratkozásról külön nyilvántartást nem vezetünk. |
Minden hírlevélben van leiratkozási hivatkozás, amelyhez nem kell belépned.
3.3 Magánóra-jelentkezés
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| A tanuló neve, e-mail-címe, telefonszáma, kora, címe, irányítószáma, települése, kiválasztott központja, évfolyama, születési dátuma; az üzenet, a tanulási cél és a belső jegyzet; kiskorú jelentkezőnél a szülő neve, e-mail-címe és telefonszáma; a jelentkezés állapota és sürgőssége; a fiatalabb tanár iránti kérés. | A jelentkező és a tanár összepárosítása, a szolgáltatási szerződés előkészítése. | GDPR 6. cikk (1) bekezdés b) pont. Kiskorú esetén a szerződést a szülő vagy gondviselő köti meg. | Cassini-munkatársak az adminisztrációs felületen; a jelentkezésről szóló értesítéseket a saját levelezőszerverünk kézbesíti. | Ha nem jön létre szerződés: 12 hónap. Ha szerződés jön létre: a fiókadatok részévé válik, és a 3.5-3.6 pont szerint őrizzük. |
| Speciális igények (ADHD, diszlexia, diszkalkulia, autizmus, szorongás) és a „speciális igények” szabad szöveges megjegyzés. Ezek egészségügyi adatok. | A megfelelő tanár kiválasztása és az órák az igényekhez igazítása. | GDPR 9. cikk (2) bekezdés a) pont: kifejezett hozzájárulás, külön bepipálva. Kiskorú esetén a szülő vagy gondviselő adja meg. | Cassini-munkatársak; a kiválasztott tanár a szolgáltatás nyújtásához szükséges mértékben. | Mint a jelentkezés többi adata. A hozzájárulás visszavonásáig, de legfeljebb a fenti időtartamig. |
A „tanulási cél” és a „speciális igények” mezők szabad szövegesek és nem kötelezők. Csak annyit írj le, amennyit szükségesnek tartasz. A tanárpárosításról a 4. pont szól.
3.4 Afterschool-jelentkezés és működés
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| A gyermek neve, születési dátuma, évfolyama, települése; a szülő neve, telefonszáma, e-mail-címe; a jelentkezés állapota és az értesítések időpontja. | A gyermek felvétele az afterschool programba (1-4. évfolyam) és a program napi működtetése. | GDPR 6. cikk (1) bekezdés b) pont: szolgáltatási szerződés a szülővel, aki a kiskorút képviseli. | Cassini-munkatársak (a saját központjuk adataihoz férnek hozzá); az értesítő e-maileket a saját levelezőszerverünk kézbesíti. | A programév végétől számított 12 hónap. |
| Ételallergiára vonatkozó szabad szöveges adat. Ez a gyermek egészségügyi adata. | Az étkeztetés biztonságának megteremtése. | GDPR 9. cikk (2) bekezdés a) pont: a szülő kifejezett hozzájárulása, külön bepipálva. | Cassini-munkatársak és az afterschool-csoport tanára. | A gyermek kilépésétől számított 30 nap. |
| Napi feljegyzések: jelen volt-e, hangulat, házi feladat, ebédelt-e, a tanár üzenete. Ezeket a tanár írja a megnevezett gyermekről. | A gyermek napi ellátásának nyomon követése, a szülő tájékoztatása. | GDPR 6. cikk (1) bekezdés b) pont. | A szülő (e-mailben és az alkalmazásban), a csoport tanára, Cassini-munkatársak. | A programév végétől számított 12 hónap. |
| Szülői kérdőív: egyedi, lejáró hivatkozás (kód), szabad szöveges válaszok. | Az afterschool minőségének ellenőrzése. | GDPR 6. cikk (1) bekezdés f) pont: jogos érdek a szolgáltatás minőségének biztosítására. | Cassini-munkatársak. | A hivatkozás a lejáratakor érvényét veszti. A válaszok a programév végétől számított 12 hónapig maradnak meg. |
Az afterschool szolgáltatás díjszámlázási adatait a 3.8 pont írja le.
3.5 Regisztráció és fiók
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| E-mail-cím, jelszó (kizárólag titkosított, bcrypt-kivonat formájában), teljes név, felhasználónév, fióktípus és állapot, telefonszám, cím, irányítószám, település, központ, profilkép. Diáknál: születési dátum, évfolyam, bemutatkozás, nyelvek. Szülőnél: telefonszám, város, bemutatkozás, nyelvek. Tanárnál: beosztás, bemutatkozás, képesítések, tapasztalat, végzettség, születési dátum, város, nyelvek, korcsoportok, értékelés, SEO-adatok. | A fiók létrehozása és működtetése. | GDPR 6. cikk (1) bekezdés b) pont. | Cassini-munkatársak; a Vercel és a Romarg tárhelyszolgáltatók; az e-mail-értesítéseket a saját levelezőszerverünk kézbesíti. | A fiók fennállásáig. Törlési kérelem vagy a fiók megszüntetése után 30 napon belül anonimizáljuk, kivéve azokat az adatokat, amelyeket jogszabály alapján meg kell őriznünk (3.8 pont). |
| A kiskorú regisztrálóról megadott szülői adatok: név, e-mail-cím, telefonszám. | A szülő értesítése és a gyermekfiók a szülőhöz kapcsolása. | GDPR 6. cikk (1) bekezdés b) pont (a gyermekkel kötött szerződés a szülő útján). | Cassini-munkatársak. | Mint a fiók többi adata. |
Ha a szülő hoz létre fiókot a gyermekének, a szülő jár el, az érintett pedig a gyermek. Ilyenkor a szülő adja meg a gyermek teljes nevét, e-mail-címét, jelszavát, címét és születési dátumát. A fiók létrehozásához a regisztráció e-mailes megerősítése szükséges.
3.6 Óraszervezés, feladatok, értékelések
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Hubok (a tanár és a diák közös munkaterülete), órák és sorozataik, jelenlét és fizetési állapot, meghívók, feladatok és teljesítésük (cím, megjegyzés), dokumentumok megosztása. | Az órák ütemezése és megtartása, a jelenlét és a házi feladat követése. | GDPR 6. cikk (1) bekezdés b) pont. | Az adott hub tanára és diákja, a diák szülője, Cassini-munkatársak. | A hub lezárásától számított 24 hónap. |
| Óraértékelések: aktivitás- és megértési pontszám, volt-e házi feladat, hangulatcímkék (például fáradt, szomorú, feszült, szétszórt), üzenet. Az értékelés egy esetleg kiskorú diákról szól, és a tanár írja. | A tanulási folyamat követése, a szülő tájékoztatása. | GDPR 6. cikk (1) bekezdés b) pont (szolgáltatás nyújtása) és f) pont (jogos érdek a szolgáltatás minőségének biztosítására). | A diák szülője, a diák, a tanár, Cassini-munkatársak. Más család nem látja. | A hub lezárásától számított 24 hónap. |
| Havi tanárértékelések: a diák vagy a szülő pontszáma és szabad szöveges válaszai a tanárról. Az értékelés kitöltése kötelező, és kitöltéséig a hub nem használható. | A szolgáltatás minőségének ellenőrzése. | GDPR 6. cikk (1) bekezdés f) pont. | Kizárólag Cassini-munkatársak. A beküldő és a tanár nem látja. | 24 hónap. |
| Tevékenységfolyam és alkalmazáson belüli értesítések: a cselekvő felhasználó azonosítója és neve a feljegyzés időpontjában, a szöveg, a hivatkozás, az olvasottság. | A hubban történt események megjelenítése, értesítés. | GDPR 6. cikk (1) bekezdés b) és f) pont. | Az adott hub résztvevői, a címzett felhasználó. | 12 hónap. |
A telefonszámokat szándékosan korlátozzuk: a tanár és a diák telefonszámát, valamint a szülő nevét és telefonszámát a hub csak addig mutatja, amíg a hub függő állapotú, és csak a másik oldalnak.
3.7 Dokumentumok és feltöltések
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Feltöltött fájlok (pdf, jpg, jpeg, png, legfeljebb 20 MB) és a fájl neve, amely gyakran a diák nevét is tartalmazza. Tanári kifizetési számlák, amelyekben jellemzően a tanár bankszámlaszáma (IBAN) és adóazonosítója is szerepel. | Tananyagok és feladatok megosztása a hubon belül; tanári kifizetések elszámolása. | GDPR 6. cikk (1) bekezdés b) pont; a kifizetési számláknál c) pont is (számviteli megőrzés). | A hub résztvevői; Cassini-munkatársak; a Romarg tárhelyszolgáltató. | A dokumentumok: amíg a hub aktív, utána 12 hónap. A tanári kifizetési számlák: 10 év. |
| Profilképek (fénykép az érintettről). | Azonosítás a hubban és a profilon. | GDPR 6. cikk (1) bekezdés b) pont; a tanárok nyilvános fényképénél a 3.11 pont. | A tanárok fényképe nyilvános; a többi profilképet csak bejelentkezett felhasználó látja. | A fiók fennállásáig. |
A fájlokat a webszerver nyilvános könyvtárán kívül tároljuk, és csak olyan hívásra szolgáljuk ki, amely ellenőrzi a jogosultságot. Kivétel: ha egy tanár egy dokumentumra nyilvános megosztási hivatkozást hoz létre, a hivatkozást ismerő bárki megnyithatja a dokumentumot. Ennek a hivatkozásnak nincs automatikus lejárata, a dokumentum törlésével viszont megszűnik. Ne oszd meg ilyen módon más személyes adatát.
3.8 Fizetés, számlázás, kifizetések
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Számlák és tételeik (diák, összeg, állapot, esedékesség, a tétel leírása), fizetések (fizető, a Stripe és a SmartBill hivatkozásai, a Stripe-nyugta hivatkozása), a vevő adatai a számlázás pillanatában: magánszemélynél név, e-mail-cím, cím, város, megye, ország. | A díj beszedése és a számla kiállítása. | GDPR 6. cikk (1) bekezdés b) pont (fizetés beszedése) és c) pont (számla kiállítása és megőrzése a román számviteli jogszabályok szerint). | Stripe (fizetés), SmartBill (számlázás), Cassini-munkatársak. | 10 év (jogszabályi megőrzés). |
| Cégként kért számla esetén: a cég neve, adószáma (CUI), cégjegyzékszáma, címe, települése, megyéje, ÁFA-státusza, e-mail-címe. | Cégre kiállított számla. | GDPR 6. cikk (1) bekezdés b) és c) pont. | SmartBill; az adószám alapján a cégadatok lekérdezéséhez az ANAF (román adóhatóság) nyilvános szolgáltatása; Cassini-munkatársak. | 10 év, a számla részeként. |
| Az afterschool-tételek leírásában szerepel a gyermek neve. Ez a név a kiállított számlára és a Stripe fizetési adataiba is bekerül. | Az afterschool havidíjának számlázása. | GDPR 6. cikk (1) bekezdés b) és c) pont. | Stripe, SmartBill, Cassini-munkatársak. | 10 év, a számla részeként. |
| A Stripe-webhookok nyers adatai (tartalmazhatják a fizető e-mail-címét, nevét, címét). Tanári kereset- és kifizetési nyilvántartás: kereset, kifizetés, utalási hivatkozás, elutasítás oka, döntést hozó munkatárs. | A fizetési események feldolgozása, a tanári kifizetések elszámolása. | GDPR 6. cikk (1) bekezdés b) és c) pont. | Stripe, Cassini-munkatársak. | A Stripe-webhookok: 24 hónap. A kereset- és kifizetési nyilvántartás: 10 év. |
| Böngészőmunkamenet-tárolás (sessionStorage) a többszámlás Stripe-fizetés folytatásához: a számlázó neve, az összegek és a fizetési hivatkozások. | A fizetés folytatása a Stripe oldaláról való visszatérés után. | GDPR 6. cikk (1) bekezdés b) pont; az eszköz tárolása feltétlenül szükséges. | Nincs. Az adat csak a te böngésződben marad. | A böngészőfül bezárásáig. |
A bankkártya-adataid soha nem jutnak el hozzánk. A fizetés a Stripe saját, tárolt fizetési oldalán történik: a böngésződ átirányít a Stripe-hoz, ott adod meg a nevedet, az e-mail-címedet és a kártyaadataidat. A Stripe-nak küldött adatok között csak számszerű belső azonosítók vannak. A számlákat a SmartBill rendszerén keresztül állítjuk ki.
3.9 E-mail-kommunikáció
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Szolgáltatási e-mailek: fiókkezelés, gyermek és szülő összekapcsolása, jelentkezések és állapotuk, afterschool értesítések és napi értékelések, hubok és meghívók, számlák és fizetési emlékeztetők, tanári kifizetések. A kiküldött e-mailek naplója: címzett, sablon, időpont és az e-mail teljes HTML-szövege (kivéve a belépési kódot tartalmazó sablonokat). Ezek tartalmazhatnak jelentkezésre, afterschool-ellátásra és óraértékelésre vonatkozó adatot, kiskorúakról is. | A szolgáltatás működtetése és az elküldött e-mailek ellenőrzése, szükség esetén újraküldése. | GDPR 6. cikk (1) bekezdés b) pont. Ezek szolgáltatási üzenetek, nem marketing. | Az e-mailt a Cassini saját levelezőszervere (mail.cassinihub.ro) a Romarg tárhelyen kézbesíti. A naplót a Cassini rendszergazdái olvashatják. | A fiók törléséig. Törléskor a naplót is töröljük. |
A szolgáltatási e-mailekről a fiók fennállása alatt nem lehet leiratkozni, mert a szerződés teljesítéséhez tartoznak. A marketing célú hírlevél ettől független, és csak a hozzájárulásodon alapul (3.2 pont).
3.10 Biztonság és naplók
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| A szerver hibanaplója: a kérés címe a lekérdezési paraméterekkel és a hiba nyomkövetése; az elutasított, aláírt weboldal-kérések IP-címe; egyes e-mail-küldési hibáknál a címzett e-mail-címe; időzített feladatok kimenete. | A szolgáltatás biztonsága és a hibák feltárása. | GDPR 6. cikk (1) bekezdés f) pont. | A Cassini rendszergazdái; a Romarg tárhelyszolgáltató. | 30 nap. |
| Jelszó-visszaállítási kódok (e-mail-cím és kód, alapértelmezés szerint 1 óráig érvényesek). | Biztonságos jelszó-visszaállítás. | GDPR 6. cikk (1) bekezdés b) és f) pont. | Nincs. | Felhasználáskor töröljük; a lejártakat naponta töröljük. |
| Munkatársi belépési kódok az adminisztrációs felületen. | A munkatársak azonosítása. | GDPR 6. cikk (1) bekezdés f) pont. | Nincs. | 30 nap, naponta töröljük a lejártakat. |
3.11 Nyilvános profilok: tanárok, munkatársak, előadók, bloggerek
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Tanárok nyilvános profilja: név, beosztás, város, bemutatkozás, képesítések, tapasztalat, értékelés, fénykép, SEO-leírás. Munkatársak, előadók, szerzők: név, e-mail-cím, bemutatkozás, weboldal, közösségimédia-hivatkozások, fénykép. | A tanárok és a Cassini bemutatása a weboldalon. | GDPR 6. cikk (1) bekezdés b) pont a szerződéses tanároknál; f) pont a Cassini bemutatásánál. | Bárki, aki a weboldalt meglátogatja; a Vercel tárhelyszolgáltató. | Amíg az érintett nálunk dolgozik, és utána 6 hónap, hogy az adat a gyorsítótárakból is kikerüljön. |
Mivel ezeknél a jogos érdekünk az alap, jogod van tiltakozni ellene (lásd a 11. pontot).
3.12 A tanár saját, önkéntesen megadott adata
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| A tanár által megjelölt saját tanulási nehézség vagy állapot (ADHD, diszlexia, diszkalkulia, autizmus, szorongás). Ez egészségügyi adat. | A diákokkal való párosítás. | GDPR 9. cikk (2) bekezdés a) pont: kifejezett, önkéntes hozzájárulás. | Cassini-munkatársak. | A hozzájárulás visszavonásáig, vagy a fiók törléséig. |
A megadása teljesen önkéntes, és bármikor visszavonható az adatvedelem@cassinihub.ro címen. A visszavonás csak a jövőbeli párosításra hat.
3.13 A hozzájárulásaid nyilvántartása
| Adatok | Cél | Jogalap | Címzettek | Megőrzés |
|---|---|---|---|---|
| Melyik felhasználóhoz vagy e-mail-címhez tartozik a hozzájárulás, melyik űrlapon adtad, melyik fajtát (adatkezelési tájékoztató, ÁSZF, egészségügyi adat, hírlevél), a dokumentum érvényes verziója, az időpont. IP-címet vagy böngészőazonosítót nem rögzítünk. | Annak igazolása, hogy mikor és mire járultál hozzá (GDPR 7. cikk (1) bekezdés). | GDPR 6. cikk (1) bekezdés c) és f) pont (a hozzájárulás igazolásának kötelezettsége). | Cassini-munkatársak. | A kapcsolódó adat vagy fiók törléséig. Törlési kérelemnél a hozzájárulási adatokat is töröljük. |
4. Automatizált tanárpárosítás
A magánóra-jelentkezéseknél a rendszer pontszámmal javaslatot tesz arra, hogy melyik tanár illik legjobban a jelentkezőhöz. Ez profilalkotás (GDPR 13. cikk (2) bekezdés f) pont), de nem kizárólag automatizált döntés: a párosítást mindig egy Cassini-munkatárs fejezi be. A pontszámot a diák nem látja.
A pontszám számításánál figyelembe vesszük többek között a tanár születési dátumából számolt életkorát is, ha a jelentkező fiatalabb tanárt kért. Ezt a tanároknak is tudniuk kell, ezért itt közöljük.
A GDPR 22. cikke alapján kérheted, hogy a párosítást ember vizsgálja felül: írj az adatvedelem@cassinihub.ro címre.
5. Mely adatok kötelezők?
- A regisztrációhoz kötelező: teljes név, e-mail-cím, jelszó, telefonszám, település, központ, cím és irányítószám. Diákoknál a születési dátum is kötelező. Kiskorúnál a szülő neve, e-mail-címe és telefonszáma is kötelező.
- Az évfolyam megadása nem kötelező.
- Nem kötelező: a tanulási cél és a speciális igények szabad szöveges megjegyzése, az egészségügyi adatok (speciális igények, ételallergia), valamint a jelentkezés üzenet mezője. Senkinek nem kell egészségügyi adatot megadnia ahhoz, hogy a szolgáltatást igénybe vegye.
- Az űrlapokon a kötelezőként jelölt mezők nélkül a kért szolgáltatást nem tudjuk nyújtani, például nem tudunk fiókot létrehozni, számlát kiállítani vagy az órákat megszervezni.
6. Egészségügyi adatok és külön hozzájárulás
Egészségügyi adatot (speciális igények, ételallergia, a tanár saját, önként megadott adata) csak a külön, kifejezett hozzájárulásod alapján kezelünk. Az űrlapokon ez külön pipa, nem része az adatkezelési tájékoztató elfogadásának. Kiskorú esetén a szülő vagy gondviselő adja meg. A hozzájárulás bármikor visszavonható, de a visszavonás nem érinti a korábbi kezelés jogszerűségét.
7. Gyermekek adatai
- A hozzájáruláson alapuló adatkezelésnél Romániában az életkori határ 16 év (a 190/2018. sz. törvény nem szállítja le a GDPR 8. cikkében szereplő értéket).
- 16 évnél fiatalabb gyermek csak szülőn vagy gondviselőn keresztül használhatja a szolgáltatást. A szerződést a szülő köti meg, és ő adja meg a szükséges hozzájárulásokat, így az egészségügyi adatokra vonatkozót is.
- 16 év felett a diák maga is regisztrálhat, de meg kell adnia a szülő nevét, e-mail-címét és telefonszámát, és a szülőt e-mailben értesítjük.
- A gyermek adatait (jelenlét, hangulat, jegyzetek, óraértékelések) a gyermek szülője és a hozzárendelt tanár látja. Más család nem látja őket.
8. Szülők, akiktől nem közvetlenül kaptuk az adatot
A GDPR 14. cikke szerint tájékoztatnunk kell azt is, akitől az adatot nem közvetlenül gyűjtöttük. Két ilyen eset van.
- A kiskorú diák vagy jelentkező megadja a szülő nevét, e-mail-címét és telefonszámát. A szülő ilyenkor semmit sem töltött ki. Az adatot a gyermektől kapjuk, a cél a szülő értesítése és a gyermek fiókjának a szülőhöz kapcsolása. A szülőnek e-mailt küldünk, amely erre a tájékoztatóra hivatkozik, és ez a tájékoztatás.
- A szülő regisztrál egy gyermeket. Ilyenkor a gyermek adatait a szülőtől kapjuk. A gyermek a szülőtől függetlenül is kérheti jogai gyakorlását (lásd a 11. pontot).
9. Kinek adjuk tovább az adataidat?
| Címzett | Szerep | Milyen adatot kap | Hely |
|---|---|---|---|
| Vercel Inc. | Tárhelyszolgáltató (adatfeldolgozó): a weboldal és az alkalmazás. | A frontendeken áthaladó adatok. | Frankfurt, EU (fra1 régió). Az amerikai anyavállalat miatt lásd a 10. pontot. |
| Romarg | Tárhelyszolgáltató (adatfeldolgozó): API, adminisztrációs felület, adatbázis, feltöltött dokumentumok, saját levelezőszerver. | A teljes adatbázis és a feltöltött dokumentumok. | Románia / EU. |
| Stripe Payments Europe Ltd. (Stripe) | Fizetésfeldolgozó. | A fizető neve, e-mail-címe, kártyaadatai (a Stripe saját oldalán megadva); az afterschool-tételek leírása a gyermek nevével; a mi oldalunkról csak számszerű azonosítók. | Írország, amerikai anyavállalattal. Lásd a 10. pontot. |
| SmartBill | Számlázó szolgáltatás. | Magánszemély vevő: név, e-mail-cím, cím, város, megye, ország. Cég vevő: név, adószám (CUI), cégjegyzékszám, cím, város, megye, e-mail-cím. Mindkét esetben a tételek leírása. | Románia (EU). |
| ANAF | Román adóhatóság nyilvános webszolgáltatása. | Cégként kért számlánál az adószám (CUI), a cégadatok lekérdezéséhez. | Románia. |
| Google Analytics 4 (Google Ireland Ltd. / Google LLC) | Webanalitika, csak a weboldalon és csak a hozzájárulásoddal. | Az IP-címből származtatott ország és város, eszköz, forrás, megtekintett oldalak, a Google saját nem- és korcsoport-becslései. | Írország, az USA-ban is. Lásd a 10. pontot. |
| Cookie-Script.com (CookieScript) | Hozzájárulás-kezelés a weboldalon. | Az IP-cím a régió felismeréséhez, a hozzájárulási döntés. | Ciprus (EU). |
| Google LLC (Google Maps) | Beágyazott térkép a Kapcsolat oldalon, csak akkor, ha rákattintasz. | Az a technikai adat, amelyet a böngésződ a térkép betöltésekor küld. | USA. Lásd a 10. pontot. |
| Hatóságok, könyvvizsgálók, jogi tanácsadók | Jogszabályi kérésre vagy a jogaink érvényesítéséhez. | A kérés vagy a feladat teljesítéséhez szükséges adatok. | Románia / EU. |
Az e-maileket nem külső szolgáltató küldi: a Cassini saját levelezőszervere (mail.cassinihub.ro) a Romarg tárhelyen kézbesíti őket, ezért ez nem külön adatfeldolgozó.
Nem használunk hibakövető szolgáltatást (például Sentryt), CAPTCHA-t, SMS-szolgáltatót, push értesítést vagy hirdetési követőkódot. A Vercel analitikai és sebességmérő eszközei sütik és helyi tárolás nélkül működnek. Az adataidat nem adjuk el.
10. Adattovábbítás az Európai Gazdasági Térségen kívülre
Az adataid az Egyesült Államokba is eljuthatnak, mert a Vercel, a Stripe és a Google anyavállalata ott székel. Ezeknél a továbbítás jogalapja az EU-USA adatvédelmi keretrendszer (EU-US Data Privacy Framework), ahol a szolgáltató részt vesz benne, illetve az Európai Bizottság általános szerződési feltételei (Standard Contractual Clauses, SCC).
A garanciák másolatát az adatvedelem@cassinihub.ro címen kérheted.
11. Milyen jogaid vannak?
A jogaidat az adatvedelem@cassinihub.ro címre küldött e-mailben gyakorolhatod, a kérelemre legkésőbb egy hónapon belül válaszolunk.
- Hozzáférés és adathordozhatóság (GDPR 15. és 20. cikk): kérheted, hogy megmutassuk az adataidat, és gépileg olvasható másolatot adjunk róluk.
- Helyesbítés (16. cikk): a nevedet, telefonszámodat, címedet és irányítószámodat az alkalmazás profiloldalán magad is módosíthatod. A többit, például az e-mail-címedet, kérésre javítjuk.
- Törlés (17. cikk): lásd a 12. pontot.
- Korlátozás (18. cikk): kérheted, hogy bizonyos adatokat csak tároljunk, de ne használjunk.
- Tiltakozás (21. cikk): ha az adatkezelés a jogos érdekünkön alapul (óraértékelések, minőségbiztosítás, tevékenységfolyam, nyilvános profilok), tiltakozhatsz ellene.
- A hozzájárulás visszavonása (7. cikk (3) bekezdés): a hírlevélről a leiratkozási hivatkozással bejelentkezés nélkül leiratkozhatsz; az egészségügyi adatokra adott hozzájárulást e-mailben vonhatod vissza.
- Emberi felülvizsgálat kérése az automatizált párosításnál (22. cikk): lásd a 4. pontot.
Panasz: ha úgy érzed, hogy megsértettük az adatvédelmi jogaidat, a felügyeleti hatóságnál is panaszt tehetsz: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, 010336 București, anspdcp@dataprotection.ro, www.dataprotection.ro. Bírósághoz is fordulhatsz.
12. Törlés: hogyan működik a gyakorlatban?
A törlést e-mailben kell kérni az adatvedelem@cassinihub.ro címen. A törlést kizárólag a Cassini adminisztrátora végzi el, a felhasználók maguk nem tudják. A 18 év alatti gyermek törlését a szülő is kérheti. A kérelmet legkésőbb egy hónapon belül teljesítjük. A törlés előtt az adminisztrátor ellenőrzi, hogy van-e akadálya.
Amikor nem tudunk azonnal törölni, vagyis a törlést akadályozó helyzetek:
- Diák: ha még nem lezárt hubban van, ha van közelgő, kifizetett órája, vagy ha rendezetlen fizetése van. Csoportos hubnál az adminisztrátor előbb eltávolítja a diákot a hubból.
- Szülő: ha egy 18 év alatti, hozzá kapcsolt gyermeknek nincs más hozzákapcsolt szülője. A 18 év felettiek fiókja megmarad, csak leválasztjuk a szülőről.
- Tanár: ha van nem lezárt hubja, vagy még ki nem fizetett keresete.
- Afterschool: ha a gyermek csoportba van beosztva. A még el nem fogadott, elutasított vagy kilépett jelentkezéseket töröljük.
- Bármely felhasználónál: ha rendezetlen fizetés van.
A fiók nem tűnik el nyomtalanul: a nevet és az elérhetőségeket kitöröljük vagy általános jelölésre (tanárnál: „Törölt tanár”) cseréljük, a fiókot pedig a helyén anonimizáljuk. Töröljük többek között a profilt, a fényképet, a jelentkezéseket és az afterschool-adatokat, a gyermekről szóló óraértékeléseket és hangulatcímkéket, az afterschool napi és szülői értékeléseket, a kapcsolatfelvételi üzeneteket, a hírlevél-feliratkozást és az e-mail-naplót azonos e-mail-címmel, az értesítéseket és a hozzájárulási nyilvántartást. A tanár nyilvános profilját, fényképét és dokumentumait is töröljük. A múltbeli feljegyzésekben szereplő nevet a törölt felhasználó jelölésére cseréljük.
A számviteli és számlázási adatot nem törölhetjük, mert jogszabály 10 évre megőrzésre kötelez. Ezért megmarad: a számlák és tételeik (köztük az afterschool-tétel leírásában szereplő gyermeknév), a fizetések és a vevő adatai a számlázás pillanatából, a Stripe-eseménynapló, a tanári keresetek, kifizetések és kifizetési számlák. A SmartBill a kiállított számlákat jogszabályi nyilvántartásként őrzi. Ezeket az adatokat a megőrzés ideje alatt nem használjuk másra. Az általad írt havi tanárértékeléseket névtelenítve megőrizzük, hogy a tanár értékelése ne torzuljon, a szabad szöveges válaszokat kitöröljük belőlük.
A törlésről e-mailben értesítünk (gyermek törlésénél a szülőket). Nyilvántartjuk, hogy a törlés megtörtént: a felhasználó azonosítóját és típusát, a törlést végző munkatársat és az időpontot, személyes adat nélkül.
13. Sütik és helyi tárolás
A sütikről és a böngészőben tárolt adatokról külön Süti- és helyi tárolási tájékoztatónk szól, amely a weboldalon és az alkalmazásban is elérhető.
14. Hogyan védjük az adataidat?
- A jelszavakat nem tároljuk, csak bcrypt-kivonatukat.
- A bankkártya-adatok soha nem érintik a Cassini rendszereit.
- A feltöltött dokumentumok nem a nyilvános webkönyvtárban vannak, és csak jogosultság-ellenőrzés után tölthetők le.
- A tanár és a diák telefonszáma csak függő állapotú hubnál, és csak a másik oldalnak látszik.
- A szerverek hibanaplóit 30 napig őrizzük.
15. A tájékoztató módosítása
A tájékoztató jelenlegi változata: 2026-10-20. Ha lényegesen módosítjuk, az alkalmazásban és e-mailben is értesítünk. A hozzájárulásaid nyilvántartásában mindig az a verzió szerepel, amelyet elfogadtál.