Adatkezelési tájékoztató

Utolsó módosítás: 2026. november 2.

Ez a tájékoztató leírja, hogyan kezeli a Sanctuary Kft. a www.sanctuary.hu weboldal látogatóinak, vendégfiókkal rendelkező vendégeinek, valamint a stúdió szolgáltatásait igénybe vevőknek a személyes adatait. A tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, a továbbiakban: GDPR) és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) alapján készült.

1. Az adatkezelő

Név: Sanctuary Kft.
Székhely és levelezési cím: 7163 Mőcsény, Rózsadomb utca 10.
Stúdió: 1111 Budapest, Bercsényi utca 5.
Cégjegyzékszám: 17-09-014831 (Szekszárdi Törvényszék Cégbírósága)
Adószám: 33111401-1-17
Képviseli: Győrfi Júlia ügyvezető
E-mail: connection@sanctuary.hu
Telefon: +36 70 604 0240

Adatvédelmi tisztviselő kijelölésére nem vagyunk kötelesek. Adatkezeléssel kapcsolatos kérdéseiddel és kérelmeiddel a fenti e-mail-címen vagy levélben fordulhatsz hozzánk.

2. Röviden

Csak azokat az adatokat kérjük, amelyek a foglaláshoz, a bérletekhez, a számlázáshoz és a kapcsolattartáshoz szükségesek.
A Google Analytics látogatottságmérést csak akkor használjuk, ha ezt a sütisávban elfogadod; reklám- vagy közösségimédia-sütiket nem használunk, és nem követjük a látogatókat más oldalakon.
Személyes adatot nem adunk el, és nem adunk át harmadik félnek marketingcélra.
A kártyaadataidat nem látjuk és nem tároljuk: az online fizetést a Stripe intézi.
Hírlevelet csak akkor küldünk, ha ehhez kifejezetten hozzájárultál, és ezt bármikor visszavonhatod.

3. Milyen adatokat, milyen célból és meddig kezelünk

3.1. Kapcsolatfelvétel

Ha e-mailben, telefonon, közösségi oldalon vagy személyesen keresel meg minket, a kérdésed megválaszolásához kezeljük a nevedet, az elérhetőségedet és az üzeneted tartalmát.

Jogalap: jogos érdekünk, hogy a megkeresésekre válaszoljunk (GDPR 6. cikk (1) f)); ha a megkeresés foglalásra vagy vásárlásra irányul, a szerződés megkötését megelőző lépések (GDPR 6. cikk (1) b)).
Időtartam: az ügy lezárásától számított legfeljebb 1 évig, kivéve, ha a megkeresésből szerződés jön létre (ekkor a 3.3. pont szerint).

3.2. Vendégfiók és bejelentkezés

A weboldalon jelszó nélkül, az e-mail-címedre küldött bejelentkezési linkkel léphetsz be; a fiók az első bejelentkezéskor jön létre. A fiókban láthatod a foglalásaidat, bérleteidet, kezelési időpontjaidat és fizetéseidet.

Kezelt adatok: e-mail-cím, név, telefonszám (nem kötelező), a választott nyelv, a számlázási adatok (3.6. pont), a bejelentkezési link és a munkamenet technikai adatai (időpontok, titkosított azonosítók), az e-mail-cím megerősítésének időpontja.
Cél: a fiók működtetése, az azonosításod, a foglalásokkal kapcsolatos értesítések küldése.
Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)).
Időtartam: amíg a fiók törlését nem kéred. A törlés nem érinti azokat az adatokat, amelyeket jogszabály alapján tovább kell őriznünk (lásd 3.5. és 3.6. pont).

3.3. Órafoglalás, várólista, bérletek és tagság

Kezelt adatok: a foglalt óra, a foglalás és a lemondás időpontja, a részvétel (megjelent / nem jelent meg), a várólistára iratkozás, a megvásárolt bérletek és tagság adatai (típus, érvényesség, felhasznált és visszaadott alkalmak), valamint a foglalásokkal és bérletekkel kapcsolatos változások naplója (ki, mikor, mit módosított).
Cél: a helyek nyilvántartása, a bérletalkalmak levonása és visszaadása, a lemondási szabályok alkalmazása, az oktatók tájékoztatása az óráikra jelentkezőkről, visszaigazoló és emlékeztető e-mailek küldése, valamint vitás esetek tisztázása.
Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)); a változásnapló vezetése jogos érdekünk (GDPR 6. cikk (1) f)), hogy egy esetleges vitában igazolni tudjuk, mi történt.
Időtartam: a szerződés teljesítésétől (az óra, illetve a bérlet lejárta) számított 5 évig, ami a polgári jogi igények általános elévülési ideje (Ptk. 6:22. §).

Az óra oktatója a saját óráira jelentkezők nevét és a részvételt látja; más vendégek adatait nem.

3.4. Masszázs-, ayurveda-, gyógytorna- és hennakezelések

Kezelést a weboldalon kérhetsz; az időpontot a kezelést végző munkatársunk (masszőr, gyógytornász vagy hennafestő) hagyja jóvá vagy módosítja.

Kezelt adatok: a választott kezelés, időtartam, a kezelést végző munkatárs és az időpont, a kérés állapota (várakozik, jóváhagyva, módosítva, lejárt, lemondva), valamint az általad a kéréshez írt megjegyzés.
Cél és jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)).
Időtartam: a kezeléstől számított 5 évig (Ptk. 6:22. §).

Egészségügyi adatok. Az egészségi állapotodra vonatkozó adatot nem kérünk a weboldalon. Ha a kezelés biztonsága érdekében ilyen információt (például sérülést, várandósságot, krónikus betegséget) a megjegyzésben vagy a kezelés előtt szóban megosztasz a kezelést végző munkatársunkkal, azt kizárólag a kezelés biztonságos elvégzéséhez használjuk, a kifejezett hozzájárulásod alapján (GDPR 9. cikk (2) a)). Kérünk, a megjegyzésbe csak azt írd, ami a kezeléshez valóban szükséges. A hozzájárulásodat bármikor visszavonhatod; ilyenkor az írásban rögzített adatot töröljük.

3.5. Online fizetés

Az online fizetés (bankkártya, Apple Pay, Google Pay) a Stripe biztonságos fizetési oldalán történik. A kártyaadataidat mi nem látjuk és nem tároljuk.

Mi kezeljük: a fizetés tárgyát, összegét, időpontját, állapotát (sikeres, visszatérített), a Stripe által adott tranzakció- és ügyfélazonosítót, valamint a felhasznált kupont és ajándékkártyát.
A Stripe-nak átadjuk: az e-mail-címedet, a számlázási nevedet és címedet, a fizetendő összeget és a vásárlás tárgyát. A Stripe a fizetés lebonyolítása, valamint a csalás- és pénzmosás-megelőzés érdekében önálló adatkezelőként kezeli az adataidat (lásd 5.2. pont).
Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)), a számviteli bizonylatok megőrzése jogi kötelezettség (GDPR 6. cikk (1) c)).
Időtartam: 8 év (a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése).

3.6. Számlázás

Az első online foglalás, időpontkérés vagy fizetés előtt elkérjük a számlázási adataidat. A fiókodban tároljuk őket, ott bármikor módosíthatod, és a későbbi vásárlásoknál is ezeket használjuk. A számlát a Billingo rendszerével állítjuk ki (5.1. pont). A számlázási adatokat csak a stúdió vezetése látja, az oktatók, masszőrök, gyógytornászok és hennafestők nem.

Kezelt adatok: számlázási név (magánszemély vagy cég neve), ország, irányítószám, település, utca és házszám, cég esetén adószám (nem kötelező), e-mail-cím, valamint a vásárolt szolgáltatás, ára és a fizetés időpontja. Minden fizetésnél rögzítjük, milyen számlázási adatokkal történt, hogy a számla a vásárláskori adatokkal készüljön.
Cél: a számla kiállítása és a számviteli bizonylatok megőrzése.
Jogalap: jogi kötelezettség (GDPR 6. cikk (1) c); az általános forgalmi adóról szóló 2007. évi CXXVII. törvény 159. és 169. §; a számvitelről szóló 2000. évi C. törvény 169. §).
Időtartam: a számla kiállításától számított 8 év (Sztv. 169. § (2)). A fiókodban tárolt számlázási adatokat a fiók törlésekor töröljük; a már kiállított számlákon és a fizetések nyilvántartásában szereplő adatok a megőrzési idő végéig megmaradnak.

3.7. Ajándékkártya

Kezelt adatok: a vásárló adatai (mint a 3.2. és 3.5. pontban), a megajándékozott neve, a döntésed szerint az e-mail-címe és az üzeneted, a kártya kódja, egyenlege és felhasználásai.
Cél: az ajándékkártya elkészítése, elküldése, az egyenleg nyilvántartása és a beváltás.
Jogalap: a vásárlóval kötött szerződés teljesítése (GDPR 6. cikk (1) b)); a megajándékozott adatainak kezelése az ajándékkártya kézbesítéséhez fűződő jogos érdek (GDPR 6. cikk (1) f)). Kérünk, csak akkor add meg a megajándékozott e-mail-címét, ha jogosan teheted, és tájékoztatod őt erről.
Időtartam: a fizetési adatok 8 évig (3.5. pont), a megajándékozott adatai a kártya lejáratától vagy teljes felhasználásától számított 1 évig.

3.8. Kuponok

Ha kuponkódot használsz, nyilvántartjuk, melyik vásárláshoz és melyik fiókhoz használtad, hogy a kupon felhasználási korlátait (például vendégenként egy alkalom) alkalmazni tudjuk. Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)); időtartam: a 3.5. pont szerint.

3.9. Hírlevél

Ha az erre szolgáló, alapból üres jelölőnégyzetet bejelölöd, hírlevelet küldünk az órákról, eseményekről és ajánlatokról.

Kezelt adatok: név, e-mail-cím, a hozzájárulás megadásának időpontja.
Jogalap: a hozzájárulásod (GDPR 6. cikk (1) a); a gazdasági reklámtevékenységről szóló 2008. évi XLVIII. törvény 6. §).
Időtartam: a hozzájárulás visszavonásáig. Leiratkozhatsz minden hírlevél alján lévő linkkel, a fiókodban a jelölőnégyzet kikapcsolásával vagy e-mailben; ilyenkor az adataidat a hírlevélküldő rendszerből is töröljük.

A hírlevelet a MailerLite rendszerével küldjük (5.1. pont).

3.10. Rendszerüzenetek

Foglaláskor, lemondáskor, időpont-módosításkor, fizetéskor és a hasonló eseményeknél automatikus e-mailt küldünk (például visszaigazolás, emlékeztető, várólistás értesítés, az óra elmaradása vagy helyettesítése). Ezek a szolgáltatás részei, nem hírlevelek, ezért róluk nem lehet leiratkozni. Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)).

3.11. A weboldal biztonságos működése

A weboldal kiszolgálásakor a szerver és a Cloudflare hálózata automatikusan rögzíti a kérés technikai adatait: IP-cím, időpont, a kért oldal, a böngésző típusa, hibaüzenetek.

Cél: a weboldal működtetése, hibák feltárása, a túlterheléses és egyéb támadások kivédése.
Jogalap: jogos érdekünk a weboldal biztonságos működtetéséhez (GDPR 6. cikk (1) f)).
Időtartam: legfeljebb 30 nap, kivéve, ha egy konkrét biztonsági eseményt ennél tovább kell kivizsgálnunk.

A weboldalon nem használunk reklámcélú eszközöket. A sütikről a Cookie tájékoztatóban olvashatsz.

3.12. Látogatottságmérés (Google Analytics)

Ha a sütisávban elfogadod a látogatottságmérő sütiket, a Google Analytics segítségével megnézzük, hogyan használják a weboldalt (mely oldalakat látogatják, honnan érkeznek a látogatók, milyen eszközről), hogy jobbá tehessük.

Kezelt adatok: egy sütiben tárolt véletlenszerű azonosító, a megtekintett oldalak és az azokon tett kattintások, az előzőleg meglátogatott oldal, az eszköz és a böngésző típusa, az IP-címből becsült hozzávetőleges hely (ország, város) és a látogatás ideje. Magát az IP-címet a Google nem tárolja; ezekből az adatokból mi nem tudunk azonosítani téged, és nem kapcsoljuk őket a vendégfiókodhoz.
Jogalap: a hozzájárulásod (GDPR 6. cikk (1) a)). Hozzájárulás nélkül a Google Analytics kódja egyáltalán nem töltődik be.
Időtartam: a részletes adatokat a Google legfeljebb 14 hónapig őrzi, utána csak összesített statisztika marad; a sütik 2 évig maradnak meg, hacsak nem törlöd őket, vagy nem vonod vissza a hozzájárulásodat.

A hozzájárulásodat bármikor visszavonhatod minden oldal alján a „Cookie-beállítások” linkkel.

3.13. Panaszkezelés

Kezelt adatok: név, elérhetőség, a panasz leírása és a hozzá csatolt dokumentumok, a panaszról felvett jegyzőkönyv és a válaszunk.
Jogalap: jogi kötelezettség (GDPR 6. cikk (1) c); a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. §).
Időtartam: 3 év (Fgytv. 17/A. § (7)).

3.14. Ha a stúdió munkatársa ad meg adatokat

Ha a stúdióban vásárolsz bérletet, vagy egy munkatárs foglal neked órát vagy időpontot, ugyanazokat az adatokat kezeljük, ugyanazon a jogalapon és ugyanaddig, mint ha te magad foglaltál volna online. Ilyen esetben a vendégfiók az e-mail-címedhez kapcsolódik, és bármikor bejelentkezhetsz.

4. Kiskorúak

Szolgáltatásainkat és a weboldalt elsősorban nagykorúaknak szánjuk. 16 év alatti személy a weboldalon csak a szülője vagy törvényes képviselője hozzájárulásával regisztrálhat és foglalhat (GDPR 8. cikk). Ha tudomásunkra jut, hogy ilyen hozzájárulás nélkül kezelünk 16 év alatti személyre vonatkozó adatot, azt töröljük.

5. Kik ismerhetik meg az adataidat

Az adatokat a stúdió vezetése és – a feladatukhoz szükséges mértékben – munkatársai (oktatók, masszőrök, gyógytornászok, hennafestők) ismerhetik meg. Rajtuk kívül az alábbi szolgáltatók férhetnek hozzá.

5.1. Adatfeldolgozók (a mi megbízásunkból és utasításunk szerint)

Tárhely (szerver és adatbázis): Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg, Luxemburg – aws.amazon.com. Az adatokat Frankfurtban (Németország, Európai Unió) lévő szerveren tárolja.
Tartalomkiszolgálás és védelem: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, Amerikai Egyesült Államok – www.cloudflare.com. A weboldal forgalma rajta keresztül halad (titkosított kapcsolat, támadások kiszűrése).
Rendszerüzenetek küldése: Plus Five Five, Inc. (Resend), Amerikai Egyesült Államok – resend.com. A visszaigazoló, emlékeztető és bejelentkezési e-maileket küldi ki.
Látogatottságmérés: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Írország – analytics.google.com. Csak ha elfogadod a látogatottságmérő sütiket (3.12. pont).
Hírlevélküldés: MailerLite Limited, 88 Harcourt Street, Dublin 2, Írország – www.mailerlite.com.
Számlázás: Billingo Technologies Zrt., 1133 Budapest, Árbóc utca 6. – www.billingo.hu.

5.2. Önálló adatkezelők

Online fizetés: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Írország – stripe.com. A Stripe a saját adatkezelési tájékoztatója (stripe.com/privacy) szerint kezeli a fizetéshez megadott adatokat. Apple Pay vagy Google Pay használatakor az Apple, illetve a Google is a saját szabályai szerint kezel adatokat.
Hatóságok: jogszabályban meghatározott esetben (például adóhatóság, bíróság, nyomozó hatóság megkeresésére) a szükséges adatokat átadjuk.

5.3. Adattovábbítás az Európai Unión kívülre

A Cloudflare és a Resend az Amerikai Egyesült Államokban működő vállalat, az Amazon Web Services és a Google pedig amerikai vállalatcsoporthoz (Amazon.com, Inc.; Google LLC) tartozik. Az adattovábbítás az EU–USA adatvédelmi keretrendszer szerinti tanúsítás, illetve az Európai Bizottság által elfogadott általános adatvédelmi kikötések (GDPR 45–46. cikk) alapján történik. A Stripe is továbbíthat adatokat az EU-n kívülre, a saját tájékoztatójában leírt garanciákkal.

6. Adatbiztonság

Az adatokat titkosított kapcsolaton (HTTPS) továbbítjuk, a szerverhez és az adminisztrációs felülethez csak a feladatukhoz szükséges jogosultsággal rendelkező munkatársak férnek hozzá, minden munkatárs csak a munkájához szükséges adatokat látja, és a változásokat naplózzuk. A bejelentkezési linkek rövid ideig érvényesek és egyszer használhatók. Az adatbázisról naponta biztonsági mentés készül, amelyet titkosított csatornán továbbítva, az Európai Unión belül, védett helyen tárolunk, és legfeljebb 60 napig őrzünk meg; a törölt adatok ennyi idő alatt a mentésekből is eltűnnek.

Ha olyan adatvédelmi incidens történik, amely valószínűsíthetően magas kockázattal jár a jogaidra, erről indokolatlan késedelem nélkül értesítünk (GDPR 34. cikk).

7. Automatizált döntéshozatal

Nem hozunk rólad kizárólag automatizált adatkezelésen alapuló, joghatással járó döntést, és nem végzünk profilalkotást. A foglalási rendszer automatikusan alkalmazza a weboldalon közzétett szabályokat (például a lemondási határidőt), ezek azonban minden vendégre egyformán vonatkoznak; vitás esetben a stúdió vezetője egyedileg dönt.

8. A jogaid

Tájékoztatás és hozzáférés (GDPR 15. cikk): megkérdezheted, milyen adatokat kezelünk rólad, és másolatot kérhetsz róluk. A foglalásaidat, bérleteidet és fizetéseidet a fiókodban is látod.
Helyesbítés (16. cikk): a nevedet, telefonszámodat és számlázási adataidat a fiókodban magad is módosíthatod; más pontatlan adat javítását tőlünk kérheted.
Törlés (17. cikk): kérheted az adataid törlését; azokat az adatokat, amelyeket jogszabály alapján meg kell őriznünk (például számlák, panaszok), a megőrzési idő végéig megtartjuk.
Az adatkezelés korlátozása (18. cikk): kérheted, hogy bizonyos ideig csak tároljuk az adataidat, például amíg egy pontatlanságot ellenőrzünk.
Adathordozhatóság (20. cikk): az általad megadott, hozzájárulás vagy szerződés alapján kezelt adatokat géppel olvasható formában (például CSV vagy JSON) kikérheted.
Tiltakozás (21. cikk): a jogos érdekünkön alapuló adatkezelés ellen tiltakozhatsz.
A hozzájárulás visszavonása (7. cikk (3)): bármikor, a visszavonás előtti adatkezelés jogszerűségét nem érinti.

A kérelmedet a connection@sanctuary.hu címre vagy levélben küldheted. Indokolatlan késedelem nélkül, legfeljebb egy hónapon belül válaszolunk; ez a határidő indokolt esetben további két hónappal meghosszabbítható, amiről értesítünk. A válasz díjmentes. Ha nem tudunk egyértelműen azonosítani, a kérelem teljesítése előtt további adatot kérhetünk (például hogy a fiókodhoz tartozó e-mail-címről írj).

9. Jogorvoslat

Ha úgy gondolod, hogy megsértettük az adatvédelmi szabályokat, kérünk, először írj nekünk, hogy orvosolhassuk. Panaszt tehetsz a felügyeleti hatóságnál is:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Cím: 1055 Budapest, Falk Miksa utca 9–11.
Levelezési cím: 1363 Budapest, Pf. 9.
Telefon: +36 1 391 1400
E-mail: ugyfelszolgalat@naih.hu
Honlap: www.naih.hu

A jogaid megsértése esetén bírósághoz is fordulhatsz; a pert – választásod szerint – a lakóhelyed vagy tartózkodási helyed szerinti törvényszék előtt is megindíthatod.

10. A tájékoztató módosítása

Ha az adatkezelésünk változik (például új szolgáltatót veszünk igénybe), ezt a tájékoztatót frissítjük, és a módosítás dátumát a lap tetején feltüntetjük. Lényeges változásról a fiókkal rendelkező vendégeket e-mailben is értesítjük.