ADATKEZELÉSI TÁJÉKOZTATÓ

Hatályos: 2026. szeptember 3.
Dokumentumverzió: 2026.3

1. A tájékoztató hatálya

Jelen tájékoztató a Gym Plaza weboldalán és webshopjában, a Gym Plaza mobilalkalmazásban, az edzőtermi beléptetés, időpontfoglalás, kapcsolattartás és kamerás vagyonvédelem során végzett adatkezelésekre vonatkozik. A teljes szolgáltatást és informatikai infrastruktúrát a Gymvision Kft. üzemelteti; A Gym Plaza esetében más bérlőkkel közös fiók- vagy tokenmegosztás nem működik.

A szerződéses feltételeket az Általános Szerződési Feltételek, a helyszín használatának szabályait a Házirend, a sütik és webes követők részleteit a Cookie tájékoztató tartalmazza.

2. Az adatkezelő és az adatvédelmi kapcsolattartó

Adatkezelő: Gymvision Kft.
Székhely: 1112 Budapest, Hosszúréti utca 17.
Cégjegyzékszám: 01-09-416006
Adószám: 32283936-2-43
E-mail: info@gymplaza.hu
Telefon: +36 20 235 7291

Adatvédelmi kapcsolattartó: Jávorkai Krisztián
Elérhetősége: info@gymplaza.hu, +36 20 235 7291

3. Az adatkezelés alapelvei

Az Adatkezelő csak az egyes célokhoz szükséges adatokat kezeli, azokat nem értékesíti és nem adja át más szervezet saját marketingcéljára. Biometrikus adatot sem marketingre, sem a beléptetéstől eltérő célra nem használ, és azt az Amazon Web Services szolgáltatón kívül más címzett részére nem továbbítja. Jogszabályon, hatósági kötelezésen vagy az érintett önkéntes hozzájárulásán alapuló adattovábbítás ettől nem minősül eltérő célú értékesítésnek.

4. Felhasználói fiók és mobilalkalmazás

Cél: a regisztráció, bejelentkezés, fiókbiztonság, tagság és jogosultságok kezelése, valamint a szolgáltatás működtetése.

Adatok: név, e-mail-cím, telefonszám, számlázási cím és egyéb fiókazonosítók; jelszó kivonata; tagsági, bérlet- és jogosultsági adatok; munkamenet-, eszköz-, IP- és biztonsági adatok. Az alkalmazás Bluetooth-, mikrofon- és helymeghatározási engedélyt nem kér. Kameraengedélyt kizárólag az önkéntes biometrikus regisztrációhoz kér, és arc- vagy QR-adatot nem tárol tartósan a készüléken.

Jogalap: a szerződés teljesítése és az azt megelőző lépések a GDPR 6. cikk (1) bekezdés b) pontja alapján; a visszaélések megelőzése és az informatikai biztonság a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek.

Megőrzés: az aktív fiók fennállásáig; az inaktív fiók főszabály szerint két év elteltével törlődik. Törlési kérelem esetén a fiók az azonosítás és a technikai feldolgozás után törlődik, a jogszabály alapján megőrzendő és a biztonsági, visszaélés-megelőzési vagy auditcélú adatok kivételével. Ezek megőrzése legfeljebb egy év, ha az alábbiakban rövidebb vagy jogszabályban hosszabb idő nem szerepel.

5. Webshop, bérletek, fizetés és számlázás

5.1. Vásárlás és szolgáltatás teljesítése

Cél és adatok: a jegy-, bérlet- és egyéb webshop-rendelések teljesítése; ehhez az Adatkezelő a vásárló azonosító és kapcsolattartási adatait, a kosár, rendelés, jogosultság, QR-kód, előfizetés, fizetési állapot, visszatérítés és kapcsolódó ügyintézés adatait kezeli.

Jogalap: GDPR 6. cikk (1) bekezdés b) pont. Megőrzés: a teljesítéstől vagy a szerződés megszűnésétől számított egy év; folyamatban lévő jogvita esetén annak végleges lezárásáig.

5.2. Fizetés

Az online bankkártyás fizetést a Barion Payment Zrt. biztosítja. A Barion a fizetési szolgáltatás tekintetében önálló adatkezelő, a vásárló pedig közvetlenül is a Barion ügyfelévé válik. Az Adatkezelő a fizetés indításához szükséges rendelési, kapcsolattartási és számlázási adatokat, majd a tranzakció azonosítóját és állapotát kezeli; teljes bankkártyaadatot nem tárol. A Barion adatkezelésére a Barion saját tájékoztatója irányadó.

A Barion Pixel csalásmegelőzési célból technikai, eszköz-, böngésző-, IP-, munkamenet- és vásárlási eseményadatokat gyűjt. Az email-cím és a telefonszám kizárólag SHA-1 lenyomatként kerül továbbításra. A csalásmegelőzési adatkezelés jogalapja a Gymvision Kft. és a Barion jogos érdeke a GDPR 6. cikk (1) bekezdés f) pontja alapján.

A látogató külön marketing-hozzájárulása esetén a Barion ezeket az adatokat böngészési és vásárlási szokások elemzésére, személyre szabott tartalmak, ajánlatok és hirdetések megjelenítésére, továbbá média-, hirdetési és analitikai partnerekkel történő azonosító- és adatmegosztásra is felhasználhatja. Ennek jogalapja a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás, amely a weboldal láblécében található Süti beállítások felületen bármikor módosítható vagy visszavonható.

5.3. Számlázás

Cél és adatok: számla kiállítása, megőrzése és adóhatósági adatszolgáltatás; név vagy cégnév, cím, adószám, rendelés- és számlaadatok. Jogalap: GDPR 6. cikk (1) bekezdés c) pont, különösen a számviteli és adójogi kötelezettségek teljesítése. Megőrzés: a számviteli bizonylatokat az Adatkezelő a számviteli törvény alapján nyolc évig őrzi. A számlázásban a Számlázz.hu szolgáltatását használja, és a szükséges adatok a Nemzeti Adó- és Vámhivatalhoz is továbbításra kerülnek.

6. Beléptetés, biometrikus azonosítás és biztonsági naplók

6.1. QR-kódos beléptetés

Cél és adatok: a belépési jogosultság ellenőrzése és a visszaélések kivizsgálása; felhasználó- és jogosultságazonosító, QR-azonosító, kapu, időpont, belépési döntés és technikai napló. Jogalap: a szerződés teljesítése, illetve az Adatkezelő és a tagok biztonságához fűződő jogos érdek. Megőrzés: a belépési, arcfelismerési, tiltólistás és incidensnaplók legfeljebb egy évig. A QR-kód minden kapunál, a nap 24 órájában, díj- és késedelemmentesen használható.

6.2. Önkéntes biometrikus arcfelismerés

A biometrikus arcfelismerés kizárólag a tag személyazonosságának és belépési jogosultságának biztonságos ellenőrzésére, valamint a bérletmegosztás és csalás megelőzésére használható. Jogalapja a tag külön, kifejezett hozzájárulása a GDPR 6. cikk (1) bekezdés a) és 9. cikk (2) bekezdés a) pontja alapján. A hozzájárulás nem feltétele a szolgáltatásnak, mert a QR-kód azonos feltételekkel elérhető. A rendszer munkavállalókra nem terjed ki, és a 16. életévét be nem töltött személy biometrikus regisztrációt nem végezhet.

A regisztráció során az alkalmazás alapesetben öt arcképet készít; további kép csak akkor szükséges, ha az Amazon Rekognition minőségi okból visszautasít egy felvételt. Galériából feltöltés nem lehetséges, és a rendszer nem végez élőségellenőrzést. A képekből nem készül megőrzött képfájl: a feldolgozás után kizárólag matematikai arcvektorok maradnak az AWS Frankfurt-régiójában (eu-central-1). A beléptető terminál aktuális képe szintén nem kerül megőrzésre, és a kamerarendszer nem kapcsolódik az arcfelismeréshez. Az AWS szervezeti szintű AI-szolgáltatás opt-out beállítása aktív, ezért a szolgáltató az adatokat nem használhatja saját modelljei fejlesztésére.

A hozzájárulás az alkalmazás Profil/Beállítások menüjében bármikor visszavonható; ekkor az arcvektorok haladéktalanul és véglegesen törlődnek. Ugyanez történik a fióktörlés technikai végrehajtásakor, továbbá akkor is, ha a tagnak 90 napja nincs érvényes bérlete. A hozzájárulási, regisztrációs és törlési auditnapló – arcvektor és fénykép nélkül – legfeljebb egy évig őrizhető. A részletes feltételeket és az elfogadandó nyilatkozatot a Biometrikus hozzájárulási nyilatkozat tartalmazza.

7. Kamerás megfigyelés

Az edzőterem 20, hangot nem rögzítő kamerája a személy- és vagyonbiztonság, balesetek és jogsértések megelőzése, kivizsgálása és bizonyítása céljából működik. Jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek. A rendszer automatikus; élőképet senki nem figyel, és távoli biztonsági szolgálat nem csatlakozik hozzá.

A megfigyelés az edzőterem teljes területére kiterjedhet, kivéve az öltözőkabinokat, zuhanyzókat, illemhelyeket és minden olyan területet, ahol a megfigyelés az emberi méltóságot sértené. A felvételeket kizárólag a tulajdonos nézheti vissza baleset, károsulti bejelentés vagy konkrét biztonsági esemény kivizsgálásakor.

A felvételek három nap elteltével automatikusan törlődnek. Jogszerű rendőrségi, hatósági vagy biztosítói megkeresés, illetve konkrét igényérvényesítés esetén a szükséges részlet a törlés előtt kimenthető, és csak az eljárás vagy igény végleges lezárásáig őrizhető, illetve a jogszerű címzettnek adható át.

8. Időpontfoglalás és személyi edzők

Cél és adatok: időpontfoglalás, részvétel és kapcsolattartás; tag neve, címe, telefonszáma és az adott edző saját órájára vonatkozó foglalási adatok. Jogalap: a szolgáltatás teljesítése, az adatok személyi edző részére történő hozzáférhetővé tételéhez pedig a tag előzetes, önkéntes hozzájárulása. Az edző csak a saját vendégeinek e korlátozott adatait láthatja. Megőrzés: a foglalás lezárásától számított legfeljebb egy év.

9. Kapcsolattartás, értesítések, diagnosztika és marketing

9.1. Ügyfélszolgálat és szolgáltatási értesítések

Az Adatkezelő az e-mailben, telefonon vagy az alkalmazásban érkező megkeresések, továbbá a vásárláshoz, tagsághoz, foglaláshoz, biztonsághoz és üzemzavarhoz kapcsolódó szükséges értesítések céljából kezeli a kapcsolattartási adatokat, az üzenetet és a kézbesítési adatokat. Jogalapja az ügytől függően a szerződés teljesítése, jogi kötelezettség vagy jogos érdek; megőrzése az ügy lezárásától számított legfeljebb egy év, folyamatban lévő jogvita esetén annak lezárásáig.

Az e-maileket a Resend API és az EU-régiós Zoho Mail közreműködésével küldi, a mobil push értesítéseket pedig az Expo Notifications továbbítja az Apple Push Notification Service vagy a Google Firebase Cloud Messaging rendszerébe. A Resend használatakor megnyitás- és kattintáskövetés nincs.

9.2. Hibajelentés és termékfejlesztési mérés

A mobilalkalmazás működési hibáinak feltárásához a Sentry, a használat méréséhez és a szolgáltatás javításához a PostHog használható. A kezelt adatok a hiba, alkalmazásverzió, eszköz- és eseményadatok, technikai azonosítók és IP-adat lehetnek; biometrikus adatot, teljes QR-kódot vagy bankkártyaadatot e rendszerekbe nem továbbítunk. A szükséges hibadiagnosztika jogalapja a biztonságos működéshez fűződő jogos érdek; a nem feltétlenül szükséges analitika csak előzetes hozzájárulással működhet. Az adatok legfeljebb egy évig őrizhetők.

9.3. Saját marketing

Marketingcélú e-mailt, SMS-t, push értesítést vagy személyes megkeresést az Adatkezelő kizárólag az érintett előzetes, önkéntes és külön hozzájárulásával küld. A hozzájárulás bármikor, hátrány nélkül visszavonható az üzenetben biztosított leiratkozással vagy az Adatkezelő elérhetőségein. A marketingadatok a visszavonásig, de legfeljebb egy évig kezelhetők; a visszavonás igazolásához szükséges minimális adat további egy évig megőrizhető.

A Klaviyo marketingrendszer legkorábban 2026 szeptemberétől, kizárólag aktiválása és érvényes hozzájárulás esetén használható a szokásos kapcsolattartási és kampányeseményekkel. A Klaviyo onsite szkriptje a weboldalon mindig elérhető, hogy a Klaviyo űrlapjai megjelenhessenek; kapcsolatfelvételi adatot az űrlap elküldésekor kezel. A Meta Pixel csak a Cookie tájékoztató szerinti marketinghozzájárulás után aktiválódhat; Advanced Matching, Conversions API és biometrikus adatátadás nincs.

10. Címzettek és adatfeldolgozók

Az Adatkezelő a szükséges adatok körében az alábbi szolgáltatókat veheti igénybe, amelyekkel a szükséges adatfeldolgozási megállapodásokat megkötötte:

• Hetzner Online GmbH: EU-s szerver-, fájl- és saját üzemeltetésű Redis-infrastruktúra;
• PlanetScale, Inc.: PostgreSQL-adatbázis az EU központi, frankfurti régiójában;
• Amazon Web Services: Rekognition és SQS az eu-central-1 régióban;
• BunnyWay d.o.o.: CDN, DNS és hálózati védelem, anonimizált IP-címekkel és alapértelmezett naplómegőrzéssel;
• Plus Five Five, Inc. (Resend) és Zoho Corporation B.V.: e-mail-kézbesítés és levelezés;
• 650 Industries, Inc. (Expo), Apple Inc. és Google LLC: mobil push értesítések továbbítása;
• Functional Software, Inc. (Sentry) és PostHog, Inc.: hibadiagnosztika és hozzájáruláshoz kötött használati analitika;
• Klaviyo, Inc.: hozzájáruláson alapuló marketing, az aktiválásától;
• KBOSS.hu Kft. (Számlázz.hu): elektronikus számlázás.

A Barion Payment Zrt., a Meta Platforms Ireland Limited, valamint az alkalmazás-áruházak és pushkézbesítési szolgáltatók az általuk önállóan meghatározott adatkezelések tekintetében saját adatkezelési tájékoztatójuk szerint járnak el. További címzett lehet az érintett által felhatalmazott személyi edző, továbbá törvényes megkeresés alapján bíróság, hatóság, rendőrség, biztosító, könyvelő vagy jogi képviselő.

Az Adatkezelő nem engedélyezi, hogy bármely adatfeldolgozó a biometrikus vagy más ügyféladatot saját marketingcéljára használja.

11. Harmadik országba történő adattovábbítás

Az elsődleges alkalmazás-, adatbázis- és biometrikus infrastruktúra az Európai Unióban működik. Egyes amerikai szolgáltatók – különösen a Resend, Expo, Sentry, PostHog, Klaviyo, Apple, Google és Meta – igénybevétele során az Egyesült Államokba vagy más harmadik országba történő hozzáférés vagy továbbítás előfordulhat. Ilyenkor az Adatkezelő a GDPR V. fejezete szerinti megfelelőségi határozatra, EU–USA Adatvédelmi Keretre, általános szerződési feltételekre és szükség szerint kiegészítő garanciákra támaszkodik.

12. Automatizált működés és emberi felülvizsgálat

Az arcfelismerő rendszer 85%-os hasonlósági küszöbbel automatikusan ellenőrzi a belépési jogosultságot. A sikertelen egyezés nem okoz végleges kitiltást vagy más, kizárólag automatizált, jelentős joghatást: a próbálkozás ismételhető, a QR-kód azonnal használható, és emberi felülvizsgálat kérhető az info@gymplaza.hu címen vagy a fenti telefonszámon. A rendszer nem végez érzelemfelismerést, érzékeny tulajdonság szerinti kategorizálást vagy marketingprofil-alkotást.

13. Adatbiztonság

Az Adatkezelő hozzáférés-korlátozást, naplózást, titkosított adatátvitelt és tárolást, elkülönített jogosultságokat, mentési és incidenskezelési eljárást alkalmaz. Személyes adathoz csak az férhet hozzá, akinek ez a feladatához szükséges. A naplókat és auditadatokat az Adatkezelő nem használja marketingre.

14. Az érintett jogai

Az érintett kérheti a személyes adataihoz való hozzáférést, azok helyesbítését, törlését, az adatkezelés korlátozását és – ahol alkalmazható – adathordozhatóságát; tiltakozhat a jogos érdeken alapuló adatkezelés ellen, valamint bármikor visszavonhatja hozzájárulását. A visszavonás nem érinti a korábbi adatkezelés jogszerűségét. A biometrikus hozzájárulás az alkalmazás Profil/Beállítások menüjében vonható vissza.

Kérelem az Adatkezelő vagy az adatvédelmi kapcsolattartó fenti elérhetőségein nyújtható be. Az Adatkezelő indokolatlan késedelem nélkül, főszabály szerint egy hónapon belül válaszol; szükség esetén azonosítást kérhet.

Panasz tehető a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (1055 Budapest, Falk Miksa utca 9–11.; levelezési cím: 1363 Budapest, Pf. 9.; ugyfelszolgalat@naih.hu; naih.hu), továbbá az érintett bírósághoz fordulhat.

15. A tájékoztató módosítása

Az Adatkezelő a tájékoztatót új adatkezelés, szolgáltatóváltás vagy jogszabályváltozás esetén módosítja. A lényeges változásról az érintetteket megfelelő módon tájékoztatja; új hozzájárulási célhoz új hozzájárulást kér.