Adatvédelmi Tájékoztató

1. Az Adatkezelő adatai

2. A Tájékoztató hatálya

Jelen Adatvédelmi Tájékoztató a plugzone.hu weboldalra, a PlugZone PWA/webes felületre, valamint a PlugZone Android- és iOS-alkalmazásra (a továbbiakban együtt: „Szolgáltatás") vonatkozik, ideértve a regisztráció nélküli vendég QR-töltést is. A Tájékoztató ismerteti, hogyan gyűjtjük, használjuk, tároljuk, osztjuk meg és védjük a felhasználók személyes adatait az EU 2016/679 sz. általános adatvédelmi rendeletnek (GDPR), az információs önrendelkezési jogról szóló 2011. évi CXII. törvénynek (Infotv.), valamint az alkalmazásboltok irányelveinek megfelelően.

3. Gyűjtött adatok köre

3.1. Regisztrációs és fiókadat

• E-mail cím; számlázáskor a számlázási név és cím
• Telefonszám (a regisztrációhoz kötelező, SMS-hitelesítéshez és ügyfélszolgálathoz)
• Jelszó (kriptográfiailag hash-elve, bcrypt)
• Felhasználói azonosító (belső azonosító)
• Számlázási adatok (név, cím, adószám – számlaigényléskor)
• Céges fiók esetén: fióktípus (admin / alfelhasználó), kapcsolódó céges azonosító, előfizetési sáv

3.2. Töltési és tranzakciós adatok

• Töltési előzmények (kezdési/befejezési idő, fogyasztott energia kWh-ban, töltőpont azonosító, ársáv)
• Fizetési tranzakciók (összeg, dátum, fizetési mód – a bankkártyaadatokat nem tároljuk teljes formában, azokat az Adyen fizetési szolgáltató kezeli; tokenizált fizetési azonosító tárolható ismételt terheléshez)
• Egyenleg, feltöltési előzmények és előfizetési státusz (Alap / Smart / Pro)
• Számlaadatok (számla sorszáma, PDF, Számlázz.hu azonosító)

3.3. Eszköz- és technikai adatok

• IP-cím, böngésző típusa és verziója, operációs rendszer
• Eszközazonosító (Android / iOS)
• Push notification token (Firebase Cloud Messaging – FCM)
• Alkalmazás verzió

3.4. Helyadatok

• A telefon vagy böngésző GPS-koordinátája – kizárólag a felhasználó kifejezett engedélyével, a legközelebbi töltőpont megkereséséhez. Ezt a helyadatot nem tároljuk a szervereinken, csak a kliensen, valós időben használjuk, és háttérben nem gyűjtjük.
• Tesla-fiók összekapcsolása és Fleet Telemetry regisztráció esetén a jármű GPS-pozícióját a Tesla / Teslemetry felől cache-eljük a térképes megjelenítéshez. Ebből a GPS-adatból töltést nem indítunk (nincs geofence-alapú Plug & Charge).
• Töltőhely-szavazáskor a felhasználó által megjelölt koordinátát tároljuk, és OpenStreetMap Nominatim szolgáltatással ellenőrizzük, hogy Magyarországra esik-e.
• A töltőállomások saját, nyilvános telepítési koordinátái (nem személyes adat) a térképen megjelennek.

3.5. RFID / NFC adatok

• RFID-azonosító (idTag) – töltőponti hitelesítéshez; a nyers azonosítót nem tároljuk, sózott/pepperelt hash formában kezeljük
• NFC-kártya UID – ha a felhasználó NFC-s azonosítást használ az alkalmazáson keresztül

3.6. Járműadatok (opcionális)

• Jármű típusa, rendszám, VIN (felhasználó által megadott)
• Tesla-fiók összekapcsolás esetén: járműazonosító, VIN, töltöttségi szint, ébresztési állapot – a Tesla Fleet API-n vagy Teslemetry-proxyn keresztül, a felhasználó hozzájárulásával
• A Tesla GPS-cache a térképhez szolgál; töltésindításhoz nem használjuk

3.7. Vendég QR-töltés (regisztráció nélkül)

• Munkamenet-azonosító, töltőpont és csatlakozó, fizetési állapot, OCPP-parancs azonosító
• A vendég a fizetéshez az Adyen felületén adja meg a kártyaadatokat; a kártyaszámot mi nem tároljuk
• Számlaigényléskor e-mail-cím és számlázási adatok – a vendégszámla kiállításához

3.8. ISO 15118 Plug & Charge

• eMAID szerződésazonosító, VIN (ha a töltő vagy a jármű azt közli), Plug & Charge be/ki kapcsolás
• Szerződéses tanúsítvány (certifikát) és a hozzá tartozó, titkosítva tárolt kulcs, érvényesség, OCSP-állapot
• A választott PnC fizetési mód (egyenleg vagy tokenizált kártya)

3.9. WC-hozzáférés (PIN)

• A kért 6 számjegyű PIN-t soha nem tároljuk nyersen: soronkénti só + pepper hash
• Kiállítás időpontja, lejárat, felhasználó azonosítója, kérés IP-címe

3.10. Töltőhely-szavazás

• Szavazat, megjelölt koordináta, opcionális indoklás
• Nominatim-országellenőrzés eredménye (cache-elve, Magyarországra korlátozva)

Bankkártyák kezelése

A PlugZone nem tárolja a bankkártya teljes számát (PAN), a CVV/CVC kódot és a kártyatulajdonos aláírását. Ezeket a felhasználó kizárólag az Adyen N.V. PCI DSS-tanúsított fizetőfelületén adja meg. Az Adyen a Magyar Nemzeti Bank, illetve az irányadó európai felügyelet alatt álló fizetési szolgáltató. Adatkezelésük: adyen.com/privacy-policy.

Ha a profilban („Bankkártya hozzáadása”), az előfizetésnél vagy egy kártyás töltésnél a kártya rögzítésre kerül, az Adyen tokenizálja. A mi adatbázisunkban csak az alábbi, kártyaszámnak nem minősülő adatok maradnak:

• Adyen stored payment method azonosító (token, max. 64 karakter) a felhasználói fiókhoz kötve – Plug & Charge kártyás indításhoz és/vagy előfizetés-megújításhoz
• Adyen shopper-azonosító formában: user-{felhasználóazonosító} – ez köti a tokent a fiókhoz az Adyennél
• A profilon megjelenő márka, utolsó 4 számjegy és lejárat (pl. VISA •••• 1234) nem nálunk van elmentve: minden betöltéskor az Adyen API-jából kérjük le
• Fizetési tranzakciók metaadata: összeg, időpont, státusz, Adyen PSP-referencia, token-azonosító – számviteli és panaszkezelési okból
• A kártya rögzítésekor egy kis összegű előzetes zárolás (jellemzően 100 Ft) történhet az Adyennél, amelyet a token létrejötte után feloldunk, nem terhelünk
• A rögzített kártya a profilból törölhető: ekkor az Adyennél is letiltjuk a tokent, és a fiókból töröljük a token-azonosítót. Vendég QR-töltésnél a kártya nem marad a fiókhoz kötve

A tokennel a Szolgáltató a kártya újbóli begépelése nélkül indíthat előzetes zárolást vagy terhelést (Plug & Charge, előfizetés megújítása, kártyás töltés). A token nem alkalmas a teljes kártyaszám visszafejtésére. Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)) és – számviteli bizonylatoknál – jogi kötelezettség (6. cikk (1) c)). Megőrzés: a token a kártya törléséig vagy a fiók törléséig; a fizetési bizonylatok 8 évig.

4. Az adatkezelés céljai és jogalapjai

5. Mobilalkalmazás-specifikus tájékoztatás

A PlugZone Android- és iOS-alkalmazás az alábbi eszközengedélyeket kérheti:

Fontos: Az opcionális engedélyeket az alkalmazás csak akkor kéri, amikor az adott funkciót a felhasználó először használja. Az engedélyek bármikor visszavonhatóak az Android vagy iOS rendszerbeállításaiban. A biometrikus adat az eszközön marad, a szerverre nem küldjük.

6. Adatok megosztása harmadik felekkel

Személyes adatokat nem értékesítünk harmadik fél számára.

Az alábbi szolgáltatókkal osztunk meg adatokat kizárólag a szolgáltatás nyújtásához szükséges mértékben:

Hatóságoknak kizárólag jogszabályi kötelezettség esetén (pl. érvényes bírósági határozat) adunk át adatot.

Egyes adatfeldolgozók (Adyen, Cloudflare, Google Firebase, Tesla) anyavállalata az EGT-n kívül lehet. Ilyen esetben az adattovábbítás az EU–USA Adatvédelmi Keret szerinti tanúsítás és/vagy az Európai Bizottság általános adatvédelmi szerződési feltételei (SCC) mellett történik.

7. Adatbiztonság

• Minden adatátvitel TLS 1.2+ (HTTPS) titkosítással történik
• Jelszavak bcrypt hash-eléssel vannak tárolva
• A fizetési kártyaadatokat az Adyen kezeli – a mi rendszerünkben bankkártyaszám nem kerül tárolásra
• A szervereket tűzfal védi, rendszeres biztonsági mentésekkel
• Hozzáférés-kezelés: az adatokhoz csak az arra jogosult munkatársak férhetnek hozzá
• A személyes adatokat az Európai Unió (EU/EGT) területén tároljuk és kezeljük
• Az RFID-azonosító és a WC-PIN hash-elve (PIN esetén soronkénti sóval) tárolódik
• A Plug & Charge szerződéses kulcs csomagolva / titkosítva kerül mentésre

8. Cookie-k (sütik)

A weboldal az alábbi sütiket használja:

Marketing- vagy nyomkövető sütiket nem használunk.

A megjelenés (világos/sötét téma) a böngésző localStorage-ében (`plugzone-theme`) marad; ez nem süti, és nem kerül a szerverre. A biometrikus belépés az eszközön marad, a szervernek nem küldjük az ujjlenyomatot vagy arcképet.

9. Az érintett jogai (GDPR 15–22. cikk)

A felhasználónak jogában áll:

• Tájékoztatáshoz való jog – Kérésre megadjuk, milyen adatait kezeljük
• Hozzáférési jog – Másolatot kérhet a tárolt adatairól
• Helyesbítés joga – Pontatlan adatainak javítását kérheti
• Törlés joga („elfeledtetés") – Kérheti adatai törlését
• Adatkezelés korlátozása – Kérheti az adatkezelés felfüggesztését
• Adathordozhatóság joga – Kérheti adatai géppel olvasható formátumban történő átadását
• Tiltakozás joga – Tiltakozhat a jogos érdeken alapuló adatkezelés ellen
• Hozzájárulás visszavonása – Bármikor, indokolás nélkül visszavonható

Jogait az e-mail-cím címen gyakorolhatja. 30 napon belül válaszolunk.

10. Gyermekek adatainak védelme

A Szolgáltatás nem 18 éven aluliak számára készült, és tudatosan nem gyűjtünk kiskorúak adatait. Ha tudomásunkra jut, hogy 18 éven aluli személy adatait kezeljük, azonnali intézkedést teszünk az adatok törlésére.

11. A Tájékoztató módosítása

Fenntartjuk a jogot a Tájékoztató módosítására. Lényeges változás esetén a felhasználókat az alkalmazáson vagy e-mailen keresztül értesítjük. A módosított Tájékoztató a közzététel napján lép hatályba.

12. Jogorvoslat

Ha úgy véli, hogy személyes adatainak kezelésével kapcsolatban jogsértés történt, panaszt tehet:

Az érintett jogainak megsértése esetén bírósághoz is fordulhat.

14. Automatizált döntéshozatal

Az Adatkezelő az Ön személyes adatai alapján nem hoz kizárólag automatizált adatkezelésen alapuló, Önre nézve joghatással járó vagy Önt hasonlóan jelentős mértékben érintő döntést, és profilalkotást ilyen célból nem végez.

13. Kapcsolat

Adatvédelmi kérdésekkel, kérelmekkel forduljon hozzánk:

• 📧 E-mail: e-mail-cím
• 📬 PlugZone Kft., 1108 Budapest, Újhegyi út 14. B épület fsz. 2. ajtó