Adatkezelési tájékoztatóPrivacy Policy

1. Az adatkezelő

Adatkezelő: PHASE Perfumes (a továbbiakban: „Adatkezelő”).

Cégnév: Kalocsa Péter egyéni vállalkozó · Székhely: 9400 Sopron, Besenyő utca 19. 3. em. 19. ajtó · Nyilvántartási/cégjegyzékszám: 62691996 · Adószám: 92292473-1-28 · Képviselő: Kalocsa Péter · E-mail: info@phaseperfumes.hu

A tájékoztató az EU 2016/679 rendelete (GDPR) szerint készült.

2. Milyen adatokat kezelünk és miért

Fiók: e-mail-cím, név, jelszó (kizárólag titkosított formában), opcionálisan születési dátum (születésnapi kedvezményhez) és nyelvi preferencia. Google-fiókkal történő belépés esetén a jelszó helyett a Google-tól kapjuk meg az e-mail-címedet, a nevedet és a Google-profilazonosítódat; ehhez a Google-nál kell hozzájárulnod. Jogalap: szerződés teljesítése, illetve a születésnap esetén hozzájárulás. A fiók a fiókpanelen bármikor törölhető.

Foglalás (fiókkal vagy anélkül): a kiválasztott illatok, mennyiség, egységár és végösszeg, a pénznem, a megadott e-mail-cím, valamint a szállítási adatok (név, telefonszám, cím, irányítószám, város, ország, illetve a megadott csomagpont azonosítója és neve) és — ha a szállításitól eltér — a számlázási név és cím, továbbá az opcionálisan megadott adószám. A kifizetett rendelésről elektronikus számlát állítunk ki a Számlázz.hu rendszerében, és e-mailben küldjük el. A foglalás fizetés nélküli; a későbbi fizetés a Stripe fizetési szolgáltató felületén, személyes fizetési linken történik. BANKKÁRTYA-ADATOT NEM KÉRÜNK BE, NEM LÁTUNK ÉS NEM TÁROLUNK — azt kizárólag a Stripe kezeli a saját rendszerében; a Stripe-tól a fizetés tényét, időpontját és a tranzakció azonosítóját tároljuk. Jogalap: szerződés előkészítése és teljesítése.

Kuponok és ajánlói program: a fiókodhoz kiadott kuponok (kód, mérték, lejárat, felhasználás), a fiókod ajánlói kódja, valamint — ha ajánlói linken keresztül hoztál létre fiókot — az ajánló fiókjának és a te fiókodnak az összekapcsolása és a jutalom kiadásának ténye. Az ajánlott személy nevét vagy e-mail-címét az ajánlóval nem közöljük. Jogalap: szerződés teljesítése (a kupon- és ajánlói feltételek az ÁSZF részei).

Belső aktivitási érték: a fiókhoz tartozó, a rendelésekből számított belső aktivitási érték, amely a felületen nem jelenik meg; kedvezmény mértékét (pl. a születésnapi kupon nagyságát) vagy egyes új termékekhez való korai hozzáférést befolyásolhat. Jogalap: jogos érdek (visszatérő vásárlók megkülönböztetett kiszolgálása); ez ellen a 6. pont szerint tiltakozhatsz.

Kívánságlista és várólista: a megjelölt termékek azonosítója, illetve a várólistához megadott e-mail-cím és az érintett termék. Vendégként a kívánságlista csak a böngésződben tárolódik; belépés után az adatbázisban, és a belépéskor a két lista összefésülődik. A kívánságlistához kapcsolódó automatizált leveleket (lásd alább) csak hírlevél-hozzájárulás mellett küldünk. Jogalap: kívánságlistánál szerződés teljesítése (fiókkal), várólistánál hozzájárulás.

Vélemény: a szöveg, az értékelés, a kapcsolódó rendelés és termék azonosítója, a moderálás állapota, valamint — ha ehhez külön hozzájárulsz — a keresztneved és a városod a közzétett véleménynél. Véleményt csak igazolt vásárló adhat, kézbesített rendelésben szereplő termékről. Jogalap: hozzájárulás; a közzététel bármikor visszavonható.

Hírlevél és automatizált levelek: e-mail-cím, feliratkozási státusz és a kiküldött levelek megnyitásának ténye (mérőpixel). A hírlevél-hozzájárulás alapján a szerkesztett hírlevél mellett személyre szóló, automatizált leveleket is küldünk: üdvözlő levél, emlékeztető a kosárban hagyott tételekről, visszahívó levél régebbi vásárlás után, születésnapi kedvezmény, utántöltés-emlékeztető, valamint a kívánságlistádon lévő illatokról szóló értesítések (emlékeztető, akciós ár, újra elérhető). Ezekhez a rendeléseid, a kosarad, a kívánságlistád és a születési dátumod adatait használjuk. Jogalap: hozzájárulás, amely bármikor visszavonható a levelek alján lévő leiratkozó linkkel vagy a fiókbeállításokban; leiratkozás után ezekből egyet sem küldünk.

Tranzakciós levelek: a rendeléshez kapcsolódó visszaigazolást, fizetési felhívást, rendelésállapot-értesítést, számlát, a kézbesítés utáni egyszeri véleménykérést és a várólista-értesítést a szerződés teljesítése érdekében küldjük; ezekről nem lehet leiratkozni. A kézbesítés utáni levélben kapott, egyedi linkű oldalon jelezheted, hogy a csomag megérkezett — ezt a rendelésen rögzítjük. Jogalap: szerződés teljesítése.

Egyedi parfüm kérése (Bespoke): az e-mail-címed, a neved, a telefonszámod, a választott kapcsolatfelvételi mód, a hozzájárulásod ténye, valamint az általad megadott szabad szöveges leírás (emlék vagy történet, hangulat és alkalom, kedvelt és kerülendő jegyek, névötlet). A kitöltés közbeni piszkozat csak a böngésződ helyi tárolójában marad, amíg el nem küldöd. Jogalap: szerződés előkészítése, illetve a szabad szöveges leírás tekintetében a hozzájárulásod. Ezeket az adatokat a kapcsolatfelvétel lezárásáig kezeljük — ha a kérésből nem lesz megrendelés, a lezárást követően töröljük.

Kapcsolatfelvétel: a kapcsolati űrlapon megadott név, e-mail-cím és üzenet. Jogalap: jogos érdek (a megkeresés megválaszolása), illetve ha a megkeresés rendelésre irányul, szerződés előkészítése. Az üzenetet a megkeresés lezárásáig kezeljük.

3. Sütik, helyi tárolás és mérés

A Weboldal NEM használ marketing- vagy profilalkotó sütit, nem használ Google Analyticset vagy Meta-pixelt, és nem ad át adatot hirdetési hálózatoknak. A betűtípusokat a saját szerverünkről szolgáljuk ki, betűtípus-kérés harmadik félhez nem indul.

Feltétlenül szükséges süti: a bejelentkezéshez a Supabase munkamenet-sütije. Ha a belépéskor nem kéred a „maradjak bejelentkezve” lehetőséget, ez a süti a böngésző bezárásakor törlődik. Google-belépés választása esetén a hitelesítés a Google felületén történik, a Google saját adatkezelési tájékoztatója szerint.

Böngésző helyi tárolója (localStorage) — az eszközödön marad, hozzánk nem kerül át: a kosarad tartalma (termékazonosító és darabszám), a kívánságlistád vendég módban (termékazonosítók), a nyelvi és téma-beállításod, a „maradjak bejelentkezve” választásod, a kvíz elmentett eredménye, az egyedi parfüm kérésének el nem küldött piszkozata, valamint az ajánlói kód, ha ajánlói linkről érkeztél. Ezeket bármikor törölheted a böngésző adatainak törlésével.

Munkamenet-tároló (sessionStorage): egy rövid életű, véletlenszerű látogatás-azonosító a saját, cookie-mentes látogatottság-mérésünkhöz. A böngészőfül bezárásakor törlődik, más adathoz nem kapcsoljuk.

Saját (first-party) mérés: a fenti látogatás-azonosítóhoz kötve rögzítjük az esemény típusát (oldalmegtekintés, termékmegtekintés, kosárba tétel, rendelés megkezdése és leadása, munkamenet vége), az oldal útvonalát, az érintett termék azonosítóját, a hivatkozó oldalt és az oldalon töltött időt. Nem tárolunk IP-címet és nem készítünk eszközujjlenyomatot; az adat nem alkalmas a személyed azonosítására. Jogalap: jogos érdek (a Weboldal működésének és használhatóságának mérése). Ez ellen a 6. pont szerint tiltakozhatsz.

Ha a Plausible Analytics be van kapcsolva (a tájékoztató frissítésekor nem volt), az szintén cookie-mentes, összesített statisztikát készít; egyéni felhasználót nem azonosít és nem követ oldalak között.

4. Adatfeldolgozók

Supabase (adatbázis, hitelesítés és fájltárolás, EU-régióban tárolt adatok) — a fiók-, rendelési, kupon-, ajánlói, kívánságlista-, vélemény-, bespoke- és mérési adatok tárolása.

Resend (tranzakciós, automatizált és hírlevél-e-mailek kiküldése) — a címzett e-mail-címét és a levél tartalmát kezeli a kiküldéshez.

Stripe (bankkártyás fizetés feldolgozása a fizetési felhívás után) — a kártyaadatokat közvetlenül tőled veszi át, és a csalásmegelőzés körében önálló adatkezelőként is eljár; tőlünk a végösszeget, a pénznemet, a rendelés-azonosítót és az e-mail-címet kapja meg.

Számlázz.hu (KBOSS.hu Kft., 1031 Budapest, Záhony utca 7.) — a kifizetett rendelésekről a számla kiállítása és a számviteli törvény szerinti megőrzése; a számlázási nevet, címet, a megadott adószámot, a tételeket és a végösszeget kapja meg.

Tárhelyszolgáltató: Netlify, Inc. (512 2nd Street, Suite 200, San Francisco, CA 94107, USA) — a Weboldal kiszolgálása és az ütemezett háttérfeladatok (pl. automatizált levelek indítása) futtatása.

GLS és Magyar Posta — a kiszállításhoz a csomag feladásakor a címzett nevét, címét (illetve csomagpontját), telefonszámát és e-mail-címét adjuk át.

Google — kizárólag akkor, ha Google-fiókkal lépsz be; ekkor a Google önálló adatkezelőként azonosít, és nekünk az e-mail-címedet, a nevedet és a profilazonosítódat adja át.

Az adatfeldolgozókkal a GDPR 28. cikke szerinti adatfeldolgozói megállapodás áll fenn. Harmadik országba történő adattovábbítás esetén az Európai Bizottság általános szerződési feltételei az irányadók.

5. Megőrzési idő

A fiókadatokat a fiók törléséig őrizzük. A fiók törlésekor a fiókhoz tartozó adatok (kívánságlista, kuponok, ajánlói kapcsolat, aktivitási érték, születési dátum, hírlevél-feliratkozás, vélemények) törlődnek; a már leadott rendelések és a számlák adatai a jogszabályi (számviteli) megőrzési kötelezettség idejéig, illetve az abból származó jogi igények elévüléséig — a fiókról leválasztva — megmaradnak. A vendégként leadott foglalás adatait a foglalás lezárása után 24 hónapig őrizzük, majd töröljük.

A hírlevél-feliratkozást a leiratkozásig kezeljük; leiratkozás után csak a leiratkozás tényét őrizzük meg (annak bizonyítására, hogy nem küldünk több levelet). A várólista-feliratkozást a széria megnyitásáig, de legfeljebb 24 hónapig. A lejárt vagy felhasznált kuponokat a rendeléshez kapcsolódóan, a rendelési adatokkal együtt őrizzük.

A first-party mérési eseményeket legfeljebb 14 hónapig őrizzük, ezután automatikusan törlődnek.

6. Az érintettek jogai

A GDPR alapján kérheted a rád vonatkozó adatokhoz való hozzáférést, azok helyesbítését, törlését, kezelésük korlátozását, az adathordozhatóságot, illetve tiltakozhatsz a jogos érdeken alapuló adatkezelés (mérés, belső aktivitási érték) ellen. A hozzájáruláson alapuló adatkezeléseknél (hírlevél és automatizált levelek, várólista, vélemény közzététele, születésnap) a hozzájárulás bármikor, a jövőre nézve visszavonható. A fiókodat a fiókpanelen magad is törölheted.

Kérelmedet a info@phaseperfumes.hu címen fogadjuk, és legkésőbb 30 napon belül válaszolunk. Panasszal a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH, naih.hu), illetve a szokásos tartózkodási helyed szerinti felügyeleti hatósághoz fordulhatsz.

7. Adatbiztonság

Az adatokat titkosított kapcsolaton (HTTPS) továbbítjuk, a jelszavakat kizárólag egyirányú, sózott hash formájában tároljuk, az adatbázisban pedig sorszintű hozzáférés-szabályozás (RLS) gondoskodik arról, hogy mindenki csak a saját adatait érhesse el. Az adminisztrációs felület külön jogosultsághoz kötött, és a rajta végzett műveletek naplózásra kerülnek.

1. The controller

Controller: PHASE Perfumes (the “Controller”).

Company: Kalocsa Péter egyéni vállalkozó · Registered seat: 9400 Sopron, Besenyő utca 19. 3. em. 19. ajtó · Registration number: 62691996 · Tax number: 92292473-1-28 · Represented by: Kalocsa Péter · E-mail: info@phaseperfumes.hu

This notice is issued under Regulation (EU) 2016/679 (GDPR).

2. What data we process and why

Account: e-mail address, name, password (stored only as a hash), and optionally a date of birth (for the birthday benefit) and a language preference. If you sign in with a Google account, instead of a password we receive your e-mail address, name and Google profile identifier from Google, subject to your consent given to Google. Legal basis: performance of a contract; consent for the birthday. The account can be deleted at any time from the account panel.

Reservation (with or without an account): the fragrances selected, quantity, unit price and total, the currency, the e-mail address given, and the delivery details (name, phone number, address, postcode, city, country, and the id and name of the ParcelShop you specified, where applicable), plus — where different — the billing name and address, and the tax number if you chose to provide one. For paid orders we issue an electronic invoice through Számlázz.hu and send it by e-mail. A reservation is made without payment; the later payment is made on the interface of the payment provider Stripe via a personal payment link. WE DO NOT REQUEST, SEE OR STORE CARD DETAILS — those are handled solely by Stripe in its own systems; from Stripe we store the fact and time of payment and the transaction identifier. Legal basis: preparation and performance of a contract.

Coupons and referral programme: the coupons issued to your account (code, rate, expiry, use), your account's referral code and — if you created your account through a referral link — the link between the referrer's account and yours and the fact that the reward was granted. We do not disclose the referred person's name or e-mail address to the referrer. Legal basis: performance of a contract (the coupon and referral conditions are part of the Terms).

Internal activity value: an internal activity value attached to the account and calculated from your orders, which is not shown on the Site; it may influence the size of a discount (e.g. the birthday coupon) or early access to certain new products. Legal basis: legitimate interest (differentiated service for returning customers); you may object as described in section 6.

Wishlist and waiting list: the product identifiers saved, and for the waiting list the e-mail address given together with the fragrance concerned. As a guest the wishlist is stored only in your browser; once signed in it is stored in the database, and the two lists are merged when you sign in. Automated e-mails connected to the wishlist (see below) are sent only with newsletter consent. Legal basis: performance of a contract for the wishlist (with an account); consent for the waiting list.

Reviews: the text, the rating, the identifiers of the related order and product, the moderation status, and — only if you separately consent — your first name and city shown with the published review. Only verified customers may review, and only a product contained in a delivered order. Legal basis: consent; publication can be withdrawn at any time.

Newsletter and automated e-mails: e-mail address, subscription status and whether a sent message was opened (tracking pixel). On the basis of your newsletter consent we send, besides the editorial newsletter, personalised automated e-mails: a welcome e-mail, a reminder about items left in your basket, a win-back e-mail after an earlier purchase, the birthday benefit, a refill reminder, and notifications about fragrances on your wishlist (reminder, promotional price, back in stock). For these we use your order, basket, wishlist and date-of-birth data. Legal basis: consent, which can be withdrawn at any time via the unsubscribe link in every e-mail or in account settings; after unsubscribing we send none of these.

Transactional e-mails: the order confirmation, payment request, order status notices, invoice, a single review invitation after delivery and the waiting-list notice are sent to perform the contract; they cannot be unsubscribed from. On the personal-link page reached from the post-delivery e-mail you can tell us that the parcel has arrived — we record this on the order. Legal basis: performance of a contract.

Bespoke fragrance request: your e-mail address, name, phone number, your preferred way of being contacted, the fact of your consent, and the free-text description you provide (a memory or story, mood and occasion, notes you love and notes to avoid, a name idea). While you fill in the form, the draft stays only in your browser's local storage until you submit it. Legal basis: preparation of a contract, and — for the free-text description — your consent. We process this data until the enquiry is closed; if it does not lead to an order, we delete it after closing.

Contact form: the name, e-mail address and message you enter. Legal basis: legitimate interest (answering your enquiry) or, where the enquiry concerns an order, preparation of a contract. The message is processed until the enquiry is closed.

3. Cookies, local storage and measurement

The Site uses NO marketing or profiling cookies, no Google Analytics and no Meta pixel, and shares no data with advertising networks. Fonts are served from our own server; no font request is made to any third party.

Strictly necessary cookie: the Supabase session cookie used for signing in. If you do not tick “keep me signed in”, this cookie is deleted when you close the browser. If you choose to sign in with Google, authentication takes place on Google's interface under Google's own privacy policy.

Browser local storage — stays on your device and never reaches us: your cart contents (product id and quantity), your wishlist when browsing as a guest (product ids), your language and theme preference, your “keep me signed in” choice, your saved quiz result, the unsent draft of a bespoke request, and the referral code if you arrived from a referral link. You can remove these at any time by clearing your browser data.

Session storage: a short-lived, random visit identifier for our own cookie-free traffic measurement. It is deleted when you close the browser tab and is not linked to any other data.

First-party measurement: linked to that visit identifier we record the event type (page view, product view, add to cart, checkout started and completed, end of session), the page path, the product identifier concerned, the referring page and the time spent. We store no IP address and create no device fingerprint; the data cannot identify you. Legal basis: legitimate interest (measuring how the Site performs and is used). You may object as described in section 6.

If Plausible Analytics is enabled (it was not at the time of this update), it likewise produces cookie-free, aggregated statistics; it does not identify individual users or track them across sites.

4. Data processors

Supabase (database, authentication and file storage, data stored in an EU region) — storage of account, order, coupon, referral, wishlist, review, bespoke and measurement data.

Resend (delivery of transactional, automated and newsletter e-mails) — processes the recipient's e-mail address and the message for sending.

Stripe (card payment processing after the payment request) — takes card details directly from you and also acts as an independent controller for fraud prevention; from us it receives the total, the currency, the order reference and the e-mail address.

Számlázz.hu (KBOSS.hu Kft., Záhony utca 7, 1031 Budapest, Hungary) — issues the invoice for paid orders and retains it as required by Hungarian accounting law; it receives the billing name and address, any tax number provided, the line items and the total.

Hosting provider: Netlify, Inc. (512 2nd Street, Suite 200, San Francisco, CA 94107, USA) — serves the Site and runs the scheduled background jobs (e.g. triggering automated e-mails).

GLS and Magyar Posta — for delivery, we transfer the recipient's name, address (or ParcelShop), phone number and e-mail address when the parcel is dispatched.

Google — only if you sign in with a Google account; Google then identifies you as an independent controller and passes your e-mail address, name and profile identifier to us.

Data processing agreements under Article 28 GDPR are in place with these processors. Where data is transferred outside the EEA, the European Commission's standard contractual clauses apply.

5. Retention

Account data is kept until the account is deleted. On deletion the data belonging to the account (wishlist, coupons, referral link, activity value, date of birth, newsletter subscription, reviews) is removed; the data of orders already placed and of invoices is retained — detached from the account — for the statutory (accounting) retention period and until any related legal claims expire. Data from reservations placed as a guest is kept for 24 months after the reservation is closed and then deleted.

Newsletter subscription data is processed until you unsubscribe; afterwards we retain only the fact of the unsubscription (to prove no further e-mails are sent). Waiting-list entries are kept until the batch opens, and for at most 24 months. Expired or used coupons are kept together with the order data they relate to.

First-party measurement events are kept for at most 14 months and are then deleted automatically.

6. Your rights

Under the GDPR you may request access to, rectification or erasure of your data, restriction of processing, data portability, and you may object to processing based on legitimate interest (measurement, internal activity value). Where processing is based on consent (newsletter and automated e-mails, waiting list, publishing a review, birthday), you may withdraw that consent at any time with effect for the future. You can also delete your account yourself from the account panel.

Requests are received at info@phaseperfumes.hu and answered within 30 days at the latest. You may lodge a complaint with the Hungarian supervisory authority (NAIH, naih.hu) or with the authority of your habitual residence.

7. Security

Data is transmitted over an encrypted connection (HTTPS), passwords are stored only as one-way salted hashes, and row-level security in the database ensures that each person can reach only their own records. The administration interface requires a separate role, and actions performed there are logged.