Adatvédelmi szabályzat

Adatkezelési tájékoztató

Profgym – FITNET PRO Kft. · Hatályos: 2026. szeptember 1.

1. Bevezetés és hatály

A FITNET PRO Kft. a Profgym edzőterem üzemeltetőjeként az alábbiakban tájékoztatja vendégeit, tagjait és vásárlóit arról, hogyan kezeli személyes adataikat. A tájékoztató az Európai Parlament és a Tanács (EU) 2016/679 rendeletén (GDPR) és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvényen (Infotv.) alapul.

A tájékoztató hatálya kiterjed:

a Profgym mobilalkalmazásra (iOS és Android), beleértve az alkalmazásban történő regisztrációt, a felhasználói fiókot és a QR-kódos beléptetést;
az edzőteremben, személyesen (a recepción) történő regisztrációra, valamint a bérletek és napijegyek vásárlására;
a profgympecs.hu honlapra és a shop.profgym.hu webshopra és az ott leadott rendelésekre;
az Adatkezelővel e-mailben, telefonon, közösségi médián vagy személyesen történő kapcsolattartásra.

A tájékoztató nem terjed ki a harmadik felek (pl. Apple App Store, Google Play, Facebook, Instagram) által végzett adatkezelésekre; ezekről az adott szolgáltató saját tájékoztatója ad felvilágosítást.

Az edzőteremben működő kamerás megfigyelőrendszerről külön tájékoztató rendelkezik, amely a recepción és a honlapon érhető el.

2. Az adatkezelő

Adat	Érték
Cégnév	FITNET PRO Kereskedelmi és Szolgáltató Korlátolt Felelősségű Társaság (FITNET PRO Kft.)
Székhely	7635 Pécs, Nagydeindoli út 44.
Edzőterem (telephely)	7623 Pécs, Megyeri út 4.
Cégjegyzékszám	02-09-076259 (Pécsi Törvényszék Cégbírósága)
Adószám	22939337-2-02
Képviseli	dr. Koreny Tamás és Jagic Csaba ügyvezetők
Adatvédelmi e-mail	adatvedelem@profgympecs.hu
Webshop e-mail	profgymshop@gmail.com
Telefon	+36 30 748 6084
Honlapok	profgympecs.hu, shop.profgym.hu

Az Adatkezelő adatvédelmi tisztviselő kinevezésére nem köteles (GDPR 37. cikk). Adatvédelmi kéréseit a fenti elérhetőségeken, illetve személyesen a recepción terjesztheti elő.

3. Az egyes adatkezelések

Az alábbi táblázat összefoglalja, milyen adatot, milyen célból, milyen jogalapon és meddig kezelünk. A részleteket az alpontok tartalmazzák.

Adatkezelés	Jogalap (GDPR 6. cikk (1))	Megőrzés
3.1 Regisztráció és fiók (app és recepció)	b) szerződés; az opcionális adatoknál a) hozzájárulás	fiók törléséig, ill. 2 év inaktivitásig
3.2 QR-kódos beléptetés	b) szerződés, f) jogos érdek	belépéstől 1 év
3.3 Bérletek, napijegyek, tagság	b) szerződés	szerződés megszűnésétől 5 év
3.4 Számlázás	c) jogi kötelezettség	8 év
3.5 Webshop rendelés és vásárlói fiók	b) szerződés	5 év, ill. fiók törléséig
3.6 Kapcsolatfelvétel, ügyfélszolgálat	f) jogos érdek	ügy lezárásától 1 év
3.7 Fogyasztói panasz	c) jogi kötelezettség	3 év
3.8 Hírlevél, push-értesítés	a) hozzájárulás	visszavonásig
3.9 Sütik a webshopban	f) jogos érdek, ill. a) hozzájárulás	sütinként eltérő
3.10 Technikai adatok az alkalmazásban	f) jogos érdek	legfeljebb 90 nap
3.12 Közösségi média oldalak	f) jogos érdek; a Metával közös adatkezelés	üzenetek: ügy lezárásától 1 év
3.13 Honlap (profgympecs.hu)	f) jogos érdek, ill. a) hozzájárulás	sütinként eltérő; naplófájlok 30 nap

A jogos érdeken (GDPR 6. cikk (1) f)) alapuló adatkezeléseknél az Adatkezelő elvégezte az érdekmérlegelést, és megállapította, hogy érdeke nem sérti aránytalanul az Ön jogait. Az érdekmérlegelés eredményét kérésre megismerheti.

3.1 Regisztráció és felhasználói fiók (alkalmazásban és a recepción)

Az új vendégek az első edzés előtt regisztrálnak, vagy az alkalmazásban, vagy személyesen a recepción. Mindkét esetben ugyanabba a nyilvántartásba kerülnek az adatok.

Kezelt adatok – kötelező: vezetéknév, keresztnév, e-mail-cím, jelszó (csak titkosított, visszafejthetetlen formában tároljuk), nyilatkozat az adatkezelési tájékoztató megismeréséről és annak időpontja.

Kezelt adatok – az alkalmazásban opcionális: telefonszám, irányítószám, település, utca és házszám, születési dátum, nem (férfi / nő / nem kívánom megadni).

Az opcionális adatokat kizárólag a következő célokra használjuk: telefonszám – sürgős értesítés (pl. rendkívüli zárás, ottfelejtett tárgy); lakcím – számla kiállítása az Ön nevére; születési dátum – az életkor ellenőrzése; nem – névtelenített statisztika. Ha a kötelező adatokat nem adja meg, a regisztráció és a szolgáltatás igénybevétele nem lehetséges. Az opcionális adatok megadásának elmaradása semmilyen hátránnyal nem jár.

Személyes regisztráció esetén a recepción a név és az e-mail-cím mellett a születési dátumot is kérjük, mert ez szükséges az életkor ellenőrzéséhez (lásd 5.1) és az azonos nevű vendégek megkülönböztetéséhez. A telefonszám és a lakcím megadása a recepción is opcionális.

A recepción az adatfelvétel előtt felhívjuk a figyelmet a jelen tájékoztatóra, amely ott nyomtatott formában is megtekinthető.

Cél: a vendég azonosítása, a felhasználói fiók létrehozása és kezelése, a beléptetés és a bérletek nyilvántartása, a szolgáltatással kapcsolatos értesítések (pl. bérlet lejárata, nyitvatartás változása), az életkor ellenőrzése; a nem megadása esetén névtelenített statisztika készítése a szolgáltatás fejlesztéséhez.

Jogalap: a kötelező adatoknál, valamint a személyes regisztrációnál kötelezően kért születési dátumnál a szerződés megkötése és teljesítése (GDPR 6. cikk (1) b)). Az opcionálisan megadott adatoknál az Ön hozzájárulása (GDPR 6. cikk (1) a)), amelyet bármikor visszavonhat az adat törlésével vagy kérésével. A visszavonás nem érinti a korábbi adatkezelés jogszerűségét.

Megőrzés: a fiók törléséig. Ha a fiókban 2 évig nem történik belépés, vásárlás vagy bérletvásárlás, a fiókot és adatait töröljük. A szerződésből eredő igények érvényesítéséhez szükséges adatokat a 3.3 pont szerint, a számlaadatokat a 3.4 pont szerint őrizzük meg.

3.2 QR-kódos beléptetés

Kezelt adatok: a felhasználóhoz rendelt egyedi QR-kód és azonosító, a belépés és a kiléptetés dátuma és időpontja (a kiléptetést a recepció rögzíti; ha ez elmarad, a rendszer a belépést követő 2 óra elteltével automatikusan kilépteti a vendéget), a felhasznált bérlet vagy jegy, az esetleges sikertelen belépési kísérletek.

Cél: az érvényes bérlettel vagy jeggyel rendelkező vendégek beléptetése, az alkalomszámos bérletek levonása, a jogosulatlan belépés (pl. bérlet átadása) megakadályozása, a terem kihasználtságának mérése, vitás esetek tisztázása.

Jogalap: a szerződés teljesítése (GDPR 6. cikk (1) b)), valamint az Adatkezelő jogos érdeke a vagyonvédelemhez és a jogosulatlan igénybevétel megelőzéséhez (GDPR 6. cikk (1) f)).

Megőrzés: a belépéstől számított 1 év. Statisztikai célra ezt követően csak névtelenített, összesített adatot használunk.

Működés: az alkalmazás megjeleníti a felhasználó QR-kódját, amelyet a terem bejáratánál elhelyezett olvasó olvas be. Az alkalmazás ehhez nem kér hozzáférést a telefon kamerájához. A QR-kód kizárólag egy ideiglenes azonosítót tartalmaz, nevet vagy más személyes adatot nem. Az azonosító 30 másodpercenként megújul, így a kódról készült képernyőkép vagy fénykép nem használható fel belépésre. A felhasználó azonosítását és a bérlet ellenőrzését a beléptető rendszer a háttérben, a szerveren végzi.

3.3 Bérletek, napijegyek és a tagsági jogviszony

Kezelt adatok: a 3.1 pont szerinti azonosító adatok, a vásárolt bérlet vagy jegy típusa, ára, érvényessége, a fennmaradó alkalmak száma, a fizetés módja és ideje, a bérlet szüneteltetése, a házirend elfogadásának ténye.

Cél: a szolgáltatási szerződés teljesítése, a bérletek nyilvántartása, az ebből eredő igények kezelése.

Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)); a szerződés megszűnése után az igények érvényesítéséhez fűződő jogos érdek (GDPR 6. cikk (1) f)).

Megőrzés: a szerződés megszűnésétől számított 5 év, az általános elévülési idő (Ptk. 6:22. §) erejéig.

3.4 Számlázás

Kezelt adatok: név (vagy cégnév), számlázási cím, céges vásárlásnál adószám, a vásárolt termék vagy szolgáltatás, összeg, fizetési mód, a számla sorszáma és kelte.

Cél: a számla kiállítása és a számviteli bizonylatok megőrzése.

Jogalap: jogi kötelezettség teljesítése (GDPR 6. cikk (1) c)), az általános forgalmi adóról szóló 2007. évi CXXVII. törvény 169. §-a és a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése alapján.

Megőrzés: a számla kiállításának évét követő 8 év.

3.5 Webshop (shop.profgym.hu)

Kezelt adatok: név, e-mail-cím, telefonszám, számlázási cím, szállítás esetén szállítási cím, a megrendelt termékek, a rendelés ideje és állapota, a fizetés visszaigazolása. Vásárlói fiók létrehozása esetén a fiók belépési adatai és a korábbi rendelések. Bankkártyaadatokat az Adatkezelő nem lát és nem tárol; azokat közvetlenül a fizetési szolgáltató kezeli.

Cél: a megrendelés fogadása, visszaigazolása és teljesítése (személyes átvétel vagy szállítás), a fizetés lebonyolítása, elállás, csere és szavatossági igények kezelése, a vásárlói fiók fenntartása.

Jogalap: szerződés teljesítése (GDPR 6. cikk (1) b)), valamint az elektronikus kereskedelmi szolgáltatásokról szóló 2001. évi CVIII. törvény 13/A. §-a; a vásárlói fiók létrehozása önkéntes, így annak adatainál az Ön hozzájárulása (GDPR 6. cikk (1) a)).

Megőrzés: a rendelés adatai a teljesítéstől számított 5 év (Ptk. 6:22. §), a számla a 3.4 pont szerint, a vásárlói fiók a törléséig.

3.6 Kapcsolatfelvétel és ügyfélszolgálat

Kezelt adatok: név, e-mail-cím vagy telefonszám, az üzenet tartalma, a kommunikáció ideje.

Cél: kérdések megválaszolása, ügyintézés. Jogalap: az Adatkezelő jogos érdeke a megkeresések megválaszolásához (GDPR 6. cikk (1) f)); ha a megkeresés szerződéshez kapcsolódik, a szerződés teljesítése. Megőrzés: az ügy lezárásától számított 1 év.

3.7 Fogyasztói panaszok kezelése

Kezelt adatok: név, lakcím, a panasz tartalma, a panasszal érintett termék vagy szolgáltatás, a bemutatott iratok, a panaszról felvett jegyzőkönyv és a válasz.

Jogalap: jogi kötelezettség (GDPR 6. cikk (1) c)), a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. §-a alapján. Megőrzés: a jegyzőkönyvet és a válasz másolatát 3 évig őrizzük meg.

3.8 Hírlevél, marketingüzenetek és push-értesítések

Reklámot, akciós ajánlatot és hírlevelet csak akkor küldünk, ha ehhez külön, kifejezetten hozzájárult (a gazdasági reklámtevékenységről szóló 2008. évi XLVIII. törvény 6. §). A regisztráció nem feltétele a hozzájárulásnak.

Kezelt adatok: név, e-mail-cím, telefonszám (SMS esetén), a feliratkozás ideje; push-értesítésnél az eszköz értesítési azonosítója. Jogalap: hozzájárulás (GDPR 6. cikk (1) a)). Megőrzés: a hozzájárulás visszavonásáig. Leiratkozni minden levél alján található linkkel, e-mailben vagy a recepción lehet; a push-értesítések a telefon beállításaiban kapcsolhatók ki. A szolgáltatáshoz szükséges (nem reklám célú) értesítések, pl. a bérlet lejárata, a leiratkozás után is megkaphatók.

3.9 Sütik (cookie-k) a webshopban

A webshop a Shopify platformon működik, amely sütiket használ. A működéshez feltétlenül szükséges sütik (pl. kosár, bejelentkezés, biztonság) jogalapja az Adatkezelő jogos érdeke, illetve az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése. Statisztikai és marketing sütiket csak az Ön hozzájárulásával, a sütisávban tett választása szerint használunk; ezt bármikor módosíthatja. A Shopify által használt sütik listája és élettartama: shopify.com/legal/cookies.

3.10 Technikai adatok az alkalmazásban

Kezelt adatok: az eszköz típusa, az operációs rendszer és az alkalmazás verziója, IP-cím, hibanaplók és összeomlási jelentések. Cél: az alkalmazás biztonságos és hibamentes működése, a hibák felderítése. Jogalap: az Adatkezelő jogos érdeke (GDPR 6. cikk (1) f)). Megőrzés: legfeljebb 90 nap. Az alkalmazás nem követi a helyzetét, és nem jelenít meg harmadik féltől származó hirdetéseket. A hibajelentéseket és az összeomlási adatokat (eszköztípus, rendszer- és alkalmazásverzió, a telepítés véletlenszerű azonosítója) a Google Firebase Crashlytics szolgáltatása gyűjti (lásd 4. pont); ezek nem tartalmazzák az Ön nevét vagy elérhetőségét. Az alkalmazás más analitikai eszközt nem használ.

3.11 Profilalkotás és automatizált döntéshozatal

Az Adatkezelő nem végez Önre joghatással járó automatizált döntéshozatalt vagy profilalkotást, és személyes adatait nem értékesíti.

3.12 Közösségi média oldalak (Facebook, Instagram)

A Profgym Facebook- és Instagram-oldalán az oldalstatisztikák (Insights) tekintetében az Adatkezelő és a Meta Platforms Ireland Ltd. közös adatkezelő (GDPR 26. cikk). Ha követi az oldalt, hozzászól vagy üzenetet küld, látjuk nyilvános profilnevét és üzenetét.

Cél: kapcsolattartás, kérdések megválaszolása, az oldal kezelése. Jogalap: az Adatkezelő jogos érdeke (GDPR 6. cikk (1) f)). Megőrzés: az üzeneteket az ügy lezárásától számított 1 éven belül töröljük; a nyilvános hozzászólásokat Ön bármikor törölheti. A Meta saját adatkezeléséről a Meta adatvédelmi szabályzata tájékoztat.

3.13 Honlap (profgympecs.hu)

A honlap böngészéséhez nem kell személyes adatot megadni. A tárhely szervere naplózza a látogatók IP-címét, a böngésző típusát és a látogatás idejét; ezt a biztonságos működés érdekében (jogos érdek, GDPR 6. cikk (1) f)) legfeljebb 30 napig őrizzük.

Sütik: a működéshez feltétlenül szükséges sütiket (pl. munkamenet) jogos érdek, illetve az Eht. 155. § (4) bekezdése alapján használjuk. A honlap statisztikai vagy hirdetési sütiket nem használ. A honlapba beágyazott Google Térkép a Google Ireland Limited szolgáltatása: betöltésekor a Google megkapja az Ön IP-címét és böngészőjének adatait, és sütiket helyezhet el, amelyeket saját adatkezelőként kezel (Google adatvédelmi irányelvek). Ezért a térkép csak az Ön hozzájárulása után, a sütisávban tett választása szerint töltődik be (GDPR 6. cikk (1) a)).

A honlap kapcsolatfelvételi űrlapján megadott adatokra a 3.6 pont vonatkozik.

4. Adatfeldolgozók és címzettek

Személyes adataihoz az Adatkezelő munkatársai csak a feladatukhoz szükséges mértékben férnek hozzá. Az alábbi adatfeldolgozók az Adatkezelő megbízásából, az általa adott utasítások szerint, írásbeli szerződés alapján kezelnek adatot (GDPR 28. cikk).

A Profgym mobilalkalmazás és a beléptető rendszer fejlesztője és üzemeltetője maga az Adatkezelő, a FITNET PRO Kft.

Adatfeldolgozó	Tevékenység	Érintett adatok
RackForest Zrt. (1132 Budapest, Victor Hugo utca 11., Cg. 01-10-142004)	az alkalmazás háttérrendszerének és a recepciós adminisztrációs rendszernek a tárhelye, budapesti szervertermekben	3.1, 3.2, 3.3, 3.10
Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Írország)	Firebase Crashlytics: az alkalmazás hibajelentéseinek gyűjtése	3.10
Shopify International Limited (Victoria Buildings, 2nd Floor, 1–2 Haddington Road, Dublin 4, D04 XN32, Írország)	a webshop platformja, tárhely, rendeléskezelés, sütik	3.5, 3.9
Shopify Payments (Shopify International Limited); a kártyás fizetést feldolgozza: Stripe Payments Europe, Ltd. (Dublin, Írország)	online fizetés lebonyolítása	3.5 (fizetési adatok)
KBOSS.hu Kft. – Számlázz.hu (1031 Budapest, Záhony utca 7., Cg. 01-09-303201)	számlakiállítás	3.4
Websupport Magyarország Kft. – mHosting (1119 Budapest, Fehérvári út 97–99.)	a honlap tárhelye, az űrlapok és naplófájlok tárolása	3.6, 3.13

Ha a webshop később házhoz szállítást is kínál, a szállításhoz szükséges adatokat (név, cím, telefonszám, e-mail) átadjuk a kiválasztott futárszolgálatnak; a futárszolgálat nevét ekkor ebben a táblázatban feltüntetjük.

Egyéb címzettek. A számlaadatokat jogszabály alapján továbbítjuk a Nemzeti Adó- és Vámhivatalnak. Hatóság, bíróság vagy nyomozó szerv megkeresésére csak a jogszabályban előírt esetben és mértékben adunk ki adatot. Az alkalmazás letöltésekor az Apple (App Store) és a Google (Google Play) saját, önálló adatkezelőként jár el.

Harmadik országba továbbítás. Az alkalmazás, a beléptető rendszer és a recepciós nyilvántartás adatait Magyarországon, a RackForest Zrt. budapesti szervertermeiben tároljuk. A Shopify, a Google (Crashlytics, Google Térkép) és ezek egyes szolgáltatói az adatokat Kanadába vagy az Egyesült Államokba is továbbíthatják. Kanadára az Európai Bizottság megfelelőségi határozata, az Egyesült Államokra az EU–USA adatvédelmi keretrendszer vagy a Bizottság által jóváhagyott általános szerződési feltételek (GDPR 45–46. cikk) biztosítják a megfelelő védelmi szintet.

5. Kiskorúak és adatbiztonság

5.1 Kiskorúak adatai

16 év alatti vendég csak szülője vagy gyámja jelenlétében regisztrálhat és vásárolhat bérletet vagy jegyet. Ilyenkor a szülő vagy gyám nevét, telefonszámát és hozzájáruló nyilatkozatát is rögzítjük (GDPR 8. cikk). A 16. életévét betöltött vendég önállóan regisztrálhat, és az opcionális adatok kezeléséhez maga járulhat hozzá. Az alkalmazásban és a webshopban regisztráló felhasználó kijelenti, hogy betöltötte a 16. életévét. A szülő vagy gyám a gyermek adatainak törlését bármikor kérheti a 2. pontban megadott elérhetőségeken.

5.2 Adatbiztonság

Az Adatkezelő a kockázatokkal arányos technikai és szervezési intézkedésekkel védi az adatokat (GDPR 32. cikk):

az alkalmazás és a webshop titkosított (HTTPS/TLS) kapcsolaton kommunikál;
a jelszavakat csak visszafejthetetlen (hash) formában tároljuk;
a nyilvántartáshoz csak jogosultsággal rendelkező munkatársak férnek hozzá, egyedi belépési adatokkal;
a recepciós számítógépek jelszóval védettek, a papíralapú nyilatkozatokat zárt helyen őrizzük;
az adatokról rendszeres biztonsági mentés készül.

Adatvédelmi incidens esetén az Adatkezelő azt nyilvántartja, és ha kockázattal jár, 72 órán belül bejelenti a Nemzeti Adatvédelmi és Információszabadság Hatóságnak. Magas kockázat esetén az érintetteket is haladéktalanul tájékoztatja (GDPR 33–34. cikk).

Kérjük, jelszavát ne ossza meg mással, és a QR-kódot ne adja át; ha fiókja illetéktelen használatát gyanítja, haladéktalanul jelezze nekünk.

6. Az Ön jogai és a jogorvoslat

6.1 Érintetti jogok

Tájékoztatás és hozzáférés (GDPR 15. cikk): tájékoztatást kérhet arról, hogy kezelünk-e Önről adatot, és másolatot kérhet róla.
Helyesbítés (16. cikk): kérheti pontatlan adatai javítását; adatai nagy részét az alkalmazásban maga is módosíthatja.
Törlés (17. cikk): kérheti adatai törlését, kivéve, ha azokat jogszabály alapján meg kell őriznünk (pl. számlák).
Korlátozás (18. cikk): kérheti, hogy adatait – törlés helyett – csak tároljuk.
Adathordozhatóság (20. cikk): a szerződés vagy hozzájárulás alapján kezelt, Ön által megadott adatait géppel olvasható formában kiadjuk.
Tiltakozás (21. cikk): a jogos érdeken alapuló adatkezelés ellen bármikor tiltakozhat; közvetlen üzletszerzés elleni tiltakozás esetén az adatkezelést azonnal befejezzük.
Hozzájárulás visszavonása (7. cikk (3)): bármikor, indoklás nélkül; ez nem érinti a korábbi adatkezelés jogszerűségét.

Kérelmét a 2. pontban megadott e-mail-címen, postai úton vagy személyesen a recepción terjesztheti elő. Azonosítás céljából a fiókjához tartozó e-mail-címről írjon, vagy igazolja személyazonosságát. Kérelmére legkésőbb 1 hónapon belül válaszolunk; ez a határidő indokolt esetben további 2 hónappal meghosszabbítható, amiről értesítjük. Az intézkedés díjmentes.

6.2 A fiók és az adatok törlése

Fiókját és a hozzá tartozó adatokat kétféleképpen töröltetheti:

az alkalmazásban: Beállítások → Profil → Fiók törlése;
az alkalmazás nélkül: e-mailben a 2. pontban megadott címre, a fiókjához tartozó e-mail-címről, „Fiók törlése” tárgyú üzenettel, vagy személyesen a recepción.

A törlést legkésőbb 30 napon belül elvégezzük. A törléssel a fiók, a profiladatok és a beléptetési napló törlődik. A számlákat (3.4) és a fogyasztói panaszok iratait (3.7) a jogszabályban előírt ideig, a folyamatban lévő bérlethez vagy vitához szükséges adatokat annak lezárásáig tovább őrizzük. A fiók törlése után a megmaradt érvényes bérlet az alkalmazásból nem használható.

6.3 Jogorvoslat

Ha úgy érzi, hogy adatkezelésünk sérti a jogait, kérjük, először forduljon hozzánk, hogy a panaszt rendezhessük. Emellett panaszt tehet a felügyeleti hatóságnál:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) Cím: 1055 Budapest, Falk Miksa utca 9–11. · Postacím: 1363 Budapest, Pf. 9. Telefon: +36 1 391 1400 · E-mail: ugyfelszolgalat@naih.hu · Honlap: naih.hu

Jogai megsértése esetén bírósághoz is fordulhat (GDPR 79. cikk, Infotv. 23. §). A pert – választása szerint – a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindíthatja.

Ha másik EU/EGT-tagállamban él, a lakóhelye szerinti felügyeleti hatóságnál is panaszt tehet.

6.4 A tájékoztató módosítása

Az Adatkezelő a tájékoztatót a jogszabályok vagy az adatkezelési gyakorlat változása esetén módosítja. A módosítást a honlapon, a webshopban és az alkalmazásban közzétesszük; lényeges változás esetén a regisztrált felhasználókat e-mailben vagy az alkalmazásban is értesítjük.

Hatályos: 2026. szeptember 1. napjától. A korábbi, shop.profgym.hu oldalon közzétett adatvédelmi szabályzatot jelen tájékoztató váltja fel.

A magyar és az angol változat eltérése esetén a magyar változat az irányadó.

English version ↓

Privacy Notice

Profgym – FITNET PRO Kft. · Effective from 1 September 2026

1. Introduction and scope

FITNET PRO Kft., as the operator of the Profgym gym, informs its guests, members and customers below about how it processes their personal data. This notice is based on Regulation (EU) 2016/679 of the European Parliament and of the Council (GDPR) and on Hungarian Act CXII of 2011 on the Right of Informational Self-Determination and on Freedom of Information (Infotv.).

This notice covers:

the Profgym mobile app (iOS and Android), including registration in the app, the user account and QR-code entry;
registration in person (at the reception desk) in the gym, and the purchase of memberships and day passes;
the profgympecs.hu website and the shop.profgym.hu online shop, including orders placed there;
communication with the Controller by e-mail, phone, social media or in person.

This notice does not cover processing carried out by third parties (e.g. Apple App Store, Google Play, Facebook, Instagram); please refer to the respective provider's own privacy notice.

The CCTV system operated in the gym is covered by a separate notice, available at the reception desk and on the website.

2. The controller

Item	Details
Company name	FITNET PRO Kereskedelmi és Szolgáltató Korlátolt Felelősségű Társaság (FITNET PRO Kft.)
Registered office	7635 Pécs, Nagydeindoli út 44., Hungary
Gym (premises)	7623 Pécs, Megyeri út 4., Hungary
Company registration no.	02-09-076259 (Court of Registration of the Pécs Regional Court)
Tax no.	22939337-2-02
Represented by	dr. Tamás Koreny and Csaba Jagic, managing directors
Privacy e-mail	adatvedelem@profgympecs.hu
Online shop e-mail	profgymshop@gmail.com
Phone	+36 30 748 6084
Websites	profgympecs.hu, shop.profgym.hu

The Controller is not required to appoint a data protection officer (GDPR Article 37). You can submit privacy requests using the contact details above or in person at the reception desk.

3. Processing activities

The table below summarises what data we process, for what purpose, on what legal basis and for how long. Details are given in the subsections.

Processing	Legal basis (GDPR Art. 6(1))	Retention
3.1 Registration and account (app and reception)	(b) contract; for optional data (a) consent	until account deletion, or 2 years of inactivity
3.2 QR-code entry	(b) contract, (f) legitimate interest	1 year from entry
3.3 Memberships, day passes, membership relationship	(b) contract	5 years from end of contract
3.4 Invoicing	(c) legal obligation	8 years
3.5 Online shop orders and customer account	(b) contract	5 years, or until account deletion
3.6 Contact and customer service	(f) legitimate interest	1 year from closing the matter
3.7 Consumer complaints	(c) legal obligation	3 years
3.8 Newsletter, push notifications	(a) consent	until withdrawal
3.9 Cookies in the online shop	(f) legitimate interest, or (a) consent	varies by cookie
3.10 Technical data in the app	(f) legitimate interest	max. 90 days
3.12 Social media pages	(f) legitimate interest; joint controllership with Meta	messages: 1 year from closing the matter
3.13 Website (profgympecs.hu)	(f) legitimate interest, or (a) consent	varies by cookie; server logs 30 days

For processing based on legitimate interest (GDPR Art. 6(1)(f)), the Controller has carried out a balancing test and concluded that its interest does not disproportionately affect your rights. You may request the outcome of the balancing test.

3.1 Registration and user account (in the app and at reception)

New guests register before their first workout, either in the app or in person at the reception desk. In both cases the data are stored in the same register.

Data processed – mandatory: last name, first name, e-mail address, password (stored only in encrypted, irreversible form), the statement that you have read this privacy notice and its date and time.

Data processed – optional in the app: phone number, postal code, city, street and house number, date of birth, gender (male / female / prefer not to say).

We use the optional data only for the following purposes: phone number – urgent notifications (e.g. unexpected closure, items left behind); address – issuing an invoice in your name; date of birth – age verification; gender – anonymised statistics. If you do not provide the mandatory data, registration and use of the service are not possible. Not providing optional data has no negative consequences.

For registration in person, at the reception desk we ask for your date of birth in addition to your name and e-mail address, because it is needed for age verification (see 5.1) and to tell apart guests with the same name. Phone number and address are optional at reception as well.

Before taking your data, reception staff draw your attention to this notice, which is also available there in printed form.

Purpose: identifying the guest, creating and managing the user account, recording entries and memberships, service-related notifications (e.g. membership expiry, changes to opening hours), age verification; if gender is provided, anonymised statistics to improve the service.

Legal basis: for the mandatory data, and for the date of birth required at in-person registration, the conclusion and performance of a contract (GDPR Art. 6(1)(b)). For optional data, your consent (GDPR Art. 6(1)(a)), which you may withdraw at any time by deleting the data or by request. Withdrawal does not affect the lawfulness of prior processing.

Retention: until the account is deleted. If there is no entry, purchase or membership purchase on the account for 2 years, we delete the account and its data. Data needed to enforce claims arising from the contract are kept as described in 3.3, and invoice data as described in 3.4.

3.2 QR-code entry

Data processed: the unique QR code and identifier assigned to the user, the date and time of entry and check-out (check-out is recorded by reception; if this is missed, the system automatically checks the guest out 2 hours after entry), the membership or pass used, and any failed entry attempts.

Purpose: admitting guests with a valid membership or pass, deducting visits from multi-visit passes, preventing unauthorised entry (e.g. passing a membership to someone else), measuring gym occupancy, resolving disputes.

Legal basis: performance of a contract (GDPR Art. 6(1)(b)) and the Controller's legitimate interest in protecting its property and preventing unauthorised use (GDPR Art. 6(1)(f)).

Retention: 1 year from entry. After that, only anonymised, aggregated data are used for statistics.

How it works: the app displays the user's QR code, which is scanned by the reader at the gym entrance. The app does not request access to the phone's camera. The QR code contains only a temporary identifier, not your name or any other personal data. The identifier is renewed every 30 seconds, so a screenshot or photo of the code cannot be used to enter. The entry system identifies the user and checks the membership in the background, on the server.

3.3 Memberships, day passes and the membership relationship

Data processed: the identification data described in 3.1, the type, price and validity of the membership or pass purchased, the number of remaining visits, the method and time of payment, membership suspensions, and acceptance of the house rules.

Purpose: performance of the service contract, recording memberships, handling related claims.

Legal basis: performance of a contract (GDPR Art. 6(1)(b)); after the contract ends, the legitimate interest in enforcing claims (GDPR Art. 6(1)(f)).

Retention: 5 years from the end of the contract, in line with the general limitation period (Hungarian Civil Code, Section 6:22).

3.4 Invoicing

Data processed: name (or company name), billing address, tax number for business purchases, the product or service purchased, amount, payment method, invoice number and date.

Purpose: issuing invoices and retaining accounting records.

Legal basis: compliance with a legal obligation (GDPR Art. 6(1)(c)) under Section 169 of Act CXXVII of 2007 on Value Added Tax and Section 169(2) of Act C of 2000 on Accounting.

Retention: 8 years following the year the invoice was issued.

3.5 Online shop (shop.profgym.hu)

Data processed: name, e-mail address, phone number, billing address, shipping address if applicable, products ordered, order time and status, payment confirmation. If you create a customer account, its login data and previous orders. The Controller neither sees nor stores card details; these are handled directly by the payment provider.

Purpose: receiving, confirming and fulfilling orders (pickup in person or delivery), processing payment, handling withdrawals, exchanges and warranty claims, maintaining the customer account.

Legal basis: performance of a contract (GDPR Art. 6(1)(b)) and Section 13/A of Act CVIII of 2001 on Electronic Commerce Services; creating a customer account is voluntary, so for account data your consent (GDPR Art. 6(1)(a)).

Retention: order data for 5 years from fulfilment (Civil Code, Section 6:22), invoices as described in 3.4, the customer account until it is deleted.

3.6 Contact and customer service

Data processed: name, e-mail address or phone number, content of the message, time of communication.

Purpose: answering questions, handling requests. Legal basis: the Controller's legitimate interest in responding to enquiries (GDPR Art. 6(1)(f)); where the enquiry relates to a contract, performance of the contract. Retention: 1 year from closing the matter.

3.7 Handling consumer complaints

Data processed: name, address, content of the complaint, the product or service concerned, documents presented, the record of the complaint and our response.

Legal basis: legal obligation (GDPR Art. 6(1)(c)) under Section 17/A of Act CLV of 1997 on Consumer Protection. Retention: we keep the record and a copy of our response for 3 years.

3.8 Newsletter, marketing messages and push notifications

We send advertising, special offers and newsletters only if you have given separate, explicit consent (Section 6 of Act XLVIII of 2008 on Commercial Advertising). Registration does not depend on giving this consent.

Data processed: name, e-mail address, phone number (for SMS), time of subscription; for push notifications, the device's notification identifier. Legal basis: consent (GDPR Art. 6(1)(a)). Retention: until consent is withdrawn. You can unsubscribe using the link at the bottom of each message, by e-mail or at reception; push notifications can be turned off in your phone's settings. Service notifications that are not advertising, such as membership expiry, may still be sent after you unsubscribe.

3.9 Cookies in the online shop

The online shop runs on the Shopify platform, which uses cookies. Strictly necessary cookies (e.g. cart, login, security) are based on the Controller's legitimate interest and Section 155(4) of Act C of 2003 on Electronic Communications. Statistics and marketing cookies are used only with your consent, according to your choice in the cookie banner, which you can change at any time. The list and lifetime of cookies used by Shopify: shopify.com/legal/cookies.

3.10 Technical data in the app

Data processed: device type, operating system and app version, IP address, error logs and crash reports. Purpose: secure and error-free operation of the app, detecting errors. Legal basis: the Controller's legitimate interest (GDPR Art. 6(1)(f)). Retention: max. 90 days. The app does not track your location and does not show third-party advertising. Error reports and crash data (device type, system and app version, a random installation identifier) are collected by Google Firebase Crashlytics (see section 4); they do not contain your name or contact details. The app uses no other analytics tools.

3.11 Profiling and automated decision-making

The Controller does not carry out automated decision-making or profiling that has legal effects on you, and does not sell your personal data.

3.12 Social media pages (Facebook, Instagram)

With regard to page statistics (Insights) on Profgym's Facebook and Instagram pages, the Controller and Meta Platforms Ireland Ltd. are joint controllers (GDPR Article 26). If you follow the page, comment or send a message, we can see your public profile name and your message.

Purpose: communication, answering questions, managing the page. Legal basis: the Controller's legitimate interest (GDPR Art. 6(1)(f)). Retention: we delete messages within 1 year of closing the matter; you can delete your public comments at any time. Meta's own processing is described in Meta's Privacy Policy.

3.13 Website (profgympecs.hu)

You do not need to provide personal data to browse the website. The hosting server logs visitors' IP addresses, browser type and time of visit; we keep these for max. 30 days for secure operation (legitimate interest, GDPR Art. 6(1)(f)).

Cookies: we use strictly necessary cookies (e.g. session) based on legitimate interest and Section 155(4) of the Electronic Communications Act. The website does not use statistics or advertising cookies. The Google Map embedded in the website is a service of Google Ireland Limited: when it loads, Google receives your IP address and browser data and may set cookies, which it processes as an independent controller (Google Privacy Policy). The map therefore loads only after you consent, according to your choice in the cookie banner (GDPR Art. 6(1)(a)).

Data submitted through the website's contact form are covered by 3.6.

4. Processors and recipients

The Controller's staff have access to your personal data only to the extent required for their tasks. The processors listed below process data on the Controller's behalf, according to its instructions, under a written contract (GDPR Article 28).

The Profgym mobile app and the entry system are developed and operated by the Controller itself, FITNET PRO Kft.

Processor	Activity	Data concerned
RackForest Zrt. (1132 Budapest, Victor Hugo utca 11., Hungary, reg. no. 01-10-142004)	hosting of the app back end and the reception administration system, in data centres in Budapest	3.1, 3.2, 3.3, 3.10
Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland)	Firebase Crashlytics: collecting the app's crash reports	3.10
Shopify International Limited (Victoria Buildings, 2nd Floor, 1–2 Haddington Road, Dublin 4, D04 XN32, Ireland)	online shop platform, hosting, order management, cookies	3.5, 3.9
Shopify Payments (Shopify International Limited); card payments processed by Stripe Payments Europe, Ltd. (Dublin, Ireland)	processing online payments	3.5 (payment data)
KBOSS.hu Kft. – Számlázz.hu (1031 Budapest, Záhony utca 7., Hungary, reg. no. 01-09-303201)	issuing invoices	3.4
Websupport Magyarország Kft. – mHosting (1119 Budapest, Fehérvári út 97–99., Hungary)	website hosting, storage of forms and server logs	3.6, 3.13

If the online shop later offers home delivery, we will share the data needed for delivery (name, address, phone number, e-mail) with the selected courier, and add the courier's name to this table.

Other recipients. Invoice data are transmitted to the Hungarian National Tax and Customs Administration as required by law. We disclose data to authorities, courts or investigating bodies only where and to the extent required by law. When you download the app, Apple (App Store) and Google (Google Play) act as independent controllers.

Transfers to third countries. Data of the app, the entry system and the reception register are stored in Hungary, in RackForest Zrt.'s data centres in Budapest. Shopify, Google (Crashlytics, Google Maps) and some of their providers may also transfer data to Canada or the United States. For Canada, an adequacy decision of the European Commission, and for the United States, the EU–US Data Privacy Framework or the standard contractual clauses approved by the Commission (GDPR Articles 45–46) ensure an adequate level of protection.

5. Minors and data security

5.1 Data of minors

Guests under 16 may register and buy a membership or pass only in the presence of a parent or guardian. In that case we also record the parent's or guardian's name, phone number and consent statement (GDPR Article 8). Guests aged 16 or over may register on their own and may consent to the processing of optional data themselves. Users registering in the app or the online shop declare that they are at least 16 years old. A parent or guardian may request deletion of the child's data at any time using the contact details in section 2.

5.2 Data security

The Controller protects the data with technical and organisational measures appropriate to the risks (GDPR Article 32):

the app and the online shop communicate over encrypted (HTTPS/TLS) connections;
passwords are stored only in irreversible (hashed) form;
only authorised staff have access to the register, with individual login credentials;
reception computers are password-protected, and paper statements are kept in a locked place;
the data are backed up regularly.

The Controller records any personal data breach and, if it poses a risk, reports it to the Hungarian National Authority for Data Protection and Freedom of Information within 72 hours. If the risk is high, it also informs the persons concerned without delay (GDPR Articles 33–34).

Please do not share your password with anyone or give your QR code to others; if you suspect unauthorised use of your account, let us know immediately.

6. Your rights and remedies

6.1 Your rights

Information and access (GDPR Article 15): you may ask whether we process data about you and request a copy.
Rectification (Article 16): you may request correction of inaccurate data; you can also change most of your data yourself in the app.
Erasure (Article 17): you may request deletion of your data, unless we are required by law to keep it (e.g. invoices).
Restriction (Article 18): you may request that we only store your data instead of deleting it.
Data portability (Article 20): we provide the data you gave us, processed on the basis of contract or consent, in a machine-readable format.
Objection (Article 21): you may object at any time to processing based on legitimate interest; if you object to direct marketing, we stop that processing immediately.
Withdrawal of consent (Article 7(3)): at any time, without giving reasons; this does not affect the lawfulness of prior processing.

You can submit your request to the e-mail address in section 2, by post or in person at reception. For identification, please write from the e-mail address linked to your account or prove your identity. We respond within 1 month at the latest; this period may be extended by a further 2 months where justified, in which case we will inform you. Requests are handled free of charge.

6.2 Deleting your account and data

You can have your account and its data deleted in two ways:

in the app: Settings → Profile → Delete account;
without the app: by e-mail to the address in section 2, from the e-mail address linked to your account, with the subject "Delete account", or in person at reception.

We complete the deletion within 30 days at the latest. Deletion removes the account, the profile data and the entry log. Invoices (3.4) and consumer complaint records (3.7) are kept for the period required by law, and data needed for an ongoing membership or dispute until it is closed. After the account is deleted, any remaining valid membership can no longer be used through the app.

6.3 Remedies

If you feel that our processing infringes your rights, please contact us first so we can resolve the complaint. You may also lodge a complaint with the supervisory authority:

Hungarian National Authority for Data Protection and Freedom of Information (NAIH) Address: 1055 Budapest, Falk Miksa utca 9–11., Hungary · Postal address: 1363 Budapest, Pf. 9. Phone: +36 1 391 1400 · E-mail: ugyfelszolgalat@naih.hu · Website: naih.hu

You may also go to court if your rights are infringed (GDPR Article 79, Infotv. Section 23). At your choice, you may bring the action before the regional court of your place of residence or stay.

If you live in another EU/EEA country, you may also lodge a complaint with the supervisory authority of your country of residence.

6.4 Changes to this notice

The Controller updates this notice when the law or its processing practices change. Changes are published on the website, in the online shop and in the app; in case of significant changes, registered users are also notified by e-mail or in the app.

Effective from 1 September 2026. This notice replaces the privacy policy previously published on shop.profgym.hu.

In case of any discrepancy between the Hungarian and English versions, the Hungarian version prevails.

↑ Magyar változat