Adatvédelmi tájékoztató webshopnak: GDPR és sütisáv a CloudCartban

Röviden: egy webshop adatvédelmi (adatkezelési) tájékoztatója a GDPR 13. cikke szerint megmondja, ki kezeli a vásárló adatait, milyen célból és jogalapon, mennyi ideig, kinek adja át, és hogyan gyakorolhatja a vásárló a jogait. A statisztikai és reklámsütik csak hozzájárulás után futhatnak. A CloudCartban ezt a GDPR alkalmazás intézi: sütisáv, 5 sütikategória, 4 kész szabályzat, hozzájárulási napló és kérelmek.

A cikk azoknak a webáruház-tulajdonosoknak szól, akik az Európai Unióban élő vásárlóknak adnak el. Bemutatja, mit ír elő az (EU) 2016/679 rendelet (általános adatvédelmi rendelet, GDPR, 2018. május 25-től alkalmazandó) és a sütikről szóló 2002/58/EK irányelv, és hogy a CloudCartban, a bolgár fejlesztésű webáruház rendszerben hol teljesíti ezeket. Magyarországon a felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), amely a GDPR-ban a felügyeleti hatóságnak adott hatásköröket gyakorolja (Infotv. 38. § (2a), a 2026. október 1-jétől hatályos szöveg). A cikk nem jogi tanácsadás: a végleges szövegeket nézesse át jogásszal.

Mik azok a sütik, és melyikhez kell hozzájárulás?

A sütik (cookie-k) kis szövegfájlok, amelyeket a weboldal a vásárló böngészőjében tárol, hogy megjegyezze a kosarat, a bejelentkezést vagy azt, honnan érkezett a látogató. Hozzájárulás kell minden olyan sütihez, amely nem feltétlenül szükséges a vásárló által kért szolgáltatáshoz: statisztika, reklám, remarketing és beágyazott külső szolgáltatások (2002/58/EK irányelv, 5. cikk (3)).

A szabály a pixelekre és a böngésző helyi tárolójára is vonatkozik: a Google Analytics, a Google Ads, a Meta Pixel és a TikTok Pixel megvárja a vásárló „igen”-jét, a kosár és a bejelentkezés sütijei viszont kérdés nélkül működnek.

Mit vár el a GDPR egy webshoptól?

A GDPR öt dolgot vár el egy webshoptól: hozzájárulást a nem szükséges sütik előtt, érthető tájékoztatást az adatkezelésről, bizonyítékot a megadott hozzájárulásról, választ az érintettek kérelmeire és az adatok védelmét. Mindegyiknek külön része van a CloudCart GDPR alkalmazásában.

Kötelezettség	Honnan ered	Hol van a CloudCartban
Hozzájárulás a statisztikai és reklámsütik tárolása előtt	2002/58/EK irányelv, 5. cikk (3)	Alkalmazások → GDPR → Cookies
Tájékoztatás az adatkezelőről és az elérhetőségéről	GDPR, 13. cikk	Alkalmazások → GDPR → Address és Policy
Bizonyíték arról, hogy a vásárló hozzájárult	GDPR, 7. cikk (1)	Alkalmazások → GDPR → Acceptance
A hozzájárulás visszavonása ugyanolyan egyszerű, mint a megadása	GDPR, 7. cikk (3)	A sütibeállítások linkje a webshopban
Válasz a hozzáférési, adathordozási vagy törlési kérelemre 1 hónapon belül	GDPR, 12. cikk (3) és 15-20. cikk	Alkalmazások → GDPR → Requests

Az alapelvek és az érintetti jogok megsértéséért kiszabható bírság felső határa 20 millió euró vagy a vállalkozás előző évi teljes világpiaci forgalmának 4%-a, amelyik magasabb (GDPR, 83. cikk (5)). Az előre bepipált jelölőnégyzet nem érvényes hozzájárulás, mert a hozzájárulás a GDPR 4. cikk 11. pontja szerint egyértelmű, megerősítő cselekedet.

Mi legyen az adatvédelmi tájékoztatóban és a süti tájékoztatóban?

Az adatvédelmi tájékoztató (a gyakorlatban gyakran adatkezelési tájékoztató a neve) megmondja, ki kezeli az adatokat, milyen adatokat, milyen célból és jogalapon, mennyi ideig, kinek adja át őket, és hogyan élhet a vásárló a jogaival (GDPR, 13. cikk). A süti tájékoztató felsorolja a sütikategóriákat és a bennük lévő sütiket, mindegyiknél a céllal és az időtartammal.

Egy webshop adatvédelmi tájékoztatója akkor használható, ha a valódi folyamatokat írja le. Az alábbi vázlat a GDPR 13. cikkét a webshop tipikus adatkezeléseire bontja:

Fejezet	Mit írjon bele egy webshop	GDPR
Az adatkezelő	Cégnév, székhely, cégjegyzékszám vagy nyilvántartási szám, e-mail, telefon; adatvédelmi tisztviselő, ha van	13. cikk (1) a)-b)
Rendelés és szállítás	Név, cím, telefon, e-mail; cél a szerződés teljesítése; jogalap 6. cikk (1) b)	13. cikk (1) c)
Számlázás	Számlázási név, cím, adószám céges vevőnél; jogalap a jogi kötelezettség, 6. cikk (1) c)	13. cikk (1) c)
Hírlevél	E-mail, név; jogalap a hozzájárulás, 6. cikk (1) a); visszavonható bármikor	13. cikk (2) c)
Statisztika és reklám	Sütik és pixelek; jogalap a hozzájárulás; a süti tájékoztatóra mutató link	13. cikk (1) c), e)
Címzettek (adatfeldolgozók)	Futárszolgálat (például GLS), számlázó program (például Számlázz.hu), fizetési szolgáltató (CloudCart Pay, OTP SimplePay, CIB Bank), a webáruház rendszer és a tárhely szolgáltatója, hirdetési partnerek	13. cikk (1) e)
Megőrzési idő	Minden célhoz külön: rendelés, számla, hírlevél, sütik	13. cikk (2) a)
Jogok és jogorvoslat	Hozzáférés, helyesbítés, törlés, korlátozás, adathordozás, tiltakozás; panasz a NAIH-nál	13. cikk (2) b), d)

A címzettek sorába csak azt írja, ami a webshopban valóban működik. Ha GLS-sel szállít és Számlázz.hu-n számláz, ez a két szolgáltató kerül bele, a fizetésnél pedig a bekötött szolgáltató. A fizetési lehetőségek összevetése a webshop fizetési módjairól szóló cikkben, a csomagküldés a GLS csomagküldésről szóló cikkben található.

A GDPR alkalmazás telepítéskor 4 szabályzatot hoz létre a webshop nyelvén, magyarul is: adatvédelmi tájékoztatót és ÁSZF-et (kötelező a regisztrációnál és a fizetésnél), marketinghozzájáruló nyilatkozatot (választható) és süti tájékoztatót (külön oldal).

Minden szabályzat az öt űrlap (regisztráció, kapcsolat, fizetés, feliratkozás, újraelfogadás) bármelyikéhez kapcsolható. Űrlaponként eldönti, hogy a szabályzat kötelező (pipa nélkül az űrlap nem küldhető el) vagy választható. A süti tájékoztató szövegébe illessze be a {cookies_table} változót: ezen a helyen a webshop táblázatban mutatja a megadott kategóriákat és sütiket.

A GDPR alkalmazás előtt regisztrált vásárlóknak kapcsolja be a Settings részben az újraelfogadási ablakot (show_policies_popup), és írja meg a szövegét. Az a bejelentkezett vásárló, akinek nincs elfogadási bejegyzése a naplóban, belépés után látja az ablakot és elfogadja a szabályzatokat. Ha egy szabályzat szövegét módosítja, az új elfogadás a következő űrlapkitöltéskor új verzióként kerül a naplóba. Az ÁSZF kötelező tartalmát az ÁSZF mintáról szóló cikk írja le.

Mi a CloudCart GDPR alkalmazása, és kinek kell?

A GDPR alkalmazás a CloudCart adatvédelmi modulja: megjeleníti a sütisávot, a hozzájárulásig visszatartja a reklámszkripteket, tárolja a szabályzatokat és a hozzájárulási naplót, és összegyűjti a vásárlók kérelmeit. Minden olyan webshopnak kell, amelynek legalább egy vásárlója az EU-ban él.

Aktív alkalmazás nélkül a webshopnak nincs hozzájárulási sávja, nincs elfogadási naplója és nincs kéreleműrlapja. Az alkalmazás az Alkalmazások → GDPR menüpontban van, a feltételeit a csomagjára vonatkozóan telepítés előtt ott ellenőrizze. Az Enable / Disable gombbal kikapcsolt alkalmazás megtartja a beállításait, de a sáv eltűnik, és a reklámszkriptek hozzájárulás nélkül indulnak.

Az alkalmazás hét része: Overview, Settings, Address, Cookies, Policy, Acceptance és Requests.

Hogyan kapcsolja be a GDPR-t a CloudCartban lépésről lépésre?

A GDPR a CloudCartban hat lépésben kapcsolható be, és a vállalkozás adatait kell elsőként előkészíteni. Telepítéskor a rendszer ezeket egyszer illeszti be a kész szabályzatokba, a későbbi módosítást kézzel kell átvezetnie.

1. Készítse elő a vállalkozás adatait. Szükséges a Company or business name, a Company registration number (cégjegyzékszám, egyéni vállalkozónál nyilvántartási szám), a Company owner (a képviselő neve), a Phone, a Country, a City, az Address és a Postal code. Külön adószám mező nincs, ezért az adószámot a szabályzat szövegébe írja be kézzel. A rendszer üres mezőket is elfogad, ezért ellenőrizze őket.
2. Telepítse az alkalmazást. Az Alkalmazások között válassza a GDPR-t. Telepítéskor 4 kész szabályzat és 5 sütikategória jön létre.
3. Válasszon sávot vagy falat. A Cookies részben, a Cookie Consent Mode legördülő menüben válassza a Cookie bar (sáv az oldal alján) vagy a Cookie wall (az oldalt eltakaró ablak) lehetőséget. A rövid szöveget a Cookies bar text, a részletes magyarázatot a Cookies consent text mezőbe írja.
4. Állítsa be a sütikategóriákat. Minden kategóriánál adja meg az Active, a Default state, a Name és a Description mezőt. Vegye fel a webshop által használt sütiket a nevükkel, a leírásukkal és a technikai nevükkel.
5. Nézze át a szabályzatokat. A Policy részben nyissa meg a négy kész szabályzatot, ellenőrizze a vállalkozás adatait, és egészítse ki a futárszolgálattal, a számlázó programmal, a fizetési szolgáltatóval és a reklámpartnerekkel. Ellenőrizze, melyik űrlaphoz kapcsolódik az egyes szabályzat.
6. Ellenőrizze a webshopot. Nyissa meg a webshopot inkognitó ablakban, utasítsa el a reklámkategóriát, és nézze meg, hogy a sáv és a beállítások linkje működik. Ismételje meg telefonon is. Végezzen egy próbaregisztrációt, és nézze meg a bejegyzést az Acceptance részben.

Hogyan tegyen sütisávot a webshopba?

A sütisáv a CloudCartban az Alkalmazások → GDPR → Cookies részben kapcsolható be, a Cookie Consent Mode menüben a sáv (Cookie bar) és a fal (Cookie wall) között választva. A két mód kizárja egymást: ha az egyiket választja, a másik kikapcsol.

A sáv mellett a vásárló válasz nélkül is böngészhet, a fal viszont addig zárva tartja az oldalt, amíg a vásárló nem választ. Az Európai Adatvédelmi Testület szerint az a hozzájárulás, amelytől a weboldal elérése függ, nem tekinthető önkéntesnek (az EDPB 05/2020. számú iránymutatása). A sáv nem akadályozza a böngészést, ezért a legtöbb webshopnak ez a biztonságosabb választás.

Az öt sütikategória

A CloudCart telepítéskor 5 sütikategóriát hoz létre. A vásárló egy egész kategóriát fogad el vagy utasít el, nem az egyes sütiket külön.

Kategória	Mire szolgál	Állapot telepítéskor	Javaslat
Feltétlenül szükséges	Munkamenet, kosár, bejelentkezés	Mindig bekapcsolva, nem utasítható el	Nem kell módosítani
Teljesítmény	Látogatások és forgalmi források, például Google Analytics	Aktív, alapból „elfogadva”	Default state: kikapcsolva
Funkcionalitás	Videó, élő chat, nyelvválasztás	Aktív, alapból „elfogadva”	Default state: kikapcsolva, ha a szolgáltatások idegen sütit írnak
Célzás (targeting)	Reklám: remarketing és konverziók, például Google Ads és TikTok Pixel	Aktív, alapból „elfogadva”	Default state: kikapcsolva
Google Consent Mode	Hozzájárulási jelzés a Google Ads és a Google Analytics felé	Inaktív, alapból „elutasítva”	Kapcsolja be, ha a Google-ben hirdet

A Default state mező dönti el, mi érvényes, mielőtt a vásárló választott. Telepítéskor három kategória „elfogadva” állapotú, vagyis a szkriptjeik válasz nélkül is elindulnak. Az érvényes hozzájárulás a vásárló kifejezett cselekedete (GDPR, 4. cikk 11. pont), az előre elfogadott állapot ilyen cselekedetnek nem számít. Ezért a statisztikánál és a reklámnál állítsa a Default state értékét „kikapcsolva” állásba.

A „Beállítások mentése” kategóriánként ment, és törli az elutasított kategóriák már eltárolt sütijeit. A × csak elrejti a sávot, semmit nem ment.

A vásárló választását a rendszer 365 napig őrzi. Az alkalmazás a sütiket nem keresi meg magától: Ön veszi fel őket a kategóriájukba, névvel, leírással és technikai névvel.

Fontos: a vásárlónak bármikor módosítania kell tudnia a választását (GDPR, 7. cikk (3)). A beállítások ablaka a webshop egy linkjéről nyílik, általában a lábléc „Sütibeállítások” linkjéről. Ellenőrizze, hogy a témája megjeleníti-e ezt a linket. Ha nem, írjon a support@cloudcart.com címre.

Google Consent Mode v2 és a reklámpixelek

A Google Consent Mode v2 egy jelzés, amellyel a webshop közli a Google Ads és a Google Analytics felé, hogy a vásárló engedélyezte-e a reklám- és elemzési sütiket. Az Európai Gazdasági Térség felhasználóinál a Google hozzájárulást kér a remarketinghez és a hirdetések méréséhez (a Google EU-s felhasználói hozzájárulási irányelve).

A CloudCartban a Consent Mode v2 külön kategória az Alkalmazások → GDPR → Cookies részben, alapból kikapcsolva. A kategória csak a GDPR alkalmazás előfizetésével kapcsolható be (régi, egyszeri vásárlásnál a rendszer az előfizetésre váltást ajánlja). Bekapcsolva a webshop jelzi a Google Ads, a Google Analytics és a Floodlight felé a vásárló választását.

Az elutasított kategória a kapcsolódó alkalmazások (Google Analytics, Google Tags, TikTok Pixel, Facebook Comments) szkriptjeit is leállítja. A biztonság egy része (SSL, biztonsági mentések, támadások elleni védelem) a domain, SSL és GDPR oldalon olvasható.

Hogyan bizonyítja, ki mit fogadott el?

A hozzájárulás bizonyítéka a CloudCartban az Alkalmazások → GDPR → Acceptance napló: minden sor megmutatja, melyik vásárló, melyik szabályzatot, mikor és melyik űrlapon fogadta el. Minden sorhoz az IP-cím és az eszköz is tárolódik.

A rendszer azt a pontos szöveget őrzi, amelyet a vásárló látott, így a szabályzat módosítása után a régi bejegyzés a régi verziót mutatja. A bejegyzések nem szerkeszthetők és nem törölhetők, a vásárló adatainak törlésekor sem.

A naplóban e-mail-cím szerint kereshet, az Export gomb Excel fájlt ad. Az exporthoz kétlépcsős azonosító kód kell, mert a fájl személyes adatokat tartalmaz.

Hogyan kezeljen egy adattörlési kérelmet?

Az adattörlési kérelmet az Alkalmazások → GDPR → Requests részben kezeli, és a beérkezéstől számított 1 hónapon belül válaszol a vásárlónak. A határidő összetett vagy sok kérelem esetén további 2 hónappal meghosszabbítható, ha erről a vásárlót az első hónapon belül értesíti (GDPR, 12. cikk (3)).

A vásárló a webshop /gdpr oldaláról nyújtja be a kérelmet. Négy típus van:

Típus a listában	Mit kér a vásárló	Mit tesz Ön
info	Tájékoztatást, milyen adatokat őriz róla (15. cikk)	Elküldi neki az adatokat; semmi nem változik
download	Az adatait fájlban (20. cikk)	Géppel olvasható formában küldi el: CSV, JSON vagy XML
delete	Az adatai törlését (17. cikk)	Törli a profil személyes adatait; a számlák és a rendelések megmaradnak
marketing_unsubscribe	Leiratkozást a marketingről	Leállítja a marketingleveleket; semmi nem törlődik

1. Ellenőrizze, ki írt. Mielőtt adatot töröl vagy küld, győződjön meg róla, hogy a kérelem magától a vásárlótól jön: a fiókjából vagy a regisztrált e-mail-címéről.
2. Végezze el a műveletet a vásárló profiljában. A törlés kézzel történik a vásárló adatlapján a Vásárlók menüben: törli a nevet, az e-mailt, a telefont és a címeket, vagy a Delete customer gombbal törli a vásárlót. A művelet nem vonható vissza.
3. Őrizze meg, amit a jogszabály előír. A számlák és a rendelések a számviteli és adójogi szabályok szerint megmaradnak. A GDPR ezt kifejezetten megengedi, ha a megőrzés jogi kötelezettség (17. cikk (3) b)).
4. Jelölje feldolgozottnak a kérelmet. A kérelemnek két állapota van: nyitott és feldolgozott.
5. Válaszoljon a vásárlónak e-mailben. A rendszer magától nem értesíti, ezért írja meg neki, mit tett.

Fontos: a listában nincs számláló az 1 hónapos határidőhöz. Figyelje a benyújtás dátumát, és legalább hetente nyissa meg a Requests részt. Egy típus szűréséhez írja a keresőbe: delete, info, download vagy marketing_unsubscribe.

Az e-mailben vagy telefonon érkező kérelmeket vezesse külön, ugyanazzal a határidővel. Az elállási jog és a visszaküldés részleteit az elállási jogról és a szavatosságról szóló cikk tárgyalja.

Dolgozhat-e AI asszisztens a webshoppal a GDPR megsértése nélkül?

Egy AI asszisztens, például a Claude Code, a ChatGPT Codex vagy a Gemini CLI a GDPR szerint dolgozhat a CloudCart webshoppal, ha csak a feladathoz szükséges adatokat látja. A hozzáférését a PAT token (Personal Access Token) határozza meg, amelyet a tulajdonos a Beállítások → PAT tokenek menüben hoz létre, erőforrásonkénti jogokkal.

A GDPR szerint a személyes adatoknak a cél szempontjából szükségesre kell korlátozódniuk (GDPR, 5. cikk (1) c)), és megfelelő technikai intézkedésekkel kell védeni őket (32. cikk). Az Ön nevében adatot kezelő külső szolgáltató adatfeldolgozó (28. cikk), ezért ellenőrizze az AI szolgáltató adatfeldolgozási feltételeit.

A Custom Permissions token a 8 erőforrás mindegyikénél a None, a Read és a Read & Write között választ. Termékleírásokhoz, készlethez és bloghoz elég a Products, az Inventory és a Blog; a Customers erőforrás (vásárlók, csoportok, feliratkozók) csak akkor kell, ha a feladat valóban vásárlói adatot igényel. A tokenhez lejárati időt és legfeljebb 20 engedélyezett IP-címet adhat, a törlése azonnal megszünteti a hozzáférést.

Bevált gyakorlatok a webshop adatvédelméhez

A jól beállított GDPR csak ellenőrzést is kibíró hozzájárulásokat gyűjt, így védi a webshopot a bírságtól, és mérhetően tartja a hirdetéseket.

• Kapcsolja ki a Default state értékét a statisztikánál és a reklámnál. Így a szkriptek megvárják az „igen”-t, és a hozzájárulás kifejezett.
• Írja le az összes sütit. A rendszer nem pásztázza a weboldalt, ezért minden új reklám- vagy chatalkalmazás sütijét vegye fel a kategóriájába.
• Igazítsa a tájékoztatót a valódi szolgáltatókhoz. Ha új fizetési módot vagy futárt köt be, a címzettek listáját is frissítse.
• Hetente dolgozza fel a kérelmeket. Az 1 hónapos válaszadás jogszabályi határidő, a rendszerben pedig nincs emlékeztető.

Kerülendő hibák

A webshopok leggyakoribb adatvédelmi hibái a beállításokban vannak.

• Inaktív kötelező szabályzat. Inaktív szabályzatnál a jelölőnégyzet nem jelenik meg. Ha a pipa hiányzik a fizetésnél, nézze meg az állapotát a Policy részben.
• Az alkalmazás újratelepítése. A napló és a kérelmek megmaradnak, a négy alapszabályzat újra létrejön, a sütikategóriák és a leírások pedig visszaállnak az öt alapkategóriára. Az Ön által felvett sütik elvesznek.

Gyakran ismételt kérdések

A CloudCartban az eladások után 0% jutalékot fizet a platformnak, a fizetés, a szabályzatok és a hozzájárulások pedig a pénztár egyetlen lépésében vannak. A csomagok euróban szerepelnek az árak oldalon. Ha most indítja a webshopot, a webshop készítés lépései után az első rendelés előtt állítsa be a sávot és a tájékoztatót. A GDPR alkalmazással kapcsolatos kérdéseivel írjon nekünk: support@cloudcart.com.