Verzió: 0.2-tervezet · Kelt: 2026-10-02
Sütiszabályzat
A [TERMÉKNÉV] platform sütijei és böngészőtárolása
PISZKOZAT jogi átnézésre. Verzió: 0.1, 2026-10-02. Nem végleges, nem jogi tanács. A
[JOGÁSZNAK: ...]jelölések nyitott kérdések; a teljes lista és az állítások kódbeli fedezete a README-ben van. Angol fordítás: Cookie Policy; eltérés esetén a magyar szöveg az irányadó. A felsorolás a 2026-10-02-i kódállapot (main a71f768) tényleges működését írja le: kizárólag azt tartalmazza, amit a termék ténylegesen beállít. Ha a termék új sütit vagy tárolót vezet be, ezt a dokumentumot is módosítani kell.
1. Kire vonatkozik, ki a felelős
1.1. A termék három felülettel találkozik a látogatóval: (a) a szalonok publikus foglalóoldala (/b/<szalon-azonosító>), amelyet a szalon vendégei használnak; (b) a szalon munkatársi (admin) felülete; (c) az Üzemeltető platform-konzolja, amelyet csak az Üzemeltető munkatársai érnek el.
1.2. A platform által beállított sütikért és böngészőtárolásért az Üzemeltető felel. A foglalóoldalon a szalon által megadott mérőkódok (Meta Pixel, Google Analytics 4, Google Ads, TikTok Pixel, Google Tag Manager) a szalon saját döntése és felelőssége: ezekre a szalon az adatkezelő, és a hozzájárulást is a szalon nevében kéri a foglalóoldal (5. pont). [JOGÁSZNAK: az Üzemeltető szabályzata minta-e a szalonok számára, vagy minden szalon saját sütitájékoztatót ad; ma a foglalóoldalon a hozzájárulási sáv a szalon nevében szól, és a szalon saját adatkezelési tájékoztatójának webcíme megadható.]
2. A sütik
| Név | Beállítja | Mire való | Fajta | Meddig él | Jellemzők | Hol |
|---|---|---|---|---|---|---|
salon_session | a szerver | a szalon munkatársának (és az ügyfélszolgálati belépésnek) bejelentkezett munkamenete | feltétlenül szükséges | a belépéstől legfeljebb 12 óra; a szerver 30 perc tétlenség után érvényteleníti; ügyfélszolgálati belépésnél az indokolt időkorlát (alap 30, legfeljebb 120 perc) | HttpOnly, élesben Secure, SameSite=Lax, Path=/ | admin felület, belépés |
salon_platform | a szerver | az Üzemeltető platform-konzoljának munkamenete | feltétlenül szükséges | legfeljebb 8 óra; alap 15 perc tétlenség (5 és 60 perc között állítható) | HttpOnly, élesben Secure, SameSite=Lax, Path=/ | csak a platform-konzol, az Üzemeltető munkatársainak |
salon_till_device | a szerver | annak a pultgépnek az azonosítása, amelyet a szalon a PIN-es gyors belépésre beléptetett | feltétlenül szükséges a gyors belépéshez | 180 nap (a szalon bármikor visszavonhatja) | HttpOnly, élesben Secure, SameSite=Lax | a beléptetett pultgép |
salon_guest | a szerver | a vendég bejelentkezett állapota a foglalóoldalon (saját foglalásainak megtekintése), az e-mailben kapott belépési hivatkozás beváltása után | a vendég által kért funkcióhoz szükséges | 30 nap (a belépési hivatkozás 15 percig érvényes); kilépéskor törlődik | HttpOnly, élesben Secure, SameSite=Lax, útvonal: /api/guest/b/<szalon-azonosító> (szalononként külön) | a szalon foglalóoldala, csak ha a vendég bejelentkezik |
salon.naptar.oldalsav.<munkatárs-azonosító> | a böngésző (JavaScript) | a naptár oldalsávjának nyitott vagy csukott állapota, hogy a következő betöltéskor ne villanjon fel | funkcionális, a felhasználó beállítása | 1 év | SameSite=Lax, útvonal: /calendar | az admin naptár |
A munkamenet-sütik tartalma véletlenszerű azonosító, nem személyes adat; a szerver ezekből csak lenyomatot tárol.
3. A böngészőtár (localStorage és sessionStorage)
A böngészőtár a látogató eszközén marad, a szerverre nem kerül, és nem hordoz követési azonosítót.
| Kulcs | Tár | Mire való | Mely felület | Meddig |
|---|---|---|---|---|
salon-booking-lang | localStorage | a foglalóoldal nyelvválasztása | foglalóoldal | törlésig |
sz-consent:v1:<szalon-azonosító> | localStorage | a látogató mérőkód-hozzájárulási döntése (statisztika, marketing, a döntés ideje, a döntéskor beállított mérőkódok) | foglalóoldal, csak ha a szalonnak van mérőkódja | törlésig; a szerverre nem kerül |
salon-saas:eloleg-token:<szalon-azonosító> | sessionStorage | az online előleg fizetéséről visszatérő vendég foglalásának megtalálása | foglalóoldal | a fül bezárásáig |
salon-saas:berlet-token:<szalon-azonosító> | sessionStorage | a bérletvásárlásról visszatérő vendég vásárlásának megtalálása | foglalóoldal | a fül bezárásáig |
sz-conv:v1:<szalon-azonosító>:<esemény-azonosító> | sessionStorage | jelzés, hogy a vásárlás-esemény már elment, hogy ne duplázódjon (csak hozzájárulás és mérőkód esetén) | foglalóoldal | a fül bezárásáig |
sz-tema | localStorage | világos vagy sötét megjelenés | admin | törlésig |
sz-ujdonsagok-latott | localStorage | az utolsó megnézett újdonság azonosítója | admin | törlésig |
salon.calendar.hourHeight | localStorage | a naptár nagyítási szintje | admin | törlésig |
salon.naptar.oldalsav.<munkatárs-azonosító> | localStorage | az oldalsáv állapota (a 2. pont sütijének párja) | admin | törlésig |
sz-ertesitesek-olvasott-v2:<munkatárs-azonosító> | localStorage | melyik értesítést olvasta már el a munkatárs | admin | törlésig |
sz-ertesitesek-toast:<munkatárs-azonosító> | localStorage | a felugró új-foglalás jelzések lefoglalása a böngészőfülek között, hogy ugyanaz a jelzés két nyitott fülön ne ugorjon fel (az értesítés azonosítóját és a lefoglalás idejét tárolja) | admin | a bejegyzések 24 óráig élnek (a régebbieket a következő írás törli); maga a kulcs törlésig marad |
salon.state-banner.<sáv-azonosító> | localStorage | az admin tetején megjelenő tájékoztató állapot-sáv (például a próbaidő vége) elrejtésének megjegyzése az adott napra (a böngésző helyi napját tárolja) | admin | a kulcs törlésig marad; másnap a sáv újra megjelenik |
salon.kassza.utolsoMod | localStorage | a Kasszában legutóbb választott fizetési mód | admin | törlésig |
salon:recovery-warning | sessionStorage | belépés után megjelenő figyelmeztetés, ha a munkatárs visszaállító kóddal lépett be | admin, belépés | a fül bezárásáig |
4. Harmadik fél szolgáltatások, amelyeket a termék maga tölt be
4.1. Cloudflare Turnstile. A foglalás véglegesítésénél és a kapcsolatfelvételi űrlapon a rendszer visszaélés elleni ellenőrzést alkalmazhat. Ha az Üzemeltető a Turnstile kulcsait beállította, a foglalás visszaigazolás lépésén a böngésző a Cloudflare szkriptjét tölti be (challenges.cloudflare.com), a beküldéskor pedig a szerver az ellenőrző tokent és a látogató IP-címét küldi a Cloudflare-nek ellenőrzésre. A widget a mérőkódokra adott hozzájárulástól függetlenül működik, mert a visszaélés elleni védelmet szolgálja. [JOGÁSZNAK: a Cloudflare Turnstile saját tárolási gyakorlata (állít-e sütit vagy böngészőtárat a látogató eszközén) a szolgáltató aktuális dokumentációja szerint ellenőrizendő és ide beírandó; szükségesként kezelhető-e az eszközön tárolásra vonatkozó szabályok szerint; a foglalás nem akad el, ha a widget nem tölt be.]
4.2. Más külső tartalmat a termék maga nem tölt be. A termék maga nem tölt be külső betűtípust, analitikai szkriptet vagy közösségi bővítményt: a betűtípusok a rendszerben vannak. A foglalóoldalon külső szkriptet kizárólag a Turnstile (4.1) és a szalon által beállított, hozzájáruláshoz kötött mérőkódok (5. pont) töltenek be. Az admin felületen a tartalombiztonsági szabály (Content-Security-Policy) alapértelmezés szerint csak a saját forrást engedi; a Next.js miatt az inline szkript engedélyezett. A bankkártyás előleg- és bérletfizetés a fizetési szolgáltató (SimplePay, Barion) saját oldalán történik; annak sütiit a szolgáltató tájékoztatója írja le.
5. Mérőkódok a foglalóoldalon (a szalon saját mérése)
5.1. Mikor töltődnek be. A foglalóoldalon a szalon mérőkódjai (Meta Pixel, Google Analytics 4, Google Ads, TikTok Pixel, Google Tag Manager) csak akkor töltődnek be, ha (a) a szalon megadta az azonosítóikat, és (b) a látogató a hozzájárulási sávban hozzájárult. Amíg a látogató nem dönt, egyetlen mérőkód sem töltődik be.
5.2. A hozzájárulási sáv. A sáv a szalon nevében szól, kategóriánként (statisztika: Google Analytics; marketing: Meta, Google Ads, TikTok; a Google Tag Manager mindkét kategóriában) engedi a döntést, és csak arról kérdez, amihez a szalonnak tényleg van mérőkódja. Az elutasítás ("Csak a szükségesek") az elfogadással azonos méretű és betűjellegű gomb; a hangsúly eltér (az elfogadás kitöltött, az elutasítás körvonalas). [JOGÁSZNAK: a vizuális hangsúlykülönbség (kitöltött és körvonalas gomb) megfelel-e az egyenrangúság követelményének.] A döntés a látogató böngészőjében marad (sz-consent:v1:<szalon-azonosító>), a szerver nem rögzíti. A döntés a lap alján elérhető "Süti-beállítások" hivatkozással bármikor megváltoztatható vagy visszavonható. Ha a szalon később új mérőkódot vesz fel, a korábbi hozzájárulás arra nem terjed ki, és a sáv újra kérdez.
5.3. Ahol semmi nem töltődik be. A beágyazott foglalóban (a szalon saját weboldalába ágyazott keret) a termék semmilyen mérőkódot nem tölt be; ott a szalon saját oldala felel a hozzájárulásért. A vendég tokenes kezelőoldalain (lemondás, átfoglalás) és a várólista-ajánlat oldalán sem fut mérőkód, mert a cím a vendég titkos azonosítóját hordozza. A mérőkódok betöltése előtt a böngésző címsorából a fizetési szolgáltatók visszatérési paraméterei kikerülnek.
5.4. A Google Tag Manager kapuja. A Google Tag Manager betöltése ezen felül az Üzemeltető kapcsolójától függ, amely alapértelmezés szerint ki van kapcsolva, mert a tároló egyedi szkriptjei a foglalóoldal eredetén futnának. [JOGÁSZNAK: az üzemeltető tölti ki; a kapu állása az éles környezetben.]
5.5. A mérőkódok sütijei. A mérőkódok a saját sütijeiket a szolgáltatók (Meta, Google, TikTok) szabályai szerint állítják be, a hozzájárulás után. Ezek nevét, élettartamát és célját a szolgáltatók tájékoztatói írják le; a Google Analytics sütije a szalon foglalóoldalának útvonalára (/b/<szalon-azonosító>) van korlátozva, hogy a vendég két szalon között ne legyen összekapcsolható. [JOGÁSZNAK: ha a szabályzatban a mérőkódok sütijeit is név szerint fel kell sorolni, az a szalon feladata, vagy az Üzemeltető gyűjti össze a szolgáltatók aktuális listájából.]
6. Hogyan szabályozhatja
6.1. A foglalóoldalon a "Süti-beállítások" hivatkozással a mérőkódokról szóló döntését bármikor megváltoztathatja.
6.2. A böngészőjének beállításaiban a sütiket és a helyi tárolót törölheti vagy tilthatja. A feltétlenül szükséges sütik tiltása esetén a belépés, és ezért az admin felület használata nem lehetséges; a foglalóoldal foglalása sütik nélkül is működik.
7. Jogalap
A feltétlenül szükséges és a funkcionális tárolás a szolgáltatás nyújtásához kötött. A mérőkódok hozzájárulás alapján működnek. [JOGÁSZNAK: a jogalap és a magyar elektronikus kereskedelmi/hírközlési szabályok pontos hivatkozása; a "funkcionális" tárolók (téma, nagyítás, oldalsáv, nyelv) hozzájárulás-mentességének értékelése.]
8. Módosítás
A szabályzatot az Üzemeltető akkor módosítja, ha a termék új sütit vagy tárolót vezet be vagy megszüntet. A korábbi verziók kérésre elérhetők.