Privacy notice

1. Who handles your data?

Borsos Zoltán, sole proprietor (The City Case)
Registered and postal address: 3042 Palotás, Kossuth utca 40., Hungary
Registration number: 59201564 • Tax number: 90063374-1-51
Privacy and customer support: info@thecitycase.com

This notice concerns visitors, customers and people who contact us. Under the Terms of Service, the service is for people aged 18 and over.

2. What data is used, and why?

Purchases, payments and access

Name, email, selected case and package, language, order and payment identifiers, amount, currency, statuses, and the time and version of terms and digital-content declarations. These support order fulfilment, access delivery and refunds. Legal basis: performance of a contract or steps before entering one (GDPR Article 6(1)(b)).

Invoicing and tax obligations

Name, billing address, tax ID where applicable, email, invoice and transaction data. These support issuing and delivering invoices and mandatory tax reporting. Legal basis: a legal obligation (Article 6(1)(c)). The store does not retain full card numbers or card security codes; Stripe processes payment details.

Support and complaints

Contact details you provide, messages, order references and correspondence. Order support relies on performance of the contract; documenting consumer complaints relies on legal obligations. For other enquiries, our legitimate interest is responding to the enquiry (Article 6(1)(f)).

Security and troubleshooting

Technical request data, timestamps, integration errors and statuses, and a hash derived from an IP address to check for abuse. A hash is pseudonymous and is not necessarily anonymous. Operator reviews also record the action, operator and time. The legal basis is our legitimate interest in preventing unauthorised access, payment abuse and processing errors.

Analytics and advertising measurement

With separate consent: browser and session identifiers, page and purchase events, campaign sources, order identifiers, products, amounts and currency. Meta purchase measurement can also receive a one-way hash of the email address and advertising identifiers. The hash can be matched and remains personal data. The purpose is measuring visits and advertising performance; the legal basis is consent (Article 6(1)(a)). Our own Google Analytics purchase event does not send a name, billing address or email.

Without the data needed for purchase and invoicing, we cannot fulfil the order. Measurement consent is optional. Data comes from you, your browser and providers reporting payment, invoice and access statuses.

3. Cookies and browser storage

Use Cookie settings to allow or reject analytics and marketing separately. This controls subsequent measurement in the browser you are using. Withdrawal does not affect the lawfulness of processing based on consent before withdrawal. You can also email us about measurement data connected to an earlier order.

You can separately clear stored data and cookies in your browser settings. This does not delete data already sent to providers. Stripe applies its own storage and security technologies on its checkout page.

Fonts are served from the website’s own hosting. Displaying these fonts does not require a request to the Google Fonts service.

4. Who can receive data?

The following services are included in the purchase workflow. Actual contracting entities, accounts, processing terms and storage regions are still being confirmed.

• Stripe: payments, transaction statuses and refunds. Depending on the service, it may act as a processor and as an independent controller.
• Billingo: billing information, invoice generation and delivery; legally required invoice data is reported to Hungary’s tax authority, NAV.
• Supabase: order database, server processing and operator authentication.
• Websupport Magyarország Kft. and Railway Corporation: infrastructure providers named in the Terms. Their actual functions and data handling still need verification.
• Google and Meta: the analytics and advertising purposes described above.
• Resend: the prepared operator error-notification service. This is not yet activated; it would use aggregate issue counts and the operator’s address, without customer names, emails or order identifiers.

To deliver game access, a name, email, order identifier, case/package, language and payment timestamp can be passed to the game system. Its operator and data processing must be identified in the final notice before launch. Data required by law or a valid authority request can also be disclosed to the relevant authority.

5. Processing outside the EEA

Some providers may process data outside the European Economic Area. Countries and transfer safeguards must be specified using the actual contracts. The linked Supabase and Railway processing terms contain provisions about EU Standard Contractual Clauses; this alone does not verify the settings or transfers for The City Case account.

Still to confirm: countries, contracting entities, transfer mechanism and safeguards. Information about these and a copy of the relevant document can be requested using the controller’s contact details.

6. Game data, location and camera

GPS is used solely to check whether the player has arrived at a game location. This check takes place on the player’s phone; we do not store GPS coordinates or routes.

The game does not ask the player to take photographs. Responses from Watson and the characters are pre-written; providing these responses does not involve generative AI processing.

There is no public leaderboard; aggregate game statistics are for internal use only. The player’s game access ends when the game is completed. Under the approved rule, which still needs implementation, the nickname and every link connecting the result to the player must be deleted at that point. Only aggregate game statistics that cannot be linked back to a person may remain. Retention of purchase-related data is addressed separately in section 7.

The deletion rule on game completion is approved; its technical implementation and verification are still pending. The necessary statistical data, legal basis, temporary game progress, logs and backups still need to be addressed. The Terms continue to mention possible camera use other than taking photographs. The actual function, handling of image data and any transmission must be clarified and explained before use.

7. How long is data kept?

Retention depends on the purpose. Under the Terms, 365 days is the period available to use the game; access ends earlier if the game is completed. Ending game access does not by itself mean that stored data is deleted.

• Nickname and game result: the approved deletion point is game completion. The nickname and all data linking the result back to the player must then be deleted; only aggregates that cannot be linked back to a person may remain. Technical implementation and verification of deletion and aggregation are still pending; this draft does not confirm an operating automated process.
• Access and order data: for the period required to fulfil the service, followed only by justified legal, invoicing or claims-handling purposes. Exact periods and deletion procedures still need finalisation.
• Invoices and tax records: for the period required under applicable tax rules. The period for the business’s tax arrangements still needs confirmation with its accountant.
• Consumer complaint records and copies of responses: three years under section 17/A(7) of Hungary’s Consumer Protection Act.
• Network hash used to prevent abuse: the current cleanup removes records last updated more than 48 hours ago at the next check. This does not guarantee deletion within exactly 48 hours.
• Technical logs, operator reviews, support correspondence, measurement events and backups: specific periods, provider settings and deletion procedures still need finalisation.
• Browser storage: as described in section 3.

Records subject to a legal retention duty cannot be deleted before that period ends. An ongoing dispute may justify longer retention of relevant records; it does not justify keeping unrelated data indefinitely.

8. How can you exercise your rights?

Email info@thecitycase.com or write to the controller’s postal address. Subject to GDPR conditions, you can request access and a copy, correction, deletion, restriction, and portability for automated processing based on consent or contract. You can object to processing based on legitimate interests for reasons relating to your situation; you can object to direct marketing at any time.

You can withdraw consent at any time. We will respond without undue delay and within one month. Complex or numerous requests can require an extension of up to two further months, with reasons provided within the first month. Where necessary, we will verify identity proportionately; do not send card details.

You can complain to the Hungarian National Authority for Data Protection and Freedom of Information (NAIH): 1055 Budapest, Falk Miksa utca 9–11., Hungary; postal address: 1363 Budapest, Pf. 9.; ugyfelszolgalat@naih.hu. You may also contact the EU supervisory authority where you live, work or believe an infringement occurred, or seek a court remedy. You do not have to complain to us first.

The store does not make its own profiling-based decisions producing legal or similarly significant effects. Stripe’s notice describes its payment fraud checks. Consent-based advertising measurement may enable provider matching and profiling.

9. Related information

Terms of Service • GDPR text published by NAIH (Hungarian) • Hungarian Consumer Protection Act

The final notice must state its version and effective date on this page; the date above identifies this draft.

1. Ki kezeli az adatokat?

Borsos Zoltán egyéni vállalkozó (The City Case)
Székhely és levelezési cím: 3042 Palotás, Kossuth utca 40., Magyarország
Nyilvántartási szám: 59201564 • Adószám: 90063374-1-51
Adatkezelési és ügyfélszolgálati kapcsolat: info@thecitycase.com

A tájékoztató a látogatókra, vásárlókra és a velünk kapcsolatba lépő személyekre vonatkozik. A szolgáltatás az ÁSZF szerint 18 éven felülieknek szól.

2. Milyen adatokat, milyen célból?

Vásárlás, fizetés és hozzáférés

Név, e-mail-cím, választott játék és csomag, nyelv, rendelési és fizetési azonosítók, összeg, pénznem, státuszok, a feltételek és a digitális tartalomra vonatkozó nyilatkozat időpontja és változata. Ezek a megrendelés teljesítését, a hozzáférés átadását és a visszatérítés intézését szolgálják. Jogalap: szerződés teljesítése, illetve a szerződéskötés előtti lépések (GDPR 6. cikk (1) b)).

Számlázás és adókötelezettségek

Név, számlázási cím, szükség esetén adószám, e-mail-cím, számla- és tranzakcióadatok. Cél a számla kiállítása, kézbesítése és a kötelező adatszolgáltatás. Jogalap: jogi kötelezettség (GDPR 6. cikk (1) c)). A teljes bankkártyaszámot és a kártya biztonsági kódját a webáruház nem tárolja; a fizetési adatokat a Stripe kezeli.

Ügyfélszolgálat és panaszok

Az általad megadott elérhetőség, üzenet, rendelési azonosító és az ügyintézés adatai. A rendelési segítség jogalapja a szerződés teljesítése; a fogyasztói panasz dokumentálásáé a jogi kötelezettség. Egyéb megkereséseknél jogos érdekünk a megkeresés megválaszolása (GDPR 6. cikk (1) f)).

Biztonság és hibakezelés

Technikai kérésadatok, időpontok, integrációs hibák és állapotok, valamint a visszaélés elleni ellenőrzéshez az IP-címből képzett kivonat. A kivonat álnevesített, nem feltétlenül anonim adat. Az adminisztrátori ellenőrzésekhez a művelet, az eljáró személy és az időpont is rögzül. Jogalap: jogos érdek a jogosulatlan hozzáférés, fizetési visszaélés és hibás feldolgozás megelőzésére.

Analitika és hirdetési mérés

Külön hozzájárulás esetén böngésző- és munkamenet-azonosítók, oldal- és vásárlási események, kampányforrások, rendelési azonosító, termék, összeg és pénznem. A Meta vásárlásméréshez az e-mail-cím egyirányú kivonata és hirdetési azonosítók is továbbíthatók. A kivonat egyeztetésre alkalmas személyes adat. Cél a látogatottság és a hirdetések eredményének mérése; jogalap a hozzájárulás (GDPR 6. cikk (1) a)). A Google Analytics számára a saját vásárlási eseményünk nem küld nevet, számlázási címet vagy e-mail-címet.

A vásárláshoz és számlázáshoz szükséges adatok nélkül a rendelést nem tudjuk teljesíteni. A mérési hozzájárulás önkéntes. Az adatokat közvetlenül tőled, a böngésződtől, valamint a fizetés, számlázás és hozzáférés állapotát visszajelző szolgáltatóktól kapjuk.

3. Sütik és böngészőtárolás

A Sütibeállítások gombbal külön engedélyezhető vagy elutasítható az analitika és a marketing. A beállítás a használt böngésző későbbi mérését szabályozza. A visszavonás nem teszi jogellenessé a korábbi, hozzájáruláson alapuló adatkezelést. Korábbi rendeléshez kapcsolódó mérési adat ügyében is írhatsz a fenti e-mail-címre.

A böngésző beállításaiban a tárolt adatok és sütik külön is törölhetők. Ez a szolgáltatókhoz már továbbított adatokat nem törli. A Stripe fizetőoldalán a Stripe saját tárolási és biztonsági megoldásai érvényesek.

A betűtípusokat a weboldal saját tárhelyéről töltjük be. A betűk megjelenítéséhez nem szükséges kérés a Google Fonts szolgáltatáshoz.

4. Kik kaphatnak adatot?

A vásárlási folyamatban a következő szolgáltatások szerepelnek. A tényleges szerződő felek, fiókok, adatfeldolgozói feltételek és tárolási régiók egyeztetése még folyamatban van.

• Stripe: fizetés, tranzakcióállapot és visszatérítés. A szolgáltatástól függően adatfeldolgozóként és önálló adatkezelőként is eljárhat.
• Billingo: számlázási adatok, számlakiállítás és kézbesítés; a jogszabály szerint szükséges számlaadatok a NAV-hoz kerülnek.
• Supabase: rendelési adatbázis, szerveroldali feldolgozás és adminisztrátori azonosítás.
• Websupport Magyarország Kft. és Railway Corporation: az ÁSZF-ben megnevezett infrastruktúra-szolgáltatók. A tényleges feladataik és az általuk kezelt adatok még ellenőrzendők.
• Google és Meta: a fenti analitikai és hirdetési célok szerint.
• Resend: az előkészített üzemeltetői hibaértesítések szolgáltatója. Ez a funkció még nincs aktiválva; összesített hibaszámokat és az üzemeltető címét használná, vásárlói nevet, e-mail-címet vagy rendelési azonosítót nem.

A játékhozzáférés átadásához név, e-mail-cím, rendelési azonosító, játék/csomag, nyelv és fizetési időpont kerülhet a játék kiszolgáló rendszeréhez. A rendszer üzemeltetőjét és adatkezelését a végleges tájékoztatóban még az indulás előtt azonosítani kell. Hatósági megkeresés vagy jogi kötelezettség esetén az ahhoz szükséges adatok az illetékes hatóságnak is átadhatók.

5. EGT-n kívüli adatkezelés

Egyes szolgáltatók az Európai Gazdasági Térségen kívül is kezelhetnek adatokat. Az országokat és az adott adattovábbítás garanciáit a tényleges szerződések alapján kell megadni. A Supabase és Railway hivatkozott adatfeldolgozói feltételei tartalmaznak uniós általános szerződési feltételekre vonatkozó rendelkezéseket; ez önmagában nem igazolja a The City Case adott fiókjának és adattovábbításának beállításait.

Véglegesítésre vár: érintett országok, szerződő felek, alkalmazott adattovábbítási jogcím és garanciák. Ezekről, illetve a vonatkozó dokumentum másolatáról az adatkezelő elérhetőségén kérhető tájékoztatás.

6. Játék, helyadatok és kamera

A GPS kizárólag annak ellenőrzésére szolgál, hogy a játékos megérkezett-e az adott helyszínre. Az ellenőrzés a játékos telefonján történik; GPS-koordinátákat és útvonalat nem tárolunk.

A játék nem kér a játékostól fénykép készítését. Watson és a szereplők válaszai előre megírtak; a válaszok megadásához nincs generatív AI-feldolgozás.

Nyilvános ranglista nincs; az összesített játékstatisztikák csak belső használatra szolgálnak. A játékos játékhozzáférése a befejezéssel megszűnik. A jóváhagyott, megvalósításra váró szabály szerint ekkor törölni kell a becenevet és minden kapcsolatot, amely az eredményt a játékoshoz visszavezeti. A játékadatokból kizárólag személyhez nem visszakapcsolható összesített statisztika maradhat meg. A vásárláshoz kapcsolódó adatok megőrzését a 7. pont külön tárgyalja.

A befejezéskori törlési szabály jóváhagyott; műszaki megvalósítása és ellenőrzése még hátravan. Véglegesítésre vár a szükséges statisztikai adatkör, a jogalap, az ideiglenes játékállás, a naplók és mentések kezelése. Az ÁSZF továbbra is jelzi az esetleges, fényképkészítésen kívüli kamerahasználatot. A tényleges funkciót, a képadatok kezelését és az esetleges továbbítást a használat előtt tisztázni és ismertetni kell.

7. Meddig maradnak meg az adatok?

A megőrzési idő az adat céljától függ. Az ÁSZF szerinti 365 nap a játék felhasználására nyitva álló idő; a befejezéskor a játékhozzáférés korábban megszűnik. A hozzáférés megszűnése önmagában nem jelenti a tárolt adatok törlését.

• Becenév és játékeredmény: jóváhagyott törlési pont a játék befejezése. Ekkor a becenév és minden, az eredményt a játékoshoz visszakapcsoló adat törlendő; csak személyhez nem visszakapcsolható összesítések maradhatnak. A törlés és összesítés műszaki megvalósítása, valamint ellenőrzése még hátravan; ez a tervezet nem igazol működő automatizmust.
• Hozzáférési és rendelési adatok: a szolgáltatás teljesítéséhez szükséges idő, majd kizárólag az indokolt jogi, számlázási vagy igénykezelési cél ideje. A pontos határidők és törlési eljárások véglegesítésre várnak.
• Számlák és adózási bizonylatok: az alkalmazandó adózási szabályok szerinti megőrzési idő. A vállalkozás adózási módjához tartozó határidőt könyvelővel még egyeztetni kell.
• Fogyasztói panasz jegyzőkönyve és a válasz másolata: három év a fogyasztóvédelmi törvény 17/A. § (7) alapján.
• Visszaélés elleni hálózati kivonat: a jelenlegi takarítás a 48 óránál régebben frissített rekordokat a következő ellenőrzéskor törli. Ez nem garantál törlést pontosan 48 órán belül.
• Technikai naplók, adminisztrátori ellenőrzések, ügyfélszolgálati levelek, mérési események és mentések: a konkrét időtartamok, szolgáltatói beállítások és törlési folyamatok még véglegesítésre várnak.
• Böngészőtárolás: a 3. pontban leírtak szerint.

A jogszabály alapján megőrzendő adatokat törlési kérelem esetén sem lehet a kötelező idő előtt eltávolítani. Egy folyamatban lévő jogvita indokolt esetben befolyásolhatja az érintett iratok megőrzését; ez nem indokolja minden más adat korlátlan tárolását.

8. Hogyan érvényesítheted a jogaidat?

Írj az info@thecitycase.com címre, vagy küldj levelet az adatkezelő címére. A GDPR feltételei szerint kérhetsz hozzáférést és másolatot, helyesbítést, törlést, korlátozást, valamint a hozzájáruláson vagy szerződésen alapuló automatizált kezelésnél adathordozhatóságot. Jogos érdeken alapuló kezelés ellen a saját helyzeteddel kapcsolatos okból tiltakozhatsz; közvetlen üzletszerzés ellen bármikor.

A hozzájárulást bármikor visszavonhatod. A kérelemre indokolatlan késedelem nélkül, legkésőbb egy hónapon belül válaszolunk. Összetett vagy több kérelemnél a határidő további két hónappal hosszabbítható, amiről az első hónapon belül indoklással tájékoztatunk. Szükség esetén arányos módon ellenőrizzük a kérelmező személyazonosságát; bankkártyaadatot ne küldj.

Panaszt tehetsz a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH): 1055 Budapest, Falk Miksa utca 9–11.; levelezés: 1363 Budapest, Pf. 9.; ugyfelszolgalat@naih.hu. A lakóhelyed, munkahelyed vagy a feltételezett jogsértés helye szerinti uniós felügyeleti hatósághoz, illetve bírósághoz is fordulhatsz. Ehhez nem feltétel, hogy előbb nálunk tegyél panaszt.

A webáruház nem alkalmaz joghatással vagy hasonlóan jelentős hatással járó saját profilalapú döntést. A fizetési szolgáltató csalásmegelőző ellenőrzéseiről a Stripe tájékoztatójában olvashatsz. A hozzájáruláson alapuló hirdetési mérés lehetővé tehet szolgáltatói egyeztetést és profilalkotást.

9. Kapcsolódó tájékoztatók

Általános Szerződési Feltételek • GDPR – a NAIH által közzétett szöveg • Fogyasztóvédelmi törvény

A végleges tájékoztató változatát és hatálybalépését ezen az oldalon kell feltüntetni; a fenti dátum a tervezet állapotát jelzi.