1.Tko je voditelj obrade
TOMPA društvo s ograničenom odgovornošću za usluge i trgovinu, OIB 08722868476, Ulica Ksavera Šandora Gjalskog 64, 10000 Zagreb. Za pitanja i ostvarivanje prava javite se na [email protected]. Kartonio nema imenovanog službenika za zaštitu podataka; kontakt za privatnost ostaje isti.
2.Na koga se politika odnosi
Na posjetitelje kartonio.hr, osobe koje pošalju kontaktni upit, vlasnike i djelatnike salona s korisničkim računom, administrativne kontakte kupaca te osobe koje podnesu zahtjev za ostvarivanje prava. Za podatke klijenata koje salon unosi u kartoteku salon je u pravilu voditelj obrade, a Kartonio izvršitelj obrade prema DPA-u.
3.Podaci, svrhe i pravne osnove
- Kontaktni upiti: ime, kontakt, salon i poruka – radi odgovora i poduzimanja koraka prije ugovora; čuvanje najdulje 24 mjeseca od zaključenja upita, osim ako nastane poslovni odnos ili pravna obveza.
- Korisnički račun: ime, e-mail, uloga, salon, prijave i sigurnosni zapisi – izvršenje ugovora i legitimni interes sigurnog rada usluge.
- Pretplata i računovodstvo: podaci tvrtke, OIB, adresa, računi i uplate – izvršenje ugovora i zakonske obveze; čuvanje prema poreznim i računovodstvenim rokovima.
- Tehnički i sigurnosni podaci: IP ili njegov pseudonimizirani zapis, uređaj, vrijeme i događaj – legitimni interes zaštite sustava, sprječavanja zlouporabe i dokazivanja radnji.
- Pravni zahtjevi i prihvati: sadržaj zahtjeva, identitet, verzija prihvaćenog dokumenta i vrijeme – zakonske obveze, izvršenje ugovora i dokazivanje pravnih zahtjeva.
4.Primatelji i podizvršitelji
Podatke mogu obrađivati ovlaštene osobe Kartonija te ugovorni pružatelji infrastrukture, e-pošte i zaštite mrežnog prometa. Za transakcijsku e-poštu koristimo Brevo, kojem se prenose adresa primatelja, predmet, nužan sadržaj servisne poruke i tehnički podaci o dostavi. Kada salon koristi online naručivanje, Kartonio u ime salona zaprima zahtjev za termin i šalje klijentu obavijesti o rezervaciji; za te podatke voditelj obrade je salon. Šifrirane sigurnosne kopije čuvaju se izvan poslužitelja kod Cloudflare R2. Aktualan popis nalazi se na stranici Podizvršitelji obrade. Podaci se ne prodaju niti koriste za oglašavanje trećih osoba.
5.Prijenosi izvan EGP-a
Primarno biramo obradu u Europskoj uniji. Kada globalni infrastrukturni pružatelj može obrađivati ograničene mrežne ili tehničke podatke izvan EGP-a, primjenjuju se odgovarajući mehanizmi iz poglavlja V. GDPR-a, poput odluke o primjerenosti ili standardnih ugovornih klauzula, uz procjenu potrebnih zaštitnih mjera.
6.Rokovi čuvanja
- Kontaktni upiti bez nastalog poslovnog odnosa: najdulje 24 mjeseca nakon zaključenja upita.
- Aktivni računi i ugovorni zapisi: za trajanja odnosa i nakon toga koliko je potrebno radi pravnih zahtjeva.
- Računovodstvena i porezna dokumentacija: tijekom zakonom propisanih rokova.
- Sigurnosne sesije i tokeni: do isteka ili opoziva, uz periodično uklanjanje.
- Evidencija aktivnosti i sigurnosni zapisi: standardno do 24 mjeseca, osim incidenta, pravnog zahtjeva ili obveznog duljeg čuvanja.
- Izbrisani zapisi klijenata salona: oporavak najdulje 30 dana, nakon čega slijedi trajno brisanje, uz istek izoliranih sigurnosnih kopija.
- Dokazi o GDPR zahtjevima: 5 godina od dovršetka zahtjeva radi dokazivanja postupanja.
- Uvozne datoteke: sadržaj se obrađuje za provjeru i uvoz; ne čuva se kao izvorna datoteka nakon obrade.
- Nakon prestanka usluge salon ima 30 dana za izvoz; zatim se produkcijski podaci trajno brišu ili anonimiziraju.
7.Vaša prava
Zahtjev pošaljite putem obrasca Zahtjev za osobne podatke ili na [email protected]. Odgovorit ćemo bez nepotrebnog odgađanja, u pravilu u roku od mjesec dana. Prije postupanja možemo razumno provjeriti identitet.
- pravo na pristup i kopiju podataka
- ispravak netočnih podataka
- brisanje kada su ispunjeni uvjeti
- ograničenje obrade
- prenosivost kada je primjenjiva
- prigovor na obradu utemeljenu na legitimnom interesu
- povlačenje privole bez utjecaja na raniju zakonitost
- pritužba Agenciji za zaštitu osobnih podataka (AZOP)
8.Automatizirano odlučivanje i marketing
Kartonio trenutačno ne donosi odluke koje proizvode pravne ili slične značajne učinke isključivo automatiziranom obradom. Ne šaljemo marketinške poruke fizičkim osobama bez odgovarajuće pravne osnove i jasne mogućnosti odjave.
9.Sigurnost i incidenti
Primjenjujemo kontrolu pristupa po ulogama, odvojene račune, TLS, evidenciju važnih radnji, sigurnosne kopije i ograničavanje zahtjeva. Nijedan sustav nije bez rizika; incidente procjenjujemo i prijavljujemo pogođenim stranama i nadležnom tijelu kada je to propisano.