Pravila privatnosti

01Voditelj obrade

Za sva pitanja o privatnosti i ostvarivanje svojih prava obratite nam se na navedeni e-mail.

02Sažetak

03Obrade u pojedinostima

3.1. Upiti putem kontakt obrasca, e-maila i telefona

Kada nam pošaljete upit, obrađujemo podatke koje upišete: ime i prezime, e-mail adresu, telefon ako ga navedete te opis projekta ili poruku. Obavezna polja označena su zvjezdicom; bez njih vam ne možemo odgovoriti.

Ako se upit odnosi na ponudu, isporuku ili drugi ugovor s vama, pravna osnova je poduzimanje radnji na vaš zahtjev prije sklapanja ugovora (čl. 6. st. 1. t. (b) GDPR-a). Za ostale upite, uključujući upite koje šaljete kao predstavnik tvrtke, pravna osnova je naš legitimni interes da odgovorimo na upućene upite i vodimo poslovnu komunikaciju (čl. 6. st. 1. t. (f) GDPR-a).

Upit iz kontakt obrasca sprema se u bazu podataka web stranice i prosljeđuje e-poštom ovlaštenim zaposlenicima putem našeg poslužitelja e-pošte. Kopiju upita u bazi web stranice čuvamo 90 dana od zaprimanja, zatim je uklanjamo dnevnim automatskim čišćenjem. Brisanje nije trenutačno u isteku roka: pri većem zaostatku ili privremenoj nedostupnosti obrada se nastavlja sljedećim pokretanjima.

Ovlašteni administrator može pojedinačni upit izuzeti od brisanja ako je potreban za ugovor ili konkretan spor, uz zabilježen razlog i datum ponovnog pregleda. Zakašnjeli pregled ne ukida izuzeće automatski. Potrebu redovito preispitujemo i izuzeće ukidamo kada prestane. Podatke potrebne za izvršenje ugovora i obvezne poslovne evidencije obrađujemo zasebno, prema rokovima koji vrijede za te evidencije. U slučaju konkretnog spora zadržavamo samo podatke potrebne za ostvarivanje ili obranu pravnog zahtjeva do završetka postupka i isteka primjenjivog roka.

Rok od 90 dana i automatsko čišćenje odnose se na bazu web stranice, a ne na kopije u poštanskim sandučićima. E-poštu i povezanu korespondenciju čuvamo onoliko dugo koliko je potrebno za odgovor i poslovnu komunikaciju, uz primjenjive obveze za poslovne evidencije i konkretne sporove. Sigurnosne kopije imaju zaseban ciklus zamjene; ne obećavamo istodobno brisanje iz svih sigurnosnih kopija, a nakon obnove baze ponovno primjenjujemo pravila brisanja.

3.2. Newsletter

Newsletter o proizvodima, projektima i novostima šaljemo samo uz vašu privolu (čl. 6. st. 1. t. (a) GDPR-a). Za prijavu je potrebna samo e-mail adresa. Za slanje koristimo uslugu Mailchimp. Prijavu potvrđujete poveznicom u zasebnoj poruci (double opt-in); bilježe se vrijeme i izvor prijave, tekst privole i njezina potvrda. Ako se pri potvrdi bilježi IP adresa, koristi se samo kao dokaz prijave i zaštita od zlouporabe. Ne pratimo otvaranje poruka ni vaše klikove na poveznice putem marketinških piksela ili identifikatora za praćenje.

Privolu možete povući u svakom trenutku putem poveznice za odjavu u svakom newsletteru ili porukom na siteproject@siteproject.hr. Povlačenje ne utječe na zakonitost slanja prije povlačenja. Nakon odjave prestajemo slati newsletter i brišemo profil pretplatnika i podatke koji više nisu potrebni u roku od 30 dana. Minimalni dokaz dane i povučene privole čuvamo 5 godina od odjave radi ispunjenja obveze dokazivanja privole i zaštite pravnih zahtjeva (čl. 7. st. 1. te čl. 6. st. 1. t. (c) odnosno (f) GDPR-a).

Odvojeno čuvamo samo adresu i datum odjave na popisu koji sprječava ponovno slanje bez nove privole. Taj se popis koristi isključivo za poštovanje odjave, na temelju legitimnog interesa (čl. 6. st. 1. t. (f) GDPR-a). Nužnost provjeravamo jednom godišnje; podatke brišemo najkasnije 30 dana nakon što trajno prestanemo koristiti popise pretplatnika na koje se odjava odnosi. Ako zatražite brisanje, uklanjamo vaš profil i procjenjujemo postoji li konkretna obveza ili opravdan razlog za zadržavanje minimalnog dokaza ili zapisa odjave te vas o tome obavještavamo.

3.3. Rad i sigurnost web stranice

Pri posjetu pružatelji hostinga i isporuke datoteka obrađuju tehničke podatke: IP adresu, vrijeme pristupa, traženu adresu stranice ili datoteke, odgovor poslužitelja te podatke o pregledniku i uređaju. Ti podaci potrebni su za isporuku stranice, otkrivanje grešaka i zaštitu od napada. Pravna osnova je naš legitimni interes za siguran i ispravan rad web stranice (čl. 6. st. 1. t. (f) GDPR-a). Aplikacijski zapisi na Vercelu čuvaju se najdulje 30 dana; standardni rok našeg Pro paketa iznosi jedan dan, a proširena retencija može iznositi do 30 dana. Ne izvozimo ih u zasebnu trajnu pohranu. Zapise izdvojene zbog konkretnog sigurnosnog incidenta čuvamo do završetka istrage i uklanjanja posljedica, uz provjeru nužnosti svakih 30 dana. Ako su potrebni za pravni zahtjev, primjenjuje se iznimka iz odjeljka 3.1. Ne koristimo ih za marketinško profiliranje. Pružatelji zasebno obrađuju tehničke podatke za sigurnost vlastitih usluga prema svojim pravilima privatnosti; to nije naša aplikacijska evidencija niti se na te zapise automatski primjenjuje rok od 30 dana.

Kontakt obrazac zaštićen je uslugom Cloudflare Turnstile, koja razlikuje posjetitelje od automatiziranih programa. Dok je obrazac prikazan, vaš preglednik se povezuje s Cloudflareom, koji prima IP adresu i tehničke podatke preglednika i uređaja te vraća potvrdu; poslužitelj web stranice tu potvrdu provjerava kod Cloudflarea prije prihvaćanja upita. Ta provjera nužna je za sigurnost obrasca i ne služi oglašavanju ni praćenju (legitimni interes, čl. 6. st. 1. t. (f) GDPR-a); zbog toga ne traži privolu. Cloudflare pri tome može djelovati i kao samostalni voditelj za vlastite sigurnosne podatke prema svojim pravilima privatnosti.

Widget Cloudflare Turnstile u lokalnoj pohrani preglednika sprema tehnički zapis (cf.turnstile.u), i to na Cloudflareovoj domeni (challenges.cloudflare.com), a ne na našoj. Zapis služi isključivo zaštiti obrasca od automatiziranih zahtjeva i strogo je nužan za uslugu koju tražite (slanje upita), pa za njega ne tražimo privolu.

3.4. Kolačići i analitika

Uz vašu privolu koristimo Google Analytics 4 za statistiku posjećenosti i poboljšanje stranice (čl. 6. st. 1. t. (a) GDPR-a i čl. 43. st. 4. Zakona o elektroničkim komunikacijama). Googleova skripta učitava se tek nakon što prihvatite analitiku, a prije toga Googleu se ne šalju nikakvi podaci. Google signali i personalizacija oglasa isključeni su. Google Analytics ne pohranjuje IP adrese posjetitelja iz EU-a. Podaci o pojedinačnim događajima čuvaju se 2 mjeseca, a podaci na razini korisnika 14 mjeseci od vaše posljednje aktivnosti na stranici. Uključen je reset roka korisničkog identifikatora pri novoj aktivnosti; redovito aktivan identifikator zato može ostati pohranjen dulje od 14 mjeseci od prve posjete. Reset se odnosi samo na podatke na razini korisnika. Standardni agregirani izvještaji ne podliježu tim postavkama čuvanja. Isključeno je dijeljenje za „Google products & services” i „Modeling contributions & business insights”.

Privolu možete povući putem poveznice „Postavke kolačića” u podnožju stranice. Popis kolačića nalazi se u Politici kolačića.

04Primatelji, izvršitelji i podizvršitelji obrade

Vaše podatke ne prodajemo. Pristup imaju ovlaštene osobe kojima su podaci potrebni za rad. Tehničko održavanje web stranice povjereno je društvu XMI Studio j.d.o.o. (Hrvatska), koje osobne podatke za tu svrhu obrađuje prema našim uputama. S XMI Studiom imamo sklopljen ugovor o obradi osobnih podataka u skladu s člankom 28. GDPR-a. XMI za hosting, bazu i isporuku datoteka koristi sljedeće podizvršitelje:

• Vercel Inc. (SAD): hosting web stranice; poslužiteljske funkcije rade u regiji Frankfurt (Njemačka).
• Databricks, Inc. – usluga Neon (SAD; povezano društvo Neon, LLC): baza podataka web stranice; odabrana regija baze je Frankfurt (Njemačka).
• Cloudflare, Inc. (SAD): pohrana i isporuka slika i dokumenata putem usluge R2 te zaštita kontakt obrasca od automatiziranih zahtjeva (usluga Turnstile, odjeljak 3.3.). Pri otvaranju izravne poveznice na dokument ili prikazu obrasca vaš preglednik uspostavlja vezu s Cloudflareom, koji prima IP adresu i tehničke podatke zahtjeva. Globalna isporuka i podrška mogu uključivati obradu izvan EGP-a.

Za e-poštu i newsletter koristimo sljedeće izvršitelje:

• Hetzner Online GmbH (Njemačka): poslužitelj e-pošte kojim se upiti iz kontakt obrasca šalju ovlaštenim zaposlenicima.
• The Rocket Science Group LLC d/b/a Mailchimp (SAD, dio grupe Intuit): slanje newslettera; podaci se pohranjuju u SAD-u.

Google Ireland Limited (Irska) pruža Google Analytics kao izvršitelj obrade; podatke može obrađivati i Google LLC u SAD-u. Dodatno dijeljenje za poboljšanje Googleovih proizvoda i za modeliranje poslovnih uvida isključeno je. Pri obradi vlastitih podataka o usluzi, sigurnosti i računima pružatelji mogu djelovati kao samostalni voditelji prema svojim pravilima privatnosti.

Dodatne informacije o obradi tehničkih podataka pružatelja dostupne su u pravilima privatnosti usluga Vercel, Cloudflare, Databricks/Neon, Hetzner i Mailchimp.

Podatke možemo dati i nadležnim tijelima, sudovima ili savjetnicima kada to zahtijeva propis ili je potrebno za ostvarivanje ili obranu pravnih zahtjeva.

05Prijenos podataka izvan Europskog gospodarskog prostora

Mailchimp, Google, Vercel, Cloudflare i Databricks/Neon mogu obrađivati podatke u SAD-u i drugim državama u kojima posluju njihovi podizvršitelji. Odabrana europska regija poslužitelja ili baze ne znači da se sva podrška, tehnički zapisi i sigurnosne kopije obrađuju isključivo u EGP-u.

Za prijenose Vercelu, Cloudflareu i Mailchimpu u SAD primjenjuje se Okvir za privatnost podataka između EU-a i SAD-a (EU-U.S. Data Privacy Framework), na temelju Odluke Europske komisije (EU) 2023/1795 (čl. 45. GDPR-a). Za prijenose koje taj okvir ne obuhvaća njihovi uvjeti predviđaju standardne ugovorne klauzule Europske komisije (čl. 46. st. 2. t. (c) GDPR-a). Za Databricks/Neon ugovorne zaštitne mjere uključuju standardne ugovorne klauzule; primjenjuju se i dodatne tehničke i organizacijske mjere. Googleovi uvjeti obrade predviđaju odluke o primjerenosti i standardne ugovorne klauzule za prijenose koji nisu obuhvaćeni primjerenošću. Informacije o primjenjivom prijenosu i presliku zaštitnih mjera možete zatražiti na siteproject@siteproject.hr.

06Vaša prava

U vezi sa svojim osobnim podacima imate pravo:

• na pristup podacima i dobivanje kopije (čl. 15. GDPR-a);
• na ispravak netočnih podataka (čl. 16.);
• na brisanje (čl. 17.) i na ograničenje obrade (čl. 18.);
• na prenosivost podataka koje ste nam dali na temelju privole ili ugovora (čl. 20.);
• na prigovor obradi koja se temelji na legitimnom interesu (čl. 21. st. 1.); prigovor izravnom marketingu uvijek uvažavamo (čl. 21. st. 2.);
• povući privolu u bilo kojem trenutku, bez utjecaja na zakonitost obrade prije povlačenja (čl. 7. st. 3.).

Zahtjev pošaljite na siteproject@siteproject.hr ili poštom na adresu sjedišta. Odgovorit ćemo bez odgode, najkasnije u roku od mjesec dana (čl. 12. st. 3. GDPR-a). Ako ne možemo sa sigurnošću utvrditi tko šalje zahtjev, možemo zatražiti dodatne podatke za provjeru identiteta.

07Pravo na pritužbu

Ako smatrate da obrada vaših podataka krši propise, možete podnijeti pritužbu nadzornom tijelu:

Agencija za zaštitu osobnih podataka (AZOP)
Ulica Metela Ožegovića 16, 10000 Zagreb
tel. +385 1 4609 000, azop@azop.hr
https://azop.hr/

Prije toga nam se slobodno obratite; nastojat ćemo riješiti svaki problem.

08Ostalo

• Ne donosimo odluke isključivo automatiziranom obradom, uključujući izradu profila, koje bi na vas značajno utjecale.
• Web stranica nije namijenjena djeci i svjesno ne prikupljamo podatke djece.
• Podatke štitimo odgovarajućim tehničkim i organizacijskim mjerama, uključujući šifriranu vezu (HTTPS) i ograničen pristup sustavima samo ovlaštenim osobama.
• Web stranica sadrži poveznice na stranice proizvođača i društvenih mreža. Kada ih otvorite, za obradu vaših podataka odgovorni su njihovi vlasnici.

09Izmjene pravila

Ova pravila ažuriramo kada se promijeni način obrade. Datum važeće verzije naveden je na vrhu stranice. O bitnim izmjenama koje se odnose na obradu na temelju privole obavijestit ćemo vas prije početka nove obrade.