1. Voditelj obrade
Voditelj obrade osobnih podataka na platformi izypadel je:
Xplore, Olga Grubesic, obrt
Ul. Andrije Kacica Miosica 20D, 23000 Zadar, Hrvatska
OIB: 84940350729
E-pošta: tech@zdxplr.com
Telefon: +385 91 151 4111
2. Što obuhvaća ova politika i uloge
Ova Politika privatnosti objašnjava kako izypadel obrađuje osobne podatke kada posjetite platformu, otvorite korisnički račun, rezervirate termin kod pružatelja usluge, platite online, primate podsjetnike ili komunicirate s nama.
izypadel je platforma putem koje pružatelji usluga nude svoje termine. Xplore je voditelj obrade za rad platforme, vaš korisnički račun, obradu plaćanja, izdavanje računa i fiskalizaciju. Pružatelj usluge kod kojeg rezervirate prima vaše podatke o rezervaciji i sam je voditelj obrade za obradu u okviru pružanja usluge (npr. priprema termina, evidencija klijenata, dodatna pitanja). Za pitanja o obradi podataka od strane pružatelja usluge molimo koristite kontakt-podatke navedene na stranici za rezervaciju.
3. Osobni podaci koje obrađujemo
Ovisno o načinu korištenja platforme, možemo obrađivati:
- Podatke o računu: ime i prezime, adresu e-pošte, lozinku (pohranjenu isključivo kao kriptografski hash), datum rođenja, broj telefona (neobvezno), željeni jezik, status potvrde adrese e-pošte.
- Podatke o rezervaciji: odabranog pružatelja usluge, uslugu, datum i vrijeme, cijenu, napomene, status rezervacije, otkazivanja i njihovo vrijeme.
- Podatke iz upitnika: odgovore na upitnik za nove klijente koji sastavlja pružatelj usluge. Ovisno o pružatelju, upitnik može sadržavati i podatke koji se odnose na zdravlje (vidi odjeljak 5).
- Podatke o plaćanju: status plaćanja, iznos, valutu, identifikator transakcije u sustavu Stripe, status povrata. Podatke o kartici ili bankovnom računu obrađuje isključivo Stripe i nikada se ne pohranjuju u našim sustavima.
- Podatke o računima i fiskalizaciji: broj računa, iznos računa, porezne podatke, identifikatore fiskalizacije (npr. JIR, ZKI), storno račune.
- Podatke o komunikaciji: e-poruke koje platforma šalje (potvrde, otkazivanja, podsjetnici, ponovno postavljanje lozinke) te vaše poruke upućene nama.
- Tehničke podatke: IP-adresu, vrstu preglednika, podatke o uređaju, posjećene stranice, vrijeme pristupa, zapise poslužitelja i sigurnosne događaje.
- Push obavijesti: ako ih uključite, adresu pretplate i ključeve koje generira vaš preglednik.
4. Svrhe i pravne osnove
- Korisnički račun i rezervacija: registracija, prijava, rezervacija termina, potvrda rezervacije, upravljanje terminima i otkazivanje. Pravna osnova: izvršavanje ugovora (čl. 6. st. 1. t. (b) GDPR-a).
- Prosljeđivanje pružatelju usluge: prijenos podataka o rezervaciji i upitniku pružatelju kod kojeg ste rezervirali kako bi mogao pružiti uslugu. Pravna osnova: izvršavanje ugovora.
- Obrada plaćanja: obrada i povrat plaćanja putem sustava Stripe. Pravna osnova: izvršavanje ugovora.
- Izdavanje računa i fiskalizacija: izdavanje računa i njihova dostava Poreznoj upravi. Pravna osnova: pravna obveza (čl. 6. st. 1. t. (c) GDPR-a).
- Sinkronizacija kalendara: upis vašeg termina u kalendar pružatelja usluge (Google ili Apple). Pravna osnova: izvršavanje ugovora i legitimni interes pružatelja za pouzdano planiranje termina.
- Podsjetnici: podsjetnici e-poštom o nadolazećim terminima (izvršavanje ugovora); web push podsjetnici samo nakon što ih uključite (privola, čl. 6. st. 1. t. (a) GDPR-a).
- Zdravstveni podaci u upitniku: isključivo uz vašu izričitu privolu (čl. 9. st. 2. t. (a) GDPR-a), vidi odjeljak 5.
- Sigurnost i rad platforme: zaštita od zlouporabe, otklanjanje pogrešaka, dostupnost platforme. Pravna osnova: legitimni interes (čl. 6. st. 1. t. (f) GDPR-a).
- Pravne obveze: kada to zahtijeva hrvatsko pravo ili pravo EU-a. Pravna osnova: pravna obveza.
5. Podaci koji se odnose na zdravlje u upitniku
Neki pružatelji usluga (npr. terapeuti, kozmetički ili masažni studiji, treneri) prije prvog termina trebaju podatke koji se odnose na vaše zdravlje, primjerice o alergijama, ranijim bolestima, trudnoći, lijekovima ili ograničenjima. Takvi podaci pripadaju posebnim kategorijama osobnih podataka u smislu čl. 9. GDPR-a.
Obrađujemo ih isključivo ako ste prije slanja upitnika dali izričitu privolu. Pitanja određuje pojedini pružatelj usluge, koji je voditelj obrade za njihovo vrednovanje. Molimo navedite samo podatke koji su doista potrebni za rezerviranu uslugu. Privolu možete u svakom trenutku povući s učinkom za budućnost tako da se obratite nama ili pružatelju usluge; odgovori se tada brišu, osim ako postoji zakonska obveza čuvanja. Povlačenje privole može značiti da pružatelj uslugu ne može pružiti ili je ne može pružiti sigurno.
6. Obrada plaćanja putem sustava Stripe
Online plaćanja (kartica, Apple Pay, Google Pay) obrađuju se putem sustava Stripe. Pružatelj: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irska. Pri plaćanju bit ćete preusmjereni na stranicu za plaćanje koju hostira Stripe; Stripe obrađuje vaše podatke o plaćanju kao samostalni voditelj obrade prema svojim uvjetima: https://stripe.com/privacy. Od Stripea primamo samo status plaćanja, iznos i identifikator transakcije. Ovisno o konfiguraciji, pružatelj usluge koristi vlastiti Stripe račun; u tom je slučaju pružatelj primatelj plaćanja.
7. Izdavanje računa i fiskalizacija
Za usluge pružene u Hrvatskoj računi se prema Zakonu o fiskalizaciji dostavljaju Poreznoj upravi. U tu svrhu koristimo – ovisno o postavkama pružatelja usluge – servise Parra, e-računi, ePoslovanje ili FIRA kao izvršitelje obrade. Oni primaju podatke potrebne za račun (primatelj računa, usluga, iznos, porez) i dostavljaju fiskalne podatke Poreznoj upravi Republike Hrvatske. Računi i fiskalni dokumenti čuvaju se 11 godina sukladno Zakonu o računovodstvu.
8. Sinkronizacija kalendara (Google i Apple)
Pružatelji usluga mogu povezati svoj izypadel kalendar s Google kalendarom ili Apple iCloudom (CalDAV). Pri rezervaciji se podaci o terminu (vaše ime, usluga, datum i vrijeme, eventualne napomene) prenose u kalendar pružatelja; otkazivanja se tamo također ažuriraju. Google LLC odnosno Google Ireland Limited te Apple Inc. odnosno Apple Distribution International Ltd. pritom djeluju kao izvršitelji obrade za vlasnika kalendara. Pristupne podatke pružatelja za te servise pohranjujemo isključivo u šifriranom obliku. Više informacija: https://policies.google.com/privacy i https://www.apple.com/legal/privacy/.
9. Podsjetnici e-poštom i web push obavijesti
Potvrde rezervacije, obavijesti o otkazivanju i podsjetnike o terminima primate e-poštom na adresu pohranjenu u vašem računu. Dodatno možete po želji uključiti web push obavijesti u pregledniku. Za to u pregledniku dajete dopuštenje; dostava push obavijesti odvija se putem push servisa proizvođača vašeg preglednika (npr. Google, Apple, Mozilla). Push obavijesti možete u svakom trenutku isključiti u postavkama preglednika ili u korisničkom računu.
10. Kolačići i lokalna pohrana
izypadel koristi tehnički nužan kolačić sesije za prijavu te pohranjuje vaš odabir jezika u lokalnu pohranu preglednika (localStorage). Ne koristimo analitičke ni marketinške kolačiće. Pojedinosti su navedene u Politici kolačića.
11. Primatelji osobnih podataka
Osobni podaci mogu se proslijediti:
- pružatelju usluge kod kojeg rezervirate
- Stripeu kao pružatelju platnih usluga
- servisima za fiskalizaciju i izdavanje računa (Parra, e-računi, ePoslovanje, FIRA) i Poreznoj upravi
- Googleu i Appleu u okviru sinkronizacije kalendara pružatelja usluge
- pružateljima hostinga i infrastrukture (virtualni poslužitelj s MySQL bazom podataka; [MOLIMO DOPUNITI: pružatelj hostinga i lokacija poslužitelja])
- pružateljima usluga slanja e-pošte i komunikacije
- pružateljima IT usluga, održavanja i sigurnosti
- poreznim, računovodstvenim ili pravnim savjetnicima kada je to potrebno
- tijelima javne vlasti kada to zakon zahtijeva
Osobne podatke ne prodajemo.
12. Prijenos u treće zemlje
Neki pružatelji usluga (osobito Stripe, Google, Apple i push servisi proizvođača preglednika) mogu obrađivati podatke izvan Hrvatske ili izvan Europskog gospodarskog prostora. Kada je to potrebno, oslanjamo se na odgovarajuće zaštitne mjere kao što su odluke Europske komisije o primjerenosti (uključujući Okvir za privatnost podataka EU–SAD), standardne ugovorne klauzule ili druge dopuštene mehanizme prijenosa.
13. Razdoblje čuvanja
- Podaci o računu: do brisanja računa od strane vas ili nas; nakon toga se podaci brišu, osim ako postoji obveza čuvanja.
- Rezervacije, računi, fiskalni dokumenti i dokazi o plaćanju: 11 godina od kraja poslovne godine sukladno hrvatskim računovodstvenim i poreznim propisima.
- Odgovori iz upitnika: do povlačenja privole, brisanja računa ili dok ih pružatelj treba za pružanje usluge, ali najdulje [MOLIMO DOPUNITI: odrediti rok, npr. 24 mjeseca nakon posljednjeg termina].
- Komunikacija: u pravilu do 24 mjeseca, osim ako je potrebno dulje.
- Tehnički zapisi: ograničeno razdoblje potrebno za sigurnost i rad, u pravilu najviše 90 dana.
14. Sigurnost podataka
Platforma se isporučuje putem TLS enkripcije. Lozinke se pohranjuju isključivo kao hash; pristupni podaci pružatelja za kalendarske i fiskalizacijske servise pohranjuju se šifrirano. Pristup podacima ograničen je na ono što je nužno za rad i podršku.
15. Vaša prava
Prema GDPR-u imate pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka, prigovor na obradu koja se temelji na legitimnom interesu te povlačenje dane privole s učinkom za budućnost. Za ostvarivanje svojih prava obratite se na tech@zdxplr.com. Velik dio podataka možete pregledati i izmijeniti izravno u korisničkom računu.
16. Nadzorno tijelo
Imate i pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP): https://azop.hr/. Možete se obratiti i nadzornom tijelu u državi svog prebivališta.
17. Izmjene
Ovu Politiku privatnosti možemo povremeno ažurirati. Važeća verzija objavljuje se na ovoj stranici; o bitnim izmjenama registrirane korisnike obavještavamo e-poštom.