Ova politika objašnjava obradu osobnih podataka pri korištenju aioness.com, korisničkih i poslovnih računa te povezanih funkcija. Odvojeno opisuje podatke za koje Aioness određuje svrhu obrade i podatke koje obrađuje po uputstvima tvrtke kod koje rezervirate ili kupujete.
Kontakt za privatnost i pravna pitanja: privacy@aioness.com
1. Ko je odgovoran za podatke
Za pitanja o privatnosti i ostvarivanje prava možete pisati na privacy@aioness.com. Kontakt služi za zahtjeve u vezi s platformom. Ako se zahtjev odnosi na podatke koje tvrtka obrađuje kao kontrolor, Aioness pomaže da zahtjev dođe do odgovorne tvrtke.
Aioness je kontrolor za obrade čije svrhe i bitna sredstva sam određuje, kao što su upravljanje vlastitim nalozima, ugovaranje i naplata poslovnih paketa, korisnička podrška, sigurnost platforme i vlastite zakonske obaveze. Kontrolor se u pojedinim propisima naziva i rukovalac ili voditelj obrade.
Tvrtka kod koje rezervirate, kupujete ili se prijavljujete na događaj u pravilu je zaseban kontrolor za odnos s vama, svoju evidenciju, izvršenje usluge, reklamacije i zakonske obaveze. Aioness za tehničku obradu po njenim uputstvima djeluje kao obrađivač na osnovu ugovora o obradi podataka.
Uloge se određuju prema stvarnim činjenicama. Isti podatak može biti predmet različitih obrada s različitim odgovornim stranama. Ako bi strane zajednički određivale svrhe i sredstva, moraju urediti zajedničku odgovornost i učiniti suštinu dogovora dostupnom licima. Ova politika ne proglašava sve tvrtke podobrađivačima Aionessa.
2. Teritorijalna primjena i povezana obavijesti
Za obradu koja potpada pod GDPR primjenjuju se Uredba EU 2016/679 i relevantni nacionalni propisi. Hrvatska i Slovenija su države članice EU. BiH, Srbija, Crna Gora i druga tržišta u regiji imaju vlastite propise i nadležne organe; usklađivanje domaćeg zakona ne znači članstvo u EU niti automatsku primjenu svih EU pravila.
GDPR može obavezivati i operatora izvan EU kada su ispunjeni uvjeti njegovog teritorijalnog važenja, naročito u vezi s ponudom robe ili usluga licima u EU ili praćenjem njihovog ponašanja u EU. Primjenjive obaveze procjenjuju se prema konkretnoj obradi i tržištu.
Prije rezervacije ili kupovine pregledajte i obavijest tvrtke. Za određenu funkciju može biti potrebno dodatno jasno obavijest u trenutku prikupljanja. Politika kolačića posebno objašnjava spremanje i čitanje podataka na uređaju.
3. Kategorije podataka i izvori
- Podaci računa: ime, prezime, e-mail, telefon kada je potreban, korisnički identifikatori, podaci za autentifikaciju i evidencija verifikacije ili promjene računa.
- Podaci tvrtke i ovlaštenja: poslovni naziv, poslovni kontakt, adresa, porezni ili registracijski podaci kada su potrebni, uloga zaposlenog ili suradnika i dodijeljena prava.
- Podaci transakcije: odabrana usluga ili proizvod, termin, broj učesnika, ulaznica, dostava, poruka, napomena, status narudžbe, plaćanja i reklamacije.
- Podaci pretplate i naplate: paket, obračunski period, iznos, valuta, račun, identifikator transakcije, potvrda ili dokaz uplate i podaci potrebni za računovodstvo.
- Komunikacija i podrška: sadržaj upita, prijave problema, relevantni prilozi i informacije potrebne za odgovor. Ne dostavljajte nepotrebne medicinske, identifikacijske ili platne podatke.
- Tehnički i sigurnosni podaci: IP adresa, vrijeme zahtjeva, podaci preglednika i uređaja, sesija, greška, događaj prijave i zapisi potrebni za zaštitu i otkrivanje zloupotrebe.
- Izbori i dokazi: odabrani jezik i prikaz, postavke obavijesti, evidentirano prihvatanje uvjeta kada postoji, izbor kolačića, identifikator i vrijeme tog izbora.
Podatke dobijamo prvenstveno od vas, od tvrtke s kojom poslujete ili koja vam dodjeljuje ulogu, iz korištenja platforme i od aktiviranih integracija u obimu potrebnom za konkretnu funkciju. Podaci iz javnih poslovnih izvora mogu se koristiti samo uz određenu zakonitu svrhu i odgovarajuće obavještavanje.
Ako tvrtka unese vaše podatke bez vašeg direktnog unosa, dužna je urediti zakonitost i obavještavanje. Kada je Aioness samostalni kontrolor indirektno prikupljenih podataka, pruža informacije o izvoru i kategorijama u zakonskom roku; prema GDPR-u to je u pravilu najkasnije u roku od mjesec dana, a ranije pri prvom kontaktu ili otkrivanju, uz zakonske izuzetke.
Izbor države i valute, obračunati iznos, valuta transakcije, primijenjeni kurs ili ručna cijena i podaci o uplati koriste se za prikaz ponude, izvršenje ugovora, dokazivanje obračuna, podršku i zakonske računovodstvene obaveze. Izbor jezika određuje početnu valutu prikaza paketa na javnoj Aioness stranici, ali ne utvrđuje državljanstvo, prebivalište niti državu tvrtke korisnika.
4. Svrhe i pravni osnovi
Pravni osnov se određuje za svaku pojedinačnu svrhu. Prihvatanje uvjeta ne zamjenjuje pristanak, a pristanak se ne koristi za ono što je stvarno neophodno za izvršenje ugovora ili zakonsku obavezu. Sljedeća podjela odnosi se na obrade za koje je Aioness kontrolor; tvrtka određuje osnove svojih obrada.
Otvaranje i korištenje ličnog računa
Podaci potrebni za račun, autentifikaciju i funkcije koje zatražite obrađuju se radi izvršenja ugovora s vama ili radnji prije ugovora na vaš zahtjev, kada su ispunjeni uvjeti člana 6 stav 1 točka b GDPR-a. Dodatni podaci se ne smatraju ugovorno neophodnim samo zato što su navedeni u uvjetima.
Poslovni paket i kontakt osobe tvrtke
Za ugovor s fizičkim licem koje posluje kao poduzetnik može se primijeniti izvršenje ugovora. Podaci zaposlenih i kontakt osoba pravnog lica u pravilu se obrađuju na osnovu legitimnog interesa za upravljanje poslovnim odnosom, uz procjenu nužnosti i ravnoteže prava. Ugovor s tvrtkom nije automatski ugovor sa svakim njenim zaposlenim.
Računi i zakonske evidencije
Podaci potrebni za porezne, računovodstvene i druge konkretne zakonske obaveze obrađuju se na osnovu takve obaveze, u obimu i roku koji propis nalaže. Primjenjivi propis i rok zavise od operatora i transakcije i moraju biti utvrđeni prije početka naplate.
Podrška, sigurnost i pravni zahtjevi
Izvršenje zahtjeva podrške može biti neophodno za ugovor s korisnikom. Za zaštitu sustava, sprečavanje prevara, ograničene sigurnosne evidencije i odbranu pravnih zahtjeva može se koristiti legitimni interes, uz dokumentovanu procjenu, minimalan obim i odgovarajući rok. Posebna zakonska obaveza ima svoj pravni osnov.
Marketing i neobavezna mjerenja
Pristanak se traži kada je propisan za direktni marketing, opcione kolačiće i slične tehnologije. Eventualni zakonski izuzetak za postojeće kupce smije se koristiti samo kada su ispunjeni svi lokalni uvjeti, uz jasan i jednostavan prigovor. Odbijanje marketinga ne smije spriječiti korištenje ugovorene osnovne usluge.
Jezik i prikaz
Za preporuku jezika može se koristiti IP adresa za približno određivanje države pomoću lokalne geolokacijske baze; to nije GPS lokacija. Ovaj mehanizam ne zahtijeva slanje posjetiočeve IP adrese vanjskom servisu za geolokaciju. Korisnik može ručno promijeniti jezik. Spremanje izbora na uređaju posebno je opisano u politici kolačića.
5. Obavezni i dobrovoljni podaci
Obavezna polja moraju biti označena u konkretnom obrascu. Bez e-maila ili drugog potrebnog podatka možda nije moguće otvoriti račun, potvrditi rezervaciju ili dostaviti kupljeni proizvod. Bez zakonski potrebnih podataka može biti onemogućeno izdavanje odgovarajućeg računa ili izvršenje transakcije.
Dobrovoljne napomene, profilni detalji i marketinški izbori nisu obavezni samo zato što je polje dostupno. Unosite najmanju potrebnu količinu podataka. Kada postupate za drugu osobu, morate imati ovlaštenje i omogućiti joj potrebne informacije o obradi.
6. Posebne kategorije i djeca
Rezervacija kod određene zdravstvene ustanove, naziv tretmana ili napomena mogu otkriti zdravlje i bez medicinskog dokumenta. Takva obrada zahtijeva osnov iz općih pravila i odgovarajući uvjet za posebne kategorije, kao što su uvjeti člana 9 GDPR-a kada je primjenjiv. Obična suglasnost s uvjetima korištenja nije dovoljna.
Opća polja nisu namijenjena medicinskoj dokumentaciji, biometriji, podacima o osudama ili drugim posebno zaštićenim evidencijama. Tvrtka prije takve upotrebe mora provjeriti da je funkcija podržana i ugovorena, ograničiti pristup te provesti potrebnu procjenu uticaja i sektorske obaveze.
Samostalni računi namijenjeni su punoljetnim osobama. Kada roditelj ili staratelj rezervira za dijete, tvrtka treba tražiti samo podatke potrebne za uslugu i provjeriti ovlaštenje u potrebnom obimu. Ako se obrada zasniva na pristanku djeteta za online uslugu, primjenjuju se relevantni nacionalni dobni pragovi i pravila provjere roditeljskog ovlaštenja.
7. Ko može primiti podatke
Podaci su dostupni ovlaštenim osobama Aionessa i tvrtke u obimu njihove uloge, odabranim pružaocima neophodnih usluga i nadležnim organima kada za to postoji valjan pravni osnov. Javno objavljeni podaci tvrtke dostupni su posjetiocima i mogu ih indeksirati pretraživači; privatni podaci klijenata ne smiju se objavljivati kao javni profil.
Moguće kategorije pružalaca su infrastruktura i rezervne kopije, dostava e-maila ili poruka, obrada plaćanja, podrška, sigurnosna zaštita i integracije koje tvrtka ili korisnik aktivira. Izbor pružalaca je u toku. Ovaj opis nije tvrdnja da je bilo koji konkretan servis već ugovoren ili da je svaka integracija aktivna.
Prije aktivacije mora se odrediti da li pružalac djeluje kao obrađivač, podobrađivač ili samostalni kontrolor, koji podaci mu se dostavljaju, gdje ih obrađuje i pod kojim ugovorom. Kada tvrtka samostalno poveže svoj servis, njena obavijesti moraju pokriti taj tok.
Kada koristite funkciju mape ili pretraživanja adrese koja direktno učitava vanjski servis, njegov server može dobiti IP adresu i tehničke podatke preglednika. U postojećem kodu mape se koriste servisi OpenStreetMap i Nominatim. Za aktiviranje vanjskog sadržaja važe obavijesti u toj funkciji i uvjeti odgovarajućeg pružaoca.
Zaštita obrazaca i drugi vanjski dodaci smiju se aktivirati tek nakon procjene nužnosti, pravnog osnova i eventualnog pristanka. Poveznica na drugu stranicu vodi na uslugu za koju važe njena pravila; sama poveznica nije isto što i ugrađeni sadržaj koji se učitava pri posjeti.
8. Države obrade i međunarodni prenosi
Lokacije infrastrukture, rezervnih kopija i podrške zavisit će od konačno odabranih pružalaca. Prije prenosa moraju biti poznate i procijenjene stvarne države pohrane i pristupa. Smještaj servera u EU sam po sebi ne isključuje prenos ako podacima pristupa zasebni primalac izvan EGP-a.
Kada se primjenjuje GDPR, prenos izvan EGP-a zahtijeva odgovarajući mehanizam: primjenjivu odluku o adekvatnosti ili druge važeće zaštitne mjere, kao što su odgovarajuće standardne ugovorne klauzule, uz potrebnu procjenu i dodatne mjere. Zakonski izuzeci koriste se samo u uskim dopuštenim okolnostima.
Ne pretpostavlja se adekvatnost države zato što ima zakon sličan GDPR-u. Za svaki konkretan tok provjeravaju se važeća odluka, obim mehanizma i status primaoca. Posebno se ispituju domaća pravila kada podaci polaze iz države izvan EGP-a.
Informacije o stvarnim državama obrade i primjenjivim zaštitama, uključujući način dobijanja kopije relevantnih zaštitnih mjera uz dopuštena redigovanja, mogu se zatražiti na privacy@aioness.com. Te informacije i registar podobrađivača moraju biti dovršeni prije odgovarajuće produkcijske obrade.
9. Koliko dugo se podaci čuvaju
Podaci se ne čuvaju neograničeno samo zato što postoji tehnička mogućnost. Rok se određuje prema svrsi, zakonskoj obavezi, riziku, zastarjelosti konkretnih zahtjeva i uputstvima tvrtke kada je Aioness obrađivač. Nakon isteka podaci se brišu ili stvarno anonimizuju; uklanjanje imena samo po sebi nije anonimizacija.
- Podaci aktivnog računa: dok su potrebni za korištenje računa i završetak otvorenih radnji; poslije zatvaranja samo izdvojeni podaci za konkretan preostali zakonit razlog.
- Rezervacije, narudžbe i komunikacija tvrtke: prema dokumentovanom rasporedu koji tvrtka utvrdi za izvršenje, reklamacije i obavezne evidencije, uz ograničenja ugovora o obradi.
- Računi, plaćanja i porezna dokumentacija Aionessa: tokom obaveznog roka konkretnog propisa. Brisanje profila ne smije automatski uništiti dokumentaciju koju je obavezno čuvati.
- Podrška i prigovori: do završetka predmeta i opravdanog perioda za dokazivanje ili pravni zahtjev; nepotrebni prilozi brišu se ranije.
- Sigurnosni i pristupni zapisi: najkraći dokumentovani rok potreban za sigurnost i istragu; relevantan dio može se izdvojiti za konkretan incident ili spor.
- Marketinški pristanak: do povlačenja ili prestanka svrhe, uz ograničeno spremanje dokaza i minimalne evidencije odjave kada je to potrebno da se odjava poštuje.
- Rezervne kopije: prema ograničenom ciklusu zamjene. Do uklanjanja se ograničava pristup i sprečava redovna ponovna upotreba; pri obnovi treba ponovo primijeniti prethodne zahtjeve za brisanje.
Rok zavisi od svrhe obrade, vrste dokumenta, primjenjive zakonske obaveze i potrebe zaštite pravnih zahtjeva. Konkretan rok ili kriterij za vaš podatak možete zatražiti na privacy@aioness.com. Rokovi podataka na vašem uređaju prikazani su u politici kolačića.
10. Prava korisnika
U skladu s primjenjivim propisima i uvjetima pojedinog prava možete tražiti potvrdu obrade i pristup, kopiju podataka, ispravku netačnih podataka, dopunu, brisanje i ograničenje obrade. Brisanje nije apsolutno kada postoji obavezno spremanje, pravni zahtjev ili drugi zakonski izuzetak.
Kada su ispunjeni uvjeti prenosivosti, naročito automatizovana obrada zasnovana na pristanku ili ugovoru, možete dobiti podatke koje ste pružili u strukturisanom, uobičajenom i mašinski čitljivom obliku i tražiti direktni prenos kada je tehnički moguć. To nije isto što i neograničen pristup tuđim podacima ili cjelokupnom poslovnom softveru.
Možete uložiti prigovor obradi zasnovanoj na legitimnom interesu zbog svoje posebne situacije. Obrada se tada prekida osim ako se dokažu preovladavajući zakoniti razlozi ili potreba za pravnim zahtjevima. Na direktni marketing i s njim povezano profilisanje možete prigovoriti u svakom trenutku; takva obrada prestaje bez testa preovladavajućeg interesa.
Pristanak možete povući jednako jednostavno kao što ste ga dali. Povlačenje ne utiče na zakonitost prethodne obrade. Postavke kolačića mijenjaju se kroz odgovarajuće dugme na stranici, a za druge zahtjeve možete koristiti privacy@aioness.com.
11. Kako podnijeti zahtjev i rok odgovora
Pošaljite zahtjev na privacy@aioness.com s opisom prava koje želite ostvariti i podatkom koji omogućava pronalaženje računa ili predmeta. Ne šaljite kopiju osobne karte unaprijed. Dodatna provjera identiteta traži se samo kada je opravdana i u najmanjem potrebnom obimu, uz mogućnost razumnog alternativnog dokaza.
Za zahtjeve prema GDPR-u odgovor se daje bez nepotrebnog odlaganja, najkasnije u roku od mjesec dana od prijema. Kod složenih ili brojnih zahtjeva rok može biti produžen za još dva mjeseca, uz obavijest i razloge u prvom mjesecu. Kraći ili drugačiji obavezni lokalni rok primjenjuje se kada to zakon nalaže.
Postupanje je u pravilu besplatno. Odbijanje ili razumna naknada dopušteni su samo pod zakonskim uvjetima, kao što su očigledno neosnovani ili pretjerani zahtjevi, uz obrazloženje i informacije o pravnom lijeku. Zaštita prava drugih može zahtijevati redigovanje dijela kopije, a ne automatsko odbijanje svega.
Ako je tvrtka kontrolor podataka, zahtjev ćemo usmjeriti ili proslijediti odgovarajućoj tvrtki i pomoći u okviru naše uloge. Za podatke za koje je Aioness kontrolor postupamo direktno. Zahtjev za privatnost ne zavisi od aktivne plaćene pretplate.
12. Automatizovane odluke i profilisanje
Tehničko filtriranje rezultata, prikaz raspoloživih termina ili preporuka jezika ne znači samo po sebi odluku s pravnim ili sličnim značajnim učinkom. Ako se uvede isključivo automatizovano odlučivanje s takvim učinkom, prije primjene moraju biti ispunjeni zakonski uvjeti, objašnjena logika i posljedice te omogućene primjenjive zaštitne mjere.
Prije uvođenja takve obrade mora se provjeriti dopuštenost, pružiti konkretno obavijest o logici, značaju i očekivanim posljedicama te osigurati propisana zaštita, uključujući ljudsku intervenciju i osporavanje gdje je primjenjivo. Nova namjena, poput korištenja privatnih podataka za treniranje modela, ne smije se podrazumijevati iz prihvatanja općih uvjeta.
13. Sigurnost i povrede podataka
Zaštita mora odgovarati riziku i obuhvatiti kontrolu pristupa, razdvajanje ovlaštenja, sigurnu komunikaciju, održavanje sustava, upravljanje incidentima i provjeru oporavka. Stvarno primijenjene mjere moraju biti dokumentovane; ovom politikom se ne tvrdi da platforma ima nezavisni certifikat ili da nijedan incident nije moguć.
Ako ste primijetili moguću povredu, javite se na privacy@aioness.com bez javnog objavljivanja tuđih podataka. Kada Aioness djeluje kao kontrolor pod GDPR-om, procjenjuje povredu i prijavljuje je nadležnom organu bez nepotrebnog odlaganja, gdje je izvedivo u roku od 72 sata od saznanja, osim kada nije vjerovatno da povreda predstavlja rizik za prava i slobode.
Kada je vjerovatan visok rizik, pogođena lica obavještavaju se bez nepotrebnog odlaganja, osim u zakonom predviđenim izuzecima. Kada Aioness djeluje kao obrađivač, bez nepotrebnog odlaganja obavještava tvrtku kao kontrolora i pruža pomoć; ne čeka protek roka kontrolora.
15. Promjene politike
Politika mora biti ažurna u odnosu na stvarnu obradu. O bitnim promjenama svrhe, kategorija podataka, primalaca ili prava obavještava se jasno prije nove obrade, a novi pristanak traži se kada je potreban. Sama izmjena teksta ne stvara pravni osnov.
Verzija i datum primjene prikazuju se na dokumentu, a prethodne primjenjive verzije treba spremiti radi provjere. Za pojašnjenje ove politike i informacije koje su u pripremi pišite na privacy@aioness.com.