Ova politika objašnjava obradu ličnih podataka pri korišćenju aioness.com, korisničkih i poslovnih naloga te povezanih funkcija. Odvojeno opisuje podatke za koje Aioness određuje svrhu obrade i podatke koje obrađuje po uputstvima firme kod koje rezervišete ili kupujete.
Kontakt za privatnost i pravna pitanja: privacy@aioness.com
1. Ko je odgovoran za podatke
Za pitanja o privatnosti i ostvarivanje prava možete pisati na privacy@aioness.com. Kontakt služi za zahteve u vezi s platformom. Ako se zahtev odnosi na podatke koje firma obrađuje kao kontrolor, Aioness pomaže da zahtev dođe do odgovorne firme.
Aioness je kontrolor za obrade čije svrhe i bitna sredstva sam određuje, kao što su upravljanje vlastitim nalozima, ugovaranje i naplata poslovnih paketa, korisnička podrška, sigurnost platforme i vlastite zakonske obaveze. Kontrolor se u pojedinim propisima naziva i rukovalac ili voditelj obrade.
Firma kod koje rezervišete, kupujete ili se prijavljujete na događaj u pravilu je zaseban kontrolor za odnos s vama, svoju evidenciju, izvršenje usluge, reklamacije i zakonske obaveze. Aioness za tehničku obradu po njenim uputstvima deluje kao obrađivač na osnovu ugovora o obradi podataka.
Uloge se određuju prema stvarnim činjenicama. Isti podatak može biti predmet različitih obrada s različitim odgovornim stranama. Ako bi strane zajednički određivale svrhe i sredstva, moraju urediti zajedničku odgovornost i učiniti suštinu dogovora dostupnom licima. Ova politika ne proglašava sve firme podobrađivačima Aionessa.
2. Teritorijalna primena i povezana obaveštenja
Za obradu koja potpada pod GDPR primenjuju se Uredba EU 2016/679 i relevantni nacionalni propisi. Hrvatska i Slovenija su države članice EU. Bih, Srbija, Crna Gora i druga tržišta u regiji imaju vlastite propise i nadležne organe; usklađivanje domaćeg zakona ne znači članstvo u EU niti automatsku primenu svih EU pravila.
GDPR može obavezivati i operatora izvan EU kada su ispunjeni uslovi njegovog teritorijalnog važenja, naročito u vezi s ponudom robe ili usluga licima u EU ili praćenjem njihovog ponašanja u EU. Primenjive obaveze procenjuju se prema konkretnoj obradi i tržištu.
Pre rezervacije ili kupovine pregledajte i obaveštenje firme. Za određenu funkciju može biti potrebno dodatno jasno obaveštenje u trenutku prikupljanja. Politika kolačića posebno objašnjava čuvanje i čitanje podataka na uređaju.
3. Kategorije podataka i izvori
- Podaci naloga: ime, prezime, e-mail, telefon kada je potreban, korisnički identifikatori, podaci za autentifikaciju i evidencija verifikacije ili promene naloga.
- Podaci firme i ovlaštenja: poslovni naziv, poslovni kontakt, adresa, porezni ili registracijski podaci kada su potrebni, uloga zaposlenog ili saradnika i dodeljena prava.
- Podaci transakcije: odabrana usluga ili proizvod, termin, broj učesnika, ulaznica, dostava, poruka, napomena, status narudžbe, plaćanja i reklamacije.
- Podaci pretplate i naplate: paket, obračunski period, iznos, valuta, račun, identifikator transakcije, potvrda ili dokaz uplate i podaci potrebni za računovodstvo.
- Komunikacija i podrška: sadržaj upita, prijave problema, relevantni prilozi i informacije potrebne za odgovor. Ne dostavljajte nepotrebne medicinske, identifikacijske ili platne podatke.
- Tehnički i sigurnosni podaci: IP adresa, vreme zahteva, podaci preglednika i uređaja, sesija, greška, događaj prijave i zapisi potrebni za zaštitu i otkrivanje zloupotrebe.
- Izbori i dokazi: odabrani jezik i prikaz, postavke obavesti, evidentirano prihvatanje uslova kada postoji, izbor kolačića, identifikator i vreme tog izbora.
Podatke dobijamo prvenstveno od vas, od firme s kojom poslujete ili koja vam dodeljuje ulogu, iz korišćenja platforme i od aktiviranih integracija u obimu potrebnom za konkretnu funkciju. Podaci iz javnih poslovnih izvora mogu se koristiti samo uz određenu zakonitu svrhu i odgovarajuće obaveštavanje.
Ako firma unese vaše podatke bez vašeg direktnog unosa, dužna je urediti zakonitost i obaveštavanje. Kada je Aioness samostalni kontrolor indirektno prikupljenih podataka, pruža informacije o izvoru i kategorijama u zakonskom roku; prema GDPR-u to je u pravilu najkasnije u roku od mesec dana, a ranije pri prvom kontaktu ili otkrivanju, uz zakonske izuzetke.
Izbor države i valute, obračunati iznos, valuta transakcije, primenjeni kurs ili ručna cena i podaci o uplati koriste se za prikaz ponude, izvršenje ugovora, dokazivanje obračuna, podršku i zakonske računovodstvene obaveze. Izbor jezika određuje početnu valutu prikaza paketa na javnoj Aioness stranici, ali ne utvrđuje državljanstvo, prebivalište niti državu firme korisnika.
4. Svrhe i pravni osnovi
Pravni osnov se određuje za svaku pojedinačnu svrhu. Prihvatanje uslova ne zamenjuje pristanak, a pristanak se ne koristi za ono što je stvarno neophodno za izvršenje ugovora ili zakonsku obavezu. Sledeća podela odnosi se na obrade za koje je Aioness kontrolor; firma određuje osnove svojih obrada.
Otvaranje i korišćenje ličnog naloga
Podaci potrebni za nalog, autentifikaciju i funkcije koje zatražite obrađuju se radi izvršenja ugovora s vama ili radnji pre ugovora na vaš zahtev, kada su ispunjeni uslovi člana 6 stav 1 tačka b GDPR-a. Dodatni podaci se ne smatraju ugovorno neophodnim samo zato što su navedeni u uslovima.
Poslovni paket i kontakt osobe firme
Za ugovor s fizičkim licem koje posluje kao preduzetnik može se primeniti izvršenje ugovora. Podaci zaposlenih i kontakt osoba pravnog lica u pravilu se obrađuju na osnovu legitimnog interesa za upravljanje poslovnim odnosom, uz procenu nužnosti i ravnoteže prava. Ugovor s firmom nije automatski ugovor sa svakim njenim zaposlenim.
Računi i zakonske evidencije
Podaci potrebni za porezne, računovodstvene i druge konkretne zakonske obaveze obrađuju se na osnovu takve obaveze, u obimu i roku koji propis nalaže. Primenjivi propis i rok zavise od operatora i transakcije i moraju biti utvrđeni pre početka naplate.
Podrška, sigurnost i pravni zahtevi
Izvršenje zahteva podrške može biti neophodno za ugovor s korisnikom. Za zaštitu sistema, sprečavanje prevara, ograničene sigurnosne evidencije i odbranu pravnih zahteva može se koristiti legitimni interes, uz dokumentovanu procenu, minimalan obim i odgovarajući rok. Posebna zakonska obaveza ima svoj pravni osnov.
Marketing i neobavezna merenja
Pristanak se traži kada je propisan za direktni marketing, opcione kolačiće i slične tehnologije. Eventualni zakonski izuzetak za postojeće kupce sme se koristiti samo kada su ispunjeni svi lokalni uslovi, uz jasan i jednostavan prigovor. Odbijanje marketinga ne sme sprečiti korišćenje ugovorene osnovne usluge.
Jezik i prikaz
Za preporuku jezika može se koristiti IP adresa za približno određivanje države pomoću lokalne geolokacijske baze; to nije GPS lokacija. Ovaj mehanizam ne zahteva slanje posetiočeve IP adrese vanjskom servisu za geolokaciju. Korisnik može ručno promeniti jezik. Čuvanje izbora na uređaju posebno je opisano u politici kolačića.
5. Obavezni i dobrovoljni podaci
Obavezna polja moraju biti označena u konkretnom obrascu. Bez e-maila ili drugog potrebnog podatka možda nije moguće otvoriti nalog, potvrditi rezervaciju ili dostaviti kupljeni proizvod. Bez zakonski potrebnih podataka može biti onemogućeno izdavanje odgovarajućeg računa ili izvršenje transakcije.
Dobrovoljne napomene, profilni detalji i marketinški izbori nisu obavezni samo zato što je polje dostupno. Unosite najmanju potrebnu količinu podataka. Kada postupate za drugu osobu, morate imati ovlaštenje i omogućiti joj potrebne informacije o obradi.
6. Posebne kategorije i deca
Rezervacija kod određene zdravstvene ustanove, naziv tretmana ili napomena mogu otkriti zdravlje i bez medicinskog dokumenta. Takva obrada zahteva osnov iz opštih pravila i odgovarajući uslov za posebne kategorije, kao što su uslovi člana 9 GDPR-a kada je primenjiv. Obična saglasnost s uslovima korišćenja nije dovoljna.
Opšta polja nisu namenjena medicinskoj dokumentaciji, biometriji, podacima o osudama ili drugim posebno zaštićenim evidencijama. Firma pre takve upotrebe mora proveriti da je funkcija podržana i ugovorena, ograničiti pristup te provesti potrebnu procenu uticaja i sektorske obaveze.
Samostalni nalozi namenjeni su punoljetnim osobama. Kada roditelj ili staratelj rezerviše za dijete, firma treba tražiti samo podatke potrebne za uslugu i proveriti ovlaštenje u potrebnom obimu. Ako se obrada zasniva na pristanku deteta za online uslugu, primenjuju se relevantni nacionalni dobni pragovi i pravila provere roditeljskog ovlaštenja.
7. Ko može primiti podatke
Podaci su dostupni ovlaštenim osobama Aionessa i firme u obimu njihove uloge, odabranim pružaocima neophodnih usluga i nadležnim organima kada za to postoji valjan pravni osnov. Javno objavljeni podaci firme dostupni su posetiocima i mogu ih indeksirati pretraživači; privatni podaci klijenata ne smiju se objavljivati kao javni profil.
Moguće kategorije pružalaca su infrastruktura i rezervne kopije, dostava e-maila ili poruka, obrada plaćanja, podrška, sigurnosna zaštita i integracije koje firma ili korisnik aktivira. Izbor pružalaca je u toku. Ovaj opis nije tvrdnja da je bilo koji konkretan servis već ugovoren ili da je svaka integracija aktivna.
Pre aktivacije mora se odrediti da li pružalac deluje kao obrađivač, podobrađivač ili samostalni kontrolor, koji podaci mu se dostavljaju, gdje ih obrađuje i pod kojim ugovorom. Kada firma samostalno poveže svoj servis, njena obaveštenja moraju pokriti taj tok.
Kada koristite funkciju mape ili pretrage adrese koja direktno učitava vanjski servis, njegov server može dobiti IP adresu i tehničke podatke preglednika. U postojećem kodu mape se koriste servisi Openstreetmap i Nominatim. Za aktiviranje vanjskog sadržaja važe obaveštenja u toj funkciji i uslovi odgovarajućeg pružaoca.
Zaštita obrazaca i drugi vanjski dodaci smiju se aktivirati tek nakon procene nužnosti, pravnog osnova i eventualnog pristanka. Link na drugu stranicu vodi na uslugu za koju važe njena pravila; sama poveznica nije isto što i ugrađeni sadržaj koji se učitava pri poseti.
8. Države obrade i međunarodni prenosi
Lokacije infrastrukture, rezervnih kopija i podrške zavisit će od konačno odabranih pružalaca. Pre prenosa moraju biti poznate i procenjene stvarne države pohrane i pristupa. Smeštaj servera u EU sam po sebi ne isključuje prenos ako podacima pristupa zasebni primalac izvan EGP-a.
Kada se primenjuje GDPR, prenos izvan EGP-a zahteva odgovarajući mehanizam: primenjivu odluku o adekvatnosti ili druge važeće zaštitne mere, kao što su odgovarajuće standardne ugovorne klauzule, uz potrebnu procenu i dodatne mere. Zakonski izuzeci koriste se samo u uskim dopuštenim okolnostima.
Ne pretpostavlja se adekvatnost države zato što ima zakon sličan GDPR-u. Za svaki konkretan tok proveravaju se važeća odluka, obim mehanizma i status primaoca. Posebno se ispituju domaća pravila kada podaci polaze iz države izvan EGP-a.
Informacije o stvarnim državama obrade i primenjivim zaštitama, uključujući način dobijanja kopije relevantnih zaštitnih mera uz dopuštena redigovanja, mogu se zatražiti na privacy@aioness.com. Te informacije i registar podobrađivača moraju biti dovršeni pre odgovarajuće produkcijske obrade.
9. Koliko dugo se podaci čuvaju
Podaci se ne čuvaju neograničeno samo zato što postoji tehnička mogućnost. Rok se određuje prema svrsi, zakonskoj obavezi, riziku, zastarjelosti konkretnih zahteva i uputstvima firme kada je Aioness obrađivač. Nakon isteka podaci se brišu ili stvarno anonimizuju; uklanjanje imena samo po sebi nije anonimizacija.
- Podaci aktivnog naloga: dok su potrebni za korišćenje naloga i završetak otvorenih radnji; posle zatvaranja samo izdvojeni podaci za konkretan preostali zakonit razlog.
- Rezervacije, narudžbe i komunikacija firme: prema dokumentovanom rasporedu koji firma utvrdi za izvršenje, reklamacije i obavezne evidencije, uz ograničenja ugovora o obradi.
- Računi, plaćanja i porezna dokumentacija Aionessa: tokom obaveznog roka konkretnog propisa. Brisanje profila ne sme automatski uništiti dokumentaciju koju je obavezno čuvati.
- Podrška i prigovori: do završetka predmeta i opravdanog perioda za dokazivanje ili pravni zahtev; nepotrebni prilozi brišu se ranije.
- Sigurnosni i pristupni zapisi: najkraći dokumentovani rok potreban za sigurnost i istragu; relevantan deo može se izdvojiti za konkretan incident ili spor.
- Marketinški pristanak: do povlačenja ili prestanka svrhe, uz ograničeno čuvanje dokaza i minimalne evidencije odjave kada je to potrebno da se odjava poštuje.
- Rezervne kopije: prema ograničenom ciklusu zamene. Do uklanjanja se ograničava pristup i sprečava redovna ponovna upotreba; pri obnovi treba ponovo primeniti prethodne zahteve za brisanje.
Rok zavisi od svrhe obrade, vrste dokumenta, primenjive zakonske obaveze i potrebe zaštite pravnih zahteva. Konkretan rok ili kriterij za vaš podatak možete zatražiti na privacy@aioness.com. Rokovi podataka na vašem uređaju prikazani su u politici kolačića.
10. Prava korisnika
U skladu s primenjivim propisima i uslovima pojedinog prava možete tražiti potvrdu obrade i pristup, kopiju podataka, ispravku netačnih podataka, dopunu, brisanje i ograničenje obrade. Brisanje nije apsolutno kada postoji obavezno čuvanje, pravni zahtev ili drugi zakonski izuzetak.
Kada su ispunjeni uslovi prenosivosti, naročito automatizovana obrada zasnovana na pristanku ili ugovoru, možete dobiti podatke koje ste pružili u strukturisanom, uobičajenom i mašinski čitljivom obliku i tražiti direktni prenos kada je tehnički moguć. To nije isto što i neograničen pristup tuđim podacima ili cjelokupnom poslovnom softveru.
Možete uložiti prigovor obradi zasnovanoj na legitimnom interesu zbog svoje posebne situacije. Obrada se tada prekida osim ako se dokažu preovladavajući zakoniti razlozi ili potreba za pravnim zahtevima. Na direktni marketing i s njim povezano profilisanje možete prigovoriti u svakom trenutku; takva obrada prestaje bez testa preovladavajućeg interesa.
Pristanak možete povući jednako jednostavno kao što ste ga dali. Povlačenje ne utiče na zakonitost prethodne obrade. Postavke kolačića menjaju se kroz odgovarajuće dugme na stranici, a za druge zahteve možete koristiti privacy@aioness.com.
11. Kako podnijeti zahtev i rok odgovora
Pošaljite zahtev na privacy@aioness.com s opisom prava koje želite ostvariti i podatkom koji omogućava pronalaženje naloga ili predmeta. Ne šaljite kopiju lične karte unapred. Dodatna provera identiteta traži se samo kada je opravdana i u najmanjem potrebnom obimu, uz mogućnost razumnog alternativnog dokaza.
Za zahteve prema GDPR-u odgovor se daje bez nepotrebnog odlaganja, najkasnije u roku od mesec dana od prijema. Kod složenih ili brojnih zahteva rok može biti produžen za još dva meseca, uz obavest i razloge u prvom mesecu. Kraći ili drugačiji obavezni lokalni rok primenjuje se kada to zakon nalaže.
Postupanje je u pravilu besplatno. Odbijanje ili razumna naknada dopušteni su samo pod zakonskim uslovima, kao što su očigledno neosnovani ili pretjerani zahtevi, uz obrazloženje i informacije o pravnom leku. Zaštita prava drugih može zahtevati redigovanje dela kopije, a ne automatsko odbijanje svega.
Ako je firma kontrolor podataka, zahtev ćemo usmeriti ili proslediti odgovarajućoj firmi i pomoći u okviru naše uloge. Za podatke za koje je Aioness kontrolor postupamo direktno. Zahtev za privatnost ne zavisi od aktivne plaćene pretplate.
12. Automatizovane odluke i profilisanje
Tehničko filtriranje rezultata, prikaz raspoloživih termina ili preporuka jezika ne znači samo po sebi odluku s pravnim ili sličnim značajnim učinkom. Ako se uvede isključivo automatizovano odlučivanje s takvim učinkom, pre primene moraju biti ispunjeni zakonski uslovi, objašnjena logika i posledice te omogućene primenjive zaštitne mere.
Pre uvođenja takve obrade mora se proveriti dopuštenost, pružiti konkretno obaveštenje o logici, značaju i očekivanim posledicama te osigurati propisana zaštita, uključujući ljudsku intervenciju i osporavanje gdje je primenjivo. Nova namena, poput korišćenja privatnih podataka za treniranje modela, ne sme se podrazumevati iz prihvatanja opštih uslova.
13. Sigurnost i povrede podataka
Zaštita mora odgovarati riziku i obuhvatiti kontrolu pristupa, razdvajanje ovlaštenja, sigurnu komunikaciju, održavanje sistema, upravljanje incidentima i proveru oporavka. Stvarno primenjene mere moraju biti dokumentovane; ovom politikom se ne tvrdi da platforma ima nezavisni certifikat ili da nijedan incident nije moguć.
Ako ste primetili moguću povredu, javite se na privacy@aioness.com bez javnog objavljivanja tuđih podataka. Kada Aioness deluje kao kontrolor pod GDPR-om, procenjuje povredu i prijavljuje je nadležnom organu bez nepotrebnog odlaganja, gdje je izvedivo u roku od 72 sata od saznanja, osim kada nije verovatno da povreda predstavlja rizik za prava i slobode.
Kada je verovatan visok rizik, pogođena lica obaveštavaju se bez nepotrebnog odlaganja, osim u zakonom predviđenim izuzecima. Kada Aioness deluje kao obrađivač, bez nepotrebnog odlaganja obaveštava firmu kao kontrolora i pruža pomoć; ne čeka protek roka kontrolora.
15. Promene politike
Politika mora biti ažurna u odnosu na stvarnu obradu. O bitnim promenama svrhe, kategorija podataka, primalaca ili prava obaveštava se jasno pre nove obrade, a novi pristanak traži se kada je potreban. Sama izmena teksta ne stvara pravni osnov.
Verzija i datum primene prikazuju se na dokumentu, a prethodne primenjive verzije treba sačuvati radi provere. Za pojašnjenje ove politike i informacije koje su u pripremi pišite na privacy@aioness.com.