Politika privatnosti

1. Voditelj obrade i kontakt

Voditelj obrade osobnih podataka korisnika platforme je CODE & SAIL, obrt za usluge, vl. Vid Kraljić, Malinska, Mihovila Radića 3, OIB 94077839131, Mihovila Radića 3, 51511 Malinska, Hrvatska, e-mail vidk@codeandsail.com (dalje: „operator“ ili „mi“).

Za sva pitanja o zaštiti podataka i ostvarivanje prava pišite na vidk@codeandsail.com ili putem obrasca na stranici Kontaktirajte nas. Operator nije obvezan imenovati službenika za zaštitu podataka; upite obrađuje vlasnik obrta.

2. Na koga se ova politika odnosi

Obrađujemo podatke sljedećih skupina osoba:

• Korisnici salona — vlasnici i radnici salona koji koriste panel (/dashboard) i imaju pretplatu.
• Klijenti salona — osobe koje otvore račun u klijentskom portalu (/klijent) i rezerviraju termine online.
• Posjetitelji — osobe koje pregledavaju javne stranice mojsalon.hr ili javne stranice salona.
• Osobe koje nam pišu — putem kontakt obrasca ili e-pošte.

3. Uloge: platforma i salon

Za podatke korisnika salona, posjetitelja i osoba koje nam pišu operator je voditelj obrade.

Za podatke klijenata koje salon unese ili prikupi kroz online rezervaciju (ime, telefon, e-mail, termini, bilješke) voditelj obrade je salon, a operator djeluje kao izvršitelj obrade prema uputama salona. Detalji su na stranici Obrada podataka. Salon je dužan svojim klijentima dati vlastitu obavijest o privatnosti.

Za podatke računa klijenta u portalu (e-mail, lozinka, prijava putem Googlea ili Facebooka) i za mjere sigurnosti platforme operator je voditelj obrade.

4. Koje podatke obrađujemo

Prikupljamo samo podatke potrebne za rad usluge:

• Podaci računa: ime i prezime, e-mail adresa, lozinka (pohranjena isključivo kao kriptografski hash), uloga u salonu, identifikator korisnika kod Googlea ili Facebooka ako se prijavljujete tim putem.
• Podaci salona: naziv, adresa, OIB i kontakt salona, radno vrijeme, usluge, cijene, logotip, fotografije i sadržaj javne stranice.
• Podaci rezervacija: odabrane usluge, radnik, datum i vrijeme, broj osoba, kontakt klijenta, napomene, status termina, lista čekanja, bodovi vjernosti.
• Podaci pretplate: paket, status pretplate, datumi obnove i identifikatori kod Stripea. Broj kartice nikada ne dolazi do naših poslužitelja — kartične podatke obrađuje isključivo Stripe.
• Podaci komunikacije: sadržaj poruka poslanih kroz kontakt obrazac te evidencija poslanih obavijesti (e-mail, WhatsApp, SMS) s vremenom slanja i statusom isporuke.
• Tehnički podaci: IP adresa, vrsta preglednika i uređaja, vrijeme zahtjeva i zapisi grešaka, u sigurnosnim i dijagnostičkim zapisima poslužitelja.
• Analitika: agregirani podaci o posjetima (Google Analytics 4) isključivo ako date privolu u banneru za kolačiće.

5. Svrhe i pravne osnove obrade

Svaku obradu temeljimo na jednoj od pravnih osnova iz članka 6. GDPR-a:

• Pružanje usluge i izvršavanje ugovora (čl. 6. st. 1. t. b): otvaranje računa, prijava, rad panela i portala, rezervacije, obavijesti o terminima, podrška.
• Naplata i računovodstvo (čl. 6. st. 1. t. b i c): naplata pretplate preko Stripea, izdavanje i čuvanje računa prema hrvatskim poreznim i računovodstvenim propisima.
• Legitimni interes (čl. 6. st. 1. t. f): sigurnost platforme, sprječavanje zlouporabe i prijevara, ograničenje broja zahtjeva, otkrivanje i ispravak grešaka, poboljšanje usluge na temelju agregiranih podataka.
• Privola (čl. 6. st. 1. t. a): analitički kolačići i Google Analytics. Privolu možete povući u bilo kojem trenutku bez posljedica za korištenje usluge.
• Zakonska obveza (čl. 6. st. 1. t. c): odgovaranje na zahtjeve nadležnih tijela i ispunjavanje obveza čuvanja poslovne dokumentacije.

6. Koliko dugo čuvamo podatke

Podatke čuvamo samo koliko je potrebno za svrhu radi koje su prikupljeni:

• Račun i podaci salona: dok traje pretplata i još 30 dana nakon prestanka, kako bi salon mogao izvesti podatke. Nakon toga se brišu ili anonimiziraju.
• Podaci rezervacija klijenata: prema uputi salona kao voditelja obrade; brisanjem salona brišu se i njegovi podaci rezervacija.
• Račun klijenta u portalu: dok ga klijent ne obriše. Klijent može u portalu sam izvesti svoje podatke ili trajno obrisati račun; budući termini se tada otkazuju.
• Računi i podaci o naplati: 11 godina od kraja poslovne godine, u skladu sa Zakonom o računovodstvu.
• Poruke poslane kontakt obrascem: do 12 mjeseci nakon rješavanja upita.
• Sigurnosni i dijagnostički zapisi poslužitelja: do 90 dana.
• Evidencija privole za kolačiće: pohranjuje se u vašem pregledniku dok je ne obrišete.

7. Primatelji podataka i izvršitelji obrade

Podatke ne prodajemo ni ne dijelimo u marketinške svrhe trećih strana. Za rad usluge koristimo sljedeće pružatelje koji obrađuju podatke u našem imenu i temeljem ugovora o obradi:

• Supabase (baza podataka, autentikacija, pohrana datoteka) — instalacija koju sami održavamo na poslužiteljima Hetzner Online GmbH u Europskoj uniji.
• Netlify, Inc. — hosting web aplikacije i isporuka sadržaja.
• Stripe Payments Europe, Ltd. (Irska) — naplata pretplata; Stripe je samostalni voditelj obrade za kartične podatke.
• Cloudflare, Inc. — isporuka i optimizacija slika (logotipi, fotografije salona).
• EmailJS — slanje transakcijskih e-mail poruka (potvrde rezervacija, podsjetnici, poruke s kontakt obrasca).
• Meta Platforms Ireland Ltd. — prijava putem Facebooka te WhatsApp Business poruke ako salon uključi taj kanal.
• Google Ireland Ltd. — prijava putem Googlea te Google Analytics 4 isključivo uz vašu privolu.
• Infobip d.o.o. (Hrvatska) — SMS podsjetnici, isključivo preko vlastitog Infobip računa salona koji ga uključi.
• Salon čiji termin rezervirate — prima vaše kontaktne podatke i podatke o terminu kao voditelj obrade.
• Nadležna tijela — kada to zahtijeva zakon ili pravomoćna odluka.

8. Prijenos podataka izvan EU/EGP-a

Baza podataka i autentikacija nalaze se u Europskoj uniji. Neki pružatelji (Netlify, Cloudflare, Google, Meta, Stripe) mogu obrađivati dijelove podataka u Sjedinjenim Američkim Državama. Takvi prijenosi temelje se na Okviru za zaštitu privatnosti podataka EU–SAD (EU-U.S. Data Privacy Framework) i, gdje je primjenjivo, standardnim ugovornim klauzulama Europske komisije s dodatnim zaštitnim mjerama.

9. Automatizirano odlučivanje

Ne provodimo automatizirano donošenje odluka ni profiliranje koje bi na vas imalo pravne ili slično značajne učinke. Podsjetnici i ponude s liste čekanja šalju se automatski prema pravilima koja je postavio salon, bez procjene osobnih karakteristika.

10. Sigurnost

Primjenjujemo tehničke i organizacijske mjere primjerene riziku: šifriranje prometa (TLS), lozinke pohranjene kao hash, izolaciju podataka po salonu na razini baze (Row Level Security), ograničenje pristupa prema ulogama, ograničenje broja zahtjeva, sigurnosne zaglavlja i redovite sigurnosne kopije. Pristup produkcijskim podacima ima samo operator.

11. Vaša prava

Prema GDPR-u imate pravo na:

• pristup podacima koje o vama obrađujemo i kopiju tih podataka (čl. 15.);
• ispravak netočnih ili nepotpunih podataka (čl. 16.);
• brisanje („pravo na zaborav“) kada više ne postoji osnova za obradu (čl. 17.);
• ograničenje obrade (čl. 18.);
• prenosivost podataka u strojno čitljivom obliku (čl. 20.) — klijenti mogu izvesti podatke izravno u portalu;
• prigovor na obradu koja se temelji na legitimnom interesu (čl. 21.);
• povlačenje privole u bilo kojem trenutku, bez utjecaja na zakonitost obrade prije povlačenja.

12. Kako ostvariti prava i kome se požaliti

Zahtjev pošaljite na vidk@codeandsail.com. Odgovaramo bez nepotrebnog odgađanja, najkasnije u roku od mjesec dana; rok se u složenim slučajevima može produljiti za dodatna dva mjeseca uz obavijest. Radi zaštite vaših podataka možemo zatražiti potvrdu identiteta.

Ako se zahtjev odnosi na podatke koje obrađujemo kao izvršitelj za salon (npr. vaše rezervacije u konkretnom salonu), proslijedit ćemo ga salonu i pomoći u rješavanju.

Imate pravo podnijeti pritužbu nadzornom tijelu: Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop@azop.hr, www.azop.hr.

13. Djeca

Klijentski portal i panel salona nisu namijenjeni osobama mlađima od 16 godina. Ako saznamo da smo bez privole roditelja ili skrbnika prikupili podatke djeteta, obrisat ćemo ih.

14. Izmjene ove politike

Politiku ažuriramo kada promijenimo usluge ili pružatelje. Datum zadnje izmjene naveden je na dnu stranice. O bitnim izmjenama korisnike salona obavještavamo e-poštom ili obavijesti u panelu.