Politika privatnosti

1. Voditelj obrade

Za podatke o vozačima i korisničkim računima klijenata, tvrtka koja koristi platformu (klijent) je voditelj obrade, a Aretis d.o.o. djeluje kao izvršitelj obrade na temelju ugovora o obradi podataka.

2. Koje podatke obrađujemo i zašto

2.1. Prijavitelji (javna forma i telefonske prijave)

Prijavu vožnje možete podnijeti anonimno. Obvezni su samo kod naljepnice ili registarska oznaka vozila i vrsta prijave (pohvala ili kritika), a za kritiku i opis događaja od najmanje 20 znakova. Dodatno možete unijeti:

• lokaciju događaja (adresu ili GPS koordinate koje sami podijelite),
• fotografije i videozapise događaja,
• svoje ime, email ili telefon te željeni način i vrijeme kontakta.

Svrha: prosljeđivanje prijave vlasniku vozila radi kontrole ponašanja vozača i prometne sigurnosti. Pravna osnova: legitimni interes vlasnika vozila i javni interes prometne sigurnosti (čl. 6. st. 1. t. f GDPR-a); za kontakt podatke vaša privola (čl. 6. st. 1. t. a), koju možete povući u svakom trenutku. Radi zaštite od zlouporabe ograničavamo broj prijava s iste IP adrese (točka 6).

Vaši kontakt podaci vidljivi su korisnicima klijenta koji obrađuju prijave. Ako označite „Ne želim da me tvrtka kontaktira”, kontakt podaci se ne spremaju. Klijent ih smije koristiti isključivo za kontakt u vezi prijave.

2.2. Korisnici portala (administratori, operateri, terenski djelatnici)

• ime i prezime, poslovni email, uloga, klijent kojem pripadate,
• lozinka (pohranjena isključivo kao hash), tajna za dvofaktorsku prijavu (TOTP), rezervni kodovi za dvofaktorsku prijavu (pohranjeni isključivo kao hash), javni ključevi sigurnosnih ključeva (WebAuthn / FIDO2),
• zapisi o prijavama i sigurnosnim događajima (vrijeme, IP adresa, uspjeh ili neuspjeh, resetiranje dvofaktorske prijave).

Svrha: pružanje usluge, autentikacija i sigurnost računa. Pravna osnova:izvršenje ugovora s klijentom (čl. 6. st. 1. t. b) i legitimni interes zaštite sustava (čl. 6. st. 1. t. f).

Radi zaštite računa od neovlaštenog pristupa bilježimo neuspjele pokušaje prijave: upisanu e-mail adresu, IP adresu, podatke o pregledniku i vrijeme pokušaja. Ti se podaci čuvaju 90 dana, a obrađujemo ih na temelju legitimnog interesa zaštite sustava (čl. 6. st. 1. t. (f) GDPR-a).

2.3. Vozači klijenata

Klijent u platformu unosi ime i prezime vozača, ID zaposlenika, telefon i e-mail te ga dodjeljuje vozilu. Prijave koje se odnose na vozilo povezuju se s vozačem koji je u tom trenutku dodijeljen. Klijent je dužan vozače obavijestiti o obradi u skladu s radnim i propisima o zaštiti podataka.

2.4. Zahtjev za demo, povratni poziv i poslovni kontakt

Ako preko web stranice zatražite demo, obrađujemo ime, tvrtku, email, telefon (ako ga unesete), veličinu flote i poruku, isključivo radi odgovora na upit. Ako zatražite povratni poziv („Nazovite me”), obrađujemo ime, tvrtku, broj mobitela, raspon veličine flote, željeno vrijeme poziva i napomenu (ako je unesete), isključivo radi tog poziva i ponude; broj mobitela spremamo u međunarodnom obliku, a zahtjev s istog broja u roku od sedam dana ne bilježimo ponovno. Pravna osnova: radnje koje prethode sklapanju ugovora (čl. 6. st. 1. t. b).

2.5. Prijave za vozila koja nisu u sustavu

Ako registarska oznaka ili kod naljepnice nije ni u jednom klijentu, prijavu spremamo bez klijenta: registarska oznaka ili kod naljepnice, vrsta prijave, kategorija, opis, lokacija (ako je unesete), fotografije (ako ih priložite), kontakt (ako ga unesete i ne označite da ne želite biti kontaktirani) te podaci o vozilu koje neobavezno upišete — marka, tip, boja i naziv tvrtke s vozila. Za ove prijave voditelj obrade je Aretis d.o.o.

Svrha: pronalazak tvrtke kojoj vozilo pripada i ponuda uključivanja u platformu; prijavu pregledava vlasnik platforme, a klijent je vidi tek kad mu je proslijedimo. Pravna osnova:legitimni interes (čl. 6. st. 1. t. f GDPR-a). Imate pravo prigovora na ovu obradu (čl. 21. GDPR-a); javite se na kontakt za zaštitu podataka naveden u točki 1 i prijavu ćemo obrisati.

Ako tvrtku kojoj vozilo pripada pronađemo u sustavu, prijavu joj prosljeđujemo; od tada vrijedi točka 2.1, a kontakt (ako ste ga ostavili) čuva se 12 mjeseci od dana prijave.

2.6. Narudžbe naljepnica

Uz narudžbu naljepnica upisuju se adresa isporuke, ime osobe za kontakt, njezin telefon i neobavezna napomena. Za ove podatke voditelj obrade je Aretis d.o.o. Svrha: isporuka naljepnica i dogovor oko isporuke. Pravna osnova: legitimni interes (čl. 6. st. 1. t. f GDPR-a). Podatke vide korisnici klijenta i Aretis d.o.o.

2.7. Posjetitelji javnih stranica (Google Analytics i Google Ads)

Na javnim stranicama (naslovnica, stranice o proizvodu, pravne stranice) koristimo Google Analytics i Google Ads samo ako na traci o kolačićima odaberete „Prihvaćam”. Tada se obrađuju podaci o posjetu: posjećene stranice, izvor posjeta, vrsta uređaja i preglednika, približna lokacija (država, grad) i nasumični identifikator iz kolačića_ga. Google Analytics ne sprema IP adresu. Svrha: broj posjeta i poboljšanje sadržaja stranice. Ako ste na stranicu došli klikom na naš oglas, Google Ads pomoću kolačića _gcl_aubilježi je li zatim poslan upit (bez imena i kontakta iz upita), da znamo koliko upita donose oglasi. Uz istu privolu Google Ads posjet bilježi i u popisu posjetitelja, pa Vam nakon posjeta naše oglase može prikazivati na Googleu i drugim stranicama (remarketing); u popisu ostajete najviše 180 dana od zadnjeg posjeta. Ime i kontakt iz upita ne šaljemo Googleu. Pravna osnova: privola (čl. 6. st. 1. t. a GDPR-a), koju možete povući poveznicom „Postavke kolačića” u podnožju stranice. Forma za prijavu vožnje i portali ne koriste Google Analytics ni Google Ads.

3. Fotografije i lokacija

Fotografije uz prijavu i fotografije naljepnica čuvaju se u privatnom spremištu kojem se pristupa isključivo putem vremenski ograničenih potpisanih poveznica. Ne provodimo prepoznavanje lica ni automatsko čitanje registarskih oznaka. Molimo prijavitelje da ne fotografiraju osobe ako to nije nužno za opis događaja.

4. Tko ima pristup podacima

• Klijent (vlasnik vozila): vidi prijave za svoja vozila i svoje korisnike. Podaci svakog klijenta izolirani su u aplikaciji i u bazi, pa korisnik klijenta ne vidi podatke drugih klijenata.
• Operateri centrale Aretis d.o.o.: unose telefonske prijave i vide ih u opsegu potrebnom za unos.
• Izvršitelji obrade koje koristimo za rad platforme (točka 5).

Podatke ne prodajemo i ne dijelimo s oglašivačima.

5. Izvršitelji obrade i prijenos podataka

Ako se podaci prenose izvan Europskog gospodarskog prostora, prijenos se temelji na standardnim ugovornim klauzulama Europske komisije ili odluci o primjerenosti.

6. Koliko dugo čuvamo podatke

• Prijave (sadržaj, lokacija, fotografije): za vrijeme trajanja ugovora s klijentom, kao dio nepromjenjivog zapisa po vozilu. Nakon prestanka ugovora podatke brišemo na zahtjev klijenta, najkasnije 30 dana od zahtjeva.
• Prijave za vozila koja nisu u sustavu (uključujući podatke o vozilu, fotografije i kontakt): 90 dana od prijave, zatim se automatski brišu — osim prijave proslijeđene tvrtki: tada se čuva kao prijava (točka 2.1), a zapis o prosljeđivanju bez osobnih podataka dok ta prijava postoji.
• Narudžbe naljepnica (adresa isporuke, osoba i telefon za kontakt): dok traje ugovor, a nakon prestanka ugovora brišu se s ostalim podacima klijenta. Ostaju samo broj narudžbe, datum, stanje i iznos.
• Izvoz podataka za klijenta na kraju ugovora: datoteka se čuva najviše 30 dana od izrade, dulje samo dok je otvoren zahtjev za brisanje.
• Zapisi o izvozima (tko je, kada i koje prijave izvezao): 12 mjeseci, zatim se automatski brišu.
• Logotip klijenta: dok traje ugovor; briše se s ostalim podacima klijenta.
• Kontakt podaci prijavitelja (ime, e-mail, telefon): 12 mjeseci od prijave, zatim se automatski brišu. Ranije ih brišemo ako povučete privolu (točka 7).
• Korisnički računi: dok traje ugovor; sigurnosni zapisi o prijavama 12 mjeseci, zatim se brišu; sigurnosni zapisi o promjenama na računu (npr. promjena lozinke, uključivanje 2FA, sigurnosni ključevi) čuvaju se 12 mjeseci, nakon toga se IP adresa i podaci o pregledniku brišu, a sam zapis ostaje.
• Neuspjeli pokušaji prijave (upisana e-mail adresa, IP adresa, podaci o pregledniku): 90 dana, zatim se automatski brišu.
• Zahtjevi za demo: najviše 12 mjeseci od zadnjeg kontakta.
• Zahtjevi za povratni poziv („Nazovite me”): 12 mjeseci nakon obrade zahtjeva, a najviše 12 mjeseci od zaprimanja ako zahtjev nije obrađen; zatim se automatski brišu.
• Podaci Google Analyticsa: 14 mjeseci od posjeta, zatim ih Google automatski briše; kolačić _ga traje 13 mjeseci ili do povlačenja privole.
• Podaci Google Adsa: kolačić _gcl_au traje 90 dana ili do povlačenja privole; članstvo u popisu posjetitelja za remarketing najviše 180 dana od zadnjeg posjeta.
• Sigurnosne kopije: šifrirane kopije baze i fotografija čuvamo najviše 6 mjeseci, isključivo radi oporavka sustava u slučaju kvara ili gubitka podataka; podaci obrisani iz sustava nestaju iz kopija istekom tog roka. Kopije se ne koriste za obradu i pohranjene su u Europskoj uniji.
• IP adrese: za ograničenje broja zahtjeva na javnim obrascima (prijava vožnje, prilozi, „Nazovite me”, zahtjev za demo, ulaz na stranicu) ne spremamo samu adresu, nego vrijednost koja se iz nje izračuna jednosmjernom funkcijom s tajnim ključem i iz koje se adresa ne može vratiti; ta se vrijednost briše najkasnije nakon 24 sata. Za ostala ograničenja adresa se drži samo u radnoj memoriji poslužitelja, najviše sat vremena, i ne sprema se; uz neuspjele pokušaje prijave čuvaju se 90 dana; uz sigurnosne zapise o prijavama i o promjenama na računu 12 mjeseci.

7. Vaša prava

Prema GDPR-u imate pravo na:

• pristup svojim podacima i kopiju,
• ispravak netočnih podataka,
• brisanje („pravo na zaborav“) kad više ne postoji osnova za obradu,
• ograničenje obrade i prigovor na obradu koja se temelji na legitimnom interesu,
• prenosivost podataka koje ste nam dali,
• povlačenje privole u svakom trenutku, bez utjecaja na zakonitost dotadašnje obrade.

Zahtjev pošaljite na info@kakovozim.hr. Odgovaramo u roku od 30 dana. Ako se zahtjev odnosi na podatke kojima je voditelj obrade klijent (npr. podaci o vozaču), proslijedit ćemo ga klijentu i pomoći u rješavanju.

Privolu za kontakt povlačite e-mailom na info@kakovozim.hr: navedite registraciju ili kod vozila i približno vrijeme prijave. Vaše ime, e-mail i telefon brišemo iz prijave najkasnije 30 dana od zahtjeva.

Imate pravo podnijeti pritužbu nadzornom tijelu: Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr.

8. Sigurnost

Podaci se prenose isključivo šifrirano (HTTPS). Pristup portalu zaštićen je lozinkom uz mogućnost dvofaktorske prijave (TOTP) i sigurnosnih ključeva (FIDO2). Podaci klijenata međusobno su izolirani u aplikaciji i u bazi. Fotografije su u privatnom spremištu. Javna forma i pristupne točke zaštićeni su ograničenjem broja zahtjeva. Ključne promjene na vozilu i prijavi bilježe se u zapis koji se ne može naknadno mijenjati.

9. Djeca

Platforma nije namijenjena osobama mlađima od 16 godina i svjesno ne prikupljamo njihove podatke.

10. Izmjene politike

Politiku možemo ažurirati. Datum zadnje izmjene naveden je na vrhu stranice, a o bitnim promjenama klijente obavještavamo emailom.