Ta dokument opisuje, kako Faga.bio (INDI vl. Monika Kunstek) zbira, uporablja, hrani in varuje vaše osebne podatke v skladu s Splošno uredbo EU o varstvu podatkov (GDPR — Uredba (EU) 2016/679) in hrvaškim Zakonom o izvajanju Splošne uredbe o varstvu podatkov (NN 42/18).
1. Upravljavec podatkov
INDI vl. Monika Kunstek Drašković 3 A-D, 42220 Novi Marof, Hrvaška — OIB: 66987567542 — E-pošta: info@indi-24.de · Telefon: +385 99 381 8370
Za vsa vprašanja o varstvu podatkov nas prosimo kontaktirajte na zgornji e-naslov. Nismo zavezani imenovati pooblaščene osebe za varstvo podatkov (DPO), saj naša obdelava ne izpolnjuje meril iz čl. 37 GDPR.
2. Katere osebne podatke zbiramo
2.1. Podatki, ki nam jih aktivno posredujete
- Podatki o naročilu: ime in priimek, naslov za dostavo in izstavitev računa, e-pošta, telefonska številka, zgodovina naročil.
- E-novice: e-pošta (le ob prijavi).
- Kontaktni obrazec: ime, e-pošta, vsebina sporočila.
- Komunikacija: vsebina e-poštne ali telefonske komunikacije z nami.
2.2. Podatki, samodejno zbrani ob obisku
- Dnevniki strežnika: naslov IP (anonimiziran), vrsta brskalnika, operacijski sistem, datum in čas obiska, obiskana stran, napotitveni URL. Hranijo se 7 dni, izključno za odkrivanje varnostnih napadov.
- Tehnični piškotki: ID seje za delovanje košarice (začasno).
- Anonimna analitika: prek Umami Analytics (lastno gostovanje, brez piškotkov) — število obiskov, najbolj priljubljene strani, vir prometa, vrsta naprave. Ne zbiramo naslovov IP, prstnih odtisov ali osebnih identifikatorjev.
3. Pravna podlaga za obdelavo (čl. 6 GDPR)
- Čl. 6(1)(b) GDPR — izvajanje pogodbe: obdelava podatkov o naročilu za dostavo, plačilo in izvedbo nakupa.
- Čl. 6(1)(a) GDPR — privolitev: e-novice (preklicljive kadar koli), neobvezna trženjska sporočila.
- Čl. 6(1)(c) GDPR — zakonske obveznosti: hramba računov in davčne dokumentacije (10 let po Splošnem davčnem zakonu).
- Čl. 6(1)(f) GDPR — zakoniti interes: varnost spletne strani, preprečevanje prevar, anonimna analitika za izboljšanje storitve.
4. Obdelovalci podatkov in prejemniki
Vaše podatke posredujemo le tistim, ki jih potrebujemo za izvedbo storitve. Z vsakim obdelovalcem je sklenjena pogodba o obdelavi podatkov v skladu s čl. 28 GDPR.
4.1. Obdelava plačil — Stripe
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irska. Stripe prejme: ime, e-pošto, naslov za izstavitev računa, podatke kartice (potrdilo PCI-DSS Level 1). Zasebnost: stripe.com/privacy. Pravna podlaga: izvajanje pogodbe (čl. 6(1)(b)). Stripe lahko prenaša podatke v ZDA v okviru EU-US Data Privacy Framework.
4.2. Dostava — Hrvaška pošta in partnerji
Naslov, ime in telefonska številka se posredujejo izključno izbranemu dostavljavcu (Hrvatska pošta, GLS, DPD ali kurirska služba) za namene dostave paketa.
4.3. Gostovanje — 1&1 IONOS
1&1 IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Nemčija. Lokacija strežnika: Nemčija (EU). Zasebnost: ionos.de/datenschutz.
4.4. Analitika — Umami
Umami Analytics gostuje na našem strežniku. Ne uporablja piškotkov in ne pošilja podatkov tretjim osebam. Anonimna statistika ostane izključno na naši infrastrukturi.
4.5. E-novice (če se prijavite)
E-novice trenutno pošiljamo neposredno z našega strežnika, brez uporabe zunanjih storitev. Od njih se lahko kadar koli odjavite prek povezave v sporočilu ali po e-pošti.
5. Piškotki
Faga.bio uporablja minimalno število piškotkov. Pregled:
- session_id — tehnični piškotek za sejo in košarico, izbriše se ob zaprtju brskalnika.
- faga-lang — lokalna shramba (ne piškotek) za zapomnitev izbire jezika; le na vaši napravi.
- cookie-consent — shrani vašo izbiro v pasici za privolitev (1 leto).
Ne uporabljamo piškotkov za sledenje, oglaševanje, niti ne delimo podatkov o vedenju s tretjimi osebami.
6. Obdobja hrambe podatkov
- Računi in davčna dokumentacija: 10 let (Splošni davčni zakon, čl. 86).
- Prijava na e-novice: do odjave.
- Dnevniki strežnika: 7 dni.
- Kontaktna povpraševanja: 3 leta (zastaralni rok po Zakonu o obligacijskih razmerjih).
- Uporabniški račun: do izbrisa računa, največ 5 let od zadnje dejavnosti.
7. Vaše pravice po GDPR
V zvezi s svojimi osebnimi podatki imate naslednje pravice. Za uveljavljanje katere koli pravice pošljite e-pošto na info@indi-24.de z naslovom „Zahteva GDPR". Odgovor v 30 dneh.
- Pravica do dostopa (čl. 15): zahtevati potrdilo o obdelavi in kopijo vaših podatkov.
- Pravica do popravka (čl. 16): popraviti netočne ali dopolniti nepopolne podatke.
- Pravica do izbrisa / „pravica do pozabe" (čl. 17): zahtevati izbris podatkov, ko ni več pravne podlage.
- Pravica do omejitve obdelave (čl. 18): v določenih primerih omejiti našo obdelavo.
- Pravica do prenosljivosti (čl. 20): prejeti svoje podatke v strukturirani, strojno berljivi obliki.
- Pravica do ugovora (čl. 21): ugovarjati obdelavi, ki temelji na zakonitem interesu.
- Pravica do preklica privolitve (čl. 7(3)): kadar koli, brez obrazložitve.
- Pravica do izvzetja iz avtomatiziranega odločanja (čl. 22): pri nas se ne uporablja — vse odločitve sprejemamo ročno.
8. Varnost podatkov
Spletna stran uporablja HTTPS (TLS 1.3) za šifrirano komunikacijo. Podatki so shranjeni na strežnikih v EU z rednimi varnostnimi popravki. Dostop do podatkov je omejen na osebe, ki jih potrebujejo za opravljanje dela. V primeru kršitve varstva osebnih podatkov, ki za vas pomeni visoko tveganje, vas in nadzorni organ (AZOP) obvestimo v 72 urah.
9. Mednarodni prenosi podatkov
Vaše podatke obdelujemo predvsem v EU. Izjema je Stripe (lahko prenaša podatke v ZDA v okviru EU-US Data Privacy Framework, ki ga Evropska komisija šteje za ustreznega — sklep 2023/1795).
10. Pravica do pritožbe pri nadzornem organu
Če menite, da naša obdelava vaših podatkov krši GDPR, imate pravico vložiti pritožbo pri nadzornem organu. Na Hrvaškem je to Agencija za varstvo osebnih podatkov (AZOP), Selska cesta 136, 10000 Zagreb, e-pošta: azop@azop.hr, splet: azop.hr. Pritožbo lahko vložite tudi pri nadzornem organu v državi svojega prebivališča (v Sloveniji Informacijski pooblaščenec).
11. Spremembe te politike
To politiko zasebnosti lahko občasno posodobimo zaradi skladnosti z zakonodajo ali sprememb v našem poslovanju. Datum začetka veljavnosti je naveden na vrhu dokumenta. Bistvene spremembe bomo objavili na spletni strani in, kjer je to primerno, po e-pošti registriranim uporabnikom.
12. Mladoletniki
Naša storitev ni namenjena osebam, mlajšim od 16 let. Ne zbiramo zavestno podatkov oseb, mlajših od 16 let. Če opazimo tako obdelavo, podatke nemudoma izbrišemo. Starše ali skrbnike prosimo, naj nas obvestijo, če sumijo na tako obdelavo.