Politika privatnosti

1. Voditelj obrade

Voditelj obrade osobnih podataka je Amaturn, obrt za računalne usluge i marketing, vl. Dalibor Peković, OIB 58471072343, sa sjedištem na adresi Međimurska ul. 21, 10000 Zagreb (dalje: mi, Amaturn). Kontakt za sva pitanja o zaštiti osobnih podataka: fiskal@amaturn.hr.

Ova Politika objašnjava koje osobne podatke prikupljamo pri pružanju usluge Amaturn Fiskal, u koje svrhe, na kojoj pravnoj osnovi, s kime ih dijelimo, koliko ih dugo čuvamo te koja prava imate. Obradu provodimo u skladu s Općom uredbom o zaštiti podataka (GDPR) i propisima Republike Hrvatske.

2. Uloga: voditelj i izvršitelj obrade

Za podatke o Korisniku (osobe koje otvaraju i vode korisnički račun) mi smo voditelj obrade. Za osobne podatke koje Korisnik unosi o svojim kupcima i poslovnim partnerima radi izdavanja računa, mi u pravilu nastupamo kao izvršitelj obrade u ime Korisnika, koji je za te podatke voditelj obrade. Odnos u tom slučaju uredit će se ugovorom o obradi podataka (v. točku 9.).

3. Koje podatke prikupljamo

Podaci o registraciji i korisničkom računu:

• e-adresa i lozinka (pohranjena u kriptiranom obliku);
• naziv firme ili obrta, OIB, adresa, podaci za kontakt;
• podaci o pretplati i plaćanju.

Podaci na računima:

• podaci koje Korisnik unese o svojim kupcima (naziv, OIB, adresa, a iznimno i ime i prezime kod fizičkih osoba), stavke, iznosi i drugi elementi računa.

Tehnički podaci o posjetu:

• bilježimo IP adresu i podatke o pregledniku (user-agent) posjetitelja, vrijeme pristupa i osnovne zapise poslužitelja (log zapisi) radi sigurnosti i stabilnosti usluge;
• podatke iz obrazaca za kontakt, upit ili rezervaciju (leadovi), ako nam ih sami dostavite.

4. Svrhe obrade i pravna osnova

• Pružanje usluge i vođenje korisničkog računa - pravna osnova: izvršenje ugovora (čl. 6. st. 1. t. b GDPR-a).
• Izdavanje računa i fiskalizacija - pravna osnova: izvršenje ugovora te ispunjenje naših i Korisnikovih zakonskih obveza (čl. 6. st. 1. t. b i c GDPR-a).
• Naplata pretplate i računovodstvo - pravna osnova: ugovor i zakonska obveza.
• Sigurnost sustava i sprječavanje zloupotreba (log zapisi, IP, user-agent) - pravna osnova: legitimni interes (čl. 6. st. 1. t. f GDPR-a).
• Obrada upita i leadova - pravna osnova: poduzimanje radnji prije sklapanja ugovora ili legitimni interes.
• Analitika i marketing (ako je aktivno) - pravna osnova: privola (čl. 6. st. 1. t. a GDPR-a). Privolu možete povući u svakom trenutku.

5. Primatelji podataka

Osobne podatke možemo dijeliti sa sljedećim kategorijama primatelja:

• Porezna uprava - putem sustava fiskalizacije (CIS), radi ispunjenja obveze fiskalizacije računa;
• informacijski posrednik za razmjenu eRačuna, ako se koristi za slanje i zaprimanje računa;
• pružatelj usluge hostinga i infrastrukture (poslužitelji u EU, v. točku 8.);
• pružatelji platnih usluga za naplatu pretplate te, po potrebi, knjigovodstveni i IT servisi;
• nadležna tijela kada smo to dužni po zakonu.

S primateljima koji podatke obrađuju u naše ime sklapamo ugovore koji jamče odgovarajuću razinu zaštite. Podatke ne prodajemo trećim stranama.

6. Rok čuvanja

Osobne podatke čuvamo samo onoliko dugo koliko je nužno za ostvarenje svrhe ili koliko propisuju važeći zakoni:

• računi i podaci fiskalizacije - u skladu s poreznim i računovodstvenim propisima te propisima o fiskalizaciji — 11 godinaod isteka godine na koju se dokumentacija odnosi;
• podaci o korisničkom računu - za vrijeme trajanja pretplate i razuman rok nakon prestanka radi eventualnih zahtjeva i obveza;
• log zapisi i tehnički podaci - kraće razdoblje potrebno za sigurnost (u pravilu do 12 mjeseci);
• leadovi i upiti - do ostvarenja svrhe ili povlačenja privole.

Nakon isteka roka podatke brišemo ili nepovratno anonimiziramo, osim ako smo ih dužni čuvati po zakonu.

7. Vaša prava

U skladu s GDPR-om imate pravo na:

• pristup svojim podacima i informaciju o obradi;
• ispravak netočnih ili dopunu nepotpunih podataka;
• brisanje podataka (pravo na zaborav), kad za to nema zakonske prepreke;
• ograničenje obrade;
• prenosivost podataka;
• prigovor na obradu koja se temelji na legitimnom interesu;
• povlačenje privole u svakom trenutku, bez utjecaja na prethodnu obradu.

Zahtjev možete uputiti na fiskal@amaturn.hr. Odgovorit ćemo bez odgode, najkasnije u roku od mjesec dana. Imate i pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr.

8. Mjesto obrade i prijenos podataka

Podatke obrađujemo i pohranjujemo na poslužiteljima unutar Europske unije (Njemačka). Ne prenosimo podatke u treće zemlje izvan EU/EGP-a, osim ako to bude nužno i uz odgovarajuće mjere zaštite propisane GDPR-om (npr. standardne ugovorne klauzule).

9. Obrada u ime Korisnika

Kada za Korisnika obrađujemo osobne podatke njegovih kupaca, postupamo isključivo po uputama Korisnika, u okviru ugovora o obradi podataka. Korisnik kao voditelj obrade odgovara za zakonitu osnovu prikupljanja i obrade tih podataka.

10. Sigurnost

Primjenjujemo tehničke i organizacijske mjere zaštite podataka, uključujući kriptiranje prometa (HTTPS), kriptiranu pohranu lozinki (scrypt), kontrolu pristupa te redovite sigurnosne kopije. Iako ulažemo razuman napor, nijedan sustav ne može jamčiti apsolutnu sigurnost.

Sigurnost FINA certifikata

Korisnikov FINA certifikat (.p12) i pripadajuća lozinka najosjetljiviji su podaci u usluzi, pa za njih vrijede dodatne mjere:

• certifikat i lozinka pohranjuju se kriptirano (AES-256-GCM); enkripcijski (master) ključ čuva se odvojeno od baze podataka, na poslužitelju izvan same baze;
• lozinka certifikata ne zapisuje se u aplikacijske logove niti se prikazuje u sučelju nakon unosa;
• certifikat se koristi isključivo za potpisivanje fiskalizacijskih poruka Korisnikovih računa; ne dijeli se s trećim stranama;
• pristup produkcijskom poslužitelju ograničen je na ovlaštenu osobu Pružatelja (pristup SSH ključem);
• sigurnosna kopija baze izrađuje se automatski prije svake nadogradnje sustava, a kopije se čuvaju na poslužitelju s ograničenim pristupom;
• Korisnik može u svakom trenutku obrisati svoj certifikat u postavkama aplikacije; nakon prestanka korištenja usluge certifikat se briše zajedno s ostalim podacima (v. rok čuvanja);
• u slučaju sigurnosnog incidenta koji utječe na Korisnikove podatke, Korisnika ćemo obavijestiti bez odgode, a nadležno tijelo u zakonskom roku.

U pripremi (plan razvoja): dvofaktorska autentifikacija (2FA) i detaljan dnevnik (audit log) svake upotrebe certifikata. Do njihove objave preporučujemo snažnu, jedinstvenu lozinku za prijavu u uslugu.

11. Kolačići

Korištenje kolačića opisano je u zasebnoj Politici kolačića.

12. Kontakt i službenik za zaštitu podataka

Za sva pitanja o zaštiti podataka obratite se na fiskal@amaturn.hr. Ako je imenovan službenik za zaštitu podataka (DPO), njegovi kontakt podaci su: [PODACI DPO-a, ako je imenovan].

13. Izmjene Politike

Ovu Politiku možemo povremeno ažurirati. O bitnim izmjenama obavijestit ćemo vas putem aplikacije ili e-adrese. Vrijedi verzija objavljena na ovoj stranici s navedenim datumom zadnje izmjene.