Pravila privatnosti

Ova Pravila opisuju kako Held obrađuje osobne podatke gostiju koji putem platforme rezerviraju stolove ili kupuju ulaznice, te osoba koje vode račune objekata i organizatora, u skladu s Općom uredbom o zaštiti podataka (Uredba (EU) 2016/679, „GDPR”) i Zakonom o provedbi Opće uredbe o zaštiti podataka.

1. Tko obrađuje vaše podatke

TEHNO GRUPA d.o.o., OIB 26368307048, sjedište Diračje 107/A, 51000 Rijeka, upravlja platformom Held i voditelj je obrade za obradu opisanu u ovim Pravilima. Kontakt za sva pitanja o privatnosti: [email protected].

Objekt kod kojeg rezervirate (bar, klub, festival, organizator) prima vaše podatke kako bi vas primio i izvršio rezervaciju. Za tu svoju obradu (npr. popis gostiju na ulazu, vođenje vlastite evidencije) objekt je samostalni voditelj obrade i odgovoran je za nju prema vlastitim pravilima privatnosti.

2. Koje podatke obrađujemo

• Kontakt podaci: ime i prezime, e-mail adresa, broj telefona.
• Podaci o rezervaciji: objekt, datum i termin, stol, broj osoba, napomena koju upišete, referentni broj, status (potvrđena, otkazana, dolazak).
• Podaci o ulaznicama i ulasku: vrsta ulaznice, ime na ulaznici, QR kod te vrijeme i uređaj na kojem je ulaznica skenirana na ulazu.
• Podaci o plaćanju: iznos, vrijeme i identifikator transakcije koji nam dostavlja Stripe. Podatke o kartici ne primamo niti pohranjujemo.
• Podaci za račun na tvrtku (R1, neobavezno): OIB, naziv i adresa tvrtke.
• Podaci o računu: broj računa i fiskalne oznake (JIR, ZKI).
• Tehnički podaci: IP adresa i podaci o pregledniku u sigurnosnim zapisima poslužitelja; za statistiku posjeta samo dnevno mijenjani sažetak (hash) bez pohrane IP adrese.

Ne tražimo posebne kategorije podataka (npr. o zdravlju) — molimo da ih ne upisujete u napomenu.

Skener na ulazu: da bi ulaz radio i bez signala, popis ulaznica tog događaja (ime na ulaznici, vrsta, status) privremeno se sprema na uređaj osoblja objekta i automatski se briše 3 dana nakon zadnjeg osvježavanja. Osoblje vidi samo ulaznice svog događaja.

Računi objekata i organizatora: za osobe koje otvaraju i vode račun objekta obrađujemo ime, e-mail adresu, šifriranu lozinku, vrijeme prijave, podatke tvrtke (naziv, OIB, adresa) te zapis o prihvaćanju Uvjeta za objekte (verzija, vrijeme, IP adresa i preglednik) — radi izvršenja ugovora (čl. 6. st. 1. t. b) i dokaza o sklopljenom ugovoru (t. f). Zapis o prihvaćanju čuvamo dok traje ugovor i 5 godina nakon njega.

3. Svrhe i pravne osnove

• Izvršenje ugovora (čl. 6. st. 1. t. b GDPR-a): zaprimanje i potvrda rezervacije, naplata, slanje potvrde, podsjetnika i obavijesti o promjenama ili otkazivanju, prosljeđivanje rezervacije objektu, obrada otkazivanja i povrata.
• Pravna obveza (čl. 6. st. 1. t. c): izdavanje i fiskalizacija računa, čuvanje računovodstvene dokumentacije, odgovori nadležnim tijelima.
• Legitimni interes (čl. 6. st. 1. t. f): sigurnost sustava i sprječavanje zlouporaba i prijevara, rješavanje prigovora i sporova, anonimna statistika posjeta platformi.
• Privola (čl. 6. st. 1. t. a): identifikator posjeta u pregledniku i Google karte (vidi točku 7). Privolu možete povući u svakom trenutku.

Ne šaljemo vam promotivne poruke i ne koristimo vaše podatke za oglašavanje. Ne donosimo automatizirane odluke niti izrađujemo profile u smislu čl. 22. GDPR-a.

4. Kome prosljeđujemo podatke

Vaše podatke ne prodajemo. Primaju ih samo:

• Objekt kod kojeg ste rezervirali — ime, kontakt, broj osoba, napomena i podaci o rezervaciji, radi izvršenja rezervacije.
• Stripe Payments Europe, Limited (Irska) — obrada plaćanja i isplata objektu. Stripe može podatke prenositi Stripe, Inc. u SAD na temelju odluke o primjerenosti (EU-US Data Privacy Framework) i standardnih ugovornih klauzula. Više: stripe.com/privacy.
• Hetzner Online GmbH (Njemačka) — smještaj poslužitelja i baze podataka unutar EU.
• Infobip d.o.o. (Hrvatska) — slanje e-pošte (potvrde, podsjetnici, računi).
• Porezna uprava i FINA — fiskalizacija računa i e-računi, kako propisuje zakon.
• Knjigovodstveni servis — vođenje poslovnih knjiga, uz obvezu povjerljivosti.
• Google Ireland Limited — samo ako pristanete na prikaz Google karte (točka 7).
• Nadležna tijela — kada to nalaže zakon.

S pružateljima koji podatke obrađuju za nas sklopljeni su ugovori o obradi podataka (čl. 28. GDPR-a).

5. Koliko dugo čuvamo podatke

• Podaci o rezervaciji i kontakt podaci: 3 godine od datuma događaja (rok za prigovore i zastaru potraživanja), nakon čega se automatski anonimiziraju.
• Računi i računovodstvena dokumentacija: 11 godina, sukladno Zakonu o računovodstvu i poreznim propisima.
• Sigurnosni zapisi poslužitelja: do 90 dana.
• Identifikator posjeta: briše se zatvaranjem kartice preglednika.

6. Vaša prava

Imate pravo na pristup svojim podacima, ispravak, brisanje, ograničenje obrade, prenosivost i prigovor na obradu temeljenu na legitimnom interesu (čl. 15.–21. GDPR-a), te pravo povući privolu bez utjecaja na zakonitost ranije obrade. Brisanje nije moguće za podatke koje smo po zakonu dužni čuvati (npr. račune).

Zahtjev pošaljite na [email protected]. Odgovaramo u roku od mjesec dana; u složenim slučajevima rok se može produžiti za još dva mjeseca, o čemu ćemo vas obavijestiti. Radi zaštite vaših podataka možemo zatražiti potvrdu identiteta (npr. odgovor s e-mail adrese korištene pri rezervaciji). Zahtjeve koji se odnose na obradu u objektu proslijedit ćemo objektu.

7. Kolačići i pohrana u pregledniku

Bez privole koristimo samo ono što je tehnički nužno za rad web-mjesta (čl. 5. st. 3. Direktive 2002/58/EZ i Zakon o elektroničkim komunikacijama): kolačić prijave i odabrani događaj za djelatnike objekata, odabrani jezik stranice te zapis o vašem izboru u vezi s kolačićima.

Samo uz vašu privolu:

• Brojanje posjeta — nasumični identifikator posjeta u pohrani preglednika (sessionStorage), koji se briše zatvaranjem kartice. Ne sadrži osobne podatke i ne dijeli se s trećim stranama. Bez privole posjet se broji bez ikakvog zapisa u vašem pregledniku.
• Google karte — karta lokacije na stranici događaja učitava se s Googlea (Google Ireland Ltd.), koji pritom postavlja vlastite kolačiće. Bez privole karta se ne učitava; umjesto nje nudimo poveznicu na Google karte.

Privolu možete u bilo kojem trenutku dati ili povući putem poveznice „Postavke kolačića” u podnožju stranice. Ne koristimo reklamne kolačiće niti kolačiće za praćenje na drugim web-mjestima.

8. Sigurnost

Podaci se prenose isključivo šifrirano (HTTPS) i pohranjuju na poslužiteljima u EU. Pristup je ograničen: djelatnici objekta vide samo rezervacije svog objekta, a pristup administraciji zaštićen je prijavom. O povredi osobnih podataka obavijestit ćemo AZOP u roku od 72 sata, a vas bez odgađanja kada povreda predstavlja visok rizik za vaša prava (čl. 33. i 34. GDPR-a).

9. Maloljetnici

Platforma je namijenjena punoljetnim osobama. Svjesno ne prikupljamo podatke osoba mlađih od 18 godina; ako saznamo da se to dogodilo, podatke ćemo obrisati.

10. Pritužba nadzornom tijelu

Ako smatrate da vaše podatke obrađujemo protivno propisima, možete podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr. Preporučujemo da nam se prvo obratite kako bismo stvar pokušali riješiti izravno.

11. Izmjene

Ova Pravila možemo mijenjati; datum posljednje izmjene naveden je na vrhu stranice. O bitnim izmjenama obavijestit ćemo vas putem web-mjesta. Vidi i Uvjete korištenja.