Politika privatnosti

1. Tko smo i kako nas kontaktirati

Ova Politika privatnosti objašnjava kako prikupljamo, koristimo i štitimo osobne podatke korisnika internetske trgovine Mila Hvar. Osobni podatak je svaki podatak koji se odnosi na fizičku osobu čiji je identitet utvrđen ili se može utvrditi.

Voditelj obrade osobnih podataka (u daljnjem tekstu: „mi”) je:

Osobne podatke obrađujemo u skladu s Općom uredbom o zaštiti podataka (Uredba (EU) 2016/679, u daljnjem tekstu: „GDPR”) i Zakonom o provedbi Opće uredbe o zaštiti podataka (NN 42/18). Za sva pitanja o zaštiti osobnih podataka i za ostvarivanje svojih prava korisnik nam se može obratiti na navedene kontakte.

2. Sigurnost podataka

Radi zaštite prijenosa osobnih podataka i drugih povjerljivih sadržaja (npr. narudžbi ili upita) stranica koristi SSL odnosno TLS enkripciju. Šifriranu vezu korisnik prepoznaje po oznaci „https://” i simbolu lokota u adresnoj traci preglednika.

Podatke o platnoj kartici korisnik unosi izravno na sigurnu blagajnu platforme Shopify i obrađuje ih pružatelj usluge plaćanja; mi nemamo pristup punom broju kartice.

3. Koje podatke obrađujemo, u koje svrhe i na kojoj pravnoj osnovi

3.1. Posjet stranici

Kad korisnik stranicu samo pregledava, a ne naručuje niti nam na drugi način daje podatke, obrađuju se podaci koje preglednik automatski šalje poslužitelju (tzv. datoteke zapisnika poslužitelja), a koji su tehnički nužni za prikaz stranice (o kolačićima vidi točku 3.7.):

  • posjećena stranica,
  • datum i vrijeme pristupa,
  • količina poslanih podataka u bajtovima,
  • izvor (poveznica) s kojeg je korisnik došao na stranicu,
  • korišteni preglednik,
  • korišteni operativni sustav,
  • IP adresa (gdje je primjenjivo, u anonimiziranom obliku).

Te podatke koristimo kako bi stranica radila stabilno, sigurno i ispravno. Pravna osnova je naš legitimni interes za siguran i ispravan rad stranice (čl. 6. st. 1. t. (f) GDPR-a). Podatke ne koristimo ni za koju drugu svrhu i ne prosljeđujemo ih trećima, osim pružatelju usluge smještaja stranice (Shopify), ali ih možemo naknadno provjeriti ako postoje konkretne naznake nezakonitog korištenja stranice.

3.2. Narudžbe i korisnički račun

Kad korisnik naruči proizvod ili otvori korisnički račun, obrađujemo podatke koje nam pritom daje: ime i prezime, adresu za dostavu i adresu za račun, adresu e-pošte, broj telefona (ako ga unese), podatke o narudžbi (proizvodi, cijena, način plaćanja, status narudžbe i pošiljke) te prepisku vezanu uz narudžbu, povrat ili reklamaciju.

Te podatke koristimo za obradu i izvršenje narudžbe – plaćanje, otpremu i dostavu, slanje e-poruka o narudžbi i pošiljci, povrate, reklamacije i korisničku podršku – te za vođenje korisničkog računa. Pravna osnova je izvršenje ugovora (čl. 6. st. 1. t. (b) GDPR-a), a za čuvanje podataka o prodaji i računa ispunjavanje naših zakonskih obveza (čl. 6. st. 1. t. (c) GDPR-a). Podatke o narudžbi i plaćanju obrađujemo i radi sprječavanja prijevara, na temelju legitimnog interesa (čl. 6. st. 1. t. (f) GDPR-a).

Davanje podataka potrebnih za narudžbu nužno je za sklapanje i izvršenje ugovora; bez njih narudžbu ne možemo obraditi. Brisanje korisničkog računa korisnik može u svakom trenutku zatražiti putem kontaktne stranice.

3.3. Kontakt i upiti

Kad nam se korisnik obrati (npr. putem kontaktnog obrasca ili e-pošte), obrađujemo podatke koje nam pošalje – najčešće ime, adresu e-pošte i sadržaj poruke – isključivo radi odgovora na upit i s tim povezane tehničke administracije. Pravna osnova je izvršenje ugovora odnosno radnje prije sklapanja ugovora (čl. 6. st. 1. t. (b) GDPR-a), a za ostale upite naš legitimni interes da odgovorimo na upućena pitanja (čl. 6. st. 1. t. (f) GDPR-a).

3.4. Newsletter i marketinške e-poruke

Ako se korisnik prijavi na naš newsletter – npr. putem skočnog prozora, u kojem kao dobrodošlicu dobiva kod WELCOME10 za 10 % popusta na prvu narudžbu – na njegovu adresu e-pošte šaljemo informacije o našim ponudama, novostima i akcijama. Za slanje newslettera potrebna je samo adresa e-pošte. Pravna osnova je privola (čl. 6. st. 1. t. (a) GDPR-a). Newsletter šaljemo putem usluge Shopify Email, pri čemu se mogu bilježiti otvaranja poruka i klikovi na poveznice kako bismo mjerili uspješnost newslettera.

Privolu korisnik može u svakom trenutku povući putem poveznice za odjavu koja se nalazi u svakoj e-poruci ili tako da nam se javi. Povlačenje privole ne utječe na zakonitost obrade prije povlačenja. Nakon odjave adresu više ne koristimo za newsletter.

Ako nam je korisnik adresu e-pošte dao pri kupnji, a tome se nije usprotivio, možemo mu povremeno slati ponude sličnih proizvoda iz naše trgovine, u skladu sa Zakonom o elektroničkim komunikacijama i na temelju legitimnog interesa (čl. 6. st. 1. t. (f) GDPR-a). Takvom se slanju korisnik može u svakom trenutku besplatno usprotiviti putem poveznice za odjavu u svakoj poruci.

3.5. Podsjetnik za recenziju

Uz privolu korisnika (čl. 6. st. 1. t. (a) GDPR-a) njegovu adresu e-pošte koristimo kako bismo mu jednom poslali podsjetnik da ocijeni svoju narudžbu. Privolu može povući u svakom trenutku.

3.6. Praćenje pošiljke

Za praćenje pošiljke koristimo aplikaciju Parcel Panel. Na stranici Praćenje narudžbe korisnik unosi broj narudžbe i adresu e-pošte ili broj za praćenje, a aplikacija prikazuje status dostave. Pritom se obrađuju podaci o narudžbi i pošiljci (broj narudžbe, adresa e-pošte, broj za praćenje i status dostave). Pravna osnova je izvršenje ugovora (čl. 6. st. 1. t. (b) GDPR-a).

3.7. Kolačići i slične tehnologije

Kolačići su male tekstualne datoteke koje se spremaju na uređaj korisnika. Neki se brišu kad korisnik zatvori preglednik (tzv. sesijski kolačići), a drugi ostaju na uređaju, pa pri sljedećem posjetu nama ili našim partnerima (kolačići trećih strana) omogućuju prepoznavanje preglednika (tzv. trajni kolačići).

  • Nužni kolačići omogućuju osnovne funkcije trgovine, npr. košaricu, blagajnu, sigurnost i pamćenje izbora o kolačićima. Za njih nije potrebna privola; pravna osnova je naš legitimni interes za ispravan rad trgovine (čl. 6. st. 1. t. (f) GDPR-a) odnosno izvršenje ugovora.
  • Analitički i marketinški kolačići i slične tehnologije (npr. pikseli) služe za statistiku posjeta, mjerenje uspješnosti oglasa i prikazivanje relevantnih oglasa. Koristimo ih samo uz privolu korisnika, koju korisnik daje putem trake za kolačiće pri posjetu stranici (čl. 6. st. 1. t. (a) GDPR-a u vezi sa Zakonom o elektroničkim komunikacijama).

Korisnik privolu može odbiti, a danu privolu u svakom trenutku povući ili promijeniti: kad izbriše kolačiće u pregledniku, traka za kolačiće ponovno se prikazuje i izbor se može napraviti ispočetka. Povlačenje privole ne utječe na zakonitost obrade prije povlačenja. U postavkama preglednika može se odrediti i da preglednik obavještava o spremanju kolačića ili ih blokira:

Ako korisnik blokira sve kolačiće, neke funkcije trgovine (npr. košarica) možda neće raditi.

3.8. Analitika i oglašavanje

Uz privolu korisnika koristimo statistiku posjeta platforme Shopify i aplikaciju WeTracked. WeTracked bilježi događaje na stranici (npr. pregled proizvoda, dodavanje u košaricu i kupnju) i podatke o tim događajima šalje oglasnim platformama koje koristimo – osobito Meti (Facebook, Instagram) i Googleu (npr. Google Ads, Google Analytics) – kako bismo mjerili uspješnost oglasa, oglase prikazivali osobama koje su posjetile našu trgovinu (tzv. remarketing) i prikazivali relevantnije oglase. Pritom se obrađuju podaci o događajima i narudžbi (npr. proizvodi i vrijednost kupnje), tehnički podaci o uređaju i pregledniku, IP adresa i identifikatori kolačića. Pravna osnova je privola (čl. 6. st. 1. t. (a) GDPR-a).

Za prikupljanje i prijenos podataka putem Metinih alata za mjerenje zajednički smo odgovorni s društvom Meta Platforms Ireland Limited (čl. 26. GDPR-a), a za daljnju obradu Meta je samostalni voditelj obrade. Više informacija nalazi se u pravilima privatnosti Mete i pravilima privatnosti Googlea. Prikupljanje podataka putem Google Analyticsa može se spriječiti i dodatkom za preglednik, a personalizirani oglasi mogu se isključiti u Googleovu centru za oglase i na stranici youronlinechoices.com.

3.9. Društvene mreže

Na stranici se mogu nalaziti poveznice i dodaci društvenih mreža Facebook i Instagram (Meta Platforms Ireland Limited). Kad korisnik klikne takvu poveznicu ili koristi takav dodatak, Meta može primiti podatke o njegovu posjetu, osobito ako je prijavljen u svoj račun na toj mreži. Za tu obradu vrijede pravila privatnosti Mete.

4. Primatelji podataka

Podatke otkrivamo samo primateljima kojima su potrebni za navedene svrhe:

  • Shopify – platforma naše trgovine (smještaj stranice, blagajna, obrada narudžbi, plaćanja putem usluge Shopify Payments, Shop Pay i slanje e-poruka putem usluge Shopify Email); Shopify podatke obrađuje u naše ime, a za neke usluge (npr. Shop Pay) i kao samostalni voditelj obrade (pravila privatnosti Shopifyja);
  • PayPal i drugi pružatelji plaćanja koje korisnik odabere (npr. Apple Pay, Google Pay) – radi provedbe plaćanja; te podatke obrađuju i kao samostalni voditelji obrade, prema svojim pravilima privatnosti (npr. PayPal);
  • partner za ispunjenje narudžbi (skladište i otprema u Aziji) – ime i prezime, adresa za dostavu, broj telefona (ako je unesen) i sadržaj narudžbe, radi pakiranja i slanja;
  • Hrvatska pošta – ime i prezime, adresa za dostavu, broj telefona (ako je unesen) i podaci o pošiljci, radi dostave;
  • Parcel Panel – radi praćenja pošiljke;
  • WeTracked te Meta i Google – radi analitike i oglašavanja, samo uz privolu;
  • nadležna tijela (npr. porezna tijela u vezi s obračunom PDV-a u sustavu IOSS) – kad smo na to zakonski obvezni.

Pružatelji usluga koji podatke obrađuju u naše ime (izvršitelji obrade) smiju ih koristiti samo prema našim uputama i u skladu s čl. 28. GDPR-a.

5. Prijenos podataka izvan EU-a i EGP-a

Naše je sjedište u Sjedinjenim Američkim Državama, pa podatke korisnika obrađujemo i u SAD-u. U SAD-u ili drugim zemljama izvan Europske unije i Europskoga gospodarskog prostora podatke obrađuju i neki naši pružatelji usluga (npr. Shopify, PayPal, WeTracked, Meta i Google), a partner za ispunjenje narudžbi podatke potrebne za otpremu obrađuje u Aziji.

Za prijenos u SAD primatelju koji je certificiran u okviru Okvira za privatnost podataka između EU-a i SAD-a (EU–US Data Privacy Framework) primjenjuje se odluka Europske komisije o primjerenosti. U ostalim slučajevima prijenos se temelji na odluci Europske komisije o primjerenosti za zemlju primatelja, ako postoji, ili na standardnim ugovornim klauzulama Europske komisije. Kopiju odgovarajućih zaštitnih mjera korisnik može zatražiti na naše kontakte.

6. Koliko dugo čuvamo podatke

Podatke čuvamo samo onoliko koliko je potrebno za svrhe za koje su prikupljeni ili koliko to propisi zahtijevaju, a nakon toga ih brišemo ili anonimiziramo. Osobito:

  • podaci o narudžbama i računima – onoliko koliko propisuju porezni i računovodstveni propisi; za prodaju putem sustava IOSS propisi EU-a o PDV-u zahtijevaju čuvanje evidencije 10 godina od kraja godine u kojoj je prodaja obavljena;
  • ostali podaci potrebni za ugovor (npr. prepiska o povratu ili reklamaciji) – dok traje ugovorni odnos i dok ne isteknu rokovi za ostvarivanje prava iz njega (npr. dvogodišnji rok odgovornosti za materijalne nedostatke);
  • korisnički račun – dok korisnik ne zatraži njegovo brisanje;
  • newsletter – do odjave odnosno povlačenja privole;
  • upiti – dok je to potrebno za rješavanje upita i s njim povezanih zahtjeva;
  • kolačići – ovisno o vrsti: do zatvaranja preglednika (sesijski) ili do isteka roka trajanja odnosno brisanja (trajni);
  • datoteke zapisnika poslužitelja – dok su potrebne za sigurnost stranice, osim ako ih zbog konkretne sumnje na zlouporabu treba čuvati dulje.

7. Prava korisnika

Korisnik u svakom trenutku ima pravo:

  • na pristup svojim osobnim podacima i informacijama o njihovoj obradi (čl. 15. GDPR-a);
  • na ispravak netočnih i dopunu nepotpunih podataka (čl. 16. GDPR-a);
  • na brisanje podataka, osim ako smo ih dužni čuvati po zakonu (čl. 17. GDPR-a);
  • na ograničenje obrade (čl. 18. GDPR-a);
  • na prenosivost podataka koje nam je dao, u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom obliku (čl. 20. GDPR-a);
  • na prigovor obradi koja se temelji na legitimnom interesu, iz razloga povezanih s njegovom posebnom situacijom, te u svakom trenutku na prigovor obradi u svrhu izravnog marketinga (čl. 21. GDPR-a);
  • na povlačenje privole u svakom trenutku, bez utjecaja na zakonitost obrade prije povlačenja (čl. 7. st. 3. GDPR-a).

Za ostvarivanje prava korisnik nam se može obratiti putem kontaktne stranice ili e-poštom na nualahamiltonjewelry@outlook.com. Na zahtjev odgovaramo bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana; u složenim slučajevima taj se rok može produljiti za još dva mjeseca, o čemu ćemo korisnika obavijestiti. Prije odgovora možemo zatražiti potvrdu identiteta.

Ne donosimo odluke koje bi se temeljile isključivo na automatiziranoj obradi, uključujući izradu profila, i koje bi za korisnika imale pravne ili slične značajne učinke.

Pravo na pritužbu

Ako smatra da obrada njegovih osobnih podataka krši propise o zaštiti podataka, korisnik ima pravo podnijeti pritužbu nadzornom tijelu. U Republici Hrvatskoj to je Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr. Korisnik se može obratiti i nadzornom tijelu u državi članici EU-a u kojoj ima uobičajeno boravište ili mjesto rada.

8. Djeca

Naša trgovina namijenjena je punoljetnim osobama. U skladu sa Zakonom o provedbi Opće uredbe o zaštiti podataka, privolu za usluge informacijskog društva (npr. prijavu na newsletter) osoba može samostalno dati tek kad navrši 16 godina.

9. Izmjene ove Politike privatnosti

Ovu Politiku privatnosti možemo povremeno izmijeniti, npr. zbog promjena propisa ili naših usluga. Važeća verzija uvijek je dostupna na ovoj stranici.