Izjava o zaštiti podataka

Voditelj obrade u smislu Opće uredbe o zaštiti podataka (GDPR) za obradu osobnih podataka u vezi s web-stranicom percelia.eu, nadzornom pločom i uslugama koje pružamo svojim klijentima jest:

Timon Filipović, samostalni poduzetnik
posluje pod nazivom „Percelia“
In der Breite 54, 79224 Umkirch, Njemačka
E-pošta: hello@percelia.eu
Telefon: +49 163 4427640

Dvostruka uloga. Percelia je voditelj obrade za podatke posjetitelja web-stranice, zainteresiranih osoba (besplatno skeniranje, upiti) te za podatke o računu, ugovoru i naplati naših klijenata. Za osobne podatke koji nastanu pri provjeri klijentove web-stranice, dakle za snimke zaslona, isječke koda i sadržaj vidljiv na provjeravanim stranicama, voditelj obrade je klijent. Percelia u tom dijelu djeluje kao izvršitelj obrade prema čl. 28 GDPR-a na temelju Ugovora o obradi podataka (AVV).

Percelia prema § 38 st. 1 njemačkog Zakona o zaštiti podataka nije obvezna imenovati službenika za zaštitu podataka jer manje od 20 osoba trajno obavlja automatiziranu obradu osobnih podataka. Pitanja o zaštiti podataka pošaljite na hello@percelia.eu.

Nadležno njemačko nadzorno tijelo:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Königstraße 10a, 70173 Stuttgart, Njemačka
www.baden-wuerttemberg.datenschutz.de

Za hrvatsko tržište:

Agencija za zaštitu osobnih podataka (AZOP)
Selska cesta 136, 10000 Zagreb
www.azop.hr

Prema čl. 77 GDPR-a imate pravo podnijeti pritužbu nadzornom tijelu prema mjestu uobičajenog boravišta, mjestu rada ili mjestu navodne povrede.

• Pružanje web-stranice i zapisi poslužitelja. IP adresa, datum i vrijeme, korisnički agent, referrer, zatražena adresa. Svrha: tehničko pružanje usluge, stabilnost, sprječavanje zlouporabe. Pravna osnova: čl. 6 st. 1 t. f GDPR-a (legitimni interes za siguran i stabilan rad). Ti zapisi nastaju kod naših infrastrukturnih pružatelja (Vercel, Fly.io, Supabase) i ondje se obrađuju u okviru njihova standardnog razdoblja čuvanja. Percelia nema vlastitu trajnu pohranu zapisa niti ih analizira radi profiliranja.
• Besplatno skeniranje. Adresa web-stranice koju ste unijeli, vaša adresa e-pošte, po želji ime ili tvrtka, odabrani jezik te osnovni brojevi rezultata (broj i težina nalaza). Svrha: provedba skeniranja, slanje rezultata e-poštom i kontakt u vezi s punom revizijom. Pravna osnova: čl. 6 st. 1 t. b GDPR-a (predugovorna radnja na vaš zahtjev) te za naknadni poslovni kontakt čl. 6 st. 1 t. f GDPR-a (legitimni interes za poslovno obraćanje). Toj obradi možete u svakom trenutku prigovoriti. Vaša IP adresa obrađuje se samo privremeno u radnoj memoriji radi ograničavanja broja zahtjeva i ne pohranjuje se.
• Kontakt. Ime, adresa e-pošte, sadržaj poruke. Svrha: obrada upita. Pravna osnova: čl. 6 st. 1 t. b GDPR-a (priprema ugovora) ili t. f (legitimni interes za komunikaciju).
• Korisnički račun i autentifikacija. Ime, adresa e-pošte, hash lozinke, uloga, pripadnost klijentskom računu. Svrha: pristup nadzornoj ploči, povezivanje revizija i potvrda. Pravna osnova: čl. 6 st. 1 t. b GDPR-a.
• Provedba naručene revizije. Adrese provjeravanih stranica, snimke zaslona, isječci koda i stabla pristupačnosti, iz njih izvedeni nalazi i prijedlozi ispravaka. Ti podaci sadrže osobne podatke samo ako ih sama provjeravana stranica prikazuje (primjerice imena u testnom računu). Percelia u tom dijelu djeluje kao izvršitelj obrade za klijenta; pravna osnova prema ispitanicima je na klijentu.
• Testni pristupni podaci za zaštićena područja. Korisničko ime i lozinka testnog računa koji je dostavio klijent. Svrha: provjera stranica iza prijave (naplata, korisnički račun). Pravna osnova: čl. 6 st. 1 t. b GDPR-a u odnosu prema klijentu. Pristupni podaci pohranjuju se šifrirano, koriste isključivo za prijavu u pregledniku i ne vraćaju se ni kroz jedno sučelje.
• Slanje e-pošte. Adresa e-pošte i sadržaj poruke. Svrha: slanje rezultata skeniranja, izvještaja i sistemskih obavijesti. Pravna osnova: čl. 6 st. 1 t. b GDPR-a odnosno obrada po nalogu klijenta.
• Praćenje pogrešaka. Tragovi pogrešaka, podaci o pregledniku i uređaju, po potrebi IP adresa. Svrha: stabilnost i sigurnost usluge. Pravna osnova: čl. 6 st. 1 t. f GDPR-a. Praćenje je konfigurirano u EU regiji, a osobni podaci se minimiziraju.
• Izdavanje računa i knjigovodstvo. Ime, adresa, PDV ID, podaci o usluzi i plaćanju. Svrha: izvršenje ugovora i ispunjenje zakonskih obveza čuvanja. Pravna osnova: čl. 6 st. 1 t. b i t. c GDPR-a.

Percelijino skeniranje učitava provjeravanu stranicu u našem vlastitom pregledniku, onako kako bi je vidio posjetitelj, i rezultat obrađuje kod nas. Za transparentnost prema vama i vašim korisnicima važno je što je pritom tehnički isključeno:

• Na vašu web-stranicu ne ugrađujemo nikakav kod. Percelia nije overlay ni widget; na vašoj se stranici ništa ne dodaje i ništa ne mijenja.
• Provjera koja aktivira obrasce blokira slanje i prekida svaki zahtjev koji piše podatke. U vaše sustave ne upisuju se podaci i ne nastaju stvarne narudžbe, registracije ni poruke.
• Prijedlozi ispravaka testiraju se isključivo na našoj vlastitoj kopiji stranice, nikada na vašem produkcijskom sustavu.
• Snimke zaslona bilježe stanje stranice koje je vidio naš preglednik. Kod provjere zaštićenih područja na njima može biti vidljiv sadržaj testnog računa. Zato tražimo testne račune s testnim podacima, a ne stvarne korisničke račune.

Za dio provjere Percelia koristi AI jezični model tvrtke Anthropic. Tom se modelu šalju snimke zaslona i isječci koda provjeravane stranice kako bi se odgovorilo na pitanja koja provjera po pravilima ne može riješiti, primjerice prenosi li alternativni tekst ono što slika stvarno prikazuje. Prema ugovornim obvezama pružatelja preneseni se sadržaj ne koristi za treniranje modela.

Nema automatiziranog odlučivanja o osobama. AI ocjenjuje web-stranice, ne ljude. Automatizirano odlučivanje u smislu čl. 22 GDPR-a s pravnim učinkom na osobu ne postoji. Nesigurni nalazi ne zaključuju se automatski, nego se prije ulaska u izvještaj ili izjavu o sukladnosti upućuju na ljudsku provjeru.

Koristimo pažljivo odabrane pružatelje koji nas podupiru kao izvršitelji obrade prema čl. 28 GDPR-a. Sa svima su sklopljeni ugovori o obradi te, gdje je potrebno, standardne ugovorne klauzule EU-a (SCC).

Obrada plaćanja preko pružatelja platnih usluga trenutačno ne postoji; računi se plaćaju bankovnim prijenosom. Ako se to promijeni, tablicu ćemo unaprijed dopuniti.

Ako se podaci prenose u SAD ili druge treće zemlje, to se temelji na odluci Europske komisije o primjerenosti od 10. srpnja 2023. (EU-US Data Privacy Framework, Provedbena odluka (EU) 2023/1795), ako je primatelj na DPF popisu, ili na standardnim ugovornim klauzulama prema Provedbenoj odluci (EU) 2021/914 uz odgovarajuće dodatne mjere (šifriranje, minimizacija podataka, EU regije obrade).

Bitan prijenos u treću zemlju odnosi se na AI analizu kod tvrtke Anthropic (SAD). Za taj su prijenos ugovorene standardne ugovorne klauzule. Prenose se snimke zaslona i isječci koda provjeravane stranice, dakle sadržaj koji vidi i svaki posjetitelj stranice, a kod zaštićenih područja i sadržaj testnog računa.

• Zapisi poslužitelja: u okviru čuvanja kod naših infrastrukturnih pružatelja; bez vlastite trajne pohrane.
• Upiti za besplatno skeniranje: do 24 mjeseca nakon posljednjeg kontakta, zatim brisanje. Na prigovor brišemo bez odgode.
• Podaci revizije (snimke zaslona, nalazi, izvještaji): za vrijeme trajanja ugovora. Nakon isteka 30 dana omogućujemo izvoz, a zatim brišemo u skladu s ugovorom o obradi.
• Testni pristupni podaci: do završetka pojedinog posla ili do opoziva.
• Podaci o računu i naplati: trajanje ugovora uvećano za zakonske rokove čuvanja (do 10 godina prema njemačkim poreznim i trgovačkim propisima).
• Upiti: do konačne obrade.

Imate pravo na:

• pristup (čl. 15 GDPR-a)
• ispravak (čl. 16 GDPR-a)
• brisanje (čl. 17 GDPR-a)
• ograničenje obrade (čl. 18 GDPR-a)
• prenosivost podataka (čl. 20 GDPR-a)
• prigovor na obradu na temelju legitimnog interesa (čl. 21 GDPR-a)
• povlačenje privole s učinkom za ubuduće (čl. 7 st. 3 GDPR-a)
• pritužbu nadzornom tijelu (čl. 77 GDPR-a)

Dovoljna je poruka na hello@percelia.eu. Ako se vaš zahtjev odnosi na podatke koji su bili vidljivi na web-stranici nekog od naših klijenata, uputite ga prvenstveno tom klijentu; mi takve zahtjeve prosljeđujemo bez odgode i pomažemo klijentu u ispunjavanju njegovih obveza.

Na percelia.eu koristimo isključivo tehnički nužne kolačiće i lokalnu pohranu, posebno za prijavu u nadzornu ploču i za odabrani prikaz (svijetli ili tamni način). Oni su prema § 25 st. 2 br. 2 TDDDG nužni pa privola nije potrebna. Ne koristimo kolačiće za praćenje, analitiku ni marketing niti piksele trećih strana. Ako se to promijeni, prethodno ćemo zatražiti vašu privolu.

Prijenos je šifriran (TLS), a podaci se pohranjuju šifrirano. Pristup podacima klijenata odvojen je na razini baze podataka pomoću row-level security, snimke zaslona nalaze se u pohrani koja nije javno čitljiva i dostupne su samo putem vremenski ograničenih, autentificiranih poveznica. Testni pristupni podaci pohranjuju se šifrirano i nikada se ne vraćaju putem sučelja. Administrativni pristupi zaštićeni su višefaktorskom autentifikacijom.

Ovu izjavu prilagođavamo kada se promijene funkcije, podizvršitelji ili pravni okvir. Mjerodavna je verzija objavljena na percelia.eu/hr/datenschutz.