Politika zasebnosti

1. Upravljavec osebnih podatkov

Zbiramo le tiste podatke, ki jih potrebujemo za zagotavljanje storitve (načelo najmanjšega obsega podatkov).

2. Pooblaščena oseba za varstvo podatkov (DPO)

Nismo imenovali pooblaščene osebe za varstvo podatkov (DPO), saj to glede na naravo in obseg naše obdelave ni zakonsko zahtevano. Za vsa vprašanja o varstvu podatkov nam pišite na info@conaprojekt.si.

3. Katere podatke obdelujemo

• Podatki o računu: e-poštni naslov, geslo (shranjeno v šifrirani/zgoščeni obliki), ime in po želji ime podjetja.
• Vsebina, ki jo ustvarite: projekti, naloge, faze, roki, opombe in drugi podatki, ki jih vnesete v aplikacijo. Ta vsebina lahko vključuje osebne podatke tretjih oseb, če jih vnesete sami (glej 5. točko).
• Plačilni podatki: naročnino obdeluje ponudnik plačil Stripe; podatke o kartici vnesete neposredno pri Stripu — mi ne shranjujemo številk kartic. Hranimo identifikator naročnine in status paketa.
• Podatki o ekipi: e-poštni naslovi, ki jih kot lastnik računa vnesete ob povabilu članov ekipe, ter stanje povabila (glej 5. točko).
• Tehnični podatki: naslov IP, vrsta brskalnika in naprave ter dnevniki dostopa — za delovanje, varnost in preprečevanje zlorab.

4. Nameni in pravne podlage obdelave

5. Vaša vsebina in projekti

Vsebina, ki jo ustvarite v aplikaciji (projekti, naloge, dokumentacija), ostaja vaša. Obdelujemo jo izključno zato, da vam zagotavljamo storitev (shranjevanje, prikaz, izvoz). Če v aplikacijo vnesete osebne podatke tretjih oseb (npr. imena sodelavcev ali strank), za tako obdelavo v razmerju do teh oseb nastopate kot upravljavec vi, mi pa kot obdelovalec; vi ste odgovorni za ustrezno pravno podlago in obveščanje teh oseb. Na zahtevo je za poslovne uporabnike na voljo pogodba o obdelavi podatkov (glej 9. točko).

Enako velja za povabila v ekipo: ko v aplikaciji povabite sodelavca, na e-naslov, ki ga vnesete, po vašem navodilu pošljemo obvestilo o povabilu. Ta naslov obdelamo izključno za izvedbo povabila in za vodenje članstva v vaši ekipi. Za pravno podlago za posredovanje naslova sodelavca in za njegovo obveščanje ste odgovorni vi.

6. Avtomatizirano odločanje in profiliranje

Ne izvajamo avtomatiziranega sprejemanja odločitev s pravnimi ali podobno znatnimi učinki v smislu člena 22 GDPR. Storitev ne vključuje umetne inteligence za obdelavo vaše vsebine.

7. Hramba podatkov

• Podatki o računu in vsebina: hranimo, dokler imate aktiven račun. Po izbrisu računa ali odpovedi podatke izbrišemo ali anonimiziramo v razumnem roku, razen kjer zakon zahteva drugače.
• Računovodski in plačilni podatki: do 10 let (davčna in računovodska zakonodaja).
• Varnostne kopije: bazo podatkov varnostno kopiramo dnevno, kopije pa hranimo 7 dni. Izbrisani podatki lahko ostanejo v varnostnih kopijah do 7 dni po izbrisu, nato so nepovratno odstranjeni.
• Zapisi o ponastavitvi gesla: koda za ponastavitev velja omejen čas in po uporabi ni več veljavna; zapis o zahtevi hranimo kot varnostni dnevnik.
• Tehnični dnevniki: hranijo jih ponudniki gostovanja v skladu z lastnimi pravili — 7 dni pri ponudniku gostovanja aplikacije in 30–60 dni pri ponudniku statičnega gostovanja, odvisno od posameznega strežnika. Ta ponudnik dnevnikov dostopa ne vključuje v svoje rezervne kopije.

Odpoved naročnine ne izbriše samodejno vašega računa — izbris zahtevajte ločeno. Postopek, obseg izbrisa in roki so opisani na strani Izbris računa in podatkov.

8. Obdelovalci in mednarodni prenosi

Za delovanje storitve sodelujemo z naslednjimi obdelovalci, ki osebne podatke obdelujejo izključno po naših navodilih:

• Supabase Pte. Ltd (Singapur) — upravljana podatkovna baza: shranjevanje računov in vsebine projektov. Podatki se hranijo na Irskem (eu-west-1).
• Railway Corp. (ZDA) — gostovanje aplikacijskega strežnika. Obdelava poteka v Amsterdamu na Nizozemskem.
• Resend (Plus Five Five, Inc.) (ZDA) — dostava sistemskih e-sporočil (koda za ponastavitev gesla, povabila v ekipo). Pošta se dostavlja prek infrastrukture Amazon SES na Irskem (eu-west-1); lastne obdelovalne dejavnosti ponudnika potekajo v ZDA.
• Google Cloud EMEA Limited (Irska) — poslovni e-poštni predal (Google Workspace) za naslov info@conaprojekt.si: prejem podpornih sporočil in zahtev za uveljavljanje pravic.
• AVANT.SI d.o.o. (Slovenija; blagovna znamka NEOSERV) — spletno gostovanje predstavitvene strani in statičnih datotek aplikacije. Te datoteke ne vsebujejo osebnih podatkov, strežnik pa v dnevnikih dostopa beleži naslove IP obiskovalcev, časovne žige in zahtevane naslove.

Poleg zgoraj navedenih obdelovalcev vaše podatke prejme tudi:

• Stripe, Inc. (ZDA) — obdelava naročnin in plačil. Stripe pri izvajanju plačilnih storitev nastopa kot samostojen upravljavec, saj podatke obdeluje tudi zaradi lastnih zakonskih obveznosti (preprečevanje goljufij ter plačilna in protipranjska zakonodaja), in ne izključno po naših navodilih. Za to obdelavo velja politika zasebnosti družbe Stripe.

Obdelava v okviru storitve poteka znotraj EU oziroma EGP — podatkovna baza na Irskem, aplikacijski strežnik na Nizozemskem, dostava e-pošte na Irskem in gostovanje spletne strani v Sloveniji.

Nekateri od navedenih ponudnikov so družbe s sedežem v ZDA, zato lahko izjemoma (npr. pri tehnični podpori ali vzdrževanju) pride do dostopa iz tretje države; enako velja za obdelavo plačil pri družbi Stripe. Takšni prenosi potekajo v skladu s členi 44–49 GDPR — na podlagi sklepa o ustreznosti (vključno z okvirom EU-US Data Privacy Framework, kadar je ponudnik vanj vključen) oziroma ustreznih zaščitnih ukrepov, kot so standardne pogodbene klavzule (SCC).

Ta seznam posodobimo ob vsaki spremembi obdelovalcev. Za poslovne uporabnike, ki so z nami sklenili pogodbo o obdelavi podatkov (glej 9. točko), velja postopek predhodnega obveščanja o spremembah obdelovalcev, določen v tej pogodbi.

9. Pogodba o obdelavi podatkov (DPA)

Za poslovne uporabnike, ki v aplikaciji obdelujejo osebne podatke tretjih oseb, na zahtevo sklenemo pogodbo o obdelavi podatkov v skladu s členom 28 GDPR. Zaprosite jo na info@conaprojekt.si.

10. Vaše pravice

Skladno s členi 15–22 GDPR imate pravico do dostopa, popravka, izbrisa, omejitve obdelave, prenosljivosti, ugovora in preklica privolitve.

Pravice uveljavite na info@conaprojekt.si; odgovorimo najpozneje v enem mesecu. Za pravico do izbrisa (člen 17 GDPR) je celoten postopek opisan na strani Izbris računa in podatkov.

Pritožbo lahko vložite pri nadzornem organu — Informacijski pooblaščenec RS, Dunajska cesta 22, 1000 Ljubljana (www.ip-rs.si).

11. Varnost

Izvajamo ustrezne tehnične in organizacijske ukrepe: šifriranje prenosa (HTTPS/TLS), gesla shranjena v zgoščeni obliki, omejen dostop do podatkov, redno posodabljanje sistemov in dvostopenjsko preverjanje (2FA) za interne sisteme.

12. Piškotki in shramba brskalnika

Za prijavo in delovanje aplikacije uporabljamo shrambo brskalnika. Podrobnosti so v Politiki piškotkov.

13. Spremembe in kontakt

To politiko lahko občasno posodobimo; o pomembnejših spremembah vas obvestimo. Za vprašanja pišite na info@conaprojekt.si.

Glejte tudi Pravno obvestilo in Pogoje uporabe.