Politika privatnosti

1. Uvod

Ova Politika privatnosti objašnjava koje osobne podatke prikuplja platforma Maturko (dostupna na maturko.hr; dalje: „Maturko”, „mi”), zašto ih prikupljamo, kako ih čuvamo i koja prava imaš. Podatke obrađujemo u skladu s Općom uredbom o zaštiti podataka (Uredba (EU) 2016/679, „GDPR”), Zakonom o provedbi Opće uredbe o zaštiti podataka (NN 42/18) i Zakonom o elektroničkim komunikacijama.

Politika se primjenjuje na sve posjetitelje web stranice i registrirane korisnike. Pojmovi poput „osobni podatak”, „obrada” i „voditelj obrade” imaju značenje iz GDPR-a.

2. Voditelj obrade

Voditelj obrade tvojih osobnih podataka je:

[naziv pravne osobe / obrta]
[ulica i kućni broj], [poštanski broj] [grad], Hrvatska
OIB: [OIB]
E-pošta: [email protected]

Sva pitanja, zahtjeve i prigovore vezane uz osobne podatke možeš uputiti na [email protected]. Nismo obvezni imenovati službenika za zaštitu podataka, ali gornja adresa služi kao jedinstvena kontaktna točka za zaštitu podataka.

3. Koje podatke prikupljamo

Prikupljamo samo podatke koji su nužni za svrhe opisane u ovoj Politici.

a) Podaci računa

• E-mail adresa (obvezna; služi kao korisničko ime i za nužne obavijesti)
• Lozinka — pohranjujemo je isključivo u obliku kriptografskog sažetka; ne možemo je pročitati
• Ime i prezime — samo ako se prijaviš putem Googlea (Google nam ih prosljeđuje) ili ih sam/a uneseš
• Datum registracije i status potvrde e-mail adrese
• Tvoj pristanak za promotivne poruke i vrijeme kada je dan ili povučen

b) Podaci o učenju

• Rezultati kvizova i pokušaji rješavanja zadataka
• Napredak kroz lekcije i predmete
• Koje predmete si otključao/la i do kada vrijedi pristup

c) Podaci o plaćanju

• Plaćanja obrađuje Stripe. Podatke o kartici unosiš isključivo na Stripeovim stranicama; Maturko ih nikada ne vidi ni ne pohranjuje.
• Mi pohranjujemo identifikator kupca kod Stripea, popis kupljenih predmeta, iznos, datum i status plaćanja — to nam treba za dodjelu pristupa i za računovodstvene obveze.

d) Tehnički podaci

• IP adresa, vrsta preglednika i uređaja te vrijeme zahtjeva — bilježe se u poslužiteljskim zapisima radi sigurnosti i otkrivanja grešaka
• Nužni kolačići za prijavu i zaštitu od zlouporabe (vidi odjeljak 6)
• Tehnički podaci o reprodukciji videa (npr. kvaliteta i prekidi) koje obrađuje naš pružatelj video streaminga radi isporuke videa, bez trajnog identifikatora gledatelja

e) Komunikacija s nama

Kad nam pišeš (npr. na [email protected]), čuvamo tvoju poruku i podatke koje si u njoj naveo/la kako bismo mogli odgovoriti i pratiti rješavanje zahtjeva.

4. Svrhe i pravne osnove obrade

Svaku obradu temeljimo na jednoj od pravnih osnova iz članka 6. GDPR-a:

• Izvršavanje ugovora (čl. 6. st. 1. t. b) — kreiranje i vođenje računa, potvrda e-maila, prijava, prikaz sadržaja, praćenje napretka, obrada kupnje i dodjela pristupa, nužne obavijesti o računu (potvrda e-maila, promjena lozinke, potvrda kupnje, važne promjene usluge).
• Pravna obveza (čl. 6. st. 1. t. c) — čuvanje računovodstvene dokumentacije o plaćanjima, odgovaranje na zahtjeve nadležnih tijela.
• Legitimni interes (čl. 6. st. 1. t. f) — sigurnost platforme i sprječavanje zlouporabe (poslužiteljski zapisi, zaštita od neovlaštenog pristupa), obrana od pravnih zahtjeva. Procijenili smo da ti interesi ne nadilaze tvoja prava, jer koristimo minimalne podatke i ne profiliramo korisnike.
• Pristanak (čl. 6. st. 1. t. a) — slanje Maturkovih promotivnih poruka (odjeljak 5). Pristanak je dobrovoljan, nije uvjet za korištenje usluge i možeš ga povući u bilo kojem trenutku.

Ne donosimo odluke koje bi imale pravne ili slično značajne učinke na tebe isključivo automatiziranom obradom i ne provodimo profiliranje u smislu članka 22. GDPR-a.

5. Promotivne poruke

Promotivne e-mail poruke — obavijesti o popustima, akcijama, novim predmetima i funkcionalnostima Maturka — šaljemo samo ako si za to dao/la pristanak, pri registraciji (kućica koja je prema zadanom prazna) ili kasnije u postavkama profila. Šaljemo isključivo vlastite poruke; tvoju e-mail adresu ne koristimo za promociju tuđih proizvoda ili usluga i ne ustupamo je drugima.

Pristanak možeš povući u bilo kojem trenutku u postavkama profila ili klikom na poveznicu za odjavu koja se nalazi u svakoj promotivnoj poruci. Povlačenje ne utječe na zakonitost obrade prije povlačenja. Obavijesti nužne za rad računa (odjeljak 4, „izvršavanje ugovora”) nisu promotivne i šaljemo ih neovisno o ovim postavkama.

6. Kolačići i slične tehnologije

Koristimo isključivo nužne kolačiće — one bez kojih prijava i zaštita računa ne bi radile. Za njih prema Zakonu o elektroničkim komunikacijama nije potreban pristanak, pa na stranici nema obavijesti o kolačićima koju bi trebalo potvrditi. Ne koristimo kolačiće za oglašavanje, praćenje ni kolačiće trećih strana na našim stranicama.

Bez analitike. Ne koristimo alate za mjerenje posjećenosti ni praćenje posjetitelja.

Plaćanje. Tijekom plaćanja preusmjeravamo te na stranice Stripea, koje mogu postavljati vlastite kolačiće nužne za sigurno plaćanje i sprječavanje prijevara. Na njih se primjenjuje Stripeova politika privatnosti.

Kolačiće možeš obrisati ili blokirati u postavkama preglednika. Bez nužnih kolačića prijava na platformu neće raditi.

7. Kome otkrivamo podatke

Osobne podatke ne prodajemo niti ih ustupamo trećima za njihove vlastite marketinške svrhe. Dijelimo ih samo s pružateljima usluga koji ih obrađuju u naše ime (izvršitelji obrade) na temelju ugovora o obradi podataka sukladno članku 28. GDPR-a, i to samo u mjeri koja je nužna:

• Stripe Payments Europe, Ltd. (Irska) — obrada plaćanja i sprječavanje prijevara.
• Mailgun / Sinch (poslužitelji u EU) — slanje e-mail poruka (potvrda registracije, promjena lozinke, obavijesti, promotivne poruke uz pristanak).
• Mux, Inc. (SAD) — isporuka video lekcija; obrađuje tehničke podatke o reprodukciji bez trajnog identifikatora gledatelja.
• Google Ireland Ltd. — samo ako odabereš prijavu putem Googlea; Google nam prosljeđuje e-mail adresu i ime, a mi Googleu ne šaljemo podatke o tvom korištenju platforme.
• Pružatelj poslužitelja (hosting) na kojem se nalaze platforma, baza podataka i sigurnosne kopije, s poslužiteljima u Europskoj uniji.

Podatke možemo otkriti i nadležnim tijelima (sudovi, policija, AZOP) kada to zahtijeva zakon, te pravnim i računovodstvenim savjetnicima obvezanima na povjerljivost.

8. Prijenos podataka izvan EU/EGP-a

Podatke nastojimo obrađivati unutar Europske unije. Pružatelj video streaminga (Mux) ima sjedište u SAD-u; prijenos tehničkih podataka o reprodukciji temelji se na Okviru za zaštitu privatnosti podataka EU–SAD (EU–U.S. Data Privacy Framework) odnosno standardnim ugovornim klauzulama Europske komisije. Ako se prijaviš putem Googlea, na obradu kod Googlea primjenjuju se isti mehanizmi. Kopiju primijenjenih zaštitnih mjera možeš zatražiti na [email protected].

9. Koliko dugo čuvamo podatke

• Podaci računa i o učenju — dok god imaš račun. Nakon što zatražiš brisanje, brišemo ih bez odgode, a najkasnije u roku od 30 dana.
• Podaci o plaćanjima — 11 godina od kraja poslovne godine u kojoj je plaćanje izvršeno, sukladno Zakonu o računovodstvu; nakon brisanja računa čuvamo ih izdvojeno i koristimo isključivo u tu svrhu.
• Evidencija pristanaka — dok traje pristanak i još 3 godine nakon povlačenja, radi dokazivanja da je obrada bila zakonita.
• Poslužiteljski zapisi (IP adresa i sl.) — najviše 90 dana, osim ako su potrebni za istragu sigurnosnog incidenta.
• Sigurnosne kopije — čuvaju se ograničeno vrijeme i redovito prepisuju; podaci obrisani iz baze uklanjaju se iz kopija u sljedećem ciklusu prepisivanja, najkasnije u roku od 30 dana.
• Prepiska — do 2 godine od zadnje poruke, osim ako je potrebna za rješavanje spora.

10. Sigurnost

Primjenjujemo tehničke i organizacijske mjere primjerene riziku: sav promet je šifriran (HTTPS/TLS), lozinke se čuvaju kao kriptografski sažeci, pristup produkcijskim sustavima ograničen je na ovlaštene osobe, a podaci se redovito sigurnosno kopiraju. Video sadržaj se isporučuje potpisanim, kratkotrajnim poveznicama. U slučaju povrede osobnih podataka koja bi mogla prouzročiti visok rizik za tvoja prava obavijestit ćemo te bez nepotrebnog odgađanja, a nadzorno tijelo u roku od 72 sata.

11. Maloljetni korisnici

Platforma je namijenjena učenicima srednjih škola. Prema Zakonu o provedbi Opće uredbe o zaštiti podataka, osoba mlađa od 16 godina može dati pristanak na obradu osobnih podataka u vezi s uslugama informacijskog društva samo uz suglasnost roditelja ili skrbnika. Ako imaš manje od 16 godina, registriraj se samo uz njihovo odobrenje. Roditelji i skrbnici mogu nam se obratiti na [email protected] radi uvida, ispravka ili brisanja podataka djeteta. Ako saznamo da smo bez odgovarajuće suglasnosti prikupili podatke djeteta, obrisat ćemo ih.

12. Tvoja prava

Prema GDPR-u u svakom trenutku imaš pravo:

• na pristup (čl. 15.) — saznati koje podatke o tebi obrađujemo i dobiti njihovu kopiju;
• na ispravak (čl. 16.) — ispraviti netočne ili dopuniti nepotpune podatke;
• na brisanje (čl. 17., „pravo na zaborav”) — zatražiti brisanje računa i podataka; iznimka su podaci koje moramo čuvati po zakonu (odjeljak 9);
• na ograničenje obrade (čl. 18.);
• na prenosivost (čl. 20.) — dobiti podatke koje si nam dao/la u strukturiranom, strojno čitljivom obliku;
• na prigovor (čl. 21.) — usprotiviti se obradi koja se temelji na legitimnom interesu, a obradi u svrhu izravnog marketinga uvijek i bez obrazloženja;
• povući pristanak (čl. 7. st. 3.) — u postavkama profila ili putem poveznice u poruci, bez utjecaja na zakonitost obrade prije povlačenja.

Kako ostvariti prava: pošalji zahtjev na [email protected] s e-mail adrese kojom si registriran/a (tako potvrđujemo tvoj identitet; ako pišeš s druge adrese, možemo zatražiti dodatnu provjeru). Na zahtjev odgovaramo bez odgode, a najkasnije u roku od mjesec dana; taj rok može se iznimno produljiti za još dva mjeseca kod složenih zahtjeva, o čemu ćemo te obavijestiti. Ostvarivanje prava je besplatno, osim kod očito neutemeljenih ili pretjeranih zahtjeva.

Brisanje računa: zahtjev pošalji na [email protected] (predmet: „Brisanje profila”). Brisanjem računa trajno gubiš pristup kupljenim predmetima; uplaćeni iznosi se ne vraćaju, osim kako je predviđeno Uvjetima korištenja.

Pritužba nadzornom tijelu: ako smatraš da obradom kršimo propise, imaš pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, [email protected], azop.hr. Bilo bi nam drago da nam se prije toga obratiš kako bismo problem pokušali riješiti izravno.

13. Je li davanje podataka obvezno?

E-mail adresa i lozinka nužni su za sklapanje ugovora o korištenju platforme — bez njih ne možemo otvoriti račun. Svi ostali podaci (ime, pristanak za promotivne poruke) su dobrovoljni i njihovo nedavanje nema posljedica za korištenje usluge.

14. Izmjene ove Politike

Politiku možemo povremeno ažurirati, primjerice zbog promjena propisa ili uvođenja novih funkcionalnosti. Važeća verzija uvijek je objavljena na ovoj stranici s datumom zadnje izmjene. O bitnim promjenama (npr. nova svrha obrade ili novi primatelj podataka) obavijestit ćemo registrirane korisnike e-poštom najmanje 15 dana prije stupanja na snagu.

15. Kontakt

Za sva pitanja o zaštiti podataka i ostvarivanje prava:

[naziv pravne osobe / obrta]
[ulica i kućni broj], [poštanski broj] [grad], Hrvatska
OIB: [OIB]
E-pošta: [email protected]