Politika privatnosti

Voditelj obrade i kontakt

Voditelj obrade osobnih podataka je SHODO j.d.o.o. (marka EPIL ZAGREB), Drage Gervaisa 44, Zagreb, Croatia.

Za sva pitanja o privatnosti, zaštiti podataka i ostvarivanju prava obratite nam se na epilzagreb@gmail.com.

Koje podatke obrađujemo i u koje svrhe

• Podaci o korisničkom računu (ime, prezime, e-pošta, telefon, lozinka u hashiranom obliku) — radi kreiranja i vođenja računa te pristupa uslugama.
• Podaci pri rezervaciji bez računa („gost rezervacija”) — sustav automatski otvara korisnički račun kako bi se povijest usluga, dokumentacija i komunikacija mogle pratiti; korisnik je o tome obaviješten.
• Podaci o rezervacijama (datum, vrijeme, usluga, trajanje, cijena, odabrani specijalist, status) — radi organizacije zahvata i evidencije ugovora o usluzi.
• Podaci o plaćanjima (iznos, status transakcije, metoda plaćanja) obrađuju se preko platnog partnera Stripe; puni podaci platne kartice nikada se ne pohranjuju na našim sustavima.
• Zdravstveni upitnik i podaci o zdravstvenom stanju (bolesti, lijekovi, trudnoća, alergije, hormonalna terapija, stanje kože) — posebna kategorija podataka obrađivana isključivo uz izričitu privolu radi sigurnog provođenja zahvata.
• Evidencija provedenih zahvata (procedure records) — radi kontinuiteta skrbi i dokaza o izvršenoj usluzi.
• Fotografije prije i poslije zahvata — radi interne dokumentacije tijeka i rezultata tretmana; posebna, odvojena privola potrebna je za bilo kakvu marketinšku upotrebu.
• Podaci o bodovima vjernosti, kupljenim paketima, poklon-bonovima i narudžbama pića u salonu — radi izvršenja tih dodatnih usluga i obračuna pogodnosti.
• Obavijesti (e-pošta, po potrebi SMS ili druge poruke) o rezervaciji, promjenama termina, računima i sličnim administrativnim pitanjima.
• Komunikacija s korisničkom podrškom i pritužbe — radi rješavanja upita i poštovanja zakonskih rokova.

Pravne osnove obrade

Obrada se temelji na izvršenju ugovora ili poduzimanju radnji prije sklapanja ugovora (rezervacija i pružanje usluge), na izričitoj privoli (zdravstveni podaci, marketinške fotografije i komunikacija), na zakonskoj obvezi (računovodstveni i porezni propisi) te na legitimnom interesu Društva (sigurnost sustava, sprječavanje zlouporabe, unaprjeđenje usluge) kada takav interes ne nadilazi interese i prava korisnika.

Posebne kategorije podataka (zdravstveni podaci)

Podaci o zdravstvenom stanju obrađuju se sukladno članku 9. Opće uredbe o zaštiti podataka (GDPR), isključivo na temelju izričite privolе dane prije prvog zahvata, u svrhu sigurnog i stručnog provođenja usluge. Pristup tim podacima strogo je ograničen na ulogu: specijalist koji provodi zahvat kada je to potrebno, odgovorna osoba i ovlašteni administratori. Svaki pristup takvim podacima evidentira se (log pristupa). Povijest odgovora na upitnik verzionira se — stariji odgovori nikada se tiho ne prepisuju, nego se čuva njihova povijest.

Primatelji podataka i obrađivači

Podatke dijelimo isključivo s pružateljima usluga koji nam pomažu u poslovanju (hosting i baza podataka, obrada plaćanja, interna obavijest osoblju), i to u mjeri nužnoj za pruženu funkciju te na temelju ugovora o obradi podataka gdje je to primjenjivo.

Podatke dijelimo isključivo s pružateljima usluga koji su nam potrebni za rad salona i obradu plaćanja, uz odgovarajuće ugovorne zaštite. Potpuni i ažurni popis nalazi se u dokumentu „Popis obrađivača”.

Međunarodni prijenosi podataka

Pojedini pružatelji usluga mogu obrađivati podatke na poslužiteljima izvan Europskog gospodarskog prostora (EGP). U tom slučaju prijenos se temelji na odgovarajućim zaštitnim mjerama predviđenim GDPR-om (primjerice standardnim ugovornim klauzulama Europske komisije ili odluci o primjerenosti). Pojedinosti po pojedinom obrađivaču navedene su u dokumentu „Popis obrađivača”.

Rok čuvanja podataka

[POTREBNA PRAVNA PROVJERA]

Podatke čuvamo onoliko dugo koliko je potrebno za svrhu za koju su prikupljeni, uz poštovanje zakonskih rokova čuvanja (npr. računovodstvena dokumentacija). Fotografije i zdravstveni podaci čuvaju se dugoročno radi dokumentacije i mogućeg dokazivanja u slučaju spora, u skladu s internom politikom čuvanja podataka koja je predmet redovite revizije. Ne tvrdimo bezuvjetno pravo trajnog čuvanja — po isteku svrhe ili na temelju zahtjeva za brisanje, podaci se brišu osim kada postoji zakonska osnova za daljnje čuvanje.

Sigurnost podataka

Primjenjujemo tehničke i organizacijske mjere sukladne stanju tehnike, uključujući kontrolu pristupa po ulogama, šifriranje podataka u prijenosu, privatnu (ne-javnu) pohranu fotografija i evidenciju pristupa osjetljivim podacima.

Podaci maloljetnika

Usluge su dostupne osobama od 11 godina nadalje, isključivo u razdoblju puberteta i uz privolu i identifikaciju roditelja ili zakonskog skrbnika, koja se evidentira u sustavu. Rezervacija za osobe mlađe od 11 godina nije moguća. Podacima maloljetnika pristupa se s posebnom pažnjom; više u dokumentu „Maloljetni korisnici”.

Automatizirano donošenje odluka

Ne provodimo automatizirano donošenje odluka niti izradu profila koji bi imali pravni učinak ili slično značajno utjecali na korisnika bez ljudske intervencije.

Prava korisnika

Korisnik ima pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka, prigovor na obradu te pravo na povlačenje privole u svakom trenutku, kao i pravo na podnošenje pritužbe nadzornom tijelu. Sva prava detaljno su objašnjena u dokumentu „GDPR prava korisnika”.

Izmjene politike privatnosti

Politiku privatnosti možemo povremeno izmijeniti radi usklađenja s promjenama u poslovanju ili propisima. O materijalnim izmjenama korisnike obavještavamo putem korisničkog računa ili e-pošte, a datum posljednje izmjene uvijek je naveden na vrhu dokumenta.