Obavijest o zaštiti privatnosti

Ova obavijest o zaštiti privatnosti objašnjava kako Montandor Andorra S.L.U. ("Montandor", "mi") prikuplja, upotrebljava, čuva i štiti vaše osobne podatke kada posjetite securitshop.com, naručite proizvod ili komunicirate sa svojim namjenskim voditeljem za pojedinu zemlju putem chata butika. Sastavljena je u skladu s andorskim propisom o zaštiti podataka (Llei Qualificada de Protecció de Dades, LQPD), EU-ovom Općom uredbom o zaštiti podataka (EU 2016/679) kada se posjetitelj nalazi unutar Europske unije te mjerodavnim nacionalnim propisima o zaštiti podataka diljem Europe ondje gdje se primjenjuju.

1. Voditelj obrade podataka

Montandor Andorra S.L.U., sa sjedištem na adresi Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Kneževina Andora. Za svaki upit u vezi s privatnošću ili za ostvarivanje svojih prava pošaljite e-poruku na [email protected] ili upotrijebite chat butika odabirom kategorije "Privatnost". Odgovaramo u rokovima utvrđenima mjerodavnim pravom, a u svakom slučaju u roku od trideset (30) dana.

2. Podaci koje prikupljamo

Prikupljamo četiri kategorije podataka, strogo ograničene na ono što je nužno za ispunjenje vaše narudžbe i upravljanje poslovnim odnosom:

• Podaci o računu i narudžbi: ime i prezime, naziv tvrtke (ako postoji), adrese za naplatu i dostavu, e-adresa, telefon, identifikatori narudžbi, povijest kupnji. Ti su podaci nužni za sklapanje i izvršavanje kupoprodajnog ugovora.
• Podaci o plaćanju: nikada ne pohranjujemo cjelovite brojeve kartica. Plaćanje obrađuje naš pružatelj usluga s certifikatom PCI-DSS Level 1. Zadržavamo samo token transakcije, posljednje četiri znamenke kartice, mrežu (Visa, Mastercard, Amex), datum isteka i status plaćanja, u svrhu računovodstva i sprječavanja prijevara.
• Podaci o dostavi: adresa za dostavu, šifra ulaza, upute za dostavu, broj za praćenje pošiljke prijevoznika (Chronopost, DHL Express). Dijele se isključivo s našim prijevoznikom i pružateljem 3PL logističkih usluga radi izvršenja dostave.
• Tehnički podaci o povezivanju: IP adresa, korisnički agent (user agent), približna zemlja, pregledana stranica, vremenska oznaka. Napajaju naše zapisnike pristupa u svrhu sigurnosti, sprječavanja prijevara i tehničke dijagnostike.

Ne prikupljamo nikakve osjetljive podatke u smislu članka 9. GDPR-a (etničko podrijetlo, politička mišljenja, vjeru, zdravlje, seksualnu orijentaciju, članstvo u sindikatu, biometrijske ili genetske podatke).

3. Svrhe i pravna osnova

4. Razdoblja čuvanja

• Podaci o narudžbi i izdavanju računa: trajanje poslovnog odnosa uvećano za deset (10) godina, u skladu s andorskim i francuskim računovodstvenim obvezama.
• Podaci o plaćanju: trinaest (13) mjeseci za token transakcije i elemente za sprječavanje prijevara, u skladu sa smjernicama CNIL-a i zahtjevima PCI-DSS-a.
• Neaktivan korisnički račun: tri (3) godine nakon posljednje prijave, a zatim brisanje ili anonimizacija (podložno preostalim računovodstvenim obvezama).
• Tehnički zapisnici pristupa: dvanaest (12) mjeseci, a zatim automatsko brisanje.
• Objedinjeno mjerenje publike: trinaest (13) uzastopnih mjeseci.
• Newsletter: do vaše odjave, koja se provodi trenutačno putem poveznice u svakoj poruci.

5. Primatelji i izvršitelji obrade

Prikupljene podatke obrađuje naš interni tim te ograničen broj tehničkih izvršitelja obrade koji su strogo nužni za izvršenje vaše narudžbe:

• Hosting infrastrukture: Microsoft Azure, regija West Europe. Podaci se pohranjuju unutar EU-a.
• Payment: plaćanja karticom obrađuju se putem pružatelja Redsys (Redsys Servicios de Procesamiento, S.L., Španjolska — EU), našeg platnog pristupnika certificiranog prema PCI-DSS razini 1, koji obavlja prikupljanje podataka o kartici, autorizaciju, 3-D Secure (PSD2 SCA) i provjeru radi sprječavanja prijevara. Banka acquirer jest Creand (Creand Crèdit Andorrà, S.A., Andora), pri čemu Andora uživa pogodnosti odluke Europske komisije o primjerenosti (2010/625/EU). Nikada ne primamo niti pohranjujemo cjelovite brojeve kartica.
• Logistika i otprema: pružatelj 3PL logističkih usluga u Francuskoj (skladište Grisolles, 82170) i prijevoznici (Chronopost, DHL Express) za dostavu na posljednjem kilometru.
• Transakcijska e-pošta: Mailgun (EU), radi dostave potvrda, računa i obavijesti o otpremi.
• Usluge Microsoft 365: interna poslovna e-pošta, kalendari, dokumentacija. Montandorov tenant.
• Cijene otpreme više prijevoznika: Upela (Upela SAS, Francuska), agregator prijevoznika koji dohvaća cijene od Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx i DHL. Šalju se samo podaci strogo nužni za ponudu: poštanski broj odredišta, grad, težina i dimenzije paketa. U ovoj se fazi ne šalju nikakvi osobni podaci.
• Automatsko dovršavanje adrese: Google Maps Platform — Maps JavaScript API i Places API (Google Ireland Limited). Google skripta učitava se tek nakon vaše prve interakcije s poljem "adresa za dostavu". Vidjeti policies.google.com/privacy.
• Pretraga francuskih poslovnih subjekata (SIRET / SIREN): francuski državni registar poslovnih subjekata putem recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Javni podaci INSEE/Sirene ponovno se upotrebljavaju pod licencijom Licence Ouverte 2.0. Za B2B kupnje u Francuskoj dopunjuje ih API portala societe.com (Société.com SAS, Francuska).
• Provjera EU PDV broja: sustav VIES Europske komisije (DG TAXUD), na temelju Uredbe Vijeća (EU) br. 904/2010. Šalje se samo PDV broj koji unesete.

Svaki je izvršitelj obrade obvezan Ugovorom o obradi podataka (DPA) koji obuhvaća potrebne ugovorne, organizacijske i tehničke zaštitne mjere, uz iznimku javnih usluga koje se ponovno upotrebljavaju pod otvorenom licencijom (DataGouv, VIES), a koje se ne oslanjaju na bilateralni DPA. Aktualni je popis dostupan na zahtjev na [email protected].

6. Međunarodni prijenosi

Prikupljeni se podaci pohranjuju i obrađuju unutar Europskoga gospodarskog prostora (Microsoft Azure West Europe, francusko logističko skladište). Prijenos u Kneževinu Andoru može se odvijati radi internih administrativnih operacija — Andora uživa odluku Europske komisije o primjerenosti (2010/625/EU), čime se jamči razina zaštite koja se smatra istovjetnom. Nijedan prijenos u treću zemlju bez odluke o primjerenosti ne odvija se bez standardnih ugovornih klauzula ili istovjetnih zaštitnih mjera.

7. Sigurnost

Provodimo razumne tehničke i organizacijske mjere radi zaštite vaših podataka: end-to-end enkripciju TLS 1.3, tokenizirano plaćanje (PCI-DSS Level 1), strogu kontrolu pristupa internim sustavima, vođenje zapisnika o pristupu, višefaktorsku autentifikaciju za administratorske račune, dnevne enkriptirane sigurnosne kopije, odvajanje produkcijskih i testnih okruženja te periodične sigurnosne revizije. U slučaju povrede koja bi mogla prouzročiti rizik za vaša prava i slobode, o tome obavještavamo nadležno nadzorno tijelo u roku od 72 sata i, kada je rizik visok, izravno vas obavještavamo.

8. Automatizirane odluke i izrada profila

Nijedna odluka koja proizvodi pravne učinke ili znatno utječe na posjetitelje ne donosi se u potpunosti automatiziranom obradom. Primjenjujemo automatizirana pravila za sprječavanje prijevara na platnim transakcijama (provjera adrese, otkrivanje sumnjivog ponašanja); svaka odluka o blokiranju ili poništenju može se osporiti slanjem e-poruke na [email protected] te dovodi do ljudske provjere od strane člana našeg tima.

9. Vaša prava

Na temelju GDPR-a i andorskog LQPD-a imate sljedeća prava u pogledu podataka koji se na vas odnose:

• Pravo na pristup svojim podacima.
• Pravo na ispravak netočnih podataka.
• Pravo na brisanje ("pravo na zaborav") pod uvjetima utvrđenima zakonom.
• Pravo na ograničenje obrade.
• Pravo na prenosivost svojih podataka drugom voditelju obrade.
• Pravo na prigovor na obradu koja se temelji na legitimnom interesu.
• Pravo na povlačenje privole u svakom trenutku za obradu koja se temelji na privoli (npr. newsletter).
• Pravo na utvrđivanje uputa za slučaj smrti (post-mortem).
• Pravo na podnošenje pritužbe Andorskoj agenciji za zaštitu podataka (APDA), francuskom CNIL-u ili svojem lokalnom nadzornom tijelu u EU-u.

Za ostvarivanje svojih prava pošaljite e-poruku na [email protected] ili upotrijebite chat butika odabirom kategorije "Privatnost". Radi sprječavanja lažnog predstavljanja može se zatražiti razuman dokaz identiteta.

10. Izmjene ove obavijesti

Ova se obavijest može mijenjati. Datum posljednjeg ažuriranja prikazan je na vrhu stranice. Znatne izmjene (promjena voditelja obrade, promjena svrha, dodavanje novog važnog izvršitelja obrade) bit će istaknute putem namjenskog informativnog bannera u trajanju od trideset (30) dana.