Obvestilo o zasebnosti

To obvestilo o zasebnosti pojasnjuje, kako družba Montandor Andorra S.L.U. ("Montandor", "mi") zbira, uporablja, hrani in varuje vaše osebne podatke, ko obiščete spletno mesto securitshop.com, oddate naročilo ali prek klepeta v spletni trgovini komunicirate s svojim namenskim vodjo za posamezno državo. Sestavljeno je v skladu z andorskim pravom o varstvu podatkov (Llei Qualificada de Protecció de Dades, LQPD), s Splošno uredbo EU o varstvu podatkov (GDPR, (EU) 2016/679), kadar se obiskovalec nahaja znotraj Evropske unije, in z veljavnimi nacionalnimi predpisi o varstvu podatkov po Evropi, kjer se ti uporabljajo.

1. Upravljavec podatkov

Montandor Andorra S.L.U., s sedežem na naslovu Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Kneževina Andora. Za vsa vprašanja glede zasebnosti ali za uveljavljanje svojih pravic pišite na [email protected] ali uporabite klepet v spletni trgovini in izberite kategorijo "Zasebnost". Odgovorimo v rokih, ki jih določa veljavno pravo, v vsakem primeru pa v tridesetih (30) dneh.

2. Podatki, ki jih zbiramo

Zbiramo štiri kategorije podatkov, strogo omejene na tisto, kar je potrebno za izpolnitev vašega naročila in upravljanje poslovnega razmerja:

• Podatki o računu in naročilu: polno ime, ime podjetja (če obstaja), naslov za izstavitev računa in naslov za dostavo, e-poštni naslov, telefon, identifikacijske številke naročil, zgodovina nakupov. Ti podatki so potrebni za sklenitev in izvajanje prodajne pogodbe.
• Podatki o plačilu: polnih številk kartic nikoli ne shranjujemo. Plačilo obdela naš ponudnik, certificiran po standardu PCI-DSS Level 1. Za namene računovodstva in preprečevanja goljufij hranimo le transakcijski žeton, zadnje štiri številke kartice, kartično mrežo (Visa, Mastercard, Amex), datum poteka veljavnosti in status plačila.
• Podatki o dostavi: naslov za dostavo, koda vhoda, navodila za dostavo, sledilna številka prevoznika (Chronopost, DHL Express). Deljeni so izključno z našim prevoznikom in logističnim ponudnikom 3PL za izvedbo dostave.
• Tehnični podatki o povezavi: naslov IP, uporabniški agent, približna država, ogledana stran, časovni žig. Napajajo naše dnevnike dostopa za varnost, preprečevanje goljufij in tehnično diagnostiko.

Ne zbiramo nobenih občutljivih podatkov v smislu člena 9 GDPR (etnično poreklo, politična prepričanja, vera, zdravje, spolna usmerjenost, članstvo v sindikatu, biometrični ali genetski podatki).

3. Nameni in pravna podlaga

4. Roki hrambe

• Podatki o naročilih in izstavljanju računov: trajanje poslovnega razmerja in nadaljnjih deset (10) let, v skladu z andorskimi in francoskimi računovodskimi obveznostmi.
• Podatki o plačilu: trinajst (13) mesecev za transakcijski žeton in elemente za preprečevanje goljufij, v skladu s smernicami CNIL in zahtevami PCI-DSS.
• Neaktivni uporabniški račun: tri (3) leta po zadnji prijavi, nato izbris ali anonimizacija (ob upoštevanju preostalih računovodskih obveznosti).
• Tehnični dnevniki dostopa: dvanajst (12) mesecev, nato samodejni izbris.
• Agregirano merjenje obiskanosti: trinajst (13) tekočih mesecev.
• Novičnik: do vaše odjave, ki je takojšnja prek povezave v vsakem sporočilu.

5. Prejemniki in obdelovalci

Zbrane podatke obdeluje naša notranja ekipa in omejeno število tehničnih obdelovalcev, ki so strogo potrebni za izvedbo vašega naročila:

• Gostovanje infrastrukture: Microsoft Azure, regija West Europe. Podatki so shranjeni znotraj EU.
• Plačila: plačila s kartico se obdelujejo prek plačilnega prehoda Redsys (Redsys Servicios de Procesamiento, S.L., Španija — EU), ki je certificiran po standardu PCI-DSS Level 1 in skrbi za zajem podatkov o kartici, avtorizacijo, 3-D Secure (PSD2 SCA) ter preverjanje glede goljufij. Pridobitvena (acquiring) banka je Creand (Creand Crèdit Andorrà, S.A., Andora), pri čemer Andora uživa ugodnosti sklepa Evropske komisije (European Commission) o ustreznosti ravni varstva (2010/625/EU). Celotnih številk kartic nikoli ne prejmemo niti ne shranjujemo.
• Logistika in odprema: logistični ponudnik 3PL v Franciji (skladišče Grisolles, 82170) in prevozniki (Chronopost, DHL Express) za dostavo zadnjega kilometra.
• Transakcijska e-pošta: Mailgun (EU), za dostavo potrdil, računov in obvestil o odpremi.
• Storitve Microsoft 365: notranja poslovna e-pošta, koledarji, dokumentacija. Najem (tenant) Montandor.
• Cene odpreme več prevoznikov: Upela (Upela SAS, Francija), agregator prevoznikov, ki povprašuje Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx in DHL. Poslani so le podatki, strogo potrebni za ponudbo: poštna številka namembnega kraja, mesto, teža in dimenzije paketa. Na tej stopnji se ne pošljejo nobeni osebni podatki.
• Samodejno dopolnjevanje naslova: Google Maps Platform — Maps JavaScript API in Places API (Google Ireland Limited). Googlova skripta se naloži šele po vaši prvi interakciji s poljem "naslov za dostavo". Glejte policies.google.com/privacy.
• Poizvedba o francoskih podjetjih (SIRET / SIREN): francoski državni poslovni register prek recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Javni podatki INSEE/Sirene, ponovno uporabljeni pod licenco Licence Ouverte 2.0. Za nakupe B2B v Franciji dopolnjeno z API-jem societe.com (Société.com SAS, Francija).
• Preverjanje identifikacijske številke za DDV v EU: sistem VIES Evropske komisije (DG TAXUD), v skladu z Uredbo Sveta (EU) št. 904/2010. Poslana je le identifikacijska številka za DDV, ki jo vnesete.

Vsak obdelovalec je zavezan s pogodbo o obdelavi podatkov (DPA), ki zajema zahtevane pogodbene, organizacijske in tehnične zaščitne ukrepe, razen javnih storitev, ponovno uporabljenih pod odprto licenco (DataGouv, VIES), ki ne temeljijo na dvostranski DPA. Aktualni seznam je na voljo na zahtevo na naslovu [email protected].

6. Mednarodni prenosi

Zbrani podatki se shranjujejo in obdelujejo znotraj Evropskega gospodarskega prostora (Microsoft Azure West Europe, francosko logistično skladišče). Do prenosa v Kneževino Andoro lahko pride za notranje administrativne operacije — Andora ima korist od sklepa Evropske komisije o ustreznosti (2010/625/EU), ki zagotavlja raven varstva, ki se šteje za enakovredno. Do prenosa v tretjo državo brez sklepa o ustreznosti ne pride brez standardnih pogodbenih klavzul ali enakovrednih zaščitnih ukrepov.

7. Varnost

Izvajamo razumne tehnične in organizacijske ukrepe za zaščito vaših podatkov: end-to-end šifriranje TLS 1.3, tokenizirano plačilo (PCI-DSS Level 1), strog nadzor dostopa do notranjih sistemov, beleženje dostopov, večfaktorsko avtentikacijo za administratorske račune, dnevne šifrirane varnostne kopije, ločevanje produkcijskega in testnega okolja, periodične varnostne presoje. V primeru kršitve, ki bi lahko povzročila tveganje za vaše pravice in svoboščine, o tem obvestimo pristojni nadzorni organ v 72 urah, in kadar je tveganje veliko, obvestimo neposredno vas.

8. Avtomatizirane odločitve in oblikovanje profilov

Nobena odločitev, ki bi imela pravne učinke ali bi znatno vplivala na obiskovalce, ni sprejeta s povsem avtomatizirano obdelavo. Na plačilne transakcije uporabljamo avtomatizirana pravila za preprečevanje goljufij (preverjanje naslova, zaznavanje sumljivega vedenja); vsaki odločitvi o blokadi ali preklicu je mogoče ugovarjati po e-pošti na [email protected], kar sproži pregled s strani člana naše ekipe.

9. Vaše pravice

Na podlagi GDPR in andorskega LQPD imate glede podatkov, ki se nanašajo na vas, naslednje pravice:

• Pravica do dostopa do vaših podatkov.
• Pravica do popravka netočnih podatkov.
• Pravica do izbrisa ("pravica do pozabe") pod pogoji, ki jih določa zakon.
• Pravica do omejitve obdelave.
• Pravica do prenosljivosti vaših podatkov k drugemu upravljavcu.
• Pravica do ugovora obdelavi, ki temelji na zakonitem interesu.
• Pravica do preklica privolitve kadar koli za obdelavo, ki temelji na privolitvi (npr. novičnik).
• Pravica do določitve navodil za obdobje po smrti.
• Pravica do vložitve pritožbe pri Andorski agenciji za varstvo podatkov (APDA), francoskem CNIL ali vašem lokalnem nadzornem organu EU.

Za uveljavljanje svojih pravic pišite na [email protected] ali uporabite klepet v spletni trgovini in izberite "Zasebnost". Za preprečitev lažnega predstavljanja lahko zahtevamo razumno dokazilo o istovetnosti.

10. Spremembe tega obvestila

To obvestilo se lahko spreminja. Datum zadnje posodobitve je prikazan na vrhu strani. Bistvene spremembe (sprememba upravljavca, sprememba namenov, dodajanje novega pomembnega obdelovalca) bodo izpostavljene prek namenske informativne pasice v trajanju tridesetih (30) dni.