Obavijest o zaštiti podataka

1. Voditelj obrade

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-pošta: info@batteriepass-online.eu

Na temelju članka 37. GDPR-a nismo obvezni imenovati službenika za zaštitu podataka. Upite o zaštiti podataka uputite na gore navedenu adresu e-pošte.

1a. Predstavnik u EU-u (članak 27. GDPR-a)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-pošta: info@batteriepass-online.eu

Ispitanici i nadzorna tijela u EU-u mogu se obratiti predstavniku u vezi sa svim pitanjima obrade; predstavnik djeluje u ime voditelja obrade.

2. Naša uloga: voditelj obrade ili izvršitelj obrade

Za korisničke račune, obračun, sigurnost i rad internetskih stranica mi smo voditelj obrade. Ova obavijest opisuje tu obradu.

Sadržaj putovnica za baterije, učitane dokumente, kontakte dobavljača i zahtjeve za pristup u softver unose naši kupci (gospodarski subjekti). Za te podatke voditelj obrade je pojedini kupac, a mi smo njegov izvršitelj obrade u skladu s člankom 28. GDPR-a, na temelju našeg Ugovora o obradi podataka (/avv). U vezi s tim podacima ispitanici se trebaju obratiti gospodarskom subjektu navedenom u putovnici; zahtjeve prosljeđujemo.

3. Posjet internetskim stranicama

Kada otvorite naše stranice, naš poslužitelj obrađuje Vašu IP adresu, zatraženu adresu i identifikator preglednika (user agent) kako bi isporučio stranicu i odbio napade (članak 6. stavak 1. točka (f) GDPR-a). Naš ulazni web-poslužitelj bilježi IP adresu, vrijeme, zatraženu adresu, statusni kod i user agent radi otkrivanja napada i zlouporabe; ovaj zapisnik poslužitelja automatski se briše nakon sedam dana. Osim toga, IP adresa obrađuje se samo u brojačima ograničenja broja zahtjeva (točka 5.) te, skraćena i hashirana, u zapisniku pristupa zaštićenom sadržaju putovnica (točka 7.).

Ne koristimo alate za analitičko praćenje, dodatke društvenih mreža ni vanjske fontove. Google Ads za mjerenje uspješnosti naših oglasa koristimo samo uz Vašu privolu (točka 4.).

4. Kolačići

Tehnički nužni kolačići i unosi u pohranu, za koje nije potrebna privola (članak 25. stavak 2. točka 2. TDDDG-a):

• bpo_session: prijava u korisničko područje; trajanje 30 dana, briše se pri odjavi.
• bpo_access: pamti odobrenje pristupa nejavnom sadržaju putovnice (legitimni interes ili tijelo); trajanje u skladu s odobrenjem.
• bpo_consent (lokalna pohrana preglednika): pohranjuje Vaš odabir u vezi s kolačićima; trajanje 12 mjeseci.
• Google Ads (samo uz privolu): ako pristanete u natpisu o kolačićima, ugrađujemo praćenje konverzija Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska). Google pritom postavlja kolačiće (primjerice _gcl_au, trajanje do 90 dana) i prima Vašu IP adresu, posjećene stranice, vrijeme i podatke o pregledniku kako bi izmjerio je li klik na naš oglas doveo do registracije ili kupnje. Pravna osnova je Vaša privola (članak 6. stavak 1. točka (a) GDPR-a, članak 25. stavak 1. TDDDG-a). Prijenosi društvu Google LLC u SAD-u obuhvaćeni su Okvirom za privatnost podataka EU-a i SAD-a. Bez privole ne učitava se nikakav Googleov kod. Privolu možete u bilo kojem trenutku povući s učinkom za ubuduće putem „Postavke kolačića” u podnožju stranice. Googleova pravila o privatnosti: https://policies.google.com/privacy

5. Korisnički račun i organizacija

Pri registraciji obrađujemo ime, adresu e-pošte, poduzeće i lozinku, koju pohranjujemo samo kao hash (scrypt). Za organizaciju pohranjujemo pravni naziv, adresu, državu, PDV identifikacijski broj, EORI broj i daljnje identifikatore poduzeća (primjerice broj u sudskom registru ili LEI broj) koje kupac navodi za putovnice i upis u registar EU-a, kao i paket i kvote. Osim toga bilježimo vrijeme posljednje prijave i jezičnu postavku.

Svrha je pružanje korisničkog područja, pripisivanje putovnica gospodarskom subjektu i obračun. Pravna osnova je izvršavanje ugovora (članak 6. stavak 1. točka (b) GDPR-a).

Potvrde e-poštom, poveznice za prijavu i ponovno postavljanje lozinke šalju se putem usluge e-pošte društva STRATO GmbH (Njemačka). Poslane poruke e-pošte bilježimo s primateljem, predmetom, sadržajem i statusom isporuke kako bismo mogli pratiti probleme s isporukom; zapisnik se briše nakon dvanaest mjeseci.

Radi zaštite od zlouporabe ograničavamo pokušaje prijave, registracije i ponovnog postavljanja lozinke po IP adresi i računu. U tu svrhu pohranjujemo brojače s IP adresom najviše 24 sata (članak 6. stavak 1. točka (f) GDPR-a). Pokušaje prijave (uspješne i neuspješne) bilježimo s vremenom, adresom e-pošte, ishodom, punom IP adresom i user agentom tijekom 90 dana kako bismo otkrili napade na račune i razlikovali ih od pogrešno upisane lozinke samog kupca. Taj zapisnik vidi samo operater u internoj nadzornoj ploči operatera, gdje je prema zadanim postavkama skriven iza kontrole za prikaz.

6. Plaćanje i obračun

Paketi uz naknadu obrađuju se putem društva Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irska. Stripe prima ime, adresu e-pošte, adresu poduzeća, PDV identifikacijski broj i podatke o plaćanju; podatke o kartici i računu prikuplja isključivo Stripe i oni nikada ne dospijevaju na naše poslužitelje. Mi pohranjujemo Stripeov ID kupca, status pretplate i podatke o računima.

Stripe je samostalni voditelj obrade za obradu plaćanja; primjenjuju se Stripeova pravila o privatnosti (https://stripe.com/privacy). Prijenosi društvu Stripe Inc. u SAD-u obuhvaćeni su Okvirom za privatnost podataka EU-a i SAD-a i standardnim ugovornim klauzulama.

Pravne osnove su izvršavanje ugovora (članak 6. stavak 1. točka (b) GDPR-a) i naše zakonske obveze čuvanja (članak 6. stavak 1. točka (c) GDPR-a). Podatke o računima čuvamo deset godina.

7. Javne putovnice za baterije

Objavljene putovnice za baterije dostupne su diljem svijeta putem svoje adrese (QR kod). Koji su podaci javni, vidljivi samo osobama s legitimnim interesom ili samo tijelima, propisano je Prilogom XIII. Uredbe (EU) 2023/1542; softver te razine tehnički provodi. Javni podaci uključuju ime i kontaktne podatke gospodarskog subjekta; ako se radi o fizičkoj osobi, za to je odgovoran gospodarski subjekt.

Pristupe nejavnom sadržaju putovnica bilježimo za kupca s vremenom, razinom pristupa, skraćenom hashiranom IP adresom i user agentom. Taj zapisnik pristupa briše se nakon 90 dana.

Tko kao tijelo ili kao osoba s legitimnim interesom zatraži pristup zaštićenom sadržaju, navodi adresu e-pošte, organizaciju, ulogu, svrhu i, prema potrebi, dokaz. Te podatke vidi kupac, koji odlučuje o odobrenju; mi ih obrađujemo u ime kupca.

8. Obrasci za dobavljače, API i webhookovi

Kupci mogu putem poveznice u poruci e-pošte zatražiti podatke o proizvodu od dobavljača. U tu svrhu u ime kupca pohranjujemo adresu e-pošte dobavljača koju je unio kupac, status obrade i dostavljene vrijednosti.

Za API pohranjujemo API ključeve samo kao hash zajedno s vremenom posljednjeg korištenja. Adrese i tajne webhookova navodi kupac; tajne se pohranjuju šifrirano. Pokušaje isporuke bilježimo s vremenom, statusnim kodom i izvatkom odgovora tijekom 30 dana.

9. Hosting i primatelji

Koristimo sljedeće pružatelje usluga, koji podatke obrađuju u naše ime (članak 28. GDPR-a):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Njemačka: poslužitelji za aplikaciju, bazu podataka i pohranu dokumenata u podatkovnim centrima Falkenstein i Nürnberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Njemačka: slanje sistemskih poruka e-pošte.
• Stripe Payments Europe Ltd., Dublin, Irska: obrada plaćanja (kao samostalni voditelj obrade, vidjeti točku 6.).

10. Prijenosi u treće zemlje

Imamo poslovni nastan u Švicarskoj. Europska komisija priznala je da Švicarska osigurava primjerenu razinu zaštite podataka (odluka o primjerenosti 2000/518/EZ, potvrđena 2024.), pa je pristup iz Švicarske podacima pohranjenima u Njemačkoj dopušten. Osim obrade plaćanja putem Stripea (točka 6.) ne provode se prijenosi u druge treće zemlje.

11. Rokovi čuvanja

• Podaci korisničkog računa i organizacije: do brisanja računa, zatim razdoblje blokade od 30 dana; podaci o računima deset godina.
• Sesije prijave: 30 dana; poveznice za prijavu i ponovno postavljanje: do 24 sata.
• Zapisnik web-poslužitelja: sedam dana. Brojači ograničenja broja zahtjeva: 24 sata. Zapisnik prijava: 90 dana. Zapisnici pristupa zaštićenom sadržaju putovnica: 90 dana. Zapisnik e-pošte: dvanaest mjeseci. Zapisnik isporuke webhookova: 30 dana.
• Putovnice za baterije i dokumenti: tijekom zakonskog roka čuvanja u skladu s člankom 77. stavkom 8. Uredbe (EU) 2023/1542. Nakon prestanka ugovora putovnice ostaju u načinu samo za čitanje najmanje 15 godina i nakon toga do prijave recikliranja; brisanje u skladu s našim Općim uvjetima poslovanja (točka 8.).
• Zapisnik promjena (revizijski zapisnik) korisničkog područja: tijekom trajanja ugovora, radi dokazivanja lanca provjere putovnica.

12. Sigurnost

Sve su veze šifrirane TLS-om. Lozinke se pohranjuju kao scrypt hashevi, tajne šifrirano. Pristup se temelji na ulogama, pokušaji prijave su ograničeni, a promjene putovnica bilježe se u lancu hasheva. Baza podataka dostupna je samo iz privatne mreže. Sigurnosne kopije izrađuju se dnevno i čuvaju 30 dana.

13. Vaša prava

Imate pravo na pristup (članak 15. GDPR-a), ispravak (članak 16.), brisanje (članak 17.), ograničenje obrade (članak 18.), prenosivost podataka (članak 20.) i pravo na prigovor na obradu koja se temelji na legitimnim interesima (članak 21.). Obratite se na info@batteriepass-online.eu. Odgovaramo u roku od mjesec dana.

Možete podnijeti pritužbu nadzornom tijelu za zaštitu podataka, u Švicarskoj Saveznom povjereniku za zaštitu podataka i informacija (FDPIC), u EU-u tijelu u mjestu Vašeg boravišta ili rada.

Ne donosimo automatizirane pojedinačne odluke i Vaše podatke ne koristimo za oglašavanje bez Vaše prethodne privole.

14. Izmjene

Ovu obavijest ažuriramo kada se promijeni naša obrada ili pravno stanje. Aktualna verzija uvijek je dostupna na /datenschutz; o bitnim izmjenama obavještavamo kupce e-poštom.