Obvestilo o varstvu podatkov

1. Upravljavec

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-pošta: info@batteriepass-online.eu

Na podlagi člena 37 GDPR nismo dolžni imenovati pooblaščene osebe za varstvo podatkov. Zahteve v zvezi z varstvom podatkov pošljite na zgornji e-poštni naslov.

1a. Predstavnik v EU (člen 27 GDPR)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-pošta: info@batteriepass-online.eu

Posamezniki, na katere se nanašajo osebni podatki, in nadzorni organi v EU se lahko glede vseh vprašanj v zvezi z obdelavo obrnejo na predstavnika; predstavnik deluje v imenu upravljavca.

2. Naša vloga: upravljavec ali obdelovalec

Za uporabniške račune, obračun, varnost in delovanje spletnega mesta smo upravljavec. To obvestilo opisuje to obdelavo.

Vsebino potnih listov baterij, naložene dokumente, kontakte dobaviteljev in zahteve za dostop v programsko opremo vnašajo naše stranke (gospodarski subjekti). Za te podatke je upravljavec posamezna stranka, mi pa smo njen obdelovalec v skladu s členom 28 GDPR na podlagi naše pogodbe o obdelavi podatkov (/avv). Glede teh podatkov naj se posamezniki, na katere se nanašajo osebni podatki, obrnejo na gospodarski subjekt, naveden v potnem listu; zahteve posredujemo.

3. Obisk spletnega mesta

Ko odprete naše strani, naš strežnik obdeluje vaš naslov IP, zahtevani naslov in identifikator brskalnika (user agent), da dostavi stran in odbije napade (člen 6(1)(f) GDPR). Naš predhodni spletni strežnik beleži naslov IP, čas, zahtevani naslov, statusno kodo in user agent, da odkrije napade in zlorabe; ta strežniški dnevnik se samodejno izbriše po sedmih dneh. Poleg tega se naslov IP obdeluje samo v števcih omejitve zahtev (točka 5) ter skrajšan in zgoščen v dnevniku dostopov do zaščitene vsebine potnih listov (točka 7).

Ne uporabljamo analitičnih sledilnikov, vtičnikov družbenih omrežij ali zunanjih pisav. Google Ads za merjenje uspešnosti naših oglasov uporabljamo samo z vašo privolitvijo (točka 4).

4. Piškotki

Tehnično nujni piškotki in vnosi v shrambo, za katere privolitev ni potrebna (člen 25(2), točka 2, TDDDG):

• bpo_session: prijava v uporabniško območje; trajanje 30 dni, izbriše se ob odjavi.
• bpo_access: shrani odobritev dostopa do nejavne vsebine potnega lista (upravičeni interes ali organ); trajanje v skladu z odobritvijo.
• bpo_consent (lokalna shramba brskalnika): shrani vašo izbiro glede piškotkov; trajanje 12 mesecev.
• Google Ads (samo s privolitvijo): če v pasici o piškotkih privolite, vključimo sledenje konverzijam Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska). Google pri tem nastavi piškotke (na primer _gcl_au, trajanje do 90 dni) in prejme vaš naslov IP, obiskane strani, čas in podatke o brskalniku, da izmeri, ali je klik na naš oglas privedel do registracije ali nakupa. Pravna podlaga je vaša privolitev (člen 6(1)(a) GDPR, člen 25(1) TDDDG). Prenosi družbi Google LLC v ZDA so zajeti z okvirom EU-ZDA za zasebnost podatkov. Brez privolitve se ne naloži nobena Googlova koda. Privolitev lahko kadar koli prekličete z učinkom za naprej prek „Nastavitve piškotkov“ v nogi strani. Googlov pravilnik o zasebnosti: https://policies.google.com/privacy

5. Uporabniški račun in organizacija

Ob registraciji obdelujemo ime, e-poštni naslov, podjetje in geslo, ki ga shranimo samo kot zgoščeno vrednost (scrypt). Za organizacijo shranjujemo pravno ime, naslov, državo, identifikacijsko številko za DDV, številko EORI in druge identifikatorje podjetja (na primer številko v sodnem registru ali številko LEI), ki jih stranka navede za potne liste in vpis v register EU, ter paket in kvote. Poleg tega beležimo čas zadnje prijave in jezikovno nastavitev.

Namen je zagotavljanje uporabniškega območja, pripisovanje potnih listov gospodarskemu subjektu in obračun. Pravna podlaga je izvajanje pogodbe (člen 6(1)(b) GDPR).

Potrditve po e-pošti, povezave za prijavo in ponastavitev gesla se pošiljajo prek e-poštne storitve družbe STRATO GmbH (Nemčija). Poslana e-poštna sporočila beležimo s prejemnikom, zadevo, vsebino in statusom dostave, da lahko sledimo težavam z dostavo; dnevnik se izbriše po dvanajstih mesecih.

Za zaščito pred zlorabo omejujemo poskuse prijave, registracije in ponastavitve gesla na naslov IP in račun. V ta namen shranjujemo števce z naslovom IP največ 24 ur (člen 6(1)(f) GDPR). Poskuse prijave (uspešne in neuspešne) beležimo s časom, e-poštnim naslovom, izidom, polnim naslovom IP in user agentom 90 dni, da odkrijemo napade na račune in jih ločimo od napačno vnesenega gesla stranke same. Ta dnevnik vidi samo ponudnik v internem nadzornem pultu ponudnika, kjer je privzeto skrit za kontrolnikom za prikaz.

6. Plačilo in obračun

Plačljivi paketi se obdelujejo prek družbe Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irska. Stripe prejme ime, e-poštni naslov, naslov podjetja, identifikacijsko številko za DDV in plačilne podatke; podatke o kartici in računu zbira izključno Stripe in nikoli ne pridejo na naše strežnike. Shranjujemo ID stranke pri Stripu, status naročnine in podatke o računih.

Stripe je samostojni upravljavec za obdelavo plačil; velja Stripov pravilnik o zasebnosti (https://stripe.com/privacy). Prenosi družbi Stripe Inc. v ZDA so zajeti z okvirom EU-ZDA za zasebnost podatkov in standardnimi pogodbenimi klavzulami.

Pravni podlagi sta izvajanje pogodbe (člen 6(1)(b) GDPR) in naše zakonske obveznosti hrambe (člen 6(1)(c) GDPR). Podatke o računih hranimo deset let.

7. Javni potni listi baterij

Objavljeni potni listi baterij so dostopni po vsem svetu prek svojega naslova (koda QR). Kateri podatki so javni, vidni samo osebam z upravičenim interesom ali samo organom, določa Priloga XIII k Uredbi (EU) 2023/1542; programska oprema te ravni tehnično izvaja. Javni podatki vključujejo ime in kontaktne podatke gospodarskega subjekta; če gre za fizično osebo, je za to odgovoren gospodarski subjekt.

Dostope do nejavne vsebine potnih listov za stranko beležimo s časom, ravnjo dostopa, skrajšanim zgoščenim naslovom IP in user agentom. Ta dnevnik dostopov se izbriše po 90 dneh.

Kdor kot organ ali kot oseba z upravičenim interesom zahteva dostop do zaščitene vsebine, navede e-poštni naslov, organizacijo, vlogo, namen in po potrebi dokazilo. Te podatke vidi stranka, ki odloča o odobritvi; obdelujemo jih v imenu stranke.

8. Obrazci za dobavitelje, API in webhooki

Stranke lahko prek povezave v e-pošti zaprosijo dobavitelje za podatke o izdelku. V ta namen v imenu stranke shranjujemo e-poštni naslov dobavitelja, ki ga je vnesla stranka, status obdelave in posredovane vrednosti.

Za API shranjujemo ključe API samo kot zgoščeno vrednost skupaj s časom zadnje uporabe. Naslove in skrivnosti webhookov navede stranka; skrivnosti se shranjujejo šifrirano. Poskuse dostave beležimo s časom, statusno kodo in izsekom odgovora 30 dni.

9. Gostovanje in prejemniki

Uporabljamo naslednje ponudnike storitev, ki podatke obdelujejo v našem imenu (člen 28 GDPR):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Nemčija: strežniki za aplikacijo, podatkovno zbirko in shrambo dokumentov v podatkovnih centrih Falkenstein in Nürnberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Nemčija: pošiljanje sistemskih e-poštnih sporočil.
• Stripe Payments Europe Ltd., Dublin, Irska: obdelava plačil (kot samostojni upravljavec, glej točko 6).

10. Prenosi v tretje države

Naš sedež je v Švici. Evropska komisija je priznala, da Švica zagotavlja ustrezno raven varstva podatkov (sklep o ustreznosti 2000/518/ES, potrjen leta 2024), zato je dostop iz Švice do podatkov, shranjenih v Nemčiji, dovoljen. Razen obdelave plačil prek Stripa (točka 6) prenosov v druge tretje države ni.

11. Roki hrambe

• Podatki uporabniškega računa in organizacije: do izbrisa računa, nato 30-dnevno obdobje blokade; podatki o računih deset let.
• Seje prijave: 30 dni; povezave za prijavo in ponastavitev: do 24 ur.
• Dnevnik spletnega strežnika: sedem dni. Števci omejitve zahtev: 24 ur. Dnevnik prijav: 90 dni. Dnevniki dostopov do zaščitene vsebine potnih listov: 90 dni. Dnevnik e-pošte: dvanajst mesecev. Dnevnik dostave webhookov: 30 dni.
• Potni listi baterij in dokumenti: za zakonski rok hrambe v skladu s členom 77(8) Uredbe (EU) 2023/1542. Po prenehanju pogodbe ostanejo potni listi v načinu samo za branje vsaj 15 let in po tem do sporočila o recikliranju; izbris v skladu z našimi splošnimi pogoji poslovanja (točka 8).
• Dnevnik sprememb (revizijska sled) uporabniškega območja: ves čas trajanja pogodbe, da se dokaže veriga preverjanja potnih listov.

12. Varnost

Vse povezave so šifrirane s TLS. Gesla so shranjena kot zgoščene vrednosti scrypt, skrivnosti šifrirano. Dostop temelji na vlogah, poskusi prijave so omejeni, spremembe potnih listov pa se beležijo v verigi zgoščenih vrednosti. Podatkovna zbirka je dosegljiva samo iz zasebnega omrežja. Varnostne kopije se ustvarjajo dnevno in hranijo 30 dni.

13. Vaše pravice

Imate pravico do dostopa (člen 15 GDPR), popravka (člen 16), izbrisa (člen 17), omejitve obdelave (člen 18), prenosljivosti podatkov (člen 20) in pravico do ugovora obdelavi, ki temelji na zakonitih interesih (člen 21). Obrnite se na info@batteriepass-online.eu. Odgovorimo v enem mesecu.

Pritožbo lahko vložite pri nadzornem organu za varstvo podatkov, v Švici pri Zveznem pooblaščencu za varstvo podatkov in informacij (FDPIC), v EU pri organu v kraju vašega prebivališča ali dela.

Ne sprejemamo avtomatiziranih posameznih odločitev in vaših podatkov brez vaše predhodne privolitve ne uporabljamo za oglaševanje.

14. Spremembe

To obvestilo posodobimo, ko se spremeni naša obdelava ali pravno stanje. Veljavna različica je vedno dostopna na /datenschutz; o bistvenih spremembah stranke obvestimo po e-pošti.