Politika privatnosti — Kodra Sidrix: Sidrena cijena

1. Tko smo

Aplikaciju „Kodra Sidrix: Sidrena cijena“ (dalje: „Aplikacija“) za trgovine na platformi Shopify pruža Enigma 101 global j.d.o.o., Gajeva ulica 42, 10000 Zagreb, Hrvatska, OIB 03945849423, PDV ID HR03945849423, MBS 081673164, MB 6171923, upisano u sudski registar kod Trgovački sud u Zagrebu (dalje: „mi“ ili „Pružatelj“).

Za sva pitanja o zaštiti osobnih podataka obratite nam se na info@enigma101.com ili poštom na gore navedenu adresu.

Ova Politika objašnjava koje podatke obrađujemo kada trgovac instalira i koristi Aplikaciju, u koje svrhe, na kojoj pravnoj osnovi, s kim ih dijelimo, koliko ih dugo čuvamo i koja prava imaju ispitanici. Primjenjuje se Opća uredba o zaštiti podataka (EU) 2016/679 („GDPR“) i Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/18).

2. Na koga se odnosi

• Trgovci (pravne i fizičke osobe koje obavljaju djelatnost) koji su instalirali Aplikaciju u svoju Shopify trgovinu.
• Zaposlenici i suradnici trgovca koji koriste Aplikaciju u Shopify administraciji (npr. osoba koja potvrđuje sidrene cijene ili prima upozorenja e-mailom).
• Aplikacija NE obrađuje osobne podatke kupaca trgovine (imena, adrese, e-mailove, telefone, podatke o plaćanju). Vidi točku 3.6.

3. Koje podatke obrađujemo

3.1. Podaci o trgovini i pristupu: Shopify domena trgovine (npr. trgovina.myshopify.com), pristupni tokeni koje Shopify izdaje Aplikaciji (OAuth), odobreni opseg ovlasti, vrijeme instalacije. Ako Shopify u sesiji dostavi podatke o korisniku administracije (ime, prezime, e-mail, jezik), oni se koriste isključivo za prijavu u Aplikaciju.

3.2. Postavke prodajnog objekta: oblik objekta, adresa prodajnog objekta, oznaka objekta, referentni datum, e-mail adresa za upozorenja. Ove podatke unosi trgovac.

3.3. Revizijski trag sidrenih cijena: za svaku potvrđenu sidrenu cijenu bilježimo varijantu proizvoda, iznos, datum, izvor (uvoz, narudžba, ručni unos, novi proizvod), dokaz (npr. naziv uvezene datoteke ili broj narudžbe), ime i prezime osobe koja je potvrdila unos te vrijeme potvrde. Revizijski trag postoji kako bi trgovac mogao inspekciji dokazati podrijetlo sidrene cijene.

3.4. Podaci o proizvodima: nazivi, šifre (SKU), barkodovi, marke, cijene, akcijske cijene, dostupnost i vrijednosti opcija varijanti. Sidrena cijena, njezin datum i izvor spremaju se kao metapodaci (metafields) u trgovini trgovca na Shopifyju. To u pravilu nisu osobni podaci.

3.5. Objavljeni cjenici: CSV datoteke cjenika i njihov indeks (broj pohrane, datum i vrijeme objave, broj stavki). Cjenici su javni na domeni trgovca jer to propisuje Odluka o objavi cjenika (NN 101/2026). Cjenici ne sadrže osobne podatke, osim ako trgovac u nazive proizvoda ili adresu objekta sam unese osobne podatke.

3.6. Narudžbe: Aplikacija ima ovlast čitanja narudžbi isključivo za funkciju „Predloži iz narudžbi“ (rekonstrukcija cijene na referentni datum). Pritom čitamo samo broj narudžbe, varijantu proizvoda i izvornu jediničnu cijenu stavke. Ne čitamo i ne pohranjujemo imena, adrese, e-mail adrese, telefone ni podatke o plaćanju kupaca. Ako trgovac potvrdi predloženu cijenu, broj narudžbe (npr. #1001) upisuje se u revizijski trag kao dokaz.

3.7. Tehnički zapisi: poslužitelj bilježi tehničke zapise zahtjeva (vrijeme, putanja, statusni kod, IP adresa klijenta ili Shopifyja, poruke o greškama) radi sigurnosti i otklanjanja kvarova.

3.8. E-mail upozorenja: adresa primatelja, naslov i sadržaj upozorenja te status isporuke.

3.9. Kolačići: unutar Shopify administracije Aplikacija koristi sesijske tokene koje izdaje Shopify. Ne koristimo kolačiće za analitiku, praćenje ni oglašavanje. Javna stranica cjenika ne postavlja kolačiće.

4. Svrhe i pravne osnove

• Pružanje usluge (prikaz sidrene cijene, generiranje i objava cjenika, uvoz, upozorenja) — izvršenje ugovora s trgovcem (čl. 6. st. 1. t. (b) GDPR-a).
• Revizijski trag i dokazivanje podrijetla sidrene cijene — izvršenje ugovora i legitimni interes trgovca da ispuni zakonsku obvezu i dokaže je inspekciji (čl. 6. st. 1. t. (b) i (f)).
• Sigurnost, sprječavanje zlouporabe, otklanjanje kvarova (tehnički zapisi) — legitimni interes Pružatelja (čl. 6. st. 1. t. (f)).
• Obračun pretplate — izvršenje ugovora; obračun i naplatu provodi Shopify.
• Poštivanje zakonskih obveza Pružatelja (računovodstvo, porezi, zahtjevi nadležnih tijela) — pravna obveza (čl. 6. st. 1. t. (c)).

Ne prodajemo osobne podatke, ne koristimo ih za oglašavanje i ne provodimo automatizirano donošenje odluka ni izradu profila u smislu čl. 22. GDPR-a.

5. Uloge: voditelj i izvršitelj obrade

Za podatke o trgovcu kao našem korisniku (točke 3.1, 3.2, 3.7, 3.8 u dijelu koji se odnosi na odnos s trgovcem) Pružatelj je voditelj obrade.

Za osobne podatke koje trgovac unosi o svojim zaposlenicima (npr. ime osobe koja potvrđuje sidrene cijene) i za podatke iz trgovine koje Aplikacija obrađuje u ime trgovca, trgovac je voditelj obrade, a Pružatelj izvršitelj obrade. Uvjeti obrade u tom odnosu uređeni su člankom „Obrada osobnih podataka“ Uvjeta korištenja, koji čini ugovor o obradi u smislu čl. 28. GDPR-a.

6. Primatelji i podizvršitelji

Podatke dijelimo samo s pružateljima usluga nužnih za rad Aplikacije:

• Shopify (Shopify International Limited, Irska, i povezana društva) — platforma na kojoj Aplikacija radi; podaci o trgovini i proizvodima nalaze se na Shopifyju.
• Fly.io, Inc. (SAD) — smještaj aplikacijskog poslužitelja; podatkovni centar u Frankfurtu (Njemačka).
• Neon, Inc. (SAD) — baza podataka (postavke, revizijski trag, cjenici); podatkovni centar u Frankfurtu (Njemačka, Amazon Web Services eu-central-1).
• Resend, Inc. (SAD) — slanje e-mail upozorenja.

Podatke možemo otkriti nadležnim tijelima kada to zahtijeva zakon ili pravomoćna odluka suda ili tijela.

7. Prijenos podataka izvan EGP-a

Podaci se primarno pohranjuju u Europskoj uniji (Frankfurt). Budući da su neki podizvršitelji sa sjedištem u SAD-u, pristup podacima ili njihov prijenos izvan Europskog gospodarskog prostora moguć je (npr. radi podrške ili slanja e-maila). U tom slučaju prijenos se temelji na Odluci o primjerenosti za Okvir za privatnost podataka EU–SAD (za certificirane pružatelje) ili na standardnim ugovornim klauzulama Europske komisije, uz dodatne mjere zaštite prema potrebi.

8. Koliko dugo čuvamo podatke

• Postavke, revizijski trag i objavljeni cjenici čuvaju se dok je Aplikacija instalirana.
• Nakon deinstalacije Shopify nam šalje zahtjev za brisanje podataka trgovine (shop/redact), u pravilu 48 sati nakon deinstalacije. Po primitku brišemo postavke, revizijski trag, cjenike i sesije trgovine, najkasnije u roku od 30 dana.
• Sigurnosne kopije baze brišu se u redovitom ciklusu, najkasnije 30 dana nakon brisanja izvornih podataka.
• Tehnički zapisi čuvaju se kratkotrajno, u pravilu najviše 30 dana.
• Zapisi o poslanim e-mailovima čuvaju se u skladu s pravilima pružatelja usluge Resend, u pravilu najviše 30 dana.
• Podatke koje smo dužni čuvati po posebnim propisima (npr. računovodstveni) čuvamo u propisanim rokovima.

Važno za trgovce: propis traži da prethodni cjenici budu javno dostupni najmanje 30 dana. Deinstalacijom Aplikacije javna stranica cjenika prestaje raditi. Prije deinstalacije preuzmite arhivu cjenika i revizijski trag ako su vam potrebni.

9. Sigurnost

Primjenjujemo primjerene tehničke i organizacijske mjere: šifriranu komunikaciju (HTTPS/TLS), provjeru potpisa svih zahtjeva koje šalje Shopify, ograničenje pristupa samo nužnim ovlastima (načelo najmanjih ovlasti), šifriranje pohranjenih podataka kod pružatelja smještaja i baze podataka, zaštitu pristupnih ključeva i ograničen pristup osoblja. Nijedna mjera nije apsolutna; o povredi osobnih podataka obavijestit ćemo pogođene trgovce i, kada je to propisano, nadzorno tijelo.

10. Zahtjevi platforme Shopify (GDPR webhooki)

• customers/data_request — Aplikacija ne pohranjuje osobne podatke kupaca, pa na zahtjev za pristup potvrđujemo da ih nemamo.
• customers/redact — iz istog razloga nema podataka kupaca za brisanje.
• shop/redact — brišemo sve podatke trgovine kako je opisano u točki 8.

11. Vaša prava

Ispitanici imaju pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka te pravo na prigovor obradi koja se temelji na legitimnom interesu. Zahtjev pošaljite na info@enigma101.com. Odgovorit ćemo bez nepotrebnog odgađanja, a najkasnije u roku od 30 dana (rok se može produljiti u skladu s čl. 12. GDPR-a).

Ako ste zaposlenik trgovca, a podatke je u Aplikaciju unio trgovac, zahtjev prvenstveno uputite trgovcu kao voditelju obrade; mi ćemo mu pomoći u njegovu ispunjavanju.

Imate pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, www.azop.hr, ili nadzornom tijelu države članice u kojoj imate uobičajeno boravište ili mjesto rada.

12. Djeca

Aplikacija je namijenjena isključivo poslovnim korisnicima i nije namijenjena osobama mlađim od 16 godina.

13. Izmjene politike

Politiku možemo izmijeniti zbog promjena u Aplikaciji, podizvršiteljima ili propisima. Bitne izmjene objavit ćemo na ovoj stranici i obavijestiti trgovce unutar Aplikacije ili e-mailom najmanje 15 dana prije stupanja na snagu. Datum stupanja na snagu naveden je na vrhu stranice.