Pravila privatnosti

1. Voditelj obrade

KLIKOTEKA d.o.o., OIB 95593466560, MB 06138969, Lukoranska ulica 17, 10000 Zagreb, Hrvatska.
Kontakt za zaštitu podataka: info@klikoteka.hr.

2. Koje podatke prikupljamo

• Podaci o korisničkom računu: e-mail adresa, ime, lozinka (pohranjena kriptirano), podaci o prijavi putem Googlea.
• Podaci o poslovnom subjektu: OIB, naziv, adresa, IBAN, podaci o poslovnom prostoru i operateru, fiskalizacijski certifikat (pohranjen kriptirano).
• Podaci o dokumentima: računi, ponude i podaci o kupcima koje korisnik unosi ili koji dolaze putem webshop integracija (uključujući OIB-ove i adrese kupaca).
• Ulazni računi (URA) i e-Računi: dokumenti primljeni preko posrednika, uključujući podatke o dobavljačima te izvorni XML i PDF koje posrednik izdaje. Izvornike čuvamo kod sebe jer ih posrednik nakon nekog vremena arhivira i više nisu dostupni.
• Pristupni podaci za posrednika e-Računa (korisničko ime, lozinka, identifikator softvera), pohranjeni kriptirano.
• Postavke slanja e-pošte (SMTP) vašeg poslužitelja, s lozinkom pohranjenom kriptirano.
• Izvodi banke koje sami učitate, radi povezivanja uplata s računima.
• Podaci o naplati: pretplatu za Shopify trgovine naplaćuje Shopify; za ostale korisnike naplata ide ponudom/predračunom (virman). Ne pohranjujemo brojeve platnih kartica.
• Tehnički podaci: IP adresa, zapisi pristupa (logovi), podaci nužni za sigurnost i rad usluge.

3. Naša uloga (voditelj vs. izvršitelj obrade)

Za podatke o korisničkom računu i poslovnom subjektu mi smo voditelj obrade. Za podatke koje korisnik obrađuje o svojim kupcima i dobavljačima (na računima, ponudama i ulaznim računima) korisnik je voditelj obrade, a mi smo izvršitelj obrade - te podatke obrađujemo isključivo radi pružanja usluge, prema uputama korisnika.

4. Svrhe i pravne osnove obrade

• Pružanje usluge i izvršenje ugovora (čl. 6(1)(b) GDPR).
• Ispunjenje zakonskih obveza, uključujući fiskalizaciju računa prema Poreznoj upravi (čl. 6(1)(c)).
• Naplata pretplate, tehnička podrška i sprječavanje zlouporabe (legitimni interes, čl. 6(1)(f)).
• Analitika i marketing samo uz vašu privolu (čl. 6(1)(a)) - vidi odjeljak 11.

5. Primatelji i podizvršitelji

Podatke dijelimo samo kad je nužno za rad usluge, s:

• Porezna uprava (CIS / APIS IT) - fiskalizacija računa (zakonska obveza).
• Posrednik za e-Račun koji ste sami odabrali (npr. Moj-eRačun ili ePoslovanje) - slanje i primanje e-Računa. S posrednikom ugovor imate vi; mi kroz njegovo sučelje prenosimo vaše dokumente.
• Shopify - naplata pretplate za Shopify trgovine (Shopify App Store).
• Pružatelj hostinga (Hetzner, EU) - poslužitelji i baza podataka.
• Pružatelj e-pošte (Hostinger) - slanje sistemskih i dokumentnih e-mailova, kad ne koristite vlastiti SMTP.

S podizvršiteljima imamo ugovore o obradi podataka. Podatke ne prodajemo trećim stranama.

Knjigovođa: ako svom knjigovođi odobrite pristup, on radi u kontekstu vaše tvrtke i vidi vaše dokumente i podatke o kupcima. Tu vezu vi uspostavljate i možete je u svakom trenutku prekinuti.

6. Rok čuvanja

Fiskalne dokumente i pripadajuće podatke čuvamo koliko nalažu porezni i računovodstveni propisi. Podatke o računu čuvamo dok je račun aktivan; nakon brisanja računa podatke brišemo ili anonimiziramo u razumnom roku, osim onih koje smo dužni čuvati po zakonu. Zapisi o pristupu podrške (odjeljak 8) čuvaju se kao dokaz o obradi.

7. Sigurnost

Fiskalizacijske certifikate i osjetljive tajne (lozinke certifikata, pristupni podaci posrednika, SMTP lozinke, tajne webhookova) pohranjujemo kriptirano (AES-256-GCM), komunikacija je zaštićena TLS-om, pristup je ograničen i revizijski zabilježen. Lozinke se pohranjuju kao kriptografski sažetci (bcrypt), nikad u izvornom obliku. Podaci su odvojeni po korisniku na razini poslužitelja, a ne samo u sučelju.

8. Pristup podrške vašem korisničkom računu

Radi postavljanja usluge i rješavanja prijavljenih problema ovlašteni operater Pružatelja može privremeno ući u vaš korisnički račun i u njemu vidjeti iste podatke koje vidite vi - uključujući račune i podatke o kupcima - te mijenjati postavke. To radimo na temelju legitimnog interesa pružanja podrške i održavanja usluge (čl. 6(1)(f) GDPR).

Uz taj pristup vrijede sljedeća ograničenja:

• Podrška može mijenjati samo postavke. Izdavanje računa i ponuda, fiskalizacija, storno, poništenje, slanje e-Računa i evidentiranje plaćanja odbija se na poslužitelju i onda kad zahtjev dolazi iz sesije podrške.
• Dopušten je samo unaprijed određenim operaterima Pružatelja. Ovlaštenje se provjerava na poslužitelju pri svakom zahtjevu, pa ga izmjena u pregledniku ili u sučelju ne može zaobići.
• Sesija traje najviše jedan sat, nakon čega se sama prekida.
• Bilježe se ulazak, izlazak i svaka izmjena napravljena u vašem računu (vrsta radnje, adresa u aplikaciji, vrijeme, IP adresa operatera). Sadržaj zahtjeva se ne bilježi.
• Dok pristup traje, operateru je na svakoj stranici vidljivo upozorenje da radi u tuđem računu.
• Certifikat i druge tajne ostaju kriptirani; operater ih kroz sučelje ne može pročitati, samo zamijeniti novima.

Budite svjesni: izmjene postavki napravljene na taj način u aplikaciji izgledaju kao vaše, jer nastaju u vašem računu. Zapis o pristupu jedino je što razlikuje promjenu koju ste napravili vi od one koju je podrška napravila umjesto vas. Ako želite provjeriti je li i kada netko od nas ulazio u vaš račun, zatražite izvadak na info@klikoteka.hr.

9. Vaša prava

Imate pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka i prigovor, uključujući prigovor na obradu koja se temelji na legitimnom interesu (odjeljak 8). Zahtjev možete poslati na info@klikoteka.hr. Imate i pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, Zagreb, azop.hr.

Napominjemo da pravo na brisanje ne obuhvaća fiskalne dokumente koje smo dužni čuvati po poreznim propisima, niti fiskalne zapise koje Porezna uprava već drži - njih ne možemo povući ni izmijeniti.

10. Međunarodni prijenosi

Podaci se primarno obrađuju unutar EU/EGP-a. Ako pojedini podizvršitelj (npr. Shopify) obrađuje podatke izvan EGP-a, prijenos se temelji na standardnim ugovornim klauzulama ili drugom valjanom mehanizmu zaštite.

11. Kolačići i praćenje

Za rad aplikacije koristimo nužne kolačiće: prijavu i sesiju, odabrani jezik sučelja, odabranog klijenta kod knjigovođe te kolačić sesije podrške iz odjeljka 8. Oni su potrebni za rad usluge i ne traže privolu.

Kolačiće za analitiku i marketing postavljamo samo uz vašu privolu, danu na banneru pri prvom posjetu. Privolu možete promijeniti ili povući bilo kada na stranici Postavke → Privatnost u aplikaciji.

12. Izmjene

Pravila možemo povremeno ažurirati. O bitnim izmjenama obavijestit ćemo korisnike, a ažurirani datum naveden je na vrhu ove stranice.