Politika privatnosti

Pregled

Sastavljena je radi usklađenosti s člancima 13. i 14. Opće uredbe EU-a o zaštiti podataka (Uredba (EU) 2016/679, „GDPR") i Zakonom Republike Litve o pravnoj zaštiti osobnih podataka. U sljedećem odjeljku identificiran je voditelj obrade; ostatak stranice pokriva svaku temu zasebno.

Tko je voditelj obrade

Uslugom upravlja MB Libranet, malo partnerstvo sa sjedištem u Vilnius, Lithuania, koje je jedini voditelj obrade u smislu članka 4. stavka 7. GDPR-a. Za upite u vezi s privatnošću pišite na [email protected]. Potpuni podaci o pravnoj osobi, uključujući matični i PDV broj, dostupni su na stranici s podacima o tvrtki.

Nismo imenovali službenika za zaštitu podataka jer naša obrada ne dostiže pragove iz članka 37. Osoba odgovorna za zaštitu podataka dostupna je putem gore navedene adrese e-pošte.

Koje podatke obrađujemo

Obrađujemo sljedeće ograničene kategorije osobnih podataka, na navedenim pravnim temeljima:

• Podaci o računu. Vaše ime, adresa e-pošte i lozinka hashirana algoritmom bcrypt (ili javni ključ pristupnog ključa). Pravni temelj: Izvršenje ugovora — čl. 6. st. 1. t. (b) GDPR-a.
• Podaci o računima i klijentima koje ste unijeli. Samo podaci koje odaberete unijeti: imena klijenata, adrese, PDV brojevi, stavke, ukupni iznosi, status plaćanja. Pravni temelj: Izvršenje ugovora — čl. 6. st. 1. t. (b) GDPR-a.
• Received invoices (Inbox). E-invoices you receive into your Inbox, either by uploading a file or by directing them to your personal inbox address. We parse the supplier, totals and tax breakdown into readable fields and keep the original file for audit. We operate a mail receiver only for that dedicated subdomain; it is processed automatically and not read by us. Pravni temelj: Performance of contract - Art. 6(1)(b) GDPR.
• Kolačići sesije i sigurnosni kolačići. Potpisani kolačić sesije i kolačić CSRF tokena koji se upotrebljavaju za održavanje prijave i blokiranje lažnih zahtjeva. Pravni temelj: Strogo nužno — čl. 6. st. 1. t. (f), legitimni interes.
• Zapisnici poslužitelja. IP adresa, korisnički agent i metapodaci zahtjeva, koji se kratko čuvaju radi sprječavanja zloporabe i otklanjanja pogrešaka. Pravni temelj: Legitimni interes — čl. 6. st. 1. t. (f) GDPR-a.
• Revizijski zapisnik VIES-a. Kada potvrdite PDV identifikacijski broj kupca iz EU-a, pohranjujemo identifikator zahtjeva, upitnu državu i broj te odgovor, kao dokaz prema članku 31. Uredbe Vijeća (EU) 904/2010. Pravni temelj: Zakonska obveza — čl. 6. st. 1. t. (c) GDPR-a.

Dio ovih podataka nije vaš, već pripada vašim klijentima kojima ispostavljate račune (čl. 14. GDPR-a). Izvor je vi — primamo ih samo zato što ih unosite u svoje račune. Obrađujemo ih na temelju ugovora s vama i vašeg legitimnog interesa kao poslovnog subjekta u vođenju porezno usklađene evidencije računa.

Podizvođači obrade

Oslanjamo se na namjerno mali skup podizvođača obrade. Nijedan od njih nije oglašivačka ni analitička mreža. Svakog obvezuje Ugovor o obradi podataka i svaki obrađuje samo minimalne podatke potrebne za svoju funkciju.

SMTP2GO (transakcijska e-pošta)

Kada šaljete račun e-poštom ili primate obavijest sustava, poruku isporučuje SMTP2GO putem EU regije (mail-eu.smtp2go.com). Dijeljeni podaci: pošiljatelj, adresa primatelja, predmet, sadržaj poruke i eventualni priloženi PDF. SMTP2GO Inc. sa sjedištem je na Novom Zelandu s EU infrastrukturom; prijenosi su pokriveni standardnim ugovornim klauzulama.

Cloudflare Turnstile (zaštita od botova)

Obrasci na stranicama /login i /register prikazuju Cloudflare Turnstile izazov radi blokade automatiziranih zloporaba. Widget se učitava s challenges.cloudflare.com i razmjenjuje kratkoročni token s Cloudflareovim siteverify odredištem. Dijeljeni podaci: vaša IP adresa, korisnički agent i jednokratni token izazova. Turnstile ne postavlja kolačiće za praćenje i ne koristi se u oglašavanju. Cloudflare, Inc. sa sjedištem je u SAD-u; prijenosi su pokriveni okvirom EU-SAD za zaštitu podataka i standardnim ugovornim klauzulama.

bunny.net (CDN za fontove)

Stranica učitava dva web fonta s fonts.bunny.net, CDN-a za fontove koji poštuje privatnost, kojim upravlja BunnyWay d.o.o. (Slovenija, EU). Dijeljeni podaci: vaša IP adresa i korisnički agent za trajanje zahtjeva za font. Pogledajte njihovu izjavu o privatnosti.

Europska komisija VIES (provjera valjanosti PDV-a)

Kada potvrđujete PDV identifikacijski broj kupca, kod države i PDV broj koji ste unijeli šalju se Sustavu razmjene informacija o PDV-u (VIES) Europske komisije na adresi ec.europa.eu. Primatelj je institucija EU-a; obrada je uređena Uredbom (EU) 2018/1725.

Hosting i renderiranje PDF-ova (interno)

Aplikacija radi na namjenskoj infrastrukturi unutar Europske unije. PDF-ovi računa renderirani su interno pomoću mPDF-a na našim vlastitim poslužiteljima. Nije uključena treća strana za PDF kao uslugu niti preprodavač hostinga.

Nema Google usluga. Nema Meta ili Facebook piksela. Nema analitičkih SDK-ova. Nema usluga izvješćivanja o pogreškama trećih strana.

Kolačići

Postavljamo samo strogo nužne kolačiće. Prema članku 5. stavku 3. Direktive o privatnosti i elektroničkim komunikacijama (2002/58/EZ), strogo nužni kolačići ne zahtijevaju privolu, zbog čega nećete vidjeti bannere za kolačiće.

Nema analitičkih kolačića. Nema reklamnih kolačića. Mi ne postavljamo kolačiće trećih strana. Cloudflare Turnstile izazov opisan u Odjeljku 04 može postaviti vlastiti kratkotrajni kolačić ograničen na challenges.cloudflare.com; taj kolačić je strogo nužan za izazov zaštite od botova i ne koristi se za praćenje.

Razdoblje čuvanja

Podaci o računu i računima čuvaju se dok je vaš račun aktivan. Po brisanju računa, svi standardni osobni podaci uklanjaju se u roku od 30 dana, osim kada litavsko računovodstveno pravo (koje propisuje rok čuvanja od 10 godina za evidencije računa) zahtijeva čuvanje određenih dokumenata duže — u tom slučaju ti se zapisi premještaju u arhivu s ograničenim pristupom i čuvaju samo onoliko dugo koliko to zakon zahtijeva.

Zapisnici poslužitelja čuvaju se do 30 dana, osim ako su potrebni dulje radi aktivne sigurnosne istrage. Retci revizijskog zapisnika VIES-a čuvaju se najmanje 10 godina radi zadovoljavanja dokaznih zahtjeva Uredbe Vijeća (EU) 904/2010.

Vaša prava prema GDPR-u

Prema GDPR-u imate prava na pristup (čl. 15.), ispravak (čl. 16.), brisanje (čl. 17.), ograničenje obrade (čl. 18.), prenosivost podataka (čl. 20.) i prigovor (čl. 21.). Kada se obrada temelji na privoli, možete je povući u bilo kojem trenutku (čl. 7. st. 3.).

Imate i pravo prema članku 77. GDPR-a podnijeti pritužbu nadzornom tijelu — obično onom u zemlji EU-a/EGP-a u kojoj živite, radite ili gdje se navodna povreda dogodila. Budući da je voditelj obrade osnovan u Litvi, vodeće tijelo je Državna inspekcija za zaštitu podataka (State Data Protection Inspectorate of Lithuania, VDAI).

Za korak-po-korak vodič o ostvarivanju svakog prava, uključujući rokove i što navesti u zahtjevu, pogledajte namjensku stranicu o pravima prema GDPR-u.

Automatizirano donošenje odluka

FreeBillGen ne koristi automatizirano donošenje odluka ni profiliranje u smislu članka 22. GDPR-a. Nijedna odluka koja ima pravne ili slično značajne učinke na vas ne donosi se isključivo automatiziranim sredstvima. Ne ocjenjujemo, ne rangiramo ni ne profiliramo korisnike u svrhe oglašavanja, kreditiranja, sprječavanja prijevara ili u bilo koje druge svrhe.

Sigurnost podataka

Tehničke i organizacijske mjere (čl. 32. GDPR-a):

• Lozinke pohranjene kao bcrypt hashevi; podržani pristupni ključevi (WebAuthn).
• Neobvezna dvofaktorska autentifikacija temeljena na vremenskim oznakama putem bilo koje TOTP-kompatibilne aplikacije za autentifikaciju.
• CSRF tokeni na svakom zahtjevu koji mijenja stanje.
• Parametrizirani upiti u cijelom sustavu — bez SQL-a spojenog nizovima.
• HTTPS/TLS u prijenosu; omogućeno HTTP strogo prometovanje (HSTS).
• Sigurnosna politika sadržaja i ostala zaglavlja za ojačanje sigurnosti.
• Revizijski zapisnik na razini aplikacije za sigurnosno osjetljive radnje.
• Šifrirane sigurnosne kopije baze podataka s ograničenim pristupom.

Međunarodni prijenosi

Osobni podaci se prema zadanim postavkama obrađuju unutar Europske unije. Dva podizvođača obrade navedena u Odjeljku 04 mogu uključivati prijenos u treću zemlju:

• Cloudflare Turnstile — prijenosi u Sjedinjene Američke Države, pokriveni okvirom EU-SAD za zaštitu podataka i standardnim ugovornim klauzulama Europske komisije.
• SMTP2GO — matično društvo osnovano je na Novom Zelandu (zemlja s odlukom Europske komisije o primjerenosti zaštite) i za isporuku koristi EU regionalnu infrastrukturu. Gdje do prijenosa dolazi, pokriveni su standardnim ugovornim klauzulama.

Nema drugih prijenosa u treće zemlje. Ako se to promijeni, oslonit ćemo se na odgovarajući mehanizam prijenosa prema Poglavlju V. GDPR-a i ažurirati ovu politiku prije nego što novi prijenos započne.

Djeca

FreeBillGen je poslovni alat i nije namijenjen djeci mlađoj od 16 godina. Ne prikupljamo osobne podatke djece namjerno.

Izmjene ove politike

Ako napravimo bitne izmjene, objavit ćemo ažurirani tekst na ovoj stranici s novim datumom „posljednjeg ažuriranja" i obavijestiti aktivne račune e-poštom. Trenutna verzija identificirana je datumom na vrhu stranice.

Kontakt

Pitanja o privatnosti i zahtjevi za ostvarivanje prava: [email protected]. Poštanska adresa i potpuni podaci o pravnoj osobi dostupni su na stranici s podacima o tvrtki.