Politika zasebnosti

Pregled

Pripravljena je v skladu s členi 13 in 14 Splošne uredbe EU o varstvu podatkov (Uredba (EU) 2016/679, »GDPR«) in Zakonom Republike Litve o pravnem varstvu osebnih podatkov. V naslednjem razdelku je opredeljen upravljavec podatkov; preostali del strani obravnava posamezne teme.

Kdo je upravljavec osebnih podatkov

Storitev upravlja MB Libranet, mala partnerska družba s sedežem v Vilnius, Lithuania, ki je edini upravljavec podatkov v smislu člena 4(7) GDPR. Za vprašanja v zvezi z zasebnostjo pišite na [email protected]. Celotni podatki o pravni osebi, vključno z matično in davčno številko, so na strani s podatki o podjetju.

Nismo imenovali pooblaščene osebe za varstvo podatkov, ker naša obdelava ne dosega pragov iz člena 37. Oseba, odgovorna za varstvo podatkov, je dosegljiva na zgornjem e-naslovu.

Katere podatke obdelujemo

Obdelujemo naslednje omejene kategorije osebnih podatkov na navedenih pravnih podlagah:

• Podatki računa. Vaše ime, e-naslov in geslo, shranjeno kot bcrypt zgoščena vrednost (ali javni ključ gesla). Pravna podlaga: Izpolnjevanje pogodbe – člen 6(1)(b) GDPR.
• Podatki o računih in strankah, ki jih ustvarite. Samo podatki, ki jih sami vnesete: imena strank, naslovi, davčne številke, postavke, skupni zneski, status plačila. Pravna podlaga: Izpolnjevanje pogodbe – člen 6(1)(b) GDPR.
• Received invoices (Inbox). E-invoices you receive into your Inbox, either by uploading a file or by directing them to your personal inbox address. We parse the supplier, totals and tax breakdown into readable fields and keep the original file for audit. We operate a mail receiver only for that dedicated subdomain; it is processed automatically and not read by us. Pravna podlaga: Performance of contract - Art. 6(1)(b) GDPR.
• Sejni in varnostni piškotki. Podpisan sejni piškotek in piškotek CSRF, ki se uporabljata za vzdrževanje prijave in preprečevanje ponarejenih zahtev. Pravna podlaga: Nujno potrebni – člen 6(1)(f) GDPR, zakoniti interesi.
• Dnevniki strežnika. Naslov IP, identifikator brskalnika in metapodatki zahteve, ki se kratko hranijo za preprečevanje zlorab in odpravljanje napak. Pravna podlaga: Zakoniti interesi – člen 6(1)(f) GDPR.
• Revizijski dnevnik VIES. Ko preverite identifikacijsko številko za DDV kupca iz EU, shranimo identifikator zahteve, preverjano državo in številko ter odgovor kot dokazilo v skladu s členom 31 Uredbe Sveta (EU) 904/2010. Pravna podlaga: Zakonska obveznost – člen 6(1)(c) GDPR.

Del teh podatkov ni vaš, temveč pripada vašim strankam na računih (člen 14 GDPR). Vir ste vi – prejmemo jih le zato, ker jih vnesete v račune. Obdelujemo jih na podlagi naše pogodbe z vami in vašega zakonitega interesa kot poslovnega subjekta pri vzdrževanju davčno skladnih računov.

Obdelovalci podatkov

Zanašamo se na namerno majhno skupino obdelovalcev podatkov. Nobeden od njih ni oglaševalsko ali analitično omrežje. Vsak je vezan z Dodatkom za obdelavo podatkov in obdeluje le minimalne podatke, potrebne za svojo funkcijo.

SMTP2GO (transakcijska e-pošta)

Ko pošljete račun po e-pošti ali prejmete sistemsko obvestilo, je sporočilo posredovano prek SMTP2GO v regiji EU (mail-eu.smtp2go.com). Deljeni podatki: pošiljatelj, naslov prejemnika, zadeva, vsebina in morebitna priložena datoteka PDF. SMTP2GO Inc. ima sedež na Novi Zelandiji z infrastrukturo v EU; prenosi so kriti s standardnimi pogodbenimi klavzulami.

Cloudflare Turnstile (zaščita pred roboti)

Obrazca /login in /register upodabljata izziv Cloudflare Turnstile za preprečevanje avtomatiziranih zlorab. Gradnik se naloži z challenges.cloudflare.com in izmenja kratkotrajen žeton s končno točko siteverify pri Cloudflare. Deljeni podatki: naslov IP, identifikator brskalnika in enkratni izzivni žeton. Turnstile ne nastavi sledilnih piškotkov in se ne uporablja za oglaševanje. Cloudflare, Inc. ima sedež v ZDA; prenosi so kriti z Okvirom EU-ZDA za varstvo podatkov in standardnimi pogodbenimi klavzulami.

bunny.net (CDN za pisave)

Spletno mesto naloži dve spletni pisavi z fonts.bunny.net, CDN za pisave z zaščito zasebnosti, ki ga upravlja BunnyWay d.o.o. (Slovenija, EU). Deljeni podatki: naslov IP in identifikator brskalnika za čas zahteve pisave. Glejte njihovo izjavo o zasebnosti.

VIES Evropske komisije (preverjanje DDV)

Ko preverite identifikacijsko številko za DDV kupca, se koda države in DDV številka, ki ste jo vnesli, pošljeta Sistemu za izmenjavo informacij o DDV (VIES) Evropske komisije na ec.europa.eu. Prejemnik je institucija EU; obdelava je urejena z Uredbo (EU) 2018/1725.

Gostovanje in upodabljanje PDF (lastna infrastruktura)

Aplikacija deluje na namenski infrastrukturi znotraj Evropske unije. Računi v obliki PDF se upodabljajo interno z mPDF na naših lastnih strežnikih. Nobena storitev PDF tretjih oseb ali posredniški ponudnik gostovanja ni vključen.

Brez storitev Google. Brez pikslov Meta ali Facebook. Brez analitičnih SDK-jev. Brez storitev za poročanje napak tretjih oseb.

Piškotki

Nastavljamo samo nujno potrebne piškotke. Na podlagi člena 5(3) Direktive o zasebnosti in elektronskih komunikacijah (2002/58/ES) nujno potrebni piškotki ne zahtevajo privolitve, zato ne boste videli pasice o piškotkih.

Brez analitičnih piškotkov. Brez oglaševalskih piškotkov. Piškotkov tretjih oseb mi ne nastavljamo. Izziv Cloudflare Turnstile, opisan v razdelku 04, lahko nastavi lastni kratkotrajni piškotek, omejen na challenges.cloudflare.com; ta piškotek je nujno potreben za izziv zaščite pred roboti in se ne uporablja za sledenje.

Hramba podatkov

Podatki računa in računov se hranijo, dokler je vaš račun aktiven. Ob izbrisu računa se vsi standardni osebni podatki odstranijo v 30 dneh, razen kjer litovska računovodska zakonodaja (ki določa 10-letno obdobje hrambe za evidence računov) zahteva daljše hranjenje določenih dokumentov – v tem primeru se ti zapisi prenesejo v arhiv z omejenim dostopom in hranijo le toliko časa, kolikor to zahteva zakon.

Dnevniki strežnika se hranijo do 30 dni, razen če so potrebni dlje zaradi aktivne varnostne preiskave. Vrstice revizijskega dnevnika VIES se hranijo najmanj 10 let, da se zadostijo dokazne zahteve Uredbe Sveta (EU) 904/2010.

Vaše pravice po GDPR

Po GDPR imate pravice do dostopa (člen 15), popravka (člen 16), izbrisa (člen 17), omejitve obdelave (člen 18), prenosljivosti podatkov (člen 20) in ugovora (člen 21). Kadar obdelava temelji na privolitvi, jo lahko kadar koli prekličete (člen 7(3)).

Imate tudi pravico po členu 77 GDPR, da vložite pritožbo pri nadzornem organu – praviloma pri tistem v državi članici EU/EGP, kjer živite, delate ali kjer je prišlo do domnevne kršitve. Ker ima upravljavec sedež v Litvi, je vodilni organ Državni inšpektorat za varstvo podatkov (State Data Protection Inspectorate of Lithuania, VDAI).

Za korak za korakom vodič o uveljavljanju vsake pravice, vključno s časovnimi roki in vsebino zahteve, glejte namensko stran o pravicah po GDPR.

Avtomatizirano odločanje

FreeBillGen ne uporablja avtomatiziranega odločanja ali profiliranja v smislu člena 22 GDPR. Nobena odločitev, ki bi imela za vas pravne ali podobno pomembne posledice, se ne sprejema izključno z avtomatiziranimi sredstvi. Uporabnikov ne ocenjujemo, razvrščamo ali profiliramo za oglaševanje, kredit, preprečevanje goljufij ali kakršen koli drug namen.

Varnost podatkov

Tehnični in organizacijski ukrepi (člen 32 GDPR):

• Gesla shranjena kot bcrypt zgoščene vrednosti; podprti so ključi za dostop (WebAuthn).
• Neobvezna časovno omejena 2FA prek katere koli aplikacije za preverjanje pristnosti, združljive s TOTP.
• Žetoni CSRF pri vsaki zahtevi za spremembo stanja.
• Parametrizirane poizvedbe povsod – brez SQL-a, sestavljenega z nizovnim stikanjem.
• HTTPS/TLS med prenosom; omogočena stroga transportna varnost HTTP (HSTS).
• Politika varnosti vsebine in drugi zaščitni glavi HTTP.
• Revizijski dnevnik na ravni aplikacije za varnostno občutljiva dejanja.
• Šifrirane varnostne kopije baze podatkov z omejenim dostopom.

Mednarodni prenosi

Osebni podatki se privzeto obdelujejo znotraj Evropske unije. Dva od obdelovalcev, navedenih v razdelku 04, lahko vključujeta prenos v tretjo državo:

• Cloudflare Turnstile – prenosi v Združene države Amerike, krite z Okvirom EU-ZDA za varstvo podatkov in standardnimi pogodbenimi klavzulami Evropske komisije.
• SMTP2GO – matično podjetje ima sedež na Novi Zelandiji (državi z odločbo Evropske komisije o ustreznosti) in za dostavo uporablja infrastrukturo v regiji EU. Morebitni prenosi so kriti s standardnimi pogodbenimi klavzulami.

Drugi prenosi v tretje države ne potekajo. Če se to spremeni, bomo upoštevali ustrezni mehanizem prenosa iz poglavja V GDPR in to politiko posodobili, preden se nov prenos začne.

Otroci

FreeBillGen je poslovno orodje in ni namenjeno otrokom, mlajšim od 16 let. Zavestno ne zbiramo osebnih podatkov otrok.

Spremembe te politike

Če bomo uvedli bistvene spremembe, bomo posodobljeno besedilo objavili na tej strani z novim datumom »zadnje posodobitve« in aktivne račune obvestili po e-pošti. Trenutna različica je opredeljena z datumom na vrhu strani.

Kontakt

Vprašanja o zasebnosti in zahteve za uveljavljanje pravic: [email protected]. Poštni naslov in celotni podatki o pravni osebi so na strani s podatki o podjetju.