Politika zasebnosti

1. Upravljavec podatkov

Upravljavec podatkov je Magenta Team Korlátolt Felelősségű Társaság (sedez: Petőfi Sándor utca 12/1., 2085 Pilisvörösvár, Madzarska; registrska stevilka druzbe: 13-09-226488; davcna stevilka: 26142366-2-13; zastopa ga: Adrian Olajos, direktor; e-posta: legal@bellora.net). Upravljavec podatkov nima imenovanega pooblascenca za varstvo podatkov (DPO), saj njegove dejavnosti ne spadajo med obvezne primere imenovanja po GDPR 37. Za vprasanja o varstvu podatkov je Upravljavec podatkov dosegljiv na legal@bellora.net.

2. Obseg obdelanih podatkov

Med uporabo Storitve obdelujemo naslednje podatke:

• Osebni podatki: ime, e-postni naslov, telefonska stevilka, profilna slika
• Podatki o salonu: ime salona, naslov, delovni cas, fotografije, opis
• Podatki o rezervacijah: termini, storitve, zaposleni, podatki o preklicanjih
• Placilni podatki: identifikatorji transakcij Stripe, zneski placil, valuta (podatkov o kreditnih karticah ne shranjujemo)
• Komunikacijski podatki: e-postna in SMS obvestila, potisna obvestila, nastavitve obvestil
• Tehnicni podatki: IP naslov, vrsta brskalnika, informacije o napravi, identifikatorji piskotkov
• Podatki vnosnih obrazcev: odgovori na vprasalnike, ki jih konfigurira salon (ki lahko vsebujejo zdravstvene podatke)

3. Namen in pravna podlaga obdelave podatkov

Za vsak namen obdelave veljajo naslednje pravne podlage:

• Upravljanje racuna in avtentikacija: izpolnjevanje pogodbe (GDPR Art. 6(1)(b)) -- ime, e-posta, zgoscena vrednost gesla, profilna slika
• Upravljanje rezervacij terminov: izpolnjevanje pogodbe (GDPR Art. 6(1)(b)) -- podatki o rezervaciji, storitev, cas, zaposleni
• Obdelava placil (Stripe): izpolnjevanje pogodbe (GDPR Art. 6(1)(b)) -- ID transakcije, znesek, valuta
• Posiljanje obvestil (e-posta, SMS, potisna): zakoniti interes (GDPR Art. 6(1)(f)) za transakcijska obvestila; privolitev (GDPR Art. 6(1)(a)) za trzna obvestila
• Fakturiranje in racunovodstvo: zakonska obveznost (GDPR Art. 6(1)(c)) -- fakturni podatki, transakcije
• Sledenje napakam in varnost sistema (Sentry): zakoniti interes (GDPR Art. 6(1)(f)) -- tehnicni podatki, IP naslov, porocila o napakah
• Piskotki (analitika): privolitev (GDPR Art. 6(1)(a)) -- identifikatorji piskotkov, statistika uporabe
• Podatki vnosnih obrazcev: privolitev (GDPR Art. 6(1)(a)); za zdravstvene podatke, izrecna privolitev (GDPR Art. 9(2)(a))

4. Obdobja hrambe podatkov

Za vsako vrsto podatkov veljajo naslednja obdobja hrambe:

• Podatki o racunu (profil, nastavitve): hranjeni do izbrisa racuna, nato trajno izbrisani v 30 dneh od zahteve za izbris
• Podatki o rezervacijah: 2 leti od datuma rezervacije (za davcne in racunovodske namene), nato anonimizacija
• Placilne transakcije: 8 let (v skladu z madzerskim zakonom o racunovodstvu (zakon C iz leta 2000))
• Dnevniki SMS transakcij: 1 leto
• Revizijski dnevniki: 90 dni
• Podatki o napakah Sentry: 90 dni
• Privolitev za piskotke: 1 leto
• Spremembe nastavitev obvestil (revizijski dnevnik privolitve): 3 leta

5. Podizvajalci obdelave

Za delovanje Storitve uporabljamo naslednje podizvajalce obdelave:

• Stripe (Stripe, Inc., San Francisco, USA) -- obdelava placil, upravljanje transakcijskih podatkov
• Twilio (Twilio Inc., San Francisco, USA) -- dostava SMS obvestil, obdelava telefonskih stevilk
• Resend (Resend, Inc., San Francisco, USA) -- dostava e-postnih obvestil, obdelava e-postnih naslovov
• Hetzner (Hetzner Online GmbH, Gunzenhausen, Nemcija) -- streznicka infrastruktura, shranjevanje vseh podatkov platforme (Helsinki, EU)
• Cloudflare (Cloudflare, Inc., San Francisco, USA) -- upravljanje DNS, CDN, obdelava IP naslovov
• Sentry (Functional Software, Inc., San Francisco, USA) -- sledenje napakam, obdelava tehnicnih podatkov
• Szamlazz.hu (KBOSS.hu Kft., Budapest, Madzarska) -- fakturiranje, obdelava fakturnih podatkov

6. Mednarodni prenosi podatkov

Nekateri nasi podizvajalci obdelave (Stripe, Twilio, Resend, Sentry, Cloudflare) obdelujejo podatke v Zdruzenih drzavah Amerike. Ti ponudniki so certificirani v okviru EU-US Data Privacy Framework (DPF), ki zagotavlja ustrezno varstvo osebnih podatkov na podlagi sklepa Evropske komisije o ustreznosti. Kadar EU-US DPF ni uporaben, Standard Contractual Clauses (SCCs) sluzijo kot pravna podlaga za prenos. Hetzner in Szamlazz.hu obdelujeta podatke izkljucno znotraj Evropske unije.

7. Pravice posameznikov

V skladu z GDPR imate naslednje pravice: pravica do dostopa (lahko zahtevate kopijo svojih podatkov); pravica do popravka (popravek netocnih podatkov); pravica do izbrisa (lahko zahtevate izbris svojih podatkov); pravica do omejitve obdelave; pravica do prenosljivosti podatkov (lahko zahtevate svoje podatke v strojno berljivi obliki); pravica do ugovora (proti obdelavi na podlagi zakonitega interesa). Pri obdelavi na podlagi privolitve lahko privolitev kadar koli prekliccete, ne da bi to vplivalo na zakonitost obdelave pred preklicem. Za uveljavljanje svojih pravic nas kontaktirajte na legal@bellora.net. Storitev ne uporablja avtomatiziranega odlocanja ali profiliranja.

8. Varnost podatkov

Varnost podatkov zagotavljamo s tehnicnimi in organizacijskimi ukrepi. Podatki se prenasajo po sifriranih kanalih in shranjujejo na varnih streznikih. Obdelavo placil izvaja Stripe, ponudnik placilnih storitev s certifikatom PCI DSS Level 1 -- najvisji varnostni standard v placilni industriji. Bellora ne shranjuje, obdeluje ali prenasa podatkov o kreditnih karticah. Podatke o karticah neposredno obdelujejo sifrirani sistemi Stripe.

9. Nadzorni organ

Ce menite, da obdelava vasih osebnih podatkov krsi dolocbe GDPR, imate pravico vloziti pritozbo pri nadzornem organu. Na Madzarskem je pristojni nadzorni organ: Nemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH), naslov: 1055 Budapest, Falk Miksa utca 9-11., e-posta: ugyfelszolgalat@naih.hu, telefon: +36 1 391 1400, spletna stran: www.naih.hu.