1. Tko je voditelj obrade
Voditelj obrade osobnih podataka u smislu Uredbe (EU) 2016/679 (GDPR) i Zakona o provedbi Opće uredbe o zaštiti podataka (NN 42/2018) je:
Avriella, obrt za informatičke djelatnosti
Žumberačka 41, 31000 Osijek, Republika Hrvatska
OIB: 12722160312
Kontakt za pitanja o privatnosti: tony@sinqra.io
U ovom dokumentu "mi", "nas", "nam" ili "Odgovori" odnosi se na Avriella obrt, kao pružatelja usluge "Odgovori" dostupne na odgovori.sinqra.io.
2. Koje podatke prikupljamo
2.1 Waitlist (trenutna faza)
Dok je servis u early access fazi i ne prima nove registracije, prikupljamo samo podatke koje sam dobrovoljno unosiš u waitlist formu:
- Email adresa (obavezno) — kako bismo te mogli obavijestiti o pokretanju.
- Uloga / tip posla(opcionalno, npr. "Hotel", "Restoran") — kako bismo prilagodili prvu komunikaciju.
- Tehnički podaci — vrijeme prijave, izvor (URL s kojeg si došao, ako je dostupan).
2.2 Kad aktiviraš servis (dolazi u budućnosti)
Kad kreneš koristiti Odgovori s povezanim Google Business Profile računom, obrađivat ćemo:
- Korisnički račun: ime, email, lozinka (hash), postavke.
- Google Business Profile podaci: naziv poslovanja, lokacije koje si povezao, recenzije (tekst, ocjena, ime recenzenta kako ga je Google objavio, vrijeme), tvoji odgovori na recenzije.
- OAuth tokeni izdani od Google-a — šifrirani u mirovanju (at rest).
- Upute za ton i preferencije koje nam daješ za generiranje draftova.
- Podaci o plaćanju — obrađuje pružatelj plaćanja (npr. Stripe); mi pohranjujemo samo identifikator transakcije, iznos, status.
- Podaci o korištenju: logovi pristupa (IP, vrijeme, user agent) radi sigurnosti i otklanjanja grešaka.
2.3 Kolačići
Više o kolačićima koje koristimo možeš pročitati u našim Pravilima o kolačićima. U trenutnoj waitlist fazi koristimo samo strogo nužne kolačiće.
3. Zašto obrađujemo podatke i na kojoj pravnoj osnovi
| Svrha | Pravna osnova (GDPR) |
|---|---|
| Vođenje waitlist liste, slanje obavijesti o pokretanju | Privola — čl. 6. st. 1. (a) |
| Pružanje ugovorene usluge (kad aktiviraš servis) | Izvršenje ugovora — čl. 6. st. 1. (b) |
| Slanje transakcijskog maila (obavijesti o radu servisa) | Izvršenje ugovora — čl. 6. st. 1. (b) |
| Sigurnost, sprječavanje zlouporabe, otklanjanje grešaka | Legitimni interes — čl. 6. st. 1. (f) |
| Poštivanje pravnih obveza (porezno zakonodavstvo, računovodstvo) | Pravna obveza — čl. 6. st. 1. (c) |
| Marketinška komunikacija (samo uz izričitu privolu) | Privola — čl. 6. st. 1. (a) |
4. Google API Services — Limited Use disclosure
Konkretno, podatke koje dobivamo putem Google Business Profile API-ja (opseg business.manage) koristimo isključivo za:
- Dohvat popisa poslovnih lokacija koje si povezao;
- Čitanje novih recenzija i njihov prikaz u tvom dashboardu;
- Slanje odgovora na recenzije koje si odobrio ili koji se šalju prema pravilima koja si sam/a postavio/la.
Te podatke:
- NE prenosimo trećim stranama osim zbog pružanja usluge koju si tražio/la (vidi točku 6).
- NE koristimo za treniranje, unaprjeđenje ili razvoj generaliziranih AI modela ili modela strojnog učenja.
- NE koristimo za oglašavanje niti ih prodajemo.
- Dopuštamo ljudski pristup podacima samo u sljedećim slučajevima: (a) tvoja izričita privola; (b) potrebe sigurnosti (npr. istraga zlouporabe); (c) izvršenje zakonskih obveza; (d) podaci su agregirani i anonimizirani te se koriste za interne operativne svrhe.
5. Kako koristimo AI (Claude od Anthropica)
Za generiranje draftova odgovora koristimo veliki jezični model Claude tvrtke Anthropic, PBC. Kad treba generirati draft, šaljemo Anthropicu:
- Tekst recenzije na koju se odgovara;
- Tvoje upute za ton i stil;
- Relevantan kontekst o tvom poslovanju koji si nam dao/la (naziv, tip objekta).
Anthropic prema ugovoru s nama ne koristi te podatke za treniranje svojih modela i briše podatke u skladu sa svojom politikom zadržavanja podataka. Anthropic je sjedištem u SAD-u; prijenos podataka odvija se na temelju Standardnih ugovornih klauzula (SCC) koje je usvojila Europska komisija.
Više o Anthropic politici privatnosti: anthropic.com/legal/privacy.
6. Izvršitelji obrade (subprocessors)
Za pružanje usluge koristimo pažljivo odabrane pružatelje tehnoloških servisa. Svi imaju potpisan ugovor o obradi podataka (DPA) ili ekvivalentni instrument i pružaju odgovarajuću razinu zaštite.
| Pružatelj | Svrha | Lokacija obrade |
|---|---|---|
| Vercel Inc. | Hosting web aplikacije, isporuka sadržaja | EU (Frankfurt) |
| Supabase Inc. | Baza podataka, autentikacija, pohrana | EU (Frankfurt) |
| Anthropic, PBC | Generiranje AI draftova odgovora | SAD (SCC) |
| Resend Inc. | Slanje transakcijskog maila | EU / SAD (SCC) |
| Google LLC (Business Profile API) | Integracija s tvojim Google računom (samo na tvoj zahtjev) | EU / SAD (SCC) |
Popis se može mijenjati. O bitnim promjenama obavijestit ćemo te najmanje 30 dana unaprijed na ovoj stranici i, ako si aktivni korisnik, mailom.
7. Koliko dugo čuvamo podatke
- Waitlist email — do trenutka pokretanja servisa i tvoje odluke (registracija ili odjava), odnosno najdulje 24 mjeseca od prijave.
- Korisnički račun i sadržaj — za vrijeme trajanja ugovora i dodatnih 30 dana nakon deaktivacije računa (za obnovu u slučaju greške). Potom trajno brišemo.
- Google Business Profile podaci i tokeni — brišu se u roku od 24 sata nakon što prekineš konekciju iz naše aplikacije.
- Računi i financijska dokumentacija — 11 godina (zakonska obveza, Zakon o računovodstvu).
- Sigurnosni logovi — do 12 mjeseci.
8. Komu podaci nisu dostupni
Tvoje osobne podatke ne prodajemo i ne dijelimo s oglašivačima. Ne koristimo ih za treniranje AI modela. Ne koristimo ih za profiliranje u marketinške svrhe.
9. Prijenosi izvan EGP-a
Neki naši izvršitelji obrade (Anthropic, Resend, Google) imaju sjedište u SAD-u. Za svaki takav prijenos imamo odgovarajuće mjere zaštite iz poglavlja V. GDPR-a, u pravilu Standardne ugovorne klauzule (SCC) Europske komisije. Kopiju možeš zatražiti na naš kontakt mail.
10. Tvoja prava
Kao ispitanik imaš sljedeća prava (čl. 15.–22. GDPR):
- Pravo na pristup — potvrdu obrađuju li se tvoji podaci i njihovu kopiju.
- Pravo na ispravak netočnih podataka.
- Pravo na brisanje("pravo na zaborav") u uvjetima iz čl. 17. GDPR.
- Pravo na ograničenje obrade u uvjetima iz čl. 18.
- Pravo na prenosivost — primiti svoje podatke u strukturiranom formatu.
- Pravo na prigovor protiv obrade koja se temelji na legitimnom interesu.
- Pravo na opoziv privole u svakom trenutku, bez utjecaja na zakonitost prijašnje obrade.
- Pravo na nepodvrgavanje automatiziranom odlučivanju — ne donosimo odluke s pravnim učincima isključivo automatiziranom obradom.
Zahtjev podnosiš na tony@sinqra.io. Odgovaramo u roku od 30 dana.
Ako smatraš da obrađujemo tvoje podatke protivno zakonu, možeš podnijeti pritužbu nadzornom tijelu:
Agencija za zaštitu osobnih podataka (AZOP)
Selska cesta 136, 10000 Zagreb
azop.hr
11. Sigurnost
Poduzimamo primjerene tehničke i organizacijske mjere za zaštitu tvojih podataka: enkripcija u mirovanju i prijenosu (TLS), strogi pristupni nadzor, redovne sigurnosne preglede, princip najmanjih ovlasti i razdvajanje uloga. OAuth tokeni pohranjuju se šifrirani uz pomoć enkripcijskog sloja baze podataka.
12. Djeca
Naša usluga nije namijenjena osobama mlađim od 16 godina i ne prikupljamo svjesno njihove podatke. Ako otkrijemo da smo ih prikupili, izbrisat ćemo ih.
13. Automatizirano odlučivanje i AI
AI-generirani draftovi odgovora nisuautomatizirano odlučivanje u smislu čl. 22. GDPR jer konačnu odluku o slanju donosi čovjek (ti ili zaposlenik kojeg si ovlastio/la). Ako aktiviraš automatsko slanje po pravilima (npr. "šalji automatski za 5★ ocjene"), ti si taj/ta koji postavlja pravilo i snosi odgovornost za ishod.
14. Izmjene ovih pravila
Pravila privatnosti možemo povremeno ažurirati. Datum zadnje izmjene uvijek je naveden na vrhu ove stranice. Za značajne izmjene obavijestit ćemo te mailom (ako si aktivni korisnik) i vidljivom obavijesti na web stranici najmanje 30 dana prije stupanja izmjene na snagu.
15. Kontakt
Za sva pitanja vezana uz obradu osobnih podataka obrati nam se na tony@sinqra.io.