Pravila privatnosti

Voditelj obrade

Boll & Boll Produkte GbR, Wormser Str. 173, 55130 Mainz, Germany. E-pošta: natalie@matinataskincare.com. Telefon: +49 171 270 6558. Zastupa Natalie Boll.

Nismo zakonski obvezni imenovati službenika za zaštitu podataka. Sve upite o privatnosti pošaljite na navedenu adresu.

Pravne osnove

• Čl. 6. st. 1. t. (a) GDPR — vaša privola (kolačići, newsletter, mjerenje marketinga).
• Čl. 6. st. 1. t. (b) GDPR — izvršenje kupoprodajnog ugovora (narudžba, dostava, korisnički račun, podrška).
• Čl. 6. st. 1. t. (c) GDPR — zakonske obveze (porezno i računovodstveno čuvanje dokumentacije).
• Čl. 6. st. 1. t. (f) GDPR — naši legitimni interesi (siguran rad stranice, sprječavanje prijevara, obrana od napada i zloupotrebe).

Posjet stranici: zapisi poslužitelja i sigurnost

• Podaci: IP adresa, datum i vrijeme zahtjeva, tražena adresa, referrer, pregljednik i operativni sustav, status i količina prenesenih podataka.
• Svrha: prikaz stranice, stabilnost i sigurnost, otkrivanje i obrana od napada, filtriranje botova.
• Pravna osnova: čl. 6. st. 1. t. (f) GDPR. Legitimni interes: siguran i dostupan web-shop te zaštita od napada i prijevarnog prometa.
• Primatelji: Lovable Cloud (hosting) i Cloudflare, Inc. (CDN i sigurnost) kao izvršitelji obrade.
• Rok čuvanja: zapisi se brišu ili anonimiziraju najkasnije u 30 dana, osim ako konkretan sigurnosni incident zahtijeva dulje čuvanje dokaza.

Košarica i jezik

• Podaci: proizvodi u košarici, količine i odabrani jezik, pohranjeni lokalno u pregljedniku (localStorage).
• Svrha: zadržavanje košarice i jezika do dovršetka narudžbe.
• Pravna osnova: čl. 6. st. 1. t. (b) GDPR; pohrana je nužna pa privola nije potrebna.
• Rok čuvanja: do praznjenja košarice, dovršetka narudžbe ili brisanja pohrane pregljednika.

Narudžba, plaćanje i naplata

• Podaci: ime i prezime, adresa naplate i dostave, e-pošta, telefon (ako je dan), sadržaj i vrijednost narudžbe, broj narudžbe, IP adresa u trenutku narudžbe i metapodaci o plaćanju. Cijele podatke o kartici ne vidimo i ne pohranjujemo.
• Svrha: sklapanje i izvršenje ugovora, izdavanje računa, obrada plaćanja i povrata sredstava te zakonsko knjigovodstvo.
• Pravna osnova: čl. 6. st. 1. t. (b) GDPR za ugovor; t. (c) za račune i knjigovodstvo; t. (f) za sprječavanje prijevara i povrata sredstava.
• Primatelji: Shopify International Ltd. (Irska) i Shopify Inc. (Kanada) kao izvršitelji obrade; odabrani pružatelj plaćanja kao samostalni voditelj obrade; naš porezni savjetnik i, kada je potrebno, porezna uprava.
• Rok čuvanja: računi i knjigovodstveno relevantni podaci 10 godina od kraja kalendarske godine narudžbe; ostali podaci brišu se nakon isteka jamstvenih i rokova za povrat.

Sprječavanje prijevara i provjere rizika

• Podaci: IP adresa, značajke uređaja i pregljednika, razlike između adrese naplate i dostave, učestalost i vrijednost narudžbi, rezultati autorizacije plaćanja.
• Svrha: prepoznavanje prijevarnih narudžbi i zloupotrebe kartica prije otpreme.
• Pravna osnova: čl. 6. st. 1. t. (f) GDPR. Legitimni interes: izbjegavanje financijske štete. Nijedna narudžba nije odbijena isključivo automatiziranom obradom s pravnim učinkom.
• Primatelji: Shopify (Fraud Analysis), pružatelj plaćanja, Cloudflare.
• Rok čuvanja: zajedno s podacima o narudžbi.

Korisnički račun

• Podaci: e-pošta, ime, adrese dostave, povijest narudžbi i metapodaci prijave.
• Svrha: pristup narudžbama i adresama te lakše ponovne kupnje.
• Pravna osnova: čl. 6. st. 1. t. (b) GDPR. Primatelj: Shopify kao izvršitelj obrade.
• Rok čuvanja: do brisanja računa; dokumentacija pod zakonskom obvezom čuvanja ostaje pohranjena navedeno vrijeme.

Kontakt

• Podaci: ime, e-pošta, sadržaj poruke i prilozi.
• Svrha: odgovor na upit i dokumentacija kada se odnosi na narudžbu.
• Pravna osnova: čl. 6. st. 1. t. (b) GDPR za upite vezane uz ugovor, inače t. (f).
• Rok čuvanja: šest mjeseci nakon zatvaranja predmeta, osim zakonskih obveza čuvanja.

Recenzije proizvoda (Judge.me)

• Podaci: e-pošta, ime ili inicijali, broj narudžbe, ocjena, tekst recenzije i eventualne fotografije.
• Svrha: poziv na recenziju nakon kupnje i objava recenzija na stranicama proizvoda.
• Pravna osnova: čl. 6. st. 1. t. (a) GDPR. Objavljuje se samo ime ili inicijali koje navedete.
• Primatelji: Judge.me Ltd. (Ujedinjeno Kraljevstvo) i njihova infrastruktura u SAD-u kao izvršitelji obrade.
• Rok čuvanja: objavljene recenzije do vašeg zahtjeva za uklanjanje; pozivi na recenziju brišu se nakon 12 mjeseci.

Newsletter i e-mail marketing (Klaviyo)

• Podaci: e-pošta, ime (neobavezno), datum i vrijeme prijave, vrijeme potvrde i IP adresa upotrijebljena za dvostruku potvrdu te podaci o interakciji (otvaranja, klikovi).
• Svrha: slanje newslettera i mjerenje čitanosti.
• Pravna osnova: čl. 6. st. 1. t. (a) GDPR. Koristimo dvostruku potvrdu (double opt-in): pretplata je aktivna samo nakon klika na potvrdni link. Prijavu i potvrdu čuvamo kao dokaz privole.
• Profiliranje: uz privolu Klaviyo bilježi pregledane proizvode, radnje u košarici i kupnje te time personalizira sadržaj i vrijeme e-pošte. Nema pravni učinak i možete se u svakom trenutku usprotiviti.
• Primatelj: Klaviyo, Inc. (SAD) kao izvršitelj obrade.
• Povlačenje: svaka e-pošta sadrži link za odjavu jednim klikom.
• Rok čuvanja: podaci pretplate brišu se odmah nakon odjave; dokaz privole čuvamo do tri godine nakon toga.

Praćenje na stranici putem Klaviya

• Podaci: pseudonimni identifikator profila (__kla_id), pregledane stranice i proizvodi, radnje u košarici.
• Svrha: relevantni sadržaj e-pošte, npr. podsjetnici na pregledane proizvode.
• Pravna osnova: čl. 6. st. 1. t. (a) GDPR. Skripta se učitava samo nakon vaše privole.
• Rok čuvanja: do 2 godine ili do povlačenja privole.

Meta Pixel (oglašavanje na Facebooku / Instagramu)

• Podaci: identifikator kolačića (_fbp), IP adresa, podaci o pregljedniku i uređaju, pregledane stranice i proizvodi, dodavanje u košaricu, početak plaćanja.
• Svrha: mjerenje učinka oglasa, izrada publika i prikaz naših oglasa na Meta platformama (analiza ponašanja u svrhu oglašavanja).
• Pravna osnova: čl. 6. st. 1. t. (a) GDPR. Skripta se bez privole uopće ne učitava.
• Primatelji: Meta Platforms Ireland Ltd. i Meta Platforms, Inc. (SAD). Za prikupljanje i prijenos ovih podataka mi i Meta zajednički smo voditelji obrade (čl. 26. GDPR).
• Rok čuvanja: do 2 godine kod Mete; privolu možete povući putem „Postavke kolačića“ u podnožju.

Google Ads i mjerenje konverzija

• Podaci: identifikatori kolačića (_gcl_au, _gac_*, IDE), identifikator klika na oglas, IP adresa, podaci o pregljedniku, pregledane stranice i konverzije.
• Svrha: mjerenje koji oglasi vode do narudžbi te remarketing.
• Pravna osnova: čl. 6. st. 1. t. (a) GDPR. Koristimo Google Consent Mode v2 s pohranom postavljenom na „denied“, a skripta googletagmanager.com traži se samo nakon privole – prije toga nema povezivanja s Googleom.
• Primatelji: Google Ireland Ltd. i Google LLC (SAD).
• Rok čuvanja: kolačići istječu između 15 minuta i 13 mjeseci.

Shopify analitika i praćenje plaćanja

• Podaci: pseudonimni identifikatori posjetitelja (_shopify_y, _shopify_s), ulazna stranica i referrer, pregledane stranice i proizvodi, radnje pri narudžbi.
• Svrha: razumijevanje korištenja trgovine i mjerenje dovršenih narudžbi.
• Pravna osnova: čl. 6. st. 1. t. (a) GDPR za analitičke kolačiće; nužni kolačići plaćanja i sprječavanja prijevara na temelju t. (b).
• Primatelji: Shopify International Ltd. (Irska), Shopify Inc. (Kanada).
• Rok čuvanja: od 30 minuta do 2 godine; potpuna tablica nalazi se u Politici kolačića.

Dostava

• Podaci: ime, adresa dostave te e-pošta i/ili telefon za obavijesti o dostavi.
• Svrha: isporuka narudžbe i praćenje pošiljke.
• Pravna osnova: čl. 6. st. 1. t. (b) GDPR.
• Primatelji: DHL Paket GmbH i drugi prijevoznici kao samostalni voditelji obrade.
• Rok čuvanja: zajedno s podacima o narudžbi.

Prijenosi u treće zemlje i uvid u zaštitne mjere

Neki izvršitelji obrade nalaze se u SAD-u ili tamo obrađuju podatke (Klaviyo, Inc., Meta Platforms, Inc., Google LLC, Cloudflare, Inc., infrastruktura Judge.me i našeg hostinga). Kada je pružatelj certificiran u okviru EU-US Data Privacy Frameworka, prijenos se temelji na odluci o primjerenosti (čl. 45. GDPR). U ostalim slučajevima prijenos se temelji na standardnim ugovornim klauzulama Europske komisije (čl. 46. st. 2. t. (c) GDPR) uz dodatne tehničke i organizacijske mjere. Shopify Inc. je u Kanadi, Judge.me Ltd. u Ujedinjenom Kraljevstvu – obje zemlje imaju odluku o primjerenosti.

Kopiju standardnih ugovornih klauzula ili opis primijenjenih zaštitnih mjera dobit ćete besplatno pisanjem na natalie@matinataskincare.com s predmetom „Zaštitne mjere čl. 46. GDPR“. Odgovaramo u roku od jednog mjeseca.

Unatoč tim mjerama ostaje rizik da tijela u trećoj zemlji zatraže pristup podacima. Privolu za sve neobavezne usluge iz SAD-a možete povući putem „Postavke kolačića“ u podnožju.

Ugovori o obradi podataka

S svim navedenim izvršiteljima obrade – uključujući Shopify, Klaviyo, Judge.me, Cloudflare i našeg pružatelja hostinga – sklopili smo ugovore o obradi prema čl. 28. GDPR te vodimo evidenciju aktivnosti obrade (čl. 30. GDPR) i dokumentirana pravila brisanja i čuvanja.

Rokovi čuvanja

• Računi i knjigovodstvo: 10 godina.
• Podaci o narudžbi bez obveze čuvanja: nakon isteka jamstvenih i rokova za povrat.
• Zapisi poslužitelja i sigurnosti: najviše 30 dana.
• Upiti: 6 mjeseci nakon zatvaranja predmeta.
• Newsletter: brisanje pri odjavi; dokaz privole do 3 godine.
• Kolačići: prema tablici u Politici kolačića (sesija do 2 godine).

Automatizirane odluke i profiliranje

Ne provodimo automatizirano donošenje odluka s pravnim učinkom u smislu čl. 22. GDPR. Ocjene rizika prijevare samo su naznaka i prije otkazivanja narudžbe provjerava ih osoba. Profiliranje se provodi isključivo u marketinške svrhe putem Klaviya, Mete i Googlea, i samo uz vašu privolu.

Je li davanje podataka obvezno?

Niste obvezni dati osobne podatke. Bez podataka potrebnih za ugovor, dostavu i naplatu ne možemo izvršiti narudžbu, a bez e-pošte i privole ne možemo poslati newsletter.

Vaša prava

Imate pravo na pristup (čl. 15.), ispravak (čl. 16.), brisanje (čl. 17.), ograničenje obrade (čl. 18.), prenosivost (čl. 20.) i pravo na prigovor na obradu koja se temelji na legitimnim interesima (čl. 21.). Privolu možete povući u svakom trenutku s učinkom za budućnost. Pišite na natalie@matinataskincare.com – na zahtjeve odgovaramo u roku od jednog mjeseca i bez naknade.

Imate i pravo na pritužbu nadzornom tijelu. Za nas je nadležno: Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Njemačka.

Kolačići

Kolačići nužni za trgovinu, košaricu i plaćanje koriste se bez privole. Svi ostali kolačići i skripte – Meta, Google, Klaviyo, Judge.me i Shopify analitika – učitavaju se samo nakon vaše privole, a odabir možete promijeniti ili povući u svakom trenutku putem „Postavke kolačića“ u podnožju. Politika kolačića sadrži potpunu tablicu s nazivom, pružateljem, svrhom, trajanjem, stranom i pravnom osnovom.