1. Kdo obdeluje vaše podatke
Upravljavec je ponudnik storitve — salon, frizer ali drug izvajalec, pri katerem opravite rezervacijo. Njegov naziv, naslov in kontakt sta navedena na njegovi rezervacijski strani. Nanj se obrnete z vsemi vprašanji o svojih podatkih.
Obdelovalec po členu 28 GDPR je POLNA FIRMA, npr. Gumatex d.o.o., ULICA IN HIŠNA ŠTEVILKA, POŠTNA ŠT. IN KRAJ, Slovenija, matična številka MATIČNA ŠTEVILKA, ki upravlja platformo ONtime. Kontakt za vprašanja o zasebnosti: E-NASLOV ZA GDPR ZAHTEVKE.
2. Katere podatke obdelujemo
- Identifikacijski in kontaktni podatki: ime in priimek, telefonska številka, elektronski naslov, jezik sporazumevanja.
- Datum rojstva, kadar ga salon vodi (na primer za voščilo ob rojstnem dnevu).
- Podatki o rezervaciji: izbrana storitev, izvajalec, lokacija, datum in ura, trajanje, cena in popust, vaše opombe ob oddaji ter stanje termina, vključno z označbo, da se termina niste udeležili.
- Opombe salona o vas. Salon lahko k vaši kartici zapiše prosto besedilo. Vsebino določa izključno salon; ONtime je ne pregleduje.
- Zgodovina odnosa: datum prvega in zadnjega obiska, število obiskov in morebitna oznaka, da vam je salon onemogočil spletno naročanje.
- Vsebina komunikacije: celotno besedilo sporočil SMS, ki vam jih salon pošlje, in vaših odgovorov nanje, skupaj s podatki o dostavi. Pri elektronski pošti se hranijo zadeva in podatki o dostavi.
- Podatki o plačilu: znesek, valuta, čas, stanje in identifikatorji transakcije pri ponudniku plačil. Številk plačilnih kartic ONtime ne prejme in ne hrani — te obdeluje izključno ponudnik plačil.
- Podatki na računu, kadar vam salon izda račun: postavke, zneski, vaše ime, če ga vpiše, in vaša davčna številka, če jo zahtevate.
- Zapis o sprejemu pogojev: različica pogojev in politike, ki ste ju potrdili, ter časovni žig potrditve.
- Tehnični podatki: naslov IP se uporabi za preprečevanje zlorab obrazca in za preverjanje, da ga ne izpolnjuje samodejni program, ter se zabeleži v revizijsko sled sistema.
Naslov IP se ne shrani skupaj z zapisom o vaši privolitvi. Zapis privolitve vsebuje samo različico dokumentov in čas potrditve.
3. Nameni in pravna podlaga
| Namen | Pravna podlaga |
|---|---|
| Izvedba rezervacije, sprejem plačila, pošiljanje potrditve in opomnika, obveščanje o spremembi ali preklicu, izvedba storitve | Izvajanje pogodbe — člen 6(1)(b) GDPR |
| Izdaja računa, davčno potrjevanje pri Finančni upravi in hramba računov | Zakonska obveznost — člen 6(1)(c) GDPR |
| Vodenje zgodovine obiskov in reševanje reklamacij | Zakoniti interes salona — člen 6(1)(f) GDPR |
| Preprečevanje zlorab spletnega obrazca in preverjanje telefonske številke, kadar ga salon vklopi | Zakoniti interes — člen 6(1)(f) GDPR |
| Trženjska sporočila | Privolitev — člen 6(1)(a) GDPR; preklic je mogoč kadar koli |
Kadar termin v sistem vpiše salon sam (na primer po telefonu), spletnega obrazca ne izpolnite in privolitve ne date. Podlaga je v tem primeru izvajanje pogodbe oziroma zakoniti interes salona, salon pa vas mora o obdelavi vseeno obvestiti.
O sporočilu po obisku
Po opravljeni storitvi vam salon lahko pošlje sporočilo s prošnjo za oceno in povabilom k naslednji rezervaciji. To sporočilo je vezano na opravljeno storitev in se ne pošilja na podlagi trženjske privolitve. Če ga ne želite prejemati, to sporočite salonu in vam ga izklopi.
Sistem trenutno ne pošilja trženjskih kampanj. Če jih bomo uvedli, bodo šle samo tistim, ki so v to izrecno privolili, in z možnostjo odjave v vsakem sporočilu.
4. Komu se podatki posredujejo
| Prejemnik | Kaj prejme |
|---|---|
| Ponudnik plačil Stripe | Vaš elektronski naslov, naziv in opis izbrane storitve, znesek in interne oznake rezervacije. Prejemnik plačila je salon; ONtime denarja ne prejme. |
| Finančna uprava RS | Podatki z izdanega računa: davčna številka salona, čas izdaje, oznake prostora in naprave, zneski, davčna razčlenitev, zaščitna oznaka in davčna številka osebe, ki je račun izdala. Vaše ime se ne posreduje; vaša davčna številka samo, če jo zahtevate. |
| A1 Slovenija oziroma lastni SMS prehod ONtime | Vaša telefonska številka in celotno besedilo sporočila. Kateri od obeh se uporabi, je odvisno od paketa salona; lastni prehod je naša naprava v Sloveniji. |
| Google (koledar) | Kadar ima izvajalec vklopljeno sinhronizacijo: vaše ime in naziv storitve v naslovu dogodka, VAŠA TELEFONSKA ŠTEVILKA v opisu dogodka, trajanje in naslov lokacije. |
| Supabase | Gostovanje podatkovne baze — Frankfurt, Nemčija. |
| Vercel | Gostovanje aplikacije — Dublin, Irska. |
| Brevo oziroma Amazon Web Services | Vaš elektronski naslov in vsebina sporočila pri dostavi elektronske pošte. |
| PostHog | Analitika uporabe. Na javnih straneh teče brez piškotkov, naslovi strani so očiščeni dostopnih žetonov, obiskovalci javnih strani se ne snemajo. |
| Sentry | Tehnična sporočila o napakah aplikacije. Pošiljanje osebnih podatkov je izklopljeno, naslovi strani so očiščeni. |
| Cloudflare | Vaš naslov IP pri preverjanju, da obrazca ne izpolnjuje samodejni program. |
| Google Drive in GitHub | Dnevna varnostna kopija celotne baze. Kopija je pred nalaganjem šifrirana. |
Podatkov ne prodajamo in jih ne posredujemo za trženje tretjih oseb.
5. Prenosi izven Evropskega gospodarskega prostora
Osrednja obdelava poteka v Evropski uniji. Do prenosa izven EGP pride pri beleženju tehničnih napak, pri hrambi varnostnih kopij in v okviru storitev ponudnikov, ki imajo sedež v ZDA, tudi kadar podatke hranijo v EU. Za te prenose se opiramo na standardne pogodbene klavzule Evropske komisije in na dodatne tehnične ukrepe, kot sta šifriranje varnostnih kopij in odstranjevanje identifikatorjev iz tehničnih zapisov. Podrobnosti so v izjavi o zasebnosti.
6. Kako dolgo se podatki hranijo
| Podatek | Rok |
|---|---|
| Izdani računi in z njimi povezani podatki | Najmanj 10 let, kot zahteva davčna zakonodaja. Računov tehnično ni mogoče izbrisati. |
| Podatki o rezervacijah, kartica stranke in zgodovina sporočil | Ves čas, dokler ste stranka salona, oziroma do izbrisa na zahtevo. Rok določi salon kot upravljavec. |
| Zapis o sprejemu pogojev | Skupaj z rezervacijo, na katero se nanaša — je dokazilo o dani privolitvi. |
| Kode za preverjanje telefonske številke | 1 dan, nato samodejni izbris. |
| Revizijska sled z naslovom IP | Elektronski naslov se iz zapisa odstrani po 90 dneh; zapis se hrani, dokler traja poslovni odnos s salonom. |
| Varnostne kopije | 30 dni pri ponudniku shrambe in 90 dni na naši napravi; mesečne kopije dlje zaradi hrambe računov. |
Poštena opomba
Podatki o rezervacijah se ne brišejo samodejno po vnaprej določenem roku. Hranijo se, dokler jih salon potrebuje oziroma dokler ne zahtevate izbrisa. Če vam je bil kdaj naveden samodejni dvoletni rok, ta ni bil točen in ga s to različico popravljamo.
7. Vaše pravice
Po členih 15 do 22 GDPR imate pravico do:
- dostopa do svojih podatkov in do njihove kopije,
- popravka netočnih in dopolnitve nepopolnih podatkov,
- izbrisa, kadar za obdelavo ni več podlage,
- omejitve obdelave,
- prenosljivosti podatkov,
- ugovora obdelavi na podlagi zakonitega interesa in vsakemu neposrednemu trženju,
- preklica privolitve, ne da bi to vplivalo na zakonitost obdelave pred preklicem.
Zahtevek naslovite na salon, pri katerem ste rezervirali — on je upravljavec. Če vam v enem mesecu ne odgovori, pišite nam na E-NASLOV ZA GDPR ZAHTEVKE in mu bomo pri odgovoru pomagali.
Kaj izbris pomeni v praksi
Ko salon izbriše vašo kartico, se odstranijo vaši kontaktni podatki v evidenci strank, ne pa vse sledi: ime in kontakt ostaneta zapisana na že opravljenih terminih, na izdanih računih, v dnevniku sporočil in na morebitnih darilnih bonih. Za popoln izbris je potreben naš poseg — izvedemo ga v 30 dneh od zahteve in sporočimo, kaj je bilo izbrisano in kaj je bilo treba ohraniti zaradi zakonske obveznosti. Podatkov z izdanih računov po zakonu ni mogoče izbrisati.
Pritožbo lahko vložite pri Informacijskem pooblaščencu RS, Dunajska cesta 22, 1000 Ljubljana, www.ip-rs.si.
8. Piškotki
Javna stran za rezervacije v vašo napravo ne shrani ničesar, kar bi zahtevalo privolitev. Podrobnosti so v politiki piškotkov.
9. Samodejno odločanje
Sistem ne sprejema samodejnih odločitev s pravnim ali podobno znatnim učinkom po členu 22 GDPR. Salon lahko posamezni stranki onemogoči spletno naročanje — to je odločitev salona, ne samodejna presoja sistema, in nanjo se lahko obrnete na salon.
10. Spremembe
Politiko občasno posodobimo. Različica in datum uveljavitve sta navedena na vrhu strani. Ob rezervaciji se zabeleži, katero različico ste potrdili; predhodne različice hranimo in vam jih na zahtevo posredujemo.