Politika privatnosti

1. Voditelj obrade i službenik za zaštitu podataka

1.1 Voditelj obrade (čl. 4. br. 7. GDPR-a)

Voditelj obrade osobnih podataka u vezi s radom web stranice biscotti-cmp.com, aplikacije app.biscotti-cmp.com te svih povezanih usluga je:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Njemačka

Zastupa: Daniel Bosch (direktor / CEO)
Također ovlašten za zastupanje: Philipp André Marschall (prokurist)

1.2 Službenik za zaštitu podataka

Ako postoji zakonska obveza imenovanja službenika za zaštitu podataka prema § 38. st. 1. BDSG-a ili čl. 37. GDPR-a, isti će biti imenovan, a kontakt podaci objavljeni na ovom mjestu. Neovisno o tome, uprava (Daniel Bosch, Philipp André Marschall) osigurava potpun nadzor i usklađenost s obvezama zaštite podataka.

Za sve upite o zaštiti podataka obratite se na:
E-pošta: [email protected]
Telefon: +49 3322 50703301
Radno vrijeme: Ponedjeljak do petka, 10:00–17:00 sati (CET/CEST)

2. Pregled aktivnosti obrade

Biscotti CMP je sveobuhvatna platforma za upravljanje privolama i pravnu usklađenost. U sklopu rada platforme obrađujemo osobne podatke u sljedećim područjima:

• Registracija i upravljanje računom (Odjeljak 3)
• Korištenje SaaS platforme / Nadzorne ploče (Odjeljak 4)
• Podaci o privolama posjetitelja web stranica naših klijenata (Odjeljak 5)
• Skener kolačića (Odjeljak 6)
• Legal Suite — Generiranje teksta pomoću umjetne inteligencije (Odjeljak 7)
• Legal Sync — Praćenje zakonskih promjena (Odjeljak 8)
• Policy-Audit — Struganje web stranica i AI analiza (Odjeljak 9)
• Tržište odvjetnika (Odjeljak 10)
• Funkcije agencije i bijele etikete (Odjeljak 11)
• Newsletter (Odjeljak 12)
• Program nagrađivanja za recenzije (Odjeljak 13)
• Obrada plaćanja (Odjeljak 14)
• GeoIP detekcija (Odjeljak 15)
• Detekcija botova (Odjeljak 16)
• Praćenje sesija (Odjeljak 17)
• Sigurnosne kopije (Odjeljak 18)
• Hosting i infrastruktura (Odjeljak 19)
• Kolačići i lokalna pohrana na biscotti-cmp.com (Odjeljak 20)

Za svaku aktivnost obrade u nastavku su navedeni svrha, pravna osnova, kategorije obrađenih podataka, primatelji te razdoblje pohrane.

3. Registracija i upravljanje računom

3.1 Registracija i kreiranje računa

Svrha: Kreiranje i upravljanje vašim korisničkim računom za korištenje platforme Biscotti CMP.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora — registracija je preduvjet za korištenje SaaS platforme).

Kategorije obrađenih podataka:

• Adresa e-pošte (obavezno)
• Lozinka (pohranjuje se kao kriptografski hash, nikada u čistom tekstu)
• Ime, prezime (opcionalno)
• Naziv tvrtke (opcionalno)
• Jezik računa (automatski prepoznat iz jezika preglednika ili ručno odabran iz 42 dostupna jezika)
• Vrijeme registracije
• IP adresa u trenutku registracije (za bilježenje pristanka na AVV u skladu s čl. 28. st. 9. GDPR-a)

Primatelji: Resend (slanje e-pošte za provjeru), Hetzner Online GmbH (hosting baze podataka).

Razdoblje pohrane: Podaci se pohranjuju tijekom trajanja ugovornog odnosa. Nakon brisanja računa, podaci se odmah brišu, uz pridržavanje zakonskih obveza pohrane (usp. odjeljak 23).

3.2 Dvostruka potvrda (provjera e-pošte)

Svrha: Provjera adrese e-pošte kako bi se osiguralo da je vlasnik adrese e-pošte stvarno izvršio registraciju.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora) u vezi s čl. 6. st. 1. t. f. GDPR-a (legitimni interes za sprječavanje zlouporabe).

Kategorije obrađenih podataka:

• Adresa e-pošte
• Token za provjeru (nasumično generiran, vrijedi 24 sata)
• Vrijeme slanja i potvrde
• Status provjere (emailVerified: true/false)

Primatelji: Resend (slanje e-pošte za provjeru).

Razdoblje pohrane: Token za provjeru briše se nakon potvrde ili nakon isteka roka od 24 sata. Status provjere pohranjuje se tijekom trajanja ugovornog odnosa.

3.3 Poništavanje lozinke

Svrha: Omogućavanje ponovnog pristupa računu u slučaju zaboravljene lozinke.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Adresa e-pošte
• Token za poništavanje (nasumično generiran, vremenski ograničen)
• Vrijeme zahtjeva

Primatelji: Resend (slanje e-pošte za poništavanje).

Razdoblje pohrane: Token za poništavanje briše se nakon upotrebe ili nakon isteka roka valjanosti.

4. Korištenje SaaS platforme (Nadzorna ploča)

4.1 Korištenje nadzorne ploče i konfiguracija bannera

Svrha: Pružanje web-baziranog korisničkog sučelja (nadzorne ploče) na app.biscotti-cmp.com za konfiguraciju i upravljanje bannerom za privolu, web stranicama, kategorijama, pravnim tekstovima i svim ostalim funkcijama platforme.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Podaci o računu (e-pošta, ime, tvrtka)
• Konfiguracije web stranice (domena, postavke bannera, boje, tekstovi, kategorije privola)
• Statistike bannera (prikazi, interakcije, stope prihvaćanja)
• Rezultati skeniranja i povijesti skeniranja
• Generirani pravni tekstovi
• Izvješća o usklađenosti i ocjene zdravlja
• Unosi u revizijski zapisnik (vremenska oznaka, ID korisnika, izvršena radnja, IP adresa)

Primatelji: Hetzner Online GmbH (hosting).

Razdoblje pohrane: Tijekom trajanja ugovornog odnosa. Revizijski zapisi pohranjuju se 12 mjeseci. Nakon brisanja računa, podaci se nepovratno brišu nakon isteka 30-dnevnog grace perioda.

4.2 Upravljanje timom

Svrha: Omogućavanje višestrukog korisničkog pristupa računu pozivanjem članova tima.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Adrese e-pošte pozvanih članova tima
• Dodijeljene uloge i dopuštenja
• Vrijeme poziva i prihvaćanja

Primatelji: Resend (slanje e-pošte s pozivnicom), Hetzner Online GmbH (hosting).

Razdoblje pohrane: Tijekom trajanja članstva u timu. U slučaju uklanjanja iz tima, podaci o dodjeli se brišu.

4.3 Analitika privola i A/B testiranje

Svrha: Statistička analiza stopa privola, interakcija s bannerima i praćenje konverzija. A/B testiranje omogućuje usporedbu različitih varijanti bannera radi optimizacije stopa prihvaćanja.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora — funkcije analitike su sastavni dio ugovorenog paketa).

Kategorije obrađenih podataka:

• Agregirane statistike privola (nema podataka o pojedincima)
• Dodjela varijanti bannera (kod A/B testiranja)
• Distribucija prometa i stope konverzije

Primatelji: Hetzner Online GmbH (hosting).

Razdoblje pohrane: Agregirane statistike pohranjuju se tijekom trajanja ugovornog odnosa.

5. Podaci o privolama posjetitelja web stranica

5.1 Prikupljanje odluka o privoli

Svrha: Prikupljanje, pohrana i dokumentiranje odluka o privoli posjetitelja web stranica radi ispunjavanja obveze dokazivanja operatora web stranice u skladu s čl. 7. st. 1. GDPR-a i § 25. st. 1. TDDDG-a.

Pravna osnova: Čl. 6. st. 1. t. c. GDPR-a (pravna obveza — obveza dokazivanja prema čl. 7. st. 1. GDPR-a) u vezi s čl. 6. st. 1. t. f. GDPR-a (legitimni interes operatora web stranice za dokumentiranje privole).

Kategorije obrađenih podataka:

• ID privole (pseudonimni UUID koji se dodjeljuje krajnjem uređaju/pregledniku)
• Odluke o privoli po kategoriji (Esencijalno, Funkcionalno, Analiza, Marketing te po potrebi korisnički definirane kategorije)
• Vremenska oznaka privole (datum i vrijeme)
• IP-hash (IP adresa se obrađuje isključivo za prepoznavanje jurisdikcije i zatim anonimizira u kriptografski hash; sirove IP adrese se ne pohranjuju trajno)
• Kod države (određen putem GeoIP detekcije)
• Jezik preglednika
• User-Agent niz
• Kategorija referera (organic, social, paid, direct, referral)
• TCF-niz (kada je aktiviran IAB Transparency & Consent Framework 2.3)
• Varijanta privole (kada je aktivirano A/B testiranje)
• Google Consent Mode v2 Signali
• Global Privacy Control (GPC) Signal

Primatelji: Hetzner Online GmbH (hosting, baza podataka), MinIO (sigurnosna kopija, samostalno hostirano na Hetzner-u).

Razdoblje pohrane: Podaci o privolama standardno se pohranjuju 18 mjeseci. Operator web stranice (klijent) može individualno konfigurirati razdoblje pohrane. Nakon isteka razdoblja pohrane, podaci se automatski i nepovratno brišu.

5.2 Pretraživanje privola (informacije za posjetitelje web stranica)

Svrha: Omogućavanje uvida u pohranjene podatke o privolama posjetiteljima web stranica radi ispunjavanja prava na pristup podacima prema čl. 15. GDPR-a.

Pravna osnova: Čl. 6. st. 1. t. c. GDPR-a (pravna obveza — pravo na pristup podacima prema čl. 15. GDPR-a).

Kategorije obrađenih podataka:

• ID privole (unesen od strane posjetitelja web stranice)
• IP adresa (za ograničavanje broja zahtjeva, ne pohranjuje se trajno)

Primatelji: Hetzner Online GmbH (hosting).

Razdoblje pohrane: Ne pohranjuju se dodatni podaci. Upit je ograničen na 10 zahtjeva po minuti po IP adresi.

6. Skener kolačića

6.1 Automatizirano skeniranje web stranice

Svrha: Automatizirano pretraživanje web stranica naših klijenata za kolačićima, unosima u lokalnu pohranu i trackerima trećih strana radi identifikacije, kategorizacije i dokumentiranja korištenih tehnologija. Rezultati služe za konfiguraciju bannera za privolu u skladu sa zaštitom podataka.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora — skener kolačića je temeljna funkcija platforme).

Kategorije obrađenih podataka:

• Domena i URL skenirane web stranice
• Pronađeni kolačići (naziv, vrijednost, domena, datum isteka, putanja, Secure-Flag, SameSite-atribut)
• Unosi u lokalnu pohranu
• Trackeri trećih strana i integrirani vanjski resursi
• Kategorizacija pronađenih elemenata (Esencijalno, Funkcionalno, Analiza, Marketing)
• Usklađivanje s IAB Global Vendor List (GVL)
• Vrijeme skeniranja i trajanje skeniranja

Tehnička implementacija: Skener koristi Playwright (open-source headless preglednik tvrtke Microsoft), koji se pokreće na našim vlastitim poslužiteljima na Hetzner Online GmbHi (Falkenstein, Nizozemska). Ne dolazi do prijenosa podataka tvrtki Microsoft. Skener posjećuje web stranicu klijenta kao običan preglednik kako bi prikupio sadržaj renderiran JavaScriptom i dinamički postavljene kolačiće.

Primatelji: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (kategorizacija pronađenih kolačića uz pomoć umjetne inteligencije).

Razdoblje pohrane: Rezultati skeniranja pohranjuju se tijekom trajanja ugovornog odnosa. Povijesti skeniranja omogućuju usporedbu s prethodnim skeniranjima.

6.2 Javni provjerivač kolačića

Svrha: Pružanje besplatnog, javnog provjerivača kolačića na marketinškoj web stranici, koji se može koristiti bez registracije.

Pravna osnova: Čl. 6. st. 1. t. f. GDPR-a (legitimni interes za pružanje informativne usluge i stjecanje klijenata).

Kategorije obrađenih podataka:

• Unesena domena/URL
• IP adresa (za ograničavanje broja zahtjeva, ne pohranjuje se trajno)
• Rezultati skeniranja

Primatelji: Hetzner Online GmbH (hosting).

Razdoblje pohrane: Rezultati skeniranja javnog provjerivača privremeno se pohranjuju. Korištenje je ograničeno na 3 skeniranja dnevno po IP adresi.

7. Legal Suite — Generiranje teksta pomoću umjetne inteligencije

7.1 Generiranje pravnih tekstova uz pomoć umjetne inteligencije

Svrha: Generiranje prilagođenih pravnih tekstova (Impresum, Izjava o zaštiti podataka, Pravila o kolačićima, Opći uvjeti poslovanja, Obavijest o pravu na odustanak, AVV/DPA, Uvjeti dostave i povrata, Uvjeti korištenja, Odricanje od odgovornosti, NDA, DSA informacije i preko 30 drugih vrsta dokumenata) na temelju informacija koje je unio klijent, uz korištenje umjetne inteligencije.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora — Legal Suite je sastavni dio ugovorenog paketa).

Kategorije obrađenih podataka koji se prenose Alibaba Cloud Qwen-ju:

• Podaci o tvrtki klijenta (naziv tvrtke, pravni oblik, adresa, kontakt podaci)
• Imena ovlaštenih predstavnika (direktori, prokuristi)
• Podaci iz registra (registarski sud, broj registra, PDV ID broj)
• Informacije specifične za industriju i poslovnu kategoriju
• Opis aktivnosti obrade
• Individualni podaci o vrsti dokumenta koje je unio klijent
• Informacije o jurisdikciji

Pružatelj AI usluga: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Obrada se odvija putem Alibaba Cloud Model Studio (Qwen) API-ja unutar EU/EGP-a. Prema Alibaba Cloud pravilima o zaštiti podataka, ulazni podaci se ne koriste za obuku AI modela.

Primatelji: Alibaba Cloud Qwen (AI obrada), Hetzner Online GmbH (hosting, pohrana generiranih tekstova).

Razdoblje pohrane: Generirani pravni tekstovi pohranjuju se tijekom trajanja ugovornog odnosa. Kod Alibaba Cloud Qwen-ja, ulazni podaci se, prema Alibaba Cloud uvjetima korištenja, ne pohranjuju nakon obrade.

7.2 Donesite vlastiti ključ (BYOK)

Svrha: Klijenti mogu opcionalno pohraniti vlastite API ključeve za pružatelje AI usluga (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) kako bi obradu teksta obavljali putem vlastitog računa kod dotičnog pružatelja AI usluga.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• API ključ klijenta (pohranjuje se šifriran s AES-256-GCM)

Napomena: Prilikom korištenja vlastitog API ključa, obrada ulaznih podataka kod dotičnog pružatelja AI usluga odvija se pod odgovornošću klijenta. Primjenjuju se pravila o zaštiti podataka dotičnog pružatelja.

Primatelji: Pružatelj AI usluga kojeg je odabrao klijent.

Razdoblje pohrane: Šifrirani API ključ pohranjuje se tijekom trajanja ugovornog odnosa i briše se prilikom brisanja računa.

8. Legal Sync — Praćenje zakonskih promjena

Svrha: Automatizirano praćenje zakonskih promjena u preko 186 jurisdikcija. U slučaju relevantnih promjena, pravni tekstovi klijenta automatski se označavaju kao oni koji zahtijevaju ažuriranje. U paketima s funkcijom „Automatsko ažuriranje", pogođeni tekstovi mogu se automatski regenerirati.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora — Legal Sync je sastavni dio ugovorenog paketa).

Kategorije obrađenih podataka:

• Dodjela jurisdikcije web stranicama klijenata
• Dodjela generiranih pravnih tekstova jurisdikcijama
• Vrijeme i vrsta prepoznate zakonske promjene
• Status ažuriranja (trenutno, potrebno ažuriranje, automatski ažurirano)

Tehnička implementacija: Dnevni automatizirani proces (Cron-Job, 03:00 UTC) provjerava zakonske promjene i uspoređuje ih s dokumentima klijenata.

Primatelji: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (kod automatske regeneracije pravnih tekstova), Resend (e-pošta za obavijesti).

Razdoblje pohrane: Protokoli promjena pohranjuju se tijekom trajanja ugovornog odnosa.

9. Policy-Audit — Struganje web stranica i AI analiza

9.1 Automatizirane revizije usklađenosti

Svrha: Automatizirana tjedna provjera web stranica klijenata na rizike u vezi sa zaštitom podataka. To uključuje prepoznavanje novih kolačića od posljednjeg skeniranja, provjeru problema s privolama te analizu postojećih pravnih tekstova (Izjava o zaštiti podataka, Impresum) klijenta uz pomoć umjetne inteligencije. Rezultat se prikazuje kao ocjena zdravlja (A–F).

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora — funkcija revizije usklađenosti je sastavni dio platforme).

Kategorije obrađenih podataka:

• Domena i URL provjerene web stranice
• Izstrugani sadržaji Izjave o zaštiti podataka i Impresuma klijenta
• Rezultati AI analize (prepoznati nedostaci, zastarjele reference, nedostajuće usluge)
• Ocjena zdravlja i izvješće o usklađenosti
• Vrijeme revizije

Tehnička implementacija: Playwright (headless preglednik, samostalno hostiran na Hetzner-u) struže javno dostupne pravne tekstove web stranice klijenta. Izstrugani tekstovi se zatim analiziraju putem Alibaba Cloud Model Studio (Qwen) API-ja.

Primatelji: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (AI analiza), Resend (e-pošta za obavijesti u slučaju prepoznatih problema).

Razdoblje pohrane: Rezultati revizije i izvješća o usklađenosti pohranjuju se tijekom trajanja ugovornog odnosa.

10. Tržište odvjetnika

10.1 Posredovanje odvjetničkih usluga

Svrha: Posredovanje odvjetničkih usluga između klijenata i neovisnih odvjetnika registriranih na platformi. Campcruisers GmbH djeluje isključivo kao posrednik i sama ne postaje ugovorna strana u odnosu između klijenta i odvjetnika (usp. § 14 Općih uvjeta poslovanja).

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora — korištenje tržišta odvjetnika).

10.2 Registracija odvjetnika

Kategorije obrađenih podataka:

• Kontakt podaci odvjetnika (ime, e-mail, telefon, adresa ureda)
• Profesionalne kvalifikacije i područja specijalizacije
• Dokumenti za provjeru (maks. 10 MB, PDF/JPEG/PNG)
• Status provjere (PENDING_APPROVAL, APPROVED, REJECTED)
• Dostupnost (tjedni vremenski okviri, blokirani datumi, vremenska zona)
• Profilna slika i opis profila
• Podaci Stripe Connect računa (za isplate)

10.3 Podaci o mandatu

Kategorije obrađenih podataka:

• Zahtjevi za ponude i ponude (opis, cijena, rok valjanosti)
• Status mandata (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Poruke između klijenta i odvjetnika
• Informacije o plaćanju (iznos, provizija platforme, iznos isplate)

10.4 Video savjetovanje (Twilio)

Svrha: Pružanje video savjetovanja između klijenata i odvjetnika.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Metapodaci video savjetovanja (vrijeme, trajanje, sudionici)
• Twilio ID sobe i pristupni token

Primatelji: Twilio Ireland Limited, Dublin, Irska (pružanje video infrastrukture).

10.5 Ocjene

Svrha: Omogućavanje ocjenjivanja odvjetnika od strane klijenata radi osiguranja kvalitete.

Pravna osnova: Čl. 6 st. 1 t. f GDPR-a (legitimni interes za osiguranje kvalitete i transparentnosti).

Kategorije obrađenih podataka:

• Ocjena (zvijezde, slobodan tekst)
• Vrijeme ocjenjivanja
• Povezanost s mandatom

Primatelji za cijelo tržište odvjetnika: Stripe Connect (obrada plaćanja), Twilio (video savjetovanje), Hetzner Online GmbH (hosting), Resend (obavijesti).

Trajanje pohrane: Podaci o mandatu pohranjuju se tijekom trajanja ugovornog odnosa, ali najmanje tijekom trajanja zakonskih obveza čuvanja (10 godina za podatke o računima). Ocjene ostaju vidljive tijekom trajanja registracije odvjetnika. Neprihvaćene ponude automatski istječu nakon 7 dana.

11. Funkcije agencije i bijele etikete

11.1 Upravljanje podračunima

Svrha: Omogućavanje agencijama upravljanje računima krajnjih korisnika (podračunima) u okviru Agency tarife.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• E-mail adrese i kontakt podaci vlasnika podračuna (krajnjih korisnika agencije)
• Podaci o pozivnicama (e-mail, vrijeme)
• Dnevnici pristupa proxy tokena (vrijeme, korisnik agencije, podračun)
• Konfiguracije web stranica i podaci o privoli podračuna

Primatelji: Hetzner Online GmbH (hosting), Resend (e-mailovi s pozivnicama).

Trajanje pohrane: Tijekom trajanja ugovornog odnosa između agencije i Campcruisers GmbH.

11.2 Prilagođena domena (CNAME)

Svrha: Pružanje vlastite domene za nadzornu ploču agencije.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Naziv domene agencije
• Podaci za DNS provjeru
• Podaci SSL/TLS certifikata (automatski osigurani putem Let's Encrypt)

Primatelji: Let's Encrypt (izdavanje SSL certifikata — prenose se isključivo nazivi domena, a ne osobni podaci fizičkih osoba), Hetzner Online GmbH (hosting, Traefik usmjeravanje).

11.3 Vlastiti transakcijski e-mailovi

Svrha: Omogućavanje slanja transakcijskih e-mailova pod brandom agencije putem vlastitog pružatelja e-mail usluga.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• API ključevi pružatelja e-mail usluga agencije (pohranjeni šifrirani s AES-256-GCM)
• Podaci pošiljatelja e-maila (ime, e-mail adresa)
• Podržani pružatelji: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Napomena: Kada se koristi vlastiti pružatelj e-mail usluga, slanje e-mailova odvija se pod odgovornošću agencije u smislu zaštite podataka.

Trajanje pohrane: Šifrirani API ključevi pohranjuju se tijekom trajanja ugovornog odnosa.

12. Newsletter

12.1 Pretplata na newsletter

Svrha: Slanje informacija o ažuriranjima proizvoda, pravu zaštite podataka, temama usklađenosti i novostima vezanim uz Biscotti CMP.

Pravna osnova: Čl. 6 st. 1 t. a GDPR-a (privola — newsletter se šalje samo uz izričitu privolu putem postupka dvostruke potvrde).

Kategorije obrađenih podataka:

• E-mail adresa
• Vrijeme prijave i potvrde dvostruke potvrde
• Status odjave

Postupak dvostruke potvrde: Nakon unosa e-mail adrese, primit ćete potvrdni e-mail s linkom za provjeru. Tek nakon klika na taj link, vaša e-mail adresa bit će dodana na listu primatelja newslettera.

Primatelji: Resend (slanje e-mailova newslettera i potvrdnog e-maila).

Odjava: Newsletter možete otkazati u bilo kojem trenutku. Svaki e-mail newslettera sadrži link za odjavu (Unsubscribe-Link). Alternativno, možete se odjaviti slanjem e-maila na [email protected].

Trajanje pohrane: Vaša e-mail adresa pohranjuje se do odjave s newslettera. Nakon odjave, e-mail adresa se odmah briše s liste primatelja. Radi dokumentiranja dane privole, vrijeme prijave i potvrde čuva se 3 godine nakon odjave (legitimni interes za dokazivanje privole, čl. 6 st. 1 t. f GDPR-a).

13. Program nagrađivanja za recenzije

Svrha: Nagrađivanje klijenata koji ostavljaju recenzije o Biscotti CMP-u na vanjskim platformama za ocjenjivanje, bonus sesijama i privremenom nadogradnjom plana.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora — sudjelovanje u programu je dobrovoljno i predstavlja dodatnu ugovornu uslugu).

Kategorije obrađenih podataka:

• Podaci računa klijenta koji sudjeluje
• Platforma za ocjenjivanje (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Link na ostavljenu recenziju
• Status odobrenja (putem administratorske provjere)
• Podaci o nagradi (15.000 Bonus-Sessions, 1 mjesec nadogradnje plana)

Primatelji: Hetzner Online GmbH (hosting).

Trajanje pohrane: Podaci o nagradi pohranjuju se tijekom trajanja ugovornog odnosa. Bonus sesije istječu nakon 6 mjeseci (redovni planovi) odnosno vrijede neograničeno (LTD planovi).

14. Obrada plaćanja (Stripe)

14.1 Plaćanja pretplate

Svrha: Obrada plaćanja za plaćene pretplatničke tarife, pakete kredita i ostale plaćene usluge.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Adresa za naplatu (ime/tvrtka, ulica, poštanski broj, mjesto, država)
• PDV ID broj (za B2B klijente)
• Način plaćanja (kreditna kartica, SEPA izravno terećenje, PayPal, Apple Pay, Google Pay itd.)
• Povijest plaćanja i računi
• Stripe Customer-ID i Subscription-ID

Primatelji: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irska. Stripe je certificiran prema EU-US Data Privacy Frameworku.

Trajanje pohrane: Računi i računovodstveni podaci čuvaju se 10 godina (§ 147 AO, §§ 238, 257 HGB). Načini plaćanja pohranjuju se kod Stripe-a tijekom trajanja pretplate.

14.2 Stripe Connect (Tržište odvjetnika)

Svrha: Obrada plaćanja između klijenata i odvjetnika putem tržišta odvjetnika te isplata odvjetnicima.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora).

Kategorije obrađenih podataka:

• Podaci Stripe Connect Express računa odvjetnika
• Iznosi plaćanja, provizija platforme, iznosi isplata
• Podaci sesije naplate

Primatelji: Stripe Payments Europe, Ltd., Dublin, Irska.

Trajanje pohrane: Prema obvezama čuvanja podataka o računima (10 godina).

14.3 ZUGFeRD računi

Svrha: Izrada i pružanje računa u ZUGFeRD formatu (PDF s ugrađenim XML-om prema EN 16931).

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora) u vezi s čl. 6 st. 1 t. c GDPR-a (pravna obveza — obveze izdavanja računa prema UStG, HGB).

Kategorije obrađenih podataka:

• Adresa za naplatu, broj kupca (CUS-GGMM-XXXXX), broj računa (INV-GGMM-XXXXX)
• Opis usluge, iznosi, porezne stope

Primatelji: Resend (slanje računa e-mailom), Hetzner Online GmbH (hosting).

Trajanje pohrane: 10 godina (§ 147 AO, §§ 238, 257 HGB).

15. GeoIP detekcija

Svrha: IP-temeljeno određivanje zemlje odnosno jurisdikcije posjetitelja web stranice za dinamičko prikazivanje pravno usklađenih varijanti bannera (npr. Opt-In za zemlje GDPR-a, Opt-Out za zemlje CCPA-e, Notice-Only za zemlje bez specifičnog zakonodavstva o kolačićima).

Pravna osnova: Čl. 6 st. 1 t. f GDPR-a (legitimni interes za pravno usklađeno prikazivanje bannera za privolu u skladu s primjenjivom jurisdikcijom posjetitelja web stranice).

Kategorije obrađenih podataka:

• IP adresa posjetitelja web stranice (prenosi se na ip-api.com radi detekcije zemlje)
• Detektirani kod zemlje

Tehnička implementacija: IP adresa se prenosi na uslugu ip-api.com (sjedište: Litva, EU). Rezultat (kod zemlje) privremeno se pohranjuje u cache (Redis) na 1 sat kako bi se izbjegli ponovljeni upiti. Nakon detekcije zemlje, IP adresa se anonimizira u kriptografski hash (IP-Hash). Neobrađene IP adrese se ne pohranjuju trajno.

Primatelji: ip-api.com (ip-api, Litva — GeoIP usluga), Hetzner Online GmbH (hosting, Redis-Cache).

Trajanje pohrane: GeoIP rezultat pohranjuje se u cache na 1 sat. Neobrađene IP adrese se odmah anonimiziraju nakon detekcije zemlje. IP-Hash se pohranjuje kao dio podataka o privoli za konfigurirani rok čuvanja (standardno: 18 mjeseci).

16. Detekcija botova

Svrha: Razlikovanje između ljudskih posjetitelja web stranice i automatiziranih pristupa (botovi, crawler-i, scraper-i) radi ispravnog brojanja sesija. Automatizirani pristupi se ne broje kao sesije i ne naplaćuju se.

Pravna osnova: Čl. 6 st. 1 t. f GDPR-a (legitimni interes za ispravno obračunavanje i zaštitu platforme od zlouporabe).

Kategorije obrađenih podataka:

• User-Agent niz
• HTTP zaglavlja (npr. Accept-Language, Accept-Encoding)
• Značajke headless preglednika
• IP adresa (za IP-temeljeno ograničavanje brzine, ne pohranjuje se trajno)

Tehnička implementacija: Detekcija botova analizira svaki pristup na temelju analize User-Agenta, analize zaglavlja (npr. nedostajuća Accept-Language zaglavlja), detekcije headless preglednika i IP-temeljenog ograničavanja brzine. Analiza se provodi u stvarnom vremenu na našim poslužiteljima.

Primatelji: Hetzner Online GmbH (hosting).

Trajanje pohrane: Rezultati analize se ne pohranjuju trajno. Rezultat (Bot: da/ne) ulazi u brojanje sesija.

16.1 Cloudflare Turnstile (zaštita od botova pri prijavi/registraciji)

Svrha: Zaštita obrazaca za prijavu i registraciju od automatiziranih napada botova.

Pravna osnova: Čl. 6 st. 1 t. f GDPR-a (legitimni interes za zaštitu platforme od zlouporabe i automatiziranih napada).

Kategorije obrađenih podataka:

• IP adresa
• Informacije o pregledniku
• Podaci o interakciji s Turnstile widgetom

Primatelji: Cloudflare Germany GmbH, Rosental 7, 80331 München, Njemačka. Cloudflare je certificiran prema EU-US Data Privacy Frameworku. Zaštita se dodatno osigurava standardnim ugovornim klauzulama (SCCs).

Trajanje pohrane: Cloudflare pohranjuje podatke u skladu sa svojim pravilima o zaštiti podataka. Na našim poslužiteljima ne pohranjuju se dodatni podaci iz Turnstile-a.

17. Praćenje sesija

Svrha: Brojanje sesija za obračun na temelju tarife. Sesija se broji kada se Biscotti-CMP widget (biscotti.min.js) učita na web stranici klijenta i pošalje HTTP ping na krajnju točku /api/v1/ping.

Pravna osnova: Čl. 6 st. 1 t. b GDPR-a (izvršenje ugovora — obračun na temelju sesija je osnova tarifnog modela).

Kategorije obrađenih podataka:

• Brojač sesija (agregiran po web stranici i mjesecu obračuna)
• Vrijeme pinga
• Rezultat detekcije botova (usp. odjeljak 16)

Tehnička implementacija: Redis se koristi kao in-memory baza podataka za praćenje sesija i keširanje. Redis se samostalno hostira na Hetzner Online GmbHi (Falkenstein, Nizozemska). Ne dolazi do prijenosa podataka trećim stranama.

Primatelji: Hetzner Online GmbH (hosting, Redis).

Trajanje pohrane: Brojači sesija pohranjuju se za dotični mjesec obračuna. Povijesni podaci o sesijama čuvaju se tijekom trajanja ugovornog odnosa radi sljedivosti obračuna.

18. Sigurnosne kopije

Svrha: Redovito sigurnosno kopiranje dnevnika privola, konfiguracija bannera, konfiguracija web stranica i podataka baze podataka radi osiguranja mogućnosti oporavka u slučaju gubitka podataka.

Pravna osnova: Čl. 6 st. 1 t. f GDPR-a (legitimni interes za sigurnost podataka i mogućnost oporavka prema čl. 32 st. 1 t. c GDPR-a).

Kategorije obrađenih podataka:

• Svi podaci pohranjeni u bazi podataka (dnevnici privola, konfiguracije, podaci računa, pravni tekstovi, rezultati skeniranja)
• Konfiguracije bannera

Tehnička implementacija:

• Dnevne automatske sigurnosne kopije PostgreSQL baze podataka
• Dnevne automatske sigurnosne kopije konfiguracija bannera i konfiguracija web stranica
• Pohrana na samostalno hostiranom MinIO spremištu unutar Hetzner-a
• Serversko šifriranje s AES-256
• Provjera integriteta putem SHA-256 kontrolnih suma
• Redoviti testovi oporavka

Primatelji: MinIO (samostalno hostiran na Hetzner Online GmbHi).

Trajanje pohrane: Sigurnosne kopije čuvaju se tijekom rotirajućeg razdoblja. U slučaju brisanja računa, podaci sigurnosne kopije brišu se nakon isteka 30-dnevnog grace perioda i sljedećeg ciklusa rotacije sigurnosnih kopija.

19. Hosting i infrastruktura

19.1 Hetzner Online GmbH

Svrha: Hosting cjelokupne Biscotti CMP infrastrukture, uključujući web poslužitelj, bazu podataka, logiku aplikacije i sve povezane usluge.

Pravna osnova: Čl. 6. st. 1. t. b. GDPR-a (izvršenje ugovora) u vezi s čl. 6. st. 1. t. f. GDPR-a (legitimni interes za pouzdanu i sigurnu infrastrukturu).

Lokacija podatkovnog centra: Falkenstein/Vogtland (Njemačka, EU).

Pružatelj: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Njemačka.

Tehnička arhitektura:

• Kontejnerizirana aplikacija (Docker)
• Traefik kao reverzni proxy i balansator opterećenja
• PostgreSQL kao relacijska baza podataka (samostalno hostirana na Hetzner-u)
• Redis kao in-memory baza podataka za praćenje sesija i keširanje (samostalno hostirana na Hetzner-u)
• Playwright kao headless preglednik za skeniranje web stranica (samostalno hostiran na Hetzner-u)
• MinIO kao S3-kompatibilna pohrana objekata za sigurnosne kopije (samostalno hostirana na Hetzner-u)

19.2 Log datoteke poslužitelja

Svrha: Tehnička dostupnost web stranice i osiguravanje stabilnosti sustava.

Pravna osnova: Čl. 6. st. 1. t. f. GDPR-a (legitimni interes za tehničku dostupnost i sigurnost).

Kategorije obrađenih podataka:

• IP adresa (anonimizirana)
• Datum i vrijeme pristupa
• Pristupljena stranica/krajnja točka
• HTTP statusni kod
• Prenesena količina podataka
• Referrer-URL
• Vrsta i verzija preglednika
• Operativni sustav

Trajanje pohrane: Log datoteke poslužitelja pohranjuju se maksimalno 30 dana, a zatim se automatski brišu.

20. Kolačići i lokalna pohrana na biscotti-cmp.com

20.1 Vlastita upotreba Biscotti CMP-a

Za upravljanje potrebnim privolama na našoj vlastitoj web stranici (biscotti-cmp.com) koristimo vlastiti proizvod „Biscotti CMP”.

20.2 Tehnički nužni kolačići

Svrha: Osiguravanje funkcionalnosti web stranice i nadzorne ploče.

Pravna osnova: Čl. 6. st. 1. t. f. GDPR-a (legitimni interes za tehničku funkcionalnost) u vezi s § 25. st. 2. br. 2. TDDDG-a (tehnički nužni kolačići izuzeti su od obveze privole).

Korišteni tehnički nužni kolačići:

• Sesijski kolačić (JWT-token za autentifikaciju, valjanost: 7 dana)
• Kolačić privole (pohrana odluke posjetitelja o privoli na biscotti-cmp.com)
• Kolačić jezičnih preferencija

20.3 Analitički kolačići (samo uz privolu)

Svrha: Statistička analiza korištenja naše web stranice radi poboljšanja naše ponude.

Pravna osnova: Čl. 6. st. 1. t. a. GDPR-a (privola) u vezi s § 25. st. 1. TDDDG-a.

Google Analytics 4: Koristimo Google Analytics 4 za statističku analizu isključivo uz vašu privolu. Pružatelj: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska. Obrada podataka odvija se u EU. Anonimizacija IP adrese je aktivirana.

20.4 Detaljne informacije o kolačićima

Detaljne informacije o svim kolačićima koji se koriste na biscotti-cmp.com, uključujući naziv, svrhu, pružatelja, trajanje pohrane i vrstu, možete pronaći u našoj zasebnoj politici kolačića.

21. Vanjski pružatelji usluga / Primatelji

Za pružanje naših usluga koristimo sljedeće vanjske pružatelje usluga. Ovaj popis odgovara § 24. naših Općih uvjeta poslovanja i § 7. našeg Ugovora o obradi podataka:

Samostalno hostirane tehnologije (nema samostalnih podizvođača obrade):

• PostgreSQL (Open Source) — Relacijska baza podataka, samostalno hostirana na Hetzner-u (Falkenstein)
• Redis (Open Source) — In-memory baza podataka za praćenje sesija i keširanje, samostalno hostirana na Hetzner-u (Falkenstein)
• Playwright (Open Source, Microsoft) — Headless preglednik za skeniranje web stranica, samostalno hostiran na Hetzner-u (Falkenstein)
• MinIO (Open Source) — S3-kompatibilna pohrana objekata za sigurnosne kopije, samostalno hostirana na Hetzner-u (Falkenstein)

Kod ovih tehnologija ne dolazi do prijenosa podataka trećim stranama. One su dio Hetzner infrastrukture navedene pod br. 5.

22. Prijenos u treće zemlje

22.1 Načelo

Obrada osobnih podataka u načelu se odvija unutar Europske unije (EU) odnosno Europskog gospodarskog prostora (EGP). Primarna infrastruktura (Hetzner Online GmbH, Falkenstein) nalazi se u Njemačkoj.

22.2 Prijenosi u treće zemlje

Ukoliko se obrada od strane vanjskih pružatelja usluga odvija izvan EU/EGP-a, osiguravamo da su ispunjeni posebni uvjeti iz čl. 44. i dalje GDPR-a:

(a) Resend (SAD):

• Osigurano aktualnim standardnim ugovornim klauzulama (SCCs) Europske komisije sukladno Provedbenoj odluci (EU) 2021/914
• Dodatno osigurano EU-US Okvirom za zaštitu podataka (DPF) sukladno Odluci o primjerenosti Europske komisije od 10. srpnja 2023.
• Dopunske tehničke mjere: TLS enkripcija svih prijenosa e-pošte
• Obrada podataka odvija se na AWS poslužiteljima u EU (regija eu-west-1)

(b) Let's Encrypt (SAD):

• Komunikacija s Let's Encrypt ograničena je na automatsko izdavanje SSL/TLS certifikata putem ACME protokola
• Prenose se isključivo nazivi domena — nema osobnih podataka fizičkih osoba

(c) Cloudflare Turnstile (Globalno):

• Osigurano standardnim ugovornim klauzulama (SCCs) Europske komisije
• Dodatno osigurano EU-US Okvirom za zaštitu podataka
• Obrada je ograničena na detekciju botova tijekom procesa prijave i registracije

22.3 Procjena učinka prijenosa

Za svaki prijenos u treću zemlju provodimo procjenu učinka prijenosa (Transfer Impact Assessment — TIA) kako bismo osigurali da razina zaštite podataka u trećoj zemlji u biti odgovara onoj u EU. Rezultate TIA-e stavljamo na raspolaganje na zahtjev.

22.4 Promjene pravnog stanja

Ukoliko se odluka o primjerenosti Europske komisije ukine ili prijenos u treću zemlju zabrani od strane nadzornog tijela ili suda, odmah ćemo vas obavijestiti i poduzeti odgovarajuće alternativne zaštitne mjere ili obustaviti dotičnu obradu.

23. Trajanje pohrane i rokovi brisanja

Osobne podatke pohranjujemo samo onoliko dugo koliko je to potrebno za dotičnu svrhu obrade ili dok postoje zakonske obveze pohrane. Slijedi pregled glavnih rokova pohrane:

Nakon brisanja računa, svi osobni podaci se nakon isteka 30-dnevnog grace perioda neopozivo i u skladu s propisima o zaštiti podataka brišu iz produktivnih sustava i sigurnosnih kopija, podložno gore navedenim zakonskim obvezama pohrane.

24. Prava ispitanika (čl. 15.–22. GDPR-a)

Kao ispitanik imate sljedeća prava u vezi s vašim osobnim podacima:

24.1 Pravo na pristup (čl. 15. GDPR-a)

Imate pravo od nas zatražiti potvrdu obrađujemo li osobne podatke koji se odnose na vas. Ako je to slučaj, imate pravo na pristup tim osobnim podacima i na informacije navedene u čl. 15. st. 1. GDPR-a (svrhe obrade, kategorije osobnih podataka, primatelji, planirano trajanje pohrane, izvor podataka, postojanje automatiziranog donošenja odluka).

Tehnička provedba: Podatke o svom računu možete pregledati u bilo kojem trenutku na nadzornoj ploči. Podaci o privoli mogu se preuzeti putem funkcije izvoza (CSV). Posjetitelji web stranice mogu pregledati svoje pohranjene podatke o privoli putem javne stranice za pretraživanje privola, navodeći svoj ID privole.

24.2 Pravo na ispravak (čl. 16. GDPR-a)

Imate pravo bez odgode zatražiti ispravak netočnih osobnih podataka. Uzimajući u obzir svrhe obrade, imate pravo zatražiti dopunu nepotpunih osobnih podataka.

Tehnička provedba: Podaci o računu (ime, e-pošta, tvrtka, adresa) mogu se ispraviti u bilo kojem trenutku na nadzornoj ploči.

24.3 Pravo na brisanje (čl. 17. GDPR-a)

Imate pravo zatražiti bez odgode brisanje vaših osobnih podataka, ako je ispunjen jedan od razloga navedenih u čl. 17. st. 1. GDPR-a (npr. podaci više nisu potrebni za svrhu, povlačenje privole, nezakonita obrada).

Tehnička provedba: Brisanje svog računa možete zatražiti u bilo kojem trenutku putem nadzorne ploče ili e-poštom na [email protected]. Prilikom brisanja računa, svi osobni podaci se neopozivo brišu, podložno zakonskim obvezama pohrane (usp. odjeljak 23). Podatke o privoli klijent (operator web stranice) može izbrisati putem funkcija nadzorne ploče.

Ograničenja: Pravo na brisanje ne postoji ako je obrada potrebna za ispunjenje pravne obveze (npr. porezne i trgovačke obveze pohrane).

24.4 Pravo na ograničenje obrade (čl. 18. GDPR-a)

Imate pravo zatražiti ograničenje obrade ako je ispunjen jedan od uvjeta navedenih u čl. 18. st. 1. GDPR-a (npr. osporavanje točnosti, nezakonita obrada, prigovor prema čl. 21. GDPR-a).

Tehnička provedba: Ograničenje pojedinih skupova podataka može se zatražiti putem funkcija nadzorne ploče ili kontaktiranjem naše podrške.

24.5 Pravo na prenosivost podataka (čl. 20. GDPR-a)

Imate pravo primiti osobne podatke koji se odnose na vas, a koje ste nam dostavili, u strukturiranom, uobičajeno korištenom i strojno čitljivom formatu. Imate pravo prenijeti te podatke drugom voditelju obrade bez ometanja.

Tehnička provedba: Biscotti CMP nudi opsežne mogućnosti izvoza podataka u CSV formatu putem nadzorne ploče i REST-API-ja. Mogu se izvesti: podaci o privoli, konfiguracije web stranica, rezultati skeniranja, pravni tekstovi, audit logovi i računi.

24.6 Pravo na prigovor (čl. 21. GDPR-a)

Imate pravo u bilo kojem trenutku, iz razloga koji se odnose na vašu posebnu situaciju, uložiti prigovor na obradu osobnih podataka koji se odnose na vas, a koja se temelji na čl. 6. st. 1. t. f. GDPR-a (legitimni interes). Tada više nećemo obrađivati osobne podatke, osim ako ne dokažemo postojanje uvjerljivih legitimnih razloga za obradu koji nadilaze vaše interese, prava i slobode, ili ako je obrada potrebna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva.

24.7 Pravo na povlačenje privole (čl. 7. st. 3. GDPR-a)

Ukoliko se obrada temelji na vašoj privoli (čl. 6. st. 1. t. a. GDPR-a), imate pravo u bilo kojem trenutku povući privolu. Zakonitost obrade koja se temeljila na privoli prije njenog povlačenja ne utječe se povlačenjem.

Tehnička provedba za posjetitelje web stranice: Banner za privolu Biscotti CMP-a nudi krajnjim korisnicima funkciju da u bilo kojem trenutku pristupe i povuku donesene postavke. Povlačenje je jednako jednostavno kao i davanje privole.

Tehnička provedba za newsletter: Svaka e-pošta newslettera sadrži poveznicu za odjavu.

24.8 Pravo na podnošenje prigovora nadzornom tijelu (čl. 77. GDPR-a)

Imate pravo podnijeti prigovor nadzornom tijelu za zaštitu podataka u vezi s obradom vaših osobnih podataka od strane nas. Nadzorno tijelo nadležno za nas je:

Povjerenik savezne države Brandenburg za zaštitu podataka i pravo na uvid u spise
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
E-pošta: [email protected]

Međutim, možete se obratiti i nadzornom tijelu u mjestu vašeg uobičajenog boravišta ili rada.

24.9 Kontakt za ostvarivanje vaših prava

Za ostvarivanje vaših prava obratite se na:

E-pošta: [email protected]
Telefon: +49 3322 50703301
Pošta: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Njemačka

Vaš zahtjev ćemo obraditi bez odgode, najkasnije u roku od mjesec dana od primitka (čl. 12. st. 3. GDPR-a). U složenim slučajevima ili kod velikog broja zahtjeva, ovaj rok se može produžiti za dodatna dva mjeseca, o čemu ćemo vas obavijestiti navodeći razloge.

25. Automatizirano donošenje odluka (čl. 22. GDPR-a)

25.1 Generiranje teksta pomoću umjetne inteligencije (AI)

U okviru Legal Suite-a, pravni tekstovi se generiraju pomoću umjetne inteligencije (Alibaba Cloud Qwen). Ovo generiranje teksta predstavlja automatiziranu obradu, ali ne predstavlja automatizirano donošenje odluka u smislu čl. 22. st. 1. GDPR-a, jer:

• Generirani tekstovi nemaju pravni učinak na ispitanika i ne utječu na njega na sličan značajan način.
• Tekstovi predstavljaju samo nacrte koje klijent mora pregledati, urediti i odobriti prije upotrebe.
• Nijedna odluka se ne temelji isključivo na automatiziranoj obradi — klijent uvijek zadržava potpunu kontrolu nad korištenjem generiranih tekstova.

25.2 Kategorizacija kolačića potpomognuta umjetnom inteligencijom (AI)

Automatska kategorizacija kolačića pomoću AI (Esencijalni, Funkcionalni, Analitički, Marketing) predstavlja funkciju podrške. Klijent može ručno provjeriti i prilagoditi kategorizaciju u bilo kojem trenutku. Ne radi se o automatiziranom donošenju odluka u smislu čl. 22. GDPR-a.

25.3 Detekcija botova

Automatizirana detekcija botova (usp. odjeljak 16) automatski odlučuje je li pristup klasificiran kao ljudski ili automatiziran. Ova odluka utječe na brojanje sesija, a time i na naplatu. Budući da se odluka odnosi isključivo na klijente (ne na posjetitelje web stranice) i klijent može pratiti brojanje sesija na nadzornoj ploči, ne radi se o automatiziranom donošenju odluka u smislu čl. 22. GDPR-a koje značajno utječe na ispitanika.

25.4 Ocjena zdravlja usklađenosti

Automatsko izračunavanje ocjene zdravlja usklađenosti (A–F) u okviru revizije politika (usp. odjeljak 9) predstavlja informativnu i podržavajuću funkciju. Ocjena nema pravni učinak i služi isključivo informiranju klijenta.

25.5 Obavijest o transparentnosti prema Zakonu o umjetnoj inteligenciji EU-a

Koristimo AI sustave (Alibaba Cloud Qwen) za generiranje teksta, kategorizaciju kolačića i analizu politika. Sukladno obvezama transparentnosti iz Uredbe (EU) 2024/1689 (EU AI Act), napominjemo da:

• Sadržaj generiran AI-jem označen je kao takav.
• AI simulira različite uloge pravnih stručnjaka — ne radi se o provjeri od strane stvarnih odvjetnika.
• Izričito preporučujemo da pravne tekstove generirane AI-jem prije produktivne upotrebe provjeri kvalificirani odvjetnik.

26. Izmjene Izjave o zaštiti podataka

Zadržavamo pravo prilagodbe ove Izjave o zaštiti podataka kako bismo je uskladili s izmijenjenim pravnim propisima, tehničkim razvojem ili novim funkcionalnostima Biscotti CMP-a. Trenutna verzija uvijek je dostupna na našoj web stranici na biscotti-cmp.com/de/datenschutz.

U slučaju značajnih izmjena koje utječu na vaša prava ili vrstu obrade podataka, obavijestit ćemo vas e-poštom na adresu e-pošte pohranjenu u vašem računu. Preporučujemo vam da redovito pregledavate ovu Izjavu o zaštiti podataka.

27. Nadležno nadzorno tijelo

Nadležno nadzorno tijelo za zaštitu podataka za Campcruisers GmbH je:

Povjerenik savezne države Brandenburg za zaštitu podataka i pravo na uvid u spise
Stahnsdorfer Damm 77
14532 Kleinmachnow
Njemačka
Telefon: +49 33203 356-0
E-pošta: [email protected]
Web stranica: https://www.lda.brandenburg.de

Sigurnost podataka

Primjenjujemo sveobuhvatne tehničke i organizacijske sigurnosne mjere sukladno čl. 32. GDPR-a kako bismo zaštitili vaše osobne podatke. To uključuje posebno:

• Enkripcija tijekom prijenosa: TLS 1.2/1.3 za sve prijenose podataka, HTTPS-prisila (HSTS)
• Enkripcija u mirovanju: AES-256 enkripcija svih baza podataka i medija za pohranu na Hetzner Online GmbHi, AES-256-GCM za osjetljive konfiguracijske podatke (API-ključevi, BYOK-ključevi)
• Pseudonimizacija: Podaci o privoli povezani su s pseudonimnim ID-ovima privole, IP adrese se anonimiziraju u IP-hashove
• Kontrola pristupa: Kontrola pristupa temeljena na ulogama (RBAC), princip minimalnih prava, logička odvojenost klijenata
• Autentifikacija: Autentifikacija temeljena na JWT-u, Cloudflare Turnstile za zaštitu od bot napada
• Sigurnosna kopija i oporavak: Dnevne automatske sigurnosne kopije s AES-256 enkripcijom i SHA-256 provjerom integriteta
• Audit logiranje: Sveobuhvatan sustav bilježenja za sve sigurnosno relevantne radnje

Potpune tehničke i organizacijske mjere (TOMs) dokumentirane su u § 8. našeg Ugovora o obradi podataka (AVV).