Obavijest o privatnosti
NACRT — pripremljeno kao polazište za pravni pregled; nije pravni savjet. Verzija 2026-11-01. Ova obavijest ne prihvaća se; izdaje se na temelju čl. 13. i 14. Uredbe (EU) 2016/679 (dalje: OUZP).
1. Na koga se obavijest odnosi
Ova obavijest namijenjena je korisnicima usluge Naplata: vlasnicima i zaposlenicima knjigovodstvenih ureda i drugih poslovnih subjekata koji se registriraju ili su pozvani u uslugu, te osobama koje nam se obrate u vezi s uslugom.
Ona ne opisuje obradu podataka klijenata ureda i osoba navedenih u eRačunima i bankovnim izvodima.
Za te je podatke voditelj obrade ured koji ih unosi, a mi smo izvršitelj obrade prema Ugovoru o obradi
osobnih podataka (/legal/dpa). Ako ste klijent ureda ili osoba iz računa ili izvoda, obratite se uredu.
2. Voditelj obrade i kontakt
| Voditelj obrade | NLV d.o.o., Kralja Tomislava 43, 31223 Brođanci, OIB 79186054907 |
| Kontakt za zaštitu osobnih podataka | privacy@nlv.hr |
Nismo dužni imenovati službenika za zaštitu podataka (čl. 37. OUZP-a) i nismo ga imenovali. Ako ta obveza nastane, imenovat ćemo ga i ovdje objaviti njegove kontakt podatke.
3. Koje podatke obrađujemo, u koje svrhe i na kojoj osnovi
| Svrha | Podaci | Pravna osnova (čl. 6. st. 1. OUZP-a) |
|---|---|---|
| Registracija ureda i sklapanje ugovora | naziv, OIB i adresa ureda; ime i prezime i e-pošta vlasnika; lozinka (pohranjena samo kao hash); kod preporuke ako ga unesete | t. (b) izvršenje ugovora |
| Korisnički račun i članstvo u uredu | ime i prezime, e-pošta, jezik, uloga u uredu, pozivnice (e-pošta pozvane osobe, tko je pozvao, rok) | t. (b) izvršenje ugovora s uredom; za pozvane korisnike t. (f) legitimni interes ureda i naš da ured može dati pristup svojim zaposlenicima |
| Prijava i sigurnost | lozinka (hash), tajna za dvofaktorsku prijavu (šifrirano), rezervni kodovi (hash), potvrda e-pošte, vrijeme zadnje prijave, poveznice za promjenu lozinke, zapisi o uspješnim i neuspjelim prijavama s IP adresom i korisničkim agentom (preglednik) | t. (f) legitimni interes zaštite računa i usluge; t. (c) obveza sigurnosti obrade iz čl. 32. OUZP-a |
| Revizijski trag radnji u uredu | tko je, kada, s koje IP adrese i kojim preglednikom izradio, preuzeo, izvezao ili predao koji zapis ili datoteku; promjene uloga, drugog faktora i tokena | t. (f) legitimni interes ureda i naš da se može dokazati tko je pripremio i predao podatke Poreznoj upravi i otkriti zlouporabu |
| Dokaz prihvaćanja uvjeta | koji je dokument i koju verziju prihvatio koji vlasnik, kada i s koje IP adrese | t. (f) legitimni interes dokazivanja sklopljenog ugovora |
| API tokeni | naziv tokena, prefiks, ovlasti, tko ga je izradio, vrijeme zadnje uporabe (sam token pohranjen je samo kao hash) | t. (b) izvršenje ugovora |
| Naplata pretplate | paket, razdoblje, status plaćanja, identifikatori kupca i pretplate kod Stripea, podaci za račun (naziv, adresa, OIB/PDV broj ureda, e-pošta za račune); podatke o kartici unosite izravno kod Stripea i mi ih ne vidimo | t. (b) izvršenje ugovora; t. (c) obveze iz poreznih i računovodstvenih propisa |
| Servisne e-poruke | e-pošta, ime; sadržaj poruke (potvrda adrese, pozivnica, promjena lozinke, obavijest o izvozu, plaćanju, izmjeni uvjeta, sigurnosnom događaju) | t. (b) izvršenje ugovora; za sigurnosne obavijesti i t. (f) |
| Podsjetnici o rokovima (dnevni sažetak od 10. u mjesecu) | e-pošta, ime; nazivi klijenata ureda i stanje njihovih izvješća | t. (b) izvršenje ugovora (dio usluge); možete ih isključiti u postavkama ili poveznicom za odjavu u svakoj poruci |
| Podrška i komunikacija | sadržaj vaših upita i naših odgovora, podaci za kontakt | t. (b) i t. (f) legitimni interes rješavanja upita |
| Otkrivanje i ispravljanje pogrešaka | tehnički podaci o pogrešci (vrijeme, stranica, verzija preglednika, identifikator korisnika); osobni podaci se prije slanja uklanjaju gdje je moguće | t. (f) legitimni interes ispravnog i sigurnog rada usluge |
| Obračun provizija preporučitelja | kod preporuke uz ured | t. (f) legitimni interes izvršenja ugovora s partnerom |
| Ostvarivanje i obrana pravnih zahtjeva | podaci iz gornjih kategorija, u mjeri u kojoj su potrebni | t. (f) |
Kada se oslanjamo na legitimni interes, procijenili smo da on ne prevladava nad vašim interesima jer je obrada ograničena na ono što je nužno, očekivana u poslovnom odnosu i zaštićena mjerama iz točke 8. Imate pravo prigovora (točka 7).
Podatke o vama u pravilu dobivamo od vas. Ako vas je u uslugu pozvao vlasnik ureda, vaše ime, e-poštu i ulogu dobili smo od njega.
Demo bez registracije. Kada na javnim stranicama odaberete „Isprobaj odmah, bez registracije“, izrađujemo privremeni demo ured koji sadrži samo primjer podataka; o vama ne tražimo i ne pohranjujemo nikakve podatke. Demo postavlja samo kolačić sesije (točka 4) i u cijelosti se briše nakon 24 sata. Vašu IP adresu koristimo samo za ograničenje broja demo ureda koje je moguće pokrenuti s jedne adrese i ne čuvamo je dulje od razdoblja tog ograničenja (jedan dan); pravna osnova je t. (f) legitimni interes zaštite usluge od zlouporabe.
Ne donosimo odluke o vama isključivo automatiziranom obradom, uključujući izradu profila, koje proizvode pravne učinke ili na vas značajno utječu (čl. 22. OUZP-a). Automatsko uparivanje uplata s računima odnosi se na poslovne podatke klijenata ureda, a ne na korisnike.
Ne šaljemo promotivne poruke bez vaše privole i ne koristimo alate za oglašavanje ni analitiku koji prate korisnike.
4. Kolačići
Usluga koristi samo kolačić sesije, koji je nužan za prijavu i zaštitu obrazaca i briše se kad sesija istekne (nakon najviše 8 sati neaktivnosti) ili kad se odjavite. Ne koristimo analitičke ni oglašivačke kolačiće, pa za kolačiće ne tražimo privolu. Stranice za plaćanje koje otvara Stripe koriste Stripeove kolačiće prema njegovoj obavijesti o privatnosti.
5. Primatelji podataka
Vaše podatke mogu vidjeti:
- vlasnici ureda u kojem ste član (popis korisnika, revizijski trag ureda);
- naši izvršitelji obrade, na temelju ugovora o obradi i samo za nas:
| Izvršitelj | Svrha | Lokacija |
|---|---|---|
| SETCOR d.o.o. (MyDataKnox), Jastrebarsko | udomljavanje (poslužitelj, baza podataka, pohrana datoteka, slanje e-pošte) i sigurnosne kopije | Hrvatska |
- Stripe (Stripe Payments Europe, Limited, Irska, s povezanim društvom Stripe, LLC, SAD), koji obrađuje plaćanja; za dio obrade (npr. sprječavanje prijevara, obveze prema propisima o platnom prometu) Stripe je samostalni voditelj obrade prema svojoj obavijesti o privatnosti;
- tijela javne vlasti (npr. Porezna uprava, sudovi) kada nam to nalaže propis.
Vaše podatke ne prodajemo i ne dajemo ih trećima za njihov marketing.
6. Prijenos izvan EU/EGP-a
Podatke o korisnicima obrađujemo u EU. Prijenos u SAD moguć je u sljedećim slučajevima:
- Stripe, LLC: na temelju odluke o primjerenosti za EU-US Data Privacy Framework, Provedbena odluka Komisije (EU) 2023/1795, prema kojoj je Stripe, LLC certificiran; podredno na temelju standardnih ugovornih klauzula (Provedbena odluka Komisije (EU) 2021/914).
Primjerak jamstava možete zatražiti na privacy@nlv.hr.
7. Koliko dugo čuvamo podatke
| Podaci | Rok |
|---|---|
| Korisnički račun i članstva | dok traje članstvo; nakon zatvaranja ureda 90 dana (razdoblje za izvoz), zatim se brišu; korisnik koji nije član nijednog ureda može zatražiti brisanje računa |
| Poveznice za potvrdu e-pošte i promjenu lozinke, pozivnice | do uporabe ili isteka, zatim se poništavaju |
| Revizijski trag (uključujući IP adrese) | koliko i datoteke u Arhivi ureda na koje se odnosi, najdulje do isteka roka njihova čuvanja (31. prosinca jedanaeste godine nakon godine poslovnog događaja), jer služi kao dokaz tko je pripremio i predao podatke; zapisi o prijavama koji se ne odnose na ured 2 godine |
| Dokaz prihvaćanja uvjeta | do isteka zastare tražbina iz ugovora, a ako se odnosi na Arhivu, koliko i Arhiva |
| Podaci o naplati i naši računi | 11 godina od kraja poslovne godine (čl. 10. Zakona o računovodstvu), odnosno koliko propisuju porezni propisi |
| Upiti podršci | 3 godine od zadnje komunikacije |
| Zapisi o pogreškama (na našim poslužiteljima) | 30 dana |
| Sigurnosne kopije baze | najviše 45 dana (noćne šifrirane kopije 14 dana, a sustav za sigurnosne kopije pružatelja udomljavanja čuva ih još do 30 dana) |
8. Kako štitimo podatke
Obvezna dvofaktorska prijava za vlasnike, šifrirani promet, lozinke i tokeni samo kao hash,
šifrirane tajne, uloge i ovlasti po uredu, strogo odvajanje podataka ureda, nepromjenjiv revizijski
trag i pohrana u EU. Detaljan opis nalazi se u Prilogu 2. Ugovora o obradi (/legal/dpa).
9. Vaša prava
U skladu s čl. 15.–22. OUZP-a imate pravo:
- na pristup svojim podacima i primjerak podataka;
- na ispravak netočnih podataka (ime i jezik možete sami promijeniti u postavkama računa);
- na brisanje, osim kada podatke moramo čuvati na temelju propisa ili radi dokazivanja i obrane pravnih zahtjeva (čl. 17. st. 3. OUZP-a), što se posebno odnosi na revizijski trag i dokaz prihvaćanja uvjeta;
- na ograničenje obrade;
- na prenosivost podataka koje ste nam dali na temelju ugovora;
- na prigovor obradi koja se temelji na legitimnom interesu; obradu ćemo prestati ako ne dokažemo uvjerljive legitimne razloge ili ako nije potrebna za pravne zahtjeve.
Zahtjev pošaljite na privacy@nlv.hr. Odgovorit ćemo u roku od mjesec dana, a iznimno, uz obavijest, u roku od još dva mjeseca. Prije odgovora možemo provjeriti vaš identitet.
Ako smatrate da obrada krši propise, imate pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka, Ulica Metela Ožegovića 16, 10000 Zagreb, azop@azop.hr, www.azop.hr, te drugom nadzornom tijelu u EU-u prema svom boravištu ili mjestu rada.
10. Obveznost davanja podataka
Podaci iz registracije i prijave nužni su za sklapanje ugovora i korištenje usluge; bez njih ne možemo otvoriti ured ni korisnički račun. Usluga nije namijenjena osobama mlađima od 18 godina.
11. Izmjene obavijesti
Obavijest ažuriramo kada se promijeni način obrade. Svaka verzija označena je datumom. O bitnim izmjenama obavijestit ćemo vlasnike ureda e-poštom i u aplikaciji.