Pravila privatnosti

Nacrt — tekst još pregledava pravnik.

Verzija: nacrt od 3. listopada 2026. Podaci u uglatim zagradama još nisu upisani ili ih treba potvrditi.

Voditelj obrade Vaših osobnih podataka na Buqtivityju je [Naziv tvrtke], OIB [OIB], [Adresa]. Za sva pitanja o osobnim podacima pišite nam na [E-pošta].

[za pravnika: treba li imenovati službenika za zaštitu podataka (Opća uredba o zaštiti podataka, čl. 37.); ako treba, navesti njegov kontakt.]

Organizator događaja koji rezervirate prima podatke potrebne za izvođenje aktivnosti i za njih je samostalni voditelj obrade. [za pravnika: samostalni ili zajednički voditelji obrade (čl. 26.); urediti u ugovoru s organizatorima.]

Ova pravila objašnjavaju koje podatke obrađujemo, zašto i na kojoj pravnoj osnovi (Opća uredba o zaštiti podataka, „GDPR”, čl. 6.), s kim ih dijelimo, koliko ih dugo čuvamo i koja su Vaša prava.

• Korisnički račun: ime i prezime, e-adresa, telefon (ako ga upišete), lozinka (pohranjuje je Google Firebase Authentication u zaštićenom obliku; mi je ne vidimo), uloga (kupac, voditelj aktivnosti, tvrtka), postavke, omiljeni i nedavno pregledani događaji. Osnova: ugovor (čl. 6. st. 1. t. (b)).
• Rezervacije i plaćanja: događaj, termin, ulaznice i dodaci, iznosi, imena sudionika i podaci koje organizator traži za sudjelovanje (npr. dob, razina iskustva), kuponi, otkazivanja i povrati. Plaćanje obrađuje Stripe; od njega primamo status plaćanja i osnovne podatke o transakciji, ne i broj kartice. Osnova: ugovor; čuvanje računovodstvene dokumentacije: zakonska obveza (čl. 6. st. 1. t. (c)). [za pravnika: ako organizator traži zdravstvene podatke (npr. alergije, zdravstvena ograničenja), riječ je o posebnim kategorijama podataka (čl. 9.): potrebna je izričita privola ili drugo izuzeće.]
• Rezervacije za druge osobe: ako rezervirate za druge sudionike, Vi upisujete njihove podatke. Obavijestite ih o tome i uputite ih na ova pravila.
• Obavijesti o rezervaciji: potvrde, podsjetnici, promjene, otkazivanja i povrati šalju se e-poštom. Osnova: ugovor.
• Poruke organizatora nakon aktivnosti (npr. fotografije, zahvala): šalju se samo ako ste pri rezervaciji dali pristanak, i to najdulje 7 dana nakon aktivnosti. Pristanak možete povući u svojoj narudžbi. Osnova: privola (čl. 6. st. 1. t. (a)). Poruke potrebne za izvođenje rezervacije ne ovise o tom pristanku.
• Obavijest o otvaranju rezervacija i newsletter: ako zatražite obavijest za najavljeni događaj ili se prijavite na newsletter, Vašu e-adresu koristimo samo za to. Osnova: privola; odjaviti se možete u svakom trenutku.
• Korisnička podrška i prigovori: Vaše poruke i naši odgovori. Osnova: ugovor, zakonska obveza (prigovori potrošača) i legitimni interes (čl. 6. st. 1. t. (f)).
• Organizatori (voditelji aktivnosti i tvrtke): podaci o poslovnom subjektu i osobi za kontakt, profil, dokumenti za odobrenje, podaci za isplatu. Osnova: ugovor i zakonske obveze.

• Recenzije: ocjena, tekst, ime koje upišete kao autor, datum i oznaka provjerene rezervacije. Recenzije su javne. Osnova: Vaša odluka da recenziju objavite i naš legitimni interes da drugi kupci dobiju pouzdane informacije. [za pravnika: pravna osnova za recenzije (ugovor, privola ili legitimni interes).]
• Analitika (PostHog s poslužiteljima u EU-u; Google Analytics): kako se stranica koristi (posjećene stranice, klikovi, uređaj i preglednik, približna lokacija) i snimke sesija u kojima su svi upisani podaci, a na stranicama računa, košarice i plaćanja i sav tekst skriveni. Prijavljenog korisnika prepoznajemo samo po internom identifikatoru i ulozi, nikad po imenu ili e-adresi. Analitika se pokreće samo ako prihvatite kolačiće. Osnova: privola. [za pravnika: Google Analytics podatke šalje Googleu i može ih obrađivati u SAD-u.]
• Prijave grešaka (Sentry s poslužiteljima u EU-u): kad se na stranici dogodi greška, šalju se tehnički podaci (poruka greške, stranica, preglednik, verzija aplikacije) te, za prijavljene korisnike, interni identifikator i uloga. Ne šalju se IP adresa, kolačići ni sadržaj obrazaca, a u pregledniku se ništa ne sprema. Osnova: legitimni interes (ispravan i siguran rad stranice). [za pravnika: prijave grešaka rade bez pristanka na kolačiće jer na uređaju ništa ne spremaju; potvrditi da je legitimni interes prikladna osnova.]
• Sigurnost: IP adresa, vrijeme i podaci o uređaju pri prijavi i u zapisima poslužitelja, ograničenja broja zahtjeva te Google reCAPTCHA pri prijavi, registraciji i promjeni lozinke, radi zaštite od zlouporabe i prijevara. Osnova: legitimni interes.

Ne donosimo odluke koje se temelje isključivo na automatiziranoj obradi i koje na Vas imaju pravne ili slične značajne učinke.

• Organizator rezerviranog događaja: ime, kontakt i podaci o sudionicima potrebni za izvođenje aktivnosti te Vaš izbor o porukama nakon aktivnosti.
• Google (Firebase i Google Cloud): smještaj stranice, baza podataka, prijava, pohrana datoteka i poslužiteljske funkcije, u podatkovnim centrima u EU-u; Google reCAPTCHA i Google Analytics.
• Stripe: obrada plaćanja i povrata te sprječavanje prijevara. Za dio podataka Stripe je samostalni voditelj obrade. [za pravnika: Stripeov ugovorni subjekt za EU i podjela uloga.]
• Resend: slanje e-pošte (potvrde, obavijesti). [za pravnika: Resend je tvrtka iz SAD-a; provjeriti regiju slanja i ugovor o obradi.]
• Typesense: pretraživanje događaja, mjesta i organizatora. Poslužitelj za pretraživanje vodimo sami, na Google Cloudu u EU-u; sadrži podatke iz javne ponude. [za pravnika: potvrditi da indeks ne sadrži osobne podatke kupaca.]
• PostHog (poslužitelji u EU-u): analitika, samo uz Vaš pristanak.
• Sentry (poslužitelji u EU-u): prijave grešaka.
• Stručni savjetnici i tijela: knjigovodstvo, odvjetnici i revizori te nadležna tijela kad to zahtijeva zakon.

Pružatelji usluga podatke obrađuju po našem nalogu, na temelju ugovora o obradi (čl. 28.). Podatke ne prodajemo.

Podatke čuvamo u Europskoj uniji. Neki pružatelji usluga (Google, Stripe, Resend, PostHog, Sentry) pripadaju grupama sa sjedištem u SAD-u i mogu podacima pristupiti izvan EU-a, npr. radi podrške ili preko svojih podizvođača. Takav prijenos temelji se na odluci o primjerenosti (Okvir EU-a i SAD-a za privatnost podataka) za certificirane primatelje ili na standardnim ugovornim klauzulama Europske komisije (čl. 46. st. 2. t. (c)) uz dodatne zaštitne mjere. [za pravnika: za svakog pružatelja provjeriti osnovu prijenosa i certifikat.]

Podatke čuvamo samo dok su potrebni za svrhu zbog koje smo ih prikupili. Rokovi u nastavku su prijedlog. [za pravnika: potvrditi sve rokove u ovom odjeljku; dio ih još nije tehnički proveden (npr. brisanje neaktivnih računa).]

• Korisnički račun: dok ga ne izbrišete. Račun u koji se nitko nije prijavio dulje od 3 godine brišemo nakon prethodne obavijesti e-poštom.
• Narudžbe, računi i podaci o plaćanjima: 11 godina od kraja godine u kojoj su nastali (računovodstveni i porezni propisi). Nakon brisanja računa narudžbe ostaju bez Vašeg imena i kontakta.
• Podaci o sudionicima koje traži organizator: do godine dana nakon aktivnosti, osim ako su dio računovodstvene dokumentacije.
• Pristanak na poruke organizatora: do povlačenja; poruke nakon aktivnosti ionako se šalju najdulje 7 dana.
• Prigovori i korisnička podrška: 3 godine od zatvaranja predmeta.
• Recenzije: dok su objavljene ili dok ih ne izbrišete.
• Newsletter i obavijest o otvaranju rezervacija: do odjave odnosno do otvaranja rezervacija.
• Analitika: PostHog do godine dana, snimke sesija do 30 dana; Google Analytics do 14 mjeseci.
• Prijave grešaka (Sentry): do 30 dana.
• Sigurnosni zapisi: do 90 dana, osim ako su potrebni za istragu određenog incidenta.
• Vaš izbor o kolačićima: 12 mjeseci, na Vašem uređaju.

• pristup podacima i kopiju podataka (čl. 15.);
• ispravak netočnih podataka (čl. 16.);
• brisanje podataka (čl. 17.);
• ograničenje obrade (čl. 18.);
• prenosivost podataka koje ste nam dali (čl. 20.);
• prigovor na obradu koja se temelji na legitimnom interesu i na izravni marketing (čl. 21.);
• povlačenje privole u svakom trenutku, bez utjecaja na zakonitost obrade prije povlačenja (čl. 7. st. 3.).

Zahtjev pošaljite na [E-pošta]. Odgovaramo najkasnije u roku od mjesec dana (u složenim slučajevima, uz obavijest, najviše još dva mjeseca). Možemo zatražiti potvrdu Vašeg identiteta. Većinu podataka možete sami pregledati i ispraviti u Moj račun, a račun izbrisati u postavkama računa.

Ako smatrate da obrada Vaših podataka krši propise, možete podnijeti prigovor Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr, ili nadzornom tijelu države članice EU-a u kojoj živite ili radite. Bit će nam drago ako nam se prije toga obratite, kako bismo problem pokušali riješiti.

Podatke štitimo tehničkim i organizacijskim mjerama: šifriranim vezama (HTTPS), pristupom prema ulogama, pravilima pristupa bazi podataka i zaštitom od zlouporabe.

Korisnički račun mogu otvoriti samo punoljetne osobe. Podatke o djeci kao sudionicima upisuje roditelj ili skrbnik koji ih prijavljuje. [za pravnika: dob za privolu djeteta za usluge informacijskog društva u Hrvatskoj je 16 godina (Zakon o provedbi Opće uredbe o zaštiti podataka, čl. 19.); potvrditi da granica od 18 godina za račun odgovara.]

Ova pravila možemo mijenjati; važeća verzija s datumom uvijek je na ovoj stranici, a o bitnim izmjenama obavještavamo Vas e-poštom ili na stranici. Pitanja o osobnim podacima: [E-pošta]. O kolačićima više u dokumentu Pravila o kolačićima, a o korištenju platforme u dokumentu Uvjeti korištenja.