Pravno

Politika privatnosti

Verzija 1.6 · Posljednje ažuriranje: 27. oktobar 2026.

1. 1.Identitet i kontakt kontrolora

   Kontrolor za obradu opisanu u ovoj Politici, osim tamo gdje je izričito navedeno da nastupamo u ulozi obrađivača, identifikuje se podacima navedenim u nastavku.

   Službenika za zaštitu ličnih podataka nismo imenovali. Za sva pitanja o obradi ličnih podataka, za ostvarivanje prava i za prijavu sumnje na povredu podataka kontakt tačka je [email protected], a zahtjev se može poslati i poštom na navedenu adresu.

   • Naziv: NoLimit Developments
   • Pravna forma: FZ-LLC
   • Registar: Ras Al Khaimah Economic Zone (RAKEZ), Ujedinjeni Arapski Emirati
   • Registracijski broj: 0000004072740
   • Broj licence: 47023919
   • Sjedište: Compass Building, Al Hulaila Industrial Zone-FZ, Ras Al Khaimah
   • Država: Ujedinjeni Arapski Emirati
   • Evropska kancelarija: Gregorygasse 10a, 1230 Beč, Austrija
   • Adresa elektronske pošte: [email protected]

2. 2.Ko je kontrolor podataka

   Za lične podatke koje obrađujemo radi pružanja, održavanja i naplate XPay usluga kontrolor je NoLimit Developments FZ-LLC, sa sjedištem na adresi Compass Building, Al Hulaila Industrial Zone-FZ, Ras Al Khaimah, Ujedinjeni Arapski Emirati, registarski broj 0000004072740.

   To obuhvata podatke o poslovnom korisniku i njegovim ovlaštenim licima, korisnicima konzole, komunikaciji sa podrškom, naplati licenci i tehničkoj sigurnosti platforme.

   Za lične podatke koji nastaju u poslovanju poslovnog korisnika i koje on unosi ili prikuplja kroz platformu, kontrolor je taj poslovni korisnik. U tom dijelu nastupamo kao obrađivač i postupamo po njegovim uputama.

   Podjela ovih uloga detaljno je uređena dokumentom Ugovor o obradi ličnih podataka, koji je sastavni dio ugovornog odnosa sa poslovnim korisnikom.

   Izrazi kontrolor, obrađivač i nosilac podataka u ovoj Politici imaju značenje koje im daje Zakon o zaštiti ličnih podataka Bosne i Hercegovine.

3. 3.Propisi koje primjenjujemo

   Lične podatke obrađujemo u skladu sa Zakonom o zaštiti ličnih podataka Bosne i Hercegovine i drugim propisima koji se primjenjuju na naše poslovanje.

   XPay ne posjeduje niti tvrdi da posjeduje certifikat, dozvolu ili odobrenje bilo kojeg regulatora u oblasti zaštite podataka. Usklađenost sa propisima je obaveza koju ispunjavamo, a ne dozvola koju nam je neko izdao.

   Kada poslovni korisnik posluje u Evropskoj uniji ili obrađuje podatke lica iz Evropske unije, primjenjujemo istovjetne principe zaštite: zakonitost i transparentnost obrade, ograničenje svrhe, obradu samo onih podataka koji su nužni, tačnost, ograničeno vrijeme čuvanja te integritet i povjerljivost podataka.

   Primjena tih principa ne znači i ne treba se tumačiti kao izjava o certifikaciji prema Općoj uredbi o zaštiti podataka Evropske unije.

4. 4.Podaci o poslovnom korisniku

   Radi zaključenja i izvršenja ugovora obrađujemo podatke o poslovnom subjektu i o fizičkim licima koja ga zastupaju:

   • naziv, pravna forma i adresa sjedišta poslovnog subjekta
   • identifikacijski i PDV broj, kada postoje
   • ime, prezime i funkcija ovlaštenog lica i lica za kontakt
   • poslovna adresa elektronske pošte i broj telefona
   • broj bankovnog računa i podaci koji se prikazuju u nalogu za plaćanje
   • dokumentacija dostavljena radi provjere poslovnog subjekta
   • odabrani paket, ugovoreni uslovi i historija ugovornog odnosa
   • sadržaj komunikacije sa podrškom i prodajom

5. 5.Probni nalog otvoren bez ugovora

   Probni nalog se otvara samostalno, popunjavanjem obrasca na stranici, i traje 48 sati. U tom trenutku ugovor još nije zaključen, pa te podatke obrađujemo radi radnji poduzetih na zahtjev samog podnosioca prije zaključenja ugovora.

   U obrascu se traže naziv poslovnog subjekta, vrsta djelatnosti, ime i prezime osobe koja nalog otvara, adresa elektronske pošte, lozinka i, kada je podnosilac unese, broj telefona. Lozinku čuvamo samo u obliku iz kojeg se ne može pročitati i ne možemo je vidjeti ni obnoviti.

   Te podatke koristimo da otvorimo probni nalog, da podnosiocu pošaljemo podatke za pristup i da spriječimo zloupotrebu probnog perioda. Ne koristimo ih za oglašavanje i ne ustupamo ih trećim licima.

   Ako probni nalog ne pređe u ugovorni odnos, podatke brišemo najkasnije šest mjeseci nakon isteka probnog perioda. Brisanje se može zatražiti i ranije, na adresu navedenu u tački o kontaktu.

6. 6.Svrhe obrade podataka o poslovnom korisniku

   Ove podatke obrađujemo da bismo zaključili i izvršili ugovor, otvorili i održavali nalog, identificirali i provjerili poslovni subjekt, izdali račun, pružili podršku i ispunili svoje zakonske obaveze.

   Podaci o firmi kao pravnom licu sami po sebi nisu lični podaci. Podaci o fizičkim licima koja tu firmu zastupaju, potpisuju ugovor ili koriste konzolu jesu lični podaci i tako ih i tretiramo.

7. 7.Korisnici konzole i osoblje poslovnog korisnika

   Poslovni korisnik sam otvara i zatvara korisničke naloge za svoje osoblje. Za to koga ovlašćuje, koje podatke o njemu unosi i o čemu ta lica obavještava odgovoran je poslovni korisnik kao njihov poslodavac ili naručilac posla.

   Za korisnike konzole obrađuju se:

   • ime i prezime ili korisničko ime
   • poslovna adresa elektronske pošte i, kada je unesen, broj telefona
   • uloga i prava pristupa u konzoli
   • vrijeme prijave, odjave i posljednjeg pristupa
   • zapisi o radnjama u sistemu, na primjer ko je izdao račun, ko je evidentirao gotovinu i ko je promijenio cijenu

8. 8.Zašto postoje zapisi o radnjama

   Zapisi o radnjama u konzoli postoje radi sigurnosti, sprečavanja zloupotrebe i mogućnosti da se naknadno utvrdi šta se u sistemu dogodilo i ko je to učinio.

   XPay te zapise ne koristi za ocjenu radnog učinka pojedinca. Poslovni korisnik ima uvid u zapise iz svog objekta i način na koji ih koristi prema svom osoblju njegova je odgovornost i njegova pravna obaveza kao poslodavca.

9. 9.Podaci o naplati licence

   Za obračun i naplatu naknade obrađujemo podatke o odabranom paketu, obračunskom periodu, broju naplativih transakcija, iznosu, izdatim računima, datumima plaćanja i eventualnim kašnjenjima.

   Naknada koju naplaćujemo je naknada za korištenje softvera, API infrastrukture i evidentiranja transakcija kroz XPay platformu. Ne naplaćujemo proviziju na promet poslovnog korisnika i ne primamo novac njegovih kupaca.

   Podaci o naplati obrađuju se radi izvršenja ugovora i radi ispunjenja računovodstvenih i poreskih obaveza, koje imaju vlastite rokove čuvanja.

10. 10.Tehnički zapisi, IP adresa i podaci o uređaju

    Kada se koristi bilo koji dio platforme, automatski nastaju tehnički zapisi. Bez njih server ne može odgovoriti na zahtjev niti se kvar može otkriti. Ti zapisi mogu sadržavati:

    • IP adresu sa koje je zahtjev poslan
    • datum i vrijeme zahtjeva, traženu adresu i status odgovora
    • tip i verziju preglednika i operativnog sistema te osnovne podatke o uređaju
    • jezik koji preglednik prijavljuje u zahtjevu
    • identifikator sesije, a kod poziva API-ja identifikator korištenog API ključa
    • zapise o greškama, prekidima i neuspjelim pokušajima prijave

11. 11.Kako koristimo tehničke zapise

    Tehničke zapise koristimo da usluga radi, da otkrijemo i otklonimo kvar, da zaštitimo sistem od neovlaštenog pristupa, automatizovanih napada i zloupotrebe te da planiramo kapacitet.

    IP adresa se u pravilu smatra ličnim podatkom i mi je tako i tretiramo, iako sama po sebi najčešće ne otkriva identitet osobe koja stoji iza nje.

    Tehničke zapise ne koristimo za oglašavanje, ne obogaćujemo ih podacima iz vanjskih izvora i ne prodajemo ih.

12. 12.Evidencija transakcija

    Za svaki račun, narudžbu i plaćanje koje kupac pokrene nakon skeniranja XPay koda evidentiraju se identifikator poslovnog korisnika i objekta, broj i stavke računa, iznos i valuta, vrijeme, način naplate, status transakcije i vrijeme svake promjene statusa, te referenca i poziv na broj koji omogućavaju da se uplata poveže sa računom.

    Ovi podaci se u pravilu odnose na poslovni promet, a ne na identificirano fizičko lice. Ličnim podatkom postaju kada im se pridruži podatak o platiocu.

    Do toga najčešće dolazi kada poslovni korisnik uveze bankovni izvod radi sravnjivanja uplata. Izvod može sadržavati ime platioca i broj njegovog računa.

    Podatke iz bankovnog izvoda obrađujemo isključivo po nalogu poslovnog korisnika i samo radi povezivanja uplate sa računom, u ulozi obrađivača i pod uslovima iz Ugovora o obradi ličnih podataka.

13. 13.Šta XPay ne obrađuje

    Plaćanje se izvršava u aplikaciji banke kupca i putem platne infrastrukture. Taj korak je izvan XPay platforme. Podatke koji se tamo unose XPay ne vidi, ne prima i ne pohranjuje. Konkretno, ne obrađujemo:

    • broj platne kartice, datum isteka, CVV ni bilo koji drugi podatak platne kartice
    • PIN, lozinku, token, biometrijski podatak ni bilo koji pristupni podatak za bankarsku aplikaciju
    • stanje računa kupca, njegovu historiju transakcija ni druge podatke sa njegovog računa izvan uplate koja se odnosi na konkretan račun
    • sredstva kupca, jer se plaćanje izvršava direktno prema računu poslovnog korisnika, bez posredovanja XPay-a

14. 14.Posljedica toga za zahtjeve

    Zahtjev za pristup, ispravku ili brisanje podataka o platnoj kartici ili bankovnom računu ne možemo ispuniti iz jednostavnog razloga: te podatke nemamo i nikada ih nismo imali.

    Takav zahtjev treba uputiti banci kod koje je račun otvoren. Na to ćemo uputiti i svakoga ko se sa takvim zahtjevom obrati nama.

15. 15.Gost koji skenira kod

    Gost ugostiteljskog objekta nema XPay nalog. Ne registruje se, ne kreira lozinku, ne ostavlja ime ni broj telefona i ne instalira aplikaciju.

    Kada gost skenira kod, evidentira se kojem objektu i kojem stolu ili računu kod pripada, vrijeme otvaranja, tehnički podaci iz samog zahtjeva navedeni u ovoj Politici, te privremeni identifikator sesije koji se čuva u pregledniku gosta da bi gost vidio svoju, a ne tuđu narudžbu.

    Ako gost naruči, evidentiraju se stavke, količine, napomena uz narudžbu, iznos i vrijeme. Ako pokrene plaćanje, evidentiraju se iznos, vrijeme i status transakcije. Status ne dobijamo od banke: mijenja se kada poslovni korisnik uveze bankovni izvod ili kada njegovo osoblje naplatu evidentira u konzoli.

    Ime, prezime, adresu, broj telefona, adresu elektronske pošte, datum rođenja ni identitet gosta ne tražimo i ne dobijamo. Skeniranje koda ne otvara nalog i ne stvara profil.

    Ako gost sam upiše lični podatak u polje za napomenu, taj podatak ostaje u narudžbi i vidi ga osoblje objekta. Polje za napomenu služi za podatke o narudžbi i nije mjesto za lične podatke.

16. 16.Šta o gostu ne znamo

    Ne znamo ko je gost. Skeniranje ne povezujemo sa imenom ni sa nalogom u drugom sistemu, jer zapis koji bi to omogućio ne postoji.

    Pri prvom otvaranju menija telefon gosta dobija nasumičan ključ bez imena, koji preglednik čuva za taj objekat. Uz ključ objekat broji posjete i potrošnju tog telefona i može mu ponuditi ono što je ranije naručivao. Ključ vrijedi samo u tom objektu, ne povezuje se sa drugim objektima ni sa bilo kojim podatkom o osobi, briše se dvanaest mjeseci poslije posljednje posjete, a gost ga u svakom trenutku uklanja brisanjem podataka preglednika.

    Ne koristimo kolačiće za oglašavanje u aplikaciji za goste, ne pratimo gosta po drugim web stranicama i ne povezujemo skeniranja u različitim objektima u jedinstven profil.

    Otvaranja menija brojimo kao zbirni broj po objektu i danu, da bismo znali koliko se usluga koristi. Taj broj nije vezan za gosta, njegov uređaj ni sesiju.

    Ako uplatu izvrši gost čije ime se pojavi na bankovnom izvodu koji poslovni korisnik uveze radi sravnjivanja, to ime dolazi iz banke i obrađuje se za račun poslovnog korisnika, a ne za našu svrhu.

    Privremeni identifikator sesije gosta prestaje važiti zatvaranjem računa za taj sto. Gost ga u svakom trenutku može ukloniti iz svog preglednika, a njegov kriptografski otisak ostaje uz zapis o toj sesiji najduže dvanaest mjeseci poslije zatvaranja računa. Sama narudžba i račun ostaju u evidenciji poslovnog korisnika kao njegov poslovni dokument.

17. 17.Gost koji rezerviše sto

    Kada gost preko stranice za rezervacije ili telefonom zatraži sto, poslovni korisnik u XPay upisuje ime, broj telefona, po želji adresu elektronske pošte, broj osoba, termin i napomenu. Te podatke obrađujemo za račun poslovnog korisnika, da bi gostu potvrdio ili odbio rezervaciju i dočekao ga.

    Gost dobija vezu na kojoj vidi stanje svoje rezervacije i može je otkazati. Dvanaest mjeseci poslije termina ime, broj telefona, adresa elektronske pošte i napomena iz rezervacije trajno se anonimiziraju, a ostaje dan, broj osoba i ishod, kao evidencija poslovnog korisnika o zauzetosti stolova.

18. 18.Pravni osnovi obrade

    Lične podatke obrađujemo na osnovu jednog od sljedećih pravnih osnova:

    • izvršenje ugovora sa poslovnim korisnikom i radnje poduzete na njegov zahtjev prije zaključenja ugovora
    • ispunjenje zakonskih obaveza, prije svega računovodstvenih i poreskih
    • legitimni interes, koji obuhvata sigurnost sistema, sprečavanje prevare i zloupotrebe, dokazivanje šta se u sistemu dogodilo, naplatu potraživanja i osnovno mjerenje rada usluge
    • saglasnost, kada je izričito tražimo, na primjer za poslovna obavještenja koja nisu nužna za izvršenje ugovora
    • dokumentovani nalog poslovnog korisnika, kada nastupamo kao obrađivač u njegovo ime

19. 19.Saglasnost i prigovor

    Saglasnost se može povući u svakom trenutku. Povlačenje djeluje ubuduće i ne utiče na zakonitost obrade izvršene prije povlačenja.

    Kada se pozivamo na legitiman interes, prethodno procjenjujemo da li taj interes preteže nad interesima, pravima i slobodama lica čiji se podaci obrađuju. Na obradu zasnovanu na legitimnom interesu može se uložiti prigovor.

20. 20.Kolačići i zapisi u pregledniku

    Javna stranica xpay.ba ne postavlja kolačiće. U konzoli se podaci za prijavu i postavke prikaza čuvaju u lokalnoj pohrani preglednika, a odabrani jezik u kolačiću xpay-locale, koji traje godinu dana. Ti zapisi su tehnički nužni i ne koriste se u marketinške svrhe.

    Posjete javnoj stranici brojimo samo kao zbirne dnevne pokazatelje: koliko je puta otvorena koja stranica (bez dijela adrese iza znaka pitanja), koliko je posjeta počelo na telefonu, a koliko na računaru, i sa koje druge web stranice je posjetilac došao, samo kao naziv domena. Te brojeve šalje sama stranica našem serveru i ne dijelimo ih ni sa kim.

    U te brojeve ne ulazi IP adresa, kolačić ni bilo kakav identifikator posjetioca ili uređaja, ništa se ne čuva u pregledniku i ne pratimo kretanje pojedinca kroz stranicu, pa se iz njih ne može saznati ko je posjetio stranicu. Ako preglednik pošalje signal da ne želi praćenje (Do Not Track ili Global Privacy Control), posjetu ne brojimo. Pravni osnov je naš legitiman interes da znamo koliko se stranica i usluga koriste. Ne koristimo alate trećih strana za analitiku posjete.

    Fontovi koje stranica koristi preuzimaju se pri izradi i poslužuju se sa našeg servera, pa preglednik posjetioca zbog njih ne šalje zahtjev nijednoj trećoj strani.

    Ne koristimo kolačiće za oglašavanje, ne prodajemo oglasni prostor i ne dijelimo podatke o posjetama sa oglasnim mrežama.

    Kolačiće koji nisu tehnički nužni ne postavljamo. Ako se to ubuduće promijeni, takvi kolačići postavljat će se tek nakon saglasnosti posjetioca, koja se u svakom trenutku može povući.

    Aplikacija koju gost otvara skeniranjem koda koristi samo tehnički nužan zapis u lokalnoj pohrani preglednika, potreban da narudžba ostane vezana za taj uređaj. Taj zapis nije alat za praćenje, ne koristi se izvan te narudžbe i gost ga može obrisati u postavkama svog preglednika.

21. 21.Rokovi čuvanja

    Podatke čuvamo onoliko dugo koliko je potrebno za svrhu zbog koje su prikupljeni, osim kada propis nalaže duže čuvanje. Primjenjujemo sljedeće rokove:

    • podaci o poslovnom korisniku i ugovoru: za vrijeme trajanja ugovora i nakon prestanka u roku koji odgovara zastarnim rokovima za potraživanja iz tog odnosa
    • podaci iz probnog naloga koji ne pređe u ugovorni odnos: do isteka probnog perioda i najduže šest mjeseci nakon toga
    • nalozi korisnika konzole: do brisanja naloga od strane poslovnog korisnika ili do prestanka ugovora
    • zapisi o radnjama u konzoli (revizijski trag): za vrijeme trajanja ugovora i nakon prestanka u roku koji odgovara zastarnim rokovima za potraživanja iz tog odnosa, jer su zapisi povezani u lanac u kojem se svaki poziva na prethodni, pa se pojedinačno ne mogu brisati a da se ne obezvrijedi dokaz o ostalima; sa brisanjem naloga poslovnog korisnika briše se i njegov trag
    • tehnički zapisi i zapisi o pristupu: do 12 mjeseci, a duže samo za konkretan sigurnosni incident koji se ispituje ili kada je to naloženo zakonom
    • privremeni identifikator sesije gosta: u pregledniku gosta do zatvaranja računa za taj sto ili dok ga gost sam ne ukloni, a njegov kriptografski otisak ostaje uz zapis o toj sesiji najduže dvanaest mjeseci poslije zatvaranja računa
    • ključ gosta koji se vraća: dvanaest mjeseci poslije posljednje posjete tom objektu
    • podaci iz rezervacije stola (ime, broj telefona, adresa elektronske pošte, napomena): dvanaest mjeseci poslije termina rezervacije, nakon čega se anonimiziraju
    • evidencija transakcija i narudžbi: za vrijeme trajanja ugovora, a zatim u okviru obaveze poslovnog korisnika da čuva svoju poslovnu dokumentaciju
    • komunikacija sa podrškom: do 24 mjeseca od zatvaranja zahtjeva
    • računi, knjigovodstvene isprave i prateća dokumentacija: u rokovima propisanim računovodstvenim i poreskim propisima u Bosni i Hercegovini

22. 22.Zakonski rokovi imaju prednost

    Računovodstveni i poreski rokovi čuvanja mjere se godinama i propisani su zakonom. Oni imaju prednost nad zahtjevom za brisanje i ne mogu se skratiti dogovorom.

    To znači da izdati račun i knjigovodstvenu ispravu ne možemo obrisati na zahtjev, čak i kada je ugovorni odnos odavno prestao. Podatke u tom slučaju ograničavamo na ono što propis traži.

    Nakon isteka roka podaci se brišu ili trajno anonimiziraju. Anonimizirane podatke, iz kojih se osoba više ne može identifikovati, možemo zadržati za statistiku, mjerenje kapaciteta i unapređenje usluge.

23. 23.S kim dijelimo podatke

    Bankama i platnoj infrastrukturi ne dostavljamo lične podatke. Podaci potrebni za plaćanje sadržani su u QR kodu koji kupac otvara u aplikaciji svoje banke, a plaćanje pokreće i potvrđuje sam kupac. Banka pri tome postupa kao samostalni kontrolor, prema vlastitim propisima i uslovima.

    Lične podatke ne prodajemo, ne iznajmljujemo i ne ustupamo trećim licima za njihove vlastite marketinške svrhe. Podatke dijelimo samo kada je to potrebno za pružanje usluge ili kada za to postoji zakonska obaveza, i to sa:

    • pružaocima hostinga i infrastrukture na kojoj platforma radi
    • pružaocu usluge slanja elektronske pošte, radi dostave faktura, obavještenja i poruka o nalogu
    • pružaocu jezičkog modela, kada poslovni korisnik u paketu Premium koristi Uvide i prijedloge za meni, i to samo zbirne brojeve o poslovanju, nazive artikala, tekst menija i pitanje koje vlasnik sam upiše, nikada podatke o gostu ili osoblju
    • računovodstvenim, revizorskim i pravnim savjetnicima, u mjeri potrebnoj za obavljanje njihovog posla
    • nadležnim organima, kada za to postoji zakonska osnova i nakon provjere zahtjeva

24. 24.Obaveze naših obrađivača

    Sa svakim obrađivačem zaključujemo ugovor kojim se obavezuje da podatke obrađuje samo po našim uputama i u ugovorenu svrhu, da primijeni odgovarajuće sigurnosne mjere, da obaveže svoje osoblje na povjerljivost i da podatke po prestanku angažmana vrati ili trajno obriše.

    Prije angažmana provjeravamo da li obrađivač može ispuniti te obaveze, a saradnju prekidamo ako ih prestane ispunjavati.

    Poslovni korisnik ima uvid u podatke koji nastaju u njegovom poslovanju, jer je za njih kontrolor.

25. 25.Prenos podataka izvan Bosne i Hercegovine

    Kontrolor ima sjedište u Ujedinjenim Arapskim Emiratima, a evropsku kancelariju u Austriji, pa se lični podaci obrađuju i izvan Bosne i Hercegovine. Dio infrastrukture koju koristimo može se nalaziti i u drugim državama; navedene su u spisku podobrađivača.

    Podatke prenosimo samo kada primalac obezbjeđuje odgovarajući nivo zaštite ličnih podataka i kada je prenos uređen ugovorom sa odgovarajućim zaštitnim mjerama, u skladu sa Zakonom o zaštiti ličnih podataka Bosne i Hercegovine.

    Podatke ne prenosimo u države koje ne obezbjeđuju odgovarajući nivo zaštite radi pogodnosti ili niže cijene usluge.

    Spisak obrađivača koje koristimo, sa svrhom angažmana i državom u kojoj se podaci obrađuju, objavljen je na stranici xpay.ba/podobradioci, a dostavljamo ga i na zahtjev poslovnog korisnika.

    Kada mjesto obrade kod nekog obrađivača još nije potvrđeno, u tom spisku stoji prazno polje. Prazno polje znači da podatak nije provjeren, a ne da obrada ne postoji.

26. 26.Prava nosioca podataka

    Svako lice čije podatke obrađujemo ima sljedeća prava, u obimu i pod uslovima predviđenim Zakonom o zaštiti ličnih podataka Bosne i Hercegovine:

    • pravo na obavještenje o tome koji se podaci obrađuju, u koju svrhu i po kom osnovu
    • pravo na pristup vlastitim podacima i na kopiju tih podataka
    • pravo na ispravku netačnih i dopunu nepotpunih podataka
    • pravo na brisanje podataka kada za obradu više ne postoji osnov
    • pravo na ograničenje ili blokiranje obrade dok se osporava tačnost podataka ili osnov obrade
    • pravo na prigovor na obradu zasnovanu na legitimnom interesu
    • pravo na povlačenje saglasnosti, kada je obrada zasnovana na saglasnosti
    • pravo na prenosivost podataka, kada se obrada zasniva na saglasnosti ili ugovoru i vrši automatizovano
    • pravo na pritužbu Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini

27. 27.Kako se prava ostvaruju

    Zahtjev se podnosi na [email protected]. Odgovaramo najkasnije u roku od 30 dana od prijema zahtjeva. Ako je zahtjev složen ili obiman, u istom roku obavještavamo podnosioca o razlozima produženja i o novom roku.

    Prije postupanja moramo razumno utvrditi da zahtjev podnosi lice na koje se podaci odnose. Za tu provjeru tražimo najmanju količinu podataka koja je dovoljna i ne koristimo je ni za koju drugu svrhu.

    Postupanje po zahtjevu je besplatno. Naknadu stvarnih troškova možemo tražiti samo kod očigledno neosnovanih ili ponovljenih zahtjeva iste sadržine, u mjeri dozvoljenoj propisom.

    Kada je kontrolor podataka poslovni korisnik, zahtjev bez odlaganja prosljeđujemo njemu, pomažemo mu da postupi i o tome obavještavamo podnosioca. O tuđim podacima ne odlučujemo sami.

28. 28.Zahtjev gosta koji nam nije poznat

    Gost koji je skenirao kod u pravilu nam nije poznat po imenu. Kada takvo lice podnese zahtjev, često nećemo moći povezati zahtjev ni sa jednim zapisom u našem sistemu, jer zapis koji bi tu vezu omogućio ne postoji.

    U tom slučaju to ćemo mu jasno reći, umjesto da tražimo dodatne podatke koje bismo tek radi te provjere morali prikupiti. Prikupljanje novih podataka da bi se pronašli podaci kojih nema bilo bi suprotno svrsi zaštite.

    Ako gost zna kod kojeg poslovnog korisnika i kada je narudžba nastala, zahtjev može uputiti tom poslovnom korisniku, koji je za tu narudžbu kontrolor.

29. 29.Kada NoLimit Developments FZ-LLC obrađuje podatke u ime poslovnog korisnika

    Za podatke koji nastaju u poslovanju poslovnog korisnika, uključujući narudžbe, račune, podatke o njegovim kupcima, uvezene bankovne izvode i evidencije o osoblju, kontrolor je poslovni korisnik.

    U toj ulozi podatke obrađujemo samo po njegovim dokumentovanim uputama, ne koristimo ih za vlastite svrhe i ne ustupamo ih trećim licima izvan ugovorenih obrađivača.

    Predmet i trajanje obrade, vrste podataka i kategorije lica, obaveza povjerljivosti, angažovanje podobrađivača, pomoć pri ostvarivanju prava, prijava povrede podataka i postupanje sa podacima nakon prestanka ugovora uređeni su dokumentom Ugovor o obradi ličnih podataka.

    U slučaju neslaganja između ove Politike i Ugovora o obradi ličnih podataka, za obradu koju vršimo u ime poslovnog korisnika primjenjuje se Ugovor o obradi ličnih podataka.

30. 30.Sigurnosne mjere

    Primjenjujemo tehničke i organizacione mjere primjerene riziku, koje uključuju:

    • šifrovan prenos podataka između uređaja korisnika i platforme
    • kontrolu pristupa po ulogama i pravilo najmanjih potrebnih ovlaštenja
    • čuvanje lozinki u obliku iz kojeg se ne mogu pročitati
    • odvojena razvojna i produkcijska okruženja
    • zapise o pristupu i radnjama u sistemu
    • redovne sigurnosne nadogradnje i praćenje poznatih ranjivosti
    • rezervne kopije podataka i provjeru njihove upotrebljivosti
    • obavezu povjerljivosti za sva lica koja imaju pristup podacima

31. 31.Šta sigurnosne mjere ne znače

    Mjere prilagođavamo riziku i mijenjamo ih kada se rizik promijeni. Gornji spisak opisuje pristup koji primjenjujemo, a ne nepromjenjivo stanje sistema.

    Ne tvrdimo da je sistem nemoguće kompromitovati. Nijedna tehnička mjera ne daje apsolutnu sigurnost, a obećanje potpune sigurnosti bilo bi obećanje koje se ne može ispuniti.

    Sigurnost zavisi i od poslovnog korisnika: od zaštite pristupnih podataka i API ključeva, od uređaja koje njegovo osoblje koristi i od toga kome dodjeljuje pristup.

32. 32.Postupanje u slučaju povrede podataka

    Povredom ličnih podataka smatramo svaki događaj koji dovede do neovlaštenog pristupa, otkrivanja, izmjene, gubitka ili uništenja ličnih podataka.

    Kada do povrede dođe, bez nepotrebnog odlaganja, po pravilu u roku od 72 sata od saznanja, obavještavamo poslovnog korisnika na koga se povreda odnosi i dostavljamo mu ono što u tom trenutku znamo: šta se dogodilo, koje su kategorije podataka i lica obuhvaćene, koje su moguće posljedice i koje mjere poduzimamo.

    Kada je kontrolor poslovni korisnik, obavještenje nadležnom organu i licima na koja se podaci odnose podnosi on, a mi mu pružamo informacije i podršku potrebnu da to učini u propisanom roku. Kada smo kontrolor mi, obavještenje podnosimo sami, kada je to propisano zakonom.

    O svakoj povredi vodimo internu evidenciju sa opisom događaja, posljedicama i poduzetim mjerama.

    Ne šaljemo obavještenje o povredi koja se nije dogodila i ne umanjujemo obim one koja jeste.

33. 33.Automatizovano odlučivanje

    Ne donosimo odluke o pojedincima isključivo automatizovanom obradom koje bi imale pravno dejstvo ili sličan značajan uticaj na njihov položaj.

    Sistem može automatski označiti transakciju, nalog ili obrazac ponašanja kao neuobičajen, radi sigurnosti i sprečavanja zloupotrebe. Takva oznaka je povod za provjeru koju vrši ovlašteno lice, a ne konačna odluka.

    Tekst u modulu Uvidi piše jezički model iz brojeva koje je platforma prethodno izračunala. Model ne dobija podatke o pojedincima, ne odlučuje ni o kome i njegovi prijedlozi su samo savjet vlasniku, koji o svemu odlučuje sam.

    Uslovi pod kojima se pristup nalogu može ograničiti ili suspendovati uređeni su dokumentima Uslovi korištenja, Pravila prihvatljivog korištenja i XPay Ugovor o korištenju poslovne platforme.

34. 34.Izmjene ove Politike

    Ovu Politiku mijenjamo kada se promijeni način obrade, propis ili sama usluga. Svaka verzija nosi oznaku verzije i datum posljednjeg ažuriranja, koji su prikazani na vrhu dokumenta.

    O materijalnim izmjenama obavještavamo poslovne korisnike putem konzole ili adrese elektronske pošte u razumnom roku prije početka primjene izmjene, osim kada je neposredna izmjena potrebna zbog zakona, sigurnosti ili zahtjeva nadležnog organa.

    Prethodne verzije čuvamo, tako da je uvijek moguće utvrditi koji je tekst bio na snazi u određenom periodu.

35. 35.Kontakt i nadležnost

    Za pitanja o obradi ličnih podataka, za ostvarivanje prava i za prijavu sumnje na povredu podataka pišite na [email protected] ili na adresu NoLimit Developments FZ-LLC, Compass Building, Al Hulaila Industrial Zone-FZ, Ras Al Khaimah, Ujedinjeni Arapski Emirati.

    Nezavisno od obraćanja nama, nosilac podataka ima pravo podnijeti pritužbu Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini.

    Na ovu Politiku primjenjuje se pravo Bosne i Hercegovine. Za sporove je nadležan stvarno nadležni sud u Sarajevu, osim kada obavezni propisi određuju drugačije.