Varstvo osebnih podatkov

1. Upravljavec osebnih podatkov

Upravljavec osebnih podatkov obiskovalcev in uporabnikov portala e-avtomobili.si je:

INITIO, spletne storitve d.o.o. Brnčičeva ulica 13 SI-1231 Ljubljana – Črnuče Slovenija

Matična številka: 6156142000 ID za DDV: SI80515142 E-pošta: [email protected]

Za vprašanja, zahteve in uveljavljanje pravic s področja varstva osebnih podatkov se lahko posameznik obrne na naslov [email protected].

2. Namen in področje politike

Ta Politika varstva osebnih podatkov pojasnjuje:

• katere osebne podatke Portal obdeluje;
• za katere namene jih uporablja;
• na katerih pravnih podlagah jih obdeluje;
• komu jih lahko posreduje;
• koliko časa jih hrani;
• katere pravice ima posameznik;
• kako lahko posameznik te pravice uveljavlja.

Politika velja za spletno mesto e-avtomobili.si, njegove poddomene, uporabniške in trgovske nadzorne plošče, podatkovne integracije ter druge povezane digitalne storitve Upravljavca.

Sprejem Splošnih pogojev ni isto kot privolitev za neobvezne obdelave osebnih podatkov. Kadar je za določeno obdelavo potrebna privolitev, jo Portal pridobi ločeno, jasno in za konkreten namen.

3. Načela obdelave

Upravljavec osebne podatke obdeluje zakonito, pošteno in pregledno.

Podatki se zbirajo za določene, izrecne in zakonite namene ter se ne obdelujejo na način, ki bi bil s temi nameni nezdružljiv.

Upravljavec si prizadeva obdelovati samo podatke, ki so potrebni, jih ohranjati točne ter jih hraniti samo toliko časa, kolikor je potrebno za namen obdelave oziroma zaradi zakonskih obveznosti.

4. Kategorije osebnih podatkov

4.1 Podatki uporabniškega računa

Portal lahko obdeluje:

• ime in priimek;
• e-poštni naslov;
• telefonsko številko;
• šifrirano oziroma zgoščeno geslo;
• izbrani jezik uporabniškega okolja;
• datum potrditve e-poštnega naslova;
• datum potrditve telefonske številke, kadar se ta funkcija uporablja;
• datum zadnje prijave;
• status aktivnosti računa;
• uporabniške vloge in dovoljenja;
• podatke o sprejemu veljavnih pravnih dokumentov.

Upravljavec nima dostopa do uporabnikovega gesla v njegovi izvirni obliki.

4.2 Podatki zasebnega oglasa

Pri objavi in upravljanju oglasa se lahko obdelujejo:

• podatki o prodajalcu;
• naslov in opis oglasa;
• podatki o vozilu;
• fotografije in druga naložena gradiva;
• država, regija in občina vozila;
• prodajna cena;
• leto prve registracije;
• kilometri;
• podatki o bateriji, dosegu in polnjenju;
• servisna zgodovina;
• podatki o garanciji;
• identifikacijska številka vozila VIN, kadar jo uporabnik vnese;
• podatki o statusu, objavi in moderiranju oglasa.

VIN se lahko obdeluje za identifikacijo vozila, preverjanje oglasa, preprečevanje podvajanj in varnostne namene. Ni nujno, da je v celoti javno prikazan.

4.3 Podatki trgovcev in avtohiš

Pri poslovnih uporabnikih se lahko obdelujejo:

• firma in pravna oblika;
• sedež in poslovni naslov;
• matična številka;
• davčna številka in DDV-status;
• podatki zakonitega zastopnika;
• podatki kontaktnih in pooblaščenih oseb;
• podatki o poslovalnicah;
• službeni e-poštni naslovi in telefonske številke;
• uporabniške vloge zaposlenih in sodelavcev;
• podatki o paketih, naročninah in omejitvah;
• podatki o zalogi in integracijah.

4.4 Podatki o uporabi funkcij

Portal lahko obdeluje podatke o:

• priljubljenih oglasih;
• primerjavah vozil;
• shranjenih iskanjih;
• uporabniških nastavitvah;
• obvestilih;
• povpraševanjih in komunikaciji, poslani prek Portala;
• zgodovini statusov oglasov;
• uporabi trgovskih in CRM-funkcij.

4.5 Plačilni in obračunski podatki

Kadar uporabnik naroči plačljivo storitev, se lahko obdelujejo:

• identifikator uporabnika oziroma trgovca;
• izbrani paket ali storitev;
• znesek in valuta;
• davčni podatki;
• naslov za izdajo računa;
• status plačila;
• identifikator transakcije;
• identifikator Stripe stranke, naročnine, seje ali plačila;
• podatki o dobropisu, vračilu ali ugovoru glede plačila;
• izdani računi in povezana dokumentacija.

Celotne podatke plačilne kartice praviloma obdeluje ponudnik plačilnih storitev Stripe. Upravljavec jih praviloma ne prejema in ne shranjuje.

4.6 Tehnični in varnostni podatki

Strežniški, aplikacijski, varnostni in plačilni sistemi lahko obdelujejo:

• IP-naslov;
• datum in čas dostopa;
• zahtevani naslov oziroma funkcijo;
• vrsto brskalnika;
• operacijski sistem;
• osnovne podatke o napravi;
• identifikator seje;
• podatke o prijavi in odjavi;
• podatke o napakah;
• podatke o sumljivih ali zavrnjenih zahtevah;
• revizijske zapise pomembnih dejanj.

Portal ne uporablja koordinat naprave, zemljevidov, geokodiranja ali iskanja vozil po oddaljenosti. Lokacija oglasa se določa po strukturi država, regija in občina.

5. Viri osebnih podatkov

Upravljavec osebne podatke pridobi:

• neposredno od uporabnika;
• od pooblaščene osebe poslovnega uporabnika;
• iz vsebine oglasa;
• iz uporabnikove uporabe Portala;
• iz tehničnih in varnostnih sistemov;
• od plačilnega ponudnika;
• prek CSV-, XML- ali API-integracije trgovca;
• iz javnih evidenc, kadar je to potrebno za preverjanje poslovnega uporabnika;
• od pristojnega organa ali druge osebe, kadar za to obstaja ustrezna pravna podlaga.

Uporabnik mora zagotoviti, da ima pravico posredovati osebne podatke drugih oseb, ki jih vnese v Portal.

6. Nameni in pravne podlage obdelave

6.1 Izvajanje pogodbe in predpogodbeni postopki

Na podlagi izvajanja pogodbe oziroma ukrepov pred njeno sklenitvijo Upravljavec obdeluje podatke za:

• registracijo in upravljanje uporabniškega računa;
• prijavo in preverjanje identitete uporabnika;
• potrditev e-poštnega naslova;
• objavo, urejanje in upravljanje oglasov;
• prikaz kontaktnih podatkov prodajalca;
• shranjevanje priljubljenih oglasov in iskanj;
• pošiljanje zahtevanih obvestil;
• izvajanje trgovskega SaaS okolja;
• upravljanje poslovalnic in uporabniških dovoljenj;
• izvajanje CSV-, XML- in API-integracij;
• naročanje in aktivacijo plačljivih storitev;
• izvajanje naročnin, kreditov in izpostavitev;
• podporo uporabnikom;
• obravnavo reklamacij in odpovedi.

Podatki, označeni kot obvezni, so potrebni za izvedbo zahtevane storitve. Brez njih registracija, objava oglasa ali izvedba naročila morda ni mogoča.

6.2 Izpolnjevanje zakonskih obveznosti

Upravljavec lahko osebne podatke obdeluje zaradi:

• davčnih in računovodskih obveznosti;
• izdaje in hrambe računov;
• obravnave zahtev pristojnih organov;
• varstva potrošnikov;
• izpolnjevanja obveznosti glede nezakonitih vsebin;
• preprečevanja pranja denarja ali drugih obveznosti, kadar veljajo za konkretno storitev;
• izpolnjevanja drugih obveznosti po slovenski ali evropski zakonodaji.

6.3 Zakoniti interesi

Upravljavec lahko podatke obdeluje zaradi zakonitih interesov, kot so:

• zagotavljanje varnosti Portala;
• preprečevanje prevar, zlorab in avtomatiziranih napadov;
• preprečevanje podvojenih ali lažnih oglasov;
• preprečevanje objavljanja nedovoljenih vozil;
• zaščita uporabnikov in tretjih oseb;
• moderiranje vsebin;
• varovanje in uveljavljanje pravnih zahtevkov;
• dokazovanje sprejema Splošnih pogojev;
• zagotavljanje stabilnosti in zmogljivosti sistema;
• odpravljanje napak;
• preprečevanje neplačil in zlorabe paketov;
• osnovna analiza uporabe lastnih funkcij brez nepotrebnega profiliranja;
• izboljševanje uporabniške izkušnje.

Upravljavec pred takšno obdelavo presodi svoje interese ter pravice in razumna pričakovanja posameznika.

6.4 Privolitev

Na podlagi prostovoljne privolitve se lahko podatki obdelujejo za:

• e-novice;
• promocijska sporočila;
• neobvezna tržna obvestila;
• analitične piškotke;
• oglaševalske piškotke;
• druge jasno predstavljene neobvezne namene.

Posameznik lahko privolitev kadarkoli prekliče. Preklic ne vpliva na zakonitost obdelave pred preklicem.

Zavrnitev neobvezne privolitve ne preprečuje uporabe osnovnih funkcij Portala.

7. Javno objavljeni podatki

Podatki, ki jih prodajalec vnese v javni oglas, so lahko dostopni obiskovalcem Portala in spletnim iskalnikom.

Javno so lahko prikazani zlasti:

• ime oziroma naziv prodajalca;
• kontaktni podatki, ki jih uporabnik določi za objavo;
• občina oziroma poslovalnica;
• opis in tehnični podatki vozila;
• fotografije;
• cena;
• podatki o trgovcu.

Uporabnik v javna polja ne sme vnašati podatkov, ki jih ne želi javno objaviti, ali osebnih podatkov tretjih oseb brez ustrezne pravne podlage.

8. Plačila in Stripe

Pri uporabi plačljivih storitev lahko Stripe obdeluje podatke kot samostojni upravljavec ali pogodbeni obdelovalec glede na vrsto storitve in lastne pravne obveznosti.

Stripe lahko obdeluje podatke o:

• plačilnem sredstvu;
• imetniku plačilnega sredstva;
• transakciji;
• preprečevanju prevar;
• vračilih;
• ugovorih;
• preverjanju plačila.

Plačljiva storitev se aktivira šele po verodostojni potrditvi plačilnega ponudnika. Sama preusmeritev na success URL ne predstavlja dokončnega dokaza o uspešnem plačilu.

9. Pogodbeni obdelovalci in prejemniki

Upravljavec lahko podatke razkrije samo v obsegu, potrebnem za izvedbo storitve, zlasti:

• ponudnikom gostovanja in strežniške infrastrukture;
• ponudnikom podatkovnih baz in predpomnilnika;
• ponudnikom shrambe fotografij in datotek;
• ponudnikom CDN-, DNS- in varnostnih storitev;
• ponudnikom e-poštnih storitev;
• ponudniku iskalne tehnologije;
• ponudniku plačilnih storitev Stripe;
• računovodskemu servisu;
• ponudnikom tehnične podpore in vzdrževanja;
• pravnim, davčnim in drugim strokovnim svetovalcem;
• državnim, nadzornim ali pravosodnim organom, kadar obstaja veljavna pravna podlaga;
• drugim prejemnikom na podlagi uporabnikove zahteve ali privolitve.

Pogodbeni obdelovalci smejo podatke obdelovati samo po dokumentiranih navodilih Upravljavca, razen kadar jim zakon nalaga drugače.

Upravljavec osebnih podatkov ne prodaja oglaševalcem ali drugim tretjim osebam.

10. Prenosi v tretje države

Upravljavec si prizadeva uporabljati ponudnike, ki podatke obdelujejo v Evropskem gospodarskem prostoru.

Kadar ponudnik ali njegov podizvajalec podatke obdeluje zunaj Evropskega gospodarskega prostora, se prenos izvede na ustrezni pravni podlagi, kot so:

• sklep Evropske komisije o ustreznosti;
• standardne pogodbene klavzule;
• veljaven okvir za varstvo podatkov;
• druga zakonsko dovoljena zaščita.

Kadar je potrebno, Upravljavec oceni tudi dodatne tehnične in organizacijske ukrepe.

11. Obdobja hrambe

Osebni podatki se hranijo toliko časa, kolikor je potrebno za namen obdelave oziroma zaradi zakonskih obveznosti.

11.1 Uporabniški račun

Podatki računa se hranijo v času njegove aktivnosti.

Po zaprtju računa se podatki izbrišejo ali anonimizirajo, razen podatkov, ki so potrebni zaradi:

• neporavnanih obveznosti;
• odprtega postopka;
• preprečevanja zlorab;
• varnostnega incidenta;
• uveljavljanja pravnih zahtevkov;
• zakonskih obveznosti.

11.2 Oglasi in fotografije

Aktivni oglasi se hranijo v času objave.

Po izbrisu ali poteku oglasa se lahko podatki omejeno hranijo zaradi uporabniškega arhiva, varnostnih kopij, moderiranja, preprečevanja prevar ali dokazovanja zahtevkov.

Podatki se iz varnostnih kopij odstranijo v skladu z običajnim ciklom njihovega prepisovanja.

11.3 Računi in plačila

Računi, davčne evidence in z njimi povezani podatki se hranijo toliko časa, kolikor zahtevajo davčni in računovodski predpisi, praviloma deset let po poteku leta, na katero se nanašajo.

11.4 Privolitve

Podatki za e-novice in druge neobvezne namene se hranijo do preklica privolitve oziroma do prenehanja namena.

Dokaz o dani ali preklicani privolitvi se lahko hrani še v času, potrebnem za dokazovanje skladnosti.

11.5 Varnostni zapisi

Varnostni in tehnični zapisi se hranijo za obdobje, ki je potrebno za odkrivanje napak, preprečevanje zlorab in obravnavo incidentov.

V primeru incidenta ali pravnega postopka se lahko relevantni zapisi hranijo do zaključka postopka in poteka zastaralnih rokov.

12. Informacijska varnost

Upravljavec uporablja razumne tehnične in organizacijske ukrepe, kot so:

• šifrirane povezave TLS;
• nadzor dostopa;
• uporabniške vloge in dovoljenja;
• zgoščevanje gesel;
• varnostne kopije;
• beleženje pomembnih dejanj;
• omejevanje števila zahtev;
• zaščita pred avtomatiziranimi napadi;
• varnostne posodobitve;
• ločevanje razvojnega in produkcijskega okolja;
• nadzor dostopa do strežniške infrastrukture;
• preverjanje plačil prek podpisanih webhookov.

Noben informacijski sistem ne more zagotoviti absolutne varnosti. Upravljavec si prizadeva tveganja zmanjševati z ukrepi, primernimi naravi podatkov in razpoložljivi tehnologiji.

13. Pravice posameznika

Posameznik ima pod pogoji, ki jih določa zakon, pravico do:

• dostopa do osebnih podatkov;
• kopije osebnih podatkov;
• popravka netočnih ali nepopolnih podatkov;
• izbrisa osebnih podatkov;
• omejitve obdelave;
• prenosljivosti podatkov;
• ugovora obdelavi na podlagi zakonitega interesa;
• ugovora neposrednemu trženju;
• preklica privolitve;
• informacij o viru podatkov;
• informacij o prejemnikih ali kategorijah prejemnikov;
• pritožbe pri nadzornem organu.

Pravice niso absolutne. Zahteva se lahko omeji ali zavrne, kadar obdelavo zahteva zakon, kadar je potrebna za pravne zahtevke ali kadar velja druga zakonska izjema.

14. Uveljavljanje pravic

Zahtevo lahko posameznik pošlje na:

[email protected]

Zahteva naj vsebuje dovolj podatkov za identifikacijo posameznika in jasno navedbo pravice, ki jo želi uveljaviti.

Upravljavec lahko pred izvedbo zahteve zahteva dodatne podatke, če ima utemeljen dvom o identiteti vlagatelja.

Upravljavec odgovori brez nepotrebnega odlašanja in v zakonskem roku.

Zahteve se praviloma obravnavajo brezplačno. Pri očitno neutemeljenih ali pretiranih zahtevah lahko Upravljavec ravna v skladu z možnostmi, ki jih dovoljuje zakon.

15. Pritožba pri nadzornem organu

Posameznik lahko vloži pritožbo pri:

Informacijski pooblaščenec Republike Slovenije Dunajska cesta 22 1000 Ljubljana E-pošta: [email protected] Telefon: 01 230 97 30

Posameznik se lahko pred vložitvijo pritožbe najprej obrne na Upravljavca, kar pa ni pogoj za vložitev pritožbe.

16. Avtomatizirana obdelava in profiliranje

Portal lahko uporablja avtomatizirana pravila za:

• preverjanje obveznih podatkov;
• zaznavanje podvojenih oglasov;
• zaznavanje neželenih vsebin;
• varnostno omejevanje zahtev;
• razvrščanje in iskanje oglasov;
• zaznavanje možnih zlorab.

Portal praviloma ne sprejema odločitev, ki bi temeljile izključno na avtomatizirani obdelavi in bi imele za posameznika pravne ali primerljivo pomembne učinke.

Kadar avtomatizirani signal vpliva na omejitev vsebine ali računa, lahko uporabnik zahteva pregled odločitve.

17. Otroci

Registracija uporabniškega računa je namenjena osebam, starim najmanj 18 let.

Portal ni namenjen zbiranju osebnih podatkov otrok.

Če Upravljavec ugotovi, da je račun brez ustrezne pravne podlage ustvarila mladoletna oseba, ga lahko omeji in podatke izbriše v skladu z zakonodajo.

18. Komunikacija zunaj Portala

Kupec in prodajalec lahko po vzpostavitvi stika komunicirata po telefonu, e-pošti ali prek drugih zunanjih komunikacijskih storitev.

Upravljavec ne nadzoruje in praviloma nima dostopa do komunikacije, ki poteka zunaj Portala.

Za obdelavo podatkov v takšni komunikaciji odgovarjajo njeni udeleženci in ponudniki uporabljenih zunanjih storitev.

19. Kršitev varnosti osebnih podatkov

Upravljavec varnostne incidente obravnava skladno z internimi postopki in veljavno zakonodajo.

Kadar obstaja verjetnost tveganja za pravice in svoboščine posameznikov, Upravljavec o kršitvi obvesti pristojni nadzorni organ.

Kadar obstaja veliko tveganje, Upravljavec obvesti tudi prizadete posameznike, razen kadar velja zakonska izjema.

20. Spremembe politike

Upravljavec lahko to Politiko spremeni zaradi:

• spremembe zakonodaje;
• spremembe funkcionalnosti;
• uvedbe novega ponudnika;
• spremembe namena ali načina obdelave;
• izboljšanja varnosti;
• spremembe poslovnih procesov.

Nova različica začne veljati z dnem, navedenim ob objavi.

O bistvenih spremembah so lahko registrirani uporabniki obveščeni po e-pošti, v uporabniškem računu ali ob naslednji prijavi.

21. Kontakt

Za vprašanja in zahteve glede osebnih podatkov:

INITIO, spletne storitve d.o.o. Brnčičeva ulica 13 SI-1231 Ljubljana – Črnuče Slovenija

E-pošta: [email protected]

Povpraševanja Founding Partnerjem

Portal e-avtomobili.si omogoča uporabniku, da v okviru posameznega oglasa prostovoljno odda povpraševanje izbranemu partnerju na področju:

• financiranja in leasinga,
• zavarovanja,
• domačega polnjenja,
• energetike.

Oddaja partnerskega povpraševanja ni pogoj za uporabo drugih funkcij portala.

Podatki, ki se obdelujejo

Pri oddaji partnerskega povpraševanja lahko obdelujemo predvsem:

• ime in priimek,
• e-poštni naslov,
• telefonsko številko,
• vsebino sporočila,
• podatke o vozilu oziroma oglasu, na katerega se povpraševanje nanaša,
• pri financiranju tudi podatke, ki jih uporabnik vnese v informativni finančni obrazec,
• tehnične identifikatorje oddaje, ki so potrebni za preprečevanje podvajanja, varnost in dokazljivost obdelave.

Portal ne zahteva vnosa posebnih vrst osebnih podatkov iz 9. člena GDPR v partnerske obrazce.

Namen posredovanja in prejemnik

Če uporabnik označi potrditveno polje in odda obrazec, izrecno potrdi, da se podatki iz konkretnega povpraševanja lahko posredujejo Founding Partnerju, ki je naveden v zadevnem modulu.

Podatki se partnerju posredujejo izključno za:

• obravnavo konkretnega povpraševanja,
• pripravo informacije ali ponudbe,
• vzpostavitev stika z uporabnikom glede konkretnega povpraševanja.

Za samo posredovanje podatkov partnerju je pravna podlaga privolitev uporabnika v skladu s točko (a) prvega odstavka 6. člena GDPR.

Za tehnično obdelavo, preprečevanje zlorab, zagotavljanje varnosti sistema ter dokazovanje pravilnosti in zakonitosti oddaje lahko Portal osebne podatke oziroma spremljajoče audit podatke obdeluje tudi na podlagi svojih zakonitih interesov, kadar so za to izpolnjeni pogoji iz točke (f) prvega odstavka 6. člena GDPR.

Položaj Founding Partnerja

Po prejemu povpraševanja Founding Partner podatke obdeluje v okviru svoje dejavnosti in svojih namenov kot samostojni upravljavec osebnih podatkov, razen kadar je za posamezen primer izrecno določeno drugače.

Partner je odgovoren za svojo nadaljnjo obdelavo podatkov, roke hrambe, varnost podatkov in zagotavljanje informacij posamezniku v skladu z veljavno zakonodajo.

Podatkov, posredovanih prek partnerskega povpraševanja, ni dovoljeno avtomatično obravnavati kot soglasje za splošno neposredno trženje. Za druge marketinške namene mora obstajati ločena ustrezna pravna podlaga.

Dokazljivost potrditve

Zaradi dokazovanja pravilne oddaje povpraševanja Portal ob partner leadu hrani tudi omejen audit zapis, ki lahko vsebuje:

• identifikator povpraševanja,
• identifikator partnerja,
• identifikator kampanje in umestitve,
• kontekst oglasa,
• čas potrditve,
• ključ in različico veljavne Politike zasebnosti,
• kriptografski hash vsebine Politike zasebnosti, ki je veljala ob oddaji.

Ta audit zapis ni samostojno soglasje za neposredno trženje.

Hramba

Podatki partnerskega povpraševanja se hranijo toliko časa, kolikor je potrebno za obravnavo povpraševanja ter nato le toliko časa, kolikor je upravičeno potrebno zaradi zagotavljanja varnosti, reševanja morebitnih sporov, uveljavljanja ali obrambe pravnih zahtevkov ter dokazovanja skladnosti.

Za podatke, ki so bili že posredovani Founding Partnerju, veljajo tudi roki hrambe in obveznosti tega partnerja kot samostojnega upravljavca.

Preklic privolitve

Uporabnik lahko privolitev za nadaljnjo obdelavo s strani Portala prekliče. Preklic ne vpliva na zakonitost obdelave, ki je bila izvedena pred preklicem.

Če so bili podatki pred preklicem že zakonito posredovani Founding Partnerju, mora uporabnik glede nadaljnje obdelave pri partnerju upoštevati tudi informacije o varstvu osebnih podatkov tega partnerja.