Ova Politika privatnosti objašnjava koje lične podatke prikupljamo putem našeg sajta i putem Offgrid platforme za upravljanje sadržajem (u daljem tekstu „CMS"), kako ih koristimo i koja prava imate. Trudimo se da budemo transparentni i prikupljamo samo ono što nam je zaista potrebno.
Ko smo mi
Rukovalac podacima je [PUN NAZIV FIRME], privredno društvo osnovano u skladu sa zakonima Republike Srbije, sa sedištem na adresi [ULICA I BROJ], Valjevo, Srbija. Za sva pitanja u vezi sa privatnošću možete nam pisati na [KONTAKT EMAIL].
Oblast primene
Ova politika se primenjuje na naš javni marketinški sajt, na CMS platformu koju pružamo klijentima, kao i na javne sajtove koje vodimo za sopstveni brend na istoj infrastrukturi. Ne primenjuje se na sajtove koje smo izradili za klijente i kojima oni samostalno upravljaju pod sopstvenim politikama privatnosti.
Šta prikupljamo
Lične podatke prikupljamo u sledećim situacijama:
1. Kada koristite kontakt formu
Čuvamo ime, email adresu, temu i poruku koju nam pošaljete kako bismo vam mogli odgovoriti. Poruke se čuvaju u našoj bazi i prosleđuju u naš interni inbox.
2. Kada se prijavite na bilten
Čuvamo email adresu koju navedete kako bismo vam slali bilten. Ne delimo je sa trećim stranama u marketinške svrhe. U bilo kom trenutku možete se odjaviti putem linka u email-u biltena.
3. Kada imate CMS nalog
Ako vam je dodeljen nalog na CMS-u (obično zato što ste naš klijent), čuvamo vaše korisničko ime, email adresu, heširanu lozinku, ulogu, status dvofaktorske autentifikacije, željeni jezik i aktivan radni prostor. Lozinke nikada ne čuvamo u otvorenom tekstu.
4. Autentifikacioni podaci
Kada se prijavite u CMS, izdajemo JSON Web Token (JWT) koji se čuva u httpOnly kolačiću na vašem uređaju. Takođe vodimo brojač verzije tokena po nalogu kako bismo mogli da poništimo sve sesije nakon promene lozinke, resetovanja lozinke ili odjave. Ako je uključena dvofaktorska autentifikacija, privremeno čuvamo kratkotrajni, heširani verifikacioni kod vezan za vaš nalog.
5. Metapodaci API ključeva
Svaki CMS radni prostor može da generiše API ključeve za svoj frontend sajt radi čitanja sadržaja. Čuvamo SHA-256 hash ključa (nikada otvoreni tekst), kratak prefiks za prikaz, datum kreiranja, datum isteka, stanje aktivnosti/povlačenja i vreme poslednjeg korišćenja. Ovi podaci nam služe za autentifikaciju API poziva i za rotaciju ili povlačenje ključeva.
6. Otpremljen sadržaj i mediji
Sadržaj koji objavite kroz CMS — blog postovi, slike, galerijske fotografije, sekcije stranica, FAQ stavke — čuva se u našoj bazi, a mediji u našem cloud skladištu. Sadržaj se tretira kao vaš podatak i vezuje se za radni prostor kome pripada.
7. Upiti primljeni preko vaših sajtova
Ako posetilac pošalje kontakt formu na sajtu koji koristi CMS, poruka (ime, email, tema, sadržaj, IP adresa i vreme) čuva se u radnom prostoru koji je vlasnik sajta. Ako odlučite da odgovorite kroz CMS, takođe povlačimo odgovarajuću email konverzaciju iz inbox-a koji ste podesili, isključivo radi prikaza vama. Ne čitamo niti indeksiramo sadržaj nepovezanih email poruka.
8. Tehnički i bezbednosni logovi
Naši serveri automatski beleže tehničke informacije neophodne za rad servisa: IP adrese, putanje zahteva, vremena, statusne kodove, user-agent vrednosti i događaje rate-limit-a (poput uzastopnih neuspelih prijava ili prekomernih zahteva). Ovi logovi se koriste za dijagnostiku, sprečavanje zloupotrebe i reagovanje na bezbednosne incidente.
9. Kada samo pregledate sajt
Koristimo Google Analytics 4 da bismo razumeli koje stranice se posećuju, odakle posetioci dolaze i kako sajt radi. Analitički podaci se prikupljaju putem kolačića koje postavlja Google i dele se sa Google LLC u skladu sa njihovom politikom privatnosti. Pun spisak analitičkih kolačića pogledajte u Politici kolačića.
Zašto obrađujemo ove podatke
- Da odgovorimo na vaše upite i isporučimo bilten na koji ste se pretplatili.
- Da bismo upravljali CMS-om, autentifikovali vas, dodeljivali sadržaj odgovarajućem radnom prostoru i opsluživali API zahteve sa vaših frontend sajtova.
- Da bismo zaštitili platformu od zloupotrebe, napada grubom silom i neovlašćenog pristupa.
- Da razumemo kako se naš marketinški sajt koristi i da ga unapređujemo.
- Da bismo ispunili zakonske obaveze i utvrdili, ostvarili ili odbranili pravne zahteve.
Pravni osnov (GDPR)
Podatke iz kontakt forme i biltena obrađujemo na osnovu vašeg eksplicitnog zahteva i saglasnosti (čl. 6(1)(a)/(b) GDPR). Podatke o CMS nalogu, autentifikaciji, API ključevima i otpremljenom sadržaju obrađujemo na osnovu ugovora po kome vam pružamo platformu (čl. 6(1)(b) GDPR). Tehničke i bezbednosne logove obrađujemo na osnovu legitimnog interesa da održimo bezbedan servis (čl. 6(1)(f) GDPR). Analitičke podatke obrađujemo na osnovu legitimnog interesa da razumemo i unapredimo sajt (čl. 6(1)(f) GDPR).
Koliko ih čuvamo
Lične podatke čuvamo samo onoliko koliko nam je potrebno za svrhu radi koje su prikupljeni ili koliko zahteva zakon. Tipični periodi čuvanja:
- Poruke iz kontakt forme: do 24 meseca od prijema.
- Pretplate na bilten: dok se ne odjavite.
- Podaci o CMS nalogu: za vreme trajanja naloga, plus [PERIOD ČUVANJA] nakon zatvaranja radi rešavanja postugovornih obaveza.
- Otpremljen sadržaj i mediji: dok ih ne obrišete putem CMS-a ili [PERIOD ČUVANJA] nakon zatvaranja naloga, šta god nastupi pre.
- Tehnički i bezbednosni logovi: obično 90 dana, duže ako to zahteva tekuća istraga.
- Analitički podaci: u skladu sa podrazumevanim periodom čuvanja Google Analytics-a.
Sa kim delimo podatke
Ne prodajemo vaše lične podatke. Delimo ih samo sa dole navedenim pružaocima usluga (podobrađivačima), od kojih je svaki obavezan odgovarajućim ugovornim garancijama:
- Amazon Web Services, Inc. — cloud infrastruktura i objektno skladište (S3) za otpremljene medije. Podaci se čuvaju u regionu konfigurisanom za deployment (obično unutar Evropskog ekonomskog prostora).
- MongoDB Atlas — managed hosting baze podataka za naloge, sadržaj i upite.
- Mailjet (Sinch grupa) — transakcioni i newsletter email, uključujući kodove za dvofaktorsku autentifikaciju i linkove za reset lozinke.
- Google LLC — Google Analytics 4 merenje saobraćaja.
- Google LLC — Gmail IMAP, isključivo prilikom preuzimanja konverzacije odgovora na upit radi prikaza u CMS-u.
Međunarodni prenos podataka
Neki naši podobrađivači se nalaze van Evropskog ekonomskog prostora, naročito u Sjedinjenim Američkim Državama. Kada se podaci prenose međunarodno, oslanjamo se na Standardne ugovorne klauzule koje je usvojila Evropska komisija i, kada je primenljivo, na EU–US Data Privacy Framework, kako bi se obezbedio ekvivalentan nivo zaštite.
Vaša prava
Ako se na vas primenjuje GDPR ili suštinski sličan režim, imate sledeća prava:
- Pravo pristupa ličnim podacima koje čuvamo o vama.
- Pravo da zatražite ispravku netačnih ili nepotpunih podataka.
- Pravo da zatražite brisanje vaših podataka, ako ne postoji nadređeni pravni razlog da ih zadržimo.
- Pravo da zatražite ograničavanje obrade dok se spor ne reši.
- Pravo da dobijete kopiju podataka koje ste pružili u strukturisanom, mašinski čitljivom formatu.
- Pravo da uložite prigovor na obradu zasnovanu na našim legitimnim interesima.
- Pravo da podnesete žalbu Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti, ili lokalnom nadzornom organu.
Kako tražiti brisanje
Da obrišete pretplatu na bilten, kliknite na link za odjavu u bilo kom newsletter email-u. Da obrišete CMS nalog ili bilo koji konkretan lični podatak koji čuvamo o vama, pošaljite zahtev na [KONTAKT EMAIL] sa email adrese povezane sa podacima. Zahtev ćemo verifikovati i izvršiti u roku od 30 dana, osim ako zakon zahteva da određene zapise sačuvamo.
Međunarodni posetioci
Naš servis je namenjen posetiocima i klijentima u Evropskoj uniji, Sjedinjenim Američkim Državama i drugim regionima. Korišćenjem servisa van Evropskog ekonomskog prostora razumete da će vaši podaci biti preneti i obrađivani u jurisdikcijama koje mogu imati drugačije zakone o zaštiti podataka.
Bezbednost
Koristimo industrijske standardne prakse za zaštitu vaših podataka: HTTPS u transportu, bcrypt-heširane lozinke, SHA-256-heširane API ključeve, kratkotrajne potpisane JSON Web Tokene, dvofaktorsku autentifikaciju za CMS naloge, rate-limit na javnim endpoint-ima, ograničen pristup bazi i HTTP bezbednosne headere uključujući strogu Content Security Policy. Nijedan sistem nije savršeno siguran, ali ozbiljno pristupamo zaštiti.
Deca
CMS je profesionalni alat koji nije namenjen deci. Ne prikupljamo svesno lične podatke od osoba mlađih od 16 godina. Ako verujete da je dete dostavilo lične podatke, kontaktirajte nas kako bismo ih obrisali.
Izmene ove politike
Politiku možemo ažurirati kako se platforma i naše prakse menjaju. Materijalne promene biće prikazane u datumu „Poslednje ažuriranje" na vrhu stranice, a kada je primereno obavestićemo vlasnike CMS naloga email-om.