Pravilnik o privatnosti

1. Voditelj obrade podataka

MISTRAL ZADAR d.o.o. za proizvodnju i trgovinu
Savarska ulica 4, 23000 Zadar, Hrvatska
OIB: 12340085675 · MBS: 110035088
E-mail: mistral@mistral-zd.hr
Telefon: +385 99 160 6322

Navedena adresa je sjedište voditelja obrade — na nju se primaju pismena, zahtjevi za ostvarivanje prava i prigovori. Izložbeni prostor na adresi Andrije Hebranga 2a, Zadar nije adresa sjedišta.

2. Koje podatke prikupljamo

Prikupljamo sljedeće kategorije osobnih podataka:

• Kontaktni podaci: ime, prezime, e-mail adresa, telefonski broj
• Podaci o računu: podaci za prijavu Google računom ili SMS kodom (OTP)
• Podaci o narudžbi: adresa dostave, povijest narudžbi, informacije o plaćanju
• Tehnički podaci: IP adresa, vrsta preglednika, kolačići, Google Analytics podaci
• Upiti i privici: poruke koje nam pošaljete, skice i fotografije koje priložite uz zahtjev za bespoke izradu ili ponudu
• Mistral asistent: tekst pitanja koje upišete u asistenta u klubu
• Profilator sna (neobvezno): odgovori o navikama spavanja te podaci koji se mogu odnositi na zdravlje (npr. kronični bolovi u leđima, alergije, tjelesna težina) — isključivo radi preporuke proizvoda

3. Svrha obrade podataka

• Obrada i isporuka Vaših narudžbi
• Upravljanje Vašim Mistral Club računom
• Slanje obavijesti o statusu narudžbe
• Poboljšanje korisničkog iskustva na web stranici
• Analitika web prometa (Google Analytics 4)
• Marketinška komunikacija (samo uz Vaš pristanak)
• Preporuka prikladnih proizvoda putem Profilatora sna (samo uz pristanak za zdravstvene podatke)

4. Pravna osnova

Obradu podataka temeljimo na: izvršenju ugovora (čl. 6(1)(b) GDPR), legitimnom interesu (čl. 6(1)(f) GDPR), pravnoj obvezi (čl. 6(1)(c) GDPR) i vašem pristanku (čl. 6(1)(a) GDPR) za marketinšku komunikaciju.

Podatke iz Profilatora sna koji se mogu smatrati podacima o zdravlju (posebna kategorija) obrađujemo isključivo na temelju Vašeg izričitog pristanka (čl. 9(2)(a) GDPR) i samo radi preporuke proizvoda. Pristanak možete povući u svakom trenutku.

5. Dijeljenje podataka

Vaše podatke ne prodajemo i ne ustupamo trećima za njihove svrhe. Dijelimo ih isključivo s izvršiteljima obrade koji ih obrađuju po našoj uputi, i to samo u opsegu potrebnom za navedenu svrhu:

• Google (Firebase, Cloud SQL — europe-west3, Frankfurt) — pohrana svih podataka o računu, narudžbama i konfiguracijama te prijava u Mistral Club
• Vercel — hosting web stranice; u zapisima poslužitelja privremeno se bilježi IP adresa i vrsta preglednika
• Stripe — obrada kartičnih plaćanja (ime, e-mail, iznos i sadržaj narudžbe). Podatke o kartici unosite izravno kod Stripea — oni nikada ne dolaze na naš poslužitelj
• Resend — slanje transakcijskih e-mailova (e-mail adresa, ime, podaci o narudžbi)
• Twilio — SMS prijava i SMS obavijesti (telefonski broj)
• Anthropic — Mistral asistent u klubu: pitanje koje upišete šalje se modelu radi generiranja odgovora. Ne šaljemo Vaše ime, e-mail ni povijest narudžbi
• Upstash — tehnička zaštita od zlouporabe (privremeni zapis IP adrese radi ograničenja broja zahtjeva, u pravilu do 1 sata) i, ako pristanete na analitiku, zbirna statistika posjeta (putanja, uređaj, izvor, država i grad) koja se čuva do 90 dana
• Contabo GmbH (Njemačka) — noćna sigurnosna kopija baze izvan glavnog sustava, radi oporavka podataka. Kopija je komprimirana i dostupna samo administratoru poslužitelja; šifriranje kopije je u pripremi
• Google — Analytics 4 i reCAPTCHA (zaštita prijave SMS kodom od zloupotrebe; Google pritom prima Vašu IP adresu i podatke o pregledniku); analitika se aktivira tek nakon Vašeg pristanka (v. odjeljak 6.)

Podatke smijemo otkriti i nadležnim tijelima kada to nalaže zakon. Kod izvršitelja sa sjedištem izvan EU prijenos se temelji na standardnim ugovornim klauzulama Europske komisije odnosno na odluci o primjerenosti (EU–US Data Privacy Framework).

6. Kolačići

Strogo nužne kolačiće (prijava, košarica, zaštita od CSRF napada) koristimo bez pristanka jer bez njih stranica ne radi. Analitičke kolačiće (Google Analytics 4) postavljamo isključivo uz Vaš prethodni pristanak. Dok ga ne date, Google Analytics se uopće ne učitava — prema Googleu ne odlazi nikakav zahtjev, pa ni Vaša IP adresa.

Pristanak možete povući jednako lako kao što ste ga dali: gumb „Postavke kolačića” nalazi se u podnožju stranica i na Politici kolačića. Povlačenje ne utječe na zakonitost obrade prije povlačenja (čl. 7(3) GDPR). Kada bitno izmijenimo ovaj pravilnik, ponovno ćemo Vas pitati za pristanak umjesto da se oslonimo na stari.

7. Vaša prava

Prema GDPR-u imate pravo na:

• Pristup Vašim osobnim podacima
• Ispravak netočnih podataka
• Brisanje podataka („pravo na zaborav”)
• Ograničenje obrade
• Prenosivost podataka
• Prigovor na obradu
• Povlačenje pristanka u bilo kojem trenutku

Dva prava možete ostvariti sami, odmah i bez čekanja — u Mistral Clubu, pod Postavke → Vaši podaci:

• „Preuzmi” — cjelovit izvoz Vaših podataka u strojno čitljivom JSON formatu (pravo na prenosivost, čl. 20 GDPR)
• „Obriši račun” — trajno brisanje računa, spremljenih konfiguracija, popisa želja, profila spavanja i podataka za prijavu (pravo na zaborav, čl. 17 GDPR)

Brisanje računa ne briše dovršene narudžbe i račune — njih smo dužni čuvati po Zakonu o računovodstvu, pa se pozivamo na iznimku iz čl. 17(3)(b) GDPR. Nakon brisanja računa ti zapisi više nisu povezani s Vašom prijavom i čuvaju se samo do isteka zakonskog roka (v. odjeljak 8.), nakon čega se brišu.

Za sva ostala prava — ispravak, ograničenje obrade, prigovor — javite se na mistral@mistral-zd.hr. Odgovaramo najkasnije u roku od mjesec dana od zaprimanja zahtjeva (čl. 12(3) GDPR).

8. Rok čuvanja podataka

Podatke ne čuvamo dulje nego što je potrebno za svrhu zbog koje su prikupljeni:

• Nedovršene narudžbe (napuštena košarica) — 30 dana, nakon čega se automatski i nepovratno brišu zajedno s adresom i kontaktom. Brisanje obavlja zadaća koja se izvršava svakodnevno
• Računi i dokumentacija o dovršenim narudžbama — 11 godina, po čl. 10. Zakona o računovodstvu. Taj rok ne teče od datuma isprave nego od zadnjeg dana poslovne godine na koju se isprava odnosi
• Podaci o Mistral Club računu (profil, spremljene konfiguracije, popis želja) — dok imate račun; brišu se odmah kad račun obrišete
• Profilator sna (podaci koji se mogu odnositi na zdravlje) — najduže 24 mjeseca od prikupljanja, ili odmah po opozivu pristanka odnosno brisanju računa, što god nastupi prije
• Zapis o pristanku na kolačiće i na marketing — čuvamo ga kao dokaz da je pristanak dan (čl. 7(1) GDPR), i to samo dok traje odnos na koji se odnosi
• Tehnički zapisi poslužitelja i zaštita od zlouporabe — kratkotrajno, u pravilu do 30 dana odnosno do 1 sata za ograničenje broja zahtjeva

9. Kontakt i pritužbe

Pitanja ili zahtjeve u vezi privatnosti šaljite na mistral@mistral-zd.hr. Imate pravo podnijeti pritužbu nadzornom tijelu — Agenciji za zaštitu osobnih podataka (AZOP), Ulica Metela Ožegovića 16, 10000 Zagreb, azop.hr.

10. Profilator sna i podaci o zdravlju

Profilator sna („Laboratorij sna“) neobvezan je alat koji na temelju Vaših odgovora preporučuje odgovarajući madrac/krevet. Dio odgovora može se odnositi na zdravlje (npr. kronični bolovi, alergije, tjelesna težina) i predstavlja posebnu kategoriju podataka koju obrađujemo samo uz Vaš izričit pristanak (čl. 9(2)(a) GDPR), isključivo radi preporuke proizvoda. Te podatke ne koristimo za oglašavanje niti ih dijelimo u marketinške svrhe. Profil spavanja možete pregledati i obrisati sami u Postavkama kluba — briše se i automatski, najkasnije 24 mjeseca od prikupljanja.