Flatie Tech d.o.o. upravlja web-stranicom flatie.hr i aplikacijom app.flatie.hr te pripadajućim mobilnim aplikacijama (dalje zajednički: „Platforma”). Ova Politika privatnosti objašnjava koje osobne podatke obrađujemo, zašto, koliko dugo te kako ostvariti svoja prava u skladu s Općom uredbom o zaštiti osobnih podataka (GDPR, Uredba (EU) 2016/679) i Zakonom o provedbi opće uredbe o zaštiti podataka (NN 42/2018).
1. Tko smo i naša dualna uloga
1.1 Identitet i kontakt
Voditelj obrade / Izvršitelj obrade: Flatie Tech d.o.o., Zagorska ulica 22, 10000 Zagreb, Hrvatska, OIB: 50129451233.
Opći upiti: [email protected]
Službenik za zaštitu podataka (DPO): [email protected]
Nadzorno tijelo: Agencija za zaštitu osobnih podataka (AZOP), Ulica Metela Ožegovića 16, 10000 Zagreb, azop.hr.
1.2 Dualna uloga
U odnosu na različite kategorije podataka Flatie djeluje u dvije različite uloge propisane GDPR-om:
- Kao voditelj obrade (čl. 4(7) GDPR): za podatke korisničkih računa, autentifikacije, naplate pretplate, marketinških privola, analitike marketinške stranice i sigurnosnih zapisa Platforme. Za ove podatke Flatie samostalno određuje svrhu i sredstva obrade — vidi sekciju 2.
- Kao izvršitelj obrade (čl. 4(8) GDPR): za podatke koji pripadaju Zgradi ili njezinim Korisnicima u kontekstu upravljanja Zgradom (membership, obavijesti, glasanja, ankete, chat, prijave kvarova, rezervni fond, dokumenti, upiti AI asistentu). Voditelj obrade je Organizacija ili, u slučaju samoupravljane Zgrade, Predstavnik suvlasnika u ime suvlasnika. Obrada je uređena zasebno sklopljenim Ugovorom o obradi osobnih podataka (DPA) — vidi sekciju 3.
Ako imate pitanje ili zahtjev vezan uz podatke iz sekcije 3., prvo se obratite Organizaciji koja upravlja Zgradom (ili Predstavniku suvlasnika). Flatie će Voditelju obrade pružiti potrebnu pomoć. Za izravne upite Flatie u ulozi izvršitelja: [email protected].
2. Kada Flatie djeluje kao voditelj obrade
Za sljedeće kategorije podataka Flatie samostalno određuje svrhu i sredstva obrade te je odgovoran ispitaniku u smislu GDPR-a.
| Svrha | Podaci | Pravni temelj | Rok čuvanja |
|---|---|---|---|
| Račun i autentifikacija | ime i prezime, e-pošta, hash lozinke, broj mobitela, OIB (ako se unosi), jezik sučelja | Izvršavanje ugovora (čl. 6(1)(b)) | Do brisanja računa + 30 dana odgode |
| Naplata pretplate | podaci o pretplati, status, fakture i obračuni | Izvršavanje ugovora + zakonska obveza (računovodstvo) | 11 godina (OPZ, ZOR) |
| Transakcijska e-pošta | e-pošta, sadržaj sistemskih obavijesti | Izvršavanje ugovora (čl. 6(1)(b)) | Do brisanja računa |
| Marketing (newsletter) | e-pošta, status privole | Privola (čl. 6(1)(a)) | Do povlačenja privole |
| Analitika marketinške stranice (flatie.hr) | anonimizirani/pseudonimizirani podaci prometa (Google Analytics 4) | Privola (kolačići) | Do 2 godine (vidi Politiku kolačića) |
| Analitika proizvoda (web i mobilna aplikacija) | pseudonimizirani događaji korištenja — pseudonimni korisnički ID, korištena funkcionalnost, brojači i vremenske oznake (PostHog, EU); nikada imena, e-pošta ni sadržaj podataka zgrade | Privola (web: traka kolačića); legitimni interes (čl. 6(1)(f)) u mobilnoj aplikaciji, uz mogućnost isključivanja u postavkama aplikacije | Do 12 mjeseci |
| Praćenje grešaka i tehnički zapisi (web i mobilna aplikacija) | izvještaji o padovima i greškama, tehnički zapisi s pseudonimnim korisničkim ID-om, model uređaja/preglednika, verzija OS-a (BetterStack, EU) | Legitimni interes (čl. 6(1)(f)) — stabilnost i sigurnost usluge | Do 30 dana |
| Sigurnost i revizijski zapisi Platforme | IP adresa, user-agent, identifikator sesije, sigurnosni događaji; revizijski zapis radnji (tko je koju akciju izvršio, nad kojim resursom, kada i u čije ime) | Legitimni interes (čl. 6(1)(f)) — zaštita Platforme i korisnika | 24 mjeseca, ili dulje radi obrane pravnih zahtjeva |
| Push obavijesti | tehnički identifikator uređaja (push token) | Izvršavanje ugovora (čl. 6(1)(b)) | Do odjave ili brisanja računa |
| Jednokratne lozinke (OTP) za pozivanje u Zgradu | OTP zapis vezan uz korisnika i Zgradu | Izvršavanje ugovora (čl. 6(1)(b)) | Automatski poništava se nakon upotrebe ili isteka važnosti |
| Kontakt forma (upiti posjetitelja) | ime i prezime, e-pošta, telefon, predmet i sadržaj poruke | Legitimni interes (čl. 6(1)(f)) — odgovaranje na upite | Do rješavanja upita, najdulje 12 mjeseci |
3. Kada Flatie djeluje kao izvršitelj obrade
Sljedeće kategorije podataka Flatie obrađuje u ime Organizacije (ili Predstavnika suvlasnika samoupravljane Zgrade) kao Voditelja obrade. Pravni temelj za te obrade osigurava Voditelj obrade, a detalji su uređeni u DPA.
| Svrha | Podaci | Pravni temelj | Rok čuvanja |
|---|---|---|---|
| Članstvo u Zgradi (uloge i relacije) | uloga u Zgradi (suvlasnik, predstavnik), Stan, udio suvlasništva (površinski postotak za ponderirano glasanje sukladno NN 152/2024), relacije između korisnika (tko je čiji predstavnik, tko je vlasnik kojeg stana), evidencijski zapis o podstanaru/najmoprimcu stana (ime i prezime) koji unosi vlasnik stana radi internih potreba upravljanja zgradom — podstanar nema korisnički račun niti pristup Platformi. Napomena: glasanje je tehnički ograničeno isključivo na suvlasnike; izmjena udjela suvlasništva moguća je u okviru ovlasti definiranih Zakonom (NN 152/2024) i internom praksom zgrade. | Pravni temelj određuje Organizacija kao Voditelj obrade (vidi DPA); za ponderirano glasanje: zakonska obveza (NN 152/2024) | Dok traje pretplata Zgrade + arhiva sukladno mjerodavnom pravu |
| Obavijesti, glasanja, ankete, chat Zgrade | sadržaj obavijesti, glasova, komentara, poruka; evidencija o ponderiranom glasu prema udjelu suvlasništva | Pravni temelj određuje Voditelj obrade | Dok traje pretplata + zakonsko zadržavanje (zapisnici glasanja — NN 152/2024) |
| Prijave kvarova i zapisnici održavanja | tekst prijave, fotografije, status popravka, zapisi o održavanju | Pravni temelj određuje Voditelj obrade | Dok traje pretplata + arhiva sukladno odluci Voditelja obrade |
| Rezervni fond i evidencija transakcija | stavke evidencije, iznosi, opisi | Pravni temelj određuje Voditelj obrade | Sukladno mjerodavnom pravu (NN 152/2024, porezni propisi) |
| Repozitorij dokumenata Zgrade | datoteke koje učita Voditelj obrade ili ovlašteni Korisnik (ugovori, statusi, financijski dokumenti i dr.) | Pravni temelj određuje Voditelj obrade | Dok traje pretplata (osim dokumenata s obvezom zakonskog zadržavanja) |
| AI asistent (na zahtjev Korisnika) | sadržaj upita i relevantni kontekst Zgrade koji Korisnik šalje asistentu; dostupan svim autentificiranim Korisnicima neovisno o ulozi | Legitimni interes (čl. 6(1)(f)); međunarodni prijenos provodi se uz odgovarajuće zaštitne mehanizme | U Flatieju se razgovori ne pohranjuju; asistent trenutačno nije uključen (vidi sekciju 4.) |
4. AI asistent
Platforma može Korisniku ponuditi AI asistenta koji pruža kontekstualno prilagođene odgovore. Sukladno čl. 50. Uredbe (EU) 2024/1689 (Akt o umjetnoj inteligenciji) izričito vas obavještavamo da AI asistent nije fizička osoba, nego umjetnointeligencijski sustav. Asistent trenutačno nije uključen; kada bude uključen, bit će dostupan svim autentificiranim Korisnicima Platforme neovisno o njihovoj ulozi.
4.1 Podaci koji se obrađuju
Sadržaj vaših upita te relevantni kontekst Zgrade koji šaljete asistentu.
4.2 Davatelji modela i međunarodni prijenos
- Uvoz podataka iz dokumenata (u uporabi) — kada upravitelj ili predstavnik suvlasnika pri unosu zgrade učita postojeće dokumente, njihov se sadržaj šalje na prepoznavanje teksta i izdvajanje podataka pružatelju Mistral AI (Francuska, EU). Izdvojeni podaci prikazuju se kao prijedlog koji osoba pregledava i potvrđuje prije spremanja.
- AI asistent (trenutačno nije uključen) — kada bude uključen, koristit će pružatelje Mistral AI (Francuska, EU) te Cohere (pretraživanje baze znanja; Kanada/SAD), a kao zamjenski model moguć je Anthropic PBC (SAD), temeljem Standardnih ugovornih klauzula (Provedbena odluka Komisije (EU) 2021/914). Uključivanje svakog od tih pružatelja najavit ćemo najmanje 30 dana unaprijed na stranici podizvođača. Razgovori s asistentom ne pohranjuju se na poslužiteljima Flatieja.
4.3 Automatizirane odluke
AI asistent pruža isključivo informativne odgovore i ne donosi automatizirane odluke koje bi imale pravni ili drugi značajan učinak na Korisnika u smislu čl. 22. GDPR-a. Sve odluke o pravima, obvezama i financijama Korisnika donosi ovlaštena osoba.
4.4 Odustajanje
Korištenje AI asistenta je dobrovoljno. Možete ga u svakom trenutku prestati koristiti; time prestaje i obrada s ovom svrhom. Odbijanje korištenja AI asistenta ne utječe na pristup ostalim funkcijama Platforme.
5. Tko ima pristup podacima
5.1 Zaposlenici i suradnici Flatie
Pristup podacima kontroliran je internim sustavom uloga i ovlasti (RBAC) s više razina. Kategorije pristupa:
- Platforma Administrator — puni operativni pristup svim podacima radi tehničke podrške i intervencije u incidentima. Ovaj pristup tehnički obuhvaća i podatke svih Zgrada na Platformi; svaki takav pristup evidentira se u revizijskom zapisu uz razlikovnu oznaku koja ga identificira kao administratorsku intervenciju.
- Platforma Moderator — moderacija sadržaja, upravljanje korisnicima i organizacijama.
- Platforma Podrška — ograničen pregled organizacija i analitike, moderacija sadržaja.
- Platforma Operativa — isključivo pregled platformske analitike.
Svi pristupi bilježe se u revizijskom zapisu. Pristup je strogo ograničen na ono što je nužno za obavljanje radnog zadatka.
5.2 Organizacije i ovlašteni korisnici Zgrade
- Organizacije (upravitelji zgrada) i njihovi ovlašteni djelatnici — isključivo za Zgrade kojima upravljaju, u skladu s DPA-om.
- Predstavnici suvlasnika i zamjenici — isključivo za Zgradu za koju su izabrani.
- Suvlasnici — za podatke vlastite Zgrade u mjeri definiranoj njihovom ulogom.
5.3 Izvršitelji obrade (podizvršitelji)
Podatke dijelimo s ograničenim brojem pružatelja usluga s kojima imamo sklopljen ugovor o obradi (DPA). Aktualni popis (vendor, svrha, lokacija, mehanizam prijenosa, status DPA) objavljen je na flatie.hr/hr/sub-processors.
Svim izvršiteljima obrade ugovorom je zabranjena obrada podataka u svrhe koje nisu ugovorene te su obvezni osigurati odgovarajuću razinu zaštite.
6. Međunarodni prijenosi
Osnovna obrada i pohrana odvijaju se u EU/EGP. Dio podataka obrađuje se i izvan EU/EGP-a: push obavijesti na mobilne uređaje prosljeđuje Expo (SAD), a isporučuju Google (Firebase Cloud Messaging) i Apple (APNs), koji pritom primaju oznaku uređaja te naslov i tekst obavijesti; sav promet prolazi kroz globalnu mrežu Cloudflarea; Google Analytics 4 na marketinškoj stranici (samo uz vašu privolu) može uključivati prijenos prema Google LLC (SAD). Ti se prijenosi temelje na Standardnim ugovornim klauzulama 2021/914, a za Google LLC i na okviru EU-US Data Privacy Framework. Nijedan pružatelj AI usluga izvan EU-a danas ne prima podatke (vidi sekciju 4.). Ažurirani popis s mehanizmima zaštite objavljen je na flatie.hr/hr/sub-processors.
7. Rokovi čuvanja
Rokovi čuvanja za pojedine kategorije sadržani su u sekcijama 2. i 3. Dodatno:
- Računovodstveni zapisi i računi — 11 godina (Opći porezni zakon, Zakon o računovodstvu).
- Zapisnici glasanja i druge zakonom obvezne evidencije vezane uz upravljanje Zgradom — sukladno Zakonu o upravljanju i održavanju zgrada (NN 152/2024) i provedbenim propisima.
- Sigurnosni i revizijski zapisi (audit log) — 24 mjeseca, ili dulje radi obrane pravnih zahtjeva.
- Meko obrisani računi (soft delete) — 30 dana odgode prije nepovratnog brisanja, uz mogućnost poništenja zahtjeva prijavom u tom razdoblju.
- OTP zapisi — automatski se poništavaju nakon upotrebe ili isteka važnosti.
- Push token (identifikator uređaja) — do odjave notifikacija ili brisanja računa.
- Razgovori s AI asistentom — ne pohranjuju se na poslužiteljima Flatieja; povijest razgovora ostaje u vašem pregledniku odnosno aplikaciji.
Nakon isteka rokova, podaci se brišu ili anonimiziraju.
8. Vaša prava
U skladu s GDPR-om imate sljedeća prava:
- Pristup i prenosivost — preuzmite svoje podatke putem „Postavke → Privatnost” ili zatražite izvoz od DPO-a kontaktom na [email protected].
- Ispravak — uredite profil unutar aplikacije ili zatražite ispravak od DPO-a kontaktom na [email protected].
- Brisanje („pravo na zaborav”) — u „Postavke → Privatnost → Brisanje računa” pokrećete postupak s 30-dnevnom odgodom; brisanje možete otkazati prijavom u tom razdoblju. Za podatke u odnosu na koje Flatie djeluje kao izvršitelj, zahtjev za brisanje podnesite Voditelju obrade (Organizaciji ili Predstavniku suvlasnika).
- Ograničenje obrade — zahtjev pošaljite na [email protected].
- Prigovor — na obradu temeljenu na legitimnom interesu; zahtjev pošaljite na [email protected].
- Automatizirane odluke — Flatie ne donosi automatizirane odluke koje bi imale pravni ili drugi značajan učinak na ispitanika (čl. 22. GDPR). Nema profiliranja u tu svrhu.
- Povlačenje privole — u svakom trenutku, bez utjecaja na zakonitost obrade prije povlačenja.
- Pritužba — možete podnijeti pritužbu AZOP-u (azop.hr).
Na provjereni zahtjev odgovaramo u roku od 30 dana, uz mogućnost produljenja sukladno čl. 12(3) GDPR-a. Za tehničku podršku: [email protected].
9. Sigurnost podataka
Poduzimamo razumne tehničke i organizacijske mjere zaštite:
- Flatie Tech d.o.o. ne prodaje osobne podatke korisnika.
- Lozinke se sigurno pohranjuju kriptografskim hash funkcijama i nisu dostupne trećim stranama.
- Pristup podacima kontroliran je RBAC sustavom s više razina; svaki pristup, uključujući administratorske intervencije, bilježi se u revizijskom zapisu.
- Promjene uloga, brisanja resursa i sve značajne radnje bilježe se u revizijskom zapisu.
- Pristup infrastrukturi ograničen je na ovlaštene IT pružatelje nužne za funkcioniranje sustava.
- Podržavamo dvofaktorsku (2FA) autentifikaciju kao dodatni sloj zaštite korisničkih računa.
U slučaju povrede podataka reagirat ćemo brzo, poduzeti potrebne mjere i obavijestiti vas sukladno čl. 33./34. GDPR-a.
10. Kolačići
Detalje o kolačićima, vrstama privole i načinu izmjene izbora pogledajte u Politici kolačića. Ukratko:
- Nužni kolačići — neophodni za rad stranice, ne zahtijevaju privolu.
- Analitički i marketinški kolačići — koriste se isključivo uz vašu privolu.
11. Izmjene Politike
Bitne izmjene koje utječu na vaša prava pokrenut će ponovni zahtjev za privolu pri sljedećem posjetu ili prijavi. Oznaka verzije u zaglavlju dokumenta prati trenutnu verziju. Povijest materijalnih izmjena dostupna je na zahtjev od DPO-a. Ažurirana verzija uvijek je objavljena na flatie.hr/hr/politika-privatnosti.
12. Kontakt
Službenik za zaštitu podataka (DPO): [email protected]
Opći upiti: [email protected]
Tehnička podrška: [email protected]
Flatie Tech d.o.o., Zagorska ulica 22, 10000 Zagreb, OIB: 50129451233