Pravila privatnosti

1. Tko je odgovoran za podatke

Pružatelj platforme Workero je Key Solutions j.d.o.o., Ivana Matetića Ronjgova 7, 52210 Rovinj, Hrvatska, OIB 58514627818; kontakt: info@workero.app. Za upravljanje poslovnim odnosom, naplatom, podrškom i sigurnošću vlastite usluge Key Solutions djeluje kao voditelj obrade osobnih podataka.

Za podatke gostiju, zaposlenika i suradnika koje smještajni objekt unosi ili uvozi radi vlastite operative, taj objekt u pravilu određuje svrhe i sredstva obrade te je voditelj obrade. Key Solutions u tom dijelu obrađuje podatke po dokumentiranim uputama objekta kao izvršitelj obrade. Ova pravila ne zamjenjuju obavijest koju objekt mora dati svojim gostima i radnicima niti ugovor o obradi podataka iz članka 28. GDPR-a.

Razvoj i održavanje provodi PartyDec, obrt za proizvodnju i usluge, vl. Domagoj Ljubej, sa sjedištem na adresi Selno 71, Krapinske Toplice, Hrvatska, OIB vlasnika 98558642285, matični broj obrta 98936590, pod robnom markom PD Digital; kontakt +385 99 760 6963, info@pd-digital-hr.com. PD Digital je robna marka navedenog obrta, a ne zasebna pravna osoba. Tehnički pristup podacima radi podrške i održavanja dopušten je samo u potrebnom opsegu i prema dokumentiranim uputama Key Solutionsa. Odnos izvršitelja odnosno podizvršitelja obrade i njegove obveze potrebno je urediti odgovarajućim ugovorom iz članka 28. GDPR-a prije takve obrade.

2. Na koga se pravila odnose

Pravila se odnose na posjetitelje workero.app, nositelje računa, administratore, radnike i vanjske suradnike koji koriste Workero te osobe koje se obraćaju podršci. Gost može biti obuhvaćen ako objekt uveze ili unese njegove podatke, iako gost nema Workero račun.

Podatke dobivamo izravno pri registraciji, korištenju i komunikaciji, od administratora vašeg objekta te iz kalendara i povezanih sustava koje objekt ovlasti. Kada podatke dobivamo od objekta, informacije o njegovoj obradi i izvorima zatražite i od njega.

3. Koje podatke obrađujemo

Podaci računa i poslovnog odnosa: ime i prezime ili prikazno ime, adresa e-pošte, identifikator računa, podaci organizacije i objekta, uloge, dodjele, prijavni i sigurnosni podaci, vrijeme prihvata uvjeta i potvrde upoznavanja s pravilima, izbor newslettera i procjena broja objekata i jedinica.

Operativni podaci: prostorije, zadaci, kontrolne popise, predlošci, statusi i vremena rada, smjene i evidentirane odsutnosti, sobni tekstil, zalihe i promjene količina, prijave kvarova i priložene fotografije, razgovori i poruke, sudionici, oznake spominjanja i evidencije obavijesti. Sadržaj može sadržavati osobne podatke koje unesete vi ili administrator.

Rezervacije i povezivanja: datumi boravka, broj gostiju, zemlja, ime gosta kada ga izvor sadrži ili ga objekt unese, identifikatori rezervacija, poveznice kalendara i pristupni podaci povezanih sustava. Tehnički podaci: informacije o pregledniku i uređaju, mrežni podaci nužni za povezivanje, zapisi pogrešaka i dio zapisa izvedbe, identifikator korisnika, adresa otvorene stranice, pretplate za push i sadržaj zahtjeva podršci s prilozima.

Ne tražimo dijagnoze, zdravstvene nalaze, brojeve dokumenata gostiju ni podatke o kartici u zadacima, chatu ili prilozima. Oznaka bolovanja može otkriti podatak o zdravlju; objekt mora posebno osigurati primjenjivu osnovu iz članka 9. GDPR-a i ograničiti unos i pristup. Ne unosite posebne kategorije podataka bez odgovarajuće pravne osnove.

4. Svrhe i pravne osnove Key Solutionsa

Računi, ugovaranje, ponude, pretplata i podrška služe pružanju usluge. Članak 6. stavak 1. točka (b) GDPR-a primjenjuje se kada je ispitanik ugovorna strana ili traži predugovorne radnje; za zaposlenike i kontakt osobe poslovnog korisnika primjenjuje se legitimni interes organiziranja i izvršavanja poslovnog odnosa, članak 6. stavak 1. točka (f).

Računi i evidencije koje zahtijevaju porezni, računovodstveni ili drugi propisi obrađuju se radi zakonske obveze, članak 6. stavak 1. točka (c). Za zaštitu sustava, otkrivanje zlouporaba, otklanjanje pogrešaka, obranu pravnih zahtjeva i pouzdanost usluge koristimo legitimni interes, uz procjenu nužnosti i vaših prava. Newsletter se šalje samo uz zasebnu, dobrovoljnu privolu, članak 6. stavak 1. točka (a), koju možete povući bez utjecaja na korištenje usluge.

Operativnu obradu koju provodimo za objekt uređuju njegove upute i ugovor o obradi; objekt mora sam utvrditi odgovarajuće pravne osnove. Upoznavanje s ovim pravilima nije opća privola za sve obrade.

5. Tko može pristupiti podacima

Pristup u aplikaciji ovisi o organizaciji, ulozi, objektu, zadatku i sudjelovanju u razgovoru. Administratori upravljaju pristupom svojih ljudi. Vanjski suradnik ne dobiva automatski sve podatke objekta. Podaci o identitetu gosta ograničeni su na ovlaštene administratore i recepciju; ostali radnici dobivaju operativne informacije prema svojim ovlastima.

Ovlašteno osoblje pružatelja i održavanja može pristupati podacima kad je to nužno za podršku, sigurnost ili otklanjanje pogrešaka, uz povjerljivost i ograničene ovlasti. Podatke možemo dostaviti nadležnim tijelima kada to zahtijeva zakon ili je nužno za ostvarivanje ili obranu pravnih zahtjeva. Ne prodajemo osobne podatke.

6. Tehnički pružatelji i povezane usluge

Supabase pruža autentikaciju, bazu, pohranu priloga i promjene u stvarnom vremenu. Infrastruktura objave i mrežne isporuke uključuje hosting Workera i Cloudflare. Resend služi za transakcijske poruke e-pošte, uključujući pozive i podršku; slanje je u izvedbi povezano preko Lovableova posredničkog sustava. Sentry služi dijagnostici pogrešaka i uzorkovanom praćenju izvedbe; postavljen je njemački prihvatni endpoint i identifikator računa bez namjernog dodavanja imena ili e-pošte. Pseudonimni identifikator i tehnički zapisi i dalje mogu biti osobni podaci.

Google prijava je dobrovoljna; njezinim odabirom Google i Supabase razmjenjuju podatke nužne za prijavu. Objekt može povezati Booking.com/Airbnb iCal kalendare, Rentlio ili vlastiti sustav; razmjenjuju se podaci prema njegovu povezivanju i ovlastima, a pravila tih usluga vrijede za njihovu vlastitu obradu. Push obavijesti prolaze kroz usluge proizvođača preglednika ili uređaja.

Kada se ugovori i aktivira plaćanje putem Stripea, Stripe obrađuje podatke o platnoj transakciji, kontaktu i naplati. Kartične podatke unosite u Stripeov platni obrazac, a ne u Workero poruke ili podršku. Stripe za dio platnih, regulatornih i protufraudnih obrada djeluje kao samostalni voditelj, a za druge prema svojem ugovoru kao izvršitelj. Vidjeti https://stripe.com/privacy i https://stripe.com/legal/dpa. U trenutačnoj izvedbi Workera naplata Stripeom još nije aktivirana.

Službene informacije pružatelja: https://supabase.com/privacy, https://www.cloudflare.com/privacypolicy/, https://resend.com/legal/privacy-policy, https://sentry.io/privacy/, https://policies.google.com/privacy i https://lovable.dev/privacy. Ugovorna lista podizvršitelja, njihove konkretne pravne osobe i lokacije obrade moraju biti potvrđene uz ugovor o obradi; sama dostupnost ovih pravila ne dokazuje sklapanje takvih ugovora.

7. Međunarodni prijenosi

Korištenje međunarodnih pružatelja može uključivati pristup ili prijenos izvan Europskog gospodarskog prostora. Sama adresa servera ili oznaka regije u kodu ne jamči da svi podaci ostaju u EU.

Prijenos izvan Europskog gospodarskog prostora dopušten je samo uz uvjete iz poglavlja V. GDPR-a: primjenjivu odluku o primjerenosti ili odgovarajuće zaštitne mjere, primjerice standardne ugovorne klauzule, uz potrebnu procjenu i dodatne mjere. Primatelje, lokacije i mehanizme primjenjive na konkretno povezivanje potrebno je dokumentirati prije prijenosa. Informacije o konkretnim primateljima i lokacijama te kopiju primjenjivih zaštitnih mjera možete zatražiti na info@workero.app; ova pravila sama po sebi nisu dokaz da je određeni mehanizam prijenosa ugovoren.

8. Čuvanje i prestanak korištenja

Podatke računa čuvamo za vrijeme aktivnog poslovnog odnosa i nakon njegova prestanka samo u opsegu i trajanju potrebnom radi zakonskih obveza ili ostvarivanja i obrane pravnih zahtjeva. Operativni podaci obrađuju se za vrijeme usluge prema dokumentiranim uputama objekta; nakon prestanka vraćaju se ili brišu prema njegovu izboru i ugovoru o obradi, osim gdje zakon zahtijeva čuvanje. Računovodstveni podaci čuvaju se u rokovima primjenjivih poreznih i računovodstvenih propisa. Za podršku i dijagnostiku kriteriji su trajanje rješavanja zahtjeva ili incidenta, sigurnosna nužnost i zakonski rokovi za zahtjeve; podaci se ne smiju zadržavati dulje nego što je nužno. Marketinški kontakt koristi se do povlačenja privole ili prestanka svrhe, uz dopušteno čuvanje dokaza o privoli i odjavi.

Procjena iz kalkulatora lokalno ima rok od sedam dana. Kopije podataka u računu i organizaciji nisu time automatski obrisane. Valjanost privremene poveznice za fotografiju nije rok brisanja fotografije.

Aplikacija trenutačno ne omogućuje samostalni izvoz cijelog računa ili automatsko GDPR brisanje. Zahtjevi se podnose na info@workero.app i obrađuju ručno prema zakonu i ovlastima objekta. Povrat ili izvoz operativnih podataka, brisanje nakon prestanka te postupak uklanjanja iz sigurnosnih kopija uređuju se ugovorom o obradi i dokumentiranim postavkama pružatelja infrastrukture. Ako se traži brisanje, podaci se ne smiju ponovno koristiti iz sigurnosne kopije za redovitu obradu; pri obnovi potrebno je ponovno provesti važeće zahtjeve za brisanje. Primjenjive rokove i kriterije možete zatražiti na info@workero.app. Zakonski rok za odgovor na zahtjev nije obećanje da su sve sigurnosne kopije istodobno fizički izbrisane.

9. Lokalna pohrana i obavijesti

Workero koristi localStorage i IndexedDB za prijavnu sesiju i njezinu obnovu pri pokretanju, jezik, prikaz i odabir objekta te privremenu procjenu ponude. To nisu sigurnosne kopije poslovnih podataka. Aplikacija nema ugrađeno reklamno praćenje ni marketinške analitičke kolačiće; mrežni i infrastrukturni pružatelji mogu obrađivati tehničke podatke potrebne za isporuku i sigurnost usluge. Za pohranu ili pristup podacima na uređaju koji nisu nužni za izričito zatraženu uslugu mora se zatražiti odgovarajuća prethodna privola kada je zakon zahtijeva.

Push obavijesti uključuju se uz dopuštenje preglednika ili uređaja. Dopuštenje možete povući u postavkama uređaja; pretplata se uklanja za taj uređaj pri odjavi. Dopuštenje za push nije privola za newsletter. Brisanje lokalne pohrane može odjaviti račun ili ukloniti postavke, ali ne briše podatke spremljene na serveru.

10. Vaša prava i zahtjevi

Pod uvjetima GDPR-a možete tražiti pristup, kopiju, ispravak, brisanje, ograničenje i prenosivost te prigovor obradi koja se temelji na legitimnom interesu. Na izravni marketing možete uložiti prigovor u bilo kojem trenutku. Privolu možete povući bez utjecaja na zakonitost ranije obrade; brisanje i prenosivost nisu bezuvjetna prava u svim obradama.

Zahtjev pošaljite na info@workero.app. Možemo zatražiti razmjernu provjeru identiteta, bez nepotrebnih dodatnih podataka. U pravilu odgovaramo u roku od jednog mjeseca od primitka zahtjeva; zakonsko produljenje do dva dodatna mjeseca mora biti obrazloženo i najavljeno u prvom mjesecu. Ako je za traženu obradu voditelj vaš objekt, zahtjev ćemo uputiti njemu i pomoći prema ugovoru.

Imate pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Ulica Metela Ožegovića 16, 10000 Zagreb, azop@azop.hr, https://azop.hr/kontakt/, ili drugom nadležnom nadzornom tijelu.

11. Sigurnost i incidenti

Izvedba uključuje provjeru prijave i prava pristupa, ograničenje podataka po ulogama, privatnu pohranu određenih priloga s vremenski ograničenim poveznicama te šifriranje Rentlio API ključeva. To nije jamstvo potpune sigurnosti; rasporedi sigurnosnih kopija, testiranja i organizacijske mjere moraju biti potvrđeni zasebno.

Za sumnju na incident kontaktirajte info@workero.app. Key Solutions kao izvršitelj obrade obavještava voditelja bez nepotrebnog odgađanja kad sazna za povredu; kao voditelj procjenjuje obvezu obavještavanja nadzornog tijela u roku od 72 sata od saznanja i obavještavanja ispitanika kada su ispunjeni zakonski uvjeti. Korisnik ne smije objavljivati tuđe podatke, dijeliti prijavne podatke ili slati osjetljive podatke kroz nezaštićene kanale.

12. Obveznost podataka, odluke i izmjene

Podaci nužni za prijavu i pružanje tražene usluge moraju biti dostupni da bismo je mogli pružiti; newsletter i Google prijava nisu obvezni. Automatizirano kreiranje zadataka, pravila pristupa i izračuni ponude pomažu operativi; nisu zamišljeni kao odluke o osobi s pravnim ili usporedivo značajnim učinkom iz članka 22. GDPR-a. Raspored nije zamjena za poslodavčevo pravno odlučivanje.

Ova pravila privatnosti, verzija 1.0, stupaju na snagu 15. listopada 2026. i opisuju obradu od tog datuma; nisu privola niti retroaktivna pravna osnova za raniju obradu. O promjenama svrha, pružatelja ili bitnih odredbi informirat ćemo korisnike primjereno njihovu značaju, a nove informacije pružiti prije nove obrade kada je to propisano. Nova privola traži se kada je potrebna. Datum i verzija označeni su na dokumentu.