synthei.onNatrag

Politika privatnosti

Verzija 1.2 Beta - na snazi od 01. rujna 2026. godine

Ova Politika privatnosti opisuje kako se obrađuju osobni podaci u vezi s javnom web-stranicom, registracijom korisničkog računa, korištenjem softvera synthei.on u beta fazi, korisničkom podrškom te naplatom pretplate kada je primjenjiva. Obrada se provodi u skladu s Uredbom (EU) 2016/679 (Opća uredba o zaštiti podataka — GDPR), Zakonom o provedbi Opće uredbe o zaštiti podataka (NN 42/2018) te, kada je primjenjivo, pravilima o pohrani podataka i pristupu podacima u terminalnoj opremi korisnika iz hrvatskog Zakona o elektroničkim komunikacijama.

1. Voditelj obrade i kontakt

Voditelj obrade za obrade opisane u odjeljku 5. ove Politike jest Luka Bašić, fizička osoba koja upravlja beta verzijom softvera synthei.on, Republika Hrvatska. Kontakt za sva pitanja o zaštiti podataka jest lukasolicc@gmail.com.

synthei.on naziv je softvera odnosno usluge i nije zaseban pravni subjekt. U beta fazi nije imenovan zaseban službenik za zaštitu podataka (DPO), pa se sva pitanja, zahtjevi i prigovori upućuju na navedenu adresu e-pošte.

2. Kada nastupamo kao voditelj, a kada kao izvršitelj obrade

(a) Voditelj obrade za vlastite svrhe. Luka Bašić voditelj je obrade za osobne podatke koji nastaju registracijom i vođenjem računa vlasnika i zaposlenika računovodstvenog ureda, za kontaktne i poslovne podatke samog ureda, kontakt za naplatu, evidencije prihvata pravnih dokumenata, marketinšku privolu, sigurnosne i tehničke zapise, podršku, metapodatke o plaćanju koje synthei.on zaprimi te povratne informacije prikupljene u beta fazi.

(b) Izvršitelj obrade. Za osobne podatke koje računovodstveni ured unosi ili učitava u softver o svojim klijentima, zaposlenicima, kontaktima, poslovnim partnerima, korisnicima portala i u dokumentima, računovodstveni ured jest voditelj obrade, a Luka Bašić odnosno synthei.on nastupa kao izvršitelj obrade te takve podatke obrađuje isključivo prema dokumentiranim uputama ureda, kako je uređeno Ugovorom o obradi podataka (DPA).

Ova Politika ne zamjenjuje obavijest o privatnosti koju računovodstveni ured, kao voditelj obrade, duguje vlastitim ispitanicima. Za korisnike portala koje ured poziva, podaci se prvenstveno obrađuju prema uputama ureda, a ograničena obrada u vlastitoj ulozi voditelja provodi se samo u mjeri nužnoj za sigurnost sustava, sprječavanje zlouporabe i ispunjenje zakonskih obveza.

3. Na koga se Politika odnosi

Politika se odnosi na posjetitelje javne web-stranice, na vlasnike i zaposlenike računovodstvenih ureda koji koriste softver, na osobe koje komuniciraju s podrškom, na osobe za kontakt i osobe zadužene za naplatu, na osobe koje daju povratne informacije u beta fazi te, u ograničenom opsegu vezanom uz sigurnost i administraciju pristupa, na korisnike portala. Za osobne podatke sadržane u korisničkom sadržaju primjenjuje se režim izvršitelja obrade iz odjeljka 2(b) i DPA-a.

4. Kategorije osobnih podataka i izvori

  • Identifikacijski i kontaktni podaci: ime i prezime, poslovna adresa e-pošte te telefonski broj, ako ga korisnik unese
  • Podaci poslovnog subjekta (ureda) koji mogu predstavljati osobne podatke, osobito kod obrtnika i samostalnih djelatnosti: naziv, OIB, adresa i kontakt za naplatu
  • Korisnički račun i autentifikacija: adresa e-pošte, identifikatori računa te metapodaci sesije i tokena. synthei.on ne pohranjuje lozinke u čitljivom obliku
  • Pretplata i postupak naplate: paket, obračunski interval, broj sjedala, identifikatori transakcije i pretplate, status te metapodaci o naplati koje zaprimimo od Stripea. Puni podaci platne kartice ne pohranjuju se u softveru synthei.on
  • Pravne evidencije i privole: vrsta i verzija dokumenta, zapis prihvata i vremenska oznaka, zasebna evidencija marketinške privole te zapis privole i odricanja u koraku naplate, uključujući IP adresu kada se bilježi
  • Korištenje i sigurnost: operativni zapisi i revizijski zapisi (audit), statusi i promjene zapisa, tehničke pogreške, sigurnosni događaji te kriptografski sažeti (hashirani) identifikatori za ograničavanje broja pokušaja. Ne bilježi se svako otvaranje ili čitanje pojedinog dokumenta
  • Komunikacija i podrška: sadržaj poruka, upita i zahtjeva koje nam uputite
  • Povratne informacije u beta fazi: primjedbe, prijedlozi i prijave problema
  • Tehnički podaci preglednika, uređaja i mreže koji se pri isporuci usluge nužno obrađuju u okviru usluga smještaja i tehničke infrastrukture.

Podatke prikupljamo neposredno od ispitanika, od računovodstvenog ureda koji poziva ili administrira korisnika, automatski pri korištenju softvera te, kada je primjenjivo, od Stripea i tehničkih pružatelja usluga.

Podaci potrebni za registraciju, autentifikaciju, pružanje ugovorene usluge i, kada je naplata aktivirana, za njezinu provedbu predstavljaju ugovorni zahtjev odnosno nužni su za sklapanje i izvršenje ugovora. Bez tih podataka nije moguće otvoriti korisnički račun, pružiti odgovarajuće funkcionalnosti niti provesti naplatu. Podaci označeni kao neobvezni nisu uvjet za korištenje osnovne usluge, osim ako je za pojedinu funkcionalnost jasno navedeno drukčije.

5. Svrhe i pravne osnove obrade

A) Otvaranje računa, uvođenje u rad, pružanje i administriranje usluge. Pravna osnova: čl. 6(1)(b) GDPR-a — izvršenje ugovora i poduzimanje radnji prije sklapanja ugovora na zahtjev ispitanika

B) Sigurnost, sprječavanje zlouporabe, ograničavanje broja pokušaja prijave, revizijski zapisi (audit) nužni za sigurnost te dijagnostika i stabilnost beta verzije. Pravna osnova: čl. 6(1)(f) GDPR-a — legitimni interes za sigurnu, stabilnu i pouzdanu uslugu, zaštitu podataka korisnika i njihovih ispitanika te sprječavanje neovlaštenog pristupa. Obrada je ograničena na ono što je nužno za tu svrhu

C) Podrška i komunikacija. Pravna osnova: čl. 6(1)(b) GDPR-a kada je komunikacija vezana uz ugovorni odnos, odnosno čl. 6(1)(f) GDPR-a — legitimni interes za odgovaranje na legitimne upite i vođenje poslovne komunikacije

D) Pravne evidencije, dokaz prihvata dokumenata te postavljanje, ostvarivanje i obrana pravnih zahtjeva. Pravna osnova: čl. 6(1)(c) GDPR-a kada postoji zakonska obveza i/ili čl. 6(1)(f) GDPR-a — legitimni interes za dokazivanje usklađenosti i obranu pravnih zahtjeva

E) Naplata pretplate te porezne i računovodstvene obveze. Pravna osnova: čl. 6(1)(b) i čl. 6(1)(c) GDPR-a, kada je primjenjivo. Stripe kao pružatelj platnih usluga može, ovisno o konkretnoj obradi, djelovati kao izvršitelj obrade koji podatke obrađuje po uputama Pružatelja radi izvršenja platne transakcije, odnosno kao zaseban voditelj obrade za vlastite regulatorne, sigurnosne, protuprijevarne i druge samostalno određene svrhe; konkretne uloge ovise o korištenoj Stripe usluzi i njegovu ugovornom i privatnostnom okviru

F) Marketinške obavijesti i informativni bilten. Pravna osnova jest isključivo dobrovoljna privola, čl. 6(1)(a) GDPR-a. Privolu možete povući u svakom trenutku, jednako jednostavno kao što ste je dali, bez ikakva utjecaja na korištenje usluge i bez utjecaja na zakonitost obrade prije povlačenja

G) Povratne informacije u beta fazi i poboljšanje proizvoda. Pravna osnova: čl. 6(1)(f) GDPR-a — legitimni interes za razumijevanje korištenja, otklanjanje nedostataka i poboljšanje stabilnosti. Ako bismo pokrenuli posebnu aktivnost koja zahtijeva privolu, ona se pribavlja zasebno i unaprijed.

Privola se ne koristi kao pravna osnova za obradu koja je nužna za otvaranje računa, pružanje usluge ili ispunjenje zakonskih obveza.

6. Podaci koje korisnik unosi o svojim klijentima i drugim osobama

Na sve osobne podatke koje ured unosi u softver primjenjuje se režim izvršitelja obrade iz odjeljka 2(b). Takvi podaci mogu obuhvaćati identifikacijske i kontaktne podatke, financijske i računovodstvene podatke, dokumente, rokove i obveze, komunikaciju te druge kategorije koje ured samostalno odluči unijeti.

synthei.on za vlastitu administraciju ne traži i ne zahtijeva posebne kategorije osobnih podataka iz čl. 9. GDPR-a. Ako ih ured učita u korisnički sadržaj, dužan je osigurati odgovarajuću pravnu osnovu i ispuniti sve svoje obveze prema GDPR-u. Opseg, svrha i način obrade takvih podataka određeni su dokumentiranim uputama ureda i Ugovorom o obradi podataka.

7. Primatelji i pružatelji usluga

  • Supabase — autentifikacija, baza podataka, pohrana datoteka i prateće infrastrukturne usluge
  • Resend — slanje transakcijskih poruka e-poštom
  • Stripe — pružatelj platnih usluga i obrađivač plaćanja; ovisno o konkretnoj obradi može djelovati kao izvršitelj obrade po uputama Pružatelja radi izvršenja platne transakcije ili kao zaseban voditelj obrade za vlastite regulatorne, sigurnosne i protuprijevarne svrhe
  • Lovable / Lovable Cloud — usluge smještaja, isporuka softvera te prateća tehnička, konektorska i dijagnostička infrastruktura u aktualnoj beta arhitekturi, kada je primjenjivo
  • Stručni savjetnici i nadležna tijela — isključivo kada je to nužno radi ispunjenja zakonske obveze ili radi postavljanja i obrane pravnih zahtjeva.

Osobni podaci ne prodaju se. Luka Bašić kao voditelj obrade ne ustupa osobne podatke trećim stranama radi njihova neovisnog oglašavanja.

8. Prijenosi izvan Europskoga gospodarskog prostora

Pojedini pružatelji usluga ili njihovi podizvršitelji mogu obrađivati podatke izvan Europskoga gospodarskog prostora. Kada je GDPR primjenjiv, takav se prijenos provodi na temelju odluke o primjerenosti ili odgovarajućih zaštitnih mjera iz poglavlja V. GDPR-a, uključujući standardne ugovorne klauzule (SCC) kada su primjenjive.

Prema vlastitoj dokumentaciji Resend podatke pohranjuje u Sjedinjenim Američkim Državama uz odgovarajući ugovor o obradi i mehanizam standardnih ugovornih klauzula. Ugovor o obradi podataka koji pruža Supabase predviđa uloge izvršitelja i podizvršitelja te uključuje standardne ugovorne klauzule za relevantne prijenose. Stripe prijenose provodi prema svojim pravilima privatnosti, ugovornom okviru za obradu podataka i vlastitim mehanizmima prijenosa, uključujući standardne ugovorne klauzule kada su primjenjive, pri čemu njegova uloga ovisi o konkretnoj obradi. Za Lovable / Lovable Cloud lokacije obrade i primjenjive zaštitne mjere ovise o korištenoj infrastrukturi i ugovornom okviru toga pružatelja.

9. Rokovi čuvanja

  • Podaci računa i ugovornog odnosa: tijekom trajanja računa i usluge te nakon toga onoliko koliko je nužno radi ispunjenja zakonskih obveza, naplate, rješavanja sporova i obrane pravnih zahtjeva
  • Pravni prihvati i evidencije privola: koliko je potrebno radi dokazivanja usklađenosti i pravnih zahtjeva, uz primjenu mjerodavnih zakonskih rokova
  • Marketinška privola: do povlačenja privole; minimalan dokaz o danoj odnosno povučenoj privoli može se čuvati koliko je potrebno radi dokazivanja usklađenosti
  • Sigurnosni i tehnički zapisi: ograničeno razdoblje razmjerno svrsi sigurnosti i obradi incidenata, prema internom registru rokova čuvanja
  • Nedovršeno uvođenje u rad: prema internom registru rokova čuvanja i pravilima automatskog čišćenja nedovršenih registracija
  • Podaci o plaćanju i naplati: prema ugovornim i zakonskim rokovima; Stripe primjenjuje vlastite rokove za obrade koje provodi u svojoj ulozi prema primjenjivom ugovornom okviru.

Korisnički sadržaj. Nakon prestanka pretplate primjenjuje se razdoblje od 30 dana tijekom kojega je račun u ograničenom načinu rada, samo za čitanje, i tijekom kojega je moguć puni izvoz podataka. Tijekom toga roka vlasnik računa može zatražiti i ranije brisanje. Ako do isteka tih 30 dana ne postoji druga valjana uputa vlasnika, podaci ureda brišu se iz produkcijskog sustava prema zadanom postupku prestanka usluge, uz iznimke koje nalaže mjerodavno pravo i uz cikluse sigurnosnih kopija pružatelja infrastrukture.

Sigurnosne kopije. Izbrisani podaci mogu privremeno postojati u sigurnosnim kopijama infrastrukture do isteka redovitog ciklusa rotacije i brisanja kopija kod pružatelja infrastrukture. Tijekom toga razdoblja takve kopije nisu dostupne za redovnu operativnu upotrebu.

10. Sigurnost

Primjenjuju se razumne tehničke i organizacijske mjere primjerene riziku: šifriranje podataka u prijenosu (TLS) kada je primjenjivo, zaštita podataka u mirovanju na infrastrukturnoj razini pružatelja, izolacija podataka po uredu na razini baze (sigurnost na razini retka, Row Level Security), kontrole pristupa temeljene na ulogama i ovlastima, privatna pohrana datoteka uz autorizirane tokove pristupa, operativni zapisi iz kojih su uklonjeni osjetljivi podaci, ograničavanje broja pokušaja prijave te postupci za obradu incidenata i čišćenje podataka.

Nijedan sustav prijenosa ili pohrane podataka nije apsolutno siguran, pa se apsolutna sigurnost ne može jamčiti.

11. Pohrana u pregledniku i kolačići

synthei.on koristi nužnu lokalnu pohranu u pregledniku (localStorage) za održavanje prijavljene sesije i za rad funkcionalnosti koje korisnik izričito zatraži. Autentifikacija se, dakle, ne oslanja isključivo na kolačiće.

Ako Stripe ili drugi vanjski pružatelj postupka naplate koristi vlastite kolačiće ili lokalnu pohranu, na njih se primjenjuju njihove informacije o privatnosti i kolačićima.

Našim kodom trenutačno se na javnu stranicu ne postavljaju oglašivački kolačići ni analitički kolačići za praćenje ponašanja koji nisu nužni. Ako ih ubuduće uvedemo, prije aktivacije osigurat ćemo odgovarajuću obavijest i, kada je to zakonom propisano, privolu.

12. Automatizirano donošenje odluka i profiliranje

Ne donose se odluke koje se temelje isključivo na automatiziranoj obradi, uključujući izradu profila, a koje bi proizvodile pravne učinke na ispitanika ili na njega slično značajno utjecale u smislu čl. 22. GDPR-a. Automatizacije unutar proizvoda, primjerice ponavljajući zahtjevi, podsjetnici ili eskalacije, operativne su funkcije koje konfigurira i koristi sam ured te ne predstavljaju takvo odlučivanje softvera synthei.on o ispitaniku.

13. Prava ispitanika

  • Pravo na pristup osobnim podacima i na kopiju podataka (čl. 15.)
  • Pravo na ispravak netočnih i dopunu nepotpunih podataka (čl. 16.)
  • Pravo na brisanje kada su ispunjeni uvjeti (čl. 17.)
  • Pravo na ograničenje obrade (čl. 18.)
  • Pravo na prenosivost podataka kada su uvjeti ispunjeni (čl. 20.)
  • Pravo na prigovor na obradu koja se temelji na legitimnom interesu (čl. 21.)
  • Pravo na povlačenje privole u bilo kojem trenutku, bez utjecaja na zakonitost prethodne obrade (čl. 7(3))
  • Pravo da se na ispitanika ne odnosi odluka utemeljena isključivo na automatiziranoj obradi, kada je to primjenjivo (čl. 22.).

Navedena prava nisu apsolutna: njihov opseg ovisi o pravnoj osnovi obrade te o iznimkama i ograničenjima predviđenima GDPR-om i mjerodavnim propisima.

Za osobne podatke koje računovodstveni ured obrađuje kao voditelj obrade ispitanik se u pravilu treba najprije obratiti tom uredu. synthei.on kao izvršitelj obrade pomaže voditelju u ispunjavanju zahtjeva ispitanika u skladu s Ugovorom o obradi podataka.

14. Kako ostvariti prava

Zahtjev možete uputiti na lukasolicc@gmail.com. Radi zaštite podataka možemo zatražiti razumnu potvrdu identiteta podnositelja. Odgovaramo bez nepotrebnog odgađanja i u rokovima predviđenima GDPR-om. Na očito neosnovane ili pretjerane zahtjeve primjenjuju se pravila iz čl. 12(5) GDPR-a.

15. Pritužba nadzornom tijelu

Neovisno o navedenom, imate pravo podnijeti pritužbu nadzornom tijelu u skladu s čl. 77. GDPR-a. U Republici Hrvatskoj nadležno nadzorno tijelo jest Agencija za zaštitu osobnih podataka (AZOP), a njezina je službena web-stranica azop.hr.

16. Povrede osobnih podataka

Svaki sigurnosni incident koji može predstavljati povredu osobnih podataka procjenjuje se bez odgađanja. Kada GDPR to zahtijeva, o povredi se obavješćuje nadležno nadzorno tijelo i, kada je propisano, pogođeni ispitanici, u rokovima i na način propisan člancima 33. i 34. GDPR-a. Ako nastupamo kao izvršitelj obrade, o povredi bez odgađanja obavješćujemo voditelja obrade u skladu s Ugovorom o obradi podataka.

17. Promjene ove Politike

Značajne promjene ove Politike označavaju se novom verzijom i objavljuju s naznakom datuma stupanja na snagu, unutar softvera i na web-stranici, a prema potrebi i izravnom obaviješću. Ako se u budućnosti promijeni identitet voditelja obrade, takva promjena zahtijeva prethodno ažuriranje ove Politike prije nego što novi subjekt preuzme ulogu voditelja obrade.

18. Napomena o beta fazi

Činjenica da je softver u beta fazi ne umanjuje prava ispitanika ni obveze prema GDPR-u. Ova se Politika primjenjuje tijekom korištenja softvera u beta fazi. Obrada osobnih podataka ne temelji se na činjenici da je proizvod u beta fazi, nego isključivo na pravnim osnovama navedenima uz pojedine svrhe u odjeljku 5.