Izjava o privatnosti

Verzija 2026-09-21 · na snazi od 21. 9. 2026.

Ova izjava opisuje kako se na usluzi ais.eposlovanje.hr (dalje: Usluga) obrađuju osobni podaci, u skladu s Općom uredbom o zaštiti podataka (EU) 2016/679 (dalje: GDPR) i Zakonom o provedbi Opće uredbe o zaštiti podataka.

1. Tko obrađuje podatke

Voditelj obrade je PONDI d.o.o., Ostravska 8, 21000 Split, Hrvatska, OIB 62781739468, MBS 060121488 (Trgovački sud u Splitu). Za sva pitanja o zaštiti podataka i za ostvarivanje svojih prava obratite nam se na podrska@eposlovanje.hr ili poštom na navedenu adresu.

2. Na koga se izjava odnosi

  • Korisnici — poslovni subjekti koji su registrirali korisnički račun, i osobe koje u njihovo ime koriste Uslugu. Za te podatke mi smo voditelj obrade.
  • Posjetitelji javnih stranica Usluge.
  • Vlasnici bankovnih računa koje je Korisnik povezao s Uslugom (u pravilu klijenti Korisnika). Te podatke obrađujemo u ime i po nalogu Korisnika, kao izvršitelj obrade; voditelj obrade je Korisnik — poslovni subjekt koji vas je zamolio da odobrite pristup računu. Njemu se obratite za informacije o obradi i za ostvarivanje svojih prava; u tome ćemo mu pomoći. Pristup računu možete u svakom trenutku opozvati i izravno u svojoj banci.

3. Ukratko: što pohranjujemo, a što ne

Ne pohranjujemo:

  • stanja i promet po bankovnim računima — prosljeđujemo ih Korisniku u trenutku dohvata i ne čuvamo ih;
  • podatke kojima se vlasnik računa prijavljuje u banku — prijava se obavlja izravno u banci i mi je ne vidimo;
  • brojeve ni druge podatke platnih kartica — kartično plaćanje obavlja se na stranicama platnog posrednika;
  • lozinke i API ključeve u čitljivom obliku — čuvamo samo njihov kriptografski sažetak.

Pohranjujemo samo ono što je nužno za rad, naplatu i sigurnost Usluge — potanko u točki 4.

4. Koje podatke obrađujemo, zašto i koliko dugo

Podaci Svrha Pravna osnova Rok čuvanja
Korisnički račun: e-adresa, sažetak lozinke, naziv, OIB i adresa poslovnog subjekta, postavke obavijesti; kod prijave Google računom i Googleov identifikator računa; vrijeme i verzija prihvaćenih Uvjeta Otvaranje i vođenje korisničkog računa, prijava, komunikacija o Usluzi Izvršenje ugovora (čl. 6. st. 1. t. b GDPR-a) Za trajanja ugovora, a nakon toga do isteka zakonskih rokova čuvanja i zastare mogućih zahtjeva
Naplata: nadoplate i potrošnja Kredita, iznosi, poziv na broj, identifikatori platnih transakcija, izdani računi Naplata Usluge, izdavanje računa, vođenje poslovnih knjiga Izvršenje ugovora; zakonska obveza (čl. 6. st. 1. t. c) — propisi o računovodstvu i porezima Najmanje 11 godina, sukladno propisima o računovodstvu
Obavijesti platnog posrednika o provedenim uplatama (mogu sadržavati e-adresu platitelja i zadnje četiri znamenke kartice) Pouzdano knjiženje uplata Izvršenje ugovora; legitimni interes (čl. 6. st. 1. t. f) — točnost naplate 90 dana od obrade
Sigurnosni zapisi: pokušaji registracije i prijave (e-adresa, IP adresa, država izvedena iz IP adrese, oznaka preglednika, ishod); pozivi API-ja (ključ, vrijeme, metoda, putanja, status, IP adresa, država); IP adresa zadnje uporabe API ključa Zaštita od zlouporabe i neovlaštenog pristupa, otklanjanje pogrešaka, dokazivanje uporabe Legitimni interes — sigurnost Usluge i korisnika 90 dana
Evidencija poslane e-pošte: e-adresa primatelja, predmet, status isporuke Pouzdana dostava obavijesti o Usluzi Legitimni interes — dokaz dostave 90 dana
Povezani bankovni računi (kao izvršitelj obrade): IBAN, ime odnosno naziv vlasnika računa, valuta, banka, tehnički detalji računa kako ih dostavi banka, identifikatori i status suglasnosti Uspostava i održavanje veze s računom, prikaz povezanih računa Korisniku, naplata Po nalogu Korisnika kao voditelja obrade (čl. 28. GDPR-a) Dok Korisnik ne obriše vezu s bankom (rekviziciju) — brisanjem veze ovi se podaci trajno uklanjaju. Veza koju je sustav samo deaktivirao (npr. zbog nedovoljnog salda) zadržava podatke dok je Korisnik ne obriše.
Stanja i promet po računima Prosljeđivanje Korisniku na njegov zahtjev Po nalogu Korisnika kao voditelja obrade Ne pohranjuju se

Podatke za otvaranje korisničkog računa i naplatu potrebno je dati jer bez njih ne možemo sklopiti ni izvršavati ugovor. Podatke ne koristimo za oglašavanje, ne prodajemo ih i ne izrađujemo profile korisnika.

5. Kome podatke otkrivamo

Podatke dostavljamo samo primateljima nužnima za rad Usluge i samo u potrebnom opsegu:

  • vanjskom pružatelju bankovnih podataka putem kojeg se uspostavlja veza s bankom — odabrana banka, tehnički identifikatori zahtjeva i adresa povratka; kao naš podizvršitelj obrađuje i podatke o računu koje dostavlja banka;
  • bankama u kojima vlasnik računa daje suglasnost;
  • platnom posredniku Stripe — iznos i oznaka nadoplate; podatke o kartici unosite izravno kod njega i on ih obrađuje kao samostalni voditelj obrade;
  • Googleu — samo ako se prijavljujete Google računom (od Googlea tada primamo identifikator računa, e-adresu i ime) te pri slanju registracijske forme, kada se radi zaštite od automatiziranih registracija koristi Google reCAPTCHA; font koji stranice koriste učitava se s Googleovih poslužitelja, koji pritom vide IP adresu i oznaku preglednika;
  • Poreznoj upravi i drugim nadležnim tijelima kada nas na to obvezuju propisi (npr. fiskalizacija računa);
  • pravnim i računovodstvenim savjetnicima, obvezanima na povjerljivost, kada je to potrebno.

Račune izdajemo i e-poštu šaljemo vlastitim sustavima. Ne koristimo alate za analitiku ni praćenje posjetitelja.

6. Prijenos u treće zemlje

Podatke pohranjujemo na poslužiteljima kojima sami upravljamo, smještenima u podatkovnom centru u Europskoj uniji, i ne prenosimo ih izvan Europskog gospodarskog prostora. Neki od primatelja iz točke 5. (Stripe, Google) mogu podatke obrađivati i u Sjedinjenim Američkim Državama ili drugim trećim zemljama; takvi se prijenosi temelje na odluci Europske komisije o primjerenosti (Okvir za privatnost podataka EU–SAD) ili na standardnim ugovornim klauzulama.

7. Kolačići

Koristimo isključivo kolačiće nužne za rad Usluge, za koje prema propisima nije potrebna privola: za održavanje prijave, pamćenje odabranog jezika sučelja te zaštitu obrazaca i postupka prijave od krivotvorenih zahtjeva. Ne koristimo analitičke ni oglašivačke kolačiće.

Pri slanju registracijske forme učitava se Google reCAPTCHA, a pri kartičnom plaćanju otvara se stranica platnog posrednika; te usluge mogu postaviti vlastite kolačiće, nužne za zaštitu od zlouporabe i za provedbu plaćanja.

8. Kako štitimo podatke

PONDI d.o.o. ima certificiran sustav upravljanja informacijskom sigurnošću prema normi HRN EN ISO/IEC 27001:2023 i sustav upravljanja kvalitetom prema normi HRN EN ISO 9001:2015. Usklađenost redovito provjerava neovisno certifikacijsko tijelo. Među mjerama koje primjenjujemo:

  • sav promet odvija se šifriranom vezom (HTTPS, uz HSTS);
  • podaci na poslužiteljima pohranjeni su šifrirano;
  • lozinke i API ključevi čuvaju se isključivo kao kriptografski sažeci; API ključ prikazuje se samo jednom;
  • API ključevi mogu se ograničiti na IP adrese, raspone ili države te imaju rok valjanosti i mogućnost opoziva;
  • ograničenje broja zahtjeva, automatska blokada sumnjivih IP adresa i zaključavanje računa nakon uzastopnih neuspjelih prijava;
  • pristup podacima imaju samo ovlaštene osobe Pružatelja, obvezane na povjerljivost, u mjeri potrebnoj za rad i podršku.

Nijedan sustav nije potpuno siguran. O povredi osobnih podataka koja bi mogla ugroziti vaša prava obavijestit ćemo vas i nadzorno tijelo u skladu s GDPR-om.

9. Vaša prava

U skladu s GDPR-om imate pravo:

  • dobiti potvrdu obrađujemo li vaše podatke i pristupiti im;
  • zatražiti ispravak netočnih ili dopunu nepotpunih podataka;
  • zatražiti brisanje podataka kada za njihovo čuvanje više nema pravne osnove;
  • zatražiti ograničenje obrade;
  • zatražiti prijenos podataka koje ste nam dali, u strukturiranom, strojno čitljivom obliku;
  • uložiti prigovor na obradu koja se temelji na našem legitimnom interesu.

Zahtjev pošaljite na podrska@eposlovanje.hr. Odgovorit ćemo u roku od mjesec dana; rok se u složenim slučajevima može produljiti za najviše dva mjeseca, o čemu ćemo vas obavijestiti. Prije postupanja možemo zatražiti potvrdu vašeg identiteta. Podatke koje smo dužni čuvati na temelju propisa (npr. račune) ne možemo izbrisati prije isteka propisanog roka.

Ako smatrate da obrada vaših podataka krši propise, možete podnijeti pritužbu Agenciji za zaštitu osobnih podataka, Selska cesta 136, 10000 Zagreb, azop.hr.

10. Automatizirano odlučivanje

Ne donosimo odluke koje bi se temeljile isključivo na automatiziranoj obradi i proizvodile pravne učinke za pojedinca. Sigurnosni sustav može automatski i privremeno blokirati IP adresu s koje dolazi sumnjiv promet; ako mislite da ste blokirani greškom, javite nam se.

11. Izmjene izjave

Izjavu možemo izmijeniti kada se promijeni način obrade ili propisi. Važeća verzija uvijek je objavljena na ovoj stranici, a o bitnim izmjenama registrirane korisnike obavještavamo e-poštom. Korištenje Usluge uređuju Uvjeti korištenja.