Politika privatnosti

1. Voditelj obrade

Voditelj obrade osobnih podataka prikupljenih na ovoj web-stranici, u smislu članka 4. točke 7. Opće uredbe o zaštiti podataka (GDPR, na francuskom RGPD), je Laura Pouyadou EI (samostalni poduzetnik, mikropoduzetnik, SIRET 931 874 952 00019), vlasnica web-stranice geteverwear.com. Njezina adresa navedena je na stranici pravne obavijesti. Za sva pitanja o zaštiti vaših podataka kontaktirajte nas na contact@geteverwear.com.

2. Prikupljeni podaci

Prikupljamo sljedeće podatke:

• Identifikacijski podaci: ime, prezime, adresa e-pošte, poštanska adresa, broj telefona (pri naručivanju ili izradi korisničkog računa).
• Podaci o transakcijama: povijest narudžbi, iznosi, način plaćanja (bankovni podaci ne prolaze kroz naše poslužitelje; njima upravlja naš pružatelj usluga Stripe).
• Podaci o pregledavanju: pregledane stranice s vremenskom oznakom, trajanje čitanja i udio pregledane stranice, web-stranica s koje dolazite, oznake kampanje prisutne u adresi (vidi odjeljak 9 ter), približan grad, vrsta uređaja, kao i preglednik te jezici koje vaš preglednik sam navodi na svakoj stranici. Ovo mjerenje ne postavlja nijedan kolačić, ništa ne čita na vašem uređaju i ne čuva vašu IP adresu: ona se koristi samo tijekom zahtjeva, za izračun tehničkog nepovratnog potpisa, a zatim nestaje.
• Podaci očitani s vašeg uređaja (rezolucija i gustoća zaslona, vremenska zona, instalirani jezici) i potpuna IP adresa: samo ako pristanete, i to samo u dva slučaja opisana u odjeljcima 9 bis (papirnati letci) i 9 ter (mjerenje posjećenosti). Odbijanje ne mijenja ništa u vašem pregledavanju.

3. Svrhe obrade

Vaši se podaci koriste za:

• Obradu i slanje vaših narudžbi
• Upravljanje vašim korisničkim računom
• Slanje naših newslettera (ako ste pristali)
• Poboljšanje naše web-stranice i usluga
• Ispunjavanje naših zakonskih obveza (izdavanje računa, računovodstvo)
• Mjerenje učinkovitosti naših kampanja papirnatih letaka (vidi odjeljak 9 bis)

4. Pravna osnova

Svaka obrada opisana na ovoj stranici oslanja se na jednu od ovih četiri osnove:

• Izvršenje ugovora (GDPR čl. 6. st. 1. toč. b): vaše narudžbe, njihova dostava, praćenje, povrati i s time povezana korisnička podrška.
• Zakonska obveza (čl. 6. st. 1. toč. c): čuvanje računa deset godina te čuvanje dokaza o vašem izboru u vezi s praćenjem, koji nas članak 7. st. 1. GDPR-a obvezuje moći dokazati.
• Vaša privola (čl. 6. st. 1. toč. a te članak 82. francuskog Zakona o informatici i slobodama, loi Informatique et Libertés, kada se nešto čita na vašem uređaju): newsletter, nebitni kolačići, mjerenje posjećenosti trećih strana, položaj i otisak pri skeniranju letka (odjeljak 9 bis), kao i prošireni sloj mjerenja posjećenosti opisan u odjeljku 9 ter.
• Naš legitimni interes (čl. 6. st. 1. toč. f): sigurnost web-stranice i sprječavanje prijevara, kao i mjerenje posjećenosti naše vlastite trgovine — saznanje koje se stranice čitaju, vraća li se osoba i kojom je poveznicom stigla (odjeljak 9 ter). Taj je interes bio predmet pisanog odvagivanja u odnosu na vaša prava, koje držimo na raspolaganju CNIL-u (francuskom tijelu za zaštitu podataka) i koje vam dostavljamo na jednostavan zahtjev na contact@geteverwear.com. Možete mu se protiviti u bilo kojem trenutku, na istoj adresi.

5. Razdoblje čuvanja

6. Primatelji i izvršitelji obrade

Vaše podatke ne prodajemo, ne iznajmljujemo niti ustupamo nikome u komercijalne svrhe. To je isključeno, bez iznimke i bez ikakve moguće protuusluge. Koristimo ih isključivo za vlastite analize: razumijevanje kako se naša web-stranica pregledava, poboljšanje njezine pozicije u pretraživanju, njezinih stranica proizvoda, njezina funkcioniranja i naše prodaje. Jedine treće strane koje išta primaju jesu tehnički pružatelji navedeni u nastavku, svaki za određeni zadatak koji sami ne bismo mogli obaviti (smještaj web-stranice, naplata plaćanja, slanje paketa).

Vaši su podaci strogo rezervirani za GetEverwear i njegove tehničke izvršitelje obrade navedene u nastavku. Vaše podatke ne prodajemo niti iznajmljujemo trećim stranama.

7. Prijenosi izvan Europske unije

Naši su pružatelji usluga smješteni u Europskoj uniji. U slučaju prijenosa izvan EU (primjerice za neke analitičke alate), pazimo da on bude uređen standardnim ugovornim klauzulama koje je odobrila Europska komisija.

8. Vaša prava (GDPR)

U skladu s GDPR-om imate sljedeća prava:

• Pravo pristupa vašim podacima
• Pravo na ispravak
• Pravo na brisanje („pravo na zaborav”)
• Pravo na ograničenje obrade
• Pravo na prenosivost podataka
• Pravo na prigovor
• Pravo na povlačenje privole u bilo kojem trenutku

Za ostvarivanje tih prava pišite nam na contact@geteverwear.com uz presliku osobne isprave. Također možete podnijeti pritužbu CNIL-u (www.cnil.fr).

9. Kolačići i kolačići trećih strana

Osim naših vlastitih kolačića sesije, učitavamo skripte trećih strana koje mogu postaviti vlastite kolačiće:

• Stripe, za osiguravanje plaćanja i otkrivanje prijevara (kolačići __stripe_mid, __stripe_sid). Neophodni su za blagajnu.
• Cloudflare Turnstile, zaštita od botova na obrascima za registraciju i prijavu (privremeni token provjere, bez trajnog kolačića). Neophodan za sigurnost web-stranice.
• Chat korisničke podrške GetEverwear: kolačić chat_session_id (potpisan HMAC-om, 30 dana, Strict). Služi isključivo za ponovno pronalaženje vašeg razgovora između dvaju posjeta ako niste prijavljeni. Nema dijeljenja s trećom stranom — sustav poruka smješten je na našim vlastitim poslužiteljima (Netcup, Njemačka). Poruke se čuvaju 90 dana, zatim se automatski brišu. Neophodan za rad chata (stoga se postavlja bez posebne privole, članak 82. francuskog Zakona o informatici i slobodama, loi Informatique & Libertés — svrha koja je nužna za uslugu koju korisnik zatraži).

Nakon vaše izričite privole, učitavamo Google Analytics 4 (kolačići _ga, _ga_*) kako bismo unakrsno povezali podatke o pregledavanju s Google Search Console i optimizirali prirodno pozicioniranje u pretraživanju. Konfiguracija: anonimizacija IP adrese, bez oglasnih signala (allow_google_signals: false), bez personalizacije oglasa (allow_ad_personalization_signals: false). Kategorije su neovisne: možete prihvatiti anonimno mjerenje posjećenosti i odbiti GA4, ili obrnuto.

Pri odabiru paketomata prikazana karta učitava svoju podlogu s poslužitelja Zaklade OpenStreetMap. Taj zahtjev prenosi vašu IP adresu, bez kolačića ni identifikatora, i odvija se samo ako otvorite taj korak narudžbe.

Samo nakon vaše izričite privole, učitavamo oznaku Google Ads, koja postavlja kolačiće Googleove konverzije i remarketinga (_gcl_au, _gcl_aw, _gcl_dc, NID) kako bi mjerila prodaju ostvarenu našim oglasima na Googleu. Pri kupnji prenosi iznos, valutu, broj narudžbe i vašu heširanu e-adresu (SHA-256, nikad u čistom obliku). Consent Mode v2 je aktiviran: dok ne pristanete na kategoriju „ Oglašavanje ”, nijedan od tih kolačića se ne postavlja i nikakvi oglasni podaci ne šalju se Googleu.

Potpuni detalji dostupni su na stranici Upravljanje kolačićima.

9 bis. Kampanje papirnatih letaka

Distribuiramo tiskane letke koji nose kratku adresu, npr. geteverwear.com/fr/f1, ponekad u obliku QR koda. Ta nam adresa omogućuje da znamo je li letak bio od ikakve koristi. Evo točno što se događa kad je otvorite.

Što bilježimo u svim slučajevima

Pri učitavanju stranice, i bez traženja vaše privole, bilježimo: kod letka, datum i vrijeme, vašu skraćenu IP adresu (zadnji blok zamijenjen je nulom, pa vas više ne može identificirati), državu, vrstu uređaja, preglednik, operativni sustav i jezik koji navodi vaš preglednik. Također u kolačić pod nazivom _ge_flyer, pohranjen 13 mjeseci, postavljamo nasumični identifikator koji služi isključivo za brojanje koliko je puta isti uređaj skenirao naše letke.

Ovo prikupljanje spada pod mjerenje posjećenosti i izuzeto je od privole (preporuka CNIL-a od 17. rujna 2020., donesena na temelju članka 82. francuskog Zakona o informatici i slobodama, loi Informatique et Libertés): koristi se isključivo za mjerenje naših kampanja, ne uspoređuje se ni s jednom drugom obradom i ne dostavlja se nikome.

Što bilježimo samo uz vašu privolu

Stranica vam nudi izričit izbor. Ako — i samo ako — kliknete na „ Prihvaćam ”, dodatno bilježimo:

• vaš zemljopisni položaj, onako kako ga vam vaš preglednik dostavlja nakon što vas zatraži drugo dopuštenje (u ovoj fazi još možete odbiti);
• tehnički otisak vašeg uređaja: veličina i rezolucija zaslona, instalirani jezici, vremenska zona, broj jezgri procesora, memorija, otkriveni fontovi, grafička kartica, grafičko i zvučno renderiranje. Zajedno ti elementi čine potpis koji omogućuje prepoznavanje vašeg uređaja čak i bez kolačića;
• vaša potpuna IP adresa.

Pravna osnova: vaša privola (čl. 6. st. 1. toč. a GDPR-a i članak 82. francuskog Zakona o informatici i slobodama, loi Informatique et Libertés). Svrha: saznati na kojim mjestima i u koje vrijeme se naši letci skeniraju, kako bismo odlučili gdje ih distribuirati sljedeći put. Primatelji: nitko. Ovi podaci ostaju na našim poslužiteljima (Netcup, Njemačka) i ne prodaju se, ne iznajmljuju niti prosljeđuju oglasnoj mreži. Naši alati za mjerenje trećih strana (Google Analytics 4) primaju samo kod letka i redni broj skeniranja: ni vaš položaj, ni vaš otisak, ni vaša potpuna IP adresa im se ne prenose.

Ako odbijete, pristup trgovini imate na potpuno isti način. Tada čuvamo samo brojanje opisano u prethodnom odlomku, kao i trag vašeg odbijanja — to nam omogućuje da vas ne pitamo ponovno i da dokažemo da smo ga poštovali.

Razdoblje: 13 mjeseci. Nakon tog roka automatski postupak svake noći briše položaj, otisak, IP adresu i identifikator mjerenja. Ostaje samo anonimni redak brojanja, koji se i sam briše nakon 25 mjeseci.

Kako opozvati svoj izbor: obrišite kolačić _ge_flyer u postavkama svog preglednika i povucite dopuštenje za geolokaciju odobreno našoj web-stranici (postavke stranice, odjeljak „ Položaj ”). Da biste zatražili brisanje već zabilježenih skeniranja, pišite nam na adresu navedenu u odjeljku 13. navodeći vrijednost tog kolačića: to je jedini element koji nam omogućuje pronalaženje vaših zapisa, jer u ovoj obradi nemamo ni vaše ime ni vašu e-adresu.

9 ter. Prepoznavanje posjeta

Kako bismo znali vraća li se neka osoba na web-stranicu i kroz koje stranice prolazi, izračunavamo tehnički otisak iz triju elemenata: vaše IP adrese svedene na njezinu mrežu (zadnje znamenke se uklanjaju), obitelji vašeg preglednika i sustava — bez njihove verzije — te vašeg jezika. Ti se elementi miješaju s tajnim ključem poznatim samo nama, zatim se pretvaraju u potpis koji se ne može vratiti do izvorne adrese.

Tom se potpisu dodjeljuje nadimak izvučen nasumično, na ponovljiv način — „Only Turquoise Flyingfish” — što nam omogućuje da govorimo o posjetu, a da nikad ne rukujemo identifikatorom. Čuvamo broj prolazaka, datum posljednjeg, pregledane stranice s vremenskom oznakom, vrijeme provedeno na svakoj i udio pregledane stranice, grad, vrstu uređaja, kao i preglednik te jezike koje vaš preglednik sam navodi uz svaki zahtjev — čuvamo ih onakvima kakvi jesu, bez skraćivanja.

Što nam ciljna adresa dodatno kazuje. Kad dolazite preko oglasne poveznice ili kampanje, ta adresa sadrži oznake koje čuvamo: parametre utm_source, utm_medium, utm_campaign, utm_content, utm_term, ref te identifikatore klika fbclid (Meta), gclid (Google Ads), ttclid (TikTok) i msclkid (Microsoft Ads). Oni nam govore koja nas je objava ili koji je oglas doveo, što naziv samo izvorne web-stranice nikad ne kaže. Gornji popis je zatvoren: svaki drugi parametar prisutan u adresi odbacuje se bez čitanja. Te oznake prate trajanje tijeka pregledavanja, dakle 5 godina.

Što ovo nije: datoteka kupaca. Registar posjeta ne sadrži nijedno ime, nijednu e-adresu, nijedan broj narudžbe i nikad ga ne koristimo za prepoznavanje kupca. Jedna zadrška, jer se može provjeriti: kad odgovorite na banner privole dok ste prijavljeni, dokaz tog izbora zajedno bilježi vaš tehnički potpis i vašu e-adresu (vidi odjeljak 5). Povezivanje je stoga tehnički moguće. Služi samo za dokazivanje vašeg izbora, nikad za analizu vašeg pregledavanja. Pravna osnova: naš legitimni interes za mjerenje posjećenosti naše vlastite trgovine (čl. 6. st. 1. toč. f GDPR-a), za sloj opisan dosad. Primatelji: nitko. Ovi podaci ostaju na našim poslužiteljima i ne prodaju se niti prosljeđuju oglasnoj mreži.

Grad i država izvode se iz vaše IP adrese pomoću baze podataka instalirane na našem vlastitom poslužitelju, DB-IP Lite (licenca CC BY 4.0). Nikakav zahtjev se nikome ne šalje: vaša adresa ne napušta naše poslužitelje. Više se ne koristi nikakva vanjska usluga geolokacije. Dok ta baza nije instalirana na određenom poslužitelju, jednostavno ne određujemo vaš grad; ostaje poznata samo država, onako kako je naš sigurnosni pružatelj prenosi uz zahtjev.

Dodatni sloj, samo ako ga prihvatite

Sve gore navedeno odvija se bez ičega što bi se tražilo od vašeg uređaja. Ako označite kućicu „ mjerenje posjećenosti ” u našem banneru, dodatno bilježimo, na svakoj stranici:

• vašu potpunu IP adresu, kakva jest — dok se bez vaše privole iz nje izvlači samo nepovratni potpis;
• značajke očitane s vašeg uređaja: rezoluciju zaslona, gustoću piksela, veličinu prozora, vremensku zonu, instalirane jezike, broj jezgri procesora i dostupnu memoriju;
• otisak uređaja izračunat iz tih elemenata, koji omogućuje prepoznavanje vašeg uređaja čak i ako promijenite mrežu.

Zašto. Ovi elementi odgovaraju na pitanja koja osnovni sloj ostavlja otvorenima: je li riječ o istoj osobi koja se vraća s telefona, a zatim s računala, prikazuju li se naše stranice proizvoda ispravno na zaslonima koje se stvarno koriste, u koje lokalno vrijeme naši posjetitelji pregledavaju web-stranicu. Iz njih ne izvodimo nikakvu odluku o vama: ni drugačiju cijenu, ni personalizirani sadržaj, ni podsjetnik.

Zašto pet godina, i zašto vaša adresa. Mi smo mala trgovina polovne robe, a naše poslovanje prati godišnja doba. Usporedba jednog kolovoza s onim prethodne godine nije dovoljna: jedna usporedba ne kazuje nam napredujemo li ili smo samo imali sreće. Pet godina daje četiri zime i četiri ljeta za usporedbu — to je prva ljestvica na kojoj se može tvrditi da se web-stranica poboljšava ili da je neka odluka bila loša. Što se tiče vaše adrese, ona nam daje vaš približan grad: pokazuje nam koje regije zanimaju naši komadi, pa time i ono što bismo trebali nabaviti za njih. To nam pomaže da održimo trgovinu — a radije vam to kažemo nego da o tome šutimo.

Pravna osnova: vaša privola (čl. 6. st. 1. toč. a GDPR-a i članak 82. francuskog Zakona o informatici i slobodama, loi Informatique et Libertés — čitanje bilo čega na vašem uređaju zahtijeva privolu, bez moguće iznimke, čak i za mjerenje posjećenosti). Razdoblje: 5 godina, isto kao i ostatak tijeka pregledavanja, zatim automatsko brisanje. Primatelji: nitko. Ništa od toga ne napušta naše poslužitelje, ne prodaje se niti se prosljeđuje oglasnoj mreži.

Ako odbijete, ili ako ne odgovorite na banner, ništa s ovog popisa ne čita se niti čuva — ne samo da to ne bilježimo, nego to ni ne ispitujemo. Web-stranica radi potpuno na isti način: nijedna stranica, nijedan artikl, nijedna funkcija nije rezervirana za one koji prihvate, i nećemo vas ponovno pitati pri svakom posjetu. Svoj izbor možete promijeniti u bilo kojem trenutku putem poveznice „ Upravljanje kolačićima ” u podnožju stranice; od tog trenutka ništa se više ne čita.

Za prigovor na cijeli odjeljak 9 ter, uključujući zadani sloj, pišite na contact@geteverwear.com: brišemo odgovarajući potpis i pripadajući tijek pregledavanja. Također možete pregledavati u privatnom prozoru ili promijeniti mrežu, što stvara drugačiji potpis.

10. Sigurnosne mjere

Provodimo sljedeće tehničke i organizacijske mjere:

• Šifriranje TLS 1.3 na cijeloj web-stranici (certifikati Let's Encrypt automatski se obnavljaju)
• Lozinke se pohranjuju heširane (bcrypt / argon2), nikad u čistom obliku
• Nikakvi bankovni podaci ne prolaze kroz naše poslužitelje (tokenizacija Stripe)
• Dnevne šifrirane sigurnosne kopije u Europi s rotacijom od 30 dana
• Pristup administraciji ograničen je, bilježi se u dnevniku i zaštićen MFA-om
• Sigurnosna ažuriranja primjenjuju se u roku od 7 dana za kritične ranjivosti

11. Obavijest o povredi podataka

U slučaju povrede osobnih podataka koja bi mogla prouzročiti rizik za vaša prava i slobode, GetEverwear će obavijestiti CNIL u roku od 72 sata u skladu s člankom 33. GDPR-a, te će vas o tome obavijestiti u najkraćem roku ako povreda može prouzročiti visok rizik za vaša prava.

12. Podaci o maloljetnicima

Naša web-stranica nije namijenjena osobama mlađima od 16 godina. Ako imate manje od 16 godina, zamolite roditelja ili skrbnika da umjesto vas naruči. Ako bismo saznali za prikupljanje podataka o maloljetniku mlađem od 16 godina bez roditeljske privole, odmah bismo ih izbrisali.

13. Kontakt / Službenik za zaštitu podataka (DPO)

Nije imenovan nijedan službenik za zaštitu podataka, i to nije previd. Takvo imenovanje obvezno je (članak 37. GDPR-a) samo za javna tijela, za subjekte čija se osnovna djelatnost sastoji od opsežnog praćenja osoba te za one koji obrađuju osjetljive podatke. GetEverwear ne ulazi ni u jedan od tih slučajeva. Vaše zahtjeve stoga izravno obrađuje voditeljica obrade:

• Opći e-mail: contact@geteverwear.com
• Pošta: za pažnju službenika za zaštitu podataka, na adresu navedenu u našoj pravnoj obavijesti

Također imate pravo podnijeti pritužbu CNIL-u: www.cnil.fr.

14. Izmjene politike

Ova se politika može ažurirati kako bi odražavala regulatorne ili tehničke promjene. Datum posljednje izmjene navodi se na vrhu stranice. Za bitne izmjene obavijestit ćemo vas e-poštom ako ste pretplaćeni na naš newsletter.

Ova je politika dana samo u informativne svrhe. Dajte je na provjeru službeniku za zaštitu podataka ili pravnom stručnjaku radi potpune usklađenosti.