Politika zasebnosti

1. Upravljavec

Upravljavec osebnih podatkov, zbranih na tej spletni strani, v smislu člena 4(7) Splošne uredbe o varstvu podatkov (GDPR, v francoščini RGPD), je Laura Pouyadou EI (Entreprise Individuelle, samostojni podjetnik, mikropodjetnik, SIRET 931 874 952 00019), ki upravlja spletno mesto geteverwear.com. Njen naslov je naveden na strani pravno obvestilo. Za vsa vprašanja o varstvu vaših podatkov nas kontaktirajte na contact@geteverwear.com.

2. Zbrani podatki

Zbiramo naslednje podatke:

• Identifikacijski podatki: ime, priimek, e-poštni naslov, poštni naslov, telefonska številka (ob naročilu ali ustvarjanju računa).
• Podatki o transakcijah: zgodovina naročil, zneski, način plačila (podatki o bančni kartici ne prehajajo prek naših strežnikov; upravlja jih naš ponudnik Stripe).
• Podatki o brskanju: ogledane strani z časovnim žigom, čas branja in delež prebrane strani, spletno mesto, s katerega prihajate, oznake kampanj v naslovu (glejte razdelek 9c), približno mesto, vrsta naprave ter brskalnik in jeziki, ki jih vaš brskalnik samodejno sporoča ob vsaki strani. Ta meritev ne shrani nobenega piškotka, ne bere ničesar v vaši napravi in ne hrani vašega IP naslova: ta se uporabi le za čas zahteve, da izračuna nepovratni tehnični podpis, nato pa se zavrže.
• Podatki, prebrani iz vaše naprave (ločljivost in gostota zaslona, časovni pas, nameščeni jeziki) in celoten IP naslov: samo če se s tem strinjate, in le v dveh primerih, opisanih v razdelkih 9b (papirni letaki) in 9c (merjenje obiskanosti). Zavrnitev ne spremeni ničesar pri vašem brskanju.

3. Nameni obdelave

Vaše podatke uporabljamo za:

• Obdelavo in odpremo vaših naročil
• Upravljanje vašega računa stranke
• Pošiljanje naših novičnikov (če ste se strinjali)
• Izboljševanje naše spletne strani in storitev
• Izpolnjevanje naših zakonskih obveznosti (izdajanje računov, računovodstvo)
• Merjenje učinkovitosti naših kampanj s papirnatimi letaki (glejte razdelek 9b)

4. Pravna podlaga

Vsaka obdelava, opisana na tej strani, temelji na eni od teh štirih podlag:

• Izvajanje pogodbe (člen 6(1)(b) GDPR): vaša naročila, njihova odprema, sledenje, vračila in s tem povezana storitev za stranke.
• Zakonska obveznost (člen 6(1)(c)): hramba računov deset let ter hramba dokazila o vaši izbiri glede sledilnikov, ki ga mora člen 7(1) GDPR zahtevati, da lahko izkažemo.
• Vaše soglasje (člen 6(1)(a) ter člen 82 francoskega zakona o informatiki in svoboščinah, loi Informatique et Libertés, kadar se nekaj bere v vaši napravi): novičnik, nebistveni piškotki, merjenje obiskanosti tretjih oseb, lokacija in prstni odtis ob skeniranju letaka (razdelek 9b) ter razširjena plast merjenja obiskanosti, opisana v razdelku 9c.
• Naš zakoniti interes (člen 6(1)(f)): varnost spletne strani in preprečevanje goljufij, ter merjenje obiskanosti naše lastne trgovine — poznavanje, katere strani se berejo, ali se oseba vrača in preko katere povezave je prišla (razdelek 9c). Za ta interes je bil pripravljen pisni preizkus tehtanja proti vašim pravicam, ki ga hranimo na razpolago CNIL (francoskemu nadzornemu organu za varstvo podatkov) in ga vam pošljemo na preprosto zahtevo na contact@geteverwear.com. Ob vsakem času mu lahko ugovarjate, na isti naslov.

5. Čas hrambe

6. Prejemniki in obdelovalci

Vaših podatkov ne prodajamo, ne oddajamo v najem in ne posredujemo nikomur v komercialne namene. To je izključeno, brez izjeme in ne glede na morebitno nadomestilo. Podatke uporabljamo izključno za lastne analize: razumevanje, kako je naša spletna stran brskana, izboljšanje njene uvrstitve v iskalnikih, njenih strani izdelkov, delovanja in naše prodaje. Edine tretje osebe, ki kaj prejmejo, so tehnični ponudniki, navedeni spodaj, vsak za določeno nalogo, ki je ne bi mogli opraviti sami (gostovanje spletne strani, izvedba plačila, odprema paketa).

Vaši podatki so strogo namenjeni podjetju GetEverwear in njegovim tehničnim obdelovalcem, navedenim spodaj. Vaših podatkov ne prodajamo in ne oddajamo v najem tretjim osebam.

7. Prenosi zunaj Evropske unije

Naši ponudniki imajo sedež v Evropski uniji. Če pride do prenosa zunaj EU (na primer za nekatera analitična orodja), poskrbimo, da je ta urejen s standardnimi pogodbenimi klavzulami, ki jih je potrdila Evropska komisija.

8. Vaše pravice (GDPR)

Na podlagi GDPR imate naslednje pravice:

• Pravica do dostopa do vaših podatkov
• Pravica do popravka
• Pravica do izbrisa (»pravica do pozabe«)
• Pravica do omejitve obdelave
• Pravica do prenosljivosti podatkov
• Pravica do ugovora
• Pravica do preklica soglasja kadar koli

Za uveljavljanje teh pravic nam pišite na contact@geteverwear.com s kopijo osebnega dokumenta. Lahko tudi vložite pritožbo pri CNIL (www.cnil.fr).

9. Piškotki in sledilniki tretjih oseb

Poleg lastnih sejnih piškotkov nalagamo skripte tretjih oseb, ki lahko postavijo lastne piškotke:

• Stripe, za varovanje plačil in odkrivanje goljufij (piškotka __stripe_mid, __stripe_sid). Nepogrešljivo za blagajno.
• Cloudflare Turnstile, zaščita pred botovi v obrazcih za registracijo in prijavo (začasni potrditveni žeton, brez trajnega piškotka). Nepogrešljivo za varnost spletne strani.
• Klepet za storitev za stranke GetEverwear: piškotek chat_session_id (podpisan s HMAC, 30 dni, Strict). Služi samo za ponovno najdbo vašega pogovora med dvema obiskoma, če niste prijavljeni. Brez deljenja s tretjo osebo - sporočila gostujejo na naših lastnih strežnikih (Netcup, Nemčija). Sporočila se hranijo 90 dni, nato se samodejno počistijo. Nepogrešljivo za delovanje klepeta (zato se postavi brez posebnega soglasja, člen 82 zakona o informatiki in svoboščinah, loi Informatique & Libertés — namen, nujno potreben za storitev, ki jo uporabnik zahteva).

Po vašem izrecnem soglasju, naložimo Google Analytics 4 (piškotki _ga, _ga_*), da navzkrižno primerjamo podatke o brskanju z Google Search Console in optimiziramo naravno uvrstitev v iskalnikih. Nastavitve: anonimizacija IP, brez oglaševalskih signalov (allow_google_signals: false), brez personalizacije oglasov (allow_ad_personalization_signals: false). Kategorije so neodvisne: lahko sprejmete anonimno merjenje obiskanosti in zavrnete GA4 ali obratno.

Ko izberete paketomat, zemljevid naloži svojo podlago z strežnikov Fondacije OpenStreetMap. Ta zahteva prenese vaš IP naslov, brez piškotka ali identifikatorja, in se zgodi samo, če odprete ta korak naročila.

Samo po vašem izrecnem soglasju, naložimo oznako Google Ads, ki postavi piškotke za pretvorbe in ponovno trženje Google (_gcl_au, _gcl_aw, _gcl_dc, NID), da izmeri prodajo, ustvarjeno z našimi oglasi Google. Ob nakupu prenese znesek, valuto, številko naročila in vaš zgoščeni e-poštni naslov (SHA-256, nikoli v čistem besedilu). Consent Mode v2 je omogočen: dokler niste privolili v kategorijo „Oglaševanje“, nobeden od teh piškotkov ni postavljen in Googlu se ne pošljejo nobeni oglaševalski podatki.

Celotne podrobnosti so na voljo na strani Upravljanje piškotkov.

9b. Kampanje s papirnatimi letaki

Razdeljujemo natisnjene letake, ki nosijo kratek naslov, na primer geteverwear.com/fr/f1, včasih v obliki QR kode. Ta naslov nam omogoča vedeti, ali je letak kaj koristil. Tukaj je natančno, kaj se zgodi, ko ga odprete.

Kaj beležimo v vseh primerih

Ob nalaganju strani in brez vašega soglasja beležimo: kodo letaka, datum in čas, vaš skrajšan IP naslov (zadnji blok je nadomeščen z ničlo, zato vas ne more več identificirati), državo, vrsto naprave, brskalnik, operacijski sistem in jezik, ki ga sporoča vaš brskalnik. Prav tako v piškotek z imenom _ge_flyer, ki se hrani 13 mesecev, postavimo naključni identifikator, ki služi samo štetju, kolikokrat je ista naprava skenirala naše letake.

Ta zbiranje spada pod merjenje obiskanosti in je izvzeto iz soglasja (priporočilo CNIL z 17. septembra 2020, sprejeto na podlagi člena 82 francoskega zakona o informatiki in svoboščinah, loi Informatique et Libertés): služi izključno merjenju naših kampanj, ni navzkrižno primerjano z nobeno drugo obdelavo in ni posredovano nikomur.

Kaj beležimo samo z vašim soglasjem

Stran vam ponudi izrecno izbiro. Če — in samo če — kliknete „Sprejmem“, dodatno beležimo:

• vaš zemljepisni položaj, kot nam ga sporoči vaš brskalnik, potem ko vas vpraša za drugo dovoljenje (na tej stopnji lahko še vedno zavrnete);
• tehnični prstni odtis vaše naprave: velikost in ločljivost zaslona, nameščeni jeziki, časovni pas, število jeder procesorja, pomnilnik, zaznane pisave, grafična kartica, upodabljanje grafike in zvoka. Skupaj ti elementi tvorijo podpis, ki omogoča prepoznavo vaše naprave tudi brez piškotka;
• vaš celoten IP naslov.

Pravna podlaga: vaše soglasje (člen 6(1)(a) GDPR in člen 82 francoskega zakona o informatiki in svoboščinah, loi Informatique et Libertés). Namen: vedeti, kje in kdaj se naši letaki skenirajo, da lahko nato odločimo, kje jih razdeliti. Prejemniki: nihče. Ti podatki ostanejo na naših strežnikih (Netcup, Nemčija) in se ne prodajajo, ne oddajajo v najem in ne posredujejo oglaševalski mreži. Naša orodja za merjenje tretjih oseb (Google Analytics 4) prejmejo samo kodo letaka in vrstni red skeniranja: niti vaš položaj, niti vaš prstni odtis, niti vaš celoten IP naslov jim ne posredujemo.

Če zavrnete, dostopate do trgovine popolnoma enako. Nato hranimo samo štetje, opisano v prejšnjem odstavku, ter sled vaše zavrnitve — to nam omogoča, da vas ne sprašujemo znova in dokažemo, da smo jo upoštevali.

Obdobje: 13 mesecev. Po tem roku samodejni postopek vsako noč izbriše položaj, prstni odtis, IP naslov in merilni identifikator. Ostane samo vrstica z anonimnim štetjem, ki je sama izbrisana pri 25 mesecih.

Kako si premislite: izbrišite piškotek _ge_flyer v nastavitvah brskalnika in odvzemite dovoljenje za geolokacijo, ki je bilo dodeljeno naši spletni strani (nastavitve strani, razdelek „Lokacija“). Za zahtevo za izbris že shranjenih skeniranj nam pišite na naslov, naveden v razdelku 13, in sporočite vrednost tega piškotka: je edini element, ki nam omogoča najti vaše zapise, saj v tej obdelavi nimamo niti vašega imena niti e-poštnega naslova.

9c. Prepoznavanje obiskov

Da bi vedeli, ali se oseba vrača na spletno stran in preko katerih strani gre, izračunamo tehnični prstni odtis iz treh elementov: vašega IP naslova, zreduciranega na njegovo omrežje (zadnje številke so odstranjene), družine vašega brskalnika in operacijskega sistema — brez njune različice — in vašega jezika. Ti elementi se pomešajo s skrivnim ključem, ki ga poznamo samo mi, nato pa se spremenijo v podpis, ki ga ni mogoče slediti nazaj do prvotnega naslova.

Temu podpisu se dodeli vzdevek, izbran naključno na ponovljiv način — „Only Turquoise Flyingfish“ — ki nam omogoča govoriti o obisku, ne da bi kdaj ravnali z identifikatorjem. Hranimo število obiskov, datum zadnjega, ogledane strani z njihovim časovnim žigom, čas, porabljen na vsaki, in delež prebrane strani, mesto, vrsto naprave ter brskalnik in jezike, ki jih vaš brskalnik samodejno sporoča ob vsaki zahtevi — hranimo jih takšne, kot so, brez skrajševanja.

Kaj nam pove še naslov prihoda. Ko prihajate preko oglasne povezave ali kampanje, ta naslov vsebuje oznake, ki jih hranimo: parametre utm_source, utm_medium, utm_campaign, utm_content, utm_term, ref in identifikatorje klika fbclid (Meta), gclid (Google Ads), ttclid (TikTok) ter msclkid (Microsoft Ads). Povedo nam, katera objava ali katero oglasi so vas pripeljali, česar ime izvornega spletnega mesta samo nikoli ne pove. Zgornji seznam je zaprt: vsak drug parameter, ki je prisoten v naslovu, se zavrže, ne da bi bil prebran. Te oznake sledijo obdobju hrambe poteka brskanja, to je 5 let.

Kaj to ni: datoteka strank. Register obiskov ne vsebuje nobenega imena, nobenega e-poštnega naslova, nobene številke naročila, in nikoli ga ne uporabljamo za prepoznavanje stranke. Ena zadržka, ker je preverljiva: ko se na obvestilo o soglasju odzovete ko ste prijavljeni, dokazilo o tej izbiri hrani vaš tehnični podpis in vaš e-poštni naslov drug ob drugem (glejte razdelek 5). Povezava obeh je tam tehnično mogoča. Služi samo dokazovanju vaše izbire, nikoli analizi vašega brskanja. Pravna podlaga: naš zakoniti interes za merjenje obiskanosti lastne trgovine (člen 6(1)(f) GDPR), za zgoraj opisano plast. Prejemniki: nihče. Ti podatki ostanejo na naših strežnikih in se ne prodajajo ter ne posredujejo oglaševalski mreži.

Mesto in država se izpeljeta iz vašega IP naslova s pomočjo baze podatkov, nameščene na našem lastnem strežniku, DB-IP Lite (licenca CC BY 4.0). Nobena zahteva se ne pošlje nikomur: vaš naslov ne zapusti naših strežnikov. Zunanja storitev geolokacije se ne uporablja več. Dokler ta baza ni nameščena na danem strežniku, preprosto ne določimo vašega mesta; ostane znana samo država, kot jo ob zahtevi posreduje naš varnostni ponudnik.

Dodatna plast, samo če jo sprejmete

Vse zgoraj navedeno se zgodi, ne da bi od vaše naprave kaj zahtevali. Če v našem obvestilu označite polje „merjenje obiskanosti“, dodatno na vsaki strani beležimo:

• vaš celoten IP naslov, takšen kot je — medtem ko se brez vašega soglasja iz njega izpelje samo nepovratni podpis;
• značilnosti, prebrane iz vaše naprave: ločljivost zaslona, gostota pikslov, velikost okna, časovni pas, nameščeni jeziki, število jeder procesorja in razpoložljivi pomnilnik;
• prstni odtis naprave, izračunan iz teh elementov, ki omogoča prepoznavo vaše naprave, tudi če spremenite omrežje.

Zakaj. Ti elementi odgovarjajo na vprašanja, ki jih privzeta plast pusti odprta: ali se ista oseba vrne s telefona in nato z računalnika, ali se naše strani izdelkov pravilno prikazujejo na dejansko uporabljenih zaslonih, ob kateri lokalni uri naši obiskovalci brskajo po spletni strani. O vas iz njih ne sprejemamo nobene odločitve: ni drugačne cene, ni personaliziranih vsebin, ni opomnikov.

Zakaj pet let in zakaj vaš naslov. Smo majhna trgovina z rabljenimi oblačili, naše poslovanje pa sledi letnim časom. Primerjava enega avgusta s prejšnjim letom ne zadostuje: ena sama primerjava ne pove, ali napredujemo ali smo imeli samo srečo. Pet let daje štiri zime in štiri poletja za primerjavo — to je prva lestvica, na kateri lahko rečemo, da se spletna stran izboljšuje ali da je bila odločitev slaba. Glede vašega naslova: ta nam daje približno vaše mesto; pokaže nam, katere regije se zanimajo za naše kose, zato kaj bi zanje morali iskati. To nam pomaga ohranjati trgovino — in raje vam to povemo, kot da bi molčali.

Pravna podlaga: vaše soglasje (člen 6(1)(a) GDPR in člen 82 francoskega zakona o informatiki in svoboščinah, loi Informatique et Libertés — branje česarkoli v vaši napravi zahteva soglasje, brez možne izjeme, tudi za merjenje obiskanosti). Obdobje: 5 let, enako kot preostali potek brskanja, nato samodejni izbris. Prejemniki: nihče. Nič od tega ne zapusti naših strežnikov, ni prodano in ni posredovano oglaševalski mreži.

Če zavrnete, ali če se ne odzovete na obvestilo, se nič s tega seznama ne prebere ali hrani — ne samo, da tega ne beležimo, ampak tega tudi ne poizvedujemo. Spletna stran deluje popolnoma enako: nobena stran, noben izdelek, nobena funkcija ni rezervirana za tiste, ki sprejmejo, in vas ne bomo spraševali znova ob vsakem obisku. Svojo izbiro lahko kadar koli spremenite prek povezave „Upravljanje piškotkov“ v nogi strani; od tega trenutka naprej se ne bere ničesar več.

Za ugovor zoper celoten razdelek 9c, vključno s privzeto plastjo, pišite na contact@geteverwear.com: izbrisali bomo ustrezni podpis in pripadajoči potek brskanja. Lahko tudi brskate v zasebnem oknu ali spremenite omrežje, kar ustvari drugačen podpis.

10. Varnostni ukrepi

Izvajamo naslednje tehnične in organizacijske ukrepe:

• Šifriranje TLS 1.3 na celotni spletni strani (certifikati Let's Encrypt, samodejno obnovljeni)
• Gesla shranjena zgoščena (bcrypt / argon2), nikoli v čistem besedilu
• Nobeni bančni podatki ne prehajajo prek naših strežnikov (tokenizacija Stripe)
• Dnevne šifrirane varnostne kopije v Evropi z 30-dnevnim obračanjem
• Omejen, beležen in z večfaktorsko avtentikacijo (MFA) zaščiten dostop do administracije
• Varnostne posodobitve nameščene v 7 dneh za kritične ranljivosti

11. Obvestilo o kršitvi varnosti podatkov

V primeru kršitve osebnih podatkov, ki lahko povzroči tveganje za vaše pravice in svoboščine, bo GetEverwear obvestil CNIL v 72 urah v skladu s členom 33 GDPR, in vas bo o tem obvestil v najkrajšem možnem času, če je kršitev verjetno povzročila visoko tveganje za vaše pravice.

12. Podatki o mladoletnikih

Naša spletna stran ni namenjena osebam, mlajšim od 16 let. Če ste mlajši od 16 let, prosite starša ali skrbnika, naj naroči za vas. Če bi izvedeli, da so bili zbrani podatki o mladoletniku, mlajšem od 16 let, brez soglasja staršev, bi jih brez odlašanja izbrisali.

13. Stik / Pooblaščena oseba za varstvo podatkov (DPO)

Nobena pooblaščena oseba za varstvo podatkov (DPO) ni imenovana, in to ni pozabljeno. Takšno imenovanje je obvezno (člen 37 GDPR) samo za javne organe, za subjekte, katerih glavna dejavnost obsega spremljanje posameznikov v velikem obsegu, in za tiste, ki obdelujejo občutljive podatke. GetEverwear ne spada v nobenega od teh primerov. Vaše zahteve zato obravnava neposredno upravljavka:

• Splošni e-poštni naslov: contact@geteverwear.com
• Pošta: za pozornost DPO, na naslov, naveden v našem pravnem obvestilu

Imate tudi pravico vložiti pritožbo pri CNIL: www.cnil.fr.

14. Spremembe politike

Ta politika se lahko posodobi, da odraža regulativne ali tehnične spremembe. Datum zadnje posodobitve je naveden na vrhu strani. Za bistvene spremembe vas bomo obvestili po e-pošti, če ste naročeni na naš novičnik.

Ta politika je podana zgolj informativno. Za popolno skladnost jo dajte v pregled pooblaščeni osebi za varstvo podatkov (DPO) ali pravnemu strokovnjaku.