Politika privatnosti

1. Ko smo mi

ShiftBuzz je platforma za planiranje smena za poslove koji rade u smenama: kafiće, restorane, barove, hotele, trgovinu i operatere sa više lokacija. Trenutno je dostupna kao pilot program sa ranim pristupom. Platformu poseduje i njome upravlja H Roark Holding, privredno društvo registrovano u Estoniji, koje je rukovalac odgovoran za lične podatke opisane u ovoj politici, osim kada nastupamo kao obrađivač (vidi odeljak 12).

U ovoj politici, „ShiftBuzz“, „mi“, „nas“ i „naš“ označavaju H Roark Holding. „Vi“ označava fizičko lice čije lične podatke obrađujemo — bilo da ste vlasnik računa, član osoblja koga je dodao poslovni korisnik, posetilac sajta ili neko ko nam se obratio. Nismo imenovali zakonskog lica za zaštitu podataka (DPO), jer to nije obavezno; svi upiti u vezi sa zaštitom podataka obrađuju se na adresi [email protected].

2. Podaci koje prikupljamo

Prikupljamo samo ono što nam je potrebno da servis za planiranje smena radi i da ga poboljšavamo. Većinu podataka dajete vi ili firma u kojoj radite; deo se generiše automatski dok koristite proizvod.

Posebne kategorije podataka. ShiftBuzz nije napravljen da prikuplja posebne kategorije podataka (kao što su zdravlje, veroispovest ili članstvo u sindikatu). Nemojte upisivati takve podatke u polja za slobodan tekst. Tamo gde sertifikat ili beleška o dostupnosti može da ukaže na osetljive informacije, firme su odgovorne da obezbede zakonit osnov po članu 9 GDPR-a pre nego što ih unesu.

3. Kako koristimo podatke

Lične podatke koristimo u sledeće svrhe i ni u jednu drugu bez prethodnog obaveštenja:

• Pružanje servisa: otvaranje i vođenje računa, izrada i objava rasporeda, zamene smena i tržište slobodnih smena, i održavanje tima usklađenim.
• Obaveštavanje tima: push obaveštenja i mejlovi o smenama, zamenama, odobrenjima i aktivnostima tima.
• Podrška i povraćaj računa: odgovori na zahteve, resetovanje lozinki i pomoć pri povraćaju računa.
• Poboljšanje proizvoda: razumevanje kako se funkcije koriste (zbirno gde je moguće), ispravljanje grešaka i poboljšanje stabilnosti.
• Naplata i administracija: vođenje pretplata, fakturisanja i naše poslovne evidencije.
• Bezbednost i pravo: zaštita platforme od zloupotrebe i ispunjavanje zakonskih i regulatornih obaveza.
• Marketing: slanje našeg newsletter-a i novosti o proizvodu, tamo gde ste to zatražili (vidi odeljak 6).

Šta nikada ne radimo. Ne prodajemo i ne iznajmljujemo lične podatke, ne delimo ih sa trećim stranama za njihovo oglašavanje i ne koristimo podatke o rasporedu osoblja ni za jednu svrhu izvan pružanja servisa poslodavcu koji njima upravlja.

4. Pravni osnovi obrade

Na osnovu člana 6 GDPR-a, za svaku svrhu se oslanjamo na jedan od sledećih pravnih osnova:

O legitimnim interesima. Tamo gde se oslanjamo na legitimne interese, odmerili smo naš interes da vodimo i poboljšavamo pouzdan servis u odnosu na vaša prava i slobode i u skladu s tim ograničili obim podataka. Možete podneti prigovor u svakom trenutku (odeljak 11) i prestaćemo, osim ako imamo ubedljive legitimne osnove.

5. Kolačići i analitika

Naš sajt i aplikacija koriste mali broj kolačića i sličnih tehnologija. Neophodni kolačići (za prijavu, bezbednost i osnovne funkcije) uvek su uključeni. Analitika koja nije neophodna radi samo nakon vaše saglasnosti preko našeg banera za kolačiće, a svoj izbor možete promeniti u svakom trenutku preko linka Podešavanja kolačića u podnožju sajta.

Kolačiće koji nisu neophodni možete prihvatiti ili odbiti u baneru, izbor promeniti preko „Podešavanja kolačića“, a kolačiće kontrolisati i u svom pregledaču. Snimanje sesija u Microsoft Clarity-ju podešeno je tako da maskira tekstualna polja, pa se ono što upisujete ne beleži. Sentry je sveden na minimum potreban za otkrivanje i ispravljanje grešaka.

6. Marketinška komunikacija

Šaljemo dve vrste poruka. Servisne poruke (obaveštenja o smenama, bezbednosna upozorenja, naplata i neophodna obaveštenja o računu) deo su servisa i nisu marketing. Marketinške poruke (kao što su naš newsletter o rasporedu i novosti o proizvodu) šaljemo samo ako ste se na njih prijavili.

• Od marketinga se možete odjaviti u svakom trenutku preko linka u svakom marketinškom mejlu ili pisanjem na [email protected].
• Odjava sa marketinga ne zaustavlja neophodne servisne poruke, koje su potrebne za rad vašeg računa.
• Vaše kontakt podatke ne delimo sa trećim stranama za njihov marketing.

7. Deljenje podataka

Lične podatke delimo samo sa pružaocima usluga („podobrađivačima“) koji nam pomažu da vodimo ShiftBuzz, i samo u potrebnom obimu. Svaki je vezan ugovorom koji zahteva odgovarajuću bezbednost i poverljivost.

Podatke možemo deliti i unutar vaše organizacije (menadžeri i kolege vide relevantne informacije o rasporedu), radi poštovanja zakona ili zaštite prava i bezbednosti, kao i u slučaju poslovnog prenosa (spajanje, akvizicija ili reorganizacija) — u tom slučaju ćemo vas obavestiti, a ova politika će nastaviti da se primenjuje. Aktuelna lista podobrađivača dostupna je na zahtev.

8. Međunarodni prenos podataka

Cilj nam je da lične podatke hostujemo i obrađujemo unutar Evropskog ekonomskog prostora (EEP). Neki naši provajderi imaju sedište u zemljama izvan EEP-a ili tamo prenose podatke, pre svega u Sjedinjene Američke Države. Kada podaci izlaze iz EEP-a, obezbeđujemo odgovarajuću zaštitnu meru po Poglavlju V GDPR-a, kao što su:

• standardne ugovorne klauzule (SCC) Evropske komisije, uz dodatne mere gde je potrebno; ili
• prenos provajderima sertifikovanim po Okviru EU–SAD za privatnost podataka, gde je primenjivo; ili
• odluka o adekvatnosti koja pokriva zemlju primaoca.

Informacije o konkretnim zaštitnim merama primenjenim na određenog provajdera, kao i kopiju relevantnih klauzula, možete zatražiti na [email protected].

9. Rok čuvanja podataka

Lične podatke čuvamo samo onoliko dugo koliko je potrebno za svrhu za koju su prikupljeni, a zatim ih brišemo ili anonimizujemo.

Kada ShiftBuzz nastupa kao obrađivač, rok čuvanja podataka o osoblju prati uputstva klijenta i njegove sopstvene obaveze čuvanja (odeljak 12).

10. Bezbednost

Zaštiti ličnih podataka pristupamo u više slojeva:

• Šifrovanje u prenosu (TLS 1.2+) i u mirovanju, na zaštićenoj cloud infrastrukturi.
• Kontrola pristupa: pristup po principu najmanjih privilegija, dozvole po ulogama i upravljana autentifikacija preko Clerk-a.
• Otpornost: nadgledana i redovno ažurirana cloud infrastruktura.
• Nadzor: automatsko otkrivanje grešaka i anomalija radi pravovremene reakcije.

U slučaju povrede podataka. Ako je verovatno da povreda ličnih podataka predstavlja rizik za vaša prava i slobode, obavestićemo nadležni nadzorni organ bez nepotrebnog odlaganja i, gde je to obavezno, u roku od 72 sata od saznanja, a obavestićemo i pogođena lica kada zakon to zahteva. Kada nastupamo kao obrađivač, bez nepotrebnog odlaganja obavestićemo klijenta koji je rukovalac. Nijedan sistem ne može biti savršeno bezbedan, ali neprekidno radimo na zaštiti vaših podataka i poboljšanju mera.

11. Vaša prava

Pod uslovima predviđenim GDPR-om, imate sledeća prava u vezi sa svojim ličnim podacima:

Kako da ostvarite svoja prava. Veći deo svojih podataka možete videti i izmeniti direktno u aplikaciji, uključujući i brisanje računa iz aplikacije. Za sve ostalo pišite na [email protected]. Odgovaramo u roku od jednog meseca (uz obaveštenje, rok se može produžiti za dva meseca kod složenih zahteva) i u uobičajenim slučajevima bez naknade. Možda ćemo prvo morati da potvrdimo vaš identitet. Ako je vaše podatke uneo poslodavac a mi nastupamo kao obrađivač, obratite se prvo tom poslodavcu; pružićemo mu podršku u odgovoru (odeljak 12). Takođe imate pravo da podnesete pritužbu nadzornom organu (odeljak 15).

12. Odnos rukovaoca i obrađivača

Pošto firme unose podatke o svom osoblju, važno je ko je rukovalac a ko obrađivač za koji podatak.

Kada je ShiftBuzz rukovalac. O svrsi i načinu obrade odlučujemo mi (pa smo rukovalac) za: podatke o registraciji naših vlasnika računa, posetioce sajta, marketinške kontakte, naplatu, analitiku i poboljšanje proizvoda, i bezbednost platforme. Tu obradu uređuje ova politika.

Kada je ShiftBuzz obrađivač. Kada poslovni korisnik unosi i vodi podatke svojih zaposlenih radi pravljenja rasporeda, ta firma je rukovalac a ShiftBuzz obrađivač. Te podatke o osoblju obrađujemo isključivo po dokumentovanim uputstvima klijenta, na osnovu Ugovora o obradi podataka (DPA), i ne za svoje svrhe.

Kao rukovaoci podacima svog osoblja, poslovni korisnici su odgovorni za:

• postojanje zakonitog osnova za unos i obradu podataka svojih zaposlenih;
• obaveštavanje svog osoblja o korišćenju ShiftBuzz-a i dostavljanje sopstvenog obaveštenja o privatnosti;
• odgovaranje na zahteve svojih zaposlenih u svojstvu rukovaoca (uz našu podršku kao obrađivača);
• tačnost unetih podataka i to da se posebne kategorije podataka ne unose bez odgovarajućeg osnova po članu 9;
• odgovarajuće podešavanje pristupa i uloga za svoj tim.

Ugovor o obradi podataka dostupan je poslovnim korisnicima na zahtev, na [email protected].

13. Privatnost dece

ShiftBuzz je alat za rad namenjen korisnicima od 16 godina i starijim. Svesno ne prikupljamo lične podatke direktno od lica mlađih od 16 godina. Tamo gde lokalni zakon dozvoljava zakonito zapošljavanje mladih radnika, firma koja zapošljava odgovorna je da obezbedi odgovarajuću saglasnost i pravni osnov pre nego što mladu osobu doda na platformu. Ako verujete da nam je osoba mlađa od 16 godina dala lične podatke bez odgovarajućeg osnova, pišite na [email protected] i preduzećemo odgovarajuće korake da ih izbrišemo.

14. Izmene ove politike

Ovu politiku možemo ažurirati kako se proizvod, zakon ili naša praksa menjaju. Kada to uradimo, izmenićemo datum „Poslednja izmena“ i verziju iznad i objaviti novu verziju na shiftbuzz.io/privacy. Za bitne izmene daćemo jasno obaveštenje unapred (na primer mejlom aktivnim klijentima ili obaveštenjem u aplikaciji) pre nego što izmene počnu da važe. Nastavak korišćenja ShiftBuzz-a nakon što izmena počne da važi znači da prihvatate ažuriranu politiku.

15. Kontakt podaci

Za svako pitanje o privatnosti ili za ostvarivanje svojih prava, obratite nam se:

Nadzorni organ. Ako niste zadovoljni načinom na koji postupamo sa vašim podacima, imate pravo da podnesete pritužbu nadzornom organu za zaštitu podataka, pre svega estonskoj Inspekciji za zaštitu podataka (Andmekaitse Inspektsioon, Tatari 39, 10134 Talin, www.aki.ee, [email protected]), ili organu u zemlji u kojoj živite ili radite. Naravno, bilo bi nam drago da prvo dobijemo priliku da rešimo vaš problem.