Pravilnik o zasebnosti

1. Identiteta upravljavca podatkov

Za namene Splošne uredbe o varstvu podatkov (GDPR) je upravljavec podatkov:

2. Informacije, ki jih zbiramo

Zbiramo in obdelujemo naslednje kategorije osebnih podatkov:

2.1 Podatki o identiteti in kontaktni podatki (člen 4(1) GDPR)

• Ime in priimek, e-poštni naslov, telefonska številka, poštni naslov
• Dokazilo o identiteti (če je potrebno za preverjanje)

2.2 Podatki o nastanitvah

• Naslov nastanitve, identifikatorji računov platforme, URL-ji oglasov
• Podatki o zgodovinskih rezervacijah, podatki o prihodkih, statistika zasedenosti
• Podatki o ocenah gostov (anonimizirani, kjer je to mogoče)

2.3 Finančni podatki

• Podatki o bančnem računu ali podatki o plačilni kartici (samo za izstavljanje računov za provizije)
• Podatki o preteklih prihodkov, uporabljeni za določitev pogodbenih izhodišč

2.4 Tehnični podatki

• IP-naslov, vrsta in različica brskalnika, nastavitev časovnega pasu, vrste in različice vtičnikov brskalnika
• Operacijski sistem in platforma, identifikatorji naprav
• Vir napotitve, podatki o interakciji s stranjo, trajanje obiska

2.5 Posebne kategorije podatkov

Podatkov posebnih kategorij, kot so opredeljeni v 9. členu GDPR (rasno ali etnično poreklo, politična mnenja, verska prepričanja, članstvo v sindikatu, genetski ali biometrični podatki, zdravstveni podatki, podatki o spolnem življenju ali spolni usmerjenosti) ne obdelujemo.

3. Pravna podlaga za obdelavo (GDPR, člen 6)

Vaše osebne podatke obdelujemo le, če imamo za to veljavno pravno podlago v skladu s 6. členom GDPR:

Namen	Pravna podlaga	Člen GDPR
Zagotavljanje storitev (postavljanje cen, optimizacija oglasov, pregled privlačnosti za goste)	Izpolnitev pogodbe	člen 6(1)(b)
Izračun provizije in izstavljanje računov	Izpolnitev pogodbe	člen 6(1)(b)
Preprečevanje goljufij in skladnost z zakonodajo	Pravna obveznost	člen 6(1)(c)
Izboljšanje storitev in učenje algoritmov (anonimizirano)	Zakoniti interesi	člen 6(1)(f)
Trženjsko komuniciranje (s soglasjem)	Soglasje	člen 6(1)(a)

Kjer se zanašamo na zakonite interese (člen 6(1)(f)), so ti interesi: (i) izboljšanje naših algoritmov za postavljanje cen za doseganje boljših rezultatov za stranke; (ii) zagotavljanje varnosti omrežja in informacij; in (iii) razumevanje uporabe spletnega mesta za izboljšanje uporabniške izkušnje. Izvajamo presojo sorazmernosti, da zagotovimo, da vaše pravice in svoboščine ne prevladajo nad temi interesi.

4. Kako uporabljamo vaše podatke

Vaše osebne podatke uporabljamo izključno za naslednje namene:

• Za izpolnitev naše pogodbe z vami: Zagotavljanje dinamičnega postavljanja cen, optimizacije oglasov, pregledov privlačnosti za goste in mesečnega izstavljanja računov za provizije.
• Za komunikacijo z vami: Posodobitve storitev, mesečna poročila o uspešnosti, dostava računov in odgovori podpore strankam.
• Za izpolnjevanje zakonskih obveznosti: Davčno poročanje (DDV, dohodnina), vodenje računovodskih evidenc in odgovarjanje na zakonite zahteve javnih organov.
• Za izboljšanje naših storitev: Združeni, anonimizirani podatki se lahko uporabijo za učenje in izpopolnjevanje naših cenovnih modelov. Podatki o posameznih nastanitvah se pred uporabo v ta namen psevdonimizirajo.

Vaših osebnih podatkov ne uporabljamo za avtomatizirano profiliranje, ki ima pravne ali podobno pomembne učinke (glejte 11. razdelek spodaj).

5. Prejemniki in mednarodni prenosi

5.1 Kategorije prejemnikov

Vaših osebnih podatkov ne prodajamo. Delimo jih lahko le z:

• Podobdelovalci (28. člen GDPR): Ponudniki gostovanja v oblaku (npr. regije AWS EU), storitve dostave e-pošte (npr. SendGrid), ponudniki plačilnih storitev (npr. Stripe) in ponudniki računovodske programske opreme. Vse podobdelovalce zavezujejo sporazumi o obdelavi podatkov (DPA), ki so skladni s členom 28(3) GDPR.
• Strokovni svetovalci: Odvetniki, računovodje in zavarovalnice, kjer je to potrebno za skladnost z zakonodajo ali obvladovanje tveganj.
• Javni organi: Kjer to zahteva zakon, sodna odredba ali regulativna zahteva.

Aktualen seznam naših podobdelovalcev je na voljo na zahtevo hello@s-germain.si.

5.2 Mednarodni prenosi

Vaši osebni podatki se shranjujejo in obdelujejo znotraj Evropskega gospodarskega prostora (EGP), razen če ni drugače določeno. Kadar uporabljamo podobdelovalce zunaj EGP (npr. storitve v oblaku s sedežem v ZDA), zagotavljamo ustrezno zaščito z:

• sklepi Evropske komisije o ustreznosti (kjer je to primerno);
• standardne pogodbene klavzule, odobrene v skladu z Izvedbenim sklepom Komisije (EU) 2021/914; ali
• zavezujoča poslovna pravila, kjer je to primerno.

Kopijo veljavnih standardnih pogodbenih določil lahko zahtevate tako, da se obrnete na našo pooblaščeno osebo za varstvo podatkov.

6. Obdobja hrambe podatkov

Osebne podatke hranimo le toliko časa, kolikor je potrebno za izpolnitev namenov, za katere so bili zbrani, vključno s pravnimi in računovodskimi zahtevami oz. zahtevami za poročanje.

Kategorija podatkov	Obdobje hrambe	Pravna podlaga
Podatki o stranki in kontaktni podatki	Trajanje pogodbe + 6 let	Davčno in pogodbeno pravo
Podatki o rezervacijah in prihodkih	Trajanje pogodbe + 6 let	Davčne in računovodske obveznosti
Analitični podatki spletnega mesta	26 mesecev	Zakoniti interesi
Zapisi o soglasju za trženje	do preklica soglasja + 2 leti	Dokazljivo soglasje

Po izteku obdobja hrambe se osebni podatki varno izbrišejo ali nepovratno anonimizirajo. Varnostne kopije lahko ostanejo shranjene do 90 dodatnih dni, preden se samodejno izbrišejo.

7. Vaše pravice v skladu z GDPR

V skladu z GDPR imate v zvezi z vašimi osebnimi podatki naslednje pravice:

• Pravica do dostopa (člen 15): Zahtevate lahko kopijo osebnih podatkov, ki jih hranimo o vas, skupaj z informacijami o tem, kako in zakaj jih obdelujemo.
• Pravica do popravka (člen 16): Zahtevate lahko, da brez nepotrebnega odlašanja popravimo netočne ali nepopolne osebne podatke.
• Pravica do izbrisa (»pravica do pozabe«) (člen 17): Zahtevate lahko izbris svojih osebnih podatkov, če ni prevladujoče pravne podlage za nadaljnjo obdelavo. Ta pravica ni absolutna in jo lahko omejujejo zakonske zahteve glede hrambe.
• Pravica do omejitve obdelave (člen 18): V posebnih okoliščinah, na primer kadar oporekate njihovi točnosti, lahko zahtevate omejitev obdelave vaših podatkov.
• Pravica do prenosljivosti podatkov (člen 20): Svoje osebne podatke lahko zahtevate v strukturirani, pogosto uporabljani in strojno berljivi obliki ter jih posredujete drugemu upravljavcu.
• Pravica do ugovora (člen 21): Obdelavi na podlagi zakonitih interesov (vključno z neposrednim trženjem) lahko kadar koli ugovarjate. Obdelavo bomo prenehali, razen če bomo dokazali tehtne zakonite razloge.
• Pravica do preklica soglasja (člen 7(3)): Kadar obdelava temelji na soglasju, jo lahko kadar koli prekličete, ne da bi to vplivalo na zakonitost predhodne obdelave.
• Pravica do vložitve pritožbe (člen 77): Imate pravico vložiti pritožbo pri nadzornem organu v državi vašega običajnega prebivališča, kraja dela ali kraja domnevne kršitve.

Za uveljavljanje katere koli od teh pravic se obrnite na našo pooblaščeno osebo za varstvo podatkov na hello@s-germain.si. Odgovorili bomo v roku enega meseca prejema, brezplačno, razen če je zahteva očitno neutemeljena ali pretirana.

8. Pooblaščena oseba za varstvo podatkov (DPO)

Imenovali smo pooblaščeno osebo za varstvo podatkov, ki je odgovorna za nadzor skladnosti z GDPR. Glede vseh zadev v zvezi z varstvom podatkov se lahko obrnete na našo pooblaščeno osebo za varstvo podatkov:

9. Ukrepi za varnost podatkov

Za zagotovitev ustrezne ravni varnosti glede na tveganje izvajamo ustrezne tehnične in organizacijske ukrepe v skladu s 32. členom GDPR:

• Psevdonimizacija in šifriranje: Osebni podatki so šifrirani v mirovanju (AES-256) in med prenosom (TLS 1.3).
• Nadzor dostopa: Dostop na podlagi vlog z načelom najmanjših privilegijev. Overjanje pristnosti z več faktorji (MFA) je obvezno za vse podizvajalce.
• Redno testiranje in ocenjevanje: Letno penetracijsko testiranje, pregledi ranljivosti in varnostni pregledi.
• Odziv na incident: Dokumentirani postopki odzivanja na kršitve z 72-urno interno eskalacijo pooblaščeni osebi za varstvo podatkov.
• Usposabljanje podizvajalcev: Letno usposabljanje o GDPR in informacijski varnosti za vse osebje z dostopom do podatkov.
• Fizična varnost: Strežniki, gostovani v podatkovnih centrih s certifikatom ISO 27001 znotraj EGP.

10. Piškotki in soglasje

Naše spletno mesto uporablja piškotke in podobne tehnologije sledenja. V skladu z Direktivo o e-zasebnosti in nacionalnimi izvedbenimi zakoni pridobivamo vašo predhodno, informirano soglasje za nebistvene piškotke.

10.1 Kategorije piškotkov

• Nujno potrebni piškotki: Potrebni za delovanje spletnega mesta (npr. upravljanje sej, varnost). Za to ni potrebno soglasje v skladu s členom 5(3) Direktive o e-zasebnosti.
• Analitični piškotki: Pomagajo nam razumeti uporabo spletnega mesta (npr. Google Analytics, Matomo). Shranijo se šele po soglasju.
• Trženjski piškotki: Uporabljajo se za merjenje učinkovitosti trženjskih kampanj. Shranijo se šele po soglasju.

10.2 Upravljanje soglasja

Ob vašem prvem obisku bo pasica s piškotki zaprosila za vaše soglasje za nebistvene piškotke. Lahko:

• Sprejmete analitične piškotke
• Zavrnete analitične piškotke

Svoje soglasje lahko kadar koli prekličete ali spremenite tako, da v brskalniku izbrišete shranjene podatke tega spletnega mesta – pasica s piškotki se bo znova prikazala ob vašem naslednjem obisku. Zapisi o soglasju se hranijo 2 leti, da se dokaže skladnost s predpisi.

10.3 Obdelovalci tretjih oseb

Analitične podatke lahko obdeluje Google Analytics (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska). Storitev Google Analytics smo konfigurirali tako, da anonimizira naslove IP in onemogočili deljenje podatkov z Googlom za namene oglaševanja.

11. Avtomatizirano odločanje

Naš algoritem za dinamično postavljanje cen samodejno sprejema odločitve o optimalnih cenah nočitev za vašo nastanitev. Vendar pa te odločitve:

• Delujejo znotraj najnižjih in najvišjih cen, ki jih določite;
• Ne povzročajo pravnih učinkov ali podobno pomembnih učinkov na vas kot fizično osebo (člen 22 GDPR);
• Glede nepravilnosti jih pregledujem;
• Cene lahko kadar koli ročno preglasite tako, da nas kontaktirate.

Zato člen 22 GDPR ne velja za naš algoritem za postavljanje cen v njegovi trenutni obliki. Če se to spremeni, vas bomo o tem obvestili in vam zagotovili pravico do človeškega posredovanja, izražanja vašega stališča in izpodbijanja odločitve.

12. Obvestilo o kršitvi varnosti osebnih podatkov

V primeru kršitve varnosti osebnih podatkov, ki bi lahko ogrozila vaše pravice in svoboščine, bomo:

• Obvestili pristojni nadzorni organ v roku 72 ur od seznanitve s kršitvijo varstva (člen 33 GDPR);
• Vas brez nepotrebnega odlašanja obvestili, če je verjetno, da bo kršitev povzročila veliko tveganje za vaše pravice in svoboščine (člen 34 GDPR);
• Dokumentirali vse kršitve, vključno z dejstvi, posledicami in sprejetimi ukrepi za odpravo posledic (člen 33(5)).

13. Spremembe tega pravilnika

Ta pravilnik o zasebnosti lahko posodobimo, da odraža spremembe v naših praksah, tehnologiji ali zakonskih zahtevah. O bistvenih spremembah boste obveščeni po elektronski pošti vsaj 30 dni pred uveljavitvijo. Datum »Zadnja posodobitev« na vrhu te strani označuje trenutno različico.

Nadaljnja uporaba naših storitev po uveljavitvi sprememb pomeni sprejetje posodobljenega pravilnika. Če se s spremembami ne strinjate, lahko sodelovanje odpoveste v skladu z našimi pogoji storitve.

14. Kontakt in nadzorni organ

Za vsa vprašanja, pomisleke ali zahteve v zvezi s tem pravilnikom o zasebnosti ali našimi praksami v zvezi z obdelavo podatkov nas kontaktirajte:

Prav tako imate pravico vložiti pritožbo pri pristojnem nadzornem organu:

Zavezani smo k sporazumnemu in učinkovitemu reševanju vseh pomislekov glede varstva podatkov. Preden se obrnete na nadzorni organ, se najprej obrnite na našo pooblaščeno osebo za varstvo podatkov.