Politika zasebnosti

1. Upravljavec

Pooblaščena oseba za varstvo podatkov (DPO) ni imenovana, ker obseg in narava obdelave ne dosegata pragov iz člena 37 GDPR.

2. Vloge platforme: kdaj smo upravljavec in kdaj obdelovalec

Platforma nastopa v različnih vlogah glede na to, čigave podatke obdeluje:

Kadar platforma obdeluje podatke o rezervacijah strank pri posameznem izvajalcu, to počne v imenu in po navodilih izvajalca na podlagi Pogodbe o obdelavi osebnih podatkov (DPA). Kadar pa si stranka ustvari uporabniški račun na platformi (ki deluje pri vseh izvajalcih), je za podatke tega računa upravljavec platforma.

3. Podatki izvajalcev storitev (platforma kot upravljavec)

3.1 Katere podatke zbiramo

• ime in priimek kontaktne oziroma odgovorne osebe,
• naziv podjetja oziroma dejavnosti, naslov sedeža, matična in davčna številka,
• e-poštni naslov in telefonska številka,
• podatki o dejavnosti: opis storitev, cenik, delovni čas, seznam zaposlenih/izvajalcev,
• podatki o naročnini in plačilih (prek sistema Stripe; platforma ne hrani številk plačilnih kartic),
• tehnični podatki o uporabi: časi dostopa, IP-naslov, dejanja v administrativnem vmesniku (revizijska sled),
• zapis o sprejemu splošnih pogojev (čas, IP-naslov, uporabniški agent, različica pogojev),
• podatki, potrebni za registracijo imena pošiljatelja SMS, kadar izvajalec to možnost uporablja: firma, sedež, matična in davčna številka, odgovorna oseba, želeno ime pošiljatelja in izjava o upravičenosti do njegove uporabe (glej točko 8.1).

3.2 Nameni in pravne podlage

4. Podatki strank izvajalcev (platforma kot obdelovalec)

4.1 Kateri podatki se obdelujejo v imenu izvajalca

• ime in priimek stranke, telefonska številka, e-poštni naslov,
• izbrana storitev, izvajalec/zaposleni, datum, ura in trajanje termina, cena,
• prostovoljne opombe stranke ob rezervaciji,
• status rezervacije (potrjena, preklicana, neprihod) in potrditev prihoda,
• vnosi na čakalno listo, oddane ocene obiska,
• dnevnik poslanih obvestil (e-pošta/SMS, čas, status dostave).

4.2 Za katere operacije

• sprejem, beleženje in upravljanje rezervacij ter sprememb in preklicev,
• pošiljanje potrditev, opomnikov in obvestil o spremembah (v imenu izvajalca),
• vodenje čakalne liste in obveščanje ob sproščenih terminih,
• zbiranje ocen obiskov (če jih ima izvajalec vključene),
• prikaz podatkov izvajalcu v njegovem administrativnem vmesniku.

Platforma teh podatkov ne uporablja za lastne komercialne namene, jih ne prodaja in jih ne deli z drugimi izvajalci. Izvajalec vidi izključno podatke svojih strank.

5. Uporabniški računi strank na platformi (platforma kot upravljavec)

Stranka lahko rezervira kot gost (brez računa) ali si ustvari brezplačen uporabniški račun. Za podatke računa je upravljavec platforma:

• ime, priimek, e-poštni naslov, telefonska številka, geslo (shranjeno izključno v obliki kriptografskega izvlečka),
• seznam priljubljenih salonov, zgodovina rezervacij prek več salonov, vnosi na čakalne liste,
• podatki o sejah (čas prijave, veljavnost seje) za varnost računa.

Pravna podlaga je izvajanje pogodbe o uporabniškem računu (člen 6(1)(b) GDPR). Račun lahko stranka kadar koli zapre; podatki računa se nato izbrišejo ali anonimizirajo, razen podatkov o rezervacijah, ki jih posamezni izvajalec (kot upravljavec) potrebuje za svoje evidence.

Uporabniški račun je namenjen osebam, starejšim od 15 let. Za mlajše termin rezervira starš ali skrbnik, ki pri tem posreduje svoje kontaktne podatke.

6. Preprečevanje zlorab: blokade in kazalnik zanesljivosti

Za zaščito izvajalcev pred zlorabami (neprihodi, lažne rezervacije) platforma na podlagi zakonitega interesa (člen 6(1)(f) GDPR) obdeluje tudi:

• sezname blokiranih kontaktov — izvajalec lahko blokira e-poštni naslov ali telefonsko številko stranke za rezervacije pri sebi; platforma lahko v primeru hujših zlorab kontakt blokira na ravni platforme. Blokada je lahko časovno omejena in se po izteku samodejno sprosti;
• kazalnik zanesljivosti stranke — informativna ocena, izpeljana iz zgodovine opravljenih in neopravljenih terminov pri istem izvajalcu, ki se izvajalcu prikaže kot pomoč pri organizaciji dela. Kazalnik ne povzroča samodejnih pravnih učinkov; odločitve v zvezi s strankami sprejema izvajalec, posameznik pa lahko zahteva pojasnilo o svoji oceni.

Posameznik lahko obdelavi na podlagi zakonitega interesa ugovarja na info@bca-booking.si(člen 21 GDPR).

7. Samodejni preklic nepotrjenih terminov (no-show ščit)

Če izvajalec vključi t. i. no-show ščit, sistem stranko pred terminom prosi za potrditev prihoda; termin, ki do določenega časa pred začetkom ni potrjen, se lahko samodejno prekliče in ponudi drugim strankam. Stranka je na to možnost opozorjena v opomnikih in lahko prihod potrdi z enim klikom. Ta funkcija deluje po vnaprej znanih pravilih (potrditev/nepotrditev) in ne vključuje profiliranja.

8. Prejemniki in podobdelovalci

Osebnih podatkov ne prodajamo in jih ne razkrivamo tretjim osebam v komercialne namene. Za delovanje platforme uporabljamo naslednje pogodbene obdelovalce:

Podatki se lahko posredujejo tudi davčnim organom, sodiščem in drugim organom, kadar to zahteva zakon.

8.1 Posredovanje podatkov za registracijo imena pošiljatelja SMS

Kadar izvajalec želi, da se SMS njegovim strankam prikaže z njegovim imenom, mora biti to ime pri mobilnih operaterjih predhodno registrirano. Za ta namen — in samo zanj — posredujemo ponudniku storitev SMS in prek njega operaterjem poslovne podatke izvajalca (firma, sedež, matična in davčna številka, odgovorna oseba, želeno ime in izjava o upravičenosti do njega). Podatkov strank izvajalca v tem postopku ne posredujemo.

• Podlaga je izvajanje pogodbe z izvajalcem, ki registracijo naroči (člen 6(1)(b) GDPR); brez posredovanja teh podatkov registracija ni mogoča.
• O odobritvi imena odločajo operaterji oziroma ponudnik storitev SMS; platforma odobritve ne more zagotoviti, odobreno ime pa je lahko pozneje preklicano. Razmejitev odgovornosti je opisana v točki 8.a Splošnih pogojev poslovanja.
• Podatke o registraciji hranimo, dokler je ime registrirano, in še 12 mesecev po prenehanju registracije zaradi dokazovanja upravičenosti.

9. Prenosi izven EU/EGP

Podatkovna baza platforme je gostovana v EU. Kadar posamezen podobdelovalec (Vercel, Stripe) del obdelave izvaja v ZDA, prenos poteka na podlagi standardnih pogodbenih klavzul (SCC, Izvedbeni sklep Komisije 2021/914) oziroma okvira EU-U.S. Data Privacy Framework (člen 45 in 46 GDPR). Kopije ustreznih zaščitnih ukrepov so na voljo na zahtevo.

10. Roki hrambe

11. Varnost

• šifriran prenos vseh podatkov (HTTPS/TLS) in varnostne HTTP-glave,
• gesla shranjena izključno kot kriptografski izvlečki z uveljavljenim algoritmom za varno hrambo gesel; začasna gesla zahtevajo menjavo ob prvi prijavi,
• ločeni, žetonsko zaščiteni dostopi za stranke, izvajalce in skrbnika platforme; seje je mogoče preklicati,
• omejevanje poskusov prijave (začasno zaklepanje po večkratnih neuspelih poskusih),
• dostop po načelu najmanjših potrebnih pravic; podatki posameznega salona so strogo ločeni,
• revizijska sled skrbniških in administrativnih dejanj,
• redne varnostne kopije podatkovne baze.

12. Pravice posameznikov

Vsak posameznik ima v skladu s poglavjem III GDPR pravico do:

• dostopa do svojih podatkov (člen 15), popravka (člen 16) in izbrisa (člen 17, ob upoštevanju zakonskih rokov hrambe),
• omejitve obdelave (člen 18) in prenosljivosti podatkov (člen 20),
• ugovora obdelavi na podlagi zakonitega interesa (člen 21),
• preklica privolitve (člen 7(3)) — kjer obdelava temelji na privolitvi (npr. soglasje za obveščanje o novostih ob registraciji računa), jo lahko kadar koli prekličete v nastavitvah računa ali po e-pošti; preklic ne vpliva na zakonitost obdelave pred njim,
• pritožbe pri Informacijskem pooblaščencu RS (Dunajska cesta 22, 1000 Ljubljana, gp.ip@ip-rs.si, www.ip-rs.si).

Kam nasloviti zahtevo? Za podatke o rezervacijah pri posameznem salonu je upravljavec salon — zahtevo naslovite nanj, platforma pa mu bo pri izpolnitvi pomagala. Za podatke uporabniškega računa platforme in podatke izvajalcev zahtevo pošljite na info@bca-booking.si. Odgovorimo v enem mesecu (z možnostjo podaljšanja za dva meseca pri zapletenih zahtevah).

13. Ali je posredovanje podatkov obvezno?

Polja, označena kot obvezna v obrazcu za rezervacijo (ime, kontakt), so potrebna za izvedbo rezervacije — brez njih rezervacije ni mogoče oddati. Uporabniški račun je prostovoljen. Za izvajalce je posredovanje poslovnih podatkov pogoj za sklenitev pogodbe.

14. Avtomatizirano odločanje

Platforma ne izvaja avtomatiziranega odločanja, ki bi imelo pravne ali podobno pomembne učinke na posameznike v smislu člena 22 GDPR. Samodejni preklic nepotrjenega termina (točka 7) temelji na preprostem, vnaprej pojasnjenem pravilu in ga lahko stranka prepreči s potrditvijo prihoda; kazalnik zanesljivosti (točka 6) je zgolj informativen.

15. Piškotki

Platforma uporablja izključno nujne piškotke za prijavo in varnost. Podrobnosti so v Politiki piškotkov.

16. Spremembe te politike

Politiko lahko posodobimo. O bistvenih spremembah izvajalce obvestimo po e-pošti vsaj 30 dni pred uveljavitvijo, registrirane uporabnike pa z obvestilom na platformi. Vedno velja zadnja objavljena različica na tej strani.