Politika privatnosti
Posljednje ažuriranje: 27. listopada 2026.
Ova Politika privatnosti objašnjava kako M5 Network obrađuje osobne podatke kada koristite Appotio, aplikaciju za upravljanje terminima, klijentima i online rezervacijama (app.appotio.com), stranice organizacija za online rezervacije i kratke poveznice na domeni appot.io (dalje: „Appotio" ili „usluga"). Za posjetitelje internetske stranice appotio.com, uključujući asistenta „Je li Appotio za mene?", vrijedi zasebna Politika privatnosti objavljena na appotio.com/privatnost.
Pisana je u skladu s Općom uredbom o zaštiti podataka (Uredba (EU) 2016/679, „GDPR"), Zakonom o provedbi Opće uredbe o zaštiti podataka (NN 42/2018) i Zakonom o elektroničkim komunikacijama.
1. Tko smo
Voditelj obrade za podatke opisane u ovoj politici je:
M5 Network, obrt za usluge, vl. Mišel Hergotić Dravska 73 A, Strahoninec, 40000 Čakovec, Hrvatska OIB: 61046442790 · MBO: 98613537 E-pošta: [email protected] · Telefon: +385 40 780 050
(dalje: „Pružatelj", „mi")
Za sva pitanja o privatnosti i za ostvarivanje prava iz poglavlja 11 pišite na [email protected]. Pružatelj nije imenovao službenika za zaštitu podataka; sva pitanja o zaštiti podataka rješava izravno vlasnik obrta.
2. Dvije uloge: kada smo voditelj, a kada izvršitelj obrade
Appotio koriste saloni, studiji, ordinacije i drugi pružatelji usluga (dalje: „organizacija") za vođenje svojih termina i klijenata. Zato imamo dvije različite uloge:
- Voditelj obrade smo za podatke o korisničkim računima, naplati, sigurnosti, podršci, listi čekanja i obavijestima o novostima. Ova politika opisuje upravo tu obradu.
- Izvršitelj obrade smo za podatke koje organizacija unosi ili prikuplja o svojim klijentima i gostima online rezervacija (imena, kontakti, termini, bilješke, povijest poruka). Za te podatke voditelj obrade je organizacija, a mi ih obrađujemo samo po njezinim uputama, u skladu s Ugovorom o obradi osobnih podataka koji je sastavni dio Uvjeta korištenja. Ako ste klijent organizacije, pogledajte poglavlje 14.
3. Koje podatke obrađujemo, zašto i na kojoj osnovi
3.1. Korisnički račun
| Podaci | Svrha | Pravna osnova (GDPR) |
|---|---|---|
| Ime, e-adresa, broj mobitela, zaporka (pohranjena isključivo kao jednosmjerni sažetak, „hash"), avatar | Otvaranje i vođenje računa, prijava, komunikacija o usluzi | Izvršenje ugovora, čl. 6. st. 1. t. (b) |
| Kodovi za potvrdu e-adrese i broja mobitela | Potvrda da su kontakt podaci vaši | Izvršenje ugovora, čl. 6. st. 1. t. (b) |
| Postavke jezika, teme i obavijesti | Prilagodba usluge | Izvršenje ugovora, čl. 6. st. 1. t. (b) |
| Podaci o dvofaktorskoj autentifikaciji i pristupnim ključevima (passkeys) | Zaštita računa | Izvršenje ugovora i legitimni interes sigurnosti, čl. 6. st. 1. t. (b) i (f) |
| Datum, vrijeme i verzija prihvaćenih Uvjeta korištenja i Politike privatnosti | Dokaz o prihvaćanju | Legitimni interes dokazivanja sklapanja ugovora, čl. 6. st. 1. t. (f) |
Ako vas u organizaciju doda Appotio na zahtjev te organizacije (uz pristup podršci koji je ona dopustila), vaše ime i e-adresu dobivamo od organizacije. Na tu adresu šaljemo poveznicu kojom sami postavljate zaporku i broj mobitela i prihvaćate Uvjete korištenja i Politiku privatnosti; poveznica vrijedi 72 sata i može se iskoristiti jednom. Zaporku ne zna nitko osim vas.
3.2. Sigurnost
| Podaci | Svrha | Pravna osnova |
|---|---|---|
| Sigurnosni zapisnik: IP adresa, približna lokacija (grad, regija, država) izračunata iz IP adrese, preglednik, vrsta događaja (npr. prijava, promjena zaporke) | Otkrivanje neovlaštenog pristupa, zaštita računa | Legitimni interes sigurnosti, čl. 6. st. 1. t. (f) |
| Sesije prijave: IP adresa, približna lokacija, preglednik | Održavanje prijave i pregled aktivnih uređaja | Izvršenje ugovora i legitimni interes, čl. 6. st. 1. t. (b) i (f) |
| Otisak za besplatno razdoblje: ključem zaštićen jednosmjerni sažetak e-adrese i broja mobitela | Sprječavanje višestrukog korištenja besplatnog razdoblja | Legitimni interes, čl. 6. st. 1. t. (f) |
| IP adrese i tehnički podaci na javnim obrascima, uz zaštitu Cloudflare Turnstile | Zaštita od botova i zlouporabe | Legitimni interes, čl. 6. st. 1. t. (f) |
| Izvješća o pogreškama (Sentry): tehnički podaci o pogrešci, URL, preglednik, identifikator korisnika i IP adresa | Otkrivanje i ispravljanje pogrešaka | Legitimni interes, čl. 6. st. 1. t. (f) |
Približnu lokaciju određujemo lokalno, pomoću GeoIP baze podataka pohranjene na našem poslužitelju. Vaša IP adresa pritom se ne šalje trećima.
3.3. Organizacija i naplata
| Podaci | Svrha | Pravna osnova |
|---|---|---|
| Naziv, adresa i kontakt podaci organizacije, logo, usluge i cijene, radno vrijeme, tim | Pružanje usluge, javna stranica za rezervacije i cjenik organizacije | Izvršenje ugovora, čl. 6. st. 1. t. (b) |
| Podaci za naplatu: naziv ili ime, OIB, adresa, odgovorna osoba | Izdavanje Ponuda i Računa | Izvršenje ugovora i zakonska obveza, čl. 6. st. 1. t. (b) i (c) |
| Ponude, Računi, zahtjevi za nadoplatu i pakete | Naplata, računovodstvo, fiskalizacija | Zakonska obveza (porezni propisi i propisi o fiskalizaciji), čl. 6. st. 1. t. (c) |
| Podaci o dolaznim uplatama na naš poslovni račun: ime i IBAN platitelja, iznos, opis plaćanja. Izvor: izvodi našeg poslovnog računa, preko Enable Bankinga | Povezivanje uplata s Ponudama | Izvršenje ugovora i zakonska obveza, čl. 6. st. 1. t. (b) i (c) |
| IBAN hrvatskog računa | Povrat salda i povrat novca | Izvršenje ugovora, čl. 6. st. 1. t. (b) |
| Izjava o raskidu ugovora: ime, adresa e-pošte za potvrdu, IBAN za povrat | Raskid u roku od 14 dana i povrat novca | Zakonska obveza (Zakon o zaštiti potrošača), čl. 6. st. 1. t. (c) |
3.4. Podrška, prigovori i prijave
| Podaci | Svrha | Pravna osnova |
|---|---|---|
| Poruke i niti podrške u aplikaciji, e-poruke poslane na [email protected] | Odgovaranje na upite | Izvršenje ugovora i legitimni interes, čl. 6. st. 1. t. (b) i (f) |
| Pisani prigovori | Rješavanje prigovora | Zakonska obveza (Zakon o zaštiti potrošača), čl. 6. st. 1. t. (c) |
| Zahtjevi za ostvarivanje prava iz GDPR-a | Postupanje po zahtjevu | Zakonska obveza, čl. 6. st. 1. t. (c) |
| Prijave nezakonitog sadržaja („Prijavi sadržaj"): ime i e-adresa podnositelja, sadržaj prijave | Postupanje po prijavi | Zakonska obveza (Akt o digitalnim uslugama, Uredba (EU) 2022/2065), čl. 6. st. 1. t. (c) |
3.5. Lista čekanja i marketinške poruke
| Podaci | Svrha | Pravna osnova |
|---|---|---|
| E-adresa prijavljena na listu čekanja ili za novosti | Najava pokretanja i povremene obavijesti o novostima i ponudama Appotija | Privola, čl. 6. st. 1. t. (a) |
Više u poglavlju 9.
3.6. Analitika internetske stranice i aplikacije
Koristimo Umami, alat za analitiku koji sami održavamo na vlastitom poslužitelju. Umami ne koristi kolačiće i ne pohranjuje IP adrese. Posjete broji pomoću jednosmjernog sažetka koji se redovito mijenja, pa vas ne može pratiti dulje vrijeme. Rezultat su zbirni podaci, npr. broj posjeta i najposjećenije stranice. Pravna osnova je legitimni interes za poboljšanje usluge (čl. 6. st. 1. t. (f)). Podaci se ne dijele s trećima.
3.7. Je li davanje podataka obvezno
Ime, e-adresa i broj mobitela potrebni su za otvaranje računa. Podaci za naplatu potrebni su za izdavanje Računa. Bez njih ne možemo pružati uslugu. Sve ostalo (avatar, privola za marketing) je dobrovoljno.
4. Zabrana posebnih kategorija podataka
Appotio nije namijenjen obradi zdravstvenih podataka niti drugih posebnih kategorija podataka (čl. 9. GDPR-a). To uključuje dijagnoze, simptome, terapije, nalaze, podatke o vjerskom uvjerenju, spolnom životu, genetske i biometrijske podatke te podatke o kaznenim djelima.
Uvjeti korištenja zabranjuju unos takvih podataka bilo gdje u aplikaciju: u bilješke, nazive termina i usluga, odgovore na prilagođena pitanja, poruke i podršku. Ako takve podatke uočimo, možemo zatražiti njihovo uklanjanje.
5. Koliko dugo čuvamo podatke
| Podaci | Rok čuvanja |
|---|---|
| Korisnički račun | Dok ga ne obrišete. Brisanjem računa podaci se brišu odmah. Brisanje nije moguće dok ste vlasnik organizacije. |
| Računi kojima e-adresa ili broj mobitela nisu potvrđeni | Brišu se 24 sata nakon registracije, osim ako je osoba već član organizacije. |
| Sigurnosni zapisnik | Dok postoji račun; briše se zajedno s njim. |
| Sesije prijave | Svaka istječe nakon 15 dana; istekle sesije briše svakodnevno automatsko čišćenje. |
| Otisak za besplatno razdoblje | 5 godina od posljednjeg zapisa. |
| Podaci organizacije | Dok organizacija postoji. Obrisana organizacija može se vratiti 30 dana, a nakon toga se trajno briše. Za brisanje organizacije s neiskorištenim saldom Vlasnik organizacije mora navesti IBAN za povrat, a takva se organizacija trajno briše tek nakon što je saldo vraćen. |
| Organizacija bez pristupa | Organizacija kojoj je pristup istekao ostaje dostupna samo za čitanje. Ako 24 mjeseca nema pristup, nakon upozorenja e-poštom vlasniku i administratorima automatski se briše (30 dana za vraćanje, zatim trajno brisanje). |
| Niti podrške | Dok postoji organizacija; brišu se zajedno s njom. Ako autor obriše svoj račun, nit ostaje bez njegova imena. |
| E-poruke na [email protected] | Dok je potrebno za rješavanje upita, a najdulje 3 godine nakon zatvaranja predmeta, osim ako su potrebne za ostvarivanje ili obranu pravnih zahtjeva. |
| Pisani prigovori i odgovori na njih | Najmanje 1 godinu (Zakon o zaštiti potrošača), a najdulje 3 godine. |
| Prijave nezakonitog sadržaja | 12 mjeseci nakon rješavanja prijave. |
| Ponude, Računi, podaci o uplatama i ostala poslovna dokumentacija | Koliko propisuju porezni propisi: 10 godina od početka zastare (čl. 66. Općeg poreznog zakona), u praksi oko 11 godina. Čuvaju se i nakon brisanja organizacije ili računa. |
| IBAN za povrat | Dok se povrat ne izvrši; nakon toga samo kao dio računovodstvene dokumentacije. |
| Evidencija poslanih e-poruka | 30 dana. |
| Izvoz podataka | Dostupan za preuzimanje 7 dana, zatim se briše. |
| Izvješća o pogreškama (Sentry) | Najdulje 90 dana. |
| Lista čekanja i marketinške privole | Dok ne povučete privolu ili zatražite brisanje. |
| Sigurnosne kopije baze podataka | Najdulje 30 dana. Obrisani podaci mogu ostati u sigurnosnim kopijama do 30 dana, dok ih ne zamijene nove. Ne koristimo ih ni za što osim za oporavak od kvara. Ako izrada novih kopija dulje vrijeme ne uspijeva, zadržavamo samo posljednju ispravnu kopiju dok se ne izradi nova. |
6. Kome podatke otkrivamo
Podatke ne prodajemo i ne dajemo nikome za njihov marketing. Otkrivamo ih samo pružateljima usluga koji nam pomažu pružati Appotio (izvršitelji obrade) i, kada to zakon zahtijeva, tijelima javne vlasti.
6.1. Izvršitelji obrade
S izvršiteljima imamo ugovore o obradi u skladu s čl. 28. GDPR-a.
| Pružatelj | Namjena | Lokacija obrade |
|---|---|---|
| Contabo GmbH, Njemačka | Poslužitelji i baza podataka | EU (Njemačka) |
| Laravel Holdings Inc., SAD (Laravel Forge) | Upravljanje poslužiteljima | SAD (vidi poglavlje 7) |
| Amazon Web Services EMEA SARL, Luksemburg: SES, S3, CloudFront | Slanje e-pošte; pohrana logotipa, avatara, PDF-ova Ponuda i Računa, izvoza i sigurnosnih kopija; isporuka datoteka | EU (Frankfurt); CloudFront privremeno sprema datoteke na poslužiteljima širom svijeta |
| Cloudflare, Inc., SAD | DNS, zaštita od napada, Turnstile, vlastite domene organizacija, izvješća o e-pošti (DMARC) | Globalna mreža |
| TOPefekt s.r.o. (BulkGate), Češka | Slanje SMS poruka (kodovi, potvrde, podsjetnici) | EU (Češka) |
| Functional Software, Inc. (Sentry), SAD | Praćenje pogrešaka | Podaci o pogreškama u EU (Frankfurt); podaci o našem Sentry računu u SAD-u |
| Microsoft Ireland Operations Limited (Microsoft 365) | Poštanski sandučić [email protected], uključujući obavijesti o zahtjevima za Ponude i uplatama | EU |
| Sendinblue SAS (Brevo), Francuska | Lista čekanja i marketinške poruke | EU (Francuska, Njemačka, Belgija) |
| E-RAČUNI d.o.o., Varaždin, Hrvatska | Izdavanje i pohrana Ponuda i Računa (automatski ili ručnim unosom), slanje eRačuna, fiskalizacija | Hrvatska / EU |
6.2. Drugi primatelji
- Enable Banking Oy, Finska, licencirani pružatelj usluge informiranja o računu. Za nas čita dolazne uplate na naš poslovni račun.
- Privredna banka Zagreb d.d., naša banka, preko koje primamo uplate i izvršavamo povrate.
- Porezna uprava, kojoj se u okviru fiskalizacije i razmjene eRačuna dostavljaju podaci o izdanim Računima.
- Primatelji eRačuna: Račun izdan poslovnom subjektu dostavlja se elektroničkim putem preko informacijskog posrednika.
- Tijela javne vlasti i sudovi, kada smo na to obvezni zakonom ili pravomoćnom odlukom.
7. Prijenos podataka izvan Europskoga gospodarskog prostora
Podatke nastojimo obrađivati u EU. Neki pružatelji (Cloudflare, Laravel, Sentry, CloudFront mreža Amazona, a u iznimnim slučajevima i Microsoft) mogu podatke obraditi u SAD-u ili drugim trećim zemljama. U tim slučajevima prijenos se temelji na:
- Okviru za zaštitu podataka EU–SAD (Provedbena odluka Komisije (EU) 2023/1795), za pružatelje certificirane u tom okviru, i/ili
- standardnim ugovornim klauzulama Europske komisije (Provedbena odluka (EU) 2021/914).
Kopiju odgovarajućih zaštitnih mjera možete zatražiti na [email protected].
8. Kolačići i slične tehnologije
Koristimo samo kolačiće nužne za rad usluge. Prema čl. 43. Zakona o elektroničkim komunikacijama za njih nije potrebna privola, pa nemamo traku za privolu. Ne koristimo kolačiće za analitiku, oglašavanje ni praćenje.
| Naziv | Svrha | Trajanje |
|---|---|---|
session | Prijava u račun (httpOnly) | Do odjave, najdulje 30 dana (sama prijava istječe nakon 15 dana) |
appotio_org | Zapamćena trenutno odabrana organizacija | 30 dana |
NEXT_LOCALE | Odabrani jezik | 1 godina |
APPOTIO_THEME | Svijetla ili tamna tema | 1 godina |
appotio_termini_view | Zapamćeni prikaz kalendara | 1 godina |
__cf_bm i slični kolačići Cloudflarea | Zaštita od botova i napada | Do 30 minuta |
Uz to, u lokalnoj pohrani preglednika (localStorage) pamtimo koje ste dijaloge već vidjeli, posebno za svaku organizaciju, te je li bočni izbornik sklopljen. Na javnim obrascima koristimo Cloudflare Turnstile, provjeru protiv botova koja ne služi za izradu profila ni oglašavanje.
Kolačiće možete obrisati ili blokirati u postavkama preglednika, ali tada se nećete moći prijaviti.
9. Marketinške poruke
Obavijesti o novostima, ponudama i najavama Appotija šaljemo samo uz vašu privolu, danu prijavom na listu čekanja ili posebnom kućicom koja nije unaprijed označena. Privolu možete povući u svakom trenutku, poveznicom za odjavu u svakoj poruci ili e-porukom na [email protected]. Povlačenje ne utječe na zakonitost ranijeg slanja.
Poruke nužne za uslugu, kao što su potvrde, kodovi, obavijesti o naplati, isteku pristupa, sigurnosti i izmjenama uvjeta, šaljemo bez obzira na privolu jer su dio ugovora.
10. Sigurnost
Podatke štitimo odgovarajućim tehničkim i organizacijskim mjerama, među ostalim:
- šifriranom vezom (HTTPS/TLS);
- pohranom zaporki isključivo u obliku jednosmjernog sažetka;
- dvofaktorskom autentifikacijom i pristupnim ključevima;
- šifriranjem datoteka i sigurnosnih kopija u pohrani (AES-256);
- ograničenjem broja zahtjeva i zaštitom od botova;
- sigurnosnim zapisnikom.
Od osoba na strani Pružatelja pristup poslužiteljima i podacima ima samo vlasnik obrta. Pružatelj ne pregledava termine ni klijente organizacije; vidi samo zbirne brojke i ono što organizacija sama napiše podršci, osim kada je to nužno za otklanjanje kvara, sigurnost, ispunjenje zakonske obveze ili na izričit zahtjev organizacije. Organizacija nam u aplikaciji može dopustiti privremeni pristup podršci, koji uvijek obuhvaća njezine postavke, a samo ako ih označi i usluge i radno vrijeme, tim te logotip; termine, klijente i odsutnosti ni tada ne vidimo, a svaki pregled i promjenu organizacija vidi u zapisniku (više u Ugovoru o obradi osobnih podataka).
Ako dođe do povrede osobnih podataka, postupit ćemo prema čl. 33. i 34. GDPR-a.
11. Vaša prava
U skladu s GDPR-om imate pravo:
- na pristup svojim podacima i kopiju podataka (čl. 15). Izvoz u JSON obliku dostupan je na stranici računa;
- na ispravak netočnih podataka (čl. 16). Većinu podataka možete sami urediti u profilu, a promjenu e-adrese ili broja mobitela potvrđujete kodom;
- na brisanje (čl. 17). Račun možete sami obrisati, osim dok ste vlasnik organizacije;
- na ograničenje obrade (čl. 18);
- na prenosivost podataka (čl. 20);
- na prigovor obradi koja se temelji na legitimnom interesu (čl. 21);
- povući privolu u svakom trenutku, bez utjecaja na zakonitost obrade prije povlačenja.
Zahtjeve šaljite na [email protected]. Odgovorit ćemo najkasnije u roku od mjesec dana. Taj se rok može produljiti za još dva mjeseca ako je zahtjev složen, o čemu ćemo vas obavijestiti. Možemo zatražiti dodatne podatke kako bismo potvrdili vaš identitet.
Neke podatke ne možemo obrisati dok ih zakon obvezuje čuvati, npr. Račune.
Pritužba nadzornom tijelu
Imate pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP): Ulica Metela Ožegovića 16, 10000 Zagreb · [email protected] · www.azop.hr
Možete se obratiti i nadzornom tijelu države članice EU u kojoj živite ili radite. Zahvalni smo ako nam se prije toga javite, kako bismo pokušali riješiti problem.
12. Automatizirano odlučivanje
Ne donosimo odluke koje se temelje isključivo na automatiziranoj obradi i koje za vas proizvode pravne ili slično značajne učinke (čl. 22. GDPR-a). Ne izrađujemo profile.
Automatske provjere, poput provjere je li besplatno razdoblje već iskorišteno ili ograničenja broja poruka, služe samo provedbi Uvjeta korištenja. Ako mislite da je provjera pogriješila, javite nam se.
13. Dob
Appotio smiju koristiti samo osobe koje su navršile 18 godina. Ne prikupljamo svjesno podatke osoba mlađih od 18 godina kao korisnika.
14. Ako ste klijent ili gost organizacije
Ako ste rezervirali termin ili ste klijent organizacije koja koristi Appotio, voditelj obrade vaših podataka je organizacija. Organizacija odlučuje koje podatke prikuplja, zašto i koliko ih dugo čuva. Mi te podatke obrađujemo samo u njezino ime i po njezinim uputama.
- Za pristup, ispravak, brisanje i druga prava obratite se izravno organizaciji. Ako se obratite nama, proslijedit ćemo zahtjev organizaciji i pomoći joj odgovoriti.
- Na stranici za online rezervaciju nalazi se poveznica na politiku privatnosti organizacije, ako ju je organizacija dodala.
- Online rezervacija postaje valjana tek kada je potvrdite u roku od 30 minuta. Nepotvrđene rezervacije i klijentski zapisi koji su time nastali automatski se brišu nakon 30 minuta.
- Radi zaštite javnih stranica od zlouporabe (ograničenja broja pokušaja, Turnstile), kratkotrajno obrađujemo IP adrese i tehničke podatke kao voditelj obrade, na temelju legitimnog interesa za sigurnost usluge. Iz istog razloga brojimo zahtjeve za potvrdu termina po broju mobitela i adresi e-pošte (do 24 sata) i poruke poslane na pojedinu adresu e-pošte; za to čuvamo samo sažetak (hash) adrese, najdulje 30 dana.
15. Izmjene ove politike
Politiku možemo mijenjati, npr. zbog novih funkcija, novih izvršitelja obrade ili promjena propisa. O bitnim izmjenama obavijestit ćemo vas e-poštom i obaviješću u aplikaciji najmanje 30 dana prije stupanja na snagu, a pri sljedećoj prijavi zatražit ćemo potvrdu da ste pročitali novu verziju. Datum posljednjeg ažuriranja naveden je na vrhu.
M5 Network, obrt za usluge, vl. Mišel Hergotić · Dravska 73 A, Strahoninec, 40000 Čakovec · OIB 61046442790 · [email protected] · +385 40 780 050