Politika zasebnosti

1. Upravljavec in kontakt

Ta politika zasebnosti pojasnjuje, kako se obdelujejo osebni podatki, ko uporabljate platformo EX & GO na naslovu exgo.io, njenih poddomenah in v mobilnih aplikacijah (v nadaljnjem besedilu: »platforma«). Zagotavljamo jo na podlagi 13. in 14. člena Uredbe (EU) 2016/679 (Splošna uredba o varstvu podatkov, »GDPR«).

Upravljavec je OmniNest s. r. o., IČO 57138443, Pekná cesta 2459/19, 831 52 Bratislava - mestská časť Rača, Slovenská republika; Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka 190627/B; e-mail admin@exgo.io (v nadaljnjem besedilu: »upravljavec«, »mi«). Za vsa vprašanja o osebnih podatkih in za uveljavljanje svojih pravic pišite na admin@exgo.io. Pooblaščene osebe za varstvo podatkov nismo imenovali, ker tega nismo dolžni storiti; zgornji naslov doseže osebe, odgovorne za varstvo podatkov.

Uporabniki, ki objavljajo oglase, sami odločajo, kaj napišejo o svojih predmetih in v svojih sporočilih. Upravljavec je kljub temu upravljavec osebnih podatkov, objavljenih v oglasih, in jih obdeluje v skladu s to politiko: uporabniki ne smejo objavljati osebnih podatkov drugih oseb (Pravila objavljanja, razdelek 5), oglase, ki take podatke nezakonito razkrivajo, pa odstranimo takoj, ko zanje izvemo. Ko prek platforme pridobite podatke drugega uporabnika (na primer naslov kupca), postanete samostojni upravljavec teh podatkov in jih smete uporabiti le za izvedbo posla.

2. Katere podatke obdelujemo

Podatki računa: ime, e-poštni naslov, profilna fotografija in identifikator, ki jih prejmemo od vašega ponudnika prijave (Google, Apple, Facebook) ali jih navedete sami; telefonska številka in potrditev, da jo nadzorujete; zgoščena vrednost gesla, nastavitve dvostopenjskega preverjanja; nastavitve jezika, mesta in prikaza.

Vsebina: oglasi (besedila, fotografije, videoposnetki, cena, lokacija), sporočila v klepetu, mnenja, prijave in pritožbe, prenosi v živo in objave v klepetu, podatki trgovine, pogovori s podporo in njihove priloge.

Podatki poslovnih prodajalcev: firma, naslov, registrska številka, kontaktni podatki in samopotrditev, ki jo zahteva 30. člen DSA; za izplačila — bančni podatki (IBAN).

Podatki o poslih: naročila in plačila plačljivih storitev, podatki o Varnem poslu (znesek, podatki kupca za dostavo, kot so ime, telefon in poslovalnica Nova Poshta, sledenje pošiljki), računi, vračila in vračila bremenitev (chargebacks). Celotnih številk kartic ne prejmemo — vnesejo se na strani ponudnika plačilnih storitev.

Tehnični podatki in podatki o uporabi: IP-naslov, vrsta naprave in brskalnika, operacijski sistem, različica aplikacije, žetoni za potisna obvestila, časi prijave, iskalne poizvedbe, ogledane strani in oglasi, kliki na gumbe za stik in na oglaševanje, kode priporočil in partnerske kode, varnostni signali in signali zlorabe (na primer števci omejevanja pogostosti in ocene tveganja). Državo določimo po naslovu IP s pomočjo lokalne zbirke podatkov (brez tretjih oseb) in jo hranimo v računu, da cene in obvestila prikazujemo v vaši lokalni valuti.

Podatki tretjih oseb: javni poslovni kontaktni podatki s predstavitvenih strani podjetij na drugih spletnih tržnicah (glej razdelek 14), podatki oglasov, ki jih na vašo zahtevo uvozimo iz OLX, Allegro, Prom in podobnih storitev, ter potrditve iz Telegrama, WhatsAppa ali Viberja, ko jih uporabite za potrditev svoje telefonske številke.

3. Nameni in pravne podlage

Za zagotavljanje platforme na podlagi pogodbe z vami (točka (b) prvega odstavka 6. člena GDPR): ustvarjanje in vodenje vašega računa, objavljanje in prikazovanje oglasov, klepet, obvestila o vaših oglasih in pogovorih, plačljive storitve, Varen posel, prenosi v živo, trgovine, uvozi in integracije, ki jih vklopite, podpora strankam.

Za izpolnjevanje zakonskih obveznosti (točka (c) prvega odstavka 6. člena GDPR): obravnava prijav nezakonite vsebine, obrazložitve, pritožbe in obveznosti glede preglednosti po Uredbi (EU) 2022/2065 (DSA); računovodske in davčne evidence o plačilih; odzivanje na zakonite odredbe organov.

Na podlagi naših zakonitih interesov (točka (f) prvega odstavka 6. člena GDPR), ki smo jih pretehtali glede na vaše interese: preverjanje poslovnih prodajalcev, da kupci vedo, s kom poslujejo; varnost platforme in njenih uporabnikov — odkrivanje goljufij, neželene pošte, prepovedanega blaga, lažnih računov in zlorab; zaščita računov; preprečevanje pravnih zahtevkov in obramba pred njimi; merjenje dosega oglasnih prostorov, ki jih kupijo oglaševalci, v združeni obliki; izboljševanje platforme z uporabo združenih statističnih podatkov; poslovno navezovanje stikov, opisano v razdelku 14. Obdelavi na podlagi zakonitih interesov lahko kadar koli ugovarjate (razdelek 11).

Z vašo privolitvijo (točka (a) prvega odstavka 6. člena GDPR): analitični piškotki in oznaka Google (razdelek 10), potisna obvestila v brskalniku in aplikaciji, obvestila prek Telegrama, WhatsAppa ali Viberja, e-novice. Privolitev lahko kadar koli prekličete, ne da bi to vplivalo na zakonitost prejšnje obdelave.

Zagotovitev podatkov računa in podatkov, potrebnih za posel, je nujna za uporabo s tem povezanih funkcij; brez njih jih ne moremo zagotoviti. Vse drugo je prostovoljno.

4. Samodejno moderiranje in odločitve

Za zaščito uporabnikov vsak oglas, sporočilo, fotografijo in videoposnetek preverijo samodejni sistemi. Mehanizem na podlagi pravil išče znake goljufije, neželene pošte, prepovedanega blaga in vsebine za odrasle. Fotografije in sličice iz videoposnetkov analizirajo modeli za prepoznavanje slik. Povezave v besedilih se preverijo v zbirki podatkov nevarnih spletnih mest.

Posledično se lahko oglas zadrži za pregled pri moderatorju ali zavrne, sporočilo se lahko zadrži pred prejemnikom, fotografija pa lahko oglas vrne v pregled. Ponavljajoče se potrjene kršitve lahko vodijo do začasne omejitve po naši politiki glede zlorabe (Pogoji uporabe, razdelek 14). Oglasi brez signalov tveganja se lahko objavijo samodejno.

Take odločitve so nujne za izvajanje pogodbe in izpolnjevanje naših obveznosti po DSA. Vsako odločitev vam pojasnimo in jo lahko izpodbijate v svojem računu; pritožbo pregleda človek (tretji odstavek 22. člena GDPR, 20. člen DSA). Avtomatizirane obdelave ne uporabljamo za oblikovanje trženjskih profilov in oglaševanja ali oglasov nikoli ne izbiramo na podlagi profila gledalca.

5. Kaj vidijo drugi uporabniki

Vaši oglasi, fotografije, videoposnetki, cena, mesto, ime ali vzdevek v vašem profilu, datum, ko ste se pridružili, mnenja o vas in vaša trgovina so javni in jih lahko indeksirajo spletni iskalniki. Vaša telefonska številka je prikazana le, če jo izberete za prikaz v oglasu; če se s tem strinjate v svojih nastavitvah, se od drugih uporabnikov zahteva, da upravljavcu plačajo pristojbino za ogled številke, ki ste jo izbrali za prikaz, kar vas varuje pred množičnim zbiranjem številk z boti. Številko lahko v oglasu kadar koli skrijete. Če ste poslovni prodajalec, so ob vaših oglasih prikazani podatki trgovca, ki jih zahteva zakon.

Prenosi v živo so javni: vsak gledalec lahko vidi in sliši, kar pokažete in poveste. Platforma prenosov ne snema. Vaša sporočila v klepetu vidite le vi in drugi udeleženec ter moderatorji, kadar je sporočilo prijavljeno ali zadržano iz varnostnih razlogov.

6. Prejemniki in obdelovalci

Osebne podatke delimo le v nujnem obsegu, in sicer z obdelovalci, ki delujejo po naših navodilih na podlagi pogodb o obdelavi podatkov, ter s samostojnimi upravljavci, kadar je to potrebno za storitev, ki jo uporabljate.

Gostovanje in infrastruktura: Hetzner Online GmbH (Nemčija) — strežniki, podatkovna zbirka, naši lastni poštni strežniki in strežniki za video v živo; Cloudflare, Inc. — shranjevanje in dostava fotografij in videoposnetkov (R2) ter, kjer je vklopljena, zaščita pred boti (Turnstile).

Komunikacija: prehodi SMS (SMS-fly, Messaggio, TurboSMS, Twilio — samo telefonska številka in koda); Telegram, WhatsApp (Meta Platforms Ireland Ltd.) in Viber — ko jih izberete za potrditev telefonske številke ali prejemanje obvestil; Google Firebase Cloud Messaging in Apple Push Notification service ter storitve potisnih obvestil proizvajalcev brskalnikov — za potisna obvestila. E-pošto pošilja naš lastni poštni strežnik neposredno vašemu ponudniku e-pošte.

Plačila: LiqPay (JSC CB PrivatBank), Stripe Payments Europe Ltd. in Apple (za nakupe v aplikaciji za iOS) prejmejo podatke, potrebne za obdelavo plačil, vračil in preverjanje goljufij, in pri svojih lastnih obveznostih delujejo kot samostojni upravljavci.

Moderiranje in podpora: ponudniki modelov umetne inteligence — trenutno Alibaba Cloud (Model Studio, mednarodna regija) za analizo slik in asistenta podpore ter Amazon Web Services EMEA SARL (Rekognition, regija Frankfurt) kot drugo preverjanje slik; Google (Web Risk) prejme le povezave, najdene v besedilih. Prejmejo fotografijo, sličico ali besedilo za analizo, brez podatkov vašega računa, pod poslovnimi pogoji, ki jim ne dovoljujejo, da bi jih uporabili za lastne namene.

Analitika: Google Ireland Ltd. (Google Tag Manager, Google Analytics 4) — le z vašo privolitvijo, kadar je ta potrebna (razdelek 10).

Prijava in integracije: Google, Apple in Meta (Facebook), ko se prijavite z njimi; OLX, Allegro, Prom in Google Merchant Center, ko jih povežete; Nova Poshta za iskanje poslovalnic pri Varnem poslu (mi ji ne pošiljamo osebnih podatkov); Checkbox (Ukrajina), ko poslovni prodajalec izda davčni račun prek svoje povezane davčne blagajne — takrat podatke računa, vključno z e-poštnim naslovom kupca, če ga prodajalec vnese, obdelujemo mi kot obdelovalec prodajalca in Checkbox za tega prodajalca.

Organi in drugi: sodišča, organi kazenskega pregona in regulatorji, kadar nam to nalaga zakon ali odredba ali kadar je to potrebno za zaščito pravic in varnosti uporabnikov in tretjih oseb; zbirka podatkov Evropske komisije o preglednosti po DSA prejme obrazložitve brez osebnih podatkov; strokovni svetovalci, zavezani k zaupnosti; pravni naslednik v primeru reorganizacije ali prodaje podjetja. Osebnih podatkov ne prodajamo.

7. Prenosi zunaj EU/EGP

Naši glavni strežniki so v Evropski uniji. Nekateri prejemniki (na primer Google, Meta, Apple, Stripe, Twilio, Cloudflare, Alibaba Cloud, Telegram) lahko podatke obdelujejo v državah zunaj EGP, vključno z Združenimi državami, Singapurjem, Združenim kraljestvom in Ukrajino.

Taki prenosi potekajo le, kadar je Evropska komisija priznala ustrezno raven varstva (na primer okvir EU-ZDA za zasebnost podatkov za certificirana podjetja, Združeno kraljestvo), ali na podlagi standardnih pogodbenih klavzul Komisije, po potrebi z dodatnimi zaščitnimi ukrepi (45. in 46. člen GDPR). Za uporabnike, ki jim storitev zagotavlja ukrajinski upravljavec, prenosi v države, za katere ni priznano, da zagotavljajo ustrezno raven varstva, temeljijo na nujnosti izvajanja pogodbe z vami ali na vaši privolitvi (29. člen Zakona Ukrajine »O varstvu osebnih podatkov«). Kopijo ustreznih zaščitnih ukrepov lahko dobite na admin@exgo.io.

8. Kako dolgo hranimo podatke

Račun in vsebina: dokler vaš račun obstaja. Ko izbrišete račun, se vaš profil, oglasi, fotografije, sporočila in trgovina nemudoma izbrišejo, osebni podatki v preostalih zapisih (na primer podatki za dostavo v zaključenem Varnem poslu) pa se izbrišejo ali anonimizirajo; varnostne kopije, ki jih vsebujejo, se prepišejo v 14 dneh.

Oglasi potečejo po 30 dneh, če niso podaljšani. Kode za potrditev telefona veljajo 10 minut. Dnevniki iskanja (s psevdonimiziranim IP-naslovom) se hranijo 90 dni, obvestila 90 dni, podatki o dosegu oglaševanja 120 dni, združeni statistični podatki o oglaševanju in partnerjih 400 dni.

Pogovori s podporo: kontaktni podatki se anonimizirajo 90 dni po zadnji dejavnosti, pogovor pa se izbriše po 365 dneh. Kontakti za poslovno navezovanje stikov: 180 dni, če jim nismo nikoli pisali, 730 dni po zadnjem pismu ali takoj na zahtevo.

Podatki, ki jih moramo hraniti po zakonu, se hranijo toliko časa, kot zahteva zakon, nato pa se izbrišejo: računovodske evidence in evidence o plačilih (praviloma 10 let), odločitve o moderiranju in obrazložitve (za čas morebitnih pritožb in postopkov), podatki, ohranjeni po odredbi organa. Podatki, potrebni za uveljavljanje ali obrambo pravnih zahtevkov, se hranijo do zastaranja zahtevka.

9. Varnost

Uporabljamo šifrirane povezave (HTTPS), zgoščevanje gesel, neobvezno dvostopenjsko preverjanje, šifriranje žetonov za integracije, nadzor dostopa in beleženje dejavnosti osebja, omejevanje pogostosti ter redne varnostne kopije, shranjene v EU.

Noben sistem ni popolnoma varen. Če bi kršitev varstva osebnih podatkov verjetno povzročila veliko tveganje za vaše pravice, bomo vas in nadzorni organ obvestili, kot zahtevata 33. in 34. člen GDPR.

10. Piškotki in podobne tehnologije

Nujno potrebni piškotki, ki ne zahtevajo privolitve: seja prijave (authjs.session-token in povezani piškotki CSRF in callback), koraki dvostopenjske prijave in prijave s telefonom (exgo_2fa, exgo_phlogin), gostujoča seja podpore (exgo_support, 30 dni) in vaš odgovor na pasico o piškotkih (consent, 1 leto).

Funkcionalni piškotki in shramba, ki ohranjajo vaše izbire: jezik (NEXT_LOCALE), barvna tema (theme), prikaz kataloga in valuta prikaza (catalog_view, display_currency, 1 leto), izbrano mesto (geo_city), osnutek oglasa, ki ga pišete (exgo.post.draft v lokalni shrambi vašega brskalnika), zaprti pozivi k namestitvi in nastavitve obvestil.

Piškotki za pripisovanje, ki beležijo, katero povabilo, partner ali oglas vas je pripeljal, da se nagrada ali statistika oglaševanja pravilno upošteva: exgo_ref (30 dni), exgo_p (90 dni), exgo_adref (7 dni). Nastavijo se šele, ko v pasici sprejmete piškotke, vsebujejo le kodo, ne vaše identitete, in se ne delijo s tretjimi osebami.

Analitični piškotki in piškotki za merjenje oglaševanja (Google Tag Manager, Google Analytics 4 in Googlovi oglaševalski signali) se uporabljajo le, potem ko v pasici kliknete »Sprejmi«, ne glede na to, kje ste. Merijo, kako se platforma uporablja in kako uspešne so naše lastne oglaševalske kampanje; Google lahko podatke uporablja po svojih pogojih kot samostojni upravljavec. Če jih zavrnete, se oznaka Google ne naloži. Nikoli se ne naloži na straneh za prijavo, registracijo, ponastavitev gesla in prijavo vsebine ter v aplikaciji za iOS.

Če ste sprejeli piškotke in prišli prek povezave do trgovine, pripravljene za prenos na platformo, podpisan piškotek (za največ 30 dni) zabeleži to povezavo, da se ji lahko pripišejo uvoz in plačila, ki iz nje izhajajo. Preklic privolitve izbriše to povezavo, razen finančnih evidenc, ki jih moramo hraniti; če pozneje znova privolite, se prejšnja dejavnost ne obnovi.

Svojo izbiro lahko kadar koli spremenite ali prekličete prek »Nastavitve piškotkov« na dnu vsake strani ali v nastavitvah pod to politiko; preklic je enako preprost kot dajanje privolitve (tretji odstavek 7. člena GDPR). Nastavitve brskalnika omogočajo tudi blokiranje piškotkov, vendar platforma brez nujno potrebnih piškotkov ne bo delovala.

11. Vaše pravice

Po GDPR imate pravico: do dostopa do svojih podatkov in prejema kopije (15. člen); do popravka netočnih podatkov (16. člen); do izbrisa podatkov (17. člen); do omejitve obdelave (18. člen); da podatke, ki ste jih zagotovili, prejmete v strukturirani, strojno berljivi obliki in jih posredujete drugemu upravljavcu (20. člen); da privolitev kadar koli prekličete.

Pravica do ugovora (21. člen): kadar koli lahko iz razlogov, povezanih z vašim posebnim položajem, ugovarjate obdelavi na podlagi naših zakonitih interesov; obdelavo bomo nato prenehali, razen če izkažemo nujne zakonite razloge ali podatke potrebujemo za pravne zahtevke. Uporabi svojih podatkov za neposredno trženje lahko kadar koli ugovarjate brez navedbe razlogov.

Imate pravico, da za vas ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi in na vas znatno vpliva, ter da dosežete človeško posredovanje pri taki odločitvi, izrazite svoje stališče in jo izpodbijate (22. člen) — s pritožbo v svojem računu.

Imate pravico vložiti pritožbo pri nadzornem organu, zlasti v državi članici EU, v kateri imate običajno prebivališče, kraj dela ali v kateri je domnevno prišlo do kršitve. Kadar je upravljavec slovaška družba, je vodilni organ Urad za varstvo osebnih podatkov Slovaške republike (Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk). Kadar je upravljavec ukrajinski samostojni podjetnik, se uporablja ukrajinsko pravo varstva osebnih podatkov, pristojni organ pa je pooblaščenec Verhovne rade Ukrajine za človekove pravice (ombudsman.gov.ua). Uporabniki na Poljskem se lahko obrnejo tudi na predsednika Urada za varstvo osebnih podatkov (UODO), na Češkem na ÚOOÚ, v Romuniji na ANSPDCP, v Bolgariji na Komisijo za varstvo osebnih podatkov, v Sloveniji na Informacijskega pooblaščenca, v Izraelu pa na Organ za varstvo zasebnosti.

12. Kako uveljavljate svoje pravice

Večino pravic lahko uveljavite neposredno v svojem računu: uredite profil, prenesite kopijo svojih podatkov (»Prenesite svoje podatke«), izklopite obvestila, izbrišite račun. Za vse drugo pišite na admin@exgo.io z e-poštnega naslova, povezanega z vašim računom.

Odgovorimo v enem mesecu; pri zapletenih ali številnih zahtevah se lahko ta rok podaljša za nadaljnja dva meseca, o čemer vas obvestimo z navedbo razlogov. Zahteve so brezplačne, razen če so očitno neutemeljene ali pretirane. Lahko zahtevamo informacije za potrditev vaše identitete. Kopija vaših podatkov zaradi varstva pravic drugih ne vključuje sporočil, ki so jih napisali drugi ljudje, niti identitete tistih, ki so o vas napisali mnenja.

13. Otroci

Platforma je namenjena polnoletnim osebam (od 18 let) in ni usmerjena k otrokom. Podatkov mladoletnih oseb zavestno ne zbiramo in jim ne prikazujemo oglaševanja na podlagi oblikovanja profilov. Če menite, da je račun ustvaril otrok, nam to sporočite na admin@exgo.io in ga bomo izbrisali.

14. Kontakti podjetij iz javnih virov

Zbiramo objavljene poslovne kontakte (e-pošta, včasih telefon) s spletnih strani trgovin podjetij na drugih spletnih tržnicah, da enkrat predlagamo prenos te trgovine k nam. Kontaktov fizičnih oseb sploh ne hranimo.

Vir je naveden v pismu samem, skupaj z našim pravnim imenom in poštnim naslovom. Podlaga je zakoniti interes (točka (f) prvega odstavka 6. člena GDPR); obvestilo o viru je podano na podlagi 14. člena GDPR.

Hranimo tudi posnetek javne strani trgovine (naslovi, cene, povezave do slik), da pokažemo, kako bi bila videti pri nas. Ta stran ni indeksirana in je dosegljiva le prek povezave iz pisma.

Vsako pismo vsebuje povezavo, s katero nam za vedno prepoveste pisati: naslov trajno pride na seznam zavrnitev. Kontakte, ki jim nismo nikoli pisali, izbrišemo po 180 dneh, tiste, ki smo jim pisali, po 730. Na zahtevo na admin@exgo.io zapis in posnetek izbrišemo takoj.

15. Obvestila in trženjska sporočila

Servisna sporočila — o vašem računu, varnosti, oglasih, sporočilih, plačilih, odločitvah o vaši vsebini in spremembah naših pogojev — so del storitve in se pošiljajo ne glede na nastavitve trženja.

Opozorila o shranjenih iskanjih, potisna obvestila, sporočila v Telegramu, WhatsAppu ali Viberju in e-novice se pošiljajo le, če jih vklopite. Oglasna sporočila so kot taka označena, navajajo pošiljatelja in omogočajo odjavo; vsako e-poštno sporočilo vsebuje povezavo za odjavo, vse kanale pa je mogoče izklopiti v nastavitvah računa ali v nastavitvah naprave.

16. Spremembe te politike

To politiko posodobimo, ko se naša obdelava spremeni, na primer ko dodamo funkcijo ali zamenjamo ponudnika. Datum veljavne različice je naveden na vrhu. O bistvenih spremembah vas bomo pred začetkom njihove veljavnosti obvestili po e-pošti ali v vašem računu; kadar sprememba zahteva vašo privolitev, vas bomo zanjo prosili.