Politika zasebnosti

1. Kaj ta politika ureja

QList je storitev za ustvarjanje QR kod z analitiko skeniranj in za posredovanje oddaj HTML obrazcev po e-pošti. Ta politika pojasnjuje, katere osebne podatke obdelujemo, zakaj, katere storitve pri tem uporabljamo, kako dolgo podatke hranimo in kakšne pravice imate. Velja za spletno mesto qlist.io, aplikacijo na app.qlist.io, QR kode, ki preusmerjajo prek qlist.io, in obrazce, ki se oddajo na api.qlist.io.

2. Dve vlogi: kdaj odločamo mi in kdaj naše stranke

Po Splošni uredbi o varstvu podatkov (GDPR) nastopamo v dveh različnih vlogah; katera velja za vas, je odvisno od tega, kako ste prišli v stik s QList.

• Smo upravljavec za obiskovalce qlist.io, imetnike računov in osebe, ki nas kontaktirajo. Mi odločamo, kaj se zbira in zakaj. To opisujejo razdelki 3a, 3d in 3e.
• Smo obdelovalec za podatke, ki nastanejo, ko nekdo skenira QR kodo, ki jo je ustvarila ena od naših strank, ali odda obrazec, ki ga je ena od naših strank povezala s QList. Stranka (lastnik kode ali obrazca) je upravljavec; te podatke obdelujemo po njenih navodilih, ki so določena v naših Pogojih in določilih. To opisujeta razdelka 3b in 3c. Če ste skenirali kodo ali izpolnili obrazec na spletnem mestu ali tiskovini druge organizacije, je za podatke odgovorna ta organizacija in se najprej obrnite nanjo. Pomagali ji bomo odgovoriti.

3. Katere podatke zbiramo

a. Imetniki računov (upravljavec smo mi)

• E-poštni naslov, ki se uporablja za prijavo (enkratna koda po e-pošti) in za obveščanje o storitvi.
• Če se prijavite z Googlom: e-poštni naslov, ime in identifikator računa, ki nam jih posreduje Google. Vašega Googlovega gesla ne prejmemo.
• Ime in podatki o organizaciji, če jih vnesete.
• Nastavitve, ki jih določite, vključno z e-poštnimi naslovi prejemnikov vaših obrazcev, ključi Google reCAPTCHA ali Cloudflare Turnstile (shranjeni šifrirano) in identifikatorjem Telegram klepeta, če ga povežete za obvestila.
• QR kode, skupine, obrazci in datoteke, ki jih ustvarite. Naložene datoteke in ustvarjene vizitke (vCard) hranimo, da jih vaše QR kode lahko strežejo.

b. Osebe, ki skenirajo QR kodo (obdelovalec smo mi; upravljavec je lastnik kode)

Vsaka QList QR koda kaže na kratko povezavo na qlist.io. Ob skeniranju obiskovalca preusmerimo na cilj, ki ga je določil lastnik kode, in skeniranje zabeležimo. Za vsako skeniranje shranimo:

• datum in uro;
• naslov IP naprave;
• niz user-agent brskalnika, iz katerega izpeljemo vrsto naprave in operacijski sistem;
• približno lokacijo, izpeljano iz naslova IP (država, regija, mesto in približne koordinate), skupaj z oznako, ali naslov pripada podatkovnemu centru ali anonimizacijskemu omrežju. V ta namen naslov IP pošljemo storitvi ipapi.is, ponudniku geolokacije s sedežem v Nemčiji; če ta storitev ni na voljo, poizvedba poteka na našem strežniku z uporabo podatkovne baze GeoLite2, ki jo ustvarja MaxMind.
• oceno »bot«, ki iz zgornjih podatkov oceni, ali je zahtevo poslalo avtomatizirano orodje (na primer robot za predogled povezav) in ne oseba.

Na napravo, s katero skenirate, se nič ne namesti in račun ni potreben. Imena ali identitete osebe, ki skenira, ne izvemo. Lastnik kode vidi te podatke v svoji nadzorni plošči, združene po državi, mestu, času in napravi.

c. Osebe, ki oddajo obrazec (obdelovalec smo mi; upravljavec je lastnik obrazca)

Ko je oddan obrazec, povezan s QList, prejmemo in shranimo:

• vsa polja, ki jih obrazec pošlje, natanko tako, kot jih je zasnoval lastnik obrazca (običajno ime, e-poštni naslov in sporočilo);
• naslov IP naprave, ki je obrazec oddala;
• ali je oddaja uspela ali je bila zavrnjena (na primer zaradi zaščite pred neželeno pošto);
• če je lastnik obrazca omogočil Google reCAPTCHA ali Cloudflare Turnstile, žeton za preverjanje, ki ga pošljemo Googlu ali Cloudflaru v preverjanje. Ti storitvi lahko na strani, kjer je obrazec prikazan, nastavita svoje piškotke; za to je odgovorno spletno mesto lastnika obrazca.

Oddajo posredujemo po e-pošti na naslov(e), ki jih je določil lastnik obrazca, in, če je povezal Telegram klepet, kot sporočilo v Telegramu. Oddaja ostane v zgodovini v nadzorni plošči lastnika obrazca.

d. Obiskovalci qlist.io in app.qlist.io

• Analitika (samo z vašo privolitvijo): z Google Tag Managerjem in Google Analytics spremljamo, kako se spletno mesto uporablja (obiskane strani, približna lokacija, naprava in brskalnik, napotitveno mesto). Ta orodja so blokirana, dokler jih ne sprejmete v pasici s piškotki. Glejte razdelek 5.
• Strežniški dnevniki: naš API za varnost in odpravljanje napak beleži zahtevano pot, naslov IP in niz user-agent vsake zahteve. Ti dnevniki se izbrišejo po 30 dneh.
• Poročila o napakah: ko se kaj pokvari, se poročilo s tehničnimi podrobnostmi pošlje naši storitvi za spremljanje napak (Sentry). Vsebina zahtev, piškotki in avtorizacijske glave se pred pošiljanjem odstranijo, tako da vsebina obrazcev in prijavni podatki niso vključeni.

e. Kontaktni obrazec na qlist.io

Naš kontaktni obrazec je QList obrazec. Kar vnesete, obravnavamo, kot je opisano v 3c, pri čemer smo upravljavec mi, in uporabimo izključno za odgovor.

4. Zakaj podatke uporabljamo in na kakšni pravni podlagi

• Zagotavljanje storitve (ustvarjanje računa, preusmerjanje QR kod, dostava oddaj obrazcev, prikaz analitike lastniku): izvajanje pogodbe, člen 6(1)(b) GDPR, oziroma obdelava po navodilih stranke, kjer smo obdelovalec.
• Varnost, preprečevanje zlorab in odpravljanje napak (strežniški dnevniki, ocena botov, poročila o napakah, zaščita pred neželeno pošto): naš zakoniti interes za zanesljivo in varno storitev, člen 6(1)(f).
• Analitika spletnega mesta (Google Analytics): vaša privolitev, člen 6(1)(a), dana prek pasice s piškotki in kadar koli preklicljiva.
• Obvestila o storitvi (na primer vnaprejšnje obvestilo o morebitni spremembi cen): izvajanje pogodbe in zakoniti interes. Trženjskih novičnikov ne pošiljamo.
• Zakonske obveznosti: člen 6(1)(c), kadar moramo podatke hraniti ali razkriti.

5. Piškotki in podobne tehnologije

qlist.io ob prvem obisku prikaže pasico s piškotki. Dokler se ne odločite, je Googlov način privolitve nastavljen na »zavrnjeno« za analitiko, oglaševanje in personalizacijo in analitični piškotki se ne nastavijo. Vaša izbira se shrani v vašem brskalniku (ključ localStorage consentMode) in jo lahko kadar koli spremenite z ikono piškotka v spodnjem levem kotu. V brskalniku shranimo tudi vašo jezikovno nastavitev (langPref), če zaprete ali uporabite preklopnik jezika; to ni piškotek za sledenje.

app.qlist.io uporablja piškotke in lokalno shrambo, potrebne za to, da ostanete prijavljeni. Ti so nujno potrebni in ne zahtevajo privolitve.

Obrazci, vgrajeni na spletnih mestih naših strank, sami ne nastavljajo piškotkov. Če lastnik obrazca omogoči Google reCAPTCHA ali Cloudflare Turnstile, lahko ta ponudnika nastavita piškotke na strankinem spletnem mestu v strankini odgovornosti.

6. Komu podatke posredujemo

Osebnih podatkov ne prodajamo. Uporabljamo naslednje ponudnike storitev (obdelovalce), ki jih zavezuje pogodba o obdelavi podatkov:

Podatke lahko razkrijemo tudi, kadar to zahteva zakon, sodna odločba ali javni organ, ter strokovnim svetovalcem, zavezanim k zaupnosti.

7. Mednarodni prenosi

Naša podatkovna baza in shramba datotek sta v Evropski uniji. Nekateri ponudniki iz razdelka 6 (Google, Sentry, Resend, Telegram ter deli omrežij Render in Cloudflare) lahko podatke obdelujejo v Združenih državah ali drugje zunaj Evropskega gospodarskega prostora. V takih primerih se opiramo na sklepe Evropske komisije o ustreznosti (vključno z okvirom EU-ZDA za zasebnost podatkov za certificirane ponudnike) ali na standardne pogodbene klavzule, skupaj s tehničnimi ukrepi, kot je šifriranje med prenosom.

8. Kako dolgo podatke hranimo

• Podatki računa: dokler račun obstaja, nato izbris v 30 dneh od zahteve za izbris.
• QR kode, dnevniki skeniranj, obrazci in oddaje: dokler lastnik ne izbriše kode, obrazca ali računa. Lastniki lahko v nadzorni plošči izbrišejo posamezne kode in obrazce; izbris kode odstrani njen dnevnik skeniranj, izbris obrazca odstrani njegovo zgodovino oddaj.
• Naložene datoteke in vizitke vCard: dokler ni izbrisana povezana QR koda.
• Strežniški dnevniki zahtev: 30 dni.
• Poročila o napakah: do 90 dni, skladno s hrambo pri Sentry.
• E-pošta, poslana prek Resend: Resend dnevnike dostave hrani omejen čas za odpravljanje težav z dostavljivostjo.
• Privolitev za piškotke in jezikovna nastavitev: v vašem brskalniku, dokler ju ne izbrišete.

9. Vaše pravice

Po GDPR imate pravico:

• do dostopa do osebnih podatkov, ki jih hranimo o vas;
• do popravka netočnih podatkov;
• do izbrisa podatkov;
• do omejitve obdelave ali ugovora obdelavi, vključno z obdelavo na podlagi zakonitega interesa;
• do preklica privolitve kadar koli (za analitiko uporabite ikono piškotka na tem spletnem mestu);
• do prejema podatkov, ki ste jih posredovali, v prenosljivi obliki;
• do pritožbe pri nadzornem organu. V Sloveniji je to Informacijski pooblaščenec, www.ip-rs.si. Pritožite se lahko tudi pri organu države EU, v kateri živite.

Za uveljavljanje teh pravic pišite na info@qlist.io z naslova, povezanega z vašim računom, ali opišite zadevno QR kodo oziroma obrazec. Odgovorimo v enem mesecu. Če se vaša zahteva nanaša na skeniranje ali oddajo obrazca na kodi ali spletnem mestu druge organizacije, jo bomo posredovali tej organizaciji in ji pomagali, ker je ona upravljavec teh podatkov.

10. Varnost

• Vse povezave na qlist.io, app.qlist.io in api.qlist.io uporabljajo HTTPS.
• Podatki vsake stranke so ločeni na ravni podatkovne baze (varnost na ravni vrstic), tako da ena stranka ne more brati kod, skeniranj ali oddaj druge.
• Skrivni ključi captcha, ki jih shranite pri nas, so šifrirani v mirovanju.
• Prijava poteka z enkratnimi kodami ali prijavo z Googlom; gesla nikoli ne shranjujemo.
• Vsebina obrazcev in prijavni podatki se odstranijo iz poročil o napakah, preden ta zapustijo naše strežnike.
• Dostop do produkcijskih sistemov je omejen na upravljavca in zaščiten z večstopenjsko avtentikacijo.

Noben sistem ni popolnoma varen. Če izvemo za kršitev, ki vpliva na vaše podatke, vas in nadzorni organ obvestimo, kot zahteva GDPR.

11. Otroci

QList ni namenjen otrokom, mlajšim od 16 let, in njihovih podatkov zavestno ne zbiramo. Če menite, da je otrok ustvaril račun, nas kontaktirajte in ga bomo izbrisali.

12. Spremembe te politike

Vsako spremembo objavimo na tej strani z novim datumom veljavnosti. Če sprememba bistveno vpliva na uporabo vaših podatkov, imetnike računov o tem obvestimo po e-pošti, preden začne veljati.

13. Kontakt

FRISEMA d.o.o., Koliška ulica 17B, Vir, 1230 Domžale, Slovenija
Matična številka 8379025000, ID za DDV SI45732507
info@qlist.io

Glejte tudi naše Pogoje in določila. Stranke, ki potrebujejo podpisano pogodbo o obdelavi podatkov za skeniranja in oddaje obrazcev, ki jih obdelujemo v njihovem imenu, jo lahko zahtevajo na info@qlist.io.