Politika zasebnosti

1. Upravljavec osebnih podatkov

Upravljavec osebnih podatkov, zbranih prek spletne strani anjart.si, je:

V nadaljevanju upravljavca naslavljamo z "AnjArt" ali "atelje".

2. Kateri podatki se zbirajo

a) Podatki ob rezervaciji termina

Ob rezervaciji termina (prek Instagrama, telefona ali e-pošte) zbiramo: ime in priimek, kontaktni podatek (telefon ali e-mail), izbrana storitev, datum in ura termina, morebitne opombe stranke.

b) Podatki o zdravju (občutljiva kategorija)

Pred izvedbo določenih kozmetičnih storitev (npr. gel ali BIAB manikura, lifting trepalnic, laminacija obrvi) lahko v pogovoru pridobimo informacije o znanih alergijah na kozmetične izdelke, kožnih boleznih ali poškodbah, nosečnosti (pri storitvah, kjer je to pomembno) in predhodnih nezaželenih reakcijah na podobne storitve.

Pravna podlaga: izrecna privolitev stranke (GDPR čl. 9/2/a). Te podatke obdelujemo izključno z namenom varnega izvajanja storitve in jih ne posredujemo tretjim osebam.

c) Strežniški dnevniki

Spletna stran in naročni sistem tečeta na infrastrukturi Cloudflare, ki ob vsakem zahtevku tehnično zabeleži IP naslov, časovni žig zahtevka, HTTP user-agent in napotitveni naslov. Teh zapisov sami ne vodimo, ne shranjujemo in do njih nimamo dostopa — nastanejo in se hranijo v Cloudflarovem omrežju, njihovo hrambo pa ureja Cloudflarova politika zasebnosti. Naročni sistem sam dnevnika zahtevkov ne vodi.

d) Piškotki

Stran uporablja minimalno število piškotkov, opisanih v 7. razdelku.

e) Tipografija in ostali viri

Pisave, slike in ostali viri strani se strežejo neposredno z domene anjart.si. Edina zunanja povezava je merilnik obiskanosti Cloudflare Web Analytics (static.cloudflareinsights.com), opisan v razdelku o piškotkih — deluje brez piškotkov in brez sledenja posamezniku.

3. Naročni sistem termini.anjart.si

Termine vodimo v spletnem naročnem sistemu na naslovu termini.anjart.si. Sistem je interni pripomoček ateljeja — stranke vanj nimajo dostopa in se vanj ne prijavljajo. Termin vpiše lastnica ateljeja, ko se zanj dogovorimo (osebno, po telefonu, prek Instagrama ali e-pošte).

Kateri podatki so v sistemu: ime in priimek, telefonska številka, e-naslov (le če ga sama navedeš — ni obvezen), datum in ura termina, izbrana storitev, cena in status termina, zgodovina obiskov (tudi za popust ob 5., 10. in 15. obisku) ter opombe k terminu.

Zakaj in na kateri podlagi: podatke obdelujemo, da lahko termin dogovorimo, ga izvedemo in te o njem obvestimo. Pravna podlaga je izvajanje pogodbe oziroma ukrepi pred njeno sklenitvijo (GDPR čl. 6/1/b). Brez imena in telefonske številke termina ne moremo potrditi. Avtomatiziranega odločanja ali profiliranja ne izvajamo.

Opombe in zdravstveni podatki: v opombe vpisujemo samo tisto, kar je nujno za izvedbo storitve. Če je za varno izvedbo pomemben zdravstveni podatek (npr. alergija, nosečnost, kožno stanje), gre za posebno vrsto osebnih podatkov po 9. členu GDPR — zapišemo ga samo z izrecno privolitvijo (čl. 9/2/a), izključno zaradi varne izvedbe storitve. Privolitev lahko kadar koli prekličeš in podatek nato izbrišemo.

Obvestila o terminu: obveščamo te po SMS — potrditev termina, opomnik dan prej, obvestilo o prestavitvi in o odpovedi. SMS tehnično pošilja Lertify (Ms3 d.o.o., Ljubljana), ki prejme tvoje ime, telefonsko številko in podatke o terminu. Če si navedla e-naslov, lahko isto obvestilo prejmeš tudi po e-pošti. Kadar so za naslednji dan vpisani termini, sistem zjutraj lastnici ateljeja pošlje njihov povzetek (imena strank in ure), ki ga tehnično posreduje Resend, Inc.

Kje sistem teče in kdo ima dostop: na infrastrukturi Cloudflare, Inc. (aplikacija Worker in baza D1). Povezava je šifrirana, vstop zaščiten z geslom in omejitvijo neuspelih poskusov prijave, stran pa je izključena iz iskalnikov. Dostop imata lastnica ateljeja in vzdrževalec sistema (HitraStran), ki podatkov ne uporablja za svoje namene.

Koliko časa hranimo: kontaktne podatke in zgodovino terminov hranimo, dokler si stranka ateljeja. Ker se obiski pri kozmetičnih storitvah vrstijo v zelo različnih razmikih — od nekaj tednov do več kot leta — vnaprejšnjega enotnega roka ne določamo.

Izbris na tvojo zahtevo: izbris svojih podatkov lahko zahtevaš kadar koli in brez pojasnjevanja — po e-pošti na info@anjart.si, po telefonu ali osebno v ateljeju. Izvedemo ga brez nepotrebnega odlašanja, najpozneje v enem mesecu od prejema zahteve. Ob izbrisu stranke se v istem koraku izbrišejo tudi vsi njeni termini in dnevnik poslanih obvestil.

Opombe o zdravju: hranimo jih, dokler ne prekličeš privolitve. Po preklicu jih izbrišemo brez nepotrebnega odlašanja, najpozneje v enem mesecu — pri tem tvojih drugih podatkov ni treba izbrisati, odstrani se samo opomba. Preklic ne vpliva na zakonitost obdelave pred preklicem.

4. Fotografije opravljenega dela

Na spletni strani in na Instagramu objavljamo fotografije opravljenega dela (nohti, obrvi, trepalnice). Fotografije objavimo samo z izrecno privolitvijo stranke (GDPR čl. 6/1/a); privolitev je prostovoljna, na izvedbo storitve ne vpliva in jo lahko kadar koli prekličeš. Imen strank ob fotografijah ne objavljamo. Če želiš, da fotografijo umaknemo, piši na info@anjart.si — odstranimo jo v najkrajšem možnem času.

5. Nameni obdelave in pravne podlage

• Rezervacija in izvedba termina: izvajanje pogodbe (GDPR čl. 6/1/b)
• Varno izvajanje kozmetičnih storitev: izrecna privolitev za občutljive podatke (GDPR čl. 9/2/a)
• Varovanje strani pred napadi: legitimni interes (čl. 6/1/f)

6. Prejemniki podatkov

• Cloudflare, Inc. (ZDA) — gostovanje strani in DNS. Prenos v ZDA temelji na SCC.
• Meta Platforms Ireland Ltd — če komunikacija poteka prek Instagram DM-jev, je Meta samostojni upravljavec teh sporočil v skladu s svojo politiko zasebnosti.
• Ms3 d.o.o. (Lertify, Ljubljana) — pošiljanje SMS obvestil o terminih.
• Resend, Inc. (ZDA) — pošiljanje e-pošte iz naročnega sistema. Prenos v ZDA temelji na SCC.
• HitraStran (izvajalec: Računalniške storitve, Remzo Hotić s.p., Papirniški trg 17, 1260 Ljubljana-Polje, matična št. 9413863000) — izdelava in vzdrževanje spletne strani ter naročnega sistema.

Osebnih podatkov ne prodajamo tretjim osebam in jih ne uporabljamo za neposredno trženje brez izrecne privolitve.

7. Piškotki

Stran ne uporablja lastnih piškotkov in ne nalaga sledilnih tehnologij. Edina izjema so tehnični piškotki infrastrukture:

• __cf_bm, cf_clearance — Cloudflare bot zaščita. Nujni.

Za razumevanje obiskanosti strani uporabljamo Cloudflare Web Analytics — merjenje deluje brez piškotkov in brez sledenja posamezniku. Zbirajo se zgolj zbirni, anonimni podatki (število ogledov, obiskana stran, država, vrsta brskalnika), ki jih ni mogoče povezati s posameznim obiskovalcem; pravna podlaga je zakoniti interes upravljavca (čl. 6(1)(f) GDPR).

8. Hramba podatkov

• Podatki o stranki in termini: dokler si stranka ateljeja; izbrišemo jih na tvojo zahtevo, najpozneje v enem mesecu od njenega prejema
• Opombe o zdravju (alergije ipd.): do preklica privolitve; po preklicu jih izbrišemo najpozneje v enem mesecu, brez brisanja tvojih drugih podatkov
• Dnevnik poslanih obvestil: izbriše se skupaj s podatki o stranki
• Strežniški dnevniki: rok hrambe določa ponudnik infrastrukture (Cloudflare) — sami jih ne vodimo in do njih nimamo dostopa

9. Tvoje pravice

Po Splošni uredbi o varstvu podatkov (GDPR) in Zakonu o varstvu osebnih podatkov (ZVOP-2) imaš pravico do dostopa do podatkov, popravka netočnih podatkov, izbrisa ("pravica do pozabe"), omejitve obdelave, prenosljivosti, ugovora obdelavi in preklica privolitve.

Pravice lahko uveljaviš s sporočilom na info@anjart.si. Odgovorimo brez nepotrebnega odlašanja, najpozneje v enem mesecu od prejema zahteve. Če je zahteva zapletena, se rok lahko podaljša za dva meseca, o čemer te obvestimo v prvem mesecu.

10. Pritožba pri nadzornem organu

Če meniš, da pri obdelavi tvojih osebnih podatkov kršimo GDPR ali ZVOP-2, lahko vložiš pritožbo pri:

11. Posodobitve politike

To politiko zasebnosti lahko občasno posodobimo. Datum veljavnosti trenutne različice je naveden na vrhu dokumenta.

12. Kontakt

Za vprašanja glede zasebnosti piši na: info@anjart.si