Politika zasebnosti ZavaGO
Velja od: 2. 9. 202
V tej politiki pojasnjujemo, kdo obdeluje vaše osebne podatke pri uporabi portala ZavaGO in pri pridobivanju oziroma sklepanju zavarovanja, zakaj jih obdeluje, komu jih posreduje, koliko časa jih hrani in katere pravice imate.
Osebne podatke obdelujemo v skladu s Splošno uredbo o varstvu podatkov (GDPR), Zakonom o varstvu osebnih podatkov (ZVOP-2) in drugimi veljavnimi področnimi predpisi.
1. Kdo je upravljavec
Portal ZavaGO in njegove tehnične funkcije
LexAI d.o.o.
Ulica talcev 15, 2000 Maribor
Matična številka: 7447523000
Davčna številka: 29166799
E-pošta: info@zavago.si
LexAI je samostojni upravljavec za delovanje in varnost portala, uporabniški račun Moj ZavaGO, lastno analitiko ter lastne e-novice, kadar uporabnik zanje poda veljavno privolitev.
Zavarovalno zastopanje
FINANČNA HIŠA, zavarovalno zastopniška družba d.o.o.
Ulica talcev 15, 2000 Maribor
Matična številka: 1913344000
ID za DDV: SI84062835
E-pošta: info@financnahisa.si
Finančna hiša je upravljavec podatkov, ki jih obdeluje za ugotavljanje zahtev in potreb, pripravo ali posredovanje ponudbe, zavarovalno zastopanje, pojasnjevanje dejanskih lastnosti produkta, komunikacijo z zavarovalnico in izpolnjevanje zakonskih obveznosti distributerja. Njeni pooblaščeni zastopniki individualno in sledljivo dostopajo do dodeljenih zadev v internem sistemu za vodenje in evidenco zavarovalnih zahtev, ker v njem prevzemajo in obravnavajo oddane zahteve. Po sklenitvi Finančna hiša stranko in svojo zastopniško dokumentacijo vodi tudi v svojem internem evidenčnem sistemu kot samostojni upravljavec. ZavaGO in Finančna hiša v opisanem postopku ne zagotavljata svetovanja oziroma osebnega priporočila iz 7.b člena ZZavar-1.
Skupni vstopni proces: LexAI zagotavlja obrazec ZavaGO, izračun oziroma primerjavo, tehnično izvedbo funkcije Svetovalka, možnost zahtevka za pojasnjevalni posvet, pravila prikaza in zapis oddane zahteve v internem sistemu za vodenje in evidenco zadev. Finančna hiša potrjuje zavarovalne vhodne podatke in metodologijo Svetovalke, določa podatke, potrebne za zavarovalno distribucijo, njeni pooblaščeni zastopniki pa neposredno dostopajo do dodeljenih zadev v tem sistemu ter izvedejo zahtevano pojasnilo oziroma prenos v sistem izbranega zavarovatelja. V internem sistemu se hranijo oddani obrazec ter dokazila o času in vsebini uporabnikovih izjav, kot so sprejem pogojev, potrditev prejema obvestila in morebitna izrecna privolitev za zdravstvene podatke. Za zbiranje, zapis, skupni dostop in predajo zadeve zato družbi nastopata kot skupna upravljavca po 26. členu GDPR. LexAI je odgovoren predvsem za preglednost in varnost obrazca, tehnično okolje ter začetno hrambo; Finančna hiša pa za zavarovalno metodologijo Svetovalke, nujnost produktnih podatkov, dodelitev in dostope zastopnikov, stik po izbranem kanalu in nadaljnjo zavarovalno distribucijo. Skupna kontaktna točka je info@zavago.si, zahtevo pa lahko vložite tudi na info@financnahisa.si ali proti katerikoli družbi. Po sklenitvi Finančna hiša svojo stranko in zastopniško dokumentacijo vodi v svojem ločenem internem evidenčnem sistemu, izbrani zavarovatelj pa podatke obdeluje v svojem sistemu na lastnih pravnih podlagah. To je bistvo medsebojnega dogovora; celoten notranji dogovor, imena interne programske opreme, varnostne nastavitve in razdelitev stroškov se ne objavljajo.
Po predaji zadeve Finančni hiši družbi za svoje ločene nadaljnje namene nastopata kot samostojna upravljavca. LexAI podatkov iz zavarovalnih obrazcev ne uporablja za lastno trženje, profiliranje ali razvoj nepovezanih storitev. Za LexAI e-novice se uporablja samo e-naslov osebe, ki je podala ločeno tržno privolitev. Izbrani zavarovatelj je samostojni upravljavec podatkov, ki jih prejme za presojo rizika, pripravo ponudbe, sklenitev in izvajanje pogodbe.
Kontakt za zasebnost
Za vprašanja o varstvu osebnih podatkov in uveljavljanje pravic pišite na info@zavago.si za obdelave LexAI oziroma na info@financnahisa.si za obdelave Finančne hiše.
2. Katere podatke obdelujemo in zakaj
| Namen | Podatki | Pravna podlaga | Rok hrambe | Glavni prejemniki |
|---|---|---|---|---|
| Informativni izračun in poročilo Svetovalka | Kontaktni podatki ter uporabnikovi odgovori o družinskih in finančnih okoliščinah, obstoječih zavarovanjih, kritjih, preostanku kredita, dohodku zavarovane osebe in drugih podatkih, ki so potrebni za izbrani model. Iz njih se po vnaprej določeni metodologiji izračunajo okvirna raven finančne zaščite, uporabljene predpostavke in morebitni razponi. | Izvedba informativne funkcije na zahtevo uporabnika – 6(1)(b) GDPR. Če uporabnik izrecno zahteva telefonsko ali elektronsko pojasnilo poročila, ista podlaga zajema tudi ta omejeni kontakt. E-novice zahtevajo ločeno privolitev. | Vneseni podatki, rezultat in poročilo največ 7 dni od oddaje. Če uporabnik v tem času izbere paket in zahteva nadaljevanje, se samo potrebni podatki vključijo v ustrezno zavarovalno zadevo; sicer se izbrišejo ali nepovratno anonimizirajo. | LexAI in Finančna hiša v okviru skupno določenega delovanja Svetovalke; Finančna hiša in njen pooblaščeni zastopnik tudi, če uporabnik zahteva pojasnilo ali po izbiri paketa nadaljevanje predpogodbenega postopka |
| Splošno vprašanje o delovanju portala | Kontaktni podatki in vsebina vprašanja | Zakoniti interes za odgovor in podporo – 6(1)(f) GDPR; 6(1)(b), kadar se vprašanje nanaša na pogodbo o uporabniškem računu | Do zaključka komunikacije, nato največ 2 leti, če je omejena hramba potrebna za nadaljevanje podpore ali dokazovanje komunikacije; dlje samo ob odprtem zahtevku ali sporu | LexAI kot upravljavec ter njegovi pogodbeni ponudniki podpore/e-pošte |
| Zahtevek za pojasnjevalni posvet glede prikazanih ponudb | Ime in kontaktni podatek, izbrani kanal (telefon ali e-pošta), vsebina zahtevka, čas oddaje ter povezani podatki o zadnji izvedeni primerjavi. Ti lahko vključujejo datum rojstva, starost, odgovore na vprašanja konfiguratorja in prikazane pakete. V internem sistemu so kontaktni podatki povezani s podatki zadnje primerjave; tudi tehnična povezava do primerjave je osebni podatek, kadar jo je mogoče povezati z uporabnikom. Podatki o zdravju se vključijo samo, če so nujni za zahtevani posvet in je zagotovljena ustrezna izjema po 9(2) GDPR. | Ukrepi na vašo zahtevo pred morebitno sklenitvijo zavarovanja – 6(1)(b) GDPR. Če so vključeni podatki o zdravju, za LexAI in Finančno hišo tudi ločena izrecna privolitev po 9(2)(a) GDPR, dokler ni za konkretni tok pisno dokumentirana druga veljavna izjema. | Začasna spletna kopija največ 7 dni po uspešnem zapisu v internem sistemu. Če posvet ne privede do nadaljevanja postopka, izbris ali nepovratna anonimizacija v tem sistemu najpozneje en mesec po zadnjem vsebinskem stiku oziroma dokončnem zaključku. Če uporabnik nadaljuje k ponudbi ali sklenitvi, veljajo roki ustrezne zavarovalne zadeve. | LexAI in Finančna hiša kot skupna upravljavca za zajem in predajo; licencirani zastopnik Finančne hiše za vsebinsko izvedbo posveta. Administrativni sodelavec lahko uredi samo dodelitev ali termin v obsegu svojih pooblastil. Zavarovatelj podatkov ne prejme samo zaradi zahtevka za posvet. |
| Informativni izračun ali zahteva za zavarovalno ponudbo | Identifikacijski in kontaktni podatki, podatki o želenem produktu in riziku ter vsebina zahteve. Pri produktih, pri katerih zavarovatelj za izračun zahteva zdravstvene podatke, so ti potrebni za osebni informativni izračun premije in presojo rizika. | Ukrepi na vašo zahtevo pred sklenitvijo pogodbe – 6(1)(b) GDPR; pri zdravstvenih podatkih dodatno ločena izrecna privolitev po 9(2)(a) GDPR za LexAI in Finančno hišo, dokler ni za konkretni tok dokumentirana druga veljavna izjema | Nedokončan obrazec 7 dni od zadnjega vnosa. Po oddaji se začasna spletna kopija izbriše najpozneje 7 dni po uspešnem zapisu v internem sistemu. Če ponudba ni sklenjena, se zadeva v internem sistemu izbriše ali nepovratno anonimizira najpozneje en mesec po zadnjem vsebinskem stiku oziroma po dokončnem zaključku, razen ob odprti pritožbi, zahtevku ali drugi dokumentirani podlagi. | LexAI in Finančna hiša kot skupna upravljavca za zajem ter predajo; izbrani zavarovatelj samo, kadar je posredovanje potrebno in vnaprej pojasnjeno |
| Ustvaritev in uporaba uporabniškega računa Moj ZavaGO | Registracijski podatki, prijava, nastavitve, ponudbe in prikazane police glede na dejanske funkcije | Izvajanje pogodbe o računu – 6(1)(b) GDPR; varnostni zakoniti interes – 6(1)(f). Trženje in profilirane ponudbe se uredijo ločeno. | Do zaprtja računa. Dostop se ob zaprtju onemogoči takoj, podatki računa pa se iz aktivnega sistema izbrišejo najpozneje v 30 dneh. Račun brez aktivne police ali odprte zadeve se lahko po 24 mesecih brez prijave izbriše po predhodnem opozorilu najmanj 30 dni prej. Kopije se prepišejo po preverjenem ciklu ponudnika; samostojna zavarovalna dokumentacija se hrani po svoji podlagi. | LexAI kot upravljavec uporabniškega računa, Finančna hiša samo za zavarovalno zastopanje, tehnični ponudniki po pogodbi |
| Primerjava, ugotavljanje zahtev in potreb ter zavarovalno zastopanje | Podatki o osebi in riziku, kontaktni podatki, naslov, spol, datum rojstva, davčna številka, številka zdravstvenega zavarovanja oziroma kartice samo, kadar jo zahteva konkretni produkt, podatki o želenih kritjih, komunikaciji in IBAN, če je izbrana direktna obremenitev | 6(1)(b) in 6(1)(c) GDPR; ZZavar-1 in druga veljavna pravila distribucije | Za čas aktivnega razmerja oziroma servisiranja in nato največ 5 let zaradi dokazovanja pravilne izvedbe zastopanja ter obrambe pravnih zahtevkov. Dokumentacija pregleda stranke po ZPPDFT-2 pri življenjskem zavarovanju se hrani 10 let po prenehanju poslovnega razmerja. Ob odprtem sporu ali drugem posebnem zakonskem roku se hrani samo potrebni del do njegovega zaključka. | Finančna hiša, izbrani zavarovatelj, njegovi pogodbeni izvajalci in pristojni organi |
| Sklenitev in izvajanje zavarovalne pogodbe | Podatki, zahtevani za izbrani produkt in izbrani način plačila. Premije ni mogoče plačati prek ZavaGO; podatkov plačilnih kartic ne zbiramo. IBAN zajamemo samo, če uporabnik izbere direktno obremenitev. | 6(1)(b) in 6(1)(c) GDPR | Pri zavarovatelju praviloma 10 let po prenehanju zavarovalne pogodbe oziroma, če nastane zavarovalni primer, 10 let po koncu njegove obdelave, z zakonskimi podaljšanji. To je rok zavarovateljeve zbirke po 268. členu ZZavar-1 in ne avtomatičen rok za vsako kopijo pri LexAI ali Finančni hiši. | Izbrani zavarovatelj, Finančna hiša, plačilni oziroma tehnični ponudniki, če se uporabljajo |
| Podatki o zdravju za konkreten produkt ali oceno potreb | Diagnoze, zdravstveno stanje, delovna nezmožnost in drugi posebej zahtevani podatki | Ukrepi pred sklenitvijo po 6(1)(b) GDPR in za LexAI ter Finančno hišo ločena izrecna privolitev po 9(2)(a) GDPR, dokler za konkretni produkt in celotni tok ni pisno dokumentirana druga veljavna izjema. Zavarovatelj svojo podlago pojasni v lastnem obvestilu. | Nedokončan obrazec največ 7 dni. Pri neuspešni ponudbi se zdravstveni podatki in drugi podatki zadeve izbrišejo najpozneje en mesec po zadnjem vsebinskem stiku oziroma dokončnem zaključku, razen če je omejena nadaljnja hramba nujna zaradi konkretnega zahtevka. Pri sklenjeni pogodbi velja rok upravljavca, ki podatke zakonito potrebuje, in zgoraj navedena ločitev vlog. | LexAI in Finančna hiša v skupnem vstopnem procesu, nato samo izbrani zavarovatelj in osebe, ki podatke nujno potrebujejo za konkretni produkt; brez uporabe za trženje ali analitiko |
| Opomnik za nedokončan obrazec | E-naslov, stanje obrazca in omejena vsebina | Privolitev – 6(1)(a) GDPR | 7 dni od zadnjega vnosa; največ dva opomnika, prvi po enem in drugi po treh dneh | Ponudnik e-pošte in upravljavec obrazca |
| E-novice in neposredno trženje | Kontakt, dokaz privolitve, odzivi na sporočila | Privolitev – 6(1)(a) GDPR in 226. člen ZEKom-2; zakonska izjema za lastne podobne storitve samo ob izpolnjenih pogojih | Do umika, nato omejena evidenca odjave in dokaza skladnosti za utemeljen rok | LexAI kot pošiljatelj; WebiCom kot ponudnik e-pošte |
| Izvedba nagradne igre, če jo organiziramo | Identifikacijski in kontaktni podatki udeleženca, podatki o izpolnitvi pogojev ter podatki nagrajenca, potrebni za izročitev in davčne obveznosti | Izvajanje pravil nagradne igre – 6(1)(b) GDPR; zakonske obveznosti – 6(1)(c). Nadaljnje trženje samo na ločeni podlagi. | Do zaključka nagradne igre in rešitve zahtevkov; podatki nagrajencev po veljavnih računovodskih in davčnih rokih | Organizator, izvajalec dostave, davčni in drugi pristojni organi, če je potrebno |
| Varnost, preprečevanje zlorab in delovanje sistema | Naslov IP, varnostni dnevniki, čas, naprava in tehnični dogodki | Zakoniti interes – 6(1)(f) GDPR; izvedite preizkus tehtanja | Splošni portalni dnevniki praviloma do 90 dni. Posebej določeni varnostni dnevniki uporabniškega računa Moj ZavaGO se lahko po njegovem zagonu hranijo največ 6 mesecev. Podatki, povezani s konkretnim varnostnim incidentom, se lahko hranijo do zaključka obravnave in poteka relevantnih rokov. | Gostovanje, varnostni in IT-izvajalci |
| Analitika, oglaševanje in zunanje vsebine | Spletni identifikatorji, naslov IP in približna lokacija, URL in napotitvena stran, podatki o napravi in brskalniku ter dogodki uporabe, kot so kliki, pomiki, premiki kazalca in tehnični dogodki. Pri Microsoft Clarity tudi podatki, potrebni za toplotne zemljevide in ponovitev seje. | Privolitev – 6(1)(a) GDPR in 225. člen ZEKom-2 | Po dejanski tabeli v Politiki piškotkov; pri Clarityju so podatki za predvajanje praviloma dostopni 30 dni, podatki klikov, toplotni zemljevidi ter označene oziroma priljubljene seje pa lahko do 9 mesecev | Microsoft Clarity ter drugi dejanski ponudniki, navedeni v Politiki piškotkov |
| Pritožbe, zahtevki in pravni spori | Identiteta, komunikacija, pogodbeni in dokazni podatki | Zakonska obveznost, izvajanje pogodbe in zakoniti interes za pravne zahtevke | Do pravnomočnega zaključka in poteka relevantnih zastaralnih rokov | Pristojni sodelavci, zavarovalnica, zunanji pravni ali drugi strokovni svetovalci, IRPS in organi |
Ko izberete možnost »Želim posvet«, sami določite, ali želite odgovor po telefonu ali e-pošti. Z oddajo zahtevka prosite Finančno hišo, da vas glede konkretno prikazanih ponudb kontaktira po izbranem kanalu. Telefonskih klicev v tem postopku ne snemamo. To ni privolitev za e-novice, oglaševanje ali splošno trženje, kontaktnih podatkov iz zahtevka pa brez ločene veljavne podlage ne uporabimo za takšne namene. Zahtevek lahko pred izvedbo prekličete na info@zavago.si ali info@financnahisa.si.
Svetovalka ni isto kot »Želim posvet«. Svetovalka iz uporabnikovih odgovorov po vnaprej določeni metodologiji izračuna informativni scenarij finančne zaščite oziroma okvirno zavarovalno vsoto. Na primer, izbrani model lahko upošteva preostanek kredita in določeno število letnih dohodkov zavarovane osebe. Uporabniku se prikažejo uporabljeni podatki, formula oziroma razumljiv opis glavnih predpostavk in rezultat; vsoto lahko sam spremeni ali potrdi. Nato lahko preveri nevtralno razvrščene ponudbe za izbrano vsoto. Svetovalka ne izbere konkretnega zavarovatelja ali paketa in rezultata ne predstavi kot osebno priporočilo, koliko se mora uporabnik zavarovati ali katero pogodbo naj sklene.
Informativna izbira v Svetovalki še ni zavezujoča vloga, ponudba ali sklenitev. Ko uporabnik izbere paket in zahteva nadaljevanje, Finančna hiša začne predpogodbeni postopek ter pred sklenitvijo v programu oziroma po postopku konkretnega zavarovatelja formalno opredeli zahteve in potrebe ter preveri skladnost izbranega produkta. Sedanji postopek Svetovalke lahko vključuje tudi telefonsko pojasnilo poročila v sedmih dneh, če je uporabnik to jasno zahteval in navedel telefonsko številko; tak kontakt je del zahtevane storitve in ni trženje. Če bi funkcija ali oseba rezultat predstavila kot osebno priporočeno zavarovalno vsoto ali priporočila konkretno pogodbo kot najprimernejšo, bi se takšna funkcionalnost pred uporabo uredila kot svetovanje po ZZavar-1; poimenovanje funkcije kot »informativne« samo po sebi ni odločilno.
Kadar sta za posamezen namen navedena LexAI in Finančna hiša, vsak obdeluje podatke samo v okviru svoje dejanske vloge. LexAI se pri zagotavljanju uporabnikove zahtevane funkcije portala oziroma pogodbe o računu opira na 6(1)(b) GDPR, pri varnosti in omejenem dokazovanju pa na dokumentiran zakoniti interes iz 6(1)(f) GDPR. Finančna hiša uporablja 6(1)(b) GDPR za ukrepe, ki jih uporabnik zahteva pred morebitno sklenitvijo zavarovanja, in 6(1)(c) GDPR samo za konkretne obveznosti, ki jih določajo zavarovalniški ter drugi veljavni predpisi. Nobena družba 6(1)(c) GDPR ne uporablja kot splošne podlage za vse podatke ali namene.
Kadar se sklicujemo na zakoniti interes, lahko zahtevate opis interesa in preizkusa tehtanja. Če podatke obdelujemo za drug združljiv namen, vas pred tem obvestimo, kadar to zahteva zakon.
3. Od kod dobimo podatke
Podatke praviloma dobimo neposredno od vas prek obrazca, e-pošte, telefona ali pogovora z zastopnikom. Podatke lahko prejmemo tudi od zavarovalnice ali druge osebe, ki je upravičena ravnati v vašem imenu. Premije ni mogoče plačati prek ZavaGO, zato portal nima ponudnika kartičnih plačil. Če podatkov ne dobimo neposredno od vas, vam zagotovimo informacije iz 14. člena GDPR v predpisanem roku.
4. Podatki otrok in drugih oseb
Pri zavarovanju lahko podatke posreduje zavarovalec tudi za otroka, družinskega člana, zaposlenega, upravičenca ali drugo zavarovano osebo. Oseba, ki posreduje tuje podatke, mora imeti ustrezno podlago za njihovo posredovanje ter drugi osebi zagotoviti to obvestilo, kadar je to potrebno. Pri otrocih preverimo upravičenost starša oziroma zakonitega zastopnika in podatke prilagodimo starosti ter konkretnemu produktu. Če se zdravstveni podatki nanašajo na drugo poslovno sposobno odraslo osebo in se obdelava opira na izrecno privolitev, jo poda ta oseba sama, razen če obstaja dokazano pooblastilo za zastopanje ali druga dokumentirana izjema iz 9(2) GDPR. Tržne privolitve ene osebe ne razširimo samodejno na drugo zavarovano osebo.
5. Ali so podatki obvezni
Vsako polje mora biti označeno kot obvezno ali prostovoljno. Pri produktih, pri katerih zavarovatelj zahteva zdravstvene podatke za osebni informativni izračun premije in presojo rizika, brez zahtevanih podatkov izračuna za ta produkt ni mogoče pripraviti oziroma postopka ni mogoče nadaljevati. Izrecna zdravstvena privolitev ni tržna privolitev in ni pogoj za uporabo drugih delov portala ali produktov, ki teh podatkov ne zahtevajo. Tržna privolitev ni pogoj za ponudbo ali zavarovanje. Ne zbiramo podatkov »za vsak primer«.
Pri življenjskem in kreditnem zavarovanju, za katero velja Zakon o pravici oseb po prebolelem raku in določenih drugih bolezni do enakega dostopa do zavarovalnih in kreditnih produktov (ZPEDZKP), spoštujemo pravico do pozabe. Po izpolnitvi zakonskih pogojev ne zahtevamo in ne uporabimo podatka o zadevni preboleli bolezni oziroma okužbi pri pogojih sklenitve. Morebitno zdravniško potrdilo se uporabi samo za zakonsko določen namen in v dovoljenem obsegu. Prodajni obrazci, vprašalniki in navodila zastopnikov morajo biti temu tehnično in vsebinsko prilagojeni.
6. Komu podatke razkrivamo
Podatke posredujemo samo v potrebnem obsegu:
- izbranemu zavarovatelju in osebam, ki sodelujejo pri konkretnem produktu;
- pogodbenim ponudnikom gostovanja, e-pošte, internih evidenčnih sistemov, podpore, varnosti in hrambe;
- ponudnikom analitike in oglaševanja samo po veljavni izbiri piškotkov;
- izbranemu zavarovatelju tudi IBAN, če ste za plačilo premije izbrali direktno obremenitev; podatkov plačilnih kartic ne zbiramo;
- revizorjem, pravnim svetovalcem in drugim strokovnjakom ob zaupnosti;
- Agenciji za zavarovalni nadzor, Informacijskemu pooblaščencu, sodiščem in drugim organom, kadar to zahteva zakon.
Za gostovanje portala, e-pošto in varno delovanje internih evidenčnih sistemov uporabljamo pogodbene tehnične ponudnike s primarno infrastrukturo v Evropskem gospodarskem prostoru. Njihova imena, pogodbe, pod-obdelovalci in tehnične nastavitve se vodijo v notranji evidenci obdelav in se redno preverjajo. Posamezniku na zahtevo zagotovimo podrobnejšo informacijo o prejemnikih njegovih podatkov, kadar je to potrebno za preglednost ali uveljavljanje pravic.
Posebej imenovani ponudnik, ki neposredno vpliva na uporabnikovo izbiro piškotkov, je:
| Ponudnik | Storitev in vloga | Lokacija |
|---|---|---|
| CookieYes Limited, 3 Warren Yard, Warren Park, Wolverton Mill, Milton Keynes, MK12 5NW, Združeno kraljestvo | Upravljanje pasice in evidenca uporabnikove izbire piškotkov; pogodbeni obdelovalec LexAI. CookieYes ne prejema vsebine zavarovalnih obrazcev ali zdravstvenih in finančnih podatkov. | Združeno kraljestvo; gostovanje aplikacije pri AWS, dejanska lokacija in pod-obdelovalci se spremljajo po pogodbi |
7. Prenosi izven Evropskega gospodarskega prostora
Primarno spletno gostovanje, e-pošta in interni evidenčni sistemi so v EGP in sami po sebi ne pomenijo prenosa v tretjo državo. CookieYes ima sedež v Združenem kraljestvu, za katero trenutno velja odločba Evropske komisije o ustreznosti do 27. 12. 2031. CookieYes uporablja pod-obdelovalce, vključno z infrastrukturo AWS; morebitni nadaljnji prenosi so urejeni z veljavno odločitvijo o ustreznosti, standardnimi pogodbenimi klavzulami ali drugim mehanizmom iz V. poglavja GDPR. Google in Microsoft lahko podatke posredujeta povezanim družbam ali ponudnikom zunaj EGP; uporabljeni mehanizem je odvisen od konkretnega prejemnika. Več je navedeno v Politiki piškotkov.
Microsoft Clarity
Za izboljševanje uporabniške izkušnje uporabljamo Microsoft Clarity, storitev vedenjske spletne analitike skupine Microsoft. Clarity nam omogoča pripravo toplotnih zemljevidov, statistike uporabe in ponovitev sej na podlagi dogodkov, kot so ogled strani, kliki, pomiki, premiki kazalca, spremembe prikaza in tehnične napake. Za Clarity se lahko uporabljajo prvi in tretjeosebni psevdonimni identifikatorji. Te obdelave ne izvajamo na podlagi zakonitega interesa, temveč samo po privolitvi za analitične tehnologije.
Microsoft privzeto maskira vsebino občutljivih vnosnih polj, vendar podatkov zato ne označujemo kot anonimne. Clarity mora biti tehnično izključen na straneh uporabniškega računa, prijave, plačila ter obrazcih in straneh, kjer se vnašajo zdravstveni, finančni ali drugi posebej občutljivi podatki. Ne uporabljamo Clarityjeve funkcije Identify za pošiljanje imena, e-naslova, številke police, internega identifikatorja ali drugega podatka, ki neposredno identificira uporabnika, razen če bi bila taka uporaba posebej ocenjena, utemeljena in vnaprej pregledno pojasnjena.
Za uporabnike v EU je ponudnik Clarity Microsoft Ireland Operations Limited, ki pri obdelavah Clarity po svojih pogojih nastopa kot upravljavec. Microsoft podatke hrani v okolju Azure; prenosi povezanim družbam v ZDA so po Microsoftovih informacijah urejeni s standardnimi pogodbenimi klavzulami in drugimi veljavnimi mehanizmi. Podatki, potrebni za predvajanje posnetkov, so praviloma dostopni 30 dni, podatki klikov in toplotni zemljevidi ter označene oziroma priljubljene seje pa lahko do 9 mesecev. Več o Microsoftovi obdelavi je v Microsoftovi izjavi o zasebnosti.
8. Avtomatizirane odločitve in profiliranje
Primerjalnik uporablja omejeno avtomatizirano obdelavo oziroma profiliranje za filtriranje produktov glede na osnovne vnesene podatke in za njihovo razvrščanje. Privzeto so prikazani po skupni premiji od najnižje do najvišje, uporabnik pa lahko izbere obratni cenovni vrstni red. Možnost »največkrat sklenjene« se ne uporablja, dokler ni tehnično in metodološko preverjena. Oznaka »Akcija« pomeni komercialno ugodnost, ne ocene primernosti, ter ne vpliva na običajni vrstni red. Ta obdelava sama ne povzroči sklenitve, zavrnitve zavarovanja ali druge odločitve s pravnim oziroma podobno pomembnim učinkom; končno presojo in sklenitev opravi zavarovatelj v svojem okolju, pri postopku pa sodeluje licencirani zastopnik Finančne hiše. Če se ta način delovanja spremeni, pred uvedbo ponovno ocenimo 22. člen GDPR in po potrebi uporabniku zagotovimo informacije o logiki ter pravico do človeškega posredovanja.
Svetovalka uporablja vnaprej določeno metodologijo z evidentiranimi različicami za informativni izračun okvirne finančne zaščite. Glavne vhodne podatke, predpostavke in rezultat prikaže uporabniku, ki lahko vsoto spremeni ali potrdi. Izračun ne izbere konkretne pogodbe, uporabnika pravno ne zaveže in ne nadomesti poznejše ocene zahtev in potreb Finančne hiše. Zato sam po sebi ni odločitev iz 22. člena GDPR. Če bi se pozneje uporabljal za samodejno zavrnitev, zavezujočo ponudbo ali drug pravno oziroma podobno pomemben učinek, bi pred uporabo ponovno ocenili pravno podlago, preglednost, pravico do človeškega posredovanja in potrebo po dodatni DPIA.
9. Kako dolgo hranimo podatke
Podatke hranimo samo toliko časa, kot je potrebno za navedeni namen, zakonsko obveznost ali uveljavljanje pravnih zahtevkov. Enoten desetletni rok za vse podatke ni ustrezen. Roki so navedeni po namenih v zgornji tabeli. Po poteku se podatki varno izbrišejo ali nepovratno anonimizirajo; varnostne kopije se prepišejo po dokumentiranem ciklu.
10. Vaše pravice
Glede na okoliščine imate pravico do:
- informacij in dostopa do podatkov;
- popravka netočnih ali dopolnitve nepopolnih podatkov;
- izbrisa, kadar ni več veljavne podlage za hrambo;
- omejitve obdelave;
- prenosljivosti podatkov pri avtomatizirani obdelavi na podlagi privolitve ali pogodbe;
- ugovora obdelavi na podlagi zakonitega interesa in kadarkoli ugovora neposrednemu trženju;
- umika privolitve, ne da bi to vplivalo na zakonitost pretekle obdelave;
- varstva pred določenimi izključno avtomatiziranimi odločitvami.
Zahtevo pošljite upravljavcu, ki izvaja konkretno obdelavo, na info@zavago.si ali info@financnahisa.si. Odgovorimo brez nepotrebnega odlašanja, praviloma v enem mesecu. Pred odgovorom lahko razumno preverimo identiteto. Pravice niso absolutne; morebitno zavrnitev obrazložimo in pojasnimo možnosti pravnega sredstva.
Če menite, da podatke obdelujemo nezakonito, lahko vložite prijavo pri Informacijskem pooblaščencu Republike Slovenije, Dunajska cesta 22, 1000 Ljubljana, e-pošta gp.ip@ip-rs.si, www.ip-rs.si.
11. Varnost in odgovornost
Uporabljamo organizacijske in tehnične ukrepe, prilagojene tveganju, vključno z upravljanjem dostopov, šifriranjem prenosa, dnevniki, upravljanjem varnostnih kopij, preverjanjem ponudnikov, usposabljanjem in postopkom za kršitve varnosti. Pri procesih z obsežnimi podatki o zdravju, profiliranjem ali drugimi visokimi tveganji pred začetkom izvedemo oceno učinka na varstvo podatkov, kadar je potrebna.
12. Spremembe politike
Na vrhu objavimo datum in različico. O bistvenih spremembah vas obvestimo po primernem kanalu. Nova politika ne ustvari retroaktivne privolitve in ne spremeni namena obdelave brez veljavne pravne podlage.