Zaštita privatnosti

Ova obavijest objašnjava kako Bloom beauty bar, vl. Matea Pejanović („mi”, „salon”) obrađuje osobne podatke posjetitelja weba i klijentica, u skladu s Općom uredbom o zaštiti podataka (GDPR) i hrvatskim Zakonom o provedbi Opće uredbe o zaštiti podataka.

Verzija 2026-10-15 · Zadnja izmjena: 15. 10. 2026.

1. Voditelj obrade

Bloom beauty bar, vl. Matea Pejanović
Vladimira Nazora 1, 32252 Otok, Hrvatska
OIB: 44634695665
E-mail: matea@bloombeautybar.hr
Telefon: +385 95 3427 840

Za pitanja o privatnosti i ostvarivanje prava koristi obrazac za zahtjev ili e-mail iznad.

2. Koje podatke obrađujemo

2.1. Online rezervacija

• Ime i prezime
• E-mail adresa
• Broj telefona
• Odabrana usluga/e, datum i vrijeme termina, napomena (ako je ostaviš)
• Tehnički podaci radi zaštite od zlouporabe: hash IP adrese (ne puni IP)

2.2. Kontakt forma

• Ime, e-mail, opcionalno telefon i sadržaj poruke
• Hash IP adrese radi ograničenja spam poruka

2.3. Administracija salona

Zaposlenici salona (vlasnica / ovlašteno osoblje) pristupaju podacima kroz zaštićeni admin (e-mail i lozinka). Sesijski kolačići koriste se samo za tu prijavu — vidi kolačiće.

2.4. Galerija

Fotografije klijenata objavljujemo samo uz prethodnu suglasnost (evidentirana u adminu). Suglasnost možeš povući u bilo kojem trenutku.

2.5. Privremeno u pregledniku (nedovršena rezervacija)

Dok popunjavaš rezervaciju, odabrane usluge i podaci iz obrasca mogu se kratko držati u sessionStorage tvog uređaja (da se ne izgube pri osvježavanju ili koraku natrag). Nakon uspješne rezervacije brišemo ih; nestaju i kad zatvoriš tab. Detalji: kolačići.

3. Svrha i pravna osnova

• Izvršenje ugovora / predugovorne mjere (GDPR čl. 6. st. 1.b) — rezervacija, potvrda, podsjetnik, upravljanje terminom.
• Legitimate interest (čl. 6. st. 1.f) — zaštita od botova i zlouporabe (rate limit, hash IP; Turnstile na GDPR zahtjevu), interni rad salona, knjigovodstveni trag termina.
• Suglasnost (čl. 6. st. 1.a) — npr. objava fotografije u galeriji; marketing samo ako ga izričito uključimo i zatražimo zasebnu suglasnost (trenutno ga ne šaljemo).
• Zakonska obveza (čl. 6. st. 1.c) — gdje je primjenjivo (npr. porezni / poslovni zapisi).

4. Primatelji i obrađivači

Podatke ne prodajemo. Koristimo pouzdane obrađivače koji nam pomažu u radu:

• Cloudflare — Turnstile (zaštita od botova na GDPR zahtjevu); opcionalno pohrana slika (Cloudflare Images).
• Resend — slanje e-mail potvrda i obavijesti.
• Hosting / infrastruktura — aplikacija i baza na pouzdanim EU / ugovorno usklađenim pružateljima (produkcijski stack salona).
• Infobip — samo ako je uključen WhatsApp podsjetnik (feature flag); tada se telefon koristi isključivo za tu svrhu.

S obrađivačima sklapamo ugovore o obradi (DPA) ili se oslanjamo na njihove standardne ugovorne klauzule / certifikacije.

5. Koliko dugo čuvamo podatke

• Aktivni podaci o klijentici (ime, kontakt) — dok postoji poslovni odnos; nakon 36 mjeseci bez termina sustav ih anonimizira (ime/kontakt se brišu; statistika termina može ostati bez osobnih podataka).
• Zapisi o suglasnosti (ConsentLog) — dok je potrebno dokazati privolu / ugovor.
• Poruke s kontakt forme — dok se obrade, zatim se brišu iz admina.
• Zahtjevi za pristup/brisanje — do rješavanja i razumno razdoblje radi evidencije zahtjeva.

6. Tvoja prava

Imaš pravo na:

• pristup podacima
• ispravak
• brisanje („pravo na zaborav”), uz ograničenja zakona
• ograničenje obrade
• prenosivost (gdje je primjenjivo)
• prigovor na obradu temeljem legitimnog interesa
• povlačenje suglasnosti (za obrade koje se na nju oslanjaju)

Zahtjev podnesi putem ovog obrasca. Odgovaramo u roku od 30 dana. Imaš i pravo pritužbe Agenciji za zaštitu osobnih podataka (azop.hr).

7. Kolačići i praćenje

Javni web ne koristi kolačiće za analitiku, oglašavanje ni praćenje. Detaljan popis tehničkih kolačića i privremenog spremanja u pregledniku: Politika kolačića (verzija 2026-10-15). Banner za privolu nije potreban dok se koriste samo strogo nužni kolačići.

8. Sigurnost

Koristimo HTTPS, ograničen pristup adminu (e-mail i lozinka), hashiranje IP adresa, rate limit na javnim obrascima te Cloudflare Turnstile na zahtjevu u vezi podataka. Nijedna mjera nije apsolutna; o ozbiljnom incidentu obavještavamo nadležno tijelo i pogođene osobe kad to zakon zahtijeva.

9. Djeca

Usluge i web nisu namijenjeni djeci mlađoj od 16 godina bez sudjelovanja roditelja / skrbnika. Ne prikupljamo namjerno podatke djece.

10. Izmjene

Obavijest možemo ažurirati. Nova verzija objavljuje se na ovoj stranici s datumom. Bitne izmjene koje utječu na rezervaciju praćene su novom verzijom u PRIVACY_POLICY_VERSION.