Pravilnik o zasebnosti
Na kratko: shranjujemo le, kar skupnost potrebuje, brez sledenja in oglasov, podatki o lokaciji se odstranijo s fotografij, svoje podatke pa lahko kadar koli preneseš ali izbrišeš.
01Upravljavec
Upravljavec v smislu 7. točke 4. člena GDPR je upravljavec spletnega mesta Perfect Plants Club:
[Ime][Poštni naslov]
E-pošta: [E-poštni naslov]
Nismo dolžni imenovati pooblaščene osebe za varstvo podatkov (37. člen GDPR). Za vprašanja o zasebnosti nam piši na zgornji naslov.
02Katere podatke obdelujemo
Podatki računa
- Obvezno: uporabniško ime, e-poštni naslov, geslo (shranjeno le kot varen, nepovraten hash), čas sprejetja pogojev in potrditev, da imaš 16+ let.
- Neobvezno: prikazno ime, bio, lokacija (prosto besedilo), država, spletna stran, profilna in naslovna slika, jezik, zanimanja.
- Tehnično: čas registracije, zadnja prijava in zadnja dejavnost, poraba shrambe, točke XP in značke, nastavitve.
Vsebina, ki jo ustvariš
Podatki o rastlinah in zbirki, fotografije, zapisi cvetenja in nege, objave, komentarji, všečki, sporočila, izmenjave in ocene, seznam želja, prijateljstva in sledenja, blokade, prijave.
Strežniški in varnostni podatki
Pri vsaki zahtevi strežnik gostovanja zabeleži naslov IP, čas, zahtevani URL, vrsto brskalnika in napotitelja. Za preprečevanje zlorab (npr. ugibanje gesel, neželene registracije) za omejevanje zahtev za kratek čas shranimo hash, izpeljan iz naslova IP ali imena računa. Dejanja moderatorjev in skrbnikov se beležijo.
03Nameni in pravne podlage
- 6(1)(b) člen GDPR – izvajanje pogodbe: zagotavljanje tvojega računa, zbirke, funkcij skupnosti, sporočil in izmenjav ter za to potrebnih e-sporočil (potrditev, ponastavitev gesla, varnostna obvestila).
- 6(1)(f) člen GDPR – zakoniti interes: varnost in stabilnost, preprečevanje zlorab (strežniški dnevniki, omejevanje zahtev, polje honeypot), moderiranje, obravnava prijav in obramba pravnih zahtevkov.
- 6(1)(a) člen GDPR – privolitev: novice (dvojna potrditev), neobvezni podatki profila, zunanja vsebina, naložena ob kliku. Privolitev lahko kadar koli prekličeš za naprej (7(3). člen).
- 6(1)(c) člen GDPR – zakonska obveznost, kadar zakoni ali organi zahtevajo hrambo ali razkritje.
Ne izvajamo profiliranja ali oglaševalskega sledenja in tvojih podatkov nikoli ne prodajamo.
05Izmenjave
Za izmenjave ne zahtevamo niti shranjujemo imen, poštnih naslovov ali telefonskih številk. Ko se dva člana dogovorita, si podatke za dostavo izmenjata v zasebnem sporočilu; ta sporočila sta vidna samo obema stranema, pošiljatelj pa se ob izbrisu računa anonimizira.
Točke zaupanja se izračunajo samodejno iz tvoje dejavnosti (starost računa, rastline, objave, prijatelji, menjave, ocene); določajo samo, koliko menjav lahko imaš hkrati.
06Gostovanje
Stran deluje na strežnikih družbe IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Nemčija) v podatkovnem centru v EU. IONOS obdeluje podatke kot obdelovalec na podlagi pogodbe po 28. členu GDPR. Strežniške dnevnike IONOS za kratek čas hrani iz varnostnih razlogov.
E-poštna sporočila (potrditve, obvestila, novice) se pošiljajo tudi prek poštnih strežnikov IONOS.
07Obdelava slik
Vsaka naložena slika se na našem strežniku ponovno kodira v WebP in pomanjša. Vsi metapodatki EXIF – vključno z lokacijo GPS, modelom fotoaparata in podrobnostmi zajema – se trajno odstranijo, zato tvoje fotografije nikoli ne razkrijejo, kje živijo tvoje rastline.
Prosimo, nalagaj samo svoje fotografije in brez privolitve ne prikazuj prepoznavnih oseb. Vsak račun ima privzeto 300 MB prostora.
08Zunanje storitve
Naslednje zunanje storitve prejmejo podatke le, ko dejavno uporabljaš ustrezno funkcijo:
- Videi (YouTube, Vimeo) – vdelani videi se naložijo šele ob kliku – YouTube prek domene brez piškotkov youtube-nocookie.com, Vimeo v načinu »do not track«. Ko klikneš, se tvoj brskalnik poveže s strežniki družbe Google Ireland Ltd. (Gordon House, Dublin, Irska) ali Vimeo.com Inc. (New York, ZDA) in posreduje tvoj naslov IP; možni so prenosi v ZDA (EU-US Data Privacy Framework). Pravna podlaga: 6(1)(a) člen – tvoj klik je tvoja privolitev.
- Vreme (Open-Meteo) – če v središču nege vneseš lokacijo za vremensko napoved, jo tvoj brskalnik pridobi z open-meteo.com (Švica – ustrezna raven varstva po mnenju Evropske komisije). Posredujeta se tvoj naslov IP in koordinate. Brez lokacije ni zahteve.
- Iskanje vrst (GBIF) – ko iščeš imena vrst, se iskalni niz pošlje odprtemu API-ju Global Biodiversity Information Facility (GBIF Secretariat, Universitetsparken 15, København, Danska). Če zahtevo pošlje naš strežnik, GBIF vidi le naslov strežnika; če jo pošlje tvoj brskalnik, vidi tudi tvoj naslov IP.
09E-pošta in novice
E-poštna sporočila, potrebna za delovanje (potrditev, ponastavitev gesla, varnostno obvestilo po spremembi gesla ali e-pošte), se pošiljajo vedno. Obvestila o dogodkih (npr. novo sporočilo, prošnja za prijateljstvo) lahko izklopiš v Nastavitve → Obvestila.
Novice pošiljamo le z izrecno privolitvijo na potrjen e-poštni naslov (dvojna potrditev). Čas privolitve shranimo kot dokaz. Odjaviš se lahko kadar koli v Nastavitvah.
10Kaj vidijo drugi
Tvoje uporabniško ime, prikazno ime, profilna slika, raven in značke so vidni drugim članom za funkcije skupnosti. Vidnost svojega profila, rastlin in objav upravljaš sam (javno / člani / prijatelji / zasebno). Tvoj e-poštni naslov ni nikoli javno prikazan. Blokirani člani ne vidijo tvoje vsebine in ti ne morejo pisati.
Prijavljeno vsebino pregledajo naši moderatorji, ki lahko dostopajo do prijavljene vsebine in povezanih podatkov računa.
11Hramba
- Podatki računa in vsebina: dokler ne izbrišeš računa. Podatki profila, profilna in naslovna slika se izbrišejo takoj, uporabniško ime in e-pošta pa anonimizirata; rastline, fotografije in objave takoj postanejo nevidne in se trajno odstranijo med rednim vzdrževanjem [npr. v 30 dneh].
- Poslana sporočila ostanejo prejemniku (pošiljatelj je prikazan kot »izbrisan«), saj so del njegovega pogovora.
- Povezava za ponastavitev gesla: 1 ura, enkratna uporaba. Podatki za omejevanje zahtev: največ nekaj ur.
- Čakalna vrsta odhodne e-pošte: po pošiljanju [npr. 30 dni]. Dnevnik moderiranja: največ 1 leto.
12Tvoje pravice
Po GDPR imaš pravico do:
- dostop (15. člen) in prenosljivost podatkov (20. člen) – vse svoje podatke preneseš kot JSON z enim klikom v Nastavitve → Moji podatki;
- popravek (16. člen) – večino podatkov lahko urediš sam;
- izbris (17. člen) – račun lahko kadar koli izbrišeš v Nastavitvah;
- omejitev obdelave (18. člen) in ugovor (21. člen) zoper obdelavo na podlagi zakonitih interesov;
- preklicati privolitev (7(3). člen);
- vložiti pritožbo pri nadzornem organu (77. člen), zlasti tam, kjer živiš ali kjer ima upravljavec sedež – v Nemčiji deželni organ za varstvo podatkov, na Madžarskem NAIH (naih.hu).
Pristojni nadzorni organ na sedežu upravljavca: [npr. Informacijski pooblaščenec]. Za vprašanja ali zahteve piši na: [E-poštni naslov]
13Najnižja starost in varnost
Registracija je mogoča od 16. leta (8. člen GDPR). Če izvemo, da se je registrirala mlajša oseba, račun izbrišemo.
Podatki se prenašajo prek šifriranega HTTPS. Gesla so shranjena s sodobnim soljenim hashem, obrazci so zaščiteni z žetoni CSRF, poskusi prijave in ponastavitve so omejeni, od žetonov za ponastavitev pa shranjujemo le hashe.
14Spremembe
Ta pravilnik posodobimo, ko se spremenijo funkcije ali zakoni. Pomembne spremembe objavimo na strani.