Koncert d.o.o. · Pravni dokument
Pravila privatnosti
- Verzija
- Verzija 2.0
- Zadnje ažurirano
Ova Pravila privatnosti objašnjavaju koje osobne podatke Koncert d.o.o. prikuplja kada posjećujete www.koncert.hr, kupujete ulaznice, prijavljujete se na newsletter, kontaktirate nas ili koristite organizatorski račun, u koje svrhe i na kojem pravnom temelju ih obrađuje, s kime ih dijeli, koliko ih dugo čuva i koja prava imate.
1. Voditelj obrade i opće informacije
Voditelj obrade vaših osobnih podataka je trgovačko društvo Koncert d.o.o., Cara Hadrijana 13, 31000 Osijek, OIB 85651463857 (dalje: Koncert d.o.o. ili mi). Za sva pitanja o zaštiti osobnih podataka i za ostvarivanje svojih prava obratite nam se na info@koncert.hr ili poštom na navedenu adresu.
Osobne podatke obrađujemo u skladu s Uredbom (EU) 2016/679 (Opća uredba o zaštiti podataka, dalje: GDPR), Zakonom o provedbi Opće uredbe o zaštiti podataka, Zakonom o elektroničkim komunikacijama, Zakonom o računovodstvu i drugim propisima Republike Hrvatske. Prikupljamo samo podatke koji su nužni za konkretnu svrhu.
Koncert d.o.o. nije imenovao službenika za zaštitu podataka jer za to ne postoji zakonska obveza. Upiti o zaštiti podataka upućeni na info@koncert.hr obrađuju se kao povjerljivi.
Pojmovi „Platforma”, „Događaj”, „Organizator”, „Kupac”, „Ulaznica” i „Pozivnica” imaju značenje iz Općih uvjeta korištenja.
2. Koje podatke obrađujemo, u koje svrhe i na kojem temelju
2.1. Kupnja ulaznica
Pri kupnji ulaznica obrađujemo ime i prezime, e-adresu, broj telefona i adresu (ulica, grad, poštanski broj, država), a ako zatražite račun na poslovni subjekt (R1) i naziv, OIB i adresu tog subjekta. Obrađujemo i podatke o narudžbi: događaj, kategoriju i broj ulaznica, iznos, iskorišteni kod za popust, status plaćanja i identifikator transakcije koji nam vraća pružatelj usluga plaćanja. Podatke o vašoj kartici ne vidimo ni ne pohranjujemo: unosite ih izravno na stranici Monri WebPay servisa, a nama se vraća samo potvrda uspjeha i maskirani prikaz.
Svrha je sklapanje i izvršenje ugovora o kupnji ulaznice: obrada plaćanja, izdavanje i dostava ulaznica e-poštom, obavještavanje o narudžbi te obrada eventualnog povrata. Pravni temelj je članak 6. stavak 1. točka (b) GDPR-a (izvršenje ugovora). Podatke o narudžbi i plaćanju čuvamo i radi ispunjenja knjigovodstvenih i poreznih obveza, na temelju članka 6. stavka 1. točke (c) GDPR-a. Bez navedenih podataka kupnja nije moguća.
2.2. Tehnički podaci uz narudžbu i sprječavanje zloporabe
Uz svaku narudžbu bilježimo IP adresu, približnu lokaciju izvedenu iz IP adrese (država, regija, grad), vrstu uređaja, preglednik i operativni sustav. Te podatke koristimo za otkrivanje i sprječavanje prijevara i automatiziranih kupnji, za rješavanje reklamacija oko plaćanja te za zbirnu statistiku prodaje po događajima (primjerice udio kupaca po gradu ili uređaju) koja se organizatorima prikazuje isključivo u agregiranom obliku. Pravni temelj je članak 6. stavak 1. točka (f) GDPR-a, naš legitimni interes za sigurnost Platforme i razumijevanje prodaje; na tu obradu možete uložiti prigovor (odjeljak 7).
Prije plaćanja sustav vaš preglednik označava nasumičnim identifikatorom sesije kako bi odabrane ulaznice bile rezervirane 12 minuta. Identifikator nije povezan s vašim identitetom i briše se zatvaranjem kartice preglednika.
2.3. Ulaznice i kontrola ulaza
Ulaznica sadrži ime kupca, broj ulaznice i jedinstveni QR kod. Pri ulasku na događaj skeniranjem se bilježi vrijeme ulaska i račun osoblja koje je ulaznicu skeniralo, radi sprječavanja višestrukog korištenja iste ulaznice i rješavanja sporova na ulazu. Pravni temelj je članak 6. stavak 1. točka (b) GDPR-a (izvršenje ugovora).
Kod događaja koje organizira treća osoba, tom Organizatoru su podaci o kupcima ulaznica za njegov događaj (ime i prezime, e-adresa, telefon, kupljene ulaznice, status ulaska, iznos) dostupni putem organizatorskog računa radi kontrole ulaza, obavještavanja o promjenama događaja i odlučivanja o povratima. Organizator te podatke obrađuje kao samostalni voditelj obrade prema vlastitim pravilima privatnosti, a prema Koncertu d.o.o. obvezan je koristiti ih isključivo za te svrhe.
2.4. Obavijesti o događaju
E-adresu i podatke o kupljenim ulaznicama koristimo za slanje potvrde kupnje, ulaznica, podsjetnika prije događaja te obavijesti o otkazivanju, odgodi, promjeni mjesta ili drugim bitnim promjenama događaja, kao i potvrde o povratu. Pravni temelj je članak 6. stavak 1. točka (b) GDPR-a. Ove obavijesti nisu marketing i od njih se ne možete odjaviti dok traje ugovorni odnos.
2.5. Newsletter
Ako se prijavite na newsletter, putem obrasca na Platformi ili označavanjem polja pri kupnji, obrađujemo vašu e-adresu, ime i izvor prijave kako bismo vam slali obavijesti o nadolazećim događajima, predprodajama i ponudama Koncerta d.o.o. Pravni temelj je vaša privola, članak 6. stavak 1. točka (a) GDPR-a. Privolu možete povući u svakom trenutku klikom na poveznicu za odjavu na dnu svake poruke ili zahtjevom na info@koncert.hr; povlačenje ne utječe na zakonitost obrade prije povlačenja.
Radi mjerenja učinka newslettera bilježimo je li poruka otvorena i na koje je poveznice kliknuto, uz IP adresu i podatke o pregledniku u trenutku otvaranja. Ti se podaci koriste samo zbirno za uređivanje sadržaja newslettera i obrađuju se na temelju iste privole. Newsletter možemo segmentirati prema oznakama interesa (primjerice kategorija događaja) kako bi sadržaj bio relevantniji; takva segmentacija nema pravne učinke na vas.
2.6. Kontakt obrazac i korespondencija
Kada nam pišete putem kontakt obrasca ili e-pošte, obrađujemo ime, e-adresu i sadržaj poruke kako bismo odgovorili na upit. Pravni temelj je članak 6. stavak 1. točka (f) GDPR-a, legitimni interes za komunikaciju s korisnicima, odnosno točka (b) kada se upit odnosi na sklapanje ili izvršenje ugovora.
2.7. Organizatorski i administratorski računi
Ako zatražite organizatorski račun, obrađujemo e-adresu, ime i prezime, adresu, poštanski broj, grad, državu, telefon te po želji naziv tvrtke ili obrta i OIB, radi provjere i odobrenja zahtjeva te sklapanja suradnje. Nakon odobrenja otvara se korisnički račun (e-adresa i lozinka pohranjena u zaštićenom, hashiranom obliku) s dodijeljenim ulogama. Radi sigurnosti računa bilježimo prijave, promjene lozinke, zahtjeve za ponovno postavljanje lozinke i administrativne radnje, uz IP adresu i vrijeme. Pravni temelj je članak 6. stavak 1. točka (b) GDPR-a za vođenje računa te točka (f) za sigurnost i sprječavanje zloporabe. Organizator je odgovoran za točnost podataka koje unosi o događajima i o osobama kojima izdaje pozivnice.
2.8. Pozivnice
Kada Organizator ili Koncert d.o.o. izda besplatnu pozivnicu, obrađujemo ime i e-adresu primatelja koje je unio izdavatelj, isključivo radi izdavanja i dostave pozivnice te kontrole ulaza. Pravni temelj je legitimni interes izdavatelja i primatelja da pozivnica bude dostavljena, članak 6. stavak 1. točka (f) GDPR-a.
2.9. Tehnički zapisi, greške i sigurnost
Radi ispravnog rada i sigurnosti Platforme vodimo tehničke zapise: zapise o greškama, zapise o poslanim e-porukama (primatelj, vrsta poruke, status dostave), zapise administrativnih radnji i ograničenja učestalosti zahtjeva, koji mogu sadržavati IP adresu, e-adresu i identifikator računa. Greške u radu aplikacije šalju se i našem alatu za praćenje grešaka (Sentry), pri čemu se e-adrese, imena, lozinke i podaci o plaćanju uklanjaju prije slanja. Pravni temelj je članak 6. stavak 1. točka (f) GDPR-a, legitimni interes za sigurnost i stabilnost usluge.
2.10. Analitika i marketing
Uz vašu privolu (članak 6. stavak 1. točka (a) GDPR-a) koristimo Google Analytics 4 za statistiku posjeta i Meta Pixel za mjerenje učinka oglasa na Facebooku i Instagramu. Detalji su u odjeljku 3. Bez privole ti se alati ne učitavaju, a Platforma radi bez ograničenja.
2.11. Obrada bez vaše privole ili znanja
Vaše podatke možemo obraditi bez vašeg prethodnog znanja samo kada to propisi izričito nalažu ili dopuštaju, primjerice radi sprječavanja kartičnih prijevara, ispunjenja zahtjeva nadležnih tijela ili zaštite pravnih interesa Koncerta d.o.o. Pravni temelj je članak 6. stavak 1. točka (c) ili (f) GDPR-a.
3. Kolačići i slične tehnologije
Platforma koristi kolačiće i pohranu u pregledniku (localStorage i sessionStorage) u tri kategorije:
| Kategorija | Što i zašto | Trajanje | Temelj |
|---|---|---|---|
| Nužni | Pamćenje vaše odluke o kolačićima, odabranog jezika, identifikatora sesije za rezervaciju ulaznica te sigurnosni mehanizmi pri plaćanju kod Monrija. Bez njih kupnja nije moguća. | Odluka o kolačićima i jezik: do brisanja u pregledniku. Sesija rezervacije: do zatvaranja kartice preglednika. | Nije potrebna privola (nužni za uslugu) |
| Analitički (Google Analytics 4, Google Ireland Limited) | Broj posjeta, posjećene stranice i događaji, izvor posjeta, vrsta uređaja, približna lokacija na razini grada, koraci u kupnji. IP adresa se ne pohranjuje. | Kolačić _ga do 2 godine; podaci o događajima u GA4 najviše 14 mjeseci. | Privola |
| Marketinški (Meta Pixel, Meta Platforms Ireland Limited) | Posjet stranici, pregled događaja, započeta i dovršena kupnja, identifikator kolačića, IP adresa i podaci o pregledniku, radi mjerenja učinka oglasa na Facebooku i Instagramu i prikaza oglasa posjetiteljima Platforme. | Kolačić _fbp 90 dana. | Privola |
Analitičke i marketinške tehnologije aktiviraju se tek kada u obavijesti o kolačićima kliknete „Prihvati sve”. Odabirom „Samo nužni” ne postavljaju se. Odluku možete promijeniti brisanjem podataka stranice u pregledniku, nakon čega se obavijest ponovno prikazuje. Više o obradi kod Googlea: policies.google.com/privacy; kod Mete: facebook.com/privacy/policy.
4. Primatelji podataka
Vaše podatke dijelimo samo u mjeri nužnoj za navedene svrhe, s ovim kategorijama primatelja:
4.1. Organizatori događaja
Organizatoru događaja koji nije Koncert d.o.o. dostupni su podaci o kupcima ulaznica za njegov događaj, kako je opisano u odjeljku 2.3.
4.2. Izvršitelji obrade
Sljedeći pružatelji obrađuju podatke u naše ime, prema našim uputama i na temelju ugovora o obradi podataka sukladno članku 28. GDPR-a:
| Izvršitelj | Što obrađuje | Gdje |
|---|---|---|
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg | Smještaj Platforme i baze podataka s narudžbama i ulaznicama, pohrana PDF ulaznica i slika događaja, autentikacija organizatorskih i administratorskih računa, slanje transakcijske e-pošte i newslettera. | Podatkovni centri u Frankfurtu, Njemačka (EU). |
| Monri Payments d.o.o., Maršala Tita 36, 71000 Sarajevo, Bosna i Hercegovina | Obrada kartičnog plaćanja (Monri WebPay). Podatke o kartici unosite izravno kod Monrija; certificiran prema PCI DSS Level 1. | Prema ugovoru s Monrijem, uz zaštitne mjere iz odjeljka 5. |
| Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA, SAD | Praćenje tehničkih grešaka: vrsta uređaja, preglednik, stranica na kojoj je greška nastala, interni identifikator prijavljenog korisnika. Osobni podaci se uklanjaju prije slanja. | Sentryjeva EU regija (Frankfurt); pristup iz SAD-a moguć u okviru podrške, uz standardne ugovorne klauzule i EU-U.S. Data Privacy Framework. |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska | Google Analytics 4 (odjeljak 3), samo uz privolu. | EU i SAD, uz standardne ugovorne klauzule i EU-U.S. Data Privacy Framework. |
| Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irska | Meta Pixel (odjeljak 3), samo uz privolu. Za prikupljanje i prijenos tih podataka Koncert d.o.o. i Meta zajednički su voditelji obrade; daljnju obradu Meta provodi kao samostalni voditelj. | EU i SAD, uz standardne ugovorne klauzule i EU-U.S. Data Privacy Framework. |
4.3. Ostali primatelji
Računovodstveni servis i porezni savjetnici u mjeri potrebnoj za vođenje poslovnih knjiga; pravni savjetnici u slučaju spora; banke i kartične kuće u okviru obrade plaćanja i povrata; te porezna, sudska, policijska i druga nadležna tijela kada to propisi nalažu.
5. Prijenos podataka izvan EU
Podaci o narudžbama, ulaznicama i računima pohranjuju se unutar Europske unije. Do prijenosa u treće zemlje može doći samo kod pružatelja navedenih u odjeljku 4.2, i to uz zaštitne mjere iz poglavlja V. GDPR-a: standardne ugovorne klauzule Europske komisije i, gdje je primatelj certificiran, Odluku o primjerenosti za EU-U.S. Data Privacy Framework. Kopiju primijenjenih zaštitnih mjera možete zatražiti na info@koncert.hr.
6. Rokovi čuvanja
Podatke čuvamo onoliko dugo koliko je potrebno za svrhu u koju su prikupljeni, a nakon toga ih brišemo ili anonimiziramo:
| Podaci | Rok |
|---|---|
| Narudžbe, ulaznice, računi i podaci o plaćanju | 11 godina od kraja poslovne godine u kojoj je narudžba nastala (Zakon o računovodstvu), nakon čega se brišu. |
| Tehnički podaci uz narudžbu | IP adresa i podaci o pregledniku brišu se 24 mjeseca nakon narudžbe. Zbirni podaci o državi, gradu i vrsti uređaja ostaju za statistiku prodaje. |
| Rezervacije ulaznica prije plaćanja | 12 minuta, uz brisanje najkasnije nekoliko minuta nakon isteka. Nedovršene narudžbe označavaju se otkazanima nakon 3 sata. |
| Newsletter | Do odjave ili povlačenja privole. Nakon odjave čuvamo samo e-adresu i datum odjave kako vam više ne bismo pisali. Zapisi o otvaranju i klikovima: 12 mjeseci. |
| Kontakt upiti | 12 mjeseci od zadnje razmjene poruka, dulje ako je upit povezan s narudžbom ili sporom. |
| Organizatorski i administratorski računi | Za trajanja računa; nakon zatvaranja računa podaci se trajno brišu unutar 30 dana, osim onih koje moramo čuvati radi knjigovodstva ili pravnih zahtjeva. |
| Zahtjevi za organizatorski račun koji nisu odobreni | 12 mjeseci od odluke. |
| Sigurnosni i tehnički zapisi (greške, e-pošta, administrativne radnje, prijave) | 90 dana, automatsko brisanje. Zapisi ograničenja učestalosti: 24 sata. Sentry: 90 dana. |
| Analitički i marketinški podaci (GA4, Meta) | Prema odjeljku 3 i pravilima tih pružatelja. |
7. Vaša prava
U odnosu na svoje osobne podatke imate sljedeća prava:
- Pravo na pristup (članak 15. GDPR-a): potvrdu obrađujemo li vaše podatke te kopiju podataka i informacije o svrhama, primateljima i rokovima.
- Pravo na ispravak (članak 16.): ispravak netočnih i dopunu nepotpunih podataka.
- Pravo na brisanje (članak 17.): kada podaci više nisu nužni, kada povučete privolu, kada uspješno uložite prigovor ili kada je obrada nezakonita. Ne primjenjuje se na podatke koje moramo čuvati radi zakonske obveze (npr. računi) ili pravnih zahtjeva.
- Pravo na ograničenje obrade (članak 18.) dok se provjerava točnost podataka ili osnovanost prigovora.
- Pravo na prenosivost (članak 20.): primitak podataka koje ste nam dali u strukturiranom, strojno čitljivom obliku, kada se obrada temelji na privoli ili ugovoru.
- Pravo na prigovor (članak 21.) na obradu temeljenu na legitimnom interesu, a na obradu u svrhu izravnog marketinga uvijek i bez navođenja razloga.
- Pravo na povlačenje privole (članak 7. stavak 3.) u bilo kojem trenutku, bez utjecaja na zakonitost prethodne obrade: poveznicom za odjavu u newsletteru, brisanjem podataka stranice u pregledniku za kolačiće ili zahtjevom na info@koncert.hr.
- Pravo na pritužbu nadzornom tijelu (članak 77.): Agencija za zaštitu osobnih podataka, Selska cesta 136, 10000 Zagreb, azop@azop.hr, www.azop.hr.
Zahtjev podnesite na info@koncert.hr ili poštom na adresu Koncert d.o.o., Cara Hadrijana 13, 31000 Osijek. Radi zaštite vaših podataka možemo zatražiti provjeru identiteta, primjerice slanjem zahtjeva s e-adrese korištene pri kupnji. Odgovaramo bez odgode, a najkasnije u roku od mjesec dana od primitka; kod složenih ili brojnih zahtjeva rok se može produljiti za dva mjeseca, o čemu ćemo vas obavijestiti. Ostvarivanje prava je besplatno, osim kod očito neutemeljenih ili pretjeranih zahtjeva.
8. Sigurnost podataka
Primjenjujemo tehničke i organizacijske mjere zaštite sukladno članku 32. GDPR-a, uključujući: šifriranje sve komunikacije s Platformom protokolom TLS 1.2 ili novijim; šifriranje baze podataka i pohranjenih datoteka u mirovanju; obradu kartičnih podataka isključivo kod PCI DSS certificiranog pružatelja, bez pohrane na našoj strani; kontrolu pristupa po ulogama i zapisivanje administrativnih radnji; ograničenje učestalosti zahtjeva i zaštitu od automatiziranih kupnji; zaštitu lozinki hashiranjem i pravila složenosti; redovite sigurnosne kopije te automatsko brisanje tehničkih zapisa nakon isteka roka čuvanja.
U slučaju povrede osobnih podataka koja bi mogla ugroziti vaša prava i slobode obavijestit ćemo Agenciju za zaštitu osobnih podataka u roku od 72 sata od saznanja (članak 33. GDPR-a), a u propisanim slučajevima i vas.
9. Automatizirano odlučivanje
Ne donosimo odluke koje se temelje isključivo na automatiziranoj obradi, uključujući profiliranje, a koje bi imale pravne ili slično značajne učinke na vas (članak 22. GDPR-a). Automatske sigurnosne provjere (primjerice ograničenje broja zahtjeva) mogu privremeno usporiti kupnju, a svaku odluku o odbijanju narudžbe zbog sumnje na zloporabu provjerava osoba.
10. Djeca
Platforma nije namijenjena djeci mlađoj od 16 godina i ne prikupljamo svjesno njihove osobne podatke. Kupnju ulaznica mogu obavljati osobe koje mogu sklopiti ugovor. Ako saznamo da smo bez odgovarajuće privole prikupili podatke djeteta mlađeg od 16 godina, izbrisat ćemo ih. Dobna ograničenja za pojedine događaje određuje Organizator i navedena su na stranici događaja.
11. Izmjene Pravila privatnosti i kontakt
Ova Pravila mijenjamo kada se promijeni način ili svrha obrade, pružatelji usluga ili propisi. Svaka verzija nosi broj i datum objave koji su navedeni na vrhu i dnu dokumenta; o bitnim izmjenama obavještavamo objavom na Platformi, a korisnike s računom i e-poštom. Prethodne verzije dostupne su na zahtjev.
Za sva pitanja, zahtjeve i pritužbe u vezi sa zaštitom osobnih podataka: Koncert d.o.o., Cara Hadrijana 13, 31000 Osijek, e-pošta info@koncert.hr, telefon 091 506 4844.
Ova Pravila privatnosti verzije 2.0 objavljena su 15. rujna 2026. i zamjenjuju sve prethodne verzije.