Politika zasebnosti

1. Upravljavec

Conaprojekt, Luka Godnič s.p.
Trstenik 74, 4204 Golnik, Slovenija
Matična številka: 6311130000 · ID za DDV: SI78923115
E-pošta: info@conaplan.app

Pooblaščene osebe za varstvo podatkov (DPO) nismo imenovali, ker glede na naravo in obseg obdelave to ni zakonsko zahtevano. Za vsa vprašanja o varstvu podatkov nam pišite na zgornji naslov.

2. Katere podatke obdelujemo

• Račun in organizacija: e-poštni naslov, ime, geslo (shranjeno samo v zgoščeni obliki pri ponudniku avtentikacije), ime organizacije, logotip, vloga v organizaciji (lastnik, vodja, teren).
• Vabila v ekipo: e-poštni naslov povabljene osebe, vloga, enkratna koda in stanje vabila.
• Terminski plan in projekti: projekti, aktivnosti, faze, trajanja, odvisnosti, roki, ekipe in njihova razpoložljivost, verzije plana, zgodovina sprememb (kdo, kdaj, kaj), predlogi sprememb z razlogi, uvožene datoteke planov (obdelane ob uvozu, ne hranimo jih).
• Stanje z gradbišča: vnosi napredka (datum, odstotek, dejanski začetek in konec, opomba, avtor), prijave težav z razlogom in komentarjem, potrditve in zavrnitve.
• Poročila z gradbišča: glasovni posnetki, njihovi prepisi, z umetno inteligenco urejena vsebina poročil in prevodi, fotografije, približna lokacija ob ustvarjanju poročila (izključno za pridobitev vremenskih podatkov za gradbišče), vremenski podatki, ustvarjeni PDF dokumenti in e-poštni naslovi prejemnikov poročil.
• Povezave za podizvajalce: ime ekipe, odgovori na aktivnosti (potrjujem / problem / ne vem še) z opombo; žeton povezave hranimo samo v zgoščeni obliki. Podizvajalec za uporabo povezave ne potrebuje računa.
• Tedenska poročila po e-pošti: izbrani prejemniki med člani organizacije in do pet dodatnih e-poštnih naslovov (npr. investitor, nadzor), stanje odjave ter dnevnik pošiljanj.
• Naročnina in plačila: identifikator naročnine, paket, obdobje, stanje plačila, podatki za račun (vključno z ID za DDV). Številk plačilnih kartic ne hranimo — vnesete jih neposredno pri ponudniku Stripe.
• Tehnični podatki: naslov IP, vrsta naprave in brskalnika, dnevniki dostopa in napak — za delovanje, varnost in preprečevanje zlorab (npr. omejevanje števila zahtev na javnih povezavah).
• Spletna stran: vaša izbira glede piškotkov in — samo s privolitvijo — analitika obiska (Google Analytics 4).

Storitev je namenjena poslovni uporabi in ni namenjena osebam, mlajšim od 18 let.

3. Nameni in pravne podlage

4. Vsebina vaše organizacije — vi ste upravljavec

Vsebina, ki jo vaša organizacija ustvari v storitvi (plani, poročila, posnetki, fotografije, podatki o ekipah in podizvajalcih, prejemniki poročil), ostaja vaša. Kadar ta vsebina vsebuje osebne podatke tretjih oseb — na primer imena delavcev, fotografije oseb na gradbišču, glasove v posnetkih, e-poštne naslove prejemnikov ali odgovore podizvajalcev —, za to obdelavo nastopate kot upravljavec vi, mi pa kot obdelovalec, ki podatke obdeluje samo po vaših navodilih in za izvajanje storitve.

Vi ste odgovorni za ustrezno pravno podlago in za obveščanje teh oseb. Enako velja za vabila v ekipo, povezave za podizvajalce in dodatne prejemnike tedenskih poročil: naslove in povezave pošljemo po vašem navodilu. Dodatni prejemniki tedenskega poročila se lahko kadar koli odjavijo s povezavo v vsakem sporočilu.

Za poslovne uporabnike na zahtevo sklenemo pogodbo o obdelavi podatkov (DPA) skladno s čl. 28 GDPR — pišite na info@conaplan.app.

5. Umetna inteligenca in avtomatizirano odločanje

Pri poročilih z gradbišča uporabljamo umetno inteligenco za prepis govora, strukturiranje vsebine poročila in prevajanje. Rezultat je osnutek, ki ga uporabnik pred pošiljanjem pregleda in izrecno potrdi; brez potrditve se poročilo ne pošlje. Vaše vsebine ne uporabljamo za učenje modelov umetne inteligence.

Terminski plan, kritično pot, napoved konca in zdravje plana izračuna determinističen algoritem brez umetne inteligence.

Ne sprejemamo odločitev, ki bi imele za posameznike pravne ali podobno pomembne učinke izključno na podlagi avtomatizirane obdelave v smislu čl. 22 GDPR.

6. Obdelovalci in kraj obdelave

Za delovanje storitve sodelujemo z naslednjimi obdelovalci, ki osebne podatke obdelujejo samo po naših navodilih:

• Supabase Pte. Ltd (Singapur) — podatkovna baza, avtentikacija in shramba datotek (posnetki, fotografije, PDF, logotipi). Podatki so shranjeni v Frankfurtu, Nemčija (EU).
• Railway Corp. (ZDA) — gostovanje aplikacijskega strežnika (API) v Amsterdamu, Nizozemska (EU). Na tem strežniku se podatki obdelujejo med obravnavo zahtev in se ne hranijo.
• Hetzner Online GmbH (Nemčija) — strežnik v Nürnbergu, Nemčija (EU): avtomatizacije poročil in e-pošte, izdelava PDF dokumentov, pretvorba datotek terminskih planov ob uvozu, gostovanje spletne strani in spletne aplikacije ter šifrirane varnostne kopije.
• Plus Five Five, Inc. (Resend, ZDA) — pošiljanje e-pošte (kode za prijavo in ponastavitev gesla, vabila, poročila z gradbišča, tedenska poročila).
• OpenAI (ZDA) — prepis glasovnih posnetkov v besedilo.
• Anthropic PBC (ZDA) — strukturiranje in prevajanje vsebine poročil.
• OpenWeather Ltd (Združeno kraljestvo) — vremenski podatki za približno lokacijo gradbišča.
• Google Cloud EMEA Limited (Irska) — poslovni e-poštni predal (Google Workspace) za podporo in zahteve posameznikov ter — samo s privolitvijo — analitika spletne strani (Google Analytics 4); obdelava lahko poteka tudi pri Google LLC (ZDA).
• AVANT.SI d.o.o. (NEOSERV, Slovenija) — spletna končna točka za začetek plačila in beleženje privolitev za piškotke.

Poleg tega podatke prejme Stripe, Inc. (ZDA, z evropsko enoto Stripe Payments Europe, Limited, Irska) za obdelavo naročnin in plačil. Stripe pri plačilnih storitvah nastopa kot samostojni upravljavec, ker podatke obdeluje tudi zaradi lastnih zakonskih obveznosti (preprečevanje goljufij, plačilna in protipranjska zakonodaja); velja politika zasebnosti družbe Stripe. Apple in Google ob prenosu mobilne aplikacije iz svojih trgovin podatke obdelujeta kot samostojna upravljavca.

Kadar se podatki prenašajo ali so dostopni izven Evropskega gospodarskega prostora (npr. pri ponudnikih s sedežem v ZDA ali Singapurju), prenos poteka skladno s čl. 44–49 GDPR: na podlagi sklepa o ustreznosti (vključno z okvirom EU–ZDA za zasebnost podatkov, kadar je ponudnik vanj vključen) ali standardnih pogodbenih klavzul Evropske komisije (SCC). Seznam obdelovalcev posodobimo ob vsaki spremembi; za stranke s sklenjeno pogodbo DPA velja postopek obveščanja, določen v pogodbi.

7. Hramba

• Račun, organizacija in vsebina storitve: dokler je račun aktiven. Po izbrisu računa ali zaključku sodelovanja podatke izbrišemo ali anonimiziramo v razumnem roku, razen kjer zakon zahteva drugače.
• Verzije plana, zgodovina sprememb in vnosi napredka: kot del projekta, dokler projekt obstaja; izbrišejo se skupaj s projektom.
• Povezave za podizvajalce: veljajo 90 dni ali do preklica; odgovori ostanejo del projekta.
• Vabila: koda velja 7 dni; zapis o vabilu ostane kot evidenca članstva.
• Računovodski in plačilni podatki: do 10 let (davčna in računovodska zakonodaja).
• Varnostne kopije: bazo in shranjene datoteke varnostno kopiramo dnevno, šifrirano. Izbrisani podatki lahko v varnostnih kopijah ostanejo do 14 dni, nato so nepovratno odstranjeni.
• Tehnični dnevniki: pri ponudniku aplikacijskega strežnika 7 dni, na naših strežnikih največ 30 dni.
• Analitika spletne strani: do 2 leti (nastavitev Google Analytics), samo s privolitvijo.

Odpoved naročnine ne izbriše samodejno računa — izbris zahtevajte ločeno. Postopek je opisan na strani Izbris računa in podatkov.

8. Mobilna aplikacija

• Mikrofon uporabimo samo, ko posnamete glasovno poročilo.
• Kamera in fotografije samo, ko poročilu dodate fotografijo.
• Lokacija se odčita samo ob ustvarjanju poročila in samo za vremenske podatke; lokacije ne spremljamo v ozadju.
• Lokalna shramba na telefonu hrani prijavo in vrsto poročil, potrditev in prijav težav, ki čakajo na povezavo; po uspešnem pošiljanju se vrsta izprazni.
• Obvestila so lokalna (npr. o poslanih vnosih iz vrste); storitve za potisna obvestila ne uporabljamo.

9. Vaše pravice

Skladno s čl. 15–22 GDPR imate pravico do dostopa, popravka, izbrisa, omejitve obdelave, prenosljivosti, ugovora in preklica privolitve. Pravice uveljavite na info@conaplan.app; odgovorimo najpozneje v enem mesecu.

Če ste član organizacije ali podizvajalec in se zahteva nanaša na vsebino organizacije, jo posredujemo upravljavcu (vaši organizaciji) in mu pomagamo pri odgovoru.

Pritožbo lahko vložite pri nadzornem organu — Informacijski pooblaščenec RS, Dunajska cesta 22, 1000 Ljubljana (www.ip-rs.si).

10. Varnost

• šifriranje prenosa (HTTPS/TLS) za vse povezave;
• ločevanje podatkov po organizacijah na ravni baze (RLS) in preverjanje pravic na strežniku za vsako zahtevo;
• gesla samo v zgoščeni obliki; žetoni povezav in odjav samo v zgoščeni obliki;
• varnostne kopije, šifrirane z javnim ključem, ki ga strežnik ne more odšifrirati;
• dvostopenjsko preverjanje za interne sisteme, omejen dostop in redne posodobitve.

11. Piškotki in shramba brskalnika

Spletna stran in spletna aplikacija uporabljata nujno potrebno shrambo brskalnika; analitika na spletni strani se naloži samo s privolitvijo. Podrobnosti so v Politiki piškotkov.

12. Spremembe in kontakt

To politiko lahko občasno posodobimo; o bistvenih spremembah vas obvestimo po e-pošti ali v aplikaciji. Datum zadnje posodobitve je naveden na vrhu.

Kontakt: info@conaplan.app · Trstenik 74, 4204 Golnik, Slovenija