Zatražite rani pristup

Unesite ime te adresu e-pošte ili telefonski broj. Poslat ćemo vam pojedinosti o pristupu platformi Tajo.

Na ovoj stranici

Zaštita podataka i privatnost

Ovaj dokument opisuje kako Tajo postupa s osobnim podacima kupaca trgovaca, potencijalnih kupaca i posjetitelja trgovčevih web-mjesta. Naša predanost zaštiti podataka osigurava usklađenost s GDPR-om, CCPA-om i drugim globalnim propisima o privatnosti.

Svrha i minimizacija podataka

Obrađujete li najmanju količinu osobnih podataka potrebnu da biste trgovcima pružili vrijednost?

Da. Tajo obrađuje samo osobne podatke nužne za sljedeće:

Sinkronizaciju podataka o kupcima s Brevom za marketinšku automatizaciju
Omogućavanje rada programa vjernosti
Praćenje narudžbi i angažmana kupaca
Pružanje mogućnosti višekanalne komunikacije

Osobni podaci uključuju informacije koje mogu identificirati određenu osobu (ime, adresa e-pošte) ili se mogu povezati s određenom osobom (ukupan iznos narudžbe, ID kupca).

Govorite li trgovcima koje osobne podatke obrađujete i u koje svrhe?

Da. Potpunu transparentnost osiguravamo kroz sljedeće:

Naš ugovor o obradi podataka (DPA) koji jasno definira sve kategorije obrađivanih podataka
Dokumentaciju koja točno navodi koji se podaci sinkroniziraju s Brevom
Jasnu API dokumentaciju koja prikazuje sva polja podataka koja se prenose
Uvid u aktivnosti sinkronizacije podataka u stvarnom vremenu

Ograničavate li upotrebu osobnih podataka na tu svrhu?

Da. Tajo osobne podatke koristi isključivo za sljedeće:

Pružanje osnovnih usluga platforme kako je opisano u našim uvjetima pružanja usluge
Sinkronizaciju podataka o kupcima s Brevom za marketinšku automatizaciju
Vođenje programa vjernosti i značajki angažmana kupaca
Izradu analitike i uvida za trgovce

Podatke o kupcima ne koristimo ni u koje svrhe izvan onih koje su izričito navedene i dogovorene.

Privola i pravna osnova

Imate li s trgovcima sklopljene ugovore o privatnosti i zaštiti podataka?

Da. Svaki trgovac mora prihvatiti sljedeće:

Uvjete pružanja usluge, koji uređuju upotrebu platforme Tajo
Ugovor o obradi podataka (DPA), koji definira našu ulogu izvršitelja obrade
Pravila o privatnosti, koja opisuju naše postupanje s podacima

Ti ugovori utvrđuju sljedeće:

Tajo djeluje kao izvršitelj obrade za podatke o kupcima trgovca
Trgovci djeluju kao voditelji obrade i odgovorni su za pribavljanje odgovarajuće privole
Jasne obveze obiju strana u pogledu zaštite podataka

Poštujete li i primjenjujete odluke kupaca o privoli?

Da. Tajo poštuje privolu kupaca na sljedeće načine:

Automatskom obradom zahtjeva za odjavu iz Breva
Sinkronizacijom preferencija privole u stvarnom vremenu
Zaustavljanjem komunikacije prema kupcima koji su se odjavili
Poštovanjem preferencija kupaca na svim kanalima (e-pošta, SMS, WhatsApp)

Kada se kupac odjavi ili povuče privolu, Tajo odmah čini sljedeće:

Sinkronizira preferenciju s Brevom
Sprječava buduću marketinšku komunikaciju
Vodi zapise o revizijskom tragu promjena privole

Poštujete li i primjenjujete odluke kupaca o odbijanju prodaje njihovih podataka?

Da. Tajo ni pod kojim okolnostima ne prodaje podatke o kupcima. Mi činimo sljedeće:

Nikada ne dijelimo osobne podatke s trećim stranama u komercijalne svrhe
Podatke prenosimo isključivo Brevu kao dio osnovne funkcionalnosti platforme
Poštujemo zahtjeve CCPA-e „Do Not Sell My Personal Information“
Jasno objavljujemo da se prodaja podataka ne provodi

Ako osobne podatke koristite za automatizirano donošenje odluka, a te odluke mogu imati pravne ili značajne učinke, mogu li kupci to odbiti?

Nije primjenjivo. Tajo ne provodi automatizirano donošenje odluka koje ima pravne ili slično značajne učinke na pojedince. Platforma nudi sljedeće:

Marketinšku automatizaciju (od koje se kupci mogu u potpunosti odjaviti)
Upravljanje programom vjernosti (kojim upravljaju trgovci)
Segmentaciju kupaca (isključivo za potrebe trgovca)

Nijedna od tih aktivnosti ne predstavlja automatizirano donošenje odluka s pravnim ili značajnim učincima kako je definirano člankom 22. GDPR-a.

Pohrana i sigurnost

Imate li razdoblja čuvanja koja osiguravaju da se osobni podaci ne čuvaju dulje nego što je potrebno?

Da. Tajo primjenjuje jasna pravila o čuvanju podataka:

Podaci o aktivnim kupcima:

Čuvaju se dok je trgovčev račun aktivan
Koriste se za kontinuiranu sinkronizaciju i rad platforme
Trgovci u svakom trenutku mogu izbrisati podatke o kupcima putem Tajo sučelja

Prestanak računa:

Svi podaci o kupcima brišu se u roku od 90 dana od prestanka računa
Trgovci mogu zatražiti trenutačno brisanje podataka nakon prestanka
Sigurnosne kopije čiste se prema našem rasporedu čuvanja sigurnosnih kopija (30 dana)

Zakonsko čuvanje:

Evidencije o transakcijama mogu se čuvati dulje ako to zahtijeva zakon (npr. porezne evidencije)
Čuva se minimalna količina podataka isključivo radi zakonske usklađenosti

Trgovci su odgovorni za sljedeće:

Upravljanje razdobljima čuvanja za vlastite aktivnosti obrade podataka
Brisanje podataka o kupcima kada više nisu potrebni
Usklađenost s primjenjivim propisima o zaštiti podataka u svojoj jurisdikciji

Šifrirate li podatke u mirovanju i u prijenosu?

Da. Tajo primjenjuje šifriranje prema industrijskim standardima:

U prijenosu:

TLS 1.3 za sve prijenose podataka
HTTPS obvezan za sav web-promet
Šifrirane API veze prema Brevu
Prikvačivanje certifikata za mobilne aplikacije

U mirovanju:

AES-256 šifriranje za pohranu u bazi podataka
Šifrirane sigurnosne kopije
Šifrirana pohrana datoteka za sve prenesene dokumente
Šifriranje na razini baze podataka za osjetljiva polja (npr. API ključeve)

Šifrirate li svoje sigurnosne kopije podataka?

Da. Svi podaci sigurnosnih kopija su šifrirani:

Automatske dnevne sigurnosne kopije šifrirane algoritmom AES-256
Datoteke sigurnosnih kopija pohranjene sa šifriranjem u mirovanju
Sigurno upravljanje ključevima za šifriranje sigurnosnih kopija
Redoviti testovi vraćanja sigurnosnih kopija radi provjere cjelovitosti

Odvajate li testne i produkcijske podatke?

Da. Tajo održava strogu odvojenost:

Potpuno odvojena produkcijska i razvojna/testna okruženja
Produkcijski podaci ne koriste se u testnim okruženjima
Testni podaci su anonimizirani i sintetički
Odvojene baze podataka, poslužitelji i kontrole pristupa
Različiti API ključevi i vjerodajnice za svako okruženje

Imate li strategiju za sprječavanje gubitka podataka?

Da. Tajo provodi sveobuhvatno sprječavanje gubitka podataka:

Preventivne mjere:

Automatske sigurnosne kopije svaka 24 sata
Replikacija baze podataka u stvarnom vremenu
Redundantna pohrana u više zona dostupnosti
Kontrola verzija i praćenje promjena

Otkrivanje:

Automatski nadzor cjelovitosti podataka
Otkrivanje anomalija u neuobičajenim obrascima pristupa podacima
Redovite sigurnosne revizije i testiranja proboja
Automatska upozorenja o mogućim povredama podataka

Oporavak:

Mogućnosti oporavka na točku u vremenu
Dokumentirani postupci oporavka od katastrofe
Redovite vježbe oporavka od katastrofe
RTO (ciljano vrijeme oporavka): 4 sata
RPO (ciljana točka oporavka): 24 sata

Kontrola pristupa

Ograničavate li pristup zaposlenika osobnim podacima kupaca?

Da. Pristup podacima o kupcima strogo je kontroliran:

Načela pristupa:

Načelo najmanje ovlasti
Kontrola pristupa temeljena na ulogama (RBAC)
Isključivo na osnovi nužnog poznavanja
Redoviti pregledi pristupa (tromjesečno)

Razine pristupa:

Bez pristupa: većina zaposlenika nema pristup produkcijskim podacima o kupcima
Samo za čitanje: osoblje podrške ima ograničen, revidiran pristup čitanju radi rješavanja problema
Administrativna: administratori baza podataka imaju povišene ovlasti, uz opsežno bilježenje
Hitna: postupci hitnog pristupa isključivo za kritične incidente

Kontrole:

Višefaktorska autentifikacija (MFA) obvezna za sve zaposlenike
VPN obvezan za udaljeni pristup
Popis dopuštenih IP adresa za administrativni pristup
Istek sesija i automatska zaključavanja

Imate li stroge zahtjeve za lozinke zaposlenika?

Da. Tajo provodi pravila o lozinkama na razini velikih poduzeća:

Zahtjevi:

Najmanje 16 znakova
Moraju sadržavati velika i mala slova, brojeve i posebne znakove
Nije dopušteno ponovno korištenje posljednjih 12 lozinki
Istek lozinke svakih 90 dana
Zaključavanje računa nakon 5 neuspjelih pokušaja

Dodatna sigurnost:

Višefaktorska autentifikacija (MFA) obvezna za sve zaposlenike
Integracija jedinstvene prijave (SSO) s korporativnim davateljem identiteta
Podržana biometrijska autentifikacija
Upravitelj lozinki obvezan za sve zaposlenike
Redovita edukacija o sigurnosnoj svijesti

Bilježite li pristup osobnim podacima?

Da. Održava se sveobuhvatno revizijsko bilježenje:

Zabilježene aktivnosti:

Svi upiti nad bazom podataka koji pristupaju podacima o kupcima
API pozivi prema Brevu s podacima o kupcima
Administrativni pristup produkcijskim sustavima
Izvozi podataka i skupne operacije
Promjene konfiguracije
Neuspjeli pokušaji autentifikacije

Detalji zapisa uključuju:

Vremensku oznaku pristupa
Identitet korisnika
IP adresu i lokaciju
Izvedenu radnju
Podatke kojima se pristupilo (ID-ovi zapisa)
Status uspjeha ili neuspjeha

Upravljanje zapisima:

Zapisi se čuvaju najmanje 1 godinu
Šifrirana pohrana zapisa
Sustav bilježenja otporan na neovlaštene izmjene
Redoviti pregledi zapisa
SIEM integracija za nadzor u stvarnom vremenu
Automatska upozorenja o sumnjivim aktivnostima

Imate li pravila za odgovor na sigurnosne incidente?

Da. Tajo održava sveobuhvatan plan odgovora na sigurnosne incidente:

Otkrivanje i procjena:

Sigurnosni nadzor 24/7
Automatsko otkrivanje prijetnji
Klasifikacija ozbiljnosti incidenta
Početna procjena u roku od 1 sata

Tim za odgovor:

Namjenski tim za odgovor na sigurnosne incidente
Jasni postupci eskalacije
Definirane uloge i odgovornosti
Vanjski sigurnosni stručnjaci pod ugovorom

Postupci odgovora:

Ograničavanje: trenutačna izolacija zahvaćenih sustava
Istraga: forenzička analiza radi utvrđivanja opsega i uzroka
Uklanjanje: uklanjanje prijetnje i zatvaranje ranjivosti
Oporavak: vraćanje sustava i provjera sigurnosti
Obavještavanje: obavještavanje zahvaćenih strana kako to zahtijeva zakon
Pregled nakon incidenta: dokumentiranje naučenih lekcija i poboljšanje procesa

Rokovi obavještavanja:

Trgovci se obavještavaju u roku od 72 sata od potvrđene povrede podataka
Regulatorna tijela obavještavaju se kako to zahtijeva primjenjivo pravo (npr. GDPR-ov rok od 72 sata)
Zahvaćeni pojedinci obavještavaju se kada postoji visok rizik za njihova prava

Dokumentacija:

Svi incidenti detaljno se dokumentiraju
Godišnja izvješća o sigurnosnim incidentima
Redovita obuka i simulacijske vježbe
Kontinuirano poboljšanje postupaka odgovora

Ugovor o obradi podataka (DPA)

Tajo posluje na temelju sveobuhvatnog ugovora o obradi podataka koji je usklađen sa zahtjevima članka 28. GDPR-a. Ključni elementi uključuju sljedeće:

Uloge i odgovornosti

Tajo djeluje kao izvršitelj obrade za podatke o kupcima trgovca
Trgovci djeluju kao voditelji obrade i odgovorni su za sljedeće:
- Pribavljanje odgovarajuće privole kupaca
- Pružanje obavijesti o privatnosti
- Obradu zahtjeva za ostvarivanje prava ispitanika
- Utvrđivanje svrha i sredstava obrade

Detalji obrade

Svrha: pružanje usluga platforme Tajo, uključujući:

Sinkronizaciju podataka o kupcima s Brevom
Upravljanje programom vjernosti
Višekanalnu marketinšku automatizaciju
Analitiku i izvješćivanje

Kategorije podataka:

Kontaktni podaci (ime, e-pošta, telefon)
Povijest narudžbi i podaci o transakcijama
Preferencije kupaca i status privole
Podaci o ponašanju (klikovi, otvaranja, angažman)
Podaci programa vjernosti (bodovi, razine, nagrade)

Ispitanici:

Kupci trgovca
Posjetitelji web-mjesta
Pretplatnici na newsletter
Članovi programa vjernosti

Podizvršitelji obrade

Tajo angažira sljedeće podizvršitelje obrade:

Podizvršitelj obrade	Usluga	Lokacija	Zaštitne mjere
Brevo	Platforma za e-poštu/SMS/WhatsApp	Francuska (EU)	Usklađen s GDPR-om, standardne ugovorne klauzule
AWS	Infrastruktura u oblaku	Regije u EU	Usklađen s GDPR-om, okvir EU-US Data Privacy Framework
Cloudflare	CDN i sigurnost	Globalno	Standardne ugovorne klauzule, lokalizacija podataka

Obavijest o promjeni:

Trgovci se obavještavaju 30 dana prije angažiranja novih podizvršitelja obrade
Pravo na prigovor na nove podizvršitelje obrade
Alternativna rješenja ili pravo na raskid ako je prigovor opravdan

Prava ispitanika

Tajo pomaže trgovcima u ispunjavanju prava ispitanika:

Podržana prava:

Pravo na pristup
Pravo na ispravak
Pravo na brisanje („pravo na zaborav“)
Pravo na prenosivost podataka
Pravo na prigovor
Pravo na ograničenje obrade

Obrada zahtjeva:

Trgovci u svakom trenutku mogu izvesti podatke o kupcima
Brisanje podataka o kupcima dostupno je putem Tajo sučelja
API krajnje točke za automatizirano upravljanje podacima
Odgovor na zahtjeve ispitanika u roku od 5 radnih dana

Sigurnosne mjere

Cjelovit popis sigurnosnih mjera nalazi se u Dodatku 4. našeg DPA-a, uključujući sljedeće:

Fizičke i logičke kontrole pristupa
Šifriranje u mirovanju i u prijenosu
Sigurnosni nadzor i odgovor na incidente
Redovite sigurnosne revizije i testiranja proboja
Obuku osoblja i provjere prošlosti

Međunarodni prijenosi podataka

Zaštita podataka u EU:

Primarna pohrana podataka u EU (Belgija, Francuska)
Standardne ugovorne klauzule za sve prijenose izvan EU
Dopunske mjere uključujući šifriranje i kontrole pristupa
Certifikacija prema okviru EU-US Data Privacy Framework gdje je primjenjivo

Usklađenost s CCPA-om:

Jasno definiran odnos pružatelja usluge
Nema prodaje ni dijeljenja osobnih podataka
Usklađenost s kalifornijskim pravima na privatnost
Potpisan ugovor o obradi podataka

Prava na reviziju

Trgovci imaju pravo na sljedeće:

Zatražiti dokumentaciju o Tajovoj usklađenosti
Pregledati sigurnosne certifikate i revizijska izvješća
Provoditi revizije (uz razumnu najavu, najviše jednom godišnje)
Primiti sigurnosnu dokumentaciju uključujući SOC 2 izvješća

Regulatorna usklađenost

Status usklađenosti: potpuno usklađeno

Ključne značajke:

Valjana pravna osnova za sve aktivnosti obrade
Ugovor o obradi podataka sa svim trgovcima
Provedene procjene učinka na zaštitu podataka (DPIA)
Imenovan službenik za zaštitu podataka: [email protected]
Postupci obavještavanja o povredi (72 sata)
Vođena evidencija aktivnosti obrade
Načela tehničke i integrirane zaštite podataka

CCPA (Kalifornijski zakon o privatnosti potrošača)

Status usklađenosti: potpuno usklađeno

Ključne značajke:

Odnos pružatelja usluge (ne prodajemo podatke)
Podržana prava potrošača (pristup, brisanje, odjava)
Objave u pravilima o privatnosti
Poštuje se zahtjev „Do Not Sell My Personal Information“
Godišnja obuka osoblja o zaštiti podataka
Ugovorne obveze prema trgovcima

Direktiva NIS 2

Primjenjivost: usklađeno gdje je primjenjivo

Mjere kibernetičke sigurnosti:

Uspostavljen okvir za upravljanje rizicima
Prijavljivanje sigurnosnih incidenata CSIRT-ovima
Sigurnosni zahtjevi za opskrbni lanac
Redovite sigurnosne procjene
Planovi kontinuiteta poslovanja i oporavka od katastrofe

DORA (Akt o digitalnoj operativnoj otpornosti)

Primjenjivost: spremno za financijske institucije koje koriste Tajo

Značajke usklađenosti:

Okvir za upravljanje ICT rizicima
Postupci prijave incidenata
Testiranje digitalne operativne otpornosti
Upravljanje rizicima trećih strana
Regulatorni pristup i prava na reviziju

Napomena: odredbe DORA-e primjenjuju se samo na regulirane financijske institucije. Ako ste financijska institucija na koju se DORA odnosi, obratite se našem timu za velika poduzeća radi posebne dokumentacije o usklađenosti.

Kontakt i podrška

Službenik za zaštitu podataka

E-pošta: [email protected] Uloga: nadzire cjelokupnu usklađenost sa zaštitom podataka

Sigurnosni tim

E-pošta: [email protected] Uloga: rješava sigurnosne incidente i upite

Podrška trgovcima

E-pošta: [email protected] Web-mjesto: https://tajo.io/support Uloga: opća podrška i pomoć oko platforme

Prijava sigurnosne ranjivosti

E-pošta: [email protected] PGP ključ: dostupan na https://tajo.io/security.txt

Pozdravljamo odgovorno prijavljivanje sigurnosnih ranjivosti i održavamo program nagrađivanja za prijave koje ispunjavaju uvjete.

Dodatni resursi

Verzija dokumenta

Verzija: 1.0 Zadnje ažuriranje: siječanj 2025. Sljedeći pregled: srpanj 2025.

Ovaj se dokument redovito pregledava i ažurira kako bi se osigurala trajna usklađenost s propisima o zaštiti podataka koji se razvijaju i s najboljom praksom u industriji.