1. Rukovalac podataka

Construction Team je cloud platforma za upravljanje građevinskim projektima, koja se pruža kao usluga (SaaS). U smislu Uredbe (EU) 2016/679 (GDPR), rukovalac podataka je pravno lice navedeno u odeljku 17 ove politike.

Rukovalac određuje svrhe i način obrade podataka o ličnosti prikupljenih putem Platforme.
Kada Klijent (pravno lice) koristi Platformu za upravljanje podacima svojih zaposlenih, podizvođača ili partnera, Klijent ima ulogu samostalnog rukovaoca za te podatke, a Construction Team ima ulogu obrađivača podataka u smislu člana 28 GDPR.
Odnos između Construction Team-a i Klijenta u svojstvu obrađivača uređen je Ugovorom o obradi podataka (DPA), koji predstavlja sastavni deo pretplatničkog ugovora.

2. Definicije

Za potrebe ove Politike privatnosti:

"Podaci o ličnosti" -- svaka informacija koja se odnosi na identifikovano ili odredivo fizičko lice (lice na koje se podaci odnose).
"Obrada" -- svaka radnja sa podacima o ličnosti: prikupljanje, beleženje, organizovanje, strukturisanje, čuvanje, prilagođavanje, preuzimanje, uvid, korišćenje, otkrivanje, brisanje ili uništavanje.
"Lice na koje se podaci odnose" -- fizičko lice čiji se podaci o ličnosti obrađuju (korisnici, zaposleni kod klijenata, kontakt osobe partnera).
"Obrađivač podataka" -- lice koje obrađuje podatke o ličnosti u ime rukovaoca.
"Podobrađivač" -- treće lice kome je obrađivač poverio deo obrade.
"Povreda podataka o ličnosti" -- povreda koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti.

3. Domen i primenjivost

Ova Politika privatnosti primenjuje se na:

Sva fizička lica koja posećuju veb-sajt constructionteam.app.
Korisnike koji kreiraju nalog i koriste Platformu.
Kontakt osobe pravnih lica -- klijenata, dobavljača i partnera čiji se podaci unose u Platformu.
Fizička lica koja nas kontaktiraju putem kontakt forme, elektronske pošte ili drugih kanala.
Zaposlene i predstavnike klijentskih kompanija čiji se podaci obrađuju u skladu sa pretplatničkim ugovorom.

Ova Politika se ne primenjuje na anonimizovane ili agregirane podatke koji ne dozvoljavaju identifikaciju fizičkog lica.

4. Kategorije podataka o ličnosti koje prikupljamo

4.1. Identifikacioni i kontakt podaci

Tokom registracije i korišćenja Platforme prikupljamo:

Ime i prezime korisnika.
Poslovnu adresu elektronske pošte.
Broj telefona (ukoliko je naveden).
Naziv kompanije, matični broj i adresu klijentskog pravnog lica.
Poziciju/ulogu u organizaciji.

4.2. Tehnički podaci

Automatski se prikupljaju prilikom pristupa Platformi:

IP adresu i približnu geografsku lokaciju (na nivou države/grada).
Vrstu i verziju pregledača, operativni sistem.
Identifikatore uređaja.
Datum, vreme i trajanje sesija.
Posećene stranice i korišćene funkcionalnosti.

4.3. Poslovni podaci

U toku rada sa Platformom mogu se obrađivati i sledeći podaci:

Podaci iz faktura, ugovora, ponuda i drugih dokumenata koje unosi Klijent.
Imena i kontakti zaposlenih, podizvođača i partnera koje unosi Klijent.
Finansijske informacije (bankovni računi, iznosi faktura) koje unosi Klijent.
Podaci o gradilištima, građevinskim premerima i inventaru.

Važno: U pogledu poslovnih podataka koje unosi Klijent, Klijent je rukovalac podataka. Construction Team obrađuje te podatke isključivo po uputstvima Klijenta i u skladu sa Ugovorom o obradi podataka.

4.4. Podaci o plaćanju

Za potrebe obrade pretplatničkih plaćanja:

Construction Team NE čuva pune brojeve bankovnih kartica.
Plaćanja obrađuje sertifikovani platni operater (Stripe), koji je usklađen sa standardima PCI DSS Level 1.
Čuvamo isključivo: poslednje 4 cifre kartice, vrstu kartice, datum isteka i identifikator transakcije.

5. Svrhe i pravni osnovi obrade

Podatke o ličnosti obrađujemo samo kada postoji važeći pravni osnov u skladu sa članom 6, stav 1 GDPR:

5.1. Izvršenje ugovora (čl. 6(1)(b))

Kreiranje korisničkih naloga i upravljanje njima.
Pružanje pretplatničke usluge i tehničke podrške.
Obradu plaćanja i izdavanje faktura.
Komunikaciju u vezi sa uslugom (sistemska obaveštenja, izmene uslova).

5.2. Legitimni interes (čl. 6(1)(f))

Pod uslovom sprovođenja testa ravnoteže kojim se utvrđuje da naš interes ne nadjačava prava lica na koje se podaci odnose:

Unapređenje Platforme analizom korišćenja (agregirani podaci).
Obezbeđivanje bezbednosti -- otkrivanje neovlašćenog pristupa, zloupotreba i sajber napada.
Sprečavanje prevara i zloupotreba usluge.
Interno izveštavanje i reviziju.

5.3. Zakonska obaveza (čl. 6(1)(c))

Čuvanje računovodstvenih dokumenata u skladu sa Zakonom o računovodstvu (10 godina).
Dostavljanje podataka kada to nalaže zakon ili nalog nadležnog organa.
Ispunjavanje poreskih obaveza.

5.4. Pristanak (čl. 6(1)(a))

Samo u slučajevima u kojima ne postoji drugi pravni osnov:

Slanje marketinških poruka i biltena (uz pravo na odjavu u svakom trenutku).
Korišćenje opcionih kolačića za potrebe analitike i oglašavanja.
Učešće u anketama o zadovoljstvu i istraživanjima.

Pristanak se može povući u svakom trenutku, bez uticaja na zakonitost obrade sprovedene pre povlačenja.

6. Kolačići i tehnologije praćenja

Koristimo sledeće kategorije kolačića:

6.1. Strogo neophodni (nije potreban pristanak)

Sesijski kolačići za autentifikaciju i održavanje korisničke sesije.
Kolačići za CSRF zaštitu (bezbednost formi).
Kolačići za pamćenje jezičkih podešavanja.

6.2. Analitički (uz pristanak)

Google Analytics -- za analizu posete i ponašanja posetilaca.
Interna analitika -- za unapređenje korisničkog iskustva.

6.3. Upravljanje kolačićima

Kolačićima možete upravljati putem podešavanja vašeg pregledača ili putem cookie banera prilikom prve posete. Onemogućavanje strogo neophodnih kolačića može narušiti funkcionalnost Platforme.

7. Rok čuvanja podataka

Podatke o ličnosti čuvamo samo onoliko dugo koliko je neophodno za svrhu zbog koje su prikupljeni:

Podaci o nalogu -- do raskida pretplate, uvećano za 30 dana za potrebe izvoza podataka.
Poslovni podaci Klijenta -- do raskida ugovora, uvećano za 30 dana za izvoz, nakon čega se trajno brišu.
Računovodstvena dokumenta -- 10 godina u skladu sa Zakonom o računovodstvu.
Bezbednosni logovi -- do 12 meseci.
Marketinški pristanak -- do njegovog povlačenja od strane lica na koje se podaci odnose.
Podaci iz kontakt forme -- do 6 meseci nakon rešavanja upita.
Rezervne kopije -- do 90 dana, nakon čega se automatski prepisuju.

Po isteku rokova čuvanja, podaci se brišu ili nepovratno anonimizuju. U slučaju spora ili pravnog zahteva, podaci se mogu čuvati do pravnosnažnog okončanja postupka.

9. Međunarodni prenos podataka

Vaši podaci se čuvaju na serverima u Evropskoj uniji.

Kada je prenos van EEA neophodan (na primer, ka podobrađivačima u SAD), obezbeđujemo odgovarajući nivo zaštite primenom Standardnih ugovornih klauzula (SCC) koje je odobrila Evropska komisija (Odluka 2021/914).
AI obrada (OpenAI) može uključivati prenos podataka u SAD. OpenAI je sertifikovan u okviru EU-US Data Privacy Framework i primenjuje dodatne tehničke mere zaštite.
Pre svakog prenosa sprovodimo Procenu uticaja prenosa (Transfer Impact Assessment, TIA) u skladu sa smernicama EDPB.
Spisak podobrađivača i njihovih lokacija dostupan je na zahtev upućen na info@constructionteam.app.

10. Vaša prava prema GDPR

U skladu sa Uredbom (EU) 2016/679, imate sledeća prava:

Pravo na pristup (čl. 15)

Imate pravo da dobijete potvrdu o tome da li se vaši podaci o ličnosti obrađuju, da im pristupite i da budete obavešteni o svrhama, kategorijama podataka, primaocima i roku čuvanja.

Pravo na ispravku (čl. 16)

Imate pravo da zahtevate ispravku netačnih podataka o ličnosti ili dopunu nepotpunih podataka bez nepotrebnog odlaganja.

Pravo na brisanje (čl. 17)

Imate pravo da zahtevate brisanje vaših podataka o ličnosti kada: podaci više nisu neophodni za svrhu zbog koje su prikupljeni; povučete pristanak; uložite prigovor na obradu; ili kada su podaci nezakonito obrađivani. Ovo pravo se ne primenjuje u slučaju kada je obrada neophodna radi ispunjenja zakonske obaveze.

Pravo na ograničenje (čl. 18)

Imate pravo da zahtevate ograničenje obrade kada osporavate tačnost podataka, kada je obrada nezakonita ili kada ste uložili prigovor na obradu, do okončanja provere.

Pravo na prenosivost podataka (čl. 20)

Imate pravo da svoje podatke primite u strukturisanom, uobičajeno korišćenom i mašinski čitljivom formatu (JSON, CSV) i da ih prenesete drugom rukovaocu. Platforma omogućava funkciju izvoza podataka iz korisničkog panela.

Pravo na prigovor (čl. 21)

Imate pravo da uložite prigovor na obradu podataka koja se zasniva na legitimnom interesu. Po prijemu prigovora prekidamo obradu, osim ako ne dokažemo postojanje uverljivih legitimnih razloga koji preovladavaju nad vašim interesima. Prigovor na obradu u svrhe direktnog marketinga možete uložiti u svakom trenutku, bezuslovno.

Pravo da ne budete predmet automatizovanog donošenja odluka (čl. 22)

Imate pravo da ne budete predmet odluke zasnovane isključivo na automatizovanoj obradi, uključujući profilisanje, koja proizvodi pravne posledice po vas. Construction Team ne donosi automatizovane odluke sa pravnim dejstvom bez ljudskog učešća.

11. Ostvarivanje vaših prava

Radi ostvarivanja bilo kog od svojih prava, možete nas kontaktirati putem sledećih kanala:

Elektronska pošta: info@constructionteam.app (sa naslovom "GDPR zahtev").
Putem kontakt forme na constructionteam.app/contact.
Pisanim putem na adresu navedenu u odeljku 17.

Radi vaše zaštite, pre postupanja po zahtevu možemo zatražiti proveru vašeg identiteta.

Na svaki zahtev odgovaramo u roku od 30 dana. U složenim slučajevima ili kod više zahteva, rok se može produžiti za najviše 60 dana, o čemu ćete biti obavešteni.

Ostvarivanje vaših prava je besplatno. U slučaju očigledno neosnovanih ili prekomernih zahteva (naročito zbog ponavljanja), možemo naplatiti razumnu naknadu ili odbiti postupanje.

12. AI obrada i automatizovano donošenje odluka

Platforma koristi veštačku inteligenciju (AI) za sledeće svrhe:

Automatsko prepoznavanje i izdvajanje podataka iz skeniranih dokumenata (fakture, građevinski premeri, protokoli).
Inteligentno povezivanje stavki nomenklature putem semantičkih vektora (embeddings).
Predlozi za kategorizaciju i klasifikaciju dokumenata.

Mere zaštite kod AI obrade

Rezultati AI obrade uvek predstavljaju predloge -- konačnu odluku donosi korisnik, koji rezultate pregleda i potvrđuje ili odbija.
Bez ljudskog učešća ne donose se automatizovane odluke sa pravnim ili značajnim dejstvom.
Dokumenti poslati na AI obradu obrađuju se u realnom vremenu i pružalac AI usluge ih ne čuva radi obuke modela.
AI obrada može uključivati prenos podataka ka podobrađivaču (OpenAI), kako je opisano u odeljku 9.
U svakom trenutku imate pravo da zahtevate ljudsko učešće ili da odbijete AI obradu.

13. Zaštita podataka po pretpostavci i po dizajnu

U skladu sa članom 25 GDPR primenjujemo načela Zaštite podataka po dizajnu i po pretpostavci:

Minimizacija podataka -- prikupljamo samo podatke koji su neophodni za konkretnu svrhu.
Izolacija podataka (multi-tenancy) -- podaci svakog Klijenta strogo su izolovani na nivou baze podataka. Nijedan Klijent ne može pristupiti podacima drugog Klijenta.
Kontrola pristupa zasnovana na ulogama (RBAC) -- svaki korisnik pristupa samo onim podacima za koje ima ovlašćenje, kako je odredio Administrator naloga.
Šifrovanje po pretpostavci -- svi podaci se šifruju u prenosu (TLS 1.3) i u mirovanju.
Trag revizije -- svaka korisnička radnja se beleži radi sledljivosti i odgovornosti.
Pseudonimizacija -- gde je to moguće, koristimo interne identifikatore umesto direktnih podataka o ličnosti.

14. Tehničke i organizacione mere bezbednosti

Primenjujemo sledeće mere u skladu sa članom 32 GDPR:

14.1. Tehničke mere

Šifrovanje podataka u prenosu putem TLS 1.3 i HSTS.
Šifrovanje podataka u mirovanju (AES-256) za baze podataka i rezervne kopije.
Višefaktorska autentifikacija (MFA) za administrativni pristup.
Web Application Firewall (WAF) i zaštita od DDoS napada.
Automatsko otkrivanje anomalija i sumnjivih aktivnosti.
Redovno skeniranje ranjivosti i testiranje upada (penetration testing).
Redovne automatske rezervne kopije sa geografskom replikacijom.

14.2. Organizacione mere

Načelo najmanjih ovlašćenja za pristup zaposlenih.
Obuke zaposlenih iz oblasti zaštite podataka.
Politika upravljanja incidentima u vezi sa podacima o ličnosti.
Redovno preispitivanje i ažuriranje bezbednosnih mera.
Ugovori o poverljivosti sa svim zaposlenima i podizvođačima.

15. Obaveštavanje o povredi

U slučaju povrede podataka o ličnosti:

Obaveštavamo Komisiju za zaštitu podataka o ličnosti (KZLD) u roku od 72 časa od saznanja, kada povreda može dovesti do rizika za prava i slobode fizičkih lica (čl. 33 GDPR).
Bez nepotrebnog odlaganja obaveštavamo lica na koja se podaci odnose, kada povreda može dovesti do visokog rizika (čl. 34 GDPR).
Svaku povredu dokumentujemo, uključujući činjenice, posledice i preduzete mere otklanjanja.
Kada Construction Team deluje kao obrađivač, bez nepotrebnog odlaganja obaveštavamo Klijenta (rukovaoca), kako bi mogao da ispuni svoje obaveze obaveštavanja.

16. Lice za zaštitu podataka o ličnosti (DPO)

Za sva pitanja u vezi sa zaštitom podataka o ličnosti možete kontaktirati naše Lice za zaštitu podataka:

Elektronska pošta: info@constructionteam.app
Naslov: "DPO / Zaštita podataka"
DPO razmatra sve upite i zahteve u vezi sa obradom podataka o ličnosti i koordinira ostvarivanje prava lica na koja se podaci odnose.

17. Pravo na pritužbu i kontakt sa nadzornim organom

Ako smatrate da obrada vaših podataka o ličnosti predstavlja povredu GDPR, imate pravo da podnesete pritužbu nadzornom organu:

Komisija za zaštitu podataka o ličnosti (KZLD)

Adresa: bulevar Prof. Cvetan Lazarov 2, Sofija 1592
Telefon: 02/91-53-518
Elektronska pošta: kzld@cpdp.bg
Veb-sajt: www.cpdp.bg

Preporučujemo da nas najpre kontaktirate na info@constructionteam.app radi neposrednog rešavanja predmeta.

18. Podaci o deci

Construction Team je B2B platforma namenjena pravnim licima i njihovim zaposlenima. Svesno ne prikupljamo podatke o ličnosti lica mlađih od 16 godina. Ukoliko utvrdimo da smo prikupili podatke deteta, odmah ćemo ih obrisati. Ako sumnjate da je dete dostavilo podatke o ličnosti putem Platforme, molimo vas da nas kontaktirate na info@constructionteam.app.

19. Izmene Politike privatnosti

Zadržavamo pravo da ovu Politiku ažuriramo u slučaju:

Izmena važećeg zakonodavstva ili smernica nadzornog organa.
Izmena usluga, funkcionalnosti ili podobrađivača.
Tehnoloških promena koje zahtevaju prilagođavanje mera zaštite.
Preporuka iz revizija ili procena uticaja.

O suštinskim izmenama obavestićemo vas elektronskom poštom i/ili obaveštenjem u Platformi najmanje 30 dana unapred. Nastavak korišćenja Platforme nakon stupanja izmena na snagu predstavlja prihvatanje ažurirane Politike.

20. Merodavno pravo i kontakt informacije

Ovu Politiku privatnosti uređuju Uredba (EU) 2016/679 (GDPR), bugarski Zakon o zaštiti podataka o ličnosti i važeće evropsko i nacionalno zakonodavstvo.

Kontakt za pitanja u vezi sa zaštitom podataka:

Elektronska pošta: info@constructionteam.app
Veb-sajt: constructionteam.app
Naslov: "Zaštita podataka o ličnosti"