Pravila o privatnosti

Posljednja provjera: 2026-10-14

1. Uvod

Ova Pravila o privatnosti objašnjavaju kako TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "mi", "nas") prikuplja, koristi i štiti osobne podatke u vezi s web-stranicama tobrief.gr i tobrief.eu, mobilnim aplikacijama To Brief za iOS i Android te povezanim uslugama (zajedno, "Usluga"). TO BRIEF je voditelj obrade osobnih podataka koji se obrađuju putem Usluge, osim ako je u nastavku izričito naveden drugi voditelj obrade.

Podaci o voditelju obrade

• Pravni naziv: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Registrirano sjedište: Troon 26, 118 51, Atena, Atika, Grčka
• GEMI: 188116103000
• AFM: 803045387
• E-pošta: [email protected]
• Kontakt za zaštitu podataka: [email protected]

Trenutačno nemamo imenovanog službenika za zaštitu podataka (DPO) prema zakonu; međutim, svi upiti o zaštiti podataka usmjeravaju se putem gore navedenog namjenskog kontakta i obrađuju se prema dokumentiranom postupku koji zadovoljava standarde očekivane od funkcije DPO-a prema člancima 37-39 GDPR-a, gdje je primjenjivo.

2. Koje podatke prikupljamo

Prikupljamo samo minimalne podatke potrebne za rad Usluge i ispunjavanje naših zakonskih obveza.

2.1 Podaci o računu

Kada registrirate račun, pohranjujemo: vašu adresu e-pošte, sigurno hashiranu lozinku, odabrano ime za prikaz (neobavezno), datum stvaranja računa, izdanje putem kojeg ste se registrirali (GR ili EU) i status pretplate. Pravna osnova: izvršavanje ugovora (članak 6. stavak 1. točka (b) GDPR-a).

2.2 Podaci o korištenju web-stranice i analitika

Ako — i samo ako — date neobaveznu privolu za mjerenje putem našeg natpisa o kolačićima, prikupljamo agregirane signale korištenja putem Google Analytics 4, UX analitiku/signale sesije putem Contentsquare/Hotjar, signale konverzije putem X piksela i signale konverzije putem Meta (Facebook/Instagram) piksela: pregledane stranice, klasa uređaja/preglednika, približna geografska lokacija (država/regija iz IP adrese, nikada neobrađeni IP), referer, trajanje sesije, događaji interakcije, signali trenja korisničkog iskustva, prijave i konverzije pretplate. Pravna osnova: privola (članak 6. stavak 1. točka (a) GDPR-a i članak 5. stavak 3. ePrivacy Direktive). Uz istu privolu naš poslužitelj također obavještava OpenAI kada izradite račun na našoj web-stranici ili kada se ondje potvrdi prvo plaćanje vaše pretplate, kako bismo mogli mjeriti i poboljšavati oglase To Brief u ChatGPT-u. OpenAI prima vašu adresu e-pošte u hashiranom obliku, hashirani nasumični identifikator kupca, referencu klika na oglas u ChatGPT-u ako ste došli putem takvog oglasa, vrijeme te, za pretplatu, iznos i valutu. OpenAI ne postavlja kolačić niti učitava skriptu u vašem pregledniku. Pravna osnova: privola (članak 6. stavak 1. točka (a) GDPR-a).

2.3 Podaci o plaćanju

Plaćanja pretplate obrađuje Stripe Payments Europe, Limited ("Stripe"). Unos kartice obrađuje Stripe; brojevi kartica i CVV kodovi ne šalju se na naše poslužitelje aplikacija putem naše blagajne. Obavijest o privatnosti tvrtke Stripe nalazi se na https://stripe.com/privacy. Primamo zapise potrebne za administraciju pretplata i provjeru plaćanja: identifikatore kupca, pretplate, računa i povrata; iznose i valute plaćanja/povrata; datume i status; podatke o naplati i zapise o računima. Te zapise povezujemo s vašim To Brief računom. Pravna osnova: izvršavanje ugovora i zakonska obveza za naplatu i računovodstvo. Neobavezna reklamna upotreba potvrđenog plaćanja slijedi zasebna pravila u §2.7.

2.4 Podaci o pritužbama i prijavama

Kada koristite /report ili pošaljete pritužbu e-poštom, pohranjujemo: vašu e-poštu, tekst pritužbe, privitke koje dostavite, soljeni hash vaše IP adrese (ne neobrađeni IP), broj tiketa koji dodijelimo i ishod istrage. Pravna osnova: legitimni interes (upravljanje odgovornom informativnom uslugom i obrana pravnih zahtjeva) i zakonska obveza (članak 20. EMFA, članak 16. DSA).

2.5 Podaci o uređaju i pregledniku

Naši poslužitelji primaju standardne metapodatke HTTP zahtjeva — user-agent, Accept-Language, referer, skraćeni IP — koji se zadržavaju u zapisnicima pristupa. Pravna osnova: legitimni interes (sigurnost, sprječavanje prijevara, dijagnostika).

2.6 Osjetljive kategorije

Ne prikupljamo svjesno posebne kategorije osobnih podataka (članak 9. GDPR-a) kao što su podaci o zdravlju, vjeri, političkim mišljenjima ili seksualnoj orijentaciji. Molimo vas da takve podatke ne unosite u polja za slobodan tekst.

2.7 Mjerenje mobilne aplikacije

Koristimo AppsFlyer kako bismo razumjeli koje kampanje donose instalacije aplikacije i pretplatnike koji plaćaju, te kako bismo poboljšali To Brief oglašavanje na Meta (Facebook/Instagram), X i Reddit. Ovo mjerenje oglašavanja je neobavezno i temelji se na privoli. Pristup računu, administracija pretplate i sigurnosni zapisi potrebni za poštivanje vaših izbora ostaju zasebne funkcije usluge.

U ovoj verziji samo novi korisnici. Neobavezno mjerenje putem AppsFlyera počinje tek nakon što potvrdimo novi račun i prvu instalaciju izvršenu nakon početka uvođenja te nakon što date dopuštenje. Postojeći računi, ažuriranja, ponovne instalacije i instalacije nejasnog podrijetla su isključeni. Uvjete provjeravamo prije traženja dopuštenja za praćenje ili učitavanja AppsFlyera. Odabiri mjerenja postojećih čitatelja ne mijenjaju se.

Kada je mjerenje aplikacije omogućeno i dopušteno, AppsFlyer prima svoj identifikator instalacije, dostupni identifikator za oglašavanje, pokretanja aplikacije i tehničke informacije o aplikaciji/uređaju koje se koriste za atribuciju, analitiku i sprječavanje prijevara. To može uključivati verzije operativnog sustava i aplikacije, jezik, dijagnostiku pokretanja i mrežne informacije. Njegovi poslužitelji primaju IP adresu veze i mogu izvesti približnu geografsku lokaciju. Ne tražimo preciznu lokaciju ili pristup GPS-u za ovo mjerenje. Naša pozadinska infrastruktura čuva povezanost instalacije, stanje dozvole i revizije, informacije o aplikaciji/platformi, izvorno vrijeme instalacije i ograničeno promatranje kampanje gdje je dostupno.

Nakon prve kvalificirane prijave na račun, povezujemo instalaciju s tim računom koristeći zaseban nasumični identifikator kupca. Bilježimo registraciju, početnu kvalificiranu upotrebu aplikacije, pokretanje naplate i potvrđene događaje pretplate. Ako plaćate na našoj web-stranici koristeći isti To Brief račun, možemo povezati to plaćanje s kvalificiranom instalacijom aplikacije. Dopušteni događaji poslani putem AppsFlyera mogu uključivati registraciju i plaćanja pretplate, obnove ili povrate, s identifikatorom događaja, iznosom, valutom i vremenom. Svaki partner prima događaje konfigurirane za svoju integraciju; ne šalje se svaki događaj svakom partneru. Uz isto dopuštenje u aplikaciji naš poslužitelj također izravno šalje OpenAI-ju do tri događaja, kako bismo mogli mjeriti i poboljšavati oglase To Brief u ChatGPT-u: registraciju, prvo potvrđeno plaćanje pretplate i novu instalaciju aplikacije. Šalju se samo za prihvatljive nove instalacije i samo za događaje nakon što ste dali dopuštenje, nikada za postojeće instalacije, ažuriranja aplikacije ili ponovne instalacije. Svaki događaj sadrži vašu adresu e-pošte u hashiranom obliku, hashirani nasumični identifikator kupca, referencu klika na oglas u ChatGPT-u ako je zabilježena pri registraciji, vrijeme te, za pretplatu, iznos i valutu. Obnove i povrati novca ne šalju se OpenAI-ju.

U ove korisne terete reklamnih događaja ne uključujemo vašu e-poštu, ime, telefonski broj, tekst komentara, naslove članaka, teme čitanja, upite za pretraživanje, političke interese, podatke o kartici ili dokumente računa. Dijeljenje s partnerima može uključivati kvalificirane nove korisnike iz organskih i drugih izvora kampanja, ne samo korisnike pripisane tom partneru. Jedina iznimka su događaji za OpenAI opisani u §2.2 i u ovom odjeljku, koji sadrže vašu adresu e-pošte samo u hashiranom obliku, nikada kao običan tekst.

Vaš izbor. Na iOS-u, Appleov standardni upit za transparentnost praćenja aplikacija (ATT) jedini je upit za dozvolu praćenja. Kasnije ga možete promijeniti u postavkama iPhonea. Na Androidu koristite izbor mjerenja u aplikaciji i njezin unos u postavkama. Aplikaciju možete koristiti i nakon odbijanja. Izbor kolačića na web-stranici ne može nadjačati odbijanje praćenja u aplikaciji. Aplikacija ponovno provjerava izbor platforme kada se vrati u prvi plan; naša pozadinska infrastruktura provjerava trenutno zabilježenu dozvolu i povezanost računa prije slanja događaja u redu čekanja. Povlačenje privole zaustavlja SDK na uređaju i ažurira našu pozadinsku infrastrukturu; ako je uređaj izvan mreže, to ažuriranje poslužitelja ponavlja se kada se uspostavi veza.

Appleov zasebni mehanizam agregirane atribucije može ostati aktivan nakon odbijanja ATT-a. On izvještava o ograničenim vrijednostima konverzije bez naših identifikatora računa ili AppsFlyera. Povlačenje privole zaustavlja buduće mjerenje osobnog oglašavanja; to nije automatsko brisanje podataka koje je pružatelj već primio. Brisanje računa pokreće primjenjivi postupak brisanja, uklanja lokalna promatranja kampanja i prekida reklamne veze sa zadržanim zapisima o naplati. Zapisi koje drži pružatelj obrađuju se kroz postupak brisanja, a ne pretpostavljaju se odmah izbrisanim. Brisanje također možete zatražiti putem [email protected]. Primjenjuju se razlike u zadržavanju iz §4.

3. Zašto koristimo vaše podatke

Svrha	Kategorije podataka	Pravna osnova
Pružanje iskustva čitanja	Račun, uređaj	Ugovor, legitimni interes
Naplata, sprječavanje prijevara, porezna usklađenost	Plaćanje, račun	Ugovor, zakonska obveza
Mjerenje angažmana i poboljšanje proizvoda	Mjerenje	Privola
UX analitika putem Contentsquare/Hotjar	Mjerenje	Privola
Mjerenje konverzije putem X piksela	Mjerenje	Privola
Mjerenje konverzije putem Meta piksela	Mjerenje	Privola
Mjerenje konverzija za oglase OpenAI (s poslužitelja)	Mjerenje	Privola
Neobavezno mjerenje akvizicije aplikacije i pretplate	Instalacija, dozvola, događaji računa i plaćanja	Privola
Rješavanje pritužbi i ispravaka	Pritužbe, račun	Legitimni interes, zakonska obveza
Sigurnost, otkrivanje zlouporabe, odgovor na incidente	Uređaj, račun	Legitimni interes
Usklađenost sa zakonitim zahtjevima	Sve kategorije, prema potrebi	Zakonska obveza

Ne koristimo osobne podatke za automatizirano donošenje odluka koje proizvodi pravne ili slične značajne učinke na vas (članak 22. GDPR-a).

4. Koliko dugo čuvamo vaše podatke

• Lokalna promatranja kampanja aplikacije: istječu 89 dana nakon ranijeg datuma između prve registracije instalacije u pozadini ili primitka promatranja kampanje, a brišu se ranije pri povlačenju privole ili brisanju računa. Ponavljani povratni pozivi kampanje ne produljuju razdoblje.
• Izravne veze događaj-instalacija: isključene iz izvještavanja o mjerenju nakon 89 dana od događaja i uklonjene planiranim čišćenjem. Stari zahtjevi za konverziju preglednika također se uklanjaju nakon 89 dana. Financijski identiteti, iznosi i minimalni zapisi o događajima potrebni za sprječavanje dupliciranih zapisa o plaćanju/konverziji odvojeni su od ovih reklamnih veza.
• Zapisi o dozvolama i brisanju: zapisi o instalaciji potrebni za provođenje izbora, sprječavanje ponovne dodjele računa i ispunjavanje zahtjeva za brisanje čuvaju se odvojeno od promatranja kampanja. Identifikator pružatelja potreban za neriješeni zahtjev za brisanje ostaje do potvrde dovršetka. Ograničeni zapis o suzbijanju zadržava se kako bi se spriječilo ponovno korištenje tog povučenog identiteta za oglašavanje. Ti zapisi nisu anonimni i ne koriste se kao podaci o publici kampanje. Zadržavanje na strani pružatelja i pojedinačni zahtjev za brisanje odvojeni su od našeg lokalnog isteka kampanje.
• Podaci o računu: onoliko dugo koliko je račun aktivan i do dvije (2) godine nakon zatvaranja, radi rješavanja sporova nakon zatvaranja i povrata sredstava.
• Podaci analitike: četrnaest (14) mjeseci za GA4; kolačići mjerenja Contentsquare/Hotjar zadržavaju se prema svojoj svrsi i općenito do trinaest (13) mjeseci za kolačiće UX analitike na razini posjetitelja.
• Podaci o plaćanju / fakturiranju: sedam (7) godina, radi ispunjavanja grčkih obveza arhiviranja poreza (Κ.Φ.Α.Σ. / Zakon 4174/2013).
• Podaci o pritužbama: tri (3) godine od konačnog odgovora, usklađeno s petogodišnjim statutom za ugovorne zahtjeve, ali skraćeno gdje je moguće.
• Zapisnici pristupa: devedeset (90) dana.
• Sigurnosne kopije: šifrirane sigurnosne kopije brišu se unutar 35 dana.

Nakon tih razdoblja brišemo ili nepovratno anonimiziramo podatke.

5. S kim dijelimo podatke

Osobne podatke dijelimo samo s primateljima i u svrhe navedene ovdje. Ne prodajemo osobne podatke nijednoj trećoj strani.

• Stripe (plaćanja, kao neovisni voditelj obrade).
• Google Ireland Limited (GA4) — samo ako date privolu za analitiku.
• Contentsquare/Hotjar — samo ako date privolu za neobavezno mjerenje UX analitike.
• X — neobavezno mjerenje konverzije na web-stranici i dopušteno dijeljenje događaja aplikacije putem AppsFlyera.
• Meta (Facebook/Instagram) — neobavezno mjerenje konverzije na web-stranici i dopušteno dijeljenje događaja aplikacije putem AppsFlyera.
• AppsFlyer — naš pružatelj usluga mobilne atribucije i mjerenja, uključujući dopuštenu vezu računa s pretplatom i rukovanje brisanjem opisano u §2.7.
• Reddit — dopušteno dijeljenje događaja aplikacije putem AppsFlyera za mjerenje i poboljšanje To Brief kampanja.
• OpenAI (OpenAI Ireland Limited): neobavezno mjerenje konverzija za oglase To Brief u ChatGPT-u, koje šalje naš poslužitelj kako je opisano u §2.2 i §2.7.
• Pružatelji hostinga i infrastrukture (npr. Vercel, AWS, Cloudflare) koji djeluju strogo kao izvršitelji obrade prema ugovorima iz članka 28.
• Profesionalni savjetnici (odvjetnici, računovođe, revizori) gdje je to zakonski potrebno i pod povjerljivošću.
• Nadležna tijela, gdje smo prisiljeni zakonitim, specifičnim i proporcionalnim zahtjevom (sudski nalog, tijelo za zaštitu podataka, porezna uprava).

Trenutačni, revizorski popis izvršitelja obrade održava se interno i može se dostaviti na zahtjev.

6. Međunarodni prijenosi podataka

Neki od naših izvršitelja obrade osnovani su u Sjedinjenim Američkim Državama ili posluju globalno. Kada se osobni podaci prenose izvan EGP-a, oslanjamo se na:

• Europske komisije Standardne ugovorne klauzule (Odluka 2021/914), ili
• odluku o primjerenosti (npr. EU-U.S. Okvir o zaštiti privatnosti podataka, za Stripe, Google i druge certificirane uvoznike), ili
• vašu izričitu privolu za ograničene, ciljane prijenose.

Dodatne mjere kao što su šifriranje u prijenosu (TLS 1.2+), šifriranje u mirovanju i kontrole pristupa primjenjuju se uz pravni mehanizam prijenosa.

7. Vaša prava prema GDPR-u

Imate sljedeća prava prema člancima 15-22 GDPR-a:

• Pristup — potvrda da obrađujemo vaše podatke i kopija istih.
• Ispravak — ispravak netočnih ili nepotpunih podataka.
• Brisanje ("pravo na zaborav") — brisanje gdje postoje razlozi.
• Ograničenje — ograničavanje načina na koji obrađujemo vaše podatke do provjere.
• Prenosivost — strojno čitljiva kopija podataka koje ste dali na temelju ugovora ili privole.
• Prigovor — na obradu temeljenu na legitimnim interesima, uključujući profiliranje.
• Povlačenje privole — u bilo kojem trenutku, bez utjecaja na obradu izvršenu prije povlačenja.
• Podnošenje pritužbe nadzornom tijelu — posebno grčkom tijelu za zaštitu podataka (vidi §12).

Za ostvarivanje bilo kojeg prava, pošaljite e-poštu na [email protected] s adrese koja je u evidenciji ili osigurajte drugi razuman način provjere identiteta. Odgovaramo u roku od jednog (1) mjeseca, uz mogućnost produljenja za još dva (2) mjeseca za složene zahtjeve; objasnit ćemo svako produljenje.

8. Kolačići

Koristimo kolačiće i slične tehnologije. Kategorije, svrhe i trajanje svakog kolačića opisani su u Pravilima o kolačićima. Svoje postavke možete konfigurirati i povući privolu u bilo kojem trenutku putem /cookie-preferences.

9. Djeca

Usluga nije usmjerena na djecu mlađu od petnaest (15) godina, što je dob digitalne privole u Grčkoj prema Zakonu 4624/2019, članak 21. Ne prikupljamo svjesno podatke od mlađe djece. Ako smatrate da se dijete registriralo, molimo kontaktirajte [email protected] i mi ćemo izbrisati račun.

10. Sigurnost

Primjenjujemo komercijalno razumne tehničke i organizacijske mjere — uključujući TLS, hashirane lozinke (obitelj Argon2), izolirana okruženja, načelo najmanjih povlastica, zapisivanje, sigurnosne kopije i postupke odgovora na incidente — ali nijedan sustav nije savršeno siguran. U slučaju povrede osobnih podataka koja bi vjerojatno rezultirala rizikom za vaša prava, obavijestit ćemo grčko tijelo za zaštitu podataka u roku od 72 sata kako zahtijeva članak 33. GDPR-a, a ako je rizik visok, obavijestit ćemo i vas izravno.

11. Izmjene ovih pravila

Objavit ćemo revidiranu verziju na ovom URL-u, a za materijalne izmjene obavijestit ćemo vas najmanje trideset (30) dana unaprijed putem Usluge ili e-poštom. Datum "Posljednja provjera" na vrhu uvijek odražava najnovije ažuriranje. Povijesne verzije ovog dokumenta čuvaju se u zapisniku promjena pravnih stranica.

12. Kontakt i nadzorno tijelo

• Upiti o zaštiti podataka: [email protected]
• Poštanska adresa: Troon 26, 118 51, Atena, Atika, Grčka

Imate pravo podnijeti pritužbu Grčkom tijelu za zaštitu podataka (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Web-stranica: https://www.dpa.gr
• Pošta: Kifissias 1-3, 115 23 Atena, Grčka

Stanovnici EU izvan Grčke također se mogu obratiti nadzornom tijelu u svojoj državi članici uobičajenog boravišta.