Menjalica — Politika privatnosti

1. Ko smo mi

Menjalica je proizvod kompanije UX Platz DOO, registrovane u Republici Srbiji pod PIB-om 112077057 ("UX Platz", "mi", "nas"). Mi upravljamo aplikacijom Menjalica i pratećim servisima i mi smo rukovalac podacima (data controller) za lične podatke opisane u nastavku.

Website kompanije: https://www.uxplatz.com

Kontakt za pitanja o privatnosti i ostvarivanje prava iz GDPR-a: [email protected].

2. Koje podatke prikupljamo

Direktno od tebe: email adresa, korisničko ime, lozinka (čuva se kao salted hash, nikad u plaintext-u), opciono ime, prezime, avatar, grad, poštanski broj, država i adresa za isporuku. Sadržaj koji generišeš u aplikaciji — kolekcija sličica, recenzije, chat poruke, prijave — takođe je obuhvaćen.

Automatski prikupljamo: tvoju IP adresu (privremeno u memoriji, za rate-limit), push token tvog uređaja ako su notifikacije uključene, vreme poslednje aktivnosti, kao i razmene u kojima učestvuješ.

Od trećih strana (samo ako se prijaviš preko OAuth-a): Google, Apple ili Facebook nam šalju tvoju email adresu, ime i URL profilne slike. Tu sliku jednom preuzmemo pri registraciji kako bi ostala dostupna i kada provajder rotira svoj CDN.

3. Pravni osnov obrade

Oslanjamo se na sledeće osnove iz Opšte uredbe o zaštiti podataka EU (GDPR):

- Ugovor (čl. 6(1)(b)) — za sve što je neophodno za rad Servisa: tvoj nalog, kolekciju, razmene i poruke. - Legitimni interes (čl. 6(1)(f)) — za bezbednost, sprečavanje zloupotrebe i javnu istoriju reputacije neophodnu peer-to-peer trgovini. - Saglasnost (čl. 6(1)(a)) — za push notifikacije. Možeš je povući u svakom trenutku. - Pravna obaveza (čl. 6(1)(c)) — gde srpski ili primenljivi propisi EU zahtevaju zadržavanje ili otkrivanje podataka.

4. Kako koristimo podatke

- Da omogućimo rad Servisa: povezivanje sa drugim kolekcionarima, prikaz tvog profila učesnicima razmene, isporuka poruka, obračun recenzija. - Da održimo Servis bezbednim: rate-limit, detekcija zloupotrebe, postupanje po prijavama. - Da komuniciramo sa tobom: potvrda email-a pri registraciji, reset lozinke, transakciona obaveštenja u vezi sa razmenama i recenzijama. Push notifikacije šaljemo samo ako su uključene. - Da ispunimo zakonske obaveze tamo gde je primenljivo.

5. Ko šta vidi

Tvoje korisničko ime, grad, broj razmena i recenzije su vidljivi drugim korisnicima Menjalice — to je javna reputaciona površina koja omogućava rad platforme.

Tvoja email adresa i adresa za isporuku po pravilu nisu vidljive drugima. Adresa za isporuku se deli isključivo sa drugom stranom u prihvaćenoj razmeni, i to tek kada eksplicitno odabereš "Podeli adresu" u toj razmeni.

6. Obrađivači i treća lica

Koristimo sledeće obrađivače. Oni obrađuju podatke isključivo po našim uputstvima i pod ugovorima koji ispunjavaju čl. 28 GDPR-a:

- OAuth prijava (Google, Apple, Facebook) — samo ako se prijaviš preko njihove usluge. - Slanje email-a — provajder za transakcione email poruke šalje verifikacione, reset i swap-related poruke. - Push notifikacije — Firebase Cloud Messaging isporučuje notifikacije na tvoj uređaj. - Hosting — naši aplikacioni serveri, baza i skladište slika smešteni su kod cloud provajdera u Evropskom ekonomskom prostoru. Konkretni podaci o provajderu dostupni su na zahtev.

Ne prodajemo tvoje lične podatke i ne delimo ih u svrhu reklamiranja.

7. Međunarodni transferi

Kada neki od naših obrađivača radi van Evropskog ekonomskog prostora (npr. Google za FCM i OAuth), prenos se oslanja na Standardne ugovorne klauzule koje je odobrila Evropska komisija, ili na EU–US Data Privacy Framework gde primalac poseduje sertifikat.

8. Koliko dugo čuvamo podatke

- Podaci o nalogu — dok je nalog aktivan. - Tokeni za verifikaciju email-a — 7 dana; tokeni za reset lozinke — 1 sat. Posle toga se brišu. - Notifikacije u inboxu — pročitane 30 dana, nepročitane 90 dana, sa kapom od 500 najnovijih po korisniku. - IP adrese za rate-limit — samo u memoriji, brišu se pri restartu procesa. - Po brisanju naloga: email, ime, avatar, adresa, push token i hash lozinke se trajno uklanjaju. Korisničko ime i javna istorija završenih razmena i recenzija se zadržavaju jer čine deo trust konteksta drugih korisnika. Soft-deleted user red ostaje neograničeno kako tvoje korisničko ime ne bi moglo da se ponovo registruje radi imitiranja.

9. Tvoja prava

Po GDPR-u imaš pravo na:

- Pristup — Profil → Podešavanja → Preuzmi moje podatke generiše JSON izvoz svega što čuvamo o tebi. - Ispravku — Profil → Izmeni profil. - Brisanje — Profil → Podešavanja → Obriši nalog. - Ograničenje ili prigovor na obradu u određenim okolnostima. - Prenosivost — JSON izvoz je mašinski čitljiv. - Povlačenje saglasnosti za push notifikacije u svakom trenutku. - Žalbu nadležnom organu. U Srbiji: Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti.

Za ostvarivanje bilo kog od ovih prava piši na [email protected]. Odgovaramo u roku od 30 dana.

10. Kolačići i lokalna pohrana

Ne koristimo reklamne kolačiće niti tracker-e treće strane. Aplikacija lokalno čuva autentikacione tokene na tvom uređaju ili pretraživaču kako bi ostao prijavljen. Web verzija takođe čuva izbor jezika i veličinu teksta u localStorage. Ništa od toga se ne deli sa trećim stranama.

11. Bezbednost

Tvoje podatke štitimo razumnim tehničkim i organizacionim merama: HTTPS u produkciji, bcrypt za hash lozinki, ograničen pristup bazi, odvojena okruženja za razvoj i produkciju i redovno ažuriranje zavisnosti. Ni jedan sistem nije savršeno bezbedan; ako ikada dođe do incidenta sa značajnim rizikom za tvoje podatke, obavestićemo pogođene korisnike i nadležni organ bez odlaganja.

12. Maloletnici

Servis je namenjen korisnicima starijim od 13 godina. Ne prikupljamo svesno lične podatke korisnika mlađih od 13 godina. Ako si roditelj ili staratelj i saznaš da se tvoje dete registrovalo, javi na [email protected] i obrisaćemo nalog.

13. Izmene Politike

Možemo s vremena na vreme menjati ovu Politiku privatnosti. Značajne promene biće najavljene u aplikaciji i, gde je primenljivo, putem email-a najmanje 14 dana pre stupanja na snagu.

14. Kontakt

Pitanja, zahtevi ili žalbe: [email protected].