titlomat
PrijavaProbaj besplatno

Pravila privatnosti

Pravila privatnosti

Verzija 2.0 · 10. svibnja 2026.

1. Uvod i svrha ove Politike

1.1 Ova Pravila privatnosti (dalje u tekstu: „Politika”) objašnjavaju kako društvo LumiVerse d.o.o. (dalje u tekstu: „LumiVerse”, „mi”, „nas” ili „naš”) prikuplja, obrađuje, čuva i štiti osobne podatke u vezi s poslovanjem servisa Titlomat (dalje u tekstu: „Platforma” ili „Titlomat”) dostupnog na internetskoj adresi https://titlomat.com.

1.2 Politika je namijenjena sljedećim skupinama ispitanika:

  • korisnicima Platforme — fizičkim osobama koje otvore korisnički račun, kupuju pretplatu i koriste Titlomat za automatsku obradu i prevođenje titlova vlastitih videozapisa (dalje u tekstu: „Korisnici”);
  • posjetiteljima marketinških stranica Platforme koji ne otvaraju korisnički račun, već se zadržavaju na javno dostupnim stranicama;
  • osobama koje nas kontaktiraju putem e-pošte, kontakt obrasca ili drugih kanala podrške;
  • trećim osobama čiji se glas ili lik pojavljuje u sadržaju koji Korisnici učitavaju radi obrade, u okvirima i s ograničenjima opisanim u poglavlju 6. ove Politike.

1.3 Politika je izrađena u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka („GDPR”), Zakonom o provedbi Opće uredbe o zaštiti podataka (NN 42/18), kao i smjernicama Europskog odbora za zaštitu podataka (EDPB) i Agencije za zaštitu osobnih podataka (AZOP).

1.4 Politika je sastavni dio ugovornog odnosa između Korisnika i LumiVersea i čita se zajedno s Uvjetima korištenja Platforme. Pristupom Platformi ili otvaranjem korisničkog računa potvrđujete da ste se upoznali s ovom Politikom.

1.5 Posebna pažnja u ovoj Politici posvećena je obradi koja proizlazi iz integracije s YouTube API uslugom Google LLC-a, jer Titlomat svoje osnovne funkcionalnosti ostvaruje preuzimanjem zvučnih zapisa s YouTubea i učitavanjem višejezičnih titlova natrag na korisnikov kanal. Sva obrada koja proizlazi iz te integracije usklađena je sa zahtjevima Google API Services User Data Policy, uključujući zahtjeve takozvane „Limited Use” politike (vidi posebno poglavlja 4.5 i 7.).

2. Voditelj obrade i kontakt podaci

Voditelj obrade osobnih podataka je:

2.1. Službenik za zaštitu podataka (DPO)

2.1.1 LumiVerse trenutno nije imenovao Službenika za zaštitu podataka (DPO). Na temelju analize članka 37. GDPR-a i pripadajućih smjernica Europskog odbora za zaštitu podataka (WP243) procijenili smo da trenutni opseg i priroda obrade na Platformi ne nalažu obvezno imenovanje DPO-a, posebno imajući u vidu da:

  • ne obrađujemo posebne kategorije osobnih podataka iz članka 9. GDPR-a niti podatke o kaznenim osudama iz članka 10. GDPR-a kao osnovnu djelatnost;
  • naša osnovna djelatnost ne uključuje opsežno i sustavno praćenje ispitanika u smislu članka 37. stavka 1. točke (b) GDPR-a;
  • opseg korisničke baze i broj transakcija obrade trenutno ne dosežu razinu „obrade u velikoj mjeri” prema kriterijima koje koristi EDPB.

2.1.2 Bez obzira na navedeno, tu procjenu redovito preispitujemo i obvezujemo se imenovati Službenika za zaštitu podataka u trenutku kada nastupi bilo koji od sljedećih uvjeta: značajno povećanje opsega ili rizičnosti obrade, proširenje obrade na posebne kategorije podataka, pritužba ili uputa nadzornog tijela, odnosno izmjena propisa kojom se ta obveza proširuje na društva naše veličine ili djelatnosti.

2.1.3 Za sva pitanja o obradi osobnih podataka i ostvarivanju prava ispitanika, do imenovanja DPO-a, možete se obratiti na e-adresu info@lumiverse.hr. Zahtjeve rješavamo u rokovima predviđenim GDPR-om (jedan mjesec, s mogućnošću produljenja za dodatna dva mjeseca u slučaju složenih ili brojnih zahtjeva, uz prethodnu obavijest podnositelju).

3. Ključni pojmovi

Radi jasnoće, u ovoj Politici koristimo sljedeće pojmove u značenjima iz GDPR-a:

  • Osobni podatak — bilo koji podatak koji se odnosi na identificiranu ili prepoznatljivu fizičku osobu (čl. 4. st. 1. GDPR-a).
  • Obrada — svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima (prikupljanje, bilježenje, pohranjivanje, prilagodba, pretraživanje, prijenos, brisanje i sl.).
  • Voditelj obrade — fizička ili pravna osoba koja samostalno ili zajedno s drugima određuje svrhe i sredstva obrade (u kontekstu ove Politike to je LumiVerse d.o.o., osim u slučajevima opisanim u poglavlju 6.).
  • Izvršitelj obrade — treća osoba koja obrađuje osobne podatke u ime voditelja obrade (primjerice pružatelji cloud infrastrukture, ASR i strojnog prevođenja, platnog procesiranja).
  • Ispitanik — fizička osoba na koju se osobni podaci odnose.
  • Privola — svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje volje ispitanika kojim se on slaže s obradom svojih osobnih podataka.
  • Profiliranje — svaki oblik automatizirane obrade osobnih podataka koji se sastoji od korištenja osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem.
  • EGP — Europski gospodarski prostor, koji obuhvaća države članice Europske unije te Island, Lihtenštajn i Norvešku.

4. Podaci koje prikupljamo

Kategorije osobnih podataka koje prikupljamo razlikuju se ovisno o tome u kakvom ste odnosu s Platformom. U nastavku detaljno opisujemo sve relevantne kategorije.

4.1. Identifikacijski i kontaktni podaci

  • e-adresa, koja ujedno služi kao Vaše korisničko ime na Platformi;
  • ime i prezime ako ih sami unesete u postavkama računa ili pri izdavanju računa za uplatu;
  • naziv i OIB poslovnog subjekta ako se pretplatite na poslovni paket i izdaje Vam se račun na pravnu osobu ili obrt;
  • lozinka, koja se pohranjuje isključivo u obliku kriptografskog sažetka uz slučajnu „sol” (algoritam bcrypt) — Platforma nikada ne čuva niti vidi izvorni tekst lozinke;
  • jezik sučelja, vremenska zona i druge osnovne preferencije računa.

4.2. Podaci o korištenju i tehnički podaci

  • IP adresa s koje pristupate Platformi;
  • podaci o uređaju i pregledniku (vrsta i verzija preglednika, operativni sustav, jezik preglednika);
  • datum, vrijeme i trajanje pristupa, kao i podaci o radnjama unutar Platforme (primjerice koje ste videozapise poslali na obradu, koje jezike izabrali za prijevod);
  • identifikatori sesije i interni dnevnici sustava;
  • podaci o pogreškama i performansama (logovi pogrešaka koje pomažu u dijagnostici).

4.3. Financijski i transakcijski podaci

  • podaci potrebni za izdavanje računa u skladu s računovodstvenim i poreznim propisima Republike Hrvatske (ime ili naziv obveznika plaćanja, adresa, OIB pravne osobe ako je primjenjivo);
  • povijest pretplata, plaćanja i izdanih računa;
  • vrsta i razina ugovorenog paketa te potrošnja unutar paketa (broj minuta obrade, broj generiranih jezičnih varijanti i sl.).

Napomena: cjeloviti podaci o platnoj kartici ili drugom platnom instrumentu obrađuju se isključivo kod našeg pružatelja platnih usluga (Stripe), koji je certificiran prema PCI-DSS standardu. LumiVerse sam ne pohranjuje niti može vidjeti broj kartice, datum isteka ili sigurnosne kodove.

4.4. Komunikacijski podaci

  • sadržaj e-pošte, poruka i tiketa upućenih našoj korisničkoj podršci;
  • povratne informacije, prijedlozi, reklamacije i prigovori;
  • tehnički metapodaci komunikacije (datum i vrijeme slanja, zaglavlja e-pošte i sl.).

4.5. Podaci iz integracije s YouTube API uslugom

4.5.1 Funkcionalnosti Platforme zahtijevaju da Korisnik poveže svoj Google račun i pripadni YouTube kanal s Titlomatom putem standardnog OAuth 2.0 protokola. Pri tome se na strani LumiVersea pohranjuju i obrađuju sljedeće kategorije podataka:

  • OAuth tokeni — pristupni token (access token) i token za obnavljanje (refresh token) koje izdaje Google. Tokene pohranjujemo isključivo u šifriranom obliku primjenom kriptografskog algoritma AES-256-GCM, a šifriranje se vrši ključem koji se ne nalazi u istom skladištu kao i šifrirani tokeni;
  • jedinstveni identifikator i naziv povezanog YouTube kanala te javno dostupni metapodaci kanala (broj javno objavljenih videa, naziv, opis);
  • identifikatori i osnovni metapodaci pojedinačnih videozapisa koje Korisnik odabere za obradu (naslov videa, opis, jezik izvornika, trajanje, status objave);
  • statusi učitavanja titlova natrag na korisnikov kanal (uspješno / neuspješno, vrijeme, popis jezika).

4.5.2 Pristup koji Titlomat traži ograničen je na opseg koji je nužan za pružanje samih ugovorenih funkcionalnosti — čitanje metapodataka videozapisa koje Korisnik odabere te učitavanje (i izmjenu) titlova na korisnikove vlastite videozapise. Iz YouTube API usluge ne preuzimamo i ne pohranjujemo:

  • komentare ispod videa niti odgovore na komentare;
  • podatke o gledateljima kanala (njihove e-adrese, identifikatore, povijest gledanja);
  • detaljnu YouTube Analytics statistiku osim minimuma potrebnog za prikaz Korisniku unutar Platforme;
  • sadržaj iz drugih Google servisa (Gmail, Drive, Calendar, Photos, Contacts, Maps i slično);
  • podatke s tuđih YouTube kanala koji nisu povezani s računom;
  • videozapise i kanale koje Korisnik nije izričito odabrao za obradu.

4.5.3 Korištenje podataka dohvaćenih putem YouTube API usluge u potpunosti je u skladu sa zahtjevima Google API Services User Data Policy, uključujući njezine odredbe o ograničenoj uporabi (Limited Use). Podatke pribavljene putem YouTube API usluge isključivo:

  • koristimo za pružanje funkcionalnosti Platforme koje su Korisniku vidljive i koje je Korisnik aktivirao;
  • ne prodajemo, ne ustupamo i ne dijelimo s trećim osobama u oglašivačke svrhe;
  • ne koristimo za postavljanje ili usmjeravanje oglasa, izradu oglašivačkih profila ili oglašivačkih segmenata;
  • ne koristimo za treniranje generaliziranih ili javno dostupnih modela strojnog ili dubokog učenja, niti to dopuštamo svojim izvršiteljima obrade;
  • ne otvaramo na način da bi ih ljudi (zaposlenici, suradnici) čitali, osim u uskim iznimkama predviđenim spomenutom Google politikom — uz Vašu izričitu privolu, radi sigurnosti, radi sprječavanja zlouporabe ili kako bismo ispunili zakonsku obvezu.

4.5.4 Korisnik može u svakom trenutku opozvati svoju privolu za pristup podacima na YouTubeu — ili kroz postavke Titlomata (gumb „Odspoji kanal”) ili izravno kroz stranicu sigurnosnih dozvola u Google računu na adresi https://myaccount.google.com/permissions. Po opozivu privole, ili po uspješnom odspajanju kanala iz Platforme, pohranjeni OAuth tokeni nepovratno se brišu iz našeg sustava bez nepotrebnog odgađanja.

4.6. Audio i izvedeni AI sadržaji

4.6.1 Za odabrane videozapise s YouTubea privremeno preuzimamo i pohranjujemo audio zapis u svrhu provođenja automatske transkripcije (govor → tekst, ASR) i strojnog prevođenja (MT) na ciljne jezike koje je Korisnik odabrao.

4.6.2 Audio zapis čuvamo samo onoliko dugo koliko je nužno za obradu i osnovnu kontrolu kvalitete rezultata, a najdulje 30 (trideset) dana od završetka obrade, nakon čega se on automatski briše iz produkcijske infrastrukture.

4.6.3 Iz audio zapisa generiraju se izvedeni sadržaji koji se pohranjuju duže razdoblje (vidi poglavlje 11.):

  • transkripti izvornika (tekst s vremenskim oznakama segmenata);
  • strojni prijevodi transkripata u odabrane ciljne jezike;
  • dodatne jezične transformacije i jezične korekcije (gramatička i stilska dotjerivanja teksta uz pomoć velikih jezičnih modela);
  • datoteke titlova (primjerice u SRT ili VTT formatu) spremne za učitavanje na YouTube.

4.6.4 Audio zapisi i izvedeni AI sadržaji ne koriste se za treniranje AI modela LumiVersea ili trećih osoba. Ova obveza ugovorno je propisana svakom našem izvršitelju obrade koji tehnički sudjeluje u obradi.

4.7. Podaci iz kontakt obrasca i marketinga

4.7.1 Ako nam se obratite putem kontakt obrasca, e-pošte ili sličnog kanala, obrađujemo ime, e-adresu, sadržaj poruke i tehničke metapodatke (vrijeme slanja, zaglavlja). Pravna osnova je naš legitimni interes (čl. 6. st. 1. točka (f) GDPR-a) odnosno, ako se upit tiče sklapanja ugovora, poduzimanje radnji na Vaš zahtjev prije sklapanja ugovora (čl. 6. st. 1. točka (b) GDPR-a). Komunikaciju čuvamo najdulje 3 (tri) godine od posljednje razmijenjene poruke, nakon čega je brišemo ili anonimiziramo, osim ako je dulje čuvanje opravdano radi obrane pravnih zahtjeva.

4.7.2 Ako u budućnosti uvedemo newsletter ili drugu marketinšku komunikaciju, ona će se temeljiti isključivo na Vašoj prethodnoj izričitoj privoli (čl. 6. st. 1. točka (a) GDPR-a) koju ćete moći u svakom trenutku povući, bez obrazloženja i bez negativnih posljedica na korištenje Platforme. Prije pokretanja takve komunikacije ova će se Politika dopuniti odgovarajućim opisom obrade.

5. Svrhe i pravne osnove obrade

5.1 Sve osobne podatke obrađujemo isključivo na temelju jedne od pravnih osnova iz članka 6. GDPR-a, i to:

  • izvršenje ugovora (čl. 6. st. 1. točka (b) GDPR-a) — za podatke iz točaka 4.1, 4.3, 4.5 i 4.6, koji su nužni za otvaranje računa, naplatu pretplate, obradu odabranih videozapisa i isporuku titlova;
  • legitimni interes (čl. 6. st. 1. točka (f) GDPR-a) — za podatke iz točke 4.2 (logovi, tehnički podaci) radi sigurnosti Platforme, sprječavanja zlouporaba i poboljšanja kvalitete usluge, kao i za interno izvještavanje na agregiranoj razini;
  • privola (čl. 6. st. 1. točka (a) GDPR-a) — za neobvezne kolačiće (poglavlje 13.) i eventualnu marketinšku komunikaciju (točka 4.7.2);
  • zakonska obveza (čl. 6. st. 1. točka (c) GDPR-a) — za podatke koje moramo čuvati radi ispunjenja računovodstvenih, poreznih i drugih propisa Republike Hrvatske.

5.2 Za svaku obradu koja se temelji na legitimnom interesu proveli smo dokumentirani test razmjernosti (Legitimate Interest Assessment — LIA) kojim smo ocijenili odnos naših interesa i prava i sloboda ispitanika. Sažetak procjene dostupan je nadzornom tijelu i ispitaniku koji ga obrazloženo zatraži upitom na info@lumiverse.hr.

6. Sadržaj korisničkih videa i osobe koje se u njima pojavljuju

6.1 Videozapise koji se obrađuju kroz Platformu odabire i učitava sam Korisnik s vlastitog YouTube kanala. U tim videozapisima može se pojaviti glas, lik ili drugi osobni identifikatori trećih osoba (sugovornika, gostiju, slučajnih prolaznika i sl.).

6.2 Za sadržaj svojih videozapisa Korisnik je voditelj obrade u smislu GDPR-a. Korisnik je odgovoran osigurati odgovarajuću pravnu osnovu (privolu, ugovor, legitimni interes ili drugu osnovu) za obradu osobnih podataka trećih osoba koje se u njegovim videozapisima pojavljuju, kao i ispuniti svoje obveze informiranja prema tim osobama.

6.3 LumiVerse, u dijelu u kojem na zahtjev Korisnika obrađuje sadržaj njegovih videozapisa (transkripcija, prijevod, generiranje titlova), djeluje kao izvršitelj obrade u smislu članka 28. GDPR-a. U tom svojstvu obrađujemo podatke isključivo prema dokumentiranim uputama Korisnika koje proizlaze iz Uvjeta korištenja i ove Politike, te primjenjujemo tehničke i organizacijske mjere zaštite opisane u poglavlju 12.

6.4 Platforma ne provodi biometrijsku obradu lica ili glasa u smislu članka 9. GDPR-a — ne identificira pojedince usporedbom biometrijskih obilježja niti gradi biometrijske predloške. Strojni model za pretvaranje govora u tekst koji koristimo služi isključivo za generiranje teksta i ne pridružuje izgovoreni govor identitetu konkretne osobe.

6.5 Treća osoba koja smatra da se njezini podaci obrađuju kroz Platformu protivno propisima može nas kontaktirati na info@lumiverse.hr. Budući da pristup sadržaju, kontekstu i pravnoj osnovi obrade ima prvenstveno Korisnik, takve zahtjeve u pravilu ćemo bez nepotrebnog odgađanja proslijediti Korisniku kao voditelju obrade, uz obavijest podnositelju.

7. Automatizirana obrada, AI i transkribiranje

Platforma se u svojoj suštini oslanja na automatiziranu obradu i umjetnu inteligenciju. Zbog značaja ovog područja za prava ispitanika, otvoreno opisujemo kako AI radi unutar Platforme i koja su njegova ograničenja.

7.1. Što AI radi na Platformi

  • Automatsko prepoznavanje govora (ASR) — pretvaranje govora iz audio zapisa u tekst u izvornom jeziku, s vremenskim oznakama segmenata.
  • Strojni prijevod (MT) — prijevod transkripta na ciljne jezike koje Korisnik odabere.
  • Jezična dorada — opcionalno poliranje teksta uz pomoć velikih jezičnih modela radi bolje čitljivosti, ispravljanja interpunkcije i sličnih površinskih korekcija.
  • Segmentacija i formatiranje — prilagodba teksta za prikaz kao titl (duljina linije, trajanje pojedinog segmenta, broj znakova po sekundi).

7.2. Ograničenja i nedostaci

AI sustavi koje koristimo, kao i AI sustavi općenito, imaju inherentna ograničenja koja otvoreno priznajemo i o kojima Korisnike informiramo:

  • Pogreške transkripcije — modeli mogu pogrešno transkribirati jak akcent, regionalne varijetete jezika, vlastita imena, stručne pojmove, glasove u buci ili govor više osoba istovremeno.
  • Halucinacije — veliki jezični modeli povremeno generiraju riječi ili rečenice kojih nema u izvornom audiozapisu; s tim u vidu, izvedene tekstove valja kritički pregledati.
  • Pristranost u prijevodu — statistički modeli prijevoda nose pristranosti iz korpusa na kojima su trenirani; rod, registar i kulturne reference mogu biti sustavno pomaknuti.
  • Kontekstualne pogreške — isti se pojam može krivo prevesti zbog izostanka šireg konteksta (primjerice domena, ironija, sarkazam).
  • Potreba ljudske provjere — za sadržaje kod kojih netočan titl može imati pravne, financijske, zdravstvene ili druge ozbiljne posljedice, izričito preporučamo ljudsku provjeru rezultata prije objave.

7.3. Pravni status — automatizirano donošenje odluka

7.3.1 LumiVerse ne donosi automatizirane odluke koje proizvode pravne učinke na ispitanike ili ih slično značajno pogađaju u smislu članka 22. GDPR-a. Transkripti, prijevodi i generirani titlovi su informacijski proizvod i sami po sebi ne dovode do odluke o ispitaniku.

7.3.2 Ako Korisnik, ili neka druga osoba na temelju sadržaja generiranog Platformom, donese odluku koja značajno utječe na ispitanika (primjerice odluku o zapošljavanju, suradnji, javnoj objavi), ta odluka u GDPR smislu ostaje odgovornost te osobe, koja u odnosu na ispitanika i sama ima samostalne obveze iz GDPR-a.

7.4. Korištenje vanjskih AI pružatelja

7.4.1 Za pojedine funkcionalnosti (osobito ASR, MT i jezičnu doradu) koristimo usluge trećih AI pružatelja. Odabiremo pružatelje koji obrađuju podatke unutar EGP-a kad god je to moguće, a u slučaju prijenosa izvan EGP-a primjenjujemo zaštitne mjere iz poglavlja 9.

7.4.2 Sa svakim takvim pružateljem zaključili smo Ugovor o obradi osobnih podataka sukladan članku 28. GDPR-a, kojim se pružatelj obvezuje, među ostalim:

  • obrađivati podatke isključivo prema našim uputama;
  • ne koristiti podatke za vlastite svrhe, posebice ne za treniranje generaliziranih modela;
  • primijeniti odgovarajuće tehničke i organizacijske mjere;
  • obavijestiti nas bez nepotrebnog odgađanja o svakoj povredi osobnih podataka;
  • izbrisati ili vratiti sve osobne podatke po prestanku pružanja usluge.

7.4.3 Vanjskim AI pružateljima šaljemo isključivo onaj minimum podataka koji je nužan za izvršenje konkretne funkcionalnosti (primjerice audio segment ili tekst za prijevod), uz primjenu načela minimizacije podataka iz članka 5. stavka 1. točke (c) GDPR-a.

8. Primatelji podataka i izvršitelji obrade

8.1 Osobne podatke možemo dijeliti sa sljedećim kategorijama primatelja, uvijek na temelju odgovarajućeg Ugovora o obradi (čl. 28. GDPR-a) i uz primjenu načela minimizacije:

  • pružatelji cloud infrastrukture i hostinga — za pohranu, posluživanje i pokretanje Platforme;
  • pružatelji AI usluga — za automatsko prepoznavanje govora, strojni prijevod i jezičnu doradu, uz ugovornu zabranu treniranja na korisničkim podacima (točka 7.4);
  • pružatelji platnih usluga — Stripe Payments Europe, Limited, koji obrađuje podatke o kartici i transakcijama u skladu s PCI-DSS standardom;
  • Google LLC / Google Ireland Limited — kao pružatelj YouTube API usluge u koju se integriramo, isključivo u opsegu opisanom u točki 4.5;
  • pružatelji transakcijske e-pošte — za slanje sustavnih i transakcijskih poruka (potvrda registracije, poništavanje lozinke, obavijest o završetku obrade videa, računi);
  • pružatelji analitičkih i telemetrijskih alata — za pseudonimizirano praćenje korištenja Platforme i dijagnostiku grešaka;
  • računovodstveni servis i revizori — za vođenje poslovnih knjiga i izvršenje poreznih obveza;
  • odvjetnici, savjetnici i osiguravatelji — kada je to nužno za zaštitu naših pravnih interesa ili ostvarivanje prava;
  • nadležna tijela vlasti i sudovi — isključivo na temelju valjane zakonske osnove (službeni nalog, zakonska obveza dostave i sl.).

8.2 Aktualni popis ključnih izvršitelja obrade (sub-processora) vodimo interno. Na obrazloženi zahtjev ispitanika ili Korisnika dostavit ćemo popis i osnovne informacije o lokaciji obrade i mehanizmu zaštite za prijenose izvan EGP-a.

8.3 LumiVerse ne prodaje osobne podatke trećim stranama, ne razmjenjuje ih u marketinške svrhe i ne dijeli ih s oglašivačima.

9. Prijenosi podataka izvan EGP-a

9.1 Osnovnu obradu i pohranu podataka nastojimo obavljati unutar Europskog gospodarskog prostora.

9.2 U mjeri u kojoj pojedini izvršitelji obrade (osobito pružatelji AI infrastrukture i određenih cloud tehnologija) obavljaju obradu izvan EGP-a, osiguravamo jedno od sljedećih pravnih uporišta prijenosa iz poglavlja V. GDPR-a:

  • odluku Europske komisije o primjerenoj razini zaštite za dotičnu treću zemlju (čl. 45. GDPR-a);
  • standardne ugovorne klauzule (Standard Contractual Clauses — SCC) koje je odobrila Europska komisija (čl. 46. GDPR-a), uz dodatne tehničke i organizacijske mjere kad to procijenimo nužnim;
  • druge odgovarajuće zaštitne mjere predviđene člancima 46.–49. GDPR-a.

9.3 Ispitanik može u svakom trenutku zatražiti informaciju o mehanizmu zaštite koji se primjenjuje na konkretni prijenos slanjem zahtjeva na info@lumiverse.hr.

10. Vaša prava kao ispitanika

U skladu s GDPR-om imate sljedeća prava koja možete ostvariti u svakom trenutku:

  • Pravo na pristup (čl. 15.) — pravo dobiti potvrdu obrađujemo li Vaše osobne podatke i, ako da, pristup tim podacima i informacije o svrhama obrade, kategorijama podataka, primateljima i razdobljima čuvanja.
  • Pravo na ispravak (čl. 16.) — pravo zatražiti ispravak netočnih i dopunu nepotpunih osobnih podataka.
  • Pravo na brisanje / pravo na zaborav (čl. 17.) — pravo zatražiti brisanje osobnih podataka kada više nisu nužni za izvornu svrhu, kada povučete privolu, kada uložite osnovani prigovor ili u drugim slučajevima iz GDPR-a; pravo nije apsolutno i može biti ograničeno zakonskim obvezama čuvanja (poglavlje 11.).
  • Pravo na ograničenje obrade (čl. 18.) — pravo zatražiti privremeno zaustavljanje obrade, primjerice dok provjeravamo točnost podataka ili zakonitost obrade.
  • Pravo na prenosivost podataka (čl. 20.) — pravo zaprimiti svoje osobne podatke u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu te ih prenijeti drugom voditelju obrade, kada se obrada temelji na privoli ili ugovoru i kada se provodi automatiziranim putem.
  • Pravo na prigovor (čl. 21.) — pravo uložiti prigovor na obradu koja se temelji na legitimnom interesu, iz razloga vezanih uz Vašu posebnu situaciju. Za izravni marketing prigovor je apsolutan i uvažavamo ga bez razmatranja.
  • Pravo ne biti predmet automatiziranog donošenja odluka (čl. 22.) — kako je objašnjeno u poglavlju 7., ne donosimo takve odluke; ako bismo ih uveli, o tome bismo Vas zasebno obavijestili.
  • Pravo na povlačenje privole — kada se obrada temelji na privoli, imate je pravo povući u svakom trenutku bez utjecaja na zakonitost obrade koja se temeljila na privoli prije njezina povlačenja.

Pravo na pritužbu nadzornom tijelu — ako smatrate da je obrada Vaših osobnih podataka protivna GDPR-u, pritužbu možete uputiti:

  • Agencija za zaštitu osobnih podataka (AZOP)
  • Selska cesta 136, 10000 Zagreb, Republika Hrvatska
  • Web: www.azop.hr

10.1. Kako ostvariti svoja prava

10.1.1 Zahtjev možete poslati e-poštom na info@lumiverse.hr ili poštom na sjedište LumiVersea. Zahtjev može biti slobodno oblikovan, ali radi učinkovitijeg postupanja molimo Vas da navedete identifikacijske podatke, oznaku prava koje ostvarujete i kratak opis traženog.

10.1.2 Odgovor ćemo dostaviti u roku od jednog mjeseca od primitka zahtjeva. U slučaju složenih ili brojnih zahtjeva taj rok možemo produžiti za dodatna dva mjeseca, uz prethodnu obavijest podnositelju i obrazloženje razloga produljenja.

10.1.3 Ostvarivanje prava u pravilu je besplatno. Za očito neutemeljene ili pretjerane zahtjeve (osobito zbog ponavljanja) možemo zaračunati razumnu administrativnu naknadu ili odbiti postupanje, uz obrazloženje i pouku o pravu na pritužbu nadzornom tijelu.

10.1.4 Kako bismo spriječili neovlašteno otkrivanje podataka i moguće zlouporabe, prije postupanja po zahtjevu možemo zatražiti dodatne informacije potrebne za nedvojbenu identifikaciju podnositelja.

11. Razdoblja čuvanja podataka

Osobne podatke čuvamo samo onoliko dugo koliko je nužno za ispunjenje svrhe obrade ili ispunjenje zakonskih obveza. Okvirna razdoblja primjenjuju se kako slijedi:

  • Podaci o korisničkom računu (točka 4.1) — za vrijeme trajanja računa i razuman tehnički buffer od najviše 90 dana nakon brisanja računa, nakon čega se podaci brišu ili anonimiziraju, izuzev podataka koje moramo čuvati radi računovodstvenih i poreznih propisa.
  • Računovodstveni podaci (točka 4.3) — 11 (jedanaest) godina od završetka poslovne godine, sukladno hrvatskim računovodstvenim propisima.
  • YouTube OAuth tokeni (točka 4.5) — sve do trenutka u kojem Korisnik odspoji kanal, povuče privolu kroz Google sigurnosne postavke ili obriše korisnički račun; po nastupu bilo kojeg od tih događaja tokeni se nepovratno brišu bez nepotrebnog odgađanja.
  • Audio zapisi (točka 4.6.2) — najdulje 30 (trideset) dana od završetka obrade, nakon čega se automatski brišu.
  • Transkripti, prijevodi i datoteke titlova (točka 4.6.3) — za vrijeme trajanja korisničkog računa i razuman tehnički buffer od najviše 90 dana nakon brisanja računa.
  • Tehnički logovi (točka 4.2) — u pravilu do 12 (dvanaest) mjeseci, uz mogućnost dužeg čuvanja u uskim slučajevima (sigurnosni incidenti, sudski postupci).
  • Komunikacija s podrškom (točka 4.4) — najdulje 3 (tri) godine od posljednje razmijenjene poruke.
  • Sigurnosne kopije (backupi) — čuvaju se u kraćem rotacijskom ciklusu (u pravilu do 35 dana), nakon čega se starije inačice prepisuju.

12. Sigurnosne mjere

Provodimo tehničke i organizacijske mjere primjerene riziku obrade osobnih podataka, u skladu s člankom 32. GDPR-a.

12.1. Tehničke mjere

  • enkripcija prometa između Korisnika i Platforme putem TLS protokola (HTTPS), uključujući prijavu, OAuth tokove i sve pozive prema YouTube API-ju;
  • pohrana lozinki isključivo u obliku kriptografskog sažetka uz slučajnu „sol” (algoritam bcrypt) — Platforma nikada ne čuva niti vidi izvornu lozinku;
  • šifriranje OAuth tokena u mirovanju primjenom algoritma AES-256 u GCM načinu rada, uz odvojeno čuvanje ključa;
  • ograničen pristup bazi podataka, infrastrukturnim resursima i administrativnim sučeljima — samo na one djelatnike čiji to rad izrijekom traži (princip najmanje privilegije);
  • redovito sigurnosno kopiranje podataka na sigurnim lokacijama kod naših pružatelja infrastrukture;
  • redovito praćenje i ažuriranje sigurnosnih zakrpa na svim komponentama operativnog sustava i aplikacijskog stoga;
  • korištenje pružatelja cloud infrastrukture koji održavaju industrijski priznate sigurnosne standarde i certifikate (primjerice ISO/IEC 27001, SOC 2);
  • mehanizmi praćenja anomalija, otkrivanja sumnjivih prijava i ograničavanja brzine zahtjeva (rate limiting) radi obrane od zlouporaba.

12.2. Organizacijske mjere

  • načelo najmanje privilegije — pristup osobnim podacima imaju samo osobe kojima je to nužno za obavljanje radnih zadataka;
  • ugovori o povjerljivosti (NDA) i ugovori o obradi osobnih podataka sa svim izvršiteljima obrade i suradnicima koji u svom radu mogu doći u doticaj s osobnim podacima;
  • redovito održavanje aktualne razine znanja zaposlenika i suradnika o GDPR obvezama, smjernicama EDPB-a i AZOP-a;
  • interne procedure za prepoznavanje, prijavljivanje i rješavanje sigurnosnih incidenata i povreda osobnih podataka;
  • periodično preispitivanje sigurnosnih i organizacijskih mjera u skladu s razvojem Platforme i evolucijom prijetnji.

12.3. Povrede osobnih podataka

12.3.1 U slučaju povrede osobnih podataka koja može uzrokovati rizik za prava i slobode ispitanika, prijavit ćemo povredu Agenciji za zaštitu osobnih podataka u roku od 72 sata od saznanja, u skladu s člankom 33. GDPR-a.

12.3.2 Ako povreda može uzrokovati visok rizik za prava i slobode ispitanika, obavijestit ćemo i pogođene ispitanike bez nepotrebnog odgađanja, u skladu s člankom 34. GDPR-a, jasnim i razumljivim jezikom, uz naznaku mjera koje preporučamo poduzeti radi ublažavanja mogućih posljedica.

13. Kolačići i slične tehnologije

13.1. Što su kolačići

Kolačići su male tekstualne datoteke koje se prilikom posjeta Platformi spremaju na Vaš uređaj. Koristimo ih za osnovno funkcioniranje Platforme, pamćenje Vaših postavki i razumijevanje načina na koji se Platforma koristi.

13.2. Kategorije kolačića koje koristimo

  • Nužni kolačići — uvijek aktivni jer su neophodni za rad Platforme (sesija prijave, sigurnosne provjere, ravnoteža opterećenja). Za njih se po samom propisu ne traži privola.
  • Funkcionalni kolačići — omogućuju pamćenje Vaših postavki (jezik sučelja, preferencije prikaza). Aktiviraju se uz Vašu privolu.
  • Analitički kolačići — pomažu nam razumjeti kako se Platforma koristi i poboljšati je (agregirani, pseudonimizirani podaci). Aktiviraju se uz Vašu privolu.
  • Marketinški i oglašivački kolačići — ne koristimo marketinške ni oglašivačke kolačiće trećih strana na Platformi.

13.3. Upravljanje privolom i postavkama

13.3.1 Privolu za neobvezne kolačiće prikupljamo putem banera za privolu pri prvom posjetu Platformi. Privolu možete promijeniti u svakom trenutku kroz link „Postavke kolačića” dostupan u podnožju Platforme.

13.3.2 Kolačiće možete blokirati ili brisati i kroz postavke svog preglednika. Imajte u vidu da blokiranje nužnih kolačića može utjecati na osnovnu funkcionalnost Platforme (primjerice mogućnost prijave).

14. Obveznost pružanja podataka

14.1 Pružanje podataka iz točaka 4.1, 4.3, 4.5 i 4.6 nužno je za zaključenje i izvršenje ugovora o korištenju Platforme. Bez tih podataka ne možemo otvoriti korisnički račun, naplatiti pretplatu, povezati YouTube kanal niti obraditi videozapise.

14.2 Pružanje podataka za neobvezne kolačiće, eventualne marketinške komunikacije te druge oblike obrade utemeljene na privoli je dobrovoljno — nedostavljanje takvih podataka ili uskraćivanje privole nema posljedice na osnovno korištenje Platforme.

15. Namijenjenost Platforme i osobe mlađe od 18 godina

15.1 Platforma Titlomat namijenjena je punoljetnim osobama, prvenstveno autorima YouTube kanala i poslovnim subjektima koji autoriziraju svoje predstavnike za korištenje Platforme. Platforma nije dizajnirana niti marketirana prema osobama mlađim od 18 godina.

15.2 Ne prikupljamo svjesno osobne podatke osoba mlađih od 18 godina. Ako saznamo da smo obradili podatke maloljetne osobe bez odgovarajuće pravne osnove, takve ćemo podatke bez nepotrebnog odgađanja izbrisati.

15.3 Ako smatrate da je maloljetna osoba u Vašem okruženju koristila Platformu ili ostavila podatke, molimo obavijestite nas na info@lumiverse.hr kako bismo mogli postupiti.

16. Izmjene ove Politike

16.1 Politiku možemo s vremena na vrijeme izmijeniti zbog razvoja Platforme, novih funkcionalnosti, promjene propisa ili prakse nadzornog tijela.

16.2 O značajnim izmjenama obavijestit ćemo Korisnike putem e-pošte i/ili istaknute obavijesti unutar Platforme najmanje 30 (trideset) dana prije njihova stupanja na snagu. Datum posljednje izmjene uvijek je naveden u zaglavlju ovog dokumenta.

16.3 Za obradu koja se temelji na Vašoj privoli značajne izmjene zahtijevat će novu privolu — postojeća privola u tom slučaju neće biti automatski proširena na novi opseg obrade.

17. Kontakt

Za sva pitanja, zahtjeve i prigovore vezane uz zaštitu osobnih podataka i ovu Politiku, obratite nam se: