Pravno
Politika privatnosti
Verzija 1.1 · Posljednje ažuriranje: 2. septembar 2026.
Ova Politika privatnosti objašnjava kako NoLimitDevelopment d.o.o. obrađuje lične podatke u vezi sa XPay platformom, web stranicom xpay.ba, konzolom, API-jem i povezanim uslugama.
XPay je softverski proizvod i tehnološka platforma koju razvija i pruža NoLimitDevelopment d.o.o. Platforma je namijenjena poslovnim korisnicima. XPay nije banka, ne drži sredstva poslovnog korisnika i ne prima novac koji kupac plaća poslovnom korisniku.
Ovaj dokument je pisan da bude tačan, a ne da umiruje. Tamo gdje određeni podatak ne obrađujemo ili gdje nešto o nekoj osobi jednostavno ne znamo, to je i navedeno.
Davalac usluge
- Naziv
- NoLimitDevelopment d.o.o.
- Poslovna adresa
- Ferde Hauptmana 2, Sarajevo, Bosna i Hercegovina
- info@xpay.ba
Registracijski i poreski podaci Davaoca usluge bit će navedeni u ovom dokumentu kada budu dostupni.
1.Identitet i kontakt kontrolora
Kontrolor za obradu opisanu u ovoj Politici, osim tamo gdje je izričito navedeno da nastupamo u ulozi obrađivača, identifikuje se podacima navedenim u nastavku.
Službenika za zaštitu ličnih podataka nismo imenovali. Za sva pitanja o obradi ličnih podataka, za ostvarivanje prava i za prijavu sumnje na povredu podataka kontakt tačka je info@xpay.ba, a zahtjev se može poslati i poštom na navedenu adresu.
Registarski broj, identifikacijski broj i PDV broj u spisku nisu navedeni jer nam još nisu dodijeljeni. Objavljujemo ih na ovom mjestu čim budu dodijeljeni. Do tada radije ostavljamo prazno mjesto nego da navedemo broj koji nije provjeren.
- Naziv: NoLimitDevelopment
- Pravna forma: d.o.o.
- Poslovna adresa: Ferde Hauptmana 2, Sarajevo
- Država: Bosna i Hercegovina
- Adresa elektronske pošte: info@xpay.ba
2.Ko je kontrolor podataka
Za lične podatke koje obrađujemo radi pružanja, održavanja i naplate XPay usluga kontrolor je NoLimitDevelopment d.o.o., poslovna adresa Ferde Hauptmana 2, Sarajevo, Bosna i Hercegovina.
To obuhvata podatke o poslovnom korisniku i njegovim ovlaštenim licima, korisnicima konzole, komunikaciji sa podrškom, naplati licenci i tehničkoj sigurnosti platforme.
Za lične podatke koji nastaju u poslovanju poslovnog korisnika i koje on unosi ili prikuplja kroz platformu, kontrolor je taj poslovni korisnik. U tom dijelu nastupamo kao obrađivač i postupamo po njegovim uputama.
Podjela ovih uloga detaljno je uređena dokumentom Ugovor o obradi ličnih podataka, koji je sastavni dio ugovornog odnosa sa poslovnim korisnikom.
Izrazi kontrolor, obrađivač i nosilac podataka u ovoj Politici imaju značenje koje im daje Zakon o zaštiti ličnih podataka Bosne i Hercegovine.
3.Propisi koje primjenjujemo
Lične podatke obrađujemo u skladu sa Zakonom o zaštiti ličnih podataka Bosne i Hercegovine i drugim propisima koji se primjenjuju na naše poslovanje.
XPay ne posjeduje niti tvrdi da posjeduje certifikat, dozvolu ili odobrenje bilo kojeg regulatora u oblasti zaštite podataka. Usklađenost sa propisima je obaveza koju ispunjavamo, a ne dozvola koju nam je neko izdao.
Kada poslovni korisnik posluje u Evropskoj uniji ili obrađuje podatke lica iz Evropske unije, primjenjujemo istovjetne principe zaštite: zakonitost i transparentnost obrade, ograničenje svrhe, obradu samo onih podataka koji su nužni, tačnost, ograničeno vrijeme čuvanja te integritet i povjerljivost podataka.
Primjena tih principa ne znači i ne treba se tumačiti kao izjava o certifikaciji prema Općoj uredbi o zaštiti podataka Evropske unije.
4.Podaci o poslovnom korisniku
Radi zaključenja i izvršenja ugovora obrađujemo podatke o poslovnom subjektu i o fizičkim licima koja ga zastupaju:
- naziv, pravna forma i adresa sjedišta poslovnog subjekta
- identifikacijski i PDV broj, kada postoje
- ime, prezime i funkcija ovlaštenog lica i lica za kontakt
- poslovna adresa elektronske pošte i broj telefona
- broj bankovnog računa i podaci koji se prikazuju u nalogu za plaćanje
- dokumentacija dostavljena radi provjere poslovnog subjekta
- odabrani paket, ugovoreni uslovi i historija ugovornog odnosa
- sadržaj komunikacije sa podrškom i prodajom
5.Probni nalog otvoren bez ugovora
Probni nalog se otvara samostalno, popunjavanjem obrasca na stranici, i traje 48 sati. U tom trenutku ugovor još nije zaključen, pa te podatke obrađujemo radi radnji poduzetih na zahtjev samog podnosioca prije zaključenja ugovora.
U obrascu se traže naziv poslovnog subjekta, vrsta djelatnosti, ime i prezime osobe koja nalog otvara, adresa elektronske pošte, lozinka i, kada je podnosilac unese, broj telefona. Lozinku čuvamo samo u obliku iz kojeg se ne može pročitati i ne možemo je vidjeti ni obnoviti.
Te podatke koristimo da otvorimo probni nalog, da podnosiocu pošaljemo podatke za pristup i da spriječimo zloupotrebu probnog perioda. Ne koristimo ih za oglašavanje i ne ustupamo ih trećim licima.
Ako probni nalog ne pređe u ugovorni odnos, podatke brišemo najkasnije šest mjeseci nakon isteka probnog perioda. Brisanje se može zatražiti i ranije, na adresu navedenu u tački o kontaktu.
6.Svrhe obrade podataka o poslovnom korisniku
Ove podatke obrađujemo da bismo zaključili i izvršili ugovor, otvorili i održavali nalog, identificirali i provjerili poslovni subjekt, izdali račun, pružili podršku i ispunili svoje zakonske obaveze.
Podaci o firmi kao pravnom licu sami po sebi nisu lični podaci. Podaci o fizičkim licima koja tu firmu zastupaju, potpisuju ugovor ili koriste konzolu jesu lični podaci i tako ih i tretiramo.
7.Korisnici konzole i osoblje poslovnog korisnika
Poslovni korisnik sam otvara i zatvara korisničke naloge za svoje osoblje. Za to koga ovlašćuje, koje podatke o njemu unosi i o čemu ta lica obavještava odgovoran je poslovni korisnik kao njihov poslodavac ili naručilac posla.
Za korisnike konzole obrađuju se:
- ime i prezime ili korisničko ime
- poslovna adresa elektronske pošte i, kada je unesen, broj telefona
- uloga i prava pristupa u konzoli
- vrijeme prijave, odjave i posljednjeg pristupa
- zapisi o radnjama u sistemu, na primjer ko je izdao račun, ko je evidentirao gotovinu i ko je promijenio cijenu
8.Zašto postoje zapisi o radnjama
Zapisi o radnjama u konzoli postoje radi sigurnosti, sprečavanja zloupotrebe i mogućnosti da se naknadno utvrdi šta se u sistemu dogodilo i ko je to učinio.
XPay te zapise ne koristi za ocjenu radnog učinka pojedinca. Poslovni korisnik ima uvid u zapise iz svog objekta i način na koji ih koristi prema svom osoblju njegova je odgovornost i njegova pravna obaveza kao poslodavca.
9.Podaci o naplati licence
Za obračun i naplatu naknade obrađujemo podatke o odabranom paketu, obračunskom periodu, broju naplativih transakcija, iznosu, izdatim računima, datumima plaćanja i eventualnim kašnjenjima.
Naknada koju naplaćujemo je naknada za korištenje softvera, API infrastrukture i evidentiranja transakcija kroz XPay platformu. Ne naplaćujemo proviziju na promet poslovnog korisnika i ne primamo novac njegovih kupaca.
Podaci o naplati obrađuju se radi izvršenja ugovora i radi ispunjenja računovodstvenih i poreskih obaveza, koje imaju vlastite rokove čuvanja.
10.Tehnički zapisi, IP adresa i podaci o uređaju
Kada se koristi bilo koji dio platforme, automatski nastaju tehnički zapisi. Bez njih server ne može odgovoriti na zahtjev niti se kvar može otkriti. Ti zapisi mogu sadržavati:
- IP adresu sa koje je zahtjev poslan
- datum i vrijeme zahtjeva, traženu adresu i status odgovora
- tip i verziju preglednika i operativnog sistema te osnovne podatke o uređaju
- jezik koji preglednik prijavljuje u zahtjevu
- identifikator sesije, a kod poziva API-ja identifikator korištenog API ključa
- zapise o greškama, prekidima i neuspjelim pokušajima prijave
11.Kako koristimo tehničke zapise
Tehničke zapise koristimo da usluga radi, da otkrijemo i otklonimo kvar, da zaštitimo sistem od neovlaštenog pristupa, automatizovanih napada i zloupotrebe te da planiramo kapacitet.
IP adresa se u pravilu smatra ličnim podatkom i mi je tako i tretiramo, iako sama po sebi najčešće ne otkriva identitet osobe koja stoji iza nje.
Tehničke zapise ne koristimo za oglašavanje, ne obogaćujemo ih podacima iz vanjskih izvora i ne prodajemo ih.
12.Evidencija transakcija
Za svaki račun, narudžbu i plaćanje koje kupac pokrene nakon skeniranja XPay koda evidentiraju se identifikator poslovnog korisnika i objekta, broj i stavke računa, iznos i valuta, vrijeme, način naplate, status transakcije i vrijeme svake promjene statusa, te referenca i poziv na broj koji omogućavaju da se uplata poveže sa računom.
Ovi podaci se u pravilu odnose na poslovni promet, a ne na identificirano fizičko lice. Ličnim podatkom postaju kada im se pridruži podatak o platiocu.
Do toga najčešće dolazi kada poslovni korisnik uveze bankovni izvod radi sravnjivanja uplata. Izvod može sadržavati ime platioca i broj njegovog računa.
Podatke iz bankovnog izvoda obrađujemo isključivo po nalogu poslovnog korisnika i samo radi povezivanja uplate sa računom, u ulozi obrađivača i pod uslovima iz Ugovora o obradi ličnih podataka.
13.Šta XPay ne obrađuje
Plaćanje se izvršava u aplikaciji banke kupca i putem platne infrastrukture. Taj korak je izvan XPay platforme. Podatke koji se tamo unose XPay ne vidi, ne prima i ne pohranjuje. Konkretno, ne obrađujemo:
- broj platne kartice, datum isteka, CVV ni bilo koji drugi podatak platne kartice
- PIN, lozinku, token, biometrijski podatak ni bilo koji pristupni podatak za bankarsku aplikaciju
- stanje računa kupca, njegovu historiju transakcija ni druge podatke sa njegovog računa izvan uplate koja se odnosi na konkretan račun
- sredstva kupca, jer se plaćanje izvršava direktno prema računu poslovnog korisnika, bez posredovanja XPay-a
14.Posljedica toga za zahtjeve
Zahtjev za pristup, ispravku ili brisanje podataka o platnoj kartici ili bankovnom računu ne možemo ispuniti iz jednostavnog razloga: te podatke nemamo i nikada ih nismo imali.
Takav zahtjev treba uputiti banci kod koje je račun otvoren. Na to ćemo uputiti i svakoga ko se sa takvim zahtjevom obrati nama.
15.Gost koji skenira kod
Gost ugostiteljskog objekta nema XPay nalog. Ne registruje se, ne kreira lozinku, ne ostavlja ime ni broj telefona i ne instalira aplikaciju.
Kada gost skenira kod, evidentira se kojem objektu i kojem stolu ili računu kod pripada, vrijeme otvaranja, tehnički podaci iz samog zahtjeva navedeni u ovoj Politici, te privremeni identifikator sesije koji se čuva u pregledniku gosta da bi gost vidio svoju, a ne tuđu narudžbu.
Ako gost naruči, evidentiraju se stavke, količine, napomena uz narudžbu, iznos i vrijeme. Ako pokrene plaćanje, evidentiraju se iznos, vrijeme i status transakcije. Status ne dobijamo od banke: mijenja se kada poslovni korisnik uveze bankovni izvod ili kada njegovo osoblje naplatu evidentira u konzoli.
Ime, prezime, adresu, broj telefona, adresu elektronske pošte, datum rođenja ni identitet gosta ne tražimo i ne dobijamo. Skeniranje koda ne otvara nalog i ne stvara profil.
Ako gost sam upiše lični podatak u polje za napomenu, taj podatak ostaje u narudžbi i vidi ga osoblje objekta. Polje za napomenu služi za podatke o narudžbi i nije mjesto za lične podatke.
16.Šta o gostu ne znamo
Ne znamo ko je gost. Ne možemo povezati skeniranje sa imenom, sa nalogom u drugom sistemu ni sa ranijim posjetama, jer zapis koji bi to omogućio ne postoji.
Ne pravimo profil gosta, ne koristimo kolačiće za oglašavanje u aplikaciji za goste, ne pratimo gosta po drugim web stranicama i ne povezujemo skeniranja u različitim objektima u jedinstven profil.
Ako uplatu izvrši gost čije ime se pojavi na bankovnom izvodu koji poslovni korisnik uveze radi sravnjivanja, to ime dolazi iz banke i obrađuje se za račun poslovnog korisnika, a ne za našu svrhu.
Privremeni identifikator sesije gosta prestaje važiti zatvaranjem računa za taj sto. Gost ga u svakom trenutku može ukloniti iz svog preglednika, a njegov kriptografski otisak ostaje uz zapis o toj sesiji dok se taj zapis čuva. Sama narudžba i račun ostaju u evidenciji poslovnog korisnika kao njegov poslovni dokument.
17.Pravni osnovi obrade
Lične podatke obrađujemo na osnovu jednog od sljedećih pravnih osnova:
- izvršenje ugovora sa poslovnim korisnikom i radnje poduzete na njegov zahtjev prije zaključenja ugovora
- ispunjenje zakonskih obaveza, prije svega računovodstvenih i poreskih
- legitimni interes, koji obuhvata sigurnost sistema, sprečavanje prevare i zloupotrebe, dokazivanje šta se u sistemu dogodilo, naplatu potraživanja i osnovno mjerenje rada usluge
- saglasnost, kada je izričito tražimo, na primjer za poslovna obavještenja koja nisu nužna za izvršenje ugovora
- dokumentovani nalog poslovnog korisnika, kada nastupamo kao obrađivač u njegovo ime
18.Saglasnost i prigovor
Saglasnost se može povući u svakom trenutku. Povlačenje djeluje ubuduće i ne utiče na zakonitost obrade izvršene prije povlačenja.
Kada se pozivamo na legitiman interes, prethodno procjenjujemo da li taj interes preteže nad interesima, pravima i slobodama lica čiji se podaci obrađuju. Na obradu zasnovanu na legitimnom interesu može se uložiti prigovor.
19.Kolačići i zapisi u pregledniku
Javna stranica xpay.ba ne postavlja kolačiće. U konzoli se podaci za prijavu i postavke prikaza čuvaju u lokalnoj pohrani preglednika, a odabrani jezik u kolačiću xpay-locale, koji traje godinu dana. Ti zapisi su tehnički nužni i ne koriste se u marketinške svrhe.
Ne koristimo alate za analitiku posjete ni bilo koji alat za praćenje posjetilaca. Ako ih ikada uvedemo, ograničit ćemo ih na agregirane pokazatelje i navesti ih u ovoj Politici prije nego što ih uključimo.
Fontovi koje stranica koristi preuzimaju se pri izradi i poslužuju se sa našeg servera, pa preglednik posjetioca zbog njih ne šalje zahtjev nijednoj trećoj strani.
Ne koristimo kolačiće za oglašavanje, ne prodajemo oglasni prostor i ne dijelimo podatke o posjetama sa oglasnim mrežama.
Kolačiće koji nisu tehnički nužni ne postavljamo. Ako se to ubuduće promijeni, takvi kolačići postavljat će se tek nakon saglasnosti posjetioca, koja se u svakom trenutku može povući.
Aplikacija koju gost otvara skeniranjem koda koristi samo tehnički nužan zapis u lokalnoj pohrani preglednika, potreban da narudžba ostane vezana za taj uređaj. Taj zapis nije alat za praćenje, ne koristi se izvan te narudžbe i gost ga može obrisati u postavkama svog preglednika.
20.Rokovi čuvanja
Podatke čuvamo onoliko dugo koliko je potrebno za svrhu zbog koje su prikupljeni, osim kada propis nalaže duže čuvanje. Primjenjujemo sljedeće rokove:
- podaci o poslovnom korisniku i ugovoru: za vrijeme trajanja ugovora i nakon prestanka u roku koji odgovara zastarnim rokovima za potraživanja iz tog odnosa
- podaci iz probnog naloga koji ne pređe u ugovorni odnos: do isteka probnog perioda i najduže šest mjeseci nakon toga
- nalozi korisnika konzole: do brisanja naloga od strane poslovnog korisnika ili do prestanka ugovora
- zapisi o radnjama u konzoli: do 24 mjeseca
- tehnički zapisi i zapisi o pristupu: do 12 mjeseci, a duže samo za konkretan sigurnosni incident koji se ispituje ili kada je to naloženo zakonom
- privremeni identifikator sesije gosta: u pregledniku gosta do zatvaranja računa za taj sto ili dok ga gost sam ne ukloni, a njegov kriptografski otisak ostaje uz zapis o toj sesiji dok se taj zapis čuva
- evidencija transakcija i narudžbi: za vrijeme trajanja ugovora, a zatim u okviru obaveze poslovnog korisnika da čuva svoju poslovnu dokumentaciju
- komunikacija sa podrškom: do 24 mjeseca od zatvaranja zahtjeva
- računi, knjigovodstvene isprave i prateća dokumentacija: u rokovima propisanim računovodstvenim i poreskim propisima u Bosni i Hercegovini
21.Zakonski rokovi imaju prednost
Računovodstveni i poreski rokovi čuvanja mjere se godinama i propisani su zakonom. Oni imaju prednost nad zahtjevom za brisanje i ne mogu se skratiti dogovorom.
To znači da izdati račun i knjigovodstvenu ispravu ne možemo obrisati na zahtjev, čak i kada je ugovorni odnos odavno prestao. Podatke u tom slučaju ograničavamo na ono što propis traži.
Nakon isteka roka podaci se brišu ili trajno anonimiziraju. Anonimizirane podatke, iz kojih se osoba više ne može identifikovati, možemo zadržati za statistiku, mjerenje kapaciteta i unapređenje usluge.
22.S kim dijelimo podatke
Bankama i platnoj infrastrukturi ne dostavljamo lične podatke. Podaci potrebni za plaćanje sadržani su u QR kodu koji kupac otvara u aplikaciji svoje banke, a plaćanje pokreće i potvrđuje sam kupac. Banka pri tome postupa kao samostalni kontrolor, prema vlastitim propisima i uslovima.
Lične podatke ne prodajemo, ne iznajmljujemo i ne ustupamo trećim licima za njihove vlastite marketinške svrhe. Podatke dijelimo samo kada je to potrebno za pružanje usluge ili kada za to postoji zakonska obaveza, i to sa:
- pružaocima hostinga i infrastrukture na kojoj platforma radi
- pružaocu usluge slanja elektronske pošte, radi dostave faktura, obavještenja i poruka o nalogu
- računovodstvenim, revizorskim i pravnim savjetnicima, u mjeri potrebnoj za obavljanje njihovog posla
- nadležnim organima, kada za to postoji zakonska osnova i nakon provjere zahtjeva
23.Obaveze naših obrađivača
Sa svakim obrađivačem zaključujemo ugovor kojim se obavezuje da podatke obrađuje samo po našim uputama i u ugovorenu svrhu, da primijeni odgovarajuće sigurnosne mjere, da obaveže svoje osoblje na povjerljivost i da podatke po prestanku angažmana vrati ili trajno obriše.
Prije angažmana provjeravamo da li obrađivač može ispuniti te obaveze, a saradnju prekidamo ako ih prestane ispunjavati.
Poslovni korisnik ima uvid u podatke koji nastaju u njegovom poslovanju, jer je za njih kontrolor.
24.Prenos podataka izvan Bosne i Hercegovine
Dio infrastrukture koju koristimo može se nalaziti izvan Bosne i Hercegovine. Države u kojima se podaci obrađuju navedene su u spisku podobrađivača.
Podatke prenosimo samo kada primalac obezbjeđuje odgovarajući nivo zaštite ličnih podataka i kada je prenos uređen ugovorom sa odgovarajućim zaštitnim mjerama, u skladu sa Zakonom o zaštiti ličnih podataka Bosne i Hercegovine.
Podatke ne prenosimo u države koje ne obezbjeđuju odgovarajući nivo zaštite radi pogodnosti ili niže cijene usluge.
Spisak obrađivača koje koristimo, sa svrhom angažmana i državom u kojoj se podaci obrađuju, objavljen je na stranici xpay.ba/podobradioci, a dostavljamo ga i na zahtjev poslovnog korisnika.
Kada mjesto obrade kod nekog obrađivača još nije potvrđeno, u tom spisku stoji prazno polje. Prazno polje znači da podatak nije provjeren, a ne da obrada ne postoji.
25.Prava nosioca podataka
Svako lice čije podatke obrađujemo ima sljedeća prava, u obimu i pod uslovima predviđenim Zakonom o zaštiti ličnih podataka Bosne i Hercegovine:
- pravo na obavještenje o tome koji se podaci obrađuju, u koju svrhu i po kom osnovu
- pravo na pristup vlastitim podacima i na kopiju tih podataka
- pravo na ispravku netačnih i dopunu nepotpunih podataka
- pravo na brisanje podataka kada za obradu više ne postoji osnov
- pravo na ograničenje ili blokiranje obrade dok se osporava tačnost podataka ili osnov obrade
- pravo na prigovor na obradu zasnovanu na legitimnom interesu
- pravo na povlačenje saglasnosti, kada je obrada zasnovana na saglasnosti
- pravo na prenosivost podataka, kada se obrada zasniva na saglasnosti ili ugovoru i vrši automatizovano
- pravo na pritužbu Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini
26.Kako se prava ostvaruju
Zahtjev se podnosi na info@xpay.ba. Odgovaramo najkasnije u roku od 30 dana od prijema zahtjeva. Ako je zahtjev složen ili obiman, u istom roku obavještavamo podnosioca o razlozima produženja i o novom roku.
Prije postupanja moramo razumno utvrditi da zahtjev podnosi lice na koje se podaci odnose. Za tu provjeru tražimo najmanju količinu podataka koja je dovoljna i ne koristimo je ni za koju drugu svrhu.
Postupanje po zahtjevu je besplatno. Naknadu stvarnih troškova možemo tražiti samo kod očigledno neosnovanih ili ponovljenih zahtjeva iste sadržine, u mjeri dozvoljenoj propisom.
Kada je kontrolor podataka poslovni korisnik, zahtjev bez odlaganja prosljeđujemo njemu, pomažemo mu da postupi i o tome obavještavamo podnosioca. O tuđim podacima ne odlučujemo sami.
27.Zahtjev gosta koji nam nije poznat
Gost koji je skenirao kod u pravilu nam nije poznat po imenu. Kada takvo lice podnese zahtjev, često nećemo moći povezati zahtjev ni sa jednim zapisom u našem sistemu, jer zapis koji bi tu vezu omogućio ne postoji.
U tom slučaju to ćemo mu jasno reći, umjesto da tražimo dodatne podatke koje bismo tek radi te provjere morali prikupiti. Prikupljanje novih podataka da bi se pronašli podaci kojih nema bilo bi suprotno svrsi zaštite.
Ako gost zna kod kojeg poslovnog korisnika i kada je narudžba nastala, zahtjev može uputiti tom poslovnom korisniku, koji je za tu narudžbu kontrolor.
28.Kada NoLimitDevelopment d.o.o. obrađuje podatke u ime poslovnog korisnika
Za podatke koji nastaju u poslovanju poslovnog korisnika, uključujući narudžbe, račune, podatke o njegovim kupcima, uvezene bankovne izvode i evidencije o osoblju, kontrolor je poslovni korisnik.
U toj ulozi podatke obrađujemo samo po njegovim dokumentovanim uputama, ne koristimo ih za vlastite svrhe i ne ustupamo ih trećim licima izvan ugovorenih obrađivača.
Predmet i trajanje obrade, vrste podataka i kategorije lica, obaveza povjerljivosti, angažovanje podobrađivača, pomoć pri ostvarivanju prava, prijava povrede podataka i postupanje sa podacima nakon prestanka ugovora uređeni su dokumentom Ugovor o obradi ličnih podataka.
U slučaju neslaganja između ove Politike i Ugovora o obradi ličnih podataka, za obradu koju vršimo u ime poslovnog korisnika primjenjuje se Ugovor o obradi ličnih podataka.
29.Sigurnosne mjere
Primjenjujemo tehničke i organizacione mjere primjerene riziku, koje uključuju:
- šifrovan prenos podataka između uređaja korisnika i platforme
- kontrolu pristupa po ulogama i pravilo najmanjih potrebnih ovlaštenja
- čuvanje lozinki u obliku iz kojeg se ne mogu pročitati
- odvojena razvojna i produkcijska okruženja
- zapise o pristupu i radnjama u sistemu
- redovne sigurnosne nadogradnje i praćenje poznatih ranjivosti
- rezervne kopije podataka i provjeru njihove upotrebljivosti
- obavezu povjerljivosti za sva lica koja imaju pristup podacima
30.Šta sigurnosne mjere ne znače
Mjere prilagođavamo riziku i mijenjamo ih kada se rizik promijeni. Gornji spisak opisuje pristup koji primjenjujemo, a ne nepromjenjivo stanje sistema.
Ne tvrdimo da je sistem nemoguće kompromitovati. Nijedna tehnička mjera ne daje apsolutnu sigurnost, a obećanje potpune sigurnosti bilo bi obećanje koje se ne može ispuniti.
Sigurnost zavisi i od poslovnog korisnika: od zaštite pristupnih podataka i API ključeva, od uređaja koje njegovo osoblje koristi i od toga kome dodjeljuje pristup.
31.Postupanje u slučaju povrede podataka
Povredom ličnih podataka smatramo svaki događaj koji dovede do neovlaštenog pristupa, otkrivanja, izmjene, gubitka ili uništenja ličnih podataka.
Kada do povrede dođe, bez nepotrebnog odlaganja, po pravilu u roku od 72 sata od saznanja, obavještavamo poslovnog korisnika na koga se povreda odnosi i dostavljamo mu ono što u tom trenutku znamo: šta se dogodilo, koje su kategorije podataka i lica obuhvaćene, koje su moguće posljedice i koje mjere poduzimamo.
Kada je kontrolor poslovni korisnik, obavještenje nadležnom organu i licima na koja se podaci odnose podnosi on, a mi mu pružamo informacije i podršku potrebnu da to učini u propisanom roku. Kada smo kontrolor mi, obavještenje podnosimo sami, kada je to propisano zakonom.
O svakoj povredi vodimo internu evidenciju sa opisom događaja, posljedicama i poduzetim mjerama.
Ne šaljemo obavještenje o povredi koja se nije dogodila i ne umanjujemo obim one koja jeste.
32.Automatizovano odlučivanje
Ne donosimo odluke o pojedincima isključivo automatizovanom obradom koje bi imale pravno dejstvo ili sličan značajan uticaj na njihov položaj.
Sistem može automatski označiti transakciju, nalog ili obrazac ponašanja kao neuobičajen, radi sigurnosti i sprečavanja zloupotrebe. Takva oznaka je povod za provjeru koju vrši ovlašteno lice, a ne konačna odluka.
Uslovi pod kojima se pristup nalogu može ograničiti ili suspendovati uređeni su dokumentima Uslovi korištenja, Pravila prihvatljivog korištenja i XPay Ugovor o korištenju poslovne platforme.
33.Izmjene ove Politike
Ovu Politiku mijenjamo kada se promijeni način obrade, propis ili sama usluga. Svaka verzija nosi oznaku verzije i datum posljednjeg ažuriranja, koji su prikazani na vrhu dokumenta.
O materijalnim izmjenama obavještavamo poslovne korisnike putem konzole ili adrese elektronske pošte u razumnom roku prije početka primjene izmjene, osim kada je neposredna izmjena potrebna zbog zakona, sigurnosti ili zahtjeva nadležnog organa.
Prethodne verzije čuvamo, tako da je uvijek moguće utvrditi koji je tekst bio na snazi u određenom periodu.
34.Kontakt i nadležnost
Za pitanja o obradi ličnih podataka, za ostvarivanje prava i za prijavu sumnje na povredu podataka pišite na info@xpay.ba ili na adresu NoLimitDevelopment d.o.o., Ferde Hauptmana 2, Sarajevo, Bosna i Hercegovina.
Nezavisno od obraćanja nama, nosilac podataka ima pravo podnijeti pritužbu Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini.
Na ovu Politiku primjenjuje se pravo Bosne i Hercegovine. Za sporove je nadležan stvarno nadležni sud u Sarajevu, osim kada obavezni propisi određuju drugačije.