Politika privatnosti (GDPR)

MountVacation / MV-Travel

Vrijedi od: 1. 7. 2026.

Voditelj obrade osobnih podataka

Voditelj obrade osobnih podataka u smislu Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka, GDPR) i važećih nacionalnih propisa je:

OBS d.o.o.

Letališka cesta 29

1000 Ljubljana

Slovenija

E-pošta: privacy@mountvacation.com

OBS d.o.o. upravlja internetskim platformama MountVacation i MV-Travel. U nastavku ove politike izraz "voditelj obrade" znači OBS d.o.o. u odnosu na obje platforme, osim gdje je izričito navedeno drukčije. Ova politika jednako vrijedi za korisnike obiju platformi.

Područje primjene

Ova Politika privatnosti određuje način prikupljanja, korištenja, obrade, čuvanja i zaštite osobnih podataka korisnika internetskih stranica i usluga voditelja obrade, uključujući:

posjetitelje internetskih stranica,
registrirane korisnike,
klijente,
sudionike programa vjernosti,
osobe koje stupe u kontakt s korisničkom podrškom.

Vrste osobnih podataka

Možemo obrađivati sljedeće kategorije osobnih podataka:

identifikacijski podaci (ime, prezime),
kontaktni podaci (adresa e-pošte, telefonski broj),
datum rođenja – nije obvezan podatak, osim kada ga za izvršenje usluge zahtijeva treći pružatelj usluge (npr. skijaške karte, zračni prijevoz ili druge usluge kod kojih je dob uvjet za rezervaciju),
putne preferencije (npr. tematika, kao što su skijanje, aktivni odmor, more, termalni odmor),
podaci o rezervacijama, putovanjima i transakcijama,
podaci o korisničkom računu i povijesti rezervacija,
podaci o kreditu, statusu vjernosti (MV Points) i korištenju pogodnosti,
komunikacijski podaci (e-pošta, SMS, sadržaj komunikacije s korisničkom podrškom),
tehnički podaci (IP adresa, podaci o uređaju, kolačići – zasebno uređeno u Politici kolačića).

Svrhe i pravne osnove obrade

Osobne podatke obrađujemo u sljedeće svrhe:

izvršenje rezervacija i turističkih usluga,
upravljanje korisničkim računom,
vođenje povijesti rezervacija,
obračun plaćanja, kredita i pogodnosti,
statusne obavijesti (npr. stanje kredita, istek, potvrde),
osiguravanje osiguranja za slučaj insolventnosti kod paket-aranžmana, kada OBS d.o.o. nastupa kao organizator putovanja.

računovodstvene i porezne obveze,
obveze čuvanja dokumentacije,
rješavanje sporova i pravnih zahtjeva.

unaprjeđenje usluga,
sprječavanje zlouporaba i prijevara,
sigurnost informacijskih sustava,
interna analitika i izvještavanje.

Ispitanik ima pravo na prigovor obradi na ovoj pravnoj osnovi u skladu s člankom 21. GDPR-a.

slanje e-novosti, ponuda i promotivnih sadržaja,
personalizirana komunikacija na temelju privole.

Privola je dobrovoljna i može se u svakom trenutku povući.

Statusne obavijesti i program vjernosti

Obavijesti koje se odnose na:

stanje korisničkog računa,
stanje ili istek kredita,
status vjernosti,
tehničke ili operativne informacije,

ne smatraju se marketingom, već obavijestima potrebnima za izvršenje ugovornog odnosa. Te se obavijesti mogu slati putem elektroničke pošte, SMS-a, mobilne aplikacije (push obavijesti) ili u korisničkom računu na internetskoj stranici, bez posebne marketinške privole.

Primatelji osobnih podataka

Osobni podaci mogu se proslijediti:

pružateljima turističkih usluga (npr. smještajni objekti) samo u opsegu koji je nužan za izvršenje usluge,
izvršiteljima obrade (npr. CRM, pružatelji platnih usluga, pružatelji IT usluga),
osiguravajućem društvu kod kojeg OBS d.o.o. ima sklopljeno osiguranje za slučaj insolventnosti organizatora putovanja, u opsegu koji je nužan za ostvarivanje prava iz tog osiguranja,
nadležnim tijelima, kada to zahtijeva zakon.

S pojedinim izvršiteljem obrade voditelj obrade prije početka obrade sklapa odgovarajući ugovor o obradi osobnih podataka (DPA) u skladu s člankom 28. GDPR-a.

Međunarodni prijenosi podataka

Ako dođe do prijenosa osobnih podataka izvan EU/EGP-a, takav se prijenos provodi samo uz primjenu odgovarajućih zaštitnih mjera (npr. standardne ugovorne klauzule).

Automatizirana obrada i profiliranje

Voditelj obrade na temelju korisničkih preferencija (npr. odabrane tematike putovanja) te povijesti rezervacija (npr. vrijeme rezervacije, iznos rezervacije, vremenski okvir rezervacije s obzirom na datum putovanja, tip usluge, tip putnika) provodi profiliranje u svrhu prikazivanja personaliziranih ponuda u mobilnoj aplikaciji i u korisničkom računu na internetskoj stranici. Pravna osnova za ovu obradu je legitimni interes voditelja obrade (GDPR, članak 6. stavak 1. točka (f)) za ponudu relevantnih sadržaja korisnicima. Ispitanik ima pravo na prigovor ovoj obradi u skladu s člankom 21. GDPR-a.

Korisnik može personaliziranu komunikaciju u svakom trenutku isključiti u postavkama svog korisničkog profila, i to zasebno za: komunikaciju putem internetske aplikacije, komunikaciju putem mobilne aplikacije te push obavijesti putem mobilne aplikacije. Isključivanje personalizacije ne utječe na primanje statusnih obavijesti iz poglavlja 5. ove politike.

Odvojeno od personaliziranih ponuda vrijedi za prikaz cijene: osnovna (javna) cijena pojedine usluge u danom je trenutku jednaka za sve korisnike i određuju je dobavljači putem vlastitih sustava (XML povezivanje), stoga se ne radi o personalizaciji cijene. Moguća "individualna" cijena prikazana pojedinom korisniku predstavlja isključivo javnu cijenu, umanjenu za transparentne i unaprijed poznate popuste (npr. promotivna pogodnost, korisnikov kredit, MV Points, poklon bon), koji se korisniku zasebno i transparentno prikazuju u postupku završetka rezervacije (checkout). Budući da se radi o korištenju poznatih, korisniku vidljivih pogodnosti, a ne o algoritamskoj procjeni korisnikove spremnosti platiti višu cijenu, takva obrada ne predstavlja automatizirano donošenje odluka u smislu članka 22. GDPR-a niti personalizaciju cijene koja bi zahtijevala posebno predugovorno otkrivanje prema odredbama o zaštiti potrošača.

Voditelj obrade ne provodi automatizirano donošenje odluka u smislu članka 22. GDPR-a koje bi imalo pravne učinke za ispitanika ili bi na njega na sličan način znatno utjecalo.

Rokovi čuvanja osobnih podataka

Osobne podatke čuvamo najduže onoliko vremena koliko je potrebno s obzirom na svrhu obrade, i to:

Računovodstvena i porezna dokumentacija (npr. računi, potvrde o plaćanju): 10 godina nakon isteka godine na koju se odnose, u skladu sa slovenskim Zakonom o poreznom postupku (ZDavP-2).
Podaci o rezervaciji i izvršenju turističke usluge: 10 godina od završetka putovanja odnosno usluge. Ovaj je rok usklađen s rokom čuvanja računovodstvene dokumentacije prema slovenskom Zakonu o poreznom postupku (ZDavP-2), budući da je podatak o rezervaciji ujedno dio računovodstvene dokumentacije, a osim toga se u tom razdoblju podaci o povijesti rezervacija obrađuju i na temelju legitimnog interesa voditelja obrade za personalizaciju ponuda (vidi poglavlje 8.) te radi obrane mogućih pravnih zahtjeva.
Podaci o kreditu, MV Points i statusu vjernosti: za vrijeme trajanja aktivnog korisničkog računa, dodatno još 1 godinu nakon zatvaranja računa odnosno posljednje aktivnosti, zbog mogućih zahtjeva u vezi s programom vjernosti.
Podaci obrađivani na temelju privole za marketing: do opoziva privole od strane ispitanika.
Podaci proslijeđeni osiguravajućem društvu za slučaj insolventnosti: za vrijeme trajanja osigurateljnog odnosa i u opsegu koji zahtijeva ugovor o osiguranju odnosno propisi o paket-aranžmanima.
Snimke telefonskih razgovora: najdulje 12 mjeseci od dana poziva, osim ako je snimka potrebna kao dokaz u okviru rješavanja spora ili prigovora, u kojem se slučaju čuva do njegovog pravomoćnog rješenja.

Nakon isteka navedenih rokova voditelj obrade podatke briše ili anonimizira, osim ako zakon za pojedini slučaj ne zahtijeva drukčije postupanje. Voditelj obrade redovito provjerava opravdanost daljnjeg čuvanja.

Snimanje telefonskih razgovora

Telefonski razgovori s korisničkom podrškom mogu se snimati u svrhu:

osiguravanja kvalitete usluga,
rješavanja sporova,
sigurnosti.

Ispitanik je o snimanju obaviješten na početku poziva. Snimke se čuvaju u skladu s rokovima iz poglavlja 9. ove politike i ne koriste se za marketing.

Sigurnost osobnih podataka i obavještavanje o povredama

Primjenjujemo odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka od gubitka, zlouporabe, neovlaštenog pristupa ili otkrivanja.

U slučaju povrede zaštite osobnih podataka koja bi mogla predstavljati rizik za prava i slobode ispitanika, voditelj obrade:

o povredi bez nepotrebnog odgađanja, u pravilu u roku od 72 sata od saznanja, obavještava nadležno nadzorno tijelo (Informacijski pooblaščenec Republike Slovenije), u skladu s člankom 33. GDPR-a,
kada povreda predstavlja visok rizik za prava i slobode ispitanika, o njoj bez nepotrebnog odgađanja obavještava i pogođene ispitanike, u skladu s člankom 34. GDPR-a.

Voditelj obrade vodi internu evidenciju svih utvrđenih povreda zaštite osobnih podataka, neovisno o obvezi prijave nadzornom tijelu.

Evidencija aktivnosti obrade i izvršitelji obrade

Voditelj obrade u skladu s člankom 30. GDPR-a vodi internu evidenciju aktivnosti obrade osobnih podataka (RoPA). Prije uključivanja pojedinog izvršitelja obrade u obradu osobnih podataka u ime voditelja obrade, voditelj obrade s njim sklapa ugovor o obradi osobnih podataka (DPA) u skladu s člankom 28. GDPR-a. Evidencija aktivnosti obrade i sklopljeni ugovori čuvaju se interno i dostupni su nadležnom nadzornom tijelu na zahtjev.

Prava ispitanika

Ispitanik ima pravo na:

pristup osobnim podacima,
ispravak netočnih podataka,
brisanje (ako su ispunjeni uvjeti),
ograničenje obrade,
prenosivost podataka,
prigovor obradi,
podnošenje pritužbe nadzornom tijelu (vidi poglavlje 14.).

Zahtjeve u vezi s ostvarivanjem navedenih prava ispitanik može poslati na adresu e-pošte: privacy@mountvacation.com.

Osnovne podatke (npr. kontaktne podatke, preferencije, pregled povijesti rezervacija) korisnik može dodatno pregledavati i uređivati i izravno u svom korisničkom računu. Ta mogućnost dopunjuje, ali ne zamjenjuje pravo na cjelovit pristup, ispravak, brisanje ili prenosivost podataka, koje voditelj obrade obrađuje na temelju formalnog zahtjeva na gornju adresu e-pošte.

Pritužba nadzornom tijelu

Ispitanik ima pravo podnijeti pritužbu nadležnom nadzornom tijelu za zaštitu osobnih podataka:

Informacijski pooblaščenec Republike Slovenije

(Povjerenik za informiranje Republike Slovenije)

Dunajska cesta 22

1000 Ljubljana

Slovenija

Internetska stranica: www.ip-rs.si

Budući da voditelj obrade (OBS d.o.o.) ima sjedište isključivo u Sloveniji, Informacijski pooblaščenec Republike Slovenije je, u skladu s mehanizmom "sve na jednom mjestu" (članak 56. GDPR-a), nadležno vodeće nadzorno tijelo za prekograničnu obradu osobnih podataka unutar EU/EGP-a, neovisno o državi prebivališta ispitanika ili jezičnoj verziji internetske stranice koju koristi. Neovisno o navedenom, ispitanik uvijek ima i pravo podnijeti pritužbu nadzornom tijelu u svojoj državi članici prebivališta, koje predmet u skladu s postupcima suradnje prema GDPR-u usklađuje s Informacijskim pooblaščencem Republike Slovenije.

Izmjene politike

Zadržavamo pravo izmjene ove politike. Izmijenjena politika stupa na snagu danom objave na internetskoj stranici voditelja obrade. Za pojedinu obradu osobnih podataka primjenjuje se politika koja je važeća u trenutku obrade.

Završne odredbe

Ova politika vrijedi za sve korisnike usluga MountVacation i MV-Travel te se primjenjuje zajedno s Općim uvjetima poslovanja, Politikom kolačića i drugim povezanim dokumentima.