Pravilnik o zasebnosti

Ta pravilnik o zasebnosti pojasnjuje, kako družba »Martial Labs« Ltd., ki posluje kot KORENA, obdeluje vaše osebne podatke, ko obiščete spletno mesto korena.eu, oddate naročilo, stopite v stik z nami ali kako drugače uporabljate naše storitve. Pravilnik je pripravljen v skladu s Splošno uredbo EU o varstvu podatkov (Uredba (EU) 2016/679, »GDPR«), Direktivo 2002/58/ES o zasebnosti in elektronskih komunikacijah ter bolgarskim zakonom o varstvu osebnih podatkov.

---

1. Kdo je upravljavec

Upravljavec vaših osebnih podatkov je:

"Martial Labs" Ltd. ( Маршъл Лабс ЕООД )
UIC/ЕИК 207453941 · ID za DDV BG207453941
Yordan Badev Str. 8A, 1700 Sofija, Bolgarija
Direktor: Pavel Danielov Nikolov
Kontakt za varstvo podatkov: office@korena.eu

Vse zahteve v zvezi z zasebnostjo in pravicami posameznikov, na katere se nanašajo osebni podatki, pošljite na office@korena.eu.

Celotni podatki o pravni osebi, ki stoji za KORENA, so navedeni v pravnem obvestilu oziroma impresumu.

2. Pooblaščena oseba za varstvo podatkov

Pooblaščene osebe za varstvo podatkov (DPO) nismo imenovali, ker pri naši obdelavi ni izpolnjen nobeden od obveznih pogojev iz člena 37(1) GDPR:

• Nismo javni organ.
• Naše temeljne dejavnosti ne obsegajo obsežnega rednega in sistematičnega spremljanja posameznikov.
• Posebnih vrst podatkov (člen 9) ali podatkov o kazenskih obsodbah (člen 10) ne obdelujemo v velikem obsegu.

V oceni potrebe po DPO (z dne 30. 4. 2026, naslednji pregled 30. 4. 2027 ali prej, če nastopijo ustrezne okoliščine) smo upoštevali število posameznikov, sistematičnost in obseg obdelave, posebne vrste podatkov in podatke o kazenskih obsodbah ter svojo vlogo samostojnega upravljavca. Po oceni DPO ni potreben. Za stalni nadzor imamo imenovanega koordinatorja za zasebnost podatkov, dosegljivega na office@korena.eu, oceno pa lahko na zahtevo predložimo nadzornim organom.

Oceno bomo znova preučili ob vsaki bistveni spremembi obsega ali narave obdelave, zlasti če uvedemo produkt SaaS za skladnost z EUDR ali katero koli funkcijo za obsežno analitiko ali ocenjevanje.

Za vsa vprašanja in zahteve glede zasebnosti pišite na office@korena.eu.

2.1. Aplikacija KORENA Capture za iOS (interno orodje izvajalcev)

KORENA Capture je meroslovna aplikacija, ki jo osebje KORENA in izvajalci v partnerskih skladiščih interno uporabljajo za merjenje in fotografiranje desk iz trdega lesa za objavo v ponudbi. Aplikacija deluje v napravi izvajalca in ne zbira, shranjuje ali prenaša osebnih podatkov obiskovalcev spletnega mesta ali kupcev. Aplikacija ni objavljena v trgovini Apple App Store in se uporablja izključno za interno merjenje in dokumentiranje desk. Ne obdeluje nobenih identifikatorjev končnih uporabnikov ali podatkov za sledenje. Več o obdelavi fotografij desk in merilnih podatkov je navedeno v §3.6 spodaj (zbirke Capture) in v ločenem pravilniku o izvoru lesa.

2.2. Aplikacija KORENA Partner

Aplikacijo KORENA Partner za iOS in Android uporablja osebje partnerskih skladišč lesa in delavnic za objavo desk, dokumentiranje izvora in izpolnjevanje naročil za KORENA. Obdelava osebnih podatkov v aplikaciji je pojasnjena v ločenem obvestilu o zasebnosti za aplikacijo KORENA Partner.

3. Katere podatke obdelujemo, zakaj in na kateri pravni podlagi

V tem razdelku so za vsako vrsto osebnih podatkov, ki jih obdelujemo, navedeni namen, pravna podlaga po členu 6 GDPR in rok hrambe.

3.1. Obiskovalci spletnega mesta (brez računa in naročila)

3.2. Imetniki računov

3.3. Podatki o naročilih (imetniki računov in nakup brez računa)

3.4. Podpora strankam in komunikacija

3.5. Trženje

3.6. Osebje partnerskih skladišč in kontaktni podatki B2B

3.7. UI/strojno učenje ter besedilno in podatkovno rudarjenje (TDM)

Osebnih podatkov uporabnikov NE uporabljamo za učenje modelov UI oziroma strojnega učenja. KORENA vaših osebnih podatkov (imena, e-poštnega naslova, naslovov, zgodovine naročil in meritev odziva) ne uporablja za učenje umetne inteligence ali sistemov strojnega učenja niti za besedilno in podatkovno rudarjenje. Tehnologijo UI oziroma strojnega učenja uporabljamo na dveh mestih. Segmentacija SAM v aplikaciji KORENA Capture analizira slike desk pri izvajalcu in ne obdeluje osebnih podatkov. Ko KORENA pridobiva les za poslovno stranko, procesor UI (OpenAI in, kjer je omogočeno, DeepL) strojno prevede in strukturira besedilo poizvedb o nakupu, poslanih dobaviteljem, in njihovih odgovorov. Pred pošiljanjem takega besedila odstranimo e-poštne naslove, telefonske številke in podatke, ki razkrivajo identiteto stranke, ki je poslala zahtevo. Preostali poslovni kontaktni podatki se obdelujejo na podlagi našega zakonitega interesa (člen 6(1)(f) GDPR). Po členu 4 Direktive DSM imate pravico ugovarjati vsaki uporabi svojih podatkov za TDM. Za uveljavitev te pravice pišite na office@korena.eu.

3.8. Preprečevanje goljufij in varnost

Razen postopkov sistema Stripe Radar za preprečevanje goljufij v okviru odobritve plačila ne izvajamo odločanja, ki bi temeljilo zgolj na avtomatizirani obdelavi in imelo pravne ali podobno pomembne učinke (člen 22 GDPR). Stripe Radar z avtomatiziranim odločanjem ocenjuje tveganje plačila. Če je plačilo zavrnjeno:

• (a) ob zavrnitvi se vam prikaže jasno sporočilo;
• (b) imate pravico do človeškega pregleda in pojasnila brezplačno. Pišite na office@korena.eu in navedite podatke o naročilu. Zadevo bomo predali družbi Stripe ter pojasnili ocenjene dejavnike tveganja in možne ukrepe (na primer drugo plačilno sredstvo ali stik z izdajateljem kartice);
• (c) odgovorili bomo v enem koledarskem mesecu.

Obdelava po členu 22 je potrebna za izvajanje prodajne pogodbe v skladu s členom 22(2)(a) GDPR. Brez nje ne moremo razumno sprejemati spletnih plačil.

4. Viri podatkov

Skoraj vse podatke, ki jih obdelujemo, pridobimo neposredno od vas. Izjemi sta:

• Stripe nam ob plačilu pošlje podatke o izidu plačila, zadnje štiri števke kartice in kazalnike tveganja. Celotne številke kartice ne vidimo.
• Speedy in Econt (ter drugi prevozniki) nam pošiljajo dogodke za sledenje pošiljkam.

5. Komu posredujemo podatke

Osebne podatke posredujemo naslednjim vrstam prejemnikov. Vsak prejemnik podatke obdeluje le za opravljanje opisane naloge in ga zavezujejo ustrezna pogodbena jamstva.

Vaših osebnih podatkov ne prodajamo in jih ne posredujemo oglaševalskim omrežjem za medstransko vedenjsko oglaševanje.

Zgornji seznam bomo posodobili ob vsaki vključitvi, spremembi ali odstranitvi podobdelovalca. Naročnike na glasilo in imetnike računov bomo o bistvenih spremembah obvestili na spletnem mestu najmanj trideset (30) dni vnaprej.

6. Mednarodni prenosi

Nekateri prejemniki obdelujejo podatke zunaj Evropskega gospodarskega prostora (EGP), zlasti Stripe (deli v ZDA), Resend (ZDA) in OpenAI (ZDA). Za vsak tak prenos se opiramo na:

• standardne pogodbene klavzule (SCC), ki jih je odobrila Evropska komisija, kadar so potrebne, in/ali
• sklepe o ustreznosti, kjer se uporabljajo (na primer okvir za varstvo zasebnosti podatkov med EU in ZDA, če je prejemnik certificiran).

Če želite kopijo jamstev, ki veljajo za posamezen prenos, pišite na office@korena.eu.

6.1. Ocene učinka prenosa

Kadar se obdelovalec pri prenosih v države brez sklepa o ustreznosti opira na standardne pogodbene klavzule EU ali druga jamstva, vodimo ali hranimo oceno učinka prenosa (TIA) v skladu s členom 46 GDPR in smernicami EDPB (01/2020). Te ocene so na zahtevo na voljo nadzornim organom. Pri prenosih, ki temeljijo na certifikatu po okviru za varstvo zasebnosti podatkov, bomo ob vsakem ciklu objave znova preverili stanje certifikata in ustrezno posodobili §5 (Komu posredujemo podatke).

7. Vaše pravice

Po GDPR imate naslednje pravice, ki jih lahko brezplačno uveljavite s sporočilom na office@korena.eu:

• Dostop (člen 15): potrditev, ali obdelujemo vaše podatke, in kopija teh podatkov v strukturirani, splošno uporabljani in strojno berljivi obliki (CSV ali JSON). Zagotovimo jo brezplačno. Če je vaša zahteva očitno neutemeljena ali pretirana, lahko zaračunamo razumno upravno pristojbino. Podatke dostavimo z varno e-pošto ali šifrirano povezavo za prenos.

• Popravek (člen 16): popravek netočnih podatkov.

• Izbris (člen 17): izbris podatkov ob upoštevanju naših zakonskih obveznosti hrambe. Zakonske izjeme vključujejo: (a) račune in evidence DDV, ki se po bolgarski računovodski zakonodaji hranijo 10 let; (b) e-poštna sporočila podpori in fotografije v sporih, ki se hranijo do rešitve spora in še 2 leti; (c) podatke računa, ki se hranijo 12 mesecev po zaprtju, razen če so povezani z nerešeno zadevo; (d) naslove IP in dnevnike dostopa, ki se hranijo 90 dni, razen če so povezani z varnostnim incidentom.

• Omejitev (člen 18): omejitev obdelave v določenih okoliščinah.

• Prenosljivost (člen 20): prejem osebnih podatkov, ki ste nam jih posredovali (ime, e-poštni naslov, naslovi, vrsta plačilnega sredstva), v strukturirani, splošno uporabljani in strojno berljivi obliki. Ta pravica velja za podatke, ki se obdelujejo na podlagi pogodbe (člen 6(1)(b)) ali privolitve (člen 6(1)(a)). Ne vključuje izvedenih podatkov (meritve odziva, mere desk, ki jih izračunamo) ali podatkov, ki se obdelujejo zaradi zakonske obveznosti (računi).

• Ugovor (člen 21): ugovor obdelavi na podlagi zakonitega interesa, vključno z neposrednim trženjem (pri katerem je pravica do ugovora brezpogojna).

• Preklic privolitve (člen 7(3)): kadar koli, ne da bi to vplivalo na zakonitost obdelave pred preklicem.

• Pravica, da za vas ne velja avtomatizirano odločanje (člen 22): glejte §3.8 zgoraj (Stripe Radar; pravica do človeškega pregleda).

Odgovorili bomo v enem koledarskem mesecu po prejemu zahteve. Pri zapletenih ali številnih zahtevah lahko rok podaljšamo za dva meseca, o čemer vas obvestimo. Če vas na podlagi podatkov, ki jih hranimo, ne moremo prepoznati, lahko pred obravnavo zahteve zahtevamo dodatne podatke za potrditev identitete.

Pritožbo lahko vložite tudi pri nadzornem organu:

Komisija za varstvo osebnih podatkov (Комисия за защита на личните данни) Tsvetan Lazarov Blvd. 2, Sofija 1592, Bolgarija cpdp.bg · kzld@cpdp.bg

Če imate običajno prebivališče v drugi državi članici EU, lahko pritožbo vložite tudi pri organu za varstvo podatkov v tej državi.

8. Varnost

Za varstvo osebnih podatkov uporabljamo ustrezne tehnične in organizacijske ukrepe, vključno s šifriranjem med prenosom (TLS), šifriranjem v mirovanju v naši zbirki podatkov, nadzorom dostopa, revizijskimi dnevniki, ločevanjem nalog in načelom najmanjših pravic. Stripe hrani celotne podatke o plačilnih karticah zunaj naših sistemov in ima certifikat PCI-DSS. Kljub razumnim ukrepom noben sistem ni popolnoma varen.

Ob kršitvi varnosti osebnih podatkov bomo:

• (i) Komisijo za varstvo osebnih podatkov (CPDP) obvestili brez nepotrebnega odlašanja in v 72 urah po odkritju, kadar to zahteva člen 33 GDPR;
• (ii) vas neposredno obvestili brez nepotrebnega odlašanja (običajno v 7 dneh po odkritju), kadar je verjetno, da bo kršitev povzročila veliko tveganje za vaše pravice in svoboščine (člen 34 GDPR);
• (iii) v neposredno obvestilo vključili naravo in verjetne posledice kršitve, sprejete ali predlagane ukrepe ter našo kontaktno točko (office@korena.eu) za dodatne informacije.

9. Otroci

Spletno mesto ni namenjeno otrokom, mlajšim od 14 let, in osebnih podatkov otrok, mlajših od 14 let, zavestno ne obdelujemo brez privolitve staršev ali skrbnikov. KORENA je tržnica kakovostnega trdega lesa, namenjena poklicnim in odraslim ljubiteljskim uporabnikom; ni namenjena ali oglaševana mladoletnikom. Če menite, da nam je otrok, mlajši od 14 let, posredoval osebne podatke, pišite na office@korena.eu in podatke bomo izbrisali.

10. Spremembe tega pravilnika

Ta pravilnik lahko občasno posodobimo. Imetnike računov in naročnike na glasilo bomo o bistvenih spremembah obvestili po e-pošti, spremembe pa bomo na spletnem mestu objavili najmanj trideset (30) dni pred začetkom njihove veljavnosti, razen če mora sprememba po zakonu začeti veljati prej.

Datum različice na koncu tega pravilnika označuje trenutno veljavno različico.

11. Jeziki

Ta pravilnik je sestavljen v angleščini, ki je delovni referenčni jezik. Na spletnem mestu so lahko na voljo prevodi. Kadar to zahteva zakon (zlasti za posameznike s prebivališčem v Bolgariji), je zavezujoča bolgarska različica.

---

Nazadnje posodobljeno: 16. 9. 2026 · Nazadnje pregledano: 30. 4. 2026 · Naslednji pregled: 30. 4. 2027 (ali prej, če nastopijo ustrezne okoliščine).