Politika privatnosti

Ova politika opisuje koje lične podatke CFOlympic prikuplja kada koristite naše usluge i sajt, zašto ih prikuplja, na osnovu čega ih obrađuje, sa kim ih deli, koliko ih čuva i koja su vaša prava. Pripremljena je u skladu sa Zakonom o zaštiti podataka o ličnosti („Sl. glasnik RS”, br. 87/2018 — ZZPL) i Opštom uredbom o zaštiti podataka EU (GDPR).

1. Ko je kontrolor podataka

Kontrolor vaših ličnih podataka je CF OLYMPIC KRALJEVO (u daljem tekstu „CFOlympic”, „mi” ili „naše”).

• Sedište: IV Kraljevački Bataljon 19Б, 36000 Kraljevo, Srbija
• PIB: 112970952
• Matični broj: 66477070
• Kontakt za pitanja o privatnosti: info@cfolympic.com
• +381 62 346 129
• cfolympickraljevo@gmail.com

2. Koje podatke prikupljamo

2.1. Podaci koje vi unesete

• Registracija i nalog:ime i prezime, email adresa, broj telefona (opciono), datum rođenja, lozinka (čuva se kao bcrypt hash — mi je nikad ne vidimo u izvornom obliku).
• Profil: profilna slika (avatar) ako je sami postavite.
• Komunikacija: sadržaj poruka u internom ćaskanju i rezervacijama termina za personalne treninge.

2.2. Podaci koje generišemo iz korišćenja

• Članarine i plaćanja:izabrani program, cena, datumi početka/isteka, istorija rata i statusa plaćanja. Ne čuvamo podatke o kartici — plaćanje se obavlja gotovinski na recepciji ili preko trećih strana koje imaju sopstvene politike.
• Evidencija ulaska (QR): svaki put kada uđete skeniranjem QR koda, beležimo vreme i status (odobren / odbijen). Ovi logovi se čuvaju za potrebe statistike posećenosti i kontrole pristupa.
• Rezultati treninga (opciono):ako ih trener ili vi unesete u sekciju Rezultati — samo za programe koji to imaju omogućeno.

2.3. Tehnički podaci

• IP adresa, tip pregledača i log podaci servera — čuvaju se najduže 30 dana za potrebe bezbednosti (sprečavanje brute-force napada, otkrivanje bota, kontrola zloupotreba). Pravni osnov: legitimni interes (čl. 12 st. 1 t. 6 ZZPL / čl. 6(1)(f) GDPR).
• localStorage u pregledaču: pristupni i refresh token za prijavljivanje i stanje korisničkog interfejsa (npr. otvoren/zatvoren prozor ćaskanja). Ovi podaci su strogo neophodni za funkcionisanje servisa i ne zahtevaju vaš pristanak (izuzetak iz čl. 5(3) ePrivacy direktive za striktno neophodno skladištenje).
• HTTP cookies: ne postavljamo HTTP cookies za analitiku, oglašavanje ni praćenje između sajtova. Ne koristimo Google Analytics niti slične third-party analitičke alate. Ako u budućnosti uvedemo takve alate, dobićete cookie banner sa opt-in opcijom.
• Bot detekcija (Vercel BotID): na formama za registraciju i prijavu radi anonimna detekcija automatizovanog saobraćaja preko tehničkih signala iz pregledača (timing, canvas fingerprint, obrasci pokreta miša). BotID ne prikuplja lične podatke koji vas identifikuju i ne deli ih sa trećim stranama.

Napomena o biometriji: trenutni sistem ulaska koristi QR kod (jedinstveni token vezan za vaš nalog) koji se skenira na ulazu — ne prikupljamo niti obrađujemo lice, otisak prsta niti druge biometrijske podatke. Ako u budućnosti uvedemo biometrijski pristup, tražićemo poseban, izričit pristanak i ova politika će biti ažurirana.

3. Zašto obrađujemo podatke i pravni osnov

• Izvršenje ugovora (čl. 12 st. 1 t. 2 ZZPL): vođenje korisničkog naloga, članarina, beleženje ulaska, komunikacija u vezi sa rezervacijama i treninzima.
• Zakonska obaveza (čl. 12 st. 1 t. 3 ZZPL): računovodstvene i poreske evidencije.
• Legitimni interes (čl. 12 st. 1 t. 6 ZZPL): bezbednost sistema, sprečavanje zloupotreba (rate limit, anti-bot), tehničke evidencije servera.
• Pristanak (čl. 12 st. 1 t. 1 ZZPL): prihvatanje ove politike pri registraciji, eventualne buduće marketinške komunikacije (ako ih uvedemo, biće opt-in).

4. Sa kim delimo podatke

Vaše podatke ne prodajemo i ne dajemo trećim licima u marketinške svrhe. Delimo ih samo sa tehničkim partnerima (obrađivačima) koji su nam neophodni za rad servisa:

4.1. Obrađivači (tehnički partneri)

• Supabase(EU region, Frankfurt) — hosting baze podataka (PostgreSQL). Deljeni podaci: svi podaci naloga i članarine. Politika: supabase.com/privacy.
• Railway(EU region, Amsterdam, Holandija) — hosting backend aplikacije. Deljeni podaci: prolazno svi podaci koji idu kroz API. Politika: railway.com/legal/privacy.
• Vercel Inc.(SAD, sertifikovan po EU-US Data Privacy Framework) — hosting frontend aplikacije, Vercel Blob (čuvanje uploadovanih slika) i Vercel BotID (anti-bot zaštita). Deljeni podaci: HTTP zahtevi, uploadovane slike, IP adresa. Politika: vercel.com/legal/privacy-policy.
• Resend Inc.(SAD, sertifikovan po EU-US Data Privacy Framework) — slanje transakcionih email poruka (potvrde, podsetnici o isteku članarine, reset lozinke). Deljeni podaci: vaša email adresa, ime i sadržaj poruke. Politika: resend.com/legal/privacy-policy.

Sa svim obrađivačima zaključeni su Ugovori o obradi podataka (DPA) po čl. 28 GDPR. Za prenose van EU oslanjamo se primarno na sertifikate EU-US Data Privacy Framework, a podredno na standardne ugovorne klauzule (SCC) Evropske komisije.

4.2. Državni organi

Vaše podatke možemo otkriti državnim organima Republike Srbije (sud, policija, poreska uprava, Poverenik) isključivo na osnovu obavezujućeg zakonskog zahteva ili sudskog naloga. Kada zakon dozvoljava, obavestićemo vas pre takvog otkrivanja.

4.3. Statusne promene (M&A)

U slučaju statusne promene kontrolora (spajanje, pripajanje, prodaja imovine ili udela), vaši podaci se mogu preneti pravnom sledbeniku pod istim uslovima ove politike. Bićete obavešteni email-om najmanje 30 dana unapred i imaćete pravo da pre prenosa zatražite brisanje naloga.

5. Koliko dugo čuvamo podatke

Kao teretana sa kontinuiranim članstvom, podatke zadržavamo i nakon prestanka aktivne članarine na osnovu legitimnog interesa (čl. 12 st. 1 t. 6 ZZPL / čl. 6(1)(f) GDPR): omogućavanje jednostavne reaktivacije naloga posle pauze (povreda, trudnoća, vojska, putovanje), istorija treninga i rezultata, kao i analiza dugoročnih trendova posećenosti. Vi imate pravo da u svakom trenutku zatražite brisanje — vidi sekciju 6.2.

• Korisnički nalog: čuvamo neograničeno dok ne podnesete zahtev za brisanje. Posle 24 meseca neaktivnosti (bez članarine i bez prijave) imate pravo da zatražite anonimizaciju umesto pune obrade; obavestićemo vas email-om pre takvog koraka.
• Evidencija ulazaka (QR): čuvamo trajno radi istorije posećenosti, kontrole pristupa i statistike posete teretane. Po brisanju naloga, evidencije se anonimizuju (uklanja se veza sa vašim ličnim podacima; zadržavaju se samo vremenski žig i status, bez identiteta).
• Rezultati treninga(merenja, težine, snaga): dok god je nalog aktivan ili 24 meseca nakon poslednje uplaćene članarine, šta god je duže — radi poređenja napretka pri povratku.
• Računovodstveni dokumenti(uplate, fiskalne potvrde): u skladu sa Zakonom o računovodstvu — 10 godina. Ovo je zakonska obaveza i ne briše se ni na vaš zahtev.
• Email komunikacija i interna ćaskanja: do brisanja od strane korisnika ili do brisanja naloga.
• Tehnički logovi servera (IP, korisnički agent): najduže 30 dana.
• Bcrypt hash lozinke: dok god je nalog aktivan; briše se zajedno sa nalogom.

Pravo na prigovor: ako se ne slažete sa našom procenom legitimnog interesa za neograničeno čuvanje, možete uložiti prigovor na obradu (sekcija 6.1) i mi smo dužni da prestanemo sa čuvanjem, osim ako dokažemo pretežne opravdane razloge.

6. Vaša prava

U skladu sa ZZPL i GDPR-om, imate sledeća prava:

• Pristup— da znate koje podatke o vama imamo.
• Ispravka— da tražite ispravku netačnih podataka (možete sami promeniti većinu u svom profilu).
• Brisanje(„pravo na zaborav”) — da tražite brisanje naloga i pratećih podataka, osim onih koje moramo da čuvamo po zakonu. Procedura detaljno opisana u sekciji 6.2.
• Ograničenje obrade— da tražite privremeno zaustavljanje obrade dok se rešava sporno pitanje (npr. tačnost podataka).
• Prenosivost— da dobijete svoje podatke u mašinski čitljivom formatu (JSON eksport).
• Povlačenje pristanka— tamo gde se obrada zasniva na pristanku, možete ga povući u svakom trenutku (povlačenje ne utiče na zakonitost obrade pre povlačenja).

6.1. Pravo na prigovor (čl. 37 ZZPL / čl. 21 GDPR)

Imate pravo da se u svakom trenutku usprotivite obradi vaših podataka koja se zasniva na našem legitimnom interesu(npr. bezbednost sistema, zaštita od zloupotreba). Po prijemu prigovora, prestajemo sa obradom u tu svrhu — osim ako dokažemo postojanje pretežnih opravdanih razloga za nastavak, ili ako je obrada neophodna radi podnošenja, ostvarivanja ili odbrane pravnog zahteva. Prigovor šaljete na info@cfolympic.com.

6.2. Brisanje naloga — procedura

Brisanje naloga je uvek na vaš zahtev— sistem ne briše naloge automatski (videti sekciju 5 i legitimni interes za reaktivaciju). Zahtev možete podneti u svakom trenutku, bez obrazloženja, na jedan od sledećih načina:

• Email: sa adrese koju ste registrovali pošaljite poruku na info@cfolympic.comsa naslovom „Zahtev za brisanje naloga”.
• Lično na recepciji teretane uz identifikaciju ličnom kartom.

Po prijemu zahteva:

• verifikujemo identitet (preko email-a sa kojeg je zahtev poslat ili lično);
• u roku od 30 dana brišemo iz aktivne baze: ime i prezime, email, telefon, datum rođenja, profilnu sliku, lozinku, rezultate treninga i ćaskanje;
• anonimizujemoevidencije ulazaka i istoriju članarina — ostaju vremenski žigovi i statusi bez veze sa vašim identitetom (za statističke svrhe);
• računovodstveni dokumenti(uplate, fiskalne potvrde) zadržavaju se do 10 godina kako nalaže Zakon o računovodstvu — ovo je jedini zakonski izuzetak koji ne možemo da brišemo ni na vaš zahtev. U tim dokumentima vaše ime ostaje vidljivo samo gde je propisano poreskim propisima (fiskalni račun, knjiga prihoda);
• šaljemo vam pisanu potvrdu o izvršenom brisanju.

Napomena:brisanje je nepovratno. Ako se kasnije vratite u teretanu, morate ponovo da otvorite nalog i sve prethodne rezultate i istoriju treninga gubite. Ako želite samo pauzu, dovoljno je da prestanete da koristite servis — nalog ostaje a možete ga reaktivirati u svakom trenutku.

6.3. Kako ostvariti svoja prava

Sva prava ostvarujete email-om na info@cfolympic.com. Odgovaramo najkasnije u roku od 30 dana od prijema zahteva (uz mogućnost produženja za dodatnih 60 dana za složene zahteve, o čemu ćete biti pravovremeno obavešteni). Usluga je besplatna; samo za očigledno neosnovane ili preterane zahteve možemo naplatiti razumnu administrativnu naknadu ili odbiti postupanje.

6.4. Pritužba nadzornom organu

Ako smatrate da nismo postupili u skladu sa zakonom, imate pravo da podnesete pritužbu Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti:

• Adresa: Bulevar kralja Aleksandra 15, 11000 Beograd, Srbija
• Telefon: +381 11 3408 900
• Email: office@poverenik.rs
• Web: www.poverenik.rs

7. Bezbednost

Primenjujemo odgovarajuće tehničke i organizacione mere zaštite ličnih podataka:

• lozinke se čuvaju kao bcrypt hash — izvorni oblik nikad nije dostupan;
• komunikacija sa serverom ide isključivo preko HTTPS-a (TLS);
• rate limiting, honeypot polja i Vercel BotID za zaštitu od automatizovanih napada;
• dvostepena autentifikacija (2FA) za administrativne naloge;
• JWT tokeni sa kratkim rokom važenja + refresh rotacijom;
• kontrola pristupa zasnovana na ulogama (RBAC) — svaki član osoblja vidi samo podatke neophodne za svoj posao.

U slučaju povrede bezbednosti ličnih podataka koja može da prouzrokuje visok rizik za vaša prava i slobode, obavestićemo vas bez nepotrebnog odlaganja, a Poverenika u roku od 72 sata (čl. 52, 53 ZZPL / čl. 33, 34 GDPR).

8. Automatizovano donošenje odluka

Ne donosimo odluke isključivo na osnovu automatizovane obrade koje proizvode pravne ili slične značajne efekte na vaš status (čl. 38 ZZPL / čl. 22 GDPR). Sistem koristi automatske provere u sledećim slučajevima:

• Rate limiting— privremeno blokiranje IP adrese u slučaju prekomerne učestalosti zahteva;
• Anti-bot detekcija (Vercel BotID)— klasifikacija saobraćaja kao ljudski ili automatizovan;
• Validacija članarine pri QR ulazu— provera da li je vaša članarina aktivna i da li nije premašen nedeljni limit dolazaka;
• Email podsetnici o isteku članarine— automatska poruka 3 i 1 dan pre isteka.

Sve ove provere služe isključivo bezbednosti i kontroli pristupa — ne formiramo profile, ne procenjujemo lični kvalitet niti donosimo odluke koje bitno utiču na vaš status. U slučaju spora oko bilo koje automatske odluke, imate pravo da zatražite ljudski pregled kontaktiranjem na info@cfolympic.com.

9. Maloletnici

U skladu sa članom 16. ZZPL-a, samostalan pristanak na uslugu informatičkog društva mogu dati lica koja su navršila 15. godinu. Imajući u vidu prirodu naše usluge (fizički trening sa mogućnošću povrede), za maloletnike primenjujemo sledeća pravila:

• Korisnici od 15 godina i stariji mogu se registrovati samostalno preko sajta.
• Maloletnici mlađi od 15 godina mogu postati članovi samo uz lično prisustvo roditelja ili zakonskog staratelja na recepciji teretane prilikom prve registracije. Roditelj/staratelj potpisuje pristanak za obradu podataka i prihvatanje Uslova korišćenja u ime maloletnika. Online registracija mlađih od 15 godina nije moguća. Pri ovom procesu, osoblje kreira nalog u sistemu, a maloletnik (uz roditelja) postavlja lozinku preko sigurnog email link-a koji sistem automatski šalje.

Ako saznamo da je nalog mlađeg maloletnika kreiran online bez prisustva roditelja, nalog ćemo zamrznuti i kontaktirati roditelja radi naknadne verifikacije. Ako sumnjate da je takav nalog otvoren, obavestite nas na info@cfolympic.com.

10. Lice za zaštitu podataka (DPO)

Po našoj proceni, ne ispunjavamo kriterijume iz čl. 56 ZZPL / čl. 37 GDPR koji propisuju obavezno imenovanje lica za zaštitu podataka (DPO):

• nismo organ vlasti niti javno telo;
• naša osnovna delatnost ne uključuje sistematsko praćenje lica na velikoj skali niti obradu posebnih kategorija podataka u velikom obimu.

Iz tih razloga nismo imenovali DPO. Sva pitanja u vezi sa zaštitom podataka rešava ovlašćeno lice u CFOlympic-u i možete ih uputiti na info@cfolympic.com. Ako u budućnosti budemo dužni da imenujemo DPO, ažuriraćemo ovu sekciju.

11. Izmene politike

Politiku možemo s vremena na vreme ažurirati. Kada to uradimo, menjamo verziju i datum poslednje izmene na vrhu stranice i, u slučaju značajnih izmena, obavestićemo vas email-om ili obaveštenjem u aplikaciji najmanje 30 dana pre stupanja novih uslova na snagu. Nastavljanjem korišćenja servisa nakon tog datuma prihvatate ažuriranu politiku.

12. Kontakt

Za sva pitanja u vezi sa ovom politikom ili obradom vaših podataka:

• Kontrolor: CF OLYMPIC KRALJEVO
• Adresa: IV Kraljevački Bataljon 19Б, 36000 Kraljevo, Srbija
• Email za privatnost: info@cfolympic.com
• +381 62 346 129
• cfolympickraljevo@gmail.com