POLITIKA PRIVATNOSTI

Portal: zona-rada.hr (u daljnjem tekstu: Portal)
Voditelj obrade: NOX COMPANY d.o.o., Dragutina Lobe 56, 35400 Nova Gradiška, Hrvatska (u daljnjem tekstu: Društvo)
Kontakt za privatnost i prava ispitanika: info@zona-rada.hr
Datum objave: 25/03/2026
Verzija: 3.2

Ova Politika privatnosti objašnjava kako Društvo prikuplja, koristi, dijeli i štiti osobne podatke korisnika Portala te koja prava korisnici imaju prema Općoj uredbi o zaštiti podataka (EU) 2016/679 (u daljnjem tekstu: GDPR ili Opća uredba) i važećim propisima Republike Hrvatske.

1. Tko obrađuje vaše podatke

Voditelj obrade:

NOX COMPANY d.o.o.
Adresa: Dragutina Lobe 56, 35400 Nova Gradiška, Hrvatska
OIB: 13371386470
E-mail: info@zona-rada.hr
Telefon: +385 997525071

Za sva pitanja vezana uz zaštitu osobnih podataka i ostvarivanje prava ispitanika možete nam se obratiti putem navedenog e-maila.

Napomena: Društvo u ovom trenutku nije imenovalo službenika za zaštitu podataka (DPO) s obzirom da opseg i priroda obrade ne zahtijevaju obvezno imenovanje prema članku 37. GDPR-a. U slučaju promjene okolnosti, kontaktni podaci DPO-a bit će objavljeni na ovoj stranici.

2. Na koga se ova politika odnosi

Ova politika odnosi se na:

posjetitelje Portala (neregistrirane korisnike),
kandidate/posloprimce (registrirane i neregistrirane),
poslodavce (registrirane korisnike),
osobe koje nam se javljaju putem kontakt obrasca.

Dobno ograničenje: Portal je namijenjen punoljetnim osobama (18+). Maloljetnicima nije dopuštena registracija i korištenje usluga prijave. Društvo ne prikuplja svjesno osobne podatke maloljetnika.

3. Koje osobne podatke prikupljamo

3.1. Posjetitelji Portala (neregistrirani)

Tehnički podaci: IP adresa, vrsta preglednika, operativni sustav, podaci o uređaju, jedinstveni identifikatori uređaja
Podaci o korištenju: posjećene stranice, vrijeme posjeta, interakcije s elementima stranice, referrer URL
Kolačići: prema Politici kolačića dostupnoj na [LINK]

3.2. Kandidati (prijava na oglas kao gost – bez registracije)

Ime i prezime (obvezno)
E-mail adresa (obvezno)
Broj telefona (obvezno)
CV/životopis (datoteka u PDF, DOC ili DOCX formatu) (obvezno)
Motivacijsko pismo (opcionalno)
Metapodaci prijave: datum i vrijeme prijave, ID oglasa, IP adresa prijave

3.3. Kandidati (registrirani korisnici)

Osnovni podaci računa:

Ime (obvezno)
Prezime (obvezno)
E-mail adresa (obvezno)
Lozinka (pohranjena u hashiranom obliku)
Broj telefona (obvezno)

Podaci profila (opcionalno):

Zanimanje
Lokacija
Opis profila
Godine iskustva
Vozačka dozvola
Dostupnost (dostupan odmah / dostupan uskoro / trenutno nije dostupan)
Vještine
Obrazovanje (može se dodati više zapisa)
Radno iskustvo (može se dodati više zapisa)
CV/Životopis (datoteka)
Certifikati (može se dodati više zapisa)

Društvene mreže (opcionalno):

Facebook URL
Instagram URL
LinkedIn URL

Evidencija aktivnosti:

Evidencija prijava: oglasi na koje se prijavio, datum i vrijeme svake prijave
Datum registracije, datum zadnje prijave
Povijest pretraživanja oglasa

3.4. Poslodavci (registracija i korištenje)

Podaci pri registraciji:

Naziv tvrtke
OIB tvrtke
Broj telefona (poslovni ili osobni)
E-mail adresa (poslovni ili osobni)
Lozinka (pohranjena u hashiranom obliku)

Podaci profila (opcionalno, korisnik popunjava po volji):

Kratki opis tvrtke
Adresa, poštanski broj, grad
Web stranica
URL profila na društvenim mrežama (Facebook, Instagram, LinkedIn)
Preferirani način kontakta (email / telefon / oba)

Napomena: Komunikacija s poslodavcem obavlja se isključivo putem poslovnog e-maila i telefona navedenog pri registraciji pravne osobe.

Poslovni podaci:

Podaci o objavljenim oglasima: sadržaj oglasa, kategorije, lokacije, trajanje
Podaci potrebni za izdavanje računa (ako je primjenjivo): podaci za fakturiranje prema Zakonu o porezu na dodanu vrijednost i Zakonu o računovodstvu

Napomena o pravnoj osobi vs. fizičkoj osobi:
GDPR se primjenjuje na osobne podatke fizičkih osoba. Podaci koji se odnose isključivo na pravnu osobu (naziv tvrtke, OIB tvrtke, adresa sjedišta) ne smatraju se osobnim podacima u smislu GDPR-a.

Međutim, podaci kao što su e-mail adresa fizičke osobe, osobni broj telefona i osobni profili na društvenim mrežama smatraju se osobnim podacima i obrađuju se sukladno ovoj Politici privatnosti.

3.5. Kontakt obrazac i druge Elementor forme

Portal koristi Elementor Page Builder za kreiranje kontakt obrazaca i drugih interaktivnih formi. Ovisno o vrsti forme, mogu se prikupljati sljedeći podaci:

Kontakt obrazac:

E-mail adresa (obvezno)
Broj telefona (opcionalno)
Ime i prezime (opcionalno)
Predmet/naslov upita
Sadržaj poruke
Tehnički podaci: IP adresa, datum i vrijeme slanja

Druge forme (ovisno o implementaciji):

Podaci uneseni u polja forme prema svrsi forme
Metapodaci: ID forme, datum i vrijeme podnošenja, IP adresa, referrer URL

Napomena: Svi podaci iz Elementor formi pohranjuju se u bazi podataka (tablice wp_e_submissions i wp_e_submissions_values) i obrađuju se u skladu s pravilima navedenim u ovoj Politici privatnosti. Ovi podaci obuhvaćeni su automatskim brisanjem prema konfiguriranim rokovima zadržavanja (vidjeti točku 6.5).

4. U koje svrhe i na kojim pravnim osnovama obrađujemo podatke

U skladu s načelom transparentnosti i zahtjevima iz članaka 13. i 14. GDPR-a, u nastavku detaljno navodimo svrhe obrade, pravne osnove i relevantne članke GDPR-a:

4.1. Obrada temeljena na izvršavanju ugovora (članak 6. stavak 1. točka b GDPR-a)

Pravna osnova: Obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora.

Svrhe:

Registracija i upravljanje korisničkim računima (kandidati i poslodavci)
Omogućavanje prijave kandidata na oglase
Pružanje pristupa objavljenim oglasima poslodavcima
Dostava prijava kandidata poslodavcima kroz Portal
Komunikacija vezana uz korištenje usluga (potvrde prijava, obavijesti o statusu oglasa, tehnička podrška)
Omogućavanje pretraživanja i filtriranja oglasa

Kategorije podataka: Podaci iz točaka 3.2, 3.3 i 3.4

4.2. Obrada temeljena na privoli (članak 6. stavak 1. točka a GDPR-a)

Pravna osnova: Ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha.

Svrhe:

Postavljanje i korištenje analitičkih kolačića (npr. Google Analytics) za analizu ponašanja korisnika
Postavljanje i korištenje marketinških kolačića (npr. Facebook Pixel, Google Ads) za ciljano oglašavanje

Kategorije podataka: Podaci o korištenju iz točke 3.1 (analitički i marketinški kolačići)

Povlačenje privole: Privolu možete povući u bilo kojem trenutku putem postavki kolačića dostupnih na [LINK] ili postavki vašeg preglednika.

Povlačenje privole ne utječe na zakonitost obrade koja je provedena na temelju privole prije njezina povlačenja.

4.3. Obrada temeljena na legitimnom interesu (članak 6. stavak 1. točka f GDPR-a)

Pravna osnova: Obrada je nužna u svrhe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka.

Legitimni interesi Društva:

Zaštita sigurnosti i integriteta Portala
Sprječavanje zlouporabe, prijevara i automatiziranih prijava (botova)
Otkrivanje i sprječavanje neovlaštenog pristupa
Analiza performansi Portala radi tehničkog poboljšanja
Zaštita poslovnih interesa i pravnih zahtjeva Društva

Svrhe obrade:

Evidencija sigurnosnih logova (IP adrese, vrijeme pristupa, radnje)
Zaštita od DDoS napada i drugih sigurnosnih prijetnji
Implementacija CAPTCHA ili sličnih mehanizama zaštite
Tehnička analitika radi održavanja i optimizacije Portala
Čuvanje podataka potrebnih za utvrđivanje, ostvarivanje ili obranu pravnih zahtjeva

Kategorije podataka: IP adrese, logovi pristupa, tehnički podaci iz točke 3.1

Balansiranje interesa: Društvo je provelo procjenu balansiranja interesa i zaključilo da su navedeni legitimni interesi opravdani jer:

Služe zaštiti svih korisnika Portala
Minimiziran je utjecaj na privatnost ispitanika (obrađuju se samo nužni podaci)
Primjenjuju se odgovarajuće sigurnosne mjere
Ispitanici imaju pravo uložiti prigovor na obradu (vidjeti točku 13)

4.4. Obrada temeljena na pravnoj obvezi (članak 6. stavak 1. točka c GDPR-a)

Pravna osnova: Obrada je nužna radi poštovanja pravne obveze koja se primjenjuje na voditelja obrade.

Svrhe:

Izdavanje računa i vođenje računovodstvene dokumentacije prema Zakonu o porezu na dodanu vrijednost (NN 73/13, 99/13, 148/13, 153/13, 143/14, 115/16, 106/18, 121/19, 32/20, 138/20) i Zakonu o računovodstvu (NN 78/15, 134/15, 120/16, 116/18, 42/20, 47/20)
Čuvanje podataka potrebnih za postupanje po nadzorima nadležnih tijela
Izvršavanje drugih obveza propisanih zakonom

Kategorije podataka: Podaci za fakturiranje iz točke 3.4, podaci o transakcijama

Rokovi čuvanja: Sukladno računovodstvenim propisima – 11 godina od kraja poslovne godine u kojoj je nastala obveza

5. Kako funkcionira prijava na oglase i tko vidi vaše podatke

5.1. Postupak prijave

Kada kandidat podnese prijavu na oglas:

Prijava (CV, motivacijsko pismo, kontaktni podaci) pohranjuje se u bazu podataka Portala
Poslodavcu se šalje automatska e-mail obavijest o novoj prijavi bez prilaganja CV-a ili osobnih podataka kandidata
Poslodavac pristupa prijavi isključivo nakon prijave u svoj korisnički račun na Portalu
Poslodavac može preuzeti CV i vidjeti kontaktne podatke kandidata unutar svog korisničkog sučelja

5.2. Ograničenja pristupa

Društvo ne šalje CV ili osobne podatke kandidata poslodavcu putem e-maila automatski
Prijave su dostupne isključivo poslodavcu koji je objavio oglas
Društvo ne dijeli prijave s trećim stranama
Poslodavac je samostalni voditelj obrade za podatke kandidata koje preuzme i obrađuje izvan Portala

5.3. Odgovornost poslodavca

Nakon što poslodavac preuzme prijavu i CV, postaje samostalni voditelj obrade za te podatke. Poslodavac je obvezan:

Poštovati načela GDPR-a u daljnjoj obradi podataka kandidata
Informirati kandidata o obradi ako ga kontaktira izvan Portala
Osigurati zaštitu preuzetih podataka
Obrisati ili anonimizirati podatke nakon što svrha obrade prestane

6. Rokovi čuvanja podataka (retention)

Primjenjujemo načelo ograničenja pohrane iz članka 5. stavka 1. točke e GDPR-a: osobni podaci se čuvaju u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe u koje se osobni podaci obrađuju.

6.1. Prijave kandidata na oglase (registrirani i neregistrirani)

Rok čuvanja: Prijave na oglase i priloženi CV-evi čuvaju se do isteka oglasa + dodatnih [X] mjeseci (postavka u DS GDPR Toolkit – trenutno konfigurirano: [UNIJETI TRENUTNU VRIJEDNOST] mjeseci).

Automatska obrada (DS GDPR Toolkit):
Portal koristi DS GDPR Toolkit za automatsko upravljanje životnim vijekom prijava:

Sustav prati datum isteka svakog oglasa (zr_expire_ts)
Nakon isteka oglasa + definirani broj mjeseci, automatika (cron job) pronalazi sve prijave za taj oglas
Postupak brisanja/anonimizacije:
- Priloženi CV/životopis (datoteka) trajno se briše iz sustava
- Osobni podaci iz prijave (ime, prezime, e-mail, telefon, sadržaj motivacijskog pisma) brišu se ili se zamjenjuju anonimnim vrijednostima (npr. “Kandidat_anonimizirano_ID_12345”)
- Metapodaci prijave brišu se ili anonimiziraju
Zadržavaju se isključivo agregirani statistički podaci (npr. “oglas je imao 45 prijava”) bez mogućnosti identifikacije osobe

Iznimka: Ako kandidat ili poslodavac zatraži produženje roka (npr. radi aktivnog procesa zapošljavanja), rok se može produžiti za dodatnih 6 mjeseci, uz dokumentiranu privolu ili legitimni interes.

6.2. Registrirani korisnički računi (kandidati i poslodavci)

Rok čuvanja: Podaci profila i računa čuvaju se dok je korisnički račun aktivan.

Automatsko brisanje neaktivnih računa (DS GDPR Toolkit):
Portal koristi DS GDPR Toolkit za automatsko upravljanje neaktivnim računima:

Prag neaktivnosti: [X] mjeseci (trenutno konfigurirano: 12 mjeseci)
Warning email: Kada korisnik prijeđe prag neaktivnosti, sustav automatski šalje e-mail obavijest s upozorenjem o mogućem brisanju računa
Grace period: [Y] dana (trenutno konfigurirano: 30 dana) – korisnik ima mogućnost reaktivirati račun prijavom na Portal
Automatsko brisanje: Ako se korisnik ne prijavi tijekom grace perioda, sustav automatski kreira zahtjev za brisanje i obrađuje ga (briše račun i sve osobne podatke)

Napomena: Svaka prijava korisnika na Portal automatski resetira brojač neaktivnosti i poništava warning stanje.

Iznimka: Ova automatika ne primjenjuje se na podatke koje je potrebno zadržati radi:

Zakonskih obveza (npr. računovodstvena dokumentacija – vidjeti točku 6.3)
Utvrđivanja, ostvarivanja ili obrane pravnih zahtjeva (npr. sporovi, tužbe)

Napomena o brisanju registriranog korisnika: U trenutku brisanja korisničkog računa, brišu se i sve prijave kandidata povezane s tim računom.

6.3. Podaci poslodavaca – računi i transakcijski podaci (B2B)

Rok čuvanja: Podaci povezani s izdavanjem računa, plaćanjem i transakcijama čuvaju se 11 godina od kraja poslovne godine u kojoj je nastala obveza, sukladno:

Zakonu o porezu na dodanu vrijednost (članak 78.)
Zakonu o računovodstvu (članak 15.)

Ovi podaci čuvaju se u ograničenoj obradi i pristup im je dozvoljen samo ovlaštenim osobama radi ispunjavanja zakonskih obveza.

6.4. Kontakt upiti

Rok čuvanja: Kontakt poruke primljene putem kontakt obrasca čuvaju se onoliko dugo koliko je potrebno za rješavanje upita, a najdulje 12 mjeseci od datuma zaprimanja.

Iznimka: Ako je upit povezan s ugovornim odnosom, pritužbom ili pravnim zahtjevom, podatke možemo čuvati dulje, uz primjenu ograničene obrade.

6.5. Elementor form submissions (zapisi iz Elementor formi)

Rok čuvanja: Zapisi prikupljeni putem Elementor formi (kontakt obrasci, upitnici, druge forme) automatski se brišu nakon [X] mjeseci od datuma podnošenja (trenutno konfigurirano: 12 mjeseci).

Automatska obrada (DS GDPR Toolkit):
Portal koristi DS GDPR Toolkit za automatsko upravljanje Elementor submissions:

Sustav prati datum kreiranja svakog zapisa (created_at)
Automatika (cron job) jednom dnevno skenira sve zapise u tablicama wp_e_submissions i wp_e_submissions_values
Postupak brisanja:
- Zapisi stariji od konfiguriranog roka automatski se trajno brišu iz baze podataka
- Brisanje obuhvaća i glavnu tablicu (wp_e_submissions) i povezanu tablicu s vrijednostima (wp_e_submissions_values)
- Brišu se svi osobni podaci prikupljeni putem forme: e-mail adrese, imena, telefonski brojevi, sadržaj poruka
- Ne postoji mogućnost vraćanja izbrisanih zapisa

Napomena: Ako je potrebno dulje zadržavanje određenih podataka (npr. radi zakonske obveze ili aktivnog postupka), administrator mora izvesti podatke prije nego automatika pokrene brisanje.

6.6. Kolačići i podaci o korištenju

Rok čuvanja:

Nužni kolačići: do 12 mjeseci
Analitički kolačići (uz privolu): do 24 mjeseca
Marketinški kolačići (uz privolu): do 24 mjeseca ili do povlačenja privole
Sigurnosni logovi (IP adrese): do 12 mjeseci

Detalji o kolačićima dostupni su u Politici kolačića na [LINK].

7. Brisanje računa i ostvarivanje prava na zaborav

7.1. Registrirani korisnici

Registrirani korisnici mogu zatražiti brisanje ili anonimizaciju osobnih podataka na dva načina:

A) Automatski zahtjev putem forme (preporučeno)
Registrirani korisnici mogu podnijeti zahtjev za brisanje računa samostalno putem obrasca dostupnog na: https://zona-rada.hr/zahtjev-za-brisanje/

Postupak:

Korisnik otvara stranicu s formom (dostupna samo prijavljenim korisnicima)
Ispunjava formu (ime, prezime, email se automatski popunjava iz korisničkog profila)
Potvrđuje želju za trajnim brisanjem računa i svih povezanih osobnih podataka
Zahtjev se automatski kreira u DS GDPR Toolkit sustavu
Obrada se provodi automatski (dnevni cron job) ili ručno od strane administratora
Korisnik prima potvrdu o izvršenom brisanju (completion email, ako je uključeno u postavkama)

Napomena: Ovaj obrazac dostupan je samo prijavljenim korisnicima. Neregistrirani korisnici (gosti) zahtjev šalju putem emaila (vidjeti niže).

B) Email zahtjev
Alternativno, registrirani korisnici mogu poslati zahtjev e-mailom na: info@zona-rada.hr

Automatska obrada zahtjeva (DS GDPR Toolkit):
Svi zahtjevi za brisanje obrađuju se putem DS GDPR Toolkit sustava:

Automatska obrada: 1× dnevno (cron job)
Ručna obrada: Administrator može pokrenuti obradu odmah
Rok obrade: do 30 dana (u skladu s člankom 12. stavkom 3. GDPR-a)
Potvrda: Completion email nakon izvršenog brisanja (ako je uključeno u postavkama)
Revizijski trag: Evidencija u sustavu korištenjem SHA256 hash metode (bez pohrane emaila u čistom tekstu nakon obrade)

Nakon obrade zahtjeva:

Korisnički račun se briše ili anonimizira
Više nije moguće prijaviti se na Portal s tim računom
Sve prijave kandidata povezane s tim računom brišu se
Priloženi CV i dokumenti trajno se brišu s poslužitelja
Svi zapisi u Elementor formama povezani s email adresom korisnika brišu se
Šalje se e-mail potvrda o izvršenom brisanju

7.2. Neregistrirani korisnici (gosti)

Ako ste se na oglas prijavili kao gost (bez registracije), zahtjev za brisanje podataka potrebno je uputiti e-mailom na: info@zona-rada.hr

U zahtjevu navedite:

E-mail adresu koju ste koristili pri prijavi
Naziv oglasa ili ID oglasa (ako ga znate)
Približan datum prijave

Zahtjev se obrađuje putem DS GDPR Toolkit sustava u roku od 30 dana.

Administrator će:

Provjeriti identitet korisnika (zaštita od zlouporabe)
Ručno unijeti zahtjev u DS GDPR Toolkit (Erase request)
Pokrenuti obradu (automatski ili ručno)
Potvrditi izvršenje brisanja korisniku putem emaila

Obuhvat brisanja za neregistrirane korisnike:

Sve prijave na oglase povezane s email adresom
Priloženi CV i dokumenti
Svi zapisi u Elementor formama povezani s email adresom
Metapodaci prijava

7.3. Kako provodimo brisanje/anonimizaciju

Ovisno o okolnostima, Društvo može:

Obrisati korisnički račun (WordPress user) i sve povezane metapodatke
Obrisati priložene dokumente (CV datoteke, certifikati) s poslužitelja
Obrisati sve prijave povezane s tim računom (post tip “prijava”)
Obrisati sve Elementor form submissions povezane s email adresom korisnika (tablice wp_e_submissions i wp_e_submissions_values)
Anonimizirati povezane zapise tako da se osobni podaci zamijene anonimnim vrijednostima (npr. “Anonimni_korisnik_12345”) – u mjeri u kojoj je to potrebno radi očuvanja integriteta sustava ili statističkih podataka
Zadržati određene podatke samo ako postoji zakonska obveza (npr. računovodstveni podaci) ili opravdani pravni interes (npr. obrana od tužbi), uz primjenu ograničene obrade

Vlasništvo sadržaja (reassignment):
Kada se briše registrirani korisnik koji je kreirao sadržaj na Portalu (npr. oglase, objave), vlasništvo tog sadržaja automatski se preusmjerava na zamjenski račun (Private User). Time se:

Zadržava integritet sustava (poveznice, struktura)
Sprječava gubitak javno relevantnog sadržaja
Poštuje pravo na brisanje osobnih podataka korisnika

Napomena: Vlasništvo se preusmjerava samo za sadržaj koji je već javno objavljen. Osobni podaci korisnika (ime, email, profil) se u potpunosti brišu.

8. Kome se podaci mogu otkriti (primatelji)

Vaši osobni podaci mogu biti dostupni sljedećim kategorijama primatelja:

8.1. Poslodavci (samo za prijave)

Poslodavac koji je objavio oglas ima pristup prijavama kandidata isključivo za taj oglas
Pristup je ograničen na korisničko sučelje Portala (dashboard)
Poslodavac postaje samostalni voditelj obrade nakon preuzimanja prijave

8.2. Izvršitelji obrade (processors)

Društvo koristi usluge trećih strana (izvršitelja obrade) koji obrađuju osobne podatke u naše ime:

Kategorija usluge	Pružatelj usluge	Svrha
Hosting	[NAZIV HOSTING PRUŽATELJA]	Pohranjivanje podataka i hostiranje Portala
E-mail usluge	[NAZIV EMAIL PRUŽATELJA]	Slanje transakcijskih e-mailova
Analitika	Google Analytics (uz IP anonimizaciju)	Analiza korištenja Portala (uz privolu)
Sigurnost	Google reCAPTCHA	Zaštita od DDoS napada i botova

Table 1: Pregled izvršitelja obrade

S izvršiteljima obrade sklapa se Ugovor o obradi podataka (Data Processing Agreement – DPA) u skladu s člankom 28. GDPR-a, koji osigurava:

Obradu podataka samo prema našim uputama
Povjerljivost i sigurnost podataka
Implementaciju odgovarajućih tehničkih i organizacijskih mjera
Obvezu izvršitelja da nas obavijesti o povredi podataka

8.3. Nadležna tijela

Osobne podatke možemo otkriti nadležnim tijelima kada je to potrebno radi:

Poštovanja zakonske obveze (npr. nadzor Porezne uprave, AZOP-a)
Zaštite vitalnih interesa osobe
Utvrđivanja, ostvarivanja ili obrane pravnih zahtjeva (npr. sudski postupci)

9. Prijenos podataka izvan Europskog gospodarskog prostora (EEA)

9.1. Lokacija obrade

Portal je hostiran na poslužiteljima koji se nalaze u: [NAVESTI LOKACIJU – npr. EU, ili specifična država]

9.2. Prijenosi izvan EEA-a

Neki pružatelji usluga koje koristimo (npr. Google Analytics, Google Workspace, hosting pružatelji) mogu obrađivati podatke i izvan Europskog gospodarskog prostora.

U takvim slučajevima, prijenosi se provode u skladu s Poglavljem V GDPR-a, korištenjem jednog od sljedećih mehanizama zaštite:

Standardne ugovorne klauzule (SCC) odobrene od Europske komisije prema članku 46. stavku 2. točki c GDPR-a
Odluka Europske komisije o adekvatnosti zaštite u određenoj državi (članak 45. GDPR-a)
Certifikacijski mehanizmi (npr. EU-US Data Privacy Framework, ako je primjenjivo)

9.3. Dodatne mjere zaštite

Osim navedenih pravnih mehanizama, primjenjujemo dodatne tehničke mjere:

Enkripcija podataka u prijenosu (TLS/SSL) i u mirovanju (encryption at rest)
Pseudonimizacija i minimizacija podataka gdje je moguće
Ograničavanje pristupa podacima samo na ovlaštene osobe

9.4. Pravo na informaciju

Imate pravo zatražiti više informacija o konkretnim prijenosima podataka izvan EEA-a. Za takve upite obratite se na: info@zona-rada.hr

10. Kolačići, analitika i marketing

10.1. Vrste kolačića

Portal koristi kolačiće i slične tehnologije za praćenje (npr. web beacons, piksel tagove). Detaljne informacije dostupne su u Politici kolačića na: [LINK]

Sažetak:

Nužni kolačići – omogućuju osnovnu funkcionalnost Portala (prijava, sesije, sigurnost). Pravna osnova: legitimni interes (članak 6. stavak 1. točka f GDPR-a).
Analitički kolačići – prikupljaju anonimne ili pseudonimizirane podatke o korištenju Portala (npr. Google Analytics). Pravna osnova: privola (članak 6. stavak 1. točka a GDPR-a).
Marketinški kolačići – omogućuju personalizirano oglašavanje (npr. Facebook Pixel, Google Ads). Pravna osnova: privola (članak 6. stavak 1. točka a GDPR-a).

10.2. Upravljanje kolačićima

Prilikom prvog posjeta Portalu prikazuje se cookie banner s opcijama:

Prihvati sve kolačiće
Odbij neobavezne kolačiće
Prilagodi postavke (granularni odabir)

Postavke kolačića možete promijeniti u bilo kojem trenutku putem [LINK NA POSTAVKE KOLAČIĆA].

10.3. Google Analytics

Portal koristi Google Analytics za analizu ponašanja korisnika. Primijenjene su sljedeće mjere zaštite privatnosti:

IP anonimizacija (anonymizeIP) – zadnjih 8 bitova IP adrese se anonimizira
Isključeno dijeljenje podataka s drugim Google uslugama
Onemogućena personalizacija oglasa
Sklopljen Ugovor o obradi podataka (DPA) s Googleom

Više informacija: https://policies.google.com/privacy

10.4. Zaštita od zlouporabe (reCAPTCHA)

Portal može koristiti Google reCAPTCHA za zaštitu od automatiziranih prijava (botova). reCAPTCHA prikuplja tehničke podatke (IP adresa, kolačići, aktivnost preglednika) kako bi razlikovao ljudske korisnike od botova.

Pravna osnova: legitimni interes (zaštita sustava) – članak 6. stavak 1. točka f GDPR-a.

Više informacija: https://policies.google.com/privacy

11. Sigurnost podataka

11.1. Tehničke mjere zaštite

Društvo primjenjuje odgovarajuće tehničke i organizacijske mjere u skladu s člankom 32. GDPR-a, uključujući:

Enkripcija u prijenosu – sva komunikacija između korisnika i Portala odvija se putem HTTPS-a (TLS 1.2 ili novije verzije)
Enkripcija u mirovanju – osjetljivi podaci (lozinke, osobni podaci) pohranjuju se enkriptirani
Kontrola pristupa – pristup bazi podataka i prijavama ograničen je na ovlaštene osobe, s individualnim korisničkim računima i jakim lozinkama
Hashiranje lozinki – korisničke lozinke pohranjuju se u hashiranom obliku (bcrypt ili jači algoritam)
Sigurnosne kopije – redovito se izrađuju sigurnosne kopije (backup) podataka s kontroliranim pristupom
Zaštita od napada – implementirani su firewall, zaštita od DDoS napada, rate limiting, zaštita od SQL injection napada
Redovita ažuriranja – sustav, pluginovi i sigurnosni zakrpi redovito se ažuriraju

11.2. Organizacijske mjere zaštite

Interna pravila o pristupu podacima i povjerljivosti
Obuka zaposlenika o zaštiti osobnih podataka
Protokol postupanja u slučaju povrede osobnih podataka (data breach)
Redovite sigurnosne provjere i testiranja

11.3. Revizijski trag (Audit trail)

Sustav DS GDPR Toolkit vodi evidenciju svih zahtjeva za brisanje i izvoz podataka. Kako bi zaštitio privatnost i nakon obrade zahtjeva, sustav:

Ne pohranjuje email adrese u čistom tekstu nakon obrade
Koristi SHA256 hash za identifikaciju zapisa
Omogućuje provjeru povijesti preko Audit History funkcionalnosti
Čuva metapodatke: status, datum obrade, izvor zahtjeva (manual/auto)

Ako ispitanik zatraži potvrdu o izvršenom brisanju, administrator može upisati email adresu u Audit History i potvrditi provedene radnje – bez da u sustavu ostaje email u čistom tekstu.

11.4. Ograničenja sigurnosti

Unatoč poduzetim mjerama, nijedan sustav nije apsolutno siguran. Prijenos podataka putem interneta i elektronička pohrana nose određeni rizik. Društvo ne može jamčiti potpunu sigurnost podataka, ali kontinuirano radi na poboljšanjima sigurnosnih mjera.

11.5. Odgovornost korisnika

Korisnici su odgovorni za:

Čuvanje povjerljivosti svojih lozinki
Korištenje jakih lozinki (minimalno 8 znakova, kombinacija slova, brojeva i simbola)
Odmah obavještavanje Društva u slučaju neovlaštenog pristupa računu
Korištenje službenih kanala komunikacije (ne dijeliti osobne podatke putem nesigurnih kanala)

12. Vaša prava prema GDPR-u

U skladu s GDPR-om, imate sljedeća prava:

12.1. Pravo na pristup (članak 15. GDPR-a)

Imate pravo dobiti potvrdu obrađujemo li vaše osobne podatke te, ako ih obrađujemo, pristup tim podacima i informacijama o obradi.

Kako ostvariti: Pošaljite zahtjev na info@zona-rada.hr s navedenom email adresom i opcionalno ID-om računa.

12.2. Pravo na ispravak (članak 16. GDPR-a)

Imate pravo zahtijevati ispravak netočnih osobnih podataka ili dopunu nepotpunih podataka.

Kako ostvariti:

Registrirani korisnici mogu samostalno ispraviti podatke u svom profilu (My Account)
Za ostale ispravke kontaktirajte nas na info@zona-rada.hr

Neregistrirani korisnici (gosti) koji žele ispraviti netočne podatke iz prijave (npr. pogrešno ime ili email) trebaju uputiti zahtjev na info@zona-rada.hr s navedenim točnim podacima i email adresom korištenom pri prijavi. Administrator će provesti ispravak u roku od 30 dana.

12.3. Pravo na brisanje (“pravo na zaborav”) (članak 17. GDPR-a)

Imate pravo zahtijevati brisanje svojih osobnih podataka u određenim okolnostima (npr. ako podaci više nisu potrebni u svrhe u koje su prikupljeni, ako povučete privolu, ako ste podnijeli prigovor na obradu).

Kako ostvariti: Vidjeti točku 7 ove Politike privatnosti (Brisanje računa i ostvarivanje prava na zaborav).

Ograničenja: Možemo odbiti zahtjev ako postoji zakonska obveza zadržavanja podataka (npr. računovodstveni podaci) ili pravni interes (npr. obrana od tužbi).

12.4. Pravo na ograničenje obrade (članak 18. GDPR-a)

Imate pravo zahtijevati ograničenje obrade u određenim situacijama (npr. dok se provjerava točnost podataka, dok se procjenjuje legitimnost obrade).

Kako ostvariti: Pošaljite zahtjev na info@zona-rada.hr s detaljnim objašnjenjem razloga.

Nakon primitka zahtjeva, administrator će ručno osigurati da vaši podaci ne budu predmet daljnje automatske obrade dok se zahtjev razmatra. O ishodu i poduzetim radnjama bit ćete obaviješteni u roku od 30 dana.

12.5. Pravo na prenosivost podataka (članak 20. GDPR-a)

Imate pravo primiti osobne podatke koje ste nam pružili u strukturiranom, uobičajeno korištenom i strojno čitljivom formatu te pravo prenijeti te podatke drugom voditelju obrade.

Kako ostvariti:

Kliknite na “Data export” u DS GDPR Toolkit sučelju (za administratore)
Ili pošaljite zahtjev na info@zona-rada.hr – dobit ćete ZIP paket s JSON zapisom i pripadajućim datotekama

Napomena: Pravo na prenosivost primjenjuje se samo na podatke obrađivane automatiziranim sredstvima na temelju privole ili ugovora.

12.6. Pravo na prigovor (članak 21. GDPR-a)

Imate pravo prigovoriti obradi osobnih podataka koja se temelji na legitimnom interesu (članak 6. stavak 1. točka f GDPR-a).

Kako ostvariti: Pošaljite prigovor na info@zona-rada.hr s obrazloženjem razloga vezanih uz vašu posebnu situaciju.

Napomena: Prestajemo obrađivati podatke osim ako možemo dokazati nužne legitimne razloge za obradu koji su jači od vaših interesa, prava i sloboda ili razloge za utvrđivanje, ostvarivanje ili obranu pravnih zahtjeva.

12.7. Pravo na povlačenje privole (članak 7. stavak 3. GDPR-a)

Ako se obrada temelji na privoli, imate pravo povući privolu u bilo kojem trenutku. Povlačenje ne utječe na zakonitost obrade prije povlačenja.

Kako ostvariti:

Za kolačiće: kliknite na [LINK NA POSTAVKE KOLAČIĆA]
Za marketing: kliknite “unsubscribe” u primljenom emailu
Za ostale privole: info@zona-rada.hr

12.8. Pravo na podnošenje pritužbe nadzornom tijelu (članak 77. GDPR-a)

Imate pravo podnijeti pritužbu nadzornom tijelu, posebno u državi članici vašeg uobičajenog boravišta, mjesta rada ili mjesta navodne povrede ako smatrate da obrada krši GDPR.

Nadzorno tijelo u Hrvatskoj:
Agencija za zaštitu osobnih podataka (AZOP)

Adresa: Selska cesta 136, 10000 Zagreb
Telefon: +385 1 4609 000
E-mail: azop@azop.hr
Web: https://azop.hr

Napomena: Preporučujemo da nas prvo kontaktirate na info@zona-rada.hr kako bismo pokušali riješiti problem prije podnošenja pritužbe.

13. Rokovi za odgovor na zahtjeve

Društvo će odgovoriti na vaš zahtjev bez nepotrebnog odgađanja, a najkasnije u roku od jednog mjeseca od primitka zahtjeva (članak 12. stavak 3. GDPR-a).

Produljenje roka: Ako je zahtjev složen ili je pristigao veći broj zahtjeva, rok se može produžiti za dodatna dva mjeseca. O takvom produljenju bit ćete obaviješteni u roku od mjesec dana od primitka zahtjeva, uz objašnjenje razloga odgode.

Potvrda identiteta: U slučaju sumnje u identitet podnositelja zahtjeva, možemo zatražiti dodatne informacije potrebne za potvrdu identiteta (članak 12. stavak 6. GDPR-a).

14. Tehnička implementacija GDPR usklađenosti

Portal koristi DS GDPR Toolkit – WordPress plugin razvijen za zona-rada.hr koji automatizira:

✅ Automatsko brisanje prijava nakon isteka oglasa + konfigurirani broj mjeseci (Applications retention)
✅ Automatsko upozorenje i brisanje neaktivnih računa (Registered inactivity) s konfigurabilnim pragom i grace periodom
✅ Automatsko brisanje Elementor form submissions nakon konfiguriranog broja mjeseci (Elementor submissions retention)
✅ Revizijski trag svih zahtjeva (SHA256 hash zaštita) – bez pohrane emaila u čistom tekstu nakon obrade
✅ Automatsku obradu zahtjeva za brisanje i izvoz podataka (cron job + ručna obrada)
✅ Izvoz podataka s Elementor submissions – svi zapisi iz formi povezani s email adresom uključeni su u data export (JSON + ZIP)
✅ Brisanje Elementor submissions pri erase requestu – svi zapisi iz formi povezani s email adresom automatski se brišu pri obradi zahtjeva za brisanje
✅ Completion email obavijesti nakon obrade zahtjeva (opcionalno)
✅ Audit history funkcionalnost za dokazivanje usklađenosti i provjeru provedenih radnji
✅ Automatsku anonimizaciju osobnih podataka uz očuvanje integriteta sustava

Plugin je razvijen u skladu s člankom 25. GDPR-a (privacy by design i privacy by default).

Tehnički detalji obrade Elementor submissions:

Prilikom brisanja: Sustav pronalazi sve zapise u tablicama wp_e_submissions i wp_e_submissions_values povezane s email adresom korisnika i trajno ih briše
Prilikom izvoza: Sustav uključuje sve Elementor submissions u JSON izvoz zajedno s ostalim osobnim podacima korisnika
Automatsko brisanje: Cron job jednom dnevno skenira sve Elementor submissions i briše zapise starije od konfiguriranog broja mjeseci

15. Promjene ove politike

Društvo zadržava pravo izmjene ove Politike privatnosti kako bi odražavala:

Promjene u poslovanju i funkcionalnostima Portala
Promjene pravnih propisa
Preporuke nadzornih tijela
Poboljšanja zaštite privatnosti

15.1. Postupak izmjene

U slučaju značajnih izmjena (npr. promjena svrha obrade, novih kategorija primatelja, prijenosa podataka izvan EEA-a):

Nova verzija politike bit će objavljena na Portalu s naznačenim datumom objave i brojem verzije
Korisnici će biti obaviješteni e-mailom o izmjenama (gdje je to tehnički moguće)
Korisnici će imati mogućnost pregleda izmjena prije nego što nastave koristiti Portal
Ako se obrada temelji na privoli, zatražit će se ponovna privola za nove svrhe

15.2. Verzioniranje

Trenutna verzija: 3.2
Datum objave: 25/03/2026
Prethodne verzije: Arhivirane su prethodne verzije politike i dostupne su na zahtjev putem info@zona-rada.hr

Ključne izmjene u verziji 3.2:

Dodana obrada Elementor form submissions (točka 3.5)
Dodani rokovi čuvanja Elementor submissions (točka 6.5)
Ažurirani postupci brisanja – uključuju Elementor submissions (točka 7)
Ažurirana tehnička implementacija – Elementor submissions retention (točka 14)
Uklonjena kontakt osoba poslodavca iz prikupljanih podataka (točka 3.4)
Ažurirani kontaktni podaci NOX COMPANY d.o.o. (OIB, telefon) (točka 1)

15.3. Važeća politika

Uvijek je važeća ona verzija Politike privatnosti koja je objavljena na Portalu na adresi: https://zona-rada.hr/politika-privatnosti/

Nastavkom korištenja Portala nakon objave izmjena smatra se da prihvaćate izmijenjenu Politiku privatnosti, osim ako se radi o izmjenama koje zahtijevaju izričitu privolu – u tom slučaju privola će biti zatražena posebno.

16. Kontakt i dodatne informacije

Za sva pitanja, zahtjeve ili pritužbe vezane uz zaštitu osobnih podataka, možete nas kontaktirati:

E-mail: info@zona-rada.hr
Pošta:
NOX COMPANY d.o.o.
Dragutina Lobe 56
35400 Nova Gradiška
Hrvatska

Predmet: “Zaštita osobnih podataka – GDPR”

Obavijest o odgovoru: Odgovorit ćemo u roku od 30 dana od primitka zahtjeva.

Prilog 1: Pregled pravnih osnova po aktivnostima (sažetak)

Aktivnost/Svrha	Pravna osnova	GDPR referenca
Registracija i upravljanje računima	Izvršavanje ugovora	Članak 6(1)(b)
Prijava na oglase	Izvršavanje ugovora	Članak 6(1)(b)
Komunikacija s korisnicima	Izvršavanje ugovora	Članak 6(1)(b)
Kontakt obrasci i Elementor forme	Izvršavanje ugovora	Članak 6(1)(b)
Analitički kolačići	Privola	Članak 6(1)(a)
Marketinški kolačići	Privola	Članak 6(1)(a)
Sigurnost sustava i zaštita od zlouporaba	Legitimni interes	Članak 6(1)(f)
Evidencija sigurnosnih logova	Legitimni interes	Članak 6(1)(f)
Računovodstvo i fakturiranje	Pravna obveza	Članak 6(1)(c)
Postupanje po nadzorima nadležnih tijela	Pravna obveza	Članak 6(1)(c)

Table 2: Pregled pravnih osnova za različite aktivnosti obrade

Prilog 2: Rokovi čuvanja (sažetak)

Kategorija podataka	Rok čuvanja
Prijave na oglase (CV, prijave)	Do isteka oglasa + [X] mjeseci (DS GDPR Toolkit)
Registrirani korisnički računi	Dok je račun aktivan (automatsko brisanje nakon [Y] mjeseci neaktivnosti + [Z] dana grace period)
Računovodstveni podaci (računi, transakcije)	11 godina od kraja poslovne godine
Kontakt upiti	Do rješenja upita, najdulje 12 mjeseci
Elementor form submissions	[X] mjeseci od datuma podnošenja (automatsko brisanje)
Nužni kolačići	Do 12 mjeseci
Analitički/marketinški kolačići	Do 24 mjeseca ili do povlačenja privole
Sigurnosni logovi	Do 12 mjeseci

Table 3: Rokovi čuvanja osobnih podataka po kategorijama

Verzija: 3.2
Datum objave: 25/03/2026
Sljedeća revizija planirana za: 25/03/2027