Politika privatnosti

Rukovalac podacima u smislu člana 4 tačka 7 GDPR-a je [COMPANY_NAME], [COMPANY_ADDRESS], e-mail: [COMPANY_EMAIL], telefon: 015310236082. Zakonski zastupnik: [LEGAL_REPRESENTATIVE]. Za pitanja vezana za privatnost koristi se adresa [PRIVACY_CONTACT_EMAIL].

Ova politika privatnosti odnosi se isključivo na funkcionalnosti koje su stvarno identifikovane u projektu: kontakt forma, zaštićeni admin login, Supabase baza i storage, kao i Google Apps Script / Google Sheets za obradu upita. U aktuelnom kodu nisu pronađeni newsletter, javni korisnički nalozi, Firebase Authentication, Firestore, Google Analytics, Google Ads, Meta Pixel, Google Maps, social login ili drugi marketinški alati.

U repozitorijumu nije eksplicitno definisan konačni produkcioni hosting provajder. Pre puštanja sajta u rad potrebno je dopuniti: [HOSTING_PROVIDER], lokacija servera: [HOSTING_LOCATION], informacije o ugovoru o obradi podataka: [HOSTING_DPA_INFO].

Prilikom isporuke stranica hosting provajder tehnički obrađuje IP adresu, datum i vreme pristupa, traženi URL, referrer, informacije o pregledaču, uređaju i statusu odgovora. Svrha je isporuka sadržaja, stabilnost sistema i bezbednost infrastrukture. Rok čuvanja host logova nije vidljiv iz samog projekta i treba ga dopuniti kao [HOSTING_LOG_RETENTION]. Pravni osnov je član 6 stav 1 tačka f GDPR-a.

Projekat dodatno koristi Supabase kao tehničku infrastrukturu za bazu podataka i javni storage slika. U toj infrastrukturi čuvaju se podaci o državama, nekretninama i njihovim slikama. U zaštićenom admin delu moguće je otpremanje slika za države i nekretnine; ta funkcionalnost je namenjena uredničkom sadržaju, ne javnom uploadu korisnika.

Kada posetilac otvori stranicu sa slikama koje se isporučuju iz javnog Supabase Storage-a, Supabase odnosno CDN prima tehničke podatke neophodne za isporuku fajla, uključujući IP adresu i informacije o konekciji. Podaci o sadržaju u Supabase-u ostaju sačuvani dok ih administrator ne izmeni ili ne obriše; u kodu nije pronađen automatski mehanizam brisanja. Pravni osnov za ovu obradu je član 6 stav 1 tačka f GDPR-a.

Standardni server logovi nastaju kod hosting provajdera u okviru tehničkog rada sajta. U tim logovima se po pravilu nalaze IP adresa, vreme pristupa, traženi resurs, status odgovora, količina prenetih podataka, referrer i user-agent.

Dodatno, zaštićeni admin login deo čita zaglavlja `x-forwarded-for`, `x-real-ip` ili `cf-connecting-ip`, kao i skraćeni `user-agent`, kako bi se ograničio broj neuspešnih pokušaja prijave. Ti podaci se ne upisuju u bazu, već se privremeno drže u memoriji servera radi zaštite od zloupotrebe.

Svrha obrade je zaštita admin dela, sprečavanje brute-force pokušaja i bezbedan rad sistema. Rok čuvanja host logova zavisi od hostinga i treba ga dopuniti kao [HOSTING_LOG_RETENTION]. Privremeni podaci za rate limit imaju vremenski prozor od 15 minuta, blokadu do 15 minuta i brišu se po uspešnoj prijavi ili restartu procesa. Pravni osnov je član 6 stav 1 tačka f GDPR-a.

Kontakt forma prikuplja sledeće podatke: ime i prezime, e-mail adresu, telefon, sadržaj poruke, `source` (da li je upit sa kontakt stranice ili detalja nekretnine), `propertyId`, `propertyTitle`, `propertyLocation`, `locale`, `pageUrl`, `submittedAt` i skriveno anti-spam polje `botField`.

Svrha obrade je odgovaranje na upit, povezivanje poruke sa konkretnom nekretninom ili stranicom, organizacija dalje komunikacije i osnovna anti-spam zaštita. U aktuelnom kodu nije pronađen poseban servis za slanje e-mailova; upiti se tehnički prosleđuju u Google Apps Script i čuvaju u Google Sheets tabeli.

Podaci iz kontakt forme dele se sa Google servisima navedenim u odeljku 7 i sa internim osobama koje obrađuju upite. U kodu nije pronađeno automatsko brisanje tih zapisa, pa internu organizacionu politiku čuvanja treba dopuniti kao [CONTACT_RETENTION_PERIOD]. Pravni osnov je, u zavisnosti od sadržaja upita, član 6 stav 1 tačka b GDPR-a (predugovorne radnje) i/ili član 6 stav 1 tačka f GDPR-a (efikasna poslovna komunikacija i zaštita od zloupotrebe).

U aktuelnom kodu identifikovan je samo tehnički neophodan kolačić `nk_admin_session`. On se postavlja isključivo za zaštićeni admin deo, ima `httpOnly`, `sameSite=lax`, putanju `/`, u produkciji se postavlja sa `secure`, a maksimalno trajanje mu je 12 sati.

Svrha ovog kolačića je održavanje admin sesije nakon uspešne prijave. Prilikom prijave u admin deo uneta lozinka se server-side obrađuje isključivo radi provere i ne upisuje se u bazu podataka. Javna registracija korisnika i korisnički login za posetioce nisu pronađeni u projektu; postoji samo interni admin pristup za upravljanje sadržajem.

U kodu nisu pronađeni marketing kolačići, consent alat za oglašavanje, niti upotreba `localStorage` ili `sessionStorage` za profilisanje korisnika. Pravni osnov za tehnički neophodan admin kolačić je član 6 stav 1 tačka f GDPR-a, a u meri u kojoj je potrebno lokalno čuvanje radi pružanja tražene funkcionalnosti i § 25 stav 2 tačka 2 TDDDG.

U trenutnoj implementaciji nisu identifikovani Google Analytics, Google Ads conversion tracking, Google Tag Manager, Meta Pixel, heatmap alati, newsletter tracking, A/B testing alati niti drugi marketinški ili statistički servisi koji kreiraju korisničke profile.

Zbog toga se prema stanju koda ne vrši ponašajno praćenje posetilaca u marketinške ili analitičke svrhe. Ako se takvi alati naknadno uvedu, ova stranica mora biti dopunjena pre njihovog puštanja u rad, zajedno sa odgovarajućim mehanizmom saglasnosti kada je on pravno potreban.

Kontakt forma šalje podatke na Google Apps Script Web App endpoint, a zatim se oni upisuju u povezanu Google Sheets tabelu. Obrađuju se podaci navedeni u odeljku 4. Svrha je tehnički prijem i strukturisano evidentiranje upita. Primaoci su Google Ireland Limited i/ili Google LLC, u meri u kojoj se ti servisi koriste kao obrađivači ili pružaoci infrastrukture. Rok čuvanja u samom kodu nije ograničen automatskim brisanjem i treba ga dopuniti kao [CONTACT_RETENTION_PERIOD]. Pravni osnov je član 6 stav 1 tačka b i/ili tačka f GDPR-a.

Projekat koristi i `next/font/google` za tipografiju. Prema aktuelnoj implementaciji fontovi se integrišu kroz Next.js build proces, pa zaseban frontend kod za direktno pozivanje Google Fonts servisa od strane pregledača nije pronađen. Ipak, ovu pretpostavku treba tehnički potvrditi i na produkcionom deployment-u.

U aktuelnom kodu nisu identifikovani Google Maps, Google Analytics, Google Ads, reCAPTCHA niti drugi Google servisi osim onih ovde navedenih.

U aktuelnom projektu nisu identifikovani ugrađeni social media plug-inovi, social login, Meta Pixel, Facebook Login, LinkedIn Insight Tag, Instagram widgeti, YouTube embed kod sa praćenjem niti slične integracije koje bi automatski slale podatke mrežama trećih strana.

Ako se social media integracije kasnije dodaju, ovu politiku privatnosti i eventualni mehanizam saglasnosti treba ažurirati pre aktiviranja tih funkcionalnosti.

Podaci iz kontakt forme završavaju u povezanoj Google Sheets tabeli. Kod ne sadrži automatsko brisanje takvih zapisa; rok čuvanja zato organizaciono treba definisati kao [CONTACT_RETENTION_PERIOD].

Admin sesioni kolačić `nk_admin_session` ima maksimalno trajanje od 12 sati. Privremeni podaci za zaštitu od previše neuspešnih prijava drže se u memoriji servera unutar prozora od 15 minuta i blokade do 15 minuta, odnosno do uspešne prijave ili restartovanja procesa.

Podaci o državama, nekretninama i slikama u Supabase bazi i storage-u ostaju sačuvani dok ih administrator ne izmeni ili ne obriše. U kodu nije pronađen automatski rok isteka za te podatke. Server logovi se čuvaju prema pravilima hostinga i taj rok treba dopuniti kao [HOSTING_LOG_RETENTION].

Ako su ispunjeni zakonski uslovi, imate pravo na pristup svojim podacima, pravo na ispravku, pravo na brisanje, pravo na ograničenje obrade, pravo na prenosivost podataka, kao i pravo na prigovor na obradu ličnih podataka.

Zahteve možete poslati na [PRIVACY_CONTACT_EMAIL] ili [COMPANY_EMAIL]. Radi obrade zahteva možemo tražiti dodatne informacije kako bismo proverili identitet podnosioca zahteva.

Ako se obrada u konkretnom slučaju zasniva na saglasnosti, tu saglasnost možete povući u bilo kom trenutku sa dejstvom za ubuduće. Povlačenje ne utiče na zakonitost obrade izvršene pre povlačenja.

Prema aktuelnom kodu nisu identifikovane opcione tracking ili marketinške funkcionalnosti zasnovane na saglasnosti. Ako se one kasnije uvedu, ova sekcija mora ostati usklađena sa stvarnim stanjem implementacije.

Imate pravo da podnesete pritužbu nadležnom nadzornom organu za zaštitu podataka ako smatrate da obrada vaših ličnih podataka nije u skladu sa GDPR-om. Nadležni organ je naročito onaj u mestu vašeg uobičajenog boravišta, mesta rada ili mesta navodne povrede.

Ova politika privatnosti se ažurira kada se promeni funkcionalnost sajta, uvedu novi pružaoci usluga ili se promene zakonski zahtevi. Merodavna je verzija objavljena na sajtu u trenutku vaše posete.