1. Kdo smo

Klink je platforma za digitalne kartice zvestobe, ki jo upravlja posameznik s sedežem v Sloveniji, Evropski uniji. Za namene GDPR je klink upravljavec podatkov za osebne podatke poslovnih uporabnikov (trgovcev) in lahko nastopa kot obdelovalec podatkov za podatke končnih strank, ki jih trgovci zbirajo prek naše platforme.

Kontakt: privacy@klink.si — Slovenija, EU

2. Podatki, ki jih zbiramo

3. Kako podatke uporabljamo

• Zagotavljanje, vzdrževanje in izboljševanje platforme klink
• Delovanje programov zvestobe — sledenje žigom, nagradam in unovčitvam
• Pošiljanje push obvestil (ročne kampanje, samodejni sprožilci, geofence) po navodilih posla, ki uporablja platformo
• Ustvarjanje digitalnih kartic (Apple Wallet, Google Wallet)
• Obračun naročnin prek Paddla
• Pošiljanje servisnih sporočil (opozorila o računu, varnostna obvestila)
• Izpolnjevanje zakonskih obveznosti

Osebnih podatkov ne uporabljamo za oglaševanje, jih ne prodajamo tretjim osebam in jih ne uporabljamo za namene, ki niso navedeni zgoraj.

4. Pravna podlaga za obdelavo (GDPR)

• Pogodba (čl. 6(1)(b)): obdelava, potrebna za zagotavljanje storitve po naših pogojih uporabe
• Zakoniti interes (čl. 6(1)(f)): varnost storitve, preprečevanje zlorab, izboljšave platforme
• Privolitev (čl. 6(1)(a)): push obvestila in lokacijske funkcije — privolitev se zahteva v aplikaciji pred aktivacijo
• Zakonska obveznost (čl. 6(1)(c)): skladnost z evropsko in slovensko zakonodajo

Rojstni dan: vedno neobvezen in zbran le z izrecno privolitvijo ob vnosu. Uporablja se izključno za rojstnodnevna obvestila o nagradah.

5. Deljenje podatkov in podobdelovalci

Podatke delimo samo z naslednjimi skrbno izbranimi podobdelovalci, ki so skladni z GDPR:

• Google Firebase (Google LLC, regije EU) — podatkovna baza, avtentikacija, push obvestila, shramba datotek
• Paddle (Paddle.com Market Limited) — obračun naročnin, izdaja računov, DDV. Nastopa kot Merchant of Record.
• Apple Inc. — Apple Push Notification Service (APNs) za obvestila na iOS in dostavo Apple Wallet kartic
• Google LLC — Firebase Cloud Messaging (FCM) za obvestila na Androidu in dostavo Google Wallet kartic

Z nikomer drugim podatkov ne delimo, razen če to zahteva zakon ali sodna odredba.

6. Hramba podatkov

• Aktivni računi: podatki se hranijo ves čas obstoja računa
• Izbrisani računi: podatki trajno izbrisani v 30 dneh po izbrisu računa
• Dnevniki transakcij: hranjeni 7 let zaradi slovenske računovodske zakonodaje
• Žetoni za obvestila: osveženi ob vsakem zagonu aplikacije; zastareli samodejno odstranjeni
• Lokacijski podatki: niso shranjeni na strežniku — obdelujejo se samo na napravi za geofence sprožilce

7. Varnost

• Varnostna pravila Firebase Firestore s strogo izolacijo podatkov med posli (najemniki)
• Firebase Authentication za ves uporabniški dostop
• HMAC-SHA256 podpisane QR kode s 5-minutno veljavnostjo
• Vsi podatki šifrirani med prenosom (TLS) in v mirovanju
• Klink nikoli ne obdeluje in ne shranjuje podatkov o plačilnih karticah

V primeru kršitve varstva osebnih podatkov bomo prizadete osebe in pristojni nadzorni organ (Informacijski pooblaščenec RS) obvestili v skladu s členom 33 GDPR.

8. Vaše pravice po GDPR

• Pravica do dostopa — zahtevajte kopijo vseh osebnih podatkov, ki jih hranimo o vas
• Pravica do popravka — zahtevajte popravo netočnih ali nepopolnih podatkov
• Pravica do izbrisa — zahtevajte izbris svojih osebnih podatkov ("pravica do pozabe")
• Pravica do prenosljivosti — prejmite svoje podatke v strukturirani, strojno berljivi obliki
• Pravica do ugovora — ugovarjajte obdelavi na podlagi zakonitih interesov
• Pravica do preklica privolitve — privolitev za obvestila ali lokacijo lahko kadar koli prekličete v aplikaciji

Za uveljavljanje pravic nam pišite na privacy@klink.si. Odgovorimo v 30 dneh. Pritožbo lahko vložite tudi pri Informacijskem pooblaščencu RS (ip-rs.si).

9. Piškotki

Spletna nadzorna plošča klink uporablja samo piškotke, nujne za prijavo (sejni žetoni Firebase Auth) in shranjevanje nastavitev. Oglaševalskih ali sledilnih piškotkov tretjih oseb ne uporabljamo. Mobilne aplikacije klink piškotkov ne uporabljajo. Analitika, kjer obstaja, uporablja izključno anonimizirane, združene podatke.

10. Otroci

Klink ni namenjen otrokom, mlajšim od 16 let, in od njih zavestno ne zbiramo osebnih podatkov. Če menite, da nam je otrok, mlajši od 16 let, posredoval osebne podatke, nas takoj kontaktirajte na privacy@klink.si in podatke bomo nemudoma izbrisali.

11. Spremembe te politike

To politiko lahko občasno posodobimo. O bistvenih spremembah registrirane poslovne uporabnike obvestimo po e-pošti vsaj 14 dni pred začetkom veljavnosti. Datum "Zadnja posodobitev" na vrhu strani vedno odraža najnovejšo različico.

12. Kontakt in pogodba o obdelavi podatkov (DPA)

Za vprašanja o zasebnosti, zahteve posameznikov ali sklenitev pogodbe o obdelavi podatkov (DPA) za vaš poslovni račun:

• E-pošta: privacy@klink.si
• Naslov: Slovenija, Evropska unija
• Nadzorni organ: Informacijski pooblaščenec RS — ip-rs.si

1. Who we are

Klink is a digital loyalty card platform operated by an individual data controller based in Slovenia, European Union. For the purposes of GDPR, klink is the Data Controller in respect of the personal data of business users (merchants) and may act as a Data Processor in respect of end-customer data collected by merchants using our platform.

Contact: privacy@klink.si — Slovenia, EU

2. Data we collect

3. How we use your data

• Providing, maintaining, and improving the klink platform
• Enabling loyalty card programs — tracking stamps, rewards, and redemptions
• Sending push notifications (manual campaigns, automated triggers, geofence-based) as directed by the business using our platform
• Generating digital wallet passes (Apple Wallet, Google Wallet)
• Processing subscription billing via Paddle
• Sending service-related communications (account alerts, security notices)
• Complying with legal obligations

We do not use personal data for advertising, sell data to third parties, or use it for any purpose not listed above.

4. Legal basis for processing (GDPR)

• Contract (Art. 6(1)(b)): processing necessary to provide the Service under our Terms of Service
• Legitimate interests (Art. 6(1)(f)): service security, fraud prevention, and platform improvement
• Consent (Art. 6(1)(a)): push notification delivery and optional location-based features — consent requested in-app before activation
• Legal obligation (Art. 6(1)(c)): compliance with EU/Slovenian law

Birthday data: always optional and collected only with explicit consent at the time of input. Used solely to send birthday reward notifications.

5. Data sharing & sub-processors

We share data only with the following carefully selected, GDPR-compliant sub-processors:

• Google Firebase (Google LLC, EU regions) — database, authentication, push notifications, file storage
• Paddle (Paddle.com Market Limited) — subscription billing, invoicing, VAT compliance. Acts as Merchant of Record.
• Apple Inc. — Apple Push Notification Service (APNs) for iOS notifications and Apple Wallet pass delivery
• Google LLC — Firebase Cloud Messaging (FCM) for Android notifications and Google Wallet pass delivery

We do not share data with any other third parties except as required by law or court order.

6. Data retention

• Active accounts: data retained for the duration of the account
• Deleted accounts: data permanently deleted within 30 days of account deletion
• Transaction logs: retained for 7 years to comply with Slovenian accounting law
• Push notification tokens: refreshed on each app launch; stale tokens removed automatically
• Location data: not stored server-side — processed on-device only for geofence triggers

7. Security

• Firebase Firestore security rules enforcing strict per-tenant data isolation
• Firebase Authentication for all user access
• HMAC-SHA256 signed QR codes with a 5-minute time-to-live
• All data encrypted in transit (TLS) and at rest
• No payment card data ever processed or stored by klink

In the event of a personal data breach, we will notify affected parties and the relevant supervisory authority (Information Commissioner of the Republic of Slovenia) as required by GDPR Article 33.

8. Your rights under GDPR

• Right of access — request a copy of all personal data we hold about you
• Right to rectification — request correction of inaccurate or incomplete data
• Right to erasure — request deletion of your personal data ("right to be forgotten")
• Right to portability — receive your data in a structured, machine-readable format
• Right to object — object to processing based on legitimate interests
• Right to withdraw consent — withdraw consent for notifications or location at any time in-app

To exercise any of these rights, contact us at privacy@klink.si. We will respond within 30 days. You also have the right to lodge a complaint with the Information Commissioner of the Republic of Slovenia (ip-rs.si).

9. Cookies

The klink admin panel uses minimal cookies necessary for authentication (Firebase Auth session tokens) and preference storage. No third-party advertising or tracking cookies are used. The klink mobile apps do not use cookies. Analytics, where implemented, use anonymised, aggregated data only.

10. Children

Klink is not directed at children under the age of 16, and we do not knowingly collect personal data from them. If you believe a child under 16 has provided us with personal data, please contact us immediately at privacy@klink.si and we will delete it promptly.

11. Changes to this policy

We may update this Privacy Policy from time to time. We will notify registered business users of material changes via email at least 14 days before the change takes effect. The "Last updated" date at the top of this page always reflects the most recent version.

12. Contact & Data Processing Agreement (DPA)

For privacy questions, data subject access requests, or to request a Data Processing Agreement (DPA) for your business account:

• Email: privacy@klink.si
• Address: Slovenia, European Union
• Supervisory authority: Information Commissioner of the Republic of Slovenia — ip-rs.si