Politika privatnosti

Platforma vondi.rs

Verzija: 1.3
Datum stupanja na snagu: 24. oktobar 2026. (objavljeno 8. oktobra 2026.)

Napomena uz verziju 1.3: izmene se odnose na kupovinu rukotvorina majstora preko komisionih vitrina (dok taj program nije dostupan na vondi.rs, za ostale korisnike se tu ništa ne menja), kao i na sve korisnike: naveden je obrađivač Cloudflare, Inc. (odeljci 4.7 i 5.6) i preciziran je pravni osnov prenosa podataka van Srbije (odeljci 5.2, 5.4 i 8.5).

---

1. RUKOVALAC PODACIMA

Rukovalac podataka o ličnosti koji se obrađuju na platformi vondi.rs je:

VONDI GLOBAL D.O.O. (u daljem tekstu „Vondi", „mi", „platforma") posluje kao posrednik (marketplace) koji omogućava tehnološku platformu za interakciju prodavaca i kupaca. Vondi nije prodavac proizvoda koje prodavci postavljaju na platformu. Izuzetak su rukotvorine majstora na komisionim vitrinama, koje Vondi prodaje u svoje ime, a za račun majstora, po ugovoru o komisionu (čl. 771-789. Zakona o obligacionim odnosima); o podacima majstora vidi odeljak 2.4, a o podacima kupaca takvih predmeta odeljak 5.5.

Sva pitanja u vezi sa obradom podataka o ličnosti šaljite na adresu: [email protected].

---

2. KOJE PODATKE PRIKUPLJAMO

2.1. Podaci kupaca

Podaci za registraciju:

• Ime i prezime
• Adresa elektronske pošte
• Broj telefona
• Adresa isporuke (ulica, broj, grad, poštanski broj)

Podaci o porudžbinama:

• Istorija kupovina (proizvodi, datumi, iznosi)
• Recenzije i ocene proizvoda
• Statusi porudžbina

Podaci o plaćanju:

• Tokenizovani podaci platne kartice (poslednje 4 cifre, tip kartice, datum isteka)
• Pun broj platne kartice se na platformi NE čuva — tokenizaciju vrši platni provajder AllSecure (PCI DSS Level 1)

Tehnički podaci:

• IP adresa
• Tip i verzija pregledača
• Tip uređaja i operativni sistem
• Podaci kolačića (vidi odeljak 8)
• Datum i vreme pristupa stranicama

Podaci koje dobrovoljno dostavljate:

• Poruke prodavcima i majstorima preko sistema za poruke na vondi.rs (odeljak 5.5)
• Podaci profila koje sami unesete

Podaci o lokaciji:

• Prikupljaju se samo uz izričiti pristanak korisnika
• Koriste se isključivo za određivanje zone isporuke i obračun troškova dostave

2.2. Podaci prodavaca (vlasnika prodavnica)

Podaci o pravnom licu:

• Naziv kompanije ili preduzetnika
• PIB
• MB
• Sedište
• Bankovni podaci za prijem isplata

Podaci o aktivnostima na platformi:

• Katalog proizvoda (nazivi, opisi, cene, slike)
• Statistika prodaje
• Provizioni obračuni

Kontakt podaci predstavnika:

• Ime i prezime kontakt osobe
• Email i telefon kontakt osobe

2.3. Podaci koji se prosleđuju kurirskim službama

Za realizaciju isporuke prosleđujemo kurirskim službama sledeće podatke primaoca:

• Ime i prezime
• Adresa isporuke
• Broj telefona
• Broj porudžbine

2.4. Podaci majstora (komitenata) na komisionim vitrinama

Majstor je fizičko lice bez registrovane firme ili radnje čije predmete Vondi prodaje u svoje ime, a za račun majstora, po ugovoru o komisionu. Od majstora obrađujemo podatke koje traže ugovor o komisionu (član 14) i njegov Prilog 4 (Izjava i podaci majstora):

• Ime i prezime
• JMBG
• Broj lične karte
• Adresa prebivališta i adresa sa koje se predmeti šalju
• Broj telefona i adresa elektronske pošte
• Tekući račun za isplatu (banka i broj računa)
• Podaci o obaveznom socijalnom osiguranju (da li je majstor zaposlen ili osiguran po osnovu druge delatnosti, korisnik penzije ili nije osiguran ni po jednom osnovu)

Vondi ne traži kopiju lične karte. JMBG i broj lične karte koriste se samo za svrhe za koje ih traže propisi (odeljak 3).

Šta je javno. Na vondi.rs, na deklaraciji predmeta i u promotivnim materijalima prikazuju se samo ime i prezime majstora, naseljeno mesto (mesto izrade), priča majstora i fotografije predmeta. JMBG, broj lične karte, adresa, telefon, elektronska pošta, tekući račun i podaci o osiguranju se ne objavljuju. Ime i adresa majstora navode se na pošiljci kao mesto slanja i vide ih kurir i kupac tog predmeta. Na zahtev oštećenog lica ili nadležnog organa Vondi saopštava identitet majstora kao proizvođača predmeta.

Potpisivanje ugovora. Ugovor o komisionu, njegovi prilozi i prijemni listovi potpisuju se elektronski, preko platforme Documenso na adresi sign.vondi.rs (odeljak 4.6).

---

3. SVRHE I PRAVNI OSNOVI OBRADE

Obrada podataka o ličnosti vrši se u skladu sa Zakonom o zaštiti podataka o ličnosti („Sl. glasnik RS", br. 87/2018, u daljem tekstu „ZZPL"), nacionalnim pravnim aktom koji implementira pristupe srodne sa Uredbom (EU) 2016/679 (GDPR). Za korisnike iz EU/EEZ primenjuje se i GDPR (Art. 3(2) — vanteritorijalna primena).

---

4. OBRAĐIVAČI PODATAKA (TREĆA LICA)

Za pružanje usluge platforme angažujemo sledeće obrađivače podataka (čl. 45. ZZPL):

4.1. Platni provajderi

AllSecure (Exchange Group GmbH) — obrada plaćanja platnim karticama.

• Jurisdikcija: Austrija (EU/EEZ)
• Sertifikacija: PCI DSS Level 1
• Obim podataka: podaci platne kartice, iznos transakcije, identifikator porudžbine
• Zaključen ugovor o obradi podataka (DPA)

PaySpot (Banca Intesa) — obrada IPS QR plaćanja.

• Jurisdikcija: Srbija
• Obim podataka: identifikator porudžbine, iznos transakcije
• Zaključen ugovor o obradi podataka (DPA)

4.2. Kurirske službe

Isporuka proizvoda se vrši preko partnerskih kurirskih službi (uključujući Poštu Srbije / Post Express).

• Obim podataka: ime primaoca, adresa isporuke, broj telefona
• Zaključeni ugovori o obradi podataka

4.3. Partnerski magacini (fulfilment)

Skladištenje i otprema proizvoda iz partnerskih magacina.

• Obim podataka: podaci na transportnim nalepnicama (ime, adresa, telefon primaoca)
• Zaključeni ugovori o obradi podataka

4.4. Hosting provajder

Serverska infrastruktura na kojoj je smeštena platforma.

• Obim podataka: svi podaci koji se obrađuju na platformi (u šifrovanom obliku)
• Zaključen ugovor o obradi podataka

4.5. Google Ireland Limited / Google LLC (analitika)

Pri Vašoj saglasnosti za analitičke kolačiće angažujemo Google Analytics 4 (vidi odeljak 8.5 i Politiku kolačića).

4.6. Documenso (elektronsko potpisivanje ugovora sa majstorima)

Documenso: elektronsko potpisivanje ugovora o komisionu, priloga i prijemnih listova sa majstorima.

• Documenso je softver otvorenog koda koji Vondi sam koristi na svojoj serverskoj infrastrukturi, na adresi sign.vondi.rs; podaci se ne dostavljaju proizvođaču softvera
• Obim podataka: podaci majstora sadržani u dokumentima za potpis (odeljak 2.4) i evidencija o potpisivanju (sadržina dokumenta, vreme potpisivanja, identitet potpisnika)
• Ove podatke obrađuje Vondi kao rukovalac; Documenso nije poseban obrađivač. Obrađivač je pružalac serverske infrastrukture iz odeljka 4.4

4.7. Cloudflare, Inc. (mrežna zaštita, isporuka sadržaja, rezervna kopija arhive ugovora)

Cloudflare, Inc. (San Francisko, Kalifornija, SAD) pruža Vondi-ju tri usluge:

• mreža i zaštita sajta (CDN): zahtevi prema vondi.rs i većini njegovih poddomena, uključujući sign.vondi.rs, prolaze kroz mrežu Cloudflare (TLS, zaštita od napada, isporuka sadržaja). Obim podataka: tehnički podaci zahteva (IP adresa, zaglavlja, adresa stranice) i sadržaj koji se kroz zahtev prenosi, uključujući dokumente za potpis iz odeljka 4.6;
• Cloudflare Access: kontrola pristupa internim servisima Vondi-ja za zaposlene. Obim podataka: e-pošta i podaci o prijavi zaposlenih i saradnika;
• Cloudflare R2: rezervna kopija arhive potpisanih ugovora i prijemnih listova sa majstorima (odeljak 2.4). Dokumenti se u R2 upisuju isključivo u šifrovanom obliku; ključ za dešifrovanje ima samo Vondi, Cloudflare ga nema.
• Ugovor o obradi podataka: Cloudflare Data Processing Addendum, koji je sastavni deo ugovora o korišćenju usluga Cloudflare (Self-Serve Subscription Agreement, tačka 6.1)

Svi obrađivači su sa Vondi povezani ugovorima o obradi podataka (Data Processing Agreement / DPA) u skladu sa čl. 45. ZZPL, koji definišu:

• Obim i svrhe obrade
• Obaveze obezbeđenja bezbednosti
• Zabranu prosleđivanja podataka trećim licima bez naše saglasnosti
• Obaveze brisanja podataka po prestanku ugovora

4.8. Drugi primaoci podataka

Pored obrađivača iz odeljaka 4.1-4.7, podatke mogu da prime:

• Raiffeisen banka a.d. Beograd - banka kod koje Vondi vodi račune, u okviru finansijskog poslovanja kompanije;
• Državni organi - kada je to zakonom obavezno (Poreska uprava, sudovi, tužilaštvo).

Ne prodajemo Vaše podatke trećim licima u komercijalne svrhe.

---

5. PRENOS PODATAKA

5.1. Teritorija čuvanja

Podaci o ličnosti se čuvaju na serverima koji se nalaze na teritoriji Republike Srbije i/ili država Evropske unije. Rezervna kopija arhive ugovora sa majstorima (odeljak 4.7) čuva se u skladištu Cloudflare R2 sa jurisdikcijom Evropske unije, u šifrovanom obliku.

5.2. Prekogranični prenos

Prenos podataka o ličnosti van Republike Srbije uređen je glavom V ZZPL (čl. 63-72):

• Bez prethodnog odobrenja - u države i međunarodne organizacije u kojima je obezbeđen primereni nivo zaštite (čl. 64. st. 1. ZZPL). Po čl. 64. st. 2. ZZPL smatra se da je primereni nivo zaštite obezbeđen u državama i međunarodnim organizacijama koje su članice Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, kao i u državama, delovima njihovih teritorija ili sektorima delatnosti za koje je Evropska unija utvrdila da obezbeđuju primereni nivo zaštite. Lista država u kojima se smatra da je obezbeđen primereni nivo zaštite objavljuje se u „Službenom glasniku Republike Srbije" (čl. 64. st. 7. ZZPL); važeća lista: Odluka o listi država, delova njihovih teritorija ili jednog ili više sektora određenih delatnosti u tim državama i međunarodnih organizacija u kojima se smatra da je obezbeđen primereni nivo zaštite podataka o ličnosti („Sl. glasnik RS", br. 55/2019). Na listi su, između ostalih, sve države članice Evropske unije.
• Uz odgovarajuće mere zaštite (čl. 65. ZZPL) - npr. standardne ugovorne klauzule koje je izradio Poverenik (čl. 65. st. 2. tačka 2), ili ugovorne odredbe na osnovu posebnog odobrenja Poverenika (čl. 65. st. 3).
• Obavezujuća poslovna pravila (čl. 67. ZZPL) i posebne situacije iz čl. 69. ZZPL.

U odeljcima ispod navodimo, za svakog primaoca van Srbije, gde se podaci nalaze i na čemu se prenos zasniva.

5.3. AllSecure (plaćanja)

Platni provajder AllSecure (Exchange Group GmbH) se nalazi u Austriji — državi članici EU/EEZ. Prenos podataka vrši se na osnovu primerenog nivoa zaštite.

5.4. Google LLC (analitika)

Pri aktivaciji analitičkih kolačića, podaci se prenose Google Ireland Limited (Dublin, Irska) i Google LLC (Mountain View, California, SAD). Irska je na listi država sa primerenim nivoom zaštite (Odluka „Sl. glasnik RS", br. 55/2019, deo I; čl. 64. ZZPL). Google Ireland podatke dalje prenosi Google LLC u SAD na osnovu standardnih ugovornih klauzula Evropske komisije i EU-US Data Privacy Framework. Evropska unija je utvrdila primereni nivo zaštite za organizacije u SAD sertifikovane po EU-US Data Privacy Framework, a čl. 64. st. 2. ZZPL upućuje i na takve odluke Evropske unije; Odluka „Sl. glasnik RS", br. 55/2019 Sjedinjene Američke Države navodi samo „ograničeno na "Privacy Shield framework"" (deo II, tačka 7), a EU-US Data Privacy Framework u njoj nije naveden. Dodatne mere zaštite: anonimizacija IP adrese, zabrana prosleđivanja PII-a u parametrima događaja, isključene reklamne funkcije. Detalji u odeljku 8.5 i Politici kolačića.

5.5. Prosleđivanje podataka prodavcima

Pri kreiranju porudžbine prodavcu na platformi prosleđujemo:

• Ime kupca, adresu isporuke i broj telefona — radi izvršenja porudžbine
• Prodavci su obavezni da ove podatke koriste isključivo za izvršenje porudžbine

Kupovina rukotvorine majstora. Kada kupite predmet sa komisione vitrine majstora, prodavac je Vondi, a predmet šalje majstor sa svoje adrese. Radi slanja majstor dobija podatke sa adresnice: Vaše ime, adresu isporuke i broj telefona. Majstor ove podatke obrađuje kao obrađivač Vondi-ja (čl. 45. ZZPL), isključivo da bi odštampao adresnicu i poslao predmet: ne koristi ih ni za šta drugo, uključujući kontakt sa Vama izvan sistema za poruke na vondi.rs, ne daje ih trećim licima osim kuriru i pošti, i posle predaje paketa briše ili uništava svaki primerak koji mu je ostao. Druge Vaše podatke majstor od Vondi-ja ne dobija, a obaveštenja o reklamacijama dobija bez Vašeg imena i kontakt podataka.

Ako majstoru pišete preko poruka na vondi.rs, majstor Vas vidi pod oznakom koju dodeljuje platforma, bez Vašeg imena i kontakt podataka. Ako ste kod njega naručili predmet, majstor radi slanja dobija i podatke sa adresnice (odeljak iznad). Majstor sadržaj prepiske obrađuje kao obrađivač Vondi-ja i ne sme da koristi podatke koje mu napišete ni za šta osim za odgovor u prepisci. Molimo Vas da majstoru ne pišete svoj telefon, e-poštu ni adresu. Odustanak i reklamaciju izjavljujete Vondi-ju (Uslovi korišćenja, odeljci 6.12 i 7). Ako ih izjavite u prepisci sa majstorom, Vondi ih prima od dana kada ste poruku poslali. Sadržaj prepiske čuva Vondi. Vondi ga pregleda kada Vi ili majstor pozovete Vondi, kada u prepisci izjavite odustanak ili reklamaciju, radi rešavanja spora i radi sprečavanja zloupotreba. Vondi pregleda prepisku sa majstorom i bez poziva, radi prijema odustanka i reklamacija: sistem označava poruke sa rečima o povraćaju, reklamaciji, oštećenju ili odustanku.

5.6. Cloudflare, Inc.

Ugovorna strana je Cloudflare, Inc. (SAD); zahtevi prema sajtu prolaze kroz globalnu mrežu Cloudflare. Rezervna kopija arhive ugovora sa majstorima čuva se u Cloudflare R2 sa jurisdikcijom Evropske unije, isključivo šifrovano, a ključ ima samo Vondi. Cloudflare, Inc. je sertifikovan po EU-US Data Privacy Framework (lista učesnika: https://www.dataprivacyframework.gov/list) i na njega se oslanja pri prenosu podataka u SAD; ako sertifikacija prestane, prenos se vrši po standardnim ugovornim klauzulama Evropske komisije koje sadrži Cloudflare Data Processing Addendum (tačka 6.4). Za države Evropske unije primereni nivo zaštite postoji po čl. 64. ZZPL i Odluci „Sl. glasnik RS", br. 55/2019 (deo I). Za organizacije u SAD sertifikovane po EU-US Data Privacy Framework primereni nivo zaštite utvrdila je Evropska unija, a čl. 64. st. 2. ZZPL upućuje i na takve odluke; Odluka „Sl. glasnik RS", br. 55/2019 za SAD navodi samo „ograničeno na "Privacy Shield framework"" (deo II, tačka 7).

---

6. ROKOVI ČUVANJA PODATAKA

Podatke ne čuvamo duže od navedenih rokova: po njihovom isteku podatke brišemo ili anonimizujemo.

---

7. PRAVA SUBJEKATA PODATAKA

U skladu sa ZZPL („Sl. glasnik RS", br. 87/2018) imate sledeća prava:

7.1. Pravo na pristup (čl. 26. ZZPL)

Imate pravo da dobijete potvrdu da li se Vaši podaci o ličnosti obrađuju, kao i kopiju tih podataka i informacije o svrhama, kategorijama podataka, primaocima i rokovima čuvanja.

7.2. Pravo na ispravku (čl. 29. ZZPL)

Imate pravo da zahtevate ispravku netačnih ili dopunu nepotpunih podataka o ličnosti.

7.3. Pravo na brisanje — „pravo na zaborav" (čl. 30. ZZPL)

Imate pravo da zahtevate brisanje Vaših podataka o ličnosti ako:

• Podaci više nisu neophodni za prvobitne svrhe obrade
• Opozovete pristanak, a ne postoji drugi pravni osnov za obradu
• Uložite prigovor (čl. 37.), a ne postoje preovlađujući legitimni osnovi
• Podaci su obrađivani nezakonito

Izuzeci: ne možemo da brišemo podatke čije je čuvanje naša zakonska obaveza (poreski dokumenti, fiskalni računi — vidi odeljak 6).

7.4. Pravo na ograničavanje obrade (čl. 31. ZZPL)

Možete zahtevati ograničenje obrade ako osporavate tačnost podataka, ako je obrada nezakonita, ili ako ste podneli prigovor (za vreme provere).

7.5. Pravo na prenosivost podataka (čl. 36. ZZPL)

Imate pravo da dobijete svoje podatke o ličnosti u strukturisanom, mašinski čitljivom formatu i da ih prenesete drugom rukovaocu.

7.6. Pravo na prigovor (čl. 37. ZZPL)

Imate pravo da uložite prigovor na obradu Vaših podataka na osnovu legitimnog interesa (tač. 6. st. 1. čl. 12.), uključujući profilisanje. U slučaju direktnog marketinga prigovor se uvažava bezuslovno.

7.7. Pravo na opoziv pristanka (čl. 15. ZZPL)

Ako je obrada zasnovana na Vašem pristanku, možete ga opozvati u svakom trenutku. Opoziv ne utiče na zakonitost obrade do trenutka opoziva.

U skladu sa čl. 15. st. 4. ZZPL, opoziv pristanka mora biti jednako jednostavan kao i njegovo davanje. Načini opoziva:

• Za cookie consent — preko linka „Podešavanja kolačića" u futeru sajta (jedan klik u istom dijalogu);
• Za marketinšku komunikaciju — preko linka „Odjava / Unsubscribe" u svakom email-u;
• Za ostale vrste pristanka — putem zahteva na [email protected].

7.8. Pravo na pritužbu Povereniku (čl. 82. ZZPL)

Bez obzira na druga pravna sredstva, imate pravo na pritužbu nadzornom organu:

Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti

• Veb-sajt: https://www.poverenik.rs
• Adresa: Bulevar kralja Aleksandra 15, 11120 Beograd, Srbija
• Email: [email protected]
• Tel.: +381 11 3408 900

Postupak podnošenja zahteva

Za ostvarivanje bilo kog od navedenih prava pošaljite zahtev na [email protected] sa:

• Vašim imenom i email-om registrovanim na platformi
• Opisom zahteva (koje pravo želite da ostvarite)

Rok za odgovor: 30 dana od prijema zahteva. U slučaju složenosti ili velikog broja zahteva, rok se može produžiti do 60 dana uz obaveštenje podnosioca o razlozima produženja.

Identifikacija: radi zaštite Vaših podataka možemo zahtevati dodatnu verifikaciju identiteta pre izvršenja zahteva.

---

8. KOLAČIĆI I PRATEĆE TEHNOLOGIJE

Detaljne informacije nalaze se u zasebnom dokumentu — Politika kolačića. U nastavku su navedene ključne odredbe.

8.1. Šta su kolačići i prateće tehnologije

• HTTP kolačići — male tekstualne datoteke koje se čuvaju na Vašem uređaju prilikom posete platformi vondi.rs. Mogu biti sesijski (brišu se zatvaranjem pregledača) ili trajni (čuvaju se zadati period).
• localStorage — trajno skladište pregledača dostupno samo domenu vondi.rs. Koristi se za čuvanje korpe, jezičkih podešavanja, keša profila.
• sessionStorage — privremeno skladište, briše se zatvaranjem taba. Koristi se za kratkotrajne sesijske podatke (npr. access token).
• IndexedDB — strukturisano skladište pregledača za offline funkcionalnost.
• Service Worker caches — keš resursa (slike, skripte, stilovi) za PWA u offline režimu.
• Pixels / web beacons — male slike 1×1 px koje koriste treća lica za praćenje. Na vondi.rs trenutno se ne primenjuju.

8.2. Kategorije kolačića i pravni osnovi

Strictly necessary (neophodni) — bez pristanka

Primenjuju se izuzeci po čl. 5(3) Direktive 2002/58/EC (ePrivacy) i ZZPL čl. 12. st. 1. tač. 2. (izvršenje ugovora). Bez njih platforma ne može da izvrši ugovor zaključen sa Vama (prijava, korpa, plaćanje).

Primeri: tokeni autorizacije, korpa za kupovinu, CSRF zaštita, jezička podešavanja, čuvanje Vaših kolačić-podešavanja.

Analitički — uz pristanak

Pravni osnov: pristanak — ZZPL čl. 12. st. 1. tač. 1. + GDPR Art. 6(1)(a) za korisnike iz EU/EEZ. Koriste se za analizu ponašanja posetilaca i unapređenje usluge.

Primeri: Google Analytics 4 (kolačići _ga, _ga_*), interna serverska analitika događaja.

Marketinški — uz pristanak

Pravni osnov: pristanak — ZZPL čl. 12. st. 1. tač. 1. Trenutno se na platformi ne koriste. Kategorija je rezervisana za buduće alate (Facebook Pixel, Google Ads i sl.); pri njihovoj aktivaciji ažuriraćemo ovaj dokument i tražiti od Vas novi pristanak.

8.3. Cookie consent banner i upravljanje

Pri prvoj poseti platformi prikazujemo banner sa tri opcije:

• „Prihvati sve" — prihvatite sve kategorije kolačića (uključujući analitičke i marketinške);
• „Odbij opcione" — ostavite samo strogo neophodne;
• „Podešavanja" — odaberite kategorije pojedinačno.

Vaša odluka se čuva u localStorage ključem vondi_cookie_consent (rok: 12 meseci). Po isteku 12 meseci tražimo pristanak ponovo. Takođe, ponovni zahtev za pristankom šalje se pri materijalnoj izmeni Politike kolačića.

U svakom trenutku možete promeniti podešavanja preko linka „Podešavanja kolačića" u futeru sajta. Možete upravljati i preko podešavanja pregledača; isključivanje strogo neophodnih kolačića može narušiti funkcionisanje platforme.

8.4. Opoziv pristanka (povlačenje pristanka)

Pristanak za analitičke i marketinške kolačiće možete povući u svakom trenutku preko linka „Podešavanja kolačića" u futeru. Prema čl. 15. st. 4. ZZPL, povlačenje pristanka mora biti jednako jednostavno kao i njegovo davanje — na vondi.rs to je realizovano kao jedan klik u istom dijalogu.

Povlačenje pristanka ne utiče na zakonitost obrade koja je vršena pre povlačenja.

8.5. Prenos podataka u SAD (Google LLC)

Pri aktivaciji analitičkih kolačića podaci se prenose obrađivačima:

• Google Ireland Limited (Dublin, Irska) — primarni ugovornik,
• Google LLC (Mountain View, California, SAD) — krajnji primalac.

Pravni osnov prekograničnog prenosa:

• Standard Contractual Clauses (SCC) Evropske komisije (Odluka 2021/914 od 04.06.2021) — između Google Ireland i Google LLC;
• EU-US Data Privacy Framework (DPF) — Google LLC je sertifikovan po DPF (status: https://www.dataprivacyframework.gov/).

Oba instrumenta su instrumenti prava Evropske unije. Naš prenos iz Srbije ide ka Google Ireland Limited (Irska je na listi iz Odluke „Sl. glasnik RS", br. 55/2019, deo I; čl. 64. ZZPL). Za organizacije u SAD sertifikovane po EU-US Data Privacy Framework primereni nivo zaštite utvrdila je Evropska unija, a čl. 64. st. 2. ZZPL upućuje i na takve odluke Evropske unije; Odluka „Sl. glasnik RS", br. 55/2019 SAD navodi samo „ograničeno na "Privacy Shield framework"" (deo II, tačka 7), a EU-US Data Privacy Framework u njoj nije naveden.

Priznavanje rizika (risk acknowledgement): priznajemo da zakonodavstvo SAD (posebno FISA 702, EO 12333) može državnim organima SAD obezbediti pristup podacima koji se prenose Google-u. Dodatne mere zaštite (supplementary measures) koje primenjujemo:

• aktivacija anonimizacije IP adresa u GA4 (poslednji oktet IPv4 / poslednjih 80 bitova IPv6 se anuliraju pre slanja Google-u);
• zabrana prosleđivanja ličnih identifikatora (email, telefon, ime) u parametrima događaja GA4;
• rok čuvanja podataka u GA4 podešen na 14 meseci (maksimalno dozvoljeno);
• isključene reklamne funkcije (Advertising Reporting Features) u GA4 — podaci se ne koriste za retargeting.

Detalji — u Politici kolačića (odeljak „Transfer izvan Srbije").

8.6. Pravo na pritužbu

Ako smatrate da su Vaša prava u delu obrade kolačića povređena, imate pravo na pritužbu nadzornom organu — Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti (kontakt u odeljku 7.8).

---

9. BEZBEDNOST PODATAKA

Vondi primenjuje tehničke i organizacione mere zaštite podataka o ličnosti u skladu sa čl. 50. ZZPL:

9.1. Tehničke mere

• Šifrovanje u prenosu: HTTPS (TLS 1.3) za sve konekcije sa platformom
• Šifrovanje u mirovanju: podaci na serverima se čuvaju u šifrovanom obliku
• Šifrovanje osetljivih podataka majstora: JMBG, broj telefona i broj računa majstora, kao i arhiva potpisanih ugovora, čuvaju se šifrovani algoritmom AES-256-GCM
• Lozinke: čuvaju se isključivo kao bcrypt heš; lozinku u čitljivom obliku ne čuvamo
• Tokenizacija plaćanja: pun broj platne kartice se na platformi ne čuva; obrada se vrši preko AllSecure (PCI DSS Level 1)
• Rezervno kopiranje: redovno automatsko kopiranje sa šifrovanjem
• Monitoring: sistemi detekcije upada i monitoringa anomalija

9.2. Organizacione mere

• Kontrola pristupa (RBAC): pristup podacima o ličnosti imaju samo zaposleni kojima je to neophodno za izvršenje radnih obaveza
• Obuka zaposlenih: redovne obuke zaposlenih o zaštiti podataka
• Bezbednosni auditi: redovne provere bezbednosti infrastrukture i procesa
• Beleženje pristupa: sve pristupe podacima o ličnosti beleže u logovima

---

10. INCIDENTI BEZBEDNOSTI

U slučaju povrede bezbednosti podataka o ličnosti (curenje, neovlašćeni pristup, gubitak) Vondi se obavezuje na:

10.1. Obaveštavanje nadzornog organa (čl. 52. ZZPL)

U roku od 72 sata od saznanja o incidentu obaveštavamo Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, osim ako povreda ne može dovesti do rizika za prava i slobode subjekata podataka.

10.2. Obaveštavanje subjekata podataka (čl. 53. ZZPL)

Ako incident stvara visok rizik za prava i slobode fizičkih lica, obaveštavamo pogođena lica bez nepotrebnog odlaganja sa:

• Prirodom povrede
• Kontakt podacima za dodatne informacije
• Verovatnim posledicama
• Preduzetim i predloženim merama smanjenja posledica

---

11. ZAŠTITA PODATAKA MALOLETNIH LICA

Platforma vondi.rs nije namenjena licima mlađim od 15 godina.

Vondi svesno ne prikuplja i ne obrađuje podatke dece mlađe od 15 godina. Ako saznamo da smo primili podatke deteta bez pristanka zakonskog zastupnika, takve podatke ćemo bez odlaganja obrisati.

Ako Vam je poznato da maloletno lice koristi platformu, molimo Vas da nas obavestite na [email protected].

---

12. IZMENE POLITIKE PRIVATNOSTI

Vondi zadržava pravo izmene ove Politike privatnosti.

Postupak obaveštavanja:

• Materijalne izmene: obaveštenje email-om na adresu navedenu pri registraciji i obaveštenje na platformi najmanje 15 dana pre stupanja izmena na snagu
• Redakcijske/stilske izmene: objavljivanje ažurirane verzije na platformi
• Nastavak korišćenja platforme nakon stupanja izmena na snagu smatra se prihvatanjem ažurirane Politike

Istorijat verzija:

---

13. KONTAKT INFORMACIJE

Po svim pitanjima u vezi sa obradom podataka o ličnosti obratite se:

---

PRIMENJIVO PRAVO

Ova Politika privatnosti sastavljena je u skladu sa:

• Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS", br. 87/2018) — ZZPL
• Zakon o elektronskoj trgovini („Sl. glasnik RS", br. 41/2009, 95/2013, 52/2019)
• Zakon o zaštiti potrošača („Sl. glasnik RS", br. 88/2021)
• Zakon o računovodstvu („Sl. glasnik RS", br. 73/2019, 44/2021)
• Uredba (EU) 2016/679 (GDPR) — primenjuje se za korisnike iz EU/EEZ (Art. 3(2)) i kao orijentir najboljih praksi

---

NAPOMENA: Ovaj dokument je opšteinformativnog karaktera. Za konkretna pravna pitanja preporučujemo konsultaciju sa licenciranim advokatom u Republici Srbiji.

---

VONDI GLOBAL D.O.O. BEOGRAD
12. maj 2026.

---

Ovaj dokument je sastavljen na srpskom jeziku (latinično pismo) i ta verzija je merodavna. Engleska i ruska verzija pružaju se isključivo radi informisanja.