Pravila privatnosti platforme MonsterPlatz

Verzija 2.11, na snazi od: 28. listopada 2026.

Točka 2.5 (sporovi), 2.6 (ograničenje prodaje / staff sakrivanje / platformske ocjene), 2.7 (Google/Facebook povezivanje), te dopune o kupnji/BoxNow, push tokenima i maskiranom bankovnom otisku — draft za pravni pregled.

1. Voditelj obrade

Voditelj obrade Vaših osobnih podataka je FRAME SYSTEMS, vl. Kruno Jagić, OIB: 39823187837 („mi”, „Vlasnik”, „MonsterPlatz”). Postupamo u skladu s Općom uredbom o zaštiti podataka (GDPR) i primjenjivim zakonima Republike Hrvatske.

Za pitanja o zaštiti podataka: info@monsterplatz.com.

2. Koje podatke prikupljamo

Prikupljamo samo podatke nužne za rad Platforme, pružanje usluge MonsterPlatz Zaštićena kupnja, sigurnost i ispunjavanje zakonskih obveza.

2.1. Podaci koje nam izravno dajete

• Registracija: e-mail adresa, korisničko ime, lozinka (pohranjena u hashiranom obliku).
• Verifikacija profila: e-mail i broj mobilnog uređaja (za verifikacijske kodove).
• Profil: opis, profilna slika, županija, grad/općina (ako ih unesete).
• Oglasi i poruke: slike, tekst, cijene, sadržaj chata.
• Ocjene i prijave: ocjene, komentari, kategorije prijava, priloženi dokazi.
• Postavke obavijesti: preferencije e-maila i obavijesti na Platformi. Nakon prihvaćene ponude šaljemo Kupcu obavijest (e-pošta i/ili Platforma) s rokom za početak plaćanja.
• Kupnja i račun: ime i prezime Kupca uneseno pri kupnji radi obrade kupnje i dokumentacije računa.

2.2. Podaci o plaćanju i MonsterPlatz novčaniku

Kad koristite MonsterPlatz Zaštićenu kupnju ili aktivirate MonsterPlatz novčanik (Stripe Connect):

• Podatke o kartici (broj, datum, CVC) ne pohranjujemo mi — obrađuje ih Stripe kao neovisni pružatelj platnih usluga.
• Mi pohranjujemo identifikatore transakcija (npr. Stripe Payment Intent ID, Charge ID, Transfer ID), iznose u centima, status plaćanja (escrow, isplaćeno, refundirano, spor), te povezanost s narudžbom i oglasom.
• Za isplatu prodavaču Stripe može od Vas tražiti: puno ime, datum rođenja, adresu, državljanstvo, OIB ili druge identifikacijske podatke, IBAN/bankovni račun, fotografiju identifikacijske isprave i druge KYC podatke sukladno propisima o sprječavanju pranja novca. Ti se podaci izravno daju Stripeu; MonsterPlatz prima ograničene statuse verifikacije (npr. je li novčanik spreman za isplatu).
• Uz statuse Stripe novčanika pohranjujemo maskirani podatak za prepoznavanje računa za isplatu, primjerice posljednje četiri znamenke, te tehnički otisak (fingerprint) koji koristimo za provjeru povezanosti računa za isplatu i sprječavanje zaobilaženja pravila o jednom računu. Maskirani prikaz dostupan je vlasniku računa, a potrebni tehnički podaci ovlaštenim administratorima radi sigurnosti i podrške. Taj otisak nije anonimni podatak i sam po sebi ne zamjenjuje ljudsku procjenu u slučaju sumnje na zlouporabu.
• Ako pristanete na spremanje podataka za buduća plaćanja, Stripe (ne MonsterPlatz) može pohraniti tokenizirane podatke o načinu plaćanja.

Pravna osnova: izvršavanje ugovora (GDPR čl. 6 st. 1 t. b), zakonska obveza (AML/KYC — čl. 6 st. 1 t. c) i legitimni interes u sprječavanju prijevara (čl. 6 st. 1 t. f).

2.3. Podaci o dostavi (Box Now)

Za dostavu putem Box Now paketomata obrađujemo:

• odabrani paketomat (lokacija, identifikator),
• kodove za predaju/preuzimanje pošiljke,
• status pošiljke i broj za praćenje,
• podatke potrebne za generiranje pošiljke.

Za izradu, praćenje i povrat pošiljke Box Nowu prosljeđujemo potrebne kontaktne podatke pošiljatelja i primatelja: ime i prezime gdje su dostupni, odnosno korisničko ime, e-mail adresu i broj telefona, uz odabrani paketomat, podatke o pošiljci i praćenju. Kod povratne pošiljke Kupac je pošiljatelj, a Prodavač primatelj. Ti podaci nisu time javno objavljeni na profilu. Box Now obrađuje podatke sukladno svojim pravilima privatnosti.

Statusi i događaji koje Box Now prijavi Platformi mogu se koristiti kao dokaz Primitka pošiljke i za rokove Zaštićene kupnje, sukladno Uvjetima korištenja (točka 5.7.5.).

2.4. Podaci koje prikupljamo automatski

• Aktivnosti: pregledi oglasa, pretrage, omiljeni, praćeni korisnici, Wishlist kriteriji.
• Tehnički podaci: IP adresa, vrsta preglednika i uređaja, session/cookie identifikatori.
• Sigurnost: zapisi prijava, 2FA događaji, broj SMS zahtjeva, promjene broja telefona.
• Audit transakcija: tehnički zapisi o promjenama statusa narudžbi, plaćanja i ponuda (u svrhu sigurnosti i rješavanja sporova).
• Mobilne push obavijesti: ako koristite mobilne push obavijesti, obrađujemo registracijski token za dostavu na Vaš uređaj, oznaku platforme i aplikacije, podatak o aktivnoj registraciji te vrijeme registracije i posljednje uporabe. Token povezujemo s Vašim računom kako bismo usmjerili obavijesti. Za dostavu putem Google Firebase Cloud Messaginga pružatelju se šalju token i sadržaj konkretne obavijesti, poput naslova, kratkog teksta i poveznice. Dozvolama uređaja upravljate u njegovim postavkama, a vrstama platform obavijesti u MonsterPlatz postavkama.

2.5. Podaci o sporovima, povratima i odšteti

Kad podnesete ili sudjelujete u prigovoru / sporu u okviru Zaštićene kupnje, možemo obrađivati:

• razlog i opis prijave, status i fazu spora (npr. dogovor, escalate, čeka povrat),
• fotografije i dokaze koje priložite,
• sadržaj chata vezan uz narudžbu i spor,
• admin bilješke i metadata escalatea (tko i kada je zatražio odluku),
• podatke o povratnoj pošiljci (parcel ID, kodovi, status, iznos povratne poštarine u centima),
• zapise o refundu / isplati / odšteti (iznosi u centima, statusi plaćanja; bez punih podataka kartice),
• privremeni zapis („stub”) za račun povratne poštarine dok se ne izda fiskalni dokument.

Tko vidi: Kupac i Prodavač na toj narudžbi vide relevantan status, chat i obavijesti; administratori Platforme vide cijeli dosje radi rješavanja spora. Treće strane (Stripe, Box Now) dobivaju samo podatke nužne za refund, isplatu ili dostavu.

Zadržavanje: zapisi spora (Report), audit i financijski statusi čuvaju se sukladno točki 6. (najmanje 5 godina nakon završetka transakcije, osim dužeg zakonskog roka). Podaci potrebni za izdavanje računa (npr. identifikacijski podaci ako ih zakon traži) obrađuju se samo u tom opsegu — MonsterPlatz ne tvrdi porezne kvalifikacije u UI-ju bez zasebnog fiskalnog postupka.

2.6. Podaci o ograničenju prodaje (neispunjenje slanja)

Radi sprječavanja zlouporabe Zaštićene kupnje i zaštite kupaca, možemo obrađivati:

• status ograničenja objave oglasa (npr. privremeno, čeka prihvat pravila, trajna zabrana),
• datum do kojeg traje privremeno ograničenje, broj ciklusa sankcije, vrijeme prihvata pravila,
• zastavicu da su oglasi privremeno skriveni s javnog tržišta,
• zapis događaja vezanih uz narudžbu (istek roka za kod/slanje ili otkaz plaćene narudžbe od strane Prodavača), s vremenom događaja,
• admin/staff akcije privremenog sakrivanja oglasa u tehničkom auditu Platforme (MarketplaceAuditLog ili ekvivalent), uključujući tko je i kada izvršio akciju,
• in-app i/ili e-mail obavijesti Prodavaču o sakrivanju oglasa i razlogu (prema postavkama obavijesti),
• vrijeme eksplicitnog prihvaćanja pravila slanja nakon staff sakrivanja (fulfillment_rules_acked_at) kao dokaz prihvata.

Svrha: primjena pravila iz Uvjeta (točke 5.6.6 i 5.6.7 te, gdje je primjenjivo, Članak 11.4), trust/ops pregled, obavijesti Prodavaču, dokaz prihvata pravila i eventualno uklanjanje zabrane. Pravna osnova: izvršavanje ugovora (GDPR čl. 6 st. 1 t. b) i legitimni interes u sprječavanju zlouporabe (čl. 6 st. 1 t. f).

Tko vidi: Prodavač vidi status i obavijesti na svom računu; administratori vide status i audit radi podrške. Ti se podaci ne koriste za automatsko snižavanje javne ocjene (zvjezdice) isključivo zbog ovih događaja. MonsterPlatz može ručno upisati javnu platformsku ocjenu (npr. 1★) vezanu uz konkretnu narudžbu, u skladu s Uvjetima (11.4); takva ocjena je javno vidljiva s oznakom MonsterPlatz, ulazi u prosjek i bilježi se u admin auditu (tko, kada, koja narudžba).

Zadržavanje: audit zapisi o sakrivanju i prihvatu pravila čuvaju se sukladno točki 6. (usklađeno s ostalim marketplace auditom), osim dužeg zakonskog roka.

Pravna osnova: izvršavanje ugovora (Zaštićena kupnja), legitimni interes (sprječavanje prijevara, audit) i, gdje je primjenjivo, zakonska obveza.

2.7. Povezivanje Google i Facebook računa

U Postavkama možete povezati MonsterPlatz račun s Googleom i/ili Facebookom (Meta). Pri povezivanju:

• od odgovarajućeg pružatelja primamo stabilni identifikator računa (npr. Google subject / Facebook user id), potvrdu uspješne prijave kod njih, te kod Facebooka i ime/prezime (prikazno ime profila) radi admin pregleda i Vašeg prepoznavanja u Postavkama;
• pohranjujemo taj identifikator, vrijeme povezivanja i (za Facebook) prikazno ime na Vašem profilu;
• pri povezivanju dohvaćamo i pohranjujemo URL Facebook i/ili Google profilne slike (CDN pružatelja; ne lokalnu kopiju datoteke na našim poslužiteljima) radi prikaza u Postavkama i (za Facebook) administratorima;
• u Postavkama Vama prikazujemo: za Facebook — profilnu sliku i ime; za Google — profilnu sliku i e-mail (isti kao na MonsterPlatz računu); ne pohranjujemo ni prikazujemo Google prikazno ime;
• ne prepisujemo Vaš MonsterPlatz e-mail s Facebook e-mailom; Facebook povezivanje u ovoj verziji nije zamjena za registraciju/prijavu lozinkom ili Googleom;
• javno na profilu prikazujemo oznaku povjerenja „Facebook verificiran” ako ste povezali Facebook — bez javnog Facebook imena, prezimena, profilne slike ni linka na Facebook profil;
• administratori Platforme mogu vidjeti Facebook identifikator, ime i prezime, profilnu sliku s Facebooka te pokušaj linka na profil isključivo radi rješavanja sporova, prijevara i sigurnosti (javni Facebook URL preko app identifikatora može biti nedostupan zbog Meta pravila);
• povezivanje možete ukloniti u Postavkama (uz potvrdu lozinkom gdje je to potrebno radi zaštite računa); tada brišemo i pohranjene URL-ove profilnih slika te Facebook ime.

Pravna osnova: izvršavanje ugovora (GDPR čl. 6 st. 1 t. b) i legitimni interes u sprječavanju prijevara te pouzdanoj identifikaciji u sporovima (čl. 6 st. 1 t. f). Google i Meta obrađuju podatke sukladno svojim pravilima privatnosti tijekom OAuth / Login postupka.

3. Kako koristimo podatke

• Pružanje usluge: registracija, oglasi, poruke, ponude, checkout, escrow, isplate, praćenje pošiljke.
• Zaštićena kupnja: zadržavanje i oslobađanje sredstava, povrati, dogovor/escalate, admin odluke o sporovima, odšteta (N15), zapis računa za povratnu poštarinu.
• Stripe onboarding: omogućavanje otvaranja novčanika i provjere identiteta prodavača.
• Box Now integracija: kreiranje pošiljke, praćenje statusa, obavijesti o dostavi.
• 2FA i sigurnost računa: slanje kodova, detekcija zlouporaba.
• Obavijesti: o narudžbama, ponudama, dostavi, sporovima, Wishlistu i praćenim prodavačima (prema Vašim postavkama).
• Personalizacija: preporuke oglasa (legitimni interes).
• Moderiranje i prijave: zaštita zajednice, sprječavanje prijevara.
• Statistika: agregirani anonimizirani trendovi.
• Pravne obveze: knjigovodstveni i porezni zapisi, odgovori nadležnim tijelima.

4. S kim dijelimo podatke

Ne prodajemo Vaše osobne podatke. Dijelimo ih samo kad je to nužno:

4.1. Drugi korisnici Platforme

Javno su vidljivi: korisničko ime, oglasi, ocjene (uključujući platformske ocjene s oznakom MonsterPlatz, gdje postoje), broj transakcija/ocjena (gdje je prikazano), te oznake verifikacije (npr. e-mail/telefon verificiran, „Facebook verificiran” ako ste povezali Facebook). Javni Facebook profil (ime, prezime, URL, profilna slika) nije vidljiv drugim korisnicima. U chatu drugi korisnik vidi Vaše korisničko ime i sadržaj poruka. Adresa paketomata nije javno vidljiva ostalim korisnicima u profilu, već se koristi u okviru narudžbe.

4.2. Pružatelji usluga (obrađivači)

• Stripe (Stripe Payments Europe, Ltd. i povezana društva) — plaćanja, escrow, Connect novčanik, KYC prodavača, refundi, chargeback. Stripe Privacy Policy
• Box Now d.o.o. — dostava putem paketomata.
• Google — Google prijava / povezivanje računa (Identity Services), gdje je omogućeno.
• Meta (Facebook) — Facebook Login / povezivanje računa radi trust oznake i admin pregleda u sporovima, gdje je omogućeno. Meta Privacy Policy
• Cloudflare — CDN, sigurnost, Turnstile (anti-bot).
• Hosting i e-mail/SMS — tehnička infrastruktura i verifikacijski kodovi.
• Google Firebase Cloud Messaging (FCM) — dostava mobilnih push obavijesti (token i sadržaj obavijesti), gdje je omogućeno.
• Moderacija sadržaja — automatska analiza slika oglasa (samo slike koje objavite).
• Revolut — isključivo za dobrovoljne donacije izvan Platforme (MonsterPlatz ne prima podatke o kartici).

Svi partneri su ugovorno obvezni na povjerljivost i obradu samo u svrhu pružanja usluge.

4.3. Prenosi izvan EEA

Neki pružatelji (npr. Stripe, Cloudflare) mogu obrađivati podatke izvan Europskog gospodarskog prostora. U takvim slučajevima oslanjamo se na Standardne ugovorne klauzule EU ili druge mehanizme priznate GDPR-om.

4.4. Nadležna tijela

Podatke možemo otkriti ako to zakon zahtijeva, sudski nalog naloži, ili je nužno radi zaštite prava, sigurnosti i sprječavanja prijevara.

5. Donacije

Donacije se obrađuju izravno putem Revoluta. MonsterPlatz ne pohranjuje podatke o karticama donatora. Više: Revolut Pravila privatnosti.

6. Koliko dugo čuvamo podatke

• Račun i profil: dok god je račun aktivan; nakon brisanja — brisanje ili anonimizacija u razumnom roku, osim podataka koje moramo zadržati.
• Transakcije, plaćanja, narudžbe, sporovi: najmanje 5 (pet) godina nakon završetka transakcije radi knjigovodstvenih, poreznih i AML obveza, osim dužeg roka ako zakon zahtijeva.
• Stripe identifikatori i audit zapisi: sukladno potrebama usklađenosti i rješavanja sporova, tipično do 5–10 godina ovisno o vrsti podatka.
• Logovi sigurnosti: ograničeno vrijeme (npr. 12–24 mjeseca), osim ako istraga zahtijeva duže zadržavanje.
• Hashirani podaci nakon trajne zabrane računa: dok je potrebno sprječavanje ponovne registracije (vidi točku 6.1.).

6.1. Sprječavanje ponovne registracije

Nakon trajne zabrane zbog teških kršenja Uvjeta možemo pohraniti nepovratno hashirane verzije e-maila i/ili broja mobitela isključivo radi prepoznavanja ponovne registracije. Ti podaci nisu povezani s drugim osobnim podacima i ne omogućuju izravnu identifikaciju.

7. Vaša prava

U skladu s GDPR-om imate pravo na:

• pristup podacima,
• ispravak,
• brisanje („pravo na zaborav”),
• ograničenje obrade,
• prenosivost podataka (gdje je primjenjivo),
• prigovor na obradu temeljenu na legitimnom interesu,
• povlačenje privole (bez utjecaja na zakonitost obrade prije povlačenja).

Brisanje računa može biti ograničeno dok postoje neriješene transakcije, sporovi ili zakonska obveza čuvanja financijskih zapisa.

Podatke koje ste izravno dali Stripeu u postupku KYC-a možete ostvarivati i prema Stripe pravilima.

Pritužbu možete podnijeti Agenciji za zaštitu osobnih podataka (AZOP): azop.hr.

8. Sigurnost podataka

Primjenjujemo tehničke i organizacijske mjere: hashiranje lozinki, HTTPS, kontrola pristupa, webhook provjere, audit transakcija i ograničen pristup financijskim podacima. Nijedan sustav nije u potpunosti imun na kibernetičke napade.

9. Kolačići i Cloudflare Turnstile

Koristimo nužne, statističke i marketinške kolačiće sukladno Pravilima o kolačićima. Statistički i marketinški kolačići aktiviraju se uz privolu.

Cloudflare Turnstile može obrađivati IP adresu i tehničke podatke preglednika radi sprječavanja botova (legitimni interes).

10. Djeca

Platforma nije namijenjena osobama mlađim od 16 godina. Ako saznamo da smo prikupili podatke djeteta bez odgovarajuće suglasnosti, poduzet ćemo korake za brisanje.

11. Promjene Pravila privatnosti

Možemo ažurirati ova Pravila. O bitnim promjenama obavijestit ćemo putem Platforme ili e-pošte. Datum verzije naveden je na vrhu dokumenta.

12. Kontakt

Za zahtjeve vezan uz osobne podatke i povrede intelektualnog vlasništva: info@monsterplatz.com.