1. Tko je odgovoran

Za podatke koje RiskWISE prikuplja radi prodaje, ugovaranja, sigurnog pristupa, naplate i podrške voditelj obrade je RiskWISE Consulting d.o.o. Za sadržaj i podatke zaposlenika koje organizacija kupac unosi u svoj tenant, uloge voditelja i izvršitelja obrade uređuju se ugovorom i, prema potrebi, dodatkom o obradi podataka.

2. Koje podatke obrađujemo

• poslovni kontakt: ime, poslovna e-mail adresa, organizacija i uloga;
• identitet i pristup: identifikator vanjskog identity providera, tenant, članstvo i dodijeljene uloge;
• kupnja i naplata: odabrani paket, interval, status plaćanja, provider identifikatori, adresa za račun i porezni broj kada ih provider proslijedi;
• korištenje usluge: zapis aktivnosti, upravljački artefakti, potvrde, obuke, incidenti i administratorske promjene;
• podrška i sigurnost: komunikacija, tehnički zapisi, IP i sigurnosni događaji u razmjernom opsegu.

WISE-R ne prikuplja niti pohranjuje potpune podatke platne kartice. Kartične podatke obrađuje hosted payment provider.

3. Svrhe i pravne osnove

• Priprema i izvršenje ugovora: kreiranje checkouta, aktivacija tenant-a, upravljanje pretplatom i podrška.
• Pravna obveza: računovodstvena, porezna i druga obvezna evidencija.
• Legitimni interesi: sigurnost, sprječavanje zlouporabe, dokazivanje transakcija, poboljšanje pouzdanosti i obrana pravnih zahtjeva, uz procjenu razmjernosti.
• Privola: koristi se samo kada je stvarno potrebna i tada se može povući bez utjecaja na raniju zakonitu obradu.

Potvrda da je ova obavijest pročitana nije privola za obradu koja se temelji na ugovoru, zakonu ili legitimnom interesu.

4. Brza procjena

Javna readiness procjena u trenutačnom MVP-u obrađuje odgovore tijekom zahtjeva i ne treba tražiti osobne, povjerljive ni posebne kategorije podataka. Korisnici ne trebaju unositi imena, sadržaj dokumenata ili detalje incidenata u slobodnom tekstu.

5. Primatelji i dobavljači

Podaci se mogu dijeliti s pružateljima hostinga, identiteta, plaćanja, e-pošte, nadzora, sigurnosti i profesionalnim savjetnicima samo u opsegu potrebnom za uslugu. Popis stvarnih produkcijskih izvršitelja i lokacija obrade mora biti odobren i objavljen prije live prodaje. Podaci se ne prodaju oglašivačima.

6. Međunarodni prijenosi

Kada dobavljač obrađuje podatke izvan Europskog gospodarskog prostora, RiskWISE će prije produkcije provjeriti odgovarajući mehanizam prijenosa, ugovorne zaštite, lokaciju usluge i dodatne tehničke mjere. Ova release-candidate verzija ne potvrđuje da je produkcijski dobavljački lanac već odobren.

7. Rokovi čuvanja

• neuspjeli ili napušteni checkout zapisi: najkraće razdoblje potrebno za sigurnost, podršku i reconciliation;
• aktivni račun, tenant i ugovorna evidencija: tijekom ugovora i razumnog razdoblja nakon prestanka;
• računi i porezna evidencija: prema obveznom zakonskom roku;
• sigurnosni i audit zapisi: prema procijenjenom riziku, uz ograničen pristup;
• zahtjevi korisnika i podrška: do zatvaranja zahtjeva i isteka potrebnog dokaznog razdoblja.

Točni produkcijski rokovi nalaze se u kontroliranom retention rasporedu i moraju biti odobreni prije live prodaje. Podaci se brišu ili anonimiziraju kada svrha i obvezni rok prestanu.

8. Sigurnost i minimizacija

Planirane mjere uključuju odvojene tenant-e, role-based pristup, provjeru identity tokena, enkripciju prijenosa, managed identity, Key Vault, kontrolirane audit zapise, ograničenje logiranja i testiranje cross-tenant izolacije. Potpuni provider payloadi, access tokeni i kartični podaci ne smiju ulaziti u aplikacijske logove.

9. Automatizirano odlučivanje

Readiness rezultat je informativna, deterministička procjena i ne proizvodi pravne ili slične značajne učinke. Aktivacija pristupa ovisi o verificiranoj naplati i provjeri identiteta, a sporni ili iznimni slučajevi usmjeravaju se na ljudski pregled.

10. Prava pojedinaca

Ovisno o primjenjivim uvjetima, možete zatražiti pristup, ispravak, brisanje, ograničenje, prenosivost ili uložiti prigovor. Također možete podnijeti pritužbu nadležnom nadzornom tijelu. Za zahtjev se javite na office@wise-r.com. Prije odgovora možemo razumno provjeriti identitet i ovlaštenje podnositelja.

11. Podaci zaposlenika kupca

Organizacija kupac odgovorna je za transparentno informiranje svojih zaposlenika, zakonit unos i dodjelu pristupa te za to da u platformu ne unosi više podataka nego što je potrebno. RiskWISE će za obradu prema uputama kupca primjenjivati ugovorene sigurnosne i povjerljive postupke.

12. Izmjene i kontakt

Materijalne izmjene obavijesti objavit će se uz novu verziju i datum primjene. Pitanja o privatnosti, sigurnosti i ostvarivanju prava šalju se na office@wise-r.com.

1. Who is responsible

For data collected by RiskWISE for sales, contracting, secure access, billing and support, the controller is RiskWISE Consulting d.o.o. For employee content and data entered by a customer organisation into its tenant, controller and processor roles are governed by the contract and, where required, a data processing addendum.

2. Data we process

• business contact: name, business email, organisation and role;
• identity and access: external identity-provider identifier, tenant, membership and assigned roles;
• purchase and billing: selected package, interval, payment status, provider identifiers, billing address and tax ID when passed by the provider;
• service use: activity records, governance artefacts, acknowledgements, training, incidents and administrative changes;
• support and security: communications, technical logs, IP and security events to a proportionate extent.

WISE-R does not collect or store full payment-card details. Card data is processed by the hosted payment provider.

3. Purposes and legal bases

• Contract and pre-contract steps: checkout, tenant activation, subscription management and support.
• Legal obligation: accounting, tax and other mandatory records.
• Legitimate interests: security, abuse prevention, transaction evidence, reliability improvement and legal-claim defence, subject to proportionality assessment.
• Consent: used only where genuinely required and may then be withdrawn without affecting earlier lawful processing.

Acknowledging this notice is not consent to processing based on contract, law or legitimate interests.

4. Readiness preview

The public readiness preview in the current MVP processes answers during the request and should not request personal, confidential or special-category data. Users should not enter names, document contents or detailed incidents in free text.

5. Recipients and suppliers

Data may be shared with hosting, identity, payment, email, monitoring and security providers and professional advisers only as required for the service. The actual production processor list and processing locations must be approved and published before live sales. Data is not sold to advertisers.

6. International transfers

Where a supplier processes data outside the European Economic Area, RiskWISE will verify the transfer mechanism, contractual safeguards, service location and additional technical measures before production. This release-candidate version does not confirm that the production supply chain has already been approved.

7. Retention

• failed or abandoned checkout records: the shortest period needed for security, support and reconciliation;
• active account, tenant and contract records: during the contract and a reasonable period after termination;
• invoices and tax records: for the mandatory legal period;
• security and audit logs: according to assessed risk with restricted access;
• rights and support requests: until closure and expiry of the necessary evidence period.

Exact production periods are maintained in the controlled retention schedule and require approval before live sales. Data is deleted or anonymised when the purpose and mandatory period end.

8. Security and minimisation

Planned measures include tenant separation, role-based access, identity-token verification, encrypted transport, managed identity, Key Vault, controlled audit logs, logging restrictions and cross-tenant isolation tests. Full provider payloads, access tokens and card data must not enter application logs.

9. Automated decisions

The readiness score is an informational deterministic assessment and does not produce legal or similarly significant effects. Access activation depends on verified payment and identity checks, while disputed or exceptional cases are routed to human review.

10. Individual rights

Subject to applicable conditions, you may request access, correction, erasure, restriction or portability, or object to processing. You may also complain to the competent supervisory authority. Contact office@wise-r.com. We may reasonably verify the requester’s identity and authority before responding.

11. Customer employee data

The customer organisation is responsible for transparent employee information, lawful enrolment and access assignment, and for avoiding unnecessary data. RiskWISE will apply agreed security and confidentiality procedures when processing under customer instructions.

12. Changes and contact

Material changes will be published with a new version and effective date. Privacy, security and rights questions should be sent to office@wise-r.com.