Politika privatnosti.

Fondacija Mozaik je voditelj obrade ličnih podataka za mozaik.ba. Sjedište: Splitska 14, 71000 Sarajevo, Federacija Bosne i Hercegovine, Bosna i Hercegovina. Kontakt za pitanja o privatnosti: infoNO-SPAM@TRAPmozaik.ba

Odnosi se na mozaik.ba i njegove BHS i EN stranice, kontakt forme, prijavu na bilten, kviz i povezane rezultatne stranice, donacijske forme i potvrde, komunikaciju koju pokreneš prema nama putem sajta, osnovnu web analitiku, sigurnost i tehničke zapise.

Ime i prezime, email, telefon ako ga ostaviš, organizacija / kompanija, lokacija (uključujući automatsku detekciju grada i države na osnovu IP adrese radi lakšeg popunjavanja formi), sadržaj poruke, odgovori iz kviza, interes za partnerstvo, donaciju ili povezivanje, izraženi interes za konkretne programe, campaign i attribution parametri (UTM izvor, medij, kampanja), tehnički usage i sigurnosni podaci, donacijski i transakcijski podaci potrebni za evidenciju.

Da odgovorimo na upit, pošaljemo rezultat kviza, obradimo prijavu na bilten, evidentiramo donaciju, zaštitimo sajt od zloupotrebe, pratimo osnovne performanse sajta i funnel-a, mjerimo efikasnost kampanja putem attribution parametara, vodimo nužnu administraciju i zakonske evidencije, poboljšavamo sadržaj, UX i procese.

Saglasnost, izvršenje tražene usluge, predugovorne radnje, zakonska obaveza, legitimni interes, gdje je primjenjivo. Obrada se vrši u skladu sa Zakonom o zaštiti ličnih podataka u Bosni i Hercegovini (ZZLP).

Email komunikacija Fondacije Mozaik uključuje tri vrste sadržaja: kvartalni bilten (pregled rada Fondacije), priče s terena i rezultate (povremeno) te povremene pozive na podršku i akcije u ključnim trenucima. Ukupno možeš očekivati otprilike 1-2 poruke mjesečno, nikada više. Na listu te prijavljujemo samo kada se samostalno prijaviš ili izričito označiš saglasnost. Tvoju email adresu koristimo isključivo za ovu svrhu i ne dijelimo je s trećim stranama u marketinške svrhe. U svakom emailu imaš jasnu mogućnost odjave jednim klikom. Prijava se potvrđuje kroz dvostruku saglasnost (double opt-in): nakon što ostaviš email, šaljemo ti prvu poruku sa linkom za potvrdu i tek klikom na taj link ulaziš na listu. Trag te saglasnosti (vrijeme, verzija politike, hash IP adrese) čuvamo kao dokaz da si dao/dala pristanak. Kada se odjaviš, tvoju email adresu zadržavamo u tzv. suppression listi isključivo zato da osiguramo da ti se više nikad ne pošalje pošta. Suppression lista nije marketinška lista; ona postoji samo da poštujemo tvoju odluku.

Mozaik.ba koristi forme i kviz da bi korisniku dao relevantniji naredni korak i da bi tim mogao odgovoriti na pravi način, uključujući slanje rezultata kviza, internu klasifikaciju upita, evidentiranje interesa za konkretne programe i povezivanje sa pravom osobom za kontakt. Nakon završetka kviza za građane (Gradimo domovinu), rezultat se može podijeliti putem javnog linka. Link sadrži ime i tip rezultata, i dostupan je svakome ko ima taj link. Partnerski kviz za lokalne samouprave (/lokalne-samouprave): za općine, opštine i gradove koristimo posebnu procjenu spremnosti za saradnju. Tu prikupljamo ime i prezime osobe koja popunjava, naziv općine/opštine/grada, službeni email, telefon ako ga ostaviš, te odgovore na pitanja o prioritetima i kapacitetima zajednice. Na osnovu odgovora se izračunava informativni nivo partnerstva (Strateško, Razvojno, Start ili „trenutno nismo fit“) koji koristimo da pripremimo razgovor i da te tim Fondacije može kontaktirati. Tier je samo informativan - finalnu odluku o saradnji uvijek donosi tim Fondacije zajedno sa zajednicom.

Forma „Poveži nas“ omogućava ti da nam preporučiš kontakt osobu (npr. ime, email ili LinkedIn profil osobe ili organizacije za koju misliš da bi nam bila korisna). Ti si odgovoran/odgovorna da imaš osnov dijeliti te podatke sa nama (npr. da je riječ o javno dostupnom poslovnom kontaktu ili da te je ta osoba ovlastila). Fondacija Mozaik te podatke koristi isključivo radi inicijalnog kontakta vezanog za rad Fondacije. Ako si osoba čije je podatke neko podijelio sa nama, možeš u svakom trenutku tražiti uvid, ispravku ili brisanje slanjem emaila na infoNO-SPAM@TRAPmozaik.ba.

Ako doniraš putem mozaik.ba, prikupljamo podatke nužne da obradimo i evidentiramo donaciju (ime, email, iznos, eventualnu napomenu, te tehničke identifikatore transakcije). Plaćanje karticom obrađuje ovlašteni payment procesor Monri Payments d.o.o.; puni podaci platne kartice (PAN, CVV) se ne pohranjuju u našem sistemu. Zaštita povjerljivih podataka o transakciji: prilikom unošenja podataka o kartici, povjerljive informacije se prenose putem javne mreže u zaštićenoj (kriptovanoj) formi upotrebom SSL protokola i PKI sistema, kao trenutno najsavremenije kriptografske tehnologije. Sigurnost podataka prilikom plaćanja garantuje procesor kartica, Intesa Sanpaolo Banka d.d. BiH, pa se kompletan proces naplate obavlja na stranicama banke. Niti jednog trenutka podaci o kartici nisu dostupni našem sistemu.

Mozaik.ba koristi minimalan skup kolačića. Konkretno: • builder_session - nužni sesijski kolačić koji pamti napredak i rezultat kviza kako bi korisnik mogao nastaviti tamo gdje je stao ili ponovo vidjeti svoj rezultat. Ne traži saglasnost (nužan za funkciju). • _clck i _clsk - kolačići servisa Microsoft Clarity (anonimne sesije i heatmape). Postavljaju se isključivo nakon što daš saglasnost kroz cookie banner pri prvoj posjeti. Možeš odbiti ili kasnije promijeniti odluku brisanjem kolačića sajta. Clarity ne identifikuje korisnike lično i automatski maskira sadržaj polja za unos. • Cloudflare Turnstile cookies - privremeni anti-spam kolačići koje postavlja Cloudflare radi razlikovanja stvarnih ljudi od botova na ključnim formama. Nužni za funkciju zaštite od zloupotrebe. • Admin sesijski kolačić - postoji samo na zaštićenim admin stranicama (/admin) i koristi se isključivo za prijavu osoba iz Fondacije. Sajt može koristiti i campaign parametre (UTM) i osnovno attribution praćenje radi mjerenja efikasnosti komunikacije.

Fondacija Mozaik koristi sljedeće provjerene procesore (treće strane koje obrađuju podatke u naše ime, prema našim uputama): • Monri Payments d.o.o. (Sarajevo, BiH) - obrada plaćanja karticom kod donacija. • Microsoft Ireland Operations Ltd. - Microsoft 365 / Microsoft Graph API za slanje transakcijskih i biltenskih emailova preko našeg shared mailboxa. • Microsoft Corporation - Microsoft Clarity, anonimna analitika korištenja sajta (samo uz tvoju saglasnost). • Cloudflare, Inc. - Turnstile anti-spam zaštita kritičnih formi i osnovna sigurnosna infrastruktura. • Neon, Inc. - hosting baze podataka (PostgreSQL). • Replit, Inc. / Vercel, Inc. - hosting i build infrastruktura sajta. • Pružalac geolokacije po IP adresi - automatska detekcija grada i države radi lakšeg popunjavanja formi. • Računovodstveni, revizorski ili pravni savjetnici Fondacije i nadležni organi kada to traži zakon. Podatke ne prodajemo trećim stranama.

Neki od naših procesora (npr. Microsoft, Cloudflare, Neon, Replit, Vercel) mogu obrađivati podatke u Sjedinjenim Američkim Državama ili u drugim zemljama izvan Bosne i Hercegovine i Evropske unije. Fondacija bira procesore koji nude standardne ugovorne klauzule (Standard Contractual Clauses) i odgovarajuće tehničke i organizacione mjere zaštite podataka. Više informacija o konkretnim mehanizmima zaštite možeš zatražiti slanjem emaila na infoNO-SPAM@TRAPmozaik.ba.

Konkretni rokovi po kategoriji: • Kontakt upiti i lead forme: do ~24 mjeseca od zadnje relevantne komunikacije. • Odgovori iz kviza (građanski i partnerski) i izračunati rezultati: do ~24 mjeseca od zadnje aktivnosti. • Donacijski i računovodstveni podaci: u skladu sa propisima o računovodstvu i poreznom evidentiranju (do 11 godina). • Bilten: dok se ne odjaviš ili ne zatražiš brisanje. Nakon odjave, email ostaje u suppression listi trajno (samo radi osiguranja da ti se više ne šalje pošta). • Admin audit log (trag administrativnih izmjena): do ~24 mjeseca. • Webhook failures (neuspjeli signalni pozivi platnog procesora): ~90 dana. • Rate-limit bucketi (privremeni brojači zahtjeva): ~24 sata. • Bot block events (zapisi o blokiranim pokušajima): ~12 mjeseci. • Email log (audit poslanih transakcijskih poruka, bez sadržaja): ~12 mjeseci. Po isteku ovih rokova podaci se brišu ili anonimiziraju, osim ako zakon ne nalaže drugačije.

Poduzimamo razumne tehničke i organizacijske mjere zaštite. Konkretno: • IP adrese se ne čuvaju u izvornom obliku - hashiraju se sa tajnim saltom (IP_HASH_SALT) prije pohrane. • Ograničavanje broja zahtjeva (rate limiting) na javnim API endpoint-ima radi zaštite od zloupotrebe. • CSRF zaštita kroz provjeru Origin i Referer zaglavlja na svim ne-GET zahtjevima. • Verifikacija digitalnog potpisa webhookova platnog procesora (Monri). • Cloudflare Turnstile CAPTCHA na kritičnim formama (kontakt, kviz, partnerski kviz, bilten). • Double opt-in proces za bilten. • Dvofaktorska autentikacija (2FA) za pristup admin panelu. • Šifrirani prijenos (HTTPS / TLS) i HSTS za sav saobraćaj.

Možeš tražiti pristup, ispravku, brisanje, ograničenje obrade, prigovor na obradu kada je primjenjivo, prenosivost podataka gdje je primjenjivo, te povlačenje saglasnosti i informaciju o tome kako se tvoji podaci koriste. Fondacija Mozaik vodi evidenciju saglasnosti i omogućava anonimizaciju podataka na zahtjev. Na zahtjeve odgovaramo u razumnom roku, najkasnije u roku od 30 dana od prijema. Za ostvarivanje prava piši na infoNO-SPAM@TRAPmozaik.ba. Ukoliko smatraš da Fondacija Mozaik ne obrađuje tvoje podatke u skladu sa zakonom, imaš pravo podnijeti pritužbu Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini: Agencija za zaštitu ličnih podataka u Bosni i Hercegovini Dubrovačka 6, 71000 Sarajevo Web: www.azlp.ba Email: azlpinfoNO-SPAM@TRAPazlp.gov.ba

Tipovi rezultata kviza za građane (Graditelj vještina, Graditelj poslova i sl.) i nivoi partnerstva u kvizu za lokalne samouprave (Strateško, Razvojno, Start ili Nije fit) su informativni. Oni ne predstavljaju automatske odluke sa pravnim učinkom prema tebi ili tvojoj zajednici. Konačnu procjenu i bilo kakvu odluku o saradnji uvijek donosi tim Fondacije Mozaik nakon razgovora.

Fondacija Mozaik koristi AI alate isključivo interno, kao pomoć timu (npr. za predlaganje SEO meta opisa stranica i sličnih internih sadržaja). Lični podaci korisnika sajta, sadržaj formi, odgovori iz kviza i druge poruke koje nam šalješ nikada se ne prosljeđuju AI servisima.

Sajt je namijenjen korisnicima starijim od 16 godina. Ako imaš manje od 16 godina, potrebna ti je saglasnost roditelja ili staratelja za korištenje formi, kviza i doniranja. Ako si roditelj ili staratelj i smatraš da je maloljetna osoba ostavila podatke bez tvoje saglasnosti, pošalji nam zahtjev na infoNO-SPAM@TRAPmozaik.ba sa naznakom da se radi o maloljetniku i, ako je moguće, sa imenom i email adresom koja je korištena. Brišemo te podatke u najkraćem roku.

Ovu Politiku možemo povremeno mijenjati radi usklađivanja sa zakonom, tehničkim promjenama ili promjenama u načinu rada sajta. Trenutnu verziju i datum posljednje izmjene uvijek možeš vidjeti na vrhu ove stranice.