Različica 2.0 (začasna) – velja od 22. 10. 2026
To je začasno obvestilo za različico 2.0. Pripravljeno je po trenutni izvedbi sistema in čaka na pregled odvetnika Bogdana Petrovčiča (Paragon). O nadaljnjih spremembah vas bomo obvestili na tej strani.
1. Kdo uporablja vaše podatke
Upravljavec je spodaj navedena družba KEYRETURN d.o.o. Vprašanja in zahteve glede osebnih podatkov pošljite na naš splošni naslov ali na kontakt za zasebnost. Ta kontakt ni imenovana pooblaščena oseba za varstvo podatkov.
KEYRETURN, trgovina na drobno z drugim novim blagom, d.o.o.Klopčičeva ulica 2, 1000 Ljubljana, Slovenija
Matična številka: 9848835000
ID za DDV: SI39376516
E-pošta: info@key-return.com
Zasebnost: nadia.zutic@key-return.com
2. Nakup, dostava in računi
Izdelke prodajamo in pošiljamo samo v Slovenijo. To velja za potrošnike in podjetja; država podjetja in dostave pri nakupu je Slovenija. Postopek vračanja že najdenega predmeta ima ločeno izbiro dostave lastniku in ni omejen z nastavitvami nakupa.
Pri nakupu v paketomat od potrošnika ne zahtevamo osebnega imena in domačega naslova. Račun se glasi na »Končni kupec«. Kljub temu nakup ni povsem anonimen: za potrdilo, račun in dostavo obdelujemo e-poštni naslov, telefonsko številko, izbrani paketomat, naročene izdelke, zneske, čas in oznake plačila. Pri dostavi na dom obdelujemo tudi ime in naslov za dostavo. Tudi potrošniški račun za dostavo na dom se glasi na »Končni kupec«.
Za podjetje obdelujemo naziv, sedež oziroma naslov, poštno številko, kraj in davčno številko oziroma identifikacijsko številko za DDV ter kontakt za naročilo. Ti podatki so navedeni na računu podjetja. Kadar se prijavite, naročilo lahko povežemo z vašim uporabniškim računom.
Plačilo izvede Stripe. Prejmemo rezultat plačila in tehnične oznake transakcije; podatke o plačilni kartici vnesete pri Stripe in jih aplikacija KEYRETURN ne shranjuje. Shopify vodi izdelke, košarico, naročila in podatke strank. Za izdajo računa in davčno potrjevanje obdelujemo zneske, davčne podatke, zaporedne številke in potrditev FURS. Shranjenega izdanega računa pozneje ne izdajamo ali fiskaliziramo ponovno.
Podlaga za naročilo, plačilo in dostavo je izvajanje pogodbe (člen 6(1)(b) GDPR), za račune in davčne evidence pa zakonska obveznost (člen 6(1)(c) GDPR). Podatki o nakupu imajo petletni rok, račun in davčna dokazila pa deset let po koncu leta izdaje, kot je pojasnjeno v razdelku o hrambi.
3. Uporabniški račun in oznake RKN
Prijava poteka prek Shopify Customer Accounts. Firebase Authentication za prijavo ne uporabljamo. Obdelujemo e-pošto, identifikator stranke in podatke, ki jih vrne vaš račun Shopify, podatke paketa ter povezavo med lastnikom in oznako RKN. Pri aktivaciji vnesete javno kodo RKN, zasebno aktivacijsko kodo in telefonsko številko. Oznaka nima GPS sledenja. Najditelju prek javne kode ne razkrivamo vaših kontaktnih podatkov.
Za vračilo predmeta lastnik v prijavljenem računu izbere paketomat ali dostavo na naslov. Za naslovno dostavo potrebujemo ime in naslov; za paketomat podatke izbranega mesta in kontakt za dostavo. Kadar je na voljo, lahko uporabite še veljaven naslov prejšnjega nakupa.
Podatke uporabljamo za izvajanje storitve in varno prijavo (člen 6(1)(b) GDPR); zaščito dostopa in preprečevanje zlorab utemeljujemo z zakonitim interesom (člen 6(1)(f) GDPR). Nastavljen rok računa in lastništva je pet let od nastanka računa oziroma zadnje aktivacije ali podaljšanja. Sistem ima opomnika 30 in 7 dni pred potekom ter povezavo »Podaljšaj«. Če se rok ne podaljša, predvidi odstranitev računa in osebnih povezav ter deaktivacijo oznak. Trenutno stanje samodejnega izvajanja je opisano v razdelku o hrambi.
4. Če najdete predmet
V obrazcu vnesete kodo RKN, ime, e-pošto, telefon, naslov, poštno številko in kraj, način oddaje oziroma prevzema predmeta, izbiro nagrade ter po želji sporočilo. Pri kurirskem prevzemu potrebujemo datum prevzema, pri oddaji v paketomat podatke paketomata. IBAN je potreben le za nagrado z nakazilom na TRR; drugih oblik nagrade aplikacija ne pogojuje z IBAN.
Izbirate lahko nakazilo 20 EUR na TRR, darilno kartico Müller za 25 EUR po e-pošti, 25 % popust KEYRETURN ali vračilo brez nagrade. Podatke uporabljamo za organizacijo vračila, GLS nalepko, obveščanje in izbrano nagrado, na podlagi izvedbe storitve in pravil nagrade (člen 6(1)(b) GDPR). Za davčna dokazila izplačila je podlaga člen 6(1)(c) GDPR. Nakazilo in izplačilo se evidentirata v obravnavi; obrazec ni dovoljenje za trženje.
Po zaključku primera je nastavljen trimesečni rok za anonimizacijo kontaktov, naslova, sporočila, IBAN in podatkov za oddajo. Če je nagrada izplačana, se ločeno deset let od izplačila hranijo ime prejemnika, IBAN, znesek in datum izplačila. Odprti primeri niso predmet samodejnega izbrisa; pri daljši obravnavi sistem opozori skrbnika.
Za pregled delovanja storitve vodimo tudi skupna števila po državi in slovenski statistični regiji. Regijo določimo iz poštne številke. V tej zbirki ni imena, naslova, telefona, oznake naročila ali stranke niti datuma posameznega nakupa. Druge zbirke naročil in primerov imajo svoje roke hrambe.
5. Nagradne igre
Sodelujete lahko, če ste stari vsaj 18 let in imate stalno prebivališče v Sloveniji. Obvezno potrdite starost in prebivališče ter seznanitev s pravili konkretne igre in tem obvestilom. Vnesete e-pošto in telefon. Shranimo tudi oznako igre, zahtevani potrditvi, ločeni neobvezni trženjski soglasji, različico prikazanega besedila, čas in vir prijave. Podvojene prijave preverjamo znotraj posamezne igre po e-pošti in normalizirani telefonski številki. Prijave sprejemamo samo v času aktivne igre.
Soglasji za e-novice in telefonsko trženje sta neobvezni in ne vplivata na sodelovanje ali izbor. Za izvedbo igre, preverjanje prijave in obveščanje uporabljamo prijavne podatke na podlagi pravil sodelovanja oziroma izvedbe obljubljene nagrade (člen 6(1)(b) GDPR). Trženje ima svojo ločeno podlago. Morebitno davčno dokazilo nagrade temelji na zakonski obveznosti.
Po koncu igre skrbnik vnese člane komisije in izvede žreb. Pred izborom se seznam veljavnih prijav zamrzne; iz urejenih identifikatorjev se izračuna kontrolna vsota SHA-256. Kriptografsko varen generator naključno in brez ponavljanja izbere enega nagrajenca in dve rezervi. Žreb se za isto igro lahko izvede samo enkrat. Shranimo datum, skrbnika, komisijo, število prijav, kontrolno vsoto, izbrane prijave in zapisnik PDF s podpisnimi vrsticami. Zapisnik je dostopen pooblaščenim skrbnikom; sistem ne objavlja imen nagrajencev javno.
Izbrani kandidat po obvestilu po e-pošti prejme varno povezavo in ima sedem koledarskih dni po času Europe/Ljubljana za odgovor. Če zavrne ali rok poteče, sistem po vrsti samodejno obvesti naslednjo rezervo; skrbnik lahko obvestilo pošlje tudi ročno. Če vsi kandidati odpadejo, se igra konča brez podelitve nagrade. Dejanja se beležijo v revizijsko sled.
Za potrditev nagrade vnesete ime, priimek, ulico in hišno številko, poštno številko in kraj. Davčno številko zahtevamo samo, če jo organizator za to igro posebej vključi. Skrbnik evidentira podelitev; če tega ne stori prej, sistem po privzeto 30 dneh od potrditve za evidenco samodejno določi datum podelitve. Ta evidenca sama po sebi ne dokazuje fizične dostave.
Nenagrajene prijave, tudi neuporabljene rezerve, imajo rok tri mesece po žrebu; če žreba ni, po koncu igre. Odprta izbira kandidata ali nedokončan žreb lahko izbris zadrži. Podatki nagrajenca, njegova prijava in zapisnik s kontaktnimi podatki izbranih kandidatov imajo rok deset let po koncu leta podelitve. Če nagrada ni podeljena, se rok zapisnika računa od konca leta zaključka igre. Neznanih datumov ne nadomeščamo z izmišljenimi datumi.
Prijav, telefonskih soglasij in podatkov obrazca nagrajenca ne pošiljamo Meti. Morebitna neobvezna spletna analitika ali Pixel ob obisku strani sta odvisna od vaše ločene izbire piškotkov; to ni posredovanje vsebine prijave.
6. E-novice in MailerLite
Na novice se lahko prostovoljno prijavite v obrazcu, uporabniškem računu ali z neobveznim soglasjem v nagradni igri (člen 6(1)(a) GDPR). Pri nagradni igri velja dvojna potrditev: naslov pošljemo kot nepotrjen in ga štejemo med naročnike šele po potrditvi pri MailerLite. Prijava brez soglasja za e-novice se ne prenese v marketinški seznam.
Pri nakupu je prikazano ločeno obvestilo o novicah o lastnih podobnih izdelkih in možnost »Ne želim prejemati novic«. Če ne zavrnete, sistem po plačilu lahko doda naslov na podlagi izjeme za obstoječe kupce iz člena 226(2) ZEKom-2. Ta možnost in njeno besedilo še čakata na pravni pregled. Neobvezni piškotki niso pogoj za e-novice ali nakup.
Glavna evidenca je pri KEYRETURN v Firestore: e-pošta, morebitno ime, vir, datumi privolitve, nakupa in aktivnosti, besedilo in različica soglasja ter stanje naročnine. MailerLite je orodje za pošiljanje kampanj. Posredujemo e-pošto in ime, če ga imamo, ter tehnično stanje naročnine, skupino in oznake iger za ciljanje prejemnikov posamezne igre. Naslova za dostavo, telefona, IBAN ali davčne številke v ta seznam ne pošiljamo.
Odjavite se prek povezave v vsakem sporočilu ali naše strani za odjavo. Odjava, nedostavljiv naslov ali prijava neželene pošte pri MailerLite se uskladi z našo evidenco; naša odjava in zahteva za odstranitev pa se preneseta MailerLite. Odjavljenega naslova nakup ali nova prijava ne aktivira ponovno. Po odjavi ostaneta zaščiten zgoščeni zapis naslova (HMAC) in čas odjave za preprečevanje ponovnega dodajanja; v ločeni evidenci je lahko še tehnični zaznamek brez kontaktnih podatkov. Ob neuspešni odstranitvi je prejemnik začasno šifriran v čakalni vrsti do uspešnega zaključka pri ponudniku.
Izrecno naročnino hranimo do odjave, ob upoštevanju neaktivnosti. Zabeležimo prijavo oziroma potrditev ter odpiranja in klike kampanj, ki nam jih sporoči MailerLite. Po 24 mesecih brez aktivnosti je predvideno eno sporočilo »Želite še prejemati novice KEYRETURN?« s povezavo »Da, želim ostati«. Potrditev obnovi datum aktivnosti. Če v 30 dneh ne potrdite, je predvidena odjava, lokalni izbris in dokončna odstranitev pri MailerLite. Odprtje običajne kampanje po poslanem pozivu ne nadomesti zahtevane potrditve.
Za naslov, zbran samo na podlagi nakupa, ostaja obstoječi rok pet let po zadnjem nakupu, če ni zabeleženega odziva. Izbris naročila ali potek uporabniškega računa sam po sebi ne prekine ločene veljavne naročnine na novice. Trenutno samodejno izvajanje rokov je pojasnjeno spodaj.
7. Telefonsko trženje – soglasja zbiramo, klicev še ne izvajamo
V nagradni igri lahko ločeno in prostovoljno soglašate s telefonskim trženjem. Shranimo telefon, e-pošto, čas soglasja, različico besedila, vir, oznako igre in morebitni preklic. Klicni center oziroma funkcija telefonskega trženja še ni aktivna. Soglasje zbiramo zdaj za morebitno poznejše izvajanje.
Po uvedbi bi klice izvajal KEYRETURN ali njegov pooblaščeni zunanji klicni center na podlagi pogodbe o obdelavi podatkov. Zunanji izvajalec še ni določen; njegovo identiteto in morebitne prenose bomo navedli pred začetkom takšne obdelave. Sedanja prijava še ne pomeni posredovanja nedoločenemu klicnemu centru.
Podlaga je prostovoljna privolitev (člen 6(1)(a) GDPR in 226. člen ZEKom-2). Soglasje lahko brezplačno prekličete kadarkoli na kontakt za zasebnost; preklic ne vpliva na sodelovanje v igri ali zakonitost pretekle obdelave. Velja do preklica, največ pet let od datuma soglasja; nastavljena je odstranitev ob poteku. Nadzor neželene komunikacije po ZEKom-2 izvaja AKOS. Posebnega izvoza, portala za preklic ali klicne aplikacije še ni.
8. Roki, samodejni pregled in varnost
Roke računamo po koledarju Europe/Ljubljana, ne zgolj z množenjem števila dni. V nadaljevanju so navedeni trenutno nastavljeni roki. Dnevni pregled ob 03:00 izračuna zapadla dejanja. Trenutno deluje v preizkusnem načinu: predlagana dejanja poroča, ne pošilja opomnikov ali pozivov za ponovno privolitev in ne izvaja samodejnega brisanja. Roki torej še niso zagotovilo, da je samodejni izbris že izveden. Zahteve posameznikov lahko pošljete na kontakt za zasebnost.
Ob vklopu izvajanja sistem pred posegom ponovno preveri aktualno stanje, beleži tehnični rezultat ter ponavlja neuspele odstranitve pri ponudnikih. Pri Shopify vseh podatkov naročila ni mogoče neposredno spremeniti; za določene zapise se sproži zahteva za izbris in preverja njen zaključek. Ponudniki imajo lahko svoje zakonske roke za plačilna ali dostavna dokazila. Ne trdimo, da je posamezen podatek pri vseh ponudnikih izbrisan isti trenutek.
Dostop do zaledja imajo pooblaščeni skrbniki; povezave za odjavo, podaljšanje in prevzem nagrade so podpisane. Uporabljamo šifrirane povezave, omejitve dostopa in tehnične evidence obravnave. Varnostne kopije in dnevniki infrastrukture sledijo nastavitvam ponudnikov; ločen samodejni rok za vso korespondenco ali vse varnostne dnevnike v aplikaciji ni nastavljen. Za vprašanja o konkretnem zapisu nam pišite.
9. Komu podatke posredujemo
Spodaj so storitve, uporabljene v tej izvedbi. Obdelovalec podatke obdeluje po navodilih; plačilni in dostavni ponudniki ter javni organi imajo za del svojih nalog tudi lastne obveznosti upravljavca. Ne prodajamo seznama prijav v nagradno igro ali telefonskih soglasij oglaševalcem.
Aplikacijska strežnika sta v Google Cloud v Frankfurtu (europe-west3), zbirka Firestore v evropski regiji. Gostovanje in globalna dostava vsebine lahko vključujeta druge države. Iz evropske regije ni mogoče sklepati, da vsi našteti ponudniki podatke obdelujejo samo v EU. Za prenos izven EGP se uporabljajo ustrezna odločba o ustreznosti oziroma standardne pogodbene klavzule in dopolnilna varovala iz pogojev posameznega ponudnika. Katere pogodbe in nastavitve veljajo za naš račun, je odprta točka pravnega pregleda; potrditve sklenjenih pogodb ne nadomeščamo s tem obvestilom. Kopijo informacij o varovalih lahko zahtevate na kontakt za zasebnost.
10. Piškotki in shramba v brskalniku
Piškotki so manjši zapisi v brskalniku. Aplikacija uporablja tudi localStorage (shramba do odstranitve) in sessionStorage (shramba zavihka). Spodnja tabela loči te tehnologije. Nujni zapisi omogočajo zahtevano storitev in pomnjenje izbire (225. člen ZEKom-2). Analitika in trženje sta prostovoljni, ločeni izbiri na podlagi privolitve. Pred izbiro sta izključeni.
Analitika pomeni Google Analytics prek Firebase; trženje pomeni Meta Pixel in strežniški Conversions API. Izbira se preverja tudi pri dogodkih nakupa. V aplikaciji ne uporabljamo prijave Firebase Auth, orodij Hotjar ali Microsoft Clarity. Shranjeni starejši analitični piškotki niso nova, ločeno vključena analitična storitev.
V nogi strani izberite »Nastavitve piškotkov«. »Samo nujni« zavrne obe neobvezni kategoriji; v nastavitvah lahko vsako izberete posebej in kliknete »Shrani izbiro«. Zavrnitev ne prepreči nakupa, prijave ali sodelovanja v nagradni igri. Ob preklicu aplikacija ustavi zadevni sledilnik, odstrani dostopne piškotke te kategorije in ponovno naloži stran, tudi pri usklajevanju med zavihki. Brskalnik lahko omeji odstranitev piškotkov druge gostiteljske domene.
Preklic velja za nadaljnje zbiranje, ne izbriše že posredovanih podatkov pri ponudniku. Te lahko obravnavate prek pravic iz naslednjega razdelka. Izbiro in lokalno shrambo lahko odstranite tudi v nastavitvah brskalnika. Privzeto trajanje piškotkov ponudnikov se lahko spremeni z njihovo nastavitvijo ali omejitvami brskalnika; lokalne shrambe nimajo samodejnega izteka, razen navedenega vedenja aplikacije.
Nujni – vedno vključeni
Košarica, varna prijava in pomnjenje vaše izbire.
Analitika – samo z dovoljenjem
Google Analytics prek Firebase meri obisk in uporabo trgovine, da jo lahko izboljšamo.
Trženje – samo z dovoljenjem
Meta Pixel in Conversions API merita uspešnost oglasov ter pomagata prilagajati oglaševanje na Facebooku in Instagramu.
11. Vaše pravice in kontakt
Pod pogoji GDPR imate pravico do dostopa in kopije podatkov, popravka, izbrisa, omejitve obdelave in prenosljivosti ter ugovora obdelavi na podlagi zakonitega interesa. Trženju lahko ugovarjate kadarkoli. Privolitev lahko brezplačno prekličete; preklic ne vpliva na zakonitost predhodne obdelave. Računskih dokazil, ki jih moramo hraniti zaradi zakona, ne moremo izbrisati samo na podlagi preklica trženjskega soglasja.
Zahtevo pošljite na info@key-return.com ali nadia.zutic@key-return.com. Navedite, na katero storitev in pravico se nanaša. Za varno obravnavo lahko zahtevamo sorazmerno preverjanje identitete. Praviloma odgovorimo v enem mesecu; o morebitnem dovoljenem podaljšanju in razlogu vas obvestimo. Posebnega spletnega obrazca za splošno zahtevo GDPR trenutno ni. Obstoječe povezave iz sporočil omogočajo odjavo od novic, ponovno potrditev, podaljšanje računa in odgovor nagrajenca; ne nadomeščajo splošne zahteve za dostop ali izbris.
Pritožbo lahko vložite pri Informacijskem pooblaščencu Republike Slovenije. Glede neželene elektronske ali telefonske komunikacije po ZEKom-2 se lahko obrnete na AKOS. Na spodnjih uradnih straneh so aktualni kontakti in obrazci.
Ne izvajamo avtomatiziranega kreditnega ocenjevanja ali odločanja s podobnimi pravnimi učinki. Žreb v nagradni igri je naključen izbor po objavljenih pravilih; administracijo in obravnavo nagrade vodijo pooblaščene osebe. Uporaba oglaševalskih storitev ob vašem dovoljenju lahko vključuje prilagajanje oglasov pri ponudniku.