Politika zasebnosti

1.1 Ta politika zasebnosti (v nadaljevanju: Politika) pojasnjuje, katere osebne podatke obdelujemo, ko uporabljate spletno stran mhiska.si ali mobilno aplikacijo mHiška za iOS in Android (v trgovinah z aplikacijami objavljeno pod imenom »Hiška«) (v nadaljevanju skupaj: Platforma). Pojasnjuje tudi, za katere namene in na kateri pravni podlagi podatke obdelujemo, komu jih posredujemo, koliko časa jih hranimo in kakšne pravice imate.

1.2 Politika je pripravljena v skladu z Uredbo (EU) 2016/679 (Splošna uredba o varstvu podatkov, v nadaljevanju: GDPR), Zakonom o varstvu osebnih podatkov (ZVOP-2), Zakonom o elektronskih komunikacijah (ZEKom-2) in Uredbo (EU) 2022/2065 o enotnem trgu digitalnih storitev (v nadaljevanju: DSA).

1.3 Politika je obvestilo posameznikom po 13. in 14. členu GDPR in ni pogodba. Kjer obdelava temelji na privolitvi, vas zanjo prosimo ločeno in izrecno.

2.1 Platformo upravljata ustanovna partnerja mHiške, ki sta v projektu enakovredna in za obdelavo osebnih podatkov odgovarjata enako. Osebne podatke zato obdelujeta kot skupna upravljavca v smislu 26. člena GDPR:

(1) LUCI & CO, računalniške in druge storitve, Lucian Horvat s.p.
Štihova ulica 13, 1000 Ljubljana, Slovenija
matična številka: 7530145000 · davčna številka: 35478691

(2) Žan Ninič Čeak
Pleteršnikova ulica 15, 1000 Ljubljana, Slovenija

(v nadaljevanju skupaj: mHiška, upravljavca ali mi)

Enotna kontaktna točka za oba upravljavca: zasebnost@mhiska.si · splošni kontakt: info@mhiska.si

2.2 Upravljavca sta sklenila pisni dogovor o skupnem upravljanju. Bistvo dogovora je naslednje:

• oba skupaj določata namene in sredstva obdelave;
• oba imata enak dostop do osebnih podatkov in enake pravice ter obveznosti;
• oba enako in solidarno odgovarjata za skladnost obdelave z GDPR in ZVOP-2;
• zahteve posameznikov obravnavata skupaj prek enotne kontaktne točke.

Bistvo dogovora je dostopno tudi na zahtevo.

2.3 Ne glede na dogovor lahko svoje pravice iz GDPR uveljavljate pri vsakem od upravljavcev in zoper vsakega od njiju (26(3). člen GDPR). Zahtevo, ki jo prejme eden od upravljavcev, obravnavata oba.

2.4 Pooblaščene osebe za varstvo podatkov nismo imenovali, ker za nas po 37. členu GDPR ni obvezna.

2.5 Do osebnih podatkov imata dostop samo upravljavca, ki sta oba zavezana k zaupnosti. Zunanji izvajalci dostop dobijo le izjemoma, na podlagi pisne pogodbe in v obsegu, ki je nujen za nalogo.

2.6 Če bo Platforma prenesena na novo gospodarsko družbo ustanovnih partnerjev, bo ta postala upravljavec. O spremembi vas bomo obvestili najmanj 15 dni vnaprej.

3.1 Uporabniški račun

E-poštni naslov, enolični identifikator računa, način prijave (enkratna koda po e-pošti, račun Google ali Apple) ter čas ustvarjanja računa in prijav. Pri prijavi z Apple lahko uporabite Applov skriti posredovalni e-naslov; v tem primeru vašega pravega e-naslova ne prejmemo. Gesel ne uporabljamo in jih ne hranimo.

3.2 Profil

Prikazno ime, profilna slika, kratek opis, telefonska številka in e-naslov za obvestila (neobvezno), izbrana vloga (iskalec ali najemodajalec), stanje uvajanja (vključno s časom, ko ste zaključili uvajanje in sprejeli Pogoje) ter status preverjenosti istovetnosti.

3.3 Oglasi nepremičnin

Natančen naslov nepremičnine, približna javna lokacija (območje oz. četrt), opis, cena, podatki o sobah, opremi, pravilih bivanja in energijskem razredu, fotografije ter zgodovina statusa oglasa (osnutek, objavljen, umaknjen). Za javni prikaz iz vsake fotografije ustvarimo novo kopijo, iz katere odstranimo metapodatke, kot je lokacija fotografiranja. Natančnega naslova drugim uporabnikom ne prikazujemo; sporočite jim ga lahko sami.

3.4 Iskanje in shranjeni oglasi

Shranjeni oglasi, mape in člani map, ki jih delite z drugimi. Nazadnje iskane kraje hranimo samo na vaši napravi.

3.5 Sporočila

Vsebina sporočil, ki si jih izmenjate z drugimi uporabniki, priponke (fotografije in datoteke PDF), čas pošiljanja, podatek o prebranosti in začasen prikaz, da sogovornik piše.

3.6 Preverjanje istovetnosti

Izid preverjanja (v pregledu, preverjen, zavrnjen, preklican, potekel), čas in tehnični identifikator postopka pri ponudniku. Podrobnosti so v 5. členu.

3.7 Prijave, moderiranje in blokade

Kadar prijavite vsebino, obdelamo vašo identiteto, prijavljeno vsebino, razlog in vaše pojasnilo. Kadar je vaša vsebina prijavljena, obdelamo prijavljeno vsebino, odločitev in njeno obrazložitev. Hranimo tudi seznam uporabnikov, ki ste jih blokirali.

3.8 Potisna obvestila

Identifikator za potisna obvestila, identifikator namestitve aplikacije, vrsto naprave in podatek o dostavi obvestila.

3.9 Nastavitve

Jezik, nastavitve prikaza in dostopnosti ter vaša odločitev glede prejemanja novic po e-pošti (privzeto izklopljeno).

3.10 Obrazci na spletni strani mhiska.si

Pri predregistraciji: e-naslov, ime, priimek, telefonska številka, datum rojstva, spol, predvidena vloga ter vaše privolitve s časom podaje. Pri oddaji povpraševanja po nastanitvi ali najave nepremičnine: kraj, najvišji mesečni znesek, želeni datum vselitve, opremljenost, opombe in odločitev o anonimni objavi. Pri predlogu nove funkcije: besedilo predloga, stran, s katere je bil poslan, in neobvezen e-naslov. Če se pozneje v aplikacijo prijavite z istim e-naslovom, predregistracijo povežemo z vašim računom.

3.11 Korespondenca

Če nam pišete, obdelamo vaš e-naslov, vsebino sporočila in naš odgovor.

3.12 Tehnični podatki

Ponudniki naše infrastrukture v sistemskih dnevnikih kratek čas beležijo IP naslov, čas in vrsto zahteve ter podatke o napravi in brskalniku. To počnejo zaradi varnosti in delovanja storitve. Mi v svojih aplikacijskih zbirkah IP naslovov ne hranimo. Hranimo pa tehnične zapise za preprečevanje zlorab, na primer omejitve števila zahtev.

3.13 Česa ne zbiramo

Ne zbiramo in ne hranimo slik osebnih dokumentov, biometričnih podatkov, EMŠO, davčnih številk, bančnih ali plačilnih podatkov uporabnikov, lokacije vaše naprave, stikov iz imenika ali posnetkov mikrofona.

4.2 Kjer obdelava temelji na zakonitem interesu, smo interese mHiške in uporabnikov pretehtali z vašimi pravicami. Povzetek tehtanja vam posredujemo na zahtevo.

4.3 Podatki iz 3.1 in 3.2, ki so označeni kot obvezni, so pogoj za sklenitev pogodbe o uporabi Platforme. Brez njih računa ni mogoče ustvariti. Preverjanje istovetnosti je pogoj za objavo oglasa, ne pa za iskanje nastanitve ali pošiljanje sporočil. Vsi ostali podatki so neobvezni.

4.4 Podatkov ne uporabljamo za profiliranje, oglaševalsko ciljanje ali prodajo tretjim osebam.

5.1 Da zaščitimo iskalce pred lažnimi oglasi, mora najemodajalec pred objavo prvega oglasa potrditi svojo istovetnost. Preverjanje izvaja naš pogodbeni obdelovalec UAB »iDenfy«, Kaunas, Litva, EU.

5.2 Postopek poteka v varnem okolju ponudnika. Fotografirate veljaven osebni dokument (osebno izkaznico, potni list ali vozniško dovoljenje) in svoj obraz. Ponudnik iz fotografij ustvari biometrične podatke obraza, s katerimi preveri, ali dokument pripada vam. Biometrični podatki so posebna vrsta osebnih podatkov (9. člen GDPR). Zato jih obdelujemo le na podlagi vaše izrecne privolitve, ki jo podate v okolju ponudnika pred fotografiranjem. Postopek je prostovoljen in ga lahko kadar koli prekinete; v tem primeru oglasa ne morete objaviti, druge funkcije Platforme pa lahko uporabljate še naprej.

5.3 mHiška ne prejme in ne hrani slik dokumenta, fotografije obraza, biometričnih podatkov ali podatkov z dokumenta (vključno z imenom, EMŠO ali številko dokumenta). Prejmemo samo izid preverjanja, čas in tehnični identifikator postopka. Za nadaljevanje prekinjenega postopka hranimo šifriran žeton, največ 24 ur.

5.4 Ponudnik podatke hrani v skladu s pogodbo z mHiško in svojimi pravili hrambe ter jih nato izbriše. Izbris podatkov lahko zahtevate tudi neposredno pri ponudniku.

5.5 Odločitev o izidu lahko temelji na avtomatizirani obdelavi pri ponudniku. Če je bilo preverjanje zavrnjeno, lahko na zasebnost@mhiska.si zahtevate ročni pregled s strani človeka, izrazite svoje stališče in izpodbijate odločitev (22. člen GDPR).

5.6 Uporabnikom, ki so istovetnost potrdili pred 27. 9. 2026, je preverjanje izvedel Stripe Payments Europe Ltd. (Dublin, Irska). Zanje velja enako kot v 5.3.

5.7 Oznaka »preverjen« pomeni samo, da je uporabnik uspešno potrdil svojo istovetnost. Ne potrjuje lastništva nepremičnine, pravice do oddajanja ali zanesljivosti uporabnika.

6.1 Drugi uporabniki vidijo vaše prikazno ime, profilno sliko in oznako »preverjen«, vaše objavljene oglase (brez natančnega naslova) in sporočila, ki jim jih pošljete. Člani mape, ki jo delite, vidijo njeno vsebino.

6.2 Ekipa mHiške (skupna upravljavca kot administratorja) dostopa do podatkov le, kolikor je potrebno za podporo, varnost in obravnavo prijav. Zasebnih sporočil ne bere, razen sporočila, ki ga je uporabnik prijavil. Administratorska dejanja se beležijo v dnevnik.

6.3 Pogodbeni obdelovalci obdelujejo podatke v našem imenu, na podlagi pisne pogodbe po 28. členu GDPR:

6.4 Samostojni upravljavci, katerih storitve so vključene v Platformo in za katere veljajo njihove politike zasebnosti:

• Google Ireland Ltd.: prikaz zemljevidov (Google Maps), dopolnjevanje naslovov in točke v bližini (Google Places), prijava z Googlom;
• Apple Distribution International Ltd.: prijava z Apple in dostava obvestil na napravah iOS (Apple Push Notification Service);
• Apple in Google kot upravljavca trgovin z aplikacijami.

Ko uporabite zemljevid, se vaša naprava neposredno poveže z Googlom, ki lahko pri tem obdela vaš IP naslov.

6.5 Promocijski partnerji. Na Platformi lahko prikazujemo promocijske vsebine partnerjev (npr. v vrtiljaku na začetni strani). Vse uporabnike vidijo iste vsebine; niso prilagojene posamezniku. Partnerjem ne posredujemo nobenih osebnih podatkov. Ko kliknete promocijsko vsebino, se odpre spletna stran partnerja, za katero veljajo njegova pravila.

6.6 Organi in svetovalci. Podatke posredujemo sodiščem, policiji in drugim pristojnim organom, kadar to zahteva zakon. Pristojne organe obvestimo tudi o sumu kaznivega dejanja, ki ogroža življenje ali varnost oseb (18. člen DSA). Po potrebi podatke razkrijemo zunanjim svetovalcem (odvetnikom, računovodjem), ki so zavezani k molčečnosti.

6.7 Vaših osebnih podatkov ne prodajamo in jih ne posredujemo oglaševalcem ali oglaševalskim mrežam.

7.1 Podatkovna baza in datoteke Platforme so shranjene v Evropski uniji. Nekateri ponudniki iz 6. člena imajo sedež v ZDA ali tam uporabljajo podobdelovalce: Supabase, Expo, Vercel, Google in Apple ter ponudnik pošiljanja e-pošte.

7.2 Prenos v ZDA poteka na podlagi sklepa Evropske komisije o ustreznosti za okvir EU-ZDA za zasebnost podatkov (EU-U.S. Data Privacy Framework, 10. 7. 2023), če je ponudnik v okviru certificiran. Sicer poteka na podlagi standardnih pogodbenih klavzul Evropske komisije (sklep (EU) 2021/914) z dodatnimi ukrepi. Kopijo ustreznih zaščitnih ukrepov vam posredujemo na zahtevo.

8.1 Osebne podatke hranimo le toliko časa, kolikor je potrebno za namen, za katerega so bili zbrani. Kjer vnaprej določenega roka ni, navajamo merila za njegovo določitev (13. člen GDPR).

8.2 Po izteku roka podatke izbrišemo ali nepovratno anonimiziramo. Podatke smemo hraniti dlje, če to zahteva zakon ali če so potrebni za uveljavljanje ali obrambo pravnih zahtevkov, vendar le toliko časa, kolikor je potrebno.

9.1 Storitvena e-sporočila so sestavni del storitve, zato jih pošiljamo brez posebne privolitve. To so enkratne kode za prijavo, potrditve spremembe e-naslova, obvestila o varnosti, odločitve o moderiranju in obvestila o spremembah pogojev.

9.2 Potisna obvestila pošiljamo o novih sporočilih. Obvestilo vsebuje le splošno besedilo (npr. »Novo sporočilo«), vsebine sporočila pa ne. Obvestila lahko kadar koli izklopite v nastavitvah naprave.

9.3 Novice in obvestila o novostih pošiljamo samo, če ste to izrecno izbrali (privzeto je izklopljeno). Odjavite se lahko v nastavitvah aplikacije ali prek povezave v vsakem sporočilu. Trženjskih potisnih obvestil in SMS sporočil ne pošiljamo.

10.1 Ne uporabljamo analitičnih, oglaševalskih ali sledilnih piškotkov ali programskih knjižnic. Vaše dejavnosti ne spremljamo med drugimi aplikacijami ali spletnimi stranmi.

10.2 Uporabljamo le shranjevanje, ki je nujno za delovanje storitve, ki ste jo izrecno zahtevali, zato zanj ne potrebujemo privolitve:

10.3 Če bomo uvedli analitiko ali merjenje oglaševalskih kampanj, bomo pred tem pridobili vašo privolitev in posodobili to Politiko.

mHiška ima profile na družbenih omrežjih Instagram, Facebook in TikTok. Za obdelavo podatkov na teh omrežjih so odgovorni njihovi upravljavci. Kadar nam pišete prek teh omrežij, vaše sporočilo obdelamo za namen odgovora. Za statistične podatke o obisku strani na Facebooku in Instagramu smo z družbo Meta Platforms Ireland Ltd. skupna upravljavca (26. člen GDPR) v obsegu, ki ga določa njen dodatek za statistiko strani.

12.1 Izvajamo ustrezne tehnične in organizacijske ukrepe:

• šifrirana komunikacija (TLS);
• nadzor dostopa na ravni posameznih zapisov;
• zasebne shrambe datotek z dostopom le prek časovno omejenih podpisanih povezav;
• šifriranje občutljivih žetonov (AES-256-GCM);
• omejitev administratorskega dostopa na dve vnaprej določeni osebi, ki se prijavljata z Google računom, in beleženje administratorskih dejanj;
• ločevanje natančnih naslovov od javnih podatkov;
• odstranjevanje metapodatkov iz javnih fotografij.

12.2 Nobenega sistema ni mogoče popolnoma zaščititi. Ob kršitvi varstva osebnih podatkov bomo Informacijskega pooblaščenca obvestili v 72 urah (33. člen GDPR). Kadar je tveganje za vas veliko, bomo brez nepotrebnega odlašanja obvestili tudi vas (34. člen GDPR).

Aplikacija zahteva naslednja dovoljenja, ki so vsa neobvezna in jih lahko kadar koli prekličete v nastavitvah naprave:

• kamera – fotografiranje prostora, profilne slike in priponk;
• fotografije – izbira fotografij za oglas, profil in sporočila (na iOS lahko dovolite dostop le do izbranih fotografij);
• obvestila – obvestila o novih sporočilih.

Aplikacija ne dostopa do lokacije naprave, stikov ali mikrofona.

Platforma je namenjena osebam, starim najmanj 18 let. Z registracijo uporabnik potrdi, da je ta pogoj izpolnjen. Podatkov mladoletnih oseb zavestno ne obdelujemo. Če ugotovimo, da račun pripada mladoletni osebi, ga izbrišemo.

15.1 V skladu z GDPR in ZVOP-2 imate pravico do:

• dostopa do svojih osebnih podatkov in kopije podatkov (15. člen);
• popravka netočnih ali dopolnitve nepopolnih podatkov (16. člen) – večino podatkov lahko uredite sami v aplikaciji;
• izbrisa (17. člen) – račun izbrišete v aplikaciji pod Profil → Nastavitve → Zasebnost → Izbriši račun ali z zahtevo na zasebnost@mhiska.si. Izbris je nepovraten. Za sporočila velja 8. člen;
• omejitve obdelave (18. člen);
• prenosljivosti podatkov, ki ste nam jih zagotovili, v strukturirani, strojno berljivi obliki (20. člen);
• ugovora obdelavi, ki temelji na zakonitem interesu (21. člen). Ugovoru neposrednemu trženju vedno ugodimo;
• da za vas ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi (22. člen, glej 5.5);
• preklica privolitve kadar koli, brez vpliva na zakonitost obdelave pred preklicem.

15.2 Zahtevo pošljite na zasebnost@mhiska.si, po možnosti z e-naslova, povezanega z vašim računom. Če dvomimo o vaši identiteti, lahko zahtevamo dodatno potrditev. Odgovorimo brez nepotrebnega odlašanja, najkasneje v enem mesecu. V zahtevnih primerih se rok lahko podaljša za največ dva meseca, o čemer vas obvestimo. Uveljavljanje pravic je brezplačno, razen pri očitno neutemeljenih ali pretiranih zahtevah.

15.3 Pritožbo lahko vložite pri nadzornem organu: Informacijski pooblaščenec Republike Slovenije, Dunajska cesta 22, 1000 Ljubljana, gp.ip@ip-rs.si, www.ip-rs.si. Priporočamo, da se najprej obrnete na nas, da težavo rešimo čim hitreje.

Politiko bomo posodobili ob spremembah Platforme ali predpisov. O bistvenih spremembah vas bomo obvestili po e-pošti ali na Platformi najmanj 15 dni pred uveljavitvijo. Kadar sprememba zahteva novo privolitev, vas bomo zanjo prosili. Prejšnje verzije so dostopne na mhiska.si/zasebnost.

Ljubljana, 29. 9. 2026

LUCI & CO, Lucian Horvat s.p.
Žan Ninič Čeak