Politika privatnosti

Verzija: 2026-10-24

1. Voditelj obrade

Val je platforma za organizaciju i pronalaženje lokalnih okupljanja. Pravnu osobu koja je odgovorna za obradu podataka predstavlja Metrica d.o.o.. Kontakt za pitanja o privatnosti: info@metrica.hr.

2. Koje podatke prikupljamo

• Podaci o računu: e-mail adresa, ime, grad i jezik sučelja
• Profilni podaci: interesi, krugovi, biografija i profilna slika (neobavezno)
• Sigurnosni podaci: hash lozinke i metapodaci passkey vjerodajnica (bez privatnih ključeva)
• Push obavijesti: endpoint pretplate i enkripcijski ključevi potrebni za isporuku obavijesti na vaš uređaj
• Plima: zasebne postavke obavijesti, grad okupljanja, evidencija isporuke i vaš dobrovoljni odgovor jeste li prisustvovali susretu
• Povijest dolaska: svaka promjena odgovora o dolasku dodaje vremenski označen zapis, dok posljednji odgovor ostaje izmjenjiv; povijest služi poštenom, zbirnom mjerenju ostvarenih susreta
• Kohorta potvrđenih sudionika: prva potvrda prijave čuva se kao vremenski označena činjenica kako kasnije povlačenje prijave ne bi retroaktivno iskrivilo zbirne stope odgovora
• Odbijanje Plima pitanja: vremenska oznaka odbijanja bilježi vaš odabir trajnog odbijanja kako bismo ga poštovali bez ponovnog pritiska i isto pitanje ne bismo ponovno nudili
• Podsjetnik za prvo okupljanje: kada imate dva samostalno prijavljena dolaska, a još niste objavili svoje okupljanje, možemo vam jednom, uz zasebnu privolu, ponuditi jedan podsjetnik za organizaciju prvog okupljanja; podsjetnik nikada ne izmišlja mjesto
• Ideja nakon pauze: samo uz vašu zasebnu privolu bilježimo vremensku oznaku vaše zadnje aktivnosti; ako se ne vratite 10 dana, možemo vam poslati jednu stvarnu i relevantnu ideju iz vašeg grada, najviše jednom u 30 dana, uz uobičajena ograničenja poruka; privolu možete samostalno isključiti u svakom trenutku, čime brišemo tu oznaku, a poruka nikada ne izmišlja događaj
• Vikend snimka preporuke: jedan do tri ID-a okupljanja koja su prikazana u vikend-poruci, kako bi dodir otvorio upravo obećane i ponovno provjerene opcije; snimka ne sadrži preciznu lokaciju
• Pokušaji isporuke Plime: poveznica na isporuku i korisnika, naziv pružatelja, vremenske oznake i ograničeni kod ishoda pokušaja isporuke; nikada ne sadrže sadržaj poruke ni vjerodajnice
• Revizija hitne kontrole Plime: identitet administratora, ograničeni razlog, radnja pauziranja ili nastavka i vremenska oznaka radi sigurnosti i odgovornosti
• Sadržaj koji stvarate: okupljanja, prijave, poruke u chatu, fotografije, ocjene, blokovi i prijave sadržaja
• Tehnički podaci: IP adresa u privremenom ograničenju zahtjeva; poslužiteljski zapis zahtjeva sadrži metodu i putanju bez upita, IP adrese i zaglavlja

3. Svrha i pravna osnova obrade

• Izvršenje ugovora (GDPR): autentikacija, stvaranje i sudjelovanje u okupljanjima, chat, obavijesti
• Legitimni interes (GDPR): sigurnost platforme, sprječavanje zlouporabe, praćenje kvalitete usluge
• Privola (GDPR): anonimna analitika korištenja (učitava se tek nakon vašeg pristanka)
• Privola (GDPR): svaka kategorija Plima poticaja zasebno je isključena dok je sami ne uključite
• Legitimni interes i zaštita podataka po dizajnu (GDPR): pamtimo trajno odbijanje samo radi poštovanja vašeg izbora i sprječavanja ponovnog nuđenja istog pitanja
• Legitimni interes (GDPR): koristimo ograničenu povijest dobrovoljnih odgovora za provjerljivo zbirno mjerenje stvarnih susreta; za metrike prihvaćamo odgovor najkasnije sedam dana nakon završetka susreta

4. Kolačići i pohrana u pregledniku

Ne koristimo kolačiće za praćenje i ne koristimo marketinške kolačiće.

5. Treće strane koje obrađuju vaše podatke

6. Čuvanje podataka

• Račun i profil: dok je vaš korisnički račun aktivan
• Okupljanja i prijave: trajno u povijesti domaćina, osim ako obrišete račun
• Poruke chata: brišu se pri zatvaranju koordinacijskog prozora
• Plima evidencija isporuke: sadržaj obavijesti, odredišna poveznica te podaci o pružatelju i pogrešci čuvaju se 90 dana, zatim se trajno redaktiraju; kategorija, status i vremenske oznake čuvaju se dok je račun aktivan radi mjerenja i revizije
• Vikend snimka preporuke: ID-evi okupljanja dio su evidencije isporuke, čuvaju se najviše 90 dana i zatim se trajno redaktiraju
• Pokušaji isporuke Plime: podaci o poveznici, pružatelju, vremenu i ograničenom ishodu čuvaju se 90 dana, zatim se trajno brišu
• Evidencija obavijesti: za svaku obavijest u aplikaciji (i push poruku) bilježimo ID korisnika, naslov i sadržaj poruke, broj pokušaja te eventualnu pogrešku pružatelja; čuva se 30 dana nakon što je obavijest riješena (isporučena ili namjerno neposlana), odnosno 90 dana dok je neisporučena; iznimno, obavijest o nečemu što tek slijedi (npr. otkazivanje) čuva se do dan nakon tog događaja, ali nikad dulje od 400 dana od nastanka; zatim se trajno briše
• Revizija hitne kontrole Plime: identitet administratora, ograničeni razlog, radnja i vremenska oznaka čuvaju se 24 mjeseca radi sigurnosne odgovornosti
• Odgovori o dolasku: trenutni odgovor i vremenski označena povijest promjena čuvaju se dok je račun aktivan; brišu se zajedno s računom
• Potvrda sudjelovanja: vremenska oznaka prve potvrde čuva se dok je račun aktivan radi stabilnog nazivnika zbirnih mjerenja; briše se s računom ili okupljanjem
• Odbijanje Plima pitanja: vremenska oznaka odbijanja čuva se dok postoji postavka ili korisnički račun; briše se zajedno s računom
• IP adrese (rate limit): do isteka ograničenja za pojedinu radnju i sljedećeg čišćenja, radi sprječavanja zlouporabe
• Verifikacijski kodovi: 10 minuta, zatim brišu se

7. Vaša prava (GDPR)

• Pristup i prenosivost: preuzimanje svih vaših podataka u JSON formatu pod Profil → Postavke → Preuzmi moje podatke, ili izravno na /api/users/me/export
• Minimizirani izvoz Plime: uključuje postavke, odgovore o dolasku i sanitizirane metapodatke isporuke, ali izostavlja endpointe, enkripcijske ključeve, tokene, ID-eve uređaja, sadržaj, podatke o pružatelju i interne pogreške
• Povijest odgovora: vlastiti vremenski označeni zapisi uključeni su u izvoz kao attendanceResponses; administratori vide samo zbirne ishode, ne popis ponašanja korisnika
• Povijest potvrde: vlastite potvrde sudjelovanja uključene su u izvoz kao participationConfirmations; administratori vide samo zbirne ishode
• Pristup odluci o pitanju: vremenska oznaka odbijanja uključena je u izvoz postavki; brisanje računa briše i tu odluku
• Pristup vikend snimci: dok nije redaktirana, ponovno provjerene opcije dostupne su kroz odredište poruke, a njihov popis ID-eva uključen je u izvoz kao recommendationGatherIds; brisanje računa briše i snimku
• Ispravak: izmjena imena, grada, biografije i slike unutar aplikacije
• Brisanje: Profil → Postavke → Obriši račun — trajno briše sve vaše podatke (kaskadno)
• Opoziv privole: kolačić val-consent možete promijeniti u bilo kojem trenutku
• Plima i push: možete isključiti svaku kategoriju Plime u Profil → Postavke, uključujući mogućnost samostalno isključiti podsjetnik za prvo okupljanje, a možete isključiti i glavnu postavku push obavijesti
• Prigovor: kontakt na info@metrica.hr
• Pritužba: Agencija za zaštitu osobnih podataka (AZOP), Ulica Metela Ožegovića 16, 10000 Zagreb — azop.hr

8. Sigurnost

Koristimo HTTPS enkripciju, HttpOnly session kolačiće, bcrypt hashiranje lozinki, ograničavanje frekvencije poziva (rate limiting), CSP zaglavlja i prijavu putem passkey-a (WebAuthn).

9. Izmjene

O važnim promjenama politike privatnosti obavijestit ćemo vas putem e-maila ili obavijesti u aplikaciji najmanje 14 dana unaprijed.

10. Lokacija uređaja

Za otkrivanje događaja koristimo položaj uređaja samo kad odaberete tu mogućnost i dopustite pristup. Koordinate za pretragu šalju se poslužitelju. Google Places može primiti položaj za prijedloge mjesta, a Google Maps položaj karte. Grad možete odabrati ručno. Prijedlog dolaska prikazuje objašnjenje prije gumba „Uključi”; provjera ostaje na uređaju, a odbijanje se poštuje.

Dobrovoljno dijeljenje prisutnosti tijekom okupljanja šalje koordinate poslužitelju; prije pohrane primjenjuje se pomak od 80–120 m, a ne jamstvo potpune anonimnosti. Čuva se samo zadnji položaj uz ID korisnika i okupljanja, vrijeme ažuriranja i rok od pet minuta; obnova je tijekom dijeljenja otprilike svakih 30 sekundi. Istekli položaji se ne prikazuju i brišu se redovitim čišćenjem. Pri povlačenju dijeljenja, označavanju dolaska ili zatvaranju koordinacijskog prozora zapis se briše. Bez povijesti kretanja: ne čuvamo niz prethodnih položaja. Koordinate samog mjesta okupljanja i sastanka ostaju dio sadržaja okupljanja. Pozadinska lokacija, područja za obavijesti i povijest kretanja nisu izgrađeni.

11. Aktivnost i evidencija izbora

Ako ste se pridružili preko nečije pozivnice, bilježimo tko vas je pozvao, radi broja pozivnica i znački. Bilježimo vrijeme vaše zadnje prijave radi sigurnosti računa i ono je dio izvoza vaših podataka. Drugi korisnici ne vide kada ste zadnji put bili aktivni niti jeste li sada u aplikaciji. Zasebna Plima oznaka aktivnosti opisana je iznad i ovisi o zasebnoj privoli. Poslužiteljski zbirni signali spremanja, pokretanja okupljanja i vanjskih preusmjeravanja nisu povijest lokacije.

Pri registraciji morate izričito potvrditi „Imam najmanje 18 godina.” Bilježimo potvrdu dobi, prihvat uvjeta i potvrdu pravila privatnosti (verzija 2026-10-24). To nisu privole za analitiku. Svaki odabir analitike bilježi vrijednost, verziju teksta, web/ios/android i vrijeme uz ID računa ili nasumični anonimni ID. Nema IP adrese ni user agenta u tim zapisima. val-consent-anon čuva anonimni ID; umami.disabled sprječava slanje nakon odbijanja. Pohrana traje dok je ne obrišete. Postavke kolačića dostupne su gostima pri pregledavanju i na svim javnim pravnim stranicama; povlačenje odmah zaustavlja Umami u aplikaciji. Izbor vrijedi lokalno i ako mreža ne radi, ali tada zapis na poslužitelju nije zajamčen.

12. Rokovi i operativna ograničenja

Sesija traje 48 sati; možete odabrati 30 dana od prijave, bez beskonačnog produljivanja aktivnošću. Rokovi čuvanja: zbirni signali o spremanju događaja, pokretanju okupljanja i odlascima na vanjske stranice 90 dana; evidencija potvrda i izbora 730 dana ili do brisanja povezanog računa. Automatsko brisanje prema ova dva roka još nije uključeno; dok ga ne uključimo, ti se podaci ne brišu automatski po isteku roka, a ovu ćemo stranicu ažurirati kada ga uključimo. Neovisno o tome, dijeljenje položaja briše se kad istekne ili završi, chat se briše zatvaranjem koordinacijskog prozora, a uređaji i preglednici za obavijesti brišu se nakon 90 dana bez kontakta s aplikacijom. Poslužiteljski zapisi zahtjeva sadrže metodu i putanju; lokalni dnevnik aplikacije ograničen je na tri datoteke po 10 MB, pa se stariji zapisi brišu kako nastaju novi.

13. Pružatelji i međunarodna obrada

Resend: Registracijski i sigurnosni e-mailovi te pozivnice partnerima: adresa i sadržaj poruke. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Firebase / FCM: Android push: token uređaja i sadržaj obavijesti. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Apple APNs: iOS push: token uređaja, tema aplikacije i sadržaj obavijesti. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Web Push (pružatelj preglednika): Push za preglednik: endpoint, enkripcijski ključevi i šifrirani sadržaj obavijesti. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Google / Apple prijava: Dobrovoljna autentikacija: e-mail, ime, identifikator računa, Google profilna fotografija; Apple vjerodajnica za opoziv pohranjena je šifrirano. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Google Places / Google Maps: Pretraga mjesta, karte i odabir mjesta: tekst pretrage i položaj/koordinate prikaza; izravni SDK zahtjevi otkrivaju IP uređaja pružatelju. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Google Fonts: Fontovi na javnim stranicama i u web-aplikaciji: mrežni zahtjev uključuje IP adresu i podatke preglednika. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Umami (analytics.fiskai.hr): Statistika samo uz privolu: interakcije, tip uređaja i ograničene kategorije grada, udaljenosti i filtara. Bez koordinata i teksta pretrage u našim događajima; bez prosljeđivanja ID-a računa Umamiju. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Sentry: Prijave rušenja i grešaka, kad je uključeno: greška, stog, platforma, verzija i tehnički kontekst. Zadano slanje osobnih identifikatora je isključeno. Ne mjerimo performanse kroz Sentry. Analitička postavka ne isključuje dijagnostiku. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Netcup: Hosting aplikacije, baze i datoteka na poslužiteljima u EU-u. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Telegram: Operativna upozorenja moderatorima: ograničeni razlog, ID-evi i opis problema; nije kanal za privatni chat korisnika. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Cloudflare cdnjs: Javna početna stranica dohvaća React/Babel skripte: IP i podaci mrežnog zahtjeva. Može obrađivati podatke izvan EU-a; tada se primjenjuju zaštitne mjere koje GDPR traži za takav prijenos.

Pravne osnove prema članku 6. stavku 1. GDPR-a: izvršenje ugovora (točka (b)) za račun i koordinaciju okupljanja; privola (točka (a)) za dobrovoljnu lokaciju i analitiku, koju možete povući u svakom trenutku; legitimni interes (točka (f)) za ograničenu sigurnosnu dijagnostiku i odgovornost. Kada pružatelj s popisa obrađuje podatke izvan EU-a, prijenos se temelji na mehanizmima iz poglavlja V. GDPR-a koje taj pružatelj nudi, poput standardnih ugovornih klauzula.