Politika privatnosti

Voditelj obrade za Erceipt je Taurel, obrt za usluge, vl. Danko Mudrinić, upisan u Obrtni registar; potpuni kontaktni podaci navedeni su u točki 15. (Kontakt). Za sva pitanja i zahtjeve u vezi s privatnošću pišite na support@erceipt.com. Naša obrada ne ispunjava uvjete iz članka 37. Opće uredbe o zaštiti podataka, stoga nismo imenovali službenika za zaštitu podataka; obratite nam se izravno na navedenu adresu.

Ova politika obuhvaća mobilnu aplikaciju Erceipt (Android i iOS), web-stranicu erceipt.com i API na api.erceipt.com. Objašnjava koje osobne podatke obrađujemo prema Općoj uredbi o zaštiti podataka (GDPR) i istovrijednim propisima, zašto, te koja su vaša prava.

Podaci o računu. E-mail adresa i ime. Prikupljaju se prilikom registracije ili prijave e-mailom i lozinkom, Googleom ili Prijavom putem Applea (iOS). Ako koristite Appleovu opciju Sakrij moj e-mail, primamo Appleovu privatnu (relay) adresu. Lozinke se čuvaju samo kao jednosmjerni hash; ne možemo ih pročitati. Googleovi i Appleovi identifikatori (subject ID) čuvaju se isključivo za ponovnu prijavu.

Vaš sadržaj. Fotografije računa koje snimite ili odaberete iz galerije i podaci prepoznati iz njih (trgovina, artikli, cijene, porezna razrada, serijski brojevi, datumi povrata ili jamstva koje dodate ili koje predloži prepoznavanje). Originali ostaju na uređaju. Komprimirana kopija i prepoznata polja sinkroniziraju se s našim serverom. Vektori za pretragu na uređaju ostaju na uređaju.

Podaci o pretplati. Ako kupite Erceipt Pro, od Applea ili Googlea primamo proizvod i plan, token kupnje ili izvorni ID transakcije, status pretplate, datum isteka i podatak o automatskoj obnovi. Koristimo ih isključivo za otključavanje Pro značajki na vašem računu. Podatke o kartici ili plaćanju nikada ne primamo. Također brojimo AI skeniranja i AI zahtjeve radi primjene ograničenja probe i mjesečne kvote.

Izvještaji o cijenama i pametna pretraga. Izvještaj o promjeni cijena, shrinkflacija (ista cijena, manje pakiranje, usporedba po kg ili L), prijedlozi jeftinije zamjene i godišnji pregled izračunavaju se na našem serveru isključivo iz vaših računa. Vaše račune nikad ne spajamo s podacima drugih korisnika niti ih itko drugi vidi. Pretraga se najprije izvodi na telefonu (običan tekst, zatim vektori na uređaju). Tek ako to ništa ne nađe, aplikacija koristi AI korak opisan u točki 5; rezultati se spremaju na telefonu da se ista pretraga ne šalje dvaput.

PDF za reklamaciju. PDF za povrat ili reklamaciju izrađuje se na vašem telefonu. Mi ga ne primamo niti čuvamo. Ide samo onamo kamo ga pošaljete putem izbornika za dijeljenje na telefonu.

Demo način. Demo koristi izmišljeno kućanstvo koje dolazi unutar aplikacije. Ne sadrži stvarne osobe ni trgovine, a ništa iz dema ne dodaje se u vaš trezor.

Porezni izvoz. Kad izvještaj izvezete u CSV ili PDF (Pro), naš server izrađuje datoteku iz vaših računa i šalje je izravno na telefon. Izvezenu datoteku ne čuvamo.

Dopuštenja i obavijesti. Aplikacija traži kameru i galeriju samo za snimanje ili prilaganje računa, a dopuštenje za obavijesti radi podsjetnika. Podsjetnici (rokovi za povrat i jamstvo, mjesečni izvještaj, promjene cijena) zakazuju se na telefonu kao lokalne obavijesti. Naš server ne šalje push poruke. Aplikacija ne šalje obavijesti od 21:00 do 09:00, šalje najviše 3 sistemske obavijesti tjedno, a svaku vrstu možete isključiti u Postavkama. Aplikacija ne traži pristup lokaciji i ne prati vašu lokaciju.

Sesije i sigurnost. Refresh tokeni, sesije prijave, tokeni za potvrdu e-maila i reset lozinke te (za osoblje) kratkotrajni admin kolačić. U zaštićenim server logovima možemo čuvati IP adresu, vrijeme i podatke o greškama radi rada i sigurnosti Usluge.

Identifikatori. ID računa koji generira poslužitelj te, ako dopustite analitiku, Firebase ID instance aplikacije.

Korištenje i dijagnostika. Izvješća o rušenju (Firebase Crashlytics) zadano su uključena na temelju našeg legitimnog interesa da aplikacija radi stabilno i da brzo ispravljamo greške; sadrže tehničke podatke (model uređaja, verzija sustava, trag greške), a nakon prijave mogu se povezati s ID-om vašeg računa radi podrške. Možete ih u svakom trenutku isključiti u Postavke → Privatnost. Analitika korištenja (Firebase Analytics) zadano je isključena i uključuje se samo uz vašu privolu: nakon prve prijave aplikacija vas jednom pita želite li nam pomoći anonimnom statistikom korištenja (npr. otvaranje aplikacije, prikazi zaslona, prijava). Odluku možete promijeniti bilo kada u Postavke → Privatnost.

Ne prikupljamo lokaciju (ni preciznu ni približnu), kontakte, zdravstvene podatke ni povijest pregledavanja.

Za otvaranje računa potrebna je adresa e-pošte (ili prijava putem Googlea/Applea) jer bez nje ne možemo izvršiti ugovor. Koje ćete račune i sadržaj učitati odlučujete sami. Analitika je dobrovoljna, a izvješća o rušenju možete isključiti; ni jedno ni drugo nikad nije uvjet za korištenje Erceipta.

Podatke dijelimo sa sljedećima, isključivo u mjeri potrebnoj za rad Usluge:

• Hosting u EU-u: Hetzner Online GmbH (Gunzenhausen, Njemačka), podatkovni centar u Nürnbergu, Njemačka. Virtualni privatni poslužitelj na kojem rade API, baza Postgres i pohrana datoteka računa (izvršitelj obrade, na temelju ugovora o obradi podataka).
• Google Firebase (Analytics, Crashlytics), Google Ireland Limited / Google LLC: događaji korištenja aplikacije, ID instance aplikacije, zapisi o rušenju i ID računa nakon prijave. Analitika samo ako ste dali privolu; izvješća o rušenju dok ih ne isključite (izvršitelj obrade, prema Googleovim uvjetima obrade podataka).
• Google Sign-In — kada dodirnete Nastavi s Googleom, Google nam šalje ID token. Pohranjujemo Googleov identifikator te e-mail i ime, isključivo za otvaranje ili prijavu na Erceipt račun.
• Prijava putem Applea (iOS) — Apple nam šalje identity token. Pohranjujemo Appleov identifikator te e-mail i ime (ili Hide My Email relay), isključivo za prijavu.
• Google Gemini API: Google kao naš izvršitelj obrade prema Googleovim uvjetima za plaćene usluge i dodatku o obradi podataka za Google Cloud / Gemini API. Koristimo plaćeni Google projekt s omogućenom naplatom; prema tim uvjetima Google podatke obrađuje samo radi pružanja usluge nama i ne koristi ih za treniranje ili poboljšanje svojih modela. Šalje se: komprimirana slika računa i povezani izdvojeni tekst, za očitavanje svakog skeniranog računa; kod usporedbe cijena i pametne pretrage (Pro) vaši pojmovi pretrage i do 100 kratkih naziva artikala s vaših računa, ili, samo u zadnjem koraku pretrage, kratak tekstualni redak za najviše 80 računa (trgovina, datum, artikli i iznosi, najviše 400 znakova po računu). Ne šalju se slike, e-mail, ime ni ID korisničkog računa. Google čuva upite i odgovore 55 dana isključivo radi otkrivanja i sprječavanja kršenja svojih pravila o zabranjenoj uporabi i radi zakonski propisanih otkrivanja, kako opisuju uvjeti Gemini API-ja i pravila o nadzoru zlouporabe; ti se podaci ne koriste za treniranje modela. Obrada se može odvijati izvan EGP-a (vidi točku 6).
• Apple App Store i Google Play — obrađuju kupnje Pro pretplate kao samostalni voditelji obrade. Njihove servere pozivamo radi provjere kupnje i primamo podatke o pretplati navedene u točki 3.
• Resend — vaša e-mail adresa, za potvrdu računa, reset lozinke i prijavu osoblja u admin.
• Cloudflare, Inc. (Cloudflare Email Routing): kad nam pošaljete e-poštu, poruka (adresa pošiljatelja, sadržaj i privici) prosljeđuje se u naš sandučić za podršku, koji pruža Google. Cloudflare poruku ne pohranjuje nakon isporuke.

Dopušteni operatori Taurela mogu u ograničenom admin alatu vidjeti metapodatke računa (e-mail, ime, broj računa, potrošnju prepoznavanja). To nije javni proizvod. Ne prodajemo osobne podatke i ne koristimo ih za oglašavanje trećih strana.

Primarna pohrana računa i datoteka je u Europskoj uniji. Googleove usluge, Prijava putem Applea, Resend i Cloudflare mogu obrađivati podatke izvan EGP-a, uključujući SAD. U tom slučaju oslanjaju se na odluku o primjerenosti (uključujući EU–SAD Data Privacy Framework) i/ili standardne ugovorne klauzule. Informacije o mjerama zaštite možete zatražiti na support@erceipt.com.

• Podaci o računu i računima (receipts): dok je vaš račun aktivan. Ako se ne prijavite 24 mjeseca, poslat ćemo vam e-poruku i, ako ne odgovorite u roku od 30 dana, izbrisati račun.
• Sesije i jednokratni tokeni: do isteka (tokeni za osvježavanje prijave 30 dana; poveznice za potvrdu e-maila 24 sata; poveznice za ponovno postavljanje lozinke 1 sat; poveznice za prijavu osoblja 10 minuta).
• Sigurnosni zapisi poslužitelja (IP adresa, vrijeme, pogreške): 30 dana, nakon čega se brišu, osim ako su dulje potrebni za istragu konkretnog sigurnosnog incidenta ili pravnog zahtjeva.
• Analitika (ako ste dali privolu) i izvješća o rušenju: rok čuvanja podataka na razini korisnika u Firebaseu 2 mjeseca; izvješća Crashlytics 90 dana.
• Evidencija pretplata: tijekom trajanja pretplate i 5 godina nakon toga, radi obrane pravnih zahtjeva (zastara).
• E-pošta podrške, DSA prijave i prigovori: 2 godine nakon zatvaranja predmeta (evidencija prigovora najmanje 1 godinu prema Zakonu o zaštiti potrošača).
• Nakon brisanja računa: podaci se brišu s našeg poslužitelja i vašeg uređaja; sigurnosne kopije baze i datoteka brišu se redovito, najkasnije u roku od 14 dana. Agregirana, anonimizirana analitika može se čuvati dulje jer vas više ne identificira.

Ovisno o okolnostima, možete zatražiti:

• pristup osobnim podacima,
• ispravak netočnih podataka,
• brisanje (točka 9),
• izvoz u prenosivom formatu — e-mail na support@erceipt.com,
• ograničenje obrade ili prigovor na obradu utemeljenu na legitimnom interesu (uključujući analitiku),
• Povući privolu za analitiku i isključiti izvješća o rušenju (prigovor) u bilo kojem trenutku u Postavke → Privatnost ili e-poštom. Povlačenje ne utječe na zakonitost obrade prije povlačenja; nakon povlačenja prikupljanje prestaje i tražimo od Firebasea brisanje vaših analitičkih podataka.

Prava nisu apsolutna. Možemo odbiti ili ograničiti zahtjev gdje GDPR to dopušta. Ne donosimo isključivo automatizirane odluke s pravnim ili slično značajnim učincima (čl. 22. GDPR-a). Pišite na support@erceipt.com. Odgovaramo u roku od mjesec dana (uz moguće produženje od dva mjeseca uz obavijest).

Račun možete izbrisati u aplikaciji: Postavke → Izbriši račun. Time se trajno briše račun na serveru i lokalni podaci. Radnja se ne može poništiti. Ako želite zadržati korisnički račun, a ukloniti sve račune, koristite Postavke → Opasna zona → Izbriši sve račune; brišu se na ovom uređaju i na našem serveru, dakle i na drugim uređajima.Brisanje korisničkog računa ne otkazuje pretplatu u trgovini; otkažite je u App Storeu ili Google Playu. Možemo zadržati minimalni sigurnosni zapis brisanja i podatke koje moramo čuvati po zakonu. Nemate aplikaciju? Pogledajte kako izbrisati račun bez aplikacije.

Podaci se šifriraju u prijenosu (HTTPS). Lozinke se čuvaju hashirane. Pristup produkciji je ograničen. Ako je povreda osobnih podataka vjerojatno rizična, AZOP obavještavamo bez nepotrebnog odgađanja i, ako je izvedivo, u roku od 72 sata, a pogođene osobe kada to GDPR nalaže.

Erceipt nije namijenjen djeci. Za otvaranje računa morate imati najmanje 16 godina, odnosno više ako vaša država propisuje višu dob za davanje privole. Svjesno ne prikupljamo podatke mlađih osoba; ako saznamo da račun pripada osobi mlađoj od te dobi, izbrisat ćemo ga.

Javna web-stranica ne koristi kolačiće za praćenje ili oglašavanje. Može koristiti nužnu lokalnu pohranu (npr. tema). Admin stranica na API hostu koristi nužni HttpOnly sesijski kolačić.

Politiku možemo ažurirati kako se Usluga mijenja. Datum na vrhu ćemo ažurirati, a za značajne promjene obavijestit ćemo vas u aplikaciji.

Ako ste u EU/EGP-u i smatrate da nismo riješili vaš upit, možete podnijeti pritužbu lokalnom tijelu ili Agenciji za zaštitu osobnih podataka (AZOP), Ulica Metela Ožegovića 16, 10000 Zagreb, azop@azop.hr. Imate i pravo na učinkoviti pravni lijek.

Voditelj obrade i kontakt za pitanja i zahtjeve u vezi s privatnošću:

Taurel, obrt za usluge, vl. Danko Mudrinić
Sjedište: Ulica Emanuela Vidovića 9, 10090 Zagreb, Hrvatska
OIB: 23631794050 · MB: 98712942
E-pošta: support@erceipt.com