Politika privatnosti
Šta prikupljamo, zašto, ko još to vidi, koliko dugo čuvamo i koja su vaša prava.
Posljednja izmjena: 17. augusta 2026.
Ovaj dokument dostupan je na hrvatskom, bosanskom, engleskom i njemačkom. U slučaju odstupanja mjerodavna je njemačka verzija.
1. Rukovalac obradom
Rukovalac obradom u smislu Opšte uredbe o zaštiti podataka (GDPR) je Marko Stjepanović, koji posluje pod nazivom xtwo.dev (Einzelunternehmer, mali preduzetnik prema § 19 UStG).
Adresa: Gerhart-Hauptmann-Straße 3, 78112 St. Georgen im Schwarzwald, Njemačka. E-pošta: kontakt@xtwo.dev. Telefon: +49 176 277 981 89.
Službenik za zaštitu podataka nije imenovan. Prema § 38 njemačkog Saveznog zakona o zaštiti podataka (BDSG) imenovanje je obavezno tek kada je najmanje 20 osoba trajno uključeno u automatizovanu obradu, što ovdje nije slučaj. Sva pitanja o zaštiti podataka idu direktno na gornju adresu e-pošte.
Nadzorno tijelo: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart (https://www.baden-wuerttemberg.datenschutz.de). Imate pravo podnijeti pritužbu tom tijelu ili nadzornom tijelu u državi svog uobičajenog boravišta.
2. Ko je za šta odgovoran
Za podatke o vašem nalogu, plaćanju, sigurnosne zapise i anonimnu statistiku posjeta mi smo rukovalac obradom. Ova politika opisuje tu obradu.
Za sve što vi kao domaćin unesete u svoj događaj (gosti, pozivnice, pokloni, raspored sjedenja, fotografije koje otpreme vaši gosti) rukovalac obradom ste VI, a mi smo obrađivač koji radi isključivo po vašim uputama. Taj odnos uređen je Ugovorom o obradi podataka koji je dio naših uslova.
Praktična posljedica: ako je gost zatražio brisanje svoje fotografije ili svojih podataka, prvo kontaktirajte domaćina događaja. Mi takav zahtjev možemo izvršiti samo po uputi domaćina, osim kada nas zakon obavezuje na drugačije postupanje.
3. Koje podatke obrađujemo
Popis je razvrstan prema tome čiji su podaci i kako do nas dolaze.
- Podaci o nalogu (domaćin)
- Ime, adresa e-pošte, jezik interfejsa, identifikator korisnika. Ako se registrujete e-poštom, lozinku pohranjuje Supabase Auth isključivo kao kriptografski sažetak; mi je nikada ne vidimo. Ako se prijavljujete Google nalogom, primamo vašu adresu e-pošte i prikazano ime iz vašeg Google profila.
- Podaci o događaju (domaćin)
- Naziv događaja, datum, lokacija, postavke, kontrolna lista, budžet i bilješke. Naziv i lokacija po pravilu sadrže lične podatke jer se radi o imenima i mjestima.
- Podaci o gostima (unosi domaćin ili sam gost)
- Ime i prezime, broj telefona, oznaka stola, oznake, potreba za smještajem, status odgovora te slobodan tekst poruke koji se pohranjuje u polje za napomene o ishrani. Ovi podaci nastaju iz unosa domaćina, uvoza Excel tabele ili odgovora gosta na javnoj pozivnici.
- Prijedlozi pjesama i rezervacije poklona (gost)
- Ime koje gost sam upiše, naziv pjesme, izvođač i neobavezan link. Kod liste poklona ime osobe koja rezerviše vidljivo je ostalim posjetiocima te liste, osim ako gost odabere anonimnu rezervaciju.
- Fotografije i medijske datoteke (gost)
- Sama datoteka te tehnički zapis o njoj: putanja pohrane, vrsta datoteke, veličina i vrijeme otpremanja. Uz zapis o otpremanju NE pohranjujemo ime, adresu e-pošte ni IP adresu osobe koja je datoteku otpremila, pa ni domaćin ne može vidjeti ko je šta otpremio.
- Podaci o plaćanju
- Plaćanje provodi Stripe. Mi pohranjujemo samo identifikator kupca kod Stripea i identifikator plaćanja. Podaci o kartici nikada ne prolaze kroz naše sisteme niti se u njima pohranjuju.
- Tehnički podaci
- Zapisi servera i platforme koje vode Vercel i Supabase, uključujući IP adresu, vrstu pregledača te datum i vrijeme pristupa. Kod rezervacije poklona vodi se zapis radnje; provjerite odjeljak o rokovima čuvanja.
- Anonimna statistika posjeta
- Vercel Web Analytics bilježi vrijeme, adresu stranice, izvor posjete, okvirnu lokaciju na nivou države ili grada, vrstu uređaja i pregledača. Ne koristi kolačiće, ne pohranjuje ništa na vaš uređaj i posjetioca prepoznaje samo kroz sažetak izveden iz zahtjeva koji se odbacuje nakon 24 sata.
4. Posebne kategorije podataka
Polje za napomene o ishrani uz gosta u aplikaciji služi i kao polje za slobodnu poruku uz odgovor na pozivnicu. Gosti u njega upisuju šta žele. Podaci o alergijama, celijakiji ili dijabetesu podaci su o zdravlju i pripadaju posebnim kategorijama iz člana 9. GDPR-a.
Rukovalac obradom za te podatke je domaćin događaja. Domaćin je dužan osigurati valjan pravni osnov, po pravilu izričitu saglasnost gosta prema članu 9. stav 2. tačka (a) GDPR-a, i ne podsticati unos zdravstvenih podataka više nego što je nužno.
Mi te podatke ne analiziramo, ne prosljeđujemo trećim licima i ne koristimo ni za koju svrhu osim tehničke pohrane i prikaza domaćinu.
5. Fotografije
Fotografije s događaja su lični podaci svake osobe koja se na njima prepoznaje, a ne samo osobe koja ih je otpremila. Uz to mogu otkriti i podatke koji pripadaju posebnim kategorijama, naprimjer vjersko uvjerenje kod vjenčanja u vjerskom objektu.
Izvorne datoteke pohranjujemo onako kako su otpremljene. To znači da mogu i dalje sadržavati EXIF metapodatke, uključujući GPS koordinate, vrijeme snimanja te model i postavke uređaja. Umanjene sličice i pregledne verzije koje generišemo na serveru ne sadrže te metapodatke jer se slika ponovo kodira.
Domaćin je dužan pribaviti pristanak osoba prikazanih na fotografijama u skladu s pravom na vlastitu sliku (§§ 22, 23 njemačkog Zakona o autorskom pravu na djelima likovne umjetnosti i fotografije, KUG) i obavijestiti goste o obradi prije nego što počnu otpremati.
Datoteke se pohranjuju u Supabase Storage. Adresa svake datoteke sadrži nasumičan identifikator koji se ne može pogoditi, ali sama adresa nije zaštićena prijavom: ko ima link, može otvoriti datoteku. Nemojte dijeliti linkove na galeriju šire nego što želite.
6. Svrhe i pravni osnovi
- Pružanje usluge i vođenje naloga
- Član 6. stav 1. tačka (b) GDPR-a, izvršavanje ugovora s vama. Bez ovih podataka platforma ne može raditi.
- Obrada plaćanja i izdavanje potvrde
- Član 6. stav 1. tačka (b) GDPR-a za izvršenje kupovine i član 6. stav 1. tačka (c) za ispunjenje poreskih i računovodstvenih obaveza.
- Sigurnost, sprječavanje zloupotrebe i ograničavanje broja zahtjeva
- Član 6. stav 1. tačka (f) GDPR-a. Naš legitimni interes je zaštititi platformu i podatke naših korisnika od automatizovanih zloupotreba, neželjenih unosa i preopterećenja. Interes gostiju i domaćina za stabilnu i sigurnu uslugu ide u istom smjeru.
- Anonimna statistika posjeta
- Član 6. stav 1. tačka (f) GDPR-a. Naš legitimni interes je razumjeti koje stranice ljudi koriste kako bismo ih poboljšali. Mjerenje je bez kolačića i bez praćenja kroz više stranica, pa je zadiranje u privatnost minimalno.
- Zakonske obaveze
- Član 6. stav 1. tačka (c) GDPR-a, prije svega rokovi čuvanja iz § 147 njemačkog Poreskog zakonika (AO) i § 257 Trgovačkog zakonika (HGB).
- Obrada podataka o gostima za domaćina
- Ovdje ne postupamo po vlastitom pravnom osnovu. Postupamo po uputi domaćina prema članu 28. GDPR-a. Pravni osnov prema gostima mora osigurati domaćin.
7. Primaoci podataka
Ovo je potpun popis vanjskih pružalaca koji primaju lične podatke. Nemamo oglašivačke partnere i ne prodajemo podatke.
Supabase Pte. Ltd
- Uloga
- Obrađivač (član 28. GDPR-a)
- Svrha
- Prijava, baza podataka, pohrana datoteka, obavještenja u realnom vremenu i transakcijska e-pošta za potvrdu naloga.
- Sjedište
- 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513
- Prijenos
- Standardne ugovorne klauzule Evropske komisije. Supabase nije certifikovan prema EU-US Data Privacy Frameworku.
Vercel Inc.
- Uloga
- Obrađivač (član 28. GDPR-a)
- Svrha
- Hosting web platforme i anonimna statistika posjeta bez kolačića.
- Sjedište
- 440 N Barranca Ave #4133, Covina, CA 91723, USA
- Prijenos
- Certifikacija prema EU-US Data Privacy Frameworku, uključujući proširenje za Ujedinjeno Kraljevstvo i Švicarsku, uz standardne ugovorne klauzule.
Stripe Payments Europe, Ltd.
- Uloga
- Samostalni rukovalac obradom za podatke o plaćanju, zajedno s povezanim društvima grupe Stripe.
- Svrha
- Obrada jednokratnog plaćanja za Premium, sprječavanje prevara i ispunjenje regulatornih obaveza.
- Sjedište
- The One Building, 1 Grand Canal Street Lower, Dublin 2, Ireland. Glavni poslovni nastan u EU: Stripe Technology Company, Ltd. (Ireland).
- Prijenos
- Standardne ugovorne klauzule i certifikacija prema EU-US Data Privacy Frameworku za društvo Stripe, LLC u Sjedinjenim Državama.
Google Ireland Limited (prijava Google nalogom)
- Uloga
- Samostalni rukovalac obradom. Google ne obrađuje podatke po našoj uputi.
- Svrha
- Prijava Google nalogom, ako je odaberete. Prenosi se vaša adresa e-pošte i prikazano ime.
- Sjedište
- Gordon House, Barrow Street, Dublin 4, Ireland
- Prijenos
- Prema Googleovim pravilima; Google LLC certifikovan je prema EU-US Data Privacy Frameworku.
Resend
- Uloga
- Obrađivač (Plus Five Five, Inc.).
- Svrha
- Slanje potvrde narudžbe s poukom o pravu na odustajanje nakon kupovine. Prenose se vaša e-adresa i sadržaj te poruke.
- Sjedište
- 2261 Market Street #5039, San Francisco, CA 94114, USA
- Napomena
- Obrada se pretežno odvija u Sjedinjenim Američkim Državama. Praćenje otvaranja i klikova je isključeno, pa linkovi u poruci vode direktno na naše stranice.
YouTube (video upute)
- Uloga
- Samostalni rukovalac obradom
- Svrha
- Video upute u kontrolnoj tabli. Video se učitava tek kada ga sami otvorite i koristi se način rada s proširenom zaštitom privatnosti (youtube-nocookie.com). Do vašeg klika ne uspostavlja se nikakva veza s Googleom.
- Sjedište
- Gordon House, Barrow Street, Dublin 4, Ireland
- Prijenos
- Prema Googleovim pravilima; Google LLC certifikovan je prema EU-US Data Privacy Frameworku.
Aktuelan popis podobrađivača s adresama i mehanizmima prijenosa vodi se na stranici /subprocessors. Podatke otkrivamo i kada nas na to obavezuje zakon, sudski nalog ili zahtjev nadležnog organa.
8. Prijenosi izvan Evropskog ekonomskog prostora
Dio naših pružalaca ima sjedište izvan Evropskog ekonomskog prostora. Supabase Pte. Ltd ima sjedište u Singapuru, za koji ne postoji odluka Evropske komisije o primjerenosti; prijenos se temelji na standardnim ugovornim klauzulama iz Provedbene odluke (EU) 2021/914. Vercel Inc. i Stripe, LLC imaju sjedište u Sjedinjenim Državama; oba su certifikovana prema EU-US Data Privacy Frameworku i uz to primjenjuju standardne ugovorne klauzule.
Plus Five Five, Inc. (Resend) sa sjedištem u Sjedinjenim Američkim Državama za nas šalje potvrdu narudžbe i certifikovan je prema EU-US Data Privacy Frameworku, uz dodatnu primjenu standardnih ugovornih klauzula. Fontove poslužujemo isključivo s vlastitog domena, pa prijenos Googleu za njih više ne postoji.
Kopija primijenjenih standardnih ugovornih klauzula može se zatražiti na gornjoj adresi e-pošte.
10. Koliko dugo čuvamo podatke
Budimo direktni: trenutno ne postoji automatsko brisanje. Ništa se ne briše samo od sebe, ni kada istekne Premium plan. Brisanje pokreće vaš zahtjev ili radnja u aplikaciji.
- Podaci o nalogu
- Čuvaju se dok postoji vaš nalog. Brisanje naloga zatražite e-poštom na kontakt@xtwo.dev; izvršavamo ga u roku od 30 dana.
- Sadržaj događaja i fotografije
- Čuvaju se dok ih vi ne obrišete ili dok ne zatražite brisanje naloga. Kada u galeriji obrišete fotografiju, uklanjamo pohranjenu datoteku i zapis u bazi podataka.
- Mediji isteklih događaja
- Zadržavamo pravo obrisati fotografije i druge medijske datoteke događaja čiji je Premium plan ili probni period istekao prije više od 12 mjeseci. Prije toga vas obavještavamo e-poštom najmanje 30 dana unaprijed. Ovo pravo do sada nismo koristili i nije automatizovano.
- Podaci o plaćanju i računi
- Zapise o transakcijama vodi Stripe i podliježu njegovim rokovima čuvanja. Dokumentaciju potrebnu za ispunjenje njemačkih poreskih i računovodstvenih obaveza čuvamo do 10 godina prema § 147 AO i § 257 HGB.
- Zapisi servera i platforme
- Vode ih Vercel i Supabase prema vlastitim postavkama zadržavanja. Mi te zapise ne prikupljamo zasebno i ne koristimo ih za profilisanje.
- Zapisi o rezervacijama poklona
- Zapis o rezervaciji i poništenju rezervacije čuva se uz događaj i briše se zajedno s njim.
11. Vaša prava
Prema GDPR-u imate sljedeća prava u odnosu na svoje podatke:
- Pravo na pristup podacima koje o vama obrađujemo (član 15.).
- Pravo na ispravku netačnih ili nepotpunih podataka (član 16.).
- Pravo na brisanje (član 17.).
- Pravo na ograničenje obrade (član 18.).
- Pravo na prenosivost podataka u mašinski čitljivom obliku (član 20.).
- Pravo na prigovor obradi koja se temelji na legitimnom interesu (član 21.).
- Pravo na povlačenje saglasnosti u svakom trenutku, bez uticaja na zakonitost prethodne obrade (član 7. stav 3.).
- Pravo na pritužbu nadzornom tijelu (član 77.).
Zahtjev pošaljite na kontakt@xtwo.dev. Odgovaramo u roku od mjesec dana. Ako ste gost na tuđem događaju, rukovalac obradom je domaćin: obratite se njemu, a mi ćemo mu pomoći da vaš zahtjev izvrši. Gosti nemaju korisnički nalog, pa ne postoji samouslužni način za ostvarivanje prava; svaki takav zahtjev obrađujemo ručno.
12. Korisnici izvan Evropske unije
Uslugu pružamo i izvan Evropske unije. Prava opisana gore priznajemo svim korisnicima, bez obzira na to gdje se nalaze.
Kalifornija: ne prodajemo lične podatke i ne dijelimo ih za oglašavanje kroz više stranica u smislu kalifornijskog zakona CCPA/CPRA. Pragovi prihoda i broja korisnika iz tog zakona u našem slučaju nisu dosegnuti, pa navedena prava priznajemo dobrovoljno, a ne zato što smo im podvrgnuti. Signal Global Privacy Control poštujemo, iako nemamo obradu koju bi trebalo isključiti.
Ne odgovaramo na signale Do Not Track jer ne provodimo praćenje kroz više stranica koje bi takav signal mogao isključiti.
Ujedinjeno Kraljevstvo i Švicarska: ista prava priznajemo i korisnicima u tim zemljama. Naše marketinške aktivnosti nisu usmjerene na Ujedinjeno Kraljevstvo, pa predstavnik prema članu 27. britanskog GDPR-a nije imenovan.
13. Maloljetnici
Usluga nije namijenjena djeci. Nalog mogu otvoriti samo osobe starije od 18 godina.
Prema članu 8. GDPR-a i njemačkom provedbenom pravu, obrada podataka djeteta mlađeg od 16 godina na osnovu saglasnosti zahtijeva odobrenje nosioca roditeljske odgovornosti. Ne provodimo tehničku provjeru starosti. Ako se na vašem događaju očekuju djeca, naprimjer na dječijem rođendanu, kao domaćin ste dužni pribaviti potrebna odobrenja prije nego što se njihovi podaci ili fotografije unesu u platformu.
Ako saznamo da smo primili podatke djeteta bez potrebnog odobrenja, brišemo ih bez odlaganja. Prijavu možete poslati na kontakt@xtwo.dev.
14. Automatizovano odlučivanje i vještačka inteligencija
Ne provodimo automatizovano donošenje odluka koje bi proizvodilo pravne učinke ili na sličan način značajno uticalo na vas u smislu člana 22. GDPR-a.
Ne provodimo profilisanje. Ne koristimo vještačku inteligenciju ni mašinsko učenje za obradu vaših podataka, sadržaja vašeg događaja ili fotografija vaših gostiju. Fotografije ne analiziramo, ne prepoznajemo lica i ne izrađujemo biometrijske predloške.
15. Izmjene ove politike
Ovu politiku povremeno ažuriramo kako bismo je uskladili s promjenama usluge ili propisa. Datum posljednje izmjene naveden je na vrhu stranice.
O bitnim izmjenama obavještavamo obavještenjem unutar aplikacije najmanje 14 dana prije stupanja na snagu. Nastavak korištenja usluge nakon stupanja izmjena na snagu smatra se prihvatanjem izmijenjene politike, pri čemu vaša zakonska prava ostaju netaknuta.
Pitanje o privatnosti?
Pišite nam direktno. Na svaki zahtjev odgovaramo u roku od mjesec dana.
Pošalji zahtjev