Izjava o privatnosti

Ova izjava opisuje koje osobne podatke Diretur (diretur.com) obrađuje, zašto, koliko dugo i koja su tvoja prava. Napisana je tako da odgovara onome što softver stvarno radi.

Verzija 1.4 · na snazi od 9. rujna 2026.

---

1. Voditelj obrade

Voditelj obrade je [PRAVNI SUBJEKT — naziv, sjedište, OIB].

Kontakt za sva pitanja o zaštiti podataka i za ostvarivanje prava: [email protected]

Sigurnosne prijave: [email protected]

2. Kratko: što NE radimo

Ovo je jednako važno kao popis onoga što radimo.

• Nemamo vanjsku analitiku ni alate za praćenje. Nema Google Analyticsa, nema pikselâ, nema alata za mjerenje ponašanja, nema profiliranja u marketinške svrhe. Posjećenost mjerimo agregatno — brojači po vrsti stranice po danu, bez kolačića, bez IP adresa i bez ikakve poveznice s tvojim računom. Objašnjeno u odjeljku 7.
• Naše stranice ne učitavaju ništa s tuđih poslužitelja. Fontovi, logotip i stilovi dolaze s našeg poslužitelja. Tvoj preglednik ne kontaktira treće strane dok čitaš Diretur. Jedina iznimka je opisana u odjeljku 6 (zaštita od botova pri registraciji, ako je uključena).
• Ne prodajemo i ne ustupamo podatke oglašivačima ni brokerima podataka.
• Ne šaljemo marketinški e-mail. Šaljemo samo poruke nužne za rad računa: potvrdu adrese, obnovu lozinke i obavijest o brisanju računa.
• Tvoji osobni podaci ne odlaze modelima umjetne inteligencije. U trenutačnom prikazu naslova ne koristimo vanjske modele ni za sadržaj izdavača. Objašnjeno u odjeljku 6.
• Otvaranje vijesti ne bilježimo uz tvoj račun. Ako u Ultra pregledu odabereš „Označi kao pročitano”, spremamo oznaku tog pregleda kako bismo ti sljedeći put mogli izdvojiti nove informacije. Oznake možeš obrisati na stranici računa; detalji su u odjeljcima 3 i 5.

3. Koje podatke obrađujemo

Podaci računa

Podaci o korištenju

• Koje izvore pratiš i kad si ih zapratio/la.
• Miješanje naslovnice: pritiskom na „Promiješaj” spremamo reference na tada prikazane članke i vrijeme radnje, kako ih sljedeće miješanje ne bi ponavljalo. To nije potvrda čitanja na stranicama izdavača. Ova evidencija traje tri dana i uključena je u izvoz podataka računa.
• Pregledi koje izričito označiš pročitanima: referenca na temu i prikazanu verziju pregleda, oznake prikazanih činjenica i vrijeme radnje. Čuvamo posljednje spremljeno stanje za temu, bez dnevnika otvaranja stranica.
• Prijave (sesije): čuvamo nasumični identifikator sesije u obliku SHA-256 sažetka, tvoj ID i vremena. Ne bilježimo IP adresu, uređaj ni lokaciju prijave.
• Tokeni za potvrdu adrese i obnovu lozinke: samo SHA-256 sažetak, jednokratni, s rokom.

Tehnički zapisi

Poslužitelj bilježi, za svaki zahtjev, HTTP metodu, putanju i IP adresu. Kolačići i zaglavlja autorizacije izričito se izostavljaju iz zapisa, kao i upitni dio adrese — jer poveznice za potvrdu e-maila i obnovu lozinke nose jednokratne tokene koji ne smiju završiti u zapisima.

IP adresa se ne pohranjuje ni u jednu tablicu baze. Koristi se u radnoj memoriji za ograničavanje broja pokušaja prijave i registracije i nalazi se u zapisima poslužitelja.

Javno objavljeni podaci uz vijesti

Iz dopuštenih javnih kanala izdavača preuzimamo izvorni naslov, autora kada je naveden, naziv izvora, poveznicu i datum objave. Autorovo ime i osobe spomenute u naslovu mogu biti osobni podaci. Te podatke prikazujemo uz poveznicu na original radi pregleda vijesti i pripisivanja autorstva; ne povezujemo ih s tvojim računom i ne pohranjujemo puni tekst članka.

4. Zašto obrađujemo i po kojoj osnovi

Naš legitimni interes je zaštita usluge i njezinih korisnika od zlouporabe te ograničen pregled javno objavljenih vijesti s pripadajućim autorstvom. Koristimo samo podatke potrebne za navedenu svrhu, uz ograničen rok čuvanja i mogućnost prigovora iz odjeljka 8.

Ne donosimo automatizirane odluke s pravnim učinkom na tebe. Redoslijed vijesti računa se automatski, ali on nema pravni učinak ni sličan bitan utjecaj u smislu čl. 22 GDPR-a.

5. Koliko dugo čuvamo

Rokove za podatke računa provodi automatski posao koji se izvršava svakih 15 minuta. Gdje u tablici piše da automatsko brisanje još nije uspostavljeno, brisanje je ručno — namjerno to pišemo, umjesto da tvrdimo rok koji softver ne provodi.

6. Kome se podaci prosljeđuju

Pregled naslova bez vanjskih modela

U trenutačnom načinu rada prikazujemo samo dopuštene podatke uz vijest. Ne dohvaćamo člankovne stranice, ne pohranjujemo novi puni tekst, ne generiramo sažetke i ne šaljemo podatke izdavača OpenAI-ju ili drugim pružateljima modela. Za taj prikaz ne računamo ni vektore članka.

Tvoje podatke računa, praćene izvore i spremljene oznake čitanja ne šaljemo modelima. Otvaranje vijesti, praćenje izvora i označavanje pregleda pročitanim ne pokreću takav poziv.

Ranije prikupljeni sadržaj čuva se u internoj evidenciji tijekom prijelaza na novi način rada, bez javnog prikaza punog teksta ili ranijih AI sažetaka. Automatsko uklanjanje te ranije evidencije još nije uključeno; zahtjevi za uklanjanje i prava korisnika ostaju primjenjivi.

Prijašnji način obrade članaka koristio je OpenAI za sadržaj izdavača. Ovaj opis odnosi se na trenutačni način rada i ne mijenja činjenicu da je ranija obrada postojala. Za informacije o njoj možeš nam pisati na [email protected].

Isporuka e-pošte

Transakcijske poruke šalje davatelj usluge e-pošte (trenutačno Brevo, sa sjedištem u Europskoj uniji — Francuska; isporuka SMTP-om). Davatelju se prosljeđuje samo ono što je nužno za dostavu: pošiljatelj, tvoja adresa, predmet i tekst poruke.

Ako promijenimo davatelja, ovdje ćemo navesti novoga. Registar svih obrađivača i podobrađivača vodimo interno i dostupan je na upit na [email protected].

Zaštita od botova (ako je uključena)

Ako je na registracijskom obrascu uključen Cloudflare Turnstile, tvoj preglednik pri registraciji kontaktira challenges.cloudflare.com, a mi Cloudflareu šaljemo token izazova i tvoju IP adresu radi provjere. To je jedina situacija u kojoj stranica Diretura učitava nešto s tuđeg poslužitelja.

Prijava Googleom (ako je uključena)

Ako se prijaviš Googleom, od Googlea primamo tvoju e-mail adresu, njezin status potvrde i ime s profila. Google saznaje da se prijavljuješ na Diretur.

Poslužitelji

Diretur radi na poslužitelju u Europskoj uniji (Hetzner). Podaci se nalaze u bazi na tom poslužitelju.

Izdavači

Kad klikneš članak, odlaziš na stranicu izdavača i od te točke vrijede njihova pravila privatnosti, ne naša. Mi izdavaču ne šaljemo tko si; tvoj preglednik pritom uobičajeno šalje podatak s koje stranice dolaziš.

7. Kolačići i mjerenje posjećenosti

Koristimo samo funkcionalne kolačiće. Nema kolačića za analitiku ni oglašavanje, pa nema ni bannera za privolu.

Posjećenost se mjeri agregatno: za svaki dan brojimo koliko je puta otvorena pojedina vrsta stranice (naslovnica, najnovije, vijest, izvor, prijava…). Brojači nastaju na našem poslužitelju i u njih ne ulazi nijedan kolačić, nijedna IP adresa, nijedan identifikator uređaja ni poveznica s tvojim računom — ni adresa konkretne stranice koju si otvorio/la. Iz tih brojeva nije moguće izdvojiti pojedinu osobu, pa nisu osobni podaci i za njih se ne traži privola.

Svi su HttpOnly i SameSite=Lax, a u produkciji i Secure.

Kolačići za temu, veličinu teksta i izbor izvora postavljaju se tek kad sam/a promijeniš postavku — dok ne diraš ništa, ne postavlja se ništa. Ako ih ne želiš, ne mijenjaj te postavke ili ih obriši u pregledniku; usluga i dalje radi.

8. Tvoja prava

Imaš pravo na pristup, ispravak, brisanje, ograničenje obrade, prenosivost podataka i prigovor na obradu koja se temelji na legitimnom interesu.

Ove radnje možeš učiniti odmah, bez pisanja ikome:

• Preuzimanje podataka — na stranici svog računa dobivaš cjelovit strojno čitljiv izvoz (JSON) svojih podataka. Izvoz namjerno ne sadrži sažetak lozinke ni tokene sesija, jer bi to bio sigurnosni rizik, a nije podatak o tebi u smislu prenosivosti.
• Brisanje računa — također na stranici računa. Zahtjev te odmah odjavljuje sa svih uređaja i poništava sve poveznice za potvrdu i obnovu lozinke. Ako si sam/a zatražio/la brisanje, imaš 14 dana da ga otkažeš na stranici računa nakon ponovne prijave. Sama prijava ne otkazuje brisanje. Nakon roka brisanje je nepovratno i uklanja račun i sve povezane zapise.
• Brisanje oznaka čitanja — na stranici računa, dostupno i nakon promjene paketa. Oznake su uključene i u izvoz tvojih podataka.

Za ostala prava piši na [email protected]. Odgovaramo u roku od mjesec dana.

Imaš i pravo na pritužbu nadzornom tijelu — u Hrvatskoj je to Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, Zagreb.

9. Sigurnost

Što konkretno radimo:

• Lozinke se čuvaju kao scrypt sažetak s nasumičnom soli (N=32768, r=8, p=1). Sama lozinka nigdje se ne pohranjuje niti se može rekonstruirati.
• Token sesije ne postoji u bazi — čuvamo samo njegov SHA-256 sažetak, pa ni pristup bazi ne omogućuje preuzimanje tuđe sesije.
• Isto vrijedi za poveznice za potvrdu adrese i obnovu lozinke: jednokratne su, s rokom, i pohranjene samo kao sažetak.
• Osnovno čitanje i obrasci rade bez JavaScripta. Mali skriptovi s našeg poslužitelja olakšavaju rad s lozinkom i odabirom izvora. Učitavanje je ograničeno pravilom Content-Security-Policy; vanjska iznimka je zaštita od botova na registraciji, ako je uključena.
• Svaki zahtjev koji mijenja podatke provjerava podrijetlo (zaštita od CSRF-a), a prijava i registracija imaju ograničenje broja pokušaja.
• Potvrda e-mail adrese ne prijavljuje automatski — poveznica koju otvori skener pošte ne može time nikoga prijaviti.

Što ne tvrdimo: podaci na disku poslužitelja trenutačno nisu dodatno šifrirani na razini aplikacije. Zaštita počiva na pristupu poslužitelju i mrežnoj izolaciji.

10. Djeca

Diretur nije namijenjen osobama mlađim od 16 godina i ne otvaramo im račune svjesno. Ako saznaš da je dijete otvorilo račun, javi nam i obrisat ćemo ga.

11. Prijava nedopuštenog sadržaja

Na stranici Prijavi nedopušten sadržaj svatko može prijaviti sadržaj koji smatra nezakonitim (Uredba o digitalnim uslugama, čl. 16). Obrazac je otvoren i ne traži račun.

• Ime i e-mail adresa u obrascu su neobavezni — prijava vrijedi i bez njih. Ako ih upišeš, koristimo ih isključivo da bismo te kontaktirali o toj prijavi.
• Ostalo što bilježimo je ono što si sam/a upisao/la: poveznica, vrsta prijave i opis. IP adresu prijavitelja ne pohranjujemo.
• Pravna osnova je poštivanje naše zakonske obveze (čl. 6(1)(c) GDPR-a).
• Prijavu i odluku o njoj čuvamo kao dokaz o postupanju.
• Automatsku potvrdu prijave e-mailom zasad ne šaljemo; nakon slanja dobiješ referentni broj.

Ako je prijava o tebi, prava iz odjeljka 8 vrijede i ovdje — uz ograničenje da nam obveza čuvanja dokaza o postupanju može spriječiti brisanje same prijave.

12. Izmjene ove izjave

Izjavu možemo mijenjati. Svaka verzija nosi broj i datum stupanja na snagu, navedene na vrhu. O bitnim izmjenama obavijestit ćemo te e-mailom ili obavijesti u usluzi.