Izjava o privatnosti

Ova izjava opisuje koje osobne podatke Diretur (diretur.com) obrađuje,

zašto, koliko dugo i koja su tvoja prava. Napisana je tako da odgovara

onome što softver stvarno radi.

Verzija 1.1 · na snazi od 27. kolovoza 2026.

---

1. Voditelj obrade

Voditelj obrade je [PRAVNI SUBJEKT — naziv, sjedište, OIB].

Kontakt za sva pitanja o zaštiti podataka i za ostvarivanje prava:

[email protected]

Sigurnosne prijave: [email protected]

2. Kratko: što NE radimo

Ovo je jednako važno kao popis onoga što radimo.

• Nemamo vanjsku analitiku ni alate za praćenje. Nema Google

Analyticsa, nema pikselâ, nema alata za mjerenje ponašanja, nema

profiliranja u marketinške svrhe. Posjećenost mjerimo agregatno —

brojači po vrsti stranice po danu, **bez kolačića, bez IP adresa i bez

ikakve poveznice s tvojim računom**. Objašnjeno u odjeljku 7.

• Naše stranice ne učitavaju ništa s tuđih poslužitelja. Fontovi,

logotip i stilovi dolaze s našeg poslužitelja. Tvoj preglednik ne

kontaktira treće strane dok čitaš Diretur. Jedina iznimka je opisana u

odjeljku 6 (zaštita od botova pri registraciji, ako je uključena).

• Ne prodajemo i ne ustupamo podatke oglašivačima ni brokerima

podataka.

• Ne šaljemo marketinški e-mail. Šaljemo samo poruke nužne za rad

računa: potvrdu adrese, obnovu lozinke i obavijest o brisanju računa.

• Tvoji osobni podaci ne odlaze modelima umjetne inteligencije.

Objašnjeno u odjeljku 6.

• Ne bilježimo što čitaš. Tablica za povijest čitanja postoji u

shemi baze, ali u nju se ništa ne upisuje.

3. Koje podatke obrađujemo

Podaci računa

Podaci o korištenju

• Koje izvore pratiš i kad si ih zapratio/la.
• Prijave (sesije): čuvamo nasumični identifikator sesije u obliku

SHA-256 sažetka, tvoj ID i vremena. **Ne bilježimo IP adresu, uređaj

ni lokaciju prijave.**

• Tokeni za potvrdu adrese i obnovu lozinke: samo SHA-256 sažetak,

jednokratni, s rokom.

Tehnički zapisi

Poslužitelj bilježi, za svaki zahtjev, **HTTP metodu, putanju i IP

adresu**. Kolačići i zaglavlja autorizacije izričito se izostavljaju iz

zapisa, kao i upitni dio adrese — jer poveznice za potvrdu e-maila i

obnovu lozinke nose jednokratne tokene koji ne smiju završiti u

zapisima.

IP adresa se ne pohranjuje ni u jednu tablicu baze. Koristi se u

radnoj memoriji za ograničavanje broja pokušaja prijave i registracije i

nalazi se u zapisima poslužitelja.

4. Zašto obrađujemo i po kojoj osnovi

Naš legitimni interes je zaštita usluge i njezinih korisnika od

zlouporabe. Procijenili smo da taj interes ne pretječe tvoja prava jer

se koriste najmanji mogući podaci, kratko i bez profiliranja.

Ne donosimo automatizirane odluke s pravnim učinkom na tebe.

Redoslijed vijesti računa se automatski, ali on nema pravni učinak ni

sličan bitan utjecaj u smislu čl. 22 GDPR-a.

5. Koliko dugo čuvamo

Rokove za podatke računa provodi automatski posao koji se izvršava svakih

15 minuta. Gdje u tablici piše da automatsko brisanje još nije

uspostavljeno, brisanje je ručno — namjerno to pišemo, umjesto da tvrdimo

rok koji softver ne provodi.

6. Kome se podaci prosljeđuju

OpenAI — obrada članaka

Sažetke generira model tvrtke OpenAI. **U model ide isključivo sadržaj

članka izdavača** — naslov, izvučeni tekst, ime izdavača i datum

objave.

Nikada ne šaljemo tvoje podatke: ne tvoju adresu, ne tvoj ID, ne

popis izvora koje pratiš, ne što si čitao/la. Obrada članka pokreće se

kad izdavač objavi članak, a ne kad ga netko otvori — nijedna tvoja

radnja ne pokreće poziv modelu. OpenAI je u SAD-u; prijenos počiva na

standardnim ugovornim klauzulama.

Vektore za grupiranje vijesti u priče **računamo lokalno na vlastitom

poslužitelju**, bez slanja ikamo.

Isporuka e-pošte

Transakcijske poruke šalje davatelj usluge e-pošte (trenutačno Brevo,

sa sjedištem u Europskoj uniji — Francuska; isporuka SMTP-om). Davatelju

se prosljeđuje samo ono što je nužno za dostavu: pošiljatelj, **tvoja

adresa**, predmet i tekst poruke.

Ako promijenimo davatelja, ovdje ćemo navesti novoga. Registar svih

obrađivača i podobrađivača vodimo interno i dostupan je na upit na

[email protected].

Zaštita od botova (ako je uključena)

Ako je na registracijskom obrascu uključen Cloudflare Turnstile, tvoj

preglednik pri registraciji kontaktira challenges.cloudflare.com, a mi

Cloudflareu šaljemo token izazova i tvoju IP adresu radi provjere. To je

jedina situacija u kojoj stranica Diretura učitava nešto s tuđeg

poslužitelja.

Prijava Googleom (ako je uključena)

Ako se prijaviš Googleom, od Googlea primamo tvoju e-mail adresu, njezin

status potvrde i ime s profila. Google saznaje da se prijavljuješ na

Diretur.

Poslužitelji

Diretur radi na poslužitelju u Europskoj uniji (Hetzner). Podaci se

nalaze u bazi na tom poslužitelju.

Izdavači

Kad klikneš članak, odlaziš na stranicu izdavača i **od te točke vrijede

njihova pravila privatnosti**, ne naša. Mi izdavaču ne šaljemo tko si;

tvoj preglednik pritom uobičajeno šalje podatak s koje stranice dolaziš.

7. Kolačići i mjerenje posjećenosti

Koristimo samo funkcionalne kolačiće. Nema kolačića za analitiku ni

oglašavanje, pa nema ni bannera za privolu.

Posjećenost se mjeri agregatno: za svaki dan brojimo koliko je puta

otvorena pojedina vrsta stranice (naslovnica, najnovije, vijest,

izvor, prijava…). Brojači nastaju na našem poslužitelju i u njih ne ulazi

**nijedan kolačić, nijedna IP adresa, nijedan identifikator uređaja ni

poveznica s tvojim računom** — ni adresa konkretne stranice koju si

otvorio/la. Iz tih brojeva nije moguće izdvojiti pojedinu osobu, pa nisu

osobni podaci i za njih se ne traži privola.

Svi su HttpOnly i SameSite=Lax, a u produkciji i Secure.

Kolačići za temu i veličinu teksta postavljaju se **tek kad sam/a

promijeniš postavku** — dok ne diraš ništa, ne postavlja se ništa. Ako

ih ne želiš, ne mijenjaj te postavke ili ih obriši u pregledniku;

usluga i dalje radi.

8. Tvoja prava

Imaš pravo na pristup, ispravak, brisanje, ograničenje obrade,

prenosivost podataka i prigovor na obradu koja se temelji na legitimnom

interesu.

Dvoje od toga možeš učiniti odmah, bez pisanja ikome:

• Preuzimanje podataka — na stranici svog računa dobivaš

cjelovit strojno čitljiv izvoz (JSON) svojih podataka. Izvoz namjerno

ne sadrži sažetak lozinke ni tokene sesija, jer bi to bio

sigurnosni rizik, a nije podatak o tebi u smislu prenosivosti.

• Brisanje računa — također na stranici računa. Zahtjev te odmah

odjavljuje sa svih uređaja i poništava sve poveznice za potvrdu i

obnovu lozinke. Imaš 14 dana da se predomisliš: ponovna prijava u

tom roku otkazuje brisanje. Nakon roka brisanje je nepovratno i

uklanja račun i sve povezane zapise.

Za ostala prava piši na

[email protected]. Odgovaramo u roku od

mjesec dana.

Imaš i pravo na pritužbu nadzornom tijelu — u Hrvatskoj je to

Agencija za zaštitu osobnih podataka (AZOP), Selska cesta 136, Zagreb.

9. Sigurnost

Što konkretno radimo:

• Lozinke se čuvaju kao scrypt sažetak s nasumičnom soli

(N=32768, r=8, p=1). Sama lozinka nigdje se ne pohranjuje niti se može

rekonstruirati.

• Token sesije ne postoji u bazi — čuvamo samo njegov SHA-256

sažetak, pa ni pristup bazi ne omogućuje preuzimanje tuđe sesije.

• Isto vrijedi za poveznice za potvrdu adrese i obnovu lozinke:

jednokratne su, s rokom, i pohranjene samo kao sažetak.

• Stranice se u cijelosti generiraju na poslužitelju i **ne izvršavaju

JavaScript**, uz jedinu iznimku zaštite od botova na registraciji.

Stroga Content-Security-Policy zabranjuje učitavanje s drugih

poslužitelja.

• Svaki zahtjev koji mijenja podatke provjerava podrijetlo (zaštita od

CSRF-a), a prijava i registracija imaju ograničenje broja pokušaja.

• Potvrda e-mail adrese ne prijavljuje automatski — poveznica koju

otvori skener pošte ne može time nikoga prijaviti.

Što ne tvrdimo: podaci na disku poslužitelja trenutačno nisu

dodatno šifrirani na razini aplikacije. Zaštita počiva na pristupu

poslužitelju i mrežnoj izolaciji.

10. Djeca

Diretur nije namijenjen osobama mlađim od 16 godina i ne otvaramo im

račune svjesno. Ako saznaš da je dijete otvorilo račun, javi nam i

obrisat ćemo ga.

11. Prijava nedopuštenog sadržaja

Na stranici Prijavi nedopušten sadržaj svatko može

prijaviti sadržaj koji smatra nezakonitim (Uredba o digitalnim uslugama,

čl. 16). Obrazac je otvoren i ne traži račun.

• Ime i e-mail adresa u obrascu su neobavezni — prijava vrijedi i bez

njih. Ako ih upišeš, koristimo ih isključivo da bismo te kontaktirali o

toj prijavi.

• Ostalo što bilježimo je ono što si sam/a upisao/la: poveznica, vrsta

prijave i opis. IP adresu prijavitelja ne pohranjujemo.

• Pravna osnova je poštivanje naše zakonske obveze (čl. 6(1)(c) GDPR-a).
• Prijavu i odluku o njoj čuvamo kao dokaz o postupanju.
• Automatsku potvrdu prijave e-mailom zasad ne šaljemo; nakon slanja

dobiješ referentni broj.

Ako je prijava o tebi, prava iz odjeljka 8 vrijede i ovdje — uz

ograničenje da nam obveza čuvanja dokaza o postupanju može spriječiti

brisanje same prijave.

12. Izmjene ove izjave

Izjavu možemo mijenjati. Svaka verzija nosi broj i datum stupanja na

snagu, navedene na vrhu. O bitnim izmjenama obavijestit ćemo te

e-mailom ili obavijesti u usluzi.