Kimda

Pravila privatnosti

Posljednje ažuriranje: 27. listopada 2026.

Mjerodavna je češka verzija ovih pravila. Prijevodi na druge jezike služe u informativne svrhe; u slučaju nesuglasja primjenjuje se češka verzija.

Ovaj dokument opisuje koje podatke aplikacija Kimda („aplikacija“, „mi“) i web-stranica kimda.app obrađuju, zašto i na kojem pravnom temelju, kome ih prosljeđujemo, koliko ih dugo čuvamo i koja prava imate vi i vaša djeca. Aplikacija je namijenjena cijeloj obitelji, uključujući djecu — zato zaštiti podataka pristupamo posebno pažljivo.

1. Tko je voditelj obrade podataka

Voditelj obrade podataka je Mgr. Ivo Slávka, koji aplikaciju Kimda pruža kao fizička osoba poduzetnik upisana u obrtni registar koji vodi ÚMČ Praha 8, IČO (matični broj) 30070929, sa sjedištem na adresi Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Češka Republika. Adresa e-pošte za pitanja o privatnosti i za ostvarivanje vaših prava: privacy@kimda.app.

2. Koje podatke obrađujemo i zašto

• Podaci o računu: ime, prezime, broj telefona, uloga (roditelj/dijete), odabrani jezik i tema izgleda, neobavezna profilna fotografija, verzija ovih pravila i vrijeme kada ste ih prihvatili, kod roditelja vrijeme kada je potvrdio svoju punoljetnost, a kod djeteta vrijeme, verzija pravila i roditelj koji je za dijete dao privolu (točka 5). Vaše ime i profilna slika vidljivi su ostalim članovima vaše obitelji u aplikaciji (roditelj vidi sve članove, dijete vidi svoje roditelje i braću/sestre).
• Broj telefona koristimo za potvrdu identiteta (SMS kod) i prijavu, a njegov nepovratni otisak također za zaštitu probnog razdoblja Premium (točka 6), nakon promjene broja za provjeru zahtjeva za povrat preuzetog računa (sigurnosni zapisi u nastavku) i nakon obnove baze podataka iz sigurnosne kopije za zadržavanje prijave na broj koji je račun ranije napustio (dnevnik promjena telefona u nastavku) – aplikacija na broj inače nikome ne piše niti ga dijeli s trećim stranama osim s pružateljem usluge SMS provjere (Twilio, vidi točku 4).
• Podaci o obitelji: naziv obitelji, tko joj pripada, tko ima koju ulogu i postavke (postoci raspodjele džeparca, valuta, jezik i vremenska zona obitelji) te povijest promjena financijskih pravila (tko je i kada promijenio npr. kamatu, postotke raspodjele, valutu ili vremensku zonu te s koje vrijednosti na koju).
• Zahtjevi za pridruživanje: ime, prezime, uloga i telefonski broj osobe koja se želi pridružiti obitelji te vrijeme zahtjeva - kako bi roditelj vidio koga odobrava.
• Zahtjevi za suglasnost roditelja: vrsta zahtjeva (uklanjanje roditelja ili brisanje cijele obitelji), tko ga je podnio, na koga se odnosi i tko ga je odobrio, odbio ili otkazao (interni identifikatori), vremena (podnošenje, rok, podsjetnik, rješavanje) i ishod (odobreno, odbijeno, otkazano, provedeno nakon isteka roka ili poništeno); imena, telefonske brojeve ni slobodan tekst ne pohranjujemo. Zahtjeve vide roditelji obitelji u aplikaciji.
• Podaci o zadacima: naziv zadatka, bodovi, kada je zadatak izvršen/odobren/odbijen te fotografije, ako zadatak zahtijeva fotografiju, uključujući tehnički otisak fotografije (vidi točku 3).
• Planovi, rutine i podsjetnici: kome je zadatak dodijeljen, planirani dan i vrijeme, status izvršenja, kašnjenje, redoslijed rotacije i je li poslan podsjetnik.
• Nagrade i ciljevi: obiteljski katalog nagrada, zahtjevi za nagradu, ciljevi štednje i iznosi koje je dijete prebacilo u cilj. Roditeljski pregled iz tih podataka izvodi zbirnu izvršenost, pravodobnost i ravnomjernost dodjele; ne stvara javnu ljestvicu djece.
• Financijski podaci aplikacije: bodovi, virtualni džeparac i njegova raspodjela, zahtjevi za isplatu, pozajmice i kamate unutar obitelji – riječ je o internoj evidenciji aplikacije, a ne o stvarnim bankovnim ili platnim podacima. Aplikacija nema pristup nikakvom bankovnom računu ni platnoj kartici. Mjesečni sažetak djeteta (broj odobrenih zadataka, bodovi, a uz Premium i iznos za tekući mjesec; ne i stanja kasica) također je vidljiv ostaloj djeci u istoj obitelji, osim ako roditelj to ne isključi u postavkama obitelji.
• Zapisi izravnih isplata i ručnih otplata: kada roditelj u aplikaciji djetetu isplati dio njegova stanja izravno (bez zahtjeva djeteta) ili ručno zapiše otplatu njegove pozajmice, poslužitelj o svakoj takvoj operaciji pohranjuje zaseban zapis koji se dalje ne mijenja. Sadrži interne identifikatore obitelji, djeteta i roditelja koji je izvršio operaciju, vrstu operacije (izravna isplata, ručna otplata), iznos, kod isplate kutijicu iz koje se isplaćivalo i raščlambu iznosa (kod isplate na dio iz vlastitih uloga i na dio iz pripisane kamate, kod otplate na glavnicu i na kamatu), vrijeme operacije i nasumični identifikator zahtjeva. Zapis služi tome da se može dokazati što je i kada roditelj u aplikaciji zapisao, te kako bi se eventualni spor u obitelji mogao procijeniti prema zapisu, a ne samo prema konačnom stanju. Riječ je o internoj evidenciji aplikacije – aplikacija sama ne prenosi nikakav novac. Zapisi su dio izvoza podataka (točka 7) i čuvaju se prema točki 6.
• Pretplata: status pretplate obitelji (probno razdoblje, Premium, njezina valjanost i obnova) i eventualni besplatni pristup putem promo koda; same promo kodove poslužitelj sprema samo kao otisak HMAC i upravljanje kodovima bilježi (tko, kada, koja radnja). Platne podatke ne vidimo - plaćanje obrađuje Apple ili Google. Dokaz o pristanku za trenutačni početak Premiuma, koji čuvamo kao dokaz tog pristanka, opisuje točka 6.
• Prijava i sigurnost: sesije prijave pojedinih uređaja (kada su nastale, kada su posljednji put korištene i do kada vrijede). Roditelj vidi u Profilu pregled svojih prijavljenih uređaja (samo vrijeme prijave i posljednjeg korištenja, bez IP adrese i naziva uređaja) i može ih pojedinačno odjaviti. Tokene za obnovu poslužitelj sprema samo kao SHA-256 otiske, uključujući otiske već zamijenjenih tokena, kako bi prepoznao zlouporabu ukradenog tokena. Pri zahtjevu za SMS kod sprema ključani otisak (HMAC-SHA-256) broja telefona i SHA-256 otisak jednokratnog izazova zajedno s brojem pokušaja, kod promjene broja i kod potvrde brisanja obitelji i njezinu svrhu te interni identifikator računa. Ograničenja broja zahtjeva, uključujući dnevni limit poslanih SMS-ova, računa prema ključanom otisku (HMAC-SHA-256) IP adrese ili njezine mreže (IPv4 /24, IPv6 /56), broja telefona, para broja telefona i mreže ili računa, odnosno prema državi ili predbroju telefona. Ključ za te otiske poslužitelj izvodi iz tajnog ključa spremljenog izvan baze podataka, tako da se otisak bez njega ne može pretvoriti natrag u broj telefona ni IP adresu. Sigurnosni zapisi o važnim događajima (npr. prijava, zahtjev za pridruživanje, odobrenje, odbijanje ili uklanjanje člana, novi pozivni kod, odjava uređaja, promjena broja telefona, potvrda pravila, pristanak roditelja za dijete ili sumnja na zlouporabu tokena) sadrže vrstu događaja, vrijeme i interne identifikatore; kod uklanjanja člana dodatno njegovu ulogu (roditelj/dijete), kod potvrde pravila i pristanka roditelja verziju pravila, a pri brisanju računa djeteta, koje je imalo dug, stanje ili neriješene zahtjeve, također valutu, otpisane iznose i broj neriješenih zahtjeva. Zapis o promjeni broja telefona dodatno sadrži nepovratni otisak izvornog broja (HMAC s tajnim ključem) kako bi podrška mogla provjeriti da zahtjev za povrat preuzetog računa podnosi stvarni vlasnik izvornog broja. Imena, brojevi telefona ni IP adrese u njima nisu. Promjene broja telefona i uklanjanje ili obnova člana obitelji osim toga se zapisuju u zaseban dnevnik, koji opisuje stavka „Dnevnik promjena telefona i statusa člana” u nastavku.
• Sigurnosne obavijesti: kada se roditelj prijavi SMS kodom, ostali roditelji u obitelji dobit će općenitu obavijest bez imena i broja telefona; pri svakoj prijavi SMS kodom (roditelja i djeteta) općenitu obavijest o novoj prijavi dobit će i dosadašnji prijavljeni uređaji istog računa. Pri promjeni broja telefona (novi broj provjerava se SMS kodom) poslužitelj će odjaviti ostale prijavljene uređaje računa, a općenitu obavijest dobit će dosadašnji uređaji računa i roditelji u obitelji; izvorni broj se više ne čuva – ostaje samo njegov nepovratni otisak u sigurnosnom zapisu o promjeni (30 dana, vidi odjeljak 6), nepovratni otisci izvornog i novog broja u dnevniku promjena telefona (60 dana, vidi u nastavku i odjeljak 6), a kod roditelja koji je bio član obitelji tijekom njezina probnog razdoblja također otisak prema odjeljku 6. Kada broj na zahtjev vlasnika računa obnovi podrška, prvo će provjeriti njegov identitet: SMS kodom poslanim na izvorni broj, čiji se otisak mora podudarati s otiskom u zapisu o promjeni broja. Kada takva provjera nije moguća (zapis o promjeni više ne postoji ili vlasnik nema izvorni broj), provjerit će ga potvrdom drugog roditelja u obitelji (provjerenom SMS kodom poslanim na broj tog roditelja) i odgovorima na pitanja koja postavlja podrška; u tom slučaju prvo šalje obavijest na uređaje računa i roditeljima u obitelji te vraća broj najranije za 72 sata, ako se nitko tome ne usprotivi; ovu obavijest vidjet ćete nakon prijave i izravno u aplikaciji tijekom cijelog roka. Bez takve provjere neće obnoviti broj i neće poništiti nijedan zahtjev – može samo odjaviti sve uređaje računa. Ako je podrška u posljednjih 30 dana već jednom vratila isti račun, smatra sljedeći zahtjev sporom i neće obnoviti broj bez daljnje provjere. Nakon obnove poslužitelj će odjaviti račun na svim uređajima, općenitu obavijest dobit će roditelji u obitelji i intervencija se bilježi (tko ju je izvršio, kada, kojeg se računa tiče i poveznica na vaš zahtjev – bez broja telefona). Općenitu obavijest dobit će roditelji također pri brisanju računa djeteta, pri uklanjanju drugog roditelja (i uklonjeni roditelj) te pri sumnji na zlouporabu tokena za prijavu; u tom slučaju poslužitelj će odjaviti račun na svim uređajima i poništiti njegove registracije za obavijesti. Sigurnosne obavijesti (npr. o novoj prijavi ili uređaju, promjeni broja telefona, promjeni financijskih pravila, uklanjanju člana, brisanju računa djeteta ili sumnji na zlouporabu tokena) poslužitelj prvo sprema u red čekanja (vrsta obavijesti, primatelj - push token uređaja ili interni identifikator obitelji odnosno računa i jezik - i opći tehnički tip događaja) i tek od tamo ih isporučuje; obavijesti pri vraćanju preuzetog računa od strane podrške (gore) šalje izravno. Ako se isporuka obavijesti roditeljima ili uređajima računa člana obitelji ni nakon ponovljenih pokušaja ne uspije, poslužitelj će spremiti samo interni identifikator obitelji, vrstu obavijesti i vrijeme (bez push tokena i bez imena), kako bi roditelj nakon sljedeće prijave u aplikaciji vidio o kakvoj se obavijesti radilo i mogao je potvrditi; ako primatelj nema nijedan uređaj na koji se obavijest može poslati, takav zapis ne nastaje. Rokove čuvanja utvrđuje točka 6.
• Dnevnik promjena telefona i statusa člana: uz sigurnosne zapise navedene iznad poslužitelj za svaku promjenu broja telefona računa (bilo da je izvršite sami u Profilu ili je na vaš zahtjev izvrši podrška) i za svako uklanjanje ili obnovu člana obitelji vodi zaseban zapis u dnevniku. Zapis sadrži nasumični identifikator zapisa, interne identifikatore računa i obitelji, vrstu događaja (promjena broja, obnova broja od strane podrške, uklanjanje člana, obnova člana), vrijeme događaja i – samo kod promjene broja – nepovratne otiske izvornog i novog broja (HMAC-SHA-256 s tajnim ključem koji je pohranjen izvan baze podataka). Kod uklanjanja i obnove člana nema nikakvih otisaka. Brojevi telefona, imena ni IP adrese nisu u dnevniku. Otisak se bez tajnog ključa ne može vratiti u broj telefona, ali budući da je vezan uz interni identifikator računa, riječ je o pseudonimnom podatku, a ne o anonimnom podatku. Dnevnik služi samo za zaštitu od posljedica obnove baze podataka iz sigurnosne kopije: kako se računu ne bi vratio broj koji je račun u međuvremenu napustio (i koji je mogao preuzeti netko drugi) te kako bi se ponovno primijenilo uklanjanje člana obitelji koje sigurnosna kopija ne sadrži. Poslužitelj stoga pri prijavi SMS kodom i pri provjeri broja telefona uspoređuje otisak unesenog broja s posljednjim zapisom dnevnika; ako ne odgovara, zadržat će prijavu i uputiti na podršku. Zapis se pohranjuje u bazu podataka i u pravilu u roku od nekoliko minuta također u kopiju u zasebnoj nejavnoj pohrani Cloudflare R2 (točka 4), kako bi preživio gubitak baze podataka između sigurnosnih kopija. Rokove čuvanja utvrđuje točka 6.
• Tehnički podaci: push token i nasumični identifikator uređaja koji aplikacija stvara za dostavu obavijesti (nije hardverski identifikator), vrijeme posljednje registracije uređaja, prijavu kojoj registracija pripada i SHA-256 otisak nasumične tajne instalacije, kojom uređaj dokazuje da mu push token pripada. Nakon oslobađanja registracije (odjava, uklanjanje člana, sigurnosno blokiranje ili automatsko čišćenje) poslužitelj pamti dva vremenski ograničena zapisa kako obavijesti uređaja ne bi mogao preuzeti tuđi račun: (a) zapis o oslobođenom push tokenu – SHA-256 otiske push tokena i tajne instalacije, interni identifikator obitelji i vrijeme oslobađanja (oslobođeni token tako ne može preuzeti račun iz druge obitelji); i (b) zapis o oslobođenom uređaju – interni identifikator računa, nasumični identifikator uređaja, iste otiske i vrijeme oslobađanja (oslobođeni uređaj tako ne može bez dokazivanja da je riječ o istoj instalaciji ponovno zauzeti druga sesija prijave istog računa, na primjer ukradena). Poslužitelj nadalje 30 dana čuva zapis o registraciji uređaja (interni identifikator računa i uređaja, otisak push tokena, vrsta događaja i vrijeme), prema kojem prati limit registracija novih uređaja za 24 sata. Rokove čuvanja utvrđuje točka 6; zapis o oslobođenom uređaju ne vodi se pri brisanju računa. Dalje operativni zapisi poslužitelja (npr. stanja pogreške) bez brojeva telefona i sadržaja zahtjeva. U telefonu aplikacija u sigurnoj pohrani čuva tokene za prijavu i dalje pamti odabrani jezik i temu; odabrani jezik priopćava i poslužitelju kako bi obavijesti stizale na vašem jeziku. Što aplikacija šalje izravno uslugama Expo i Sentry, opisuje točka 4.

Zašto obrađujemo podatke i na kojem pravnom temelju:

• Obiteljski račun i funkcije aplikacije (registracija, obitelj, zadaci i fotografije, planovi, podsjetnici, nagrade, ciljevi, džeparac uključujući zapise izravnih isplata i ručnih otplata, obavijesti i pretplata): izvršenje ugovora, odnosno uvjeta korištenja (čl. 6. st. 1. toč. (b) GDPR). Zapise izravnih isplata i ručnih otplata i povijest promjena financijskih pravila obrađujemo dodatno na temelju našeg legitimnog interesa za dokazivost financijskih operacija i pravila u aplikaciji i za rješavanje sporova u obitelji (čl. 6. st. 1. toč. (f) GDPR). Dokaz o pristanku za trenutačni početak Premiuma i njegovu kopiju izvan baze podataka obrađujemo dodatno na temelju našeg legitimnog interesa za dokazivanje ovog pristanka i za obranu pravnih zahtjeva (čl. 6. st. 1. toč. (f) GDPR). Za podatke djece vidi točku 5.
• Prijava potvrđena SMS kodom: izvršenje ugovora (čl. 6. st. 1. toč. (b) GDPR) - bez potvrđenog broja telefona nije se moguće prijaviti u aplikaciju.
• Sigurnost i zaštita od zlouporabe (sesije i otisci tokena, izazovi za SMS kod, ograničenja broja zahtjeva i dnevni limit SMS-ova, sigurnosni zapisi, dnevnik promjena telefona i statusa člana, memorija oslobođenih push tokena i uređaja, zapis o registraciji uređaja i limit registracija novih uređaja za 24 sata, red čekanja sigurnosnih obavijesti i evidencija neisporučenih obavijesti, operativni zapisnici, otisak broja telefona radi sprječavanja ponovnog korištenja probnog razdoblja, zahtjevi za suglasnost roditelja koji štite obitelj od jednostranog uklanjanja roditelja ili brisanja te provjera identiteta kada podrška vraća preuzeti račun uključujući evidenciju takvih intervencija): naš legitimni interes za siguran rad usluge, zaštitu računa roditelja i djece te obranu od zlouporabe SMS provjere (čl. 6. st. 1. toč. (f) GDPR).
• Ispravljanje pogrešaka i ažuriranje aplikacije (izvješća o pogreškama putem Sentryja, ažuriranja putem Expa): naš legitimni interes za stabilnu i sigurnu aplikaciju (čl. 6. st. 1. toč. (f) GDPR).
• Rješavanje vaših zahtjeva prema točki 7 i dokaz o tome kako i kada smo ih riješili (npr. status izvršenog brisanja, dnevnik izvršenih brisanja i zadatak vanjskog brisanja): ispunjenje pravne obveze (čl. 6. st. 1. toč. (c) GDPR).
• Mjerenje oglašavanja na web-stranici kimda.app (Meta Pixel): vaša privola (čl. 6. st. 1. toč. (a) GDPR), vidi točku 9.

Protiv obrade na temelju legitimnog interesa možete uložiti prigovor (točka 7). Broj telefona nužan je za registraciju i prijavu; bez njega se aplikacija ne može koristiti. Profilna fotografija je dobrovoljna, a fotografija izvršenog zadatka potrebna je samo za zadatke kod kojih je roditelj zahtijeva. Automatizirano donošenje odluka ni profiliranje s pravnim ili slično značajnim učincima (čl. 22. GDPR) ne koristimo; automatska sigurnosna ograničenja, koja na primjer privremeno blokiraju daljnje pokušaje za SMS kod, služe samo za zaštitu računa i usluge.

3. Fotografije uz zadatke

Fotografije koje dijete (ili roditelj umjesto njega) prenese uz zadatak vide samo članovi iste obitelji (roditelji i djeca u aplikaciji). Nisu javne, a aplikacija ih ne dijeli ni s jednom drugom aplikacijom ni društvenom mrežom. Fotografija za zadatak može se snimiti samo kamerom u aplikaciji. Aplikacija, a nakon nje ponovno i poslužitelj, prije spremanja uklanjaju metapodatke s fotografije (na primjer GPS lokaciju ili podatke o kameri). Fotografije se pohranjuju u nejavnoj objektnoj pohrani (vidi točku 4) i poslužitelj ih izdaje samo prijavljenom članu iste obitelji. Roditelj može u bilo kojem trenutku zatražiti njihovo brisanje.

Za svaku prenesenu fotografiju poslužitelj izračunava tehnički otisak (kontrolni zbroj i pojednostavljeni slikovni otisak od 64 bita). Služi samo tome da aplikacija prepozna kada se ista ili gotovo ista fotografija ponovno upotrijebi za zadatak te da fotografija pripada zadatku za koji ju je dijete u aplikaciji upravo snimilo. Iz otiska se fotografija ne može prikazati niti povratno složiti i briše se zajedno s fotografijom. Zapis o vremenskom izazovu za fotografiju (tko ju je zatražio u aplikaciji, za koji zadatak i kada) poslužitelj briše nakon 7 dana. Roditelj uz fotografiju vidi upozorenje kada fotografija nema valjanu vremensku provjeru aplikacije ili je vrlo slična ranijoj fotografiji, kao pomoć pri odobravanju; provjera ne jamči da se fotografija ne može lažirati.

4. Kome prosljeđujemo podatke i prijenos izvan EU-a

Podatke prosljeđujemo samo pružateljima usluga koji za nas osiguravaju rad aplikacije (izvršiteljima obrade), i to samo u opsegu koji im je za to potreban. Izvršitelji obrade smiju koristiti podatke samo za pružanje svoje usluge za nas i prema našim uputama. Apple i Google pri kupnjama u trgovinama nastupaju kao samostalni voditelji obrade.

• Pružatelj usluge hostinga (Railway) - upravlja poslužiteljem aplikacije i bazom podataka u kojoj su pohranjeni podaci aplikacije.
• Cloudflare - privatna objektna pohrana R2 čuva šifrirano prenesene profilne fotografije i fotografije izvršenih zadataka, sigurnosne kopije baze podataka (šifrirane još prije slanja tako da se mogu dešifrirati samo privatnim ključem koji čuvamo izvan oblaka), dnevnik izvršenih brisanja (samo interni identifikatori, vrsta brisanja i vrijeme), dnevnik promjena telefona i statusa člana (točka 2: interni identifikatori, vrsta i vrijeme događaja te kod promjene broja nepovratni otisci brojeva) i kopiju dokaza o pristanku na neposredni početak Premium (točka 6: interni identifikatori obitelji i korisnika, vrijeme pristanka, odabrani plan, početak plaćenog razdoblja, identifikator transakcije trgovine i verzija prikazanog teksta) u nejavnim bucketima; pristup fotografijama i dalje kontrolira prijavljeni Kimdin backend. Cloudflare također upravlja web-stranicom kimda.app (točka 9).
• Twilio (potvrda telefona SMS kodom) - dobiva broj telefona i kod koji unesete, samo u svrhu dostave i provjere SMS koda.
• Expo (650 Industries) - prvo, dostavlja obavijesti: dobiva push token uređaja, identifikator instalacije za obavijesti, nativni token Apple ili Google, općeniti tekst ili emoji obavijesti i općenitu tehničku vrstu događaja. ID-ove iz baze podataka, imena, nazive zadataka ni iznose ne šaljemo u push poruci. Expo poruku prosljeđuje push usluzi tvrtke Apple (Apple Push Notification service) ili Google (Firebase Cloud Messaging). Drugo, dostavlja ažuriranja aplikacije (EAS Update): aplikacija pri svakom pokretanju pita Expo poslužitelje je li dostupan ispravak. Expo pritom dobiva IP adresu uređaja, platformu, verziju aplikacije, identifikator instaliranog ažuriranja, eventualno tekst posljednje pogreške koja je zatvorila aplikaciju, te nasumični identifikator instalacije EAS-Client-ID, koji aplikacija trajno sprema u telefonu i koji se ne mijenja ni nakon odjave. S vašim računom ga ne povezujemo i aplikacija ga ne šalje našem poslužitelju.
• Apple i Google - kao samostalni voditelji obrade obrađuju kupnju i upravljanje pretplatom u App Storeu i Google Playu; kao push usluge (Apple Push Notification service, Firebase Cloud Messaging) dostavljaju obavijesti na uređaj.
• RevenueCat (obrada pretplate putem App Storea / Google Playa samo za roditeljske račune) - obrađuje identifikator obitelji, povijest kupnji, Apple potvrdu o kupnji ili Google token kupnje, vrijeme posljednjeg korištenja i tehničke podatke o uređaju (npr. vrsta uređaja i operacijski sustav). Od Kimde ne dobiva ime ni broj telefona roditelja ili djeteta. U aplikaciji nisu uključene oglašivačke/atribucijske integracije RevenueCata ni ručno prikupljanje oglašivačkih identifikatora.
• Sentry (tehnička izvješća o pogreškama aplikacije i poslužitelja, radi ispravljanja pogrešaka) - dobiva vrstu pogreške, mjesto u kodu, verziju aplikacije i operacijskog sustava. Aplikacija i poslužitelj postavljeni su tako da mu ne šalju ime, telefon, token za prijavu, sadržaj zahtjeva ni IP adresu. Organizacija Kimda u Sentryju vodi se u podatkovnom području EU-a (Njemačka).
• Pružatelj e-pošte (Spaceship, usluga Spacemail) - dostavlja i čuva e-poruke koje nam pošaljete na privacy@kimda.app ili support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google i Meta (točka 9) su tvrtke sa sjedištem ili pozadinom u SAD-u, stoga podatke mogu obrađivati i izvan Europskog gospodarskog prostora. Kod prijenosa izvan Europskog gospodarskog prostora koristimo mehanizam prema poglavlju V. GDPR-a koji se odnosi na konkretnog primatelja i obradu - uglavnom certifikaciju primatelja u okviru EU-USA Data Privacy Framework (odluka Europske komisije o primjerenosti zaštite, čl. 45. GDPR) ili standardne ugovorne klauzule koje je odobrila Europska komisija (čl. 46. st. 2. toč. (c) GDPR). Informaciju o mehanizmu kod konkretnog primatelja i o tome gdje se može dobiti kopija odgovarajućih jamstava pružit ćemo vam na zahtjev na privacy@kimda.app.

Podatke iz aplikacije ne prodajemo, ne dijelimo ih s oglašivačima niti ih koristimo za ciljano oglašavanje. Mjerenje oglašavanja na web-stranici kimda.app uz privolu posjetitelja opisuje točka 9.

5. Privola roditelja i uloge djece

Ulogu „roditelj“ i novu obitelj smije stvoriti samo odrasla osoba. Račun s ulogom „dijete“ uvijek nastaje tek nakon pridruživanja pomoću pozivnog koda koji zna samo roditelj – dijete se dakle može uključiti samo uz znanje i privolu roditelja koji dijeli kod. Svako pridruživanje djeteta i drugog roditelja roditelj mora dodatno izričito odobriti u aplikaciji; do odobrenja novi član vidi samo ime obitelji. Pozivni kod obitelji vrijedi 48 sati, neodobreni zahtjev automatski se briše nakon 72 sata, a odbijeni ili otkazani odmah. Registracijom uloge „roditelj“ potvrđujete da ste punoljetni i da imate zakonsko pravo dati privolu za obradu podataka svoje djece u aplikaciji.

Podatke djeteta obrađujemo samo u opsegu potrebnom za funkcioniranje obiteljskog računa koji je roditelj stvorio i kojim upravlja, dakle za izvršenje ugovora s roditeljem (čl. 6. st. 1. toč. (b) GDPR). Roditelj kao zakonski zastupnik odlučuje o uključivanju djeteta: dijeli pozivni kod, izričito odobrava pridruživanje djeteta i može dijete u bilo kojem trenutku ukloniti iz obitelji ili zatražiti brisanje njegovog računa. Dijete pri registraciji pravila samo prima na znanje; privolu za obradu njegovih podataka daje roditelj kada u aplikaciji odobrava pridruživanje djeteta, a poslužitelj bilježi vrijeme, roditelja i verziju pravila. Kod djece odobrene starijom verzijom aplikacije, aplikacija će naknadno zatražiti nedostajuću privolu od roditelja. Ako bi obrada zahtijevala privolu, a dijete još nema 15 godina (dobna granica u Češkoj prema čl. 8. GDPR-a i § 7. Zakona br. 110/2019 Sb., o obradi osobnih podataka), privolu u ime djeteta daje roditelj. Prava djeteta prema točki 7. u njegovo ime može ostvariti roditelj.

6. Koliko dugo čuvamo podatke

Podatke računa i obitelji čuvamo dok korisnik ne zatraži brisanje računa ili cijele obitelji. Sama neaktivnost aplikacije ne pokreće automatsko brisanje. Korisnik zato ne mora redovito otvarati aplikaciju kako ne bi izgubio povijest obitelji, a brisanje može u bilo kojem trenutku pokrenuti izravno u aplikaciji ili ga zatražiti na privacy@kimda.app. Povijest promjena financijskih pravila (točka 2) čuvamo tijekom cijelog trajanja obitelji, bez vremenskog i ukupnog brojčanog ograničenja (obitelj smije spremiti promjene financijskih pravila najviše 30 puta po satu), jer služi kao nepromjenjivi dokaz o tome tko je i kada promijenio pravila, na primjer pri sporu između roditelja; u aplikaciji se ne može urediti ni izbrisati. Nakon brisanja cijele obitelji (točka 7) poslužitelj je briše pri sljedećem čišćenju; brisanje računa pojedinog člana je ne mijenja i uz nju ostaje samo interni identifikator bez imena.

Za pojedine druge zapise vrijede sljedeći rokovi:

• Izazovi za SMS kod (otisci broja telefona i izazova): vrijede 10 minuta; nakon uspješne provjere poslužitelj ih briše odmah, inače najkasnije sat vremena nakon njihovog isteka.
• Ograničenja broja zahtjeva i dnevni limit SMS-ova (otisci): poslužitelj ih briše 24 sata nakon završetka praćenog razdoblja; dnevni limit SMS-ova uvijek završava u ponoć UTC.
• Sesije prijave: token za prijavu vrijedi 15 minuta; sesija završava nakon 30 dana neaktivnosti, najkasnije nakon 90 dana, ili ranije odjavom. Završenu sesiju, uključujući otiske tokena, poslužitelj briše 30 dana nakon njezinog završetka.
• Pozivnice i zahtjevi za pridruživanje: pozivni kod obitelji vrijedi 48 sati, a pozivnica za drugog roditelja 24 sata; neodobreni zahtjev za pridruživanje automatski se briše nakon 72 sata, a odbijeni ili otkazani odmah. Zapis o pozivnici za drugog roditelja (kod, tko ju je stvorio i tko ju je upotrijebio) poslužitelj briše 30 dana nakon njezinog isteka, upotrebe ili otkazivanja.
• Sigurnosni zapisi u bazi podataka (točka 2): poslužitelj ih sam briše nakon 30 dana. Dnevnik promjena telefona i statusa člana podliježe vlastitom roku navedenom u nastavku.
• Dnevnik promjena telefona i statusa člana (točka 2): zapis u bazi podataka poslužitelj briše najranije 60 dana nakon njegova nastanka, i to tek nakon što ga je kopirao u zasebnu pohranu (kopija nastaje u pravilu u roku od nekoliko minuta). Zapis koji se nije uspjelo kopirati poslužitelj ne briše dok kopiranje ne uspije, te stoga ostaje u bazi podataka i dulje od 60 dana. Kopiju u zasebnoj nejavnoj pohrani Cloudflare R2 briše sama pohrana nakon 60 dana od njezina spremanja. Pri brisanju računa ili cijele obitelji (točka 7) poslužitelj briše zapise dnevnika izbrisanog računa ili obitelji iz baze podataka; njihova kopija u pohrani nestaje najkasnije 60 dana nakon spremanja.
• Fotografije: nepovezane fotografije, koje nije bilo moguće dodijeliti profilu ili zadatku, poslužitelj uklanja nakon 24 sata; zapis o vremenskom izazovu za fotografiju briše nakon 7 dana (točka 3) i tehnički zapis o izbrisanoj fotografiji (samo interni identifikatori) 30 dana nakon brisanja fotografije.
• Push token i identifikator uređaja: do odjave uređaja, uklanjanja člana iz obitelji ili brisanja računa, odnosno dok ga Apple ili Google ne označe nevaljanim. Poslužitelj ih dodatno sam briše kada aplikacija nije obnovila registraciju uređaja 90 dana (obnavlja je pri svakoj prijavi i pokretanju), ili kada korisnik nema valjanu sesiju prijave dulje od 30 dana. Nakon odjave uređaja (i na daljinu u Profilu) ili isteka njegove prijave, na uređaj se ništa ne dostavlja. Iznimka su registracije iz vremena prije uvođenja ove verzije, koje aplikacija od tada nije obnovila: odjava jednog uređaja na daljinu ih neće odspojiti, opcija Odjavi sve uređaje hoće; inače ih poslužitelj briše prema gore navedenim rokovima. Zapis o oslobođenom push tokenu (otisci, obitelj i vrijeme) poslužitelj briše nakon 30 dana, ili ranije, kada se uređaj ponovno registrira. Zapis o oslobođenom uređaju (interni identifikator računa, nasumični identifikator uređaja, otisci i vrijeme) poslužitelj briše nakon 91 dana – dakle tek nakon isteka najduljeg mogućeg trajanja sesije prijave (90 dana) – ili ranije, kada se uređaj istog računa ponovno registrira. Zapis o oslobođenom uređaju ne vodi se pri brisanju računa; ako je već nastao pri pokretanju brisanja, poslužitelj ga briše pri njegovu dovršetku. Rok zapisa o oslobođenom push tokenu time ostaje nepromijenjen. Tehnički otisak push tokena kod poslanog podsjetnika služi samo za provjeru dostave; poslužitelj ga briše nakon procjene dostave, najkasnije 30 dana nakon slanja. Zapis o registraciji uređaja (interni identifikator računa i uređaja, otisak push tokena, vrsta događaja i vrijeme; točka 2) poslužitelj briše nakon 30 dana od njegova nastanka, čak i ako u međuvremenu izbrišete račun.
• Red čekanja sigurnosnih obavijesti i neisporučene obavijesti (točka 2): podatke o primatelju obavijesti (push token uređaja ili interni identifikator obitelji odnosno računa i jezik) poslužitelj iz spremljenog zapisa reda čekanja uklanja odmah nakon isporuke ili odustajanja od isporuke, a najkasnije 7 dana nakon nastanka obavijesti; samo interni identifikator obitelji (pri iznimnoj grešci baze podataka privremeno i računa) u njemu može ostati do upisa zapisa o neisporučenoj obavijesti (u nastavku). Preostali zapis (vrsta obavijesti, opći tehnički tip događaja, vrijeme i tehnička poruka o grešci) briše 30 dana nakon obrade. Zapis o neisporučenoj obavijesti za roditelje (interni identifikator obitelji, vrsta obavijesti i vrijeme, bez push tokena i bez imena) čuva dok ga roditelj u aplikaciji ne potvrdi; potvrđeni zapis briše čim je stariji od 90 dana. Zapis obitelji koja više ne postoji briše pri sljedećem čišćenju.
• Spremljeni odgovori financijskih operacija: kako ponovljeni zahtjev nakon prekida mreže ne bi zapisao isplatu, pozajmicu ili drugu financijsku operaciju dvaput, poslužitelj pamti odgovor na nju 30 dana. Sam zapis o operaciji (vrsta operacije, njezin slučajni identifikator, interni identifikatori obitelji, aktera i dotičnog člana, SHA-256 otisak zahtjeva i vrijeme) dio je financijske povijesti i čuva se do brisanja računa ili obitelji.
• Zapisi izravnih isplata i ručnih otplata (točka 2): za razliku od spremljenog odgovora iznad, koji se briše nakon 30 dana, ovi se zapisi čuvaju do brisanja djeteta na koje se odnose ili cijele obitelji (točka 7).
• Spremljeni zapisi ponovljenih zahtjeva planera: kako ponovljeni zahtjev nakon prekida mreže ne bi dvaput stvorio plan zadataka, poslužitelj 60 dana čuva zapis o njegovom stvaranju (interni identifikatori obitelji i roditelja, vrsta operacije, nasumični identifikator zahtjeva, SHA-256 otisak zadanih parametara plana, poveznica na stvoreni plan i vrijeme). Zapis poslužitelj briše i pri brisanju računa roditelja koji je stvorio plan te pri brisanju cijele obitelji (točka 7).
• Zahtjev za brisanje računa: nepotvrđeni zahtjev za brisanje nakon 45 dana postaje nevaljan i briše se najkasnije nakon još 400 dana; zapis o izvršenom brisanju (samo interni identifikatori i status, bez imena i kontakata) čuvamo kao dokaz da smo riješili vaš zahtjev, i to 3 godine od rješavanja. U istom opsegu (interni nasumični identifikator računa ili obitelji, vrsta brisanja i vrijeme) vodimo dnevnik izvršenih brisanja, kako bi se nakon eventualne obnove baze podataka iz sigurnosne kopije sva kasnija brisanja ponovno primijenila. Zapis dnevnika u bazi podataka poslužitelj briše najranije 180 dana nakon njegova nastanka, i to tek nakon što ga je kopirao u zasebnu pohranu (kopija nastaje obično unutar nekoliko minuta); zapis koji nije uspio kopirati poslužitelj ne briše dok kopiranje ne uspije. Kopiju u zasebnoj nejavnoj pohrani briše sama pohrana nakon 60 dana od njezina spremanja. Šifrirani izvoz dnevnika, koji je dio sigurnosne kopije baze podataka, nestaje zajedno sa sigurnosnom kopijom (najkasnije nakon 30 dana).
• Zahtjevi za suglasnost roditelja: otvoreni zahtjev vrijedi 14 dana; produžuje se samo ako u obitelj u međuvremenu dođe roditelj (kod zahtjeva za brisanje obitelji novi roditelj dobiva vlastitih 14 dana, najviše ipak do kraja eventualnog zaštitnog roka nakon uklanjanja nekog drugog roditelja), ili nakon obnove baze podataka iz sigurnosne kopije (osim zahtjeva za brisanje obitelji, koji vrijedi samo do kraja zaštitnog roka). Zahtjev za brisanje obitelji, koji bi istekao tijekom 14-dnevnog roka nakon uklanjanja nekog drugog roditelja, traje do kraja tog roka i potom postaje nevaljan. Tijekom 14-dnevnog roka nakon uklanjanja nekog drugog roditelja obitelj se ne može izbrisati; zahtjev za brisanje obitelji podnesen u tom roku po njegovom isteku postaje nevaljan. Nakon isteka roka jedini preostali roditelj može izbrisati obitelj izravno u Profilu. Riješeni zahtjev poslužitelj briše nakon 90 dana.
• Otisak broja telefona nakon brisanja računa ili promjene broja: kako se probno razdoblje Premium ne bi moglo opetovano dobivati brisanjem računa i novom registracijom, poslužitelj pri brisanju računa roditelja koji je bio član obitelji tijekom njezina probnog razdoblja i pri promjeni broja takvog roditelja (čak i ako broj na njegov zahtjev promijeni podrška) sprema samo otisak dosadašnjeg broja telefona (HMAC s tajnim ključem) i vrijeme – sam broj ne. Nova registracija s istim brojem tada neće dobiti probno razdoblje. Poslužitelj briše otisak nakon 12 mjeseci.
• E-poruke koje nam pošaljete: onoliko dugo koliko je potrebno za rješavanje vašeg pitanja ili zahtjeva te za dokazivanje kako smo ga riješili.
• Evidencija intervencija podrške i administracije: zapis o intervenciji u bazi podataka (vrsta intervencije, tko ju je izvršio, kada, koje se obitelji tiče i broj zahtjeva – bez imena i brojeva telefona; tako bilježimo obnovu broja i odjavu uređaja od strane podrške, izvoz podataka obitelji na zahtjev te upravljanje promo kodovima i besplatnim pristupom) poslužitelj sam briše nakon 3 godine. Dnevnik zahtjeva za podršku (broj zahtjeva, datum, interni identifikator računa, način provjere identiteta i rezultat – bez broja telefona) vodimo šifrirano izvan baze podataka i čuvamo ga također 3 godine kao dokaz kako smo riješili zahtjev.

Produkcijski zapisnici rada i sigurnosti hostinga smiju se čuvati najdulje 30 dana. Tehnička izvješća o pogreškama aplikacije i poslužitelja Sentry čuva najdulje 90 dana kako bismo mogli pronaći i ispraviti pogreške koje se pojave tek nakon izdavanja nove verzije aplikacije; eventualne operativne sigurnosne kopije Sentryja prestaju postojati najkasnije 90 dana nakon svog stvaranja. Sigurnosne kopije baze podataka izrađuju se dnevno, šifriraju se još prije slanja iz produkcijskog okruženja i brišu se 30 dana nakon izrade, tako da ranije izbrisani podaci u njima ostaju najdulje 30 dana; ne upotrebljavaju se za uobičajenu obnovu izbrisanog računa. Ako bismo morali obnoviti bazu podataka iz sigurnosne kopije, brisanja izvršena nakon izrade sigurnosne kopije prema dnevniku brisanja ponovno ćemo primijeniti. Postavke hostinga, baze podataka i pohrane moraju te rokove tehnički provoditi, a operator ih redovito provjerava.

Ako brisanje zapisa kod vanjskog pružatelja pretplate nije moguće dovršiti odmah, Kimda nakon uklanjanja medijskih datoteka bez daljnje odgode anonimizira lokalne osobne podatke. Za sigurno ponavljanje vanjskog zahtjeva zadržava samo interni nasumični identifikator obitelji i tehničko stanje brisanja, a ne imena ili telefonske brojeve. Zapis o tom zadatku vanjskog brisanja (interni identifikator obitelji, oznaka pružatelja, broj pokušaja, vremena i kod posljednje greške, bez imena i telefonskih brojeva) poslužitelj briše 90 dana nakon njegova dovršetka; nedovršeni zadatak čuva se dok se ne dovrši.

Dokaz o pristanku na neposredni početak Premium (interni identifikatori obitelji i korisnika, vrijeme pristanka, odabrani plan, početak plaćenog razdoblja, identifikator transakcije trgovine, interni identifikator pokušaja kupnje i verzija prikazanog teksta) čuvamo onoliko dugo koliko je potrebno za dokazivanje ovog pristanka u eventualnom sporu, standardno 3 godine od njegovog davanja. Nakon isteka roka, dokaz se kontrolirano briše. Dokaz se ne briše zajedno s računom ni s obitelji (točka 7). Njegovu kopiju (bez internog identifikatora pokušaja kupnje) spremamo također u zasebnu nejavnu pohranu Cloudflare R2 (točka 4), kako bi dokaz preživio gubitak baze podataka između sigurnosnih kopija; sama pohrana je briše nakon 1125 dana od njezinog spremanja.

7. Vaša prava

Imate pravo:

• na pristup svim podacima koje aplikacija čuva o vama i vašoj obitelji (čl. 15. GDPR),
• na ispravak netočnih podataka (čl. 16. GDPR) – broj telefona možete sami promijeniti u Profilu nakon provjere novog broja SMS kodom; ako izgubite pristup računu (primjerice zato što je broj promijenio netko drugi s prijavljenog uređaja), promijenit ćemo ga na vaš zahtjev nakon provjere identiteta,
• na brisanje računa pojedinog člana (čl. 17. GDPR) - aplikacija izravno u aplikaciji (Profil → Izbriši račun) nepovratno uklanja ili anonimizira ime, telefon, fotografiju i push token te briše sve fotografije koje ste prenijeli; kod računa djeteta i fotografije uz njegove zadatke koje je umjesto njega prenio roditelj. S tim se računom onda više ne može prijaviti i uz njega ne ostaje ime ni kontakt. U povijesti zadataka i plaćanja ostaju samo računovodstvene činjenice nužne za kontinuitet ostatka obitelji (bodovi, iznos, stanje i vrijeme); slobodna bilješka se briše, a nazivi zadataka i ciljeva zamjenjuju se neutralnom vrijednošću. Ta se povijest ne briše jer ostaje povezana s ostatkom obitelji (inače se ne bi slagao njihov međusobni računovodstveni kontinuitet), ali je vezana samo uz zapis bez imena i kontakta. Zapisi izravnih isplata i ručnih otplata djeteta (točka 2) brišu se zajedno s djetetom. Zapise dnevnika promjena telefona i statusa člana (točka 2) poslužitelj briše iz baze podataka; njihova kopija u zasebnoj pohrani nestaje najkasnije 60 dana nakon spremanja. Ako dijete ima dug, stanje ili neriješene zahtjeve, aplikacija će mu prije brisanja pokazati koje će iznose izgubiti, a brisanje mora izričito potvrditi; roditelji će zatim dobiti općenitu obavijest. Član, kojeg je roditelj uklonio iz obitelji, može nakon provjere SMS kodom u aplikaciji sam trajno izbrisati svoj račun i time osloboditi svoj broj telefona,
• na kaskadno brisanje cijele obitelji - kada roditelj izričito potvrdi brisanje cijele obitelji, anonimiziramo sve njezine članove, brišemo njihove fotografije te dodatno zamjenjujemo slobodne tekstove i nazive vlastitih zadataka, ciljeva i nagrada neutralnim vrijednostima; brišemo također zapise izravnih isplata i ručnih otplata obitelji (točka 2), povijest promjena financijskih pravila obitelji (pri sljedećem čišćenju) i zapise dnevnika promjena telefona i statusa člana njezinih članova (kopija dnevnika u zasebnoj pohrani nestaje najkasnije 60 dana nakon spremanja). Uklanjanje drugog roditelja zahtijeva suglasnost dotičnog roditelja: izričito odbijanje zaustavlja radnju, bez reakcije provodi se nakon 14 dana. Brisanje cijele obitelji u kojoj je još jedan roditelj zahtijeva izričitu suglasnost svakog daljnjeg roditelja; bez suglasnosti svih, zahtjev se poništava nakon 14 dana i obitelj se ne briše. Obitelj iz koje je u posljednjih 14 dana uklonjen drugi roditelj može se izbrisati najranije 14 dana nakon njegova uklanjanja. Računovodstveni zapisi o izbrisanoj obitelji, uključujući stanja i statuse kredita i štednje djece, uklanjaju se iz operativne baze podataka najkasnije u roku od 30 dana od brisanja; u šifriranim sigurnosnim kopijama mogu ostati najdulje daljnjih 30 dana, prije nego što se sigurnosna kopija izbriše. Dokaz o pristanku za trenutačni početak Premiuma ne briše se s brisanjem obitelji (točka 6). Anonimizirani zapisi o primjeni partnerskih kodova, koji ne sadrže osobne podatke, čuvaju se za evidenciju partnera i zaštitu od zlouporabe. Nakon uklanjanja medijskih datoteka provodi se lokalna anonimizacija i onda kada je RevenueCat privremeno nedostupan; vanjski zahtjev se zatim sigurno ponavlja samo s internim identifikatorom obitelji. RevenueCat brisanje provodi asinkrono. Time se ne otkazuje pretplata koja se vodi u App Storeu ili Google Playu - nju roditelj mora zasebno otkazati u postavkama odgovarajuće trgovine,
• na ograničenje obrade (čl. 18. GDPR), na primjer kada osporavate točnost podataka, tijekom razdoblja dok je ne provjerimo,
• na prenosivost (čl. 20. GDPR) - podatke koje ste nam pružili i koje obrađujemo na temelju ugovora, predat ćemo vam u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu (npr. JSON), odnosno na vaš zahtjev predat ćemo ih drugom voditelju obrade, ako je to tehnički izvedivo,
• uložiti prigovor (čl. 21. GDPR) protiv obrade koja se temelji na našem legitimnom interesu (točka 2); obradu ćemo tada prekinuti, osim ako dokažemo uvjerljive legitimne razloge koji nadilaze vaše interese, prava i slobode, ili nam je potrebna za postavljanje, ostvarivanje ili obranu pravnih zahtjeva,
• u bilo kojem trenutku povući privolu (čl. 7. st. 3. GDPR) - privolu za mjerenje oglašavanja na web-stranici povlačite putem poveznice "Postavke kolačića" u podnožju web-stranice (točka 9); povlačenje ne utječe na obradu prije njega,
• podnijeti pritužbu nadzornom tijelu (čl. 77. GDPR) - u Češkoj je to Ured za zaštitu osobnih podataka (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, web-stranica uoou.gov.cz; možete se obratiti i nadzornom tijelu u državi članici EU-a u kojoj živite ili radite.

Zahtjev pošaljite na privacy@kimda.app. Kako podatke ne bismo predali ili izbrisali nekom drugom, prvo ćemo provjeriti podnosi li zahtjev vlasnik računa (na primjer potvrdom s broja telefona dodijeljenog računu); kodove iz SMS-ova za prijavu nam nikada ne šaljite. Jedina iznimka je kod iz SMS-a s oznakom „Kimda obnova účtu”, koji će podrška zatražiti samo u odgovoru na vaš vlastiti zahtjev za povrat preuzetog računa, ili na vašu vlastitu potvrdu takvog zahtjeva drugog roditelja iz vaše obitelji (točka 2); čak i tada dajte ga samo podršci, nikada drugom članu obitelji. Ovaj kod podrška od vas traži isključivo e-poštom s adrese support@kimda.app s brojem vašeg zahtjeva, nikada telefonom niti preko drugog člana obitelji. Zahtjev za pristup ili prenosivost rješavamo izvozom podataka obitelji u formatu JSON (bez tokena za prijavu i njihovih otisaka i bez otisaka izvornih brojeva telefona iz sigurnosnih zapisa, koji služe samo za provjeru zahtjeva za povrat računa, i bez dnevnika promjena telefona i statusa člana, koji služi samo za zaštitu od preuzimanja broja; izvoz sadrži zapise izravnih isplata i ručnih otplata (točka 2); kod fotografija sadrži njihov tehnički otisak prema točki 3, same fotografije na zahtjev predat ćemo zasebno); svaki izvoz bilježimo (tko ga je pripremio, kada i na temelju kojeg zahtjeva). Podatke o događajima iz dnevnika promjena telefona i statusa člana (vrstu i vrijeme, bez otisaka) priopćit ćemo vam na zahtjev. Odgovorit ćemo bez nepotrebne odgode, najkasnije u roku od mjesec dana; u složenijim slučajevima rok možemo produljiti za još dva mjeseca, o čemu ćemo vas pravodobno obavijestiti. Prava djeteta u njegovo ime može ostvariti roditelj kao zakonski zastupnik.

8. Sigurnost

Aplikacija ne koristi lozinke (prijava samo putem potvrđenog telefona). Pristup štiti kratkotrajni token za prijavu s valjanošću od 15 minuta i token za obnovu, koji poslužitelj sprema samo kao otisak; pri dokazanoj ponovljenoj upotrebi već zamijenjenog tokena za obnovu poslužitelj će odjaviti račun na svim uređajima, poništiti njegove registracije za obavijesti, zapisati sigurnosni zapis i obavijestiti ostale roditelje. U produkcijskom okruženju komunikacija između aplikacije i poslužitelja odvija se putem HTTPS-a. Fotografije se nalaze u nejavnoj pohrani, a backend prije njihovog izdavanja provjerava račun i pripadnost istoj obitelji. Sigurnosne kopije baze podataka šifrirane su još prije prijenosa i mogu se dešifrirati samo privatnim ključem pohranjenim izvan oblaka; promo kodovi su u bazi podataka samo kao otisak HMAC s ključem izvan baze podataka i upravljanje promo kodovima bilježimo. Brojeve telefona, tokene ni sadržaj zahtjeva poslužitelj ne zapisuje u operativne zapisnike.

9. Web-stranica kimda.app i kolačići

Ova se točka odnosi samo na posjetitelje web-stranice kimda.app, a ne na korištenje aplikacije. Web-stranica radi na mreži Cloudflare, koja pri svakom posjetu tehnički obrađuje IP adresu i podatke o pregledniku kako bi mogla isporučiti stranicu i zaštititi je od napada; zapise za dijagnostiku pogrešaka web-stranice Cloudflare čuva najdulje 3 dana. Prema jeziku preglednika (kod poveznice za preuzimanje i prema vrsti uređaja) web-stranica vas preusmjerava na odgovarajuću verziju stranice. Pravna osnova je naš legitimni interes za sigurnu i funkcionalnu web-stranicu (čl. 6. st. 1. toč. (f) GDPR). Odabranu temu web-stranica pamti samo u vašem pregledniku (localStorage). Vašu odluku o kolačićima web-stranica sprema u localStorage i u nužni tehnički kolačić kimda-consent-proof (valjanost 180 dana), koji sadrži samo vrstu odabira i vrijeme odluke, bez identifikatora osobe ili računa. Preglednik ga tehnički šalje sa svakim zahtjevom prema web-stranici; poslužitelj ga ne obrađuje, služi isključivo skripti u pregledniku za provjeru da privola nije povučena. Taj kolačić ne zahtijeva privolu i ne koristi se za mjerenje ni za oglašavanje.

Samo ako na traci na web-stranici odaberete "Prihvaćam", web-stranica učitava Meta Pixel društva Meta Platforms Ireland Limited. On u preglednik sprema kolačić (npr. _fbp s rokom valjanosti do 90 dana) i šalje Meti podatke o posjetu: posjećenu stranicu, IP adresu, podatke o pregledniku i identifikator kolačića. Služi nam za mjerenje učinkovitosti oglasa na Facebooku i Instagramu. Pravna osnova je vaša privola (čl. 6. st. 1. toč. (a) GDPR i § 89. st. 3. Zakona br. 127/2005 Sb., o elektroničkim komunikacijama). Za prikupljanje i prijenos tih podataka odgovorni smo zajednički s Metom; njihovu daljnju obradu, uključujući mogući prijenos u SAD na temelju Okvira EU-SAD za zaštitu podataka (Data Privacy Framework), Meta provodi kao samostalni voditelj obrade u skladu sa svojim pravilima na facebook.com/privacy/policy. Podatke iz aplikacije, računa ili obitelji Meti nikada ne šaljemo.

Bez privole se Meta Pixel uopće ne učitava. Privolu možete u bilo kojem trenutku povući putem poveznice "Postavke kolačića" u podnožju web-stranice; web-stranica tada briše kolačiće Pixela i više ga ne učitava.

Ako se preko stranice za testere pridružite grupi testera u Google Groups, administrator grupe vidjet će e-mail vašeg Google računa; koristit ćemo ga samo za testiranje aplikacije i za pristup njezinoj testnoj verziji u Google Playu. Testnu verziju za iPhone distribuira Apple putem TestFlighta. Google i Apple pritom obrađuju podatke kao samostalni voditelji obrade u skladu sa svojim pravilima. Pravna osnova je vaš zahtjev za sudjelovanje u testiranju (čl. 6. st. 1. toč. (b) GDPR). E-mail će ostati u grupi dok se iz nje ne odjavite ili dok testiranje ne završi.

10. Izmjene ovih pravila

O svakoj bitnoj izmjeni ovih pravila obavijestit ćemo vas u aplikaciji i na web-stranici kimda.app. Aplikacija će prepoznati koju ste verziju pravila prihvatili: roditelje će zatražiti potvrdu nove verzije (i eventualno privolu za djecu), dijete će je primiti na znanje. Vrijeme i verziju potvrde zabilježit ćemo.

11. Kontakt

Pitanja o zaštiti osobnih podataka: privacy@kimda.app