Obavijest o privatnosti

Verzija: 2 · Vrijedi od: 27. rujna 2026.

1. Tko obrađuje tvoje podatke

Voditelj obrade je Metrica d.o.o., OIB 45480824373, Ulica Donji Banovec 3, 48000 Koprivnica, Hrvatska.

• Pitanja i zahtjevi o osobnim podacima: [email protected]
• Opći kontakt: [email protected]
• Adresa [email protected] služi samo za slanje poruka za prijavu. Odgovore na nju ne čitamo.

Službenika za zaštitu podataka nismo imenovali jer za to nemamo zakonsku obvezu.

2. Ukratko

• Kalendar možeš pregledavati bez računa i bez upisivanja ikakvih podataka.
• Nemamo analitiku posjeta, oglase ni piksele društvenih mreža.
• Za račun trebamo samo tvoju adresu e-pošte. Koristimo je samo za prijavu i sigurnost računa. Obavijesti i reklame ne šaljemo.
• Svoje podatke možeš preuzeti i račun obrisati sam/a, na stranici „Moj račun".
• Podatke ne prodajemo i ne prosljeđujemo organizatorima.
• O tebi ne donosimo nikakve automatske odluke i ne izrađujemo profil tvojih interesa.

3. Kad samo posjećuješ stranicu

Dostava stranice. Stranica se dostavlja preko mreže Cloudflare. Cloudflare pri svakom zahtjevu vidi tvoju IP adresu i uobičajene podatke o zahtjevu (adresu stranice, vrstu preglednika), jer bez toga ne može isporučiti stranicu ni zaštititi je od napada. Cloudflare u zahtjev koji prosljeđuje našem poslužitelju dodaje tvoju IP adresu, pa je naš poslužitelj može primiti. Aplikacija utrka.hr IP adresu ne sprema. Zahtjeve koji dolaze preko Cloudflarea naš poslužitelj ne zapisuje. Izravne zahtjeve koji zaobilaze Cloudflare (to su gotovo uvijek automatski skeneri) poslužitelj zapisuje u tehnički dnevnik s IP adresom i vrstom preglednika; te zapise novi zapisi automatski prepisuju kad dnevnik dosegne ograničenu veličinu. Svrha: isporuka stranice i zaštita od zlouporabe. Osnova: naš legitimni interes da stranica radi sigurno i bude dostupna.

Karta. Kad se karta događaja približi vidljivom dijelu ekrana, tvoj preglednik izravno s poslužitelja OpenStreetMapa (tile.openstreetmap.org) učitava slike karte. OpenStreetMap pritom vidi tvoju IP adresu i dio karte koji gledaš. Lokacije mjesta preuzete su iz Wikidate; tvoj preglednik Wikidati ništa ne šalje.

Lokacija uređaja. „Blizu mene" i gumb za lokaciju na karti traže dopuštenje preglednika tek kad ih pritisneš. Kod „Blizu mene" preglednik sam izračuna najbližu županiju i našem poslužitelju šalje samo njezinu oznaku. Na proširenoj karti položaj ostaje u tvom pregledniku. Tvoj položaj ne spremamo.

Spremanje na uređaju, bez računa. Spremljene događaje, spremljene pretrage, postavke, odabir na naslovnoj stranici i godine rođenja koje upišeš u „Za dijete" preglednik čuva u lokalnoj pohrani (localStorage) na tvom uređaju, i to tek kad ih sam/a spremiš ili odabereš. To se ne šalje našem poslužitelju i ne vezujemo to uz tebe. Kad pretražuješ po godini rođenja, ta godina je dio adrese stranice, pa je zahtjev nosi do našeg poslužitelja; ne spremamo je. Lokalnu pohranu možeš obrisati u postavkama preglednika.

E-pošta koju nam pošalješ. Gumbi „Prijavi ispravak", „Pošalji događaj" i „Zatraži pristup za organizatore" otvaraju tvoj program za e-poštu s porukom za [email protected]. Sama stranica ništa ne šalje. Ako poruku pošalješ, primamo tvoju adresu i sadržaj poruke radi odgovora i ispravka kalendara. Osnova: legitimni interes da odgovorimo na upit i da kalendar bude točan. Poruke čuvamo dok su potrebne za odgovor i ispravak, a najdulje 12 mjeseci od zadnje poruke u razgovoru; zatim ih brišemo.

Podaci o događajima. Kalendar prikazuje javne podatke o događajima: naziv, datum, mjesto, sport, organizatora te poveznice na izvor i prijavu. Ne prikupljamo podatke o sudionicima, pa kalendar ne sadrži popise sudionika ni rezultate po imenima.

Organizator je ponekad fizička osoba. Tada o njoj imamo samo ove podatke: ime, onako kako je objavljeno kao organizator, poveznicu na stranicu na kojoj je događaj objavljen i javni opis događaja preuzet s te stranice, u kojem se ime može pojaviti. Te podatke ne dobivamo od organizatora. Preuzimamo ih iz javno dostupnih izvora: sa stranica i kalendara organizatora, sportskih saveza i drugih javnih objava događaja. Izvor je naveden uz svaki događaj. Podatke o događaju čuvamo i nakon što se održi, kao javnu arhivu kalendara. Organizatore o tome ne obavještavamo pojedinačno, nego ovom javnom obaviješću. Ako želiš da se podatak ispravi ili ukloni, ili se protiviš obradi, piši na [email protected] ili [email protected]. Osnova: legitimni interes za informiranje javnosti o sportskim događajima.

Pristup za organizatore. Organizatori i urednici kojima smo dali pristupni ključ nakon prijave ključem dobivaju kolačić kro_access (točka 8). U bazi čuvamo samo sažetak ključa.

4. Račun

Moraš li nam dati podatke? Ne. Kalendar radi bez računa. Za račun je adresa e-pošte nužna: bez nje ne možemo poslati poveznicu ni kod za prijavu, pa račun ne možemo otvoriti. Ime za prikaz nije obavezno.

Što spremamo i koliko dugo:

Rokove provodi automatski posao koji se pokreće svaki sat.

Što ne spremamo: IP adresu, cijeli zapis o pregledniku (user-agent) ni lozinku — lozinke ne postoje.

Sažeci. U sigurnosnim zapisima i brojačima ne čuvamo adresu e-pošte ni IP adresu, nego njihove sažetke izračunate tajnim ključem. Za mrežu to je samo mrežni raspon (/24 za IPv4, /56 za IPv6), nikad puna adresa. To su pseudonimizirani, a ne anonimni podaci: tko ima ključ i zna adresu e-pošte, može izračunati isti sažetak. Upravo tako te zapise i pronalazimo kad obrišeš račun.

Slanje e-pošte. Poruke s poveznicom i kodom šalje Resend (Resend (Plus Five Five, Inc.), SAD) s adrese [email protected]. Resend za to prima tvoju adresu e-pošte i sadržaj poruke. Druge poruke e-poštom ne šaljemo. (Prijenos u SAD: točka 9.)

Osnova: za račun, prijavu i sesije izvršenje ugovora (Uvjeta korištenja); za sigurnosne zapise i ograničenja slanja legitimni interes za zaštitu računa i usluge; za zapise o prihvaćanju legitimni interes da možemo dokazati što si prihvatio/la.

Preuzimanje podataka. Na stranici „Moj račun" možeš preuzeti podatke svog računa u JSON datoteci. Ako si se prijavio/la prije više od 10 minuta, prvo ti šaljemo novi kod. Datoteka sadrži podatke računa, adresu e-pošte, sesije, zapise o prihvaćanju, sigurnosne zapise (vrsta i vrijeme), pokušaje prijave (svrha, vremena, broj pokušaja), profile djece, zapise o privoli, članstva u klubovima, lige i, ako ih imaš, uloge i podatke o pristupnim ključevima (passkey). Ne sadrži sigurnosne sažetke ni brojače za ograničenje slanja.

Brisanje računa. Na stranici „Moj račun" možeš obrisati račun; za to uvijek trebaš novi kod. Brisanje je trenutačno i konačno. Brišu se račun, adresa e-pošte, ime, sesije, pokušaji prijave, zapisi o prihvaćanju, profili djece i zapisi o privoli, članstva, lige, uloge, pristupni ključevi te sigurnosni zapisi i brojači povezani s tvojom adresom. Nakon brisanja zadržavamo samo potvrdu o brisanju: nasumičnu oznaku obrisanog računa i vrijeme brisanja, bez e-pošte i imena, 37 dana, dok ne nestane i posljednja sigurnosna kopija u kojoj bi račun još mogao biti; zatim se i ona briše. Ona služi da se račun ponovno obriše ako bismo ikad morali vratiti podatke iz sigurnosne kopije.

5. Podaci djece

Profil djeteta vodi roditelj ili skrbnik pod svojim računom; dijete nema vlastiti račun. Sve o tome — što spremamo, tko to vidi, privola i brisanje — piše u zasebnom dijelu „Podaci djece", koji je sastavni dio ove obavijesti.

6. Klubovi i lige

Pod svojim računom možeš upisati članstvo u klubu i sudjelovanje u ligi, za sebe ili za dijete. Kad upišeš članstvo, predstavnik tog kluba na utrka.hr vidi tvoje ime za prikaz (za dijete: ime i godinu rođenja) kako bi potvrdio članstvo, sve dok članstvo ne ukloniš. Predstavnika kluba određuje administrator utrka.hr. Taj podatak predstavnik smije koristiti samo za potvrdu članstva. Predstavnik kluba te podatke vidi samo zato što si ti upisao/la članstvo (za dijete: uz tvoju privolu). Kako klub te podatke koristi izvan utrka.hr njegova je vlastita odgovornost. Osnova za tvoje članstvo: izvršenje ugovora; za dijete: privola roditelja.

7. Administratori

Administratori utrka.hr prijavljuju se dodatno pristupnim ključem (passkey) na svom uređaju. Za to spremamo javni dio ključa, naziv uređaja koji upišu i vremena upotrebe, dok ključ ne uklone ili dok postoji račun. Prijava administratora traje najviše 8 sati.

8. Kolačići i pohrana na uređaju

Posjetitelj koji samo pregledava kalendar ne dobiva nijedan naš kolačić. Postavljamo samo kolačiće nužne za ono što sam/a zatražiš, pa za njih ne tražimo privolu:

Pri odjavi i brisanju računa kolačići prijave se brišu. Kolačiće za analitiku, oglašavanje ili praćenje ne koristimo. Lokalna pohrana u pregledniku opisana je u točki 3. Ako Cloudflareova zaštita od automatiziranog prometa zatraži provjeru preglednika, Cloudflare može postaviti svoj sigurnosni kolačić; bez toga pri pregledavanju ne postavlja nijedan.

9. Kome se podaci otkrivaju

Koristimo ove pružatelje usluga (izvršitelje obrade). Obrađuju podatke samo po našem nalogu i za svrhe navedene ovdje.

Ollami Cloud nikad ne šaljemo podatke računa ni djece. Prije slanja iz javnog teksta uklanjamo adrese e-pošte, brojeve telefona, IBAN-ove, OIB-e, retke s rezultatima i kratke retke s kontaktima; ime napisano u običnom tekstu javne stranice pritom može ostati. Takvo ime potječe s javne stranice događaja, koju navodimo kao izvor, i obrađuje se samo radi dopune podataka o tom događaju. Osobe čije se ime tako nađe u tekstu ne obavještavamo pojedinačno.

Prijenos izvan EU/EGP-a. Kad podatak ide Cloudflareu ili Resendu u SAD, prijenos se temelji na odluci Europske komisije o primjerenosti za okvir EU-a i SAD-a za privatnost podataka (oba su uvrštena na popis organizacija tog okvira) i na standardnim ugovornim klauzulama Europske komisije; kopiju klauzula možeš zatražiti na [email protected]. Ollami u SAD šaljemo samo tekst koji su organizatori javno objavili na stranicama događaja; u njemu mogu ostati imena organizatora i kontakt osoba klubova i saveza (adrese e-pošte i brojeve telefona prethodno uklanjamo). Ollama nije na popisu organizacija okvira EU-a i SAD-a za privatnost podataka. Podatke korisnika i računa nikad ne šaljemo Ollami.

Organizatorima podatke ne prosljeđujemo. Tijelima vlasti podatke dajemo samo kad nas na to obvezuje zakon.

10. Sigurnosne kopije

Jednom dnevno radimo šifriranu sigurnosnu kopiju cijele baze, uključujući podatke računa. Kopija se šifrira prije nego što napusti poslužitelj i pohranjuje u Cloudflareovoj pohrani (R2). Ključ za dešifriranje nije na poslužitelju. Kopije čuvamo 35 dana, a zatim ih automatski brišemo (najkasnije dan poslije); obrisani podaci tako potpuno nestaju najkasnije 36 dana nakon brisanja. Ako bismo ikad morali vratiti podatke iz kopije, prije ponovnog pokretanja ponovno brišemo sve račune obrisane nakon izrade te kopije.

11. Tvoja prava

Imaš pravo:

• na pristup svojim podacima i kopiju;
• na ispravak netočnih podataka;
• na brisanje;
• na ograničenje obrade;
• na prenosivost podataka koje si nam dao/la (to je JSON datoteka s „Moj račun");
• na prigovor na obradu koja se temelji na legitimnom interesu;
• povući privolu u bilo kojem trenutku, jednako lako kao što si je dao/la; povlačenje ne utječe na zakonitost obrade prije toga.

Preuzimanje i brisanje obavljaš sam/a na stranici „Moj račun". Za sve ostalo piši na [email protected]. Odgovorit ćemo bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana. Ako je zahtjev složen, rok možemo produljiti za još najviše dva mjeseca; o tome ćemo te obavijestiti u prvom mjesecu i reći zašto. Ako ne možemo utvrditi da je zahtjev tvoj, možemo tražiti potvrdu, obično kodom na adresu računa. Postupanje je besplatno.

Pritužba nadzornom tijelu. Ako smatraš da obrada tvojih podataka krši propise, možeš podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Ulica Metela Ožegovića 16, 10000 Zagreb, [email protected], www.azop.hr, ili nadzornom tijelu u državi EU-a u kojoj živiš ili radiš.

12. Sigurnost

Poveznice, kodovi i sesije u bazi čuvaju se samo kao sažeci. Podaci računa odvojeni su od javnog dijela stranice zasebnom shemom baze i zasebnim ulogama; javne stranice ih ne čitaju. Stranica radi samo preko HTTPS-a. Ta odvojenost štiti od pogrešnih ovlasti i slučajnog curenja kroz javne stranice, ali ne od napadača koji bi preuzeo samu aplikaciju.

13. Izmjene

Svaka verzija ove obavijesti ima oznaku i sažetak (SHA-256). Uz tvoj račun bilježimo koju si verziju vidio/la. O bitnim izmjenama obavijestit ćemo te na stranici prije nego što počnu vrijediti. Ako kasnije poželimo podatke koristiti za neku novu svrhu, prije toga ćemo te o tome obavijestiti.