Pravila privatnosti — Cardomat

Verzija od 15. rujna 2026.

Cardomat je novčanik za kartice vjernosti. Radi na vašem telefonu — na Android telefonu ili na iPhoneu. Nemamo račun na koji biste se prijavili i nemamo poslužitelj na kojem bi vaše kartice stajale.

Ova pravila vrijede za oba. Gdje se ta dva telefona razlikuju, razlika je navedena na mjestu na koje pada.

Ova pravila kažu što ostaje na telefonu, što ga napušta, kome to ide i kako svako od toga zaustavljate. Napisana su za ovu aplikaciju i opisuju ono što ona stvarno radi.

Tko obrađuje vaše podatke

Voditelj obrade je INSPACE d.o.o., Kneza Trpimira 75A, 21220 Trogir, Hrvatska, OIB 73141784889. Za svako pitanje o ovim pravilima pišite na [email protected].

Nemamo vaš identitet

Cardomat ne traži račun, e-poštu, broj telefona ni prijavu, ni na početku ni poslije. Nemamo vaše ime, vašu adresu ni vaš popis kartica. Ne postoji korisnički profil koji bismo mogli pretražiti, pa ne možemo povezati ništa što nam stigne s vama kao osobom.

Što ostaje na vašem telefonu

Sve vaše kartice. Za svaku karticu telefon čuva barkod, vrstu barkoda, trgovinu ili naziv koji ste sami upisali, boje koje ste odabrali i koliko ste je puta upotrijebili.

Taj popis stoji u šifriranoj bazi u privatnom prostoru aplikacije. Ključ je u sustavnom spremniku ključeva telefona, a ne u datoteci pokraj baze. Na iPhoneu je taj spremnik Keychain, a ključ je označen kao vezan uz ovaj uređaj: ne sinkronizira se u iCloud Keychain i ne odlazi na novi iPhone.

Slika koju sami stavite na karticu sprema se kao obična datoteka u istom privatnom prostoru i nije šifrirana. Iz slike se ne može dobiti barkod, a slika mora biti čitljiva i widgetu na početnom zaslonu, koji ključ baze nema.

Ništa od navedenoga ne odlazi s telefona osim na načine opisane niže. Kad obrišete aplikaciju, sve to nestaje s njom.

Što odlazi s telefona

Aplikacija otvara vezu prema samo dvije adrese: popisu trgovina i izvještajima o rušenju. Obje možete isključiti u Postavkama, i tada aplikacija ne otvara nijednu vezu.

1. Popis trgovina

Aplikacija povremeno preuzme popis trgovina s adrese https://catalogue.cardomat.net.

Popis se preuzima u cijelosti. Aplikacija nikada ne šalje upit o pojedinoj trgovini, pa iz preuzimanja ne možemo saznati koje kartice imate: telefon s četrdeset kartica i telefon bez ijedne šalju istovjetan niz zahtjeva.

Kao i svaki zahtjev na internetu, i ovaj poslužitelju koji drži popis otkriva vašu IP adresu i vrijeme zahtjeva. To je zapis mreže, ne zapis o vama: ne povezujemo ga ni s jednom karticom, ne gradimo od njega profil i ne spajamo ga ni s čim drugim.

Isključivanje: Postavke → Popis trgovina → Automatsko osvježavanje popisa. Aplikacija tada radi s popisom koji je došao s instalacijom.

2. Izvještaji o rušenju

Kad se aplikacija sruši ili naiđe na kvar, pošalje nam izvještaj. Ta je mogućnost uključena na početku: izvještavanje kreće zajedno s aplikacijom, a prvi zaslon koji vidite je upravo taj prekidač i objašnjenje uz njega, pa je odluka pred vama već pri prvom otvaranju Cardomata.

Izvještaj sadrži:

• opis kvara i mjesto u kodu na kojem se dogodio;
• model telefona, verziju sustava i verziju Cardomata.

Izvještaj nikada ne sadrži:

• ništa s vaših kartica — ni barkod, ni vrstu barkoda, ni naziv trgovine, ni naziv koji ste

sami upisali;

• slike zaslona ni snimke onoga što radite u aplikaciji;
• vaše ime ni e-poštu, jer ih ni nemamo;
• podatak o tome koliko često otvarate koju karticu. Ne mjerimo kako koristite aplikaciju i

u aplikaciji nema mjerenja korištenja nikakve vrste.

Izvještaje za nas obrađuje Sentry (Functional Software, Inc.), na poslužiteljima u Europskoj uniji. Sentry ih obrađuje isključivo po našim uputama, na temelju ugovora o obradi. Ne prodajemo ih, ne razmjenjujemo i ne dajemo nikome drugome.

Slanje izvještaja Sentryju otkriva vašu IP adresu, kao i svaki zahtjev na internetu. Aplikacija je ne stavlja u izvještaj, a u izvještaju nema ničega što bi ga povezalo s vama.

Izvještaji se brišu najkasnije 90 dana od primitka.

Isključivanje: prekidač na prvom pokretanju, i poslije Postavke → Izvještaji o rušenju. Kad je isključen, aplikacija ne pokreće ni sam program za izvještaje: nema reda čekanja, nema spremnika na disku i nema veze prema Sentryju. Jedna ograda, jer je stvarna: izvještaj zabilježen u trenucima prije nego što ste prekidač isključili može otići dok se program za izvještaje gasi. Ništa zabilježeno poslije toga ne ide nikamo.

3. Sat (Wear OS)

Ovo vrijedi samo ako imate upareni Wear OS sat i na njemu Cardomat. Cardomat za Apple Watch ne postoji, pa se na iPhoneu ovaj odjeljak ne odnosi ni na koga.

Da bi sat nacrtao barkod bez telefona u blizini, kartice moraju biti i na satu. Telefon ih šalje satu preko Google Play usluga, koje su na oba uređaja i koje čuvaju svoju kopiju poslanoga na oba uređaja, izvan prostora naše aplikacije.

To je jedina stvar u aplikaciji koja barkod povjerava tuđem programu, pa je vrijedno reći je izravno. Ne postoji način da to izbjegnemo, a da sat i dalje radi bez telefona: šifriranje te kopije tražilo bi ključ na oba uređaja, razmjena ključa traži identitet, a novčanik bez računa ga nema.

Ono što možemo jest poslati što manje, i šaljemo samo ono što je satu potrebno da nacrta barkod i prikaže karticu: barkod, vrstu barkoda, naziv, dvije boje i oznaku kartice unutar aplikacije. Sat ne dobiva vašu sliku, logotip trgovine, način unosa ni datum nastanka kartice.

Jedno se istim putem vraća: koliko ste puta koju karticu pokazali na satu i kada ste je zadnji put pokazali. Zbog toga aplikacija može posložiti kartice po tome što doista koristite, a ne po tome koji ste uređaj držali u ruci. Nosi istu oznaku kartice i ništa drugo o njoj.

Na samom satu kartice stoje u zasebnoj šifriranoj datoteci, kojoj je ključ u spremniku ključeva sata.

Ništa od ovoga ne prolazi kroz nas i ne stiže do nas. Ako sat nemate, ovaj odjeljak se na vas ne odnosi.

4. Sigurnosne kopije

Kopiju svojih kartica možete napraviti na dva načina: kao QR kod koji drugi telefon skenira, ili kao datoteku koju spremite kamo želite.

Datoteka je zaključana lozinkom koju sami odaberete i bez nje se ne otvara. Ni vi ni mi je ne možemo otvoriti bez te lozinke — lozinku ne čuvamo i nemamo je čime nadomjestiti.

Nijedna od te dvije kopije ne odlazi nama. Ako datoteku spremite u uslugu u oblaku, tamo odlazi vašom odlukom i po pravilima te usluge.

Kopija cijelog telefona koju sustav napravi sam ne prenosi vaše kartice. Na novi telefon prenosi ih samo datoteka s kopijom. To je namjerno — vaše kartice izuzete su iz kopije koju telefon radi sam, pa nikada ne odlaze u uslugu koju mi ne kontroliramo. Dobro je to znati prije nego što vam zatreba: ako novi telefon postavite iz kopije starog, Cardomat počinje prazan.

Na iPhoneu je ta kopija iCloud kopija ili šifrirana kopija koju napravi računalo; na Androidu je to kopija u oblaku i prijenos na novi telefon. Vaše kartice i vaše slike izuzete su iz svake od njih.

Dozvole koje aplikacija traži

• Kamera — da biste skenirali barkod s kartice. Skeniranje je jedini način da kartica

nastane. Slika s kamere se ne sprema i ne šalje nikamo.

• Face ID (samo iPhone) — za otključavanje aplikacije, ako zaključavanje uključite. Vaše

lice provjerava iOS i ono nikada ne stigne do Cardomata: aplikacija dobiva samo odgovor da ili ne. Na Android telefonu isto zaključavanje koristi otisak prsta, lice ili zaključavanje zaslona, a Android za to ne traži nikakvu dozvolu.

• Internet i stanje mreže — za popis trgovina i izvještaje o rušenju, i ni za što

drugo. Stanje mreže služi da osvježavanje popisa pričeka Wi-Fi ako tako želite.

Za sliku na kartici koristi se sustavni birač fotografija, koji vam daje samo onu sliku koju ste dodirnuli. Aplikacija ne traži pristup vašoj galeriji.

Pravna osnova

Kartice i slike ostaju na vašem uređaju, a sigurnosna kopija koju sami napravite vaša je — čuvate je ili premještate kako želite. Ničemu od toga nemamo pristupa, pa to ne obrađujemo.

Izvještaje o rušenju obrađujemo na temelju legitimnog interesa (čl. 6. st. 1. t. f) Opće uredbe o zaštiti podataka): aplikacija koja se ruši na blagajni je kvar koji moramo vidjeti da bismo ga popravili. Zato je poslano svedeno na kvar i uređaj, zato prekidač postoji na prvom zaslonu, i zato ga možete isključiti bez ikakvog obrazloženja i bez posljedica po rad aplikacije.

Vaša prava

Prema Općoj uredbi o zaštiti podataka imate pravo na pristup, ispravak, brisanje, ograničenje i prigovor.

Recimo pošteno kako to izgleda ovdje. Izvještaj o rušenju ne nosi nikakvu oznaku koja bi vodila do vas, pa vaš izvještaj ne možemo pronaći ni na vaš zahtjev — ne zato što ga ne želimo dati, nego zato što ga ne znamo prepoznati. Djelotvorna kontrola nad tim podacima je prekidač: dok je isključen, novih izvještaja nema, a postojeći se brišu u roku od 90 dana.

Sve ostalo — kartice, slike, kopije — u vašim je rukama u punom smislu: brišete ih iz aplikacije ili brisanjem aplikacije, bez traženja i bez čekanja na nas.

Pritužbu možete podnijeti Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr, ili nadzornom tijelu u državi u kojoj živite.

Djeca

Cardomat nije namijenjen djeci i ne prikuplja svjesno podatke o njima. Ne traži dob jer ne traži nikakve podatke o osobi.

Izmjene ovih pravila

Kad se promijeni ono što aplikacija radi, mijenjaju se i ova pravila, i to prije nego što promjena stigne na vaš telefon. Datum na vrhu kaže koja je ovo verzija.