Sadržaj
Contents
Tko obrađuje podatke
Who processes your data
Voditelj obrade: KEIRA d.o.o., Kanalski put 1, 10000 Zagreb, Hrvatska, D-U-N-S®: 500642689. Odgovorna osoba: Igor Jurić. Kontakt za privatnost: info@qød.com.
Data controller: KEIRA d.o.o., Kanalski put 1, 10000 Zagreb, Croatia, D-U-N-S®: 500642689. Responsible person: Igor Jurić. Privacy contact: info@qød.com.
Ova Politika privatnosti odnosi se na mobilnu aplikaciju QOD i povezane web-stranice na domeni qød.com / xn--qd-lka.com.
This Privacy Policy applies to the QOD mobile app and related web pages on the qød.com / xn--qd-lka.com domain.
Koje podatke prikupljamo
What data we collect
QOD prikuplja samo podatke koji su nužni za rad aplikacije. Ne tražimo pravo ime, datum rođenja, kućnu adresu ni telefonski broj učenika.
QOD only collects data necessary to run the app. We do not ask for a student's real name, date of birth, home address or phone number.
Podaci za autentikaciju i račun
Authentication and account data
- Nadimak (alias): jedinstveni prikazni naziv po kojem te razred prepoznaje.
- Avatar: identifikator odabranog avatara u aplikaciji.
- Škola, razred, grad: podaci potrebni za povezivanje s dopuštenom školskom mrežom.
- Dobna skupina: 13–15 ili 16–18 godina. Određuje je li potrebna roditeljska privola.
- Auth sesija: tehnički tokeni za prijavu koje izdaje Supabase.
- Nickname (alias): a unique display name by which your class recognises you.
- Avatar: identifier of the selected in-app avatar.
- School, class, city: data needed to connect you to the permitted school network.
- Age band: 13–15 or 16–18 years. Determines whether parental consent is required.
- Auth session: technical login tokens issued by Supabase.
Sadržaj profila i odabiri
Profile content and choices
- Odgovori na pitanja (“Lakše me upoznaj”, “You”): strukturirani odabiri koje učenik samostalno unosi.
- Moje stvari: kratki odabiri hobija, interesa i vještina.
- VIBE danas i glazba: privremeni ili trajni odabiri raspoloženja i žanrova.
- Timski odabiri: privatni odabiri tima od pet osoba unutar razreda.
- Question answers (“Meet me”, “You”): structured choices entered by the student.
- My things: short choices of hobbies, interests and skills.
- VIBE today and music: temporary or permanent mood and genre choices.
- Team choices: private selections of a team of five people within the class.
Sigurnosni i operativni podaci
Security and operational data
- Push token i platforma: ako učenik uključi obavijesti, pohranjuje se token i OS platforma (iOS/Android) radi slanja obavijesti.
- Blokiranja i prijave: zapisi o blokiranim korisnicima i prijavljenom neprimjerenom ponašanju.
- GEMA ledger: evidencija svih promjena stanja GEMA (zarada i potrošnja).
- Roditeljski e-mail: korišten isključivo za jednokratni link za privolu. Nije vidljiv u učeničkom profilu. [POTREBNA POTVRDA - rok čuvanja]
- Push token and platform: if the student enables notifications, a token and OS platform (iOS/Android) are stored to send notifications.
- Blocks and reports: records of blocked users and reported inappropriate behaviour.
- GEMA ledger: record of every GEMA balance change (earnings and spending).
- Parent email: used only for the one-time consent link. Not visible in the student profile. [CONFIRMATION NEEDED - retention period]
Tehnički podaci
Technical data
- Tehnički podaci uređaja: OS platforma, push token. [POTREBNA POTVRDA - točan opseg koje Expo-Device prikuplja]
- Crash logovi i analitika: trenutačno nije aktivno nijedno analytics ili crash-reporting SDK. [POTREBNA POTVRDA - provjeriti Expo build konfiguraciju]
- Kamera: korištena isključivo za skeniranje QR kodova unutar aplikacije. Slike i video se NE snimaju niti pohranjuju.
- Device technical data: OS platform, push token. [CONFIRMATION NEEDED - exact scope of Expo-Device collection]
- Crash logs and analytics: no analytics or crash-reporting SDK is currently active. [CONFIRMATION NEEDED - check Expo build configuration]
- Camera: used only to scan QR codes inside the app. Photos and video are NOT recorded or stored.
Svrha i pravna osnova obrade
Purpose and legal basis of processing
| Kategorija podataka | Svrha | Pravna osnova |
|---|---|---|
| Data category | Purpose | Legal basis |
| Nadimak, avatar, škola, razred, grad, dobna skupina | Izrada računa, povezivanje s razredom, prikaz unutar aplikacije | Ugovor / legitimni interes / roditeljska privola za 13–15 |
| Odgovori, odabiri, timski sastavi | Team-building igre i funkcionalnosti unutar razreda | Ugovor / roditeljska privola za 13–15 |
| Push token, platforma | Slanje obavijesti o pozivima i potvrdama | Suglasnost (učenik/roditelj uključi obavijesti) |
| Blokiranja, prijave | Zaštita korisnika i sprječavanje zloupotrebe | Legitimni interes / zakonska obveza |
| GEMA ledger | Evidencija virtualne valute i nagrada | Ugovor |
| Auth sesija | Sigurna prijava i zaštita računa | Ugovor / legitimni interes |
| Roditeljski e-mail | Jednokratna roditeljska privola | Roditeljska privola |
| Nickname, avatar, school, class, city, age band | Account creation, class connection, in-app display | Contract / legitimate interest / parental consent for 13–15 |
| Answers, choices, team selections | Class team-building games and features | Contract / parental consent for 13–15 |
| Push token, platform | Sending notifications about invites and confirmations | Consent (student/parent enables notifications) |
| Blocks, reports | User protection and abuse prevention | Legitimate interest / legal obligation |
| GEMA ledger | Record of virtual currency and rewards | Contract |
| Auth session | Secure login and account protection | Contract / legitimate interest |
| Parent email | One-time parental consent | Parental consent |
[POTREBNA POTVRDA - pravni tim treba potvrditi svaku pravnu osnovu i uskladiti s roditeljskom privolom za maloljetnike.]
[CONFIRMATION NEEDED - legal team must confirm each legal basis and align it with parental consent for minors.]
Tko može vidjeti podatke
Who can see the data
- Samo učenik: vlastiti timski odabiri, privatni odgovori koje ne dijeli, GEMA stanje.
- Razred: nadimak, avatar, određeni javni odgovori koje učenik odluči podijeliti unutar igara.
- KEIRA d.o.o. / QOD tim: tehnički podaci, prijave, blokiranja, GEMA ledger - isključivo radi održavanja, sigurnosti i podrške.
- Roditelj: roditeljski e-mail vidi se samo u procesu privole; nakon potvrde linka više nije prikazan u aplikaciji.
- Javnost: QOD nije javna rang-lista, natjecanje u popularnosti ni sustav javnog ocjenjivanja. Odabiri timova i privatni odgovori nisu javni.
- Only the student: their own team choices, private answers they do not share, GEMA balance.
- The class: nickname, avatar, certain public answers the student chooses to share within games.
- KEIRA d.o.o. / QOD team: technical data, reports, blocks, GEMA ledger - solely for maintenance, security and support.
- Parent: the parent email is visible only during the consent process; after the link is confirmed it is no longer shown in the app.
- Public: QOD is not a public leaderboard, popularity contest or public student rating system. Team choices and private answers are not public.
Izvršitelji i vanjski pružatelji usluga
Processors and external service providers
- Supabase - autentikacija, baza podataka i pohrana. Djeluje kao izvršitelj obrade. [POTREBNA POTVRDA - lokacija servera i ugovor o obradi]
- Expo / EAS - platforma za izgradnju i distribuciju aplikacije. [POTREBNA POTVRDA - točna uloga i ugovor]
- Google Play / Apple App Store - distribucija aplikacije i osnovni podaci o preuzimanju.
- Supabase - authentication, database and storage. Acts as a data processor. [CONFIRMATION NEEDED - server location and DPA]
- Expo / EAS - app build and distribution platform. [CONFIRMATION NEEDED - exact role and DPA]
- Google Play / Apple App Store - app distribution and basic download data.
Ne prodajemo osobne podatke. Ne koristimo podatke maloljetnika za personalizirano oglašavanje. [POTREBNA POTVRDA - provjeriti postoje li bilo kakvi oglasi ili monetizacijski SDK-ovi.]
We do not sell personal data. We do not use minors' data for personalised advertising. [CONFIRMATION NEEDED - verify whether any ads or monetisation SDKs exist.]
Prijenosi podataka izvan EGP-a
Transfers of data outside the EEA
Supabase projekt može biti hostiran izvan Europskog gospodarskog prostora. [POTREBNA POTVRDA - potvrditi regiju Supabase projekta i primjenjive zaštitne mjere, primjerice Standardne ugovorne klauzule.]
The Supabase project may be hosted outside the European Economic Area. [CONFIRMATION NEEDED - confirm Supabase project region and applicable safeguards, e.g. Standard Contractual Clauses.]
Sigurnosne mjere i enkripcija
Security measures and encryption
- Prijenos podataka prema poslužitelju odvija se putem HTTPS.
- Auth tokeni na nativnim uređajima pohranjuju se u SecureStore s ograničenim pristupom ključanju.
- Na webu se auth tokeni pohranjuju u localStorage; preporučujemo korištenje privatnog načina rada na dijeljenim uređajima.
- Nagrade i troškovi GEMA provode se idempotentno na serverskoj strani kako bi se spriječila dvostruka isplata.
- Push tokeni pohranjuju se na serveru i povezuju s korisničkim računom.
- Data transmission to the server uses HTTPS.
- Auth tokens on native devices are stored in SecureStore with restricted keychain access.
- On the web, auth tokens are stored in localStorage; we recommend using private browsing on shared devices.
- GEMA rewards and costs are executed idempotently on the server side to prevent double payout.
- Push tokens are stored on the server and linked to the user account.
[POTREBNA POTVRDA - potvrditi specifične enkripcijske postavke baze i sigurnosne certifikate.]
[CONFIRMATION NEEDED - confirm specific database encryption settings and security certificates.]
Rokovi čuvanja
Retention periods
| Kategorija | Rok čuvanja |
|---|---|
| Category | Retention period |
| Profil i odabiri | Dok traje QOD račun. [POTREBNA POTVRDA - točan rok nakon brisanja] |
| GEMA ledger | Dok traje račun i eventualno dodatni rok radi sigurnosne kontrole. [POTREBNA POTVRDA] |
| Push token | Dok učenik ne isključi obavijesti ili ne obriše račun. |
| Roditeljski e-mail / privola | [POTREBNA POTVRDA] |
| Blokiranja i prijave | Onoliko dugo koliko je potrebno za sigurnost platforme. [POTREBNA POTVRDA] |
| Sigurnosni zapisi | U skladu s zakonskim rokovima i sigurnosnim politikama. [POTREBNA POTVRDA] |
| Profile and choices | While the QOD account exists. [CONFIRMATION NEEDED - exact period after deletion] |
| GEMA ledger | While the account exists and possibly an additional period for security review. [CONFIRMATION NEEDED] |
| Push token | Until the student disables notifications or deletes the account. |
| Parent email / consent | [CONFIRMATION NEEDED] |
| Blocks and reports | As long as necessary for platform safety. [CONFIRMATION NEEDED] |
| Security logs | In accordance with legal deadlines and security policies. [CONFIRMATION NEEDED] |
Brisanje računa
Account deletion
Učenik može zatražiti brisanje računa unutar aplikacije (postavke profila) ili putem javne web-stranice Brisanje računa. Nakon potvrde identiteta, račun se trajno uklanja nakon eventualnog sigurnosnog roka za povratak. Više informacija dostupno je na stranici za brisanje računa.
A student can request account deletion inside the app (profile settings) or via the public web page Delete account. After identity confirmation, the account is permanently removed after any safety window for reactivation. More details are on the account deletion page.
Vaša prava prema GDPR-u
Your rights under the GDPR
- Pravo na pristup vlastitim podacima.
- Pravo na ispravak netočnih podataka.
- Pravo na brisanje („pravo na zaborav“), uz zakonske i sigurnosne iznimke.
- Pravo na ograničenje obrade.
- Pravo na pritužbu Agenciji za zaštitu osobnih podataka (AZOP).
- Right of access to your personal data.
- Right to rectification of inaccurate data.
- Right to erasure (“right to be forgotten”), subject to legal and security exceptions.
- Right to restriction of processing.
- Right to lodge a complaint with the Croatian Personal Data Protection Agency (AZOP).
Za ostvarivanje prava pošalji zahtjev s e-mail adrese povezane s računom na: info@qød.com.
To exercise your rights, send a request from the email linked to your account to: info@qød.com.
Kolačići, lokalna pohrana i web
Cookies, local storage and web
QOD web-stranice ne koriste neobavezne kolačiće za praćenje. Mobilna aplikacija koristi lokalnu pohranu za rad offline i cache podataka. Nema marketinških trackera prije privole. [POTREBNA POTVRDA - popis sve lokalne pohrane u aplikaciji]
QOD web pages do not use non-essential tracking cookies. The mobile app uses local storage for offline functionality and data caching. There are no marketing trackers before consent. [CONFIRMATION NEEDED - list of all local storage used in the app]
Google Play Data Safety
Google Play Data Safety
Ova tablica pomaže uskladiti Google Play Data Safety obrazac s ovom Politikom privatnosti. Sve tvrdnje koje nisu potvrđene u kodu označene su posebno.
This table helps align the Google Play Data Safety form with this Privacy Policy. Claims not confirmed in code are marked separately.
| Data Safety pitanje | Odgovor za QOD |
|---|---|
| Data Safety question | QOD answer |
| Ime | Ne - koristi se nadimak, ne pravo ime. |
| E-mail adresa | Da - isključivo roditeljski e-mail za privolu. [POTREBNA POTVRDA] |
| Korisnički ID | Da - Supabase auth ID. |
| Adresa | Ne - ne prikupljamo kućnu adresu učenika. Škola/grad se unose radi povezivanja s mrežom. |
| Telefonski broj | Ne. |
| Ostali podaci o korisniku | Nadimak, avatar, dobna skupina, odgovori, odabiri, timovi. [POTREBNA POTVRDA - potvrditi što se točno šalje na server] |
| Fotografije i video | Ne - kamera se koristi samo za QR, bez pohrane. |
| Zvučni zapisi | Ne. |
| Pohrana datoteka | [POTREBNA POTVRDA - avatar upload?] |
| Kontakti | Ne. |
| Interakcije s aplikacijom | Da - GEMA ledger, odgovori, prijave, blokiranja. |
| Pretraživanje u aplikaciji | Ne. |
| Padovi / dijagnostika | Trenutačno nema aktivnog SDK-a. [POTREBNA POTVRDA] |
| ID uređaja / ostali ID-ovi | Push token, mogući anonimni device ID. [POTREBNA POTVRDA] |
| Name | No - nickname is used, not real name. |
| Email address | Yes - only parent email for consent. [CONFIRMATION NEEDED] |
| User ID | Yes - Supabase auth ID. |
| Address | No - we do not collect the student's home address. School/city are entered to connect to the network. |
| Phone number | No. |
| Other user data | Nickname, avatar, age band, answers, choices, teams. [CONFIRMATION NEEDED - confirm what is actually sent to server] |
| Photos and videos | No - camera is QR-only, no storage. |
| Audio files | No. |
| Files and docs | [CONFIRMATION NEEDED - avatar upload?] |
| Contacts | No. |
| In-app interactions | Yes - GEMA ledger, answers, reports, blocks. |
| In-app search history | No. |
| Crashes / diagnostics | No active SDK currently. [CONFIRMATION NEEDED] |
| Device ID / other IDs | Push token, possible anonymous device ID. [CONFIRMATION NEEDED] |
Izmjene Politike privatnosti
Changes to this Privacy Policy
KEIRA d.o.o. može povremeno ažurirati ovu Politiku. O značajnim izmjenama obavijestit ćemo korisnike putem aplikacije ili službenog e-maila. Datum posljednjeg ažuriranja nalazi se na vrhu stranice.
KEIRA d.o.o. may update this Policy from time to time. We will notify users of material changes through the app or official email. The last updated date is at the top of the page.
Pravna napomena: Ovaj tekst pripremljen je na temelju pregleda izvornog koda QOD aplikacije. Prije produkcijske objave obavezno ga mora pregledati kvalificirani pravnik i potvrditi sve označene tvrdnje.
Legal note: This text was prepared based on a review of the QOD application source code. Before production release it must be reviewed by a qualified lawyer and all marked claims must be confirmed.