Pravila privatnosti

1. Uvod i obveznik obrade podataka

Dobrodošli u pravila privatnosti KLAI ("KLAI", "mi", "nas", "naše"). Ova pravila privatnosti objašnjavaju koje osobne podatke prikupljamo, kako ih koristimo, s kime ih dijelimo i koja prava imate u vezi s njima, kada koristite našu web aplikaciju i AI asistenta za analizu prostora i preporuke uređenja.

Ova pravila privatnosti odnose se na sve posjetitelje naše web stranice te na sve korisnike KLAI usluge, neovisno o tome koriste li je kao registrirani korisnici ili anonimno (gost). Vrijede i za KLAI web stranicu (klai.design) i za KLAI aplikaciju (app.klai.design).

Obveznik obrade podataka (data controller) u smislu Opće uredbe o zaštiti podataka (OUZP/GDPR) je:

Vanjski pružatelji usluga navedeni u nastavku (OpenAI, Anthropic, AgentSight, Bunny.net, Qdrant, Railway, Stripe, [SMTP provider]) djeluju kao izvršitelji obrade / podizvršitelji (sub-processori), obrađujući osobne podatke u naše ime i prema našim uputama, na temelju vlastitih ugovora o obradi podataka i/ili uvjeta korištenja. Google i Apple, kada ih koristite za prijavu, djeluju kao neovisni vanjski pružatelji autentikacije prema vlastitim pravilima privatnosti — oni nisu naši sub-processori, već zasebni obveznici obrade za podatke koje obrađuju u sklopu OAuth prijave.

2. Koje podatke prikupljamo

2.1 Podaci vezani uz korisnički račun

Za korištenje pojedinih funkcionalnosti (spremanje povijesti razgovora, kupljenih preporuka i sl.) možete se registrirati i prijaviti na korisnički račun. Osnovne AI funkcionalnosti dostupne su i bez registracije, putem anonimne (gost) sesije.

Prilikom registracije/prijave prikupljamo:

• Ime i prezime
• Adresu e-pošte
• Lozinku (pohranjuje se isključivo u hash-iranom obliku — bcrypt — nikad u čitljivom obliku)
• Ako se prijavljujete putem Googlea ili Applea: ime, e-mail adresu i (za Google) profilnu sliku, onako kako ih dijele ti pružatelji prema vašim postavkama privatnosti kod njih

Prijava putem Googlea i Applea odvija se putem OAuth protokola — KLAI ne vidi niti pohranjuje lozinku vašeg Google/Apple računa.

Ako zaboravite lozinku, na unesenu adresu e-pošte šaljemo poveznicu za resetiranje lozinke koja sadrži vremenski ograničeni token.

Anonimno (gost) korištenje: Ako koristite KLAI bez registracije, dodjeljuje vam se privremeni, nasumično generirani identifikator gosta (npr. guest_...) koji se sprema u local storage vašeg preglednika. Taj identifikator ne sadrži i nije povezan s vašim imenom, e-mailom ili drugim osobnim podacima, osim ako se naknadno registrirate te time povežete postojeći gost-razgovor s novootvorenim računom.

2.2 Podaci vezani uz AI asistenta, chat i fotografije

Kada koristite AI asistenta, mogu se prikupljati i obrađivati:

• Pitanja i poruke koje pošaljete AI asistentu
• Odgovori koje AI asistent generira
• Fotografije koje učitate (prostorije, namještaj, materijali/uzorci za usporedbu)
• Rezultati AI analize prostora (tip prostorije, dimenzije, materijali, boje, popis namještaja, vaši zahtjevi — što treba zadržati/ukloniti)
• Datum i vrijeme interakcije
• Identifikator razgovora (conversation ID) i, ako ste prijavljeni, identifikator korisničkog računa
• Adresa e-pošte (ako je unesena radi dostave preporuke ili putem naplate/Stripe checkouta)
• Podaci o plaćanju obrađeni putem Stripea (KLAI ne pohranjuje podatke o platnoj kartici, to obrađuje isključivo Stripe)
• Jezik sučelja/interakcije

Ne tražimo niti zahtijevamo od korisnika da dijeli osobne podatke da bi koristio osnovnu AI analizu; adresa e-pošte i podaci za naplatu prikupljaju se samo ako se odlučite na kupnju preporuke/usluge.

2.3 Obrasci koji prikupljaju osobne podatke

Ne prikupljamo adresu niti podatke o platnoj kartici putem naših web obrazaca, podaci o plaćanju obrađuju se izravno putem Stripea.

3. Kolačići i local storage preglednika

3.1 Kolačići

KLAI koristi kolačiće nužne za rad web aplikacije (autentikacija, sigurnost, jezik) te — samo uz vaše dopuštenje — analitičke kolačiće (Google Analytics, učitan putem Google Tag Managera) te marketinške kolačiće koje postavljaju Meta Pixel i Pinterest Tag. Nužni kolačići uvijek su aktivni; analitički i marketinški kolačići učitavaju se tek nakon što ih prihvatite putem našeg banera za kolačiće, gdje se svaka kategorija može dopustiti ili odbiti zasebno.

Nužni kolačići (prijava, sigurnost, jezik i zapis vašeg izbora kolačića) potrebni su za rad usluge i za njih prema OUZP-u i ePrivacy pravilima nije potrebna prethodna privola. Kolačići Google Analyticsa su analitički, dok su Meta Pixel i Pinterest Tag marketinški kolačići: nijedan se ne postavlja dok aktivno ne prihvatite odgovarajuću kategoriju putem našeg banera, a svoj izbor možete promijeniti ili povući u bilo kojem trenutku putem poveznice "Postavke kolačića" u podnožju stranice.

3.2 Local storage i session storage preglednika

Ovi podaci pohranjuju se lokalno u vašem pregledniku, ne sadrže izravno osobne podatke (ime, e-mail) i služe isključivo funkcionalnim, tehničkim svrhama.

3.3 Web analitika i praćenje

Uz vaše dopuštenje KLAI na klai.design i app.klai.design koristi sljedeće alate:

Google Analytics (Google Ireland Ltd.), učitan putem Google Tag Managera — za razumijevanje načina na koji posjetitelji koriste stranicu (posjećene stranice, trajanje sesije, približna lokacija na razini grada). Učitava se tek nakon što dopustite analitičke kolačiće i nije aktivan ako ih odbijete. Google IP adrese obrađuje u anonimiziranom obliku u svrhu mjerenja.

Meta Pixel (Meta Platforms Ireland Ltd.) — radi mjerenja uspješnosti našeg oglašavanja na Meta platformama (Facebook, Instagram) te za optimizaciju tih oglasa. Pixel se učitava tek nakon što dopustite marketinške kolačiće i nije aktivan ako ih odbijete. Kada je aktivan, s Metom može dijeliti sljedeće podatke o događajima: preglede stranica (klai.design i app.klai.design) te, na app.klai.design, standardne događaje CompleteRegistration (uspješno otvaranje računa), Lead (pokretanje prvog razgovora), InitiateCheckout (pokretanje postupka plaćanja) i Purchase (uspješno plaćanje, s iznosom i valutom). Ti događaji opisuju izvršenu radnju, a ne sadržaj vaših razgovora ili fotografija. Meta pritom djeluje kao neovisni voditelj obrade za podatke koje primi, prema vlastitim pravilima.

Pinterest Tag (Pinterest Europe Ltd.) — radi mjerenja uspješnosti našeg oglašavanja na Pinterestu te za optimizaciju tih oglasa. Tag se učitava tek nakon što dopustite marketinške kolačiće i nije aktivan ako ih odbijete. Aktivan je i na klai.design i na app.klai.design, kako bi se klik na Pinterest oglas mogao povezati s radnjom koja je uslijedila (poput pregleda stranice ili dovršene kupnje na app.klai.design). Ti događaji opisuju izvršenu radnju, a ne sadržaj vaših razgovora ili fotografija. Pinterest pritom djeluje kao neovisni voditelj obrade za podatke koje primi, prema vlastitim pravilima privatnosti.

Osim navedenih alata, KLAI ne koristi druge alate za web analitiku, praćenje ponašanja ili praćenje pogrešaka (npr. Plausible, Microsoft Clarity, Sentry, Hotjar, PostHog).

4. Fotografije i AI obrada

KLAI koristi umjetnu inteligenciju za analizu fotografija prostora, namještaja i materijala te za generiranje preporuka uređenja.

4.1 Proces obrade

1. Putem chata ili obrasca šaljete upit, opis prostora i/ili fotografije (prostorije, namještaja, materijala/uzoraka). Fotografije koje učitate putem sučelja šalju se izravno backend AI servisu na obradu, ne postoji izravan upload s preglednika na CDN pohranu.
2. Fotografije se prije obrade automatski provjeravaju (zaštita od zlouporabe/promptne injekcije) te po potrebi kompresiraju.
3. AI asistent analizira sadržaj (tekst i/ili sliku) i generira odgovor, analizu prostora ili preporuku proizvoda.
4. Podaci iz interakcije pohranjuju se u svrhe navedene u ovom dokumentu.

Naša web aplikacija ne pohranjuje trajno fotografije niti sadržaj razgovora lokalno u vašem pregledniku.

4.2 Kako se fotografije pohranjuju

• Fotografije se šalju vanjskim AI pružateljima usluga (vidi tablicu u odjeljku 7) radi generiranja analize i preporuka.
• Fotografije se pohranjuju na CDN pohrani (Bunny.net) radi prikaza u razgovoru i kasnijeg pregleda preporuke.
• Fotografije ostaju povezane s vašim korisničkim računom isključivo radi prikaza prethodnih razgovora i preporuka te se trajno brišu nakon brisanja korisničkog računa.

4.3 Korištenje podataka za treniranje AI modela

Ne koristimo vaše fotografije niti druge podatke za treniranje vlastitih AI modela. Fotografije i podaci šalju se vanjskim pružateljima AI usluga (OpenAI, Anthropic) isključivo radi generiranja odgovora/analize u stvarnom vremenu. Ti pružatelji obrađuju podatke prema vlastitim uvjetima korištenja, nad kojima nemamo izravan uvid niti kontrolu. Prema njihovim trenutno važećim uvjetima, podaci poslani putem API-ja se prema zadanim postavkama ne koriste za treniranje njihovih modela, za detalje preporučujemo pregled njihovih pravila privatnosti.

5. Svrhe obrade

Prikupljene podatke koristimo za:

• Pružanje i rad AI asistenta i analize prostora koju zatražite
• Generiranje preporuka uređenja, usporedbe proizvoda i podudaranja materijala
• Vođenje korisničkog računa i održavanje konteksta razgovora
• Otkrivanje i rješavanje tehničkih problema
• Analizu i unaprjeđenje kvalitete AI odgovora i preporuka
• Obradu plaćanja i dostavu kupljenih preporuka na e-mail
• Sigurnosne provjere (zaštita od zlouporabe/promptne injekcije)

6. Pravna osnova obrade

• Izvršenje ugovora / pružanje zatražene usluge (čl. 6(1)(b) OUZP) — za vođenje korisničkog računa te za pružanje AI analize i preporuka koje zatražite.
• Legitimni interes (čl. 6(1)(f) OUZP) — za sigurnost, održavanje i unaprjeđenje usluge.
• Privola (čl. 6(1)(a) OUZP) — kada dobrovoljno unesete osobne podatke (npr. e-mail za dostavu preporuke) ili kada se prijavljujete putem Googlea/Applea (privola se u tom slučaju daje kod tih pružatelja, prema njihovim vlastitim uvjetima).

7. Vanjski pružatelji usluga / sub-processori

Za pružanje usluge koristimo sljedeće vanjske pružatelje. Svaki od njih obrađuje podatke u naše ime, na temelju ugovora o obradi podataka i/ili vlastitih uvjeta korištenja:

Uz to, kada se prijavljujete putem Googlea ili Applea, ti pružatelji djeluju kao neovisni davatelji autentikacije (OAuth) prema vlastitim pravilima privatnosti, oni nisu naši sub-processori, već zasebni obveznici obrade za podatke razmijenjene tijekom prijave. Popis pružatelja usluga može se povremeno mijenjati sukladno razvoju KLAI platforme. Uvijek će biti objavljena ažurirana verzija ovih Pravila privatnosti.

Ne prodajemo, ne iznajmljujemo niti trgujemo vašim podacima. Podatke ne dijelimo ni s kim osim s gore navedenim pružateljima, osim:

• kada je to propisano zakonom, sudskim nalogom ili od strane nadležnog tijela;
• u vezi s pripajanjem, preuzimanjem ili prijenosom poslovanja (uz zadržavanje jednake razine zaštite); ili
• uz vašu izričitu privolu.

8. Međunarodni prijenos podataka

Pohrana i hosting infrastrukture odvijaju se unutar EU (Nizozemska, Railway). Kada AI pružatelji (OpenAI, Anthropic) obrađuju poruke i fotografije, podaci se mogu prenijeti u SAD. Takvi prijenosi zaštićeni su odgovarajućim zaštitnim mjerama, uključujući standardne ugovorne klauzule i/ili sudjelovanje pružatelja u EU-SAD okviru za zaštitu podataka (Data Privacy Framework), sukladno njihovim uvjetima obrade podataka.

9. Razdoblje čuvanja podataka

• Podaci o razgovoru i rezultati AI analize čuvaju se dok ne izbrišete svoj račun.
• Fotografije se, prema namjeri, čuvaju dok ne izbrišete svoj račun, nakon čega se trajno uklanjaju s CDN pohrane i iz povezanih sustava.
• Privremeni tehnički podaci (npr. metapodaci o slikama u Redis predmemoriji) automatski se brišu nakon 7 dana.
• Podatke možete zatražiti na brisanje prije isteka gore navedenih rokova (vidi odjeljak 12. "Prava korisnika").

10. Sigurnost podataka

Primjenjujemo odgovarajuće tehničke i organizacijske mjere zaštite podataka, uključujući enkripciju podataka u prijenosu (HTTPS/TLS), ograničen pristup podacima samo ovlaštenom osoblju te pohranu unutar EU. Lozinke se pohranjuju isključivo u hash-iranom obliku (bcrypt). Iako se apsolutna sigurnost ne može jamčiti, poduzimamo razumne korake za zaštitu podataka od neovlaštenog pristupa, gubitka ili zlouporabe.

11. Obavijest o povredi podataka

U slučaju povrede osobnih podataka, obavijestit ćemo nadležna tijela i, gdje je to zakonski potrebno, pogođene korisnike, bez nepotrebnog odgađanja, sukladno obvezama iz OUZP-a.

12. Prava korisnika

U vezi s vašim osobnim podacima imate sljedeća prava:

• Pravo na pristup — zatražiti uvid u podatke koje obrađujemo o vama.
• Pravo na ispravak — zatražiti ispravak netočnih ili nepotpunih podataka.
• Pravo na brisanje — zatražiti brisanje svojih podataka, u skladu s odjeljkom 9. ove politike.
• Pravo na ograničenje obrade.
• Pravo na prenosivost podataka.
• Pravo na prigovor obradi koja se temelji na legitimnom interesu.
• Pravo na povlačenje privole u bilo kojem trenutku, bez utjecaja na zakonitost obrade prije povlačenja.
• Pravo na podnošenje pritužbe nadzornom tijelu za zaštitu podataka (vidi odjeljak 15.).

Za ostvarivanje ovih prava kontaktirajte nas putem podataka navedenih u odjeljku 15.

13. Zaštita maloljetnika

KLAI nije namijenjen osobama mlađim od 18 godina. Svjesno ne prikupljamo osobne podatke maloljetnika ispod te dobi. Ako saznamo da smo prikupili osobne podatke maloljetnika bez odgovarajuće privole roditelja/skrbnika, poduzet ćemo korake za brisanje takvih podataka.

14. Izmjene pravila privatnosti

Ova pravila privatnosti možemo povremeno ažurirati kako bismo odražavali promjene u našoj usluzi, tehnologiji ili pravnim zahtjevima. O svakoj značajnijoj izmjeni obavijestit ćemo korisnike objavom na web stranici, s naznakom datuma zadnjeg ažuriranja na vrhu dokumenta. Preporučujemo povremeno pregledavanje ove stranice.

15. Kontakt i nadzorno tijelo

Za pitanja vezana uz obradu vaših osobnih podataka ili za ostvarivanje prava iz odjeljka 12., možete nas kontaktirati na: support@klai.design.

Također imate pravo podnijeti pritužbu nadzornom tijelu za zaštitu podataka:

16. Mjerodavno pravo

Na ova pravila privatnosti i obradu osobnih podataka opisanu u njima primjenjuje se pravo Republike Hrvatske i Europske unije, uključujući Opću uredbu o zaštiti podataka (OUZP/GDPR).