Politika privatnosti

Verzija 1.5, 30. kolovoza 2026.

Ova politika objašnjava tko smo, koje podatke prikupljamo, zašto, gdje ih čuvamo, tko im ima pristup i kako možete ostvariti svoja prava. Sastavljena je u skladu s člancima 13. i 14. Uredbe (EU) 2016/679 (Opća uredba o zaštiti podataka, „GDPR").

Ako Vam neka formulacija ne djeluje jasno, pišite nam na hello@bliska.net.

1. Tko je voditelj obrade

Platformom Bliska upravlja:

Davide Lo Bartolo Via Giuseppe Garibaldi 13, Grisignano di Zocco (VI), Italija E-pošta: hello@bliska.net

Bliska nema imenovanog službenika za zaštitu podataka jer opseg obrade to ne zahtijeva u smislu članka 37. GDPR-a. Za sva pitanja u vezi s obradom osobnih podataka možete pisati na hello@bliska.net.

Meta kao zajednički voditelj obrade. Ako u banneru za kolačiće pristanete na oglašivačke kolačiće, za prikupljanje podataka na javnoj naslovnoj stranici i njihovo prosljeđivanje Meti odgovaramo zajedno s društvom Meta Platforms Ireland Limited, u smislu članka 26. GDPR-a. Pojedinosti su u točki 5.2. To se ne odnosi ni na jednu drugu stranicu i ni na jedan podatak o Vašem zdravlju.

Terapeut kao zasebni voditelj obrade. Za sadržaj terapije i vlastite kliničke bilješke terapeut je samostalni voditelj obrade, u skladu s pravilima svoje struke i profesionalnom tajnom. Ti se podaci ne pohranjuju na platformi. Terapeut će Vas na početku rada zamoliti za kontakt osobe za hitne slučajeve; te podatke prikuplja i čuva terapeut samostalno, ne Bliska.

2. Koje podatke prikupljamo

2.1 Podaci za kontakt i identifikaciju

Ime i prezime
E-pošta
Broj telefona
Datum rođenja
Lozinka (pohranjena kao nečitljiv sažetak, tzv. hash, nikada u čitljivom tekstu)

2.2 Podaci o zdravlju (posebne kategorije, članak 9. GDPR-a)

Kako bismo Vas povezali s prikladnim terapeutom, prikupljamo Vaše odgovore na početni upitnik: kako se osjećate, eventualna ranija iskustva s terapeutom, želje u pogledu spola terapeuta te željene dane i termine. Te informacije otkrivaju aspekte Vašega psihičkog zdravlja i stoga spadaju u posebne kategorije osobnih podataka iz članka 9. GDPR-a. Obrađujemo ih tek nakon što dobijemo Vašu izričitu privolu, koju tražimo na zasebnom zaslonu prije početka upitnika.

Privola izričito obuhvaća i prosljeđivanje Vaših odgovora na upitnik terapeutu s kojim Vas povežemo, kako bi se mogao pripremiti za rad s Vama. Vaši se odgovori ne prosljeđuju nikome drugome. Privolu možete povući u svakom trenutku (vidi točku 7.).

2.3 Podaci o seansama

Datumi, termini, status (potvrđena, održana, otkazana)
Naznaka terapeuta koji Vas je pratio
Identifikatori uplate (račune izdaje terapeut, izvan platforme)

Prisutnost na seansi. Kada seansa započne, od Whereby-ja zaprimamo obavijest o tome tko je i kada ušao u videosobu i kada je iz nje izašao. Bilježimo isključivo: trenutak ulaska, trenutak izlaska, trajanje i je li riječ o Vama ili o terapeutu. Na temelju toga sustav sam označava seansu kao održanu ili kao nedolazak.

To nam treba iz dva razloga: da bismo primijenili pravila o povratu novca iz točke 5.2 Uvjeta korištenja (nedolazak bez najave ne daje pravo na povrat) i da bismo znali koliko se često seanse uopće ne održe. Ako neku seansu označimo kao nedolazak, a Vi se s tim ne slažete, javite nam na hello@bliska.net i provjerit ćemo.

Bliska ne snima, ne transkribira i ne pohranjuje sadržaj videoseansi. Videosobe pruža Whereby, kao izvršitelj obrade. Ulazak i izlazak iz sobe nisu sadržaj razgovora: ne primamo i ne pohranjujemo prikazano ime, poruke iz chata, snimke ni transkripte, a te su funkcije kod Whereby-ja isključene.

2.4 Podaci o plaćanju

Podaci o kartici ne prolaze kroz naše poslužitelje. Prikuplja ih i pohranjuje izravno Stripe Payments Europe Ltd. Mi pohranjujemo samo tehničke identifikatore za povezivanje uplate s Vašom osobom (ID transakcije).

Kada plaćate seansu putem Stripea, uplata se izvršava izravno na Stripe račun Vašeg terapeuta, jer je on pružatelj usluge i izdavatelj računa. To znači da Vaša e-adresa i podaci o uplati (iznos, datum, status) budu vidljivi terapeutu i u njegovu Stripe računu, radi naplate, izdavanja računa i eventualnih povrata.

2.5 Tehnički podaci

IP adresa, vrsta preglednika, jezik, vremenska zona (radi sigurnosti i tehničke dijagnostike)
Zapisi o pristupu i radnjama nad zdravstvenim podacima (revizijski trag, u smislu članka 32. GDPR-a)

2.6 Podaci o e-pošti

Kada Vam šaljemo transakcijsku e-poštu (potvrde o plaćanju, podsjetnike) ili sigurnosne poruke (npr. potvrda e-adrese ili ponovno postavljanje lozinke), bilježimo samo datum slanja i status isporuke. Ne bilježimo otvarate li poruku niti klikate li na poveznice.

Ako se zasebno pretplatite na newsletter, slanje vodimo putem MailerLitea te se u tom slučaju primjenjuje njihova politika privatnosti.

2.7 Podaci terapeuta

Ako se prijavite kao terapeut, obrađujemo podatke koje unosite za svoj profesionalni profil: ime i prezime, fotografiju, kratku biografiju, područja rada, titulu ili profesionalni status (primjerice „pod supervizijom") te podatke o dostupnosti. Ovi se podaci prikazuju osobama koje su Vam dodijeljene, radi povezivanja i transparentnosti o Vašoj profesionalnoj poziciji. Profilna fotografija pohranjuje se kod Supabasea i dostupna je putem javne poveznice na Vašem profilu.

Administrativne podatke iz prijave (poput datuma rođenja te, ako je primjenjivo, podataka o upisu u strukovnu komoru) čuvamo interno i ne prikazujemo ih javno.

2.8 Brojači korištenja stranice

Da bismo znali gdje ljudi odustaju (na upitniku? na odabiru termina? na obrascu s podacima?), brojimo koliko se puta dogodio svaki od tih koraka. Uz svaki broj bilježimo samo dan i sat te oznaku odakle je posjet došao (primjerice „google" ili „meta"), svedenu na šest unaprijed određenih vrijednosti.

Uz te brojeve ne stoji nikakva oznaka osobe. Nema Vašeg korisničkog računa, nema oznake sesije, nema IP adrese, nema Vaših odgovora iz upitnika. Nije riječ o zapisu tipa „ova je osoba prošla ovim putem", nego isključivo o zbroju tipa „danas je 40 ljudi otvorilo upitnik, njih 22 ga je dovršilo". Takvi se brojevi ne mogu povezati s Vama ni od nas ni od bilo koga drugog, pa ne predstavljaju osobne podatke i nema se što po Vašem zahtjevu brisati.

Ako to jednoga dana poželimo promijeniti, odnosno uz te korake vezati bilo kakvu oznaku osobe, smjeli bismo to učiniti tek uz izmjenu ove politike i uz Vašu izričitu privolu.

3. Zašto obrađujemo Vaše podatke i na kojoj pravnoj osnovi

Svrha	Pravna osnova
Stvaranje i upravljanje Vašim računom	Izvršavanje ugovora (čl. 6. st. 1. t. b GDPR-a)
Povezivanje s terapeutom putem upitnika (uključujući prosljeđivanje odgovora dodijeljenom terapeutu)	Izričita privola (čl. 9. st. 2. t. a GDPR-a)
Provođenje seansi	Izvršavanje ugovora + privola za obradu zdravstvenih podataka
Naše knjigovodstvene i porezne obveze u vezi s naplatom	Zakonska obveza (čl. 6. st. 1. t. c GDPR-a)
Servisne obavijesti (potvrde, podsjetnici)	Izvršavanje ugovora
Newsletter	Privola (čl. 6. st. 1. t. a GDPR-a), opoziva u svakom trenutku
Evidencija prisutnosti na seansi (ulazak i izlazak iz videosobe)	Izvršavanje ugovora (čl. 6. st. 1. t. b GDPR-a): primjena pravila o povratu novca
Brojači korištenja stranice (točka 2.8)	Nisu osobni podaci; svejedno ih navodimo radi potpune preglednosti
Mjerenje uspješnosti oglasa na javnoj naslovnoj stranici (Google, Meta)	Privola (čl. 6. st. 1. t. a GDPR-a); za Metu vidi i zajedničko voditeljstvo iz točke 5.2
Sigurnost, sprječavanje prijevara, revizija	Legitimni interes (čl. 6. st. 1. t. f GDPR-a)

4. Koliko dugo čuvamo podatke

Vrsta podatka	Razdoblje čuvanja
Aktivni račun	Do brisanja računa
Zdravstveni podaci (upitnik, seanse)	Do brisanja računa, zatim 30 dana sigurnosne kopije, pa uništavanje
Naši knjigovodstveni i porezni podaci o naplati (identifikatori uplata, iznosi, datumi)	10 godina (zakonska obveza). Račun za seansu izdaje terapeut i čuva ga sam, prema propisima svoje struke.
Prisutnost na seansi (ulazak, izlazak, trajanje)	Kao i sama rezervacija: do brisanja računa. Tehničke oznake kojima se povezuju ulazak i izlazak brišu se nakon 90 dana
Brojači korištenja stranice (točka 2.8)	Neograničeno, jer ne sadrže osobne podatke
Revizijski zapisi o pristupu zdravstvenim podacima	12 mjeseci
Newsletter	Do odjave
E-pošta neprihvaćenih prijava terapeuta	12 mjeseci, zatim uništavanje
Podaci terapeuta nakon prestanka suradnje	Profil se uklanja s Platforme bez odgode; knjigovodstveni i porezni podaci čuvaju se 10 godina (zakonska obveza), a ostali administrativni podaci brišu se u roku od 30 dana

Brisanje Vašeg računa je trenutačno. Sigurnosne kopije prepisuju se u roku od 30 dana. Kliničke bilješke terapeuta ne nalaze se na platformi i terapeut ih čuva u skladu s propisima svoje struke.

5. Tko ima pristup Vašim podacima

Vaši su podaci dostupni samo:

Vama (Vaši osobni podaci i cijela povijest Vaših seansi)
Terapeutu koji Vam je dodijeljen (Vaši podaci za kontakt, odgovori na upitnik, Vaše seanse s njim, na temelju Vaše izričite privole iz točke 2.2)
Voditelju obrade (Davide), u svojstvu administratora platforme, radi rada usluge i podrške

Tehničko osoblje ne pregledava zdravstvene podatke u svrhu razvoja. Kada je pristup nužan radi otklanjanja pogrešaka, provodi se nad anonimiziranim ili sintetičkim podacima.

5.1 Vanjski izvršitelji obrade

Za pružanje usluge koristimo nekoliko pružatelja, svi su vezani ugovorom, a njihovi se poslužitelji nalaze u Europskoj uniji ili u državama koje osiguravaju odgovarajuću razinu zaštite (EGP, odnosno primjerene države):

Pružatelj	Funkcija	Lokacija podataka
Supabase Inc.	Baza podataka, autentifikacija, pohrana	Frankfurt (DE)
Stripe Payments Europe Ltd.	Obrada plaćanja	Irska (IE)
Whereby AS	Videopozivi (bez snimanja) i obavijest o ulasku i izlasku iz sobe	Norveška (NO, država članica EGP-a)
Resend, Inc.	Transakcijska e-pošta	Irska (IE)
Netlify, Inc.	Hosting sučelja	Europska unija
MailerLite Limited	Newsletter (samo uz Vašu privolu)	Irska (IE)
Google Ireland Ltd.	Statistika posjeta i mjerenje oglasa, samo na javnoj naslovnoj stranici i samo uz Vašu privolu	Irska (IE), uz moguć prijenos u SAD na temelju okvira EU-SAD o privatnosti podataka

Sa svakim od tih pružatelja imamo sklopljen ugovor o obradi podataka (DPA) u smislu članka 28. GDPR-a.

Ni Google ni Meta nemaju pristup nijednom podatku iz upitnika, o Vašim seansama ni o Vašem zdravlju: njihove se oznake ne učitavaju na tim stranicama (vidi točku 9.3).

Registraciju domene vodi Porkbun LLC (SAD); pri tome se ne obrađuju osobni podaci korisnika, pa Porkbun nije izvršitelj obrade.

5.2 Meta: zajednički voditelj obrade

Na javnoj naslovnoj stranici, i samo ako u banneru za kolačiće pristanete na kategoriju „oglašavanje", učitavamo i oznaku (pixel) društva Meta Platforms Ireland Limited.

Meta u tom slučaju nije naš izvršitelj obrade nego zajednički voditelj obrade s nama, u smislu članka 26. GDPR-a. Razlog je taj što Meta prikupljene podatke koristi i za vlastite svrhe, a ne samo po našoj uputi; Sud Europske unije to je potvrdio u predmetu C-40/17 (Fashion ID). Zajedničko voditeljstvo obuhvaća samo prikupljanje podataka na toj stranici i njihovo prosljeđivanje Meti; za sve što Meta radi nakon toga odgovara sama, prema vlastitim pravilima o privatnosti.

Što Meta od nas prima:

podatak da je netko posjetio našu naslovnu stranicu (PageView)
podatak da je netko na toj stranici kliknuo gumb koji vodi na upitnik (Lead)

I to je sve. Uz te dvije poruke ne šaljemo nijedan dodatni podatak: ni e-adresu, ni ime, ni telefon, ni iznos, ni oznaku koja bi Vas povezala s Vašim računom kod Mete. Automatsko prepoznavanje podataka iz obrazaca (Automatic Advanced Matching) i automatsko stvaranje događaja izričito su isključeni. Ne koristimo Meta Conversions API.

Meti, kao ni bilo kojoj drugoj oglašivačkoj platformi, nikada ne šaljemo Vaše odgovore iz upitnika, podatak o tome jeste li ga dovršili, tko Vam je terapeut ni kada imate seansu. To bi bio podatak o zdravlju iz članka 9. GDPR-a i, neovisno o GDPR-u, izričito je zabranjeno i samim uvjetima Metinih poslovnih alata.

Meta podatke može prenositi u Sjedinjene Američke Države; prijenos se temelji na okviru EU-SAD o privatnosti podataka (odluka Europske komisije o primjerenosti iz 2023.).

Ova točka ujedno je bit dogovora o zajedničkom voditeljstvu koji smo dužni učiniti dostupnim prema članku 26. stavku 2. GDPR-a: opisuje tko što radi, dokle seže zajednička odgovornost i kome se možete obratiti.

Svoja prava iz točke 7. možete ostvariti i prema nama i izravno prema Meti, kako propisuje članak 26. stavak 3. GDPR-a. Ako se obratite nama, a zahtjev se odnosi na ono što Meta radi nakon prikupljanja, proslijedit ćemo ga i o tome Vas obavijestiti.

Ako u banneru odbijete kategoriju „oglašavanje" ili je naknadno povučete, pixel se ne učitava, a kolačići _fbp i _fbc brišu se s Vašeg uređaja.

6. Gdje se obrađuju Vaši podaci

Svi podaci o Vašem zdravlju, Vašim seansama, Vašim plaćanjima i Vašem računu obrađuju se isključivo u Europskoj uniji, odnosno u Europskom gospodarskom prostoru. To vrijedi bez iznimke i ne ovisi ni o kakvom Vašem izboru.

Jedina iznimka odnosi se na oglašivačke oznake s javne naslovne stranice, i to samo ako na njih pristanete u banneru za kolačiće: Google i Meta te podatke mogu prenijeti u Sjedinjene Američke Države. Prijenos se temelji na okviru EU-SAD o privatnosti podataka, za koji je Europska komisija 2023. donijela odluku o primjerenosti u smislu članka 45. GDPR-a.

Ako u banneru odbijete statistiku i oglašavanje, nijedan Vaš podatak ne napušta Europski gospodarski prostor.

7. Vaša prava

U skladu s GDPR-om imate pravo:

na pristup svojim podacima i dobivanje njihove kopije
na ispravak ako su netočni ili nepotpuni
na brisanje („pravo na zaborav")
na ograničenje obrade u određenim slučajevima
na prenosivost podataka drugom voditelju obrade u strojno čitljivom obliku
na prigovor na obradu koja se temelji na legitimnom interesu
na povlačenje privole u svakom trenutku (bez utjecaja na zakonitost ranije obrade)

7.1 Kako ostvariti svoja prava

U svom korisničkom prostoru možete samostalno mijenjati ime, broj telefona i lozinku.

Za promjenu e-pošte ili datuma rođenja, za izvoz svih svojih podataka ili za brisanje računa, kao i za svaki drugi zahtjev, pišite nam na hello@bliska.net. Obrađujemo zahtjev i odgovaramo u roku od 30 dana.

7.2 Pritužba nadzornom tijelu

Ako smatrate da obrada Vaših podataka krši GDPR, možete podnijeti pritužbu hrvatskom nadzornom tijelu, Agenciji za zaštitu osobnih podataka (AZOP) (www.azop.hr), ili nadzornom tijelu države u kojoj imate uobičajeno boravište. Podnošenje pritužbe je besplatno.

8. Sigurnost

Primjenjujemo tehničke i organizacijske mjere za zaštitu Vaših podataka:

Kriptirane veze (HTTPS s HSTS preload)
Baza podataka kriptirana u mirovanju (AES-256)
Obvezna dvofaktorska autentifikacija za administratorske i terapeutske račune
Sigurnost na razini retka (Row Level Security): svaki korisnik vidi samo ono što se na njega odnosi
Revizijski zapisi pristupa zdravstvenim podacima, čuvani 12 mjeseci
Lozinke nikada nisu pohranjene u čitljivom tekstu, uvijek uz bcrypt hashiranje
Dnevne sigurnosne kopije, čuvane 30 dana

U slučaju povrede osobnih podataka koja može prouzročiti rizik za Vaša prava i slobode, obavijestit ćemo nadležno nadzorno tijelo u roku od 72 sata (članak 33. GDPR-a), a Vas, ako je rizik visok, bez nepotrebnog odgađanja, u skladu s člankom 34. GDPR-a.

9. Kolačići

9.1 Nužni kolačići

Za rad same usluge koristimo isključivo tehničke kolačiće nužne za rad platforme. Oni se postavljaju bez privole, jer bez njih usluga ne može funkcionirati (članak 5. stavak 3. Direktive o e-privatnosti, odnosno Zakon o elektroničkim komunikacijama).

Kolačić	Svrha	Trajanje
Sesija / autentifikacija	Održava Vas prijavljenima	Do odjave ili isteka sesije
Tijek upitnika	Pamti napredak kroz upitnik prije registracije	30 minuta
Dvostupanjska provjera (terapeuti)	Pamti da ste prošli drugi faktor u ovoj sesiji	Do zatvaranja preglednika
Oporavak lozinke	Vodi Vas kroz postavljanje nove lozinke	30 minuta
Zapis o privoli za kolačiće	Pamti Vaš izbor u banneru za kolačiće	6 mjeseci

9.2 Kolačići za statistiku i oglašavanje (samo uz Vašu privolu)

Na javnoj naslovnoj stranici koristimo Google Analytics 4, oznaku Google Ads i Meta pixel, i to samo ako na to izričito pristanete u banneru za kolačiće. Pravna osnova je Vaša privola (članak 6. stavak 1. točka (a) GDPR-a). Do trenutka pristanka ne učitava se nikakva skripta trećih strana i ne postavlja se nijedan takav kolačić.

Banner nudi dvije odvojene kategorije: statistiku (Google Analytics) i oglašavanje (Google Ads i Meta). Možete prihvatiti jednu, obje ili nijednu.

Kolačić / alat	Pružatelj	Kategorija	Svrha	Trajanje
`_ga`, `_ga_*`	Google Ireland Ltd.	Statistika	Statistika posjeta: koliko ljudi dođe na stranicu i odakle	Do 2 godine
`_gcl_*`	Google Ireland Ltd.	Oglašavanje	Mjerenje uspješnosti oglasa (koliko klikova na oglas dovede do posjeta)	Do 90 dana
`_fbp`	Meta Platforms Ireland Ltd.	Oglašavanje	Mjerenje uspješnosti Metinih oglasa: povezuje posjet s klikom na oglas	Do 90 dana
`_fbc`	Meta Platforms Ireland Ltd.	Oglašavanje	Pamti oznaku klika na oglas (`fbclid`) iz poveznice kojom ste došli	Do 90 dana

Koristimo Google Consent Mode: dok ne date privolu, Googleove su oznake postavljene na „denied" i ne pohranjuju podatke na Vašem uređaju. Meta pixel se do Vašeg pristanka uopće ne učitava: skripta se ne postavlja na stranicu, pa nema što ni postaviti kolačić ni poslati zahtjev.

Oglašivačke oznake koristimo samo za mjerenje, ne i za profiliranje. Googleu je signal ad_personalization uvijek postavljen na „denied", pa se podaci ne mogu koristiti za remarketing ni za stvaranje oglašivačkih publika. Meti šaljemo samo dva događaja bez ijednog parametra (točka 5.2).

Kada povučete privolu, ne prestajemo samo učitavati oznake: kolačiće koje su Google i Meta već postavili (_ga*, _gid, _gat*, _gcl*, _fbp, _fbc) brišemo s Vašeg uređaja, jer bi inače povlačenje ostalo bez ikakvog vidljivog učinka.

9.3 Što nikada ne pratimo

Ovo je za nas granica koju ne prelazimo:

Na stranicama upitnika (/signup i dalje) nema nijedne analitičke ni oglašivačke oznake. Isto vrijedi za cijeli Vaš korisnički prostor, za rezervacije i za videoseanse. Oznake ondje nisu „isključene" nego se uopće ne učitavaju.
Google, Meta i bilo koja druga treća strana nikada ne primaju Vaše odgovore iz upitnika, podatak o tome jeste li ga dovršili, podatke o Vašem zdravlju, o Vašem terapeutu ni o Vašim seansama.
Ne radimo profiliranje na temelju zdravstvenih podataka i ne stvaramo oglašivačke publike na temelju njih.
Gumb koji vodi s naslovne stranice na upitnik namjerno je obična poveznica, a ne prijelaz unutar aplikacije: tako se pri odlasku s naslovne stranice sve oznake u pregledniku ugase i ne mogu vidjeti nijednu sljedeću adresu.

Razlog je jednostavan: već sama činjenica da netko prolazi kroz upitnik govori nešto o njegovu zdravlju, a to je posebna kategorija podataka iz članka 9. GDPR-a. Takav podatak ne dijelimo ni s kim, bez obzira na to biste li na to pristali.

Što treće strane doista vide, a što ne. Google i Meta vide samo dvije stvari, i to samo na javnoj naslovnoj stranici i samo uz Vašu privolu: da je netko tu stranicu posjetio i da je netko kliknuo gumb koji vodi na upitnik. Ta se poruka šalje prije nego što upitnik uopće počne i uz nju ne ide nijedan podatak o Vama.

Sve ostalo mjerimo zbrojno, u vlastitoj bazi (točka 2.8), bez slanja ijednog podatka trećim stranama: koliko je upitnika dovršeno, koliko je prvih besplatnih razgovora održano, koliko je plaćenih seansi.

9.4 Kako promijeniti ili povući privolu

Svoj izbor možete promijeniti u svakom trenutku putem poveznice „Postavke kolačića" u podnožju svake stranice. Povlačenje privole jednako je jednostavno kao i njezino davanje i ne utječe na zakonitost obrade prije povlačenja. Odbijanje ni na koji način ne mijenja Vaš pristup platformi: nemamo „zid od kolačića".

10. Maloljetnici

Bliska je namijenjena osobama od najmanje 18 godina; dob potvrđujete pri registraciji i u upitniku. Ne prikupljamo namjerno podatke maloljetnika. Ako utvrdimo da smo registrirali maloljetnu osobu, brišemo račun.

11. Izmjene ove politike

U slučaju bitnih izmjena obavijestit ćemo Vas e-poštom najmanje 30 dana prije stupanja na snagu. Trenutačna verzija navedena je na vrhu dokumenta.

Bliska, Verzija 1.5 od 30. kolovoza 2026.