Politika privatnosti aplikacije 1.000 sati

5. listopada 2026.

Ovom Politikom privatnosti Pula parking d.o.o. obavještava korisnike mobilne aplikacije „1.000 sati“ za operativne sustave Android i iOS o načinu prikupljanja, korištenja, pohrane i zaštite njihovih osobnih podataka. Politika obuhvaća obradu podataka povezanu s prijavom u aplikaciju, korištenjem dodijeljenog prava na parkiranje, pokretanjem i završavanjem parkiranja te pregledom iskorištenih i preostalih sati.

Obrada se provodi u skladu s Uredbom (EU) 2016/679 (Opća uredba o zaštiti podataka, u daljnjem tekstu: GDPR), Zakonom o provedbi Opće uredbe o zaštiti podataka i drugim primjenjivim propisima. Ova Politika odnosi se na aplikaciju i povezane usluge; za druge obrade Pula parkinga mogu se primjenjivati zasebne obavijesti.

1. Voditelj i izvršitelj obrade

Voditelj obrade osobnih podataka u okviru usluge je Pula parking d.o.o., Prilaz kralja Salamona 4, 52100 Pula, Republika Hrvatska, OIB 92332318203 (u daljnjem tekstu: Pula parking ili Voditelj obrade). Pula parking određuje svrhe i sredstva obrade osobnih podataka povezanih s korištenjem usluge.

Za sva pitanja o obradi osobnih podataka i ostvarivanju prava korisnici se mogu obratiti službeniku za zaštitu osobnih podataka Pula parkinga na gdpr@pulaparking.hr ili pisanim putem na navedenu adresu, uz naznaku „Zaštita osobnih podataka – 1.000 sati“.

Razvoj, održavanje i tehničku podršku aplikacije pruža RAO d.o.o., Ulica Hermana Bužana 3, 10 000 Zagreb, Republika Hrvatska, OIB 94111301877 (u daljnjem tekstu: RAO), u svojstvu izvršitelja obrade. RAO obrađuje osobne podatke u ime i za račun Pula parkinga, prema njegovim dokumentiranim uputama i na temelju ugovora o obradi osobnih podataka. U okviru te uloge RAO ne određuje samostalno druge svrhe korištenja osobnih podataka.

Kontakt za tehničku podršku: helpdesk@rao.hr

Službenik za zaštitu osobnih podataka: dpo@rao.hr

2. Kategorije i izvori osobnih podataka

Osobni podaci prikupljaju se neposredno od korisnika, preuzimaju iz evidencije Pula parkinga o dodijeljenom pravu na parkiranje ili nastaju korištenjem aplikacije i povezanih tehničkih usluga. Obrada obuhvaća sljedeće kategorije podataka:

Aplikacija ne pristupa GPS lokaciji uređaja, kontaktima ni fotografijama te ne prikuplja podatke o platnim karticama. Evidencija zone i vremena parkiranja može, međutim, posredno upućivati na mjesto i vrijeme boravka vozila.

Osobni podaci ne prodaju se niti se koriste za oglašavanje ili praćenje aktivnosti korisnika u drugim aplikacijama i na mrežnim stranicama.

3. Svrha i pravna osnova obrade

Autentifikacija i pružanje usluge. Podaci o korisniku, računu, vozilu i parkiranju obrađuju se radi provjere pristupa, korištenja dodijeljenog prava, evidentiranja parkiranja, obračuna sati te prikaza povijesti i preostalih sati. Pravna osnova za obradu nužnu za izvršavanje ugovorene usluge jest članak 6. stavak 1. točka (b) GDPR-a.

Dostava servisnih obavijesti. Tehnički identifikatori i sadržaj obavijesti obrađuju se radi informiranja korisnika o tijeku parkiranja. Obrada nužna za pružanje ugovorene usluge temelji se na članku 6. stavku 1. točki (b) GDPR-a. Korisnik može isključiti push obavijesti u postavkama uređaja, bez prestanka prava na parkiranje, te podatke o parkiranju pratiti u aplikaciji.

Korisnička podrška i pouzdanost sustava. Podaci iz korisničkih upita obrađuju se radi rješavanja zahtjeva povezanih s ugovorenom uslugom, na temelju članka 6. stavka 1. točke (b) GDPR-a. Nužna obrada dijagnostičkih podataka radi otkrivanja i otklanjanja pogrešaka temelji se na legitimnom interesu za sigurnost i pouzdan rad aplikacije, prema članku 6. stavku 1. točki (f) GDPR-a, uz uvažavanje prava i interesa korisnika. Kada je za prikupljanje podataka ili pristup informacijama na uređaju potrebna privola, ona se pribavlja prije početka takve obrade. Upoznavanje s ovom Politikom ne predstavlja davanje privole.

Ispunjavanje zakonskih obveza i zaštita pravnih zahtjeva. Podaci se obrađuju kada je to nužno radi ispunjavanja primjenjivih zakonskih obveza, uključujući obveze povezane s računovodstvenom dokumentacijom, na temelju članka 6. stavka 1. točke (c) GDPR-a. Obrada potrebna za postavljanje, ostvarivanje ili obranu pravnih zahtjeva temelji se na legitimnom interesu iz članka 6. stavka 1. točke (f) GDPR-a i ograničena je na podatke nužne za tu svrhu.

Dostavljanje podataka potrebnih za identifikaciju korisnika, povezivanje vozila i evidentiranje parkiranja uvjet je za korištenje odgovarajućih funkcija aplikacije. Ako ti podaci nisu dostupni, navedene funkcije nije moguće pružiti. Dostavljanje neobaveznih podataka nije uvjet za korištenje osnovne usluge.

4. Primatelji podataka i pružatelji usluga

Pristup osobnim podacima imaju ovlaštene osobe Pula parkinga i ugovorni pružatelji razvoja, održavanja, tehničke podrške i poslužiteljske infrastrukture, isključivo u opsegu potrebnom za obavljanje njihovih zadataka. Pružatelji kojima se povjerava obrada obvezni su osigurati najmanje jednaku razinu zaštite kakva je opisana u ovoj Politici te postupati u skladu s primjenjivim propisima i ugovornim obvezama.

RAO obrađuje podatke potrebne za razvoj, održavanje i podršku sustava. Za pojedine funkcije aplikacije koriste se i sljedeće vanjske tehničke usluge:

Više o obradi u Firebase uslugama dostupno je na https://firebase.google.com/support/privacy, a o Appleovoj privatnosti na https://www.apple.com/legal/privacy/. Ova politika opisuje obradu u našoj aplikaciji; navedene informacije pružatelja nadopunjuju taj opis.

Osobni podaci mogu se dostaviti nadležnim tijelima kada je to propisano zakonom te drugim ovlaštenim primateljima kada je dostava nužna za zaštitu pravnih zahtjeva i za nju postoji odgovarajuća pravna osnova.

5. Međunarodni prijenosi osobnih podataka

Googleove i Appleove usluge mogu uključivati obradu podataka izvan Europskoga gospodarskog prostora, uključujući SAD. Za takve prijenose primjenjuje se odluka Europske komisije o primjerenosti, kada obuhvaća konkretnog primatelja i obradu, ili odgovarajuće zaštitne mjere poput standardnih ugovornih klauzula, uz dodatne mjere kada su potrebne. Okvir EU–SAD za privatnost podataka primjenjuje se samo na primatelje i obrade obuhvaćene važećom certifikacijom.

Informacije o zaštitnim mjerama koje se primjenjuju na pojedini prijenos i preslika relevantnih jamstava mogu se zatražiti od službenika za zaštitu osobnih podataka na gdpr@pulaparking.hr.

6. Razdoblja čuvanja osobnih podataka

Podaci o korisniku i vozilu čuvaju se dok je račun aktivan i dok su potrebni za korištenje dodijeljenog prava. Evidencija parkiranja čuva se dok je potrebna za obračun iskorištenih sati, provjeru korištenja prava i rješavanje eventualnih reklamacija. Nakon prestanka tih svrha podaci se brišu ili nepovratno anonimiziraju, osim u opsegu u kojem postoji zakonska obveza ili opravdan razlog daljnjeg čuvanja.

Razdoblje daljnjeg čuvanja određuje se prema vrsti dokumentacije, primjenjivim zakonskim rokovima, postojanju otvorene reklamacije ili postupka te rokovima za postavljanje i obranu pravnih zahtjeva. Rok propisan za računovodstvene isprave ne primjenjuje se automatski na sve podatke u aplikaciji. Komunikacija s podrškom čuva se do rješavanja upita, a dulje samo ako je potrebna za povezanu reklamaciju, ispunjavanje zakonske obveze ili pravni zahtjev.

Pristupni token koristi se do odjave, isteka ili opoziva pristupa. Token za push obavijesti u aplikacijskom sustavu zadržava se dok je potreban za dostavu obavijesti. Pružatelji tehničkih usluga mogu imati zasebne rokove uklanjanja identifikatora iz svojih aktivnih sustava i sigurnosnih kopija. Firebase Crashlytics čuva izvještaje i povezane identifikatore 90 dana, nakon čega započinje postupak njihova uklanjanja iz aktivnih sustava i sigurnosnih kopija.

Podaci koji se brišu iz aktivnog sustava uklanjaju se i iz sigurnosnih kopija kroz redovni ciklus zamjene kopija. Tijekom tog razdoblja kopije služe oporavku sustava, a ne redovnoj obradi podataka.

7. Sigurnost osobnih podataka

Primjenjuju se tehničke i organizacijske mjere primjerene rizicima obrade, uključujući šifriranje komunikacije između aplikacije i poslužitelja protokolom HTTPS/TLS te ograničavanje pristupa na ovlaštene osobe. PIN se ne pohranjuje na uređaju, a pristupni token pohranjuje se u zaštićenoj pohrani operativnog sustava. Korisnik treba čuvati povjerljivost PIN-a i ne dostavljati ga podršci. Sumnju na neovlašten pristup može prijaviti na helpdesk@rao.hr.

8. Prava korisnika

Korisnik, pod uvjetima propisanima GDPR-om, ima pravo na pristup osobnim podacima i njihovu kopiju, ispravak netočnih ili dopunu nepotpunih podataka, brisanje podataka te ograničenje obrade. Pravo na prenosivost odnosi se na podatke koje je korisnik pružio kada se obrada provodi automatizirano i temelji na ugovoru ili privoli.

Korisnik ima pravo uložiti prigovor na obradu koja se temelji na legitimnom interesu, iz razloga povezanih s njegovom posebnom situacijom. U tom slučaju obrada se obustavlja, osim ako Voditelj obrade dokaže uvjerljive legitimne razloge koji nadilaze interese, prava i slobode korisnika ili je obrada potrebna za pravne zahtjeve. Privola se može povući u bilo kojem trenutku obraćanjem na gdpr@pulaparking.hr, bez utjecaja na zakonitost obrade provedene prije njezina povlačenja.

Zahtjev za ostvarivanje prava podnosi se na gdpr@pulaparking.hr ili pisanim putem na adresu Pula parkinga. U zahtjevu je potrebno navesti pravo koje korisnik želi ostvariti i podatke potrebne za pronalazak računa. PIN se ne dostavlja. Ako postoje opravdane sumnje u identitet podnositelja, Voditelj obrade može zatražiti dodatne informacije nužne za potvrdu identiteta.

Voditelj obrade obavještava korisnika o postupanju bez nepotrebnog odgađanja, najkasnije u roku od mjesec dana od primitka zahtjeva. Taj se rok, uzimajući u obzir složenost i broj zahtjeva, može produljiti za dodatna dva mjeseca, o čemu se korisnika obavještava unutar prvog mjeseca, uz obrazloženje. Ako se po zahtjevu ne postupi, korisnika se obavještava o razlozima i mogućnostima zaštite prava. Ostvarivanje prava u pravilu je besplatno.

9. Brisanje korisničkog računa i povezanih podataka

Korisnički račun za aplikaciju „1.000 sati“ otvara Pula parking pri dodjeli prava na parkiranje. Korisnik može zatražiti brisanje računa i povezanih osobnih podataka bez pristupa aplikaciji, na sljedeći način:

  1. Zahtjev se upućuje na gdpr@pulaparking.hr ili helpdesk@rao.hr, uz naslov „Brisanje računa – 1.000 sati“.
  2. U zahtjevu se navode ime i prezime te podatak koji omogućuje pronalazak računa, primjerice registarska oznaka vozila. PIN se ne dostavlja.
  3. RAO zahtjev zaprimljen putem tehničke podrške prosljeđuje Pula parkingu kao Voditelju obrade. Nakon potrebne provjere identiteta korisnik se obavještava o postupanju u rokovima navedenima u prethodnom odjeljku.

Brisanje obuhvaća korisnički račun i povezane osobne podatke za koje više ne postoji valjana osnova čuvanja, uključujući pripadajuće podatke o korisniku, vozilu i parkiranju te tehničke identifikatore povezane s računom. Prema potrebi, zahtjev za brisanje upućuje se i izvršiteljima obrade. Privremena deaktivacija računa ne smatra se brisanjem.

Ako pojedine podatke treba zadržati radi ispunjavanja zakonske obveze ili zaštite pravnih zahtjeva, korisnik se obavještava o kategorijama podataka, razlogu zadržavanja i razdoblju čuvanja odnosno kriterijima za njegovo određivanje. Daljnje korištenje tih podataka ograničava se na svrhu koja opravdava njihovo zadržavanje.

Deinstalacija aplikacije s uređaja ne uzrokuje brisanje računa ni podataka na poslužitelju. Brisanjem računa prestaje pristup funkcijama koje zahtijevaju prijavu. Posljedice za dodijeljeno pravo na parkiranje uređuju se uvjetima usluge.

10. Automatizirana obrada podataka

Aplikacija automatski evidentira parkiranje i izračunava iskorištene i preostale sate. Ne provodi se profiliranje korisnika ni donošenje odluka koje se temelje isključivo na automatiziranoj obradi i proizvode pravne ili slične značajne učinke u smislu članka 22. GDPR-a. Korisnik se može obratiti Pula parkingu radi provjere mogućeg pogrešnog obračuna.

11. Korištenje aplikacije od strane djece

Aplikacija je namijenjena korisnicima kojima je dodijeljeno pravo na parkiranje i nije posebno namijenjena djeci.

12. Pravo na pritužbu nadzornom tijelu

Korisnik koji smatra da se njegovi osobni podaci obrađuju protivno propisima ima pravo podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, Republika Hrvatska, e-pošta: azop@azop.hr, mrežna stranica: https://azop.hr. Prethodno obraćanje Voditelju obrade nije uvjet za podnošenje pritužbe.

13. Izmjene Politike privatnosti

Ova Politika ažurira se u slučaju promjene načina obrade osobnih podataka ili relevantnih zahtjeva. O bitnim izmjenama korisnici se obavještavaju putem aplikacije ili drugim primjerenim putem. Datum posljednje izmjene naveden je na početku dokumenta. Ako nova svrha obrade zahtijeva privolu, ona se pribavlja zasebno, prije početka takve obrade.

Privacy Policy of the 1.000 sati app

5 October 2026

With this Privacy Policy, Pula parking d.o.o. informs users of the “1.000 sati” mobile app for the Android and iOS operating systems about how their personal data are collected, used, stored and protected. The Policy covers processing related to logging in to the app, using the granted parking entitlement, starting and ending parking, and viewing used and remaining hours.

Processing is carried out in accordance with Regulation (EU) 2016/679 (General Data Protection Regulation, hereinafter: GDPR), the Croatian Act on the Implementation of the General Data Protection Regulation and other applicable regulations. This Policy applies to the app and related services; separate notices may apply to other processing by Pula parking.

1. Controller and processor

The controller of personal data within the service is Pula parking d.o.o., Prilaz kralja Salamona 4, 52100 Pula, Republic of Croatia, OIB (tax number) 92332318203 (hereinafter: Pula parking or the Controller). Pula parking determines the purposes and means of processing personal data related to the use of the service.

For any questions about the processing of personal data and the exercise of rights, users may contact Pula parking’s data protection officer at gdpr@pulaparking.hr or in writing at the above address, marked “Zaštita osobnih podataka – 1.000 sati” (Personal data protection – 1.000 sati).

Development, maintenance and technical support of the app are provided by RAO d.o.o., Ulica Hermana Bužana 3, 10000 Zagreb, Republic of Croatia, OIB (tax number) 94111301877 (hereinafter: RAO), acting as processor. RAO processes personal data on behalf of Pula parking, in accordance with its documented instructions and on the basis of a data processing agreement. Within this role, RAO does not independently determine any other purposes for using personal data.

Technical support contact: helpdesk@rao.hr

Data protection officer: dpo@rao.hr

2. Categories and sources of personal data

Personal data are collected directly from users, obtained from Pula parking’s records of granted parking entitlements, or generated through the use of the app and related technical services. Processing covers the following categories of data:

The app does not access the device’s GPS location, contacts or photos and does not collect payment card data. However, records of the parking zone and time may indirectly indicate where and when a vehicle was located.

Personal data are not sold or used for advertising or for tracking user activity in other apps and on websites.

3. Purpose and legal basis of processing

Authentication and provision of the service. User, account, vehicle and parking data are processed to verify access, enable use of the granted entitlement, record parking, calculate hours and display history and remaining hours. The legal basis for processing necessary for the performance of the contracted service is Article 6(1)(b) GDPR.

Delivery of service notifications. Technical identifiers and notification content are processed to inform users about ongoing parking. Processing necessary to provide the contracted service is based on Article 6(1)(b) GDPR. Users may turn off push notifications in their device settings without losing their parking entitlement, and can follow their parking data in the app.

Customer support and system reliability. Data from user enquiries are processed to resolve requests related to the contracted service, on the basis of Article 6(1)(b) GDPR. Necessary processing of diagnostic data to detect and fix errors is based on the legitimate interest in the security and reliable operation of the app, under Article 6(1)(f) GDPR, taking users’ rights and interests into account. Where consent is required to collect data or access information on the device, it is obtained before such processing begins. Reading this Policy does not constitute giving consent.

Compliance with legal obligations and protection of legal claims. Data are processed where necessary to comply with applicable legal obligations, including obligations relating to accounting records, on the basis of Article 6(1)(c) GDPR. Processing needed to establish, exercise or defend legal claims is based on legitimate interest under Article 6(1)(f) GDPR and is limited to the data necessary for that purpose.

Providing the data needed to identify the user, link the vehicle and record parking is a condition for using the corresponding features of the app. If these data are not available, those features cannot be provided. Providing optional data is not a condition for using the basic service.

4. Recipients of data and service providers

Personal data may be accessed by authorised persons of Pula parking and by contracted providers of development, maintenance, technical support and server infrastructure, only to the extent necessary to carry out their tasks. Providers entrusted with processing are required to ensure at least the same level of protection as described in this Policy and to act in accordance with applicable regulations and contractual obligations.

RAO processes the data needed for the development, maintenance and support of the system. The following external technical services are also used for certain features of the app:

More information on processing in Firebase services is available at https://firebase.google.com/support/privacy, and on Apple’s privacy practices at https://www.apple.com/legal/privacy/. This Policy describes processing in our app; the providers’ information supplements this description.

Personal data may be disclosed to competent authorities where required by law, and to other authorised recipients where disclosure is necessary to protect legal claims and there is an appropriate legal basis for it.

5. International transfers of personal data

Google’s and Apple’s services may involve processing data outside the European Economic Area, including in the USA. Such transfers rely on a European Commission adequacy decision, where it covers the specific recipient and processing, or on appropriate safeguards such as standard contractual clauses, with supplementary measures where required. The EU–U.S. Data Privacy Framework applies only to recipients and processing covered by a valid certification.

Information on the safeguards applied to a particular transfer and a copy of the relevant safeguards may be requested from the data protection officer at gdpr@pulaparking.hr.

6. Retention periods

User and vehicle data are kept while the account is active and for as long as they are needed to use the granted entitlement. Parking records are kept for as long as they are needed to calculate used hours, verify use of the entitlement and resolve any complaints. Once these purposes cease, the data are deleted or irreversibly anonymised, except to the extent that there is a legal obligation or a justified reason for further retention.

The further retention period is determined by the type of documentation, applicable statutory periods, the existence of an open complaint or proceedings, and the time limits for establishing and defending legal claims. The period prescribed for accounting records does not automatically apply to all data in the app. Communication with support is kept until the enquiry is resolved, and longer only if it is needed for a related complaint, compliance with a legal obligation or a legal claim.

The access token is used until logout, expiry or revocation of access. The push notification token is kept in the app system for as long as it is needed to deliver notifications. Technical service providers may have separate periods for removing identifiers from their active systems and backups. Firebase Crashlytics keeps reports and associated identifiers for 90 days, after which the process of removing them from active systems and backups begins.

Data deleted from the active system are also removed from backups through the regular backup rotation cycle. During that period, backups serve system recovery and not regular data processing.

7. Security of personal data

Technical and organisational measures appropriate to the risks of processing are applied, including encryption of communication between the app and the server using HTTPS/TLS and restriction of access to authorised persons. The PIN is not stored on the device, and the access token is stored in the operating system’s protected storage. Users should keep their PIN confidential and should not provide it to support. Suspected unauthorised access can be reported to helpdesk@rao.hr.

8. User rights

Under the conditions laid down in the GDPR, users have the right to access their personal data and obtain a copy of it, to rectification of inaccurate or completion of incomplete data, to erasure of data and to restriction of processing. The right to data portability applies to data the user has provided where processing is carried out by automated means and is based on a contract or consent.

Users have the right to object, on grounds relating to their particular situation, to processing based on legitimate interest. In that case processing stops, unless the Controller demonstrates compelling legitimate grounds that override the user’s interests, rights and freedoms, or the processing is needed for legal claims. Consent may be withdrawn at any time by contacting gdpr@pulaparking.hr, without affecting the lawfulness of processing carried out before its withdrawal.

Requests to exercise rights are submitted to gdpr@pulaparking.hr or in writing to Pula parking’s address. The request should state the right the user wishes to exercise and the details needed to locate the account. The PIN must not be sent. If there are reasonable doubts about the requester’s identity, the Controller may request additional information necessary to confirm it.

The Controller informs the user of the action taken without undue delay and at the latest within one month of receiving the request. Taking into account the complexity and number of requests, this period may be extended by two further months, in which case the user is informed within the first month, with reasons. If no action is taken on the request, the user is informed of the reasons and of the available remedies. Exercising rights is, as a rule, free of charge.

9. Deleting your user account and associated data

The user account for the “1.000 sati” app is opened by Pula parking when a parking entitlement is granted. Users can request deletion of their account and associated personal data without access to the app, as follows:

  1. Send the request to gdpr@pulaparking.hr or helpdesk@rao.hr with the subject “Brisanje računa – 1.000 sati” (Account deletion – 1.000 sati).
  2. In the request, state your first and last name and a detail that allows the account to be found, for example the vehicle registration plate. Do not send your PIN.
  3. RAO forwards requests received through technical support to Pula parking as the Controller. After the necessary identity check, the user is informed of the action taken within the periods set out in the previous section.

Deletion covers the user account and the associated personal data for which there is no longer a valid basis for retention, including the related user, vehicle and parking data and the technical identifiers linked to the account. Where necessary, the deletion request is also forwarded to processors. Temporary deactivation of an account is not considered deletion.

If certain data must be retained to comply with a legal obligation or to protect legal claims, the user is informed of the categories of data, the reason for retention and the retention period or the criteria used to determine it. Further use of those data is limited to the purpose that justifies their retention.

Uninstalling the app from the device does not delete the account or the data on the server. Deleting the account ends access to features that require login. The consequences for the granted parking entitlement are governed by the terms of service.

10. Automated processing of data

The app automatically records parking and calculates used and remaining hours. No profiling of users takes place, and no decisions are made based solely on automated processing that produce legal or similarly significant effects within the meaning of Article 22 GDPR. Users may contact Pula parking to have a possible incorrect calculation checked.

11. Use of the app by children

The app is intended for users who have been granted a parking entitlement and is not specifically intended for children.

12. Right to lodge a complaint with a supervisory authority

Users who believe that their personal data are being processed in breach of regulations have the right to lodge a complaint with the Croatian Personal Data Protection Agency (AZOP), Selska cesta 136, 10000 Zagreb, Republic of Croatia, email: azop@azop.hr, website: https://azop.hr. Contacting the Controller first is not a condition for lodging a complaint.

13. Changes to the Privacy Policy

This Policy is updated when the way personal data are processed or the relevant requirements change. Users are informed of significant changes through the app or by other appropriate means. The date of the last update is shown at the beginning of the document. If a new purpose of processing requires consent, it is obtained separately before such processing begins.