Geslar — Pravila privatnosti

Uvod

Temeljno načelo: tvoje lozinke su zero-knowledge enkriptirane na tvom uređaju prije nego napuste preglednik. Geslar tehnički ne može pristupiti njihovom sadržaju.

Geslar je hrvatski password manager s lokalnim Škrinjarom (besplatno, bez registracije) i opcionalnom cloud sinkronizacijom između uređaja (registracija, Premium pretplata). Ova pravila opisuju koje podatke procesiramo, u koju svrhu i kako ih štitimo — uvažavajući obje opcije korištenja.

Voditelj obrade: Geslar d.o.o., Miroslava Krleže 13, 51000 Rijeka, Hrvatska
Kontakti: [email protected] (privatnost), [email protected] (sigurnosni incidenti), [email protected] (pravna pitanja), [email protected] (korisnička podrška)
Sigurnosni disclosure: /.well-known/security.txt (RFC 9116)

Dvije razine korištenja:
1. Free / lokalno (bez registracije) — Škrinjar živi samo u tvom pregledniku. Mi ne procesiramo nikakve tvoje podatke na poslužitelju.
2. Cloud sync (registriran korisnik, Premium / Family / Business) — Enkriptirana Škrinja sinkronizira se kroz naš poslužitelj u EU. Procesiramo identifikacijske, naplatne i sigurnosne metapodatke (pojašnjeno niže). Škrinjar na webu (my.geslar.app) dodatna je pristupna točka istom EU backendu i istim procesima obrade — bez nove obrade podataka.

Jezične verzije. Ova pravila objavljena su na hrvatskom i engleskom jeziku. U slučaju neslaganja jezičnih verzija, mjerodavna je hrvatska verzija.

Pravna osnova obrade

Geslar obrađuje minimalne podatke na temelju sljedećih pravnih osnova u skladu s člankom 6. stavkom 1. GDPR-a:

✅

Legitimni interes (čl. 6.1.f)

Sigurnosni audit log (cyber-sigurnost), sprječavanje zlouporabe, provjera curenja putem k-Anonymity protokola, lokalne postavke (localStorage), enkripcija i dekriptiranje na uređaju.

📝

Privola (čl. 6.1.a)

Kontakt forma, marketing email-ovi (newsletter, promocijski sadržaj — opt-in pri registraciji), opcionalna analitika u budućnosti (trenutno nemamo).

🔗

Izvršenje ugovora (čl. 6.1.b)

Cloud sinkronizacija Škrinje, autentifikacija (login, email verifikacija, recovery key potvrda), pretplate i naplata, obavještenja o pretplati, funkcija Sigurno slanje.

⚖️

Zakonska obveza (čl. 6.1.c)

Računovodstveni zapisi pretplata (porezno zakonodavstvo RH), čuvanje podataka koje zahtijeva NIS2 direktiva za Business plan kupce u esencijalnim sektorima.

Generiranje lozinki i fraza

Cjelokupno generiranje odvija se isključivo u pregledniku na tvom uređaju. Niti jedna generirana lozinka, fraza ni drugi unos korisnika ne šalje se na server niti se pohranjuje izvan lokalnog uređaja.

Škrinjar (password manager)

Bez obzira koristiš li Škrinjar lokalno ili s cloud sinkronizacijom: tvoji podaci se enkriptiraju na tvom uređaju prije nego napuste preglednik. Glavni ključ i recovery key se Argon2id-deriviraju isključivo na klijentu — server nikad ne vidi njihovu plaintext verziju.

🔐

Enkripcija na uređaju

AES-256-GCM za sadržaj Škrinje s ključem deriviranim iz glavnog ključa putem Argon2id (memory-hard KDF otporan na GPU napade). Ključevi se čuvaju samo u RAM-u (chrome.storage.session) i brišu se pri restartu.

💾

Lokalna pohrana

Šifrirana baza Škrinjara pohranjuje se u chrome.storage.local na tvom uređaju. Free korisnici nikad nemaju dodatnu pohranu izvan uređaja.

☁️

Cloud sinkronizacija (opcionalno, Premium+)

Ako se odlučiš za sync, klijent prije slanja na server šifrira cijelu Škrinju s tvojim ključem. Server čuva isključivo enkriptirani blob (binarni paket) — ne može pročitati pojedinačne stavke.

⏱

Automatsko zaključavanje

Škrinjar se automatski zaključava nakon neaktivnosti (konfigurabilan timeout). Koriste se alarms i idle dozvole — isključivo lokalno, bez mrežne komunikacije.

🔑

Recovery key (zero-knowledge)

Pri kreiranju cloud računa generira se 128-bitni recovery key — isključivo na klijentu. Server čuva samo SHA-256 hash. Ako zaboraviš glavni ključ, recovery key je jedini način povratka pristupa — Geslar ga ne može oporaviti.

📤

Import / Export / Portabilnost

Uvoz iz drugih managera (Bitwarden JSON, CSV) odvija se lokalno. Izvoz tvoje Škrinje i osobnih podataka (Pravo na prenosivost, čl. 20 GDPR) dostupan je kroz Settings → Račun → Izvoz podataka.

Cloud sinkronizacija (Premium / Family / Business)

Cloud sync je opcionalan. Free korisnik može cijeli životni vijek koristiti Geslar lokalno bez registracije, bez ikakve mrežne komunikacije s našim poslužiteljem (osim opcionalne provjere curenja preko HIBP-a).

Ako se odlučiš za cloud sync, evo što stvarno procesiramo na našem poslužitelju:

📧

Email adresa

Tvoj email služi kao identifikator računa, kontakt za sigurnosne i transakcijske poruke (verifikacija, billing), te lozinka za login. Pohranjuje se u plaintextu (potreban za slanje email-ova).

🔑

Glavni ključ — derivat (auth_hash)

Klijent računa Argon2id derivat tvojeg glavnog ključa i šalje samo taj auth_hash. Plaintext glavni ključ nikad ne napušta tvoj uređaj. Server čuva samo bcrypt hash auth_hasha (dvostruka zaštita).

📦

Škrinja (encrypted blob)

Cijeli sadržaj Škrinje — lozinke, kartice, TOTP ključevi, bilješke — AES-256-GCM enkriptiran na klijentu prije slanja. Server čuva binarni blob koji tehnički ne može pročitati.

🔁

Recovery key — hash

Server čuva samo SHA-256 hash recovery key-a za verifikaciju pri "oporavku računa" flow-u. Plaintext key generira se na klijentu i nikad se ne šalje.

🪪

Refresh tokens (sesije)

Token-i s rotacijom za održavanje login statusa između session-a. TTL 30 dana, brišu se pri logout-u i pri sumnjivoj aktivnosti.

🌐

Lokalizacija (locale)

Jezik koji koristiš (HR/EN) za personaliziranu komunikaciju (email-ovi, error poruke).

Što NE pohranjujemo: tvoj glavni ključ u plaintextu, recovery key u plaintextu, povijest pretraživanja, IP adrese u trajnoj memoriji, browsing history, content stranica koje posjetiš.

Obiteljsko i organizacijsko dijeljenje

Dijeljenje koje ostaje samo vaše. Obiteljski plan omogućuje dijeljenje lozinki, kartica i bilješki s do 5 članova — a enkripcija ostaje od kraja do kraja. Svaki dijeljeni unos šifriran je tako da mu pristupaju samo članovi kojima je namijenjen. Geslar ni dijeljeni sadržaj ne može pročitati — server vidi isključivo šifrirane podatke i javne ključeve.

Tko što vidi. Organizator obitelji upravlja članstvom, dijeljenim Škrinjama i dozvolama (pregled/uređivanje). Organizator ne vidi sadržaj ničije Škrinje niti tko je pojedinom unosu pristupao. Svaki član vidi samo ono što mu je dijeljeno i svoju osobnu Škrinju.

Maloljetnici. Vlastiti račun mogu otvoriti osobe od 16 godina (sukladno čl. 19 Zakona o provedbi Opće uredbe o zaštiti podataka, NN 42/18). Mlađe članove dodaje i njima upravlja organizator obitelji — punoljetna osoba koja potvrđuje da je nositelj roditeljske odgovornosti. O maloljetnicima obrađujemo najmanji nužni skup podataka; ne profiliramo i ne oglašavamo djeci.

Kad član ode. Uklanjanjem člana dijeljeni se ključevi automatski rotiraju i pristup mu prestaje; njegova osobna Škrinja ostaje netaknuta. Svaki član u svakom trenutku može izvesti ili obrisati vlastite podatke.

Email verifikacija

Pri registraciji za cloud sync, šaljemo verifikacijski email s magic link-om. Klikom na link dokazuješ vlasništvo nad email adresom. Bez verifikacije nije moguć pristup admin sekciji niti sync mutacijama (zaštita od account takeover-a kroz email enumeration).

🔐

Token sigurnost

Verifikacijski token (UUID) hashira se SHA-256 prije pohrane u DB. Plaintext token postoji samo u poslanom email-u i u memoriji klijenta dok ga klikne. Token vrijedi 7 dana (registracija) / 1 sat (resend).

⛔

Anti-enumeration

"Pošalji ponovno verifikaciju" endpoint uvijek vraća 200 OK, bez obzira da li korisnik s tim email-om postoji. To onemogućava napadaču da kroz API utvrdi koji email-ovi imaju Geslar račun.

⏱

Rate limiting

3 verifikacijska email-a po satu po email adresi, 10 po IP adresi. Sprječava DoS i spam.

Naplata i pretplata (Premium / Obiteljski plan)

Plaćanja za Premium i Obiteljski plan obrađuje Creem (pravni entitet: Armitage Labs OÜ, Tallinn, Estonija) kao naš Merchant of Record. Creem je odgovoran za fakturiranje, PDV obračun (uključujući EU OSS), i obradu kartičnih podataka. Geslar nikad ne vidi tvoj broj kartice — Creem nam šalje samo tokenizirani identifikator i status pretplate.

Poslovni i organizacijski planovi ne naplaćuju se putem Creema — dogovaraju se na upit i naplaćuju zasebno. Za pitanja o poslovnoj naplati: [email protected].

💳

Što Creem procesira

Tvoj email, ime (ako uneseš), broj kartice (tokenizirano), zemlja prebivališta (za PDV), iznos transakcije, status pretplate. Creem posluje unutar EU (Estonija) — nema prijenosa podataka izvan EU/EGP-a za ovu obradu.

📋

Što Geslar primi natrag

Kroz webhook: tvoj email (povezan s tvojim računom), plan slug (premium/family), status (active/past_due/canceled), datum isteka, customer ID kod Creema. Bez kartičnih podataka.

📜

Računovodstvena obveza

Naplatne podatke (osim kartičnih) čuvamo 11 godina prema Zakonu o računovodstvu RH (čl. 9. — porezni zapisi). Ovo se ne može obrisati po Right to Erasure dok prijepor nije zatvoren.

Creem ima vlastitu politiku privatnosti dostupnu na creem.io/privacy. Korištenjem cloud pretplate pristaješ i na njihove uvjete.

Audit log (sigurnosni dnevnik)

Bilježimo sigurnosno-relevantne događaje za zaštitu tvog računa od neovlaštenog pristupa i za usklađenost s NIS2 zahtjevima (za Business plan). Audit log koristi privacy-minimum metadata — bilježi samo ono što je nužno za sigurnosnu provjeru.

✅

Što bilježimo

Vrsta akcije (npr. login, plan upgrade, password change), timestamp, sanitized URL pattern (bez ID-jeva), tvoj user_id, organization_id, slug feature-a koji je zatražen.

⛔

Što NE bilježimo

IP adrese, user agent string, referer header, full URL-ove s ID-jevima u path-u, sadržaj request body-ja, sadržaj odgovora.

🗓

Retencija

12 mjeseci za Free / Premium / Family. 24 mjeseca za Business plan (NIS2 minimum). Po isteku se automatski briše. Pri brisanju računa, audit log se anonimizira (user_id pseudonimizira) — sigurnosni interes čl. 17.3.b GDPR.

Autofill i detekcija formi

Autofill funkcionira isključivo na zahtjev korisnika — klikom na Geslar ikonu u polju za unos ili tipkovničkim prečacem (Ctrl+Shift+L). Content script detektira polja za prijavu i unos kartica na aktivnoj stranici, ali ne čita, ne prikuplja i ne šalje sadržaj stranice.

Geslar koristi closed shadow DOM s randomiziranim imenima elemenata, čime je onemogućeno čitanje ili manipuliranje Geslar UI-a od strane stranice na kojoj se prikazuje.

Lokalne postavke (localStorage)

Aplikacija pohranjuje tvoje postavke lokalno u pregledniku putem localStorage — odabrani razdjelnik, rječnici, tema, veličina teksta i slično. Ti podaci ostaju samo na tvom uređaju i nikada se ne šalju na server. Možeš ih obrisati brisanjem podataka preglednika.

Sigurno slanje (Encrypt & Send)

Opcija Pošalji sigurno omogućuje jednokratno dijeljenje lozinke putem enkriptiranog linka.

Lozinka se šifrira u pregledniku (AES-GCM, 256-bitni ključ) prije slanja
Na server se šalje isključivo šifrirani blob — server nikada ne vidi izvornu lozinku
Ključ za dešifriranje prenosi se isključivo putem URL fragmenta (#) koji se ne šalje serveru
Podaci se automatski brišu po isteku (1, 3 ili 7 dana) ili nakon maksimalnog broja pregleda
Server za pohranu je Cloudflare (EU/globalni edge), podaci se ne koriste ni za kakvu drugu svrhu

Provjera curenja lozinke (Have I Been Pwned)

Funkcija Provjeri lozinku koristi k-anonimni model: od lozinke se računa SHA-1 hash, a na vanjski API (HaveIBeenPwned) šalje se samo prvih 5 znakova tog hasha. Cijela lozinka niti puni hash nikada ne napuštaju uređaj.

Analitika

Geslar ne koristi nikakve analitičke alate, skripte za praćenje ni kolačiće. Ne prikupljamo podatke o posjećenosti, ponašanju korisnika niti bilo kakve osobne podatke putem web aplikacije ili proširenja za preglednike.

Kontakt forma

Ako pošalješ poruku putem stranice Kontakt, ime, e-mail adresa i sadržaj poruke šalju se direktno autoru. Podaci se koriste isključivo za odgovor na upit i ne pohranjuju se u bazi podataka.

Proširenje za preglednike — dozvole

🔖

activeTab

Pristup aktivnoj kartici samo kad korisnik pokrene autofill — isključivo za upisivanje lozinke ili kartice u fokusirano polje za unos.

💉

scripting

Injektiranje skripte u aktivnu karticu na zahtjev korisnika, za detekciju polja za prijavu i umetanje podataka.

📋

clipboardWrite

Kopiranje lozinke, TOTP koda ili kartičnog broja u clipboard na zahtjev korisnika.

💾

storage

Pohrana enkriptirane baze Škrinjara i korisničkih postavki lokalno na uređaju putem chrome.storage.local. Podaci nikada ne napuštaju uređaj.

⏰

alarms

Periodička provjera za automatsko zaključavanje Škrinjara nakon neaktivnosti. Koristi se isključivo lokalno — bez mrežnih poziva.

💤

idle

Detekcija neaktivnosti korisnika (locked/idle/active stanje) za automatsko zaključavanje Škrinjara. Bez prikupljanja podataka o aktivnosti.

Proširenje ne čita sadržaj web stranica, ne prati povijest pregledavanja i ne prikuplja nikakve podatke o korištenju. Jedina mrežna komunikacija je provjera curenja lozinki (HIBP, k-Anonymity) i dohvat ikona stranica preko Geslarovog vlastitog proxyja — ikone se nikad ne dohvaćaju izravno s trećih strana, a prikaz ikona može se isključiti u postavkama.

Kolačići

Geslar ne koristi kolačiće za praćenje niti za personalizaciju. Postavke aplikacije pohranjuju se isključivo u localStorage preglednika, a ne u kolačićima.

Dijeljeni i poslovni podaci

Šifriranje sadržaja. Sve dijeljene škrinje — obiteljske i poslovne — end-to-end su šifrirane. Geslar nikada ne vidi sadržaj (lozinke, korisničke podatke, bilješke). Tajni sadržaj nikada se ne bilježi ni u logove ni u revizijske zapise.

👤

Tko pristupa

Dijeljenim škrinjama pristupaju isključivo članovi kojima je škrinja dodijeljena, sukladno dodijeljenom pravu (pregled ili uređivanje). Vlasnik/administrator organizacije upravlja članstvom i pravima — ali ne može čitati sadržaj škrinja.

🔍

Što administrator vidi

Administrator vidi: popis članova, dodijeljena prava, metapodatke zapisa pristupa (revizija). Administrator NE vidi: sadržaj lozinki, korisničkih podataka ni bilješki — sadržaj je E2E šifriran.

📋

Revizijski zapisi (dijeljeni kontekst)

U dijeljenim škrinjama bilježe se metapodaci pristupa (tko, kojim resursom, kada) radi sigurnosti i odgovornosti. Pravna osnova: legitimni interes (čl. 6/1/f GDPR) + izvršenje ugovora o usluzi. IP adresa anonimizira se. Osobni (jednokorisnički) kontekst: bez revizije. Zadana retencija 18 mjeseci; sigurnosni zapisi mogu se čuvati kraće. Korisnik ima pravo uvida u zapise koji se odnose na njega (čl. 15 GDPR).

🚪

Uklanjanje člana

Izbačeni član odmah gubi pristup svim dijeljenim škrinjama; dijeljeni ključevi automatski se rotiraju bez mogućnosti naknadnog preuzimanja. Osobna Škrinja člana ostaje netaknuta. Napomena: 30-dnevno izvozno razdoblje odnosi se na otkaz cijelog plana, ne na uklanjanje pojedinog člana.

🗑️

Brisanje računa

Trajno brisanje unutar 30 dana od zahtjeva. Sigurnosni i revizijski zapisi pseudonimiziraju se (user_id zamjenjuje se hash-om) — trajni zapis bez osobnih identifikatora. Lokalni podaci na uređajima korisnika ostaju pod njihovom kontrolom.

🇪🇺

Obrada i prijenos podataka

Svi podaci dijeljenih i poslovnih škrinja obrađuju se i čuvaju unutar EU/EEA. DPA (Ugovor o obradi podataka) s podizvršiteljima je na snazi; dostupan na zahtjev poslovnih korisnika.

GDPR uloge (poslovni kontekst): Kada organizacija koristi Geslar Business plan, Geslar nastupa kao izvršitelj obrade (procesor), a organizacija kao voditelj obrade u pogledu podataka svojih zaposlenika/članova u dijeljenim škrinjama. DPA dostupan na zahtjev — [email protected].

Rok čuvanja podataka

Geslar primjenjuje načelo minimizacije podataka — podaci se čuvaju samo onoliko koliko je nužno za ispunjenje svrhe.

📦

Škrinja (cloud sync)

Enkriptirani blob Škrinje čuva se na poslužitelju dok je tvoj račun aktivan. Brisanje računa kroz Settings → Račun → Obriši uklanja Škrinju odmah. Backupi rotiraju i izlaze iz sustava unutar 30 dana.

☁️

Cloud podaci nakon otkaza

Otkazani plan vrijedi do kraja plaćenog razdoblja. Nakon isteka račun prelazi na Free — Škrinja radi lokalno, cloud sinkronizacija se isključuje, a cloud kopija podataka čuva se još 30 dana radi izvoza ili povratka na plan; zatim se trajno briše s poslužitelja. Dijeljena Škrinja je u tom razdoblju samo za čitanje. Podaci na uređajima ostaju netaknuti.

💾

Lokalne postavke

Pohranjene u pregledniku (chrome.storage.local) dok ih korisnik ne obriše ili ne očisti podatke preglednika. Geslar ih ne briše automatski.

🔍

Audit log

12 mjeseci za Free / Premium / Family. 24 mjeseca za Business plan (NIS2 minimum). Automatski cleanup cron. Pri brisanju računa anonimiziran (čl. 17.3.b — sigurnosni interes).

🪪

Refresh tokens

Auth tokeni za održavanje login sesije — TTL 30 dana s rotacijom. Brišu se pri logout-u, password change-u, i pri inactivity period-u. Sumnjiva aktivnost pokreće momentalni revoke.

✉️

Verifikacijski tokeni

Email verifikacija: 7 dana (registracija), 1 sat (resend). Password reset: 1 sat. Nakon isteka ili prvog korištenja automatski se brišu.

📨

Email log (Brevo events)

Status isporuke transactional email-ova (sent / delivered / bounced / complained) — 90 dana. Koristi se za detekciju problema u isporuci. Sadržaj poruke se NE pohranjuje, samo metadata.

💸

Naplatni zapisi

Računi i dokazi o plaćanju — 11 godina prema Zakonu o računovodstvu RH (čl. 9). Ne podliježu Right to Erasure dok porezni period nije zatvoren (čl. 17.3.b — pravna obveza).

🔗

Sigurno slanje

Enkriptirani payload čuva se na poslužitelju do isteka odabranog roka (1–90 dana) ili do dostizanja limita pregleda, nakon čega se automatski i trajno briše.

📧

Kontakt poruke

Ime, e-mail i sadržaj poruke čuvaju se samo do odgovora na upit, nakon čega se brišu. Ne pohranjuju se u bazu podataka.

🔍

Provjera curenja

Nikakvi podaci se ne pohranjuju — provjera se odvija u realnom vremenu kroz k-Anonymity API.

Procesori podataka i prijenos u treće zemlje

Geslar je menadžer lozinki sa sjedištem u Europskoj uniji. Tvoja enkriptirana Škrinja, transakcijski email-ovi i naplatni podaci nikad ne napuštaju EU/EGP — 100% podataka ostaje unutar Europske unije.

🇩🇪

Hetzner Online GmbH (Njemačka)

Primary processor — VPS hosting za API + Postgres bazu + Valkey cache + dnevne backupe. Lokacija: Frankfurt + Falkenstein. Sva enkriptirana Škrinja i transakcijski podaci žive u EU. Hetzner je GDPR-compliant s potpisanim DPA.

🇫🇷

Brevo (Sendinblue, Francuska)

Transactional email isporuka — verifikacija email-a, sigurnosna obavještenja, billing notifikacije. Lokacija: Pariz. Sjedište u EU, intra-EU prijenos. Click i open tracking je onemogućen za sve transactional poruke (privacy by design).

🇪🇪

Creem / Armitage Labs OÜ (Estonija)

Naplata (Merchant of Record). Procesira email, kartične podatke (tokenizirano), iznos transakcije, status pretplate. Lokacija: Tallinn. Sjedište u EU — nema prijenosa u SAD, SCC nije potreban za ovu obradu. Geslar ne vidi tvoj broj kartice.

☁

Cloudflare Inc. (SAD, EU edges)

DNS i CDN/proxy za web stranice. Konfigurirano za EU edge servere gdje je moguće. Prijenos pod SCC i Data Privacy Framework. Cloudflare procesira samo IP adrese pri request-ima — ne enkriptirani sadržaj koji prolazi kroz njega.

🔍

HaveIBeenPwned (HIBP)

Provjera curenja lozinki. Poslužitelji su u Cloudflareu (SAD/globalni edge). Koristi se k-Anonymity protokol — API prima samo prvih 5 znakova SHA-1 hasha, ne cijelu lozinku. Iz tog prefiksa nije moguće rekonstruirati izvornu lozinku.

Za pomoćne funkcije biramo davatelje uz prioritet EU-rezidentnosti. Potpunu, ažurnu listu podizvršitelja i sigurnosni pregled rado šaljemo na zahtjev — javite se na [email protected].

Napomena: Osim navedenih servisa, Geslar ne komunicira ni s jednim drugim vanjskim servisom. Svi fontovi, skripte i stilovi posluživani su s vlastite domene (geslar.app).

Prava ispitanika

Sukladno člancima 15.–21. Opće uredbe o zaštiti podataka (GDPR), imate sljedeća prava:

Pravo na pristup (čl. 15) — Settings → Račun → Izvoz podataka generira ZIP s svim tvojim podacima koje obrađujemo (JSON metadata + enkriptirani vault blob). Bez čekanja, automatski.
Pravo na ispravak (čl. 16) — email i jezik mijenjaš u Settings → Račun. Glavni ključ kroz dedicated change-master flow s recovery key verifikacijom.
Pravo na brisanje (čl. 17) — Settings → Račun → Obriši račun. CASCADE chain: tvoj user record + tvoje organizations (kao owner) + tvoja enkriptirana Škrinja + tvoja članstva u tuđim organizacijama (member rola). Audit log se anonimizira (user_id → pseudonim) sukladno čl. 17.3.b.
Pravo na ograničenje obrade (čl. 18) — kontaktiraj nas na [email protected]. Možemo "freeze" tvoj račun bez brisanja tijekom spora oko točnosti ili za period verifikacije.
Pravo na prenosivost (čl. 20) — isti endpoint kao pristup. JSON format je strukturiran i strojno čitljiv. Vault blob možeš import-ati u drugi password manager koji podržava format.
Pravo na prigovor (čl. 21) — opt-out marketing email-ova klikom na "unsubscribe" u svakom email-u. Transactional poruke (verifikacija, billing, sigurnosni alerti) nisu predmet opt-out-a — nužne su za izvršenje ugovora.

SLA: Odgovaramo na zahtjeve sukladno čl. 12 GDPR-a u roku od 30 dana (može se produljiti za dodatnih 60 dana uz obrazloženje). Većina prava je self-service kroz Settings ekstenzije — instant, bez čekanja na našu intervenciju.

Free / lokalni korisnik: Budući da Geslar Free ne prikuplja osobne podatke na našem poslužitelju (nema korisničkih računa, kolačića, praćenja), većina ovih prava je automatski ispunjena — nema podataka koje bismo mogli otkriti, ispraviti ili obrisati. Tvoj lokalni Škrinjar je u potpunosti pod tvojom kontrolom.

Nadzorno tijelo

Ako smatrate da je obrada vaših osobnih podataka u suprotnosti s GDPR-om, imate pravo podnijeti pritužbu nadležnom nadzornom tijelu:

Agencija za zaštitu osobnih podataka (AZOP)
Selska cesta 136, 10 000 Zagreb, Hrvatska
Telefon: +385 1 4609 000
Web: azop.hr
E-pošta: [email protected]

Pitanja o privatnosti i kontakt

Geslar koristi posvećene email aliase za različite vrste pitanja kako bi tvoja poruka stigla pravoj osobi:

🔒

[email protected]

Općenita pitanja o privatnosti, GDPR zahtjevi (pristup, brisanje, prigovor), pitanja o procesorima podataka.

🛡

[email protected]

Responsible disclosure sigurnosnih ranjivosti. Vidi i security.txt (RFC 9116).

⚖️

[email protected]

Pravna pitanja, DPA zahtjevi za B2B Business plan kupce, vendor due diligence.

💬

[email protected]

Korisnička podrška — funkcionalna pitanja, problemi s računom, prijedlozi za poboljšanje. Ili koristi kontakt formu.

SLA: Odgovaramo unutar 5 radnih dana za sva pitanja vezana uz privatnost (čl. 12 GDPR — bez nepotrebnog odgađanja).