Pravila privatnosti / Privacy Policy

Last updated: 28 October 2026 · Posljednje ažuriranje: 28. listopada 2026.

The English version comes first. Hrvatska verzija nalazi se ispod engleske.

Privacy Policy (English)

This Privacy Policy explains how Nayave — the events portal at nayave.com — collects, uses, shares and protects personal data, including the data we receive from Google when you sign in with your Google account. We process personal data in accordance with the EU General Data Protection Regulation (Regulation (EU) 2016/679, “GDPR”) and Croatian data protection law, and only to the extent needed to provide the service.

1. Who we are

Nayave is a free information portal for events in Istria, Croatia. It is operated by Istral, informatički obrt, Labin, Croatia (“we”), which is the controller of your personal data. For any question about your personal data or to exercise your rights, email us at info@nayave.com.

2. Data we collect

You can browse the site without an account. Depending on the features you use, we process the following data:

Account: email address, password (stored only as a cryptographic hash, never in plain text), your first and last name if you provide them, the account creation date and how you sign in (password and/or a linked Google account).
Sign-in with Google: your Google account ID, email address and name — see section 3.
Favourites: events and organizers you save.
Newsletter: if you subscribe — your chosen schedule (weekly newsletter on Mondays and/or weekend newsletter on Fridays) and the event categories and places you are interested in.
Event submissions (the “Dodaj događanje” form): the event details you send (title, description, organizer, venue, date and time, price, links and photos), your contact email address and the IP address the submission was sent from.
Organizers: for organizers who publish events through the site — account and organization details and the content they publish (organization and event details are public).
Location: only when you use the “near me” search and allow it in your browser. We use the approximate coordinates to show nearby events and do not store them in your account.
Communication: the content of your messages and your contact details when you contact us by email or through the channels listed on the Kontakt page.
Technical data: on every visit your browser sends our server your IP address, browser type and the address of the requested page; our technical logs record requested pages and errors to operate and secure the site.
Visit statistics: data about how the site is used, collected through Google Analytics (section 5).

3. Google user data

If you choose “Continue with Google” („Nastavi s Googleom”), Google handles the sign-in and, with your permission on Google’s consent screen, shares only the basic data of your Google account with us (the openid, email and profile scopes). Of this data we use:

your unique Google account ID,
your email address and whether Google has verified it,
your first and last name.

Along with the basic profile, Google may also send a link to your profile picture and your language setting — we do not use or store them. We do not request access to your contacts, email (Gmail), files (Google Drive), calendar or any other data or service in your Google account.

How we use Google user data:

the Google account ID is used only for signing in — it lets us recognise you the next time you sign in with Google;
the email address is your account’s username: if you already have an account with the same address, we link Google sign-in to it (only if Google has verified the address); otherwise we create a new account for you. We send account-related emails to this address, and the newsletter only if you subscribe to it;
your name is shown in your profile and in the site header while you are signed in; you can change it in your profile.

The access token Google issues at sign-in is used only during sign-in, to fetch the data above, and is not stored. After you sign in we do not access your Google account and never post anything on your behalf.

Sharing: we do not sell, rent or share Google user data with third parties, except with the service providers that host our service and deliver our email (section 6) — only to the extent needed to provide the service — or when required by law. We do not use Google user data for advertising or advertising profiles, we do not transfer it to data brokers, and we do not use it to develop, improve or train artificial intelligence or machine-learning models.

Storage and protection: we store this data in our database on servers in the European Union (Germany) and protect it with the measures described in section 9.

Retention and deletion: we keep Google user data for as long as you have a Nayave account. You can disconnect Google at any time in your profile (the “Povezani računi” / linked accounts card) — we then immediately delete the stored Google account ID, while your email address and name remain part of your account until you delete it. If Google is your only way of signing in, set a password before disconnecting. You can also revoke Nayave’s access in your Google Account settings. To delete your whole account together with all data received from Google, email info@nayave.com — we will delete it without undue delay and at the latest within 30 days.

Limited Use: Nayave’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

4. Purposes and legal bases

Performance of a contract (Art. 6(1)(b) GDPR): creating and managing your account, signing in (including with Google), favourites and the emails needed to use the account (registration confirmation code, password reset link).
Consent (Art. 6(1)(a) GDPR): the newsletter and the use of your location for the “near me” search. You can withdraw consent at any time — the newsletter in your profile or through the unsubscribe link in every newsletter, location access in your browser settings. Withdrawing consent does not affect processing carried out before it.
Legitimate interest (Art. 6(1)(f) GDPR): security of the site and abuse prevention (technical logs, limits on event submissions), handling event submissions and answering enquiries, visit statistics to improve the site, and occasional emails to registered users about the site (e.g. important changes to the service).
Legal obligation (Art. 6(1)(c) GDPR): when the law requires us to retain data or disclose it to the competent authorities.

5. Cookies

Cookies are small files your browser stores on your device. We use the following:

Sign-in cookie (nayave.web.auth) — strictly necessary; keeps you signed in. If you sign in with Google or tick “Zapamti me” (remember me), it lasts 30 days and is renewed while you use the site; otherwise it is deleted when you close your browser.
Temporary Google sign-in cookies (nayave.web.external, .AspNetCore.Correlation.*) — strictly necessary; they protect the sign-in process and are deleted after 15 minutes at the latest.
Google Analytics (_ga, _ga_*) — visit statistics: how many visitors we have, which pages are read and on which devices. These cookies last up to 2 years. We do not identify individual users from them, and Google Analytics does not store IP addresses. You can turn them off with Google’s browser add-on.

We do not use advertising cookies. You can delete or block cookies in your browser settings, but signing in to an account will not work without the strictly necessary cookies.

6. Who we share data with

We do not sell personal data or share it with anyone for marketing purposes. We use the following service providers (processors), who process data only on our instructions and only as far as their service requires:

Hetzner Online GmbH (Germany) — servers, database and photo storage; all data is stored in data centres in Germany.
Email service provider (server in Croatia) — account emails (registration confirmation code, password reset) and other email.
Postmark (ActiveCampaign, LLC, USA) — delivery of the newsletter and other bulk email.
Google (Google Ireland Limited or Google LLC) — sign-in with Google and visit statistics (Google Analytics); see Google’s Privacy Policy.
OpenStreetMap Foundation (United Kingdom) — map tiles on the site’s maps and place names for the “near me” search (the Nominatim service).
unpkg.com (content delivery network) — the software library that displays maps.

When a map is shown or a place name is looked up, your browser connects directly to the OpenStreetMap and unpkg.com servers, which see your IP address; for the “near me” search OpenStreetMap also receives approximate coordinates. We may also disclose data to the competent authorities when the law requires it.

We do not send users’ personal data, including data received from Google, to artificial intelligence services, and we do not use it to train artificial intelligence or machine-learning models.

7. Transfers outside the European Union

Our servers and database are located in the European Union. Some service providers (Google, Postmark) may also process data in the United States; such transfers are based on the European Commission’s adequacy decision (the EU–U.S. Data Privacy Framework) or on standard contractual clauses adopted by the European Commission. The United Kingdom (OpenStreetMap Foundation) is covered by a European Commission adequacy decision.

8. How long we keep data

Account and its data (including Google user data, favourites and newsletter preferences) — while the account exists; on your request we delete them without undue delay and at the latest within 30 days.
Unconfirmed registration — the confirmation code and the form data are deleted automatically after 15 minutes.
Event submissions — as long as needed to process the submission and to keep a record of where published content came from; photos of rejected submissions are deleted as soon as the submission is rejected.
Abuse prevention (event-submission counters tied to an IP address) — at most 24 hours.
Technical logs — generally up to 14 days.
Google Analytics — according to that service’s retention settings, at most 14 months.
Communication — as long as needed to resolve your enquiry.

We make database backups solely to recover from data loss; data of a deleted account may remain in them for a limited time and is not used for any other purpose.

9. How we protect data

all traffic between your browser and the site is encrypted (HTTPS/TLS);
passwords are stored only as cryptographic hashes, and Google access tokens are not stored;
sign-in cookies are encrypted and not accessible to scripts on the page;
the database is not reachable from the internet, and only authorised persons with their own credentials can access the servers and the site administration;
data is stored in data centres in the European Union.

In the event of a personal data breach we will notify the supervisory authority and, where required, you, in accordance with the GDPR.

10. Your rights

Under the GDPR you have the right:

to access your data and receive a copy of it,
to rectify inaccurate data (you can also change your name and newsletter preferences yourself in your profile),
to erasure (“right to be forgotten”),
to restriction of processing,
to data portability,
to object to processing based on legitimate interest (including occasional emails),
to withdraw your consent at any time.

Send your requests to info@nayave.com. We will respond without undue delay and at the latest within one month; to protect your data we may ask you to confirm that the request comes from your account’s email address. If you believe the processing of your data is unlawful, you can lodge a complaint with the Croatian Personal Data Protection Agency (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr.

11. Children

Accounts may be opened by persons aged 16 or over. We do not knowingly collect personal data of children under 16; if we learn that such an account was opened without the consent of a parent or guardian, we will delete it.

12. Changes to this Privacy Policy

We may change this Privacy Policy from time to time, for example when we introduce a new feature or change how we process data. Changes are published on this page with a new “last updated” date at the top. We will notify registered users by email of material changes — in particular any change in how we use Google user data — before they take effect.

13. Contact

Istral, informatički obrt, Labin, Croatia — info@nayave.com. Other contact options are listed on the Kontakt page.

Pravila privatnosti (hrvatski)

Ova Pravila privatnosti objašnjavaju kako Nayave, internetska stranica nayave.com (dalje: „Stranica”), prikuplja, koristi, dijeli i štiti osobne podatke, uključujući podatke koje dobivamo od Googlea kad se prijavite Google računom. Osobne podatke obrađujemo u skladu s Općom uredbom o zaštiti podataka (Uredba (EU) 2016/679, dalje: „GDPR”) i Zakonom o provedbi Opće uredbe o zaštiti podataka, i to samo u opsegu potrebnom za pružanje usluge.

1. Voditelj obrade

Stranicu vodi Istral, informatički obrt, Labin, Hrvatska (dalje: „mi”), koji je voditelj obrade vaših osobnih podataka. Za sva pitanja o zaštiti osobnih podataka i za ostvarivanje svojih prava pišite nam na info@nayave.com.

2. Koje podatke prikupljamo

Stranicu možete pregledavati bez registracije. Ovisno o tome koje značajke koristite, obrađujemo sljedeće podatke:

Korisnički račun: e-adresa, lozinka (pohranjena isključivo kao kriptografski sažetak, nikad u izvornom obliku), ime i prezime ako ih unesete, datum otvaranja računa i način prijave (lozinka i/ili povezani Google račun).
Prijava Google računom: identifikator Google računa, e-adresa i ime — detaljno u točki 3.
Favoriti: događanja i organizatori koje spremite kao omiljene.
Newsletter: ako se prijavite — odabrani raspored (tjedni newsletter ponedjeljkom i/ili vikend newsletter petkom) te kategorije događanja i mjesta koja vas zanimaju.
Prijava događanja (obrazac „Dodaj događanje”): podaci o događanju koje pošaljete (naziv, opis, organizator, mjesto, termin, cijena, poveznice i fotografije), vaša kontakt e-adresa te IP adresa s koje je prijava poslana.
Organizatori: za organizatore koji objavljuju događanja putem Stranice — podaci o korisničkom računu i organizaciji te sadržaj koji objavljuju (podaci o organizaciji i događanjima javno su vidljivi).
Lokacija: samo kad koristite pretragu „u mojoj blizini” i to dopustite u pregledniku. Približne koordinate koristimo za prikaz obližnjih događanja i ne spremamo ih u vaš račun.
Komunikacija: sadržaj poruka i kontakt podaci kad nam se obratite e-poštom ili drugim kanalima navedenima na stranici Kontakt.
Tehnički podaci: pri svakom posjetu preglednik našem poslužitelju šalje IP adresu, vrstu preglednika i adresu zatražene stranice; u tehničke zapise (logove) bilježimo zatražene stranice i pogreške radi rada i sigurnosti Stranice.
Statistika posjećenosti: podaci o korištenju Stranice prikupljeni putem Google Analyticsa (točka 5).

3. Prijava Google računom

Ako odaberete „Nastavi s Googleom”, prijavu provodi Google i nama, uz vaše dopuštenje na Googleovu zaslonu za prijavu, dostavlja samo osnovne podatke vašeg Google računa (dozvole openid, email i profile). Od tih podataka koristimo:

jedinstveni identifikator vašeg Google računa,
e-adresu i podatak je li ju Google potvrdio,
ime i prezime.

Uz osnovne podatke profila Google može poslati i poveznicu na profilnu fotografiju i postavku jezika — te podatke ne koristimo i ne pohranjujemo. Ne tražimo pristup vašim kontaktima, e-pošti (Gmail), datotekama (Google Drive), kalendaru niti bilo kojim drugim podacima ili uslugama vašeg Google računa.

Kako koristimo podatke dobivene od Googlea:

identifikator Google računa služi isključivo za prijavu — po njemu vas prepoznajemo kad se sljedeći put prijavite Googleom;
e-adresa je korisničko ime vašeg računa: ako već imate račun s istom e-adresom, s njim povezujemo prijavu Googleom (samo ako je Google adresu potvrdio), a ako nemate, otvaramo vam novi račun. Na tu adresu šaljemo poruke vezane uz račun, a newsletter samo ako se na njega prijavite;
ime i prezime prikazujemo u vašem profilu i u zaglavlju Stranice kad ste prijavljeni; možete ih promijeniti u profilu.

Pristupni token koji Google izdaje pri prijavi koristimo samo tijekom prijave, za dohvat navedenih podataka, i ne pohranjujemo ga. Nakon prijave ne pristupamo vašem Google računu i ništa ne objavljujemo u vaše ime.

Dijeljenje: podatke dobivene od Googlea ne prodajemo, ne iznajmljujemo i ne dijelimo s trećim stranama, osim s pružateljima usluga koji za nas obavljaju smještaj podataka (hosting) i slanje e-pošte (točka 6) — i to samo u mjeri potrebnoj za pružanje usluge — ili kad to od nas zahtijeva zakon. Ne koristimo ih za oglašavanje ni za izradu profila za oglašavanje, ne ustupamo ih posrednicima podataka i ne koristimo ih za razvoj, poboljšanje ni treniranje modela umjetne inteligencije ili strojnog učenja.

Pohrana i zaštita: podatke pohranjujemo u svoju bazu podataka na poslužiteljima u Europskoj uniji (Njemačka) i štitimo ih mjerama opisanima u točki 9.

Čuvanje i brisanje: podatke dobivene od Googlea čuvamo dok imate korisnički račun. Google račun možete u svakom trenutku odspojiti u svom profilu (kartica „Povezani računi”) — identifikator Google računa tada odmah brišemo, a e-adresa i ime ostaju podaci vašeg računa dok ga ne obrišete. Ako vam je Google jedini način prijave, prije odspajanja postavite lozinku. Pristup Stranici možete opozvati i u postavkama svog Google računa. Brisanje cijelog računa, zajedno sa svim podacima dobivenima od Googlea, možete zatražiti na info@nayave.com — obrisat ćemo ga bez odgode, a najkasnije u roku od 30 dana.

Korištenje i prijenos podataka primljenih putem Google API-ja na bilo koju drugu aplikaciju pridržavat će se Pravila o korisničkim podacima za usluge Google API-ja (Google API Services User Data Policy), uključujući zahtjeve ograničene upotrebe (Limited Use).

4. Svrhe i pravne osnove obrade

Izvršenje ugovora (čl. 6. st. 1. t. (b) GDPR-a): otvaranje i vođenje korisničkog računa, prijava (uključujući prijavu Google računom), favoriti te poruke nužne za korištenje računa (kod za potvrdu registracije, poveznica za postavljanje nove lozinke).
Privola (čl. 6. st. 1. t. (a) GDPR-a): newsletter i korištenje lokacije za pretragu „u mojoj blizini”. Privolu možete povući u svakom trenutku — newsletter u profilu ili putem poveznice za odjavu u svakom newsletteru, a dopuštenje za lokaciju u postavkama preglednika. Povlačenje privole ne utječe na zakonitost obrade prije povlačenja.
Legitimni interes (čl. 6. st. 1. t. (f) GDPR-a): sigurnost Stranice i zaštita od zlouporabe (tehnički zapisi, ograničenje broja prijava događanja), obrada prijava događanja i odgovaranje na upite, statistika posjećenosti radi poboljšanja Stranice te povremene obavijesti registriranim korisnicima o Stranici (npr. o važnim promjenama usluge).
Zakonska obveza (čl. 6. st. 1. t. (c) GDPR-a): kad nas propisi obvezuju na čuvanje podataka ili njihovu dostavu nadležnim tijelima.

5. Kolačići

Kolačići su male datoteke koje preglednik sprema na vaš uređaj. Koristimo sljedeće:

Kolačić prijave (nayave.web.auth) — tehnički nužan; drži vas prijavljenima. Ako se prijavite Google računom ili pri prijavi odaberete „Zapamti me”, vrijedi 30 dana i produljuje se dok koristite Stranicu; inače se briše zatvaranjem preglednika.
Privremeni kolačići prijave Googleom (nayave.web.external, .AspNetCore.Correlation.*) — tehnički nužni; štite postupak prijave i brišu se najkasnije nakon 15 minuta.
Google Analytics (_ga, _ga_*) — statistika posjećenosti: koliko posjetitelja imamo, koje se stranice čitaju i s kojih uređaja. Kolačići vrijede do 2 godine. Na temelju njih ne prepoznajemo pojedinog korisnika, a Google Analytics ne pohranjuje IP adrese. Možete ih isključiti Googleovim dodatkom za preglednik.

Ne koristimo kolačiće za oglašavanje. Kolačiće možete obrisati ili blokirati u postavkama preglednika, no bez tehnički nužnih kolačića prijava u korisnički račun neće raditi.

6. S kim dijelimo podatke

Osobne podatke ne prodajemo i ne ustupamo nikome u marketinške svrhe. Za rad Stranice koristimo pružatelje usluga (izvršitelje obrade) koji podatke obrađuju samo prema našim uputama i samo koliko je potrebno za njihovu uslugu:

Hetzner Online GmbH (Njemačka) — poslužitelji, baza podataka i pohrana fotografija; svi su podaci smješteni u podatkovnim centrima u Njemačkoj.
Pružatelj usluge e-pošte (poslužitelj u Hrvatskoj) — slanje poruka vezanih uz račun (kod za potvrdu registracije, nova lozinka) i ostale e-pošte.
Postmark (ActiveCampaign, LLC, SAD) — slanje newslettera i drugih skupnih e-poruka.
Google (Google Ireland Limited, odnosno Google LLC) — prijava Google računom i statistika posjećenosti (Google Analytics); više u Googleovim pravilima privatnosti.
OpenStreetMap Foundation (Ujedinjena Kraljevina) — kartografske podloge na kartama Stranice i određivanje naziva mjesta kod pretrage „u mojoj blizini” (usluga Nominatim).
unpkg.com (mreža za isporuku sadržaja) — programska biblioteka za prikaz karata.

Pri prikazu karte i određivanju naziva mjesta vaš se preglednik izravno spaja na poslužitelje OpenStreetMapa i unpkg.com, koji pritom vide vašu IP adresu, a kod pretrage „u mojoj blizini” OpenStreetMap dobiva i približne koordinate. Podatke možemo dostaviti i nadležnim tijelima kad nas na to obvezuje zakon.

Osobne podatke korisnika, uključujući podatke dobivene od Googlea, ne šaljemo uslugama umjetne inteligencije i ne koristimo ih za treniranje modela umjetne inteligencije ili strojnog učenja.

7. Prijenos podataka izvan Europske unije

Naši poslužitelji i baza podataka nalaze se u Europskoj uniji. Pojedini pružatelji usluga (Google, Postmark) podatke mogu obrađivati i u Sjedinjenim Američkim Državama; takav se prijenos temelji na odluci Europske komisije o primjerenosti (Okvir EU-a i SAD-a za privatnost podataka) ili na standardnim ugovornim klauzulama koje je donijela Europska komisija. Za Ujedinjenu Kraljevinu (OpenStreetMap Foundation) vrijedi odluka Europske komisije o primjerenosti.

8. Koliko dugo čuvamo podatke

Korisnički račun i podaci uz njega (uključujući podatke dobivene od Googlea, favorite i postavke newslettera) — dok račun postoji; na vaš zahtjev brišemo ih bez odgode, a najkasnije u roku od 30 dana.
Nepotvrđena registracija — kod za potvrdu i podaci iz obrasca automatski se brišu nakon 15 minuta.
Prijave događanja — dok su potrebne za obradu prijave i evidenciju o podrijetlu objavljenog sadržaja; fotografije odbijenih prijava brišemo odmah pri odbijanju.
Zaštita od zlouporabe (brojači prijava događanja vezani uz IP adresu) — najviše 24 sata.
Tehnički zapisi (logovi) — u pravilu do 14 dana.
Google Analytics — u skladu s postavkama zadržavanja te usluge, najviše 14 mjeseci.
Komunikacija — dok je potrebna za rješavanje upita.

Sigurnosne kopije baze podataka izrađujemo isključivo radi oporavka od gubitka podataka; podaci obrisanog računa u njima mogu ostati ograničeno vrijeme i ne koriste se ni u koju drugu svrhu.

9. Kako štitimo podatke

sav promet između vašeg preglednika i Stranice šifriran je (HTTPS/TLS);
lozinke pohranjujemo isključivo kao kriptografski sažetak, a pristupne tokene Googlea ne pohranjujemo;
kolačići prijave su šifrirani i nedostupni skriptama na stranici;
baza podataka nije dostupna s interneta, a pristup poslužiteljima i administraciji Stranice imaju samo ovlaštene osobe uz vlastite pristupne podatke;
podaci su smješteni u podatkovnim centrima u Europskoj uniji.

U slučaju povrede osobnih podataka obavijestit ćemo nadležno tijelo i, kad je to propisano, vas, u skladu s GDPR-om.

10. Vaša prava

U skladu s GDPR-om imate pravo:

na pristup svojim podacima i dobivanje njihove kopije,
na ispravak netočnih podataka (ime i prezime te postavke newslettera možete i sami promijeniti u profilu),
na brisanje podataka („pravo na zaborav”),
na ograničenje obrade,
na prenosivost podataka,
na prigovor na obradu koja se temelji na legitimnom interesu (uključujući povremene obavijesti e-poštom),
povući privolu u bilo kojem trenutku.

Zahtjeve šaljite na info@nayave.com. Odgovorit ćemo bez odgode, a najkasnije u roku od mjesec dana; radi zaštite vaših podataka možemo zatražiti potvrdu da zahtjev šaljete s e-adrese svog računa. Ako smatrate da obrada vaših podataka nije zakonita, možete podnijeti prigovor Agenciji za zaštitu osobnih podataka (AZOP), Selska cesta 136, 10000 Zagreb, azop.hr.

11. Djeca

Korisnički račun mogu otvoriti osobe koje su navršile 16 godina. Svjesno ne prikupljamo osobne podatke djece mlađe od 16 godina; ako saznamo da je takav račun otvoren bez privole roditelja ili skrbnika, obrisat ćemo ga.

12. Izmjene Pravila privatnosti

Pravila privatnosti možemo povremeno izmijeniti, primjerice kad uvedemo novu značajku ili promijenimo način obrade podataka. Izmjene objavljujemo na ovoj stranici, uz novi datum ažuriranja na vrhu. O bitnim izmjenama — osobito o promjeni načina na koji koristimo podatke dobivene od Googlea — registrirane korisnike obavijestit ćemo e-poštom prije nego što izmjene stupe na snagu.

13. Kontakt

Istral, informatički obrt, Labin, Hrvatska — info@nayave.com. Ostali kontakti nalaze se na stranici Kontakt.