Politika privatnosti

Vrijedi od 11. listopada 2026.

Ova politika objašnjava koje osobne podatke obrađujemo kad koristite SKAFA-u, zašto, koliko dugo ih čuvamo i koja prava imate.

1. Tko smo

Uslugu SKAFA pruža NULTI BIT d.o.o., Japodska ulica 50, 52100 Pula, OIB 35330322812 (u daljnjem tekstu: „mi“).

Za sva pitanja o privatnosti pišite na info@skafa.ai.

2. Dvije uloge koje imamo

SKAFA je platforma na kojoj tvrtke i ustanove (u daljnjem tekstu: „operateri“) prodaju svoje usluge kroz razgovor: na svojoj web stranici, na WhatsAppu ili na Viberu.

Voditelj obrade smo za podatke operatera i njihovih zaposlenika koji koriste administraciju SKAFA-e, te za posjetitelje ove stranice.
Izvršitelj obrade smo za podatke kupaca koji razgovaraju s agentom nekog operatera i kod njega kupuju. Te podatke obrađujemo samo po uputi operatera. Voditelj obrade je operater, i za njih vrijedi njegova politika privatnosti. Poveznicu na nju operater prikazuje u razgovoru.
Voditelj obrade smo i za kupčev račun. Kupac može povezati svoju e-mail adresu i tako na jednom mjestu vidjeti kupnje kod svih operatera na SKAFA-i, i nakon promjene broja telefona. Taj račun nije ni jednog operatera, nego naš.

3. Koje podatke obrađujemo

Korisnici administracije (operateri)

ime i prezime, e-mail adresa, uloga i organizacija kojoj pripadate;
lozinka, i to samo kao kriptografski sažetak — samu lozinku ne čuvamo;
podaci organizacije: naziv, logotip, odabrani paket i rok pretplate;
zapisi o prijavama i važnim radnjama u sustavu: vrijeme, IP adresa i vrsta preglednika.

Kupci operatera (kao izvršitelj obrade)

sadržaj razgovora s agentom;
broj telefona i ime profila, ako razgovarate preko WhatsAppa;
nasumični identifikator spremljen u vašem pregledniku, ako razgovarate preko web stranice operatera;
narudžbe: što je kupljeno, za što (npr. registracija vozila ili ime gosta), iznos, vrijeme i status plaćanja;
podaci za račun na tvrtku, ako ih sami date: naziv, OIB i adresa;
oznaka spremljene kartice kod platnog pristupnika, samo ako ste na to izričito pristali.

Kupci koji otvore račun (kao voditelj obrade)

e-mail adresa, i to samo potvrđena: račun nastaje tek kad kupac otvori poveznicu poslanu na tu adresu;
koji su brojevi telefona i preglednici povezani s računom, i odabrani jezik;
jednokratne poveznice za potvrdu i prijavu, koje vrijede 15 minuta;
kolačić prijave na stranicama računa. Nužan je za prijavu, ne služi za praćenje i traje 30 dana od zadnjeg posjeta.

E-mail adresu koristimo samo za poveznice koje je kupac sam zatražio. Ne šaljemo reklame.

Brojeve platnih kartica ne vidimo i ne čuvamo. Kartica se unosi na stranici platnog pristupnika kojeg je odabrao operater. Novac ide izravno operateru, mi nismo posrednik u plaćanju.

Dokumenti operatera

Operater može učitati dokumente iz kojih agent odgovara na pitanja (cjenici, pravila, upute). Ako dokument sadrži osobne podatke, za njih odgovara operater.

Posjetitelji ove stranice

Ne koristimo kolačiće za praćenje, oglašavanje ni analitiku. Vaš preglednik lokalno pamti odabrani jezik i svijetlu ili tamnu temu. Ti podaci se ne šalju nama.

4. Zašto obrađujemo podatke i na kojoj osnovi

Svrha	Pravna osnova (GDPR)
Pružanje usluge: račun, administracija, razgovori, narudžbe	izvršenje ugovora, čl. 6. st. 1. t. (b)
Izdavanje računa, fiskalizacija, računovodstvo	zakonska obveza, čl. 6. st. 1. t. (c)
Sigurnost, sprječavanje zlouporabe, zapisi o radnjama	legitimni interes, čl. 6. st. 1. t. (f)
Kupčev račun: kupnje kod svih operatera na jednom mjestu	izvršenje ugovora na zahtjev kupca, čl. 6. st. 1. t. (b)
Spremanje kartice za buduća plaćanja	privola, čl. 6. st. 1. t. (a)
Podaci kupaca operatera	uputa operatera kao voditelja obrade, čl. 28.

5. Umjetna inteligencija

Agent odgovara uz pomoć jezičnog modela. Zato se poruke iz razgovora i odlomci iz dokumenata operatera šalju pružatelju modela, da bi on sastavio odgovor.

Zadani pružatelj je Anthropic PBC (SAD). Operater može umjesto njega odabrati vlastitog pružatelja, i tada podaci idu njemu.
Prema uvjetima tog pružatelja, podaci poslani kroz njegovo sučelje za programere ne koriste se za učenje njegovih modela. Ni mi ih ne koristimo za učenje modela.
Pretraživanje dokumenata radi na našim poslužiteljima.
Cijene, iznose i potvrdu plaćanja nikad ne određuje model. Oni dolaze iz cjenika operatera i od platnog pristupnika.

Odgovori modela mogu biti netočni. Za sve što je važno, pitajte operatera.

6. Kome podaci idu

Podatke ne prodajemo i ne koristimo ih za oglašavanje. Dijelimo ih samo s pružateljima koji su nužni za rad usluge:

Primatelj	Zašto	Gdje
Hetzner Online GmbH	poslužitelji na kojima radi SKAFA i na kojima su podaci	Njemačka (EU)
Anthropic PBC, ili pružatelj kojeg je operater odabrao	jezični model koji sastavlja odgovore	SAD
Meta Platforms Ireland Ltd.	WhatsApp, ako operater prodaje preko njega	EU / SAD
Viber Media S.à r.l.	Viber, ako operater prodaje preko njega	Luksemburg (EU)
Twilio Inc. (SendGrid)	slanje e-maila s poveznicom za potvrdu adrese i prijavu u kupčev račun	SAD
Platni pristupnik operatera (npr. WSPay, Monri)	naplata karticom	Hrvatska (EU)
Kasica.hr	izdavanje i fiskalizacija računa	Hrvatska (EU)
Sustavi koje je operater sam povezao	npr. potvrda rezervacije ili izdavanje ulaznice u njegovom sustavu	prema izboru operatera

Kad podaci idu izvan Europskog gospodarskog prostora, to se radi uz zaštitu koju propisuje GDPR, npr. standardne ugovorne klauzule Europske komisije.

7. Koliko dugo čuvamo podatke

Razgovori: godinu dana od zadnje poruke, zatim se brišu.
Kupčev račun: dok ga kupac ne obriše. Račun s kojim više nije povezan ni jedan broj ni preglednik briše se nakon 30 dana. Iskorištene i istekle poveznice za prijavu brišu se nakon 30 dana.
Pristigle poruke s WhatsAppa i Vibera u izvornom obliku: 30 dana nakon odgovora.
Obavijesti u administraciji: 90 dana nakon što su pročitane.
Neprihvaćene pozivnice: 30 dana nakon isteka.
Narudžbe, plaćanja i računi: onoliko koliko propisuju porezni i računovodstveni propisi.
Korisnički račun: dok traje. Nakon brisanja ime i e-mail se uklanjaju, a ostaje samo anonimni zapis.
Dokumenti operatera: dok ih operater ne obriše ili dok traje ugovor.

8. Kako štitimo podatke

sva komunikacija ide šifrirano (HTTPS);
pristupni podaci prema vanjskim sustavima čuvaju se šifrirani;
podaci svake organizacije odvojeni su od podataka drugih;
lozinke se čuvaju samo kao kriptografski sažetak.

9. Vaša prava

Imate pravo na pristup svojim podacima, ispravak, brisanje, ograničenje obrade, prenosivost i prigovor. Privolu za spremljenu karticu možete povući u svakom trenutku.

Ako ste kupac operatera: zatražite od agenta u razgovoru pregled ili brisanje svojih podataka. Dobit ćete poveznicu na stranicu na kojoj to možete sami napraviti. Brisanje uklanja vaše podatke i razgovor. Narudžbe i računi ostaju sačuvani, jer ih zakon traži, ali bez vašeg imena i broja. Za ostalo se obratite operateru, jer je on voditelj obrade.
Ako imate kupčev račun: na stranicama računa vidite svoje podatke, možete odvojiti broj ili preglednik i obrisati cijeli račun. Brisanje računa briše i podatke svih povezanih identiteta, uz istu iznimku za narudžbe i račune.
Ako ste korisnik administracije: svoje podatke mijenjate u postavkama računa ili nam pišete na info@skafa.ai.

Odgovaramo u roku od 30 dana. Ako mislite da su vaša prava povrijeđena, možete podnijeti pritužbu Agenciji za zaštitu osobnih podataka (azop.hr).

10. Izmjene

Ovu politiku možemo mijenjati kad se promijeni usluga ili propis. Datum na vrhu pokazuje zadnju izmjenu. O važnim izmjenama operatere obavještavamo unaprijed.

Privacy policy

Effective from 11 October 2026.

This policy explains which personal data we process when you use SKAFA, why, how long we keep it and what rights you have.

1. Who we are

SKAFA is provided by NULTI BIT d.o.o., Japodska ulica 50, 52100 Pula, Croatia, OIB 35330322812 (“we”).

For any privacy question, write to info@skafa.ai.

2. Our two roles

SKAFA is a platform on which businesses and institutions (“operators”) sell their services through a conversation: on their own website, on WhatsApp or on Viber.

We are the controller for the data of operators and their staff who use the SKAFA administration, and for visitors to this website.
We are a processor for the data of customers who talk to an operator’s agent and buy from them. We process that data only on the operator’s instructions. The operator is the controller, and their privacy policy applies to it. The operator shows a link to it in the conversation.
We are also the controller for a customer account. A customer can link their e-mail address and see their purchases from every operator on SKAFA in one place, even after changing their phone number. That account belongs to no single operator; it is ours.

3. What data we process

Administration users (operators)

name, e-mail address, role and the organization you belong to;
your password, only as a cryptographic hash — we never store the password itself;
organization details: name, logo, chosen plan and subscription expiry;
records of sign-ins and significant actions: time, IP address and browser type.

Operators’ customers (as a processor)

the content of the conversation with the agent;
phone number and profile name, if you write on WhatsApp;
a random identifier stored in your browser, if you write on the operator’s website;
orders: what was bought, what for (e.g. a vehicle registration or a guest’s name), the amount, the time and the payment status;
company invoice details, if you give them: company name, tax number and address;
a reference to a card saved with the payment gateway, only if you explicitly agreed to it.

Customers who open an account (as a controller)

an e-mail address, and only a confirmed one: the account exists only once the customer opens the link sent to that address;
which phone numbers and browsers are linked to the account, and the chosen language;
one-time links for confirmation and sign-in, valid for 15 minutes;
a sign-in cookie on the account pages. It is needed to stay signed in, is not used for tracking and lasts 30 days from the last visit.

We use the e-mail address only for links the customer asked for themselves. We send no marketing.

We never see or store card numbers. The card is entered on the page of the payment gateway the operator chose. Money goes directly to the operator; we are not a payment intermediary.

Operators’ documents

An operator can upload documents the agent answers from (price lists, rules, instructions). If a document contains personal data, the operator is responsible for it.

Visitors to this website

We use no tracking, advertising or analytics cookies. Your browser locally remembers the language and the light or dark theme you chose. That is never sent to us.

4. Why we process data, and on what basis

Purpose	Legal basis (GDPR)
Providing the service: account, administration, conversations, orders	performance of a contract, Art. 6(1)(b)
Invoicing, fiscalization, accounting	legal obligation, Art. 6(1)(c)
Security, preventing abuse, activity records	legitimate interest, Art. 6(1)(f)
Customer account: purchases from every operator in one place	performance of a contract at the customer’s request, Art. 6(1)(b)
Saving a card for future payments	consent, Art. 6(1)(a)
Operators’ customers’ data	the operator’s instructions as controller, Art. 28

5. Artificial intelligence

The agent answers with the help of a language model. Messages from the conversation and passages from the operator’s documents are therefore sent to the model provider so that it can write the reply.

The default provider is Anthropic PBC (USA). An operator may choose their own provider instead, and the data then goes to that provider.
Under that provider’s terms, data sent through its developer API is not used to train its models. We do not use it to train models either.
Document search runs on our own servers.
Prices, amounts and payment confirmation are never decided by the model. They come from the operator’s price list and from the payment gateway.

The model’s answers can be wrong. For anything important, ask the operator.

6. Who receives the data

We do not sell data or use it for advertising. We share it only with providers the service needs in order to work:

Recipient	Why	Where
Hetzner Online GmbH	the servers SKAFA runs on and the data is stored on	Germany (EU)
Anthropic PBC, or the provider the operator chose	the language model that writes the replies	USA
Meta Platforms Ireland Ltd.	WhatsApp, if the operator sells through it	EU / USA
Viber Media S.à r.l.	Viber, if the operator sells through it	Luxembourg (EU)
Twilio Inc. (SendGrid)	sending the e-mail with the link to confirm an address and sign in to a customer account	USA
The operator’s payment gateway (e.g. WSPay, Monri)	card payment	Croatia (EU)
Kasica.hr	issuing and fiscalizing receipts	Croatia (EU)
Systems the operator connected themselves	e.g. confirming a booking or issuing a ticket in their system	as the operator chose

Where data leaves the European Economic Area, this is done with the safeguards the GDPR requires, such as the European Commission’s standard contractual clauses.

7. How long we keep data

Conversations: one year from the last message, then deleted.
Customer accounts: until the customer deletes them. An account with no phone number or browser still linked to it is deleted after 30 days. Used and expired sign-in links are deleted after 30 days.
Incoming WhatsApp and Viber messages in their original form: 30 days after they were answered.
Notifications in the administration: 90 days after they were read.
Unaccepted invitations: 30 days after they expire.
Orders, payments and receipts: as long as tax and accounting law requires.
User accounts: while the account exists. After deletion the name and e-mail are removed and only an anonymous record remains.
Operators’ documents: until the operator deletes them or the contract ends.

8. How we protect data

all traffic is encrypted (HTTPS);
credentials for external systems are stored encrypted;
each organization’s data is kept separate from every other’s;
passwords are stored only as a cryptographic hash.

9. Your rights

You have the right to access your data, to rectification, erasure, restriction of processing, portability and to object. You can withdraw consent to a saved card at any time.

If you are an operator’s customer: ask the agent in the conversation to see or delete your data. You will get a link to a page where you can do it yourself. Deletion removes your details and the conversation. Orders and receipts are kept, because the law requires it, but without your name and number. For anything else, contact the operator, as they are the controller.
If you have a customer account: the account pages show your details, and let you unlink a number or a browser and delete the whole account. Deleting the account also erases the details of every linked identity, with the same exception for orders and receipts.
If you are an administration user: change your details in your account settings or write to info@skafa.ai.

We answer within 30 days. If you believe your rights have been infringed, you can lodge a complaint with the Croatian Personal Data Protection Agency (azop.hr).

10. Changes

We may change this policy when the service or the law changes. The date at the top shows the latest change. We notify operators of significant changes in advance.