Pravni dokument

Pravila privatnosti

Posljednja izmjena: 6. listopada 2026.

Ukratko

Prikupljamo samo ono što aplikaciji treba: podatke tvog profila, račune koje skeniraš, kartice vjernosti, popis za kupnju i lokaciju kad je sam uključiš.
Podatke koristimo da ti pokažemo cijene u blizini, provjerimo jesi li dobio objavljenu akciju i izračunamo tvoju potrošnju. Analitiku uključujemo samo uz tvoju privolu.
Ne prodajemo podatke i nemamo oglase. Proizvođači i trgovci od nas dobivaju samo anonimne, agregirane brojke, nikad tebe.
Podaci su na poslužiteljima u EU. Tekst računa obrađuje jezični model u SAD-u, bez ikakvog podatka o tome tko si.
U svakom trenutku možeš tražiti kopiju, ispravak ili brisanje podataka. Profil brišeš sam, u aplikaciji.
Za sve o privatnosti: privacy@tutto.hr.

1Tko smo mi?

Voditelj obrade tvojih podataka je Tutto Tech d.o.o., Slavonska avenija 1C, 10000 Zagreb, OIB 47461489980, MBS 081726161 (Trgovački sud u Zagrebu), direktor Filip Dragoslavić. Imamo službenika za zaštitu podataka; njemu i nama pišeš na privacy@tutto.hr ili poštom na gornju adresu s naznakom „zaštita podataka“.

2Na što se ova pravila odnose?

Na mobilnu aplikaciju tutto (Aplikacija) i stranicu tutto.hr (Stranica). Da ne bude zabune: Račun u ovim pravilima znači fiskalni račun iz trgovine koji skeniraš, a Profil tvoj korisnički račun u Aplikaciji. Aplikacija je namijenjena osobama s navršenih 18 godina; datum rođenja koji uneseš služi za provjeru te granice. Ako saznamo da je Profil otvorila mlađa osoba, brišemo ga.

3Koje podatke prikupljate o meni?

Odakle	Što
Daješ nam ih sam	Identifikator i e-pošta tvog Google ili Apple računa (kod Applea može biti skrivena relay adresa), korisničko ime, datum rođenja, spol (možeš odabrati „ne želim reći“), kućna lokacija kao grad ili točka s radijusom (možeš preskočiti), pozivni kod (neobavezno). Računi koje skeniraš, kartice vjernosti koje dodaš (trgovac, vrsta koda, broj kartice, naziv), stavke na popisu za kupnju. Poruke koje pošalješ podršci.
Aplikacija ih bilježi dok je koristiš	Trenutna lokacija, samo dok Aplikaciju koristiš i samo kad je sam pokreneš. Tehnički podaci: model i sustav uređaja, verzija Aplikacije, jezik, identifikator instalacije, push token. Uz tvoju privolu: događaji u Aplikaciji (npr. „račun skeniran“) pod pseudonimnim ID-jem, bez slobodnog teksta. Izvješća o greškama bez sadržaja računa.
Izvodimo ih iz računa	Tvoja potrošnja i ušteda po razdoblju, kategoriji i trgovcu; prijedlozi „često kupuješ“ na popisu.
Samo ako povežeš banku	Vidi dolje.

Što čitamo s računa. Tekst s fotografije čitamo na tvom uređaju. Pročitani tekst šaljemo na naš poslužitelj, gdje ga pretvaramo u strukturirani račun: trgovina i adresa, datum i vrijeme, ukupan iznos, stavke s količinom i cijenom, fiskalni identifikatori (JIR, ZKI, broj računa) radi sprječavanja dvostrukog unosa i zadnje četiri znamenke platne kartice ako su na računu, isključivo za uparivanje s bankovnom transakcijom. Fotografiju ili PDF čuvamo na poslužitelju 7 dana, samo za ispravljanje pogrešaka u čitanju, i zatim brišemo. Datoteku koja nije račun odbacujemo.

Osjetljive stavke. Na računu se može naći nešto što govori o zdravlju, vjeri ili prehrani (lijekovi, testovi, košer ili halal proizvodi). Takve stavke ne pohranjujemo pojedinačno: ostaje samo iznos i glavna kategorija, bez naziva. Ne ulaze u analitiku i ne šalju se nikome.

Lokacija. Nema praćenja u pozadini. Za sortiranje kartica vjernosti lokacija ne napušta telefon. Za najbliže i najjeftinije trgovine koordinate šaljemo poslužitelju samo uz taj upit i ne spremamo ih. Pretraga adresa ide preko Google Places API-ja bez veze s tvojim Profilom. Bez dozvole za lokaciju sve radi, samo upišeš grad.

Bankovna veza. Ako je sam uključiš, uslugu informiranja o računu pruža IDENTITY CONSORTIUM d.o.o. (Identyum), Varaždin, OIB 44867795324, s odobrenjem HNB-a. Identyumu daješ zasebnu privolu pod njegovim uvjetima, koje dobivaš i u PDF-u na e-poštu. Pristup je samo za čitanje: nitko ne vidi tvoje lozinke i nitko ne može plaćati. Od Identyuma primamo IBAN, valutu i popis kartičnih transakcija (datum, iznos, primatelj, opis, maskirani broj kartice, kategorija trgovca) do 12 mjeseci unatrag i dalje dok veza traje. Ako tvoja banka traži OIB, unosiš ga Identyumu; mi ga ne spremamo. Identyum podatke briše nakon 30 dana. Vezu gasiš u Profilu kad hoćeš.

Što ne prikupljamo. Kontakte, galeriju (koristimo sustavski odabir jedne fotografije), lokaciju u pozadini, podatke o drugim aplikacijama, biometriju. U Aplikaciji nema oglašivačkih SDK-ova.

4Zašto i na kojoj osnovi koristite moje podatke?

Zašto	Pravna osnova (čl. 6. GDPR-a)
Da Aplikacija radi: Profil, skeniranje i prikaz računa, provjera akcija, potrošnja, popis, kartice, cijene u tvom području, push obavijesti o obradi računa	Ugovor s tobom
Da ti pokažemo trgovine u blizini i poredamo kartice	Privola kroz dozvolu uređaja; povlačiš je u postavkama telefona
Da provjerimo dobnu granicu	Legitimni interes i pravna obveza
Da spriječimo dvostruki unos istog računa i zlouporabu	Legitimni interes: poštena usluga
Bankovna veza i potvrda računa	Ugovor s tobom, uz zasebnu privolu Identyumu
Analitika korištenja (uključujući spol, godinu rođenja i grad kao obilježja)	Privola; povlačiš je u Profil → Privatnost
Ispravljanje grešaka i sigurnost sustava	Legitimni interes
Anonimni, agregirani uvidi za proizvođače i trgovce	Legitimni interes za anonimizaciju; anonimni podaci više nisu osobni
Zakonske obveze (računovodstvo, zahtjevi tijela)	Pravna obveza

Kako tutto zarađuje. Aplikacija je besplatna i bez oglasa. Prihod dolazi od proizvođača i trgovaca kojima prodajemo uvide u tržište, primjerice koliki udio kupaca u nekoj regiji kupuje određenu kategoriju. Oni nikad ne dobivaju tvoje ime, e-poštu, ID, račune ni povijest kupnji, ni pod pseudonimom; brojke prikazujemo samo za skupine od najmanje 50 korisnika.

5Donosite li automatizirane odluke o meni?

Ne. Veliki jezični model (LLM) koristimo samo da tekst računa pretvori u stavke i svrsta ih u kategorije; šaljemo mu tekst bez tvog identiteta i bez podataka koji mu za to ne trebaju. Rezultat je prikaz tvog računa, ništa više. Ne profiliramo te za oglase i ne rangiramo te kao osobu. Aplikacija nema chat s umjetnom inteligencijom; ako ga uvedemo, jasno ćemo označiti da razgovaraš s AI sustavom i prije toga ažurirati ova pravila.

6Koristite li moje podatke za marketing i analitiku?

Marketinške poruke ne šaljemo; ako ih uvedemo, pitat ćemo te za privolu. Personalizacija postoji samo prema tvojoj lokaciji i tvojim vlastitim računima (npr. „često kupuješ“). Ponude i cashback proizvođača uvest ćemo uz zasebnu privolu.

Za razumijevanje kako se Aplikacija koristi imamo PostHog. Uključuje se tek kad u onboardingu daš privolu; bez nje se ne pokreće, a Aplikacija radi jednako. U njemu si pseudonimni ID bez e-pošte i imena, događaji nemaju slobodni tekst ni sadržaj računa, a ekran ne snimamo.

7S kim dijelite moje podatke?

Pružatelji koji rade za nas, uz ugovor o obradi:

Tko	Za što	Gdje
Google Cloud (Google Ireland Ltd.)	Poslužitelji, baza, pohrana, sigurnosne kopije	Belgija (europe-west1)
OpenRouter, Inc. i Anthropic PBC (model Claude)	Čitanje teksta računa, uparivanje i kategorizacija stavki; bez zadržavanja podataka i bez treniranja modela	SAD
Sentry (Functional Software, Inc.)	Izvješća o greškama	Njemačka
PostHog, Inc.	Analitika uz privolu	EU
Google (Firebase) i Apple (APNs)	Push obavijesti, generičan tekst	Globalno
Google (Places API)	Pretraga adresa	Globalno
Cloudflare, Inc.	Zaštita i posluživanje Stranice	Globalno
Google Workspace	E-pošta i podrška	EU

Samostalni voditelji s vlastitim pravilima: Google i Apple za prijavu, Identyum i tvoja banka za bankovnu vezu, App Store i Google Play za instalaciju.

Ostali: nadležna tijela kad to propis traži; naši pravni i računovodstveni savjetnici pod obvezom povjerljivosti; proizvođači i trgovci isključivo u anonimnom, agregiranom obliku iz odjeljka 4. Podatke ne prodajemo i ne dajemo nikome za njegov marketing.

8Idu li moji podaci izvan EU-a?

Gotovo sve se obrađuje u EU. U SAD odlazi tekst računa bez tvog identiteta (OpenRouter, Anthropic), tehnički podaci posjeta Stranici (Cloudflare) te push token i identifikator prijave (Google, Apple). Prijenos se temelji na Okviru za privatnost podataka EU–SAD kod certificiranih pružatelja, a inače na standardnim ugovornim klauzulama Europske komisije. Kopiju zaštitnih mjera možeš tražiti na privacy@tutto.hr.

9Koliko dugo čuvate moje podatke?

Što	Koliko
Profil, potrošnja, kartice, popis	Dok imaš Profil; nakon brisanja odmah iz baze, iz sigurnosnih kopija u 30 dana
Računi i stavke	Dok imaš Profil; nakon brisanja Profila trajno ih odvajamo od tebe i uklanjamo podatke po kojima bi se mogli povezati s tobom (fiskalni identifikatori, broj računa, znamenke kartice). Tako anonimizirani ostaju u sustavu jer o njima ovise drugi dijelovi usluge.
Fotografije i PDF-ovi računa	7 dana
Tekst pročitan s računa i dijagnostika uparivanja	30 dana povezani s Profilom, zatim ih odvajamo od Profila i uklanjamo identifikatore; anonimizirani ostaju
Koordinate uz upit	Ne spremamo
Bankovne transakcije	Dok je veza aktivna; nakon gašenja veze 12 mjeseci radi sporova, zatim ostaje samo oznaka „potvrđen“
Analitika	Događaji 12 mjeseci; profil do povlačenja privole
Izvješća o greškama i logovi	90 odnosno 30 dana
Poruke podrške	12 mjeseci nakon rješavanja
Neaktivni Profil	Nakon 24 mjeseca bez prijave šaljemo obavijest; 30 dana kasnije brišemo

10Kako štitite moje podatke?

Prijava samo preko Googlea ili Applea uz provjeru na našem poslužitelju; HTTPS za sav promet; brojevi kartica vjernosti šifrirani na uređaju i obrisani pri odjavi; čitanje računa na uređaju; šifriranje podataka na Google Cloudu; ključevi samo na poslužitelju; obvezna dvofaktorska provjera za naše interne račune; pristup produkciji ograničen na nekoliko inženjera uz bilježenje svakog pristupa; dnevne sigurnosne kopije u istoj regiji. Ako se unatoč tome dogodi povreda podataka koja te može ugroziti, obavijestit ćemo tebe i AZOP u zakonskom roku.

11Koja su moja prava i kako ih ostvarujem?

Pravo	Što to znači
Pristup	Saznati što imamo o tebi i dobiti kopiju
Ispravak	Korisničko ime, profil i lokaciju mijenjaš sam; ostalo na zahtjev
Brisanje	Profil → Obriši profil, ili zahtjev na privacy@tutto.hr i ako više nemaš Aplikaciju; brišemo Profil i podatke o tebi, i kod naših pružatelja; Račune anonimiziramo kako je opisano u odjeljku 9
Prenosivost	Tvoje podatke u JSON obliku šaljemo na zahtjev
Ograničenje i prigovor	Dok rješavamo tvoj zahtjev, odnosno protiv obrade na temelju legitimnog interesa
Povlačenje privole	Lokacija i obavijesti u postavkama telefona, analitika u Profilu, banka u Profilu; obrada do tada ostaje zakonita

Zahtjev pošalji na privacy@tutto.hr s adrese povezane s Profilom ili iz Aplikacije; inače ćemo zatražiti provjeru identiteta. Odgovaramo najkasnije u mjesec dana, besplatno. Ako misliš da kršimo propise, možeš se žaliti Agenciji za zaštitu osobnih podataka, Selska cesta 136, Zagreb, azop@azop.hr, ali rado bismo prvo pokušali riješiti stvar s tobom.

12Koristi li tutto.hr kolačiće?

Ne. Stranica ne postavlja kolačiće i nema analitiku; jedino pamti odabrani jezik u lokalnoj pohrani tvog preglednika. Poslužuje se preko Cloudflarea, koji radi zaštite od napada obrađuje IP adresu i tehničke podatke zahtjeva. Ako ikad dodamo analitiku ili kolačiće, prvo ćemo te pitati.

13Kako ćete me obavijestiti o promjenama?

Bitne izmjene najavljujemo u Aplikaciji ili e-poštom najmanje 15 dana prije nego što stupe na snagu. Nove funkcionalnosti koje znače novu obradu (banka, ponude) uključujemo tek kad ažurirana pravila stupe na snagu. Prethodne verzije šaljemo na zahtjev.

Legal document

Privacy Policy

Last updated: 6 October 2026

In short

We collect only what the App needs: your profile details, the receipts you scan, your loyalty cards, your shopping list and your location when you turn it on yourself.
We use the data to show you prices nearby, check whether you got the advertised promotion and calculate your spending. Analytics is switched on only with your consent.
We do not sell data and we have no ads. Manufacturers and retailers only get anonymous, aggregated figures from us, never you.
Data is stored on servers in the EU. Receipt text is processed by a language model in the US, without any information about who you are.
At any time you can ask for a copy, a correction or deletion of your data. You delete your Profile yourself, in the App.
For anything about privacy: privacy@tutto.hr.

1Who are we?

The controller of your data is Tutto Tech d.o.o., Slavonska avenija 1C, 10000 Zagreb, OIB 47461489980, MBS 081726161 (Commercial Court in Zagreb), director Filip Dragoslavić. We have a data protection officer; you can write to them and to us at privacy@tutto.hr or by post to the address above, marked "data protection".

2What does this policy cover?

The tutto mobile app (App) and the tutto.hr website (Site). To avoid confusion: in this policy, Receipt means a fiscal receipt from a store that you scan, and Profile means your user account in the App. The App is intended for people aged 18 or over; the date of birth you enter is used to check that limit. If we learn that a Profile was opened by someone younger, we delete it.

3What data do you collect about me?

Source	What
You give it to us	The identifier and email of your Google or Apple account (with Apple this may be a hidden relay address), username, date of birth, gender (you can choose "prefer not to say"), home location as a city or a point with a radius (you can skip this), invite code (optional). Receipts you scan, loyalty cards you add (retailer, code type, card number, name), items on your shopping list. Messages you send to support.
The App records it while you use it	Current location, only while you use the App and only when you start it yourself. Technical data: device model and operating system, App version, language, installation identifier, push token. With your consent: in-app events (e.g. "receipt scanned") under a pseudonymous ID, with no free text. Error reports without Receipt content.
We derive it from Receipts	Your spending and savings by period, category and retailer; "you often buy" suggestions on your list.
Only if you connect a bank	See below.

What we read from Receipts. The text in the photo is read on your device. We send the recognised text to our server, where we turn it into a structured Receipt: store and address, date and time, total amount, items with quantity and price, fiscal identifiers (JIR, ZKI, receipt number) to prevent duplicate entries, and the last four digits of the payment card if they appear on the Receipt, solely for matching with a bank transaction. We keep the photo or PDF on the server for 7 days, only to correct reading errors, and then delete it. A file that is not a Receipt is discarded.

Sensitive items. A Receipt may contain something that reveals your health, religion or diet (medicines, tests, kosher or halal products). We do not store such items individually: only the amount and the main category remain, without the name. They are not included in analytics and are not sent to anyone.

Location. There is no background tracking. To sort loyalty cards, your location does not leave the phone. For the nearest and cheapest stores, we send coordinates to the server only with that request and do not store them. Address search goes through the Google Places API with no link to your Profile. Without location permission everything works; you just enter your city.

Bank connection. If you turn it on yourself, the account information service is provided by IDENTITY CONSORTIUM d.o.o. (Identyum), Varaždin, OIB 44867795324, authorised by the Croatian National Bank. You give Identyum separate consent under its own terms, which you also receive as a PDF by email. Access is read-only: nobody sees your passwords and nobody can make payments. From Identyum we receive the IBAN, currency and a list of card transactions (date, amount, payee, description, masked card number, merchant category) up to 12 months back and onward while the connection is active. If your bank asks for your OIB, you enter it with Identyum; we do not store it. Identyum deletes the data after 30 days. You can switch the connection off in your Profile whenever you like.

What we do not collect. Contacts, your gallery (we use the system picker for a single photo), background location, data about other apps, biometrics. There are no advertising SDKs in the App.

4Why and on what basis do you use my data?

Why	Legal basis (Art. 6 GDPR)
To make the App work: Profile, scanning and displaying Receipts, promotion checks, spending, list, cards, prices in your area, push notifications about Receipt processing	Contract with you
To show you nearby stores and sort your cards	Consent through device permission; you withdraw it in your phone settings
To check the age limit	Legitimate interest and legal obligation
To prevent duplicate entry of the same Receipt and abuse	Legitimate interest: a fair service
Bank connection and Receipt confirmation	Contract with you, with separate consent to Identyum
Usage analytics (including gender, year of birth and city as attributes)	Consent; you withdraw it in Profile → Privacy
Fixing errors and system security	Legitimate interest
Anonymous, aggregated insights for manufacturers and retailers	Legitimate interest in anonymisation; anonymous data is no longer personal data
Legal obligations (accounting, requests from authorities)	Legal obligation

How tutto makes money. The App is free and has no ads. Revenue comes from manufacturers and retailers to whom we sell market insights, for example what share of shoppers in a region buy a certain category. They never receive your name, email, ID, Receipts or purchase history, not even under a pseudonym; we show figures only for groups of at least 50 users.

5Do you make automated decisions about me?

No. We use a large language model (LLM) only to turn Receipt text into items and sort them into categories; we send it the text without your identity and without data it does not need for that. The result is a view of your Receipt, nothing more. We do not profile you for ads and do not rank you as a person. The App has no AI chat; if we introduce one, we will clearly indicate that you are talking to an AI system and update this policy beforehand.

6Do you use my data for marketing and analytics?

We do not send marketing messages; if we introduce them, we will ask for your consent. Personalisation is based only on your location and your own Receipts (e.g. "you often buy"). Manufacturer offers and cashback will be introduced with separate consent.

To understand how the App is used we have PostHog. It is switched on only once you give consent during onboarding; without consent it does not run, and the App works just the same. In it you are a pseudonymous ID without email or name, events contain no free text or Receipt content, and we do not record the screen.

7Who do you share my data with?

Providers working for us, under a data processing agreement:

Who	For what	Where
Google Cloud (Google Ireland Ltd.)	Servers, database, storage, backups	Belgium (europe-west1)
OpenRouter, Inc. and Anthropic PBC (Claude model)	Reading Receipt text, matching and categorising items; no data retention and no model training	USA
Sentry (Functional Software, Inc.)	Error reports	Germany
PostHog, Inc.	Analytics with consent	EU
Google (Firebase) and Apple (APNs)	Push notifications, generic text	Global
Google (Places API)	Address search	Global
Cloudflare, Inc.	Protecting and serving the Site	Global
Google Workspace	Email and support	EU

Independent controllers with their own policies: Google and Apple for sign-in, Identyum and your bank for the bank connection, the App Store and Google Play for installation.

Others: competent authorities when the law requires it; our legal and accounting advisers under a duty of confidentiality; manufacturers and retailers only in the anonymous, aggregated form described in section 4. We do not sell data and do not give it to anyone for their own marketing.

8Does my data leave the EU?

Almost everything is processed in the EU. What goes to the US is Receipt text without your identity (OpenRouter, Anthropic), technical data from visits to the Site (Cloudflare), and the push token and sign-in identifier (Google, Apple). The transfer relies on the EU–US Data Privacy Framework for certified providers, and otherwise on the European Commission's standard contractual clauses. You can request a copy of the safeguards at privacy@tutto.hr.

9How long do you keep my data?

What	How long
Profile, spending, cards, list	As long as you have a Profile; after deletion, immediately from the database and within 30 days from backups
Receipts and items	As long as you have a Profile; after the Profile is deleted we permanently separate them from you and remove the data that could link them to you (fiscal identifiers, receipt number, card digits). Anonymised in this way, they remain in the system because other parts of the service depend on them.
Receipt photos and PDFs	7 days
Text read from Receipts and matching diagnostics	30 days linked to the Profile, then separated from the Profile with identifiers removed; the anonymised version remains
Coordinates sent with a request	Not stored
Bank transactions	While the connection is active; after it is switched off, 12 months for disputes, after which only a "confirmed" flag remains
Analytics	Events 12 months; profile until consent is withdrawn
Error reports and logs	90 and 30 days respectively
Support messages	12 months after resolution
Inactive Profile	After 24 months without sign-in we send a notice; 30 days later we delete it

10How do you protect my data?

Sign-in only through Google or Apple, verified on our server; HTTPS for all traffic; loyalty card numbers encrypted on the device and deleted on sign-out; Receipt reading on the device; encryption of data on Google Cloud; keys only on the server; mandatory two-factor authentication for our internal accounts; production access limited to a few engineers, with every access logged; daily backups in the same region. If, despite this, a data breach occurs that could put you at risk, we will notify you and AZOP within the legal deadline.

11What are my rights and how do I exercise them?

Right	What it means
Access	Find out what we hold about you and get a copy
Rectification	You change your username, profile and location yourself; anything else on request
Erasure	Profile → Delete profile, or a request to privacy@tutto.hr, also if you no longer have the App; we delete your Profile and your data, including at our providers; Receipts are anonymised as described in section 9
Portability	We send your data in JSON format on request
Restriction and objection	While we handle your request, or against processing based on legitimate interest
Withdrawing consent	Location and notifications in your phone settings, analytics in your Profile, bank in your Profile; processing up to that point remains lawful

Send your request to privacy@tutto.hr from the address linked to your Profile or from the App; otherwise we will ask you to verify your identity. We reply within one month at the latest, free of charge. If you think we are breaking the rules, you can complain to the Croatian Personal Data Protection Agency (AZOP), Selska cesta 136, Zagreb, azop@azop.hr, but we would gladly try to resolve it with you first.

12Does tutto.hr use cookies?

No. The Site sets no cookies and has no analytics; it only remembers the language you chose in your browser's local storage. It is served through Cloudflare, which processes your IP address and technical request data to protect against attacks. If we ever add analytics or cookies, we will ask you first.

13How will you notify me of changes?

We announce material changes in the App or by email at least 15 days before they take effect. New features that involve new processing (bank, offers) are switched on only once the updated policy has taken effect. Previous versions are available on request.