Zásady zpracování osobních údajů

• Verteco digital services, s. r. o.
• se sídlem Daniela Dlabača 21, 010 01 Žilina, Slovenská republika; IČO: 53412834, IČ DPH: SK2121358349
• zapsaná v Obchodním rejstříku Okresního soudu Žilina, oddíl: Sro, vložka č. 75936/L
• Peppol Seat ID: PSK001128
• kontaktní osoba: Mgr. Miriama Mrkávková, peppol​@​verteco.digital, +421 944 488 269

(dále jen „Správce“). Správce neustanovil pověřence pro ochranu osobních údajů (DPO), protože mu tato povinnost ze Zákona/GDPR nevyplývá; ve věcech ochrany údajů se obracejte na výše uvedený kontakt.

• registrovaní uživatelé (majitelé účtů);
• kontaktní a oprávněné osoby spravovaných firem;
• fyzické osoby uvedené jako odesílatelé, příjemci nebo kontakty ve vyměňovaných dokumentech.

• Údaje účtu: e‑mailová adresa, hash hesla, datum registrace a ověření e‑mailu, stav účtu.
• Údaje firem: IČO, IČ DPH, obchodní jméno, sídlo, Peppol identifikátor účastníka.
• Údaje dokumentů (metadata): identifikátory odesílatele/příjemce, číslo a datum dokladu, částka, měna, stav doručení; věcný obsah dokumentů v rozsahu nezbytném pro jejich přenos sítí Peppol.
• Technické a provozní údaje: IP adresa, časová razítka, identifikátory tokenů, protokoly (logy) o přístupech a provozu.
• Bezpečnostní záznam (audit): při odmítnutých, neúspěšných nebo omezených požadavcích, při změnách údajů a při přístupu k citlivým údajům zaznamenáváme IP adresu, čas, použitou adresu rozhraní, výsledek, identifikaci prohlížeče (user‑agent) a e‑mail dotčeného účtu (při neúspěšném přihlášení e‑mail, který byl zadán). Slouží výhradně k ochraně Služby před zneužitím a k vyšetření bezpečnostních incidentů; uchováváme ho nejvýše 12 měsíců, potom se automaticky maže.
• Kontrola registrace: při založení účtu určíme z IP adresy zemi pomocí tabulky uložené v našem systému (údaje DB‑IP.com, licence CC BY 4.0; IP adresa se při tom nikam neodesílá). Registrace ze země mimo EU/EHP, Švýcarsko a Spojené království nebo neobvyklý počet registrací z jedné adresy vede k ručnímu ověření účtu (telefonicky nebo e‑mailem); důvod a výsledek ověření uchováváme v bezpečnostním záznamu.
• Zprávy z kontaktního formuláře a tiketů podpory (včetně e‑mailů doručených napeppol​@​verteco.digital, ze kterých automaticky vzniká tiket vázaný na adresu odesílatele): jméno, e‑mail a obsah zprávy; pro přípravu návrhu odpovědi mohou být zpracovány AI subdodavatelem Anthropic (návrh vždy schvaluje člověk); uchováváme je během vyřizování a následně nejvýše 24 měsíců pro účely navazující podpory. Odesílatel bez účtu dostane potvrzení s odkazem, který zpřístupňuje pouze jeho jeden požadavek (odkaz je určen jen jemu); každé otevření odkazu evidujeme v bezpečnostním logu s IP adresou (viz níže).
• Odběr změn služby (changelog): e‑mailová adresa a zvolené oblasti (např. API, webhooky) na základě vašeho přihlášení na stránce /changelog; zpracováváme je jen pro zasílání zpráv o změnách služby. Adresu zařadíme až po potvrzení odkazem z e‑mailu (double opt‑in); nepotvrzené přihlášení mažeme po 30 dnech a každá zpráva obsahuje odkaz na zrušení odběru, kterým se záznam vymaže.
• Zprávy z chatovacího asistenta („Pepo“): obsah otázek a odpovědí včetně stránky, na které byl asistent použit; uchováváme je nejvýše 180 dní pro účely zkvalitnění Služby a podpory. Pokud je zapnutý AI režim asistenta, obsah zpráv může být zpracován subdodavatelem Anthropic (poskytovatel jazykového modelu). Do asistenta nevkládejte citlivé osobní údaje.

Údaje získáváme přímo od subjektů údajů (registrace, zadání firem, použití API), automatizovaně při provozu a z dokumentů, které Uživatel posílá nebo přijímá.

Výběr poskytovatele na portálu Finanční správy (VPDS): pokud si nás daňový subjekt vybere jako poskytovatele (nebo zprostředkovatele) doručovací služby v aplikaci na vpds.financnasprava.sk, Finanční ředitelství SR nám jednorázově předá obchodní jméno, DIČ, kontaktní e‑mail a telefonní číslo subjektu spolu s verifikačním údajem. Tyto údaje používáme výlučně k zřízení a ověření účtu, k ověření oprávnění subjektu odesílat dokumenty za dané DIČ, k registraci v centrálním SMP (pokud záznam pro dané DIČ nedrží jiný poskytovatel) a ke komunikaci se subjektem. Subjekt o tomto předání informuje Finanční ředitelství SR přímo při výběru v dokumentu Oznámenie pre Subjekt v zmysle Nariadenia GDPR (PDF, financnasprava.sk); podle něj Finanční ředitelství SR údaje po předání vybranému poskytovateli ve svém systému anonymizuje.

• Poskytování Služby (správa účtu a firem, příjem a odesílání dokumentů, validace): plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR.
• Evidence a uchovávání záznamů v síti Peppol, daňové reportování a vedení účetních/daňových dokladů: plnění zákonných povinností podle čl. 6 odst. 1 písm. c) GDPR.
• Bezpečnost, prevence zneužití, rate‑limiting a sledovatelnost: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR (zájem na bezpečném a spolehlivém provozu).
• Ověření e‑mailu a provozní komunikace: plnění smlouvy podle čl. 6 odst. 1 písm. b) a oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR.
• Monitorování chyb a diagnostika aplikace: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR (stabilní a bezpečný provoz Služby).
• Vyřizování poptávek a podpory včetně AI přípravy návrhů odpovědí a chatovacího asistenta: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR (efektivní a rychlé vyřízení požadavků; návrhy odpovědí vždy schvaluje člověk).
• Uplatňování a obhajoba právních nároků: oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR.

Ve vztahu k údajům účtu a provozu Služby (registrace, přihlašování, bezpečnostní záznamy, podpora) jedná Správce jako správce. Ve vztahu k obsahu vyměňovaných dokumentů, které Uživatel prostřednictvím Služby odesílá, přijímá, uchovává nebo exportuje, jedná Správce jako zpracovatel podle čl. 28 GDPR na zdokumentovaný pokyn Uživatele; podmínky upravuje Smlouva o zpracování osobních údajů (DPA), která se uzavírá automaticky vznikem smluvního vztahu (odkazem ve VOP). Jako samostatný správce jedná Správce jen tam, kde mu zpracování ukládá právo nebo závazný rámec Peppol, případně kde ho vykonává pro vlastní oprávněný účel, a to výlučně pro účely vyjmenované v čl. 11.4 DPA: daňová hlášení Finanční správě a povinná hlášení v síti Peppol, bezpečnostní záznamy, fakturace a vlastní účetnictví, uplatňování a obhajoba právních nároků. Ve vztahu k obsahu vyměňovaných dokumentů jedná Správce vždy jen jako zpracovatel, resp. další zpracovatel, a osobní údaje zpracovávané pro Uživatele nepoužívá pro vlastní marketingové účely, k profilování ani k trénování modelů strojového učení; rozdělení rolí v řetězci správce, zpracovatel a další zpracovatel (partneři s vlastní značkou) upravuje čl. 11 DPA. Za zákonnost a obsah údajů v dokumentech odpovídá Uživatel jako jejich správce.

• Síť Peppol: jiní poskytovatelé služeb Peppol a Access Pointy odesílatelů/příjemců (nezbytné pro doručení dokumentů).
• Finanční ředitelství SR (Peppol Autorita): v rozsahu daňového reportování a dohledu podle rámce Peppol.
• Brevo (Sendinblue SAS), Francie: zpracovatel pro odesílání transakčních e‑mailů.
• DigitalOcean: zpracovatel poskytující cloudovou infrastrukturu (hosting, region Frankfurt, EU).
• Sentry (Functional Software, Inc. / Sentry GmbH): zpracovatel pro monitorování chyb a provozní diagnostiku aplikace; datový region EU (Německo).
• Websupport, s. r. o., Slovensko: poskytovatel serverové infrastruktury pro odesílací poštovní server Správce (přenos e‑mailových notifikací včetně příloh dokladů).
• Anthropic PBC, USA: zpracovatel pro AI funkce Služby (chatovací asistent „Pepo“ v AI režimu a příprava návrhů odpovědí na zprávy z kontaktního formuláře a tikety zákaznické podpory). Zpracovává se obsah zprávy, předmět a e‑mail odesílatele; návrh odpovědi před odesláním vždy schvaluje člověk.
• Stripe Payments Europe, Ltd., Irsko: při zpracování plateb kartou (dobíjení předplaceného kreditu, poplatek za zápis zprostředkovatele) jedná jako samostatný správce podle vlastních zásad ochrany údajů.
• Cloudflare, Inc.: ochrana před boty a DDoS v rozsahu technicky nezbytném.
• OpenAI, L.L.C., USA: měřicí pixel k vyhodnocení účinnosti reklamy v ChatGPT (adresa navštívené veřejné stránky bez parametrů, událost dokončené registrace a při registraci otisk SHA‑256 e‑mailu, případně jména a telefonu zadaných do formuláře, aby OpenAI přiřadila registraci k reklamě; hodnoty v otevřené podobě ani nic z vašich dokladů), výlučně po vašem souhlasu v liště cookies; v přihlášené části portálu se nenačítá.
• Zprostředkovatelé doručovací služby (white‑label partneři): pokud si firmu u nás zřídil partner se zápisem ve výběru Finanční správy, údaje firmy a dokladů jsou přístupné i tomuto partnerovi, který vůči firmě vystupuje jako její smluvní poskytovatel.

Se zpracovateli má Správce uzavřené smlouvy o zpracování osobních údajů podle čl. 28 GDPR. Osobní údaje neposkytujeme třetím osobám pro marketingové účely a neprodáváme je.

Osobní údaje zpracováváme primárně v rámci EU/EHP (Brevo ve Francii, DigitalOcean ve Frankfurtu, Sentry s datovým regionem Německo, Stripe v Irsku). U AI funkcí Služby (chatovací asistent v AI režimu, příprava návrhů odpovědí na poptávky a tikety podpory) se obsah zpráv zpracovává v USA (Anthropic PBC); toto předávání se opírá o rozhodnutí o odpovídající ochraně (certifikaci Anthropic v rámci EU‑US Data Privacy Framework) a podpůrně o standardní smluvní doložky (SCC). Někteří další zpracovatelé, resp. jejich mateřské společnosti (DigitalOcean, Cloudflare, Sentry), sídlí v USA a mohou k údajům přistupovat i mimo EU/EHP; takové předávání se uskutečňuje na základě rozhodnutí o odpovídající ochraně (např. EU‑US Data Privacy Framework, pokud je příjemce certifikován), jinak na základě standardních smluvních doložek (SCC) přijatých Evropskou komisí. Kopii vhodných záruk (SCC) poskytneme na požádání na peppol​@​verteco.digital.

• Údaje účtu a firem: po dobu trvání smluvního vztahu a následně nejvýše po dobu promlčení nároků (zpravidla 4 roky); potom se mažou nebo anonymizují.
• Záznamy o výběrech poskytovatele z portálu Finanční správy (webhooky FS): po dobu trvání smluvního vztahu s dotčenou firmou a následně 4 roky (prokázání oprávnění registrace v síti Peppol).
• Protokoly o provozu a dokumentech: po dobu stanovenou právními předpisy, nejméně však 3 měsíce ve smyslu požadavků rámce Peppol.
• Daňové a účetní doklady: obsah dokladů (originál XML, náhled PDF, přílohy) uchováváme po dobu trvání smluvního vztahu, pokud má firma zapnutý Archiv dat (u firem přidaných od 13. 9. 2026 předvoleně, zvlášť pro přijaté a odeslané doklady; 1 GB v ceně). Při vypnutém Archivu dat (režim maximálního šifrování) čitelné kopie automaticky mažeme po uplynutí zvolené lhůty od doručení (předvoleně 14 dní, 1 až 90 dní) a archivaci originálů po zákonnou dobu zajišťuje zákazník (VOP čl. 11a). Provozní metadata dokladu a doručenku jako důkaz o doručení uchováváme i po výmazu obsahu. Při ukončení spolupráce vám na požádání všechny uložené doklady předáme (originální XML + CSV) a naše kopie smažeme (v rozsahu, v jakém nám jejich uchovávání nepřikazuje zákon).
• Smazané účty: po smazání účtu se údaje účtu okamžitě anonymizují; původní e-mailovou adresu a IP adresu, ze které byl účet smazán, uchováváme 12 měsíců pro vyřízení podpory a ochranu před zneužitím, potom zůstává jen jednosměrný otisk (hash) adresy.
• Bezpečnostní záznam (audit): 12 měsíců, potom se maže automaticky.
• Zprávy chatovacího asistenta: 180 dní, potom se mažou automaticky.

Po uplynutí lhůt se údaje vymažou nebo anonymizují.

Trvalý záznam o změnách nastavení uchovávání dokladů a odkazů na doklady bez přihlášení (datum a čas, účet, e-mail a IP adresa osoby, která změnu provedla) uchováváme po celou dobu trvání smluvního vztahu a 3 roky po jeho skončení: jde o důkaz pokynu správce podle čl. 28 GDPR. Pokud firma zapne odkazy na doklady bez přihlášení (VOP čl. 11b), evidujeme každé použití odkazu (čas, IP adresa, typ požadavku) v bezpečnostním žurnálu: úspěšná použití 90 dní, odmítnutá nejvýše 365 dní; tato informace je určena i osobám bez účtu, které takový odkaz použijí (čl. 14 GDPR).

Subjekt údajů má v rozsahu podle GDPR a Zákona právo:

• na přístup k osobním údajům a na jejich opravu;
• na výmaz („právo být zapomenut“) a na omezení zpracování;
• na přenositelnost údajů zpracovávaných na základě smlouvy nebo souhlasu;
• vznést námitku proti zpracování založenému na oprávněném zájmu;
• kdykoli odvolat souhlas, pokud je zpracování založeno na souhlasu (bez vlivu na zákonnost zpracování před odvoláním);
• podat návrh na zahájení řízení, resp. stížnost dozorovému orgánu.

Žádosti vyřizujeme bez zbytečného odkladu, zpravidla do jednoho (1) měsíce; u složitých nebo četných žádostí lze lhůtu prodloužit o další dva měsíce (čl. 12 odst. 3 GDPR), o čemž subjekt údajů informujeme. Žádosti přijímáme na peppol​@​verteco.digital. Některá práva mohou být omezena zákonnými povinnostmi Správce (např. povinné uchovávání dokladů).

Správce neprovádí automatizované individuální rozhodování včetně profilování s právními nebo obdobně významnými účinky na subjekt údajů podle čl. 22 GDPR.

Používáme pouze nezbytné cookies a technické soubory: přihlašovací cookie portal_session (httpOnly, Secure, SameSite=Lax; trvání ~7 dní) k udržení přihlášení a technické cookies poskytovatele sítě (např. Cloudflare __cf_bm; trvání ~30 minut) k ochraně před boty. Chatovací asistent si v úložišti prohlížeče (localStorage) drží technický identifikátor konverzace pepo.sessionId, aby konverzace přežila obnovení stránky; neslouží ke sledování napříč weby. Měřicí cookies používáme výlučně s vaším souhlasem, který udělíte v liště při první návštěvě. Po souhlasu se na veřejných stránkách (nikdy v přihlášené části portálu) načte měřicí pixel společnosti OpenAI, který ukládá cookies __obref a __oppref (identifikátor prohlížeče a identifikátor kliknutí z reklamy) a posílá společnosti OpenAI do USA adresu navštívené stránky bez parametrů a událost dokončené registrace; slouží k vyhodnocení reklamy v ChatGPT. Při registraci může předat i otisk (SHA‑256) e‑mailu, případně jména a telefonu zadaných do registračního formuláře, aby OpenAI přiřadila registraci k reklamě; hodnoty v otevřené podobě mu nepředáváme a z vašich dokladů nic. Vaše volba je uložena v cookie vp_consent na 12 měsíců a kdykoli ji změníte přes „Nastavení cookies“ v patičce. Bez souhlasu se žádné měření nenačte. Lišta vždy uvádí, které nástroje váš souhlas pokrývá; pokud jste souhlasili a přidáme další měřicí nástroj, požádáme vás o souhlas znovu, a po odvolání souhlasu cookies těchto nástrojů vymažeme. Kromě toho si prohlížeč ukládá jen technické údaje v lokálním úložišti zařízení: zvolený jazyk a zobrazení portálu, identifikátor rozhovoru s chatovacím asistentem (až když mu napíšete), kód partnera, přes jehož odkaz jste přišli, a v rámci jedné karty prohlížeče zdroj návštěvy (odkazující doména nebo parametry kampaně), pokud existuje. Tyto údaje se nikam neposílají automaticky a neslouží ke sledování napříč weby.

Správce přijímá přiměřená technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající riziku, zejména šifrování přenosu (TLS), hashování hesel, řízení přístupů, oddělení prostředí, rate‑limiting a evidenci přístupů. V případě porušení zabezpečení osobních údajů postupuje Správce podle čl. 33 a 34 GDPR.

Poskytnutí údajů účtu a identifikačních údajů firem je smluvním, resp. zákonným požadavkem nezbytným pro poskytování Služby; bez jejich poskytnutí není možné Službu poskytnout (zřídit účet, registrovat firmu, odesílat/přijímat dokumenty).

Dozorovým orgánem je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, uoou.sk, u kterého má subjekt údajů právo podat návrh na zahájení řízení.

Tyto zásady může Správce aktualizovat; o podstatných změnách bude informovat vhodným způsobem. Otázky a žádosti směřujte na peppol​@​verteco.digital.