Zásady spracúvania osobných údajov

• Verteco digital services, s. r. o.
• so sídlom Daniela Dlabača 21, 010 01 Žilina, Slovenská republika; IČO: 53412834, IČ DPH: SK2121358349
• zapísaná v Obchodnom registri Okresného súdu Žilina, oddiel: Sro, vložka č. 75936/L
• Peppol Seat ID: PSK001128
• kontaktná osoba: Miriama Mrkávková, peppol​@​verteco.digital, +421 944 488 269

(ďalej len „Prevádzkovateľ"). Prevádzkovateľ neustanovil zodpovednú osobu (DPO), keďže mu táto povinnosť zo Zákona/GDPR nevyplýva; vo veciach ochrany údajov sa obracajte na vyššie uvedený kontakt.

• registrovaní používatelia (majitelia účtov);
• kontaktné a oprávnené osoby spravovaných firiem;
• fyzické osoby uvedené ako odosielatelia, príjemcovia alebo kontakty vo vymieňaných dokumentoch.

• Údaje účtu: e‑mailová adresa, hash hesla, dátum registrácie a overenia e‑mailu, stav účtu.
• Údaje firiem: IČO, IČ DPH, obchodné meno, sídlo, Peppol identifikátor účastníka.
• Údaje dokumentov (metaúdaje): identifikátory odosielateľa/príjemcu, číslo a dátum dokladu, suma, mena, stav doručenia; vecný obsah dokumentov v rozsahu nevyhnutnom na ich prenos sieťou Peppol.
• Technické a prevádzkové údaje: IP adresa, časové pečiatky, identifikátory tokenov, protokoly (logy) o prístupoch a prevádzke.
• Bezpečnostný záznam (audit): pri odmietnutých, neúspešných alebo obmedzených požiadavkách, pri zmenách údajov a pri prístupe k citlivým údajom zaznamenávame IP adresu, čas, použitú adresu rozhrania, výsledok, identifikáciu prehliadača (user‑agent) a e‑mail dotknutého účtu (pri neúspešnom prihlásení e‑mail, ktorý bol zadaný). Slúži výhradne na ochranu Služby pred zneužitím a na vyšetrenie bezpečnostných incidentov; uchovávame ho najviac 12 mesiacov, potom sa automaticky maže.
• Kontrola registrácie: pri založení účtu určíme z IP adresy krajinu pomocou tabuľky uloženej v našom systéme (údaje DB‑IP.com, licencia CC BY 4.0; IP adresa sa pri tom nikam neodosiela). Registrácia z krajiny mimo EÚ/EHP, Švajčiarska a Spojeného kráľovstva alebo neobvyklý počet registrácií z jednej adresy vedie k ručnému overeniu účtu (telefonicky alebo e‑mailom); dôvod a výsledok overenia uchovávame v bezpečnostnom zázname.
• Správy z kontaktného formulára a tiketov podpory (vrátane e‑mailov doručených na [email protected], z ktorých automaticky vzniká tiket viazaný na adresu odosielateľa): meno, e‑mail a obsah správy; na prípravu návrhu odpovede môžu byť spracované AI subdodávateľom Anthropic (návrh vždy schvaľuje človek); uchovávame ich počas vybavovania a následne najviac 24 mesiacov na účely nadväznej podpory. Odosielateľ bez účtu dostane potvrdenie s odkazom, ktorý sprístupňuje iba jeho jednu požiadavku (odkaz je určený len jemu); každé otvorenie odkazu evidujeme v bezpečnostnom logu s IP adresou (pozri nižšie).
• Správy z chatovacieho asistenta („Pepo“): obsah otázok a odpovedí vrátane stránky, na ktorej bol asistent použitý; uchovávame ich najviac 180 dní na účely skvalitnenia Služby a podpory. Ak je zapnutý AI režim asistenta, obsah správ môže byť spracovaný subdodávateľom Anthropic (poskytovateľ jazykového modelu). Do asistenta nevkladajte citlivé osobné údaje.

Údaje získavame priamo od dotknutých osôb (registrácia, zadanie firiem, použitie API), automatizovane pri prevádzke a z dokumentov, ktoré Používateľ posiela alebo prijíma.

Výber poskytovateľa na portáli Finančnej správy (VPDS): ak si nás daňový subjekt vyberie ako poskytovateľa (alebo sprostredkovateľa) doručovacej služby v aplikácii na vpds.financnasprava.sk, Finančné riaditeľstvo SR nám jednorazovo odovzdá obchodné meno, DIČ, kontaktný e‑mail a telefónne číslo subjektu spolu s verifikačným údajom. Tieto údaje používame výlučne na zriadenie a overenie účtu, registráciu v centrálnom SMP a komunikáciu so subjektom. Subjekt o tomto odovzdaní informuje Finančné riaditeľstvo SR priamo pri výbere v dokumente Oznámenie pre Subjekt v zmysle Nariadenia GDPR (PDF, financnasprava.sk); podľa neho Finančné riaditeľstvo SR údaje po odovzdaní vybranému poskytovateľovi vo svojom systéme anonymizuje.

• Poskytovanie Služby (správa účtu a firiem, príjem a odosielanie dokumentov, validácia): plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR.
• Evidencia a uchovávanie záznamov v sieti Peppol, daňové reportovanie a vedenie účtovných/daňových dokladov: plnenie zákonných povinností podľa čl. 6 ods. 1 písm. c) GDPR.
• Bezpečnosť, prevencia zneužitia, rate‑limiting a sledovateľnosť: oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR (záujem na bezpečnej a spoľahlivej prevádzke).
• Overenie e‑mailu a prevádzková komunikácia: plnenie zmluvy podľa čl. 6 ods. 1 písm. b) a oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR.
• Monitorovanie chýb a diagnostika aplikácie: oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR (stabilná a bezpečná prevádzka Služby).
• Vybavovanie dopytov a podpory vrátane AI prípravy návrhov odpovedí a chatovacieho asistenta: oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR (efektívne a rýchle vybavenie požiadaviek; návrhy odpovedí vždy schvaľuje človek).
• Uplatňovanie a obhajoba právnych nárokov: oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR.

Vo vzťahu k údajom účtu a prevádzke Služby (registrácia, prihlasovanie, bezpečnostné záznamy, podpora) koná Prevádzkovateľ ako prevádzkovateľ. Vo vzťahu k obsahu vymieňaných dokumentov, ktoré Používateľ prostredníctvom Služby odosiela, prijíma, uchováva alebo exportuje, koná Prevádzkovateľ ako sprostredkovateľ podľa čl. 28 GDPR na zdokumentovaný pokyn Používateľa; podmienky upravuje Zmluva o spracúvaní osobných údajov (DPA), ktorá sa uzatvára automaticky vznikom zmluvného vzťahu (odkazom vo VOP). Ako samostatný prevádzkovateľ koná Prevádzkovateľ len tam, kde mu spracúvanie ukladá právo alebo záväzný rámec Peppol, prípadne kde ho vykonáva na vlastný oprávnený účel, a to výlučne na účely vymenované v čl. 11.4 DPA: daňové hlásenia Finančnej správe a povinné hlásenia v sieti Peppol, bezpečnostné záznamy, fakturácia a vlastné účtovníctvo, uplatňovanie a obhajoba právnych nárokov. Vo vzťahu k obsahu vymieňaných dokumentov koná Prevádzkovateľ vždy len ako sprostredkovateľ, resp. ďalší sprostredkovateľ, a osobné údaje spracúvané pre Používateľa nepoužíva na vlastné marketingové účely, na profilovanie ani na trénovanie modelov strojového učenia; rozdelenie rolí v reťazci prevádzkovateľ, sprostredkovateľ a ďalší sprostredkovateľ (partneri s vlastnou značkou) upravuje čl. 11 DPA. Za zákonnosť a obsah údajov v dokumentoch zodpovedá Používateľ ako ich prevádzkovateľ.

• Sieť Peppol: iní poskytovatelia služieb Peppol a Access Pointy odosielateľov/príjemcov (nevyhnutné na doručenie dokumentov).
• Finančné riaditeľstvo SR (Peppol Autorita): v rozsahu daňového reportovania a dohľadu podľa rámca Peppol.
• Brevo (Sendinblue SAS), Francúzsko: sprostredkovateľ pre odosielanie transakčných e‑mailov.
• DigitalOcean: sprostredkovateľ poskytujúci cloudovú infraštruktúru (hosting, región Frankfurt, EÚ).
• Sentry (Functional Software, Inc. / Sentry GmbH): sprostredkovateľ pre monitorovanie chýb a prevádzkovú diagnostiku aplikácie; dátový región EÚ (Nemecko).
• Websupport, s. r. o., Slovensko: poskytovateľ serverovej infraštruktúry pre odosielací poštový server Prevádzkovateľa (prenos e‑mailových notifikácií vrátane príloh dokladov).
• Anthropic PBC, USA: sprostredkovateľ pre AI funkcie Služby (chatovací asistent „Pepo“ v AI režime a príprava návrhov odpovedí na správy z kontaktného formulára a tikety zákazníckej podpory). Spracúva sa obsah správy, predmet a e‑mail odosielateľa; návrh odpovede pred odoslaním vždy schvaľuje človek.
• Stripe Payments Europe, Ltd., Írsko: pri spracovaní platieb (poplatok za zápis sprostredkovateľa) koná ako samostatný prevádzkovateľ podľa vlastných zásad ochrany údajov.
• Cloudflare, Inc.: ochrana pred botmi a DDoS v rozsahu technicky nevyhnutnom.
• Sprostredkovatelia doručovacej služby (white‑label partneri): ak si firmu u nás zriadil partner so zápisom vo výbere Finančnej správy, údaje firmy a dokladov sú prístupné aj tomuto partnerovi, ktorý voči firme vystupuje ako jej zmluvný poskytovateľ.

So sprostredkovateľmi má Prevádzkovateľ uzavreté zmluvy o spracúvaní osobných údajov podľa čl. 28 GDPR. Osobné údaje neposkytujeme tretím osobám na marketingové účely a nepredávame ich.

Osobné údaje spracúvame primárne v rámci EÚ/EHP (Brevo vo Francúzsku, DigitalOcean vo Frankfurte, Sentry s dátovým regiónom Nemecko, Stripe v Írsku). Pri AI funkciách Služby (chatovací asistent v AI režime, príprava návrhov odpovedí na dopyty a tikety podpory) sa obsah správ spracúva v USA (Anthropic PBC); tento prenos sa opiera o rozhodnutie o primeranosti (certifikáciu Anthropic v rámci EU‑US Data Privacy Framework) a subsidiárne o štandardné zmluvné doložky (SCC). Niektorí ďalší sprostredkovatelia, resp. ich materské spoločnosti (DigitalOcean, Cloudflare, Sentry), sídlia v USA a môžu k údajom pristupovať aj mimo EÚ/EHP; takýto prenos sa uskutočňuje na základe rozhodnutia o primeranosti (napr. EU‑US Data Privacy Framework, ak je príjemca certifikovaný), inak na základe štandardných zmluvných doložiek (SCC) prijatých Európskou komisiou. Kópiu primeraných záruk (SCC) poskytneme na požiadanie na peppol​@​verteco.digital.

• Údaje účtu a firiem: počas trvania zmluvného vzťahu a následne najviac po dobu premlčania nárokov (spravidla 4 roky); potom sa mažú alebo anonymizujú.
• Záznamy o výberoch poskytovateľa z portálu Finančnej správy (webhooky FS): počas trvania zmluvného vzťahu s dotknutou firmou a následne 4 roky (preukázanie oprávnenia registrácie v sieti Peppol).
• Protokoly o prevádzke a dokumentoch: počas obdobia stanoveného právnymi predpismi, najmenej však 3 mesiace v zmysle požiadaviek rámca Peppol.
• Daňové a účtovné doklady: počas zákonných archivačných lehôt podľa daňových a účtovných predpisov (spravidla 10 rokov). Pri ukončení spolupráce vám na požiadanie všetky doklady odovzdáme (originálne XML + CSV) a naše kópie zmažeme (v rozsahu, v akom nám ich uchovávanie neprikazuje zákon). Pri zapnutom režime maximálneho šifrovania obsah dokladov dlhodobo neuchovávame vôbec: čitateľné kópie automaticky mažeme 14 dní po doručení a archiváciu originálov zabezpečuje zákazník (VOP čl. 11a).
• Bezpečnostný záznam (audit): 12 mesiacov, potom sa maže automaticky.
• Správy chatovacieho asistenta: 180 dní, potom sa mažú automaticky.

Po uplynutí lehôt sa údaje vymažú alebo anonymizujú.

Trvalý záznam o zmenách nastavení uchovávania dokladov a odkazov na doklady bez prihlásenia (dátum a čas, účet, e-mail a IP adresa osoby, ktorá zmenu vykonala) uchovávame počas celého trvania zmluvného vzťahu a 3 roky po jeho skončení: ide o dôkaz pokynu prevádzkovateľa podľa čl. 28 GDPR. Ak firma zapne odkazy na doklady bez prihlásenia (VOP čl. 11b), evidujeme každé použitie odkazu (čas, IP adresa, typ požiadavky) v bezpečnostnom žurnáli s retenciou 365 dní; táto informácia je určená aj osobám bez účtu, ktoré takýto odkaz použijú (čl. 14 GDPR).

Dotknutá osoba má v rozsahu podľa GDPR a Zákona právo:

• na prístup k osobným údajom a na ich opravu;
• na výmaz („právo na zabudnutie") a na obmedzenie spracúvania;
• na prenosnosť údajov spracúvaných na základe zmluvy alebo súhlasu;
• namietať proti spracúvaniu založenému na oprávnenom záujme;
• kedykoľvek odvolať súhlas, ak je spracúvanie založené na súhlase (bez vplyvu na zákonnosť spracúvania pred odvolaním);
• podať návrh na začatie konania, resp. sťažnosť dozornému orgánu.

Žiadosti vybavujeme bez zbytočného odkladu, spravidla do jedného (1) mesiaca; pri zložitých alebo početných žiadostiach možno lehotu predĺžiť o ďalšie dva mesiace (čl. 12 ods. 3 GDPR), o čom dotknutú osobu informujeme. Žiadosti prijímame na peppol​@​verteco.digital. Niektoré práva môžu byť obmedzené zákonnými povinnosťami Prevádzkovateľa (napr. povinné uchovávanie dokladov).

Prevádzkovateľ nevykonáva automatizované individuálne rozhodovanie vrátane profilovania s právnymi alebo obdobne významnými účinkami na dotknutú osobu podľa čl. 22 GDPR.

Používame iba nevyhnutné cookies a technické súbory: prihlasovaciu cookie portal_session (httpOnly, Secure, SameSite=Lax; trvanie ~7 dní) na udržanie prihlásenia a technické cookies poskytovateľa siete (napr. Cloudflare __cf_bm; trvanie ~30 minút) na ochranu pred botmi. Chatovací asistent si v úložisku prehliadača (localStorage) drží technický identifikátor konverzácie pepo.sessionId, aby konverzácia prežila obnovenie stránky; neslúži na sledovanie naprieč webmi. Nepoužívame marketingové, reklamné ani analytické sledovacie cookies, preto sa nevyžaduje súhlas s cookies.

Prevádzkovateľ prijíma primerané technické a organizačné opatrenia na zaistenie úrovne bezpečnosti zodpovedajúcej riziku, najmä šifrovanie prenosu (TLS), hashovanie hesiel, riadenie prístupov, oddelenie prostredí, rate‑limiting a evidenciu prístupov. V prípade porušenia ochrany osobných údajov postupuje Prevádzkovateľ podľa čl. 33 a 34 GDPR.

Poskytnutie údajov účtu a identifikačných údajov firiem je zmluvnou, resp. zákonnou požiadavkou nevyhnutnou na poskytovanie Služby; bez ich poskytnutia nie je možné Službu poskytnúť (zriadiť účet, registrovať firmu, odosielať/prijímať dokumenty).

Dozorným orgánom je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, uoou.sk, na ktorý má dotknutá osoba právo podať návrh na začatie konania.

Tieto zásady môže Prevádzkovateľ aktualizovať; o podstatných zmenách bude informovať vhodným spôsobom. Otázky a žiadosti smerujte na peppol​@​verteco.digital.