Podmienky spracúvania osobných údajov (DPA)
Príloha k VOP podľa čl. 28 GDPR · Účinné od 4. 10. 2026 · verzia 1.1
1. Strany a účel
1.1 Tieto podmienky spracúvania osobných údajov (ďalej „DPA") sú zmluvou podľa čl. 28 ods. 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (ďalej „GDPR") a § 34 zákona č. 18/2018 Z. z. o ochrane osobných údajov medzi Klientom ako prevádzkovateľom a spoločnosťou kaname s. r. o., Ulica Jozefa Adamca 9983/24, 917 01 Trnava, IČO 57 721 670 (ďalej „Poskytovateľ") ako sprostredkovateľom. Sú neoddeliteľnou súčasťou VOP a Zmluvy.
1.2 DPA sa vzťahuje na osobné údaje, ktoré Poskytovateľ spracúva pre Klienta pri poskytovaní Služby (ďalej „Údaje Klienta"). Nevzťahuje sa na údaje, pri ktorých je Poskytovateľ sám prevádzkovateľom (údaje o používateľských účtoch, fakturácia Klienta, bezpečnostné logy) — tie upravuje Ochrana súkromia.
2. Predmet, povaha a účel spracúvania
| Predmet | Prijímanie, vystavovanie, čítanie, uchovávanie a export elektronických dokladov cez sieť Peppol a doplnkové funkcie Služby. |
|---|---|
| Povaha | Ukladanie, prenos, štruktúrovanie, automatizované čítanie (OCR/AI), párovanie, zálohovanie, výmaz. |
| Účel | Plnenie Zmluvy — poskytovanie Služby Klientovi. |
| Doba | Počas trvania Zmluvy a 90 dní exportnej lehoty (čl. 9.6 a 11 VOP); potom výmaz podľa čl. 9. |
| Kategórie dotknutých osôb | Kontaktné osoby a zamestnanci Klienta; kontaktné osoby dodávateľov a odberateľov Klienta; fyzické osoby, ktoré sú dodávateľmi alebo odberateľmi (živnostníci); osoby uvedené na dokladoch a v bankových výpisoch. |
| Kategórie údajov | Identifikačné údaje (meno, obchodné meno, IČO, DIČ, IČ DPH, adresa), kontaktné údaje (e-mail, telefón), bankové spojenie (IBAN), obsah dokladov (položky, sumy, popisy plnenia), údaje z bankových výpisov, e-mailová komunikácia doručená na schránku na príjem dokladov. |
| Osobitné kategórie | Nespracúvajú sa a Klient je povinný ich do Služby nevkladať. |
3. Pokyny prevádzkovateľa (čl. 28 ods. 3 písm. a) GDPR)
3.1 Poskytovateľ spracúva Údaje Klienta len na základe zdokumentovaných pokynov Klienta. Pokynmi sú Zmluva, VOP, toto DPA a nastavenia a úkony Klienta v aplikácii (napr. odoslanie faktúry, zapnutie príjmu e-mailom, spustenie exportu). Iné pokyny Klient zadáva písomne na info@euctaren.sk; Poskytovateľ môže odmietnuť pokyn, ktorý je technicky nevykonateľný alebo by vyžadoval neprimerané náklady, a upozorní Klienta, ak pokyn podľa jeho názoru porušuje GDPR.
3.2 Prenos údajov do tretej krajiny sa vykonáva len podľa pokynu Klienta alebo ak to vyžaduje právo EÚ alebo členského štátu; v takom prípade Poskytovateľ Klienta vopred informuje, ak to právo nezakazuje.
4. Mlčanlivosť (písm. b))
Osoby oprávnené spracúvať Údaje Klienta na strane Poskytovateľa sú viazané povinnosťou mlčanlivosti zmluvne alebo zo zákona a sú poučené o ochrane osobných údajov.
5. Bezpečnosť (písm. c), čl. 32 GDPR)
5.1 Poskytovateľ prijal tieto technické a organizačné opatrenia: šifrovaný prenos (TLS); šifrovanie dokladov v pokoji s oddeleným uložením kľúčov; oddelenie údajov Klientov na úrovni tenantov s automatizovaným testovaním izolácie; riadenie prístupov podľa rolí a princípu najmenších oprávnení; denné zálohy databázy šifrované AES-256 pred prenosom a ukladané do geograficky oddeleného dátového centra v EÚ (Fínsko), s retenciou 7 denných, 4 týždenných a 6 mesačných kópií a pravidelným testom obnovy; logovanie prístupov a bezpečnostných udalostí (uchovávané 90 dní); obmedzenie počtu požiadaviek (rate limiting) a ochrana prihlásenia; pravidelné aktualizácie; monitoring dostupnosti.
5.2 Poskytovateľ opatrenia priebežne prispôsobuje stavu techniky; ich zmena nesmie znížiť úroveň ochrany.
6. Ďalší sprostredkovatelia (písm. d), čl. 28 ods. 2 a 4 GDPR)
6.1 Klient udeľuje Poskytovateľovi všeobecné písomné povolenie zapojiť ďalších sprostredkovateľov uvedených nižšie. Poskytovateľ s každým z nich uzavrel zmluvu ukladajúcu rovnaké povinnosti ochrany údajov ako toto DPA a zodpovedá Klientovi za plnenie ich povinností.
| Subjekt | Sídlo | Účel | Miesto spracúvania |
|---|---|---|---|
| Ionite B.V. | Hogeweg 74, 3814 CG Amersfoort, Holandsko (KvK 84418745) | Certifikovaný poskytovateľ doručovacej služby — Peppol Access Point a SMP; prenos a dočasné uloženie e-faktúr, KYC overenie účastníkov, logovanie. Viazaný zmluvou o spracúvaní údajov s Poskytovateľom (DPA Ionite v1.1 z 3. 8. 2026, čl. 3: sub-processor podľa čl. 28 ods. 4 GDPR). Jeho ďalší sub-processori: poskytovatelia infraštruktúry a siete pre prenos Peppol správ a hosting (čl. 5 DPA Ionite). | Holandsko; prenos cez sieť Peppol môže technicky prechádzať uzlami mimo EHP so zárukami podľa kap. V GDPR (čl. 6 DPA Ionite) |
| Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Nemecko | Hosting aplikácie a databázy; úložisko šifrovaných záloh | Nemecko (Falkenstein), Fínsko (Helsinki) |
| Mistral AI SAS | 15 rue des Halles, 75001 Paríž, Francúzsko (RCS Paris 952 418 325) | Automatizované čítanie dokladov a AI prehľady (len ak Klient funkciu použije). Vstupy a výstupy sa nepoužívajú na trénovanie modelov (opt-out aktivovaný v účte Poskytovateľa); Mistral ich uchováva 30 dní na monitorovanie zneužitia, potom vymaže. DPA Mistral je súčasťou zmluvy odkazom. | EÚ (infraštruktúra v EÚ podľa DPA Mistral; sub-processori na trust.mistral.ai) |
| Brevo (Sendinblue SAS) | Paríž, Francúzsko | Odosielanie systémových e-mailov (notifikácie o dokladoch) | EÚ |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | DNS, reverzná proxy a ochrana pred DDoS — prechod šifrovanej prevádzky, bez trvalého ukladania obsahu | EÚ (uzly v EÚ) / USA — štandardné zmluvné doložky, EU-US Data Privacy Framework |
6.2 Poskytovateľ oznámi Klientovi zamýšľané pridanie alebo nahradenie ďalšieho sprostredkovateľa najmenej 14 dní vopred (e-mailom alebo v aplikácii). Klient môže do účinnosti zmeny z odôvodnených dôvodov ochrany údajov namietať; ak sa strany nedohodnú, môže Klient Zmluvu vypovedať ku dňu účinnosti zmeny. Nepodanie námietky sa považuje za súhlas.
6.3 Údaje Klienta sa spracúvajú v EÚ/EHP. Prenos do tretej krajiny je prípustný len na základe rozhodnutia Komisie o primeranosti alebo štandardných zmluvných doložiek (čl. 45 a 46 GDPR).
7. Súčinnosť pri právach dotknutých osôb a povinnostiach prevádzkovateľa (písm. e) a f))
7.1 Poskytovateľ poskytne Klientovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, výmaz, obmedzenie, prenosnosť, námietka), najmä prostredníctvom funkcií aplikácie (vyhľadanie, oprava a výmaz záznamu, export). Žiadosť doručenú priamo Poskytovateľovi postúpi Klientovi bez zbytočného odkladu a sám ju nevybavuje, ak to nie je nevyhnutné.
7.2 Poskytovateľ poskytne Klientovi súčinnosť pri zabezpečení bezpečnosti spracúvania, pri posúdení vplyvu a predchádzajúcej konzultácii (čl. 32–36 GDPR) s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii. Súčinnosť nad rámec funkcií aplikácie a bežného rozsahu je spoplatnená podľa Cenníka.
8. Porušenie ochrany osobných údajov
8.1 Poskytovateľ oznámi Klientovi porušenie ochrany Údajov Klienta bez zbytočného odkladu po tom, ako sa o ňom dozvedel, najneskôr do 48 hodín, e-mailom na adresu správcu účtu Klienta (čl. 33 ods. 2 GDPR). Oznámenie obsahuje informácie potrebné pre oznámenie Klienta dozornému orgánu podľa čl. 33 ods. 3 GDPR v rozsahu, v akom sú Poskytovateľovi známe; ďalšie informácie doplní priebežne.
8.2 Ionite B.V. ako Poskytovateľ AP je podľa čl. 8 DPA Ionite a svojej SLA povinná oznámiť Poskytovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín; Poskytovateľ ho postúpi Klientovi v lehote podľa čl. 8.1.
9. Výmaz a vrátenie údajov po skončení (písm. g))
9.1 Po pozastavení Služby alebo ukončení Zmluvy má Klient 90 dní na export Údajov Klienta (čl. 11 VOP). Po uplynutí lehoty Poskytovateľ Údaje Klienta vymaže vrátane kópií, s výnimkou údajov, ktoré je povinný uchovávať podľa práva EÚ alebo SR (napr. vlastné účtovné a daňové doklady Poskytovateľa) a údajov v šifrovaných zálohách, ktoré sa prepíšu v rámci retenčného cyklu (denné do 7 dní, týždenné do 4 týždňov, mesačné najneskôr do 6 mesiacov) a do tej doby sa nespracúvajú na iný účel.
9.2 Poskytovateľ AP uchováva údaje po ukončení služby najviac 2 mesiace (SLA Ionite) a potom ich vymaže.
10. Informácie a audit (písm. h))
10.1 Poskytovateľ poskytne Klientovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR — prednostne formou opisu opatrení, správ z testov obnovy, výsledkov bezpečnostných testov alebo certifikácií, ak sú k dispozícii.
10.2 Klient je oprávnený vykonať audit najviac raz za 12 mesiacov (alebo po bezpečnostnom incidente), s najmenej 30-dňovým predstihom, v pracovnom čase, bez narušenia prevádzky a bez prístupu k údajom iných klientov; audítor musí byť viazaný mlčanlivosťou. Náklady auditu znáša Klient; čas Poskytovateľa nad 8 hodín sa účtuje podľa Cenníka. Audit u ďalších sprostredkovateľov sa nahrádza ich správami a certifikátmi.
11. Zodpovednosť a záverečné ustanovenia
11.1 Zodpovednosť Poskytovateľa voči Klientovi podľa tohto DPA podlieha obmedzeniam podľa čl. 12 VOP v rozsahu, v akom to čl. 82 GDPR pripúšťa; obmedzenie sa nevzťahuje na nároky dotknutých osôb podľa čl. 82 GDPR ani na pokuty uložené priamo Poskytovateľovi.
11.2 Klient zodpovedá za zákonnosť získania Údajov Klienta a za splnenie informačnej povinnosti voči dotknutým osobám; Poskytovateľ za tým účelom zverejňuje vzorovú informáciu v Ochrane súkromia, časť „Osoby na dokladoch".
11.3 DPA trvá po dobu trvania Zmluvy a do splnenia povinností podľa čl. 9. Spravuje sa právom SR. Účinnosť: 4. 10. 2026, verzia 1.1.