Podklad pre zákazníka k posúdeniu vplyvu na ochranu osobných údajov

1.1 Podklad je určený zákazníkom služby Vystav, ktorí sú prevádzkovateľmi osobných údajov vo svojej Firme. Službu prevádzkuje Setori s. r. o., so sídlom 1. mája 630/25, 908 85 Brodské, IČO 57 522 634, DIČ 2122805058, zapísaná v Obchodnom registri Okresného súdu Trnava, oddiel: Sro, vložka č. 62541/T (ďalej „Setori“ alebo „my“). Pri osobných údajoch vo vašej Firme sme vaším sprostredkovateľom podľa Zmluvy o spracúvaní osobných údajov (ďalej „Zmluva o spracúvaní“) a pomáhame vám plniť povinnosti podľa čl. 32 až 36 nariadenia (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov, ďalej „GDPR“) vrátane posúdenia vplyvu a predchádzajúcej konzultácie (čl. 28 ods. 3 písm. f) GDPR, čl. 21 Zmluvy o spracúvaní). Tento podklad je jednou z foriem tejto pomoci.

1.2 Ak vo svojej Firme spracúvate údaje pre iného prevádzkovateľa, ste v tomto rozsahu sprostredkovateľom vy a my vaším ďalším sprostredkovateľom (čl. 25 Zmluvy o spracúvaní); podklad odovzdajte tomuto prevádzkovateľovi. Účtovník pozvaný do Firmy klienta nie je Zákazníkom; Zákazníkom a prevádzkovateľom je klient, ktorému Firma patrí.

1.3 Podklad je bezplatná pomôcka, nie právna rada, a nezakladá naše záväzky nad rámec Zmluvy o spracúvaní a Zoznamu sprostredkovateľov a príjemcov osobných údajov (ďalej „Zoznam sprostredkovateľov“), ktoré majú pri rozpore prednosť. Vaše účely, právne základy, lehoty, iné používané systémy, organizačné opatrenia a záver doplníte sami.

1.4 Pojmy s veľkým začiatočným písmenom majú význam podľa čl. 2 Všeobecných obchodných podmienok služby Vystav (ďalej „VOP“). Posúdením vplyvu rozumieme posúdenie vplyvu na ochranu údajov podľa čl. 35 GDPR, predbežným posúdením písomný záznam o tom, či posúdenie vplyvu potrebujete, a úradom Úrad na ochranu osobných údajov Slovenskej republiky.

1.5 Postup: zmapujte, ktoré funkcie Vystavu používate a o kom v nich vediete údaje; podľa kapitoly 2 urobte predbežné posúdenie a zapíšte ho do časti A prílohy; ak treba, ešte pred začatím spracúvania vykonajte posúdenie vplyvu s využitím kapitol 3 až 5 a zapíšte ho do časti B; ak zostane vysoké zvyškové riziko, konzultujte s úradom (kapitola 6); záznam uchovajte a pri podstatnej zmene ho prehodnoťte.

1.6 Podklad opisuje Vystav ku dňu účinnosti tejto verzie. Časť o Funkcii v príprave, napríklad o Zbernej adrese, sa uplatní až odo dňa, keď ju Setori sprístupní a vy ju zapnete. Nového Ďalšieho sprostredkovateľa oznamujeme najmenej 30 dní vopred (čl. 19 Zmluvy o spracúvaní) a pri podstatnej zmene podklad aktualizujeme. Aktuálna verzia je na https://vystav.sk/pomoc/podklad-k-posudeniu-vplyvu.

1.7 Súvisiace dokumenty: Osobitné podmienky funkcií a modulov (ďalej „Podmienky funkcií“, https://vystav.sk/obchodne-podmienky/funkcie), Podmienky funkcií umelej inteligencie (ďalej „Podmienky AI“, https://vystav.sk/obchodne-podmienky/ai), Zmluva o spracúvaní (https://vystav.sk/zmluva-o-spracuvani), Zoznam sprostredkovateľov (https://vystav.sk/udaje/sprostredkovatelia), Zásady ochrany osobných údajov (ďalej „Zásady“, https://vystav.sk/ochrana-udajov) a vzory pre zákazníkov v Pomoci (https://vystav.sk/pomoc).

2.1 Posúdenie vplyvu vykonáte pred začatím spracúvania, ak spracúvanie pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, najmä pri nových technológiách (čl. 35 ods. 1 GDPR). GDPR ho vyžaduje vždy pri systematickom a rozsiahlom hodnotení osobných aspektov, z ktorého vychádzajú rozhodnutia s právnymi alebo podobne závažnými účinkami, pri rozsiahlom spracúvaní osobitných kategórií údajov alebo údajov o trestných činoch a pri rozsiahlom monitorovaní verejne prístupných miest (čl. 35 ods. 3 GDPR). Z týchto prípadov sa vás môže týkať rozsiahla evidencia rezervácií alebo dokladov, z ktorých vyplýva zdravotný stav klientov.

2.2 Ak spracúvanie, ktoré posúdenie vyžaduje, už používate, vykonajte ho bez zbytočného odkladu a dovtedy zvážte pozastavenie rizikovej operácie. Ak posúdenie nepotrebujete, zapíšte si prečo; musíte vedieť preukázať, že ste spracúvanie posúdili (čl. 5 ods. 2 a čl. 24 GDPR).

2.3 Úrad vydal podľa čl. 35 ods. 4 GDPR Zoznam spracovateľských operácií podliehajúcich posúdeniu vplyvu na ochranu osobných údajov (ďalej „zoznam úradu“), ktorý vychádza z usmernení WP248 rev.01. Pre Vystav sú dôležité tieto body (skrátene; presné znenie je na https://dataprotection.gov.sk ↗ (otevře se na jiné stránce)):

Ostatné body zoznamu úradu sa Vystavu netýkajú. Diktovanie prepíše hlas na text, osobu podľa hlasu neidentifikuje a nahrávka sa neukladá.

2.4 Bod 4 sa podľa svojho znenia týka aj údajov z bankového výpisu, z registra alebo z prijatej faktúry. Ak informácie podľa čl. 14 GDPR poskytujete, vyžaduje posúdenie vplyvu aj bez ďalšieho kritéria; ak sa uplatní výnimka podľa čl. 14 ods. 5 písm. b) až d) GDPR, treba ešte aspoň jedno kritérium podľa WP248. Úrad užší výklad nezverejnil, preto v predbežnom posúdení zapíšte zdroj údajov, spôsob informovania a hodnotenie bodu 4.

2.5 Kritériá podľa WP248:

Pri dvoch kritériách je posúdenie vplyvu spravidla potrebné, niekedy stačí aj jedno; ak ho nevykonáte, podrobne zapíšte prečo. Orientačný odhad pre jednotlivé oblasti je v kapitole 4. Pri bežnej fakturácii, kontaktoch, sklade a nákladoch spravidla postačí predbežné posúdenie so zhodnotením bodu 4.

Kapitola opisuje našu časť spracúvania podľa čl. 35 ods. 7 písm. a) GDPR; účely a právne základy doplníte vy. Podrobný opis po funkciách je v prílohách Zmluvy o spracúvaní.

3.1 Roly:

• Vy (Zákazník) ste prevádzkovateľom Osobných údajov zákazníka a určujete účely, rozsah údajov a lehoty tam, kde ich Vystav umožňuje nastaviť.
• Setori je sprostredkovateľom a údaje spracúva len na váš zdokumentovaný pokyn, ktorým je Zmluva, nastavenie alebo úkon v Aplikácii či cez API a písomný pokyn Vlastníka, okrem povinnosti podľa práva EÚ alebo Slovenskej republiky (čl. 13 Zmluvy o spracúvaní).
• Ďalší sprostredkovatelia sú uvedení v bode 3.5 a v Zozname sprostredkovateľov.
• Integrácie zákazníka a Účtovník (napríklad váš účet Stripe, e-shop, Webhook, API alebo MCP klient, nástroj na preposielanie bankových notifikácií a váš účtovník) sú príjemcami, ktorých určujete vy, nie našimi sprostredkovateľmi (čl. 14 Zmluvy o spracúvaní).
• Setori ako prevádzkovateľ spracúva vlastné údaje podľa Zásad, napríklad Účty, bezpečnostné záznamy vrátane ochrany Verejných plôch, Predplatné, podporu, nahlásenia nezákonného obsahu, Záznamy o prenose E-faktúr a preberanie Verejných registrov; tieto spracúvania posudzujeme my. Osobné údaje zákazníka na vlastné účely používame len v rozsahu uzavretého zoznamu v Zmluve o spracúvaní (čl. 15), nepredávame ich a nepoužívame na tréning modelov umelej inteligencie.

3.2 Povaha a miesto spracúvania:

• Vystav je online služba, ktorú používate cez Aplikáciu na https://vystav.sk ↗ (otevře se na jiné stránce), cez API a cez MCP.
• Databáza a nahraté súbory sú u poskytovateľa hostingu Railway v dátovom centre v Amsterdame (Holandsko), zálohy v EÚ; Railway spravuje infraštruktúru a poskytuje podporu aj z USA. Údaje každej Firmy sú v databáze oddelené.
• Operácie: vkladanie a import, uloženie, vyhľadávanie, úprava, výpočty, tvorba PDF a XML, zobrazenie na Verejných plochách, odovzdanie príjemcom podľa vášho pokynu, export, anonymizácia a výmaz.
• Automatické operácie podľa vášho nastavenia: opakované faktúry, valorizácia zmlúv, párovanie úhrad, upomienky a kroky Modulu Vymáhanie, faktúry z objednávok e-shopu, zálohové faktúry po rezervácii, ukončenie opakovanej fakturácie po výpovedi v Klientskom portáli, nočná kontrola Rizika odberateľa, odstránenie údajov z rezervácií po lehote a po zapnutí AI funkcií čítanie dokladov a návrhy predkontácie.

3.3 Dotknuté osoby a údaje:

Mená štatutárov z registra právnických osôb Vystav neukladá.

3.4 Vystav nie je určený na osobitné kategórie osobných údajov (čl. 9 GDPR), údaje o trestných činoch (čl. 10 GDPR) ani na vedenie zdravotnej dokumentácie. Také údaje nezadávajte do poznámok, rezervácií, príloh ani AI funkcií, ak na to nemáte právny základ podľa čl. 9 ods. 2 GDPR. Ak sa vo Vystave vyskytnú, chránia ich opatrenia podľa kapitoly 5 a pravidlá čl. 17 Zmluvy o spracúvaní: AI funkcie aj samotné čítanie dokladov možno vypnúť, AI asistent nečíta rezervácie ani výpisy a údaje neslúžia na tréning modelov. Aplikačne šifrujeme prístupové údaje Integrácií zákazníka a tajomstvá Webhookov; ostatné údaje chránia opatrenia poskytovateľa hostingu podľa jeho zmluvy o spracúvaní. Zohľadnite to vo svojom posúdení.

Osobitné kategórie sa môžu objaviť aj nepriamo, napríklad v názve služby pri rezervácii, na dokladoch lekární a ambulancií alebo v bankových výpisoch (platba lekárovi, odborovej organizácii či politickej strane). Súdny dvor EÚ za ne považuje aj údaje, z ktorých sa citlivá informácia dá nepriamo odvodiť (rozsudky C-184/20 OT a C-21/23 Lindenapotheke).

Rodné čísla sa môžu vyskytnúť na dokladoch živnostníkov a v daňovom priznaní fyzickej osoby. Rodné číslo možno použiť, len keď je to na daný účel nevyhnutné, a nesmie sa zverejniť (§ 78 ods. 4 zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov, ďalej „ZOOÚ“). Rodné čísla, ktoré Vystav v doklade rozpozná, na Verejných plochách a v zdieľanom PDF maskuje; voľný text a prílohy rozpoznať nemusí.

3.5 Ďalší sprostredkovatelia. Prenosy do USA sa opierajú o vykonávacie rozhodnutie Komisie (EÚ) 2023/1795 o primeranej úrovni ochrany v rámci EÚ – USA pre ochranu osobných údajov (ďalej „DPF“), v ktorom sú dotknutí dodávatelia zapísaní, a záložne o štandardné zmluvné doložky podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914 (ďalej „štandardné doložky“). Záväzný je Zoznam sprostredkovateľov v platnej verzii.

3.6 Ďalší príjemcovia:

• Integrácie zákazníka a Účtovník dostávajú údaje na váš pokyn; zahrňte ich do svojho posúdenia.
• Verejné registre: Štatistický úrad SR dostane hľadaný výraz (IČO alebo časť názvu), Finančná správa SR IČO, IČ DPH alebo názov subjektu a Európska komisia (VIES) IČ DPH odberateľa a vašej Firmy. Sociálnej poisťovni Vystav nič neposiela.
• Sieť Peppol (prostredníctvom Verteca): pri overení, či odberateľ prijíma E-faktúry, dostane centrálny adresár odtlačok jeho identifikátora a adresár jeho prístupového bodu jeho DIČ, len ak pôsobí v EHP alebo v krajine s rozhodnutím o primeranosti.
• Doručovacia služba: Finančná správa SR dostane zákonom určené údaje z E-faktúr; Verteco pri svojich daňových hláseniach koná ako samostatný prevádzkovateľ.
• Orgány verejnej moci len na základe zákona a postupom podľa čl. 24 Zmluvy o spracúvaní.

3.7 Lehoty uchovávania:

Vystav nie je archív. Údaje si môžete kedykoľvek exportovať; zákonnú úschovu účtovných dokladov a faktúr počas 10 rokov zabezpečujete vy (§ 35 zákona č. 431/2002 Z. z. o účtovníctve a § 76 zákona č. 222/2004 Z. z. o dani z pridanej hodnoty, ďalej „ZDPH“, oba v znení neskorších predpisov).

Riziká a opatrenia môžete prevziať do časti B prílohy; pravdepodobnosť a závažnosť ohodnoťte podľa svojej situácie.

4.1 AI funkcie

4.1.1 AI funkcie (AI asistent, čítanie dokladov, diktovanie a návrhy predkontácie) sú v každej Firme predvolene vypnuté. Aplikácia ponúkne ich zapnutie Vlastníkovi alebo Správcovi pri prvom prihlásení do Firmy a pri kliknutí na AI funkciu. Zapína ich Vlastník alebo Správca v nastaveniach Firmy samostatným potvrdením a kedykoľvek ich môže vypnúť, všetky naraz alebo samostatne čítanie dokladov. Zapnutie je vaším pokynom na spracúvanie (čl. 13 Zmluvy o spracúvaní); zapnutie aj vypnutie sa zapíše do Denníka firmy. Po zapnutí bežia bez ďalšieho pokynu čítanie dokladov nahratých do Inboxu, od sprístupnenia Zbernej adresy aj čítanie jej príloh, a návrhy predkontácie. Záväzné pravidlá sú v Podmienkach AI.

4.1.2 Čo sa spracúva:

Doklady UBL a ISDOC Vystav spracuje bez AI. AI asistent nemá nástroje na čítanie bankových výpisov, rezervácií, knihy jázd, cestovných príkazov, výkazov práce ani daňových priznaní; môže pripraviť len návrh konceptu faktúry alebo ponuky, nákladu alebo kontaktu a doklad nevystaví, neodošle ani nezmaže.

4.1.3 Jediným Poskytovateľom AI je Google Cloud EMEA Limited (Írsko) so službou Vertex AI v regióne europe-west4 v Holandsku, na základe platenej služby a zmluvy o spracúvaní údajov Google Cloud. Údaje sa spracúvajú v EÚ; prípadný prístup z tretej krajiny pri technickej podpore sa riadi štandardnými doložkami. Google údaje nepoužíva na tréning modelov a uchováva ich len pri podozrení zo zneužitia služby, najviac 90 dní v tom istom regióne, a vo vyrovnávacej pamäti najviac 24 hodín.

4.1.4 Podľa nariadenia (EÚ) 2024/1689 (akt o umelej inteligencii, ďalej „AI Act“) ste pri používaní AI funkcií nasadzujúcim subjektom a my poskytovateľom systému AI. Aplikácia Používateľa upozorní, že komunikuje so systémom AI, a výstupy označí aj strojovo čitateľným spôsobom (čl. 50 ods. 1 a 2 AI Act). Použitie modelu na svoj účel posúďte aj podľa stanoviska Európskeho výboru pre ochranu údajov 28/2024.

4.1.5 AI funkcie odporúčame posudzovať ako novú technológiu podľa bodu 11 zoznamu úradu. Ak je splnené aspoň jedno ďalšie kritérium, napríklad údaje o zdraví na dokladoch alebo v otázkach, veľký počet dokladov či osôb alebo údaje zamestnancov, vykonajte posúdenie vplyvu pred zapnutím. Inak zapíšte zdôvodnené predbežné posúdenie.

4.2 Rezervácie citlivých služieb

4.2.1 Táto časť platí, ak používate Modul Rezervácie (Podmienky funkcií, časť 7). Klient zákazníka, často spotrebiteľ, si na Rezervačnej stránke vyberie službu a čas a zadá meno, telefón alebo e-mail a nepovinnú poznámku. Stránka zobrazuje identifikáciu vašej Firmy a odkaz na vaše zásady a upozorní klienta, aby do poznámky neuvádzal údaje o zdraví. Pri termíne sa eviduje služba, zdroj (osoba alebo miesto), čas, stav (vykonaný, zrušený, klient neprišiel), dôvod zrušenia a interná poznámka Firmy; súhrnný počet neúčastí klienta Vystav nezobrazuje. Pri službe so zálohou Vystav vystaví zálohovú faktúru; kontakt v adresári vznikne až vystavením faktúry. Klientovi s e-mailom pošle potvrdenie a nastavenú pripomienku.

4.2.2 Pri zdravotných, psychologických, terapeutických a podobných službách samotná rezervácia prezrádza údaj o zdraví a klientmi bývajú zraniteľné osoby; posúdenie vplyvu preto vykonajte. Vo veľkom rozsahu je povinné podľa čl. 35 ods. 3 písm. b) GDPR; jednotlivý lekár sa podľa odôvodnenia 91 GDPR za veľký rozsah spravidla nepovažuje. Ak podľa neúčastí rozhodujete o zálohe alebo termíne, uplatní sa bod 5 zoznamu úradu pri akejkoľvek službe.

4.3 Bankové výpisy a bankové notifikácie

4.3.1 Táto časť platí, ak importujete výpisy alebo používate bankové notifikácie (Podmienky funkcií, časť 5). Výpis vo formáte camt.053, MT940 alebo CSV Vystav uloží a spracuje z neho meno protistrany, IBAN, sumu, dátum, variabilný symbol a správu pre prijímateľa. Pri notifikáciách váš nástroj (napríklad Google Apps Script, Make alebo Zapier) posiela text notifikácie na adresu s tokenom a Vystav uloží celý text. Pri presnej zhode variabilného symbolu a sumy Vystav úhradu spáruje podľa vášho nastavenia. Platby neiniciuje a k bankovému účtu sa nepripája.

4.3.2 Výpisy obsahujú finančné údaje a údaje osôb, ktoré nie sú vašimi odberateľmi (údaje „tichej strany“ podľa usmernení Európskeho výboru pre ochranu údajov 06/2020). Aj pri malom podniku posúďte bod 4 zoznamu úradu, lebo údaje platiteľov prichádzajú od banky. Pri veľkom rozsahu alebo citlivých platbách, napríklad v zdravotníctve, v odborovej organizácii či cirkevnej právnickej osobe, vykonajte posúdenie vplyvu; inak zdôvodnite, prečo sa uplatní výnimka z bodu 4.

4.4 Kniha jázd a cestovné náhrady

4.4.1 Táto časť platí, ak používate Modul Vozidlá a cestovné (Podmienky funkcií, časť 10). Knihu jázd vedie človek ručným zápisom (vozidlo, stav počítadla, vodič, dátum a čas, účel, miesta a kilometre); zapísanú jazdu možno len zneplatniť. Cestovný príkaz obsahuje meno cestujúceho, účel, miesta, časy, stravné, preddavok a vyúčtovanie. Vystav nepoužíva GPS ani polohu zariadenia, zapísané miesta a časy však môžu prezrádzať polohu vodiča.

4.4.2 Knihu jázd môžete potrebovať podľa § 85n ZDPH a údaje o pracovných cestách podľa zákona č. 283/2002 Z. z. o cestovných náhradách. Pri ručnom vedení na tento účel posúdenie vplyvu spravidla netreba, zapíšte však predbežné posúdenie. Vykonajte ho, ak evidenciu používate na systematickú kontrolu alebo hodnotenie zamestnancov alebo ju dopĺňate údajmi z GPS či telematiky mimo Vystavu (body 3, 8 a 9 zoznamu úradu).

Zamestnancov informujte, aké údaje o nich vo Vystave vediete, rovnako pri výkaze práce a prepitnom; pomôže vám vzor informácie pre zamestnancov.

4.5 Riziko odberateľa

4.5.1 Táto časť platí, ak používate Riziko odberateľa (Podmienky funkcií, časť 3). Vystav pri kontakte a pri vystavovaní dokladu ukazuje, vždy s dátumom a zdrojom, právny stav subjektu z registra právnických osôb, záznam v zozname dlžníkov Sociálnej poisťovne podľa IČO (dlžná suma, dátum zverejnenia a zdroj), údaje zo zoznamov Finančnej správy SR (registrácia pre DPH, zverejnené bankové účty, index daňovej spoľahlivosti, daňoví dlžníci), výsledok overenia IČ DPH vo VIES, vaše ručné zápisy o exekúciách, reštrukturalizácii, konkurze a dlhoch voči zdravotnej poisťovni a evidenciu potvrdení o nedoplatkoch.

4.5.2 Zo zistení Vystav odvodí súhrnný signál „Riziko“, „Pozor“, „Bez záznamu“ alebo „Neoverené“ podľa najzávažnejšieho z nich a pri vystavovaní dokladu môže zobraziť upozornenie, napríklad odporúčanie zvážiť platbu vopred alebo kratšiu splatnosť. Platobná morálka ukazuje priemerné oneskorenie úhrad, podiel úhrad načas a sumu po splatnosti, len z údajov Firmy. Nočná kontrola overí najviac 25 odberateľov, s ktorými Firma obchoduje; jednotlivý kontakt z nej vylúčite, napríklad jeho archiváciou. Vystav nepočíta číselné skóre ani poradie, nehodnotí úverovú bonitu, nemení splatnosť, nežiada zálohu a nič neblokuje. Pri fyzickej osobe, najmä živnostníkovi, sú však signál a platobná morálka hodnotením jej ekonomickej situácie, teda profilovaním (čl. 4 bod 4 GDPR), ktoré Vystav vykonáva na váš pokyn. Nejde o rozhodnutie podľa čl. 22 GDPR a Riziko odberateľa nie je systémom umelej inteligencie.

4.5.3 Zoznam dlžníkov Sociálnej poisťovne a ďalšie Verejné registre preberáme a uchovávame ako samostatný prevádzkovateľ podľa Zásad. Zo zoznamu Sociálnej poisťovne uchovávame len subjekty s IČO, len IČO, dlžnú sumu, dátum zverejnenia a zdroj a len dve posledné vydania; fyzické osoby bez IČO neukladáme. Subjekt, ktorého námietke sme vyhoveli, kontrola nezobrazí. Zoznam ako celok nesprístupňujeme a nedá sa v ňom hľadať podľa mena. Výsledky kontroly uložené pri vašom kontakte sú vaše údaje: pri nich ste prevádzkovateľom vy a my sprostredkovateľom, rovnako ako pri rozhodnutí o obchode.

4.5.4 Údaje o právnickej osobe nie sú osobnými údajmi, údaje jej kontaktných osôb áno. Pri kontrole živnostníkov ide o údaje z Verejných registrov (bod 4 zoznamu úradu), pri nočnej kontrole aj o systematické hodnotenie platobnej schopnosti a profilovanie finančného stavu (body 7 a 8) a pri rozhodovaní o splatnosti či zálohe o bod 5. Posúdenie vplyvu preto vykonajte pred začatím takej kontroly, a ak už beží, bez zbytočného odkladu.

4.6 Verejné odkazy, Klientsky portál a samofakturácia

4.6.1 Táto časť platí, ak tieto funkcie používate (Podmienky funkcií, časť 2). Verejný odkaz sprístupní vystavený doklad každému, kto odkaz má, bez prihlásenia; Klientsky portál sprístupní kontaktu všetky jeho vystavené doklady a zmluvy, ktoré mu sprístupníte. Odberateľ môže cez odkaz prijať ponuku, napísať k nej pripomienku, zaplatiť kartou cez váš účet Stripe a v portáli vypovedať zmluvu; výpoveď Vystav hneď zapíše a zastaví naviazanú opakovanú fakturáciu. Pri samofakturácii sa k odpovedi dodávateľa zapíše čas, IP adresa a údaj o prehliadači. IP adresu návštevníka odkazu neukladáme. Posúdenie vplyvu spravidla netreba; pozor dajte na doklady s citlivými údajmi, napríklad s názvom zdravotného výkonu.

Na ochranu Verejných plôch pred zneužitím počítame požiadavky podľa odtlačku IP adresy a vedieme bezpečnostné záznamy; pri týchto údajoch sme prevádzkovateľom podľa Zásad.

4.7 Ďalšie oblasti

Záväzne ich opisuje Zmluva o spracúvaní (čl. 18 a jej príloha o opatreniach) a pod opísanú úroveň ich neznížime. Podrobnejší bezpečnostný opis vám poskytneme po uzavretí dohody o mlčanlivosti.

• Prístup: roly Vlastník, Správca (v Aplikácii Administrátor), Člen (v Aplikácii Používateľ), Iba na čítanie a Účtovník s kontrolou oprávnení na serveri; heslá len ako odtlačok (scrypt); druhý faktor a prístupové kľúče (passkeys), ktoré môže Firma nariadiť celému tímu; obmedzenie pokusov o prihlásenie; API kľúč sa ukladá len ako odtlačok a platí len v zvolených rozsahoch.
• Oddelenie a integrita: údaje Firiem oddeľuje databáza na úrovni riadkov a Aplikácia k nej pristupuje bez práv správcu; Denník firmy nemenne zaznamenáva úkony vrátane nahliadnutí Účtovníka; vystavený doklad sa nemení; nahrať možno len povolené typy súborov do 20 MB a stiahnuť ich len po overení oprávnenia alebo cez podpísaný odkaz s obmedzenou platnosťou.
• Šifrovanie a web: šifrované spojenie (TLS, HSTS); prístupové údaje Integrácií zákazníka a tajomstvá Webhookov šifrujeme aplikačne (AES-256-GCM), ostatné údaje chránia opatrenia poskytovateľa hostingu; politika bezpečnosti obsahu obmedzuje spúšťané skripty; web nepoužíva analytiku, reklamu, sledovacie pixely ani cudzie skripty; verejné časti chráni obmedzenie počtu požiadaviek.
• Zálohy: v EÚ; denné 6 dní, týždenné 27 dní, mimoriadne pred údržbou alebo nasadením novej verzie najviac 27 dní; bod obnovy približne raz za 24 hodín; zálohy slúžia na obnovu po havárii a pri obnove pred sprístupnením údajov zopakujeme výmazy vykonané po vytvorení zálohy.
• Prístup Setori: Panel prevádzky neukazuje obsah dokladov a kontaktov a neumožňuje prihlásiť sa za Používateľa ani zapisovať do Firmy; každý úkon v ňom sa zapíše s dôvodom. Priamy prístup k databáze majú len poverení zamestnanci alebo konatelia Setori viazaní mlčanlivosťou, a to len na riešenie porúch a incidentov (čl. 16 Zmluvy o spracúvaní).
• Porušenie ochrany: oznámime vám ho bez zbytočného odkladu, najneskôr do 48 hodín od zistenia, pri incidente u Ďalšieho sprostredkovateľa od jeho oznámenia nám (čl. 22 Zmluvy o spracúvaní).
• Sprostredkovatelia: nového oznamujeme najmenej 30 dní vopred s právom namietať; o zmene v reťazci dodávateľa informujeme bez zbytočného odkladu, najneskôr do 2 Pracovných dní od jeho oznámenia (čl. 19 Zmluvy o spracúvaní).
• Práva dotknutých osôb: úplný export vrátane nahraných súborov, oprava, výmaz, odstránenie údajov z rezervácií po lehote a vypnutie AI funkcií; žiadosť dotknutej osoby, ktorá príde nám, vám postúpime do 5 Pracovných dní (čl. 21 Zmluvy o spracúvaní).

6.1 Ak z posúdenia vyplynie vysoké riziko, ktoré nedokážete primerane znížiť, pred začatím spracúvania konzultujte s úradom (čl. 36 ods. 1 GDPR). Často je jednoduchšie riziko odstrániť, napríklad AI funkcie nezapnúť, vypnúť čítanie dokladov alebo na Rezervačnej stránke požiadať klientov, aby neuvádzali údaje o zdraví.

6.2 Úradu predložíte najmä rozdelenie zodpovedností, účely a prostriedky spracúvania, opatrenia a záruky, kontakt na zodpovednú osobu a posúdenie vplyvu (čl. 36 ods. 3 GDPR); informácie o našej časti spracúvania vám poskytneme. Úrad odpovie spravidla do ôsmich týždňov a podľa zložitosti môže lehotu predĺžiť o šesť týždňov (čl. 36 ods. 2 GDPR). Adresa: Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, https://dataprotection.gov.sk ↗ (otevře se na jiné stránce).

6.3 K posúdeniu sa vyjadruje zodpovedná osoba, ak ste ju určili (čl. 35 ods. 2 GDPR), a ak je to vhodné, dotknuté osoby alebo ich zástupcovia, napríklad zástupcovia zamestnancov pri knihe jázd (čl. 35 ods. 9 GDPR). Pri posudzovaní postupujete primerane podľa medzinárodných noriem a štandardov bezpečnosti, napríklad ISO/IEC 29134 (§ 78 ods. 10 ZOOÚ).

6.4 Posúdenie prehodnoťte, keď sa zmení riziko (čl. 35 ods. 11 GDPR), najmä ak zapnete novú funkciu alebo Modul, oznámime vám nového Ďalšieho sprostredkovateľa, zmení sa rozsah spracúvania, nastane porušenie ochrany osobných údajov alebo vydáme novú verziu podkladu; odporúčame aspoň raz ročne. Záznam uchovajte; úrad si ho môže vyžiadať (čl. 31 GDPR).

7.1 Na požiadanie vám poskytneme tento podklad v PDF, Zoznam sprostredkovateľov s históriou zmien, Zmluvu o spracúvaní s prílohami, odpovede na dotazník k nášmu spracúvaniu (čl. 23 Zmluvy o spracúvaní), informácie o Poskytovateľovi AI a podklady ku konzultácii s úradom. Posúdenie vplyvu za vás nevypracujeme, právne poradenstvo neposkytujeme a neposkytneme dôverné informácie iných zákazníkov ani podrobnosti, ktoré by ohrozili bezpečnosť služby.

7.2 Žiadosť pošlite na info@setori.sk, najlepšie s predmetom „Osobné údaje“, zavolajte na +421 951 045 038 alebo napíšte na adresu Setori s. r. o., 1. mája 630/25, 908 85 Brodské. Na bežnú otázku odpovedáme spravidla do 2 Pracovných dní; pri rozsiahlejších podkladoch vám oznámime termín. Zodpovednú osobu sme neurčili.

Vzor vyplňte za svoju firmu, text v hranatých zátvorkách nahraďte svojimi údajmi a nepotrebné časti vynechajte. Ak z časti A vyplynie, že posúdenie vplyvu netreba, časť B nevypĺňate.

• Prevádzkovateľ: [obchodné meno, sídlo alebo miesto podnikania, IČO]
• Zodpovedná osoba: [meno a kontakt, alebo „neurčená“]
• Posudzované spracúvanie a funkcie Vystavu: [napríklad „čítanie prijatých dokladov AI funkciami“]
• Kto záznam vypracoval a kedy: [meno, funkcia, dátum]
• Podklad Setori: Podklad pre zákazníka k posúdeniu vplyvu na ochranu osobných údajov, verzia [číslo] stiahnutá dňa [dátum]

Časť A – Predbežné posúdenie

• Údaje získané inak než od dotknutej osoby (bod 4 zoznamu úradu): [zdroj, spôsob informovania alebo výnimka a jej dôvod]
• Body zoznamu úradu a prípad podľa čl. 35 ods. 3 GDPR: [čísla bodov a dôvod, alebo „žiadne“]
• Záver: Posúdenie vplyvu [je potrebné / nie je potrebné], pretože [dôvod].
• Termín ďalšieho predbežného posúdenia: [dátum]

Časť B – Posúdenie vplyvu

B.1 Opis spracúvania (čl. 35 ods. 7 písm. a) GDPR)

B.2 Nevyhnutnosť a primeranosť (čl. 35 ods. 7 písm. b) GDPR)

1. Prečo je spracúvanie potrebné a prečo nestačí menej zasahujúci spôsob: [odôvodnenie]
2. Ako obmedzujeme rozsah údajov: [napríklad vypnutá funkcia, neutrálne názvy služieb, len podnikateľské výpisy]
3. Ako dlho údaje uchovávame a ako ich mažeme: [lehoty a postup]
4. Ako informujeme dotknuté osoby a vybavujeme ich žiadosti: [spôsob]
5. Zmluvy so sprostredkovateľmi a záruky pri prenosoch: Zmluva o spracúvaní osobných údajov so Setori s. r. o.; [ďalšie]

B.3 Riziká (čl. 35 ods. 7 písm. c) GDPR)

Pravdepodobnosť a závažnosť hodnoťte stupňom nízka, stredná alebo vysoká.

B.4 Opatrenia (čl. 35 ods. 7 písm. d) GDPR)

• Opatrenia Setori: kapitola 5 a príslušná časť kapitoly 4 podkladu Setori; Zmluva o spracúvaní osobných údajov.
• Naše opatrenia, kto ich zavedie a dokedy: [nastavenia vo Vystave, roly, pokyny pre zamestnancov, lehoty, informovanie; osoba a termín]

B.5 Vyjadrenia a záver

• Stanovisko zodpovednej osoby (čl. 35 ods. 2 GDPR): [stanovisko, alebo „zodpovedná osoba nie je určená“]
• Názor dotknutých osôb alebo ich zástupcov (čl. 35 ods. 9 GDPR): [či a ako sme ho získali, alebo prečo to nebolo vhodné]
• Zvyškové riziko: [nízke / stredné / vysoké]
• Rozhodnutie: Spracúvanie [môže začať / začne až po konzultácii s úradom podľa čl. 36 GDPR / nezačne].
• Termín prehodnotenia: [dátum]

Schválil:

V ……………… dňa ……………

………………………………

meno, funkcia