Zmluva o spracúvaní osobných údajov

Prevádzkovateľom je firma, ktorá Vystav používa (ďalej vaša firma). Sprostredkovateľom je:

Obchodné meno

Setori s. r. o.

Sídlo

1. mája 630/25, 908 85 Brodské

IČO

57522634

Zápis

Obchodný register Okresného súdu Trnava, oddiel Sro, vložka 62541/T

Kontakt

info@vystav.sk

Zmluva je súčasťou obchodných podmienok. Za vašu firmu ju uzatvára ten, kto firmu vo Vystave založí alebo za ňu prijme obchodné podmienky.

Údaje k vášmu účtu – meno, e-mail, prihlásenia a predplatné – spracúvame ako prevádzkovateľ. Na ne sa táto zmluva nevzťahuje; opisujú ich zásady ochrany osobných údajov.

Setori pre vašu firmu spracúva osobné údaje, ktoré do Vystavu zapíšete, nahráte alebo ktoré do neho prídu cez napojenia, aby vám mohla poskytovať Vystav podľa obchodných podmienok.

Spracúvanie trvá od založenia firmy vo Vystave do výmazu jej údajov. Keď predplatné skončí, firma prejde na program Zadarmo a údaje zostávajú. Po žiadosti o zmazanie firmy ich ešte 30 dní držíme, aby ste si ich mohli stiahnuť, a potom ich vymažeme.

Údaje spracúvame len na to, aby Vystav fungoval pre vašu firmu. Na vlastné účely ich nepoužívame. S údajmi robíme toto:

• ukladáme ich a zobrazujeme vám ich v aplikácii na počítači aj v mobile;
• vyhotovujeme z nich doklady, ich PDF a XML elektronických faktúr;
• posielame e-maily s dokladmi a upomienkami, ktoré z Vystavu odošlete;
• keď doručovanie spustíme, odovzdávame e-faktúry doručovacej službe do siete Peppol a preberáme od nej prijaté;
• ak máte zapnuté AI funkcie, posielame AI poskytovateľovi obsah nahraného dokladu, diktát alebo otázku, aby doklad prečítal alebo odpovedal;
• preberáme objednávky z e-shopu a oznámenia z banky, ak si napojenie zapnete;
• robíme exporty, zálohy a záznam zmien.

Vystav nie je určený na osobitné kategórie osobných údajov, napríklad o zdraví (čl. 9 GDPR), ani na údaje o trestných činoch (čl. 10 GDPR). Do dokladov ani poznámok ich nezapisujte.

Údaje spracúvame len na zdokumentovaný pokyn vašej firmy. Pokynmi sú:

• táto zmluva a obchodné podmienky;
• to, čo vo Vystave urobíte vy a vaši kolegovia: doklad vystavíte, odošlete, exportujete alebo zmažete, zapnete či vypnete AI funkcie alebo napojenie;
• písomné pokyny, ktoré nám pošle vlastník firmy na info@vystav.sk.

Ak by podľa nás pokyn porušoval GDPR alebo iný predpis o ochrane údajov, hneď vám to oznámime.

Mimo EÚ údaje prenášame len k sprostredkovateľom zo zoznamu na stránke Kde sú vaše údaje a na zárukách, ktoré sú tam uvedené. Ak by nám iné spracúvanie uložil právny predpis EÚ alebo Slovenska, vopred vám to oznámime, pokiaľ nám to ten predpis nezakazuje. Keď o údaje žiada orgán mimo EÚ, poskytneme len nevyhnutné minimum a vopred vás o tom informujeme.

K údajom vašej firmy majú prístup len ľudia v Setori, ktorí Vystav prevádzkujú, a len v rozsahu, ktorý potrebujú: keď riešia vašu požiadavku, poruchu alebo bezpečnostný incident. Každý z nich je zaviazaný mlčanlivosťou, ktorá trvá aj po skončení spolupráce.

Opatrenia podľa čl. 32 GDPR v skratke:

• Spojenie s Vystavom je šifrované.
• Každá firma je od ostatných oddelená priamo v databáze a oddelenie overujú automatické testy.
• Čo kto smie, určuje jeho rola vo firme a server to kontroluje pri každej zmene.
• Heslá ukladáme len ako odtlačok (hash). Prihlásenie chráni obmedzenie počtu pokusov a voliteľné dvojfázové overenie.
• Prístupové údaje k napojeniam a tajomstvá webhookov sú v databáze šifrované.
• Nahraté súbory sú v neverejnom úložisku a sťahujú sa len cez aplikáciu po overení oprávnenia.
• Záznam zmien – kto, čo a kedy zmenil – sa nedá prepísať ani zmazať. Zanikne až so zmazaním firmy.
• Databáza je u poskytovateľa hostingu šifrovaná a zálohovaná.
• V záznamoch o prevádzke nie sú heslá ani prístupové tokeny.

Podrobný opis opatrení doplníme ako prílohu ku konečnému zneniu zmluvy.

Vaša firma nám dáva všeobecné povolenie zapojiť ďalších sprostredkovateľov. Kto to je, aké údaje dostáva, kde sú a na akej záruke stojí prenos mimo EÚ, je v zozname s dátumom verzie na stránke Kde sú vaše údaje.

Každého ďalšieho sprostredkovateľa zaväzujeme zmluvou k rovnakej ochrane údajov, akú sľubujeme v tejto zmluve. Za to, ako ju plní, zodpovedáme vašej firme.

Pridanie alebo výmenu sprostredkovateľa vám oznámime najmenej 30 dní vopred e-mailom vlastníkom firmy a novou verziou zoznamu. Ak niektorý z našich sprostredkovateľov ohlási zmenu svojich sprostredkovateľov s kratším predstihom, pošleme vám ju hneď, ako sa o nej dozvieme.

Proti zmene môžete v tejto lehote namietať na info@vystav.sk. Ak námietke nevyhovieme, môžete predplatné zrušiť a firmu zmazať skôr, než zmena nastane.

E-faktúry bude technicky doručovať Verteco digital services, s. r. o., uvedený v zozname ako pripravované napojenie. Aktiváciu oznámime s rovnakým predstihom. Pri prenose na pokyn firmy bude spracovateľský reťazec firma → Setori → Verteco. E-faktúry u neho nečíta ani nespracúva žiadny AI poskytovateľ. Pri oznamovaní údajov Finančnej správe a pri povinnostiach v sieti Peppol je Verteco samostatným prevádzkovateľom.

Žiadosti ľudí, ktorých údaje vo Vystave máte, vybavíte väčšinou sami: kontakt upravíte alebo archivujete a údaje vyexportujete v Nastaveniach → Dáta. Vystavený doklad sa neopravuje, mení sa dobropisom alebo opravným dokladom. Ak takú žiadosť dostaneme my, bez zbytočného odkladu vám ju postúpime.

Na požiadanie vám dáme informácie, ktoré potrebujete na zabezpečenie údajov, na oznámenie porušenia ich ochrany, na posúdenie vplyvu na ochranu údajov, napríklad pri AI funkciách, a na predchádzajúcu konzultáciu s Úradom na ochranu osobných údajov (čl. 32 až 36 GDPR).

Porušenie ochrany osobných údajov vašej firmy vám oznámime bez zbytočného odkladu, najneskôr do 48 hodín od chvíle, keď sme ho zistili, e-mailom vlastníkom firmy.

V oznámení bude, čo o porušení vieme: čo sa stalo, ktorých údajov a približne koľkých ľudí sa týka, aké môže mať následky, čo sme urobili a čo odporúčame urobiť vám, a na koho sa môžete obrátiť. Čo zatiaľ nevieme, doplníme hneď, ako to zistíme.

Či treba porušenie oznámiť Úradu na ochranu osobných údajov, posúdi vaša firma ako prevádzkovateľ. Ak áno, oznámi ho do 72 hodín od chvíle, keď sa o ňom dozvedela (čl. 33 GDPR). Pomôžeme vám s tým.

Údaje vám vrátime tak, že si ich stiahnete, a potom ich vymažeme:

1. Kompletný export za celú históriu – PDF, CSV a XLSX, prílohy a XML všetkých e-faktúr – si stiahnete sami, bez žiadosti a čakania: v Nastaveniach → Dáta pri zmazaní firmy, alebo kedykoľvek po prihlásení na adrese /api/v1/exports/full. Formáty sú na stránke Kde sú vaše údaje.
2. O zmazanie firmy požiada jej vlastník v Nastaveniach → Dáta. Predplatné sa tým zruší.
3. Ešte 30 dní potom si viete stiahnuť kompletný export alebo zmazanie zrušiť.
4. Po 30 dňoch údaje firmy nenávratne vymažeme z aplikácie aj z úložiska súborov. V zálohách databázy môžu zostať do expirácie pravidelnej zálohy, najviac 27 dní od jej vytvorenia. Denné zálohy expirujú po 6 dňoch, týždenné po 27 dňoch. Dočasné kópie na overenie nasadenia odstránime po kontrole obnovy a pravidelného zálohovania. Nie sú zákonným archívom zákazníka.

Ponecháme si len záznam, že a kedy sme firmu zmazali, bez osobných údajov. Keď doručovanie e-faktúr spustíme, ponecháme si aj záznamy o e-faktúrach, ktoré vaša firma odoslala a prijala. Uchováme ich, kým trvá naša zmluva s doručovacou službou, a potom ešte po dlhšiu z dvoch lehôt: 5 rokov po skončení zmluvy, lebo to vyžadujú podmienky doručovacej služby, alebo 10 rokov po roku prenosu, lebo dovtedy je doklad v zákonnej lehote uchovávania a záznam je dôkazom, kedy sa e-faktúra odovzdala doručovacej službe (§ 85o ods. 11 a 14 zákona o DPH). Opisujú ich obchodné podmienky.

Doklady si 10 rokov uchováva vaša firma, nie Vystav. Export si preto stiahnite pred zmazaním firmy.

Na požiadanie vám dáme informácie, ktoré potrebujete na preukázanie, že túto zmluvu plníme: tento dokument, zoznam sprostredkovateľov, opis bezpečnostných opatrení a dostupné správy a certifikáty našich sprostredkovateľov.

Ak vám to nestačí, môžete u nás vykonať audit alebo kontrolu sami alebo cez audítora, ktorého poveríte a ktorý je viazaný mlčanlivosťou. Audit ohlásite aspoň 30 dní vopred a najviac raz za rok, častejšie po porušení ochrany údajov alebo na žiadosť dozorného orgánu. Audit nesmie narušiť prevádzku Vystavu ani odhaliť údaje iných firiem. Jeho náklady znáša vaša firma.

Zmluva má rovnakú verziu ako obchodné podmienky. Keď ju zmeníme, v aplikácii vás požiadame o prijatie nového znenia, rovnako ako pri obchodných podmienkach.