Zmluva o spracúvaní osobných údajov

1. Zmluvné strany

• Prevádzkovateľ: zákazník služby Billiwo, teda firma, ktorá do Billiwo vkladá osobné údaje (ďalej „Prevádzkovateľ“).
• Sprostredkovateľ: Zamiska solutions s.r.o., so sídlom Bajkalská 45G, 821 05 Bratislava-Ružinov, IČO 54580242, DIČ 2121731106, IČ DPH SK2121731106, zapísaná v obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka č. 160737/B (ďalej „Sprostredkovateľ“).
• Zmluva vzniká prijatím Všeobecných obchodných podmienok Billiwo. Pri pripojení e-shopu, vytvorení API kľúča a nastavení webhooku ju Prevádzkovateľ potvrdzuje aj výslovne. Prijatú verziu a čas súhlasu evidujeme.

2. Predmet a doba spracúvania

Predmetom zmluvy je spracúvanie osobných údajov, ktoré Prevádzkovateľ vloží do služby Billiwo alebo ktoré do nej na jeho pokyn prídu z e-shopu, cez API alebo ako prijatá eFaktúra, a to výlučne na účel poskytovania služby podľa Všeobecných obchodných podmienok. Spracúvanie trvá počas trvania zmluvy o poskytovaní služby a potom do vymazania údajov podľa bodu 13.

3. Povaha a účel spracúvania

Sprostredkovateľ s osobnými údajmi vykonáva najmä tieto operácie:

• ukladanie, usporiadanie a zobrazovanie údajov v účte Prevádzkovateľa vrátane príloh dokladov,
• vytváranie dokladov (faktúr, zálohových faktúr, cenových ponúk) a ich PDF,
• odosielanie dokladov e-mailom príjemcom, ktorých určí Prevádzkovateľ,
• odosielanie a prijímanie eFaktúr cez sieť Peppol, ak má Prevádzkovateľ eFaktúru aktivovanú,
• prijímanie objednávok z pripojeného e-shopu a údajov cez API a vystavenie dokladov z nich,
• rozpoznanie údajov z dokladov a ďalšie AI funkcie, len ak ich Prevádzkovateľ zapol,
• export údajov, zálohovanie a vymazanie údajov.

4. Kategórie dotknutých osôb

• klienti a odberatelia Prevádzkovateľa a ich kontaktné osoby,
• dodávatelia Prevádzkovateľa a ich kontaktné osoby,
• zákazníci e-shopu Prevádzkovateľa,
• osoby uvedené na dokladoch a bankových výpisoch, ktoré Prevádzkovateľ nahrá,
• príjemcovia e-mailov a eFaktúr odoslaných z Billiwo.

5. Kategórie osobných údajov

• identifikačné údaje: meno a priezvisko, obchodné meno, IČO, DIČ, IČ DPH,
• kontaktné údaje: adresa, e-mail, telefón,
• bankové spojenie (IBAN) a údaje protistrany v bankových výpisoch,
• obchodné a transakčné údaje: položky, sumy, dátumy, čísla objednávok a dokladov, poznámky,
• obsah nahraných dokladov a príloh (účtenky, PDF, skeny).

Služba nie je určená na spracúvanie osobitných kategórií osobných údajov (čl. 9 GDPR) ani údajov o rodnom čísle nad rámec toho, čo je nevyhnutné na doklade. Prevádzkovateľ ich do Billiwo nevkladá, pokiaľ to nie je nevyhnutné.

6. Pokyny Prevádzkovateľa

• Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa. Pokynmi sú táto zmluva, Všeobecné obchodné podmienky, nastavenia, ktoré Prevádzkovateľ v Billiwo zvolí (napríklad zapnutie AI funkcií alebo automatického odosielania eFaktúr), a úkony, ktoré v aplikácii alebo cez API vykoná.
• Inak spracúva údaje len vtedy, ak mu to ukladá právo EÚ alebo Slovenskej republiky. V takom prípade o tom Prevádzkovateľa vopred informuje, ak to dané právo nezakazuje.
• Ak sa Sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bezodkladne na to Prevádzkovateľa upozorní.
• Sprostredkovateľ osobné údaje Prevádzkovateľa nepredáva a nepoužíva ich na vlastné účely. Výnimkou je evidencia rozsahu používania služby (počty dokladov, eFaktúr a AI požiadaviek) potrebná na vyúčtovanie a súhrnné prevádzkové štatistiky bez osobných údajov.

7. Povinnosti Prevádzkovateľa

• Prevádzkovateľ zodpovedá za to, že má na spracúvanie údajov právny základ a že dotknuté osoby informoval.
• Zodpovedá za správnosť údajov, ktoré do Billiwo vloží.
• Rozhoduje, komu v Billiwo udelí prístup, a chráni svoje API kľúče a tajné kľúče webhookov.

8. Mlčanlivosť

Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané povinnosťou mlčanlivosti, a to zmluvne alebo na základe zákona. Povinnosť trvá aj po skončení ich spolupráce so Sprostredkovateľom.

9. Bezpečnostné opatrenia

Sprostredkovateľ prijal tieto technické a organizačné opatrenia podľa čl. 32 GDPR:

• Šifrované spojenie: komunikácia s aplikáciou a API prebieha cez HTTPS (TLS).
• Prihlásenie bez hesiel: jednorazovým kódom zaslaným e-mailom alebo cez passkey. Kódy ukladáme len ako hash a po opakovaných chybných pokusoch adresu dočasne zablokujeme.
• API kľúče ukladáme len ako hash, majú obmedzené oprávnenia a dajú sa kedykoľvek zrušiť.
• Požiadavky z e-shopu overujeme podpisom HMAC-SHA256 s tajným kľúčom, ktorý možno vymeniť.
• Riadenie prístupu: údaje každej firmy sú oddelené a pristupujú k nim len jej vlastníci a pozvaní účtovníci. Firma v režime len na čítanie nemôže údaje meniť.
• Obmedzenie počtu požiadaviek pri prihlasovaní, v aplikácii aj na API.
• Oddelená sieť: databáza a interné služby nie sú dostupné z internetu. Administrátorské nástroje sú dostupné len cez VPN.
• Záznam aktivít: dôležité úkony v účte evidujeme 24 mesiacov a volania API 90 dní.
• Zálohy: databázu zálohujeme každú noc (30 dní) a obrazy serverov denne (posledných 7). Zálohy sú uložené v EÚ, vrátane zariadenia Sprostredkovateľa v Slovenskej republike.
• Minimalizácia pri AI: AI funkcie sú predvolene vypnuté. Ak sú zapnuté, mená klientov a dodávateľov v odporúčaniach nahrádzame pseudonymami a z textu PDF odstraňujeme rodné čísla a čísla dokladov totožnosti.
• Hlásenia o chybách zbierame na vlastnom serveri bez obsahu formulárov, prihlasovacích údajov, e-mailových adries a čísel účtov.
• Automatické mazanie: údaje po uplynutí doby uchovávania maže nočná úloha.

Opatrenia priebežne prehodnocujeme a môžeme ich nahradiť rovnocennými alebo účinnejšími.

10. Ďalší sprostredkovatelia

• Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Ich aktuálny zoznam je v Prílohe 1.
• O zámere pridať alebo vymeniť ďalšieho sprostredkovateľa informuje Sprostredkovateľ Prevádzkovateľa e-mailom alebo v aplikácii najmenej 30 dní vopred.
• Prevádzkovateľ môže proti zmene z odôvodnených dôvodov ochrany údajov namietať. Ak sa strany nedohodnú, Prevádzkovateľ môže zmluvu o poskytovaní služby ukončiť pred účinnosťou zmeny.
• Sprostredkovateľ ukladá ďalším sprostredkovateľom zmluvou rovnaké povinnosti ochrany údajov, aké má podľa tejto zmluvy, a za ich plnenie zodpovedá Prevádzkovateľovi.

11. Prenos mimo EÚ

Údaje spracúvame prevažne v EÚ. Ak ďalší sprostredkovateľ spracúva údaje v tretej krajine (Príloha 1), prenos sa opiera o rozhodnutie Európskej komisie o primeranosti pre rámec ochrany údajov EÚ – USA (Data Privacy Framework), ak je príjemca certifikovaný, a inak o štandardné zmluvné doložky schválené Európskou komisiou.

12. Súčinnosť

• Práva dotknutých osôb: Prevádzkovateľ môže v Billiwo údaje sám zobraziť, opraviť, vymazať a exportovať (Nastavenia → Bezpečnosť → Export dát).
• Ak Sprostredkovateľovi príde žiadosť dotknutej osoby, ktorá sa týka údajov Prevádzkovateľa, bez zbytočného odkladu ju Prevádzkovateľovi postúpi a sám na ňu vecne neodpovie.
• Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu a predchádzajúca konzultácia), v rozsahu informácií, ktoré má k dispozícii.
• Porušenie ochrany údajov: o porušení ochrany osobných údajov Prevádzkovateľa informuje Sprostredkovateľ Prevádzkovateľa bez zbytočného odkladu, najneskôr do 48 hodín od zistenia. Oznámenie obsahuje informácie podľa čl. 33 ods. 3 GDPR, ktoré sú v tom čase známe, a ďalšie doplní priebežne.

13. Vymazanie alebo vrátenie údajov

• Vrátenie: Prevádzkovateľ si môže kedykoľvek, aj v režime len na čítanie, stiahnuť export všetkých údajov (JSON) a uložených súborov (ZIP).
• Zrušenie účtu: účet sa zruší 30 dní po žiadosti. Vtedy vymažeme prihlasovacie údaje a relácie, históriu AI chatu a klientov, na ktorých neodkazuje žiadny doklad.
• Účtovné doklady: Prevádzkovateľ dáva Sprostredkovateľovi pokyn, aby účtovné doklady, pôvodné XML eFaktúr a súvisiace údaje uchovával aj po skončení zmluvy do konca lehoty podľa § 35 zákona č. 431/2002 Z. z. o účtovníctve a § 76 zákona č. 222/2004 Z. z. o DPH (10 rokov nasledujúcich po roku, ktorého sa týkajú), a potom ich spolu so súbormi vymazal. Prevádzkovateľ môže pokyn kedykoľvek písomne zmeniť a požiadať o skoršie vymazanie, ak si údaje uchová inak. Sprostredkovateľ ich potom vymaže do 30 dní.
• Zálohy: vymazané údaje zo záloh zmiznú najneskôr po 30 dňoch (zálohy databázy) a po 7 dňoch (obrazy serverov).

14. Preukazovanie súladu a audity

• Sprostredkovateľ poskytne Prevádzkovateľovi na požiadanie informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR, najmä opis opatrení a zoznam ďalších sprostredkovateľov.
• Prevádzkovateľ alebo ním poverený audítor viazaný mlčanlivosťou môže vykonať audit, a to po písomnom oznámení najmenej 30 dní vopred, najviac raz za kalendárny rok (okrem prípadu porušenia ochrany údajov) a na vlastné náklady. Audit nesmie ohroziť bezpečnosť ani údaje iných zákazníkov.

15. Záverečné ustanovenia

• Vo veciach ochrany osobných údajov má táto zmluva prednosť pred Všeobecnými obchodnými podmienkami. Zodpovednosť strán sa inak riadi Všeobecnými obchodnými podmienkami.
• Zmluva trvá, kým Sprostredkovateľ spracúva osobné údaje Prevádzkovateľa.
• Zmeny tejto zmluvy oznamujeme rovnako ako zmeny Všeobecných obchodných podmienok.
• Zmluva sa riadi právnym poriadkom Slovenskej republiky.

Príloha 1: Ďalší sprostredkovatelia

Aktuálni ďalší sprostredkovatelia, ich úloha a miesto spracúvania:

• Hetzner Online GmbH (Nemecko, EÚ): prenájom serverov v Nemecku, na ktorých beží aplikácia a databáza. Uložené sú tu všetky údaje služby.
• Cloudflare, Inc. (USA): úložisko súborov R2 (prílohy dokladov, importované súbory, logo a podpis) a zálohy databázy. Prenos mimo EÚ: bod 11.
• Resend (USA): odosielanie e-mailov s dokladmi, ktoré Prevádzkovateľ posiela svojim klientom (e-mailová adresa príjemcu, obsah správy, prílohy). Prenos mimo EÚ: bod 11.
• Scaleway SAS (Francúzsko, EÚ): AI funkcie, len ak ich Prevádzkovateľ zapol (odoslané doklady, otázky a potrebné finančné údaje).
• Kaja Solutions s.r.o. (ePošťák) (Slovensko, EÚ): prístupový bod do siete Peppol na odosielanie a prijímanie eFaktúr, len ak má Prevádzkovateľ eFaktúru aktivovanú (údaje faktúry vrátane údajov o dodávateľovi a odberateľovi). Údaje, ktoré je povinný oznamovať Finančnej správe SR, oznamuje na základe zákona.

Ďalšími sprostredkovateľmi nie sú príjemcovia, ktorých určí Prevádzkovateľ (jeho klienti, pripojený e-shop, webhooky a API klienti, účtovník), ani verejné systémy, do ktorých posielame len identifikátor (overenie IČ DPH v systéme VIES, načítanie bločku zo systému eKasa), ani Finančná správa SR, ktorej údaje oznamuje prístupový bod na základe zákona.