Zmluva o spracúvaní osobných údajov (DPA)

podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a § 34 zákona č. 18/2018 Z. z.

Verzia: 1.0 · Dátum účinnosti: 21. 6. 2026

Táto zmluva tvorí neoddeliteľnú súčasť Všeobecných obchodných podmienok služby Faktio a uzatvára sa medzi:

• Prevádzkovateľ: Objednávateľ (zákazník služby Faktio), ktorý do Služby vkladá alebo cez konektory prenáša osobné údaje. Ak Objednávateľ spracúva údaje v mene vlastných klientov, vystupuje ako sprostredkovateľ a Poskytovateľ ako ďalší sprostredkovateľ; ustanovenia sa použijú primerane.
• Sprostredkovateľ: VisionEdge s. r. o., 29. augusta 1503/1A, 958 01 Partizánske, IČO: 51962161, zápis v Obchodnom registri Okresného súdu Trenčín, oddiel Sro, vložka č. 37109/R.

1. Predmet a trvanie

1.1 Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa výlučne na účel poskytovania služby Faktio podľa VOP — najmä na účel konverzie, validácie, odosielania a prijímania faktúr cez sieť Peppol, ich uloženia a — po sprístupnení — nahlasovania údajov do IS EFA.

1.2 Spracúvanie trvá počas platnosti zmluvy o poskytovaní Služby. Po jej ukončení sa postupuje podľa čl. 7.

2. Povaha a účel spracúvania

2.1 Povaha: zhromažďovanie, ukladanie, štruktúrovanie, konverzia, validácia, zobrazovanie, prenos (vrátane doručovania cez sieť Peppol prostredníctvom prístupového bodu), zálohovanie a výmaz osobných údajov, vykonávané automatizovane v rámci Služby.

2.2 Účel: poskytovanie funkcií elektronickej fakturácie pre Prevádzkovateľa.

2.3 Kategórie dotknutých osôb a údajov: viď Príloha 1.

3. Pokyny Prevádzkovateľa

3.1 Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa; pokynom sa rozumie aj používanie Služby a tieto VOP/DPA.

3.2 Ak je Sprostredkovateľ povinný spracúvať údaje na základe práva EÚ alebo SR, informuje o tom Prevádzkovateľa, ak to právo nezakazuje.

3.3 Ak sa Sprostredkovateľ domnieva, že pokyn porušuje predpisy o ochrane údajov, bezodkladne to oznámi.

4. Povinnosti Sprostredkovateľa

4.1 Dôvernosť: osoby oprávnené spracúvať údaje sú viazané mlčanlivosťou.

4.2 Bezpečnosť (čl. 32 GDPR): Sprostredkovateľ prijme opatrenia podľa Prílohy 3.

4.3 Pomoc Prevádzkovateľovi: Sprostredkovateľ v primeranom rozsahu pomáha pri reagovaní na žiadosti dotknutých osôb (čl. 12 – 23 GDPR) a pri plnení povinností podľa čl. 32 – 36 GDPR.

4.4 Porušenie ochrany údajov: Sprostredkovateľ bezodkladne, najneskôr do 48 hodín od zistenia, oznámi Prevádzkovateľovi každé porušenie ochrany osobných údajov a poskytne súčinnosť.

4.5 Audit: Sprostredkovateľ sprístupní informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audit po predchádzajúcej dohode pri zachovaní dôvernosti ostatných zákazníkov.

5. Ďalší sprostredkovatelia (sub-procesori)

5.1 Prevádzkovateľ udeľuje všeobecný súhlas so zapojením ďalších sprostredkovateľov uvedených v Prílohe 2.

5.2 Sprostredkovateľ uloží ďalším sprostredkovateľom rovnocenné povinnosti ochrany údajov.

5.3 O zamýšľanej zmene v zozname ďalších sprostredkovateľov Sprostredkovateľ informuje Prevádzkovateľa vopred a umožní mu vzniesť námietky.

6. Prenos do tretích krajín

6.1 Prenos mimo EHP sa uskutoční len pri primeraných zárukách podľa GDPR, najmä na základe štandardných zmluvných doložiek (SCC). Aktuálni sub-procesori a ich umiestnenie sú v Prílohe 2.

7. Vymazanie alebo vrátenie údajov

7.1 Po ukončení poskytovania Služby Sprostredkovateľ podľa voľby Prevádzkovateľa vráti alebo vymaže osobné údaje a existujúce kópie, ak právo EÚ alebo SR nevyžaduje ich ďalšie uchovanie. Lehota je zosúladená s VOP (čl. 11.4): export je dostupný 30 dní po ukončení.

8. Zodpovednosť a záverečné ustanovenia

8.1 Zodpovednosť strán sa riadi GDPR a VOP. Táto DPA má pri rozpore vo veciach spracúvania osobných údajov prednosť pred VOP. DPA sa riadi právnym poriadkom Slovenskej republiky.

Príloha 1: Kategórie dotknutých osôb a osobných údajov

Kategórie dotknutých osôb:

• odberatelia a dodávatelia uvedení na faktúrach vrátane fyzických osôb (napr. SZČO),
• kontaktné osoby a zástupcovia obchodných partnerov,
• používatelia, ktorým Prevádzkovateľ zriadil prístup,
• ďalšie osoby, ktorých údaje sa objavia vo faktúrach alebo v Obsahu Objednávateľa.

Kategórie osobných údajov:

• identifikačné a kontaktné údaje (meno, adresa, e-mail, telefón, funkcia),
• firemné a daňové identifikátory (obchodné meno, IČO, DIČ, IČ DPH, Peppol ID),
• údaje z faktúr (čísla a dátumy faktúr, položky, sumy, údaje o DPH, platobné údaje, prípadné poznámky),
• prevádzkové údaje (logy, auditné záznamy, identifikátory).

Osobitné kategórie údajov (čl. 9 GDPR) sa do Služby nemajú vkladať nad rámec nevyhnutný pre obsah faktúry.

Príloha 2: Zoznam ďalších sprostredkovateľov

Úložisko faktúr a dokumentov (MinIO) prevádzkujeme v rámci vlastnej infraštruktúry na serveroch v EÚ. Konektory na účtovné/ERP systémy (Pohoda mServer, KROS Onix) aktivuje a riadi Prevádzkovateľ a nie sú sub-procesormi Sprostredkovateľa.

Príloha 3: Technické a organizačné opatrenia (čl. 32 GDPR)

• Šifrovanie prenosu: komunikácia cez HTTPS/TLS; bezpečnostné HTTP hlavičky (HSTS); doručovanie v sieti Peppol cez zabezpečené protokoly (TLS/AS4) na strane prístupového bodu.
• Izolácia dát: logická izolácia údajov jednotlivých zákazníkov na úrovni riadkov (RLS).
• Riadenie prístupu: autentizácia cez poskytovateľa identít, riadenie rolí a oprávnení, prístup zamestnancov len v nevyhnutnom rozsahu.
• Auditný záznam: protokolovanie úkonov pre preukaznosť a bezpečnosť.
• Zálohovanie a obnova: pravidelné šifrované zálohy s definovanou retenciou; otestovaná obnova.
• Dostupnosť a monitorovanie: monitorovanie prevádzky a protokolovanie prístupov.
• Riadenie zmien: kontrolovaný proces nasadzovania zmien.

Opatrenia sa priebežne prehodnocujú podľa stavu techniky.