Zmluva o spracúvaní osobných údajov

1. Strany a predmet

1.1 Ak do aplikácie Xelvo vložíte údaje o svojich klientoch, dodávateľoch, kontaktných osobách alebo iných fyzických osobách (napríklad pri tvorbe faktúr, výkazov, cenových ponúk alebo evidencii kontaktov), vo vzťahu k týmto údajom ste prevádzkovateľom vy. Allebra s. r. o. tieto údaje spracúva výlučne vo vašom mene a na váš pokyn ako sprostredkovateľ podľa čl. 28 GDPR.

1.2 Sprostredkovateľom je:

• Allebra s. r. o.
• Sídlo: Brezov 123, 087 01 Brezov, Slovenská republika
• IČO: 55 420 095 · DIČ: 2121981664 · IČ DPH: SK2121981664
• Zapísaná v Obchodnom registri Mestského súdu Prešov, oddiel: Sro, vložka č. 47279/P

1.3 Táto zmluva je súčasťou Obchodných podmienok a platí bez samostatného súhlasu. Predmet, doba, povaha a účel spracúvania, kategórie dotknutých osôb a kategórie osobných údajov sú v Prílohe 1.

1.4 Zodpovedáte za to, že máte právny základ na spracúvanie údajov, ktoré do Služby vkladáte.

2. Pokyny

2.1 Údaje spracúvame iba na základe vašich zdokumentovaných pokynov, ktorými sú predovšetkým vaše úkony v aplikácii, Obchodné podmienky a táto zmluva, a to aj pri prenose do tretej krajiny.

2.2 Ak podľa nášho názoru váš pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bez odkladu vás na to upozorníme.

3. Dôvernosť, obchodné a daňové tajomstvo

3.1 Zabezpečíme, aby všetky osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou, ktorá trvá aj po skončení ich vzťahu k nám.

3.2 Údaje, ktoré do Služby vložíte, môžu okrem osobných údajov obsahovať aj informácie tvoriace obchodné tajomstvo vaše alebo vašich klientov (§ 17 až 20 Obchodného zákonníka), informácie chránené daňovým tajomstvom (§ 11 zákona č. 563/2009 Z. z. o správe daní) alebo informácie dôverné na základe vašich zmlúv s tretími stranami.

3.3 So všetkými údajmi, ktoré vložíte, nakladáme ako s dôvernými informáciami: nezverejníme ich, nesprístupníme tretím osobám nad rámec článku 5, nepoužijeme ich pre vlastný prospech ani prospech tretej osoby a zabezpečíme, aby rovnakú povinnosť dodržiavali všetky osoby, ktoré k údajom majú prístup. Táto povinnosť trvá aj po skončení zmluvy, a to bez časového obmedzenia.

3.4 Údaje, ktoré vložíte, nikdy nepoužívame na vlastné marketingové účely, nepredávame ich, neposkytujeme tretím stranám nad rámec sub-sprostredkovateľov podľa článku 5 a nepoužívame ich na trénovanie AI modelov.

3.5 Do obsahu účtov nevstupujeme. Výnimkou je prístup nevyhnutný na riešenie konkrétneho technického problému na vašu žiadosť alebo na ochranu bezpečnosti Služby, vždy v minimálnom nutnom rozsahu a so záznamom o prístupe.

4. Bezpečnosť

Prijímame bezpečnostné opatrenia podľa čl. 32 GDPR. Ich zoznam je v Prílohe 2.

5. Sub-sprostredkovatelia

5.1 Udeľujete nám všeobecné povolenie na zapojenie sub-sprostredkovateľov. Ich zoznam je v Prílohe 3.

5.2 Každému sub-sprostredkovateľovi ukladáme zmluvne rovnaké povinnosti ochrany údajov, aké máme my. Za jeho plnenie vám zodpovedáme my.

5.3 Zámer pridať alebo nahradiť sub-sprostredkovateľa vám oznámime najmenej 14 dní vopred a zoznam v Prílohe 3 aktualizujeme.

5.4 Proti zmene môžete namietať. Ak námietke nevieme vyhovieť, môžete predplatné zrušiť a pomernú časť ceny za nevyčerpané fakturačné obdobie vám vrátime.

6. Žiadosti dotknutých osôb

Poskytneme vám súčinnosť pri vybavovaní žiadostí dotknutých osôb podľa čl. 15 až 22 GDPR.

7. Porušenie ochrany osobných údajov

Porušenie ochrany osobných údajov vám oznámime bez zbytočného odkladu po jeho zistení, najneskôr do 72 hodín, spolu s opisom povahy porušenia a prijatých opatrení.

8. Posúdenie vplyvu a konzultácie

Poskytneme vám súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR, najmä pri posúdení vplyvu na ochranu údajov a pri predchádzajúcej konzultácii s dozorným orgánom.

9. Audit a informácie

9.1 Na požiadanie vám poskytneme informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR, najmä vyplnený dotazník a dokumentáciu.

9.2 Osobný audit je možný iba pri dôvodnom podozrení z porušenia tejto zmluvy. Oznámite nám ho najmenej 30 dní vopred, vykoná sa v pracovnom čase, na vaše náklady a spôsobom, ktorý neprimerane nezasahuje do našej činnosti.

10. Prenosy a umiestnenie údajov

10.1 Údaje vložené do aplikácie sú primárne uložené v databáze a úložisku v dátovom centre v Európskej únii (Frankfurt, región eu-central-1).

10.2 K prenosu do tretej krajiny dochádza iba v rozsahu Prílohy 3 (najmä pri využití AI funkcií a doručovaní e-mailov) a výlučne pri splnení podmienok kapitoly V GDPR:

• na základe rozhodnutia Európskej komisie o primeranosti: pri spoločnostiach certifikovaných v rámci EU-U.S. Data Privacy Framework (čl. 45 GDPR),
• na základe štandardných zmluvných doložiek prijatých Európskou komisiou (čl. 46 ods. 2 písm. c) GDPR), doplnených o dodatočné technické opatrenia, najmä šifrovanie.

10.3 Konkrétny mechanizmus pri každom sub-sprostredkovateľovi je v Prílohe 3.

11. Výmaz a vrátenie údajov

Po zmazaní firmy alebo zrušení účtu platí tento záväzný postup:

• Export: svoje údaje si môžete kedykoľvek počas používania Služby a ešte 60 dní po zmazaní firmy exportovať v štruktúrovanom, strojovo čitateľnom formáte (JSON a CSV, prílohy a doklady v pôvodnom formáte). Odkaz na stiahnutie archívu posielame e-mailom a počas lehoty ho pripomíname.
• Obnova: zmazanú firmu môže jej vlastník obnoviť priamo v aplikácii do 30 dní od zmazania. Po tejto lehote sa firma obnoviť nedá a údaje si možno už iba stiahnuť z archívu, a to až do ich výmazu po 60 dňoch. Obnova priamo v aplikácii platí pri zmazaní firmy. Pri zrušení účtu o obnovenie účtu a firiem požiadate podporu na support@xelvo.app do 30 dní od vybavenia žiadosti (bod 16.2 Obchodných podmienok).
• Výmaz: po uplynutí 60-dňovej lehoty všetky údaje firmy vymažeme. Výmaz vykonáva denná automatická úloha, teda najneskôr nasledujúci deň. Zo záložných kópií sa údaje odstránia najneskôr do 90 dní od výmazu z produkčného prostredia; do ich odstránenia sa zálohy nepoužívajú na nič iné než obnovu po havárii.
• Zákonné výnimky: výmaz sa netýka údajov, ktoré sme povinní uchovať podľa zákona (najmä účtovné a daňové doklady o našom zmluvnom vzťahu s vami, ktoré uchovávame 10 rokov).
• Potvrdenie: na požiadanie vám písomne potvrdíme vykonanie výmazu.

Zmazanie firmy, zrušenie účtu a zrušenie účtu neaktívneho člena tímu upravuje aj článok 16 Obchodných podmienok.

12. AI funkcie a externé konektory

12.1 Súčasťou Služby sú AI funkcie (Xelvo asistent, extrakcia údajov z dokladov, kategorizácia výdavkov). Spracúvajú údaje výlučne na váš pokyn a na účel, ktorý ste vyvolali; ich výstupy sú návrhy, ktoré kontrolujete a potvrdzujete vy. Spracúvanie zabezpečuje spoločnosť Anthropic, PBC ako náš sub-sprostredkovateľ. Na základe našich zmluvných podmienok s ňou sa údaje nepoužívajú na trénovanie AI modelov a na strane Anthropicu sa vymazávajú najneskôr do 7 dní od vybavenia požiadavky. Rozsah údajov posielaných AI minimalizujeme.

12.2 Sub-sprostredkovateľom nie je poskytovateľ externého AI nástroja, ktorý si sami napojíte cez AI konektor (rozhranie MCP) alebo API. Údaje sa pri takom napojení na váš pokyn prenášajú na servery poskytovateľa, ktorého ste si zvolili; za výber takého nástroja a spracúvanie údajov na jeho strane zodpovedáte vy. My zodpovedáme za bezpečnosť rozhrania na našej strane (overenie totožnosti, riadenie rozsahu prístupu, možnosť napojenie kedykoľvek zrušiť).

13. Trvanie a zmeny

13.1 Zmluva platí počas trvania zmluvy podľa Obchodných podmienok. Po jej skončení spracúvame údaje iba podľa článku 11.

13.2 Povinnosť dôvernosti podľa článku 3 trvá aj po skončení zmluvy, bez časového obmedzenia.

13.3 Zmluvu meníme rovnako ako Obchodné podmienky (článok 17 Obchodných podmienok): zmenu vám oznámime e-mailom alebo v aplikácii najmenej 14 dní pred jej účinnosťou. Každá verzia má číslo verzie a dátum účinnosti.

13.4 Otázky k spracúvaniu údajov nám posielajte na gdpr@xelvo.app.

Príloha 1. Podrobnosti spracúvania

Príloha 2. Technické a organizačné opatrenia

• šifrovanie komunikácie protokolom TLS na všetkých stránkach a v aplikácii,
• šifrovanie údajov v databáze a úložisku (šifrovanie „at rest“),
• ukladanie hesiel výlučne v podobe kryptografického odtlačku (hash),
• pri registrácii, zmene aj obnove hesla vyžadujeme heslo s najmenej 10 znakmi, ktoré obsahuje veľké písmeno, malé písmeno a číslicu,
• obmedzený počet pokusov o prihlásenie, registráciu a obnovu hesla v krátkom čase (ochrana proti skúšaniu hesiel),
• oddelenie údajov firiem priamo v databáze (Row Level Security): používateľ sa dostane iba k údajom firiem, ktorých je členom,
• doklady, prílohy dokladov a bankové výpisy ukladáme v neverejnom úložisku bez verejných adries; na zobrazenie alebo stiahnutie dokladu vytvárame podpísaný odkaz s obmedzenou platnosťou,
• heslo k vlastnému SMTP serveru, ktoré používateľ zadá v nastaveniach, ukladáme zašifrované algoritmom AES-256-GCM,
• bezpečnostné hlavičky prehliadača: politika obsahu stránky (Content Security Policy), vynútené HTTPS (HSTS) a zákaz vloženia aplikácie do rámca cudzej stránky,
• riadenie prístupov podľa princípu nevyhnutnej potreby (need-to-know) a povinnosť mlčanlivosti všetkých osôb s prístupom k údajom,
• pravidelné zálohovanie s obmedzenou dobou uchovávania záloh (najviac 90 dní),
• logovanie prístupov a bezpečnostných udalostí,
• zmluvné zabezpečenie všetkých dodávateľov zmluvami podľa čl. 28 GDPR.

Príloha 3. Sub-sprostredkovatelia

Kto nie je sub-sprostredkovateľom

Poskytovateľ externého AI nástroja, ktorý si sami napojíte cez AI konektor alebo API (článok 12.2). Za výber takého nástroja a spracúvanie údajov na jeho strane zodpovedáte vy.