Zásady ochrany osobných údajov

ČASŤ A: Spracúvanie, pri ktorom je Allebra s. r. o. prevádzkovateľom

1. Prevádzkovateľ a kontaktné údaje

Prevádzkovateľom osobných údajov je:

• Allebra s. r. o.
• Sídlo: Brezov 123, 087 01 Brezov, Slovenská republika
• IČO: 55 420 095 · DIČ: 2121981664 · IČ DPH: SK2121981664
• Zapísaná v Obchodnom registri Mestského súdu Prešov, oddiel: Sro, vložka č. 47279/P
• E-mail pre otázky ochrany osobných údajov: gdpr@xelvo.app
• Všeobecný kontakt: support@xelvo.app · Web: https://www.xelvo.app

2. Aké údaje, na aké účely, na akom právnom základe a ako dlho

Nasledujúca tabuľka uvádza všetky účely spracúvania vrátane presných kategórií osobných údajov, právneho základu a konkrétnej doby uchovávania. Po uplynutí uvedenej doby údaje vymažeme alebo nevratne anonymizujeme.

Poskytnutie údajov označených vo formulároch ako povinné je podmienkou vytvorenia účtu alebo vybavenia žiadosti; bez nich nevieme službu poskytnúť. Poskytnutie údajov na marketingové účely je vždy dobrovoľné.

Nespracúvame osobitné kategórie osobných údajov (citlivé údaje) a naša služba nie je určená osobám mladším ako 16 rokov.

3. Komu údaje poskytujeme: konkrétny zoznam príjemcov

Osobné údaje neposkytujeme tretím stranám na ich vlastné marketingové účely a nepredávame ich. Na prevádzku služby využívame nasledujúcich sprostredkovateľov, s ktorými máme uzatvorené zmluvy o spracúvaní osobných údajov podľa čl. 28 GDPR:

Prihlásenie cez Google. Ak sa rozhodnete prihlásiť do aplikácie cez Google (voliteľná možnosť), samotnú autentifikáciu vykonáva spoločnosť Google Ireland Limited, ktorá nám sprístupní vašu e-mailovú adresu a základné údaje profilu. Vo vzťahu k tomuto prihláseniu vystupuje Google ako samostatný prevádzkovateľ a spracúvanie sa riadi jej zásadami ochrany osobných údajov. Ak túto možnosť nevyužijete, žiadne údaje sa Googlu neposielajú.

Aktuálny zoznam sprostredkovateľov udržiavame na tejto stránke. O zámere pridať alebo nahradiť sprostredkovateľa, ktorý spracúva údaje používateľov, informujeme vopred aktualizáciou tohto zoznamu; používateľ má právo voči zmene namietať.

4. Prenos osobných údajov mimo EÚ/EHP

Niektorí z uvedených dodávateľov sídlia v USA. Prenos údajov do tretích krajín uskutočňujeme výlučne pri splnení podmienok kapitoly V GDPR, a to konkrétne:

• na základe rozhodnutia Európskej komisie o primeranosti: pri spoločnostiach certifikovaných v rámci EU-U.S. Data Privacy Framework (čl. 45 GDPR),
• na základe štandardných zmluvných doložiek prijatých Európskou komisiou (čl. 46 ods. 2 písm. c) GDPR), doplnených o dodatočné technické opatrenia, najmä šifrovanie.

Konkrétny mechanizmus pre každého príjemcu je uvedený v tabuľke v bode 3 vrátane odkazu na jeho zmluvné podmienky spracúvania údajov. Do iných tretích krajín, než sú uvedené, údaje neprenášame.

5. Aké máte práva a ako si ich uplatniť

Podľa čl. 15 až 22 GDPR máte právo:

• na prístup: získať potvrdenie, či vaše údaje spracúvame, a ich kópiu (čl. 15),
• na opravu nesprávnych alebo doplnenie neúplných údajov (čl. 16),
• na vymazanie („právo na zabudnutie“), ak už údaje nie sú potrebné, odvolali ste súhlas alebo boli spracúvané nezákonne (čl. 17),
• na obmedzenie spracúvania (čl. 18),
• na prenosnosť: získať údaje, ktoré ste nám poskytli, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (čl. 20),
• namietať proti spracúvaniu založenému na oprávnenom záujme a kedykoľvek proti priamemu marketingu (čl. 21),
• odvolať súhlas: kedykoľvek, bez vplyvu na zákonnosť spracúvania pred odvolaním; pri marketingových e-mailoch stačí kliknúť na odhlasovací odkaz v ktorejkoľvek správe.

Žiadosť pošlite na gdpr@xelvo.app alebo písomne na adresu sídla. Odpovieme do jedného mesiaca od doručenia; pri zložitých alebo početných žiadostiach môžeme lehotu predĺžiť o ďalšie dva mesiace, o čom vás budeme informovať. Uplatnenie práv je bezplatné. Ak nebudeme vedieť spoľahlivo overiť vašu totožnosť, môžeme si vyžiadať doplňujúce informácie potrebné na jej potvrdenie.

6. Dozorný orgán

Ak sa domnievate, že vaše osobné údaje spracúvame v rozpore s právnymi predpismi, máte právo podať návrh na začatie konania podľa § 100 zákona č. 18/2018 Z. z. dozornému orgánu, ktorým je:

• Úrad na ochranu osobných údajov Slovenskej republiky
• Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, Slovenská republika
• Web: https://dataprotection.gov.sk · E-mail: statny.dozor@pdp.gov.sk

7. Bezpečnosť osobných údajov

Na ochranu údajov pred stratou, zneužitím, neoprávneným prístupom, zverejnením alebo zmenou sme prijali najmä tieto technické a organizačné opatrenia:

• šifrovanie komunikácie protokolom TLS na všetkých stránkach a v aplikácii,
• šifrovanie údajov v databáze a úložisku (šifrovanie „at rest“),
• ukladanie hesiel výlučne v podobe kryptografického odtlačku (hash),
• riadenie prístupov podľa princípu nevyhnutnej potreby (need-to-know) a povinnosť mlčanlivosti všetkých osôb s prístupom k údajom,
• pravidelné zálohovanie s obmedzenou dobou uchovávania záloh (najviac 90 dní),
• logovanie prístupov a bezpečnostných udalostí,
• zmluvné zabezpečenie všetkých dodávateľov zmluvami podľa čl. 28 GDPR.

Porušenie ochrany osobných údajov, ktoré pravdepodobne povedie k riziku pre práva fyzických osôb, oznámime dozornému orgánu do 72 hodín od zistenia (čl. 33 GDPR); ak môže viesť k vysokému riziku, bez zbytočného odkladu informujeme aj dotknuté osoby (čl. 34 GDPR).

8. Automatizované rozhodovanie, profilovanie a AI funkcie

Nevykonávame automatizované individuálne rozhodovanie podľa čl. 22 GDPR, ktoré by malo právne účinky alebo by sa vás obdobne významne dotýkalo.

AI funkcie v aplikácii Xelvo. Súčasťou služby sú AI funkcie (AI asistent, extrakcia údajov z dokladov, kategorizácia výdavkov). Tieto funkcie spracúvajú údaje výlučne na pokyn používateľa a na účel, ktorý používateľ vyvolal; ich výstupy sú návrhy, ktoré používateľ kontroluje a potvrdzuje. Spracúvanie zabezpečuje spoločnosť Anthropic, PBC ako náš sub-sprostredkovateľ. Na základe našich zmluvných podmienok s ňou sa údaje nepoužívajú na trénovanie AI modelov a na strane Anthropicu sa vymazávajú najneskôr do 7 dní od vybavenia požiadavky. Rozsah údajov posielaných AI minimalizujeme: do systémového kontextu AI asistenta neposielame meno používateľa a osobné identifikátory obmedzujeme na nevyhnutné minimum potrebné na vykonanie požiadavky.

Záznamy o chybách AI asistenta. Ak odpoveď AI asistenta zlyhá alebo ju označíte palcom nadol, uložíme si obsah dotknutej konverzácie spolu s technickým popisom chyby. Robíme to na základe oprávneného záujmu podľa čl. 6 ods. 1 písm. f) GDPR, ktorým je udržanie funkčnosti a zlepšovanie kvality asistenta; bez záznamu chyby nevieme príčinu nájsť ani odstrániť. Záznam vzniká iba pri chybe alebo vašom hodnotení — bežné fungujúce konverzácie na server neukladáme. Pred uložením obsah automaticky prekrývame: čísla bankových účtov, e-mailové adresy, daňové identifikačné čísla, čísla platobných kariet a prístupové kľúče nahradíme maskou. Prekrytie nedokáže spoľahlivo odstrániť údaje zapísané voľným textom, napríklad meno alebo adresu vášho klienta — preto k záznamom pristupujeme ako k osobným údajom a chránime ich obmedzeným prístupom a krátkou dobou uchovávania. Záznam je pseudonymizovaný, nie anonymný — keďže je naďalej priradený k vášmu účtu, vzťahujú sa naň všetky vaše práva podľa GDPR. K záznamom má prístup výlučne poverený administrátor na strane prevádzkovateľa, uchovávame ich najviac 90 dní a potom sa automaticky mažú. Sú súčasťou exportu vašich údajov aj výmazu účtu. Proti tomuto spracúvaniu môžete kedykoľvek namietať postupom podľa článku 5 týchto zásad. Oddelene od záznamov o chybách vedieme štatistiku tém dopytov (napríklad „vytvorenie faktúry“, „otázka k DPH“) — tá neobsahuje text konverzácie ani väzbu na konkrétnu osobu, takže ide o anonymné údaje mimo pôsobnosti GDPR.

Napojenie externých AI nástrojov cez MCP alebo API. Služba umožňuje používateľovi napojiť si na svoj účet vlastného externého AI asistenta alebo iný nástroj tretej strany prostredníctvom rozhrania MCP alebo API. Ak používateľ takéto napojenie aktivuje, údaje z jeho účtu sa na jeho pokyn prenášajú na servery poskytovateľa, ktorého si používateľ sám zvolil (napríklad prevádzkovateľa AI chatu). Tento poskytovateľ nie je naším sub-sprostredkovateľom; spracúvanie údajov na jeho strane sa spravuje výlučne zmluvným vzťahom a podmienkami medzi používateľom a týmto poskytovateľom a používateľ zaň nesie zodpovednosť ako prevádzkovateľ. My zodpovedáme za bezpečnosť rozhrania na našej strane (autentifikácia, riadenie rozsahu prístupu, možnosť napojenie kedykoľvek zrušiť).

9. Cookies

Web používa nevyhnutné cookies (na základe oprávneného záujmu, resp. výnimky podľa § 109 ods. 8 zákona č. 452/2021 Z. z.) a iba s vaším súhlasom udeleným cez cookie lištu aj analytické a marketingové cookies. Súhlas môžete kedykoľvek zmeniť alebo odvolať cez odkaz „Nastavenia cookies“ v pätičke stránky. Úplný zoznam konkrétnych cookies, ich poskytovateľov, účel a platnosť uvádzame na stránke www.xelvo.app/cookies.

ČASŤ B: Spracúvanie údajov v mene používateľa (čl. 28 GDPR)

10. Roly a predmet spracúvania

Ak používateľ vloží do aplikácie Xelvo údaje o svojich klientoch, dodávateľoch, kontaktných osobách alebo iných fyzických osobách (napríklad pri tvorbe faktúr, výkazov, cenových ponúk alebo evidencii kontaktov), je vo vzťahu k týmto údajom prevádzkovateľom používateľ. Allebra s. r. o. tieto údaje spracúva výlučne v jeho mene a na jeho pokyn ako sprostredkovateľ podľa čl. 28 GDPR.

Táto časť zásad tvorí spolu s Podmienkami používania beta verzie zmluvu o spracúvaní osobných údajov medzi používateľom a nami. Používateľ zodpovedá za to, že má právny základ na spracúvanie údajov, ktoré do služby vkladá.

11. Naše povinnosti ako sprostredkovateľa

Zaväzujeme sa:

• spracúvať údaje iba na základe zdokumentovaných pokynov používateľa (ktorými sú predovšetkým jeho úkony v aplikácii a tieto podmienky), a to aj pri prenose do tretej krajiny,
• zabezpečiť, aby všetky osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou, ktorá trvá aj po skončení ich vzťahu k nám,
• prijať bezpečnostné opatrenia podľa čl. 32 GDPR (v rozsahu bodu 7 týchto zásad),
• poskytnúť používateľovi súčinnosť pri vybavovaní žiadostí dotknutých osôb (čl. 15 až 22 GDPR) a pri plnení povinností podľa čl. 32 až 36 GDPR,
• oznámiť používateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po jeho zistení, najneskôr do 72 hodín, spolu s opisom povahy porušenia a prijatých opatrení,
• po skončení poskytovania služby vymazať alebo vrátiť údaje podľa voľby používateľa (bod 15),
• poskytnúť informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožniť audit; audit oznámi používateľ aspoň 30 dní vopred, vykoná sa v pracovnom čase, na náklady používateľa a spôsobom, ktorý neprimerane nezasahuje do našej činnosti,
• bezodkladne informovať používateľa, ak podľa nášho názoru jeho pokyn porušuje GDPR alebo iné predpisy o ochrane údajov.

Údaje vložené používateľom nikdy nepoužívame na vlastné marketingové účely, nepredávame ich, neposkytujeme tretím stranám nad rámec sub-sprostredkovateľov uvedených v bode 12 a nepoužívame ich na trénovanie AI modelov.

12. Sub-sprostredkovatelia

Používateľ nám udeľuje všeobecné povolenie na zapojenie sub-sprostredkovateľov. Sú nimi dodávatelia infraštruktúry a AI funkcií uvedení v tabuľke v bode 3 (Vercel, Supabase, Resend, Anthropic, Stripe). Každému sub-sprostredkovateľovi ukladáme zmluvne rovnaké povinnosti ochrany údajov, aké máme my; za jeho plnenie zodpovedáme používateľovi my. Zoznam aktualizujeme na tejto stránke; o zamýšľanej zmene informujeme aspoň 14 dní vopred a používateľ má právo voči zmene namietať; ak námietke nevieme vyhovieť, môže používanie služby ukončiť.

Sub-sprostredkovateľom nie je poskytovateľ externého AI nástroja, ktorý si používateľ sám napojil cez MCP alebo API (bod 8); za výber takého nástroja a spracúvanie údajov na jeho strane zodpovedá používateľ.

13. Umiestnenie údajov

Údaje vložené do aplikácie sú primárne uložené v databáze a úložisku v dátovom centre v Európskej únii (Frankfurt, región eu-central-1). K prenosu do tretej krajiny dochádza iba v rozsahu a so zárukami podľa bodu 4 (najmä pri využití AI funkcií a doručovaní e-mailov).

14. Obchodné a daňové tajomstvo, dôvernosť obchodných údajov

Údaje, ktoré používateľ vloží do služby, môžu okrem osobných údajov obsahovať aj informácie tvoriace obchodné tajomstvo používateľa alebo jeho klientov (§ 17 až 20 Obchodného zákonníka), informácie chránené daňovým tajomstvom (§ 11 zákona č. 563/2009 Z. z. o správe daní) alebo informácie dôverné na základe zmlúv používateľa s tretími stranami.

Zaväzujeme sa so všetkými údajmi vloženými používateľom nakladať ako s dôvernými informáciami: nezverejníme ich, nesprístupníme tretím osobám nad rámec bodu 12, nepoužijeme ich pre vlastný prospech ani prospech tretej osoby a zabezpečíme, aby rovnakú povinnosť dodržiavali všetky osoby, ktoré k údajom majú prístup. Táto povinnosť trvá aj po skončení používateľského vzťahu, a to bez časového obmedzenia.

Do obsahu účtov používateľov nevstupujeme; výnimkou je prístup nevyhnutný na riešenie konkrétneho technického problému na žiadosť používateľa alebo na ochranu bezpečnosti služby, vždy v minimálnom nutnom rozsahu a so záznamom o prístupe.

15. Skončenie používania služby: export a výmaz údajov

Po skončení beta prístupu alebo zrušení účtu platí tento záväzný postup:

• Export: používateľ si môže svoje údaje kedykoľvek počas používania služby a ešte 30 dní po skončení prístupu exportovať v štruktúrovanom, strojovo čitateľnom formáte (CSV, XML alebo PDF podľa typu údajov).
• Výmaz: po uplynutí 30-dňovej exportnej lehoty všetky údaje používateľa vymažeme do ďalších 30 dní. Zo záložných kópií sa údaje odstránia najneskôr do 90 dní od výmazu z produkčného prostredia; do ich odstránenia sa zálohy nepoužívajú na nič iné než obnovu po havárii.
• Zákonné výnimky: výmaz sa netýka údajov, ktoré sme povinní uchovať podľa zákona (najmä účtovné a daňové doklady o našom zmluvnom vzťahu s používateľom, ktoré uchovávame 10 rokov).
• Potvrdenie: na požiadanie používateľovi písomne potvrdíme vykonanie výmazu.

Rovnaký postup platí, ak beta program ukončíme my; v takom prípade používateľa vopred upozorníme podľa Podmienok používania beta verzie a lehoty na export začnú plynúť najskôr dňom skončenia prístupu.

Spoločné a záverečné ustanovenia

16. Zmeny tohto dokumentu

Tento dokument môžeme aktualizovať pri zmene služby, dodávateľov alebo právnych predpisov. Každá verzia obsahuje číslo verzie a dátum účinnosti. O podstatných zmenách (najmä o zmene účelov, príjemcov alebo dôb uchovávania) informujeme registrovaných používateľov e-mailom alebo oznámením v aplikácii aspoň 14 dní pred účinnosťou zmeny. Staršie verzie na požiadanie sprístupníme.

17. Kontakt

Allebra s. r. o., Brezov 123, 087 01 Brezov, Slovenská republika · gdpr@xelvo.app · support@xelvo.app