Zmluva o spracúvaní osobných údajov (DPA)

Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA") je neoddeliteľnou súčasťou Všeobecných obchodných podmienok služby eFaktúra a upravuje spracúvanie osobných údajov podľa čl. 28 Nariadenia (EÚ) 2016/679 (GDPR), pri ktorom zákazník vystupuje ako prevádzkovateľ a spoločnosť eFaktura s. r. o. ako sprostredkovateľ.

1. Zmluvné strany a predmet

Sprostredkovateľ: eFaktura s. r. o., Klčové 94/19, 915 01 Nové Mesto nad Váhom, Slovenská republika, IČO 57 465 738, DIČ 2122749607, IČ DPH SK2122749607, zapísaná v Obchodnom registri Okresného súdu Trenčín, oddiel Sro, vložka č. 57413/R, e-mail info@efaktura.sk (ďalej len „Poskytovateľ").

Prevádzkovateľ: zákazník – podnikateľ, ktorý používa službu eFaktúra na základe Všeobecných obchodných podmienok (ďalej len „Zákazník" a „VOP").

Zákazník pri používaní služby vkladá do platformy dáta, ktoré môžu obsahovať osobné údaje tretích osôb (najmä jeho odberateľov, dodávateľov, zamestnancov a obchodných kontaktov). Vo vzťahu k týmto údajom je Zákazník prevádzkovateľom a Poskytovateľ ich spracúva v jeho mene ako sprostredkovateľ. Táto DPA sa uzatvára akceptáciou VOP a trvá počas celého trvania zmluvy o používaní služby.

Spracúvanie osobných údajov samotných používateľov služby (účty, fakturácia za službu, podpora), pri ktorom je Poskytovateľ prevádzkovateľom, upravujú Zásady ochrany osobných údajov, nie táto DPA.

2. Povaha, účel a doba spracúvania

• Predmet spracúvania: osobné údaje obsiahnuté v dátach, ktoré Zákazník vloží do služby alebo ktoré pre Zákazníka služba prijme (doklady, kontakty, dokumenty, bankové transakcie, e-maily, elektronické faktúry).
• Povaha spracúvania: ukladanie, štruktúrovanie, zobrazovanie, vyťažovanie údajov z dokumentov (OCR), generovanie dokladov a PDF, odosielanie a prijímanie dokladov (e-mail, sieť Peppol), párovanie platieb, zálohovanie, export a vymazanie.
• Účel spracúvania: poskytovanie služby eFaktúra v rozsahu podľa VOP a konfigurácie zvolenej Zákazníkom.
• Doba spracúvania: počas trvania zmluvy podľa VOP a následne počas lehôt uvedených v článku 10 tejto DPA.

3. Kategórie dotknutých osôb a typy údajov

Kategórie dotknutých osôb:

• odberatelia a dodávatelia Zákazníka a ich kontaktné osoby,
• zamestnanci a spolupracovníci Zákazníka (napr. členovia tímu, osoby na cestovných príkazoch, osoby uvedené vo firemných dokumentoch),
• príjemcovia dokladov a cenových ponúk,
• platitelia a protistrany bankových transakcií,
• iné osoby, ktorých údaje Zákazník do služby vloží.

Typy osobných údajov:

• identifikačné a kontaktné údaje (meno, adresa, e-mail, telefón, funkcia),
• obchodné identifikátory fyzických osôb – podnikateľov (IČO, DIČ, IČ DPH),
• fakturačné a platobné údaje (čísla účtov IBAN, variabilné symboly, sumy, predmety plnenia),
• údaje z bankových výpisov a transakcií (protistrany, popisy platieb, maskované čísla kariet),
• obsah dokumentov a ich príloh vrátane OCR extraktov,
• ďalšie údaje, ktoré Zákazník do služby vloží.

Služba nie je určená na spracúvanie osobitných kategórií osobných údajov (čl. 9 GDPR). Zákazník sa zaväzuje takéto údaje do služby nevkladať, resp. ich vkladá výlučne na vlastnú zodpovednosť.

4. Pokyny prevádzkovateľa

Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Zákazníka. Za zdokumentované pokyny sa považujú VOP, táto DPA, konfigurácia služby a úkony vykonané Zákazníkom a jeho používateľmi v aplikácii a cez API (napr. odoslanie dokladu, aktivácia integrácie, žiadosť o export či vymazanie). Poskytovateľ bezodkladne informuje Zákazníka, ak sa domnieva, že pokyn porušuje GDPR alebo iné právne predpisy. Ak právo EÚ alebo právo členského štátu vyžaduje spracúvanie nad rámec pokynov, Poskytovateľ Zákazníka o tejto požiadavke informuje, ibaže to príslušné právo zakazuje.

5. Dôvernosť

Poskytovateľ zabezpečuje, aby všetky osoby oprávnené spracúvať osobné údaje (zamestnanci a spolupracovníci Poskytovateľa) boli zaviazané mlčanlivosťou, a to aj po skončení spolupráce. Prístup k produkčným dátam sa riadi princípom najmenších privilégií a je zaznamenávaný.

6. Bezpečnosť spracúvania

Poskytovateľ prijal a udržiava technické a organizačné opatrenia podľa čl. 32 GDPR zodpovedajúce riziku spracúvania. Ich aktuálny prehľad tvorí Prílohu č. 1 tejto DPA. Poskytovateľ môže opatrenia priebežne aktualizovať a zlepšovať; ich úroveň ochrany pritom nesmie klesnúť.

7. Sub-sprostredkovatelia

• Zákazník udeľuje Poskytovateľovi všeobecné písomné povolenie na zapojenie sub-sprostredkovateľov.
• Aktuálny a úplný zoznam sub-sprostredkovateľov vrátane účelu a krajiny spracúvania je zverejnený v článku 5 Zásad ochrany osobných údajov a tvorí súčasť tejto DPA.
• O zamýšľanom pridaní alebo nahradení sub-sprostredkovateľa informuje Poskytovateľ Zákazníka najmenej 14 dní vopred (aktualizáciou zoznamu a oznámením v aplikácii alebo e-mailom). Zákazník môže z oprávnených dôvodov namietať; ak námietke nemožno vyhovieť technicky ani organizačne, môže Zákazník zmluvu ukončiť podľa VOP.
• Poskytovateľ ukladá každému sub-sprostredkovateľovi zmluvou rovnaké povinnosti ochrany údajov, aké vyplývajú z tejto DPA, a voči Zákazníkovi zodpovedá za plnenie povinností sub-sprostredkovateľov.
• Za sub-sprostredkovateľov sa nepovažujú subjekty, ktorým sa údaje odovzdávajú z pokynu Zákazníka ako samostatným prevádzkovateľom (napr. banka Zákazníka, príjemca e-faktúry a prevádzkovateľ jeho prístupového bodu v sieti Peppol, Finančná správa SR, e-shop alebo iná integrácia aktivovaná Zákazníkom).

8. Pomoc prevádzkovateľovi a žiadosti dotknutých osôb

• Poskytovateľ poskytuje Zákazníkovi súčinnosť pri plnení povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie porušení, posúdenie vplyvu, predchádzajúce konzultácie), s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii.
• Služba obsahuje nástroje, ktorými Zákazník dokáže väčšinu žiadostí dotknutých osôb vybaviť samostatne (vyhľadanie, oprava, export a vymazanie záznamov). Ak dotknutá osoba adresuje žiadosť priamo Poskytovateľovi, Poskytovateľ ju bez zbytočného odkladu postúpi Zákazníkovi a bez pokynu Zákazníka na ňu vecne neodpovedá.

9. Oznamovanie porušení ochrany údajov

Poskytovateľ oznámi Zákazníkovi porušenie ochrany osobných údajov týkajúce sa údajov spracúvaných podľa tejto DPA bez zbytočného odkladu po tom, čo sa o ňom dozvedel, na e-mailové adresy vlastníkov a administrátorov organizácie Zákazníka. Oznámenie obsahuje minimálne informácie podľa čl. 33 ods. 3 GDPR (povahu porušenia, pravdepodobné následky, prijaté a navrhované opatrenia, kontaktný bod); informácie možno poskytovať postupne podľa priebehu vyšetrovania.

10. Vymazanie a vrátenie údajov po ukončení

• Zákazník si môže dáta kedykoľvek exportovať priamo v aplikácii (CSV, PDF, ISDOC, kompletný archív). Pri žiadosti o zmazanie organizácie sa automaticky vygeneruje kompletný export dokladov, aby si Zákazník splnil vlastné archivačné povinnosti.
• Po ukončení zmluvy, resp. po uplynutí 30-dňovej ochrannej lehoty po žiadosti o zmazanie, Poskytovateľ všetky osobné údaje spracúvané podľa tejto DPA vymaže. Poskytovateľ si neponecháva archív dokladov Zákazníka na účely plnenia archivačnej povinnosti Zákazníka ako účtovnej jednotky — tú si Zákazník plní z exportu podľa predchádzajúceho bodu.
• Výnimkou je len uchovanie, ktoré vyžaduje právo EÚ alebo Slovenskej republiky, a to výlučne v tomto rozsahu a na tieto doby: (a) doklady, ktoré je Poskytovateľ sám povinný archivovať ako účtovná jednotka (najmä faktúry vystavené Zákazníkovi za službu) — 10 rokov podľa § 35 zákona č. 431/2002 Z. z. a § 76 zákona č. 222/2004 Z. z.; (b) bezpečnostné a prevádzkové záznamy — po dobu uvedenú v článku 7 Zásad ochrany osobných údajov (spravidla 30 – 90 dní); (c) údaje nevyhnutné na preukazovanie a obhajobu právnych nárokov — do uplynutia premlčacích lehôt (spravidla najviac 4 roky po skončení zmluvy); (d) dôkazy o odoslaní, prijatí, doručení, odmietnutí alebo nedoručení dokladov v sieti Peppol — identifikátory účastníkov a dokladu, časy, stav doručenia a odtlačok (hash) dokladu, bez obsahu dokladu — 10 rokov od konca kalendárneho roka, v ktorom udalosť nastala. Takto uchované údaje Poskytovateľ spracúva výlučne na uvedený účel, naďalej sa na ne vzťahujú povinnosti mlčanlivosti a bezpečnosti podľa článkov 5 a 6 tejto DPA, a po uplynutí príslušnej doby sa bez zbytočného odkladu vymažú. Žiadna z týchto výnimiek nezakladá časovo neobmedzené uchovávanie.
• Údaje obsiahnuté v zálohách sa vymažú ich prirodzenou rotáciou: obnova k bodu v čase a denné zálohy do 7 dní, týždenné snímky a záložná kópia dokumentov do 30 dní, mesačné body obnovy najneskôr do 3 mesiacov; do ich vymazania sa zálohy nepoužívajú na iný účel než obnovu po havárii.

11. Prenosy do tretích krajín

Spracúvanie prebieha primárne v Európskom hospodárskom priestore (databáza aj úložisko dokumentov). Ak sub-sprostredkovateľ spracúva údaje v tretej krajine, prenos sa opiera o rozhodnutie o primeranosti (vrátane EU–US Data Privacy Framework) alebo štandardné zmluvné doložky podľa rozhodnutia Komisie 2021/914, spolu s dodatočnými opatreniami. Podrobnosti vrátane výhrady k záložnému rozhraniu Gemini API pri AI funkciách sú uvedené v článku 6 Zásad ochrany osobných údajov.

12. Audit

• Poskytovateľ sprístupní Zákazníkovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR – primárne formou tejto DPA, opisu opatrení v Prílohe č. 1, zoznamu sub-sprostredkovateľov a odpovedí na písomné otázky Zákazníka.
• Ak tieto informácie odôvodnene nepostačujú, umožní Poskytovateľ Zákazníkovi (alebo ním poverenému audítorovi viazanému mlčanlivosťou) audit, najviac raz za 12 mesiacov, v bežnom pracovnom čase, po písomnom oznámení najmenej 30 dní vopred a spôsobom, ktorý neohrozí bezpečnosť dát ostatných zákazníkov. Náklady auditu znáša Zákazník.

13. Zodpovednosť a záverečné ustanovenia

• Zodpovednosť strán sa spravuje článkom o zodpovednosti za škodu vo VOP; tým nie sú dotknuté kogentné ustanovenia čl. 82 GDPR.
• Zákazník zodpovedá za zákonnosť spracúvania osobných údajov, ktoré do služby vkladá – najmä za existenciu právneho základu a splnenie informačnej povinnosti voči dotknutým osobám.
• Táto DPA sa spravuje právnym poriadkom Slovenskej republiky; na riešenie sporov sú príslušné súdy Slovenskej republiky. Záväzným jazykom je slovenčina, prípadné preklady sú informatívne.
• Zmeny tejto DPA sa riadia mechanizmom zmien VOP. Aktuálne znenie je vždy dostupné na efaktura.sk/dpa; predchádzajúce verzie poskytne Poskytovateľ na vyžiadanie na info@efaktura.sk.
• Verzia dokumentu: 2026-10-17-v2. Táto DPA nadobúda platnosť a účinnosť dňa 17. 10. 2026 a nahrádza znenie účinné od 6. 7. 2026.

Príloha č. 1 – Technické a organizačné opatrenia (TOM)

• Šifrovanie v prenose: TLS pre všetku komunikáciu medzi klientmi, aplikáciami a API; bezpečnostné hlavičky (CSP, HSTS).
• Šifrovanie v pokoji: šifrovaná databáza (EÚ, Frankfurt) a šifrované objektové úložisko dokumentov; bankové prístupové tokeny a tajomstvá dvojfaktorovej autentifikácie šifrované aj na aplikačnej úrovni.
• Izolácia tenantov: každá požiadavka je viazaná na konkrétnu organizáciu; oddelenie dát je vynucované aj priamo na úrovni databázy technológiou Row-Level Security (fail-closed – bez kontextu organizácie sa nevrátia žiadne riadky).
• Riadenie prístupu: rolový model prístupu v organizáciách Zákazníka (6 úrovní rolí); princíp najmenších privilégií pre tím Poskytovateľa; povinná dvojfaktorová autentifikácia pre administrátorský tím Poskytovateľa; audit logy administratívnych a dôležitých akcií vrátane IP adresy.
• Autentifikácia používateľov: heslá výhradne vo forme scrypt hashu; voliteľná TOTP dvojfaktorová autentifikácia; časovo obmedzené relácie.
• Ochrana pred zneužitím: rate-limiting (IP + hash e-mailu), anti-bot ochrana kritických formulárov (Cloudflare Turnstile), maskovanie citlivých údajov v logoch a diagnostike.
• Úložisko dokumentov: súkromné buckety bez verejného prístupu; prístup výlučne cez krátkodobé podpísané odkazy; oddelený verejný bucket len pre logá a branding.
• Kontinuita prevádzky: pravidelné automatizované zálohy s rotáciou podľa článku 10 (najdlhšie 3 mesiace), plán obnovy po havárii, monitoring dostupnosti a chýb.
• Vývoj a prevádzka: oddelené produkčné a testovacie prostredia, revízia kódu, evidencia a riadenie zmien, incident response proces s oznamovaním porušení bez zbytočného odkladu.
• Personál: zmluvná mlčanlivosť všetkých osôb s prístupom k údajom, školenia o ochrane údajov.