Zmluva o spracúvaní osobných údajov

pre firemný režim E-blok Business · podľa čl. 28 Nariadenia (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. · verzia 1.0 · účinná od 4. 10. 2026

Zmluvné strany

Prevádzkovateľ: zákazník, ktorý používa firemný režim E-blok Business, identifikovaný údajmi svojho účtu a firemného profilu v aplikácii E-blok (ďalej „Prevádzkovateľ“).

Sprostredkovateľ: Aipex s. r. o., so sídlom Jurigovo námestie 436/1, Bratislava - mestská časť Karlova Ves 841 04, IČO 57146012, zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel: Sro, vložka č. 190756/B (ďalej „Sprostredkovateľ“).

Uzavretie: táto zmluva sa uzatvára odkazom vo Všeobecných obchodných podmienkach aplikácie E-blok (ďalej „VOP“) okamihom, keď Prevádzkovateľ začne používať firemný režim E-blok Business, v znení zverejnenom na tejto adrese k tomuto dňu. Strany sú identifikované údajmi účtu a firmy v aplikácii; na žiadosť Prevádzkovateľa strany uzavrú aj podpísané vyhotovenie.

Čl. 1 – Predmet a doba spracúvania

  1. Sprostredkovateľ spracúva osobné údaje v mene Prevádzkovateľa výlučne na účel poskytovania firemného režimu E-blok Business vrátane doručovacej služby elektronických faktúr v sieti Peppol, po dobu trvania zmluvného vzťahu podľa VOP.
  2. Po skončení spracúvania postupuje Sprostredkovateľ podľa čl. 10.

Čl. 2 – Povaha, účel a kategórie

  1. Povaha spracúvania: vystavovanie, evidencia a odosielanie faktúr (aj e-mailom a v sieti Peppol); príjem a evidencia dokladov vrátane automatického rozpoznania ich obsahu; evidencia odberateľov, dodávateľov, bankových účtov a transakcií; prehľady a exporty pre účtovníka; prístup členov tímu, ktorých Prevádzkovateľ do firmy pozve.
  2. Kategórie dotknutých osôb: odberatelia a dodávatelia Prevádzkovateľa a ich kontaktné osoby; štatutári, zamestnanci a kontaktné osoby Prevádzkovateľa; členovia tímu Prevádzkovateľa.
  3. Kategórie osobných údajov: identifikačné a kontaktné údaje (meno, adresa, e-mail, telefón), IČO, DIČ, IČ DPH a identifikátory v sieti Peppol, fakturačné a platobné údaje (položky, sumy, IBAN, variabilný symbol), obsah dokladov a elektronických faktúr, doručenky a technické záznamy. Osobitné kategórie osobných údajov (čl. 9 GDPR) nie sú predmetom spracúvania a Prevádzkovateľ ich do aplikácie nevkladá.

Čl. 3 – Pokyny Prevádzkovateľa

  1. Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa. Za zdokumentovaný pokyn sa považuje aj používanie aplikácie a jej nastavení (najmä aktivácia doručovacej služby Peppol a automatické zaúčtovanie prijatých e-faktúr) a táto zmluva. Pokyny zahŕňajú aj prenosy do tretích krajín podľa čl. 7.
  2. Ak Sprostredkovateľ považuje pokyn za porušujúci GDPR, bezodkladne o tom Prevádzkovateľa informuje.
  3. Prevádzkovateľ zodpovedá za to, že osobné údaje vkladá do aplikácie v súlade s GDPR, najmä že má právny základ a splnil informačné povinnosti voči dotknutým osobám.

Čl. 4 – Dôvernosť

Sprostredkovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli zaviazané mlčanlivosťou alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti.

Čl. 5 – Bezpečnosť spracúvania (čl. 32 GDPR)

Sprostredkovateľ prijíma primerané technické a organizačné opatrenia zodpovedajúce riziku, najmä:

Čl. 6 – Ďalší sprostredkovatelia

  1. Prevádzkovateľ udeľuje všeobecné povolenie na zapojenie ďalších sprostredkovateľov. Aktuálny zoznam:
    • Verteco digital services, s. r. o., IČO 53 412 834, Žilina – technické zabezpečenie doručovacej služby Peppol (certifikovaný poskytovateľ doručovacej služby, PA SK ID EFSK000031);
    • ďalší sprostredkovatelia spoločnosti Verteco digital services, s. r. o. podľa jej zmluvy o spracúvaní osobných údajov (v1.5, čl. 6.1): DigitalOcean LLC – cloudová infraštruktúra, región Frankfurt (EÚ); Brevo (Sendinblue SAS), Francúzsko – transakčné e-maily; Sentry (Functional Software, Inc. / Sentry GmbH) – monitorovanie chýb, dátový región EÚ; Anthropic PBC, USA – jazykový model pre AI funkcie služby Verteco; Websupport, s. r. o., Slovensko – odosielanie e-mailov (SMTP); Cloudflare, Inc. – ochrana pred botmi a útokmi DDoS; aktuálny zoznam je na https://peppol.verteco.digital/gdpr;
    • vlastní dodávatelia Sprostredkovateľa: Microsoft – Microsoft Azure (server, databáza, úložisko súborov a rozpoznanie obsahu dokladov službou Azure AI Document Intelligence; dátové centrá v EÚ) a Microsoft 365 (odosielanie e-mailov z aplikácie, napríklad faktúr odberateľom).
    Pri vyhľadaní odberateľa alebo dodávateľa podľa názvu alebo IČO sa hľadaný výraz odovzdá verejným registrom ORSF (api.orsf.sk) a Obchodnému registru SR (sluzby.orsr.sk); tie nie sú ďalšími sprostredkovateľmi.
  2. Zapojenie nového alebo výmenu ďalšieho sprostredkovateľa oznámi Sprostredkovateľ Prevádzkovateľovi najmenej 30 dní vopred e-mailom a zverejnením na tejto adrese. Ak Prevádzkovateľ v tejto lehote vznesie odôvodnenú námietku a nenájde sa riešenie, môže zmluvný vzťah o firemnom režime alebo o doručovacej službe Peppol ukončiť ku dňu účinnosti zmeny bez sankcie.
  3. Sprostredkovateľ uloží každému ďalšiemu sprostredkovateľovi rovnocenné povinnosti ochrany osobných údajov a zodpovedá za plnenie jeho povinností.

Čl. 7 – Prenosy do tretích krajín

Spracúvanie prebieha primárne v EÚ/EHP. Pri ďalších sprostredkovateľoch so sídlom v USA alebo s materskou spoločnosťou v USA (Anthropic PBC; DigitalOcean, Cloudflare, Sentry a Microsoft) sa prípadný prenos uskutočňuje na základe rozhodnutia o primeranosti (EU-U.S. Data Privacy Framework), inak na základe štandardných zmluvných doložiek s doplňujúcimi opatreniami.

Čl. 8 – Súčinnosť a porušenie ochrany osobných údajov

  1. Sprostredkovateľ s prihliadnutím na povahu spracúvania poskytne Prevádzkovateľovi súčinnosť pri plnení povinností voči dotknutým osobám (čl. 12 až 23 GDPR) a pri zabezpečení súladu s čl. 32 až 36 GDPR, najmä prostredníctvom exportov a funkcií aplikácie. Súčinnosť nad rámec bežnej prevádzky poskytne za náhradu účelne vynaložených nákladov.
  2. Porušenie ochrany osobných údajov oznámi Sprostredkovateľ Prevádzkovateľovi bez zbytočného odkladu, najneskôr do 24 hodín od jeho zistenia alebo od oznámenia od spoločnosti Verteco digital services, s. r. o., s popisom povahy porušenia, pravdepodobných následkov a prijatých opatrení; informácie môže poskytovať postupne.

Čl. 9 – Audit

  1. Sprostredkovateľ sprístupní Prevádzkovateľovi informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a umožní audit vrátane inšpekcie vykonanej Prevádzkovateľom alebo ním povereným audítorom.
  2. Audit sa vykoná po písomnom oznámení najmenej 30 dní vopred, v pracovnom čase, najviac raz ročne (neplatí po bezpečnostnom incidente alebo na pokyn dozorného orgánu), bez neprimeraného narušenia prevádzky a s ochranou dôverných informácií; audítor nesmie byť konkurentom Sprostredkovateľa a zaviaže sa mlčanlivosťou. Náklady auditu znáša Prevádzkovateľ. Sprostredkovateľ môže povinnosť splniť aj sprístupnením správ, certifikácií alebo vyplneného bezpečnostného dotazníka.
  3. Pri spoločnosti Verteco digital services, s. r. o. a jej sprostredkovateľoch sa audit vykoná len v rozsahu a za podmienok, ktoré Sprostredkovateľovi umožňuje jej zmluva o spracúvaní osobných údajov (čl. 9).

Čl. 10 – Vrátenie a výmaz

  1. Po skončení zmluvného vzťahu Sprostredkovateľ podľa voľby Prevádzkovateľa osobné údaje vráti (export dokladov a údajov v rozsahu, v akom nimi disponuje) alebo vymaže; ak Prevádzkovateľ voľbu neurobí do 30 dní, údaje vymaže.
  2. To neplatí pre údaje, ktoré je Sprostredkovateľ povinný uchovávať podľa právnych predpisov, a pre záznamy, ktoré slúžia ako dôkaz: záznamy o úkonoch vo firme (kto, kedy a čo zmenil, vrátane obsahu záznamu) a záznamy o doručovacej službe Peppol vrátane originálov odoslaných a prijatých dokladov. Sprostredkovateľ ich uchováva aj po skončení zmluvného vzťahu a po zrušení firmy, kým sú potrebné na preukázanie, uplatnenie alebo obhajobu právnych nárokov a na plnenie povinností voči spoločnosti Verteco digital services, s. r. o.; záznamy o tom, ktorý používateľ ktorý doklad vytvoril a odoslal v sieti Peppol, najmenej počas trvania zmluvy s ňou a päť rokov po jej skončení (Zásady ochrany osobných údajov).
  3. Obsah dokladov prenášaných v sieti Peppol uchováva Verteco digital services, s. r. o. len krátko (štandardne 14 dní od doručenia) a potom ho maže podľa svojich podmienok.

Čl. 11 – Zákaz iného použitia

Sprostredkovateľ nepoužíva osobné údaje spracúvané pre Prevádzkovateľa na vlastné marketingové účely, na profilovanie ani na trénovanie modelov strojového učenia. Ako samostatný prevádzkovateľ spracúva len údaje potrebné na vedenie účtu a fakturáciu svojich služieb, na bezpečnosť, na plnenie vlastných povinností (vrátane záznamov podľa čl. 10.2) a na uplatňovanie a obhajobu právnych nárokov.

Čl. 12 – Záverečné ustanovenia

  1. Táto zmluva je súčasťou zmluvného vzťahu podľa VOP a pri doručovacej službe Peppol aj podľa Osobitných podmienok doručovacej služby Peppol; vo veciach ochrany osobných údajov má prednosť. Zodpovednosť strán za škodu sa spravuje týmito dokumentmi; kogentné ustanovenia GDPR tým nie sú dotknuté.
  2. Sprostredkovateľ môže znenie zmluvy zmeniť oznámením najmenej 30 dní pred účinnosťou zmeny; ak Prevádzkovateľ so zmenou nesúhlasí, môže zmluvný vzťah ukončiť ku dňu účinnosti zmeny bez sankcie.
  3. Zmluva sa spravuje právom Slovenskej republiky.