Zmluva o spracúvaní osobných údajov

1. Strany zmluvy

Sprostredkovateľ (Processor): ZOLO — Slovak Tax & Accounting, obchodné údaje na /contact.

Prevádzkovateľ (Controller): Fyzická alebo právnická osoba, ktorá si vytvorila účet na app.zolo.sk. Prevádzkovateľ rozhoduje o účeloch a spôsoboch spracúvania.

2. Predmet a účel spracúvania

ZOLO ako Sprostredkovateľ spracúva osobné údaje výhradne v mene Prevádzkovateľa na účely:

• Uloženie a spracovanie účtovných dokladov (FA, PFA, PPD, VPD, atď.)
• Generovanie XML výkazov pre Finančnú správu SR (DPH, DPPO, DPFO, DPMV)
• Odosielanie e-mailových notifikácií (pripomienky platby, potvrdenia)
• Uchovávanie záložných kópií a auditného denníka

3. Kategórie osobných údajov

• Identifikačné údaje (meno, priezvisko, adresa, IČO, DIČ)
• Kontaktné údaje (email, telefón)
• Bankové údaje (IBAN, BIC)
• Pracovné údaje (zamestnanci — mzdy, RČ, sociálne poistenie)
• Fakturačné údaje (číslo dokladu, suma, DPH)

4. Doba spracúvania

Údaje spracúvame po dobu platnosti účtu Prevádzkovateľa a následne 10 rokov od zrušenia účtu (v súlade s §35 zákona č. 431/2002 Z.z. o účtovníctve). Po tejto lehote údaje trvalo vymažeme okrem prípadov, keď je uchovávanie vyžadované iným právnym predpisom.

5. Bezpečnostné opatrenia

• Šifrovanie: TLS 1.3 pre všetku komunikáciu, AES-256 na úrovni databázy
• Autentifikácia: Bcrypt pre heslá, MFA/TOTP dostupné
• RLS (Row-Level Security): Používatelia vidia iba dáta svojej firmy
• Audit log: Každá zmena (INSERT/UPDATE/DELETE) sa loguje s user_id + IP
• Idle timeout: Odhlásenie po 30 min neaktivity
• Rate limiting: Ochrana proti abuse
• Sentry: Real-time error tracking

6. Subprocesory (poddodávatelia)

ZOLO využíva nasledovných subprocesorov (všetci s DPA):

• Supabase Inc. — cloud databáza + storage (hosting v Frankfurte, EÚ)
• Vercel Inc. — frontend hosting a serverless funkcie (EÚ regióny)
• Resend — transakčný email (US, EU forwarding)
• Anthropic PBC — AI Vision pre PFA import (opcionálne, len ak zapneš)
• Sentry Software Inc. — error tracking (Frankfurt)
• Upstash Inc. — Redis pre rate limiting (Frankfurt)

Prevádzkovateľ týmto výslovne súhlasí s vyššie uvedenými subprocesormi. Zmenu subprocesora oznámime aspoň 30 dní vopred.

7. Miesto spracúvania

Údaje sa spracúvajú výhradne v Európskej únii (Frankfurt, Nemecko — Supabase). Do tretích krajín sa údaje neprevádzajú s výnimkou:

• Anthropic AI Vision — ak Prevádzkovateľ zapne funkciu "PFA AI import", jednotlivé strany prijatých dokumentov sa v anonymizovanej podobe posielajú na Anthropic API (USA). Prevádzkovateľ môže funkciu kedykoľvek vypnúť v Nastaveniach.

8. Práva Prevádzkovateľa

• Export dát: Kedykoľvek stiahni cez /gdpr-export (JSON so všetkými dátami)
• Vymazanie: Zruš účet cez /gdpr-delete — trvalé vymazanie do 30 dní
• Audit prístupov: Zoznam všetkých prístupov v Nastavenia → Audit
• Prenositeľnosť: Podporujeme export do štandardných formátov (JSON, CSV, XML)

9. Oznamovanie porušenia

V prípade porušenia bezpečnosti údajov, ktoré predstavuje riziko pre práva a slobody dotknutých osôb, oznámime Prevádzkovateľovi do 72 hodín od zistenia. Oznámenie obsahuje povahu porušenia, rozsah dotknutých údajov a prijaté opatrenia.

10. Kontakt na DPO

Prevádzkovateľa údajov na strane ZOLO: privacy@zolo.sk