Spracovanie osobných údajov

Zmluva o spracúvaní osobných údajov (DPA)

podľa čl. 28 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z.
Verzia 1.0 · Účinné od 1. novembra 2026

Prevádzkovateľ (Používateľ / Zákazník):
Podnikateľský subjekt alebo právnická osoba registrovaná v Službe na portáli www.peppolpostar.sk
Obchodné meno: [doplní sa pri individuálnom podpise, inak určené údajmi Účtu/Firmy]
Sídlo: [•], IČO: [•], DIČ: [•], IČ DPH: [•]
(ďalej len „Prevádzkovateľ“)

a

Sprostredkovateľ (Poskytovateľ Služby):
RTsoft, s. r. o., so sídlom Záhradnícka 5157/27A, 955 01 Topoľčany, Slovenská republika, IČO: 57 757 682, DIČ: 2122982939, zapísaná v Obchodnom registri Okresného súdu Nitra, oddiel: Sro, vložka č. 70507/N, konajúca: Radek Trenčanský, konateľ
(ďalej len „Poskytovateľ“ alebo „Sprostredkovateľ“)

Preambula a spôsob uzavretia zmluvy

Poskytovateľ poskytuje Prevádzkovateľovi doručovaciu službu elektronických faktúr v sieti Peppol na portáli www.peppolpostar.sk (RT Peppol Box, API, konektory) ako registrovaný sprostredkovateľ doručovacej služby pod akreditáciou certifikovaného poskytovateľa Verteco digital services, s. r. o. (PA SK ID: EFSK000031) (ďalej len „Služba“). Pri poskytovaní Služby dochádza k spracúvaniu osobných údajov nachádzajúcich sa v elektronických dokladoch a súvisiacich záznamoch v mene Prevádzkovateľa.

Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA“) sa uzatvára automaticky okamihom vzniku zmluvného vzťahu o Službe v zmysle čl. 4 a čl. 11.2 VOP Poskytovateľa. Nevyplnenie polí [•] nemá vplyv na platnosť tejto DPA uzavretej elektronicky odkazom vo VOP; zmluvné strany sú jednoznačne identifikované údajmi Účtu a Firmy v Službe. Ak si Prevádzkovateľ vyžiada osobitne podpísané vyhotovenie, strany ho uzavrú elektronicky.

Čl. 1 – Postavenie strán v reťazci spracúvania (čl. 28 a čl. 28 ods. 4 GDPR)

1.1 Reťazec spracúvania pri obsahu dokladov: Vo vzťahu k osobným údajom obsiahnutým v prenášaných, validovaných a archivovaných elektronických dokladoch (faktúrach, dobropisoch) a adresároch obchodných partnerov vystupuje:
a) Prevádzkovateľ (Zákazník) ako prevádzkovateľ osobných údajov (alebo ako nadradený sprostredkovateľ, ak je Zákazníkom účtovná kancelária spracúvajúca doklady pre svojho klienta),
b) Poskytovateľ (RTsoft, s. r. o.) ako sprostredkovateľ podľa čl. 28 GDPR,
c) Verteco digital services, s. r. o. (IČO 53 412 834, certifikovaný Peppol Access Point EFSK000031) ako ďalší sprostredkovateľ (hlavný sub-sprostredkovateľ) podľa čl. 28 ods. 4 GDPR, ktorý technicky zabezpečuje prevádzku Peppol prístupového bodu, databáz a daňového reportovania.

1.2 Poskytovateľ ani ďalší sprostredkovateľ nepoužívajú osobné údaje z dokladov Prevádzkovateľa na vlastné marketingové účely, na profilovanie ani na trénovanie modelov umelej inteligencie (strojového učenia).

1.3 Kedy Poskytovateľ / Certifikovaný poskytovateľ konajú ako samostatní prevádzkovatelia: Vo vzťahu k údajom spracúvaným na plnenie vlastných zákonných povinností alebo vlastných oprávnených záujmov konajú Poskytovateľ, resp. Certifikovaný poskytovateľ ako samostatní prevádzkovatelia. Ide výlučne o tento uzavretý okruh účelov:
a) generovanie a odosielanie povinných daňových hlásení Finančnej správe SR (C5/TDD) podľa zákona č. 222/2004 Z. z. v znení zákona č. 385/2025 Z. z. a povinných hlásení Peppol Autorite a OpenPeppol AISBL;
b) vedenie bezpečnostných žurnálov, prevádzkových logov a päťročnej evidencie o tom, kto doklad vytvoril a odoslal (podľa čl. 6 VOP a rámca Peppol);
c) vlastná fakturácia Služby a vedenie vlastného účtovníctva podľa zákona č. 431/2002 Z. z.;
d) uplatňovanie a obhajoba vlastných právnych nárokov.

Čl. 2 – Predmet, doba, povaha a kategórie spracúvania

2.1 Doba spracúvania: Poskytovateľ spracúva osobné údaje po dobu trvania zmluvného vzťahu o Službe. Po jeho zániku Poskytovateľ na pokyn Prevádzkovateľa údaje vráti (bezplatný export originálnych XML a CSV do 90 dní od ukončenia) a následne všetky kópie vymaže, pokiaľ ich ďalšie uchovávanie nevyžaduje právo EÚ alebo SR (najmä záznamy podľa čl. 1.3 vyššie). V programe RT-PEPPOL (bez Archívu dát) sa obsah dokladov priebežne a nenávratne maže už počas trvania zmluvy po 14 dňoch od doručenia.

2.2 Povaha a účel spracúvania: Prijímanie, odosielanie, konverzia, validácia, ukladanie (ak je aktívny Archív dát), exportovanie elektronických faktúr a súvisiacich dokladov v sieti Peppol a doručovanie notifikácií (e-mail, webhook, API).

2.3 Kategórie dotknutých osôb: Štatutárne orgány, zamestnanci, živnostníci a kontaktné osoby Prevádzkovateľa, jeho odberateľov a dodávateľov uvedené na dokladoch; používatelia a účtovníci pracujúci v Účte.

2.4 Kategórie osobných údajov: Meno, priezvisko, titul, podpis, pracovná pozícia, adresa sídla/miesta podnikania, e-mail, telefónne číslo, IČO, DIČ, IČ DPH, bankové spojenie (IBAN), fakturované položky a sumy, IP adresy a identifikátory prístupov. Osobitné kategórie osobných údajov (čl. 9 GDPR) nie sú predmetom Služby a Prevádzkovateľ sa zaväzuje ich do dokladov nevkladať.

Čl. 3 – Pokyny Prevádzkovateľa a jeho zodpovednosť

3.1 Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa. Za zdokumentovaný pokyn sa považuje táto DPA, akceptácia VOP, každé použitie funkcií portálu www.peppolpostar.sk, volanie API, nastavenie konektora a voľba režimu Archívu dát.

3.2 Prevádzkovateľ vyhlasuje a zodpovedá za to, že osobné údaje vkladané do Služby získava a poskytuje v plnom súlade s GDPR (disponuje platným právnym základom a splnil si informačnú povinnosť voči svojim odberateľom/dodávateľom). Ak Poskytovateľ považuje pokyn Prevádzkovateľa za porušujúci GDPR, bezodkladne ho na to upozorní.

Čl. 4 – Mlčanlivosť a bezpečnosť spracúvania (čl. 32 GDPR)

4.1 Poskytovateľ zabezpečuje, že všetky osoby oprávnené spracúvať osobné údaje (zamestnanci, spolupracovníci, subdodávatelia) sú zaviazané zmluvnou alebo zákonnou povinnosťou mlčanlivosti. Táto povinnosť trvá aj po skončení zmluvného vzťahu.

4.2 Technické a organizačné opatrenia: Poskytovateľ a ďalší sprostredkovateľ (Verteco digital services, s. r. o.) prijali a udržiavajú prísne bezpečnostné opatrenia podľa čl. 32 GDPR:

• šifrovanie všetkej komunikácie pri prenose (TLS 1.3) a pri prenose v sieti Peppol (protokol AS4 s PKI certifikátmi OpenPeppol),
• šifrovanie databáz a záloh (AES-256), pričom šifrovaná geograficky oddelená kópia sa udržiava v dátovom centre TIER III v Bratislave,
• hashovanie hesiel, možnosť viacstupňového overenia (2FA/MFA) a prísne oddelenie produkčného a testovacieho prostredia,
• automatický výmaz čitateľného obsahu dokladov v režime bez Archívu dát po 14 dňoch.

4.3 Umiestnenie dát: Hlavná prevádzka Peppol infraštruktúry, databáz a Archívu dát prebieha výlučne na území Európskej únie (primárne dátové centrum Frankfurt nad Mohanom, Nemecko a záložný dátový sklad Perpetuus v Bratislave, Slovensko).

Čl. 5 – Zapojenie ďalších sprostredkovateľov (Sub-procesori)

5.1 Prevádzkovateľ udeľuje Poskytovateľovi všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov (sub-procesorov). Ku dňu účinnosti tejto DPA sú schválenými sub-procesormi:

1. Verteco digital services, s. r. o. (Daniela Dlabača 21, 010 01 Žilina, SR, IČO: 53 412 834) – hlavný technologický sub-sprostredkovateľ, prevádzkovateľ certifikovaného Peppol Access Pointu (EFSK000031) a jadra infraštruktúry.
2. Sub-procesori infraštruktúry Peppol Access Pointu: DigitalOcean LLC (cloudová infraštruktúra, región Frankfurt, EÚ), CNC, a. s. / DC Perpetuus (záložný dátový sklad Bratislava, SR), Brevo / Sendinblue SAS (Francúzsko – transakčné e-maily), MonsterASP.NET s.r.o. (Česká republika – hosting a SMTP infraštruktúra), Sentry GmbH (diagnostika chýb aplikácie, dátový región Nemecko, EÚ), Cloudflare, Inc. (ochrana siete pred DDoS útokmi a botmi).

5.2 S každým ďalším sprostredkovateľom je uzavretá zmluva podľa čl. 28 ods. 4 GDPR zaručujúca rovnocennú úroveň ochrany osobných údajov. O zamýšľanom pridaní alebo výmene sub-sprostredkovateľa bude Poskytovateľ informovať Prevádzkovateľa najmenej 30 dní vopred (e-mailom a zverejnením aktualizácie). Ak má Prevádzkovateľ voči novému sub-sprostredkovateľovi odôvodnené námietky týkajúce sa ochrany údajov a strany nenájdu riešenie, Prevádzkovateľ má právo zmluvu o Službe pred dňom účinnosti zmeny ukončiť bez sankcie.

5.3 Prenosy do tretích krajín: Spracúvanie obsahu dokladov prebieha v EÚ/EHP. Ak majú niektorí sub-dodávatelia technickej infraštruktúry (napr. materské spoločnosti Cloudflare, DigitalOcean, Sentry) sídlo v USA, akýkoľvek potenciálny prenos je krytý rozhodnutím Európskej komisie o primeranosti (EU-U.S. Data Privacy Framework) alebo štandardnými zmluvnými doložkami (SCC).

Čl. 6 – Súčinnosť, oznamovanie incidentov a audit

6.1 Poskytovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb (čl. 12 až 23 GDPR) a pri plnení povinností podľa čl. 32 až 36 GDPR.

6.2 Oznámenie bezpečnostného incidentu: Prípadné porušenie ochrany osobných údajov (data breach), ktoré sa dotkne údajov Prevádzkovateľa, oznámi Poskytovateľ Prevádzkovateľovi bez zbytočného odkladu po tom, ako sa o ňom dozvedel (resp. po prijatí hlásenia od Certifikovaného poskytovateľa), najneskôr však do 72 hodín, spolu s popisom povahy incidentu a prijatých nápravných opatrení.

6.3 Audit: Poskytovateľ sprístupní Prevádzkovateľovi na požiadanie všetky informácie, bezpečnostné vyhlásenia a certifikáty potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR. Ak tieto podklady odôvodnene nepostačujú, umožní audit vykonávaný Prevádzkovateľom alebo nezávislým audítorom (ktorý nie je konkurentom Poskytovateľa ani Certifikovaného poskytovateľa a podpíše NDA) po písomnom oznámení najmenej 30 dní vopred, v pracovnom čase, maximálne raz ročne a na náklady Prevádzkovateľa.

Čl. 7 – Záverečné ustanovenia

Táto DPA sa spravuje právnym poriadkom Slovenskej republiky a tvorí neoddeliteľnú súčasť VOP. V prípade rozporu medzi VOP a touto DPA má vo veciach ochrany osobných údajov prednosť táto DPA. Zmluva zaniká zánikom hlavného zmluvného vzťahu o Službe, pričom ustanovenia o mlčanlivosti, bezpečnosti a výmaze údajov trvajú až do úplného výmazu údajov.