Zmluva o spracúvaní osobných údajov

1. Kto je kto

• Ty (používateľ) si prevádzkovateľ osobných údajov svojich zákazníkov: rozhoduješ, koho údaje do appky uložíš a prečo (vystavenie faktúry, evidencia zákazky, servis).
• My (Tomáš Mesároš, Železničná 99/6, 92242 Madunice, Slovensko, IČO 55837913) sme tvoj sprostredkovateľ: údaje tvojich zákazníkov ukladáme a spracúvame len preto, aby appka fungovala, a len podľa tvojich pokynov.
• Pri tvojich vlastných údajoch (účet, profil, prihlásenia) sme prevádzkovateľ my — to upravujú Zásady ochrany osobných údajov, nie táto zmluva.

Právny základ: čl. 28 nariadenia (EÚ) 2016/679 (GDPR).

2. Predmet, doba, povaha a účel spracúvania

• Predmet: ukladanie, zobrazovanie, výpočty, generovanie dokumentov (PDF faktúr, výkazov) a odosielanie e-mailov s údajmi tvojich zákazníkov v aplikácii getfini.
• Účel: aby si mohol viesť svoju firmu — vystavovať faktúry, spravovať zákazky, servisné prípady, klientov a komunikovať so zákazníkmi. Na žiadny iný účel (marketing, analýzu, predaj dát) ich nepoužívame.
• Doba: po dobu trvania tvojho účtu. Po zrušení účtu postupujeme podľa článku 9.
• Povaha: automatizované spracúvanie v databáze a súborovom úložisku na našom serveri; žiadne rozhodovanie o ľuďoch, žiadne profilovanie z našej strany.

3. Aké údaje a o kom

Kategórie dotknutých osôb: tvoji zákazníci a ich kontaktné osoby (fyzické osoby aj zástupcovia firiem), odberatelia faktúr, ľudia, ktorí ti napíšu hodnotenie alebo správu cez portál zákazky, vedúci a učtárne tvojich firemných klientov.

Kategórie údajov (presne to, čo appka ukladá):

• identifikačné a kontaktné: meno, názov firmy, IČO, DIČ, IČ DPH, telefón, e-mail,
• adresy: fakturačná adresa, adresa miesta výkonu práce alebo výjazdu, poznámky k adrese,
• obchodné: položky a sumy faktúr, cenové ponuky, zákazky, servisné prípady, dodatky, výkazy,
• komunikácia: správy zo zákazníckeho portálu, text hodnotenia, meno a mesto hodnotiaceho,
• tvoje poznámky a štítky ku klientom (napr. „problémový") — pozor, sú to údaje o osobe,
• technické: IP adresa človeka, ktorý napísal hodnotenie alebo nahlásil hodnotenie.

Do voľných textov (poznámky, popisy) môžeš napísať čokoľvek. Nevkladaj do nich osobitné kategórie údajov (zdravie, náboženstvo a pod.) ani údaje, ktoré na svoju prácu nepotrebuješ — appka ich nerozozná a ochráni ich rovnako ako bežný text. Ak ich tam vložíš, zodpovednosť je na tebe.

4. Tvoje povinnosti a práva ako prevádzkovateľa

• Údaje zákazníkov vkladáš len vtedy, keď na to máš právny základ (typicky plnenie zmluvy so zákazníkom alebo zákonná povinnosť vystaviť faktúru).
• Zákazníkov informuješ o tom, že ich údaje spracúvaš (napr. na faktúre alebo v ponuke), vrátane toho, že používaš softvér getfini.
• Vybavuješ žiadosti svojich zákazníkov (prístup, oprava, výmaz). Kde ti to appka umožní, urobíš to sám; inak nám napíšeš a pomôžeme (článok 8).
• Máš právo skontrolovať, ako údaje spracúvame (článok 8), a dávať nám pokyny — pokyny nad rámec bežného používania appky pošli písomne na getfini@getfini.eu.

5. Naše povinnosti ako sprostredkovateľa

1. Spracúvame len podľa tvojich pokynov. Tvoje pokyny sú: to, čo v appke robíš (uložíš, odošleš, zmažeš), táto zmluva a VOP. Ak by nám zákon prikázal niečo iné, oznámime ti to vopred, pokiaľ to zákon nezakazuje.
2. Mlčanlivosť. K údajom má prístup len poskytovateľ (Tomáš Mesároš) a nástroje, ktoré pri správe servera používa (článok 6). Nikto ďalší nemá prístup na server ani do databázy. Osoby s prístupom sú viazané mlčanlivosťou. Do tvojej kancelárie sa nikto z nás neprihlasuje; ak by sme to na vyriešenie problému potrebovali, vopred sa ťa spýtame.
3. Bezpečnosť podľa článku 6.
4. Ďalší sprostredkovatelia podľa článku 7.
5. Pomoc pri právach dotknutých osôb a pri porušeniach podľa článku 8.
6. Výmaz alebo vrátenie údajov po skončení podľa článku 9.
7. Preukázanie súladu: na požiadanie ti poskytneme informácie o tom, ako údaje chránime, a umožníme kontrolu (audit) v rozumnom rozsahu a po dohode termínu.

6. Bezpečnostné opatrenia (čl. 32 GDPR) — čo reálne máme

Uvádzame len to, čo je skutočne zavedené k dátumu účinnosti:

• Server v Európskej únii (Contabo, Nemecko/EÚ), prístup len cez SSH kľúče, prihlásenie heslom vypnuté; databáza nie je dostupná z internetu.
• Šifrované spojenie (HTTPS/TLS) medzi tvojím prehliadačom a appkou.
• Izolácia dát v databáze: každá tabuľka má zapnuté zabezpečenie na úrovni riadkov (Row Level Security) — appka vidí len riadky patriace prihlásenému používateľovi; beží pod obmedzenou databázovou rolou, nie pod správcom.
• Heslá sú uložené ako bcrypt hash (nikdy v čitateľnej podobe), overujú sa priamo v databáze; appka hash nikdy nečíta. PIN členov tímu rovnako.
• Šifrovanie v databáze: údaje odberateľa, dodávateľa a sumy na faktúrach sú šifrované (AES-256-GCM). Ostatné údaje (klienti, zákazky, poznámky, súbory, PDF) šifrované na úrovni appky nie sú — chráni ich prístupová kontrola a izolácia vyššie.
• Ochrana účtov: limity počtu pokusov (30 pokusov za hodinu z jednej IP, 10 na jeden e-mail), zámok účtu po 5 neúspešných prihláseniach na 15 minút, odhlásenie všetkých zariadení pri zmene hesla, bezpečnostné hlavičky (CSP, HSTS).
• Oprávnenia členov tímu: sám určuješ, kto z tvojho tímu čo vidí; dopyty a klientske údaje nemá predvolene nikto okrem teba.
• Zálohy: každú noc (databáza + nahrané súbory), šifrované (AES-256); heslo k nim nie je uložené na žiadnom serveri. Uchovávame 14 denných, 8 týždenných a 6 mesačných snímok. Kópia je aj mimo servera a mimo dátového centra — každú noc si ju sťahuje samostatné zariadenie. Obnovu testujeme a naposledy sa podarila 20. 9. 2026 na inom stroji, než kde záloha vznikla (57 tabuliek, zachovaná izolácia riadkov, 56 nahraných súborov, bez chýb). Neporušenosť záloh sa automaticky kontroluje raz týždenne.
• Čo nemáme (pravdivo): dvojfaktorové prihlásenie, šifrovanie celého disku servera, oddelené vývojové prostredie a plne funkčnú ochranu prihlasovacieho formulára proti robotom — CAPTCHA je zapojená a požiadavka bez nej neprejde, ale zatiaľ beží v skúšobnom režime, v ktorom prijme aj neplatné overenie, takže cieleného robota nezastaví. Pracujeme na tom; zmeny oznámime.

7. Ďalší sprostredkovatelia (subdodávatelia)

Súhlasíš so zapojením týchto firiem, bez ktorých appka nefunguje. Aktuálny zoznam s podrobnosťami je vždy na https://getfini.eu/subdodavatelia.

Okrem toho appka pri jednej funkcii volá verejnú službu, ktorej sa posiela len konkrétny údaj (nie celá databáza): register právnických osôb Štatistického úradu SR pri hľadaní firmy podľa IČO alebo názvu — odchádza tam len to, čo si do poľa napíšeš. Podrobnosti sú na stránke subdodávateľov.

Od 20. 9. 2026 appka už nevolá Google Fonts (písma má na vlastnom serveri), OpenStreetMap (výpočet vzdialenosti výjazdu je vypnutý, adresa zákazníka nikam neodchádza) ani neoficiálny register api.orsf.sk.

Zmena zoznamu: nového subdodávateľa alebo zmenu oznámime e-mailom a v appke najmenej 30 dní vopred. Ak nesúhlasíš, môžeš do účinnosti zmeny účet zrušiť (VOP, článok 9). Každý subdodávateľ je viazaný zmluvou s ochranou údajov aspoň na úrovni tejto zmluvy.

8. Pomoc pri právach dotknutých osôb a pri porušeniach

• Žiadosti tvojich zákazníkov (prístup, oprava, výmaz, prenosnosť): čo vieš, urob v appke sám (úprava klienta, zmazanie klienta bez histórie). Čo appka zatiaľ nevie (zmazanie dopytu, hodnotenia, klienta s históriou, export údajov jedného zákazníka), vybavíme na tvoju žiadosť na getfini@getfini.eu spravidla do 15 dní, najneskôr do 30 dní. Ak sa na nás obráti tvoj zákazník priamo, presmerujeme ho na teba a dáme ti vedieť.
• Porušenie ochrany údajov (únik, strata, neoprávnený prístup): oznámime ti ho bez zbytočného odkladu, najneskôr do 72 hodín od zistenia, e-mailom na adresu tvojho účtu. Oznámenie bude obsahovať, čo sa stalo, aké údaje a koho sa to týka, čo sme urobili a čo odporúčame. Hlásenie Úradu na ochranu osobných údajov SR (do 72 hodín) a informovanie tvojich zákazníkov je tvoja povinnosť ako prevádzkovateľa — poskytneme ti k tomu všetky podklady.
• Posúdenie vplyvu (DPIA), konzultácie s úradom: ak ich budeš potrebovať, poskytneme informácie o našom spracúvaní.

9. Po skončení

Po zrušení účtu ti na požiadanie vrátime údaje (export v strojovo čitateľnom formáte + súbory) a potom ich vymažeme — z databázy do 30 dní. Zo záloh miznú postupne, ako sa staršie snímky prepisujú: z denných do 14 dní, z mesačných najneskôr do 6 mesiacov. Výnimka: faktúry, ktoré musíš zo zákona archivovať, ti vrátime v PDF; na našej strane ich vymažeme rovnako. Ak nás zákon zaväzuje niečo uchovať, oznámime ti čo a dokedy.

10. Záverečné ustanovenia

• Zmluva platí, kým máš účet. Zmeny oznamujeme rovnako ako zmeny VOP (v appke pri prihlásení + e-mail, 14 dní vopred) a vyžadujú tvoje odsúhlasenie.
• Riadi sa právom Slovenskej republiky a GDPR.
• Súhlas so zmluvou dávaš zaškrtnutím políčka pri registrácii; zaznamenávame čas, verziu, presné znenie a IP adresu.