Zmluva o spracúvaní osobných údajov

Posledná aktualizácia: 7. 10. 2026

Táto zmluva (ďalej „DPA“) je súčasťou obchodných podmienok služby eFaktúra mostík a upravuje spracúvanie osobných údajov podľa čl. 28 nariadenia (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. Uzatvára sa prijatím obchodných podmienok a trvá počas celého trvania zmluvy o používaní služby.

1. Zmluvné strany

Sprostredkovateľ: NextVision Analytics s. r. o., Fibichova 1519/3, 040 01 Košice – mestská časť Juh, IČO: 56806477, DIČ: 2122448669, zapísaná v Obchodnom registri Mestského súdu Košice, oddiel Sro, vložka č. 61672/V, e-mail efaktura@nva.sk (ďalej „poskytovateľ“).
Prevádzkovateľ: zákazník – podnikateľ, ktorý používa službu podľa obchodných podmienok (ďalej „zákazník“).

Spracúvanie osobných údajov samotných používateľov služby (účty, upozornenia, fakturácia za službu), pri ktorom je prevádzkovateľom poskytovateľ, táto DPA neupravuje – opisuje ho dokument Ochrana osobných údajov.

2. Predmet, povaha a účel spracúvania

Poskytovateľ spracúva osobné údaje v mene zákazníka výlučne na účel poskytovania služby, najmä:

načítanie vydaných faktúr z ABRA Flexi zákazníka, ich prevod do formátu Peppol BIS 3.0, kontrolu a odovzdanie poštárovi zvolenému zákazníkom,
uchovanie odoslaných e-faktúr (XML) a ich stavov doručenia, zápis stavov späť do ABRA Flexi,
zobrazenie e-faktúr prijatých cez poštára a upozornenia na ne,
overenie odberateľov v sieti Peppol podľa DIČ (kontrola pripravenosti odberateľov).

Spracúvanie prebieha automatizovane počas trvania zmluvy, podľa nastavení, ktoré zákazník v službe zvolí.

3. Kategórie dotknutých osôb a osobných údajov

Dotknuté osoby: odberatelia a dodávatelia zákazníka, ktorí sú fyzickými osobami (najmä živnostníci), a kontaktné osoby uvedené v dokladoch.
Osobné údaje: meno a priezvisko alebo obchodné meno, adresa, IČO, DIČ, IČ DPH, e-mail a telefón, bankové spojenie, obsah dokladov (položky, sumy, dátumy, poznámky) a Peppol identifikátor.
Osobitné kategórie osobných údajov podľa čl. 9 GDPR sa nespracúvajú; zákazník ich do dokladov odosielaných cez službu neuvádza.

4. Pokyny zákazníka

Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov zákazníka. Pokynmi sú tieto podmienky a nastavenia, ktoré zákazník v službe zvolí (napr. pravidlá prenosu, odoslanie faktúry, spustenie kontroly odberateľov).
Ak by bol pokyn podľa názoru poskytovateľa v rozpore s právnymi predpismi, poskytovateľ na to zákazníka bezodkladne upozorní.
Zákazník zodpovedá za to, že má na spracúvanie osobných údajov svojich odberateľov a dodávateľov právny základ a že voči nim splnil informačnú povinnosť podľa čl. 13 a 14 GDPR.

5. Dôvernosť

Poskytovateľ zabezpečí, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti, a prístup k údajom poskytuje len v rozsahu nevyhnutnom na prevádzku a podporu služby.

6. Bezpečnosť spracúvania

Poskytovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR, ktoré sú opísané v prílohe č. 1, a priebežne ich aktualizuje podľa vývoja služby a hrozieb.

7. Ďalší sprostredkovatelia

Zákazník udeľuje poskytovateľovi všeobecné povolenie zapojiť ďalších sprostredkovateľov. Súčasní ďalší sprostredkovatelia:
- Websupport s.r.o., Slovenská republika – hosting aplikácie a databázy, odosielanie e-mailov.
Poskytovateľ uloží ďalším sprostredkovateľom rovnaké povinnosti ochrany údajov, aké má podľa tejto DPA. O zamýšľanej zmene informuje zákazníka vopred e-mailom; zákazník môže do 14 dní namietať, a ak sa strany nedohodnú, môže zmluvu ukončiť.
Ďalšími sprostredkovateľmi poskytovateľa nie sú poštár (Doklado) ani dodávateľ ABRA Flexi – s nimi má zákazník vlastný zmluvný vzťah a údaje im poskytovateľ odovzdáva alebo od nich preberá na pokyn zákazníka. Pri overení v sieti Peppol sa DIČ odberateľa ako Peppol identifikátor dopytuje vo verejnom registri siete Peppol (SML) a u poskytovateľov registra účastníkov (SMP).

8. Súčinnosť pri žiadostiach dotknutých osôb a povinnostiach zákazníka

Poskytovateľ poskytne zákazníkovi primeranú súčinnosť pri vybavovaní žiadostí dotknutých osôb (prístup, oprava, vymazanie, obmedzenie, prenosnosť, námietka) a pri plnení povinností podľa čl. 32 až 36 GDPR. Žiadosť, ktorú dotknutá osoba adresuje priamo poskytovateľovi, postúpi zákazníkovi bez zbytočného odkladu.

9. Porušenie ochrany osobných údajov

Poskytovateľ oznámi zákazníkovi porušenie ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín od jeho zistenia. Oznámenie obsahuje dostupné informácie o povahe porušenia, dotknutých údajoch, pravdepodobných následkoch a prijatých opatreniach, aby zákazník mohol splniť svoju ohlasovaciu povinnosť.

10. Vymazanie a vrátenie údajov

Po ukončení zmluvy alebo zmazaní spoločnosti poskytovateľ okamžite vymaže prístupové údaje k ABRA Flexi a poštárovi a ostatné osobné údaje spoločnosti vrátane uložených e-faktúr trvalo vymaže do 30 dní, ak ich uchovanie nevyžaduje právny predpis.
Originály dokladov má zákazník v ABRA Flexi a u poštára; odoslané XML si môže pred ukončením stiahnuť pri jednotlivých faktúrach.
Technické záznamy sa vymazávajú priebežne: záznamy komunikácie s ABRA Flexi a poštárom po 30 dňoch, záznamy synchronizácií po 60 dňoch, prijaté webhooky po 180 dňoch.

11. Prenos do tretích krajín

Osobné údaje zákazníka sa spracúvajú na serveroch v Slovenskej republike a do tretích krajín sa neprenášajú.

12. Preukázanie súladu a audit

Poskytovateľ poskytne zákazníkovi na požiadanie informácie potrebné na preukázanie splnenia povinností podľa tejto DPA a umožní audit alebo kontrolu vykonanú zákazníkom alebo ním povereným audítorom viazaným mlčanlivosťou, po predchádzajúcom oznámení najmenej 30 dní vopred a v primeranom rozsahu. Náklady auditu znáša zákazník.

13. Záverečné ustanovenia

Zodpovednosť strán sa riadi obchodnými podmienkami, ak GDPR neustanovuje inak. V prípade rozporu medzi obchodnými podmienkami a touto DPA má vo veciach ochrany osobných údajov prednosť DPA. Táto DPA je účinná od 7. 10. 2026.

Príloha č. 1 – Technické a organizačné opatrenia

Šifrovanie: komunikácia výhradne cez HTTPS (HSTS); prístupové údaje k ABRA Flexi a poštárovi a tokeny sú v databáze šifrované; heslá používateľov sú uložené len ako jednosmerný odtlačok.
Riadenie prístupu: údaje spoločnosti vidia len jej používatelia podľa pridelenej roly (vlastník, administrátor, účtovník, čitateľ); dvojfázové overenie, obmedzenie počtu pokusov o prihlásenie, šifrované relácie a možnosť odhlásiť ostatné zariadenia.
Oddelenie údajov: každá požiadavka sa overuje voči spoločnosti, ku ktorej používateľ patrí; údaje rôznych zákazníkov sú logicky oddelené.
Záznamy a dohľad: auditný záznam prihlásení a zmien nastavení, záznamy komunikácie s externými systémami bez prístupových údajov, sledovanie chýb a behu plánovača.
Integrita: webhooky od poštára sa overujú podpisom HMAC-SHA256 a časovou pečiatkou; odoslanie dokladu je chránené proti duplicite.
Minimalizácia: prijaté e-faktúry sa neukladajú celé – XML s PDF sa pri otvorení sťahuje od poštára; kópia odoslanej e-faktúry sa uchováva bez PDF prílohy; technické záznamy sa vymazávajú po uplynutí lehôt podľa bodu 10.
Dostupnosť a obnova: služba beží u poskytovateľa hostingu v Slovenskej republike, ktorý zabezpečuje fyzickú bezpečnosť a zálohovanie; zmeny aplikácie sa nasadzujú po automatických testoch.
Organizačné opatrenia: prístup k produkčnému prostrediu majú len poverené osoby poskytovateľa, viazané mlčanlivosťou.