Ochrana súkromia

Pri činnostiach, pri ktorých určujeme účel a prostriedky spracúvania, je prevádzkovateľom:

Kaja je samostatný prevádzkovateľ v nevyhnutnom rozsahu pre účet a autentifikáciu, uzavretie a dôkaz zmluvy, billing a dane, vlastnú podporu, bezpečnosť, audit, obranu právnych nárokov a povinné prevádzkové záznamy.

Pri obsahu zákazníckych dokumentov koná Kaja pri priamom Enterprise API spravidla ako sprostredkovateľ zákazníka a pri režime integrator alebo white_label ako sub-sprostredkovateľ v reťazci koncová firma → integrátor → Kaja. Tieto činnosti sa riadia príslušnou podpísanou DPA a pokynmi prevádzkovateľa, nie touto informačnou stránkou.

Účet, prihlásenie a autentifikácia — identita, kontakt, oprávnenia, OAuth identifikátor, IP a bezpečnostné záznamy; čl. 6 ods. 1 písm. b) GDPR používame iba ak je dotknutá osoba sama zmluvnou stranou, najmä živnostník alebo fyzická osoba – podnikateľ. Údaje štatutárov, zamestnancov a iných zástupcov právnickej osoby spracúvame na nevyhnutnú správu a bezpečné sprístupnenie firemného účtu podľa čl. 6 ods. 1 písm. f) GDPR.

Zmluva, objednávka, podpisový dôkaz, fakturácia a dane — firemné, kontaktné, podpisové, platobné a daňové údaje; čl. 6 ods. 1 písm. b) GDPR používame iba ak je dotknutá osoba sama zmluvnou stranou, najmä živnostník alebo fyzická osoba – podnikateľ. Údaje štatutárov, zamestnancov a iných zástupcov právnickej osoby spracúvame na zákonné účtovné a daňové povinnosti podľa písm. c) a na správu zmluvy a ochranu právnych nárokov podľa čl. 6 ods. 1 písm. f) GDPR.

Podpora, servisná komunikácia a povinné oznámenia o cene, zmluve, bezpečnosti alebo dodávateľoch — kontaktné údaje, obsah požiadavky a história doručenia; čl. 6 ods. 1 písm. b) GDPR používame iba ak je dotknutá osoba sama zmluvnou stranou, najmä živnostník alebo fyzická osoba – podnikateľ. Údaje štatutárov, zamestnancov a iných zástupcov právnickej osoby spracúvame pre zákonnú povinnosť podľa písm. c) alebo správu vzťahu a spoľahlivé doručenie podľa čl. 6 ods. 1 písm. f) GDPR. Voliteľný marketing používame iba na súhlas podľa čl. 6 ods. 1 písm. a) GDPR, ktorý možno kedykoľvek odvolať.

Bezpečnosť, prevencia zneužitia, audit a riešenie incidentov — IP, user agent, identifikátory, udalosti, logy a primerane minimalizované diagnostické údaje; Kaja ako samostatný prevádzkovateľ podľa čl. 6 ods. 1 písm. c) a f) GDPR. Diagnostický účel neoprávňuje úmyselne kopírovať obsah faktúr do monitoringu.

Obsah e-faktúr, UBL/XML, PDF, príloh, doručovacích potvrdení a súvisiacich metadát — Kaja ako sprostredkovateľ alebo sub-sprostredkovateľ na zdokumentovaný pokyn. Právny základ spracúvania určuje príslušný prevádzkovateľ; dotknutá osoba uplatňuje obsahové práva primárne u firmy alebo integrátora, ktorý účel určil, a Kaja žiadosť bezpečne postúpi.

Peppol, SMP/PFS a zákonné sieťové toky — Participant ID, DIČ, routing, registračné, autorizačné, doručovacie a statusové metadáta; čl. 6 ods. 1 písm. b) GDPR používame iba ak je dotknutá osoba sama zmluvnou stranou, najmä živnostník alebo fyzická osoba – podnikateľ. Údaje štatutárov, zamestnancov a iných zástupcov právnickej osoby spracúvame pre zákonnú povinnosť podľa písm. c) alebo nevyhnutné poskytovanie a bezpečnosť siete podľa čl. 6 ods. 1 písm. f) GDPR; rola Kaja sa posudzuje podľa konkrétneho účelu.

Voliteľné AI/OCR — dokument alebo minimalizovaný výrez, obrázok, extrahovaný text a štruktúrované údaje iba po výslovnom pokyne používateľa alebo oprávneného integrátora. V processor reťazci právny základ určuje prevádzkovateľ; Kaja funkciu nesmie označiť ako Enterprise-ready, kým nie je uzavretý konkrétny dodávateľský, DPA, transferový a DPIA/TIA gate.

Naše oprávnené záujmy sú bezpečnosť a odolnosť služby, predchádzanie podvodom a vyšetrovanie zneužitia, spoľahlivé doručenie zmluvných oznámení, vedenie primeranej auditnej stopy a určenie, uplatnenie alebo obrana právnych nárokov. Vždy posudzujeme nevyhnutnosť a primeranosť voči právam dotknutých osôb.

Podľa aktivovanej služby spracúvame tieto kategórie údajov:

• —Identifikačné a kontaktné údaje: meno, funkcia, e-mail, telefón, obchodné meno, IČO, DIČ, IČ DPH, adresa a fakturačný kontakt.
• —Účtové a autentifikačné údaje: používateľské konto, OAuth/Google ID, stav autorizácie, tokenové identifikátory, roly a história prihlásenia.
• —Firemné a sieťové údaje: Peppol Participant ID, PFS/SMP verifikačné, registračné, migračné, routingové a statusové metadáta.
• —Obsah a prevádzka služby: dokumenty a prílohy, UBL/XML a PDF, transakčné a doručovacie metadáta, platobné a daňové údaje, IP, user agent, logy, support komunikácia a pri výslovnom použití AI/OCR vstup a extrahované údaje.

Údaje získavame priamo od vás pri registrácii, objednávke, podpise, komunikácii, nastavení účtu, nahratí dokumentu alebo použití voliteľnej funkcie.

Nepriamo ich môžeme dostať od vášho zamestnávateľa alebo zmluvnej firmy, účtovníka, integrátora alebo white-label partnera, od odosielateľa či príjemcu dokumentu, z PFS alebo Finančnej správy SR, zo SMP/SML/Peppol siete a Access Pointov, z OAuth poskytovateľa, verejného registra alebo z technických bezpečnostných udalostí.

Ak Kaja pri nepriamo získaných údajoch koná ako prevádzkovateľ a neplatí výnimka, informáciu poskytne primeraným odkazom alebo priamo najneskôr do jedného mesiaca, pri prvej komunikácii s osobou alebo pred prvým sprístupnením inému príjemcovi — podľa toho, čo nastane skôr. Výnimku podľa čl. 14 ods. 5 GDPR použije iba ak je pre konkrétny tok preukázaná; ak Kaja koná iba ako sprostredkovateľ, informačnú povinnosť plní príslušný prevádzkovateľ.

Každý účel a právny základ je uvedený pri konkrétnej činnosti; súhlas nepoužívame ako náhradu zmluvy alebo zákonnej povinnosti. Ak by sme ako prevádzkovateľ zamýšľali nezlučiteľný nový účel, poskytneme informáciu o tomto účele a relevantných podmienkach pred začatím ďalšieho spracúvania.

• —Poskytovanie a zabezpečenie objednanej služby.
• —Podpora, servisná komunikácia a auditované povinné oznámenia.
• —Účtovné, daňové, sieťové a iné zákonné povinnosti a ochrana právnych nárokov.

Údaje môžu v nevyhnutnom rozsahu dostať oprávnené osoby Kaja, zmluvný zákazník alebo integrátor, overení sprostredkovatelia uvedení na /sub-spracovatelia, platobné a odborné poradenské strany podľa konkrétneho účelu a orgány verejnej moci, ak to vyžaduje právo. Dodávateľ bez uzavretého aktivačného gate sa neoznačuje ako schválený aktívny sub-spracovateľ.

OpenPeppol AISBL, SML/Directory, Finančná správa SR alebo PFS, SMP operátor, Peppol Authority, Access Pointy protistrán, odosielatelia, príjemcovia a ich systémy sú podľa konkrétnej činnosti sieťoví príjemcovia, orgány alebo samostatní či spoloční prevádzkovatelia; nie sú sub-spracovateľmi Kaja iba preto, že routujú alebo prijímajú údaje.

Rozhodnutie o primeranosti možno použiť iba vtedy, ak konkrétny tok patrí do jeho vecného a územného rozsahu a spĺňa jeho podmienky; pre takto pokrytý tok sa štandardné zmluvné doložky (SCC) ani TIA nepoužijú iba z dôvodu prenosu do tretej krajiny. Pri použití SCC sa pred aktiváciou konkrétneho toku vykoná a zaznamená TIA, zvolí sa správny modul a podľa výsledku sa prijmú doplnkové technické, organizačné alebo zmluvné opatrenia. Verejný register netvrdí, že TIA alebo iný otvorený aktivačný gate bol pre konkrétneho dodávateľa dokončený; produkčné použitie vyžaduje account-specific dôkaz. Aktuálny stav entity, lokácie, mechanizmu a gate je na /sub-spracovatelia. Informáciu o použitej záruke alebo jej dostupnú kópiu možno vyžiadať na info@epostak.sk s primeranou ochranou dôverných informácií.

V rozsahu podmienok GDPR máte právo na prístup, opravu, vymazanie, obmedzenie, prenosnosť a námietku; pri súhlase aj právo súhlas kedykoľvek odvolať bez vplyvu na predchádzajúcu zákonnosť. Máte tiež právo podať sťažnosť dozornému orgánu a nebyť predmetom zakázaného výlučne automatizovaného rozhodnutia.

• 01Právo na prístup k údajom
• 02Právo na opravu
• 03Právo na vymazanie
• 04Právo na prenosnosť
• 05Právo na obmedzenie spracovania
• 06Právo namietať
• 07Právo odvolať súhlas
• 08Právo podať sťažnosť dozornému orgánu
• 09Právo nebyť predmetom zakázaného automatizovaného rozhodnutia

Článok 21 GDPR — právo namietať

Ak spracúvame údaje na základe čl. 6 ods. 1 písm. f) GDPR, môžete z dôvodov týkajúcich sa vašej konkrétnej situácie kedykoľvek namietať; v spracúvaní prestaneme, ak nepreukážeme závažné oprávnené dôvody alebo potrebu právnych nárokov. Proti spracúvaniu na priamy marketing môžete namietať kedykoľvek a bez ďalších podmienok; na tento účel potom údaje ďalej nespracúvame.

Obsah bezplatného programu najviac 90 dní zostáva vo viditeľnej pracovnej vrstve; starší obsah môže byť skrytý alebo odstránený a zákonná archivácia zákazníka tým nie je nahradená. Obsah platenej alebo individuálnej služby uchovávame počas aktívneho zmluvného vzťahu a po jeho skončení najviac 30 dní na export; potom sa vymaže z aktívnej vrstvy a zo záloh zanikne v zdokumentovanom rotačnom cykle. Telemetriu pokusov o doručenie webhooku uchovávame najviac 90 dní a potvrdené webhook eventy najviac 30 dní. Administratívnu auditnú stopu (AuditLog) a partnerov audit integrátora uchovávame 730 dní; bezpečnostné udalosti (AuditEvent) 1825 dní. IP adresu a user agent v bezpečnostnom aj partnerovom audite odstránime po najviac 30 dní. Uzavreté support tickety uchovávame najviac 730 dní. Podpísané AS4 obálky uchovávame v režime WORM 10 rokov ako dôkaz infraštruktúry Access Pointu, nie ako náhradu účtovného archívu zákazníka. Povinné právo alebo zdokumentovaný legal hold môže predĺžiť iba uchovanie konkrétne určených záznamov; evidujeme jeho dôvod, rozsah a ukončenie.

Údaje označené pri účte, PFS/SMP autorizácii, objednávke, fakturácii alebo zákonnom routingu ako povinné sú zmluvnou alebo zákonnou požiadavkou; bez nich nebudeme môcť vytvoriť alebo zabezpečiť účet, overiť oprávnenie, uzavrieť objednávku, vystaviť faktúru alebo doručiť dokument. Telefón, OAuth namiesto iného prihlásenia, marketing, AI/OCR a iné voliteľné funkcie sú nepovinné, ak konkrétny aktivovaný proces výslovne neuvádza opak.

Kaja nevykonáva výlučne automatizované rozhodovanie ani profilovanie, ktoré by voči dotknutej osobe vyvolávalo právne účinky alebo podobne významný dopad. Automatická validácia, detekcia rizika, routing alebo technické zadržanie môže označiť požiadavku na manuálne preverenie, ale samo neurčuje právne postavenie osoby; ak sa to zmení, oznámime logiku, význam a predpokladané dôsledky pred nasadením.

Žiadosť pošlite na info@epostak.sk. Ak sa týka obsahu spracúvaného na pokyn zákazníka alebo integrátora, uveďte príslušnú firmu; Kaja žiadosť bezpečne postúpi prevádzkovateľovi. Pred vybavením môžeme primerane overiť totožnosť.