Zásady ochrany osobných údajov

1. Prevádzkovateľ a kontakt

Prevádzkovateľom osobných údajov opisovaných v týchto zásadách je Stark Codes, s. r. o., Holíčska 3043/13, 851 05 Bratislava – mestská časť Petržalka, Slovenská republika, IČO 51 414 546, DIČ 2120683730, IČ DPH SK2120683730, zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel Sro, vložka 126116/B („Stark Codes“, „Lucanto“, „my“). Kontakt pre ochranu osobných údajov: hello@lucanto.eu.

Tieto zásady vysvetľujú, ako spracúvame osobné údaje pri návšteve lucanto.eu, vytvorení účtu, súkromnom alebo firemnom používaní app.lucanto.eu, platbe, komunikácii a marketingu.

2. Kedy sme prevádzkovateľom a kedy sprostredkovateľom

2.1 Sme prevádzkovateľom, keď určujeme účely a prostriedky spracúvania, najmä pri:

• registrácii a správe účtov, používateľov a pracovných priestorov;
• fakturácii, platbách, prevencii podvodov a plnení právnych povinností;
• bezpečnosti, prevádzke, podpore a zlepšovaní Služby;
• komunikácii, marketingu a voliteľnej analytike; a
• obsahu a dokladoch osoby, ktorá používa Lucanto na súkromné účely.

2.2 Sme sprostredkovateľom, keď firemný zákazník určuje účely spracúvania osobných údajov v dokladoch, záznamoch a inom obsahu pracovného priestoru. Vtedy zákazník vystupuje ako prevádzkovateľ a spracúvanie upravuje DPA. Tieto zásady sa naďalej uplatňujú na údaje účtu, zmluvy, platieb, bezpečnosti a komunikácie, ktoré spracúvame na vlastné účely.

2.3 Ak používate Lucanto pre inú organizáciu, informácie o tom, ako táto organizácia spracúva obsah pracovného priestoru, vám má poskytnúť ona. Žiadosti týkajúce sa takého obsahu jej postúpime alebo jej pomôžeme odpovedať.

3. Aké údaje spracúvame

V závislosti od spôsobu používania môžeme spracúvať:

• identifikačné a kontaktné údaje: meno, priezvisko, e-mail, telefón, funkcia a prihlasovací identifikátor;
• údaje účtu a pracovného priestoru: rola, oprávnenia, členstvo, nastavenia, jazyk, história súhlasov a prijatých podmienok;
• údaje externého prihlásenia: poskytovateľ, jeho používateľský identifikátor, e-mail, meno, profilová fotografia a pri Apple prípadná relay e-mailová adresa, podľa rozsahu, ktorý povolíte;
• firemné a fakturačné údaje: obchodné meno, IČO, DIČ, IČ DPH, sídlo, fakturačná adresa, krajina a údaje potrebné na určenie DPH;
• obsah dokladov: faktúry, bločky, prílohy, fotografie a údaje v nich, napríklad mená, adresy, podpisy, identifikátory, položky, sumy, dátumy, IBAN alebo iné finančné údaje obchodných partnerov, zamestnancov či zákazníkov;
• údaje AI extrakcie: dokument alebo jeho relevantná časť odoslaná na vyťaženie, prompt/inštrukcia, automaticky vyťažené polia, opravy, stav a technické identifikátory požiadavky;
• platobné metadáta: zákaznícky a platobný identifikátor Stripe, stav, suma, mena, dátum, typ a posledné číslice platobnej metódy; úplné údaje karty spracúva Stripe;
• bankové údaje: pri aktivovanom PSD2 napojení Tatra banky identifikátor účtu/IBAN, mena, zostatok, transakcie, protistrany, sumy, dátumy, správy a stav udeleného bankového oprávnenia;
• komunikačné, e-mailové a podporné údaje: správy, prílohy, adresát, doručenie, odhlásenie, požiadavky, spätná väzba a záznam riešenia;
• bug-report a observability údaje: meno a e-mail nahlasovateľa, právny názov pracovného priestoru, IČO, metadáta neúspešnej AI extrakcie, stack trace, cesta požiadavky, čas, IP alebo iný údaj zachytený v logu; obsah dokladu sa do logu alebo ticketu nesmie posielať, ak to nie je nevyhnutné a Používateľ o tom nevie;
• technické, zariadenia a bezpečnostné údaje: IP adresa, TLS fingerprint, user-agent, prehliadač, operačný systém, čas a URL prístupu, request headers, referrer, Turnstile sitekey/origin, token overenia, auditné udalosti, chybové a bezpečnostné logy;
• údaje pre logo: názov alebo doména obchodného partnera, IP a technické údaje požiadavky na Logo.dev;
• cookie a analytické údaje: identifikátory, relácie, jazyk, pseudonymizovaný používateľský alebo workspace identifikátor a udalosti používania, iba ak ste udelili súhlas s voliteľnou analytikou; a
• integračné a externé zdrojové údaje: identifikátory a obsah potrebný na vami aktivované prepojenie a IP, user-agent, referrer a požadovaná URL pri priamom načítaní Google Fonts, jsDelivr alebo unpkg.

Osobitné kategórie osobných údajov cielene nevyžadujeme. Doklad ich však môže obsahovať. Nenahrávajte ich, ak to nie je nevyhnutné a nemáte primeraný právny základ a ochranu.

4. Zdroje údajov

Údaje získavame priamo od vás, od správcu pracovného priestoru, z dokumentov a integrácií, ktoré používateľ nahrá alebo aktivuje, automaticky zo zariadenia a používania Služby, od Google alebo Apple pri zvolenom prihlásení, od Tatra banky pri aktivovanom PSD2 prístupe, od Stripe pri platbe a z verejných alebo obchodných zdrojov pri zákonnom B2B oslovovaní a overovaní firemných údajov. Ak sme sprostredkovateľom, zdroj a zákonnosť zberu určuje firemný zákazník.

5. Účely, právne základy a doby uchovávania

Nevyžadujeme „súhlas so všetkým“. Nevyhnutné spracúvanie opierame o zmluvu, zákonnú povinnosť alebo oprávnený záujem. Marketing a voliteľnú analytiku založenú na cookies vykonávame iba na základe samostatného súhlasu, ak zákon neumožňuje konkrétnu komunikáciu na inom základe.

Ak osobné údaje potrebujeme na uzavretie alebo plnenie zmluvy či zo zákona a neposkytnete ich, nemusíme vedieť vytvoriť účet, prijať platbu alebo poskytnúť dotknutú funkciu. Marketingový a analytický súhlas je dobrovoľný a jeho odmietnutie neobmedzí základnú Službu.

6. AI spracúvanie a ľudská kontrola

6.1 Lucanto odosiela nahrané doklady alebo ich relevantné časti do API OpenAI na automatické rozpoznanie a štruktúrovanie údajov. Výsledok sa zobrazí Používateľovi, ktorý ho môže pred uložením opraviť. AI môže urobiť chybu; výstup nepoužívajte bez kontroly na účtovné, daňové, platobné alebo právne rozhodnutie.

6.2 Pre zákazníkov v EHP poskytuje API služby OpenAI Ireland Ltd. OpenAI vystupuje pri API dátach ako náš sprostredkovateľ alebo sub-sprostredkovateľ a podľa svojich obchodných podmienok tieto vstupy a výstupy štandardne nepoužíva na trénovanie alebo zlepšovanie modelov.

6.3 Používame štandardné retenčné nastavenie OpenAI API. OpenAI môže obsah vstupov a výstupov a súvisiace technické údaje uchovávať v záznamoch na monitorovanie zneužitia najviac 30 dní; dlhšie iba ak to vyžaduje právo alebo je to primerane nevyhnutné na ochranu služieb OpenAI alebo tretích osôb pred ujmou. Spracúvanie OpenAI nie je obmedzené výlučne na EHP. Prenosy mimo EHP sa uskutočňujú na základe rozhodnutia o primeranosti alebo štandardných zmluvných doložiek EÚ.

6.4 Nevykonávame rozhodovanie založené výlučne na automatizovanom spracúvaní, ktoré by malo voči osobe právne alebo podobne významné účinky. AI extrakcia je podklad s ľudskou kontrolou, nie rozhodnutie o osobe.

7. Príjemcovia a poskytovatelia

Údaje sprístupňujeme len v potrebnom rozsahu. Poskytovateľ môže v jednej činnosti konať ako náš sprostredkovateľ a v inej ako samostatný prevádzkovateľ. Aktuálny zoznam príjemcov a poskytovateľov je uvedený priamo nižšie. Ak poskytovateľ spracúva Osobné údaje zákazníka v mene Stark Codes pri firemnej službe, je navyše uvedený ako Sub-sprostredkovateľ v Prílohe 3 DPA.

Tento článok je zároveň verejným registrom poskytovateľov aplikácie Lucanto. Samostatnú stránku registra neprevádzkujeme.

Údaje môžeme tiež poskytnúť odborným poradcom viazaným mlčanlivosťou, orgánom verejnej moci, ak to vyžaduje zákon, alebo nadobúdateľovi v rámci reorganizácie či predaja podniku s primeranou ochranou údajov.

8. Medzinárodné prenosy

Niektorí poskytovatelia alebo ich subdodávatelia sídlia alebo spracúvajú údaje mimo EHP, najmä v USA. V takom prípade používame mechanizmus podľa kapitoly V GDPR: rozhodnutie Európskej komisie o primeranosti, vrátane EU–U.S. Data Privacy Framework, ak sa na príjemcu a prenos vzťahuje, alebo štandardné zmluvné doložky EÚ s doplnkovými opatreniami podľa potreby. Informáciu o konkrétnom mechanizme alebo kópiu relevantných záruk poskytneme na požiadanie s ochranou obchodného tajomstva.

Vývoj produktu prebieha v EÚ a prílohy v Hetzner Object Storage sa ukladajú v EÚ. Lucanto však nie je služba s výlučným spracúvaním v EÚ. OpenAI, Resend, Loops, Stripe, Cloudflare, Render, Better Stack, Linear, Google, Apple, Logo.dev, jsDelivr a UNPKG alebo ich zverejnení subdodávatelia môžu za vyššie uvedených záruk spracúvať údaje aj mimo EHP.

9. Cookies a podobné technológie

Nevyhnutné cookies a lokálne úložisko používame na autentifikáciu, Cloudflare/Turnstile bezpečnosť, zachovanie nastavení a uloženie voľby súhlasu bez potreby súhlasu, ak sú nevyhnutné. Google Tag Manager je nástroj na správu tagov: samotné hodnoty v lokálnom dataLayer sa Googlu neodošlú, kým ich neodošle nakonfigurovaný tag. Externý GTM kontajner, tagy odosielajúce voliteľnú analytiku alebo marketing a celý Better Stack browser tag sa načítajú až po analytickom súhlase. Bez súhlasu sa nesmie odoslať user_id, workspace_id, jazyk ani produktová udalosť na analytický alebo marketingový účel a Better Stack nesmie v prehliadači vytvoriť _bs cookie alebo lokálny identifikátor. Serverové logy a backendové hlásenie technických chýb môžu zostať aktívne na základe oprávneného záujmu s minimalizovanými údajmi. Súhlas môžete kedykoľvek odvolať v nastavení cookies rovnako jednoducho, ako ste ho udelili. Podrobnosti sú v Cookie Policy.

10. Uchovávanie a vymazanie

10.1 Údaje uchovávame len počas obdobia uvedeného v článku 5 alebo nevyhnutného pre daný účel. Pri určovaní lehoty zohľadňujeme povahu údajov, riziko, trvanie zmluvy, zákonné lehoty a potrebu preukázať nároky.

10.2 Po zrušení účtu alebo skončení služby vymažeme zákaznícky obsah z aktívnych systémov a záloh najneskôr do 45 dní, ak nám zákon neukladá uchovať konkrétny záznam. Zálohy sú počas cyklu obnovy izolované a nepoužívajú sa na bežnú prevádzku. Ak sa záloha obnoví, príslušné požiadavky na vymazanie znovu aplikujeme.

10.3 Nevymažeme záznamy, ktoré musíme uchovať ako vlastný prevádzkovateľ, napríklad účtovné a daňové doklady, doklad o súhlase alebo prijatí Podmienok, záznam o platbe, právnom nároku alebo bezpečnostnom incidente. Také údaje obmedzíme na nevyhnutný rozsah, oddelíme od aktívneho zákazníckeho obsahu a po uplynutí zákonnej potreby vymažeme alebo anonymizujeme.

11. Bezpečnosť

Používame primerané opatrenia zodpovedajúce riziku, vrátane riadenia prístupov a rolí, viacfaktorového prístupu do privilegovaných systémov, šifrovania pri prenose, primeraného šifrovania uložených dát, záloh a obnovy, logovania, správy zraniteľností, preverovania incidentov, dôvernosti pracovníkov a zmluvnej kontroly poskytovateľov. Podrobnejší opis pre B2B zákazníkov je v Prílohe 2 DPA.

12. Vaše práva

Za podmienok GDPR máte právo:

• získať potvrdenie a prístup k svojim údajom;
• opraviť nepresné alebo doplniť neúplné údaje;
• požadovať vymazanie;
• obmedziť spracúvanie;
• získať údaje, ktoré ste poskytli, v prenosnom formáte, ak sa právo uplatní;
• namietať proti spracúvaniu založenému na oprávnenom záujme;
• kedykoľvek odvolať súhlas bez vplyvu na zákonnosť pred odvolaním; a
• nebyť predmetom výlučne automatizovaného rozhodnutia s právnymi alebo podobne významnými účinkami, ak nie je splnená zákonná výnimka.

Žiadosť pošlite na hello@lucanto.eu. Pred vybavením môžeme primerane overiť totožnosť. Odpovieme spravidla do jedného mesiaca; pri zložitej žiadosti môžeme lehotu podľa GDPR predĺžiť a vysvetlíme dôvod. Ak údaje kontroluje váš zamestnávateľ alebo iný firemný zákazník, obráťte sa najprv naňho; pri jeho pokyne mu pomôžeme.

Máte právo podať sťažnosť na Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, dataprotection.gov.sk, alebo na dozorný orgán v krajine obvyklého pobytu či pracoviska. Budeme radi, ak nám najprv umožníte problém vyriešiť.

13. Marketing

Marketingový súhlas je oddelený, dobrovoľný a predvolene nezaškrtnutý. Odvolať ho môžete odkazom v správe alebo v nastaveniach. Odhlásenie sa netýka nevyhnutných servisných správ, napríklad potvrdenia platby, bezpečnostného upozornenia, zmeny Podmienok alebo konca skúšobného obdobia.

Ak oslovujeme firemný kontakt bez súhlasu na základe prípustného oprávneného záujmu, v každej správe vysvetlíme zdroj alebo kategóriu zdroja a ponúkneme jednoduchú námietku. Námietku proti priamemu marketingu rešpektujeme bez ďalšieho posudzovania.

14. Deti

Služba nie je určená osobám mladším ako 18 rokov. Ak zistíme, že sme bez platného základu získali údaje takej osoby, odstránime ich.

15. Zmeny týchto zásad

Pri podstatnej zmene existujúcich používateľov informujeme e-mailom alebo trvalým oznámením v Službe najmenej 14 dní pred účinnosťou, ak zákon alebo naliehavá bezpečnostná potreba nevyžaduje skoršiu zmenu. V hornej časti vždy uvedieme dátum aktualizácie. Ak zmena vyžaduje nový súhlas, vyžiadame si ho; mlčanie ani ďalšie používanie nenahrádza súhlas.