Zásady ochrany osobných údajov

Prevádzkovateľom služby Účtoria je Bc. Milan Hricko. Prevádzku a fakturáciu zabezpečuje v spolupráci s partnerom Hanzo Accounting, IČO 52715477.
Kontakt: info@uctoria.sk

1. Aké údaje spracúvame

V závislosti od toho, ako Účtoriu používate, spracúvame najmä:

• Identifikačné a kontaktné údaje: meno, priezvisko, e-mail, telefón, IČO a fakturačné údaje.
• Údaje z dokladov: informácie z faktúr, bločkov a dokladov, ktoré do aplikácie nahráte.
• Bankové údaje: informácie o pohyboch na účtoch pripojených cez Open banking (Premium API), a to len v rozsahu vášho súhlasu.
• Údaje z pripojeného Google alebo Microsoft účtu: len ak si účet sami pripojíte. Podrobne ich popisuje časť 7.
• Technické údaje: IP adresa, typ zariadenia a prehliadača, údaje o používaní aplikácie.

2. Na aký účel a na akom právnom základe

• Poskytovanie služby: plnenie zmluvy (čl. 6 ods. 1 písm. b GDPR).
• Vedenie účtovníctva a fakturácia: plnenie zákonných povinností (čl. 6 ods. 1 písm. c GDPR).
• Vybavenie kontaktných požiadaviek: váš súhlas alebo oprávnený záujem (čl. 6 ods. 1 písm. a, f GDPR).
• Zlepšovanie a bezpečnosť aplikácie: oprávnený záujem prevádzkovateľa.

3. Ako dlho údaje uchovávame

Osobné údaje uchovávame len po nevyhnutnú dobu, teda po dobu trvania zmluvného vzťahu a následne po dobu vyžadovanú právnymi predpismi (napríklad účtovné a daňové doklady po dobu 10 rokov). Údaje spracúvané na základe súhlasu uchovávame do jeho odvolania.

4. Komu údaje sprístupňujeme

Údaje neposkytujeme tretím stranám na marketingové účely. Sprístupňujeme ich len sprostredkovateľom, ktorí nám pomáhajú prevádzkovať službu (napríklad poskytovateľ cloudového hostingu, fakturačný partner Hanzo Accounting, poskytovatelia Open banking rozhraní), a to vždy na základe zmluvy a v nevyhnutnom rozsahu.

5. Vaše práva

V súvislosti so spracúvaním osobných údajov máte právo:

• na prístup k údajom a ich opravu,
• na vymazanie údajov („právo na zabudnutie"),
• na obmedzenie spracúvania a na prenosnosť údajov,
• namietať proti spracúvaniu a kedykoľvek odvolať súhlas,
• podať sťažnosť na Úrad na ochranu osobných údajov SR.

Svoje práva si môžete uplatniť e-mailom na info@uctoria.sk.

6. Súbory cookies

Používame výhradne nevyhnutné a funkčné cookies, ktoré sú potrebné na prihlásenie, bezpečnosť a základné fungovanie aplikácie. Nepoužívame žiadne analytické, reklamné ani sledovacie cookies (napr. Google Analytics, Facebook pixel), preto od vás nevyžadujeme súhlas s cookies. Konkrétne ide o:

• Prihlasovacia relácia (session): udržiava vaše prihlásenie a chráni pred CSRF útokmi. Zaniká pri odhlásení, resp. po vypršaní platnosti.
• Zapamätané zariadenie: nastaví sa len ak si sami zvolíte možnosť „zapamätať toto zariadenie" pri prihlásení, aby ste sa nemuseli opakovane prihlasovať.
• Bezpečnostná ochrana (Cloudflare Turnstile): chráni verejné formuláre pred zneužitím automatmi (bot ochrana).

Keďže ide o nevyhnutné cookies, ich používanie nevyžaduje váš súhlas. Cookies môžete kedykoľvek vymazať alebo blokovať v nastaveniach prehliadača. V takom prípade však nemusí byť možné sa prihlásiť a používať aplikáciu.

7. Údaje z Google účtu (Gmail a Google Kalendár)

Google účet si môžete k Účtorii pripojiť dobrovoľne v Nastaveniach firmy, časť Prepojenia. Účtoria žiada len tieto oprávnenia:

• Odosielanie e-mailov (gmail.send): Účtoria odošle z vašej adresy e-maily, ktoré sami odošlete alebo naplánujete v aplikácii (faktúry, cenové ponuky, upomienky, reporty klientom). Účtoria nečíta, neprehľadáva, neupravuje ani nemaže e-maily vo vašej schránke Gmail.
• Udalosti vo vlastnom kalendári (calendar.events.owned): Účtoria vytvára, upravuje a maže vo vašom hlavnom Google Kalendári udalosti, ktoré vytvoríte, upravíte alebo zmažete v kalendári Účtorie. Ak si zapnete obojsmernú synchronizáciu, načíta udalosti z hlavného kalendára (názov, dátum a čas), aby ste ich videli v kalendári Účtorie. K kalendárom, ktoré vám iní zdieľajú, ani k nastaveniam zdieľania prístup nemá.

Čo ukladáme

E-mailovú adresu a meno Google účtu, prístupové tokeny OAuth, identifikátory prepojených udalostí a názov, dátum a čas udalostí načítaných z kalendára. Z vašej schránky Gmail nič nečítame ani neukladáme; pri doklade si Účtoria poznačí len to, či a kedy bol odoslaný.

Ako údaje chránime

• Všetka komunikácia s Účtoriou aj s Google API prebieha šifrovane cez HTTPS (TLS).
• Prístupové tokeny OAuth ukladáme v databáze zašifrované (AES-128 v režime CBC s overením HMAC-SHA256, Fernet). Kľúč nie je uložený v databáze.
• Údaje každej firmy a každého používateľa sú oddelené; k Google údajom používateľa pristupuje len jeho vlastný účet v Účtorii a funkcie, ktoré si zapol.
• Prístup k serverom a databáze majú len poverení správcovia. Prihlásenie do Účtorie chránia hashované heslá a voliteľné dvojfaktorové overenie.
• Google údaje nečítajú ľudia, s výnimkou prípadov, keď na to dáte výslovný súhlas (napr. pri riešení vašej požiadavky na podporu), keď je to nutné z bezpečnostných dôvodov alebo to vyžaduje zákon.

Zdieľanie, AI a obmedzené použitie

Údaje z Google účtu nepredávame, nepoužívame na reklamu ani na posudzovanie bonity a neprenášame ich tretím stranám okrem prípadov nevyhnutných na poskytnutie funkcie, ktorú používate, na ochranu bezpečnosti alebo na splnenie zákona. Údaje z Google API nepoužívame na vývoj, zlepšovanie ani trénovanie všeobecných modelov umelej inteligencie alebo strojového učenia a neposielame ich žiadnej externej AI službe.

Používanie a prenos informácií získaných z Google API do akejkoľvek inej aplikácie sa riadi Google API Services User Data Policy vrátane požiadaviek Limited Use (obmedzené použitie).

Odpojenie a vymazanie

Google účet môžete kedykoľvek odpojiť v Nastaveniach firmy. Účtoria pri odpojení zruší svoj prístup aj priamo v Google (revoke), vymaže uložené tokeny a udalosti, ktoré sa z Google Kalendára načítali. Prístup môžete zrušiť aj na stránke myaccount.google.com/permissions. Vymazanie ostatných údajov si môžete vyžiadať na info@uctoria.sk.

Google user data (English summary)

Connecting a Google account is optional. Účtoria requests only these scopes:

• gmail.send: to send emails that the user sends or schedules in Účtoria (invoices, quotes, payment reminders, client reports) from the user's own address. Účtoria does not read, search, modify or delete any email in the user's Gmail mailbox.
• calendar.events.owned: to create, update and delete events in the user's primary Google Calendar when the user creates, edits or deletes them in the Účtoria calendar, and, if the user enables two-way sync, to read the title, date and time of events in the primary calendar so they appear in Účtoria. Účtoria has no access to calendars shared with the user by others, calendar settings or sharing.

Data stored: the Google account email and name, OAuth tokens, IDs of linked events, and the title, date and time of events imported from the calendar. Nothing is read or stored from the Gmail mailbox; Účtoria only records whether and when a document was sent.

Data protection: all traffic uses HTTPS (TLS); OAuth access and refresh tokens are encrypted at rest (Fernet: AES-128-CBC with HMAC-SHA256) with a key that is not stored in the database; data is isolated per company and per user; access to servers and the database is limited to authorized administrators; user logins are protected by hashed passwords and optional two-factor authentication. No person reads Google user data unless the user gives explicit consent, it is necessary for security purposes, or it is required by law.

Sharing and AI: Google user data is never sold, used for advertising or credit decisions, or transferred to third parties except as necessary to provide the feature the user uses, for security, or to comply with the law. Google user data is not used to develop, improve or train generalized AI/ML models and is not sent to any third-party AI service. The use of raw or derived user data received from Google Workspace APIs adheres to the Google User Data Policy, including the Limited Use requirements.

Účtoria's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Disconnect and deletion: users can disconnect Google at any time in Company settings; Účtoria then revokes its access at Google, deletes the stored tokens and removes events imported from Google Calendar. Access can also be revoked at myaccount.google.com/permissions. Deletion of other data can be requested at info@uctoria.sk.