ÚčtoMost
Zmluva o spracúvaní osobných údajov (DPA)
Účinnosť od 1. 8. 2026
ÚčtoMost MCP
1. Zmluvné strany a uplatňovanie zmluvy
Poskytovateľom je ChatArchitect s. r. o., IČO 54570352, so sídlom Karpatské námestie 7770/10A, 831 06 Bratislava-Rača, Slovensko. Kontakt pre otázky spracúvania údajov a incidenty: info@uctomost.sk.
Klientom je podnikateľský subjekt, ktorý prijal podmienky služby ÚčtoMost. Pripojená spoločnosť je účtovný subjekt, ku ktorému Klient nastavil prístup prostredníctvom služby.
Táto zmluva je súčasťou podmienok služby a prijíma sa spolu s nimi. Klient sa identifikuje podľa údajov poskytnutých pri objednaní služby alebo vytvorení účtu. Samostatný podpis DPA sa nevyžaduje.
Zmluva upravuje spracúvanie osobných údajov v mene Klienta pri používaní MCP pripojení k systémom POHODA, KROS a Money, Download Portal a súvisiacich funkcií správy prístupu.
Klient vystupuje ako prevádzkovateľ osobných údajov alebo ako sprostredkovateľ oprávnený príslušným prevádzkovateľom zapojiť Poskytovateľa. Poskytovateľ podľa toho vystupuje ako sprostredkovateľ alebo ďalší sprostredkovateľ.
2. Poverené spracúvanie
Klient poveruje Poskytovateľa vykonávaním ním zvolených operácií medzi MCP klientom, službou ÚčtoMost a pripojeným účtovným systémom:
- prijímanie, transformácia a prenos XML, JSON, dokumentov a príloh;
- čítanie účtovných záznamov a vykonávanie zmien povolených Klientom;
- dočasné spracúvanie parametrov úloh Download Portal a výsledkov spätných volaní KROS;
- uchovávanie konfigurácie pripojení, prihlasovacích údajov, prístupových práv a technických metadát potrebných na vykonanie a overenie operácií.
Účelmi spracúvania sú vykonávanie požiadaviek Klienta, poskytovanie dokumentov a výsledkov operácií, správa prístupu, vyšetrovanie incidentov, analýza chýb a preukazovanie vykonaných operácií.
Spracúvanie sa môže týkať údajov o zamestnancoch, zástupcoch, kontaktných osobách, odberateľoch, dodávateľoch, podnikateľoch a ďalších fyzických osobách uvedených v prenášaných dokumentoch.
Kategórie údajov určuje obsah požiadaviek a dokumentov Klienta: identifikačné a kontaktné údaje, platobné údaje, údaje o účtovných dokladoch, platbách a obchodných operáciách, obsah dokumentov a príloh. Technické metadáta patria do predmetu tejto zmluvy v rozsahu, v akom sa týkajú identifikovaných alebo identifikovateľných fyzických osôb.
Technický účet MCP sa používa na prístup k účtovným subjektom a nepredpokladá priradenie ku konkrétnemu zamestnancovi. V technických záznamoch sa môžu uchovávať identifikátory účtu, pripojenej spoločnosti a operácie, jej čas, stav, trvanie, objem prenosu a kód chyby.
Pre prílohy, ktoré môžu obsahovať osobitné kategórie osobných údajov vrátane údajov o zdraví, je určené použitie Download Portal.
Služba nevytvára trvalý archív dokumentov Klienta. Ich obsah sa spracúva pri vykonávaní operácií; dočasne uchovávané parametre a výsledky sú uvedené v časti 4.
3. Pokyny a povinnosti zmluvných strán
Zdokumentovanými pokynmi Klienta sú táto zmluva, nastavenia pripojení a prístupu, autorizované požiadavky na službu a písomné podania na info@uctomost.sk.
Klient určuje účely a prípustný rozsah spracúvania, zabezpečuje zákonnosť prenosu údajov a poskytuje pokyny v rámci svojich oprávnení.
Poskytovateľ:
- spracúva údaje len na základe zdokumentovaných pokynov Klienta vrátane pokynov na medzinárodný prenos; ak iné spracúvanie vyžaduje právo EÚ alebo členského štátu EÚ, vopred o tom informuje Klienta, pokiaľ takéto informovanie nie je zakázané;
- zabezpečuje záväzky mlčanlivosti pre osoby zapojené do spracúvania;
- prijíma ochranné opatrenia podľa článku 32 GDPR vrátane opatrení uvedených v časti 5;
- s prihliadnutím na povahu spracúvania a dostupné informácie pomáha Klientovi odpovedať na žiadosti dotknutých osôb a plniť povinnosti podľa článkov 32–36 GDPR;
- bez zbytočného odkladu informuje Klienta o zistenom porušení ochrany osobných údajov a poskytuje dostupné informácie potrebné na plnenie povinností Klienta.
Oznámenia Klientovi sa zasielajú na kontaktný email uvedený v účte.
4. Uchovávanie, ukončenie spracúvania a vymazanie
| Kategória | Postup uchovávania a vymazania |
|---|---|
| Obsah požiadaviek, dokumentov a príloh | Spracúva sa v operačnej pamäti pri vykonávaní operácie. Trvalá kópia dokumentov sa v službe nevytvára. Súbory poskytované cez Download Portal sa v databáze Portálu neukladajú. |
| Konfigurácia pripojení, technické účty, prihlasovacie údaje a prístupové práva | Uchovávajú sa počas trvania zmluvy vrátane pozastavenia prístupu. Pri zatvorení účtu ich zamestnanec vymaže do 30 dní od prijatia žiadosti Klienta. |
| Úlohy a zašifrované parametre Download Portal | Odkaz je platný 30 minút od vytvorenia. Záznamy čakajúcich a dokončených úloh, ako aj úloh s neurčitým výsledkom, sa vymažú pri najbližšom čistení po uplynutí tejto lehoty. Prebiehajúce úlohy sa automaticky vymažú po 24 hodinách. |
| Dočasné výsledky spätných volaní KROS | Uchovávajú sa v zašifrovanej podobe. Pri prvom autorizovanom poskytnutí sa obsah výsledku vymaže. Pri neprevzatom výsledku je lehota na zaradenie do čistenia 24 hodín od prijatia spätného volania; fyzické vymazanie sa vykoná pri najbližšom čistení. |
| Služobné záznamy operácií KROS | Čakanie na spätné volanie je obmedzené na 24 hodín. Po prijatí výsledku, jeho poskytnutí alebo zaznamenaní neurčitého výsledku sa uplatnia lehoty čistenia stanovené pre príslušný stav: 24 hodín do zaradenia na vymazanie a najbližšie spustenie čistenia. Záznam po poskytnutí výsledku neobsahuje jeho obsah. |
| Autorizačné a relačné údaje | Kód OAuth platí 2 minúty, access token 10 minút a rodina refresh tokenov najviac 30 dní. Relácia Portálu platí najviac 8 hodín a jej platnosť zaniká po 30 minútach nečinnosti. Skončenie platnosti a vymazanie služobného záznamu môžu nastať v odlišnom čase. |
| Technický audit MCP | Záznamy staršie ako 30 dní sa vymazávajú pri pravidelnom čistení. Táto lehota sa uplatňuje aj po zatvorení účtu na vyšetrovanie incidentov, analýzu chýb a preukazovanie vykonaných operácií, s prihliadnutím na nižšie uvedený postup vymazania osobných údajov. |
| Serverové denníky | Syslog sa rotuje týždenne; uchováva sa aktuálny súbor a štyri archívy. Na archívne súbory systémového denníka sa denne uplatňuje čistenie podľa veku 10 dní a veľkosti 500 MB. |
| Metadáta monitorovania v Langfuse Cloud | Metadáta staršie ako 7 dní sa vymazávajú denným čistením cez API. Do najbližšieho spustenia čistenia sa môžu uchovávať aj dlhšie. Podľa podmienok Langfuse sa zvyškové záložné kópie, vyrovnávacia pamäť alebo odkazy na vymazané údaje môžu vymazávať až 30 dní po vymazaní z hlavného systému. |
| Automatické záložné kópie databázy | Vytvárajú sa v Amazon RDS vo Frankfurte. Nastavená doba uchovávania je 2 dni. Iné záložné kópie databázy sa nevytvárajú. |
Uvedená lehota vymazania zvyškových kópií Langfuse je stanovená v jeho podmienkach spracúvania.
Pravidelné čistenie databázy služby sa spúšťa pri štarte a potom každých 24 hodín. Skončenie platnosti odkazu, relácie alebo výsledku neznamená okamžité fyzické vymazanie záznamu. Pri zastavení služby alebo chybe čistenia sa vymazanie vykoná po obnovení úspešného čistenia.
Skončením zaplateného obdobia sa pozastaví prístup a účet sa zachová. Na definitívne ukončenie zmluvy a zatvorenie účtu Klient zašle žiadosť na info@uctomost.sk.
Základným postupom po skončení služieb spracúvania je vymazanie, a to aj prostredníctvom dohodnutého automatického čistenia. Klient môže pred skončením týchto služieb zmeniť tento pokyn a požiadať o vrátenie zostávajúcich osobných údajov zaslaním žiadosti na info@uctomost.sk. Po vrátení sa zostávajúce kópie vymažú okrem prípadov povinného uchovávania podľa práva EÚ alebo členského štátu EÚ.
Vrátenie sa vzťahuje na údaje, ktoré Poskytovateľ ešte má k dispozícii. Údaje zákonne vymazané podľa dohodnutého harmonogramu pred prijatím žiadosti sa na účely vrátenia neobnovujú.
Doba uchovávania technického auditu nevylučuje povinnosť vymazať osobné údaje v ňom obsiahnuté, ak to po skončení služieb spracúvania vyžaduje príslušný pokyn Klienta. Technické záznamy, ktoré nie sú osobnými údajmi, sa môžu uchovávať do uplynutia stanovenej lehoty.
5. Ochranné opatrenia
Poskytovateľ uplatňuje tieto opatrenia:
- overovanie technického účtu, pripojenej spoločnosti, prístupových práv a stavu predplatného pred vykonaním operácií;
- OAuth s PKCE a obmedzenou platnosťou autorizačných prostriedkov;
- predbežné potvrdenie operácií zápisu, ochrana pred opakovaným vykonaním potvrdenej operácie a technický audit;
- uchovávanie hesiel vo forme hashov pomocou scrypt;
- šifrovanie uchovávaných tajných údajov pripojení, parametrov úloh Portálu a dočasných výsledkov KROS pomocou AES-256-GCM;
- autorizácia v Download Portal, obmedzenie platnosti odkazov a relácií, ochrana požiadaviek pred CSRF;
- viacfaktorová autentifikácia administrátorského prístupu k AWS, Cloudflare a Langfuse;
- záväzky mlčanlivosti v pracovných zmluvách alebo samostatných dohodách.
V technickom audite a monitorovacom systéme sa uchovávajú len metadáta operácií. Obsah dokumentov a príloh Klienta sa v týchto záznamoch nenachádza, preto ho administrátor ani zamestnanci nemôžu čítať z uložených metadát.
6. Ďalší sprostredkovatelia, miesta spracúvania a zmeny zmluvy
Klient udeľuje všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov na plnenie tejto zmluvy.
| Poskytovateľ | Účel | Umiestnenie a spracúvanie |
|---|---|---|
| Amazon Web Services EMEA SARL, Luxembursko | Hlavný server, databáza Amazon RDS a jej automatické záložné kópie | Frankfurt, Nemecko |
| Cloudflare, Inc., USA | Proxy a ochrana MCP a Download Portal | Globálna infraštruktúra vrátane spracúvania mimo EHP; uplatňujú sa podmienky spracúvania Cloudflare |
| Langfuse Cloud — ClickHouse, Inc. | Monitorovanie technických metadát operácií | Hlavné umiestnenie je Írsko; záložné kópie konfiguračnej databázy sa môžu nachádzať aj vo Frankfurte. Prípadné zapojenie spoločností skupiny a miesta spracúvania určujú podmienky poskytovateľa. |
Poskytovateľ informuje Klienta o pridaní alebo nahradení ďalšieho sprostredkovateľa najmenej 7 kalendárnych dní pred začatím prenosu údajov tomuto sprostredkovateľovi. Oznámenie sa zasiela na kontaktný email účtu. Klient má právo v tejto lehote namietať.
Ak sa námietka nevyrieši, každá zo strán má právo ukončiť zmluvu pred prenosom údajov novému ďalšiemu sprostredkovateľovi.
Poskytovateľ ukladá ďalším sprostredkovateľom povinnosti v oblasti ochrany údajov zodpovedajúce tejto zmluve a zodpovedá Klientovi za plnenie týchto povinností.
Prenos osobných údajov mimo EHP sa uskutočňuje podľa zdokumentovaných pokynov a s uplatniteľnými zárukami podľa kapitoly V GDPR vrátane štandardných zmluvných doložiek, ak sa používajú na príslušný prenos.
Účtovné systémy a MCP klienti pripojení Klientom prijímajú údaje v súlade s jeho nastaveniami a požiadavkami. Ich výber Klientom z nich sám osebe nerobí ďalších sprostredkovateľov Poskytovateľa.
O novom znení tejto zmluvy Poskytovateľ informuje Klienta na kontaktný email najmenej 7 kalendárnych dní pred dátumom nadobudnutia jeho účinnosti. Pokračovanie v používaní služby po tomto dátume znamená prijatie nového znenia.
Ak Klient nové znenie odmietne, zmluva sa definitívne ukončí a účet sa zatvorí v deň nadobudnutia účinnosti nového znenia. Na zostávajúce údaje sa uplatňuje časť 4.