Zmluva o spracúvaní osobných údajov (DPA)

ePodatelna24 – epodatelna24, s. r. o.

Platné od: 2026-09-26 Verzia: 2.11

---

Úvodné ustanovenia

Táto Zmluva o spracúvaní osobných údajov (ďalej len „DPA") je neoddeliteľnou súčasťou Všeobecných obchodných podmienok služby ePodatelna24 a uzaviera sa medzi:

Poskytovateľom služby (Sprostredkovateľom v zmysle GDPR):

epodatelna24, s. r. o. Sídlo: Karpatské námestie 7770/10A, 831 06 Bratislava IČO: 57 592 071 DIČ: 2122839279 Kontakt pre ochranu osobných údajov: info@epodatelna24.sk

(ďalej len „Sprostredkovateľ")

a

Zákazníkom (Prevádzkovateľom v zmysle GDPR):

Akýkoľvek zákazník využívajúci službu ePodatelna24, ktorý akceptoval VOP a túto DPA pri aktivácii svojho účtu.

(ďalej len „Prevádzkovateľ")

(spoločne len „Strany")

---

1. Definície

V tejto DPA majú nasledujúce pojmy význam stanovený v nariadení GDPR (Nariadenie (EÚ) 2016/679):

• „Osobné údaje" – akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby;
• „Spracúvanie" – akákoľvek operácia s osobnými údajmi;
• „Prevádzkovateľ" (data controller) – Zákazník, ktorý určuje účely a prostriedky spracúvania;
• „Sprostredkovateľ" (data processor) – epodatelna24, s. r. o., ktorý spracúva údaje v mene Prevádzkovateľa;
• „Sub-sprostredkovateľ" – tretia strana, ktorú Sprostredkovateľ poveril ďalším spracúvaním;
• „Dotknutá osoba" – fyzická osoba, ktorej osobné údaje sa spracúvajú;
• „Bezpečnostný incident" – porušenie ochrany osobných údajov v zmysle čl. 4 ods. 12 GDPR.

---

2. Predmet a účel spracúvania

2.1. Sprostredkovateľ spracúva osobné údaje výlučne na účely poskytovania služby ePodatelna24 Prevádzkovateľovi, najmä:

• a) prijímanie elektronických faktúr a iných obchodných dokumentov cez sieť Peppol;
• b) odosielanie elektronických faktúr a dobropisov v mene Prevádzkovateľa cez sieť Peppol, vrátane automatického opakovania odovzdania prístupovému bodu pri prechodnej chybe a sledovania stavu doručenia zo záznamov prístupového bodu;
• c) sprístupnenie dokumentov v užívateľskom rozhraní (web + mobil);
• d) zasielanie e-mailových notifikácií a push notifikácií do mobilných zariadení Prevádzkovateľa;
• e) prevádzkovanie peňaženky a fakturácia služby;
• f) audit, bezpečnosť, podpora zákazníkov (vrátane režimu „pozerať ako" podľa §3.4 Zásad ochrany osobných údajov); v režime „pozerať ako" môže pracovník podpory Sprostredkovateľa na účel riešenia požiadavky Prevádzkovateľa zmeniť aj údaje profilu a nastavenia notifikácií používateľa, pričom každé prezeranie aj každá takáto zmena sa v auditnom zázname pripíše pracovníkovi podpory (nie používateľovi);
• g) prevzatie faktúr na odoslanie z prepojeného fakturačného systému Prevádzkovateľa (Hekaton — VOP článok 24, §3.10 Zásad ochrany osobných údajov) a z rozhrania API (VOP článok 22), vrátane kontroly, validácie a evidencie prevzatia do starostlivosti podľa VOP článkov 15.7 a 15.9 a vydania podpísaného podacieho lístka a doručenky podľa VOP článku 15.7 písm. c); dokument neprevzatý do starostlivosti Sprostredkovateľ neuchováva;
• h) informatívne overenie prijatých dokumentov a náhľad PDF prostredníctvom vnútorných služieb Sprostredkovateľa (§6.3 Zásad ochrany osobných údajov);
• i) doručovanie dokumentov do Cieľového úložiska (VOP článok 17) v rozsahu pokynu podľa článku 2.4 tejto DPA;
• j) posielanie podpísaných oznámení o udalostiach na adresu (URL) nastavenú Prevádzkovateľom podľa VOP článku 22.11 a §3.12 Zásad ochrany osobných údajov, vrátane úplného XML prijatej faktúry v oznámení o prijatí, a vedenie evidencie odoslaných oznámení po dobu 90 dní od vytvorenia záznamu;
• k) získanie časovej pečiatky nezávislej autority (DigiCert, Inc., USA — poznámka 8 Prílohy č. 1) k podaciemu lístku a doručenke (VOP článok 15.7 písm. c), pri ktorom sa autorite odovzdáva iba odtlačok podpisu dokladu (§3.3 Zásad ochrany osobných údajov), a verejné overenie dokladu, pri ktorom sa nahraný doklad neuchováva;
• l) doručenie odoslanej faktúry e-mailom odberateľovi na pokyn Prevádzkovateľa (§3.9 Zásad ochrany osobných údajov) vrátane spracovania oznámenia o nedoručiteľnosti a upozornenia Prevádzkovateľa.

2.2. Sprostredkovateľ je oprávnený spracúvať údaje výlučne v rozsahu a spôsobom potrebným na splnenie zmluvy o poskytovaní Služby.

2.3. Sprostredkovateľ nepoužije spracúvané údaje na vlastné účely, marketing, profilovanie, ani na účely tretích strán.

2.4. Pokyn na doručovanie do Cieľového úložiska. Pripojenie Cieľového úložiska podľa VOP článku 17 používateľom Prevádzkovateľa je zdokumentovaným pokynom Prevádzkovateľa, aby Sprostredkovateľ do tohto Cieľového úložiska doručoval dokumenty Prevádzkovateľa v tomto rozsahu:

• a) do Cieľového úložiska, ktoré pripojil hlavný správca, sa doručujú dokumenty všetkých spoločností, ktorých je hlavným správcom;
• b) keď je Cieľové úložisko hlavného správcu pripravené na doručovanie, po jeho obnovení a po jeho opätovnom pripojení Sprostredkovateľ doň doplní všetky dokumenty spoločností podľa písmena a), ktoré v ňom ešte nie sú — vrátane dokumentov z obdobia pred pripojením a z obdobia, keď bolo Cieľové úložisko pozastavené alebo nefunkčné, a vrátane starších faktúr mimo zobrazovacieho okna podľa článku 16 VOP, pokiaľ ich Sprostredkovateľ ešte uchováva; odoslané dokumenty iba pri zapnutej voľbe Zahrnúť odoslané faktúry;
• c) do Cieľového úložiska iného používateľa ako hlavného správcu sa doručujú dokumenty spoločností, v ktorých má tento používateľ rolu Administrátor spoločnosti alebo Operátor a ktoré má pre toto Cieľové úložisko zapnuté; vlastník Cieľového úložiska ich môže jednotlivo vypnúť; používateľ s rolou Spracovateľ si doručovanie zapnúť nemôže;
• d) účinné od 25. 10. 2026: pri Cieľovom úložisku v OneDrive alebo Google Drive, ktoré pripojí iný používateľ ako hlavný správca od tohto dňa, sú spoločnosti podľa písmena c) predvolene zapnuté a Sprostredkovateľ doplnenie podľa písmena b) vykoná aj pre tieto spoločnosti, a to aj po zapnutí ďalšej spoločnosti; do 24. 10. 2026 sú spoločnosti podľa písmena c) pri novom Cieľovom úložisku predvolene vypnuté a doplnenie podľa písmena b) sa na ne nevzťahuje (doručujú sa iba dokumenty prijaté alebo odoslané po zapnutí spoločnosti);
• e) doručovanie dokumentov spoločnosti do Cieľového úložiska používateľa, ktorý nie je jej hlavným správcom, sa skončí skončením jeho členstva v tejto spoločnosti;
• f) doručujú sa iba dokumenty, za ktoré bola uhradená cena podľa článku 4 VOP;
• g) Prevádzkovateľ poveruje svojich hlavných správcov, Administrátorov spoločnosti a Operátorov udeliť pokyn podľa tohto článku a zodpovedá za to, ktorým osobám tieto roly pridelí.

---

3. Trvanie spracúvania

3.1. Spracúvanie trvá počas celej doby zmluvného vzťahu medzi Stranami.

3.2. Po ukončení zmluvného vzťahu sa údaje spracúvajú v rozsahu nevyhnutnom pre:

• a) vrátenie zostatku peňaženky a finančné vyrovnanie;
• b) splnenie zákonných povinností (najmä účtovníctvo, daňová evidencia – 10 rokov);
• c) ochranu práv Sprostredkovateľa pri prípadných sporoch.

3.3. Po uplynutí všetkých zákonných lehôt budú údaje vymazané. Pre obchodné dokumenty (faktúry) platia osobitné pravidlá zobrazovacieho okna (6 mesiacov, priebežné) a fyzickej retencie podľa článku 16 VOP a §5 Zásad ochrany osobných údajov.

---

4. Kategórie dotknutých osôb a osobných údajov

4.1. Kategórie dotknutých osôb

• a) zamestnanci a oprávnené osoby Prevádzkovateľa pristupujúce k Službe;
• b) kontaktné osoby Prevádzkovateľa uvedené v prijatých a odoslaných dokumentoch;
• c) zamestnanci, štatutári a kontaktné osoby tretích strán, ktorých údaje sú obsiahnuté v prijatých alebo odoslaných faktúrach (najmä dodávatelia a odberatelia Prevádzkovateľa);
• d) klienti Prevádzkovateľa (ak Prevádzkovateľ je účtovná firma alebo iný sprostredkovateľ).

4.2. Kategórie osobných údajov

4.3. Osobitné kategórie údajov

Sprostredkovateľ nespracúva osobitné kategórie údajov v zmysle čl. 9 GDPR (napr. zdravotné údaje, biometria, údaje o presvedčení), pokiaľ takéto údaje Prevádzkovateľ neuloží do Služby z vlastnej iniciatívy. V takom prípade Prevádzkovateľ zodpovedá za zákonnosť ich spracúvania.

4.4. Podporná komunikácia

4.4.1. Používateľ Prevádzkovateľa môže podať požiadavku na podporu e-mailom na adresu info@epodatelna24.sk alebo formulárom „Nahlásiť problém" v časti Pomoc v užívateľskom rozhraní.

4.4.2. K požiadavke podanej formulárom „Nahlásiť problém" Služba automaticky pripojí: text požiadavky, e-mailovú adresu používateľa, na ktorú Sprostredkovateľ odpovedá, stránku, na ktorej sa používateľ nachádzal, zvolenú spoločnosť (obchodné meno a DIČ), číslo a interný identifikátor otvoreného dokumentu (iba ak dokument patrí spoločnosti, ktorej je používateľ členom) a údaje o prehliadači (user-agent).

4.4.3. Požiadavka podaná formulárom „Nahlásiť problém" sa uloží ako požiadavka na podporu a jej kópia sa zašle na adresu info@epodatelna24.sk. Jeden používateľ môže formulárom podať najviac päť požiadaviek za hodinu. Podanie požiadavky sa zaznamená v auditnom zázname spolu so stránkou, z ktorej bola podaná.

4.4.4. Údaje podpornej komunikácie podľa článkov 4.4.1 až 4.4.3 Sprostredkovateľ spracúva výlučne na účel vybavenia požiadavky; požiadavka vrátane správ a príloh sa odstráni 3 roky po jej uzavretí alebo vyradení (§5 Zásad ochrany osobných údajov).

---

5. Povinnosti Sprostredkovateľa

5.1. Sprostredkovateľ sa zaväzuje:

• a) spracúvať osobné údaje výlučne na základe zdokumentovaných pokynov Prevádzkovateľa, ak osobitný právny predpis nevyžaduje spracúvanie z iného dôvodu (v takom prípade o tom bezodkladne informuje Prevádzkovateľa, ak to právny predpis nezakazuje);
• b) zabezpečiť, aby osoby oprávnené spracúvať osobné údaje boli viazané mlčanlivosťou;
• c) prijať primerané technické a organizačné opatrenia podľa čl. 32 GDPR (viď článok 7);
• d) nezapojiť ďalšieho sprostredkovateľa bez všeobecného alebo osobitného predchádzajúceho súhlasu Prevádzkovateľa (viď článok 6);
• e) pomáhať Prevádzkovateľovi pri vybavovaní žiadostí dotknutých osôb (vrátane samoobslužných nástrojov uvedených v §8.2 a §8.3 Zásad ochrany osobných údajov);
• f) pomáhať Prevádzkovateľovi pri zabezpečovaní povinností podľa čl. 32 až 36 GDPR (bezpečnosť, oznamovanie incidentov, posúdenie vplyvu);
• g) vymazať alebo vrátiť všetky osobné údaje po ukončení poskytovania Služby (viď článok 11);
• h) sprístupniť Prevádzkovateľovi všetky informácie potrebné na preukázanie plnenia povinností a umožniť audity (viď článok 9);
• i) viesť audit log dôležitých operácií v CEF formáte tak, aby každá akcia bola pripísaná konkrétnemu aktérovi — vrátane prípadu režimu „pozerať ako" (super-admin Sprostredkovateľa), kde audit log vždy obsahuje identifikátor pôvodného super-admina (nie cieľového používateľa);
• j) sprístupniť identifikačné údaje Prevádzkovateľa prevádzkovateľovi prístupového bodu (Ionite B.V.) a prostredníctvom neho príslušnej Peppol Authority alebo OpenPeppol AISBL v rozsahu vyžadovanom OpenPeppol Entity Identification Policy (Internal Regulations §3.3).

---

6. Sub-sprostredkovatelia

6.1. Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné poverenie zapojiť do spracúvania ďalších sub-sprostredkovateľov uvedených v Prílohe č. 1 k tejto DPA.

6.2. Sprostredkovateľ informuje Prevádzkovateľa o akýchkoľvek zamýšľaných zmenách týkajúcich sa pridania alebo nahradenia sub-sprostredkovateľov najmenej 30 dní vopred prostredníctvom e-mailu alebo aktualizácie tohto dokumentu.

6.3. Prevádzkovateľ má právo proti zmene sub-sprostredkovateľa namietať. V prípade dôvodnej námietky majú Strany povinnosť hľadať riešenie. Ak sa nedohodnú, Prevádzkovateľ je oprávnený ukončiť zmluvný vzťah bez sankcií.

6.4. Sprostredkovateľ je povinný zaviazať každého sub-sprostredkovateľa zmluvne k plneniu rovnakých povinností v oblasti ochrany osobných údajov, aké sú stanovené v tejto DPA.

6.5. Sprostredkovateľ zostáva voči Prevádzkovateľovi plne zodpovedný za plnenie povinností sub-sprostredkovateľa.

---

7. Bezpečnostné opatrenia

7.1. Sprostredkovateľ zavádza nasledujúce technické a organizačné opatrenia:

7.1.1. Technické opatrenia

• a) šifrovaný prenos údajov (HTTPS/TLS 1.2 alebo vyššie);
• b) prihlasovanie bez hesla — jednorazové kódy a tokeny prihlasovacích odkazov sa uchovávajú iba ako odtlačok SHA-256, kód platí 15 minút a po 5 nesprávnych pokusoch prestane platiť, účet vzniká až po overení kódu (§3.1.5 Zásad ochrany osobných údajov); šifrovanie obnovovacích tokenov k Cieľovým úložiskám a kľúča na podpis oznámení podľa článku 2.1 písm. j) algoritmom AES-256-GCM;
• c) pseudonymizácia kde to je relevantné;
• d) izolácia údajov jednotlivých zákazníkov na úrovni databázy (Row Level Security);
• e) append-only databázový trigger na ledger peňaženky — wallet_transactions nie je možné modifikovať alebo zmazať mimo definovaných SECURITY DEFINER funkcií. Zaisťuje integritu finančných záznamov aj voči omylom v aplikačnej vrstve;
• f) per-IP rate limiting verejných endpointov a OTP rozhraní;
• g) partial unique indexes ako race-guard pri odosielaní dokumentov (zabraňujú dvojitému odoslaniu pri rýchlych dvojkliknutiach alebo recovery scenároch);
• h) ochrana pred nelegálnym prístupom (rate limiting, monitoring prihlásení);
• i) pravidelné aktualizácie softvérových komponentov;
• j) zálohovanie databázy s časovou kópiou (PITR — Point-In-Time Recovery);
• k) hosting v dátových centrách s certifikáciou ISO 27001 (Frankfurt);
• l) elektronický podpis podacieho lístka a doručenky podľa VOP článku 15.7 písm. c) algoritmom Ed25519 s časovou pečiatkou nezávislej autority (RFC 3161); verejný kľúč na overenie podpisu je zverejnený v overovacej službe na adrese https://www.epodatelna24.sk/api/custody-receipt/verify a jeho odtlačok vo VOP a v DNS zázname domény epodatelna24.sk; každý doklad sa vydáva raz a uchováva sa pri dokumente;
• m) relačné cookies nedostupné skriptom v prehliadači (httpOnly, secure, SameSite=Lax) a odhlásenie na všetkých zariadeniach naraz;
• n) počítadlá pokusov vedené v databáze a zdieľané všetkými servermi Služby (prihlasovanie, žiadosti o aktivačný odkaz, verejné overenie dokladov, verejné rozhrania), popri obmedzení podľa písmena f);
• o) databázové funkcie vykonateľné iba serverovou časťou Služby (oprávnenie odňaté verejným databázovým rolám) a tabuľky prístupné výlučne cez pravidlá izolácie podľa písmena d);
• p) súkromné úložisko súborov (Vercel Blob) pre XML, PDF, ZIP archívy a koncepty; odkazy na stiahnutie z užívateľského rozhrania platia 5 minút; prístupový kľúč k úložisku sa odosiela iba na adresy úložiska cez HTTPS;
• q) podpis oznámení podľa článku 2.1 písm. j) algoritmom HMAC-SHA256 a kontrola, že cieľová adresa je verejný HTTPS server (nie súkromná ani lokálna adresa), pri uložení aj pred každým odoslaním, so spojením výlučne na overenú adresu.

7.1.2. Organizačné opatrenia

• a) viacstupňové oprávnenia s rolovým modelom (super admin, company admin, operator, processor);
• b) HMAC-podpísaná cookie s 8-hodinovou platnosťou pre režim „pozerať ako" — fail-closed kontrola pred každým spracovaním (ak super-admin medzitým stratil práva, cookie sa ignoruje); cookie platí iba pre super-admina, ktorý režim zapol, cookie iného super-admina sa ignoruje a odstráni so záznamom v auditnom zázname; režim končí aj odhlásením super-admina a nevzťahuje sa na mobilnú aplikáciu;
• c) auditné záznamy všetkých dôležitých operácií (CEF formát) — viď §3.4 Zásad ochrany osobných údajov;
• d) povinnosť mlčanlivosti pre všetkých členov tímu;
• e) zásady minimalizácie údajov – spracúvame len to, čo je nevyhnutné;
• f) pravidelné revízie prístupových oprávnení;
• g) auditný záznam a prehľad prevádzky sú prístupné iba super-adminom Sprostredkovateľa; v užívateľskom rozhraní Prevádzkovateľa sa auditný záznam nezobrazuje. Výpis z auditného záznamu týkajúci sa spoločnosti Prevádzkovateľa Sprostredkovateľ poskytne na žiadosť zaslanú na info@epodatelna24.sk (článok 9.1).

7.1.3. Prevádzkové monitorovanie

• a) Sentry — sledovanie chýb na strane servera a klienta, EÚ región (DE);
• b) Slack — okamžité upozornenia pre prevádzkový tím pri závažných chybách a kritických udalostiach (úroveň závažnosti chyba alebo kritická udalosť); prenášané iba identifikátor a názov udalosti, DIČ spoločnosti, kanál a najviac 300 znakov z detailov záznamu, nikdy obsah dokumentu ani IP adresa; pri nedoručiteľnom e-maile odberateľovi (článok 2.1 písm. l) detaily obsahujú e-mailovú adresu odberateľa, na ktorú sa doručenie nepodarilo;
• c) Healthchecks.io — dead-man's switch nad cron jobmi; pri vynechanej heartbeat sa spustí alert. Nespracúva osobné údaje;
• d) Public status page na adrese https://www.epodatelna24.sk/status — zverejňuje iba agregované stavy bez identifikácie zákazníka.

7.2. Sprostredkovateľ pravidelne reviduje a aktualizuje bezpečnostné opatrenia v súlade s technickým pokrokom.

---

8. Bezpečnostné incidenty

8.1. V prípade zistenia bezpečnostného incidentu Sprostredkovateľ:

• a) bez zbytočného odkladu, najneskôr však do 48 hodín od zistenia, informuje Prevádzkovateľa e-mailom;
• b) v oznámení uvedie:
  • povahu porušenia,
  • kategórie a približný počet dotknutých osôb,
  • kategórie a približný počet záznamov,
  • predpokladané následky,
  • prijaté alebo navrhované opatrenia.

8.2. Sprostredkovateľ poskytne Prevádzkovateľovi všetku súčinnosť pri:

• a) plnení oznamovacej povinnosti voči dozornému orgánu (čl. 33 GDPR);
• b) oznámení porušenia dotknutým osobám (čl. 34 GDPR);
• c) následnom vyšetrovaní a prijatí opatrení.

---

9. Audit a kontrola

9.1. Sprostredkovateľ poskytne Prevádzkovateľovi na požiadanie všetky informácie potrebné na preukázanie plnenia povinností podľa čl. 28 GDPR a tejto DPA.

9.2. Prevádzkovateľ je oprávnený raz ročne vykonať audit alebo poveriť ním nezávislého audítora. O audite informuje Sprostredkovateľa najmenej 30 dní vopred.

9.3. Audit sa uskutoční v pracovných dňoch a hodinách spôsobom, ktorý nenarúša prevádzku Sprostredkovateľa. Náklady auditu znáša Prevádzkovateľ, okrem prípadu, keď audit preukáže závažné porušenie zo strany Sprostredkovateľa.

9.4. Sprostredkovateľ je oprávnený namiesto vlastného auditu predložiť výsledky nezávislých auditov tretích strán (napr. ISO 27001, SOC 2), ak existujú a sú aktuálne.

---

10. Pomoc pri uplatňovaní práv dotknutých osôb

10.1. Sprostredkovateľ pomôže Prevádzkovateľovi prostredníctvom vhodných technických a organizačných opatrení splniť povinnosť reagovať na žiadosti o uplatnenie práv dotknutých osôb (čl. 15–22 GDPR). Súčasťou tejto pomoci sú samoobslužné nástroje pre používateľov v sekcii Dashboard → Nastavenia → Účet:

• a) Stiahnuť moje údaje (čl. 15) — export profilu, členstiev, obľúbených spoločností, pozvánok, súhlasov a záznamov auditného záznamu, v ktorých je používateľ aktérom (najviac 1 000 najnovších), vo formáte JSON;
• b) Vymazať môj účet (čl. 17) — vymazanie účtu potvrdené zadaním e-mailovej adresy účtu v užívateľskom rozhraní alebo vykonané pod prihláseným účtom v mobilnej aplikácii, v rozsahu podľa §8.2 Zásad ochrany osobných údajov; ochranné obmedzenie pre hlavného správcu a pre peňaženku s nenulovým zostatkom.

10.2. Ak Sprostredkovateľ obdrží žiadosť priamo od dotknutej osoby v rozsahu, ktorý prekračuje samoobslužné nástroje (napr. historické záznamy, neštandardný formát), sám na ňu neodpovie, ale bezodkladne ju postúpi Prevádzkovateľovi.

---

11. Vymazanie alebo vrátenie údajov

11.1. Po ukončení zmluvného vzťahu Sprostredkovateľ na pokyn Prevádzkovateľa:

• a) vráti všetky osobné údaje Prevádzkovateľovi v strojovo čitateľnom formáte, alebo
• b) vymaže všetky osobné údaje, vrátane existujúcich kópií.

11.2. Prevádzkovateľ má 30 dní od ukončenia zmluvy na voľbu medzi vrátením alebo vymazaním. Ak voľbu nevykoná, údaje budú vymazané.

11.3. Sprostredkovateľ môže ponechať osobné údaje v rozsahu, v akom to vyžaduje právo Únie alebo právo členského štátu (napr. záznamy o platbách pre účely účtovníctva – 10 rokov), prípadne v rozsahu integrity audit-trailu (najmä wallet_transactions peňaženky spoločnosti, ktoré zostávajú zviazané so spoločnosťou aj po vymazaní jednotlivého používateľa).

---

12. Prenosy do tretích krajín

12.1. Niektorí sub-sprostredkovatelia (uvedení v Prílohe č. 1) sú so sídlom v USA. Pre tieto prenosy sa uplatňujú štandardné zmluvné doložky (SCC) schválené Európskou komisiou rozhodnutím 2021/914.

12.2. Sprostredkovateľ vyhlasuje, že má so všetkými sub-sprostredkovateľmi mimo EÚ uzatvorené príslušné SCC.

---

13. Zodpovednosť

13.1. Každá Strana zodpovedá za škody spôsobené porušením povinností vyplývajúcich z tejto DPA podľa GDPR a platných právnych predpisov.

13.2. Maximálna zodpovednosť Sprostredkovateľa voči Prevádzkovateľovi za škody vzniknuté v súvislosti s touto DPA je obmedzená sumou a rozsahom podľa článku 8.2 VOP. Toto obmedzenie sa neuplatní v prípadoch, kedy GDPR alebo iný kogentný predpis vyžaduje neobmedzenú zodpovednosť.

---

14. Trvanie a ukončenie DPA

14.1. Táto DPA nadobúda účinnosť dňom akceptácie VOP zo strany Prevádzkovateľa.

14.2. DPA zostáva v platnosti počas celého trvania zmluvného vzťahu medzi Stranami a aj po ňom v rozsahu, v akom Sprostredkovateľ uchováva osobné údaje Prevádzkovateľa.

---

15. Záverečné ustanovenia

15.1. V prípade rozporu medzi VOP a touto DPA má prednosť táto DPA v otázkach týkajúcich sa spracúvania osobných údajov.

15.2. Táto DPA sa riadi právnym poriadkom Slovenskej republiky.

15.3. Aktuálna verzia tejto DPA je vždy dostupná na: https://www.epodatelna24.sk/legal/dpa

---

Príloha č. 1 – Zoznam sub-sprostredkovateľov

Zoznam je platný od: 2026-09-26 (verziou 2.11 bol vypustený riadok Twilio Inc.; ostatní sub-sprostredkovatelia sú nezmenení od 2026-09-19)

Poznámky:

1. Systém NOP (Notifikátor okamžitých platieb) prevádzkovaný Finančnou správou SR nie je sub-sprostredkovateľom v zmysle GDPR. Ide o štátny platobný systém, s ktorým Sprostredkovateľ komunikuje výlučne pre účely generovania QR platieb a potvrdzovania prijatia platieb.

2. KVERKOM (mTLS API pre platobnú integráciu) — komunikuje so štátnou platobnou autoritou a nie je sub-sprostredkovateľom v zmysle GDPR; ide o platobnú integráciu.

3. zobrazfakturu je interný projekt Poskytovateľa (samostatný Vercel projekt) — render UBL XML → PDF prebieha na rovnakej infraštruktúre ako webová aplikácia (EÚ – Frankfurt). Z hľadiska sub-sprostredkovateľov sa preto započítava pod Vercel (riadok č. 2). Overenie odosielaných dokumentov pred prevzatím do starostlivosti prebieha vlastným validátorom Služby priamo na infraštruktúre Vercel bez odovzdania dokumentu inému subjektu.

4. OpenPeppol AISBL (Rond-point Schuman 6, 1040 Brusel, Belgicko) je príjemcom agregovaných a anonymizovaných štatistických údajov o aktivite v sieti Peppol prostredníctvom prevádzkovateľa prístupového bodu (Ionite B.V.). OpenPeppol AISBL nie je sub-sprostredkovateľom v zmysle čl. 28 GDPR, keďže prijíma výlučne anonymizované údaje bez možnosti identifikácie konkrétnej dotknutej osoby. Podrobnosti pozri §6.7 Zásad ochrany osobných údajov.

5. Poskytovatelia Cieľových úložísk (typicky Microsoft Corporation pre OneDrive, Google LLC pre Google Drive, a ďalší podľa VOP §17.4) NIE SÚ sub-sprostredkovateľmi Sprostredkovateľa v zmysle čl. 28 GDPR a do tohto zoznamu sa preto neuvádzajú. Pri aktivácii funkcie automatického doručovania dokumentov do externého úložiska (VOP článok 17) sa Prevádzkovateľ stáva prevádzkovateľom (data controller) vo vzťahu k osobným údajom obsiahnutým v doručených dokumentoch voči zvolenému poskytovateľovi úložiska. Predmetné spracúvanie sa uskutočňuje na základe priameho pokynu Prevádzkovateľa udeleného pripojením úložiska (vrátane OAuth súhlasu) v rozsahu podľa článku 2.4 tejto DPA, mimo sprostredkovateľského reťazca Sprostredkovateľa. Rozsah podľa článku 2.4 písm. d) (predvolené zapnutie spoločností a doplnenie starších dokumentov pri Cieľovom úložisku iného používateľa ako hlavného správcu) je účinný od 25. 10. 2026. Zmluvný vzťah s poskytovateľom úložiska (napríklad Microsoft Services Agreement + Microsoft Data Protection Addendum, Google Workspace Terms + Google Cloud Data Processing Addendum) má Prevádzkovateľ uzavretý priamo s touto treťou stranou. Podrobnosti pozri §3.6 Zásad ochrany osobných údajov.

6. Fakturačný systém Hekaton (hekaton.sk) prevádzkuje Sprostredkovateľ ako samostatnú službu; nie je sub-sprostredkovateľom, pretože do spracúvania nevstupuje žiadny ďalší subjekt. Pri použití prepojenia podľa VOP článok 24 sa výlučne na pokyn používateľa Prevádzkovateľa odovzdajú do systému Hekaton identifikačné údaje používateľa a zvolenej spoločnosti na predvyplnenie faktúry — vrátane kontaktnej osoby a kontaktného e-mailu spoločnosti (predvolene e-mailová adresa spoločnosti z registrácie cez Finančnú správu, ak spoločnosť nezadala inú), ktoré sa uvedú na faktúre doručenej odberateľovi — a späť sa prijme vystavená faktúra na odoslanie; údaje zostávajú u Sprostredkovateľa. Osobné údaje obsiahnuté vo faktúre spracúva Sprostredkovateľ podľa tejto DPA rovnako ako pri faktúre nahranej ručne. Podrobnosti pozri §3.10 Zásad ochrany osobných údajov.

7. Systém VIES prevádzkovaný Európskou komisiou nie je sub-sprostredkovateľom v zmysle čl. 28 GDPR. Služba doň pri aktivácii spoločnosti a pri otvorení sekcie Odoslané faktúry odošle iba identifikátor v tvare „SK" + DIČ spoločnosti na overenie IČ DPH; Sprostredkovateľ uchováva čas overenia, jeho výsledok a obchodné meno a IČ DPH vrátené systémom VIES a používa ich iba na návrh IČ DPH. Podrobnosti pozri §3.2 Zásad ochrany osobných údajov.

8. Autorita časovej pečiatky (Time Stamping Authority podľa RFC 3161 — verejná služba časových pečiatok spoločnosti DigiCert, Inc., USA), ktorá pečiatkuje podací lístok a doručenku podľa článku 2.1 písm. k), nie je sub-sprostredkovateľom v zmysle čl. 28 GDPR: dostáva výlučne odtlačok SHA-256 podpisu dokladu a náhodné číslo, teda žiadne osobné údaje ani obsah dokladu, a nedochádza pri tom k prenosu osobných údajov do tretej krajiny. Odtlačok verejného kľúča Sprostredkovateľa je zverejnený v DNS zázname domény epodatelna24.sk, ktorý neobsahuje osobné údaje. Podrobnosti pozri §3.3 a §6.3 Zásad ochrany osobných údajov.

9. Vypustená verziou 2.11. Zasielanie overovacích kódov SMS správou bolo v Službe ukončené; kódy a odkazy na prihlásenie sa zasielajú výlučne e-mailom (§3.1.5 Zásad ochrany osobných údajov) a Twilio Inc. už nie je sub-sprostredkovateľom.

10. Adresa (URL) nastavená Prevádzkovateľom pre oznámenia podľa článku 2.1 písm. j) je systémom Prevádzkovateľa; jeho prevádzkovateľ nie je sub-sprostredkovateľom Sprostredkovateľa. Údaje doručené na túto adresu, vrátane XML prijatých faktúr, spracúva Prevádzkovateľ vo vlastnej zodpovednosti (VOP článok 22.11).

---

epodatelna24, s. r. o. DPA verzia 2.11 Účinnosť od: 2026-09-26