1. Zmluvné strany a ich postavenie

Prevádzkovateľ: vy ako používateľ LAVERDE Hub. Určujete účely a prostriedky spracúvania osobných údajov, ktoré do aplikácie vkladáte o svojich klientoch, ich kontaktných osobách, dodávateľoch a členoch tímu.

Sprostredkovateľ: La Verde Tech s.r.o., J. Palkoviča 3980/4 036 01 Martin, IČO 54986028, [email protected]. Spracúva tieto údaje výhradne vo vašom mene a na váš pokyn.

Táto zmluva sa vzťahuje len na údaje, ktoré do aplikácie vložíte vy. Na údaje o vás samotnom — registračné, kontaktné a fakturačné — sme prevádzkovateľom my a riadia sa dokumentom Ochrana osobných údajov.

2. Predmet, trvanie, povaha a účel

Predmet: spracúvanie osobných údajov nevyhnutné na prevádzku aplikácie LAVERDE Hub — správu klientov, projektov, cenových ponúk, úloh, financií a faktúr vrátane elektronických faktúr.

Trvanie: po celý čas trvania vášho účtu a následne v rozsahu podľa článku 10.

Povaha: ukladanie, zobrazovanie, úprava, zálohovanie, prenos a výmaz údajov prostredníctvom funkcií aplikácie, na váš pokyn daný jej používaním.

Účel: výhradne poskytovanie služby podľa VOP. Vaše údaje nepoužívame na vlastné účely, neprofilujeme ich, nespeňažujeme a nesprístupňujeme iným používateľom.

3. Kategórie osobných údajov

• identifikačné a fakturačné údaje vašich klientov (obchodné meno, adresa, IČO, DIČ, identifikačné číslo pre daň z pridanej hodnoty),
• kontaktné údaje (meno a priezvisko, e-mail, telefón, pozícia),
• obsah projektov, úloh, poznámok, komentárov a súborov, ktoré nahráte,
• finančné údaje zákaziek (rozpočty, sadzby, evidencia príjmov a nákladov, odpracovaný čas),
• obsah vystavených a prijatých faktúr vrátane ich štruktúrovanej podoby XML podľa normy EN 16931,
• identifikátory a stavy doručenia v sieti Peppol,
• e-mailové adresy osôb, ktorým sprístupníte zdieľaný projekt.

4. Kategórie dotknutých osôb

• vaši klienti a ich kontaktné osoby,
• vaši dodávatelia a ich kontaktné osoby,
• členovia vášho tímu a spolupracovníci, ktorým sprístupníte projekt.

5. Naše povinnosti (čl. 28 ods. 3 GDPR)

Zaväzujeme sa:

• Spracúvať len na pokyn. Osobné údaje spracúvame výlučne na základe vašich pokynov, ktoré udeľujete používaním aplikácie, prípadne písomne. To platí aj pre prenos do tretej krajiny — okrem prípadu, keď nám to ukladá právny predpis; vtedy vás o tom pred spracúvaním upovedomíme, ak to zákon nezakazuje.
• Mlčanlivosť. Osoby oprávnené spracúvať údaje sú viazané mlčanlivosťou, ktorá trvá aj po skončení spolupráce.
• Bezpečnosť. Prijímame a udržiavame opatrenia podľa čl. 32 GDPR — bližšie v článku 8.
• Ďalší sub-sprostredkovatelia. Zapájame ich len za podmienok podľa článku 6.
• Súčinnosť pri právach dotknutých osôb. Pomôžeme vám vybaviť žiadosti podľa kapitoly III GDPR — bližšie v článku 9.
• Súčinnosť podľa čl. 32 až 36 GDPR. Pomôžeme vám pri zabezpečení, hlásení porušení a posúdení vplyvu, primerane povahe spracúvania a informáciám, ktoré máme.
• Výmaz alebo vrátenie. Po skončení spracúvania podľa článku 10.
• Preukázanie súladu. Poskytneme informácie potrebné na preukázanie plnenia týchto povinností a umožníme audit podľa článku 11.

Ak sa budeme domnievať, že váš pokyn porušuje GDPR alebo iné predpisy o ochrane údajov, bezodkladne vás na to upozorníme.

6. Ďalší sub-sprostredkovatelia

Registráciou udeľujete všeobecný súhlas so zapojením ďalších sub-sprostredkovateľov uvedených v prílohe A. Bez nich by aplikácia nemohla fungovať.

Pri oznamovaní zmeny rozlišujeme dva prípady, lebo v každom z nich máme iný priestor:

• Zmena z nášho rozhodnutia. Ak si nového sub-sprostredkovateľa vyberáme sami, upovedomíme vás najmenej 14 dní vopred — v aplikácii alebo e-mailom. Do 7 dní od oznámenia môžete vzniesť odôvodnenú námietku.
• Zmena oznámená naším poskytovateľom. Ak si sub-sprostredkovateľa mení niektorý z poskytovateľov uvedených v prílohe A, sme viazaní lehotou, ktorú nám dá on — a tá býva kratšia. Upovedomíme vás bez zbytočného odkladu po tom, čo sa o zmene dozvieme, a na námietku máte 5 dní. Štrnásťdňový predstih vám tu zaručiť nevieme a zmena už môže byť účinná, kým sa k vám oznámenie dostane. Nebudeme predstierať opak.

Ak námietku nevznesiete, máme za to, že so zmenou súhlasíte. Námietku vybavujeme my; preniesť ju k poskytovateľovi vieme len tam, kde nám to naša zmluva s ním umožňuje — nie každý poskytovateľ nám právo namietať dáva. Ak námietku vznesiete a nedohodneme sa, môžete účet bezplatne zrušiť a dáta si exportovať. To platí v oboch prípadoch a bez ohľadu na lehotu.

Každému sub-sprostredkovateľovi ukladáme v podstate rovnaké povinnosti ochrany údajov, aké máme voči vám. Za ich plnenie zodpovedáme vám my, akoby sme spracúvanie vykonávali sami.

Aktuálny zoznam je vždy dostupný v prílohe A tohto dokumentu.

7. Lokalita spracúvania a prenosy mimo EÚ/EHP

Lokalita spracúvania každého sub-sprostredkovateľa a záruka pre prípadný prenos mimo EÚ/EHP sú uvedené pri ňom v prílohe A.

Ak pri niektorej službe dochádza k prenosu do tretej krajiny, je zabezpečený štandardnými zmluvnými doložkami Európskej komisie (rozhodnutie 2021/914) alebo rozhodnutím o primeranosti. Iný prenos nevykonávame.

Doručovanie e-faktúr prebieha v rámci EÚ/EHP. Podľa zmluvy s naším poštárom je prenos osobných údajov mimo EÚ/EHP zakázaný bez nášho predchádzajúceho písomného súhlasu a bez primeraných záruk podľa kapitoly V GDPR. Taký súhlas sme nedali.

8. Bezpečnosť spracúvania (čl. 32 GDPR)

• prenos výhradne cez HTTPS (TLS),
• prístup k dátam viazaný na overený účet a pravidlá databázy vynucované na serveri,
• podpora dvojfaktorového overenia (TOTP),
• sekcia bezpečných poznámok je šifrovaná v prehliadači (AES); dešifrovací kľúč sa na naše servery neodosiela, takže tento obsah nevieme prečítať ani my,
• volania AI prebiehajú zo servera, prístupové kľúče nie sú dostupné v prehliadači,
• automatická replikácia a zálohovanie v rámci cloudovej infraštruktúry.

Nedisponujeme certifikáciou ISO/IEC 27001. Opatrenia priebežne prehodnocujeme a môžeme ich meniť, nikdy však na nižšiu úroveň ochrany.

9. Žiadosti dotknutých osôb a porušenie ochrany údajov

Žiadosti dotknutých osôb. Ak sa na nás obráti niektorý z vašich klientov, jeho žiadosť nevybavujeme ani na ňu neodpovedáme — bezodkladne ju postúpime vám. Väčšinu úkonov (prístup, oprava, výmaz, export) zvládnete priamo v aplikácii; ak nie, pomôžeme vám s nimi.

Porušenie ochrany údajov. O každom preukázanom porušení vás upovedomíme bez zbytočného odkladu, najneskôr do 48 hodín od chvíle, keď sa o ňom dozvieme. Oznámenie bude obsahovať povahu porušenia, dotknuté kategórie a približný počet osôb, pravdepodobné následky a prijaté alebo navrhované opatrenia — v rozsahu, aby ste stihli vlastnú 72-hodinovú lehotu voči dozornému orgánu.

10. Výmaz a vrátenie údajov

Dáta si môžete kedykoľvek exportovať priamo z aplikácie — faktúry vo formáte XML (EN 16931) aj PDF. Za prístup k dátam ani za ich export neúčtujeme nič.

Po zrušení účtu údaje uchovávame 30 dní pre prípad obnovy a potom ich vymažeme vrátane kópií. Na vašu žiadosť ich v tejto lehote vymažeme skôr alebo vydáme.

Dve zákonné výnimky, ktoré nevieme obísť:

• účtovné a daňové doklady sa uchovávajú 10 rokov podľa zákona č. 431/2002 Z. z. o účtovníctve,
• prijaté elektronické faktúry sa nedajú z aplikácie odstrániť — sú účtovným dokladom a systém ich zámerne chráni pred zmazaním. Po uplynutí zákonnej lehoty sa odstránia automaticky.

11. Právo na audit

Na požiadanie, najviac raz ročne a po každom bezpečnostnom incidente, vám poskytneme informácie potrebné na preukázanie súladu — opis bezpečnostných opatrení, aktuálny zoznam sub-sprostredkovateľov a dostupné bezpečnostné vyhlásenia našich sub-sprostredkovateľov.

Audit na mieste je možný len v nevyhnutných prípadoch, po dohode najmenej 30 dní vopred, a náklady naň znáša žiadateľ.

12. Zodpovednosť

Ako prevádzkovateľ zodpovedáte za to, že máte právny základ na spracúvanie údajov, ktoré do aplikácie vkladáte, a za splnenie informačnej povinnosti voči dotknutým osobám.

Nezodpovedáme za porušenie povinností, ktoré vzniklo dodržaním vášho zdokumentovaného pokynu. Obmedzenie zodpovednosti podľa VOP tým nie je dotknuté, s výnimkou prípadov, kde to právo nepripúšťa.

13. Účinnosť a zmeny

Táto zmluva nadobúda účinnosť registráciou účtu a zaniká spolu s ním, s výnimkou ustanovení, ktoré majú svojou povahou trvať aj po skončení.

O podstatnej zmene vás upovedomíme najmenej 15 dní vopred. Zmeny v prílohe A sa riadia lehotami podľa článku 6.

Zmluva sa spravuje právnym poriadkom Slovenskej republiky.

14. Príloha A — Zoznam sub-sprostredkovateľov

Nasledujúci poskytovatelia spracúvajú osobné údaje v našom mene. Zoznam je súčasťou tejto zmluvy a udržiavame ho aktuálny.

1. The parties and their roles

Controller: you, as a user of LAVERDE Hub. You determine the purposes and means of processing the personal data you enter into the application about your clients, their contacts, your suppliers and your team members.

Processor: La Verde Tech s.r.o., J. Palkoviča 3980/4 036 01 Martin, Company ID 54986028, [email protected]. We process that data solely on your behalf and on your instructions.

This agreement covers only the data you enter into the application. For data about you — registration, contact and billing details — we are the controller, and it is governed by our Privacy Policy.

2. Subject matter, duration, nature and purpose

Subject matter: the processing of personal data necessary to operate the LAVERDE Hub application — managing clients, projects, quotes, tasks, finances and invoices, including electronic invoices.

Duration: for as long as your account exists, and thereafter to the extent set out in Article 10.

Nature: storing, displaying, editing, backing up, transmitting and erasing data through the application’s features, on your instruction given by using it.

Purpose: solely to provide the service under the Terms. We do not use your data for our own purposes, do not profile it, do not monetise it and do not disclose it to other users.

3. Categories of personal data

• identification and billing details of your clients (business name, address, company ID, tax ID, VAT ID),
• contact details (first and last name, e-mail, phone, position),
• the content of projects, tasks, notes, comments and files you upload,
• job financials (budgets, rates, income and cost records, logged time),
• the content of issued and received invoices, including their structured EN 16931 XML form,
• identifiers and delivery statuses in the Peppol network,
• e-mail addresses of people you grant access to a shared project.

4. Categories of data subjects

• your clients and their contact persons,
• your suppliers and their contact persons,
• your team members and collaborators you grant access to a project.

5. Our obligations (Article 28(3) GDPR)

We undertake to:

• Process only on instruction. We process personal data solely on your instructions, given by using the application or in writing. This also applies to transfers to a third country — unless required by law, in which case we will inform you before processing, unless the law prohibits it.
• Confidentiality. Persons authorised to process the data are bound by confidentiality that survives the end of their engagement.
• Security. We implement and maintain measures under Article 32 GDPR — see Article 8.
• Sub-processors. We engage them only on the conditions set out in Article 6.
• Assistance with data subject rights. We will help you handle requests under Chapter III GDPR — see Article 9.
• Assistance under Articles 32 to 36 GDPR. We will assist with security, breach notification and impact assessment, taking into account the nature of processing and the information available to us.
• Erasure or return. After the end of processing, as set out in Article 10.
• Demonstrating compliance. We will provide the information needed to demonstrate compliance with these obligations and allow for audits under Article 11.

If we believe an instruction of yours infringes the GDPR or other data protection law, we will tell you without delay.

6. Sub-processors

By registering you give general authorisation for the sub-processors listed in Annex A. The application could not operate without them.

We treat two kinds of change differently, because our room to manoeuvre differs:

• A change we decide on. Where we choose a new sub-processor ourselves, we will notify you at least 14 days in advance — in the application or by e-mail. You may raise a reasoned objection within 7 days of the notice.
• A change announced by one of our providers. Where a provider listed in Annex A changes its own sub-processor, we are bound by the notice period they give us — and it tends to be shorter. We will notify you without undue delay after we learn of the change, and you have 5 days to object. We cannot guarantee you 14 days’ warning here, and the change may already be in effect by the time the notice reaches you. We will not pretend otherwise.

If you raise no objection, we take it that you agree. An objection is handled by us; we can carry it to the provider only where our agreement with them gives us that right — not every provider does. If you object and we cannot reach an agreement, you may close your account free of charge and export your data. That applies in both cases, whatever the notice period was.

We impose on every sub-processor substantially the same data protection obligations we owe to you. We remain fully liable to you for their performance, as if we carried out the processing ourselves.

The current list is always available in Annex A to this document.

7. Processing location and transfers outside the EU/EEA

The processing location of each sub-processor, and the safeguard for any transfer outside the EU/EEA, are stated next to it in Annex A.

Where a service involves a transfer to a third country, it is covered by the European Commission’s Standard Contractual Clauses (Decision 2021/914) or by an adequacy decision. We carry out no other transfers.

E-invoice delivery takes place within the EU/EEA. Under our agreement with the delivery provider, transferring personal data outside the EU/EEA is prohibited without our prior written consent and without adequate safeguards under Chapter V GDPR. We have given no such consent.

8. Security of processing (Article 32 GDPR)

• all traffic over HTTPS (TLS),
• data access bound to an authenticated account and to database rules enforced server-side,
• support for two-factor authentication (TOTP),
• the secure notes section is encrypted in the browser (AES); the decryption key is never sent to our servers, so not even we can read that content,
• AI calls are made server-side; access keys are not available in the browser,
• automatic replication and backup within the cloud infrastructure.

We do not hold an ISO/IEC 27001 certification. We review these measures on an ongoing basis and may change them, but never to a lower level of protection.

9. Data subject requests and personal data breaches

Data subject requests. If one of your clients contacts us, we do not handle or answer their request — we pass it on to you without delay. Most actions (access, rectification, erasure, export) you can perform directly in the application; where you cannot, we will help.

Personal data breach. We will notify you of any established breach without undue delay and no later than 48 hours from becoming aware of it. The notice will describe the nature of the breach, the categories and approximate number of data subjects, the likely consequences and the measures taken or proposed — enough for you to meet your own 72-hour deadline towards the supervisory authority.

10. Erasure and return of data

You can export your data from the application at any time — invoices as EN 16931 XML and as PDF. We charge nothing for access to or export of your data.

After you close your account we retain the data for 30 days in case of restoration, then delete it including copies. On request we will delete or hand it over earlier within that window.

Two statutory exceptions we cannot work around:

• accounting and tax records are retained for 10 years under Act No. 431/2002 Coll. on Accounting,
• received electronic invoices cannot be removed from the application — they are accounting records and the system deliberately protects them from deletion. They are removed automatically once the statutory period expires.

11. Right to audit

On request, at most once a year and after any security incident, we will provide the information needed to demonstrate compliance — a description of our security measures, the current list of sub-processors, and any available security statements from our sub-processors.

An on-site audit is possible only where necessary, by arrangement at least 30 days in advance, and at the requester’s cost.

12. Liability

As the controller, you are responsible for having a legal basis for the data you enter into the application and for meeting your information duty towards data subjects.

We are not liable for a breach of obligations caused by following your documented instruction. The limitation of liability under the Terms is unaffected, except where the law does not permit it.

13. Effect and changes

This agreement takes effect on registration of the account and ends with it, except for provisions that by their nature survive termination.

We will notify you of any material change at least 15 days in advance. Changes to Annex A follow the periods set out in Article 6.

This agreement is governed by the law of the Slovak Republic.

14. Annex A — List of sub-processors

The following providers process personal data on our behalf. This list forms part of this agreement and we keep it current.