1. Identifikačné a kontaktné údaje prevádzkovateľa

Bezpečnosť vašich dát a ochrana vášho súkromia sú pre La Verde Tech s.r.o. kľúčovou prioritou. LAVERDE Hub (ďalej len „platforma“ alebo „CRM“) bol navrhnutý priamo pre potreby freelancerov a malých štúdií, preto kladieme mimoriadny dôraz na transparentnosť, bezpečnosť a férové spracúvanie údajov.

Tento dokument vysvetľuje, ako spracúvame, chránime a uchovávame osobné údaje používateľov našej platformy a ich klientov v súlade s Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR“) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „Zákon o ochrane osobných údajov“).

Prevádzkovateľom, ktorý určuje účely a prostriedky spracúvania vašich osobných údajov, je:

LAVERDE Hub je dostupný na laverdehub.com (pôvodná adresa hub.laverdetech.sk aj adresa laverdehub.sk sa na ňu presmerúvajú).

2. Naše postavenie: prevádzkovateľ vs. sprostredkovateľ

Pri používaní platformy LAVERDE Hub vystupuje La Verde Tech s.r.o. v dvoch rôznych rolách v závislosti od typu spracúvaných osobných údajov:

1. Sme prevádzkovateľom (Controller): vo vzťahu k osobným údajom vás ako nášho používateľa (freelancer, člen tímu, zástupca agentúry). Tieto údaje (napr. registračné, kontaktné a platobné údaje) potrebujeme na to, aby sme vám mohli poskytovať samotnú službu LAVERDE Hub, fakturovať ju a komunikovať s vami.
2. Sme sprostredkovateľom (Processor): vo vzťahu k osobným údajom, ktoré vy sami vkladáte do CRM (údaje o vašich klientoch, projektoch, úlohách, transakciách, kontaktoch a členoch tímu). Vy ste prevádzkovateľom týchto klientskych údajov a my ich spracúvame výhradne na základe vašich pokynov prostredníctvom funkčnosti našej aplikácie.

Tento druhý vzťah — my ako váš sprostredkovateľ — upravuje samostatná Zmluva o spracúvaní osobných údajov podľa čl. 28 ods. 3 GDPR. Nájdete v nej rozsah a účel spracúvania, naše povinnosti a v prílohe A aktuálny zoznam sub-sprostredkovateľov.

3. Aké údaje spracúvame a na aký účel

3.1 Údaje o používateľovi

La Verde Tech s.r.o. je vo vzťahu k nasledujúcim údajom prevádzkovateľom:

3.2 Údaje, ktoré vkladáte do CRM

Do systému môžete ukladať a spravovať dáta týkajúce sa vášho podnikania. La Verde Tech s.r.o. k týmto dátam pristupuje len automatizovane prostredníctvom kódu za účelom ich zobrazenia v rozhraní:

• Klienti / CRM: Meno, priezvisko, názov spoločnosti, IČO/DIČ, kontaktné údaje, stav.
• Projekty a úlohy: Názov projektu, termíny, rozpočet, hodinové sadzby, zaznamenaný čas (time-tracking), zodpovedné osoby.
• Financie a transakcie: Evidencia príjmov a nákladov, priradenie ku klientom a projektom, stavy transakcií.
• Kalendár: Udalosti prepojené s klientmi a projektmi. Udalosti z Google kalendára sem nepatria — pozri Prepojenie s Google kalendárom.
• Email podpisy: Údaje zadané do šablón podpisov (meno, pozícia, telefón, logá, firemné prepojenia).
• Fakturácia a e-faktúry: vystavené a prijaté faktúry vrátane ich štruktúrovanej XML podoby, stavy doručenia, identifikátory v sieti Peppol.
• Súbory pripojené k projektom: dokumenty, ktoré k projektu nahráte.

4. Osobitné kategórie funkcií a bezpečnosť dát

4.1 Bezpečné poznámky

Sekcia „Bezpečné poznámky“ slúži na ukladanie vysoko citlivých informácií (napr. prístupové kódy, heslá, API kľúče).

4.2 AI funkcie (vstup a výstup cez Gemini API)

LAVERDE Hub disponuje pokročilými funkciami s podporou umelej inteligencie (Ponuka → projekt, Projekt → klientsky report, AI Note asistent a AI Copilot).

• Tieto funkcie využívajú oficiálne rozhranie Google Gemini API (Google Ireland Limited).
• Pre maximálnu bezpečnosť prebieha celá komunikácia cez náš serverový proxy server (server-side proxy) – API kľúče nie sú prístupné v prehliadači.
• Do rozhrania odchádza len obsah, ktorý pre danú funkciu sami odošlete — text briefu alebo pripojený súbor, položky cenovej ponuky, plán a údaje projektu pre report, alebo text poznámky. Neposielame doň vaše prihlasovacie údaje ani obsah tých častí účtu, ktorých sa funkcia netýka.
• Rozhranie používame v platenom režime. Podľa dodatočných podmienok služby Gemini API (Gemini API Additional Terms of Service) preto Google nepoužíva odoslaný obsah ani vygenerované odpovede na zlepšovanie svojich produktov ani na trénovanie modelov. V bezplatnom režime toho istého rozhrania by to platilo inak.

4.3 Tímy a zdieľanie ekosystému

Ak využívate funkciu zdieľania projektových tímov, zdieľate kompletný projektový ekosystém (vrátane úloh, poznámok, kalendára a odpracovaného času) s inými používateľmi prostredníctvom ich e-mailov. Ako vlastník projektu plne kontrolujete, komu udelíte prístup k zdieľanému ekosystému.

5. Príjemcovia a subdodávatelia

Osobné údaje nepredávame ani neposkytujeme neoprávneným tretím stranám. Pre prevádzku využívame služby týchto overených sprostredkovateľov a ďalších príjemcov:

1. Google Ireland Limited (Dublin, Írsko) – Infraštruktúra Firebase (Firestore databáza, Firebase Authentication pre bezpečné prihlasovanie, cloudové úložisko) a Google Gemini API (spracovanie AI požiadaviek).
2. Railway – poskytovateľ infraštruktúry, na ktorej beží aplikačný server platformy (Express/Node.js). Cez tento server prechádza všetka HTTP komunikácia medzi vaším prehliadačom a platformou, vrátane obsahu požiadaviek, autentifikačných tokenov a vašej IP adresy.
3. Google Analytics 4 (Google Ireland Limited) – Meranie návštevnosti verejných stránok a aplikácie s anonymizovanou IP adresou. Načíta sa až po udelení súhlasu v cookie lište; bez súhlasu sa nespustí a žiadny analytický cookie nevznikne.
4. Lhosting, s.r.o. (Slovenská republika) — certifikovaný poskytovateľ doručovacej služby pre elektronické faktúry (identifikátor EFSK000014, Peppol Access Point POP000926). Sprístupňujeme mu údaje nevyhnutné na doručenie dokladu: štruktúrované XML faktúry podľa normy EN 16931 (identifikácia dodávateľa a odberateľa, položky, sumy), technické identifikátory a stavy doručenia.
5. Lettermint B.V. (Holandsko) — poskytovateľ odosielania systémových e-mailov (napr. aktivačného kódu pre e-Faktúru). Sprístupňujeme mu e-mailovú adresu príjemcu a obsah správy; e-maily sa spracúvajú v EÚ a nesledujeme ich otvorenie ani kliknutia.
6. Anthropic Ireland, Limited (Dublin, Írsko) – AI asistent Claude, ktorý používame pri správe platformy a pri vybavovaní technickej podpory (účel Podpora a servis). Sprístupňujeme mu len to, čo si daná úloha vyžaduje: v prehľadoch a zoznamoch nie e-mail ani meno používateľa, ale len interný identifikátor, plán, stav a dátumy účtu, predmety požiadaviek na podporu, návrhy na vylepšenie a pri e-fakturácii DIČ a obchodné meno subjektov; e-mail, meno a celý text požiadavky na podporu až pri práci s jedným konkrétnym účtom alebo tiketom. Údaje, ktoré vkladáte do CRM (projekty, klienti, ponuky, faktúry), pri správe platformy a podpore touto cestou neodchádzajú; ak si Claude k svojmu účtu pripojíte sami, platí nasledujúci bod. Anthropic nie je náš sprostredkovateľ — údaje spracúva podľa vlastných podmienok ako samostatný prevádzkovateľ; použitie našich konverzácií na zlepšovanie jeho modelov máme vypnuté.
7. Aplikácie, ktoré si pripojíte sami (napr. AI asistent Claude) – ak k svojmu účtu pripojíte aplikáciu tretej strany, sprístupníme jej na váš pokyn identifikačné údaje vášho účtu (napríklad e-mail, meno a plán) a obsah, ku ktorému ste jej pri pripájaní povolili prístup. Aplikáciu si vyberáte vy, údaje spracúva podľa podmienok, ktoré máte s jej poskytovateľom vy, a nie je naším sprostredkovateľom. Pripojenie zrušíte kedykoľvek v Nastaveniach → Prepojenie & Tím → Pripojené aplikácie. Pre údaje o vašich klientoch, ktoré vediete v Hube, platí Zmluva o spracúvaní osobných údajov.
8. Poskytovateľ platobnej brány (bude integrovaný vo Fáze 2) – Spracovanie platieb za Pro plán prebehne bezpečne u certifikovaného spracovateľa, naša spoločnosť k údajom o kartách nemá prístup.
9. Štátne orgány – Len v prípadoch, kedy nám to ukladá zákon (napr. daňové úrady SR).

6. Doručovanie e-faktúr cez sieť Peppol

LAVERDE Hub je v registri Finančnej správy SR vedený ako sprostredkovateľ doručovacej služby. Vlastnú certifikáciu nemá — certifikovaným poskytovateľom za nami je Lhosting, s.r.o.

Ak použijete funkciu odoslania alebo prijatia e-faktúry, Lhosting koná ako náš sub-sprostredkovateľ: doklad doručí cez sieť Peppol a, ak to ukladá zákon, reportuje ho Finančnej správe.

Digitálneho poštára si vyberáte sami na portáli Finančnej správy. LAVERDE Hub funguje aj vtedy, keď si vyberiete iného poskytovateľa.

Ak si nás firma vyberie za poštára na portáli Finančnej správy, Finančná správa nám oznámi jej údaje vrátane kontaktného e-mailu. Na tento e-mail pošleme jednorazový aktivačný kód, ktorým firmu pripojíte k svojmu účtu. Kód ukladáme len v nečitateľnej podobe (odtlačok) a e-mail nepoužívame na marketing.

7. Prepojenie s Google kalendárom

Prepojenie s Google kalendárom je dobrovoľné. Zapnete ho sami v Nastaveniach → Prepojenie & Tím a prístup povolíte na obrazovke Google. Bez neho Hub funguje rovnako, len v ňom neuvidíte udalosti zo svojho Google kalendára.

• Rozsah prístupu: od Google žiadame len oprávnenie čítať udalosti (calendar.events.readonly) a základnú identifikáciu účtu (openid, email), aby sme vám vedeli ukázať, ktorý Google účet je pripojený. Do Google kalendára nič nezapisujeme, nič v ňom nemeníme ani nemažeme.
• Aké údaje čítame: z vášho hlavného (primárneho) kalendára udalosti v obmedzenom časovom okne, ktoré Hub potrebuje zobraziť, a pri každej z nich len názov, popis, miesto, začiatok a koniec, odkaz na Google Meet a odkaz na udalosť v Google kalendári. Zoznam účastníkov, prílohy ani ostatné kalendáre nečítame. Okrem toho e-mailovú adresu pripojeného Google účtu.
• Účel: výhradne zobrazenie týchto udalostí vám — v Kalendári a na Nástenke Hubu. Nevidí ich nikto iný, ani členovia vášho tímu.
• Právny základ: plnenie zmluvy (čl. 6 ods. 1 písm. b) GDPR) — funkciu si zapínate sami a bez tohto spracúvania by nefungovala. Prístup ku kalendáru nám navyše výslovne udeľujete na obrazovke Google a kedykoľvek ho môžete odvolať.

Čo uchovávame a ako dlho:

• Obnovovací token (refresh token), ktorým si server od Google vyžiada krátkodobý prístup. Ukladáme ho na serveri zašifrovaný (AES-256-GCM) spolu s e-mailom pripojeného Google účtu a časom pripojenia — do odpojenia alebo do chvíle, keď ho Google zneplatní; vtedy ho zmažeme. Do prehliadača sa nikdy nedostane.
• Krátkodobý prístupový token (platí najviac hodinu) je len v pamäti servera, nikam sa neukladá.
• Udalosti z kalendára neukladáme — ani do databázy, ani do vyrovnávacej pamäte na serveri. Server ich len prepošle do vášho prehliadača, kde sú v pamäti, kým máte Hub otvorený. Preto k nim nemáme prístup ani my.
• Vaše priradenia k udalostiam: ak udalosti v Hube nastavíte typ, klienta alebo projekt, uložíme len toto vaše priradenie, viazané na odtlačok (hash) identifikátora udalosti — nie jej názov, čas, popis ani samotný identifikátor z Google. Priradenie vidíte len vy, nezdieľa sa s tímom a zrušíte ho tak, že klienta a projekt odoberiete a typ vrátite na pôvodný.
• Projekt z udalosti: keď z udalosti sami vytvoríte projekt, údaje, ktoré do formulára prevezmete (napríklad názov a popis), sa uložia ako súčasť vášho projektu — rovnako ako keby ste ich napísali ručne.

• Žiadne zdieľanie, predaj ani reklama: údaje z Google kalendára nepredávame, nepoužívame ich na reklamu ani na trénovanie modelov umelej inteligencie a neposielame ich do AI funkcií Hubu ani aplikáciám, ktoré si k účtu pripojíte. Okrem vás ich nikomu neposkytujeme; prechádzajú len infraštruktúrou nevyhnutnou na prevádzku služby (aplikačný server a databáza, v ktorej leží zašifrovaný token — pozri Príjemcovia a subdodávatelia).
• Zrušenie prístupu: tlačidlom Odpojiť v Nastaveniach → Prepojenie & Tím. Pri odpojení požiadame Google o zrušenie tokenu a token aj e-mail Google účtu u nás zmažeme. Prístup môžete kedykoľvek zrušiť aj v nastaveniach svojho Google účtu na myaccount.google.com/permissions; Hub to rozpozná pri najbližšom načítaní udalostí a token zmaže tiež.
• Žiadosť o sprístupnenie: kým je prepojenie dostupné len pre vybrané Google účty, môžete nás o jeho sprístupnenie požiadať priamo v Nastaveniach. E-mail Google účtu, ktorý v žiadosti uvediete, uložíme do požiadavky na podporu (účel Podpora a servis).

8. Zabezpečenie osobných údajov

Platforma LAVERDE Hub je technicky zabezpečená na vysokej úrovni:

• Šifrovanie prenosu: Celá komunikácia prebieha výhradne cez zabezpečený šifrovaný protokol HTTPS (SSL/TLS).
• Bezpečnostné pravidlá databázy: Prístup k dátam v databáze Firestore sa riadi bezpečnostnými pravidlami, ktoré sa vyhodnocujú na serverovej strane (Firestore Security Rules). Bez overenej identity prihláseného používateľa sa k dátam nedostane nikto.
• Zálohovanie: Dáta sú automaticky replikované a zálohované v rámci cloudového ekosystému pre elimináciu rizika ich straty.

9. Prenos osobných údajov do tretích krajín

Umiestnenie spracovania sa líši podľa toho, ktorý z poskytovateľov infraštruktúry (pozri Príjemcovia a subdodávatelia) vaše osobné údaje spracúva:

• Databáza, prihlasovanie a súborové úložisko (Google): hlavná databáza platformy je zriadená v multi-regióne Spojených štátov amerických (nam5) a spolu s prihlasovaním a súborovým úložiskom teda beží na infraštruktúre Google v USA. Tieto prenosy sú zabezpečené prostredníctvom rámca EU-U.S. Data Privacy Framework (pre certifikované subjekty) a Štandardnými zmluvnými doložkami podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914.
• Aplikačný server (Railway): HTTP komunikácia medzi vaším prehliadačom a platformou prechádza cez aplikačný server, ktorý beží v Spojených štátoch amerických. Tento prenos je zabezpečený Štandardnými zmluvnými doložkami podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914, ktoré sú súčasťou zmluvy o spracúvaní údajov uzavretej s poskytovateľom. Zmluva pokrýva obe postavenia — údaje, ktoré spracúvame ako prevádzkovateľ, aj údaje, ktoré pre vás spracúvame ako sprostredkovateľ (pozri Naše postavenie).
• AI funkcie (Google Gemini API): text, ktorý odošlete do AI funkcie, spracúva Google v dátových centrách bez obmedzenia na jeden región — nepoužívame regionálny koncový bod ani nastavenie dátovej rezidencie. Prenos je zabezpečený rovnakými zárukami ako pri ostatných službách Google; čo Google s obsahom smie a nesmie robiť, je v časti AI funkcie.
• AI asistent pri správe platformy (Anthropic): údaje potrebné na vybavenie podpory a správu účtov (pozri Príjemcovia a subdodávatelia) spracúva Anthropic aj na infraštruktúre v Spojených štátoch amerických. Prenos je podľa jeho zásad ochrany súkromia zabezpečený Štandardnými zmluvnými doložkami podľa čl. 46 GDPR.
• Aplikácie, ktoré si pripojíte sami (napr. Claude): údaje im sprístupňujeme na váš pokyn; kde ich ďalej spracúvajú — vrátane prípadného prenosu mimo EÚ/EHP — určujú podmienky ich poskytovateľa, nie my (pozri Príjemcovia a subdodávatelia).
• Doručovanie e-faktúr (Lhosting, s.r.o.): prebieha výhradne v rámci EÚ/EHP — prenos mimo EÚ/EHP je podľa zmluvy zakázaný bez nášho predchádzajúceho písomného súhlasu a primeraných záruk; taký súhlas sme nedali, takže k prenosu do tretej krajiny tu nedochádza.

Úplný zoznam sprostredkovateľov s lokalitou a zárukou pri každom z nich je v prílohe A dokumentu Zmluva o spracúvaní osobných údajov a generuje sa priamo z evidencie, ktorú vedieme — nie je to ručne písaný zoznam, ktorý by mohol zostarnúť.

10. Vaše práva ako dotknutej osoby

Podľa nariadenia GDPR máte práva, ktoré môžete uplatniť zaslaním e-mailu na adresu [email protected]:

• Právo na prístup k údajom: Môžete požadovať potvrdenie a výpis údajov, ktoré o vás spracúvame.
• Právo na opravu: Opravu chybne zadaných údajov (väčšinu môžete upraviť sami priamo v nastaveniach CRM).
• Právo na vymazanie: „Právo na zabudnutie“, ak pominul účel spracúvania alebo odvoláte svoj súhlas.
• Právo na prenosnosť údajov: Export dát v štruktúrovanom, bežne používanom formáte (napr. export transakcií).
• Právo namietať: Proti spracúvaniu na základe oprávneného záujmu vrátane priameho marketingu.

Máte tiež právo podať sťažnosť dozornému orgánu – Úradu na ochranu osobných údajov SR (dataprotection.gov.sk).

11. Súbory cookies a lokálne úložisko

Čo aplikácia ukladá vo vašom prehliadači, opisujú samostatné Zásady používania cookies a lokálneho úložiska. Vlastné cookies nepoužívame; nevyhnutné údaje sú tieto:

Nevyhnutné

Prihlásenie, ochrana účtu a uloženie vašej voľby v tejto lište. Bez nich aplikácia nefunguje; súhlas na ne zákon nevyžaduje.

12. Aktualizácie týchto zásad

Tieto zásady ochrany osobných údajov môžeme priebežne aktualizovať (najmä s ohľadom na vývoj platformy, implementáciu nových funkcií, integráciu platieb alebo zmeny legislatívy).

O každej zásadnej zmene vás budeme vopred informovať priamo v rozhraní aplikácie LAVERDE Hub alebo e-mailom.

1. Identification and Contact Details of the Data Controller

Data security and your privacy are a key priority for La Verde Tech s.r.o.. LAVERDE Hub (hereinafter the "platform" or "CRM") was designed specifically for the needs of freelancers and small studios, so we place extreme emphasis on transparency, security, and fair data processing.

This document explains how we process, protect, and store the personal data of our platform's users and their clients in compliance with Regulation (EU) 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (hereinafter "GDPR") and Act No. 18/2018 Coll. on Personal Data Protection as amended (hereinafter the "Personal Data Protection Act").

The Data Controller determining the purposes and means of processing your personal data is:

LAVERDE Hub is available at laverdehub.com (the former address hub.laverdetech.sk and the address laverdehub.sk both redirect to it).

2. Our Role: Data Controller vs. Data Processor

When using the LAVERDE Hub platform, La Verde Tech s.r.o. acts in two distinct roles depending on the type of personal data being processed:

1. We act as a Data Controller: in relation to the personal data of you as our user (freelancer, team member, agency representative). We need this data (e.g., registration, contact, and payment details) to provide you with the LAVERDE Hub service, invoice you, and communicate with you.
2. We act as a Data Processor: in relation to the personal data that you input into the CRM yourself (data regarding your clients, projects, tasks, transactions, contacts, and team members). You are the Data Controller for this client data, and we process it strictly based on your instructions via the application's functionality.

That second relationship — us acting as your processor — is governed by a separate Data Processing Agreement under Article 28(3) GDPR. It sets out the scope and purpose of the processing, our obligations, and in Annex A the current list of sub-processors.

3. What Data We Process and for What Purpose

3.1 User Data

La Verde Tech s.r.o. is the data controller in relation to the following data:

3.2 Data You Enter into the CRM

You can store and manage data related to your business within the system. La Verde Tech s.r.o. accesses this data only in an automated manner via code to display it in the interface:

• Clients / CRM: First name, last name, company name, corporate ID/Tax ID, contact details, status.
• Projects and Tasks: Project title, deadlines, budget, hourly rates, logged time (time-tracking), assignees.
• Finance and Transactions: Records of income and expenses, assignment to clients and projects, transaction statuses.
• Calendar: Events linked to clients and projects. Events from Google Calendar are not part of this — see Google Calendar Connection.
• Email Signatures: Data entered into signature templates (name, position, phone, logos, company links).
• Invoicing and e-invoices: issued and received invoices including their structured XML form, delivery statuses, identifiers within the Peppol network.
• Files attached to projects: documents you upload to a project.

4. Special Categories of Features and Data Security

4.1 Secure Notes

The "Secure Notes" section is used to store highly sensitive information (e.g., access codes, passwords, API keys).

4.2 AI Features (Input and Output via the Gemini API)

LAVERDE Hub features advanced AI-powered capabilities (Proposal → project, Project → client report, AI Note assistant, and AI Copilot).

• These features utilize the official Google Gemini API (Google Ireland Limited).
• For maximum security, all communication runs through our server-side proxy — API keys are not accessible in the browser.
• Only the content you submit for a given feature is sent to the interface — the brief text or an attached file, quote line items, the project plan and project data for a report, or the text of a note. We do not send your sign-in credentials, nor the contents of the parts of your account the feature does not concern.
• We use the interface on its paid tier. Under the Gemini API Additional Terms of Service, Google therefore does not use the content we send, or the responses generated, to improve its products or to train its models. On the free tier of the same interface this would not hold.

4.3 Teams and Ecosystem Sharing

If you use the project team sharing feature, you share the complete project ecosystem (including tasks, notes, calendar, and tracked time) with other users via their emails. As the project owner, you have full control over who is granted access to the shared ecosystem.

5. Recipients and Subcontractors

We do not sell or provide personal data to unauthorized third parties. For our operations, we use the services of these verified data processors and other recipients:

1. Google Ireland Limited (Dublin, Ireland) – Firebase infrastructure (Firestore database, Firebase Authentication for secure login, cloud storage) and Google Gemini API (processing of AI requests).
2. Railway – the infrastructure provider that runs the platform's application server (Express/Node.js). All HTTP traffic between your browser and the platform passes through this server, including request content, authentication tokens, and your IP address.
3. Google Analytics 4 (Google Ireland Limited) – Traffic measurement on the public pages and in the app, with an anonymised IP address. It loads only after consent is granted in the cookie bar; without consent it does not run and no analytics cookie exists.
4. Lhosting, s.r.o. (Slovak Republic) — certified e-invoice delivery service provider (identifier EFSK000014, Peppol Access Point POP000926). We share with them the data necessary to deliver the document: structured invoice XML under the EN 16931 standard (supplier and buyer identification, line items, amounts), technical identifiers, and delivery statuses.
5. Lettermint B.V. (the Netherlands) — provider of system e-mail delivery (e.g. the e-invoicing activation code). We share the recipient's e-mail address and the message content; e-mails are processed in the EU and we do not track opens or clicks.
6. Anthropic Ireland, Limited (Dublin, Ireland) – the Claude AI assistant we use to administer the platform and handle technical support (purpose Support and maintenance). We share only what the task at hand requires: in overviews and lists no user e-mail or name, only the internal identifier, the plan, the state and dates of the account, the subjects of support requests, improvement suggestions and, for e-invoicing, the tax number (DIČ) and business name of the subjects; the e-mail, name and full text of a support request only when working with one specific account or ticket. Data you enter into the CRM (projects, clients, quotes, invoices) does not leave this way when we administer the platform or provide support; if you connect Claude to your account yourself, the next item applies. Anthropic is not our processor — it processes the data under its own terms as an independent controller; the use of our conversations to improve its models is switched off.
7. Apps you connect yourself (e.g. the Claude AI assistant) – if you connect a third-party app to your account, we make available to it, on your instruction, your account's identification data (for example your e-mail, name and plan) and the content you allowed it to access when connecting it. You choose the app; it processes the data under the terms you have with its provider and is not our processor. You can revoke the connection at any time in Settings → Integrations & Partners → Connected apps. Data about your clients that you keep in the Hub is governed by the Data Processing Agreement.
8. Payment gateway provider (to be integrated in Phase 2) – Payment processing for the Pro plan will be handled securely by a certified processor; our company has no access to card details.
9. State authorities – Only in cases where we are legally required to do so (e.g., tax authorities of the Slovak Republic).

6. E-invoice Delivery via the Peppol Network

LAVERDE Hub is listed in the Slovak Financial Administration's register as an intermediary of the delivery service. It holds no certification of its own — the certified provider behind us is Lhosting, s.r.o.

If you use the send or receive e-invoice feature, Lhosting acts as our sub-processor: it delivers the document over the Peppol network and, where the law requires it, reports it to the Financial Administration.

You choose your own digital postman on the Financial Administration's portal. LAVERDE Hub works the same regardless of which provider you choose.

If a company chooses us as its postman on the Financial Administration portal, the Financial Administration sends us its details, including a contact e-mail. We send a one-time activation code to that address so you can connect the company to your account. We store the code only in an unreadable form (a hash) and do not use the e-mail for marketing.

7. Google Calendar Connection

Connecting Google Calendar is optional. You switch it on yourself in Settings → Integrations & Partners and grant access on Google's screen. Without it the Hub works the same — you just do not see the events from your Google Calendar in it.

• Scope of access: we ask Google only for permission to read events (calendar.events.readonly) and for basic account identification (openid, email), so that we can show you which Google account is connected. We write nothing to your Google Calendar and change or delete nothing in it.
• What we read: from your main (primary) calendar, the events within the limited time window the Hub needs to display, and for each of them only the title, description, location, start and end, the Google Meet link and the link to the event in Google Calendar. We do not read the attendee list, attachments or your other calendars. In addition, the e-mail address of the connected Google account.
• Purpose: solely to show these events to you — in the Calendar and on the Dashboard of the Hub. Nobody else sees them, not even the members of your team.
• Legal basis: performance of a contract (Art. 6(1)(b) GDPR) — you switch the feature on yourself and it could not work without this processing. You also grant us access to the calendar explicitly on Google's screen and can withdraw it at any time.

What we keep and for how long:

• The refresh token the server uses to obtain short-lived access from Google. We store it on the server encrypted (AES-256-GCM) together with the e-mail of the connected Google account and the time of connection — until you disconnect, or until Google invalidates it; we then delete it. It never reaches the browser.
• The short-lived access token (valid for at most one hour) is held in the server's memory only and is never stored.
• We do not store calendar events — neither in the database nor in a cache on the server. The server only passes them on to your browser, where they stay in memory while the Hub is open. This is why not even we have access to them.
• Your assignments on events: if you set a type, client or project on an event in the Hub, we store only that assignment, tied to a fingerprint (hash) of the event identifier — not the event's title, time, description or Google's identifier itself. Only you can see the assignment, it is not shared with your team, and you remove it by clearing the client and project and setting the type back to the original.
• A project from an event: when you create a project from an event yourself, the details you carry over into the form (such as the title and description) are stored as part of your project — just as if you had typed them in.

• No sharing, selling or advertising: we do not sell Google Calendar data, do not use it for advertising or to train artificial intelligence models, and do not send it to the Hub's AI features or to apps you connect to your account. We provide it to no one but you; it passes only through the infrastructure necessary to run the service (the application server and the database holding the encrypted token — see Recipients and Subcontractors).
• Revoking access: with the Disconnect button in Settings → Integrations & Partners. On disconnect we ask Google to revoke the token and delete both the token and the Google account e-mail on our side. You can also revoke access at any time in your Google Account settings at myaccount.google.com/permissions; the Hub notices it the next time it loads events and deletes the token as well.
• Access requests: while the connection is available only to selected Google accounts, you can ask us to enable it for you directly in Settings. The Google account e-mail you give in the request is stored in the support request (purpose Support and maintenance).

8. Personal Data Security

The LAVERDE Hub platform is technically secured to a high standard:

• Transmission encryption: All communication takes place exclusively over the secure encrypted HTTPS (SSL/TLS) protocol.
• Database security rules: Access to data in the Firestore database is governed by security rules evaluated on the server side (Firestore Security Rules). Nobody reaches the data without a verified, signed-in identity.
• Backups: Data is automatically replicated and backed up within the cloud ecosystem to eliminate the risk of loss.

9. Personal Data Transfers to Third Countries

Where your data is processed depends on which infrastructure provider (see Recipients and Subcontractors) handles it:

• Database, authentication and file storage (Google): the main database of the platform is provisioned in the United States multi-region (nam5), so it — together with authentication and file storage — runs on Google infrastructure in the US. These transfers are safeguarded by the EU-U.S. Data Privacy Framework (for certified entities) and by the Standard Contractual Clauses under Commission Implementing Decision (EU) 2021/914.
• Application server (Railway): HTTP traffic between your browser and the platform passes through the application server, which runs in the United States. That transfer is safeguarded by the Standard Contractual Clauses under Commission Implementing Decision (EU) 2021/914, which form part of the data processing agreement concluded with the provider. The agreement covers both roles — the data we process as a controller, and the data we process for you as a processor (see Our role).
• AI features (Google Gemini API): text you send to an AI feature is processed by Google in data centres without a single-region restriction — we use neither a regional endpoint nor a data-residency setting. The transfer rests on the same safeguards as the other Google services; what Google may and may not do with the content is set out under AI features.
• AI assistant for platform administration (Anthropic): the data needed to handle support and administer accounts (see Recipients and Subcontractors) is processed by Anthropic also on infrastructure in the United States. According to its privacy policy, the transfer is safeguarded by Standard Contractual Clauses under Article 46 GDPR.
• Apps you connect yourself (e.g. Claude): we make data available to them on your instruction; where they process it further — including any transfer outside the EU/EEA — is determined by their provider's terms, not by us (see Recipients and Subcontractors).
• E-invoice delivery (Lhosting, s.r.o.): takes place entirely within the EU/EEA — under our agreement a transfer outside the EU/EEA is prohibited without our prior written consent and adequate safeguards; we have given no such consent, so no third-country transfer arises here.

The full list of processors, each with its location and safeguard, is in Annex A to the Data Processing Agreement. It is generated from the register we maintain — not a hand-written list that could go stale.

10. Your Rights as a Data Subject

Under the GDPR regulation, you have rights that you can exercise by sending an email to [email protected]:

• Right of access: You can request confirmation and an extract of the data we process about you.
• Right to rectification: Correction of inaccurately entered data (most of which you can modify yourself directly in the CRM settings).
• Right to erasure: The "right to be forgotten" if the purpose of processing has ceased or if you withdraw your consent.
• Right to data portability: Exporting data in a structured, commonly used format (e.g., exporting transactions).
• Right to object: Objecting to processing based on legitimate interest, including direct marketing.

You also have the right to lodge a complaint with a supervisory authority – the Office for Personal Data Protection of the Slovak Republic (dataprotection.gov.sk).

11. Cookies and Local Storage

What the application stores in your browser is described in the separate Cookie and Local Storage Policy. We use no cookies of our own; the essential data is as follows:

Essential

Sign-in, account protection and storing your choice in this bar. The app does not work without them; the law does not require consent for them.

12. Updates to This Policy

We may continuously update this privacy policy (especially with regard to platform development, implementation of new features, payment integration, or legislative changes).

We will inform you in advance of any major changes directly within the LAVERDE Hub application interface or via email.