1. Prevádzkovateľ a kontakt
Galici s.r.o.
Podzámska 2324/7, 92001 Hlohovec, Slovensko
IČO: 55832148
E-mail: info@barmio.app, telefón: +421907516274
Osobné údaje spracúvame podľa nariadenia (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. o ochrane osobných údajov. Zodpovednú osobu (DPO) nemáme určenú — nevyplýva nám to zo zákona. So všetkým sa obráťte na e-mail vyššie.
2. Dve rôzne roly — a je dôležité ich nezameniť
Barmio je aplikácia, ktorú si kupuje podnik a používajú jeho zamestnanci. Preto máme voči údajom dve rôzne postavenia a od nich sa odvíja aj to, koho sa treba pýtať.
| Situácia | Naše postavenie | Kam sa obrátiť |
|---|---|---|
| Údaje z registrácie, fakturácie, podpory a návštevy webu | Prevádzkovateľ — účel a rozsah určujeme my | Na nás (článok 3) |
| Údaje vnútri aplikácie — zamestnanci, dochádzka, rozpisy, dovolenky | Sprostredkovateľ — spracúvame ich pre podnik a podľa jeho pokynov | Na váš podnik ako zamestnávateľa (článok 4) |
Ak ste zamestnanec a používate Barmio v práci: údaje o vašej dochádzke, zmenách a dovolenkách patria vášmu zamestnávateľovi. My ich len uchovávame a spracúvame na jeho pokyn. So žiadosťou o prístup, opravu alebo výmaz sa preto obráťte na svojho zamestnávateľa — my mu vyhovieť pomôžeme, ale sami o vašich údajoch rozhodovať nesmieme. Čo presne sa o vás v aplikácii uchováva, nájdete v článku 4.
3. Údaje, ktoré spracúvame ako prevádzkovateľ
| Účel | Údaje | Právny základ | Doba |
|---|---|---|---|
| Registrácia podniku a jej posúdenie | Názov podniku, obchodné meno, IČO, DIČ, IČ DPH, adresa, meno kontaktnej osoby, e-mail, telefón | Plnenie zmluvy, resp. predzmluvné vzťahy (čl. 6 ods. 1 písm. b GDPR) | Počas trvania zmluvy a 30 dní po jej skončení. Zamietnutú registráciu zmažeme do 90 dní od zamietnutia, aj bez vyžiadania; na požiadanie skôr. |
| Prevádzka používateľského účtu | E-mail, meno, rola, zahashované heslo, dátum vytvorenia | Plnenie zmluvy (čl. 6 ods. 1 písm. b) | Počas trvania účtu a 30 dní po jeho zrušení |
| Fakturácia a účtovníctvo | Fakturačné údaje, vystavené faktúry, prijaté platby | Zákonná povinnosť (čl. 6 ods. 1 písm. c) — zákon o účtovníctve | 10 rokov od konca účtovného obdobia |
| Zákaznícka podpora a hlásenia chýb | Obsah správy, e-mail, stránka a čas, kde chyba vznikla | Oprávnený záujem (čl. 6 ods. 1 písm. f) — poskytnúť podporu a opraviť chybu | 2 roky |
| Bezpečnosť, prevádzkové logy a ochrana pred zneužitím | IP adresa, čas a typ požiadavky, chybové hlásenia, počet neúspešných prihlásení | Oprávnený záujem (čl. 6 ods. 1 písm. f) — bezpečnosť služby | Prevádzkové logy 30 dní, záznamy o chybách 90 dní |
| Štatistika používania aplikácie | Identifikátor používateľa, použitý modul, čas. Nie obsah, ktorý v module vytvoril. | Oprávnený záujem (čl. 6 ods. 1 písm. f) — vedieť, ktoré časti aplikácie sa používajú | 180 dní |
Osobné údaje nepoužívame na profilovanie ani na automatizované rozhodovanie s právnym účinkom. Nepredávame ich a neposkytujeme ich tretím stranám na marketingové účely.
4. Údaje v aplikácii — čo sa uchováva o zamestnancoch
Tieto údaje do aplikácie vkladá podnik a jeho zamestnanci. Prevádzkovateľom je podnik, my sme sprostredkovateľ. Uvádzame ich tu, aby každý zamestnanec vedel, čo o ňom aplikácia drží:
- Účet: e-mail, meno, rola, oprávnenia, zahashované heslo.
- Karta zamestnanca: meno a priezvisko, adresa, dátum narodenia, telefón, dátum nástupu, poznámky zamestnávateľa.
- Rozpis a dochádzka: naplánované zmeny, časy príchodu a odchodu, poznámky k záznamu, kto ho schválil.
- Poloha pri pipnutí — zemepisné súradnice a presnosť v okamihu príchodu a odchodu, len ak si podnik overovanie polohy zapol. Predvolene je vypnuté a vtedy sa poloha nezaznamenáva vôbec. Trvalé ani priebežné sledovanie polohy aplikácia nerobí.
- Neprítomnosť: žiadosti o dovolenku, náhradné voľno, neplatené voľno a práceneschopnosť, ich stav a kto o nich rozhodol.
- Obsah, ktorý zamestnanec vytvorí: príspevky na nástenke, komentáre, úlohy, poznámky, rezervácie, zápisy tržieb a skladu.
- Notifikácie: identifikátor zariadenia pre push správy, ak si ich zamestnanec zapol.
Údaj o práceneschopnosti je údaj o zdraví — teda osobitná kategória podľa čl. 9 GDPR. Aplikácia si vyžiada len typ neprítomnosti a jej termín; pole na diagnózu, lekársku správu ani prílohu nemá a žiadny zdravotný údaj nevyžaduje.
Žiadosť má ale nepovinné voľné pole „dôvod" (a rozhodnutie o nej poznámku), do ktorých sa dá napísať čokoľvek. Nepíšte do nich diagnózu — aplikácia ju nepotrebuje a podnik ju nemá dôvod uchovávať. Podnik ako prevádzkovateľ je povinný zabezpečiť, aby k týmto údajom mali prístup len tí, ktorí ich potrebujú.
Mzdy aplikácia neeviduje. Modul Náklady pozná mzdy len ako jednu súhrnnú položku nákladu za obdobie (napr. „Mzdy – jún“), nikdy nie ako sumu priradenú konkrétnemu človeku.
5. Komu údaje sprístupňujeme
Na prevádzku aplikácie využívame nasledujúcich poskytovateľov. S každým máme uzavretú zmluvu o spracúvaní osobných údajov a každý je viazaný mlčanlivosťou. Nikto z nich nesmie údaje použiť na vlastné účely.
| Poskytovateľ | Na čo | Aké údaje sa k nemu dostanú |
|---|---|---|
| Railway Corporation (USA) | Hosting aplikácie a databázy | Všetky údaje uložené v aplikácii |
| Cloudflare, Inc. (USA) | Úložisko nahraných súborov (R2) | Faktúry, dodacie listy a bloky, a súbory z modulu Dokumenty — teda čokoľvek, čo do neho podnik nahrá |
| Twilio Inc. (SendGrid, USA) | Príjem faktúr posielaných na e-mailovú adresu podniku v Barmiu | Celý prijatý e-mail vrátane príloh a adresy odosielateľa. Týka sa len podnikov, ktoré si e-mailový príjem faktúr zapli. |
| Anthropic PBC (USA) | Automatické čítanie faktúr a dodacích listov; návrh minimálnych zásob | Obsah dokladu odoslaného na prečítanie (spolu s názvami vlastných kategórií nákladov), a pri návrhu zásob zoznam produktov s ich spotrebou. Žiadne údaje o zamestnancoch. |
| Resend, Inc. (USA) | Odosielanie e-mailov (pozvánky, reset hesla, faktúry, podklady pre účtovníka) | E-mailová adresa a obsah správy vrátane príloh |
| Functional Software, Inc. (Sentry, USA) | Zaznamenávanie chýb aplikácie | Technické údaje o chybe, IP adresa, identifikátor používateľa. Polia, ktoré sa menujú ako heslo alebo token, sa z hlásení automaticky odstraňujú; obsah, ktorý používateľ sám napísal do textu, sa neposudzuje. |
| GitHub, Inc. (USA) | Uchovanie nočných záloh databázy | Šifrovaná kópia databázy — čitateľná len držiteľom nášho súkromného kľúča, nie GitHubom |
Ďalej môžeme údaje sprístupniť orgánom verejnej moci, ak nám to ukladá zákon, a vlastným poradcom (účtovník, advokát) viazaným mlčanlivosťou.
Automatické čítanie dokladov — čo sa odosiela a čo nie
Aplikácia používa umelú inteligenciu na dve veci a v oboch ide o prevádzkové dáta, nie o údaje zamestnancov:
- Čítanie dokladov. Keď používateľ odfotí dodací list alebo faktúru a spustí prečítanie, odošle sa obrázok alebo PDF tohto dokladu a k nemu zoznam názvov vlastných kategórií nákladov podniku, aby vedel doklad zaradiť.
- Návrh minimálnych zásob. Odošle sa zoznam skladových položiek podniku s ich názvom, kategóriou a spotrebou za sledované obdobie.
Neodosielajú sa údaje o zamestnancoch — meno, dochádzka, neprítomnosti ani rozpisy zmien — ani tržby, rezervácie a dokumenty. Dodávateľ podľa svojich podmienok pre rozhranie API nepoužíva odoslané údaje na trénovanie modelov a uchováva ich len krátkodobo na účely prevádzky služby.
6. Prenos mimo Európskej únie
Uvedení poskytovatelia sídlia v Spojených štátoch amerických. Prenos sa uskutočňuje na základe štandardných zmluvných doložiek schválených Európskou komisiou, prípadne na základe rozhodnutia o primeranosti (rámec EU–U.S. Data Privacy Framework), ak je poskytovateľ v ňom certifikovaný. Kópiu záruk poskytneme na požiadanie.
7. Ako dlho údaje uchovávame
Doby pri jednotlivých účeloch sú v tabuľke v článku 3. Nad rámec toho platí:
- Údaje v aplikácii uchovávame počas trvania zmluvy s podnikom, potom ešte 30 dní na export a následne ich zmažeme.
- Zálohy uchovávame 90 dní. Zmazaný údaj teda môže v zálohe existovať ešte túto dobu; zo zálohy sa obnovuje len pri havárii, nikdy nie na bežné použitie.
- Doklady, ktoré musíme uchovávať podľa zákona o účtovníctve, uchovávame 10 rokov.
8. Vaše práva
Ako dotknutá osoba máte právo:
- na prístup k svojim údajom a na ich kópiu,
- na opravu nesprávnych a doplnenie neúplných údajov,
- na výmaz, ak už nie sú potrebné a nebráni tomu zákonná povinnosť,
- na obmedzenie spracúvania,
- na prenosnosť údajov v štruktúrovanom, bežne používanom formáte,
- namietať proti spracúvaniu založenému na oprávnenom záujme,
- odvolať súhlas, ak je spracúvanie na ňom založené — odvolanie nemá vplyv na zákonnosť spracúvania pred odvolaním.
Práva si uplatníte e-mailom na info@barmio.app. Odpovieme do jedného mesiaca. Ak sa žiadosť týka údajov, ktoré spracúvame ako sprostredkovateľ pre podnik (článok 4), postúpime ju bez zbytočného odkladu podniku a upovedomíme vás o tom.
Ak máte za to, že spracúvame vaše údaje v rozpore s predpismi, môžete podať sťažnosť dozornému orgánu: Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk.
9. Cookies a údaje uložené v prehliadači
Barmio nepoužíva reklamné ani analytické cookies a nezapája sledovacie skripty tretích strán. Preto sa vás na súhlas s cookies nepýtame — nemáme na čo. Používame len to, bez čoho by sa aplikácia nedala používať:
| Čo | Na čo | Ako dlho |
|---|---|---|
| Prihlasovacia cookie | Udržanie prihlásenia | Trvalá — aplikácia vás úmyselne drží prihlásených aj po zavretí prehliadača, lebo sa používa na mobile počas zmeny. Odhlásením zanikne. |
| Bezpečnostná cookie (CSRF) | Ochrana pred podvrhnutím požiadavky | 1 rok |
| Údaje v pamäti prehliadača | Voľba jazyka, svetlý/tmavý režim, poradie kariet na nástenke | Do zmazania používateľom |
| Vyrovnávacia pamäť aplikácie | Aby aplikácia fungovala aj pri slabom signáli | Do zmazania alebo aktualizácie |
10. Bezpečnosť
Prijali sme najmä tieto opatrenia:
- Komunikácia je šifrovaná (HTTPS), heslá sa uchovávajú výhradne ako bcrypt hash — v čitateľnej podobe ich nemáme ani my.
- Údaje každého podniku sú oddelené a prístup k nim je obmedzený na jeho vlastných používateľov. Toto oddelenie je pokryté automatickými testami, ktoré bežia pri každej zmene aplikácie.
- V rámci podniku rozhoduje o prístupe systém oprávnení, ktorý nastavuje majiteľ.
- Ochrana pred podvrhnutím požiadavky (CSRF), obmedzenie počtu pokusov o prihlásenie a obmedzenie veľkosti nahrávaných súborov.
- Denné zálohy uložené mimo infraštruktúry hostingu, šifrované pred odoslaním a pravidelne overované skúšobnou obnovou.
Žiadne opatrenie nie je absolútne. Ak by došlo k porušeniu ochrany osobných údajov s rizikom pre práva dotknutých osôb, oznámime to dozornému orgánu do 72 hodín a bez zbytočného odkladu aj dotknutému podniku.
11. Zmeny týchto zásad
Zásady môžeme aktualizovať. Podstatnú zmenu oznámime e-mailom najmenej 30 dní vopred. Verzia a dátum účinnosti sú v hlavičke tohto dokumentu.