1. Úvod
Prevádzkovateľ služby Apino považuje ochranu súkromia a osobných údajov používateľov za prvoradú. Tieto zásady ochrany súkromia popisujú, ako zhromažďujeme, používame a chránime vaše osobné údaje v súlade so zákonom č. 18/2018 Z.z. o ochrane osobných údajov a nariadením GDPR.
2. Aké údaje zhromažďujeme
Zhromažďujeme len údaje nevyhnutné pre poskytovanie služby:
- E-mailová adresa - pre vytvorenie účtu a nevyhnutnú komunikáciu
- Fakturačné údaje - meno/názov, adresa, IČ DPH - zadávané pri objednávke plateného plánu: meno a adresu zadávate priamo v platobnej bráne Stripe, ktorá vystavuje faktúry, IČ DPH v našom objednávkovom formulári, odkiaľ ho odovzdáme Stripe. Vo vlastnej databáze z nich uchovávame len IČ DPH a to, čo k nemu pri overení vráti systém VIES Európskej komisie (názov, adresa a číslo konzultácie), ako doklad o overení na účely DPH, 10 rokov (zákonná povinnosť)
- Údaje o používaní API - logy požiadaviek pre účely diagnostiky a fakturácie
- IP adresy — skracujeme ich už pri zápise (pri IPv4 na prvé tri časti, pri IPv6 na prvých 48 bitov), takže celú IP adresu v databáze neuchovávame, a slúžia len na bezpečnosť a rate limiting; v prevádzkových logoch servera sa anonymizujú najneskôr po 30 dňoch. Takto skrátenú IP adresu uchovávame aj pri prijatí obchodných podmienok a pri pridaní a potvrdení odberu súhrnu zmien, kde spolu s časom dokladá, kedy a odkiaľ bol úkon urobený (čl. 7 ods. 1 GDPR); mažeme ju spolu so záznamom, ku ktorému patrí. Spolu s ňou ukladáme aj user agent — označenie prehliadača alebo programu, z ktorého požiadavka prišla — pri API požiadavkách, prihláseniach, bezpečnostných udalostiach a prijatí podmienok, a to rovnako dlho ako záznam, ku ktorému patrí.
- Odstúpenie od zmluvy — meno a priezvisko, e-mailová adresa, prípadne číslo faktúry alebo správa, ktoré k odstúpeniu uvediete, čas odoslania, skrátená IP adresa a user agent. Uchovávame ich 3 roky ako doklad o tom, že a kedy odstúpenie prišlo; právnym základom je splnenie zákonnej povinnosti podľa § 20a zákona č. 108/2024 Z. z. (čl. 6 ods. 1 písm. c) GDPR) a náš oprávnený záujem na preukázaní vybavenia (čl. 6 ods. 1 písm. f) GDPR).
- Pripojení AI asistenti — keď k svojmu účtu cez OAuth pripojíte asistenta, napríklad Claude alebo ChatGPT: názov a návratová adresa, pod ktorými sa asistent zaregistroval, váš súhlas s ním (čo smie robiť a kedy ste ho udelili) a tokeny, ktoré ho udržiavajú pripojeného. Jeho vyhľadávania zaznamenávame ako API požiadavky — ktorý nástroj, kedy a s akým výsledkom —, nie však to, na čo sa pýtal.
2a. Údaje z verejných registrov
Obsahom služby sú údaje z Registra právnických osôb SR, z Registra ekonomických subjektov ČR, z Registra účtovných závierok SR a zo siete Peppol (z jej verejných adresárov SML a SMP, podľa ktorých sa zisťuje, kto môže prijímať elektronické faktúry), a pri overení DPH aj zo zoznamov Finančnej správy SR a z registra DPH Ministerstva financií ČR, ktorý sa spolu s registrom ARES pýtame v okamihu dopytu. Tieto registre obsahujú aj osobné údaje fyzických osôb — mená štatutárov, spoločníkov a podnikateľov a ich adresy. Spracúvame ich na základe oprávneného záujmu (čl. 6 ods. 1 písm. f) na sprístupňovaní údajov, ktorých zverejnenie ukladá zákon zriaďujúci príslušný register. Zo slovenských záznamov pred sprístupnením odstraňujeme osobné identifikátory a adresy štatutárov a spoločníkov skracujeme na obec a štát; mená ponechávame v podobe, v akej ich register zverejňuje. Na verejnej časti webu — na stránkach subjektov, v adresári, vo vyhľadávaní a v nástrojoch dostupných bez prihlásenia — pri podnikateľoch, ktorí sú fyzickými osobami, zobrazujeme len meno, obec, IČO, právnu formu a predmet činnosti; ulicu, číslo domu, PSČ, DIČ, IČ DPH, bankové účty ani zápis v zdrojovom registri (napríklad číslo licencie) tam neuvádzame a ich stránky neponúkame vyhľadávačom na indexovanie. Zákazníkom s plateným plánom poskytujeme cez API údaje podnikateľov v rozsahu, v akom ich zverejňuje register, s aktuálnou adresou, nie však s predchádzajúcimi; v bezplatnom pláne len v rozsahu verejnej časti webu. V histórii zmien, webhookoch a súhrnoch zmien pri zmene adresy podnikateľa, ktorý je fyzickou osobou, uvádzame len to, že sa adresa zmenila. Pri ďalšom použití údajov je zákazník samostatným prevádzkovateľom. České DIČ fyzickej osoby je odvodené z jej rodného čísla: neukladáme ho, pri vyhľadaní podľa IČO ho neposkytujeme a zo záznamov o požiadavkách ho odstraňujeme; vrátime ho len tomu, kto ho sám zadal. Iné zdroje ako tieto verejné registre nepoužívame; ich údaje spájame podľa IČO a meníme ich len opravou zjavných chýb v prepise, pričom pôvodné znenie zostáva dostupné. Ak ste v registri uvedení ako fyzická osoba, obsah záznamu meniť nedokážeme — s tým sa treba obrátiť na orgán, ktorý register vedie; voči nám si môžete uplatniť práva podľa čl. 15 – 21 GDPR vrátane námietky proti spracúvaniu na základe oprávneného záujmu.
3. Právny základ spracovania (GDPR čl. 13(1)(c))
Vaše osobné údaje spracovávame na základe nasledujúcich právnych základov:
- Plnenie zmluvy (čl. 6(1)(b)) — vytvorenie účtu, poskytovanie prístupu k API, fakturácia a správa predplatného
- Oprávnený záujem (čl. 6(1)(f)) — monitorovanie bezpečnosti, prevencia zneužitia, rate limiting, anonymizovaná analytika a zlepšovanie služby
- Zákonná povinnosť (čl. 6(1)(c)) — daňové záznamy, uchovávanie faktúr a dodržiavanie slovenského práva
- Súhlas (čl. 6 ods. 1 písm. a) — odber denného súhrnu zmien na adresu, ktorú do zoznamu pridal zákazník (pozri bod 5a). Súhlas možno kedykoľvek odvolať.
4. Spracovanie platieb
Platby sú spracovávané prostredníctvom Stripe (stripe.com). So Stripe zdieľame vašu e-mailovú adresu a meno na vytvorenie zákazníckeho účtu. Prevádzkovateľ nemá prístup k platobným údajom (číslo karty, CVV) zadávaným používateľom počas platobného procesu. Tieto údaje nie sú ukladané na serveroch prevádzkovateľa. Aktivácia služby prebieha automaticky po potvrdení úspešnej platby platobnou bránou. Zásady ochrany súkromia Stripe: https://stripe.com/privacy.
5. Komunikácia
Posielame len prevádzkové správy súvisiace s vaším účtom a službou: uvítaciu správu, overenie e-mailovej adresy, obnovu hesla, bezpečnostné upozornenia, upozornenia na spotrebu, správy o platbách, potvrdenia úkonov, ktoré ste sami urobili (napríklad vymazania účtu alebo odstúpenia od zmluvy) a v prípade sledovania zmien denný súhrn a potvrdenia odberu. Bezpečnostné upozornenia a upozornenia na spotrebu si môžete vypnúť v nastaveniach účtu a denný súhrn zmien v nastaveniach zoznamu alebo odkazom v každej takej správe. Ostatné tieto správy odmietnuť nie je možné, pretože sú nevyhnutné pre plnenie zmluvy a riadne fungovanie služby. Obchodné oznámenia — novinky, ponuky a inú reklamu — v súčasnosti neposielame vôbec. Ak by sme s tým začali, vyžiadame si na to osobitný súhlas a každá takáto správa bude obsahovať odkaz na bezplatné odhlásenie.
5a. Príjemcovia súhrnu zmien
Zákazník môže do svojho zoznamu sledovaných firiem pridať e-mailovú adresu inej osoby, ktorej má chodiť denný súhrn zmien. Na takú adresu nepošleme nič, kým ju jej držiteľ sám nepotvrdí kliknutím na tlačidlo v žiadosti o potvrdenie; do tej doby ju iba uchovávame a po 30 dňoch bez potvrdenia ju automaticky mažeme. Právnym základom spracúvania je súhlas (čl. 6 ods. 1 písm. a) GDPR). Ako doklad o súhlase uchovávame e-mailovú adresu, dátum a skrátenú IP adresu pridania, dátum a skrátenú IP adresu potvrdenia, identifikáciu zákazníka, ktorý adresu pridal, a verziu tejto informácie o ochrane údajov platnú v čase potvrdenia. Aby sa pridávanie adries nedalo zneužiť na rozosielanie žiadostí o potvrdenie, evidujeme počas 2 dní čas každej odoslanej žiadosti a zákazníka, ktorý ju vyvolal — bez adresy príjemcu. Súhlas možno kedykoľvek odvolať odkazom na odhlásenie v každom súhrne alebo napísaním na kontaktnú adresu nižšie; po odvolaní adresu aj doklad o súhlase mažeme. Aby sme vám po odhlásení alebo výmaze nemohli poslať ďalšiu žiadosť o potvrdenie, aj keby vašu adresu niekto pridal znova, uchovávame z nej len jednosmerný odtlačok (hash), z ktorého sa adresa priamo vyčítať nedá — dá sa ním len overiť, či ide o tú istú adresu; na základe nášho oprávneného záujmu dodržať vaše rozhodnutie (čl. 6 ods. 1 písm. f) GDPR) a dovtedy, kým nás nepožiadate o jeho odstránenie. Držiteľ adresy má voči nám rovnaké práva podľa čl. 15 – 21 GDPR ako ktorákoľvek iná dotknutá osoba vrátane práva zistiť, kto jeho adresu pridal.
6. Cookies
Naša služba používa nasledujúce cookies: (1) Autentifikačné cookies — zabezpečené httpOnly cookies platné 7 dní alebo do odhlásenia; (2) Jazykové preferencie — ukladá vašu voľbu jazyka, platné 1 rok. Obe sú nevyhnutné na fungovanie služby, ktorú ste si vyžiadali, a podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách si nevyžadujú súhlas. Návštevnosť meriame nástrojom Plausible Analytics na vlastnom serveri; neukladá do vášho zariadenia žiadne cookies ani iné údaje, nevytvára identifikátory návštevníkov a nesleduje vás naprieč stránkami, preto ani on súhlas nevyžaduje. Marketingové ani sledovacie cookies nepoužívame a nemáme lištu na súhlas, pretože nie je čo odsúhlasiť.
7. Zdieľanie údajov
Vaše osobné údaje nepredávame ani neposkytujeme tretím stranám na ich vlastné účely. V postavení sprostredkovateľa sa na spracúvaní podieľajú: Hetzner Online GmbH (Nemecko) — hosting serverov a databázy, na základe zmluvy o spracúvaní údajov podľa čl. 28 GDPR; Stripe, Inc. a Stripe Payments Europe, Ltd. — spracovanie platieb a vystavovanie faktúr, na základe zmluvy o spracúvaní, ktorá je súčasťou Stripe Services Agreement; WebCreators, s.r.o. (Slovensko), služba HostCreators — prevádzka e-mailovej schránky a doručovanie správ, s poštovými servermi na Slovensku, na základe zmluvy o spracúvaní podľa čl. 28 GDPR, ktorá je súčasťou jej obchodných podmienok; Tailscale US Inc. (USA) — šifrované sieťové spojenie (VPN), cez ktoré spravujeme servery vrátane prístupu k databáze pri údržbe a zálohovaní, na základe zmluvy o spracúvaní podľa čl. 28 GDPR, ktorá je súčasťou jej obchodných podmienok (k prenosu do USA pozri bod 8). Cez Tailscale neprechádza vaša komunikácia s webom ani s API. Spojenia vedú prevažne priamo medzi našimi zariadeniami; cez prenosové servery Tailscale, obmedzené na servery v EÚ, ide prevádzka len vtedy, keď priame spojenie zlyhá, a vždy je šifrovaná od konca po koniec, takže jej obsah Tailscale nevidí. Každý z nich spracúva údaje na náš pokyn a na účel, na ktorý sme mu ich zverili. IČ DPH, ktoré zadáte pri objednávke, overujeme v systéme VIES Európskej komisie; ten dostane len toto číslo a naše IČ DPH ako žiadateľa. Návštevnosť webu meriame vlastnou inštanciou nástroja Plausible Analytics na vlastnom serveri; údaje z nej neodovzdávame nikomu. To, čo si vyžiada AI asistent, ktorého ste pripojili, dostane na váš pokyn jeho prevádzkovateľ (napríklad Anthropic alebo OpenAI); ten nie je naším sprostredkovateľom a platia preňho jeho vlastné podmienky. Údaje môžeme poskytnúť orgánom verejnej moci, ak nám to ukladá zákon.
8. Medzinárodné prenosy údajov (GDPR čl. 13(1)(f))
Vaše osobné údaje môžu byť prenesené do krajín mimo EÚ/EHP:
- Stripe, Inc. (USA) — spracovanie platieb. Stripe je certifikovaný v rámci EU-U.S. Data Privacy Framework (DPF), čo poskytuje primerané záruky pre prenos údajov podľa GDPR čl. 45.
- Tailscale US Inc. (USA) — šifrované sieťové spojenie, cez ktoré spravujeme servery (bod 7). Prenos je založený na štandardných zmluvných doložkách podľa vykonávacieho rozhodnutia Komisie (EÚ) 2021/914 (čl. 46 ods. 2 písm. c) GDPR, modul 2: prevádzkovateľ – sprostredkovateľ), ktoré sú súčasťou zmluvy Tailscale o spracúvaní údajov. Ich kópiu vám poskytneme na požiadanie na privacy@apino.sk.
- Pre akékoľvek ďalšie prenosy sa spoliehame na štandardné zmluvné doložky EÚ (čl. 46(2)(c)) alebo rozhodnutia o primeranosti, ak sú k dispozícii.
9. Uchovávanie údajov
Údaje účtu uchovávame počas trvania aktívneho účtu. API logy sa uchovávajú 90 dní pre diagnostiku a fakturáciu. Agregované štatistiky využitia sa uchovávajú 365 dní. IP adresy ukladáme len skrátené; v prevádzkových logoch servera sa anonymizujú najneskôr po 30 dňoch. Záznamy o bezpečnostných udalostiach a auditné záznamy o zásahoch správcu uchovávame 2 roky. Doklad o prijatí obchodných podmienok uchovávame počas trvania účtu a mažeme spolu s ním. Adresu príjemcu súhrnu zmien a doklad o jej súhlase mažeme pri odhlásení; nepotvrdenú adresu mažeme automaticky po 30 dňoch. Záznamy o doručení webhookov uchovávame 30 dní. Záznamy o odstúpení od zmluvy uchovávame 3 roky. Faktúry a záznamy o overení IČ DPH uchovávame 10 rokov, ako vyžaduje zákon o účtovníctve, a to aj po vymazaní účtu, už bez prepojenia naň. Súhlas s pripojeným AI asistentom trvá, kým ho v prehľade neodpojíte alebo nevymažete účet; jeho tokeny mažeme do jedného dňa od vypršania, najneskôr 30 dní po ich poslednom použití, a registráciu asistenta, cez ktorú sa nikto nepripojil, mažeme po 30 dňoch. Ostatné osobné údaje sú po vymazaní účtu odstránené okamžite; zostatkové kópie v šifrovaných zálohách zaniknú najneskôr po 3 mesiacoch, keď sa záloha zmaže.
10. Vaše práva (GDPR čl. 15-21)
Podľa GDPR máte nasledujúce práva:
- Právo na prístup - získať kópiu vašich osobných údajov (v nastaveniach účtu)
- Právo na opravu - opraviť nepresné alebo neúplné údaje
- Právo na vymazanie - vymazať váš účet a všetky súvisiace údaje
- Právo na obmedzenie spracovania - obmedziť spôsob, akým spracovávame vaše údaje
- Právo na prenosnosť - exportovať vaše údaje v strojovo čitateľnom formáte (JSON)
- Právo namietať - namietať proti spracovaniu na základe oprávneného záujmu (pozri bod 10a)
- Právo podať sťažnosť - môžete podať sťažnosť na Úrad na ochranu osobných údajov SR na dataprotection.gov.sk
Tieto práva môžete uplatniť priamo v nastaveniach účtu (export a vymazanie) alebo kontaktovaním na privacy@apino.sk.
10a. Právo namietať (čl. 21 GDPR)
Z dôvodov týkajúcich sa vašej konkrétnej situácie môžete kedykoľvek namietať proti spracúvaniu vašich osobných údajov, ktoré robíme na základe oprávneného záujmu (čl. 6 ods. 1 písm. f) — teda proti sprístupňovaniu údajov z verejných registrov podľa bodu 2a a proti monitorovaniu bezpečnosti a prevencii zneužitia podľa bodu 3. Stačí napísať na privacy@apino.sk; účet na to nepotrebujete. Po námietke vaše údaje na tento účel ďalej nespracúvame, pokiaľ nepreukážeme nevyhnutné oprávnené dôvody, ktoré prevažujú nad vašimi záujmami, právami a slobodami, alebo dôvody na preukazovanie, uplatňovanie či obhajovanie právnych nárokov. Na priamy marketing vaše údaje nepoužívame.
11. Vymazanie účtu
Účet môžete kedykoľvek vymazať v nastaveniach. Vymazanie je okamžité a nevratné. Odstránené budú: váš profil a osobné údaje, všetky API kľúče, história využitia API, všetky aktívne relácie, doklad o prijatí obchodných podmienok, vaše zoznamy sledovaných firiem vrátane adries príjemcov súhrnu a nastavených webhookov, a tiež pripojenia AI asistentov. Po vymazaní účtu nie je možné obnoviť prístup k službe ani údajom.
12. Bezpečnosť
Prijímame primerané technické a organizačné opatrenia na ochranu vašich údajov: šifrovanie pri prenose (TLS 1.2 a novšie), hashovanie hesiel, API kľúčov a prístupových tokenov pripojených AI asistentov, šifrovanie tajomstiev dvojfázového overenia v databáze, riadenie prístupu na princípe minimálnych oprávnení a priebežný monitoring prevádzky. Databáza ani vyrovnávacia pamäť nie sú prístupné z internetu. Servery sú umiestnené v dátovom centre v Nemecku (Hetzner Online GmbH). Disky serverov nie sú šifrované na úrovni zariadenia. Bezpečnostný audit kódu sme naposledy vykonali vo februári 2026.
12a. Povinnosť poskytnúť údaje a automatizované rozhodovanie
E-mailovú adresu a heslo potrebujeme na to, aby sme vám mohli vytvoriť účet a poskytovať službu — ide o zmluvnú požiadavku a bez nich účet vzniknúť nemôže. Fakturačné údaje pri objednávke plateného plánu vyžaduje zákon o účtovníctve a zákon o dani z pridanej hodnoty; bez nich nevieme vystaviť faktúru, a teda ani aktivovať platený plán. Bezplatný účet a verejné časti webu môžete používať bez ďalších údajov. Žiadne iné údaje od vás nevyžadujeme a ich neposkytnutie nemá iný následok. Nevykonávame automatizované rozhodovanie ani profilovanie podľa čl. 22 GDPR — o vašich právach a povinnostiach nerozhoduje žiadny automatizovaný systém. Automaticky prebieha len uplatňovanie limitov plánu, ktorý ste si zvolili, čo nemá pre vás právne účinky ani podobne významný vplyv.
13. Kontakt
Prevádzkovateľom je Michal Piják DEV, Na Hrebienku 1498/35, 811 02 Bratislava, IČO: 57396655, zapísaný v Živnostenskom registri Okresného úradu Bratislava, číslo živnostenského registra 110-362285. Prevádzkovateľ nemá určenú zodpovednú osobu (poverenca pre ochranu osobných údajov). Vo veciach ochrany osobných údajov a na uplatnenie vašich práv nás kontaktujte na