1Kdo smo
Upravljavec osebnih podatkov, ki jih obdelujemo za delovanje storitve S.P.jček (spletna stran www.spjcek.si in aplikacija app.spjcek.si), je:
- Podjetje
- IntraLab, Miha Meglič s. p.
- Naslov
- Stegne 21C, 1000 Ljubljana, Slovenija
- Matična številka
- 7333315000
- Davčna številka
- 21449155
- E-pošta
- info@intralab.si
Pooblaščene osebe za varstvo podatkov nismo imenovali, ker za nas ni obvezna. Za vsa vprašanja o zasebnosti nam pišite na zgornji e-naslov.
2Upravljavec in obdelovalec
S.P.jček je program za izdajanje računov, zato v njem nastajata dve vrsti podatkov, za kateri smo odgovorni na različen način:
- Podatki o vas kot uporabniku — vaš uporabniški račun, prijava, članstva in podobno. Za te podatke smo upravljavec mi in zanje velja ta politika.
- Podatki, ki jih vnesete za svoje poslovanje — podatki vašega podjetja, strank in računov. Za te podatke je upravljavec podjetje, ki S.P.jček uporablja, mi pa smo njegov obdelovalec. Razmerje ureja pogodba o obdelavi osebnih podatkov, ki je del Pogojev uporabe.
Če ste prejeli račun, izdan s S.P.jčkom, in imate vprašanje o svojih podatkih na njem, se obrnite na podjetje, ki vam ga je izdalo. Če tako zahtevo prejmemo mi, jo bomo posredovali njemu.
3Podatki, za katere smo upravljavec
| Podatki | Namen | Pravna podlaga |
|---|---|---|
| Uporabniški račun: ime, e-naslov, jezik vmesnika, čas ustvarjenja | Ustvarjanje in upravljanje vašega računa | Izvajanje pogodbe (točka (b) prvega odstavka 6. člena GDPR) |
| Prijava s povezavo: e-naslov, zgoščena vrednost enkratne povezave, čas njene veljavnosti (24 ur) | Prijava brez gesla | Izvajanje pogodbe |
| Prijava z Googlom ali Microsoftom: identifikator računa pri ponudniku, ime, e-naslov, profilna slika, žetoni, ki jih ponudnik izda ob prijavi | Prijava in povezovanje več načinov prijave z istim računom | Izvajanje pogodbe |
| Seje: identifikator seje in čas poteka | Ohranjanje prijave | Izvajanje pogodbe |
| Članstva in vabila: vloga v podjetju; pri vabilu e-naslov povabljene osebe ter kdo jo je povabil in kdaj | Sodelovanje več oseb v istem podjetju | Izvajanje pogodbe; za povabljeno osebo zakoniti interes podjetja, ki jo vabi (točka (f)) |
| Dostopni žetoni za API: ime, predpona in zgoščena vrednost žetona, dovoljenja, čas zadnje uporabe | Dostop do programskega vmesnika | Izvajanje pogodbe |
| Dopisovanje z nami: e-naslov in vsebina sporočil | Odgovarjanje na vprašanja in zahteve | Zakoniti interes; pri uveljavljanju pravic zakonska obveznost (točka (c)) |
| Strežniški dnevniki: naslov IP, čas, zahtevani naslov, podatki o brskalniku | Varnost in odpravljanje napak | Zakoniti interes (točka (f)) |
4Podatki, ki jih obdelujemo za vas
Kot obdelovalec za podjetja, ki uporabljajo S.P.jček, hranimo:
- podatke podjetja: naziv, naslov, davčno in matično številko, identifikacijsko številko za DDV, IBAN, BIC, banko, e-naslov, telefon, spletno stran in logotip — pri samostojnem podjetniku so to njegovi osebni podatki;
- zgodovino teh podatkov: kopijo ob vsaki spremembi ter kdo in kdaj jo je naredil, da je izdan račun vedno enak kot na dan izdaje;
- stranke: ime ali naziv, naslov, davčno in matično številko, identifikacijsko številko za DDV, e-naslov, telefon in opombe;
- račune: podatke o kupcu, postavke, sklice, opombe ter kdo je račun ustvaril;
- predloge računov.
Te podatke uporabljamo samo za prikaz v aplikaciji, izdelavo računov (PDF, tisk, e-SLOG) in dostop prek API. Za druge namene jih ne uporabljamo in jih ne pregledujemo, razen kadar je to nujno za odpravo napake ali nas za to prosite.
5Česa ne počnemo
- Ne uporabljamo analitičnih, oglasnih ali sledilnih orodij — ne na spletni strani ne v aplikaciji.
- Podatkov ne prodajamo in jih ne dajemo tretjim osebam za njihove namene.
- Ne izvajamo profiliranja ali avtomatiziranega odločanja.
- Pisave strežemo sami, zato vaš brskalnik ob obisku ne kontaktira Googla ali drugih ponudnikov.
- S.P.jček vaših računov strankam ne pošilja po e-pošti; pošljete jih sami.
6Piškotki in lokalna shramba
Uporabljamo samo piškotke, ki so nujni za delovanje, in piškotke, ki si zapomnijo nastavitev, ki ste jo izbrali sami. Za take piškotke po Zakonu o elektronskih komunikacijah (ZEKom-2) privolitev ni potrebna, zato vas zanjo ne sprašujemo.
| Ime | Kje | Namen | Trajanje |
|---|---|---|---|
authjs.session-token | Aplikacija | Ohranja vašo prijavo | 30 dni, ob uporabi se podaljša |
authjs.csrf-token | Aplikacija | Zaščita pred ponarejenimi zahtevami (CSRF) | Do zaprtja brskalnika |
authjs.callback-url | Aplikacija | Stran, na katero se vrnete po prijavi | Do zaprtja brskalnika |
authjs.pkce.code_verifier, authjs.state, authjs.nonce | Aplikacija | Varen potek prijave z Googlom ali Microsoftom | 15 minut |
spjcek_tenant | Aplikacija | Podjetje, ki ste ga izbrali | 1 leto |
spjcek_locale | Aplikacija | Jezik vmesnika | 1 leto |
theme (lokalna shramba) | Aplikacija in spletna stran | Svetla ali temna tema | Dokler ga ne izbrišete |
lang | Spletna stran | Jezik strani; nastavi se samo, ko jezik izberete sami | 1 leto |
Na povezavah HTTPS imajo piškotki za prijavo pred imenom predpono __Secure- ali __Host-.
7Kdo še obdeluje podatke
Za delovanje storitve uporabljamo naslednje ponudnike (podobdelovalce). Z vsakim imamo sklenjeno pogodbo o obdelavi osebnih podatkov.
| Ponudnik | Kaj počne | Lokacija |
|---|---|---|
| Hetzner Online GmbH | Gostovanje strežnikov in podatkovne baze; tu so shranjeni vsi podatki S.P.jčka | Falkenstein, Nemčija (EU) |
| Resend | Pošiljanje e-pošte s povezavami za prijavo in vabil v podjetje: e-naslov prejemnika ter ime podjetja in osebe, ki vabi | ZDA |
Pri Resendu gre za prenos podatkov v ZDA, ki temelji na standardnih pogodbenih klavzulah Evropske komisije, vključenih v pogodbo o obdelavi podatkov s tem ponudnikom. Prek Resenda pošiljamo samo e-pošto za prijavo in vabila, nikoli računov ali podatkov o vaših strankah.
Prijava z Googlom ali Microsoftom
Če se odločite za prijavo z Googlom ali Microsoftom, ta ponudnik podatke o prijavi obdeluje kot samostojni upravljavec po svojih pravilih zasebnosti. Od njega prejmemo vaše ime, e-naslov in profilno sliko; pri Microsoftu profilno sliko preberemo prek storitve Microsoft Graph. Do vaše pošte, datotek, koledarja in drugih podatkov v teh računih nimamo dostopa.
Izdelava PDF
Datoteke PDF izdelamo na lastnem strežniku, zato podatki pri tem ne zapustijo našega okolja.
Državni organi
Podatke razkrijemo državnim organom samo, kadar nam to nalaga zakon, in samo v obsegu, ki ga zakon zahteva.
8Koliko časa hranimo podatke
- Uporabniški račun — dokler obstaja.
- Podatki podjetja, njihova zgodovina, stranke in računi — dokler podjetje obstaja v S.P.jčku.
- Po zahtevi za izbris — podatke izbrišemo v 30 dneh. Iz varnostnih kopij izginejo v nadaljnjih 30 dneh, ko se te prepišejo.
- Strežniški dnevniki — največ 30 dni.
- Dopisovanje z nami — dokler je potrebno za obravnavo zadeve, nato največ dve leti.
Pozor: po Zakonu o davku na dodano vrednost (ZDDV-1) je treba račune hraniti 10 let po poteku leta, na katero se nanašajo. To je obveznost podjetja, ki račune izdaja. Preden zahtevate izbris, si račune izvozite (PDF ali e-SLOG) in jih shranite.
9Varnost
- Vsa komunikacija s spletno stranjo in aplikacijo je šifrirana (HTTPS).
- Gesel ne uporabljamo: prijava poteka s povezavo po e-pošti ali prek Googla oziroma Microsofta.
- Povezave za prijavo in dostopne žetone za API shranjujemo samo kot zgoščene vrednosti.
- Pri vsaki zahtevi znova preverimo, ali ste član podjetja, do katerega dostopate.
- Do strežnikov in podatkovne baze ima dostop samo IntraLab.
Ob kršitvi varnosti osebnih podatkov bomo ravnali v skladu z GDPR: obvestili bomo Informacijskega pooblaščenca in, kadar je to potrebno, tudi vas.
10Vaše pravice
Glede podatkov, za katere smo upravljavec, imate pravico do:
- seznanitve s podatki, ki jih o vas obdelujemo, in do njihove kopije;
- popravka netočnih podatkov;
- izbrisa;
- omejitve obdelave;
- prenosljivosti podatkov;
- ugovora obdelavi, ki temelji na zakonitem interesu.
Večino podatkov lahko spremenite sami v nastavitvah aplikacije. Za izbris uporabniškega računa ali podjetja, izvoz podatkov in druge zahteve nam pišite na info@intralab.si z e-naslova, s katerim se prijavljate v S.P.jček. Odgovorili bomo najpozneje v enem mesecu.
Če menite, da vaše podatke obdelujemo nezakonito, se lahko pritožite pri nadzornem organu: Informacijski pooblaščenec Republike Slovenije, Dunajska cesta 22, 1000 Ljubljana, www.ip-rs.si.
11Spremembe politike
Politiko posodobimo, kadar se spremeni način obdelave ali zakonodaja. Veljavna različica je vedno objavljena na tej strani. O bistvenih spremembah vas bomo vsaj 14 dni vnaprej obvestili po e-pošti ali v aplikaciji.