Zásady ochrany osobných údajov (informácie podľa čl. 13 a 14 GDPR)

Tieto zásady vysvetľujú, ako MEXCOR s.r.o. spracúva osobné údaje návštevníkov a zákazníkov internetového obchodu safexo.sk (ďalej „e-shop“). Spracúvanie sa riadi nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov. Spracúvanie údajov v aplikácii MEXCOR Safety (app.safexo.sk) upravujú samostatné dokumenty (10, 11, 12).

1. Prevádzkovateľ

| | | |---|---| | Prevádzkovateľ | MEXCOR s.r.o., Matúšova 8027/54, 811 04 Bratislava, IČO 50455605, (tento údaj zatiaľ nie je doplnený v administrácii) | | Kontakt vo veciach osobných údajov | objednavky@safexo.sk, (tento údaj zatiaľ nie je doplnený v administrácii), poštou na adresu sídla | | Zodpovedná osoba (DPO) | (tento údaj zatiaľ nie je doplnený v administrácii) (ak nie je určená, uvedie sa „Zodpovedná osoba nie je určená; obráťte sa na kontakt vyššie.“) |

2. Aké údaje spracúvame, na aký účel a na akom právnom základe

| # | Účel | Kategórie údajov | Právny základ (GDPR) | Doba uchovávania | |---|---|---|---|---| | 2.1 | Vybavenie objednávky a plnenie kúpnej zmluvy (prijatie objednávky, rezervácia tovaru, platba, dodanie, komunikácia o stave, potvrdenie e-mailom, prístup hosťa k objednávke cez podpísaný odkaz) | e-mail, telefón, meno príjemcu, doručovacia adresa, fakturačné údaje (meno/obchodné meno, adresa, IČO, DIČ, IČ DPH), poznámka k objednávke, položky objednávky, sumy, spôsob dodania a platby, číslo zásielky, história stavov (kto a kedy zmenil stav), platobná referencia zo Stripe (nie údaje o karte) | čl. 6 ods. 1 písm. b) – plnenie zmluvy; pri hostiach tiež predzmluvné opatrenia | po dobu trvania zmluvy a zodpovednosti za vady (2 roky od dodania) a následne po dobu premlčacích lehôt (do 4 rokov od dodania); fakturačné údaje podľa 2.2 | | 2.2 | Účtovníctvo a dane (vystavenie a archivácia faktúr FA-…, dobropisov, evidencia platieb) | údaje na faktúre (meno/obchodné meno, adresa, IČO, DIČ, IČ DPH), položky, sumy, DPH, dátumy, variabilný symbol, platobná referencia | čl. 6 ods. 1 písm. c) – zákonná povinnosť (zákon č. 222/2004 Z. z. o DPH, zákon č. 431/2002 Z. z. o účtovníctve) | 10 rokov od konca roka, v ktorom bola faktúra vystavená | | 2.3 | Používateľské konto (registrácia, overenie e-mailu, prihlásenie, obnova hesla, profil, adresy, fakturačný profil, obľúbené produkty, uložené nákupné zoznamy, história objednávok, funkcia „objednať znova“, export údajov, žiadosť o zrušenie konta) | meno, e-mail, hash hesla, telefón (voliteľný), dátum overenia e-mailu, adresy, osobný fakturačný profil, obľúbené položky, uložené zoznamy, tokeny relácie a „zapamätať si ma“, čas poslednej aktivity | čl. 6 ods. 1 písm. b) – zmluva o používaní konta (VOP čl. 6) | po dobu existencie konta; po zrušení konta do 30 dní (vybavenie žiadosti správcom) s výnimkou údajov podľa 2.1 a 2.2; neoverené kontá bez aktivity (tento údaj zatiaľ nie je doplnený v administrácii) | | 2.4 | Firemný profil a tímové nákupy (schválenie firmy, správa členov, pozvánky) | údaje firmy (obchodné meno, IČO, DIČ, IČ DPH, sídlo, adresy), meno a e-mail správcu a pozvaných členov, hash pozvánkového tokenu, stav a odôvodnenie schválenia, poznámky správcu | čl. 6 ods. 1 písm. b) – zmluva (VOP čl. 16); pri kontaktoch zamestnancov firmy čl. 6 ods. 1 písm. f) – oprávnený záujem na komunikácii s obchodným partnerom | po dobu existencie firemného profilu; pozvánky 7 dní (platnosť) a následne do zrušenia; po zániku profilu ako 2.3 | | 2.5 | Platba kartou (presmerovanie na Stripe, prijatie potvrdenia platby webhookom, refundácie) | e-mail, suma, mena, číslo objednávky, identifikátor platobnej relácie a udalosti Stripe; údaje o karte spracúva výlučne Stripe | čl. 6 ods. 1 písm. b) – plnenie zmluvy | identifikátory platby po dobu ako 2.2 | | 2.6 | Košík (uloženie obsahu košíka pre neprihlásených aj prihlásených) | položky a množstvá, identifikátor košíka viazaný na reláciu alebo konto | čl. 6 ods. 1 písm. b) – predzmluvné opatrenia | opustené košíky sa mažú po 30 dňoch neaktivity | | 2.7 | Strážny pes ceny a dostupnosti (e-mailové upozornenie na zníženie ceny alebo dostupnosť produktu) | e-mail, sledovaný produkt/variant, druh upozornenia, cieľová cena, východisková cena a dostupnosť, hash overovacieho a odhlasovacieho tokenu, čas overenia a posledného upozornenia | čl. 6 ods. 1 písm. a) – súhlas (potvrdený overovacím odkazom, tzv. double opt-in); pri prihlásenom zákazníkovi s overeným e-mailom čl. 6 ods. 1 písm. b) – poskytnutie vyžiadanej služby | do zrušenia sledovania (odkaz v každom e-maile) alebo do (tento údaj zatiaľ nie je doplnený v administrácii) od posledného upozornenia; neoverené žiadosti (tento údaj zatiaľ nie je doplnený v administrácii) | | 2.8 | Kontaktný formulár a e-mailová komunikácia (odpoveď na dopyt, dopyt na firemné riešenie alebo zamestnanecký portál) | meno, spoločnosť, e-mail, telefón, predmet, typ dopytu, počet zamestnancov, záujem o portál, text správy, IP adresa (ochrana proti zneužitiu), čas odoslania a odoslania notifikácie | čl. 6 ods. 1 písm. b) – predzmluvné opatrenia na žiadosť dotknutej osoby; čl. 6 ods. 1 písm. f) – oprávnený záujem na vybavení dopytu a ochrane pred zneužitím formulára | (tento údaj zatiaľ nie je doplnený v administrácii) od vybavenia dopytu (navrhujeme 12 mesiacov); IP adresa 30 dní | | 2.9 | Reklamácie, odstúpenia, vrátenie platieb | údaje z objednávky, popis vady, fotografie, komunikácia, bankové spojenie pre vrátenie platby, dobropis | čl. 6 ods. 1 písm. c) – zákonná povinnosť (zákon č. 108/2024 Z. z., Občiansky zákonník); čl. 6 ods. 1 písm. b) | po dobu zodpovednosti za vady a premlčacích lehôt (4 roky), účtovné doklady 10 rokov | | 2.10 | Bezplatný prístup do MEXCOR Safety a jednotné prihlásenie (SSO) | e-mail, meno, IČO schválenej firmy, číslo objednávky, dátum zaplatenia, platnosť nároku, identifikátor nároku a organizácie v aplikácii, jednorazové identifikátory SSO tokenu | čl. 6 ods. 1 písm. b) – plnenie zmluvy (VOP čl. 19); údaje odovzdané aplikácii spracúva MEXCOR s.r.o. ako prevádzkovateľ aplikácie podľa dokumentu 10 | po dobu platnosti nároku (12 mesiacov) a následne ako 2.1 | | 2.11 | Nákupné zoznamy z aplikácie MEXCOR Safety (predvyplnený košík) | identifikátor zoznamu, položky (SKU, množstvo, označenie pre koho – meno zamestnanca alebo pracovnej pozície, ak ho aplikácia odovzdá), IČO/e-mail zákazníka, hash prístupového tokenu | čl. 6 ods. 1 písm. b) – plnenie zmluvy so zákazníkom aplikácie | 7 dní platnosť odkazu; po objednaní ako 2.1 | | 2.12 | Bezpečnosť a prevádzka e-shopu (relácie, ochrana pred CSRF, obmedzenie počtu pokusov o prihlásenie a odoslanie formulárov, serverové logy, audit administrátorských zásahov, zálohy) | IP adresa, identifikátor relácie, časy požiadaviek, user-agent, záznamy o prihlásení, auditné udalosti (kto/kedy/čo) | čl. 6 ods. 1 písm. f) – oprávnený záujem na bezpečnosti siete a informácií (recitál 49 GDPR) | serverové logy (tento údaj zatiaľ nie je doplnený v administrácii) (navrhujeme 30 dní); auditné záznamy po dobu ako súvisiaci záznam; zálohy 14 dní | | 2.13 | Uplatňovanie právnych nárokov | údaje z vyššie uvedených účelov v nevyhnutnom rozsahu | čl. 6 ods. 1 písm. f) – oprávnený záujem na ochrane práv | po dobu premlčacích lehôt a trvania konania |

Marketing. E-shop neposiela newsletter ani iné obchodné oznámenia a registrácia konta nezakladá súhlas s marketingom. Ak by sa v budúcnosti newsletter zaviedol, bude podmienený samostatným súhlasom (čl. 6 ods. 1 písm. a) GDPR, § 116 zákona č. 452/2021 Z. z.) s možnosťou odvolania v každom e-maile.

Profilovanie a automatizované rozhodovanie. Nevykonávame automatizované individuálne rozhodovanie ani profilovanie v zmysle čl. 22 GDPR. Automatické procesy (zrušenie nezaplatenej objednávky po uplynutí lehoty, upozornenie strážneho psa) nemajú právne účinky nad rámec zmluvy, s ktorou ste súhlasili.

Povinnosť poskytnúť údaje. Poskytnutie údajov označených v objednávke ako povinné (e-mail, telefón, meno, adresa; pri firme obchodné meno a IČO) je zmluvnou požiadavkou – bez nich nemôžeme objednávku prijať a doručiť. Ostatné údaje sú dobrovoľné.

3. Príjemcovia a sprostredkovatelia

Osobné údaje sprístupňujeme len týmto kategóriám príjemcov v rozsahu nevyhnutnom na daný účel:

| Príjemca | Úloha | Aké údaje | Sídlo / prenos | |---|---|---|---| | Stripe Payments Europe, Ltd. (Írsko) | samostatný prevádzkovateľ pre platobné služby (spracúva kartové údaje priamo); voči nám v rozsahu identifikátorov platby | e-mail, suma, číslo objednávky, výsledok platby | EÚ; Stripe môže prenášať údaje do USA v rámci svojej skupiny na základe štandardných zmluvných doložiek a rámca EU-U.S. DPF – pozri zásady ochrany údajov Stripe | | (tento údaj zatiaľ nie je doplnený v administrácii) | sprostredkovateľ / samostatný prevádzkovateľ pre doručenie | meno príjemcu, adresa, telefón, e-mail, číslo zásielky | Slovenská republika | | (tento údaj zatiaľ nie je doplnený v administrácii) | sprostredkovateľ – prevádzka virtuálneho servera, na ktorom e-shop beží (databáza, súbory, zálohy) | všetky údaje uložené v e-shope | (tento údaj zatiaľ nie je doplnený v administrácii) | | (tento údaj zatiaľ nie je doplnený v administrácii) | sprostredkovateľ – odosielanie transakčných e-mailov (potvrdenia objednávok, overenie e-mailu, obnova hesla, strážny pes) | e-mail, meno, obsah správy | (tento údaj zatiaľ nie je doplnený v administrácii) | | MEXCOR s.r.o. – aplikácia MEXCOR Safety | interný systém prevádzkovateľa (samostatná aplikácia na app.safexo.sk) | údaje podľa 2.10 a 2.11 | (tento údaj zatiaľ nie je doplnený v administrácii) | | Účtovník / daňový poradca (tento údaj zatiaľ nie je doplnený v administrácii) | sprostredkovateľ alebo samostatný prevádzkovateľ podľa zmluvy | fakturačné údaje | Slovenská republika | | Orgány verejnej moci (SOI, daňový úrad, súdy, orgány činné v trestnom konaní) | príjemcovia na základe zákona | podľa zákonnej požiadavky | Slovenská republika |

So sprostredkovateľmi máme uzavreté zmluvy podľa čl. 28 GDPR. Neposkytujeme údaje žiadnym reklamným sieťam, analytickým službám ani sociálnym sieťam; e-shop nepoužíva Google Analytics, Meta Pixel ani obdobné nástroje (pozri dokument 06).

4. Prenos do tretích krajín

Údaje uchovávame na serveroch v (tento údaj zatiaľ nie je doplnený v administrácii). Do krajín mimo Európskeho hospodárskeho priestoru údaje neprenášame, s výnimkou prenosov, ktoré uskutočňuje Stripe v rámci spracovania platby kartou (bod 3) na základe rozhodnutia Komisie o primeranosti (EU-U.S. Data Privacy Framework) alebo štandardných zmluvných doložiek. Ak by sa hosting alebo e-mailová služba nachádzali mimo EHP, uvedieme to tu spolu s použitým nástrojom prenosu.

5. Ako údaje chránime

• prenos údajov šifrovaný protokolom TLS (HTTPS, HSTS);
• heslá uložené len ako hash (bcrypt/argon2); pozvánkové, overovacie a odhlasovacie tokeny uložené len ako hash;
• osobné údaje objednávok a faktúr uložené v databáze v šifrovanej podobe; vyhľadávanie podľa e-mailu cez hash;
• údaje o platobnej karte nikdy neprechádzajú našimi servermi (Stripe hosted checkout);
• obmedzenie počtu pokusov o prihlásenie, obnovu hesla, registráciu a odoslanie formulárov;
• prístup k objednávke hosťa len cez podpísaný odkaz s platnosťou 30 dní; stránky objednávok a konta sú vylúčené z indexovania vyhľadávačmi;
• oddelené administrátorské kontá s rolami; každá administrátorská zmena objednávky sa zapisuje do auditného záznamu;
• denné zálohy databázy so 14-dňovým uchovaním, šifrovanie záloh (tento údaj zatiaľ nie je doplnený v administrácii);
• bezpečnostné hlavičky (CSP, X-Frame-Options), kontaktný bod pre nahlásenie zraniteľností na /.well-known/security.txt.

6. Vaše práva

Podľa čl. 15 až 22 GDPR máte právo:

| Právo | Ako ho uplatniť v e-shope | |---|---| | Prístup k údajom a kópia (čl. 15) | v konte: „Moje konto → Exportovať moje údaje“ (súbor JSON po potvrdení heslom) – zahŕňa profil, adresy, fakturačný profil, firemné údaje, zoznamy, objednávky; ostatné údaje (napr. kontaktné správy, strážny pes) na požiadanie e-mailom | | Oprava (čl. 16) | v konte (profil, adresy, fakturačný profil, firemné údaje); údaje na už vystavenej faktúre sa opravujú opravným dokladom | | Vymazanie (čl. 17) | v konte „Požiadať o zrušenie konta“ (žiadosť eviduje správca a vybaví do 30 dní) alebo e-mailom; údaje, ktoré musíme uchovávať zo zákona (faktúry, objednávky), vymažeme až po uplynutí zákonnej lehoty | | Obmedzenie spracúvania (čl. 18) | e-mailom | | Prenosnosť (čl. 20) | export v konte (strojovo čitateľný JSON) | | Námietka proti spracúvaniu na základe oprávneného záujmu (čl. 21) | e-mailom; námietke vyhovieme, ak nepreukážeme nevyhnutné oprávnené dôvody | | Odvolanie súhlasu (čl. 7 ods. 3) | strážny pes: odkaz „Zrušiť sledovanie“ v každom e-maile; odvolanie nemá vplyv na zákonnosť spracúvania pred odvolaním | | Sťažnosť dozornému orgánu (čl. 77) | Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.dataprotection.gov.sk, statny.dozor@pdp.gov.sk |

Žiadosti vybavujeme bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia; pri zložitých žiadostiach môžeme lehotu predĺžiť o ďalšie dva mesiace, o čom vás informujeme. Pred vybavením môžeme požiadať o overenie totožnosti (napr. z e-mailu registrovaného v konte). Žiadosti sú bezplatné; pri zjavne neopodstatnených alebo neprimeraných žiadostiach môžeme účtovať primeraný poplatok alebo žiadosť odmietnuť.

7. Cookies a lokálne úložisko

E-shop používa výlučne technicky nevyhnutné cookies (relácia, ochrana pred CSRF, „zapamätať si ma“) a lokálne úložisko prehliadača pre voľby zobrazenia (téma, zobrazenie cien s/bez DPH, rozloženie katalógu). Nepoužíva analytické ani marketingové cookies. Podrobný zoznam je v dokumente 06.

8. Deti

E-shop je určený osobám starším ako 16 rokov. Vedome nespracúvame údaje detí; ak sa dozvieme, že konto vytvorilo dieťa bez súhlasu zákonného zástupcu, konto zrušíme.

9. Údaje získané od tretích osôb (čl. 14 GDPR)

• Členovia firemného tímu: vaše meno a e-mail nám poskytol správca vašej firmy pri pozvánke. Do prijatia pozvánky (7 dní) uchovávame len e-mail a hash tokenu.
• Príjemcovia zásielok: ak objednávateľ uviedol ako príjemcu inú osobu, jej meno, adresu a telefón spracúvame na účel doručenia (2.1).
• Zákazníci aplikácie MEXCOR Safety: identifikátory nákupných zoznamov (2.11) a údaje potrebné na SSO nám odovzdáva aplikácia MEXCOR Safety na váš pokyn.

10. Zmeny týchto zásad

Zásady môžeme aktualizovať pri zmene spracúvania alebo právnych predpisov. Aktuálne znenie s dátumom účinnosti je vždy na safexo.sk; o podstatných zmenách informujeme registrovaných zákazníkov e-mailom.

Poznámky pre právnu revíziu

1. Lehoty uchovávania, ktoré nie sú v kóde definované, sú návrhy označené ako placeholder: *(tento údaj zatiaľ nie je doplnený v administrácii)*, *(tento údaj zatiaľ nie je doplnený v administrácii)*, *(tento údaj zatiaľ nie je doplnený v administrácii)*, *(tento údaj zatiaľ nie je doplnený v administrácii)*, *(tento údaj zatiaľ nie je doplnený v administrácii)*. V kóde sú definované len: košíky 30 dní (CART_RETENTION_DAYS), pozvánky 7 dní, odkaz hosťa 30 dní, nákupné zoznamy 7 dní, zálohy 14 dní. Pre zvyšok treba implementovať automatické mazanie (dnes chýba pre contact_messages, neoverené product_watches, neoverené kontá, žiadosti o zrušenie konta).
2. Zrušenie konta je dnes len evidovaná žiadosť (account.deletion) – proces vybavenia do 30 dní musí byť prevádzkovo zavedený a technicky umožnený (anonymizácia objednávok po uplynutí lehôt).
3. Kontaktný formulár ukladá IP adresu v čistom texte (contact_messages.ip) – zvážiť hashovanie alebo automatické mazanie po 30 dňoch, ako je uvedené v 2.8.
4. Stripe: overiť aktuálne znenie Stripe Privacy Policy a to, či Stripe vystupuje ako samostatný prevádzkovateľ (áno podľa Stripe DPA); prenosy do USA – potvrdiť rámec.
5. Kuriér *(tento údaj zatiaľ nie je doplnený v administrácii)* nie je v kóde fixovaný; po výbere doplniť názov, sídlo a povahu vzťahu (spravidla samostatný prevádzkovateľ – poštový podnik).
6. E-mailový provider *(tento údaj zatiaľ nie je doplnený v administrácii)* – dnes MAIL_MAILER=log (e-maily sa neodosielajú). Pred spustením vybrať (Websupport SMTP / Postmark / SES) a doplniť sídlo; pri US providerovi doplniť nástroj prenosu.
7. Hosting – docs/31 uvádza VPS u poskytovateľa, ktorého názov a lokalita nie sú v repozitári; doplniť *(tento údaj zatiaľ nie je doplnený v administrácii)*, *(tento údaj zatiaľ nie je doplnený v administrácii)* (ak mimo EHP, potrebné SCC – zvážiť presun do EÚ).
8. Šifrovanie záloh – docs/30 uvádza „mimo kód“; overiť stav a doplniť *(tento údaj zatiaľ nie je doplnený v administrácii)*.
9. Oprávnený záujem pri kontaktoch zamestnancov B2B klientov (2.4) a bezpečnostných logoch (2.12) – vypracovať krátky test proporcionality (LIA) do internej dokumentácie.
10. Vek 16 rokov – § 15 zákona č. 18/2018 Z. z. stanovuje hranicu 16 rokov pre služby informačnej spoločnosti; potvrdiť.
11. Veta o profilovaní – strážny pes nie je profilovanie; overiť, že žiadny modul (odporúčania „doplňte výbavu“) nepoužíva osobné údaje – podľa docs/05 odporúčania vychádzajú z katalógových dát.