Ochrana osobných údajov

Tento dokument vysvetľuje, ako spoločnosť KAMIOR s.r.o. spracúva osobné údaje pri prevádzke služby Trasor (ďalej aj „služba") a webovej stránky trasor.eu. Vychádza z nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov, „GDPR") a zákona č. 18/2018 Z. z. o ochrane osobných údajov.

1. Prevádzkovateľ a roly

1.1 Identifikácia prevádzkovateľa

Prevádzkovateľom v zmysle čl. 4 ods. 7 GDPR je:

KAMIOR s.r.o.
Sídlo: Boženy Nemcovej 1157, 093 01 Vranov nad Topľou, Slovenská republika
IČO: 44 857 209 · IČ DPH: SK2022848817
Zápis: Obchodný register Okresného súdu Prešov, oddiel Sro, vložka č. 21790/P
Konateľ: Ing. Tomáš Oravec
E-mail: tesla@kamior.sk · Telefón: +421 57 488 0440

1.2 Tri roly KAMIOR podľa GDPR

V závislosti od typu zákazníka a spracúvaných údajov vystupuje KAMIOR v troch odlišných rolách:

Prevádzkovateľ (čl. 4 ods. 7 GDPR) — pri B2C zákazníkoch (živnostníci, SZČO). KAMIOR určuje účel a prostriedky spracúvania a je primárny kontakt pre uplatnenie práv dotknutých osôb.
Sprostredkovateľ (čl. 4 ods. 8, čl. 28 GDPR) — pri B2B zákazníkoch (právnické osoby, balíky Firma a Flotila). Prevádzkovateľom je zákazník (zamestnávateľ); KAMIOR spracúva údaje výlučne na jeho pokyn na základe zmluvy o spracúvaní údajov (DPA).
Samostatný prevádzkovateľ pre vlastné účtovníctvo — pri každom zákazníkovi pre údaje, ktoré KAMIOR spracúva ako vlastné (faktúrácia, plnenie daňových povinností § 431/2002 Z. z. a zákona o DPH).

1.3 Zodpovedná osoba (DPO)

Povinnosť určiť zodpovednú osobu (DPO) podľa čl. 37 GDPR považujeme za hraničnú otázku, ktorá závisí od reálneho rozsahu prevádzky, počtu aktívnych vozidiel, rozsahu zamestnaneckého monitoringu a aktivácie funkcií live trackingu. Pred uvedením verzie pre verejnosť vykonáme plnú DPIA podľa čl. 35 GDPR a EDPB Guidelines 1/2020 (Connected Vehicles) a zdokumentujeme rozhodnutie o povinnosti DPO. Do formálneho rozhodnutia pôsobí v KAMIOR interný Privacy Officer (osoba poverená ochranou osobných údajov). Otázky týkajúce sa ochrany údajov adresujte na tesla@kamior.sk.

2. Aké údaje spracúvame

2.1 Identifikačné a kontaktné údaje

Meno a priezvisko
E-mailová adresa
Telefónne číslo (voliteľné)
Pri firemnom účte: obchodné meno, IČO, IČ DPH, adresa sídla

2.2 Údaje o vozidle a jazdách

Identifikačné číslo vozidla (VIN) v pseudonymizovanej podobe (hašované)
Model, rok výroby, ŠPZ
GPS súradnice začiatku a konca jazdy, GPS trasa
Stav tachometra, dĺžka jazdy, čas trvania, energetická spotreba
Údaje o nabíjaní: čas, miesto, množstvo dodanej energie v kilowatthodinách (kWh)
Klasifikácia jazdy (firemná/súkromná) a účel jazdy zadaný používateľom

2.3 Platobné údaje

Fakturačné údaje (meno, adresa, IČO/IČ DPH)
História predplatného a faktúr
Údaje o platobnej karte spracúva výhradne sprostredkovateľ (poskytovateľ platobnej brány). KAMIOR s.r.o. tieto údaje neukladá.

2.4 Technické údaje

IP adresa
Typ a verzia prehliadača, operačný systém
Čas a dátum prístupu
Záznamy o akciách v aplikácii (audit log) — pre bezpečnosť a daňový súlad

3. Účely a právne základy spracúvania

Účel	Právny základ (GDPR)	Doba uchovávania
Vytvorenie a správa používateľského účtu	čl. 6 ods. 1 písm. b) — plnenie zmluvy	Po dobu trvania zmluvy + 30 dní
Poskytovanie služby (kniha jázd, doklady) — bežné jazdné údaje	čl. 6 ods. 1 písm. b) — plnenie zmluvy + čl. 6 ods. 1 písm. c) — zákonná povinnosť (§ 85n zákona č. 222/2004 Z. z. o DPH)	Po dobu trvania zmluvy; finalizovaná kniha jázd 10 rokov
Archivácia finalizovanej knihy jázd a daňových dokladov	čl. 6 ods. 1 písm. c) — zákonná povinnosť	10 rokov (§ 85n ods. 8 → § 70 ods. 11 písm. b zákona o DPH)
Vystavenie a archivácia faktúr a účtovníctvo	čl. 6 ods. 1 písm. c) — zákonná povinnosť (zákon č. 431/2002 Z. z., zákon o DPH)	10 rokov
Surové (neagregované) GPS body — režim Profesionál a Full telemetria	čl. 6 ods. 1 písm. b); pri opt-in režime Full telemetria aj čl. 6 ods. 1 písm. a) — súhlas	90 dní raw, následne agregácia 2 roky
Komunikácia so zákazníkom (podpora, oznámenia o službe)	čl. 6 ods. 1 písm. b) — plnenie zmluvy	3 roky od poslednej komunikácie
Bezpečnosť, prevencia podvodov, štandardný audit log	čl. 6 ods. 1 písm. f) — oprávnený záujem	2 roky
Audit log daňovo relevantných operácií (zmeny knihy jázd, finalizácie)	čl. 6 ods. 1 písm. c) — zákonná povinnosť	10 rokov (daňová stopa § 85n)
Marketingové oznámenia (newsletter)	čl. 6 ods. 1 písm. a) — súhlas	Do odvolania súhlasu (+ 3 roky dôkaz súhlasu)
Analytika webu (Plausible Analytics, anonymizovaná)	čl. 6 ods. 1 písm. a) — súhlas	90 dní (retencia Plausible)

Zásada minimalizácie: Súhlas používame iba pri voliteľných spracúvaniach (newsletter, analytické cookies, opt-in plná telemetria). Povinné spracúvania pre poskytnutie služby a plnenie daňových predpisov sú pokryté čl. 6 ods. 1 písm. b) a c) GDPR.

4. Príjemcovia údajov a sprostredkovatelia

Vaše údaje môžu byť poskytnuté nasledujúcim kategóriám príjemcov. So sprostredkovateľmi podľa čl. 28 GDPR sú uzavreté zmluvy o spracúvaní (DPA):

Hetzner Online GmbH (Falkenstein, DE / Helsinki, FI) — hosting, databázové služby a zálohy. Servery výhradne v EÚ; sprostredkovateľ podľa čl. 28 GDPR.
Stripe Payments Europe Ltd. (Dublin, IE) — spracovanie platieb. Pri platbe môže dôjsť k cezhraničnému prenosu (USA) — pozri sekciu 5 nižšie.
Postmark / Mailgun — odosielanie transakčných e-mailov. EÚ servery; sprostredkovateľ podľa čl. 28 GDPR.
Plausible Insights OÜ (Tallinn, EE) — anonymizovaná webová analytika; hosting v EÚ.
Účtovník / účtovná kancelária — pre vystavovanie faktúr a vedenie účtovníctva (sprostredkovateľ podľa čl. 28 GDPR).
Verejné orgány (najmä Finančné riaditeľstvo SR) — výhradne na základe zákonnej povinnosti.

Tesla, Inc. ako samostatný subjekt. Spoločnosť Tesla, Inc. (Austin, TX, USA) prevádzkuje rozhranie Tesla Fleet API, prostredníctvom ktorého na základe vášho oprávnenia (OAuth) získavame údaje o vozidle a jazdách. Tesla nie je v tomto vzťahu označovaná ako bežný sub-sprostredkovateľ KAMIOR podľa čl. 28 GDPR, ale ako samostatný subjekt poskytujúci aplikačné rozhranie. KAMIOR aktuálne overuje s Teslou platné zmluvné a transferové podmienky (DPA, DPF, SCC) a finálny mechanizmus zverejníme pred verejným spustením služby.

5. Cezhraničný prenos údajov

Predvolene sú všetky vaše údaje uložené a spracúvané v rámci Európskeho hospodárskeho priestoru (EHP). Pri prenosoch do tretích krajín postupujeme podľa nasledujúcej hierarchie mechanizmov GDPR:

Primárne — čl. 45 GDPR (rozhodnutie o primeranosti, napr. EU-US Data Privacy Framework — DPF), ak je príjemca certifikovaný pre relevantný rozsah spracúvania.
Sekundárne — čl. 46 GDPR (Štandardné zmluvné doložky — SCC) v kombinácii s posúdením vplyvu transferu (Transfer Impact Assessment — TIA) podľa rozhodnutia Súdneho dvora EÚ vo veci Schrems II (C-311/18) a doplnkovými technickými a organizačnými opatreniami (šifrovanie, minimalizácia, pseudonymizácia).
Výnimočne — čl. 49 GDPR (osobitné situácie). Tento základ nepoužívame ako štandardný mechanizmus pravidelných opakovaných transferov v rámci SaaS služby, v súlade s Usmernením EDPB 2/2018.

5.1 Stripe (USA backend)

Pri spracovaní platieb sa môžu fakturačné a transakčné údaje prenášať do USA. Prenos je krytý Štandardnými zmluvnými doložkami (čl. 46 ods. 2 GDPR) medzi Stripe Payments Europe Ltd. a Stripe Inc.

5.2 Tesla, Inc. (USA)

Pri pripojení vášho Tesla účtu prostredníctvom Tesla Fleet API môže dochádzať k prenosom autentifikačných tokenov a telemetrických údajov o vozidle do USA. Pre tento prenos uplatňujeme uvedenú hierarchiu — primárne čl. 45 GDPR (DPF, ak je Tesla certifikovaná), sekundárne čl. 46 GDPR (SCC + TIA so supplementary measures: end-to-end šifrovanie OAuth tokenu, minimalizácia údajov, TLS 1.3). Čl. 49 GDPR sa nepoužíva ako štandardný základ. Pred verejným spustením služby zverejníme finálne potvrdený mechanizmus na základe overenia s Teslou.

6. Vaše práva

Ako dotknutá osoba máte nasledujúce práva:

Právo na prístup (čl. 15) — žiadať potvrdenie, či a aké údaje o vás spracúvame, a žiadať ich kópiu.
Právo na opravu (čl. 16) — žiadať opravu nesprávnych alebo doplnenie neúplných údajov.
Právo na vymazanie / „právo byť zabudnutý" (čl. 17) — žiadať vymazanie údajov, ak nie sú už potrebné, ak ste odvolali súhlas alebo ak sú spracúvané neoprávnene. Toto právo je obmedzené v rozsahu zákonnej povinnosti uchovávania (napr. faktúry 10 rokov).
Právo na obmedzenie spracúvania (čl. 18) — žiadať dočasné pozastavenie spracúvania.
Právo na prenosnosť údajov (čl. 20) — získať svoje údaje v štruktúrovanom strojovo čitateľnom formáte (PDF/CSV/XML) a preniesť ich k inému prevádzkovateľovi.
Právo namietať (čl. 21) — namietať proti spracúvaniu na základe oprávneného záujmu alebo na účely priameho marketingu.
Právo neviazané automatizovaným rozhodovaním (čl. 22) — Trasor nevykonáva automatizované rozhodovanie s právnymi alebo podobne významnými účinkami pre dotknutú osobu. AI klasifikátor jázd (návrh, či je jazda firemná alebo súkromná) je iba pomocný nástroj — konečné rozhodnutie vždy potvrdzuje vodič alebo poverená osoba (princíp human-in-the-loop), preto sa čl. 22 GDPR neuplatňuje.
Právo odvolať súhlas (čl. 7 ods. 3) — kedykoľvek odvolať súhlas, ktorý ste nám udelili (napr. na newsletter alebo analytické cookies). Odvolanie nemá vplyv na zákonnosť spracúvania pred odvolaním.
Právo podať sťažnosť dozornému orgánu (čl. 77) — Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, www.uoou.sk.

Žiadosti o uplatnenie práv adresujte na tesla@kamior.sk. Vybavíme ich bez zbytočného odkladu, najneskôr do 30 dní (s možnosťou predĺženia o 60 dní pri zložitejších žiadostiach podľa čl. 12 ods. 3 GDPR). Žiadosti spracúvame zdarma okrem prípadov zjavne neopodstatnených alebo neprimeraných žiadostí.

7. Cookies a sledovacie technológie

Webová stránka používa cookies a podobné technológie. Detailný popis nájdete v dokumente Cookies politika. Pri prvej návšteve si môžete vybrať, ktoré kategórie cookies povolíte. Voľbu môžete kedykoľvek zmeniť kliknutím na Nastavenia cookies v päte stránky.

8. Bezpečnosť údajov

Prijímame primerané technické a organizačné opatrenia podľa čl. 32 GDPR:

Šifrovanie údajov v pokoji (AES-256) aj pri prenose (TLS 1.3)
Pseudonymizácia citlivých údajov (VIN)
Pravidelné zálohovanie a testovanie obnovy
Riadenie prístupov na princípe najmenších oprávnení
Auditovanie prístupov a zmien údajov
Bezpečnostné aktualizácie a monitoring infraštruktúry

V prípade narušenia ochrany osobných údajov, ktoré pravdepodobne povedie k riziku pre vaše práva, vás budeme informovať bez zbytočného odkladu (čl. 34 GDPR) a oznámime incident dozornému orgánu do 72 hodín (čl. 33 GDPR).

9. Minimalizácia GPS údajov — štyri režimy

Zákon č. 222/2004 Z. z. o DPH (§ 85n) vyžaduje pre elektronickú knihu jázd evidenciu miesta začatia a skončenia jazdy — nevyžaduje kontinuálnu GPS trasu. Na túto požiadavku ponúkame štyri režimy s odstupňovaným dopadom na súkromie:

Režim	Zbierané údaje	Uchovávanie raw	Právny základ
Minimal (Štart, 3,99 €)	Miesto štartu/cieľa, čas, km, odometer	7 dní, potom delete	čl. 6 ods. 1 písm. b) a c)
Standard (Profesionál, 7,99 €)	GPS bod štart/cieľ + geokódovanie (domov/práca)	90 dní raw, agregácia 2 roky	čl. 6 ods. 1 písm. b) a c)
Full telemetry (Profesionál — opt-in)	Kontinuálna trasa (polyline), všetky body	90 dní raw, agregácia 2 roky	čl. 6 ods. 1 písm. b) + súhlas
Fleet live tracking (Flotila — B2B)	Real-time monitoring vodiča (mapa)	Cache 5 min, potom delete	čl. 6 ods. 1 písm. b) + DPA + politika zamestnávateľa

Voľba režimu je vždy informovaná — pri opt-in režimoch (Full telemetry, Fleet live tracking) je vyžadovaný explicitný súhlas, resp. zmluvný základ s dokumentovaným posúdením.

10. Zamestnanecký monitoring (B2B Firma a Flotila)

Pri B2B zákazníkoch (právnické osoby, balíky Firma a Flotila) je prevádzkovateľom zamestnávateľ; KAMIOR vystupuje ako sprostredkovateľ podľa čl. 28 GDPR a spracúva údaje výlučne na pokyn zamestnávateľa na základe samostatnej zmluvy o spracúvaní (Data Processing Agreement — DPA).

Súhlas zamestnanca nie je vhodný právny základ pre monitoring v pracovnoprávnom vzťahu (nerovnováha strán). Zamestnávateľ uplatňuje typicky čl. 6 ods. 1 písm. b) (plnenie zmluvy), písm. c) (zákonná povinnosť — § 85n DPH) alebo písm. f) (oprávnený záujem, s vyvažovacím testom).

KAMIOR poskytuje vzor internej smernice o spracúvaní údajov zamestnancov ako odporúčací materiál; konkrétne pravidlá o používaní vozidla, oddelení súkromných a firemných jázd a informačnej povinnosti voči zamestnancom (čl. 13 GDPR) musí zaviesť zamestnávateľ.

11. Zdroj údajov

Väčšinu údajov získavame priamo od vás (registrácia, používanie aplikácie). Údaje o vozidle a jazdách získavame od spoločnosti Tesla, Inc. prostredníctvom rozhrania Tesla Fleet API na základe vášho oprávnenia (OAuth) — Trasor pristupuje len k tým údajom, ktoré ste pri pripojení účtu povolili.

12. Zmeny tohto dokumentu

Tieto zásady môžeme z času na čas aktualizovať. Pri podstatných zmenách vás upozorníme e-mailom alebo oznamom v aplikácii minimálne 30 dní pred účinnosťou. Aktuálnu verziu nájdete vždy na tejto stránke s uvedením dátumu účinnosti.

13. Kontakt

Otázky, žiadosti alebo sťažnosti adresujte na:

E-mail: tesla@kamior.sk
Pošta: KAMIOR s.r.o., Boženy Nemcovej 1157, 093 01 Vranov nad Topľou
Telefón: +421 57 488 0440