ZMLUVA O SPRACÚVANÍ OSOBNÝCH ÚDAJOV (DPA)
Zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR upravuje, ako CyWo Tech, a. s. spracúva osobné údaje, ktoré Zákazník nahráva do služby BizNow (doklady, faktúry, údaje klientov, dodávateľov a zamestnancov). Je súčasťou Zásad ochrany osobných údajov BizNow (verzia 1.5, účinné od 9. októbra 2026).
Roly pri spracúvaní osobných údajov
| Oblasť spracúvania | Rola CyWo Tech, a. s. |
|---|---|
| Registrácia, používateľský účet, prihlásenie, fakturácia, platby, zákaznícka podpora, bezpečnostné logy a komunikácia s Používateľom | Prevádzkovateľ |
| Dáta nahrané do Služby Zákazníkom alebo Používateľom, najmä doklady, faktúry, údaje zamestnancov, mzdové údaje, údaje klientov, dodávateľov a prílohy | Sprostredkovateľ konajúci v mene Zákazníka alebo príslušnej Organizácie ako prevádzkovateľa; ak Zákazník koná ako sprostredkovateľ, ďalší sprostredkovateľ |
| Agregované a anonymizované štatistiky, ktoré neumožňujú identifikovať Používateľa ani dotknuté osoby | Môžu byť spracúvané Poskytovateľom na zlepšovanie Služby |
Zmluva o spracúvaní osobných údajov (časť 4A Zásad ochrany osobných údajov)
Táto časť predstavuje zmluvu o spracúvaní osobných údajov podľa čl. 28 GDPR pre prípady, keď CyWo Tech, a. s. spracúva osobné údaje v mene Zákazníka alebo príslušnej Organizácie ako sprostredkovateľ alebo, ak Zákazník sám koná ako sprostredkovateľ, ako ďalší sprostredkovateľ.
| Položka | Popis |
|---|---|
| Prevádzkovateľ | Zákazník alebo príslušná Organizácia v rozsahu, v akom určuje účely a prostriedky spracúvania osobných údajov. Ak Zákazník spracúva osobné údaje v mene inej Organizácie alebo tretej osoby ako jej sprostredkovateľ, Zákazník vyhlasuje, že je oprávnený zapojiť Poskytovateľa ako ďalšieho sprostredkovateľa a udeľovať mu dokumentované pokyny. Prevádzkovateľ zodpovedá najmä za zákonnosť spracúvania, existenciu právneho základu, informačné povinnosti voči dotknutým osobám a zákonnosť svojich pokynov. |
| Sprostredkovateľ | CyWo Tech, a. s., ktorá spracúva údaje v rozsahu potrebnom na poskytovanie Služby BizNow. |
| Predmet, povaha a účel spracúvania | Poskytovanie SaaS služby BizNow, správa dokladov, OCR/AI spracovanie, ukladanie, zobrazovanie, kategorizácia, export, eFaktúra a technická podpora, a to v rozsahu potrebnom na poskytovanie funkcií aktivovaných Používateľom. |
| Doba spracúvania | Počas trvania zmluvného vzťahu a existencie firmy v Službe, následne podľa retenčných lehôt uvedených v týchto dokumentoch alebo podľa zákonnej povinnosti. |
| Typy osobných údajov | Identifikačné, kontaktné, fakturačné, účtovné, mzdové, zamestnanecké, bankové a transakčné údaje, obchodné údaje a ďalšie osobné údaje obsiahnuté v dátach nahraných Používateľom. |
| Kategórie dotknutých osôb | Používatelia, zamestnanci Používateľa, klienti, dodávatelia, kontaktné osoby, fyzické osoby – podnikatelia a ďalšie osoby uvedené v dokladoch alebo prílohách. |
| Dokumentované pokyny | Poskytovateľ spracúva osobné údaje iba na základe dokumentovaných pokynov príslušného prevádzkovateľa udelených Zákazníkom alebo Používateľom s príslušným oprávnením; Zákazník vyhlasuje, že takéto pokyny je oprávnený udeľovať aj v prípade, ak sám vystupuje ako sprostredkovateľ. Pokyny môžu vyplývať zo Zmluvy, týchto Podmienok, nastavení Služby alebo úkonov oprávneného Používateľa v aplikácii, vrátane pokynov k prenosom do tretích krajín. Ak spracúvanie vyžaduje právo EÚ alebo členského štátu, Poskytovateľ informuje Zákazníka, prípadne prostredníctvom neho príslušného prevádzkovateľa, pred spracúvaním, pokiaľ to právny predpis nezakazuje. |
| Nezákonný pokyn | Ak sa Poskytovateľ domnieva, že pokyn Zákazníka alebo oprávneného Používateľa porušuje GDPR alebo iný právny predpis EÚ alebo členského štátu o ochrane osobných údajov, upozorní na to Zákazníka a môže vykonanie takého pokynu pozastaviť v rozsahu potrebnom na posúdenie jeho zákonnosti. |
| Mlčanlivosť | Poskytovateľ zabezpečí, aby osoby oprávnené spracúvať osobné údaje boli viazané povinnosťou mlčanlivosti alebo primeranou zákonnou či zmluvnou povinnosťou dôvernosti. |
| Sub-sprostredkovatelia | Zákazník udeľuje všeobecné písomné povolenie na zapojenie sub-sprostredkovateľov potrebných na poskytovanie Služby a vyhlasuje, že má oprávnenie udeliť toto povolenie aj v prípadoch, keď spracúva údaje ako sprostredkovateľ v mene príslušného prevádzkovateľa. Poskytovateľ informuje Zákazníka o plánovaných zmenách týkajúcich sa pridania alebo nahradenia sub-sprostredkovateľa a umožní mu primerane namietať z dôvodov ochrany osobných údajov. Na sub-sprostredkovateľa budú zmluvne prenesené povinnosti zodpovedajúce čl. 28 GDPR; za plnenie povinností sub-sprostredkovateľom zostáva Poskytovateľ zodpovedný v rozsahu vyžadovanom GDPR. |
| Bezpečnosť | Poskytovateľ prijíma primerané technické a organizačné opatrenia podľa čl. 32 GDPR so zohľadnením povahy, rozsahu, kontextu a účelu spracúvania a rizík pre práva dotknutých osôb. |
| Súčinnosť | Poskytovateľ poskytne Zákazníkovi, prípadne prostredníctvom Zákazníka príslušnému prevádzkovateľovi, primeranú súčinnosť pri vybavovaní práv dotknutých osôb a, s prihliadnutím na povahu spracúvania a dostupné informácie, aj pri plnení povinností podľa čl. 32 až 36 GDPR vrátane riešenia incidentov, posúdenia vplyvu a prípadnej predchádzajúcej konzultácie. |
| Audity a informácie | Poskytovateľ sprístupní informácie potrebné na preukázanie súladu s čl. 28 GDPR a umožní primerané audity alebo kontroly vykonané Zákazníkom ako prevádzkovateľom, prípadne príslušným prevádzkovateľom prostredníctvom Zákazníka, alebo audítorom povereným oprávneným subjektom. Audity sa vykonávajú spravidla po primeranom predchádzajúcom oznámení a spôsobom rešpektujúcim bezpečnosť, dôvernosť, obchodné tajomstvo a prevádzku ostatných klientov; ak je to primerané, dostupná dokumentácia, certifikácie alebo vzdialené overenie majú prednosť pred fyzickým auditom. Audit sa vykonáva spravidla najviac raz za 12 mesiacov, pokiaľ neexistuje dôvodné podozrenie na porušenie ochrany osobných údajov, bezpečnostný incident, podstatná zmena spracúvania alebo požiadavka dozorného orgánu. Primerané externé náklady auditu znáša Zákazník, okrem prípadu, keď audit preukáže podstatné porušenie povinností Poskytovateľa podľa GDPR; tým nie sú dotknuté práva a audity, ktoré nemožno podľa GDPR zmluvne obmedziť. |
| Ukončenie spracúvania | Po ukončení poskytovania Služby Poskytovateľ podľa voľby príslušného prevádzkovateľa oznámenej prostredníctvom Zákazníka osobné údaje vymaže alebo vráti v primeranom, technicky dostupnom formáte a následne vymaže existujúce kópie, pokiaľ právny predpis nevyžaduje ich ďalšie uchovanie. Ak Zákazník alebo Používateľ s príslušným oprávnením použije funkciu vymazania Organizácie, považuje sa to za dokumentovaný pokyn Zákazníka na vymazanie podľa týchto Podmienok; Zákazník zodpovedá za oprávnenie konať v mene príslušného prevádzkovateľa. Tým nie sú dotknuté zákonné pravidlá zmeny poskytovateľa podľa časti 5E. |
| Medzinárodné prenosy | Ak je na poskytovanie Služby potrebný prenos osobných údajov mimo EÚ/EHP, Poskytovateľ ho vykoná iba v súlade s dokumentovanými pokynmi a s platným mechanizmom podľa GDPR, najmä na základe rozhodnutia o primeranosti alebo štandardných zmluvných doložiek, ak sú potrebné. |
Sub-sprostredkovatelia a subdodávatelia
| Subjekt / služba | Účel | Poznámka |
|---|---|---|
| Supabase | Backend, databáza, autentifikácia, storage a technická infraštruktúra | Dáta sú ukladané v rámci EÚ podľa nastavenia projektu a dostupnosti poskytovateľa. |
| Stripe | Platobná brána, spracovanie platieb, prevencia podvodov a platobné záznamy | Stripe môže vystupovať ako samostatný prevádzkovateľ alebo sprostredkovateľ podľa konkrétnej platobnej služby. |
| Vlastný AI/OCR softvér a hardvér CyWo Tech | Automatizované spracovanie dokladov, OCR, vyťažovanie údajov, kategorizácia a AI výstupy | Dáta Používateľa sa v rámci štandardného AI/OCR spracovania neposielajú do verejných AI služieb typu OpenAI alebo Claude AI. |
| Poskytovatelia e-mailovej, hostingovej, monitorovacej alebo bezpečnostnej infraštruktúry | Transakčné e-maily, doručovanie oznámení, prevádzka, monitoring a zabezpečenie Služby | Len v nevyhnutnom rozsahu potrebnom na poskytovanie Služby. |
| Dativery s.r.o. / Peppoš – certifikovaný poskytovateľ doručovacej služby a infraštruktúra Peppol | Technické odosielanie, prijímanie, validácia, smerovanie a doručovanie elektronických faktúr | Len pri používaní funkcionality eFaktúry a v rozsahu potrebnom na jej poskytovanie. Aktuálny poskytovateľ môže byť zmenený v súlade s týmito Podmienkami a pravidlami pre sub-sprostredkovateľov. |
| Príslušné orgány verejnej moci, najmä Finančné riaditeľstvo Slovenskej republiky | Plnenie zákonných informačných, oznamovacích alebo iných povinností súvisiacich s eFaktúrou | Údaje sa poskytujú iba v rozsahu vyžadovanom príslušnými právnymi predpismi. |
❌ NIKDY nepredávame, neprenajímame ani nezdieľame Vaše údaje s tretími stranami na marketingové účely.
Poskytovateľ môže zapojiť ďalších sprostredkovateľov alebo subdodávateľov, ak je to potrebné na poskytovanie Služby, pričom zabezpečí primerané zmluvné a bezpečnostné opatrenia podľa GDPR.
DATA PROCESSING AGREEMENT (DPA)
This Data Processing Agreement under Article 28 GDPR governs how CyWo Tech, a. s. processes personal data that the Customer uploads into the BizNow service (documents, invoices, client, supplier and employee data). It forms part of the BizNow Privacy Policy (version 1.5, effective October 9, 2026).
Roles in Personal Data Processing
| Processing Area | Role of CyWo Tech, a. s. |
|---|---|
| Registration, user account, login, billing, payments, customer support, security logs and communication with the User | Controller |
| Data uploaded into the Service by the Customer or User, including documents, invoices, employee data, payroll data, client and supplier data and attachments | Processor acting on behalf of the Customer or relevant Organization as controller; further processor where the Customer acts as processor |
| Aggregated and anonymized statistics that do not identify the User or data subjects | May be processed by the Provider to improve the Service |
Data Processing Agreement (Section 4A of the Privacy Policy)
This section constitutes a data processing agreement under Article 28 GDPR where CyWo Tech, a. s. processes personal data on behalf of the Customer or the relevant Organization as processor or, where the Customer itself acts as processor, as a further processor.
| Item | Description |
|---|---|
| Controller | The Customer or the relevant Organization to the extent that it determines the purposes and means of personal data processing. Where the Customer processes personal data on behalf of another Organization or third party as its processor, the Customer represents that it is authorized to appoint the Provider as a further processor and to issue documented instructions to it. The Controller is responsible in particular for the lawfulness of processing, the existence of an appropriate legal basis, information duties towards data subjects and the lawfulness of its instructions. |
| Processor | CyWo Tech, a. s., processing data to the extent necessary to provide the BizNow Service. |
| Subject Matter, Nature and Purpose | Providing the BizNow SaaS service, document management, OCR/AI processing, storage, display, categorization, export, eInvoice and technical support, to the extent necessary to provide the functions activated by the User. |
| Duration of Processing | For the duration of the contractual relationship and the existence of the company in the Service, and subsequently according to the retention periods stated in these documents or a legal retention obligation. |
| Types of Personal Data | Identification, contact, billing, accounting, payroll, employee, banking and transaction data, business data and other personal data contained in data uploaded by the User. |
| Categories of Data Subjects | Users, the User’s employees, clients, suppliers, contact persons, self-employed individuals and other persons listed in documents or attachments. |
| Documented Instructions | The Provider processes personal data only on the documented instructions of the relevant controller conveyed by the Customer or a User holding the relevant permission; the Customer represents that it is authorized to issue such instructions also where it itself acts as processor. Instructions may arise from the Agreement, these Terms, Service settings or acts of an authorized User in the application, including instructions regarding third-country transfers. Where processing is required by EU or Member State law, the Provider will inform the Customer and, where applicable through the Customer, the relevant controller before processing unless the law prohibits doing so. |
| Unlawful Instruction | If the Provider considers an instruction from the Customer or an authorized User to infringe GDPR or other applicable EU or Member State data protection law, the Provider will inform the Customer and may suspend execution of that instruction to the extent necessary to assess its lawfulness. |
| Confidentiality | The Provider ensures that persons authorized to process personal data are bound by confidentiality or an appropriate statutory or contractual duty of confidentiality. |
| Sub-processors | The Customer grants general written authorization to engage sub-processors necessary for the Service and represents that it is authorized to grant this approval where it acts as a processor on behalf of a relevant controller. The Provider will notify the Customer of intended additions or replacements of sub-processors and allow a reasonable opportunity to object on data protection grounds. The relevant Article 28 GDPR obligations will be imposed contractually on sub-processors; the Provider remains responsible for their performance to the extent required by GDPR. |
| Security | The Provider implements appropriate technical and organizational measures under Article 32 GDPR, taking into account the nature, scope, context and purposes of processing and the risks to the rights of data subjects. |
| Assistance | The Provider will provide reasonable assistance to the Customer and, where applicable through the Customer, to the relevant controller in responding to data subject requests and, taking into account the nature of processing and information available to the Provider, in complying with Articles 32 to 36 GDPR, including security incidents, data protection impact assessments and any required prior consultation. |
| Audits and Information | The Provider will make available the information necessary to demonstrate compliance with Article 28 GDPR and allow reasonable audits or inspections by the Customer acting as controller, where applicable the relevant controller through the Customer, or an auditor appointed by the authorized party. Audits are generally conducted upon reasonable prior notice and in a manner respecting security, confidentiality, trade secrets and other customers’ operations; where appropriate, available documentation, certifications or remote verification take precedence over physical inspection. Audits will generally be conducted no more than once in any 12-month period unless there is a reasonable suspicion of a data protection breach, a security incident, a material change in processing or a request by a supervisory authority. Reasonable external audit costs are borne by the Customer, except where the audit demonstrates a material breach of the Provider’s obligations under GDPR; this does not restrict any right or audit that cannot be limited by contract under GDPR. |
| End of Processing | After termination of the Service, at the relevant controller’s choice communicated through the Customer, the Provider will delete the personal data or return it in a reasonable technically available format, and delete existing copies thereafter unless applicable law requires their retention. If the Customer or a User with the relevant permission uses the Organization deletion function, that act constitutes the Customer’s documented deletion instruction under these Terms; the Customer is responsible for authority to act for the relevant controller. Statutory switching rules under Section 5E remain unaffected. |
| International Transfers | Where a transfer of personal data outside the EU/EEA is necessary to provide the Service, the Provider will perform it only in accordance with documented instructions and a valid mechanism under GDPR, in particular an adequacy decision or Standard Contractual Clauses where required. |
Sub-processors and Subcontractors
| Entity / Service | Purpose | Note |
|---|---|---|
| Supabase | Backend, database, authentication, storage and technical infrastructure | Data is stored within the EU according to project settings and provider availability. |
| Stripe | Payment gateway, payment processing, fraud prevention and payment records | Stripe may act as an independent controller or processor depending on the specific payment service. |
| CyWo Tech own AI/OCR software and hardware | Automated document processing, OCR, data extraction, categorization and AI outputs | User data is not sent to public AI services such as OpenAI or Claude AI as part of standard AI/OCR processing. |
| Email, hosting, monitoring or security infrastructure providers | Transactional emails, delivery of notices, operation, monitoring and security of the Service | Only to the extent necessary for providing the Service. |
| Dativery s.r.o. / Peppoš – certified delivery service provider and Peppol infrastructure | Technical sending, receiving, validation, routing and delivery of electronic invoices | Only when the eInvoice functionality is used and to the extent necessary to provide it. The current provider may be changed in accordance with these Terms and the rules applicable to sub-processors. |
| Competent public authorities, in particular the Financial Directorate of the Slovak Republic | Compliance with statutory information, reporting or other obligations related to eInvoice | Data is provided only to the extent required by applicable law. |
❌ WE NEVER sell, rent or share your data with third parties for marketing purposes.
The Provider may engage additional processors or subcontractors if necessary for providing the Service, while ensuring appropriate contractual and security measures under GDPR.