Politika zasebnosti

1. Upravljavec podatkov

Upravljavec osebnih podatkov je Davor Pečnik s.p., ki upravlja spletno aplikacijo Moj račun (moj-racun.si).

• Naslov: Troblje 44C, 2380 Slovenj Gradec
• Matična številka: 8394709000
• Davčna številka: SI26715147

Za vsa vprašanja v zvezi z varstvom osebnih podatkov nas lahko kontaktirate na: [email protected]. Pooblaščene osebe za varstvo podatkov (DPO) nismo imenovali, ker za to niso izpolnjeni zakonski pogoji.

2. Zbiranje podatkov

Ob registraciji in uporabi storitve zbiramo naslednje podatke:

• Osnovni podatki o uporabniku (ime, priimek, e-poštni naslov)
• Podatki o podjetju (naziv, naslov, davčna številka, matična številka)
• Podatki o strankah in izdanih računih, ki jih uporabnik vnese v aplikacijo
• Slike ali PDF-ji prejetih računov, ki jih uporabnik naloži za AI branje (obdelava opisana v razdelku 5)
• Tehnični podatki (IP naslov, vrsta brskalnika, piškotki)
• Podatki o uporabi storitve (čas prijave, uporabljene funkcije)

3. Pravna podlaga za obdelavo

Vaše podatke obdelujemo na naslednjih pravnih podlagah (člen 6 GDPR):

• Izvajanje pogodbe — obdelava je potrebna za zagotavljanje storitve Moj račun, ki ste jo sprejeli ob registraciji.
• Zakonska obveznost — hramba podatkov, ki jih zahteva davčna ali druga zakonodaja.
• Zakoniti interes — izboljšanje storitve, varnost in preprečevanje zlorab.
• Privolitev — za pošiljanje obvestil ter analitične, vedenjske in oglaševalske piškotke (Google Analytics, Google Ads, Microsoft Clarity, Meta Pixel), ki jo lahko kadar koli prekličete.

4. Namen uporabe podatkov

Vaše podatke uporabljamo izključno za:

• Zagotavljanje in delovanje storitve (izdajanje računov, predračunov, davčno potrjevanje)
• Komunikacijo z vami (obvestila o storitvi, odgovori na vprašanja)
• Izboljšanje uporabniške izkušnje in delovanja aplikacije
• Zakonsko skladnost (davčno potrjevanje pri FURS, hramba računov)
• Varnost in preprečevanje zlorab

Nasveti za začetek po e-pošti

Moj Račun vam v prvih sedmih dneh po registraciji pošlje največ tri e-poštna sporočila z navodili za izdajo prvega računa. Pri tem uporabi vaš e-poštni naslov, datum registracije ter podatek, ali ste že dodali stranko in izdali račun. Ko izdate prvi račun ali se odjavite, pošiljanje preneha.

Pravna podlaga je drugi odstavek 226. člena Zakona o elektronskih komunikacijah (ZEKom-2): e-poštni naslov je pridobljen ob sklenitvi pogodbe o uporabi storitve, sporočila pa se nanašajo izključno na to storitev. Podredno je pravna podlaga zakoniti interes (točka (f) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov), da se vam pomaga začeti uporabljati storitev, za katero ste se registrirali.

Takšnemu pošiljanju lahko brezplačno ugovarjate ob registraciji ali kadarkoli pozneje s povezavo za odjavo v vsakem sporočilu. Evidenca poslanih sporočil in odjav se hrani, dokler obstaja vaš uporabniški račun.

5. Obdelovalci in tretje osebe

Za zagotavljanje storitve uporabljamo spodaj navedene ponudnike. Z vsemi so sklenjeni ustrezni dogovori o obdelavi podatkov po 28. členu GDPR.

Seznam je razdeljen na dva dela. Naši obdelovalci obdelujejo podatke, katerih upravljavec smo mi (vaš uporabniški račun, plačila, analitika). Podobdelovalci pa obdelujejo podatke, katerih upravljavec ste vi — torej podatke vaših strank, ki jih vnesete v aplikacijo; zanje veljajo dodatna pravila iz Pogodbe o obdelavi osebnih podatkov, vključno z obveznostjo, da vas o vsakem novem podobdelovalcu obvestimo vnaprej.

Naši obdelovalci

• Amazon Web Services (AWS) — gostovanje datotek in shranjevanje podatkov (EU regija)
• Brevo (Sendinblue) — pošiljanje transakcijskih e-poštnih sporočil (npr. potrditev registracije, ponastavitev gesla, sistemska obvestila), nasvetov za začetek v prvem tednu po registraciji (glejte Nasveti za začetek po e-pošti) in, če ste na to izrecno privolili, tudi e-novic in obvestil o izdelku. Za namen e-novic se vaš e-poštni naslov, ime in naziv podjetja shranijo na seznam prejemnikov pri Brevu. Privolitev lahko kadar koli prekličete — s povezavo za odjavo v vsakem takem sporočilu ali v aplikaciji pod Nastavitve → Profil; ob preklicu vas s seznama odstranimo. Pravna podlaga: privolitev (točka (a) prvega odstavka 6. člena GDPR) oziroma drugi odstavek 226. člena ZEKom-2. Sporočila, nujna za delovanje storitve, niso trženjska in se pošiljajo naprej.
• FURS — davčno potrjevanje računov (zakonska obveznost)
• Anthropic (Claude AI) — obdelava slik, PDF-jev in CSV/XLSX datotek poslovnih dokumentov (prejeti računi, dobavnice, popisni listi) za samodejno branje podatkov (AI branje dokumentov). Podatki se pošljejo Anthropic API-ju izključno za namen ekstrakcije podatkov iz dokumenta (dobavitelj, zneski, datumi, postavke) in se ne uporabljajo za učenje modelov. Funkcija je izbirna in se aktivira le, ko uporabnik sam naloži dokument. Anthropic podatke obdeluje v skladu s svojo politiko zasebnosti.
• Anthropic (Claude AI) — AI pomočnik za podporo — vaša vprašanja v klepetu s podporo se pošljejo Anthropic API-ju za pripravo odgovora in se ne uporabljajo za učenje modelov. Pri anonimnih pogovorih na spletni strani se očitni osebni podatki (e-pošta, davčna številka, telefon) pred shrambo zakrijejo, IP-naslov pa se hrani le v zgoščeni (hash) obliki. Pogovore hranimo do 90 dni za namen podpore in izboljšav, nato jih anonimiziramo ali izbrišemo. Pravna podlaga: zakoniti interes (odgovor na vaše vprašanje in izboljšanje storitve).
• ElevenLabs (Scribe v2) — glasovni vnos računa — če uporabite glasovni vnos računa (izbirni plačljivi dodatek), se posnetek zvoka pošlje ponudniku ElevenLabs (ZDA) za pretvorbo govora v besedilo. Sproži se le, ko sami posnamete navodilo. ElevenLabs podatke obdeluje skladno s svojo politiko zasebnosti.
• Anthropic (Claude AI) — glasovni vnos računa — besedilo, ki ga ElevenLabs pripravi iz vašega posnetka, pošljemo Anthropic API-ju skupaj s podatki iz vašega šifranta, da iz njih pripravi osnutek računa: s seznamom strank (ime, naziv podjetja, davčna številka, kraj) in produktov (naziv, cena, stopnja DDV, enota) — pri obsežnejšem šifrantu le s tistimi, ki se ujemajo z izgovorjenim besedilom. Če omenite stranko, ki je še ni v šifrantu, lahko njen naziv poiščemo s spletnim iskanjem prek storitve Anthropic, izgovorjeno davčno številko pa preverimo v evropskem registru VIES. Podatki se ne uporabljajo za učenje modelov. Sproži se le, ko sami posnamete navodilo. Besedilo navodila hranimo pri vašem uporabniškem računu največ 90 dni, enako kot pogovore s podporo. Pravna podlaga: izvajanje pogodbe.
• Google Analytics 4 in Google Ads (Google Ireland Ltd.) — analitika uporabe spletne strani in merjenje učinkovitosti oglaševanja. Uporabljamo Google Način privolitve (Consent Mode v2): pred vašo privolitvijo Google deluje v načinu brez oglaševalskih in analitičnih piškotkov (modelirani podatki), po privolitvi pa se ti piškotki omogočijo. Ob privolitvi shranimo Googlove identifikatorje klika oglasa (gclid, gbraid, wbraid), da lahko konverzije (npr. registracijo) pripišemo ustrezni oglaševalski kampanji. Google podatke obdeluje skladno s svojo politiko zasebnosti.
• Microsoft Clarity (Microsoft Ireland Operations Ltd.) — analitika vedenja uporabnikov in posnetki sej (gibi miške, kliki, pomikanje, toplotne karte) za izboljšanje uporabniške izkušnje. Vneseni podatki so privzeto maskirani. Aktivira se le ob vaši privolitvi. Microsoft podatke obdeluje skladno s svojo izjavo o zasebnosti.
• Meta Platforms Ireland Ltd. (Meta Pixel in Conversions API) — merjenje učinkovitosti oglaševanja in konverzij (npr. obisk strani, registracija, nakup) za potrebe oglaševanja na Facebooku in Instagramu. Aktivira se le ob vaši privolitvi. Strežniško poslani identifikatorji (e-pošta, telefon) so pred prenosom zgoščeni (SHA-256). Meta podatke obdeluje skladno s svojo politiko zasebnosti.
• Shopify International Ltd. — povezava s trgovino Shopify — če v aplikaciji povežete svojo trgovino Shopify (izbirna integracija), od Shopifya prejemamo podatke o naročilih vaše trgovine in z njimi povezane podatke vaših kupcev (ime, e-poštni naslov, telefon, naslov za dostavo in račun, kupljeni artikli, zneski in način plačila) ter podatke o izdelkih, lokacijah in zalogi. Te podatke obdelujemo izključno za izdajanje računov in predračunov za vaša naročila, davčno potrjevanje pri FURS, pripravo dobavnic ter usklajevanje zalog med sistemoma. Podatke vaših kupcev pri tem obdelujemo kot obdelovalec v vašem imenu (vi ostajate upravljavec podatkov svojih kupcev) — obdelujemo jih po vaših navodilih in jih ne uporabljamo za noben drug namen. V celoti podpiramo Shopifyjeve GDPR-zahteve: ob kupčevi zahtevi za izbris ali ob odstranitvi aplikacije iz trgovine prejete kopije podatkov izbrišemo oziroma anonimiziramo, pri čemer že izdani računi ostanejo shranjeni, kot zahteva davčna zakonodaja (10 let). Shopify podatke obdeluje skladno s svojo politiko zasebnosti.
• Slack Technologies Limited (družba skupine Salesforce) — interno obveščanje o napakah in nadzor delovanja storitve. V naš zasebni interni kanal se samodejno pošiljajo tehnična obvestila o napakah v aplikaciji in na strežniku: opis napake, naslov strani, podatki o brskalniku in različici aplikacije ter — kadar je napaka vezana na prijavljenega uporabnika — vaš e-poštni naslov in identifikator uporabnika, da lahko napako povežemo z računom in jo odpravimo. V isti kanal se pošiljajo tudi povzetki predlogov in vprašanj, ki jih posredujete prek AI-klepeta ali podpore. Kanal je dostopen izključno nam, podatkov pa ne uporabljamo za trženje ali profiliranje. Pravna podlaga: zakoniti interes (zagotavljanje delovanja in varnosti storitve ter odprava napak). Slack podatke obdeluje skladno s politiko zasebnosti družbe Salesforce.
• Neoserv d.o.o. (Slovenija) — gostovanje našega e-poštnega predala [email protected], prek katerega prejemamo in pošiljamo e-pošto podpori.
• Anthropic (Claude AI) — osnutki odgovorov na e-pošto podpori — kadar odgovarjamo na vaše sporočilo na [email protected], lahko skrbnik na zahtevo (nikoli samodejno) besedilo sporočila, prejšnjih sporočil v istem pogovoru in morebitne priloge pošlje Anthropic API-ju, ki pripravi osnutek odgovora. Vsak odgovor pred pošiljanjem pregleda in odobri človek. Podatki se ne uporabljajo za učenje modelov. Pravna podlaga: zakoniti interes (odgovor na vaše vprašanje).
• Cloudflare, Inc. — omrežna zaščita, posredovanje prometa in zaščita pred napadi. Ves promet do spletne strani in aplikacije poteka prek Cloudflare, ki pri tem obdeluje tehnične podatke o zahtevku (naslov IP, vrsta brskalnika, čas dostopa). Pravna podlaga: zakoniti interes (varnost in razpoložljivost storitve). Cloudflare podatke obdeluje skladno s svojo politiko zasebnosti.

Podobdelovalci — obdelujejo podatke vaših strank

• SMSAPI.si — pošiljanje SMS obvestil, kadar vklopite dodatek »SMS obvestila«. Ponudniku se posredujeta telefonska številka prejemnika (vaše stranke) in vsebina sporočila. Sproži se le, ko sami pošljete obvestilo.
• General Logistics Systems (GLS) — izdelava dostavnih nalepk, kadar vklopite dodatek »Dostavne nalepke«. Prevozniku se posredujejo ime, naslov in telefonska številka prejemnika ter znesek odkupnine.
• Pošta Slovenije d.o.o. — izdelava dostavnih nalepk, kadar vklopite dodatek »Dostavne nalepke«. Prevozniku se posredujejo ime, naslov in telefonska številka prejemnika ter znesek odkupnine.
• Amazon Web Services (AWS), EU regija — gostovanje strežnikov, podatkovne baze in shranjevanje datotek (PDF-ji računov, naložene priloge). Vsi podatki, ki jih vnesete v aplikacijo, se hranijo tu.
• Brevo (Sendinblue) — pošiljanje računov in opominov vašim strankam po e-pošti. Posredujeta se e-poštni naslov prejemnika in vsebina dokumenta.
• Anthropic (Claude AI) — samodejno branje dokumentov, ki jih naložite, in priprava osnutka računa pri glasovnem vnosu (seznam strank in produktov iz vašega šifranta). Podrobnosti so opisane zgoraj.
• ElevenLabs — pretvorba govora v besedilo pri glasovnem vnosu računa, kadar vklopite ta dodatek; posnetek lahko vsebuje podatke vaših strank, ki jih izgovorite. Podrobnosti so opisane zgoraj.
• Shopify International Ltd. — kadar povežete svojo trgovino Shopify. Podrobnosti so opisane zgoraj.
• Neoserv d.o.o. — registracija domene in gostovanje e-poštnega predala, kadar naročite Paket Splet. Posredujejo se podatki, potrebni za registracijo domene na vaše ime, ter vsebina e-poštnega predala.

Povezave, ki jih vklopite sami

Nekatere storitve povežete z aplikacijo sami — s svojim računom pri njihovem ponudniku, ki ga imate po lastni pogodbi z njim. Ti ponudniki niso naši obdelovalci ali podobdelovalci; podatke z njimi izmenjujemo samo, ko povezavo vklopite, in samo po vaših navodilih. Podrobneje to ureja Pogodba o obdelavi osebnih podatkov (člen 6.a).

• Stripe (Stripe Technology Company Ltd in Stripe Payments Europe, Ltd., Irska) — plačil s plačilno kartico za naše storitve ne sprejemamo; naše račune plačujete z nakazilom. Stripe se uporablja le, kadar v aplikaciji povežete svoj račun Stripe ali na svojem računu uporabite »Plačaj zdaj«: tedaj ustvarimo plačilno stran Stripe Checkout na vašem povezanem računu Stripe in Stripu pošljemo številko računa, znesek, valuto in e-poštni naslov vaše stranke. Podatke o plačilni kartici vaša stranka vnese neposredno pri Stripu; mi jih ne prejmemo, ne vidimo in ne hranimo. Stripe pri izvedbi plačila deluje kot obdelovalec, za preprečevanje goljufij in pranja denarja pa kot samostojni upravljavec. Prenos podatkov v ZDA je zavarovan z okvirom EU–ZDA za zasebnost podatkov (DPF) in standardnimi pogodbenimi klavzulami (SCC). Podrobnosti: Stripe Privacy Center.
• SumUp Limited (Irska, matična št. 505893) — kadar v aplikaciji povežete svoj račun SumUp, po vašem navodilu beremo transakcije vašega računa SumUp, da iz njih izdamo račune. SumUp je za podatke o plačilih samostojni upravljavec in jih hrani v Evropskem gospodarskem prostoru. Podrobnosti: politika zasebnosti SumUp.

Gostovanje vaše spletne strani. Kadar naročite enega od spletnih paketov, vašo spletno stran gostimo na svojem strežniku (AWS, EU regija). Pri tem obdelujemo podatke obiskovalcev vaše strani — naslov IP in dnevniške zapise strežnika, pri kontaktnem obrazcu pa tudi podatke, ki jih obiskovalec vpiše. Upravljavec teh podatkov ste vi, mi smo vaš obdelovalec; za obvestilo o zasebnosti in morebitno privolitev za piškotke na svoji strani poskrbite sami, osnovno predlogo pa vam pripravimo. Podrobnosti ureja Pogodba o obdelavi osebnih podatkov.

Prenosi v tretje države: nekateri od navedenih ponudnikov (Google, Microsoft, Meta, Anthropic, ElevenLabs, Slack/Salesforce, Stripe, Cloudflare) lahko osebne podatke obdelujejo tudi zunaj EU, praviloma v ZDA. Tak prenos je zavarovan z ustreznimi zaščitnimi ukrepi — standardnimi pogodbenimi klavzulami EU (SCC) in okvirom EU–ZDA za zasebnost podatkov (Data Privacy Framework).

Vaših podatkov ne prodajamo, oddajamo ali delimo s tretjimi osebami za namene trženja.

6. Podatki vaših strank — kdaj smo obdelovalec

Ta politika opisuje, kako ravnamo s podatki, katerih upravljavec smo mi — torej z vašim uporabniškim računom, plačili, tehničnimi zapisi in analitiko.

Ko pa v aplikacijo vnesete ali uvozite osebne podatke svojih strank, zaposlenih ali drugih posameznikov, je razmerje obrnjeno: upravljavec ste vi, mi pa smo vaš obdelovalec. Te podatke obdelujemo izključno po vaših navodilih in samo zato, da storitev deluje — nikoli za lastne namene, nikoli za trženje in nikoli za učenje modelov. Vaše obveznosti kot upravljavca (npr. obveščanje vaših strank in pravna podlaga za obdelavo) ostanejo vaše. To razmerje v celoti ureja Pogodba o obdelavi osebnih podatkov (28. člen GDPR), ki je sestavni del splošnih pogojev.

7. Varstvo podatkov

Uporabljamo ustrezne tehnične in organizacijske ukrepe za zaščito vaših podatkov. To vključuje šifrirano povezavo (HTTPS/TLS), šifrirano hrambo občutljivih podatkov, redne varnostne posodobitve in strogo omejen dostop do podatkov.

Obveščanje o kršitvah varnosti. Če pride do kršitve varstva osebnih podatkov, jo prijavimo Informacijskemu pooblaščencu v 72 urah od seznanitve, kadar to zahteva 33. člen GDPR. Kadar kršitev povzroči veliko tveganje za vaše pravice in svoboščine, o njej brez odlašanja obvestimo tudi vas (34. člen GDPR). Če se kršitev nanaša na podatke, pri katerih ste upravljavec vi (6. razdelek), vas o njej obvestimo brez odlašanja in najpozneje v 48 urah od seznanitve, skupaj s podatki, ki jih potrebujete za lastno prijavo.

8. Hramba podatkov

Vaše podatke hranimo, dokler imate aktiven uporabniški račun. Ob zahtevi za izbris računa (Nastavitve → Izbris računa) začne teči 15-dnevno obdobje za premislek, med katerim lahko izbris kadar koli prekličete; po njegovem poteku se vaš račun in vsi podatki v aplikaciji trajno izbrišejo (praviloma najpozneje naslednji dan). Ker morate kot izdajatelj računov izdane račune po davčni zakonodaji hraniti še 10 let, priporočamo, da dokumente pred izbrisom izvozite. Po izbrisu hranimo samo:

• Račune, ki smo jih vam izdali za naročnino — hranimo jih še 10 let po poteku leta izdaje, kot zahteva davčna zakonodaja (86. člen ZDDV-1; podlaga: člen 17(3)(b) GDPR).
• Minimalen revizijski zapis o izbrisu (identifikator računa, e-poštni naslov, naziv podjetja, davčna številka, datum in obseg izbrisa) — kot dokaz, da je bila vaša zahteva izvršena (odgovornost po členu 5(2) GDPR).
• Varnostne kopije — podatki lahko po izbrisu za omejen čas ostanejo v šifriranih varnostnih kopijah, ki se samodejno odstranjujejo po ustaljenem urniku. V tem času se ne uporabljajo za noben drug namen; če bi bilo varnostno kopijo treba obnoviti, se izbrisi znova samodejno uveljavijo.

E-pošta podpori. Sporočila, ki nam jih pošljete na [email protected], in njihove priloge hranimo 24 mesecev po zaključku zahtevka; sporočila, ki niso zahtevek (neželena pošta, avtomatska obvestila), pa 90 dni. Nato jih samodejno izbrišemo.

9. Vaše pravice

V skladu z GDPR imate pravico do:

• Dostopa — zahtevate lahko kopijo vseh vaših osebnih podatkov
• Popravka — zahtevate popravek netočnih podatkov
• Izbrisa — zahtevate izbris vaših podatkov ("pravica do pozabe"). Izbris računa lahko sprožite tudi sami, neposredno v aplikaciji: Nastavitve → Izbris računa (potrditev z geslom, nato 15-dnevno obdobje za premislek, med katerim lahko izbris kadar koli prekličete). Pred izbrisom priporočamo izvoz dokumentov (modul Izvoz) — izdane račune morate kot izdajatelj hraniti še 10 let.
• Omejitve obdelave — zahtevate omejitev obdelave vaših podatkov
• Prenosljivosti — prejmete vaše podatke v strukturiranem formatu
• Ugovora — ugovarjate obdelavi na podlagi zakonitega interesa
• Preklica privolitve — kadar koli prekličete dano privolitev

Za uveljavljanje pravic pišite na [email protected]. Prav tako imate pravico vložiti pritožbo pri Informacijskem pooblaščencu RS (ip-rs.si). Pri obdelavi vaših podatkov ne izvajamo avtomatiziranega sprejemanja odločitev ali profiliranja s pravnimi učinki.

10. Piškotki

Na spletni strani uporabljamo:

• Nujni piškotki — potrebni za delovanje strani (seja, privolitev za piškotke). Ne zahtevajo privolitve.
• Analitični in vedenjski piškotki — Google Analytics in Microsoft Clarity za razumevanje uporabe strani in vedenja uporabnikov (vključno s posnetki sej). Aktivirajo se le ob vaši privolitvi.
• Oglaševalski piškotki — Meta Pixel (Facebook in Instagram) ter Google Ads za merjenje konverzij in učinkovitosti oglaševanja. Aktivirajo se le ob vaši privolitvi.

Za vsako od obeh kategorij se odločite ločeno. Ob prvem obisku vam prikažemo obvestilo, kjer lahko analitične in oglaševalske piškotke sprejmete ali zavrnete vsakega posebej. Zavrnitev je enako enostavna kot sprejem in nima nobenih posledic za delovanje strani.

Preklic privolitve. Dano privolitev lahko kadar koli spremenite ali v celoti prekličete prek povezave Nastavitve piškotkov v nogi spletne strani — preklic je enako enostaven kot dajanje privolitve (člen 7(3) GDPR) in velja za naprej. Podroben seznam posameznih piškotkov, njihovih kategorij in trajanja je v 17. členu splošnih pogojev. Piškotke lahko poleg tega upravljate tudi v nastavitvah svojega brskalnika.

11. Spremembe politike

To politiko zasebnosti lahko občasno posodobimo. O bistvenih spremembah vas bomo obvestili prek e-pošte ali obvestila v aplikaciji. Priporočamo, da politiko občasno preverite.