Politika zasebnosti

1. Upravljavec podatkov

Upravljavec osebnih podatkov je Davor Pečnik s.p., ki upravlja spletno aplikacijo Moj račun (moj-racun.si).

• Naslov: Troblje 44C, 2380 Slovenj Gradec
• Matična številka: 8394709000
• Davčna številka: SI26715147

Za vsa vprašanja v zvezi z varstvom osebnih podatkov nas lahko kontaktirate na: [email protected]. Pooblaščene osebe za varstvo podatkov (DPO) nismo imenovali, ker za to niso izpolnjeni zakonski pogoji.

2. Zbiranje podatkov

Ob registraciji in uporabi storitve zbiramo naslednje podatke:

• Osnovni podatki o uporabniku (ime, priimek, e-poštni naslov)
• Podatki o podjetju (naziv, naslov, davčna številka, matična številka)
• Podatki o strankah in izdanih računih, ki jih uporabnik vnese v aplikacijo
• Slike ali PDF-ji prejetih računov, ki jih uporabnik naloži za AI branje (obdelava opisana v razdelku 5)
• Tehnični podatki (IP naslov, vrsta brskalnika, piškotki)
• Podatki o uporabi storitve (čas prijave, uporabljene funkcije)

3. Pravna podlaga za obdelavo

Vaše podatke obdelujemo na naslednjih pravnih podlagah (člen 6 GDPR):

• Izvajanje pogodbe — obdelava je potrebna za zagotavljanje storitve Moj račun, ki ste jo sprejeli ob registraciji.
• Zakonska obveznost — hramba podatkov, ki jih zahteva davčna ali druga zakonodaja.
• Zakoniti interes — izboljšanje storitve, varnost in preprečevanje zlorab.
• Privolitev — za pošiljanje obvestil ter analitične, vedenjske in oglaševalske piškotke (Google Analytics, Google Ads, Microsoft Clarity, Meta Pixel), ki jo lahko kadar koli prekličete.

4. Namen uporabe podatkov

Vaše podatke uporabljamo izključno za:

• Zagotavljanje in delovanje storitve (izdajanje računov, predračunov, davčno potrjevanje)
• Komunikacijo z vami (obvestila o storitvi, odgovori na vprašanja)
• Izboljšanje uporabniške izkušnje in delovanja aplikacije
• Zakonsko skladnost (davčno potrjevanje pri FURS, hramba računov)
• Varnost in preprečevanje zlorab

5. Obdelovalci in tretje osebe

Za zagotavljanje storitve uporabljamo spodaj navedene ponudnike. Z vsemi so sklenjeni ustrezni dogovori o obdelavi podatkov po 28. členu GDPR.

Seznam je razdeljen na dva dela. Naši obdelovalci obdelujejo podatke, katerih upravljavec smo mi (vaš uporabniški račun, plačila, analitika). Podobdelovalci pa obdelujejo podatke, katerih upravljavec ste vi — torej podatke vaših strank, ki jih vnesete v aplikacijo; zanje veljajo dodatna pravila iz Pogodbe o obdelavi osebnih podatkov, vključno z obveznostjo, da vas o vsakem novem podobdelovalcu obvestimo vnaprej.

Naši obdelovalci

• Amazon Web Services (AWS) — gostovanje datotek in shranjevanje podatkov (EU regija)
• Brevo (Sendinblue) — pošiljanje transakcijskih e-poštnih sporočil (npr. potrditev registracije, ponastavitev gesla, sistemska obvestila) in, če ste na to izrecno privolili, tudi e-novic in obvestil o izdelku. Za namen e-novic se vaš e-poštni naslov, ime in naziv podjetja shranijo na seznam prejemnikov pri Brevu. Privolitev lahko kadar koli prekličete — s povezavo za odjavo v vsakem takem sporočilu ali v aplikaciji pod Nastavitve → Profil; ob preklicu vas s seznama odstranimo. Pravna podlaga: privolitev (točka (a) prvega odstavka 6. člena GDPR) oziroma drugi odstavek 226. člena ZEKom-2. Sporočila, nujna za delovanje storitve, niso trženjska in se pošiljajo naprej.
• FURS — davčno potrjevanje računov (zakonska obveznost)
• Anthropic (Claude AI) — obdelava slik, PDF-jev in CSV/XLSX datotek poslovnih dokumentov (prejeti računi, dobavnice, popisni listi) za samodejno branje podatkov (AI branje dokumentov). Podatki se pošljejo Anthropic API-ju izključno za namen ekstrakcije podatkov iz dokumenta (dobavitelj, zneski, datumi, postavke) in se ne uporabljajo za učenje modelov. Funkcija je izbirna in se aktivira le, ko uporabnik sam naloži dokument. Anthropic podatke obdeluje v skladu s svojo politiko zasebnosti.
• Anthropic (Claude AI) — AI pomočnik za podporo — vaša vprašanja v klepetu s podporo se pošljejo Anthropic API-ju za pripravo odgovora in se ne uporabljajo za učenje modelov. Pri anonimnih pogovorih na spletni strani se očitni osebni podatki (e-pošta, davčna številka, telefon) pred shrambo zakrijejo, IP-naslov pa se hrani le v zgoščeni (hash) obliki. Pogovore hranimo do 90 dni za namen podpore in izboljšav, nato jih anonimiziramo ali izbrišemo. Pravna podlaga: zakoniti interes (odgovor na vaše vprašanje in izboljšanje storitve).
• ElevenLabs (Scribe v2) — glasovni vnos računa — če uporabite glasovni vnos računa (izbirni plačljivi dodatek), se posnetek zvoka pošlje ponudniku ElevenLabs (ZDA) za pretvorbo govora v besedilo. Sproži se le, ko sami posnamete navodilo. ElevenLabs podatke obdeluje skladno s svojo politiko zasebnosti.
• Google Analytics 4 in Google Ads (Google Ireland Ltd.) — analitika uporabe spletne strani in merjenje učinkovitosti oglaševanja. Uporabljamo Google Način privolitve (Consent Mode v2): pred vašo privolitvijo Google deluje v načinu brez oglaševalskih in analitičnih piškotkov (modelirani podatki), po privolitvi pa se ti piškotki omogočijo. Ob privolitvi shranimo Googlove identifikatorje klika oglasa (gclid, gbraid, wbraid), da lahko konverzije (npr. registracijo) pripišemo ustrezni oglaševalski kampanji. Google podatke obdeluje skladno s svojo politiko zasebnosti.
• Microsoft Clarity (Microsoft Ireland Operations Ltd.) — analitika vedenja uporabnikov in posnetki sej (gibi miške, kliki, pomikanje, toplotne karte) za izboljšanje uporabniške izkušnje. Vneseni podatki so privzeto maskirani. Aktivira se le ob vaši privolitvi. Microsoft podatke obdeluje skladno s svojo izjavo o zasebnosti.
• Meta Platforms Ireland Ltd. (Meta Pixel in Conversions API) — merjenje učinkovitosti oglaševanja in konverzij (npr. obisk strani, registracija, nakup) za potrebe oglaševanja na Facebooku in Instagramu. Aktivira se le ob vaši privolitvi. Strežniško poslani identifikatorji (e-pošta, telefon) so pred prenosom zgoščeni (SHA-256). Meta podatke obdeluje skladno s svojo politiko zasebnosti.
• Shopify International Ltd. — povezava s trgovino Shopify — če v aplikaciji povežete svojo trgovino Shopify (izbirna integracija), od Shopifya prejemamo podatke o naročilih vaše trgovine in z njimi povezane podatke vaših kupcev (ime, e-poštni naslov, telefon, naslov za dostavo in račun, kupljeni artikli, zneski in način plačila) ter podatke o izdelkih, lokacijah in zalogi. Te podatke obdelujemo izključno za izdajanje računov in predračunov za vaša naročila, davčno potrjevanje pri FURS, pripravo dobavnic ter usklajevanje zalog med sistemoma. Podatke vaših kupcev pri tem obdelujemo kot obdelovalec v vašem imenu (vi ostajate upravljavec podatkov svojih kupcev) — obdelujemo jih po vaših navodilih in jih ne uporabljamo za noben drug namen. V celoti podpiramo Shopifyjeve GDPR-zahteve: ob kupčevi zahtevi za izbris ali ob odstranitvi aplikacije iz trgovine prejete kopije podatkov izbrišemo oziroma anonimiziramo, pri čemer že izdani računi ostanejo shranjeni, kot zahteva davčna zakonodaja (10 let). Shopify podatke obdeluje skladno s svojo politiko zasebnosti.
• Slack Technologies Limited (družba skupine Salesforce) — interno obveščanje o napakah in nadzor delovanja storitve. V naš zasebni interni kanal se samodejno pošiljajo tehnična obvestila o napakah v aplikaciji in na strežniku: opis napake, naslov strani, podatki o brskalniku in različici aplikacije ter — kadar je napaka vezana na prijavljenega uporabnika — vaš e-poštni naslov in identifikator uporabnika, da lahko napako povežemo z računom in jo odpravimo. V isti kanal se pošiljajo tudi povzetki predlogov in vprašanj, ki jih posredujete prek AI-klepeta ali podpore. Kanal je dostopen izključno nam, podatkov pa ne uporabljamo za trženje ali profiliranje. Pravna podlaga: zakoniti interes (zagotavljanje delovanja in varnosti storitve ter odprava napak). Slack podatke obdeluje skladno s politiko zasebnosti družbe Salesforce.
• Stripe Payments Europe, Ltd. (Irska) — obdelava plačil za plačljive dodatke. Stripe prejme podatke, potrebne za izvedbo plačila (ime, e-poštni naslov, naslov, podatki o podjetju in davčna številka za izdajo računa) ter neposredno od vas podatke o plačilni kartici. Podatkov o vaši plačilni kartici ne prejmemo, ne vidimo in ne hranimo. Pravna podlaga: izvajanje pogodbe. Stripe podatke obdeluje skladno s svojo politiko zasebnosti.
• Cloudflare, Inc. — omrežna zaščita, posredovanje prometa in zaščita pred napadi. Ves promet do spletne strani in aplikacije poteka prek Cloudflare, ki pri tem obdeluje tehnične podatke o zahtevku (naslov IP, vrsta brskalnika, čas dostopa). Pravna podlaga: zakoniti interes (varnost in razpoložljivost storitve). Cloudflare podatke obdeluje skladno s svojo politiko zasebnosti.
• Zoho Corporation — gostovanje poštnih predalov za uporabnike, ki vklopijo dodatek »Gostovanje e-pošte«. Zoho pri tem obdeluje vsebino in metapodatke vaše pošte v tem predalu. Dodatek je izbiren in se aktivira le na vašo zahtevo. Zoho podatke obdeluje skladno s svojo politiko zasebnosti.

Podobdelovalci — obdelujejo podatke vaših strank

• SMSAPI.si — pošiljanje SMS obvestil, kadar vklopite dodatek »SMS obvestila«. Ponudniku se posredujeta telefonska številka prejemnika (vaše stranke) in vsebina sporočila. Sproži se le, ko sami pošljete obvestilo.
• General Logistics Systems (GLS) — izdelava dostavnih nalepk, kadar vklopite dodatek »Dostavne nalepke«. Prevozniku se posredujejo ime, naslov in telefonska številka prejemnika ter znesek odkupnine.
• Pošta Slovenije d.o.o. — izdelava dostavnih nalepk, kadar vklopite dodatek »Dostavne nalepke«. Prevozniku se posredujejo ime, naslov in telefonska številka prejemnika ter znesek odkupnine.
• Amazon Web Services (AWS), EU regija — gostovanje strežnikov, podatkovne baze in shranjevanje datotek (PDF-ji računov, naložene priloge). Vsi podatki, ki jih vnesete v aplikacijo, se hranijo tu.
• Brevo (Sendinblue) — pošiljanje računov in opominov vašim strankam po e-pošti. Posredujeta se e-poštni naslov prejemnika in vsebina dokumenta.
• Anthropic (Claude AI) — samodejno branje dokumentov, ki jih naložite. Podrobnosti so opisane zgoraj.
• Shopify International Ltd. — kadar povežete svojo trgovino Shopify. Podrobnosti so opisane zgoraj.

Prenosi v tretje države: nekateri od navedenih ponudnikov (Google, Microsoft, Meta, Anthropic, ElevenLabs, Slack/Salesforce, Stripe, Cloudflare, Zoho) lahko osebne podatke obdelujejo tudi zunaj EU, praviloma v ZDA. Tak prenos je zavarovan z ustreznimi zaščitnimi ukrepi — standardnimi pogodbenimi klavzulami EU (SCC) in okvirom EU–ZDA za zasebnost podatkov (Data Privacy Framework).

Vaših podatkov ne prodajamo, oddajamo ali delimo s tretjimi osebami za namene trženja.

6. Podatki vaših strank — kdaj smo obdelovalec

Ta politika opisuje, kako ravnamo s podatki, katerih upravljavec smo mi — torej z vašim uporabniškim računom, plačili, tehničnimi zapisi in analitiko.

Ko pa v aplikacijo vnesete ali uvozite osebne podatke svojih strank, zaposlenih ali drugih posameznikov, je razmerje obrnjeno: upravljavec ste vi, mi pa smo vaš obdelovalec. Te podatke obdelujemo izključno po vaših navodilih in samo zato, da storitev deluje — nikoli za lastne namene, nikoli za trženje in nikoli za učenje modelov. Vaše obveznosti kot upravljavca (npr. obveščanje vaših strank in pravna podlaga za obdelavo) ostanejo vaše. To razmerje v celoti ureja Pogodba o obdelavi osebnih podatkov (28. člen GDPR), ki je sestavni del splošnih pogojev.

7. Varstvo podatkov

Uporabljamo ustrezne tehnične in organizacijske ukrepe za zaščito vaših podatkov. To vključuje šifrirano povezavo (HTTPS/TLS), šifrirano hrambo občutljivih podatkov, redne varnostne posodobitve in strogo omejen dostop do podatkov.

Obveščanje o kršitvah varnosti. Če pride do kršitve varstva osebnih podatkov, jo prijavimo Informacijskemu pooblaščencu v 72 urah od seznanitve, kadar to zahteva 33. člen GDPR. Kadar kršitev povzroči veliko tveganje za vaše pravice in svoboščine, o njej brez odlašanja obvestimo tudi vas (34. člen GDPR). Če se kršitev nanaša na podatke, pri katerih ste upravljavec vi (6. razdelek), vas o njej obvestimo brez odlašanja in najpozneje v 48 urah od seznanitve, skupaj s podatki, ki jih potrebujete za lastno prijavo.

8. Hramba podatkov

Vaše podatke hranimo, dokler imate aktiven uporabniški račun. Ob zahtevi za izbris računa (Nastavitve → Izbris računa) začne teči 15-dnevno obdobje za premislek, med katerim lahko izbris kadar koli prekličete; po njegovem poteku se vaš račun in vsi podatki v aplikaciji trajno izbrišejo (praviloma najpozneje naslednji dan). Ker morate kot izdajatelj računov izdane račune po davčni zakonodaji hraniti še 10 let, priporočamo, da dokumente pred izbrisom izvozite. Po izbrisu hranimo samo:

• Račune, ki smo jih vam izdali za naročnino — hranimo jih še 10 let po poteku leta izdaje, kot zahteva davčna zakonodaja (86. člen ZDDV-1; podlaga: člen 17(3)(b) GDPR).
• Minimalen revizijski zapis o izbrisu (identifikator računa, e-poštni naslov, naziv podjetja, davčna številka, datum in obseg izbrisa) — kot dokaz, da je bila vaša zahteva izvršena (odgovornost po členu 5(2) GDPR).
• Varnostne kopije — podatki lahko po izbrisu za omejen čas ostanejo v šifriranih varnostnih kopijah, ki se samodejno odstranjujejo po ustaljenem urniku. V tem času se ne uporabljajo za noben drug namen; če bi bilo varnostno kopijo treba obnoviti, se izbrisi znova samodejno uveljavijo.

9. Vaše pravice

V skladu z GDPR imate pravico do:

• Dostopa — zahtevate lahko kopijo vseh vaših osebnih podatkov
• Popravka — zahtevate popravek netočnih podatkov
• Izbrisa — zahtevate izbris vaših podatkov ("pravica do pozabe"). Izbris računa lahko sprožite tudi sami, neposredno v aplikaciji: Nastavitve → Izbris računa (potrditev z geslom, nato 15-dnevno obdobje za premislek, med katerim lahko izbris kadar koli prekličete). Pred izbrisom priporočamo izvoz dokumentov (modul Izvoz) — izdane račune morate kot izdajatelj hraniti še 10 let.
• Omejitve obdelave — zahtevate omejitev obdelave vaših podatkov
• Prenosljivosti — prejmete vaše podatke v strukturiranem formatu
• Ugovora — ugovarjate obdelavi na podlagi zakonitega interesa
• Preklica privolitve — kadar koli prekličete dano privolitev

Za uveljavljanje pravic pišite na [email protected]. Prav tako imate pravico vložiti pritožbo pri Informacijskem pooblaščencu RS (ip-rs.si). Pri obdelavi vaših podatkov ne izvajamo avtomatiziranega sprejemanja odločitev ali profiliranja s pravnimi učinki.

10. Piškotki

Na spletni strani uporabljamo:

• Nujni piškotki — potrebni za delovanje strani (seja, privolitev za piškotke). Ne zahtevajo privolitve.
• Analitični in vedenjski piškotki — Google Analytics in Microsoft Clarity za razumevanje uporabe strani in vedenja uporabnikov (vključno s posnetki sej). Aktivirajo se le ob vaši privolitvi.
• Oglaševalski piškotki — Meta Pixel (Facebook in Instagram) ter Google Ads za merjenje konverzij in učinkovitosti oglaševanja. Aktivirajo se le ob vaši privolitvi.

Za vsako od obeh kategorij se odločite ločeno. Ob prvem obisku vam prikažemo obvestilo, kjer lahko analitične in oglaševalske piškotke sprejmete ali zavrnete vsakega posebej. Zavrnitev je enako enostavna kot sprejem in nima nobenih posledic za delovanje strani.

Preklic privolitve. Dano privolitev lahko kadar koli spremenite ali v celoti prekličete prek povezave Nastavitve piškotkov v nogi spletne strani — preklic je enako enostaven kot dajanje privolitve (člen 7(3) GDPR) in velja za naprej. Podroben seznam posameznih piškotkov, njihovih kategorij in trajanja je v 17. členu splošnih pogojev. Piškotke lahko poleg tega upravljate tudi v nastavitvah svojega brskalnika.

11. Spremembe politike

To politiko zasebnosti lahko občasno posodobimo. O bistvenih spremembah vas bomo obvestili prek e-pošte ali obvestila v aplikaciji. Priporočamo, da politiko občasno preverite.

Zadnja posodobitev: 20.08.2026