Zásady spracovania osobných údajov

Tieto zásady vysvetľujú, aké osobné údaje spracúvame pri prevádzke služby HACCP Denník (haccp.bizpilot.sk), na aký účel, komu ich odovzdávame, ako dlho ich držíme a aké máte práva. Sú písané pre majiteľa prevádzky, nie pre právnika.

Vzťahuje sa na ne nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) a zákon č. 18/2018 Z. z. o ochrane osobných údajov.

Účinné od: [DOPLNIŤ: dátum účinnosti]. Verzia: [DOPLNIŤ: číslo verzie].

1. Kto sme a ako nás kontaktovať

Službu HACCP Denník prevádzkuje:

Obchodné meno	[DOPLNIŤ: obchodné meno]
Sídlo	[DOPLNIŤ: sídlo]
IČO	[DOPLNIŤ: IČO]
DIČ	[DOPLNIŤ: DIČ]
IČ DPH	[DOPLNIŤ: IČ DPH]
Zápis v registri	[DOPLNIŤ: zápis v registri]
Webové sídlo	haccp.bizpilot.sk
E-mail pre ochranu údajov	[DOPLNIŤ: kontaktný e-mail pre ochranu údajov]

Vo veciach ochrany osobných údajov nás kontaktujte na uvedenom e-maile alebo písomne na adresu sídla. Na žiadosť odpovieme najneskôr do jedného mesiaca od jej doručenia. Ak by bola žiadosť zložitá, lehotu môžeme predĺžiť o ďalšie dva mesiace — o predĺžení a jeho dôvode vás upovedomíme.

Zodpovednú osobu (DPO) sme neurčili. Nespracúvame osobné údaje vo veľkom rozsahu ani osobitné kategórie údajov (zdravotné údaje, biometria a podobne) a nevykonávame systematické monitorovanie osôb.

2. Dve roly: kedy sme prevádzkovateľ a kedy sprostredkovateľ

Toto je najdôležitejšia časť celého dokumentu. Pri jednej a tej istej službe máme dve rôzne postavenia a od nich sa odvíja všetko ostatné — právne základy, doba uchovávania aj to, komu máte adresovať svoju žiadosť.

2.1 Sme prevádzkovateľ — pri údajoch o vás ako o zákazníkovi

Ak si u nás objednáte službu, spracúvame údaje o vás a o vašej firme: registračný e-mail, meno používateľa, fakturačné údaje, prihlasovacie údaje, IP adresy a záznamy o prihlásení. O týchto údajoch rozhodujeme my — určujeme, prečo a ako sa spracúvajú. V tejto časti sme prevádzkovateľ a tieto zásady sú vaším informovaním podľa článkov 13 a 14 nariadenia.

2.2 Sme sprostredkovateľ — pri údajoch, ktoré do denníka vložíte vy

Keď do denníka zadáte svojich zamestnancov, keď oni zapisujú teploty a sanitáciu, keď priložíte fotku odchýlky alebo nahráte svoj HACCP dokument, tieto údaje nie sú naše. Prevádzkovateľom je vaša firma. My ich len ukladáme, zobrazujeme a tlačíme do zostáv podľa vašich pokynov. V tejto časti sme sprostredkovateľ podľa článku 28 nariadenia.

Z toho vyplýva niekoľko praktických vecí:

1. Za zákonnosť zápisu údajov o zamestnancoch do denníka zodpovedáte vy. Vy určujete, kto sa tam dostane a v akom rozsahu.
2. Vy informujete svojich zamestnancov o tom, že ich mená sú v elektronickej HACCP evidencii.
3. Ak sa na nás obráti váš zamestnanec so žiadosťou o prístup alebo výmaz, sami mu jeho údaje nevydáme ani nezmažeme. Žiadosť bez zbytočného odkladu postúpime vám a pomôžeme vám ju technicky vybaviť.
4. Bez vášho pokynu s týmito údajmi nerobíme nič nad rámec prevádzky služby. Nepoužívame ich na vlastné účely, na marketing ani na vývoj.

Podmienky tohto sprostredkovateľského vzťahu — pokyny, mlčanlivosť, bezpečnosť, subdodávatelia, osud údajov po skončení zmluvy — upravuje spracovateľská zmluva podľa článku 28. Je súčasťou [DOPLNIŤ: obchodné podmienky alebo samostatná spracovateľská zmluva].

3. Údaje, pri ktorých sme prevádzkovateľ

3.1 Registrácia, účet a firma

Údaj	Poznámka
E-mail majiteľa	Povinný. Slúži ako prihlasovacie meno a na doručovanie prevádzkových správ.
Meno používateľa	Pri registrácii sa predvyplní z časti e-mailu pred zavináčom. Kedykoľvek ho môžete zmeniť.
Heslo	Ukladá sa výhradne ako nezvratný odtlačok (argon2id). Pôvodné heslo z neho nezistíme.
Názov firmy, IČO, DIČ, IČ DPH, právna forma, adresa, mesto, PSČ	Pri fyzickej osobe — podnikateľovi je názov firmy zároveň menom a priezviskom a adresa sídla býva adresou bydliska. Ide teda o osobný údaj, aj keď je verejne dostupný.
Dátum a čas súhlasu s podmienkami	Doklad o uzavretí zmluvy.
Súhlas s marketingom a čas jeho udelenia	Nepovinné. Bez tohto súhlasu službu používate v plnom rozsahu.
Overenie e-mailu, posledné prihlásenie	Časové pečiatky.

3.2 Prihlásenie a bezpečnosť

Údaj	Kde vzniká
IP adresa a označenie prehliadača (User-Agent)	Pri každom prihlásení sa ukladajú k relácii, k záznamu v audite a pri spárovanom tablete aj k zariadeniu.
Identifikátor relácie	Náhodných 64 znakov. Samotné údaje o prihlásení sú na našom serveri, nie v prehliadači.
Záznam o pokusoch o prihlásenie	Slúži na obmedzenie počtu pokusov. IP adresa je v ňom čitateľná, e-mail nikdy — z e-mailu sa ukladá len nezvratný odtlačok, takže tabuľka limitov nie je zoznamom skúšaných adries.
Audit prevádzky	Kto, kedy a čo urobil, z akej IP adresy a z akého prehliadača. Do auditu sa zámerne neukladajú e-maily — pri neúspešnom prihlásení sa uloží len dĺžka zadanej adresy.
Overovacie a resetovacie tokeny	V databáze len ako odtlačok, jednorazové, s krátkou platnosťou.

3.3 Objednávka a fakturácia

Pri objednávke balíčka odchádza na našu vlastnú schránku správa s názvom firmy, IČO, identifikátorom firmy v systéme, zvoleným balíčkom, menom prihláseného používateľa a e-mailom majiteľa. Aktiváciu balíčka robí u nás človek ručne; v systéme zostáva záznam o tom, kto a kedy predplatné aktivoval.

Platobné karty nespracúvame vôbec. Nemáme integrovanú žiadnu platobnú bránu a v systéme neexistuje miesto, ktoré by číslo karty vedelo prijať. Platí sa výhradne na faktúru prevodom.

3.4 Komunikácia

E-maily, ktoré vám posielame (overenie adresy, reset hesla, upozornenia, zostavy), sa ukladajú do frontu správ aj s textom správy a menom adresáta. Ak nám napíšete, spracúvame obsah vašej správy, aby sme na ňu vedeli odpovedať.

4. Údaje, pri ktorých sme sprostredkovateľ

Toto sú údaje, ktoré do systému vkladáte vy alebo vaši zamestnanci. Prevádzkovateľom je vaša firma.

Kategória	Konkrétne údaje
Zamestnanci	Meno, nepovinne e-mail, rola, farba avatara, dátum, do ktorého je účet platný (brigádnici), stav aktivity.
Prístupové PIN kódy	Štyri až šesť číslic. Ukladajú sa len ako nezvratný odtlačok (argon2id). PIN sa nikdy nedá spätne zobraziť — ani vám, ani nám. Ak ho zamestnanec zabudne, nastavuje sa nový.
Záznamy o teplotách a sanitácii	Meno zapisujúceho sa do záznamu ukladá natrvalo (denormalizuje). Je to nutné: keď zamestnanec o rok odíde, v zostave pre kontrolu musí zostať, kto meranie vykonal.
Odchýlky a nápravné opatrenia	Meno zapisujúceho a meno toho, kto odchýlku uzavrel, voľný text popisu a jednotlivých krokov, nepovinne fotka.
Storná	Meno osoby, ktorá záznam stornovala, a dôvod storna.
Kontrolné úlohy, položky menu, zostavy	Meno osoby, ktorá úlohu splnila, potvrdila položku alebo vyžiadala zostavu.
Nahraté dokumenty	Pôvodný názov súboru a jeho obsah — najčastejšie HACCP plán alebo prevádzkový poriadok. Tieto dokumenty spravidla obsahujú mená, funkcie a podpisy osôb.
Spárované tablety	Názov zariadenia, čas poslednej aktivity, posledná IP adresa a označenie prehliadača.

Dve veci stojí za to povedať priamo:

• Fotky zamestnancov systém neukladá vôbec. Nie je na ne miesto v databáze a nie je to opomenutie, ale rozhodnutie. Namiesto fotky má každý zamestnanec farbu a iniciály. Jediné fotografie v systéme sú tie, ktoré niekto sám priloží k odchýlke.
• Voľné textové polia (popis odchýlky, dôvod storna, dôvod „nedalo sa vykonať") sú evidencia, nie osobná zložka zamestnanca. Nepíšte do nich údaje o zdravotnom stave, rodinných pomeroch ani nič, čo do HACCP evidencie nepatrí.

5. Právne základy spracúvania

Účel	Právny základ	Poznámka
Zriadenie a vedenie účtu, poskytovanie služby, podpora, prevádzkové e-maily	Plnenie zmluvy — čl. 6 ods. 1 písm. b)	Bez týchto údajov službu poskytnúť nevieme.
Vystavenie a evidencia faktúr, účtovníctvo	Zákonná povinnosť — čl. 6 ods. 1 písm. c)	Zákon č. 431/2002 Z. z. o účtovníctve, zákon č. 222/2004 Z. z. o DPH.
Bezpečnosť služby: audit, obmedzenie počtu pokusov o prihlásenie a zadanie PIN, zaznamenanie IP adries, ochrana pred zneužitím účtu	Oprávnený záujem — čl. 6 ods. 1 písm. f)	Naším záujmom je ochrana účtov zákazníkov a integrity evidencie. Bez záznamu IP adresy sa útok na prihlasovanie nedá zastaviť. Rozsah držíme na minime: e-mail je v limitoch len ako odtlačok, heslá a PIN sa nedajú prečítať.
Overenie údajov firmy podľa IČO v registri právnických osôb	Oprávnený záujem — čl. 6 ods. 1 písm. f)	Aby ste fakturačné údaje nemuseli prepisovať ručne a aby boli správne.
Zasielanie marketingových a informačných e-mailov o službe	Súhlas — čl. 6 ods. 1 písm. a)	Udeľuje sa dobrovoľne pri registrácii, s časovou pečiatkou. Dá sa kedykoľvek odvolať a odvolanie nemá vplyv na používanie služby.
Uplatnenie alebo obrana právnych nárokov	Oprávnený záujem — čl. 6 ods. 1 písm. f)	Napríklad pri spore o zaplatenie.
Údaje vložené do denníka (zamestnanci, záznamy, dokumenty)	Spracúvame ich na základe pokynu zákazníka — čl. 28	Právny základ určuje zákazník ako prevádzkovateľ. Spravidla je ním jeho vlastná zákonná povinnosť viesť HACCP evidenciu.

6. Príjemcovia a subdodávatelia

Osobné údaje nepredávame, neprenajímame ani nevymieňame s nikým. Odovzdávame ich len tým, bez ktorých sa služba nedá prevádzkovať, a len v nevyhnutnom rozsahu.

6.1 Hosting

Aplikácia a databáza bežia u poskytovateľa serverovej infraštruktúry [DOPLNIŤ: obchodné meno hostingu], so sídlom [DOPLNIŤ: sídlo hostingu]. Servery sú umiestnené v [DOPLNIŤ: umiestnenie serverov]. Poskytovateľ má technický prístup k serveru, k obsahu údajov nepristupuje.

6.2 Poskytovateľ e-mailových služieb

Odchádzajúce správy odosielame cez poštový server [DOPLNIŤ: obchodné meno poskytovateľa e-mailu], so sídlom [DOPLNIŤ: sídlo poskytovateľa e-mailu]. Prechádza ním adresa príjemcu, meno adresáta, text správy, overovacie a resetovacie odkazy a prílohy vrátane zostáv, v ktorých sú mená zamestnancov.

6.3 Poskytovateľ jazykového modelu (AI import) — čítajte pozorne

Modul AI import (balíček PROFI a skúšobné obdobie) vám umožní nahrať existujúci HACCP plán alebo prevádzkový poriadok a nechať si z neho predvyplniť nastavenie prevádzky. Aby to bolo možné, obsah nahratého dokumentu sa odosiela poskytovateľovi jazykového modelu.

Používame práve jedného poskytovateľa. Aktuálne je to [DOPLNIŤ: nasadený poskytovateľ jazykového modelu]. Do úvahy prichádzajú:

• Google — služba Gemini, rozhranie generativelanguage.googleapis.com;
• Anthropic — služba Claude, rozhranie api.anthropic.com.

Čo sa presne odosiela:

• pri dokumente Word alebo PDF s textovou vrstvou — text dokumentu, po častiach;
• pri naskenovanom PDF bez textovej vrstvy — obrázok jednotlivých strán, teda aj podpisy a pečiatky, ak na nich sú;
• pri fotografii alebo obrázku — samotný obrázok.

Čo sa neodosiela: žiadne údaje z našej databázy. Neposielame identifikátor ani názov vašej firmy, mená vašich zamestnancov, e-mail, IP adresu ani reláciu. Pokyn pre model je pevný text, ktorý neobsahuje nič o vás. Ani porovnanie s vaším existujúcim nastavením sa modelu neposiela — prebieha až u nás po prijatí odpovede.

Dôležité upozornenie. Systém obsah dokumentu neanonymizuje ani nefiltruje — odosiela ho tak, ako ste ho nahrali. Slovenské HACCP plány pritom bežne obsahujú meno prevádzkovateľa, členov HACCP tímu, zodpovednej osoby, vedúceho prevádzky a ich podpisy. Pred nahratím preto zvážte, či v dokumente musia byť osobné údaje, ktoré tam nie sú potrebné, a prípadne ich odstráňte alebo začiernite.

Ďalšie záruky:

• Nič sa neodosiela na pozadí. Volanie modelu spustí výhradne váš vlastný úkon — nahratie súboru v module AI import.
• Ak modul nemáte v balíčku alebo nie je nakonfigurovaný prístupový kľúč, funkcia je nedostupná a neodosiela sa nič.
• Ak AI import nepoužijete, žiadne vaše údaje sa k poskytovateľovi modelu nikdy nedostanú.
• Podmienky, za akých poskytovateľ modelu odoslané údaje spracúva a ako dlho ich uchováva, upravuje zmluva o prístupe k jeho rozhraniu: [DOPLNIŤ: odkaz na podmienky poskytovateľa modelu].

6.4 Štatistický úrad Slovenskej republiky

Pri registrácii overujeme údaje firmy v registri právnických osôb. Odosielame výhradne osemmiestne IČO, nič iné. Register nám vráti názov, právnu formu a adresu. Ak register nie je dostupný, registrácia prebehne bez neho.

6.6 Účtovné, daňové a právne služby

Fakturačné údaje odovzdávame nášmu účtovníkovi: [DOPLNIŤ: účtovná kancelária]. V prípade sporu môžeme údaje odovzdať právnemu zástupcovi.

6.7 Orgány verejnej moci

Údaje odovzdáme orgánu verejnej moci len vtedy, ak nám to ukladá zákon (napríklad daňový úrad, súd, orgány činné v trestnom konaní). Takéto odovzdanie vždy posudzujeme jednotlivo a nikdy ho nerobíme nad rámec žiadosti.

6.8 Čo sa nedeje

• Žiadna analytika, žiadne meracie ani reklamné skripty. Ani na úvodnej stránke.
• Žiadna platobná brána — číslo karty sa systému nikdy nedotkne.
• Žiadna geolokácia, žiadne sledovanie polohy, žiadny odtlačok zariadenia, žiadna biometria.
• Okrem prípadov uvedených v bodoch 6.3 a 6.4 aplikácia neposiela údaje nikam mimo nášho servera.

7. Prenos do tretích krajín

Aplikácia aj databáza bežia v Európskej únii. Do tretej krajiny sa údaje dostávajú len v týchto prípadoch:

Prípad	Čo sa prenáša	Kedy	Čo prenos legitimizuje
Poskytovateľ jazykového modelu (bod 6.3)	Obsah nahratého dokumentu	Len pri vašom vlastnom použití AI importu	[DOPLNIŤ: štandardné zmluvné doložky alebo rozhodnutie o primeranosti podľa zmluvy s poskytovateľom]

Ak by v budúcnosti pribudol ďalší prenos mimo Európskeho hospodárskeho priestoru, doplníme ho do tejto tabuľky spolu so zárukou, ktorá ho kryje.

8. Doba uchovávania

Údaje držíme len tak dlho, ako to má dôvod. Konkrétne lehoty:

Údaj	Ako dlho
Účet, firma, fakturačné údaje	Počas trvania zmluvy a [DOPLNIŤ: lehota po skončení zmluvy].
HACCP záznamy (teploty, sanitácia, odchýlky, kontrolné úlohy)	Počas trvania zmluvy a [DOPLNIŤ: lehota po skončení zmluvy]. Dobu uchovávania týchto záznamov určuje zákazník ako prevádzkovateľ — vyplýva mu z povinnosti vedieť sa preukázať pri kontrole.
Nahraté súbory a fotky odchýlok	Rovnako dlho ako záznam, ku ktorému patria.
Podklady AI importu vrátane náhľadu textu dokumentu	[DOPLNIŤ: lehota]. Náhľad textu sa ukladá len pri chybe spracovania a je orezaný na 20 000 znakov.
Audit prevádzky (vrátane IP adries)	[DOPLNIŤ: lehota]. Audit je zároveň dôkazom pre vás a bezpečnostným záznamom pre nás.
Prihlásená relácia	Platnosť 30 dní od vytvorenia. Po odhlásení sa zneplatní okamžite.
Prístup spárovaného tabletu	Platnosť 2 roky (730 dní) alebo do odpojenia tabletu, podľa toho, čo nastane skôr. Párovací kód platí 15 minút.
Overovací odkaz k e-mailu / odkaz na obnovu hesla	Platnosť 48 hodín / 60 minút. Sú jednorazové a vydaním nového sa staršie zneplatnia.
Záznam o pokusoch o prihlásenie	Vyhodnocuje sa v okne od 60 sekúnd po 24 hodín podľa typu úkonu. Riadky sa z databázy odstraňujú pri pravidelnom upratovaní: [DOPLNIŤ: lehota].
Odoslané e-maily vrátane textu správy	[DOPLNIŤ: lehota].
Faktúry a účtovné doklady	10 rokov podľa zákona č. 431/2002 Z. z. o účtovníctve. Túto lehotu nevieme skrátiť ani na žiadosť.
Súhlas s marketingom a doklad o ňom	Do odvolania súhlasu; doklad o udelení a odvolaní si ponechávame [DOPLNIŤ: lehota] na preukázanie, že sme súhlas mali.

Uvedené lehoty pri reláciách, tokenoch a prístupe tabletu sú lehoty platnosti: po ich uplynutí sa údaj stáva nepoužiteľným — reláciou sa už nedá prihlásiť, odkaz už neotvorí formulár. Odstránenie samotných riadkov z databázy prebieha pri pravidelnom upratovaní podľa lehôt uvedených vyššie.

Dve veci, ktoré treba vedieť dopredu:

1. Záznamy v denníku sa neprepisujú a nemažú. Sú to dôkazy pre kontrolu a prepísaný dôkaz je bezcenný. Oprava chybného zápisu prebieha tak, že sa pôvodný riadok označí ako stornovaný a pridá sa nový. Pôvodný riadok zostáva v databáze a v zostave je prečiarknutý aj s dôvodom storna.
2. Zamknutý účet neznamená stratu údajov. Po skončení skúšobného obdobia alebo po neuhradení faktúry sa účet prepne do režimu čítania: prihlásite sa, vidíte celú evidenciu a export zostáv vám funguje ďalej. Neukladajú sa len nové zápisy. Údaje nikdy nedržíme ako páku — viesť HACCP evidenciu je vaša zákonná povinnosť, nie náš nástroj na vymáhanie.

9. Vaše práva

Ako dotknutá osoba máte podľa nariadenia tieto práva:

• Právo na prístup — dozvedieť sa, či o vás údaje spracúvame, a dostať ich kópiu.
• Právo na opravu — dať si opraviť nesprávny alebo doplniť neúplný údaj. Väčšinu údajov o účte si viete opraviť sami v nastaveniach.
• Právo na výmaz — dať si vymazať údaje, ak už na ich spracúvanie nie je dôvod.
• Právo na obmedzenie spracúvania — napríklad počas toho, ako preverujeme správnosť údaja.
• Právo na prenosnosť — dostať údaje, ktoré ste nám poskytli, v štruktúrovanom a bežne používanom formáte.
• Právo namietať proti spracúvaniu založenému na oprávnenom záujme. Ak namietnete, prestaneme, pokiaľ nepreukážeme nevyhnutné oprávnené dôvody, ktoré prevažujú.
• Právo odvolať súhlas — kedykoľvek a bez udania dôvodu, s účinkom do budúcnosti. Týka sa marketingových e-mailov.
• Právo podať sťažnosť dozornému orgánu.

9.1 Ako právo uplatniť

Napíšte na [DOPLNIŤ: kontaktný e-mail pre ochranu údajov] z adresy, ktorou ste v systéme registrovaní, alebo písomne na adresu sídla. Uveďte, o ktoré právo ide a čoho sa týka. Ak nebudeme vedieť, kto ste, môžeme si vyžiadať doplňujúce overenie — nechceme vydať údaje nesprávnej osobe. Vybavenie žiadosti je bezplatné; pri zjavne neopodstatnených alebo opakovaných žiadostiach môžeme účtovať primeraný poplatok alebo žiadosť odmietnuť.

9.2 Ak ste zamestnanec prevádzky, ktorá denník používa

Vaše meno je v denníku preto, lebo ho tam zadal váš zamestnávateľ. Prevádzkovateľom týchto údajov je on, nie my. So žiadosťou o prístup, opravu alebo výmaz sa preto obráťte na neho. Ak napíšete nám, žiadosť bez zbytočného odkladu postúpime jemu a poskytneme mu súčinnosť.

9.3 Čo vám vieme a čo nevieme poskytnúť — povedané rovno

1. V aplikácii nie je tlačidlo „zmazať účet". Deaktivácia používateľa znamená, že sa neprihlási — jeho meno však zostáva pri záznamoch, ktoré vykonal. Žiadosť o výmaz vybavujeme ručne. Vymazať vieme to, čo nie je dôkazom v evidencii a čo si nemusíme ponechať pre zákonnú povinnosť alebo pre právny nárok.
2. Mená pri jednotlivých záznamoch vymazať spravidla nemôžeme. Záznam bez údaja o tom, kto meranie vykonal, prestáva byť použiteľný ako dôkaz pri kontrole. Ide o výnimku z práva na výmaz podľa čl. 17 ods. 3 nariadenia. Rozhoduje o tom zákazník ako prevádzkovateľ, nie my.
3. Faktúry vymazať nevieme, kým neuplynie 10-ročná lehota podľa zákona o účtovníctve.
4. Prenosnosť: z aplikácie dnes vieme vydať evidenciu ako zostavu vo formáte PDF. PDF nie je strojovo čitateľný formát v zmysle čl. 20 nariadenia. Ak požiadate o strojovo čitateľný výstup, pripravíme ho ručne z databázy a odovzdáme vo formáte CSV alebo JSON.
5. Heslá a PIN kódy vydať nevieme. Sú uložené len ako nezvratné odtlačky. Neexistuje postup, ktorý by ich vrátil do čitateľnej podoby.

9.4 Dozorný orgán

Ak sa domnievate, že spracúvaním vašich údajov porušujeme nariadenie, môžete podať sťažnosť. Uvítame, ak sa najprv ozvete nám — väčšina vecí sa dá vyriešiť do niekoľkých dní.

Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, e-mail: statny.dozor@pdp.gov.sk, web: www.dataprotection.gov.sk.

10. Bezpečnosť

Uvádzame len opatrenia, ktoré sú skutočne nasadené.

• Heslá: argon2id (64 MiB pamäte, 3 prechody, 4 vlákna). Minimálne 10 znakov, čierna listina bežných hesiel, heslo nesmie obsahovať časť vášho e-mailu. Staré odtlačky sa pri prihlásení automaticky prehashujú na aktuálne nastavenie.
• PIN kódy: rovnaký argon2id ako pri heslách. Triviálne PIN-y sú odmietnuté. Opakované chybné zadanie zariadenie uzamkne a zapíše sa do auditu. Spätné zobrazenie PIN-u nie je možné žiadnou cestou.
• Prihlasovanie: obmedzenie počtu pokusov na IP adresu aj na účet. Odpoveď na neznámy e-mail trvá rovnako dlho ako na známy a znie rovnako, aby sa z formulára nedalo zisťovať, kto je zákazníkom. Ak sa niekto pokúsi zaregistrovať na už obsadenú adresu, upozornenie dostane skutočný majiteľ účtu.
• Relácie na serveri: v prehliadači je len náhodný identifikátor, nie údaje. „Odhlásiť všade" účinkuje okamžite a vykoná sa povinne po zmene hesla.
• Ochrana pred cudzím odoslaním formulára (CSRF): kontroluje sa plošne nad celou aplikáciou, nie po jednotlivých stránkach.
• Oddelenie firiem: príslušnosť k firme sa nikdy neberie z požiadavky, formulára ani z adresy — výhradne z prihlásenia. Každý objekt sa po načítaní overuje proti firme; ak nesedí, odpoveďou je „nenájdené" (nie „zakázané"), aby sa nedalo zisťovať, ktoré záznamy existujú. Dodržanie tohto pravidla kontroluje automatizovaný test pri každej zmene kódu.
• Nemenné záznamy: nad záznamovými tabuľkami je zmena aj zmazanie zablokované na úrovni prístupu k databáze. Časové pečiatky sú vždy serverové — nikdy sa nepreberá čas z tabletu, ktorý môže mať zle nastavené hodiny. Zápis so starším dátumom je označený ako spätný a je vidieť aj v zostave.
• Kontrolný súčet dní: každú noc sa počíta odtlačok denných záznamov, zreťazený s odtlačkom predchádzajúceho dňa; overenie vie pomenovať deň, v ktorom sa reťaz láme. Povedzme to presne, ako to je: nie je to dôkaz voči nám samým — kto ovláda server, vie prepočítať aj reťaz. Je to dôkaz voči tichej zmene údajov.
• Súbory: ukladajú sa mimo verejne dostupnej časti servera, pod náhodnými názvami a s obmedzenými právami. Typ súboru sa overuje podľa jeho obsahu, nie podľa prípony. Výdaj ide výhradne cez prihlásený prístup, ktorý overí vlastníka.
• Databáza: všetky dotazy sú parametrizované; názvy tabuliek a stĺpcov sa nikdy neskladajú z používateľského vstupu.
• Prístupové kľúče k službám tretích strán sú uložené len v konfigurácii servera. Nedajú sa nastaviť cez rozhranie, takže neležia v databáze ani v zálohách. Aplikácia sa v produkcii odmietne spustiť bez nastaveného tajného kľúča.
• Správcovská sekcia je mimo bežných používateľských účtov a bez výslovnej konfigurácie je úplne vypnutá.
• Prístup našich ľudí k údajom zákazníkov je obmedzený na nevyhnutnú prevádzku a podporu, a to na osoby viazané mlčanlivosťou.

Žiadne opatrenie nie je stopercentné. Ak by došlo k porušeniu ochrany údajov s rizikom pre práva osôb, oznámime ho dozornému orgánu do 72 hodín a pri vysokom riziku aj dotknutým osobám. Ak sa incident dotkne údajov, kde sme sprostredkovateľ, bez zbytočného odkladu o ňom upovedomíme zákazníka.

11. Cookies

Používame dve cookies a obe sú nevyhnutné na fungovanie prihlásenia. Nemáme žiadne analytické, štatistické ani marketingové cookies a nenastavujeme žiadnu cookie tretej strany. Preto vám ani nezobrazujeme lištu so súhlasom — nie je čo odsúhlasovať.

Meno	Účel	Obsah	Životnosť	Typ
hd_relacia	Udržanie prihlásenia a ochrana formulárov pred zneužitím (CSRF)	Len 64 náhodných znakov. Údaje o prihlásení sú na serveri, nie v cookie.	30 dní	Nevyhnutná, vlastná
hd_tablet	Rozpoznanie spárovaného tabletu v kuchyni, aby sa zamestnanci mohli prihlasovať PIN-om	Náhodný prístupový token zariadenia	2 roky (730 dní) alebo do odpojenia tabletu	Nevyhnutná, vlastná

Obe sú neprístupné pre skripty v stránke (HttpOnly), obmedzené na náš web (SameSite Lax) a v produkčnej prevádzke sa prenášajú len cez šifrované spojenie. Cookies si viete vymazať v nastaveniach prehliadača — potom sa budete musieť znovu prihlásiť a tablet znovu spárovať.

12. Automatizované rozhodovanie a profilovanie

Nerobíme automatizované rozhodovanie s právnym alebo podobne významným účinkom podľa čl. 22 nariadenia a nerobíme profilovanie.

Aby bolo jasné, čo tri veci v systéme, ktoré tak na prvý pohľad môžu vyzerať, v skutočnosti sú:

1. Semafor a denný stav prevádzky sa počítajú výhradne z vlastných záznamov prevádzky, zobrazujú sa iba jej samej a nehodnotia žiadnu osobu. Neposudzujú výkon zamestnancov a nemajú voči nikomu právny účinok.
2. Prepnutie účtu do režimu čítania po uplynutí skúšobného obdobia alebo po nezaplatení je plnenie zmluvy, nie hodnotenie osoby. Údaje zostávajú čitateľné a exportovateľné.
3. AI import iba navrhuje. Model z nahratého dokumentu vytvorí návrh nastavenia — zoznam zariadení, limitov, sanitačných úkonov — a ku každej položke pripojí, z ktorej strany dokumentu ju vzal. Návrh sa sám o sebe nikam neuloží. Do prevádzky sa zapíše až po tom, ako ho položku po položke skontroluje a potvrdí človek — majiteľ účtu. Ten ho môže upraviť alebo zahodiť celý.

13. Zmeny týchto zásad

Zásady môžeme meniť, ak sa zmení služba, subdodávateľ alebo právna úprava. Vždy zverejníme novú verziu s dátumom účinnosti na haccp.bizpilot.sk. O podstatnej zmene — najmä o novom príjemcovi údajov, novom účele spracúvania alebo novom prenose do tretej krajiny — vás vopred upovedomíme e-mailom na adresu majiteľa účtu, a to najmenej [DOPLNIŤ: lehota upovedomenia] pred nadobudnutím jej účinnosti.

Staršie verzie zásad archivujeme a na požiadanie vám ktorúkoľvek z nich pošleme.