Zásady ochrany osobných údajov

1. Rozsah a kategórie spracúvaných osobných údajov

Naša platforma spracúva osobné údaje v rôznom rozsahu v závislosti od toho, akú rolu v rámci aplikácie zastávate a aké funkcie aktívne využívate. Bez poskytnutia nižšie uvedených údajov nie je možné technicky ani právne zabezpečiť plnenie zmluvného vzťahu a poskytovanie našich služieb.

A. Spoločné údaje pre všetkých registrovaných používateľov (Odosielatelia aj Šoféri):

• E-mailová adresa: Slúži ako jedinečný identifikátor používateľa (login), na účely jednoznačnej autentifikácie pri prihlasovaní, na zasielanie dôležitých prevádzkových a technických informácií o aplikácii a na primárnu komunikáciu medzi prevádzkovateľom a používateľom.
• Telefónne číslo: Nevyhnutný kontaktný údaj, ktorý slúži na zabezpečenie okamžitej koordinácie a overenia detailov medzi Odosielateľom, Šoférom a Príjemcom zásielky počas aktívneho doručovacieho procesu.
• Geolokačné údaje a poloha zariadenia: U Odosielateľa spracúvame GPS / súradnice adries pri vytváraní objednávky (miesto vyzdvihnutia a doručenia). U Šoféra spracúvame polohu v reálnom čase počas aktívnej prepravy (stav objednávky accepted, picked_up a in_transit), ako aj pri potvrdení doručenia a vybraných funkciách (napr. rýchly štart, plánovaná trasa). Live poloha umožňuje Odosielateľovi sledovať priebeh prepravy na mape.
• FCM token (Firebase Cloud Messaging): Unikátny technický identifikátor priradený vášmu zariadeniu, ktorý umožňuje okamžité generovanie a doručovanie push notifikácií o zmenách stavu objednávky, priradení prepravy či systémových správach.
• Správy z interného chatu: Textový obsah komunikácie medzi Odosielateľom a Šoférom v rámci aktívnej objednávky (upresnenie miesta stretnutia, času a detailov prepravy), uložený v databáze objednávky.
• Údaje o Príjemcovi zásielky (tretia osoba): Meno a telefónne číslo Príjemcu, ktoré zadáva Odosielateľ pri vytváraní objednávky. Tieto údaje sú potrebné na doručenie a overenie prevzatia (PIN). Odosielateľ je povinný mať právny základ na poskytnutie údajov Príjemcu (napr. súhlas alebo zmluvný vzťah s Príjemcom).

B. Automaticky zbierané technické údaje a sieťové identifikátory:

• IP adresa a sieťové logy: Zaznamenávanie sieťovej adresy priradenej vášmu zariadeniu pri každom prístupe k našim serverom za účelom zaistenia kybernetickej bezpečnosti, odhaľovania podvodného správania a prevencie DDoS útokov.
• Unikátny identifikátor zariadenia (Device ID / Installation ID): Technický kód hardvéru a inštalácie aplikácie slúžiaci na párovanie účtu so zariadením, prevenciu opakovaných registrácií a odhaľovanie podvodov.
• Metadáta operačného systému a aplikácie: Údaje o type a verzii operačného systému (Android/iOS), modeli zariadenia a verzii aplikácie Talobox na účely technickej optimalizácie, force-update a diagnostiky chýb.
• Firebase Analytics: Telemetria používania aplikácie (udalosti, obrazovky) na zlepšovanie produktu a stability.
• Firebase Crashlytics: Technické reporty o pádoch a chybách aplikácie, ktoré môžu obsahovať identifikátor používateľa (uid) a diagnostické metadáta zariadenia na opravu chýb.
• Firebase App Check: Technické overenie integrity aplikácie / zariadenia (napr. Play Integrity, App Attest) pred volaním citlivých serverových funkcií, s cieľom zabrániť zneužitiu API.

C. Osobitné a dodatočné kategórie údajov spracúvané výhradne u Šoférov (Kuriérov):

• Meno, priezvisko a akademický titul: Základné identifikačné údaje potrebné na tvorbu zmluvných vzťahov, fakturačných podkladov a jednoznačnú identifikáciu osoby.
• Overenie totožnosti (KYC) cez Stripe: Noví Šoféri absolvujú overenie identity v procese registrácie „Stať sa šoférom“ prostredníctvom Stripe Connect. Stripe (ako samostatný prevádzkovateľ / poskytovateľ platobných služieb) overuje doklad totožnosti (typicky občiansky preukaz alebo cestovný pas) a súvisiace údaje potrebné na vyplácanie. Prevádzkovateľ Taloboxu neukladá skeny občianskeho preukazu vo vlastnej databáze; stav overenia (napr. charges enabled) eviduje v profile Šoféra.
• Údaje zadané v profile Šoféra v aplikácii: Napr. číslo dokladu (ak sa vyžaduje v formulári), ŠPZ, údaje o vozidle a voliteľný IBAN – na identifikáciu voči Odosielateľovi a na internú správu profilu. Bankové údaje na výplaty sa primárne spracúvajú v Stripe Connect.
• Štátna poznávacia značka (ŠPZ), značka, model a farba vozidla: Technické parametre motorového vozidla, ktoré sa zobrazujú Odosielateľovi, aby dokázal bezpečne rozpoznať prichádzajúceho Šoféra.
• Fotodokumentácia stavu zásielky (vizuálne záznamy): Fotografie vyhotovené Šoférom priamo cez rozhranie aplikácie Talobox v momente fyzického prevzatia balíka od Odosielateľa a následne v momente odovzdania Príjemcovi. Tieto záznamy slúžia ako dôkaz o stave tovaru pre reklamácie a riešenie sporov.

2. Konkrétne a legitímne účely spracúvania osobných údajov

Prevádzkovateľ striktne dodržiava zásadu minimalizácie údajov. Vaše osobné údaje sú spracúvané výhradne na nasledujúce legitímne účely:

• Poskytovanie služieb platformy a sprostredkovanie prepravy: Registrácia používateľského profilu, párovanie dopytu Odosielateľov s ponukou Šoférov v reálnom čase, správa objednávok a celková technická prevádzka infraštruktúry Talobox.
• Overovanie totožnosti a bezpečnosť komunity (KYC): Overenie identity nových Šoférov v procese „Stať sa šoférom“ cez Stripe Connect (vrátane overenia občianskeho preukazu / dokladu totožnosti na strane Stripe) a schvaľovanie prístupu k vyplácaniu s cieľom minimalizovať riziká spojené s prepravou.
• Spracovanie platieb a clearing: Bezpečné procesovanie kartových transakcií na strane Odosielateľa, zadržanie prostriedkov v depozite a následná distribúcia a vyplácanie čistých finančných odmien na IBAN účty Šoférov prostredníctvom integrovanej platobnej brány.
• Zasielanie systémových správ a prevádzková komunikácia: Odosielanie push notifikácií, SMS správ alebo e-mailov týkajúcich sa okamžitého stavu prepravy (napr. "Šofér prevzal balík", "Zásielka bola doručená"), ako aj technických oznámení o plánovanej údržbe či bezpečnostných rizikách.
• Riešenie sporov, arbitráž a reklamačné konania: Posudzovanie podnetov od používateľov v prípade nedoručenia, poškodenia, straty alebo odcudzenia zásielky, kde sa ako hlavný dôkazový materiál využívajú systémové logy, GPS trasy a nahratá fotodokumentácia.
• Plnenie prísnych legislatívnych a daňových povinností (DAC7 a účtovníctvo): Zhromažďovanie, evidencia a automatické reportovanie finančných príjmov a identifikačných údajov Šoférov príslušným daňovým orgánom v zmysle európskej smernice DAC7 o digitálnych platformách, ako aj riadne vedenie účtovníctva a daňovej evidencie mtech global s. r. o.
• Obrana právnych nárokov a prevencia kriminality: Detekcia podvodov (napr. fiktívne jazdy, zneužívanie platobných kariet), zabezpečenie dôkazov pre prípadné civilné súdne spory, exekučné konania alebo trestné stíhania.

3. Právne základy, na ktorých je spracúvanie založené

Každá operácia spracúvania vašich osobných údajov je legislatívne podložená a realizuje sa výhradne v súlade s článkom 6 GDPR. Využívame tieto právne základy:

• Plnenie zmluvy podľa čl. 6 ods. 1 písm. b) GDPR: Spracúvanie je nevyhnutné na to, aby sme vôbec dokázali splniť to, k čomu sme sa zaviazali v Obchodných podmienkach (VOP) – t.j. vytvoriť vám účet, umožniť vám zadať dopyt po preprave, spárovať vás so šoférom a bezpečne zrealizovať doručenie balíka.
• Plnenie zákonnej povinnosti podľa čl. 6 ods. 1 písm. c) GDPR: Prevádzkovateľ je viazaný legislatívou Slovenskej republiky a EÚ. Spracúvanie údajov o platbách, fakturácii a príjmoch operátorov v zdieľanej ekonomike (smernica DAC7) nám priamo ukladá zákon o medzinárodnej pomoci pri správe daní a zákon o účtovníctve.
• Oprávnený záujem prevádzkovateľa alebo tretích strán podľa čl. 6 ods. 1 písm. f) GDPR: Spracúvanie dát na účely zachovania kybernetickej bezpečnosti, ochrany majetku odosielateľov, prevencie závažných podvodov, technického monitoringu chýb aplikácie a obhajoby našich legitímnych právnych nárokov pred súdmi.
• Súhlas dotknutej osoby podľa čl. 6 ods. 1 písm. a) GDPR: Využíva sa dobrovoľne udelený súhlas v špecifických situáciách, napríklad ak by sme sa rozhodli zasielať marketingové ponuky nesúvisiace priamo s prevádzkou Taloboxu. Tento súhlas môžete kedykoľvek bezplatne odvolať.

4. Príjemcovia údajov a kategórie tretích strán

Vaše osobné údaje sú v maximálnej možnej miere držané v bezpečí. V rámci zachovania funkčného ekosystému aplikácie a doručenia zásielky však dochádza k nevyhnutnému zdieľaniu obmedzeného rozsahu dát s nasledujúcimi subjektmi:

• Vzájomné zdieľanie medzi Používateľmi (Zmluvné strany): Po prijatí objednávky Šofér vidí meno Odosielateľa, telefónne číslo, adresu vyzdvihnutia a adresu odovzdania balíka, vrátane mena a telefónu Príjemcu. Odosielateľ naopak vidí meno Šoféra, jeho hodnotenie a parametre vozidla (vrátane ŠPZ) a počas prepravy môže sledovať live polohu. Obaja účastníci môžu používať interný chat v rámci objednávky.
• Stripe Payments Europe, Limited / Stripe Connect: Platobná brána s certifikáciou PCI DSS. Stripe spracúva údaje o platobných kartách, Apple Pay / Google Pay a pri Šoféroch aj KYC overenie totožnosti (občiansky preukaz / pas) a údaje potrebné na výplaty (vrátane bankového účtu). Prevádzkovateľ Taloboxu nikdy nevidí a neukladá kompletné čísla platobných kariet.
• Google Ireland Limited (Firebase, Google Cloud, Google Maps Platform): Cloudový hosting, databáza, autentifikácia, Storage, Cloud Functions, FCM, Analytics, Crashlytics, App Check, ako aj mapové a adresné služby (Maps, Places, Geocoding, Directions). Primárne spracúvanie prebieha v EÚ; niektoré podporné spracúvania môžu zahŕňať prenos mimo EHP – pozri časť 4a.
• Externí subdodávatelia a odborní poradcovia: Spoločnosti zabezpečujúce pre mtech global s. r. o. služby externého účtovníctva, právneho poradenstva, auditu alebo technického IT supportu, pričom všetci títo partneri sú viazaní mlčanlivosťou a zmluvami o spracúvaní osobných údajov (DPA).
• Štátne orgány a inštitúcie: Finančná správa SR (v súvislosti s DAC7 reportingom), súdy, Úrad na ochranu osobných údajov SR, alebo Orgány činné v trestnom konaní (Polícia SR, prokuratúra) na základe oficiálnej, zákonnej a odôvodnenej žiadosti.

4a. Prenosy osobných údajov mimo Európskeho hospodárskeho priestoru

Prevádzkovateľ preferuje uchovávanie a spracúvanie dát v EÚ. Niektorí poskytovatelia (najmä Google / Firebase a Stripe) môžu v rámci globálnej infraštruktúry prenášať osobné údaje aj do tretích krajín (napr. USA). Takéto prenosy sa uskutočňujú výhradne pri zachovaní primeraných záruk podľa GDPR, najmä prostredníctvom štandardných zmluvných doložiek Európskej komisie (SCC), prípadne iného platného mechanizmu (napr. rozhodnutie o primeranosti / Data Privacy Framework, ak je aplikovateľné). Podrobnosti o prenostoch u konkrétnych poskytovateľov sú uvedené v ich vlastných zásadách ochrany osobných údajov.

5. Doba uchovávania osobných údajov

Prevádzkovateľ uchováva vaše osobné údaje len po dobu nevyhnutne potrebnú na dosiahnutie účelov, na ktoré boli zhromaždené, alebo po dobu vyžadovanú príslušnými právnymi predpismi Slovenskej republiky. Kritériá pre určenie doby uchovávania sú striktne nastavené nasledovne:

• Údaje aktívneho používateľského účtu: Všetky identifikačné, kontaktné a profilové údaje sú spracúvané a uchovávané po celú dobu existencie vášho zmluvného vzťahu s platformou, t.j. počas aktívneho využívania aplikácie Talobox až do momentu, kedy nepožiadate o zrušenie a vymazanie vášho účtu.
• Transakčné, finančné a účtovné záznamy: Údaje o zrealizovaných objednávkach, prepravách, fakturačných údajoch, platbách a vyplatených odmenách sme povinní uchovávať v zmysle zákona č. 431/2002 Z. z. o účtovníctve v spojení s daňovými predpismi SR po dobu 10 rokov od konca účtovného roka, v ktorom transakcia prebehla. Tieto údaje nie je možné vymazať skôr, a to ani na základe žiadosti o zrušenie účtu.
• Údaje na účely smernice DAC7: Informácie zhromažďované o Šoféroch na účely plnenia povinností v oblasti medzinárodnej pomoci pri správe daní sú uchovávané v súlade s daňovými predpismi po dobu vyžadovanú na kontrolu zo strany štátnych orgánov, spravidla po dobu 10 rokov.
• Fotodokumentácia stavu zásielok: Vizuálne záznamy vyhotovené Šoférom pri prevzatí a odovzdaní balíka sú v systéme uchovávané po dobu 6 mesiacov od úspešného doručenia zásielky. Táto lehota je určená s ohľadom na premlčacie doby pre uplatnenie nárokov na náhradu škody v zmysle Obchodného zákonníka a na definitívne uzavretie prípadných reklamácií.
• Prevádzkové logy a IP adresy: Technické sieťové záznamy a bezpečnosťou podmienené logy sú uchovávané po dobu 12 mesiacov od ich vzniku na účely spätnej analýzy kybernetických incidentov a ochrany serverovej infraštruktúry.

6. Vaše garantované práva ako dotknutej osoby

Ako dotknutá osoba máte v zmysle nariadenia GDPR širokú škálu práv, ktoré si môžete voči Prevádzkovateľovi kedykoľvek bezplatne uplatniť. Na základe vašej žiadosti vám poskytneme súčinnosť a informácie o prijatých opatreniach bezodkladne, najneskôr však do 30 dní od doručenia žiadosti. Vaše práva zahŕňajú:

• Právo na prístup k údajom (čl. 15 GDPR): Máte právo požadovať od nás potvrdenie o tom, či spracúvame vaše osobné údaje, a ak áno, máte právo získať prístup k týmto údajom a podrobné informácie o spôsobe ich spracúvania, účele a príjemcoch.
• Právo na opravu údajov (čl. 16 GDPR): Ak zistíte, že vaše osobné údaje evidované v aplikácii Talobox sú nepresné, neúplné alebo zastarané, máte právo požadovať ich okamžitú nápravu, opravu alebo doplnenie.
• Právo na výmaz / Právo byť zabudnutý (čl. 17 GDPR): Máte právo požadovať, aby sme bezodkladne vymazali vaše osobné údaje, pokiaľ už nie sú potrebné na účely, na ktoré sa získavali, ak odvoláte svoj súhlas, alebo ak namietate voči spracúvaniu na základe oprávneného záujmu a neexistujú žiadne prevažujúce zákonné dôvody na ich ďalšie uchovávanie.
• Právo na obmedzenie spracúvania (čl. 18 GDPR): Máte právo požadovať, aby sme obmedzili spracúvanie vašich dát (t.j. údaje len uchovávali, ale aktívne s nimi nepracovali), napríklad počas doby, kedy namietate správnosť údajov, alebo ak je spracúvanie protizákonné, ale odmietate ich úplný výmaz.
• Právo na prenosnosť údajov (čl. 20 GDPR): Máte právo získať svoje osobné údaje, ktoré ste nám poskytli, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (napr. JSON), a máte právo preniesť tieto údaje inému prevádzkovateľovi, ak sa spracúvanie zakladá na zmluve alebo súhlase.
• Právo namietať (čl. 21 GDPR): Máte právo kedykoľvek namietať z dôvodov týkajúcich sa vašej konkrétnej situácie proti spracúvaniu vašich osobných údajov, ktoré je vykonávané na základe nášho oprávneného záujmu (čl. 6 ods. 1 písm. f) GDPR). V takom prípade údaje nesmieme ďalej spracúvať, pokiaľ nepreukážeme nevyhnutné oprávnené dôvody, ktoré prevažujú nad vašimi záujmami a právami.
• Právo odvolať súhlas (čl. 7 ods. 3 GDPR): V prípadoch, kde spracúvame vaše údaje výhradne na základe vami udeleného dobrovoľného súhlasu, máte právo tento súhlas kedykoľvek odvolať, a to rovnako jednoduchým spôsobom, akým bol udelený. Odvolanie nemá vplyv na zákonnosť spracúvania pred jeho odvolaním.

7. Postup pri uplatňovaní práv dotknutej osoby

Všetky vaše vyššie uvedené práva môžete uplatniť oficiálnou elektronickou formou zaslaním podrobnej žiadosti na našu vyhradenú e-mailovú adresu pre oblasť ochrany súkromia: gdpr@talobox.com. Vaša žiadosť musí obsahovať identifikačné údaje (e-mail spojený s účtom), aby sme mohli spoľahlivo overiť vašu totožnosť a zamedziť neoprávnenému prístupu k vašim dátam zo strany tretích osôb. V prípade, ak na vašu žiadosť neodpovieme v zákonom stanovenej lehote 30 dní, alebo sa domnievate, že s vašimi údajmi zaobchádzame v rozpore s nariadením GDPR, máte právo podať oficiálnu sťažnosť alebo návrh na začatie konania na Dozorný orgán, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky (so sídlom Hraničná 12, 820 07 Bratislava 27, web: dataprotection.gov.sk).

7a. Automatizované a skoršie vymazanie údajov priamo v aplikácii

Prevádzkovateľ implementoval do rozhrania aplikácie funkciu pre priamu správu a likvidáciu používateľského konta. Ak sa rozhodnete ukončiť používanie platformy, môžete tak urobiť v sekcii Profil → Zmazať účet (GDPR). Po potvrdení tejto voľby dôjde k zablokovaniu / anonymizácii vášho profilu podľa nastavenia serverovej funkcie deleteAccount. Vezmite prosím na vedomie, že osobné údaje a dáta, ktoré podliehajú zákonným archivačným povinnostiam (transakčné záznamy o doručení, daňové výkazy, hlásenia DAC7 a pod.), nebudú na základe tohto kroku úplne vymazané a zostanú uložené v oddelenom / obmedzenom režime až do uplynutia príslušnej zákonnej lehoty (spravidla 10 rokov), pričom prístup k nim bude prísne obmedzený. Mazanie nie je možné, ak máte aktívnu objednávku.

8. Technické, organizačné a bezpečnostné opatrenia

Ochrana vašich dát je našou najvyššou prioritou. Prevádzkovateľ mtech global s. r. o. vyhlasuje, že implementoval všetky moderné technické a organizačné bezpečnostné opatrenia s cieľom zabezpečiť integritu, dôvernosť a dostupnosť spracúvaných údajov:

• Šifrovanie prenosu: Všetka sieťová komunikácia medzi aplikáciou Talobox vo vašom smartfóne a našou cloudovou infraštruktúrou prebieha výhradne prostredníctvom bezpečne šifrovaného protokolu HTTPS s využitím moderných šifier TLS/SSL.
• Riadenie prístupu a autorizácia: Prístup k databázam na platforme Firebase / Google Cloud je striktne obmedzený a riadený prostredníctvom komplexných pravidiel (Firebase Security Rules). Každý dopyt na dáta je overovaný autentifikačným tokenom. Bežný Šofér nikdy nemá prístup k citlivým dátam iných Šoférov.
• Separácia citlivých údajov: Najcitlivejšie údaje súvisiace s KYC a výplatami Šoférov spracúva predovšetkým Stripe Connect. Údaje v profile Šoféra v aplikácii (napr. ŠPZ, voliteľný IBAN) sú prístupné podľa Firebase Security Rules len oprávneným subjektom.
• Absolútna bezpečnosť platieb: Spracovanie platieb kartou a bankových clearingov je v plnom rozsahu prenesené na stranu globálneho spracovateľa Stripe. Infraštruktúra platformy Talobox nespracúva, neukladá a nemá žiadny prístup k plným číslam platobných kariet ani k CVC/CVV kódom. Celý proces podlieha najprísnejšiemu bezpečnostnému štandardu PCI DSS Level 1.

9. Ochrana súkromia osôb mladších ako 16 rokov

Mobilná aplikácia a služby platformy Talobox sú zamerané a určené výhradne plnoletým fyzickým osobám, resp. osobám, ktoré dosiahli vek minimálne 16 rokov. Prevádzkovateľ zámerne a vedome nezhromažďuje, nespracúva ani neeviduje osobné údaje od osôb mladších ako 16 rokov. Ak v rámci našej monitorovacej činnosti zistíme, že došlo k registrácii účtu osobou mladšou ako 16 rokov bez preukázateľného súhlasu jej zákonného zástupcu, takýto účet vrátane všetkých pridružených údajov bezodkladne a bez akéhokoľvek upozornenia vymažeme z našich systémov.

10. Jednostranné zmeny a aktualizácia zásad

Prevádzkovateľ si vyhradzuje plné právo tieto Zásady ochrany osobných údajov kedykoľvek jednostranne upraviť, doplniť alebo zmeniť, a to najmä s ohľadom na implementáciu nových funkcií aplikácie, legislatívne zmeny v oblasti ochrany súkromia alebo úpravu zmluvných vzťahov s externými subdodávateľmi. O každej podstatnej a legislatívne významnej zmene týchto zásad budú všetci registrovaní používatelia vopred transparentne informovaní, a to formou push notifikácie priamo v rozhraní aplikácie Talobox, systémovým e-mailom alebo zobrazením povinnej informačnej obrazovky pri najbližšom spustení aplikácie. Ak po nadobudnutí účinnosti aktualizovaného znenia zásad pokračujete v aktívnom používaní aplikácie a našich služieb, má sa za to, že ste sa s novým znením zásad oboznámili a beriete ich na vedomie.

11. Kontaktné údaje a dozor

V prípade akýchkoľvek otázok, nejasností, pripomienok k spracúvaniu vašich dát alebo v prípade záujmu o uplatnenie vašich práv dotknutej osoby nás môžete kedykoľvek kontaktovať prostredníctvom nasledujúcich komunikačných kanálov:

Názov spoločnosti: mtech global s. r. o.
Sídlo spoločnosti: J. Alexyho 2704/10, 955 03 Topoľčany
IČO: 57635544
DIČ: 2122862841
Obchodný register: Okresný súd Nitra, oddiel: Sro, vložka č.: 69769/N
E-mailová adresa: gdpr@talobox.com

Príslušný štátny dozorný orgán pre Slovenskú republiku:
Úrad na ochranu osobných údajov SR
Hraničná 12, 820 07 Bratislava 27
Slovenská republika
Webové sídlo: www.dataprotection.gov.sk