ZÁSADY OCHRANY OSOBNÝCH ÚDAJOV

ČLÁNOK 1 – PREVÁDZKOVATEĽ A KONTAKT

1.1 Prevádzkovateľ

Prevádzkovateľom osobných údajov v zmysle GDPR je:

NidBo prevádzkuje digitálnu platformu dostupnú na adrese app.nidbo.com a v príslušných mobilných aplikáciách (ďalej len „Platforma“). Pri sprostredkovaní pôžičiek vystupuje NidBo s.r.o. ako sprostredkovateľ a prevádzkovateľ Platformy; veriteľom (poskytovateľom pôžičky) je Firma (Zamestnávateľ).

1.2 Kontakt pre ochranu osobných údajov

Vo všetkých záležitostiach týkajúcich sa spracúvania osobných údajov a uplatnenia práv dotknutej osoby nás môžete kontaktovať na:

ČLÁNOK 2 – KATEGÓRIE SPRACÚVANÝCH OSOBNÝCH ÚDAJOV

NidBo spracúva nasledujúce kategórie osobných údajov:

2.1 Identifikačné a kontaktné údaje

Meno, priezvisko, e-mailová adresa, telefónne číslo (v medzinárodnom formáte), prípadne pohlavie, jazyk a časové pásmo. Voliteľne dátum narodenia a adresa trvalého bydliska.

2.2 Autentifikačné údaje

Heslá výhradne v hashovanej (zabezpečenej) forme, prihlasovacie tokeny (vrátane OAuth tokenov pri prihlásení cez Google, Facebook alebo LinkedIn), jednorazové overovacie kódy (SMS OTP) a údaje o overení vlastníctva e-mailu a telefónneho čísla.

2.3 Údaje z mzdového / HR systému Firmy

Ak ich Firma zo svojho mzdového alebo personálneho systému (napr. Kros Olymp, Money S3, Pohoda) poskytne na spárovanie záznamu Zamestnanca, môžu byť spracúvané: rodné číslo, miesto trvalého a prechodného pobytu, miesto narodenia, národnosť, štátna príslušnosť, rodinný stav, vzdelanie a tituly, oddelenie a dátum nástupu. Rozsah skutočne synchronizovaných polí závisí od mzdového/HR systému Firmy a synchronizačného agenta.

2.4 Externý a zamestnanecký identifikátor

Externý identifikátor (externalId – osobné číslo z mzdového/HR systému), variabilný symbol, údaje pre výpočet zrážok (čistá mzda, počet vyživovaných osôb, existujúce zrážky), údaje o zamestnaní (pozícia, typ mzdy, priemerný zárobok, koniec pracovného pomeru, posledné mzdové obdobie), príznaky zamestnanca (systémové štítky a kategórie), rola a dátumy nástupu/ukončenia.

2.5 Bankové údaje

Číslo bankového účtu (IBAN) Zamestnanca a údaje o platbách (zdrojový a cieľový IBAN a názov účtu, identifikátor platby, variabilný/konštantný/špecifický symbol).

2.6 Údaje o pôžičkách

Výška pôžičky, úroková sadzba, poplatky za spracovanie, mesačná splátka, aktuálny dlh, celkovo zaplatené, doba splatnosti, rizikové príznaky (napr. vysoká suma, opakovaný žiadateľ, krátke zamestnanie, nízka mzda, predchádzajúce zlyhanie), poznámky k schvaľovaniu a história splácania.

2.7 Zrážky zo mzdy a transakcie

Záznamy o transakciách (suma, spôsob platby: mzdový systém, bankový prevod, platobná karta, hotovosť, interný prevod, IBAN, variabilný symbol) a mesačné exporty mzdových zrážok pre Firmu.

2.8 Technické údaje, auditný záznam a IP adresy

IP adresa, informácie o prehliadači, operačnom systéme a zariadení, časy a história prihlásení, IP pri registrácii a poslednom prihlásení. Auditný záznam (záznam akcií: identifikátor používateľa a firmy, vykonaná akcia, pôvodné a nové hodnoty, IP adresa, informácie o prehliadači a zariadení). Údaje o obnove prístupu (pôvodné a nové telefónne číslo, overenie identity).

2.9 Elektronické podpisy a zmluvné dokumenty

Podpísané PDF dokumenty (zmluvy a prílohy), údaj o tom, kde sa podpisovalo (SMS/e-mail), bezpečnostný hash, identifikátor dokumentu na platforme elektronického podpisovania (Documenso) a snímka metadát (meno, e-mail, názov firmy v čase podpisu), splátkový kalendár.

2.10 Notifikácie

Údaje pre push notifikácie (token pre push notifikácie, informácie o zariadení) a notifikácie v aplikácii (titulok, obsah).

2.11 Súhlasy a marketing

Čas súhlasu s VOP, súhlas s marketingom, zdroj registrácie (marketingSource vrátane identifikátora Google Analytics) a nastavenia preferencií a notifikácií.

2.12 Údaje z verejných kalkulačiek (lead)

Pri použití verejnej kalkulačky pôžičky alebo cenovej kalkulačky: e-mail (povinný), voliteľne meno/názov firmy a telefón, parametre výpočtu a údaje o atribúcii návštevy (UTM parametre, referral, vstupná stránka). Kalkulačka zrážok neukladá žiadne kontaktné údaje – spracúva len anonymné finančné vstupy.

ČLÁNOK 3 – ÚČELY A PRÁVNE ZÁKLADY SPRACÚVANIA

3.1 Poznámka k súhlasu

V prípade Zamestnancov zabezpečuje preukázateľný súhlas so spracúvaním osobných údajov a so zrážkami zo mzdy Firma (zamestnávateľ) na základe svojich povinností z Rámcovej zmluvy. Súhlas so zasielaním SMS a so spracúvaním nepovinných údajov vyjadruje Používateľ pri registrácii na Platforme. Udelený súhlas je možné kedykoľvek odvolať (čl. 6 týchto Zásad), čím nie je dotknutá zákonnosť spracúvania pred jeho odvolaním.

3.2 Dôležité notifikácie

Niektoré notifikácie (schválenie/zamietnutie žiadosti, vyplatenie pôžičky, upomienka pred splatnosťou, penalizácia) sú pre Používateľa obzvlášť dôležité. Tieto notifikácie sú vždy doručené ako notifikácia v aplikácii (zvonček). Doručenie cez ďalšie kanály (e-mail, push notifikácia, SMS) si Používateľ môže prispôsobiť v nastaveniach Platformy.

3.3 Poskytnutie údajov ako zmluvná a zákonná požiadavka

Poskytnutie identifikačných, kontaktných, zamestnaneckých, bankových a finančných údajov potrebných na vytvorenie účtu a na poskytnutie a správu Pôžičky je zmluvnou požiadavkou, prípadne požiadavkou vyplývajúcou zo zákona (najmä účtovné a AML predpisy). Bez ich poskytnutia nie je možné uzatvoriť zmluvný vzťah, poskytnúť Pôžičku ani realizovať zrážky zo mzdy. Poskytnutie nepovinných údajov a údajov spracúvaných na základe súhlasu je dobrovoľné.

ČLÁNOK 4 – PRÍJEMCOVIA A SPROSTREDKOVATELIA

NidBo poskytuje osobné údaje príjemcom a sprostredkovateľom výlučne v rozsahu nevyhnutnom pre daný účel. Podrobný prehľad všetkých sprostredkovateľov, poskytovateľov služieb a ďalších príjemcov je uvedený v samostatnom dokumente:

ČLÁNOK 5 – DOBY UCHOVÁVANIA

ČLÁNOK 6 – PRÁVA DOTKNUTEJ OSOBY

Ako dotknutá osoba máte podľa GDPR nasledujúce práva:

• Právo na prístup – kedykoľvek požiadať o informáciu o spracúvaní a o kópiu svojich osobných údajov.
• Právo na opravu – opraviť nesprávne alebo neaktuálne údaje, a to priamo cez Profil na Platforme alebo na adrese [email protected].
• Právo na vymazanie – požiadať o vymazanie údajov. Toto právo je obmedzené, ak existuje zákonná povinnosť uchovávania (napr. účtovné doklady) alebo ak trvá zmluvný záväzok (aktívna pôžička).
• Právo na obmedzenie spracúvania – požiadať o obmedzenie spracúvania v prípadoch ustanovených GDPR.
• Právo na prenosnosť údajov – získať svoje údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte.
• Právo namietať – namietať proti spracúvaniu, najmä proti spracúvaniu na účely priameho marketingu.
• Právo odvolať súhlas – kedykoľvek odvolať udelený súhlas; odvolanie nemá vplyv na zákonnosť spracúvania pred odvolaním.
• Právo podať sťažnosť – podať sťažnosť dozornému orgánu, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava.

6.1 Uplatnenie práv

Svoje práva si môžete uplatniť e-mailom na [email protected]. Niektoré práva je možné uplatniť aj priamo v Platforme – zobraziť a upraviť vlastné osobné údaje, zmeniť heslo, zobraziť históriu prihlásení a stiahnuť podpísané dokumenty.

6.2 Mimosúdne riešenie sporov

Používatelia, ktorí sú spotrebiteľmi, sa môžu so sťažnosťou obrátiť aj na Slovenskú obchodnú inšpekciu (SOI).

ČLÁNOK 7 – COOKIES A SLEDOVACIE TECHNOLÓGIE

Platforma používa cookies, localStorage a ďalšie sledovacie technológie na zabezpečenie prevádzky, analytiku a podporu používateľov. Podrobný prehľad všetkých cookies, úložísk a sledovacích technológií vrátane aktuálneho stavu súhlasu a možností odmietnutia je uvedený v samostatnom dokumente:

ČLÁNOK 8 – AUTOMATIZOVANÉ ROZHODOVANIE

NidBo nevykonáva automatizované individuálne rozhodovanie vrátane profilovania s právnymi účinkami v zmysle čl. 22 GDPR.

Schvaľovanie žiadostí o Pôžičku je manuálne – o schválení alebo zamietnutí rozhoduje oprávnený manažér (Manager) alebo riaditeľ (Director) Firmy po kontrole svojich oprávnení. Rizikové príznaky zaznamenané pri vyhodnotení žiadosti slúžia výlučne ako podklad a odporúčanie pre manuálne rozhodnutie a pre audit, nie ako automatické zamietnutie alebo schválenie.

ČLÁNOK 9 – ZABEZPEČENIE OSOBNÝCH ÚDAJOV

NidBo prijíma primerané technické a organizačné opatrenia na ochranu osobných údajov, najmä:

• hashovanie hesiel (bcrypt),
• jednorazové SMS kódy (OTP) s ochranou proti opakovaným pokusom pri prihlásení, podpise zmluvy aj obnove prístupu,
• overovanie vlastníctva e-mailu a telefónneho čísla pri obnove prístupu, podpise zmluvy a prihlásení,
• vedenie auditného záznamu všetkých akcií (vrátane IP adresy a informácií o prehliadači a zariadení),
• obnovu prístupu len po osobnom overení identity manažérom,
• autentifikáciu integračného nástroja prostredníctvom zabezpečeného kľúča,
• ukladanie nahratých súborov mimo verejne dostupného priestoru,
• šifrovanie prenosu pomocou SSL/TLS (vrátane overovania certifikátov v produkcii).

ČLÁNOK 10 – ELEKTRONICKÝ PODPIS

Elektronický podpis vykonaný prostredníctvom platformy Documenso má rovnakú právnu silu ako vlastnoručný podpis v súlade so zákonom č. 272/2016 Z. z. a nariadením eIDAS (EÚ) č. 910/2014.

ČLÁNOK 11 – ZÁVEREČNÉ USTANOVENIA

11.1 Rozhodné právo

Tieto Zásady a spracúvanie osobných údajov sa riadia právnym poriadkom Slovenskej republiky a GDPR. Relevantné sú najmä Občiansky zákonník (40/1964 Zb.), Zákon o spotrebiteľských úveroch (129/2010 Z. z.) a Zákonník práce (311/2001 Z. z.) v časti zrážok zo mzdy.

11.2 Zmeny Zásad

NidBo si vyhradzuje právo tieto Zásady aktualizovať. O podstatných zmenách informuje Používateľov e-mailovým oznámením najmenej 30 dní pred nadobudnutím účinnosti a notifikáciou v aplikácii.

11.3 Súvisiace dokumenty

11.4 Kontakt

Otázky týkajúce sa ochrany osobných údajov: [email protected]
Všeobecná podpora: [email protected]

ČLÁNOK 12 – POUŽÍVANIE UMELEJ INTELIGENCIE (AI)

Tento článok dopĺňa ČLÁNOK 8 (Automatizované rozhodovanie) o informácie o používaní AI systémov v Platforme v súlade s Nariadením Európskeho parlamentu a Rady (EÚ) 2024/1689 (ďalej len „AI Act").

NidBo v súčasnosti neprevádzkuje systémy, ktoré by boli AI systémami v zmysle čl. 3 bod 1 AI Act. Platforma používa výlučne deterministické (vopred presne určené) a pravidlové systémy na podporné účely, ktoré sú mimo pôsobnosti AI Act. Pokiaľ by NidBo v budúcnosti nasadilo AI systémy, vystupovalo by v pozícii prevádzkovateľa (deployer) podľa čl. 3 ods. 4 AI Act, nie v pozícii poskytovateľa (provider) podľa čl. 3 ods. 3 AI Act.

12.1 Klasifikácia funkcií Platformy

AI Act klasifikuje AI systémy do rizikových kategórií: neprijateľné riziko (zakázané praktiky podľa čl. 5), vysoké riziko (čl. 6 a príloha III), obmedzené riziko (transparentnostné povinnosti podľa čl. 50) a minimálne riziko (bez osobitných regulatórnych povinností). Funkcie Platformy, ktoré nie sú AI systémami, sú mimo pôsobnosti AI Act.

NidBo neprevádzkuje žiadne vysokorizikové AI systémy podľa čl. 6 a prílohy III AI Act. Platforma nepoužíva AI na automatizované rozhodovanie o úveroch, hodnotenie bonity, biometrickú identifikáciu ani na iné vysokorizikové účely.

12.2 Algoritmické funkcie Platformy

Platforma používa výlučne tieto algoritmické funkcie ako podporné nástroje pre manuálne rozhodovanie:

• Risk flagy (rizikové príznaky) – súbor vopred definovaných indikátorov (napr. vysoká suma voči mzde, opakovaný žiadateľ, krátke zamestnanie, nízka mzda, predchádzajúce zlyhanie), ktoré sa vyhodnocujú pri žiadosti o pôžičku. Ide o deterministický rule-based systém, nie o AI.
• Splátkové a limitové kalkulačky – matematické výpočty na základe zadaných parametrov a vopred definovaných vzorcov.
• Automatické notifikácie – výber kanála a personalizácia obsahu notifikácií na základe preferencií a správania Používateľa.
• Prehľad akcií manažéra – pravidlové zoskupovanie a prioritizácia akcií pre Manažéra.
• Vyhľadávanie a filtrovanie – štandardné vyhľadávanie používateľov, pôžičiek a transakcií v administračnom rozhraní.

Nariadenie AI Act v Recitáli 12 výslovne vylučuje z pôsobnosti systémy založené výlučne na pravidlách definovaných človekom na automatické vykonávanie operácií. Všetky uvedené funkcie spadajú pod túto výnimku – ide o deterministické, pravidlové alebo výpočtové funkcie bez adaptivity (schopnosti meniť správanie na základe nových údajov) a strojového učenia. Risk flagy, kalkulačky ani notifikácie nerobia autonómne rozhodnutia – slúžia výlučne ako podklad pre rozhodnutie oprávnenej osoby.

12.3 Zakázané praktiky (čl. 5 AI Act)

NidBo nevyužíva zakázané praktiky podľa čl. 5 AI Act, najmä:

• manipulatívne techniky ovplyvňujúce správanie osôb,
• systémy sociálneho kreditovania (social scoring),
• biometrickú kategorizáciu na základe citlivých údajov,
• odvodzovanie emócií na pracovisku alebo vo vzdelávaní,
• individuálne posudzovanie rizika trestnej činnosti na základe profilovania,
• necielené získavanie tvárových snímok z internetu.

12.4 Vysokorizikové AI systémy (čl. 6 a Príloha III AI Act)

NidBo neprevádzkuje vysokorizikové AI systémy podľa Prílohy III AI Act, vrátane:

• AI systémov na posudzovanie úverovej schopnosti (bod 4 písm. b),
• AI systémov na oceňovanie poistenia (bod 4 písm. c),
• automatického profilovania na účely poskytnutia alebo odmietnutia finančnej služby,
• prediktívnej analýzy schopnosti splácať bez ľudského overenia,
• akéhokoľvek strojového učenia, neurónových sietí, NLP alebo počítačového videnia.

12.5 Ľudský dohľad a rozhodovanie

Všetky rozhodnutia s potenciálnym vplyvom na práva Používateľov podliehajú ľudskému dohľadu v súlade s princípom „human-in-the-loop" a čl. 22 GDPR:

• Manuálne schvaľovanie pôžičiek: každú žiadosť posudzuje a schvaľuje alebo zamieta výlučne oprávnená fyzická osoba (manažér alebo riaditeľ Firmy). Risk flagy ani iné algoritmické nástroje nemajú právomoc autonómne rozhodnúť o žiadosti.
• Auditná stopa: každé schválenie alebo zamietnutie je zaznamenané v auditného záznamu vrátane identifikácie rozhodujúcej osoby a času rozhodnutia.
• Preskúmateľnosť: Manažér alebo riaditeľ sa môže odchýliť od odporúčania risk flagov bez obmedzenia – tieto indikátory sú informatívne, nie záväzné.

12.6 AI gramotnosť

V súlade s čl. 4 AI Act NidBo zabezpečuje primeranú úroveň AI gramotnosti svojich zamestnancov, ktorí pracujú s algoritmickými funkciami Platformy, prostredníctvom:

• pravidelných interných školení o fungovaní a obmedzeniach používaných systémov,
• identifikácie rizík spojených s algoritmickými nástrojmi (najmä riziko chýb a zaujatosti),
• dokumentácie všetkých algoritmických funkcií vrátane ich účelu a správneho používania,
• povedomia o tom, že algoritmické nástroje slúžia len ako podpora a konečné rozhodnutie je vždy na zodpovednej fyzickej osobe.

12.7 Práva dotknutých osôb v súvislosti s algoritmickými funkciami

V súlade s princípom transparentnosti a informačnými povinnosťami podľa čl. 13–15 GDPR má Používateľ v súvislosti s algoritmickými funkciami Platformy tieto práva:

Tieto práva sú analogické právam podľa čl. 86 AI Act (právo na vysvetlenie individuálneho rozhodovania), hoci sa na Platformu priamo neuplatňujú, nakoľko NidBo neprevádzkuje vysokorizikové AI systémy.

Právo na vysvetlenie je možné uplatniť e-mailom na [email protected]. NidBo poskytne vysvetlenie v zrozumiteľnej a prístupnej forme bez zbytočného odkladu, najneskôr do 30 dní od doručenia žiadosti.

12.8 Budúce zmeny a zavedenie nových AI funkcií

Ak NidBo v budúcnosti zavedie nové algoritmické alebo AI funkcie, bude postupovať takto:

1. vykoná interné posúdenie vplyvu a klasifikáciu rizika podľa AI Act vrátane posúdenia vplyvu na základné práva (FRIA) podľa čl. 27 AI Act (táto povinnosť sa vzťahuje len na prípadné vysokorizikové AI systémy),
2. novú funkciu otestuje a validuje,
3. používateľov informuje najmenej 30 dní pred nasadením (e-mailom a notifikáciou v aplikácii),
4. aktualizuje tento dokument a súvisiace právne dokumenty.

Podrobný popis všetkých algoritmických funkcií, AI gramotnosti a práv používateľov je uvedený v samostatnom dokumente: