Zásady ochrany osobných údajov

Verzia 1.2 · Posledná aktualizácia: 2026-10-20

1. Prevádzkovateľ

Prevádzkovateľom platformy Signato (ďalej len „Služba" alebo „Signato") je:

signato s. r. o.
Sídlo: Landererova 7743/8, 811 09 Bratislava - mestská časť Staré Mesto
IČO: 57637105
Registrácia: Obchodný register Mestského súdu Bratislava III, oddiel Sro, vložka č. 199766/B
E-mail: privacy@signato.sk

(ďalej len „Prevádzkovateľ", „my" alebo „nás")

Zodpovedná osoba (DPO): Prevádzkovateľ neustanovil zodpovednú osobu podľa čl. 37 GDPR — povinnosť sa neuplatňuje, keďže operátor nespĺňa kritériá veľkorozmerného alebo systematického monitorovania pri spracúvaní vlastných údajov. V otázkach ochrany osobných údajov nás kontaktujte na privacy@signato.sk. Pri prekročení 5 platiacich salónov plánujeme dobrovoľne ustanoviť externú zodpovednú osobu.

2. Dve úlohy spracúvania

Signato vystupuje v dvoch odlišných úlohách podľa kontextu spracúvania:

1. Ako prevádzkovateľ — pre účely poskytovania Služby našim zákazníkom (kozmetické salóny, PMU štúdiá). Spracúvame osobné údaje používateľov účtov (vlastníci salónov, zamestnanci).
2. Ako sprostredkovateľ — pre osobné údaje klientok salónov, ktoré sa spracúvajú v rámci dotazníkov a elektronických podpisov. V tomto prípade je prevádzkovateľom samotný salón. Signato údaje iba technicky spracúva v jeho mene na základe Sprostredkovateľskej zmluvy podľa čl. 28 GDPR.

3. Aké údaje spracúvame (ako prevádzkovateľ)

Pri registrácii a používaní účtu v Signato spracúvame:

Je poskytnutie údajov povinné? Identifikačné údaje (meno, e-mail, heslo) sú zmluvnou požiadavkou — bez nich nemôžete vytvoriť účet a používať Službu. Firemné údaje (IČO, DIČ, IČ DPH, fakturačná adresa) sú zákonnou požiadavkou pre vystavovanie faktúr podľa zákona č. 431/2002 Z. z. o účtovníctve; bez nich vám neviem fakturovať predplatné. Marketingový súhlas (newsletter) je dobrovoľný — neudelenie nemá vplyv na poskytovanie Služby. Servisná a produktová komunikácia existujúcim platiacim zákazníkom je založená na oprávnenom záujme (soft opt-in) — máte právo ju kedykoľvek odmietnuť cez odkaz na konci každého e-mailu alebo na privacy@signato.sk.

Prihlásenie cez Apple alebo Google. Do účtu sa môžete prihlásiť alebo cez nich zaregistrovať aj bez hesla. Poskytovateľ nám pošle len identifikátor vášho účtu, e-mailovú adresu (a či ju sám overil) a meno; Google aj profilovú fotku. Apple vám umožňuje e-mail skryť – vtedy dostaneme náhodnú adresu @privaterelay.appleid.com a naše správy (napr. oznámenia o rezerváciách) vám prepošle Apple. Meno nám Apple pošle len pri vašom prvom prihlásení. Heslo k účtu Apple ani Google nikdy nevidíme. Ak sa cez Apple alebo Google prihlásite do účtu, ktorý už s rovnakým overeným e-mailom existuje, oba spôsoby prihlásenia sa prepoja; prepojenie zapíšeme do auditného záznamu. Pri registrácii pred presmerovaním potvrdzujete obchodné podmienky, tieto zásady a sprostredkovateľskú zmluvu; záznam o súhlase obsahuje čas, IP adresu a prehliadač. Samotné prihlásenie u Apple alebo Googlu sa riadi ich vlastnými zásadami.

3a. Prepojenie s Google Kalendárom

Prepojenie je voliteľné a dostupné majiteľkám a pracovníčkam salónu s rezervačným modulom. Po pripojení Signato vo vašom Google účte založí samostatný kalendár „Signato – termíny“ a zapisuje doň termíny salónu od včerajška do jedného roka dopredu, potvrdené aj čakajúce na potvrdenie (tie majú v názve „(čaká na potvrdenie)“).

Čo do Googlu zapisujeme:

• čas začiatku a konca termínu a časové pásmo salónu;
• názov služby a meno a priezvisko klientky (alebo „Bez klientky“, ak termín klientku nemá);
• meno pracovníka, ktorý termín vykonáva, a objednané doplnky;
• odkaz späť do kalendára v Signate.

V nastavení prepojenia môžete zapnúť skrytie mien klientok – do Googlu sa potom zapíše len názov služby a meno pracovníka. Voliteľne môžete zapisovať iba vlastné termíny (tie, kde ste pracovníkom vy). Nezapisujeme telefón ani e-mail klientky, poznámky klientky, interné poznámky, odpovede v dotazníkoch ani žiadne zdravotné údaje. Termíny klientky, ktorá požiadala o obmedzenie spracúvania (čl. 18 GDPR), do Googlu nezapisujeme. Zrušené termíny sa z kalendára odstránia; termíny, ktoré už uplynuli, v ňom zostávajú ako história až do odpojenia.

Čo z Googlu dostávame: e-mailovú adresu pripojeného Google účtu a prístupové kľúče (obnovovací a krátkodobý), ktoré uchovávame zašifrované. Žiadame len oprávnenia „openid“, „e-mail“ a „vytvárať kalendáre a spravovať ich udalosti“ (calendar.app.created). Posledné z nich umožňuje pracovať výlučne s kalendárom, ktorý Signato samo vytvorilo – z vašich ostatných kalendárov ani udalostí nič nečítame a nemáme k nim prístup. Údaje z Google API nikomu ďalej neposielame a nepoužívame ich na nič iné ako na zapisovanie termínov do vášho kalendára.

Úlohy. Údaje o prepojení (e-mail Google účtu, prístupové kľúče, vaše nastavenia) spracúvame ako prevádzkovateľ na základe plnenia zmluvy (čl. 6 ods. 1 písm. b GDPR). Termíny a mená klientok zapisujeme do Googlu ako sprostredkovateľ na pokyn salónu, ktorý je ich prevádzkovateľom. Kalendár a jeho obsah následne spracúva Google vo vašom Google účte podľa vlastných podmienok.

Ukončenie. Prepojenie môžete kedykoľvek zrušiť v Signate (Kalendár → V mojom kalendári → Google Kalendár → Odpojiť) alebo v nastaveniach vášho Google účtu (prístup aplikácií tretích strán). Po odpojení v Signate sa pokúsime kalendár „Signato – termíny“ z vášho Google účtu zmazať, zrušíme udelené oprávnenie u Googlu a uložené kľúče vymažeme. Ak Google v tej chvíli neodpovie, odpojenie sa v Signate dokončí aj tak a kalendár môžete zmazať ručne v Google. To isté sa stane pri zmazaní vášho účtu a pri ukončení účtu salónu. Ak salón prestane mať rezervačný modul alebo aktívne predplatné, alebo ak prestanete byť členom tímu s prístupom k rezerváciám, kalendár z vášho Google účtu odstránime tiež; prepojenie ostane a kalendár sa obnoví, keď podmienky opäť platia. Ak oprávnenie odvoláte v Google účte, zapisovanie sa zastaví a uložené kľúče vymažeme.

Používanie informácií získaných z Google API a ich prenos do iných aplikácií sa riadi zásadami Google API Services User Data Policy vrátane požiadaviek na obmedzené používanie (Limited Use).
Signato's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Príjemca: Google Ireland Limited (Írsko; materská spoločnosť Google LLC, USA) – len pri používateľoch, ktorí si Google Kalendár pripojili.

4. Údaje klientok salónov (úloha sprostredkovateľa)

Ak ste klientka salónu, ktorý používa Signato na dotazníky a súhlasy: prevádzkovateľom vašich údajov je tento salón, nie Signato. Žiadosti o prístup, opravu alebo vymazanie adresujte priamo salónu, v ktorom ste dotazník vyplnili — alebo nám cez verejný formulár /dsar, ktorý žiadosť doručí salónu.

Zdroj vašich údajov: vaše údaje ste poskytli priamo salónu pri návšteve (cez kioskový tablet) alebo cez pre-vizitný link, ktorý vám zaslal salón. Signato dostáva vaše údaje od salónu ako sprostredkovateľ — neukladáme ich na vlastné účely.

Aké údaje:

• Identifikačné a kontaktné: meno, priezvisko, dátum narodenia, e-mail, telefón, adresa (pri laser zákroku)
• Osobitné kategórie podľa čl. 9 GDPR: odpovede na zdravotné otázky (anamnéza, alergie, kontraindikácie, gravidita, lieky, kožné stavy)
• Fotografie stavu pokožky pred zákrokom (laser, len pri samostatnom súhlase)
• Elektronický podpis (PNG kresba) + IP, prehliadač a časová pečiatka pri akceptácii súhlasu

Signato v tejto úlohe spracúva vaše údaje iba podľa pokynov salónu a na základe Sprostredkovateľskej zmluvy podľa čl. 28 GDPR. Zdravotné odpovede sú šifrované AES-256 (Laravel encrypted cast) a uložené na serveroch v EÚ – aplikačný server je vo Fínsku, zálohy v Nemecku (Hetzner Online GmbH). Detailný popis spracúvania je v RoPA a posúdenie vplyvu v DPIA; obe poskytneme na žiadosť na privacy@signato.sk.

4a. Online rezervácie a klientska zóna (úloha sprostredkovateľa)

Ak si u salónu rezervujete termín cez jeho rezervačnú stránku (/book/…, prípadne na vlastnej doméne salónu), prevádzkovateľom vašich údajov je salón, nie Signato. Signato rezerváciu technicky zabezpečuje v mene salónu na základe Sprostredkovateľskej zmluvy podľa čl. 28 GDPR. Žiadosti o prístup, opravu alebo vymazanie adresujte salónu alebo cez formulár /dsar.

Aké údaje pri rezervácii zadávate:

• meno, priezvisko, e-mail a telefón (povinné);
• voliteľnú poznámku k rezervácii (najviac 1 000 znakov), ktorá sa ukladá zašifrovaná – do poznámky prosím nepíšte zdravotné údaje; zdravotný dotazník sa vypĺňa osobitne;
• vybranú službu, pracovníka, doplnky a termín;
• povinný súhlas so spracúvaním kontaktných údajov na vybavenie rezervácie. Pri odoslaní ukladáme znenie súhlasu, čas, IP adresu (zašifrovanú) a prehliadač ako dôkaz súhlasu.

Formulár je chránený službou Google reCAPTCHA v3 (Google Ireland Limited). Právnym základom je pre salón vybavenie vašej rezervácie (plnenie zmluvy, čl. 6 ods. 1 písm. b GDPR) a súhlas uvedený vyššie; presný právny základ a dobu uchovávania určuje salón.

Správy, ktoré dostanete. Prichádzajú z adresy platformy Signato v mene salónu (ako odosielateľ sa zobrazí názov salónu, odpoveď ide salónu):

• potvrdenie rezervácie s osobným odkazom na jej správu (zrušenie, presun, kalendár .ics); odkaz prestane fungovať 60 dní po termíne;
• pripomienky 24 hodín a 2 hodiny pred potvrdeným termínom;
• oznámenie o zrušení alebo presune termínu;
• odkaz na vyplnenie zdravotného dotazníka – odošle sa spravidla 2 dni pred termínom a platí do jedného dňa po termíne;
• správa „čas na korekciu“ (len pri službe, pri ktorej salón nastavil korekciu) a správa po návšteve (v balíčku Profesionál); obe sa neposielajú klientke, ktorá odmietla marketingové správy.

Ak ste požiadali o obmedzenie spracúvania (čl. 18 GDPR), tieto správy vám neposielame. Záznam o odoslaných e-mailoch (príjemca, predmet, stav, bez obsahu správy) uchovávame 90 dní.

Záloha. Ak salón vyžaduje zálohu, zaplatíte ju kartou na stránke Stripe Checkout. Platba ide priamo na účet Stripe salónu (Stripe Connect, prípadne vlastné kľúče Stripe, ktoré salón do Signata vložil); Signato zálohu neprijíma ani nedrží a v čase účinnosti týchto zásad za jej sprostredkovanie neúčtuje províziu. Údaje o karte zadávate priamo Stripe a Signato ich nedostáva. Stripe od nás dostane názov služby, názov salónu, sumu a interné čísla rezervácie a salónu; vaše meno ani e-mail mu z našej strany neposielame. U nás sa ukladá suma, stav platby a identifikátory platby. Nezaplatená rezervácia sa približne po 30 minútach uvoľní.

Moje návštevy. Na stránke /moje si môžete nechať poslať odkaz na e-mail, ktorý o vás salón eviduje. Odkaz platí 24 hodín a ukáže len termíny (dátum, služba, pracovník, stav), odkazy na ich správu a zostatok balíčkov; nikdy nie dotazníky, fotografie, podpisy ani poznámky. Na žiadosť odpovedáme rovnako, či e-mail poznáme, alebo nie. Pri vytvorení odkazu sa uloží IP adresa žiadosti; po vypršaní sa odkaz denne maže.

5. Príjemcovia údajov

Vaše údaje môžeme poskytnúť nižšie uvedeným sub-processorom. Aktuálny zoznam vrátane lokácií, právnych základov prenosov a odkazov na DPA každého z nich je na samostatnej stránke Sub-processori.

• Hetzner Online GmbH (Nemecko; server vo Fínsku, zálohy v Nemecku) – hosting serverov a zálohovanie
• Stripe Payments Europe Ltd. (Írsko, parent Stripe Inc. v USA) – spracovanie platieb predplatného; pri zálohách za rezervácie platí klientka priamo na účet Stripe salónu (Stripe Connect)
• Websupport s.r.o. (SR) – doména a e-mailové schránky @signato.sk
• Resend, Inc. (USA; e-maily sa spracúvajú v EÚ, dátové centrum v Írsku) – odosielanie e-mailov z aplikácie (overenie účtu, potvrdenia a pripomienky rezervácií, dotazníky)
• Google Ireland Ltd. (Írsko, parent Google LLC v USA) – reCAPTCHA, voliteľné prihlásenie cez Google a voliteľné prepojenie s Google Kalendárom (časť 3a)
• Apple Distribution International Ltd. (Írsko, parent Apple Inc. v USA) – len ak sa prihlásite alebo zaregistrujete cez Apple (identifikátor účtu, e-mail alebo skrytá adresa, meno)
• Sentry GmbH (Nemecko) – sledovanie technických chýb v aplikácii (PII scrubbed)
• Finančné a daňové úrady v prípade zákonnej povinnosti

Prenos do tretích krajín: niektorí sub-processori spracúvajú údaje aj mimo Európskej únie – najmä Stripe Inc. (USA), Google LLC (USA), Apple Inc. (USA), Resend, Inc. (USA) a Sentry pri plánoch bez EU residency. Prenos je zákonný na základe:

• Štandardných zmluvných doložiek (SCC) schválených Európskou komisiou rozhodnutím 2021/914
• EU-U.S. Data Privacy Framework (DPF) — adekvačné rozhodnutie EÚ z 2023-07-10, certifikácia každého prenášajúceho overiteľná na dataprivacyframework.gov/list

Kópie štandardných zmluvných doložiek a aktuálne potvrdenie certifikácie každého sub-processora poskytneme na žiadosť na privacy@signato.sk.

6. Vaše práva

V zmysle GDPR máte právo na:

• Prístup k svojim údajom (čl. 15)
• Opravu nesprávnych údajov (čl. 16)
• Vymazanie („právo na zabudnutie") (čl. 17)
• Obmedzenie spracúvania (čl. 18)
• Prenositeľnosť (čl. 20)
• Namietať proti spracúvaniu založenom na oprávnenom záujme (čl. 21)
• Odvolať súhlas — tam, kde je spracúvanie založené na súhlase
• Podať sťažnosť na Úrad na ochranu osobných údajov SR

Žiadosti smerujte na e-mail privacy@signato.sk alebo vyplňte verejný formulár /dsar. Vybavíme ich do 30 dní od prijatia (čl. 12 ods. 3 GDPR).

7. Automatizované rozhodovanie a profilovanie

Signato nevykonáva automatizované rozhodovanie s právnym účinkom podľa čl. 22 GDPR ani profilovanie klientok salónov. Žiadny algoritmus automaticky neodmieta zákroky, nepredpovedá zdravotné riziká bez zásahu Prevádzkovateľa salónu, ani nehodnotí klientky podľa ich osobných údajov. Všetky rozhodnutia o vykonaní zákroku robí salón ako kvalifikovaný prevádzkovateľ na základe vyplneného dotazníka a osobnej konzultácie.

8. Bezpečnosť

Prijímame primerané technické a organizačné opatrenia na ochranu vašich údajov:

• TLS 1.2+ šifrovanie pri všetkých spojeniach
• Šifrovanie hesiel (bcrypt), HSTS, CSP hlavičky
• Pravidelné zálohy a audit prístupov
• Oddelenie dát jednotlivých zákazníkov (multi-tenant isolation)
• Prístup k produkčným dátam obmedzený na autorizovaných zamestnancov

9. Cookies

Používame nevyhnutné cookies na zabezpečenie prihlasovania a ochrany proti botom. Podrobnosti nájdete v samostatných zásadách cookies.

10. Zmeny týchto zásad

Vyhradzujeme si právo tieto zásady aktualizovať. O podstatných zmenách vás budeme informovať e-mailom alebo prostredníctvom Služby najmenej 30 dní pred účinnosťou. Ak so zmenou nesúhlasíte, môžete v tejto lehote ukončiť používanie Služby a požiadať o vymazanie údajov.

11. Kontakt

V otázkach ochrany osobných údajov nás môžete kontaktovať:
E-mail: podpora@signato.sk