Zásady ochrany osobných údajov

Tieto zásady opisujú, aké osobné údaje aplikácia Cardigi spracúva, prečo ich spracúva, ako dlho ich uchováva a aké máte práva. Sú v súlade s Nariadením (EÚ) 2016/679 (GDPR) a zákonom č. 18/2018 Z. z. o ochrane osobných údajov.
Účinné od: 17. apríla 2026

1. Prevádzkovateľ

Prevádzkovateľom v zmysle čl. 4 ods. 7 GDPR je:

Kasset s.r.o.
Sídlo: Polianky 5952/15A, 841 01 Bratislava - mestská časť Dúbravka
IČO: 56091338
DIČ: 2122199057 / IČ DPH: SK2122199057
Zapísaný v Obchodnom registri Okresného súdu Bratislava I, oddiel: Sro, vložka č. 176517/B
E-mail: podpora@cardigi.sk

Prevádzkovateľ neustanovil zodpovednú osobu (DPO), pretože jeho činnosť nespĺňa podmienky podľa čl. 37 GDPR. Všetky podnety v oblasti ochrany osobných údajov zasielajte na e-mail uvedený vyššie.

2. Aké údaje spracúvame

2.1 Údaje o používateľskom účte

E-mailová adresa, heslo (uchovávané ako bezpečný hash, nie v čitateľnej podobe)
Dátum a čas registrácie, posledné prihlásenie
Atribučné údaje (UTM parametre, odkazovač) — iba ak ste prišli cez reklamný odkaz

2.2 Údaje o vozidlách a jazdách

Identifikácia vozidla: EČV, VIN, značka, model, rok výroby, typ vozidla, druh paliva
Stav tachometra (km) pri začiatku evidencie a na konci každého mesiaca
Jazdy: dátum, meno vodiča, účel cesty, miesto začiatku a konca, najazdené kilometre
Záznamy o tankovaní (PHM): dátum, množstvo, cena
Servisné záznamy, platnosti dokumentov (STK, EK, PZP)

2.3 Firemné a fakturačné údaje

Obchodné meno firmy, IČO, DIČ, IČ DPH, sídlo, fakturačný e-mail
Údaje o platbách (spracúva Stripe — pozri bod 5); my ukladáme len identifikátor predplatného a jeho stav

2.4 Technické a prevádzkové údaje

IP adresa (zachytená pri autentifikácii a chybách)
Typ prehliadača, operačný systém, veľkosť obrazovky
Chybové logy aplikácie (stack trace, kontext — bez hesiel a osobných údajov)
Anonymizovaná štatistika návštevnosti (Plausible — bez cookies, bez identifikácie osoby)

3. Účel a právny základ spracúvania

Účel	Právny základ (GDPR)	Doba uchovávania
Poskytovanie služby (registrácia, ukladanie jázd, export)	Plnenie zmluvy — čl. 6 ods. 1 písm. b)	Do zrušenia účtu + 30 dní
Záznamy jázd a účtovné doklady (faktúry)	Plnenie zákonnej povinnosti — čl. 6 ods. 1 písm. c) (§ 35 ods. 3 zák. 431/2002 Z. z.)	10 rokov
Zabezpečenie aplikácie, odhaľovanie chýb a zneužitia	Oprávnený záujem — čl. 6 ods. 1 písm. f)	90 dní (chybové logy)
Spracovanie platieb a vymáhanie pohľadávok	Plnenie zmluvy — čl. 6 ods. 1 písm. b)	10 rokov (daňové doklady)
Meranie účinnosti marketingu (anonymné, agregované)	Oprávnený záujem — čl. 6 ods. 1 písm. f)	Neuchovávame osobné údaje (Plausible)
Zasielanie informačných e-mailov (produktové tipy, novinky)	Súhlas — čl. 6 ods. 1 písm. a)	Do odvolania súhlasu

4. Komu údaje odovzdávame (sprostredkovatelia)

Pri poskytovaní služby využívame nasledujúcich sprostredkovateľov. Všetci sú zmluvne viazaní mlčanlivosťou a spracúvajú údaje v súlade s GDPR:

Sprostredkovateľ	Účel	Umiestnenie
Supabase, Inc.	Databáza, autentifikácia, úložisko	Frankfurt, Nemecko (EÚ)
Stripe Payments Europe, Ltd.	Spracovanie platieb, fakturácia	Dublin, Írsko (EÚ)
Vercel Inc.	Hosting webovej aplikácie	USA (Štandardné zmluvné doložky EÚ)
Functional Software, Inc. (Sentry)	Monitorovanie chýb aplikácie	Nemecko (EÚ region)
Plausible Insights OÜ	Anonymná štatistika návštevnosti	Nemecko / Estónsko (EÚ)
OpenStreetMap Foundation (Nominatim, OSRM)	Vyhľadávanie adries a výpočet trás	Veľká Británia (rozhodnutie o primeranosti)

Údaje nepredávame žiadnej tretej strane na marketingové účely. Mimo EÚ odovzdávame údaje iba v rozsahu uvedenom v tabuľke a výlučne na základe Štandardných zmluvných doložiek schválených Európskou komisiou alebo rozhodnutia o primeranosti.

5. Platobné údaje

Platby spracúva výlučne Stripe. Číslo karty ani CVV sa na našich serveroch nikdy neukladajú. Pre potreby obnovy predplatného a účtovníctva uchovávame len:

Stripe customer ID a subscription ID
Stav predplatného, dátum obnovy, cenu
História faktúr (generuje a uchováva Stripe, dostupná vo vašom účte)

6. Cookies a lokálne úložisko

Cardigi nepoužíva žiadne sledovacie (tracking) cookies ani reklamné identifikátory.

6.1 Nevyhnutné technické úložisko (localStorage)

Prehliadač lokálne ukladá:

Autentifikačný token (Supabase Auth) — nevyhnutný pre prihlásenie
Vaše dáta (jazdy, vozidlá, nastavenia) — umožňuje offline prácu
UTM atribučné údaje zo vstupného odkazu — výlučne pre prvotné priradenie zdroja
Pomocné príznaky UI (rozbalené sekcie, posledný zobrazený mesiac)

Tieto údaje sú nevyhnutné pre fungovanie aplikácie a nevyžadujú súhlas v zmysle § 55 ods. 5 zák. 452/2021 Z. z. o elektronických komunikáciách.

6.2 Plausible Analytics (bez cookies)

Na meranie návštevnosti používame Plausible Analytics — službu, ktorá nepoužíva cookies ani neidentifikuje jednotlivcov. Plausible agreguje iba anonymné metriky (počet návštev, zdroje, stránky). Viac na plausible.io/data-policy.

7. Vaše práva

Ako dotknutá osoba máte v zmysle GDPR tieto práva:

Právo na prístup (čl. 15) — získať potvrdenie, či spracúvame vaše údaje, a kópiu údajov
Právo na opravu (čl. 16) — opraviť nesprávne alebo neúplné údaje
Právo na vymazanie (čl. 17) — „právo na zabudnutie"; neplatí pre údaje, ktoré musíme uchovávať zo zákonných dôvodov (napr. účtovné záznamy 10 rokov)
Právo na obmedzenie spracúvania (čl. 18)
Právo na prenosnosť (čl. 20) — dostať svoje údaje v strojovo čitateľnom formáte (Cardigi toto právo napĺňa aj cez vstavaný export do PDF a XLSX)
Právo namietať (čl. 21) — voči spracúvaniu na základe oprávneného záujmu
Právo odvolať súhlas — kedykoľvek, bez vplyvu na predchádzajúce spracúvanie
Právo podať sťažnosť dozornému orgánu — Úrad na ochranu osobných údajov SR, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk

Žiadosti týkajúce sa vašich práv zasielajte na podpora@cardigi.sk. Odpovedáme do 30 dní (vo výnimočných prípadoch do 60 dní s oznámením dôvodu).

8. Zabezpečenie

Všetka komunikácia je šifrovaná pomocou TLS (HTTPS)
Heslá sa ukladajú ako bezpečný bcrypt hash (nikdy nie v čitateľnej podobe)
Prístup k databáze je chránený Row-Level Security — každý používateľ vidí iba svoje dáta
Dáta sú pravidelne zálohované v rámci infraštruktúry Supabase (Frankfurt, EÚ)
Prístup pre administrátorov je obmedzený a logovaný

9. Deti

Cardigi je určený pre podnikateľov, firmy a účtovníkov. Službu neposkytujeme osobám mladším ako 16 rokov. Ak zistíme, že sme nezámerne spracovali údaje dieťaťa, bezodkladne ich vymažeme.

10. Zmeny týchto zásad

Tieto zásady môžeme aktualizovať. Pri podstatnej zmene vás upozorníme e-mailom a v aplikácii minimálne 14 dní pred účinnosťou. Aktuálna verzia je vždy dostupná na tejto stránke.