Ochrana osobných údajov a zásady používania súborov cookies

Tieto Zásady ochrany osobných údajov a používania súborov cookies (ďalej len „Zásady") vysvetľujú, akým spôsobom spoločnosť AI Automatization Agency s.r.o. (ďalej len „NoTheory", „Poskytovateľ" alebo „my") zhromažďuje, používa, uchováva, zdieľa a chráni osobné údaje v súlade s Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (ďalej len „GDPR"), zákonom č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov a zákonom č. 452/2021 Z. z. o elektronických komunikáciách.

1. Naše postavenie podľa predpisov o ochrane osobných údajov

Platforma NoTheory je primárne firemná (B2B) vzdelávacia a certifikačná služba. V závislosti od konkrétneho vzťahu a účelu spracúvania vystupuje spoločnosť AI Automatization Agency s.r.o. buď v postavení Prevádzkovateľa (čl. 4 ods. 7 GDPR), alebo v postavení Sprostredkovateľa (čl. 4 ods. 8 a čl. 28 GDPR).

1.1 Kedy vystupujeme ako Prevádzkovateľ (Data Controller)

Ako samostatný prevádzkovateľ určujeme účel a prostriedky spracúvania osobných údajov pre naše vlastné obchodné, prevádzkové a zákonné účely, najmä vo vzťahu k:

• návštevníkom našich verejných webových stránok (notheory.ai),
• osobám, ktoré nás kontaktujú prostredníctvom zákazníckej podpory, AI chatu alebo e-mailu,
• zástupcom potenciálnych aj existujúcich firemných zákazníkov, manažérom firiem a obchodným partnerom,
• fakturačným, daňovým a účtovným údajom potrebným na vystavenie a evidenciu faktúr,
• verejnému registru vydaných certifikátov Proof-of-Skill na adrese /verify.html pri overovaní pravosti certifikátu výlučne po zadaní presného unikátneho kódu (register nie je verejne prehľadávateľný podľa mena ani indexovaný vyhľadávačmi),
• prevádzkovým a bezpečnostným záznamom potrebným na ochranu infraštruktúry pred neoprávneným prístupom.

1.2 Kedy vystupujeme ako Sprostredkovateľ (Data Processor)

Keď zamestnávateľ alebo iná organizácia (ďalej len „Klient") sprístupní platformu NoTheory svojim zamestnancom, spolupracovníkom alebo členom tímu na účely odborného vzdelávania, testovania a interného rozvoja, Klient určuje účel spracúvania týchto tréningových údajov. V tomto rozsahu je Klient Prevádzkovateľom a AI Automatization Agency s.r.o. vystupuje ako Sprostredkovateľ podľa čl. 28 GDPR.

Údaje spracúvané v mene Klienta zahŕňajú najmä:

• priradené tréningové dráhy, balíky kurzov a interné termíny splnenia (deadlines),
• pracovné riešenia v interaktívnych tabuľkách (Excel / Grid Engine), odoslané AI prompty v Prompt Labe a odpovede v kvízoch,
• výsledky praktických certifikačných skúšok (Boss Fight), dosiahnuté skóre, XP body a štatistiky aktivity,
• interné firemné smernice (SOP), metodiky a dokumenty nahrané manažérom firmy do modulu AI Corporate Customizer,
• manažérske prehľady progresu tímu a exportované reporty pre HR / Compliance oddelenie Klienta.

Zmluvný vzťah medzi Klientom ako Prevádzkovateľom a spoločnosťou AI Automatization Agency s.r.o. ako Sprostredkovateľom sa riadi našou Zmluvou o spracúvaní osobných údajov (DPA) podľa čl. 28 ods. 3 GDPR, ktorá je uvedená priamo v Prílohe č. 1 tohto dokumentu a zároveň tvorí neoddeliteľnú prílohu našich Všeobecných obchodných podmienok (VOP).

2. Rozsah spracúvaných osobných údajov

Kategórie osobných údajov, ktoré spracúvame, závisia od toho, akým spôsobom s platformou NoTheory komunikujete alebo ju používate:

2.1 Návštevníci verejného webu

• IP adresa (v pseudonymizovanej alebo bezpečnostnej podobe), typ a verzia prehliadača, operačný systém a nastavenie jazyka,
• dátum a čas prístupu, navštívené podstránky a zdrojová stránka (referrer),
• stav udeleného súhlasu so súbormi cookies a analytické údaje (iba v prípade, že ste udelili výslovný súhlas s analytickými cookies).

2.2 Používateľské účty (Manažéri firiem a Zamestnanci)

• meno a priezvisko, pracovný e-mail, názov organizácie, oddelenie (department) a pracovná pozícia (job title),
• rola v systéme (student / zamestnanec, b2b_manager / manažér firmy), preferovaný jazyk a téma rozhrania,
• autentifikačné údaje: jednosmerný kryptografický hash hesla (bcrypt so saltom 10) alebo identifikátor firemného prihlásenia Single Sign-On (Microsoft Entra ID / Google Workspace).

Ak vám bol používateľský účet zriadený v rámci firemnej licencie, vaše identifikačné a kontaktné údaje (meno, priezvisko, pracovný e-mail, oddelenie a pracovná pozícia) sme získali priamo od vášho zamestnávateľa alebo organizácie, ktorá vám prístup do platformy pridelila (čl. 14 ods. 2 písm. f) GDPR).

2.3 Tréningové, skúšobné a certifikačné údaje

• stav prechodu lekciami, história odpovedí, vyhodnotenie praktických úloh a spätná väzba AI tútora,
• výsledky záverečných skúšok, dátum vydania a dátum exspirácie certifikátu, unikátny overovací kód certifikátu (napr. NT-2026-XXXX), kryptografický odtlačok HMAC-SHA256 a prípadný záznam o stornovaní certifikátu pri porušení pravidiel testovania.

Ochrana súkromia pri verejnom overovaní certifikátov (/verify.html): Register certifikátov na adrese /verify.html nie je verejne prehľadávateľný podľa mena, priezviska ani názvu spoločnosti a nie je indexovaný vyhľadávačmi (Google). Register zobrazí údaje o držiteľovi (meno, priezvisko, názov absolvovaného modulu, dátum platnosti a stav certifikátu) výlučne po zadaní presného unikátneho kódu certifikátu (NT-2026-XXXX) osobou, ktorej držiteľ tento kód sám sprístupnil (napr. na LinkedIne alebo v CV).

2.4 Fakturačné a obchodné údaje

• obchodné meno spoločnosti, sídlo (ulica, mesto, PSČ, krajina), IČO, DIČ, IČ DPH, fakturačný e-mail, počet zakúpených licencií (seats), zvolený plán (Team / Enterprise), vystavené faktúry, variabilný symbol, stav úhrady a referencie platobných transakcií.

3. Účely a právne základy spracúvania (čl. 6 GDPR)

Osobné údaje spracúvame výlučne na základe platných právnych titulov podľa čl. 6 ods. 1 GDPR:

• Plnenie zmluvy a predzmluvné vzťahy (čl. 6 ods. 1 písm. b) GDPR): registrácia firemného účtu, vytvorenie prístupov, sprístupnenie kurzov po úhrade faktúry, vyhodnocovanie praktických cvičení a skúšok, vydávanie a overovanie certifikátov, poskytovanie technickej podpory.
• Splnenie zákonnej povinnosti (čl. 6 ods. 1 písm. c) GDPR): vystavovanie, spracúvanie a archivácia účtovných a daňových dokladov podľa zákona č. 431/2002 Z. z. o účtovníctve, zákona č. 595/2003 Z. z. o dani z príjmov a zákona č. 222/2004 Z. z. o DPH, ako aj vybavovanie zákonných žiadostí dotknutých osôb alebo reklamácií.
• Oprávnený záujem (čl. 6 ods. 1 písm. f) GDPR): zabezpečenie sieťovej a informačnej bezpečnosti platformy (ochrana pred brute-force útokmi, SQLi/XSS, zneužitím API), integrita a overiteľnosť vydaných certifikátov Proof-of-Skill, uplatňovanie alebo obhajovanie právnych nárokov a primeraná B2B komunikácia so zástupcami firemných klientov.
• Súhlas dotknutej osoby (čl. 6 ods. 1 písm. a) GDPR): ukladanie a spracúvanie voliteľných (funkčných, analytických a marketingových) súborov cookies a zasielanie marketingových noviniek osobám, pri ktorých sa vyžaduje súhlas. Udelený súhlas môžete kedykoľvek odvolať bez vplyvu na zákonnosť predchádzajúceho spracúvania.

Poskytnutie osobných údajov na účely plnenia zmluvy je zmluvnou požiadavkou a na účely fakturácie a účtovníctva zákonnou požiadavkou (čl. 13 ods. 2 písm. e) GDPR). V prípade neposkytnutia týchto údajov nie je možné uzatvoriť zmluvu, zriadiť používateľský účet ani vydať certifikát. Poskytnutie údajov na základe súhlasu je dobrovoľné.

4. Ako osobné údaje používame v praxi

Osobné údaje používame výhradne na účely, na ktoré boli získané:

• prevádzkovanie a sprístupňovanie platformy NoTheory oprávneným používateľom po aktivácii firemnej licencie,
• autentifikácia používateľov vrátane automatického priradenia zamestnancov podľa overenej firemnej domény (JIT Domain Auto-Join), ak túto funkciu povolí manažér firmy,
• poskytovanie okamžitej spätnej väzby počas riešenia praktických úloh v tabuľkovom simulátore a AI Prompt Labe,
• generovanie vlastných firemných kurzov z interných dokumentov Klienta v module AI Corporate Customizer,
• vystavovanie faktúr, spracovanie platieb a odomknutie funkcionalít platformy po pripísaní úhrady,
• detekcia bezpečnostných incidentov, prevencia podvodného získania certifikátov a udržiavanie spoľahlivosti služby.

5. Umelá inteligencia (AI), zákaz trénovania modelov a ľudský dohľad

Platforma NoTheory využíva modely umelej inteligencie (primárne platené podnikové rozhranie Google Gemini Enterprise / Paid API Tier a deterministické vyhodnocovacie algoritmy) na vyhodnocovanie promptov, generovanie kvízových a praktických úloh z firemných smerníc a poskytovanie podpory.

• Zákaz trénovania AI modelov na vašich dátach (Zero Model Training): Všetky vstupy, nahrané smernice (SOP), tabuľky a odpovede používateľov sú spracúvané v izolovanom platenom režime, v ktorom je zmluvne zakázané používať dáta Klienta na trénovanie, dotrénovanie alebo zlepšovanie verejných či komerčných jazykových modelov.
• Žiadne automatizované rozhodovanie s právnymi účinkami (čl. 22 GDPR & EU AI Act): Výstupy AI tútora, skóre v tréningoch a štatistiky v NoTheory slúžia ako vzdelávací a rozvojový nástroj. Platforma nie je určená na to, aby bez ľudského dohľadu autonómne prijímala pracovnoprávne rozhodnutia s významným dopadom na zamestnanca (napr. automatické prepustenie, zníženie mzdy alebo disciplinárne opatrenia). Za primeraný ľudský dohľad pri interpretácii tréningových výsledkov zodpovedá zamestnávateľ (Klient).

6. Súbory cookies a technológie lokálneho úložiska (Cookie Policy)

Táto časť slúži zároveň ako oficiálne Zásady používania súborov cookies. Súbory cookies sú malé textové súbory alebo záznamy v lokálnom úložisku prehliadača (localStorage), ktoré webová stránka ukladá vo vašom zariadení pri jej návšteve.

Podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách môžeme bez predchádzajúceho súhlasu ukladať iba tie súbory cookies a lokálne záznamy, ktoré sú nevyhnutne potrebné na prenos správy alebo na poskytnutie služby informačnej spoločnosti, ktorú ste výslovne požadovali (napr. udržanie prihlásenia, bezpečnosť relácie, voľba jazyka a uloženie vašich nastavení cookies). Všetky ostatné kategórie (funkčné, analytické, marketingové) sú predvolene neaktívne a aktivujú sa len na základe vášho výslovného súhlasu.

7. Poskytovatelia služieb a subdodávatelia (Sub-processors)

Na zabezpečenie spoľahlivej prevádzky platformy NoTheory využívame preverených technologických partnerov, s ktorými máme uzatvorené zmluvy o spracúvaní osobných údajov (DPA):

• WebSupport s.r.o. / EÚ Cloud Hosting (Slovenská republika, EÚ): primárny serverový hosting, databázové úložisko a šifrované zálohy v certifikovanom TIER III dátovom centre v Bratislave.
• Google Ireland Limited (Írsko / EÚ, Google Cloud & Gemini Paid API, Google Workspace, Google Analytics 4): spracovanie AI požiadaviek v platenom podnikovom režime bez trénovania modelov na klientskych dátach, voliteľné prihlásenie Google Workspace SSO a poskytovanie webovej analytiky Google Analytics 4 (v režime Consent Mode v2 so zapnutou anonymizáciou IP adries, aktivované iba na základe súhlasu).
• Microsoft Ireland Operations Limited (Írsko / EÚ): voliteľná podniková autentifikácia cez Microsoft Entra ID (Azure AD) SSO pre firemných klientov.
• Stripe Payments Europe, Ltd. (Írsko / EÚ): spracovanie online platieb platobnou kartou. Spoločnosť AI Automatization Agency s.r.o. neukladá plné čísla platobných kariet; Stripe vystupuje pri spracovaní platieb aj ako samostatný prevádzkovateľ.
• SuperFaktúra, s.r.o. (SR): automatizované vystavovanie a evidencia účtovných a daňových dokladov.
• Cloudflare, Inc. (Turnstile, ochrana pred robotmi; USA, DPF / štandardné zmluvné doložky): overenie, že formulár (registrácia, obnovenie hesla, odstúpenie od zmluvy) vypĺňa človek. Pri overení sa spracúva IP adresa a technické údaje prehliadača; nepoužíva sa na reklamu.

8. Zdieľanie a sprístupňovanie osobných údajov

Osobné údaje nikdy nepredávame. Sprístupňujeme ich výlučne v nevyhnutnom rozsahu: (a) našim zmluvným sprostredkovateľom uvedeným v bode 7, (b) zamestnávateľovi (Klientovi), ktorý používateľovi pridelil firemnú licenciu, (c) externým účtovným, daňovým alebo právnym poradcom viazaným zákonnou alebo zmluvnou povinnosťou mlčanlivosti, alebo (d) orgánom verejnej moci, ak nám takúto povinnosť ukladá osobitný právny predpis.

9. Cezhraničný prenos osobných údajov do tretích krajín

Naša primárna produkčná infraštruktúra sa nachádza v Slovenskej republike (Európska únia). Ak pri využití niektorého globálneho technologického subdodávateľa (napr. pri platobných alebo komunikačných službách) dôjde k prenosu obmedzených technických údajov mimo Európskeho hospodárskeho priestoru (EHP), takýto prenos sa uskutočňuje výlučne pri zabezpečení primeraných záruk podľa kapitoly V GDPR, najmä na základe rozhodnutia Európskej komisie o primeranosti (napr. EU-US Data Privacy Framework) alebo Štandardných zmluvných doložiek (SCC) schválených Európskou komisiou.

10. Doba uchovávania údajov (Data Retention)

Osobné údaje uchovávame len po dobu nevyhnutnú na dosiahnutie účelu, na ktorý boli získané:

• Používateľské účty a tréningové dáta Klienta: počas trvania aktívnej licencie Klienta. Po skončení zmluvného vzťahu sú údaje vymazané alebo anonymizované do 30 dní, pokiaľ Klient nepožiada o ich skorší výmaz alebo export.
• Vydané certifikáty Proof-of-Skill: štandardná doba platnosti certifikátu v overovacom registri je 24 mesiacov od vydania (s možnosťou skoršieho stornovania manažérom firmy alebo vymazania na žiadosť).
• Účtovné a daňové doklady (faktúry): 10 rokov nasledujúcich po roku, ktorého sa týkajú, v súlade s § 35 zákona č. 431/2002 Z. z. o účtovníctve.
• Prevádzkové a bezpečnostné logy: štandardne po dobu maximálne 30 dní (resp. dlhšie len v prípade vyšetrovania konkrétneho bezpečnostného incidentu).
• Šifrované databázové zálohy: rotované v 30-dňovom cykle.
• Obchodná komunikácia s potenciálnymi klientmi: maximálne 24 mesiacov od poslednej interakcie alebo do odvolania súhlasu / vznesenia námietky.

11. Technické a organizačné bezpečnostné opatrenia (čl. 32 GDPR)

Na ochranu osobných a firemných údajov pred neoprávneným prístupom, stratou, zmenou alebo zneužitím aplikujeme prísne opatrenia:

• šifrovanie prenosu dát pomocou protokolu TLS 1.3 (HTTPS) a šifrovanie dátových záloh,
• jednosmerné kryptografické hašovanie hesiel algoritmom bcrypt (cost factor 10),
• kryptografické podpisovanie certifikátov algoritmom HMAC-SHA256 na ochranu pred falšovaním,
• striktná logická izolácia dát jednotlivých firemných zákazníkov (multi-tenant isolation) a riadenie prístupov na základe rolí (RBAC),
• ochrana proti útokom SQL Injection (parametrizované dopyty), XSS, CSRF a obmedzovanie počtu požiadaviek (rate-limiting),
• auditné záznamy (Audit Log) všetkých kľúčových administratívnych a manažérskych operácií.

12. Vaše práva ako dotknutej osoby podľa GDPR

Ak vystupujeme voči vašim osobným údajom ako Prevádzkovateľ, máte podľa čl. 15 až 22 GDPR nasledovné práva:

• Právo na prístup k údajom (čl. 15 GDPR): získať potvrdenie o tom, či spracúvame vaše osobné údaje, a získať kópiu týchto údajov.
• Právo na opravu (čl. 16 GDPR): požiadať o opravu nesprávnych alebo doplnenie neúplných osobných údajov.
• Právo na vymazanie, tzv. „právo na zabudnutie" (čl. 17 GDPR): požiadať o vymazanie osobných údajov, ak pominul účel spracúvania, odvolali ste súhlas alebo ste úspešne namietali spracúvanie (pokiaľ ich uchovávanie nevyžaduje zákon, napr. zákon o účtovníctve).
• Právo na obmedzenie spracúvania (čl. 18 GDPR): požiadať o dočasné obmedzenie spracúvania vo vymedzených prípadoch.
• Právo na prenosnosť údajov (čl. 20 GDPR): získať osobné údaje, ktoré ste nám poskytli, v štruktúrovanom a strojovo čitateľnom formáte (CSV / JSON).
• Právo namietať (čl. 21 GDPR): kedykoľvek namietať proti spracúvaniu založenému na oprávnenom záujme alebo na účely priameho marketingu.
• Právo odvolať súhlas (čl. 7 ods. 3 GDPR): ak je spracúvanie založené na súhlase, môžete ho kedykoľvek odvolať.
• Právo nebyť predmetom automatizovaného individuálneho rozhodovania (čl. 22 GDPR).

Žiadosti o uplatnenie práv môžete zaslať e-mailom na support@notheory.ai. Na vašu žiadosť odpovieme bezodkladne, najneskôr do 1 mesiaca od jej doručenia. V odôvodnených prípadoch sa táto lehota môže s ohľadom na komplexnosť a počet žiadostí predĺžiť o ďalšie dva mesiace (čl. 12 ods. 3 GDPR), o čom vás budeme informovať do jedného mesiaca od doručenia žiadosti spolu s uvedením dôvodov.

13. Údaje spravované vašou organizáciou (Zamestnávateľom)

Ak používate NoTheory v rámci firemnej licencie poskytnutej vaším zamestnávateľom alebo odberateľom, prevádzkovateľom vašich tréningových údajov je táto organizácia. Žiadosti týkajúce sa tréningových záznamov, interných kurzov alebo priradených úloh odporúčame adresovať primárne administrátorovi / manažérovi vašej spoločnosti. Spoločnosť AI Automatization Agency s.r.o. poskytne vašej organizácii plnú súčinnosť pri vybavení vašej žiadosti v súlade s čl. 28 GDPR.

14. Obchodná a marketingová komunikácia

Obchodným kontaktom a manažérom našich firemných zákazníkov môžeme v súlade s čl. 6 ods. 1 písm. f) GDPR (oprávnený záujem v rámci B2B vzťahu) a § 116 ods. 3 zákona č. 452/2021 Z. z. o elektronických komunikáciách (alebo na základe udeleného súhlasu) zasielať informácie o nových kurzoch, legislatívnych aktualizáciách (napr. EU AI Act, NIS2, GDPR) a funkciách platformy. Z odberu obchodných oznámení sa môžete kedykoľvek odhlásiť kliknutím na odkaz v e-maile alebo správou na support@notheory.ai. Odhlásenie z marketingu nemá vplyv na doručovanie nevyhnutných prevádzkových, bezpečnostných a fakturačných správ.

15. Ochrana detí a neplnoletých osôb

Platforma NoTheory je určená výhradne na profesionálne, firemné a odborné vzdelávanie dospelých osôb a osôb starších ako 16 rokov. Vedome nezhromažďujeme osobné údaje detí mladších ako 16 rokov.

16. Zákonné požiadavky a ochrana práv

Osobné údaje môžeme uchovať alebo sprístupniť, ak je to nevyhnutné na splnenie zákonnej povinnosti, vykonateľného rozhodnutia súdu alebo orgánu verejnej moci, odhalenie podvodu alebo ochranu bezpečnosti, práv a majetku spoločnosti AI Automatization Agency s.r.o., našich klientov a používateľov.

17. Podnikové transakcie a právne nástupníctvo

V prípade zlúčenia, splynutia, akvizície, reštrukturalizácie alebo predaja podniku či jeho časti môžu byť príslušné údaje prevedené na právneho nástupcu za predpokladu zachovania rovnakej úrovne ochrany osobných údajov a mlčanlivosti podľa GDPR.

18. Zmeny a aktualizácie týchto Zásad

Tieto Zásady môžeme priebežne aktualizovať z dôvodu legislatívnych zmien alebo rozvoja funkcionalít platformy. Aktuálne znenie je vždy zverejnené na stránke /privacy.html s uvedením dátumu účinnosti. O podstatných zmenách budeme registrovaných klientov vopred informovať.

19. Kontaktné a identifikačné údaje Prevádzkovateľa

V prípade akýchkoľvek otázok, podnetov alebo žiadostí týkajúcich sa ochrany osobných údajov a súborov cookies nás kontaktujte:

• Obchodné meno: AI Automatization Agency s.r.o.
• Sídlo: Doležalova 3424/15C, 821 04 Bratislava, mestská časť Ružinov, Slovenská republika
• IČO: 57 440 255 · DIČ: 2122743799
• Zápis v registri: Spoločnosť je zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel: Sro, vložka č. 196096/B
• Bankové spojenie (IBAN): SK18 0900 0000 0052 4437 7720
• Telefón: +421 917 568 374 (0917 568 374)
• E-mail: support@notheory.ai
• Zodpovedná osoba (DPO): Spoločnosť nie je povinná ustanoviť zodpovednú osobu (DPO) podľa čl. 37 GDPR; otázky k ochrane údajov vybavujeme na support@notheory.ai.

20. Dozorný orgán

Ak sa domnievate, že spracúvaním vašich osobných údajov došlo k porušeniu GDPR alebo zákona č. 18/2018 Z. z., máte právo podať sťažnosť alebo návrh na začatie konania príslušnému dozornému orgánu (najmä v členskom štáte vášho obvyklého pobytu, miesta výkonu práce alebo v SR):

• Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, Slovenská republika, web: https://dataprotection.gov.sk, e-mail: statny.dozor@pdp.gov.sk.