# Subprocessor / Security / Retention Appendix ERPOLIS B2B

**Dokument:** Príloha o subprocesoroch, bezpečnosti a retencii  
**Verzia:** ERPOLIS_SUBPROCESSOR_SECURITY_RETENTION_B2B_SK_2026_1  
**Účinnosť od:** 1. júla 2026  
**Stav dokumentu:** finálne zákaznícke znenie pre B2B checkout ERPOLIS

## 1. Poskytovateľ

Táto príloha sa vzťahuje na službu ERPOLIS poskytovanú spoločnosťou:

HERLEKYN s. r. o.  
Sídlo: Ševčenkova 1051/1, 851 01 Bratislava – mestská časť Petržalka, Slovenská republika  
IČO: 57 303 631  
DIČ: 2122655942  
IČ DPH: SK2122655942  
Zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel: Sro, vložka č. 193336/B  
Web: www.herlekyn.com  
E-mail pre obchodné a fakturačné otázky: business@herlekyn.com  
E-mail podpory: support@herlekyn.com

Táto príloha dopĺňa Všeobecné licenčné a servisné podmienky ERPOLIS B2B, Zásady ochrany osobných údajov ERPOLIS B2B a Podmienky spracúvania osobných údajov ERPOLIS B2B.

## 2. Účel prílohy

Táto príloha zákazníkovi transparentne opisuje:

- subprocesorov a ďalších relevantných poskytovateľov,
- rolu jednotlivých poskytovateľov,
- základné technické a organizačné bezpečnostné opatrenia,
- pravidlá exportu a výmazu,
- retenčné lehoty pre hlavné kategórie údajov,
- rámec prenosov mimo EÚ/EHP.

## 3. Subprocesori a relevantní poskytovatelia

### 3.1 Subprocesori podľa DPA

| Poskytovateľ | Rola | Účel a rozsah | Typ údajov |
| --- | --- | --- | --- |
| WebSupport / Active24 | infraštruktúrny subprocesor | hosting, webová infraštruktúra, databáza, zálohy, DNS/SSL, serverové logy, e-mailová infraštruktúra, technická prevádzka | zákaznícke údaje v ERPOLIS, databázové údaje, dokumenty, logy, technické metadáta, e-mailové metadáta a obsah správ podľa použitia |
| WebSupport Mail / SMTP | e-mailový subprocesor, ak je používaný ako produkčná e-mailová infraštruktúra | odosielanie systémových, fakturačných, onboardingových a supportných e-mailov | e-mailové adresy, predmety, obsah správ, prílohy, doručovacie metadáta |

HERLEKYN môže používať aj iných technických dodávateľov, ak sú potrební na prevádzku ERPOLIS a sú uvedení v aktualizovanej verzii tejto prílohy alebo v zákazníkovi oznámenom zozname.

### 3.2 Samostatní prevádzkovatelia alebo príjemcovia mimo DPA subprocesor modelu

| Poskytovateľ | Rola | Účel a rozsah | Poznámka |
| --- | --- | --- | --- |
| PayPal | samostatný poskytovateľ platobných služieb / samostatný prevádzkovateľ | spracovanie platby, platobné potvrdenie, refund, chargeback, prevencia podvodov a zákonné povinnosti PayPal | PayPal nie je subprocesor HERLEKYN podľa pokynov zákazníka; spracúva platobné údaje podľa vlastných podmienok |
| ABRA/Flexi alebo používaný účtovný systém HERLEKYN | účtovný a fakturačný poskytovateľ alebo príjemca údajov pre účtovníctvo | účtovníctvo, fakturácia, daňová evidencia, evidencia úhrad, účtovné výstupy | spracúva najmä fakturačné a účtovné údaje HERLEKYN, nie bežné prevádzkové údaje vložené zákazníkom do ERPOLIS |
| Účtovní, daňoví a právni poradcovia HERLEKYN | príjemcovia alebo samostatní prevádzkovatelia podľa povahy služby | účtovníctvo, dane, právne poradenstvo, audit a ochrana práv | rozsah údajov je obmedzený na potrebné obchodné, fakturačné, účtovné a právne údaje |
| Orgány verejnej moci | oprávnení príjemcovia | plnenie zákonných povinností, daňová kontrola, súdne alebo správne konanie | údaje sa poskytujú iba v rozsahu vyžadovanom právom |

### 3.3 Analytika a vývojové nástroje

Verejný web môže používať analytické nástroje, napríklad Google Analytics, iba ak sú aktívne v súlade s cookie nastaveniami a právnym základom. Analytika nemá prijímať e-maily, mená, zákaznícke ID, fakturačné alebo platobné identifikátory, interné poznámky, supportný obsah ani iné zbytočné osobné údaje.

Vývojové nástroje, napríklad GitHub alebo lokálne vývojové prostredia, nie sú určené na spracúvanie produkčných zákazníckych údajov. Do repozitára, issue trackerov, CI logov ani dokumentácie sa nemajú vkladať produkčné zákaznícke údaje, heslá, tokeny, databázové dumpy, PayPal payloady, faktúry, licenčné certifikáty ani supportné prílohy.

## 4. Technické a organizačné opatrenia

HERLEKYN používa primerané technické a organizačné opatrenia podľa povahy ERPOLIS a rizík spracúvania.

### 4.1 Riadenie prístupu

- prístup do ERPOLIS je viazaný na používateľské účty,
- zákazník spravuje vlastných používateľov a ich oprávnenia,
- administrátorské prístupy HERLEKYN sú obmedzené podľa potreby,
- prístupy sa používajú podľa zásady minimálnych oprávnení,
- servisný a administrátorský prístup sa používa iba na prevádzku, support, bezpečnosť, audit alebo plnenie zmluvy.

### 4.2 Autentifikácia a heslá

- nové onboarding a reset procesy používajú nastavovacie alebo resetovacie odkazy,
- trvalé plaintext heslá sa nemajú posielať v nových produkčných onboarding procesoch,
- zákazník je zodpovedný za ochranu prihlasovacích údajov svojich používateľov,
- podozrenie na kompromitáciu účtu je potrebné oznámiť HERLEKYN bez zbytočného odkladu.

### 4.3 Sieťová a aplikačná bezpečnosť

- prenos medzi používateľom a službou prebieha cez HTTPS/TLS,
- aplikácia používa prístupové kontroly a zákaznícky scope,
- platobné webhooky sa majú overovať podpisom alebo iným bezpečnostným mechanizmom,
- interné identifikátory, tokeny a tajomstvá sa nezverejňujú v zákazníckych výstupoch,
- sprístupnenie dokumentov sa má vykonávať cez autorizovaný download a kontrolu cesty a integrity.

### 4.4 Audit a logy

HERLEKYN môže viesť auditné a technické logy pre:

- prihlásenia a prístupové udalosti,
- zmeny oprávnení,
- objednávky, platby, faktúry a predplatné,
- webhooky a platobné udalosti,
- e-mailový outbox a doručovanie,
- generovanie a sprístupnenie dokumentov,
- bezpečnostné incidenty,
- administrátorské a supportné zásahy.

Logy sa uchovávajú iba počas primeranej doby podľa retenčnej tabuľky a prístup k nim je obmedzený.

### 4.5 Dokumenty a integrita

Faktúry, licenčné certifikáty a iné systémové PDF dokumenty môžu byť ukladané s integritným hashom, napríklad SHA256. Pri sprístupnení dokumentu môže HERLEKYN overovať, že dokument existuje v povolenom úložisku a že jeho integrita zodpovedá uloženej hodnote.

### 4.6 Zálohovanie a obnova

Služba využíva zálohovacie mechanizmy hostingového alebo infraštruktúrneho poskytovateľa. Zálohy slúžia na kontinuitu a obnovu služby, nie ako individuálny archív zákazníka. Zákazník je zodpovedný za vlastné exporty údajov, ak ich potrebuje pre interné alebo zákonné účely.

### 4.7 Minimalizácia údajov

HERLEKYN obmedzuje údaje odovzdávané platobným, účtovným, analytickým a supportným poskytovateľom na rozsah potrebný na daný účel. PayPal nemá dostávať ERP používateľské zoznamy, heslá, licenčné PDF, interné poznámky alebo supportné prílohy, pokiaľ to nie je nevyhnutné na platobnú alebo právnu situáciu. Účtovný systém nemá dostávať bežné prevádzkové údaje vložené zákazníkom do ERPOLIS.

## 5. Retenčné lehoty

| Kategória údajov | Systém alebo poskytovateľ | Retenčná lehota |
| --- | --- | --- |
| Faktúry, daňové a účtovné doklady | ERPOLIS, účtovný systém, účtovníctvo HERLEKYN | 10 rokov od konca účtovného obdobia, ktorého sa týkajú, alebo dlhšie, ak to vyžaduje zákon |
| Objednávky, predplatné, platobné a licenčné záznamy | ERPOLIS | počas trvania vzťahu a 4 roky po jeho skončení; účtovné doklady podľa zákonnej lehoty |
| Licenčné certifikáty a dokumentové hashe | ERPOLIS | počas trvania vzťahu a 4 roky po jeho skončení; ak sú súčasťou účtovnej evidencie, 10 rokov |
| Dôkaz o akceptácii právnych dokumentov | ERPOLIS | počas trvania vzťahu a 4 roky po jeho skončení alebo po poslednom nároku |
| Customer-entered ERPOLIS údaje | ERPOLIS | počas trvania služby; po ukončení 30 dní exportné obdobie, následne výmaz alebo anonymizácia z aktívneho prostredia najneskôr do 60 dní |
| Údaje účtov a používateľov | ERPOLIS | počas trvania služby; po ukončení podľa exportného a výmazového režimu, auditné stopy podľa právnych lehôt |
| Support komunikácia | e-mailová schránka alebo support systém | 3 roky od vybavenia požiadavky, ak nie je potrebná dlhšia lehota |
| Bezpečnostné a technické logy | ERPOLIS, hosting, serverové logy | zvyčajne 12 mesiacov; pri incidente, spore alebo audite po dobu potrebnú na vyriešenie |
| Webhookové, platobné a outbox auditné záznamy | ERPOLIS | 4 roky, ak slúžia ako platobná, fakturačná alebo právna evidencia |
| Hostingové zálohy | WebSupport / Active24 alebo príslušný hosting | podľa rotácie poskytovateľa, štandardne približne 14 až 30 dní |
| PayPal platobné záznamy | PayPal | podľa podmienok a zákonných povinností PayPal |
| ABRA/Flexi alebo účtovný systém | účtovníctvo a fakturácia | podľa účtovných a daňových povinností, spravidla 10 rokov |
| Analytické cookies | analytický nástroj | podľa cookie nastavenia a súhlasu, najdlhšie 26 mesiacov, ak nie je nastavené kratšie obdobie |
| Vývojové záznamy | GitHub a vývojové nástroje | podľa retenčných pravidiel nástroja; produkčné zákaznícke údaje sa do nich nemajú vkladať |

## 6. Export a výmaz údajov

Po skončení predplatného alebo zmluvy môže zákazník požiadať o export zákazníckych údajov. Štandardné exportné obdobie je 30 dní. Export sa poskytuje v technicky primeranom formáte, najmä CSV, XLSX, PDF alebo inom dostupnom formáte.

Po uplynutí exportného obdobia HERLEKYN vymaže alebo anonymizuje zákaznícke údaje z aktívneho prostredia najneskôr do 60 dní, ak ich ďalšie uchovávanie nie je potrebné podľa zákona, na ochranu práv, bezpečnosť, účtovníctvo, audit alebo riešenie incidentu.

Zálohy sa prepisujú podľa zálohovacej rotácie. Z dôvodu technickej povahy záloh môže byť individuálny výmaz v zálohe vykonaný až prepisom alebo expiráciou zálohy.

## 7. Prenosy mimo EÚ/EHP

Hosting a hlavná prevádzka ERPOLIS sú smerované na infraštruktúru v EÚ/EHP. Niektorí poskytovatelia, najmä PayPal, Google alebo globálni cloudoví poskytovatelia používaní účtovnými alebo analytickými službami, môžu spracúvať alebo prenášať údaje mimo EÚ/EHP.

Ak sa uskutoční prenos mimo EÚ/EHP, používa sa primeraný mechanizmus podľa GDPR, najmä rozhodnutie o primeranosti, štandardné zmluvné doložky alebo iný právny mechanizmus. Pri samostatných prevádzkovateľoch, ako je PayPal, sa uplatňujú aj ich vlastné podmienky a transferové mechanizmy.

## 8. Zmeny subprocesorov a prílohy

HERLEKYN môže túto prílohu aktualizovať, najmä pri zmene hostingu, e-mailovej infraštruktúry, účtovného systému, platobného poskytovateľa, analytiky alebo retenčných pravidiel.

Ak ide o podstatnú zmenu subprocesora, ktorý spracúva zákaznícke údaje v mene HERLEKYN, HERLEKYN informuje zákazníka primeraným spôsobom najmenej 15 dní pred začatím produkčného spracúvania novým subprocesorom, pokiaľ urgentná bezpečnostná alebo prevádzková potreba nevyžaduje skoršie zapojenie.

Zákazník môže vzniesť primeranú námietku voči novému subprocesorovi, ak vie preukázať oprávnené dôvody súvisiace s ochranou osobných údajov. Ak sa námietku nepodarí vyriešiť primeraným opatrením, zákazník môže ukončiť dotknutú službu podľa VLASP alebo individuálnej zmluvy.

## 9. Kontakt

Otázky k subprocesorom, bezpečnosti a retencii možno posielať na support@herlekyn.com. Obchodné a fakturačné otázky možno posielať na business@herlekyn.com.