Zásady spracúvania osobných údajov

Verzia: 1.2
Dátum účinnosti: 20. 10. 2026
Vydáva: Clinic Control, SE

Tieto Zásady spracúvania osobných údajov (ďalej len „Zásady") popisujú, ako Clinic Control, SE so sídlom Vodná 945/3, 040 01 Košice (ďalej len „Poskytovateľ") spracúva osobné údaje v súvislosti s webovou službou „Clinic Control - Kontrola vykazovania“ (ďalej len „Služba"), v súlade s Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (ďalej len „GDPR") a zákonom č. 18/2018 Z. z. o ochrane osobných údajov (ďalej len „Zákon"). Zásady tvoria súčasť informačnej povinnosti Poskytovateľa podľa čl. 13 a 14 GDPR a dopĺňajú Všeobecné obchodné podmienky Služby (“VOP”).

Zásady sa vzťahujú výhradne na funkciu Validovanie dávok zdravotných poisťovní, iné súčasti platformy Clinic Control môžu podliehať samostatným zásadám.

Poskytovateľ pri spracúvaní osobných údajov vystupuje v dvoch odlišných rolách, podľa toho, o aké údaje a účely spracúvania ide:

vo vzťahu k osobným údajom návštevníkov webovej aplikácie, Zákazníkov a Používateľov je Poskytovateľ prevádzkovateľom;
vo vzťahu k osobným údajom pacientov obsiahnutým v Dávkach pacientov nevystupuje Poskytovateľ ako prevádzkovateľ, ale ako sprostredkovateľ podľa čl. 28 GDPR. Prevádzkovateľom týchto osobných údajov je Zákazník – poskytovateľ zdravotnej starostlivosti, ktorý určuje účely a právny základ ich spracúvania. Poskytovateľ tieto údaje spracúva výlučne v mene Zákazníka a na základe jeho dokumentovaných pokynov, a to počas celého obdobia spracúvania, najmä pri prijatí Dávky, pseudonymizácii, validácii, uchovávaní, sprístupnení výsledkov, exporte a výmaze údajov. Podrobnejšie informácie o tomto spracúvaní sú uvedené v Zmluve o spracúvaní osobných údajov, ktorá je prílohou VOP.

Zvolené technické riešenie je založené na minimalizácii a pseudonymizácii údajov už pri vstupe (variant „pseudonymizované/minimalizované"). Poskytovateľ nedostáva a ani neuchováva mená pacientov alebo rodné čísla a Služba nie je napojená na systém NCZI eZdravie. Uchovávaný dataset však obsahuje pseudonymizované osobné údaje a nepovažuje sa za anonymný len preto, že neobsahuje priame identifikátory. Pseudonymizácia je bezpečnostným opatrením a nezbavuje Zákazníka ani Poskytovateľa povinností podľa GDPR.

Časť 1 Údaje návštevníkov webovej aplikácie a zákazníkov (Poskytovateľ je prevádzkovateľom údajov)

1.1 Prevádzkovateľ a kontakt

Prevádzkovateľom osobných údajov v zmysle tejto Časti 1 je:

Obchodné meno: Clinic Control, SE
IČO: 57 871 426
Sídlo: Vodná 945/3, 040 01 Košice
Kontaktný e-mail: vykony@cliniccontrol.sk
Zodpovedná osoba / DPO: zodpovedná osoba nebola menovaná, keďže to Poskytovateľovi nevyplýva z čl. 37 GDPR

Dotknuté osoby môžu vo veciach spracúvania svojich osobných údajov kontaktovať Poskytovateľa na uvedenej kontaktnej adrese.

1.2 Kategórie dotknutých osôb

Poskytovateľ spracúva údaje návštevníkov webovej aplikácie, Zákazníkov, ktorí sú fyzickými osobami, Používateľov, štatutárnych orgánov, zamestnancov a iných kontaktných osôb Zákazníkov, ako aj osôb, ktoré komunikujú s Poskytovateľom alebo prijímajú marketingovú komunikáciu.

Poskytovateľ získava údaje najmä priamo od dotknutej osoby, od Zákazníka, ktorý jej zriadi prístup alebo ju uvedie ako kontaktnú osobu, automaticky pri používaní Služby. Údaje označené ako povinné sú potrebné na uzavretie alebo plnenie Zmluvy, zriadenie konta alebo splnenie zákonnej povinnosti; bez nich nemusí byť možné Zmluvu uzavrieť alebo Službu poskytnúť. Súhlas s marketingom je dobrovoľný a možno ho kedykoľvek odvolať. Ak sú údaje spracúvané na základe oprávneného záujmu Poskytovateľa, môže dotknutá osoba spracúvanie namietať spôsobom uvedeným v týchto Zásadách.

1.3 Účely, rozsah spracúvaných údajov a právny základ spracúvania (čl. 6 GDPR)

Účel spracúvania	Rozsah spracúvaných údajov	Právny základ
Účel spracúvaniaRegistrácia a správa Používateľského konta, poskytovanie Služby	Rozsah spracúvaných údajov• meno a priezvisko, pracovná pozícia a organizácia, ktorú dotknutá osoba (kontaktná osoba Zákazníka) zastupuje • e-mailová adresa a telefónne číslo • kód lekára / kód poskytovateľa zdravotnej starostlivosti (PZS) • prihlasovacie a účtovné údaje k užívateľskému kontu	Právny základčl. 6 ods. 1 písm. b) GDPR — plnenie zmluvy
Účel spracúvaniaFakturácia a plnenie daňových/účtovných povinností	Rozsah spracúvaných údajov• meno a priezvisko, pracovná pozícia a organizácia, ktorú dotknutá osoba (kontaktná osoba Zákazníka) zastupuje • fakturačné, účtovné a platobné údaje (IČO, DIČ, sídlo), pokiaľ sa vzťahujú na fyzickú osobu	Právny základčl. 6 ods. 1 písm. c) GDPR — splnenie zákonnej povinnosti podľa zákona č. 431/2002 Zb. o účtovníctve v platnom a účinnom znení
Účel spracúvaniaKomunikácia so Zákazníkom, technická podpora	Rozsah spracúvaných údajov• meno a priezvisko, pracovná pozícia a organizácia, ktorú dotknutá osoba (kontaktná osoba Zákazníka) zastupuje • e-mailová adresa a telefónne číslo • prihlasovacie a účtovné údaje k užívateľskému kontu • kód lekára / kód poskytovateľa zdravotnej starostlivosti (PZS)	Právny základčl. 6 ods. 1 písm. b) GDPR, ak je zmluvnou stranou fyzická osoba, a čl. 6 ods. 1 písm. f) GDPR — oprávnený záujem na komunikácii so Zákazníkom, vybavovaní jeho požiadaviek a poskytovaní podpory
Účel spracúvaniaZabezpečenie prevádzky, logovanie, prevencia zneužitia	Rozsah spracúvaných údajov• prihlasovacie a účtovné údaje k užívateľskému kontu; • technické a prevádzkové logy (IP adresa, čas prístupu, typ prehliadača a podobné metadáta)	Právny základčl. 6 ods. 1 písm. f) GDPR — oprávnený záujem na zaistení bezpečnosti Služby
Účel spracúvaniaMarketingová komunikácia (ak je zasielaná)	Rozsah spracúvaných údajov• meno a priezvisko, pracovná pozícia a organizácia, ktorú dotknutá osoba (kontaktná osoba Zákazníka) zastupuje • e-mailová adresa • navštívené stránky webovej stránky a ukážky Návrhu zmien, ak dotknutá osoba udelila súhlas s marketingovými cookies	Právny základčl. 6 ods. 1 písm. a) GDPR — súhlas, resp. pri marketingu vlastných obdobných služieb existujúcim zákazníkom, ak sú splnené podmienky čl. 6 ods. 1 písm. f) GDPR v spojení s § 116 zákona č. 452/2021 Z. z. o elektronických komunikáciách (oprávnený záujem na priamom marketingu); možnosť namietať sa poskytuje pri získaní kontaktu aj v každej správe
Účel spracúvaniaRiešenie sporov a nárokov	Rozsah spracúvaných údajov• Akékoľvek údaje potrebné na riešenie sporu alebo nároku Poskytovateľa, ktoré poskytovateľ získal a spracúval v súvislosti s poskytovaním Služieb Zákazníkovi	Právny základčl. 6 ods. 1 písm. c) a f) GDPR — splnenie zákonnej povinnosti a oprávnený záujem Poskytovateľa na ochrane, uplatňovaní a obhajovaní jeho právnych nárokov

1.4 Príjemcovia a sprostredkovatelia

Poskytovateľ sprístupňuje pri spracúvaní osobné údaje iba v nevyhnutnom rozsahu svojim oprávneným osobám a príjemcom alebo sprostredkovateľom, ktorých zapojenie je potrebné na príslušný účel spracúvania:

Sprostredkovatelia - Pri poskytovaní Služby využíva Poskytovateľ nasledujúcich sprostredkovateľov, ktorí môžu spracúvať osobné údaje v jeho mene na základe zmluvy podľa čl. 28 GDPR:

UNIIT, s. r. o., adresa: Betliarska 21, 851 07 Bratislava, Slovenská republika, poskytované služby: vývoj, údržba a technický rozvoj softvéru a aplikácie Služby, vrátane technickej podpory, testovania a riešenia technických incidentov.
Render Services, Inc., adresa: 525 Brannan St, San Francisco, CA 94107, USA, poskytované služby: poskytovanie hostingovej a serverovej infraštruktúry Služby, prevádzka webovej aplikácie a API, prevádzka databázy PostgreSQL, automatické zálohovanie, uchovávanie prevádzkových logov a správa technických komponentov potrebných na prevádzku Služby.
Sendinblue SAS (Brevo), adresa: 106 boulevard Haussmann, 75008 Paríž, Francúzsko, poskytované služby: zasielanie marketingovej komunikácie a, so súhlasom návštevníka, záznam návštev webovej stránky a ukážky Návrhu zmien ku kontaktu, ktorý na ne prišiel z nášho e-mailu.
Functional Software, Inc. d/b/a Sentry, adresa: 45 Fremont Street, Floor 8, San Francisco, CA 94105, USA, poskytované služby: monitoring chýb a technických problémov aplikácie, zaznamenávanie chybových udalostí a prevádzkových metrík a diagnostika technických problémov na účely zabezpečenia dostupnosti, stability a bezpečnosti Služby.

Medzi kategórie príjemcov patria najmä právni, daňoví, účtovní a audítorskí poradcovia a poskytovatelia platobných služieb, ktorí osobné údaje spracúvajú vo vlastnom mene a na vlastnú zodpovednosť.

Osobné údaje môžeme ďalej poskytnúť, ak nám takú povinnosť ukladá zákon, rozhodnutie príslušného orgánu verejnej moci alebo súdne rozhodnutie, napríklad našim dodávateľom alebo klientom, daňovým orgánom, orgánom sociálneho zabezpečenia, orgánom činným v trestnom konaní alebo iným orgánom verejnej moci.

S každým sprostredkovateľom, ktorý spracúva osobné údaje v mene Poskytovateľa, má Poskytovateľ uzatvorenú zmluvu o spracúvaní údajov v zmysle čl. 28 GDPR.

1.5 Prenos osobných údajov do tretích krajín

Poskytovateľ spracúva osobné údaje prednostne v Európskej únii / Európskom hospodárskom priestore. Pokiaľ v odôvodnených prípadoch dôjde k spracovaniu osobných údajov mimo Európsku úniu / Európsky hospodársky priestor, uskutoční sa výhradne na základe primeraných záruk podľa čl. 46 GDPR (najmä štandardných zmluvných doložiek schválených Európskou komisiou) alebo na základe rozhodnutia o primeranosti podľa čl. 45 GDPR.

1.6 Doba uchovávania osobných údajov

Údaje Používateľského konta a zmluvná komunikácia: po dobu trvania zmluvného vzťahu a po jeho skončení, dlhšie iba v rozsahu potrebnom na uplatnenie alebo obhajobu právnych nárokov.
Fakturačné a účtovné doklady: po dobu vyplývajúcu z osobitných predpisov (najmä zákon č. 431/2002 Z. z. o účtovníctve a daňové predpisy), spravidla 10 rokov.
Technické a prevádzkové logy: krátkodobo, po dobu 1 mesiaca, následne sa anonymizujú alebo vymažú.

Po uplynutí príslušnej doby uchovávania Poskytovateľ osobné údaje vymaže alebo anonymizuje. Presný mechanizmus a technická implementácia výmazu sú predmetom interného technického postupu Poskytovateľa.

Tým nie sú dotknuté práva Zákazníka na export údajov a na súčinnosť pri zmene poskytovateľa podľa nariadenia (EÚ) 2023/2854 (Data Act) a čl. 8 VOP. Výmaz údajov po skončení Zmluvy sa vykoná až po uplynutí obdobia na stiahnutie údajov podľa príslušných ustanovení VOP.

1.7 Práva dotknutej osoby

Dotknutá osoba má v súvislosti so spracúvaním svojich osobných údajov najmä tieto práva podľa GDPR:

právo na prístup k osobným údajom (čl. 15 GDPR);
právo na opravu nesprávnych údajov (čl. 16 GDPR);
právo na vymazanie („právo na zabudnutie") (čl. 17 GDPR);
právo na obmedzenie spracúvania (čl. 18 GDPR);
právo na prenosnosť údajov, ak je spracúvanie založené na súhlase alebo zmluve a vykonáva sa automatizovane (čl. 20 GDPR);
právo namietať proti spracúvaniu založenému na oprávnenom záujme a kedykoľvek namietať proti priamemu marketingu (čl. 21 GDPR);
právo kedykoľvek odvolať udelený súhlas, ak je spracúvanie založené na súhlase (čl. 7 ods. 3 GDPR);
právo podať sťažnosť dozornému orgánu, ktorým je Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Center II, Galvaniho 7/B, 821 04 Bratislava, www.dataprotection.gov.sk (otvorí sa v novom okne).

Dotknutá osoba môže uplatniť svoje práva písomne na kontaktnej adrese uvedenej v bode 1.1. Poskytovateľ na žiadosť odpovie bez zbytočného odkladu, najneskôr v lehotách stanovených GDPR (spravidla do jedného mesiaca).

1.8 Cookies a podobné technológie

Poskytovateľ používa cookies a podobné technológie ukladané v koncovom zariadení používateľa, vrátane lokálneho úložiska prehliadača. Rozsah ich používania sa líši podľa toho, ktorú časť Služby používateľ využíva.

Webová aplikácia Služby – prihlasovanie

V aplikácii sa používajú výhradne nevyhnutné a funkčné technológie potrebné na prevádzku, autentifikáciu používateľa a zachovanie jeho nastavení. V tejto časti sa nepoužívajú analytické ani marketingové cookies.

Názov	Účel	Kategória	Doba uchovávania	Poskytovateľ
Názov`authjs.session-token` / v produkcii `__Secure-authjs.session-token`	Účeludržanie prihlásenia používateľa	Kategórianevyhnutné	Doba uchovávania12 hodín	PoskytovateľPoskytovateľ
Názov`authjs.csrf-token` / v produkcii `__Host-authjs.csrf-token`	Účelochrana pred útokmi CSRF	Kategórianevyhnutné	Doba uchovávaniado zatvorenia prehliadača	PoskytovateľPoskytovateľ
Názov`authjs.callback-url` / v produkcii `__Secure-authjs.callback-url`	Účelpresmerovanie používateľa po prihlásení	Kategórianevyhnutné	Doba uchovávaniado zatvorenia prehliadača	PoskytovateľPoskytovateľ
Názov`active_account_uuid`	Účelzapamätanie zvoleného poskytovateľa zdravotnej starostlivosti	Kategórianevyhnutné	Doba uchovávania30 dní	PoskytovateľPoskytovateľ
Názov`sidebar_state`	Účelzapamätanie zbaleného alebo rozbaleného bočného menu	Kategóriafunkčné	Doba uchovávania7 dní	PoskytovateľPoskytovateľ
Názovlokálne úložisko – nastavenie počtu riadkov v tabuľkách	Účelzapamätanie preferencie zobrazenia	Kategóriafunkčné	Doba uchovávaniado vymazania údajov stránky	PoskytovateľPoskytovateľ

Na používanie uvedených nevyhnutných a funkčných technológií sa súhlas nevyžaduje, keďže sú potrebné na fungovanie Služby a zachovanie používateľských nastavení.

Verejná webová stránka cliniccontrol.sk

Na verejnej webovej stránke sa používajú nevyhnutné technológie a, po udelení súhlasu používateľa, aj analytické cookies služby Google Analytics 4 a marketingové cookies služby Brevo.

Názov	Účel	Kategória	Doba uchovávania	Poskytovateľ
Názovlokálne úložisko `cc-analytics-consent`	Účeluchovanie informácie o udelení alebo odmietnutí súhlasu s analytickými a marketingovými cookies	Kategórianevyhnutné	Doba uchovávaniado vymazania údajov stránky	PoskytovateľPoskytovateľ
Názov`_ga`	Účelrozlíšenie návštevníkov v službe Google Analytics 4	Kategóriaanalytické – len so súhlasom	Doba uchovávania2 roky	PoskytovateľGoogle Ireland Limited
Názov`_ga_<ID>`	Účeluchovanie stavu relácie v službe Google Analytics 4	Kategóriaanalytické – len so súhlasom	Doba uchovávania2 roky	PoskytovateľGoogle Ireland Limited
Názov`sib_cuid`	Účelrozlíšenie návštevníka v službe Brevo a priradenie jeho návštev ku kontaktu, ktorý prišiel z nášho e-mailu	Kategóriamarketingové – len so súhlasom	Doba uchovávania6 mesiacov	PoskytovateľSendinblue SAS (Brevo)
Názovúložisko relácie `cc-brevo-identity`	Účelodovzdanie označenia kontaktu z odkazu v našom e-maile stránke ukážky Návrhu zmien	Kategóriamarketingové – len so súhlasom	Doba uchovávaniado zatvorenia prehliadača	PoskytovateľPoskytovateľ

Analytické a marketingové cookies sa aktivujú iba po udelení súhlasu prostredníctvom cookie lišty. Bez udelenia súhlasu sa nepoužívajú.

Analytické cookies používame na meranie návštevnosti a spôsobu používania webovej stránky. Pomáhajú nám rozlišovať jednotlivých návštevníkov a relácie, zisťovať, ktoré časti webovej stránky sú navštevované, a vyhodnocovať základné štatistiky používania stránky. Tieto informácie používame na zlepšovanie obsahu, funkčnosti a používateľskej prívetivosti webovej stránky. Analytické cookies používame len na základe vášho súhlasu.

Marketingové cookies služby Brevo používame na to, aby sme pri osobe, ktorá prišla na webovú stránku z odkazu v našom e-maile, vedeli, ktoré stránky si prezrela, vrátane stránky ukážky Návrhu zmien, a mohli jej posielať relevantnejšiu komunikáciu. Odkaz v e-maile na tento účel obsahuje označenie kontaktu, ktoré webová stránka odovzdá aj odkazu na ukážku Návrhu zmien. Marketingové cookies používame len na základe vášho súhlasu.

Súhlas s analytickými a marketingovými cookies možno kedykoľvek odvolať zmenou voľby v cookie lište alebo vymazaním údajov stránky v prehliadači. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vykonaného pred jeho odvolaním.

Cookies a údaje uložené v lokálnom úložisku možno spravovať alebo vymazať aj prostredníctvom nastavení internetového prehliadača. Zablokovanie nevyhnutných cookies môže spôsobiť, že niektoré funkcie aplikácie, najmä prihlásenie, nebudú fungovať správne.

1.9 Bezpečnostné opatrenia (čl. 32 GDPR)

Poskytovateľ prijíma a pravidelne prehodnocuje primerané technické a organizačné opatrenia na ochranu osobných údajov so zohľadnením povahy, rozsahu, kontextu a účelov spracúvania a rizík pre dotknuté osoby, najmä:

šifrovanie prenosu dát prostredníctvom TLS/HTTPS;
hashovanie hesiel (bcrypt);
autentifikáciu prostredníctvom JWT s rotáciou refresh tokenov;
logickú izoláciu dát medzi jednotlivými Zákazníkmi (oddelenie na úrovni účtu/tenanta);

1.10 Automatizované rozhodovanie a profilovanie

Služba automatizovane kontroluje Dávky a vytvára zistenia a odporúčania, sama však neprijíma rozhodnutie, ktoré by voči pacientovi, Zákazníkovi alebo Používateľovi malo právne účinky alebo podobne významný vplyv podľa čl. 22 GDPR. O úprave a odoslaní Dávky rozhoduje Zákazník a o jej akceptácií alebo úhrade zdravotná poisťovňa, v súlade s čl. 3.3 VOP.