Ochrana osobných údajov

1. Kto s vašimi údajmi pracuje

Imrich Gleza, fyzická osoba - podnikateľ, SNP 819/15, 078 01 Sečovce, IČO: 34274774, DIČ: 1023623150, držiteľ povolenia Národnej banky Slovenska na výkon činnosti viazaného finančného agenta, registračné číslo NBS: 246835, zapísaný v podregistri poskytovania úverov, úverov na bývanie a spotrebiteľských úverov od 08.08.2019. Prevádzkuje web LepšiaPôžička.sk.

Kontakt vo veciach osobných údajov: info@lepsiapozicka.sk alebo poštou na adresu sídla. Zodpovednú osobu (DPO) nemáme určenú, nespĺňame ani jednu z podmienok čl. 37 ods. 1 GDPR, ktoré ju robia povinnou. Vaše otázky vybavuje priamo prevádzkovateľ.

Ahoj, a.s., Dvořákovo nábrežie 4, 811 02 Bratislava, IČO: 48 113 671, zapísaná v obchodnom registri Okresného súdu Bratislava I, odd. Sa, vl. č. 6128/B. Je to jediná finančná inštitúcia, s ktorou máme zmluvu, a je to ona, kto úver poskytuje a kto o ňom rozhoduje.

V ktorej úlohe konáme

Máme dve, a nie sú to synonymá. Pri údajoch, ktoré vyplníte v žiadosti, sme sprostredkovateľom podľa čl. 28 GDPR, spracúvame ich v mene spoločnosti Ahoj, a.s., ktorá je pri posudzovaní žiadosti o úver prevádzkovateľom. Popri tom sme samostatným prevádzkovateľom tam, kde nám vlastné povinnosti ukladá zákon o finančnom sprostredkovaní a zákon proti legalizácii príjmov z trestnej činnosti: identifikácia klienta, vedenie evidencie, dohľad NBS.

Z toho plynie jedna vec, ktorú treba povedať rovno: všetko, čo vyplníte v žiadosti, aj oba doklady, odovzdávame spoločnosti Ahoj, a.s. Bez toho žiadosť posúdiť nemá kto, úver poskytuje ona, nie my.

Ako Ahoj, a.s. nakladá s údajmi ako prevádzkovateľ a aké práva voči nej máte, je na www.ahojsplatky.sk/ochrana-osobnych-udajov. Informácie o samotnom sprostredkovaní sú na stránke Finančné sprostredkovanie.

2. Aké údaje spracúvame

To, čo je vo formulári žiadosti, plus dva technické údaje uvedené na konci:

• Identifikačné údaje: meno, priezvisko, rodné číslo, číslo občianskeho preukazu.
• Kontaktné údaje: telefónne číslo, e-mailová adresa.
• Údaje o požadovanej pôžičke: produkt, suma, počet splátok.
• Údaje o príjme: typ príjmu, jeho výška a odkedy plynie, a to isté o vedľajšom príjme, ak nejaký uvediete.
• Platobné údaje: číslo účtu v tvare IBAN.
• Doklady: fotografia alebo sken prednej a zadnej strany občianskeho preukazu. Uchovávame každú nahratú verziu, nielen poslednú, staršie pokusy sú súčasťou toho, čo ste nám poslali.
• Technické údaje: IP adresa, označenie prehliadača, dátum a čas nahratia dokladu a odoslania žiadosti.
• Údaje o príchode na web: parametre v adrese, ktorou ste prišli (napríklad gclid, fbclid alebo označenie kampane utm_*), vstupná stránka a odkazovač. Nepochádzajú z formulára, ale z odkazu, na ktorý ste klikli. Slúžia na predchádzanie podvodom a - ak nám na to dáte súhlas - na vyhodnotenie reklamy. Podrobnejšie sú opísané v bode 8 pri cookie lp_attr.
• Rozpracovaná žiadosť: ak vyplníte prvý krok formulára a ďalej nepokračujete, uchováme meno, priezvisko, rodné číslo, číslo dokladu totožnosti, telefónne číslo, e-mailovú adresu a požadovanú sumu a počet splátok, aby ste mohli nahrať doklady a žiadosť dokončiť.
• Obsah komunikácie: to, čo si s nami napíšete e-mailom alebo poviete po telefóne, keď vám k žiadosti voláme.

Osobitné kategórie údajov podľa čl. 9 GDPR, teda zdravie, biometria, viera či politické názory, nespracúvame a vo formulári o ne nežiadame. Podobizeň na občianskom preukaze sa spracúva ako obrázok, nie technickými prostriedkami na jedinečnú identifikáciu, takže biometrickým údajom v zmysle čl. 4 bod 14 GDPR nie je.

3. Prečo a na akom právnom základe

Súhlas nie je náš právny základ. Zaškrtnutie políčka pod formulárom potvrdzuje, že ste si tieto informácie prečítali a že žiadate o posúdenie. Nie je to súhlas, ktorý by sa dal odvolať a tým celé spracúvanie zastaviť. Dôvody sú tieto:

• Posúdenie žiadosti a sprostredkovanie úveru - čl. 6 ods. 1 písm. b) GDPR, opatrenia pred uzavretím zmluvy na vašu žiadosť. Rozsah údajov, ktoré máme právo žiadať, určuje § 31 ods. 1 zákona č. 186/2009 Z. z. o finančnom sprostredkovaní a finančnom poradenstve, a oprávnenie získať ich kopírovaním alebo skenovaním dokladu totožnosti aj bez súhlasu § 31 ods. 2 toho istého zákona.
• Uchovanie rozpracovanej žiadosti - čl. 6 ods. 1 písm. b) GDPR, rovnaký základ. Podľa § 31 ods. 8 zákona č. 186/2009 Z. z. sa uvedené oprávnenia vzťahujú aj na toho, kto o finančné sprostredkovanie preukázateľne prejavil záujem, teda aj na vás, kým žiadosť dokončujete.
• Žiadosť dokončená po telefóne - ak ju s vami vyplní náš pracovník, zaznamenáme, kto to bol a kedy. Rozsah spracúvania je rovnaký ako pri žiadosti vyplnenej na webe.
• Overenie totožnosti a povinnosti proti praniu špinavých peňazí - čl. 6 ods. 1 písm. c) GDPR, teda plnenie zákonnej povinnosti. Finančný agent je povinnou osobou podľa § 5 ods. 1 písm. b) šiesteho bodu zákona č. 297/2008 Z. z. a § 19 ods. 1 toho istého zákona ho oprávňuje spracúvať aj rodné číslo a kópie úradných dokladov bez súhlasu.
• Vedenie evidencie a podklady pre dohľad NBS - čl. 6 ods. 1 písm. c) GDPR, § 36 zákona č. 186/2009 Z. z.
• Kontrola voči internému zoznamu a predchádzanie podvodom - čl. 6 ods. 1 písm. f) GDPR, oprávnený záujem. Odôvodnenie 47 GDPR výslovne uvádza predchádzanie podvodom ako oprávnený záujem. Podrobne v bode 6.
• Bezpečnosť webu a preukázateľnosť toho, čo sa stalo - čl. 6 ods. 1 písm. f) GDPR. Sem patrí IP adresa pri nahratí dokladu a pri odoslaní žiadosti a obmedzenie počtu pokusov z jednej adresy.
• Uplatnenie a obrana právnych nárokov - čl. 6 ods. 1 písm. f) GDPR.

K rodnému číslu. Je to všeobecne použiteľný identifikátor podľa zákona č. 301/1995 Z. z. Podľa § 78 ods. 4 zákona č. 18/2018 Z. z. ho možno využiť len vtedy, keď je to na daný účel nevyhnutné, a zverejniť ho nemožno. Žiadame ho preto, že bez neho finančná inštitúcia nevie jednoznačne overiť totožnosť žiadateľa. V databáze je uložené šifrované a do prevádzkových záznamov sa nezapisuje nikdy.

4. Ako dlho ich uchovávame

• Žiadosť, z ktorej vznikla zmluva o úvere: najmenej 10 rokov od začiatku platnosti zmluvy (§ 36 ods. 2 zákona č. 186/2009 Z. z.), ak túto evidenciu za nás nevedie finančná inštitúcia podľa § 36 ods. 3. Súbežne platí 5 rokov od skončenia zmluvného vzťahu podľa § 19 ods. 2 zákona č. 297/2008 Z. z. Rozhoduje tá lehota, ktorá uplynie neskôr.
• Rozpracovaná, neodoslaná žiadosť a doklady k nej: 30 dní od začatia.
• Žiadosť, ktorá k zmluve neviedla (zamietnutá): 3 roky od odoslania. Zodpovedá to všeobecnej premlčacej dobe podľa § 101 Občianskeho zákonníka, počas ktorej by sa dalo namietať, ako sme žiadosť vybavili.
• Fotografie dokladov k žiadosti, z ktorej zmluva nevznikla: 3 roky, rovnako dlho ako samotná žiadosť. Zákonná lehota tu nevzniká - § 36 ods. 2 zákona č. 186/2009 Z. z. plynie od začiatku platnosti zmluvy a § 19 ods. 2 zákona č. 297/2008 Z. z. od skončenia zmluvného vzťahu. Mažú sa aj všetky staršie verzie.
• Záznamy v internom zozname podľa bodu 6: 5 rokov od zápisu. Zoznam neobsahuje čitateľné rodné číslo, e-mail ani telefón, len ich nezvratné odtlačky.
• Prevádzkové záznamy webu s IP adresou: 12 mesiacov. Patrí sem aj záznam o vašom rozhodnutí v lište o cookies.
• Údaje o príchode na web uložené pri žiadosti: tak dlho ako samotná žiadosť, teda 3 roky alebo 10+ rokov podľa vyššie uvedeného. Cookie lp_attr vo vašom prehliadači má 90 dní, ale kópia, ktorú sme si pri odoslaní žiadosti uložili k nej, žije s ňou.

5. Komu ich poskytujeme

• Ahoj, a.s. ako prevádzkovateľovi, ktorý o úvere rozhoduje a ktorý posudzuje vašu schopnosť splácať. Ide o celý obsah žiadosti vrátane dokladov.
• Národnej banke Slovenska pri výkone dohľadu a finančnej spravodajskej jednotke, súdom a orgánom činným v trestnom konaní vtedy, keď nám to ukladá zákon.
• WebCreators, s.r.o., Československej armády 24, 974 01 Banská Bystrica, IČO: 45 329 702, prevádzkovateľ služby HostCreators.sk. Ako sprostredkovateľ podľa čl. 28 GDPR pre nás prevádzkuje web, databázu aj e-mailovú schránku, a len v rozsahu, ktorý si vyžaduje prevádzka a zálohovanie.
• Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Írsko. Ako sprostredkovateľ podľa čl. 28 GDPR pre nás prevádzkuje merací server, cez ktorý prechádzajú údaje pre Google, Meta a OpenAI uvedené nižšie - len ak nám na to dáte súhlas v lište o cookies. Sám ich na nič iné nepoužíva.
• Google Ireland Limited (Google Analytics, Google Ads), Meta Platforms Ireland Limited (Facebook, Instagram) a OpenAI Ireland Limited (reklama v ChatGPT) - len ak nám na to dáte súhlas v lište o cookies. S Meta Platforms Ireland Limited sme pri meraní reklamy spoločnými prevádzkovateľmi podľa čl. 26 nariadenia: spoločne určujeme, že sa meranie deje a aké údaje sa naň použijú, kým o ďalšom využití rozhoduje Meta sama. Voči vám si svoje povinnosti plníme my a toto vyhlásenie je zhrnutím tej dohody; svoje práva si však môžete uplatniť u ktoréhokoľvek z nás. Google pri rozšírených konverziách koná ako náš sprostredkovateľ podľa čl. 28, pri ostatnom meraní ako samostatný prevádzkovateľ. OpenAI je samostatný prevádzkovateľ. Dostanú informáciu o tom, že žiadosť bola odoslaná a o ktorý produkt išlo, nezvratný odtlačok (SHA-256) vášho e-mailu, telefónneho čísla, mena, priezviska a krajiny, náhodné číslo žiadosti, a vašu IP adresu a označenie prehliadača, ktoré posielame nezašifrované - bez nich by nevedeli konverziu priradiť ku kliknutiu na reklamu. Neposiela sa im, ako sme o vašej žiadosti rozhodli. Merací skript OpenAI si e-mail a telefónne číslo navyše načíta priamo z formulára, ktorý vypĺňate, a odtlačok si vytvorí sám - tejto funkcii sa hovorí automatické rozšírené párovanie. Aj v tomto prípade opúšťa vaše zariadenie len odtlačok, nie samotný e-mail či telefónne číslo, a nedeje sa to bez vášho súhlasu. Slúži to na meranie a vyhodnotenie našich kampaní. Nikdy sa im neposiela vaše rodné číslo, číslo občianskeho preukazu, IBAN, príjem, obsah dokladov ani suma, o ktorú žiadate.

Servery, na ktorých web a databáza bežia, sú v Slovenskej republike. Údaje nepredávame a neposkytujeme ich na marketing tretích strán. Google, Meta aj OpenAI môžu údaje spracúvať aj mimo Európskeho hospodárskeho priestoru. Ich materské spoločnosti v USA sú certifikované v rámci EU-US Data Privacy Framework, ktorý Európska komisia uznala za primeranú úroveň ochrany; tam, kde sa rámec neuplatní, platia štandardné zmluvné doložky Európskej komisie.

Kým sa nerozhodnete a aj keď meranie odmietnete, odchádza ku Googlu obmedzený technický signál o načítaní stránky - bez cookies, bez identifikátorov a bez čohokoľvek, čo ste vyplnili. Google z neho odhaduje počty návštev; priradiť ho k vám nedokáže ani my. Robíme to na základe nášho oprávneného záujmu (čl. 6 ods. 1 písm. f) na meraní účinnosti webu a môžete proti nemu namietať. Odtlačky vašich údajov ani informácia o odoslanej žiadosti sa bez vášho súhlasu neposielajú nikam.

6. Automatizované rozhodovanie

Časť žiadostí zamietneme automaticky, bez toho, aby sa na ne najprv pozrel človek. Hovorí o tom čl. 22 GDPR a máte pri tom osobitné práva, takže tu je celý mechanizmus:

• Po odoslaní žiadosti sa z rodného čísla, e-mailu a telefónneho čísla vypočíta nezvratný odtlačok (HMAC-SHA256) a porovná sa s naším interným zoznamom. V zozname sú len odtlačky, nie samotné údaje.
• Ak nastane zhoda, žiadosť dostane stav „zamietnutá" a ďalej nepostupuje. Dôvod sa vám zobrazí hneď na stránke po odoslaní.
• Automaticky zamietneme aj druhú žiadosť, ak od vás jednu práve vybavujeme. Porovnáva sa odtlačok rodného čísla so žiadosťami, o ktorých sme ešte nerozhodli. Pôvodná žiadosť beží ďalej bez zmeny.
• Nepoužívame skóring, profilovanie ani hodnotenie vašej bonity a nepýtame sa na vás v žiadnom externom registri. Porovnáva sa zhoda, nič viac.
• Máte právo na ľudský zásah. Zavolajte na 0915 245 540 alebo napíšte na info@lepsiapozicka.sk a rozhodnutie preverí človek. Môžete vyjadriť svoje stanovisko a rozhodnutie napadnúť (čl. 22 ods. 3 GDPR).

Posúdenie bonity a rozhodnutie o samotnom úvere robí Ahoj, a.s. podľa vlastných pravidiel.

7. Ako údaje chránime

• Rodné číslo a číslo občianskeho preukazu sú v databáze uložené šifrované.
• Nahraté doklady sú šifrované na disku a neležia v priečinku, z ktorého web servíruje súbory. Nedá sa k nim dostať odkazom, ani keby ho niekto uhádol.
• Interný zoznam pracuje len s odtlačkami, takže z neho nemožno prečítať rodné číslo.
• Celý web beží cez HTTPS a formulár je chránený proti odoslaniu z cudzej stránky.
• Do prevádzkových záznamov sa zapisuje identifikátor žiadosti, čas, produkt a výsledok, nikdy rodné číslo ani obsah dokladu.
• K žiadostiam sa dostane len úzky okruh ľudí cez samostatne chránenú administráciu.

8. Cookies a úložisko prehliadača

Nevyhnutné - bez nich služba, o ktorú ste požiadali, nefunguje. Podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách sa na ne súhlas nevyžaduje a nedajú sa vypnúť:

• lp_csrf - bezpečnostný token formulára, platnosť 2 hodiny. Bez neho by sa dala žiadosť odoslať z cudzej stránky vaším menom.
• lp_session - krátkodobá relácia, ktorá prenesie výsledok žiadosti na stránku s odpoveďou. Zaniká zatvorením prehliadača, najneskôr o 2 hodiny.
• lp_consent - vaše rozhodnutie z lišty o cookies, platnosť 12 mesiacov. Ukladá sa preto, aby sme sa nepýtali na každej stránke znova.
• sessionStorage „lp:ziadost" - rekapitulácia sumy a splátky, ktorú vidíte po odoslaní. Neopúšťa váš prehliadač a k nám sa nedostane.

Analytické - len s vaším súhlasom. Hovoria nám, koľko ľudí na web príde a v ktorom kroku formulára skončia. Nastavuje ich Google Analytics 4:

• _ga, _ga_* - rozlíšia opakovanú návštevu od novej, platnosť 24 mesiacov.

Marketingové - len s vaším súhlasom. Slúžia na meranie a vyhodnotenie reklamy, aby sme vedeli, ktoré kampane majú zmysel:

• _gcl_au (Google Ads) - priradí odoslanú žiadosť ku kliknutiu na reklamu, platnosť 90 dní.
• _fbp, _fbc (Meta) - to isté pre reklamu na Facebooku a Instagrame, platnosť 90 dní.
• __oppref, __obref (OpenAI) - to isté pre reklamu v ChatGPT. Platnosť určuje OpenAI a nezverejňuje ju; nastavuje ich priamo ich skript.

Na predchádzanie podvodom - ukladá sa vždy, aj keď reklamné a analytické cookies odmietnete. Právnym základom je náš oprávnený záujem (čl. 6 ods. 1 písm. f) nariadenia) na tom, aby sme rozpoznali opakované alebo podvodné žiadosti:

• lp_attr - naša vlastná cookie s parametrami z adresy, ktorou ste na web prišli (napríklad gclid, fbclid alebo označenie kampane utm_*), spolu so vstupnou stránkou a odkazovačom. Platnosť 90 dní. Nie je v nej nič, čo ste vyplnili, a k reklamným platformám sa z nej bez vášho súhlasu neposiela nič - slúži nám len na to, aby sme vedeli spojiť dve žiadosti podané z toho istého zariadenia. Proti tomuto spracovaniu môžete namietať.

Kým sa nerozhodnete, neukladá sa nič z analytických ani marketingových cookies - jedinou výnimkou je lp_attr vyššie, ktorá slúži na predchádzanie podvodom a nie na reklamu. Súhlas je dobrovoľný, žiadosť o pôžičku funguje rovnako aj bez neho a svoje rozhodnutie viete kedykoľvek zmeniť. Odvolanie nemá vplyv na to, čo sa spracovalo predtým.

9. Vaše práva

• Prístup k údajom a kópiu toho, čo o vás máme (čl. 15).
• Oprava nesprávneho alebo doplnenie neúplného údaja (čl. 16).
• Vymazanie (čl. 17). Nevzťahuje sa na to, čo musíme uchovávať podľa bodu 4, zákonnú lehotu skrátiť nevieme. O vymazaní, oprave aj obmedzení informujeme príjemcov z bodu 5, ktorým sme údaje poskytli - okrem prípadov, keď je to nemožné alebo by si to vyžadovalo neprimerané úsilie (čl. 19). Reklamné platformy takú možnosť na úrovni jednotlivého merania spravidla neponúkajú; na požiadanie vám povieme, ktorých príjemcov sa to týkalo.
• Obmedzenie spracúvania, kým sa spor o údaj vyrieši (čl. 18).
• Prenosnosť údajov, ktoré ste nám dali a spracúvame ich automatizovane na základe čl. 6 ods. 1 písm. b) (čl. 20).
• Namietať proti spracúvaniu na základe oprávneného záujmu, teda proti kontrole voči internému zoznamu a bezpečnostným záznamom (čl. 21).
• Nepodliehať automatizovanému rozhodnutiu a žiadať ľudské preskúmanie (čl. 22), viď bod 6.

Stačí napísať na adresu sídla. Odpovieme do jedného mesiaca. Ak by bola žiadosť zložitá, lehotu môžeme predĺžiť najviac o dva mesiace a dáme vám o tom vedieť (čl. 12 ods. 3 GDPR). Ak nebudeme mať istotu, kto píše, požiadame o doplnenie údajov na overenie totožnosti. Je to ochrana vás, nie prekážka.

Ak nebudete s vybavením spokojní, môžete podať sťažnosť dozornému orgánu: Úrad na ochranu osobných údajov Slovenskej republiky, Galvaniho Business Centrum II, Galvaniho 7/B, 821 04 Bratislava, statny.dozor@pdp.gov.sk, +421 2 32 31 32 14. Sťažnosť na to, ako s údajmi nakladá Ahoj, a.s., smeruje priamo na ňu.

10. Musíte údaje poskytnúť?

Žiadať o pôžičku vás nikto nenúti. Keď však o ňu požiadate, údaje podľa § 31 ods. 1 zákona č. 186/2009 Z. z. potrebné sú: ak ich neposkytnete, finančný agent vám podľa § 31 ods. 7 toho istého zákona nesmie finančné sprostredkovanie poskytnúť a finančná inštitúcia nemôže overiť vašu totožnosť tak, ako jej to ukladá zákon proti legalizácii príjmov z trestnej činnosti.

To isté platí pre potvrdenie v prvom kroku formulára: bez neho žiadosť nevieme uložiť, takže nemôžete nahrať doklady ani ju odoslať.

11. Zmeny tohto dokumentu

Keď sa zmení to, čo s údajmi robíme, zmeníme aj túto stránku a posunieme dátum účinnosti hore. Verzia platná v čase, keď ste žiadosť odoslali, sa na vaše údaje vzťahuje ďalej.