Datenschutzerklärung

1. Verantwortlicher (распорядитель данных)

Verantwortlicher (распорядитель данных) в смысле Art. 4 Z 7 DSGVO за обработку персональных данных на zvitly.io и в приложении Zvitly:

По всем вопросам защиты данных, для запросов о доступе и для реализации ваших прав достаточно письма на указанный адрес с темой «Datenschutz». Особой формы не требуется.

2. Datenschutzbeauftragter (уполномоченный по защите данных)

Zvitly не назначал Datenschutzbeauftragter (уполномоченного по защите данных). Мы считаем правильным это обосновать, а не оставить вопрос без ответа.

Art. 37 Abs 1 DSGVO связывает обязанность назначения не с размером компании, а с характером обработки. Ни один из трёх составов не выполняется:

• lit a — мы не орган власти и не публичное учреждение.
• lit b — наша основная деятельность не является «umfangreiche regelmäßige und systematische Überwachung» (масштабным регулярным и систематическим наблюдением) за субъектами данных. Zvitly обрабатывает бухгалтерские данные, которые клиент вносит сам; мы не наблюдаем за поведением, не строим профилей и не отслеживаем никого между сайтами.
• lit c — мы не обрабатываем в больших объёмах особые категории данных по Art. 9 DSGVO и данные о судимостях по Art. 10 DSGVO. Бухгалтерские, счётные и банковские данные к этим категориям не относятся.

Если характер обработки изменится — например, с появлением функции, систематически оценивающей поведение, — мы назначим уполномоченного и укажем его здесь.

3. Grundrecht auf Datenschutz — § 1 DSG

В Австрии защита данных — это не только европейское вторичное право. Art. 1 § 1 Datenschutzgesetz (DSG) является Verfassungsbestimmung (конституционной нормой) и предоставляет каждому право на неразглашение касающихся его персональных данных, если существует заслуживающий защиты интерес.

Практически это означает две вещи. Первое: вмешательство допустимо лишь ради преобладающих правомерных интересов и только самым мягким способом, ведущим к цели (§ 1 Abs 2 DSG) — именно этот масштаб лежит в основе каждого взвешивания интересов в этом документе. Второе: право на доступ, исправление и удаление принадлежит вам в Австрии дополнительно на конституционном уровне (§ 1 Abs 3 DSG), а не только по Art. 15 и следующим DSGVO.

Текст нормы в Rechtsinformationssystem des Bundes (RIS): § 1 DSG

4. Категории обрабатываемых данных

Мы обрабатываем данные, которые вы вводите или загружаете сами, технические данные, неизбежно возникающие при работе, а также в двух случаях — сведения, которые получаем от сервиса, выбранного для этого вами самими: при входе через Google — данные, которые Google для этого передаёт (пункт 6), а при оплате подписки — ответы Stripe о тарифе и платеже (пункт 8). Мы не докупаем данных, не обогащаем их из внешних источников и не перенимаем массивов от третьих лиц.

• Данные аккаунта — Адрес электронной почты, пароль (исключительно в виде хеша в Supabase Auth, никогда в открытом виде), имя, номер телефона, выбор языка, часовой пояс, изображение профиля, активные сессии, а также — если включено — факторы двухфакторной аутентификации.
• Данные предприятия — Название фирмы, правовая форма, адрес, UID-номер, налоговый номер, компетентный Finanzamt, банковские реквизиты (IBAN, BIC), логотип, настройки счетов, выбранный хозяйственный год и тариф.
• Бухгалтерские данные — Чеки и документы вместе с загруженными файлами, исходящие и входящие счета с позициями, контакты и заказчики, банковские счета и движения по ним, кассовые записи, командировки и авансовые отчёты, учёт времени, основные средства, данные начисления зарплаты, а также налоговые декларации и уведомления. Эти данные мы обрабатываем по вашему поручению — см. пункт 7.
• Технические данные — IP-адрес, идентификатор браузера (User-Agent), временные отметки обращений и действий, а также серверные протоколы хостинга.
• Данные обращений — Обращения в поддержку вместе с перепиской и вложениями, уведомления в аккаунте и данные отправки системных писем.

Особые категории персональных данных по Art. 9 DSGVO — данные о здоровье, биометрические данные, данные о мировоззрении, членстве в профсоюзе или сексуальной ориентации — мы не обрабатываем и нигде не запрашиваем.

5. Цель, правовое основание и срок хранения

Эта таблица — сердце декларации: она отвечает на требования Art. 13 Abs 1 lit c и Abs 2 lit a DSGVO по каждой отдельной цели обработки.

Там, где обработка опирается на Art. 6 Abs 1 lit f DSGVO, взвешивание интересов приведено в пункте 9.

6. Регистрация и ведение аккаунта

Для регистрации достаточно адреса электронной почты и пароля. Оба обязательны, потому что без аккаунта доступ к данным невозможен, а без подтверждённого адреса никто не смог бы сбросить свой пароль.

Пароль Supabase Auth хранит исключительно как криптографический хеш. Мы ни в один момент не имеем доступа к паролю в открытом виде — даже как оператор сервиса.

Если вы включаете двухфакторную аутентификацию, мы дополнительно обрабатываем сам фактор (TOTP-секрет) и подтверждения. Правовое основание — Art. 6 Abs 1 lit b и lit f DSGVO: защита аккаунта, в котором лежит ваша бухгалтерия.

Вместо пароля вы можете зарегистрироваться и входить через свою учётную запись Google. Если вы выбираете этот путь, сам вход происходит в Google; после этого Google передаёт в Supabase Auth ваш адрес электронной почты и те данные профиля, которые Google для этого открывает, — имя, фото профиля и идентификатор вашей учётной записи Google. Пароль для Zvitly при этом не создаётся. Мы в ходе этого процесса не передаём Google никаких данных о вас; то, что вы входите в Zvitly, Google узнаёт из самого входа и обрабатывает это по собственным условиям. Правовое основание с нашей стороны — Art. 6 Abs 1 lit b DSGVO. Вход через Google добровольный; путь через адрес электронной почты и пароль открыт всегда.

7. Бухгалтерские данные — Zvitly как Auftragsverarbeiter (обработчик)

Всё, что вы вносите в Zvitly в виде чеков, счетов, контактов и движений по счёту, регулярно содержит персональные данные третьих лиц: ваших клиентов, поставщиков, работников. О цели и средствах этой обработки решаете вы, а не мы.

В этой конструкции вы — Verantwortlicher (распорядитель), а Zvitly — Auftragsverarbeiter (обработчик) в смысле Art. 28 DSGVO. Мы обрабатываем эти данные исключительно по вашему указанию и не для собственных целей: в частности, не анализируем их, не передаём дальше и не используем для рекламы.

Договор об обработке по поручению (AVV), субобработчики, технические меры и концепция удаления описаны на отдельной странице: DSGVO и Auftragsverarbeitung

8. Функции с собственной обработкой и их состояние

Четыре функции Zvitly связаны с отдельной обработкой данных, и не все из них уже работают. Декларация, описывающая обработку, которой ещё нет, нарушает принцип Richtigkeit (правильности, Art. 5 Abs 1 lit a DSGVO) так же, как и та, что умалчивает о существующей. Поэтому по каждой из этих функций мы фиксируем, что обрабатывается по состоянию на дату этой редакции: распознавание чеков и обработка платежей работают, передача в FinanzOnline и подключение банка — ещё нет.

• Автоматическое распознавание чеков — Работает. Если вы загружаете чек как изображение и ваш тариф включает автоматическое распознавание, Zvitly считывает данные чека через Amazon Bedrock — AI-сервис Amazon Web Services. Передаётся исключительно изображение чека в формате JPEG, PNG, GIF или WebP — PDF-файлы в сервис не попадают, — без вашего имени, адреса электронной почты или иных данных вашего аккаунта. Запрос идёт через профиль инференса, который ограничивает обработку дата-центрами в ЕС; исходный регион — eu-central-1 (Франкфурт-на-Майне). Обратно возвращаются считанные данные — продавец, дата, суммы, ставка налога — и предложение категории; всё это сохраняется при чеке в вашем аккаунте, и вы можете в любой момент это изменить. Предложение категории остаётся предложением, пока вы его не примете (пункт 18). Поскольку чек относится к вашей бухгалтерии, эта обработка происходит по вашему поручению (пункт 7); Amazon Web Services является для неё нашим субобработчиком (пункт 13 и таблица на странице DSGVO и Auftragsverarbeitung). Zvitly не использует ваши чеки для обучения AI-моделей.
• Обработка платежей — Работает. Платежи в пользу Zvitly — прежде всего за вашу подписку — обрабатывает Stripe. При переходе к оплате мы передаём Stripe ваш адрес электронной почты и внутренний идентификатор аккаунта вашего предприятия, чтобы платёж был зачислен на правильный аккаунт. Имя, адрес для счёта, при необходимости UID-номер и платёжное средство вы вводите сами в платёжной форме Stripe; эти данные попадают непосредственно в Stripe, а не к нам, — номеров карт мы не видим и не храним ни в какой момент. От Stripe мы получаем обратно то, что нужно для исполнения договора: идентификаторы клиента и подписки, тариф и расчётный период, статус подписки, суммы и моменты платежей, а также неудавшиеся платежи. Цель — расчёты по вашему договору с нами; правовое основание — Art. 6 Abs 1 lit b DSGVO. Эти данные относятся не к вашей бухгалтерии, а к вашему договору с нами, — в отношении них мы ответственное лицо (Verantwortlicher), а не обработчик. Записи о платежах и счетах мы храним согласно § 132 Abs 1 BAO семь лет от конца календарного года, к которому они относятся (таблица в пункте 5). Как Stripe обрабатывает данные, которые вы вводите в платёжной форме, Stripe описывает в собственной декларации о защите данных.
• Передача в FinanzOnline — Передача в FinanzOnline запланирована, но ещё не работает. Никакие декларации в налоговую администрацию не передаются, и доступы FinanzOnline в настоящее время не сохраняются. Как только интерфейс заработает, мы опишем здесь, какие именно данные передаются и как защищены доступы.
• Подключение банка — Автоматическое подключение банка запланировано, но ещё не работает. Движения по счёту попадают в приложение только из файлов, которые загружаете вы. При подключении мы назовём поставщика информационной услуги по счёту и основание доступа.

9. Серверные протоколы, rate-limiting и безопасность

При открытии страницы ваш браузер передаёт серверу технически необходимые данные, в том числе ваш IP-адрес. Без него ответ невозможно доставить.

При регистрации и сбросе пароля мы ограничиваем число попыток. Для этого IP-адрес и адрес электронной почты мы храним не в открытом виде, а исключительно как HMAC-SHA256 с серверным секретом. Записи автоматически удаляются не позднее чем через два часа.

Административные доступы к клиентским аккаунтам мы протоколируем с идентификатором, действием, временем, IP-адресом и User-Agent. Этот протокол защищает вас: он делает прослеживаемым, кто, когда и что сделал.

Раньше этот пункт утверждал, что инструментов аналитики мы не используем. С 22 августа 2026 года это уже не так, и мы пишем об изменении прямо, а не молча переписываем предложение. Теперь в публичной части сайта работает Google Analytics 4 — но только после вашего явного согласия: пока вы его не дали, скрипт Google не загружается вообще, то есть ни одного запроса в его сторону не идёт. Правовое основание — Art. 6 Abs 1 lit a DSGVO и § 165 Abs 3 TKG 2021. Подробности, перечень записей и способ отозвать согласие — в пункте 10. В самом приложении за входом аналитики нет: там не измеряется ничего. Сервис сбора ошибок и запись сессий по-прежнему не подключены.

10. Cookies и локальное хранилище

Zvitly не устанавливает рекламных cookies и не строит профилей. Записи разделены на две группы, и разница между ними принципиальна: первые четыре безусловно необходимы для заказанного вами сервиса и ставятся всегда; последние три относятся к измерению посещений и появляются ТОЛЬКО после вашего согласия. Перечень полный:

§ 165 Abs 3 TKG 2021 требует для доступа к вашему конечному устройству активного согласия. Тот же абзац прямо выводит из-под этого требования то, что безусловно необходимо, чтобы поставщик услуги информационного общества, которую пользователь прямо пожелал, мог эту услугу предоставить.

Именно на это мы и опираемся для первых четырёх записей — и это утверждение о продукте, а не оправдание. Без сессионной cookie нет входа; без языковой cookie и двух локальных записей интерфейс на каждом переходе сбрасывался бы на другой язык, потерянный таймер и забытый тариф. Ни одна из этих четырёх ничего не говорит о том, кто вы или что ещё вы делаете в интернете, значит, исключение выполнено и согласия они не требуют. Три записи измерения под исключение НЕ подпадают — поэтому для них и показывается баннер, и именно поэтому он появляется до того, как что-либо записано, а не после. Отказ не выключает ничего: сайт и приложение работают одинаково.

Cookies и локальное хранилище вы в любой момент можете удалить в настройках браузера. Удаление сессионной cookie выполняет выход из аккаунта, больше ничего не теряется.

Согласие можно отозвать в любой момент и без последствий: удалите запись zv-analytics-consent в настройках браузера — баннер появится снова, и вы сможете решить иначе. Удаление двух записей Google прекращает распознавание вашего браузера немедленно.

Текст нормы в RIS: § 165 TKG 2021

11. Отправка электронной почты (Resend)

Системные письма — подтверждение адреса, сброс пароля, приглашение в компанию, ответ поддержки, напоминание о сроках — мы отправляем через Resend. Правовое основание — Art. 6 Abs 1 lit b DSGVO.

Тем же путём идут и два письма публичной контактной формы (последняя строка таблицы в пункте 5). Первое — уведомление на наш внутренний ящик wenexus.at@gmail.com; оно содержит ваше имя, ваш адрес электронной почты, выбранный вопрос и текст вашего сообщения — без этих данных обращение невозможно ни соотнести, ни ответить на него. Второе — подтверждение получения, отправленное вам самим; оно называет ваше имя и сам факт поступления и намеренно не повторяет текста вашего обращения — это защищает вас на случай, если кто-то укажет ваш адрес без вашего ведома, ведь тогда подтверждение не раскроет чужого содержания. Обработчиком по поручению и здесь является Resend; правовое основание по Art. 28 DSGVO от этого не меняется. Но для вас существенны два следствия. Первое: ваш адрес электронной почты тем самым попадает в протоколы доставки Resend, которые по его соглашению об обработке остаются в Соединённых Штатах. Второе: уведомление вместе с полным текстом вашего сообщения остаётся лежать в том ящике, а обслуживает этот ящик Google — поэтому Google назван получателем в пункте 13. Следовательно, передача в третью страну имеет место и тогда, когда вы написали нам единственный раз и без аккаунта; правовое основание этой передачи — в пункте 14.

Передаются при этом ваш адрес электронной почты, имя, если оно есть в тексте, язык и текст самого сообщения — то есть ФАКТ уведомления, а не содержание вашей бухгалтерии. В напоминание о сроке идёт дата этого срока, а не документ; в ответ поддержки — написанный текст, а не состояние вашего счёта. Чеки, счета, движения по счёту и контактные данные ваших клиентов в рассылку не попадают.

Оператор Resend — Plus Five Five, Inc. с местонахождением в Сан-Франциско, США. Наш домен zvitly.io закреплён там за регионом Ирландия (eu-west-1) и верифицирован: ваши письма отправляются из Ирландии, а не из США. Выбор региона, однако, управляет лишь путём отправки — данные доступа к Resend, протоколы доставки и записи API по соглашению Resend об обработке данных остаются в США. В этой части имеет место передача в третью страну; её правовое основание — в пункте 14. На срок хранения протоколов доставки мы не влияем; он определяется сроками Resend.

Передача шифруется. С 19 августа 2026 года отправка переведена в режим «Enforced TLS»: письмо доставляется только тогда, когда принимающий почтовый сервер устанавливает TLS-соединение. Раньше действовало обычное оппортунистическое шифрование, при котором сервер без поддержки TLS мог вынудить доставку открытым текстом; этот случай исключён. Это техническая мера по Art. 32 Abs 1 lit a DSGVO.

12. Хостинг

Приложение работает на виртуальном сервере Hostinger International Ltd., расположенном во Франкфурте-на-Майне, Германия. База данных, аутентификация и файловое хранилище — в Supabase, регион eu-central-1 (Франкфурт-на-Майне).

Обе локации в Европейском Союзе. Во время работы возникают серверные протоколы — время обращения, запрашиваемый адрес, IP-адрес, User-Agent. Правовое основание — Art. 6 Abs 1 lit f DSGVO; правомерный интерес состоит в стабильной и безопасной работе сервиса.

13. Получатели данных

Персональные данные мы третьим лицам не передаём. Исключения перечисляем здесь полностью, и они двух разных видов: во-первых, обработчики, без которых сервис не может работать; во-вторых, другие получатели, которых мы называем отдельно, — оператор почтового ящика, куда поступают письма, адресованные нам самим, и платёжный сервис Stripe. Сначала обработчики:

• Supabase — база данных, аутентификация и файловое хранилище (регион eu-central-1, Франкфурт-на-Майне)
• Hostinger International Ltd. — серверная инфраструктура (локация Франкфурт-на-Майне)
• Plus Five Five, Inc. (Resend) — отправка системных писем (регион отправки Ирландия; данные доставки — в США)
• Amazon Web Services (Amazon Bedrock) — автоматическое распознавание чеков (дата-центры в ЕС; профиль инференса ЕС, исходный регион eu-central-1, Франкфурт-на-Майне)

С каждым из этих поставщиков заключён договор об обработке по поручению в соответствии с Art. 28 Abs 3 DSGVO. В конце почтового пути добавляется ещё один получатель в смысле Art. 4 Z 9 DSGVO, которого мы называем отдельно: уведомления, которые наша система отправляет нам самим — обращение из публичной контактной формы, новое обращение поддержки, сообщение о техническом сбое, — с августа 2026 года поступают на ящик wenexus.at@gmail.com, а обслуживает этот ящик Google. Поэтому данные из контактной формы — имя, адрес электронной почты, выбранный вопрос и текст сообщения — лежат уже не только в нашей базе во Франкфурте-на-Майне, но и дополнительно в ящике, места хранения которого мы не определяем; Google принадлежит американской корпорации, так что обработка в Соединённых Штатах не исключена. Правовое основание этой передачи — в пункте 14. То, что Google не стоит в перечне выше, — не упущение, а сама суть различия: в отношении этого ящика договора об обработке по поручению по Art. 28 DSGVO нет. Google обрабатывает поступившие туда письма по собственным условиям и является в этой части получателем, а не обработчиком по нашему поручению. На цель, правовое основание и срок хранения самого вашего обращения (пункт 5) это не влияет; уведомление в ящике мы удаляем в пределах того же срока. Наконец, адреса zvitly@wenexus.at это не касается: именно она является нашим публичным контактным адресом, названным в Impressum, — изменилось единственное: куда наша система доставляет собственные уведомления.

Ещё один получатель — Stripe. Через Stripe проходят платежи в пользу Zvitly (пункт 8); для этого Stripe получает от нас ваш адрес электронной почты и внутренний идентификатор аккаунта вашего предприятия, а остальные платёжные данные вы вводите в Stripe сами. Отдельно от перечня выше мы называем Stripe потому, что он не получает никаких данных из вашей бухгалтерии, — речь идёт только о вашем собственном договоре с нами. Как Stripe обрабатывает данные, которые вы вводите в платёжной форме, Stripe описывает в собственной декларации о защите данных. Напротив, при входе через Google (пункт 6) мы Google никаких данных не передаём: данные там движутся в обратном направлении — от Google к нам.

Сверх этого мы передаём данные лишь при наличии законной обязанности или по требованию суда либо органа власти. Мы не продаём данных и никому не предоставляем их для рекламных целей.

Полный перечень субобработчиков с ролью, локацией и правовой базой — на странице: DSGVO и Auftragsverarbeitung

14. Передача в третьи страны

База данных, файловое хранилище, сервер приложения и автоматическое распознавание чеков расположены в Европейском Союзе. Всё, что вы вносите или загружаете в Zvitly, там же обрабатывается и хранится. Исключение — только отправка почты и передача вашего адреса электронной почты в Stripe при оплате, и даже там лишь в описанном ниже объёме.

Точки соприкосновения с третьей страной мы называем прямо, вместо того чтобы обобщённо утверждать, будто передачи нет вовсе:

• Отправка почты и входящий ящик: сама отправка происходит из Ирландии. Однако у американского оператора Resend остаются данные доступа и доставки — адрес получателя, тема, время и статус доставки. А если вы пишете нам через контактную форму или поддержку, добавляется ещё входящий ящик: уведомление об этом вместе с текстом лежит в нашем ящике в Google (пункт 13).
• Supabase: данные лежат во Франкфурте-на-Майне, однако Supabase, Inc. имеет местонахождение в США, поэтому административный доступ из третьей страны нельзя исключить.
• Google Analytics: если вы дали согласие в пункте 10, ваш IP-адрес, данные браузера и перечень просмотренных страниц передаются в Google LLC, США. Без согласия этой передачи не происходит вообще — скрипт не загружается. Оператор — Google LLC, 1600 Amphitheatre Parkway, Mountain View, США.
• Amazon Web Services: распознавание чеков работает в дата-центрах ЕС, однако Amazon Web Services принадлежит американскому концерну, поэтому — как и в случае Supabase — административный доступ из третьей страны нельзя исключить.
• Stripe: Stripe принадлежит американскому концерну, поэтому обработку ваших договорных и платёжных данных в Соединённых Штатах нельзя исключить. Речь идёт об адресе электронной почты, который передаём мы, и данных, которые вы вводите в платёжной форме Stripe, — не о вашей бухгалтерии.
• Вход через Google: если вы его выбираете, вы входите в Google, то есть в американский концерн. Мы при этом не передаём Google никаких данных; вход Google обрабатывает в рамках вашей собственной учётной записи Google и по её условиям.

Эти передачи происходят не наугад. Resend сертифицирован при Министерстве торговли США по EU-U.S. Data Privacy Framework, а в отношении этого механизма Европейская Комиссия решением от 10 июля 2023 года констатировала надлежащий уровень защиты. Поэтому передача опирается на Art. 45 Abs 1 DSGVO и отдельного разрешения не требует. Вторым уровнем соглашение Resend об обработке данных дополнительно содержит стандартные договорные положения ЕС (Art. 46 Abs 2 lit c DSGVO); применимое право и подсудность — Ирландия. Google LLC также сертифицирована при Министерстве торговли США по EU-U.S. Data Privacy Framework, поэтому передача в наш ящик опирается на то же решение об адекватности, а значит тоже на Art. 45 Abs 1 DSGVO. Второго уровня там, однако, нет: стандартных договорных положений из отдельного соглашения об обработке в отношении этого ящика у нас не имеется. Поэтому туда и попадает лишь то, что и так адресовано нам, — и ничего из вашей бухгалтерии.

Конкретные договорные основания по каждому обработчику — в том числе по Amazon Web Services — приведены в таблице субобработчиков на странице DSGVO и Auftragsverarbeitung. Stripe в ней не значится (пункт 13); на какое основание Stripe опирает передачу в третьи страны, Stripe раскрывает в собственной декларации о защите данных.

15. Сроки хранения и коллизия с правом на удаление

Данные аккаунта и данные предприятия мы храним, пока существует аккаунт. Если вы его удалите, они будут изъяты.

Для бухгалтерских данных это действует не безусловно — и именно здесь Zvitly отличается от обычного SaaS.

§ 132 Abs 1 BAO обязывает хранить книги, записи и относящиеся к ним Belege (первичные документы) семь лет. Срок считается не от дня документа, а от конца календарного года, к которому документ относится: счёт от января 2026 года надо хранить до конца 2033-го. § 212 UGB требует того же для книг, годовой отчётности, деловой переписки и бухгалтерских документов — так же семь лет от конца календарного года. Сверх семи лет обязанность действует до тех пор, пока документы имеют значение для производства, в котором предприниматель является стороной.

Серверные и связанные с безопасностью протоколы имеют собственные, значительно более короткие сроки — см. таблицу в пункте 5.

Тексты норм в RIS: § 132 BAO · § 212 UGB

16. Ваши права

Вам принадлежат перечисленные ниже права. Это не формальный ритуал: каждый такой запрос обрабатывает человек.

• Auskunft — доступ (Art. 15 DSGVO) — Вы получаете подтверждение, обрабатываем ли мы данные и какие именно, вместе с целями, получателями и сроками хранения, а также копию данных.
• Berichtigung — исправление (Art. 16 DSGVO) — Неправильные данные вы в большинстве случаев исправляете сами в настройках; там, где это невозможно, мы исправим их по вашему сообщению.
• Löschung — удаление (Art. 17 DSGVO) — Вы можете потребовать удаления своего аккаунта. Границу устанавливает пункт 15: то, что подпадает под законный срок хранения, ограничивается в обработке вместо удаления.
• Einschränkung — ограничение обработки (Art. 18 DSGVO) — Если вы оспариваете правильность данных или обработка неправомерна, обработка приостанавливается до выяснения.
• Datenübertragbarkeit — переносимость (Art. 20 DSGVO) — Вы получаете свои данные в распространённом машиночитаемом формате. Для бухгалтерских данных экспорт является частью продукта и не требует отдельного запроса.
• Widerspruch — возражение (Art. 21 DSGVO) — Против обработок, которые мы опираем на Art. 6 Abs 1 lit f DSGVO — это те, что названы в пункте 9, — вы можете в любое время возразить по основаниям, связанным с вашей особой ситуацией.
• Widerruf — отзыв согласия (Art. 7 Abs 3 DSGVO) — Там, где мы опираемся на согласие, вы можете отозвать его в любое время на будущее. Правомерность обработки, осуществлённой до отзыва, это не затрагивает.

Реализация: достаточно письма в свободной форме на адрес, указанный в пункте 1.

Мы отвечаем безотлагательно, не позднее чем в течение одного месяца (Art. 12 Abs 3 DSGVO). Если запрос сложен, срок может продлиться на два месяца; об этом мы сообщим вам в течение первого месяца.

При наличии обоснованных сомнений в вашей личности мы запросим дополнительные сведения для подтверждения (Art. 12 Abs 6 DSGVO). Это не препятствие, а защита: ответ не тому лицу сам был бы нарушением защиты данных.

17. Жалоба в Datenschutzbehörde

Если вы считаете, что обработка ваших данных нарушает DSGVO, вы вправе — без ущерба для иных средств правовой защиты — подать жалобу в надзорный орган (Art. 77 DSGVO). В Австрии это:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien, Österreich
+43 1 52 152-0
dsb@dsb.gv.at
www.dsb.gv.at

Жалоба бесплатна. Нам всё же приятнее, если вы сначала обратитесь к нам: так быстрее, и тогда мы ещё можем исправить ошибку.

18. Автоматизированные решения и профайлинг

Автоматизированного принятия решений, включая профайлинг, которое порождает в отношении вас правовые последствия или подобным образом существенно на вас влияет, не происходит (Art. 22 Abs 1 DSGVO).

Zvitly не оценивает вас, не строит профилей кредитоспособности или поведения и не принимает в отношении вас никаких решений без участия человека.

Там, где приложение что-то предлагает — скажем, категорию для чека или сопоставление движения по счёту, — это предложение, которое вы подтверждаете или отклоняете. Без вашего подтверждения ничего не меняется.

19. Обязательно ли предоставлять данные

Указание адреса электронной почты и выбор пароля — или вместо этого вход через Google — необходимы для заключения договора: без них не может возникнуть аккаунт и не может быть предоставлен доступ.

Данные предприятия вроде UID-номера или адреса для пользования не обязательны, но нужны для отдельных функций — счёт без сведений, которых требует § 11 UStG, не является надлежащим счётом. Вы сами решаете, какими функциями пользоваться.

Законной обязанности предоставлять нам данные не существует. Единственное последствие непредоставления — соответствующая функция или договор не возникнут.

20. Изменения этой декларации

Эта декларация действует в редакции, указанной вверху как Stand. Мы изменяем её, когда меняется обработка, — в частности, перед запуском любой из функций, которые в пункте 8 обозначены как ещё не работающие, а не после него.

О существенных изменениях, затрагивающих ваши права, мы дополнительно сообщаем зарегистрированным пользователям по электронной почте или в аккаунте. Предыдущие редакции предоставляем по запросу.