OSNUTEK / DRAFT — for counsel review, not in forceTa stran je osnutek. Ne velja in ni ponudba. Na voljo je v slovenščini in angleščini; drugih 11 jezikov aplikacije (skupaj 13) dodamo po pregledu. Oznaka […] pomeni podatek, ki ga še vpišemo, oznaka Q vprašanje za odvetnika.

Obvestilo o varstvu osebnih podatkov

Kako Bureo ravna z osebnimi podatki, po Splošni uredbi o varstvu podatkov (GDPR) in Zakonu o varstvu osebnih podatkov (ZVOP-2).

1. Kdo smo

Upravljavec je PEACH WORLDS LTD, zasebna družba z omejeno odgovornostjo, registrirana v Angliji in Walesu, matična številka 14631680, sedež 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, Združeno kraljestvo.

Vprašanja in zahteve glede podatkov: grega@peachworlds.com
Pooblaščena oseba za varstvo podatkov: [ime in e-naslov, če je imenovana] ^Q30

2. Dve vlogi

Za vaš račun in naše poslovanje (prijava, obračun, varnost, podpora) o rabi podatkov odločamo mi. Smo upravljavec in to obvestilo velja v celoti.
Za podatke v knjigah vašega podjetja (vaše stranke, dobavitelji, zaposleni, osebe v dokumentih, ki jih naložite) odloča vaše podjetje, mi pa jih obdelujemo zanj. Smo obdelovalec, po pogodbi o obdelavi osebnih podatkov. Te osebe informacije prejmejo od vašega podjetja. ^Q26

3. Katere podatke hranimo

Podatki	Primeri	Od kod
Račun	ime, e-naslov, telefon (neobvezno), jezik, vaša vloga v podjetju, časi prijave	od vas
Podjetje	ime, davčna in matična številka, zavezanost za DDV, pravna oblika, naslov, IBAN, e-naslov	od vas, iz javnih registrov
Računovodski podatki	računi in dobropisi, stranke in dobavitelji (imena, naslovi, davčne številke, e-naslovi), bančni izpiski in transakcije, prejemki, knjige, obračuni, roki, plačila	od vas, iz vaše banke (z vašim soglasjem) ^Q37
Bančni promet	stanja in promet poslovnih računov, ki jih povežete: ime imetnika, IBAN, datum, znesek, nasprotna stranka, sklic	iz vaše banke, prek našega ponudnika dostopa do informacij o računih Enable Banking, šele po vašem soglasju v banki
Dokumenti	vaše naložene datoteke, tudi pogodbe in NDA, ki vam jih pošljejo druga podjetja (imena, podpisi, pogoji); zapis o podpisu (kdo in kdaj je podpisal)	od vas, od vaših pogodbenih strank ^Q33
Plače in zaposleni	imena, davčne številke, naslovi, IBAN, plače, prispevki, evidence delovnega časa, odsotnosti, tudi bolniška odsotnost, ki je podatek o zdravju	od vas ^Q32
Povezave	žetoni za dostop do storitev, ki jih povežete (nikoli gesla), shranjeni šifrirano in samo na strežniku	od povezane storitve
Potrdilo FURS za davčno potrjevanje računov	potrdilo, ki ga naložite v Nastavitvah; v njem je ime imetnika. Shranjeno šifrirano, samo na strežniku, uporabljeno samo za potrjevanje vaših računov in prijavo poslovnih prostorov, nikoli prikazano, izvoženo ali zapisano v dnevnik; kadar koli ga lahko prekličete	od vas ^Q36
Klepet in glas	vaša sporočila, podatki iz računa, potrebni za odgovor, glasovna sporočila, pretvorjena v besedilo	od vas
Obračun	paket, stanje in poraba kreditov, naši računi vam, status plačila (številke kartic ostanejo pri ponudniku plačil)	od vas, od ponudnika plačil
Tehnični podatki	naslov IP (v pomnilniku za omejitev števila zahtev, največ en dan), strežniški dnevniki pri ponudniku gostovanja, število rab AI brez vsebine	z vaše naprave
Preverjanje strank	[samo če za nas velja zakon o preprečevanju pranja denarja: podatki o istovetnosti]	od vas ^Q2

Povezava z banko: Soglasje date v svoji banki, za največ 180 dni (manj, če banka določa krajši rok). Vaših podatkov za prijavo v banko nikoli ne vidimo. Soglasje lahko kadar koli prekličete: v Bureu (asistenta prosite, naj prekine povezavo z banko; pokaže kartico za potrditev) ali v svoji banki. Po koncu ne preberemo ničesar novega; transakcije, ki so že v vaših knjigah, ostanejo tam kot del vaših računovodskih evidenc.

Oglaševalske, analitične in družbene platforme, ki jih poveže vaše podjetje: kaj beremo, kaj spremenimo samo z vašo potrditvijo in kako zahtevate izbris, je na strani podatki oglaševalskih platform.

Obiskovalci spletne strani: brez piškotkov, brez analitike, brez oglasnih sledilnikov in brez zahtev do drugih storitev: pisave gostimo sami. Glejte piškotki in shramba v brskalniku.

4. Zakaj jih uporabljamo in na kateri pravni podlagi

Namen	Pravna podlaga (GDPR)
Delovanje vašega računa in storitve, ki ste jo izbrali	pogodba, člen 6(1)(b)
Vodenje knjig iz bančnega prometa (povezovanje plačil, usklajevanje z banko, stanje denarnih sredstev)	pogodba, člen 6(1)(b)
Obdelava podatkov vašega podjetja po vaših navodilih	vaša navodila po členu 28; upravljavec je vaše podjetje
Obračun, naši računi in naše knjige	zakonska obveznost, člen 6(1)(c)
Preverjanje strank po zakonu o preprečevanju pranja denarja [če velja]	zakonska obveznost, člen 6(1)(c) ^Q2
Varnost, omejitev števila zahtev, preprečevanje goljufij in zlorab, strežniški dnevniki	zakoniti interes, člen 6(1)(f) ^Q27
Sporočila o storitvi (povezave za prijavo, opomniki, obvestila)	pogodba, člen 6(1)(b) ^Q38
Izboljšave izdelka iz števila rab brez vsebine	zakoniti interes, člen 6(1)(f)

Danes ne pošiljamo trženjskih sporočil. Vaših podatkov nikoli ne prodamo in ne prikazujemo oglasov.

Podatkov nam ni treba dati, a brez podatkov, ki jih funkcija potrebuje, je ne moremo zagotoviti.

5. Kdo prejme podatke

Naši podobdelovalci (gostovanje, baza, ponudnik modela AI in drugi): glejte seznam podobdelovalcev.
Organi in registri (FURS, AJPES in drugi) samo, ko oddate vi ali ko to zahteva zakon.
Vaša banka ali ponudnik plačil samo za plačilo, ki ga potrdite.
Vaše stranke, pogodbene stranke in svetovalci samo, ko jim kaj pošljete ali delite.
Osebe, ki jih povabite (vaš računovodja, revizor, vlagatelji), z dostopom, ki jim ga daste.

6. Asistent AI ^Q34

Asistent uporablja model ponudnika modela AI, [ime ponudnika].

Kaj se pošlje: vaše sporočilo, podatki iz računa, potrebni za odgovor (samo tisto, kar smete videti sami), in dokumenti, ki jih želite prebrati.
Brez učenja: ponudnik podatkov naših strank ne sme uporabiti za učenje svojih modelov [lastnik potrdi pogodbene pogoje]. Tudi mi z vašimi podatki ne učimo umetne inteligence.
Hramba pri ponudniku: [izbris v 30 dneh / brez hrambe po odgovoru, ko je vklopljena ničelna hramba: lastnik potrdi stanje]. Vsebino, ki jo varnostni sistemi ponudnika označijo kot zlorabo, lahko ponudnik po svoji politiki hrani dlje [lastnik potrdi].
Kje: ponudnik obdeluje podatke v [regija: lastnik potrdi]. Glejte točko 7.
Iskanje po spletu: pri davčnih in pravnih vprašanjih lahko asistent išče po uradnih virih. Iskalni niz prejme ponudnik.
Glasovna sporočila: v brskalnikih brez vgrajenega prepoznavanja govora se glasovno sporočilo pošlje ponudniku pretvorbe govora v besedilo, [ime ponudnika].
Brez avtomatiziranih odločitev: asistent pripravi in razloži. Nič se ne odda, pošlje, podpiše ali plača, dokler tega ne potrdite, zato AI sam ne sprejme nobene odločitve s pravnim učinkom. ^Q12 ^Q31

7. Prenosi zunaj EU

Naša baza je v EU (Frankfurt), funkcije aplikacije tečejo v Frankfurtu. Nekateri ponudniki so družbe s sedežem v ZDA, ponudnik modela AI pa podatke obdeluje zunaj EU. Kadar podatki zapustijo EU/EGP, uporabimo standardne pogodbene klavzule Evropske komisije ali sklep o ustreznosti (okvir EU–ZDA za varstvo podatkov), kot je navedeno pri vsakem ponudniku. UNVERIFIED za vsakega ponudnika. ^Q28

8. Koliko časa hranimo podatke ^Q29

Podatki	Kako dolgo
Podatki o računu	dokler je račun odprt, nato [12 mesecev]
Naši računi vam in naše knjige	10 let po poteku leta, na katero se nanašajo (ZDDV-1, 86. člen, 5. odstavek; UNVERIFIED)
Knjige in dokumenti vašega podjetja	po navodilu vašega podjetja, privzeto za roke, ki jih za hrambo določa zakon (npr. računi 10 let, nepremičnine 20 let, plačne evidence dlje; UNVERIFIED), ali izbris po vašem izvozu [pravilo o arhivu: odloči lastnik] ^Q24
Bančni promet	del računovodskih evidenc, hranimo ga tako dolgo, kot zakon zahteva zanje; zapečatena bančna seja se izbriše, ko prekinete povezavo ali soglasje poteče
Sporočila v klepetu	danes jih po odgovoru ne hranimo na strežnikih [posodobiti, ko dodamo zgodovino klepeta]
Naslovi IP za omejitev zahtev	največ en dan, v pomnilniku
Strežniški dnevniki pri ponudniku gostovanja	[po paketu ponudnika: UNVERIFIED]
Varnostne kopije	do [35] dni, nato prepisane (UNVERIFIED)

9. Kako jih varujemo

Šifrirane povezave; podatki in varnostne kopije v EU.
Podatki vsakega podjetja so v bazi ločeni, vsaka zahteva pa teče kot prijavljena oseba.
Žetoni za dostop in potrdilo za davčno potrjevanje so v šifrirani shrambi samo na strežniku.
Vloge določajo, kdo kaj vidi, tudi zaupnost plač.
Vse, kar odda, podpiše, pošlje, deli ali plača, čaka na vašo potrditev.

10. Vaše pravice

Zahtevate lahko dostop do svojih podatkov, popravek, izbris, omejitev obdelave, kopijo v prenosljivi obliki in ugovarjate obdelavi na podlagi zakonitega interesa. Pišite na grega@peachworlds.com. Odgovorimo v enem mesecu.

Če se zahteva nanaša na podatke, ki jih hranimo za drugo podjetje (npr. kot njegov zaposleni ali stranka), jo posredujemo temu podjetju in mu pomagamo odgovoriti.

Pritožbo lahko vložite pri Informacijskem pooblaščencu Republike Slovenije, Dunajska cesta 22, 1000 Ljubljana, gp.ip@ip-rs.si, www.ip-rs.si.

11. Spremembe

Ko se obvestilo bistveno spremeni, vas o tem obvestimo po e-pošti in v aplikaciji, preden sprememba začne veljati.

OSNUTEK / DRAFT — for counsel review, not in forceThis page is a draft. It is not in force and is not an offer. It is in Slovenian and English only for now; the app's other 11 languages (13 in all) follow after review. […] marks a detail still to be filled in, Q a question for counsel.

Privacy notice

How Bureo handles personal data, under the GDPR and the Slovenian Personal Data Protection Act (ZVOP-2).

1. Who we are

The controller is PEACH WORLDS LTD, a private limited company registered in England and Wales, company number 14631680, registered office 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom.

Privacy questions and requests: grega@peachworlds.com
Data protection officer: [name and e-mail, if appointed] ^Q30

2. Two roles

For your account and our own business (signing in, billing, security, support) we decide how data is used. We are the controller, and this notice applies in full.
For the data in your company's books (your customers, suppliers, employees, the people in documents you upload) your business decides, and we process it for you. We are the processor, under the data processing agreement. Those people should get their information from your business. ^Q26

3. What data we hold

Data	Examples	Where it comes from
Account	name, e-mail, phone (optional), language, your role in the company, sign-in times	you
Company	name, tax and registration number, VAT status, legal form, address, IBAN, e-mail	you, public registers
Accounting data	invoices and credit notes, customers and suppliers (names, addresses, tax numbers, e-mails), bank statements and transactions, receipts, books, returns, deadlines, payments	you, your bank (with your consent) ^Q37
Bank transactions	balances and transactions of the business accounts you connect: account holder name, IBAN, date, amount, counterparty, reference	your bank, through our account-information provider Enable Banking, only after you consent in your bank
Documents	your uploads, including contracts and NDAs other companies send you (names, signatures, terms); signing records (who signed, when)	you, your counterparties ^Q33
Payroll and employees	names, tax numbers, addresses, IBANs, salaries, contributions, time records, absences, including sick leave, which is health data	you ^Q32
Connections	access tokens from the services you connect (never passwords), stored encrypted and on the server only	the connected service
FURS certificate for fiscal receipts	the certificate you upload in Settings; it names its holder. Stored encrypted, on the server only, used only to verify your receipts and register your premises, never shown, exported or logged; you can revoke it at any time	you ^Q36
Chat and voice	your messages, the account data needed to answer them, voice notes turned into text	you
Billing	plan, credit balance and use, our invoices to you, payment status (card numbers stay with the payment provider)	you, the payment provider
Technical	IP address (kept in memory for rate limits, up to one day), server logs at our hosting provider, counts of AI usage without content	your device
Customer checks	[only if the anti-money-laundering law applies to us: identity details]	you ^Q2

Bank connection: You give the consent in your own bank, for at most 180 days (fewer if your bank sets a shorter limit). We never see your bank login. You can end the consent at any time: in Bureo (ask the assistant to disconnect the bank; it shows a confirm card) or in your bank. After it ends we read nothing new; the transactions already in your books stay there as part of your accounting records.

Ad, analytics and social platforms your company connects: what we read, what we change only with your approval, and how to get it deleted are on the ad platform data page.

Website visitors: no cookies, no analytics, no advertising trackers, and no requests to other services: we host our fonts ourselves. See cookies and browser storage.

4. Why we use it, and on what legal basis

Purpose	Legal basis (GDPR)
Running your account and the service you chose	contract, Art. 6(1)(b)
Keeping your books from your bank transactions (matching payments, bank reconciliation, your cash position)	contract, Art. 6(1)(b)
Processing your company's data on your instructions	your instructions under Art. 28; your business is the controller
Billing, our invoices and our own books	legal obligation, Art. 6(1)(c)
Customer checks under the anti-money-laundering law [if it applies]	legal obligation, Art. 6(1)(c) ^Q2
Security, rate limits, preventing fraud and misuse, server logs	legitimate interests, Art. 6(1)(f) ^Q27
Service e-mails (sign-in links, reminders, notices)	contract, Art. 6(1)(b) ^Q38
Improving the product from usage counts without content	legitimate interests, Art. 6(1)(f)

We send no marketing today. We never sell your data and show no ads.

You don't have to give us data, but without the data a feature needs, we can't provide it.

5. Who receives data

Our sub-processors (hosting, database, AI model provider and others): see the sub-processor list.
Authorities and registers (FURS, AJPES and others) only when you file, or when the law requires it.
Your bank or payment provider only for a payment you confirm.
Your customers, counterparties and advisers only when you send or share something with them.
People you invite (your accountant, auditor, investors), with the access you give them.

6. The AI assistant ^Q34

The assistant uses a model from an AI model provider, [provider name].

What is sent: your message, the account data needed to answer it (only what you may see yourself), and documents you ask it to read.
No training: the provider may not use our customers' data to train its models [owner confirms the contract terms]. We don't use your data to train AI either.
Retention at the provider: [deleted within 30 days / not stored after the answer once zero data retention is active: owner confirms the status]. Content the provider's safety systems flag as misuse may be kept longer under its policy [owner confirms].
Where: the provider processes data in [region: owner confirms]. See section 7.
Web search: for tax and legal questions the assistant may search official sources. The search query goes to the provider.
Voice notes: on browsers without built-in speech recognition, a voice note is sent to a speech-to-text provider, [provider name], and turned into text.
No automated decisions: the assistant prepares and explains. Nothing is filed, sent, signed or paid until you confirm it, so no decision with legal effect is made by the AI alone. ^Q12 ^Q31

7. Transfers outside the EU

Our database is in the EU (Frankfurt), and our app functions run in Frankfurt. Some providers are companies based in the United States, and the AI model provider processes data outside the EU. Where data leaves the EU/EEA, we rely on the European Commission's standard contractual clauses or an adequacy decision (the EU–US Data Privacy Framework), as listed for each provider. UNVERIFIED for each provider. ^Q28

8. How long we keep data ^Q29

Data	How long
Account data	while your account is open, then [12 months]
Our invoices to you and our own books	10 years after the year they relate to (ZDDV-1, Art. 86(5); UNVERIFIED)
Your company's books and documents	as your business instructs us, by default for the periods the law sets for keeping them (for example invoices 10 years, real estate 20 years, payroll records longer; UNVERIFIED), or deleted after you export them [archive rule: owner decides] ^Q24
Bank transactions	part of your accounting records, kept as long as the law requires for those; the sealed bank session is deleted when you disconnect or the consent ends
Chat messages	today not stored on our servers after the answer [update when chat history is added]
IP addresses for rate limits	up to one day, in memory
Server logs at the hosting provider	[per the provider's plan: UNVERIFIED]
Backups	up to [35] days, then overwritten (UNVERIFIED)

9. How we protect it

Encrypted connections; data and backups in the EU.
Each company's data is separated in the database, and every request runs as the signed-in person.
Access tokens and the fiscal certificate sit in an encrypted, server-only store.
Roles decide who sees what, including salary confidentiality.
Anything that files, signs, sends, shares or pays waits for your confirmation.

10. Your rights

You can ask for access to your data, a correction, deletion, restriction, a copy in a portable format, and you can object to processing based on legitimate interests. Write to grega@peachworlds.com. We answer within one month.

If your request is about data we hold for another business (for example as its employee or customer), we pass it to that business and help it answer.

You can complain to the Information Commissioner of the Republic of Slovenia (Informacijski pooblaščenec), Dunajska cesta 22, 1000 Ljubljana, gp.ip@ip-rs.si, www.ip-rs.si.

11. Changes

When this notice changes materially, we tell you by e-mail and in the app before the change applies.