Privacy Policy
Last updated: 21 October 2026
This Privacy Policy explains how ENZOR, programske rešitve d.o.o. ("ENZOR", "we", "us"), the data controller for Paply, collects and processes personal data in connection with the Paply service, in accordance with the EU General Data Protection Regulation (GDPR) and applicable national law in Slovenia, Croatia, and Serbia.
1. Data controller
ENZOR, programske rešitve d.o.o. (registration number 9725679000, VAT number SI52044971) is the data controller for account and company data processed through Paply. Registered office: Prebačevo 15, 4000 Kranj, Slovenia. Contact: info@enzor.si, +386 68 626 212.
2. What we collect
Account data: name, email address, password (hashed) or the Google or Apple account you sign in with, avatar preference, two-factor authentication settings, the signature image you upload, and, if you work at a cash register, the tax number or OIB that the law requires on fiscalized receipts.
Device data for the mobile app: the push notification token and app language of each device you sign in on.
Support requests you send us.
Company data: business name, VAT/tax number, registered address, bank account details, logo, and verification documents you submit.
Invoice and partner data: the content of invoices you create or receive, including names, addresses, and contact details of your customers and suppliers that appear on those invoices.
Usage data: log and device information generated when you use Paply, used for security and troubleshooting.
Payment data: we never receive or store full card numbers; card details are handled directly by Stripe, our payment processor.
3. Why we process it, and on what legal basis
To provide the service you signed up for (creating, sending, receiving, and archiving invoices), necessary for performance of our contract with you (GDPR Art. 6(1)(b)).
To meet fiscal and accounting retention obligations under applicable tax law, necessary for compliance with a legal obligation (Art. 6(1)(c)).
To secure accounts, prevent fraud, and maintain the service, based on our legitimate interest (Art. 6(1)(f)).
When you use features that process the documents you upload or receive (for example AI invoice reading), we process that data as your processor, on your instructions under our Data Processing Agreement (paply.app/dpa). You, as the controller, decide the legal basis for that processing.
4. Who we share it with
We use a limited set of service providers to operate Paply. For the data you put into Paply about your business, customers and suppliers, the providers that process it on our behalf (our sub-processors) are listed in our Data Processing Agreement, Annex 3: cloud infrastructure, storage and email delivery (Amazon Web Services, EU region), an e-invoice exchange network provider for structured invoice transmission, Anthropic (AI invoice reading, only if you use it) and Expo (push notifications to the mobile app). For our own purposes we also use Stripe to bill your Paply subscription and Cloudflare Turnstile to protect sign-up from automated abuse. If you choose to sign in with Google or Apple, we receive your email address, an account identifier and, if the provider shares it, your name from that provider. Each provider is bound by a data processing agreement or acts under its own terms as described in its privacy policy.
We do not sell personal data, and we do not share Customer Data with third parties for their own marketing purposes.
5. Google and Microsoft account connections
If you choose to connect your Gmail or Microsoft 365 account so that invoice-delivery emails are sent from your own address (Settings → Integrations), Paply requests only the minimum access needed to provide that functionality.
Google data we access: when you connect a Google account, Paply processes the connected account's email address, the OAuth access and refresh tokens, and the https://www.googleapis.com/auth/gmail.send permission. We use this permission exclusively to send email on your behalf. When you connect a Microsoft 365 account, we process the equivalent data: the connected account's email address, OAuth tokens, and the Microsoft Graph "Mail.Send" permission.
Paply has no permission to read your Gmail inbox or Microsoft mailbox. We do not access, search, or read received messages, email history, contacts, Google Drive files, OneDrive files, or any other data in these accounts.
OAuth tokens (access and refresh) are encrypted at rest and stored exclusively on our own infrastructure (Amazon Web Services, EU region). Access to them is limited to the systems and personnel that genuinely need it to provide the service.
We do not sell data obtained through Google or Microsoft APIs, and we do not use it for advertising or disclose it to third parties for their own purposes. Only infrastructure subprocessors strictly necessary to run Paply, such as Amazon Web Services, may access it, and only to the extent needed to provide the service and under appropriate data-protection contractual obligations.
Data obtained through Google Workspace APIs is not used to develop, improve, or train generalized or non-personalized artificial intelligence or machine learning models. This data is also never passed to the Anthropic Claude API or any other AI service.
You can disconnect your Google or Microsoft account at any time in Paply under Settings → Integrations. Disconnecting permanently deletes the stored OAuth access and refresh tokens and any other data used exclusively to maintain that connection.
Paply's use and transfer of information received from Google APIs to any other app adheres to the Google API Services User Data Policy, including the Limited Use requirements.
6. Connecting AI assistants
You can connect an AI assistant or agent of your choice (for example Claude or ChatGPT) to one of your companies in Paply, if your company's administrator allows it. When you do, we process the following data as controller:
The name and technical identifiers of the connected application and the web address it returns to.
The account and company that authorised it, the access level granted ("Read only" or "Read and create drafts"), when access was granted, changed, approved, extended or ended, by whom, and why it ended.
A log of each request the application makes: the time, the action requested, the identifiers of the records it concerned (for example an invoice number), whether it succeeded, an error code if not, how long it took, and the IP address it came from. The log does not contain the text of your documents or full bank account numbers.
We use this data to run the connection securely, show you and your company's administrators what the application did, prevent abuse, investigate incidents, and answer your support requests. The legal basis is our legitimate interest in the security and integrity of the service (Art. 6(1)(f) GDPR). The activity log is also shown to you and your company's administrators in Paply.
We keep the request log for 12 months. We keep the record of each authorisation while it is active and for 12 months after it ends (when it is disconnected or expires). Technical server logs of these requests are kept 30 days, like our other application logs. If you delete your account, your connections end at once; the request log and the records of those connections stay for the rest of their 12 months, because they are part of your company's record of what happened to its data, and are then deleted. Where an application creates a draft, the draft's history in Paply records which application created it; that history is part of the document and is kept for as long as the document is.
The AI assistant itself is provided by a company you choose, under your own agreement with it. Paply sends it the data it asks for within the access level you granted, at your company's instruction (see our Data Processing Agreement, section 3). What the provider does with that data, including whether it is used to train its models and where it is processed, is governed by your agreement with that provider and its privacy policy, not by ours. AI providers often process data outside the EU, for example in the United States. We recommend a business plan that comes with a data processing agreement; business plans of the major AI providers exclude your data from model training, consumer plans may not. Paply cannot delete data from an AI provider's systems once it has been sent there. If your company is established outside the EEA, for example in Serbia, your company is responsible under its own data protection law for the safeguards for transfers to the provider of the assistant it connects.
If your company has connected a Shopify shop, invoices and other data imported from it (amounts, products, order references) can be read by the assistants your team connects, once a company administrator has authorised this when turning AI assistants on. Customer names, addresses, e-mail addresses and phone numbers from the shop are not shared with assistants.
We never give AI assistants your password or sign-in codes, fiscalization certificates, the keys or credentials of your connected integrations, or the e-mail account you connected for sending invoices. Data we receive through Google or Microsoft account connections is never made available to an AI assistant.
You can disconnect an AI assistant at any time in Paply under Settings → Account → My AI assistants; your company's administrators can disconnect any assistant connected to the company under Settings → Integrations → AI assistants. Disconnecting stops further access straight away.
7. International transfers
Our infrastructure is hosted in the EU (Frankfurt, Germany). Where a subprocessor transfers data outside the EU/EEA, that transfer is covered by an adequacy decision or Standard Contractual Clauses.
8. How long we keep it
Each invoice, credit note and fiscalization record is kept for the period the law sets for that document, counted from the end of the year it belongs to (not from when an account is deleted): in Slovenia 10 years, or 20 years for invoices relating to immovable property; in Croatia 6 years for e-invoices whose e-invoice fiscalization was completed and at least 11 years for other accounting documents. For Serbia no period has been set yet, so such records are kept until one is. Records under a legal hold are kept until it ends. During this period they are not deleted, even after an account is deleted or a company closes, including the personal data that appears on them.
Account data (sign-in, profile, preferences, notifications, signature image) is deleted when you delete your account; we aim to remove it from live systems within 7 days. Database backups are kept for 7 days and application logs for 30 days, after which no copy remains. If a backup is ever restored, completed deletions are applied again. The activity log of connected AI assistants is kept for 12 months, and records of each connection while it is active and for 12 months after it ends (see section 6).
9. Your rights
Subject to applicable law, you have the right to access, correct, or request deletion of your personal data, to restrict or object to certain processing, and to receive a copy of your data in a portable format. Where processing relies on your consent, you may withdraw it at any time. Note that invoice data subject to statutory retention (see above) cannot be deleted before the retention period expires.
You can delete your account yourself in the Paply app or web app under Settings, Account, or without signing in at paply.app/delete-account.
To exercise these rights, contact info@enzor.si. You also have the right to lodge a complaint with your national data protection authority; in Slovenia, this is the Information Commissioner (ip-rs.si).
10. Cookies
Paply uses only the cookies strictly necessary to keep you signed in and remember your language preference. We do not use advertising or third-party tracking cookies. If that changes, we will ask for your consent first.
11. Security
We use industry-standard measures to protect personal data, including encryption in transit, hashed passwords, and access controls limiting who at ENZOR can view account and invoice data.
12. Changes to this policy
We may update this Privacy Policy from time to time. Material changes will be notified in-app or by email before taking effect.
13. Contact
Questions about this Privacy Policy or your data can be sent to info@enzor.si.
Politika zasebnosti
Nazadnje posodobljeno: 21. oktober 2026
Ta Politika zasebnosti pojasnjuje, kako ENZOR, programske rešitve d.o.o. ("ENZOR", "mi"), upravljavec podatkov za Paply, zbira in obdeluje osebne podatke v zvezi s storitvijo Paply, v skladu s Splošno uredbo EU o varstvu podatkov (GDPR) in veljavno nacionalno zakonodajo v Sloveniji, na Hrvaškem in v Srbiji.
1. Upravljavec podatkov
ENZOR, programske rešitve d.o.o. (matična številka 9725679000, identifikacijska številka za DDV SI52044971) je upravljavec podatkov za podatke o računih in podjetjih, obdelane prek Paplyja. Sedež: Prebačevo 15, 4000 Kranj, Slovenija. Kontakt: info@enzor.si, +386 68 626 212.
2. Kateri podatki zbiramo
Podatki o računu: ime, e-poštni naslov, geslo (zgoščeno) ali račun Google oziroma Apple, s katerim se prijavljate, izbrana barva avatarja, nastavitve dvofaktorske avtentikacije, slika podpisa, ki jo naložite, in, če delate na blagajni, davčna številka ali OIB, ki ju zakon zahteva na fiskaliziranih računih.
Podatki o napravah za mobilno aplikacijo: žeton za potisna obvestila in jezik aplikacije za vsako napravo, na kateri se prijavite.
Zahtevki za podporo, ki nam jih pošljete.
Podatki o podjetju: naziv podjetja, davčna/ID številka za DDV, sedež, podatki o bančnem računu, logotip in dokumenti za preverjanje, ki jih posredujete.
Podatki o računih in partnerjih: vsebina računov, ki jih ustvarite ali prejmete, vključno z imeni, naslovi in kontaktnimi podatki vaših strank in dobaviteljev, ki se pojavljajo na teh računih.
Podatki o uporabi: dnevniški podatki in podatki o napravi, ustvarjeni pri uporabi Paplyja, uporabljeni za varnost in odpravljanje težav.
Plačilni podatki: nikoli ne prejmemo ali shranimo celotnih številk kartic; podatke o karticah neposredno obdeluje Stripe, naš ponudnik plačil.
3. Zakaj jih obdelujemo in na kateri pravni podlagi
Za zagotavljanje storitve, za katero ste se prijavili (ustvarjanje, pošiljanje, prejemanje in arhiviranje računov), kar je potrebno za izvajanje naše pogodbe z vami (GDPR člen 6(1)(b)).
Za izpolnjevanje fiskalnih in računovodskih obveznosti hrambe po veljavni davčni zakonodaji, kar je potrebno za izpolnjevanje pravne obveznosti (člen 6(1)(c)).
Za zavarovanje računov, preprečevanje goljufij in vzdrževanje storitve, na podlagi našega zakonitega interesa (člen 6(1)(f)).
Kadar uporabljate funkcije, ki obdelujejo dokumente, ki jih naložite ali prejmete (na primer branje računov z umetno inteligenco), te podatke obdelujemo kot vaš obdelovalec, po vaših navodilih v skladu z našo Pogodbo o obdelavi osebnih podatkov (paply.app/dpa). Pravno podlago za to obdelavo kot upravljavec določite vi.
4. S kom jih delimo
Za delovanje Paplyja uporabljamo omejen nabor ponudnikov storitev. Za podatke o vašem podjetju, strankah in dobaviteljih, ki jih vnesete v Paply, so ponudniki, ki jih obdelujejo v našem imenu (naši podobdelovalci), navedeni v Prilogi 3 naše Pogodbe o obdelavi osebnih podatkov: oblačna infrastruktura, shranjevanje in pošiljanje e-pošte (Amazon Web Services, regija EU), ponudnik omrežja e-računov za prenos strukturiranih računov, Anthropic (branje računov z umetno inteligenco, le če ga uporabljate) in Expo (potisna obvestila v mobilni aplikaciji). Za lastne namene uporabljamo tudi Stripe za zaračunavanje vaše naročnine na Paply in Cloudflare Turnstile za zaščito registracije pred avtomatizirano zlorabo. Če se odločite za prijavo z računom Google ali Apple, od tega ponudnika prejmemo vaš e-poštni naslov, identifikator računa in, če ga ponudnik deli, vaše ime. Vsak ponudnik je zavezan s pogodbo o obdelavi podatkov ali deluje po lastnih pogojih, kot je opisano v njegovi politiki zasebnosti.
Osebnih podatkov ne prodajamo in Podatkov stranke ne delimo s tretjimi osebami za njihove lastne trženjske namene.
5. Povezave z računi Google in Microsoft
Če se odločite povezati svoj račun Gmail ali Microsoft 365, da se e-pošta za dostavo računov pošilja z vašega lastnega naslova (Nastavitve → Integracije), Paply zahteva le minimalen dostop, potreben za zagotavljanje te funkcionalnosti.
Podatki Google, do katerih dostopamo: pri povezavi računa Google Paply obdeluje e-poštni naslov povezanega računa, OAuth dostopni in osvežitveni žetone ter dovoljenje https://www.googleapis.com/auth/gmail.send. To dovoljenje uporabljamo izključno za pošiljanje e-pošte v vašem imenu. Pri povezavi računa Microsoft 365 obdelujemo enakovredne podatke: e-poštni naslov povezanega računa, OAuth žetone ter dovoljenje Microsoft Graph »Mail.Send«.
Paply nima dovoljenja za branje vašega predala Gmail oziroma poštnega predala Microsoft. Ne dostopamo do prejetih sporočil, jih ne preiskujemo in ne beremo, prav tako ne dostopamo do zgodovine e-pošte, stikov, datotek Google Drive, datotek OneDrive ali drugih podatkov v teh računih.
OAuth žetoni (dostopni in osvežitveni) so šifrirani v mirovanju in shranjeni izključno na naši lastni infrastrukturi (Amazon Web Services, regija EU). Dostop do njih je omejen na sisteme in osebje, ki ga nujno potrebuje za zagotavljanje storitve.
Podatkov, pridobljenih prek Google oziroma Microsoft API-jev, ne prodajamo, ne uporabljamo za oglaševanje in jih ne razkrivamo tretjim osebam za njihove lastne namene. Dostop do njih imajo lahko izključno pogodbeni obdelovalci, nujno potrebni za zagotavljanje infrastrukture Paplyja, kot je Amazon Web Services, in sicer le v obsegu, potrebnem za zagotavljanje storitve, ter na podlagi ustreznih pogodbenih obveznosti varovanja podatkov.
Podatki, pridobljeni prek Google Workspace API-jev, se ne uporabljajo za razvoj, izboljševanje ali učenje splošnih oziroma nepersonaliziranih modelov umetne inteligence ali strojnega učenja. Ti podatki se prav tako nikoli ne posredujejo Anthropic Claude API-ju ali kateri koli drugi storitvi umetne inteligence.
Povezavo z računom Google ali Microsoft lahko kadar koli prekinete v Paplyju pod Nastavitve → Integracije. Ob prekinitvi povezave trajno izbrišemo shranjene OAuth dostopne in osvežitvene žetone ter vse druge podatke, ki so se uporabljali izključno za vzdrževanje te povezave.
Uporaba in prenos podatkov, prejetih prek Google API-jev, v katero koli drugo aplikacijo s strani Paplyja je skladna s politiko Google API Services User Data Policy, vključno z zahtevami omejene uporabe (Limited Use).
6. Povezovanje AI pomočnikov
AI pomočnika ali agenta po svoji izbiri (na primer Claude ali ChatGPT) lahko povežete z enim od svojih podjetij v Paplyju, če to dovoli skrbnik vašega podjetja. Ko to storite, kot upravljavec obdelujemo naslednje podatke:
Ime in tehnične identifikatorje povezane aplikacije ter spletni naslov, na katerega se vrača.
Uporabniški račun in podjetje, ki sta jo pooblastila, odobreno raven dostopa ("Samo branje" ali "Branje in priprava osnutkov"), kdaj je bil dostop odobren, spremenjen, potrjen, podaljšan ali končan, kdo je to storil in zakaj se je končal.
Dnevnik vsake zahteve, ki jo aplikacija pošlje: čas, zahtevano dejanje, identifikatorje zapisov, na katere se nanaša (na primer številko računa), ali je uspela, kodo napake, če ni, koliko časa je trajala, in naslov IP, s katerega je prišla. Dnevnik ne vsebuje besedila vaših dokumentov ali celotnih številk bančnih računov.
Te podatke uporabljamo za varno delovanje povezave, za prikaz tega, kaj je aplikacija naredila, vam in skrbnikom vašega podjetja, za preprečevanje zlorab, preiskovanje incidentov in odgovarjanje na vaše zahtevke za podporo. Pravna podlaga je naš zakoniti interes za varnost in celovitost storitve (člen 6(1)(f) GDPR). Dnevnik aktivnosti je v Paplyju prikazan tudi vam in skrbnikom vašega podjetja.
Dnevnik zahtev hranimo 12 mesecev. Zapis o vsakem pooblastilu hranimo, dokler je aktivno, in še 12 mesecev po njegovem koncu (ko je povezava prekinjena ali poteče). Tehnične strežniške dnevnike teh zahtev hranimo 30 dni, tako kot druge dnevnike aplikacije. Če izbrišete svoj račun, se vaše povezave takoj končajo; dnevnik zahtev in zapisi o teh povezavah ostanejo do izteka svojih 12 mesecev, ker so del evidence vašega podjetja o tem, kaj se je dogajalo z njegovimi podatki, nato pa se izbrišejo. Kadar aplikacija ustvari osnutek, zgodovina osnutka v Paplyju beleži, katera aplikacija ga je ustvarila; ta zgodovina je del dokumenta in se hrani, dokler se hrani dokument.
Samega AI pomočnika zagotavlja podjetje, ki ga izberete, po vaši lastni pogodbi z njim. Paply mu pošlje podatke, ki jih zahteva, v okviru ravni dostopa, ki ste jo odobrili, po navodilu vašega podjetja (glejte našo Pogodbo o obdelavi osebnih podatkov, razdelek 3). Kaj ponudnik s temi podatki počne, vključno s tem, ali jih uporablja za učenje svojih modelov in kje jih obdeluje, urejata vaša pogodba s tem ponudnikom in njegova politika zasebnosti, ne naša. Ponudniki umetne inteligence podatke pogosto obdelujejo zunaj EU, na primer v Združenih državah Amerike. Priporočamo poslovni paket, ki vključuje pogodbo o obdelavi podatkov; poslovni paketi večjih ponudnikov umetne inteligence vaše podatke izključujejo iz učenja modelov, potrošniški paketi pa morda ne. Paply ne more izbrisati podatkov iz sistemov ponudnika umetne inteligence, ko so mu bili poslani. Če ima vaše podjetje sedež zunaj EGP, na primer v Srbiji, je po svoji zakonodaji o varstvu podatkov odgovorno za zaščitne ukrepe pri prenosih k ponudniku pomočnika, ki ga poveže.
Če je vaše podjetje povezalo trgovino Shopify, lahko račune in druge podatke, uvožene iz nje (zneske, izdelke, sklice na naročila), berejo pomočniki, ki jih poveže vaša ekipa, ko to skrbnik podjetja odobri ob vklopu AI pomočnikov. Imena, naslovi, e-poštni naslovi in telefonske številke kupcev iz trgovine se s pomočniki ne delijo.
AI pomočnikom nikoli ne damo vašega gesla ali kod za prijavo, potrdil za fiskalizacijo, ključev ali poverilnic vaših povezanih integracij ali e-poštnega računa, ki ste ga povezali za pošiljanje računov. Podatki, ki jih prejmemo prek povezav z računi Google ali Microsoft, AI pomočnikom nikoli niso na voljo.
AI pomočnika lahko kadar koli odklopite v Paplyju pod Nastavitve → Račun → Moji AI pomočniki; skrbniki vašega podjetja lahko odklopijo katerega koli pomočnika, povezanega s podjetjem, pod Nastavitve → Integracije → AI pomočniki. Z odklopom se nadaljnji dostop takoj ustavi.
7. Mednarodni prenosi
Naša infrastruktura gostuje v EU (Frankfurt, Nemčija). Kadar pogodbeni obdelovalec prenaša podatke zunaj EU/EGP, je tak prenos zavarovan s sklepom o ustreznosti ali standardnimi pogodbenimi klavzulami.
8. Kako dolgo jih hranimo
Vsak račun, dobropis in fiskalni zapis hranimo toliko časa, kot ga za ta dokument določa zakon, šteto od konca leta, na katero se nanaša (ne od izbrisa računa): v Sloveniji 10 let oziroma 20 let za račune, povezane z nepremičninami; na Hrvaškem 6 let za e-račune z opravljeno fiskalizacijo e-računa in najmanj 11 let za druge računovodske listine. Za Srbijo obdobje še ni določeno, zato se taki zapisi hranijo, dokler ni določeno. Zapisi pod pravnim zadržanjem se hranijo do njegovega konca. V tem obdobju se ne brišejo, tudi po izbrisu računa ali zaprtju podjetja, vključno z osebnimi podatki, ki so na njih.
Podatke o računu (prijava, profil, nastavitve, obvestila, slika podpisa) izbrišemo, ko izbrišete svoj račun; iz živih sistemov jih poskušamo odstraniti v 7 dneh. Varnostne kopije baze podatkov hranimo 7 dni, dnevnike aplikacije pa 30 dni, nato ne ostane nobena kopija. Če varnostno kopijo kdaj obnovimo, opravljene izbrise ponovno uveljavimo. Dnevnik aktivnosti povezanih AI pomočnikov hranimo 12 mesecev, zapise o vsaki povezavi pa, dokler je aktivna, in še 12 mesecev po njenem koncu (glejte razdelek 6).
9. Vaše pravice
V skladu z veljavno zakonodajo imate pravico dostopa, popravka ali izbrisa svojih osebnih podatkov, pravico do omejitve ali ugovora zoper določeno obdelavo ter pravico do prejema kopije svojih podatkov v prenosljivi obliki. Kadar obdelava temelji na vaši privolitvi, jo lahko kadar koli prekličete. Upoštevajte, da podatkov o računih, za katere velja zakonska hramba (glejte zgoraj), ni mogoče izbrisati pred iztekom obdobja hrambe.
Račun lahko izbrišete sami v aplikaciji Paply ali spletni aplikaciji pod Nastavitve, Račun, ali brez prijave na paply.app/delete-account.
Za uveljavljanje teh pravic se obrnite na info@enzor.si. Imate tudi pravico do pritožbe pri svojem nacionalnem organu za varstvo podatkov; v Sloveniji je to Informacijski pooblaščenec (ip-rs.si).
10. Piškotki
Paply uporablja le piškotke, ki so nujno potrebni za ohranjanje vaše prijave in pomnjenje jezikovnih nastavitev. Ne uporabljamo oglaševalskih ali sledilnih piškotkov tretjih oseb. Če se to spremeni, bomo najprej zaprosili za vašo privolitev.
11. Varnost
Uporabljamo ukrepe, skladne s panožnimi standardi, za zaščito osebnih podatkov, vključno s šifriranjem med prenosom, zgoščenimi gesli in nadzorom dostopa, ki omejuje, kdo pri ENZOR-u lahko vidi podatke o uporabniških računih in računih strank.
12. Spremembe te politike
To Politiko zasebnosti lahko občasno posodobimo. O bistvenih spremembah vas bomo obvestili v aplikaciji ali po e-pošti, preden začnejo veljati.
13. Kontakt
Vprašanja o tej Politiki zasebnosti ali svojih podatkih lahko pošljete na info@enzor.si.
Politika privatnosti
Zadnje ažuriranje: 21. listopada 2026.
Ova Politika privatnosti objašnjava kako ENZOR, programske rešitve d.o.o. ("ENZOR", "mi"), voditelj obrade podataka za Paply, prikuplja i obrađuje osobne podatke u vezi s uslugom Paply, u skladu s Općom uredbom EU o zaštiti podataka (GDPR) i primjenjivim nacionalnim zakonodavstvom u Sloveniji, Hrvatskoj i Srbiji.
1. Voditelj obrade podataka
ENZOR, programske rešitve d.o.o. (matični broj 9725679000, PDV identifikacijski broj SI52044971) je voditelj obrade podataka o računima i tvrtkama obrađenih putem Paplyja. Sjedište: Prebačevo 15, 4000 Kranj, Slovenija. Kontakt: info@enzor.si, +386 68 626 212.
2. Koje podatke prikupljamo
Podaci o računu: ime, e-adresa, lozinka (heširana) ili Google odnosno Apple račun kojim se prijavljujete, postavke avatara, postavke dvofaktorske autentifikacije, slika potpisa koju učitate te, ako radite na blagajni, porezni broj ili OIB koji zakon zahtijeva na fiskaliziranim računima.
Podaci o uređajima za mobilnu aplikaciju: token za push obavijesti i jezik aplikacije za svaki uređaj na kojem se prijavite.
Zahtjevi za podršku koje nam pošaljete.
Podaci o tvrtki: naziv tvrtke, OIB/PDV broj, sjedište, podaci o bankovnom računu, logotip i dokumenti za verifikaciju koje dostavite.
Podaci o računima i partnerima: sadržaj računa koje izradite ili primite, uključujući imena, adrese i kontakt podatke vaših kupaca i dobavljača koji se pojavljuju na tim računima.
Podaci o korištenju: podaci zapisnika i uređaja generirani prilikom korištenja Paplyja, korišteni za sigurnost i rješavanje problema.
Podaci o plaćanju: nikada ne primamo niti pohranjujemo pune brojeve kartica; podatke o karticama izravno obrađuje Stripe, naš obrađivač plaćanja.
3. Zašto ih obrađujemo i po kojoj pravnoj osnovi
Radi pružanja usluge za koju ste se prijavili (izrade, slanja, primanja i arhiviranja računa), što je nužno za izvršenje našeg ugovora s vama (GDPR čl. 6(1)(b)).
Radi ispunjavanja fiskalnih i računovodstvenih obveza čuvanja prema važećem poreznom zakonu, što je nužno za usklađenost s pravnom obvezom (čl. 6(1)(c)).
Radi osiguranja računa, sprječavanja prijevara i održavanja usluge, na temelju našeg legitimnog interesa (čl. 6(1)(f)).
Kada koristite značajke koje obrađuju dokumente koje učitate ili primite (primjerice čitanje računa uz pomoć umjetne inteligencije), te podatke obrađujemo kao vaš izvršitelj obrade, prema vašim uputama u skladu s našim Ugovorom o obradi osobnih podataka (paply.app/dpa). Pravnu osnovu za tu obradu određujete vi kao voditelj obrade.
4. S kim ih dijelimo
Za rad Paplyja koristimo ograničen skup pružatelja usluga. Za podatke o vašoj tvrtki, kupcima i dobavljačima koje unesete u Paply, pružatelji koji ih obrađuju u naše ime (naši podobrađivači) navedeni su u Prilogu 3 našeg Ugovora o obradi osobnih podataka: oblačna infrastruktura, pohrana i slanje e-pošte (Amazon Web Services, regija EU), pružatelj mreže e-računa za prijenos strukturiranih računa, Anthropic (čitanje računa uz pomoć umjetne inteligencije, samo ako ga koristite) i Expo (push obavijesti u mobilnoj aplikaciji). Za vlastite svrhe koristimo i Stripe za naplatu vaše pretplate na Paply i Cloudflare Turnstile za zaštitu registracije od automatizirane zlouporabe. Ako se odlučite prijaviti putem Google ili Apple računa, od tog pružatelja primamo vašu e-adresu, identifikator računa i, ako ga pružatelj dijeli, vaše ime. Svaki pružatelj obvezan je ugovorom o obradi podataka ili djeluje prema vlastitim uvjetima, kako je opisano u njegovoj politici privatnosti.
Ne prodajemo osobne podatke i ne dijelimo Podatke klijenta s trećim stranama za njihove vlastite marketinške svrhe.
5. Povezivanje Google i Microsoft računa
Ako odaberete povezati svoj Gmail ili Microsoft 365 račun kako bi se e-pošta za dostavu računa slala s vaše vlastite adrese (Postavke → Integracije), Paply traži samo minimalan pristup potreban za pružanje te funkcionalnosti.
Google podaci kojima pristupamo: pri povezivanju Google računa Paply obrađuje e-adresu povezanog računa, OAuth pristupne i osvježavajuće tokene te dopuštenje https://www.googleapis.com/auth/gmail.send. To dopuštenje koristimo isključivo za slanje e-pošte u vaše ime. Pri povezivanju Microsoft 365 računa obrađujemo ekvivalentne podatke: e-adresu povezanog računa, OAuth tokene i dopuštenje Microsoft Graph "Mail.Send".
Paply nema dopuštenje za čitanje vašeg Gmail pretinca odnosno Microsoftovog poštanskog pretinca. Ne pristupamo primljenim porukama, ne pretražujemo ih niti ih čitamo, a isto tako ne pristupamo povijesti e-pošte, kontaktima, Google Drive datotekama, OneDrive datotekama niti bilo kojim drugim podacima u tim računima.
OAuth tokeni (pristupni i osvježavajući) šifrirani su u mirovanju i pohranjeni isključivo na našoj vlastitoj infrastrukturi (Amazon Web Services, regija EU). Pristup njima ograničen je na sustave i osoblje kojima je to nužno potrebno za pružanje usluge.
Podatke dobivene putem Google odnosno Microsoft API-ja ne prodajemo, ne koristimo za oglašavanje i ne otkrivamo trećim stranama za njihove vlastite svrhe. Pristup njima mogu imati isključivo podobrađivači infrastrukture nužno potrebni za rad Paplyja, poput Amazon Web Servicesa, i to samo u opsegu potrebnom za pružanje usluge te na temelju odgovarajućih ugovornih obveza zaštite podataka.
Podaci dobiveni putem Google Workspace API-ja ne koriste se za razvoj, unaprjeđenje ili treniranje generaliziranih odnosno nepersonaliziranih modela umjetne inteligencije ili strojnog učenja. Ti se podaci također nikada ne prosljeđuju Anthropic Claude API-ju niti bilo kojoj drugoj usluzi umjetne inteligencije.
Povezivanje s Google ili Microsoft računom možete prekinuti u bilo kojem trenutku u Paplyju pod Postavke → Integracije. Prekidom veze trajno brišemo pohranjene OAuth pristupne i osvježavajuće tokene te sve druge podatke korištene isključivo za održavanje te veze.
Korištenje i prijenos podataka koje Paply primi putem Google API-ja u bilo koju drugu aplikaciju usklađeno je s Google API Services User Data Policy, uključujući zahtjeve ograničene upotrebe (Limited Use).
6. Povezivanje AI asistenata
S jednom od svojih tvrtki u Paplyju možete povezati AI asistenta ili agenta po svom izboru (primjerice Claude ili ChatGPT), ako to dopusti administrator vaše tvrtke. Kada to učinite, kao voditelj obrade obrađujemo sljedeće podatke:
Naziv i tehničke identifikatore povezane aplikacije te web-adresu na koju se vraća.
Korisnički račun i tvrtku koji su je ovlastili, odobrenu razinu pristupa ("Samo čitanje" ili "Čitanje i izrada nacrta"), kada je pristup odobren, promijenjen, potvrđen, produljen ili završen, tko je to učinio i zašto je završen.
Zapisnik svakog zahtjeva koji aplikacija uputi: vrijeme, zatraženu radnju, identifikatore zapisa na koje se odnosi (primjerice broj računa), je li uspio, kod pogreške ako nije, koliko je trajao i IP adresu s koje je došao. Zapisnik ne sadrži tekst vaših dokumenata niti pune brojeve bankovnih računa.
Te podatke koristimo za sigurno funkcioniranje veze, kako bismo vama i administratorima vaše tvrtke prikazali što je aplikacija radila, za sprječavanje zlouporabe, istraživanje incidenata i odgovaranje na vaše zahtjeve za podršku. Pravna osnova je naš legitimni interes za sigurnost i cjelovitost usluge (čl. 6(1)(f) GDPR-a). Zapisnik aktivnosti u Paplyju prikazuje se i vama i administratorima vaše tvrtke.
Zapisnik zahtjeva čuvamo 12 mjeseci. Zapis o svakom ovlaštenju čuvamo dok je aktivno i još 12 mjeseci nakon njegova završetka (kada se veza prekine ili istekne). Tehničke zapisnike poslužitelja za te zahtjeve čuvamo 30 dana, kao i ostale zapisnike aplikacije. Ako izbrišete svoj račun, vaše veze odmah završavaju; zapisnik zahtjeva i zapisi o tim vezama ostaju do isteka svojih 12 mjeseci jer su dio evidencije vaše tvrtke o tome što se događalo s njezinim podacima, a zatim se brišu. Kada aplikacija izradi nacrt, povijest nacrta u Paplyju bilježi koja ga je aplikacija izradila; ta je povijest dio dokumenta i čuva se onoliko dugo koliko i dokument.
Samog AI asistenta pruža tvrtka koju odaberete, prema vašem vlastitom ugovoru s njom. Paply mu šalje podatke koje zatraži, u okviru razine pristupa koju ste odobrili, prema uputi vaše tvrtke (vidi naš Ugovor o obradi osobnih podataka, odjeljak 3). Što pružatelj radi s tim podacima, uključujući koristi li ih za učenje svojih modela i gdje ih obrađuje, uređuju vaš ugovor s tim pružateljem i njegova politika privatnosti, a ne naša. Pružatelji usluga umjetne inteligencije podatke često obrađuju izvan EU-a, primjerice u Sjedinjenim Američkim Državama. Preporučujemo poslovni plan koji uključuje ugovor o obradi podataka; poslovni planovi većih pružatelja usluga umjetne inteligencije isključuju vaše podatke iz učenja modela, a potrošački planovi možda ne. Paply ne može izbrisati podatke iz sustava pružatelja usluge umjetne inteligencije nakon što su mu poslani. Ako vaša tvrtka ima sjedište izvan EGP-a, primjerice u Srbiji, ona je prema vlastitom zakonu o zaštiti podataka odgovorna za zaštitne mjere za prijenose pružatelju asistenta kojeg poveže.
Ako je vaša tvrtka povezala Shopify trgovinu, račune i druge podatke uvezene iz nje (iznose, proizvode, reference narudžbi) mogu čitati asistenti koje poveže vaš tim, nakon što to administrator tvrtke odobri pri uključivanju AI asistenata. Imena, adrese, e-adrese i brojevi telefona kupaca iz trgovine ne dijele se s asistentima.
AI asistentima nikada ne dajemo vašu lozinku ili kodove za prijavu, certifikate za fiskalizaciju, ključeve ili vjerodajnice vaših povezanih integracija ni račun e-pošte koji ste povezali za slanje računa. Podaci koje primamo putem povezanih Google ili Microsoft računa nikada nisu dostupni AI asistentu.
AI asistenta možete odspojiti u bilo kojem trenutku u Paplyju pod Postavke → Račun → Moji AI asistenti; administratori vaše tvrtke mogu odspojiti bilo kojeg asistenta povezanog s tvrtkom pod Postavke → Integracije → AI asistenti. Odspajanjem se daljnji pristup odmah zaustavlja.
7. Međunarodni prijenosi
Naša infrastruktura smještena je u EU (Frankfurt, Njemačka). Kada podobrađivač prenosi podatke izvan EU/EGP-a, taj je prijenos pokriven odlukom o primjerenosti ili standardnim ugovornim klauzulama.
8. Koliko dugo ih čuvamo
Svaki račun, odobrenje i fiskalni zapis čuvamo onoliko koliko zakon propisuje za taj dokument, računajući od kraja godine na koju se odnosi (ne od brisanja računa): u Sloveniji 10 godina, odnosno 20 godina za račune vezane uz nekretnine; u Hrvatskoj 6 godina za eRačune za koje je provedena fiskalizacija eRačuna i najmanje 11 godina za ostale knjigovodstvene isprave. Za Srbiju rok još nije utvrđen, pa se takvi zapisi čuvaju dok se ne utvrdi. Zapisi pod pravnim zadržavanjem čuvaju se do njegova završetka. U tom se razdoblju ne brišu, ni nakon brisanja računa ili zatvaranja tvrtke, uključujući osobne podatke koji se na njima nalaze.
Podatke o računu (prijava, profil, postavke, obavijesti, slika potpisa) brišemo kada izbrišete svoj račun; iz aktivnih sustava nastojimo ih ukloniti u roku od 7 dana. Sigurnosne kopije baze podataka čuvamo 7 dana, a zapisnike aplikacije 30 dana, nakon čega ne ostaje nijedna kopija. Ako se sigurnosna kopija ikada vrati, provedena brisanja ponovno se primjenjuju. Zapisnik aktivnosti povezanih AI asistenata čuvamo 12 mjeseci, a zapise o svakoj vezi dok je aktivna i još 12 mjeseci nakon njezina završetka (vidi odjeljak 6).
9. Vaša prava
U skladu s važećim zakonom, imate pravo pristupa, ispravka ili brisanja svojih osobnih podataka, pravo na ograničenje ili prigovor određenoj obradi te pravo na primitak kopije svojih podataka u prenosivom obliku. Kada se obrada temelji na vašoj privoli, možete je povući u bilo kojem trenutku. Napominjemo da se podaci o računima koji podliježu zakonskom čuvanju (vidi gore) ne mogu izbrisati prije isteka razdoblja čuvanja.
Račun možete sami izbrisati u Paply aplikaciji ili web aplikaciji pod Postavke, Račun, ili bez prijave na paply.app/delete-account.
Za ostvarivanje ovih prava obratite se na info@enzor.si. Također imate pravo podnijeti pritužbu svom nacionalnom tijelu za zaštitu podataka; u Hrvatskoj je to Agencija za zaštitu osobnih podataka (AZOP).
10. Kolačići
Paply koristi samo kolačiće koji su nužno potrebni za održavanje vaše prijave i pamćenje jezičnih postavki. Ne koristimo oglašivačke ili kolačiće za praćenje trećih strana. Ako se to promijeni, prvo ćemo zatražiti vašu privolu.
11. Sigurnost
Koristimo mjere u skladu s industrijskim standardima za zaštitu osobnih podataka, uključujući enkripciju tijekom prijenosa, heširane lozinke i kontrole pristupa koje ograničavaju tko unutar ENZOR-a može vidjeti podatke o računima i računima klijenata.
12. Izmjene ove politike
Ovu Politiku privatnosti povremeno možemo ažurirati. O bitnim izmjenama obavijestit ćemo vas unutar aplikacije ili putem e-pošte prije nego što stupe na snagu.
13. Kontakt
Pitanja o ovoj Politici privatnosti ili vašim podacima možete poslati na info@enzor.si.
Politika privatnosti
Poslednje ažuriranje: 21. oktobar 2026.
Ova Politika privatnosti objašnjava kako ENZOR, programske rešitve d.o.o. ("ENZOR", "mi"), rukovalac podataka za Paply, prikuplja i obrađuje lične podatke u vezi sa uslugom Paply, u skladu sa Opštom uredbom EU o zaštiti podataka (GDPR) i primenljivim nacionalnim zakonodavstvom u Sloveniji, Hrvatskoj i Srbiji.
1. Rukovalac podataka
ENZOR, programske rešitve d.o.o. (matični broj 9725679000, PDV broj SI52044971) je rukovalac podataka o nalozima i kompanijama obrađenih putem Paply-ja. Sedište: Prebačevo 15, 4000 Kranj, Slovenija. Kontakt: info@enzor.si, +386 68 626 212.
2. Koje podatke prikupljamo
Podaci o nalogu: ime, e-adresa, lozinka (heširana) ili Google odnosno Apple nalog kojim se prijavljujete, podešavanja avatara, podešavanja dvofaktorske autentifikacije, slika potpisa koju otpremite i, ako radite na kasi, poreski broj ili OIB koji zakon zahteva na fiskalizovanim računima.
Podaci o uređajima za mobilnu aplikaciju: token za push obaveštenja i jezik aplikacije za svaki uređaj na kome se prijavite.
Zahtevi za podršku koje nam pošaljete.
Podaci o kompaniji: naziv kompanije, PIB/PDV broj, sedište, podaci o bankovnom računu, logotip i dokumenti za verifikaciju koje dostavite.
Podaci o fakturama i partnerima: sadržaj faktura koje kreirate ili primite, uključujući imena, adrese i kontakt podatke vaših kupaca i dobavljača koji se pojavljuju na tim fakturama.
Podaci o korišćenju: podaci dnevnika i uređaja generisani prilikom korišćenja Paply-ja, korišćeni za bezbednost i rešavanje problema.
Podaci o plaćanju: nikada ne primamo niti čuvamo pune brojeve kartica; podatke o karticama neposredno obrađuje Stripe, naš obrađivač plaćanja.
3. Zašto ih obrađujemo i po kom pravnom osnovu
Radi pružanja usluge za koju ste se prijavili (kreiranja, slanja, primanja i arhiviranja faktura), što je neophodno za izvršenje našeg ugovora sa vama (GDPR čl. 6(1)(b)).
Radi ispunjavanja fiskalnih i računovodstvenih obaveza čuvanja prema važećem poreskom zakonu, što je neophodno za usklađenost sa zakonskom obavezom (čl. 6(1)(c)).
Radi obezbeđivanja naloga, sprečavanja prevara i održavanja usluge, na osnovu našeg legitimnog interesa (čl. 6(1)(f)).
Kada koristite funkcije koje obrađuju dokumente koje otpremite ili primite (na primer čitanje faktura uz pomoć veštačke inteligencije), te podatke obrađujemo kao vaš obrađivač, prema vašim uputstvima u skladu sa našim Ugovorom o obradi podataka o ličnosti (paply.app/dpa). Pravni osnov za tu obradu određujete vi kao rukovalac.
4. Sa kim ih delimo
Za rad Paply-ja koristimo ograničen skup pružalaca usluga. Za podatke o vašoj kompaniji, kupcima i dobavljačima koje unesete u Paply, pružaoci koji ih obrađuju u naše ime (naši podobrađivači) navedeni su u Prilogu 3 našeg Ugovora o obradi podataka o ličnosti: oblak infrastruktura, skladištenje i slanje e-pošte (Amazon Web Services, EU region), pružalac mreže e-faktura za prenos strukturiranih faktura, Anthropic (čitanje faktura uz pomoć veštačke inteligencije, samo ako ga koristite) i Expo (push obaveštenja u mobilnoj aplikaciji). Za sopstvene svrhe koristimo i Stripe za naplatu vaše pretplate na Paply i Cloudflare Turnstile za zaštitu registracije od automatizovane zloupotrebe. Ako izaberete prijavu putem Google ili Apple naloga, od tog pružaoca dobijamo vašu e-adresu, identifikator naloga i, ako ga pružalac deli, vaše ime. Svaki pružalac je obavezan ugovorom o obradi podataka ili deluje prema sopstvenim uslovima, kako je opisano u njegovoj politici privatnosti.
Ne prodajemo lične podatke i ne delimo Podatke klijenta sa trećim stranama za njihove sopstvene marketinške svrhe.
5. Povezivanje Google i Microsoft naloga
Ako odaberete da povežete svoj Gmail ili Microsoft 365 nalog kako bi se e-pošta za dostavu faktura slala sa vaše sopstvene adrese (Podešavanja → Integracije), Paply traži samo minimalan pristup neophodan za pružanje te funkcionalnosti.
Google podaci kojima pristupamo: pri povezivanju Google naloga Paply obrađuje e-adresu povezanog naloga, OAuth pristupne i osvežavajuće tokene, kao i dozvolu https://www.googleapis.com/auth/gmail.send. Ovu dozvolu koristimo isključivo za slanje e-pošte u vaše ime. Pri povezivanju Microsoft 365 naloga obrađujemo ekvivalentne podatke: e-adresu povezanog naloga, OAuth tokene i dozvolu Microsoft Graph "Mail.Send".
Paply nema dozvolu da čita vaše Gmail sanduče odnosno Microsoft poštansko sanduče. Ne pristupamo primljenim porukama, ne pretražujemo ih niti ih čitamo, a isto tako ne pristupamo istoriji e-pošte, kontaktima, Google Drive fajlovima, OneDrive fajlovima niti bilo kojim drugim podacima u tim nalozima.
OAuth tokeni (pristupni i osvežavajući) šifrovani su u mirovanju i čuvaju se isključivo na našoj sopstvenoj infrastrukturi (Amazon Web Services, EU region). Pristup njima ograničen je na sisteme i osoblje kojima je to neophodno za pružanje usluge.
Podatke dobijene putem Google odnosno Microsoft API-ja ne prodajemo, ne koristimo za oglašavanje i ne otkrivamo trećim stranama za njihove sopstvene svrhe. Pristup njima mogu imati isključivo podobrađivači infrastrukture neophodni za rad Paply-ja, kao što je Amazon Web Services, i to samo u obimu potrebnom za pružanje usluge i na osnovu odgovarajućih ugovornih obaveza zaštite podataka.
Podaci dobijeni putem Google Workspace API-ja ne koriste se za razvoj, unapređenje ili treniranje generalizovanih odnosno nepersonalizovanih modela veštačke inteligencije ili mašinskog učenja. Ovi podaci se takođe nikada ne prosleđuju Anthropic Claude API-ju niti bilo kojoj drugoj usluzi veštačke inteligencije.
Povezivanje sa Google ili Microsoft nalogom možete prekinuti u bilo kom trenutku u Paply-ju pod Podešavanja → Integracije. Prekidom veze trajno brišemo sačuvane OAuth pristupne i osvežavajuće tokene, kao i sve druge podatke korišćene isključivo za održavanje te veze.
Korišćenje i prenos podataka koje Paply primi putem Google API-ja u bilo koju drugu aplikaciju usklađeno je sa Google API Services User Data Policy, uključujući zahteve ograničene upotrebe (Limited Use).
6. Povezivanje AI asistenata
Sa jednom od svojih kompanija u Paply-ju možete povezati AI asistenta ili agenta po svom izboru (na primer Claude ili ChatGPT), ako to dozvoli administrator vaše kompanije. Kada to učinite, kao rukovalac obrađujemo sledeće podatke:
Naziv i tehničke identifikatore povezane aplikacije i veb adresu na koju se vraća.
Nalog i kompaniju koji su je ovlastili, odobreni nivo pristupa ("Samo čitanje" ili "Čitanje i izrada nacrta"), kada je pristup odobren, promenjen, potvrđen, produžen ili završen, ko je to učinio i zašto je završen.
Dnevnik svakog zahteva koji aplikacija uputi: vreme, zatraženu radnju, identifikatore zapisa na koje se odnosi (na primer broj fakture), da li je uspeo, kod greške ako nije, koliko je trajao i IP adresu sa koje je došao. Dnevnik ne sadrži tekst vaših dokumenata niti pune brojeve bankovnih računa.
Ove podatke koristimo za bezbedan rad veze, da bismo vama i administratorima vaše kompanije prikazali šta je aplikacija radila, za sprečavanje zloupotrebe, istraživanje incidenata i odgovaranje na vaše zahteve za podršku. Pravni osnov je naš legitimni interes za bezbednost i celovitost usluge (čl. 6(1)(f) GDPR-a). Dnevnik aktivnosti se u Paply-ju prikazuje i vama i administratorima vaše kompanije.
Dnevnik zahteva čuvamo 12 meseci. Zapis o svakom ovlašćenju čuvamo dok je aktivno i još 12 meseci nakon njegovog završetka (kada se veza prekine ili istekne). Tehničke dnevnike servera za te zahteve čuvamo 30 dana, kao i ostale dnevnike aplikacije. Ako izbrišete svoj nalog, vaše veze se odmah završavaju; dnevnik zahteva i zapisi o tim vezama ostaju do isteka svojih 12 meseci jer su deo evidencije vaše kompanije o tome šta se dešavalo sa njenim podacima, a zatim se brišu. Kada aplikacija kreira nacrt, istorija nacrta u Paply-ju beleži koja ga je aplikacija kreirala; ta istorija je deo dokumenta i čuva se onoliko dugo koliko i dokument.
Samog AI asistenta pruža kompanija koju izaberete, prema vašem sopstvenom ugovoru sa njom. Paply mu šalje podatke koje zatraži, u okviru nivoa pristupa koji ste odobrili, po uputstvu vaše kompanije (videti naš Ugovor o obradi podataka o ličnosti, odeljak 3). Šta pružalac radi sa tim podacima, uključujući da li ih koristi za učenje svojih modela i gde ih obrađuje, uređuju vaš ugovor sa tim pružaocem i njegova politika privatnosti, a ne naša. Pružaoci usluga veštačke inteligencije podatke često obrađuju van EU, na primer u Sjedinjenim Američkim Državama. Preporučujemo poslovni plan koji uključuje ugovor o obradi podataka; poslovni planovi većih pružalaca usluga veštačke inteligencije isključuju vaše podatke iz učenja modela, a potrošački planovi možda ne. Paply ne može da izbriše podatke iz sistema pružaoca usluge veštačke inteligencije nakon što su mu poslati. Ako vaša kompanija ima sedište van EEP, na primer u Srbiji, ona je prema sopstvenom zakonu o zaštiti podataka odgovorna za zaštitne mere za prenose pružaocu asistenta koga poveže.
Ako je vaša kompanija povezala Shopify prodavnicu, fakture i druge podatke uvezene iz nje (iznose, proizvode, reference porudžbina) mogu da čitaju asistenti koje poveže vaš tim, nakon što to administrator kompanije odobri pri uključivanju AI asistenata. Imena, adrese, e-adrese i brojevi telefona kupaca iz prodavnice ne dele se sa asistentima.
AI asistentima nikada ne dajemo vašu lozinku ili kodove za prijavu, sertifikate za fiskalizaciju, ključeve ili akreditive vaših povezanih integracija niti nalog e-pošte koji ste povezali za slanje faktura. Podaci koje primamo putem povezanih Google ili Microsoft naloga nikada nisu dostupni AI asistentu.
AI asistenta možete isključiti u bilo kom trenutku u Paply-ju pod Podešavanja → Nalog → Moji AI asistenti; administratori vaše kompanije mogu isključiti bilo kog asistenta povezanog sa kompanijom pod Podešavanja → Integracije → AI asistenti. Isključivanjem se dalji pristup odmah zaustavlja.
7. Međunarodni prenosi
Naša infrastruktura se nalazi u EU (Frankfurt, Nemačka). Kada podobrađivač prenosi podatke van EU/EEP, taj prenos je pokriven odlukom o adekvatnosti ili standardnim ugovornim klauzulama.
8. Koliko dugo ih čuvamo
Svaki račun, knjižno odobrenje i fiskalni zapis čuvamo onoliko koliko zakon propisuje za taj dokument, računajući od kraja godine na koju se odnosi (ne od brisanja naloga): u Sloveniji 10 godina, odnosno 20 godina za račune vezane za nepokretnosti; u Hrvatskoj 6 godina za e-račune za koje je sprovedena fiskalizacija e-računa i najmanje 11 godina za ostale knjigovodstvene isprave. Za Srbiju rok još nije utvrđen, pa se takvi zapisi čuvaju dok se ne utvrdi. Zapisi pod pravnim zadržavanjem čuvaju se do njegovog završetka. U tom periodu se ne brišu, ni nakon brisanja naloga ili zatvaranja firme, uključujući lične podatke koji se na njima nalaze.
Podatke o nalogu (prijava, profil, podešavanja, obaveštenja, slika potpisa) brišemo kada izbrišete svoj nalog; iz aktivnih sistema nastojimo da ih uklonimo u roku od 7 dana. Rezervne kopije baze podataka čuvamo 7 dana, a dnevnike aplikacije 30 dana, posle čega ne ostaje nijedna kopija. Ako se rezervna kopija ikada vrati, sprovedena brisanja se ponovo primenjuju. Dnevnik aktivnosti povezanih AI asistenata čuvamo 12 meseci, a zapise o svakoj vezi dok je aktivna i još 12 meseci nakon njenog završetka (videti odeljak 6).
9. Vaša prava
U skladu sa važećim zakonom, imate pravo pristupa, ispravke ili brisanja svojih ličnih podataka, pravo na ograničenje ili prigovor određenoj obradi, i pravo da dobijete kopiju svojih podataka u prenosivom formatu. Kada se obrada zasniva na vašoj saglasnosti, možete je povući u bilo kom trenutku. Imajte u vidu da se podaci o fakturama koji podležu zakonskom čuvanju (videti gore) ne mogu obrisati pre isteka perioda čuvanja.
Nalog možete sami da izbrišete u Paply aplikaciji ili veb aplikaciji pod Podešavanja, Nalog, ili bez prijave na paply.app/delete-account.
Za ostvarivanje ovih prava obratite se na info@enzor.si. Takođe imate pravo da podnesete pritužbu svom nacionalnom organu za zaštitu podataka; u Srbiji je to Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti.
10. Kolačići
Paply koristi samo kolačiće koji su neophodni za održavanje vaše prijave i pamćenje jezičkih podešavanja. Ne koristimo reklamne ili kolačiće za praćenje trećih strana. Ako se to promeni, prvo ćemo zatražiti vašu saglasnost.
11. Bezbednost
Koristimo mere u skladu sa industrijskim standardima za zaštitu ličnih podataka, uključujući enkripciju tokom prenosa, heširane lozinke i kontrole pristupa koje ograničavaju ko unutar ENZOR-a može da vidi podatke o nalozima i fakturama klijenata.
12. Izmene ove politike
Ovu Politiku privatnosti povremeno možemo ažurirati. O bitnim izmenama obavestićemo vas unutar aplikacije ili putem e-pošte pre nego što stupe na snagu.
13. Kontakt
Pitanja o ovoj Politici privatnosti ili vašim podacima možete poslati na info@enzor.si.
Datenschutzerklärung
Zuletzt aktualisiert: 21. Oktober 2026
Diese deutsche Fassung ist eine Übersetzung, die nur der besseren Verständlichkeit dient. Rechtsverbindlich ist ausschließlich die englische Fassung; bei Abweichungen zwischen den Fassungen hat die englische Fassung Vorrang.
Diese Datenschutzerklärung erläutert, wie ENZOR, programske rešitve d.o.o. („ENZOR“, „wir“, „uns“), der Verantwortliche für Paply, personenbezogene Daten im Zusammenhang mit dem Dienst Paply erhebt und verarbeitet, und zwar im Einklang mit der EU-Datenschutz-Grundverordnung (DSGVO) und dem geltenden nationalen Recht in Slowenien, Kroatien und Serbien.
1. Verantwortlicher
ENZOR, programske rešitve d.o.o. (Registernummer 9725679000, USt-IdNr. SI52044971) ist der Verantwortliche für die über Paply verarbeiteten Konto- und Unternehmensdaten. Sitz: Prebačevo 15, 4000 Kranj, Slowenien. Kontakt: info@enzor.si, +386 68 626 212.
2. Welche Daten wir erheben
Kontodaten: Name, E-Mail-Adresse, Passwort (gehasht) oder das Google- oder Apple-Konto, mit dem Sie sich anmelden, Avatar-Einstellung, Einstellungen zur Zwei-Faktor-Authentifizierung, das von Ihnen hochgeladene Unterschriftsbild sowie, wenn Sie an einer Kasse arbeiten, die Steuernummer oder OIB, die das Gesetz auf fiskalisierten Belegen vorschreibt.
Gerätedaten für die mobile App: das Push-Benachrichtigungstoken und die App-Sprache jedes Geräts, auf dem Sie sich anmelden.
Supportanfragen, die Sie uns senden.
Unternehmensdaten: Firmenname, USt-IdNr./Steuernummer, eingetragene Anschrift, Bankverbindung, Logo und die von Ihnen eingereichten Verifizierungsdokumente.
Rechnungs- und Geschäftspartnerdaten: der Inhalt der von Ihnen erstellten oder empfangenen Rechnungen, einschließlich Namen, Anschriften und Kontaktdaten Ihrer Kunden und Lieferanten, die auf diesen Rechnungen erscheinen.
Nutzungsdaten: Protokoll- und Geräteinformationen, die bei Ihrer Nutzung von Paply entstehen und für Sicherheit und Fehlerbehebung verwendet werden.
Zahlungsdaten: Wir erhalten oder speichern niemals vollständige Kartennummern; Kartendaten werden direkt von Stripe, unserem Zahlungsdienstleister, verarbeitet.
3. Zu welchen Zwecken und auf welcher Rechtsgrundlage wir sie verarbeiten
Zur Bereitstellung des Dienstes, für den Sie sich registriert haben (Erstellen, Senden, Empfangen und Archivieren von Rechnungen), erforderlich zur Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).
Zur Erfüllung steuer- und buchhaltungsrechtlicher Aufbewahrungspflichten nach geltendem Steuerrecht, erforderlich zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c).
Zur Sicherung von Konten, zur Betrugsverhinderung und zur Aufrechterhaltung des Dienstes, auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f).
Wenn Sie Funktionen nutzen, die die von Ihnen hochgeladenen oder empfangenen Dokumente verarbeiten (zum Beispiel das Auslesen von Rechnungen mit KI), verarbeiten wir diese Daten als Ihr Auftragsverarbeiter auf Ihre Weisung gemäß unserem Auftragsverarbeitungsvertrag (paply.app/dpa). Sie als Verantwortlicher legen die Rechtsgrundlage für diese Verarbeitung fest.
4. An wen wir sie weitergeben
Für den Betrieb von Paply setzen wir eine begrenzte Anzahl von Dienstleistern ein. Für die Daten, die Sie über Ihr Unternehmen, Ihre Kunden und Lieferanten in Paply eingeben, sind die Dienstleister, die diese Daten in unserem Auftrag verarbeiten (unsere Unterauftragsverarbeiter), in unserem Auftragsverarbeitungsvertrag, Anhang 3, aufgeführt: Cloud-Infrastruktur, Speicherung und E-Mail-Versand (Amazon Web Services, EU-Region), ein Anbieter eines E-Rechnungsnetzwerks für die Übermittlung strukturierter Rechnungen, Anthropic (Auslesen von Rechnungen mit KI, nur wenn Sie diese Funktion nutzen) und Expo (Push-Benachrichtigungen an die mobile App). Für unsere eigenen Zwecke nutzen wir außerdem Stripe zur Abrechnung Ihres Paply-Abonnements und Cloudflare Turnstile zum Schutz der Registrierung vor automatisiertem Missbrauch. Wenn Sie sich mit Google oder Apple anmelden, erhalten wir von diesem Anbieter Ihre E-Mail-Adresse, eine Kontokennung und, sofern der Anbieter ihn übermittelt, Ihren Namen. Jeder Anbieter ist an einen Auftragsverarbeitungsvertrag gebunden oder handelt nach seinen eigenen Bedingungen, wie in seiner Datenschutzerklärung beschrieben.
Wir verkaufen keine personenbezogenen Daten und geben Kundendaten nicht an Dritte für deren eigene Marketingzwecke weiter.
5. Verbindungen mit Google- und Microsoft-Konten
Wenn Sie Ihr Gmail- oder Microsoft-365-Konto verbinden, damit E-Mails zur Rechnungszustellung von Ihrer eigenen Adresse gesendet werden (Einstellungen → Integrationen), fordert Paply nur den Mindestzugriff an, der für diese Funktion erforderlich ist.
Google-Daten, auf die wir zugreifen: Wenn Sie ein Google-Konto verbinden, verarbeitet Paply die E-Mail-Adresse des verbundenen Kontos, die OAuth-Zugriffs- und Aktualisierungstoken sowie die Berechtigung https://www.googleapis.com/auth/gmail.send. Wir verwenden diese Berechtigung ausschließlich, um in Ihrem Namen E-Mails zu senden. Wenn Sie ein Microsoft-365-Konto verbinden, verarbeiten wir die entsprechenden Daten: die E-Mail-Adresse des verbundenen Kontos, OAuth-Token und die Microsoft-Graph-Berechtigung „Mail.Send“.
Paply hat keine Berechtigung, Ihren Gmail-Posteingang oder Ihr Microsoft-Postfach zu lesen. Wir greifen weder auf empfangene Nachrichten, den E-Mail-Verlauf, Kontakte, Google-Drive-Dateien, OneDrive-Dateien oder sonstige Daten in diesen Konten zu, noch durchsuchen oder lesen wir sie.
OAuth-Token (Zugriffs- und Aktualisierungstoken) werden im Ruhezustand verschlüsselt und ausschließlich auf unserer eigenen Infrastruktur gespeichert (Amazon Web Services, EU-Region). Der Zugriff darauf ist auf die Systeme und das Personal beschränkt, die ihn zur Bereitstellung des Dienstes tatsächlich benötigen.
Wir verkaufen keine über Google- oder Microsoft-APIs erlangten Daten, verwenden sie nicht für Werbung und geben sie nicht an Dritte für deren eigene Zwecke weiter. Nur Unterauftragsverarbeiter für Infrastruktur, die für den Betrieb von Paply unbedingt erforderlich sind, wie Amazon Web Services, dürfen darauf zugreifen, und nur in dem zur Bereitstellung des Dienstes erforderlichen Umfang und unter angemessenen vertraglichen Datenschutzverpflichtungen.
Über Google-Workspace-APIs erlangte Daten werden nicht verwendet, um allgemeine oder nicht personalisierte Modelle der künstlichen Intelligenz oder des maschinellen Lernens zu entwickeln, zu verbessern oder zu trainieren. Diese Daten werden außerdem niemals an die Anthropic Claude API oder einen anderen KI-Dienst weitergegeben.
Sie können Ihr Google- oder Microsoft-Konto jederzeit in Paply unter Einstellungen → Integrationen trennen. Durch das Trennen werden die gespeicherten OAuth-Zugriffs- und Aktualisierungstoken sowie alle anderen Daten, die ausschließlich zur Aufrechterhaltung dieser Verbindung verwendet werden, dauerhaft gelöscht.
Die Nutzung und Übertragung von Informationen, die Paply von Google-APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use).
6. Verbinden von KI-Assistenten
Sie können einen KI-Assistenten oder Agenten Ihrer Wahl (zum Beispiel Claude oder ChatGPT) mit einem Ihrer Unternehmen in Paply verbinden, wenn die Administratorin oder der Administrator Ihres Unternehmens dies erlaubt. In diesem Fall verarbeiten wir als Verantwortlicher die folgenden Daten:
Den Namen und die technischen Kennungen der verbundenen Anwendung sowie die Webadresse, zu der sie zurückleitet.
Das Konto und das Unternehmen, die sie autorisiert haben, die gewährte Zugriffsstufe („Nur lesen“ oder „Lesen und Entwürfe erstellen“), wann der Zugriff gewährt, geändert, genehmigt, verlängert oder beendet wurde, durch wen und warum er endete.
Ein Protokoll jeder Anfrage der Anwendung: die Uhrzeit, die angeforderte Aktion, die Kennungen der betroffenen Datensätze (zum Beispiel eine Rechnungsnummer), ob sie erfolgreich war, andernfalls einen Fehlercode, ihre Dauer und die IP-Adresse, von der sie kam. Das Protokoll enthält weder den Text Ihrer Dokumente noch vollständige Bankkontonummern.
Wir verwenden diese Daten, um die Verbindung sicher zu betreiben, Ihnen und den Administratoren Ihres Unternehmens zu zeigen, was die Anwendung getan hat, Missbrauch zu verhindern, Vorfälle zu untersuchen und Ihre Supportanfragen zu beantworten. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Integrität des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Das Aktivitätsprotokoll wird Ihnen und den Administratoren Ihres Unternehmens außerdem in Paply angezeigt.
Wir bewahren das Anfrageprotokoll 12 Monate lang auf. Den Nachweis jeder Autorisierung bewahren wir auf, solange sie aktiv ist, und 12 Monate nach ihrem Ende (wenn sie getrennt wird oder abläuft). Technische Serverprotokolle dieser Anfragen werden wie unsere übrigen Anwendungsprotokolle 30 Tage lang aufbewahrt. Wenn Sie Ihr Konto löschen, enden Ihre Verbindungen sofort; das Anfrageprotokoll und die Nachweise dieser Verbindungen bleiben für den Rest ihrer 12 Monate erhalten, da sie Teil der Aufzeichnungen Ihres Unternehmens darüber sind, was mit seinen Daten geschehen ist, und werden danach gelöscht. Erstellt eine Anwendung einen Entwurf, wird im Verlauf des Entwurfs in Paply festgehalten, welche Anwendung ihn erstellt hat; dieser Verlauf ist Teil des Dokuments und wird so lange aufbewahrt wie das Dokument.
Der KI-Assistent selbst wird von einem von Ihnen gewählten Unternehmen auf Grundlage Ihrer eigenen Vereinbarung mit diesem bereitgestellt. Paply übermittelt ihm die angeforderten Daten innerhalb der von Ihnen gewährten Zugriffsstufe auf Weisung Ihres Unternehmens (siehe unseren Auftragsverarbeitungsvertrag, Abschnitt 3). Was der Anbieter mit diesen Daten tut, einschließlich der Frage, ob sie zum Training seiner Modelle verwendet werden und wo sie verarbeitet werden, richtet sich nach Ihrer Vereinbarung mit diesem Anbieter und dessen Datenschutzerklärung, nicht nach unserer. KI-Anbieter verarbeiten Daten häufig außerhalb der EU, zum Beispiel in den Vereinigten Staaten. Wir empfehlen einen Business-Tarif, der einen Auftragsverarbeitungsvertrag umfasst; die Business-Tarife der großen KI-Anbieter schließen Ihre Daten vom Modelltraining aus, Verbrauchertarife möglicherweise nicht. Paply kann Daten nicht aus den Systemen eines KI-Anbieters löschen, nachdem sie dorthin übermittelt wurden. Ist Ihr Unternehmen außerhalb des EWR niedergelassen, zum Beispiel in Serbien, ist Ihr Unternehmen nach seinem eigenen Datenschutzrecht für die Garantien für Übermittlungen an den Anbieter des von ihm verbundenen Assistenten verantwortlich.
Wenn Ihr Unternehmen einen Shopify-Shop verbunden hat, können Rechnungen und andere daraus importierte Daten (Beträge, Produkte, Bestellreferenzen) von den Assistenten gelesen werden, die Ihr Team verbindet, sobald eine Administratorin oder ein Administrator des Unternehmens dies beim Aktivieren der KI-Assistenten autorisiert hat. Namen, Anschriften, E-Mail-Adressen und Telefonnummern von Kunden aus dem Shop werden nicht an Assistenten weitergegeben.
Wir geben KI-Assistenten niemals Ihr Passwort oder Ihre Anmeldecodes, Fiskalzertifikate, die Schlüssel oder Zugangsdaten Ihrer verbundenen Integrationen oder das E-Mail-Konto, das Sie für den Rechnungsversand verbunden haben. Daten, die wir über Verbindungen mit Google- oder Microsoft-Konten erhalten, werden niemals einem KI-Assistenten zur Verfügung gestellt.
Sie können einen KI-Assistenten jederzeit in Paply unter Einstellungen → Konto → Meine KI-Assistenten trennen; die Administratoren Ihres Unternehmens können jeden mit dem Unternehmen verbundenen Assistenten unter Einstellungen → Integrationen → KI-Assistenten trennen. Durch das Trennen wird jeder weitere Zugriff sofort beendet.
7. Internationale Übermittlungen
Unsere Infrastruktur wird in der EU gehostet (Frankfurt, Deutschland). Soweit ein Unterauftragsverarbeiter Daten außerhalb der EU/des EWR übermittelt, ist diese Übermittlung durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln abgedeckt.
8. Wie lange wir sie aufbewahren
Jede Rechnung, jede Gutschrift und jeder Fiskalisierungsdatensatz wird für die gesetzlich für dieses Dokument festgelegte Frist aufbewahrt, gerechnet ab dem Ende des Jahres, zu dem es gehört (nicht ab der Löschung eines Kontos): in Slowenien 10 Jahre bzw. 20 Jahre für Rechnungen im Zusammenhang mit unbeweglichem Vermögen; in Kroatien 6 Jahre für E-Rechnungen, deren E-Rechnungs-Fiskalisierung abgeschlossen wurde, und mindestens 11 Jahre für sonstige Buchhaltungsunterlagen. Für Serbien wurde noch keine Frist festgelegt; solche Datensätze werden daher aufbewahrt, bis eine Frist festgelegt ist. Datensätze, die einer rechtlichen Aufbewahrungssperre (Legal Hold) unterliegen, werden bis zu deren Ende aufbewahrt. Während dieses Zeitraums werden sie nicht gelöscht, auch nicht nach der Löschung eines Kontos oder der Schließung eines Unternehmens, einschließlich der darin enthaltenen personenbezogenen Daten.
Kontodaten (Anmeldung, Profil, Einstellungen, Benachrichtigungen, Unterschriftsbild) werden gelöscht, wenn Sie Ihr Konto löschen; wir streben an, sie innerhalb von 7 Tagen aus den Live-Systemen zu entfernen. Datenbanksicherungen werden 7 Tage und Anwendungsprotokolle 30 Tage lang aufbewahrt, danach verbleibt keine Kopie. Wird jemals eine Sicherung wiederhergestellt, werden abgeschlossene Löschungen erneut angewendet. Das Aktivitätsprotokoll verbundener KI-Assistenten wird 12 Monate lang aufbewahrt, die Nachweise jeder Verbindung, solange sie aktiv ist, und 12 Monate nach ihrem Ende (siehe Abschnitt 6).
9. Ihre Rechte
Vorbehaltlich des geltenden Rechts haben Sie das Recht, Auskunft über Ihre personenbezogenen Daten zu erhalten, deren Berichtigung oder Löschung zu verlangen, bestimmte Verarbeitungen einzuschränken oder ihnen zu widersprechen und eine Kopie Ihrer Daten in einem übertragbaren Format zu erhalten. Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit widerrufen. Bitte beachten Sie, dass Rechnungsdaten, die einer gesetzlichen Aufbewahrungspflicht unterliegen (siehe oben), nicht vor Ablauf der Aufbewahrungsfrist gelöscht werden können.
Sie können Ihr Konto selbst in der Paply-App oder der Web-App unter Einstellungen → Konto oder ohne Anmeldung unter paply.app/delete-account löschen.
Zur Ausübung dieser Rechte wenden Sie sich an info@enzor.si. Sie haben außerdem das Recht, Beschwerde bei Ihrer nationalen Datenschutzaufsichtsbehörde einzulegen; in Slowenien ist dies der Informationsbeauftragte (ip-rs.si).
10. Cookies
Paply verwendet nur die Cookies, die unbedingt erforderlich sind, damit Sie angemeldet bleiben und Ihre Spracheinstellung gespeichert wird. Wir verwenden keine Werbe- oder Tracking-Cookies von Drittanbietern. Sollte sich dies ändern, holen wir zuvor Ihre Einwilligung ein.
11. Sicherheit
Wir setzen branchenübliche Maßnahmen zum Schutz personenbezogener Daten ein, darunter Verschlüsselung bei der Übertragung, gehashte Passwörter und Zugriffskontrollen, die einschränken, wer bei ENZOR Konto- und Rechnungsdaten einsehen kann.
12. Änderungen dieser Erklärung
Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden vor ihrem Inkrafttreten in der App oder per E-Mail mitgeteilt.
13. Kontakt
Fragen zu dieser Datenschutzerklärung oder zu Ihren Daten können Sie an info@enzor.si senden.