Duomenų tvarkymo susitarimas

1. Objektas, šalys ir vaidmenys

Naudodamiesi sistema klientų kortelių, dokumentų ar sąskaitų funkcijoms, Jūs (toliau – Valdytojas) sprendžiate, KOKIUS savo klientų (duomenų subjektų) asmens duomenis įvesti ir kokiu tikslu. Kęstutis Skrebė (toliau – Tvarkytojas arba Paperwork) šiuos duomenis tvarko IŠIMTINAI Jūsų vardu ir pagal Jūsų nurodymus, veikdama kaip duomenų tvarkytojas pagal BDAR 4 str. 8 p. ir 28 str. Šis Susitarimas taikomas automatiškai visiems Vartotojams nuo registracijos patvirtinimo momento — atskiro pasirašymo popieriuje nereikia.

2. Tvarkymo dalykas, pobūdis, tikslas ir trukmė

Tvarkytojas tvarko duomenų subjektų asmens duomenis TIK Paslaugos teikimo tikslu — pagal Valdytojo nurodymus, išreikštus naudojantis sistemos funkcijomis (klientų kortelių pildymas, sąmatų/sutarčių/sąskaitų kūrimas ir siuntimas pasirašymui, apskaitos duomenų tvarkymas). Tvarkymo pobūdis: automatizuotas duomenų saugojimas, atvaizdavimas, dokumentų generavimas ir siuntimas. Tvarkymas vykdomas visą Paslaugos naudojimo laikotarpį ir baigiasi 8 skyriuje numatyta tvarka.

3. Duomenų subjektų ir duomenų kategorijos

Susitarimas apima:

• Duomenų subjektus: Valdytojo klientus, su kuriais sudaromos sąmatos, sutartys ar išrašomos sąskaitos.
• Duomenų kategorijas: vardą, pavardę ar įmonės pavadinimą, el. pašto adresą, telefono numerį, adresą, PVM ar įmonės kodą (juridiniam klientui), su suteiktomis paslaugomis susijusius duomenis (užsakymų, sąskaitų, sutarčių turinį).
• Ypatingų kategorijų duomenų (BDAR 9 str. — sveikatos, religijos, politinių pažiūrų ir pan.) sistema tvarkyti nenumato; Valdytojas įsipareigoja tokių duomenų į sistemą neįvesti.

4. Tvarkytojo įsipareigojimai

Tvarkytojas įsipareigoja:

• Tvarkyti duomenis TIK pagal Valdytojo nurodymus, neperžengiant sistemos funkcionalumo ribų, ir netvarkyti jų savo ar trečiųjų šalių tikslais.
• Užtikrinti, kad prieigą prie duomenų turintys darbuotojai ar rangovai būtų saistomi konfidencialumo pareigos.
• Įgyvendinti tinkamas technines ir organizacines saugumo priemones (žr. 6 skyrių).
• Pasitelkti kitą tvarkytoją (subtvarkytoją) tik laikantis 5 skyriuje numatytos tvarkos.
• Padėti Valdytojui atsakyti į duomenų subjektų prašymus ir pranešti apie duomenų saugumo pažeidimus (žr. 7 skyrių).
• Pasibaigus Paslaugos naudojimui, veikti pagal 8 skyriuje numatytą tvarką ir, pagrįstu prašymu, pateikti Valdytojui informaciją, būtiną įrodyti šio Susitarimo laikymąsi.

5. Subtvarkytojai

Valdytojas sutinka, kad Tvarkytojas gali pasitelkti Privatumo politikos 5 skyriuje nurodytus subtvarkytojus, būtinus Paslaugos funkcionalumui užtikrinti. PRIEŠ pradedant faktiškai perduoti duomenų subjektų duomenis naujam arba šiuo metu gamybinėje aplinkoje neaktyviam subtvarkytojui, Tvarkytojas įsipareigoja sudaryti raštišką, BDAR 28 str. reikalavimus atitinkantį susitarimą, užtikrinantį ne mažesnę duomenų apsaugą, nei numatyta šiame Susitarime. Šiandieninė padėtis: infrastruktūros ir mokėjimų subtvarkytojai veikia gamybinėje aplinkoje pagal galiojančias komercines sąlygas; kvalifikuoto parašo tiekėjas (Dokobit) šiandien naudojamas TIK testinėje (sandbox) aplinkoje ir realių duomenų subjektų duomenų negauna, kol nebus pasirašyta atskira produkcinė sutartis; AI kalbos modelio tiekėjas (OpenAI) veikia pagal savo skelbiamas standartines duomenų tvarkymo sąlygas, o individualaus BDAR 28 str. susitarimo su juo statusas šiuo metu tikrinamas. Apie naujo subtvarkytojo pasitelkimą, jo aktyvavimą gamyboje ar pakeitimą Valdytojas informuojamas iš anksto (el. paštu arba pranešimu sistemoje); jei per 14 dienų nuo pranešimo Valdytojas raštu nepareiškia pagrįstų prieštaravimų, laikoma, kad pakeitimui pritarta. Privatumo politika

6. Saugumo priemonės

Tvarkytojas taiko pramonės standartus atitinkančias technines ir organizacines priemones: duomenų perdavimas šifruojamas (TLS/HTTPS), prieiga prie gamybinės aplinkos ribojama ir žurnalinama, slaptažodžiai saugomi tik kaip kriptografinės santraukos (hash), reguliariai atnaujinama programinė įranga, kuriamos atsarginės duomenų kopijos. Išsamesnę informaciją apie taikomas saugumo priemones Tvarkytojas pateikia pagrįstu Valdytojo prašymu.

7. Pagalba duomenų subjektų teisėms ir pranešimas apie pažeidimus

Gavęs duomenų subjekto prašymą, tiesiogiai susijusį su Valdytojo tvarkomais duomenimis, Tvarkytojas nedelsdamas persiunčia jį Valdytojui ir, kiek tai techniškai įmanoma, padeda jį įgyvendinti per sistemos funkcijas (peržiūra, redagavimas, ištrynimas, eksportas). Sužinojęs apie asmens duomenų saugumo pažeidimą, susijusį su Valdytojo tvarkomais duomenimis, Tvarkytojas informuoja Valdytoją be nepagrįsto delsimo, ne vėliau kaip per 48 valandas nuo sužinojimo, pateikdamas turimą informaciją apie pažeidimo pobūdį, tikėtiną poveikį ir taikomas priemones.

8. Tvarkymo pabaiga

Šiandien savitarnos paskyros uždarymas (profilio skiltis „Uždaryti paskyrą") panaikina PATIES naudotojo prieigą ir anonimizuoja JO PAČIO paskyros duomenis (vardą, el. paštą, kontaktus); Valdytojo klientų (duomenų subjektų) įrašai bei kiti su organizacija susiję duomenys, nesantys apskaitos dokumentuose, šiuo veiksmu NEANONIMIZUOJAMI. Apskaitos dokumentuose (sąskaitose, sutartyse) jau užfiksuoti duomenų subjektų duomenys toliau saugomi teisės aktų nustatytą laikotarpį (Lietuvoje – iki 10 metų, žr. Privatumo politikos 4 skyrių) NEPRIKLAUSOMAI nuo šio Susitarimo pabaigos — šio saugojimo pagrindas yra Tvarkytojui taikoma teisinė prievolė (BDAR 6 str. 1 d. c punktas), ne šis Susitarimas. Pilnas organizacijos uždarymo srautas, kuris anonimizuotų likusius, apskaitos dokumentuose nesaugomus Valdytojo klientų duomenis, ŠIUO METU DAR NEĮGYVENDINTAS — jis priklauso nuo patikimo savininkystės (organizacijos-lygmens) modelio, kuris yra kuriamas. Kol jo nėra, tokio pašalinimo galima prašyti tiesiogiai, susisiekus su Tvarkytoju 1 skyriuje nurodytu el. paštu. Prieš nutraukdamas naudojimąsi Paslauga, Valdytojas gali bet kada, naudodamasis sistemos duomenų eksporto funkcija profilio puslapyje, gauti visų savo tvarkomų duomenų kopiją.

9. Valdytojo atsakomybė

Valdytojas atsako už tai, kad į sistemą įvedami jo klientų asmens duomenys būtų renkami ir tvarkomi teisėtu pagrindu (pvz., sutarties vykdymas ar teisėtas interesas), o duomenų subjektai būtų tinkamai informuoti apie savo duomenų tvarkymą. Tvarkytojas neatsako už Valdytojo pateiktų duomenų teisėtumą, tikslumą ar jų surinkimo aplinkybes — Tvarkytojas duomenis tik technologiškai apdoroja pagal Valdytojo nurodymus.