Duomenų tvarkymo sutartis

1. Dalykas, trukmė ir tikslas

Tvarkytojas tvarko asmens duomenis tik tam, kad teiktų Platformos paslaugą Klientui: saugotų ir rodytų duomenis, siųstų kvietimus ir laiškus, priimtų Tiekėjų pasiūlymus, nuskaitytų dokumentus (įskaitant dirbtinio intelekto pagalba), rengtų dokumentus ir ataskaitas, vestų veiksmų žurnalą, darytų atsargines kopijas, teiktų pagalbą ir užtikrintų saugumą. Tvarkymas trunka, kol galioja Naudojimo sąlygos, ir per jų 10 skyriuje nustatytus pereinamąjį, duomenų atgavimo ir ištrynimo laikotarpius.

2. Duomenys ir duomenų subjektai

• Duomenų subjektai: Kliento darbuotojai ir kiti Vartotojai; Tiekėjų atstovai ir Tiekėjai — fiziniai asmenys; kiti asmenys, kurių duomenys yra įkeltuose dokumentuose.
• Duomenų kategorijos: vardas, pavardė, pareigos, el. paštas, telefonas, įmonė; pasiūlymų, užsakymų, sąskaitų ir kitų dokumentų turinys (įskaitant finansinius rekvizitus, pvz., banko sąskaitos numerį); komentarai; Tiekėjų vertinimai; veiksmų žurnalas; prisijungimo ir techniniai duomenys.
• Specialių kategorijų duomenys netvarkomi — Klientas įsipareigoja jų į Platformą nekelti, o jei jie pateko — ištrinti.

3. Kliento nurodymai

Tvarkytojas tvarko duomenis tik pagal dokumentais įformintus Kliento nurodymus. Jais laikomos Naudojimo sąlygos, ši sutartis, Kliento ir jo Vartotojų veiksmai bei nustatymai Platformoje (pvz., kvietimo siuntimas, AI funkcijos paleidimas, duomenų ištrynimas) ir Kliento rašytiniai nurodymai el. paštu, jei jie suderinami su Naudojimo sąlygomis.

Kitaip duomenis Tvarkytojas gali tvarkyti tik tada, kai to reikalauja jam taikoma Europos Sąjungos ar valstybės narės teisė; tada jis prieš tvarkymą apie tai praneša Klientui, nebent ta teisė tai draudžia dėl svarbių viešojo intereso priežasčių.

Klientas nurodo ir leidžia: (a) naudoti AI funkcijas, kai jas paleidžia Vartotojas, perduodant AI paslaugos teikėjui tik užduočiai reikalingą informaciją; (b) perduoti duomenis 1 priede nurodytiems subtvarkytojams, o už EEE ribų — 6 skyriuje nustatytomis sąlygomis.

Jei nurodymas, Tvarkytojo nuomone, pažeidžia duomenų apsaugos teisę, jis nedelsdamas apie tai praneša Klientui ir gali sustabdyti jo vykdymą, kol Klientas nurodymą patvirtins ar pakeis.

4. Tvarkytojo pareigos

Tvarkytojas:

• užtikrina, kad duomenis tvarkantys asmenys yra įsipareigoję saugoti konfidencialumą; Kliento paskyrą peržiūri tik Klientui leidus arba kai būtina ištirti saugumo incidentą — kiekviena peržiūra fiksuojama žurnale, matomame Kliento administratoriui;
• taiko 2 priede nurodytas technines ir organizacines saugumo priemones (BDAR 32 str.);
• padeda Klientui atsakyti į duomenų subjektų prašymus (susipažinti, ištaisyti, ištrinti ir kt.) — daugumą jų Klientas gali įvykdyti pats Platformoje; tiesiogiai gautą prašymą per 5 darbo dienas persiunčia Klientui ir be jo nurodymo į jį iš esmės neatsako;
• padeda Klientui vykdyti BDAR 32–36 str. pareigas (saugumas, pranešimai apie pažeidimus, poveikio vertinimas, konsultacijos su priežiūros institucija) pagal turimą informaciją;
• apie asmens duomenų saugumo pažeidimą praneša Klientui be nepagrįsto delsimo, ne vėliau kaip per 48 valandas nuo sužinojimo, nurodydamas, kiek įmanoma: pažeidimo pobūdį, apytikslį subjektų ir įrašų skaičių, kontaktinį asmenį, tikėtinas pasekmes ir taikomas priemones (jei visko iš karto pateikti neįmanoma — etapais); imasi priemonių pažeidimui suvaldyti ir jį dokumentuoja; sprendimą pranešti priežiūros institucijai priima Klientas;
• sutarčiai pasibaigus leidžia Klientui eksportuoti duomenis ir po to juos ištrina Naudojimo sąlygų 10 skyriuje nustatyta tvarka, išskyrus atvejus, kai saugoti privaloma pagal ES ar valstybės narės teisę; atsarginėse kopijose duomenys į veikiančią sistemą neatkuriami ir išnyksta per 12 mėnesių kopijų ciklą; paprašius ištrynimą patvirtina raštu;
• pateikia Klientui informaciją, reikalingą įrodyti, kad šios pareigos vykdomos, ir sudaro galimybę atlikti auditą — iš anksto (ne vėliau kaip prieš 30 dienų) suderinus, ne dažniau kaip kartą per metus (dažniau — įvykus pažeidimui ar priežiūros institucijos reikalavimu), netrikdant paslaugos kitiems klientams ir neprieinant prie jų duomenų, Kliento sąskaita; subtvarkytojai tikrinami pagal jų sutartyse numatytas procedūras (ataskaitos, sertifikatai);
• tvarko Kliento vardu atliekamos veiklos įrašus (BDAR 30 str. 2 d.).

5. Subtvarkytojai

Klientas suteikia bendrą leidimą pasitelkti 1 priede nurodytus subtvarkytojus. Apie naują ar pakeistą tiesioginį subtvarkytoją Tvarkytojas praneša el. paštu ir Platformoje ne vėliau kaip prieš 30 dienų; Klientas per tą laiką gali pagrįstai prieštarauti, o nesutarus — iki pakeitimo nutraukti sutartį ir atgauti proporcingą dalį už nepanaudotą apmokėtą laikotarpį.

Tiesioginiai subtvarkytojai patys pasitelkia savo subtvarkytojus, kurių sąrašai skelbiami 1 priede nurodytose vietose. Tvarkytojas apie esminius jų pokyčius praneša Klientui nedelsdamas, kai sužino, ir Klientui taikomos tos pačios prieštaravimo ir nutraukimo teisės; pakeitimas, kurio reikalauja saugumas ar teisės aktai, gali įsigalioti greičiau.

Su kiekvienu tiesioginiu subtvarkytoju sudaryta rašytinė sutartis, užtikrinanti iš esmės lygiavertę duomenų apsaugą kaip ši sutartis (BDAR 28 str. 4 d.). Už subtvarkytojų pareigų vykdymą Tvarkytojas atsako Klientui.

Tvarkytojas užtikrina, kad AI paslaugos teikėjas Kliento duomenų nenaudotų savo modeliams mokyti ar kitiems savo tikslams (išskyrus trumpalaikį saugojimą piktnaudžiavimo stebėsenai pagal jo sąlygas).

6. Perdavimas už EEE ribų

Platformos duomenys saugomi Europos Sąjungoje. Dalis subtvarkytojų subtvarkytojų (pvz., laiškų pristatymo, apsaugos nuo šlamšto ir atakų paslaugų teikėjai) yra už EEE ribų, todėl dalis duomenų (ypač el. laiškų) gali būti perduodama į trečiąsias šalis.

Klientas leidžia tokius perdavimus tik tada, kai taikoma BDAR V skyriaus garantija: Europos Komisijos sprendimas dėl tinkamumo arba standartinės sutarčių sąlygos (Sprendimas (ES) 2021/914) su reikiamomis papildomomis priemonėmis. Kliento prašymu Tvarkytojas pateikia informaciją apie taikomas garantijas. Apie naujus perdavimus pranešama pagal 5 skyrių.

7. Tvarkytojo savarankiški tikslai ir draudimai

Ši sutartis netaikoma duomenims, kuriuos Tvarkytojas tvarko kaip savarankiškas valdytojas pagal Privatumo politiką: sutarties su Klientu administravimas ir sąskaitos; serverių ir Platformos saugumo žurnalai (įskaitant Tiekėjų formų techninius duomenis); svetainės ir pagalbos kanalų duomenys.

Tvarkytojas gali naudoti suvestinę techninę Platformos naudojimo statistiką, iš kurios neįmanoma nustatyti asmenų ir kuri neatskleidžia Kliento duomenų turinio.

Tvarkytojui draudžiama: naudoti Kliento duomenis savo ar trečiųjų asmenų rinkodarai; naudoti juos AI modeliams mokyti; jungti juos su kitų klientų duomenimis; parduoti ar kitaip atskleisti juos, išskyrus šioje sutartyje numatytus atvejus.

8. Kliento pareigos

Klientas užtikrina, kad turi teisinį pagrindą tvarkyti į Platformą keliamus duomenis ir duoti šioje sutartyje nurodytus nurodymus.

Klientas tinkamai informuoja duomenų subjektus (BDAR 13–14 str.): Tiekėjus — apie jų duomenų tvarkymą ir AI naudojimą (padėdamas Tvarkytojas pasiūlymo formoje rodo trumpą pranešimą); savo darbuotojus — apie Platformos naudojimą ir veiksmų žurnalą, kaip reikalauja darbo teisė.

Klientas pats nustato savo duomenų saugojimo terminus Platformoje (pvz., šalina nebereikalingus Tiekėjų kontaktus ir pirkimus) ir, jei reikia, atlieka poveikio duomenų apsaugai vertinimą.

9. Atsakomybė ir galiojimas

Šalių tarpusavio atsakomybei taikomos Naudojimo sąlygos, jei BDAR ar kiti imperatyvūs teisės aktai nenustato kitaip; kiekviena šalis atsako duomenų subjektams pagal BDAR 82 straipsnį. Sutartis galioja tol, kol Tvarkytojas tvarko Kliento duomenis, ir keičiama Naudojimo sąlygų nustatyta tvarka. Prieštaravimo atveju dėl asmens duomenų tvarkymo vyrauja ši sutartis.

1 priedas. Subtvarkytojai

• Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaka, Kipras — serverių nuoma (duomenų centras Lietuvoje) ir el. pašto paslauga (kvietimų, pranešimų ir kitų sistemos laiškų siuntimas). Jos subtvarkytojų sąrašas ir perdavimų garantijos (standartinės sutarčių sąlygos) — Hostinger duomenų tvarkymo priede (DPA); dalis subtvarkytojų yra už EEE (pvz., JAV).
• Mistral AI SAS, 15 rue des Halles, 75001 Paryžius, Prancūzija — dirbtinio intelekto paslauga dokumentams nuskaityti ir tekstams rengti, tik kai naudojamos AI funkcijos; perduodamas tik apdorojamas dokumento tekstas, o nuskenuoto dokumento atveju — pats dokumentas teksto atpažinimui. Duomenys tvarkomi ES; modelių mokymas Kliento duomenimis išjungtas. Jos subtvarkytojų sąrašas ir perdavimų garantijos — Mistral AI duomenų tvarkymo priede (DPA) ir saugumo centre (trust.mistral.ai).

2 priedas. Saugumo priemonės

• Šifruotas ryšys (HTTPS / TLS) visai Platformai.
• Slaptažodžiai saugomi tik kaip kriptografinė maiša; ribojami nesėkmingi prisijungimo bandymai; neveikli sesija baigiama automatiškai.
• Kiekvienos įmonės duomenys atskirti — kiekviena užklausa ribojama įmonės duomenimis; tai tikrinama automatiniais testais prieš kiekvieną atnaujinimą.
• Prieiga pagal roles ir teises; įmonės administratorius valdo savo vartotojus.
• Svarbių veiksmų žurnalas (kas, ką, kada), matomas Kliento administratoriui.
• Failai pasiekiami tik turint teises; įkeliamų failų tipas ir dydis ribojami; pasiūlymų pateikimo nuorodos unikalios.
• Paslaugų teikėjas Kliento paskyrą gali peržiūrėti tik Klientui suteikus leidimą; kiekviena peržiūra fiksuojama žurnale.
• Kasdienės atsarginės kopijos: serveryje — 7 dienas, atskira kopija Paslaugų teikėjo kompiuteryje Lietuvoje — iki 12 mėnesių; atkūrimas tikrinamas.
• Prieiga prie serverio — tik kriptografiniu raktu; ugniasienė; reguliarūs atnaujinimai.
• Dirbtinio intelekto užklausų ribos ir apskaita; AI teikėjui perduodama tik būtina informacija; mokymas išjungtas.
• Incidentų valdymas su 48 valandų pranešimo Klientui terminu.