Duomenų tvarkymo susitarimas (DPA)
DPA yra VirtualGarage sutarties dalis ir taikomas, kai TopSoft OÜ tvarko asmens duomenis Kliento vardu.
VirtualGarage („Paslauga“) – TopSoft OÜ teikiama debesijos paslauga įmonių veiklai valdyti.
Klientas – fizinis ar juridinis asmuo, naudojantis VirtualGarage profesinėje ar verslo veikloje. Naudotojas – fizinis ar juridinis asmuo, kuriam Klientas suteikė teisę naudotis VirtualGarage savo paskyroje. Juridinio asmens vardu veikia jo įgalioti atstovai.
1. Šalys ir vaidmenys
„Valdytojas“ – paskyroje nurodytas Klientas, kurio vardu tvarkomi asmens duomenys. „Tvarkytojas“ – TopSoft OÜ, registro kodas 12252115, Tallinn, Estonia. Aktualus registruotos buveinės adresas ir kontaktiniai duomenys skelbiami Privatumo politikoje. Šį DPA Kliento vardu priimantis asmuo patvirtina, kad turi tam įgaliojimus.
Adreso ar kontaktų keitimas, nekeičiant juridinio asmens ir registro kodo, yra rekvizitų atnaujinimas ir nereikalauja naujo DPA priėmimo. Tvarkytojas skelbia aktualų registruotos buveinės adresą ir kontaktinius duomenis Privatumo politikoje.
„Asmens duomenys“, „tvarkymas“, „valdytojas“, „tvarkytojas“, „duomenų subjektas“, „asmens duomenų saugumo pažeidimas“ ir „priežiūros institucija“ turi Reglamento (ES) 2016/679 (BDAR) reikšmes.
„Valdytojo duomenys“ – Kliento ar Naudotojų įvesti arba per funkcijas, viešus puslapius, formas ir valdiklius gauti asmens duomenys, tvarkomi Kliento vardu. TopSoft OÜ tvarkymas savo tikslams, įskaitant atsiskaitymą ir prieigą, aprašytas Privatumo politikoje.
2. Dalykas, tikslas ir trukmė
Tvarkytojas tvarko duomenis tik VirtualGarage prieglobai, veikimui, apsaugai, priežiūrai ir pagalbai užtikrinti, Valdytojo nurodytiems pranešimams siųsti bei susijusioms pareigoms vykdyti. Tvarkymas tęsiamas paslaugų teikimo laikotarpiu ir 11 skyriuje nustatytu duomenų grąžinimo bei ištrynimo laikotarpiu.
3. Tvarkymo aprašymas
Duomenis įveda Klientas ar Naudotojai arba jie gaunami iš paslaugų ieškančių asmenų per viešus puslapius, formas ir valdiklius, taip pat Kliento svetainėse. Jie gaunami per kainos užklausą, atsakymą į pasiūlymą, iš jo kuriamą užsakymą ar rezervaciją internetu. Registracija ar paskyros prieiga nereikalingos.
| Dalykas ir pobūdis | Rinkimas, saugojimas, sisteminimas, paieška, rodymas, perdavimas, atsarginės kopijos, pagalbos prieiga, taisymas, eksportas ir trynimas debesijos verslo valdymo paslaugoje. |
|---|---|
| Tikslai | Darbų užsakymai, pasiūlymai, grafikai, bendravimas, transportas/įranga, failai, sąskaitos, mokėjimai, sandėlis, tiekėjai, darbuotojai, pasirinktų duomenų perdavimas prijungtoms apskaitos ir kitoms sistemoms ir kitos nustatytos operacijos. |
| Subjektai | Valdytojo klientai ir besikreipiantys asmenys, atstovai ir kontaktai, darbuotojai ir rangovai, tiekėjai ir partneriai, transporto/įrangos savininkai ir naudotojai bei kiti teisėtai įtraukti asmenys. |
| Kategorijos | Tapatybės ir kontaktiniai duomenys; transporto ir įrangos duomenys, registracijos numeris ir VIN; aptarnavimo istorija; užsakymai ir rezervacijos; gaunami ir siunčiami laiškai, SMS ir kiti pranešimai; priedai, dokumentai, failai ir vaizdai; sąskaitos, mokėjimai ir operacijos; darbuotojai, tiekėjai ir partneriai; darbų paskyrimai; integracijų nustatymai; šifruoti prisijungimo duomenys, prieigos žetonai ir kita išorinėms paskyroms prijungti būtina informacija; audito ir techniniai duomenys. |
| Specialios kategorijos | Sąmoningai nereikalaujamos. Valdytojas negali įvesti specialių kategorijų ar nusikalstamų veikų duomenų, nebent tai teisėta, būtina ir aiškiai palaikoma Paslaugos. |
4. Nurodymai ir Valdytojo pareigos
Tvarkytojas veikia tik pagal dokumentuotus nurodymus, įskaitant nustatymus ir įgaliotų naudotojų veiksmus, išskyrus ES ar valstybės narės teisės reikalaujamą tvarkymą. Tokiu atveju informuojama prieš tvarkymą, jei įstatymas nedraudžia.
Valdytojas atsako už rinkimo ir nurodymų teisėtumą, skaidrumą, pagrindus, tikslumą ir kiekio mažinimą, subjektų prašymus ir naudotojų teises. Jei Tvarkytojas mano, kad nurodymas pažeidžia duomenų apsaugos teisę, jis nedelsdamas informuoja Valdytoją.
5. Konfidencialumas ir prieiga
Duomenis pasiekia tik įgalioti konfidencialumo saistomi TopSoft OÜ asmenys. Prieiga tik tiek, kiek būtina atsakyti į Kliento ar įgalioto Naudotojo užklausą, diagnozuoti, atkurti ir taisyti klaidas, tikrinti veikimą po atnaujinimų, reaguoti į incidentus ar vykdyti įstatymą. Kai įmanoma, pirmiausia naudojami bandomieji, demonstraciniai ar anoniminiai duomenys. Prieiga negali būti naudojama su Paslaugos teikimu, pagalba ar saugumu nesusijusiems tikslams.
6. Saugumas
Tvarkytojas palaiko riziką atitinkančias 2 priedo technines ir organizacines priemones. Valdytojas saugo savo prisijungimus, įrenginius, tinklus, naudotojus, vaidmenis ir eksportus.
7. Subtvarkytojai
Valdytojas suteikia bendrą rašytinį leidimą 1 priedo subtvarkytojams. Tvarkytojas nustato iš esmės lygiavertes pareigas ir išlaiko BDAR atsakomybę. Apie naują ar pakeičiamą subtvarkytoją praneša bent prieš 30 dienų iki prieigos suteikimo programėlėje ar el. paštu, nurodydamas pavadinimą, funkciją ir vietą. Valdytojas gali pagrįstai prieštarauti dėl duomenų apsaugos; šalys ieško sprendimo, o jo neradus galima nutraukti susijusią funkciją ar sutartį.
8. Subjektų prašymai
Atsižvelgdamas į tvarkymo pobūdį Tvarkytojas pagrįstai padeda funkcijomis ir pagalba įgyvendinti BDAR III skyriaus teises. Tiesiogiai gauti prašymai dėl Valdytojo duomenų jam persiunčiami, jei teisė nereikalauja kitaip.
9. Incidentai, poveikio vertinimai ir institucijos
Sužinojęs apie pažeidimą, paveikusį Valdytojo duomenis, Tvarkytojas praneša be nepagrįsto delsimo ir pateikia turimą informaciją pareigoms vykdyti. Pagrįstai padeda saugumo, poveikio vertinimo ir išankstinių konsultacijų klausimais pagal pobūdį ir turimą informaciją. Pagalba už standartinių funkcijų ribų gali būti mokama iš anksto susitarus.
10. Informacija ir auditas
Tvarkytojas pateikia pagrįstai reikalingą informaciją BDAR 28 straipsnio atitikčiai. Valdytojas gali atlikti auditą kartą per metus, po esminio pažeidimo, institucijos reikalavimu ar kai papildomas patikrinimas pagrįstai būtinas atitikčiai BDAR 28 straipsniui patikrinti, iš anksto pagrįstai pranešus, darbo laiku, nepasiekiant kitų klientų duomenų ir nekenkiant saugumui. Pirmiausia galima remtis aktualiomis ataskaitomis ir dokumentais. Išlaidas dengia Valdytojas, jei nenustatytas esminis Tvarkytojo pažeidimas.
11. Grąžinimas ir ištrynimas
Prenumeratos metu Valdytojas gali naudoti eksporto funkcijas arba kreiptis į pagalbą, kad būtų parengtas duomenų grąžinimas. Pasibaigus sutarčiai, Valdytojo pasirinkimu duomenys grąžinami ir likusios Tvarkytojo kopijos ištrinamos arba duomenys ištrinami negrąžinant. Iš aktyvių sistemų duomenys ištrinami per 90 dienų nuo sutarties pabaigos, nebent įstatymas reikalauja juos saugoti. Perkėlimui taikomos Sąlygų 11.1 specialios taisyklės, atsiėmimo laikas ir privalomi visiško ištrynimo terminai; iki garantuoto atsiėmimo laikotarpio pabaigos netrinama.
Papildomą eksporto ar perdavimo laiką šalys gali sutarti raštu, apibrėždamos tikslą, reikalingus duomenis ir tikslią datą. DPA galioja ir naudojimas ribojamas tuo tikslu. Techniniai darbai savaime neleidžia vienašališkai ilginti saugojimo ar privalomų perkėlimo terminų.
Po ištrynimo aktyviose sistemose likučiai gali būti bendrose kelių Klientų atsarginėse kopijose iki planinės rotacijos, paprastai iki 30 dienų, o esant pagrįstam techniniam poreikiui iki 60 dienų nuo ištrynimo aktyviose sistemose. Prieiga ribojama įgaliotiems asmenims; duomenys nenaudojami įprastai veiklai ar kitiems tikslams, išskyrus būtiną atkūrimą. Atkūrus anksčiau ištrinti duomenys vėl ištrinami prieš įprastą tvarkymą. Trumpesni įstatymo privalomi terminai turi pirmenybę.
Valdytojas užtikrina savo apskaitos ir kitų dokumentų saugojimą bei kopijų gavimą laiku. Tvarkytojas neįsipareigoja teikti ilgalaikio apskaitos archyvo po pabaigos, jei nesutarta atskirai.
12. Perdavimo operacijos
Pagrindinis tvarkymas numatomas EEE. Už EEE ribų būtinas teisėtas BDAR V skyriaus mechanizmas ir papildomos priemonės. Pranešimas gavėjui už EEE ribų pagal Valdytojo nurodymą neišvengiamai gali būti siunčiamas ten.
13. Atsakomybė ir pirmenybė
Šalys atsako už savo apsaugos pareigas. Sutartiniams reikalavimams taikomi Sąlygų 12 skyriaus ribojimai tiek, kiek leidžiama. Subjektų teisės, institucijų įgaliojimai ir privaloma BDAR atsakomybė neribojami. Jei bendrosios Sąlygos prieštarauja šiam DPA duomenų tvarkymo klausimais, pirmenybė teikiama šiam DPA.
14. Pabaiga ir pakeitimai
DPA galioja iki visų duomenų, įskaitant atsarginių kopijų likučius, grąžinimo ir ištrynimo pabaigos; apsaugos pareigos lieka, kol saugoma. Skelbiama nauja versija ir data. Esminiai pakeitimai, turinys ir data pranešami programėlėje ar el. paštu bent prieš 30 kalendorinių dienų. Prieš esmingai bloginančius pakeitimus Valdytojas gali nutraukti funkciją ar sutartį. Kai įstatymas reikalauja anksčiau, paaiškinimas pranešamas be nepagrįsto delsimo.
Naujo susitarimo dėl nurodymų ar pareigų reikalaujantys pakeitimai taikomi po atskiro įgalioto atstovo patvirtinimo. Subtvarkytojams taikomas 7 skyrius. Integracijos įjungimas aprašytų tikslų ir kategorijų ribose yra atskiras dokumentuotas nurodymas be naujo viso DPA priėmimo.
15. Elektroninis priėmimas ir teisė
DPA priimamas elektroniniu būdu kartu su Sąlygomis. TopSoft OÜ saugo versiją, maišos reikšmę, datą, laiką, Kliento ir atstovo duomenis. Taikoma Estijos teisė ir Sąlygų ginčų tvarka. Vertimų neatitikimo atveju pirmenybė Kliento priimtai atitinkamo dokumento kalbai, jei atskirai raštu nesutarta kitaip. Sąsajos kalbos keitimas nekeičia priimto dokumento kalbos.
1 priedas — Leidžiami subtvarkytojai
| Subtvarkytojas | Paslauga | Vieta |
|---|---|---|
| OVH HOSTING LIMITED (OVHcloud, Airija) | Priegloba ir duomenų saugojimas | Frankfurtas, Vokietija |
| Zone Media OÜ (zone.ee) | VirtualGarage el. pašto infrastruktūra: tarnybinis susirašinėjimas, pranešimai ir pagalbos užklausos | Estija / Europos Sąjunga |
| Think Intermedia SIA (Sendberry) | SMS perdavimas | Latvija; maršrutas priklauso nuo gavėjo vietos ir ryšio operatorių |
Teikėjai yra subtvarkytojai tiek, kiek tvarko Valdytojo duomenis TopSoft OÜ vardu. Pašto infrastruktūra juos tvarko, pavyzdžiui, pagalbos užklausose, tarnybiniame susirašinėjime ir pranešimuose.
Zone Media OÜ aptarnauja VirtualGarage paštą, ne savaime Kliento pašto paskyras. Jo pasirinkti teikėjai nustatomi pagal nustatymus ir sutartis.
Apie pakeitimus pranešama pagal 7 skyrių. Sąrašas suderintas su Privatumo politikos 5 skyriumi. Vien TopSoft OÜ savo tikslams pasitelkti teikėjai netampa DPA subtvarkytojais tik dėl paminėjimo politikoje.
2 priedas — Techninės ir organizacinės priemonės
- palaikomų tinklo ryšių TLS šifravimas;
- saugomų išorinių paskyrų prisijungimų, žetonų ir kitų paslapčių šifravimas;
- autentifikavimas, vaidmenų prieiga ir minimalios administravimo teisės;
- loginis paskyrų atskyrimas ir paskyros bei padalinio prieigos tikrinimas;
- reikšmingų veiklos ir saugumo įvykių registravimas bei stebėjimas;
- kontroliuojama pagalbos prieiga ir konfidencialumo pareigos;
- saugumo atnaujinimai, pažeidžiamumų taisymas ir reagavimas;
- reguliarios vietinės atsarginės kopijos ir atkūrimo procedūros;
- kiekio mažinimas, saugojimo terminai ir saugus ištrynimas;
- teikėjų patikra ir sutartinės apsaugos pareigos.