Duomenų tvarkymo sutartis (BDAR 28 straipsnis)

JUODRAŠTIS. Prieš skelbiant šį dokumentą turi peržiūrėti ir patvirtinti teisininkas. Laužtiniuose skliaustuose [ ] pažymėtos vietos, kurias reikia patikslinti.

Ši duomenų tvarkymo sutartis (toliau – DTS) yra neatskiriama Pokalbis24 paslaugų teikimo sąlygų (toliau – Sąlygos) dalis. Ji sudaroma tuo pačiu metu ir tuo pačiu elektroniniu būdu kaip Sąlygos.

Duomenų valdytojas – Klientas, nurodytas registracijos savitarnoje metu (toliau – Valdytojas).

Duomenų tvarkytojas – Urbon capital, MB, juridinio asmens kodas 306338392, V. Nagevičiaus g. 3, Vilnius, [email protected] (toliau – Tvarkytojas).

1. Dalykas

1.1. Tvarkytojas Valdytojo vardu ir pagal jo dokumentais įformintus nurodymus tvarko asmens duomenis tiek, kiek būtina Pokalbis24 paslaugai teikti, laikydamasis Reglamento (ES) 2016/679 (BDAR), LR asmens duomenų teisinės apsaugos įstatymo ir LR elektroninių ryšių įstatymo.

1.2. Dokumentais įformintais nurodymais laikomos šios DTS ir Sąlygų nuostatos, taip pat Valdytojo nustatymai savitarnoje (pvz., įrašymo įjungimas, saugojimo terminai, perjungimo taisyklės).

2. Tvarkymo aprašymas (BDAR 28 str. 3 d.)

3. Tvarkytojo pareigos

Tvarkytojas:

• a) tvarko asmens duomenis tik pagal dokumentais įformintus Valdytojo nurodymus, įskaitant duomenų perdavimą į trečiąsias šalis, nebent tai daryti reikalaujama pagal ES ar valstybės narės teisę. Tokiu atveju jis iš anksto informuoja Valdytoją, jei tai neuždrausta. Jei Tvarkytojo nuomone nurodymas pažeidžia BDAR, jis nedelsdamas informuoja Valdytoją;
• b) užtikrina, kad duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą;
• c) įgyvendina BDAR 32 straipsnyje numatytas priemones (žr. 1 priedą);
• d) laikosi šios DTS 4 skyriuje nustatytų subtvarkytojų pasitelkimo sąlygų;
• e) atsižvelgdamas į tvarkymo pobūdį, padeda Valdytojui vykdyti duomenų subjektų prašymus (prieiga, ištaisymas, ištrynimas, apribojimas, perkeliamumas, nesutikimas). Savitarnoje Valdytojas gali pats peržiūrėti, eksportuoti ir ištrinti pokalbių duomenis. Jei prašymas gaunamas tiesiogiai Tvarkytojui, Tvarkytojas per 5 darbo dienas persiunčia jį Valdytojui;
• f) padeda Valdytojui vykdyti BDAR 32–36 straipsniuose nustatytas pareigas (saugumas, pranešimai apie pažeidimus, poveikio vertinimas, išankstinės konsultacijos);
• g) pasibaigus paslaugų teikimui, Valdytojo pasirinkimu ištrina arba grąžina visus asmens duomenis ir ištrina esamas jų kopijas, nebent ES ar valstybės narės teisė reikalauja duomenis saugoti. Jei Valdytojas per 30 dienų nepasirenka, duomenys ištrinami. Atsarginėse kopijose duomenys ištrinami pagal jų rotacijos ciklą, ne vėliau kaip per 35 dienas;
• h) pateikia Valdytojui visą informaciją, būtiną įrodyti, kad laikomasi BDAR 28 straipsnio, ir leidžia atlikti auditą (žr. 6 skyrių).

4. Subtvarkytojai

4.1. Valdytojas suteikia bendrąjį leidimą pasitelkti subtvarkytojus. Sutarties sudarymo dieną pasitelkiami šie subtvarkytojai:

4.2. Apie numatomą subtvarkytojo pridėjimą ar pakeitimą Tvarkytojas informuoja Valdytoją el. paštu ne vėliau kaip prieš 14 dienų. Valdytojas per šį laikotarpį gali pateikti pagrįstų prieštaravimų. Jei šalys nesusitaria, Valdytojas gali nutraukti Sąlygas be papildomų mokesčių.

4.3. Su kiekvienu subtvarkytoju Tvarkytojas sudaro sutartį, nustatančią ne mažesnius duomenų apsaugos įsipareigojimus nei šioje DTS. Tvarkytojas lieka atsakingas Valdytojui už subtvarkytojų veiksmus.

4.4. Asmens duomenys į trečiąsias šalis (už EEE ribų) perduodami tik laikantis BDAR V skyriaus.

5. Asmens duomenų saugumo pažeidimai

5.1. Sužinojęs apie asmens duomenų saugumo pažeidimą, Tvarkytojas nepagrįstai nedelsdamas, ne vėliau kaip per 48 valandas, praneša apie jį Valdytojui ir pateikia turimą informaciją pagal BDAR 33 str. 3 d. (pobūdis, apimtis, galimos pasekmės, taikomos priemonės, kontaktinis asmuo).

6. Auditas

6.1. Valdytojas gali ne dažniau kaip kartą per metus, įspėjęs prieš 30 dienų, savo sąskaita atlikti auditą arba prašyti Tvarkytojo užpildyti saugumo klausimyną. Pirmiausia pateikiami turimi subtvarkytojų sertifikatai ir ataskaitos (pvz., SOC 2, ISO 27001).

7. Valdytojo pareigos

7.1. Valdytojas užtikrina, kad turi teisinį pagrindą tvarkyti duomenis, kad duomenų subjektai būtų informuoti (įskaitant pranešimą apie DI ir įrašymą pokalbio pradžioje) ir kad jo nurodymai atitiktų teisės aktus.

8. Atsakomybė ir galiojimas

8.1. Šalių atsakomybei taikomos Sąlygų nuostatos, išskyrus atvejus, kai BDAR 82 straipsnis numato kitaip.

8.2. DTS galioja tol, kol Tvarkytojas tvarko asmens duomenis Valdytojo vardu.

8.3. Jei DTS ir Sąlygos prieštarauja viena kitai asmens duomenų tvarkymo klausimais, taikoma DTS.

1 priedas. Techninės ir organizacinės saugumo priemonės

• Duomenys šifruojami perdavimo metu (TLS 1.2+) ir saugojimo metu (AES-256 arba lygiavertis subtvarkytojo standartas).
• Prieiga pagal mažiausių privilegijų principą; administratoriams privaloma dviejų veiksnių autentifikacija.
• Kiekvieno Valdytojo duomenys logiškai atskirti (tenant isolation).
• Prieigos ir svarbių veiksmų žurnalai saugomi 12 mėn.
• Automatinis duomenų ištrynimas pagal nustatytus saugojimo terminus.
• Reguliarios atsarginės kopijos, kurios saugomos šifruotos ir rotuojamos.
• Pažeidžiamumų valdymas: priklausomybių atnaujinimai, saugumo pataisų diegimas.
• Pokalbiuose dalyvaujantys DI modeliai nemokomi Valdytojo duomenimis (subtvarkytojų nustatymuose išjungtas duomenų naudojimas mokymui arba įjungtas „zero retention“ režimas, kai jis prieinamas).
• Darbuotojų ir rangovų konfidencialumo įsipareigojimai.