Duomenų tvarkymo sąlygos

Šios Duomenų tvarkymo sąlygos (toliau — DTS) yra neatskiriama Novafy ir Kliento Sutarties dalis ir taikomos, kai Novafy, teikdama Paslaugas, tvarko asmens duomenis Kliento vardu. Jos parengtos pagal Bendrojo duomenų apsaugos reglamento (ES) 2016/679 (toliau — BDAR) 28 straipsnį. Versija 1.0.

1. Šalių vaidmenys

1. Klientas yra duomenų valdytojas, MB "Novafy" (Novafy) — duomenų tvarkytoja.
2. Klientas atsako už tai, kad duomenys būtų tvarkomi teisėtai (turi teisinį pagrindą, informuoja duomenų subjektus), o Novafy — už tai, kad duomenys būtų tvarkomi tik pagal Kliento nurodymus ir šias DTS.

2. Tvarkymo dalykas ir pobūdis

1. Dalykas ir tikslas: Kliento sistemų, svetainių ir programėlių kūrimas, testavimas, diegimas, talpinimas, priežiūra ir techninė pagalba pagal Sutartį.
2. Trukmė: Sutarties galiojimo laikotarpis ir laikas, reikalingas duomenims grąžinti ar ištrinti (žr. 8 punktą).
3. Tvarkymo veiksmai: saugojimas, struktūrizavimas, peržiūra, kopijavimas (atsarginės kopijos), perkėlimas (migracija), taisymas, ištrynimas.
4. Duomenų subjektai: Kliento sistemos naudotojai, Kliento klientai, darbuotojai ir kiti asmenys, kurių duomenis Klientas tvarko savo sistemoje.
5. Duomenų kategorijos: paprastai — kontaktiniai ir paskyros duomenys (vardas, el. paštas, telefonas), užsakymų ir sandorių duomenys, techniniai duomenys (IP adresas, žurnalai). Specialių kategorijų duomenys tvarkomi tik tada, jei tai atskirai nurodyta Sutartyje.

3. Novafy įsipareigojimai

1. Tvarkyti asmens duomenis tik pagal dokumentuotus Kliento nurodymus (Sutartis, Pasiūlymas, užduotys Klientų portale ar el. paštu), išskyrus atvejus, kai to reikalauja ES ar Lietuvos teisė; apie tokį reikalavimą Novafy informuoja Klientą, jei tai nedraudžiama.
2. Nedelsiant informuoti Klientą, jei, Novafy nuomone, nurodymas pažeidžia BDAR ar kitus duomenų apsaugos teisės aktus.
3. Užtikrinti, kad duomenis tvarkantys asmenys būtų įsipareigoję saugoti konfidencialumą.
4. Taikyti BDAR 32 straipsnyje numatytas technines ir organizacines saugumo priemones (žr. 5 punktą).
5. Padėti Klientui įgyvendinti duomenų subjektų teises (susipažinti, ištaisyti, ištrinti, perkelti duomenis ir kt.) ir vykdyti BDAR 32–36 straipsnių prievoles, atsižvelgiant į tvarkymo pobūdį ir turimą informaciją. Didesnės apimties pagalba gali būti apmokama valandiniu įkainiu.
6. Pateikti Klientui informaciją, reikalingą įrodyti, kad laikomasi šių DTS, ir sudaryti sąlygas Klientui ar jo įgaliotam auditoriui atlikti patikrinimą, apie jį iš anksto įspėjus bent prieš 15 darbo dienų, ne dažniau kaip kartą per metus (išskyrus duomenų saugumo pažeidimo atvejus). Audito išlaidas apmoka Klientas.

4. Pasitelkiami duomenų tvarkytojai (subtvarkytojai)

1. Klientas suteikia bendrą leidimą pasitelkti toliau nurodytus subtvarkytojus. Novafy su kiekvienu iš jų yra sudariusi sutartį, kuria nustatomi ne mažesni duomenų apsaugos įsipareigojimai.
2. Apie ketinimą pasitelkti naują ar pakeisti subtvarkytoją Novafy praneša Klientui ne vėliau kaip prieš 14 dienų. Klientas per šį laiką gali pagrįstai prieštarauti; jei sprendimo nerandama, Klientas gali nutraukti atitinkamą Paslaugų dalį.
3. Novafy atsako Klientui už subtvarkytojų veiksmus kaip už savo.

Subtvarkytojas	Paskirtis	Duomenų vieta
Railway Corporation	Programų ir duomenų bazių talpinimas (ES regionas)	ES / EU (Nyderlandai), JAV įmonė / US company
Cloudflare, Inc.	DNS, CDN, failų saugykla R2 (ES jurisdikcija)	ES / EU, JAV įmonė / US company
Resend (Plus Five Five, Inc.)	Sisteminių el. laiškų siuntimas	ES / EU (Airija), JAV įmonė / US company
Microsoft Ireland Operations Ltd.	Elektroninis paštas ir dokumentai (Microsoft 365)	ES / EU
Stripe Payments Europe Ltd.	Mokėjimai kortele (tik jei naudojami)	ES / EU (Airija)

Konkrečiam projektui naudojami tik tie subtvarkytojai, kurie reikalingi Paslaugoms teikti. Jei Klientas sistemą talpina savo infrastruktūroje, Novafy tik prisijungia prie jos priežiūros tikslais.

5. Saugumo priemonės

• Duomenys talpinami Europos Sąjungoje; perdavimas šifruojamas (TLS), atsarginės kopijos — šifruojamos.
• Prieiga suteikiama tik darbui reikalingiems asmenims, naudojant individualias paskyras, stiprius slaptažodžius ir dviejų veiksnių autentifikavimą, kur įmanoma.
• Gamybiniai duomenys nenaudojami kūrimui ir testavimui, nebent tai būtina ir suderinta su Klientu; tokiu atveju jie, kur įmanoma, nuasmeninami.
• Reguliarūs saugumo atnaujinimai, priklausomybių pažeidžiamumų stebėsena, prieigos žurnalai.
• Kasdienės atsarginės kopijos (jei Novafy talpina sistemą) ir jų atkūrimo galimybė.
• Darbo kompiuteriuose naudojamas disko šifravimas ir automatinis ekrano užrakinimas.

6. Duomenų saugumo pažeidimai

Sužinojusi apie asmens duomenų saugumo pažeidimą, Novafy nepagrįstai nedelsdama, bet ne vėliau kaip per 48 valandas, praneša Klientui el. paštu ir pateikia turimą informaciją (pažeidimo pobūdį, paveiktų duomenų kategorijas ir apytikslį kiekį, galimas pasekmes ir taikomas priemones), kad Klientas galėtų įvykdyti BDAR 33–34 straipsnių prievoles. Novafy nedelsdama imasi priemonių pažeidimui suvaldyti.

7. Duomenų perdavimas už ES ribų

Novafy siekia, kad duomenys būtų tvarkomi ES / EEE. Jei subtvarkytojas ar jo grupės įmonė gali gauti duomenis už EEE ribų, perdavimas vykdomas tik taikant BDAR V skyriuje numatytas garantijas — Europos Komisijos sprendimą dėl tinkamumo (pvz., ES ir JAV duomenų apsaugos sistema) arba standartines sutarčių sąlygas.

8. Duomenų grąžinimas ir ištrynimas

Pasibaigus Paslaugoms, Kliento pasirinkimu Novafy grąžina Klientui jo duomenis įprastu formatu (pvz., duomenų bazės eksportu) ir (arba) juos ištrina per 30 dienų, įskaitant kopijas, išskyrus atvejus, kai saugoti reikalauja teisės aktai. Atsarginėse kopijose esantys duomenys ištrinami pagal įprastą kopijų rotacijos ciklą (ne ilgiau kaip 35 dienos).

9. Atsakomybė ir galiojimas

Šalių atsakomybei taikomos Sutarties nuostatos, kiek jos neprieštarauja BDAR 82 straipsniui. DTS galioja, kol Novafy tvarko asmens duomenis Kliento vardu. Klausimais dėl duomenų tvarkymo rašykite [email protected].