Duomenų tvarkymo sutartis

1. Šalys ir jų rolės

Ši Duomenų tvarkymo sutartis (toliau - DTS) sudaroma pagal BDAR 28 str. tarp:

• Duomenų valdytojas - Klientas: organizacija, naudojanti Paslaugą ir nustatanti dokumentų turinio asmens duomenų tvarkymo tikslus bei priemones (Klientas veikia savo vardu ir (arba) savo aptarnaujamų įmonių, kurių dokumentai apdorojami, vardu);
• Duomenų tvarkytojas - UAB Codus (į. k. 306635689, buveinė Sakalaičių Sodų 5-oji g. 6, LT-02216 Vilnius) - sors.

DTS priimama registruojantis kartu su Naudojimosi taisyklėmis ir yra jų neatskiriama dalis.

2. Tvarkymo dalykas, trukmė, pobūdis ir tikslas

3. Duomenų kategorijos ir duomenų subjektai

Pagal šią DTS tvarkomos šios duomenų kategorijos:

• šalių pavadinimai ir kodai: įmonės kodai, PVM kodai, individualią veiklą vykdančių ir fizinių asmenų vardai, pavardės ir asmens kodai, adresai;
• banko sąskaitos (IBAN);
• el. paštu atsiųstų dokumentų laiškų duomenys: siuntėjo el. pašto adresas ir vardas, tema, originalus laiškas ir priedai;
• dokumentų turinys: datos, numeriai, sumos, PVM duomenys, eilučių aprašymai ir kiekiai;
• dokumentų failai ir jų skaitmeninės kopijos.

Duomenų subjektai: Kliento arba jo aptarnaujamų įmonių kontrahentai - tiekėjai ir pirkėjai, įskaitant individualią veiklą vykdančius asmenis ir fizinius asmenis, nurodytus dokumentuose.

4. Tvarkytojo įsipareigojimai (BDAR 28 str. 3 d.)

• Tvarkyti asmens duomenis tik pagal Valdytojo dokumentuotus nurodymus, įskaitant tarptautinius perdavimus; jei nurodymas, Tvarkytojo vertinimu, pažeidžia BDAR, nedelsiant informuoti Valdytoją prieš jį vykdant;
• užtikrinti, kad asmenys, turintys prieigą prie duomenų (darbuotojai ir kiti įgalioti asmenys), būtų įsipareigoję konfidencialumu;
• įgyvendinti tinkamas technines ir organizacines priemones (BDAR 32 str.): šifravimą perduodant, nuomotojo apimties duomenų izoliaciją, apskaitos sistemų raktų šifravimą AES-256-GCM, prieigą pagal roles, audito žurnalus ir privačią dokumentų saugyklą, kurios failai pasiekiami tik per nuorodą su atsitiktiniu, neatspėjamu identifikatoriumi - kiekvienas, turintis nuorodą, gali atidaryti failą; Valdytojo nurodymu nuoroda įrašoma į eksportus į jo apskaitos sistemą; ištrynus dokumentą nuoroda nustoja veikti, o dėl kraštinio talpinimo failas dar gali būti pasiekiamas iki 24 valandų (išsamiai - Privatumo politikoje);
• pasitelkti pagalbinius duomenų tvarkytojus tik pagal šios DTS pagalbinių duomenų tvarkytojų skyrių;
• teikti Valdytojui pagalbą įgyvendinant duomenų subjektų teises: pateikti reikiamą informaciją ir vykdyti techninius veiksmus per 10 darbo dienų nuo Valdytojo pareikalavimo;
• teikti Valdytojui pagalbą vykdant duomenų apsaugos poveikio vertinimus ir BDAR 32-36 str. pareigas;
• pranešti Valdytojui apie asmens duomenų saugumo pažeidimą be nepagrįsto delsimo ir ne vėliau kaip per 72 valandas nuo pažeidimo nustatymo, pateikiant turimą informaciją apie pažeidimo pobūdį, galimai paveiktus duomenis ir imtinas priemones;
• pasibaigus ar nutraukus Paslaugos sutartį, 30 dienų Valdytojo prašymu pateikti jo duomenų eksportą (atsisiunčiamą archyvą per nuorodą), o pasibaigus šioms 30 dienų ištrinti Valdytojo dokumentus ir duomenis, išskyrus duomenis, kurių saugojimą reikalauja taikytina teisė, ir juridinių asmenų pagrindinių duomenų skyriuje nurodytus duomenis; atsarginėse kopijose likę duomenys ištrinami atsarginių kopijų rotacijos eiliškumu (ne vėliau kaip per 35 dienas);
• suteikti Valdytojui informaciją, reikalingą įrodyti BDAR atitiktį, ir sudaryti galimybę atlikti auditą: ne dažniau kaip kartą per metus, iš anksto pranešus ne mažiau kaip 30 dienų, išskyrus atvejus, kai auditą pagrįstai reikalauja įvykęs arba įtariamas saugumo pažeidimas.

Tvarkytojas Valdytojo duomenis pasiekia tik tada, kai to reikia pagalbai suteikti, gedimui pašalinti arba Paslaugos saugumui užtikrinti. Prieš tai Tvarkytojas paprašo Valdytojo leidimo, išskyrus atvejus, kai būtina veikti skubiai siekiant apsaugoti saugumą ar duomenų vientisumą arba kai to reikalauja įstatymas - tokiais atvejais Valdytojas informuojamas po to. Tvarkytojo darbuotojai yra įsipareigoję laikytis konfidencialumo.

5. Juridinių asmenų pagrindiniai duomenys

Valdytojas pripažįsta ir nurodo, kad iš dokumentų išskirti bendrieji juridinių asmenų pagrindiniai duomenys (pavadinimai, kodai, PVM kodai, adresai, banko sąskaitos) įtraukiami į bendrą sors kontrahentų pagrindinių duomenų bazę, kurią sors tvarko kaip atskiras duomenų valdytojas pagal Privatumo politiką. Pareiga ištrinti duomenis pasibaigus DTS šiems duomenims netaikoma.

Fizinių asmenų (įskaitant individualią veiklą vykdančius asmenis) duomenims ši nuostata netaikoma: jie į bendrą bazę neįtraukiami, tvarkomi tik pagal šią DTS, matomi tik Valdytojo organizacijai ir ištrinami kartu su Valdytojo duomenimis.

6. Pagalbiniai duomenų tvarkytojai (BDAR 28 str. 2 ir 4 d.)

Valdytojas suteikia bendrą rašytinį leidimą Tvarkytojui pasitelkti pagalbinius duomenų tvarkytojus, išvardytus Pagalbinių duomenų tvarkytojų sąraše.

Apie naujus ar pasikeitusius pagalbinius tvarkytojus informuojama ne mažiau kaip prieš 14 dienų (atnaujinus sąrašą ir (arba) el. paštu), suteikiant Valdytojui teisę per tą laikotarpį raštu pareikšti pagrįstą prieštaravimą; prieštaravimui esant pagrįstam, šalys derasi dėl alternatyvų (pvz., kito tvarkytojo ar paslaugos teikimo būdo), o joms neradus sprendimo, Valdytojas gali nutraukti Paslaugos sutartį dėl šios priežasties be sutartinių sankcijų.

Tvarkytojas užtikrina, kad pagalbiniai tvarkytojai vykdytų tik tuos veiksmus, kuriuos Tvarkytojui leidžia ši DTS, ir būtų įpareigoti ne mažesniais, nei šioje DTS nustatytais, duomenų apsaugos reikalavimais; už jų įsipareigojimų vykdymą Tvarkytojas atsako taip, kaip už savo paties veiksmus.

7. Tarptautiniai duomenų perdavimai

Tvarkytojas gali perduoti duomenis už Europos Sąjungos ribų tik pagal Valdytojo dokumentuotus nurodymus ir šioje DTS nustatytomis sąlygomis. Dabartiniai perdavimai: OpenAI (JAV) - teikėjo DPA ir ES standartinės sutartinės sąlygos (SCC), perduoti duomenys nenaudojami modelių mokymui; Cloudflare (JAV; dokumentų nuorodų pristatymas ir gaunamų el. laiškų priėmimas) - teikėjo DPA ir ES-JAV duomenų privatumo sistema (DPF); Google ir Apple (JAV) - DPF (tik prisijungimo identifikatoriai). Visi kiti pagalbiniai tvarkytojai duomenis tvarko Europos Sąjungoje. Išsamus sąrašas - Pagalbinių duomenų tvarkytojų sąraše.

8. Atsakomybė ir baigiamosios nuostatos

Kiekviena šalis atsako už žalą, atsiradusią dėl pačios šalies pažeistų BDAR pareigų. Tvarkytojas atsako už žalą, atsiradusią dėl duomenų tvarkymo, tik tada, kai jis nevykdo į duomenų tvarkytoją tiesiogiai taikomų BDAR pareigų arba veikia priešingai teisėtiems Valdytojo nurodymams (BDAR 82 str. 2 d.). Kitos atsakomybės sąlygos nustatytos Naudojimosi taisyklių atsakomybės ribojimo skyriuje.

DTS yra Naudojimosi taisyklių dalis; kilus neatitikimams dėl asmens duomenų tvarkymo, viršenybę turi ši DTS. DTS keičiama pagal Naudojimosi taisyklių keitimo tvarką. Taikoma Lietuvos Respublikos teisė. DTS teikiama lietuvių ir anglų kalbomis; kilus neatitikimams viršenybę turi lietuvių kalbos versija.