1. Šalys ir taikymas
Šis standartinis susitarimas skirtas verslo klientui (toliau – Klientas), pavedančiam MB „Kryptingi projektai“ (toliau – KP arba mes) jo vardu tvarkyti asmens duomenis pagal BDAR. KP rekvizitai: juridinio asmens kodas 304844804; PVM mokėtojo kodas LT100013832013; Taikos g. 150-30, LT-05227 Vilnius, Lietuva; s@1d.works.
Jis tampa paslaugų sutarties dalimi tik šalims sutikus jį įtraukti ir priėmus 11 skyriuje aprašytą konkrečios paslaugos Duomenų tvarkymo aprašą. Šio puslapio paskelbimas nenustato Kliento tapatybės, neužpildo aprašo ir nepatvirtina pardavėjo sutikimo. Atskirai priimtas duomenų tvarkymo susitarimas gali pakeisti šį standartinį susitarimą.
Šiuo susitarimu apimamų duomenų valdytojas yra Klientas, o tvarkytoja – KP. Jei Klientas pats veikia kito valdytojo vardu, jis turi turėti teisę pasitelkti KP kaip kitą tvarkytoją ir duoti atitinkamus nurodymus. KP savarankiška veikla kaip duomenų valdytojos, pavyzdžiui, savo sutarčių sudarymas ir sąskaitų tvarkymas, paaiškinta Privatumo politikoje. Savarankiškai duomenis valdantis paslaugų teikėjas netampa kitu tvarkytoju vien todėl, kad yra susietas su programėle.
2. Apimtis ir dokumentuoti nurodymai
Priimtame Apraše nustatomi tvarkymo dalykas, trukmė, operacijos, tikslai, asmens duomenų rūšys ir asmenų kategorijos. Klientas nustato teisėtus tikslus, pateikia privalomus pranešimus, užtikrina tinkamą teisinį pagrindą ir duoda teisėtus nurodymus. Specialių kategorijų, su nusikalstamomis veikomis susijusius ar vaikų duomenis ir būtinas apsaugos priemones jis turi įvardyti Apraše, o ne laikyti, kad kiekviena paslauga skirta jiems tvarkyti.
KP apimamus duomenis tvarko tik pagal dokumentuotus Kliento nurodymus, įskaitant nurodymus dėl duomenų perdavimo, išskyrus atvejus, kai kitaip reikalauja Sąjungos ar valstybės narės teisė. Tokiu atveju apie teisinį reikalavimą informuojame Klientą prieš tvarkymą, nebent teisė draudžia tai dėl svarbių viešojo intereso priežasčių. Nedelsdami pranešame Klientui, jei, mūsų nuomone, nurodymas pažeidžia taikomą duomenų apsaugos teisę, ir neteisėtų nurodymų nevykdome.
Priimtos paslaugos funkcijos ir rašytiniai pagalbos prašymai gali būti nurodymai Aprašo ribose. Be atskiro dokumentuoto leidimo ir teisėto pagrindo apimamo turinio pakartotinai nenaudojame savo DI modeliams mokyti ar su paslauga nesusijusiai rinkodarai; šis susitarimas tokio leidimo nesuteikia.
3. Konfidencialumas ir saugumas
Prieigą suteikiame tik įgaliotiems asmenims, kuriems jos reikia paslaugai teikti ir kurie yra įsipareigoję laikytis konfidencialumo arba turi atitinkamą įstatyminę pareigą. Jie duomenis tvarko tik pagal įgaliojimus. Ši apsauga galioja, kol duomenis turime, ir ilgiau, kai to reikalauja teisė.
KP įgyvendina BDAR 32 straipsnyje reikalaujamas technines ir organizacines priemones, atitinkančias tvarkymą ir riziką. Jos apima konfidencialumą, vientisumą, prieinamumą, atsparumą, atkūrimą ir veiksmingumo vertinimą, įskaitant šifravimą ar pseudonimų suteikimą, kai tai tinkama. Apraše dokumentuojamos faktiškos konkrečios paslaugos priemonės ir sutarti sertifikatai ar reagavimo bei atkūrimo įsipareigojimai, jei tokių yra.
4. Kiti duomenų tvarkytojai
Klientas duoda bendrą rašytinį leidimą pasitelkti priimtame Apraše atskleistus kitus tvarkytojus, laikantis šio skyriaus. Prieš tvarkymo pradžią KP pateikia atitinkamų teikėjų tapatybę, tvarkymo funkcijas, vietas ir perdavimo tvarką. Apie numatomą kito tvarkytojo įtraukimą ar pakeitimą pranešame bent prieš 30 dienų, kad Klientas iki pakeitimo galėtų prieštarauti pagrįstais duomenų apsaugos motyvais.
Laiku pateiktą prieštaravimą aptariame ir ieškome pagrįsto sprendimo. Jei susitarti nepavyksta, bet kuri šalis gali nutraukti paveiktą paslaugą, o KP grąžina nepanaudotai iš anksto apmokėtai tos paslaugos daliai tenkančius mokesčius. Kiekvienam kitam tvarkytojui sutartimi nustatome lygiavertes taikomas duomenų apsaugos pareigas ir liekame atsakingi Klientui už jų vykdymą, kaip reikalauja BDAR 28 straipsnio 4 dalis.
5. Pagalba įgyvendinant teises ir pareigas
Atsižvelgdama į tvarkymo pobūdį ir turimą informaciją, KP tinkamomis techninėmis ir organizacinėmis priemonėmis, kiek įmanoma, padeda Klientui vykdyti duomenų subjektų prašymus ir BDAR 32–36 straipsnių pareigas, įskaitant saugumą, pranešimus apie pažeidimus, poveikio vertinimą ir išankstines konsultacijas. Tiesiogiai gautus susijusius prašymus persiunčiame Klientui ir jo vardu atsakome tik gavę įgaliojimą arba kai to reikalauja teisė.
6. Asmens duomenų saugumo pažeidimai
Sužinojusi apie apimamus duomenis paveikusį asmens duomenų saugumo pažeidimą, KP nepagrįstai nedelsdama informuoja Klientą. Pateikiame turimą informaciją apie jo pobūdį, paveiktus duomenis ir asmenis, įskaitant kategorijas ir apytikrį skaičių, kai jie žinomi, tikėtinas pasekmes, mažinimo priemones ir kontaktą tolesniems klausimams. Papildomą informaciją pateikiame nepagrįstai nedelsdami, kai ją gauname. Bendradarbiaujame tiriant ir šalinant pažeidimą, kad Klientas galėtų įvykdyti savo pranešimo pareigas. Apraše nurodomi už incidentų valdymą atsakingi kontaktai.
7. Tarptautinis duomenų perdavimas
Perdavimas, kuriam būtinos BDAR V skyriaus apsaugos priemonės, atliekamas tik pagal dokumentuotus nurodymus ir taikant galiojantį teisinį mechanizmą, pavyzdžiui, taikomą sprendimą dėl tinkamumo ar tinkamas apsaugos priemones, įskaitant tinkamas perdavimo sąlygas bei papildomas priemones, kai jų reikia. Apraše nurodomos faktinės tvarkymo vietos ir perdavimo tvarka. Vien šis susitarimas nėra tarptautinio perdavimo standartinės sutarčių sąlygos.
8. Informacija ir auditas
KP pateikia informaciją, reikalingą įrodyti šių tvarkymo pareigų vykdymą, ir leidžia bei padeda Klientui ar jo paskirtam auditoriui atlikti auditą, įskaitant patikrinimus. Šalys auditą organizuoja pagrįstai, saugodamos saugumą, konfidencialumą ir kitų klientų duomenis, tačiau netrukdydamos veiksmingam patikrinimui ir neribodamos kompetentingos institucijos įgaliojimų. Tvarkome reikalaujamus įrašus ir bendradarbiaujame su priežiūros institucijomis, kaip nustato taikoma teisė.
9. Grąžinimas, ištrynimas ir saugojimas
Pasibaigus tvarkymo paslaugoms, Klientas pasirenka apimamų asmens duomenų grąžinimą arba ištrynimą; KP ištrina likusias kopijas, išskyrus Sąjungos ar valstybės narės teisės reikalaujamą saugojimą. Apraše nustatomi grąžinimo būdas, ištrynimo tvarka ir teisiškai privalomas saugojimas. Prašymus ir nurodymus galima siųsti mūsų kontaktiniu el. paštu.
Likusių atsarginių kopijų tvarkymas turi būti dokumentuotas konkrečiai paslaugai, apribojant naudojimą, taikant apsaugą ir nustatant ištrynimo grafiką. Atsarginės kopijos atkūrimas negali visam laikui panaikinti taikomo nurodymo ištrinti duomenis. Šiame standartiniame susitarime nėra universalaus ištrynimo, eksporto ar atsarginių kopijų termino. Šios apsaugos nuostatos lieka taikomos saugomiems duomenims, kol jie grąžinami ar ištrinami, kaip reikalaujama.
10. Santykis su kitomis sąlygomis
Dėl apimamo tvarkymo šis susitarimas turi viršenybę prieš prieštaraujančias paslaugų sąlygas. Kitoms komercinėms nuostatoms lieka taikoma privaloma teisė. Šiuo susitarimu neribojamos įstatyminės duomenų subjektų teisės, priežiūros įgaliojimai ar atsakomybė, kurios taikoma teisė neleidžia apriboti. Platesnis komercinis susitarimas aprašytas Paslaugų teikimo sąlygose. Lietuviška ir angliška redakcijos skirtos perteikti tą patį turinį.
11. Konkrečios paslaugos Duomenų tvarkymo aprašas
Prieš pradedant apimamą tvarkymą, priimtame užsakyme, konkrečios programėlės apraše ar atskirame priede turi būti nustatyta ir užfiksuota:
- Kliento teisinė tapatybė, vaidmuo, kontaktas ir, kai aktualu, pirminis duomenų valdytojas bei įgaliojimai; KP kontaktas; sutarta paslauga ir datuota susitarimo redakcija.
- Tvarkymo dalykas, tikslai ir operacijos; tvarkymo terminas ir veiksmai pasibaigus paslaugai.
- Asmenų kategorijos ir asmens duomenų rūšys, įskaitant ypatingai saugomus duomenis, bei leistino tvarkymo ribos.
- Dokumentuoti nurodymai, techninės ir organizacinės saugumo priemonės bei kontaktai teisių prašymams, incidentams ir tolesniems nurodymams.
- Esami kiti tvarkytojai, jų užduotys ir reikšmingos vietos; taikomi perdavimo mechanizmai ir apsaugos priemonės.
- Saugojimo kriterijai ar laikotarpiai, grąžinimo formatas ir būdas, ištrynimo procesas bei dokumentuotas atsarginių kopijų tvarkymas.
Informacija turi atitikti konkrečią paslaugą, būti prieinama šalims ir jų priimta; bendras viešas aprašymas neužpildo trūkstamų tvarkymo duomenų. Taikomas teisinis pagrindas – BDAR 28 straipsnis ir kita taikoma duomenų apsaugos teisė.