Duomenų tvarkymo sutartis

Galioja nuo 2026-10-31 (versija 1.3). Ši sutartis sudaroma elektroniniu būdu: Valdytojas ją priima portale (skiltyje „Duomenų tvarkymo sutartis“) prieš pradėdamas tvarkyti asmens duomenis arba patvirtina kartu su atskira sutartimi, pasirašyta per vienkartinę nuorodą; šiame puslapyje pateikiamas jos tekstas.

Priėmimo forma. Priėmimas yra paprastas elektroninis parašas pagal Reglamentą (ES) Nr. 910/2014, o ne kvalifikuotas elektroninis parašas. Šalys iš anksto raštu susitaria, kad toks parašas yra lygiavertis rašytiniam parašui (Elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatymo 5 str. 1 d.), ir kad ši sutartis yra sudaryta raštu elektronine forma (BDAR 28 str. 9 d.). Tvarkytojas saugo priėmimo įrodymus: sutarties versiją ir teksto kontrolinę sumą (SHA-256), priėmusį naudotoją ir jo vaidmenį, serverio laiką, pseudonimizuotą IP reikšmę ir naršyklės identifikatorių. Priėmus Tvarkytojas siunčia patvirtinimą priėmusio naudotojo el. paštu, o Valdytojo prašymu bet kada pateikia priėmimo įrodymų kopiją, todėl šį susitarimą galima išsaugoti patvariojoje laikmenoje. Sutartį priimti gali tik Valdytojo savininkas arba administratorius; aptarnavimo įmonė jos Valdytojo vardu nepriima. Kitų papildomų formos reikalavimų (CK 1.73 str. 3 d.) šalys nenustato.

1. Šalys, dalykas ir trukmė

Ši sutartis pagal Bendrojo duomenų apsaugos reglamento (ES) 2016/679 (BDAR) 28 str. reglamentuoja asmens duomenų tvarkymą, kurį UAB NVGroup, juridinio asmens kodas 149942553, buveinė Elektrinės g. 8, 03150 Vilnius (Tvarkytojas), atlieka kliento (Valdytojo) vardu, teikdama Skerry paslaugą pagal paslaugų sąlygas. Valdytojas nurodomas užsakyme ar sutarties pasirašymo lape.

Sutartis parengta pagal BDAR 28 str. 3 d. elementus, kurie surašyti 12 punkto lentelėje. Valstybinė duomenų apsaugos inspekcija (VDAI) yra parengusi standartines sutarčių sąlygas pagal BDAR 28 str. 8 d. (Europos duomenų apsaugos valdybos nuomonė 18/2021); šioje sutartyje jų pažodinis tekstas netaikomas, tačiau sutartis apima tuos pačius BDAR 28 str. 3 d. elementus.

Sutartis galioja tiek, kiek Tvarkytojas teikia Paslaugą Valdytojui, ir kol grąžinami ar ištrinami duomenys pagal 9 punktą.

Jei Valdytojas yra aptarnavimo įmonė, tvarkanti savo klientų (baseinų operatorių) duomenis, arba energijos vartojimo auditorius ar kitas specialistas, tvarkantis savo užsakovo duomenis Skerry įrankyje, jis patvirtina, kad turi savo kliento ar užsakovo leidimą pasitelkti Tvarkytoją subtvarkytoju, ir pats atsako, kad į portalą ar įrankį neįkeltų asmens duomenų, kurių tvarkyti neturi pagrindo.

2. Tvarkymo pobūdis ir tikslas

Tikslas — baseinų, SPA ir panašių objektų vandens kokybės žurnalo, atitikties vertinimų ir susijusių paslaugų teikimas Valdytojui.

Tvarkymo veiksmai — duomenų gavimas ir saugojimas, rodymas Valdytojo naudotojams, tikrinimas pagal teisės aktų ribas, vertinimų ir ataskaitų (PDF) rengimas, eksportas, laiškų siuntimas, kopijavimas ir naikinimas.

Duomenys tvarkomi tik pagal dokumentuotus Valdytojo nurodymus. Nurodymais laikomos šios sutarties nuostatos, paslaugų sąlygos, užsakymas ir Valdytojo naudotojų veiksmai portale (portalo funkcijos yra visi Valdytojo nurodymai, kuriuos Tvarkytojas privalo vykdyti). Papildomus nurodymus, kurių nenumato Paslauga, Tvarkytojas vykdo, jei tai techniškai įmanoma, nekeičia Paslaugos esmės ir Valdytojas atlygina protingas papildomas išlaidas. Tvarkytojas gali sustabdyti nurodymo vykdymą ir apie tai nedelsdamas praneša Valdytojui, jei mano, kad jis pažeidžia duomenų apsaugos teisę, kol Valdytojas jį patvirtina, pakeičia ar atšaukia (BDAR 28 str. 3 d.). Tvarkytojas nenaudoja asmens duomenų savo tikslais; iš Valdytojo ne asmens duomenų gali kurti anonimizuotą statistiką, kaip nurodyta paslaugų sąlygų 8 skyriuje.

3. Duomenų subjektai ir duomenų kategorijos

Duomenų subjektai: Valdytojo darbuotojai ir portalo naudotojai (operatoriai, technikai, auditoriai, peržiūros teisę turintys asmenys), laboratorijų ir paslaugų tiekėjų kontaktiniai asmenys, kurių duomenis Valdytojas įrašo, bei kiti asmenys, kurių duomenų gali būti Valdytojo įkeltuose dokumentuose ar duomenyse (pavyzdžiui, vadovai, atsakingi asmenys, auditoriaus užsakovo kontaktiniai asmenys).

Duomenų kategorijos: vardas, el. paštas, pareigos ir vaidmuo portale; matavusio asmens vardas (laukas measured_by) ir kas, kada ir kokį įrašą suvedė (rodmenų, tyrimų, veiksmų autorystė); veiksmų žurnalo įrašai; prisijungimo duomenys (slaptažodžio hash, žetonų hash, pseudonimizuota IP reikšmė, naršyklės identifikatorius); asmens duomenys, esantys Valdytojo įkeltuose dokumentuose ir laisvo teksto pastabose.

Specialių kategorijų duomenų (įskaitant lankytojų sveikatos duomenis) tikslingai netvarkome ir Valdytojas neturi jų įrašyti į pastabas ar dokumentus. Tvarkomi vandens rodmenys, laboratorijų rezultatai ir objektų duomenys paprastai nėra asmens duomenys.

4. Tvarkytojo pareigos

Tvarkytojas:

1. tvarko duomenis tik pagal dokumentuotus Valdytojo nurodymus, įskaitant perdavimą už EEE ribų; jei mano, kad nurodymas pažeidžia teisės aktus, nedelsdamas apie tai praneša;
2. užtikrina, kad duomenis tvarkyti įgalioti asmenys yra įsipareigoję saugoti konfidencialumą;
3. taiko 7 punkte aprašytas saugumo priemones (BDAR 32 str.);
4. laikosi 5 punkto sąlygų dėl subtvarkytojų;
5. atsižvelgdamas į tvarkymo pobūdį, padeda Valdytojui atsakyti į duomenų subjektų prašymus, visų pirma suteikdamas portalo funkcijas duomenims peržiūrėti, eksportuoti ir anonimizuoti; gavęs prašymą tiesiogiai, perduoda jį Valdytojui ir pats atsakymo nesuteikia;
6. padeda Valdytojui vykdyti BDAR 32–36 str. pareigas (saugumas, pranešimas apie pažeidimus, poveikio vertinimas), teikdamas turimą informaciją; įprastas bendras informacijos pateikimas yra nemokamas, o ypatingai daug laiko reikalaujanti pagalba (pavyzdžiui, Valdytojo atskiri duomenų subjektų prašymai ar poveikio vertinimai) apmokama pagal protingą iš anksto suderintą ar Tvarkytojo skelbiamą įkainį, kuris nėra neproporcingas (EDPB gairės 07/2020);
7. pasibaigus Paslaugai ištrina arba grąžina duomenis pagal 9 punktą;
8. pateikia Valdytojui informaciją, būtiną BDAR 28 str. laikymuisi įrodyti, ir sudaro sąlygas auditui pagal 10 punktą.

5. Subtvarkytojai

Išorinio apskaitos tvarkytojo ir mokėjimo operatoriaus nėra. Jei toks bus naudojamas, jis bus įtrauktas į šį sąrašą ir apie tai bus pranešta iš anksto, kaip nurodyta toliau.

Valdytojas suteikia bendrą rašytinį leidimą pasitelkti šiuos subtvarkytojus ir jų pakeitimus ar papildymus (BDAR 28 str. 2 d.). Apie numatomą subtvarkytojo pridėjimą ar pakeitimą Tvarkytojas aktyviai praneša Valdytojui el. paštu (ne tik paskelbdamas sąrašą) ne vėliau kaip prieš 14 dienų, nurodydamas subtvarkytojo pavadinimą, vietą ir paskirtį; Kai pakeitimą inicijuoja pats subtvarkytojas (pavyzdžiui, netcup keičia savo subtvarkytojus), Tvarkytojas gautą pranešimą persiunčia Valdytojui nedelsdamas, o prieštaravimo terminas negali baigtis anksčiau, nei Tvarkytojui nustatytas subtvarkytojo terminas, ir bet kuriuo atveju trunka ne mažiau kaip 7 dienas. Valdytojas per 10 dienų nuo pranešimo gali raštu prieštarauti tik dėl pagrįstų duomenų apsaugos priežasčių, jas nurodydamas. Jei prieštaravimo negaunama, laikoma, kad Valdytojas leidimą davė. Jei Valdytojas pagrįstai prieštarauja, Tvarkytojas gali (a) nenaudoti naujo subtvarkytojo šio Valdytojo duomenims, jei tai techniškai įmanoma be neproporcingų pastangų, arba (b) nutraukti sutartį dėl tos Paslaugos dalies, kuriai reikalingas subtvarkytojas, grąžindamas už nesuteiktą apmokėtą laikotarpį sumokėtą sumą; kitos teisių gynimo priemonės neribojamos tiek, kiek jų nedraudžia BDAR. Skubiu atveju (saugumo grėsmė, subtvarkytojo veiklos nutraukimas) subtvarkytoją galima pakeisti iš karto, apie tai nedelsiant pranešus. Tvarkytojas sudaro su subtvarkytoju sutartį, kurioje taikomi tie patys duomenų apsaugos įsipareigojimai, ir atsako Valdytojui už subtvarkytojo pareigų vykdymą, išskyrus atsakomybės ribas, nustatytas 11 punkte.

6. Tvarkymo vieta ir perdavimas už EEE ribų

Duomenys tvarkomi ir saugomi Europos Sąjungoje (aplikacijos serveris ir duomenų bazė — Vokietijoje; netcup subtvarkytojų personalas ir pagalbos paslaugos — Austrijoje ir Vokietijoje) ir Šveicarijoje (el. paštas ir atsarginės kopijos Proton Drive). Tvarkytojas duomenų už Europos ekonominės erdvės ribų, išskyrus Šveicariją, kuriai taikomas tinkamumo sprendimas, neperduoda.

7. Techninės ir organizacinės saugumo priemonės

Tvarkytojas taiko šias priemones (jos atitinka sistemoje įgyvendintas):

• Nuomininkų izoliacija: kiekviena organizacija matoma tik savo duomenis; izoliacija įgyvendinta duomenų bazės eilučių lygyje (PostgreSQL row-level security, įjungta ir privaloma net lentelių savininkui) ir tikrinama automatiniais testais;
• Autentifikacija: slaptažodžiai saugomi tik kaip argon2 hash; sesijų, kvietimų ir slaptažodžio atkūrimo žetonai saugomi tik kaip hash; galima dviejų veiksnių autentifikacija (TOTP) su vienkartiniais atkūrimo kodais, TOTP paslaptys saugomos užšifruotos, kiekvienas kodas gali būti panaudotas tik vieną kartą; platformos administratoriams ji privaloma;
• Sesijos: sesijos slapukas HttpOnly, Secure, SameSite=Lax, numatytasis galiojimas 72 val.; atkūrus slaptažodį esamos sesijos atšaukiamos;
• Bandymų ribojimas: prisijungimo, dviejų veiksnių, slaptažodžio atkūrimo ir kvietimų bandymai ribojami;
• Audito žurnalas: veiksmų žurnalas yra tik papildomas; į jį nerašomas dokumentų turinys, failų pavadinimai ar el. pašto adresai; platformos administratoriaus veiksmai keičiantys duomenis audituojami;
• Registrų vientisumas: rodmenų, tyrimų, veiksmų, vertinimų įrašai yra tik papildomi; taisymas yra naujas įrašas;
• Palaikymo prieiga: Tvarkytojo darbuotojas gali peržiūrėti Valdytojo paskyrą tik skaitymo režimu, ne ilgiau kaip 30 min., nurodęs priežastį; ši prieiga įrašoma į Valdytojo veiksmų žurnalą;
• Failų įkėlimas: tikrinamas failo tipas ir turinys, ribojamas dydis, skaičiuojama kontrolinė suma (SHA-256); failai saugomi atsitiktiniais pavadinimais, o prieiga prie užsakymo failų — per atsitiktinį žetoną;
• Ryšys: šifruojamas (TLS, HSTS);
• Atsarginės kopijos: kasdien daroma suglaudinta duomenų bazės kopija; ji laikoma 14 dienų serveryje ir 60 dienų Proton Drive, senesnės automatiškai ištrinamos. Kopijos (duomenų bazės ir dokumentų saugyklos) šifruojamos simetriniu AES-256 šifru (GnuPG) prieš įrašant į diską ir siunčiant į Proton Drive; šifravimo slaptafrazė laikoma atskirai nuo kopijų ir nuo serverio. Antivirusinė failų patikra nevykdoma, todėl ji nenurodoma kaip priemonė.

Tvarkytojas gali keisti saugumo priemones, jei bendras apsaugos lygis nemažėja. Išsamesnį techninių priemonių aprašą Tvarkytojas pateikia Valdytojo saugumo komandai paprašius: info@skerry.eu. Valdytojas atsako už savo naudotojų prisijungimo duomenų saugumą, teisėtą duomenų pateikimo pagrindą, duomenų minimizavimą ir savo nurodymų teisėtumą; Tvarkytojas už Valdytojo naudotojų veiksmus (įskaitant slaptažodžių atskleidimą) neatsako.

8. Pranešimas apie asmens duomenų saugumo pažeidimus

Nustatęs asmens duomenų saugumo pažeidimą, kuris paveikė Valdytojo duomenis, Tvarkytojas apie jį praneša Valdytojui nepagrįstai nedelsdamas (BDAR 33 str. 2 d.), ne vėliau kaip per 72 valandas nuo to, kai pažeidimas buvo patvirtintas, el. paštu, nurodytu paskyroje ar sutartyje. Valdytojas atsakingas už pranešimą priežiūros institucijai ir duomenų subjektams; apie 72 valandų terminą priežiūros institucijai Valdytojas skaičiuoja nuo Tvarkytojo pranešimo gavimo. Pranešime nurodoma pažeidimo pobūdis, paveiktų duomenų kategorijos ir apytikslis kiekis, tikėtinos pasekmės ir taikomos priemonės, kiek tai žinoma.

9. Duomenų grąžinimas ir ištrynimas

Pasibaigus Paslaugai, nepriklausomai nuo plano (įskaitant nemokamą), Valdytojas pagal prašymą per 90 d. gali gauti savo duomenų eksportą struktūrizuotu, įprastai naudojamu ir mašininiu būdu nuskaitomu formatu (CSV, XLSX) be papildomo mokesčio; tai atitinka paslaugų sąlygų nuostatą dėl eksporto ir perėjimo (ES Duomenų aktas 2023/2854; terminai taikomi tiek, kiek Duomenų aktas juos nustato).

Kas vyksta toliau. Rodmenys, tyrimai, veiksmai, vertinimai ir veiksmų žurnalas yra tik papildomi: esamo įrašo pakeisti ar ištrinti negalima, išskyrus asmens vardą, kuris anonimizuojamas. Tvarkytojas Valdytojo prašymu (ir bet kuriuo atveju pasibaigus eksporto langui) anonimizuoja Valdytojo naudotojus: išjungia paskyrą, ištrina el. paštą, slaptažodį ir dviejų veiksnių paslaptis, atšaukia narystes ir sesijas, o registruose pakeičia matavusio asmens ir veiksmo vykdytojo vardą neutraliu žymeniu; rodmenys, laikai, ribos ir veiksmai lieka. Valdytojo registrų įrašai laikomi iki Valdytojo rašytinio nurodymo juos grąžinti arba pašalinti iš jų asmens duomenis (anonimizuoti), bet ne ilgiau kaip 24 mėnesius nuo sutarties pabaigos, nes pačių įrašų (rodmenų, laikų, ribų, veiksmų) sistema fiziškai netrina; sąskaitų, sutarčių ir užsakymų duomenis Tvarkytojas kaip savarankiškas valdytojas saugo pagal apskaitos teisės aktus. Atsarginės kopijos pasensta ir automatiškai ištrinamos per 60 dienų (14 d. serveryje ir 60 d. Proton Drive); jas atkūrus, anonimizavimai pakartojami pagal administratoriaus veiksmų žurnalą.

Valdytojas savo pasirinkimą (grąžinti ar ištrinti) turi nurodyti per eksporto langą; nenurodžius, laikoma, kad pasirinktas grąžinimas ir vėlesnis trynimas ar anonimizavimas šiame punkte nurodytais terminais. Tvarkytojas gali saugoti duomenis ilgiau tik tiek, kiek to reikalauja teisės aktai arba kiek reikalinga teisiniams reikalavimams pareikšti ar apsiginti (sąskaitų, sutarčių ir įrodymų dalis).

10. Auditas

Tvarkytojas pateikia Valdytojui informaciją, būtiną BDAR 28 str. laikymuisi įrodyti, visų pirma saugumo ir atitikties aprašus bei santraukas (pavyzdžiui, šios sutarties 7 punktą, trečiųjų šalių patikrų ar subtvarkytojų atitikties ataskaitų santraukas, jei jų turi), ir atsako į pagrįstus klausimus raštu. Jei šios informacijos Valdytojui pagrįstai nepakanka, jis, raštu įspėjęs prieš 30 dienų, ne dažniau kaip kartą per 12 mėnesių (esant pagrįstam pažeidimo įtarimui ar institucijos reikalavimui — be šio apribojimo) gali atlikti nuotolinę patikrą ar patikrą Tvarkytojo patalpose pats arba per nepriklausomą, konkurentu nesantį ir konfidencialumo pareigos saistomą auditorių. Patikra vyksta įprastu darbo laiku, paprastai ne ilgiau kaip dvi darbo dienas, apima tik Valdytojo duomenų tvarkymą pagal šią sutartį, nesuteikia prieigos prie kitų klientų duomenų, Tvarkytojo komercinių paslapčių ar sistemų, kurių atvėrimas keltų pavojų saugumui, ir netrikdo veiklos nepagrįstai. Valdytojas apmoka savo ir protingas Tvarkytojo išlaidas (įskaitant darbo laiką pagal įkainį), nebent patikra atskleidžia esminį šios sutarties pažeidimą; išlaidos negali būti tokios, kad jos atgrasytų nuo teisės įgyvendinimo. Valdytojas gali prašyti pašalinti nustatytus trūkumus; Tvarkytojas tai padaro per protingą terminą.

11. Atsakomybė ir taikoma teisė

Atsakomybė paskirstoma pagal BDAR 82 str.; duomenų subjektų teisės šia sutartimi neribojamos. Santykiuose tarp šalių Paslaugų sąlygų 10 skyriaus atsakomybės apribojimai ir išimtys taikomi ir šiai sutarčiai (bendra visų reikalavimų riba), kiek jų nedraudžia imperatyvios BDAR nuostatos; Valdytojas atlygina Tvarkytojui nuostolius, atsiradusius dėl Valdytojo nurodymų, kuriais pažeidžiama duomenų apsaugos teisė, ar duomenų pateikimo be teisėto pagrindo. Taikoma Lietuvos Respublikos teisė; ginčai sprendžiami derybomis, o nepavykus — kompetentingame Lietuvos teisme pagal Tvarkytojo buveinę.

12. BDAR 28 str. 3 d. elementų atitiktis

13. Sutarties pakeitimai

Naują šios sutarties versiją Tvarkytojas praneša Valdytojui el. paštu ne vėliau kaip prieš 30 dienų; apie subtvarkytojų pakeitimus pranešama pagal 5 punktą. Tvarkytojas gali pakeisti sutartį be Valdytojo patvirtinimo tik tiek, kiek to reikalauja teisės aktai ar priežiūros institucijos sprendimas (tuomet nauja versija taikoma nuo jos įsigaliojimo). Nauja versija Valdytojui įsigalioja, kai jis ją priima portale; iki tol galioja anksčiau priimta versija. Vien paskelbimas Tvarkytojo svetainėje pakeitimo Valdytojui nesaisto. Pasekmės, jei Valdytojas naujos versijos nepriima, nurodytos paslaugų sąlygų 9 punkte.

14. Kontaktai

Duomenų apsaugos klausimai: info@skerry.eu. UAB NVGroup, Elektrinės g. 8, 03150 Vilnius.

Susiję dokumentai: paslaugų sąlygos, privatumo politika.

Keitimų istorija