Duomenų tvarkymo sutartis

1.1.Valdytojas — Klientas, kaip jis apibrėžtas Naudojimosi sąlygose (apskaitos biuras ar įmonė, kurio vardu sukurta darbo sritis).

1.2.Tvarkytojas — MB „Digital Acid“, juridinio asmens kodas 303238903, buveinė Perkūnkiemio g. 47-71, LT-12101 Vilnius.

1.3.Sąvokos vartojamos taip, kaip jos apibrėžtos Reglamente (ES) 2016/679 (BDAR). Jei ši sutartis prieštarauja Naudojimosi sąlygoms asmens duomenų apsaugos klausimais, taikoma ši sutartis.

2.1.Tvarkytojas tvarko asmens duomenis tik tam, kad teiktų Paslaugą, ir tik pagal dokumentais įformintus Valdytojo nurodymus. Tokiais nurodymais laikomos Naudojimosi sąlygos, ši sutartis ir Valdytojo veiksmai Paslaugoje (įkėlimas, redagavimas, siuntimas, kvietimai, eksportas, trynimas).

2.2.Tvarkymo apimtis, duomenų kategorijos ir duomenų subjektai aprašyti 1 priede.

2.3.Jei Tvarkytojo nuomone nurodymas pažeidžia BDAR ar kitus teisės aktus, jis apie tai nedelsdamas informuoja Valdytoją ir gali tokio nurodymo nevykdyti.

2.4.Jei teisės aktai įpareigoja Tvarkytoją duomenis tvarkyti kitaip, jis prieš tai informuoja Valdytoją, nebent tai draudžia įstatymas.

3.1.Valdytojas atsako, kad:

• duomenys į Paslaugą įkeliami ir tvarkomi turint teisinį pagrindą (BDAR 6 str., o specialių kategorijų duomenims — 9 str.);
• duomenų subjektai — jo klientai, jų atstovai, sandorio šalys, portalo naudotojai — informuoti apie tvarkymą, įskaitant naudojimąsi Paslauga ir subtvarkytojais;
• į Paslaugą neįkeliami duomenys, kurių nereikia apskaitos tikslams, ypač specialių kategorijų duomenys, nebent jie neišvengiamai yra apskaitos dokumente;
• jo nurodymai atitinka teisės aktus, o prieiga prie darbo srities suteikiama tik tiems asmenims, kuriems jos reikia;
• duomenų subjektų prašymai, susiję su jo duomenimis, nagrinėjami jo, kaip valdytojo.

4.1.Konfidencialumas. Prieigą prie duomenų turi tik asmenys, kuriems jos reikia Paslaugai teikti, prižiūrėti ar sutrikimams šalinti, ir kurie yra įsipareigoję saugoti konfidencialumą. Tvarkytojas Valdytojo dokumentų turinio neperžiūri, išskyrus kai to reikia Valdytojo prašymui įvykdyti, sutrikimui ištirti ar teisės aktų reikalavimui įvykdyti.

4.2.Saugumas. Tvarkytojas taiko 2 priede nurodytas technines ir organizacines priemones (BDAR 32 str.) ir gali jas keisti, jei apsaugos lygis nesumažėja.

4.3.Pagalba dėl subjektų teisių. Paslaugos funkcijos leidžia Valdytojui pačiam rasti, ištaisyti, eksportuoti ir ištrinti duomenis. Jei to nepakanka, Tvarkytojas pagrįstai padeda Valdytojui įvykdyti duomenų subjekto prašymą. Gavęs prašymą tiesiogiai, Tvarkytojas jį perduoda Valdytojui ir pats į jį iš esmės neatsako.

4.4.Kita pagalba. Tvarkytojas, atsižvelgdamas į turimą informaciją, pagrįstai padeda Valdytojui vykdyti BDAR 32–36 straipsnių pareigas. Pagalba, viršijanti Paslaugos funkcijas, gali būti apmokestinama pagal iš anksto suderintą kainą.

4.5.Pažeidimai. Sužinojęs apie asmens duomenų saugumo pažeidimą, susijusį su Valdytojo duomenimis, Tvarkytojas be nepagrįsto delsimo apie tai praneša Valdytojui paskyros el. pašto adresu, pateikdamas tuo metu turimą informaciją, reikalingą Valdytojui įvertinti, ar ir kaip pranešti priežiūros institucijai ir duomenų subjektams. Toks pranešimas nereiškia kaltės pripažinimo.

5.1.Valdytojas suteikia bendrą leidimą pasitelkti 3 priede nurodytus subtvarkytojus. Su kiekvienu subtvarkytoju Tvarkytojas yra sudaręs sutartį, nustatančią iš esmės ne mažesnes duomenų apsaugos pareigas.

5.2.Apie naują ar pakeistą subtvarkytoją Tvarkytojas praneša ne vėliau kaip prieš 14 dienų, atnaujindamas šį puslapį ir informuodamas el. paštu arba Paslaugoje. Valdytojas per šį laiką gali pagrįstai prieštarauti; jei šalys nesusitaria, Valdytojas gali nutraukti sutartį ir atgauti nepanaudotą sumokėto laikotarpio dalį. Tai yra vienintelė Valdytojo teisių gynimo priemonė dėl subtvarkytojo pakeitimo.

5.3.Skubiai pakeisti subtvarkytoją, kai to reikia saugumui ar Paslaugos tęstinumui užtikrinti, galima ir be išankstinio pranešimo — tokiu atveju pranešama nedelsiant po pakeitimo.

6.1.Duomenys saugomi ES. Kai subtvarkytojas tvarko duomenis už Europos ekonominės erdvės ribų, perdavimas vyksta taikant BDAR V skyriuje numatytas priemones — Europos Komisijos standartines sutarčių sąlygas ir (arba) tinkamumo sprendimą (ES–JAV duomenų privatumo sistemą), kaip nurodyta 3 priede.

7.1.Sutarties galiojimo metu Valdytojas gali bet kada eksportuoti savo duomenis Paslaugos priemonėmis.

7.2.Sutarčiai pasibaigus, Valdytojas per 30 dienų gali eksportuoti duomenis. Vėliau Tvarkytojas juos ištrina iš Paslaugos, o atsarginės kopijos, kuriose jie yra, sunaikinamos per 14 dienų trukmės rotacijos ciklą. Iki tol atsarginės kopijos lieka šifruotos ir nenaudojamos jokiam kitam tikslui.

7.3.Tvarkytojas gali saugoti duomenis ilgiau tik tiek, kiek to reikalauja teisės aktai.

8.1.Tvarkytojas pateikia informaciją, būtiną įrodyti, kad laikosi BDAR 28 straipsnio, pirmiausia raštu atsakydamas į pagrįstus Valdytojo klausimus.

8.2.Jei to nepakanka, Valdytojas ar jo įgaliotas nepriklausomas auditorius, įsipareigojęs saugoti konfidencialumą, gali atlikti auditą ne dažniau kaip kartą per metus, apie tai pranešęs ne vėliau kaip prieš 30 dienų, darbo valandomis ir netrikdydamas Paslaugos bei kitų klientų duomenų apsaugos. Audito išlaidas apmoka Valdytojas. Priežiūros institucijos atliekamiems patikrinimams šie apribojimai netaikomi.

9.1.Šalių atsakomybei pagal šią sutartį taikomi Naudojimosi sąlygų 10 skyriaus ribojimai, kiek jie neprieštarauja BDAR 82 straipsniui.

9.2.Ši sutartis galioja tol, kol Tvarkytojas tvarko Valdytojo asmens duomenis, ir keičiama ta pačia tvarka kaip Naudojimosi sąlygos.

9.3.Klausimus dėl šios sutarties siųskite info@skenas.lt.

• Tvarkymo pobūdis ir tikslas: apskaitos dokumentų priėmimas (įkeliant, per portalą ar el. paštu), duomenų nuskaitymas dirbtiniu intelektu, automatinės patikros, mokėjimų susiejimas su banko išrašais, trūkstamų dokumentų nustatymas, sąskaitų išrašymas ir siuntimas, bendravimas tarp buhalterio ir jo kliento, duomenų eksportas į apskaitos programas, saugojimas.
• Duomenų subjektai: Valdytojo klientų atstovai ir darbuotojai, sandorio šalys (tiekėjai, pirkėjai) ir jų kontaktiniai asmenys, verslo veiklą vykdantys fiziniai asmenys, portalo naudotojai, Valdytojo darbuotojai.
• Duomenų kategorijos: vardai ir pavardės, pareigos, kontaktai (el. paštas, telefonas, adresas), įmonės ir individualios veiklos kodai, PVM mokėtojo kodai, banko sąskaitų numeriai, mokėjimų ir sandorių duomenys, dokumentų turinys, žinutės ir jų priedai.
• Specialių kategorijų duomenys: netvarkomi tikslingai; gali atsitiktinai būti Valdytojo įkeltame dokumente (žr. 3.1 p.).
• Trukmė: sutarties galiojimo laikotarpis ir 7.2 p. nurodytas laikas po jo.

• Duomenys talpinami ES (Lietuva) esančiame serveryje; prieiga prie jo — tik SSH raktais, slaptažodžiu prisijungti negalima, kartotiniai bandymai blokuojami automatiškai, ugniasienė leidžia tik būtinus prievadus.
• Visas ryšys šifruojamas (TLS 1.2 ir naujesnis, HSTS).
• Kiekvieno Valdytojo duomenys izoliuoti duomenų bazės eilučių lygio saugumo politikomis (Row-Level Security); programa jungiasi neprivilegijuotu vaidmeniu, todėl ir programos klaida neatveria kito Valdytojo duomenų.
• Kliento portalo naudotojas mato tik jam suteiktos įmonės duomenis; ši riba tikrinama atskirai nuo darbo sričių izoliacijos.
• Slaptažodžiai saugomi tik kriptografinės maišos pavidalu; slaptažodžio atstatymas nutraukia visas aktyvias sesijas; el. pašto adresas tvirtinamas.
• Administracinė prieiga reikalauja neseno pakartotinio prisijungimo; administratoriaus peržiūros registruojamos.
• Užklausų dydžio, dažnio ir siunčiamų laiškų kiekio ribos; turinio saugumo politika (CSP); apsauga nuo tarpvietinių užklausų (CSRF).
• Įkeliami failai tikrinami pagal jų tikrąjį formatą, ne pagal pavadinimą.
• Kasdienės šifruotos (AES-256) atsarginės kopijos, kurių vientisumas patikrinamas kiekvieną kartą; saugomos 14 dienų.
• Veiksmų ir audito žurnalai (kas, kada, ką pakeitė ar eksportavo).
• Priklausomybių pažeidžiamumų tikrinimas ir automatiniai saugumo testai prieš kiekvieną programos atnaujinimą.