Duomenų tvarkymo sutartis

Duomenų valdytojas: Kontevia paslaugos klientas, verslo subjektas ar savarankiškai dirbantis asmuo, kuris tvarko asmens duomenis, esančius jo buhalteriniuose dokumentuose ir kituose Paslaugai pateiktuose duomenyse.

Duomenų tvarkytojas: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Čekijos Respublika, įmonės kodas 22103741, įregistruota Prahos miesto teismo tvarkomame Komerciniame registre, bylos Nr. C 410771. Kontaktai duomenų apsaugos klausimais: hello@kontevia.com.

1.1. Ši Sutartis reglamentuoja šalių teises ir pareigas, kai Duomenų tvarkytojas Duomenų valdytojo vardu tvarko asmens duomenis, teikdamas Kontevia paslaugą (toliau – „Paslauga“).

1.2. Ši Sutartis yra neatskiriama Sutarties sąlygų dalis ir įsigalioja, kai Duomenų valdytojas užsiregistruoja Paslaugai naudoti. Ji galioja tol, kol Duomenų tvarkytojas tvarko Duomenų valdytojo asmens duomenis.

2.1. Duomenų tvarkytojas asmens duomenis tvarko išimtinai Paslaugos teikimo tikslu, būtent:

• buhalterinių dokumentų, pateiktų per pokalbį, el. paštu ar įkeliant, priėmimas ir skaitmeninimas;
• duomenų iš dokumentų nuskaitymas naudojant optinį simbolių atpažinimą ir automatinius duomenų nuskaitymo modelius;
• kategorizavimo, dublikatų aptikimo ir PVM traktavimo pasiūlymų teikimas;
• sąskaitų faktūrų ir kitų dokumentų išrašymas pagal Duomenų valdytojo nurodymus;
• Duomenų valdytojo prijungtų banko operacijų importavimas ir jų susiejimas su dokumentais;
• suvestinių, ataskaitų ir eksporto į Duomenų valdytojo buhalterinę sistemą ar konsultantui rengimas;
• dokumentų ir duomenų saugojimas Paslaugoje sutarties galiojimo ir eksporto laikotarpiu.

2.2. Duomenų tvarkytojas asmens duomenis tvarko tik pagal dokumentuotus Duomenų valdytojo nurodymus, įskaitant nurodymus dėl perdavimo į trečiąsias šalis, nebent to reikalauja Sąjungos ar valstybės narės teisė; tokiu atveju Duomenų tvarkytojas prieš pradėdamas tvarkyti duomenis informuoja Duomenų valdytoją, nebent tai draudžia teisės aktai.

3.1. Duomenų subjektai: Duomenų valdytojo verslo partneriai (tiekėjai, klientai, kontaktiniai asmenys), Duomenų valdytojo darbuotojai ir rangovai, kai tvarkomi darbo užmokesčio ar išlaidų dokumentai, taip pat paties Duomenų valdytojo Paslaugos naudotojai.

3.2. Asmens duomenų kategorijos: identifikaciniai duomenys (vardas, pavardė, įmonės pavadinimas, įmonės ir PVM mokėtojo kodai); kontaktiniai duomenys (adresas, el. paštas, telefonas); finansiniai duomenys (sąskaitose nurodytos sumos, banko sąskaitų numeriai, mokėjimo nuorodos); su darbo santykiais susiję duomenys, kai pateikiami darbo užmokesčio dokumentai (pareigos, atlyginimas, draudimo identifikatoriai); Duomenų valdytojo naudotojų naudojimosi duomenys.

3.3. Duomenų tvarkytojui nereikalingi specialių kategorijų duomenys, kaip apibrėžta BDAR 9 straipsnyje. Duomenų valdytojas įsipareigoja nepateikti tokių duomenų per Paslaugą, nebent jie yra dokumente, kurį Duomenų valdytojas privalo saugoti pagal teisės aktus; tokiu atveju už teisėtą pagrindą atsako Duomenų valdytojas.

Duomenų tvarkytojas įsipareigoja:

• tvarkyti asmens duomenis tik pagal dokumentuotus Duomenų valdytojo nurodymus ir tik tiek, kiek būtina Paslaugai teikti;
• užtikrinti, kad asmenys, įgalioti tvarkyti asmens duomenis, būtų įsipareigoję laikytis konfidencialumo arba jiems būtų taikoma atitinkama teisės aktais nustatyta konfidencialumo pareiga;
• įgyvendinti technines ir organizacines priemones, reikalaujamas pagal BDAR 32 straipsnį, visų pirma nurodytas šios Sutarties priede;
• netelkti kito duomenų tvarkytojo be išankstinio bendro rašytinio Duomenų valdytojo leidimo, kurį Duomenų valdytojas suteikia pagal šios Sutarties 6 straipsnį;
• atsižvelgdamas į duomenų tvarkymo pobūdį, padėti Duomenų valdytojui tinkamomis techninėmis ir organizacinėmis priemonėmis atsakyti į duomenų subjektų prašymus dėl jų teisių įgyvendinimo;
• padėti Duomenų valdytojui užtikrinti atitiktį BDAR 32–36 straipsniams (saugumas, pranešimas apie pažeidimus, poveikio duomenų apsaugai vertinimas, išankstinės konsultacijos), atsižvelgdamas į duomenų tvarkymo pobūdį ir Duomenų tvarkytojui prieinamą informaciją;
• Duomenų valdytojo pasirinkimu ištrinti arba grąžinti visus asmens duomenis pasibaigus Paslaugos teikimui ir ištrinti esamas kopijas, nebent Sąjungos ar valstybės narės teisė reikalauja juos saugoti;
• pateikti Duomenų valdytojui visą informaciją, būtiną atitikčiai BDAR 28 straipsniui įrodyti, ir sudaryti sąlygas Duomenų valdytojo ar jo įgalioto auditoriaus atliekamiems auditams, įskaitant patikrinimus, bei prie jų prisidėti;
• nedelsdamas informuoti Duomenų valdytoją, jeigu, jo nuomone, nurodymas pažeidžia BDAR ar kitas Sąjungos ar valstybės narės duomenų apsaugos nuostatas.

5.1. Duomenų tvarkytojas praneša Duomenų valdytojui apie bet kokį asmens duomenų saugumo pažeidimą nedelsdamas ir ne vėliau kaip per 48 valandas nuo sužinojimo apie jį.

5.2. Pranešime nurodoma bent: pažeidimo pobūdžio aprašymas, įskaitant, jei įmanoma, susijusių duomenų subjektų ir įrašų kategorijas bei apytikslį skaičių; atsakingo asmens vardas, pavardė ir kontaktiniai duomenys; tikėtinų pasekmių aprašymas; taip pat priemonių, kurių imtasi ar siūloma imtis pažeidimui pašalinti ir jo padariniams sušvelninti, aprašymas.

5.3. Duomenų tvarkytojas bendradarbiauja su Duomenų valdytoju, padėdamas jam įvykdyti pranešimo pareigas kompetentingai priežiūros institucijai ir duomenų subjektams.

6.1. Duomenų valdytojas suteikia bendrą leidimą Duomenų tvarkytojui telkti kitus duomenų tvarkytojus (subtvarkytojus) asmens duomenims tvarkyti.

6.2. Dabartinis subtvarkytojų sąrašas, nurodant kiekvieno paskirtį ir vietą, skelbiamas Duomenų tvarkytojo svetainės puslapyje „Subtvarkytojai“ ir yra šios Sutarties priedas.

6.3. Apie bet kokį ketinamą subtvarkytojų papildymą ar pakeitimą Duomenų tvarkytojas informuoja Duomenų valdytoją ne vėliau kaip prieš 14 dienų, el. paštu Duomenų valdytojo kontaktiniu adresu arba pranešimu Paslaugoje, suteikdamas Duomenų valdytojui galimybę pareikšti prieštaravimą.

6.4. Jeigu Duomenų valdytojas pareiškia pagrįstą prieštaravimą per 14 dienų nuo pranešimo, Duomenų tvarkytojas arba atsisako numatyto pakeitimo, arba pasiūlo Duomenų valdytojui galimybę nutraukti sutartį be jokių sankcijų ir su nepanaudoto laikotarpio išankstinio mokesčio grąžinimu.

6.5. Duomenų tvarkytojas sutartimi kiekvienam subtvarkytojui nustato tas pačias duomenų apsaugos pareigas, kokios numatytos šioje Sutartyje, visų pirma pakankamas garantijas įgyvendinti tinkamas technines ir organizacines priemones. Jeigu subtvarkytojas nevykdo savo pareigų, Duomenų tvarkytojas išlieka visiškai atsakingas Duomenų valdytojui už to subtvarkytojo pareigų vykdymą.

7.1. Asmens duomenys saugomi serveriuose, esančiuose Europos Sąjungoje. Duomenų tvarkytojas neperduoda asmens duomenų už Europos ekonominės erdvės ribų, išskyrus subtvarkytojus, nurodytus puslapyje „Subtvarkytojai“, ir tik taikant tinkamas apsaugos priemones pagal BDAR V skyrių.

7.2. Toks perdavimas grindžiamas Europos Komisijos sprendimu dėl tinkamumo (įskaitant ES ir JAV duomenų privatumo sistemą sertifikuotiems gavėjams), Komisijos pagal BDAR 46 straipsnio 2 dalies c punktą priimtomis standartinėmis sutartinėmis sąlygomis arba kitomis tinkamomis apsaugos priemonėmis, papildytomis papildomomis priemonėmis, kai to reikalauja perdavimo poveikio vertinimas.

8.1. Duomenų tvarkytojas suteikia Duomenų valdytojui pagrįstą pagalbą nagrinėjant duomenų subjektų prašymus įgyvendinti savo teises pagal BDAR 15–22 straipsnius (susipažinimas, ištaisymas, ištrynimas, apribojimas, perkeliamumas, prieštaravimas). Paslaugoje yra paieškos, eksporto ir ištrynimo funkcijos, leidžiančios Duomenų valdytojui daugumą prašymų nagrinėti tiesiogiai.

8.2. Jeigu duomenų subjektas kreipiasi tiesiogiai į Duomenų tvarkytoją, Duomenų tvarkytojas nedelsdamas nukreipia duomenų subjektą į Duomenų valdytoją ir informuoja Duomenų valdytoją, nebent prašymas susijęs su duomenimis, kurių atžvilgiu pats Duomenų tvarkytojas yra duomenų valdytojas.

9.1. Duomenų tvarkytojas sudaro sąlygas Duomenų valdytojui ar jo įgaliotam auditoriui atlikti auditus ir patikrinimus, siekiant patikrinti atitiktį šiai Sutarčiai ir BDAR.

9.2. Auditai atliekami Duomenų valdytojo sąskaita, pagrįstai iš anksto, likus ne mažiau kaip 14 darbo dienų, darbo valandomis ir tokiu būdu, kad nesutrikdytų Duomenų tvarkytojo veiklos ir nekeltų pavojaus kitų klientų duomenų saugumui. Auditorius privalo būti saistomas konfidencialumo pareigos.

9.3. Vietoje audito vietoje Duomenų tvarkytojas gali pateikti galiojančius sertifikatus, nepriklausomų auditorių ataskaitas ar kitą dokumentaciją, įrodančią atitiktį saugumo priemonėms, jeigu jų pakanka Duomenų valdytojo klausimams atsakyti.

10.1. Ši Sutartis galioja visą Duomenų valdytojo ir Duomenų tvarkytojo sutartinių santykių trukmę, tai yra tol, kol Duomenų valdytojas naudojasi Paslauga.

10.2. Pasibaigus sutartiniams santykiams Duomenų tvarkytojas: leidžia Duomenų valdytojui eksportuoti savo duomenis 90 dienų; pasibaigus 90 dienų laikotarpiui negrįžtamai ištrina visus Duomenų valdytojo asmens duomenis; atsargines kopijas ištrina ne vėliau kaip per 45 dienas po pirminių duomenų ištrynimo; ir Duomenų valdytojo prašymu patvirtina ištrynimą. Tai netaikoma duomenims, kuriuos Duomenų tvarkytojas privalo saugoti pagal Sąjungos ar valstybės narės teisę (visų pirma atsiskaitymo įrašams).

10.3. Šios Sutarties pareigos, visų pirma konfidencialumo ir saugumo, lieka galioti pasibaigus sutartiniams santykiams tol, kol Duomenų tvarkytojas saugo bet kokius Duomenų valdytojo asmens duomenis.

11.1. Duomenų tvarkytojas atsako už žalą, padarytą tvarkant duomenis pažeidžiant šią Sutartį ar BDAR, pagal BDAR 82 straipsnį, visų pirma jeigu nesilaikė BDAR nustatytų pareigų, skirtų būtent duomenų tvarkytojams, arba veikė peržengdamas teisėtus Duomenų valdytojo nurodymus ar jiems prieštaraudamas.

11.2. Sutarties sąlygose nustatyti atsakomybės apribojimai taikomi ir šiai Sutarčiai tiek, kiek tai leidžia teisės aktai; jie neapriboja duomenų subjektų teisių.

12.1. Šiai Sutarčiai taikoma Čekijos Respublikos teisė ir tiesiogiai taikoma Europos Sąjungos teisė, visų pirma BDAR.

12.2. Jei ši Sutartis prieštarauja Sąlygoms ir taisyklėms, asmens duomenų apsaugos klausimais pirmenybė teikiama šiai Sutarčiai.

12.3. Šios Sutarties pakeitimai turi būti sudaromi raštu, o tai apima atnaujintą versiją, paskelbtą svetainėje ir apie kurią Valdytojui pranešama pagal Sąlygas ir taisykles.

12.4. Ginčus, kylančius iš šios Sutarties, sprendžia Čekijos Respublikos teismai, kompetentingi pagal Duomenų tvarkytojo buveinę, nepažeidžiant duomenų subjektų ir priežiūros institucijų teisių.

Šifravimas

• AES-256 duomenų šifravimas ramybės būsenoje, įskaitant atsargines kopijas.
• TLS 1.2 arba naujesnė versija visiems perduodamiems duomenims, įskaitant ryšius su antriniais duomenų tvarkytojais.

Prieigos kontrolė

• Prieiga suteikiama pagal mažiausios būtinos prieigos principą; kiekvienas darbuotojas ir sistema turi tik tas teises, kurios reikalingos jų funkcijai atlikti.
• Kelių veiksnių autentifikavimas administracinei ir infrastruktūros prieigai.
• Klientų darbo aplinkų atskyrimas taikomosios programos ir duomenų bazės lygmeniu.
• Reguliari prieigos teisių peržiūra ir jų nedelsiamas panaikinimas, kai jos nebereikalingos.

Prieinamumas ir atsparumas

• Reguliarios automatinės atsarginės kopijos su išbandytomis atkūrimo procedūromis.
• Perteklinė talpinimo infrastruktūra Europos Sąjungoje.
• Prieinamumo ir veikimo stebėsena su įspėjimais.

Vientisumas ir žurnalų vedimas

• Prieigos prie asmens duomenų ir administracinių veiksmų žurnalų vedimas.
• Dokumentų audito seka: kas, kada pateikė, pakeitė, patvirtino ar eksportavo dokumentus.
• Anomalijų ir saugumo incidentų aptikimas.

Organizacinės priemonės

• Visų darbuotojų ir rangovų, turinčių prieigą prie asmens duomenų, konfidencialumo įsipareigojimai.
• Darbuotojų mokymai duomenų apsaugos ir saugumo srityje.
• Dokumentuotos vidinės asmens duomenų tvarkymo ir duomenų subjektų prašymų nagrinėjimo procedūros.
• Incidentų valdymo planas su apibrėžtais vaidmenimis ir pranešimo terminais.
• Naujų antrinių duomenų tvarkytojų duomenų apsaugos vertinimas prieš pradedant bendradarbiavimą.