Duomenų tvarkymo sutartis

• Sritis

  Dalykas ir tikslas

  Aprašymas

  Ledga paslaugos teikimas: apskaitos, prekybos, atsargų, darbo užmokesčio, ataskaitų ir kitų sistemos funkcijų vykdymas

• Sritis

  Tvarkymo pobūdis

  Aprašymas

  Saugojimas, įrašymas, sisteminimas, skaičiavimas, peržiūra, eksportas, perdavimas Kliento nurodytoms sistemoms, ištrynimas

• Sritis

  Trukmė

  Aprašymas

  Naudojimosi taisyklių galiojimo laikotarpis ir 30 dienų po jo duomenims eksportuoti

• Sritis

  Duomenų subjektai

  Aprašymas

  Kliento darbuotojai ir jų šeimos nariai (kai to reikia mokesčių lengvatoms), Naudotojai, pirkėjai, tiekėjai ir jų kontaktiniai asmenys

• Sritis

  Duomenų rūšys

  Aprašymas

  Vardas, pavardė, kontaktai, asmens kodas, gimimo data, adresas, banko sąskaita, socialinio draudimo numeris, darbo sutarties duomenys, darbo laikas, darbo užmokestis ir išmokos, atostogos ir nedarbingumas, sandorių ir mokėjimų duomenys

• Sritis

  Specialių kategorijų duomenys

  Aprašymas

  Nedarbingumo ir neįgalumo informacija gali būti sveikatos duomenys (BDAR 9 str.). Klientas juos įkelia tik tiek, kiek reikia darbo užmokesčiui ir valstybinėms ataskaitoms

Tvarkytojas tvarko duomenis tik pagal dokumentuotus Valdytojo nurodymus. Nurodymais laikomos šios sutarties sąlygos ir veiksmai, kuriuos Valdytojas ar jo Naudotojai atlieka sistemoje (pavyzdžiui, įveda darbuotoją, pateikia ataskaitą, prijungia banką). Jei, Tvarkytojo nuomone, nurodymas pažeidžia duomenų apsaugos teisę, jis nedelsdamas apie tai praneša. Tvarkytojas nenaudoja duomenų savo tikslams ir jų neparduoda.

Valdytojas atsako, kad turi teisėtą pagrindą tvarkyti įkeliamus duomenis ir kad duomenų subjektai apie tai informuoti.

Prieigą prie duomenų turi tik tie Tvarkytojo darbuotojai ir paslaugų teikėjai, kuriems jos reikia paslaugai teikti ar Valdytojo užklausai išspręsti, ir kurie įsipareigoję saugoti konfidencialumą. Klientų pagalbos metu Tvarkytojas Kliento duomenis peržiūri tik Valdytojo prašymu ar sutikimu, išskyrus atvejus, kai to reikia saugumo incidentui sustabdyti.

Tvarkytojas taiko BDAR 32 straipsnį atitinkančias technines ir organizacines priemones, be kita ko:

• šifruotas ryšys (HTTPS / TLS) tarp naršyklės, programėlės, API ir serverio;
• jautrių darbuotojų duomenų (asmens kodas, banko sąskaita, socialinio draudimo numeris) šifravimas duomenų bazėje (AES-256-GCM), integracijų raktai ir prisijungimo prie valstybės sistemų duomenys saugomi šifruoti;
• klientų duomenų atskyrimas duomenų bazės eilučių lygio politikomis ir prieiga tik pagal Naudotojo vaidmenį bei teises;
• slaptažodžiai saugomi tik kaip maiša, galima dviejų veiksnių autentifikacija, sesijos baigiasi po neveiklumo;
• visų pakeitimų žurnalas (kas, kada, ką pakeitė) ir užregistruotų apskaitos įrašų nekeičiamumas;
• kasdienės duomenų bazės ir failų atsarginės kopijos, saugomos 14 dienų, kiekvienos kopijos vientisumas tikrinamas;
• serverių administravimo prieiga suteikiama tik būtiniems asmenims, programinė įranga reguliariai atnaujinama;
• API užklausų limitai ir pasirašyti webhook pranešimai.

Priemonės gali būti keičiamos tik tokiomis, kurios užtikrina ne mažesnį apsaugos lygį.

Valdytojas suteikia bendrą leidimą pasitelkti žemiau nurodytus subtvarkytojus. Su kiekvienu iš jų Tvarkytojas sudaro sutartį, nustatančią ne mažesnes duomenų apsaugos pareigas, ir atsako už jų veiksmus kaip už savo.

• Paslaugų teikėjas

  Hostinger International Ltd.

  Ką daro

  Serverių nuoma: sistema, duomenų bazė, failai ir atsarginės kopijos

  Kur tvarko

  Europos Sąjunga

  Apsaugos priemonė

  Duomenys lieka ES

• Paslaugų teikėjas

  Resend (Plus Five Five, Inc.)

  Ką daro

  Sistemos el. laiškų siuntimas (slaptažodžio atkūrimas, kvietimai, siunčiami dokumentai)

  Kur tvarko

  JAV

  Apsaugos priemonė

  Europos Komisijos standartinės sutarčių sąlygos

• Paslaugų teikėjas

  Stripe Payments Europe, Ltd.

  Ką daro

  Prenumeratos mokėjimų priėmimas (taikoma mokamiems planams)

  Kur tvarko

  Airija (ES)

  Apsaugos priemonė

  Duomenys tvarkomi ES; perdavimai – pagal standartines sutarčių sąlygas

Apie naują ar pakeistą subtvarkytoją Tvarkytojas praneša el. paštu ne vėliau kaip prieš 30 dienų. Valdytojas gali pagrįstai prieštarauti; jei sprendimo nerandama, jis gali nutraukti sutartį iki pakeitimo įsigaliojimo. Sistemos, kurias Valdytojas pats prijungia (bankai, e. parduotuvės, VMI, Sodra, kitos integracijos), nėra Tvarkytojo subtvarkytojai – duomenys joms perduodami Valdytojo nurodymu.

Duomenų bazė ir failai saugomi Europos Sąjungoje. Duomenys už Europos ekonominės erdvės ribų perduodami tik tiems subtvarkytojams, kuriems taikomos BDAR V skyriuje numatytos garantijos (pavyzdžiui, Europos Komisijos standartinės sutarčių sąlygos).

• Duomenų subjektų prašymus Valdytojas dažniausiai gali įvykdyti pats sistemos priemonėmis (peržiūra, taisymas, eksportas, ištrynimas). Jei to nepakanka, Tvarkytojas padeda. Tiesiogiai gautą prašymą Tvarkytojas nedelsdamas persiunčia Valdytojui.
• Tvarkytojas teikia informaciją, reikalingą poveikio duomenų apsaugai vertinimui ir konsultacijoms su priežiūros institucija.
• Pagalba, viršijanti įprastą paslaugos apimtį, gali būti apmokama pagal iš anksto suderintą kainą.

Sužinojęs apie asmens duomenų saugumo pažeidimą, Tvarkytojas nepagrįstai nedelsdamas, ne vėliau kaip per 48 valandas, praneša Valdytojui jo nurodytu el. paštu. Pranešime nurodoma, kas įvyko, kokie duomenys ir subjektai paliesti, galimos pasekmės ir taikomos priemonės; trūkstama informacija pateikiama vėliau, kai tik ji paaiškėja. Tvarkytojas imasi priemonių pažeidimo pasekmėms sumažinti ir padeda Valdytojui įvykdyti pareigą pranešti priežiūros institucijai ir duomenų subjektams.

Tvarkytojas Valdytojo prašymu pateikia informaciją, įrodančią šios sutarties laikymąsi. Valdytojas ar jo įgaliotas auditorius, saistomas konfidencialumo, gali atlikti patikrinimą ne dažniau kaip kartą per metus (ir papildomai – po saugumo pažeidimo ar priežiūros institucijos reikalavimu), apie tai pranešęs prieš 30 dienų. Patikrinimo išlaidas apmoka Valdytojas.

Pasibaigus sutarčiai, Valdytojas per 30 dienų gali eksportuoti savo duomenis. Po to Tvarkytojas duomenis ištrina, o iš atsarginių kopijų jie išnyksta per 14 dienų. Duomenys ilgiau saugomi tik tada, kai to reikalauja Europos Sąjungos ar Lietuvos teisė. Valdytojo prašymu Tvarkytojas patvirtina ištrynimą raštu.

Atsakomybei pagal šią sutartį taikomi Naudojimosi taisyklių apribojimai, kiek jų neriboja BDAR. Jei šios sutarties ir taisyklių nuostatos prieštarauja dėl asmens duomenų apsaugos, viršenybę turi ši sutartis. Klausimus ir pranešimus siųskite privatumas@ledga.lt. Jei jūsų įmonei reikia pasirašytos šios sutarties kopijos, parašykite – atsiųsime.