Asmens duomenų tvarkymo sąlygos

I. Bendrosios nuostatos

1. Šios asmens duomenų tvarkymo sąlygos (toliau – sąlygos) nustato asmens duomenų tvarkymo tvarką, kai UAB „Lerche“ (toliau – Lerche), teikdama paslaugas, kliento pavedimu tvarko asmens duomenis, kurių valdytojas yra klientas. Šiuose santykiuose klientas veikia kaip duomenų valdytojas, o Lerche – kaip duomenų tvarkytojas pagal Bendrojo duomenų apsaugos reglamento (ES) 2016/679 (toliau – BDAR) 28 straipsnį.

2. Sąlygos yra sudėtinė šalių sutarties dalis ir taikomos kartu su Lerche bendrosiomis paslaugų teikimo taisyklėmis. Asmens duomenų tvarkymo klausimais sąlygos turi viršenybę prieš kitus sutartinius dokumentus. Sąlygose neapibrėžtos sąvokos suprantamos taip, kaip jos apibrėžtos BDAR.

3. Tvarkymo dalykas, trukmė, pobūdis ir tikslas, asmens duomenų ir duomenų subjektų kategorijos aprašyti sąlygų VII skyriuje (Tvarkymo aprašas). Klientas patvirtina, kad turi teisėtą pagrindą pavesti Lerche tvarkyti priede nurodytus asmens duomenis.

II. Lerche (tvarkytojo) įsipareigojimai

4. Lerche įsipareigoja:

4.1. tvarkyti asmens duomenis tik pagal dokumentais įformintus kliento nurodymus (įskaitant sutartinius dokumentus ir kliento įgaliotų asmenų nurodymus, pateiktus raštu ar el. paštu), išskyrus atvejus, kai tvarkyti reikalauja ES ar valstybės narės teisė; tokiu atveju Lerche, jei tai neuždrausta, informuoja klientą prieš pradėdama tvarkyti;

4.2. nedelsdama informuoti klientą, jei, Lerche nuomone, kliento nurodymas pažeidžia BDAR ar kitus duomenų apsaugos teisės aktus;

4.3. užtikrinti, kad asmens duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma įstatyminė konfidencialumo pareiga;

4.4. įgyvendinti tinkamas technines ir organizacines saugumo priemones pagal BDAR 32 straipsnį, atsižvelgdama į tvarkymo pobūdį ir riziką, įskaitant: prieigos kontrolę pagal būtinumo žinoti principą, duomenų šifravimą perdavimo metu, atsargines kopijas, saugumo įvykių registravimą ir periodinį priemonių veiksmingumo vertinimą;

4.5. atsižvelgdama į tvarkymo pobūdį, tinkamomis techninėmis ir organizacinėmis priemonėmis padėti klientui atsakyti į duomenų subjektų prašymus dėl jų teisių įgyvendinimo (prieiga, ištaisymas, ištrynimas, perkeliamumas ir kt.); jei prašymas pateikiamas tiesiogiai Lerche, ji nedelsdama perduoda jį klientui, pati prašymo nenagrinėdama;

4.6. atsižvelgdama į turimą informaciją, padėti klientui vykdyti BDAR 32–36 straipsnių pareigas (saugumas, pranešimai apie pažeidimus, poveikio vertinimas, konsultacijos su priežiūros institucija);

4.7. sužinojusi apie asmens duomenų saugumo pažeidimą, susijusį su kliento pavedimu tvarkomais duomenimis, be nepagrįsto delsimo, bet ne vėliau kaip per 48 valandas, pranešti klientui, pateikdama turimą informaciją apie pažeidimo pobūdį, paveiktus duomenis, galimas pasekmes ir taikytas priemones;

4.8. pateikti klientui informaciją, būtiną įrodyti, kad laikomasi BDAR 28 straipsnio pareigų, ir sudaryti sąlygas kliento ar jo įgalioto auditoriaus atliekamiems auditams III skyriuje nustatyta tvarka.

III. Auditas

5. Klientas turi teisę ne dažniau kaip kartą per kalendorinius metus, įspėjęs Lerchę ne vėliau kaip prieš 30 kalendorinių dienų, atlikti Lerche vykdomo kliento duomenų tvarkymo atitikties auditą. Auditas atliekamas darbo valandomis, netrikdant Lerche veiklos ir laikantis Lerche saugumo bei konfidencialumo reikalavimų; auditorius negali būti Lerche konkurentas. Lerche pirmiausia gali pateikti turimas nepriklausomų auditų ataskaitas ar sertifikatus – jei jie pagrįstai atsako į kliento klausimus, atskiras auditas neatliekamas. Audito išlaidas padengia klientas, išskyrus atvejus, kai audito metu nustatomi esminiai Lerche pažeidimai.

IV. Subtvarkytojai

6. Klientas suteikia Lerche bendrąjį rašytinį leidimą pasitelkti šiame punkte nurodytus esamus ir planuojamus subtvarkytojus:

6.1. „Hostinger“ – sutartyje ar paslaugos paskyroje nurodyta „Hostinger“ grupės bendrovė (pagal šiuo metu skelbiamą duomenų tvarkymo susitarimą tai gali būti „Hostinger International Ltd.“, Kipras, „Hostinger Global S.à r.l.“, Liuksemburgas, arba kita sutartyje nurodyta grupės bendrovė). Paslaugos paskirtis: VPS serverių, programinės įrangos, duomenų bazių ir susijusios infrastruktūros priegloba bei techninis paslaugų teikimas. Tvarkomi duomenys: kliento naudojantis paslaugomis talpinami asmens duomenys, paskyrų duomenys ir techniniai žurnalai. Paslaugos būsena: naudojama. Pasirinkta VPS duomenų centro vieta: Lietuva.

6.2. „Backblaze, Inc.“, Jungtinės Amerikos Valstijos – „Backblaze B2 Cloud Storage“ paslaugos teikėjas. Paslaugos paskirtis: šifruotų atsarginių kopijų saugojimas, jų pasiekiamumo užtikrinimas ir atkūrimas. Tvarkomi duomenys: atsarginėse kopijose esantys kliento asmens duomenys, failų metaduomenys ir techniniai žurnalai. Paslaugos būsena: planuojama. Numatytas duomenų saugojimo regionas: „EU Central“ (Amsterdamas, Nyderlandai). Prieš pradedant naudoti paslaugą Lerche patikrina ir užfiksuoja, kad paskyroje pasirinktas būtent šis regionas.

7. Lerche ne vėliau kaip prieš 30 kalendorinių dienų el. paštu arba kitu sutartu būdu informuoja klientą apie ketinamą pasitelkti naują subtvarkytoją arba šiame sąraše nurodyto subtvarkytojo pakeitimą. Klientas turi teisę per 14 kalendorinių dienų nuo pranešimo pateikti pagrįstą prieštaravimą. Šalims nesusitarus dėl tinkamo sprendimo, klientas turi teisę nutraukti subtvarkytojo pakeitimo paveiktos paslaugos užsakymą be netesybų. Per nustatytą terminą prieštaravimo nepateikus, laikoma, kad klientas su pakeitimu sutinka.

8. Su kiekvienu subtvarkytoju Lerche sudaro rašytinį susitarimą, kuriuo subtvarkytojui nustatomos ne mažesnės duomenų apsaugos pareigos, nei taikomos Lerche pagal šias sąlygas. Už subtvarkytojo pareigų vykdymą Lerche klientui atsako taip, kaip už savo veiksmus.

V. Duomenų perdavimas už EEE

9. Jei pagal pasirinkto subtvarkytojo paslaugos konfigūraciją asmens duomenys perduodami už Europos ekonominės erdvės (EEE) ribų, Lerche užtikrina BDAR V skyriaus reikalavimų laikymąsi, remdamasi Europos Komisijos sprendimu dėl tinkamumo arba taikydama tinkamas apsaugos priemones, įskaitant Europos Komisijos patvirtintas standartines sutarčių sąlygas ir, kai reikalinga, papildomas technines bei organizacines priemones. Kliento prašymu Lerche pateikia informaciją apie konkrečias duomenų tvarkymo vietas ir taikomas apsaugos priemones.

VI. Duomenų grąžinimas ir ištrynimas

10. Pasibaigus ar nutrūkus paslaugų teikimui, Lerche, kliento pasirinkimu, grąžina klientui jo pavedimu tvarkytus asmens duomenis bendrosiose taisyklėse nustatyta tvarka ir ištrina turimas jų kopijas arba ištrina duomenis be grąžinimo, išskyrus atvejus, kai ES ar valstybės narės teisė reikalauja duomenis saugoti ilgiau. Ištrynimas apima ir atsargines kopijas pagal jų rotacijos ciklą, ne vėliau kaip per 90 kalendorinių dienų. Kliento prašymu Lerche raštu patvirtina ištrynimo faktą.

VII. Tvarkymo aprašas

Šis aprašas pildomas ir tikslinamas paslaugos užsakyme, atsižvelgiant į konkrečią kliento užsakytą paslaugą. Žemiau pateikiamas numatytasis aprašas.

VIII. Baigiamosios nuostatos

11. Šalių atsakomybei už sąlygų pažeidimus taikomos bendrųjų taisyklių atsakomybės nuostatos, kiek imperatyvios BDAR nuostatos (ypač 82 straipsnis) nenustato kitaip. Sąlygos galioja tol, kol Lerche tvarko kliento pavedimu asmens duomenis. Sąlygos keičiamos bendrosiose taisyklėse nustatyta tvarka; pakeitimai negali sumažinti BDAR nustatyto apsaugos lygio.