Duomenų tvarkymo sutartis

Ši duomenų tvarkymo sutartis („DPA“) sudaroma tarp kliento – CueLoad naudojančios įmonės (duomenų valdytojo) – ir MB AE Motors, įmonės kodas 307601914, PVM mokėtojo kodas LT100020138218, buveinės adresas Svirbygalos g. 13A-9, LT-46280 Kaunas, Lietuva (duomenų tvarkytojo, „mes“).

Ji yra Naudojimo taisyklių dalis. Įmonės vardu ją priima savininkas, kurdamas įmonę CueLoad arba programėlei paprašius sutikti su nauja versija. Atskiro parašo nereikia. Jei ši DPA ir Taisyklės asmens duomenų klausimu skiriasi, taikoma ši DPA.

• Dalykas: asmens duomenys, esantys duomenyse, kuriuos klientas ir jo komandos nariai įveda į CueLoad („Kliento duomenys“).
• Trukmė: kol klientas naudojasi CueLoad, o vėliau – kol duomenys grąžinami arba ištrinami (11 skyrius).
• Pobūdis: Kliento duomenų saugojimas, tvarkymas, rodymas, atnaujinimas realiu laiku, pranešimų siuntimas, PDF dokumentų kūrimas, atsarginių kopijų darymas ir ištrynimas.
• Tikslas: Paslaugos teikimas – įranga ir sandėlis, projektų įrangos sąrašai ir prieinamumas, krovimas ir grąžinimas, pasiūlymai, komandos rolės, komandos atlygis ir išlaidos, pranešimai ir kalendoriaus nuorodos.

Duomenų subjektai: kliento komandos nariai ir pakviesti asmenys; kliento klientai ir jų kontaktiniai asmenys; įrangos tiekėjų kontaktiniai asmenys; kiti asmenys, kurių duomenis klientas įveda, pvz. pastabose, nuotraukose ar dokumentuose.

Duomenų kategorijos:

• vardai, el. pašto adresai, telefono numeriai ir rolės;
• darbo duomenys: priskyrimai projektams, pareigos, grafikai, kas ką ir kada pakrovė, grąžino ar pakeitė;
• komandos atlygis: valandos, tarifai, sumos, išmokos, išlaidos, transporto priemonės ir čekių nuotraukos ar PDF;
• klientų ir tiekėjų pavadinimai ir kontaktai, renginių vietos ir adresai, pastabos;
• nuotraukos, logotipai, blankai ir dokumentai;
• push pranešimų įrenginiai (push adresas, raktai, naršyklės tipas) ir asmeniniai nustatymai.

CueLoad nėra skirtas specialių kategorijų duomenims (pvz. sveikatos). Klientas neturėtų jų įvesti į CueLoad.

Kliento duomenis tvarkome tik pagal dokumentais įformintus kliento nurodymus. Nurodymai – tai Taisyklės, ši DPA ir tai, kaip klientas ir jo komandos nariai naudojasi Paslauga. Kliento duomenų nenaudojame savo tikslams, neparduodame ir nenaudojame reklamai. Jei įstatymai įpareigoja tvarkyti kitaip, pirmiausia apie tai pranešame klientui, nebent įstatymai tai draudžia. Jei manome, kad nurodymas pažeidžia duomenų apsaugos teisę, pranešame klientui.

• turėti teisinį pagrindą asmens duomenims, kuriuos įveda į CueLoad, ir informuoti susijusius asmenis, pvz. savo komandą apie atlygio įrašus;
• spręsti, kas gauna prieigą ir su kokia role, ir panaikinti nebereikalingą prieigą;
• atsakyti į duomenų subjektų prašymus dėl Kliento duomenų (mes padedame – 9 skyrius).

Prieigą prie Kliento duomenų turi tik CueLoad mūsų vardu prižiūrintys žmonės, tik kai to reikia Paslaugai, ir jie privalo laikytis konfidencialumo.

Taikome šias technines ir organizacines priemones (BDAR 32 str.):

• Įmonių atskyrimas: eilučių lygio apsauga duomenų bazėje – kiekviena lentelė su įmonės duomenimis žino įmonę, o žmogus gali skaityti ir keisti tik tų įmonių, kurioms priklauso, duomenis ir tik pagal savo rolę. Šias taisykles užtikrina pati duomenų bazė, ne tik programėlė, ir jas tikrina automatiniai testai.
• Išimtis – įrangos nuotraukos: jos saugomos ilgais atsitiktiniais adresais, kurie atsidaro ir neprisijungus, kad sąrašai ir PDF telefone krautųsi greitai. Nuotraukos adresą turintis asmuo gali ją atidaryti. Kaip įrangos nuotraukų nekelkite žmonių nuotraukų ar privačios informacijos.
• Prieiga pagal roles: savininkas, administratorius, planuotojas, sandėlininkas ir komandos narys turi skirtingas teises; komandos narys mato tik tai, ko jam reikia.
• Šifravimas perdavimo metu: visi ryšiai naudoja HTTPS.
• Šifravimas saugojimo metu: saugomus duomenis ir failus šifruoja mūsų talpinimo tiekėjai.
• Slapti raktai: duomenų bazės ir mokėjimų raktai laikomi tik serveryje, niekada ne naršyklėje veikiančioje programėlėje.
• Žetonai: kvietimų ir kalendoriaus nuorodos saugomos tik maišos pavidalu; push pranešimų turinys šifruojamas nuo siuntėjo iki gavėjo.
• Neperrašoma istorija: įrangos judėjimai ir atlygio pakeitimai tik papildomi.
• Atsarginės kopijos: pilna duomenų bazės ir saugomų failų kopija prieš kiekvieną duomenų bazės struktūros pakeitimą.
• Testai atskirai nuo tikrų duomenų: kūrimas ir testai vyksta atskiroje duomenų bazėje su išgalvotais duomenimis.
• Ribota prieiga prie produkcijos: produkcijos duomenų bazę keisti gali tik CueLoad prižiūrintys žmonės.

Šias priemones galime tobulinti, bet bendro jų lygio nemažinsime.

Klientas suteikia bendrą leidimą pasitelkti puslapyje Subtvarkytojai nurodytus subtvarkytojus.

• Ne vėliau kaip prieš 30 dienų iki naujo subtvarkytojo pridėjimo ar pakeitimo pranešame savininkams el. paštu ir atnaujiname tą puslapį.
• Per tą laiką klientas gali pateikti pagrįstų duomenų apsaugos prieštaravimų parašęs info@cueload.com. Jei kartu sprendimo nerandame, klientas gali nutraukti sutartį iki pakeitimo be jokių sankcijų.
• Kiekvienas subtvarkytojas saisto rašytinė sutartis su duomenų apsaugos įsipareigojimais, ne mažiau griežtais nei šioje DPA. Už jų darbą klientui atsakome mes.
• Asmens duomenys už Europos ekonominės erdvės perduodami tik su BDAR reikalaujamomis apsaugos priemonėmis – sprendimu dėl tinkamumo (pvz. ES ir JAV duomenų privatumo sistema) arba ES standartinėmis sutarčių sąlygomis.

Jei dėl Kliento duomenų į mus kreipiasi asmuo, prašymą perduodame klientui ir patys neatsakome, nebent klientas to paprašo. Kiek pagrįstai galime, padedame klientui atsakyti į prašymus, užtikrinti duomenų saugumą, valdyti pažeidimus, atlikti poveikio duomenų apsaugai vertinimus ir išankstines konsultacijas su priežiūros institucija (BDAR 32–36 str.).

Sužinoję apie asmens duomenų saugumo pažeidimą, susijusį su Kliento duomenimis, be nepagrįsto delsimo pranešame savininkui el. paštu. Aprašome, kas įvyko, kokie duomenys ir asmenys tikėtinai paveikti, galimas pasekmes, ką padarėme ir ką rekomenduojame. Papildomą informaciją pateikiame jai paaiškėjus ir padedame klientui įvykdyti jo paties pranešimo pareigas.

Klientui nustojus naudotis CueLoad, savininkas gali parašyti info@cueload.com ir paprašyti įmonės duomenų kopijos įprastu kompiuterio skaitomu formatu bei jų ištrynimo. Kliento duomenis ištriname arba negrįžtamai nuasmeniname per 30 dienų nuo prašymo, išskyrus tai, ką saugoti reikalauja įstatymai. Duomenys gali likti atsarginėse kopijose, kol tos kopijos ištrinamos.

Paprašius pateikiame klientui informaciją, reikalingą parodyti, kad laikomės šios DPA. Jei to nepakanka, klientas ar jo pasirinktas konfidencialumo įsipareigojęs auditorius gali atlikti auditą, pranešęs ne vėliau kaip prieš 30 dienų, ne dažniau kaip kartą per metus (dažniau – po pažeidimo arba priežiūros institucijai paprašius), kliento sąskaita. Mūsų subtvarkytojų auditai atliekami remiantis jų pačių ataskaitomis ir sertifikatais.

Atsakomybei pagal šią DPA taikomos Naudojimo taisyklės, kiek leidžia BDAR. Šiai DPA taikoma Lietuvos Respublikos teisė.