Duomenų tvarkymo sutartis

1. Dalykas ir vaidmenys

Ši DTS reglamentuoja asmens duomenų tvarkymą, kurį MAINSYSTEMS, LDA. („Duomenų tvarkytojas“) atlieka Kliento („Duomenų valdytojas“) vardu, susijusį su UNOVOX platforma, pagal Reglamento (ES) 2016/679 („BDAR“) 28 straipsnį. Klientas nustato savo bylų duomenų tvarkymo tikslus ir priemones; MAINSYSTEMS tvarko šiuos duomenis tik pagal Kliento dokumentuotus nurodymus, įskaitant platformoje atliktas konfigūracijas, nebent to reikalauja Sąjungos ar valstybės narės teisė; tokiu atveju ji informuoja Klientą prieš tvarkymą, nebent toks informavimas draudžiamas.

2. Tvarkymo aprašymas

• Dalykas: UNOVOX platformos talpinimas ir teikimas, įskaitant pranešimų portalą, bylų valdymą, komunikaciją, ataskaitas, techninę pagalbą ir, kai Klientas juos įjungia, DI agentus.
• Trukmė: prenumeratos laikotarpis ir 10 skyriuje nurodytas atkūrimo bei ištrynimo laikotarpis.
• Pobūdis ir tikslas: duomenų rinkimas, saugojimas, sisteminimas, peržiūra, atskleidimas Klientui ir ištrynimas, išimtinai siekiant valdyti Kliento pranešimų apie pažeidimus kanalą ir bylas.
• Duomenų subjektų kategorijos: informaciją apie pažeidimą pateikiantys asmenys ir pranešėjai, su pažeidimu susiję asmenys, liudytojai, pagalbininkai ir minėti tretieji asmenys; Kliento įgalioti naudotojai.
• Duomenų kategorijos: tapatybės ir kontaktiniai duomenys, profesinė informacija, pranešimo turinys, žinutės ir priedai, bylų valdymo įrašai; priklausomai nuo to, kas pateikiama, tarp jų gali būti BDAR 9 straipsnyje nurodytų kategorijų duomenų ir duomenų, susijusių su nusikalstamomis veikomis (BDAR 10 straipsnis).

3. Kliento nurodymai

MAINSYSTEMS nedelsdama informuoja Klientą, jeigu, jos nuomone, nurodymas pažeidžia BDAR ar kitas duomenų apsaugos nuostatas, ir gali sustabdyti to nurodymo vykdymą, kol jis bus patvirtintas ar pakeistas. Klientas garantuoja, kad jo nurodymai yra teisėti ir kad jis turi teisinį pagrindą jo nustatytam tvarkymui.

4. Konfidencialumas

MAINSYSTEMS užtikrina, kad asmenys, įgalioti tvarkyti asmens duomenis, būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma atitinkama teisės aktų nustatyta konfidencialumo pareiga, ir kad prieiga būtų ribojama tuo, kas griežtai būtina paslaugai teikti, apsaugoti ir palaikyti. Pranešimų apie pažeidimus kontekste konfidencialumas visu pirma apima informaciją apie pažeidimą pateikusio asmens ir pranešėjo tapatybę bei informaciją, iš kurios ją galima nustatyti, pagal Direktyvos (ES) 2019/1937 16 straipsnį ir Lietuvos Respublikos pranešėjų apsaugos įstatymo Nr. XIII-804 9 straipsnį, pagal kurį kiekviena įstaiga ir asmuo, gaunantis ar nagrinėjantis informaciją apie pažeidimą, privalo užtikrinti šį konfidencialumą, o tapatybę leidžiantys nustatyti duomenys gali būti pateikti tik informaciją nagrinėjančiam asmeniui ar institucijai.

5. Saugumo priemonės

MAINSYSTEMS taiko riziką atitinkančias technines ir organizacines priemones, kurių reikalauja BDAR 32 straipsnis, šioje versijoje įskaitant: prieigos kontrolę ir Kliento nustatytas rolėmis grindžiamas teises; autentifikavimą su šifruotu slaptažodžių saugojimu; prieigą prie platformos HTTPS ryšiu; loginį kiekvieno kliento aplinkos atskyrimą; pranešančių asmenų IP adresų nežurnalavimą pranešimų portale; veiklos žurnalus valdymo srityje; periodines atsargines kopijas; pažeidžiamumų valdymą ir incidentų valdymo procedūras. Atnaujintas priemonių aprašymas pateikiamas paprašius ir gali kisti, jeigu bendras apsaugos lygis reikšmingai nemažėja.

6. Pasitelkti duomenų tvarkytojai

Klientas suteikia bendrąjį leidimą pasitelkti duomenų tvarkytojus talpinimo ir infrastruktūros, komunikacijos, saugumo ir, kai įjungta, DI paslaugoms. MAINSYSTEMS tvarko atitinkamų pasitelktų tvarkytojų sąrašą, kurį Klientas gali gauti paprašęs, ir pagrįstai iš anksto informuoja Klientą apie bet kokį reikšmingą pakeitimą, suteikdama galimybę pareikšti motyvuotą prieštaravimą; nesuradus pagrįsto sprendimo, Klientas gali nutraukti paveiktą paslaugą. MAINSYSTEMS sutartimi nustato kiekvienam pasitelktam tvarkytojui duomenų apsaugos pareigas, lygiavertes nustatytosioms šioje DTS, ir lieka atsakinga Klientui už jų vykdymą.

7. Pagalba Klientui

Atsižvelgdama į tvarkymo pobūdį, MAINSYSTEMS, taikydama tinkamas technines ir organizacines priemones bei platformos funkcijas, teikia Klientui pagrįstą pagalbą: atsakyti į duomenų subjektų prašymus; vykdyti BDAR 32–36 straipsnių pareigas, įskaitant saugumą, pranešimą apie pažeidimus, poveikio vertinimus ir išankstines konsultacijas. Jeigu duomenų subjektas kreipiasi tiesiogiai į MAINSYSTEMS dėl Kliento vardu tvarkomų duomenų, MAINSYSTEMS nedelsdama persiunčia prašymą Klientui ir neatsako iš esmės be Kliento nurodymo, išskyrus atvejus, kai to reikalauja teisės aktai. Pagalba, viršijanti tai, kas pagrįsta pagal paslaugą, gali būti apmokestinama pagrįstais įkainiais.

8. Asmens duomenų saugumo pažeidimai

MAINSYSTEMS nedelsdama praneša Klientui sužinojusi apie asmens duomenų saugumo pažeidimą, susijusį su Kliento vardu tvarkomais duomenimis, pateikdama pagrįstai turimą informaciją apie pažeidimo pobūdį, duomenų subjektų ir įrašų kategorijas bei apytikslį skaičių, tikėtinas pasekmes ir priemones, kurių imtasi ar siūloma imtis, ir papildo informaciją jai atsiradus. Pranešimas priežiūros institucijai ir duomenų subjektams yra Kliento, kaip duomenų valdytojo, sprendimas ir atsakomybė; MAINSYSTEMS pagrįstai bendradarbiauja.

9. Tarptautiniai duomenų perdavimai

Duomenys tvarkomi Europos ekonominėje erdvėje. Bet koks perdavimas už EEE ribų vyksta tik esant galiojančiam BDAR V skyriaus mechanizmui (tinkamumo sprendimui, Europos Komisijos standartinėms sutarčių sąlygoms su papildomomis priemonėmis, kai tinkama, ar kitam teisiškai pripažintam instrumentui) ir atsispindi informacijoje apie pasitelktus tvarkytojus.

10. Grąžinimas ir ištrynimas

Pasibaigus paslaugai ir Klientui pasirinkus, MAINSYSTEMS grąžina asmens duomenis naudodama prieinamas eksporto funkcijas per 30 dienų atkūrimo laikotarpį, nebent Užsakyme nustatytas kitas terminas, ir tada ištrina esamus duomenis bei kopijas, išskyrus tiek, kiek jų saugojimo reikalauja Sąjungos ar valstybės narės teisė. Ištrynimas iš atsarginių kopijų vyksta saugiais rotacijos ciklais. Klientas atsako už tai, kad iki atkūrimo laikotarpio pabaigos būtų eksportuota informacija ir įrašai apie pažeidimus, kuriuos jis privalo saugoti pagal jam taikomus pranešėjų apsaugos teisės aktus. Lietuvoje Pranešėjų apsaugos įstatymo Nr. XIII-804 7 straipsnio 1 dalis nustato, kad informacija apie pažeidimus saugoma ne trumpiau kaip penkerius metus nuo paskutinio priimto sprendimo nagrinėjant šią informaciją, laikantis Įstatymo 9 straipsnyje nustatytų konfidencialumo reikalavimų, o šis terminas gali būti pratęstas motyvuotu kompetentingos institucijos nurodymu.

11. Informacija ir auditai

MAINSYSTEMS pateikia Klientui informaciją, būtiną atitikčiai BDAR 28 straipsniui įrodyti, įskaitant atsakymus į saugumo klausimynus ir taikomų priemonių dokumentaciją. Klientas gali atlikti arba pavesti konfidencialumo pareiga saistomam nepriklausomam auditoriui atlikti atitinkamų tvarkymo operacijų auditą, pagrįstai iš anksto įspėjęs, ne dažniau kaip kartą per metus, išskyrus atvejus, kai to reikalauja priežiūros institucija ar kai įvyko reikšmingas pažeidimas, darbo valandomis ir be prieigos prie kitų klientų duomenų. Audito išlaidas padengia Klientas.

12. Atsakomybė ir galiojimas

Šalių atsakomybė pagal šią DTS nustatoma pagal BDAR 82 straipsnį ir Paslaugų teikimo sąlygose nustatytus ribojimus tiek, kiek jie gali būti teisėtai taikomi. Ši DTS galioja tol, kol MAINSYSTEMS tvarko asmens duomenis Kliento vardu, ir asmens duomenų tvarkymo klausimais turi pirmenybę prieš prieštaraujančias Sąlygų nuostatas. Jai taikoma Portugalijos teisė.

13. Kontaktai

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Lisabona, Portugalija
Privatumas: dpo@mainsystems.pt
Bendrieji klausimai: info@mainsystems.pt
Telefonas: +351 211 245 202