Duomenų tvarkymo sutartis

Ši Duomenų tvarkymo sutartis (toliau - „DTS“) sudaroma tarp kliento, besinaudojančio statycs paslaugomis pagal galiojančią paslaugų sutartį (toliau - „Valdytojas“), ir statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viena, Austrija (toliau - „Tvarkytojas“).

Ši DTS reglamentuoja asmens duomenų tvarkymą, kurį statycs atlieka Valdytojo vardu, susijusį su statycs SaaS platforma, skirta finansiniam planavimui ir analizei. Ji įsigalioja, kai Valdytojas priima Taisykles ir sąlygas arba kitaip sudaro paslaugų sutartį su statycs, ir galioja tol, kol statycs tvarko asmens duomenis Valdytojo vardu. Jei kyla prieštaravimas tarp šios DTS ir kitų sutartinių nuostatų, duomenų apsaugos klausimais vyrauja ši DTS.

Tvarkymo dalykas. Asmens duomenų tvarkymas, būtinas, kad statycs galėtų teikti Valdytojui savo finansinio planavimo ir analizės platformą.

Tvarkymo trukmė. Pagrindinės paslaugų sutarties galiojimo laikotarpiu, įskaitant bet kokį veiklos užbaigimo ir ištrynimo laikotarpį pagal toliau esantį §11.

statycs tvarko asmens duomenis, kad suteiktų Valdytojui savo finansinio planavimo ir analizės platformą. Tvarkymas apima duomenų rinkimą, saugojimą, organizavimą, struktūrizavimą, gavimą, susipažinimą, naudojimą ir ištrynimą tiek, kiek būtina paslaugai teikti.

Tvarkymas atliekamas išimtinai remiantis dokumentais įformintais Valdytojo nurodymais. statycs netvarkys asmens duomenų jokiu kitu tikslu, išskyrus sutartos paslaugos teikimą, nebent to reikalautų ES ar Austrijos teisė. Tokiu atveju statycs informuos Valdytoją apie teisinį reikalavimą prieš tvarkymą, nebent teisė draustų tokį informavimą.

Asmens duomenų kategorijos. Gali būti tvarkomi šie asmens duomenų tipai: vardai, el. pašto adresai, telefono numeriai, pareigos, priklausomybė įmonei, IP adresai, naršyklės ir įrenginio duomenys bei bet kokie kiti asmens duomenys, kuriuos Valdytojas įveda į platformą. Į platformą įkelti finansiniai duomenys - pavyzdžiui, apskaitos įrašai, ataskaitos ir planai - gali turėti asmens duomenų tiek, kiek Valdytojas juos įtraukia.

Duomenų subjektų kategorijos. Duomenų subjektai gali būti Valdytojo darbuotojai, rangovai, klientai, tiekėjai, investuotojai ir bet kokie kiti fiziniai asmenys, kurių asmens duomenis Valdytojas tvarko per platformą.

Valdytojas yra duomenų valdytojas pagal GDPR ir yra vienintelis atsakingas už asmens duomenų tvarkymo teisėtumo užtikrinimą, įskaitant galiojančio teisinio pagrindo turėjimą tiek pačiam tvarkymui, tiek duomenų perdavimui statycs.

Valdytojas atsako už statycs pateiktų asmens duomenų tikslumą, kokybę ir teisėtumą bei už visų taikomų duomenų apsaugos teisės aktų laikymąsi, įskaitant duomenų subjektų informavimą apie jų duomenų tvarkymą.

statycs įsipareigoja:

• Tvarkyti asmens duomenis tik pagal dokumentais įformintus Valdytojo nurodymus, nebent to kitaip reikalautų teisė
• Užtikrinti, kad visi asmenys, įgalioti tvarkyti asmens duomenis, būtų įsipareigoję raštišką konfidencialumo prievolę
• Įgyvendinti tinkamas technines ir organizacines priemones, užtikrinančias rizikai tinkamą saugumo lygį
• Padėti Valdytojui atsakyti į duomenų subjektų prašymus pagal GDPR 15-22 straipsnius
• Padėti Valdytojui laikytis GDPR 32-34 straipsnių, atlikti poveikio duomenų apsaugai vertinimus ir išankstines konsultacijas su priežiūros institucijomis, atsižvelgiant į tvarkymo pobūdį ir statycs turimą informaciją
• Nepagrįstai nedelsdama pranešti Valdytojui sužinojus apie asmens duomenų saugumo pažeidimą
• Nutraukus paslaugų sutartį ištrinti arba grąžinti Valdytojui visus asmens duomenis, nebent saugojimo reikalautų teisė
• Nedelsdama informuoti Valdytoją, jei, statycs nuomone, nurodymas pažeidžia GDPR ar kitą taikomą duomenų apsaugos teisę

statycs vykdo audito prievoles pagal GDPR 28 str. 3 d. h p. pateikdama, gavus pagrįstą raštišką prašymą ir ne dažniau kaip kartą per dvylika mėnesių, savo dabartinę saugumo suvestinę, subtvarkytojų sąrašą ir raštiškus atsakymus į pagrįstą Valdytojo klausimyną. Be to, Valdytojas - arba nepriklausomas jo įgaliotas auditorius, saistomas konfidencialumo prievolės - gali atlikti auditą vietoje ne dažniau kaip kartą per dvidešimt keturis mėnesius arba bet kuriuo metu gavus priežiūros institucijos įgaliojimą ar pagrįstą įtarimą dėl pažeidimo. Auditai vietoje atliekami Valdytojo lėšomis, prieš trisdešimt dienų raštu pranešus, darbo valandomis, iš anksto raštu suderinus apimtį, laiką ir konfidencialumą.

statycs pasitelkia šiuos subtvarkytojus paslaugai teikti:

• Google Analytics (Google LLC, JAV) - analitika
• PostHog (PostHog Inc., JAV; PostHog Cloud EU talpinama Vokietijoje) - produkto analitika
• Hanko (Hanko GmbH, Vokietija) - autentifikavimas
• Zero (Zero Inc., Suomija) - CRM
• Hetzner (Hetzner Online GmbH, Vokietija) - talpinimas
• Chatwoot (Chatwoot Inc., JAV) - tiesioginis pokalbis svetainės lankytojams, ne programos naudotojams

statycs užtikrina, kad visi subtvarkytojai būtų saistomi raštiškų sutarčių, nustatančių lygiavertes duomenų apsaugos prievoles. Valdytojas bus informuotas apie bet kokius numatomus subtvarkytojų pakeitimus ne vėliau kaip prieš trisdešimt dienų. Valdytojas gali dėl pagrįstų priežasčių prieštarauti naujam subtvarkytojui per keturiolika dienų nuo pranešimo. Jei prieštaravimo negalima išspręsti, Valdytojas gali nutraukti sutartį nuo dienos, kurią įsigalioja subtvarkytojo pakeitimas, o statycs proporcingai grąžins iš anksto sumokėtus mokesčius už nepanaudotą laikotarpio dalį.

statycs saugo ir tvarko klientų duomenis Europos Sąjungoje ir Europos ekonominėje erdvėje. Kai duomenis būtina perduoti už ES ar EEE ribų esantiems subtvarkytojams - visų pirma Jungtinėse Valstijose - statycs užtikrina, kad būtų taikomos tinkamos apsaugos priemonės pagal GDPR V skyrių.

Šios apsaugos priemonės apima Europos Komisijos priimtas ES standartines sutarčių sąlygas ir, kai taikytina, tinkamumo sprendimus. statycs reguliariai vertina gaunančiųjų šalių teisinę sistemą, kad užtikrintų nuolatinį atitikimą. Apsaugos priemonių kopiją galima gauti pateikus prašymą adresu [email protected].

statycs įgyvendina tinkamas technines ir organizacines priemones asmens duomenims apsaugoti, įskaitant:

• Perduodamų (TLS) ir saugomų duomenų šifravimą
• Vaidmenimis grįstą prieigos kontrolę, laikantis mažiausių privilegijų principo
• Kelių veiksnių autentifikavimą vidinėms sistemoms
• Periodines saugumo peržiūras, atitinkančias tvarkymo pobūdį ir mastą, įskaitant trečiųjų šalių testavimą kartkartėmis
• Automatizuotas duomenų atsargines kopijas ir avarijų atkūrimo procedūras
• Prieigos prie asmens duomenų registravimą ir stebėseną
• Saugumo sąmoningumo mokymus darbuotojams

Dabartinį techninių ir organizacinių priemonių aprašymą galima gauti pateikus prašymą adresu [email protected].

statycs nepagrįstai nedelsdama praneš Valdytojui sužinojusi apie asmens duomenų saugumo pažeidimą, kuris gali kelti riziką duomenų subjektų teisėms ir laisvėms.

Pranešime, tiek, kiek žinoma, bus nurodyta: pažeidimo pobūdis, paveiktų duomenų subjektų kategorijos ir apytikslis skaičius, tikėtinos pasekmės, priemonės, kurių imtasi ar siūloma imtis pažeidimui pašalinti ir jo poveikiui sumažinti, bei kontaktinis punktas ([email protected]), iš kurio Valdytojas gali gauti papildomos informacijos.

statycs bendradarbiaus su Valdytoju ir imsis pagrįstų veiksmų padėdama tirti, sustabdyti ir šalinti pažeidimą.

Atsakomybę už duomenų tvarkymą pagal šią DTS reglamentuoja pagrindinės paslaugų sutarties Taisyklės ir sąlygos. Jokia šios DTS nuostata nekeičia ir neišplečia tarp šalių sutartų atsakomybės nuostatų.

Kiekviena šalis atsako už žalą, padarytą tvarkymu, pažeidžiančiu GDPR, pagal GDPR 82 straipsnį. statycs atsako tik už žalą, padarytą tvarkymu, kuris neatitinka GDPR tvarkytojams konkrečiai nustatytų prievolių arba teisėtų Valdytojo nurodymų.

Ši DTS nutrūksta automatiškai, nutraukus pagrindinę paslaugų sutartį tarp Valdytojo ir statycs.

Nutraukus sutartį, Valdytojo vardu tvarkomi asmens duomenys saugomi 30 dienų, o po to negrįžtamai ištrinami, nebent Valdytojas per šį laikotarpį paprašo grąžinti duomenis susistemintu, plačiai naudojamu formatu. statycs gali saugoti asmens duomenis ilgiau nei šis laikotarpis tik tada, kai to reikalauja ES ar Austrijos teisė, ir informuos Valdytoją apie bet kokį tokį reikalavimą.

Šią DTS reglamentuoja Austrijos teisė. Išimtinė jurisdikcijos vieta yra kompetentingas teismas Vienoje.