„Formendi“ duomenų tvarkymo susitarimas

Versija: dpa-2026-10-09. Įsigaliojimo data: data, kai įgaliotas asmuo priima šį dokumentą.

1. Šalys, taikymo sritis ir pirmenybė

Šis Susitarimas yra „Formendi“ naudojimo sąlygų dalis tarp priėmimo įraše nurodyto kliento („Klientas“) ir Glavrio, UAB, juridinio asmens kodas 307648878, buveinė Lietuvos juridinių asmenų registre pagal kodą 307648878, Lietuva, Lietuva, kontaktas [email protected] („Formendi“).

Jis taikomas asmens duomenims, kuriuos „Formendi“ darbo erdvėje tvarko Kliento vardu („Kliento asmens duomenys“). Klientas yra duomenų valdytojas, „Formendi“ – tvarkytojas. Jei Klientas pats yra tvarkytojas, jis patvirtina turintis atitinkamo valdytojo įgaliojimą pasitelkti „Formendi“ kaip kitą duomenų tvarkytoją ir perduoti teisėtus nurodymus. Šiai grandinei nuostatos taikomos atitinkamai.

Savarankiška „Formendi“ valdytojo veikla, pavyzdžiui, paskyrų administravimas bei savi saugumo ir teisiniai įrašai, aprašyta Privatumo pranešime. Vaidmenis lemia tikroji veikla, ne vien šis pavadinimas. Dėl Kliento asmens duomenų šis Susitarimas turi pirmenybę prieš prieštaraujančias bendrąsias Sąlygas; privalomos perdavimo standartinės sutarčių sąlygos turi pirmenybę prieš abu dokumentus.

2. Nurodymai ir Kliento pareigos

Dalykas, pobūdis, tikslai, trukmė, duomenų ir žmonių kategorijos pateikti A priede. Sąlygos, šis Susitarimas, įjungti nustatymai ir autentifikuoti veiksmai sudaro dokumentuotus nurodymus. Papildomi nurodymai turi būti teisėti, atitikti sutartą paslaugą arba būti atskirai sutarti raštu.

„Formendi“ Kliento asmens duomenis tvarko tik pagal šiuos nurodymus, įskaitant perdavimą, išskyrus atvejus, kai kitaip reikalauja Sąjungos ar valstybės narės teisė. Kai teisė leidžia, apie tokį reikalavimą Klientui pranešama prieš tvarkymą. „Formendi“ nedelsdama informuoja, jei nurodymas, jos nuomone, pažeidžia duomenų apsaugos teisę, ir gali jį sustabdyti, kol klausimas išsprendžiamas.

Klientas nustato teisinį pagrindą, pateikia privalomą informaciją, mažina duomenų kiekį ir valdo naudotojus bei gavėjus. Jis neturi pateikti A priede draudžiamų kategorijų. Tai neatleidžia „Formendi“ nuo savų teisinių pareigų.

„Formendi“ neparduoda Kliento asmens duomenų, nenaudoja jų savo reklamai ar bendrosios paskirties DI modeliams mokyti.

3. Konfidencialumas ir saugumas

Prieiga suteikiama tik įgaliotiems asmenims, kuriems jos reikia ir kuriuos saisto konfidencialumas ar tinkama įstatyminė pareiga. „Formendi“ įgyvendina ir palaiko riziką atitinkančias BDAR 32 straipsnio priemones, įskaitant B priedo minimumą.

Priemones galima tobulinti reikšmingai nesumažinant bendros apsaugos. „Formendi“ pateikia pagrįstai reikalingą informaciją apie esminius pakeitimus, turinčius įtakos Kliento atitikčiai.

4. Kiti pasitelkti duomenų tvarkytojai

Klientas suteikia bendrą rašytinį leidimą pasitelkti dabartiniame paslaugų teikėjų sąraše nurodytus tvarkytojus jų nurodytiems tikslams. „Formendi“ nustato jiems iš esmės lygiavertes duomenų apsaugos pareigas ir lieka atsakinga Klientui už jų vykdymą pagal BDAR 28 straipsnio 4 dalį.

Apie numatomą papildymą ar pakeitimą „Formendi“ raštu praneša bent prieš 30 dienų, nurodydama paslaugą, vietą ir garantijas. Klientas gali per 14 dienų prieštarauti dėl pagrįstų duomenų apsaugos priežasčių. Šalys ieško praktinio sprendimo; nesusitarus atitinkamas tvarkymas nepradedamas, o bet kuri šalis gali nutraukti susijusią paslaugą, suteikdama eksporto ar grąžinimo galimybę. Tylėjimas neleidžia naujo savarankiško duomenų naudojimo.

Sąraše atskiriama teikėjų savarankiška valdytojo veikla; šis skyrius jos nepaverčia tvarkymu pagal Kliento nurodymus.

5. Pagalba ir prašymai

Atsižvelgdama į tvarkymą ir turimą informaciją, „Formendi“ tinkamomis techninėmis ir organizacinėmis priemonėmis padeda įgyvendinti susipažinimo, taisymo, ištrynimo, ribojimo, perkeliamumo ir nesutikimo teises. Prašymą dėl Kliento asmens duomenų ji perduoda nedelsdama ir be nurodymų neatsako iš esmės Kliento vardu, nebent to reikalauja teisė.

Taip pat padeda vykdyti saugumo, pranešimo apie pažeidimus, poveikio duomenų apsaugai vertinimo ir išankstinių konsultacijų su priežiūros institucijomis pareigas. Įprasta šiame Susitarime numatyta pagalba įskaičiuota į paslaugą. Išskirtinis mokestis turi būti pagrįstas ir suderintas iš anksto; jis negali užkirsti kelio privalomai pagalbai.

6. Asmens duomenų saugumo pažeidimai

Sužinojusi apie Kliento asmens duomenų saugumo pažeidimą, „Formendi“ praneša Klientui nepagrįstai nedelsdama ir siekia pateikti pradinį pranešimą per 24 valandas. Tyrimo pabaigos nelaukiama.

Pateikiami turimi faktai apie pažeidimą, paveiktas kategorijas ir apytikslius kiekius, tikėtinas pasekmes, suvaldymą, taisomąsias priemones ir kontaktą. Trūkstama informacija pateikiama etapais nepagrįstai nedelsiant. „Formendi“ tiria, saugo būtinus įrodymus, mažina žalą ir bendradarbiauja. Klientas sprendžia dėl savo, kaip valdytojo, pranešimų, nepanaikinant savarankiškų „Formendi“ teisinių pareigų.

7. Tarptautinis perdavimas

Be teisėtų nurodymų ir galiojančio BDAR V skyriaus mechanizmo „Formendi“ neperduoda Kliento asmens duomenų už EEE ribų. Vietos ir garantijos nurodomos teikėjų sąraše. Kai būtina, prieš perdavimą turi galioti tinkamos Komisijos perdavimo sąlygos, vertinimai ir papildomos priemonės.

Vien ES priegloba nereiškia, kad visas tinklo, pagalbos ar kitų tvarkytojų tvarkymas lieka EEE. Kliento pasirinktam išoriniam eksportui ar integracijai reikia teisėto atskleidimo ir aiškios išankstinės informacijos.

8. Grąžinimas ir ištrynimas

Paslaugos metu Klientas gali naudoti savininko leidžiamus eksporto būdus. Pasibaigus paslaugai jis gali rinktis grąžinimą palaikomu eksporto formatu ir paskesnį ištrynimą arba ištrynimą negrąžinant. Įprastas grąžinimas ir ištrynimas įskaičiuoti.

Prašomo perėjimo pas kitą teikėją atveju prieš prasidedant ištrynimo terminui taikomi Sąlygų 12 skyriaus pereinamasis ir saugus duomenų atsiėmimo laikotarpiai. Atsiėmimo prieiga ribojama įgaliotu eksportu; įprasta prieiga ir viešinimas baigiasi, kaip ten nurodyta. Privalomi perėjimo ir ištrynimo reikalavimai turi viršenybę prieš prieštaraujantį šio Susitarimo terminą.

Patvirtinus uždarymą, atšaukiama prieiga, viešinimas ir aktyvios prieigos nuorodos. Iš aktyvių sistemų duomenys pašalinami per 30 dienų arba anksčiau, kai reikalaujama. Ribotos prieigos atsarginės kopijos panaikinamos per dar 30 dienų; iki tol jos atskirtos nuo įprasto tvarkymo, o atkuriant ištrynimas pakartotinai pritaikomas prieš suteikiant prieigą.

Ilgiau saugomi tik teisiškai privalomi duomenys, ribojant prieigą ir naudojimą tuo reikalavimu; kai leidžiama, paaiškinamas pagrindas. Paprašius patvirtinamas atitinkamų ištrynimo veiksmų užbaigimas. Eksportas neatšaukia nepriklausomų gavėjų jau turimų kopijų.

9. Informacija, auditas ir atitiktis

„Formendi“ pateikia atitikčiai įrodyti būtiną informaciją ir sudaro sąlygas Kliento ar jo įgalioto nepriklausomo auditoriaus auditams, įskaitant patikrinimus, bei prie jų prisideda. Kai pakanka, pirmiausia gali būti naudojami dokumentai ar tinkamas nepriklausomas patvirtinimas, tačiau jie nepakeičia būtinos audito teisės.

Įprastam auditui taikomas pagrįstas išankstinis pranešimas, konfidencialumas ir kitų klientų apsauga. Dažnumas, apimtis ir išlaidos turi būti proporcingi. Tai neriboja priežiūros institucijos, skubaus incidento tyrimo ar privalomos įstatyminės prieigos.

10. Atsakomybė ir galiojimas

Kiekviena šalis atsako už jai taikomas pareigas. Sąlygų atsakomybės nuostatos taikomos tik teisėta apimtimi ir nepanaikina privalomos duomenų apsaugos atsakomybės, duomenų subjektų teisių ar įstatyminės „Formendi“ atsakomybės už kitus tvarkytojus. Susitarimas galioja iki duomenų grąžinimo ar ištrynimo ir bet kokio privalomo riboto saugojimo pabaigos.

A priedas. Tvarkymo aprašymas

• Dalykas: profesinės projektų valdymo darbo erdvės priegloba.
• Pobūdis ir veiksmai: rinkimas pagal nurodymus, sisteminimas, saugojimas, paieška, skaičiavimai, ataskaitos, prieigos teisėmis grindžiamas atskleidimas, Kliento pasirinktas viešinimas ar eksportas ir ištrynimas.
• Tikslai: biudžetai, išlaidos ir užsakymai, grafikai, klientų bei tiekėjų valdymas, klausimynai, bendradarbiavimas, žinutės ir Kliento pasirinktos ataskaitos ar viešinimas.
• Trukmė: paslaugos santykiai ir 8 skyriuje nustatytas ribotas grąžinimo, ištrynimo bei kopijų laikotarpis.
• Žmonės: Kliento darbuotojai ir bendradarbiai, esami ir galimi klientai, tiekėjai bei rangovai ir jų atstovai, klausimynų respondentai ir žinučių gavėjai.
• Duomenys: vardai, veiklos ir kontaktiniai duomenys, įvestos projektų vietos ir identifikatoriai, su žmonėmis susijusios biudžeto, sąskaitų ir mokėjimų nuorodos bei sumos, užduočių datos, susirašinėjimas, profesiniai pasirinkimai ir svarbios projekto pastabos.
• Neleidžiama: BDAR 9 straipsnio specialių kategorijų duomenys, 10 straipsnio duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, tapatybės dokumentų kopijos, kitų paslaugų slaptažodžiai ir visi mokėjimo kortelės duomenys. Nebūtini duomenys apie vaikus ir namų ūkį neįvedami.
• Valdytojas ir kontaktas: priimant užfiksuotas Klientas ir įgaliotas atstovas; atnaujinama autentifikuotai administruojant paskyrą. Tvarkytoju veikiantis Klientas, kai būtina atitikčiai, paprašius nurodo atitinkamą valdytoją.
• Kiti tvarkytojai, vietos ir perdavimo mechanizmai: dabartinė teikėjų sąrašo versija, taikoma jos nurodytoms paslaugoms.

B priedas. Minimalios saugumo priemonės

„Formendi“ palaiko:

1. Rizika grindžiamą prieigos kontrolę, mažiausias būtinas teises, asmeninį autentifikuotą prisijungimą, projektų ir darbo erdvių teisių tikrinimą bei greitą atšaukimą.
2. Darbuotojų konfidencialumo pareigas ir dokumentuotą ribotą pagalbos bei administravimo prieigą.
3. Šifruotą perdavimą tinkle su patikrintu TLS iki pradinio serverio, saugius seansus, CSRF ir kilmės apsaugą bei įvesties ir išvesties saugumą.
4. Saugomų duomenų apsaugą ir šifruotas atsargines kopijas, kontroliuojamus raktus bei prieigą; tikrieji paslaugos duomenys nenaudojami viešame kode, žurnaluose ar testų duomenyse.
5. Atkuriamas kopijas, periodinius atkūrimo patikrinimus, terminais grindžiamą panaikinimą ir ištrynimo nurodymų pakartotinį pritaikymą atkūrus.
6. Spragų ir atnaujinimų valdymą, tik būtinų duomenų žurnalus bei incidentų aptikimą ir eskalavimą.
7. Reagavimą į pažeidimus ir pagalbą dėl teisių, poveikio vertinimų bei būtinų konsultacijų su institucijomis.
8. Tvarkymo ir kitų tvarkytojų apskaitą, perdavimo kontrolę, dokumentuotus saugojimo terminus bei periodinę priemonių peržiūrą.

Priemonės skirtos konfidencialumui, vientisumui, prieinamumui ir atsparumui. Šis priedas nėra sertifikatas, ištisinio šifravimo ar naudotojo paskyros MFA pažadas, jei tokia funkcija aiškiai nesiūloma.