Duomenų tvarkymo sutartis

Ši Duomenų tvarkymo sutartis paskutinį kartą buvo atnaujinta ir įsigalioja nuo 2022 m. sausio 1 d.

Šią Duomenų tvarkymo sutartį pasirašė Paslaugų teikėjas ir Klientas, ji yra įtraukta į Paslaugų teikimo sąlygas ir jai taikomos Paslaugų teikimo sąlygos.

1. Apibrėžimai

1.1 Išskyrus, kai kontekstas aiškiai reikalauja kitaip, šie terminai iš didžiųjų raidžių šioje Duomenų tvarkymo sutartyje turės šias reikšmes:

1.2. Aukščiau neapibrėžti terminai iš didžiųjų raidžių turės tokią pačią reikšmę, kuri apibrėžta Paslaugų teikimo sąlygose, išskyrus, kai kontekstas aiškiai reikalauja kitaip.

2. Tikslas ir apimtis

2.1. „Dokobit“ teikia Paslaugas Klientui remiantis Paslaugų teikimo sąlygomis. Teikdamas Paslaugas, „Dokobit“ tvarko Kliento duomenis Kliento vardu. Kliento duomenys gali apimti asmens duomenis. Todėl Klientas yra:

(i) Duomenų valdytojas Kliento duomenų atžvilgiu; arba 

(ii) Duomenų tvarkytojas, kai Klientas tvarko asmens duomenis trečiojo asmens vardu. Šios Duomenų tvarkymo sutarties ir Paslaugų teikimo sąlygų tikslais „Dokobit“ yra duomenų tvarkytojas. Duomenų tvarkytojas tvarkys ir saugos šiuos Asmens duomenis, remdamasis šios Duomenų tvarkymo sutarties ir Paslaugų teikimo sąlygų nuostatomis.

2.2. Ši Duomenų tvarkymo sutartis taikoma tik Kliento duomenų tvarkymui, kai „Dokobit“ tvarko šiuos duomenis Kliento vardu ir pagal jo nurodymus bei teikiant Paslaugas. Tokiais atvejais, kai „Dokobit“ tvarko Kliento duomenis kaip duomenų valdytojas, o ne Kliento vardu arba pagal jo nurodymus, ši Duomenų tvarkymo sutartis netaikoma; vietoje jos taikoma Privatumo politika ir kiti „Dokobit“ dokumentai.

3. Duomenų tvarkymo sąlygos

3.1. „Dokobit“ tvarko Kliento duomenis, kad galėtų teikti Paslaugas.

3.2. „Dokobit“ tvarko tokių duomenų subjektų kategorijų asmens duomenis, kuriuos Klientas įkelia arba pateikia naudodamasis Paslaugomis. Šie duomenys gali apimti, bet tuo neapsiribojant, vardą, pavardę, organizaciją, pareigybes, gimimo datą, asmens kodą, telefono numerį ir t.t. Prašome atkreipti dėmesį, kad tai yra nebaigtinis sąrašas ir kiekvienu atveju gali kisti, įskaitant, bet tuo neapsiribojant, priklausomai nuo Kliento duomenų, kuriuos Klientas (arba trečiasis asmuo, kai Klientas veikia kaip duomenų tvarkytojas) pateikia „Dokobit“, naudojantis Paslaugomis, pobūdžio ir turinio.

3.3. „Dokobit“ tvarko Kliento duomenis nuo tada, kai Klientas įkelia arba pateikia juos naudodamasis Paslaugomis iki Klientas pašalins duomenis, bet ne ilgiau nei nurodyta Duomenų tvarkymo sutarties 13 straipsnio 2 dalyje.

3.4 „Dokobit“ užtikrina, kad Kliento duomenys būtų tvarkomi Europos ekonominėje erdvėje ir nepasitelks Pagalbinių tvarkytojų, veikiančių už Europos ekonominės erdvės ribų.

4. Kliento duomenų konfidencialumas

4.1. „Dokobit“ naudoja Kliento duomenis tik Paslaugų teikimui ir savo teisių įgyvendinimui pagal Paslaugų teikimo sąlygas. Išskyrus atvejus, kai įstatymai numato kitaip, „Dokobit“ neatskleidžia Kliento duomenų tretiesiems asmenims.

4.2. „Dokobit“ užtikrina, kad teisė naudoti Kliento duomenis būtų suteikta tik tiems „Dokobit“ darbuotojams arba tiekėjams, kuriems šie duomenys yra reikalingi vykdyti darbo funkcijas arba teikti paslaugas „Dokobit“.

4.3. „Dokobit“ užtikrina, kad „Dokobit“ darbuotojai arba tiekėjai, tvarkantys Kliento duomenis, laikytųsi šios Duomenų tvarkymo sutarties ir įsipareigotų laikytis konfidencialumo sąlygos arba jiems būtų taikomas atitinkamas įstatymuose nustatytas konfidencialumo įsipareigojimas.

4.4. Jeigu, remiantis įstatymų reikalavimais, „Dokobit“ privalo atskleisti Kliento duomenis tretiesiems asmenims (pavyzdžiui, teisėsaugos institucijoms), „Dokobit“ nedelsiant informuoja Klientą apie reikalavimus atskleisti Kliento duomenis, išskyrus kai įstatymai reikalauja kitaip.

4.5. Šie konfidencialumo įsipareigojimai lieka galioti neribotą laiką ir pasibaigus šiai Duomenų tvarkymo sutarčiai.

5. Kliento Dokumentais įformintos instrukcijos

5.1. „Dokobit“ tvarko Kliento duomenis tik remdamasis Kliento Dokumentais įformintomis instrukcijomis. Klientas užtikrina, kad yra atitinkamas teisinis pagrindas „Dokobit“ vykdomam Kliento duomenų tvarkymui. „Dokobit“ taip pat laikosi įsipareigojimų, BDAR arba kituose teisės aktuose nustatytų Duomenų tvarkytojams.

5.2. Papildomoms Kliento instrukcijoms, nepatenkančioms į Dokumentais įformintų instrukcijų apimtį (jeigu tokios yra), reikalingas išankstinis raštiškas susitarimas tarp Šalių, įskaitant susitarimą dėl bet kurių papildomų Kliento „Dokobit“ mokėtinų sumų už šių instrukcijų vykdymą, įskaitant, bet tuo neapsiribojant:

(i) pagalbą dėl Duomenų valdytojo įsipareigojimo atsakyti į duomenų subjektų prašymus;

(ii) bet kurių papildomų techninių ir organizacinių priemonių, nenumatytų šioje Duomenų tvarkymo sutartyje, įgyvendinimą;

(iii) pagalbą dėl Duomenų valdytojo įsipareigojimo vykdyti poveikio duomenų apsaugai vertinimą ir/arba išankstines konsultacijos su priežiūros institucija. 

5.3. „Dokobit“ nedelsiant informuoja Klientą, jeigu Kliento instrukcijos prieštarauja BDAR arba kitiems taikomiems teisės aktams, reglamentuojantiems asmens duomenų apsaugą. Ši sąlyga jokiu būdu neįpareigoja „Dokobit“ tikrinti Kliento duomenis ir/arba imtis papildomų veiksmų ir/arba rinkti papildomą informaciją, kad būtų galima įvertinti Kliento nurodymų teisėtumą.

6. Techninės ir organizacinės priemonės

6.1. Tvarkydamas Kliento duomenis, „Dokobit“ įgyvendina tinkamas technines ir organizacines priemones, kad apsaugotų Kliento duomenis. „Dokobit“ pasirenka technines ir organizacines priemones, atsižvelgdamas į techninių galimybių plėtros lygį, įgyvendinimo sąnaudas ir duomenų tvarkymo pobūdį, apimtį, kontekstą ir tikslą, bei įvairios tikimybės ir rimtumo riziką fizinių asmenų teisių ir laisvių, susijusių su duomenų tvarkymu, atžvilgiu. 

6.2. „Dokobit“ taip pat įdiegė informacijos saugumo valdymo sistemą pagal tarptautinį saugumo standartą ISO/IEC 27001, kurią patvirtino akredituotas auditorius. Informacijos saugumo valdymo sistema numato daugybę saugumo priemonių, įskaitant, bet neapsiribojant:

(i) pseudonimų suteikimą asmens duomenims ir asmens duomenų šifravimą;

(ii) priemones užtikrinti duomenų tvarkymo sistemų ir paslaugų nuolatinį konfidencialumą, vientisumą, prieinamumą ir atsparumą;

(iii) priemones užtikrinti asmens duomenų prieinamumo ir naudojimosi jais atstatymą laiku fizinio arba techninio įvykio atveju;

(iv) priemones apsaugoti prieigą (įskaitant nuotolinę prieigą) prie asmens duomenų;

(v) priemones patalpų, kuriose asmens duomenys yra tvarkomi ir saugomi, fizinei apsaugai;

(vi) priemones saugiam darbui per atstumą iš namų. Šių saugumo priemonių veiksmingumas vertinamas bent kartą per metus.

6.3. Šalys patvirtina, kad saugumo priemonės nurodytos 6.2. punkte, laikomos tinkamomis ir maksimaliomis techninėmis bei organizacinėmis priemonėmis, būtinomis siekti 6.1 punkte nustatytų tikslų. „Dokobit“ įsipareigoja vykdyti šių arba analogiškų saugumo standartų reikalavimus viso šios Duomenų tvarkymo sutarties galiojimo laikotarpiu. Šalys susitaria, kad „Dokobit“ įgyvendino technines ir organizacines priemones, kurios yra tinkamos Kliento duomenų tvarkymui pagal šią Duomenų tvarkymo sutartį, ir „Dokobit“ nėra įpareigotas atsižvelgti į bet kurias nepagrįstas papildomas Kliento instrukcijas dėl techninių ir organizacinių priemonių.

7. Bendradarbiavimas

7.1 Atsižvelgiant į teikiamų Paslaugų pobūdį ir duomenų tvarkymą bei turimą informaciją, „Dokobit“ bendradarbiauja su Klientu užtikrinant įsipareigojimų, numatytų BDAR 32–36 straipsniuose, vykdymą. Šiuo tikslu ir tik tokia apimtimi, kuri nurodyta Duomenų tvarkymo sutartyje, „Dokobit“ teikia reikiamą informaciją Klientui, kuri yra būtina tinkamam Kliento įsipareigojimų pagal BDAR vykdymui.

8. Duomenų tvarkymo auditas

8.1. Kad patikrintų, ar „Dokobit“ tinkamai tvarko Kliento duomenis, Klientas turi teisę atlikti šio duomenų tvarkymo patikrinimus, remiantis 8 straipsnyje nustatyta tvarka.

8.2. „Dokobit“ tikrins ne rečiau kaip kartą per kalendorinius metus savo iniciatyva ir sąskaita, ar atitinkamos techninės ir organizacinės priemonės atitinka duomenų tvarkymo pobūdį, apimtį, kontekstą ir tikslus, o taip pat riziką, susijusią su duomenų tvarkymu, fizinių asmenų teisių ir laisvių atžvilgiu. „Dokobit“ pasitelkia šiam tikrinimui nepriklausomą auditorių, nurodydamas jam parengti tikrinimo ataskaitą (toliau – Ataskaita).

8.3. Kliento prašymu ir remiantis papildomu Šalių susitarimu dėl konfidencialios informacijos apsaugos, „Dokobit“ teiks Ataskaitą Klientui. „Dokobit“ įvykdžius šį įsipareigojimą, bus laikoma, kad Klientas įgyvendino savo teisę, numatytą šios Duomenų tvarkymo sutartis 8.1 punkte ir BDAR 28 straipsnio 3 dalies h punkte.

8.4. Remiantis taikomais įstatymais, „Dokobit“ gali būti įpareigota pateikti informaciją, susijusią su šia Duomenų tvarkymo sutartimi, kompetentingoms reguliavimo ar valdžios institucijoms, tačiau tik joms pateikus teisėtą ir pagrįstą prašymą.

8.5. Jeigu Klientas pageidauja papildomai ir/arba kitomis nei 8 dalyje nurodytomis priemonėmis patikrinti, kaip „Dokobit“ tvarko asmens duomenis ir/arba vykdo savo įsipareigojimus pagal šią Duomenų tvarkymo sutartį, toks patikrinimas gali būti atliekamas gavus „Dokobit“ sutikimą ir Šalims susitarus dėl patikrinimo apimties, būdo, laiko ir kainos. Bet kuriuo atveju, jeigu Šalys susitaria dėl tokio papildomo patikrinimo, jis turės atitikti šiuos reikalavimus: 

(i) patikrinimas privalo būti susijęs tik su Kliento duomenų tvarkymu;

(ii) Klientas privalo informuoti „Dokobit“ apie pageidavimą atlikti papildomą patikrinimą per protingą laiką, kuris privalo būti ne trumpesnis nei 4 savaitės;

(iii) papildomas patikrinimas privalo būti atliekamas taip, kad netrukdytų įprastinei „Dokobit“ veiklai;

(iv) papildomas patikrinimas privalo būti atliekamas Kliento sąskaita;

(v) papildomą patikrinimą privalo atlikti nepriklausomas asmuo, kurio kandidatūrą iš anksto privalo patvirtinti „Dokobit“, ir šis asmuo privalo įsipareigoti saugoti „Dokobit“ konfidencialią informaciją.

8.6. „Dokobit“ turi teisę gauti atlygį už pagalbą atliekant papildomą patikrinimą. Tokio atlygio dydį nustatys „Dokobit“, atsižvelgiant į sąnaudas, „Dokobit“ patiriamas dėl papildomo patikrinimo. „Dokobit“ pateikia informaciją Klientui apie atlygio dydį iki patikrinimo.

8.7. Jeigu Kliento netenkina Ataskaitoje pateikta informacija ir/arba Šalims nepavyksta susitarti dėl papildomo patikrinimo, kaip numatyta šios Duomenų tvarkymo sutarties 8.5–8.6 punktuose, Klientas turi teisę vienašališkai neteismine tvarka nutraukti šią Duomenų tvarkymo sutartį ir Paslaugų teikimo sąlygas. Šiuo atveju sutarčių nutraukimas bus vienintelė priemonė, kurią Klientas gali taikyti, ir „Dokobit“ nebus įpareigotas atlyginti nuostolius Klientui.

8.8. Šalys susitaria, kad „Dokobit“ užtikrina tinkamą „Dokobit“ Pagalbinių tvarkytojų vykdomą Kliento duomenų tvarkymą, remiantis šios Duomenų tvarkymo sutarties 9 dalimi.

9. Pagalbiniai tvarkytojai

9.1. Klientas duoda bendrą sutikimą „Dokobit“ pasitelkti Pagalbinius tvarkytojus, kurie tvarkys Kliento duomenis „Dokobit“ vardu, remdamiesi šioje Duomenų tvarkymo sutartyje numatyta apimtimi ir tikslais. „Dokobit“ pasitelkia tik tuos Pagalbinius tvarkytojus, kurie užtikrins: 

(i) atitinkamų techninių ir organizacinių priemonių įgyvendinimą;

(ii) duomenų tvarkymą laikantis BDAR reikalavimų; ir

(iii) duomenų subjekto teisių apsaugą.

9.2. „Dokobit“ užtikrina, kad su Pagalbiniais tvarkytojais būtų sudaryta raštiška sutartis, pagal kurią pasitelkti Pagalbiniai tvarkytojai įsipareigoja vykdyti duomenų tvarkytojo įsipareigojimus, nustatytus šioje Duomenų tvarkymo sutartyje, ne mažesne apimtimi nei ta, kuri taikoma „Dokobit“. „Dokobit“ atsako Klientui už pasitelktų Pagalbinių tvarkytojų įsipareigojimų vykdymą.

9.3. „Dokobit“ paskelbs atnaujintą pasitelktų Pagalbinių tvarkytojų sąrašą Atitikties interneto svetainėje. „Dokobit“ informuoja Klientą apie savo planus pakeisti arba pasitelkti naują Pagalbinį tvarkytoją, pateikdamas šią informaciją Atitikties interneto svetainėje ne vėliau kaip prieš 14 dienų iki planuojamo įvykio. Klientas gali užsisakyti Atitikties interneto svetainės RSS naujienas, kad būtų automatiškai informuotas, kai „Dokobit“ pasitelktų Pagalbinių tvarkytojų sąraše atsiranda pasikeitimų.

9.4. Jeigu Klientas toliau naudojasi Paslaugomis po Pagalbinio tvarkytojo pakeitimo arba įtraukimo ir Kliento informavimo, šios Duomenų tvarkymo sutarties 9.3 punkte numatyta tvarka, ir nepareiškia prieštaravimo dėl to per dešimt (10) dienų, bus laikoma, kad Klientas sutinka su šiais „Dokobit“ veiksmais. Jeigu Klientas nesutinka su Pagalbinio tvarkytojo pakeitimu arba įtraukimu, Klientas turi teisę nedelsiant nutraukti neteismine tvarka šią Duomenų tvarkymo sutartį ir Paslaugų teikimo sąlygas. Šiuo atveju sutarčių nutraukimas bus vienintelė priemonė, kurią Klientas gali taikyti, ir „Dokobit“ nebus įpareigotas atlyginti nuostolius Klientui.

9.5. Jeigu Klientas atšaukia savo bendrą sutikimą dėl Pagalbinio tvarkytojo pasitelkimo, „Dokobit“ turi teisę vienašališkai nutraukti neteismine tvarka Paslaugų teikimo sąlygas ir laikoma, kad šis nutraukimas buvo padarytas dėl svarbių priežasčių, ir laikoma kad Klientas nepatyrė jokių nuostolių dėl šio nutraukimo.

10. Kliento įsipareigojimai

10.1. Klientas savo nuožiūra ir atsakomybe nustato duomenų subjektų kategorijas (įskaitant, bet tuo neapsiribojant, darbuotojus, rangovus, verslo partnerius, paslaugų teikėjus), kurių asmens duomenys ir asmens duomenų kategorijos bus pateikiamos „Dokobit“, ir pateikia „Dokobit“ tik asmens duomenis, būtinus „Dokobit“ tinkamai teikti Paslaugas. Klientas prisiima visą susijusią riziką, įskaitant riziką tais atvejais, kai „Dokobit“ gauna daugiau asmens duomenų nei būtina.

10.2. Klientas pareiškia ir užtikrina, kad jis gavo ir saugos visą Paslaugų teikimo sąlygų galiojimo laikotarpį visus būtinus leidimus ir įgaliojimus, reikalingus teikti Kliento duomenis „Dokobit“ ir pasitelkti „Dokobit“ asmens duomenų tvarkymui remiantis Paslaugų teikimo sąlygomis ir šia Duomenų tvarkymo sutartimi.

11. Duomenų saugumo pažeidimas

11.1. „Dokobit“ informuoja Klientą nepagrįstai nedelsiant, bet ne vėliau kaip per 36 valandas nuo tada, kai sužino apie Duomenų saugumo pažeidimą, ir, atsižvelgdamas į teikiamų Paslaugų pobūdį ir asmens duomenų tvarkymą ir turimą informaciją, pateikia šią informaciją Klientui:

(i) Duomenų saugumo pažeidimo pobūdį, įskaitant, kai įmanoma, duomenų subjektų kategorijas ir apytikslį jų skaičių;

(ii) galimas Duomenų saugumo pažeidimo pasekmes;

(iii) priemones, kurias įgyvendino „Dokobit“, arba kurių siūloma imtis šalinti Duomenų saugumo pažeidimą, įskaitant, kai reikalinga, priemones sumažinti galimas neigiamas Duomenų saugumo pažeidimo pasekmes; (iv) duomenų apsaugos pareigūno arba bet kurio kito kontaktinio asmens, galinčio pateikti papildomą informaciją, vardą, pavardę ir kontaktinius duomenis. Tais atvejais, kai pranešti Klientui apie Duomenų saugumo pažeidimą neįmanoma (pvz., „Dokobit“ negali susisiekti su Klientu) arba dėl Duomenų saugumo pažeidimo apimties tai būtų neveiksminga, „Dokobit“ gali pateikti šią informaciją Klientui, įkeldamas į Atitikties interneto svetainę.

11.2. „Dokobit“ įformins visus Duomenų saugumo pažeidimus, įskaitant faktus, susijusius su Duomenų saugumo pažeidimu, jo poveikį ir taisomuosius veiksmus, kurių buvo imtasi. Teisės aktuose numatytais atvejais „Dokobit“ pateikia šiuos dokumentus priežiūros institucijai.

11.3. Klientas yra atsakingas už teisės aktų, reglamentuojančių pranešimų arba informacijos pateikimą duomenų subjektams apie Duomenų saugumo pažeidimą, vykdymą.

12. Atsakomybė

12.1. Atsižvelgiant į duomenų tvarkymo pobūdį, apimtį, kontekstą ir tikslus, šioje Duomenų tvarkymo sutartyje įtvirtinta „Dokobit“ atsakomybė apribojama ir negali viršyti sumos, kurią Klientas sumokėjo „Dokobit“ per 12 mėnesių.

12.2. Atsakomybės apribojimas netaikomas, jeigu „Dokobit“ pažeidžia šią Duomenų tvarkymo sutartį dėl didelio neatsargumo arba tyčinio nusižengimo.

12.3. Šios Duomenų tvarkymo sutarties galiojimo metu „Dokobit“ įsipareigoja apdrausti savo civilinę atsakomybę. Draudimas apima apsaugą privatumo ir kibernetinio saugumo pažeidimo atvejais. Draudimo poliso, kuriame nurodyta draudimo suma, kopija bus paskelbta Atitikties interneto svetainėje.

13. Sutarties galiojimas ir nutraukimas

13.1. Ši Duomenų tvarkymo sutartis įsigalioja, kai įsigalioja Paslaugų teikimo sąlygos, ir galioja tol, kol pastarosios galioja.

13.2. Nutraukus arba pasibaigus Duomenų tvarkymo sutarčiai, „Dokobit“ sunaikina Kliento duomenis ne vėliau kaip per 30 dienų, išskyrus atvejus, kai yra kiti nei iš šios Duomenų tvarkymo sutarties kylantys pagrindai tvarkyti arba valdyti Kliento duomenis.

14. Taikomi įstatymai ir ginčų sprendimas

14.1. Šiai Duomenų tvarkymo sutarčiai taikomi Lietuvos Respublikos įstatymai.

14.2. Kiekvienas ginčas, nesutarimas arba reikalavimas, kylantis iš šios Duomenų tvarkymo sutarties arba susijęs su ja, jos pažeidimu, nutraukimu ir galiojimu, sprendžiamas derybų būdu. Jeigu Šalys negali pasiekti susitarimo per 30 dienų nuo ginčo, nesutarimo arba reikalavimo atsiradimo, šis ginčas, nesutarimas arba reikalavimas sprendžiamas Lietuvos Respublikos teisme.

15. Baigiamosios nuostatos

15.1. Visi Kliento pranešimai „Dokobit“, susiję su šia sutartimi, siunčiami el. paštu dpo@dokobit.com ir laikomi gautais, kai „Dokobit“ patvirtina jų gavimą atsakydamas į Kliento el. laišką, arba per trisdešimt (30) dienų nuo el. laiško gavimo, priklausomai nuo to, kuris yra anksčiau.

15.2. „Dokobit“ pranešimus Klientui, susijusius su šia Duomenų tvarkymo sutartimi, „Dokobit“ skelbia Atitikties interneto svetainėje. „Dokobit“ informuoja Klientą apie bet kuriuos pasikeitimus šioje Duomenų tvarkymo sutartyje pateikdamas šią informaciją Atitikties interneto svetainėje. Klientas gali užsisakyti Atitikties interneto svetainės RSS naujienas, kad būtų informuotas automatiškai, kai atsiranda pasikeitimų, susijusių su šia Duomenų tvarkymo sutartimi.

15.3. Šios Duomenų tvarkymo sutarties pakeitimai įsigalioja nuo jų paskelbimo Atitikties interneto svetainėje. „Dokobit“ paskelbia apie numatomą Duomenų tvarkymo sutarties pakeitimą ne vėliau kaip prieš 30 dienų iki numatomo pakeitimo el. paštu. Jeigu Klientas toliau naudojasi Paslaugomis po Duomenų tvarkymo sutarties pakeitimų paskelbimo, laikoma, kad Klientas sutinka su Duomenų tvarkymo sutarties pakeitimais. Jeigu Klientas nesutinka su pakeitimais, jis negalės naudotis Paslaugomis ir turi teisę nutraukti Paslaugų teikimo sąlygas.

15.4. Aktualią Duomenų tvarkymo sutarties versiją galima atsisiųsti čia.