Duomenų tvarkymo sutartis

1. Dalykas ir trukmė

Claister tvarko Užsakovo duomenyse esančius asmens duomenis, kad galėtų teikti Claister paslaugą Užsakovui. Duomenys tvarkomi tol, kol Užsakovas naudojasi paslauga, o tvarkymas baigiasi, kai duomenys ištrinami pagal 9 skyrių. 1 priede aprašytas duomenų tvarkymas.

Paskyrų administravimo, prisijungimo saugumo, sąskaitų išrašymo, pagalbos ir viešosios svetainės srityse Claister veikia kaip duomenų valdytojas, o ne tvarkytojas. Šį duomenų tvarkymą apima privatumo politika, skelbiama adresu claister.com/privacy.

2. Nurodymai

Claister tvarko asmens duomenis tik pagal dokumentais įformintus Užsakovo nurodymus. Tokie nurodymai yra Sąlygos, ši sutartis ir Užsakovo naudojimasis paslauga bei jo nustatymai (įskaitant asmenis, kuriuos jis kviečia, tai, kuo dalijasi portale, ir integracijas bei DI funkcijas, kurias įjungia). Claister informuoja Užsakovą, jeigu, jos nuomone, nurodymas pažeidžia duomenų apsaugos teisės aktus, ir tuomet gali sustabdyti to nurodymo vykdymą.

Jeigu ES arba valstybės narės teisė reikalauja, kad Claister tvarkytų asmens duomenis kitaip, Claister pirmiausia informuoja Užsakovą, nebent ta teisė tai draudžia.

3. Konfidencialumas

Claister suteikia prieigą prie asmens duomenų tik darbuotojams ir rangovams, kuriems jos reikia paslaugai eksploatuoti ir palaikyti, ir jie yra įsipareigoję saugoti konfidencialumą. Claister darbuotojai neatidaro Užsakovo įrašų, išskyrus atvejus, kai teikia Užsakovo prašomą pagalbą, tiria saugumo incidentą ar gedimą arba kai to reikalauja įstatymai.

4. Sauga

Claister imasi 2 priede nurodytų techninių ir organizacinių priemonių, kad užtikrintų riziką atitinkantį saugumo lygį, kaip reikalauja BDAR 32 straipsnis. Ji gali jas atnaujinti, kol bendras apsaugos lygis nesumažėja.

5. Subtvarkytojai

Užsakovas suteikia Claister bendrą leidimą pasitelkti subtvarkytojus, išvardytus adresu claister.com/subprocessors. Claister kiekvienam iš jų nustato duomenų apsaugos įsipareigojimus, kurie nėra mažiau apsaugantys nei šioje sutartyje, ir lieka atsakinga Užsakovui už jų veiklą.

Claister apie naują ar pakeičiantį subtvarkytoją praneša likus ne mažiau kaip 30 dienų, atnaujindama sąrašą ir informuodama darbo erdvių savininkus. Užsakovas per tą laikotarpį gali pareikšti prieštaravimą dėl pagrįstų duomenų apsaugos priežasčių. Jei šalys prieštaravimo išspręsti negali, Užsakovas gali nutraukti sutartį ir už likusį laikotarpį atgauna iš anksto sumokėtus mokesčius.

Kai kurie subtvarkytojai naudojami tik tada, kai Užsakovas įjungia jų reikalaujančią funkciją, pavyzdžiui, DI funkcijas ar susitikimų įrašymą. Paslaugos, kurias Užsakovas prijungia pats (pavyzdžiui, savo el. pašto paskyrą ar Telegram), nėra Claister subtvarkytojai; Užsakovas pasitelkia jas tiesiogiai.

6. Duomenų perdavimas už EEE ribų

Claister paslaugą, jos duomenų bazes ir saugomus failus talpina Europos Sąjungoje. Kai subtvarkytojas asmens duomenis tvarko už Europos ekonominės erdvės ribų, Claister remiasi sprendimu dėl tinkamumo (įskaitant sertifikuotiems teikėjams taikomą ES ir JAV duomenų privatumo programą, angl. EU-US Data Privacy Framework) arba Europos Komisijos standartinėmis sutarčių sąlygomis, kaip nurodyta prie kiekvieno subtvarkytojo sąraše.

7. Pagalba Užsakovui

Claister padeda Užsakovui atsakyti į asmenų, įgyvendinančių savo teises (susipažinimo, ištaisymo, ištrynimo, apribojimo, perkeliamumo ir nesutikimo), prašymus, daugiausia per paslaugos funkcijas: įrašų redagavimą ir ištrynimą bei duomenų eksportą. Kai Užsakovas kokio nors veiksmo negali atlikti pats, Claister paprašius padeda per pagrįstą laiką. Jei asmuo dėl Užsakovo duomenų tiesiogiai kreipiasi į Claister, Claister perduoda prašymą Užsakovui ir neatsako į jį Užsakovo vardu, nebent gautų tokį nurodymą.

Claister taip pat pateikia pagrįstą informaciją ir pagalbą, susijusią su Užsakovo saugumo prievolėmis, poveikio duomenų apsaugai vertinimais ir konsultacijomis su priežiūros institucija, atsižvelgdama į duomenų tvarkymo pobūdį.

8. Asmens duomenų saugumo pažeidimai

Claister praneša Užsakovui nepagrįstai nedelsdama ir bet kuriuo atveju per 48 valandas po to, kai sužino apie asmens duomenų saugumo pažeidimą, darantį poveikį Užsakovo duomenims. Pranešime, kiek tuo metu žinoma, aprašoma, kas įvyko, kokių kategorijų ir apytiksliai kiek asmenų bei įrašų tai paveikė, kokios tikėtinos pasekmės ir kokių priemonių imtasi ar siūloma imtis. Claister papildo pranešimą, kai sužino daugiau, ir imasi pagrįstų veiksmų pažeidimui sustabdyti. Pranešimas priežiūros institucijai ir susijusiems asmenims lieka Užsakovo, kaip duomenų valdytojo, sprendimas.

9. Ištrynimas ir grąžinimas

Sutarties galiojimo metu Užsakovas gali eksportuoti savo duomenis ir pats ištrinti įrašus. Pasibaigus sutarčiai, Užsakovo duomenys 30 dienų lieka prieinami eksportui. Po to Claister per kitas 30 dienų ištrina darbo erdvės asmens duomenis ir saugomus failus iš veikiančios paslaugos, nebent ES arba valstybės narės teisė reikalauja juos saugoti.

Atsarginėse kopijose esantys duomenys neatkuriami į paslaugą ir ištrinami joms pasibaigus saugojimo terminui, per 90 dienų nuo ištrynimo iš veikiančios paslaugos.

10. Informacija ir auditai

Claister suteikia informaciją, reikalingą BDAR 28 straipsnyje nustatytų prievolių laikymuisi įrodyti, įskaitant šią sutartį, subtvarkytojų sąrašą ir saugumo priemonių aprašymą, ir atsako į pagrįstus Užsakovo klausimus. Užsakovas arba nepriklausomas, konfidencialumo įsipareigojęs auditorius gali kartą per metus arba po asmens duomenų saugumo pažeidimo patikrinti Claister atitiktį, apie tai įspėjęs prieš 30 dienų, darbo valandomis ir netrikdydamas paslaugos veikimo. Kiekviena šalis padengia savo išlaidas.

11. DI funkcijos

DI funkcijos modelio teikėjui siunčia tik užklausai reikalingą kontekstą, filtruojamą pagal užklausą pateikiančio asmens prieigos teises. Claister prašo teikėjų nesaugoti to turinio ir nenaudoti jo savo modeliams mokyti, kai teikėjas tai leidžia (OpenAI užklausos pateikiamos išjungus saugojimą). Užsakovas skiltyje „Settings“ gali išjungti DI visai darbo erdvei arba blokuoti duomenų kategorijas ir gali nustatyti mėnesinę išlaidų ribą. DI rezultatas yra patariamojo pobūdžio: prieš siunčiant, išsaugant ar keičiant bet ką, žmogus patvirtina.

12. Bendrosios nuostatos

Jei ši sutartis ir Sąlygos dėl asmens duomenų apsaugos prieštarauja viena kitai, viršenybę turi ši sutartis. Sąlygų nuostatos dėl atsakomybės taikomos ir šiai sutarčiai, neapribojant nė vienos šalies atsakomybės asmenims pagal BDAR 82 straipsnį. Šiai sutarčiai taikoma Lietuvos Respublikos teisė.

1 priedas. Duomenų tvarkymo aprašymas

Pobūdis ir tikslas: Užsakovo duomenų saugojimas, tvarkymas, rodymas, dalijimasis jais, perdavimas ir ištrynimas, kad Užsakovas galėtų vykdyti savo veiklą Claister; Užsakovo siunčiamų žinučių ir el. laiškų pristatymas; o jei įjungta – DI funkcijos, susitikimų įrašymas ir integracijos.

• Susiję asmenys: Užsakovo komandos nariai; jo klientai ir jų atstovai, darbuotojai bei kontaktiniai asmenys; asmenys, su kuriais Užsakovas susirašinėja el. paštu, per Telegram ar portale; įrašytų susitikimų dalyviai; kiti asmenys, nurodyti Užsakovo įkeltuose dokumentuose.
• Asmens duomenys: vardai ir pavardės, kontaktiniai duomenys, pareigų pavadinimai, asmens ir registracijos numeriai, mokesčių ir apskaitos informacija, banko duomenys, sąskaitos faktūros ir mokėjimai, dokumentai ir jų turinys, žinutės ir el. laiškai, balso žinutės ir jų transkripcijos, susitikimų įrašai ir transkripcijos, laiko įrašai, užduotys ir pastabos bei įrašai apie tai, kas ką darė darbo erdvėje.
• Ypatingųjų kategorijų duomenys: Claister nėra skirta ypatingųjų kategorijų asmens duomenims. Vis dėlto Užsakovo įkeliamuose dokumentuose jų gali būti (pavyzdžiui, sveikatos informacijos darbo užmokesčio dokumente); ar tokius duomenis įkelti, sprendžia Užsakovas.
• Dažnumas: nuolat, kol Užsakovas naudojasi paslauga.

2 priedas. Techninės ir organizacinės priemonės

Claister taiko bent šias priemones.

• Talpinimas, duomenų bazės, failų saugykla, antivirusinis tikrinimas ir atsarginės kopijos Europos Sąjungoje (Railway, EU West).
• Įmonių atskyrimas užtikrinamas programoje ir duomenų bazėje taikant eilučių lygio saugumą (row-level security), todėl vienos įmonės užklausos negali nuskaityti kitos įmonės eilučių.
• Teisės pagal darbo erdvės vaidmenį, klientų priskyrimą ir portalo prieigą tikrinamos serveryje per kiekvieną užklausą; portalo naudotojai mato tik tai, kuo su jais dalijamasi.
• Visų ryšių šifravimas perdavimo metu (TLS); pašto ir integracijų prisijungimo duomenys užšifruoti atskiru raktu.
• Bent 12 simbolių slaptažodžiai saugomi kaip maišos reikšmės (hash), siūlomas pasirenkamas dviejų veiksnių autentifikavimas, o jautrioms integracijoms dviejų veiksnių autentifikavimas yra privalomas.
• Privati failų saugykla be viešų nuorodų; kiekvieną kartą atsisiunčiant iš naujo tikrinama prieiga; įkeliami failai tikrinami dėl tipo ir skenuojami dėl virusų.
• Darbo erdvės pakeitimų žurnalas (audito pėdsakas), įrašomas kartu su pačiu pakeitimu.
• Kasdienės duomenų bazės atsarginės kopijos ir atkūrimas tam tikru laiko momentu, atskiros dokumentų atsarginės kopijos ir išbandyta atkūrimo procedūra.
• Prieiga prie gamybinės aplinkos suteikiama tik paslaugą eksploatuojantiems asmenims; pakeitimai diegiami tik išlaikius automatinius patikrinimus.