Duomenų tvarkymo sutartis

Atnaujinta 2026-10-24

Turinys

§1 Dalykas, trukmė ir tikslas §2 Tvarkymo vieta §3 Subtvarkytojai §4 Tvarkytojo įsipareigojimai §5 Audito teisė §6 Techninės ir organizacinės priemonės §7 Saugojimas, trynimas ir grąžinimas §8 Pranešimas apie pažeidimus §9 Atsakomybė ir taikoma teisė §10 Kontaktai

§1 Dalykas, trukmė ir tikslas

Ši sutartis pagal BDAR 28 str. reglamentuoja asmens duomenų tvarkymą, kurį UAB NVGroup (juridinio asmens kodas 149942553, Elektrinės g. 8, 03150 Vilnius; Tvarkytojas) atlieka kliento (Valdytojo) vardu, teikdama ekoauditas.lt paslaugą.

Tikslas — pakuočių mokesčio perskaičiavimas: klientų dokumentų ir pakuočių duomenų tvarkymas, skaičiavimų, išvadų ir ataskaitų rengimas. Trukmė — sutampa su paslaugų teikimo sąlygomis pagrįstos sutarties trukme. Duomenų subjektai — Valdytojo darbuotojai ir portalo naudotojai, taip pat trečiieji asmenys, kurių duomenų gali būti įkeltuose dokumentuose (vadovai, kontaktiniai asmenys). Duomenų kategorijos — kontaktiniai duomenys (vardas, el. paštas, rolė), sąskaitose ir deklaracijose esantys asmens duomenys, paskyros naudojimo duomenys. Specialių kategorijų duomenų tikslingai netvarkome ir jų nereikia įkelti.

Jei Valdytojas yra savo klientų duomenų tvarkytojas (pavyzdžiui, buhalterinė firma), jis patvirtina, kad turi jų leidimą pasitelkti Tvarkytoją subtvarkytoju, ir šioje sutartyje atlieka Valdytojo pareigų vykdytojo vaidmenį jų atžvilgiu.

§2 Tvarkymo vieta

Pagrindinis tvarkymas ir saugojimas vyksta Europos Sąjungoje: aplikacijos serveris, duomenų bazė ir dokumentų saugykla — netcup GmbH infrastruktūroje Vokietijoje. Šifruotos atsarginės kopijos laikomos Proton AG paslaugoje Šveicarijoje (BDAR 45 str. tinkamumo sprendimas). Duomenys perduodami už EEE ribų tik jei Valdytojas įjungia pasirenkamą dokumentų turinio ištraukimą ir gilios patikros antrą nuomonę (nuasmeninti skaičiai) pasitelkiant Anthropic PBC (JAV), taikant standartines sutarčių sąlygas (BDAR 46 str.); pagal numatytuosius nustatymus ši funkcija išjungta.

§3 Subtvarkytojai

Subtvarkytojas	Vieta	Paskirtis
netcup GmbH	Vokietija	Serveris, duomenų bazė, dokumentų saugykla
Proton AG	Šveicarija	El. laiškai ir šifruotos atsarginės kopijos
Anthropic PBC	JAV (SCC)	Dokumentų turinio ištraukimas ir gilios patikros antra nuomonė, tik jei įjungta

Valdytojas suteikia bendrą leidimą pasitelkti šiuos subtvarkytojus. Apie pakeitimus pranešame ne vėliau kaip prieš 30 dienų; Valdytojas per 15 dienų gali pagrįstai prieštarauti. Jei susitarti nepavyksta, kiekviena šalis gali nutraukti sutartį dėl tos dalies, kuriai reikalingas subtvarkytojas.

§4 Tvarkytojo įsipareigojimai

Tvarkytojas: tvarko duomenis tik pagal dokumentuotus Valdytojo nurodymus; užtikrina, kad įgalioti asmenys laikytųsi konfidencialumo; taiko §6 priemones; laikosi §3 sąlygų; padeda Valdytojui atsakyti į duomenų subjektų prašymus ir vykdyti BDAR 32–36 str. pareigas; pasibaigus paslaugoms ištrina arba grąžina duomenis (§7); pateikia informaciją, būtiną BDAR 28 str. laikymuisi įrodyti, ir sudaro sąlygas auditui (§5).

§5 Audito teisė

Valdytojas, raštu įspėjęs prieš 20 darbo dienų, ne dažniau kaip kartą per metus (pagrįsto pažeidimo įtarimo atveju — be šio apribojimo), gali paprašyti dokumentų, patvirtinančių šios sutarties laikymąsi. Auditas vyksta įprastu darbo laiku nepagrįstai netrikdant veiklos; pagrįstas išlaidas dengia Valdytojas, nebent auditas atskleidžia realų pažeidimą.

§6 Techninės ir organizacinės priemonės

organizacijų izoliacija duomenų bazės lygyje (row-level security, įjungta visoms nuomininko lentelėms), tikrinama automatiniais testais;
argon2id slaptažodžiai; sesijos, kvietimo ir atkūrimo žetonai saugomi tik kaip hash; pasirenkama dviejų veiksnių autentifikacija (TOTP);
ryšys šifruojamas (TLS); atsarginės kopijos šifruojamos prieš perduodant;
prisijungimo, kvietimų ir atkūrimo bandymų ribojimas;
tik papildomas veiksmų žurnalas; dokumentų turinys neloginamas;
dokumentų originalai ir ištraukti duomenys automatiškai naikinami pasibaigus 36 mėnesių terminui.

Išsamesnį techninių priemonių aprašą pateikiame pirkėjo saugumo komandai paprašius: privacy@ekoauditas.lt.

§7 Saugojimas, trynimas ir grąžinimas

Numatytieji terminai nustatyti privatumo politikos 9 skyriuje: dokumentai — 36 mėnesiai nuo įkėlimo; atsarginės kopijos — iki 30 dienų. Pasibaigus sutarčiai Tvarkytojas per 30 dienų nuo Valdytojo prašymo ištrina arba grąžina duomenis ir ištrina kopijas, išskyrus atvejus, kai teisė reikalauja saugoti ilgiau. Nuomininko pašalinimas reiškia anonimizavimą: skaičiavimai ir veiksmų žurnalas lieka be galimybės susieti jų su gyvu asmeniu.

§8 Pranešimas apie pažeidimus

Sužinojęs apie asmens duomenų saugumo pažeidimą, Tvarkytojas apie jį praneša Valdytojui nepagrįstai nedelsdamas, ne vėliau kaip per 48 valandas, el. paštu, nurodytu paskyroje ar sutartyje, kad Valdytojas spėtų įvykdyti BDAR 33 str. 72 valandų pranešimo terminą.

§9 Atsakomybė ir taikoma teisė

Atsakomybė paskirstoma pagal BDAR 82 str.; paslaugų teikimo sąlygų atsakomybės ribojimai taikomi ir šiai sutarčiai, kiek tai nedraudžiama imperatyviomis BDAR nuostatomis. Taikoma Lietuvos Respublikos teisė; ginčai sprendžiami derybomis, o nepavykus — kompetentingame Lietuvos teisme pagal Tvarkytojo buveinę.

§10 Kontaktai

privacy@ekoauditas.lt. UAB NVGroup, Elektrinės g. 8, 03150 Vilnius.