Duomenų tvarkymo sutartis

1. Šalys ir dalykas

Ši sutartis sudaroma tarp kliento kaip duomenų valdytojo ir EAS International, Klybeckstr. 141, 4057 Basel, Schweiz kaip duomenų tvarkytojo (Paslaugų teikėjas). Paslaugų teikėjo atstovas ES pagal BDAR 27 str.: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Jos dalykas – asmens duomenų, kuriuos klientas įveda į Batteriepass Online arba renka per ją, tvarkymas. Pobūdis, tikslas, duomenų rūšys ir duomenų subjektų kategorijos aprašyti 1 priede. Sutartis galioja paslaugų sutarties galiojimo laikotarpiu, įskaitant tik skaitymo etapą pagal Bendrųjų sąlygų 8 punktą.

2. Nurodymai

Paslaugų teikėjas tvarko duomenis tik pagal paslaugų sutartį ir dokumentais įformintus kliento nurodymus. Klientas duoda nurodymus naudodamasis programinės įrangos funkcijomis (pvz., paskelbdamas pasą, suteikdamas prieigos lygius, siųsdamas prašymą tiekėjui, eksportuodamas, trindamas) ir tekstine forma adresu info@batteriepass-online.eu. Nurodymai, viršijantys sutartą apimtį, laikomi pakeitimo prašymais ir už juos gali būti imamas atskiras mokestis.

Jei Paslaugų teikėjas mano, kad nurodymas yra neteisėtas, jis nedelsdamas informuoja klientą ir gali sustabdyti vykdymą iki patvirtinimo.

Paso turinio pateikimas visuomenei, teisėtą interesą turintiems asmenims ir institucijoms vyksta pagal Reglamentą (ES) 2023/1542 kliento pasirinkta konfigūracija ir laikomas kliento nurodymu.

3. Paslaugų teikėjo prievolės

• Konfidencialumas: visi duomenų tvarkyme dalyvaujantys asmenys įsipareigoję užtikrinti konfidencialumą. Prie kliento duomenų jungiamasi tik tada, kai tai būtina veikimui, pagalbai ar klaidų šalinimui.
• Saugumas: Paslaugų teikėjas įgyvendina 3 priede nurodytas technines ir organizacines priemones ir pritaiko jas prie technikos lygio, nemažindamas apsaugos lygio.
• Pagalba: Paslaugų teikėjas programinės įrangos priemonėmis (eksportas, ištaisymas, ištrynimas, prieigos žurnalas) padeda klientui įgyvendinti duomenų subjektų teises, atlikti poveikio duomenų apsaugai vertinimus ir konsultuotis su priežiūros institucija, kiek atitinkama informacija yra Paslaugų teikėjo žinioje.
• Pranešimas: Paslaugų teikėjas apie asmens duomenų saugumo pažeidimus, susijusius su kliento duomenimis, praneša klientui nepagrįstai nedelsdamas, ne vėliau kaip per 48 valandas nuo sužinojimo, paskyroje išsaugotu el. pašto adresu, pateikdamas pagal BDAR 33 str. 3 d. turimą informaciją.
• Duomenų subjektų prašymai: jei duomenų subjektai kreipiasi tiesiogiai į Paslaugų teikėją, jis persiunčia prašymą klientui, pats iš esmės neatsakydamas, jei prašymas susijęs su kliento duomenimis.
• Įrodymai: paprašius Paslaugų teikėjas pateikia informaciją, būtiną šios sutarties laikymuisi įrodyti, visų pirma 3 priede nurodytų priemonių aprašymą ir saugumo incidentų ataskaitas.
• Ištrynimas: pasibaigus duomenų tvarkymui, Paslaugų teikėjas ištrina duomenis pagal Bendrųjų sąlygų 8 punktą, jei nėra teisės aktuose nustatytos saugojimo prievolės. Paskelbtų baterijų pasų atveju teisės aktuose nustatyta prievolė užtikrinti jų prieinamumą pagal Reglamento (ES) 2023/1542 77 str. 8 d. laikoma saugojimo prievole.

4. Kliento patikrinimo teisės

Klientas gali patikrinti, kaip laikomasi šios sutarties, kartą per metus ir esant konkrečiam pagrindui. Patikrinimas pirmiausia atliekamas peržiūrint dokumentus, ataskaitas ir kitų duomenų tvarkytojų patvirtinimus. Patikrinimas vietoje galimas iš anksto pranešus per protingą terminą (ne trumpesnį kaip 14 dienų) įprastomis darbo valandomis, jei tai nekelia grėsmės kitų klientų duomenims. Už patikrinimus, viršijančius vieną per metus arba atliekamus ne dėl incidento, Paslaugų teikėjas gali imti pagrįsto dydžio mokestį už patirtas sąnaudas.

5. Kiti duomenų tvarkytojai

Klientas sutinka, kad būtų pasitelkti 2 priede išvardyti kiti duomenų tvarkytojai. Paslaugų teikėjas įpareigoja juos laikytis duomenų apsaugos prievolių, lygiaverčių čia sutartoms.

Apie numatomus pakeitimus (papildymą ar pakeitimą) Paslaugų teikėjas informuoja klientą el. paštu ne vėliau kaip prieš 30 dienų. Per šį laikotarpį klientas dėl svarbių duomenų apsaugos priežasčių gali pareikšti prieštaravimą. Pareiškus prieštaravimą, bet kuri šalis gali nutraukti paslaugų sutartį nuo pakeitimo dienos; Bendrųjų sąlygų 8 punktas lieka galioti.

6. Duomenų tvarkymas trečiosiose valstybėse

Duomenys saugomi serveriuose Vokietijoje. Paslaugų teikėjas įsisteigęs Šveicarijoje, dėl kurios priimtas Europos Komisijos sprendimas dėl tinkamumo; todėl prieiga iš Šveicarijos leidžiama. Duomenys kitose trečiosiose valstybėse tvarkomi tik gavus kliento sutikimą ir taikant tinkamas apsaugos priemones pagal BDAR V skyrių.

7. Kliento prievolės

Klientas atsako už duomenų tvarkymo teisėtumą, visų pirma už teisinį pagrindą skelbti informaciją apie fizinius asmenis pasuose, už duomenų subjektų informavimą ir už kreipimosi į tiekėjus bei prašytojus teisėtumą. Prieigos lygius ir prieigos teises jis suteikia savo atsakomybe ir tikrina, ar per programinę įrangą prieinami duomenys atitinka teisės aktų reikalavimus.

Klientas paskyroje nurodo el. pašto adresą, kuriuo galima susisiekti duomenų apsaugos klausimais, ir nuolat jį atnaujina.

8. Atsakomybė, galiojimo terminas, baigiamosios nuostatos

Atsakomybei taikomas Bendrųjų sąlygų 11 punktas; BDAR 82 str. lieka galioti. Ši sutartis baigiasi kartu su paslaugų sutartimi, tačiau galioja tol, kol Paslaugų teikėjas užtikrina kliento duomenų prieinamumą pagal Bendrųjų sąlygų 8 punktą. Kitais atžvilgiais taikomos Bendrųjų sąlygų baigiamosios nuostatos. Esant šios sutarties ir Bendrųjų sąlygų prieštaravimui, duomenų apsaugos klausimais viršenybę turi ši sutartis.

1 priedas. Duomenų tvarkymo dalykas

• Pobūdis ir tikslas: baterijų pasų turinio ir susijusių dokumentų talpinimas, saugojimas, rodymas, eksportas ir perdavimas; el. laiškų siuntimas kliento vardu (prašymai tiekėjams, sprendimai dėl prieigos); prieigos prie apsaugoto turinio registravimas; API ir webhook’ų teikimas.
• Duomenų rūšys: kliento, jo tiekėjų ir prieigos teisių prašytojų kontaktinių asmenų vardai, pavardės, pareigos ir kontaktiniai duomenys (el. pašto adresas, organizacija, vaidmuo, tikslas, patvirtinamieji dokumentai); paso laukų ir dokumentų turinys, kiek jame yra informacijos apie fizinius asmenis (pvz., ekonominės veiklos vykdytojo atsakingas asmuo, atitikties deklaracijas pasirašę asmenys); prieigos žurnalai (sutrumpintas maišos funkcija apdorotas IP adresas, user agent, laikas, prieigos lygis); kliento į API pateikti duomenys.
• Duomenų subjektų kategorijos: kliento, jo tiekėjų ir verslo partnerių darbuotojai ir kontaktiniai asmenys; asmenys, prašantys prieigos prie apsaugoto paso turinio (institucijos, taisymo ir perdirbimo operatoriai, pirkėjai); viešų pasų puslapių lankytojai.
• Specialių kategorijų duomenys (BDAR 9 str.) netvarkomi; klientas tokių duomenų į programinę įrangą neįveda.

2 priedas. Kiti duomenų tvarkytojai

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Vokietija – duomenų centro paslaugos (serveriai, duomenų bazė, dokumentų saugykla, atsarginės kopijos) Falkenšteine ir Niurnberge.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlynas, Vokietija – el. laiškų siuntimas kliento vardu.
• Stripe Payments Europe Ltd., Dublinas, Airija, tvarko kliento mokėjimo duomenis kaip savarankiškas duomenų valdytojas ir nėra kitas kliento duomenų tvarkytojas, kaip apibrėžta šioje sutartyje.

3 priedas. Techninės ir organizacinės priemonės

• Fizinė ir sisteminė prieiga: serveriai ISO 27001 sertifikuotuose Hetzner duomenų centruose; administravimas tik per raktais grindžiamą SSH ir privatų tinklą; duomenų bazė nepasiekiama iš viešojo interneto.
• Prieiga prie duomenų: vaidmenimis grindžiamos teisės (savininkas, redaktorius, skaitytojas) kiekvienai organizacijai; klientų atskyrimas duomenų bazės lygmeniu pagal organizacijos ID kiekvienoje užklausoje; paso turinio prieigos lygiai (visuomenė, teisėtas interesas, institucija) užtikrinami serverio pusėje vienoje filtravimo funkcijoje.
• Autentifikavimas: slaptažodžiai kaip scrypt maišos reikšmės; sesijos su atsitiktiniais žetonais duomenų bazėje, 30 dienų; el. pašto patvirtinimas prieš suteikiant rašymo prieigą; prisijungimo, registracijos ir atkūrimo bandymų ribos; API raktai saugomi tik kaip maišos reikšmės.
• Perdavimas: TLS visiems ryšiams; turinio saugumo politika (Content Security Policy); pasirašyti webhook’ai (HMAC) su užšifruotais saugomais slaptaisiais raktais.
• Vientisumas: kiekvienas paso paskelbimas sukuria versiją su maišos grandine (ankstesnė maiša); visų rašymo veiksmų audito žurnalas; kol nepasibaigę sutartiniai terminai, niekas fiziškai netrinama.
• Prieinamumas: kasdienė duomenų bazės ir dokumentų saugyklos atsarginė kopija, saugoma ne trumpiau kaip 30 dienų kitoje vietoje; reguliarūs atkūrimo bandymai; prieinamumo stebėsena.
• Atskyrimas: gamybiniai duomenys atskirti nuo kūrimo ir bandymų aplinkų; plano Pilot pasai pažymėti kaip bandomieji duomenys.
• Organizacija: į programinę įrangą integruotas duomenų kiekio mažinimas (tik pasui reikalingi laukai); saugumo peržiūra kiekvieno paslaugos pakeitimo metu; incidentų dokumentavimas; reguliarūs sistemos komponentų atnaujinimai.