Duomenų tvarkymo sutartis

Šis dokumentas skelbiamas keliomis kalbomis. Kalbinių versijų neatitikimo atveju privaloma yra lenkiška versija.

Versija 2.2 · Paskutinį kartą atnaujinta: 2026 m. spalio 29 d.

Sutartis dėl asmens duomenų tvarkymo duomenų valdytojo vardu pagal Bendrojo duomenų apsaugos reglamento (BDAR) Art. 28

tarp formexposed kliento kaip duomenų valdytojo (toliau – Klientas) ir LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Lenkija, NIP (Lenkijos mokesčių mokėtojo identifikacinis numeris) 7252266190, kaip duomenų tvarkytojo (toliau – mes).

Įžanginės pastabos: apie ką ši Sutartis

formexposed tikrina svetainių kontaktines formas, ar jos apsaugotos nuo šlamšto ir piktnaudžiavimo, jas stebi ir praneša apie pakeitimus. Daugumos tuo metu atsirandančių duomenų atžvilgiu duomenų valdytojas esame patys: kliento paskyros, sąskaitų išrašymo, Paslaugos saugumo, žurnalų ir patikrinimų be paskyros. Šį tvarkymą aprašo mūsų Privatumo politika; ši Sutartis jam netaikoma.

Tačiau kai kurios funkcijos į Paslaugą įtraukia trečiųjų asmenų asmens duomenis, ir dėl šių duomenų sprendžia Klientas: tikrų jo svetainės lankytojų užklausų kopijos, jo įspėjimus gaunančių asmenų adresai, bandomosios paskyros prisijungimo duomenys, kodas, kurį jis mums pateikia apdoroti. Šiuos duomenis tvarkome tik Kliento vardu. Jiems taikoma ši Sutartis. Kokios tai funkcijos, išsamiai nurodyta šios Sutarties pabaigoje esančiame 1 priede.

Sutartis atitinka BDAR Art. 28(3), o savo struktūra ir turiniu remiasi Europos Komisijos standartinėmis sutarčių sąlygomis tarp duomenų valdytojų ir duomenų tvarkytojų (Įgyvendinimo sprendimas (ES) 2021/915). Ji neperima jų pažodžiui, bet aprašo faktinę Paslaugą. Kai išsamiau išdėstome pareigą pagal BDAR Art. 28, Reglamento apsaugos lygis neturi būti sumažintas.

§ 1 Dalykas, taikymo sritis ir vaidmenys

(1) Šios Sutarties dalykas – mūsų atliekamas asmens duomenų tvarkymas Kliento vardu teikiant Paslaugą pagal mūsų Paslaugų teikimo sąlygas. Tvarkymo dalykas, pobūdis ir tikslas, asmens duomenų rūšys ir duomenų subjektų kategorijos kiekvienai funkcijai nurodyti 1 priede.

(2) Ši Sutartis neapima tvarkymo, kurio atžvilgiu duomenų valdytojas esame patys, visų pirma kliento paskyros ir darbo srities narių, prisijungimo ir paskyros saugumo, sąskaitų išrašymo, pagalbos, žurnalų, šių mūsų pačių duomenų atsarginių kopijų, nemokamo patikrinimo be paskyros, paskyroje esančių domenų, kurių kontrolės Klientas dar neįrodė, patikrinimų, potencialaus kliento patikrinimo, tyrimo, ženklelio ir to, ką perduoda WordPress įskiepis ir TYPO3 plėtinys: dienos skaičių, įskiepių sąrašo ir, prijungto WordPress įskiepio atveju, nuorodų iš užblokuotų pranešimų domenų spiečiaus apsaugai (įjungta pagal numatytuosius nustatymus). Be to, dėl šių plėtinių konstrukcijos šiuose duomenyse nėra lankytojų turinio, vardų, adresų ar IP adresų. Kita vertus, atsarginės kopijos, kiek jose yra Kliento duomenų, ir prieiga prie Kliento duomenų veikimo, trikčių šalinimo ir saugumo tikslais yra tvarkymo Kliento vardu dalis; joms taikomi § 7(3) ir § 15(5).

(3) 1 priede nurodytų duomenų atžvilgiu Klientas yra duomenų valdytojas, kaip apibrėžta BDAR Art. 4(7). Jei Klientas pats veikia kaip duomenų tvarkytojas trečiosios šalies atžvilgiu, pavyzdžiui, agentūra savo klientų atžvilgiu, tų duomenų atžvilgiu esame pagalbinis duomenų tvarkytojas. Tokiu atveju Klientas užtikrina, kad ši Sutartis būtų suderinama su jo paties sutartyje nustatytomis pareigomis, ir trečiosios šalies nurodymus mums perduoda tik per save.

(4) Sudarymas: Sutartis sudaroma registracijos metu kartu su Paslaugų teikimo sąlygomis su kiekvienu Klientu, net jei jis nenaudoja nė vienos 1 priede nurodytos funkcijos. Ji sudaroma elektroniniu būdu; tai atitinka BDAR Art. 28(9). Šiuo tikslu išsaugome rodytą versiją, jos kontrolinę sumą, sutikimo laiką, IP adresą ir naršyklės identifikatorių.

§ 2 Sąvokos

Tokios sąvokos kaip „asmens duomenys“, „tvarkymas“, „duomenų valdytojas“, „duomenų tvarkytojas“ ir „asmens duomenų saugumo pažeidimas“ turi BDAR Art. 4 nurodytą reikšmę. Be to:

Kliento duomenys – asmens duomenys, kuriuos tvarkome Kliento vardu pagal 1 priedą.
Pagalbinis duomenų tvarkytojas – kitas duomenų tvarkytojas, kurį pasitelkiame ir kuris tai darydamas tvarko Kliento duomenis (BDAR Art. 28(2) ir (4)).
Darbo sritis – Paslaugos sritis, kurioje Klientas valdo savo domenus, nustatymus ir narius. Visi Kliento duomenys priskiriami darbo sričiai.
Rašytinė forma – bet koks įskaitomas pareiškimas patvariojoje laikmenoje, visų pirma el. laiškas.
Dienos – kalendorinės dienos. Jei termino pabaiga sutampa su šeštadieniu, sekmadieniu ar švenčių diena Lenkijoje, terminas baigiasi kitą darbo dieną.

§ 3 Galiojimo terminas

(1) Sutartis galioja tol, kol tvarkome Kliento duomenis. Ji pradeda galioti registracijos metu ir nesibaigia vien dėl to, kad baigiasi mokamas planas: po atšaukimo paskyra toliau veikia kaip nemokama paskyra, o kartu su ja – ir atitinkami Kliento duomenys. Ji baigiasi, kai paskyra ištrinta ir nebeturime jokių Kliento duomenų, išskyrus atsargines kopijas iki jų galiojimo pabaigos (§ 15).

(2) Pareigos, kurios dėl savo pobūdžio galioja ir toliau, išlieka po sutarties pabaigos, visų pirma konfidencialumo, ištrynimo, įrodymų ir atsakomybės.

(3) Įprastas vien šios Sutarties nutraukimas negalimas, nes be jos, kol egzistuoja paskyra, negalėtų būti tvarkomi jokie Kliento duomenys. Jei Klientas nori ją nutraukti, jis ištrina savo paskyrą (§ 15(3)). Nutraukimo teisės pagal § 9(3) ir § 16 bei nutraukimo teisės pagal Paslaugų teikimo sąlygas lieka nepaveiktos.

§ 4 Nurodymai

(1) Kliento duomenis tvarkome tik pagal dokumentais įformintus Kliento nurodymus, be kita ko, kiek tai susiję su duomenų perdavimu į trečiąją valstybę ar tarptautinei organizacijai. Tai netaikoma, kai tvarkyti mus įpareigoja mums taikoma Sąjungos ar valstybės narės teisė. Tokiu atveju prieš tvarkymą informuojame Klientą apie tą teisinį reikalavimą, išskyrus atvejus, kai ta teisė tokį informavimą draudžia dėl svarbių viešojo intereso priežasčių (BDAR Art. 28(3) antro sakinio a punktas).

(2) Kliento nurodymai išsamiai įforminti šioje Sutartyje, Paslaugų teikimo sąlygose ir nustatymuose, kuriuos Klientas atlieka Paslaugoje. Pavyzdžiai: pristatymo patikrinimo nustatymas yra nurodymas priimti ir įvertinti formų el. laiškų kopijas; įspėjimų adresato sukūrimas yra nurodymas ten siųsti pranešimus; bandomosios paskyros išsaugojimas yra nurodymas prisijungti su ja patikrinimui už prisijungimo. Paslauga sukurta taip, kad darytų tik tai, kas numatyta šiuose nustatymuose.

(3) Kitus nurodymus Klientas pateikia rašytine forma adresu contact@lukaswojcik.com arba per pagalbos langą. Teisę duoti nurodymus turi darbo srities savininkas ir administratoriai; nurodymus per nustatymus Paslaugoje duoda tas, kuriam pagal jo vaidmenį leidžiama atlikti tą nustatymą. Žodinį nurodymą Klientas nepagrįstai nedelsdamas patvirtina rašytine forma; iki tol galime palaukti su jo vykdymu, nebent nurodymas susijęs su duomenų ištrynimu ar tvarkymo apribojimu. Nurodymą, kuris viršija sutartą paslaugų apimtį, laikome prašymu pakeisti paslaugas; galime jį atmesti arba nustatyti už jį atlygį, kurį iš anksto nurodome rašytine forma. Dėl šios priežasties neatmetame nurodymo, susijusio su pareiga pagal BDAR, pavyzdžiui, ištrynimu.

(4) Jei, mūsų nuomone, nurodymas pažeidžia teisę, nedelsdami informuojame Klientą (BDAR Art. 28(3) antra pastraipa). Galime sustabdyti jo vykdymą, kol Klientas nurodymą patvirtins arba pakeis. Akivaizdžiai neteisėto nurodymo nevykdome. Neprivalome atlikti išsamaus kiekvieno nurodymo teisinio vertinimo; atsakomybė už jo teisėtumą lieka Klientui.

§ 5 Tikslo apribojimas ir ko nedarome su Kliento duomenimis

(1) Kliento duomenis tvarkome tik 1 priede nurodytais tikslais ir tik tiek, kiek reikia atitinkamai funkcijai.

(2) Kliento duomenų nenaudojame savo tikslais. Visų pirma neanalizuojame jų reklamos tikslais, neparduodame, nejungiame su kitų klientų duomenimis į profilius ir nenaudojame kalbos modeliams mokyti. Kalbos modelis, padedantis atlikti atskiras funkcijas, veikia mūsų pačių serveryje; niekas nesiunčiama jokiai išorinei DI paslaugai.

(3) Klientas leidžia mums iš Kliento duomenų sudaryti apibendrintus skaičius, kurių nebegalima priskirti jokiam asmeniui, jokiam klientui ar jokiam domenui, pavyzdžiui, apie pristatymus, klaidas ar patikrinimų rezultatus. Apibendrinimas yra tvarkymas pagal šią Sutartį; gauti skaičiai nebėra asmens duomenys ir nebėra Kliento duomenys. Nebandome pagal juos pakartotinai nustatyti asmenų tapatybės.

§ 6 Kliento pareigos

(1) Klientas atsako už tvarkymo, kurį jis nurodo mums atlikti, teisėtumą. Tai apima teisinio pagrindo turėjimą ir duomenų subjektų informavimą pagal BDAR Art. 13 ir 14.

(2) Jei Klientas naudoja pristatymo patikrinimą, savo privatumo politikoje jis informuoja savo svetainės lankytojus, kad formos el. laiško kopija siunčiama mums. Paslauga domeno puslapyje tam pateikia siūlomą tekstą; daugiau teksto blokų rasite puslapyje Privatumo politikos tekstas Jūsų svetainei. Pasiūlymas nepakeičia paties Kliento vertinimo.

(3) Patikrinimui už prisijungimo Klientas sukuria specialią bandomąją paskyrą, kuri turi tik teises, reikalingas nurodytiems puslapiams skaityti, ir kurioje nerodomi jokie tikri klientų, pacientų, narių ar darbuotojų duomenys. Jis neišsaugo tikro asmens prisijungimo duomenų ar prisijungimo duomenų, kuriais naudotis neturi teisės. Naudojimo taisyklės taip pat nustatytos dokumente Priimtinas naudojimas ir piktnaudžiavimas.

(4) Klientas, kiek gali to išvengti, per Paslaugą netvarko specialių kategorijų asmens duomenų (BDAR Art. 9) ar duomenų apie apkaltinamuosius nuosprendžius (BDAR Art. 10). Naudodamas „Fix it for me“, jis neįklijuoja kodo su tikrais asmens duomenimis, o klientų portalus kuria tik asmenims, kurie užsisakė ataskaitą.

(5) Klientų portalai: mėnesinės ataskaitos prenumeratoriams atžvilgiu duomenų valdytojas yra Klientas, paprastai agentūra. Paslauga kiekvieno prenumeratoriaus patvirtinimą gauna per patvirtinimo nuorodą (dvigubas patvirtinimas, double opt-in) ir kiekviename el. laiške siūlo atsisakyti prenumeratos. Ar sutikimas apima ataskaitos turinį, vertina Klientas.

(6) Jei Klientas pastebi tvarkymo klaidų ar pažeidimų, jis nepagrįstai nedelsdamas apie tai mus informuoja.

(7) Jei Klientas įterpia ženklelį, tai nėra tvarkymas jo vardu; su tuo susijusį tvarkymą aprašo mūsų Privatumo politika. Klientas tai paminėja savo privatumo politikoje.

§ 7 Konfidencialumas

(1) Prieigą prie Kliento duomenų suteikiame tik asmenims, kuriems jos reikia jų užduotims atlikti ir kurie įsipareigojo laikytis konfidencialumo arba kuriems taikoma atitinkama įstatyminė konfidencialumo prievolė (BDAR Art. 28(3) antro sakinio b punktas). Įsipareigojimas galioja ir jiems baigus darbą.

(2) Šiuo metu Paslaugą valdo pats savininkas. Jei prisijungtų kiti asmenys, prieš pirmą kartą gaudami prieigą jie įpareigojami laikytis konfidencialumo ir instruktuojami, kaip elgtis su asmens duomenimis.

(3) Į darbo sritį žiūrime tik tiek, kiek tai būtina veikimui, trikčių šalinimui, pagalbai ar piktnaudžiavimo prevencijai. Pagalbos funkcija „peržiūrėti kaip klientas“ apribota viena valanda, joje užblokuoti slaptažodžio, adreso, antrojo veiksnio, prenumeratos keitimai, eksportas ir ištrynimas, ir ji registruojama; Klientas šią prieigą mato savo duomenų eksporte.

§ 8 Tvarkymo saugumas

(1) Įgyvendiname BDAR Art. 32 nurodytas technines ir organizacines priemones, kurios užtikrina riziką atitinkantį saugumo lygį. Jos aprašytos puslapyje Techninės ir organizacinės priemonės. Tas puslapis yra šios Sutarties dalis (2 priedas) atitinkamu metu ten paskelbta redakcija. Klientas galėjo susipažinti su aprašymu prieš sudarydamas Sutartį. Ar priemonės užtikrina tinkamą saugumo lygį tvarkymui, kurį Klientas mums patiki, Klientas vertina savo atsakomybe (BDAR Art. 28(1)), visų pirma prieš įjungdamas 1 priede nurodytą funkciją.

(2) Puslapyje aprašomos tik faktiškai įgyvendintos priemonės. Tai, kas suplanuota, bet dar neįgyvendinta, ten aiškiai pažymėta kaip „planuojama“ ir netampa priemonių, kurias įsipareigojame taikyti, dalimi, kol nebus įgyvendinta.

(3) Priemones galime pritaikyti prie technikos pažangos ir Paslaugos raidos, jei bendras apsaugos lygis nesumažėja. Kiekvieną pakeitimą su nauju versijos numeriu ir data skelbiame puslapyje ir apžvalgoje Sutarties dokumentų pakeitimai. Jei pakeitimu anksčiau aprašyta priemonė pašalinama jos nepakeičiant arba susilpninama, papildomai ne vėliau kaip prieš 30 dienų informuojame Klientą rašytine forma; tada Klientas gali pareikšti prieštaravimą kaip ir naujo pagalbinio duomenų tvarkytojo atveju (§ 9(3)). Jei priemonę reikia skubiai pakeisti siekiant atremti grėsmę, tai galima padaryti be išankstinio pranešimo, jei dėl to apsaugos lygis nesumažėja; tada pranešama nepagrįstai nedelsiant.

§ 9 Pagalbiniai duomenų tvarkytojai

(1) Klientas suteikia mums bendrąjį rašytinį leidimą pasitelkti pagalbinius duomenų tvarkytojus (BDAR Art. 28(2)). Šiuo metu pasitelkiami pagalbiniai duomenų tvarkytojai su jų buveine, tikslu, duomenimis, tvarkymo vieta ir galimo perdavimo į trečiąją valstybę pagrindu išvardyti puslapyje Pagalbiniai duomenų tvarkytojai. Tas sąrašas yra šios Sutarties dalis (3 priedas) ten paskelbta redakcija. Laikoma, kad ten nurodytiems pagalbiniams duomenų tvarkytojams leidimas suteiktas.

(2) Apie bet kokį numatomą pagalbinio duomenų tvarkytojo pridėjimą ar pakeitimą informuojame Klientą ne vėliau kaip prieš 30 dienų el. laišku paskyros turėtojo adresu. Pranešime nurodomas pagalbinis duomenų tvarkytojas, jo buveinė, atitinkama funkcija, duomenys, tvarkymo vieta ir galimo perdavimo pagrindas. Kartu paskelbtas pakeitimas rodomas pagalbinių duomenų tvarkytojų puslapyje ir pakeitimų apžvalgoje.

(3) Per tas 30 dienų Klientas gali rašytine forma pareikšti prieštaravimą, jei turi objektyvią su duomenų apsauga susijusią priežastį; prieštaravime jis nurodo priežastį. Tada kartu su Klientu ieškome sprendimo, pavyzdžiui, toliau vykdydami atitinkamą funkciją Klientui be naujo pagalbinio duomenų tvarkytojo arba ją išjungdami. Kol sprendimas nerastas, šio Kliento duomenims naujo pagalbinio duomenų tvarkytojo nenaudojame; jei tai techniškai neįmanoma, atitinkama funkcija Klientui sustabdoma. Jei sprendimas nerandamas, Klientas gali nutraukti Paslaugos arba atitinkamos paslaugos sutartį nuo pakeitimo dienos, o jei apie tai, kad sprendimas neįmanomas, jį informuojame tik po tos dienos, – nedelsiant per 14 dienų nuo tokio pranešimo. Už iš anksto apmokėtą laikotarpį, kuriuo dėl to nebegali naudotis, grąžiname proporcingą sumą. Mūsų teisė įprastai nutraukti sutartį pagal Paslaugų teikimo sąlygas lieka nepaveikta.

(4) Kiekvienam pagalbiniam duomenų tvarkytojui sutartimi nustatome tas pačias duomenų apsaugos pareigas, kurias ši Sutartis nustato mums, visų pirma pakankamas garantijas, kad bus įgyvendintos tinkamos techninės ir organizacinės priemonės (BDAR Art. 28(4) pirmas sakinys). Kiekvieną pagalbinį duomenų tvarkytoją pasirenkame kruopščiai ir tikriname, ar šios garantijos egzistuoja, prieš jį pasitelkdami, dar kartą, jei jis iš esmės pakeičia savo sąlygas, o kitu atveju – kasmet peržiūrėdami savo priemones. Kai pagalbinis duomenų tvarkytojas įrodymus pateikia tik sertifikato, audito ataskaitos ar paskelbtų sąlygų forma, savo patikrinimą grindžiame tais įrodymais, jei jie aktualūs ir prasmingi. Paprašius siunčiame Klientui sutarties su pagalbiniu duomenų tvarkytoju arba jo duomenų apsaugos sąlygų kopiją; prieš tai galime užtamsinti komercines paslaptis ir kitą konfidencialią informaciją, pavyzdžiui, kainas.

(5) Jei pagalbinis duomenų tvarkytojas nevykdo savo duomenų apsaugos pareigų, Klientui už jo pareigų vykdymą atsakome kaip už savo pačių veiksmus (BDAR Art. 28(4) antras sakinys). Tai, kad pagalbinį duomenų tvarkytoją pasirenkame mes, neperkelia jokios atsakomybės Klientui. Jei pagalbinis duomenų tvarkytojas nevykdo savo sutartinių pareigų ir tai susiję su Kliento duomenimis, nepagrįstai nedelsdami informuojame Klientą. Jei faktiškai išnykome, teisiškai nustojome egzistuoti arba tapome nemokūs, o mūsų pareigų neperėmė joks teisių perėmėjas, Klientas turi turėti galimybę reikalauti, kad pagalbinis duomenų tvarkytojas ištrintų arba grąžintų Kliento duomenis; tai sutariame su kiekvienu pagalbiniu duomenų tvarkytoju, kiek jis tai leidžia (plg. standartinių sutarčių sąlygų 2021/915 7.7 punkto e papunktis).

(6) Pagalbiniai duomenų tvarkytojai nėra gavėjai, kuriems duomenys siunčiami tik todėl, kad Klientas pats juos nustatė kaip adresatą Paslaugoje: pokalbių paslaugos (pvz., Slack, Discord, Microsoft Teams, Google Chat) ir webhook adresai įspėjimams. Adresato nustatymas yra nurodymas ten siųsti pranešimą; sutartiniai santykiai su šiais paslaugų teikėjais ir bet koks perdavimui į trečiąją valstybę reikalingas pagrindas yra Kliento atsakomybė. Mūsų pačių pareigos pagal šią Sutartį iki pranešimo perdavimo momento lieka nepaveiktos. Telegram taip pat yra Kliento pasirinktas adresatas, tačiau veikia kitaip: pranešimą per savo robotą siunčiame į pokalbį, kurį gavėjas pats susiejo su robotu, o Telegram jį tvarko už Europos ekonominės erdvės ribų. Pasirinkdamas Telegram, Klientas aiškiai nurodo mums perduoti pranešimus ten (BDAR Art. 28(3) antro sakinio a punktas); jei šiuo atžvilgiu Telegram turėtų būti laikoma mūsų pagalbiniu duomenų tvarkytoju, šio adresato pasirinkimas kartu laikomas konkrečiu leidimu šiam tikslui pagal BDAR Art. 28(2). Pagrindas pagal BDAR V skyrių, kuriuo remiantis vyksta šis perdavimas, dar nėra galutinai nustatytas; kas nori išvengti perdavimo be nustatyto pagrindo, renkasi kitą adresatą. Pagalbiniai duomenų tvarkytojai taip pat nėra paslaugų teikėjai, kurie tik perduoda duomenis, pavyzdžiui, mūsų interneto paslaugų teikėjas.

(7) Serverius, duomenų bazę ir skaičiavimo pajėgumus, įskaitant kalbos modeliui skirtus, eksploatuojame patys Lenkijoje. Jokio prieglobos ar debesijos paslaugų teikėjo nėra.

§ 10 Perdavimas į trečiąsias valstybes

(1) Mūsų pačių serveriai, kuriuose tvarkome Kliento duomenis, yra Lenkijoje; kai Kliento duomenis tvarko pagalbinis duomenų tvarkytojas, vieta nurodyta 3 priede. Perdavimas į valstybę už Europos ekonominės erdvės ribų vyksta tik tada, kai įvykdytos BDAR Art. 44–49 sąlygos, ir tik pagal Kliento nurodymus pagal § 4 arba pagal § 9 leistam pagalbiniam duomenų tvarkytojui.

(2) Kiekvieno pagalbinio duomenų tvarkytojo pagrindas (sprendimas dėl tinkamumo, pavyzdžiui, sertifikuotų gavėjų atveju – sprendimas dėl ES ir JAV duomenų privatumo sistemos, arba standartinės sutarčių sąlygos pagal BDAR Art. 46(2)(c)) nurodytas pagalbinių duomenų tvarkytojų sąraše. Jei sąraše prie gavėjo nurodyta „turi būti patikrinta“, Kliento duomenys jam nesiunčiami, kol pagrindas nebus dokumentuotas. Jei pasitelkiame pagalbinį duomenų tvarkytoją už Europos ekonominės erdvės ribų, kuriam netaikomas sprendimas dėl tinkamumo, su juo sutariame dėl standartinių sutarčių sąlygų pagal Įgyvendinimo sprendimą (ES) 2021/914 (3 modulis: duomenų tvarkytojas – duomenų tvarkytojui), iš anksto įvertiname, ar paskirties valstybės teisė ir praktika leidžia jų laikytis, taikome būtinas papildomas priemones ir užfiksuojame rezultatą. Paprašius Klientas gauna šio vertinimo santrauką.

(3) Už perdavimų paties Kliento pasirinktiems adresatams (§ 9(6)) pagrindą atsako Klientas.

§ 11 Pagalba įgyvendinant duomenų subjektų teises

(1) Atsižvelgdami į tvarkymo pobūdį, tinkamomis techninėmis ir organizacinėmis priemonėmis, kiek įmanoma, padedame Klientui atsakyti į duomenų subjektų prašymus pagal BDAR III skyrių (BDAR Art. 28(3) antro sakinio e punktas).

(2) Didžiąją dalį to Klientas gali atlikti pats Paslaugoje: keisti ar ištrinti įspėjimų adresatus, bandomuosius prisijungimus ir savo prekės ženklo nustatymus; keisti ar išjungti formų kelius; atšaukti klientų portalus (jų prenumeratoriai saugomi, kol ištrinama darbo sritis); pašalinti domeną kartu su jo duomenimis; atsisiųsti duomenų eksportą. Kai to nepakanka, padedame gavę prašymą rašytine forma.

(3) Jei duomenų subjektas kreipiasi į mus su prašymu dėl Kliento duomenų, patys į jį iš esmės neatsakome, bet nepagrįstai nedelsdami, ir ne vėliau kaip per septynias dienas nuo gavimo, persiunčiame jį Klientui, jei galime Klientą nustatyti, ir pranešame asmeniui, kad tai padarėme. Jei Kliento nustatyti negalime, pranešame asmeniui, kokios informacijos mums reikia jam rasti.

(4) Atvirai nurodome vieną apribojimą: pristatymo patikrinimo formų el. laiškų kopijų duomenų bazėje nesaugome, o el. laiškas iš pašto dėžutės ištrinamas po sėkmingo apdorojimo arba, įvykus nuskaitymo ar ištrynimo klaidai, – vėliau. Todėl dėl konkretaus lankytojo paprastai galime tik pasakyti, kad jokio turinio nebeturime.

(5) Jei sužinome, kad Kliento duomenys yra netikslūs ar pasenę, nepagrįstai nedelsdami informuojame Klientą. Tada Klientas gali juos ištaisyti, ištrinti ar apriboti jų tvarkymą pats Paslaugoje arba duodamas mums nurodymą.

§ 12 Pagalba užtikrinant saugumą, atliekant poveikio vertinimą ir konsultuojantis

(1) Atsižvelgdami į tvarkymo pobūdį ir mums prieinamą informaciją, padedame Klientui vykdyti jo pareigas pagal BDAR Art. 32–36: tvarkymo saugumas, pranešimas apie pažeidimus ir jų aprašymas, poveikio duomenų apsaugai vertinimas ir išankstinės konsultacijos su priežiūros institucija (BDAR Art. 28(3) antro sakinio f punktas).

(2) Šiuo tikslu visų pirma pateikiame priemonių aprašymą, pagalbinių duomenų tvarkytojų sąrašą ir, paprašius, papildomą informaciją apie duomenų srautus ir saugojimo terminus. Savo pačių Paslaugos rizikų vertinimą skelbiame dokumente Poveikio duomenų apsaugai vertinimas; Klientas gali jį naudoti savo vertinimui.

(3) Už pagalbą pagal §§ 11 ir 12, kurios Klientas negali sau suteikti pats naudodamasis Paslaugos funkcijomis ar paskelbtais dokumentais, kuriai per kalendorinius metus reikia daugiau nei keturių valandų darbo ir kuri nėra susijusi su mūsų padarytu šios Sutarties ar BDAR pažeidimu, už viršijantį laiką galime imti atlygį pagal valandinį įkainį, kurį iš anksto nurodome rašytine forma. Prašymų persiuntimas ir pranešimas apie pažeidimus visada nemokami. Pagal įstatymą privalomos pagalbos nesiejame su apmokėjimu ar susitarimu dėl atlygio.

§ 13 Asmens duomenų saugumo pažeidimai

(1) Sužinoję apie asmens duomenų saugumo pažeidimą, susijusį su Kliento duomenimis, nepagrįstai nedelsdami, jei įmanoma – per 48 valandas, apie tai pranešame Klientui el. laišku paskyros turėtojo adresu (BDAR Art. 33(2)). Taip siekiama nesutrumpinti 72 valandų termino, kurio Klientas turi laikytis priežiūros institucijos atžvilgiu. Apie pažeidimą laikome sužinoję, kai tik pagrįstai užtikrintai nustatome, kad saugumo incidentas paveikė Kliento duomenis; bet kokį įtarimą nepagrįstai nedelsdami ištiriame. Tas pats taikoma pagalbinio duomenų tvarkytojo pažeidimui, kai tik jis mums apie jį praneša.

(2) Pranešime, kiek žinoma, pateikiama BDAR Art. 33(3) nurodyta informacija: pažeidimo pobūdis, įskaitant laiką ar laikotarpį, kada jis įvyko, jei įmanoma – atitinkamų duomenų subjektų ir įrašų kategorijos bei apytikslis skaičius, kontaktinis punktas, kuriame galima gauti daugiau informacijos, tikėtinos pasekmės ir taikytos ar siūlomos priemonės. Tai, kas pirmojo pranešimo metu dar nenustatyta, pateikiame be tolesnio nepagrįsto delsimo.

(3) Nedelsdami imamės priemonių, reikalingų pažeidimui pašalinti ir jo pasekmėms sušvelninti, ir su Klientu suderiname tolesnius veiksmus. Kiekvieną pažeidimą dokumentuojame nurodydami faktus, jo poveikį ir taikytus taisomuosius veiksmus, o paprašius dokumentus pateikiame Klientui.

(4) Priežiūros institucijai praneša arba duomenų subjektus informuoja Klientas. Mes tai darome tik pagal jo nurodymus.

(5) Pranešimus apie trečiųjų šalių Paslaugoje rastas saugumo spragas priimame puslapyje Saugumas.

(6) Pranešimas ir mūsų bendradarbiavimas pagal šį skirsnį nereiškia pareigos pažeidimo ar atsakomybės pripažinimo. Jei pažeidimas paveikia ir duomenis, kurių atžvilgiu duomenų valdytojas esame patys, dėl tų duomenų vykdome savo pačių pareigas pagal BDAR Art. 33 ir 34; tai darydami Kliento duomenis atskleidžiame tik tiek, kiek tam būtina.

§ 14 Įrodymai ir auditai

(1) Klientui pateikiame visą informaciją, būtiną įrodyti, kad laikomasi BDAR Art. 28 nustatytų pareigų, ir sudarome sąlygas bei prisidedame prie Kliento ar jo įgalioto auditoriaus atliekamų auditų, įskaitant patikrinimus (BDAR Art. 28(3) antro sakinio h punktas).

(2) Atitiktį pirmiausia įrodome dokumentais: priemonių aprašymu, pagalbinių duomenų tvarkytojų sąrašu, Duomenų tvarkymo veiklos įrašais, apimančiais tvarkymą klientų vardu (BDAR Art. 30(2)), rašytiniais atsakymais į klausimynus ir, paprašius, žurnalų ar atkūrimo testo rezultatų ištraukomis. Į klausimynus atsakome per 30 dienų nuo gavimo, o kai yra 4 dalyje nurodyta priežastis, – taip greitai, kaip tos priežasties reikalaujama. Išorinių audito ataskaitų ar sertifikatų šiuo metu nėra; tai nurodome, kad niekas nemanytų, jog jie yra.

(3) Jei dokumentų nepakanka, Klientas gali prašyti atlikti auditą, taip pat vietoje. Apie įprastą auditą Klientas praneša ne vėliau kaip prieš 30 dienų rašytine forma, nurodydamas jo dalyką, numatomą trukmę ir auditorių; jis atliekamas įprastomis darbo valandomis Lenkijoje ir suplanuojamas taip, kad be reikalo netrikdytų veiklos. Įprasti auditai vietoje atliekami ne dažniau kaip kartą per kalendorinius metus; 4 dalis lieka nepaveikta.

(4) Kai yra skubi priežastis, fiksuoto laukimo laikotarpio nėra. Asmens duomenų saugumo pažeidimo atveju, kai yra konkrečių šios Sutarties ar BDAR pažeidimo požymių, ir kai auditą atlikti prašo priežiūros institucija, netaikomas nei 30 dienų įspėjimo terminas, nei vieno audito per metus apribojimas. Tada auditas atliekamas taip greitai, kaip reikalauja priežastis ir kaip įmanoma organizaciniu požiūriu.

(5) Klientas gali įgalioti auditorių, kuris yra įsipareigojęs laikytis konfidencialumo ir kuris nei pats siūlo su formexposed panašią paslaugą, nei dirba tokiam paslaugų teikėjui. Galime reikalauti, kad auditoriai neišsineštų ir neužfiksuotų kitų klientų paslapčių, prisijungimo duomenų ar saugumo duomenų. Klientas ir jo auditorius tai, ką audito metu sužino apie mūsų veiklą, laiko konfidencialia informacija ir naudoja tik tam, kad patikrintų, ar laikomasi šios Sutarties ir BDAR; jie gali ją atskleisti kompetentingai priežiūros institucijai, konfidencialumo įsipareigojusiems patarėjams ir tiek, kiek reikalauja įstatymai. Tokie susitarimai negali paneigti įstatymais nustatytų audito teisių.

(6) Kiekviena šalis pati padengia savo audito išlaidas. Jei mūsų bendros sąnaudos Kliento auditams ir klausimynams per kalendorinius metus viršija aštuonias valandas, už viršijantį laiką galime imti atlygį pagal valandinį įkainį, kurį iš anksto nurodome rašytine forma, bet ne tada, kai auditas atskleidžia mūsų padarytą pažeidimą arba atliekamas dėl 4 dalyje nurodytos priežasties, už kurią atsakome mes. Paties audito nesiejame su apmokėjimu.

(7) Priežiūros institucijų įgaliojimai lieka nepaveikti. Mums kompetentinga priežiūros institucija yra Asmens duomenų apsaugos tarnybos pirmininkas (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Abi šalys, paprašius, pateikia kompetentingai priežiūros institucijai šiame skirsnyje nurodytą informaciją, įskaitant auditų rezultatus.

§ 15 Ištrynimas ir grąžinimas

(1) Sutarties galiojimo metu taikomi 1 priede nurodyti saugojimo terminai. Jų laikomasi kas naktį vykdant trynimo procesą, kuris trina pagal tuos pačius nustatymus, kurie nurodyti ir tekstuose.

(2) Pasirinkimas tarp grąžinimo ir ištrynimo. Pasibaigus tvarkymui, Klientas sprendžia, ar Kliento duomenis grąžiname, ar ištriname (BDAR Art. 28(3) antro sakinio g punktas). Grąžinama naudojant duomenų eksportą, kurį Klientas gali pats atsisiųsti nustatymuose kaip mašininio skaitymo failą, arba mes tai padarome gavę prašymą rašytine forma per 30 dienų – tokiu atveju grąžinami ir eksporte nesantys Kliento duomenys, kiek juos įmanoma grąžinti (4 dalis). Ištrinama pašalinant domeną, kartu ištrinant jo duomenis, arba ištrinant paskyrą, ką Klientas inicijuoja pats. Jei Klientas nori ir grąžinimo, ir ištrynimo, jis pirmiausia atsisiunčia eksportą, o tada ištrina.

(3) Jei Klientas nieko nepasirenka ir ištrina savo paskyrą, tai laikoma ištrynimo pasirinkimu. Ištrynus paskyrą, darbo sritys, kurių vienintelis savininkas yra Klientas, kartu su visais Kliento duomenimis nedelsiant ištrinamos veikiančioje sistemoje. Jei darbo srityje yra kitų narių, ji pereina ilgiausiai jai priklausančiam nariui, administratoriams pirmiau nei peržiūrėtojams, ir nėra ištrinama; tas narys taip tampa tos darbo srities Klientu. Kas to nenori, prieš ištrindamas pašalina kitus narius arba domenus. Jei paskyros sutartis baigiasi kitaip, pavyzdžiui, mums ją nutraukus pagal Paslaugų teikimo sąlygas, kartu su pranešimu apie nutraukimą nurodome Klientui eksportą, ir Klientas gali jį atsisiųsti iki sutarties pabaigos. Ne vėliau kaip per 30 dienų po sutarties pabaigos ištriname paskyrą kartu su Kliento duomenimis; šiuo metu tai daroma rankiniu būdu.

(4) Iš anksto nurodome, ko grąžinti neįmanoma: prisijungimo duomenys patikrinimui už prisijungimo nėra eksporto dalis, nes žiniatinklio serveris negali jų iššifruoti (1 priedo 5 punktas); pristatymo patikrinimo kopijų po apdorojimo nebėra; „Fix it for me“ kodas visai nesaugomas.

(5) Atsarginės kopijos. Duomenų bazės atsarginė kopija daroma kiekvieną naktį. Kiekviena atsarginė kopija ištrinama po 14 dienų. Veikiančioje sistemoje ištrinti Kliento duomenys iki tol lieka senesnėse atsarginėse kopijose; atskiri įrašai iš atsarginės kopijos atrankiniu būdu netrinami, nes atsarginė kopija turi būti nepakitęs tam tikro momento vaizdas. Kol nesibaigia jų galiojimas, atsarginės kopijos saugomos taip pat kaip ir pati duomenų bazė ir naudojamos tik atkūrimui ir atkūrimo testavimui; jose neieškoma ir jos neanalizuojamos. Jei tenka atkurti atsarginę kopiją, prieš vėl paleisdami Paslaugą pakartotinai įvykdome po jos datos pateiktus ištrynimo prašymus, kiek apie juos žinome. Todėl įrašas iš atsarginių kopijų išnyksta ne vėliau kaip per 14 dienų nuo jo ištrynimo veikiančioje sistemoje.

(6) Šiuo metu neturime pareigos saugoti Kliento duomenų. Jei pagal Sąjungos ar Lenkijos teisę atsirastų įstatyminė saugojimo pareiga, atitinkamų duomenų užuot ištrynę apribojame jų tvarkymą, naudojame juos tik tam tikslui ir ištriname, kai pareiga baigiasi.

(7) Paprašius per 30 dienų rašytine forma patvirtiname ištrynimą, nurodydami, kas pagal 5 ir 6 dalis dar egzistuoja ir iki kada.

§ 16 Pažeidimai, sustabdymas ir nutraukimas

(1) Jei dėl kokios nors priežasties negalime vykdyti pareigos pagal šią Sutartį, nepagrįstai nedelsdami informuojame Klientą.

(2) Jei pažeidžiame šią Sutartį ar BDAR, Klientas gali reikalauti, kad sustabdytume atitinkamų Kliento duomenų tvarkymą, kol pažeidimas bus pašalintas. Jei pažeidimas tęsiasi arba yra rimtas, Klientas gali dėl svarbios priežasties nutraukti Paslaugos sutartį, visų pirma jei pažeidimo nepašaliname per vieną mėnesį nuo pranešimo apie jį arba nevykdome su juo susijusio teismo ar priežiūros institucijos sprendimo. Iš anksto sumokėtus mokesčius už laikotarpį po sutarties pabaigos grąžiname proporcingai.

(3) Jei Klientas primygtinai reikalauja vykdyti nurodymą, kurį pagal § 4(4) laikome neteisėtu, galime nutraukti atitinkamos paslaugos sutartį, jei apie tai iš anksto pranešėme Klientui ir jis per vieną mėnesį nurodymo nepakeitė.

(4) Nutraukus sutartį, taikomas § 15.

§ 17 Atsakomybė

(1) Duomenų subjekto patirtai žalai taikomas BDAR Art. 82. Šios atsakomybės neriboja joks sutartinis atsakomybės apribojimas, įskaitant nustatytąjį Paslaugų teikimo sąlygose.

(2) Jei šalis sumokėjo duomenų subjektui kompensaciją pagal BDAR Art. 82, ji gali iš kitos šalies susigrąžinti dalį, atitinkančią kitos šalies atsakomybės už žalą dalį (BDAR Art. 82(4) ir (5)). Šio regreso taip pat neriboja Paslaugų teikimo sąlygose nustatyti atsakomybės apribojimai.

(3) Visiems kitiems Kliento ir mūsų reikalavimams pagal šią Sutartį, pavyzdžiui, dėl šalies pačios patirtos žalos ar išlaidų atlyginimo, taikomos Paslaugų teikimo sąlygų atsakomybės taisyklės, kiek tai leidžia įstatymai. Už pagalbinius duomenų tvarkytojus pagal § 9(5) atsakome kaip už savo pačių veiksmus. Priežiūros institucijos šaliai skirtą baudą už jos pačios pažeidimą moka pati ta šalis.

(4) Jei duomenų subjektas ar priežiūros institucija pareiškia šaliai reikalavimą, ta šalis nepagrįstai nedelsdama informuoja kitą šalį, ir abi bendradarbiauja aiškinantis aplinkybes. Nė viena šalis be kitos šalies sutikimo nepripažįsta reikalavimo, dėl kurio ketina pareikšti regresinį reikalavimą kitai šaliai; be objektyvios priežasties atsisakyti duoti sutikimą negalima.

§ 18 Kontaktinis punktas ir duomenų apsaugos pareigūnas

(1) Su šia Sutartimi susijusius duomenų apsaugos klausimus, nurodymus ir pranešimus Klientas siunčia adresu contact@lukaswojcik.com arba per pagalbos langą ir puslapį Kontaktai. Mūsų pranešimai pagal šią Sutartį siunčiami paskyros turėtojo el. pašto adresu; Klientas užtikrina, kad jis būtų aktualus.

(2) Duomenų apsaugos pareigūno nepaskyrėme, nes, mūsų vertinimu, BDAR Art. 37(1) sąlygos nėra įvykdytos. Jei tai pasikeistų, apie paskyrimą paskelbsime šioje Sutartyje.

§ 19 Baigiamosios nuostatos

(1) Pirmenybė. Jei Paslaugų teikimo sąlygų ar kito susitarimo nuostata prieštarauja šiai Sutarčiai, visais su Kliento duomenų tvarkymu susijusiais klausimais pirmenybė teikiama šiai Sutarčiai; paties Kliento bendrosios sąlygos netaikomos. Šios Sutarties pakeitimai ir papildymai atskiru atveju turi būti rašytinės formos ir aiškiai į ją nurodyti; jie tampa šios Sutarties dalimi ir jų nuostatų apimtimi turi pirmenybę prieš ją. Jei ši Sutartis prieštarauja imperatyviosioms BDAR nuostatoms, pirmenybė teikiama toms nuostatoms.

(2) Pakeitimai. Šią Sutartį keičiame tik dėl vienos iš šių objektyvių priežasčių: pasikeitus teisei ar jos aiškinimui teismuose ir institucijose, įskaitant naujas Europos Komisijos standartines sutarčių sąlygas; pasikeitus Paslaugai, jos funkcijoms ar techniniam pagrindui; pasikeitus trečiajai šaliai, kai tai būtina Paslaugai teikti; siekiant užkirsti kelią piktnaudžiavimui ar saugumo rizikai; arba siekiant ištaisyti klaidas ir neaiškumus. Apie pakeitimus, nurodydami pakeistą formuluotę, priežastį ir planuojamą datą, pranešame ne vėliau kaip prieš 30 dienų el. laišku paskyros turėtojo adresu ir pakeitimų apžvalgoje. Be šio įspėjimo termino keičiame tik tai, kas yra išimtinai Kliento naudai, yra grynai kalbinio pobūdžio ar ištaiso akivaizdžias klaidas, ko įstatymas, teismas ar institucija reikalauja per trumpesnį terminą, ir kas būtina neišvengiamai saugumo rizikai pašalinti; ir šiais atvejais apie pakeitimą pranešame kuo greičiau ir nurodome priežastį. Tylėjimas nereiškia sutikimo. Kai pakeitimui reikia Kliento sutikimo, jį gauname aiškiai; be jo toliau taikoma ankstesnė redakcija, o įstatyminės ir sutartinės nutraukimo teisės išlieka. Klientas gali rašytine forma pareikšti prieštaravimą dėl paskelbto pakeitimo, kol jis neįsigaliojo; pasekmės nustatomos pagal Paslaugų teikimo sąlygų nuostatas dėl prieštaravimų pakeitimams. 2 ir 3 priedų pakeitimams taikomi § 8(3) ir § 9(2) bei (3). Visos versijos užfiksuotos apžvalgoje Sutarties dokumentų pakeitimai.

(3) Taikytina teisė ir jurisdikcija. Taikoma Paslaugų teikimo sąlygose nustatyta teisė; imperatyviosios BDAR nuostatos lieka nepaveiktos. Jurisdikcija nustatoma pagal Paslaugų teikimo sąlygas.

(4) Kalba. Sutartis pateikiama visomis oficialiosiomis Europos Sąjungos kalbomis. Esant neatitikimų, pirmenybė teikiama lenkiškai versijai.

(5) Jei kuri nors nuostata negalioja, likusi Sutarties dalis lieka galioti. Negaliojanti nuostata pakeičiama įstatymo nuostata, kuri artimiausia jos tikslui; abejonės atveju – nuostata, atitinkančia BDAR Art. 28(3) reikalavimus.

1 priedas. Tvarkymas Kliento vardu

Šiame priede kiekvienai funkcijai aprašomas tvarkymo dalykas, pobūdis ir tikslas, asmens duomenų rūšys, duomenų subjektų kategorijos ir ištrynimas (BDAR Art. 28(3) pirmas sakinys). Jei nenurodyta kitaip, tvarkymo pobūdis yra: rinkimas, saugojimas, išgava, sulyginimas, perdavimas Kliento nurodytiems adresatams ir ištrynimas. Tvarkymo vieta – mūsų pačių serveriai Lenkijoje; kai dalyvauja pagalbinis duomenų tvarkytojas, tai nurodoma. Terminai riestiniuose skliaustuose yra nustatymai, pagal kuriuos faktiškai veikia naktinis trynimo procesas. Tvarkymo trukmė – šios Sutarties galiojimo terminas (§ 3); per tą terminą taikomi kiekvienai funkcijai nurodyti ištrynimo terminai. Tvarkymas vyksta nuolat, kol Klientas naudoja funkciją. Specialių kategorijų asmens duomenys nėra tvarkymo dalykas; jei jie vis dėlto patenka į Paslaugą per formų el. laiškus, taikomas § 6(4).

1. Pristatymo patikrinimas

Tikslas: patikrinti, ar Kliento formos el. laiškai pasiekia adresatą ir ar jie autentiški (SPF, DKIM, DMARC).

Kaip tai veikia: funkcija yra pasirenkama. Klientas savo formoje įrašo kontrolinės pašto dėžutės adresą kaip slaptąją kopiją (Bcc). Dėl to mums siunčiama kiekvieno formos el. laiško kopija – ne tik mūsų bandomųjų pateikimų kopijos, bet ir tikrų jo lankytojų užklausų kopijos. Automatinis nuskaitymas per IMAP nuskaito antraštes ir ne daugiau kaip pirmuosius 8 KB teksto, priskiria el. laišką domenui ir, jei taikoma, bandomajam pateikimui ir patikrina autentiškumo požymius. Po sėkmingo apdorojimo el. laiškas ištrinamas iš pašto dėžutės. Įvykus nuskaitymo ar ištrynimo klaidai, jis gali likti pašto dėžutėje iki kito sėkmingo proceso.

Duomenys: formų el. laiškų turinys ir antraštės su viskuo, ką įveda lankytojai, pavyzdžiui, vardu ir pavarde, el. pašto adresu, telefono numeriu ir žinute, taip pat siuntėjų ir gavėjų adresai bei techninė informacija apie dalyvaujančius pašto serverius.

Duomenų subjektai: Kliento svetainės lankytojai, kurie pateikia formą; formų el. laiškų gavėjai Kliento organizacijoje.

Kas saugoma ir ištrynimas: duomenų bazėje saugomas tik laikas, priskyrimas domenui, jei taikoma – bandomojo pateikimo identifikatorius ir autentiškumo patikrinimo rezultatai. Laikas ir priskyrimas saugomi 180 dienų; naujausias autentiškumo patikrinimo rezultatas saugomas prie domeno, kol jį pakeičia kitas el. laiškas arba domenas ištrinamas. Autentiškumo patikrinimo rezultate yra pristatančiojo pašto serverio IP adresas ir siuntėjo adreso domenas; įspėjime šis domenas nurodomas tik tada, kai jis nepriklauso svetainei. Lankytojų turinys ir visi siuntėjų adresai duomenų bazėje nesaugomi. Pats el. laiškas iš pašto dėžutės ištrinamas po sėkmingo apdorojimo arba, įvykus nuskaitymo ar ištrynimo klaidai, – vėliau.

Dalyvauja: pašto paslaugų teikėjas (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pašto dėžutei; kopijos jį pasiekia tiesiogiai per mūsų domeno MX įrašus, o ne per peradresavimą, žr. Pagalbiniai duomenų tvarkytojai.

Apribojimas: sutapimas patvirtina tik tai, kad atitinkama kopija pasiekė kontrolinę pašto dėžutę, o ne tai, kad ją gavo tikrasis gavėjas ar kad ji įrašyta į CRM. Be kontrolinės pašto dėžutės funkcija neprieinama. Kopijose neturėtų būti specialių kategorijų asmens duomenų (§ 6(4)).

2. Klientų portalas ir mėnesinė ataskaita prenumeratoriams

Tikslas: Kliento vardu siųsti mėnesinę ataskaitą apie svetainės formas, paprastai – agentūros jos pačios klientams, ir teikti portalą su šiomis ataskaitomis.

Duomenys: el. pašto adresas, kalba, prenumeratos laikas ir IP adresas, patvirtinimo (dvigubas patvirtinimas, double opt-in) ir prenumeratos atsisakymo laikas; ataskaitos turinys (domenas, patikrinimų rezultatai, skaičiai).

Duomenų subjektai: Kliento klientai ir kontaktiniai asmenys, kurie užsiprenumeruoja ataskaitą.

Ištrynimas: nepatvirtintos prenumeratos – po 30 dienų. Atsisakius prenumeratos, prenumeratos, patvirtinimo ir atsisakymo įrašas saugomas trejus metus, kad Klientas galėtų įrodyti sutikimą. Viskas ištrinama ne vėliau kaip kartu su darbo sritimi; vien portalo atšaukimas jo prenumeratorių neištrina.

Dalyvauja: pašto paslaugų teikėjas (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) siuntimui.

3. Įspėjimai, ataskaitos ir incidentai

Tikslas: pristatyti įspėjimus, suvestines ir ataskaitas Kliento nustatytiems adresatams ir valdyti incidentus.

Duomenys: el. pašto adresai, webhook ir pokalbių kanalų adresai, Telegram pokalbio ID, kai gavėjas jį susieja; pranešimų turinys (domenas, įvykis, laikas, nuoroda į Paslaugą, patikrinimų įspėjimuose – ataskaitos nuoroda, per kurią rezultatus ir ekrano kopijas galima pasiekti neprisijungus; Telegram vietoj ataskaitos nuorodos gauna tik nuorodą į domeno puslapį paskyroje, kuriam reikia prisijungti); siuntimo žurnalas; eskalavimo pristatymo bandymai pagal incidentą ir adresatą (skaičius, laikas, rezultatas, klaida); incidentą patvirtinusio asmens vardas ar el. pašto adresas ir atsakingas asmuo su terminu.

Duomenų subjektai: Kliento darbuotojai ir paslaugų teikėjai, kurie gauna įspėjimus ar tvarko incidentus.

Ištrynimas: adresatai – kol Klientas juos pašalina arba ištrina domeną; siuntimo žurnalas – po 90 dienų; surinkti pranešimai – praėjus 30 dienų po išsiuntimo; incidentai – kol neišspręsti ir 180 dienų po išsprendimo, kartu su jų eskalavimo pristatymo bandymais.

Dalyvauja: pašto paslaugų teikėjas (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) el. paštui; pokalbių paslaugoms ir webhook'ams – Kliento pasirinkti paslaugų teikėjai (§ 9(6)).

4. Kliento svetainių tikrinimas: atsitiktinai matomi asmenys

Tikslas: tikrinti ir stebėti formas ir jų apsaugą Kliento domenuose, kuriuos kontroliuoti jis įrodė. Kol domeno įrodymo nėra, jį tikriname tik pasyviai ir šių patikrinimų atžvilgiu duomenų valdytojas esame patys; tai aprašyta Privatumo politikoje.

Duomenys: patikrinimas nuskaito viešus domeno puslapius: puslapių adresus, formų struktūrą (laukų pavadinimus, tipus, etiketes, privalomumo ir matomumo atributus, be reikšmių; iš anksto užpildytų paslėptų laukų ir duomenų atributų pradžias skaitytuvas nuskaito tik patikrinimo metu ir jų nesaugo), įterptus scenarijus, apsaugos priemones. Jis daro pagrindinio puslapio matomos srities ir formų ekrano kopijas, o aktyvių bandomųjų pateikimų atveju – ir atsakymo puslapio ekrano kopiją; jos neredaguojamos. Jose ir nuskaitytame puslapio turinyje gali būti asmens duomenų, kuriuos skelbia pats Klientas, pavyzdžiui, kontaktinių asmenų vardai, pavardės ir kontaktiniai duomenys, nuotraukos ar atsiliepimai. Formų gavėjų adresus saugome tik kaip domeną. Kiekvienam patikrinimui Paslauga sukuria ataskaitą su atsitiktine nuoroda, per kurią rezultatus ir ekrano kopijas galima pasiekti neprisijungus, kol patikrinimas ištrinamas; nuoroda rodoma paskyroje ir įspėjimuose (3 punktas). Kas perduoda nuorodą, tas perduoda ataskaitą.

Duomenų subjektai: asmenys, kurių duomenys matomi Kliento svetainėje.

Ištrynimas: patikrinimų rezultatai, įskaitant ekrano kopijas, – ne ilgiau kaip 13 mėn.; naujausias patikrinimas saugomas tol, kol domenas yra paskyroje. Pašalinus domeną, ištrinami domeno duomenys, įskaitant patikrinimus, radinius ir ekrano kopijas.

Pastaba: mūsų pačių serveryje veikiantis kalbos modelis padeda klasifikuoti formas, kurių paskirties vien taisyklės negali atpažinti. Tokiu būdu klasifikuotos formos niekada nepateikiamos ir neįskaičiuojamos į balą ar verdiktą. Aktyviuose bandomuosiuose pateikimuose (ne daugiau kaip penki per patikrinimą) yra tik pažymėti bandomieji tekstai be asmens duomenų.

5. Bandomosios paskyros prisijungimo duomenys patikrinimui už prisijungimo

Tikslas: nuskaityti formas iki penkių Kliento nurodytų puslapių už prisijungimo. Tik patvirtintiems domenams, tik darbo srities savininkams ir administratoriams, tik mokamuose planuose. Bandomoji paskyra naudojama tik išsamiame patikrinime, ne naršyklės patikrinimuose (6 punktas).

Duomenys: bandomosios paskyros prisijungimo adresas, naudotojo vardas ir slaptažodis, informacija apie prisijungimo laukus; visa, kas šiai paskyrai matoma nuskaitytuose puslapiuose, kiek tai susiję su formų struktūra.

Duomenų subjektai: asmuo, kurio vardu laikoma bandomoji paskyra, jei ji priskirta asmeniui; asmenys, kurių duomenys matomi bandomojoje paskyroje.

Apsauga: naudotojo vardas ir slaptažodis žiniatinklio serveryje užšifruojami tikrinimo serverio viešuoju raktu ir susiejami su domenu. Iššifruoti juos gali tik tikrinimo serveris, patikrinimo metu; žiniatinklio serveryje, duomenų bazėje ir atsarginėse kopijose yra tik šifruotas tekstas. Prisijungimo duomenys niekada nerodomi, niekada neregistruojami žurnaluose ir niekada neišvedami per sąsają; naudotojo sąsaja rodo tik pirmąjį naudotojo vardo simbolį ir jo ilgį. Už prisijungimo niekas nepateikiama, neatliekamas joks aktyvus testas ir nedaromos ekrano kopijos; atsijungimo, ištrynimo ar atšaukimo puslapiai nelankomi.

Ištrynimas: kol Klientas pašalina prisijungimo duomenis arba ištrina domeną; pašalinus šifruotas tekstas perrašomas ir išvalomos laukiančios užduotys. Prie atskiros patikrinimo užduoties pridėta kopija išvaloma po proceso, o bet kokie likučiai – ne vėliau kaip po vienos valandos.

6. Formų keliai ir naršyklės patikrinimai

Tikslas: pasikartojantys patikrinimai, ar sukonfigūruotos formos veikia tikroje naršyklėje iki momento prieš pateikimą.

Duomenys: formų adresai, selektoriai, ankstesni paspaudimai ir patikrinimo žingsniai, naršyklės pasirinkimas, atsakingas asmuo ir terminas; rezultatai su būsena, techninėmis klaidų kategorijomis, išvalytais klaidų pranešimais, laiko matavimais ir formos ekrano kopija, kurioje įvesties laukai uždengti. Ryšys su asmeniu daugiausia atsiranda per atsakingą asmenį ir per turinį, kurį Klientas pats įrašo į žingsnius ar etiketes.

Duomenų subjektai: Kliento darbuotojai, kuriems priskirtos formos.

Ištrynimas: konfigūracijos – kol ištrinamas domenas; Klientas gali jas keisti ar išjungti atskirai, tačiau šiuo metu negali jų atskirai pašalinti. Rezultatai – po 13 mėn.

Apribojimas: naršyklės patikrinimai nieko nepateikia. Nepriklausomas antrasis zondas Paslaugoje numatytas, tačiau šiuo metu nesukonfigūruotas; be jo patvirtinimo iš antros vietos nėra. Jei jis būtų sukonfigūruotas pas trečiąją šalį, taikomas § 9.

7. „Fix it for me“

Tikslas: įterpti apsauginį komponentą į formos kodą, kurį įklijuoja Klientas.

Duomenys: įklijuotas kodas, jei jame yra asmens duomenų, pavyzdžiui, komentaruose, pavyzdinėse reikšmėse ar įrašytuose adresuose.

Duomenų subjektai: asmenys, kurių duomenys yra kode.

Tvarkymas ir ištrynimas: komponentą įterpia mūsų pačių serveryje veikiantis kalbos modelis. Kodas apdorojamas tik užklausos metu ir nesaugomas. Paslauga veikia be prisijungimo prie Kliento sistemų duomenų ir nieko neįdiegia jo serveriuose.

8. Nuosavas prekės ženklas (white-label)

Tikslas: rodyti Kliento prekės ženklą ataskaitose ir klientų portale.

Duomenys: įmonės pavadinimas, svetainė, kontaktiniai duomenys ir logotipas, jei taikoma – kontaktinio asmens vardas, pavardė ir kontaktiniai duomenys.

Duomenų subjektai: Kliento kontaktiniai asmenys.

Ištrynimas: kol Klientas duomenis pakeičia ar ištrina, ne vėliau kaip kartu su darbo sritimi.

9. Papildomi skaičiai be ryšio su asmeniu

Pasirenkamuose WordPress plėtinio formų ir laukų klaidų skaičiuose nėra įvesties, laukų pavadinimų ar lankytojų identifikatorių, ir jie saugomi 13 mėn. Formų kelių įrašymo įrankis žingsnius Kliento naršyklėje saugo ne ilgiau kaip 15 minučių; vietiniai dienos skaitikliai jo svetainėje lieka ne ilgiau kaip 14 dienų. Juos išvardijame čia, kad vaizdas būtų išsamus; dėl savo konstrukcijos jie nėra Kliento duomenys.

10. Formų apsauga (formconfirmed)

Šis punktas taikomas tik tuo atveju, jei Klientas įjungia formų apsaugą (Paslaugų teikimo sąlygų 5.7 punktas).

Tikslas: įvertinti per Kliento svetainių formas atliktus pateikimus, kad būtų atpažinti automatizuoti pateikimai.

Kaip tai veikia: atidarius puslapį su apsaugota forma, scenarijus lankytojo naršyklėje gauna iš mūsų serverio pasirašytą užduotį ir ją išsprendžia (skaičiavimo įrodymas). Pateikiant formą, Kliento serveris pateikia rezultatą mūsų patikros sąsajai. Tikriname patikros žetono parašą, amžių, vienkartinį panaudojimą ir domeną, taip pat kitus signalus, pavyzdžiui, pildymo laiką, nematomą spąstų lauką ir pasikartojančias užklausas iš to paties sutrumpinto adreso. Jei Klientas įjungia turinio patikrą, kalbos modelis įvertina žinutės tekstą, kurį kartu atsiunčia Kliento serveris. Grąžinamas balas su rekomenduojamu veiksmu ir priežastimis; kas daroma su pateikimu, sprendžia Klientas. Nenaudojami nei slapukai, nei saugojimas naršyklėje, nei įrenginio piršto atspaudas.

Duomenys: lankytojo IP adresas gaunant užduotį ir atliekant patikrą, puslapio adresas ir domenas, laiko momentai ir pildymo laikas, ar buvo užpildytas spąstų laukas, naršyklės identifikatorius žiniatinklio serverio žurnale; tik įjungus turinio patikrą – žinutės tekstas.

Duomenų subjektai: Kliento svetainių lankytojai, kurie atidaro puslapį su apsaugota forma arba pateikia tokią formą.

Saugojimas ir ištrynimas: IP adresas saugomas tik sutrumpintas (IPv4 be paskutinio baito, IPv6 pirmieji 48 bitai) ir kaip maišos reikšmė su kasdien besikeičiančiu raktu, vieną valandą; panaudoti patikros žetonai – ne ilgiau kaip vienuolika minučių; patikros rezultatai be IP adreso ir be teksto (veiksmas, balas, priežastys, domenas, turinio patikros kategorija) – 30 dienų; dienos rodikliai be sąsajos su asmenimis – 400 dienų; žiniatinklio serverio žurnalas – 14 dienų. Žinutės tekstas tvarkomas tik operatyviojoje atmintyje ir nei saugomas, nei registruojamas žurnaluose, nei naudojamas mokymui.

Kur: mūsų pačių serveriuose Lenkijoje, kalbos modelis – mūsų pačių aparatinėje įrangoje; papildomų pagalbinių duomenų tvarkytojų nėra.

2 priedas. Techninės ir organizacinės priemonės

Priemonės išdėstytos puslapyje Techninės ir organizacinės priemonės. Jis yra šios Sutarties dalis atitinkamu metu paskelbta redakcija; pakeitimams taikomas § 8(3).

3 priedas. Pagalbiniai duomenų tvarkytojai

Leisti pagalbiniai duomenų tvarkytojai išvardyti puslapyje Pagalbiniai duomenų tvarkytojai. Jis yra šios Sutarties dalis atitinkamu metu paskelbta redakcija; pakeitimams taikomi § 9(2) ir (3).

Neišspręsta iki paleidimo: numatomas pašto paslaugų teikėjas yra Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Šiam naudojimui taikoma duomenų tvarkymo sutartis, faktinės tvarkymo vietos ir tinkamas perdavimo pagrindas dar turi būti dokumentuoti. Ši versija nepatvirtina nei sudarytos sutarties, nei sertifikavimo pagal duomenų privatumo sistemą (Data Privacy Framework).

Versija

2026 m. spalio 29 d. versija 2.2, pakeičianti versiją 2.1. Pakeista: naujas 1 priedo 10 punktas dėl formų apsaugos formconfirmed; jis taikomas tik tuo atveju, jei Klientas ją įjungia. Jokia kita nuostata nekeičiama.

2026 m. spalio 22 d. versija 2.1, pakeičianti versiją 2.0. Pakeista: esant neatitikimų, dabar pirmenybė teikiama lenkiškai, o ne vokiškai versijai; Sutartis pateikiama visomis oficialiosiomis Europos Sąjungos kalbomis (kalbos sąlyga). Jokia kita nuostata nekeičiama.

2026 m. spalio 11 d. versija 2.0, pakeičianti 2026 m. spalio 9 d. versiją. Pakeista: struktūra pagal BDAR Art. 28(3) su nuoroda į standartines sutarčių sąlygas 2021/915; 1 priedas išsamus kiekvienai funkcijai, dabar įskaitant prisijungimo duomenis patikrinimui už prisijungimo, formų kelius ir pristatymo patikrinimo apribojimus; techninės ir organizacinės priemonės bei pagalbinių duomenų tvarkytojų sąrašas yra atskiri puslapiai ir yra Sutarties dalis kaip 2 ir 3 priedai; pasirinkimas tarp grąžinimo ir ištrynimo, atsarginės kopijos su galiojimo pabaiga ir pakartotiniu ištrynimo prašymų vykdymu, jokio fiksuoto laukimo laikotarpio skubiems auditams, atsakomybė už pagalbinius duomenų tvarkytojus kaip už savo pačių veiksmus.

Kuo galime padėti?