Paslaugos teikėjas
- Pavadinimas: Martynas Prascevičius (individuali veikla)
- Įmonės kodas: individualios veiklos pažyma Nr. 1549911 (įmonės kodo nėra)
- Adresas: Gytarių g. 5-4, Šiauliai, 78361 Šiaulių m. sav.
- El. paštas: info@grafikas360.lt
1. Kas mes esame
Ši privatumo politika paaiškina, kaip grafikas360 (toliau – „mes“) tvarko asmens duomenis. Paslaugą teikia ir šioje politikoje aprašytų duomenų valdytojas yra aukščiau nurodytas paslaugos teikėjas. Su mumis galite susisiekti aukščiau nurodytu el. paštu.
Duomenų apsaugos pareigūno neskyrėme: pagal Bendrojo duomenų apsaugos reglamento (BDAR) 37 straipsnį šiuo metu tai neprivaloma, nes mūsų pagrindinė veikla nėra didelio masto reguliari ir sisteminga asmenų stebėsena ar didelio masto specialių kategorijų duomenų tvarkymas. Visais duomenų apsaugos klausimais kreipkitės aukščiau nurodytu el. paštu.
2. Du vaidmenys: valdytojas ir tvarkytojas
grafikas360 – atostogų planavimo ir apskaitos sistema įmonėms. Darbuotojų duomenis (vardą, pavardę, el. paštą, darbo pradžią, atostogų prašymus, likučius ir kt.) į sistemą suveda ir jų tvarkymo tikslus nustato darbdavys, todėl darbdavys yra šių duomenų valdytojas. Mes juos tvarkome darbdavio vardu ir pagal jo nurodymus, kaip duomenų tvarkytojas, pagal Duomenų tvarkymo sutartį (BDAR 28 straipsnis).
Darbuotojų duomenis daugiausia pateikia darbdavys; dalį jų (atostogų prašymus, pastabas, slaptažodį) darbuotojai įveda sistemoje patys – ir tai taip pat tvarkoma darbdavio vardu. Informuoti darbuotojus apie jų duomenų tvarkymą yra darbdavio pareiga. Jei esate darbuotojas ir norite susipažinti su savo duomenimis, juos ištaisyti, ištrinti ar pasinaudoti kitomis teisėmis, pirmiausia kreipkitės į savo darbdavį – mes jam padėsime įvykdyti jūsų prašymą. Jei kreipsitės tiesiai į mus, jūsų prašymą perduosime darbdaviui.
Toliau ši politika aprašo duomenis, kuriuos tvarkome kaip valdytojas: svetainės ir sistemos lankytojų, kliento administratorių (kaip kliento atstovų) ir atsiskaitymo duomenis bei susirašinėjimą su mumis.
3. Kokius duomenis, kokiais tikslais ir pagrindais tvarkome
| Duomenys | Tikslas | Teisinis pagrindas |
|---|---|---|
| Svetainės ir sistemos lankytojų IP adresas, naršyklės informacija, užklausos laikas ir adresas (serverio žurnaluose); nepavykus išsiųsti laiško – ir gavėjo el. pašto adresas | Paslaugos veikimas ir saugumas, klaidų paieška, piktnaudžiavimo prevencija | Teisėtas interesas (BDAR 6 str. 1 d. f p.) |
| IP adresas ir el. pašto adreso maiša trumpalaikiuose bandymų skaitikliuose (tik operatyviojoje atmintyje) | Prisijungimų, registracijų, slaptažodžio atkūrimų ir kitų veiksmų skaičiaus ribojimas (pvz., slaptažodžių spėliojimo prevencija) | Teisėtas interesas (f p.) |
| Kliento administratorių vardas, pavardė, el. paštas, įmonė, rolė, prisijungimo duomenys (slaptažodžio maiša, prisijungimo sesijos), jiems išsiųstų paslaugos laiškų įrašai | Paskyros sukūrimas, prisijungimas, paslaugos teikimas, paslaugos pranešimai (el. pašto patvirtinimas, slaptažodžio atkūrimas, pranešimai apie naujus atostogų prašymus ir darbuotojų atšauktas atostogas, bandomojo laikotarpio pabaiga, nepavykęs mokėjimas) | Sutarties vykdymas (6 str. 1 d. b p.), kai klientas yra fizinis asmuo; kitais atvejais – teisėtas interesas vykdyti sutartį su klientu, kurio atstovas esate (f p.) |
| Sutikimo su sąlygomis įrašas: įmonės pavadinimas, kuris administratorius (vardas, pavardė, el. paštas), kada ir su kuria dokumentų versija sutiko įmonės vardu | Sutarties sudarymo ir jos sąlygų įrodymas, teisinių reikalavimų gynimas | Sutarties sudarymas (b p.) ir teisėtas interesas įrodyti sutartį ir apginti teisinius reikalavimus (f p.) |
| Atsiskaitymo duomenys: įmonės pavadinimas, administratoriaus el. paštas, planas, aktyvių naudotojų skaičius, mokėjimų būsena; mokėjimų paslaugų teikėjo pranešimai apie mokėjimus (juose gali būti mokėtojo vardas, el. paštas, adresas ir telefono numeris, jei jie nurodyti mokėjimo puslapyje) | Apmokėjimas, sąskaitos, apskaita, ginčai dėl mokėjimų | Sutarties vykdymas (b p.) ar teisėtas interesas gauti apmokėjimą pagal sutartį su klientu (f p.); teisinė prievolė saugoti apskaitos dokumentus (c p.) |
| Jūsų laiškai mums ir mūsų atsakymai | Atsakyti į klausimus ir prašymus, spręsti pretenzijas | Teisėtas interesas (f p.) arba sutarties vykdymas (b p.) |
Mokėjimo kortelės duomenis tiesiogiai tvarko mokėjimų paslaugų teikėjas Stripe; mes jų negauname ir nesaugome. Kliento darbuotojų (tarp jų – kitų naudotojų) duomenis tvarkome tik kaip tvarkytojas (žr. 2 skyrių).
Duomenis gauname iš jūsų, iš jūsų įmonės administratoriaus, kuris jus pakvietė, ir iš mokėjimų paslaugų teikėjo Stripe (mokėjimų būsena ir duomenys, kuriuos nurodėte jo mokėjimo puslapyje).
Sutikimo su Paslaugų teikimo sąlygomis ir Duomenų tvarkymo sutartimi įrašą (įmonės pavadinimas, sutikusio administratoriaus vardas, pavardė ir el. paštas, laikas ir dokumentų versija) saugome, kol galioja sutartis, ir 10 metų po to, kai jai pasibaigus ištriname įmonės duomenis: tiek trunka bendrasis ieškinio senaties terminas (Civilinio kodekso 1.125 straipsnio 1 dalis), per kurį gali tekti įrodyti, su kokiomis sąlygomis klientas sutiko. Įraše lieka tokie duomenys, kokie buvo sutinkant, net jei paskyra vėliau pakeičiama ar ištrinama. IP adreso jame nesaugome. Registracijos, kurios niekas nepatvirtino, įrašą ištriname kartu su ja.
Mūsų teisėti interesai – užtikrinti paslaugos saugumą ir nepertraukiamą veikimą, užkirsti kelią piktnaudžiavimui, vykdyti sutartį su klientu, kurio atstovai ir darbuotojai naudojasi paslauga, įrodyti sutarties sudarymą, gauti apmokėjimą, atsakyti į kreipimusis ir prireikus apginti teisinius reikalavimus. Su tvarkymu, grindžiamu teisėtu interesu, galite nesutikti (žr. 7 skyrių).
Kai klientas yra juridinis asmuo, jo administratorių ir kitų atstovų duomenis tvarkome remdamiesi teisėtu interesu sudaryti ir vykdyti sutartį su klientu, kuriam jie atstovauja (kai klientas yra fizinis asmuo, – sutarties vykdymo pagrindu). Įvertinome, kad toks tvarkymas atitinka pagrįstus atstovų lūkesčius: tvarkome tik paskyrai, paslaugai ir sutarčiai įrodyti būtinus duomenis ir nenaudojame jų kitiems tikslams. Šio vertinimo santrauką pateikiame paprašius.
4. Kam duomenys teikiami ir kur saugomi
Duomenis mūsų vardu tvarko paslaugų teikėjai – serverio nuomos, atsarginių kopijų saugojimo ir el. laiškų siuntimo (Amazon Web Services) bei pašto dėžutės (Zoho) teikėjai, išvardyti subtvarkytojų sąraše. Atsiskaitymo duomenis gauna mokėjimų paslaugų teikėjas Stripe: teikdamas mums mokėjimų paslaugas jis veikia mūsų vardu, o savo tikslais (pvz., sukčiavimo ir pinigų plovimo prevencijai, jam taikomoms teisinėms prievolėms vykdyti) Stripe grupės įmonės duomenis tvarko kaip savarankiški duomenų valdytojai pagal Stripe privatumo politiką. Duomenis galime pateikti ir valstybės institucijoms, kai to reikalauja teisės aktai. Duomenų neparduodame ir nenaudojame reklamai.
Duomenys saugomi Europos Sąjungoje: serveris – Lietuvoje, atsarginės kopijos ir el. laiškų siuntimas – Vokietijoje (Frankfurte), pašto dėžutė – Nyderlanduose ir Airijoje. Amazon Web Services, Stripe ir Zoho priklauso įmonių grupėms, kurių dalis įmonių veikia už Europos ekonominės erdvės ribų, todėl duomenys gali būti perduoti ir joms. Perduodant duomenis Stripe grupės įmonei JAV, taikoma ES ir JAV duomenų privatumo sistema (EU–US Data Privacy Framework; Europos Komisijos 2023 m. liepos 10 d. sprendimas dėl tinkamumo), o jos nesant – Europos Komisijos patvirtintos standartinės sutarčių sąlygos. Amazon Web Services ir Zoho perdavimams (pvz., Zoho techninei pagalbai iš Indijos) taikomos standartinės sutarčių sąlygos; sprendimu dėl tinkamumo jie negrindžiami. Taikomų apsaugos priemonių kopiją galite gauti paprašę aukščiau nurodytu el. paštu.
5. Kiek laiko duomenis saugome
- Kliento administratorių paskyros duomenys – kol galioja sutartis su klientu. Jai pasibaigus, 30 dienų klientas gali gauti savo duomenis (sistemoje arba paprašęs), po to juos ištriname iš veikiančios duomenų bazės, išskyrus sutikimo su sąlygomis įrašą (žr. 3 skyrių).
- Buvusių darbuotojų duomenys (tvarkomi kliento vardu) – kliento pasirinktą laikotarpį po darbuotojo archyvavimo: numatytasis – 3 metai, o kitokį laikotarpį nuo 1 iki 10 metų klientas gali nurodyti mums el. paštu. Tada sistema automatiškai ištrina identifikuojančius duomenis (vardą, el. paštą, gimimo datą, darbo užmokestį, negalios žymą ir kt.). Lieka pseudonimizuota atostogų istorija (datos, rūšys, darbo dienų skaičius), įrašo sukūrimo ir pakeitimo laikas bei veiksmų žurnalas, reikalingi įmonės statistikai ir atskaitomybei. Tai nėra anonimiški duomenys – jie ir toliau saugomi kaip asmens duomenys.
- Išsiųstų paslaugos laiškų įrašai – 90 dienų.
- Atsiskaitymo duomenys (planas, aktyvių naudotojų skaičius, mokėjimų būsena) – kol galioja sutartis su klientu; jai pasibaigus ištriname kartu su kliento paskyros duomenimis.
- Mokėjimų įrašai (mokėjimų paslaugų teikėjo pranešimų apie mokėjimus įrašai: įvykio rūšis ir laikas) – 10 metų nuo metų, kuriais jie gauti, pabaigos; pranešimų turinį (jame gali būti mokėtojo duomenys) ištriname praėjus 90 dienų nuo jų apdorojimo.
- Apskaitos dokumentai (sąskaitos ir kvitai, kuriuos išrašo mokėjimų paslaugų teikėjas Stripe) – 10 metų nuo metų, kuriais jie išrašyti, pabaigos (Gyventojų, besiverčiančių individualia veikla, buhalterinės apskaitos taisyklių, patvirtintų finansų ministro 2003 m. vasario 17 d. įsakymu Nr. 1K-040, 7 punktas).
- Jūsų laiškai mums – kol to reikia klausimui išspręsti ir su juo susijusiems reikalavimams apginti.
- Trumpalaikiai bandymų skaitikliai – tik operatyviojoje atmintyje: jie niekur neįrašomi, juose skaičiuojami ne senesni kaip vienos valandos bandymai, o paleidus sistemą iš naujo jie išnyksta.
Atsarginės kopijos. Duomenų bazės atsargines kopijas darome kasnakt. 7 naujausios kopijos laikomos pačiame serveryje (jas pasiekti gali tik sistemos administratorius), o užšifruota kopija siunčiama į saugyklą Vokietijoje. Pirmąsias 30 dienų išorinių kopijų pakeisti ar ištrinti neįmanoma – tai apsaugo duomenis nuo praradimo ir išpirkos reikalaujančių programų; 35-tą dieną jos ištrinamos automatiškai, o saugykla jas galutinai pašalina paprastai per kitas 1–2 dienas. Todėl ištrinti duomenys iš atsarginių kopijų išnyksta maždaug per 37 dienas.
Serverio prieigos ir sistemos žurnalai (juose yra IP adresai, o nepavykus išsiųsti laiško – ir gavėjo el. pašto adresas) saugomi 14 dienų: žurnalai keičiami kasdien, todėl atskiras įrašas išlieka ne ilgiau kaip 15 dienų.
6. Slapukai ir naršyklės atmintis
Slapukų nenaudojame. Svetainėje nėra analitikos, reklamos ar socialinių tinklų įrankių, o šriftai įkeliami iš mūsų pačių serverio. Sistema jūsų naršyklės vietinėje atmintyje (localStorage) laiko prisijungimo sesijos raktus, paskutinį naudotą įmonės kodą ir jūsų pasirinktus rodinio nustatymus (pvz., šviesų ar tamsų vaizdą). Tai būtina paslaugai teikti arba yra jūsų pačių pasirinkimas, todėl sutikimo nereikia (Elektroninių ryšių įstatymo 73 straipsnio 4 dalis); šie duomenys nesiunčiami trečiosioms šalims.
Mūsų el. laiškuose esantis logotipas įkeliamas iš mūsų serverio, todėl atidarius laišką serverio žurnale gali būti užfiksuotas jūsų ar jūsų el. pašto paslaugų teikėjo IP adresas. Laiškų atidarymo nesekame: logotipo adresas visiems laiškams vienodas.
7. Jūsų teisės
Jūs turite teisę:
- susipažinti su savo duomenimis ir gauti jų kopiją;
- reikalauti ištaisyti netikslius duomenis;
- reikalauti ištrinti duomenis;
- reikalauti apriboti jų tvarkymą;
- nesutikti su tvarkymu, grindžiamu teisėtu interesu;
- gauti savo pateiktus duomenis susistemintu, kompiuterio skaitomu formatu ir perduoti juos kitam valdytojui, kai jie tvarkomi sutarties pagrindu (BDAR 20 straipsnis).
Prašymą pateikite aukščiau nurodytu el. paštu. Atsakysime nedelsdami, ne vėliau kaip per vieną mėnesį; jei prašymas sudėtingas ar prašymų daug, šį terminą galime pratęsti dar dviem mėnesiams, per pirmąjį mėnesį jus apie tai informavę ir nurodę priežastis. Prašymų nagrinėjimas nemokamas. Galime paprašyti patvirtinti tapatybę. Darbuotojai dėl darbdavio suvestų duomenų kreipiasi į darbdavį (žr. 2 skyrių).
Nė vienas mūsų atliekamas duomenų tvarkymas nėra grindžiamas jūsų sutikimu, todėl sutikimo atšaukti nereikia. Tačiau su tvarkymu, grindžiamu teisėtu interesu, galite nesutikti bet kada.
Jei manote, kad jūsų duomenys tvarkomi pažeidžiant teisės aktus, galite pateikti skundą Valstybinei duomenų apsaugos inspekcijai (L. Sapiegos g. 17, LT-10312 Vilnius, www.vdai.lrv.lt). Prašome pirmiausia kreiptis į mus – pasistengsime klausimą išspręsti.
8. Ar privalote pateikti duomenis
Kliento administratoriaus vardas, pavardė, el. paštas ir įmonės pavadinimas reikalingi sutarčiai sudaryti ir paskyrai sukurti. Jų nepateikus, paslaugos teikti negalime.
9. Automatizuoti sprendimai
Automatizuotų sprendimų, kurie sukeltų jums teisinių pasekmių ar panašų reikšmingą poveikį (BDAR 22 straipsnis), nepriimame. Sistema apskaičiuoja atostogų likučius ir teisingumo rodiklius (pavyzdžiui, „šviesoforą“), tačiau sprendimą patvirtinti ar atmesti atostogų prašymą visada priima darbdavio vadovas.
10. Saugumas
Duomenys perduodami tik šifruotu ryšiu (TLS). Slaptažodžiai saugomi tik kaip bcrypt maišos. Kiekvienos įmonės duomenys atskirti pačios duomenų bazės lygiu (eilučių lygio sauga), todėl viena įmonė negali matyti kitos duomenų. Atsarginės kopijos užšifruojamos prieš išsiunčiant jas iš serverio. Prisijungimų, registracijų, slaptažodžio atkūrimų ir kvietimų skaičius ribojamas, slaptieji raktai saugomi taip, kad juos pasiektų tik sistemos administratorius, o sistemos veikimas ir atsarginių kopijų atkuriamumas tikrinami automatiškai.
11. Pakeitimai
Šią politiką galime atnaujinti. Naujausia versija visada skelbiama šiame puslapyje kartu su versijos data. Apie esminius pakeitimus klientų administratoriams pranešame el. paštu ne vėliau kaip prieš 30 dienų.
12. Kontaktai
Klausimus apie asmens duomenis siųskite paslaugos teikėjo el. paštu, nurodytu šio dokumento pradžioje.