Duomenų tvarkymo sutartis

Paslaugų teikimo sąlygų priedas · galioja nuo 2026-10-06 · vertimas į lietuvių kalbą; viršenybę turi versija čekų kalba

Ši sutartis pagal Reglamento (ES) 2016/679 (toliau – BDAR) 28 straipsnį sudaroma tarp Organizacijos, naudojančios platformą Negotiq (toliau – Valdytojas), ir SynQflows, s.r.o., įmonės kodas 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (toliau – Tvarkytojas), ir yra Paslaugų teikimo sąlygų dalis. Ji sudaroma priimant Paslaugų teikimo sąlygas ir galioja visą Sutarties galiojimo laikotarpį. Didžiąja raide rašomos sąvokos turi Paslaugų teikimo sąlygose joms suteiktą reikšmę.

1. Tvarkymo dalykas ir apimtis

2. Valdytojo nurodymai

1. Tvarkytojas tvarko asmens duomenis tik pagal dokumentais įformintus Valdytojo nurodymus, be kita ko, ir dėl perdavimo į trečiąsias valstybes. Nurodymai pateikiami Paslaugų teikimo sąlygomis, šia sutartimi ir Platformos nustatymais; nustatydamas Integraciją (El. laiškų gavimo adresą, ERP prijungimą, Webhook pranešimą, API raktą trečiosios šalies agentui) Valdytojas nurodo tvarkyti duomenis tiek, kiek Integracijai reikia. Kitus nurodymus Organizacijos administratorius teikia tekstine forma.
2. Jeigu Tvarkytojas mano, kad nurodymas pažeidžia BDAR ar kitas duomenų apsaugos taisykles, jis nedelsdamas apie tai informuoja Valdytoją ir iki Valdytojo atsakymo neprivalo vykdyti nurodymo.
3. Jeigu Sąjungos arba valstybės narės teisė reikalauja, kad Tvarkytojas tvarkytų duomenis, jis apie tai iš anksto informuoja Valdytoją, nebent ta teisė tai draudžia (BDAR 28 straipsnio 3 dalies a punktas).
4. Tvarkytojas netvarko Valdytojo asmens duomenų savo tikslais. Anonimizuotoje ir apibendrintoje statistikoje (Paslaugų teikimo sąlygų 11 straipsnio 2 dalis) asmens duomenų nėra. Audito grandinės įrašus, Patvirtinimus ir AP2 įrašus Tvarkytojas tvarko kaip savarankiškas valdytojas pagal Privatumo politiką, o ne pagal šią sutartį.
5. Valdytojas atsako už tvarkymo teisėtumą, duomenų subjektų informavimą ir už tai, kad turi teisę pateikti asmens duomenis Platformoje ir suteikti prieigą prie prijungtų sistemų.

3. Tvarkytojo pareigos

1. Tvarkytojas užtikrina, kad asmenys, įgalioti tvarkyti asmens duomenis, būtų įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma atitinkama įstatymais nustatyta konfidencialumo prievolė.
2. Tvarkytojas įgyvendina 1 priede nurodytas technines ir organizacines priemones pagal BDAR 32 straipsnį. Jis gali jas keisti, jeigu bendras saugumo lygis nesumažėja.
3. Tvarkytojas padeda Valdytojui atsakyti į duomenų subjektų prašymus, visų pirma Platformos priemonėmis (duomenų eksportas JSON formatu, duomenų ištaisymas, Naudotojo paskyros ar Organizacijos panaikinimas). Prašymą, gautą tiesiogiai iš duomenų subjekto, jis nepagrįstai nedelsdamas perduoda Valdytojui ir pats į jį iš esmės neatsako.
4. Tvarkytojas padeda Valdytojui užtikrinti, kad būtų vykdomos BDAR 32–36 straipsniuose nustatytos prievolės (saugumas, pranešimas apie pažeidimus, poveikio vertinimas ir išankstinės konsultacijos), atsižvelgdamas į tvarkymo pobūdį ir jam prieinamą informaciją.

4. Kiti duomenų tvarkytojai

1. Valdytojas suteikia Tvarkytojui bendrą leidimą pasitelkti kitus duomenų tvarkytojus. Dabartinis sąrašas:

   Kitas duomenų tvarkytojas	Veikla	Vieta, apsaugos priemonės
   Railway Corporation	programėlės ir duomenų bazės prieglobos paslauga, atsarginės kopijos	JAV / ES; standartinės sutarčių sąlygos (3 modulis) arba ES ir JAV duomenų privatumo sistema (EU-U.S. Data Privacy Framework)
   Anthropic, PBC	nestruktūrizuotų kainoraščių konvertavimas į lenteles (tik naudojant šią funkciją)	JAV; standartinės sutarčių sąlygos (3 modulis); modeliai duomenimis nemokomi
   el. laiškų gavimo paslaugos teikėjas (konkretus teikėjas bus įtrauktas į šį sąrašą prieš pradedant teikti funkciją)	į El. laiškų gavimo adresus išsiųstų laiškų gavimas ir jų perdavimas Platformai	bus nurodyta kartu su teikėju; perdavimas už EEE ribų – tik taikant apsaugos priemones pagal 7 straipsnį
   el. pašto paslaugos teikėjas (SMTP)	sąskaitų faktūrų, priminimų ir paslaugos pranešimų pristatymas (gavėjo adresas ir pranešimo turinys)	ES

2. Apie numatomą kito duomenų tvarkytojo įtraukimą ar pakeitimą Tvarkytojas informuoja Valdytoją ne vėliau kaip prieš 14 dienų Platformoje arba el. paštu Organizacijos administratoriui. Per šį laikotarpį Valdytojas gali pateikti prieštaravimą dėl pagrįstų su duomenų apsauga susijusių priežasčių. Šalys stengsis rasti sprendimą; jeigu jo nerandama, Valdytojas gali be sankcijų nutraukti Sutartį, nutraukimui įsigaliojant prieš pasitelkiant kitą duomenų tvarkytoją.
3. Tvarkytojas sutartimi nustato kitiems duomenų tvarkytojams tokias pačias duomenų apsaugos prievoles, kokias jis turi pagal šią sutartį, įskaitant pakankamas garantijas, kad bus įgyvendintos techninės ir organizacinės priemonės, ir lieka atsakingas Valdytojui už jų prievolių vykdymą (BDAR 28 straipsnio 4 dalis).
4. Paties Valdytojo pasirinktos sistemos (prijungtos ERP sistemos, produktų duomenų srautai, Webhook pranešimų galiniai taškai ir trečiųjų šalių agentai) nėra Tvarkytojo kiti duomenų tvarkytojai; Tvarkytojas joms perduoda duomenis Valdytojo nurodymu.

5. Asmens duomenų saugumo pažeidimas

1. Tvarkytojas praneša Valdytojui apie asmens duomenų saugumo pažeidimą nepagrįstai nedelsdamas, ne vėliau kaip per 48 valandas nuo tada, kai apie jį sužino, el. paštu Organizacijos administratoriui ir Platformoje.
2. Pranešime pateikiama Tvarkytojui prieinama BDAR 33 straipsnio 3 dalyje nurodyta informacija (pažeidimo pobūdis, duomenų subjektų ir įrašų kategorijos bei apytikslis skaičius, kontaktinis punktas, tikėtinos pasekmės ir taikomos ar siūlomos priemonės); dar nežinoma informacija teikiama etapais.
3. Tvarkytojas nedelsdamas imasi priemonių pažeidimui pašalinti ir jo padariniams sušvelninti, bendradarbiauja su Valdytoju ir dokumentuoja pažeidimą. Pranešimas nėra atsakomybės pripažinimas.

6. Informacija ir auditai

1. Tvarkytojas pateikia Valdytojui informaciją, būtiną BDAR 28 straipsnio laikymuisi įrodyti, visų pirma per dokumentą Saugumas ir pasitikėjimas ir atsakymus į pagrįstą saugumo klausimyną.
2. Jeigu šios informacijos nepakanka, Tvarkytojas leidžia atlikti auditą Valdytojui arba nepriklausomam auditoriui, kuriam taikoma konfidencialumo prievolė ir kuris nėra Tvarkytojo konkurentas, apie tai pranešus ne vėliau kaip prieš 30 dienų, ne dažniau kaip kartą per kalendorinius metus (išskyrus saugumo pažeidimo atvejį arba priežiūros institucijos prašymą), Valdytojo sąskaita, be prieigos prie kitų klientų duomenų ir nekeliant pavojaus jų saugumui.
3. Priežiūros institucijų tyrimo įgaliojimams tai įtakos neturi.

7. Perdavimas už EEE ribų

1. Duomenys į trečiąsias valstybes perduodami tik taikant apsaugos priemones pagal BDAR V skyrių.
2. Jeigu Tvarkytojas perduoda asmens duomenis kitam duomenų tvarkytojui trečiojoje valstybėje, dėl kurios nėra priimta sprendimo dėl tinkamumo (arba gavėjas nėra sertifikuotas pagal ES ir JAV duomenų privatumo sistemą (EU-U.S. Data Privacy Framework)), jis su juo sudaro standartines sutarčių sąlygas pagal Komisijos įgyvendinimo sprendimą (ES) 2021/914, 3 modulis (tvarkytojo perdavimas tvarkytojui), įvertina gavėjo valstybės teisinę aplinką ir taiko papildomas priemones (visų pirma šifravimą perdavimo ir saugojimo metu bei duomenų kiekio mažinimą).
3. Valdytojas šiuo leidžia tokius perdavimus. Tvarkytojas Valdytojo prašymu pateikia apsaugos priemonių kopiją; komercinės sąlygos joje gali būti užtamsintos.

8. Duomenų ištrynimas ir grąžinimas

1. Sutarties galiojimo laikotarpiu Valdytojas gali bet kada eksportuoti Organizacijos duomenis JSON formatu ir pats ištrinti duomenis.
2. Pasibaigus Sutarčiai, Tvarkytojas Valdytojo pasirinkimu per 30 dienų grąžina (eksportuoja) arba ištrina asmens duomenis, įskaitant jų kopijas, nebent teisės aktai reikalauja juos toliau saugoti. Atsarginės kopijos perrašomos įprastu ciklu ne vėliau kaip per 90 dienų; iki tol jos yra apsaugotos ir nenaudojamos.
3. Į El. laiškų gavimo adresą gauti laiškai automatiškai ištrinami po 90 dienų. Prisijungimo prie prijungtos sistemos duomenis Tvarkytojas nustoja naudoti iš karto po prijungimo panaikinimo ir juos ištrina ne vėliau kaip pagal 2 dalį.
4. Šis straipsnis netaikomas įrašams, nurodytiems 2 straipsnio 4 dalies antrajame ir trečiajame sakiniuose.

9. Atsakomybė, viršenybė ir taikytina teisė

Šalių atsakomybė nustatoma pagal BDAR 82 straipsnį ir Paslaugų teikimo sąlygas, įskaitant jose nustatytus apribojimus, kiek tai leidžia teisės aktai. Asmens duomenų apsaugos klausimais ši sutartis turi viršenybę Paslaugų teikimo sąlygų atžvilgiu. Šiai sutarčiai taikoma Čekijos Respublikos teisė.

1 priedas. Techninės ir organizacinės priemonės

• Šifravimas ir pseudonimizavimas: visų ryšių šifravimas (TLS) ir saugomų duomenų šifravimas prieglobos paslaugos teikėjo infrastruktūroje; prisijungimo prie prijungtų sistemų duomenys ir Webhook pranešimų pasirašymo slaptieji raktai šifruojami AES-256-GCM; slaptažodžiai saugomi kaip Argon2id maišos; atkūrimo kodai, prisijungimo seansai ir API raktai saugomi tik kaip maišos; Audito grandinės įrašų pseudonimizavimas po paskyros panaikinimo.
• Prieigos kontrolė: vaidmenimis grindžiama prieiga, kurią valdo Organizacijos administratorius; atskirų Organizacijų duomenų atskyrimas, užtikrinamas programėlės lygmeniu; priedai prieinami tik įgaliotiems asmenims ir visada tik atsisiunčiant; prieiga prie gamybinės aplinkos – tik įgaliotiems Tvarkytojo darbuotojams, kuriems taikoma konfidencialumo prievolė.
• Paskyrų ir seansų apsauga: HttpOnly, Secure ir SameSite slapukai; kilmės (Origin) tikrinimas duomenis keičiančioms užklausoms; laikinas paskyros užblokavimas po pakartotinių nesėkmingų bandymų prisijungti; pakeitus slaptažodį baigiami visi seansai; API užklausų skaičiaus ribos.
• Vientisumas ir patikrinamumas: Audito grandinė su kriptografiškai susietais įrašais, kurių pakeitimą ar ištrynimą blokuoja duomenų bazės paleidiklis (trigger); Mandatų, Patvirtinimų ir AP2 įrašų parašai Ed25519 algoritmu; Webhook pranešimai, pasirašyti HMAC-SHA256.
• Prieinamumas ir atkūrimas: reguliarios duomenų bazės atsarginės kopijos; atsarginės kopijos perrašomos ne vėliau kaip per 90 dienų.
• Duomenų kiekio mažinimas ir ištrynimas: laiškai El. laiškų gavimo adresu – 90 dienų; veikimo žurnalai – ne ilgiau kaip 90 dienų; potencialių tiekėjų atveju – tik bendrieji įmonių kontaktai; automatinis el. laiškų importas – tik iš Patvirtintų siuntėjų.
• Saugus programinės įrangos kūrimas: automatiniai saugumo invariantų testai (Organizacijų atskyrimas, Agentų ribos, ribų konfidencialumas) po kiekvieno pakeitimo; priklausomybės su tiksliai nustatytomis versijomis; Agentai nelaiko failų turinio nurodymais.
• Incidentai ir peržiūra: incidentų valdymo ir pranešimo apie juos tvarka pagal 5 straipsnį; pranešimo apie pažeidžiamumus kanalas; reguliari priemonių veiksmingumo peržiūra.

Išsamesnis aprašymas pateikiamas dokumente Saugumas ir pasitikėjimas.