Asmens duomenų tvarkymo susitarimas

Šis Asmens duomenų tvarkymo susitarimas (toliau – Susitarimas arba DPA) yra Paslaugų teikimo sąlygų, sudarytų tarp MB "Wetapoint" (toliau – Duomenų tvarkytojas) ir Paslaugą užsisakančios kliento organizacijos (toliau – Duomenų valdytojas), dalis. Jis reglamentuoja asmens duomenų tvarkymą, kurį atliekame jūsų vardu.

Šis Susitarimas įtrauktas į sutartį, kurią jūsų įgaliotas atstovas priima registruodamasis arba suderintame užsakymo dokumente; vien apsilankymas svetainėje nėra jo priėmimas. Jis taikomas asmens duomenims, kuriuos tvarkome jūsų vardu pagal ES Bendrąjį duomenų apsaugos reglamentą (BDAR), Jungtinės Karalystės BDAR ar kitus taikomus duomenų apsaugos teisės aktus. Jis turi pirmenybę prieš prieštaraujančias Sąlygų nuostatas dėl tokio tvarkymo. Susitarimui taip pat taikoma Sąlygų 16 skyriaus nuostata dėl kalbos.

1. Taikymo sritis

Duomenų tvarkymas apima asmens duomenų rinkimą, įrašymą, sisteminimą, saugojimą, paiešką, perdavimą, prieigos suteikimą, apsaugą, eksportą ir ištrynimą tiek, kiek reikia paskyroms valdyti, operacijoms koordinuoti, ryšiams, vietos duomenimis grindžiamoms funkcijoms, medijos tvarkymui, pranešimams, pagalbai ir saugumui užtikrinti. Duomenys tvarkomi prenumeratos laikotarpiu ir Sąlygose bei Privatumo politikoje nurodytais ištrynimo laikotarpiais, nebent teisės aktai reikalauja juos saugoti ilgiau.

2. Duomenų tvarkytojo pareigos (BDAR 28 straipsnis)

• Tvarkyti asmens duomenis tik pagal jūsų dokumentais įformintus nurodymus (Sąlygas, jūsų Paslaugos konfigūraciją ar papildomus rašytinius nurodymus), įskaitant tarptautinį perdavimą, nebent teisės aktai nustato kitaip. Jei teisės aktai leidžia, apie tokį reikalavimą pranešime prieš pradėdami tvarkymą.
• Užtikrinti, kad įgaliotam personalui būtų taikomi tinkami konfidencialumo įsipareigojimai.
• Įgyvendinti 7 skyriuje aprašytas technines ir organizacines saugumo priemones.
• Padėti atsakyti į duomenų subjektų prašymus susipažinti su duomenimis, juos ištaisyti ar ištrinti, apriboti tvarkymą, perkelti duomenis ar įgyvendinti teisę nesutikti.
• Padėti vykdyti jūsų pareigas pagal BDAR 32–36 straipsnius (saugumas, pranešimai apie pažeidimus, poveikio vertinimai).
• Pasibaigus paslaugų teikimui, jūsų pasirinkimu ištrinti arba grąžinti visus asmens duomenis, išskyrus atvejus, kai teisės aktai reikalauja juos saugoti.
• Nedelsiant informuoti jus, jei, mūsų nuomone, nurodymas pažeidžia taikomus duomenų apsaugos teisės aktus.

Jūsų įjungtos pasirenkamos funkcijos yra dokumentais įformintų nurodymų dalis. Konkrečiai, organizacijos nustatymuose įjungdami transliacijų įrašymą nurodote mums saugoti jūsų personalo tiesiogines vaizdo transliacijas jūsų planui nustatytą įrašų saugojimo laikotarpį. Funkcija išjungta, kol ją įjungia organizacijos administratorius. Išjungus funkciją nauji įrašai nebekuriami; anksčiau sukurti įrašai saugomi ir ištrinami pagal tą patį grafiką, nebent juos ištrinate anksčiau.

3. Duomenų kategorijos

• Identifikavimo duomenys (vardas, el. paštas, telefonas, vaidmuo, organizacija).
• Autentifikavimo duomenys (slaptažodžio maiša, daugiaveiksnio autentifikavimo paslaptis).
• Vietos duomenys realiuoju laiku (platuma, ilguma, aukštis, tikslumas, judėjimo kryptis, greitis, tinklo tipas, užfiksavimo laikas, susijusios operacijos ar renginio identifikatorius arba identifikatoriai, įrenginio identifikatorius).
• Operacijų turinys (užduotys, incidentai, žinutės, radijo perdavimai „paspausk ir kalbėk“, tiesioginės vaizdo transliacijos, kamerų vaizdo srautai, įkelta medija).
• Išsaugoti tiesioginių transliacijų vaizdo ir garso įrašai kartu su transliacijos metu užfiksuota ir į įrašą įtraukta vietos trajektorija – tik jei įjungiate transliacijų įrašymą. Įtraukta trajektorija saugoma kartu su įrašu; jai netaikomas jūsų nustatytas vietos istorijos saugojimo laikotarpis.
• Įrenginių ir sesijų telemetrija (IP adresas, naršyklės ar kliento identifikavimo eilutė „User-Agent“, programėlės versija, „APNs“ ir „Firebase Cloud Messaging“ įrenginių pranešimų žetonai).

Duomenų subjektai: Paslauga besinaudojantys jūsų darbuotojai, rangovai, savanoriai ir kitas personalas; kiti asmenys, kurių duomenis jūsų personalas įrašo sistemoje.

Įjungus transliacijų įrašymą į transliaciją gali patekti ir jūsų personalui nepriklausantys asmenys, esantys ten, kur filmuoja jūsų operatorius. Jūs, kaip duomenų valdytojas, atsakote už įrašomų asmenų ir pašalinių asmenų informavimą, teisėto įrašymo pagrindo nustatymą, jų prašymų nagrinėjimą ir įvertinimą, ar įrašymas teisėtas konkrečioje vietoje. Paslauga transliuotojui rodo įrašymo indikatorių, o žiūrovams – įrašymo žymą; tai signalas Paslaugos viduje, o ne pranešimas už jos ribų esantiems asmenims.

4. Pagalbiniai duomenų tvarkytojai

Suteikiate mums bendrą leidimą pasitelkti pagalbinius duomenų tvarkytojus jūsų vardu tvarkomiems asmens duomenims. Teikėjai, kurie savo tikslais veikia kaip savarankiški duomenų valdytojai, tokių veiksmų atžvilgiu nėra mūsų pagalbiniai duomenų tvarkytojai. Teikėjų vaidmenys ir aktualus sąrašas skelbiami teikėjų sąraše.

Apie pagalbinio duomenų tvarkytojo įtraukimą ar pakeitimą pranešime bent prieš 7 dienas. Galite pareikšti pagrįstą prieštaravimą dėl duomenų apsaugos; jei jo negalime išspręsti, galite nutraukti sutartį ir susigrąžinti proporcingą sumą už nepanaudotą laikotarpį.

Už pagalbinių duomenų tvarkytojų veiksmus ir neveikimą atsakome kaip už savo. Sutartimis kiekvienam jų nustatome duomenų apsaugos pareigas, užtikrinančias bent tokį pat apsaugos lygį, kokio pagal šį Susitarimą reikalaujama jo atliekamam tvarkymui.

5. Tarptautinis duomenų perdavimas

Pagrindinis Kliento duomenų tvarkymas vyksta Europos ekonominėje erdvėje (EEE). Kai pagalbinis duomenų tvarkytojas gauna duomenis perdavimo, kuriam taikomi tarptautinio perdavimo apribojimai, būdu, reikalaujame taikomos teisėtos apsaugos priemonės, nustatytos jo duomenų tvarkymo sąlygose, pavyzdžiui, sprendimo dėl tinkamumo, pripažintos perdavimo sistemos arba Europos Komisijos standartinių sutarčių sąlygų. Kai privaloma, taikomas Jungtinės Karalystės priedas ir proporcingos papildomos priemonės. Konkrečių teikėjų duomenų perdavimo paskirties vietos, apsaugos priemonės ir nuorodos į atitinkamas sąlygas pateikiamos teikėjų sąraše. Informacijos apie jūsų duomenims taikomas apsaugos priemones ir jų kopijos galite paprašyti el. paštu privacy@wetapoint.com; prireikus konfidenciali informacija kopijoje gali būti uždengta.

6. Pranešimas apie duomenų saugumo pažeidimą

Sužinoję apie jūsų duomenis paveikusį asmens duomenų saugumo pažeidimą, pranešime nepagrįstai nedelsdami ir bet kuriuo atveju per 72 valandas. Pranešime pateiksime BDAR 33 straipsnio 3 dalyje nurodytą informaciją tiek, kiek jos tuo metu turėsime.

7. Saugumo priemonės

Taikome riziką atitinkančias priemones: prieigos ir konfidencialumo kontrolę; perduodamų ir, kai tinkama, saugomų duomenų apsaugą; paskyrų ir prisijungimo duomenų apsaugą; klientų duomenų atskyrimą; veiksmų registravimą ir stebėseną; atsarginių kopijų, atkūrimo ir veiklos tęstinumo priemones; pažeidžiamumų ir pakeitimų valdymą; reagavimą į incidentus; personalo konfidencialumo įsipareigojimus ir periodinę šių priemonių peržiūrą. Galime atnaujinti priemones iš esmės nesumažindami bendro apsaugos lygio.

Šiuo metu neturime trečiosios šalies saugumo sertifikavimo („SOC 2“, „ISO 27001“ ar lygiaverčio). Padėčiai pasikeitus apie tai paskelbsime šiame puslapyje ir pateiksime nuorodą į atitinkamą ataskaitą.

8. Auditai

Pateiksime informaciją, reikalingą įrodyti, kad laikomės šio Susitarimo. Įprastas būdas – proporcingas rašytinis saugumo klausimynas apie 7 skyriuje nurodytas priemones; į jį atsakysime gavę rašytinį pranešimą prieš pagrįstą terminą.

Be to, jūs arba jūsų įgaliotas nepriklausomas auditorius, kuris nėra mūsų konkurentas ir yra įsipareigojęs laikytis konfidencialumo, galite atlikti auditus, įskaitant patikrinimus, kai to reikalauja taikomi duomenų apsaugos teisės aktai. Auditas atliekamas apie jį raštu pranešus prieš pagrįstą terminą, laikantis konfidencialumo įsipareigojimų ir įprastomis darbo valandomis. Paprastai jis atliekamas ne dažniau kaip kartą per 12 mėnesių, tačiau šis ribojimas ir išankstinio pranešimo tvarka nekliudo auditui, kurio reikalauja teisės aktai, priežiūros institucija, jūsų duomenis paveikęs pažeidimas arba pagrįsti esminio reikalavimų nesilaikymo įrodymai. Jei draudimas pasitelkti konkurentą kliudytų teisės aktuose privalomam auditui, susitarsime dėl tinkamų konfidencialumo apsaugos priemonių. Jūs padengiate pagrįstas savo inicijuoto audito išlaidas, išskyrus atvejus, kai imperatyvios teisės normos nustato kitaip.

9. Duomenų grąžinimas ir ištrynimas pasibaigus paslaugų teikimui

Pasibaigus duomenų tvarkymo paslaugoms pasirenkate, ar grąžiname jūsų asmens duomenis ir ištriname likusias kopijas, ar ištriname juos be grąžinimo, išskyrus atvejus, kai saugoti reikalauja teisės aktai. Nurodymus siųskite toliau pateiktu duomenų apsaugos kontaktu. Įprastas duomenų pasiėmimo laikotarpis yra 30 kalendorinių dienų nuo darbo aplinkos paslaugų teikimo pabaigos arba jos išjungimo; naudojamos prieinamos integruotos priemonės ir prireikus teikiama eksporto pagalba. Keičiant teikėją taikomas Sąlygų 9a skyrius: duomenų pasiėmimo laikotarpis trunka 30 kalendorinių dienų nuo pereinamojo laikotarpio pabaigos, todėl darbo aplinkos uždarymą būtina atitinkamai suderinti. Jei negauname kitokių dokumentais įformintų nurodymų, tuo laikotarpiu sudarome galimybę pasiimti duomenis, o jam pasibaigus ištriname juos iš pagrindinės saugyklos. Pasiliekame tik tuos įrašus, kuriems saugoti turime atskirą teisėtą pagrindą kaip duomenų valdytojas, kaip paaiškinta Privatumo politikoje; tai nesuteikia teisės saugoti darbo aplinkos turinio savo tikslais. Išsaugoti audito įrašai yra pseudonimizuoti, o ne anonimizuoti: identifikatoriai iš jų pašalinami pagal Privatumo politikoje kategorijoms nustatytus terminus, o įrašai naudojami tik saugumo tyrimams, teisės aktų laikymuisi ir teisiniams reikalavimams pareikšti, vykdyti arba apginti. Kopijos šifruotose išorinėse atsarginėse kopijose pašalinamos pagal Privatumo politikoje aprašytą slenkantį kopijų saugojimo ciklą (iki maždaug šešių mėnesių) ir atkuriamos tik po didelio veiklos sutrikimo. Atkūrus atsarginę kopiją, atkurtiems duomenims iš naujo taikomi saugojimo ir ištrynimo procesai.

Prenumeratos metu atskiri naudotojai pašalinami pagal Privatumo politikoje aprašytą kelių pakopų modelį: išjungus naudotoją iš karto panaikinama prieiga, bet ankstesnė veikla neištrinama; ištrynus naudotojo profilį pašalinami profilio duomenys, tačiau darbo aplinkoje pateiktas turinys lieka pagal jūsų saugojimo nurodymus ir gali būti rodomas kaip ištrinto naudotojo turinys. Darbo aplinkos turinio duomenų valdytojas liekate jūs; jį ištriname pagal dokumentais įformintus jūsų nurodymus. Kaip duomenų valdytojas veikiame tik savo paskyrų administravimo, atsiskaitymo ir platformos saugumo įrašų atžvilgiu.

10. Atsakomybė

Kiek tai teisėta, kiekvienos šalies atsakomybei pagal šį Susitarimą taikomi Paslaugų teikimo sąlygose nustatyti ribojimai. Nei šie ribojimai, nei Susitarimas nesuvaržo duomenų subjekto teisių pagal BDAR 82 straipsnį, priežiūros institucijos įgaliojimų ar atsakomybės, kurios šalims neleidžia riboti taikomi teisės aktai.

11. Kontaktai

Duomenų apsaugos kontaktas: privacy@wetapoint.com.
MB "Wetapoint", Papiškių g. 19-1, LT-06282 Vilnius, Lietuva.