Duomenų tvarkymo sutartis

⚠ JUODRAŠTIS v0.2 — NEGALIOJA, PRIVALOMA PERŽIŪRA. Patikslintas 2026-10-08 juodraštis: patikrintas pagal BDAR 28 straipsnį, Europos Komisijos standartines sutarčių sąlygas valdytojams ir tvarkytojams (Įgyvendinimo sprendimas (ES) 2021/915), ES duomenų aktą ir produkto specifikaciją. Paysera jo dar nepatvirtino ir jis nieko neįpareigoja. Laužtiniuose skliaustuose [●] pažymėti klausimai dar neišspręsti. Šiuo tekstu nesiremkite, kol nepaskelbta versija be žymos „juodraštis“.

PAYSERA Q-GO DUOMENŲ TVARKYMO SUTARTIS

Paysera Q-GO Paslaugų teikimo sąlygų priedas Nr. 1

PREAMBULĖ

Ši Duomenų tvarkymo sutartis (toliau – DTS) yra neatskiriama „Paysera Q-GO“ Paslaugų teikimo sąlygų (toliau – Sąlygos) dalis ir sudaroma pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (toliau – BDAR) 28 straipsnio 3 dalį. DTS nustato sąlygas, kuriomis Paysera LT, UAB, kaip duomenų tvarkytoja, Kliento, kaip duomenų valdytojo, vardu tvarko asmens duomenis teikdama eilių ir vizitų valdymo paslaugą „Paysera Q-GO“.

DTS taikoma tik verslo santykiams: Klientas visada yra juridinis asmuo ar kitas verslo subjektas, veikiantis savo ekonominės, komercinės ar profesinės veiklos tikslais. Vartotojams (fiziniams asmenims, veikiantiems su verslu nesusijusiais tikslais) Paslauga neteikiama.

1. SĄVOKOS

1.1. Šioje DTS didžiąja raide rašomos sąvokos turi žemiau nurodytas reikšmes. Kitos sąvokos (asmens duomenys, duomenų tvarkymas, duomenų valdytojas, duomenų tvarkytojas, duomenų subjektas, asmens duomenų saugumo pažeidimas, priežiūros institucija, trečioji valstybė ir kt.) vartojamos BDAR 4 straipsnyje nustatytomis reikšmėmis.

1.2. Paysera arba Tvarkytoja – Paysera LT, UAB, juridinio asmens kodas 300060819, buveinės adresas Pilaitės pr. 16, LT-04352 Vilnius, Lietuva, Lietuvos banko prižiūrima elektroninių pinigų įstaiga (licencija Nr. 1, Lietuvos banko registro Nr. LB000251).

1.3. Klientas arba Valdytojas – juridinis asmuo ar kitas verslo subjektas, kuris, registruodamasis Paslaugoje, sudarė Sąlygas ir šią DTS ir kurio vardu Paslaugoje sukurta atskira organizacijos erdvė (platformoje – „nuomininkas“, tenant).

1.4. Paslauga – „Paysera Q-GO“ eilių ir vizitų valdymo programinė įranga kaip paslauga (SaaS), apimanti klientų bilietų puslapį, savitarnos kioską, ekranų (TV) rodinį, operatorių konsolę ir valdymo konsolę, kaip apibrėžta Sąlygose.

1.5. Konsolė – Paslaugos valdymo konsolė, prieinama Kliento administratoriams.

1.6. Kliento duomenys – visi asmens duomenys, kuriuos Klientas, jo Naudotojai ar Lankytojai pateikia į Paslaugą arba kurie Paslaugoje sukuriami Kliento vardu, ir kuriuos Paysera tvarko Kliento vardu pagal šią DTS.

1.7. Lankytojas – fizinis asmuo, kuris kreipiasi į Klientą ar jo aptarnavimo vietą ir kurio bilietas, vizitas ar užklausa registruojama Paslaugoje (Kliento klientas, pacientas, pareiškėjas ir pan.).

1.8. Naudotojas – Kliento darbuotojas ar kitas Kliento įgaliotas fizinis asmuo, turintis prieigą prie Paslaugos Kliento vardu: Administratorius (turi prieigą prie Konsolės ir teisę priimti dokumentus organizacijos vardu) arba Operatorius (aptarnauja eiles operatorių konsolėje).

1.9. Subtvarkytojas – kitas duomenų tvarkytojas BDAR 28 straipsnio 2 ir 4 dalių prasme, kurį Paysera pasitelkia Kliento duomenims tvarkyti.

1.10. Nurodymai – Kliento dokumentais įforminti nurodymai dėl Kliento duomenų tvarkymo, apibrėžti DTS 5 skyriuje.

1.11. Individuali sutartis – atskira, abiejų Šalių pasirašyta sutartis dėl Paslaugos teikimo ir (ar) asmens duomenų tvarkymo.

1.12. Duomenų aktas – 2023 m. gruodžio 13 d. Europos Parlamento ir Tarybos reglamentas (ES) 2023/2854 dėl suderintų sąžiningos prieigos prie duomenų ir jų naudojimo taisyklių.

1.13. ADTAĮ – Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas.

1.14. Priežiūros institucija – Valstybinė duomenų apsaugos inspekcija (VDAI) arba kita pagal BDAR 55–56 straipsnius kompetentinga institucija.

1.15. Pažeidimas – asmens duomenų saugumo pažeidimas BDAR 4 straipsnio 12 punkto prasme, susijęs su Kliento duomenimis.

Teisinis pagrindas: BDAR 4 str. 1, 2, 7, 8, 9, 10, 12 p.; BDAR 28 str. 2 ir 4 d.; ADTAĮ 2 str. 3 d.; Duomenų akto 2 str.

2. ŠALYS, VAIDMENYS IR DTS SUDARYMAS

2.1. Vaidmenys

2.1.1. Klientas yra duomenų valdytojas Kliento duomenų atžvilgiu: jis nustato Lankytojų ir Naudotojų asmens duomenų tvarkymo tikslus ir priemones, pasirenka, kokius duomenis rinkti (pvz., ar prašyti Lankytojo telefono numerio), kokias paslaugas ir aptarnavimo vietas konfigūruoti, kuriuos Naudotojus įgalioti.

2.1.2. Paysera yra duomenų tvarkytoja: ji tvarko Kliento duomenis tik Kliento vardu ir tik pagal Nurodymus, teikdama Paslaugą.

2.1.3. Šalys nėra bendri duomenų valdytojai BDAR 26 straipsnio prasme. Paysera savarankiškai nenustato Kliento duomenų tvarkymo tikslų ir priemonių; jei Paysera pažeisdama šią DTS tai padarytų, ji tokio tvarkymo atžvilgiu būtų laikoma duomenų valdytoja (BDAR 28 str. 10 d.).

2.2. Duomenys, kurių atžvilgiu Paysera yra savarankiška duomenų valdytoja

2.2.1. Ši DTS netaikoma asmens duomenims, kuriuos Paysera tvarko savo pačios nustatytais tikslais kaip savarankiška duomenų valdytoja, būtent:

a) Kliento atstovų, Administratorių ir kontaktinių asmenų tapatybės ir kontaktiniams duomenims, tvarkomiems Sąlygų sudarymo, vykdymo, sąskaitų išrašymo, pranešimų siuntimo, dokumentų versijų priėmimo įrodymų saugojimo tikslais;

b) mokėjimo duomenims, tvarkomiems Paysera kaip mokėjimo paslaugų teikėjai per „Paysera Checkout“ (įskaitant mokėjimo kortelės duomenų žetoną, saugomą automatiniams periodiniams mokėjimams);

c) Paysera infrastruktūros perimetro saugumo žurnalams (apkrovos balansavimo ir atakų apsaugos įrašams), naudojamiems Paysera sistemoms apsaugoti nuo sukčiavimo ir atakų, ir duomenims, būtiniems Paysera teisinėms prievolėms vykdyti (apskaita, mokesčiai). Prisijungimo ir veiksmų įrašai Kliento Paskyroje, įskaitant audito žurnalą, yra Kliento duomenys, tvarkomi pagal šią DTS. Klaidų ir diagnostikos įrašus, kuriuose yra Kliento duomenų (įskaitant Naudotojų pranešimus apie klaidas), Paysera tvarko kaip tvarkytoja pagal šią DTS, tik Paslaugai teikti ir apsaugoti, ir saugo ne ilgiau, nei būtina šiam tikslui [● saugojimo terminas tikslintinas: klaidų stebėsena ir pranešimų apie klaidas sistema].

2.2.2. Tokį tvarkymą reglamentuoja Paysera privatumo politika, skelbiama [● – Paslaugai taikoma privatumo politika dar neparengta], ir taikytini teisės aktai.

2.3. DTS sudarymas elektroniniu būdu

2.3.1. DTS sudaroma Kliento registracijos Paslaugoje metu: Klientą atstovaujantis fizinis asmuo pažymi sutikimą su Sąlygomis ir šia DTS Kliento (organizacijos) vardu ir patvirtina, kad turi tam pakankamą įgaliojimą. Šalys susitaria, kad toks pažymėjimas prilygsta rašytinei formai ir atitinka BDAR 28 straipsnio 9 dalies reikalavimą, kad sutartis būtų sudaryta raštu, įskaitant elektroninę formą.

2.3.2. Asmuo, patvirtinęs įgaliojimą, atsako Klientui ir Paysera už jo tikrumą CK 2.132–2.133 straipsniuose nustatyta tvarka. Klientas negali remtis įgaliojimo trūkumu, jei jis faktiškai naudojosi Paslauga.

2.3.3. Kiekvieno priėmimo atveju Paysera įrašo Klientą, priėmusį asmenį, dokumento rūšį ir versiją, rodytą kalbą, datą, laiką ir IP adresą. Registraciją Paysera patvirtina el. paštu; po kiekvieno mokamo užsakymo siunčiamame užsakymo patvirtinime nurodomos priimtos Sąlygų ir DTS versijos ir jos pridedamos PDF formatu.

2.4. Versijavimas

2.4.1. DTS yra versijuojama. Nuo naujos DTS versijos įsigaliojimo dienos (Sąlygų 16.3 ir 16.5 punktai) Kliento Administratorius privalo ją priimti Konsolėje. Kol nauja versija nepriimta, Konsolė Administratoriui nepasiekiama; Operatorių darbas, Lankytojų aptarnavimas, kioskas ir ekranai veikia netrikdomai.

2.4.2. Kol nauja versija nepriimta, Kliento duomenų tvarkymui taikoma paskutinė Kliento priimta DTS versija. Klientas, nesutinkantis su nauja versija, gali atsisakyti prenumeratos Sąlygose nustatyta tvarka.

2.4.3. Visos DTS versijos saugomos, skelbiamos nuolatiniais adresais ir atsisiunčiamos PDF formatu. Kliento priimtų versijų ir priėmimo laiko įrašai saugomi Paysera audito žurnale kaip BDAR 28 straipsnio 9 dalies įrodymas.

2.5. Individualios sutarties viršenybė

2.5.1. Jei tarp Šalių pasirašyta Individuali sutartis, ši DTS jai taikoma, nebent Individualioje sutartyje yra atskiros duomenų tvarkymo sąlygos, atitinkančios BDAR 28 straipsnio 3 dalį – tokiu atveju viršenybę turi tos sąlygos (Sąlygų 17.4 punktas).

2.6. Dokumentų hierarchija

2.6.1. Kliento duomenų tvarkymo klausimais DTS turi viršenybę prieš Sąlygas. Priedai Nr. 1–3 yra neatskiriama DTS dalis. Nuostatos, tiesiogiai perkeliančios BDAR imperatyvius reikalavimus, negali būti aiškinamos juos siaurinant.

2.7. Valdytojo pareigos ir teisės

2.7.1. Klientas, kaip Valdytojas, privalo:

a) užtikrinti Kliento duomenų tvarkymo teisėtumą, įskaitant tinkamą teisinį pagrindą (BDAR 6 str., o esant specialių kategorijų duomenims – ir 9 str. 2 d.);

b) Lankytojams ir Naudotojams pateikti BDAR 13–14 straipsniuose numatytą informaciją (pvz., privatumo pranešimą kioske, bilietų puslapyje, aptarnavimo vietoje); Paysera neprisiima pareigos šią informaciją pateikti Kliento vardu;

c) konfigūruoti Paslaugą laikantis duomenų kiekio mažinimo principo (BDAR 5 str. 1 d. c p.), įskaitant renkamų Lankytojo duomenų laukų pasirinkimą;

d) administruoti Naudotojų paskyras, prieigos teises ir jų atšaukimą, užtikrinti Naudotojų prisijungimo duomenų saugumą;

e) teikti tik teisėtus Nurodymus;

f) savarankiškai atsakyti į duomenų subjektų prašymus ir bendrauti su Priežiūros institucija;

g) atlikti poveikio duomenų apsaugai vertinimą, kai jis privalomas (BDAR 35 str.).

2.7.2. Klientas turi teisę duoti Nurodymus, tikrinti Paysera atitiktį DTS 13 skyriuje nustatyta tvarka, prieštarauti naujiems Subtvarkytojams (8 skyrius) ir gauti DTS numatytą pagalbą.

Teisinis pagrindas: BDAR 4 str. 7–8 p., 24 str., 26 str., 28 str. 1, 3, 9 ir 10 d., 5 str. 1–2 d., 6 str., 13–14 str., 35 str.; Lietuvos Respublikos informacinės visuomenės paslaugų įstatymo (IVPĮ) 11–12 str.; CK 1.71 str., 1.73 str. 2 d., 2.132–2.133 str., 6.156 str., 6.185–6.186 str.; Komisijos įgyvendinimo sprendimas (ES) 2021/915 (BDAR 28 str. 7 d.) – kaip orientacinis standartas.

3. TVARKYMO DALYKAS, TRUKMĖ, POBŪDIS IR TIKSLAS

3.1. Dalykas. Kliento duomenų tvarkymas, būtinas Paslaugai teikti: Lankytojų bilietų ir vizitų registravimas, eilių valdymas, kvietimas prie aptarnavimo vietos, pranešimų Lankytojams siuntimas Kliento pasirinktais kanalais, Naudotojų autentifikavimas ir veiksmų registravimas, aptarnavimo statistikos formavimas.

3.2. Trukmė. Tvarkymas vyksta nuo DTS sudarymo iki Sąlygų galiojimo pabaigos ir toliau – duomenų atsiėmimo laikotarpiu ir 12 (dvylikos) mėnesių nuo Kliento Paskyros archyvavimo archyvo saugojimo laikotarpiu (Sąlygų 9.5.2 punktas), iki visiško Kliento duomenų ištrynimo ar grąžinimo pagal DTS 12 skyrių. Trukmė apima nemokamą 14 (keturiolikos) dienų bandomąjį laikotarpį, 7 (septynių) dienų atidėjimą po jo, 14 (keturiolikos) dienų mokėjimo atidėjimą nepavykus nuskaitymui ir Paslaugos sustabdymo laikotarpį, kaip apibrėžta Sąlygose.

3.3. Pobūdis. Automatizuotas tvarkymas: rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas, susipažinimas, naudojimas, atskleidimas perduodant (pranešimai Lankytojams el. paštu ar kitu Platformos siūlomu kanalu), sugretinimas, apribojimas, ištrynimas ir nuasmeninimas. Paysera nepriima automatizuotų sprendimų BDAR 22 straipsnio prasme; eilių tvarka nustatoma pagal Kliento sukonfigūruotas taisykles.

3.4. Tikslas. Vienintelis tikslas – Paslaugos teikimas Klientui pagal Sąlygas ir Nurodymus. Paysera netvarko Kliento duomenų savo tikslais, netaiko jų profiliavimui, rinkodarai, produkto mokymui ar kitų klientų naudai. Nuasmeninti, apibendrinti statistiniai duomenys nėra asmens duomenys (BDAR 26 konstatuojamoji dalis) ir jų naudojimą reglamentuoja Sąlygos.

3.5. Detalus tvarkymo aprašas pateikiamas Priede Nr. 1.

Teisinis pagrindas: BDAR 28 str. 3 d. pirmoji pastraipa; 4 str. 2 p.; 5 str. 1 d. b p.; 22 str.; 26 konstatuojamoji dalis.

4. DUOMENŲ SUBJEKTŲ IR ASMENS DUOMENŲ KATEGORIJOS

4.1. Duomenų subjektų kategorijos:

a) Lankytojai – Kliento klientai, pacientai, pareiškėjai ir kiti fiziniai asmenys, kurių bilietai ar vizitai registruojami Paslaugoje;

b) Naudotojai – Kliento darbuotojai ir kiti įgalioti asmenys (Administratoriai, Operatoriai).

4.2. Asmens duomenų kategorijos:

a) tapatybės duomenys: vardas arba inicialai (Lankytojų atveju – Kliento pasirinkimu), Naudotojų vardas ir pavardė;

b) kontaktiniai duomenys: el. pašto adresas, telefono numeris (jei Klientas įjungė pranešimų kanalą);

c) bilietų ir vizitų duomenys: bilieto numeris, paslaugos pasirinkimas, aptarnavimo vieta, laiko žymos (registracija, kvietimas, aptarnavimo pradžia ir pabaiga), būsena, rezervacijos duomenys, vizitų istorija;

d) atsiliepimai: klientų pasitenkinimo (CSAT) įverčiai ir laisvo teksto komentarai, jei Klientas įjungė šią funkciją;

e) prisijungimo duomenys: Naudotojų el. paštas, slaptažodžio maiša, vaidmenys, o jei Klientas prijungė savo tapatybės teikėją (SSO) ar Naudotojas jungiasi per Google paskyrą – iš teikėjo gaunami identifikatoriai ir el. paštas;

f) techniniai duomenys: IP adresai, naršyklės ir įrenginio identifikatoriai, sesijų žetonai;

g) audito žurnalo įrašai: Naudotojų veiksmai Paslaugoje su laiko žymomis ir identifikatoriais;

h) klientų profilių duomenys, jei Klientas naudoja identifikuotų klientų sąrašo funkciją: su identifikuotu Lankytoju susietos pastabos, apsilankymų istorijos suvestinės, apsilankymo priežastys, žymos ir pageidavimai.

4.3. Specialių kategorijų duomenys. Paslauga nėra skirta BDAR 9 straipsnio 1 dalyje ar 10 straipsnyje nurodytiems duomenims tvarkyti ir Paysera jų netvarko, tačiau dėl Kliento veiklos pobūdžio tokie duomenys gali atsiskleisti netiesiogiai (pvz., sveikatos priežiūros įstaigos paslaugų pavadinimai). Tokiu atveju Klientas privalo prieš pradėdamas tvarkymą raštu informuoti Paysera, užtikrinti BDAR 9 straipsnio 2 dalies pagrindą ir atsako už laisvo teksto laukuose (pvz., komentaruose) Lankytojų ar Naudotojų įvestą turinį.

4.4. Klientas atsako už tai, kad į Paslaugą būtų įvedami tik tokie duomenys, kurie yra būtini Kliento tikslams ir kuriems taikomos DTS numatytos priemonės yra tinkamos.

Teisinis pagrindas: BDAR 28 str. 3 d. pirmoji pastraipa; 4 str. 1 p.; 5 str. 1 d. c p.; 9 str. 1–2 d.; 10 str.

5. TVARKYMAS TIK PAGAL DOKUMENTAIS ĮFORMINTUS NURODYMUS

5.1. Paysera tvarko Kliento duomenis tik pagal Kliento dokumentais įformintus Nurodymus, įskaitant Kliento duomenų perdavimą į trečiąją valstybę ar tarptautinei organizacijai, išskyrus atvejus, kai tvarkyti reikalaujama pagal Paysera taikomą ES arba Lietuvos Respublikos teisę. Tokiu atveju Paysera prieš pradėdama tvarkymą informuoja Klientą apie tokį teisinį reikalavimą, išskyrus kai ta teisė tokį informavimą draudžia dėl svarbių viešojo intereso priežasčių.

5.2. Nurodymais laikomi (jų viršenybės tvarka):

a) ši DTS ir jos Priedai;

b) Sąlygos, kiek jose aprašomas Paslaugos veikimas;

c) Kliento Administratorių atlikta Paslaugos konfigūracija Konsolėje (paslaugų, aptarnavimo vietų, renkamų laukų, pranešimų kanalų, saugojimo nustatymų pasirinkimas) ir Naudotojų veiksmai Paslaugos funkcijomis;

d) papildomi rašytiniai Nurodymai, Administratoriaus atsiųsti iš Konsolėje nurodyto jo el. pašto adreso adresu qms@paysera.com.

5.3. Nurodymus turi teisę teikti tik Kliento Administratoriai. Paysera turi teisę pagrįstai laikyti, kad Administratoriaus paskyra veikiantis asmuo yra tinkamai Kliento įgaliotas.

5.4. Papildomi Nurodymai, viršijantys standartinę Paslaugos funkcijų apimtį, vykdomi, jei jie yra techniškai įgyvendinami ir Šalys iš anksto raštu susitaria dėl įgyvendinimo termino ir atlygio. Paysera neprivalo keisti Paslaugos architektūros pagal individualius Nurodymus.

5.5. Paysera užtikrina, kad jos įgalioti asmenys Kliento duomenis tvarkytų tik pagal Nurodymus (BDAR 29 str., 32 str. 4 d.).

5.6. Jei Paysera mano, kad Nurodymas pažeidžia BDAR ar kitas duomenų apsaugos nuostatas, taikomas DTS 16 skyrius.

Teisinis pagrindas: BDAR 28 str. 3 d. a p.; 29 str.; 32 str. 4 d.; CK 6.200 str.

6. KONFIDENCIALUMAS

6.1. Paysera užtikrina, kad Kliento duomenis tvarkyti įgalioti asmenys (darbuotojai, rangovai) būtų raštu įsipareigoję užtikrinti konfidencialumą arba jiems būtų taikoma teisės aktuose nustatyta konfidencialumo pareiga, o prieiga būtų suteikta tik pagal principą „būtina žinoti“.

6.2. Konfidencialumo įsipareigojimas apima visus Kliento duomenis, Kliento konfigūraciją, aptarnavimo statistiką ir kitą iš Paslaugos naudojimo gaunamą informaciją. Įsipareigojimas galioja neterminuotai, taip pat pasibaigus DTS ir darbo ar sutartiniams santykiams su įgaliotu asmeniu.

6.3. Klientas užtikrina, kad informacija apie Paysera saugumo priemones, audito rezultatus ir Pažeidimų tyrimus, gauta pagal DTS, būtų naudojama tik atitikties BDAR vertinimo tikslais ir neatskleidžiama tretiesiems asmenims, išskyrus Priežiūros instituciją, Kliento auditorius ir profesinius patarėjus, saistomus konfidencialumo.

6.4. Šalis, kuriai teisės aktų ar kompetentingos institucijos privalomu reikalavimu nurodyta atskleisti konfidencialią informaciją, prieš atskleidimą, kiek tai leidžiama, informuoja kitą Šalį ir atskleidžia tik privalomą apimtį.

Teisinis pagrindas: BDAR 28 str. 3 d. b p.; 29 str.; 32 str. 4 d.; CK 1.116 str.; Lietuvos Respublikos komercinių paslapčių teisinės apsaugos įstatymas.

7. SAUGUMO PRIEMONĖS (BDAR 32 STR.)

7.1. Paysera, atsižvelgdama į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas, tvarkymo pobūdį, aprėptį, kontekstą ir tikslus bei pavojus fizinių asmenų teisėms ir laisvėms, įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkantis saugumo lygis. Priemonės detaliai aprašytos Priede Nr. 2 ir apima bent:

a) nuomininkų izoliaciją duomenų bazės eilučių lygmeniu (row-level security): kiekvienas įrašas priskirtas Kliento nuomininkui, o užklausos vykdomos tik privaloma nuomininko kontekste;

b) šifravimą perduodant (HTTPS/TLS) ir saugant (infrastruktūros teikėjo taikomas AES-256 šifravimas, įskaitant atsargines kopijas; Kliento pateikti prieigos prie trečiųjų sistemų duomenys papildomai šifruojami raktų valdymo tarnyboje laikomu raktu);

c) prieigos kontrolę: vaidmenimis grįstą prieigą (Administratorius / Operatorius), integraciją su Kliento tapatybės teikėju, Paysera personalo prieigą pagal mažiausių privilegijų principą su registravimu;

d) nekeičiamą (tik papildomą, append-only) audito žurnalą, kuriame fiksuojami Naudotojų ir Paysera personalo veiksmai su Kliento duomenimis;

e) kasdienes automatines atsargines kopijas su galimybe atkurti į pasirinktą laiko momentą, saugomas 7 dienas, ir atkūrimo procedūras (Priedas Nr. 2);

f) reguliarų priemonių efektyvumo testavimą, vertinimą ir peržiūrą.

7.2. Paysera gali keisti ir tobulinti Priede Nr. 2 nurodytas priemones, jei bendras saugumo lygis nesumažėja. Esminis priemonės pakeitimas, mažinantis saugumo lygį, laikomas DTS versijos pakeitimu ir priimamas 2.4 punkte nustatyta tvarka.

7.3. Klientas savarankiškai įvertina, ar Priede Nr. 2 nurodytos priemonės yra tinkamos jo tvarkomų Kliento duomenų keliamam pavojui, ir atsako už savo pusės saugumą: Naudotojų prisijungimo duomenų, kiosko ir ekranų įrenginių, savo tapatybės teikėjo ir tinklo saugumą, prieigos teisių peržiūrą ir Naudotojų, pasitraukusių iš Kliento, paskyrų išjungimą.

7.4. Šalys pripažįsta, kad Pažeidimo faktas savaime nereiškia, jog įgyvendintos priemonės buvo netinkamos; tinkamumas vertinamas pagal BDAR 32 straipsnio kriterijus (ESTT 2023 m. gruodžio 14 d. sprendimas byloje C‑340/21).

Teisinis pagrindas: BDAR 28 str. 3 d. c p.; 32 str. 1–4 d.; 5 str. 1 d. f p.; 24 str.; 25 str.; ESTT byla C‑340/21.

8. SUBTVARKYTOJAI

8.1. Bendras leidimas. Klientas suteikia Paysera bendrą rašytinį leidimą pasitelkti Subtvarkytojus. DTS sudarymo metu pasitelkiami Subtvarkytojai nurodyti Priede Nr. 3: Google Cloud EMEA Limited (debesijos infrastruktūra, regionas europe-west1, Belgija) ir el. laiškams siųsti naudojamos Paysera SMTP pašto sistemos valdytojas, jei tai ne Paysera LT, UAB [● patvirtinti]. Subtvarkytojai pridedami ar keičiami tik 8.2–8.4 punktuose nustatyta tvarka.

8.2. Pranešimas ir teisė prieštarauti. Apie ketinimą pasitelkti naują Subtvarkytoją arba pakeisti esamą Paysera informuoja Klientą el. paštu Administratoriams ir pranešimu Konsolėje ne vėliau kaip prieš 30 (trisdešimt) kalendorinių dienų iki pakeitimo, nurodydama Subtvarkytojo pavadinimą, vietą, tvarkymo pobūdį ir taikomas garantijas. Klientas per šį terminą gali raštu pareikšti pagrįstą prieštaravimą, susijusį su duomenų apsauga.

8.3. Gavusi prieštaravimą, Paysera per 15 (penkiolika) darbo dienų pasiūlo pagrįstą sprendimą (pvz., alternatyvų Subtvarkytoją, papildomas garantijas arba funkcijos, kuriai Subtvarkytojas reikalingas, išjungimą Klientui). Nepavykus susitarti, Klientas turi teisę nutraukti Sutartį nuo dienos, kurią naujasis Subtvarkytojas pradėtų tvarkyti Kliento duomenis; jau sumokėtiems mokesčiams taikomas Sąlygų 8.2.1 punktas. Iki atsisakymo įsigaliojimo Paysera, kiek techniškai įmanoma, netaiko ginčijamo Subtvarkytojo Kliento duomenims.

8.4. Skubus pakeitimas. Jei Subtvarkytojo pakeitimas būtinas skubiai dėl saugumo incidento ar Subtvarkytojo paslaugos nutraukimo, Paysera informuoja Klientą nedelsiant, o 8.2 punkte nurodytas terminas prieštaravimui skaičiuojamas nuo pranešimo dienos.

8.5. Sąlygų perkėlimas. Paysera su kiekvienu Subtvarkytoju sudaro rašytinę sutartį, kuria Subtvarkytojui nustatomos iš esmės tos pačios duomenų apsaugos pareigos, kaip nustatytos šioje DTS, visų pirma – pakankamos garantijos įgyvendinti tinkamas technines ir organizacines priemones. Subtvarkytojui neįvykdžius savo pareigų, Paysera lieka visiškai atsakinga Klientui už Subtvarkytojo pareigų vykdymą.

8.6. Ne Subtvarkytojai. Subtvarkytojais nelaikomi: (a) Kliento pasirinktas tapatybės teikėjas – tai Kliento tvarkytojas ar savarankiškas valdytojas; (b) Paysera kaip mokėjimo paslaugų teikėja per „Paysera Checkout“ (žr. 2.2 p.); (c) Kliento savarankiškai prijungtos trečiųjų šalių integracijos; (d) telekomunikacijų operatoriai, kurie tik perduoda pranešimus savo tinklais; (e) Google kaip Naudotojo pasirinktos funkcijos „Prisijungti su Google“ teikėja – ji veikia kaip savarankiška valdytoja.

8.7. Kliento prašymu Paysera pateikia Subtvarkytojo sutarties duomenų apsaugos sąlygas (komercinės sąlygos gali būti neatskleidžiamos; jei sąlygos standartinės ir paskelbtos, pakanka nuorodos). Paysera praneša Klientui, jei Subtvarkytojas nevykdo duomenų apsaugos įsipareigojimų ir tai paveikia Kliento duomenis. Kiek leidžia Subtvarkytojo sąlygos, Paysera užtikrina, kad, jei Paysera faktiškai išnyktų, teisiškai nustotų egzistuoti ar taptų nemoki, Klientas galėtų nurodyti Subtvarkytojui grąžinti arba ištrinti Kliento duomenis.

Teisinis pagrindas: BDAR 28 str. 2 ir 4 d.; 28 str. 3 d. d p.; 28 str. 1 d.

9. PAGALBA VALDYTOJUI ĮGYVENDINANT DUOMENŲ SUBJEKTŲ TEISES

9.1. Paysera, atsižvelgdama į tvarkymo pobūdį, tinkamomis techninėmis ir organizacinėmis priemonėmis, kiek įmanoma, padeda Klientui vykdyti pareigą atsakyti į duomenų subjektų prašymus pasinaudoti BDAR III skyriuje nustatytomis teisėmis.

9.2. Savitarnos priemonės. Konsolėje Klientui prieinamos funkcijos: Lankytojo duomenų paieška, Lankytojo duomenų eksportas mašininiu būdu nuskaitomu formatu (JSON), Lankytojo asmens duomenų ištrynimas (negrįžtamai juos anonimizuojant), Naudotojo paskyros išjungimas ir Kliento duomenų eksportas (12.2 punktas). Klientas šias priemones naudoja savarankiškai, be Paysera dalyvavimo; kiekvienas eksportas ir ištrynimas įrašomas į audito žurnalą.

9.3. Papildoma pagalba. Jei prašymą įvykdyti savitarnos priemonėmis neįmanoma, Paysera, gavusi Administratoriaus rašytinį prašymą, suteikia pagalbą ne vėliau kaip per 10 (dešimt) darbo dienų, kad Klientas galėtų laikytis BDAR 12 straipsnio 3 dalies vieno mėnesio termino. Iš anksto suderintas atlygis gali būti taikomas tik už akivaizdžiai neproporcingą ar pasikartojančią pagalbą, viršijančią Paslaugos apimtį.

9.4. Tiesiogiai gauti prašymai. Jei duomenų subjektas kreipiasi tiesiogiai į Paysera dėl Kliento duomenų, Paysera į prašymą iš esmės neatsako, o ne vėliau kaip per 3 (tris) darbo dienas jį persiunčia Klientui ir, jei duomenų subjekto kreipimasis tai leidžia, informuoja duomenų subjektą, kad jo prašymas persiųstas Valdytojui.

9.5. Sužinojusi, kad Kliento duomenys netikslūs ar pasenę, Paysera nepagrįstai nedelsdama informuoja Klientą.

Teisinis pagrindas: BDAR 28 str. 3 d. e p.; 12 str. 3 d.; 15–22 str.

10. PAGALBA DĖL BDAR 32–36 STRAIPSNIŲ PAREIGŲ IR PRANEŠIMAS APIE PAŽEIDIMĄ

10.1. Pagalba

10.1.1. Paysera, atsižvelgdama į tvarkymo pobūdį ir turimą informaciją, padeda Klientui vykdyti BDAR 32–36 straipsniuose nustatytas pareigas: pateikia Priede Nr. 2 nurodytą informaciją apie saugumo priemones, duomenų srautų aprašą ir kitą pagrįstai prašomą informaciją, reikalingą Kliento poveikio duomenų apsaugai vertinimui (BDAR 35 str.) ar išankstinėms konsultacijoms su Priežiūros institucija (BDAR 36 str.).

10.2. Pranešimas apie Pažeidimą

10.2.1. Sužinojusi apie Pažeidimą, Paysera nepagrįstai nedelsdama, bet ne vėliau kaip per 24 (dvidešimt keturias) valandas nuo sužinojimo, praneša Klientui el. paštu visiems Kliento Administratoriams. Laikoma, kad Paysera sužinojo apie Pažeidimą, kai turi pagrįstą tikrumo laipsnį, kad saugumo incidentas pažeidė Kliento duomenis; įtariamus incidentus Paysera tiria nedelsdama ir nevilkina pranešimo vien tam, kad užbaigtų tyrimą. Pirminiame pranešime pateikiama tuo metu turima informacija, kuri papildoma pagal 10.2.3 punktą.

10.2.2. Pranešime pateikiama BDAR 33 straipsnio 3 dalyje nurodyta informacija, kiek ji Paysera žinoma:

a) Pažeidimo pobūdis, įskaitant, jei įmanoma, atitinkamų duomenų subjektų kategorijas ir apytikslį skaičių bei atitinkamų asmens duomenų įrašų kategorijas ir apytikslį skaičių;

b) Paysera duomenų apsaugos pareigūno ar kito kontaktinio asmens vardas, pavardė ir kontaktiniai duomenys;

c) tikėtinos Pažeidimo pasekmės;

d) priemonės, kurių Paysera ėmėsi arba siūlo imtis, kad būtų pašalintas Pažeidimas ir sumažintos jo galimos neigiamos pasekmės.

10.2.3. Jei visos informacijos vienu metu pateikti neįmanoma, ji teikiama etapais be nepagrįsto delsimo. Paysera dokumentuoja Pažeidimą, jo faktus, poveikį ir taisomuosius veiksmus ir šią dokumentaciją pateikia Klientui pareikalavus.

10.2.4. Pranešimo Priežiūros institucijai (BDAR 33 str. 1 d.) ir duomenų subjektams (BDAR 34 str.) pareiga ir sprendimas dėl jų būtinumo tenka Klientui. Paysera Priežiūros institucijai ar duomenų subjektams dėl Kliento duomenų praneša tik Kliento Nurodymu arba jei to tiesiogiai reikalauja teisės aktai.

10.2.5. Pažeidimo, įvykusio pas Subtvarkytoją, atveju taikomi tie patys terminai, skaičiuojami nuo momento, kai apie jį sužinojo Paysera.

10.2.6. Pranešimas apie Pažeidimą nėra Paysera atsakomybės ar kaltės pripažinimas.

10.2.7. Apie saugumo incidentus, nesukėlusius Kliento duomenų pažeidimo, tačiau reikšmingus Paslaugos saugumui, Paysera informuoja Klientą el. paštu Administratoriams per pagrįstą laiką po incidento suvaldymo.

Teisinis pagrindas: BDAR 28 str. 3 d. f p.; 32 str.; 33 str. 1–5 d.; 34 str.; 35–36 str.; 4 str. 12 p.

11. SAUGOJIMO TERMINAI

11.1. Operatyviniai Lankytojų duomenys (vardas ar inicialai, kontaktai, bilietų ir vizitų duomenys, atsiliepimai, IP adresai) saugomi 90 (devyniasdešimt) dienų nuo bilieto ar vizito užbaigimo (skaičiuojant nuo to momento, kai bilietas pasiekia galutinę būseną), o vėliau automatiškai negrįžtamai nuasmeninami. Šis terminas laikomas Kliento standartiniu Nurodymu. Kliento prašymu Paysera gali Klientui nustatyti kitą terminą – nuo 30 iki 365 dienų.

11.2. Nuasmeninti statistiniai duomenys (aptarnavimo laikai, srautai, CSAT vidurkiai pagal paslaugas ir vietas be sąsajos su konkrečiu asmeniu) nėra asmens duomenys ir gali būti saugomi Kliento statistikai neribotai; jiems ši DTS netaikoma.

11.3. Kliento klientų profilių duomenys (jei Klientas naudoja identifikuotų klientų sąrašo funkciją: pastabos, apsilankymų istorijos suvestinės, pageidavimai) automatiškai nenuasmeninami: jie saugomi, kol Klientas juos ištrina Konsolėje arba ištrina pagal duomenų subjekto prašymą (9.2 punktas), bet ne ilgiau nei iki DTS 12 skyriuje nustatyto ištrynimo. Klientas, kaip Valdytojas, nustato tokių duomenų saugojimo trukmę ir užtikrina saugojimo apribojimo principą.

11.4. Naudotojų duomenys saugomi, kol Naudotojo paskyra yra Kliento Paskyroje; išjungtos paskyros duomenys saugomi kaip Kliento Paskyros veiksmų istorijos dalis iki DTS 12 skyriuje nustatyto ištrynimo, nebent Klientas paprašo juos ištrinti anksčiau.

11.5. Audito žurnalo įrašai saugomi visą Kliento Paskyros gyvavimo laiką saugumo ir atskaitomybės tikslais (BDAR 5 str. 2 d., 32 str.) ir ištrinami DTS 12 skyriuje nustatyta tvarka. Ištrynus Lankytojo duomenis pagal 9.2 punktą, su juo susiję audito įrašai išlieka, tačiau jų asmens duomenys nebėra rodomi ar eksportuojami.

11.6. Atsarginės kopijos rotuojamos ir ištrinamos per 7 (septynias) dienas; ištrinti ar nuasmeninti duomenys iš atsarginių kopijų nebeatkuriami į veikiančią sistemą, išskyrus avarinį visos sistemos atkūrimą, po kurio nedelsiant pakartojamas ištrynimas ar nuasmeninimas.

11.7. Sustabdyta Paslauga. Sustabdžius Paslaugą (nesudarius prenumeratos po bandomojo laikotarpio, nesumokėjus arba atsisakius prenumeratos), Kliento duomenys saugomi ne trumpiau kaip 30 (trisdešimt) kalendorinių dienų, kad Klientas galėtų atnaujinti Paslaugą arba atsiimti duomenis; pasibaigus šiam terminui Kliento Paskyra archyvuojama. Po to Kliento duomenys archyve saugomi archyvo saugojimo laikotarpį – 12 (dvylika) mėnesių nuo archyvavimo (Sąlygų 9.5.2 punktas), o jam pasibaigus taikomas DTS 12 skyrius; šiuo laikotarpiu operatyviniai Lankytojų duomenys toliau nuasmeninami pagal 11.1 punktą.

Teisinis pagrindas: BDAR 5 str. 1 d. c ir e p., 5 str. 2 d.; 28 str. 3 d. a ir g p.; 26 konstatuojamoji dalis.

12. SUTARTIES PABAIGA: DUOMENŲ GRĄŽINIMAS IR IŠTRYNIMAS

12.1. Pabaigos pagrindai. DTS pasibaigia kartu su Sąlygomis: pasibaigus apmokėtam laikotarpiui po Kliento atsisakymo, pasibaigus prenumeratai dėl nesumokėjimo, sėkmingai užbaigus perėjimą pas kitą teikėją pagal Duomenų aktą arba pasibaigus pranešimo apie perėjimą terminui, taip pat Sąlygose numatytais nutraukimo atvejais.

12.1a. Neatitiktis. Jei Paysera negali laikytis šios DTS, ji nedelsdama apie tai informuoja Klientą, o Klientas gali sustabdyti atitinkamą tvarkymą. Klientas gali nedelsiant nutraukti Sutartį, jei Paysera per protingą terminą, bet ne ilgiau kaip per vieną mėnesį, neatkuria atitikties, jei Paysera iš esmės ar pakartotinai pažeidžia šią DTS arba nevykdo privalomo teismo ar Priežiūros institucijos sprendimo dėl savo pareigų pagal BDAR; tokiu atveju taikomas Sąlygų 8.2.3 punktas (proporcingas grąžinimas). Paysera gali nutraukti Sutartį, jei Klientas, informuotas pagal 16 skyrių, primygtinai reikalauja vykdyti duomenų apsaugos teisę pažeidžiantį Nurodymą.

12.2. Duomenų grąžinimas. Kliento pasirinkimu Paysera grąžina Kliento duomenis: Klientas per duomenų atsiėmimo laikotarpį, ne trumpesnį kaip 30 (trisdešimt) kalendorinių dienų nuo Paslaugos pabaigos, gali Konsolėje arba per integracijos API eksportuoti visus eksportuotinus duomenis ir skaitmeninį turtą mašininiu būdu nuskaitomu, įprastai naudojamu formatu (ZIP archyvas su JSON failais ir kiekvieno rinkinio JSON Schema). Eksportuotinų duomenų ir skaitmeninio turto sąrašas pateikiamas Sąlygų 9.4 dalyje ir Priedo Nr. 1 7 punkte.

12.3. Perėjimas pagal Duomenų aktą. Kliento perėjimo pas kitą duomenų tvarkymo paslaugos teikėją ar į savo infrastruktūrą atveju Paysera: (a) pereinamuoju 30 (trisdešimties) kalendorinių dienų laikotarpiu užtikrina Paslaugos tęstinumą ir teikia pagrįstą pagalbą; (b) Klientas gali vieną kartą pratęsti pereinamąjį laikotarpį; (c) perėjimo mokesčiai netaikomi; (d) veikia sąžiningai ir bendradarbiauja su naujuoju teikėju. Pranešimo apie perėjimą terminas ir ankstyvo nutraukimo pasekmės nustatytos Sąlygose (Duomenų akto 25 str., 29 str. 4 d.).

12.4. Ištrynimas. Laikantis 12.5 punkto ir Sąlygų 9.5.2 punkto, pasibaigus duomenų atsiėmimo laikotarpiui (arba 11.7 punkte nurodytam 30 dienų terminui) Kliento Paskyra archyvuojama, o Kliento duomenys archyvo saugojimo laikotarpiu – 12 (dvylika) mėnesių nuo archyvavimo – saugomi archyve, apribojus jų tvarkymą saugojimu; operatyviniai Lankytojų duomenys toliau nuasmeninami pagal 11.1 punktą. Per 30 (trisdešimt) dienų po archyvo saugojimo laikotarpio pabaigos Paysera ištrina visus Kliento duomenis, įskaitant audito žurnalo įrašus, klientų profilių duomenis, su Klientu susijusius anonimizuotus įrašus; atsarginės kopijos ištrinamos per 11.6 punkte nurodytą rotacijos ciklą, o Subtvarkytojų turimos likutinės kopijos ištrinamos per jų duomenų tvarkymo sąlygose nustatytus terminus (Google Cloud – ne vėliau kaip per 180 dienų, Google Cloud duomenų tvarkymo priedo 6.1 punktas). Kliento paskyros archyvavimas (loginis ištrynimas) nėra ištrynimas šio punkto prasme. Klientas bet kuriuo metu gali pareikalauti ištrynimo anksčiau, be kita ko, atsisakydamas likusio duomenų atsiėmimo laikotarpio; tokiu atveju Paysera ištrina Kliento duomenis per 30 (trisdešimt) dienų nuo prašymo gavimo. Klientui paprašius, Paysera raštu patvirtina ištrynimą.

12.5. Išimtys (duomenų išsaugojimas teisinių procesų tikslais). Pasibaigus 12.4 punkte nurodytiems terminams, Paysera toliau saugo Kliento duomenis tik šiais atvejais ir tik atitinkamus duomenis (Sąlygų 9.9.1 punktas): (a) kai to reikalauja teisė – tiek ir tol, kiek to reikalauja Paysera taikoma ES arba Lietuvos Respublikos teisė, įskaitant Paysera privalomą teisėsaugos ar ikiteisminio tyrimo institucijos, teismo ar Priežiūros institucijos prašymą ar nurodymą; tokiu atveju Paysera veikia kaip tvarkytoja ir prieš pradėdama tvarkymą informuoja Klientą apie tokį teisinį reikalavimą, išskyrus kai ta teisė tokį informavimą draudžia dėl svarbių viešojo intereso priežasčių (BDAR 28 straipsnio 3 dalies a punktas); Paysera neprivalomas prašymas perduodamas Klientui, nebent teisės aktai tai draudžia; (b) pagal Kliento Nurodymą – kai Klientas iki ištrynimo nurodo Paysera išsaugoti konkrečius duomenis savo reikalavimui, ginčui ar tyrimui; tokiu atveju Paysera veikia kaip tvarkytoja ir duomenis ištrina gavusi kitą Kliento Nurodymą arba pasibaigus Kliento nustatytam terminui; (c) Paysera teisiniai reikalavimai – kai tarp Paysera ir Kliento ar trečiojo asmens vyksta arba pagrįstai numatomas ginčas ar pareikštas reikalavimas, susijęs su Paslauga, Paysera gali saugoti duomenis, kurie būtini šiam teisiniam reikalavimui pareikšti, vykdyti ar apginti; šiuo tikslu Paysera veikia kaip savarankiška valdytoja (papildomai prie 2.2 punkto), remdamasi BDAR 6 straipsnio 1 dalies f punktu ir 17 straipsnio 3 dalies e punktu, duomenų nenaudoja jokiu kitu tikslu ir informuoja Klientą apie saugojimą, nebent teisės aktai tai draudžia. Visais atvejais duomenys izoliuojami, jų tvarkymas apribojamas saugojimu (išskyrus jų pateikimą atitinkamai institucijai ar teismui arba naudojimą atitinkamam teisiniam reikalavimui) ir išnykus tikslui jie ištrinami; (a) ir (b) atvejais jiems toliau taikoma ši DTS. Nuasmeninti statistiniai duomenys (11.2 p.) ir duomenys, kurių atžvilgiu Paysera yra savarankiška valdytoja (2.2 p.), šio skyriaus nereglamentuojami.

12.6. Galiojimas po pabaigos. DTS 6, 12, 15 ir 17 skyriai galioja iki visiško Kliento duomenų ištrynimo ar grąžinimo.

Teisinis pagrindas: BDAR 28 str. 3 d. a ir g p.; 20 str.; 17 str., įskaitant 17 str. 3 d. e p.; 18 str. 2 d.; Duomenų akto 23 str., 25 str., įskaitant 25 str. 2 d. h p. (ištrynimas pasibaigus alternatyviam suderintam laikotarpiui, kuris baigiasi vėliau nei atsiėmimo laikotarpis, – archyvo saugojimo laikotarpis), 27 str., 29 str. 1 ir 4 d., 89 konstatuojamoji dalis; CK 6.217, 6.218, 6.221 str.; LR baudžiamojo proceso kodekso (BPK) 97 ir 155 str. 12.5 punktas: (a) atveju (saugojimo reikalauja ES ar valstybės narės teisė) ir (b) atveju (saugojimas pagal Kliento Nurodymą) Paysera veikia kaip tvarkytoja (BDAR 28 str. 3 d. a p.); (c) atveju (Paysera teisiniai reikalavimai) Paysera veikia kaip savarankiška valdytoja, remdamasi BDAR 6 str. 1 d. f p. ir 17 str. 3 d. e p., – šis vaidmuo sutartas šioje DTS ir neatsiranda dėl tvarkymo, viršijančio Kliento Nurodymus, kaip tai suprantama pagal BDAR 28 str. 10 d. Kliento informavimas pagal 12.5 punkto (c) papunktį yra sutartinis įsipareigojimas, kurio BDAR savaime nereikalauja; tai neturi įtakos Paysera, kaip valdytojos, pareigai informuoti duomenų subjektus (BDAR 14 str., įskaitant 14 str. 5 d. b p. išimtį).

13. AUDITAI IR PATIKRINIMAI

13.1. Paysera pateikia Klientui visą informaciją, būtiną įrodyti, kad vykdomos BDAR 28 straipsnyje nustatytos pareigos, ir sudaro sąlygas Klientui arba kitam Kliento įgaliotam auditoriui atlikti auditus, įskaitant patikrinimus, bei padeda juos atlikti.

13.2. Pirmoji pakopa – informacija. Klientas pirmiausia naudojasi Paysera pateikiamais dokumentais: šia DTS ir jos Priedais (visų pirma Priedu Nr. 2), atsakymais į pagrįstą Kliento saugumo klausimyną (ne dažniau kaip kartą per metus), paskutinio nepriklausomo Paslaugos įsiskverbimo testo santrauka (kai toks testas bus atliktas) ir Subtvarkytojų (visų pirma Google Cloud – ISO/IEC 27001, SOC 2) trečiųjų šalių audito ataskaitomis bei sertifikatais, kuriuos Paysera pateikia ar padaro prieinamus konfidencialumo sąlygomis. Šios versijos metu pati Paslauga nepriklausomo sertifikato neturi.

13.3. Antroji pakopa – auditas. Jei 13.2 punkte nurodyta informacija pagrįstai nepakankama, Klientas turi teisę atlikti auditą ne dažniau kaip kartą per 12 mėnesių, įspėjęs raštu ne vėliau kaip prieš 30 kalendorinių dienų ir su Paysera suderinęs apimtį, planą, trukmę ir auditorių. Auditas atliekamas Paysera darbo valandomis, netrikdant Paslaugos kitiems klientams; auditorius neturi būti Paysera konkurentas ir prieš auditą pasirašo konfidencialumo įsipareigojimą. Auditas neapima kitų klientų duomenų, Paysera vidaus finansinės informacijos ir fizinės prieigos į Subtvarkytojų duomenų centrus – Subtvarkytojų atitiktis įrodoma jų trečiųjų šalių audito ataskaitomis.

13.4. Išimtys. Dažnumo ir įspėjimo termino apribojimai netaikomi, jei auditas būtinas dėl Pažeidimo, Priežiūros institucijos privalomo reikalavimo ar pagrįstų, dokumentuotų įrodymų, kad Paysera nevykdo DTS.

13.5. Sąnaudos ir rezultatai. Kiekviena Šalis padengia savo audito sąnaudas; už Paysera personalo laiką, viršijantį 8 (aštuonias) valandas per auditą, gali būti taikomas iš anksto suderintas pagrįstas atlygis, išskyrus 13.4 punkto atvejus, kai nustatyti Paysera pažeidimai. Audito ataskaita pateikiama Paysera; nustatytus neatitikimus Paysera pašalina per Šalių suderintą pagrįstą terminą.

13.6. Priežiūros institucijos prašymu Paysera pateikia jai šiame skyriuje nurodytą informaciją, įskaitant audito rezultatus.

Teisinis pagrindas: BDAR 28 str. 3 d. h p.; 28 str. 5 d.; 5 str. 2 d.; 58 str. 1 d.

14. TARPTAUTINIAI DUOMENŲ PERDAVIMAI

14.1. Kliento duomenys saugomi ir tvarkomi Europos Sąjungoje – Google Cloud regione europe-west1 (Belgija). Paysera netvarko Kliento duomenų už Europos ekonominės erdvės ribų ir neperduoda jų į trečiąją valstybę ar tarptautinei organizacijai, nebent taikoma bent viena BDAR V skyriaus garantija:

a) Europos Komisijos sprendimas dėl tinkamumo (BDAR 45 str.);

b) Europos Komisijos patvirtintos standartinės sutarčių sąlygos pagal Įgyvendinimo sprendimą (ES) 2021/914, atitinkamas modulis (BDAR 46 str. 2 d. c p.), kartu su perdavimo poveikio vertinimu ir, jei būtina, papildomomis priemonėmis (ESTT 2020 m. liepos 16 d. sprendimas byloje C‑311/18 Schrems II);

c) kita BDAR 46 straipsnio 2 ar 3 dalyje numatyta tinkama garantija.

14.2. Klientas leidžia tokį perdavimą, kiek jis būtinas Subtvarkytojo paslaugai (pvz., Subtvarkytojo techninės pagalbos prieiga iš trečiosios valstybės) ir vykdomas su 14.1 punkte nurodytomis garantijomis; Google Cloud nuotolinė techninė pagalba teikiama pagal Google Cloud Data Processing Addendum ir jame numatytas garantijas. Perdavimai nurodomi Priede Nr. 3. Kitų Paysera grupės įmonių prieiga prie Kliento duomenų iš už EEE ribų: nėra. Jokia kita Paysera grupės įmonė neturi prieigos prie Kliento duomenų iš už EEE ribų; tokiai prieigai būtų reikalingas naujo Subtvarkytojo pasitelkimas pagal 8 skyrių ir BDAR V skyriaus reikalavimus atitinkantis perdavimas.

14.3. Vadovaudamasi Duomenų akto 28 straipsniu, Paysera savo interneto svetainėje [● – adresas; puslapis dar turi būti paskelbtas] skelbia informaciją apie jurisdikciją, kuriai priklauso Paslaugai naudojama IRT infrastruktūra, ir apie priemones, kuriomis užkertamas kelias trečiųjų valstybių valdžios institucijų neteisėtai prieigai prie duomenų.

14.4. Gavusi trečiosios valstybės valdžios institucijos prašymą suteikti prieigą prie Kliento duomenų, Paysera, kiek leidžia teisė, informuoja Klientą, ginčija prašymą, jei jis neatitinka ES teisės, ir atskleidžia tik minimalią privalomą apimtį (Duomenų akto 32 str.; BDAR 48 str.).

Teisinis pagrindas: BDAR 28 str. 3 d. a p.; 44–46 str., 48–49 str.; Komisijos įgyvendinimo sprendimas (ES) 2021/914; Duomenų akto 28 ir 32 str.; ESTT byla C‑311/18.

15. ATSAKOMYBĖ

15.1. Šalių atsakomybė duomenų subjektams nustatoma pagal BDAR 82 straipsnį: Paysera atsako už žalą, padarytą tvarkant duomenis, tik jei ji nesilaikė BDAR nustatytų konkrečiai duomenų tvarkytojams skirtų pareigų arba veikė nepaisydama teisėtų Kliento Nurodymų ar jiems priešingai. Šalis atleidžiama nuo atsakomybės, jei įrodo, kad ji jokiu būdu nėra atsakinga už žalą sukėlusį įvykį.

15.2. Jei abi Šalys yra atsakingos už tą pačią žalą ir viena jų atlygino visą žalą duomenų subjektui, ji turi teisę iš kitos Šalies išsireikalauti žalos dalį, atitinkančią pastarosios atsakomybės dalį (BDAR 82 str. 5 d.).

15.3. Šalių tarpusavio atsakomybei pagal šią DTS taikomas Sąlygų 14 skyrius, įskaitant atskirą Sąlygų 14.5 punkto (c) papunkčio ribą; ribojimai netaikomi tyčios ar didelio neatsargumo atvejais ir neapriboja duomenų subjektų teisių pagal BDAR 82 straipsnį.

15.4. Kiekviena Šalis pati padengia jai Priežiūros institucijos paskirtas administracines baudas (BDAR 83 str.). Šalis turi teisę reikalauti iš kitos Šalies atlyginti baudos ar kompensacijos dydį tik tiek, kiek bauda ar kompensacija paskirta dėl kitos Šalies DTS pažeidimo; atsakomybė už baudą reikalauja Šalies kaltės (ESTT 2023 m. gruodžio 5 d. sprendimas byloje C‑683/21).

15.5. Paysera atsako Klientui už Subtvarkytojų veiksmus kaip už savo (BDAR 28 str. 4 d.).

15.6. Šalis, gavusi duomenų subjekto ar Priežiūros institucijos pretenziją, susijusią su Kliento duomenimis, per 5 (penkias) darbo dienas informuoja kitą Šalį ir bendradarbiauja ją nagrinėjant.

Teisinis pagrindas: BDAR 82 str. 1–5 d.; 83 str.; 28 str. 4 d.; CK 6.245–6.249 str., 6.251 str., 6.256 str., 6.258 str.; ESTT byla C‑683/21.

16. TVARKYTOJOS PAREIGA INFORMUOTI APIE NETEISĖTĄ NURODYMĄ

16.1. Paysera nedelsdama informuoja Klientą, jei, jos nuomone, Nurodymas pažeidžia BDAR, ADTAĮ ar kitas ES arba Lietuvos Respublikos duomenų apsaugos nuostatas.

16.2. Paysera turi teisę sustabdyti ginčijamo Nurodymo vykdymą, kol Klientas jį raštu patvirtins, pakeis ar atšauks. Klientui raštu patvirtinus Nurodymą, atsakomybė už jo teisėtumą tenka Klientui; Paysera vis tiek turi teisę atsisakyti vykdyti Nurodymą, kurio vykdymas reikštų akivaizdų BDAR pažeidimą.

16.3. Ši pareiga nereiškia, kad Paysera privalo teikti Klientui teisines konsultacijas ar sistemingai tikrinti Kliento tvarkymo teisėtumą; Klientas lieka atsakingas už savo Nurodymų teisėtumą.

Teisinis pagrindas: BDAR 28 str. 3 d. antroji pastraipa; 28 str. 10 d.; 29 str.

17. TAIKYTINA TEISĖ, GINČAI IR PRIEŽIŪRA

17.1. Šiai DTS ir iš jos kylantiems santykiams taikoma Lietuvos Respublikos teisė. BDAR ir Duomenų aktas taikomi tiesiogiai; jų imperatyvios nuostatos turi viršenybę prieš DTS.

17.2. Ginčus Šalys sprendžia derybomis per 30 (trisdešimt) kalendorinių dienų nuo rašytinės pretenzijos gavimo. Nepavykus susitarti, ginčas sprendžiamas Sąlygų 18 skyriuje nustatyta tvarka – Lietuvos Respublikos teismuose pagal Paysera buveinės vietą Vilniuje.

17.3. Kompetentinga priežiūros institucija Lietuvoje – Valstybinė duomenų apsaugos inspekcija (vdai.lrv.lt). Klientas, kaip Valdytojas, yra atsakingas už bendravimą su Priežiūros institucija; Paysera bendradarbiauja su Priežiūros institucija pagal BDAR 31 straipsnį.

17.4. DTS sudaryta lietuvių kalba ir pateikiama su vertimu į anglų kalbą; esant neatitikimų vadovaujamasi lietuviškuoju tekstu.

Teisinis pagrindas: BDAR 31 str., 55–56 str., 77 str., 79 str.; ADTAĮ 7 str.; CK 1.37 str. 1 d., 6.193 str.; CPK 29 str., 32 str.

18. BAIGIAMOSIOS NUOSTATOS

18.1. Pranešimai pagal DTS teikiami el. paštu: Klientui – Konsolėje nurodytiems Administratorių adresams; Paysera – dpo@paysera.com (duomenų apsaugos klausimai) ir qms@paysera.com (kiti Paslaugos klausimai); pranešimai apie Pažeidimus, Subtvarkytojus ir dokumentų versijas papildomai rodomi Konsolėje. Klientas atsako už Administratorių kontaktų aktualumą.

18.2. Paysera duomenų apsaugos pareigūno kontaktai: dpo@paysera.com (BDAR 37–39 str.).

18.3. Pripažinus kurią nors DTS nuostatą negaliojančia, kitos nuostatos lieka galioti, o negaliojanti nuostata pakeičiama teisėta, savo ekonomine ir teisine prasme artimiausia nuostata (CK 1.96 str.).

18.4. Paysera tvarko BDAR 30 straipsnio 2 dalyje numatytus Kliento vardu vykdomos tvarkymo veiklos įrašus ir pareikalavus pateikia juos Klientui ar Priežiūros institucijai.

18.5. Pasikeitus teisės aktams, Šalys geranoriškai suderina DTS pakeitimus 2.4 punkte nustatyta tvarka.

Teisinis pagrindas: BDAR 28 str. 9 d.; 30 str. 2 d.; 37–39 str.; CK 1.96 str., 6.189 str., 6.200 str.

PRIEDAS NR. 1. TVARKYMO APRAŠAS

PRIEDAS NR. 2. TECHNINĖS IR ORGANIZACINĖS PRIEMONĖS (BDAR 32 STR.)

PRIEDAS NR. 3. SUBTVARKYTOJŲ SĄRAŠAS

Pastabos:

1. Sąrašas atnaujinamas DTS 8 skyriuje nustatyta tvarka; apie pakeitimus Administratoriams pranešama el. paštu ne vėliau kaip prieš 30 dienų.

2. Kliento pasirinktas tapatybės teikėjas, Google kaip „Prisijungti su Google“ teikėja, Paysera kaip mokėjimo paslaugų teikėja per „Paysera Checkout“ ir Kliento savarankiškai prijungtos integracijos nėra Paysera Subtvarkytojai (DTS 8.6 p.).

3. Programos klaidų stebėsena vykdoma Paysera pačios valdomoje Sentry sistemoje (sentry.paysera.com) [● patvirtinti, kuri Paysera įmonė ją valdo ir kur ji talpinama]; jei ją valdo ne Paysera LT, UAB, ji turi būti įrašyta į šį sąrašą.

4. SMS ir WhatsApp pranešimai Lankytojams, kai bus siūlomi, bus siunčiami per Paysera pačios žinučių sistemą LightSMS ir tik tiems Klientams, kurie juos įsijungs [● patvirtinti, kuri Paysera įmonė valdo LightSMS ir kur ji talpinama]; jei jos nevaldo Paysera LT, UAB, ji šiame Priede nuo pradžių nurodoma kaip Subtvarkytoja, pasitelkiama tik tiems Klientams, todėl funkcijos įjungimui naujo pranešimo pagal 8.2 punktą nereikia.

5. Šio Priedo versija: 0.2-draft.