Duomenų tvarkymo sutartis

Ši Duomenų tvarkymo sutartis (DTS) yra Paslaugų teikimo sąlygos dalis tarp Passport Digital Limited („mes“, duomenų tvarkytojas) ir kliento („jūs“, duomenų valdytojas). Ji taikoma kiekvieną kartą, kai teikdami MyProductPassport tvarkome asmens duomenis jūsų vardu, ir atitinka UK GDPR bei, kai taikoma, EU GDPR 28 straipsnį. Jei jūsų darbo sritį valdo partneris, turintis jūsų sutartį, mes esame to partnerio subtvarkytojas tomis pačiomis sąlygomis.

1. Tvarkymo informacija

• Dalykas ir trukmė: MyProductPassport teikimas jums tol, kol galioja sutartis, ir kol duomenys bus ištrinti, kaip aprašyta toliau.
• Pobūdis ir tikslas: jūsų produktų duomenų ir pasų talpinimas, saugojimas, skelbimas, vertimas ir rodymas; pasų peržiūrų statistikos rengimas; pagalba; ir atsarginės kopijos.
• Kai jomis naudojatės, taip pat: jūsų pasirinktų tiekėjų prašymas pateikti informaciją, kiekvieno paskelbto paso pasirašytos istorijos saugojimas ir jūsų komandos narių prisijungimas per jūsų tapatybės teikėją.
• Susiję asmenys: jūsų darbuotojai ir komandos nariai; asmenys, nurodyti jūsų produktų duomenyse ir dokumentuose; ir asmenys, peržiūrintys jūsų paskelbtus pasus.
• Asmens duomenų rūšys: vardai ir pavardės, verslo kontaktiniai duomenys ir pareigos; bet kokie asmens duomenys, kuriuos įtraukiate į produktų duomenis ar dokumentus; o pasų žiūrovų – šalis, įrenginio tipas, naršyklė, operacinė sistema, nukreipiantis puslapis ir užkoduotas lankytojo identifikatorius (niekada IP adresas).
• Kai įjungiate paslaugas po pardavimo: jūsų produktų savininkų registravimas ir jų garantijos duomenų saugojimas, aptarnavimo užklausų, jūsų atsakymų ir klientų nuotraukų perdavimas tarp jūsų ir jų, galimybė savininkams perduoti produktą ir vieneto autentiškumo patikra.
• Duomenų subjektai, kai naudojate paslaugas po pardavimo: asmenys, kurie registruoja vieną iš jūsų produktų, siunčia jums aptarnavimo užklausą, gauna produktą iš jo savininko arba tikrina vieneto autentiškumą.
• Jų asmens duomenų rūšys: vardas ir el. pašto adresas; ką jie patys nusprendžia pridėti, pavyzdžiui, telefono numeris, šalis, pirkimo data ir vieta, serijos numeris, žinutės ir nuotraukos; ar jie sutiko gauti jūsų naujienų, su tiksliu matytu tekstu; o atliekant autentiškumo patikrą šalis ir užkoduotas lankytojo identifikatorius (niekada IP adresas).
• Kai prašote tiekėjų pateikti informaciją: jūsų tiekėjų kontaktiniai asmenys (vardas, el. pašto adresas ir įmonė) ir jų atsiųsti atsakymai bei failai. Kai naudojate vienkartinį prisijungimą: vardas ir el. pašto adresas, kuriuos jūsų tapatybės teikėjas siunčia apie kiekvieną asmenį. Paso pasirašyta istorija saugo kiekvieną paskelbtą versiją tokią, kokia ji buvo, įskaitant ankstesnes laukų reikšmes. Ji ištrinama kartu su jūsų darbo sritimi, o jūsų nurodymu pašalinsime ankstesnes versijas, jei iš jų reikia ištrinti asmens duomenis.

Paslauga nėra skirta specialių kategorijų duomenims (pavyzdžiui, sveikatos duomenims). Prašome jų neįkelti.

Jūs sprendžiate, kas pranešama jūsų klientams. Nuoroda į jūsų privatumo pranešimą pateikiama kiekvienoje paslaugų po pardavimo formoje ir laiške, o šios funkcijos lieka išjungtos, kol jį pridėsite. Laiškai jūsų klientams siunčiami jūsų vardu, su jūsų atsakymo adresu, per mūsų siuntimo paslaugų teikėją.

2. Mūsų įsipareigojimai

Įsipareigojame:

• tvarkyti asmens duomenis tik pagal jūsų dokumentais įformintus nurodymus, t. y. šias sąlygas ir jūsų naudojimąsi paslauga, nebent įstatymai reikalauja kitaip; tokiu atveju pirmiausia jums apie tai pranešime, nebent įstatymai tai draudžia;
• pranešti jums, jei manome, kad nurodymas pažeidžia duomenų apsaugos teisę;
• užtikrinti, kad visi, kuriuos įgaliojame tvarkyti duomenis, būtų susaistyti konfidencialumo įsipareigojimais;
• taikyti toliau aprašytas saugumo priemones;
• naudoti subtvarkytojus tik taip, kaip nurodyta toliau;
• padėsime atsakyti į asmenų, įgyvendinančių savo teises, prašymus;
• padėsime jums vykdyti įsipareigojimus, susijusius su saugumu, pranešimu apie pažeidimus, poveikio duomenų apsaugai vertinimu ir išankstinėmis konsultacijomis, atsižvelgdami į mums prieinamą informaciją;
• pasibaigus sutarčiai ištrinti arba grąžinti asmens duomenis, kaip aprašyta toliau;
• pateikti informaciją, reikalingą įrodyti, kad šie įsipareigojimai vykdomi, ir leisti auditus, kaip aprašyta toliau.

3. Subtvarkytojai

Įgaliojate mus naudoti šiuos subtvarkytojus:

• DigitalOcean per Cloudways: prieglobos paslaugos, duomenų bazės ir atsarginės kopijos (Londonas, Jungtinė Karalystė).
• Cloudflare: tinklas, saugumas ir turinio pristatymas (pasaulinis tinklas).
• Brevo (Sendinblue SAS): paslaugos el. laiškų siuntimas jums ir jūsų komandai, o kai naudojate paslaugas po pardavimo, ir jūsų klientams (Prancūzija).
• OpenAI: automatinis paskelbtų pasų teksto vertimas ir dokumentų, kuriuos nusprendžiate importuoti į pasą, skaitymas (Jungtinės Valstijos).
• Sentry (Functional Software, Inc.): klaidų stebėsena (Vokietija, ES duomenų regionas).
• Microsoft (Microsoft 365): el. paštas pagalbos susirašinėjimui.

Kiekvienam subtvarkytojui nustatome duomenų apsaugos įpareigojimus, ne mažiau apsaugančius nei ši DTS, ir liekame jums atsakingi už jų darbą. Apie naują subtvarkytoją pranešime el. paštu arba programėlėje likus bent 30 dienų iki jo darbo pradžios. Galite prieštarauti dėl pagrįstų duomenų apsaugos priežasčių; jei prieštaravimo išspręsti negalime, galite nutraukti paveiktą paslaugą, o mes grąžinsime mokesčius, sumokėtus už laikotarpį po jos pabaigos.

4. Tarptautiniai perdavimai

Jūsų duomenys talpinami Jungtinėje Karalystėje, kurią Europos Komisija pripažįsta užtikrinančia tinkamą apsaugą. Kai subtvarkytojas tvarko asmens duomenis šalyje be sprendimo dėl tinkamumo, remiamės Europos Komisijos standartinėmis sutarčių sąlygomis kartu su UK International Data Transfer Addendum arba subtvarkytojo sertifikavimu pagal ES ir JAV duomenų privatumo sistemą bei jos JK plėtinį.

5. Asmenų prašymai

Paslauga leidžia patiems peržiūrėti, taisyti, eksportuoti ir ištrinti duomenis. Jei kas nors susisieks su mumis dėl jūsų kontroliuojamų asmens duomenų, nepagrįstai nedelsdami perduosime prašymą jums ir patys į jį neatsakysime, nebent to paprašysite.

Registruotų produktų savininkai taip pat patys gali atsisakyti jūsų rinkodaros laiškų ir ištrinti savo registraciją savo savininko puslapyje.

6. Saugos priemonės

• Šifravimas perdavimo metu: TLS kiekvienam ryšiui su HTTP Strict Transport Security.
• Šifravimas saugant: naudotojų paskyrose laikomi įmonės kodas, PVM mokėtojo kodas ir telefono numeris šifruojami programoje; slaptažodžiai saugomi tik kaip vienkrypčiai maišos kodai.
• Prieiga: vaidmenimis grindžiama prieiga darbo srityse (savininkas, administratorius, redaktorius, žiūrėtojas), neprivalomas dviejų veiksnių autentifikavimas ir ribojamas prisijungimo bandymų skaičius. Prieiga prie gamybinių serverių suteikiama tik įvardytiems administratoriams.
• Registravimas: svarbūs veiksmai įrašomi su naudotoju, laiku ir IP adresu ir saugomi 90 dienų.
• Pasų žiūrovai: IP adresai niekada nesaugomi; tik slaptu raktu sukurtas užkoduotas identifikatorius.
• Paslaugos po pardavimo: paslėpti vienetų kodai, saugių žymų raktai ir privačios nuorodos laiškuose jūsų klientams šifruojami programoje; klientų siunčiamos nuotraukos saugomos privačiai ir rodomos tik jūsų komandai ir jas atsiuntusiam klientui.
• Atsparumas: kasdienės duomenų bazės atsarginės kopijos ir „Cloudflare“ apsauga nuo paslaugos trikdymo atakų.
• Programos saugumas: griežta turinio saugumo politika (CSP) su pažeidimų pranešimais.

7. Asmens duomenų saugumo pažeidimai

Jei sužinosime apie asmens duomenų saugumo pažeidimą, susijusį su jūsų duomenimis, mes:

• pranešti jums nepagrįstai nedelsiant ir bet kuriuo atveju per 48 valandas el. paštu jūsų darbo srities savininkui;
• pateiksime jums informaciją, kurios reikia pranešti Information Commissioner’s Office arba jūsų priežiūros institucijai per 72 valandas, ir ją atnaujinsime, kai sužinosime daugiau;
• bendradarbiauti su jumis tiriant ir suvaldant pažeidimą bei užfiksuoti, kas įvyko ir ką dėl to padarėme.

Apie įtariamą saugumo problemą galite pranešti mums adresu [email protected].

8. Auditai

Atsakysime į pagrįstus rašytinius klausimus apie tai, kaip laikomės šios DTS. Jei to nepakanka, savo lėšomis galite atlikti auditą:

• bent prieš 30 dienų raštu įspėję;
• įprastomis darbo valandomis;
• konfidencialumo įsipareigojimais susaistytų auditorių;
• ne dažniau kaip kartą per metus, nebent pažeidimas ar reguliuotojas reikalauja dar vieno.

9. Duomenų grąžinimas ir ištrynimas

Savo duomenis galite eksportuoti bet kada, o sutarčiai pasibaigus paprašyti viso eksporto (žr. „Perėjimas pas kitą teikėją“ mūsų Paslaugų teikimo sąlygos). Ištrynus paskyrą, joje esantys asmens duomenys ištrinami iš karto. Jei sutartis baigiasi kitaip, duomenis ištriname praėjus 30 dienų po jos pabaigos. Atsarginėse kopijose esančios kopijos perrašomos per 60 dienų po to. Saugome tik tai, ko reikalauja įstatymai, pavyzdžiui, sąskaitas faktūras, ir, jei paprašysite, ištrynimą patvirtiname raštu.

Nuo 2026 m. spalio 26 d. baterijų pasai lieka prieinami ir ištrynus paskyrą, kaip aprašyta Paslaugų teikimo sąlygose (Reglamentas (ES) 2023/1542, 78 straipsnio e punktas).

Paslaugų po pardavimo duomenys: registracija, kurios niekas nepatvirtina, ištrinama po 30 dienų, o pakviesto naujo savininko duomenys ištrinami, kai tik perdavimas priimamas, atšaukiamas arba baigia galioti. Savininkai patys gali ištrinti savo registraciją savo savininko puslapyje, o jūs skydelyje galite pašalinti registraciją arba ištrinti aptarnavimo užklausą. Kitu atveju šie duomenys ištrinami kartu su jūsų darbo sritimi.

10. Taikytina teisė

Šiai DTS taikoma Anglijos ir Velso teisė, kaip ir mūsų Paslaugų teikimo sąlygoms. Kai EU GDPR reikalauja, kad būtų taikoma ES valstybės narės teisė, taikoma Airijos teisė, o jurisdikciją turi Airijos teismai. Jei ši DTS prieštarauja Paslaugų teikimo sąlygoms, asmens duomenų tvarkymo klausimais viršenybę turi ši DTS.

Klausimai dėl šios duomenų tvarkymo sutarties: [email protected].