Duomenų tvarkymo sutartis

1. Dalykas ir trukmė

Tvarkymo dalykas yra WaiverKit skaitmeninio atsisakymų platformos teikimas Valdytojui. Tvarkymas tęsiasi tol, kol Valdytojas palaiko aktyvią paskyrą, ir bet kokiam taikomam po nutraukimo saugojimo laikotarpiui, aprašytam 11 skyriuje.

2. Tvarkymo pobūdis ir tikslas

Tvarkytojas tvarko asmens duomenis tik tam, kad talpintų, pristatytų, apsaugotų ir palaikytų WaiverKit paslaugą: renkant ir saugant pasirašytus atsisakymus, generuojant PDF įrašus, siunčiant operacinius el. laiškus, autentifikuojant naudotojus, apdorojant mokėjimus ir rengiant analitiką Valdytojo vardu.

3. Asmens duomenų tipai ir duomenų subjektų kategorijos

Tvarkomi asmens duomenys gali apimti:

• Pasirašančiojo tapatybės duomenys (vardas, gimimo data, adresas, el. paštas, telefonas)
• Parašo atvaizdai ir įvesti parašai
• Globėjų duomenys nepilnamečiams pasirašantiesiems
• Verslo naudotojo paskyros duomenys (vardas, el. paštas, autentifikavimo identifikatoriai, IP adresas)

Duomenų subjektų kategorijos apima: dalyvius, pasirašančius atsisakymus, nepilnamečių dalyvių globėjus ir Valdytojo darbuotojus arba įgaliotus naudotojus.

4. Valdytojo įsipareigojimai ir teisės

Valdytojas yra atsakingas už asmens duomenų rinkimo ir tvarkymo teisėtumą, už bet kokių būtinų sutikimų gavimą iš duomenų subjektų, už Tvarkytojui pateiktų nurodymų tikslumą ir už tai, kad jo sukonfigūruoti atsisakymo šablonai ir darbo eigos atitiktų taikomus įstatymus. Valdytojas išlaiko visas teises į asmens duomenis ir gali bet kuriuo metu pateikti dokumentuotus nurodymus Tvarkytojui.

5. Subtvarkytojai

Valdytojas įgalioja Tvarkytoją įtraukti šiuos subtvarkytojus paslaugai teikti:

• Clerk (autentifikavimas, sesijos valdymas ir naudotojų katalogas).
• Stripe (mokėjimų apdorojimas ir prenumeratų apmokestinimas).
• Resend (operacinių el. laiškų pristatymas).
• Cloudflare R2 (objektų saugojimas parašų atvaizdams ir PDF artefaktams).
• Vercel (aplikacijos talpinimas, kraštinis tinklas ir užklausų maršrutizavimas).
• Neon (Postgres) (valdoma Postgres duomenų bazės talpykla struktūrizuotiems duomenims).

Tvarkytojas informuos Valdytoją apie bet kokį numatomą subtvarkytojų pridėjimą ar pakeitimą, suteikdamas pagrįstą galimybę prieštarauti dėl teisėtų priežasčių.

6. Saugumo priemonės

Tvarkytojas įgyvendina tinkamas technines ir organizacines priemones asmens duomenims apsaugoti, įskaitant:

• Šifravimą perduodant (TLS 1.2+) ir poilsyje duomenų bazei bei objektų saugyklai
• Vaidmenimis pagrįstą prieigos kontrolę ir mažiausių privilegijų IAM visoje infrastruktūroje
• Nuomininkų izoliaciją, įgyvendinamą aplikacijos ir užklausų sluoksnyje
• Administravimo veiksmų ir asmens duomenų prieigos audito registravimą
• Reguliarias atsargines kopijas, automatinį priklausomybių skenavimą ir incidentų valdymo procedūras

7. Duomenų subjektų teisės

Atsižvelgdamas į tvarkymo pobūdį, Tvarkytojas padės Valdytojui tinkamomis techninėmis ir organizacinėmis priemonėmis įvykdyti Valdytojo pareigą atsakyti į duomenų subjektų prašymus, kuriais jie naudojasi savo teisėmis į prieigą, ištaisymą, ištrynimą, apribojimą, perkeliamumą ir prieštaravimą pagal BDAR 15-22 straipsnius.

8. Pranešimas apie duomenų saugumo pažeidimą

Tvarkytojas be nepagrįsto vėlavimo ir bet kokiu atveju per 72 valandas nuo tada, kai sužinos apie asmens duomenų saugumo pažeidimą, turintį įtakos Valdytojo duomenims, informuos Valdytoją. Pranešime bus aprašytas pažeidimo pobūdis, galimos pasekmės, imtasi arba siūlomos priemonės ir kontaktinis asmuo tolesnei informacijai gauti.

9. Tarptautiniai perdavimai

Kai asmens duomenys perduodami už Europos ekonominės erdvės, Jungtinės Karalystės ar Šveicarijos ribų į šalį be tinkamumo sprendimo, tokie perdavimai reglamentuojami Europos Komisijos standartinėmis sutarčių sąlygomis (SCC) ir, kai taikoma, JK tarptautinio duomenų perdavimo priedu bei Šveicarijos priedu kartu su bet kokiomis papildomomis priemonėmis, kurių reikalauja perdavimo poveikio vertinimas.

10. Audito teisės

Tvarkytojas pateiks Valdytojui visą pagrįstai būtiną informaciją, kad įrodytų atitiktį šiai DPA, ir leis bei prisidės prie auditų, įskaitant patikrinimus, atliekamų Valdytojo ar Valdytojo įgalioto auditoriaus, laikantis pagrįstų konfidencialumo įsipareigojimų ir ne dažniau kaip kartą per kalendorinius metus, išskyrus dokumentuoto saugumo incidento ar reguliavimo prašymo atvejį.

11. Nutraukimas, grąžinimas ir ištrynimas

Nutraukus sutartį, Tvarkytojas, Valdytojo pasirinkimu, ištrins arba grąžins visus asmens duomenis, tvarkytus Valdytojo vardu, ir ištrins esamas kopijas, nebent taikomi įstatymai reikalauja tęstinio saugojimo. Atsarginės kopijos, turinčios asmens duomenis, bus ištrintos įprastu atsarginių kopijų saugojimo ciklo metu.