Duomenų tvarkymo priedas

Įsigalioja: [Date of your acceptance] · Versija: 1.0

Juodraštis, laukiantis teisinės peržiūros. Šis dokumentas yra struktūrizuotas atspirties taškas, apimantis BDAR 28 straipsnio reikalaujamas temas. Jo dar nepatvirtino išorės teisininkai. Prieš pasirašydami užtikrinkite, kad jį peržiūrėtų teisininkai ir įvertintų konkrečius tvarkymo susitarimus. Autoritetinga yra tekstų versija anglų kalba; vertimai teikiami patogumui.

1. Šalys

Šis Duomenų tvarkymo priedas ("DTP") sudaromas tarp:

• Atitic, MB, įmonės, įsteigtos Lithuania, registracijos numeris 308087362, PVM mokėtojo kodas [MISSING: atitic.vat_id], registruotas adresas Statybininkų g. 1A-63, 03205, Vilnius ("Tvarkytojas", "Atitic"); ir
• [Your organisation], registracijos numeris [Your registration number], registruotas adresas [Your registered address] ("Valdytojas", "Klientas").

Šis DTP įtraukiamas ir yra neatskiriama Šalių Paslaugų teikimo sąlygų dalis. Jei kyla prieštaravimų tarp Paslaugų teikimo sąlygų ir šio DTP dėl bet kokio duomenų apsaugos klausimo, viršenybę turi šis DTP.

2. Apibrėžtys

Terminai didžiąja raide, kurie čia neapibrėžti, turi BDAR (Reglamentas (ES) 2016/679) arba Paslaugų teikimo sąlygose apibrėžtą reikšmę. "Duomenų apsaugos teisės aktai" – BDAR, ES e-privatumo direktyva, kaip ją įgyvendina kiekviena valstybė narė, ir bet kokie kiti šio DTP tvarkymui taikomi nacionaliniai duomenų apsaugos teisės aktai. "Asmens duomenys", "Duomenų subjektas", "Tvarkymas", "Duomenų valdytojas", "Duomenų tvarkytojas", "Subtvarkytojas" ir "Priežiūros institucija" turi BDAR apibrėžtas reikšmes.

3. Tvarkymo dalykas, trukmė, pobūdis ir tikslas

Dalykas. Asmens duomenų tvarkymas, kurį Tvarkytojas atlieka teikdamas Paslaugą Valdytojui pagal Paslaugų teikimo sąlygas.

Trukmė. Tiek, kiek galioja Valdytojo Paslaugos prenumerata, ir šio DTP 15 skirsnyje nurodytas saugojimo laikotarpis.

Pobūdis. Saugojimas, gavimas, indeksavimas, atsarginės kopijos, perdavimas, ribotas atskleidimas Subtvarkytojams ir bet kokie kiti veiksmai, būtini Paslaugai valdyti ir Valdytojo dokumentuotiems nurodymams vykdyti.

Tikslas. Suteikti Valdytojui galimybę planuoti, dokumentuoti ir auditoruoti savo atitikties programą naudojant Paslaugą ir teikti susijusį palaikymą.

4. Asmens duomenų rūšys

Pagal šį DTP tvarkomus Asmens duomenis nustato Valdytojas ir jo Įgaliotieji naudotojai naudodamiesi Paslauga. Paprastai apima:

• Valdytojo darbuotojų, rangovų, klientų ir kitų duomenų subjektų, nurodytų Valdytojo tvarkymo veiklos įrašuose (RoPA), identifikavimo duomenis;
• Tų pačių asmenų kontaktinius duomenis (verslo el. paštą, telefoną);
• Su darbu / vaidmeniu susijusią informaciją, reikšmingą Valdytojo atitikties programai (pvz., mokymų priskyrimai, politikos patvirtinimai);
• Saugumo incidentų, pažeidimų pranešimų, DSAR užklausų, DPIA ir kitų atitikties darbų srautų, kuriuos Valdytojas vykdo Paslaugoje, turinį;
• Bet kokius kitus Asmens duomenis, kuriuos Valdytojas pasirenka įkelti kaip įrodymus arba priedus.

Tvarkytojui nereikia ir jis sąmoningai netvarkys specialių Asmens duomenų kategorijų (BDAR 9 str.) ar duomenų apie apkaltinamuosius nuosprendžius (BDAR 10 str.). Jei Valdytojas įkelia tokius duomenis, jis patvirtina, kad turi tam teisinį pagrindą.

5. Duomenų subjektų kategorijos

• Valdytojo darbuotojai, samdomi asmenys, rangovai ir darbo pareiškėjai;
• Valdytojo klientai, potencialūs klientai ir verslo kontaktai;
• Duomenų subjektai, kurių įrašai atsiranda Valdytojo paties RoPA, DPIA, pažeidimų pranešimuose, DSAR atsakymuose ar įrodymų įkėlimuose;
• Bet kokios kitos kategorijos, kurias Valdytojas nustato naudodamasis Paslauga.

6. Valdytojo teisės ir pareigos

Valdytojas patvirtina, kad:

• Turi teisę atskleisti Asmens duomenis Tvarkytojui ir turi galiojantį teisinį pagrindą Tvarkymui;
• Prieš įkeldamas Asmens duomenis į Paslaugą pateikė visus pranešimus ir gavo visus sutikimus, reikalaujamus Duomenų apsaugos teisės aktų;
• Nurodymai, kuriuos jis pateikia Tvarkytojui per Paslaugą ar kitaip, yra teisėti ir atitinka Paslaugų teikimo sąlygas bei šį DTP.

Valdytojas atsakingas už jo įkeltų Asmens duomenų tikslumą, kokybę ir teisėtumą, taip pat už tų duomenų gavimo būdus.

7. Tvarkytojo pareigos

Tvarkytojas įsipareigoja:

• (a) Tvarkyti tik pagal dokumentuotus nurodymus. Tvarkyti Asmens duomenis tik pagal Valdytojo dokumentuotus nurodymus, kurie yra (i) Paslaugų teikimo sąlygos, (ii) šis DTP ir (iii) Valdytojo Įgaliotųjų naudotojų naudojimasis Paslauga. Papildomi rašytiniai nurodymai gali būti pateikiami el. paštu [email protected]. Jei Tvarkytojas mano, kad nurodymas pažeidžia Duomenų apsaugos teisės aktus, jis nedelsdamas praneš Valdytojui.
• (b) Konfidencialumas. Užtikrinti, kad jo įgaliotus tvarkyti Asmens duomenis darbuotojus saistytų sutartiniai ar įstatyminiai konfidencialumo įsipareigojimai.
• (c) Saugumas. Įgyvendinti technines ir organizacines priemones, išdėstytas II priede (18 skirsnis toliau), Asmens duomenims apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, praradimo, keitimo, neteisėto atskleidimo ar prieigos.
• (d) Subtvarkytojai. Naudoti Subtvarkytojus tik pagal šio DTP 9 skirsnio sąlygas.
• (e) Duomenų subjektų užklausos. Atsižvelgdamas į Tvarkymo pobūdį, tinkamomis techninėmis ir organizacinėmis priemonėmis padėti Valdytojui, kiek tai įmanoma, vykdyti Valdytojo prievolę atsakyti į užklausas dėl Duomenų subjektų teisių įgyvendinimo.
• (f) Pagalba pagal 32-36 straipsnius. Padėti Valdytojui užtikrinti BDAR 32-36 straipsnių įsipareigojimų laikymąsi, atsižvelgiant į Tvarkymo pobūdį ir Tvarkytojui prieinamą informaciją.
• (g) Grąžinimas ar ištrynimas. Valdytojo pasirinkimu, ištrinti ar grąžinti visus Asmens duomenis pasibaigus Paslaugų, susijusių su Tvarkymu, teikimui ir ištrinti esamus egzempliorius, nebent Sąjungos ar valstybės narės teisė reikalauja saugoti.
• (h) Įrašai + auditai. Suteikti Valdytojui visą informaciją, reikalingą, kad būtų įrodytas BDAR 28 straipsnyje ir šiame DTP nustatytų prievolių laikymasis, ir leisti bei prisidėti prie auditų, įskaitant patikrinimus, kaip toliau nustatyta 12 skirsnyje.

8. Pranešimas apie Asmens duomenų pažeidimą

Tvarkytojas nedelsdamas ir bet kokiu atveju per 72 valandas nuo sužinojimo apie Valdytojo Asmens duomenis paveikusį Asmens duomenų pažeidimą praneša Valdytojui. Pranešime, kiek tuo metu žinoma:

• aprašomas pažeidimo pobūdis, įskaitant Duomenų subjektų ir įrašų kategorijas bei apytikslį skaičių;
• nurodomas Tvarkytojo duomenų apsaugos kontaktinio asmens vardas ir kontaktiniai duomenys ([email protected]);
• aprašomos tikėtinos pažeidimo pasekmės; ir
• aprašomos priemonės, kurių imtasi ar siūlomos imtis pažeidimui suvaldyti ir jo neigiamoms pasekmėms sumažinti.

Tvarkytojas etapais pateikia papildomą informaciją, kai pirminio pranešimo metu ne visa informacija yra prieinama. Tvarkytojo pranešimas nėra kaltės ar atsakomybės pripažinimas.

9. Subtvarkytojai

Bendrasis leidimas. Valdytojas suteikia Tvarkytojui bendrą leidimą pasitelkti Subtvarkytojus su sąlyga, kad Tvarkytojas:

• (a) tvarko dabartinių Subtvarkytojų sąrašą (17 skirsnis, I priedas);
• (b) apie ketinamus Subtvarkytojų papildymus ar keitimus praneša Valdytojui bent prieš 30 dienų pranešimu produkte ar el. paštu paskyros savininkui, suteikdamas Valdytojui galimybę prieštarauti;
• (c) sutartimi kiekvienam Subtvarkytojui nustato ne mažiau griežtus duomenų apsaugos įsipareigojimus, nei nurodyti šiame DTP; ir
• (d) išlaiko visą atsakomybę Valdytojui už kiekvieno Subtvarkytojo įsipareigojimų vykdymą.

Prieštaravimai. Jei Valdytojas pagrįstai prieštarauja dėl duomenų apsaugos priežasčių per 30 dienų nuo pranešimo, Šalys sąžiningai aptaria klausimą. Nepasiekus sprendimo, Valdytojas gali nutraukti paveiktas Paslaugas ir gauti proporcingą už nepanaudotą termino dalį iš anksto sumokėtų mokesčių grąžinimą.

10. Tarptautiniai perdavimai

Pagal numatytąjį diegimą Asmens duomenys Tvarkomi Europos Sąjungoje ir nepalieka ES. Kai Subtvarkytojas Tvarko Asmens duomenis už ES/EEE ribų, Tvarkytojas nustato galiojantį perdavimo mechanizmą pagal BDAR V skyrių, kuris apima:

• Europos Komisijos Standartines sutarčių sąlygas (Komisijos įgyvendinimo sprendimas (ES) 2021/914) tinkamame modulyje, įtrauktas nuoroda; ir (arba)
• kai taikoma, gavėjo ES–JAV Duomenų privatumo pagrindo sertifikatą; ir
• bet kokias papildomas priemones, nustatytas atlikus perdavimo poveikio vertinimą.

Įvykdytų perdavimo apsaugos priemonių kopijos teikiamos gavus raštišką prašymą.

11. Duomenų subjektų užklausos

Jei Duomenų subjektas tiesiogiai susisiekia su Tvarkytoju dėl Asmens duomenų, tvarkomų Valdytojo vardu, Tvarkytojas (a) nedelsdamas praneša Valdytojui ir (b) neatsakys iš esmės be raštiškų Valdytojo nurodymų, išskyrus gavimo patvirtinimą ir Duomenų subjekto nukreipimą į Valdytoją.

Tvarkytojas padeda Valdytojui atsakyti į Duomenų subjektų užklausas per BDAR 12 str. 3 d. nustatytus terminus, teikdamas Paslaugoje tinkamas savitarnos priemones (duomenų subjekto eksportas, ištrynimas, apribojimas, prieigos žurnalas) ir teikdamas pagrįstą ad-hoc pagalbą.

12. Auditai ir patikrinimai

Valdytojas gali patikrinti Tvarkytojo šio DTP laikymąsi kartą per kalendorinius metus ir papildomai po Asmens duomenų pažeidimo ar pagrįstu Priežiūros institucijos prašymu:

• peržiūrėdamas naujausias audito ataskaitas, penetracijos testų vadovybės santraukas ir saugumo politikas, kurias Tvarkytojas pateikia pagal NDA;
• pateikdamas dokumentuotą raštišką klausimyną, į kurį Tvarkytojas atsako per pagrįstą laiką; ir (arba)
• kai to nepakanka, atlikdamas patikrinimą vietoje suderintą dieną ir laiku, laikantis pagrįstų konfidencialumo ir saugumo susitarimų. Valdytojas padengia savo išlaidas ir bet kokias pagrįstas trečiosios šalies audito išlaidas; Tvarkytojas padengia savo vidines personalo išlaidas.

Tvarkytojas nedelsdamas savo lėšomis pašalins bet kokį auditu nustatytą esminį neatitikimą.

13. Ištrynimas ir grąžinimas nutraukus

Nutraukus ar pasibaigus Paslaugoms, Valdytojas gali eksportuoti savo Asmens duomenis savarankiškai naudodamasis Perkeliamumo ataskaita (JSON, XLSX, PDF) 30 dienų laikotarpį. Pasibaigus tam laikotarpiui, jei Sąjungos ar valstybės narės teisė nereikalauja tolesnio saugojimo:

• Tvarkytojas ištrina Asmens duomenis iš pagrindinių sistemų per papildomas 30 dienų;
• atsarginės kopijos, kuriose yra Asmens duomenų, pašalinamos pagal standartinį atsarginių kopijų sukimo grafiką (šiuo metu 30 dienų);
• ištrynimo sertifikatas teikiamas gavus raštišką prašymą.

Valdytojas taip pat gali bet kada prenumeratos metu prašyti grąžinti ar ištrinti konkrečius Asmens duomenis, naudodamasis produkto priemonėmis arba pateikdamas raštišką prašymą [email protected].

14. Atsakomybė

Atsakomybei pagal šį DTP taikomas Paslaugų teikimo sąlygose nustatytas atsakomybės apribojimas, išskyrus tai, kad nė viena šalis neatleidžia ir neriboja atsakomybės ten, kur toks atleidimas ar ribojimas draudžiamas Duomenų apsaugos teisės aktų.

15. Terminas ir nutraukimas

Šis DTP įsigalioja tą dieną, kai jį priima Valdytojas, ir galioja tiek, kiek Tvarkytojas Tvarko Asmens duomenis Valdytojo vardu. 8 skirsniai (pranešimas apie pažeidimą), 12 (auditai), 13 (ištrynimas), 14 (atsakomybė) ir šis 15 skirsnis galioja ir po nutraukimo tol, kol tai būtina jiems įgyvendinti.

16. Taikoma teisė ir jurisdikcija

Šiam DTP taikoma Lithuanian law. the courts of Vilnius, Lithuania turi išimtinę jurisdikciją bet kokiam ginčui, kylančiam iš šio DTP ar susijusiam su juo, nepažeidžiant įstatymų nustatytų Duomenų subjektų teisių.

17. I priedas – Subtvarkytojų sąrašas

Šie Subtvarkytojai naudojami šios versijos įsigaliojimo dieną. Pakeitimai pranešami pagal 9 skirsnį.

18. II priedas – Techninės ir organizacinės priemonės

Tvarkytojas įgyvendina šias priemones, kurios gali būti kartkartėmis atnaujintos, jei apsaugos lygis nesumažinamas.

Prieigos kontrolė. Vaidmenimis pagrįsta prieigos kontrolė (RBAC) su leidimais pagal modulius skaityti / valdyti / patvirtinti detalumu. MFA prieinama visiems Kliento naudotojams; palaikomas SAML 2.0 ir OIDC vieno prisijungimo; SCIM 2.0 naudotojų valdymas tam tikruose planuose. Privilegijuota Atitic personalo prieiga prie gamybos reikalauja MFA, naudoja trumpalaikius prisijungimo duomenis ir yra visiškai registruojama.

Nuomininkų izoliacija. PostgreSQL eilučių lygio saugumas (RLS) su per-užklausos nuomininko kontekstu. Visose nuomininkų aprėpties lentelėse RLS yra priverstinis, todėl joks privilegijuotas programos vaidmuo negali jo apeiti. Objektinė saugykla atskiria nuomininkų duomenis pagal prefiksą ir pagal objektą taikomą prieigos politiką.

Šifravimas perdavimo metu. TLS 1.2+ privalomas visoms klientų ir vidinių paslaugų jungtims. HSTS platformos hostuose. Sertifikatai automatiškai atnaujinami.

Šifravimas ramybės būsenoje. Postgres duomenų failai ir objektinės saugyklos kibirai šifruojami AES-256 ar lygiaverčiais algoritmais. Atsarginės kopijos šifruojamos atskirai. Slaptažodžiai saugomi HashiCorp Vault su gaubtiniu šifravimu.

Atsarginės kopijos ir atkūrimas po nelaimės. Nuolatinis taškinės atkūrimo WAL srautavimas ir kasdienės bazinės atsarginės kopijos, saugomos 30 dienų. Objektinė saugykla versionuojama su 30 dienų ciklo langu. Atsarginės kopijos saugomos ES regione, atskirtame nuo pagrindinio. RTO 4 valandos, RPO 15 minučių, tikrinama bent kartą per metus.

Pažeidžiamumų valdymas. Trečiosios šalies penetracijos testas bent kartą per metus ir po esminių architektūros pakeitimų. Šalinimo SLA: kritiniai – 72 valandos, aukšti – 14 dienų, vidutiniai – 60 dienų, žemi – 180 dienų. Automatinis pirmosios šalies ir konteinerių atvaizdų priklausomybių nuskaitymas.

Audito registravimas. Nepakeičiamas audito žurnalas, fiksuojantis veikėją, tikslą, laiko žymą ir naudingą apkrovimą kiekvienam pakeitimui. Eksportuojamas per API ir įtraukiamas į Perkeliamumo ataskaitą.

Personalas. Personalas, įgaliotas Tvarkyti Asmens duomenis, saistomas sutartinių konfidencialumo įsipareigojimų, galiojančių ir po jų sutartinių santykių pabaigos.

Fizinis saugumas. Duomenų centrų patalpos, kurias valdo ES duomenų centro paslaugų teikėjas, turi ISO 27001 (ar lygiavertį) sertifikatą; kortelėmis kontroliuojama prieiga, visą parą stebimi perimetrai ir aplinkos kontrolė.

19. Kontaktai

Su šiuo DTP susiję duomenų apsaugos klausimai: [email protected].

Saugumo klausimai: [email protected].

Pašto adresas: Atitic, MB, Statybininkų g. 1A-63, 03205, Vilnius.