Duomenų tvarkymo sutartis (DTS)

§1 Dalykas, trukmė ir tikslas

Ši Duomenų tvarkymo sutartis (DTS) reglamentuoja, pagal BDAR 28 str., asmens duomenų tvarkymą, kurį UAB NVGroup ("Duomenų tvarkytojas") atlieka kliento ("Duomenų valdytojo") užsakymu, naudojantis demurrit.eu paslauga (toliau — Paslauga).

Tvarkymo tikslas — Paslaugos teikimas: krovinių ir muitinės dokumentų duomenų ištraukimas, sąskaitų/deklaracijų auditas ir su tuo susijusių ataskaitų/pretenzijų rengimas Duomenų valdytojo naudai.

Tvarkymo trukmė — šios DTS galiojimas sutampa su Paslaugos teikimo sutarties (Duomenų valdytojo ir Duomenų tvarkytojo pagrindinės sutarties) galiojimu. Pasibaigus pagrindinei sutarčiai, taikomas §7 (Duomenų grąžinimas ir ištrynimas pasibaigus sutarčiai).

Duomenų subjektų kategorijos — Duomenų valdytojo darbuotojai ir klientų portalo naudotojai (vardas, el. paštas, rolė organizacijoje); bei trečiieji asmenys, kurių duomenys yra Duomenų valdytojo įkeliamų dokumentų turinyje (pvz., vairuotojai, kontaktiniai asmenys, gavėjai).

Asmens duomenų kategorijos — kontaktiniai duomenys (vardas, el. paštas, telefonas), su krovinio/muitinės dokumentu susiję duomenys (transporto priemonės numeris, vairuotojo vardas, adresai, parašai dokumentuose), bei paskyros naudojimo duomenys (prisijungimo laikas, veiksmų žurnalas).

§2 Duomenų tvarkymo vieta

Visas Paslaugos pagrindinis tvarkymas ir saugojimas vyksta išimtinai Europos Sąjungos/EEE ribose: aplikacijos serveris ir duomenų bazė — netcup GmbH duomenų centre Niurnberge, Vokietijoje; dokumentų saugykla — Hetzner Online GmbH duomenų centre, taip pat Niurnberge; atsarginės kopijos — Akenes SA (Exoscale) duomenų centre Vienoje, Austrijoje.

Duomenų perdavimas už EEE ribų vyksta dviem atvejais: (1) automatizuotam duomenų ištraukimui iš dokumentų, kurių negalima apdoroti determinuotu būdu ES infrastruktūroje (žr. privatumo politikos 6.1 skyrių — pakopinis apdorojimas, dauguma dokumentų NIEKADA nepalieka ES), turinys perduodamas Anthropic PBC, registruotai JAV; (2) el. laiškų (sąskaitų, prisijungimo nuorodų, priminimų) siuntimui, per Proton AG, registruotą Šveicarijoje.

JAV neturi bendro tinkamumo sprendimo; Anthropic PBC perdavimas grindžiamas ES standartinėmis sutarčių sąlygomis (BDAR 46 str.), kurios yra Anthropic duomenų tvarkymo sąlygų dalis. Šveicarijai taikomas Europos Komisijos adekvatumo sprendimas (BDAR 45 str.) — Proton AG perdavimui papildomų apsaugos priemonių nereikia.

§3 Subtvarkytojų sąrašas (patvirtinti duomenų tvarkytojai)

Duomenų valdytojas šia DTS suteikia bendrą leidimą Duomenų tvarkytojui pasitelkti aukščiau nurodytus subtvarkytojus. Duomenų tvarkytojas įsipareigoja informuoti Duomenų valdytoją apie kiekvieną numatomą pakeitimą, susijusį su papildomų subtvarkytojų pritraukimu ar pakeitimu, ne vėliau kaip prieš 30 kalendorinių dienų (žr. privatumo politikos 7 skyrių), kad Duomenų valdytojas turėtų galimybę pareikšti pagrįstą prieštaravimą per 15 dienų. Jei toks prieštaravimas pareiškiamas ir šalys per protingą terminą nesusitaria dėl alternatyvos, kiekviena šalis turi teisę nutraukti pagrindinę sutartį dėl tos dalies, kuriai reikalingas prieštaraujamas subtvarkytojas.

§4 Duomenų tvarkytojo įsipareigojimai

Duomenų tvarkytojas įsipareigoja:

• tvarkyti asmens duomenis tik pagal dokumentuotus Duomenų valdytojo nurodymus (įskaitant su duomenų perdavimu į trečiąsias valstybes susijusius nurodymus), išskyrus atvejus, kai to reikalauja ES ar valstybės narės teisė — tokiu atveju Duomenų tvarkytojas, prieš pradėdamas tvarkymą, informuoja apie tokį teisinį reikalavimą Duomenų valdytoją, nebent tokia informacija draudžiama dėl viešojo intereso priežasčių;
• užtikrinti, kad asmenys, įgalioti tvarkyti asmens duomenis, būtų raštiškai įsipareigoję laikytis konfidencialumo arba jiems būtų taikoma atitinkama teisės aktais nustatyta konfidencialumo prievolė;
• imtis §6 nurodytų techninių ir organizacinių priemonių pagal BDAR 32 str.;
• laikytis §3 nurodytų sąlygų dėl subtvarkytojų pasitelkimo;
• atsižvelgdamas į tvarkymo pobūdį, padėti Duomenų valdytojui tinkamomis techninėmis ir organizacinėmis priemonėmis įvykdyti savo pareigą atsakyti į prašymus pasinaudoti duomenų subjekto teisėmis (BDAR III skyrius);
• padėti Duomenų valdytojui užtikrinti BDAR 32-36 str. pareigų (duomenų saugumas, pranešimas apie pažeidimus, poveikio duomenų apsaugai vertinimas, išankstinės konsultacijos) vykdymą, atsižvelgiant į tvarkymo pobūdį ir Duomenų tvarkytojui prieinamą informaciją;
• vadovaujantis Duomenų valdytojo pasirinkimu, pasibaigus su tvarkymo paslaugomis susijusių paslaugų teikimui, ištrinti arba grąžinti visus asmens duomenis Duomenų valdytojui ir ištrinti esamas kopijas, išskyrus atvejus, kai ES ar valstybės narės teisė reikalauja saugoti asmens duomenis (žr. §7);
• pateikti Duomenų valdytojui visą informaciją, būtiną įrodyti, kad laikomasi BDAR 28 str. nustatytų pareigų, ir sudaryti sąlygas bei padėti atlikti auditą, įskaitant patikrinimus, kuriuos atlieka Duomenų valdytojas arba jo įgaliotas auditorius (žr. §5).

§5 Audito teisė

Duomenų valdytojas turi teisę, informavęs raštu ne vėliau kaip prieš 20 darbo dienų, ne dažniau kaip kartą per kalendorinius metus (išskyrus atvejus, kai auditas atliekamas dėl pagrįsto įtarimo apie pažeidimą — tokiu atveju išankstinio pranešimo terminas netaikomas), paprašyti Duomenų tvarkytojo pateikti dokumentus, patvirtinančius šios DTS ir BDAR 28 str. laikymąsi. Auditas atliekamas įprastu darbo metu, nepagrįstai netrikdant Duomenų tvarkytojo veiklos, o su konkrečiu auditu susijusias pagrįstas išlaidas apmoka Duomenų valdytojas, išskyrus atvejus, kai auditas atskleidžia realų BDAR ar šios DTS pažeidimą.

§6 Techninės ir organizacinės priemonės (TOM)

Šios priemonės šio dokumento parengimo metu (2026-09-06) yra realiai įgyvendintos ir patikrintos — sąrašas sąžiningas, ne rinkodaros forma:

• Šifravimas perdavimo metu: visas srautas per TLS (Let's Encrypt, automatiškai atnaujinamas sertifikatas).
• Duomenų bazės izoliacija: organizacijų atskyrimas duomenų bazės lygmeniu (row-level security su FORCE), taikomas KIEKVIENAI lentelei su organizacijos duomenimis — patikrinta automatizuotais testais.
• Serverio prieigos kontrolė: SSH tik rakto autentifikacija (slaptažodžio prisijungimas išjungtas), root prisijungimas išjungtas, ugniasienė (ufw) leidžia tik būtinus prievadus (22/80/443), automatiniai saugumo atnaujinimai.
• Dokumentų saugyklos apsauga: originalūs įkelti dokumentai saugomi su versijavimu ir Object Lock (Governance režimas) — patvirtinta realiu bandymu, kad net administravimo raktas negali negrįžtamai ištrinti saugomos versijos be papildomo leidimo.
• Atsarginės kopijos: kasdienės automatinės, saugomos pas kitą tiekėją nei produkcijos infrastruktūra, naudojant raktus be trynimo teisės. Atkūrimo procedūra į nepriklausomą serverį realiai patikrinta ir veikia.
• Prieigos žurnalas: kiekvieno dokumento būsenos pasikeitimų žurnalas (append-only, tik įrašymas ir skaitymas programinei prieigai).

Išsamus techninių ir organizacinių priemonių aprašas, įskaitant esamas ribas ir tobulinimo planą, pateikiamas pirkėjo saugumo komandai ar duomenų apsaugos pareigūnui paprašius: privacy@demurrit.eu.

§7 Duomenų saugojimo trukmė, trynimas ir grąžinimas pasibaigus sutarčiai

Einamojo tvarkymo terminai nustatyti privatumo politikos 9 skyriuje (24 mėn. dokumentų originalams, 40 mėn. muitinės dokumentams, ir t.t.) — ši DTS jų nedubliuoja, o nurodo tą patį šaltinį, kad du dokumentai negalėtų prasilenkti laikui bėgant.

Nepriklausomai nuo aukščiau nurodytų terminų, pasibaigus pagrindinei sutarčiai tarp Duomenų valdytojo ir Duomenų tvarkytojo, Duomenų tvarkytojas, per 30 dienų nuo Duomenų valdytojo prašymo, ištrina arba (jei Duomenų valdytojas to paprašo) grąžina visus tebesaugomus asmens duomenis ir ištrina esamas kopijas — išskyrus tuos duomenis, kuriuos ES ar valstybės narės teisė (pvz., apskaitos teisės aktai, CMR konvencijos ar Sąjungos muitinės kodekso terminai) įpareigoja saugoti ilgiau; tokiu atveju duomenys saugomi tik tol, kiek reikalauja tas teisinis pagrindas, ir nebetvarkomi jokiu kitu tikslu.

§8 Pranešimas apie asmens duomenų saugumo pažeidimus

Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, susijusį su pagal šią DTS tvarkomais duomenimis, praneša apie tai Duomenų valdytojui nepagrįstai nedelsdamas, bet ne vėliau kaip per 48 valandas nuo sužinojimo, el. paštu, kurį Duomenų valdytojas nurodė savo paskyroje arba sutartyje. Pranešime, kiek įmanoma, nurodoma pažeidimo pobūdis, tikėtinos pasekmės ir priemonės, kurių imtasi ar siūloma imtis pažeidimui ištaisyti ar jo neigiamam poveikiui sumažinti. Šis terminas nustatytas tam, kad Duomenų valdytojas turėtų realų laiką įvykdyti savo BDAR 33 str. 72 valandų pranešimo priežiūros institucijai terminą.

§9 Atsakomybė

Kiekviena šalis atsako už žalą, padarytą dėl savo BDAR ar šios DTS pažeidimo, BDAR 82 str. ir taikomos nacionalinės teisės nustatyta tvarka. Šalių tarpusavio atsakomybės ribojimai (jei tokie numatyti pagrindinėje Paslaugos teikimo sutartyje) taikomi ir šiai DTS, išskyrus atvejus, kai tokie ribojimai draudžiami imperatyviomis BDAR nuostatomis.

§10 Taikoma teisė ir ginčų sprendimas

Šiai DTS taikoma Lietuvos Respublikos teisė. Ginčai, kylantys iš šios DTS ar susiję su ja, sprendžiami derybomis, o nepavykus susitarti — Lietuvos Respublikos kompetentingame teisme pagal Duomenų tvarkytojo buveinės vietą.

§11 Kontaktai

Klausimams dėl šios DTS, individualaus suderinimo ar jūsų duomenų apsaugos pareigūno klausimams: privacy@demurrit.eu. UAB NVGroup, Lietuva (rekvizitai — žr. privatumo politikos 1 skyrių).