Asmens duomenų tvarkymo priedas (DPA) — iFurn.pro

Šis Asmens duomenų tvarkymo priedas (toliau — „DPA“) taikomas, kai Vykdytojas (platforma iFurn.pro, toliau — „Paslauga“) tvarko asmens duomenis Naudotojo vardu teikdamas Paslaugą ir kai tokiam tvarkymui taikomas ES Bendrasis duomenų apsaugos reglamentas 2016/679 (toliau — „GDPR“) arba kiti taikytini duomenų apsaugos teisės aktai.

DPA yra Viešosios ofertos sutarties dalis ir papildo Privatumo politiką. Kilus prieštaravimui dėl asmens duomenų tvarkymo, kuriam taikomas GDPR, taikomas šis DPA; atsakomybės klausimus reglamentuoja Viešosios ofertos sutartis. Čia neapibrėžti terminai turi GDPR jiems suteiktą reikšmę.

1. Šalių vaidmenys

Kalbant apie asmens duomenis, kuriuos Naudotojas įveda arba įkelia į Paslaugą (toliau — „Naudotojo duomenys“), Naudotojas yra valdytojas, o Vykdytojas — tvarkytojas, veikiantis Naudotojo vardu. Kalbant apie paties Naudotojo paskyros duomenis ir Paslaugos techninius duomenis, valdytojas yra Vykdytojas (žr. Privatumo politiką).

2. Tvarkymo dalykas ir detalės

Dalykas ir trukmė: Paslaugos teikimas Viešosios ofertos sutarties galiojimo laikotarpiu. Pobūdis ir tikslas: tvarkymas, būtinas Paslaugos funkcijoms veikti pagal Naudotojo nurodymus.

Duomenų kategorijos: identifikavimo ir kontaktiniai duomenys, taip pat kiti duomenys, kuriuos Naudotojas įveda į Paslaugą (įskaitant duomenis apie Naudotojo klientus, darbuotojus ar sandorio šalis). Duomenų subjektų kategorijos: asmenys, kurių duomenis Naudotojas tvarko naudodamasis Paslauga. Tvarkymo operacijos: rinkimas, saugojimas, struktūrizavimas, naudojimas, perdavimas Paslaugos viduje ir ištrynimas, būtini Paslaugai teikti. Naudotojo, kaip valdytojo, teises ir pareigas nustato GDPR, šis DPA ir Viešosios ofertos sutartis. Naudotojas neturi įvesti specialių kategorijų duomenų, nebent tai būtina ir teisėta.

3. Naudotojo nurodymai

Vykdytojas tvarko Naudotojo duomenis tik pagal dokumentuotus Naudotojo nurodymus, įskaitant Viešosios ofertos sutartį, Privatumo politiką ir Paslaugos nustatymus, išskyrus atvejus, kai tvarkyti reikalauja įstatymai; tokiu atveju Vykdytojas prieš pradėdamas tvarkyti informuoja Naudotoją apie atitinkamą teisinį reikalavimą, nebent įstatymai draudžia tokį pranešimą. Jei, Vykdytojo nuomone, nurodymas pažeidžia duomenų apsaugos teisės aktus, Vykdytojas nedelsdamas apie tai praneša Naudotojui.

4. Konfidencialumas

Vykdytojas užtikrina, kad asmenys, įgalioti tvarkyti Naudotojo duomenis, būtų įsipareigoję laikytis konfidencialumo.

5. Saugumas

Vykdytojas taiko tinkamas technines ir organizacines priemones, atsižvelgdamas į technikos lygį, sąnaudas, taip pat tvarkymo pobūdį, apimtį ir riziką, kaip aprašyta Saugumo politikoje. Jokios priemonės negarantuoja absoliutaus saugumo; Vykdytojas negarantuoja visiškos apsaugos nuo visų galimų grėsmių.

6. Subtvarkytojai

Naudotojas suteikia bendrą leidimą pasitelkti subtvarkytojus (visų pirma prieglobos paslaugų teikėjus, duomenų centrus, debesijos infrastruktūros, elektroninio pašto, analitikos ir mokėjimų paslaugų teikėjus). Aktualus subtvarkytojų sąrašas Naudotojui yra nuolat prieinamas (visų pirma jį skelbia Vykdytojas). Apie planuojamą subtvarkytojo pridėjimą ar pakeitimą Vykdytojas iš anksto informuoja Naudotoją (be kita ko, atnaujindamas sąrašą) ir suteikia pagrįstą galimybę pareikšti prieštaravimą.

Naudotojas gali pareikšti duomenų apsaugos sumetimais pagrįstą prieštaravimą dėl naujo subtvarkytojo per pagrįstą terminą prieš pradedant atitinkamą tvarkymą. Jei prieštaravimo išspręsti nepavyksta, Naudotojas turi teisę nutraukti atitinkamos Paslaugos dalies naudojimą. Vykdytojas nustato subtvarkytojams atitinkamas pareigas dėl asmens duomenų apsaugos tais atvejais ir tokia apimtimi, kokie numatyti taikytinuose teisės aktuose. Vykdytojo atsakomybė už subtvarkytojų veiksmus ar neveikimą nustatoma pagal taikytinus teisės aktus ir Viešosios ofertos sutartį. Vykdytojo turtinė (piniginė) atsakomybė ribojama pagal Viešosios ofertos sutartį tiek, kiek toks ribojimas leidžiamas pagal taikytinų teisės aktų imperatyvias normas.

7. Pagalba Naudotojui

Atsižvelgdamas į tvarkymo pobūdį ir kiek tai techniškai įmanoma, Vykdytojas teikia Naudotojui pagrįstą pagalbą: Paslaugoje prieinamomis priemonėmis — dėl duomenų subjektų prašymų; taip pat dėl saugumo užtikrinimo, pranešimo apie incidentus ir poveikio vertinimo (DPIA) bei konsultavimosi su priežiūros institucija. Pagalba, viršijanti standartinį Paslaugos funkcionalumą, teikiama pagrįstomis Naudotojo sąnaudomis. Duomenų subjektų prašymų dėl Naudotojo duomenų nagrinėjimą užtikrina pats Naudotojas kaip valdytojas.

8. Asmens duomenų incidentai

Vykdytojas be nepagrįsto delsimo, sužinojęs apie asmens duomenų incidentą, susijusį su Naudotojo duomenimis, praneša apie jį Naudotojui ir pateikia tuo metu turimą informaciją. Pranešimą priežiūros institucijai ir duomenų subjektams (jei reikia) atlieka Naudotojas kaip valdytojas.

9. Duomenų ištrynimas arba grąžinimas

Nutraukus Paslaugos teikimą, Vykdytojas Naudotojo pasirinkimu ištrina arba grąžina Naudotojo duomenis turimomis priemonėmis, išskyrus atvejus, kai tolesnio jų saugojimo reikalauja įstatymai. Naudotojas reikalingus duomenis iš anksto pats eksportuoja; techninės atsarginės kopijos ištrinamos pagal įprastus ciklus.

10. Auditas

Gavęs pagrįstą rašytinį Naudotojo prašymą, Vykdytojas teikia informaciją, būtiną atitikčiai šiam DPA įrodyti, — visų pirma turimos dokumentacijos, sertifikatų, patikrinimų ataskaitų ar rašytinių atsakymų forma; paprastai to pakanka atitikčiai patvirtinti. Jei pateiktos informacijos objektyviai nepakanka arba yra pagrįstų abejonių dėl šio DPA ar GDPR laikymosi, Vykdytojas leidžia atlikti auditą ar inspektavimą ir prie jo prisideda. Tokio audito organizaciniai aspektai (apimtis, laikas ir tvarka) iš anksto suderinami raštu; toks suderinimas negali būti nepagrįstai vilkinamas ar naudojamas auditui atsisakyti. Planiniai auditai paprastai atliekami ne dažniau kaip kartą per metus, darbo metu, tinkamai iš anksto pranešus, laikantis konfidencialumo, be pernelyg didelio kišimosi į Paslaugos veikimą ir pagrįstomis, dokumentais patvirtintomis Naudotojo išlaidomis; šis dažnumo apribojimas netaikomas asmens duomenų incidento atveju, esant pagrįstų priežasčių manyti, kad įvyko pažeidimas, iš esmės pasikeitus tvarkymui arba priežiūros institucijai pareikalavus. Audito išlaidų Naudotojas nepadengia ta dalimi, kuria auditas atskleidė esminį Vykdytojo pažeidimą. Kalbant apie subtvarkytojus (visų pirma duomenų centrus ir debesijos paslaugų teikėjus), tiesioginė fizinė prieiga gali būti ribojama atitinkamų tiekėjų sąlygų; tokiu atveju Vykdytojas užtikrina lygiavertes audito teises sutartyse su subtvarkytojais ir pateikia turimas ataskaitas, sertifikatus ir kitą pagrįstą pagalbą. Apribojimai dėl dažnumo ir tvarkos netaikomi ta dalimi, kuria priežiūros institucija, remdamasi įstatymu, aiškiai nustato kitaip.

11. Tarptautiniai perdavimai

Jei tvarkymas apima asmens duomenų perdavimą už Europos ekonominės erdvės (EEE) ribų, toks perdavimas atliekamas esant teisiniam pagrindui pagal GDPR (įskaitant sprendimą dėl tinkamumo, standartines sutarčių sąlygas arba kitas tinkamas apsaugos priemones).

12. Atsakomybė

Šis DPA neišplečia ir nepadidina Vykdytojo atsakomybės, palyginti su Viešosios ofertos sutartimi. Bendra Vykdytojo atsakomybė, susijusi su asmens duomenų tvarkymu, ribojama pagal Viešosios ofertos sutartį. Vykdytojas neatsako už Naudotojo nurodymus, už Naudotojo duomenų teisėtumą ir už tai, kad Naudotojas nevykdo savo, kaip valdytojo, pareigų. Atsakomybės apribojimai netaikomi tiek, kiek juos draudžia imperatyvios teisės normos.

13. Dokumentų tarpusavio santykis

Kalbant apie asmens duomenų tvarkymą, kuriam taikomas GDPR, šis DPA turi viršenybę prieš Privatumo politiką. Kalbant apie atsakomybę, viršenybę turi Viešosios ofertos sutartis. Visais kitais atvejais taikoma Viešosios ofertos sutartis ir Privatumo politika. Visos nuostatos taikomos atsižvelgiant į imperatyvias teisės normas.