Informacinis vertimas. Esant neatitikimų, viršenybę turi originali anglų kalba parengta versija, taikant Airijos jurisdikciją (Cuandeoro Limited, CRO 813028).
Veripass duomenų tvarkymo susitarimas
Yra Paslaugų teikimo sąlygų dalis.
1. Šalys ir vaidmenys. Klientas yra duomenų valdytojas. Cuandeoro Limited t/a Veripass yra Kliento dokumentuose ir paskyros turinyje esančių asmens duomenų tvarkytojas (toliau – „Kliento asmens duomenys“).
2. Dalykas, pobūdis ir tikslas. Produktų ir baterijų pasų duomenų saugojimas, išgavimas, analizė ir skelbimas tik Paslaugai teikti.
3. Trukmė. Prenumeratos laikotarpis ir 11 punkte nustatytas duomenų ištrynimo laikotarpis.
4. Duomenų subjektų kategorijos. Kliento darbuotojai ir naudotojai; Kliento tiekėjų, klientų ir laboratorijų kontaktiniai asmenys, nurodyti įkeltuose dokumentuose.
5. Duomenų kategorijos. Dokumentuose nurodyti vardai ir pavardės, verslo kontaktiniai duomenys, pareigos, parašai ir identifikatoriai; naudotojų paskyrų duomenys. Specialių kategorijų duomenų nesitikima. Klientas jų neįkels.
5A. Kliento įsipareigojimai. Klientas užtikrina, kad turi teisėtą tvarkymo pagrindą ir duoda teisėtus nurodymus, informuoja duomenų subjektus, kaip reikalaujama, ir neįkelia specialių kategorijų duomenų.
6. Duomenų tvarkytojo įsipareigojimai. Veripass:
- (a) tvarko duomenis tik pagal dokumentais įformintus Kliento nurodymus, įskaitant dėl perdavimo trečiajai šaliai, nebent to reikalauja Sąjungos ar valstybės narės teisė; tokiu atveju Veripass prieš tvarkydamas informuoja Klientą apie šį teisinį reikalavimą, nebent ta teisė tai draudžia dėl svarbių viešojo intereso priežasčių;
- (b) užtikrina, kad duomenis tvarkyti įgalioti asmenys būtų įsipareigoję laikytis konfidencialumo;
- (c) įgyvendina 2 priede nurodytas technines ir organizacines priemones;
- (d) padeda Klientui atsakyti į duomenų subjektų prašymus ir vykdyti BDAR 32–36 straipsnių reikalavimus, atsižvelgdamas į tvarkymo pobūdį;
- (e) pateikia informaciją, reikalingą atitikčiai įrodyti;
- (f) nedelsdamas informuoja Klientą, jei nurodymas pažeidžia duomenų apsaugos teisės aktus.
7. Subduomenų tvarkytojai.
- Klientas suteikia bendrą leidimą 3 priede nurodytiems subduomenų tvarkytojams.
- Veripass apie naujus subduomenų tvarkytojus praneša el. paštu likus 30 dienų. Klientas gali pagrįstai prieštarauti, o jei sprendimo nesutariama, nutraukti sutartį be netesybų.
- Veripass nustato kiekvienam subduomenų tvarkytojui lygiaverčius duomenų apsaugos įsipareigojimus ir už juos išlieka atsakingas.
8. Tarptautiniai duomenų perdavimai. Kliento asmens duomenys gali būti tvarkomi Jungtinėse Amerikos Valstijose Veripass prieglobos paslaugų teikėjo (Cloud Clusters, Inc.) ir Google (Gemini API, mokamas lygis) pagal standartines sutarčių sąlygas (Komisijos sprendimas (ES) 2021/914) ir, kai taikoma, ES ir JAV duomenų privatumo sistemą (EU-US Data Privacy Framework), taikant papildomas priemones (šifravimas perduodant ir saugant). Demonstracinės versijos failai ištrinami po 24 valandų.
9. DI apdorojimas. Dokumentus apdoroja 3 priede nurodyti DI paslaugų teikėjai pagal sąlygas, kurios jiems neleidžia naudoti Kliento duomenų savo modeliams mokyti. Jūsų dokumentų ar duomenų nenaudojame jokiam DI modeliui mokyti.
10. Asmens duomenų saugumo pažeidimai. Veripass praneša Klientui nepagrįstai nedelsdamas ir bet kuriuo atveju per 48 valandas nuo tada, kai sužino apie Kliento asmens duomenis veikiantį pažeidimą, pateikdamas BDAR 33 str. 3 d. reikalaujamą informaciją, kai tik ji tampa prieinama.
11. Grąžinimas ir ištrynimas. Kliento pasirinkimu Veripass grąžina arba ištrina Kliento asmens duomenis. Per 60 dienų nuo sutarties nutraukimo Klientas gali eksportuoti savo duomenis. Vėliau Veripass ištrina Kliento asmens duomenis per 30 dienų, įskaitant atsargines kopijas per jų rotacijos ciklą (daugiausia 35 dienos), nebent Sąjungos ar valstybės narės teisė reikalauja duomenis saugoti.
12. Auditai. Veripass sudaro sąlygas atlikti auditus, įskaitant patikrinimus, kuriuos atlieka Klientas arba jo įgaliotas nepriklausomas auditorius, įsipareigojęs laikytis konfidencialumo, ir prisideda prie jų. Auditai vykdomi kartą per 12 mėnesių pranešus likus 30 dienų (dažniau po pažeidimo arba kai to reikalauja priežiūros institucija), darbo valandomis ir Kliento sąskaita. Jei pakanka, pirmiausia pateikiamas rašytinis klausimynas.
13. Atsakomybė. Taikomi Paslaugų teikimo sąlygose nustatyti apribojimai, išskyrus atvejus, kai BDAR apribojimo neleidžia.
14. Viršenybė. Esant prieštaravimui, šis DPA turi viršenybę prieš Sąlygas duomenų apsaugos klausimais.
1 priedas · Duomenų tvarkymo informacija
Kaip nurodyta 2–5 punktuose.
2 priedas · Techninės ir organizacinės priemonės
- TLS 1.2 ar aukštesnė versija perduodant; AES-256 šifravimas saugant.
- Prieiga pagal vaidmenis, MFA darbuotojams, mažiausių teisių principas.
- Kliento duomenys loginiu požiūriu atskirti pagal paskyras.
- Patvirtinimų ir paskelbimų audito žurnalas.
- Kasdienės šifruotos atsarginės kopijos, 35 dienų rotacija.
- Demonstracinės versijos failai ištrinami po 24 val.
- Kritinių pažeidžiamumų taisymas per 7 dienas.
- Kasmetinė šių priemonių peržiūra.
3 priedas · Subduomenų tvarkytojai
| Subduomenų tvarkytojas | Tikslas | Buvimo vieta |
|---|---|---|
| Cloud Clusters, Inc. | Programos ir pasų puslapių talpinimas | Jungtinės Amerikos Valstijos |
| Google (Gemini API, paid tier) | Dokumentų duomenų išgavimas | Jungtinės Amerikos Valstijos |
| Cloud Clusters, Inc. (own mail server, mailcow) | El. paštas | Jungtinės Amerikos Valstijos |
Stripe tvarko Veripass pačios atsiskaitymo duomenis; Kliento asmens duomenų iš dokumentų netvarko.