1.Šalys ir vaidmenys
- Klientas — duomenų valdytojas: nustato, kokius asmens duomenis ir kokiais tikslais tvarko Ops2Sell sistemoje.
- GIETO Group LTD, registruota Anglijoje ir Velse, įmonės Nr. 12065876, registruotos buveinės adresas 2 Provident Place, Empson Road, Peterborough PE1 5UU, Jungtinė Karalystė — duomenų tvarkytojas: duomenis tvarko tik kliento vardu ir pagal jo nurodymus.
Ši sutartis yra Paslaugų teikimo sąlygų dalis ir galioja tol, kol teikiame Paslaugą, bei iki duomenų ištrynimo pasibaigus sutarčiai. Pasirašytą versiją pateikiame paprašius.
2.Tvarkymo dalykas ir tikslas
Asmens duomenis tvarkome tik tam, kad teiktume Ops2Sell paslaugą: gautume užsakymus iš kliento pardavimo kanalų, valdytume likučius ir sandėlį, paruoštume siuntas, sąskaitas ir ataskaitas bei teiktume pagalbą.
3.Duomenų subjektai ir duomenys
- Kliento pirkėjai: vardai ir pavardės, pristatymo ir sąskaitų adresai, el. pašto adresai, telefono numeriai, užsakymų turinys ir istorija, sąskaitų duomenys (įskaitant įmonės ir PVM kodus, jei jie nurodyti), pirkėjų pastabos.
- Kliento darbuotojai ir kiti naudotojai: vardai, el. pašto adresai, rolės, prisijungimo ir veiksmų žurnalai.
- Kliento tiekėjų ir partnerių kontaktiniai asmenys: vardai, el. pašto adresai, telefono numeriai.
Specialių kategorijų asmens duomenų (pvz., sveikatos duomenų) netvarkome — prašome jų į sistemą nekelti.
4.Tvarkytojo įsipareigojimai
Mes:
- tvarkome duomenis tik pagal dokumentais įformintus kliento nurodymus — šią sutartį ir kliento veiksmus sistemoje (pvz., prijungiant pardavimo kanalą ar vežėją); jei manome, kad nurodymas pažeidžia duomenų apsaugos teisę, nedelsdami apie tai informuojame;
- užtikriname, kad duomenis tvarkantys darbuotojai būtų įsipareigoję saugoti konfidencialumą;
- taikome toliau aprašytas saugumo priemones;
- padedame klientui atsakyti į duomenų subjektų prašymus — daugumą jų klientas gali įvykdyti pačioje sistemoje (paieška, eksportas, taisymas);
- padedame klientui vykdyti BDAR 32–36 straipsniuose nustatytas pareigas (saugumas, pranešimai apie pažeidimus, poveikio duomenų apsaugai vertinimas);
- pasibaigus sutarčiai, ištriname arba grąžiname duomenis, kaip aprašyta toliau;
- pateikiame informaciją, reikalingą įrodyti, kad laikomės šios sutarties, ir sudarome sąlygas auditui — iš anksto suderinus, ne dažniau kaip kartą per metus ir kliento sąskaita.
5.Saugumo priemonės
- Visas ryšys su sistema — tik šifruotas (HTTPS/TLS).
- Pardavimo kanalų ir vežėjų prisijungimo duomenys (API raktai, slaptažodžiai) saugomi užšifruoti AES-256-GCM algoritmu.
- Kiekvieno kliento duomenys atskirti — klientas mato tik savo duomenis.
- Dviejų veiksnių prisijungimas (autentifikavimo programėle) prieinamas visiems naudotojams; kliento administratoriams jį padarome privalomą, kai jie jį įsijungia. Rolės ir teisės kiekvienam naudotojui.
- Veiksmų žurnalas: kas, kada ir ką pakeitė.
- Kasdienės atsarginės duomenų bazės kopijos, saugomos 7 dienas.
- Duomenų bazė ir failai saugomi Londone (JK).
6.Subtvarkytojai
Klientas suteikia bendrą leidimą pasitelkti toliau išvardytus subtvarkytojus. Kiekvienam iš jų taikomos jo duomenų tvarkymo sąlygos, kuriose numatytos ne mažesnės duomenų apsaugos pareigos nei šioje sutartyje.
| Tiekėjas | Paskirtis | Kur tvarkomi duomenys |
|---|---|---|
| Vercel | Programos talpinimas | Serverio funkcijos — Londonas, JK |
| Supabase | Duomenų bazė ir failų saugykla | AWS eu-west-2, Londonas, JK |
| Google (Firebase Authentication) | Naudotojų prisijungimas | Gali būti tvarkoma JAV |
| Upstash | Spartinančioji atmintinė ir užklausų ribojimas (Redis) | ES (Dublinas) |
| Resend | Sisteminiai el. laiškai (pvz., pakvietimai prisijungti) | JAV |
| Sentry | Klaidų stebėjimas | JAV |
| Google (Gemini API) | DI funkcijos — tik kai klientas jomis naudojasi | ES / JAV |
| Stripe | Prenumeratos mokėjimai — jei atsiskaitoma per Stripe | Airija (ES) / JAV |
Apie naują ar pakeičiamą subtvarkytoją pranešame el. paštu ne vėliau kaip prieš 30 dienų. Klientas gali pagrįstai prieštarauti; jei nepavyksta susitarti, jis gali nutraukti sutartį iki pakeitimo.
Sistemos, kurias prijungiate jūs (pvz., Pigu, Varle, WooCommerce, vežėjai, apskaitos programos), nėra mūsų subtvarkytojai: duomenys joms perduodami jūsų nurodymu ir pagal jūsų sutartis su jomis.
7.Duomenų perdavimas už EEE ribų
- GIETO Group LTD veikia Jungtinėje Karalystėje, o duomenų bazė ir failai saugomi Londone. Europos Komisija yra pripažinusi, kad JK užtikrina tinkamą duomenų apsaugos lygį (sprendimas pratęstas iki 2031 m. gruodžio), todėl duomenys iš ES į JK perduodami be papildomų sąlygų.
- Kai paslaugų teikėjas duomenis tvarko JAV (pvz., „Google“ prisijungimo paslauga), taikoma, kai taikytina, ES ir JAV duomenų privatumo sistema (Data Privacy Framework) arba Europos Komisijos standartinės sutarčių sąlygos.
8.Asmens duomenų saugumo pažeidimai
Sužinoję apie pažeidimą, kuris paveikia kliento duomenis, pranešame klientui nepagrįstai nedelsdami ir bet kuriuo atveju ne vėliau kaip per 72 valandas. Pranešime nurodome, kas įvyko, kokie duomenys paveikti, galimas pasekmes ir kokių priemonių ėmėmės.
9.Duomenų grąžinimas ir ištrynimas
Klientas bet kada gali eksportuoti savo duomenis. Pasibaigus sutarčiai, duomenys ištrinami po 30 dienų, nebent klientas paprašo anksčiau. Iš atsarginių kopijų jie išnyksta per 7 dienas. Saugome tik tai, ką privalome saugoti pagal įstatymus.
10.Atsakomybė
Šalių atsakomybei taikomos Paslaugų teikimo sąlygų nuostatos, išskyrus atvejus, kai duomenų apsaugos teisė nustato kitaip.
11.Kontaktai
Duomenų apsaugos klausimais: privacy@ops2sell.com.