Duomenų tvarkymo sutartis (DPA)

1. Dalykas ir trukmė

Sutarties dalykas – asmens duomenų tvarkymas teikiant LogCon kaip programinę įrangą paslaugos forma. Trukmė atitinka pagrindinės sutarties terminą.

2. Tvarkymo pobūdis ir tikslas

Transporto valdymas, DI palaikomas užsakymų tvarkymas, dispečerystė, komunikacija su klientais, vežėjais ir vairuotojais, dokumentų kūrimas, muitinės paruošimas ir atsiskaitymai.

3. Duomenų kategorijos ir duomenų subjektai

• Duomenų valdytojo darbuotojai: vardas, el. paštas, telefonas, vaidmuo, kalba, prisijungimo duomenys
• Vairuotojai (nuosavi ir subrangovų): vardas, telefonas, kalba, kvalifikacijos, pozicijos duomenys reisų metu
• Klientų ir vežėjų kontaktiniai asmenys: vardas, kontaktiniai duomenys, komunikacijos turinys
• Užsakymo, dokumentų, muitinės ir sąskaitų duomenys su asmens nuoroda

4. Duomenų tvarkytojo pareigos

• Tvarkyti duomenis tik pagal dokumentuotus duomenų valdytojo nurodymus
• Konfidencialumo pareiga visiems įgaliotiems asmenims
• Techninių ir organizacinių priemonių įgyvendinimas (1 priedas)
• Pagalba įgyvendinant duomenų subjektų teises, atliekant poveikio duomenų apsaugai vertinimus ir vykdant pranešimo pareigas
• Informuoti duomenų valdytoją, jei, duomenų tvarkytojo nuomone, nurodymas pažeidžia duomenų apsaugos teisės aktus

5. Subtvarkytojai

Duomenų valdytojas patvirtina 2 priede išvardintus subtvarkytojus. Duomenų tvarkytojas informuoja duomenų valdytoją apie planuojamus pakeitimus ne vėliau kaip prieš 30 dienų; duomenų valdytojas gali prieštarauti dėl svarbios su duomenų apsauga susijusios priežasties.

6. Techninės ir organizacinės priemonės (1 priedas)

• Fizinės prieigos kontrolė: ES duomenų centras su ISO 27001 sertifikatu, jokios fizinės prieigos duomenų tvarkytojo darbuotojams
• Sistemos prieigos kontrolė: bcrypt maišyti slaptažodžiai, dviejų faktorių autentifikacija, blokavimas po nesėkmingų bandymų, laikinas JWT, API raktai saugomi tik kaip maišos
• Duomenų prieigos kontrolė: teisėmis pagrįstos leidimai, mažiausios būtinos prieigos principas, visos platformos administravimas tik su duomenų bazėje patikrintomis teisėmis
• Atskyrimo kontrolė: nuomininko ID kiekvienoje lentelėje, atskiri saugojimo keliai kiekvienam nuomininkui
• Šifravimas: TLS perdavimo metu, AES-256-GCM integracijų prisijungimo duomenims, disko šifravimas pas talpinimo paslaugų teikėją
• Įvesties kontrolė: audito žurnalas su būsena prieš ir po pakeitimų bei DI veiksmų
• Perdavimo kontrolė: HMAC pasirašyti webhooks, išeinantys el. laiškai tik per sukonfigūruotus serverius
• Prieinamumas: kasdienės šifruotos duomenų bazės ir dokumentų atsarginės kopijos, saugant 7 dienines, 4 savaitines ir 12 mėnesinių kopijų, šifruota kopija už įmonės ribų pas antrą tiekėją, dokumentuota atkūrimo procedūra, stebėsena
• Duomenų apsaugos valdymas: tvarkymo veiklos įrašai, ištrynimo koncepcija, incidentų valdymo procesas

7. Pranešimas apie duomenų saugumo pažeidimus

Duomenų tvarkytojas praneša apie asmens duomenų saugumo pažeidimus nepagrįstai nedelsdamas, ne vėliau kaip per 24 valandas nuo sužinojimo, pateikdamas BDAR 33 str. 3 d. numatytą informaciją.

8. Audito teisės

Duomenų valdytojas gali patikrinti šios sutarties laikymąsi, peržiūrėdamas įrodymus ir ataskaitas, o iš anksto pranešęs – ir atlikdamas patikras vietoje.

9. Ištrynimas ir grąžinimas

Pasibaigus sutarčiai, duomenų tvarkytojas 30 dienų suteikia galimybę atsisiųsti visą duomenų eksportą, po to ištrina visus duomenų valdytojo duomenis, įskaitant kopijas, ir patvirtina ištrynimą. Įstatymų nustatytos saugojimo prievolės išlieka nepaveiktos; šifruotos atsarginės kopijos perrašomos įprasto rotacijos ciklo metu, ne vėliau kaip per 12 mėnesių.

10. Perdavimas į trečiąsias šalis

Perdavimas į trečiąsias šalis vyksta tik BDAR 44 ir tolesniuose straipsniuose numatytomis sąlygomis, ypač remiantis tinkamumo sprendimu arba standartinėmis sutarčių sąlygomis.

11. DI skaidrumas (4 priedas)

DI agentai sukuria pasiūlymus arba – priklausomai nuo duomenų valdytojo nustatyto autonomijos lygio – vykdo veiksmus. Kiekvienas DI veiksmas fiksuojamas žurnale su modeliu, laiku, pasitikėjimo lygiu ir būsena prieš bei po; automatiniai veiksmai yra grįžtami. Kliento duomenys nenaudojami DI modeliams mokyti.

12. Baigiamosios nuostatos

Kilus prieštaravimui, ši sutartis turi viršenybę prieš pagrindinę sutartį duomenų apsaugos klausimais. Taikoma Austrijos teisė; jurisdikcijos vieta – Wien.

2 priedas: subtvarkytojai

Žr. šią lentelę.