Duomenų tvarkymo sutartis

Ši sutartis sudaroma pagal Bendrojo duomenų apsaugos reglamento (BDAR) 28 straipsnį tarp Kliento (duomenų valdytojo) ir UAB NNT, juridinio asmens kodas 306105299, Didlaukio g. 51A, LT-08303 Vilnius (duomenų tvarkytojo, toliau — Tvarkytojas). Ji yra neatskiriama Naudojimo sąlygų dalis ir sudaroma kartu su jomis — atskirai pasirašyti nereikia. Sąvokos vartojamos taip, kaip apibrėžta Naudojimo sąlygose ir BDAR.

1. Dalykas ir trukmė

1.1. Tvarkytojas Kliento vardu tvarko asmens duomenis, kuriuos Klientas ir jo Naudotojai įveda ar įkelia į counter.lt arba gauna per Kliento įjungtas integracijas, — tik Paslaugai teikti.

1.2. Sutartis galioja, kol galioja Naudojimo sąlygos, ir tol, kol Tvarkytojas saugo Kliento duomenis po jų pabaigos (žr. 9 sk.).

2. Tvarkymo pobūdis ir tikslai

Duomenys saugomi, sisteminami, naudojami skaičiavimams ir dokumentams rengti, perduodami Kliento nurodytiems gavėjams ir ištrinami, siekiant:

• vesti Kliento buhalterinę apskaitą ir rengti finansines ataskaitas;
• skaičiuoti darbo užmokestį, rengti darbo užmokesčio dokumentus ir deklaracijų rinkmenas (VMI, Sodra);
• išrašyti, gauti ir siųsti sąskaitas faktūras, apdoroti banko operacijas;
• atpažinti įkeltus dokumentus DI funkcijomis (jei Įmonė jų neišjungė);
• atsakyti į Kliento pagalbos ir konsultacijų užklausas;
• daryti atsargines kopijas, užtikrinti saugumą ir šalinti sutrikimus.

3. Duomenų subjektai ir duomenų kategorijos

Specialių kategorijų duomenys: darbo užmokesčio apskaitai gali būti tvarkomi sveikatos duomenys (nedarbingumo laikotarpiai, neįgalumas, darbingumo lygis) ir narystės profesinėse sąjungose duomenys (kai išskaitomas nario mokestis). Klientas juos įveda tik tiek, kiek būtina darbo, mokesčių ir socialinio draudimo teisės aktams vykdyti.

4. Tvarkytojo pareigos

4.1. Nurodymai. Tvarkytojas tvarko duomenis tik pagal dokumentuotus Kliento nurodymus. Nurodymais laikomos šios sutarties ir Naudojimo sąlygų nuostatos bei Kliento ir jo Naudotojų veiksmai programoje (pvz., dokumento sukūrimas, eksportas, integracijos įjungimas). Jei Tvarkytojo manymu nurodymas pažeidžia teisės aktus, jis nedelsdamas apie tai praneša Klientui.

4.2. Konfidencialumas. Prieigą prie duomenų turi tik tie Tvarkytojo darbuotojai ir pasitelkti asmenys, kuriems ji būtina, ir jie yra įsipareigoję saugoti konfidencialumą.

4.3. Saugumas. Tvarkytojas taiko šios sutarties priede nurodytas technines ir organizacines priemones (BDAR 32 str.) ir jas atnaujina, nesumažindamas apsaugos lygio.

4.4. Subtvarkytojai. Klientas suteikia bendrą leidimą pasitelkti subtvarkytojų sąraše nurodytus subtvarkytojus. Apie naują subtvarkytoją ar jo pakeitimą Tvarkytojas praneša el. paštu ir programoje ne vėliau kaip prieš 30 dienų. Klientas per šį laiką gali pagrįstai prieštarauti; nepavykus susitarti, Klientas gali nutraukti sutartį ir susigrąžinti už nepanaudotą apmokėtą laikotarpį sumokėtą sumą. Su kiekvienu subtvarkytoju Tvarkytojas sudaro rašytinę sutartį su ne mažesnėmis duomenų apsaugos pareigomis ir atsako Klientui už subtvarkytojo veiksmus.

4.5. Duomenų subjektų teisės. Dauguma duomenų peržiūrimi, taisomi, eksportuojami ir trinami programos priemonėmis. Jei duomenų subjektas kreipiasi tiesiogiai į Tvarkytoją, šis nukreipia jį į Klientą ir nedelsdamas apie tai informuoja Klientą. Tvarkytojas per pagrįstą laiką padeda Klientui atsakyti į prašymus, kai to neįmanoma padaryti programos priemonėmis.

4.6. Pagalba Klientui. Atsižvelgdamas į tvarkymo pobūdį ir turimą informaciją, Tvarkytojas padeda Klientui vykdyti BDAR 32–36 straipsnių pareigas (saugumas, pranešimai apie pažeidimus, poveikio duomenų apsaugai vertinimas).

4.7. Pažeidimai. Sužinojęs apie asmens duomenų saugumo pažeidimą, Tvarkytojas praneša Klientui be nepagrįsto delsimo ir ne vėliau kaip per 48 valandas. Pranešime nurodoma žinoma informacija: pažeidimo pobūdis, paveiktų duomenų ir subjektų kategorijos bei apytikslis skaičius, tikėtinos pasekmės ir taikytos ar siūlomos priemonės. Trūkstama informacija pateikiama vėliau, kai paaiškėja.

4.8. Informacija ir auditai. Tvarkytojas pateikia Klientui informaciją, būtiną įrodyti, kad laikomasi BDAR 28 straipsnio (atsakymus į saugumo klausimynus, priemonių aprašus). Klientas, įspėjęs prieš 30 dienų, ne dažniau kaip kartą per metus savo sąskaita gali atlikti auditą ar pavesti jį atlikti nepriklausomam auditoriui, įsipareigojusiam saugoti konfidencialumą; auditas neturi pažeisti kitų klientų duomenų saugumo ir konfidencialumo.

5. Kliento pareigos

5.1. Klientas užtikrina, kad turi teisinį pagrindą tvarkyti programoje vedamus duomenis, kad duomenų subjektai informuoti, kaip tai reikalauja BDAR 13–14 straipsniai, ir kad jo nurodymai atitinka teisės aktus.

5.2. Klientas įveda tik tuos duomenis, kurių reikia apskaitai ir teisės aktų reikalavimams vykdyti (pvz., asmens kodą — tik kai jo reikia deklaracijoms ar dokumentams).

5.3. Klientas suteikia Naudotojams tik būtinas teises ir užtikrina jų prisijungimo duomenų saugumą.

5.4. Kai Klientas pats yra tvarkytojas (pvz., buhalterių biuras savo klientų atžvilgiu), jis užtikrina, kad jo sutartys su valdytojais leidžia pasitelkti Tvarkytoją kaip subtvarkytoją, ir šios sutarties nuostatas taiko savo klientams.

6. Perdavimas už EEE ribų

6.1. Duomenys saugomi Lietuvoje. Į trečiąsias šalis jie perduodami tik subtvarkytojų sąraše nurodytais atvejais ir tik taikant BDAR V skyriuje numatytas apsaugos priemones (Europos Komisijos sprendimą dėl tinkamumo arba standartines sutarčių sąlygas).

6.2. Šiuo metu į trečiąsias šalis duomenys perduodami tik naudojant DI funkcijas (DI tiekėjas Anthropic, duomenys apdorojami JAV, standartinės sutarčių sąlygos). Klientas jas gali išjungti kiekvienai Įmonei (Nustatymai → DI funkcijos); išjungus dokumentai ir klausimai DI tiekėjui nesiunčiami.

7. Prieiga prie Kliento duomenų

7.1. Tvarkytojo darbuotojai prie konkrečios Įmonės duomenų jungiasi tik Kliento leidimu — kai to reikia Kliento užklausai išspręsti — arba sutrikimui pašalinti ar teisės aktams vykdyti. Be leidimo konsultantas mato tik pačią užklausą.

7.2. Kliento leidimas konsultantui suteikiamas programoje (Nustatymai → Konsultanto prieiga) ir yra:

• laikinas — Klientas pasirenka trukmę (1, 3 ar 7 dienos); daugiau nei 7 dienų leisti neįmanoma, o naujas leidimas pakeičia ankstesnį;
• tik peržiūros — be pakeitimų, be darbo užmokesčio duomenų, nustatymų, vartotojų valdymo ir duomenų eksporto; programa tai užtikrina visose užklausose, ne tik meniu;
• atšaukiamas bet kada — atšaukus ar pasibaigus terminui prieiga nutrūksta nuo kitos užklausos;
• registruojamas — kiekviena konsultanto užklausa įrašoma Kliento audito žurnale (kas, kada, kokį puslapį atidarė), o pats leidimo suteikimas ir atšaukimas — taip pat.

8. Atsakomybė

Šalių atsakomybei taikomos Naudojimo sąlygos ir BDAR 82 straipsnis.

9. Duomenų grąžinimas ir ištrynimas

9.1. Klientas bet kada gali eksportuoti duomenis programos priemonėmis. Paprašius, Tvarkytojas per 30 dienų pateikia Kliento duomenų kopiją įprastu kompiuterio skaitomu formatu.

9.2. Pasibaigus Naudojimo sąlygoms, duomenys 90 dienų lieka prieinami tik skaitymo režimu, kad Klientas galėtų juos eksportuoti, po to — ištrinami. Atsarginėse kopijose jie išnyksta per 12 mėnesių, kai kopijos pakeičiamos naujomis; iki tol kopijos lieka šifruotos ir nenaudojamos. Duomenys gali būti saugomi ilgiau tik tada, kai to reikalauja teisės aktai.

Priedas. Techninės ir organizacinės saugumo priemonės

Prieigos kontrolė

• Prieiga tik prisijungus; slaptažodžiai — ne trumpesni kaip 10 simbolių, saugomi tik kaip negrįžtamos maišos (bcrypt).
• Dviejų veiksnių autentifikacija — galima visiems Naudotojams, privaloma platformos administratoriams.
• Vaidmenimis pagrįstos teisės (savininkas, administratorius, buhalteris, asistentas, kliento peržiūra, kliento įkėlimas); kiekvienas veiksmas tikrinamas serveryje.
• Įmonių duomenys logiškai atskirti; atskyrimas tikrinamas automatiniais testais kiekvienai duomenų grupei.
• Bandymų prisijungti, registruotis ir slaptažodžio atkūrimo užklausų skaičius ribojamas.

Šifravimas ir perdavimas

• Visas ryšys — HTTPS (TLS 1.2 ir naujesni), saugumo antraštės (turinio saugumo politika, apsauga nuo įrėminimo).
• Sesijos slapukai — tik HTTPS, nepasiekiami skriptams, apsauga nuo CSRF.
• Atsarginės kopijos šifruojamos (GPG) prieš perduodant į atsarginį serverį.

Prieinamumas ir atkūrimas

• Atsarginės duomenų bazės ir failų kopijos — kasdien; saugomos 14 dienų (kasdienės), 4 savaites (savaitinės) ir 12 mėnesių (mėnesinės) atskirame serveryje.
• Kas savaitę automatiškai tikrinama, ar kopiją galima atkurti; nepavykus ar kopijai pasenus — pranešimas administratoriams.
• Veikimas stebimas nuolat; sutrikus — pranešimas administratoriams.

Registravimas ir stebėsena

• Audito žurnalas: kas, kada ir ką pakeitė įmonės duomenyse.
• Registruoti apskaitos dokumentai nekeičiami — taisoma atšaukimu (storno), periodai uždaromi.
• Klaidų registras ir pranešimai administratoriams apie naujas klaidas.

Programinė įranga ir infrastruktūra

• Programos ir serverio programinė įranga reguliariai atnaujinama; kodo pakeitimai diegiami tik praėjus automatiniams testams.
• Atskira bandomoji aplinka su atskira duomenų baze — saugumo testai atliekami tik joje.
• Serveriai Lietuvoje, prieiga prie jų — tik įgaliotiems asmenims per šifruotą ryšį.

Organizacinės priemonės

• Darbuotojai ir pasitelkti asmenys įsipareigoja saugoti konfidencialumą; prieiga suteikiama pagal būtinumą ir panaikinama nutrūkus darbo santykiams.
• DI funkcijoms siunčiamas tik atpažinti reikalingas dokumentas arba klausimo tekstas su įmonės profiliu (teisinė forma, PVM mokėtojo statusas, apskaitos režimas) — be kitų įmonės duomenų.
• Saugumo incidentų valdymo tvarka: įvertinimas, pažeidimo suvaldymas, pranešimas Klientui per 48 val., priežasčių analizė.