Duomenų tvarkymo sąlygos (Priedas Nr. 1)

ARKA duomenų tvarkymo sąlygos

ARKA paslaugų sąlygų Priedas Nr. 1

> Prieš paskelbiant rekomenduojama, kad šias sąlygas peržiūrėtų teisininkas.

Versija: v1.9 Paskelbta: 2026-10-24 Įsigalioja: 2026-11-21 Paslaugos adresas: https://debesis.pandafix.lt

1. Šalys ir dokumento paskirtis

1.1. Šios duomenų tvarkymo sąlygos (toliau – Sąlygos) yra duomenų tvarkymo sutartis pagal Reglamento (ES) 2016/679 (toliau – BDAR) 28 straipsnio 3 dalį, sudaroma tarp:

• Kliento, kuris užregistravo Įstaigą Paslaugoje ARKA ir priėmė ARKA paslaugų sąlygas (toliau – Valdytojas), ir
• MB Panda fix, juridinio asmens kodas 304935353, PVM mokėtojo kodas LT100015079110, buveinės adresas J. Tumo-Vaižganto g. 10-60, LT-89107 Mažeikiai, el. paštas info@pandafix.lt, tel. +370 628 53996 (toliau – Tvarkytojas).

1.2. Sąlygos yra neatskiriama ARKA paslaugų sąlygų (toliau – Paslaugų sąlygos) dalis. Sąlygose vartojamos sąvokos „Paslauga“, „Įstaiga“, „Naudotojas“, „Kliento duomenys“, „Planas“, „Papildoma paslauga“, „Laikotarpis“, „Sutartis“, „Darbo diena“ ir „Darbo valandos“ suprantamos taip, kaip apibrėžta Paslaugų sąlygose. Sąvokos „asmens duomenys“, „tvarkymas“, „duomenų subjektas“, „asmens duomenų saugumo pažeidimas“ ir „priežiūros institucija“ suprantamos taip, kaip apibrėžta BDAR 4 straipsnyje.

1.3. Jei Sąlygų ir Paslaugų sąlygų nuostatos dėl asmens duomenų tvarkymo prieštarauja viena kitai, taikomos šios Sąlygos.

2. Tvarkymo dalykas ir trukmė

2.1. Sąlygų dalykas – Tvarkytojo atliekamas asmens duomenų, esančių Kliento duomenyse, tvarkymas Valdytojo vardu teikiant Paslaugą.

2.2. Tvarkymas vykdomas visą Sutarties galiojimo laikotarpį, taip pat Paslaugų sąlygų 10 skyriuje nustatytu duomenų saugojimo, atsisiuntimo ir ištrynimo laikotarpiu, kol Kliento duomenys ištrinami iš visų Tvarkytojo sistemų ir atsarginių kopijų (žr. 15 skyrių).

2.3. Sąlygos galioja tol, kol Tvarkytojas tvarko bet kokius Valdytojo asmens duomenis.

3. Tvarkymo pobūdis ir tikslas

3.1. Tvarkymo tikslas – teikti Valdytojui Paslaugą, t. y. privačią debesijos failų saugojimo, valdymo, dalijimosi ir (pagal Planą) redagavimo paslaugą, ir vykdyti Sutartį.

3.2. Tvarkymo pobūdis ir veiksmai:

• Kliento duomenų priėmimas ir saugojimas Tvarkytojo failų serveryje (Tvarkytojas nurodo, kad serveris yra Lietuvoje);
• failų rodymas, peržiūra, paieška ir perdavimas Naudotojams bei Valdytojo nurodytiems išorinio dalijimosi gavėjams;
• dokumentų redagavimas naršyklėje (paremta ONLYOFFICE), versijų istorijos saugojimas, archyvavimas serverio pusėje (jei įtraukta į Planą);
• prieigos teisių, rolių ir teisių grupių valdymas pagal Valdytojo nustatymus;
• Naudotojų veiksmų žurnalų ir audito žurnalo (jei įtrauktas į Planą) vedimas;
• atsarginių kopijų darymas, kai užsakyta Papildoma paslauga, ir duomenų atkūrimas, kai agentas tai patvirtina;
• sistemos pranešimų (pakvietimų, slaptažodžio atkūrimo, saugumo pranešimų) siuntimas Naudotojams;
• techninė priežiūra, gedimų šalinimas ir saugumo incidentų tyrimas tiek, kiek būtina Paslaugai teikti;
• duomenų ištrynimas Valdytojo nurodymu ar pasibaigus Sutarčiai.

3.3. Tvarkytojas netvarko Kliento duomenų savo tikslais, jų neparduoda, nenaudoja profiliavimui, rinkodarai ar dirbtinio intelekto modeliams mokyti ir neperžiūri failų turinio, išskyrus atvejus, kai to aiškiai prašo Valdytojas (pvz., teikiant pagalbą) arba reikalauja teisės aktai.

4. Asmens duomenų rūšys

4.1. Tvarkomos šios asmens duomenų rūšys:

• Naudotojų identifikaciniai ir kontaktiniai duomenys: vardas, pavardė, el. pašto adresas, pareigos ar rolė Įstaigoje, priklausymas teisių grupėms ir padaliniams;
• autentifikavimo duomenys: slaptažodžio kriptografinė maiša, 2FA nustatymai, sesijų duomenys;
• techniniai ir žurnalų duomenys: IP adresas, prisijungimo laikas, naršyklės informacija, veiksmų su failais įrašai (įkėlimas, atsisiuntimas, keitimas, ištrynimas, dalijimasis, teisių keitimas);
• failų metaduomenys: failų ir aplankų pavadinimai, dydis, sukūrimo ir keitimo datos, autorius, versijos, išorinio dalijimosi nuorodų duomenys;
• failų turinyje esantys asmens duomenys: bet kokie asmens duomenys, kuriuos Valdytojas ar Naudotojai savo sprendimu įkelia į Paslaugą, pvz., vardai, pavardės, kontaktiniai duomenys, gimimo datos, asmens kodai, darbo santykių duomenys, ugdymo ir pasiekimų duomenys, nuotraukos, susirašinėjimas, sutartys ir sąskaitos.

4.2. Specialiųjų kategorijų asmens duomenys (BDAR 9 straipsnis, pvz., sveikatos duomenys) ir duomenys apie apkaltinamuosius nuosprendžius (BDAR 10 straipsnis) gali būti įkeliami tik tuo atveju, jei Valdytojas užtikrina tinkamą teisinį pagrindą juos tvarkyti ir įvertina tokio tvarkymo riziką. Tvarkytojas tokiems duomenims taiko tas pačias 9 skyriuje nurodytas saugumo priemones; Valdytojas, įvertinęs riziką, turi naudotis Paslaugos teikiamomis papildomomis priemonėmis (pvz., ribotomis prieigos teisėmis, 2FA).

4.3. Valdytojas vienas sprendžia, kokie asmens duomenys įkeliami į Paslaugą, ir užtikrina, kad nebūtų įkeliama daugiau duomenų, nei būtina jo tikslams (duomenų kiekio mažinimo principas).

5. Duomenų subjektų kategorijos

5.1. Duomenų subjektai:

• Valdytojo darbuotojai ir kiti Naudotojai;
• vaikai (pvz., ugdytiniai, mokiniai), kurių duomenų yra įkeltuose failuose;
• vaikų tėvai, globėjai ir kiti atstovai;
• Valdytojo klientai, paslaugų gavėjai ir jų atstovai;
• kiti asmenys, kurių duomenų yra Valdytojo įkeltuose failuose (pvz., partneriai, tiekėjai, kandidatai į darbą).

5.2. Vaikų duomenims taikoma ypatinga apsauga (BDAR 38 konstatuojamoji dalis); Valdytojas atsako už tai, kad jų tvarkymas atitiktų teisės aktus ir būtų griežtai ribojamas prieigos teisėmis.

6. Valdytojo nurodymai ir pareigos

6.1. Tvarkytojas tvarko asmens duomenis tik pagal dokumentais įformintus Valdytojo nurodymus. Valdytojo nurodymais laikomi:

• Sutartis, įskaitant šias Sąlygas;
• Valdytojo ir jo Naudotojų veiksmai bei nustatymai Paslaugoje (pvz., failų įkėlimas, ištrynimas, dalijimasis, prieigos teisių suteikimas);
• Valdytojo įgalioto atstovo nurodymai, pateikti el. paštu info@pandafix.lt.

6.2. Tvarkytojas gali tvarkyti asmens duomenis be Valdytojo nurodymo tik tuo atveju, kai to reikalauja Europos Sąjungos ar Lietuvos Respublikos teisė; tokiu atveju jis prieš pradėdamas tvarkymą informuoja Valdytoją apie tokį teisinį reikalavimą, nebent tokia teisė draudžia informuoti dėl svarbių viešojo intereso priežasčių.

6.3. Jei, Tvarkytojo nuomone, Valdytojo nurodymas pažeidžia BDAR ar kitus duomenų apsaugos teisės aktus, Tvarkytojas nedelsdamas apie tai informuoja Valdytoją ir gali sustabdyti tokio nurodymo vykdymą, kol Valdytojas jį patvirtins ar pakeis.

6.4. Nurodymai, kurie viršija Paslaugos funkcionalumą ar Plano apimtį, vykdomi tik šalims susitarus dėl jų įgyvendinimo sąlygų ir kainos.

6.5. Valdytojas:

• atsako už tai, kad tvarkymas turėtų teisinį pagrindą ir kad duomenų subjektams būtų suteikta BDAR 13–14 straipsniuose nurodyta informacija;
• skiria Naudotojų roles ir prieigos teises, atsako už jų tinkamumą ir savalaikį panaikinimą;
• naudojasi Paslaugos saugumo priemonėmis, atitinkančiomis jo tvarkomų duomenų riziką;
• nedelsdamas praneša Tvarkytojui apie pastebėtus saugumo pažeidimus ar neteisėtą prieigą.

7. Konfidencialumas

7.1. Tvarkytojas užtikrina, kad prieigą prie asmens duomenų turėtų tik tie jo darbuotojai, nariai ar kiti įgalioti asmenys, kuriems tai būtina Paslaugai teikti, ir tik tokia apimtimi, kokia būtina.

7.2. Visi Tvarkytojo įgalioti asmenys yra raštu įsipareigoję saugoti asmens duomenų konfidencialumą arba jiems taikoma atitinkama teisės aktuose nustatyta konfidencialumo pareiga. Ši pareiga galioja ir pasibaigus jų darbo ar kitiems santykiams su Tvarkytoju.

7.3. Tvarkytojo įgalioti asmenys instruktuojami apie duomenų apsaugos reikalavimus ir šiose Sąlygose nustatytas pareigas.

8. Tvarkytojo pareigos

8.1. Tvarkytojas:

• tvarko asmens duomenis tik pagal Valdytojo nurodymus ir šias Sąlygas;
• įgyvendina 9 skyriuje nurodytas technines ir organizacines saugumo priemones;
• pasitelkia subtvarkytojus tik 10 skyriuje nustatyta tvarka;
• padeda Valdytojui vykdyti duomenų subjektų teisių prašymus (12 skyrius) ir vykdyti BDAR 32–36 straipsniuose nustatytas pareigas (13 skyrius);
• praneša Valdytojui apie asmens duomenų saugumo pažeidimus (14 skyrius);
• pasibaigus Sutarčiai ištrina arba grąžina asmens duomenis (15 skyrius);
• pateikia Valdytojui visą informaciją, būtiną BDAR 28 straipsnio laikymuisi įrodyti, ir leidžia atlikti auditus (16 skyrius);
• veda tvarkymo veiklos, atliekamos Valdytojo vardu, įrašus pagal BDAR 30 straipsnio 2 dalį;
• nedelsdamas, jei tai leidžia teisės aktai, informuoja Valdytoją apie gautą priežiūros ar teisėsaugos institucijos prašymą, susijusį su Valdytojo asmens duomenimis.

9. Saugumo priemonės

9.1. Tvarkytojas, atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas, tvarkymo pobūdį, aprėptį, kontekstą ir tikslus bei riziką duomenų subjektų teisėms ir laisvėms, taiko šias BDAR 32 straipsnyje nurodytas priemones.

9.2. Šifravimas ir ryšys:

• viešas adresas yra https://debesis.pandafix.lt. Svetainės programa veikia Vercel. TLS versiją parenka Vercel ir serveris. Programa kiekvienai užklausai nepatikrina, ar tai TLS 1.2 ar naujesnė;
• sesijos slapukas yra HttpOnly ir SameSite=Lax. Jei užklausa ateina per HTTPS, jam pridedama Secure žyma;
• failų turinys programoje nešifruojamas atskiru raktu ir laikomas failų serveryje kaip paprastas failas. Disko šifravimo (BitLocker ar LUKS) agentas nepraneša, todėl Paslauga negali patvirtinti, kad diskas užšifruotas;
• pašto ir mokėjimų paslaptys duomenų bazėje saugomos AES-256-GCM. Raktas išvedamas iš serverio paslapties, ne iš Kliento rakto;
• slaptažodžiai saugomi tik kaip scrypt maiša su druska. Atviru tekstu nelaikomi.

9.3. Tinklo apsauga:

• naudotojai svetainę pasiekia per https://debesis.pandafix.lt, kuri talpinama Vercel. Failų serverį ir ONLYOFFICE programa pasiekia per Cloudflare tunelį (cloudflared), kurį paleidžia serverio diegimo skriptas. Programa nefiksuoja, ar serveryje nėra kitų viešų prievadų ir ar WAF įjungtas;
• serverio funkcijos, atsisiuntimas, įkėlimas, gedimų API ir slaptažodžio atkūrimas atmeta naršyklės užklausą iš kito tinklalapio.

9.4. Prieigos kontrolė ir autentifikavimas:

• rolėmis pagrįsta prieigos kontrolė Įstaigoje (rolės, teisių grupės, padaliniai – pagal Planą);
• failo ar aplanko atidarymas tikrina, kad įrašas priklausytų tos pačios Įstaigos Naudotojui. Platformos administratorius mato visas Įstaigas, nes tai jo darbo pareiga;
• Essential plane kaina nuo 149 € / mėn. + PVM, individualus pasiūlymas. Funkcijos – kaip Business plane. Vieta, darbuotojai ir kaina pagal sutartį. Funkcijų rinkinys ir kaina pritaikomi pagal jūsų poreikius;
• 2FA (TOTP) gali įsijungti kiekvienas Naudotojas. Numatytai jis neprivalomas. Premium, Business ir aktyvuotame Essential Plane Valdytojas gali jį padaryti privalomą visai Įstaigai;
• platformos administratorius be įjungto 2FA administruoti negali, išskyrus paskyrą, kuriai sąmoningai įrašyta išimtis;
• po 10 nesėkmingų prisijungimų paskyra ir IP užrakinami nuo 15 minučių, kaskart dvigubinant. Slaptažodžio atkūrimas ribojamas (5 kartai per valandą tam pačiam adresui ir 20 iš to paties IP).

9.5. Žurnalai:

• registruojami prisijungimai ir nesėkmės, failų atsisiuntimai, įkėlimai, perkėlimas į šiukšlinę, WebDAV veiksmai, ONLYOFFICE atidarymas, teisių ir nustatymų keitimai;
• vien failų sąrašo peržiūra atskiru įrašu nežymima;
• saugojimo trukmė – nustatymas „Žurnalo mėnesiai“, numatyta 12 mėnesių. Senesni įrašai ištrinami kasdienės priežiūros metu. Atskiro archyvo konkrečiam incidentui programa nelaiko.

9.6. Vieta ir prieiga:

• Teikėjas nurodo, kad failų serveris yra Lietuvoje, buveinė Mažeikiuose. Programa geografinės vietos ir patalpų užrakto nepatikrina;
• prie platformos administratoriaus paskyros ir serverio prieigą turi MB Panda fix įgalioti asmenys. Kitų Įstaigų Naudotojai svetimų duomenų nemato.

9.7. Atsarginės kopijos (tik užsakius atsarginių kopijų Papildomą paslaugą):

• kas naktį agentui siunčiamas prašymas daryti kopiją. Numatytas variklis Restic (galima Kopia), perduodama šifravimo žyma ir ciklai: 7 dienos, 4 savaitės, 6 mėnesiai;
• kopija rašoma į Teikėjo nurodytą diską. Backblaze B2 ir Hetzner kviečiami tik tada, kai administratorius pats įrašo raktus; kol raktų nėra, jie nenaudojami. Google Workspace Drive programa nesiunčia;
• jei agentas kopijų kelio neturi, saugomas duomenų bazės išrašas. Jis šifruojamas AES-256-GCM, nėra Restic ar inkrementinė kopija ir neapima visų failų diske;
• append-only režimo ir atskiro kopijų kompiuterio programa nepatikrina. Atkūrimo testas fiksuojamas tik kai administratorius jį paleidžia ir agentas patvirtina.

Jei Papildoma paslauga neužsakyta, automatinė Kliento failų kopija nedaroma.

9.8. Prieinamumas: Teikėjas stebi serverio būseną ir laisvą vietą. 70 % užpildymo riba yra tikslas, ne automatinis stabdys.

9.9. Programinės įrangos priežiūra: operacinės sistemos ir taikomosios programinės įrangos atnaujinimai bei saugumo pataisos diegiami reguliariai, o kritinės pataisos – kuo greičiau.

9.10. Organizacinės priemonės: konfidencialumo įsipareigojimai (7 skyrius), incidentų valdymo tvarka (14 skyrius), subtvarkytojų atranka ir sutartys (10 skyrius), reguliari saugumo priemonių veiksmingumo peržiūra ir, prireikus, jų atnaujinimas.

9.11. Tvarkytojas gali keisti saugumo priemones, jei bendras saugumo lygis nesumažėja.

10. Subtvarkytojai

10.1. Valdytojas suteikia Tvarkytojui bendrąjį rašytinį leidimą pasitelkti subtvarkytojus pagal BDAR 28 straipsnio 2 dalį. Sąlygų įsigaliojimo dieną pasitelkiami šie subtvarkytojai:

10.1.1. ONLYOFFICE dokumentų serveris paleidžiamas Tvarkytojo failų serveryje ir subtvarkytoju nelaikomas, kol nėra perkeltas pas trečiąją šalį. Backblaze B2 ir Hetzner programoje yra pasirenkami kopijų keliai, bet numatytai nenaudojami: kol administratorius neįrašo raktų, jie subtvarkytojai nėra. Google Workspace Drive kopijoms nenaudojamas.

10.2. Mokėjimų paslaugų teikėjai Montonio Finance UAB ir Paysera LT UAB programa kviečia tik tada, kai administratorius įrašo jų raktus. Kol raktų nėra, jie nenaudojami. Kai Klientas moka per juos, jie ir bankai veikia kaip savarankiški duomenų valdytojai, todėl subtvarkytojais nelaikomi.

10.3. Tvarkytojas su kiekvienu subtvarkytoju sudaro sutartį arba taiko jo standartines sąlygas, kuriomis subtvarkytojui nustatomos ne mažesnės duomenų apsaugos pareigos nei šiose Sąlygose. Tvarkytojas visiškai atsako Valdytojui už subtvarkytojų pareigų vykdymą.

10.4. Pranešimas apie pakeitimus. Apie ketinimą pasitelkti naują subtvarkytoją ar pakeisti esamą Tvarkytojas praneša Valdytojui el. paštu ir (ar) Paslaugoje ne vėliau kaip prieš 30 dienų, nurodydamas subtvarkytojo pavadinimą, veiklą, tvarkymo vietą ir taikomas perdavimo garantijas.

10.5. Prieštaravimas. Valdytojas per 30 dienų nuo pranešimo gali pateikti pagrįstą prieštaravimą el. paštu info@pandafix.lt, nurodydamas duomenų apsaugos priežastis. Šalys sąžiningai derasi dėl sprendimo (pvz., kito subtvarkytojo ar papildomų priemonių). Jei sutarimo per šį terminą nepasiekiama, Valdytojas gali nutraukti Sutartį iki pakeitimo įsigaliojimo, ir jam grąžinama proporcinga apmokėto, bet nepanaudoto Laikotarpio dalis. Jei prieštaravimas per nustatytą terminą nepateikiamas, laikoma, kad Valdytojas pakeitimui neprieštarauja.

10.6. Jei subtvarkytoją būtina pakeisti skubiai dėl saugumo priežasčių ar subtvarkytojo veiklos nutraukimo, Tvarkytojas gali tai padaryti nedelsdamas, apie tai iš karto informuodamas Valdytoją; Valdytojui šiuo atveju taikomos 10.5 punkte nurodytos teisės.

11. Tarptautinis duomenų perdavimas

11.1. Kliento failai saugomi Tvarkytojo failų serveryje. Tvarkytojas nurodo, kad serveris yra Lietuvoje. Programa vietos nepatikrina. Svetainė veikia Vercel, o iki failų serverio srautas eina Cloudflare tuneliu. Atsarginės kopijos, jei priedas užsakytas, rašomos į Tvarkytojo nurodytą diską. Backblaze B2 ir Hetzner naudojami tik įrašius raktus. Google Workspace Drive nenaudojamas.

11.2. Asmens duomenys į trečiąsias valstybes už Europos ekonominės erdvės ribų perduodami tik laikantis BDAR V skyriaus reikalavimų, t. y. remiantis Europos Komisijos sprendimu dėl tinkamumo (įskaitant ES ir JAV duomenų privatumo sistemą) arba Europos Komisijos patvirtintomis standartinėmis sutarčių sąlygomis kartu su, jei reikia, papildomomis priemonėmis. Konkretūs mechanizmai kiekvienam subtvarkytojui nurodyti 10.1 punkto lentelėje.

11.3. Tvarkytojas neperduoda Kliento duomenų į trečiąsias valstybes kitais atvejais be išankstinio Valdytojo sutikimo, išskyrus kai to reikalauja teisės aktai (6.2 punktas).

12. Pagalba įgyvendinant duomenų subjektų teises

12.1. Jei Tvarkytojas tiesiogiai gauna duomenų subjekto prašymą, susijusį su Kliento duomenimis, jis ne vėliau kaip per 5 darbo dienas persiunčia jį Valdytojui ir pats į jį iš esmės neatsako, išskyrus Valdytojo nurodymu. Tvarkytojas gali informuoti prašymą pateikusį asmenį, kad prašymas perduotas Valdytojui.

12.2. Paslaugos funkcijos (failų paieška, peržiūra, atsisiuntimas, keitimas ir ištrynimas, prieigos teisių valdymas) leidžia Valdytojui pačiam įgyvendinti duomenų subjektų teises į susipažinimą, ištaisymą, ištrynimą, tvarkymo apribojimą ir duomenų perkeliamumą.

12.3. Jei Valdytojas negali pats įvykdyti prašymo naudodamasis Paslaugos funkcijomis, Tvarkytojas, gavęs Valdytojo nurodymą, suteikia jam protingą techninę pagalbą (pvz., duomenų paiešką žurnaluose ar duomenų ištrynimą iš atsarginių kopijų, kai tai techniškai įmanoma).

13. Pagalba vertinant poveikį duomenų apsaugai ir kitos pagalbos pareigos

13.1. Atsižvelgdamas į tvarkymo pobūdį ir turimą informaciją, Tvarkytojas padeda Valdytojui vykdyti BDAR 32–36 straipsniuose nustatytas pareigas, įskaitant:

• informacijos apie Paslaugą, jos architektūrą, saugumo priemones ir subtvarkytojus pateikimą, kai Valdytojas atlieka poveikio duomenų apsaugai vertinimą (BDAR 35 straipsnis);
• informacijos pateikimą, kai Valdytojas konsultuojasi su priežiūros institucija (BDAR 36 straipsnis);
• pagalbą vertinant ir mažinant saugumo pažeidimų riziką.

13.2. Įprasta informacija (šios Sąlygos, saugumo priemonių aprašymas, subtvarkytojų sąrašas) teikiama neatlygintinai. Pagalba, kuri reikalauja didesnių Tvarkytojo laiko sąnaudų, teikiama šalims iš anksto suderinus jos apimtį ir kainą.

14. Asmens duomenų saugumo pažeidimai

14.1. Sužinojęs apie asmens duomenų saugumo pažeidimą, susijusį su Kliento duomenimis, Tvarkytojas atlieka šiuos veiksmus:

1. Suvaldymas. Nedelsdamas imasi priemonių pažeidimui sustabdyti, jo pasekmėms sumažinti ir įrodymams išsaugoti. 2. Pranešimas Valdytojui. Nepagrįstai nedelsdamas, bet ne vėliau kaip per 48 valandas nuo sužinojimo, praneša apie pažeidimą Valdytojo registracijos metu nurodytu el. pašto adresu, o esant galimybei – ir telefonu. 3. Informacijos pateikimas. Pranešime nurodo, kiek tuo metu žinoma: pažeidimo pobūdį ir laiką, paveiktų duomenų subjektų ir asmens duomenų įrašų kategorijas bei apytikslį skaičių, tikėtinas pasekmes, taikytas ir siūlomas priemones, kontaktinį asmenį. Jei visos informacijos iš karto pateikti neįmanoma, ji teikiama etapais be nepagrįsto delsimo. 4. Tyrimas ir bendradarbiavimas. Tiria pažeidimo priežastis ir padeda Valdytojui, kad šis per 72 valandas galėtų pranešti VDAI. Programa automatinio pranešimo VDAI nesiunčia: pranešimą siunčia žmogus. Kontaktas – info@pandafix.lt. 5. Dokumentavimas. Dokumentuoja pažeidimą, jo aplinkybes, pasekmes ir taisomuosius veiksmus ir, Valdytojo prašymu, pateikia šią informaciją. 6. Prevencija. Įgyvendina priemones, kad panašus pažeidimas nepasikartotų, ir apie jas informuoja Valdytoją.

14.2. Sprendimą dėl pranešimo VDAI ir duomenų subjektams priima Valdytojas. Tvarkytojas Valdytojo vardu tokių pranešimų neteikia, išskyrus Valdytojo rašytiniu nurodymu.

14.3. Tvarkytojo pranešimas apie pažeidimą savaime nereiškia Tvarkytojo kaltės ar atsakomybės pripažinimo.

15. Duomenų grąžinimas ir ištrynimas pasibaigus Sutarčiai

15.1. Pasibaigus Sutarčiai, Valdytojas gali atsisiųsti Kliento duomenis Paslaugos priemonėmis per 30 dienų tik skaitymo režimu (Paslaugų sąlygų 10.2 punktas). Tai laikoma duomenų grąžinimu Valdytojui.

15.2. Automatinio visos Įstaigos ištrynimo nutraukus Sutartį nėra. Tvarkytojas Įstaigą ištrina rankiniu būdu sąsajoje, įrašęs jos pavadinimą: tada iš duomenų bazės šalinami tos Įstaigos naudotojai ir failų įrašai. Failai, jau įrašyti į diską, šiuo veiksmu nebūtinai dingsta iš disko. PVM sąskaitos lieka apskaitoje. Kopijose duomenys lieka iki ciklo pabaigos arba kol Tvarkytojas tas kopijas ištrina. Naudotojo šiukšlinėje failas numatytai laikomas 30 dienų, paskui iki 60 dienų administratoriaus šiukšlinėje, tada įrašas ištrinamas iš duomenų bazės.

15.3. Ne vėliau kaip prieš 14 dienų iki ištrynimo Tvarkytojas el. paštu įspėja Valdytoją apie artėjantį ištrynimą.

15.4. Sutarties galiojimo metu Valdytojo ištrinti failai, jei užsakyta atsarginių kopijų Papildoma paslauga, atsarginėse kopijose gali likti iki jų saugojimo ciklo pabaigos (ne ilgiau kaip 6 mėnesius) ir yra apsaugoti 9 skyriuje nurodytomis priemonėmis.

15.5. Duomenys gali būti saugomi ilgiau tik tuo atveju, jei tai privaloma pagal Europos Sąjungos ar Lietuvos Respublikos teisę; tokiu atveju Tvarkytojas užtikrina jų konfidencialumą ir netvarko jų jokiais kitais tikslais.

15.6. Valdytojo prašymu Tvarkytojas raštu (el. paštu) patvirtina, kad Kliento duomenys ištrinti.

16. Auditai ir patikrinimai

16.1. Tvarkytojas Valdytojo prašymu pateikia visą informaciją, būtiną įrodyti, kad laikomasi BDAR 28 straipsnio ir šių Sąlygų, įskaitant saugumo priemonių aprašymą ir subtvarkytojų sąrašą.

16.2. Jei pateiktos informacijos nepakanka, Valdytojas arba jo įgaliotas nepriklausomas auditorius gali atlikti auditą ar patikrinimą, įskaitant patikrinimą vietoje, laikydamiesi šių sąlygų:

• auditas atliekamas ne dažniau kaip kartą per metus;
• apie auditą Tvarkytojui pranešama raštu ne vėliau kaip prieš 30 dienų, nurodant audito apimtį, laiką ir auditorių;
• auditas atliekamas darbo valandomis, netrikdant Paslaugos teikimo ir nepažeidžiant kitų Klientų duomenų konfidencialumo bei Tvarkytojo saugumo;
• auditorius nėra Tvarkytojo konkurentas ir yra įsipareigojęs saugoti konfidencialumą;
• audito išlaidas, įskaitant pagrįstas Tvarkytojo laiko sąnaudas, apmoka Valdytojas.

16.3. Metinis apribojimas netaikomas, kai auditą atlikti reikalauja priežiūros institucija arba kai jis atliekamas dėl Tvarkytojo atsakomybe įvykusio asmens duomenų saugumo pažeidimo; kitos 16.2 punkto sąlygos taikomos tiek, kiek tai suderinama su tokiu reikalavimu.

17. Atsakomybė

17.1. Kiekviena šalis atsako už žalą, padarytą pažeidus BDAR ar šias Sąlygas, pagal BDAR 82 straipsnį ir Lietuvos Respublikos teisę.

17.2. Šalių tarpusavio santykiuose taikomi Paslaugų sąlygų 18 skyriuje nustatyti atsakomybės apribojimai, įskaitant bendrą atsakomybės ribą – Klientui per 12 mėnesių iki žalą sukėlusio įvykio sumokėtų mokesčių sumą. Šie apribojimai neriboja duomenų subjektų teisių pagal BDAR ir netaikomi tyčia ar dėl didelio neatsargumo padarytai žalai.

17.3. Tvarkytojas neatsako už žalą, atsiradusią vykdant Valdytojo nurodymus, dėl Valdytojo pasirinktų Paslaugos nustatymų ar dėl Kliento duomenų teisėtumo.

18. Galiojimas ir pakeitimai

18.1. Sąlygos įsigalioja Sutarties sudarymo momentu ir galioja tol, kol Tvarkytojas tvarko Kliento duomenis.

18.2. Tvarkytojas gali keisti šias Sąlygas Paslaugų sąlygų 21 skyriuje nustatyta tvarka. Subtvarkytojų sąrašo pakeitimams taikoma 10 skyriuje nustatyta tvarka.

18.3. Jei kuri nors Sąlygų nuostata tampa negaliojančia, kitos nuostatos lieka galioti.

18.4. Sąlygoms taikoma Lietuvos Respublikos teisė; ginčai sprendžiami Paslaugų sąlygų 22 skyriuje nustatyta tvarka.

19. Priėmimas ir pasirašymas

19.1. Valdytojas šias Sąlygas priima elektroniniu būdu registracijos metu, pažymėdamas „Sutinku su Paslaugų sąlygomis“ ir pateikdamas registracijos formą. Toks priėmimas yra rašytinė forma, įskaitant elektroninę formą, kaip nurodyta BDAR 28 straipsnio 9 dalyje, ir turi tokią pačią teisinę galią kaip ir pasirašytas dokumentas.

19.2. Registruodamas Įstaigą Valdytojo atstovas patvirtina, kad turi teisę Valdytojo vardu sudaryti šias Sąlygas.

19.3. Tvarkytojas saugo priėmimo įrodymus (datą, laiką, priimtą Sąlygų versiją ir priėmusio asmens duomenis) visą Sutarties galiojimo laikotarpį ir po jos pabaigos – iki ieškinio senaties termino pabaigos.

19.4. Valdytojo prašymu Tvarkytojas pateikia šias Sąlygas pasirašyti kvalifikuotais elektroniniais parašais arba pasirašytą jų egzempliorių. Jei Valdytojas pateikia savo duomenų tvarkymo sutarties formą, ji taikoma tik šalims raštu dėl to susitarus.

20. Kontaktai

20.1. Duomenų apsaugos ir šių Sąlygų klausimais: MB Panda fix, J. Tumo-Vaižganto g. 10-60, LT-89107 Mažeikiai; el. paštas info@pandafix.lt; tel. +370 628 53996.