ARKA privatumo politika

Redakcija: 2026-10-21 · v1.6

ARKA privatumo politika

> Prieš paskelbiant rekomenduojama, kad šią politiką peržiūrėtų teisininkas.

Versija: v1.6 Paskelbta: 2026-10-21 Įsigalioja: 2026-11-21 Paslaugos adresas: https://debesis.pandafix.lt

1. Kas mes

1.1. Paslaugą ARKA teikia ir šioje politikoje aprašytų duomenų valdytojas yra MB Panda fix (toliau – mes):

juridinio asmens kodas: 304935353;
PVM mokėtojo kodas: LT100015079110;
buveinės adresas: J. Tumo-Vaižganto g. 10-60, LT-89107 Mažeikiai;
el. paštas: info@pandafix.lt; tel.: +370 628 53996; pandafix.lt.

1.2. Duomenų apsaugos pareigūno neskiriame, nes pagal BDAR 37 straipsnį tokia pareiga mums netaikoma: nesame valdžios institucija, o mūsų pagrindinė veikla nėra reguliari ir sisteminga didelio masto duomenų subjektų stebėsena ar didelio masto specialiųjų kategorijų duomenų tvarkymas. Duomenų apsaugos klausimais rašykite info@pandafix.lt.

2. Taikymo sritis ir mūsų vaidmenys

2.1. Ši politika paaiškina, kaip tvarkome asmens duomenis pagal Reglamentą (ES) 2016/679 (BDAR) ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą.

2.2. Paslauga skirta tik organizacijoms (B2B). Mes esame duomenų valdytojas, kai tvarkome Klientų (organizacijų) atstovų ir Naudotojų paskyrų, kontaktinius, atsiskaitymo, techninius ir susirašinėjimo duomenis (3 skyrius).

2.3. Mes esame duomenų tvarkytojas, kai saugome failus, kuriuos Klientų Naudotojai įkelia į ARKA. Šių duomenų valdytojas yra Klientas (pvz., darželis, mokykla, įstaiga ar įmonė). Tvarkytojas yra MB Panda fix, kontaktas info@pandafix.lt. Dėl tokių duomenų pirmiausia kreipkitės į atitinkamą organizaciją (4 skyrius).

3. Duomenys, kuriuos tvarkome kaip valdytojas

Tikslas	Duomenys	Teisinis pagrindas	Saugojimo terminas
Registracija ir Sutarties vykdymas, paskyrų administravimas	Kliento pavadinimas, kodas, PVM kodas, adresas; atstovo ir Naudotojų vardas, pavardė, el. paštas, telefonas, rolė (pvz., Direktorius, Administratorius, darbuotojas), slaptažodžio maiša, 2FA nustatymai	Sutarties su Klientu vykdymas ir teisėtas interesas tvarkyti Kliento darbuotojų duomenis Sutarčiai vykdyti (BDAR 6 str. 1 d. b ir f p.)	Sutarties galiojimo laikotarpiu ir 12 mėnesių po jos pabaigos
Sąskaitų išrašymas, apmokėjimų administravimas, priminimai	Rekvizitai, sąskaitų numeriai ir sumos, mokėjimo data, mokėtojo pavadinimas, banko sąskaitos numeris, mokėjimo paslaugų teikėjų (Montonio, Paysera) operacijų duomenys	Teisinė prievolė (buhalterinė apskaita, mokesčiai) ir Sutarties vykdymas (BDAR 6 str. 1 d. b ir c p.)	10 metų nuo ūkinės operacijos dienos (Lietuvos Respublikos buhalterinės apskaitos įstatymas, Lietuvos Respublikos pridėtinės vertės mokesčio įstatymas)
Paslaugos saugumas, piktnaudžiavimo prevencija, incidentų tyrimas	IP adresas, prisijungimo laikas, naršyklės informacija, veiksmų žurnalai (įkėlimai, atsisiuntimai, teisių pakeitimai)	Teisėtas interesas užtikrinti saugumą (BDAR 6 str. 1 d. f p.) ir BDAR 32 str.	Pagal nustatymą „Žurnalo mėnesiai“, numatyta 12 mėnesių. Senesni įrašai ištrinami kasdienės priežiūros metu. Atskiro archyvo incidentui nėra
Paslaugos pranešimai (sąskaitos, priminimai, sustabdymas, sąlygų pakeitimai, techniniai darbai)	El. pašto adresas, vardas, Įstaigos būsena	Sutarties vykdymas (BDAR 6 str. 1 d. b p.)	Sutarties galiojimo laikotarpiu ir 12 mėnesių po jos pabaigos
Užklausos ir pagalba	Vardas, kontaktai, užklausos turinys	Teisėtas interesas atsakyti į užklausas ir Sutarties vykdymas (BDAR 6 str. 1 d. b ir f p.)	2 metus nuo paskutinio susirašinėjimo
Viešos svetainės lankomumo statistika (Umami Cloud)	Apsilankymo puslapio adresas (be užklausos parametrų), šaltinis (nuoroda), apytikslė šalis, regionas ir miestas, įrenginio tipas, naršyklė, operacinė sistema, kalba, ekrano dydis, pseudoniminis sesijos identifikatorius be slapukų	Teisėtas interesas suprasti bendrą viešos svetainės lankomumą ir ją tobulinti (BDAR 6 str. 1 d. f p.)	Pagal Umami Cloud plano saugojimo terminą; ataskaitose naudojame tik apibendrintus skaičius
Reikalavimų gynimas	Su ginču susiję duomenys	Teisėtas interesas (BDAR 6 str. 1 d. f p.)	Iki ginčo išsprendimo ir ieškinio senaties termino pabaigos

3.1. Tiesioginės rinkodaros pranešimų nesiunčiame. Jei ateityje juos siųstume, tai darytume tik gavę išankstinį jūsų sutikimą, kurį bet kada galėsite atšaukti.

3.2. Duomenis gauname iš Kliento atstovo registracijos metu, iš Kliento administratorių (kai jie pakviečia Naudotojus), iš pačių Naudotojų, iš bankų ir mokėjimo paslaugų teikėjų bei automatiškai, kai naudojatės Paslauga.

4. Klientų įkeliami failai

4.1. Klientų įkeliamus failus saugome tik Kliento vardu ir pagal jo nurodymus, kaip numatyta ARKA duomenų tvarkymo sąlygose (ARKA paslaugų sąlygų Priedas Nr. 1). Failų turinio savo tikslais neperžiūrime ir nenaudojame.

4.2. Failai saugomi MB Panda fix valdomame failų serveryje. Teikėjas nurodo, kad serveris yra Lietuvoje. Programa šios vietos nepatikrina. Viešas adresas – https://debesis.pandafix.lt – talpinamas Grok Build platformoje; programos svetainė ir serverio funkcijos veikia Vercel infrastruktūroje (5.1 p.). Iki failų serverio ir ONLYOFFICE dokumentų serverio programa jungiasi per Cloudflare tunelį (cloudflared). Failų turinys programoje atskiru raktu nešifruojamas. Jei Klientas užsako atsarginių kopijų papildomą paslaugą, kopiją prašoma daryti Restic arba Kopia priemone į Teikėjo diską. Backblaze B2 ir Hetzner kviečiami tik tada, kai administratorius pats įrašo raktus. Google Workspace Drive kopijų nesiunčiame. Jei agentas kopijos padaryti negali, saugomas duomenų bazės išrašas, kuris neapima visų diske esančių failų.

4.3. Dėl failuose esančių savo duomenų (pvz., ugdytinio, tėvų ar darbuotojo duomenų) kreipkitės į atitinkamą organizaciją. Jei kreipsitės į mus, prašymą ne vėliau kaip per 5 darbo dienas perduosime Klientui.

4.4. Naudotojo ištrintas failas numatytai 30 dienų lieka šiukšlinėje (terminą galima keisti nuo 1 iki 3650 dienų), paskui iki 60 dienų – administratoriaus šiukšlinėje, ir tik tada įrašas ištrinamas iš duomenų bazės. Failas diske gali likti, kol jį pašalina serverio agentas. Nutraukus Sutartį automatinio visos įstaigos ištrynimo nėra. Teikėjas įstaigą ištrina rankiniu būdu sąsajoje, įrašęs jos pavadinimą: tada šalinami tos įstaigos naudotojai ir failų įrašai, o PVM sąskaitos lieka apskaitoje. Apie ištrynimą Klientą informuojame el. paštu, kai tai darome. Atsarginėse kopijose duomenys lieka, kol baigiasi tos kopijos ciklas arba Teikėjas kopiją ištrina.

5. Duomenų gavėjai ir tvarkytojai

5.1. Duomenų neparduodame. Duomenis perduodame tik tiek, kiek būtina:

Gavėjas	Paskirtis	Vieta	Vaidmuo
Vercel Inc.	Svetainės ir serverio funkcijų talpinimas. Failų turinio diske nelaiko	Vercel tinklas, įskaitant JAV	Tvarkytojas
Cloudflare, Inc.	Tunelis iki failų serverio ir ONLYOFFICE. Turnstile – tik jei administratorius įrašo raktus. Failų pastoviai nesaugo	Pasaulinis tinklas, įskaitant JAV	Tvarkytojas
Neon (Postgres)	Duomenų bazė, kai serveryje nustatyta DATABASE_URL	Diegimo regionas; programa jo nepatikrina. Bendrovė – JAV	Tvarkytojas, kai bazė prijungta
Microsoft Ireland Operations Limited (Microsoft 365, smtp.office365.com)	Laiškai tik tada, kai administratorius įjungia siuntimą. Numatytai siuntimas išjungtas	Numatyta ES	Tvarkytojas, kai siuntimas įjungtas
Montonio Finance UAB, Paysera LT UAB, tik jei administratorius įrašo raktus, ir bankai	Mokėjimų vykdymas	Paslaugos teikėjo vieta	Savarankiški valdytojai, kai mokėjimas įjungtas
Umami Software, Inc. (Umami Cloud)	Viešos svetainės lankomumo statistika be slapukų, tik viešuose pradžios ir registracijos puslapiuose debesis.pandafix.lt	Duomenys saugomi ES regione (pasirinktas paskyroje). Bendrovė – JAV	Tvarkytojas
Valstybės institucijos (pvz., VMI, teisėsaugos institucijos, teismai)	Teisės aktų reikalavimų vykdymas	Lietuva arba kita institucijos valstybė	Savarankiški valdytojai

5.1.1. Word (.docx) dokumentai, priklausomai nuo įstaigos nustatymo, redaguojami ARKA Docs redaktoriuje (veikia programoje ir jūsų naršyklėje, dokumentai lieka failų serveryje) arba ONLYOFFICE. Skaičiuoklės, pateiktys ir PDF atidaromi ONLYOFFICE. ONLYOFFICE dokumentų serverį paleidžiame savo failų serveryje. Kol jis nėra perkeltas pas trečiąją šalį, ONLYOFFICE nėra subtvarkytojas. Backblaze B2 ir Hetzner numatytai nenaudojami ir subtvarkytojai tampa tik administratorui įrašius raktus. Google Workspace atsarginėms kopijoms nenaudojame.

5.2. Su tvarkytojais sudarome arba taikome duomenų tvarkymo sutartis, atitinkančias BDAR 28 straipsnio reikalavimus.

6. Duomenų perdavimas už EEE ribų

6.1. Failai saugomi Teikėjo serveryje. Teikėjas nurodo, kad tai Lietuva; programa regiono nepriverčia. Perdavimas už Europos ekonominės erdvės (EEE) ribų galimas šiais atvejais:

Vercel Inc. (JAV) – svetainės programa. Failų turinio diske nelaiko. Taikoma ES ir JAV duomenų privatumo sistema ir standartinės sutarčių sąlygos;
Cloudflare, Inc. (JAV) – tunelis iki failų serverio. Failų turinio pastoviai nesaugo. Taikomas Europos Komisijos sprendimas dėl tinkamumo pagal ES ir JAV duomenų privatumo sistemą ir standartinės sutarčių sąlygos;
Neon – duomenų bazė, kai nustatyta DATABASE_URL. Regioną parenka diegimas; jei jis už EEE, taikomos Neono sąlygos ir standartinės sutarčių sąlygos;
Microsoft Ireland Operations Limited – tik kai įjungtas laiškų siuntimas. Duomenys tvarkomi pagal Microsoft sąlygas; jei dalis duomenų išeitų už EEE, taikoma ES ir JAV duomenų privatumo sistema ir standartinės sutarčių sąlygos.

Umami Software, Inc. (JAV) – viešos svetainės lankomumo statistika. Analitikos duomenys saugomi ES regione, tačiau bendrovė registruota JAV, todėl duomenys gali būti pasiekiami iš JAV (pvz., palaikymo ar saugumo žurnalų atveju). Taikoma Umami duomenų tvarkymo sutartis (DPA) su standartinėmis sutarčių sąlygomis.

Google Ireland Limited atsarginėms kopijoms nenaudojamas.

7. Duomenų saugumas

7.1. Taikome šias priemones, kurias programa realiai vykdo: slaptažodžių scrypt maiša su druska; prisijungimo užraktas po 10 nesėkmių; 2FA (TOTP) – savanoriška, kiekvienas naudotojas ją įjungia savo paskyros nustatymuose, o privaloma tampa tik kai įstaiga ar platformos administratorius tai aiškiai įjungia; 2FA raktas serveryje saugomas užšifruotas (AES-256-GCM), kai nustatytas programos slaptas raktas; atsarginiai kodai rodomi vieną kartą ir saugomi tik kaip maiša; po 5 neteisingų kodų per 15 min. kodų įvedimas 15 min. užrakinamas, tas pats kodas antrą kartą nepriimamas; rolių teisės ir įstaigų atskyrimas; sesija 30 dienų, slapukas HttpOnly ir SameSite=Lax, Secure – kai ryšys HTTPS; kryžminių tinklalapių užklausų atmetimas; veiksmų žurnalas. Ryšys skirtas HTTPS adresu. TLS versiją (1.2 ar naujesnę) programa nepatikrina. Failų turinio diske nešifruojame ir negalime patvirtinti, kad diskas užšifruotas BitLocker. Išsamus sąrašas – duomenų tvarkymo sąlygose v1.5 ir Nustatymų saugumo audite.

7.2. Įvykus asmens duomenų saugumo pažeidimui, kai esame valdytojas, apie jį VDAI pranešame žmonių procedūra ne vėliau kaip per 72 valandas nuo sužinojimo, o jei pažeidimas gali kelti didelį pavojų – ir paveiktiems asmenims. Kai esame tvarkytojas, apie pažeidimą pranešame Klientui el. paštu info@pandafix.lt nepagrįstai nedelsdami, bet ne vėliau kaip per 48 valandas nuo sužinojimo. Programa automatinio pranešimo inspekcijai nesiunčia.

8. Jūsų teisės

8.1. Turite teisę:

susipažinti su savo duomenimis;
reikalauti ištaisyti netikslius duomenis;
reikalauti ištrinti duomenis, kai nėra pagrindo jų toliau tvarkyti;
reikalauti apriboti tvarkymą;
į duomenų perkeliamumą (kai duomenys tvarkomi pagal sutartį ar sutikimą automatizuotomis priemonėmis);
nesutikti su tvarkymu, kai jis grindžiamas teisėtu interesu;
atšaukti sutikimą, jei tvarkymas grindžiamas sutikimu.

8.2. Prašymus siųskite info@pandafix.lt. Atsakome per 1 mėnesį; šis terminas gali būti pratęstas dar 2 mėnesiams, jei prašymas sudėtingas ar prašymų daug, apie tai jus informuojant. Galime paprašyti patvirtinti tapatybę.

8.3. Automatizuotų sprendimų, įskaitant profiliavimą, kurie jums sukeltų teisinių pasekmių ar panašų reikšmingą poveikį, nepriimame.

9. Teisė pateikti skundą

9.1. Jei manote, kad jūsų duomenys tvarkomi pažeidžiant teisės aktus, pirmiausia kreipkitės į mus. Taip pat turite teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai (VDAI): L. Sapiegos g. 17, LT-10312 Vilnius, el. paštas ada@ada.lt, tel. +370 5 271 2804, www.vdai.lrv.lt.

10. Slapukai

10.1. ARKA prisijungimui naudoja būtinąjį slapuką grok-auth.session_token. Jis yra HttpOnly ir SameSite=Lax. Kai puslapis atidaromas per HTTPS, slapukui pridedama Secure žyma. Sesija galioja 30 dienų ir atnaujinama, jei naudotojas jungiasi bent kartą per dieną. Trumpas grok-auth.session_data slapukas (iki 5 min.) laiko pasirašytą sesijos santrauką ir taip pat yra HttpOnly.

10.2. Svetainė pati Cloudflare slapuko __cf_bm nenustato. Jei administratorius įjungia Turnstile, roboto patikros skriptas kraunamas iš challenges.cloudflare.com.

10.3. Analitikos ir rinkodaros slapukų nenaudojame. Google Analytics, Meta Pixel ir panašių reklaminių sekiklių nėra. Vienintelis trečiosios šalies analitikos įrankis – Umami Cloud (10.5 p.), veikiantis be slapukų. Būtiniems prisijungimo slapukams sutikimo juosta nerodoma.

10.4. Viešų puslapių lankomumą (pandafix.lt ir debesis.pandafix.lt vieša dalis) skaičiuojame patys savo sistemoje (be trečiųjų šalių), be slapukų. Programos, dokumentų redaktorių, paskyros ir bendrinimo puslapiai neskaičiuojami. IP adresas nėra saugomas: iš jo, naršyklės ir kasdien pasikeičiančios druskos suskaičiuojamas anoniminis kodas, kuris kitą dieną nebesiejamas su ankstesniu. Renkame peržiūros kelią, šaltinį (nuoroda, UTM), šalį ir miestą, jei juos praneša talpinimo tinklas, įrenginio tipą, naršyklę, operacinę sistemą, kalbą ir puslapio pavadinimą, taip pat paspaudimus ant registracijos, plano pasirinkimo, kontaktų ir atsisiuntimo mygtukų. Apsilankymui susieti naršyklės sesijos saugykloje (sessionStorage) laikomas atsitiktinis identifikatorius, kuris išnyksta uždarius naršyklės skirtuką. Šie įrašai automatiškai ištrinami po 426 dienų (apie 14 mėnesių). Nerenkame el. pašto, vardo ar failų pavadinimų. Jei naršyklė siunčia Do Not Track arba Global Privacy Control, apsilankymas neskaičiuojamas. Prisijungus matoma tik suvestinė naudojimo statistika (naudotojai, vieta, aktyvumas), be kitos įstaigos duomenų.

10.5. Umami Cloud. Viešuose pradžios ir registracijos puslapiuose https://debesis.pandafix.lt (ne prisijungus, ne programoje, ne dokumentų redaktoriuose ir ne bendrinimo nuorodose) naudojame Umami Cloud lankomumo statistiką, kurią teikia Umami Software, Inc. Tikslas – apibendrinta lankomumo statistika (kiek apsilankymų, iš kur ateinama, kokie įrenginiai). Teisinis pagrindas – teisėtas interesas (BDAR 6 str. 1 d. f p.). Umami nenaudoja slapukų ir nesaugo vietinėje naršyklės saugykloje jokių identifikatorių. Pagal Umami dokumentaciją IP adresas analitikos įrašuose nesaugomas: jis trumpam panaudojamas apytikslei vietai nustatyti ir pseudoniminiam sesijos identifikatoriui apskaičiuoti (iš svetainės identifikatoriaus, IP adreso, naršyklės duomenų ir periodiškai keičiamos druskos), tačiau gali trumpai patekti į Umami ar jo infrastruktūros teikėjų techninius ir saugumo žurnalus. Analitikos duomenys saugomi Umami Cloud ES regione. Puslapio adreso užklausos parametrų ir žymų (# dalies) nesiunčiame, automatinis sekimas išjungtas – siunčiama tik viena viešo puslapio peržiūra. Jei naršyklė siunčia Do Not Track arba Global Privacy Control signalą, Umami skriptas visai neįkeliamas. Galite nesutikti su šiuo tvarkymu (8.1 p.), įjungę Do Not Track / Global Privacy Control arba parašę info@pandafix.lt. Daugiau: https://umami.is/privacy ir https://umami.is/dpa.

10.6. Programos įdiegimas (PWA) ir naršyklės talpykla. Jei ARKA įdiegiama kaip programa arba atidaroma palaikančioje naršyklėje, jūsų įrenginyje saugomi tik statiniai programos failai (programos kodas, stiliai, ikonos ir puslapis „Nėra ryšio“), kad programa greičiau atsidarytų ir atnaujėtų. Failų, dokumentų, paskyros duomenų, prisijungimo atsakymų ir prisijungus matomų puslapių šioje talpykloje nesaugome. Jei atsisakote pasiūlymo įdiegti programą, naršyklės vietinėje saugykloje įrašoma tik žyma, kad pasiūlymo daugiau nerodytume. Talpyklą galite išvalyti naršyklės nustatymuose arba pašalinę programą.

11. Politikos pakeitimai

11.1. Politiką galime atnaujinti. Apie esminius pakeitimus Klientus informuojame el. paštu ir Paslaugoje ne vėliau kaip prieš 30 dienų. Galiojanti versija skelbiama https://debesis.pandafix.lt.

12. Kontaktai

12.1. MB Panda fix, J. Tumo-Vaižganto g. 10-60, LT-89107 Mažeikiai; info@pandafix.lt; +370 628 53996. Sąskaitų klausimais: saskaitos@pandafix.lt.

13. Trečiųjų šalių komponentai

13.1. ARKA paslauga naudoja trečiųjų šalių atvirojo kodo ir kitus komponentus (įskaitant ONLYOFFICE Docs ir 7-Zip), kurie naudojami pagal jų licencijas. Sąrašas ir licencijos: Teisinė informacija.