Privatumo politika

1. Bendrosios nuostatos

1.1. Ši privatumo politika nustato tvarką, kuria SIA SAM MARTIN GROYP, registracijos Nr. 40203520646, juridinis adresas: Matīsa iela 16-2, Ryga, Latvija, LV-1001 (toliau – Duomenų valdytojas), tvarko fizinių asmenų asmens duomenis pagal Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 (Bendrasis duomenų apsaugos reglamentas, BDAR/GDPR), Latvijos fizinių asmenų duomenų tvarkymo įstatymą ir kitus taikomus asmens duomenų apsaugos srities teisės aktus.

1.2. Šios privatumo politikos tikslas – pateikti duomenų subjektams aiškią, skaidrią ir teisiškai tikslią informaciją apie asmens duomenų tvarkymo tikslus, teisinius pagrindus, asmens duomenų kategorijas, saugojimo terminus, asmens duomenų gavėjus, duomenų perdavimą už Europos Sąjungos ar Europos ekonominės erdvės ribų, duomenų subjektų teises, taip pat bendravimo su Duomenų valdytoju tvarką.

1.3. Duomenų valdytojas veikia informacinių technologijų srityje ir savo ūkinės veiklos metu gali kurti, prižiūrėti ir administruoti svetaines, programinės įrangos sprendimus, serverius, prieglobos aplinką, atsarginių kopijų sprendimus, el. pašto infrastruktūrą, techninės pagalbos sistemas ir kitas skaitmenines paslaugas klientams.

1.4. Priklausomai nuo konkrečios paslaugos pobūdžio, Duomenų valdytojas gali veikti tiek kaip asmens duomenų valdytojas, tiek kaip asmens duomenų tvarkytojas kliento vardu, jei klientas nustato asmens duomenų tvarkymo tikslus ir priemones.

1.5. Jei Duomenų valdytojas klientui teikia serverių priežiūros, prieglobos, sistemų administravimo, atsarginio kopijavimo, incidentų analizės, el. pašto infrastruktūros, debesijos paslaugas, naudotojų palaikymą ar kitas technines paslaugas, jis gali tvarkyti asmens duomenis tiek, kiek reikia paslaugai teikti, saugumui ir tęstinumui užtikrinti bei sutartiniams įsipareigojimams vykdyti.

1.6. Duomenų valdytojo paslaugos, svetainės ir su jais susijusios informacinės visuomenės paslaugos skirtos tik pilnamečiams asmenims (nuo 18 metų). Duomenų valdytojas sąmoningai nerenka ir netvarko vaikų asmens duomenų, jei paslauga tiesiogiai siūloma vaikams, ir imasi proporcingų priemonių, kad apribotų paslaugų naudojimą nepilnamečių veiksmams be teisėto pagrindo.

1.7. Jei Duomenų valdytojas nustato, kad paslaugomis faktiškai naudojasi jaunesnis nei 18 metų asmuo ir nėra teisinio pagrindo duomenims tvarkyti (pavyzdžiui, teisėto atstovo sutikimo), Duomenų valdytojas gali ištrinti duomenis ar paversti juos anonimiškais, taip pat apriboti tokio asmens tolesnę prieigą prie paslaugų.

2. Duomenų valdytojo ir ryšio informacija

2.1. Asmens duomenų valdytojas yra SIA SAM MARTIN GROYP, registracijos Nr. 40203520646, juridinis adresas: Matīsa iela 16-2, Ryga, Latvija, LV-1001.

2.2. El. paštas bendravimui asmens duomenų tvarkymo klausimais: [email protected].

2.3. Su šia privatumo politika, asmens duomenų tvarkymu, duomenų subjekto teisių įgyvendinimu, prašymų nagrinėjimu ar asmens duomenų apsauga susijusiais klausimais duomenų subjektas gali kreiptis į Duomenų valdytoją, rašydamas adresu [email protected].

3. Duomenų valdytojo vaidmuo tvarkant duomenis

3.1. Duomenų valdytojas tvarko asmens duomenis kaip savarankiškas valdytojas tais atvejais, kai pats nustato asmens duomenų tvarkymo tikslus ir priemones, pavyzdžiui, tvarkydamas bendradarbiavimo partnerių, klientų kontaktinių asmenų, tiekėjų, potencialių klientų, svetainės lankytojų, apskaitos dokumentų ir komunikacijos duomenis.

3.2. Duomenų valdytojas taip pat gali veikti kaip asmens duomenų tvarkytojas BDAR 28 straipsnio prasme, jei klientas yra asmens duomenų valdytojas, o Duomenų valdytojas kliento pavedimu užtikrina IT infrastruktūrą, svetainės talpinimą, duomenų bazių priežiūrą, serverių administravimą, techninę stebėseną, duomenų saugojimą, atsarginį kopijavimą, sistemų priežiūrą ar kitas susijusias technines paslaugas.

3.3. Kai Duomenų valdytojas veikia kaip tvarkytojas, asmens duomenys tvarkomi pagal sutartį su klientu, dokumentuotus kliento nurodymus ir taikomų teisės aktų reikalavimus.

3.4. Jei pagal konkretų bendradarbiavimo modelį Duomenų valdytojas ir klientas bendrai nustato asmens duomenų tvarkymo tikslus ar esmines priemones, šalių tarpusavio santykiai gali būti sureguliuoti kaip bendrų valdytojų santykiai pagal BDAR reikalavimus.

4. Asmens duomenų kategorijos

4.1. Priklausomai nuo teikiamos paslaugos, bendradarbiavimo pobūdžio ir tvarkymo tikslo, Duomenų valdytojas gali tvarkyti šias asmens duomenų kategorijas:

4.1.1. tapatybės duomenis, pavyzdžiui, vardą, pavardę, asmens pareigas ar atstovavimo statusą;

4.1.2. kontaktinę informaciją, pavyzdžiui, el. pašto adresą, telefono numerį, korespondencijos adresą, įmonės pavadinimą ir kitą ryšio informaciją;

4.1.3. sutarčių ir atsiskaitymų duomenis, pavyzdžiui, sutarčių turinį, užsakymų informaciją, sąskaitas, mokėjimo informaciją, bendradarbiavimo istoriją ir kitą su paslaugos teikimu susijusią informaciją;

4.1.4. komunikacijos duomenis, pavyzdžiui, el. laiškų korespondenciją, pagalbos prašymus, užklausas, incidentų pranešimus, pokalbių pokalbių istoriją, skambučių užrašus ir kitus komunikacijos įrašus;

4.1.5. techninius duomenis, pavyzdžiui, IP adresą, įrenginio identifikatorius, naršyklės parametrus, autentifikavimo informaciją, prisijungimo laikus, sesijų informaciją, sistemos įvykių žurnalus, klaidų įrašus ir saugumo įvykių informaciją;

4.1.6. svetainės ir paslaugos naudojimo duomenis, pavyzdžiui, naudotojo veiksmus techninėje aplinkoje, prisijungimo faktus, administracinius veiksmus, konfigūracijos pakeitimus, prieigos teisių pakeitimus, sistemų audito įrašus ir kitus naudojimo duomenis;

4.1.7. serverių, prieglobos ir infrastruktūros veiklos duomenis, pavyzdžiui, žurnalo failus, išteklių naudojimo informaciją, atsarginių kopijų informaciją, stebėsenos ir prieinamumo monitoringo duomenis, incidentų diagnostikos duomenis ir paslaugos tęstinumo duomenis;

4.1.8. klientų galutinių naudotojų duomenis, kiek jie patenka į Duomenų valdytojo žinią teikiant prieglobos, sistemų administravimo, el. pašto, atsarginio kopijavimo, duomenų bazių priežiūros, svetainių priežiūros ar kitas technines paslaugas klientų interesais ir pagal kliento nurodymus;

4.1.9. kitus asmens duomenis, kuriuos duomenų subjektas ar klientas pateikia Duomenų valdytojui bendradarbiavimo, užklausos, sutarties vykdymo ar paslaugos teikimo metu.

4.2. Duomenų valdytojas tvarko tik tuos asmens duomenis, kurie yra tinkami, adekvatūs ir būtini konkrečiam tikslui pasiekti, laikydamasis duomenų kiekio mažinimo ir atskaitomybės principų.

5. Asmens duomenų gavimo šaltiniai

5.1. Asmens duomenys daugiausia gaunami tiesiogiai iš duomenų subjekto, kliento, bendradarbiavimo partnerio ar jų įgaliotų atstovų, pavyzdžiui, sudarant sutartį, pildant paraiškų formas, teikiant užklausas, siunčiant el. laiškus ar naudojantis Duomenų valdytojo teikiamomis paslaugomis.

5.2. Asmens duomenys taip pat gali būti gaunami iš viešai prieinamų registrų, kliento naudojamų informacinių sistemų, techninės infrastruktūros, serverių žurnalų, monitoringo sprendimų, atsarginio kopijavimo sistemų, autentifikavimo sistemų ir kitų paslaugai teikti reikalingų techninių šaltinių, kiek tai teisėta ir būtina.

5.3. Jei Duomenų valdytojas veikia kaip asmens duomenų tvarkytojas, asmens duomenys gali būti gaunami iš kliento arba kliento naudojamų sistemų, infrastruktūros ir paslaugų, kurias Duomenų valdytojas techniškai prižiūri ar administruoja kliento pavedimu.

6. Asmens duomenų tvarkymo tikslai

6.1. Duomenų valdytojas gali tvarkyti asmens duomenis šiais tikslais:

6.1.1. klientų, tiekėjų ir bendradarbiavimo partnerių identifikavimui ir bendradarbiavimo pradžiai;

6.1.2. sutarčių rengimui, sudarymui, vykdymui, administravimui ir nutraukimui;

6.1.3. klientų užklausų, konsultacijų, paraiškų ir techninės pagalbos klausimų tvarkymui;

6.1.4. svetainių, programėlių, serverių, prieglobos paslaugų, duomenų bazių, el. pašto sprendimų, API, integracijų ir kitos IT infrastruktūros priežiūrai ir administravimui;

6.1.5. prieigos teisių suteikimui, autentifikavimui, autorizavimui ir naudotojų paskyrų valdymui;

6.1.6. sistemų veikimo stebėsenai, klaidų šalinimui, našumo analizei, saugumo stebėsenai, incidentų tyrimui ir techninės aplinkos stabilumui užtikrinti;

6.1.7. atsarginių kopijų kūrimui, atkūrimui, duomenų atgavimui ir veiklos tęstinumui užtikrinti;

6.1.8. informacijos ir kibernetinio saugumo rizikų valdymui, neteisėtos prieigos prevencijai, saugumo auditui atlikti ir paslaugoms apsaugoti;

6.1.9. apskaitos, mokesčių, teisinių pareigų, reikalavimų, įrodymų ir vidaus valdymo užtikrinimui;

6.1.10. statistikos, kokybės kontrolės, paslaugų gerinimo, sistemų optimizavimo ir naudojimo analizės atlikimui;

6.1.11. teisės aktuose nustatytoms pareigoms vykdyti, įskaitant bendradarbiavimą su valstybės ir savivaldybių institucijomis, teisėsaugos institucijomis ir priežiūros institucijomis;

6.1.12. komercinei komunikacijai užtikrinti, kiek tai leidžiama pagal taikomus teisės aktus ir, jei reikia, gavus atitinkamą sutikimą.

6.2. Duomenų valdytojas gali siųsti komercinius pranešimus apie savo paslaugas esamiems klientams teisėto intereso pagrindu, laikydamasis Latvijos informacinės visuomenės paslaugų įstatymo reikalavimų ir užtikrindamas kiekviename pranešime paprastą galimybę atsisakyti (pavyzdžiui, „unsubscribe“ nuoroda arba kreipimasis adresu [email protected]).

6.3. Jei komercinė komunikacija grindžiama duomenų subjekto sutikimu, duomenų subjektas turi teisę bet kada atšaukti sutikimą pasinaudodamas gautame pranešime nurodytu atsisakymo mechanizmu.

7. Asmens duomenų tvarkymo teisiniai pagrindai

7.1. Priklausomai nuo konkrečios situacijos, asmens duomenų tvarkymo teisinis pagrindas gali būti:

7.1.1. sutarties sudarymas ir vykdymas arba veiksmų atlikimas duomenų subjekto prašymu prieš sudarant sutartį pagal BDAR 6 straipsnio 1 dalies b) punktą;

7.1.2. Duomenų valdytojui privalomos teisinės pareigos vykdymas pagal BDAR 6 straipsnio 1 dalies c) punktą;

7.1.3. Duomenų valdytojo ar trečiosios šalies teisėti interesai pagal BDAR 6 straipsnio 1 dalies f) punktą, pavyzdžiui, susiję su tinklų ir informacijos sauga, reikalavimų gynyba, paslaugų kokybės užtikrinimu, techniniu stabilumu, sukčiavimo prevencija, sistemų auditu ir verslo organizavimu;

7.1.4. duomenų subjekto sutikimas pagal BDAR 6 straipsnio 1 dalies a) punktą, jei konkrečiu atveju duomenys tvarkomi sutikimo pagrindu, pavyzdžiui, siunčiant tam tikrus rinkodaros pranešimus ar naudojant nebūtinus slapukus.

7.2. Jei Duomenų valdytojas veikia kaip asmens duomenų tvarkytojas kliento vardu, asmens duomenys tvarkomi remiantis dokumentuotais kliento nurodymais ir sutartimi, laikantis BDAR 28 straipsnio reikalavimų ir sudarant atitinkamą duomenų tvarkymo sutartį (DPA).

8. Specialios nuostatos IT paslaugoms ir prieglobos aplinkai

8.1. Teikdamas svetainių prieglobą, virtualius ar fizinius serverius, duomenų bazių priežiūrą, el. pašto infrastruktūrą, sistemų administravimą, debesijos paslaugas ar kitas IT paslaugas, Duomenų valdytojas gali tvarkyti techninius ir su naudojimu susijusius asmens duomenis, atsirandančius paslaugos veikimo metu, įskaitant prieigos duomenis, sistemų žurnalus ir saugumo įvykių įrašus.

8.2. Siekdamas užtikrinti sistemų saugumą, prieinamumą, vientisumą ir stabilumą, Duomenų valdytojas gali atlikti tinklo srauto stebėseną, serverių apkrovos monitoringą, klaidų diagnostiką, atsarginį kopijavimą, avarinį atkūrimą, pažeidžiamumų vertinimą, konfigūracijų peržiūrą ir kitas proporcingas technines saugumo priemones.

8.3. Techninių incidentų, kibernetinio saugumo grėsmių, neteisėtų bandymų prisijungti, paslaugos sutrikimų ar sistemos klaidų atveju Duomenų valdytojas gali pasiekti atitinkamą techninę informaciją ir ribotu mastu asmens duomenis, kiek tai objektyviai būtina incidentui nustatyti, išanalizuoti, pašalinti ir dokumentuoti.

8.4. Jei kliento užsakyta paslauga apima kliento svetainių, duomenų bazių, el. pašto dėžučių, naudotojų paskyrų ar kitų sistemų priežiūrą, Duomenų valdytojas gali techniškai tvarkyti jose esančius asmens duomenis tik tiek, kiek reikia paslaugos veikimui, saugumui, atsarginiam kopijavimui, perkėlimui, migracijai, atkūrimui ar problemų šalinimui užtikrinti.

8.5. Duomenų valdytojas nenustato klientų galutinių naudotojų duomenų tvarkymo tikslų, nebent iš konkretaus bendradarbiavimo esmės ar teisės aktų išplaukia kitaip; tokiais atvejais klientas paprastai laikomas valdytoju, o Duomenų valdytojas – tvarkytoju.

8.6. Duomenų valdytojas gali naudotis subtvarkytojais, pavyzdžiui, duomenų centrų, prieglobos, debesijos paslaugų, el. pašto, monitoringo, atsarginio kopijavimo, kibernetinio saugumo ar infrastruktūros paslaugų teikėjais, jei to reikia paslaugai teikti ir laikomasi atitinkamų duomenų apsaugos reikalavimų.

9. Slapukai ir panašios technologijos

9.1. Jei Duomenų valdytojo svetainėje ar klientui teikiamuose sprendimuose naudojami slapukai ar panašios technologijos, jie gali būti naudojami svetainės pagrindinėms funkcijoms, saugumui, sesijų valdymui, naudotojų autentifikavimui, kalbos pasirinkimo išsaugojimui, analitikai, veikimo gerinimui ar kitoms techniškai būtinoms funkcijoms užtikrinti.

9.2. Naudotojas turi gauti aiškią ir išsamią informaciją apie slapukų naudojimo tikslus, o kai to reikalauja taikomi teisės aktai, užtikrinama galimybė duoti arba atsisakyti duoti sutikimą dėl atitinkamų slapukų naudojimo.

9.3. Nebūtinų slapukų naudojimas gali būti grindžiamas duomenų subjekto sutikimu, o techniškai būtini slapukai gali būti naudojami elektroninių paslaugų veikimui ir saugumui užtikrinti pagal taikomą reguliavimą.

10. Asmens duomenų saugojimo terminai

10.1. Duomenų valdytojas saugo asmens duomenis ne ilgiau, nei reikia atitinkamam asmens duomenų tvarkymo tikslui pasiekti, sutartiniams įsipareigojimams vykdyti, teisėms ginti ar teisės aktuose nustatytoms pareigoms vykdyti.

10.2. Saugojimo terminai gali skirtis priklausomai nuo duomenų kategorijos ir tikslo, pavyzdžiui, sutarčių duomenys, apskaitos dokumentai, techniniai žurnalai, atsarginės kopijos, prieigos įrašai, pagalbos prašymai ir saugumo incidentų duomenys gali būti saugomi skirtingais terminais, atsižvelgiant į teisinį pagrindą, techninį poreikį, saugumo aspektus ir teisės aktų reikalavimus.

10.3. Atsarginėse kopijose esantys asmens duomenys gali būti saugomi iki kitų atsarginio kopijavimo ciklų arba ilgiau, jei to reikia sistemoms atkurti, incidentams tirti, veiklos tęstinumui užtikrinti ar teisės aktų reikalavimams vykdyti.

10.4. Kai asmens duomenų nebereikia atitinkamam tikslui pasiekti, jie ištrinami, anonimizuojami, perrašomi arba archyvuojami pagal taikomas teisės normas ir technines galimybes.

11. Asmens duomenų gavėjai

11.1. Asmens duomenys gali būti atskleisti Duomenų valdytojo darbuotojams, įgaliotiems asmenims ir bendradarbiavimo partneriams tik tiek, kiek reikia darbo pareigoms ar sutartiniams įsipareigojimams vykdyti, laikantis konfidencialumo principo ir taikant tinkamas saugumo priemones.

11.2. Asmens duomenys gali būti perduodami asmens duomenų tvarkytojams ar subtvarkytojams, pavyzdžiui, prieglobos, duomenų centrų, debesijos paslaugų, atsarginio kopijavimo, el. pašto, kibernetinio saugumo, apskaitos, teisinių, klientų aptarnavimo, monitoringo, dokumentų valdymo ar kitų susijusių paslaugų teikėjams, kiek tai būtina paslaugoms užtikrinti.

11.3. Teisės aktuose numatytais atvejais asmens duomenys gali būti perduoti valstybės ir savivaldybių institucijoms, teismams, teisėsaugos institucijoms, priežiūros institucijoms ar kitiems asmenims, jei tokia pareiga kyla iš teisės aktų arba yra būtina Duomenų valdytojo teisėms, teisėtiems interesams ar saugumui apginti.

12. Duomenų perdavimas už Europos Sąjungos ar EEE ribų

12.1. Jei teikiant paslaugas asmens duomenys perduodami už Europos Sąjungos ar Europos ekonominės erdvės ribų, Duomenų valdytojas užtikrina, kad toks perdavimas vyktų tik laikantis taikomų BDAR reikalavimų ir taikant tinkamus duomenų apsaugos mechanizmus.

12.2. Tokie mechanizmai gali apimti Europos Komisijos sprendimą dėl apsaugos lygio tinkamumo, standartines sutarčių sąlygas, įpareigojančias įmonės taisykles ar kitas BDAR pripažintas asmens duomenų apsaugos priemones.

13. Asmens duomenų sauga

13.1. Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kad apsaugotų asmens duomenis nuo neteisėto ar neleistino tvarkymo, netyčinio praradimo, sunaikinimo, sugadinimo, atskleidimo ar neteisėtos prieigos.

13.2. Priklausomai nuo konkrečios paslaugos pobūdžio, šios priemonės gali apimti prieigos kontrolę, naudotojų autentifikavimą, prieigos teisių valdymą, tinklo segmentavimą, duomenų šifravimą, užkardas, atsarginį kopijavimą, įvykių žurnalavimą, pažeidžiamumų valdymą, programinės įrangos atnaujinimą, incidentų valdymą, darbuotojų konfidencialumo įsipareigojimus ir kitas proporcingas saugumo priemones.

13.3. Duomenų valdytojas, įvertinęs riziką fizinių asmenų teisėms ir laisvėms, įgyvendina saugumo priemones pagal BDAR 32 straipsnyje nustatytą saugumo lygį.

13.4. Jei Duomenų valdytojas nustato asmens duomenų saugumo pažeidimą, jis veikia pagal taikomą teisinį reguliavimą, įskaitant įvertina pareigą pranešti priežiūros institucijai ir, jei reikia, taip pat paveiktiems duomenų subjektams.

14. Duomenų subjekto teisės

14.1. Duomenų subjektas turi teisę prašyti prieigos prie savo asmens duomenų, jų ištaisymo, ištrynimo, tvarkymo apribojimo, nesutikti su tvarkymu, taip pat pasinaudoti teise į duomenų perkeliamumą, kiek tokios teisės kyla iš taikomų teisės aktų.

14.2. Jei asmens duomenys tvarkomi sutikimo pagrindu, duomenų subjektas turi teisę bet kada atšaukti savo sutikimą, tai nedaro poveikio sutikimu grįsto tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.

14.3. Norėdamas įgyvendinti savo teises, duomenų subjektas gali pateikti prašymą, rašydamas adresu [email protected].

14.4. Duomenų valdytojas nagrinėja prašymą be nepagrįsto delsimo ir atsakymą pateikia teisės aktuose nustatytu terminu, paprastai ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, nebent konkreti situacija pagrindžia termino pratęsimą pagal BDAR.

14.5. Duomenų valdytojas turi teisę prašyti papildomos informacijos asmens tapatybei patikrinti, siekdamas užtikrinti, kad informacija nebūtų atskleista neįgaliotam asmeniui.

14.6. Jei Duomenų valdytojas konkrečiuose duomenų tvarkymo santykiuose veikia tik kaip tvarkytojas kliento vardu, jis gali perduoti duomenų subjekto prašymą atitinkamam klientui arba nagrinėti jį bendradarbiaudamas su klientu, atsižvelgdamas į šalių vaidmenis ir pareigas pagal BDAR.

15. Skundų teikimas

15.1. Jei duomenų subjektas mano, kad jo asmens duomenų tvarkymas pažeidžia taikomų teisės aktų reikalavimus, jis turi teisę pirmiausia kreiptis į Duomenų valdytoją, rašydamas adresu [email protected].

15.2. Duomenų subjektas taip pat turi teisę pateikti skundą Latvijos valstybinei duomenų inspekcijai (Datu valsts inspekcija), kuri yra asmens duomenų apsaugos priežiūros institucija Latvijoje.

15.3. Valstybinės duomenų inspekcijos kontaktinė informacija: Elijas iela 17, Ryga, LV-1050, Latvija; el. paštas: [email protected]; telefonas: +371 67223131.

15.4. Valstybinė duomenų inspekcija rekomenduoja prieš teikiant skundą pirmiausia kreiptis į asmens duomenų valdytoją, kuris tvarko asmens duomenis.

16. Pokalbių įrašai ir alternatyvus bendravimas

16.1. Teikdamas klientų pagalbą ir bendraudamas, Duomenų valdytojas gali daryti telefono pokalbių, internetinių skambučių, balso žinučių ar kitų elektroninės komunikacijos įrašus, jei to reikia paslaugoms užtikrinti, kokybės kontrolei, ginčų sprendimui, saugumui užtikrinti ir Duomenų valdytojo teisėtiems interesams ginti, laikantis BDAR ir kitų taikomų teisės aktų reikalavimų.

16.2. Pokalbių įrašai paprastai saugomi iki 90 dienų nuo įrašo padarymo dienos, nebent konkrečiu atveju ginčų sprendimas, kokybės kontrolė, Duomenų valdytojo teisių gynyba ar teisės aktuose nustatyti senaties terminai pagrindžia ilgesnį saugojimo terminą.

16.3. Prieš įrašant pokalbį duomenų subjektas informuojamas apie įrašymą, o įrašai saugomi tik tiek, kiek reikia atitinkamam tikslui pasiekti, ginčams spręsti, kokybei kontroliuoti ar teisės aktų reikalavimams vykdyti.

16.4. Jei duomenų subjektas nenori, kad konkretus pokalbis būtų įrašomas, jis gali pasirinkti alternatyvius bendravimo būdus, rašydamas adresu [email protected] arba naudodamasis ryšiu, pavyzdžiui, WhatsApp numeriu +371 28 706 247.

16.5. Pokalbių įrašai ir balso žinutės laikomi asmens duomenimis, ir jiems visa apimtimi taikomos duomenų subjekto teisės pagal BDAR, įskaitant teises susipažinti, ištaisyti, ištrinti, apriboti tvarkymą ir nesutikti, kiek tai suderinama su įrašo tikslu ir taikomais teisės aktais.

17. Formų pildymas ir duomenų tvarkymas

17.1. Duomenų valdytojo svetainėse, programėlėse ar klientams teikiamuose sprendimuose gali būti prieinamos įvairios elektroninės formos (pavyzdžiui, kontaktų formos, paraiškų formos, paslaugų užklausų formos, pagalbos prašymo formos), kurias pildydamas duomenų subjektas pateikia asmens duomenis, kad Duomenų valdytojas galėtų užtikrinti prašomą paslaugą, ryšį ar kitą konkretų tikslą.

17.2. Pildydamas formą, duomenų subjektas paprastai nurodo tapatybės ir kontaktinę informaciją, taip pat kitus su užklausa susijusius duomenis, kuriuos Duomenų valdytojas tvarko, kad galėtų atsakyti į užklausą, suteikti paslaugą, išnagrinėti prašymą, parengti pasiūlymą ar atlikti kitus duomenų subjekto inicijuotus veiksmus.

17.3. Formose pateiktų asmens duomenų tvarkymo teisiniai pagrindai gali būti sutarties sudarymas ar vykdymas, Duomenų valdytojui privalomos teisinės pareigos vykdymas, Duomenų valdytojo teisėti interesai (pavyzdžiui, ryšio užtikrinimas, reikalavimų gynyba, paslaugų kokybės gerinimas) arba duomenų subjekto sutikimas, jei konkrečioje formoje pateikiama atitinkama informacija.

17.4. Užpildžius formas gauti asmens duomenys saugomi tik tiek, kiek reikia atitinkamam tikslui pasiekti, komunikacijai užtikrinti, sutartiniams įsipareigojimams vykdyti, Duomenų valdytojo teisėms ginti ar teisės aktuose nustatytoms pareigoms vykdyti, o po to jie ištrinami, anonimizuojami arba archyvuojami pagal šioje privatumo politikoje nustatytą tvarką.

17.5. Duomenų subjektas bet kada turi teisę kreiptis į Duomenų valdytoją, kad sužinotų, kokie duomenys apie jį surinkti, kokiais tikslais jie naudojami ir koks yra atitinkamų duomenų saugojimo terminas, taip pat pasinaudoti kitomis BDAR numatytomis teisėmis dėl formose pateiktų asmens duomenų.

18. Tiesioginis pokalbis svetainėje

18.1. Svetainėje evoex.eu veikia tiesioginio pokalbio (angl. chat) langas, per kurį duomenų subjektas gali susisiekti su Duomenų valdytojo pagalbos komanda. Pokalbių langas teikiamas iš Duomenų valdytojo klientų portalo (portal.evoex.eu), o susirašinėjimas saugomas Duomenų valdytojo serveriuose Europos Sąjungoje (Suomijoje).

18.2. Pokalbis pradedamas parašius žinutę. Pasirinktinai duomenų subjektas gali nurodyti vardą, el. pašto adresą ir telefono numerį (pavyzdžiui, jei nori gauti atsakymą el. paštu), taip pat pridėti failus.

18.3. Siekiant užtikrinti kokybišką atsakymą ir saugumą, pokalbio metu automatiškai tvarkomi ir techniniai duomenys: IP adresas ir pagal jį nustatyta apytikslė buvimo vieta (šalis, miestas, regionas), įrenginio tipas, naršyklė ir operacinė sistema, ekrano dydis, kalba ir laiko juosta, puslapis, iš kurio rašoma, šio apsilankymo metu peržiūrėti svetainės puslapiai, nuorodos šaltinis (pavyzdžiui, paieškos sistema ar reklamos kampanijos parametrai) ir apsilankymų skaičius. Šie duomenys perduodami tik tada, kai duomenų subjektas atidaro pokalbių langą.

18.4. Tvarkymo teisinis pagrindas – veiksmų atlikimas duomenų subjekto prašymu prieš sudarant sutartį (BDAR 6 straipsnio 1 dalies b) punktas) ir Duomenų valdytojo teisėti interesai užtikrinti ryšį, paslaugos kokybę ir informacijos saugumą (BDAR 6 straipsnio 1 dalies f) punktas). Prieš pradėdamas pokalbį duomenų subjektas patvirtina, kad susipažino su šia privatumo politika.

18.5. Siekiant išvengti piktnaudžiavimo ir automatizuotų (botų) užklausų, naudojama Cloudflare Turnstile paslauga. Pridėti failai automatiškai tikrinami antivirusine programine įranga ir saugumo filtrais, iš paveikslėlių pašalinami metaduomenys (pavyzdžiui, buvimo vietos informacija). Patikros neišlaikę failai neišsaugomi.

18.6. Jei Duomenų valdytojo atsakymas pateikiamas tada, kai duomenų subjekto jau nėra svetainėje, pranešimas apie atsakymą išsiunčiamas nurodytu el. pašto adresu.

18.7. Pokalbio susirašinėjimas, pridėti failai ir su pokalbiu susiję techniniai duomenys saugomi iki 12 mėnesių po paskutinės žinutės, nebent pokalbio pagrindu sudaroma sutartis arba ilgesnis saugojimas būtinas Duomenų valdytojo teisėms ginti. Duomenų subjektas bet kada gali prašyti ištrinti susirašinėjimą ir su juo susijusius duomenis, rašydamas adresu [email protected].

18.8. Prieiga prie pokalbių susirašinėjimo suteikta tik Duomenų valdytojo įgaliotiems darbuotojams. Pokalbių duomenys nenaudojami automatizuotam sprendimų priėmimui ar profiliavimui.

18.9. Kad duomenų subjektas galėtų bendrauti jam patogia kalba, pokalbio žinutės gali būti automatiškai verčiamos naudojant dirbtinio intelekto paslaugą Claude, kurią teikia Anthropic PBC (JAV). Vertimui perduodamas tik atitinkamos žinutės tekstas (įskaitant asmens duomenis, jei duomenų subjektas juos įtraukė į žinutę); vardas, el. pašto adresas, telefono numeris, techniniai duomenys ir pridėti failai vertimui neperduodami. Anthropic veikia kaip Duomenų valdytojo duomenų tvarkytojas ir pagal savo komercines sąlygas nenaudoja šių duomenų dirbtinio intelekto modeliams mokyti. Duomenys į JAV perduodami remiantis BDAR 46 straipsnyje numatytomis apsaugos priemonėmis (Europos Komisijos patvirtintomis standartinėmis sutarčių sąlygomis). Išverstos žinutės pokalbyje pažymimos nuoroda „Translated by Claude AI“, o originalus tekstas saugomas kartu su vertimu 18.7 punkte nustatytą laikotarpį. Vertimas nenaudojamas automatizuotam sprendimų priėmimui.

19. Kibernetinis saugumas ir sistemų priežiūra

19.1. Duomenų valdytojas užtikrina, kad jo prižiūrimos informacinių ir ryšių technologijų sistemos būtų saugomos pagal Latvijos Respublikoje galiojantį kibernetinio saugumo reguliavimą, įskaitant Nacionalinio kibernetinio saugumo įstatymo ir su juo susijusių Ministrų kabineto taisyklių reikalavimus, kiek šie teisės aktai Duomenų valdytojui taikomi.

19.2. Duomenų valdytojas prižiūri serverius, prieglobos aplinką, duomenų bazes, el. pašto infrastruktūrą ir kitas IT sistemas proporcingu mastu, atsižvelgdamas į technines galimybes, rizikos lygį ir minimalius kibernetinio saugumo reikalavimus, taip pat į klientų sutartyse nustatytas pareigas ir atsakomybės ribas.

19.3. Duomenų valdytojas įgyvendina technines ir organizacines priemones kibernetinio saugumo rizikoms mažinti, pavyzdžiui, prieigos kontrolę, autentifikavimą, saugumo atnaujinimus, atsarginį kopijavimą, incidentų valdymą, monitoringą ir kitas proporcingas apsaugos priemones, kiek tai objektyviai įmanoma, atsižvelgiant į rizikos lygį ir atitinkamos sistemos svarbą.

19.4. Duomenų valdytojas neatsako už kibernetinio saugumo incidentus ar sistemų veiklos sutrikimus, atsiradusius dėl aplinkybių, kurių Duomenų valdytojas objektyviai negali kontroliuoti (pavyzdžiui, trečiųjų asmenų veiksmai, paties kliento infrastruktūros konfigūracija, kliento naudotojų veiksmai, globalios kibernetinės atakos), tačiau Duomenų valdytojas imasi proporcingų priemonių pasekmėms sumažinti ir paslaugų teikimui atkurti, kiek tai praktiškai įmanoma.

19.5. Jei Duomenų valdytojas atitinka Nacionalinio kibernetinio saugumo įstatymo subjekto statusą (pavyzdžiui, svarbios ar esminės paslaugos teikėjas), jis papildomai prie šios privatumo politikos vykdo įstatyme nustatytas pareigas, įskaitant kibernetinio saugumo vadovo paskyrimą, savarankiško įvertinimo ataskaitų teikimą, pranešimą apie incidentus priežiūros institucijai ir kitų įstatyme nustatytų reikalavimų vykdymą.

20. Automatizuotas sprendimų priėmimas ir profiliavimas

20.1. Duomenų valdytojas nepriima automatizuotų sprendimų, įskaitant profiliavimą, kurie sukeltų teisinių pasekmių ar panašiai reikšmingai paveiktų duomenų subjektą BDAR 22 straipsnio prasme.

20.2. Duomenų valdytojas gali atlikti ribotą analitiką ir paslaugų naudojimo duomenų analizę (pavyzdžiui, sistemos našumo, funkcijų naudojimo, prieigos statistikos analizę), kuri nelaikoma profiliavimu, turinčiu esminį poveikį duomenų subjektui.

21. Baigiamosios nuostatos

21.1. Duomenų valdytojas turi teisę vienašališkai keisti ar papildyti šią privatumo politiką bet kada, paskelbdamas aktualią redakciją savo svetainėje, klientų portale ar kitu Duomenų valdytojo nustatytu ryšio kanalu.

21.2. Aktuali privatumo politikos redakcija įsigalioja nuo jos paskelbimo dienos, nebent joje nurodytas kitas įsigaliojimo terminas.

21.3. Jei kuri nors šios privatumo politikos dalis tampa negaliojanti, prieštaringa ar netaikytina, tai neturi įtakos kitų nuostatų galiojimui; tokiu atveju Duomenų valdytojas pakeičia atitinkamą nuostatą tokia, kuri kuo labiau atitinka pirminį tikslą ir taikomą teisinį reguliavimą.

21.4. Ši privatumo politika taikoma tol, kol Duomenų valdytojas tvarko asmens duomenis savo ūkinės veiklos metu; atskiroms paslaugoms, sutartims ar projektams gali būti parengtos specifinės duomenų tvarkymo taisyklės, taikomos kartu su šia politika, kiek jos neprieštarauja BDAR ir Latvijos Respublikos teisės aktams.

Klausimai dėl asmens duomenų tvarkymo: [email protected].