Duomenų tvarkymo sutartis
1. Šalys, taikymo sritis ir statusas
Ši sutartis nustato duomenų tvarkymo sąlygas tarp OrsunPay paslaugų sutartyje nurodyto verslo kliento (toliau — Klientas) ir Orsun Tech OÜ, registracijos kodas 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (toliau — OrsunPay). Ji tampa privaloma tik įtraukus ją į abiejų šalių priimtą sutartį ir užpildžius duomenų tvarkymo bei saugumo priedus.
Čia apimamam tvarkymui Klientas nustato tikslus ir esmines priemones, o OrsunPay tvarko asmens duomenis Kliento vardu. Kai pats Klientas yra duomenų tvarkytojas, jis turi turėti savo duomenų valdytojo leidimą paskirti OrsunPay. Duomenų tvarkymą OrsunPay svetainės, verslo kontaktų ir paskyrų administravimo tikslais aprašo privatumo pranešimas.
Sąvokos „asmens duomenys“, „duomenų valdytojas“, „duomenų tvarkytojas“ ir susijusios sąvokos turi taikomuose duomenų apsaugos teisės aktuose, įskaitant BDAR, kai jis taikomas, nustatytą reikšmę. Ši duomenų tvarkymo sutartis turi viršenybę prieš prieštaraujančias paslaugų sąlygas dėl jos apimamo tvarkymo. Privalomos duomenų perdavimo sąlygos turi viršenybę, kai jos taikomos.
2. Duomenų tvarkymo aprašymas
| Punktas | Tvarkymo apimtis |
|---|---|
| Dalykas | Asmens duomenys, tvarkomi teikiant Klientui sutartas mokėjimų orkestravimo paslaugas ir susijusią pagalbą. |
| Operacijų pobūdis | Įrašų gavimas, registravimas, organizavimas, paieška, perdavimas ir rodymas; nukreipimo bei veiklos nurodymų vykdymas; trikčių šalinimas; duomenų grąžinimas arba ištrynimas. |
| Tikslai | Vykdyti sukonfigūruotus mokėjimų procesus, keistis informacija su pasirinktais teikėjais, palaikyti operacijų ir webhook įrašus, suteikti įgaliotą prieigą ir tirti paslaugos problemas. |
| Asmenys | Kliento pirkėjai ir kiti mokėjimų dalyviai bei Kliento įgalioti naudotojai ar atstovai, kai duomenys tvarkomi pagal jo nurodymus. |
| Duomenų kategorijos | Klientų ir operacijų nuorodos, pateikti kontaktiniai duomenys, sumos ir valiutos, mokėjimų ir grąžinimų būsenos, teikėjų nuorodos, tokenizuota arba užmaskuota mokėjimo būdo informacija, techniniai ryšio duomenys ir susijusi pagalbos medžiaga. Galutinis priedas turi atspindėti tikrąją integraciją. |
| Trukmė ir dažnumas | Naudojantis paslauga ir per sutartą grąžinimo ar ištrynimo laikotarpį; nuolatinis arba įvykiais grindžiamas tvarkymas pagal naudojamas funkcijas. |
| Jautrūs duomenys | Specialių kategorijų duomenys, duomenys apie nusikalstamas veikas ir visi mokėjimo autentifikavimo duomenys nepatenka į šį bendrą aprašymą, nebent atskira rašytinė apimtis ir tinkamos kontrolės priemonės aiškiai juos apima. |
3. Nurodymai ir Kliento atsakomybė
Paslaugų sutartis, užpildyti priedai, įgalioti nustatymai ir dokumentuotos API užklausos sudaro Kliento nurodymus. OrsunPay tvarkys apimamus duomenis tik pagal šiuos nurodymus, įskaitant perdavimo nurodymus, nebent taikoma teisė reikalauja kitaip. Apie teisinį reikalavimą OrsunPay informuos Klientą prieš tvarkymą, išskyrus atvejus, kai įstatymas draudžia tokį pranešimą.
Klientas privalo pateikti teisėtus nurodymus, būtiną privatumo informaciją ir galiojantį prašomo rinkimo bei tvarkymo pagrindą. Jis turi apriboti pateikiamus duomenis iki paslaugai reikalingų ir palaikyti tinkamas paskyros teises. OrsunPay informuos Klientą, jei manys, kad nurodymas pažeidžia taikomus duomenų apsaugos teisės aktus, ir gali sustabdyti atitinkamą tvarkymą, kol problema bus išspręsta.
4. Konfidencialumas ir saugumas
OrsunPay apribos prieigą įgaliotiems asmenims, kuriems jos reikia paslaugai teikti, ir užtikrins, kad jiems būtų taikomos konfidencialumo pareigos. Ji palaikys technines ir organizacines priemones, tinkamas duomenų pobūdžiui ir tvarkymo rizikai.
Saugumo priede turi būti dokumentuota prieigos kontrolė, autentifikavimas, šifravimo tvarka, klientų aplinkų atskyrimas, žurnalų registravimas, incidentų valdymas, atsarginės kopijos ir atkūrimas, ištrynimas bei šių priemonių vertinimo procesas. Jame turi būti atskirtos įdiegtos ir planuojamos priemonės bei nurodyta taikoma paslaugos apimtis. Vien paskelbus sutartį neįtraukiamas joks audito sertifikavimas ar saugumo patvirtinimas.
5. Pagalbiniai duomenų tvarkytojai
OrsunPay gali paskirti pagalbinius tvarkytojus tik gavusi išankstinį konkretų arba bendrą rašytinį Kliento leidimą. Galutiniame patvirtintame priede bus nurodytas juridinis asmuo, funkcija ir atitinkamos tvarkymo vietos. Mūsų tiekėjų registras yra papildoma informacija ir apima svetainės tiekėjus bei dar vertinamus susitarimus. Vien įtraukimas nėra Kliento leidimas.
Bendro leidimo atveju OrsunPay iš anksto raštu praneš apie numatomus papildymus ar pakeitimus ir suteiks Klientui realią galimybę prieštarauti duomenų apsaugos pagrindais prieš pradedant naują tvarkymą. Pasirašytame priede turi būti nurodytas pranešimo terminas, pateikimo kanalas ir sprendimo procedūra. Jei prieštaravimo nepavyksta išspręsti, šalys susitars dėl teisėtos alternatyvos arba nutrauks susijusią paslaugą pagal sutartį.
OrsunPay sutartimi nustatys kiekvienam pagalbiniam tvarkytojui taikomas duomenų apsaugos pareigas ir liks atsakinga už jų vykdymą taip, kaip reikalauja teisė.
6. Pagalba ir asmens duomenų saugumo pažeidimai
Atsižvelgdama į tvarkymą ir turimą informaciją, OrsunPay padės Klientui vykdyti asmenų teisių prašymus, saugumo pareigas, poveikio vertinimus ir konsultacijas su kompetentingomis institucijomis. Gavusi prašymą dėl Kliento duomenų, ji informuos Klientą ir nepateiks esminio atsakymo, išskyrus pagal nurodymą arba kai to reikalauja teisė.
OrsunPay praneš Klientui nepagrįstai nedelsdama po to, kai sužinos apie asmens duomenų saugumo pažeidimą, paveikusį apimamus duomenis. Turimoje informacijoje bus aprašytas incidentas, paveikti duomenys ir asmenys, tikėtinos pasekmės, mažinimo priemonės ir kontaktas tolesniems veiksmams. Informacija gali būti teikiama etapais, tyrimui tęsiantis. OrsunPay bendradarbiaus Klientui reaguojant. Klientas išlieka atsakingas už pranešimus, kuriuos teisiškai privalo pateikti.
7. Tarptautinis perdavimas
Prieš pradedant tvarkymą, apimantį ribojamą perdavimą, šalys turi nustatyti eksportuotoją, importuotoją, paskirties vietas ir tinkamą perdavimo mechanizmą. Kai aktualu, tai apima taikomą sprendimą dėl tinkamumo arba užpildytas standartines sutarčių sąlygas su teisingu moduliu, priedais ir papildomomis priemonėmis. Kai taikoma, būtina atsižvelgti į JK ar Šveicarijos reikalavimus.
Nuoroda į tiekėjo duomenų tvarkymo sutartį savaime neužbaigia Kliento perdavimo dokumentų. Pasirašytame priede turi būti faktiniai susitarimai, įskaitant nuotolinę prieigą ir tolesnį perdavimą.
8. Grąžinimas, ištrynimas ir saugojimas
Pasibaigus tvarkymui, OrsunPay Kliento pasirinkimu grąžins arba ištrins apimamus asmens duomenis ir pašalins likusias kopijas, nebent taikoma teisė reikalauja saugoti. Šalys tvarkymo priede turi susitarti dėl eksporto formato, prašymo proceso, atlikimo termino ir atsarginių kopijų galiojimo pabaigos.
Kai saugojimas teisiškai privalomas, OrsunPay, kiek leidžiama, nurodys reikalavimą, apribos saugomus duomenis tuo tikslu ir ištrins juos pasibaigus pareigai. Atsarginės kopijos, laukiančios planinio galiojimo pabaigos, turi likti apsaugotos ir neprieinamos įprastam naudojimui. Paprašius OrsunPay pateiks užbaigimo patvirtinimą.
9. Informacija ir auditai
OrsunPay pateiks informaciją, būtiną jos duomenų tvarkytojo pareigų vykdymui įrodyti, ir leis bei padės atlikti auditus, įskaitant Kliento ar jo įgalioto auditoriaus patikrinimus. Šalys suderins pagrįstą išankstinį pranešimą, konfidencialumą ir kitų klientų informaciją saugančias priemones. Praktiniai susitarimai negali trukdyti auditui, kurio reikalauja teisė ar kompetentinga institucija.
10. Sutarties užbaigimas
Prieš pasirašydamos šalys turi užpildyti konkrečios paslaugos duomenų kategorijas, tvarkymo vietas, patvirtintus pagalbinius tvarkytojus, perdavimo dokumentus, saugumo priemones, saugojimo ir grąžinimo tvarką, pranešimų kontaktus bei tiekėjų keitimo procedūrą. Atsakomybės ir taikytinos teisės nuostatos atitinka pasirašytą paslaugų sutartį tiek, kiek teisė leidžia. Niekas čia nepanaikina asmens įstatyminių teisių. Užklausas dėl sutarties ir duomenų tvarkymo sutarties galima pateikti per Kontaktai.