Duomenų tvarkymo sutartis (DPA)
Ši duomenų tvarkymo sutartis („DPA") yra sudėtinė susitarimo tarp DokDesk („Duomenų tvarkytojas", „mes", „mus") ir kliento, kuris naudojasi DokDesk paslauga („Duomenų valdytojas", „Jūs"), dalis. Ji reglamentuoja, kaip DokDesk Jūsų vardu tvarko asmens duomenis, kai naudojate DokDesk saugų sutarčių darbo eigą sutartims iš šablonų kurti, vienai gyvai versijai derinti, paskyros nereikalaujančioms saugi nuorodoms siųsti elektroniniam pasirašymui eIDAS SES, AES arba QES lygiu ir teismui parengtai įrodymų bazei dėl kiekvieno parašo saugoti. Šia DPA siekiama padėti laikytis ES Bendrojo duomenų apsaugos reglamento (Reglamentas (ES) 2016/679, „BDAR") ir, kiek tai susiję su elektroniniu pasirašymu, eIDAS reglamento (Regulation (EU) No 910/2014). DokDesk šiuo metu veikia ankstyvosios prieigos / prieš paleidimą režimu; tai yra bendrinis šablono dokumentas, o konkretūs komerciniai, kontaktiniai ir veiklos duomenys toliau sąmoningai palikti kaip žymos, kurias prieš bet kokį naudojimą gamyboje reikia užpildyti ir peržiūrėti. Jei ši DPA prieštarauja pagrindiniam susitarimui duomenų apsaugos klausimu, pirmenybė teikiama šiai DPA. DokDesk nėra advokatų kontora ir neteikia teisinių konsultacijų.
Pre-launch draft - to be reviewed by qualified counsel before launch. This is not legal advice.
1. Statusas prieš paleidimą — būtina kvalifikuotų teisininkų peržiūra (tai nėra teisinė konsultacija)
Šis dokumentas yra prieš paleidimą parengtas ŠABLONO PROJEKTAS, teikiamas tik informaciniais ir planavimo tikslais. DokDesk veikia ankstyvosios prieigos režimu; paslauga, jos prieglobos tvarka, jos pasitelkti duomenų tvarkytojai ir jos saugumo priemonės gali keistis prieš paleidimą ir jo metu. Niekas šioje DPA nėra teisinė konsultacija, o DokDesk nėra advokatų kontora.
Prieš pradedant remtis šia DPA bet kokiam realiam asmens duomenų tvarkymui, ją PRIVALO peržiūrėti, užpildyti ir pritaikyti kvalifikuoti teisininkai, atsižvelgdami į konkrečias Jūsų organizacijos aplinkybes, Jūsų jurisdikciją (-as) ES ir Baltijos šalyse bei Jūsų tvarkomų duomenų kategorijas. Žymos šiame šablone — įskaitant šalių tapatybę ir registracijos duomenis, pašto adresą, pasitelktų duomenų tvarkytojų sąrašą, prieglobos vietas, saugojimo laikotarpius ir įsigaliojimo datas — prieš pasirašant turi būti užpildytos tikslia, aktualia informacija.
Jokia šio šablono dalis neturėtų būti laikoma patvirtinimu, kad koks nors konkretus sertifikavimo, audito, integracijos ar pasirašymo lygis (įskaitant QES) jau veikia gamyboje. Kai šablone aprašomos galimybės, kurios yra parengtos architektūriškai, bet dar nėra visuotinai prieinamos, prieš jomis remiantis jas būtina patvirtinti raštu.
2. Sąvokų apibrėžtys ir šalių vaidmenys
Tokios sąvokos kaip „asmens duomenys", „tvarkymas", „duomenų valdytojas", „duomenų tvarkytojas", „pasitelktas duomenų tvarkytojas", „duomenų subjektas", „asmens duomenų saugumo pažeidimas" ir „priežiūros institucija" turi BDAR joms suteiktas reikšmes.
Asmens duomenų, kuriuos savo sutarčių darbo eigos metu įkeliate į DokDesk, juose sukuriate arba per DokDesk tvarkote, atžvilgiu Jūs veikiate kaip duomenų valdytojas (Jūs nustatote tvarkymo tikslus ir priemones), o DokDesk veikia kaip duomenų tvarkytojas, tvarkydamas tuos asmens duomenis tik Jūsų vardu ir pagal Jūsų dokumentais įformintus nurodymus. Kai sutartis pasirašoma tarp Jūsų ir kitos šalies, kiekviena šalis savo tikslais gali būti atskiras duomenų valdytojas; ši DPA reglamentuoja tik DokDesk, kaip Jūsų duomenų tvarkytojo, vaidmenį.
DokDesk pats gali veikti kaip nepriklausomas duomenų valdytojas ribotų veiklos duomenų atžvilgiu — pavyzdžiui, paskyros administravimo, atsiskaitymo (kai taikoma), saugumo registravimo ir produkto tobulinimo rodiklių, kurie nesudaro Jūsų sutarties turinio dalies, atžvilgiu. Toks nepriklausomo duomenų valdytojo atliekamas tvarkymas reglamentuojamas DokDesk privatumo pranešimu, o ne šia DPA.
3. Tvarkymo objektas, trukmė, pobūdis ir tikslas
Objektas ir pobūdis: DokDesk tvarko asmens duomenis tam, kad galėtumėte sudaryti sutartis iš daugkartinio naudojimo šablonų ir dinaminių duomenų laukų, valdyti sutartį per jos versijas ir būsenų istoriją, derinti vieną gyvą versiją, siųsti pasirašantiesiems paskyros nereikalaujančią saugią nuorodą, fiksuoti elektroninius parašus SES, AES arba QES lygiu per palaikomas ES nacionalines eID priemones, tokias kaip Smart-ID ir Mobile-ID, ir saugoti įrodymų bazę dėl kiekvieno parašo. DokDesk yra sutarčių darbo eigos ir elektroninio pasirašymo paslauga. Tai NĖRA sąskaitų faktūrų išrašymo, mokėjimų, apskaitos ar CRM paslauga, ir asmens duomenys nėra tvarkomi nė vienu iš šių tikslų.
Tikslas: tvarkymas atliekamas vieninteliu tikslu — teikti, apsaugoti ir palaikyti DokDesk paslaugą pagal Jūsų nurodymus ir pagrindinį susitarimą.
Trukmė: tvarkymas tęsiasi visą laikotarpį, kurį naudojatės paslauga, taip pat bet kokį ribotą laikotarpį, reikalingą asmens duomenims grąžinti ar ištrinti, kaip aprašyta šioje DPA arba reikalaujama pagal taikytiną teisę (pavyzdžiui, parašo įrodymų, būtinų pasirašyto dokumento vientisumui ir teisinei vertei išsaugoti, saugojimas).
4. Duomenų subjektų kategorijos ir asmens duomenų rūšys
Duomenų subjektų kategorijos paprastai apima: Jūsų įgaliotuosius naudotojus (pavyzdžiui, savininko, administratoriaus, vadovo, teisininko ir peržiūrėtojo vaidmenis); Jūsų klientus, kitas sandorio šalis ir jų atstovus; taip pat asmenis, pakviestus pasirašyti sutartį ar dalyvauti derantis dėl jos.
Asmens duomenų rūšys paprastai apima: šalių ir pasirašančiųjų tapatybės ir kontaktinius duomenis (pavyzdžiui, vardą ir pavardę, organizaciją, vaidmenį, el. pašto adresą ir šalių duomenis, kuriuos įtraukiate į sutartį); sutarties turinį, kurį pasirenkate įtraukti ir kuris pats gali apimti asmens duomenis; pasirašymo ir tapatybės užtikrinimo duomenis, susijusius su pasirinktu eIDAS lygiu; taip pat techninius įrodymus, užfiksuotus pasirašymo metu, tokius kaip IP ir įrenginio metaduomenys, laiko žymos, parašo būsena, veiksmų audito seka ir galutinis pasirašyto dokumento konteineris.
Jūs esate atsakingas už asmens duomenis, kuriuos pasirenkate įtraukti į šablonus ir sutartis. Neturėtumėte įtraukti specialių kategorijų duomenų (BDAR 9 straipsnis) ar kitų ypač jautrių duomenų, nebent tam turite teisėtą pagrindą ir esate atitinkamai sukonfigūravęs naudojimąsi paslauga. DokDesk tokių duomenų paslaugai teikti nereikalauja.
5. DokDesk, kaip duomenų tvarkytojo, įsipareigojimai
DokDesk tvarkys asmens duomenis tik pagal Jūsų dokumentais įformintus nurodymus, įskaitant nurodymus, įtvirtintus pagrindiniame susitarime bei Jūsų atliekamoje paslaugos konfigūracijoje ir naudojime, išskyrus atvejus, kai pagal ES ar valstybės narės teisę, taikomą DokDesk, reikalaujama veikti kitaip; tokiu atveju DokDesk prieš pradėdamas tvarkyti informuos Jus apie šį teisinį reikalavimą, nebent įstatymas tokį pranešimą draudžia dėl svarbių viešojo intereso priežasčių.
DokDesk užtikrins, kad asmenys, įgalioti tvarkyti asmens duomenis, būtų įsipareigoję laikytis tinkamų konfidencialumo įsipareigojimų. DokDesk, atsižvelgdamas į tvarkymo pobūdį ir jam prieinamą informaciją, padės Jums atsakyti į duomenų subjektų prašymus ir vykdyti Jūsų pareigas, susijusias su saugumu, pranešimu apie pažeidimą, poveikio duomenų apsaugai vertinimais ir išankstinėmis konsultacijomis pagal BDAR 32–36 straipsnius.
DokDesk pateiks Jums informaciją, pagrįstai būtiną įrodyti, kad laikomasi duomenų tvarkytojo pareigų pagal BDAR 28 straipsnį, ir nepagrįstai nedelsdamas informuos Jus, jei, jo nuomone, nurodymas pažeidžia BDAR ar kitas ES arba valstybės narės duomenų apsaugos nuostatas.
6. Tvarkymo saugumas
Atsižvelgdamas į naujausius technikos laimėjimus, įgyvendinimo išlaidas bei tvarkymo pobūdį, apimtį, kontekstą ir tikslus, taip pat į riziką duomenų subjektams, DokDesk įgyvendina tinkamas technines ir organizacines priemones, skirtas užtikrinti rizikai tinkamą saugumo lygį, laikantis BDAR 32 straipsnio.
Šios priemonės, kiek taikytina, apima: asmens duomenų šifravimą perdavimo metu ir saugant; prieigos kontrolę ir vaidmenimis grindžiamus leidimus, atspindinčius darbo eigos vaidmenis; registravimą ir audito sekas (įskaitant įrodymų bazę, fiksuojamą dėl kiekvieno parašo); saugių nuorodų ir pasirašymo srautų tvarkymą; priemones pasirašytų dokumentų vientisumui ir autentiškumui išsaugoti; taip pat procedūras, skirtas po incidento atkurti asmens duomenų prieinamumą ir prieigą prie jų.
Kadangi DokDesk veikia ankstyvosios prieigos režimu, konkretus, aktualus saugumo priemonių sąrašas turi būti pateiktas saugumo priede ar lygiaverčiame dokumente ir patvirtintas prieš naudojimą gamyboje. Šis šablonas nepatvirtina jokio konkretaus sertifikavimo ar audito statuso.
7. Pasitelkti duomenų tvarkytojai ir tarptautiniai duomenų perdavimai
Jūs įgaliojate DokDesk pasitelkti kitus duomenų tvarkytojus (tokius kaip debesijos prieglobos, infrastruktūros, tapatybės / eID ir kitus pagalbinių paslaugų teikėjus) padėti teikti paslaugą. DokDesk kiekvienam pasitelktam duomenų tvarkytojui nustatys duomenų apsaugos įsipareigojimus, ne mažiau apsaugančius nei numatytieji šioje DPA, ir DokDesk Jums lieka atsakingas už pasitelkto duomenų tvarkytojo veiklą. Šis šablonas nenurodo konkrečių pasitelktų duomenų tvarkytojų; turi būti tvarkomas ir prieinamas tikslus, aktualus sąrašas, o Jums turi būti suteikta pagrįsta galimybė prieštarauti esminiams pakeitimams.
DokDesk ketina, kad asmens duomenys liktų talpinami ir tvarkomi ES viduje, atsižvelgiant į DokDesk pozicionavimą, jog duomenys lieka ES pagal BDAR. Jei asmens duomenys būtų perduodami už ES / EEE ribų, tai vyktų tik remiantis galiojančiu perdavimo mechanizmu pagal BDAR V skyrių (tokiu kaip sprendimas dėl tinkamumo arba tinkamos apsaugos priemonės), o atitinkama informacija būtų dokumentuota prieš bet kokį tokį perdavimą.
eID ir patikimumo užtikrinimo paslaugų priemonės, naudojamos elektroniniam pasirašymui (pavyzdžiui, Smart-ID, Mobile-ID, nacionalinės eID priemonės ir kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai), veikia pagal savo sąlygas, o kvalifikuotų paslaugų atveju — pagal eIDAS. QES galimybė yra parengta architektūriškai: kai Jums reikia kvalifikuoto pasirašymo, prieš remiantis QES gamyboje turi būti patvirtintas taikytinas teikėjas ir jo tvarka.
8. Duomenų subjekto teisės, pranešimas apie pažeidimą, grąžinimas ir ištrynimas
DokDesk, atsižvelgdamas į tvarkymo pobūdį, padės Jums tinkamomis techninėmis ir organizacinėmis priemonėmis, kiek tai įmanoma, vykdyti Jūsų pareigą atsakyti į duomenų subjektų, kurie naudojasi savo teisėmis pagal BDAR III skyrių, prašymus (įskaitant teises susipažinti, reikalauti ištaisyti, ištrinti, apriboti tvarkymą, perkelti duomenis ir nesutikti su tvarkymu). Kai DokDesk tokį prašymą gauna tiesiogiai, jis, nebent privalo veikti pagal teisės aktus, perduos prašymą Jums.
DokDesk nepagrįstai nedelsdamas, sužinojęs apie asmens duomenų saugumo pažeidimą, turintį įtakos Jūsų vardu tvarkomiems asmens duomenims, informuos Jus ir pateiks jam pagrįstai prieinamą informaciją, kad padėtų Jums vykdyti Jūsų pačių pranešimo pareigas pagal BDAR 33 ir 34 straipsnius.
Pasibaigus paslaugos teikimui ir Jūsų pasirinkimu DokDesk ištrins arba grąžins Jūsų vardu tvarkomus asmens duomenis ir ištrins esamas kopijas, nebent ES ar valstybės narės teisė reikalauja toliau saugoti — pavyzdžiui, kai saugojimas būtinas pasirašytų sutarčių ir su jomis susijusių parašo įrodymų vientisumui bei teisinei vertei išsaugoti. Taikytini saugojimo laikotarpiai turi būti nurodyti prieš naudojimą gamyboje.
9. Auditai, atsakomybė, taikytina teisė ir baigiamosios nuostatos
DokDesk, gavęs pagrįstą išankstinį rašytinį prašymą ir taikant tinkamą konfidencialumą, pateiks informaciją, būtiną atitikčiai BDAR 28 straipsniui įrodyti, taip pat leis atlikti auditus, įskaitant patikrinimus, kuriuos vykdote Jūs arba Jūsų įgaliotas auditorius, ir prie jų prisidės tokiu būdu, kuris nepakenktų kitų klientų duomenų saugumui ar konfidencialumui.
Atsakomybė, žalos atlyginimo įsipareigojimai ir apribojimai nustatyti pagrindiniame šalių susitarime; šis šablonas pats nenustato atsakomybės ribų ar sumų. Taikytina teisė ir kompetentingi teismai yra tie, dėl kurių susitarta pagrindiniame susitarime ir kurie atitinka BDAR; konkreti jurisdikcija turi būti nurodyta prieš pasirašant.
Ši DPA yra bendrinis, prieš paleidimą parengtas šablonas. Šalių tapatybė ir registracijos duomenys, pašto adresas, įsigaliojimo data, pasitelktų duomenų tvarkytojų sąrašas, prieglobos vietos ir saugojimo laikotarpiai sąmoningai palikti kaip žymos. Prieš bet kokį naudojimą gamyboje šiuos duomenis tiksliai užpildykite ir pateikite dokumentą peržiūrėti kvalifikuotiems teisininkams. Šis dokumentas nėra teisinė konsultacija, o DokDesk nėra advokatų kontora.