Duomenų tvarkymo sutartis

Paskutinį kartą atnaujinta: 2026-10-08

Ši duomenų tvarkymo sutartis (toliau – DTS) yra Paslaugų teikimo sąlygų dalis, sudaryta tarp „Nordlet OÜ“ (toliau – „Nordlet“, „Tvarkytojas“) ir verslo subjekto, turinčio paskyrą (toliau – „Klientas“, „Duomenų valdytojas“). Ji taikoma visais atvejais, kai „Nordlet“ Kliento vardu tvarko asmens duomenis, esančius Kliento duomenyse. Ši sutartis priimama kartu su Paslaugų teikimo sąlygomis ir atskiro parašo nereikalauja. Klientas, pageidaujantis gauti pasirašytą kopiją, gali kreiptis el. paštu info@nordlet.com.

Tvarkytojas: „Nordlet OÜ“, Pärnu mnt. 139b - 14, Talinas, 11317, Estija.

1. Apibrėžtys

Didžiąja raide rašomi terminai, kurių reikšmė čia neapibrėžta, turi reikšmę, nurodytą Paslaugų teikimo sąlygose. „BDAR“ reiškia Reglamentą (ES) 2016/679. „Asmens duomenys“, „Tvarkymas“, „Duomenų subjektas“, „Asmens duomenų saugumo pažeidimas“, „Priežiūros institucija“ ir „Duomenų tvarkytojas (subrangovas)“ turi reikšmes, apibrėžtas BDAR. „Kliento asmens duomenys“ reiškia asmens duomenis, esančius Kliento duomenyse.

2. Vaidmenys ir taikymo sritis

2.1. Klientas yra Kliento asmens duomenų valdytojas, o „Nordlet“ yra jo tvarkytojas. Tais atvejais, kai pats Klientas veikia kaip tvarkytojas kito verslo subjekto atžvilgiu (pavyzdžiui, apskaitos įmonė, tvarkanti savo klientų buhalterinę apskaitą), Klientas patvirtina, kad tas verslo subjektas jam suteikė įgaliojimą pasitelkti „Nordlet“ duomenų tvarkytoju (subrangovu) šiose DTS nustatytomis sąlygomis.

2.2. Ši DTS neapima asmens duomenų, kuriuos „Nordlet“ tvarko kaip duomenų valdytojas (paskyros, atsiskaitymų ir pagalbos tarnybos duomenys); jie aprašyti Privatumo politikoje.

2.3. Tvarkymo detalės pateiktos 1 priede.

3. Kliento įsipareigojimai

3.1. Klientas atsako už Kliento asmens duomenų ir teikiamų nurodymų teisėtumą, įskaitant teisinio pagrindo tvarkymui turėjimą ir informavimą duomenų subjektams taip, kaip reikalauja BDAR.

3.2. Klientas į Paslaugas nekels specialiųjų kategorijų asmens duomenų (BDAR 9 straipsnis) arba duomenų apie nusikalstamuosius apyvartinius ir teistumą, išskyrus atvejus, kai tai neišvengiamai reikalinga darbo užmokesčio apskaitos ir personalo valdymo funkcijoms atlikti (pavyzdžiui, nedarbingumo pažymėjimų duomenys arba narystė profesinėse sąjungose, kai įstatymai reikalauja tai atspindėti darbo užmokesčio apskaitoje), bei sukonfigūruos naudotojų vaidmenis taip, kad tokius duomenis matytų tik tam įgalioti asmenys.

4. Tvarkytojo įsipareigojimai

„Nordlet“ įsipareigoja:

4.1. tvarkyti Kliento asmens duomenis tik remdamasi dokumentuotais Kliento nurodymais. Paslaugų teikimo sąlygos, ši DTS, Kliento paslaugose nustatyta konfigūracija ir bet kuris veiksmas, atliktas per programėlę ar API, yra laikomi Kliento nurodymais. „Nordlet“ informuos Klientą, jei, jos nuomone, nurodymas pažeidžia BDAR;

4.2. tvarkyti Kliento asmens duomenis nesilaikant šių nurodymų tik tuo atveju, jei to reikalauja Sąjungos arba valstybės narės teisės aktai, o tokiu atveju prieš atliekant tvarkymą informuoti Klientą, nebent teisės aktai to draudžia;

4.3. užtikrinti, kad visi asmenys, įgalioti tvarkyti Kliento asmens duomenis, būtų saistomi sutartinės arba įstatymų nustatytos konfidencialumo prievolės;

4.4. įgyvendinti 2 priede aprašytas technines ir organizacines priemones bei jas peržiūrėti, kad jos išliktų tinkamos rizikai;

4.5. laikytis sąlygų dėl duomenų tvarkytojų (subrangovų) pasitelkimo, išdėstytų 5 skyriuje;

4.6. atsižvelgiant į Tvarkymo pobūdį, padėti Klientui pasitelkiant tinkamas technines ir organizacines priemones vykdyti prievolę atsakyti į duomenų subjektų prašymus. Programėlė ir API leidžia Klientui rasti, ištaisyti, eksportuoti ir ištrinti duomenų subjekto įrašus be „Nordlet“ įsikišimo. Jei duomenų subjektas tiesiogiai kreipiasi į „Nordlet“ dėl Kliento asmens duomenų, „Nordlet“ nukreips jį į Klientą ir per 5 darbo dienas apie tai praneš Klientui;

4.7. padėti Klientui užtikrinti atitiktį BDAR 32–36 straipsniams (saugumas, pranešimas apie pažeidimą, poveikio duomenų apsaugai vertinimas ir išankstinės konsultacijos), atsižvelgiant į Tvarkymo pobūdį ir „Nordlet“ turimą informaciją;

4.8. pasibaigus Paslaugų teikimui, ištrinti arba grąžinti Kliento asmens duomenis, kaip nurodyta 8 skyriuje;

4.9. pateikti Klientui visą informaciją, būtiną įrodyti atitiktį BDAR 28 straipsniui, taip pat leisti atlikti auditus bei juose dalyvauti, kaip nurodyta 9 skyriuje.

5. Duomenų tvarkytojai (subrangovai)

5.1. Klientas suteikia „Nordlet“ bendrąjį leidimą pasitelkti 3 priede nurodytus duomenų tvarkytojus (subrangovus). Kai kurie iš jų naudojami tik Klientui įjungus atitinkamą funkciją (dokumentų nuskaitymą, banko išrašų srautus, e. sąskaitas faktūras).

5.2. „Nordlet“ praneš Klientui el. paštu paskyros savininkui likus bent 30 dienų iki naujo duomenų tvarkytojo (subrangovo) pradžios tvarkyti Kliento asmens duomenis bei atnaujins 3 priedą šiame puslapyje. Klientas gali per šį laikotarpį pateikti pagrįstą prieštaravimą dėl duomenų apsaugos priežasčių. Jei „Nordlet“ negali išspręsti prieštaravimo, Klientas gali nutraukti Paslaugų teikimo sąlygas dėl paveiktos paslaugos iki įsigaliojant pakeitimui, o „Nordlet“ grąžins nepanaudotus įsigytus kreditus.

5.3. „Nordlet“ su kiekvienu duomenų tvarkytoju (subrangovu) sudarys rašytinę sutartį, nustatančią ne mažesnio apsaugos lygio duomenų apsaugos prievoles, nei nustatyta šioje DTS, ir išlieka visiškai atsakinga Klientui už duomenų tvarkytojo (subrangovo) prievolių vykdymą.

6. Asmens duomenų saugumo pažeidimas

6.1. „Nordlet“ praneš Klientui be nepagrįsto delsimo, vėliausiai per 48 valandas nuo sužinojimo apie Kliento asmens duomenis paveikusį asmens duomenų saugumo pažeidimą, išsiųsdama pranešimą el. paštu paskyros savininkui.

6.2. Pranešime, kiek tai žinoma tuo metu, bus aprašytas pažeidimo pobūdis, susijusių duomenų subjektų ir įrašų kategorijos bei apytikslis skaičius, tikėtinos pasekmės, taikytos arba siūlomos priemonės bei kontaktinis punktas. „Nordlet“ teiks papildomą informaciją jai tampant prieinamai.

6.3. „Nordlet“ nepraneš priežiūros institucijoms ar duomenų subjektams Kliento vardu, nebent Klientas to paprašytų raštu.

7. Tarptautiniai duomenų perdavimai

7.1. Kliento asmens duomenys yra saugomi ir tvarkomi Europos Sąjungoje. „Nordlet“ neperduos Kliento asmens duomenų į trečiąją valstybę, esančią už Europos ekonominės erdvės ribų, išskyrus per 3 priede nurodytą duomenų tvarkytoją (subrangovą) ir tik taikydama tinkamą apsaugos priemonę pagal BDAR V skyrių: Europos Komisijos sprendimą dėl tinkamumo (įskaitant ES ir JAV duomenų privatumo pagrindą (EU-US Data Privacy Framework) sertifikuotoms organizacijoms) arba Komisijos patvirtintas standartines sutartines sąlygas.

7.2. Paprašius, „Nordlet“ pateiks Klientui taikomos apsaugos priemonės kopiją, pašalinusi komercinio pobūdžio informaciją.

8. Duomenų ištrinimas ir grąžinimas

8.1. Per visą sutarties galiojimo laikotarpį Klientas gali eksportuoti visus Kliento asmens duomenis struktūrizuotu, kompiuterio skaitomu formatu per API ir programėlės eksporto funkcijas.

8.2. Ištrynus įmonę, jos duomenis galima atkurti 10 dienų, po kurių jie ištrinami visam laikui. Ištrynus Kliento paskyrą arba praėjus 30 dienų nuo Paslaugų teikimo sąlygų pabaigos, atsižvelgiant į tai, kas įvyksta anksčiau, „Nordlet“ ištrina visus likusius Kliento asmens duomenis iš veikiančių sistemų, nebent Sąjungos arba valstybės narės teisės aktai reikalauja duomenis saugoti. Atsarginėse kopijose esančios kopijos perrašomos įprastu atsarginių kopijų kūrimo ciklu, vėliausiai po 90 dienų, ir tuo metu nėra pasiekiamos, išskyrus paslaugos atkūrimą po gedimo.

8.3. Klientui pareikalavus, „Nordlet“ raštu patvirtins ištrinimą.

9. Auditai

9.1. „Nordlet“ atsakys į pagrįstus rašytinius Kliento klausimus apie Tvarkymą ir paprašius pateiks 2 priede aprašytą dokumentaciją.

9.2. Tais atvejais, kai Klientui arba priežiūros institucijai reikia daugiau nei nurodyta, Klientas gali atlikti „Nordlet“ atitikties šiai DTS auditą vieną kartą per bet kurį 12 mėnesių laikotarpį arba dažniau įvykus asmens duomenų saugumo pažeidimui, arba priežiūros institucijai to pareikalavus. Klientas pateikia pranešimą raštu likus bent 30 dienų, auditas vyksta darbo valandomis, nepagrįstai netrikdo „Nordlet“ veiklos ir jį atlieka Klientas arba konfidencialumo įsipareigojimų saistomas nepriklausomas auditorius, kuris nėra „Nordlet“ konkurentas. Kiekviena šalis padengia savo išlaidas.

9.3. Klientas pasidalins audito išvadomis su „Nordlet“, o „Nordlet“ per pagrįstą laiką ištaisys bet kokį patvirtintą atitikties trūkumą.

10. Atsakomybė

Kiekvienos šalies atsakomybė pagal šią DTS yra saistoma Paslaugų teikimo sąlygose nustatytų apribojimų ir išimčių, išskyrus tai, kad šie apribojimai netaikomi atsakomybei, kurios BDAR 82 straipsnis neleidžia apriboti tarp duomenų valdytojo ir tvarkytojo.

11. Galiojimo laikas

Ši DTS galioja tol, kol „Nordlet“ tvarko Kliento asmens duomenis, o 8 skyrius galioja tol, kol bus baigtas jame aprašytas ištrinimas.

12. Pirmenybė ir taikytina teisė

Jei ši DTS dėl duomenų apsaugos klausimo prieštarauja Paslaugų teikimo sąlygoms, pirmenybė teikiama šiai DTS. Visais kitais atžvilgiais taikomos Paslaugų teikimo sąlygos, įskaitant jų taikytinos teisės ir ginčų sprendimo nuostatas. Ši DTS yra paskelbta anglų ir lietuvių kalbomis; jei šios dvi versijos skiriasi, pirmenybė teikiama anglų kalbos versijai.

1 Annex 1 - Tvarkymo detalės

Elementas	Aprašymas
Dalykas	„Nordlet“ debesijos apskaitos platformos ir API teikimas Klientui
Trukmė	Paslaugų teikimo sąlygų galiojimo laikotarpis plius 8 skyriuje nurodytas ištrinimo laikotarpis
Pobūdis ir tikslas	Buhalterinės apskaitos ir susijusių verslo įrašų saugojimas, struktūrizavimas, skaičiavimas, ataskaitų teikimas, perdavimas ir atvaizdavimas pagal Kliento nurodymus; sąskaitų faktūrų, deklaracijų, mokėjimo failų ir ataskaitų generavimas; e. sąskaitų faktūrų ir banko duomenų keitimasis su Kliento prijungtais teikėjais
Duomenų subjektų kategorijos	Kliento darbuotojai ir rangovai; Kliento klientų, tiekėjų ir kitų verslo partnerių kontaktiniai asmenys; individualia veikla besiverčiantys asmenys, kurie yra Kliento partneriai; paties Kliento naudotojai; akcininkai ir vadovai, jei jie yra registruoti; kiti asmenys, nurodyti apskaitos dokumentuose
Asmens duomenų kategorijos	Vardai, pareigos, darbiniai kontaktai (el. paštas, telefonas, adresas); individualia veiklą besiverčiančių asmenų indentifikaciniai numeriai ir, kur reikalauja įstatymai, darbuotojų asmens kodai; banko sąskaitų numeriai ir operacijų duomenys; darbo užmokesčio, mokesčių, socialinio draudimo ir atostogų duomenys darbo užmokesčio apskaitai; transporto priemonių ir turto priskirimai; įkeltų dokumentų turinys; naudotojų veikla audito žurnale
Specialiosios kategorijos	Nenumatytos. Gali atsirasti atsitiktinai darbo užmokesčio apskaitos ir personalo įrašuose (pavyzdžiui, nedarbingumo lapelių duomenys), kai to reikalauja įstatymai
Tvarkymo vieta	Europos Sąjunga; duomenų tvarkytojams (subrangovams) už EEE ribų žiūrėkite 7 skyrių

Annex 2 - Techninės ir organizacinės priemonės

Sritis	Priemonė
Šifravimas siuntimo metu	TLS kiekvienam prisijungimui prie svetainės, programėlės, API ir tarp paslaugos bei jos duomenų tvarkytojų (subrangovų)
Šifravimas saugojimo metu	Įkelti failai saugomi užšifruoti ramybės būsenoje; duomenų bazės Tomas saugomas šifruotoje saugykloje
Autentifikavimas	Prisijungimas be slaptažodžio naudojant vienkartines nuorodas, galiojančias 15 minučių; seanso, pakvietimo ir prisijungimo žetonai saugomi tik kaip maišos (hashes); API raktai saugomi tik kaip maišos ir išduodami su aiškiomis apimtimis (scopes) kiekvienai įmonei
Nuomininkų izoliacija	Kiekvienoje lentelėje, kurioje saugomi Kliento duomenys, yra įmonės identifikatorius; eilutės lygio saugumo politikos (row-level security) duomenų bazėje apriboja kiekvieną seansą tik tai įmonei, kuriai ji yra autentifikuota
Prieigos kontrolė	Naudotojai kviečiami kiekvienai įmonei ir jiems priskiriami vaidmenys; Klientas pats administruoja savo naudotojus; „Nordlet“ darbuotojų prieiga prie gamybinės aplinkos yra apribota vardiniais administratoriais, naudojami individualūs duomenys ir prieiga ribojama tuo, ko reikalauja paslaugos operacinis vykdymas
Vientisumas	Užregistruoti dienyno įrašai yra nekeičiami; taisymai atliekami atvirkštiniais įrašais; audito žurnalas fiksuoja, kas, ką ir kada pakeitė
Registravimas ir stebėsena	Serverio ir programėlės žurnalai saugomi 90 dienų saugumo ir patikimumo sumetimais; užklausų dažnio ribojimas apsaugo nuo piktnaudžiavimo
Prieinamumas	Pertekliniai duomenų bazės mazgai ir reguliarios atsarginės kopijos; atsarginės kopijos saugomos slankiuoju grafiku ir tikrinamos atkūrimu
Duomenų kiekio mažinimas	Klientas kontroliuoja, kokius laukus pildo; pasirinktinės integracijossiunčia tik tuos duomenis, kurių integracijai reikia (pavyzdžiui, tik PVM kodą į VIES, tik įkeltą dokumentą į OCR teikėjui)
Duomenų tvarkytojų (subrangovų) valdymas	Rašytinės sutartys su kiekvienu duomenų tvarkytoju (subrangovu); sąrašas skelbiamas 3 priede; 30 dienų įspėjimas apie pakeitimus
Ištrinimas	Įmonės ištrinimas su 10 dienų atkūrimo langu, po to nuolatinis pašalinimas; paskyros ištrinimas pašalina visus Kliento duomenis; atsarginės kopijos perrašomos per 90 dienų
Darbuotojai	Visi darbuotojai saistomi konfidencialumo; asmeniui išėjus, prieiga panaikinama
Incidentų valdymas	Dokumentuota procedūra asmens duomenų saugumo pažeidimams aptikti, suvaldyti ir apie juos pranešti per 6 skyriuje nurodytą 48 valandų langą

Annex 3 - Duomenų tvarkytojai (subrangovai)

Duomenų tvarkytojas (subrangovas)	Paslauga	Vieta	Kada naudojamas
Amazon Web Services EMEA SARL	Žiniatinklio programėlės talpinimas, įkeltų failų saugojimas, operaciniai el. laiškai (Amazon SES)	Europos Sąjunga	Visada
Clever Cloud SAS	API programėlės serverių talpinimas	Prancūzija	Visada
Neon, LLC	Duomenų bazės talpinimas, duomenų bazės atsarginės kopijos	Vokietija (Frankfurtas), kartu su „Neon, LLC“ Jungtinėse Valstijose	Visada
Stripe Payments Europe, Ltd.	Mokėjimų apdorojimas kreditų pirkimui	Airija, kartu su „Stripe, Inc.“ (Jungtinės Valstijos) kortelių apdorojimui	Kai Klientas perka kreditus. „Stripe“ apdoroja paties Kliento atsiskaitymo duomenis, o ne duomenų subjektų Kliento asmens duomenis
Resend, Inc.	Operacinių el. laiškų siuntimas	Jungtinės Valstijos (ES regionas)	Kai sukonfigūruota vietoj „Amazon SES“
Mistral AI	Optinis įkeltų dokumentų simbolių atpažinimas (OCR)	Prancūzija	Tik kai Klientas naudoja dokumentų nuskaitymą
Enable Banking Oy	Banko sąskaitos operacijų gavimas	Suomija	Tik kai Klientas prijungia banko sąskaitą
Kliento įmonei sukonfigūruotas „Peppol“ prieigos taško teikėjas	E. sąskaitų faktūrų keitimasis „Peppol“ tinklu	Priklauso nuo teikėjo	Tik kai Klientas įjungia e. sąskaitų faktūrų teikimą

Europos Komisijos VIES paslauga, kuri tikrina PVM mokėtojų kodus, yra nepriklausoma viešoji paslauga, o ne duomenų tvarkytojas (subrangovas); jai siunčiamas tik PVM mokėtojo kodas. Operaciniai el. laiškai siunčiami per „Amazon SES“ arba „Resend“, atsižvelgiant į tai, kas sukonfigūruota platformai; jokie kiti el. pašto teikėjai nenaudojami. „GitHub, Inc.“ talpinama viešoji problemų sekimo sistema (issue tracker), naudojama pagalbos tarnybos; ten skelbiamą turinį Klientas pateikia savanoriškai, todėl „GitHub“ nėra Kliento asmens duomenų duomenų tvarkytojas (subrangovas).