Privatumo politika

Paskutinį kartą atnaujinta: 2026-10-08

Šioje privatumo politikoje paaiškinama, kaip bendrovė „Nordlet OÜ“ („Nordlet“, „mes“) tvarko asmens duomenis, kai lankotės svetainėje nordlet.com, naudojatės programėle app.nordlet.com, siunčiate užklausas į API adresu api.nordlet.com arba susisiekiate su mumis. Ji parengta vadovaujantis Bendruoju duomenų apsaugos reglamentu (ES) 2016/679 (BDAR).

Duomenų valdytojas: Nordlet OÜ, Pärnu mnt. 139b - 14, Talinas, 11317, Estija.

1. Du vaidmenys: valdytojas ir tvarkytojas

„Nordlet“ veikia atlikdama du skirtingus vaidmenis, ir ši politika taikoma tik pirmajam iš jų.

• Duomenų valdytojas. Kalbant apie duomenis, kuriuos renkame apie jus kaip svetainės ir programėlės naudotoją – jūsų paskyrą, prisijungimo veiklą, atsiskaitymus, palaikymo užklausas – „Nordlet“ pati sprendžia, kodėl ir kaip šie duomenys yra tvarkomi. Šioje politikoje aprašomas būtent toks duomenų tvarkymas.
• Duomenų tvarkytojas. Kalbant apie duomenis, kuriuos jūs ir jūsų naudotojai įvedate į programėlę arba siunčiate į API – sąskaitas faktūras, partnerių kontaktinius duomenis, darbuotojų ir darbo užmokesčio duomenis, banko operacijas, nuskenuotus dokumentus – paskyrą valdalanti įmonė yra duomenų valdytoja, o „Nordlet“ juos tvarko tik pagal tos įmonės nurodymus. Tokį duomenų tvarkymą reglamentuoja Duomenų tvarkymo sutartys. Jei esate įmonės, naudojačios „Nordlet“, darbuotojas, klientas arba tiekėjas ir norite pasinaudoti savo teisėmis dėl tos įmonės apie jus saugomų duomenų, kreipkitės tiesiogiai į tą įmonę.

2. Kokius duomenis renkam ir kodėl

Duomenys	Iš kur gaunami	Kodėl juos tvarkome	Teisinis pagrindas (BDAR 6 str.)
El. pašto adresas, vardas, pageidaujama kalba	Jūs, kai paprašote prisijungimo nuorodos arba priimate pakvietimą	Kad suvaldytume ir administruotume jūsų paskyrą, siųstume vienkartines prisijungimo nuorodas ir rodytume programėlę jūsų pasirinkta kalba	Sutarties vykdymas (6.1.b)
Prisijungimo nuorodų raktai (token), sesijos raktai (token), prisijungimo laikas	Sugeneruoja paslauga	Kad jus autentifikuotume; raktai saugomi tik kaip maišos (hash) reikšmės	Sutarties vykdymas (6.1.b)
Jūsų registruojami įmonės duomenys (pavadinimas, kodas, PVM mokėtojo kodas, šalis)	Jūs	Kad galėtume užtikrinti įmonės darbo sritį ir išrašyti sąskaitas faktūras tinkamam subjektui	Sutarties vykdymas (6.1.b)
Atsiskaitymo įrašai: įsigyti kreditai, valandinio naudojimo išskaitos, sąskaitos faktūros, PVM statusas	Jūs ir Stripe	Kad apmokestintume paslaugas, išrašytume sąskaitas faktūras ir tvarkytume apskaitą, kurios reikalauja teisės aktai	Sutartis (6.1.b); teisinė prievolė (6.1.c)
Mokėjimo kortelės arba banko rekvizitai	Jūs, įvedę „Stripe“ apmokėjimo puslapyje	Kad priimtume mokėjimą. „Nordlet“ niekada nematoma viso kortelės numerio – jį saugo „Stripe“	Sutartis (6.1.b)
Naudojimo apskaita: API užklausų skaičius, nuskenuoti puslapiai, sunaudota saugykla (pagal įmones ir dienas)	Sugeneruoja paslauga	Kad apskaičiuotume mokesčius ir užtikrintume plano limitų laikymąsi	Sutartis (6.1.b)
Audito žurnalas: kas, ką ir kada padarė įmonės viduje	Sugeneruoja paslauga	Kad turėtumėte nekeičiamą apskaitos duomenų pakeitimų istoriją ir galėtume tirti saugumo incidentus	Sutartis (6.1.b); teisėtas interesas užtikrinti saugumą (6.1.f)
Serverio žurnalai: IP adresas, užklausos kelias, naršyklės identifikatorius (user agent), laiko žymos, klaidų detalės	Jūsų naršyklė arba API kliento programa	Kad paslauga veiktų sklandžiai, aptiktume piktnaudžiavimą, taikytume užklausų dažnio ribojimus (rate-limit) ir šalintume gedimus	Teisėtas interesas užtikrinti saugumą ir patikimumą (6.1.f)
Mums siunčiami el. laiškai ir žinutės	Jūs	Kad galėtume jums atsakyti	Teisėtas interesas nagrinėti užklausas (6.1.f)
Turinys, kurį skelbiate viešojoje problemų sekimo sistemoje (issue tracker)	Jūs, per GitHub	Kad suteiktume palaikymą. Atkreipkite dėmesį, kad ši sistema yra viešoji, ją valdo „GitHub“ pagal savo sąlygas	Teisėtas interesas (6.1.f)

Renkami duomenys nėra naudojami reklamos tikslais, taip pat asmens duomenys nėra parduodami.

3. Slapukai

Programėlėje naudojami šie slapukai:

• sesijos slapukas, kuris palaiko jūsų prisijungimą iki 30 dienų; jis yra prieinamas tik per HTTP protokolas (HTTP-only) ir nėra skaitomas skriptų;
• kalbos slapukas (NEXT_LOCALE), kuris iki vienerių metų prisimena jūsų pasirinktą kalbą;
• trys trumpalaikiai slapukai (nordlet_new_key, nordlet_new_invite, nordlet_new_secret), kurie ne ilgiau kaip 60 sekundžių saugo neseniai sukurtą API raktą, pakvietimo nuorodą arba saito (webhook) paslaptį, kad galėtų būti parodyti jums vieną kartą; jie yra prieinami tik per HTTP ir iškart išnyksta.

Visi šie slapukai yra griežtai būtini, kad programėlė veiktų, todėl sutikimo juosta nerodoma. Svetainėje ir programėlėje nenaudojami jokie analizės, stebėsenos ar reklaminiai slapukai. „Stripe“ apmokėjimo puslapis, kurį atidarote pirkdami kreditus, nustato savo slapukus pagal „Stripe“ privatumo politiką.

4. Kas gauna asmens duomenis

Asmens duomenimis dalijamasi tik su paslaugų teikėjais, kurie padeda mums vykdyti veiklą, ir tik tokia apimtimi, kokios kiekvienam iš jų reikia:

Gavėjas	Tikslas	Vieta
Amazon Web Services EMEA SARL	Žiniatinklio programėlės talpinimas (hostingas), įkeltų failų saugojimas, operacinių el. laiškų siuntimas	Europos Sąjunga
Clever Cloud SAS	API programėlės serverių talpinimas	Prancūzija
Neon, LLC	Duomenų bazės ir jos atsarginių kopijų talpinimas	Vokietija (Frankfurtas), o „Neon, LLC“ – Jungtinėse Valstijose
Stripe Payments Europe, Ltd.	Mokėjimų apdorojimas, PVM apskaičiavimas atsiskaitant, sąskaitos faktūros už įsigytus kreditus	Airija; kortelės duomenis pagal „Stripe“ taikomas apsaugos priemones gali tvarkyti „Stripe, Inc.“ Jungtinėse Valstijose
Resend, Inc.	Operacinių el. laiškų siuntimas (prisijungimo nuorodos, pakvietimai, pranešimai), kai naudojama vietoje „Amazon SES“	Jungtinės Valstijos (su galimybe talpinti duomenis ES, jei įjungta)
Mistral AI	Skenuojamų dokumentų optinis simbolių atpažinimas (OCR). Siunčiamas tik įkeltas dokumentas ir tik tada, kai naudojatės skenavimo funkcija	Prancūzija
Enable Banking Oy	Banko operacijų gavimas iš jūsų prijungtų bankų. Tik tada, kai prijungiate banko sąskaitą	Suomija
Jūsų įmonei sukonfigūruotas „Peppol“ prieigos taškas	E. sąskaitų faktūrų siuntimas ir gavimas. Tik tada, kai įjungiate e. sąskaitų faktūrų siuntimą	Priklauso nuo teikėjo
Europos Komisija (VIES)	Jūsų įvestų PVM mokėtojo kodų tikrinimas. Siunčiamas tik PVM mokėtojo kodas	Europos Sąjunga
GitHub, Inc.	Palaikymui naudojama viešoji problemų sekimo sistema	Jungtinės Valstijos

Asmens duomenys taip pat gali būti atskleisti, kai to reikalauja įstatymai, pateikus teisėtą teismo ar institucijos prašymą, arba „Nordlet“ veiklą vykdančio verslo pirkėjui, kuriam tuomet būtų taikoma ši politika.

5. Duomenų perdavimas už Europos ekonominės erdvės ribų

Mūsų serveriai ir duomenų bazė yra Europos Sąjungoje. Tais atvejais, kai lentelėje nurodytas paslaugų teikėjas duomenis tvarko už EEE ribų („Stripe, Inc.“, „Resend“, „GitHub“), perdavimas grindžiamas Europos Komisijos sprendimu dėl tinkamumo ES ir JAV duomenų privatumo ramybei (Data Privacy Framework), jei teikėjas yra sertifikuotas, o kitais atvejais – Komisijos patvirtintomis standartinėmis sutartinėmis sąlygomis. Galite paprašyti mūsų pateikti taikomų apsaugos priemonių kopiją.

6. Kiek laiko saugomi duomenys

Duomenys	Saugojimo laikotarpis
Paskyros ir įmonės duomenys	Kol egzistuoja paskyra. Paskyra, kurioje niekada neįsigyjami kreditai, ištrinama praėjus 30 dienų nuo bandomojo laikotarpio pabaigos. Ištrintą įmonę galima atkurti 10 dienų, po kurių ji pašalinama visiškai. Ištrynus paskyrą arba pasibaigus sutarčiai, likę duomenys ištrinami per 30 dienų
Prisijungimo nuorodų raktai	15 minučių arba iki tol, kol jie sunaudojami; įrašas pašalinamas per valandą nuo to laiko
Sesijos raktai	Iki 30 dienų arba iki atsijungimo; pasibaigę galioti įrašai pašalinami per 6 valandas
Ištrintos paskyros	El. paštas ir vardas iškart pakeičiami anoniminiu pakaitiniu tekstu; likęs įrašas pašalinamas po 30 dienų
Saitų (webhook) pristatymo istorija	90 dienų
Sugeneruotų ataskaitų failai (Ataskaitos → Eksportas)	90 dienų
Apskaitos įrašai ir mūsų jums išrašytos sąskaitos faktūros	10 metų nuo finansinių metų pabaigos, kaip reikalauja Lietuvos buhalterinę apskaitą reglamentuojantys teisės aktai
Serverio žurnalai	90 dienų, saugoma paslaugų teikėjo žurnalų tarnybos
Audito žurnalas	Kol gyvuoja įmonės darbo sritis
Mums atsiųsti el. laiškai	2 metus nuo klausimo išsprendimo
Atsarginės kopijos	Perrašomos įprastame atsarginių kopijų kūrimo cikle, ne vėliau kaip po 90 dienų nuo duomenų ištrynimo iš aktyvios sistemos

7. Jūsų teisės

Pagal BDAR galite prašyti mūsų:

• suteikti informaciją, kokius asmens duomenis apie jus turime, ir pateikti jų kopiją (teisė susipažinti);
• ištaisyti netikslius duomenis (teisė ištaisyti);
• ištrinti jūsų duomenis (teisė būti pamirštam), atsižvelgiant į pirmiau nurodytas saugojimo prievoles;
• apriboti duomenų naudojimą tam tikrais atvejais;
• pateikti jūsų duomenis kompiuterio skaitomu formatu (teisė į duomenų perkeliamumą) – API ir programėlės eksporto funkcijos tai jau užtikrina visiems jūsų įvestiems duomenims;
• nutraukti duomenų tvarkymą, pagrįstą teisėtu interesu (teisė nesutikti).

Didžiąją dalį šių veiksmų galite atlikti patys. Programėlėje atidarykite Paskyrą (viršutinėje juostoje spustelėkite savo el. pašto adresą), kad pakeistumėte savo vardą ir prisijungimo el. paštą, peržiūrėtumėte ir atjungtumėte kitus įrenginius, atsisiųstumėte visus apie jus saugomus duomenis JSON failo formatu bei ištrintumėte paskyrą. Duomenis, kuriuos jūsų įmonė kaupia apie kitus asmenis (partnerius, darbuotojus), įmonės administratoriai gali ištrinti arba anonimizuoti Partnerių ir Darbuotojų puslapiuose.

Visais kitais klausimais rašykite adresu info@nordlet.com iš savo paskyros el. pašto adreso arba nurodykite, kaip galime patvirtinti jūsų tapatybę. Atsakome per vieną mėnesį. Jei manote, kad jūsų duomenis tvarkome neteisėtai, galite pateikti skundą Valstybinei duomenų apsaugos inspekcijai (vdai.lrv.lt) arba tos ES šalies, kurioje gyventojai ar dirbate, priežiūros institucijai.

8. Saugumas

Visa srauto komunikacija su svetaine, programėle ir API yra užšifruota TLS protokolu. Prisijungimo nuorodos, sesijos, pakvietimai ir API raktai saugomi kaip maišos (hash) reikšmės, todėl nutekėjusi duomenų bazės kopija jų neatskleis. Kiekvienos įmonės duomenys yra izoliuoti duomenų bazėje taikomomis eilučių lygio saugumo taisyklėmis (row-level security), todėl vienos įmonės API raktas negali perskaityti kitos įmonės eilučių. Įkelti failai saugomi užšifruoti ramybės būsenoje (at rest). Prieiga prie „Nordlet“ darbuotojų yra ribojama iki to, kas būtina paslaugai vykdyti, ir yra registruojama. Jei saugumo pažeidimas turėtų įtakos jūsų asmens duomenims ir galėtų kelti didelę riziką, mes apie tai pranešime be nepagrįsto delsimo, kaip to reikalauja BDAR.

9. Automatinis sprendimų priėmimas

Sprendimai, turintys teisinių ar panašių reikšmingų pasekmių, nėra priimami automatizuotomis priemonėmis. Valandinis apmokestinimas, užklausų limitai ir paskyrų be kreditų sustabdymas yra mechanikiai sutartiniai taisyklių taikymai, o ne profiliavimas.

10. Vaikai

Paslauga skirta įmonėms. „Nordlet“ sąmoningai nerenka asmens duomenų iš jaunesnių nei 18 metų asmenų.

11. Šios politikos pakeitimai

Atnaujinus šią politiką, viršuje bus pakeista data „Paskutinį kartą atnaujinta“. Apie pakeitimus, kuriais sumažinamos jūsų teisės arba pridedami nauji duomenų tvarkymo tikslai, paskyrų savininkams pranešime el. paštu likus bent 30 dienų iki jų įsigaliojimo.

12. Kontaktai

Nordlet OÜ, Pärnu mnt. 139b - 14, Talinas, 11317, Estija – info@nordlet.com.