Duomenų tvarkymo sutartis

Ši duomenų tvarkymo sutartis ("Sutartis") nustato, kaip TicketPa tvarko asmens duomenis verslų, kurie naudojasi TicketPa, vardu, kaip reikalauja Bendrojo duomenų apsaugos reglamento (BDAR) 28 straipsnis. Ji yra mūsų naudojimosi sąlygų dalis, ir jūs ją priimate, kai priimate sąlygas.

Kas yra šios Sutarties šalys

• Jūs, verslas, kuris naudojasi TicketPa, kaip duomenų valdytojas.
• TicketPa kaip duomenų tvarkytojas (TicketPa valdo: asmuo, kuriam išduota individualios veiklos pažyma Nr. 777726, Vilnius, Lietuva).

Sutartis taikoma jūsų svečių ir kitų asmenų asmens duomenims, kuriuos tvarkome jūsų vardu teikdami TicketPa ("svečių duomenys"). 1 priede aprašyti šie duomenys ir tai, ką su jais darome. Jūsų ir jūsų komandos narių asmens duomenims vietoj šios Sutarties taikoma mūsų privatumo politika, nes šių duomenų valdytojas esame mes.

Jei ši Sutartis ir naudojimosi sąlygos asmens duomenų klausimais prieštarauja viena kitai, taikoma ši Sutartis.

Ką darome su svečių duomenimis

Svečių duomenis tvarkome tik tam, kad teiktume jums TicketPa, ir tik pagal jūsų dokumentais įformintus nurodymus. Jūsų nurodymai yra naudojimosi sąlygos ir ši Sutartis, taip pat tai, kaip nustatote ir naudojate TicketPa: jūsų nustatymai, tai, ką jūs ir jūsų komanda darote sistemoje, ir tai, ko mūsų prašote raštu.

Jei manome, kad nurodymas pažeidžia duomenų apsaugos teisę, jums apie tai pranešame. Jei ES ar Lietuvos teisė reikalauja, kad svečių duomenis tvarkytume kitaip, apie tai jums iš anksto pranešame, nebent ta teisė tai draudžia.

Konfidencialumas

Kiekvienas mūsų pusėje esantis asmuo, galintis susipažinti su svečių duomenimis, privalo užtikrinti jų konfidencialumą ir gali juos naudoti tik taip, kaip leidžia ši Sutartis.

Saugumas

Svečių duomenis saugome 2 priede nurodytomis techninėmis ir organizacinėmis priemonėmis ir, keičiantis TicketPa, užtikriname, kad jos atitiktų rizikas. Priemones galime atnaujinti, jei dėl to apsaugos lygis nesumažėja.

Subtvarkytojai

Suteikiate mums leidimą pasitelkti subtvarkytojus, t. y. 3 priede išvardytus paslaugų teikėjus, kurie padeda teikti TicketPa. Kiekvienam iš jų sutartimi nustatome duomenų apsaugos pareigas, kurios yra ne mažiau griežtos nei mūsų pareigos pagal šią Sutartį, ir už jų darbą jums atsakome patys.

Ne vėliau kaip prieš 30 dienų iki naujo subtvarkytojo pasitelkimo ar esamo pakeitimo apie tai el. paštu pranešame jūsų verslo savininkams ir atnaujiname 3 priedą. Jei turite pagrįstų su duomenų apsauga susijusių priežasčių prieštarauti, praneškite mums per tą laiką. Jei jūsų prieštaravimo išspręsti nepavyksta, galite uždaryti paskyrą iki pakeitimo, ir mes grąžinsime iš anksto sumokėtus mokesčius už laikotarpį po uždarymo.

Pagalba jums

Kiek pagrįstai galime ir atsižvelgdami į tai, ką daro TicketPa, padedame jums:

• atsakyti į jūsų svečių prašymus pasinaudoti savo teisėmis pagal BDAR. Jei svečias kreipiasi į mus, jo prašymą perduodame jums ir patys į jį neatsakome, nebent jūs mūsų to paprašote. Daugelį prašymų galite įvykdyti patys TicketPa sistemoje; dėl kitų, pavyzdžiui, svečio duomenų ištrynimo, parašykite mums, ir mes tai padarysime už jus.
• vykdyti kitas savo pareigas pagal BDAR 32-36 straipsnius, pavyzdžiui, susijusias su saugumu, poveikio duomenų apsaugai vertinimu ir konsultavimusi su duomenų apsaugos priežiūros institucija.

Asmens duomenų saugumo pažeidimai

Sužinoję apie saugumo pažeidimą, kuris paveikia svečių duomenis, apie tai jums pranešame nepagrįstai nedelsdami ir ne vėliau kaip per 48 valandas. Pranešame, ką apie jį žinome: kas įvyko, kokių kategorijų duomenis ir maždaug kiek žmonių jis paveikė, kokios tikėtinos pasekmės ir ką darome, o sužinoję daugiau, jus nuolat informuojame. Imamės pagrįstų priemonių pažeidimui suvaldyti ir jo poveikiui sumažinti.

Kai nustojate naudotis TicketPa

Prieš uždarant paskyrą, galite atsisiųsti savo rezervacijas, pavyzdžiui, rezervacijų CSV failą skiltyje Reports (Ataskaitos). Per 90 dienų nuo jūsų verslo uždarymo TicketPa sistemoje ištriname svečių duomenis, nebent ES ar Lietuvos teisė reikalauja dalį jų saugoti. Po to per 30 dienų jie automatiškai dingsta ir iš mūsų atsarginių kopijų. Jūsų prašymu ištrynimą patvirtiname raštu.

Informacija ir auditai

Pateikiame jums informaciją, kurios reikia norint įrodyti, kad laikomės šios Sutarties. Jūs arba jūsų pasirinktas nepriklausomas auditorius, įsipareigojęs laikytis konfidencialumo, galite atlikti mūsų atitikties auditą kartą per metus arba dažniau po pažeidimo ar kai to prašo duomenų apsaugos priežiūros institucija. Apie auditą praneškite mums ne vėliau kaip prieš 30 dienų. Auditai atliekami jūsų sąskaita, darbo valandomis ir be prieigos prie kitų verslų duomenų.

Duomenų perdavimas už Europos ekonominės erdvės ribų

Svečių duomenis už Europos ekonominės erdvės ribų perduodame tik taikydami BDAR V skyriuje reikalaujamas apsaugos priemones, pavyzdžiui, remdamiesi Europos Komisijos sprendimu dėl tinkamumo arba standartinėmis sutarčių sąlygomis. Hostinger svečių duomenis saugo Europos Sąjungoje, ten laikomos ir mūsų atsarginės kopijos Cloudflare. Tačiau užklausos į TicketPa eina per pasaulinį Cloudflare tinklą, dažniausiai per TicketPa naudojančiam asmeniui artimiausią duomenų centrą, kuris gali būti ir už Europos ekonominės erdvės ribų. Cloudflare yra JAV bendrovė, sertifikuota pagal ES ir JAV duomenų privatumo sistemą, o jos sutartyje su mumis numatytos standartinės sutarčių sąlygos.

Jūsų pareigos

Jūs atsakote už tai, kad:

• turėtumėte teisėtą pagrindą renkamiems svečių duomenims ir el. laiškams, kuriuos nusprendžiate siųsti, pavyzdžiui, prašymams palikti atsiliepimą;
• savo privatumo pranešime informuotumėte svečius, kaip naudojate jų duomenis;
• teiktumėte mums tik teisėtus nurodymus;
• neprašytumėte svečių specialių kategorijų asmens duomenų, pavyzdžiui, sveikatos duomenų, nebent jų tikrai reikia ir turite teisėtą pagrindą;
• nuspręstumėte, kas jūsų komandoje gali matyti svečių duomenis, priskirdami komandos nariams vaidmenis.

Atsakomybė ir galiojimas

Kiekvienos šalies atsakomybė pagal šią Sutartį nustatoma pagal naudojimosi sąlygas, kiek tai leidžia duomenų apsaugos teisė. Ši Sutartis galioja tol, kol tvarkome svečių duomenis jūsų vardu, įskaitant laikotarpį po jūsų paskyros uždarymo, kol svečių duomenys bus ištrinti.

1 priedas. Duomenų tvarkymo informacija

2 priedas. Saugumo priemonės

• Šifravimas perdavimo metu: kiekvienas puslapis ir užklausa pateikiami per HTTPS.
• Apsauga nuo atakų: visas srautas į TicketPa eina per Cloudflare, kuri sustabdo atakas, pavyzdžiui, užklausų antplūdžius, dar prieš joms pasiekiant serverius. Ryšys tarp Cloudflare ir serverių taip pat šifruojamas.
• Paskyros: slaptažodžiai saugomi tik kaip saugios maišos reikšmės, kiekvienai paskyrai galima įjungti dviejų veiksnių autentifikavimą, o prisijungimo bandymų dažnis ribojamas.
• Slaptųjų duomenų šifravimas saugojimo metu: dviejų veiksnių autentifikavimo slaptieji raktai, atkūrimo kodai ir mokėjimo sesijų slaptieji raktai duomenų bazėje saugomi užšifruoti.
• Verslų atskyrimas: kiekvienas įrašas priklauso vienam verslui, ir TicketPa kiekvienos užklausos metu tikrina, ar prisijungęs asmuo yra to verslo narys. Automatiniai testai tikrina, kad vienas verslas negalėtų pasiekti kito verslo duomenų.
• Vaidmenys jūsų versle: savininkai, vadybininkai ir vedėjai mato skirtingą informaciją. Vedėjai nemato ataskaitų ir mokėjimų nustatymų.
• Mūsų prieiga: prieigą prie serverių ir administravimo skydelio turi tik TicketPa valdantys asmenys. Prisijungti prie serverių galima tik su SSH raktu, nes slaptažodžiai išjungti, o adresas, iš kurio nuolat nepavyksta prisijungti, blokuojamas automatiškai.
• Priegloba: serveriai yra duomenų centre Europos Sąjungoje, už ugniasienės, kuri leidžia tik TicketPa reikalingus ryšius. Operacinės sistemos saugumo atnaujinimai įdiegiami automatiškai.
• Atsarginės kopijos: duomenų bazės atsarginė kopija kas 6 valandas daroma į privačią, užšifruotą saugyklą Europos Sąjungoje, atskirtą nuo serverių. Kiekviena kopija automatiškai ištrinama po 30 dienų. Įkeltų nuotraukų ir logotipų atsarginės kopijos kasdien daromos į tą pačią vietą ir saugomos 7 dienas.
• Mokėjimai: kortelių duomenis tvarko tik bendrovė Stripe, sertifikuota pagal PCI DSS. TicketPa saugo mokėjimų ID ir sumas, bet niekada ne kortelių numerius.
• Duomenų kiekio mažinimas: įkeltos nuotraukos ir logotipai perkoduojami, todėl pašalinami paslėpti duomenys, pavyzdžiui, GPS vieta; Stripe įvykių įrašai ir nepavykusios foninės užduotys, kuriose gali būti svečių duomenų, ištrinami po 30 dienų; nebegaliojantys kvietimai ištrinami.

3 priedas. Subtvarkytojai

Paslaugos, kurias prijungiate patys. Jei įjungiate mokėjimus internetu, jūsų svečių mokėjimo duomenys perduodami į jūsų pačių Stripe paskyrą pagal jūsų sutartį su Stripe. Šiuo atveju Stripe nėra mūsų subtvarkytojas.

Klausimai dėl šios Sutarties: hello@ticketpa.com.