Duomenų tvarkymo sutartis

Galioja nuo 2026 m. spalio 27 d.

Ši sutartis (toliau – Sutartis) sudaroma tarp organizacijos, kuri naudojasi Glosa (toliau – Valdytojas), ir [įmonės pavadinimas], įmonės kodas [įmonės kodas], buveinės adresas [buveinės adresas], el. paštas [kontaktinis el. paštas] (toliau – Tvarkytojas) pagal Bendrojo duomenų apsaugos reglamento (BDAR) 28 straipsnį. Sutartis yra Naudojimo sąlygų dalis ir įsigalioja, kai Valdytojo savininkas ar administratorius, kurdamas organizaciją ar vėliau Paslaugoje, pažymi, kad Valdytojo vardu su ja sutinka (sutikimo laikas ir redakcija išsaugomi). Rašytinės, pasirašytos Sutarties versijos galima paprašyti el. paštu [kontaktinis el. paštas].

1. Tvarkymo dalykas ir trukmė

Tvarkytojas tvarko asmens duomenis tik tiek, kiek reikia Glosos paslaugai (rankraščių ir maketų korektūrai, bendradarbiavimui, AI korektūrai) teikti, visą Paslaugos naudojimo laiką ir iki duomenų ištrynimo pagal 9 skyrių.

2. Duomenų kategorijos ir duomenų subjektai

• Duomenų subjektai: Valdytojo darbuotojai ir bendradarbiai (redaktoriai, maketuotojai, autoriai), taip pat asmenys, apie kuriuos rašoma įkeltuose rankraščiuose.
• Duomenys: vardas, pavardė, el. pašto adresas, rolė projekte, pastabos ir komentarai, veiksmų žurnalas; rankraščiuose ir maketuose esantys bet kokie asmens duomenys, kuriuos įkelia Valdytojas.
• Valdytojas užtikrina, kad turi teisinį pagrindą įkelti ir tvarkyti šiuos duomenis, o specialių kategorijų duomenis įkelia tik tada, kai tai būtina ir teisėta.

3. Tvarkytojo pareigos

• Tvarkyti duomenis tik pagal dokumentuotus Valdytojo nurodymus – šią Sutartį ir Paslaugos nustatymus.
• Užtikrinti, kad duomenis tvarkantys asmenys būtų įsipareigoję saugoti konfidencialumą.
• Taikyti 10 skyriuje nurodytas technines ir organizacines saugumo priemones (BDAR 32 str.).
• Padėti Valdytojui vykdyti duomenų subjektų prašymus (susipažinti, ištaisyti, ištrinti, perkelti) – tam Paslaugoje yra eksportas, trynimas ir paskyrų panaikinimas.
• Padėti Valdytojui atlikti poveikio duomenų apsaugai vertinimą, jei jo reikia.
• Nenaudoti duomenų savo tikslams, nenaudoti jų AI modeliams mokyti, neparduoti ir neperduoti tretiesiems asmenims, išskyrus 4 skyriuje nurodytus.

4. Subtvarkytojai

Valdytojas sutinka, kad Tvarkytojas pasitelktų šiuos subtvarkytojus:

• [serverių paslaugų teikėjas ir šalis] – serveriai;
• Cloudflare, Inc., JAV (duomenys ES) – įkeltų failų saugykla;
• Cloudflare, Inc., JAV (duomenys ES) – atsarginių kopijų saugykla (kopijos užšifruotos, teikėjas jų perskaityti negali);
• el. laiškų siuntimo paslaugos teikėjas – pranešimų ir kvietimų siuntimas (vardas, el. paštas, pranešimo turinys). Jei Valdytojas nurodo savo pašto serverį, jo kvietimai ir pranešimai siunčiami per šį serverį, kurį pasirenka ir už kurį atsako pats Valdytojas;
• Anthropic, PBC (JAV) – AI korektūra; duomenys perduodami tik naudojant AI funkcijas, o Valdytojas jas gali išjungti organizacijos nustatymuose. Siunčiamas tik tikrinamų puslapių tekstas (maketo patikrai – ir tų puslapių vaizdai), žodynas ir stiliaus gidas; duomenys nenaudojami modeliams mokyti ir ištrinami per 30 dienų.

Apie ketinimą pasitelkti naują ar pakeisti subtvarkytoją Tvarkytojas praneša ne vėliau kaip prieš 30 dienų; Valdytojas per šį laiką gali pagrįstai prieštarauti ir, nepavykus susitarti, nutraukti Paslaugos naudojimą. Subtvarkytojams taikomi ne mažesni duomenų apsaugos įsipareigojimai nei šioje Sutartyje.

5. Duomenų perdavimas už EEE ribų

Duomenys už Europos ekonominės erdvės ribų perduodami tik taikant BDAR V skyriuje numatytas apsaugos priemones – Europos Komisijos patvirtintas standartines sutarčių sąlygas arba, kai gavėjas yra sertifikuotas, Komisijos sprendimą dėl tinkamumo (ES ir JAV duomenų privatumo sistema).

6. Asmens duomenų saugumo pažeidimai

Sužinojęs apie asmens duomenų saugumo pažeidimą, Tvarkytojas nepagrįstai nedelsdamas, ne vėliau kaip per 48 valandas, praneša Valdytojui el. paštu (organizacijos savininkams) ir pateikia turimą informaciją: pažeidimo pobūdį, paveiktų duomenų kategorijas ir apytikslį kiekį, galimas pasekmes ir taikytas ar siūlomas priemones.

7. Auditas ir informacija

Valdytojo prašymu Tvarkytojas pateikia informaciją, reikalingą įrodyti, kad laikomasi BDAR 28 straipsnio, ir sudaro sąlygas pagrįstiems auditams, apie juos susitarus ne vėliau kaip prieš 30 dienų.

8. Valdytojo nurodymai

Valdytojas nurodymus duoda per Paslaugos nustatymus (narių rolės, AI funkcijų įjungimas, duomenų saugojimo terminai, trynimas) arba el. paštu. Jei Tvarkytojo nuomone nurodymas pažeidžia teisės aktus, jis apie tai nedelsdamas informuoja Valdytoją.

9. Duomenų grąžinimas ir ištrynimas

Valdytojas bet kada gali eksportuoti savo duomenis (PDF su pastabomis, CSV, Word, pridėti failai) ir ištrinti projektus ar visą organizaciją. Ištrinti duomenys ir failai pašalinami iš karto, o iš atsarginių kopijų – ne vėliau kaip per 30 dienų, išskyrus atvejus, kai juos saugoti įpareigoja teisės aktai.

10. Techninės ir organizacinės saugumo priemonės

• Šifruotas ryšys (HTTPS, HSTS), griežtos naršyklės saugumo antraštės.
• Prieiga pagal roles projekte ir organizacijoje; projektą mato tik pakviesti naudotojai.
• Slaptažodžiai saugomi tik kaip maišos; dviejų veiksnių autentifikavimas; įmonės prisijungimas (SSO) su domeno patvirtinimu.
• Sesijų valdymas, užklausų ribojimas, prisijungimo bandymų ribojimas.
• Veiksmų žurnalas (kas, kada ir ką padarė), eksportuojamas auditui.
• Reguliarios atsarginės kopijos ir jų atkūrimo patikra.
• Įkeliamų failų tipo ir dydžio patikra, pridėti failai naršyklėje atveriami izoliuotai.

11. Baigiamosios nuostatos

Sutarčiai taikoma Lietuvos Respublikos teisė. Ji galioja, kol Valdytojas naudojasi Paslauga, o 9 skyriaus įsipareigojimai – iki duomenų ištrynimo. Kontaktai duomenų apsaugos klausimais: [kontaktinis el. paštas].