Visi dokumentai

Duomenų tvarkymo sutartis

Versija 2026-10 · įsigalioja 2026 m. rugsėjo 30 d.

Ši duomenų tvarkymo sutartis (toliau — DTS) sudaroma pagal 2016 m. balandžio 27 d. Reglamento (ES) 2016/679 (Bendrasis duomenų apsaugos reglamentas, toliau — BDAR) 28 straipsnio 3 dalį ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą. Ji yra neatskiriama Skambučių asistento paslaugų teikimo sąlygų (toliau — Sąlygos) dalis ir įsigalioja kartu su jomis.

Duomenų valdytojas — Klientas, nurodytas paraiškoje ar sutartyje (toliau — Valdytojas).

Duomenų tvarkytojas — UAB INOCODE, juridinio asmens kodas 306349855, Perkūnkiemio g. 19, LT-12120 Vilnius, info@inocode.lt (toliau — Tvarkytojas).

1. Sąvokos

1.1. Sąvokos „asmens duomenys“, „tvarkymas“, „duomenų subjektas“, „duomenų valdytojas“, „duomenų tvarkytojas“, „asmens duomenų saugumo pažeidimas“, „specialių kategorijų duomenys“ suprantamos taip, kaip apibrėžta BDAR 4 ir 9 straipsniuose.

1.2. Subtvarkytojas — kitas duomenų tvarkytojas, kurį Tvarkytojas pasitelkia Valdytojo asmens duomenims tvarkyti (BDAR 28 str. 2 ir 4 d.).

1.3. Kitos sąvokos — kaip Sąlygose.

2. Dalykas ir aprašas

2.1. Tvarkytojas Valdytojo vardu tvarko asmens duomenis tik tiek, kiek būtina Paslaugai teikti. Tvarkymo dalykas, trukmė, pobūdis, tikslai, duomenų rūšys ir subjektų kategorijos nurodyti 1 priede.

2.2. DTS taikoma tik tiems duomenims, kuriuos Tvarkytojas tvarko Valdytojo vardu. Kliento atstovų ir paskyros duomenis Tvarkytojas tvarko kaip savarankiškas valdytojas pagal Privatumo politiką.

3. Valdytojo pareigos

3.1. Valdytojas atsako, kad:

1. turi teisėtą pagrindą tvarkyti Skambintojų ir kitų subjektų duomenis (BDAR 6 str., o specialių kategorijų duomenims — ir 9 str.);
2. Skambintojai informuojami apie tvarkymą pagal BDAR 13 straipsnį: bent tai, kad kalba su DI sistema (Reglamento (ES) 2024/1689 50 str. 1 d.), kad pokalbis įrašomas, kas yra valdytojas ir kur rasti išsamią informaciją. Numatytasis asistento pasisveikinimas tai pasako; Valdytojas savo privatumo pranešime nurodo Tvarkytoją ir subtvarkytojus kaip duomenų gavėjus;
3. jo nurodymai (instrukcijos, žinių bazė, anketos laukai, saugojimo terminai, duomenų paskirtys — pvz. savo CRM, SharePoint, webhook) atitinka teisės aktus;
4. prireikus atliko poveikio duomenų apsaugai vertinimą (BDAR 35 str.), ypač jei per Paslaugą renkami sveikatos ar kiti specialių kategorijų duomenys.

3.2. Valdytojo nurodymai Tvarkytojui yra: Sąlygos, ši DTS ir Valdytojo nustatymai Panelėje. Papildomi nurodymai teikiami raštu (el. paštu). Jei Tvarkytojas mano, kad nurodymas pažeidžia BDAR ar kitus duomenų apsaugos teisės aktus, jis nedelsdamas apie tai praneša Valdytojui (BDAR 28 str. 3 d. paskutinė pastraipa).

4. Tvarkytojo pareigos

4.1. Tvarkytojas (BDAR 28 str. 3 d. a–h p.):

1. tvarko asmens duomenis tik pagal dokumentais įformintus Valdytojo nurodymus, įskaitant perdavimą į trečiąsias valstybes, nebent tai daryti reikalauja ES ar Lietuvos teisė — tada apie tai informuoja Valdytoją, jei tai neuždrausta;
2. užtikrina, kad duomenis tvarkyti įgalioti asmenys būtų įsipareigoję užtikrinti konfidencialumą;
3. įgyvendina BDAR 32 straipsnyje nurodytas saugumo priemones (2 priedas);
4. subtvarkytojus pasitelkia tik pagal šios DTS 5 skyrių;
5. padeda Valdytojui techninėmis ir organizacinėmis priemonėmis vykdyti pareigą atsakyti į duomenų subjektų prašymus (BDAR III skyrius): Panelėje Valdytojas gali peržiūrėti, eksportuoti ir ištrinti pokalbius, įrašus ir kontaktus; kitais atvejais Tvarkytojas padeda per 10 darbo dienų nuo prašymo;
6. padeda Valdytojui užtikrinti BDAR 32–36 straipsniuose nustatytų prievolių vykdymą, atsižvelgdamas į tvarkymo pobūdį ir turimą informaciją;
7. baigus teikti Paslaugą, Valdytojo pasirinkimu grąžina (leidžia eksportuoti) arba ištrina asmens duomenis ir ištrina esamas jų kopijas, nebent ES ar Lietuvos teisė reikalauja juos saugoti (7 skyrius);
8. pateikia Valdytojui visą informaciją, būtiną įrodyti, kad vykdomos BDAR 28 straipsnio prievolės, ir leidžia atlikti auditą (9 skyrius).

4.2. Tvarkytojas nenaudoja Valdytojo asmens duomenų savo tikslams, įskaitant DI modelių mokymą, ir neparduoda jų tretiesiems asmenims.

4.3. Tvarkytojas veda tvarkymo veiklos įrašus pagal BDAR 30 straipsnio 2 dalį.

5. Subtvarkytojai

5.1. Valdytojas suteikia bendrą leidimą pasitelkti 3 priede nurodytus subtvarkytojus.

5.2. Apie ketinimą pridėti ar pakeisti subtvarkytoją Tvarkytojas praneša Valdytojui el. paštu ne vėliau kaip prieš 30 dienų. Valdytojas per šį laiką gali pagrįstai prieštarauti; jei šalys nesusitaria, Valdytojas gali nutraukti sutartį nuo pakeitimo dienos be papildomų mokesčių.

5.3. Tvarkytojas su kiekvienu subtvarkytoju sudaro sutartį, nustatančią ne mažesnes duomenų apsaugos prievoles nei ši DTS. Jei subtvarkytojas nevykdo prievolių, Tvarkytojas lieka atsakingas Valdytojui (BDAR 28 str. 4 d.).

5.4. Valdytojo paties įjungtos integracijos (jo „Microsoft 365“, „Google“ kalendoriai, SharePoint, jo duomenų bazė, webhook adresai, jo paties DI tiekėjo raktas) nėra Tvarkytojo subtvarkytojai: duomenys perduodami Valdytojo nurodytam gavėjui pagal Valdytojo su juo sudarytą sutartį.

6. Perdavimas už Europos ekonominės erdvės ribų

6.1. Asmens duomenys į trečiąsias valstybes perduodami tik laikantis BDAR V skyriaus: į šalis, dėl kurių Europos Komisija priėmė sprendimą dėl tinkamumo (įskaitant ES ir JAV duomenų apsaugos sistemą — Data Privacy Framework — sertifikuotoms bendrovėms), arba taikant Komisijos patvirtintas standartines sutarčių sąlygas ir, prireikus, papildomas priemones.

6.2. Kiekvieno subtvarkytojo perdavimo pagrindas nurodytas 3 priede.

7. Saugojimas ir ištrynimas

7.1. Duomenys saugomi Valdytojo Panelėje nustatytą laiką, bet ne ilgiau, nei leidžia Valdytojo Planas (1 priedo 5 punktas). Pasibaigus terminui duomenys ištrinami automatiškai kas naktį.

7.2. Pasibaigus sutarčiai Valdytojas per 30 dienų gali eksportuoti duomenis; po to jie ištrinami. Atsarginėse kopijose duomenys išnyksta ne vėliau kaip per 14 dienų.

7.3. Netęsto bandomojo laikotarpio duomenys ištrinami pagal Sąlygų 3.4 punktą.

8. Asmens duomenų saugumo pažeidimai

8.1. Sužinojęs apie asmens duomenų saugumo pažeidimą, Tvarkytojas praneša Valdytojui be nepagrįsto delsimo, ne vėliau kaip per 48 valandas (BDAR 33 str. 2 d.), kad Valdytojas galėtų per 72 valandas pranešti Valstybinei duomenų apsaugos inspekcijai.

8.2. Pranešime, kiek tai žinoma, nurodoma: pažeidimo pobūdis, subjektų ir įrašų kategorijos bei apytikslis skaičius, tikėtinos pasekmės, taikytos ar siūlomos priemonės ir kontaktinis asmuo. Informacija teikiama dalimis, jei visos iš karto pateikti neįmanoma.

9. Auditas

9.1. Valdytojo prašymu Tvarkytojas per 30 dienų pateikia informaciją, būtiną įrodyti, kad laikomasi šios DTS (saugumo priemonių aprašą, subtvarkytojų sąrašą ir jų sertifikatus ar audito ataskaitas, kiek jos prieinamos).

9.2. Jei pateiktos informacijos nepakanka, Valdytojas ar jo įgaliotas auditorius, įsipareigojęs saugoti konfidencialumą, gali atlikti patikrinimą ne dažniau kaip kartą per metus, apie tai pranešęs prieš 30 dienų, darbo valandomis ir netrikdydamas Paslaugos kitiems klientams. Audito išlaidas apmoka Valdytojas, nebent nustatomas esminis Tvarkytojo pažeidimas. Institucijos nurodytas patikrinimas atliekamas jos nustatyta tvarka.

10. Atsakomybė

10.1. Atsakomybė už žalą duomenų subjektams nustatoma pagal BDAR 82 straipsnį. Šalių tarpusavio atsakomybei taikomas Sąlygų 12 skyrius, išskyrus atvejus, kai žala padaryta tyčia ar dėl didelio neatsargumo.

11. Galiojimas

11.1. DTS galioja, kol Tvarkytojas tvarko Valdytojo asmens duomenis. Jos pakeitimams taikomas Sąlygų 14 skyrius; subtvarkytojų keitimui — šios DTS 5.2 punktas.

11.2. Jei DTS ir Sąlygos prieštarauja, asmens duomenų tvarkymo klausimais taikoma DTS.

1 priedas. Tvarkymo aprašas

1. Dalykas ir pobūdis. Įeinančių skambučių priėmimas ir tvarkymas DI asistentu Valdytojo vardu: kalbos atpažinimas ir sintezė, pokalbio įrašymas, transkribavimas, suvestinės sudarymas, registracija vizitams, Valdytojo nurodytų duomenų surinkimas, pranešimų (SMS, el. laiškų, kalendoriaus kvietimų) siuntimas, perjungimas žmogui, duomenų saugojimas Panelėje ir perdavimas Valdytojo nurodytoms paskirtims.

2. Tikslas. Valdytojo aptarnavimas telefonu: atsakyti į klausimus, užregistruoti vizitui, priimti užklausą, perduoti informaciją Valdytojo darbuotojams.

3. Trukmė. Visą sutarties laiką ir 7 skyriuje nurodytą laiką po jos pabaigos.

4. Duomenų subjektai ir duomenys.

Specialių kategorijų duomenys tvarkomi tik tada, kai Valdytojas juos surinkti nurodo (pvz. vizito priežastis gydymo įstaigoje) — už teisinį pagrindą atsako Valdytojas.

5. Saugojimo terminai (numatytieji, Valdytojas gali trumpinti Panelėje „Saugojimas“).

Pilnas skambintojo numeris saugomas Valdytojo nustatytą laiką, vėliau pakeičiamas nuasmenintu identifikatoriumi.

2 priedas. Techninės ir organizacinės saugumo priemonės

1. Šifravimas — duomenys perduodami šifruotu ryšiu; slaptos reikšmės (raktai, prisijungimai) saugomos užšifruotos.
2. Klientų atskyrimas — kiekvieno Valdytojo duomenys atskirti nuo kitų klientų duomenų.
3. Prieigos kontrolė — rolės ir teisės; jautrūs duomenys matomi tik turintiems teisę; slaptažodžiai saugomi tik neatkuriamu pavidalu.
4. Auditas — fiksuojami prisijungimai ir veiksmai su duomenimis, įskaitant INOCODE darbuotojų įėjimą į Valdytojo Panelę; Valdytojas žurnalą mato Panelėje.
5. Duomenų minimizavimas ir trynimas — automatinis trynimas pagal terminus; integracijos gauna tik Valdytojo pasirinktus duomenis.
6. Atsarginės kopijos — daromos reguliariai.
7. Pažeidžiamumų valdymas — programinė įranga atnaujinama, pakeitimai tikrinami prieš diegiant.
8. Darbuotojai — prieigą turi tik INOCODE darbuotojai, kuriems ji būtina, įsipareigoję saugoti konfidencialumą.

3 priedas. Subtvarkytojai

Visi išvardyti DI tiekėjai duomenis gauna per komercines API sąlygas, pagal kurias jie tų duomenų nenaudoja savo modeliams mokyti.

Paysera (UAB „Paysera LT“) apdoroja mokėjimus kaip savarankiškas valdytojas ir nėra subtvarkytojas.