1. Parties and Effect

This Data Processing Agreement (“DPA”) forms part of the Terms of Service between the customer organization (“Customer”) and Jonas Liubinas (“Provider”). It applies to the extent the Provider processes Customer Data on behalf of the Customer as a processor under applicable data protection law.

If this DPA conflicts with the Terms of Service on data protection matters, this DPA prevails for those matters.

2. Subject Matter and Duration

The subject matter of the processing is the provision, maintenance, support, security, and hosting of PLN System for the Customer.

Processing continues for the duration of the customer relationship and any limited post-termination retention period described in the Terms, this DPA, or applicable law.

3. Nature and Purpose of Processing

The Provider processes Customer Data only to provide the Service and related support, security, maintenance, backup, restoration, troubleshooting, and service administration on behalf of the Customer.

4. Categories of Data Subjects and Personal Data

Depending on the Customer’s use of the Service, data subjects may include Customer representatives, administrators, employees, contractors, field users, clients, contact persons, invoice recipients, and other persons whose data the Customer chooses to enter into the Service.

• Identity and contact data, such as names, emails, phone numbers, addresses, and company details.
• Operational records, such as task, schedule, invoice, contact, chat, file, attachment, and activity information.
• User access and role data within the customer organization.
• Other Customer Data intentionally submitted to the Service by the Customer or its users.

5. Customer Obligations

The Customer is responsible for determining the lawful basis and purposes of Customer Data processing, providing required notices, honoring data subject rights, and ensuring that Customer Data may lawfully be transferred to and processed through the Service.

The Customer must not instruct the Provider to process Customer Data in a way that violates applicable law.

6. Provider Obligations

The Provider will process Customer Data only on documented instructions from the Customer, unless otherwise required by applicable law.

The Provider will ensure that persons authorized to process Customer Data are subject to confidentiality obligations and will implement reasonable technical and organizational security measures appropriate to the risks of the processing.

7. Subprocessors

The Customer authorizes the Provider to use subprocessors where reasonably necessary to provide the Service.

• Hetzner for European hosting infrastructure.
• Backblaze B2 for European attachment and blob storage.
• Other subprocessors, if added in the future, only to the extent reasonably necessary for operating the Service and subject to data protection obligations appropriate to the processing.

8. Security and Incident Handling

The Provider will maintain reasonable security measures, including SSL/TLS in transit, access controls, authentication and session controls, logging/monitoring, and database backups.

If the Provider becomes aware of a personal data breach affecting Customer Data, the Provider will notify the Customer without undue delay after becoming aware, taking into account the information reasonably available at the time.

9. Assistance

Taking into account the nature of processing and the information available to the Provider, the Provider will provide reasonable assistance to the Customer with data subject requests, security obligations, breach notifications, impact assessments, and supervisory authority cooperation, to the extent required by applicable law and reasonably possible.

10. Return and Deletion

Upon termination or deletion of the customer organization, the Provider will delete Customer Data in accordance with the Service deletion process, subject to any legally required retention and limited rolling backup retention.

The current deletion flow provides a 7-day grace period after a customer-initiated organization deletion request, followed by final deletion, with deleted data potentially remaining in rolling backups for up to an additional 7 days.

Deleting an individual user account does not by itself delete Customer Data controlled by the customer organization. On successful individual account deletion, the Provider removes the user’s sign-in identity and releases the email address, then anonymizes the user’s name, phone number, and profile picture within 90 days. Organization-controlled work records remain subject to the customer’s instructions, this DPA, and applicable retention law.

If the Provider suspends or terminates the Service for non-payment, material breach, security, or legal reasons, the Provider may retain Customer Data for a limited period reasonably necessary to administer the suspension or termination, handle cure, disputes or refunds, protect the Service, comply with law, and complete deletion.

11. Audits and Information

The Provider will make available information reasonably necessary to demonstrate compliance with this DPA. Any audit or inspection must be reasonable, limited in scope, protective of other customers and confidential information, and carried out in a way that does not unreasonably disrupt the Service.

12. International Transfers and Governing Law

The Provider stores Customer Data primarily in Europe. If Customer Data is transferred outside the EEA, the Provider will rely on applicable lawful transfer mechanisms required under data protection law.

Where the Provider gives notice about material changes to the Terms of Service, Privacy Policy, or this DPA, the Provider may send that notice to the organization registration email used at signup and will make the current legal documents available in English and Lithuanian.

This DPA is governed by the laws of the Republic of Lithuania, unless mandatory law requires otherwise.

1. Šalys ir taikymas

Ši Duomenų tvarkymo sutartis („DPA“) yra Paslaugų teikimo sąlygų tarp kliento organizacijos („Klientas“) ir Jono Liubino („Teikėjas“) dalis. Ji taikoma tiek, kiek Teikėjas tvarko Kliento duomenis Kliento vardu kaip duomenų tvarkytojas pagal taikytiną duomenų apsaugos teisę.

Jei ši DPA prieštarautų Paslaugų teikimo sąlygoms duomenų apsaugos klausimais, tokiems klausimams pirmenybė teikiama šiai DPA.

2. Tvarkymo dalykas ir trukmė

Tvarkymo dalykas yra PLN System teikimas, palaikymas, apsauga ir talpinimas Klientui.

Tvarkymas vyksta visą kliento santykių su Teikėju laiką ir bet kurį ribotą laikotarpį po santykių pabaigos, numatytą Sąlygose, šioje DPA ar taikytinoje teisėje.

3. Tvarkymo pobūdis ir tikslas

Teikėjas tvarko Kliento duomenis tik tam, kad galėtų teikti Paslaugą ir susijusią pagalbą, saugumą, priežiūrą, atsargines kopijas, atkūrimą, trikčių šalinimą ir paslaugos administravimą Kliento vardu.

4. Duomenų subjektų ir duomenų kategorijos

Priklausomai nuo to, kaip Klientas naudoja Paslaugą, duomenų subjektai gali būti Kliento atstovai, administratoriai, darbuotojai, rangovai, lauko darbuotojai, klientai, kontaktiniai asmenys, sąskaitų gavėjai ir kiti asmenys, kurių duomenis Klientas pasirenka įvesti į Paslaugą.

• Tapatybės ir kontaktiniai duomenys, pavyzdžiui, vardai, pavardės, el. pašto adresai, telefonų numeriai, adresai ir įmonės duomenys.
• Veiklos įrašai, pavyzdžiui, užduočių, planavimo, sąskaitų, kontaktų, pokalbių, failų, priedų ir aktyvumo informacija.
• Naudotojų prieigos ir rolių duomenys kliento organizacijos viduje.
• Kiti Kliento duomenys, kuriuos Klientas ar jo naudotojai sąmoningai pateikia Paslaugai.

5. Kliento pareigos

Klientas atsako už teisėto pagrindo ir tikslų nustatymą Kliento duomenų tvarkymui, privalomų pranešimų pateikimą, duomenų subjektų teisių įgyvendinimą ir užtikrinimą, kad Kliento duomenys gali būti teisėtai perduoti į Paslaugą ir joje tvarkomi.

Klientas negali nurodyti Teikėjui tvarkyti Kliento duomenų taip, kad tai pažeistų taikytiną teisę.

6. Teikėjo pareigos

Teikėjas tvarkys Kliento duomenis tik pagal dokumentuotus Kliento nurodymus, nebent taikytina teisė nustatytų kitaip.

Teikėjas užtikrins, kad asmenims, kuriems leidžiama tvarkyti Kliento duomenis, būtų taikomi konfidencialumo įsipareigojimai, ir taikys pagrįstas technines bei organizacines saugumo priemones, atsižvelgdamas į tvarkymo riziką.

7. Subtvarkytojai

Klientas suteikia Teikėjui bendrą leidimą naudoti subtvarkytojus tiek, kiek tai pagrįstai būtina Paslaugai teikti.

• Hetzner Europos hostingo infrastruktūrai.
• Backblaze B2 Europos failų ir priedų saugyklai.
• Kiti subtvarkytojai, jei ateityje būtų pridėti, tik tiek, kiek pagrįstai būtina Paslaugai teikti ir taikant atitinkamus duomenų apsaugos įsipareigojimus.

8. Saugumas ir incidentų valdymas

Teikėjas palaikys pagrįstas saugumo priemones, įskaitant SSL / TLS perduodant duomenis, prieigos kontrolę, autentifikavimo ir sesijų kontrolę, žurnalų kaupimą / stebėseną ir duomenų bazės atsargines kopijas.

Jei Teikėjas sužino apie asmens duomenų saugumo pažeidimą, paveikiantį Kliento duomenis, Teikėjas nepagrįstai nedelsdamas informuos Klientą, atsižvelgdamas į tuo metu pagrįstai turimą informaciją.

9. Pagalba

Atsižvelgdamas į tvarkymo pobūdį ir Teikėjui prieinamą informaciją, Teikėjas suteiks pagrįstą pagalbą Klientui dėl duomenų subjektų prašymų, saugumo pareigų, pranešimų apie pažeidimus, poveikio vertinimų ir bendradarbiavimo su priežiūros institucijomis tiek, kiek to reikalauja taikytina teisė ir kiek tai pagrįstai įmanoma.

10. Grąžinimas ir ištrynimas

Nutraukus santykius arba ištrynus kliento organizaciją, Teikėjas ištrins Kliento duomenis pagal Paslaugos ištrynimo procesą, išskyrus atvejus, kai taikytina teisė reikalauja ilgesnio saugojimo ar galioja ribotas atsarginių kopijų saugojimas.

Šiuo metu ištrynimo procesas numato 7 dienų lengvatinį laikotarpį po kliento inicijuoto organizacijos ištrynimo prašymo, po kurio vykdomas galutinis ištrynimas, o ištrinti duomenys gali išlikti slenkančiose atsarginėse kopijose iki papildomų 7 dienų.

Individualios naudotojo paskyros ištrynimas savaime neištrina Kliento duomenų, kuriuos valdo kliento organizacija. Sėkmingai ištrynęs individualią paskyrą, Teikėjas pašalina naudotojo prisijungimo tapatybę ir atlaisvina el. pašto adresą, o naudotojo vardą, telefono numerį ir profilio nuotrauką nuasmenina per 90 dienų. Organizacijos valdomiems darbo įrašams toliau taikomi kliento nurodymai, ši DPA ir taikytini duomenų saugojimo teisės aktai.

Jeigu Teikėjas sustabdo ar nutraukia Paslaugą dėl neapmokėjimo, esminio pažeidimo, saugumo ar teisinių priežasčių, Teikėjas gali ribotą laikotarpį saugoti Kliento duomenis tiek, kiek pagrįstai būtina sustabdymui ar nutraukimui administruoti, pažeidimo pašalinimui, ginčams ar grąžinimams valdyti, Paslaugai apsaugoti, teisės aktų laikymuisi užtikrinti ir ištrynimui užbaigti.

11. Auditai ir informacija

Teikėjas pateiks informaciją, kuri pagrįstai reikalinga šios DPA laikymuisi pagrįsti. Bet koks auditas ar patikrinimas turi būti pagrįstas, ribotos apimties, saugantis kitų klientų ir konfidencialią informaciją ir neturi nepagrįstai trikdyti Paslaugos veikimo.

12. Tarptautiniai perdavimai ir taikytina teisė

Teikėjas Kliento duomenis pirmiausia saugo Europoje. Jei Kliento duomenys būtų perduodami už EEE ribų, Teikėjas remsis taikytinais teisėtais perdavimo mechanizmais, kurių reikalauja duomenų apsaugos teisė.

Kai Teikėjas praneša apie reikšmingus Paslaugų teikimo sąlygų, Privatumo politikos ar šios DPA pakeitimus, toks pranešimas gali būti siunčiamas organizacijos registracijos metu nurodytu el. pašto adresu, o aktualūs teisiniai dokumentai bus pateikiami anglų ir lietuvių kalbomis.

Šiai DPA taikoma Lietuvos Respublikos teisė, nebent imperatyvios teisės normos nustatytų kitaip.