1. Controller Identity and Scope

This Privacy Policy explains how personal data is processed in connection with PLN System.

For Provider-controlled processing, the controller is Jonas Liubinas, Vilkpėdės 9, Vilnius, Lithuania, email: [email protected].

2. Roles: Controller and Processor

The Provider acts as an independent controller for account, identity, billing, security, support, and service administration data.

For Customer Data entered or uploaded by organizations and their users for operational use within the Service, the Provider acts as a processor on behalf of the relevant customer organization. In those cases, the customer organization is the controller for that Customer Data.

3. Categories of Personal Data

Depending on how the Service is used, the Provider may process the following categories of personal data:

• Account and organization data, such as organization name, representative name, email address, phone, address, city, country, postal code, language, timezone, and related setup details.
• Authentication and identity data, such as login identifiers, user roles, authentication events, password reset events, and session/security metadata.
• Operational Customer Data entered by organizations, such as user profiles, tasks, schedules, comments, contacts, invoices, chat messages, attachments, equipment records, time entries, distance entries, expense records, notifications, and related business workflow data.
• Support and communications data, such as emails sent to the Provider and correspondence about support or legal/privacy matters.
• Security and technical data, such as IP addresses, rate-limit records, application logs, access logs, error logs, and basic service administration metadata.
• Preference and essential cookie data, such as locale preference and authentication/session-related data required to operate the Service.

4. Purposes and Legal Bases

When the Provider acts as controller, personal data is processed only as necessary for the operation of the Service and related administration. The Provider does not use Customer Data for advertising, marketing profiling, or AI model training.

• To create and manage accounts and organizations, authenticate users, and provide the Service: performance of a contract or steps prior to entering into a contract.
• To secure the Service, prevent abuse, enforce rate limits, investigate incidents, and maintain logs: legitimate interests in security, service integrity, and abuse prevention.
• To communicate about account, support, operational, or legal matters: performance of a contract and legitimate interests in operating the Service.
• To comply with legal obligations, respond to lawful requests, and maintain required records: compliance with legal obligations.
• To process Customer Data for customer organizations: processing on behalf of the customer under the applicable contract and DPA.

5. Cookies and Similar Technologies

The Service uses only cookies and similar technologies that are necessary for operation or clearly user-requested features, such as authentication/session handling and the locale preference cookie used to remember the selected language.

Google reCAPTCHA is used on signup and may set or access technical data as part of abuse prevention and bot protection.

The Service does not currently use advertising cookies or non-essential analytics cookies. The Provider does not currently operate third-party visitor analytics on the public website.

The cookies and similar technologies currently used by the Service are required for login, security, language selection, and abuse prevention.

Any future non-essential tracking would be disclosed before activation and, where required, would rely on consent.

6. Recipients and Processors

Personal data may be processed by the Provider and by service providers acting on the Provider’s behalf, only where necessary for hosting, storage, security, and operation of the Service.

• Hetzner: hosting infrastructure for the web application, database, and self-hosted operational components in Europe.
• Backblaze B2: file and attachment storage in Europe.
• Google reCAPTCHA: anti-bot protection on signup.
• Self-hosted operational tools on Provider-controlled infrastructure, including basic Docker logs, Prometheus, and Grafana.

7. International Transfers

The Provider primarily stores service data in Europe. However, Google reCAPTCHA may involve processing or transfer of limited technical/personal data to the United States or other countries outside the EEA.

Where such transfers occur, the Provider relies on the safeguards and lawful transfer mechanisms made available by the relevant provider at the time of transfer, such as Standard Contractual Clauses or other valid mechanisms under applicable data protection law.

8. Retention

Personal data is retained only for as long as necessary for the relevant purpose, legal obligation, or customer relationship.

• Active and suspended account and organization data: retained while the organization account remains active or suspended and for any limited post-termination period reasonably necessary for payment collection, refunds, disputes, legal obligations, security investigations, or deletion processing.
• On successful individual account deletion: the sign-in identity and credentials are deleted, the email-address reservation is released, and device push-notification tokens are removed immediately.
• Within 90 days after individual account deletion: the member’s name, phone number, and profile picture are anonymized from the retained account record.
• Organization-controlled work records, including tasks, survey logs, control points, time and expense entries, chat messages, and files, remain with the organization for operational and lawful record-keeping purposes. Audit and billing records may be retained for as long as applicable law requires.
• Organization deletion: after an owner requests deletion, organization data remains in a 7-day grace period, after which deletion is finalized.
• Provider-initiated suspension or termination for non-payment, material breach, security, or legal reasons: related data may be retained for a limited cure or dispute period before final deletion, subject to applicable law and the Service deletion process.
• Backups: deleted data may remain in rolling backups for up to an additional 7 days after final deletion.
• Application, access, IP, and rate-limit logs: retained for approximately 1 month.
• Support emails and related correspondence: retained for 1 year after the relevant support exchange, unless longer retention is legally required.

9. Data Subject Rights

Where the Provider acts as controller, you may request access, rectification, deletion, restriction, objection, or portability, where applicable, by contacting [email protected].

Where the Provider acts as processor for Customer Data, requests about that Customer Data should in most cases be directed first to the relevant customer organization, which acts as controller for those records.

You also have the right to lodge a complaint with the State Data Protection Inspectorate of Lithuania (VDAI).

10. Security

The Provider applies reasonable technical and organizational measures designed to protect personal data, including encryption in transit (SSL/TLS), role-based access controls, authentication through Keycloak and JWT-based sessions, logging and monitoring, and weekly database backups.

No system can be guaranteed perfectly secure. Customers are also responsible for managing their own user access, credentials, and lawful data use inside the Service.

11. Changes to this Policy

This Privacy Policy may be updated from time to time. If material changes are made, the Provider will use reasonable efforts to provide at least one month of advance notice where practicable, except where immediate changes are required for legal, security, or urgent operational reasons.

Where the Provider gives notice about material changes to the Terms of Service, Privacy Policy, or DPA, the Provider may send that notice to the organization registration email used at signup and will make the current legal documents available in English and Lithuanian.

1. Duomenų valdytojo tapatybė ir taikymo sritis

Ši Privatumo politika paaiškina, kaip tvarkomi asmens duomenys naudojantis PLN System.

Kai Teikėjas veikia kaip duomenų valdytojas, valdytojas yra Jonas Liubinas, Vilkpėdės 9, Vilnius, Lietuva, el. paštas: [email protected].

2. Vaidmenys: valdytojas ir tvarkytojas

Teikėjas veikia kaip nepriklausomas duomenų valdytojas paskyros, tapatybės, atsiskaitymo, saugumo, pagalbos ir paslaugos administravimo duomenų atžvilgiu.

Kliento duomenų, kuriuos organizacijos ir jų naudotojai įveda ar įkelia veiklos tikslais Paslaugoje, atžvilgiu Teikėjas veikia kaip duomenų tvarkytojas atitinkamos kliento organizacijos vardu. Tokiais atvejais atitinkama kliento organizacija yra tų Kliento duomenų valdytoja.

3. Tvarkomų asmens duomenų kategorijos

Priklausomai nuo to, kaip naudojamasi Paslauga, Teikėjas gali tvarkyti šias asmens duomenų kategorijas:

• Paskyros ir organizacijos duomenis, pavyzdžiui, organizacijos pavadinimą, atstovo vardą ir pavardę, el. pašto adresą, telefoną, adresą, miestą, šalį, pašto kodą, kalbą, laiko juostą ir susijusius nustatymo duomenis.
• Autentifikavimo ir tapatybės duomenis, pavyzdžiui, prisijungimo identifikatorius, naudotojų roles, autentifikavimo įvykius, slaptažodžio atkūrimo įvykius ir sesijos / saugumo metaduomenis.
• Veiklos Kliento duomenis, kuriuos organizacijos įveda į Paslaugą, pavyzdžiui, naudotojų profilius, užduotis, planavimą, komentarus, kontaktus, sąskaitas, pokalbių žinutes, priedus, įrangos įrašus, darbo laiko, atstumo ir išlaidų įrašus, pranešimus ir kitus verslo proceso duomenis.
• Pagalbos ir komunikacijos duomenis, pavyzdžiui, Teikėjui siunčiamus laiškus ir susirašinėjimą pagalbos, teisės ar privatumo klausimais.
• Saugumo ir techninius duomenis, pavyzdžiui, IP adresus, greičio ribojimo įrašus, programos žurnalus, prieigos žurnalus, klaidų žurnalus ir pagrindinius paslaugos administravimo metaduomenis.
• Parinkčių ir būtinų slapukų duomenis, pavyzdžiui, kalbos parinktį ir autentifikavimo / sesijos duomenis, reikalingus Paslaugai veikti.

4. Tvarkymo tikslai ir teisiniai pagrindai

Kai Teikėjas veikia kaip duomenų valdytojas, asmens duomenys tvarkomi tik tiek, kiek būtina Paslaugai teikti ir susijusiam administravimui vykdyti. Teikėjas nenaudoja Kliento duomenų reklamai, rinkodaros profiliavimui ar DI modelių mokymui.

• Paskyroms ir organizacijoms sukurti bei valdyti, naudotojams autentifikuoti ir Paslaugai teikti: sutarties vykdymas arba veiksmai prieš sudarant sutartį.
• Paslaugai apsaugoti, piktnaudžiavimui užkirsti, greičio ribojimui taikyti, incidentams tirti ir žurnalams palaikyti: teisėtas interesas užtikrinti saugumą, paslaugos vientisumą ir piktnaudžiavimo prevenciją.
• Bendrauti paskyros, pagalbos, veiklos ar teisės klausimais: sutarties vykdymas ir teisėtas interesas teikti Paslaugą.
• Laikytis teisinių prievolių, atsakyti į teisėtus prašymus ir tvarkyti privalomus įrašus: teisinės prievolės vykdymas.
• Kliento duomenims tvarkyti kliento organizacijų vardu: tvarkymas kliento vardu pagal taikomą sutartį ir DPA.

5. Slapukai ir panašios technologijos

Paslaugoje naudojami tik slapukai ir panašios technologijos, kurios yra būtinos veikimui arba aiškiai naudotojo prašomoms funkcijoms, pavyzdžiui, autentifikavimui / sesijoms ir kalbos pasirinkimo slapukui, kuris išsaugo pasirinktą kalbą.

Registracijos metu naudojama Google reCAPTCHA, kuri gali nustatyti ar pasiekti techninius duomenis piktnaudžiavimo prevencijos ir apsaugos nuo robotų tikslais.

Šiuo metu Paslauga nenaudoja reklamos slapukų ar nebūtinų analitikos slapukų. Teikėjas šiuo metu nevykdo trečiųjų šalių lankytojų analitikos viešoje svetainėje.

Šiuo metu Paslaugoje naudojami slapukai ir panašios technologijos yra reikalingi prisijungimui, saugumui, kalbos pasirinkimui ir piktnaudžiavimo prevencijai.

Jei ateityje būtų įjungtas nebūtinas sekimas, apie tai būtų pranešta iš anksto ir, kai reikia, būtų remiamasi sutikimu.

6. Gavėjai ir tvarkytojai

Asmens duomenis gali tvarkyti Teikėjas ir paslaugų teikėjai, veikiantys Teikėjo vardu, tik tiek, kiek būtina Paslaugai talpinti, saugoti, apsaugoti ir valdyti.

• Hetzner: hostingo infrastruktūra interneto programai, duomenų bazei ir savarankiškai talpinamiems veiklos komponentams Europoje.
• Backblaze B2: failų ir priedų saugykla Europoje.
• Google reCAPTCHA: apsauga nuo robotų registracijos metu.
• Savarankiškai valdomi veiklos įrankiai Teikėjo kontroliuojamoje infrastruktūroje, įskaitant bazinius Docker žurnalus, Prometheus ir Grafana.

7. Tarptautiniai duomenų perdavimai

Teikėjas Paslaugos duomenis pirmiausia saugo Europoje. Tačiau Google reCAPTCHA gali apimti ribotų techninių / asmens duomenų tvarkymą ar perdavimą į Jungtines Amerikos Valstijas ar kitas šalis už EEE ribų.

Kai tokie perdavimai vyksta, Teikėjas remiasi apsaugos priemonėmis ir teisėtais perdavimo mechanizmais, kuriuos atitinkamas paslaugų teikėjas tuo metu suteikia pagal taikytiną duomenų apsaugos teisę, pavyzdžiui, Standartinėmis sutarčių sąlygomis ar kitais galiojančiais mechanizmais.

8. Saugojimo terminai

Asmens duomenys saugomi tik tiek, kiek būtina atitinkamam tikslui, teisinei prievolei ar santykiams su klientu.

• Aktyvios ir sustabdytos paskyros bei organizacijos duomenys: saugomi tol, kol organizacijos paskyra aktyvi ar sustabdyta, ir bet kurį ribotą laikotarpį po santykių pabaigos, kiek tai pagrįstai būtina mokėjimų išieškojimui, grąžinimams, ginčams, teisiniams įsipareigojimams, saugumo tyrimams ar ištrynimo procesui.
• Sėkmingai ištrynus individualią paskyrą: prisijungimo tapatybė ir kredencialai ištrinami, el. pašto adreso rezervacija atlaisvinama, o įrenginių aktyviųjų pranešimų raktai pašalinami nedelsiant.
• Per 90 dienų nuo individualios paskyros ištrynimo: nario vardas, telefono numeris ir profilio nuotrauka nuasmeninami saugomame paskyros įraše.
• Organizacijos valdomi darbo įrašai, įskaitant užduotis, matavimų žurnalus, kontrolinius taškus, laiko ir išlaidų įrašus, pokalbių žinutes ir failus, lieka organizacijai jos veiklos ir teisėto dokumentų saugojimo tikslais. Audito ir apskaitos įrašai gali būti saugomi tiek, kiek reikalauja taikytini teisės aktai.
• Organizacijos ištrynimas: savininkui pateikus ištrynimo prašymą, organizacijos duomenims taikomas 7 dienų lengvatinis laikotarpis, po kurio ištrynimas užbaigiamas.
• Teikėjo inicijuotas sustabdymas ar nutraukimas dėl neapmokėjimo, esminio pažeidimo, saugumo ar teisinių priežasčių: susiję duomenys gali būti saugomi ribotą laikotarpį pažeidimo pašalinimui ar ginčui valdyti prieš galutinį ištrynimą, laikantis taikytinos teisės ir Paslaugos ištrynimo proceso.
• Atsarginės kopijos: ištrinti duomenys gali išlikti slenkančiose atsarginėse kopijose iki papildomų 7 dienų po galutinio ištrynimo.
• Programos, prieigos, IP ir greičio ribojimo žurnalai: saugomi maždaug 1 mėnesį.
• Pagalbos el. laiškai ir susijęs susirašinėjimas: saugomi 1 metus po atitinkamo pagalbos kreipimosi, nebent teisės aktai reikalautų ilgesnio saugojimo.

9. Duomenų subjektų teisės

Kai Teikėjas veikia kaip duomenų valdytojas, galite kreiptis dėl prieigos, ištaisymo, ištrynimo, tvarkymo apribojimo, nesutikimo ar duomenų perkeliamumo, kai taikoma, adresu [email protected].

Kai Teikėjas veikia kaip duomenų tvarkytojas Kliento duomenų atžvilgiu, prašymai dėl tokių duomenų daugeliu atvejų pirmiausia turi būti teikiami atitinkamai kliento organizacijai, kuri yra tų įrašų valdytoja.

Taip pat turite teisę pateikti skundą Lietuvos Valstybinei duomenų apsaugos inspekcijai (VDAI).

10. Saugumas

Teikėjas taiko pagrįstas technines ir organizacines priemones asmens duomenims apsaugoti, įskaitant šifravimą perduodant duomenis (SSL / TLS), rolėmis paremtą prieigos kontrolę, autentifikavimą per Keycloak ir JWT pagrindu veikiančias sesijas, žurnalų kaupimą ir stebėseną bei savaitines duomenų bazės atsargines kopijas.

Nė viena sistema negali būti garantuotai visiškai saugi. Klientai taip pat atsako už savo naudotojų prieigos valdymą, prisijungimo duomenų apsaugą ir teisėtą duomenų naudojimą Paslaugoje.

11. Šios politikos pakeitimai

Ši Privatumo politika gali būti periodiškai atnaujinama. Jei bus daromi reikšmingi pakeitimai, Teikėjas, kai tai praktiškai įmanoma, stengsis pateikti bent 1 mėnesio išankstinį pranešimą, išskyrus atvejus, kai neatidėliotini pakeitimai būtini dėl teisinių, saugumo ar skubių veiklos priežasčių.

Kai Teikėjas praneša apie reikšmingus Paslaugų teikimo sąlygų, Privatumo politikos ar DPA pakeitimus, toks pranešimas gali būti siunčiamas organizacijos registracijos metu nurodytu el. pašto adresu, o aktualūs teisiniai dokumentai bus pateikiami anglų ir lietuvių kalbomis.