Asmens duomenų tvarkymo sutartis

Tarp darželio ir 4V3D OÜ dėl Minute Mission grupės paslaugos. Versija 1.0, 2026 m. rugsėjo 23 d.

Tai sutarties tekstas lietuvių kalba. Sutartis skelbiama ir anglų bei estų kalbomis, ir būtent tie du tekstai yra lemiami. Estijos klientai pasirašo tekstą estų kalba. Jeigu šis vertimas skiriasi nuo teksto anglų kalba, galioja tekstas anglų kalba.

Kaip sudaryti šią sutartį

Du būdai, abu turi tą pačią galią.

• Užsakymo metu. Pažymėkite langelį, kuriuo patvirtinate, kad sutinkate su šia sutartimi, versija 1.0. Versija ir data įrašomos prie Jūsų paskyros, tikslaus Jūsų patvirtinto teksto kopija išsiunčiama Jums el. paštu ir lieka prieinama Jūsų paskyroje.
• Popieriuje, jei Jūsų įstaigai reikia parašo. Parašykite mums adresu info@4v3d.ee ir atsiųsime tą patį tekstą kaip dokumentą su lentele Jūsų duomenims. Pasirašykite jį elektroniniu būdu (eIDAS kvalifikuotu parašu, DocuSign, Adobe Sign arba savo nacionalinėmis priemonėmis) ir atsiųskite atgal. 4V3D OÜ pasirašo tą patį failą ir grąžina jį Jums. Sutartis įsigalioja nuo vėlesnio iš dviejų parašų.

Duomenų tvarkytojas: 4V3D OÜ, registracijos numeris 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estija. Atstovas: Oskar Viil, valdybos narys. Kontaktai: info@4v3d.ee.

1. Ką reglamentuoja ši sutartis

Darželis (duomenų valdytojas) naudoja Minute Mission, 4V3D OÜ (duomenų tvarkytojo) valdomą interneto programą, kurioje auklėtoja tvarko grupės užduočių ir apdovanojimų lentą. Tam 4V3D OÜ darželio vardu ir pagal jo nurodymus tvarko II priede aprašytus asmens duomenis.

Ši sutartis apima visa tai, ką pagal BDAR 28 straipsnio 3 dalį ir pagal UK GDPR duomenų valdytojas ir duomenų tvarkytojas privalo sutarti raštu. Ji galioja nepriklausomai nuo to, ar darželis yra įsisteigęs EEE ar Jungtinėje Karalystėje.

2. Kuri teisė taikoma Jums

• Darželis EEE. Taikomas BDAR. Taip pat taikomas 3 skyrius.
• Darželis Jungtinėje Karalystėje. Taikomi UK GDPR ir Data Protection Act 2018. Toliau pateiktos nuorodos į BDAR skaitomos kaip nuorodos į UK GDPR, nuorodos į priežiūros instituciją skaitomos kaip nuorodos į Information Commissioner, o 3 skyrius netaikomas.
• Darželis bet kur kitur. Jums taikoma Jūsų valstybės duomenų apsaugos teisė, o šios sąlygos 4V3D OÜ privalomos kaip sutartis. 4V3D OÜ yra įsisteigęs Europos Sąjungoje, todėl šiam duomenų tvarkymui BDAR jam galioja bet kuriuo atveju. Niekas, kas čia parašyta, nesumažina teisių, kurias Jums suteikia Jūsų valstybės teisė.

3. Europos Komisijos standartinės sutarčių sąlygos

Kai darželis yra įsisteigęs EEE, šalys taiko duomenų valdytojų ir duomenų tvarkytojų standartines sutarčių sąlygas, pateiktas Komisijos įgyvendinimo sprendimo (EU) 2021/915 priede, jų oficialia redakcija anglų kalba. Tos sąlygos yra šios sutarties dalis, o toliau pateikti priedai yra jų priedai. 5 sąlyga (prisijungimas prie sutarties) netaikoma. 7.7 sąlygoje taikomas 2 variantas: bendras rašytinis leidimas pasitelkti duomenų tvarkytojus, apie kiekvieną pakeitimą pranešant prieš 30 dienų. Jei sąlygos ir ši sutartis nesutampa, viršenybę turi sąlygos.

4. Ko įsipareigoja kiekviena šalis

4V3D OÜ įsipareigoja:

• Tvarkyti asmens duomenis tik paslaugai teikti ir tik pagal dokumentuotus darželio nurodymus, įskaitant nurodymus dėl perdavimo į trečiąją valstybę. Tie nurodymai yra ši sutartis ir tai, kaip darželis naudojasi paslauga. Jei ES ar valstybės narės teisė įpareigotų 4V3D OÜ tvarkyti duomenis kitaip, jis pirmiausia apie tai praneš darželiui, nebent ta teisė tai draudžia.
• Niekada nenaudoti duomenų savo tikslais, jų neparduoti, nenaudoti jokiam mokymui ir niekam nerodyti, išskyrus IV priede nurodytus pasitelktus duomenų tvarkytojus.
• Užtikrinti, kad visi, turintys prieigą, būtų įpareigoti laikytis konfidencialumo.
• Taikyti III priede nurodytas saugumo priemones ir jų nesilpninti.
• Pasitelkti tik IV priede nurodytus duomenų tvarkytojus. 4V3D OÜ gali tokį tvarkytoją pridėti arba pakeisti ir apie tai darželio kontaktiniam asmeniui praneša raštu prieš 30 dienų. Darželis per tas 30 dienų gali prieštarauti; jei prieštaravimo išspręsti nepavyksta, darželis gali nutraukti paslaugą ir jam grąžinami pinigai už nepanaudotą mėnesio dalį.
• Padėti darželiui atsakyti į tėvų ar darbuotojo prašymą. Auklėtojos ir direktorius šiuos duomenis paslaugoje jau dabar gali patys peržiūrėti, taisyti, eksportuoti ir ištrinti. Jei prašymas pasiekia 4V3D OÜ, jis per penkias darbo dienas perduodamas darželio kontaktiniam asmeniui ir tiesiogiai į jį neatsakoma.
• Padėti darželiui vykdyti pareigas, nustatytas BDAR 32 iki 36 straipsniuose (saugumas, pranešimas apie pažeidimus, poveikio duomenų apsaugai vertinimas, išankstinės konsultacijos), atsižvelgiant į tai, ką 4V3D OÜ iš tikrųjų žino.
• Pranešti darželio kontaktiniam asmeniui apie asmens duomenų saugumo pažeidimą per 24 valandas nuo sužinojimo apie jį, nurodant tai, kas tuo metu žinoma, o likusią informaciją pateikiant, kai ji nustatoma.
• Pasibaigus paslaugai, ištrinti duomenis per 30 dienų arba, jei darželis paprašo, pirmiausia juos grąžinti. Iš šifruotų atsarginių kopijų jie dingsta per 90 dienų. 4V3D OÜ raštu patvirtina, kada duomenų nebeliko.
• Pateikti informaciją, reikalingą šių pareigų vykdymui įrodyti, ir leisti atlikti auditą. Praktiškai tai reiškia rašytinius atsakymus ir dokumentus pagal prašymą. Auditą vietoje arba trečiosios šalies atliekamą auditą galima suderinti pranešus prieš 30 dienų, darželio sąskaita, ne dažniau kaip kartą per metus, nebent būtų įvykęs pažeidimas.
• Nedelsiant pranešti darželiui, jei nurodymas atrodo pažeidžiantis duomenų apsaugos teisę.

Darželis įsipareigoja:

• Užtikrinti, kad šiam duomenų tvarkymui yra teisinis pagrindas ir kad tėvai yra informuoti. 4V3D OÜ tėvų nemato ir to už Jus padaryti negali.
• Laikyti paslaugoje tik tokius duomenis, kokie aprašyti II priede. Visų pirma, į laisvo teksto laukelį nerašyti vaiko pavardės, sveikatos informacijos, vaiko vertinimo ar nieko apie šeimos aplinkybes.
• Prižiūrėti, kad jo paskyros duomenys būtų teisingi, ir pranešti 4V3D OÜ, kai pasikeičia kontaktinis asmuo.
• Tvarkyti savo darbuotojų paskyras: panaikinti auklėtojos prisijungimą, kai ji išeina iš darbo.

5. Du dalykai, kurie nėra duomenų tvarkymas Jūsų vardu

Pasakyta čia aiškiai, kad vėliau niekam nereikėtų spėlioti.

• Darbuotojų paskyros. Auklėtojos ar direktoriaus vardas, el. pašto adresas ir slaptažodis reikalingi tam, kad paslauga apskritai veiktų, o kaip ją valdyti, sprendžia 4V3D OÜ. Šiuo siauru tikslu 4V3D OÜ yra duomenų valdytojas, o ne duomenų tvarkytojas, ir taikoma jo paties privatumo politika. Viskas, kas susiję su vaikais, yra duomenų tvarkymas darželio vardu ir yra apimta šios sutarties.
• Mokėjimas už paslaugą. Jei darželis moka kortele, mokėjimą atlieka Stripe Payments Europe Ltd. Stripe gauna darželio sąskaitos pavadinimą, adresą, PVM mokėtojo kodą, el. pašto adresą ir kortelės duomenis ir jokių vaiko duomenų. Šių atsiskaitymo duomenų valdytojas yra 4V3D OÜ. Todėl Stripe nėra pasitelktas duomenų tvarkytojas pagal šią sutartį ir nėra įtrauktas į IV priedą.

6. Galiojimas, taikoma teisė ir atsakomybė

Ši sutartis galioja tol, kol 4V3D OÜ tvarko darželio duomenis, ir lieka galioti pasibaigus paslaugai, kol duomenys ištrinami.

Taikoma Estijos teisė, o ginčus nagrinėja Harju apskrities teismas, nebent darželis yra viešoji įstaiga, kurios taisyklės reikalauja jos valstybės teisės ir teismų; tokiu atveju šalys dėl to susitaria prieš pasirašydamos.

Atsakomybė nustatyta Minute Mission naudojimo sąlygose, kurias ši sutartis papildo ir nepakeičia.

I priedas. Šalys

Duomenų valdytojas: darželis, identifikuojamas pagal duomenis, kuriuos jis pateikia užsakymo metu arba įrašo į pasirašomą egzempliorių. Vaidmuo: grupės lentoje laikomų vaikų duomenų valdytojas.

Duomenų tvarkytojas: 4V3D OÜ, registracijos numeris 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estija. Kontaktinis asmuo: Oskar Viil, valdybos narys, info@4v3d.ee. Duomenų apsaugos pareigūnas nepaskirtas, nes BDAR čia to nereikalauja.

Kiekviena šalis gali pakeisti savo kontaktinį asmenį apie tai raštu pranešusi kitai šaliai.

II priedas. Duomenų tvarkymo aprašymas

III priedas. Saugumo priemonės

• Duomenys yra Europos Sąjungoje. Programa ir jos atsarginės kopijos veikia Hetzner Online GmbH duomenų centre Helsinkyje, Suomijoje (sertifikuotas pagal ISO/IEC 27001). Paslaugos el. laiškus siunčia Scaleway SAS Prancūzijoje. Į trečiąją valstybę duomenys neperduodami.
• Viskas, kas keliauja tinklu, yra šifruojama (HTTPS, galioja Content Security Policy). Slaptažodžiai niekada nesaugomi, tik jų maiša, o sesijos raktai taip pat saugomi maišos pavidalu, todėl duomenų bazės kopija nėra veikiančių raktų ryšulys.
• Kiekviena grupė yra atskira paskyra. Auklėtoja mato tik savo grupės vaikus. Direktorius turi vieną prisijungimą prie visų savo grupių ir neturi prieigos prie niekieno kito.
• Į grupės paskyrą negalima įkelti nuotraukų, pranešimai į telefoną išjungti, o vaikų paveikslėliai yra iš nustatyto piešinių rinkinio.
• Kasdienės šifruotos atsarginės kopijos, serveryje laikomos 14 dienų, o už jo ribų 90 dienų. Jos šifruojamos viešuoju raktu, kurio pats serveris neturi, todėl serveris savo atsarginių kopijų perskaityti negali. Atkūrimas iš atsarginės kopijos yra išbandytas.
• Prieigą prie serverio turi tik 4V3D OÜ valdybos narys. Nėra nė vieno darbuotojo, rangovo ar pagalbos specialisto, turinčio prieigą.
• Jokios analitikos, jokių reklamos įrankių ir jokio sekimo. Vienintelė reguliari ataskaita yra dienos registracijų, aktyvių paskyrų ir klaidų skaičius, kuriame nėra jokių vardų.
• Užklausų dažnio ribojimas prisijungiant ir registruojantis, taip pat 30 dienų riba, kiek atgal galima pažymėti atliktą užduotį, kad klaida ar piktnaudžiavimas negalėtų perrašyti kelių mėnesių istorijos.
• Rašytinė viso pirminio kodo saugumo peržiūra išoriniu modeliu atlikta du kartus, paskutinį kartą 2026 m. rugsėjo 20 d., ir rasti dalykai ištaisyti.

IV priedas. Pasitelkti duomenų tvarkytojai

Abu yra Europos Sąjungoje. Už ES ribų pasitelktų duomenų tvarkytojų nėra, todėl nėra ir tarptautinio duomenų perdavimo, kurį reikėtų vertinti.