BDAR atitiktis – Livappy

Įvadas

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) yra įsipareigojusi visoje savo veikloje visapusiškai laikytis Europos Sąjungos Bendrojo duomenų apsaugos reglamento (BDAR). Ši BDAR atitikties politika yra ir vidaus gairės, ir viešas pareiškimas apie tai, kaip Livappy užtikrina duomenų apsaugą ir privatumą pagal BDAR.

Kilus bet kokiems klausimams ar abejonėms dėl šios politikos arba duomenų apsaugos Livappy, susisiekite su mumis adresu info@livappy.com.

Taikymo sritis

Ši politika taikoma visai Livappy OÜ vykdomai asmens duomenų tvarkymo veiklai, susijusiai su paslaugų teikimu asmenims Europos Sąjungoje. Kaip ES įsteigtai bendrovei, Livappy taikoma BDAR jurisdikcija dėl bet kokio ES esančių asmenų duomenų tvarkymo¹. Praktiškai tai reiškia, kad bet kokia Livappy renkama, naudojama, saugoma ar kitaip tvarkoma asmeninė informacija – gauta iš klientų, naudotojų, darbuotojų ar partnerių visoje ES – tvarkoma laikantis BDAR reikalavimų.

Livappy siekia užtikrinti, kad BDAR principai ir taisyklės būtų taikomi visai atitinkamai duomenų tvarkymo veiklai, nepriklausomai nuo to, kurioje ES šalyje gyvena duomenų subjektas. Pripažįstame, kad BDAR saugo ES asmenų pagrindines teises į privatumą ir nustato mums pareigas kaskart, kai tvarkome ES asmens duomenis².

Pagal šią politiką BDAR taikoma Livappy veikla apima (bet neapsiriboja): asmens duomenų rinkimą iš naudotojų ir klientų, tų duomenų saugojimą ar prieglobą (pavyzdžiui, mūsų debesijos serveriuose), asmens duomenų analizę verslo tikslais ir duomenų perdavimą įgaliotiems paslaugų teikėjams. Visa tokia veikla vykdoma laikantis BDAR ir Europos ekonominėje erdvėje (EEE) arba, kai duomenys perduodami už EEE ribų, taikant patvirtintus perdavimo mechanizmus. Apibendrinant: jeigu Livappy tvarko ES asmens duomenis, toks tvarkymas patenka į šios politikos ir BDAR atitikties taikymo sritį.

Skaidrumas

Livappy laikosi skaidrumo principo aiškiai informuodama duomenų subjektus apie tai, kaip renkame, naudojame ir dalijamės jų asmenine informacija. BDAR reikalauja, kad organizacijos būtų atviros ir sąžiningos dėl renkamų asmens duomenų ir tikslų, kuriems jie naudojami³. Atsižvelgdama į tai, Livappy pateikia duomenų subjektams išsamius pranešimus apie privatumą kaskart, kai renkame asmens duomenis. Šiuose pranešimuose (pavyzdžiui, mūsų Privatumo politikoje) išdėstoma visa privaloma informacija, įskaitant:

Duomenų valdytojo tapatybė:

Nurodome, kad duomenų valdytojas yra Livappy OÜ, ir visuose su privatumu susijusiuose pranešimuose pateikiame savo kontaktinius duomenis (adresą ir el. paštą).

Duomenų rinkimas ir naudojimas:

Paaiškiname, kokius asmens duomenis renkame, kaip ir kodėl juos renkame. Tai apima duomenų kategorijas (pvz., vardą, kontaktinę informaciją, asmens tapatybės dokumentus ir kt.) ir tikslus, kuriais jie tvarkomi (pvz., paslaugų teikimas, tapatybės nustatymas, klientų aptarnavimas, rinkodara ir kt.).

Teisiniai pagrindai:

Kiekvienai duomenų tvarkymo veiklai nurodome ją pagrindžiantį BDAR numatytą teisinį pagrindą – pavyzdžiui, ar remiamės naudotojo sutikimu, sutarties vykdymo būtinybe, teisine prievole ar teisėtais interesais. Užtikriname, kad jokie asmens duomenys nebūtų tvarkomi be galiojančio teisinio pagrindo pagal BDAR 6 ir 9 straipsnius.

Duomenų saugojimas:

Informuojame asmenis, kiek laiko saugome asmens duomenis. Livappy laikosi saugojimo trukmės apribojimo principo – tai reiškia, kad asmens duomenis saugome tik tiek laiko, kiek būtina nurodytiems tikslams pasiekti arba kiek reikalauja teisės aktai, po to duomenys saugiai ištrinami arba nuasmeninami.

Duomenų gavėjai:

Atskleidžiame visas trečiąsias šalis ar partnerius, kurie gali gauti asmens duomenis. Tai apima nurodymą, ar asmens duomenimis dalijamasi su mūsų paslaugų teikėjais arba duomenų tvarkytojais (pavyzdžiui, debesijos prieglobos teikėjais, tapatybės nustatymo paslaugomis, analitikos įrankiais), ir užtikrinimą, kad asmenys žinotų gavėjų kategorijas.

Teisės ir kontaktai:

Informuojame asmenis apie jų kaip duomenų subjektų teises pagal BDAR (išsamiau aprašytas kitame skyriuje) ir pateikiame aiškias instrukcijas, kaip tomis teisėmis pasinaudoti, įskaitant kreipimąsi į mus adresu info@livappy.com. Savo pranešimuose apie privatumą taip pat nurodome teisę pateikti skundą priežiūros institucijai ir kitą privalomą informaciją.

Visa informacija apie privatumą pateikiama glausta, skaidria ir lengvai prieinama forma, aiškia kalba, kaip reikalauja BDAR. Livappy pateikia šią informaciją duomenų rinkimo metu (arba, jeigu duomenys gauti iš trečiųjų šalių, kuo anksčiau, kaip numatyta BDAR 13 ir 14 straipsniuose). Įsipareigojame atnaujinti savo pranešimus apie privatumą kaskart, kai keičiasi mūsų duomenų tvarkymo praktika, ir nedelsdami pranešime apie visus reikšmingus pakeitimus, kad būtų užtikrintas nuolatinis skaidrumas. Iš esmės Livappy siekia užtikrinti, kad asmenys niekada neliktų nežinioje dėl to, kaip tvarkomi jų duomenys, taip stiprindama pasitikėjimą ir atitikdama aukštus BDAR skaidrumo standartus³.

Duomenų subjektų teisės

Pagal BDAR asmenims (duomenų subjektams) suteikiamos plačios teisės, susijusios su jų asmens duomenimis, o Livappy yra visapusiškai įsipareigojusi sudaryti sąlygas jomis naudotis ir jas gerbti. Duomenų subjektams suteikiamos teisės apima: teisę būti informuotam, teisę susipažinti su duomenimis, teisę reikalauti ištaisyti duomenis, teisę reikalauti ištrinti duomenis („teisė būti pamirštam“), teisę apriboti duomenų tvarkymą, teisę į duomenų perkeliamumą, teisę nesutikti su duomenų tvarkymu ir teisę, kad jiems nebūtų taikomas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas (įskaitant profiliavimą)⁴. Pripažįstame visas šias teises ir esame nustatę procesus, palengvinančius naudojimąsi jomis.

Naudojimasis teisėmis

Livappy taiko patogias procedūras, leidžiančias asmenims pasinaudoti savo BDAR teisėmis. Duomenų subjektai bet kada gali pateikti prašymus kreipdamiesi adresu info@livappy.com. Taip pat pateikiame internetines formas arba programėlės nustatymus (kai taikoma), kad būtų paprasčiau pateikti prašymus dėl susipažinimo, ištaisymo, ištrynimo ir kt.

Gavusi prašymą, Livappy:

Patikrins prašymą:

Saugumo sumetimais mums gali reikėti patikrinti prašymą pateikusio asmens tapatybę, kad asmens duomenys nebūtų atskleisti neįgaliotam asmeniui. Tai gali apimti papildomos informacijos ar autentifikavimo prašymą, jeigu prašymas pateikiamas iš mums dar nežinomo el. pašto adreso ar paskyros.

Atsakys laiku:

Į visus duomenų subjektų prašymus atsakome nepagrįstai nedelsdami ir per vieną mėnesį nuo jų gavimo, kaip reikalauja BDAR⁶. Jeigu prašymas sudėtingas arba prašymų gauta daug, šį terminą galime pratęsti dar iki dviejų mėnesių, tačiau per pirminį vieno mėnesio laikotarpį informuosime prašymą pateikusį asmenį apie pratęsimą ir jo priežastis. Bet kuriuo atveju prašymo nagrinėjimo eiga ir rezultatas bus aiškiai pranešti.

Įvykdys prašymą, kai tai įmanoma:

Jeigu prašymas yra pagrįstas ir netaikoma jokia teisinė išimtis, Livappy jį įvykdys. Pavyzdžiui, pateiksime mūsų tvarkomų asmens duomenų kopiją (teisė susipažinti), ištaisysime netikslumus (ištaisymas), ištrinsime duomenis, jei to prašoma ir jei tam nekliudo viršesnis teisėtas pagrindas (ištrynimas), arba nutrauksime tam tikrą duomenų tvarkymą gavę prieštaravimą ar prašymą apriboti tvarkymą – visa tai pagal BDAR sąlygas. Kai prašoma duomenų perkeliamumo, pateiksime asmens duomenis susistemintu, įprastai naudojamu, kompiuterio skaitomu formatu.

Paaiškins bet kokį atsisakymą ar apribojimą:

Retais atvejais, kai negalime įvykdyti prašymo (pavyzdžiui, jeigu taikoma išimtis arba jeigu prašymas yra akivaizdžiai nepagrįstas ar neproporcingas), informuosime asmenį apie konkrečią priežastį, dėl kurios negalime įvykdyti prašymo, ir apie jo teisę pateikti skundą priežiūros institucijai. Už atsakymus į prašymus dėl teisių įgyvendinimo mokesčio neimame, nebent prašymas kartojasi arba yra neproporcingas (tokiu atveju bet koks mokestis ar atsisakymas bus taikomas griežtai laikantis BDAR leidžiamų ribų).

Sudarys sąlygas ir dokumentuos:

Livappy vidaus procedūros užtikrina, kad darbuotojai būtų apmokyti atpažinti duomenų subjektų prašymus ir juos tinkamai nagrinėti⁷. Saugome prašymų ir atsakymų įrašus, kad galėtume įrodyti savo atitiktį. Prireikus taip pat informuojame atitinkamus trečiųjų šalių duomenų tvarkytojus ar gavėjus (pavyzdžiui, jeigu duomenimis buvo pasidalyta ir juos reikia ištrinti ar ištaisyti, apie prašymą pranešime toms šalims, kaip reikalaujama).

Livappy giliai gerbia asmenų galimybę kontroliuoti savo asmens duomenis. Užtikrindami šias teises ir paprastindami procesą, parodome savo atskaitomybę ir įsipareigojimą BDAR numatytam duomenų subjektų įgalinimui. Mūsų komanda visada pasirengusi padėti asmenims suprasti savo teises ir jomis pasinaudoti.

Pritaikytoji ir standartizuotoji duomenų apsauga

Livappy laikosi pritaikytosios duomenų apsaugos ir standartizuotosios duomenų apsaugos kaip pagrindinių principų visuose savo produktuose, paslaugose ir verslo procesuose. Tai reiškia, kad nuo pat bet kurio projekto ar sistemos sumanymo integruojame duomenų apsaugos aspektus ir užtikriname, kad privatumo apsaugos priemonės būtų įdiegtos pagal numatytuosius nustatymus, o ne pridėtos vėliau⁸. Mūsų požiūris apima šią praktiką:

Integravimas projektavimo etape:

Kaskart, kai kuriame ar atnaujiname programinę įrangą, taikomąsias programas ar verslo procesus, susijusius su asmens duomenimis, iš anksto įvertiname privatumo rizikas ir įtraukiame apsaugos priemones jau projektavimo etape. Pavyzdžiui, ribojame duomenų rinkimą iki to, kas būtina nurodytam tikslui (duomenų kiekio mažinimas), ir renkamės tokias sistemų architektūras, kurios saugo asmens duomenis (pvz., prireikus taikome pseudonimų suteikimo ar apibendrinimo metodus).

Numatytieji privatumo nustatymai:

Livappy paslaugos sukonfigūruotos taikant privatumui palankius numatytuosius nustatymus. Tai reiškia, kad renkamas ir naudojamas tik būtiniausias asmens duomenų kiekis, nebent naudotojas aktyviai pasirenka kitaip. Visoms funkcijoms, galinčioms paveikti privatumą, pagal numatytuosius nustatymus taikomi griežčiausi apsaugos nustatymai⁹. Kad paslauga veiktų, naudotojai neprivalo sutikti su papildomu duomenų rinkimu – privatumas yra standartinis nustatymas.

Poveikio duomenų apsaugai vertinimai (PDAV):

Atliekame poveikio duomenų apsaugai vertinimus dėl bet kokios naujos ar iš esmės pakeistos duomenų tvarkymo veiklos, galinčios kelti didelę riziką asmenų privatumui. Atlikdami PDAV anksti nustatome galimas privatumo problemas ir jas sprendžiame koreguodami projektą arba įdiegdami papildomas apsaugos priemones. Šis procesas užtikrina atitiktį BDAR 35 straipsniui ir parodo, kad iš anksto nuodugniai įvertiname privatumo rizikas.

Mokymai ir informuotumas:

Mūsų inžinerijos ir produktų komandos mokomos pritaikytosios duomenų apsaugos principų. Puoselėjame vidaus kultūrą, kurioje darbuotojai ir rangovai žino privatumo pareigas ir nuosekliai taiko į privatumą orientuotą mąstymą tvarkydami asmens duomenis. Prieš pristatydami naujas funkcijas atliekame privatumo peržiūras arba taikome kontrolinius sąrašus, kad įsitikintume, jog atitikties kontrolės priemonės įdiegtos.

Nuolatinės peržiūros ir tobulinimas:

Pritaikytoji duomenų apsauga nėra vienkartinė pastanga. Livappy nuolat stebi ir peržiūri savo sistemas, kad jos ilgainiui atitiktų privatumo standartus. Periodiškai atliekame saugumo ir privatumo kontrolės priemonių auditus bei atnaujinimus, prisitaikome prie naujų reguliavimo gairių ir įtraukiame naudotojų atsiliepimus, kad pagerintume duomenų apsaugą. Pasikeitus technologijoms ar duomenų naudojimui, peržiūrime savo sprendimus, kad išlaikytume aukščiausio lygio standartizuotąją duomenų apsaugą.

Įtraukdama privatumą į savo veiklos struktūrą, Livappy ne tik laikosi BDAR reikalavimo dėl pritaikytosios ir standartizuotosios duomenų apsaugos, bet ir stiprina naudotojų pasitikėjimą. Mūsų tikslas – užtikrinti, kad privatumas būtų neatsiejama mūsų bendrovės inovacijų ir paslaugų dalis, saugant asmens duomenis nuo pat pagrindų ir pagal numatytuosius nustatymus kiekvienu atveju.

Techninės ir organizacinės priemonės

Livappy įdiegė išsamų techninių ir organizacinių saugumo priemonių rinkinį, skirtą apsaugoti asmens duomenis ir užtikrinti rizikos dydį atitinkantį saugumo lygį, kaip reikalaujama BDAR 32 straipsnyje¹¹. Suprantame, kad asmens duomenų apsauga yra itin svarbi, todėl taikome geriausią rinkos praktiką, siekdami užkirsti kelią neteisėtai prieigai prie duomenų, jų atskleidimui, pakeitimui ar praradimui. Pagrindinės priemonės:

Šifravimas:

Visi Livappy tvarkomi asmens duomenys apsaugoti stipriu šifravimu tiek perduodant, tiek saugant. Duomenims perduoti tinklais naudojame naujausius šifravimo protokolus (pvz., TLS), o duomenims mūsų duomenų bazėse ir atsarginėse kopijose šifruoti – patikimus šifravimo algoritmus. Taip užtikrinama, kad net jei duomenys būtų perimti arba prie jų būtų prieita be leidimo, jie liktų nesuprantami ir saugūs¹². Kai tai įmanoma, siūlome mechanizmus saugiai valdyti šifravimo raktus, kad būtų išvengta bet kokio vieno pažeidžiamo taško.

Prieigos kontrolė:

Livappy taiko griežtus prieigos kontrolės mechanizmus, kad asmens duomenys būtų prieinami tik įgaliotiems darbuotojams pagal būtinumo žinoti principą. Įdiegėme vaidmenimis grindžiamą prieigos kontrolę ir naudotojų autentifikavimo sistemas (įskaitant kelių veiksnių autentifikavimą jautrioms sistemoms), kad apribotume, kas gali prieiti prie duomenų. Darbuotojų prieiga prie asmens duomenų suteikiama pagal pareigas ir nedelsiant panaikinama ar pakoreguojama pasikeitus vaidmenims. Kiekvienas darbuotojas ar rangovas, turintis prieigą prie asmens duomenų, saistomas konfidencialumo įsipareigojimų ir mokomas duomenų saugumo.

Registravimas ir stebėsena:

Vedame išsamius prieigos prie sistemų ir duomenų tvarkymo veiklos žurnalus. Visa prieiga prie asmens duomenų saugyklų, taip pat reikšmingi veiksmai su asmens duomenimis registruojami saugiuose audito žurnaluose. Livappy naudoja stebėsenos įrankius žurnalams peržiūrėti ir bet kokiai neįprastai ar neteisėtai veiklai aptikti. Tai padeda ne tik užkirsti kelią galimiems saugumo incidentams ir juos nustatyti, bet ir suteikia audito įrašą, įrodantį atskaitomybę už prieigą prie duomenų ir jų pakeitimus.

Saugi infrastruktūra (AWS debesija):

Mūsų paslaugos talpinamos Amazon Web Services (AWS) – patikimo debesijos paslaugų teikėjo, taikančio aukštus saugumo standartus ir BDAR atitinkančią praktiką, – infrastruktūroje. Naudojamės AWS saugumo funkcijomis ir atitikties sertifikatais. Pavyzdžiui, ES asmens duomenims saugoti renkamės duomenų centrų regionus Europoje, naudojame integruotas AWS užkardas bei tinklo saugumo priemones ir reguliariai diegiame programinės įrangos pataisas bei atnaujinimus. AWS suteikia tvirtas duomenų apsaugos garantijas ir galimybes (įskaitant kliento kontrolę dėl duomenų buvimo vietos, šifravimo ir prieigos valdymo)¹², kuriomis naudojamės stiprindami bendrą savo saugumo lygį.

Tinklo ir sistemų saugumas:

Livappy saugo savo IT sistemas tokiomis priemonėmis kaip užkardos, įsibrovimų aptikimo ir prevencijos sistemos (IDS / IPS), apsauga nuo kenkėjiškų programų ir saugi tinklo architektūra. Siekdami sumažinti riziką, atskiriame aplinkas (pvz., kūrimo, testavimo, gamybos) ir taikome pažeidžiamumų valdymo praktiką, įskaitant reguliarų pažeidžiamumų skenavimą ir įsilaužimo testavimą. Visos nustatytos saugumo problemos nedelsiant sprendžiamos.

Organizacinė politika ir mokymai:

Esame nustatę vidaus saugumo ir duomenų apsaugos politikas, kurių privalo laikytis visi darbuotojai ir rangovai. Šios politikos apima tinkamą asmens duomenų tvarkymą, įrenginių naudojimą, incidentų pranešimo tvarką ir kt. Reguliariai vykdome mokymus ir informuotumo programas, kad mūsų komanda išliktų budri ir išmanytų kibernetinio saugumo bei privatumo geriausią praktiką. Prieiga prie asmens duomenų reikalauja laikytis šių politikų, o pažeidimai gali užtraukti drausmines priemones.

Reguliarūs auditai ir vertinimai:

Livappy periodiškai audituoja savo duomenų apsaugos priemones ir atlieka rizikos vertinimus, kad užtikrintų nuolatinį jų veiksmingumą. Reguliariai peržiūrime naudotojų prieigos teises, testuojame savo reagavimo į incidentus planus ir galime pasitelkti nepriklausomus auditorius mūsų saugumo kontrolės priemonėms įvertinti. Visi nustatyti trūkumai ar tobulinimo galimybės nedelsiant šalinami. Šie auditai padeda mums išlaikyti atitiktį ir nuolat derintis prie besikeičiančių saugumo standartų bei reguliavimo gairių.

Veiklos tęstinumas ir atsarginės kopijos:

Siekdami apsisaugoti nuo duomenų praradimo ar sunaikinimo, taikome saugias duomenų atsarginio kopijavimo procedūras ir turime veiklos atkūrimo po nelaimių planus. Kritinių asmens duomenų atsarginės kopijos šifruojamos ir saugomos saugiai (įskaitant kopijas kitoje vietoje ar debesijoje), o duomenų atkūrimą periodiškai testuojame. Įvykus bet kokiam sistemos gedimui ar nelaimei, Livappy gali atkurti asmens duomenis, kad būtų išvengta negrįžtamo praradimo, laikantis vientisumo ir prieinamumo reikalavimų.

Pseudonimų suteikimas ir duomenų kiekio mažinimas:

Kai tik tinkama, Livappy taiko asmens duomenų pseudonimų suteikimą – identifikuojančius laukus pakeičia dirbtiniais identifikatoriais, – kad sumažintų riziką neteisėtos prieigos atveju. Taip pat griežtai laikomės duomenų kiekio mažinimo principo, rinkdami ir saugodami tik tuos asmens duomenis, kurie būtini mūsų nurodytiems tikslams¹⁰. Mažindami saugomų duomenų kiekį ir, kai įmanoma, juos atskirdami ar nuasmenindami, ribojame bet kokios galimos saugumo problemos poveikį.

Šiomis ir kitomis priemonėmis Livappy užtikrina, kad asmens duomenys visada būtų apsaugoti pagal pritaikytosios ir standartizuotosios duomenų apsaugos principus¹³. Nuolat vertiname naujas saugumo technologijas ir praktiką, kad sustiprintume savo apsaugą. Esame įsipareigoję išlaikyti pažangiausią saugumo sistemą, atitinkančią ar viršijančią BDAR duomenų saugumo reikalavimus, ir taip saugoti mūsų naudotojų bei klientų mums teikiamą pasitikėjimą.

Duomenų apsaugos pareigūnas (DPO)

BDAR reikalauja, kad tam tikros organizacijos paskirtų duomenų apsaugos pareigūną, kai tenkinami konkretūs kriterijai, pavyzdžiui, jeigu pagrindinė veikla apima didelio masto jautrių duomenų tvarkymą arba reguliarų ir sistemingą asmenų stebėjimą dideliu mastu¹⁹. Livappy OÜ dar nėra paskyrusi duomenų apsaugos pareigūno, nes dabartinis mūsų duomenų tvarkymo mastas ir pobūdis nedaro to privalomo pagal BDAR 37 straipsnį. Konkrečiai, dabartinė pagrindinė Livappy veikla neapima didelio masto specialių kategorijų duomenų tvarkymo ar didelio masto reguliaraus asmenų stebėjimo, dėl kurio teisiškai būtų privaloma paskirti DPO¹⁹. Įvertinome savo pareigas ir nustatėme, kad kol kas formalus DPO nėra būtinas.

Vis dėlto Livappy atidžiai stebi šį reikalavimą. Esame įsipareigoję ateityje paskirti kvalifikuotą DPO, jeigu mūsų veikla ar teisinės pareigos pasikeis taip, kad DPO taps būtinas. Pavyzdžiui, jeigu Livappy veikla išsiplės ir apims didelio masto itin jautrių asmens duomenų tvarkymą arba jeigu pradėsime plataus masto profiliavimo ar stebėjimo veiklą, iš naujo įvertinsime DPO poreikį ir nedelsdami jį paskirsime laikydamiesi BDAR nuostatų.

Dabartinės duomenų apsaugos priemonės

Net ir nesant formaliai paskirto DPO, Livappy užtikrina, kad duomenų apsaugos atsakomybė organizacijoje būtų aiškiai paskirstyta:

Turime specialią privatumo ir atitikties komandą (ar atsakingą asmenį), kuri prižiūri BDAR laikymąsi ir konsultuoja duomenų apsaugos klausimais. Ši komanda stebi mūsų duomenų apsaugos rezultatus, teikia gaires dėl BDAR pareigų ir veikia kaip vidinis naudotojų privatumo gynėjas.
Pateikiame kontaktinę informaciją (info@livappy.com) visoms duomenų apsaugos užklausoms ar prašymams ir šiuos pranešimus nagrinėjame tokiu pat rūpestingumu ir dėmesiu, kaip ir tuo atveju, jeigu būtų paskirtas DPO. Visos gautos užklausos ar skundai nagrinėjami kruopščiai, o prireikus perduodami vadovybei arba privatumo srities teisininkams.
Prireikus palaikome atvirus ryšius su priežiūros institucijomis ir sekame reguliavimo gaires, kad užtikrintume nuolatinę atitiktį.

Livappy supranta, kokią vertę gali suteikti DPO, net jei jis nėra griežtai privalomas, – pavyzdžiui, nepriklausomą priežiūrą ir ekspertines privatumo žinias. Ir toliau stebėsime savo pareigas ir nedvejodami paskirsime DPO, kai to reikalaus sąlygos ar mūsų augimas. Kol kas įsipareigojame, kad visos esminės DPO funkcijos (atitikties stebėsena, konsultavimas dėl PDAV, darbuotojų mokymai ir kt.) būtų vykdomos per mūsų vidaus valdymo struktūras.

Pranešimas apie asmens duomenų saugumo pažeidimą

Nepaisant stiprios apsaugos, Livappy pripažįsta, kad saugumo incidentai gali įvykti. Įvykus asmens duomenų saugumo pažeidimui (saugumo incidentui, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami asmens duomenys, jie be leidimo atskleidžiami arba prie jų be leidimo prieinama), turime aiškią procedūrą, kaip valdyti pažeidimą ir įvykdyti BDAR nustatytas pranešimo pareigas. Mūsų reagavimo į duomenų saugumo pažeidimus planas apima šiuos veiksmus, atitinkančius BDAR 33 ir 34 straipsnius:

Neatidėliotinas aptikimas ir vidinis įspėjimas:

Turime sistemas ir procesus, leidžiančius aptikti galimus duomenų saugumo pažeidimus ir apie juos įspėti. Mūsų darbuotojai apmokyti atpažinti saugumo incidentus ir juos perduoti nagrinėti aukštesniu lygiu. Vos tik įtariamas ar nustatomas pažeidimas, informuojama mūsų vidaus reagavimo komanda (į kurią įeina IT, saugumo ir vadovybės darbuotojai). Tyrimui prižiūrėti paskiriame konkretų incidentų vadovą.

Suvaldymas ir vertinimas:

Livappy greitai suvaldys pažeidimą, kad būtų užkirstas kelias tolesniam duomenų nutekėjimui (pavyzdžiui, izoliuodama paveiktas sistemas, panaikindama pažeistus prisijungimo duomenis arba išjungdama tam tikras funkcijas). Tada tiriame incidentą, kad nustatytume pažeidimo pobūdį ir mastą, kokie duomenys ir kokie asmenys yra paveikti bei kokios galimos rizikos duomenų subjektams. Atlikdami šį vertinimą įvertiname galimos žalos tikimybę ir sunkumą.

Pranešimas institucijoms (72 valandos):

Jeigu pažeidimas gali kelti pavojų asmenų teisėms ir laisvėms, Livappy nepagrįstai nedelsdama ir, kai įmanoma, per 72 valandas nuo sužinojimo apie pažeidimą praneš apie jį atitinkamai priežiūros institucijai¹⁴. Kadangi Livappy įsteigta Estijoje, mūsų vadovaujanti priežiūros institucija greičiausiai yra Estijos duomenų apsaugos inspekcija (Andmekaitse Inspektsioon), nebent pažeidimas paveikia duomenų subjektus keliose ES šalyse (tokiu atveju derinsime veiksmus su vadovaujančia institucija pagal vieno langelio principo mechanizmą).

Mūsų pranešime institucijoms bus pateikta visa privaloma informacija (pažeidimo pobūdis, atitinkamų duomenų subjektų ir įrašų kategorijos bei apytikslis skaičius, galimos pasekmės, priemonės, kurių imtasi ar siūloma imtis pažeidimui šalinti, ir kt.). Jeigu negalėsime pateikti visos informacijos per 72 valandas, ją pateiksime etapais, kaip leidžiama, kartu paaiškindami vėlavimo priežastis^15,16.

Pranešimas paveiktiems asmenims:

Jeigu pažeidimas gali kelti didelį pavojų asmenų asmens duomenims ar privatumui, apie pažeidimą nepagrįstai nedelsdami pranešime ir paveiktiems duomenų subjektams¹⁷. Šis pranešimas bus pateiktas aiškia ir paprasta kalba, jame bus aprašytas pažeidimo pobūdis ir pateiktos rekomendacijos asmenims, kaip sumažinti galimas neigiamas pasekmes (pavyzdžiui, galime patarti pasikeisti slaptažodžius arba būti budriems dėl duomenų vagystės, jeigu buvo atskleisti prisijungimo duomenys). Asmenims nepranešime, jeigu dėl veiksmingų techninių priemonių (pvz., duomenų šifravimo) ar kitų aplinkybių pažeisti duomenys yra nesuprantami arba rizika yra maža, nebent institucijos nurodytų mums tai padaryti.

Ištaisymas ir ateities prevencija:

Livappy nedelsdama imsis veiksmų pažeidimo priežasčiai pašalinti. Tai gali apimti programinės įrangos pažeidžiamumų šalinimą, prieigos kontrolės griežtinimą, šifravimo tobulinimą ar kitus taisomuosius veiksmus, kad panašus incidentas nepasikartotų. Taip pat dokumentuosime įgytas pamokas ir atitinkamai atnaujinsime savo saugumo politikas bei mokymus. Aukščiausioji vadovybė informuojama apie visus pažeidimus ir jų šalinimo eigą, taip užtikrinant atskaitomybę ir paramą būtiniems patobulinimams.

Dokumentavimas:

Laikydamasi BDAR 33 straipsnio 5 dalies, Livappy dokumentuoja visus duomenų saugumo pažeidimus, nepriklausomai nuo to, ar apie juos privaloma pranešti. Šiame vidiniame pažeidimų registre fiksuojami su pažeidimu susiję faktai, jo poveikis ir taisomieji veiksmai. Tokia dokumentacija leidžia priežiūros institucijoms patikrinti mūsų atitiktį ir padeda nuolat tobulinti reagavimą į saugumo incidentus. Įrašus darome net ir apie nedidelius incidentus – tai mūsų atskaitomybės pareigų dalis¹⁸.

Laikydamasi šio struktūruoto požiūrio, Livappy užtikrina, kad bet koks duomenų saugumo pažeidimas būtų sprendžiamas greitai ir skaidriai, siekiant pagrindinio tikslo – apsaugoti mūsų naudotojų duomenis ir teises. Mūsų pasirengimas reaguoti į incidentus visą parą ir įsipareigojimas laikytis 72 valandų pranešimo termino atspindi, kaip rimtai vertiname asmens duomenų saugumą ir savo BDAR pareigas.

Duomenų tvarkymo sutartys

Livappy, teikdama savo paslaugas, pasitelkia tam tikrus patikimus trečiųjų šalių paslaugų teikėjus (duomenų tvarkytojus) – pavyzdžiui, debesijos infrastruktūros teikėjus, tapatybės nustatymo paslaugas ir analitikos platformas. Laikydamasi BDAR reikalavimų, Livappy sudaro duomenų tvarkymo sutartis (DPA) su visais išoriniais duomenų tvarkytojais, kurie mūsų vardu tvarko asmens duomenis²⁰. Šios DPA yra oficialios sutartys, užtikrinančios, kad kiekvienas duomenų tvarkytojas būtų įsipareigojęs laikytis BDAR ir saugotų asmens duomenis taip pat aukštais standartais kaip ir mes. Pagrindiniai mūsų požiūrio į DPA aspektai:

Privalomos DPA su visais duomenų tvarkytojais:

Taikome politiką, pagal kurią jokie asmens duomenys nebus perduodami ar patikimi trečiosios šalies duomenų tvarkytojui, jeigu nesudaryta BDAR atitinkanti DPA. Tai apima pagrindinius partnerius, tokius kaip Amazon Web Services (AWS) debesijos prieglobai, Veriff tapatybės nustatymo paslaugoms, Google debesijos įrankiams ar analitikai, ir bet kurį kitą tiekėją ar rangovą, tvarkantį duomenis. Kiekvienas iš šių duomenų tvarkytojų sutartimi įsipareigojo laikytis BDAR reikalavimų, tvarkyti duomenis tik pagal dokumentuotus Livappy nurodymus ir įgyvendinti tinkamas saugumo priemones.

Patikinimai ir pakankamos garantijos:

Vadovaudamasi BDAR 28 straipsniu ir 81 konstatuojamąja dalimi, Livappy pasitelkia tik tuos duomenų tvarkytojus, kurie suteikia pakankamas garantijas dėl savo gebėjimo apsaugoti asmens duomenis²¹. Mūsų duomenų tvarkymo sutartyse nustatyta, kad duomenų tvarkytojai privalo įgyvendinti visas tinkamas technines ir organizacines priemones duomenims apsaugoti (pvz., šifravimą, prieigos kontrolę, konfidencialumo įsipareigojimus) ir prireikus padėti Livappy vykdyti duomenų subjektų prašymus bei pranešti apie pažeidimus²². Prieš pradėdami bendradarbiauti su naujais tiekėjais, atidžiai įvertiname jų duomenų apsaugos praktiką ir reputaciją.

Pagrindinės DPA sąlygos:

Kiekvienoje Livappy pasirašomoje DPA yra visos pagal BDAR 28 straipsnio 3 dalį privalomos nuostatos. Jos, be kita ko, apima: duomenų tvarkytojas tvarkys asmens duomenis tik pagal Livappy nurodymus; duomenis tvarkantys darbuotojai saistomi konfidencialumo; duomenų tvarkytojas padės užtikrinti saugumo reikalavimų laikymąsi ir prisidės įgyvendinant duomenų subjektų teises bei atliekant PDAV; subtvarkytojai negali būti pasitelkti be mūsų leidimo ir jiems turi būti taikomos tos pačios pareigos; pasibaigus bendradarbiavimui duomenų tvarkytojas grąžins arba ištrins asmens duomenis; duomenų tvarkytojas privalo leisti atlikti auditus ir pateikti atitikties įrodymus²². Šios sutartinės sąlygos suteikia Livappy ir mūsų naudotojams tikrumo, kad asmens duomenys lieka apsaugoti net ir tada, kai juos tvarko trečiosios šalys.

Stebėsena ir vykdymo užtikrinimas:

Livappy tvarko visų esamų duomenų tvarkytojų ir su jais sudarytų sutarčių būklės sąrašą. Stebime savo duomenų tvarkytojų atitiktį – pavyzdžiui, peržiūrėdami jų saugumo sertifikatus, audito ataskaitas ar elgesio kodeksų laikymąsi. Jeigu duomenų tvarkytojas neįvykdo savo duomenų apsaugos pareigų, imamės neatidėliotinų veiksmų, kurie gali apimti reikalavimą pašalinti trūkumus, duomenų tvarkymo sustabdymą ar net sutarties nutraukimą. Be to, pagal mūsų DPA duomenų tvarkytojai atsako už duomenų apsaugą – tai reiškia, kad jie privalo atlyginti Livappy (o galiausiai ir mūsų naudotojams) bet kokią žalą, padarytą jų vykdomu duomenų tvarkymu, neatitinkančiu BDAR standartų.

Subtvarkytojai:

Kai mūsų duomenų tvarkytojai perduoda dalį duomenų tvarkymo subrangovams (pavyzdžiui, jeigu AWS pasitelkia subrangovus duomenų centrams prižiūrėti), pagal mūsų DPA tokiems subtvarkytojams taikomi tie patys standartai. Livappy sutartys užtikrina BDAR atitinkančių pareigų grandinę visais duomenų tvarkymo lygmenimis.

Pastaba: Livappy yra sudariusi duomenų tvarkymo sutartį (DPA) su Google Ireland Limited dėl Google Workspace paslaugų (el. pašto, kalendoriaus, debesijos) teikimo. Google veikia kaip duomenų tvarkytojas Livappy vardu, o visas duomenų tvarkymas atitinka BDAR, įskaitant standartines sutarčių sąlygas (SCC), kai duomenys gali būti perduodami už ES ribų.

Palaikydama griežtas duomenų tvarkymo sutartis, Livappy vykdo savo, kaip duomenų valdytojo, pareigą dirbti tik su tais duomenų tvarkytojais, kurie gali garantuoti asmens duomenų apsaugą²³. Šis sutartinis kruopštumas yra esminė mūsų BDAR atitikties programos dalis ir suteikia mūsų klientams bei naudotojams užtikrinimą, kad jų duomenys bus tvarkomi saugiai ne tik Livappy, bet ir bet kurio partnerio ar tiekėjo, dalyvaujančio teikiant mūsų paslaugas. Reguliariai peržiūrime ir atnaujiname savo DPA atsižvelgdami į teisės aktų pokyčius ir užtikriname, kad visos naujos partnerystės prasidėtų sudarius patikimą duomenų apsaugos sutartį.

Kontaktinė informacija

Kontaktinis el. paštas: info@livappy.com

Įsigaliojimo data: 2025 m. rugsėjo 10 d.

Operatorius: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Registruota Tartu apygardos teismo registrų skyriuje, komercinio registro kortelės Nr. 1

Įsigaliojimo data ir peržiūra

Ši BDAR atitikties politika įsigalioja nuo jos paskelbimo dienos ir yra patvirtinta Livappy vadovybės. Politiką peržiūrėsime bent kartą per metus, taip pat papildomai, kai reikės atspindėti mūsų praktikos ar teisės aktų pokyčius. Atnaujinimai bus skelbiami, kad darbuotojai, klientai ir partneriai nuolat žinotų, kaip Livappy vykdo savo įsipareigojimą laikytis BDAR.

Šaltiniai

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/