Įsigaliojimo data: 2026 m. gegužės 25 d. Paskutinį kartą atnaujinta: 2026 m. birželio 1 d.

Ši Duomenų tvarkymo sutartis (toliau – „DTS“) yra neatsiejama Paslaugų teikimo sąlygų (toliau – „Sąlygos“) dalis, sudaryta tarp Jūsų („Klientas“ arba „Duomenų valdytojas“) ir „All Digital Group, UAB“ („InvoHub“, „mes“, „Duomenų tvarkytojas“). Ši DTS reglamentuoja, kaip mes tvarkome asmens duomenis Jūsų vardu, kai naudojatės „InvoHub“ paslaugomis.

Sutikdami su Sąlygomis, Jūs sutinkate su šia DTS. Jei nesutinkate su kuria nors šios DTS dalimi, privalote nesinaudoti paslaugomis.

1. Apibrėžtys

Šie terminai turi toliau nurodytas reikšmes. Kiti šioje DTS vartojami terminai turi tokias reikšmes, kokios nurodytos BDAR.

• „BDAR“ – 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas).
• „Kliento duomenys“ – bet kokie asmens duomenys, kurie yra įkeliami, surenkami arba tvarkomi „InvoHub“ paslaugoje Kliento vardu, įskaitant sąskaitų faktūrų turinį, el. pašto dėžutės duomenis ir metaduomenis apie šį tvarkymą. Kliento duomenys neapima asmens duomenų, kuriuos tvarkome apie Jus, kaip apie mūsų paslaugos vartotoją (tai reglamentuojama mūsų Privatumo politikoje).
• „Kliento asmens duomenys“ – asmens duomenys, esantys Kliento duomenyse, kaip apibrėžta BDAR 4 straipsnio 1 dalyje.
• „Subtvarkytojas“ – bet kuris trečiosios šalies duomenų tvarkytojas, kurį „InvoHub“ pasitelkia Kliento asmens duomenims tvarkyti Kliento vardu.
• „SSS“ – Standartinės sutarčių sąlygos, patvirtintos Europos Komisijos 2021 m. birželio 4 d. įgyvendinimo sprendimu (ES) 2021/914, įskaitant jų modulius ir sąlygas, taikomas tarptautiniams duomenų perdavimams pagal BDAR 46 straipsnį.
• „Duomenų subjektas“ – turi reikšmę, nurodytą BDAR 4 straipsnio 1 dalyje.
• „Tvarkymas“ – turi reikšmę, nurodytą BDAR 4 straipsnio 2 dalyje.
• „Paslauga“ – „InvoHub“ programinės įrangos kaip paslaugos (SaaS) platforma, aprašyta Sąlygose.

2. Taikymo sritis

2.1 Kada taikoma ši DTS

Ši DTS taikoma visam Kliento asmens duomenų tvarkymui, kurį „InvoHub“ atlieka Kliento vardu, susijusiam su Kliento naudojimusi Paslauga. Konkretūs tvarkymo veiksmai aprašyti II priede (Tvarkymo aprašymas).

2.2 Šalių vaidmenys

Šios DTS apimtyje vykdomam tvarkymui:

• Klientas yra duomenų valdytojas, kaip apibrėžta BDAR 4 straipsnio 7 dalyje, arba, kai Klientas pats veikia kaip duomenų tvarkytojas savo duomenų valdytojo vardu, Klientas šiame DTS veikia kaip duomenų valdytojo atstovas.
• „InvoHub“ yra duomenų tvarkytojas, kaip apibrėžta BDAR 4 straipsnio 8 dalyje.

2.3 Ko ši DTS neapima

Ši DTS nereglamentuoja:

• Asmens duomenų, kuriuos tvarkome apie Kliento individualius vartotojus kaip Paslaugos teikimo dalį (pvz., vartotojo paskyros duomenys, autentifikavimo metaduomenys, sesijos informacija). Šis tvarkymas yra reglamentuojamas mūsų Privatumo politikoje, kurioje mes veikiame kaip duomenų valdytojas.
• Bet kokio asmens duomenų tvarkymo, kuris nėra atliekamas Kliento vardu, įskaitant apibendrintą ir anonimizuotą analizę apie naudojimąsi Paslauga, kuri neleidžia identifikuoti jokio asmens ar organizacijos.

3. Duomenų tvarkytojo įsipareigojimai

Mes įsipareigojame laikytis toliau nurodytų įsipareigojimų Kliento asmens duomenų atžvilgiu.

3.1 Dokumentuotos instrukcijos

Mes tvarkysime Kliento asmens duomenis tik remdamiesi dokumentuotomis Kliento instrukcijomis, įskaitant instrukcijas dėl tarptautinių perdavimų, nebent ES ar valstybės narės teisė mus įpareigoja elgtis kitaip. Instrukcijas sudaro:

• Ši DTS
• Paslaugų teikimo sąlygos
• Konfigūracijos parinktys, kurias Klientas pasirenka Paslaugoje (pvz., jungčių nustatymai, automatizavimo taisyklės, duomenų saugojimo trukmės keitimai)
• Konkrečios rašytinės instrukcijos, kurias Klientas pateikia adresu privacy@invohub.eu

Jei manome, kad instrukcija pažeidžia BDAR ar kitus taikytinus duomenų apsaugos teisės aktus, nedelsdami informuosime Klientą ir galime sustabdyti atitinkamą tvarkymą, kol instrukcija bus paaiškinta.

3.2 Personalo konfidencialumas

Užtikriname, kad visas personalas, įgaliotas prieiti prie Kliento asmens duomenų, yra saistomas konfidencialumo įsipareigojimų, kurie atitinka bent mūsų vidaus politikoje nustatytus standartus. Prieigą prie Kliento asmens duomenų mūsų personalui reglamentuoja Privatumo politikos 5 skirsnyje aprašyti prieigos prie pagalbos (Support Access) saugumo vartai, kurie pagal nutylėjimą neleidžia žmogui prieiti prie iš el. pašto gautų duomenų be aiškaus Kliento sutikimo.

3.3 Tvarkymo saugumas

Mes įgyvendiname ir palaikome tinkamas technines ir organizacines priemones, siekdami užtikrinti riziką atitinkantį saugumo lygį, atsižvelgiant į technikos išsivystymo lygį, įgyvendinimo sąnaudas, tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, bei riziką duomenų subjektams.

Konkrečios mūsų įgyvendinamos priemonės nustatytos III priede (Techninės ir organizacinės priemonės). Mes galime periodiškai atnaujinti šias priemones, su sąlyga, kad bendras apsaugos lygis nesumažės.

3.4 Subtvarkytojai

Bendrosios ir konkrečios taisyklės, reglamentuojančios mūsų Subtvarkytojų naudojimą, yra išdėstytos šios DTS 4 skirsnyje ir IV priede (Subtvarkytojai).

3.5 Duomenų subjektų teisių užtikrinimas

Atsižvelgdami į tvarkymo pobūdį, mes padedame Klientui įgyvendinti Kliento pareigą atsakyti į duomenų subjektų prašymus įgyvendinti savo teises pagal BDAR III skyrių, taikydami atitinkamas technines ir organizacines priemones.

Konkrečiai mes suteikiame:

• Savitarnos duomenų eksportavimo funkciją (XLSX, ZIP) Kliento darbo erdvėje, įgyvendinant teisę į duomenų perkeliamumą (BDAR 20 straipsnis)
• Savitarnos darbo erdvės ištrynimo funkciją, įgyvendinant teisę būti pamirštam (BDAR 17 straipsnis) Kliento darbo erdvės duomenims
• Pagalbą rankiniu būdu, nagrinėjant individualius duomenų subjektų prašymus per privacy@invohub.eu, atsakant per 30 dienų nuo gavimo arba per 7 dienų pranešimą apie pratęsimą

Jei duomenų subjektas tiesiogiai kreipiasi į mus su prašymu, susijusiu su Kliento asmens duomenimis, mes persiųsime prašymą Klientui ir patys į jį neatsakysime, nebent tai būtų teisiškai būtina, išskyrus prašymo gavimo patvirtinimą ir paaiškinimą, kad į prašymą atsakys duomenų valdytojas.

3.6 Asmens duomenų saugumo pažeidimai

Mes padedame Klientui užtikrinti atitiktį BDAR 32–36 straipsniuose nustatytiems įpareigojimams (tvarkymo saugumas, pranešimas apie pažeidimą, pranešimas duomenų subjektams apie pažeidimą, poveikio duomenų apsaugai vertinimas, išankstinės konsultacijos). Konkretūs pranešimo apie pažeidimus procesai aprašyti šios DTS 6 skirsnyje.

3.7 Duomenų ištrynimas ar grąžinimas pasibaigus tvarkymui

Kliento pasirinkimu, pasibaigus paslaugų teikimui, susijusiam su tvarkymu, mes ištriname arba grąžiname visus Kliento asmens duomenis ir ištriname esamas kopijas, nebent ES ar valstybės narės teisė reikalauja saugoti asmens duomenis.

Numatytoji elgsena: darbo erdvės duomenys automatiškai ištrinami praėjus 30 dienų po to, kai Klientas nutraukia paslaugų teikimą („Lengvatinis laikotarpis“), pasitelkiant automatizuotą kasdienę cron užduotį. Lengvatinio laikotarpio metu Klientas gali bet kada eksportuoti duomenis. Pasibaigus Lengvatiniam laikotarpiui, ištrynimas yra negrįžtamas, išskyrus II priedo 2 skirsnyje nurodytas išimtis (vartotojų paskyros ir sutikimų įrašai, saugomi pagal BDAR 7 straipsnio 1 dalį).

3.8 Tvarkymo veiklos įrašai

Mes tvarkome Kliento vardu atliekamo tvarkymo veiklos įrašus, kaip reikalauja BDAR 30 straipsnio 2 dalis. Šie įrašai yra prieinami Klientui paprašius adresu privacy@invohub.eu siekiant įrodyti atitiktį.

3.9 Atitikties dokumentacija

Mes suteikiame Klientui visą informaciją, būtiną BDAR 28 straipsnyje nustatytų įpareigojimų vykdymui įrodyti. Ši dokumentacija apima:

• Šią DTS, įskaitant jos priedus
• Mūsų Privatumo politiką
• Mūsų viešą Subtvarkytojų puslapį
• Subtvarkytojų DTS (pateikiami paprašius adresu privacy@invohub.eu)
• Saugumo dokumentacijos santraukas (pateikiamos paprašius kvalifikuotiems Klientams)

3.10 Bendradarbiavimas audituose

Mes leidžiame Klientui arba Kliento įgaliotam auditoriui atlikti auditus, įskaitant patikrinimus. Konkreti auditų apimtis, laikas ir būdai nustatyti šios DTS 8 skirsnyje.

3.11 Pranešimas apie privalomą atskleidimą

Jei esame teisiškai įpareigoti atskleisti Kliento asmens duomenis (pvz., pagal šaukimą į teismą, teismo nutartį ar vyriausybės prašymą), mes, jei tai nėra teisiškai draudžiama:

• Iš anksto ir be nepagrįsto delsimo informuosime Klientą
• Suteiksime Klientui pagrįstą galimybę siekti apsaugos priemonių
• Apribosime atskleidimą tiek, kiek tai teisiškai reikalaujama
• Dėsime pagrįstas pastangas užtikrinti, kad duomenis gaunanti šalis traktuotų juos kaip konfidencialius

3.12 Jokių duomenų saugojimas po ištrynimo instrukcijos

Mes nesaugome Kliento asmens duomenų po to, kai Klientas duoda nurodymą juos ištrinti, išskyrus atvejus, kai saugojimas yra reikalaujamas pagal ES ar valstybės narės teisę. Tokiu atveju prieš vykdydami tvarkymą informuosime Klientą apie teisinį įpareigojimą.

4. Subtvarkytojai

4.1 Bendras leidimas

Klientas įgalioja mus pasitelkti Subtvarkytojus Kliento asmens duomenims tvarkyti Kliento vardu, laikantis šiame 4 skirsnyje nurodytų sąlygų ir IV priede bei mūsų viešame Subtvarkytojų puslapyje nurodyto įgaliotų Subtvarkytojų sąrašo.

4.2 Subtvarkytojų įsipareigojimai

Kiekvienam mūsų pasitelkiamam Subtvarkytojui sutartimi užtikriname, kad Subtvarkytojas:

• Užtikrina bent tokį patį duomenų apsaugos lygį, koks nustatytas šioje DTS
• Įgyvendina tinkamas technines ir organizacines priemones, lygiavertes nurodytoms III priede
• Tvarko Kliento asmens duomenis tik tiek, kiek būtina sutartoms paslaugoms teikti
• Yra saistomas konfidencialumo įsipareigojimų
• Bendradarbiauja vykdant audito prašymus, kai tai pagrįstai būtina
• Tarptautiniams perdavimams įgyvendina tinkamas apsaugos priemones pagal BDAR V skyrių

4.3 Pranešimas apie pakeitimus

Mes informuosime Klientą apie bet kokius numatomus pakeitimus, susijusius su Subtvarkytojų papildymu ar pakeitimu, suteikdami Klientui galimybę pareikšti prieštaravimą dėl tokių pakeitimų.

Pranešimų teikimo mechanizmas išsamiai aprašytas mūsų Subtvarkytojų puslapyje. Trumpai tariant:

• Apie naujus Subtvarkytojus pranešama per programėlės reklamjuosčių pranešimus, matomus kiekvienam prisijungusiam vartotojui
• Reklamjuostė lieka matoma, kol vartotojas ją patvirtina
• Patvirtinimas sukuria 30 dienų prieštaravimo laikotarpį
• Prieštaravimus galima teikti adresu privacy@invohub.eu

4.4 Kliento prieštaravimas

Jei Klientas per 30 dienų prieštaravimo laikotarpį prieštarauja Subtvarkytojo pakeitimui, mes sąžiningai bendradarbiausime su Klientu, ieškodami sprendimo. Tokie sprendimai gali apimti:

• Patvirtinimą, kad Subtvarkytojas netvarkys Kliento konkrečių duomenų
• Papildomos informacijos, kuri išsprendžia prieštaravimą, pateikimą
• Alternatyvaus susitarimo pasiūlymą

Jei nepavyksta rasti abiem pusėms priimtino sprendimo, Klientas gali nutraukti atitinkamą Paslaugos dalį ištrindamas darbo erdvę, o mes padėsime eksportuoti duomenis per standartinį 30 dienų Lengvatinį laikotarpį.

4.5 Atsakomybė už Subtvarkytojus

Mes liekame visiškai atsakingi už mūsų Subtvarkytojų veiklos rezultatus ir už bet kokius mūsų Subtvarkytojų veiksmus ar neveikimą, dėl kurių pažeidžiama ši DTS.

5. Tarptautiniai duomenų perdavimai

5.1 Perdavimo mechanizmas

Kai asmens duomenys perduodami Subtvarkytojui, esančiam už Europos ekonominės erdvės (EEE) ribų, užtikriname, kad perdavimas būtų apsaugotas tinkamomis apsaugos priemonėmis pagal BDAR 46 straipsnį.

Visiems tokiems perdavimams į mūsų sutartis su atitinkamais Subtvarkytojais įtraukiamos Europos Komisijos standartinės sutarčių sąlygos (2021 m. birželio 4 d. įgyvendinimo sprendimas (ES) 2021/914), parenkant santykiams taikomą modulį (2 modulis: duomenų valdytojas–duomenų tvarkytojui, arba 3 modulis: duomenų tvarkytojas–duomenų tvarkytojui) pagal kiekvienos šalies vaidmenį.

5.2 Taikomi perdavimai

Šiuo metu vykdomi šie perdavimai (išsami informacija IV priede):

• Perdavimai į Jungtines Valstijas: „Anthropic“ („Claude API“), „Replit“ (programų talpinimas) bei tam tikros „Google“ ir „Microsoft“ tvarkymo operacijos.
• Tvarkymas Europos Sąjungoje: „AWS S3/KMS“, „Neon PostgreSQL“ talpinimas, „Google“ ir „Microsoft“ paslaugų ES regionai, kai jie pasirenkami.

Kliento asmens duomenys saugomi ES regionuose visais atvejais, kai Subtvarkytojas siūlo regiono pasirinkimą („AWS“, „Neon“). Programų vykdymo laiko tvarkymas „Replit“ (JAV) apsiriboja užklausų apdorojimu atmintyje — nuolatiniai duomenys „Replit“ infrastruktūroje nėra saugomi.

5.3 Adekvatumo sprendimai

Jei Europos Komisija priima adekvatumo sprendimą dėl Jungtinių Valstijų, apimantį bet kurį iš mūsų JAV įsikūrusių Subtvarkytojų, šis adekvatumo sprendimas bus taikomas perdavimams tiems Subtvarkytojams. SSS bus taikomos tol, kol toks adekvatumo sprendimas įsigalios.

5.4 Vyriausybės prieigos prašymai

Mes nereaguosime į vyriausybės prašymus suteikti prieigą prie Kliento asmens duomenų, prieš tai neinformavę Kliento (kai tai teisiškai leidžiama) ir nesuteikę Klientui galimybės siekti apsaugos priemonių. Šis įsipareigojimas taip pat galioja mūsų Subtvarkytojams per mūsų sutartis.

6. Asmens duomenų saugumo pažeidimai

6.1 Pranešimo terminai

Mes informuosime Klientą be nepagrįsto delsimo, ir bet kuriuo atveju per 72 valandas, kai sužinosime apie asmens duomenų saugumo pažeidimą, turintį įtakos Kliento asmens duomenims.

72 valandų terminas prasideda nuo tada, kai turime pagrįstą tikrumo laipsnį, kad pažeidimas įvyko, o ne nuo pirmojo įtarimo momento. Pradinį pranešimą galime papildyti vėlesniais atnaujinimais, kai gaunama daugiau informacijos.

6.2 Pranešimo turinys

Mūsų pranešime apie pažeidimą Klientui bus nurodyta, kiek įmanoma:

• Pažeidimo pobūdis, įskaitant (jei įmanoma) duomenų subjektų kategorijas ir apytikslį skaičių bei susijusius asmens duomenų įrašus
• Tikėtinos pažeidimo pasekmės
• Priemonės, kurių ėmėmės arba siūlome imtis pažeidimui spręsti ir neigiamoms pasekmėms sušvelninti
• „InvoHub“ kontaktinis asmuo papildomai informacijai gauti
• Ar įtraukti kiti Subtvarkytojai

6.3 Bendradarbiavimas

Mes bendradarbiausime su Klientu tiriant pažeidimą ir vykdant Kliento pareigas pranešti priežiūros institucijai ir nukentėjusiems duomenų subjektams pagal BDAR 33 ir 34 straipsnius.

6.4 Pažeidimų registras

Mes tvarkome vidinį asmens duomenų saugumo pažeidimų registrą, įskaitant pažeidimo faktus, jo poveikį ir imtasi taisomųjų veiksmų, kaip reikalauja BDAR 33 straipsnio 5 dalis. Klientas gali paprašyti susipažinti su įrašais, susijusiais su Kliento asmens duomenimis, įspėjus prieš protingą laikotarpį.

7. Pagalba įgyvendinant duomenų subjektų teises

7.1 Savitarnos įrankiai

Klientas gali įgyvendinti daugelį duomenų subjektų prašymų naudodamasis Paslaugoje integruotais savitarnos įrankiais:

7.2 Pagalba rankiniu būdu

Dėl duomenų subjektų prašymų, kurių negalima įgyvendinti naudojantis savitarnos įrankiais, mes teikiame pagalbą rankiniu būdu adresu privacy@invohub.eu:

• Patvirtinimas per 5 darbo dienas
• Atsakymas arba įvykdymas per 30 dienų nuo gavimo, arba 7 dienų pranešimas apie pratęsimą nurodant priežastį
• Joks mokestis už pagrįstus prašymus; pagrįstas mokestis už akivaizdžiai nepagrįstus ar perteklinius prašymus (BDAR 12 straipsnio 5 dalis)

7.3 Tapatybės nustatymas

Mes galime pareikalauti, kad Klientas patikrintų prašymą pateikusio duomenų subjekto tapatybę, siekiant išvengti neteisėto asmens duomenų atskleidimo. Kai duomenų subjektas kreipiasi tiesiogiai į mus, mes persiųsime prašymą Klientui kaip duomenų valdytojui.

8. Auditai

8.1 Kliento teisė atlikti auditą

Klientas turi teisę audituoti mūsų atitiktį šiai DTS, įskaitant:

• Peržiūrint mūsų atitikties dokumentaciją (3.9 skirsnis)
• Teikiant rašytinius klausimynus adresu privacy@invohub.eu
• Kai abipusiai susitarta, atliekant auditą vietoje arba nuotoliniu būdu mūsų biuruose

8.2 Audito vykdymo tvarka

Siekiant subalansuoti Kliento teises į auditą su mūsų veiklos realijomis ir kitų klientų privatumu, taikoma:

• Dažnumas: Manoma, kad vieną kartą per metus yra pagrįsta; dažnesniems auditams reikia teisėtos priežasties (pvz., pažeidimas, reguliuotojo prašymas arba esminis Subtvarkytojų pasikeitimas)
• Įspėjimas: Ne vėliau kaip prieš 30 dienų raštu įspėti dėl auditų vietoje
• Auditoriaus kvalifikacija: Išoriniai auditoriai turi būti patikimi, saistomi konfidencialumo ir negali būti tiesioginiai „InvoHub“ konkurentai
• Išlaidos: Kiekviena šalis padengia savo išlaidas; jei auditas atskleidžia esminę mūsų neatitiktį, mes kompensuosime pagrįstas Kliento audito išlaidas
• Apimtis: Ribojama „InvoHub“ atitiktimi šiai DTS; jokia prieiga prie kitų klientų duomenų ar informacijos, kuri pakenktų kitų klientų saugumui ar konfidencialumui

8.3 Esami sertifikatai

Siekiant sumažinti auditų naštą, Klientas gali remtis:

• Kasmetiniais nepriklausomais saugumo vertinimais, kuriuos atliekame (pvz., „Google Cloud“ programų saugumo vertinimas mūsų „Gmail“ integracijai)
• Subtvarkytojų sertifikatais (SOC 2, ISO 27001 ir kt.) — sąrašas pateikiamas paprašius
• Mūsų vidine saugumo kontrolės priemonių dokumentacija (III priedas)

Mes pasidalinsime šių vertinimų santraukomis paprašius, laikantis konfidencialumo.

9. Atsakomybė

Šalių atsakomybė pagal šią DTS reglamentuojama Sąlygose nustatytais apribojimais, įskaitant 13.3 skirsnį (Atsakomybės apribojimas).

Be to:

• Atsakomybė tarp Kliento ir „InvoHub“ už bet kokius Subtvarkytojų veiksmus ar neveikimą paskirstoma, kaip nustatyta 4.5 skirsnyje („InvoHub“ lieka atsakingas už Subtvarkytojus)
• Niekas šioje DTS neapriboja Kliento teisės siekti teisinės gynybos ar pateikti skundą priežiūros institucijai pagal BDAR

10. Sutarties galiojimas ir nutraukimas

10.1 Galiojimo laikotarpis

Ši DTS įsigalioja tą pačią dieną kaip ir Paslaugų teikimo sąlygos ir galioja tol, kol mes tvarkome Kliento asmens duomenis Kliento vardu.

10.2 Nutraukimas

Ši DTS nutraukiama automatiškai:

• Kai Klientas nutraukia Paslaugą ištrindamas darbo erdvę (atsižvelgiant į 30 dienų Lengvatinį laikotarpį, per kurį duomenys gali būti eksportuoti)
• Kai „InvoHub“ nutraukia Paslaugą laikydamasis Sąlygų (su protingu įspėjimo terminu)
• Abipusiu rašytiniu susitarimu

Skirsniai, kurie dėl savo pobūdžio turėtų išlikti po nutraukimo — įskaitant konfidencialumą, atsakomybę už praeitą tvarkymą ir pranešimo apie pažeidimus įsipareigojimus dėl pažeidimų, įvykusių sutarties galiojimo metu — galioja ir po nutraukimo.

10.3 Nutraukimo pasekmės

Nutraukus šią DTS, mes ištrinsime arba grąžinsime Kliento asmens duomenis, kaip nustatyta 3.7 skirsnyje.

11. Įvairios nuostatos

11.1 Pirmumo tvarka

Konflikto tarp šios DTS ir Paslaugų teikimo sąlygų atveju ši DTS turi viršenybę dėl klausimų, susijusių su Kliento asmens duomenų tvarkymu. Paslaugų teikimo sąlygos turi viršenybę visais kitais komerciniais klausimais.

11.2 DTS pakeitimai

Mes galime periodiškai atnaujinti šią DTS, siekdami atspindėti mūsų paslaugos, taikytinos teisės ar verslo praktikos pokyčius. Apie esminius pakeitimus, turinčius įtakos Kliento teisėms ar įsipareigojimams, bus pranešta per 4.3 skirsnyje aprašytą programėlės reklamjuosčių mechanizmą, likus bent 30 dienų iki įsigaliojimo.

Dėl neesminių atnaujinimų (pvz., nuorodų atnaujinimų, patikslinimų ar formatavimo) galime atnaujinti be išankstinio įspėjimo.

11.3 Atskiriamumas

Jei kuri nors šios DTS nuostata pripažįstama negaliojančia, neteisėta ar neįgyvendinama, likusios nuostatos lieka galioti visa apimtimi. Negaliojanti nuostata turi būti aiškinama taip, kad ji būtų galiojanti ir įgyvendinama tiek, kiek tai leidžia taikytina teisė.

11.4 Taikytina teisė

Ši DTS reglamentuojama Lietuvos Respublikos įstatymais, laikantis Paslaugų teikimo sąlygų 14 skirsnio.

11.5 Kalba

Ši DTS originaliai parengta anglų kalba. Vertimai į kitas kalbas pateikiami patogumo dėlei. Konflikto tarp kalbinių versijų atveju teisinio aiškinimo tikslais viršenybę turi versija anglų kalba.

I priedas — Šalių sąrašas

Duomenų valdytojas (Klientas)

Klientas yra fizinis asmuo, kuris priėmė Paslaugų teikimo sąlygas per Paslaugos elektroninį OAuth pagrindu veikiantį registracijos srautą, veikdamas juridinio asmens, kurį jis atstovauja, vardu.

Registracijos metu Paslauga iš Kliento tapatybės teikėjo („Google“ arba „Microsoft“) surenka tik:

• Kliento vardą (kaip įrašyta OAuth teikėjuje)
• Kliento el. pašto adresą (kaip įrašyta OAuth teikėjuje)
• Kliento OAuth teikėjo identifikatorių

Klientas, priimdamas Paslaugų teikimo sąlygas, patvirtina, kad yra įgaliotas įpareigoti juridinį asmenį, kurio vardu naudojasi Paslauga. Klientas sutinka „InvoHub“ pagrįstu prašymu pateikti šią papildomą identifikavimo informaciją, įskaitant šio I priedo užpildymo tikslais, sąskaitų faktūrų išrašymui už mokamas funkcijas (kai bus įvestos), atsakymui į duomenų apsaugos institucijos užklausą arba Subtvarkytojų pakeitimų pranešimų įgyvendinimui:

Siekiant išvengti abejonių, iki tol, kol Klientas nepateikia papildomos identifikavimo informacijos, fizinis asmuo, priėmęs Paslaugų teikimo sąlygas, yra operatyvinis kontaktas ir pasirašantis asmuo šios DTS tikslais, veikiantis savo įgaliotu pajėgumu juridinio asmens, kurį atstovauja, vardu.

Duomenų tvarkytojas (InvoHub)

Priėmimas ir pasirašymas

Šiai DTS nereikia rašytinių parašų.

Kliento priėmimas. Klientas priima šią DTS tuo metu, kai Klientas priima Paslaugų teikimo sąlygas per Paslaugos elektroninį registracijos srautą. Paslaugos saugomas priėmimo įrašas apima:

• OAuth pateiktą vardą ir el. pašto adresą fizinio asmens, kuris atliko priėmimą
• Priėmimo laiko žymą
• IP adresą, iš kurio buvo atliktas priėmimas
• User-Agent eilutę, užfiksuotą priėmimo metu
• DTS versiją (įsigaliojimo datą), kuri buvo priimta

Šis priėmimo įrašas saugomas Kliento paskyros galiojimo laikotarpiu ir bent 6 metus po to kaip sutikimo įrodymas (BDAR 7 straipsnio 1 dalis). Įrašas prieinamas Klientui paprašius adresu privacy@invohub.eu.

Duomenų tvarkytojo priėmimas. „InvoHub“ priima šią DTS paskelbdama ją adresu https://invohub.eu/legal/data-processing-agreement ir vykdydama Paslaugą pagal jos sąlygas.

Esminiai šios DTS pakeitimai. Jei esmingai atnaujiname šią DTS būdu, kuris daro įtaką Kliento teisėms ar įsipareigojimams, gausime atnaujintą Kliento sutikimą per 4.3 skirsnyje aprašytą programėlės reklamjuosčių mechanizmą, su bent 30 dienų įspėjimo laikotarpiu. Tolesnis naudojimasis Paslauga po atnaujinto sutikimo termino reiškia sutikimą su atnaujinta DTS.

Pasirašyta popierinė kopija (neprivaloma). Jei Klientui reikalinga pasirašyta popierinė šios DTS kopija Kliento vidaus atitikties įrašams, Klientas gali jos paprašyti rašydamas adresu privacy@invohub.eu. Pateiksime pasirašytą kopiją, atspindinčią juridinio asmens duomenis, kuriuos Klientas nurodys prašymo pateikimo metu.

II priedas — Tvarkymo aprašymas

II.1 Tvarkymo dalykas

Tvarkymo pagal šią DTS dalykas yra verslo sąskaitų faktūrų dokumentų, gautų Kliento verslo el. pašto paskyrose („Google Workspace“ / „Gmail“ arba „Microsoft 365“ / „Outlook“), surinkimas, saugojimas, DI pagalba atliekamas duomenų išgavimas ir eksportavimas kartu su iš tų dokumentų išgautais struktūrizuotais sąskaitų faktūrų duomenimis.

„InvoHub“ vaidmuo yra automatizuoti gaunamų verslo sąskaitų faktūrų surinkimą ir struktūrizuotų duomenų išgavimą, kurie kitu atveju reikalautų rankinio Kliento personalo darbo.

II.2 Tvarkymo trukmė

Tvarkymas tęsiasi paslaugų sutarties tarp „InvoHub“ ir Kliento galiojimo laikotarpiu, plius 30 dienų Lengvatinis laikotarpis po nutraukimo, per kurį Klientas gali eksportuoti, ginčyti arba susigrąžinti duomenis.

Pasibaigus 30 dienų Lengvatiniam laikotarpiui, „InvoHub“ atlieka automatizuotą visų Klientui specifinių asmens duomenų ir verslo įrašų ištrynimą, su šiomis siauromis išimtimis, saugomomis operacinio atskaitomumo tikslais:

• Vartotojų paskyros ir autentifikavimo nuorodos — išsaugomos po darbo erdvių ištrynimų, nes individualūs vartotojai gali priklausyti kelioms darbo erdvėms. Ištrynimas atskiru prašymu adresu privacy@invohub.eu.
• Sutikimų įrašai — saugomi neribotą laiką, kaip reikalauja BDAR 7 straipsnio 1 dalis, siekiant įrodyti atitiktį.
• Platformos lygio audito žurnalas — saugomas mažiausiai 5 metus saugumo ir atskaitomumo tikslais.

II.3 Tvarkymo pobūdis ir tikslas

Tvarkymo pobūdis. Tvarkymas apima šias operacijas:

1. Surinkimas — sąskaitų faktūrų dokumentai patenka į Paslaugą vienu iš būdų: (i) prisijungus prie Kliento el. pašto dėžutės per OAuth („Gmail API“ arba „Microsoft Graph“), paimant gaunamus laiškus su PDF priedais; (ii) per „InvoHub“ valdomą bendrinamą „Google Drive“ aplanką, į kurį Klientas įkelia sąskaitų faktūrų failus, paimamus pagal pasikartojantį tvarkaraštį; arba (iii) tiesioginio rankinio Kliento įkėlimo
2. Filtravimas — automatizuotas išankstinis apdorojimas, siekiant identifikuoti sąskaitų faktūrų pranešimus, bei nuorodų aptikimas pranešimuose su sąskaitų faktūrų nuorodomis
3. Saugojimas — trumpalaikis talpinimas ir ilgalaikis objektų saugojimas sąskaitų faktūrų PDF šifruota forma („AWS S3“ su „KMS“ šifravimu, ES regionai)
4. DI pagalba atliekamas išgavimas — PDF turinio pateikimas „Anthropic“ „Claude API“, siekiant atlikti OCR lygiavertį teksto ir struktūrizuotų duomenų išgavimą
5. Validacija — automatizuotas verslo taisyklių patikrinimas (PVM kodo formatas, finansinių sumų nuoseklumas)
6. Struktūrizavimas ir saugojimas — išgautų struktūrizuotų duomenų išsaugojimas „PostgreSQL“ („Neon“, ES regionai)
7. Rodymas ir eksportavimas — sąskaitų faktūrų padarymas prieinamomis įgaliotiems vartotojams per žiniatinklio sąsają, plius XLSX/ZIP eksportai
8. Įprastas ištrynimas — automatizuotas saugojimo taisyklių vykdymas pagal II.6 tvarkaraštį

„InvoHub“ nevykdo profiliavimo ar automatizuoto sprendimų priėmimo, turinčio teisinių pasekmių duomenų subjektams (BDAR 22 straipsnis), tiesioginės rinkodaros duomenų subjektams arba asmens duomenų atskleidimo trečiosioms šalims, išskyrus IV priede nurodytus Subtvarkytojus.

Tvarkymo tikslas. Tvarkymas atliekamas vienu tikslu: automatizuoti gaunamų verslo sąskaitų faktūrų surinkimą ir struktūrizuotų duomenų išgavimą Kliento apskaitos ir buhalterijos darbo procesams. Duomenų tvarkytojas nepanaudoja asmens duomenų, gautų sąskaitų faktūrų dokumentuose, jokiems antriniams tikslams (analitikai apie duomenų subjektus, DI modelio treniravimui, rinkodarai ar tolesniam perdavimui nesusijusioms trečiosioms šalims).

II.4 Asmens duomenų tipas

Tvarkymas apima šias asmens duomenų kategorijas, gautas iš gaunamų sąskaitų faktūrų dokumentų ir iš Kliento vartotojų paskyrų.

Kategorijos, esančios sąskaitų faktūrų dokumentuose:

• Identifikavimo duomenys — fizinių asmenų vardai (direktoriai, individualių įmonių savininkai, asmenys, gaunantys sąskaitas savo vardu)
• Kontaktiniai duomenys — verslo el. pašto adresai, telefono numeriai, pašto adresai (kurie gali būti individualių įmonių savininkų ir laisvai samdomų darbuotojų namų adresai)
• Fiskaliniai identifikatoriai — mokesčių mokėtojo kodai (PVM kodas / VAT ID), asmens kodai, kai jie nurodyti sąskaitose iš individualių įmonių (IĮ) arba laisvai samdomų darbuotojų (FA), Lietuvos asmens kodai
• Finansiniai duomenys — banko sąskaitų numeriai (IBAN), sąskaitų faktūrų sumos, PVM sumos, prekių/paslaugų aprašymai
• Datos duomenys — sąskaitų faktūrų datos, mokėjimo terminai, suteiktų paslaugų laikotarpiai

Kategorijos, esančios Kliento vartotojų paskyrose:

• Identifikavimo duomenys — Kliento darbuotojų vardai
• Kontaktiniai duomenys — verslo el. pašto adresai
• Autentifikavimo metaduomenys — OAuth teikėjų identifikatoriai, sesijos metaduomenys
• Veiklos duomenys — prisijungimo laiko žymos, IP adresai, „User-Agent“ eilutės, veiksmo audito žurnalo įrašai
• Nuostatų duomenys — kalbos nuostatos, prieigos prie pagalbos (support access) būsena, sutikimų įrašai

Specialios kategorijos (BDAR 9 straipsnis): Tvarkymas neapima specialių kategorijų asmens duomenų įprastinės veiklos metu. Jei specialios kategorijos duomenų punktas netyčia atsiranda sąskaitos faktūros dokumente (pvz., medicinos klinikos sąskaita su paciento vardu), duomenys tvarkomi taip pat automatizuotai kaip ir kitas sąskaitų faktūrų turinis ir jiems taikomos tos pačios saugumo, saugojimo ir ištrynimo priemonės. „InvoHub“ specialiai neišskiria, neindeksuoja ir nepateikia tokių duomenų.

II.5 Duomenų subjektų kategorijos

Tvarkymas apima šių kategorijų duomenų subjektų asmens duomenis:

1. Kliento darbuotojai — fiziniai asmenys, dirbantys Kliento organizacijoje ar veikiantys jos vardu, kurie naudojasi Paslauga per vartotojų paskyras
2. Kliento tiekėjai ir sandorio šalys — fiziniai asmenys (ar fiziniai asmenys, veikiantys juridinių asmenų vardu), kurie išrašo sąskaitas faktūras Klientui, įskaitant tiekėjų įmonių direktorius, individualius verslininkus (IĮ), laisvai samdomus darbuotojus (FA) ir paslaugų teikėjus, nurodytus sąskaitose
3. Kliento klientai (kur taikoma) — kai Klientas naudoja Paslaugą savo išrašomų sąskaitų faktūrų tvarkymui, Kliento klientų asmens duomenys, nurodyti tose sąskaitose

Tvarkymas paprastai neapima pažeidžiamų grupių (vaikų, asmenų, kuriems taikoma su negalia susijusi apsauga, prieglobsčio prašytojų ir t. t.) asmens duomenų. Kur tokie duomenys netyčia atsiranda, jie tvarkomi be išskyrimo iš kito sąskaitų faktūrų turinio taikant tą patį saugumo ir saugojimo režimą.

II.6 Tvarkymo dažnumas

Tvarkymas yra nuolatinis ir automatizuotas, inicijuojamas:

• „Gmail Pub/Sub“ gaunamos žiniatinklio užklausos (webhook), kai į prijungtą „Gmail“ dėžutę gaunamas naujas pranešimas
• Suplanuoto „Microsoft Graph“ apklausos (kas 10 minučių) prijungtoms „Outlook“ dėžutėms
• „InvoHub“ valdomo bendrinamo „Google Drive“ aplanko periodinis tikrinimas (kas 10 minučių) prijungtoms „Drive“ aplanko jungtims
• Suplanuoto pakartotinio bandymo cron užduotys nepavykusiems ar įstrigusiems elementams (kas 5 minutes)
• Kliento inicijuoti veiksmai — rankinis įkėlimas, rankinis eksportavimas, rankinis taisyklių taikymas

Vidutinė dienos apimtis labai skiriasi priklausomai nuo Kliento sąskaitų faktūrų srauto — nuo mažiau nei 10 sąskaitų per dieną mažam verslui iki kelių šimtų per dieną aktyviai apskaitos įmonei, tvarkančiai kelis galutinius klientus.

II.7 Geografinė aprėptis

„InvoHub“ teikia Paslaugą Europos Sąjungoje, pagrindinį dėmesį skirdama Lietuvai, Latvijai, Estijai ir Lenkijai (Baltijos ir Vidurio Europos SMB rinka), ir yra atvira Klientams, įsikūrusiems kitur ES/EEE.

Asmens duomenys tvarkomi IV priede išvardytų Subtvarkytojų vietose. Subtvarkytojai, siūlantys regiono pasirinkimą, sukonfigūruoti ES regionams; kiti („Anthropic“, „Replit“) yra įsikūrę Jungtinėse Valstijose ir jiems taikomos SSS, įtrauktos į jų atitinkamas DTS.

III priedas — Techninės ir organizacinės priemonės

„InvoHub“ įgyvendina ir palaiko šias priemones, siekdama užtikrinti Kliento vardu tvarkomų asmens duomenų saugumą. Kiekviena priemonių kategorija atitinka ES Komisijos įgyvendinimo sprendimo 2021/915 III priedo rekomenduojamą struktūrą.

III.1 Šifravimas ir pseudoniminimas

Šifravimas saugojimo metu (at rest):

• Sąskaitų faktūrų PDF šifruojami „AWS S3“ naudojant „SSE-KMS“ apvalkalo šifravimą, kai sukonfigūruota; kitu atveju „SSE-S3“ (AES-256) atsarginis variantas
• OAuth atnaujinimo ir prieigos žetonai šifruojami taikomosios programos lygmeniu naudojant „AES-256-GCM“, pasitelkiant „AWS KMS“ gautą raktą. Šifravimo kontekstas susieja šifruotą tekstą su darbo erdvės tapatybe — vienos darbo erdvės šifruotas tekstas negali būti iššifruotas kaip kitos
• „PostgreSQL“ šifravimas saugojimo metu įjungtas pagal platformos numatytąją nuostatą (platformos „Neon“ kontrolė)

Šifravimas perdavimo metu (in transit):

• TLS 1.2 ar aukštesnė versija taikoma visiems išoriniams ryšiams
• „HTTP Strict Transport Security“ antraštė su max-age=31536000; includeSubDomains

Pseudoniminimas:

• Pašto nuskaitymo žurnalo fragmentai automatiškai ištrinami po 30 dienų per kasdienę cron užduotį (duomenų minimalizavimas pagal BDAR 5 straipsnio 1 dalies (c) punktą)
• Tarpnuomininkinė (cross-tenant) apibendrinta duomenų saugykla saugo tik apibendrintus skaičius, niekada nenaudoja nuomininko identifikatorių API atsakymuose

III.2 Konfidencialumas, vientisumas, prieinamumas, atsparumas

Konfidencialumas:

• „PostgreSQL“ eilutės lygio saugumas (RLS) su FORCE ROW LEVEL SECURITY visose nuomininko (tenant) apimties lentelėse
• Specialus programos duomenų bazės vaidmuo su NOSUPERUSER + NOBYPASSRLS privilegijomis — programos kodas negali apeiti nuomininko izoliacijos
• Trijų sluoksnių nuomininkų izoliacija: sesijos lygio susiejimas, taikomosios programos konteksto perdavimas, „PostgreSQL“ eilutės lygio saugumas
• Kiekvieno vartotojo prieigos prie pagalbos (Support Access) privatumo vartai (pagal nutylėjimą IŠJUNGTI), kontroliuojantys administratoriaus prieigą prie el. pašto metaduomenų
• Savitarnos privatumo galiniai taškai (endpoints) atmeta imitavimo (impersonation) sesijas

Vientisumas:

• Įvesties validavimas visuose būseną keičiančiuose galiniuose taškuose (Zod schemos, ~78% galinių taškų padengimas)
• Parametrizuotos duomenų bazės užklausos visur; jokio neapdoroto SQL su eilučių sujungimu
• CSRF „double-submit cookie“ apsauga būseną keičiančiuose galiniuose taškuose
• Failų įkėlimo „magic-bytes“ validavimas (įkelti PDF patikrinami, ar prasideda %PDF- parašu)
• Nuomininko ištrynimas naudoja dviejų etapų atominį modelį, siekiant išvengti lenktynių sąlygų

Prieinamumas:

• Programų platforma su automatiniu paleidimu iš naujo po konteinerio strigties
• Duomenų bazės ryšių fondas (pool) suderintas „šalto paleidimo“ tolerancijai
• Įstrigusių užduočių atkūrimo cron (kas 5 minutes)
• Išorinis prieinamumo stebėjimas sveikatos patikros galiniame taške

Atsparumas:

• Idempotentiniai „upsert“ veiksmai el. pašto pranešimų dublikatų pašalinimui
• Būsenos sekami sinchronizavimai (atnaujinti sekimo ID tik po partijos užbaigimo)
• Darbiniai žurnalai su aiškiomis START/END žymomis strigčių diagnostikai

III.3 Atsarginės kopijos ir atkūrimas

• „PostgreSQL“ platformos valdomos automatizuotos atsarginės kopijos pagal „Neon“ tiekėjo saugojimo politiką
• „AWS S3“ kiekvieno objekto versijavimas prieinamas; kaupyklos versijavimas konfigūruojamas
• Kliento inicijuotas duomenų eksportavimas (ZIP + XLSX + CSV) bet kuriuo metu prieš darbo erdvės ištrynimą
• Dokumentuoti atkūrimo „playbook“ gamybinės avarijos, duomenų bazės nepasiekiamumo, tvarkymo vamzdyno įstrigimo atvejams

III.4 Nuolatinis testavimas ir vertinimas

• „TypeScript“ griežtas režimas pagauna su tipais susijusias klaidas kiekvieno „commit“ metu
• Priklausomybių pažeidžiamumo sekimas; gamybinės priklausomybės užfiksuotos tikslioms versijoms
• Saugumo auditas užbaigtas 2026-05-04, 15 iš 16 radinių išspręsta
• „CASA Tier 2“ vertinimas atliktas dėl „Gmail“ ribotos apimties prieigos; atitiktis patvirtinta „Google“.
• Gamybinis „smoke“ testavimas kiekvieno diegimo metu
• Grėsmių modelis dokumentuotas ir peržiūrimas kas 6 mėnesius bei po bet kokio incidento

III.5 Vartotojų identifikavimas ir autorizacija

• Tik OAuth autentifikacija („Google OAuth“ + „Microsoft OAuth“); slaptažodžių saugojimas panaikintas
• Sesijų valdymas su 7 dienų slapukų galiojimo laiku, httpOnly + secure + sameSite=lax atributais
• Daugiafaktorė autentifikacija deleguota OAuth teikėjui pagal teikėjo konfigūraciją
• Prieigos valdymas pagal vaidmenis (RBAC) su platformos lygio ir darbo erdvės lygio vaidmenimis
• Administratoriaus tarpinė programinė įranga (middleware) įgyvendinta visuose administraciniuose maršrutuose
• Imitavimo (impersonation) valdymas: 2 valandų sesijos limitas, audito žurnalo įrašai pradžioje ir pabaigoje, taikinio privatumo būsena užfiksuota

III.6 Duomenų perdavimo ir saugojimo apsauga

• TLS 1.2+ visiems išoriniams ryšiams (žr. III.1)
• HTTP į HTTPS nukreipimas gamybinėje aplinkoje
• OAuth kredencialai niekada neperduodami į programą aiškiu tekstu; OAuth teikėjas tvarko autentifikaciją
• Nuomininko S3 rakto priešdėlio (prefix) izoliacija
• Pasirašyti URL, apriboti konkretiems objektams su nustatytu TTL
• KMS šifravimo konteksto susiejimas kriptografinėms operacijoms

III.7 Fizinė sauga

Visas tvarkymas vyksta Subtvarkytojų duomenų centruose. Fizinė sauga yra atitinkamų Subtvarkytojų atsakomybė pagal jų atitinkamas DTS. „InvoHub“ biuro patalpose asmens duomenys netvarkomi.

III.8 Įvykių registravimas (Logging)

• Nuomininko apimties audito žurnalas įrašo kiekvieną privilegijuotą veiksmą su userId, tenantId, ipAddress, userAgent, before/after nuotraukomis; RLS saugomas
• Platformos lygio audito žurnalas super-administratoriaus veiksmams ir darbo erdvės gyvavimo ciklo įvykiams; minimalus 5 metų saugojimas
• Darbiniai struktūrizuoti žurnalai su aiškiomis START/END žymomis
• Gamybinės programos žurnalai saugomi trumpalaikei diagnostikai

III.9 Sistemos konfigūracija

• Konfigūracijos validavimas programos paleidimo metu; programa nutraukia darbą, jei trūksta kritinių aplinkos kintamųjų
• Numatytasis administratorius pašalintas iš gamybinės aplinkos
• Dvigubas URL modelis duomenų bazės ryšiams (vykdymo laiko vaidmuo vs migracijos vaidmuo)
• Visos paslaptys valdomos per platformos „Secrets“ saugyklą; jokių paslapčių kode ar įsipareigotose konfigūracijos bylose

III.10 Vidinė IT valdymo sistema

• Veiklos principai dokumentuoti CLAUDE.md (vidinis invariantų referencas)
• Sprendimų žurnalas tvarkomas atitikties dokumentacijoje
• Kodo peržiūra per DI asistento poravimą; „commit“ istorija tarnauja kaip peržiūros įrašas
• Pakopiniai diegimai (Dev aplinka → smoke test → Gamybinė aplinka)

III.11 Sertifikatai

• „CASA Tier 2“ vertinimas dėl „Google API Services User Data Policy“ atitikties (atlikta; patvirtinta „Google“)
• Subtvarkytojų sertifikatai, kuriais remiamasi (SOC 2, ISO 27001, ISO 27017, ISO 27018, ISO 27701 visoje grandinėje)

III.12 Duomenų minimalizavimas

• Nuomininko ištrynimo dviejų etapų modelis (soft delete + 30 dienų Lengvatinis + hard purge)
• 30 dienų fragmentų saugojimas el. pašto nuskaitymo metaduomenims
• Jokių nuomininkų identifikatorių „Claude API“ užklausose (tik PDF ir minimalus išgavimo raginimas)
• OAuth aprėpties minimalizavimas (gmail.readonly, ne pilna „Gmail“ prieiga; Mail.Read, ne Mail.ReadWrite)

III.13 Duomenų kokybė

• DI išgavimo išvestis analizuojama kaip griežtas JSON; neteisingi atsakymai karantinuoja sąskaitą faktūrą žmogaus peržiūrai
• Išanalizuotas JSON papildomai validuojamas per schemą + PVM taisyklių validatorius prieš bet kokį duomenų bazės įrašymą
• PVM automatinis atitikimas sąskaitoms faktūroms pagal mokesčių identifikatorių su tiekėjo atsarginiu susiejimu
• Prieš DI filtras atmeta reklaminius vaizdus ir pikselių sekiklius prieš pasiekiant DI išgavimo etapą

III.14 Duomenų perkeliamumas ir ištrynimas

• Kliento inicijuotas eksportavimas (ZIP + XLSX + CSV) bet kuriuo metu
• Savitarnos darbo erdvės ištrynimas per nustatymus; soft delete nedelsiant, hard purge po 30 dienų
• Skubotas individualus ištrynimas prieinamas paprašius adresu privacy@invohub.eu

IV priedas — Subtvarkytojų sąrašas

Klientas įgaliojo „InvoHub“ naudoti šiuos Subtvarkytojus. Tas pats sąrašas skelbiamas mūsų viešame Subtvarkytojų puslapyje, kur jis tvarkomas kaip esamas dabartinių Subtvarkytojų įrašas.

IV.1 Pastabos apie specifinius Subtvarkytojus

Išeinantis el. paštas (Gmail SMTP). Išeinantis transakcinis el. paštas iš hello@invohub.eu siunčiamas per „Gmail SMTP“, „Google Workspace“ paskyros funkciją, kuri valdo hello@invohub.eu. Jam taikoma „Google Cloud“ DTS, nurodyta 4 eilutėje aukščiau; jokia atskira tiekėjo sutartis ar DTS nėra reikalinga.

Nuolatinis saugojimas vs vykdymo laikas. Architektūra atskiria nuolatinį Kliento asmens duomenų saugojimą (kuris gyvena ES regionuose per „AWS“ ir „Neon“) nuo programų vykdymo laiko (kuris veikia „Replit“ JAV infrastruktūroje). Vykdymo laiko aplinka duomenis apdoroja tik atmintyje, kol aptarnaujama užklausa — nuolatiniai Kliento duomenys „Replit“ infrastruktūroje nėra saugomi.

„Google Drive“ aplanko jungtis (pasirinktinai). Kai Klientas įjungia pasirinktinę „Drive“ aplanko jungtį, „InvoHub“ sukuria ir valdo bendrinamą aplanką savo „InvoHub“ „Google Workspace“ „Drive“ ir bendrina jį su Klientu. Kliento į tą aplanką įkelti sąskaitų faktūrų failai laikomi ten laikinai, kol periodinis sinchronizavimas juos paima; po to jie tvarkomi ir saugomi tuo pačiu šifruotu keliu kaip ir visos kitos sąskaitos faktūros (AWS S3, ES regionai). Ši jungtis naudoja „Google Workspace“ paslaugų paskyrą ir skiriasi nuo „Gmail API“ riboto aprėpties prieigos, kuriai taikomas „InvoHub“ CASA vertinimas — ji nepasiekia paties Kliento „Gmail“ ar „Drive“.

IV.2 Pranešimas apie pakeitimus

Kliento informavimo apie Subtvarkytojų pakeitimus mechanizmas aprašytas šios DTS 4.3 skirsnyje. Trumpai tariant:

• Nauji ar pakeisti Subtvarkytojai skelbiami per programėlės reklamjuosčių pranešimus, matomus kiekvienam prisijungusiam vartotojui
• Reklamjuostė lieka matoma, kol vartotojas ją patvirtina
• Patvirtinimas sukuria 30 dienų prieštaravimo laikotarpį
• Prieštaravimus galima teikti adresu privacy@invohub.eu

Dokumento istorija

Kontaktai

Kilus klausimams dėl šios Duomenų tvarkymo sutarties arba siekiant įgyvendinti teises pagal ją:

El. paštas: privacy@invohub.eu Pašto adresas: All Digital Group, UAB · Žalgirio g. 94 · LT-09300 Vilnius · Lietuva Priežiūros institucija: Valstybinė duomenų apsaugos inspekcija (VDAI), Lietuva, vdai.lrv.lt

Susiję dokumentai

• Paslaugų teikimo sąlygos — komercinė sutartis, pagal kurią Klientas naudojasi „InvoHub“
• Privatumo politika — kaip „InvoHub“ tvarko asmens duomenis apie Kliento vartotojus (kur „InvoHub“ veikia kaip duomenų valdytojas)
• Subtvarkytojai — viešas Subtvarkytojų sąrašas su pakeitimų pranešimų mechanizmu