Duomenų tvarkymo sąlygos organizacijoms

Šis dokumentas aprašo siūlomą balsavimo duomenų tvarkymo tvarką. Jei AsUz.lt tvarko asmens duomenis organizacijos vardu, reikalingas duomenų tvarkymo susitarimas, kuris gali būti sudarytas elektronine forma. Vien registracijos prašymo pateikimas nėra šių sąlygų priėmimo įrodymas.

1. Šalys ir vaidmenys

Platformos teikėjas: Rimas Špakauskas. El. paštas: info@asuz.lt. Kontaktas privatumo klausimais: privacy@asuz.lt.

AsUz.lt yra duomenų valdytojas savo platformos registracijos prašymų, administratorių paskyrų ir platformos saugumo administravimo apimtyje. Šią dalį aprašo Privatumo politika.

Organizacija yra konkretaus balsavimo duomenų valdytojas: ji parenka tikslą, dalyvius, klausimus, kandidatų sąrašą, kodų išdalijimą ir rezultatų naudojimą. AsUz.lt šioje apimtyje veikia kaip duomenų tvarkytojas, o ne pats nustato balsavimo tikslą.

2. Dalykas, pobūdis, tikslas ir trukmė

Tvarkymo dalykas – organizacijos balsavimo techninis vykdymas. Veiksmai: nustatymų saugojimas, kandidatų pateikimas, vienkartinių kodų generavimas ir tikrinimas, balsų priėmimas, rezultatų skaičiavimas, eksportas, prieigos kontrolė ir priežiūra. Duomenys nenaudojami AsUz.lt reklamai ar balsuotojų profiliavimui.

Tvarkymas vyksta paslaugos teikimo laikotarpiu ir iki suderinto grąžinimo ar ištrynimo. Organizacija nustato pagrįstą rezultatų saugojimo terminą bei išimtis dėl ginčų ar teisinių pareigų. Techninės kopijos tvarkomos pagal atskirą kopijų grafiką, neįtraukiamos į viešą eksportą.

3. Duomenys ir duomenų subjektai

Galimi duomenų subjektai: organizacijos kontaktai ir administratoriai, kandidatai ar kiti įvardyti pasirinkimai, dalyviai, kuriems organizacija išdalijo kodus. Tvarkomi balsavimo pavadinimai, aprašymai, kandidatų duomenys, kodai ir panaudojimo būsena, balsai, rezultatų suvestinės, techniniai saugumo įvykiai.

Platformoje balsas neturi tiesioginio naudotojo ar kodo identifikatoriaus ryšio. Tai nėra absoliutaus anonimiškumo garantija: mažos grupės, laiko žymos ir organizatoriaus kodų išdalijimo sąrašai gali leisti daryti išvadas. Pertekliniai ir jautrūs duomenys neturi būti įrašomi be atskiro teisėto pagrindo ir rizikos įvertinimo.

4. AsUz.lt pareigos

AsUz.lt vykdo dokumentuotus teisėtus organizacijos nurodymus, užtikrina įgaliotų asmenų konfidencialumą, riboja prieigą ir padeda įgyvendinti duomenų apsaugos pareigas. Apie neteisėtą nurodymą ar privalomą atskleidimą informuoja organizaciją, kai įstatymas to nedraudžia. Savavališkai nesusieja dalyvių su pasirinkimais ir neatskleidžia balsavimo duomenų prašytojui vien dėl to, kad jis žino kodą.

5. Organizacijos pareigos

Organizacija nustato teisinį pagrindą, informuoja dalyvius, patikrina administratorių įgaliojimus, saugiai išdalija kodus, nustato terminus ir laiku pateikia nurodymus dėl apribojimo, eksporto ar ištrynimo. Ji įvertina specialių kategorijų duomenų, mažų grupių ir rezultatų viešinimo riziką. Kodų ar eksportų neplatina neįgaliotiems asmenims.

6. Techniniai paslaugų teikėjai

• Hostinger: Svetainės ir DB priegloba.

Kai AsUz.lt tvarko asmens duomenis organizacijos vardu, kitų duomenų tvarkytojų pasitelkimui reikalingas išankstinis konkretus arba bendras organizacijos leidimas raštu, įskaitant elektroninę formą. Bendro leidimo atveju apie planuojamus pakeitimus pranešama iš anksto, suteikiant galimybę prieštarauti. AsUz.lt atsakomybė už pasitelktų tvarkytojų pareigas išlieka; šis puslapis pats savaime nėra organizacijos leidimas.

Dėl paslaugų teikėjų, duomenų tvarkymo vietos ir perdavimo už EEE ribų apsaugos priemonių kreipkitės privacy@asuz.lt.

7. Saugumas

Programoje taikoma organizacijomis apribota prieiga, slaptažodžių maiša, sesijų ir CSRF apsauga, vienkartinių kodų tikrinimas, bandymų ribojimas ir administracinių veiksmų auditas. HTTPS, serverio prieigos, kopijų apsauga, atnaujinimai ir atkūrimo bandymai yra nuolatinės eksploatavimo pareigos. Šis tekstas netvirtina, kad visi duomenys serveryje yra šifruoti ar kad rizikos nėra.

8. Teisės, incidentai ir pagalba

Prašymus dėl konkretaus balsavimo sprendžia organizacija. AsUz.lt juos persiunčia ir teikia techniškai įmanomą pagalbą, saugodamas kitų asmenų duomenis ir balsavimo slaptumą. Padeda įvertinti poveikį duomenų apsaugai, rizikas ir konsultavimosi poreikį pagal turimą informaciją.

Sužinojęs apie asmens duomenų saugumo pažeidimą, AsUz.lt informuoja organizaciją nepagrįstai nedelsdamas, pateikia žinomą apimtį, pasekmes ir priemones, o trūkstamą informaciją papildo. Organizacija vertina pranešimo priežiūros institucijai ir asmenims pareigą; procesoriaus pranešimas neatidedamas laukiant galutinio tyrimo.

9. Grąžinimas ir ištrynimas

Pasibaigus paslaugai organizacija pasirenka duomenų grąžinimą arba ištrynimą. Numatytas sprendimo suderinimo laikotarpis – 30 d. Suvestinės eksportas pateikia balsavimo nustatymus, kandidatus ir apibendrintus rezultatus; jis nėra visų duomenų grąžinimas. Platesnis grąžinimas suderinamas saugiu kanalu, nepažeidžiant balsavimo slaptumo.

Rezultatai ir pirminiai duomenys netrinami vien todėl, kad balsavimas pasibaigė. Prieš trynimą tikrinama organizacijos instrukcija, eksportas, saugojimo terminas ir išimtys. Atsarginių kopijų išnykimas nėra momentinis: jų terminas, prieigos ribojimas ir pakartotinis ištrynimo taikymas po atkūrimo suderinami duomenų tvarkymo susitarime, įskaitant elektroninę formą. Įstatymo reikalaujami duomenys laikomi tik reikalinga apimtimi.

10. Auditas ir sąlygų pakeitimai

AsUz.lt pateikia pagrįstai reikalingą atitikties informaciją ir sudaro galimybę suderintam auditui, įskaitant organizacijos įgalioto auditoriaus patikrą. Auditas saugo kitų klientų duomenis ir paslaptis, o derinimo tvarka nepanaikina teisės į patikrą. Pakeitimai, subprocesorių leidimai ir papildomi nurodymai fiksuojami raštu. Viešo teksto atnaujinimas savaime nekeičia jau sudaryto susitarimo.