Duomenų tvarkymo sutartis (DPA)
Atnaujinta: 2026-08-10
Ši sutartis reglamentuoja, kaip Numerio (MB „Blue age lab") tvarko jūsų įmonės asmens duomenis jums naudojantis Paslauga. Jūs (Klientas) liekate duomenų valdytoju — sprendžiate, kokius duomenis tvarkyti; Numerio veikia kaip duomenų tvarkytojas — tvarko duomenis tik jūsų nurodymu ir tik tam, kad suteiktų Paslaugą. Žemiau rasite, kokie duomenys tvarkomi, kokios saugumo priemonės taikomos ir kas yra mūsų pasitelkiami subtvarkytojai (žr. 8 skyriaus lentelę). Ši santrauka teisiškai nesaisto — įpareigojantis tekstas yra žemiau.
1. Šalys ir taikymo sritis
Ši Duomenų tvarkymo sutartis (toliau — Sutartis arba DPA) sudaroma tarp:
- Kliento — įmonės, kuri naudojasi Numerio Paslauga ir šioje Sutartyje veikia kaip duomenų valdytojas (BDAR 4 str. 7 p.); ir
- MB „Blue age lab", įmonės kodas 306656523, PVM mokėtojo kodas LT100016571516, buveinės adresas Saulėtekio al. 15-1, LT-10224 Vilnius, Lietuva (toliau — Numerio arba Tvarkytojas), kuri šioje Sutartyje veikia kaip duomenų tvarkytojas (BDAR 4 str. 8 p.).
Ši Sutartis papildo Paslaugų teikimo taisykles ir taikoma automatiškai Klientui pradėjus naudotis Paslauga bei prijungus duomenų šaltinius, kuriuose yra asmens duomenų.
2. Tvarkymo dalykas, trukmė, pobūdis ir tikslas
| Aspektas | Aprašymas |
|---|---|
| Dalykas | Kliento pirkimo sąskaitų faktūrų ir susijusių dokumentų automatinis surinkimas, atpažinimas ir sutvarkymas |
| Trukmė | Kol Klientas naudojasi Paslauga; pasibaigus naudojimui — iki duomenų ištrynimo pagal 10 skyrių |
| Pobūdis | Automatinis dokumentų nuskaitymas ir duomenų išgavimas, saugojimas, banko išrašo eilučių atitikimas, buhalterinio paketo formavimas |
| Tikslas | Suteikti Klientui sąskaitų faktūrų surinkimo ir kontrolės Paslaugą, kaip aprašyta Paslaugų teikimo taisyklėse |
3. Duomenų subjektų kategorijos
- Kliento darbuotojai ir įgalioti atstovai, naudojantys Paslaugą;
- Kliento tiekėjų kontaktiniai asmenys, kurių duomenys (pvz., vardas, el. paštas, pareigos) gali būti nurodyti sąskaitose faktūrose ar susijusiuose laiškuose;
- kiti fiziniai asmenys, kurių duomenys atsitiktinai pasitaiko pašto susirašinėjime, aptinkamame tikrinant su sąskaitomis susijusius laiškus.
4. Tvarkomų duomenų kategorijos
| Duomenų kategorija | Aprašymas |
|---|---|
| Sąskaitų faktūrų dokumentai ir metaduomenys | Tiekėjo pavadinimas, sąskaitos numeris, data, suma, PVM, kontaktiniai duomenys, esantys pačiame dokumente |
| Pašto laiško metaduomenys | Siuntėjas, tema, data, priedo pavadinimas — tik tų laiškų, kurie atpažinti kaip su sąskaitomis susiję; visas pašto dėžutės turinys netvarkomas |
| Banko išrašo eilutės | Datos, sumos, mokėjimo aprašymai iš Kliento įkeltų banko išrašo failų, naudojami tik atitikimui su sąskaitomis |
| Paskyros duomenys | Kliento naudotojo vardas, el. paštas, prisijungimo įvykiai |
Numerio netvarko specialių kategorijų asmens duomenų (BDAR 9 str.) tikslingai ir neprašo jų teikti; jei tokie duomenys atsitiktinai pasirodytų dokumento turinyje, jie tvarkomi tik tiek, kiek neišvengiamai susiję su dokumento apdorojimu, ir jokiu būdu nėra analizuojami atskirai.
5. Dokumentuoti nurodymai
Numerio tvarko asmens duomenis tik pagal dokumentuotus Kliento nurodymus — tai reiškia šią Sutartį, Paslaugų teikimo taisykles ir Kliento veiksmus Paslaugos sąsajoje (pvz., kokius šaltinius prijungti, kokius dokumentus patvirtinti, kada generuoti buhalterinį paketą).
Jei Numerio mano, kad nurodymas pažeidžia BDAR ar kitą taikytiną duomenų apsaugos teisės aktą, apie tai nedelsdama informuoja Klientą.
6. Konfidencialumas
Numerio užtikrina, kad prieigą prie Kliento asmens duomenų turintys asmenys (darbuotojai, rangovai) būtų įsipareigoję laikytis konfidencialumo arba jiems taikoma įstatymu nustatyta konfidencialumo pareiga, ir kad jie būtų susipažinę su duomenų apsaugos reikalavimais, atitinkančiais jų darbo pobūdį.
7. Saugumo priemonės
Numerio taiko šias technines ir organizacines saugumo priemones:
- duomenų šifravimas perduodant (TLS) ir saugant (šifravimas ramybės būsenoje);
- pašto dėžutės prisijungimo duomenų (OAuth prieigos raktų, Apple slaptažodžių) šifravimas ir galimybė juos atšaukti (žr. Paslaugų teikimo taisyklių 6 skyrių dėl atjungimo mechanikos);
- duomenų saugojimas naudojant tik ES regiono valdomas infrastruktūros paslaugas;
- mažiausios būtinos prieigos principas — prieiga prie duomenų suteikiama tik tiems darbuotojams ir sistemoms, kuriems ji būtina;
- veiklos žurnalai (angl. logs), kurie neapima dokumentų turinio ar nereikalingų asmens duomenų — žurnaluose fiksuojami tik įvykiai (pvz., „dokumentas apdorotas"), o ne pats turinys;
- reguliariai testuojamas atsarginis kopijavimas ir atkūrimas (angl. backup / restore);
- klaidos ir gedimai registruojami taip, kad jie būtų pastebimi, auditine tvarka atsekami ir kartotinai bandomi — jokia sąskaita nedingsta be pėdsako dėl tylaus (angl. silent) klaidos kelio.
8. Subtvarkytojai
Klientas suteikia bendrą leidimą Numerio pasitelkti šioje lentelėje nurodytus subtvarkytojus. Numerio informuos Klientą el. paštu bent 30 dienų iš anksto apie bet kokį naujo subtvarkytojo pasitelkimą ar pakeitimą, suteikdama Klientui galimybę pareikšti pagrįstus prieštaravimus.
Lentelė yra versijuojama ir gali keistis — aktuali versija visada skelbiama adresu numerio.ai/lt/dpa.
| Subjektas | Paskirtis | Regionas | Apsaugos priemonė |
|---|---|---|---|
| Cloudflare, Inc. | Svetainės ir Paslaugos sąsajos turinio pristatymas (CDN), DNS ir apsauga nuo tinklo atakų | Globalus paskirstytas tinklas (angl. edge); srauto maršrutizavimas gali eiti per mazgus už ES ribų pagal Cloudflare tinklo architektūrą | Cloudflare standartinės sutartinės sąlygos (SCC, kur taikoma), šifruotas ryšys (TLS) |
| Microsoft (Azure OpenAI, „numerio-openai-sweden" resursas) | Automatinis sąskaitų faktūrų dokumentų turinio nuskaitymas ir duomenų laukų išgavimas | Švedija (Sweden Central), ES „EUR Data Zone" — inferencija vyksta tik šioje ES ribose apibrėžtoje zonoje, be pasaulinio atsarginio varianto | Sutartinis duomenų tvarkymo susitarimas su Microsoft, atsakymo saugojimas išjungtas (angl. response storage disabled), fiksuota galinio taško (angl. endpoint) ir modelio versijos konfigūracija |
| Google Ireland Limited (Gmail API) | Skaitymo prieiga prie su sąskaitomis faktūromis susijusių laiškų, kai Klientas prijungia Gmail paskyrą | ES (Airija) / Google infrastruktūra pagal Google API paslaugų sąlygas | Google API Services User Data Policy, OAuth tik skaitymo (angl. read-only) apimtis, prieigos rakto šifravimas ir atšaukimo galimybė |
| Apple Distribution International Ltd (iCloud Mail) | Skaitymo prieiga prie su sąskaitomis faktūromis susijusių laiškų, kai Klientas prijungia iCloud paštą per programėlei skirtą slaptažodį | ES (Airija) / Apple infrastruktūra pagal Apple paslaugų sąlygas | Fiksuotas, dokumentuotas Apple prisijungimo galinis taškas; slaptažodžio šifravimas; nuotolinio atšaukimo Apple neteikia, todėl atjungus Numerio iškart ištrina turimą slaptažodį |
| Plausible Insights OÜ (Plausible Analytics) | Svetainės lankomumo statistika — be slapukų, be asmens identifikavimo, be tarpvalstybinio profiliavimo | ES (Estija; duomenys tvarkomi ES serveriuose) | Duomenų tvarkymo susitarimas su Plausible; nerenkami asmens duomenys ir nenaudojami slapukai, todėl sutikimo juosta nereikalinga |
| Stripe Technology Europe, Limited (Stripe) | Mokėjimų ir prenumeratos atsiskaitymai — tik atsiskaitymo vardas, el. pašto adresas ir mokėjimo priemonė; jokio sąskaitų faktūrų turinio ir jokių pašto dėžutės duomenų | ES (Airija); Stripe grupės patronuojanti bendrovė yra JAV, todėl galimi riboti perdavimai grupės viduje į JAV | Stripe duomenų tvarkymo sąlygos pagal Stripe paslaugų sutartį; standartinės sutartinės sąlygos (SCC) bet kokiam perdavimui į JAV; kortelių duomenis tvarko tik Stripe (PCI DSS 1 lygis) |
9. Pagalba įgyvendinant duomenų subjektų teises
Numerio, atsižvelgdama į tvarkymo pobūdį, padeda Klientui atsakyti į duomenų subjektų prašymus (susipažinti, ištaisyti, ištrinti, apriboti, perkelti duomenis ar prieštarauti tvarkymui), teikdama reikiamas technines priemones arba informaciją per protingą terminą po Kliento prašymo.
10. Duomenų ištrynimas ar grąžinimas pasibaigus tvarkymui
Klientui ištrynus savo darbo aplinką arba nutraukus naudojimąsi Paslauga, Numerio ištrina su ja susijusius asmens duomenis iš aktyvios sistemos; likę atsarginių kopijų (angl. backup) įrašai pašalinami per įprastą atsarginio kopijavimo ciklą. Klientas gali prašyti duomenų eksporto (pvz., anksčiau sugeneruotų buhalterinių paketų) prieš darbo aplinkos ištrynimą.
11. Pranešimas apie asmens duomenų saugumo pažeidimą
Sužinojusi apie asmens duomenų saugumo pažeidimą, susijusį su Kliento duomenimis, Numerio informuoja Klientą be nepagrįsto delsimo, pateikia turimą informaciją apie pažeidimo pobūdį, tikėtinas pasekmes ir jau imtas ar planuojamas priemones, kad Klientas galėtų vykdyti savo, kaip valdytojo, pareigas pagal BDAR 33–34 straipsnius.
12. Audito teisė
Klientas turi teisę, iš anksto raštu (įskaitant el. paštu) susitaręs protingu terminu ir laikydamasis konfidencialumo bei kitų klientų duomenų apsaugos, gauti iš Numerio pagrįstą informaciją ir dokumentaciją, patvirtinančią šioje Sutartyje nurodytų saugumo priemonių taikymą. Atsižvelgiant į tai, kad Numerio yra nedidelis tvarkytojas pilotinėje stadijoje, auditas atliekamas proporcingu, iš anksto suderintu būdu (pvz., dokumentų peržiūra ar klausimyno pagrindu), o ne privalomu vietoje atliekamu patikrinimu, nebent šalys susitaria kitaip.
13. Sutarties santykis su kitais dokumentais
Ši Sutartis papildo Paslaugų teikimo taisykles ir Privatumo politiką. Prieštaravimo atveju dėl duomenų tvarkymo klausimų pirmenybė teikiama šiai Sutarčiai.
14. Kontaktai
MB „Blue age lab", Saulėtekio al. 15-1, LT-10224 Vilnius, Lietuva
Tel. +370 5 208 0417 · el. paštas hello@numerio.ai