Privatumo politika

1. Duomenų valdytojas

Kai įstaiga įveda savo darbuotojų duomenis (vardą, nuotrauką, pareigas), įstaiga yra tų duomenų valdytoja, o mes – duomenų tvarkytoja, veikianti pagal Naudojimosi taisyklių 15 skyriuje nustatytą duomenų tvarkymo sutartį.

Duomenų apsaugos klausimais rašykite hello@tipsy.cards su tema „Asmens duomenys“.

• MB „Pirknet“, įmonės kodas 307134581
• Girulių g. 10, LT-12112 Vilnius, Lietuva
• El. paštas: hello@tipsy.cards, tel. +370 618 10333

2. Kokius duomenis tvarkome

• Įstaigų atstovai: vardas, pavardė, el. paštas, telefonas, įstaigos pavadinimas, adresas, įmonės kodas, logotipas, Google atsiliepimų nuoroda, prisijungimo duomenys (slaptažodis saugomas tik kaip negrįžtama maišos reikšmė).
• Darbuotojai: vardas, rodomas vardas, nuotrauka (jei įkelta), pareigos, el. paštas (jei nurodytas), gauti arbatpinigiai, įvertinimai ir komentarai, išmokų būsena. Tapatybės patikros dokumentus, gimimo datą ir banko sąskaitos duomenis tvarko tik Stripe – mes jų negauname.
• Svečiai: arbatpinigių suma, mokėjimo laikas, kortelė, kuriai skirti arbatpinigiai, įvertinimas, pažymėtos žymos ir komentaras (jei paliekami), el. paštas kvitui (jei nurodomas). Kortelės numerį ir kitus mokėjimo duomenis tvarko tik Stripe. Svečių paskyrų nekuriame ir svečių vardų neprašome.
• Užklausų teikėjai: formoje pateikti kontaktiniai ir įstaigos duomenys.
• Techniniai duomenys: IP adresas (užklausų ribojimui ir sukčiavimo prevencijai), naršyklės tipas, sesijos slapukai, saugos ir klaidų žurnalai.

3. Tikslai ir teisiniai pagrindai

Duomenų nenaudojame tiesioginei rinkodarai be atskiro sutikimo, neprofiliuojame ir nepriimame sprendimų, grindžiamų vien automatizuotu duomenų tvarkymu, kurie jums sukeltų teisinių pasekmių.

• Paskyros kūrimas, paslaugų teikimas ir administravimas – sutarties vykdymas (BDAR 6 str. 1 d. b p.).
• Arbatpinigių priėmimas, paskirstymas ir išmokos – sutarties vykdymas.
• Paslaugų pranešimai el. paštu (pvz. slaptažodžio atkūrimas, gauti arbatpinigiai, prieigos patvirtinimas) – sutarties vykdymas.
• Buhalterinė apskaita, mokesčių ir pinigų plovimo prevencijos reikalavimai – teisinė prievolė (c p.).
• Sukčiavimo prevencija, platformos saugumas, užklausų patikra, teisinių reikalavimų gynimas – teisėtas interesas (f p.).
• Įvertinimų ir komentarų rodymas darbuotojui ir įstaigai – teisėtas interesas gerinti aptarnavimą. Įvertinimą palikti neprivaloma.
• Neprivalomi analitikos slapukai – sutikimas (a p.), kurį galite bet kada atšaukti.

4. Duomenų gavėjai ir tvarkytojai

Su visais tvarkytojais sudarytos duomenų tvarkymo sutartys. Duomenų neparduodame ir nenuomojame.

• Stripe Payments Europe, Limited (Airija) – mokėjimai, tapatybės patikra, išmokos. Stripe dėl kai kurių duomenų veikia kaip savarankiškas valdytojas pagal savo privatumo politiką.
• Vercel Inc. (JAV) – svetainės prieglobos, failų (logotipų ir nuotraukų) saugyklos ir, jei sutinkate, lankomumo statistikos paslaugos.
• Neon Inc. (JAV) – duomenų bazės paslaugos.
• Resend Inc. (JAV) – paslaugų el. laiškų siuntimas.
• Įstaiga, kurioje dirba darbuotojas – arbatpinigių suvestinės, įvertinimai ir komentarai.
• Valstybės institucijos, teismai, teisėsaugos institucijos – kai to reikalauja teisės aktai.
• Google – tik jei pats pasirenkate pereiti į Google atsiliepimų puslapį. Tada duomenis tvarko Google pagal savo politiką.

5. Duomenų perdavimas už EEE ribų

Kai kurie tvarkytojai yra JAV. Duomenys perduodami remiantis Europos Komisijos sprendimu dėl tinkamumo (ES ir JAV duomenų privatumo sistema), jei tvarkytojas yra sertifikuotas, arba Europos Komisijos patvirtintomis standartinėmis sutarčių sąlygomis kartu su papildomomis apsaugos priemonėmis (šifravimu ir prieigos ribojimu). Paprašę galite gauti šių apsaugos priemonių kopiją.

6. Saugojimo terminai

Pasibaigus terminui duomenis ištriname arba negrįžtamai nuasmeniname.

• Paskyros duomenys – kol paskyra aktyvi ir 3 metus po jos uždarymo (galimiems reikalavimams pateikti).
• Mokėjimų ir apskaitos duomenys – 10 metų (Lietuvos Respublikos buhalterinės apskaitos įstatymas ir Bendrųjų dokumentų saugojimo terminų rodyklė).
• Pinigų plovimo prevencijos duomenys – 8 metai po dalykinių santykių pabaigos (Pinigų plovimo ir teroristų finansavimo prevencijos įstatymas).
• Įvertinimai ir komentarai – kol aktyvi įstaigos paskyra arba kol juos ištrina įstaiga.
• Darbuotojo nuotrauka ir įstaigos logotipas – kol jie nepakeisti ar neištrinti, ne ilgiau nei paskyra.
• Atmestos ar neužbaigtos užklausos – 12 mėnesių.
• Saugos ir klaidų žurnalai – iki 12 mėnesių.

7. Jūsų teisės

Prašymus siųskite hello@tipsy.cards. Galime paprašyti patvirtinti tapatybę. Atsakome nedelsdami ir ne vėliau kaip per vieną mėnesį (sudėtingais atvejais terminas gali būti pratęstas dar dviem mėnesiams, apie tai pranešime). Teisių įgyvendinimas nemokamas.

Jei manote, kad jūsų duomenys tvarkomi neteisėtai, turite teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai (L. Sapiegos g. 17, LT-10312 Vilnius, ada@ada.lt, vdai.lrv.lt). Prašome pirmiausia kreiptis į mus, kad galėtume greitai išspręsti klausimą.

• Susipažinti su savo duomenimis ir gauti jų kopiją (BDAR 15 str.).
• Reikalauti ištaisyti netikslius duomenis (16 str.).
• Reikalauti ištrinti duomenis, kai nėra pagrindo juos saugoti (17 str.).
• Apriboti tvarkymą (18 str.).
• Gauti duomenis susistemintu, kompiuterio skaitomu formatu ir perkelti juos kitam valdytojui (20 str.).
• Nesutikti su tvarkymu teisėto intereso pagrindu (21 str.).
• Bet kada atšaukti sutikimą. Tai neturi įtakos iki atšaukimo atlikto tvarkymo teisėtumui.

8. Saugumas

Įvykus asmens duomenų saugumo pažeidimui, apie jį per 72 valandas pranešame Valstybinei duomenų apsaugos inspekcijai, o jei pažeidimas gali kelti didelį pavojų jūsų teisėms – nedelsdami ir jums (BDAR 33 ir 34 str.).

Radote saugumo spragą? Praneškite hello@tipsy.cards. Nustatę spragą atsakingai, jos neviešinkite, kol jos nepašalinsime. Kontaktai taip pat skelbiami tipsy.cards/.well-known/security.txt.

• Visas ryšys šifruojamas (HTTPS/TLS, HSTS), duomenų bazės ir failų saugyklos duomenys šifruojami ramybės būsenoje.
• Slaptažodžiai saugomi tik kaip negrįžtamos maišos reikšmės. Taikome slaptažodžių stiprumo reikalavimus.
• Sesijos slapukai yra HttpOnly ir Secure, todėl jų negali nuskaityti svetainės skriptai.
• Prisijungimo, registracijos ir mokėjimo užklausos ribojamos, kad būtų užkirstas kelias slaptažodžių spėliojimui ir piktnaudžiavimui.
• Prieiga prie duomenų ribojama pagal vaidmenis: darbuotojas mato tik savo duomenis, įstaigos vadovas – tik savo įstaigos, administravimo įrankiai prieinami tik būtiniems asmenims.
• Mokėjimo kortelių duomenys niekada nepasiekia mūsų serverių – juos tvarko PCI DSS sertifikuotas Stripe.
• Mokėjimų partnerio pranešimų (webhook) autentiškumas tikrinamas kriptografiniais parašais.
• Saugos žurnalai, reguliarūs atnaujinimai ir priklausomybių pažeidžiamumų stebėsena.

9. Nepilnamečiai

Įstaigų paskyras gali kurti tik pilnamečiai asmenys. Išmokas gali gauti tik asmenys, atitinkantys Stripe amžiaus ir tapatybės reikalavimus. Sąmoningai nerenkame jaunesnių nei 14 metų vaikų duomenų. Jei manote, kad tokių duomenų gavome, parašykite mums ir juos ištrinsime.

10. Pakeitimai

Šią politiką galime atnaujinti, kai keičiasi paslaugos ar teisės aktai. Atnaujinimo data nurodoma puslapio viršuje. Apie esminius pakeitimus pranešame platformoje ir, kai reikia, el. paštu.