Duomenų tvarkymo sutartis (DPA)
Atnaujinta: 2026-10-01
Ši sutartis reglamentuoja, kaip Numerio (MB „Blue age lab") tvarko jūsų įmonės asmens duomenis jums naudojantis Paslauga. Jūs (Klientas) liekate duomenų valdytoju — sprendžiate, kokius duomenis tvarkyti; Numerio veikia kaip duomenų tvarkytojas — tvarko duomenis tik jūsų nurodymu ir tik tam, kad suteiktų Paslaugą. Žemiau rasite, kokie duomenys tvarkomi, kokios saugumo priemonės taikomos ir kas yra mūsų pasitelkiami subtvarkytojai (žr. 8 skyriaus lentelę). Ši santrauka teisiškai nesaisto — įpareigojantis tekstas yra žemiau.
1. Šalys ir taikymo sritis
Ši Duomenų tvarkymo sutartis (toliau — Sutartis arba DPA) sudaroma tarp:
- Kliento — įmonės, kuri naudojasi Numerio Paslauga ir šioje Sutartyje veikia kaip duomenų valdytojas (BDAR 4 str. 7 p.); ir
- MB „Blue age lab", įmonės kodas 306656523, PVM mokėtojo kodas LT100016571516, buveinės adresas Saulėtekio al. 15-1, LT-10224 Vilnius, Lietuva (toliau — Numerio arba Tvarkytojas), kuri šioje Sutartyje veikia kaip duomenų tvarkytojas (BDAR 4 str. 8 p.).
Ši Sutartis papildo Paslaugų teikimo taisykles ir taikoma automatiškai Klientui pradėjus naudotis Paslauga bei prijungus duomenų šaltinius, kuriuose yra asmens duomenų.
2. Tvarkymo dalykas, trukmė, pobūdis ir tikslas
| Aspektas | Aprašymas |
|---|---|
| Dalykas | Kliento pirkimo sąskaitų faktūrų ir susijusių dokumentų automatinis surinkimas, atpažinimas ir sutvarkymas |
| Trukmė | Kol Klientas naudojasi Paslauga; pasibaigus naudojimui — iki duomenų ištrynimo pagal 10 skyrių |
| Pobūdis | Automatinis dokumentų nuskaitymas ir duomenų išgavimas, saugojimas, banko išrašo eilučių atitikimas, buhalterinio paketo formavimas |
| Tikslas | Suteikti Klientui sąskaitų faktūrų surinkimo ir kontrolės Paslaugą, kaip aprašyta Paslaugų teikimo taisyklėse |
3. Duomenų subjektų kategorijos
- Kliento darbuotojai ir įgalioti atstovai, naudojantys Paslaugą;
- Kliento tiekėjų kontaktiniai asmenys, kurių duomenys (pvz., vardas, el. paštas, pareigos) gali būti nurodyti sąskaitose faktūrose ar susijusiuose laiškuose;
- kiti fiziniai asmenys, kurių duomenys atsitiktinai pasitaiko pašto susirašinėjime, aptinkamame tikrinant su sąskaitomis susijusius laiškus.
4. Tvarkomų duomenų kategorijos
| Duomenų kategorija | Aprašymas |
|---|---|
| Sąskaitų faktūrų dokumentai ir metaduomenys | Tiekėjo pavadinimas, sąskaitos numeris, data, suma, PVM, kontaktiniai duomenys, esantys pačiame dokumente |
| Pašto laiško metaduomenys | Siuntėjas, tema, data, priedo pavadinimas — tik tų laiškų, kurie atpažinti kaip su sąskaitomis susiję; visas pašto dėžutės turinys netvarkomas |
| Banko išrašo eilutės | Datos, sumos, mokėjimo aprašymai iš Kliento įkeltų banko išrašo failų, naudojami tik atitikimui su sąskaitomis |
| Paskyros duomenys | Kliento naudotojo vardas, el. paštas, prisijungimo įvykiai |
Numerio netvarko specialių kategorijų asmens duomenų (BDAR 9 str.) tikslingai ir neprašo jų teikti; jei tokie duomenys atsitiktinai pasirodytų dokumento turinyje, jie tvarkomi tik tiek, kiek neišvengiamai susiję su dokumento apdorojimu, ir jokiu būdu nėra analizuojami atskirai.
5. Dokumentuoti nurodymai
Numerio tvarko asmens duomenis tik pagal dokumentuotus Kliento nurodymus — tai reiškia šią Sutartį, Paslaugų teikimo taisykles ir Kliento veiksmus Paslaugos sąsajoje (pvz., kokius šaltinius prijungti, kokius dokumentus patvirtinti, kada generuoti buhalterinį paketą).
Jei Numerio mano, kad nurodymas pažeidžia BDAR ar kitą taikytiną duomenų apsaugos teisės aktą, apie tai nedelsdama informuoja Klientą.
6. Konfidencialumas
Numerio užtikrina, kad prieigą prie Kliento asmens duomenų turintys asmenys (darbuotojai, rangovai) būtų įsipareigoję laikytis konfidencialumo arba jiems taikoma įstatymu nustatyta konfidencialumo pareiga, ir kad jie būtų susipažinę su duomenų apsaugos reikalavimais, atitinkančiais jų darbo pobūdį. Ši konfidencialumo pareiga galioja ir pasibaigus šiai Sutarčiai.
7. Saugumo priemonės
Numerio taiko technines ir organizacines saugumo priemones, nurodytas šios Sutarties pabaigoje esančiame 1 priede „Techninės ir organizacinės priemonės". Numerio Kliento duomenis saugo naudodama tik ES regiono valdomas infrastruktūros paslaugas. Kur laikoma paties Kliento pašto dėžutė, pasirenka Klientas, o ne Numerio (žr. pastabą apie pašto dėžučių teikėjus po 8 skyriaus lentele).
8. Subtvarkytojai
Klientas suteikia bendrą leidimą Numerio pasitelkti šioje lentelėje nurodytus subtvarkytojus. Numerio informuos Klientą el. paštu bent 30 dienų iš anksto apie bet kokį naujo subtvarkytojo pasitelkimą ar pakeitimą, suteikdama Klientui galimybę pareikšti pagrįstus prieštaravimus.
Jei Klientas pareiškia prieštaravimą ir šalys per protingą terminą nesusitaria, Klientas gali be jokių netesybų nutraukti prenumeratą tai Paslaugos daliai, kurią paveikia pakeitimas; nutraukimas įsigalioja nuo dienos, kurią naujasis subtvarkytojas būtų pradėjęs tvarkyti Kliento duomenis.
Tarptautiniai duomenų perdavimai. Numerio perduoda Kliento asmens duomenis už Europos ekonominės erdvės ribų tik laikydamasi BDAR V skyriaus sąlygų. Bet kokiam tokiam perdavimui, kurį kontroliuoja Numerio, įskaitant subtvarkytojo atliekamą perdavimą, Numerio taiko Europos Komisijos patvirtintas standartines sutarčių sąlygas (Įgyvendinimo sprendimas (ES) 2021/914), nebent perdavimui taikomas Europos Komisijos sprendimas dėl tinkamumo. Jei paties Kliento pašto dėžutė laikoma už Europos ekonominės erdvės ribų, tokia vieta yra Kliento pasirinkimas pagal jo paties sutartį su pašto dėžutės teikėju (žr. pastabą po lentele).
Lentelė yra versijuojama ir gali keistis — aktuali versija visada skelbiama adresu numerio.ai/lt/dpa.
| Subjektas | Paskirtis | Regionas | Apsaugos priemonė |
|---|---|---|---|
| OVH Hosting Limited (OVHcloud) | Paslaugos priegloba, valdoma PostgreSQL duomenų bazė, objektų saugykla ir atsarginės kopijos; Kliento duomenų saugojimas | ES — Varšuva (WAW), Lenkija | Duomenų šifravimas perduodant ir saugant, ribota paslaugų prieiga, versijuojama saugykla ir patikrintos atsarginės kopijos |
| Mistral AI SAS | Sąskaitų faktūrų dokumentų duomenų išgavimas ir Kliento parašytų tvarkymo taisyklių taikymas išgautiems laukams | ES — Prancūzija; fiksuotas api.mistral.ai galinis taškas | Fiksuotos galinio taško ir modelių versijos, išjungtas paslaugų teikėjo atsakymų saugojimas; tvarkymo taisyklėms perduodami išgauti laukai, ne dokumento originalas |
| Sendinblue SAS (Brevo) | Darbo aplinkos kvietimų, suvestinių ir priminimų siuntimas el. paštu | Duomenys saugomi ES; Brevo nurodo prieglobą Prancūzijoje ir Vokietijoje bei duomenų bazių saugojimą Belgijoje | El. laiškų siuntimo API per TLS; perduodami tik kiekvienam laiškui išsiųsti ir jo pristatymui patikrinti reikalingi gavėjo bei pranešimo duomenys |
| Plausible Insights OÜ (Plausible Analytics) | Svetainės lankomumo statistika — be slapukų, be asmens identifikavimo, be tarpvalstybinio profiliavimo | ES (bendrovė Estijoje; serveriai Vokietijoje) | Duomenų tvarkymo susitarimas su Plausible; nerenkami asmens duomenys ir nenaudojami slapukai, todėl sutikimo juosta nereikalinga |
| Stripe Payments Europe, Limited (Stripe) | Mokėjimai, prenumeratos atsiskaitymai ir PVM apskaičiavimas — tik atsiskaitymo vardas, el. pašto adresas, atsiskaitymo adresas, verslo mokesčių mokėtojo kodas ir mokėjimo priemonė; jokio sąskaitų faktūrų turinio ir jokių pašto dėžutės duomenų | ES (Airija); Stripe grupės patronuojanti bendrovė yra JAV, todėl galimi riboti perdavimai grupės viduje į JAV | Stripe duomenų tvarkymo sąlygos pagal Stripe paslaugų sutartį; standartinės sutarčių sąlygos (SCC) bet kokiam perdavimui į JAV; kortelių duomenis tvarko tik Stripe (PCI DSS 1 lygis) |
Pašto dėžučių teikėjai. Jūsų pašto dėžutės teikėjas (Google – Gmail, Microsoft – Outlook) nėra Numerio subtvarkytojas. Su šiuo teikėju turite savo sutartį ir patys pasirenkate, kur laikoma pašto dėžutė. Numerio pašto dėžutę skaito tik pagal jūsų suteiktą prieigą, kurią galite bet kada atšaukti.
Ko subtvarkytojai nemato. Stripe niekada nemato sąskaitų faktūrų turinio ir pašto dėžutės duomenų. Brevo gauna tik gavėjo el. pašto adresą ir siunčiamo pranešimo turinį. Plausible negauna jokių asmens duomenų. Mistral AI gauna nuskaitytiną dokumentą, bet niekada negauna prieigos prie Kliento pašto dėžutės. Pašto dėžutės prisijungimo duomenys saugomi šifruoti tik Numerio duomenų bazėje OVHcloud infrastruktūroje ir niekada neperduodami kitiems subtvarkytojams.
Numerio sutartimi nustato kiekvienam subtvarkytojui tuos pačius duomenų apsaugos įsipareigojimus, kokie nustatyti šioje Sutartyje (BDAR 28 straipsnio 4 dalis). Jei subtvarkytojas šių įsipareigojimų nevykdo, Numerio lieka visiškai atsakinga Klientui už to subtvarkytojo įsipareigojimų vykdymą taip pat, kaip ir už savo pačios veiksmus.
9. Pagalba įgyvendinant duomenų subjektų teises
Numerio, atsižvelgdama į tvarkymo pobūdį, padeda Klientui atsakyti į duomenų subjektų prašymus (susipažinti, ištaisyti, ištrinti, apriboti, perkelti duomenis ar prieštarauti tvarkymui), teikdama reikiamas technines priemones arba informaciją per protingą terminą po Kliento prašymo.
Jei Klientui dėl to, kaip Numerio tvarko duomenis, reikia atlikti poveikio duomenų apsaugai vertinimą arba konsultuotis su priežiūros institucija, Numerio per protingą terminą pateikia tam pagrįstai reikalingą informaciją.
10. Duomenų ištrynimas ar grąžinimas pasibaigus tvarkymui
Atšaukus prenumeratą arba pasibaigus šiai Sutarčiai, Klientas 90 kalendorinių dienų gali eksportuoti savo duomenis arba paprašyti juos grąžinti, kol darbo aplinka lieka prieinama. Prieš ištrindamas darbo aplinką Klientas privalo duomenis eksportuoti. Numerio per 30 kalendorinių dienų užbaigia registruojamą ištrynimą, kai Klientas ištrina darbo aplinką arba kai pasibaigia eksporto laikotarpis ir Kliento rašytinis saugojimo nurodymas bei taikytina teisė leidžia duomenis ištrinti, nebent teisinė saugojimo pareiga įpareigoja Numerio tam tikrus įrašus saugoti ilgiau. Likę atsarginių kopijų (angl. backup) įrašai pašalinami per įprastą atsarginio kopijavimo ciklą.
11. Pranešimas apie asmens duomenų saugumo pažeidimą
Sužinojusi apie asmens duomenų saugumo pažeidimą, susijusį su Kliento duomenimis, Numerio informuoja Klientą be nepagrįsto delsimo ir bet kuriuo atveju ne vėliau kaip per 48 valandas nuo sužinojimo apie jį, pateikia turimą informaciją apie pažeidimo pobūdį, tikėtinas pasekmes ir jau imtas ar planuojamas priemones, kad Klientas galėtų vykdyti savo, kaip valdytojo, pareigas pagal BDAR 33–34 straipsnius.
12. Audito teisė
Klientas turi teisę gauti iš Numerio informaciją ir dokumentaciją, reikalingą įrodyti, kad Numerio vykdo šioje Sutartyje nustatytas pareigas, ir atlikti auditą. Auditas atliekamas ne dažniau kaip kartą per 12 mėnesių, apie jį raštu (įskaitant el. paštu) pranešus ne vėliau kaip prieš 30 dienų, nebent kitaip reikalauja priežiūros institucija arba įvyko Kliento duomenis paveikęs asmens duomenų saugumo pažeidimas. Auditas atliekamas proporcingu, iš anksto suderintu būdu (pvz., dokumentų peržiūros ar klausimyno pagrindu), o ne privalomu patikrinimu vietoje, nebent šalys susitaria kitaip, ir laikantis konfidencialumo bei kitų klientų duomenų apsaugos.
Numerio tvarko Kliento vardu vykdomos duomenų tvarkymo veiklos įrašus, kaip reikalaujama BDAR 30 straipsnio 2 dalyje, ir paprašius pateikia juos Klientui arba priežiūros institucijai.
13. Kliento pareigos ir teisės
Klientas, kaip duomenų valdytojas, atsako už tai, kad turėtų teisinį pagrindą tvarkyti asmens duomenis, kuriuos tvarko naudodamasis Paslauga, ir kad Numerio duotų tik teisėtus nurodymus. Klientas turi teisę prieštarauti naujam subtvarkytojui (8 skyrius), atlikti Numerio auditą (12 skyrius) ir reikalauti ištrinti arba grąžinti savo duomenis (10 skyrius).
14. Atsakomybė
Numerio atsakomybei pagal šią Sutartį taikomi tie patys apribojimai kaip ir jos atsakomybei pagal Paslaugų teikimo taisykles, ir ji įskaitoma į tą pačią ribą; ši Sutartis nenustato atskiros ribos. Šis apribojimas netaikomas, kai žala padaryta tyčia arba dėl didelio Numerio neatsargumo, taip pat kai imperatyviosios teisės normos neleidžia atsakomybės riboti.
15. Sutarties santykis su kitais dokumentais
Ši Sutartis papildo Paslaugų teikimo taisykles ir Privatumo politiką. Prieštaravimo atveju dėl duomenų tvarkymo klausimų pirmenybė teikiama šiai Sutarčiai.
16. Kontaktai
MB „Blue age lab", Saulėtekio al. 15-1, LT-10224 Vilnius, Lietuva
Tel. +370 5 208 0417 · el. paštas hello@numerio.ai
1 priedas. Techninės ir organizacinės priemonės
Numerio taiko šias technines ir organizacines saugumo priemones:
- duomenų šifravimas perduodant (TLS) ir saugant (šifravimas ramybės būsenoje);
- pašto dėžutės prisijungimo duomenų (OAuth prieigos ir atnaujinimo raktų) šifravimas ir galimybė atjungti šaltinį (žr. Paslaugų teikimo taisyklių 6 skyrių dėl atjungimo pagal teikėją);
- duomenų saugojimas naudojant tik ES regiono valdomas infrastruktūros paslaugas;
- mažiausios būtinos prieigos principas — prieiga prie duomenų suteikiama tik tiems darbuotojams ir sistemoms, kuriems ji būtina;
- veiklos žurnalai (angl. logs), kurie neapima dokumentų turinio ar nereikalingų asmens duomenų — žurnaluose fiksuojami tik įvykiai (pvz., „dokumentas apdorotas"), o ne pats turinys;
- reguliariai testuojamas atsarginis kopijavimas ir atkūrimas (angl. backup / restore);
- klaidos ir gedimai registruojami taip, kad jie būtų pastebimi, auditine tvarka atsekami ir kartotinai bandomi — jokia sąskaita nedingsta be pėdsako dėl tylaus (angl. silent) klaidos kelio.