Duomenų tvarkymo susitarimas
Paskutinį kartą atnaujinta: 2026-10-11. Versija 1.0. Šis susitarimas yra Naudojimo sąlygų neatskiriama dalis (Sąlygų 5.4 p.) ir taikomas kiekvienam Treneriui, kuris Platformoje tvarko savo Klientų asmens duomenis. Jį sudaro Treneris (toliau – Valdytojas) ir EJ Group MB, juridinio asmens kodas 308112520, Lvivo g. 91-48, LT-08104 Vilnius (toliau – Tvarkytojas, mes). Susitarimas parengtas pagal Bendrojo duomenų apsaugos reglamento (ES) 2016/679 (toliau – BDAR) 28 straipsnį.
1. DALYKAS IR TRUKMĖ
1.1. Tvarkytojas Valdytojo vardu ir nurodymu tvarko Valdytojo Klientų asmens duomenis tiek, kiek tai būtina Platformai veikti: duomenys saugomi, struktūrizuojami, rodomi Valdytojui ir jo Klientams, perduodami tarp jų (žinutės, pranešimai, el. laiškai) ir kopijuojami į atsargines kopijas. 1.2. Susitarimas galioja tol, kol galioja Naudojimo sąlygos tarp Valdytojo ir Tvarkytojo, ir dar tiek, kiek Tvarkytojas saugo duomenis pagal 7 skyrių.
2. TVARKYMO POBŪDIS IR TIKSLAS
2.1. Tikslas – Valdytojo teikiamos treniravimo, mitybos ir susijusios paslaugos savo Klientams. Tvarkytojas Klientų duomenų savo tikslais nenaudoja, nebent to reikalauja teisės aktai arba tai yra anonimizuota statistika apie Platformos veikimą. 2.2. Tvarkymo veiksmai: rinkimas per Platformos formas, saugojimas, struktūrizavimas, peržiūra, perdavimas Klientui ir Valdytojui, atsarginių kopijų darymas, ištrynimas.
3. DUOMENŲ RŪŠYS
3.1. Tapatybės ir kontaktiniai duomenys: vardas, pavardė, el. paštas, telefonas, nuotrauka. 3.2. Treniravimo duomenys: programos, planai, atliktos treniruotės, svoriai, pakartojimai, komentarai, formos patikros nuotraukos ir vaizdo įrašai. 3.3. Mitybos duomenys: maisto dienoraštis, tikslai, valgiaraščiai. 3.4. Kūno ir sveikatos duomenys: svoris, apimtys, progreso nuotraukos, žingsniai, širdies ritmas ir treniruotės iš nešiojamų įrenginių, Kliento nurodytos traumos ar apribojimai. Tai specialių kategorijų duomenys (BDAR 9 str.). 3.5. Bendravimo ir organizaciniai duomenys: žinutės ir priedai, rezervacijos, narystės būsena, dokumentai, Valdytojo pastabos apie Klientą. 3.6. Atsiskaitymų tarp Valdytojo ir Kliento duomenys: sumos, būsenos, Stripe identifikatoriai. Mokėjimo kortelių duomenys Platformoje netvarkomi.
4. DUOMENŲ SUBJEKTŲ KATEGORIJOS
4.1. Valdytojo Klientai, įskaitant nepilnamečius, kurių paskyras tvarko tėvai ar globėjai (Sąlygų 3.1.1 p.), ir Valdytojo pakviesti, bet dar neprisijungę asmenys.
5. VALDYTOJO PAREIGOS
5.1. Valdytojas užtikrina, kad turi teisinį pagrindą tvarkyti Klientų duomenis, o sveikatos duomenims – aiškų Kliento sutikimą (BDAR 9 str. 2 d. a p.) arba kitą 9 straipsnio pagrindą, ir kad Klientai yra informuoti apie tvarkymą. 5.2. Valdytojo nurodymai Tvarkytojui yra: (a) Platformos funkcijų naudojimas tokiu būdu, kokiu jos sukurtos; (b) rašytiniai nurodymai el. paštu info@3ecoach.eu. Nurodymai, kurių Platforma techniškai neįgyvendina, neįpareigoja Tvarkytojo. 5.3. Valdytojas atsako už duomenų tikslumą, savo prisijungimo saugumą ir už tai, kad į Platformą nebūtų keliami duomenys, kurių jis neturi teisės tvarkyti.
6. TVARKYTOJO PAREIGOS
6.1. Tvarko duomenis tik pagal dokumentais patvirtintus Valdytojo nurodymus (5.2 p.), įskaitant perdavimą už EEE ribų, nebent to reikalauja ES ar valstybės narės teisė; tokiu atveju Tvarkytojas, jei teisė nedraudžia, praneša Valdytojui iš anksto. 6.2. Nedelsdamas informuoja Valdytoją, jei, jo nuomone, nurodymas pažeidžia BDAR ar kitus duomenų apsaugos teisės aktus. 6.3. Užtikrina, kad prieigą prie duomenų turintys asmenys būtų įsipareigoję laikytis konfidencialumo. Prieigą prie Platformos duomenų turi tik Tvarkytojo administratoriai, ir tik tiek, kiek reikia Platformai prižiūrėti. 6.4. Įgyvendina B priede aprašytas technines ir organizacines saugumo priemones ir jas atnaujina atsižvelgdamas į riziką. 6.5. Padeda Valdytojui atsakyti į duomenų subjektų prašymus: Klientas pats gali eksportuoti ir ištrinti savo paskyrą Platformoje; kitais atvejais Tvarkytojas pateikia reikiamą informaciją ar atlieka veiksmą per 10 darbo dienų nuo Valdytojo prašymo. 6.6. Padeda Valdytojui vykdyti BDAR 32–36 straipsnių pareigas (saugumas, pranešimai apie pažeidimus, poveikio vertinimas), atsižvelgdamas į tvarkymo pobūdį ir turimą informaciją. 6.7. Apie asmens duomenų saugumo pažeidimą, paveikusį Valdytojo Klientų duomenis, praneša Valdytojui nepagrįstai nedelsdamas ir ne vėliau kaip per 48 valandas nuo sužinojimo, nurodydamas pažeidimo pobūdį, paveiktus duomenis ir subjektus, tikėtinas pasekmes ir priemones, kurių imtasi. Pranešimas siunčiamas Valdytojo paskyros el. paštu. 6.8. Pateikia Valdytojui informaciją, reikalingą įrodyti šio susitarimo vykdymą, ir leidžia auditą: ne dažniau kaip kartą per metus, įspėjus prieš 30 dienų, Valdytojo sąskaita, darbo valandomis, netrikdant Platformos veikimo. Vietoj audito Tvarkytojas gali pateikti subtvarkytojų nepriklausomų auditų ataskaitas ar sertifikatus.
7. DUOMENŲ GRĄŽINIMAS IR IŠTRYNIMAS
7.1. Valdytojas bet kada gali eksportuoti visus savo ir savo Klientų duomenis Platformos nustatymuose (JSON formatu). 7.2. Pasibaigus Naudojimo sąlygoms ar Valdytojui ištrynus paskyrą, duomenys ištrinami arba anonimizuojami Privatumo politikos 9 ir 10 skyriuose nustatytais terminais, išskyrus duomenis, kuriuos saugoti įpareigoja teisės aktai (pvz., apskaitos įrašai). Atsarginės kopijos pernelyg rašomos per Privatumo politikos 10 skyriuje nurodytą laiką.
8. SUBTVARKYTOJAI
8.1. Valdytojas suteikia bendrą leidimą pasitelkti A priede išvardytus subtvarkytojus. 8.2. Apie naują subtvarkytoją ar pakeitimą Tvarkytojas praneša ne vėliau kaip prieš 14 dienų, atnaujindamas A priedą ir pranešdamas Valdytojo paskyros el. paštu. Valdytojas per tą laiką gali motyvuotai prieštarauti; jei sprendimo nerandama, Valdytojas gali nutraukti Naudojimo sąlygas, o Tvarkytojas grąžina nepanaudotą prenumeratos dalį. 8.3. Su kiekvienu subtvarkytoju Tvarkytojas sudaro sutartį, kurioje nustatomos ne mažiau griežtos duomenų apsaugos pareigos nei šiame susitarime, ir atsako Valdytojui už subtvarkytojo veiksmus.
9. PERDAVIMAS UŽ EEE RIBŲ
9.1. Duomenų bazė, failų saugykla ir Platformos serveriai yra Europos Sąjungoje (A priedas). Kai subtvarkytojas tvarko duomenis už EEE ribų, taikomos Europos Komisijos standartinės sutarčių sąlygos, papildomos techninės priemonės ir, kai taikoma, ES ir JAV duomenų privatumo sistema (Data Privacy Framework).
10. ATSAKOMYBĖ
10.1. Kiekviena šalis atsako už žalą, padarytą savo BDAR pažeidimu, BDAR 82 straipsnyje nustatyta tvarka. Tvarkytojo atsakomybė Valdytojui ribojama Naudojimo sąlygų 16 skyriuje nustatyta apimtimi, kiek tai leidžia teisės aktai.
11. BAIGIAMOSIOS NUOSTATOS
11.1. Šis susitarimas keičiamas Naudojimo sąlygų 19 skyriuje nustatyta tvarka. Prieštaravimo tarp šio susitarimo ir Naudojimo sąlygų atveju asmens duomenų tvarkymo klausimais taikomas šis susitarimas. 11.2. Taikoma Lietuvos Respublikos teisė. Valdytojas, norintis pasirašytą šio susitarimo kopiją, kreipiasi info@3ecoach.eu.
12. PRIEDAS A – SUBTVARKYTOJAI
Supabase, Inc. (JAV) – duomenų bazė, autentifikacija, failų saugykla; duomenys laikomi ES regione (AWS, Airija). Hostinger International Ltd. (Kipras) – Platformos serveris (VPS) ir lankomumo statistikos (Umami) serveris; duomenų centras Vilniuje, Lietuva. Stripe Payments Europe, Ltd. (Airija) – mokėjimai tarp Valdytojo ir Klientų bei Platformos prenumeratos. Resend, Inc. (JAV) – operacinių el. laiškų siuntimas (kvietimai, priminimai, pranešimai). Anthropic, PBC (JAV) – maisto atpažinimas iš teksto DI funkcijose; perduodamas tik tas tekstas, kurį naudotojas įveda. Functional Software, Inc. (Sentry, JAV) – klaidų stebėjimas; asmens duomenys iš pranešimų šalinami.
13. PRIEDAS B – TECHNINĖS IR ORGANIZACINĖS PRIEMONĖS
Perdavimo šifravimas: visas srautas tarp naudotojo, Platformos ir subtvarkytojų eina tik HTTPS/TLS. Šifravimas saugojimo metu: duomenų bazė, failų saugykla ir atsarginės kopijos šifruojamos subtvarkytojo (Supabase/AWS) infrastruktūroje. Prieigos atskyrimas: duomenų bazėje taikoma eilučių lygio prieigos kontrolė (Row Level Security) – kiekvienas Treneris mato tik savo Klientus, kiekvienas Klientas tik savo duomenis; serverio raktai, suteikiantys platesnę prieigą, niekada nepasiekia naršyklės. Autentifikacija: slaptažodžiai saugomi tik maišos pavidalu; administratoriaus prieiga apsaugota dviejų veiksnių autentifikacija; prisijungimų, registracijų ir slaptažodžio atkūrimo bandymai ribojami. Piktnaudžiavimo prevencija: užklausų dažnio ribos, viešų formų apsauga nuo automatizuotų įrašų, įkeliamų failų dydžio ir tipo ribojimas, turinio saugumo politika (CSP) naršyklėje. Įrašai ir stebėsena: veiksmų žurnalai be slaptažodžių ir raktų; administratoriaus veiksmai registruojami audito žurnale; klaidos stebimos be asmens duomenų. Atsarginės kopijos: daromos kasdien subtvarkytojo infrastruktūroje ES regione ir saugomos Privatumo politikoje nurodytą laiką. Duomenų subjektų teisės: eksportas ir paskyros ištrynimas prieinami pačiam naudotojui nustatymuose; ištrynimas pašalina arba anonimizuoja duomenis visose Platformos lentelėse ir saugykloje. Organizacinės priemonės: prieigą prie gamybinės aplinkos turi tik Tvarkytojo administratoriai; aplinkos (gamybinė ir kūrimo) atskirtos; pakeitimai tikrinami automatiniais testais prieš diegimą.