Apžvalga
FreeBillGen yra nemokama internetinė paslauga, kurią adresu freebillgen.com teikia MB Libranet (Vilnius, Lietuva). MB Libranet yra vienintelis kiekvieno lankytojo asmens duomenų valdytojas pagal BDAR 4 str. 7 d., o ši politika taikoma visam paslaugos naudojimui.
Ši politika parengta vadovaujantis ES Bendrojo duomenų apsaugos reglamento (Reglamentas (ES) 2016/679, „BDAR") 13 ir 14 straipsniais bei Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu. Joje paaiškinama, kokius duomenis renkame, kodėl, kam dar juos perduodame, kiek laiko saugome ir kaip galite pasinaudoti savo teisėmis.
Kas yra duomenų valdytojas
Vienintelis asmens duomenų valdytojas yra MB Libranet (Vilnius, Lithuania). Klausimais dėl privatumo rašykite [email protected]. Visi juridinio asmens rekvizitai pateikti įmonės informacijos puslapyje.
Duomenų apsaugos pareigūno neskyrėme, nes mūsų vykdomas tvarkymas neviršija BDAR 37 str. nustatytų ribų. Už duomenų apsaugą atsakingas operatorius pasiekiamas aukščiau nurodytu el. pašto adresu.
Kokius duomenis tvarkome
Naudodamiesi FreeBillGen adresu freebillgen.com, tvarkome šias ribotas asmens duomenų kategorijas, remdamiesi nurodytais teisiniais pagrindais:
- Paskyros duomenys. Jūsų vardas, el. pašto adresas ir bcrypt algoritmu užmaskuotas slaptažodis (arba prieigos rakto viešasis raktas). Teisinis pagrindas: Sutarties vykdymas - BDAR 6 str. 1 d. b p.
- Jūsų sukurti sąskaitų ir klientų duomenys. Tik tie duomenys, kuriuos pats įvedate: klientų pavadinimai, adresai, PVM mokėtojo kodai, eilutės, sumos, mokėjimo būsena. Teisinis pagrindas: Sutarties vykdymas - BDAR 6 str. 1 d. b p.
- Sesijos ir saugumo slapukai. Pasirašytas sesijos slapukas ir CSRF prieigos rakto slapukas, padedantys išlaikyti prisijungimą ir blokuoti suklastotas užklausas. Teisinis pagrindas: Būtina - BDAR 6 str. 1 d. f p., teisėtas interesas.
- Serverio žurnalai. IP adresas, naršyklės identifikatorius (user-agent) ir užklausos metaduomenys, trumpai saugomi siekiant užkirsti kelią piktnaudžiavimui ir pašalinti klaidas. Teisinis pagrindas: Teisėtas interesas - BDAR 6 str. 1 d. f p.
- VIES audito žurnalas. Patvirtinant ES pirkėjo PVM mokėtojo kodą, įrašome užklausos identifikatorių, užklausoje nurodytą šalį bei numerį ir gautą atsakymą kaip įrodymą pagal Tarybos reglamento (ES) Nr. 904/2010 31 str. Teisinis pagrindas: Teisinė prievolė - BDAR 6 str. 1 d. c p.
Dalis šių duomenų priklauso ne jums, o jūsų sąskaitose nurodytiems klientams (BDAR 14 str.). Tų duomenų šaltinis esate jūs - juos gauname tik todėl, kad pats juos įvedate į savo sąskaitas. Šiuos duomenis tvarkome remdamiesi mūsų tarpusavio sutartimi ir jūsų, kaip verslo subjekto, teisėtu interesu turėti tinkamai mokesčiams pagrįstą sąskaitų apskaitą.
Niekada neparduodame jūsų duomenų. Jais nesidaliname su reklamuotojais, duomenų brokeriais ar analitikos tinklais. Nevykdome jokio sekimo, profiliavimo ar elgesio taikymo.
Subtvarkytojai
FreeBillGen pasitelkia sąmoningai ribotą subtvarkytojų ratą. Tarp jų nėra nė vieno reklamos ar analitikos tinklo. Su kiekvienu sudaromas duomenų tvarkymo susitarimas, o tvarkomi tik tiek duomenų, kiek būtina paslaugai veikti.
SMTP2GO (operatyviniai el. laiškai)
Kai išsiunčiate sąskaitą el. paštu arba gaunate sistemos pranešimą, žinutė siunčiama per SMTP2GO ES regiono serverius (mail-eu.smtp2go.com). Perduodami duomenys: siuntėjas, gavėjo adresas, tema, tekstas ir prisegtas PDF. SMTP2GO Inc. yra įsteigta Naujojoje Zelandijoje, naudoja ES infrastruktūrą; perdavimai yra dengiami Standartinėmis sutarčių sąlygomis.
Cloudflare Turnstile (apsauga nuo botų)
Formose /login ir /register rodomas Cloudflare Turnstile iššūkis, blokuojantis automatizuotą piktnaudžiavimą. Valdiklis užkraunamas iš challenges.cloudflare.com ir su Cloudflare siteverify tarnyba apsikeičia trumpalaikiu prieigos raktu. Perduodami duomenys: jūsų IP adresas, naršyklės identifikatorius (user-agent) ir vienkartinis iššūkio prieigos raktas. Turnstile nenaudoja sekimo slapukų ir nėra naudojamas reklamai. Cloudflare, Inc. įsteigta JAV; perdavimai dengiami ES-JAV duomenų privatumo sistema (Data Privacy Framework) ir Standartinėmis sutarčių sąlygomis.
bunny.net (šriftų CDN)
Svetainė užkrauna du tinklo šriftus iš fonts.bunny.net - privatumą gerbiančio šriftų CDN, kurį valdo BunnyWay d.o.o. (Slovėnija, ES). Perduodami duomenys: jūsų IP adresas ir naršyklės identifikatorius (user-agent), tik šriftų užklausos metu. Žr. jų privatumo pareiškimą.
Europos Komisijos VIES (PVM kodų patvirtinimas)
Tikrinant pirkėjo PVM mokėtojo kodą, jūsų įvesta šalies kodo ir PVM numerio kombinacija siunčiama į Europos Komisijos PVM informacijos mainų sistemą (VIES) adresu ec.europa.eu. Gavėjas yra ES institucija; tvarkymą reglamentuoja Reglamentas (ES) 2018/1725.
Talpinimas ir PDF generavimas (savosios pajėgos)
Aplikacija veikia ant skirtos infrastruktūros Europos Sąjungoje. Sąskaitų PDF failai generuojami savame serveryje naudojant mPDF biblioteką. Jokie trečiųjų šalių „PDF kaip paslauga" ar talpinimo perpardavinėtojai nėra įtraukti.
Jokių Google paslaugų. Jokių Meta ar Facebook pikselių. Jokių analitikos SDK. Jokių trečiųjų šalių klaidų pranešimo paslaugų.
Duomenų saugojimas
Paskyros ir sąskaitų duomenys saugomi tol, kol jūsų paskyra yra aktyvi. Panaikinus paskyrą, įprasti asmens duomenys ištrinami per 30 dienų, išskyrus atvejus, kai Lietuvos buhalterinės apskaitos teisės aktai (numatantys 10 metų sąskaitų išsaugojimo terminą) reikalauja tam tikrus dokumentus saugoti ilgiau - tokiu atveju jie perkeliami į apribotos prieigos archyvą ir laikomi tik tiek, kiek to reikalauja įstatymas.
Serverio žurnalai saugomi iki 30 dienų, nebent jų ilgiau prireikia aktyviam saugumo tyrimui. VIES audito žurnalo įrašai saugomi ne trumpiau kaip 10 metų, kad būtų įvykdyti Tarybos reglamento (ES) Nr. 904/2010 įrodomieji reikalavimai.
Jūsų teisės pagal BDAR
Pagal BDAR turite teisę susipažinti su duomenimis (15 str.), reikalauti juos ištaisyti (16 str.), ištrinti (17 str.), apriboti tvarkymą (18 str.), perkelti duomenis (20 str.) ir nesutikti su tvarkymu (21 str.). Jeigu tvarkymas remiasi sutikimu, bet kada galite jį atšaukti (7 str. 3 d.).
Pagal BDAR 77 str. taip pat turite teisę pateikti skundą priežiūros institucijai - paprastai tai institucija ES/EEE valstybėje, kurioje gyvenate, dirbate arba kurioje, jūsų manymu, padarytas pažeidimas. Kadangi operatorius yra įsteigtas Lietuvoje, vadovaujančioji institucija yra Valstybinė duomenų apsaugos inspekcija (State Data Protection Inspectorate of Lithuania, VDAI).
Žingsnis po žingsnio aprašymą, kaip pasinaudoti kiekviena teise (terminus ir ką nurodyti prašyme), rasite specialiame BDAR teisių puslapyje.
Automatizuotas sprendimų priėmimas
FreeBillGen netaiko automatizuoto sprendimų priėmimo ar profiliavimo BDAR 22 str. prasme. Joks sprendimas, sukeliantis jums teisines ar panašiai reikšmingas pasekmes, nėra priimamas vien automatizuotomis priemonėmis. Mes nevertiname, nereitinguojame ir neprofiliuojame naudotojų reklamos, kreditavimo, sukčiavimo prevencijos ar kitais tikslais.
Duomenų saugumas
Techninės ir organizacinės saugumo priemonės (BDAR 32 str.):
- Slaptažodžiai saugomi bcrypt maišomis; palaikomi prieigos raktai (WebAuthn).
- Pasirinktinis laiko pagrindo dvigubas patvirtinimas (2FA) per bet kurią TOTP suderinamą programėlę.
- CSRF prieigos raktai kiekvienai būsenos keitimo užklausai.
- Visur naudojamos parametrizuotos užklausos - jokio sujungto SQL.
- HTTPS/TLS perdavime; įjungtas HTTP Strict Transport Security.
- Content Security Policy ir kiti apsaugos antraštės nustatymai.
- Aplikacijos lygmens audito žurnalas saugumui jautriems veiksmams.
- Šifruotos duomenų bazės atsarginės kopijos su apribota prieiga.
Tarptautiniai duomenų perdavimai
Asmens duomenys pagal nutylėjimą tvarkomi Europos Sąjungoje. Du iš 04 skyriuje minimų subtvarkytojų gali apimti perdavimą į trečiąją šalį:
- Cloudflare Turnstile - perdavimai į Jungtines Amerikos Valstijas, dengiami ES-JAV duomenų privatumo sistemos (Data Privacy Framework) ir Europos Komisijos Standartinių sutarčių sąlygų.
- SMTP2GO - bendrovė įsteigta Naujojoje Zelandijoje (šaliai taikomas Europos Komisijos sprendimas dėl tinkamumo) ir laiškams pristatyti naudoja ES regiono infrastruktūrą. Kai perdavimai vyksta, jie dengiami Standartinėmis sutarčių sąlygomis.
Jokių kitų duomenų perdavimų į trečiąsias šalis nevyksta. Jeigu tai pasikeis, taikysime atitinkamą BDAR V skyriaus perdavimo mechanizmą ir prieš pradėdami naują perdavimą atnaujinsime šią politiką.
Vaikai
FreeBillGen yra verslo įrankis ir nėra skirtas jaunesniems nei 16 metų vaikams. Sąmoningai nerenkame vaikų asmens duomenų.
Pakeitimai
Padarę esminių pakeitimų, atnaujintą tekstą paskelbsime šiame puslapyje su nauja „atnaujinimo" data ir el. paštu informuosime aktyvias paskyras. Galiojanti versija atpažįstama pagal puslapio viršuje nurodytą datą.
Kontaktai
Privatumo klausimai ir teisių įgyvendinimo prašymai: [email protected]. Pašto adresas ir visi juridinio asmens rekvizitai pateikti įmonės informacijos puslapyje.