Privatumo politika

SUTINKU.LT (toliau — platforma) yra rinkos aikštė, jungianti užsakovus su laisvai samdomais vykdytojais. Tvarkydami jūsų asmens duomenis veikiame kaip duomenų valdytojas.

Ši politika paaiškina, kokius duomenis renkame, kodėl juos tvarkome, kiek laiko saugome ir kokias teises turite pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) bei Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymą.

Visais privatumo klausimais rašykite [email protected].

Duomenys, kuriuos pateikiate jūs

• Paskyros duomenys — vardas, slapyvardis, el. pašto adresas, slaptažodis (saugomas tik kaip kriptografinė santrauka) ir pasirinktas vaidmuo (užsakovas arba vykdytojas).
• Profilio duomenys — nuotrauka, pristatymas, įgūdžiai, portfelis, kalbos, sertifikatai.
• Jautrūs kontaktiniai ir veiklos duomenys — adresas, alternatyvus el. paštas, banko sąskaitos numeris, individualios veiklos pažymos numeris, įmonės ir PVM mokėtojo kodas.
• Turinys — skelbimai, pasiūlymai, atsiliepimai ir įkelti failai.
• Tapatybės patvirtinimo duomenys — TOTP raktas arba passkey viešasis raktas, jei įjungėte dviejų veiksnių patvirtinimą.

Duomenys, susidarantys naudojantis platforma

• Prisijungimų istorija ir sesijos slapukas sutinku_token.
• Techniniai duomenys — IP adresas, naršyklės tipas, užklausos laikas.
• Naujienlaiškio prenumeratos nustatymai, jei jį užsisakėte.

Kiekvienam tvarkymo tikslui taikome konkretų teisinį pagrindą:

Automatizuotų sprendimų, sukeliančių jums teisines pasekmes, nepriimame ir profiliavimo reklamos tikslais nevykdome.

Jautriausius duomenis saugome taikydami vokinį šifravimą:

• Kiekvienas vartotojas turi atskirą duomenų šifravimo raktą, kuris pats yra užšifruotas pagrindiniu serverio raktu ir laikomas atskirai nuo duomenų bazės.
• Jautrūs laukai — adresas, alternatyvus el. paštas, banko sąskaita, individualios veiklos numeris, įmonės ir PVM kodas, tapatybės patvirtinimo raktas ir profilio pristatymas — šifruojami AES-256-GCM algoritmu su atsitiktiniu inicializavimo vektoriumi dar prieš įrašant į duomenų bazę.
• Slaptažodžiai niekada nesaugomi atviru tekstu — naudojama maišos funkcija su papildomu serverio slaptu priedu.
• Palaikomas dviejų veiksnių tapatybės patvirtinimas (TOTP programėlės) ir passkey (WebAuthn) prisijungimas.
• Sesija yra slenkanti ir baigiasi po neveiklumo laikotarpio, todėl paliktas atviras langas savaime atsijungia.

Vis dėlto joks perdavimo internetu ar saugojimo būdas nėra visiškai saugus. Raginame naudoti unikalų slaptažodį ir įjungti dviejų veiksnių patvirtinimą profilio nustatymuose.

Naudojame dvi slapukų grupes:

Būtinieji (be sutikimo)

• sutinku_token — prisijungimo sesija. Be jo platforma neveiktų.
• sutinku_chat — pokalbių roboto sesija, kad neprisistatinėtumėte kaskart (30 d.).
• Naršyklės localStorage raktai: sutinku_lang (kalba) ir slapukų sprendimo žyma.

Analitikos (tik su jūsų sutikimu)

• sutinku_analytics — atsitiktinė žymė (12 mėn.), leidžianti suskaičiuoti unikalius lankytojus.
• Renkame: aplankytus puslapius, juose praleistą laiką, nukreipiantį šaltinį ir paieškos raktažodį (jei jį perduoda paieškos sistema), naršyklę, operacinę sistemą, įrenginio tipą, pasirinktą kalbą, IP adresą ir paspaudimų vietas puslapyje (statistiniam šilumos žemėlapiui).
• Tikslas — suprasti, kurie puslapiai naudingi ir kur vartotojams kyla sunkumų. Teisinis pagrindas — jūsų sutikimas.
• Duomenys naudojami tik viduje, tretiesiems asmenims neperduodami ir reklamai nenaudojami. Profiliavimo ar automatinių sprendimų nedarome.

Google Analytics (tik su sutikimu)

• Sutikus su analitikos slapukais papildomai įkeliamas Google Analytics 4. Iki sutikimo jis visai nekraunamas, o jo saugojimo leidimai nustatyti į „denied“ (Google Consent Mode v2).
• Įjungėme anonymize_ip — IP adresas Google pusėje sutrumpinamas, o reklamos signalai (allow_google_signals) išjungti, todėl duomenys nenaudojami reklamai ar profiliavimui.
• Šiuo atveju Google Ireland Limited veikia kaip duomenų tvarkytojas. Duomenys gali būti perduodami už Europos ekonominės erdvės ribų remiantis Europos Komisijos standartinėmis sutarčių sąlygomis ir ES–JAV duomenų privatumo sistema.
• Google naudojami slapukai: _ga ir _ga_* (iki 2 metų). Google privatumo aprašas — policies.google.com/privacy.

Atsisakę analitikos slapukų nebūsite sekami nei mūsų pačių, nei Google sistemoje.

Sutikimą galite duoti arba atšaukti bet kada slapukų skydelyje (piktograma 🍪 apačioje kairėje). Atšaukus sutikimą analitikos duomenys apie jūsų naršyklę iškart ištrinami. Reklaminių ar trečiųjų šalių sekimo slapukų nenaudojame.

• Kitai sandorio šaliai — priėmus pasiūlymą, užsakovas ir vykdytojas mato vienas kito kontaktinius bei atsiskaitymo duomenis, būtinus sandoriui įvykdyti.
• Paslaugų teikėjams — serverio prieglobos ir el. laiškų siuntimo paslaugų teikėjams, veikiantiems pagal duomenų tvarkymo sutartis ir mūsų nurodymus.
• Valstybės institucijoms — tik esant teisėtam ir pagrįstam reikalavimui (pvz. ikiteisminio tyrimo metu).
• Google Analytics — gavus jūsų sutikimą analitikos duomenys tvarkomi ir Google Ireland Limited sistemoje (žr. 5 skyrių).

Asmens duomenų neparduodame ir neperduodame reklamos tikslais. Duomenys tvarkomi Europos ekonominėje erdvėje, išskyrus 5 skyriuje aprašytą Google Analytics atvejį.

• Paskyros duomenys — kol paskyra aktyvi, ir 30 dienų po jos ištrynimo, kad klaidingai ištrintą paskyrą būtų galima atkurti.
• Sandorių ir apskaitos duomenys — 10 metų, kaip reikalauja buhalterinę apskaitą reglamentuojantys teisės aktai.
• Prisijungimų istorija — 12 mėnesių saugumo tikslais.
• Naujienlaiškio prenumerata — kol atšaukiate prenumeratą.

Pasibaigus terminui duomenys ištrinami arba nuasmeninami taip, kad jūsų nebebūtų galima atpažinti.

Pagal BDAR turite teisę:

• susipažinti su savo duomenimis ir gauti jų kopiją;
• reikalauti ištaisyti netikslius ar neišsamius duomenis;
• reikalauti ištrinti duomenis („teisė būti pamirštam“);
• apriboti duomenų tvarkymą arba jam nesutikti;
• gauti savo duomenis susistemintu, kompiuterio skaitomu formatu (perkeliamumas);
• bet kada atšaukti duotą sutikimą, neveikiant iki atšaukimo atlikto tvarkymo teisėtumo;
• pateikti skundą Valstybinei duomenų apsaugos inspekcijai — vdai.lrv.lt.

Didžiąją dalį šių teisių galite įgyvendinti patys profilio nustatymuose. Kitais atvejais rašykite [email protected] — atsakysime ne vėliau kaip per 30 kalendorinių dienų.

Platforma skirta asmenims nuo 16 metų. Sąmoningai nerenkame jaunesnių asmenų duomenų. Sužinoję, kad tokie duomenys buvo pateikti be tėvų ar globėjų sutikimo, paskyrą uždarome ir duomenis nedelsdami ištriname.

Šią politiką galime atnaujinti keisdamiesi patys arba pasikeitus teisės aktams. Apie esminius pakeitimus informuosime el. paštu arba pranešimu platformoje ne vėliau kaip prieš 14 dienų iki jų įsigaliojimo. Mažesni redakciniai pataisymai įsigalioja iškart juos paskelbus.

Puslapio apačioje visada nurodyta paskutinio atnaujinimo data.