1. BENDROSIOS NUOSTATOS

1.1. UAB “Delano ”, (toliau – Bendrovė) juridinio asmens kodas 125542554, buveinės adresas – Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt , fizinio asmens pretenduojančio į Bendrovėje esančias laisvas darbo vietas asmens duomenų tvarkymo taisyklių tikslas – reglamentuoti Bendrovėje vykdomo personalo atrankos ir fizinio asmens pretenduojančio į Bendrovėje esančias laisvas darbo vietas (toliau – Kandidatas) asmens duomenų tvarkymo principus ir tvarką, nustatyti pagrindines Kandidatų asmens duomenų tvarkymo, jų teisių įgyvendinimo ir asmens duomenų apsaugos technines bei organizacines priemones, siekiant užtikrinti 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB  (toliau – BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) ir kitų Europos sąjungos ir Lietuvos Respublikos teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir sąžiningai bei teisėtai tvarkyti ir saugoti Kandidatų asmens duomenis.

1.2. Kandidatų asmens duomenų tvarkymo taisyklės yra Bendrovės  Privatumo ir asmens duomenų tvarkymo politikos dalis, kuri yra patalpinta interneto svetainėje www.delano.lt  skiltyje „Asmens duomenų apsauga“ ir kurioje Kandidatas gali susipažinti su asmens duomenų tvarkymo taisyklėmis, pateikti užklausą Bendrovei arba duoti sutikimą tvarkyti asmens duomenis personalo atrankos tikslu.

1.3. Šios taisyklės parengtos vadovaujantis BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatytų asmens duomenų tvarkymo reikalavimų.

1.4. Taisyklės privalomos Bendrovės darbuotojams, dirbantiems pagal darbo sutartis (toliau – Darbuotojai) ir kitiems asmens duomenų  tvarkytojams, kurie šiose Taisyklėse, BDAR ir ADTAĮ nustatytais atvejais tvarko ar tvarkys  Kandidatų asmens duomenis Bendrovės vardu.

1.5. Šiose Taisyklėse nurodytų asmens duomenų valdytoja ir tvarkytoja yra Bendrovė, kuri užtikrina, kad asmens duomenys Bendrovėje būtų tvarkomi laikantis BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatytų asmens duomenų tvarkymo reikalavimų.

1.6. Bendrovė, atlikdama savo veiklos funkcijas BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatyta tvarka, turi teisę gauti ir tvarkyti iš Kandidatų, Lietuvos Respublikos valstybės, savivaldybių institucijų, įstaigų, organizacijų ir trečiųjų asmenų gauta informaciją apie Kandidatus ir užtikrina, kad  gauta informacija ir Kandidatų asmens duomenys bus tvarkomi teisėtu, sąžiningu ir skaidriu būdu ir tik Taisyklėse nustatytais ir aiškiai apibrėžtais tikslais bei toliau nebus tvarkomi su tais tikslais nesuderinamu būdu.

1.7. Taikydama organizacines ir technines priemones Bendrovė užtikrina tinkamą Kandidatų asmens duomenų tvarkymą ir saugumą, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo, sugadinimo ir tvarko duomenų tvarkymo veiklos įrašus.

1.8. Kandidatas laikomas susipažinusiu su Bendrovės Taisyklėmis, kai raštu, įskaitant gautus ir elektroninėmis priemonėmis, išreiškia savo sutikimą Bendrovei tvarkyti jo asmens duomenis personalo atrankos tikslu.

2. TAISYKLĖSĖ VARTUOJAMOS PAGRINDINĖS SĄVOKOS

2.1. Šiose Taisyklėse vartojamos sąvokos suprantamos taip, kaip jos yra apibrėžtos BDAR , ADTAĮ ir kituose Europos Sąjungos ir Lietuvos Respublikos teisės aktuose.

2.2. Duomenų valdytojas – UAB “Delano ”, (toliau – Bendrovė) juridinio asmens kodas 125542554, buveinės adresas – Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt

2.3. Kandidatas – gyvas fizinis asmuo (toliau - Kandidatas arba Duomenų subjektas), dalyvaujantis ar siekiantis dalyvauti Bendrovėje vykdomoje personalo atrankoje ir pretenduojantys į Bendrovėje esančias laisvas darbo vietas.

2.4. Personalo atranka – procesas, kurio metu nustatomi ir taikomi reikalavimai Bendrovės darbuotojo pareigoms eiti, vykdoma Kandidatų paieška, atrenkami tinkamiausi Kandidatai pagal darbinę patirtį, išsilavinimą, asmenines savybes ir pagal Bendrovės nuožiūra nustatytus vertinimo kriterijus.

2.5. Asmens duomenys – bet kokia informacija apie Kandidatą (fizinį asmenį), kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais Kandidato duomenimis kaip vardas, pavardė, asmens kodas, gimimo data, gyvenamosios vietos adresas, asmens tapatybės kortelės ar paso numeris, banko kortelės numeris, telefono numeris, elektroninio pašto adresas, automobilio numeris arba kitais tik Kandidatui būdingais požymėmis.

2.6. Privatumo ir asmens duomenų tvarkymo politika – asmens duomenų apsaugos politikos nuostatos, kurių Bendrovė, kaip duomenų valdytojas arba duomenų tvarkytojas, laikosi.

2.7. Internetinė svetainė – UAB “Delano” svetainė esanti adresu www.delano.lt kurioje Kandidatas gali susipažinti su asmens duomenų tvarkymo taisyklėmis, pateikti užklausą Bendrovei arba duoti sutikimą tvarkyti jo asmens siekiant dalyvauti Bendrovėje vykdomoje personalo atrankoje.

2.8. Bendrovės darbuotojas – UAB “Delano” darbuotojas, kuris pagal užimamas pareigas ir darbo pobūdį turi teisę vykdyti konkrečias su Kandidato asmens duomenų tvarkymu susijusias funkcijas.

2.9. Duomenų tvarkytojas – fizinis arba juridinis asmuo, agentūra ar kita įstaiga, kuri UAB “Delano” (Duomenų valdytojo) vardu tvarko Kandidatų asmens duomenis arba vykdo Kandidatų paieška.

2.10. Kompiuterinė įranga - kompiuteriai, terminalai, serveriai, laikmenos, kita UAB “Delano”  (Duomenų valdytojui) teisėtu pagrindu priklausanti kompiuterinė įranga ir joje esanti programinė įranga, tame tarpe elektroninė pašto dėžutė, bendravimo interneto tinklu programos, debesų kompiuterijos paslaugos, interneto prieiga.

2.11. Susistemintas rinkinys – bet kuris susistemintas pagal specialius kriterijus prieinamų asmens duomenų rinkinys, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas funkciniu ar geografiniu pagrindu.

2.12. Kandidato (Duomenų subjekto) sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto Kandidato (Duomenų subjekto) valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais Kandidatas sutinka, kad būtų tvarkomi su juo susiję asmens duomenys Bendrovėje vykdomoje personalo atrankoje.

2.13. Duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuriai atskleidžiami Kandidatų asmens duomenys, nesvarbu, ar tai trečioji šalis ar ne.

2.14. Valdžios institucijos ir įstaigos – valstybės ir savivaldybių institucijos ir įstaigos, įmonės ir viešosios įstaigos, finansuojamos iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų ir Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka įgaliotos atlikti viešąjį administravimą arba teikiančios asmenims viešąsias ar administracines paslaugas ar vykdančios kitas  funkcijas.

2.15. Trečioji šalis – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri nėra duomenų subjektas, duomenų valdytojas, duomenų tvarkytojas, arba asmenys, kuriems tiesioginiu UAB “Delano” įgaliojimu leidžiama tvarkyti Kandidatų asmens duomenis.

2.16. Priežiūros institucija – Valstybinė asmens duomenų apsaugos inspekcija (toliau – VDAI). Įstaigos kontaktai: L. Sapiegos g. 17, 10312 Vilnius (Įėjimas iš kairės pusės) Tel. (8 5) 271 28 04, (8 5) 2791445.                                Faks. (8 5) 261 94 94. El. paštas: ada@ada.lt ,  E. pristatymo dėžutė: 188607912.

3. KANDIDATŲ ASMENS DUOMENŲ TVARKYMO PRINCIPAI

3.1. Bendrovė vadovaujasi šiais Kandidatų asmens duomenų tvarkymo principais:

3.1.1. Kandidato asmens duomenys renkami ir tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas).

3.1.2. Kandidato asmens duomenys renkami ir tvarkomi Bendrovėje vykdomo personalo atrankos tikslu ir toliau netvarkomi su tuo tikslu nesuderinamu būdu (tikslo apribojimo principas).

3.1.3. Kandidato asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant Bendrovės tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas).

3.1.4. Kandidato asmens duomenys turi būti tikslūs ir prireikus atnaujinami, ištrinami arba ištaisomi (tikslumo principas).

3.1.5. Kandidato asmens duomenys Bendrovėje renkami, tvarkomi ir laikomi tokia forma, kad Kandidato tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina Bendrovėje vykdomo personalo atrankos tikslu (saugojimo trukmės apribojimo principas).

3.1.6. Kandidato asmens duomenys Bendrovėje renkami ir tvarkomi tokiu būdu, kad taikant atitinkamas technines ar/ir organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).

3.1.7. Bendrovė imasi priemonių, kad Bendrovėje būtų laikomasi aukščiau nurodytų principų, renkant tai patvirtinančius įrodymus (atskaitomybės principas).

3.2. Naudojantis trečiųjų šalių paslaugomis, (Pvz., Kandidatui lankantis Bendrovės paskyroje „Facebook“ socialiniame tinkle, „LinkedIn“ ir pan.), gali būti taikomos trečiųjų šalių sąlygos visiems naudotojams ir lankytojams, todėl Kandidatui naudojantis tokių trečiųjų šalių paslaugomis, rekomenduojama susipažinti su jų taikomomis sąlygomis.

4. 4. KANDIDATŲ ASMENS DUOMENŲ GAVIMAS IR JŲ TVARKYMAS

4.1. Asmens duomenys gali būti gaunami tiesiogiai iš Kandidato ir jo iniciatyva arba Bendroves papildomu prašymu iš Lietuvos Respublikos darbo biržos, įdarbinimo agentūrų, darbo paieškos internetinių portalų, karjeros socialinių tinklų (pvz. „Linkedin“) ir/ar kitų darbo paieškos, atrankos ir/ar tarpininkavimo paslaugas teikiančių subjektų.

4.2. Bendrovė atrankos į Bendrovėje esančias laisvas darbo vietas tikslais tvarko tokius Kandidato pateiktus asmens duomenis:

1. Vardas, pavardė;
2. Asmens kodas arba gimimo data;
3. Gyvenamosios (korespondencijos) vietos adresas;
4. Telefono numeris;
5. Išsilavinimas;
6. Darbinė patirtis;
7. Įgyta kompetencija ir įgūdžiai;
8. Išklausyti kursai/mokymai;
9. Mokamos kalbos;
10. Darbo kompiuteriu įgūdžiai;
11. Vairuotojo pažymėjimo turėjimo faktas;
12. Pageidaujamas darbo užmokestis;
13. Rekomendacijos;
14. Gyvenimo aprašyme ir/ar kituose Kandidato savanoriškai pateiktuose dokumentuose esantys Kandidato asmens duomenys.

4.3. Patiekdamas savo asmens duomenis ir/ar pasirašydamas atskirą sutikimą, Kandidatas sutinka ir neprieštarauja, kad Bendrovė juos valdytų ir tvarkytų šiose Taisyklėse bei  BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose numatytais tikslais, priemonėmis ir tvarka.

4.4. Pateikdamas savo asmens duomenis ir/ar pasirašydamas atskirą sutikimą, Kandidatas suteikia Bendrovei teisę rinkti, kaupti, sisteminti, naudoti ir kitaip tvarkyti šiose Taisyklėse numatytais tikslais visus Kandidato asmens duomenis, kuriuos šis tiesiogiai ar netiesiogiai (per interneto svetaines, įdarbinimo įmones, kitus tarpininkus ir kt.) pateikia Bendrovei.

4.5. Kandidatas yra atsakingas už tai, kad jo pateikiami asmens duomenys būtų tikslūs, teisingi ir išsamūs. Žinomai neteisingų Kandidato asmens duomenų pateikimas yra laikomas šių Taisyklių pažeidimu. Jeigu pasikeičia Bendrovės personalo atrankos vykdymo metu Kandidato pateikti asmens duomenys, jis privalo nedelsdamas juos ištaisyti ir apie tai raštu informuoti Bendrovė. Bendrovė nebus atsakinga už jokią žalą ir pasekmes, atsiradusias Kandidatui ir/ar tretiesiems asmenims dėl to, jog Kandidatas nurodė Bendrovei neteisingus ir (ar) neišsamius asmens duomenis arba nesikreipė dėl duomenų papildymo ir (ar) pakeitimo jiems pasikeitus.

4.6. Teisinis Kandidato asmens duomenų tvarkymo pagrindas yra BDAR 6 str. 1 d. Tuo atveju, jei BDAR, ADTAĮ ar kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose bus numatyta papildomų apribojimų dėl to, kokia informacija apie Kandidatus gali būti tvarkoma, Bendrovė (Duomenų valdytojas) užtikrina, kad būtų tvarkomi tik teisės aktuose leidžiami tvarkyti Kandidatų asmens duomenys.

4.7. Kandidatų asmens duomenys, vykdant personalo atranką, gali būti perduoti paslaugų teikėjams teikiantiems Bendrovei personalo atrankos paslaugas (įdarbinimu).

4.8. Tvarkydama ir saugodama Kandidatų asmens duomenis, Bendrovė savo nuožiūra ir rizika įgyvendina organizacines ir technines priemones, kurios užtikrina Kandidatų asmens duomenų apsaugą nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo.

4.9. Specialių kategorijų Kandidatų asmens duomenis Bendrovėje renkami ir tvarkomi tik tuo atveju ir tik ta apimtimi, kai ir kiek tai yra būtina vykdant atranką į konkrečią Bendrovėje esančią laisvą darbo vietą ir kiek tai yra leidžiama pagal galiojančius Europos sąjungos ir Lietuvos Respublikos teisės aktus.

4.10. Duomenis apie Kandidatų sveikatą atrankos procese pagal Europos sąjungos ir Lietuvos Respublikos galiojančius teisės aktus Bendrovė renka ir tvarko, siekdami įvertinti Kandidato darbingumą, darbo vietos atitikimą Kandidato sveikatos būklei ir/ar Kandidato gebėjimą dirbti Bendrovėje profesinės rizikos sąlygomis. Visais atvejais Kandidato specialių kategorijų duomenis Bendrove rinkis tik baigiamuosiuose atrankos etapuose.

4.11. Kandidato asmens duomenis iš Kandidato buvusio darbdavio ar kitų šaltinių Bendrovė renka, vertina ir tvarko tik gavę Kandidato sutikimą.

4.12. Jeigu pasibaigus atrankai Bendrovė ne pasirinks Kandidato pretenduojančio į Bendrovėje esančias laisvas darbo vietas kandidatūros ir ne sudarys su juo darbo sutarties, visus Kandidato atrankos tikslais surinktus asmens duomenis Bendrovė saugiai sunaikina arba gauna Kandidato sutikimą dėl jo asmens duomenų įtraukimo į Bendrovės kandidatų duomenų bazę, kad gauti informaciją apie ateityje Bendrovėje vykdomas darbuotojų paieškas ir atrankas į Bendrovėje esančias laisvas darbo vietas.

4.13. Kandidato asmens duomenys Bendrovėje tvarkomi ne ilgiau nei yra būtina. Pasibaigus atrankai arba praėjus 1 metams po atrankos pabaigos (jeigu Kandidatas buvo davęs sutikimą dėl jo asmens duomenų įtraukimo į Bendrovės kandidatų duomenų bazę), Bendrovė Kandidato asmens duomenis sunaikina kaip įmanoma greičiau, per protingai ir pagrįstai tokiam veiksmui atlikti reikalingą laikotarpį.

4.14. Ilgesnis, negu nurodyta šiose Taisyklėse Kandidatų asmens duomenų saugojimas Bendrovėje gali būti vykdomas tik jei to reikia, kad Bendrove galėtų apsiginti nuo Bendrovei pareikštų pretenzijų ar ieškinių ir Kandidato asmens duomenys būtini tinkamam ginčo, skundo išsprendimui Lietuvos Respublikos galiojančių teisės aktų nustatyta tvarka.

4.15. Bendrovė, atrankos į Bendrovėje esančias laisvas darbo vietas tikslais tvarko Kandidato pateiktus asmens duomenis tik Europos Sąjungos teritorijoje ir neturį ketinimo perduoti Kandidatų asmens duomenų tvarkytojams ar gavėjams į trečiąsias valstybes.

5. KANDIDATŲ ASMENS DUOMENŲ APSAUGA

5.1. Bendrovė saugo Kandidatų asmens duomenis, užtikrindama jų konfidencialumą, vientisumą ir ribotą prieinamumą. Konfidencialumas reiškia, kad Kandidatų asmens duomenys nėra atskleidžiami asmenims, neturintiems teisės susipažinti su šiais duomenimis. Bendrovė užtikrina kandidato asmens duomenų konfidencialumą ir neperduoda jų jokiems tretiesiems asmenims, nebent konkrečiu atveju su Kandidatu susitariama kitaip. Vientisumas reiškia, kad Kandidatų asmens duomenys turėtų būti tikslūs, aktualūs ir tinkami tam tikslui, kuriam jie yra tvarkomi. Ribotas prieinamumas reiškia, kad tik Bendrovėse įgalioti asmenys turi galimybę susipažinti ir tvarkyti Kandidatų asmens duomenis, siekdami teisėtų ir apibrėžtų tikslų.
Bendrovė imasi reikalingų techninių ir organizacinių priemonių, apsaugančių Kandidatų asmens duomenis nuo neteisėto tvarkymo ir/ar praradimo. Bendrovė įdiegia tinkamą techninę ir programinę įrangą, taiko reikalingas apsaugos priemones (įskaitant fizinės ir elektroninės prieigos kontrolę).

6. KANDIDATO (ASMENS DUOMENŲ SUBJEKTO) TEISĖS

6.1. Kandidato (duomenų subjekto) teisės susijusios su jo asmens duomenų tvarkymu Bendrovėje, apima teisę (išskyrus Europos sąjungos ir Lietuvos Respublikos teisės aktuose numatytas išimtis):

1. reikalauti ištaisyti jo asmens duomenis, jeigu jie yra neteisingi, neišsamūs arba netikslūs;
2. nesutikti, kad Bendrovėje būtų tvarkomi jo asmens duomenys;
3. reikalauti ištrinti jo asmens duomenis, kurie yra tvarkomi tik su jo sutikimu, jei Kandidatas atšaukia atitinkamą Bendrovei duota sutikimą. Ši teisė netaikoma, jei Kandidato asmens duomenys, kuriuos prašoma ištrinti, Bendrovėje yra tvarkomi ir kitu teisiniu pagrindu, tokiu kaip tvarkymas būtinas sutarties sudarymui ar/ir vykdymui arba yra pareigos pagal Europos sąjungos ir Lietuvos Respublikos taikomus teisės aktus vykdymas;
4. gauti informaciją apie tai, ar Bendrovė tvarko jo asmens duomenis ir, jei taip, nustatyta tvarka susipažinti su jais;
5. atšaukti savo sutikimą, kad Bendrovėje būtų tvarkomi jo asmens duomenys;
6. pateikti skundą dėl asmens duomenų tvarkymo Bendrovei ar Valstybinei duomenų apsaugos inspekcijai (Įstaigos kontaktai: L. Sapiegos g. 17, 10312 Vilnius, tel. (8 5) 271 28 04, (8 5) 2791445. faksas (8 5) 261 94 94, el. paštas: ada@ada.lt) jei Kandidatas pagrįstai mano, kad jo asmens duomenys Bendrovėje tvarkomi pažeidžiant jo teises ir teisėtus interesus pagal Europos sąjungos ir Lietuvos Respublikos taikomus teisės aktus.

6.4. Kandidatas įsipareigoja nepiktnaudžiauti jam priklausančiomis teisėmis.

7.KOMUNIKACIJA SU KANDIDATU (-AIS)

7.1. Kandidatas, tinkamai save identifikavęs ir pateikęs Bendrovei  asmens tapatybę patvirtinantį dokumentą ar jo notariškai patvirtintą kopiją, turi teisę kreiptis į Bendrovę, siekdamas pateikti rašytinius paklausimus, atšaukti duotus sutikimus, teikti prašymus dėl Kandidato (duomenų subjekto) teisių įgyvendinimo ir skundus dėl jo asmens duomenų tvarkymo. Atsižvelgiant į asmens duomenų apsaugos svarbą, žodinių skundų, prašymų, paklausimų Bendrovė nenagrinėja.

7.2. Kandidato prašymai dėl jo asmens duomenų tvarkymo teikiami Bendrovei registruotu laišku adresu: Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt.

7.3. Jeigu su Kandidato asmens duomenimis nori susipažinti kitas asmuo, jis privalo pateikti Bendrovei notaro patvirtintą Kandidato išduotą įgaliojimą, o Kandidato advokatui (advokato padėjėjui) duomenys teikiami tik pateikus atstovavimo sutartį (jos išrašą) bei nurodžius Kandidato asmens duomenų naudojimo tikslą (-us).

7.4. Bendrove gavęs Kandidato prašymą susipažinti su Bendrovėje tvarkomais jo asmens duomenis, atsakymą pateikia per 1 (vieną) mėnesį nuo paklausimo gavimo dienos. Atsakyme nurodoma, ar su Kandidatu susiję asmens duomenys yra tvarkomi ir jei taip, tai kokie bei kam buvo teikti per paskutinius 1 (vienus) kalendorinius metus. Atsakymas teikiamas neatlygintinai.

7.5. Jeigu Kandidatas susipažinęs su savo asmens duomenimis, kuriuos tvarko Bendrovė nustato, kad jo asmens duomenys yra surinkti ar gauti iš neteisėtų šaltinių, ar kad asmens duomenys tvarkomi ne tais tikslais, dėl kurių buvo duotas sutikimas, Kandidatas turi teisę kreiptis į Bendrovę adresu, nurodytu Taisyklių 7.2 punkte, prašydamas sustabdyti tokių Asmens duomenų tvarkymo veiksmus ir/ar ištrinti su juo susijusius asmens duomenis. Bendrovė tokiu atveju patikrina Kandidato prašymą ir nustačius, kad prašymas yra pagrįstas, nedelsiant, bet ne vėliau kaip per 5 (penkias) darbo dienas, patenkina Kandidato prašymą ir apie atliktus veiksmus informuoja Kandidatą raštu (elektroniniu paštu).

7.6. Tais atvejais, kai Kandidatas, susipažinęs su savo asmens duomenis, kuriuos tvarko Bendrovė, nustato, jog jie yra netikslūs ar neišsamūs, tinkamai save identifikavęs bei kreipdamasis raštu prašo ištaisyti ir/ar papildyti su juo susijusius asmens duomenis, Bendrovė nustatęs, kad prašymas yra pagrįstas, tvarkomus Kandidato asmens duomenis pataiso ar papildo nedelsiant, bet ne vėliau kaip per 5 (penkias) darbo dienas, ir apie atliktus veiksmus informuoja Kandidatą raštu (elektroniniu paštu).

7.7. Kai Kandidatas raštu reikalauja, kad Bendrovė jį „pamirštų“, o būtent – ištrintų visus su juo susijusius asmens duomenis, jeigu tų duomenų nereikia tikslui, dėl kurio jie buvo rinkti ir tvarkomi ar jeigu Kandidatas atšaukia duotą sutikimą, ar jeigu asmens duomenys tvarkomi pažeidžiant teisės aktų reikalavimus, Bendrovė tokį prašymą patenkina nepagrįstai nedelsdama, bet ne vėliau kaip per 5 (penkias) darbo dienas ir apie atliktus veiksmus informuoja Kandidatą raštu (elektroniniu paštu).

8. TAISYKLIŲ GALIOJIMAS IR PAKEITIMAI

8.1. Šios Taisyklės įsigalioja ir yra taikomos nuo Bendrovės direktoriaus įsakymų patvirtinimo datos ir galioja tol, kol nėra pakeistos ar atšauktos.

8.2. Su šiomis Taisyklėmis susijusiems teisiniams santykiams taikoma Lietuvos Respublikos teisė.

8.3. Kandidatai su šiomis Taisyklėmis susipažindinami UAB “Delano” buveinėje pasirašytinai ar elektroniniu paštu.

8.4. Bendrove turi teisę bet kuriuo metu vienašališkai pakeisti šias Taisykles, informuodama Kandidatą apie pakeitimus paskelbiant UAB “Delano” buveinėje, interneto svetainėje www.delano.lt arba informuojant Kandidatą paštu, el. paštu ar kitu būdu ne vėliau kaip prieš 30 (trisdešimt) kalendorinių dienų iki tokių pakeitimų įsigaliojimo.

1. BENDROSIOS NUOSTATOS

1.1. UAB “Delano”, juridinio asmens kodas 125542554, buveinės adresas – Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt Klientų asmens duomenų tvarkymo taisyklių (toliau – Taisyklės) tikslas – reglamentuoti UAB “Delano” klientų asmens duomenų tvarkymą ir nustatyti pagrindines UAB “Delano” klientų asmens duomenų tvarkymo, jų teisių įgyvendinimo ir asmens duomenų apsaugos technines bei organizacines priemones, siekiant užtikrinti 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB  (toliau – BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ), Lietuvos Respublikos elektroninių ryšių įstatymo (toliau-ERĮ)  ir kitų Europos sąjungos ir Lietuvos Respublikos teisės aktų, reglamentuojančių asmens duomenų tvarkymą ir apsaugą, laikymąsi ir įgyvendinimą.

1.2. UAB “Delano” (toliau – Bendrovė) Taisyklės yra Bendrovės  Privatumo ir duomenų tvarkymo politikos dalis, kuri yra patalpinta interneto svetainėje www.delano.lt skiltyje „Asmens duomenų apsauga“ ir kurioje Bendrovės klientas ar svetainės lankytojas gali pateikti užsakymą, palikti užklausą, duoti sutikimą tvarkyti asmens duomenis nurodytais tikslais arba tiesioginės rinkodaros tikslu.

1.3. Taisyklės parengtos vadovaujantis BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatytų asmens duomenų tvarkymo reikalavimų.

1.4. Taisyklės privalomos visiems Bendrovės darbuotojams, dirbantiems pagal darbo sutartis (toliau – Darbuotojai) ir kitiems asmens duomenų  tvarkytojams, kurie šiose Taisyklėse, BDAR ir ADTAĮ nustatytais atvejais tvarko ar tvarkys  klientų asmens duomenis Bendrovės vardu.  

1.5. Šiose Taisyklėse nurodytų asmens duomenų valdytoja ir tvarkytoja yra Bendrovė, kuri užtikrina, kad asmens duomenys Bendrovėje būtų tvarkomi laikantis BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatytų asmens duomenų tvarkymo reikalavimų.

1.6. Bendrovė, atlikdama savo veiklos funkcijas BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatyta tvarka, turi teisę gauti ir tvarkyti iš Bendrovės klientų, Lietuvos Respublikos valstybės, savivaldybių institucijų, įstaigų, organizacijų ir trečiųjų asmenų informaciją apie Bendrovės klientus, interneto svetaines lankytojus ir užtikrina, kad  gauta informacija ir asmens duomenys bus tvarkomi teisėtu, sąžiningu ir skaidriu būdu tik Taisyklėse nustatytais ir aiškiai apibrėžtais tikslais bei toliau nebus tvarkomi su tais tikslais nesuderinamu būdu.  

1.7. Taikydama organizacines ir technines priemones Bendrovė užtikrina tinkamą fizinių asmenų asmens duomenų tvarkymą ir saugumą, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo, sugadinimo ir tvarko duomenų tvarkymo veiklos įrašus.

1.8. Bendrovės klientas, interneto svetaines lankytojas (Duomenų subjektas) laikomas susipažinusiu su Bendrovės Taisyklėmis, kai raštu, įskaitant gautus ir elektroninėmis priemonėmis, išreiškia savo sutikimą Bendrovei tvarkyti jo asmens duomenis Taisyklėse nustatytais tikslais.

2. TAISYKLĖSĖ VARTUOJAMOS PAGRINDINĖS SĄVOKOS

2.1. Šiose Taisyklėse vartojamos sąvokos suprantamos taip, kaip jos yra apibrėžtos BDAR , ADTAĮ, ERĮ ir kituose Europos Sąjungos ir Lietuvos Respublikos teisės aktuose.

2.2. Bendrovė – bet kokios teisinės formos ekonomine veikla užsiimantis juridinis asmuo, įskaitant reguliaria ekonomine veikla užsiimančias ūkinės bendrijas arba susivienijimus.

2.3. Privatumo ir asmens duomenų tvarkymo politika – asmens duomenų apsaugos politikos nuostatos, kurių Bendrovė kaip duomenų valdytojas arba duomenų tvarkytojas laikosi.

2.4. Internetinė svetainė – UAB “Delano” svetainė esanti adresu www.delano.lt kurioje svetainės lankytojas ir klientas gali pateikti užsakymą, palikti užklausą, duoti sutikimą tvarkyti asmens duomenis elektroninės prekybos ir tiesioginės rinkodaros tikslu, sutarties vykdymo arba užklausų, pirkimų administravimo ir lojalumo programos administravimo tikslais.

2.5. Asmens duomenys – bet kokia informacija apie gyvą fizinį asmenį, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais Duomenų subjekto duomenimis kaip vardas, pavardė, gimimo data, gyvenamosios vietos adresas, asmens tapatybės kortelės ar paso numeris, banko kortelės numeris, telefono numeris, elektroninio pašto adresas, automobilio numeris arba kitais tik fiziniam asmeniui būdingais požymėmis.

2.6. Duomenų subjektas – gyvas fizinis asmuo, klientas, Bendrovės ofiso, teritorijos ar internetinės svetainės lankytojas, kurio asmens duomenis UAB “Delano” kaip Duomenų valdytojas tvarko sutarties vykdymo, elektroninės prekybos, užklausų, pirkimų administravimo ir lojalumo programos administravimo tikslais arba tiesioginės rinkodaros tikslais.

2.7. Duomenų valdytojas – UAB “Delano”, juridinio asmens kodas 125542554, buveinės adresas – Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt .

2.8. Bendrovės darbuotojas – UAB “Delano” darbuotojas, kuris pagal užimamas pareigas ir darbo pobūdį turi teisę vykdyti konkrečias su Bendrovės klientu asmens duomenų tvarkymu susijusias funkcijas.

2.9. Duomenų tvarkytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri UAB “Delano” (Duomenų valdytojo) vardu tvarko asmens duomenis ir padeda Duomenų valdytojui, pagal jo suteiktus įgaliojimus, įgyvendinti  nustatytus tikslus.

2.10. Duomenų tvarkymas – bet kuris su asmens duomenimis atliekamas veiksmas: rinkimas, užrašymas, kaupimas, saugojimas, keitimas (papildymas ar taisymas), teikimas, naudojimas, naikinimas ar kitoks veiksmas arba veiksmų rinkinys.

2.11. Tiesioginė rinkodara – Duomenų valdytojo veikla, skirta paštu, telefonu arba kitokiu tiesioginiu būdu siūlyti asmenims prekes ar paslaugas, siūlyti progines nuolaidas ir (arba) teirautis jų nuomonės dėl siūlomų prekių ar paslaugų.

2.12. Elektroninė prekyba – UAB “Delano” (Duomenų valdytojo) prekių (produktų) ar paslaugų pirkimas bei pardavimas internetu.

2.13. Susistemintas rinkinys – UAB “Delano” (Duomenų valdytojo) bet kuris susistemintas pagal specialius kriterijus prieinamų asmens duomenų rinkinys, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas funkciniu ar geografiniu pagrindu.

2.14. Kompiuterinė įranga - UAB “Delano” (Duomenų valdytojo) kompiuteriai, terminalai, serveriai, laikmenos, kita Duomenų valdytojui teisėtu pagrindu (nuosavybės teise, nuomos ar kitais pagrindais) priklausanti kompiuterinė įranga ir joje esanti programinė įranga, tame tarpe elektroninė pašto dėžutė, bendravimo interneto tinklu programos, debesų kompiuterijos paslaugos, interneto prieiga.

2.15. Duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto Duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad UAB “Delano” būtų tvarkomi su juo susiję asmens duomenys.

2.16. Duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuriai atskleidžiami asmens duomenys, nesvarbu, ar tai trečioji šalis ar ne.

2.17. Valdžios institucijos ir įstaigos – valstybės ir savivaldybių institucijos ir įstaigos, įmonės ir viešosios įstaigos, finansuojamos iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų ir Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka įgaliotos atlikti viešąjį administravimą arba teikiančios asmenims viešąsias ar administracines paslaugas ar vykdančios kitas viešąsias funkcijas.

2.18. Trečioji šalis – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri nėra duomenų subjektas, duomenų valdytojas, duomenų tvarkytojas, arba asmenys, kuriems tiesioginiu duomenų valdytojo ar duomenų tvarkytojo įgaliojimu leidžiama tvarkyti asmens duomenis.

2.19. Besikreipiantis asmuo – fizinis asmuo besidomintis UAB “Delano” parduodamomis prekėmis ir/ar teikiamomis paslaugomis, arba norintis susisiekti su Bendrovė  kitais klausimais.

2.20. Klientas – fizinis asmuo, įsigijęs prekių ar paslaugų iš UAB “Delano” arba sudaręs sutartį su Bendrovė dėl prekių ar paslaugų teikimo.

2.21. Priežiūros institucija – Valstybinė asmens duomenų apsaugos inspekcija (toliau – VDAI). Įstaigos kontaktai: L. Sapiegos g. 17, 10312 Vilnius (Įėjimas iš kairės pusės) Tel. (8 5) 271 28 04, (8 5) 2791445.                                Faks. (8 5) 261 94 94. El. paštas: ada@ada.lt ,  E. pristatymo dėžutė: 188607912.

3. SU ASMENS DUOMENŲ TVARKYMU SUSIJĘ PRINCIPAI

3.1. Visi Bendrovės klientų ir svetainės lankytojų asmens duomenys Bendrovėje yra tvarkomi griežtai vadovaujantis BDAR 5 straipsnio 1 dalyje nustatytų teisėtumo, sąžiningumo ir skaidrumo, tikslo apribojimo, duomenų kiekio mažinimo, tikslumo, saugojimo trukmės apribojimo, vientisumo ir konfidencialumo principų.

3.2. Bendrovės klientų ir svetainės lankytojų asmens duomenys Bendrovėje tvarkomi tik tuo tikslu, kuriuo yra renkami. Jeigu asmens duomenys nėra būtini tam, kad būtų pasiektas konkretus tikslas, jie negali būti tvarkomi. Konkrečiam tikslui pasiekti yra tvarkomas kiek įmanoma mažesnis kiekis asmens duomenų.

3.3. Bendrovės klientų ir svetainės lankytojų asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, Bendrovėje nedelsiant ištaisomi arba ištrinami.

3.4. Bendrovės klientų ir svetainės lankytojų asmens duomenys Bendrovėje gali būti tvarkomi tik tada, jeigu yra bent viena iš  BDAR 6 straipsnio 1 dalyje įtvirtintų teisėto tvarkymo sąlygų.

3.5. Bendrovėje draudžiama tvarkyti Bendrovės klientų ir svetainės lankytojų specialių kategorijų asmens duomenis, išskyrus tuos atvejus, jeigu yra bent viena iš BDAR 9 straipsnio 2 dalyje numatytų sąlygų.

3.6. Bendrovės klientų ir svetainės lankytojų asmens duomenis apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas Bendrovė gali tvarkyti tik tais atvejais, kai tokią teisę tiesiogiai nustato Europos sąjungos ir Lietuvos Respublikos teisės aktai.

3.7. Bendrovės klientų ir svetainės lankytojų asmens duomenys, jų tvarkymo tikslai, saugojimo terminai bei tvarkymo teisiniai pagrindai yra numatomi ir nustatomi Bendrovės duomenų tvarkymo veiklos įrašuose, kuriais privalo vadovautis Bendrovės darbuotojai ir kiti Duomenų tvarkytojai.

3.8. Bendrovės darbuotojai prieš kiekvieną asmens duomenų tvarkymo operaciją (veiksmą) privalo įvertinti bei užtikrinti, kad kiekviena duomenų tvarkymo operacija (veiksmas) atitiktų BDAR ir ADTAĮ reikalavimams ir užtikrinti, kad Duomenų subjekto asmens duomenys nebūtų tvarkomi, jei nėra bent vieno iš BDAR 6 straipsnio 1 dalyje įtvirtintų teisėto tvarkymo sąlygų.

3.9. Bendrovės vidaus dokumentuose Bendrovės klientų ir svetainės lankytojų asmens kodas nenaudojamas, jeigu tai nėra būtina Duomenų subjekto tapatybei nustatyti, teisėtam Bendrovės tikslui pasiekti arba jeigu to nenustato Europos sąjungos ir Lietuvos Respublikos teisės aktai.

3.10. Siekiant užtikrinti, kad Bendrovės klientų ir svetainės lankytojų asmens duomenys Bendrovėje būtų saugomi tik nustatytą terminą, visi tvarkomi asmens duomenys ir asmens duomenų saugojimo terminai yra fiksuojami Bendrovės duomenų tvarkymo veiklos įrašuose.

3.11. Pasibaigus asmens duomenų saugojimo terminui, jis gali būti pratęstas, jeigu Bendrovės direktorius savo įsakymu nustato, kad saugoti asmens duomenis toliau yra būtina, ypač atsižvelgiant į būtinybę panaudoti Bendrovės klientų ar svetainės lankytojų (Duomenų subjekto) asmens duomenis, kaip įrodymą ikiteisminiame ar kitokiame tyrime, įskaitant ir Valstybinės duomenų apsaugos inspekcijos vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje ar kitais teisės aktų nustatytais atvejais. Prieš priimant sprendimą pratęsti Bendrovės klientų ir svetainės lankytojų asmens duomenų saugojimo terminą, Bendrovės direktorius gali konsultuotis su Bendrovės duomenų apsaugos pareigūnu (jei toks yra paskirtas) arba su VDAI.

3.12. Bendrovės direktoriaus įsakymų paskirtas Bendrovės darbuotojas, kuris yra atsakingas už Taisyklių įgyvendinimo priežiūrą, kartu su kitais Bendrovės darbuotojais atlieka Taisyklėse įtvirtintas funkcijas. Bendrovės darbuotojo, atsakingo už Taisyklių įgyvendinimo priežiūrą, paskyrimas nepanaikina kiekvieno Bendrovės darbuotojo, kuris tvarko Bendrovės klientų ir svetainės lankytojų asmens duomenis Bendroves vardų arba turi bet kokio pobūdžio prieigą prie Bendrovėje tvarkomų asmens duomenų, atsakomybės už Taisyklių laikymąsi ir įgyvendinimą bei asmens duomenų tvarkymo teisėtumą. Už Taisyklių reikalavimų nesilaikymą jiems taikoma atsakomybė Lietuvos Respublikos teisės aktų nustatyta tvarka.

4. ASMENS DUOMENŲ TVARKYMO TIKSLAI IR SAUGOJIMO TERMINAI

4.1. Bendrovės klientų ir svetainės lankytojų asmens duomenys Bendrovėje tvarkomi ir saugomi:

4.1.1.Pirkimo-pardavimo ir kitokių sutarčių su Bendrovės klientais sudarymo, vykdymo, kontrolės ir administravimo tikslu.

4.1.2.Elektroninės prekybos tikslu.

4.1.3.Bendrovės administruojamų automobilių stovėjimo aikštelėse saugumo užtikrinimo, automobilių atvykimo ir išvykimo kontrolės ir administravimo tikslu, automobilių savininkų tapatybės nustatymo ir patikrinimo tikslu.

4.1.4. Bendrovės klientų mokumo įvertinimo ir įsiskolinimo valdymo tikslu.

4.1.5. Tiesioginės rinkodaros tikslu.

4.1.6. Bendrovės klientų užsakymų ir užklausų administravimo tikslu.

4.1.7. Lojalumo programos administravimo tikslu.

4.1.8. Bendrovės klientų ir svetainės lankytojų viešosios informacijos administravimo  tikslu.

4.1.9. Bendrovės  teisių ir teisėtų interesų apsaugos ir gynimo tikslais.

4.2. Bendrovėje  Taisyklių 4.1.p. nurodytais tikslais tvarkomi ir saugomi Bendrovės klientų ir svetainės lankytojų asmens duomenys:

4.2.1. Vardas, pavardė, gyvenamosios vietos adresas, prekės pristatymo adresas, telefono numeris, el. pašto adresas, mokėjimo duomenys (banko sąskaitos Nr., apmokėjimo būdas, banko pavadinimas).

4.2.2. Parduotų prekių  ir paslaugų istoriją (įsigytos prekės ar paslaugos ir jų pavadinimas, kaina, atsiskaitymų ir paslaugų apmokėjimo duomenis, banko sąskaitos Nr., apmokėjimo būdas), atsiskaitymų vėlavimai.

4.2.3. El. parduotuvės paskyros vartotojo vardas ir slaptažodis.

4.2.4. Kita sutarties vykdymui reikalinga informacija susijusi su perkama preke ir/ar paslauga.

4.3. Bendrovėje klientų ir svetainės lankytojų duomenys gaunami tiesiogiai iš Klientų ir svetainės lankytojų ar jų atstovų ir tvarkomi turint jų sutikimą ar vykdant sutartį su Klientu. Bendrovėje klientų ir svetainės lankytojų gauti ir tvarkomi asmens duomenys saugomi 10 (dešimt) kalendorinius metus nuo paskutinio Bendrovės kliento pirkimo ar svetainės lankytojo prisijungimo prie savo el. parduotuvės vartotojo paskyros datos.

4.4. Jeigu Bendrovės klientų ir svetainės lankytojų (Duomenų subjektų) gauti ir tvarkomi  asmens duomenys naudojami kaip įrodymai ikiteisminiame ar kitokiame tyrime, įskaitant ir VDAĮ vykdomame tyrime, civilinėje, administracinėje ar baudžiamojoje byloje arba kitais įstatymų nustatytais atvejais, Bendrovės klientų (Duomenų subjektų) asmens duomenys gali būti saugomi tiek, kiek reikia šiems duomenų tvarkymo tikslams, ir sunaikinami nedelsiant, kai tampa nebereikalingi.

5. ASMENS DUOMENŲ TVARKYMO TEISĖTUMAS

5.1. Bendrovėje iš klientų ir svetainės lankytojų sutikimo pagrindu gauti asmens duomenys tvarkomi ir saugomi kai:

5.1.1. Bendrovės klientas ar svetainės lankytojas davė sutikimą, kad jo asmens duomenys būtų tvarkomi ir saugomi elektroninės prekybos ir Bendrovės klientų duomenų bazių tvarkymo tikslais siekiant įvykdyti sutartį, kurios šalis yra Bendrovės klientas.

5.1.2. Tvarkyti Bendrovės klientų ar svetainės lankytojų duomenis būtina siekiant teisėtų Bendrovės (Duomenų valdytojo) interesų, išskyrus atvejus, kai Bendrovės klientų, svetainės lankytojų interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni.

5.1.3. Kai tai tiesiogiai yra numatyta Taisyklėse, BDAR, ADTAĮ arba kituose Europos sąjungos ar Lietuvos Respublikos teisės aktuose.

5.1.4. Kai, atsižvelgiant į Bendrovės duomenų tvarkymo tikslą ar duomenų kiekį, Bendrovė neturi kito teisinio pagrindo tvarkyti asmens duomenis ar įvykdyti kitus BDAR ir ADTAĮ nustatytus įpareigojimus visa apimtimi. 5.1.5. Jeigu Bendrovės klientų ir svetainės lankytojų asmens duomenys, atsižvelgiant į jų kiekį ir duomenų tvarkymo tikslus, gali būti tvarkomi bent vienu BDAR 6 straipsnio 1 dalyje įtvirtintų teisėto duomenų tvarkymo pagrindų, Bendrovės kliento, svetainės lankytojo sutikimas papildomai nėra prašomas pateikti.

5.1.6. Kai Bendrovės klientų, svetainės lankytojų duomenų tvarkymas labiausiai atitinka Bendrovės interesus ir padidintos rizikos atvejais sumažina asmens duomenų tvarkymo neteisėtumo riziką.

6. REIKALAVIMAI DUOMENŲ SUBJEKTO SUTIKIMUI

6.1. Bendrovės kliento ar svetainės lankytojų sutikimas dėl asmens duomenų tvarkymo patiekiamas Bendrovei  raštu, įskaitant ir gautus elektroninėmis priemonėmis. Pirmenybė kiekvienu atveju yra teikiama Bendrovės kliento, svetainės lankytojo sutikimams, gautiems raštu (įskaitant gautus elektroninėmis priemonėmis), o kiti sutikimo būdai gali būti naudojami tik kiekvienu konkrečiu atveju įsitikinus, kad yra įmanoma įrodyti Bendrovės kliento, svetainės lankytojo sutikimo davimo faktą.

6.2. Bendrovės kliento ar svetainės lankytojo tylėjimas, iš anksto pažymėti laukai arba neveikimas nelaikomi Bendrovės kliento, svetainės lankytojo  sutikimu.

6.3. Visais atvejais, kai asmens duomenys Bendrovėje yra tvarkomi Bendrovės kliento ar svetainės lankytojo sutikimo pagrindu, Bendrovė (Duomenų valdytojas) privalo kaupti ir turėti įrodymus, kad Bendrovės klientas, svetainės lankytojas davė Bendrovei nustatytos formos ir turinio sutikimą tvarkyti jo asmens duomenys konkrečiai apibrėžtų tikslų.

6.4. Visais atvejais, kai asmens duomenys Bendrovėje yra tvarkomi Bendrovės kliento ar svetainės lankytojo sutikimo pagrindu, tvarkomi tik tie Bendrovės kliento, svetainės lankytojo asmens duomenys ir tik tais tikslais su jais atliekamos asmens duomenų tvarkymo operacijos (veiksmai), kurios nurodytos sutikime.                         

6.5. Jeigu keičiasi tvarkomų asmens duomenų kiekis, asmens duomenų tvarkymo tikslas ar asmens duomenų tvarkymo operacijos (veiksmai), Bendrovei privaloma gauti papildomą Bendrovės kliento ar svetainės lankytojo sutikimą tokiam duomenų tvarkymui arba turi egzistuoti kitas  BDAR, ADTAĮ, Europos sąjungos ar Lietuvos Respublikos teisės aktuose įtvirtintas asmens duomenų tvarkymo teisinis pagrindas.

6.6. Visais atvejais Bendrovės kliento ir svetainės lankytojo sutikimas gali būti asmens duomenų tvarkymo pagrindas, jei jis buvo duotas Bendrovės kliento, svetainės lankytojo laisva valia.

6.7. Bendrovės kliento ir svetainės lankytojo sutikimas negali būti asmens duomenų tvarkymo pagrindas, jei Bendrovės klientas, svetainės lankytojas buvo verčiamas duoti Bendrovei sutikimą, netūrėjo realaus pasirinkimo dėl sutikimo davimo ar patyrė Bendrovės (Bendrovės darbuotojo) spaudimą ir negalėjo realiai kontroliuoti sutikimo davimo procesą, sulaukę ar galėjo sulaukti iš Bendrovės (Bendrovės darbuotojo) neigiamų tiesioginių ir netiesioginių pasekmių, jeigu sutikimas Bendrovei nebus duotas. (Pvz., nebus suteiktos įmonės paslaugos, nebus vykdomi prekių ar produktų pardavimai, pristatymai ir pan.)

6.8. Jeigu Bendrovės kliento ar svetainės lankytojo sutikimas yra neatsiejamai susietas su sąlygomis, dėl kurių Bendrovės klientas, svetainės lankytojas neturi ar neturėjo galimybės derėtis su Bendrovė (Bendrovės darbuotojo) dėl duomenų tvarkymo sąlygų ar jas pakeisti, preziumuojama, kad toks Bendrovės kliento, svetainės lankytojo sutikimas nėra duotas laisva valia. Tokiu atveju Bendrovė (Duomenų valdytojas ) imasi papildomų priemonių šiai prezumpcijai paneigti ir užtikrinti, kad Bendrovės kliento, svetainės lankytojo sutikimas tvarkyti jo asmens duomenys būtų duotas Bendrovės kliento, svetainės lankytojo laisva valia.

6.9. Jeigu Bendrovės kliento ar svetainės lankytojo sutikimas yra siejamas su keliais duomenų tvarkymo tikslais ar keliomis duomenų tvarkymo operacijomis (veiksmais), Bendrovės klientui ir svetainės lankytojui turi būti sudaryta galimybė sutikti ne su visais duomenų tvarkymo tikslais ar operacijomis (veiksmais), o tik su atskirais duomenų tvarkymo tikslais ar operacijomis (veiksmais), jeigu jie nėra tarpusavyje tiesiogiai susiję. Priešingu atveju nelaikoma, kad Bendrovės kliento ar svetainės lankytojo sutikimas tvarkyti jo asmens duomenys buvo duotas laisva valia.

6.10. Bendrovės kliento ir svetainės lankytojo sutikimas yra konkretus ir išsamus, jeigu jis atitinka šiuos reikalavimus:

6.10.1. Aiškiai ir išsamiai nurodytas konkretus ir teisėtas asmens duomenų tvarkymo tikslas.

6.10.2. Nurodyti konkretūs asmens duomenys, kurie Bendrovėje bus tvarkomi konkrečiais duomenų tvarkymo tikslais.

6.10.3. Aiškiai ir išsamiai nurodytos duomenų tvarkymo operacijos (veiksmai), kurios bus atliekamos sutikimo pagrindu.

6.10.4. Bendrovės klientui ir svetainės lankytojui sudaroma galimybė sutikti tik su atskirais duomenų tvarkymo tikslais, jeigu Bendrovės kliento ar svetainės lankytojo sutikimas duodamas keliems duomenų tvarkymo tikslams, taip pat tik su konkrečiomis duomenų tvarkymo operacijomis (veiksmais).

6.11. Bendrovės klientui ir svetainės lankytojui prieš jam pasirašant sutikimą, turi būti pateikta BDAR 13 straipsnyje nurodyta informacija bei informuojama apie Bendrovės kliento ir svetainės lankytojo teisę bet kuriuo metu atšaukti savo sutikimą. Informacija Bendrovės klientui ir svetainės lankytojui gali būti pateikta raštu, žodžiu, audiovizualinėmis žinutėmis, tačiau visais atvejais tokiu būdu, kad Bendrovė (Duomenų valdytojas) turėtų galimybę įrodyti, jog informacija Bendrovės klientui ir svetainės lankytojui buvo pateikta ir kad ji atitinka BDAR 13 straipsnyje įtvirtintą turinį.

6.12. Bendrovės kliento ir svetainės lankytojo sutikimas, kad su juo susiję duomenys būtų tvarkomi Bendrovėje, turi būti duodamas aktyviais Bendrovės kliento ir svetainės lankytojo veiksmais ir turi būti nedviprasmiškas Bendrovės kliento, svetainės lankytojo valios išreiškimas. Sutikimas turi būti parašytas paprasta, aiškia, Bendrovės klientui ir svetainės lankytojui suprantama kalba. Visais atvejais Bendrovės kliento ir svetainės lankytojo sutikimas turi būti gaunamas prieš atliekant duomenų tvarkymo operacijas (veiksmus), dėl kurių renkamas sutikimas.

6.13. Bendrovės klientas ir svetainės lankytojas turi teisę bet kuriuo metu atšaukti savo sutikimą. Bendrovės klientui ar svetainės lankytojui atšaukus sutikimą, Bendrovėj (Duomenų valdytojui) draudžiama tvarkyti asmens duomenis tais tikslais ir atlikti duomenų tvarkymo operacijas (veiksmus), kurios buvo atliekamos tokio Bendrovės kliento ar svetainės lankytojo sutikimo pagrindu, išskyrus atvejus, kai tokiam duomenų tvarkymui egzistuoja kitas BDAR, ADTAĮ Europos sąjungos ar Lietuvos Respublikos teisės aktuose įtvirtintas asmens duomenų tvarkymo teisinis pagrindas.

6.14. Bendrovės klientui ir svetainės lankytojui sutikimui atšaukti sudaromos analogiškos sąlygos kaip ir sutikimui duoti.

6.15. Draudžiama apsunkinti ar sudaryti Bendrovės klientui ar svetainės lankytojui papildomas sąlygas sutikimui atšaukti. Sutikimo atšaukimas negali sukelti Bendrovės klientui ir svetainės lankytojui neigiamų padarinių, įskaitant Bendroves paslaugų ar produktų kokybės sumažinimą.

6.16. Bendrovės kliento ar svetainės lankytojo sutikimo atšaukimas nedaro  Bendrovei (Duomenų valdytojui) poveikio Bendrovės kliento ar svetainės lankytojo sutikimu pagrįsto duomenų tvarkymui, atlikto iki Bendrovės kliento ar svetainės lankytojo sutikimo atšaukimo, teisėtumui. Bendrovės klientas ir svetainės lankytojas apie šiame punkte išdėstytas nuostatas privalo būti informuojamas prieš jam duodant sutikimą.

6.17. Bendrovės kliento ar svetainės lankytojo Bendrovėj duotas sutikimas galioja iki jo atšaukimo momento arba iki sutikime nurodyto jo galiojimo termino pabaigos. Bendrovė imasi priemonių, kad Bendrovės kliento ir svetainės lankytojo sutikimai, kiek tai yra įmanoma atsižvelgiant į asmens duomenų tvarkymo tikslus ir apimtį, galiotų aiškiai apibrėžtą terminą.

6.18. Bendrovės kliento ir svetainės lankytojo sutikimas ir jame nurodyti asmens duomenys yra saugomi trejus metus nuo sutikimo atšaukimo arba jo galiojimo termino pabaigos, arba nuo Bendrovės vadovo sprendimo nebetvarkyti asmens duomenų Bendrovės kliento ir svetainės lankytojo sutikime nustatytais tikslais priėmimo dienos, išskyrus atvejus, kai teisės aktai numato kitokį duomenų saugojimo terminą.

6.19. Jeigu Bendrovėje iki Taisyklių įsigaliojimo Bendrovės kliento ir svetainės lankytojo gauti sutikimai neatitinka šių Taisyklių reikalavimų, Bendrovė nedelsdama atnaujina sutikimo formas, kad sutikimai atitiktų šių Taisyklių reikalavimus, išskyrus atvejus, kai toks sutikimų atnaujinimas būtų neproporcingas, o iki šių Taisyklių patvirtinimo dienos gauti sutikimai aiškiai išreiškė Bendrovės klientų ir svetainės lankytojų valią dėl jų duomenų tvarkymo ir buvo gauti remiantis teisės aktų reikalavimais.

7. KLIENTŲ INFORMAVIMAS APIE JŲ ASMENS DUOMENŲ TVARKYMO VEIKLĄ

7.1. Bendrovė, kai asmens duomenys gaunami iš paties Bendrovės kliento ar svetainės lankytojo privalo jį informuoti apie asmens duomenų tvarkymo veiklą ir pateikti jam informacija apie asmens duomenų tvarkymą, nurodyta BDAR 13 straipsnyje.

7.2. Kai Bendrovės kliento ar svetainės lankytojo asmens duomenys gaunami ne iš paties Bendrovės kliento, svetainės lankytojo, Bendrovė privalo pateikti Bendrovės klientui ir svetainės lankytojui informaciją apie asmens duomenų tvarkymą, nurodytą BDAR 14 straipsnyje, ne vėliau kaip per vieną mėnesį nuo asmens duomenų gavimo.

7.3. Jeigu Bendrovė ketina toliau tvarkyti Bendrovės kliento ir svetainės lankytojo asmens duomenis kitu tikslu nei tas, kuriuo asmens duomenys buvo renkami, prieš toliau tvarkydamas duomenis Bendrovė pateikia Bendrovės klientui ir svetainės lankytojui informaciją apie tą kitą tikslą ir visą kitą atitinkamą papildomą informaciją. Šis reikalavimas  netaikomos, jeigu Bendrovės klientas ir svetainės lankytojas jau turi tokią informaciją.

7.4. Jeigu Bendrovės kliento ir svetainės lankytojo asmens duomenys Bendrovėje bus naudojami tik ryšiams su juo palaikyti, Bendrovė privalo Bendrovės klientui ir svetainės lankytojui pateikti informaciją ne vėliau kaip pirmą kartą susisiekiant su Bendrovės klientų ir svetainės lankytojų.

7.5. Jeigu Bendrovės direktorius priėmė sprendimą Bendrovės kliento ar svetainės lankytojo asmens duomenis atskleisti kitam Duomenų gavėjui, Bendrovė privalo Bendrovės klientui ir svetainės lankytojui pateikti informaciją ne vėliau kaip atskleidžiant duomenis pirmą kartą.

7.6. Bendrovė turi teisę ne teikti informaciją Bendrovės klientui ir svetainės lankytojui jeigu:

7.6.1. Bendrovės klientas ir svetainės lankytojas jau apie tai informuotas.

7.6.2. Tokios informacijos pateikimas yra neįmanomas arba tam reikėtų neproporcingų Bendrovės pastangų.

7.6.3. Jeigu dėl informavimo pareigos gali tapti neįmanoma Bendrovėj pasiekti asmens duomenų tvarkymo tikslus arba ji gali labai sukliudyti pasiekti to tvarkymo tikslus.

7.6.4. Duomenų gavimas ar atskleidimas aiškiai nustatytas BDAR, ADTAĮ, Europos sąjungos ar Lietuvos Respublikos teisės aktuose, kurie taikomi Bendrovei ir kai asmens duomenys privalo išlikti konfidencialūs laikantis Europos sąjungos ar Lietuvos Respublikos teisės aktų reglamentuojamos Bendrovėj profesinės paslapties prievolės.

7.7. Visais atvejais Bendrovės klientas ir svetainės lankytojas yra informuojamas, kad siekiant įvykdyti sutartį, kurios šalis yra Bendrovės klientas ar svetainės lankytojas yra naudojami kitu įmonių paslaugas kurie yra nurodyti  Taisyklių 2 priėdė.

7.8. Už Bendrovės klientų ir svetainės lankytojų informavimą atsakingas Bendrovės direktoriaus įsakymų  paskirtas  darbuotojas, kuris renka ir tvarko konkretaus Bendrovės kliento ir svetainės lankytojų duomenis.

8. ASMENS DUOMENŲ SAUGUMO NUOSTATOS IR REIKALAVIMAI

ASMENIMS, TVARKANTIEMS ASMENS DUOMENIS BENDROVES VARDU

8.1. Bendrovė įgyvendina šiose Taisyklėse, BDAR, ADTAĮ nurodytas organizacines ir technines asmens duomenų saugumo priemones, skirtas užtikrinti tinkamą Bendrovės klientų ir svetainės lankytojų asmens duomenų saugumą, taip pat apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo. Bendrovėje užtikrinama tinkama prieigos prie asmens duomenų apsauga, valdymas ir kontrolė.

8.2. Prieigos teisės prie Bendrovės klientų ir svetainės lankytojų asmens duomenų suteikiamos, naikinamos ir keičiamos griežtai vadovaujantis Bendrovės atskiru lokalinių teisės aktų nuostatomis, informacinės sistemos naudotojų administravimo taisyklėmis, patvirtintomis Bendrovės direktoriaus įsakymu. Bendrovė kaip Duomenų valdytojas užtikrina, kad prieigos teisės prie Bendrovės klientų ir svetainės lankytojų asmens duomenų būtų suteikiamos tik legaliems naudotojams ir tik tokia apimtimi, kiek jos būtinos Bendrovės darbuotojų pareiginėms funkcijoms atlikti arba siekiant tinkamai vykdyti asmens duomenų tvarkymo sutartį, sudarytą su asmens duomenų tvarkytoju. Prieigos teisės prie Bendrovės klientų ir svetainės lankytojų asmens duomenų naikinamos pasibaigus Bendrovės ir jo darbuotojo darbo santykiams arba pasikeitus darbuotojo darbo funkcijoms, kurioms  prieiga prie asmens duomenų nereikalinga, taip pat nutraukus asmens duomenų tvarkymo sutartį, sudarytą su asmens duomenų tvarkytoju, ar šiai sutarčiai nustojus galioti.

8.3. Bendrovės darbuotojų kompiuterinės darbo vietos, tarnybinės stotys ir kita techninė įranga, per kurią gali būti pasiekiami Bendrovėje tvarkomi Bendrovės klientų ir svetainės lankytojų asmens duomenys, turi būtį tinkamai apsaugoti, vadovaujantis gerosiomis informacijos saugos praktikomis ir teisės aktų reikalavimais.

8.4. Bendrovėje draudžiamas ir griežtai kontroliuojamas nelegalios (neleistinos) programinės įrangos naudojimas ir užtikrinama tinkama Bendrovės klientų ir svetainės lankytojų asmens duomenų apsauga nuo neteisėtos prieigos elektroninių ryšių priemonėmis, užtikrinamas tinkamas patalpų, kuriose saugomi asmens duomenys, fizinis saugumas.

8.5. Kiti asmens duomenų saugos reikalavimai nustatomi ir įgyvendinami vadovaujantis kitų informacinių sistemų elektroninės informacijos saugos reikalavimais, patvirtintais Lietuvos Respublikos Vyriausybės                2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“.

8.6. Bendrovės darbuotojams, kurie tvarko Bendrovės klientų ir svetainės lankytojų asmens duomenys, naudojasi Bendrovės suteiktu elektroniniu paštu, interneto prieiga ir kita informacinių ir komunikacinių technologijų įranga, draudžiama:

8.6.1. Skelbti Bendrovės konfidencialią informaciją, vidinius dokumentus, Bendrovės klientų ir svetainės lankytojų asmens duomenys internete, jei tai nėra susiję su darbinių funkcijų vykdymu.

8.6.2. Naudoti Bendrovės elektroninį paštą ir interneto prieigą asmeniniams komerciniams ar politiniams tikslams, Lietuvos Respublikos įstatymais draudžiamai veiklai, šmeižiančio, įžeidžiančio, grasinamojo pobūdžio ar visuomenės dorovės ir moralės principams prieštaraujančiai informacijai, kompiuterių virusams, piktybiškai informacijai siųsti ar kitiems tikslams, kurie gali pažeisti Bendrovės ar kitų asmenų teisėtus interesus.

8.6.3. Naudoti arba platinti tiesiogiai su darbu Bendrovėje nesusijusią grafinę, garso ir vaizdo medžiagą, žaidimus ir programinę įrangą, naudoti duomenis, kurie gali sutrikdyti kompiuterių ar komunikacinių technologijų įrenginių, programinės įrangos funkcionavimą ir saugumą.

8.6.4. Savarankiškai keisti, taisyti Bendroves informacinių technologijų ir komunikacinių technologijų techninę ir programinę įrangą, išskyrus atvejus, kai tai susiję su techninės ir programinės įrangos priežiūros, vykdymu.

8.6.5. Perduoti Bendrovėj priklausančią informacinių technologijų ir komunikacinių technologijų techninę ir programinę įrangą tretiesiems asmenims, jei toks perdavimas nėra susijęs su darbinių funkcijų vykdymu ar gali bet kokiu būdu pakenkti Bendrovėj ir Bendrovės klientų  interesams.

8.6.6. Diegti, saugoti, naudoti, kopijuoti ar platinti bet kokią neteisėtą informaciją, pažeidžiančią Bendrovės ar Bendrovės klientų ir svetainės lankytojų teisės.

8.6.7. Naudoti bet koki įrangą neteisėtai prieigai prie Bendrovėje naudojamų duomenų ir sistemų, išskyrus atvejus, kai tai susiję su tiesioginių funkcijų, vykdymu.

8.7. Bendrovė imasi tinkamų priemonių Bendrovės kliento, svetainės lankytojo teisėms, laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos apie asmens duomenų tvarkymą paskelbimą Bendrovės interneto svetainės www.delano.lt  skiltyje „Asmens duomenų apsauga“.

8.8. Bendrovės interneto svetainėje turi būti maksimaliai apribotos galimybės viešai veikiančioms interneto paieškos sistemoms bei paieškos variklių robotams kopijuoti Bendrovės svetainėje esančią informaciją ir maksimaliai apribota galimybė šioms sistemoms ir robotams surasti ankščiau skelbtos, bet iš Bendrovės  interneto svetainės jau pašalintos, informacijos kopijų.

8.9. Bendrovės kompiuterinė įranga turi būti maksimaliai apsaugota nuo kenks

1. BENDROSIOS NUOSTATOS

1.1. UAB “Delano”, juridinio asmens kodas 125542554, buveinės adresas – Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt, vadovaujantis Bendruoju Duomenų Apsaugos Reglamentu (ES) 2016/679 (toliau - BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu (toliau - ADTAĮ) ir kitais Europos sąjungos ir Lietuvos Respublikos teisės aktais, reguliuojančiais duomenų apsaugą ir tvarkymą, siekiant tinkamai įgyvendinti BDAR reikalavimus, šiuose taisyklėse (toliau–Taisyklės) nustato asmens duomenų saugumo pažeidimų nustatymo, sustabdymo (pašalinimo), tyrimo, pranešimo apie juos ir dokumentavimo tvarka.

1.2. UAB „Delano“, (toliau – Bendrovė), Taisyklių tikslas – reglamentuoti Bendrovėje atliekamų asmens duomenų saugumo pažeidimų nustatymo, sustabdymo (pašalinimo), tyrimo, pranešimo apie juos ir dokumentavimo tvarka ir aprašyti pagrindines Bendrovės veiksmus asmens duomenų saugumo pažeidimo atveju.

1.3. Taisyklėse  nustatoma ir aprašoma:

1. kas yra asmens duomenų saugumo pažeidimai;
2. kokiems asmenims privaloma pranešti apie galimą asmens duomenų saugumo pažeidimą;
3. kaip turi vykti asmens duomenų saugumo pažeidimo tyrimas;
4. pareiga pateikti pranešimą Valstybinei asmens duomenų apsaugos inspekcijai (priežiūros institucijai) ne vėliau kaip per 72 val. nuo sužinojimo apie pažeidimą;
5. kokiais atvejais pranešimas turi būti pateikiamas ir fiziniam asmeniui (duomenų subjektui), kurio asmens duomenys yra susiję su incidentu (pažeidimų);
6. asmens duomenų saugumo pažeidimų dokumentavimo pareiga.

1.4. Šiose Taisyklėse vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose.

2. TAISYKLĖSE VARTUOJAMOS PAGRINDINĖS SĄVOKOS

2.1. Bendrovė – bet kokios teisinės formos ekonomine veikla užsiimantis juridinis asmuo, įskaitant reguliaria ekonomine veikla užsiimančias ūkines bendrijas arba susivienijimus (Duomenų valdytojas ir/ar tvarkytojas).

2.2. Privatumo ir asmens duomenų politika – asmens duomenų apsaugos politikos nuostatos, kurių Bendrovė (kaip duomenų valdytoja arba duomenų tvarkytoja) laikosi.

2.3. Internetinė svetainė – Bendrovės internetinė svetainė esanti adresu www.delano.lt kurioje Duomenų subjektas (Pvz., svetainės lankytojas, klientas arba darbuotojas) gali pateikti užsakymą, palikti užklausą, duoti sutikimą tvarkyti asmens duomenis elektroninės prekybos, tiesioginės rinkodaros, personalo administravimo tikslu arba kitais asmens duomenų valdymo ir tvarkymo tikslais.

2.4. Duomenų subjektas – gyvas fizinis asmuo, (Pvz., Bendrovės darbuotojas, klientas ar internetinės svetainės lankytojas), kurio asmens duomenis Duomenų valdytojas tvarko nustatytais tikslais arba tiesioginės rinkodaros tikslu.

2.5. Asmens duomenys – bet kokia informacija apie gyvą fizinį asmenį, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenų subjekto duomenimis kaip vardas, pavardė, gimimo data, asmens kodas, gyvenamosios vietos adresas, asmens tapatybės kortelės ar paso numeris, banko kortelės numeris, diplomų ir sertifikatų duomenys, duomenys apie turimą turtą, duomenys apie sveikatą, biometriniai duomenys, veido atvaizdas, telefono numeris, elektroninio pašto adresas, interneto protokolo (IP) adresas, automobilio numeris arba kitais tik fiziniam asmeniui būdingais fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymėmis.

2.6. Duomenų valdytojas – UAB “Delano”, juridinio asmens kodas 125542554, buveinės adresas – Ozo g. 25, LT-07150 Vilnius, tel.  +370 659 31362. El. paštas: delano@delano.lt, interneto svetaine: www.delano.lt,

2.7. Duomenų tvarkytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri pagal sutartį Duomenų valdytojo vardu tvarko Duomenų subjektų asmens duomenis ir padeda Duomenų valdytojui, pagal jo suteiktus įgaliojimus, įgyvendinti Duomenų valdytojo nustatytus tikslus.

2.8. Duomenų tvarkymas – bet kuris su Duomenų subjektų asmens duomenimis atliekamas veiksmas: rinkimas, užrašymas, kaupimas, saugojimas, keitimas (papildymas ar taisymas), teikimas, naudojimas, naikinimas ar kitoks veiksmas arba veiksmų rinkinys.

2.9. Tiesioginė rinkodara – Bendrovės (Duomenų valdytojo) veikla, skirta paštu, telefonu arba kitokiu tiesioginiu būdu siūlyti Duomenų subjektams prekes, paslaugas, progines nuolaidas ir (arba) teirautis jų nuomonės dėl Bendroves siūlomų prekių ar paslaugų.

2.10. Elektroninė prekyba – Bendrovės (Duomenų valdytojo) prekių (produktų) ar paslaugų pirkimas bei pardavimas internetu.

2.11. Susistemintas rinkinys – bet kuris Bendrovės (Duomenų valdytojo) susistemintas pagal specialius kriterijus prieinamų Duomenų subjektų asmens duomenų rinkinys, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas funkciniu ar geografiniu pagrindu.

2.12. Duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto Duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais kuriais jis sutinka, kad Bendrovėje būtų tvarkomi su juo susiję asmens duomenys.

2.13. Duomenų gavėjas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuriai BDAR nustatyta tvarka atskleidžiami Bendrovėje tvarkomi Duomenų subjektų asmens duomenys, nesvarbu, ar tai trečioji šalis ar ne.

2.14. Trečioji šalis – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri nėra duomenų subjektas, duomenų valdytojas, duomenų tvarkytojas, arba asmenys, kuriems tiesioginiu duomenų valdytojo ar duomenų tvarkytojo įgaliojimu leidžiama tvarkyti asmens duomenis.

2.15. Valdžios institucijos ir įstaigos –  Lietuvos Respublikos valstybės, savivaldybių institucijos ir įstaigos, įmonės ir viešosios įstaigos, finansuojamos iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų ir Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka įgaliotos atlikti viešąjį administravimą arba teikiančios asmenims viešąsias ar administracines paslaugas ar vykdančios kitas viešąsias funkcijas.

2.16. Duomenų tvarkymo apribojimas – Bendrovės (Duomenų valdytojo) saugomų ir tvarkomų Duomenų subjektų asmens duomenų žymėjimas siekiant apriboti jų tvarkymą ateityje.

2.17. Asmens duomenų saugumo pažeidimas – Duomenų subjektų asmens duomenų saugumo pažeidimas, dėl kurio netyčia arba neteisėtai Duomenų subjektų asmens duomenys sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami arba buvo persiųsti kitiems asmenims arba Duomenų subjektų asmens duomenys buvo saugomi ir tvarkomi kitaip nei nustatyta BDAR ir Bendrovės Taisyklėse ir prie jų be leidimo buvo suteikta prieiga.

2.18. Sveikatos duomenys – Duomenų subjektų asmens duomenys, susiję su fizine ar psichine fizinio asmens (Duomenų subjekto) sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą, atskleidžiantys informaciją apie to fizinio asmens sveikatos būklę.

2.19. Skundas – Duomenų subjekto rašytinis kreipimasis į Bendrovės vadovą (administraciją), kuriame nurodoma, kad yra pažeistos jo teisės ar teisėti interesai, ir prašoma juos apginti.

2.20. Ginčas – Duomenų subjekto ir Bendrovės konfliktas, kuris grindžiamas pažeistais Duomenų subjekto ir Bendrovės teisiniais interesais.

2.21. Priežiūros institucija – Valstybinė asmens duomenų apsaugos inspekcija (toliau – VDAI). Įstaigos kontaktai: L. Sapiegos g. 17, 10312 Vilnius. Tel. (8 5) 271 28 04, (8 5) 2791445. Faks. (8 5) 261 94 94. El. paštas: ada@ada.lt ,  E. pristatymo dėžutė:188607912 .

3. ASMENS DUOMENŲ SAUGUMO PAŽEIDIMAS

3.1. Bendrovė ir Bendrovės darbuotojai, tvarkantis Duomenų subjektų asmens duomenis Bendrovės vardu patyrę duomenų saugumo pažeidimus, privalo ne tik imtis veiksmų pažeidimams pašalinti, bet ir informuoti apie tai priežiūros instituciją – Valstybinę duomenų apsaugos inspekciją (toliau - VDAI).

3.2. Galimi asmens duomenų saugumo pažeidimų tipai:

1. Konfidencialumo pažeidimas – kai yra be leidimo ar neteisėtai atskleidžiami Duomenų subjektų asmens duomenys arba gaunama prieiga prie jų;
2. Prieinamumo pažeidimas – kai netyčia arba neteisėtai prarandama prieiga prie Duomenų subjektų asmens duomenų  arba sunaikinami Duomenų subjektų asmens duomenys;
3. Vientisumo pažeidimas – kai Duomenų subjektų asmens duomenys pakeičiami be leidimo ar netyčia.

3.3. Priklausomai nuo aplinkybių, asmens duomenų saugumo pažeidimas tuo pat metu gali sietis su asmens duomenų konfidencialumu, prieinamumu ir vientisumu ar su kuriuo nors jų deriniu.

4. ASMENS DUOMENŲ SAUGUMO PAŽEIDIMŲ DOKUMENTAVIMAS IR TYRIMAS

4.1. Siekiant tinkamai įgyvendinti BDAR, ADTAĮ ir kituose Europos sąjungos ir Lietuvos Respublikos teisės aktuose nustatytus reikalavimus ir atsižvelgiant į Bendrovėje atliekamus asmens duomenų tvarkymo tikslus ir veiksmus, Bendrovės vadovas savo įsakymų paskiria Bendrovės darbuotoją, atsakingą už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą, tyrimą, pranešimų VDAI ir duomenų subjektui teikimą, prevencinių priemonių įdiegimo kontrolę Bendroves skyriuose, teritoriniuose padaliniuose (toliau – Atsakingas asmuo) ir nustato, kas ir kaip registruoja Duomenų subjektų asmens duomenų saugumo pažeidimus, kur ir kokia forma pažeidimų žurnalas ar registras pildomas, kiek laiko saugomas ir kokia informacija turėtų būti jame įrašyta.

4.2. Bendrovės vadovas ir Bendrovės skyrių ir/ar teritorinių padalinių vadovai privalo informuoti ir instruktuoti visus Bendrovės darbuotojus tvarkančius Duomenų subjektų asmens duomenis Bendrovės vardu, apie jų pareigą per 24 val. pranešti apie visus galimus pažeidimus tiesiogiai Bendroves vadovui ir supažindinti Bendrovės darbuotojus su BDAR ir Bendrovės Taisyklių reikalavimais ir jose nustatyta pranešimų apie pažeidimus pateikimo tvarka.

4.3. Bendrovės vadovas ir Bendrovės skyrių ir/ar teritorinių padalinių vadovai privalo apie asmens duomenų saugumo pažeidimą taip pat informuoti ir Bendrovės duomenų apsaugos pareigūną (jeigu toks yra paskirtas) bei laiku ir tinkamai suteikti jam visą informaciją, susijusią su galimu pažeidimu. Reikalui esant konsultuojasi su Bendrovės duomenų apsaugos pareigūnu (jeigu toks yra paskirtas) dėl tolimesnių veiksmų, susijusių su pažeidimu.

4.4. Bendrovės darbuotojas, tvarkantis Duomenų subjektų asmens duomenis Bendrovės vardu, pats nustatęs galimą pažeidimą arba sužinojęs apie galimą pažeidimą iš Duomenų tvarkytojo, žiniasklaidos ar kito šaltinio, privalo nedelsdamas (bet ne ilgiau kaip per 24 val.) apie tai pranešti Bendrovės vadovui žodžiu, raštu ar elektroninėmis priemonėmis.

4.5. Už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje paskirtas atsakingas darbuotojas, visus su Duomenų subjektų asmens duomenų saugumo pažeidimu susijusius faktus, jų poveikį, taisomuosius veiksmus, kurių buvo imtasi, registruoja asmens duomenų saugumo pažeidimų registracijos žurnale arba registre nepriklausomai nuo to, ar apie juos buvo pranešta Bendrovės vadovui, VDAI, Duomenų subjektui ar ne. (Žurnalo (registro) forma pridedamą)

4.6. Už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovės atsakingas darbuotojas, sužinojęs apie galimą pažeidimą, nedelsiant (bet ne ilgiau kaip per 5 darbo dienas) įrašo į žurnalą (registrą) asmens duomenų saugumo pažeidimo faktą ir kaip įmanoma greičiau atlieka pirminį tyrimą, išsiaiškina ir nustato, ar asmens duomenų saugumo pažeidimas iš tikrųjų įvyko, įvertina galimą riziką ir kokios galimos pasekmės Duomenų subjektui ar Duomenų subjektams ir apie asmens duomenų saugumo pažeidimo faktą praneša Bendrovės vadovui ir informuoja Duomenų apsaugos pareigūną (jei toks Bendrovėje  yra paskirtas). Reikalui esant konsultuojasi su jo dėl tolimesnių veiksmų, susijusių su asmens duomenų saugumo pažeidimu.

4.7. Asmens duomenų saugumo pažeidimų registracijos žurnale arba registre nurodoma:  

1. pažeidimo data ir vieta;
2. kas pranešė apie pažeidimą;
3. kas konkrečiai įvyko;
4. kieno ir kokie asmens duomenys pažeisti;
5. kokie yra su pažeidimu susiję faktai;
6. kokia pažeidimo priežastis, poveikis ir pasekmės;
7. kokie veiksmai yra atlikti pažeidimui pašalinti ar kurių buvo imtasi;
8. ar buvo pranešta apie pažeidimą VDAI;
9. ar buvo pranešta apie pažeidimą Duomenų subjektui;
10. kas priėmė sprendimą nepranešti apie pažeidimą VDAI ir Duomenų subjektui ir kodėl;

(Pvz., Pažeidimas negali sukelti pavojaus fizinių asmenų teisėms ir laisvėms, arba kokią sąlygą įvykdė, kuomet pranešti apie pažeidimą duomenų subjektui nereikia.)

1. jeigu pranešimą vėluojama pateikti VDAI ar pranešimas teikiamas etapais nurodyti pranešimo VDAI pateikimo vėlavimo priežastį;
2. kur ir kiek laiko saugoma asmens duomenų saugumo pažeidimo tyrimo medžiaga;
3. įrašoma kita reikšminga informacija susijusi su asmens duomenų saugumo pažeidimu.

4.8. Bendrovės asmens duomenų saugumo pažeidimų registracijos žurnalas arba registras tvarkomas raštu, įskaitant elektronine formą ir saugomas pagal Bendrovėje patvirtintą dokumentų saugojimo tvarką. Esant būtinybei, asmens duomenų saugumo pažeidimų žurnale arba registre esanti informacija papildoma ir/ar koreguojama.

4.9. Bendroves vadovas ar jo įsakymų paskirtas už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovės atsakingas darbuotojas privalo periodiškai peržiūrėti asmens duomenų saugumo pažeidimų registracijos žurnale ar registre esančius įrašus ir numatyti, kokios prevencijos priemonės yra ar turėtų būti įgyvendintos, kad ateityje analogiški pažeidimai nesikartotų Bendrovėje ir kontroliuoti prevencijos priemonių įdiegimą.

4.10. Remdamasi asmens duomenų saugumo pažeidimų registracijos žurnale arba registre pateikta informacija, VDAI pareigūnai ar Bendrovės Duomenų apsaugos pareigūnas (jei toks yra paskirtas) turi galėti patikrinti, kaip buvo įgyvendinama Bendrovės prievolė pranešti apie asmens duomenų saugumo pažeidimus VDAI ir Duomenų subjektams.

4.11. Bendrovės vadovas ir už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas, privalo imtis visų tinkamų techninių ir organizacinių priemonių, kad asmens duomenų saugumo pažeidimas būtų išsamiai ištirtas ir pašalintas (sustabdytas, ištaisytas) bei ateityje Bendrovėje nepasikartotų. Už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas, atliekant pirminį tyrimą ir siekiant nustatyti, ar asmens duomenų saugumo pažeidimas iš tikrųjų įvyko, dokumentuoja visus su asmens duomenų saugumo pažeidimu susijusius faktus, jo poveikį ir taisomuosius veiksmus, kurių buvo imtasi.

4.12. Bendrovės vadovas ir už asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas vertinant riziką, kuri gali atsirasti dėl asmens duomenų saugumo pažeidimo, turi atsižvelgti į konkrečias asmens duomenų saugumo pažeidimo aplinkybes, pavojaus Duomenų subjektų teisėms ir laisvėms atsiradimo tikimybę ir rimtumą. Rizika turėtų būti vertinama objektyviai atsižvelgiant į šiuos kriterijus:

1. į pažeidimo tipą;
2. asmens duomenų pobūdį ir apimtį;
3. kaip lengvai identifikuojamas fizinis asmuo (Duomenų subjektas);
4. pasekmių rimtumą fiziniams asmenims (Duomenų subjektams);
5. ar pažeidimas gali sukelti pavojų  fizinių asmenų(Duomenų subjektų) teisėms ir laisvėms;
6. ar fiziniai asmenys (Duomenų subjektai) gali patirti materialinę ar nematerialinę žalą;
7. ar fiziniai asmenys (Duomenų subjektai) gali prarasti savo asmens duomenų kontrolę;
8. ar fiziniai asmenys (Duomenų subjektai) gali patirti teisių apribojimą ar diskriminaciją;
9. ar gali būti pavogta ar suklastota fizinių asmenų (Duomenų subjektų) tapatybė;
10. ar gali būti pakenkta fizinių asmenų (Duomenų subjektų) reputacijai;
11. ar pažeidimas gali sukelti pavojų fizinio asmens savybes pakeitimui;
12. nukentėjusiųjų fizinių asmenų skaičių;
13. specialias duomenų valdytojo savybes.

Vertinant galimas rizikas, turėtų būti laikoma, kad Duomenų subjektų asmens duomenų saugumo pažeidimas, galintis kelti pavojų Duomenų subjektų teisėms ir laisvėms yra toks, dėl kurio, laiku nesiėmus tinkamų priemonių, Duomenų subjektai (fiziniai asmenys) gali patirti materialinę ar nematerialinę žalą, prarasti savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta ar suklastota jų asmens tapatybė, pakenkta jų reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas arba padaryta kita ekonominė ar socialinė žala atitinkamam Duomenų subjektui (fiziniam asmeniui).

4.13. Įvertinus riziką turi būti aiškiai nustatyta, kad yra:

1. žema rizikos tikimybė;
2. vidutinė rizikos tikimybė;
3. didelė (aukšta) rizikos tikimybė.

4.14. Už asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas įvertinęs pažeidimo aplinkybės ir rizikos Duomenų subjektų (fizinių asmenų) teisėms bei laisvėms, išvadą ir pasiūlymus dėl tolimesnių veiksmų, susijusių su asmens duomenų saugumo pažeidimu, kad pažeidimas būtų išsamiai ištirtas ir pašalintas bei ateityje Bendrovėje nepasikartotų nedelsdamas pateikia Bendrovės vadovui.

4.15. Bendrovės vadovas įvertinęs už asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingo darbuotojo pateiktą išvadą ir pasiūlymus, priima galutinį sprendimą dėl tolimesnių veiksmų, susijusių su asmens duomenų saugumo pažeidimu, kad pažeidimas būtų išsamiai ištirtas ir ko greičiau butu pašalintas bei ateityje Bendrovėje nepasikartotų. Reikalui esant Bendrovės vadovas konsultuojasi su Bendrovės duomenų apsaugos pareigūnu (jei toks yra paskirtas) arba su VDAI pareigūnų dėl tolimesnių veiksmų, susijusių su Duomenų subjektų asmens duomenų saugumo pažeidimu, kad pažeidimas būtų išsamiai ištirtas ir pašalintas.

4.16. Jeigu tiriant Duomenų subjektų asmens duomenų saugumo pažeidimą pradžioje nustatoma, kad nėra pavojaus Duomenų subjektų teisėms ir laisvėms, tačiau detalesnio pažeidimo tyrimo metu nustatoma, kad toks pavojus gali jiems kilti, už asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas privalo tokia riziką vertinti iš naujo ir Bendrovės vadovui pateikti galutinę išvadą ir pasiūlymą dėl tolimesnių veiksmų, susijusių su Duomenų subjektų asmens duomenų saugumo pažeidimu, kad toks pažeidimas būtų išsamiai ištirtas ir pašalintas bei ateityje Bendrovėje nepasikartotų. Reikalui esant už asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas konsultuojasi su Bendrovės duomenų apsaugos pareigūnu (jei toks yra paskirtas) arba su VDAI pareigūnų dėl tolimesnių veiksmų, susijusių su asmens duomenų saugumo pažeidimu, kad pažeidimas būtų išsamiai ištirtas ir pašalintas.

5. PRANEŠIMAI APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMUS PRIEŽIŪROS INSTITUCIJAI

5.1. Pranešimai apie Duomenų subjektų asmens duomenų saugumo pažeidimus Lietuvos Respublikos Valstybinei duomenų apsaugos inspekcijai (toliau – VDAI) ir Duomenų subjektams, teikiami vadovaujantis  BDAR 33 ir 34 straipsniais.

5.2.Nustačius,kad Duomenų subjektų asmens duomenų saugumo pažeidimas buvo ir, kad yra rizika Duomenų subjektų (fizinių asmenų) teisėms ir laisvėms, už asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas atlikus pirminį tyrimą, įvertinęs Duomenų subjektų asmens duomenų saugumo pažeidimo aplinkybės ir rizikos Duomenų subjektų (fizinių asmenų) teisėms bei laisvėms ir gavus Bendrovės vadovo (ar jo įgalioto asmens) galutinį sprendimą  nedelsdamas, ne vėliau kaip per 72 val., apie Duomenų subjektų asmens duomenų saugumo pažeidimą praneša VDAI pagal nustatyta pranešimo forma (Priedas Nr.1)

5.3. Jeigu, priklausomai nuo Duomenų subjektų asmens duomenų saugumo pažeidimo pobūdžio, būtina atlikti išsamesnį tyrimą ir nustatyti visus svarbius faktus, susijusius su Duomenų subjektų asmens duomenų saugumo pažeidimu, ir per 72 val. nuo sužinojimo apie Duomenų subjektų asmens duomenų saugumo pažeidimą dėl objektyvių aplinkybių to padaryti neįmanoma, pranešimas VDAI bei reikalingą informaciją gali būti teikiama etapais. Apie informacijos teikimą etapais, atlikus pirminį tyrimą Bendrovės vadovas ir VDAI informuojami teikiant pirminį pranešimą apie Duomenų subjektų asmens duomenų saugumo pažeidimą.

5.4. Jeigu po pranešimo VDAI pateikimo, atlikus tolesnį tyrimą, yra nustatoma, kad Duomenų subjektų asmens duomenų saugumo pažeidimas buvo sustabdytas arba faktiškai nebuvo jokio Duomenų subjektų asmens duomenų saugumo pažeidimo, už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas išvadą pateikia Bendrovės vadovui. Gavus Bendrovės vadovo galutinį sprendimą nedelsiant informuoja apie tai VDAI ir padaro įrašą Bendrovės asmens duomenų saugumo pažeidimų registracijos žurnale arba registre.

5.5. Jeigu Duomenų subjektų asmens duomenų saugumo pažeidimas įvyko Lietuvos Respublikoje ir toks pažeidimas paveikia Duomenų subjektų (fizinių asmenų) asmens duomenis daugiau negu vienoje ES valstybėje narėje tuomet Bendrovės vadovas ar jo įgaliotas atstovas apie Duomenų subjektų asmens duomenų saugumo pažeidimą privalo pranešti VDAI bei nurodyti, kad Duomenų subjektų asmens duomenų saugumo pažeidimas apima ir kitose ES valstybėse narėse esančias Bendrovės (Duomenų valdytojo) buveines, ir ES valstybėse narėse esančius Duomenų subjektų asmens duomenų saugumo pažeidimas galėjo paveikti. Už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas apie VDAI informavimą padaro įrašą Bendrovės asmens duomenų saugumo pažeidimų registracijos žurnale arba registre. Šiuo atveju VDAI informavimas apie Duomenų subjektų asmens duomenų saugumo pažeidimą neatleidžia Bendrovės vadovą nuo pareigos informuoti apie Duomenų subjektų asmens duomenų saugumo pažeidimą Duomenų subjektus.

6. PRANEŠIMAI APIE ASMENS DUOMENŲ SAUGUMO PAŽEIDIMUS DUOMENŲ SUBJEKTUI

6.1 Nustačius, kad Duomenų subjektų asmens duomenų saugumo pažeidimas buvo ir, kad yra didelė rizika Duomenų subjektų (fizinių asmenų) teisėms ir laisvėms, už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas gavus Bendrovės vadovo (ar jo įgalioto asmens) galutinį sprendimą nedelsdamas, ne vėliau kaip per 72 val.  apie Duomenų subjektų asmens duomenų saugumo pažeidimą praneša Duomenų subjektui (fiziniam asmeniui), kurio teisėms ir laisvėms dėl šio Duomenų subjektų asmens duomenų saugumo pažeidimo gali kilti didelis pavojus.

6.2. Pranešime Duomenų subjektui (fiziniam asmeniui) aiškia ir paprasta kalba turėtų būti pateikiama:

1. Duomenų subjekto asmens duomenų saugumo pažeidimo pobūdžio aprašymas;
2. tikėtinų Duomenų subjekto asmens duomenų saugumo pažeidimo pasekmių aprašymas;
3. priemonių, kurių Bendrovė ėmėsi arba pasiūlė imtis, kad būtų pašalintas Duomenų subjekto asmens duomenų saugumo pažeidimas, aprašymas;
4. kita reikšminga informacija, susijusi su Duomenų subjekto asmens duomenų saugumo pažeidimu, kuri turėtų būti pateikta Duomenų subjektui (fiziniam asmeniui);
5. už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingo darbuotojo ir duomenų apsaugos pareigūno (jei toks yra paskirtas) kontaktiniai duomenys.

6.3. Duomenų subjektai apie jų asmens duomenų saugumo pažeidimą informuojami  tiesiogiai,  siunčiant jiems pranešimą el. paštu, SMS, paštu ar pan. Toks pranešimas turėtų būti atskirtas nuo kitos jiems siunčiamos informacijos ar standartiniu pranešimu.

6.4. Kai tiesioginio pranešimo Duomenų subjektui pateikimas pareikalautų neproporcingai daug Bendrovės pastangų apie įvykusį asmens duomenų saugumo pažeidimą gali būti paskelbiama viešai arba taikoma panaši priemonė, kuria Duomenų subjektai būtų informuojami taip pat efektyviai. (Pvz., pranešimas Duomenų subjekto interneto svetainėje, SMS, el. paštu, žiniasklaidoje ar pan.)

6.5. Bendrovės vadovas arba už Duomenų subjektų asmens duomenų saugumo pažeidimų valdymą ir tyrimą Bendrovėje atsakingas darbuotojas turi pasirinkti tokius pranešimo Duomenų subjektui (fiziniam asmeniui) būdus, kurie maksimaliai didintų galimybę tinkamai pranešti apie Duomenų subjektų asmens duomenų saugumo pažeidimą arba gali pasirinkti kelis tokio pranešimo Duomenų subjektui apie Duomenų subjektų asmens duomenų saugumo pažeidimą būdus.  

6.6. Esant asmens duomenų saugumo pažeidimui, pranešimo Duomenų subjektui teikti nereikia, jeigu:

1. Bendrovė jau įgyvendino tinkamas technines ir organizacines apsaugos priemones ir tokios priemonės taikytos ir Duomenų subjektų asmens duomenims, kuriems asmens duomenų saugumo pažeidimas turėjo poveikio;
2. iš karto po pažeidimo Bendrovė ėmėsi tokiu priemonių, kuriomis užtikrinama, kad nebegalėtų kilti didelis pavojus Duomenų subjektų (fizinių asmenų) teisėms ir laisvėms;
3. arba toks pranešimas apie Duomenų subjektų asmens duomenų saugumo pažeidimą, pareikalautų neproporcingai daug Bendrovės pastangų susisiekti su Duomenų subjektais. (Pvz., kai jų kontaktiniai duomenys buvo prarasti dėl pažeidimo arba nežinomi) Tokiu atveju vietoj to apie Duomenų subjektų asmens duomenų saugumo pažeidimą paskelbiama vie&s