Privatumo politika

1. Bendrosios nuostatos

1.1. Ši Privatumo politika (toliau – Politika) paaiškina, kaip UAB CRT Partner, įmonės kodas 302760841, PVM mokėtojo kodas LT100006825214, registracijos adresas Žalgirio g. 92-106, LT-09303 Vilnius (toliau – Bendrovė), kaip Drivitty mobiliosios aplikacijos, interneto svetainės ir susijusių techninių sprendimų (toliau – Drivitty arba Sistema) valdytoja ir administratorė, renka, naudoja, saugo ir perduoda Drivitty naudotojų (toliau – Naudotojas arba Jūs) asmens duomenis.

1.2. Drivitty yra skirta juridinių asmenų (toliau – Verslo klientų), naudojančių transporto priemones savo komercinei veiklai, reikmėms. Naudotoju gali būti Verslo kliento atstovas ar darbuotojas (pvz., vairuotojas, vadybininkas), kuriam Verslo klientas suteikia prieigą prie Drivitty paskyros.

1.3. Bendrovė asmens duomenis tvarko vadovaudamasi 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 (toliau – BDAR), Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, Elektroninių ryšių įstatymu ir kitais taikomais teisės aktais.

1.4. Naudodamasis Drivitty Jūs patvirtinate, kad esate susipažinęs (-usi) su šia Politika ir suprantate, kaip Bendrovė tvarko Jūsų asmens duomenis.

2. Duomenų valdytojas ir kontaktai duomenų apsaugos klausimais

2.1. Duomenų valdytojas: UAB CRT Partner.

2.2. Duomenų apsaugos klausimai: dėl asmens duomenų tvarkymo, šių teisių įgyvendinimo ar bet kokių su privatumu susijusių klausimų prašome kreiptis el. paštu [email protected].

3. Kokius duomenis tvarkome

Bendrovė tvarko šias asmens duomenų kategorijas:

3.1. Tapatybės ir kontaktiniai duomenys: vardas, pavardė, telefono numeris, elektroninio pašto adresas.

3.2. Verslo kliento duomenys: juridinio asmens pavadinimas, įmonės kodas, PVM mokėtojo kodas, adresas, atstovo pareigos.

3.3. Transporto priemonės duomenys: valstybinis numeris, transporto priemonės kuro tipas.

3.4. Paskyros ir prisijungimo duomenys: Drivitty paskyros identifikatorius, slaptažodžio fragmentas (hash), prisijungimo žurnalai (datos, IP adresas, įrenginio identifikatorius).

3.5. Mokėjimo duomenys: mokėjimo kortelės unikali žymė (token), kurią suteikia Mokėjimo paslaugų teikėjas „Klix“ (AS „Citadele banka“ Lietuvos filialas, į. k. 304940934) Naudotojui susiejus mokėjimo priemonę. Bendrovė netvarko banko kortelės numerio, galiojimo datos ar CVV duomenų — šiuos duomenis tvarko tik “Klix”.

3.6. Balanso ir operacijų duomenys: Drivitty balanso papildymai, atliktos operacijos (data, suma, Pardavimo vieta (kaip ši sąvoka apibrėžta Naudojimosi taisyklėse), prekė), PVM sąskaitų faktūrų duomenys.

3.7. Geolokacijos duomenys: mobiliojo įrenginio buvimo vietos duomenys (GPS, Wi-Fi, mobiliojo tinklo), renkami tik su Naudotojo aktyviu sutikimu ir tik Drivitty naudojimo metu, siekiant parodyti artimiausias Pardavimo vietas ir užtikrinti mokėjimų funkcionalumą.

3.8. Įrenginio ir naudojimo duomenys: IP adresas, operacinė sistema, įrenginio modelis, Drivitty versija, naudojimo statistika, klaidų žurnalai, slapukų duomenys.

3.9. Komunikacijos duomenys: susirašinėjimas su Bendrovės klientų aptarnavimu, pretenzijos, atsiliepimai.

4. Tikslai ir teisiniai pagrindai

5. Duomenų gavėjai

Bendrovė asmens duomenis perduoda šioms kategorijoms gavėjų pagal duomenų tvarkymo sutartis:

5.1. Mokėjimo paslaugų teikėjas – „Klix“ (AS „Citadele banka“ Lietuvos filialas) — vykdo mokėjimų inicijavimą, SCA autentifikavimą, kortelių tokenization, Balanso papildymus.

5.2. IT ir hosting paslaugų teikėjai – serverių, debesijos, programinės įrangos priežiūros teikėjai, dirbantys Europos Sąjungoje arba pagal BDAR 46 str. apsaugomas duomenų perdavimo schemas.

5.3. Apskaitos ir audito paslaugų teikėjai – PVM sąskaitų faktūrų administravimui, finansiniam ir duomenų saugos auditui.

5.4. Teisinių paslaugų teikėjai – konsultacijoms, ginčų sprendimui.

5.5. Komunikacijos paslaugų teikėjai – el. pašto, SMS, push pranešimų siuntimui Naudotojui.

5.6. Verslo klientas – Verslo kliento atstovui suteikiama prieiga prie Verslo klientui priskirtų Naudotojų atliktų operacijų, vairuotojų lokacijos (jei aktyvuota) ir kitos su Verslo kliento veikla susijusios informacijos administravimo tikslais.

5.7. Valstybės institucijos (mokesčių inspekcija, teisėsauga, teismai) – Bendrovei taikomų teisės aktų pagrindais ir tik motyvuoto prašymo atveju.

Asmens duomenys nėra perduodami tretiesiems asmenims tiesioginės rinkodaros tikslais be Naudotojo sutikimo.

6. Tarptautiniai duomenų perdavimai

6.1. Asmens duomenys yra tvarkomi ir saugomi Europos Sąjungos / Europos ekonominės erdvės teritorijoje.

6.2. Tuo atveju, jei kuris nors duomenų tvarkytojas tvarkytų duomenis už ES/EEE ribų, Bendrovė užtikrina, kad perdavimas atitiktų BDAR V skyriaus reikalavimus — pvz., pagal Europos Komisijos sprendimą dėl tinkamumo, naudojant tipines sutarčių sąlygas (SCC) ar kitas tinkamas apsaugos priemones.

7. Saugojimo terminai

7.1. Paskyros ir Naudotojo duomenys – iki paskyros uždarymo ir dar 1 metus po jos uždarymo, siekiant užtikrinti pretenzijų terminus.

7.2. Mokėjimų, operacijų, PVM sąskaitų faktūrų duomenys – 10 metų nuo operacijos atlikimo: PVM sąskaitoms faktūroms pagal PVMĮ 78 str. 7 d., kitiems apskaitos dokumentams pagal Dokumentų ir archyvų įstatymą ir Lietuvos vyriausiojo archyvaro patvirtintą saugojimo terminų rodyklę.

7.3. Balanso duomenys – aktyvios paskyros laikotarpiu + 10 metų pagal apskaitos reikalavimus.

7.4. Geolokacijos duomenys – tik aktyvios sesijos metu; istoriniai duomenys, jei kaupiami, ne ilgiau kaip 12 mėnesių, nebent reikalingi sukčiavimo tyrimui ar pretenzijoms nagrinėti.

7.5. Prisijungimo žurnalai, įrenginio duomenys – iki 24 mėnesių nuo paskutinio prisijungimo.

7.6. Komunikacijos duomenys, pretenzijos – iki 3 metų nuo susirašinėjimo pabaigos.

7.7. Tiesioginės rinkodaros duomenys – iki sutikimo atšaukimo arba 2 metų nuo paskutinio aktyvumo.

7.8. Pasibaigus saugojimo terminui, asmens duomenys yra saugiai sunaikinami arba nuasmeninami.

8. Geolokacijos duomenys

8.1. Drivitty renka mobiliojo įrenginio geolokacijos duomenis tik su aiškiu Naudotojo sutikimu, kurį Naudotojas suteikia per Drivitty aplikaciją arba mobiliojo įrenginio nustatymuose.

8.2. Geolokacijos duomenys naudojami tik šiems tikslams:

(a) artimiausių Pardavimo vietų rodymas Naudotojui;

(b) mokėjimų patvirtinimas konkrečioje Pardavimo vietoje;

(c) sukčiavimo prevencija (operacijų lokacijos atitikimas).

8.3. Sutikimą galima bet kuriuo metu atšaukti, išjungus geolokacijos leidimą Drivitty aplikacijoje arba mobiliojo įrenginio nustatymuose. Sutikimo atšaukimas neturi įtakos iki to laiko atlikto duomenų tvarkymo teisėtumui.

8.4. Geolokacijos duomenys nėra perduodami tretiesiems asmenims tiesioginės rinkodaros tikslais.

9. Slapukai ir kitos technologijos

9.1. Drivitty interneto svetainėje (drivitty.com) ir aplikacijoje gali būti naudojami slapukai bei panašios technologijos (vietinė saugykla, įrenginio identifikatoriai), siekiant:

(a) atpažinti įrenginį ir užtikrinti Sistemos funkcionalumą (būtinieji slapukai);

(b) prisiminti Naudotojo nustatymus;

(c) analizuoti naudojimosi statistiką (analitiniai slapukai — tik su sutikimu);

(d) tobulinti Drivitty funkcionalumą.

9.2. Slapukus, kurie nėra būtini Sistemos veikimui, Bendrovė naudoja tik gavusi Naudotojo sutikimą per slapukų banerį arba aplikacijos nustatymus.

9.3. Detalesnė informacija apie konkrečius naudojamus slapukus pateikiama atskiroje Slapukų politikoje, prieinamoje Drivitty platformoje ir Bendrovės interneto svetainėje drivitty.com.

9.4. Drivitty mobiliojoje aplikacijoje naudojami įrenginio identifikatoriai ir analitikos technologijos aprašyti šios Politikos 3.8 punkte. Slapukų politika taikoma Bendrovės interneto svetainei drivitty.com.

10. Automatinis sprendimų priėmimas ir profiliavimas

10.1. Bendrovė bendrai netaiko automatinio sprendimų priėmimo, sukeliančio Naudotojui teisinius padarinius, kaip apibrėžta BDAR 22 str.

10.2. Riboto pobūdžio profiliavimas gali būti taikomas Lojalumo programos kontekste (pvz., personalizuoti pasiūlymai, pagrįsti pirkimų istorija) — tik tuo atveju, jeigu Lojalumo programa yra aktyvuota ir Naudotojas su jos taisyklėmis sutiko. Profiliavimas niekuomet nelemia esminių sutartinių sąlygų pakeitimų.

11. Duomenų subjekto teisės

11.1. Naudotojas turi šias BDAR numatytas teises:

(a) teisę susipažinti su tvarkomais asmens duomenimis ir gauti jų kopiją;

(b) teisę reikalauti ištaisyti netikslius ar nepilnus duomenis;

(c) teisę reikalauti ištrinti duomenis ("teisė būti pamirštam"), išskyrus teisės aktų numatytas išimtis (pvz., apskaitos duomenys);

(d) teisę apriboti duomenų tvarkymą tam tikromis aplinkybėmis;

(e) teisę į duomenų perkeliamumą — gauti duomenis struktūrizuotu, įprastai naudojamu formatu;

(f) teisę nesutikti su duomenų tvarkymu, kai jis grindžiamas teisėtu interesu;

(g) teisę nesutikti su tiesiogine rinkodara bet kuriuo metu;

(h) teisę atšaukti sutikimą bet kuriuo metu (sutikimo atšaukimas nedaro įtakos ankstesnio tvarkymo teisėtumui);

(i) teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai (L. Sapiegos g. 17, LT-10312 Vilnius, [email protected], www.vdai.lrv.lt).

11.2. Teisėms įgyvendinti Naudotojas kreipiasi el. paštu [email protected]. Bendrovė atsako į prašymą ne vėliau kaip per 1 mėnesį nuo gavimo, o sudėtingais atvejais terminas gali būti pratęstas iki 3 mėnesių, apie tai informuojant Naudotoją.

11.3. Siekdama užtikrinti, kad prašymą pateikia tikrasis duomenų subjektas, Bendrovė gali pareikalauti tapatybės patvirtinimo dokumentų.

12. Duomenų saugumas

12.1. Bendrovė taiko organizacines ir technines priemones asmens duomenims apsaugoti nuo neteisėto praradimo, naudojimo, atskleidimo, pakeitimo ar sunaikinimo, įskaitant:

(a) duomenų šifravimą perdavimo metu (TLS) ir poilsio metu, kai techniškai įmanoma;

(b) prieigos kontrolę pagal „būtina žinoti“ principą;

(c) reguliarius saugumo auditus ir pažeidžiamumo testus;

(d) darbuotojų konfidencialumo įsipareigojimus;

(e) saugumo įvykių stebėjimą ir reagavimo procedūras.

12.2. Mokėjimo kortelių duomenis tvarko sertifikuotas Mokėjimo paslaugų teikėjas „Klix“ (AS „Citadele banka“ Lietuvos filialas), atitinkantis PCI-DSS standartą. Bendrovė pati šių duomenų netvarko.

12.3. Asmens duomenų saugumo pažeidimo atveju Bendrovė per 72 val. praneša Valstybinei duomenų apsaugos inspekcijai, jei pažeidimas gali kelti riziką duomenų subjektų teisėms ir laisvėms, ir esant tikėtinai didelei rizikai — pranešama ir Naudotojui.

13. Politikos pakeitimai

13.1. Bendrovė turi teisę keisti šią Politiką. Apie esminius pakeitimus Naudotojas informuojamas ne vėliau kaip prieš 14 (keturiolika) kalendorinių dienų iki įsigaliojimo per Drivitty platformą ir (arba) el. paštu, registruotu paskyroje.

13.2. Neesminius pakeitimus (redakcinius, kontaktinės informacijos atnaujinimus, formuluočių patikslinimus) Bendrovė gali įgyvendinti iš karto po jų paskelbimo Drivitty platformoje.

13.3. Aktuali Politikos versija visada prieinama Drivitty platformoje ir Bendrovės interneto svetainėje drivitty.com. Ši Politika skelbiama lietuvių, anglų, rusų ir lenkų kalbomis. Esant bet kokiam neatitikimui tarp kalbinių versijų, vadovaujamasi versija lietuvių kalba.

14. Kontaktinė informacija

UAB „CRT Partner"

Įmonės kodas: 302760841

PVM mokėtojo kodas: LT100006825214

Adresas: Žalgirio g. 92-106, LT-09303 Vilnius

Bendri klausimai: [email protected]

Duomenų apsaugos klausimai: [email protected]

Interneto svetainė: drivitty.com