Privatumo politika

Duomenų valdytoja teikiant šią paslaugą yra [PILDYTI: pilnas juridinis pavadinimas], juridinio asmens kodas [PILDYTI: įmonės kodas], PVM mokėtojo kodas [PILDYTI: PVM kodas], buveinės adresas [PILDYTI: registracijos adresas] (toliau — Ebex).

Paslauga veikia adresu admin.ebex.lt, o kiekviena klientė įmonė jungiasi per jai skirtą poddomenį (pvz. vitkevicius.ebex.lt). Skirtingų įmonių duomenys atskirti: prie įmonės paskyros prisijungti galima tik per jos poddomenį, o visos užklausos filtruojamos pagal prisijungusio vartotojo įmonę.

a) Paskyros duomenys

Apie kiekvieną klientės įmonės darbuotoją, kuriam sukuriama prieiga, saugome:

• vardą ir pavardę;
• el. pašto adresą (jis naudojamas ir kaip prisijungimo vardas);
• slaptažodį — tik kaip argon2id maišos reikšmę. Atviro teksto slaptažodžių sistemoje nėra ir jų atkurti neįmanoma;
• rolę, priskirtą įmonę ir matomus prekybos kanalus;
• paskyros būseną, sukūrimo datą ir paskutinio prisijungimo laiką;
• slaptažodžio atstatymo užklausas — saugoma tik vienkartinio rakto maišos reikšmė ir galiojimo laikas (60 min.); pats raktas egzistuoja tik nuorodoje jums išsiųstame laiške.

b) Pardavimų duomenys

Tai yra pagrindinis paslaugos turinys: Ebex renka, saugo ir apdoroja jūsų įmonės pardavimų duomenis iš prekyviečių Allegro, eBay ir Ovoko ir jų pagrindu rodo jums statistiką.

Duomenys nerenkami tiesiogiai iš prekyviečių ir nerenkami automatiškai iš jūsų kompiuterio. Juos į sistemą įkelia Ebex administratorius — RRR.lt pardavimų eksporto .xlsx failu. Failas perskaitomas, jo eilutės sugula į duomenų bazę, o paties failo kopija lieka serveryje kartu su jo pavadinimu, sha256 santrauka, įkėlimo laiku ir įkėlusio darbuotojo įrašu.

Iš kiekvienos eksporto eilutės saugome:

• užsakymo ir sąskaitos faktūros numerius bei prekybos kanalą;
• užsakymo, sąskaitos ir apmokėjimo datas;
• sumas: prekių, siuntimo ir bendrą sumą be PVM, PVM sumą ir sumą su PVM, PVM tarifą;
• parduotų dalių kiekį, jų SKU ir pavadinimus (atskira eilutė kiekvienai užsakymo daliai);
• pristatymo šalies kodą;
• žymą, ar tai kreditinė sąskaita (grąžinimas Ovoko atveju, atšaukimas Allegro ir eBay atveju) ir kredituotos sąskaitos numerį;
• pirkėjo duomenis — apie juos atskirai žemiau, 3 skyriuje;
• iš šių eilučių perskaičiuotą mėnesinę suvestinę (parduota, grąžinta, atšaukta, siuntimas, komisiniai).

c) Techniniai duomenys

• IP adresas. Jis įrašomas prie prisijungimo, nesėkmingo prisijungimo bandymo ir slaptažodžio atstatymo užklausos. IP adresas pagal BDAR yra asmens duomuo.
• Veiksmų žurnalas (auditas). Įrašomas veiksmas, jį atlikęs vartotojas, susijęs objektas ir laikas — pavyzdžiui, prisijungimas, atsijungimas, vartotojo ar įmonės sukūrimas bei keitimas, slaptažodžio pakeitimas.
• Nesėkmingi prisijungimai. Kartu su IP adresu įrašomas ir bandytas el. pašto adresas. Kitaip prisijungimo bandymų ribojimas neveiktų: per 15 min. leidžiami 5 bandymai tam pačiam el. paštui ir 20 iš to paties IP adreso, o skaičiuojami jie būtent iš šių įrašų — kad apsauga išliktų ir perkrovus serverį.
• Sesijos slapukas. Apie jį — 7 skyriuje.

Serveryje taip pat kaupiami įprasti interneto serverio įrašai (užklausų žurnalai). [PILDYTI: patvirtinti, kiek laiko saugomi Caddy ir sistemos žurnalai]

Svarbu suprasti: importuojamose pardavimų eilutėse yra ne tik jūsų įmonės, bet ir jūsų pirkėjų — galutinių klientų — duomenys. Iš RRR.lt eksporto perimame ir saugome:

• pirkėjo vardą arba įmonės pavadinimą;
• pirkėjo adresą;
• pirkėjo įmonės registracijos kodą;
• pirkėjo PVM mokėtojo kodą;
• pristatymo šalies kodą.

Šie duomenys naudojami tik statistikai sudaryti — pavyzdžiui, didžiausių pirkėjų sąrašui ir pardavimų pasiskirstymui pagal šalis. Jie nėra naudojami rinkodarai, neparduodami ir neperduodami tretiesiems asmenims, išskyrus 6 skyriuje nurodytus paslaugų teikėjus.

Šių duomenų atžvilgiu duomenų valdytoja esate jūs — pirkėjus aptarnauja ir su jais sutartinius santykius turi jūsų įmonė. Ebex šiuos duomenis tvarko kaip duomenų tvarkytoja, jūsų pavedimu ir tik tiek, kiek reikia statistikos paslaugai suteikti. Tai reiškia, kad pareiga informuoti pirkėjus ir turėti pagrindą jų duomenims tvarkyti tenka jūsų įmonei, o santykiai tarp mūsų turi būti įforminti duomenų tvarkymo susitarimu. [PILDYTI: ar pasirašytas duomenų tvarkymo susitarimas (BDAR 28 str.); nurodyti jo datą]

Duomenis tvarkome šiais tikslais:

• Statistikos paslaugai teikti — pardavimų, grąžinimų ir prekių pjūviams skaičiuoti bei rodyti jūsų paskyroje. Teisinis pagrindas: [PILDYTI: sutarties vykdymas ar kitas pagrindas — patvirtinti su teisininku]
• Prieigai valdyti ir sistemos saugumui užtikrinti — paskyroms, prisijungimams, bandymų ribojimui ir audito įrašams. Teisinis pagrindas: [PILDYTI: teisėtas interesas — suformuluoti ir pagrįsti]
• Teisės aktų reikalavimams vykdyti (apskaitos ir mokesčių dokumentų duomenys). [PILDYTI: nurodyti konkrečius teisės aktus, jei taikoma]

Automatizuotų sprendimų, kurie sukeltų jums teisines pasekmes, ir profiliavimo nevykdome.

Terminai dar turi būti nustatyti ir suderinti su apskaitos bei sutartinėmis prievolėmis:

• paskyros duomenys — [PILDYTI: terminas, pvz. kol galioja sutartis ir X mėn. po jos]
• pardavimų eilutės ir įkeltų failų kopijos — [PILDYTI: saugojimo terminas]
• audito įrašai ir IP adresai — [PILDYTI: saugojimo terminas]
• serverio žurnalai — [PILDYTI: saugojimo terminas]

Techniškai jau dabar galioja tai, kas įrašyta sistemoje: slaptažodžio atstatymo nuoroda nustoja galioti po 60 min., o prisijungimo sesija — po 12 val. Ištrynus įmonę iš sistemos kartu pašalinami ir jos vartotojai, pardavimų eilutės, dalys bei suvestinės.

Duomenų neparduodame ir neteikiame rinkodaros tikslais. Prieigą prie jų turi tik Ebex darbuotojai, kuriems ji reikalinga darbui, ir šie paslaugų teikėjai (duomenų tvarkytojai):

• Serverio (VPS) nuomos teikėja — Interneto vizija. Sistema ir duomenų bazė veikia jos valdomame serveryje. [PILDYTI: patvirtinti juridinį pavadinimą ir kad duomenys laikomi Lietuvoje / ES]
• El. pašto (SMTP) teikėjas. Naudojamas tik slaptažodžio atstatymo laiškams. Laiške perduodamas gavėjo el. pašto adresas ir vienkartinė nuoroda. [PILDYTI: patvirtinti, kas techniškai aptarnauja mail.ebex.lt dėžutę]

Duomenys nėra perduodami už Europos ekonominės erdvės ribų. [PILDYTI: patvirtinti, kai bus patikslinti pirmiau nurodyti teikėjai]

Duomenys taip pat gali būti pateikti kompetentingoms institucijoms, kai to reikalauja teisės aktai.

Naudojame vieną vienintelį slapuką, ir jis būtinas paslaugai veikti:

• ebex_session — prisijungimo sesija. Jame laikomas pasirašytas prieigos raktas; galioja 12 val., pažymėtas httpOnly (JavaScript jo neperskaito), SameSite=Lax, o produkcijoje — ir Secure (perduodamas tik per HTTPS). Slapukas nustatomas be domeno atributo, todėl negalioja kitos įmonės poddomenyje. Atsijungus jis ištrinamas.

Analitikos, reklamos ar sekimo slapukų nenaudojame. Sistemoje nėra nei Google Analytics, nei Meta ar kitų trečiųjų šalių sekimo scenarijų, o šriftai atsisiunčiami iš mūsų pačių serverio — dėl to jūsų naršyklė nesiunčia jokių užklausų į trečiųjų šalių serverius. Jūsų pasirinkta tema (šviesi ar tamsi) laikoma naršyklės atmintyje (localStorage) ir į serverį nesiunčiama.

Pagal BDAR turite teisę:

• susipažinti su savo tvarkomais duomenimis;
• reikalauti ištaisyti netikslius duomenis;
• reikalauti ištrinti duomenis („teisė būti pamirštam“);
• reikalauti apriboti duomenų tvarkymą;
• perkelti duomenis — gauti juos susistemintu, įprastai naudojamu formatu;
• nesutikti su duomenų tvarkymu, kai jis grindžiamas teisėtu interesu;
• atšaukti sutikimą, jei tvarkymas buvo grindžiamas sutikimu (tai neturi įtakos iki atšaukimo atliktam tvarkymui).

Kreipkitės 9 skyriuje nurodytu adresu — atsakysime per 1 mėnesį. Jei manote, kad jūsų duomenys tvarkomi neteisėtai, turite teisę pateikti skundą Valstybinei duomenų apsaugos inspekcijai (VDAI, L. Sapiegos g. 17, Vilnius, ada.lt).

Atkreipiame dėmesį: dėl pirkėjų (galutinių klientų) duomenų prašymus pirmiausia nagrinėja jūsų įmonė kaip jų valdytoja — žr. 3 skyrių. Ebex tokiu atveju veikia pagal jūsų nurodymus.

Klausimams dėl šios politikos ir duomenų apsaugos: [PILDYTI: duomenų apsaugos klausimų el. paštas]

Duomenų apsaugos pareigūnas: [PILDYTI: vardas ir kontaktai arba pažymėti, kad DAP neskirtas]

Įprastais paslaugos klausimais rašykite pagalba@ebex.lt.

Pakeitę šią politiką, atnaujinsime datą puslapio viršuje, o apie esminius pakeitimus pranešime paskyroje nurodytu el. paštu.