Privatumo politika

Duomenų valdytojas ir kontaktai

Duomenų valdytojas — Algirdas Jurčius, fizinis asmuo, veikiantis kaip Samatukas paslaugos teikėjas. Adresas: Dariaus ir Girėno g. 50, Plungė, 90118 Plungės r. sav., Lietuva. Juridinio asmens kodo nėra, nes valdytojas nėra juridinis asmuo.

Numatytas kreipimosi adresas: pagalba@samatukas.lt (adresas dar neaktyvuotas). Kol šis adresas neaktyvuotas, kito elektroninio pagalbos kanalo neskelbiame. Duomenų valdytojo pašto adresas pateiktas aukščiau.

Adresas nurodytas kaip tekstas sąmoningai: kol laiškų priėmimas nesukonfigūruotas, nuoroda sudarytų įspūdį, kad laiškas pasieks gavėją.

Skaičiuoklės be paskyros

Stogo sąmatos, skardos lankstinių ir sutarties generatoriaus įrankiai veikia be paskyros ir be tinklo. Skaičiavimai vyksta jūsų naršyklėje; į serverį šiame kelyje nieko nesiunčiame.

Kad darbas išliktų perkrovus puslapį, naudojama naršyklės saugykla (localStorage) toje pačioje naršyklėje ir tame pačiame įrenginyje:

app-theme

pasirinkta šviesi arba tamsi tema.

contract-draft-v1

sutarties juodraštis: šalių ir objekto laukai, kuriuos suvedėte.

contract-import-v1

paskutinio importo duomenys sutarties generatoriuje.

pe-snap-format

lankstinių redaktoriaus matmenų formato nustatymas.

Šiuos įrašus galite bet kada ištrinti naršyklės nustatymuose; mes prie jų neprieiname. Analitikos, sekimo ir rinkodaros scenarijų šiuose puslapiuose nėra.

Asmens kodas ir gimimo data paskyroje neišsaugomi. Sutarties generatoriuje šiuos laukus galima suvesti dokumentui, bet į juodraštį ir į paskyrą jie nepatenka — lieka tik atmintyje iki puslapio uždarymo.

Ką saugome turint paskyrą

Paskyra yra neprivaloma. Ją sukūrus duomenys laikomi duomenų bazėje, o prieigą prie jų riboja eilučių lygio taisyklės.

Prisijungimas

el. pašto adresas, slaptažodžio kriptografinė maiša (paties slaptažodžio nesaugome) ir sesijų duomenys. Minimalus slaptažodžio ilgis — 8 simboliai. Registruojantis siunčiamas patvirtinimo laiškas; slaptažodis keičiamas ir atkuriamas per atkūrimo laišką.

Profilis

rodomas vardas, vardas, pavardė, telefonas, pareigos ir kalbos nustatymas. Šiuos laukus pildote patys ir galite pakeisti paskyroje.

Įmonė

įmonės pavadinimas (naujai paskyrai automatiškai sukuriama „Mano įmonė“) ir įmonės rekvizitai iki 8 KiB. Rekvizituose galite laikyti pavadinimą, įmonės kodą, PVM kodą, adresą, el. paštą, telefoną ir banko sąskaitos (IBAN) duomenis.

Objektai

objekto pavadinimas, adresas, užsakovas ir pastabos.

Dokumentai

dokumento pavadinimas, turinys iki 512 KiB ir santrauka. Kiekvienas išsaugojimas sukuria dokumento versijos kopiją — versijos yra papildomos, o ne perrašomos.

Kvietimai

pakviesto asmens el. paštas, numatoma rolė ir laiko žymos. Kvietimo raktas saugomas tik kaip SHA-256 maiša — pradinio rakto duomenų bazėje nėra.

Sutarties turinys

išsaugant sutartį objekte kartu išsaugomas ir jos turinys: šalių pavadinimai, įmonės ir PVM kodai, adresai, IBAN, telefonai, el. paštai ir sumos. Asmens kodas ir gimimo data į šį įrašą nepatenka.

Asmeniniai lankstinių brėžiniai

jūsų duotas brėžinio pavadinimas ir pats brėžinys: segmentų ilgiai, lenkimo kampai, išklotinės plotis, piešimo nustatymai bei ryšiai tarp segmentų ir, jei brėžinys pradėtas nuo viešo šablono, nuoroda į tą šabloną. Kartu laikoma techninė informacija, be kurios įrašo nepavyktų atkurti: brėžinio schemos versija, redakcijos numeris, sukūrimo ir keitimo laikas. Laisvai rašomas tekstas čia yra brėžinio pavadinimas (-ai) ir neprivaloma brėžinio pastaba — į juos patenka tiek, kiek juose įrašote. Atvaizduoto piešinio (SVG), ekrano ar naršyklės būsenos įraše nėra.

Asmeniniai lankstinių brėžiniai priklauso jums, o ne įmonei. Juos mato tik ta paskyra, kuri juos išsaugojo: prieigą riboja eilučių lygio taisyklės, kuriose įmonės ar narystės sąlygos nėra nė vienos. Tos pačios įmonės bendradarbiai jų nemato, o bendros įmonės ar komandos lankstinių bibliotekos šioje versijoje nėra. Brėžinys įrašomas serveryje tada, kai prisijungę paspaudžiate „Išsaugoti" ir nurodote pavadinimą — tai nėra vien naršyklėje laikomas juodraštis. Išėjus iš įmonės ar perėjus į kitą, brėžiniai lieka jūsų.

Naršyklės saugykla ir slapukai

Prisijungus Auth sesija laikoma naršyklės saugykloje raktu, kurio forma yra sb-<projekto-ref>-auth-token. Prieigos raktas galioja vieną valandą ir atnaujinamas rotuojamu atnaujinimo raktu.

Sesijos saugykloje (sessionStorage) laikoma:

samatukas-ws-presentation

darbo srities pristatymo duomenys, tarp jų el. pašto ir įmonės laukai, naudojami dokumento paruošimui. Galioja ribotą laiką (12 val.) ir dingsta uždarius kortelę.

samatukas.currentOrganization.<naudotojo-id>

paskutinė pasirinkta įmonė, kad perkrovus puslapį liktumėte toje pačioje.

Samatukas savų slapukų nenustato. Supabase API atsakymuose gali būti nustatomas tiekėjo techninis slapukas __cf_bm (Cloudflare) — ne Samatukas slapukas, rinkodarai nenaudojamas.

Tiekėjai ir duomenų vieta

Produktas remiasi šių tiekėjų infrastruktūra:

Supabase

duomenų bazė ir tapatybės (Auth) paslauga. Projektas sukurtas Airijos regione.

Cloudflare

svetainės talpinimas (Pages), DNS ir pasaulinis turinio tinklas. Turinys pristatomas iš artimiausio tinklo mazgo.

Resend

el. laiškų siuntimo tiekėjas, kurio sutartys peržiūrėtos rengiantis laiškų siuntimui. Šiuo metu jis nenaudojamas ir nesukonfigūruotas: paskyros patvirtinimo ir slaptažodžio atkūrimo laiškus siunčia Supabase tapatybės paslauga savo vidiniu siuntimu. Sprendimas dėl atskiro laiškų siuntimo tiekėjo dar nepriimtas; jį priėmus šis įrašas bus patikslintas.

Su visais trimis tiekėjais galioja jų duomenų tvarkymo sutartys, kurios yra jų paslaugų sąlygų dalis ir įsigalioja priimant tas sąlygas — atskiro pasirašymo nereikia. Perdavimams už Europos ekonominės erdvės ribų visose trijose sutartyse numatytos Europos Komisijos patvirtintos standartinės sutarčių sąlygos (modulis „valdytojas – tvarkytojas“). Cloudflare ir Resend papildomai dalyvauja ES–JAV duomenų privatumo sistemoje (Data Privacy Framework).

Kur duomenys yra: Supabase projektas (duomenų bazė ir tapatybės paslauga) veikia Airijos regione, tačiau atsarginės kopijos, žurnalai, techninis aptarnavimas ir tiekėjo subtvarkytojai gali apimti tvarkymą kitose vietose. Cloudflare turinį pristato per pasaulinį tinklą, o metaduomenis tvarko duomenų centruose JAV ir Europoje. Jei laiškų siuntimas būtų perjungtas į Resend, jis laiškus siunčia iš Airijos regiono, bet paskyros duomenys, laiškų metaduomenys ir žurnalai saugomi Jungtinėse Amerikos Valstijose. Todėl neteigiame, kad visi duomenys tvarkomi vien Europos Sąjungoje.

Saugojimo trukmė ir paskyros uždarymas

Uždarius paskyrą įvyksta šie veiksmai:

• asmeninė įmonė uždaroma;
• aktyvūs objektai ir dokumentai pažymimi kaip pašalinti;
• asmeniniai lankstinių brėžiniai ištrinami negrįžtamai;
• narystės įmonėse panaikinamos;
• kvietimuose nurodytas el. paštas anonimizuojamas;
• profilio duomenys anonimizuojami;
• Auth tapatybės el. paštas anonimizuojamas, prisijungti nebeįmanoma.

Dokumentų versijos šiame žingsnyje lieka. Jos yra vienintelis šaltinis atsakyti, kas ir kada dokumentą keitė, todėl pašalinamos tik antrame, atskirame žingsnyje. Auth įrašas taip pat lieka kaip techninis inkaras, prie kurio pririštos kitos lentelės.

Asmeniniai lankstinių brėžiniai, priešingai, pašalinami negrįžtamai jau per patį uždarymą. Jie nėra nei pažymimi pašalintais, nei keliauja į šiukšliadėžę, nei laukia antro žingsnio: uždarymo metu jų įrašai ištrinami, o rezultatas patikrinamas — likus bent vienam įrašui, visas uždarymas atšaukiamas ir niekas nepakeičiama. Atkūrimo pažado jiems nėra.

Jei paskyra tvarkė bendrą lankstinių šablonų katalogą, patys vieši šablonai lieka: tai produkto turinys, matomas visiems naudotojams, o ne asmens duomenys. Pašalinama tik nuoroda, rodžiusi, kuri paskyra šabloną paskutinė keitė, ir pati katalogo tvarkymo teisė. Tai galioja ir tada, kai viešas šablonas buvo sukurtas iš asmeninio brėžinio: asmeninis įrašas ištrinamas, o į paskelbtą šabloną anksčiau nukopijuota brėžinio geometrija lieka viešame kataloge.

Antras žingsnis — galutinis išvalymas. Numatytas terminas yra 90 dienų nuo uždarymo, ir tai yra operacinė numatytoji reikšmė, o ne pažadas. Automatinio išvalymo nėra: nei planuoklio, nei foninės užduoties, kuri jį paleistų. Galutinį pašalinimą atlieka operatorius rankiniu būdu, patvirtinęs veiksmą.

Įmonės objektai, dokumentai ir jų versijos priklauso įmonei, o ne atskiram nariui. Nariui pasitraukus ar jo narystei pasibaigus, įmonės duomenys lieka įmonei.

Atsarginės kopijos

Atsarginės kopijos daromos rankiniu būdu ir saugomos užšifruotos. Kopijos apimtis yra duomenų bazės dalis: public, app ir migracijų žurnalas.

Tapatybės (Auth) įrašai į šią kopiją nepatenka. Todėl iš kopijos neįmanoma atkurti paskyros, ir tokio pažado čia nėra. Kopija skirta duomenų praradimo atvejui, o ne paskyros grąžinimui.

Kol kopija egzistuoja, joje gali likti įrašų, kurie veikiančioje sistemoje jau pašalinti. Jie dingsta kartu su ta kopija.

Šifruotos kopijos saugomos ne ilgiau kaip 90 dienų nuo jų sukūrimo. Senesnes kopijas pašalina operatorius; ištrynus kopiją, joje buvę įrašai nebeatkuriami.

Jūsų teisės

• Susipažinti su tvarkomais duomenimis — didžiąją dalį matote tiesiogiai paskyroje.
• Ištaisyti netikslius duomenis. Profilio ir įmonės laukus galite keisti patys produkte.
• Prašyti ištrinti duomenis. Prašymą vykdome patikrinę tapatybę — be to bet kas galėtų uždaryti svetimą paskyrą. Kas įvyksta iš karto ir kas tik per antrą žingsnį, aprašyta skyriuje Saugojimo trukmė.
• Pateikti skundą priežiūros institucijai, jei manote, kad duomenys tvarkomi netinkamai.

Į prašymus atsakome be nepagrįsto delsimo ir ne vėliau kaip per vieną mėnesį nuo prašymo gavimo. Jei prašymas sudėtingas arba prašymų daug, šis terminas gali būti pratęstas dar dviem mėnesiais — apie pratęsimą ir jo priežastis pranešame per pirmąjį mėnesį. Trumpesnio termino nežadame.

Saugumas ir incidentai

Ryšys su svetaine ir API vyksta per HTTPS. Naršyklėje veikia turinio saugumo politika (CSP), ribojanti, iš kur puslapis gali krauti kodą. Duomenų bazėje prieigą prie eilučių riboja eilučių lygio saugumo taisyklės (RLS): naudotojas mato tik tai, kas priklauso jam arba jo įmonei.

Sertifikatų (pavyzdžiui, ISO ar SOC) neturime ir jų neteigiame.

Sužinoję apie asmens duomenų saugumo pažeidimą, imamės priemonių ir informuojame be nepagrįsto delsimo. Konkretaus termino valandomis čia nenurodome, kol tekstas nėra teisiškai peržiūrėtas.

Pakeitimai

Produktas yra beta etape, todėl šis dokumentas keisis kartu su juo. Reikšmingus pakeitimus paskelbsime šiame puslapyje.

Šis dokumentas įsigalioja nuo uždaros beta versijos paleidimo dienos.

[[SAVININKAS: įsigaliojimo data — beta paleidimo diena]]

Taip pat žiūrėkite naudojimo sąlygas arba grįžkite į pradžios puslapį.