Privatumo politika

Galioja nuo: 2026-09-03
Paskutinis atnaujinimas: 2026-09-03

§0. TL;DR — trumpai apie šį dokumentą

Šis dokumentas paaiškina paprasta kalba, kaip Marketstal LT (MARKETSTAL.PL Sp. z o.o., Lenkija) tvarko Jūsų asmens duomenis, kai Jūs apsilankote, registruojatės arba apsiperkate parduotuvėje marketstal.lt.

9 svarbiausi dalykai, kuriuos turite žinoti:

1. Kas valdo Jūsų duomenis: MARKETSTAL.PL Sp. z o.o. (Lenkija). Kontaktas: bok@marketstal.pl, telefonas +48 728 742 680.
2. Kokius duomenis renkame: vardą, pavardę, adresą, telefoną, el. paštą, įmonės rekvizitus (B2B), užsakymų istoriją, slapukus.
3. Kodėl renkame: užsakymų vykdymui, sąskaitų faktūrų išrašymui, naujienlaiškiui (su Jūsų sutikimu), parduotuvės saugumui, įstatymų pareigoms vykdyti.
4. Kiek laiko saugome: užsakymo duomenis — sutarties vykdymo laikotarpiu ir po jo iki bendrojo ieškinio senaties termino pabaigos; apskaitos ir mokesčių dokumentus — įstatymų nustatytą terminą; naujienlaiškį — iki sutikimo atšaukimo; slapukus — iki 12 mėnesių.
5. Kam perduodame: paštomatų, kurjerių ir padėklų vežimo (ekspedijavimo) paslaugų teikėjams, mokėjimo paslaugų teikėjams, parduotuvės platformos teikėjui, analitikos paslaugų teikėjui, atsiliepimų rinkimo sistemos teikėjui, buhalterinės apskaitos ir teisinių paslaugų teikėjams.
6. Jūsų teisės: susipažinti, ištaisyti, ištrinti, perkelti, prieštarauti, apriboti tvarkymą, atšaukti sutikimą, pateikti skundą priežiūros institucijai.
7. Kur skųstis: Lenkijoje — Asmens duomenų apsaugos tarnybos pirmininkui (vadovaujančiajai priežiūros institucijai); Lietuvoje — Valstybinei duomenų apsaugos inspekcijai (VDAI), ada@ada.lt, +370 5 271 2804. Žr. §9.
8. Slapukai: atskira Slapukų politika.
9. Vaikai: mūsų parduotuvė neskirta jaunesniems nei 14 metų asmenims (Lietuvoje vaiko sutikimas informacinės visuomenės paslaugoms galioja nuo 14 m.; Lenkijoje ši riba yra 16 m.).

Išsami informacija pateikiama §1–§13 skyriuose. Jeigu kas nors neaišku, prašome rašyti bok@marketstal.pl — atsakysime per 30 dienų.

§1. Duomenų valdytojas

Jūsų asmens duomenų valdytojas (toliau — „Valdytojas“ arba „Marketstal LT“) yra:

MARKETSTAL.PL Sp. z o.o.
Zawada 144
97-200 Tomaszów Mazowiecki
Lenkija

Įmonės kodas (KRS): 0000400706
Mokesčių mokėtojo kodas (NIP): 7732469935
PVM mokėtojo kodas (Lenkija): PL7732469935
Registracija: Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi, XX Wydział Gospodarczy KRS

Kontaktas Lietuvoje:
El. paštas bendriems klausimams: bok@marketstal.pl
El. paštas privatumo klausimams: bok@marketstal.pl
Telefonas: +48 728 742 680
Korespondencijos adresas: Zawada 144, 97-200 Tomaszów Mazowiecki, Lenkija

Internetinė parduotuvė: https://marketstal.lt

Visais klausimais, susijusiais su asmens duomenų tvarkymu, galite kreiptis aukščiau nurodytais kontaktais. Atsakymą gausite per 30 dienų nuo užklausos gavimo (BDAR 12 str. 3 d.). Sudėtingais atvejais terminą galime pratęsti dar dviem mėnesiams, bet apie tai informuosime per pirmas 30 dienų.

§2. Atsakingas asmuo / Duomenų apsaugos pareigūnas (DPO)

Marketstal LT neturi formalios pareigos paskirti Duomenų apsaugos pareigūną pagal BDAR 37 str., kadangi:

• pagrindinė veikla nėra didelio masto specialių kategorijų duomenų (sveikatos, religijos, biometrinių) tvarkymas,
• nevykdomas didelio masto sistemingas ir nuolatinis duomenų subjektų stebėjimas (ne profiliavimas, ne reklamos tinklas),
• veikla — įprasta B2B ir B2C elektroninė prekyba su standartiniais sandorių duomenimis.

Tačiau tinkamam duomenų apsaugos užtikrinimui paskirtas atsakingas asmuo — vidinis Privatumo koordinatorius:

Privatumo koordinatorius
El. paštas: bok@marketstal.pl
(alternatyviai: bok@marketstal.pl su tema „Privatumas“)
Korespondencijos adresas: žr. §1

Privatumo koordinatorius atsakingas už:

• Jūsų užklausų dėl teisių vykdymo apdorojimą (žr. §8),
• bendravimą su VDAI ir kitomis priežiūros institucijomis,
• duomenų tvarkymo veiklos įrašų vedimą (BDAR 30 str.),
• darbuotojų mokymus duomenų apsaugos klausimais,
• vidines duomenų apsaugos poveikio vertinimo (DPIA) procedūras prieš diegiant naujus didelės rizikos procesus.

Jeigu po paleidimo Marketstal LT pasieks didelio masto duomenų tvarkymo ribą (pvz. daugiau kaip 100 000 unikalių klientų Lietuvoje arba pradės teikti naujas didelės rizikos paslaugas), bus paskirtas išorinis duomenų apsaugos pareigūnas (rekomenduojama Lietuvos advokatų kontora, besispecializuojanti BDAR srityje), o šis skyrius bus atnaujintas ir apie tai pranešta registruotiems vartotojams.

§3. Tvarkomos asmens duomenų kategorijos

Mes tvarkome Jūsų asmens duomenis tik tiek, kiek būtina kiekvienam tikslui pasiekti — pagal duomenų minimizavimo principą (BDAR 5 str. 1 d. c). Toliau — kategorijos pagal tikslą.

3.1 Registracijos duomenys (paskyros sukūrimas)

Renkami, kai Jūs sukuriate vartotojo paskyrą:

• vardas, pavardė;
• el. pašto adresas (naudojamas prisijungimui);
• slaptažodis (saugoma tik slaptažodžio maiša, sugeneruota su unikalia druska; paprastu tekstu slaptažodis niekada nesaugomas);
• telefono numeris (neprivaloma);
• B2B atveju: įmonės pavadinimas, įmonės kodas, PVM mokėtojo kodas (LT pradžia, validuojamas per VIES sistemą).

3.2 Užsakymo duomenys

Renkami, kai pateikiate užsakymą — registruoto vartotojo arba svečio režime:

• pristatymo adresas (gatvė, namo nr., pašto kodas, miestas, šalis);
• sąskaitos faktūros adresas (jei skiriasi nuo pristatymo);
• užsakymo turinys (prekės, kiekiai, kainos, nuolaidos);
• mokėjimo informacija (mokėjimo būdas, suma, mokėjimo statusas);
• užsakymo komentaras (jei pateikiamas);
• užsakymų istorija — visi ankstesni užsakymai prie Jūsų paskyros.

Svarbu: visą mokėjimo kortelės numerį tvarko TIK mokėjimo paslaugų teikėjas. Marketstal LT kortelės numerio niekada neturi ir nesaugo — gauname tik mokėjimo statusą (sėkmingas / nesėkmingas) ir paskutinius 4 skaitmenis kvitui.

3.3 Naujienlaiškio duomenys

Renkami, kai užsiprenumeruojate naujienlaiškį (su aiškiu sutikimu):

• el. pašto adresas;
• vardas (neprivaloma — naudojamas personalizacijai laiškuose);
• sutikimo data ir laikas;
• IP adresas sutikimo pateikimo metu (sutikimo įrodymui — BDAR 7 str. 1 d.);
• atidarytų laiškų ir paspaustų nuorodų statistika.

3.4 Slapukų ir analitiniai duomenys

Automatiškai renkami Jums lankantis svetainėje:

• IP adresas (nuasmenintas — prieš išsaugant paskutinis IP adreso oktetas pakeičiamas nuliu);
• naršyklės tipas, versija, kalbos nuostatos;
• įrenginio tipas (mobilusis telefonas, planšetė, stalinis kompiuteris), ekrano skiriamoji geba;
• operacinė sistema;
• apsilankymo data ir laikas, peržiūrėtų puslapių sąrašas, paspaudimai;
• nukreipiantis puslapis (HTTP referrer);
• interneto svetainių analitikos įrankio generuojami duomenys — tik su Jūsų sutikimu, pateiktu slapukų juostoje.

Detalus kiekvieno slapuko aprašymas, galiojimas ir tiekėjas — atskiroje Slapukų politikoje.

3.5 Kontaktiniai duomenys (bendravimas)

Renkami, kai susisiekiate su mumis (el. paštu, kontaktine forma, telefonu):

• vardas (jei pateikiamas);
• el. pašto adresas;
• telefono numeris (jei skambinate);
• žinutės turinys, klausimas;
• visa susirašinėjimo / pokalbio istorija (ginčams, kokybės kontrolei).

3.6 Pretenzijų ir grąžinimo duomenys

Renkami, kai pateikiate pretenziją arba prašote grąžinti pinigus:

• užsakymo numeris, data, prekės;
• pretenzijos aprašymas, problema;
• nuotraukos ar dokumentai (jei pateikiami) — pvz. defektinės prekės foto;
• banko sąskaitos numeris (jei reikalingas pinigų grąžinimui — IBAN);
• susirašinėjimo istorija dėl pretenzijos.

3.7 Marketingo elgsenos duomenys (TIK su sutikimu)

Renkami tik gavus aiškų Jūsų sutikimą (slapukų juosta, rinkodaros kategorija):

• pirkimo istorija — segmentavimui (pvz. „aktyvus tvorų prekių pirkėjas“);
• naršymo elgsena — produktų rekomendacijoms („panašios prekės“);
• atidaryti naujienlaiškiai, paspaustos nuorodos;
• reklamos ir konversijų sekimo duomenys (jei atitinkamas įrankis įdiegtas).

Profiliavimas. Šioje kategorijoje mes vykdome profiliavimą rinkodaros tikslais (BDAR 4 str. 4 p.): pagal pirkimo istoriją ir naršymo elgseną priskiriame Jus klientų segmentui ir pagal tai parenkame rodomas prekių rekomendacijas bei naujienlaiškio turinį.

• Logika: lyginami įsigytų ir peržiūrėtų prekių kategorijos, užsakymų dažnumas ir vertė.
• Pasekmės Jums: keičiasi tik rodomų rekomendacijų ir rinkodaros pranešimų turinys. Profiliavimas neturi įtakos kainai, nuolaidai, užsakymo priėmimui ar bet kuriai kitai sutarties sąlygai.
• Teisinis pagrindas: Jūsų sutikimas. Sutikimą galite atšaukti bet kada (žr. §4).
• Profiliavimas nėra automatizuotas sprendimų priėmimas, sukeliantis teisines pasekmes BDAR 22 str. prasme — žr. §8 lentelės 9 eilutę.

3.8 Saugumo įvykių žurnalų duomenys

Renkami parduotuvės saugumo užtikrinimui (BDAR 32 str.):

• prisijungimo bandymai (sėkmingi ir nesėkmingi) su IP, laiku, naršykle;
• nesėkmingų slaptažodžio įvedimo bandymų skaičius;
• API užklausų žurnalai (užklausų dažnio ribojimas, sukčiavimo prevencija);
• HTTP klaidų žurnalai (500, 403, 404).

Mes NETVARKOME šių specialių kategorijų duomenų (BDAR 9 str.): rasinės ar etninės kilmės, politinių pažiūrų, religinių įsitikinimų, narystės profesinėse sąjungose, genetinių, biometrinių, sveikatos ir lytinės orientacijos duomenų. Jeigu tokius duomenis pateiksite netyčia (pvz. komentaruose), juos nedelsdami ištrinsime.

Mes NETVARKOME jaunesnių nei 14 metų asmenų duomenų — žr. §11.

3.9 Ar duomenų pateikimas yra privalomas? (BDAR 13 str. 2 d. e p.)

3.10 Verslo klientų kontaktinių asmenų duomenys

Kai Užsakymą pateikia juridinis asmuo, mes tvarkome ir jo darbuotojų arba atstovų (kontaktinių asmenų) duomenis: vardą, pavardę, pareigas, darbo el. paštą ir telefoną.

• Duomenų šaltinis: šiuos duomenis gauname ne iš paties asmens, o iš jį įdarbinusio ar įgaliojusio Verslo kliento (BDAR 14 str.).
• Tvarkymo tikslas: Užsakymo vykdymas, susirašinėjimas dėl sutarties, pretenzijų nagrinėjimas.
• Teisinis pagrindas: teisėtas Valdytojo ir Verslo kliento interesas palaikyti verslo santykius (BDAR 6 str. 1 d. f p.).
• Saugojimo terminas: kaip ir kiti su Užsakymu susiję duomenys (žr. §5).
• Teisės: kontaktinis asmuo turi visas §8 nurodytas teises ir gali jomis pasinaudoti tiesiogiai, kreipdamasis šioje politikoje nurodytais kontaktais.

§4. Tvarkymo tikslai ir teisinis pagrindas

Pagal BDAR 6 str. 1 d. mes tvarkome Jūsų duomenis keturiais teisiniais pagrindais: sutikimu (a), sutarties vykdymu (b), teisine pareiga (c) ir teisėtu interesu (f). Kitų BDAR 6 str. 1 d. pagrindų (gyvybinių interesų — d, viešojo intereso — e) netaikome. Toliau — kuris pagrindas taikomas kuriam tikslui:

Sutikimo atšaukimas

Jūs galite atšaukti sutikimą bet kada:

• naujienlaiškiui — paspaudus „Atsisakyti prenumeratos“ bet kuriame mūsų laiške arba parašius bok@marketstal.pl;
• slapukams — paspaudus „Slapukai“ puslapio apačioje ir pakeitus nustatymus, arba ištrynus slapukus naršyklėje;
• rinkodaros elgsenos duomenims — el. paštu bok@marketstal.pl.

Atšaukimas neturi įtakos iki atšaukimo atlikto tvarkymo teisėtumui (BDAR 7 str. 3 d.). Tačiau po atšaukimo Jūsų duomenys bus atitinkamai šalinami — išskyrus patį atšaukimo faktą: jo įrodymą saugome 5 metus.

Teisėto intereso vertinimas (LIA)

Teisėto intereso (BDAR 6 str. 1 d. f) atvejais atlikome Teisėto intereso vertinimą (Legitimate Interest Assessment, LIA), kuriame palyginome mūsų interesą su Jūsų pagrindinių teisių ir laisvių apsauga. Vertinimas dokumentuotas viduje. Jūs galite paprašyti vertinimo santraukos, parašę bok@marketstal.pl.

§5. Duomenų saugojimo terminai

Mes saugome Jūsų duomenis tik tiek laiko, kiek būtina tikslui pasiekti arba kiek reikalauja įstatymas. Po termino pabaigos duomenys negrįžtamai ištrinami arba anonimizuojami (jeigu reikalingi statistikai).

Termino pratęsimas

Tam tikrais atvejais saugojimo terminas gali būti pratęstas, jeigu duomenys reikalingi:

• vykstančiam ar gresiančiam teisiniam ginčui — iki ginčo užbaigimo + senaties terminas;
• kontrolei iš VMI, VVTAT, VDAI ar kitų institucijų — iki kontrolės užbaigimo;
• ginant pretenzijas — iki ieškinio senaties termino pabaigos; bendrasis terminas yra 10 metų (LR CK 1.125 str. 1 d.), atskiroms reikalavimų rūšims įstatymas nustato trumpesnius terminus.

§6. Asmens duomenų gavėjai

Jūsų asmens duomenis perduodame tik būtiniausioms trečiosioms šalims, kurios padeda mums vykdyti veiklą (duomenų tvarkytojai pagal BDAR 28 str.) arba kurioms perduodame pagal įstatymą.

Vadovaudamiesi BDAR 13 str. 1 d. e punktu, nurodome gavėjų kategorijas. Konkrečių paslaugų teikėjų, priskiriamų kiekvienai kategorijai, sąrašą pateikiame Jūsų prašymu — parašykite šioje politikoje nurodytu privatumo klausimų adresu.

Europos Komisijos VIES sistema. Verslo kliento PVM mokėtojo kodą tikriname Europos Komisijos administruojamoje VIES sistemoje. Tai teisės aktų nustatytas patikros veiksmas, o ne duomenų perdavimas tvarkytojui.

Svarbu:

• Mes NEPARDUODAME Jūsų asmens duomenų. Niekam, niekada.
• Mes NEPERDUODAME Jūsų duomenų trečiosioms šalims jų pačių rinkodaros tikslais — jokios prekybos duomenimis.
• Su kiekvienu duomenų tvarkytoju sudarome duomenų tvarkymo sutartį pagal BDAR 28 str. 3 d. prieš pradedant tvarkyti duomenis.
• Kai kurie gavėjai (pvz., mokėjimo paslaugų teikėjai) savo tvarkomų operacijų duomenų atžvilgiu veikia kaip savarankiški duomenų valdytojai ir taiko savo privatumo politikas.
• Tvarkytojų sąrašas gali būti atnaujintas — apie esminius pakeitimus informuosime ne vėliau kaip 14 dienų prieš pakeitimą.

§7. Duomenų perdavimas už EEE ribų

Pagrindinis Jūsų duomenų tvarkymas vyksta Europos ekonominėje erdvėje (EEE):

• Lenkijoje — Valdytojo buveinė, parduotuvės platformos prieglobos paslaugos, buhalterinė apskaita;
• Lietuvoje — paštomatų, kurjerių ir ekspedijavimo paslaugų teikėjai, teisinių paslaugų teikėjas (jei prireikia);
• kitose Europos ekonominės erdvės valstybėse — analitikos, reklamos ir mokėjimo paslaugų teikėjų Europos buveinės.

Tačiau kai kurie paslaugų teikėjai turi infrastruktūrą už EEE ribų (daugiausia JAV):

Mūsų taikomos apsaugos priemonės perduodant už EEE

• Visus duomenų perdavimus už EEE ribų vykdome tik su tinkamomis apsaugos priemonėmis pagal BDAR 44–49 str.;
• Naudojame Standartines sutartines sąlygas (Standard Contractual Clauses, SCC) — Europos Komisijos 2021-06-04 sprendimas 2021/914;
• Atsižvelgiame į adekvatumo sprendimus (pvz. EU-US Data Privacy Framework JAV — galioja nuo 2023-07-10);
• Kiekvieno didelio masto perdavimo atveju vykdome Perdavimo poveikio vertinimą (Transfer Impact Assessment, TIA) pagal Schrems II reikalavimus;
• Stebime adekvatumo sprendimų galiojimą — jeigu DPF būtų panaikintas (kaip atsitiko su Privacy Shield 2020-07-16), pereisime tik prie SCC + papildomos priemonės.

Jūsų teisė į informaciją

Jūs galite paprašyti kopijos SCC arba kitų apsaugos priemonių, naudojamų Jūsų duomenų perdavimui, parašę adresu bok@marketstal.pl. Atsakysime per 30 dienų (BDAR 13 str. 1 d. f).

§8. Duomenų subjekto teisės

Pagal BDAR III skyrių (12–22 str.) Jūs turite šias teises:

Teisių apribojimai

Kai kurios teisės gali būti ribojamos teisinių pareigų atveju. Pavyzdžiui:

• Teisė ištrinti netaikoma sąskaitoms faktūroms — jas privalome saugoti §5 nurodytą terminą pagal Valdytojui taikomus mokesčių teisės aktus;
• Teisė ištrinti netaikoma nebaigtoms pretenzijoms — kol galioja ieškinio senaties terminas (LR CK 1.125 str.);
• Teisė perkelti taikoma tik duomenims, kurie tvarkomi sutarties arba sutikimo pagrindu ir automatizuotomis priemonėmis.

Jeigu negalime įvykdyti Jūsų teisės — paaiškinsime, kodėl, ir nurodysime teisinį pagrindą.

Kaip pasinaudoti teisėmis — 3 būdai

1 būdas — el. paštu (rekomenduojama, greičiausia):

Parašykite adresu bok@marketstal.pl (alternatyviai: bok@marketstal.pl su tema „Privatumo teisės — [BDAR str. nr.]“).

Pavyzdys: „Privatumo teisės — prašau ištrinti duomenis (BDAR 17 str.). Mano užsakymo nr. LT-2026-12345, el. paštas vardenis@example.lt“.

2 būdas — internetinė užklausos forma:

marketstal.lt/informacija/privatumo-uzklausa (forma bus įdiegta po parduotuvės paleidimo)

3 būdas — paštu:

MARKETSTAL.PL Sp. z o.o.
Zawada 144
97-200 Tomaszów Mazowiecki
Lenkija

(su prierašu „Privatumas — duomenų subjekto užklausa“)

Mūsų atsakymo terminas

• Maksimaliai 30 dienų nuo užklausos gavimo (BDAR 12 str. 3 d.);
• Sudėtingais ar daug užklausų atvejais — galime pratęsti dar 2 mėnesiams, bet apie tai informuosime per pirmas 30 dienų ir nurodysime pratęsimo priežastis;
• Atsakymas — nemokamas;
• Tik akivaizdžiai nepagrįstų ar perteklinių užklausų atveju (pvz. tas pats vartotojas siunčia 50 prašymų per mėnesį) galime imti pagrįstą administracinį mokestį arba atsisakyti vykdyti — ir tai paaiškinsime motyvuotai.

Tapatybės patvirtinimas

Norėdami apsaugoti Jūsų duomenis nuo trečiųjų šalių, galime paprašyti patvirtinti tapatybę prieš vykdydami užklausą:

• el. paštu — iš adreso, susieto su Jūsų paskyra;
• prašyti pateikti užsakymo numerį ar kitą identifikuojantį informaciją;
• ypatingais atvejais (didelės apimties duomenų eksportas) — paprašyti tapatybės dokumento kopijos (užtamsinus tas dalis, kurios mums nereikalingos).

Tapatybės patvirtinimo terminas NEĮSKAITOMAS į 30 dienų atsakymo terminą — jis pradeda eiti tik gavus pakankamai informacijos identifikuoti Jus.

§9. Skundas priežiūros institucijai

Jeigu manote, kad mes pažeidėme Jūsų asmens duomenų apsaugos teises, Jūs turite teisę pateikti skundą priežiūros institucijai (BDAR 77 str.).

Vadovaujančioji priežiūros institucija

Valdytojas yra įsteigtas Lenkijos Respublikoje, todėl pagal BDAR 56 str. vadovaujančioji priežiūros institucija Valdytojo tarpvalstybinio duomenų tvarkymo atžvilgiu yra:

Prezes Urzędu Ochrony Danych Osobowych (Asmens duomenų apsaugos tarnybos pirmininkas)

Adresas: ul. Stawki 2, 00-193 Warszawa, Lenkijos Respublika
Internetinė svetainė: https://uodo.gov.pl

Skundas Lietuvoje

Skundo Lenkijoje teikti nereikia. Pagal BDAR 77 str. 1 d. skundą galite pateikti savo gyvenamosios vietos valstybės narės priežiūros institucijai, kuri, jei reikia, bendradarbiaus su vadovaujančiąja institucija. Lietuvoje tai:

Valstybinė duomenų apsaugos inspekcija (VDAI)

Adresas: L. Sapiegos g. 17, LT-10312 Vilnius, Lietuva
Telefonas: +370 5 271 2804
El. paštas: ada@ada.lt
Internetinė svetainė: https://vdai.lrv.lt
Skundo forma: https://vdai.lrv.lt/lt/atmintines/skundo-forma
Darbo laikas: I–IV 8:00–17:00, V 8:00–15:45 (Lietuvos laiku)

Patarimas — pirmiausia į mus:

Prieš pateikdami skundą VDAI, rekomenduojame pirmiausia kreiptis tiesiai į mus — bok@marketstal.pl. Daugumą klausimų galime išspręsti per kelias darbo dienas. Tačiau tai NĖRA privaloma sąlyga — Jūs galite skųstis VDAI iš karto, be išankstinio susisiekimo su mumis.

Teisė kreiptis į teismą:

Be skundo VDAI, Jūs taip pat turite teisę:

• kreiptis į kompetentingą teismą dėl žalos atlyginimo (BDAR 79–82 str., LR CK);
• pateikti skundą priežiūros institucijai savo gyvenamosios vietos arba darbo vietos ES valstybėje narėje, jeigu skiriasi nuo LT (BDAR 77 str.).

§10. Slapukų politika

Marketstal LT naudoja slapukus (angl. cookies) ir panašias technologijas (vietinė saugykla, pikseliai, SDK). Detali informacija apie kiekvieną slapuką, jo tikslą, galiojimą ir tiekėją — atskirame dokumente:

Slapukų politika — /informacija/slapuku-politika

Trumpa santrauka:

• Būtinieji slapukai (krepšelis, sesija, saugumas, CSRF apsauga) — visada įjungti, teisinis pagrindas: teisėtas interesas (BDAR 6 str. 1 d. f);
• Analitiniai slapukai (interneto svetainių analitikos įrankis) — TIK su Jūsų sutikimu, pateiktu slapukų juostoje;
• Rinkodaros slapukai (reklamos ir konversijų sekimo įrankiai) — TIK su Jūsų sutikimu;
• Nuostatų slapukai (kalba, valiuta, neseniai peržiūrėtos prekės) — TIK su Jūsų sutikimu;
• VDAI (2021-12-21 gairės) reikalauja 3 lygiavertes mygtuko parinktis: „Sutinku su visais“, „Atmesti visus“, „Tvarkyti nustatymus“ — visi trys vienodo dydžio, kontrasto, padėties;
• Sutikimo galiojimas — maks. 12 mėn., vėliau prašome iš naujo;
• Jūs galite bet kada atšaukti sutikimą paspaudę „Slapukai“ puslapio apačioje.

§11. Vaikų asmens duomenys

Marketstal LT — B2B ir B2C parduotuvė suaugusiesiems (smulkūs rangovai, ūkininkai, suvirintojai, statybų meistrai). Mūsų prekės — plieno gaminiai, tvoros, profiliai — neskirti vaikams, ir mes sąmoningai NETVARKOME jaunesnių nei 14 metų asmenų duomenų.

⚠️ LIETUVOS SPECIFIKA — svarbu žinoti:

Pagal LR Asmens duomenų teisinės apsaugos įstatymo (ADTAĮ) 5 str. ir BDAR 8 str., Lietuvoje vaiko sutikimas dėl informacinės visuomenės paslaugų (įskaitant e-prekybą su personalizuotais elementais ir slapukais) galioja nuo 14 metų amžiaus.

(BDAR 8 str. leidžia valstybėms narėms nustatyti ribą nuo 13 iki 16 metų. Lenkijoje ji yra 16 metų, Lietuvoje — 14 metų. Lietuvos vartotojams taikome Lietuvos Respublikos teisėje nustatytą 14 metų ribą.)

Praktinės taisyklės

Jeigu Jūs esate jaunesnis nei 14 metų:

• prašome NESIREGISTRUOTI parduotuvėje;
• NEPATEIKITE mums savo asmens duomenų;
• pirkimą gali atlikti TIK Jūsų tėvai arba teisėti globėjai, savo vardu;
• naujienlaiškio prenumerata Jums negalima.

Jeigu netyčia surinkome duomenis iš vaiko

Jeigu sužinosime (savo iniciatyva arba per tėvų pranešimą), kad netyčia surinkome duomenis iš jaunesnio nei 14 m. asmens be tinkamo tėvų / globėjų sutikimo:

1. Nedelsiant nutrauksime tvarkymą;
2. Ištrinsime visus surinktus duomenis per 7 darbo dienas;
3. Informuosime tėvus / globėjus (jeigu kontaktas yra žinomas).

Tėvai / globėjai — ką daryti?

Jeigu pastebėjote, kad Jūsų vaikas (jaunesnis nei 14 m.) registravosi mūsų parduotuvėje ar pateikė duomenis, prašome susisiekti:

El. paštas: bok@marketstal.pl
Tema: „Vaiko duomenų ištrynimas — [vaiko vardas, pavardė]“
Prie laiško pridėkite — Jūsų tapatybės dokumento kopiją ir patvirtinimą, kad esate tėvas / globėjas.

Per 7 darbo dienas nuo gavimo — duomenys bus ištrinti, gausite patvirtinimą.

§12. Saugumas — kaip apsaugome Jūsų duomenis

Mes taikome tinkamas technines ir organizacines priemones, kad apsaugotume Jūsų asmens duomenis nuo neteisėtos prieigos, praradimo, atsitiktinio sunaikinimo, neteisėto pakeitimo ar atskleidimo (BDAR 32 str.). Saugumo priemonės reguliariai peržiūrimos ir atnaujinamos.

12.1 Techninės priemonės

• HTTPS / TLS 1.3 — visi duomenys, perduodami tarp Jūsų naršyklės ir mūsų serverio, šifruojami perdavimo metu. Senesnių TLS versijų (1.0, 1.1) nepalaikome.
• Slaptažodžių apsauga duomenų bazėje — saugoma tik slaptažodžio maiša, sugeneruota su kiekvienam vartotojui unikalia druska. Slaptažodžių paprastu tekstu niekada nesaugome, o mūsų darbuotojai jų matyti negali.
• Mokėjimo kortelių izoliavimas — visą mokėjimo kortelės numerį (PAN) tvarko TIK mokėjimo paslaugų teikėjas. Mes turime tik paskutinius 4 skaitmenis kvitui ir mokėjimo statusą.
• Reguliariai daromos atsarginės kopijos — kasdien automatiškai daromos visos duomenų bazės momentinės kopijos, o kartą per savaitę kopija perkeliama į kitą geografinę vietą. Visos kopijos saugomos šifruotos.
• Saugumo atnaujinimai — operacinės sistemos, parduotuvės platformos ir bibliotekų saugumo pataisos diegiamos nedelsiant, kai jas paskelbia teikėjas.
• Užkardos ir apsauga nuo paskirstytųjų atakų (DDoS) — infrastruktūros lygmenyje.
• Apsauga nuo CSRF, XSS, SQL injection — parduotuvės platformos lygmenyje.
• Užklausų dažnio ribojimas — prisijungiant, registruojantis ir atkuriant slaptažodį — sukčiavimo ir automatizuotų (robotų) atakų prevencija.
• IP adreso nuasmeninimas — naudojamame analitikos įrankyje IP adresas nuasmeninamas standartiškai, o vidiniuose žurnaluose paskutinis IP adreso oktetas pakeičiamas nuliu (pvz. 192.168.1.1 → 192.168.1.0).
• Pseudonimizacija ten, kur galima — analizei naudojami pseudonimai, ne tikrieji vartotojo ID.
• Šifravimas saugykloje — duomenų bazė saugykloje šifruojama (AES-256).
• Sesijų valdymas — prisijungimo sesija automatiškai baigiasi po 30 minučių neaktyvumo; perkėlimas į kitą įrenginį reikalauja iš naujo prisijungti.

12.2 Organizacinės priemonės

• Prieiga pagal vaidmenis (Role-Based Access Control, RBAC) — kiekvienas darbuotojas mato tik tuos duomenis, kurių reikia jo darbui atlikti (mažiausių privilegijų principas).
• Privalomas dvigubas autentifikavimas (2FA) — visiems administraciniams kontams (parduotuvės platforma, mokėjimų, pašto ir analitikos paslaugų valdymo įrankiai).
• Konfidencialumo įsipareigojimai (NDA) — visiems darbuotojams, partneriams, subkontraktoriams ir paslaugų teikėjams.
• Reguliarūs duomenų apsaugos mokymai komandai — ne rečiau kaip kartą per metus, naujai įdarbinti — per pirmas 4 savaites.
• Asmens duomenų saugumo pažeidimų valdymo planas — pranešimas VDAI per 72 valandas nuo sužinojimo (BDAR 33 str.), o didelės rizikos atveju — ir Jums, be nepagrįsto delsimo (BDAR 34 str.).
• Duomenų tvarkymo veiklos įrašų vedimas (Records of Processing Activities, RoPA — BDAR 30 str.).
• Duomenų apsaugos poveikio vertinimas (DPIA) — prieš įdiegiant naujus didelės rizikos procesus arba paslaugas (BDAR 35 str.).
• Tvarkytojų patikra — prieš pasirašydami duomenų tvarkymo sutartį su nauju tvarkytoju, įvertiname jo atitiktį BDAR, turimus sertifikatus ir ankstesnius pažeidimus.
• Incidentų žurnalas — visi su saugumu susiję įvykiai dokumentuojami ir analizuojami.

12.3 Pranešimas apie duomenų pažeidimą

Jeigu įvyks asmens duomenų pažeidimas, kuris gali kelti didelę riziką Jūsų teisėms ir laisvėms (pvz. didelis duomenų nutekėjimas):

1. Per 72 valandas pranešime VDAI (BDAR 33 str.);
2. Be pagrįsto delsimo informuosime Jus tiesiogiai — el. paštu, registruotų vartotojų atveju ir per parduotuvės pagrindinį puslapį (BDAR 34 str.);
3. Pranešime aprašysime pažeidimo pobūdį, paveiktų duomenų rūšis, galimus padarinius, mūsų taikomas priemones ir rekomendacijas Jums (pvz. pakeisti slaptažodį).

§13. Politikos pakeitimai

Mes turime teisę atnaujinti šią Privatumo politiką dėl įvairių priežasčių:

• įsigaliojus naujiems teisės aktams (pvz. BDAR pakeitimams, ADTAĮ pakeitimams, naujiems VDAI gairėms, ePrivacy reglamento įsigaliojimui);
• pradėjus naują paslaugą, funkciją ar produktų kategoriją;
• pakeitus duomenų gavėjus (naujas tvarkytojas, naujas spedicijos partneris);
• atsiradus naujų saugumo grėsmių ar geresnių apsaugos priemonių;
• dėl klaidų taisymų, terminologijos tikslinimo, papildomos informacijos pridėjimo.

Pranešimas apie pakeitimus

• Paskutinio atnaujinimo data visada nurodyta dokumento pradžioje (laukelis „Paskutinis atnaujinimas“).
• Esminius pakeitimus (naujus tvarkymo tikslus, naujus gavėjus už EEE ribų, sutikimo apimties keitimą, saugojimo terminų ilginimą) — paskelbsime ne vėliau kaip 14 kalendorinių dienų prieš įsigaliojimą šiose vietose:
  • parduotuvės pagrindiniame puslapyje (informacinė juosta su nuoroda į pakeitimus);
  • el. paštu visiems registruotiems vartotojams (atskira žinutė su pakeitimų santrauka);
  • šiame dokumente — su aiškiai nurodyta įsigaliojimo data ir pakeitimų sąrašu.
• Neesminius pakeitimus (rašybos taisymai, kontaktinių duomenų atnaujinimas, formuluotės tobulinimas be turinio pakeitimo) — paskelbsime tik šiame dokumente, be atskiro pranešimo.
• Jeigu pakeitimai paveikia Jūsų jau duotus sutikimus (pvz. naujas rinkodaros tikslas), paprašysime sutikimo iš naujo prieš tvarkydami duomenis pagal naujas sąlygas.

Versijavimas ir archyvas

Ankstesnės versijos archyvuojamos 5 metus ir prieinamos pagal Jūsų užklausą — parašykite bok@marketstal.pl su tema „Privatumo politikos versijų archyvas“.