Политика конфиденциальности Tvarka

Политика конфиденциальности Tvarka

Эта Политика объясняет, как Tvarka обрабатывает персональные данные.

Последнее обновление: 2026-10-15

1. Контролёры персональных данных

1.1. Контролёрами персональных данных в рамках своих функций на Tvarka.pro являются Advokato M. Kiškio kontora INVENT (поставщик юридических услуг) и Socialiniai algoritmai, UAB (оператор платформы). Их роли и контактные данные указаны в разделе «Контакты».

1.2. При обработке персональных данных мы соблюдаем Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года (GDPR) и применимые законы Литовской Республики.

2. На кого распространяется эта Политика

2.1. Политика конфиденциальности распространяется на посетителей и пользователей платформы Tvarka, а также на представителей клиентов, партнёров и поставщиков услуг, когда они связываются с нами или пользуются Tvarka.

2.2. Услуги Tvarka предоставляются только бизнесу. Tvarka не предназначена для несовершеннолетних. Если Вам меньше 18 лет, пожалуйста, не пользуйтесь Платформой.

2.3. Если при использовании Tvarka Вы передаёте персональные данные третьих лиц, Вы отвечаете за то, чтобы сообщить им об этой обработке и ознакомить с Политикой конфиденциальности.

3. Какие персональные данные мы обрабатываем

Tvarka обрабатывает персональные данные в объёме, необходимом для работы Платформы и управления ею. Состав данных зависит от используемых функций.

3.1. Данные для подтверждения личности и входа

Все пользователи подтверждают личность через решения Mitsoft TSP и/или государственного предприятия Центр регистров (Registrų centras), используя литовские средства электронной идентификации, например Smart-ID, Mobile-ID или удостоверение личности eID.

Мы можем получать и обрабатывать следующие данные от поставщиков услуг подтверждения личности: личный код (asmens kodas), имя, фамилию, код страны и данные сертификата для журнала аудита.

3.2. Данные учётной записи и роли

Tvarka хранит сведения об учётной записи и роли пользователя, связанные с конкретным юридическим лицом: назначенные роли и права, дату назначения, сведения о назначившем лице и записи аудита об изменении ролей.

3.3. Данные юридического лица и действий

Tvarka обрабатывает данные юридического лица, которым управляют на Платформе, и действия Пользователя. Это, например, код и название юридического лица, его форма (например, UAB, MB), настройки соблюдения требований, записи реестра участников, события календаря, задачи и метаданные документов.

В некоторых случаях Tvarka может обращаться к открытым или официальным источникам, например к данным реестров или налогоплательщиков, для проверки или предварительного заполнения сведений о юридическом лице, если такая функция доступна на Платформе.

3.4. Документы и данные о подписании квалифицированной электронной подписью (QES)

Если Вы храните, создаёте или подписываете документы, Tvarka обрабатывает загруженные документы, созданные файлы и технические данные подписания, например время подписи, сведения о сертификате и журнал подписания. Для подписания квалифицированной электронной подписью используется инфраструктура Mitsoft TSP и/или государственного предприятия Центр регистров.

3.5. Данные об оплате и счетах

Платежи за пополнение баланса, счета и другие платные действия обрабатывает выбранный поставщик платёжных услуг. Tvarka может получать данные о статусе платежа, балансе, счёте и дате оплаты, нужные для предоставления доступа и бухгалтерского учёта. Tvarka не хранит полные данные банковских карт или счетов.

3.6. Технические данные и файлы cookie

Для безопасной работы Платформы Tvarka использует необходимые файлы cookie и похожие технологии, например сеансовые cookie и защиту CSRF. Если используются аналитические или маркетинговые cookie, это происходит только с Вашего согласия.

4. Цели обработки данных, правовые основания и сроки хранения

Ниже указаны основные цели обработки. Конкретные сроки могут меняться с учётом требований закона и того, как фактически предоставляются Услуги.

Для улучшения Сервиса мы используем PostHog в регионе ЕС для подсчёта завершённых регистраций по электронной почте, первой успешной подписи зарегистрированного пользователя и первого зачисленного пополнения баланса. Сервер передаёт только вид события, время, сайт регистрации и защищённый ключом псевдонимный идентификатор аккаунта. Имена, адреса электронной почты, документы, данные подписей, суммы и реквизиты платежей не передаются. Эти события отделены от анонимных посещений публичного сайта. Правовое основание: наш законный интерес в улучшении Сервиса (статья 6(1)(f) GDPR).

5. Получатели данных (обработчики и/или контролёры)

Tvarka может раскрывать персональные данные третьим лицам только в объёме, необходимом для предоставления Услуг, обеспечения безопасности или выполнения законных обязанностей.

Основные категории получателей:

• поставщики ИТ-услуг и хостинга, например облачной инфраструктуры;
• Mitsoft TSP и/или государственное предприятие Центр регистров – поставщики услуг подтверждения личности и подписания квалифицированной электронной подписью;
• поставщики платёжных услуг, например Stripe или другой поставщик, указанный на Платформе;
• профессиональные консультанты, например юристы и аудиторы, когда это нужно для защиты законных интересов или по закону;
• государственные органы и суды, когда этого требует закон или разрешение спора.

Мы заключаем с обработчиками данных договоры, обеспечивающие соблюдение требований GDPR.

6. Файлы cookie и другие технологии

6.1. Необходимые cookie. Tvarka не использует дополнительные аналитические или маркетинговые cookie. Для работы и безопасности Платформы могут применяться только необходимые cookie, установленные поставщиками инфраструктуры или услуг подтверждения личности, например для защиты от ботов, маршрутизации трафика и сохранения сеанса при подтверждении личности. Основание их обработки – наш законный интерес (GDPR 6(1)(f)).

6.2. Необязательные cookie. Tvarka не использует аналитические или маркетинговые cookie и не запрашивает согласие на них.

6.3. Список используемых файлов cookie

Примечание: «если применяется» означает, что cookie устанавливается только тогда, когда в конкретной среде используется соответствующая инфраструктура или услуга подтверждения личности, с учётом настроек пользователя.

7. Передача данных в третьи страны

7.1. Tvarka может пользоваться услугами поставщиков, обрабатывающих персональные данные за пределами Европейской экономической зоны. В таких случаях мы обеспечиваем надлежащие гарантии, например стандартные договорные положения Еврокомиссии, решения о достаточности защиты или другие меры, предусмотренные GDPR.

8. Безопасность персональных данных

8.1. Мы применяем технические и организационные меры для защиты персональных данных от неразрешённого доступа, потери и раскрытия.

8.2. В архитектуре Tvarka личный код обрабатывается безопасно: для индексирования используется хеш-идентификатор HMAC-SHA256, а зашифрованные данные хранятся отдельно, с отдельным управлением ключами, чтобы снизить риск.

8.3. Хотя мы прилагаем разумные усилия, ни один способ передачи или хранения данных не обеспечивает 100% безопасности.

9. Ваши права

По GDPR Вы вправе получить доступ к своим данным, исправить или удалить их, ограничить обработку, возразить против неё, перенести данные, когда это применимо, и подать жалобу в надзорный орган.

Чтобы воспользоваться этими правами, свяжитесь с нами по электронной почте, указанной в разделе 12. Мы ответим не позднее чем через 1 месяц, если GDPR не допускает продления срока.

Надзорный орган Литвы – Государственная инспекция по защите данных (Valstybinė duomenų apsaugos inspekcija, VDAI), L. Sapiegos g. 17, 10312 Vilnius, электронная почта [email protected].

10. Изменение Политики конфиденциальности

10.1. Мы можем обновлять эту Политику. Изменения публикуются на Платформе. О существенных изменениях мы также можем сообщить дополнительно.

11. Ответственность и безопасность учётной записи

11.1. Пользователи Tvarka отвечают за безопасность своих устройств, средств электронной идентификации и действий на Платформе. Советуем обновлять программное обеспечение и принимать подходящие меры защиты в сети.

12. Контролёры данных и контакты

Проект Tvarka.pro ведут Advokato M. Kiškio kontora INVENT и Socialiniai algoritmai, UAB. Их роли, коды юридических лиц, коды плательщиков НДС и адреса указаны на странице О нас .

Общие контакты Tvarka.pro и способ отправить запрос указаны на странице Контакты .

13. Личный Бесплатный план Tvarka Sign

13.1. Этот раздел применяется, когда физическое лицо без учётной записи Tvarka пользуется бесплатным личным планом приложения Tvarka Sign. В отличие от пункта 2.2, в этом случае услуга также предоставляется для личных, неделовых целей. Контролёром описанной здесь обработки выступает оператор платформы Socialiniai algoritmai, UAB.

13.2. Обрабатываются следующие данные:

• данные регистрации устройства: случайно созданный идентификатор устройства и токен доступа, технические журналы и IP-адрес для безопасности, ограничения частоты запросов и предотвращения злоупотреблений;
• данные подписания: сведения квалифицированного сертификата, считанные с карты eID при подписании (имя, фамилия, личный код, сведения о сертификате), и журнал подписания, как описано в разделе 3.4;
• запись для подсчёта месячного лимита: хеш-значение (HMAC) личного кода, полученное из сертификата, календарный месяц и число подписей. Для подсчёта лимита личный код не хранится в открытом виде;
• токен push-уведомлений, если они включены на устройстве.

13.3. Подписываемый PDF-документ загружается на платформу только для подписания и не используется в иных целях. Документ и его подписанная версия удаляются после подтверждения приложением скачивания подписанного документа и в любом случае не позднее 48 часов после загрузки.

13.4. Правовые основания: предоставление услуги – договор (статья 6(1)(b) GDPR); учёт лимита, ограничение частоты запросов и предотвращение злоупотреблений – законный интерес (статья 6(1)(f) GDPR); маркетинговые уведомления в приложении – только отдельное согласие (статья 6(1)(a) GDPR). По умолчанию они выключены; согласие можно отозвать в настройках приложения в любое время.

13.5. Получатели: поставщики квалифицированных меток времени в Европейском союзе, например ACCV в Испании. В запросе на метку времени передаётся только криптографический отпечаток (хеш), а не содержимое документа. Запросы о действительности сертификата (OCSP) направляются квалифицированному поставщику доверенных услуг, выдавшему сертификат. Для доставки уведомлений, если они включены, используются Google Firebase Cloud Messaging на Android и Apple Push Notification service (APNs) на iOS, а также поставщики ИТ-услуг и хостинга из раздела 5.

13.6. Чтобы воспользоваться своими правами, свяжитесь с нами по контактам из раздела 12 или подайте описанный ниже запрос на удаление. Нам могут потребоваться дополнительные сведения, чтобы определить соответствующие записи. Удаление приложения не удаляет автоматически записи на сервере, не отзывает доступ устройства и не подаёт запрос на удаление данных.

13.7. Запрос на удаление данных Tvarka Sign

Сброс приложения удаляет его локальные настройки и историю и отправляет запрос на отзыв сохранённого доступа устройства или учётной записи. Это не является запросом на удаление учётной записи, документов или других записей на сервере.

Чтобы запросить удаление данных с сервера, напишите на адрес [email protected], укажите в теме письма «Tvarka Sign data deletion» и сообщите, что Вы пользовались бесплатным личным планом. Если идентификатор устройства ещё виден в приложении, приложите его к запросу. Мы можем попросить дополнительные сведения, чтобы связать Вашу личность с запрашиваемыми записями.

Получив обоснованный запрос, мы удаляем или обезличиваем уже не нужные данные, связанные с регистрацией устройства. Документы и их подписанные версии удаляются в срок из пункта 13.3. Технические журналы безопасности обычно хранятся до 12 месяцев, обращения в поддержку – до 2 лет. Данные, которые мы обязаны хранить по закону, для безопасности, предотвращения мошенничества или из-за спора, остаются только на соответствующий срок из раздела 4.

14. Мобильные учётные записи Tvarka Sign и сервисы Android

14.1. Вы также можете использовать учётную запись с входом по электронной почте для личных документов или рабочих пространств компаний, к которым у Вас есть доступ. Для личного использования учётная запись компании не требуется. Мы обрабатываем адрес электронной почты учётной записи, имя и фамилию, записи аутентификации и доступа устройств, язык и права доступа к рабочим пространствам, чтобы предоставлять услугу и защищать доступ. Применяются цели, правовые основания и правила хранения из раздела 4. Оператор платформы является контролёром данных при администрировании личных учётных записей; документы компаний по-прежнему подчиняются указаниям компании и применимым обязанностям по хранению.

14.2. Мы обрабатываем предоставленные Вами файлы и фотографии, подготовленные PDF, подписанные файлы и доказательства подписания. В зависимости от действия доказательства включают подписанта, аутентификацию и согласие, введённый или нарисованный знак, версию и отпечаток документа, способ, время и IP-адрес. В приглашениях также используются имена и фамилии и адреса электронной почты получателей, а при выборе SMS также номера телефонов. Пользователи компаний и получатели приглашений на подписание получают файлы и доказательства, к которым у них есть доступ. Личные и корпоративные документы в облаке хранятся для дальнейшего доступа и восстановления; правило о временных файлах без учётной записи из пункта 13.3 к ним не применяется.

14.3. Там, где доступно распознавание устройства, после завершения квалифицированного подписания сервер сохраняет защищённые данные подписания и привязанный к устройству идентификатор для последующих подписей. Идентификаторы устройств истекают после года неиспользования. Справочник телефонных номеров Mobile-ID является отдельным и истекает после двух лет неиспользования. Удаление сохранённых данных в приложении исключает дальнейшее использование идентификатора устройства; оно не удаляет уже подписанные документы и доказательства их подписания.

14.4. Для сканирования QR-кодов на Android используется сканер кодов Google. Кадры камеры и распознавание остаются на устройстве. Google получает информацию об устройстве и приложении, идентификаторы, события производительности, функций и ошибок для диагностики и анализа использования; автоматическое масштабирование также создаёт данные сеанса сканирования и масштабирования. См. сведения Google о данных сканера и политику конфиденциальности Google.

14.5. Уведомления на Android используют Firebase Cloud Messaging, который обрабатывает идентификаторы установки и токены доставки. Само по себе отключение показа уведомлений не препятствует сервису Google создавать идентификатор установки. Сервисные уведомления и необязательные маркетинговые уведомления имеют отдельные настройки; маркетинг по умолчанию отключён. См. сведения Firebase об обрабатываемых данных. Настройки файлов cookie в браузере не управляют этими нативными сервисами Android.

14.6. Вы можете подать запрос на удаление учётной записи и данных в браузере, без приложения. Войдите, повторно подтвердите свою личность и подайте запрос. Перед удалением мы рассматриваем его с учётом документации компаний, доказательств подписания и обязанностей по хранению. При подаче запроса выдаётся подтверждение получения; сама подача не отключает учётную запись и не удаляет данные немедленно. Если Вы не можете войти или использовали приложение без учётной записи, воспользуйтесь ссылкой на поддержку на этой странице. Не отправляйте PIN-коды, пароли или копии документов.