Duomenų tvarkymo sutartis / Data processing agreement
Nekintanti šios versijos nuoroda / Immutable link to this edition
Duomenų tvarkymo sutartis
1. Šalys, tikslas ir viršenybė
Klientas yra darbo erdvės DPA prisijungimo įraše jo įgalioto savininko nurodyta įmonė (duomenų valdytojas); tvarkytojas yra šiame puslapyje nurodytas Taxmeter operatorius. Priimta rinkinio versija, įmonės pavadinimas, kodas, savininko įgaliojimo pareiškimas ir priėmimo laikas identifikuoja prisijungimą. Ši sutartis yra paslaugos sutarties dalis ir nustato BDAR 28 straipsnio sąlygas. Ji turi viršenybę, kai kitos sąlygos jai prieštarauja asmens duomenų tvarkymo klausimu.
Sutartis nesumažina valdytojo ar tvarkytojo tiesioginių BDAR pareigų ir duomenų subjektų teisių. Operatorius paskyros, saugumo ir savo palaikymo administravimo duomenims atskirai veikia kaip valdytojas pagal privatumo politiką.
2. A priedas: tvarkymo aprašymas
Dalykas ir tikslas: kliento mėnesio apskaitos dokumentų saugojimas ir pagalba rengiant Lietuvos PVM apskaitos projektus, i.SAF ir FR0600 darbo lapus. Pobūdis: gavimas, įrašymas, sisteminimas, saugojimas, OCR ir teksto ištraukimas serveryje, pateikimas kliento įgaliotiems nariams ir agentams, taisymų bei patvirtinimų registravimas, paketų ir archyvo eksportas, atsarginės kopijos, atkūrimas ir ištrynimas. Taxmeter neteikia VMI ir nevykdo mokėjimų.
Duomenų subjektai: kliento atstovai ir darbuotojai, tiekėjai, pirkėjai, individualią veiklą vykdantys asmenys ir kiti fiziniai asmenys kliento apskaitoje. Duomenų kategorijos: vardai, profesiniai kontaktai, adresai, kliento teisėtai pateikti mokesčių ar kiti identifikatoriai, sąskaitų ir mokėjimų duomenys, sandorių aprašymai, sumos, datos, dokumentų vaizdai bei tekstas ir su jais susijusi peržiūros istorija. Specialios kategorijos ir baudžiamųjų veikų duomenys nenumatyti; klientas neturi jų teikti be atskiro teisėto susitarimo.
Trukmė: kol teikiama darbo erdvės paslauga ir vykdomi valdytojo nurodymai, po to iki duomenų grąžinimo ar gyvo ištrynimo ir likusių kopijų pasibaigimo pagal saugojimo politiką. Tvarkytojo apsaugos ir konfidencialumo pareigos galioja visą likusio saugojimo laiką.
3. Dokumentuoti nurodymai ir valdytojo pareigos
Valdytojo nurodymai yra ši sutartis, paslaugos nustatymai ir jo įgaliotų naudotojų veiksmai, įskaitant jų suteiktas agentų teises, eksportą bei ištrynimą. Tvarkytojas tvarko tik pagal šiuos dokumentuotus nurodymus, įskaitant perdavimą į trečiąsias šalis, nebent to reikalauja ES ar valstybės narės teisė. Tokiu atveju prieš tvarkymą informuoja valdytoją, išskyrus kai teisė draudžia tai daryti dėl svarbių viešojo intereso priežasčių.
Tvarkytojas nedelsdamas informuoja, jei, jo nuomone, nurodymas pažeidžia BDAR ar kitą ES arba valstybės narės duomenų apsaugos teisę, ir gali sustabdyti ginčijamą veiksmą iki teisėto nurodymo. Valdytojas atsako už teisėtą pagrindą, duomenų tikslumą, būtinumą, informavimą, narių bei agentų įgaliojimus ir apskaitos saugojimo pareigas. Tvarkytojas nenaudoja kliento dokumentų savo DI modelių mokymui; Taxmeter modelio nevykdo.
4. Konfidencialumas ir saugumas
Prieigą gauna tik įgalioti asmenys, kuriems ji būtina paslaugai ar saugumui ir kurie įsipareigoję laikytis konfidencialumo arba kuriems taikoma įstatyminė pareiga. Tvarkytojas taiko B priede nurodytas, riziką atitinkančias technines ir organizacines priemones pagal BDAR 32 straipsnį. Priemonės vertinamos ir atnaujinamos nepabloginant sutartos apsaugos.
Valdytojas saugo savo paskyras ir įrenginius, tikrina teises ir reguliariai eksportuoja nepriklausomą archyvą. Jokia priemonė negarantuoja absoliutaus saugumo ar nepertraukiamumo. Gyvam serverio diskui nežadamas šifravimas ramybės būsenoje.
5. C priedas: kiti tvarkytojai
Valdytojas suteikia bendrą leidimą naudoti toliau pateiktoje lentelėje nurodytus tiekėjus jų aprašytoms funkcijoms. Apskaitos duomenų subtvarkytojai yra Hetzner Online GmbH (gyvas serveris Vokietijoje) ir Cloudflare (užšifruotos atsarginės kopijos ir atkūrimo žurnalas R2 ES jurisdikcijoje). Google, Telegram ir GitHub ribotos funkcijos lentelėje atskleidžiamos skaidrumui; jiems nesuteikiama bendroji prieiga prie apskaitos archyvo. Jei klientas palaikymui pateikia dokumentų, Google Workspace apdoroja tą susirašinėjimą. Kliento pasirinktų agentų teikėjai nėra operatoriaus subtvarkytojai.
Tvarkytojas bent prieš 30 dienų praneša paskyros el. paštu arba programoje apie numatomą subtvarkytojo įtraukimą ar pakeitimą, jo funkciją, duomenų vietą ir apsaugą. Valdytojas per šį laiką gali pagrįstai prieštarauti dėl duomenų apsaugos. Šalys ieško tinkamos alternatyvos; neišsprendus prieštaravimo, prieš naują tvarkymą valdytojas gali nutraukti paveiktą paslaugą ir eksportuoti duomenis. Prieštaravimo neišsprendus ginčijamas teikėjas tiems duomenims nepradedamas naudoti.
Su pasitelktu subtvarkytoju sudaromos iš esmės tokios pačios duomenų apsaugos pareigos, įskaitant pakankamas priemones ir pagalbą. Tvarkytojas lieka atsakingas valdytojui už subtvarkytojo šių pareigų vykdymą. Prašant pateikiama reikalinga sutartinių apsaugos priemonių informacija, tinkamai apsaugant kitų klientų duomenis ir komercines paslaptis.
| Tiekėjas | Paskirtis ir duomenys |
|---|---|
| Hetzner Online GmbH | Talpina programą, gyvus apskaitos duomenis ir serverio OCR Vokietijoje. Taip pat Pulse priegloba. |
| Cloudflare | DNS, vieša svetainė per Pages, seno laukiančiųjų sąrašo D1 duomenų bazė, atskiras stebėjimo Worker, Pulse infrastruktūra. R2 ES jurisdikcijoje saugo tik prieš įkėlimą užšifruotas atsargines kopijas ir atkūrimo žurnalą. DNS ir viešos svetainės paslaugoms apskaitos dokumentų neteikiame. |
| Google prisijungimas: tapatybės patvirtinimas, subjekto ID, el. paštas ir vardas. Google Workspace apdoroja palaikymo susirašinėjimą. Tai nesuteikia Taxmeter prieigos prie jūsų Gmail ar Drive. | |
| Telegram | Operatoriaus techniniai perspėjimai apie atsarginių kopijų, atkūrimo žurnalo ir disko būklę; pranešimuose nėra klientų duomenų ar dokumentų. Perspėjimai apie naujus atsiliepimus perduoda tik skaičių, niekada atsiliepimų teksto, tapatybės ar apskaitos duomenų. |
| GitHub | GitHub Actions kasdien inicijuoja seno laukiančiųjų sąrašo pasibaigusių įrašų ištrynimą. Užduotis gauna ribotą priežiūros raktą ir užbaigimo būseną, bet ne sąrašo adresus ar apskaitos duomenis. |
6. Tarptautinis perdavimas
Pagrindinė gyvų duomenų vieta yra Vokietija, R2 kopijų jurisdikcija yra ES. Tai savaime neužtikrina, kad visos pasitelktų pasaulinių tiekėjų pagalbinės operacijos vyksta EEE. Už EEE ribų perduodama tik pagal dokumentuotus valdytojo nurodymus ir BDAR V skyrių, taikant tinkamumo sprendimą arba standartines sutarčių sąlygas, perdavimo įvertinimą ir reikalingas papildomas priemones. Tvarkytojas pateikia informaciją apie taikomą pagrindą ir praneša apie negalėjimą jo laikytis; neteisėtas perdavimas sustabdomas.
Kliento suteiktas leidimas jo pasirinktam agentui yra kliento nurodytas atskleidimas pagal jo sutartį su agento teikėju. Klientas vertina tokio teikėjo perdavimus, saugojimą ir naudojimą. Vien Google prisijungimas nesuteikia Drive ar Gmail prieigos.
7. Pagalba valdytojui
Atsižvelgdamas į tvarkymo pobūdį ir turimą informaciją, tvarkytojas tinkamomis techninėmis ir organizacinėmis priemonėmis padeda valdytojui atsakyti į BDAR III skyriaus prašymus. Tiesiogiai gautą prašymą dėl kliento duomenų nedelsdamas persiunčia valdytojui ir pats į jį neatsako, išskyrus valdytojo nurodymą ar teisės pareigą. Padeda rasti, eksportuoti, pataisyti, apriboti ar ištrinti duomenis pagal teisėtą nurodymą, patikrinęs prašančiojo teisę.
Tvarkytojas taip pat padeda vykdyti BDAR 32–36 straipsnius: saugumo vertinimą, pranešimus apie pažeidimus, poveikio duomenų apsaugai vertinimą ir išankstinę konsultaciją su priežiūros institucija. Valdytojas priima savo pareigoms reikalingus sprendimus; nemokama paslauga šių tvarkytojo pareigų nepanaikina.
8. Asmens duomenų saugumo pažeidimas
Sužinojęs apie kliento asmens duomenų saugumo pažeidimą, tvarkytojas praneša valdytojui be nepagrįsto delsimo ir ne vėliau kaip per 48 valandas nuo sužinojimo. Pranešimas siunčiamas turimais savininko kontaktiniais duomenimis; klientas turi juos atnaujinti. Pradinis pranešimas neatidedamas vien dėl neišsamios informacijos.
Pateikiamas pažeidimo pobūdis, žinomos duomenų ir subjektų kategorijos bei apytikriai skaičiai, kontaktas, tikėtinos pasekmės ir taikytos ar planuojamos ribojimo bei ištaisymo priemonės. Nežinoma informacija pateikiama etapais be nepagrįsto delsimo. Tvarkytojas dokumentuoja, tiria, riboja pažeidimą ir bendradarbiauja; valdytojas sprendžia dėl savo pranešimų VDAI ir duomenų subjektams.
9. Įrodymas, auditas ir priežiūra
Tvarkytojas pateikia valdytojui informaciją, reikalingą atitikčiai BDAR 28 straipsniui įrodyti. Įprastas auditas atliekamas pagal informaciją ir dokumentus: taikomų priemonių aprašus, prieigos bei ištrynimo procedūras, atsarginių kopijų patikrų įrodymus ir atsakymus į pagrįstus klausimus. Saugoma kitų klientų informacija ir sistemos saugumas; šios apsaugos negali panaikinti audito teisės.
Jei dokumentų nepakanka, valdytojas ar nepriklausomas jo įgaliotas auditorius gali atlikti būtiną auditą, įskaitant patikrinimą, suderinęs proporcingą apimtį, konfidencialumą ir laiką. Apie įprastą patikrinimą pranešama iš anksto; pažeidimo ar institucijos reikalavimo atveju veikiama skubiai. Tvarkytojas bendradarbiauja su kompetentinga priežiūros institucija ir leidžia jai įgyvendinti teisėtus įgaliojimus.
10. Grąžinimas, ištrynimas ir pabaiga
Pasibaigus paslaugai valdytojas pasirenka duomenų grąžinimą archyvo eksportu ir likusių gyvų duomenų ištrynimą arba tiesioginį ištrynimą. Eksportas pateikia originalus, mašinai skaitomus įrašus ir patvirtintus paketus. Jį reikia atsisiųsti prieš ištrynimą; laikina eksporto kopija galioja vieną valandą. Po nurodymo ištrinti užšaldoma prieiga, atšaukiami leidimai ir pašalinami gyvi darbo erdvės duomenys. Pagal amžių apskaitos archyvas automatiškai netrinamas.
Ištrynus darbo erdvę ar prisijungusio savininko paskyrą, atitinkami DPA prisijungimo įrašai su įmonės pavadinimu, kodu ir savininko tapatybe pašalinami. Atskirai lieka tik rinkinio versija ir priėmimo laikas, 3 metus ginčams, po to ištrinami. Užklausų metaduomenys ir agentų prieigos žurnalas valomi pagal saugojimo politikos lentelę.
Atskirų dokumentų negalima pasirinktinai išimti iš jau sukurto šifruoto atsarginio archyvo. Kopijos pasibaigia pagal saugojimo politiką: 14 dienos ir 12 savaitės kopijų, paprastai trumpiau nei 100 dienų; naujausia patikrinta kopija ir reikalingas atkūrimo žurnalas saugomi iki naujesnės patikrintos kopijos. Ištrynimo įrašai neleidžia atkurti ištrintų darbo erdvių ar paskyrų; iki pasibaigimo kopijos ribotos tik atkūrimui ir saugumui. Tai nėra pažadas ištrinti visas kopijas iškart ar per absoliutų 100 dienų terminą.
Kai ES ar valstybės narės teisė reikalauja likutinio saugojimo, tvarkytojas apie pareigą informuoja, saugo tik būtiną apimtį, izoliuoja nuo įprasto naudojimo ir ištrina pasibaigus pareigai. Kliento įstatyminė apskaitos saugojimo pareiga savaime nereiškia nurodymo Taxmeter ignoruoti savininko ištrynimą. Ištrynimo patvirtinimas atskiria gyvą pašalinimą, atkūrimo draudimą ir kopijų pasibaigimą.
11. B priedas: techninės ir organizacinės priemonės
Prieigos kontrolė: Google OpenID tapatybės patikra, saugūs HttpOnly sesijų slapukai, narystės ir vaidmenų tikrinimas, vienai darbo erdvei susieti OAuth leidimai su mėnesių ir veiksmų apimtimis, trumpalaikiai prieigos raktai, jų maišos, atšaukimas ir pakartotinio naudojimo aptikimas. Operacijų metu pakartotinai tikrinama teisė. Žiniatinklio pakeitimams naudojama tos pačios kilmės ir CSRF apsauga.
Atskyrimas ir prieinamumas: serverio generuojami darbo erdvių ID, atskiros duomenų bazės ir objektų saugyklos, ribota administravimo ir failų prieiga, failų tipo bei dydžio ribos, dokumentų, disko, užklausų ir OCR kvotos, atskiri riboti OCR procesai. Valdoma DI išjungta. Saugumo žurnaluose nenaudojamas dokumentų turinys ar prieigos raktai.
Kopijos ir atkūrimas: nuoseklios duomenų bazių kopijos, AES-256-GCM šifravimas prieš perkėlimą, atskirai saugomas raktas, šifruotas atkūrimo draudimų žurnalas, išsiųsto archyvo dydžio ir pilno SHA-256 patikra, rotacija, atkūrimo bandymai ir nepriklausomas būklės stebėjimas. Telegram gauna technines būsenas be klientų duomenų. Priežiūros metu galimi trumpi sustabdymai; vienas serveris nėra didelio prieinamumo klasteris.
Organizacinės priemonės: ribota prieiga pagal būtinumą, konfidencialumas, piktnaudžiavimo ir incidentų nagrinėjimas, teisių atšaukimas, programinės įrangos ir priemonių peržiūra, ištrynimo bei atkūrimo procedūros. Bendravimui naudokite operatoriaus bloke nurodytą el. paštą. Taikoma Lietuvos teisė ir paslaugos sąlygų ginčų tvarka, nepanaikinant privalomų BDAR teisių.
12. Neatitiktis ir sutarties nutraukimas
Tvarkytojas nedelsdamas informuoja valdytoją, jei dėl bet kokios priežasties nebegali vykdyti šios sutarties. Jei tvarkytojas pažeidžia pareigas, valdytojas gali nurodyti sustabdyti paveiktą tvarkymą, kol atitiktis bus atkurta arba sutartis nutraukta. Sustabdymas nepanaikina apsaugos ir konfidencialumo pareigų.
Valdytojas gali nutraukti sutartį, kiek ji susijusi su paveiktu tvarkymu, jei per pagrįstą, ne ilgesnį kaip vieno mėnesio laiką po sustabdymo atitiktis neatkuriama, pažeidimas esminis ar pasikartojantis arba nevykdomas privalomas teismo ar priežiūros institucijos sprendimas. Tvarkytojas gali nutraukti paveiktą tvarkymą, jei po 3 punkte nurodyto įspėjimo valdytojas reikalauja vykdyti neteisėtą nurodymą. Abiem atvejais taikomas 10 punkto grąžinimas, ištrynimas ir likusių kopijų apsauga; valdytojui pateikiamas ištrynimo patvirtinimas su atsarginių kopijų išimtimi.
Rengimo atskaitos dokumentas: VDAI duomenų tvarkymo sutarties standartinės sąlygos
Data processing agreement
1. Parties, purpose and precedence
The customer is the business identified by its authorized owner in the workspace DPA accession record (controller); the processor is the Taxmeter operator identified on this page. The accepted bundle version, business name, entity code, owner’s authority declaration and acceptance time identify accession. This agreement forms part of the service contract and sets GDPR Article 28 terms. It prevails over conflicting provisions concerning personal-data processing.
It does not reduce either party’s direct GDPR duties or data-subject rights. For account, security and its own support administration the operator separately acts as controller under the privacy policy.
2. Annex A: description of processing
Subject and purpose: storing the customer’s monthly accounting documents and helping prepare Lithuanian VAT accounting drafts, i.SAF and FR0600 worksheets. Nature: receipt, recording, organization, storage, server OCR and text extraction, disclosure to customer-authorized members and agents, recording corrections and approvals, package and archive export, backup, restoration and erasure. Taxmeter does not submit to VMI or move money.
Data subjects: customer representatives and staff, suppliers, buyers, sole traders and other natural persons in the customer’s accounting. Categories: names, professional contacts, addresses, lawfully supplied tax or other identifiers, invoice and payment details, transaction descriptions, amounts, dates, document images and text, and related review history. Special-category and criminal-offence data are not intended; the customer must not supply them without a separate lawful arrangement.
Duration: while the workspace service and controller’s instructions continue, then until return or live deletion and residual copy expiry under the retention policy. Protection and confidentiality duties continue throughout any remaining retention.
3. Documented instructions and controller duties
Instructions comprise this agreement, service settings and actions by authorized users, including agent grants, export and deletion. The processor acts only on these documented instructions, including third-country transfers, unless EU or Member State law requires otherwise. In that case it informs the controller before processing unless that law prohibits notice on important public-interest grounds.
The processor immediately informs the controller if it considers an instruction infringes GDPR or other EU or Member State data-protection law, and may pause the disputed action until a lawful instruction is provided. The controller is responsible for legal basis, accuracy, necessity, information duties, member and agent authority and statutory accounting retention. The processor does not use customer documents to train its own AI models; Taxmeter runs no model.
4. Confidentiality and security
Only authorized people who need access for the service or security receive it, subject to confidentiality commitments or a statutory duty. The processor applies risk-appropriate technical and organizational measures under GDPR Article 32 as specified in Annex B. Measures are reviewed and updated without reducing agreed protection.
The controller secures its accounts and devices, checks permissions and regularly exports an independent archive. No measure guarantees absolute security or continuity. Encryption at rest is not promised for the live server disk.
5. Annex C: other processors
The controller gives general authorization for the providers in the table below to perform their described functions. Accounting-data subprocessors are Hetzner Online GmbH (live server in Germany) and Cloudflare (encrypted backups and recovery ledger in R2’s EU jurisdiction). Google, Telegram and GitHub’s limited functions are disclosed for transparency; they have no general accounting-archive access. If the customer supplies documents in support correspondence, Google Workspace processes that correspondence. Customer-selected agent providers are not the operator’s subprocessors.
At least 30 days before adding or replacing a subprocessor, the processor notifies the account email or application of the proposed provider, purpose, data location and safeguards. The controller may raise a reasoned data-protection objection during that period. The parties seek a suitable alternative; if unresolved, the controller may terminate the affected service and export data before new processing. The disputed provider is not used for those data while the objection remains unresolved.
An appointed subprocessor receives substantially the same data-protection obligations, including sufficient measures and assistance. The processor remains responsible to the controller for its subprocessor’s performance. On request it supplies necessary information about contractual safeguards, protecting other customers’ data and trade secrets appropriately.
| Provider | Purpose and data |
|---|---|
| Hetzner Online GmbH | Hosts the application, live accounting data and server OCR in Germany. Also hosts Pulse. |
| Cloudflare | DNS, the public site on Pages, the retired waitlist D1 database, the separate monitor Worker and Pulse infrastructure. R2 in the EU jurisdiction stores only backups and the recovery ledger encrypted before upload. We do not send accounting documents to DNS or public-site services. |
| Google sign-in: identity verification, subject ID, email and name. Google Workspace handles support correspondence. This does not give Taxmeter access to your Gmail or Drive. | |
| Telegram | Technical operator alerts about backup, recovery-ledger and disk health; messages contain no customer data or documents. Alerts about new feedback carry only counts, never feedback text, identities or accounting data. |
| GitHub | GitHub Actions triggers daily expiry of retired waitlist entries. The job receives a restricted maintenance credential and completion status, not subscriber addresses or accounting data. |
6. International transfers
The primary live-data location is Germany and the R2 copy jurisdiction is the EU. This alone does not ensure every supporting operation by global providers takes place in the EEA. Transfers outside the EEA require documented controller instructions and GDPR Chapter V compliance, using an adequacy decision or standard contractual clauses, a transfer assessment and necessary supplementary measures. The processor provides information on the basis used and reports inability to comply; unlawful transfers are suspended.
A grant to the customer’s chosen agent is a customer-directed disclosure under its agreement with that provider. The customer assesses that provider’s transfers, retention and use. Google sign-in alone gives no Drive or Gmail access.
7. Assistance
Taking account of the processing and available information, the processor assists through appropriate technical and organizational measures with GDPR Chapter III requests. It promptly forwards a request concerning customer data to the controller and does not answer independently unless instructed or legally required. It assists with locating, exporting, correcting, restricting or erasing data under lawful instructions and verifies the requester’s authority.
It also assists with Articles 32–36: security assessment, breach notification, data protection impact assessments and prior supervisory-authority consultation. The controller makes decisions needed for its own obligations; free service does not remove the processor’s duties.
8. Personal-data breach
On becoming aware of a personal-data breach affecting customer data, the processor notifies the controller without undue delay and within 48 hours of awareness. Notice uses available owner contact details; the customer must keep them current. Incomplete information does not delay an initial notice.
Notice includes the breach nature, known data and subject categories and approximate counts, a contact, likely consequences and measures taken or proposed to contain and remedy it. Unknown information follows in phases without undue delay. The processor documents, investigates, contains and cooperates; the controller decides its notifications to VDAI and data subjects.
9. Demonstration, audit and supervision
The processor makes available information needed to demonstrate Article 28 compliance. Routine audit uses information and documents: measures, access and deletion procedures, backup-verification evidence and answers to reasonable questions. Other customers’ information and system security are protected; those protections cannot defeat audit rights.
Where documents are insufficient, the controller or its independent mandated auditor may perform a necessary audit, including inspection, with proportionate scope, confidentiality and timing agreed. Routine inspections require advance notice; breach or authority requirements receive urgent treatment. The processor cooperates with the competent supervisory authority and permits its lawful powers.
10. Return, erasure and end of service
At service end the controller chooses return through archive export followed by deletion of remaining live data, or direct deletion. Export supplies originals, machine-readable records and approved packages. Download it before deletion; the temporary export lasts one hour. A deletion instruction freezes access, revokes grants and removes live workspace data. Accounting archives are not purged automatically by age.
Deleting a workspace or an acceding owner’s account removes the corresponding DPA accession records containing business name, entity code and owner identity. Only detached bundle version and acceptance time remain for 3 years for disputes, then are erased. Request metadata and agent access logs are cleaned according to the retention-policy table.
Individual documents cannot be selectively removed from an existing encrypted backup archive. Copies expire under the retention policy: 14 daily and 12 weekly copies, normally under 100 days; the newest verified copy and required recovery ledger remain until a newer verified copy exists. Deletion evidence prevents restoration of deleted workspaces or accounts; remaining copies are restricted to recovery and security until expiry. This is not a promise to erase all copies immediately or within an absolute 100-day deadline.
Where EU or Member State law requires residual retention, the processor explains the duty, retains only what is necessary, isolates it from ordinary use and erases it when the duty ends. The customer’s statutory accounting duty does not itself instruct Taxmeter to ignore an owner’s deletion request. Deletion confirmation distinguishes live removal, recovery denial and backup expiry.
11. Annex B: technical and organizational measures
Access: verified Google OpenID identity, secure HttpOnly session cookies, membership and role checks, workspace-bound OAuth grants restricted by month and scope, short-lived access credentials, credential hashes, revocation and replay detection. Authority is rechecked during operations. Browser mutations use same-origin and CSRF protection.
Isolation and availability: server-generated workspace IDs, separate databases and object stores, restricted administrative and file access, file type and size limits, document, disk, call and OCR quotas, isolated resource-limited OCR processes. Managed AI is disabled. Security logs exclude document content and access credentials.
Backup and recovery: consistent database snapshots, AES-256-GCM encryption before transfer, a separately held key, encrypted recovery-denial ledger, uploaded archive size and full SHA-256 verification, rotation, restore drills and independent health monitoring. Telegram receives technical status without customer data. Maintenance may briefly pause service; one server is not a high-availability cluster.
Organization: need-based restricted access, confidentiality, abuse and incident handling, revocation, software and measure review, deletion and restoration procedures. Contact the email in the operator block. Lithuanian law and the service terms’ dispute rules apply without removing mandatory GDPR rights.
12. Noncompliance and termination
The processor promptly informs the controller if for any reason it can no longer comply with this agreement. If the processor breaches its obligations, the controller may instruct suspension of affected processing until compliance is restored or the contract terminated. Suspension does not remove protection and confidentiality duties.
The controller may terminate the agreement insofar as it concerns affected processing if compliance is not restored within a reasonable period of at most one month after suspension, a breach is substantial or persistent, or a binding court or supervisory-authority decision is not followed. The processor may terminate affected processing if the controller insists on an unlawful instruction after the warning under clause 3. In either case clause 10 governs return, deletion and protection of remaining copies; the controller receives deletion confirmation explaining the backup exception.
Drafting reference: VDAI standard data processing agreement clauses