Ši Privatumo politika reglamentuoja asmens duomenų tvarkymą, renkamą per mūsų URL trumpinimo, nuorodų valdymo ir QR kodų infrastruktūros paslaugas, veikiančias domenuose href.lt ir href.lv (toliau – „Paslauga“, „mes“, „mus“ arba „mūsų“). Esame įsipareigoję tvarkyti jūsų asmens duomenis griežtai laikydamiesi Bendrojo duomenų apsaugos reglamento (ES) 2016/679 (BDAR) bei taikomų Europos Sąjungos ir nacionalinių duomenų apsaugos teisės aktų.

1. Duomenų valdytojas

Subjektas, atsakingas už jūsų asmens duomenų rinkimą ir tvarkymą pagal šią Privatumo politiką, yra Paslaugos valdytojas, registruotas Lietuvos Respublikoje. Kilus klausimams, norint pateikti duomenų subjekto prašymą ar iškilus su privatumu susijusiems klausimams, susisiekite su mumis per mūsų kontaktų puslapį.

2. Renkamų duomenų kategorijos ir tvarkymo tikslai

Mes renkame ir tvarkome asmens duomenis tik nustatytais, aiškiai apibrėžtais bei teisėtais tikslais pagal BDAR 6 straipsnyje numatytus teisinius pagrindus.

A. Paskyros registracija ir valdymas

• Įprasta registracija: Kai registruojatės tiesiogiai, renkame jūsų el. pašto adresą, pasirinktą slaptažodį (kriptografiškai užšifruotą pagal pramonės standartus) ir paskyros laiko žymas. Nepatvirtintos paskyros, kurios niekada nebuvo patvirtintos per patvirtinimo el. laišką, yra automatiškai ištrinamos po 30 dienų (BDAR 6 str. 1 d. b punktas – sutarties vykdymas).
• Socialinis prisijungimas („Google“, „Microsoft“, „Apple“): Jei pasirenkate autentifikuotis per išorinį OAuth teikėją, prašome ir tvarkome tik dvi minimalias apimtis:
  • email: Unikaliai identifikuoti jūsų paskyrą ir patvirtinti el. pašto adresą.
  • profile: Gauti jūsų viešąjį vardą ir rodymo avatarą valdymo skydelio suasmeninimui.
  Mes neprašome, nepasiekiame ir nesaugome jokių papildomų teikėjo paskyros duomenų, kontaktų, failų ar prisijungimo duomenų. Mūsų informacijos, gautos iš „Google“ API, naudojimas ir perdavimas bet kuriai kitai programai atitinka „Google API Services User Data Policy“, įskaitant riboto naudojimo (angl. Limited Use) reikalavimus (BDAR 6 str. 1 d. b punktas).
• Paskyros saugumas: Pasirinktiniai dviejų veiksnių autentifikavimo (2FA) kodai siunčiami į jūsų patvirtintą el. pašto adresą bandant prisijungti, kai ši funkcija įjungta.
• Sąsajos nustatymai: Sąsajos kalba ir tamsaus / šviesaus ekrano rodymo pasirinkimas, saugomas per funkcinius slapukus jūsų naršyklėje (žr. mūsų Slapukų politiką).

B. Paslaugos veikimas, nukreipimas ir telemetrija

Kai galutinis vartotojas spusteli sutrumpintą nuorodą (href.lt/* arba href.lv/*) arba nuskaito dinaminį QR kodą, mūsų infrastruktūra apdoroja techninius duomenis, kad atliktų nukreipimą ir sugeneruotų analizę nuorodos savininkui:

• IP adresas: Apdorojamas realiuoju laiku naudojant vietoje priglobtą geolokacijos duomenų bazę (nukreipimo metu trečiųjų šalių API nėra kviečiama), kad būtų nustatyta apytikslė geografinė vieta šalies ir miesto lygiu. Pats neapdorotas IP adresas nėra saugomas mūsų paspaudimų analizės duomenų bazėje; išsaugoma tik nustatyta šalis, miestas ir tiksliniai atributai (BDAR 6 str. 1 d. f punktas – teisėtas suinteresuotumas).
• Įrenginio ir kliento metaduomenys: Naršyklės tipas, operacinė sistema, įrenginio kategorija (kompiuteris / mobilusis / planšetė), kalbos antraštės ir HTTP nukreipimo šaltinis (angl. referrer) yra išanalizuojami vietoje iš užklausos antraščių ir saugomi kaip apdoroti pavadinimai (niekada ne neapdorota „User-Agent“ eilutė), kad būtų užtikrintas nuorodos savininko statistikos skydelio veikimas (BDAR 6 str. 1 d. f punktas).
• Nukreipimo šaltinis (angl. Referrer): Kiekvieno paspaudimo nukreipimo svetainė išsaugoma siekiant suteikti šaltinio priskyrimo analizę nuorodos savininkui.
• Paspaudimų analitika: Ši statistika renkama tik toms nuorodoms, kurias sukūrė registruoti paskyrų turėtojai. Anoniminių svečių sutrumpintos nuorodos nekuria atskirų paspaudimų įrašų, išskyrus paprastą bendrą skaitiklį.
• Paskirties URL: Sutrumpinimui pateikti URL tikrinami pagal automatizuotus grėsmių sąrašus (įskaitant „Google Safe Browsing“) ir vietoje tvarkomą blokuojamų piktnaudžiavimo raktažodžių sąrašą, siekiant užkirsti kelią kenkėjiškai programinei įrangai, sukčiavimui (angl. phishing) ir piktavališkam platinimui (BDAR 6 str. 1 d. f punktas).
• Sutikimo filtrai: Kai nuorodoje yra jautraus turinio, reikalaujama slaptažodžio arba naudojami reklamos pikseliai, lankytojui rodomas aiškus sutikimo arba autentifikavimo puslapis prieš atveriant paskirties vietą. Sekimo pikseliai pateikiami tik po aiškaus sutikimo konkrečiai nuorodai (saugoma per funkcinį slapuką 30 dienų, žr. mūsų Slapukų politiką).

C. Atsiskaitymai ir prenumeratos apdorojimas

Jei įsigyjate mokamą prenumeratą, visi mokėjimai apdorojami per sertifikuotus trečiųjų šalių mokėjimų apdorotojus (tokius kaip „Stripe“, „PayPal“ ar kitus regioninius teikėjus, kuriuos įgalina paskyros savininkas). Mes nesaugome neapdorotų kredito kortelių numerių ar banko duomenų savo serveriuose. Mes tvarkome sąskaitų faktūrų identifikatorius, atsiskaitymo šalį, PVM / įmonės kodus ir sąskaitų faktūrų operacijų istoriją, kad įvykdytume savo sutartinius įsipareigojimus ir laikytumės Europos apskaitos teisės aktų reikalavimų (BDAR 6 str. 1 d. b ir c punktai).

D. Ryšiai ir integracijos

• Transakciniai el. laiškai: Naudojami griežtai tik paskyros patvirtinimui, slaptažodžio nustatymui iš naujo, dviejų veiksnių kodams, el. pašto adreso keitimo patvirtinimui, sąskaitoms faktūroms ir kontaktinės formos žinučių pristatymui.
• Saityno sietuvai (angl. Webhooks) (paskyros savininkams): Jei savo paskyroje sukonfigūruojate siunčiamus saityno sietuvus, Paslauga teikia įvykių duomenų paketus (naudotojo, mokėjimo ir nuorodos gyvavimo ciklo įvykius) į jūsų valdomus išorinius galinius taškus. Jūs esate šių perdavimų duomenų valdytojas ir atsakote už paskirties galinius taškus.
• Kontaktinė forma: Kai susisiekiate su mumis per formą, tvarkome jūsų el. pašto adresą ir žinutės turinį tik tam, kad atsakytume į jūsų užklausą.

3. Duomenų tvarkytojai ir atskleidimas trečiosioms šalims

Mes neparduodame, nenuomojame ir neprekiaujame jūsų asmens duomenimis. Duomenis atskleidžiame tik pasitelktiems subtvarkytojams, veikiantiems pagal griežtas Duomenų tvarkymo sutartis (angl. DPA), atitinkančias BDAR 28 straipsnį:

• Priegyba ir infrastruktūra: Europos virtualūs privatūs serveriai (VPS) ir duomenų bazių infrastruktūra, esanti Europos ekonominėje erdvėje (EEE).
• Saugumas ir tinklo pristatymas: „Cloudflare“ (DNS, DDoS apsauga, spartinančioji atmintinė / edge caching ir „Turnstile“ automatinis robotų tikrinimas).
• Geolokacija: „MaxMind GeoLite2“ duomenų bazė, priglobta ir apdorojama vietoje mūsų pačių infrastruktūroje (nukreipimo metu išoriniai API skambučiai neatliekami).
• URL saugumas: „Google Safe Browsing“ API, tikrinama nuorodos kūrimo metu siekiant patikrinti paskirties URL (perduodamas tik URL adresas, jokie naudotojo identifikatoriai nėra pridedami).
• Transakcinis el. paštas: SMTP šliuzai, naudojami griežtai tik transakcinių pranešimų siuntimui (el. pašto patvirtinimui, slaptažodžio atstatymui, 2FA kodams, sąskaitoms faktūroms).
• Mokėjimų šliuzai: Bet kuriuo metu įgalinti apdorotojai (pvz., „Stripe“, „PayPal“, „Mollie“, „Paddle“, „Paystack“, „Razorpay“, „NowPayments“, „Crypto.com“, „Mercado Pago“, „YooMoney“) atitinkamam mokėjimų apdorojimui ir ES PVM valdymui.
• Socialinės tapatybės teikėjai: „Google“, „Microsoft“ ir „Apple“ – tik tada, kai pasirenkate prisijungimą per šias platformas.

4. Tarptautinis duomenų perdavimas

Jūsų pagrindiniai duomenys yra priglobti serveriuose, esančiuose Europos Sąjungoje. Tais atvejais, kai operatyviniai subtvarkytojai (pvz., „Cloudflare“, „Google OAuth API“ ar mokėjimų apdorotojai) nukreipia telemetriją už EEE ribų, perdavimas grindžiamas galiojančiais Europos Komisijos sprendimais dėl tinkamumo arba Standartinėmis sutarčių sąlygomis (angl. SCC) pagal BDAR 46 straipsnį, užtikrinant lygiavertį apsaugos lygį.

5. Duomenų saugojimas

• Aktyvios paskyros: Paskyros duomenys ir susiję sutrumpintų nuorodų įrašai saugomi visą jūsų aktyvios paskyros gyvavimo laikotarpį.
• Paspaudimų analitika: Atskirų paspaudimų statistika saugoma pagal jūsų prenumeratos plane nurodytą duomenų saugojimo laikotarpį (mokamuose planuose mažiausiai 30 dienų, su papildomu 7 dienų lengvatiniu laikotarpiu prieš ištrynimą). Pasibaigusio galiojimo analizės įrašai yra automatiškai ir visam laikui ištrinami suplanuotų foninių procesų.
• Nepatvirtintos paskyros: Užregistruotos paskyros, kurių el. pašto adresas niekada nepatvirtinamas, po 30 dienų automatiškai ištrinamos.
• Paskyros ištrynimas: Savanoriškai nutraukus paskyrą valdymo skydelyje, asmens identifikatoriai, trumposios nuorodos ir susijusi analitika yra nedelsiant ir visam laikui ištrinami, išskyrus atvejus, kai ilgesnį saugojimą numato finansiniai, mokesčių ar kiti teisiniai įsipareigojimai (pvz., apmokėtų sąskaitų faktūrų įrašai).
• Techniniai žurnalai (angl. logs): Žiniatinklio serverio ryšio žurnalai saugomi tik trumpalaikiais operaciniais tikslais (saugumo stebėsenai ir piktnaudžiavimo nustatymui) prieš automatinį jų pakeitimą (rotaciją).

6. Saugumo priemonės

Mes įgyvendiname tinkamas technines ir organizacines priemones, kaip reikalaujama pagal BDAR 32 straipsnį, įskaitant:

• Privalomą TLS/HTTPS šifravimą visiems gaunamiems ir išeinantiems ryšiams su pasirenkamu priverstiniu nukreipimu į HTTPS.
• Vienkryptį paskyros prisijungimo duomenų maišymą (angl. hashing), naudojant pramonės standarto „bcrypt“ algoritmus.
• Pasirinktinį dviejų veiksnių autentifikavimą (2FA) saugumo kodais, siunčiamais el. paštu.
• CSRF apsaugą visoms teikiamoms formoms ir pasirašytus saityno sietuvus (angl. webhooks) su slaptuoju rakto patvirtinimu.
• Tinklo ugniasienes, automatinį užklausų ribojimą (angl. rate limiting), nematomą „Cloudflare Turnstile“ robotų valdymą ir nuolatinį saugumo spragų šalinimą.
• Apribotą operatyvinę prieigą, prieinamą tik įgaliotam administraciniam personalui griežtai pagal būtinumo žinoti principą (angl. need-to-know).

7. Jūsų teisės pagal BDAR

Kaip duomenų subjektas Europos Sąjungoje, turite įstatymų nustatytas teises, susijusias su jūsų asmens duomenimis:

• Teisė susipažinti (BDAR 15 str.): Teisė gauti patvirtinimą ir tvarkomų jūsų asmens duomenų kopijas.
• Teisė reikalauti ištaisyti duomenis (BDAR 16 str.): Teisė ištaisyti netikslius ar neišsamius duomenis tiesiogiai per savo valdymo skydelį arba pateikus prašymą.
• Teisė reikalauti ištrinti duomenis („Teisė būti pamirštam“, BDAR 17 str.): Teisė reikalauti visiško paskyros ir susijusių įrašų ištrynimo, kuria galima pasinaudoti iš karto per paskyros trynimo funkciją valdymo skydelyje.
• Teisė apriboti duomenų tvarkymą (BDAR 18 str.) ir teisė nesutikti (BDAR 21 str.): Teisė apriboti arba prieštarauti tam tikriems duomenų tvarkymo veiksmams, atliekamiems teisėto intereso pagrindu.
• Teisė į duomenų perkeliamumą (BDAR 20 str.): Teisė gauti savo asmens duomenis susistemintu, įprastai naudojamu ir kompiuterio skaitomu formatu (CSV/JSON eksportavimas tiesiogiai iš jūsų statistikos skydelių).
• Teisė pateikti skundą: Turite juridinę teisę pateikti oficialų skundą savo priežiūros institucijai: vartotojams Lietuvoje tai yra Valstybinė duomenų apsaugos inspekcija (VDAI, ada.gov.lt), o vartotojams Latvijoje – Valstybinė duomenų inspekcija (DVI, dvi.gov.lv).

Norėdami pasinaudoti bet kuria iš šių teisių, susisiekite su mumis per mūsų kontaktų puslapį. Į visus patikrintus prašymus atsakome per įstatymų nustatytą 30 dienų terminą be nepagrįsto delsimo.

8. Šios politikos atnaujinimai

Pasiliekame teisę periodiškai keisti šią Privatumo politiką, kad ji atspindėtų techninius, teisinius ar operacinius pokyčius. Apie esminius pakeitimus bus pranešta per jūsų paskyros valdymo skydelį arba tiesiogiai jūsų patvirtintu el. pašto adresu prieš jiems įsigaliojant.