Privatumo politika

Paslauga Zambra priklauso MB Verslo botas, įmonės kodas 306997072, adresas: Perkūnkiemio g. 19, LT-12120 Vilnius, Lietuva. Susisiekti galima el. paštu privacy@zambra.io.

Vaidmenys yra du, ir juos svarbu skirti. Paties naudotojo paskyros duomenų — vardo, el. pašto, prisijungimo — atžvilgiu mes esame duomenų valdytojas. O duomenų, kuriuos naudotojas suveda apie savo užsakovus, svečius ir paslaugų teikėjus, valdytojas yra pats naudotojas, o mes esame duomenų tvarkytojas ir veikiame pagal jo nurodymus (BDAR 28 straipsnis). Tai reiškia, kad tokio tvarkymo tikslą ir apimtį nustato jis, o ne mes.

Sistemoje yra trys žmonių grupės, ir jos patenka pas mus skirtingai:

• Naudotojas — renginių vedėjas, didžėjus, fotografas, agentūra ar jų darbuotojas. Jis registruojasi pats ir duomenis suveda pats.
• Naudotojo užsakovas — pora arba įmonė, užsakiusi renginį. Jų duomenis suveda naudotojas savo darbui.
• Renginio svečias — žmogus, pakviestas į svetimą šventę. Svečias mums nieko apie save nepaliko ir pas mus niekada nesiregistravo.

Pastarąjį dalyką verta pasakyti tiesiai: svečias su mumis jokios sutarties nesudarė ir dažniausiai apskritai nežino, kad tokia paslauga egzistuoja. Šiuo metu apie svečius sistemoje saugomas daugiausia jų skaičius renginyje. Jei naudotojas įveda svečią kaip kontaktą, tokiam įrašui taikomos tos pačios taisyklės kaip ir bet kuriam kontaktui, o duomenų valdytojas lieka naudotojas — jam ir adresuojami tokio svečio prašymai. Mes padėsime juos įvykdyti.

Paskyra ir prisijungimas: vardas, el. pašto adresas, slaptažodžio maiša (paties slaptažodžio nesaugome ir atkurti negalime), sąsajos kalba, priklausymas organizacijai ir vaidmuo joje, taip pat seansų įrašai — prisijungimo laikas, galiojimo pabaiga ir naršyklės eilutė.

Organizacijos darbo duomenys, kuriuos suveda naudotojas:

• kontaktai: vardas, bendravimo kalba, ryšio kanalai — telefonas, el. paštas, paskyros pokalbių programėlėse ir socialiniuose tinkluose, pastabos apie žmogų;
• renginiai ir datos: data ir dienos dalis, renginio tipas, vieta ir jos laiko juosta, svečių skaičius, laisvos pastabos;
• pinigai: mokėjimų sumos su valiuta, jų paskirtis ir būsena — planuojama ar gauta;
• paslaugų teikėjai ir renginių vietos, įskaitant privačius naudotojo įvertinimus apie juos;
• veiksmų žurnalas — kas ir kada pasikeitė, ginčytiniems atvejams išsiaiškinti.

Mes nerenkame ir neprašome specialių kategorijų duomenų: sveikatos, tikėjimo, politinių pažiūrų, biometrijos. Jei naudotojas ką nors panašaus įrašys į laisvą pastabą, tai lieka jo, kaip duomenų valdytojo, atsakomybė.

Kad teiktume pačią paslaugą: tvarkytume datų kalendorių, renginių korteles, kontaktus ir atsiskaitymus. Kad įleistume naudotoją į jo paskyrą ir neįleistume pašalinių. Kad nagrinėtume gedimus ir piktnaudžiavimą. Kad atsakytume į kreipimusis.

Duomenų neparduodame, reklamos tinklams neperduodame ir naudotojo darbo duomenų turinio modeliams mokyti nenaudojame.

• Sutarties su naudotoju vykdymas — BDAR 6 str. 1 d. b punktas: be jo duomenų tvarkymo paslauga veikti negali.
• Teisėtas interesas — 6 str. 1 d. f punktas: paslaugos saugumas, apsauga nuo neteisėtos prieigos, veiksmų žurnalas.
• Užsakovų ir svečių duomenų pagrindą nustato naudotojas kaip duomenų valdytojas; mes juos tvarkome pagal jo nurodymus.
• Sutikimas — ten, kur jo prašome atskirai. Sutikimą bet kada galima atšaukti.

Kartu su sutikimo faktu išsaugome kalbą, kuria žmogus jį davė. Lietuviškai duotas sutikimas ir turi būti pateikiamas lietuviškai — kitaip jo neįrodysi.

Viskas saugoma Europos Sąjungoje: Hetzner Online GmbH serveris mieste Falkenstein, Deutschland. Ten pat yra duomenų bazė, programos failai ir atsarginės kopijos. Atskirų kopijų už ES ribų nėra.

Tai ne pasirinkimas iš patogumo, o reikalavimas: ES piliečių asmens duomenys, įskaitant svečių, kurie pas mus niekada nesiregistravo, lieka ES.

Domeno įrašus tvarko Cloudflare, tačiau srauto tarpinis siuntimas per jų tinklą sąmoningai išjungtas — ryšys eina tiesiai į mūsų serverį Vokietijoje ir iššifruojamas tik jame.

Vienintelis duomenų perdavimas už ES ribų aprašytas 8 skyriuje.

Balsu suvesti duomenis yra pagrindinis įvedimo būdas, todėl elgesį su įrašu aprašome išsamiai.

Įrašas iššifruojamas mūsų pačių serveryje ES nuosava atpažinimo tarnyba (Whisper modelis). Garso įrašas nesiunčiamas nei į Google, nei į Apple, nei į jokią kitą išorinę atpažinimo paslaugą ir ES neapleidžia.

Įrašo failas egzistuoja tik iššifravimo metu ir iš karto po jo ištrinamas — duomenų bazėje lieka iššifruotas tekstas, o ne garsas. Balso pastabų archyvo mes neturime.

Kad pastaba virstų renginio laukais — data, užsakovu, vieta, suma, — pastabos tekstas siunčiamas į Anthropic PBC (JAV), Claude modelį. Tai vienintelis atvejis, kai duomenys iš paslaugos iškeliauja į išorę, ir mes jį įvardijame tiesiai, o ne slepiame tiekėjų sąraše.

• Kas iškeliauja: pastabos tekstas tokia forma, kokia naudotojas jį parašė ar padiktavo. Jame gali būti vardų, telefonų, renginių vietų pavadinimų ir sumų.
• Kas neiškeliauja: garso įrašas, slaptažodžiai, duomenų bazės turinys, kitų naudotojų duomenys.
• Kada: tik naudotojui paspaudus „apdoroti“. Foninio siuntimo nėra.
• Kam: iš laisvo teksto išgauti struktūrą. Rezultatas parodomas naudotojui patikrinti ir į duomenų bazę įrašomas tik jam patvirtinus.

Perdavimas vyksta pagal sutartį su Anthropic, apimančią Europos Komisijos standartines sutarčių sąlygas (SCC) perdavimams į trečiąsias valstybes.

• Paskyros ir organizacijos duomenys — kol paskyra egzistuoja, ir iki 30 dienų po prašymo ištrinti.
• Prisijungimo seansas — 30 dienų, paskui baigiasi savaime.
• Ištrinti įrašai pirmiausia pažymimi ištrintais ir nustoja rodytis, o gavus prašymą pašalinami galutinai.
• Atsarginės kopijos saugomos 14 parų ir perrašomos ratu — vadinasi, ištrinti duomenys iš kopijų dingsta ne vėliau kaip per 14 parų.
• Garso įrašai nesaugomi apskritai — žr. 7 skyrių.

Pagal BDAR galima reikalauti: susipažinti su savo duomenimis, ištaisyti netikslius, ištrinti, apriboti tvarkymą, perkelti duomenis kompiuteriu skaitomu formatu, nesutikti su tvarkymu teisėto intereso pagrindu, taip pat atšaukti anksčiau duotą sutikimą.

Prašymas siunčiamas el. paštu privacy@zambra.io. Atsakome ne vėliau kaip per 30 dienų. Jei duomenis suvedė paslaugų teikėjas ir valdytojas yra jis, prašymą jam perduosime ir padėsime įvykdyti techniškai.

Jei atsakymas netenkina, galima skųstis priežiūros institucijai — Valstybinei duomenų apsaugos inspekcijai (vdai.lrv.lt) — arba savo ES valstybės priežiūros institucijai.

Naudojame vieną techninį slapuką — seanso identifikatorių, be kurio po prisijungimo neįmanoma likti sistemoje. Jame yra atsitiktinė žymė, o ne asmens duomenys; duomenų bazėje saugoma tik jos maiša.

Analitikos, reklamos pikselių ir trečiųjų šalių sekiklių paslaugoje nėra.

Slaptažodžiai saugomi kaip maiša. Ryšys tik per HTTPS. Duomenų bazė į išorę neatverta ir pasiekiama tik programai. Serverį dengia ugniasienė, saugumo atnaujinimai diegiami automatiškai. Atsarginės kopijos daromos kasdien ir tikrinama, kad nebūtų tuščios.

Absoliučios apsaugos nebūna. Apie incidentą, keliantį grėsmę žmonių teisėms ir laisvėms, pranešime priežiūros institucijai ir paliestiems naudotojams BDAR nustatytais terminais.

Politika keisis kartu su produktu. Galiojanti redakcija — nuo 2026-08-12. Apie esminius pakeitimus naudotojus informuosime prieš jiems įsigaliojant.

MB Verslo botas, Perkūnkiemio g. 19, LT-12120 Vilnius, Lietuva. El. paštas: privacy@zambra.io. Atskiras duomenų apsaugos pareigūnas (DPO) nepaskirtas: tvarkymo mastas to pagal BDAR 37 straipsnį nereikalauja. Kreipimusis skaito pati įmonė.