JUODRAŠTIS — REIKIA TEISINĖS PERŽIŪROS
Tai nėra pasirašyta sutartis, teisinė konsultacija ar sertifikatas.
Tekstas galioja tik tada, kai abi šalys pasirašo teisininko peržiūrėtą egzempliorių.
Skliaustuose esantys laukai tušti sąmoningai.
2026 m. spalio 17 d. savininkas Mistral administravimo privatumo puslapyje patvirtino, kad jungiklis „use API calls to train Mistral models“ („naudoti API iškvietimus Mistral modeliams mokyti“) išjungtas ir kad Labs modeliai išjungti. Šis atsisakymas mokyti yra aktyvus. Nulinis duomenų saugojimas (Zero Data Retention) nėra užklaustas. Šis puslapis to nelaiko aktyviu.

DUOMENŲ TVARKYMO SUTARTIS
2016 m. balandžio 27 d. Reglamento (ES) 2016/679 (BDAR) 28 straipsnis
VectorInvoice juodraštis

1. Šalys
Duomenų valdytojas: [LEGAL_NAME], [ADDRESS], registracijos arba individualios veiklos pažymos numeris [REGISTRATION_CODE], el. paštas [EMAIL].
Duomenų tvarkytojas: Alexander Mauz, individuali veikla Lietuvoje, PVM mokėtojas.
Pašto adresas, individualios veiklos pažymos numeris, PVM kodas ir el. paštas šiame juodraštyje nepaskelbti. Tikslus vardas pažymoje čia neperrašytas.
Data: [DATE]
Parašai: [SIGNATURE] — tuščia. Šis failas nepasirašytas.

2. Dalykas
Tvarkytojas laiko VectorInvoice ir saugo valdytojo paskyros duomenis, kvitų vaizdus ir sąskaitų laukus, kad valdytojas juos peržiūrėtų ir atsisiųstų failus. Pakviesti komandos nariai įkelia ir peržiūri kvitus toje darbo erdvėje.

3. Trukmė
Nuo [START_DATE] iki paslaugos pabaigos, o po to tik 10 skirsnyje nurodytą laikotarpį. Programos saugojimo langas numatytasis yra 10 metų. Teisininkas laikotarpio ir laukų šiame juodraštyje nepatvirtino. Skaičius yra konfigūracija, ne įstatymo išvada.

4. Pobūdis ir tikslas
Tvarkoma tik saugojimui, rodymui valdytojo naudotojams, sąskaitos laukų skaitymui, kai nustatytas Mistral raktas, atsisiunčiamų failų rengimui ir pagalbai tik po valdytojo leidimo.
Programa atmeta vidinį tikslą pavadinimu „training“. Atskirai savininkas 2026 m. spalio 17 d. patvirtino, kad Mistral jungiklis „use API calls to train Mistral models“ („naudoti API iškvietimus Mistral modeliams mokyti“) išjungtas ir kad Labs modeliai išjungti. Šis patvirtinimas neįjungia Zero Data Retention (nulinis duomenų saugojimas).
VectorInvoice nieko nesiunčia Lietuvos mokesčių inspekcijai (VMI).

5. Duomenų rūšys
Paskyros el. paštas ir vardas. Kvitų vaizdai. Tiekėjų pavadinimai, PVM kodai, sąskaitų numeriai, datos ir sumos. Pirkėjo vardas, kodas ir el. paštas išrašytoje sąskaitoje. Komandos kvietimų el. paštai ir peržiūros komentarai.
PVM kodai, adresai, IBAN, pirkėjo kodai, pirkėjo el. paštai ir kvito failas saugomi užšifruoti, kaip aprašyta 7 skirsnyje. Tiekėjo pavadinimas, sąskaitos numeris, sumos, pirkėjo vardas ir eilutės saugomi atviru tekstu, kad peržiūros ekranas galėtų ieškoti.
Mokėjimo kortelės numeris netvarkomas. Saugomas plano pavadinimas ir atsiskaitymo būsena. Mokėjimo paslaugų teikėjas neprijungtas.

6. Duomenų subjektai
Valdytojo naudotojai, jo pakviesti komandos nariai ir asmenys, nurodyti įkeltuose kvituose ar sąskaitose. Tvarkytojas to sąrašo nenusprendžia.

7. Šioje versijoje esančios priemonės
Aprašas atitinka kodą. Tai nėra sertifikatas. Smulkiau: docs/compliance/art32-toms.md.
- AES-256-GCM 5 skirsnyje nurodytiems laukams ir failams. Kiekvienas mokėtojas turi duomenų raktą, apgaubtą pagrindiniu raktu. Debesijos KMS neprijungtas. Blueprint saugo pagrindinį raktą kaip aplinkos kintamąjį.
- Slaptažodžiai su Argon2id. Seanso slapukai yra httpOnly (išskyrus CSRF slapuką), SameSite=Strict ir Secure, kai diegimas tai įjungia.
- CSRF: nesaugūs prašymai turi siųsti vi_csrf slapuko žetoną.
- Autentifikavimo programos kodai (TOTP) ir vienkartiniai atkūrimo kodai. El. pašto kodai prisijungimui neprivalomi ir nepriimami, kai autentifikatorius jau įjungtas. Administratoriai privalo jį įjungti, nebent diegimas tą taisyklę išjungia. Šis diegimas ją išjungia.
- Ištrynimas nustatymuose vėl prašo slaptažodžio ir vienkartinio el. pašto kodo, tada DELETE_FILES, DELETE_DATA arba DELETE. Kodas pasiekia pašto dėžutę tik tada, kai paštas realiai siunčiamas. Laiškų siuntimas neįgyvendintas. Pašto tiekėjas, jo šalis ir duomenų tvarkymo sąlygos šiame juodraštyje nepaskelbti.
- Dažnio ribos vieno proceso viduje. Jos nėra bendros visiems egzemplioriams.
- Tik papildomas audito žurnalas, kuriame nėra el. pašto adresų, sumų ar laisvo teksto.
- JSON eksportas prisijungus.
- Užšifruotas kvitas taip pat saugomas duomenų bazės eilutėje, nes nemokamas Render diskas paleidus iš naujo išvalomas. Šioje paslaugoje nėra atsarginės kopijos darbo ir nėra išbandyto atkūrimo. Ar Render planas saugo kopijas, čia nepatvirtinta. Mygtukas tiekėjo atsarginių kopijų neištrina.
Antivirusinė tikrina tik tada, kai skeneris sukonfigūruotas. Tikras laiškas su ištrynimo kodu nėra sukonfigūruotas.

8. Subtvarkytojai
Viešas sąrašas yra puslapis /subprocessors. Šiame juodraštyje kodas gali siųsti asmens duomenis:
- Render Services, Inc., 525 Brannan St, San Francisco, CA 94131, Jungtinės Valstijos. Paskelbtas blueprint naudoja Oregono regioną svetainei, API, Postgres ir Redis. Redis išsaugojimas išjungtas. Sutartis: https://render.com/dpa — priėmimas šiame juodraštyje nefiksuotas. Priede aprašytos ES standartinės sutarčių sąlygos perdavimui už EEE ribų. Šis juodraštis netvirtina, kad jos šiam diegimui pasirašytos.
- Mistral AI, 15 rue des Halles, 75001 Paris, Prancūzija, tik kai nustatytas API raktas. Kodas kviečia https://api.eu.mistral.ai OCR, pokalbio užbaigimui ir kalbos atpažinimui. Jis atmeta api.us.mistral.ai, visuotinį adresą api.mistral.ai ir files bei agents API. Sutartis: https://legal.mistral.ai/terms/data-processing-addendum/ — priėmimas šiame juodraštyje nefiksuotas. Atsisakymas mokyti yra aktyvus pagal patvirtinimą antraštėje. Zero Data Retention (nulinis duomenų saugojimas) yra atskiras nustatymas ir nėra užklaustas. Šis juodraštis jo nelaiko aktyviu. Mistral nurodo, kad paskyros ir atsiskaitymo metaduomenys gali būti tvarkomi už ES išvados regiono ribų.
- Europos Komisijos VIES, kai tikrinamas PVM kodas ir paieška neišjungta. Pasirašytos sutarties šioje svetainėje nėra. Teisininkas šiame juodraštyje nenusprendė, ar tai subtvarkytojas.
- Atviri duomenys get.data.gov.lt Lietuvos įmonės kodui, tuo pačiu jungikliu. Ta pati klasifikacija šiame juodraštyje nepaskelbta.
Analitikos tiekėjo ir mokėjimų tiekėjo nėra.
Pranešimas valdytojui prieš įtraukiant naują subtvarkytoją čia aprašytas kaip vardo paskelbimas viešame puslapyje. Tai nėra pasirašytas pranešimo terminas.

9. Perdavimai
Paskelbtas diegimas nustato Oregono regioną, Jungtinėse Valstijose, ne ES regioną. Render dokumentuoja Frankfurto regioną. Šis blueprint jo nenaudoja.
Render perdavimo sąlygos šiame juodraštyje nepriimtos, ir ar gamyba kelsis į ES regioną, čia nenuspręsta. Šis juodraštis neišgalvoja mechanizmo, kurio nėra Render paskelbtame priede.

10. Ištrynimas ir grąžinimas
Nustatymai gali eksportuoti JSON, ištrinti saugomus failus, ištrinti saugomus įrašus arba ištrinti paskyrą. Paskyros ištrynimas nuasmenina prisijungimą ir pašalina seansus bei antrojo veiksnio paslaptis.
Įrašas, kurio laikotarpis patenka į nustatytą langą, gali būti paliktas sutrumpinta eilute: laikotarpis, kryptis, dokumento numeris, data ir sumos. Ne failas, ne vardas, ne adresas ir ne pastabos. Numatytoji reikšmė yra 10 metų ir pažymėta teisiniam patvirtinimui.
Mygtukas neištrina: tiekėjo duomenų bazės atsarginių kopijų, disko momentinių kopijų, laisvos duomenų bazės vietos iki vakuumo, jau išsiųsto laiško ir tik papildomo audito žurnalo.
Duomenų grąžinimas yra eksportas. Kontaktinis adresas prašymui ne per ekraną šiame juodraštyje nepaskelbtas.

11. Pažeidimas
Tvarkytojas be nepagrįsto delsimo praneša valdytojui, kai sužino apie asmens duomenų saugumo pažeidimą, kad valdytojas galėtų pranešti savo priežiūros institucijai. Kai tvarkytojas pats yra valdytojas, Lietuvos institucija yra Valstybinė duomenų apsaugos inspekcija (VDAI), o BDAR 33 straipsnio terminas yra 72 valandos. Tvarkytojas laikosi dokumentuotos pažeidimų tvarkos. Savininko telefonas ir el. paštas tam pranešimui šiame juodraštyje nepaskelbti.

12. Auditai
Valdytojas gali prašyti 7 skirsnio ir docs/compliance/art32-toms.md aprašo. Šis juodraštis nesuteikia teisės į auditą vietoje ir netvirtina, kad atliktas išorinis įsilaužimo testas.
Ar siūlyti suplanuotą auditą ir išorinį testą, šiame juodraštyje nenuspręsta.

13. Parašai
Valdytojo pasirašantis asmuo [SIGNATORY_NAME], vieta [PLACE], data [DATE], parašas [SIGNATURE].
Tvarkytojo pasirašantis asmuo [PROCESSOR_SIGNATORY_NAME], vieta [PLACE], data [DATE], parašas [SIGNATURE].

Juodraščio pabaiga. Nelaikykite šio failo pasirašytu, politika ar sertifikatu.