Privatumo politika

Klizai MB, juridinio asmens kodas {{IMONES_KODAS}}, PVM mokėtojo kodas {{PVM_KODAS}}, registruotos buveinės adresas {{REGISTRUOTAS_ADRESAS}}, Lietuva. Kontaktas duomenų klausimais: {{DUOMENU_APSAUGOS_KONTAKTAS}}.

Klizai MB neturi paskirto duomenų apsaugos pareigūno (DAP) ir vertina, kad BDAR 37 str. jo skirti neįpareigoja. Visais duomenų klausimais atsakoma aukščiau nurodytu adresu.

Du vaidmenys, kurių nereikia painioti:

• Kliento (parduotuvės) paskyros duomenys. Čia Klizai MB yra duomenų valdytojas. Mes patys sprendžiame, kam ir kodėl juos tvarkome: registracija, atsiskaitymas, pagalba.
• Pokalbių duomenys iš parduotuvės lankytojų. Čia Klizai MB yra tik duomenų tvarkytojas. Valdytojas yra parduotuvė, įsidiegusi pokalbių langą. Mes tvarkome tuos duomenis tik pagal jos nurodymus. Jei esate parduotuvės lankytojas ir norite įgyvendinti savo teises — kreipkitės pirmiausia į parduotuvę, kurios svetainėje kalbėjotės. Sutarties sąlygos šiam vaidmeniui yra DPA.

2.1. Kliento paskyra (valdytojas — Klizai MB). El. pašto adresas ir slaptažodžio kriptografinė santrauka (tvarko Supabase Auth), parduotuvės domenas, prenumeratos planas ir būsena, atsiskaitymo duomenys per Stripe. Kortelės numerio mes nesaugome ir nematome — jį tvarko Stripe.

2.2. Pokalbiai su pokalbių langu (tvarkytojas — valdytojas yra parduotuvė). Tvarkomi šie duomenys:

• Pokalbio žinutės — viskas, ką lankytojas įrašo, ir AI atsakymai (messages.content). Jei lankytojas į pokalbio langą įrašo asmens duomenų, jie bus išsaugoti.
• visitor_id — atsitiktinis identifikatorius, sugeneruotas naršyklėje ir saugomas localStorage. Nesusietas su jūsų vardu ir nekeliauja tarp svetainių, bet leidžia susieti to paties lankytojo pokalbius toje pačioje parduotuvėje.
• Techniniai metaduomenys — puslapio adresas, kuriame pradėtas pokalbis (source_url), naršyklės user_agent, pokalbio kalba, laiko žymos.
• Kontaktai, jei lankytojas juos pats pateikia — vardas, el. paštas, žinutė (leads lentelė). Tik tada, kai lankytojas sąmoningai užpildo formą.
• visitor_email ir laiškų turinys — jei parduotuvė įjungė el. pašto kanalą ir lankytojas parašo laišką.
• Neatsakytos užklausos (knowledge_gaps) — klausimo tekstas išsaugomas, kai AI neranda atsakymo, kad parduotuvė galėtų papildyti žinių bazę. Šiame tekste gali būti lankytojo žodžių.

2.3. IP adresas. IP naudojamas užklausų dažnio ribojimui (apsaugai nuo piktnaudžiavimo) per Upstash Redis. Į mūsų duomenų bazę pokalbių lentelėje IP adresas neįrašomas.

2.4. Ko nerenkame. SmartChat svetainėje nėra Google Analytics, Meta Pixel, Hotjar ar bet kokių kitų reklamos arba analitikos sekimo įrankių. Mes neprofiliuojame lankytojų reklamai ir neparduodame duomenų.

Būkime tikslūs, nes čia lengva pažadėti daugiau, nei sistema daro:

• Pokalbiai ir žinutės. Kiekviena parduotuvė gali nusistatyti savo saugojimo terminą dienomis; kas naktį 03:00 automatinis procesas ištrina už jo ribų esančius pokalbius. Pagal numatytuosius nustatymus terminas yra nenustatytas, todėl pokalbiai saugomi neterminuotai, kol parduotuvė nenustato termino arba jų neištrina. Mes to nevadiname atitiktimi — tai numatytoji reikšmė, kurią parduotuvė turėtų pakeisti.
• Kontaktai (leads). Automatinis valymas jų neliečia — tai pardavimo įrašai, kuriuos parduotuvė tvarko pati. Jie lieka, kol parduotuvė juos ištrina arba kol įvykdomas ištrynimo prašymas.
• Paskyros duomenys. Saugomi, kol galioja sutartis. Nutraukus prenumeratą — {{PASKYROS_SAUGOJIMO_TERMINAS}}.
• Apskaitos dokumentai. Saugomi tiek, kiek reikalauja LR teisės aktai — {{APSKAITOS_SAUGOJIMO_TERMINAS}}.

Pagrindinė duomenų vieta yra Europos Sąjungoje — duomenų bazė Frankfurte (Supabase), programa vykdoma Frankfurte (Vercel, regionas fra1), rate limiting Airijoje (Upstash), klaidų stebėsena Frankfurte (Sentry ES regionas).

Tikslumo dėlei: visą pokalbių turinį tvarko Frankfurte veikianti funkcija. Prieš ją užklausa pereina Vercel pasaulinį pakraščio (edge) tinklą, kuris atnaujina prisijungusio kliento sesijos slapuką ir prideda saugumo antraštes. Tame etape pokalbių turinys netvarkomas, bet sesijos slapukas gali pereiti ne ES esantį mazgą.

Svarbu — perdavimas į JAV. AI atsakymams sugeneruoti pokalbio žinutės siunčiamos į Anthropic (Claude), o tekstui vektorizuoti — į OpenAI (text-embedding-3-small). Abi bendrovės yra Jungtinėse Amerikos Valstijose. Tai reiškia, kad pokalbio turinys išeina už ES/EEE ribų. Tai yra perdavimas į trečiąją valstybę pagal BDAR V skyrių ir jis vyksta kiekvieno pokalbio metu, o ne kaip išimtis. Perdavimo apsaugos priemonė — standartinės sutarčių sąlygos (SCC) su kiekvienu tiekėju; papildomai gali būti taikomas ES–JAV duomenų privatumo sistemos (DPF) sertifikatas. {{PATVIRTINTI_SCC_IR_DPF_STATUSA}}

Pilnas tvarkytojų sąrašas su vietomis ir perdavimo pagrindais — /subprocessors.

Ar Anthropic ir OpenAI naudoja mūsų perduotus duomenis savo modelių mokymui pagal galiojančias komercines sąlygas — {{PATVIRTINTI_MOKYMO_ISJUNGIMA}}. Kol tai nepatvirtinta dokumentais, šioje politikoje to netvirtiname.

Šioje svetainėje (smartchat.lt ir chat.smartchat.lt) naudojami tik būtinieji slapukai — prisijungusio kliento sesija (Supabase Auth). Analitikos ar reklamos slapukų nėra.

Pokalbių langas parduotuvės svetainėje slapukų nenaudoja, bet įrašo tris reikšmes į naršyklės localStorage:

• smartchat_visitor_id — atsitiktinis lankytojo identifikatorius;
• smartchat_session — vykstantis pokalbis, kad jis nedingtų naršant puslapius (galioja 12 val.);
• smartchat_open — ar pokalbio langas buvo atidarytas (galioja 12 val.).

Šias reikšmes galite ištrinti bet kada išvalę naršyklės duomenis. Atkreipiame dėmesį: už sutikimo surinkimą savo svetainėje atsako parduotuvė, nes ji yra tos svetainės valdytoja — šis skyrius pateiktas tam, kad ji galėtų tiksliai aprašyti pokalbių langą savo slapukų juostoje.

Pagal BDAR turite teisę susipažinti su savo duomenimis (15 str.), juos ištaisyti (16 str.), ištrinti (17 str.), apriboti tvarkymą (18 str.), perkelti (20 str.) ir nesutikti su tvarkymu (21 str.).

Į ką kreiptis. Jei esate parduotuvės lankytojas — kreipkitės į tą parduotuvę. Ji yra valdytoja ir mes veikiame pagal jos nurodymus; jei ji kreipiasi į mus, mes turime įrankius prašymą įvykdyti. Jei esate mūsų klientas (paskyros turėtojas) — rašykite tiesiogiai adresu {{DUOMENU_APSAUGOS_KONTAKTAS}}.

Techninė riba, apie kurią verta žinoti. Ištrynimo ir duomenų pateikimo įrankiai identifikuoja asmenį pagal el. pašto adresą. Jei kalbėjotės su pokalbių langu ir niekada nepalikote el. pašto, jūsų pokalbis yra susietas tik su atsitiktiniu visitor_id, todėl mes negalime patikimai atrinkti būtent jūsų įrašų pagal vardą — tokiu atveju reikės nurodyti visitor_id arba pokalbio kontekstą.

Shopify parduotuvėms veikia privalomi Shopify GDPR webhook'ai (customers/redact, customers/data_request, shop/redact), kuriuos apdorojame automatiškai.

Skundą galite pateikti Valstybinei duomenų apsaugos inspekcijai (L. Sapiegos g. 17, Vilnius, vdai.lrv.lt).

SmartChat generuoja atsakymus automatiškai, bet nepriima sprendimų, kurie turėtų teisinių pasekmių ar panašiai reikšmingai paveiktų asmenį pagal BDAR 22 str. Pokalbių robotas konsultuoja — jis neskiria kainų, nesudaro sutarčių ir neatmeta užsakymų savarankiškai.

Taikome: duomenų atskyrimą tarp klientų duomenų bazės lygmeniu (PostgreSQL Row Level Security), šifravimą perdavimo metu (TLS) ir saugojimo metu, jautrių prieigos raktų (Shopify, WordPress, Gmail) šifravimą programos lygmeniu, užklausų dažnio ribojimą ir prieigos prie duomenų bazės apribojimą. Nė viena priemonė nesuteikia absoliučios garantijos.

Programos lygmens šifravimas įjungtas 2026-08-02. Iki tol prieigos raktai buvo saugomi neužšifruoti. Anksčiau įrašyti raktai užšifruojami tada, kai kanalas prisijungiamas iš naujo — sakome tai atvirai, nes teiginys „šifruojame“ be šios pastabos apimtų ir tai, kas dar neužšifruota.

Apie esminius pakeitimus informuosime klientus el. paštu arba paskyroje ne vėliau kaip {{PRANESIMO_TERMINAS}} iki jų įsigaliojimo.