Datu apstrādes līgums
Spēkā no 2023. gada 29. septembra | Skatīt datu apstrādes līguma iepriekšējo versiju | Izmaiņu salīdzinājums
Saskaņā ar Eiropas Parlamenta un Padomes 2016. gada 27. aprīļa Regulu (ES) 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (turpmāk tekstā – "VDAR") pakalpojumu sniedzējs (turpmāk tekstā – "Apstrādātājs") un jūs (turpmāk tekstā – "Pārzinis") slēdzat līgumiskas attiecības par datu apstrādi, lai noteiktu personas datu apstrādes noteikumus un nosacījumus, to aizsardzības veidu, kā arī noteiktu citas tiesības un pienākumus abām pusēm datu subjektu personas datu apstrādē Pārziņa vārdā šo Noteikumu priekšmeta kā galvenā līguma izpildes laikā.
1. Personas datu apstrāde. Pakalpojumi, kas tiek sniegti saskaņā ar šiem Noteikumiem, ietver tādas informācijas apstrādi, kas attiecas uz identificētu vai identificējamu fizisku personu, kas minēta Privātuma politikā (turpmāk tekstā – "Personas dati").
2. Autorizācija. Pārzinis pilnvaro Apstrādātāju apstrādāt Personas datus, tai skaitā sniedz šādus norādījumus:
(i) Apstrādes nolūks ir pakalpojumu sniegšana saskaņā ar šiem Noteikumiem. Apstrādātājam ir atļauts apstrādāt Personas datus Pārziņa vārdā tikai attiecībā uz Pārziņa pieprasīto pakalpojumu sniegšanu. Visa informācija, kas savākta papildu mērķiem, tiek apstrādāta ārpus Pārziņa un Apstrādātāja līgumattiecībām.
(ii) Apstrādes periods ir periods no sadarbības uzsākšanas saskaņā ar šiem Noteikumiem līdz pakalpojumu pārtraukšanai.
(iii) Personas datu apjoms un kategorijas. Pakalpojumi ir paredzēti tikai vispārīgu personas datu apstrādei. Tomēr tikai Pārzinis ir atbildīgs par personas datu apjoma noteikšanu.
(iv) Datu subjekts ir fiziska persona kā pilnvarots Pārziņa ierīču lietotājs.
v) Apstrādes darbības ir ikviena un visas darbības, kas vajadzīgas apstrādei.
(vi) Dokumentēti norādījumi ir norādījumi, kas aprakstīti šajos Noteikumos, to pielikumos, Privātuma politikā un pakalpojumu dokumentācijā. Pārzinis ir atbildīgs par Apstrādātāja veiktās Personas datu apstrādes tiesisko pieļaujamību, ievērojot attiecīgi piemērojamos datu aizsardzības tiesību aktu noteikumus.
3. Apstrādātāja pienākumi. Apstrādātāja pienākumi:
(i) Apstrādāt Personas datus, tikai pamatojoties uz Dokumentētiem norādījumiem un mērķiem, kas definēti Noteikumos, to pielikumos, Privātuma politikā un pakalpojumu dokumentācijā.
(ii) Dot norādījumus personām, kuras ir pilnvarotas apstrādāt Personas datus (turpmāk tekstā – "Pilnvarotās personas"), par viņu tiesībām un pienākumiem saskaņā ar VDAR, par viņu atbildību pārkāpuma gadījumā un nodrošināt, ka Pilnvarotās personas ir apņēmušās ievērot konfidencialitāti un ievērot Dokumentētos norādījumus.
(iii) Īstenot un ievērot pasākumus, kas aprakstīti Noteikumos, to pielikumos, Privātuma politikā un pakalpojumu dokumentācijā.
iv) Palīdzēt Pārzinim atbildēt uz Datu subjektu pieprasījumiem, kas saistīti ar viņu tiesībām. Apstrādātājs nedrīkst labot, dzēst Personas datus vai ierobežot to apstrādi bez Pārziņa norādījuma. Visi Datu subjekta pieprasījumi, kas saistīti ar Pārziņa vārdā apstrādātajiem Personas datiem, nekavējoties tiek pārsūtīti Pārzinim.
(v) Palīdzēt Pārzinim paziņot uzraudzības iestādei un Datu subjektam par personas datu aizsardzības pārkāpumu. Apstrādātājs paziņo Pārzinim par jebkuru Personas datu apstrādes vai personas datu drošības pārkāpumu tūlīt pēc atklāšanas. Apstrādātājs samērīgā apjomā sadarbojas šāda pārkāpuma izmeklēšanā un novēršanā un veic samērīgus pasākumus, lai ierobežotu turpmākās negatīvās sekas.
(vi) pēc Pārziņa izvēles dzēst vai atdot visus Personas datus Pārzinim pēc Apstrādes perioda beigām. Pārzinis apņemas desmit (10) dienu laikā pēc Apstrādes perioda beigām informēt Apstrādātāju par savu lēmumu. Šis noteikums neietekmē Apstrādātāja tiesības glabāt Personas datus nepieciešamajā apjomā arhivēšanas nolūkos sabiedrības interesēs, zinātniskās pētniecības nolūkos, statistikas nolūkos vai lai celtu, īstenotu vai aizstāvētu likumīgas prasības.
(vii) Uzturēt atjauninātu reģistru par visām Apstrādes darbību kategorijām, kas veiktas Pārziņa vārdā.
(viii) Darīt Pārzinim pieejamu visu informāciju, kas nepieciešama, lai pierādītu atbilstību, kā daļu no Noteikumiem, to pielikumiem, Privātuma politikas un pakalpojumu dokumentācijas. Ja Pārzinis veic Personas datu apstrādes auditu vai kontroli, Pārziņa pienākums ir rakstveidā informēt Apstrādātāju vismaz trīsdesmit (30) dienas pirms plānotā audita vai kontroles.
4. Cita apstrādātāja piesaistīšana. Apstrādātājs ir tiesīgs piesaistīt citu apstrādātāju konkrētu apstrādes darbību veikšanai, piemēram, mākoņkrātuves un pakalpojuma infrastruktūras nodrošināšanai atbilstoši Noteikumiem, to pielikumiem, Privātuma politikai un pakalpojuma dokumentācijai. Pašlaik Microsoft nodrošina mākoņkrātuvi un infrastruktūru kā daļu no Azure mākoņpakalpojuma. Šādā gadījumā Apstrādātājs paliek vienīgais kontaktpunkts un par atbilstību atbildīgā puse. Apstrādātājs apņemas informēt Pārzini par jebkādu cita apstrādātāja pievienošanu vai nomaiņu, lai būtu iespēja iebilst pret šādām izmaiņām.
5. Apstrādes teritorija. Apstrādātājs nodrošina, ka apstrāde notiek Eiropas Ekonomikas zonā vai valstī, kas ar Eiropas Komisijas lēmumu, pamatojoties uz Pārziņa lēmumu, ir atzīta par drošu. Līguma standartklauzulas piemēro nodošanas un apstrādes gadījumā, ja tā notiek ārpus Eiropas Ekonomikas zonas vai valsts, kura ar Eiropas Komisijas lēmumu pēc Pārziņa pieprasījuma ir atzīta par drošu.
6. Drošība. Apstrādātājs ir ISO 27001:2013 sertificēts un izmanto ISO 27001 sistēmu, lai ieviestu vairāku slāņu aizsardzības drošības stratēģiju, pielietojot drošības kontroles tīkla slānī, operētājsistēmās, datu bāzēs, lietotnēs, personālam un darbības procesos. Atbilstība normatīvajām un līgumiskajām prasībām tiek regulāri novērtēta un pārskatīta līdzīgi kā cita Apstrādātāja infrastruktūra un darbības, un tiek veikti nepieciešamie pasākumi, lai nodrošinātu pastāvīgu atbilstību. Apstrādātājs ir noorganizējis datu drošību, izmantojot ISMS, pamatojoties uz standartu ISO 27001. Drošības dokumentācija galvenokārt ietver politikas dokumentus par informācijas drošību, fizisko drošību, aprīkojuma drošību, incidentu pārvaldību, datu noplūdes un drošības incidentu novēršanu u.c. tematiem.
7. Tehniskie un organizatoriskie pasākumi. Apstrādātājs aizsargā Personas datus pret nejaušiem un nelikumīgiem bojājumiem un iznīcināšanu, nejaušu nozaudēšanu, izmaiņām, nesankcionētu piekļuvi un izpaušanu. Šim nolūkam Apstrādātājs ievieš atbilstošus tehniskos un organizatoriskos pasākumus, kas atbilst apstrādes veidam un ar apstrādi radītajam riskam attiecībā uz Datu subjektu tiesībām atbilstoši VDAR prasībām. Detalizēts tehnisko un organizatorisko pasākumu apraksts ir sniegts drošības politikā.
8. Apstrādātāja kontaktinformācija. Visus paziņojumus, lūgumus, pieprasījumus un citu saziņu par personas datu aizsardzību adresē: ESET, spol. s.r.o., adresāts: Data Protection Officer, Einsteinova 24, 85101 Bratislava, Slovak Republic, email: dpo@eset.sk.