Datu apstrādes līgums

Pārzinis: Kontevia pakalpojuma Klients, uzņēmums vai pašnodarbināta persona, kas apstrādā personas datus, kuri ietverti tā grāmatvedības dokumentos un citos Pakalpojumam iesniegtajos datos.

Apstrādātājs: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Čehijas Republika, uzņēmuma reģistrācijas numurs 22103741, reģistrēts Prāgas pilsētas tiesas uzturētajā Komercreģistrā, lietas Nr. C 410771. Kontaktinformācija datu aizsardzības jautājumos: hello@kontevia.com.

1.1. Šis Līgums nosaka pušu tiesības un pienākumus, kad Apstrādātājs Klienta uzdevumā apstrādā personas datus, sniedzot Kontevia pakalpojumu ("Pakalpojums").

1.2. Šis Līgums ir Noteikumu un nosacījumu neatņemama sastāvdaļa un stājas spēkā, kad Klients reģistrējas Pakalpojumam. Tas ir spēkā tik ilgi, kamēr Apstrādātājs Klienta uzdevumā apstrādā personas datus.

2.1. Apstrādātājs apstrādā personas datus vienīgi Pakalpojuma sniegšanas nolūkā, proti:

• grāmatvedības dokumentu, kas iesniegti pa tērzēšanas kanālu, e-pastu vai augšupielādē, saņemšana un digitalizācija;
• datu izgūšana no dokumentiem, izmantojot optisko rakstzīmju atpazīšanu un automatizētus datu izgūšanas modeļus;
• kategorizācija, dublikātu noteikšana un PVN piemērošanas priekšlikumi;
• rēķinu un citu dokumentu izrakstīšana pēc Klienta norādījuma;
• Klienta pievienoto bankas darījumu importēšana un to saskaņošana ar dokumentiem;
• kopsavilkumu, pārskatu un eksportu sagatavošana Klienta grāmatvedības sistēmai vai konsultantam;
• dokumentu un datu glabāšana Pakalpojumā līguma darbības laikā un eksporta periodā.

2.2. Apstrādātājs apstrādā personas datus tikai saskaņā ar Klienta dokumentētiem norādījumiem, tostarp norādījumiem par nodošanu trešajām valstīm, ja vien to nepieprasa Savienības vai dalībvalsts tiesību akti; šādā gadījumā Apstrādātājs informē Klientu pirms apstrādes, ja vien tiesību akti to neaizliedz.

3.1. Datu subjekti: Klienta uzņēmējdarbības partneri (piegādātāji, klienti, kontaktpersonas), Klienta darbinieki un līgumdarbinieki gadījumos, kad tiek apstrādāti algas vai izdevumu dokumenti, kā arī Klienta paša Pakalpojuma lietotāji.

3.2. Personas datu kategorijas: identifikācijas dati (vārds, uzvārds, uzņēmuma nosaukums, uzņēmuma un PVN maksātāja reģistrācijas numuri); kontaktdati (adrese, e-pasts, tālrunis); finanšu dati (rēķinu summas, bankas konta numuri, maksājumu norādes); nodarbinātības dati, ja tiek iesniegti algu dokumenti (amats, alga, apdrošināšanas identifikatori); Klienta lietotāju lietošanas dati.

3.3. Apstrādātājam nav nepieciešamas īpašo kategoriju datu apstrāde VDAR 9. panta izpratnē. Klients apņemas nesniegt šādus datus, izmantojot Pakalpojumu, ja vien tie nav ietverti dokumentā, kuru Klientam saskaņā ar likumu ir pienākums glabāt; šādā gadījumā Klients ir atbildīgs par apstrādes tiesisko pamatu.

Apstrādātājs apņemas:

• apstrādāt personas datus tikai saskaņā ar Klienta dokumentētiem norādījumiem un tikai tādā apmērā, cik nepieciešams Pakalpojuma sniegšanai;
• nodrošināt, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai uz tām attiecas atbilstošs likumā noteikts konfidencialitātes pienākums;
• ieviest VDAR 32. pantā prasītos tehniskos un organizatoriskos pasākumus, jo īpaši tos, kas uzskaitīti šī Līguma pielikumā;
• neiesaistīt citu apstrādātāju bez Klienta iepriekšējas vispārējas rakstiskas atļaujas, ko Klients piešķir saskaņā ar šī Līguma 6. pantu;
• ņemot vērā apstrādes raksturu, ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem palīdzēt Klientam atbildēt uz datu subjektu pieprasījumiem, izmantojot savas tiesības;
• palīdzēt Klientam nodrošināt atbilstību VDAR 32.–36. pantam (drošība, pārkāpumu paziņošana, ietekmes uz datu aizsardzību novērtējums, iepriekšēja konsultēšanās), ņemot vērā apstrādes raksturu un Apstrādātājam pieejamo informāciju;
• pēc Klienta izvēles dzēst vai atdot visus personas datus pēc Pakalpojuma sniegšanas beigām un dzēst esošās kopijas, ja vien Savienības vai dalībvalsts tiesību akti nepieprasa to glabāšanu;
• darīt Klientam pieejamu visu informāciju, kas nepieciešama, lai pierādītu atbilstību VDAR 28. pantam, un ļaut veikt un piedalīties auditos, tostarp pārbaudēs, ko veic Klients vai Klienta pilnvarots auditors;
• nekavējoties informēt Klientu, ja pēc Apstrādātāja domām kāds norādījums pārkāpj VDAR vai citas Savienības vai dalībvalsts datu aizsardzības normas.

5.1. Apstrādātājs informē Klientu par jebkuru personas datu aizsardzības pārkāpumu bez nepamatotas kavēšanās un ne vēlāk kā 48 stundu laikā pēc tam, kad par to uzzinājis.

5.2. Paziņojumā ietver vismaz: pārkāpuma rakstura aprakstu, tostarp, ja iespējams, skarto datu subjektu un ierakstu kategorijas un aptuveno skaitu; atbildīgās personas vārdu un kontaktinformāciju; iespējamo seku aprakstu; un veikto vai ierosināto pasākumu aprakstu pārkāpuma novēršanai un tā seku mazināšanai.

5.3. Apstrādātājs sadarbojas ar Klientu, lai izpildītu Klienta paziņošanas pienākumus attiecīgajai uzraudzības iestādei un datu subjektiem.

6.1. Klients piešķir vispārēju atļauju Apstrādātājam iesaistīt apakšapstrādātājus personas datu apstrādei.

6.2. Aktuālais apakšapstrādātāju saraksts, norādot katra apstrādes mērķi un atrašanās vietu, ir publicēts Apstrādātāja tīmekļa vietnes lapā "Apakšapstrādātāji" un veido šī Līguma pielikumu.

6.3. Apstrādātājs informē Klientu par jebkuru plānotu apakšapstrādātāja pievienošanu vai nomaiņu vismaz 14 dienas iepriekš, nosūtot e-pastu uz Klienta kontaktadresi vai izvietojot paziņojumu Pakalpojumā, dodot Klientam iespēju iebilst.

6.4. Ja Klients 14 dienu laikā no paziņojuma iesniedz pamatotu iebildumu, Apstrādātājs vai nu atsakās no plānotās izmaiņas, vai piedāvā Klientam iespēju izbeigt līgumu bez soda naudas un ar iepriekš samaksātās maksas atmaksu par neizmantoto periodu.

6.5. Apstrādātājs ar līgumu uzliek katram apakšapstrādātājam tādus pašus datu aizsardzības pienākumus, kādi noteikti šajā Līgumā, jo īpaši pietiekamas garantijas atbilstošu tehnisku un organizatorisku pasākumu īstenošanai. Ja apakšapstrādātājs nepilda savus pienākumus, Apstrādātājs paliek pilnībā atbildīgs Klientam par šī apakšapstrādātāja pienākumu izpildi.

7.1. Personas dati tiek glabāti serveros, kas atrodas Eiropas Savienībā. Apstrādātājs nenodod personas datus ārpus Eiropas Ekonomikas zonas, izņemot apakšapstrādātājiem, kas norādīti lapā "Apakšapstrādātāji", un tikai ar atbilstošām garantijām saskaņā ar VDAR V nodaļu.

7.2. Šāda nodošana pamatojas uz Eiropas Komisijas pietiekamības lēmumu (tostarp ES un ASV Datu privātuma regulējumu attiecībā uz sertificētiem saņēmējiem), Komisijas apstiprinātajām standarta līguma klauzulām saskaņā ar VDAR 46. panta 2. punkta c) apakšpunktu vai citām atbilstošām garantijām, papildinātām ar papildu pasākumiem, ja to prasa nodošanas ietekmes novērtējums.

8.1. Apstrādātājs sniedz Klientam saprātīgu palīdzību, izskatot datu subjektu pieprasījumus izmantot savas tiesības saskaņā ar VDAR 15.–22. pantu (piekļuve, labošana, dzēšana, ierobežošana, pārnesamība, iebildumi). Pakalpojumā ir iekļautas meklēšanas, eksporta un dzēšanas funkcijas, kas ļauj Klientam pašam izskatīt lielāko daļu pieprasījumu.

8.2. Ja datu subjekts sazinās tieši ar Apstrādātāju, Apstrādātājs bez nepamatotas kavēšanās novirza datu subjektu pie Klienta un informē Klientu, ja vien pieprasījums neattiecas uz datiem, attiecībā uz kuriem Apstrādātājs pats ir pārzinis.

9.1. Apstrādātājs ļauj Klientam vai Klienta pilnvarotam auditoram veikt auditus un pārbaudes, lai pārliecinātos par atbilstību šim Līgumam un VDAR.

9.2. Auditi tiek veikti uz Klienta rēķina, ar saprātīgu iepriekšēju paziņojumu vismaz 14 darba dienas iepriekš, darba laikā un tādā veidā, kas netraucē Apstrādātāja darbību vai neapdraud citu klientu datu drošību. Auditoram ir jāievēro konfidencialitāte.

9.3. Klātienes audita vietā Apstrādātājs var iesniegt aktuālus sertifikātus, neatkarīgu auditoru ziņojumus vai citu dokumentāciju, kas apliecina atbilstību drošības pasākumiem, ja tie ir pietiekami, lai atbildētu uz Klienta jautājumiem.

10.1. Šis Līgums ir spēkā tik ilgi, kamēr pastāv līgumattiecības starp Klientu un Apstrādātāju, tas ir, kamēr Klients izmanto Pakalpojumu.

10.2. Pēc līgumattiecību izbeigšanas Apstrādātājs: ļauj Klientam eksportēt savus datus 90 dienu laikā; pēc 90 dienu perioda neatgriezeniski dzēš visus Klienta personas datus; dzēš dublējumkopijas ne vēlāk kā 45 dienu laikā pēc primāro datu dzēšanas; un pēc Klienta pieprasījuma apstiprina dzēšanu. Tas neattiecas uz datiem, kurus Apstrādātājam saskaņā ar Savienības vai dalībvalsts tiesību aktiem jāglabā (jo īpaši rēķinu uzskaites datiem).

10.3. Šī Līguma pienākumi, jo īpaši konfidencialitāte un drošība, paliek spēkā pēc līgumattiecību izbeigšanas tik ilgi, kamēr Apstrādātāja rīcībā ir kādi Klienta personas dati.

11.1. Apstrādātājs ir atbildīgs par zaudējumiem, kas radušies apstrādes rezultātā, pārkāpjot šo Līgumu vai VDAR, saskaņā ar VDAR 82. pantu, jo īpaši, ja tas nav ievērojis VDAR pienākumus, kas īpaši attiecas uz apstrādātājiem, vai ir rīkojies ārpus Klienta likumīgiem norādījumiem vai pretēji tiem.

11.2. Noteikumos un nosacījumos noteiktie atbildības ierobežojumi attiecas uz šo Līgumu tiktāl, ciktāl to pieļauj likums; tie neierobežo datu subjektu tiesības.

12.1. Šo Līgumu regulē Čehijas Republikas tiesību akti un tieši piemērojamie Eiropas Savienības tiesību akti, jo īpaši VDAR.

12.2. Pretrunu gadījumā starp šo Līgumu un Noteikumiem un nosacījumiem, personas datu aizsardzības jautājumos noteicošais ir šis Līgums.

12.3. Grozījumiem šajā Līgumā nepieciešama rakstiska forma, kas ietver atjauninātu versiju, kura publicēta tīmekļa vietnē un par kuru Pārzinis informēts saskaņā ar Noteikumiem un nosacījumiem.

12.4. Strīdus, kas izriet no šī Līguma, izšķir Čehijas Republikas tiesas, kuru kompetencē ir Apstrādātāja juridiskā adrese, neskarot datu subjektu un uzraudzības iestāžu tiesības.

Šifrēšana

• AES-256 šifrēšana glabātajiem datiem, ieskaitot rezerves kopijas.
• TLS 1.2 vai augstāka versija visiem pārraidītajiem datiem, ieskaitot savienojumus ar apakšapstrādātājiem.

Piekļuves kontrole

• Piekļuve saskaņā ar mazāko privilēģiju principu; katram darbiniekam un sistēmai ir tikai tās funkcijai nepieciešamās atļaujas.
• Daudzfaktoru autentifikācija administratīvai un infrastruktūras piekļuvei.
• Klientu darba vidu nodalīšana lietojumprogrammu un datubāzes līmenī.
• Regulāra piekļuves tiesību pārskatīšana un savlaicīga atsaukšana.

Pieejamība un noturība

• Regulāras automatizētas rezerves kopijas ar pārbaudītām atjaunošanas procedūrām.
• Dublēta hostinga infrastruktūra Eiropas Savienības teritorijā.
• Pieejamības un veiktspējas uzraudzība ar brīdinājumiem.

Integritāte un žurnalēšana

• Piekļuves personas datiem un administratīvo darbību žurnalēšana.
• Dokumentu revīzijas pēdas: kurš tos iesniedza, mainīja, apstiprināja vai eksportēja un kad.
• Anomāliju un drošības incidentu atklāšana.

Organizatoriskie pasākumi

• Konfidencialitātes pienākumi visiem darbiniekiem un līgumdarbiniekiem, kuriem ir piekļuve personas datiem.
• Darbinieku apmācība datu aizsardzības un drošības jomā.
• Dokumentētas iekšējās procedūras personas datu apstrādei un datu subjektu pieprasījumu izskatīšanai.
• Incidentu reaģēšanas plāns ar noteiktām lomām un paziņošanas termiņiem.
• Jaunu apakšapstrādātāju datu aizsardzības izvērtēšana pirms iesaistīšanas.