1. pielikums. Datu apstrādes līgums

Šis pielikums ir labaksveikals.lv Pakalpojuma noteikumu sastāvdaļa. Tas ir noslēgts elektroniski saskaņā ar VDAR 28. panta 9. punktu un ir spēkā no veikala izveides brīža, kamēr ir spēkā pakalpojuma līgums un līdz datu dzēšanai.

1. Puses

1.1. Pārzinis ir Klients — veikala īpašnieks, kas izmanto labaksveikals.lv sava interneta veikala darbināšanai.

1.2. Apstrādātājs ir SIA “Alenda”, reģ. Nr. 43603060721, Kļavu iela 8, Bauska, LV-3901, info@labaksveikals.lv.

2. Priekšmets, raksturs un mērķis

2.1. Apstrādātājs nodrošina veikala mitināšanu, programmatūras uzturēšanu, rezerves kopijas, darījumu e-pastu nosūtīšanu, apstrādi ar MI rīkiem Pārziņa uzdevumā un tehnisko atbalstu.

2.2. Apstrāde notiek tikai pakalpojuma sniegšanai un pēc Pārziņa dokumentētiem norādījumiem. Norādījumi ir pakalpojuma noteikumi, veikala iestatījumi un darbības, ko Pārzinis pats izvēlas, kā arī Pārziņa pieprasījumi rakstiski vai Apstrādātāja atbalsta sistēmā (čatā vai pieteikumā).

2.3. Apstrādātājs neizmanto Pārziņa klientu datus saviem mērķiem, tos nepārdod un neizmanto mārketingam.

2.4. Norādījumi attiecas arī uz personas datu nodošanu uz trešām valstīm. Ja apstrādi prasa ES vai dalībvalsts tiesību akti, Apstrādātājs pirms apstrādes par to informē Pārzini, ja vien likums to neaizliedz.

2.5. Apstrādātājs nekavējoties informē Pārzini, ja, pēc tā domām, kāds norādījums pārkāpj VDAR vai citus datu aizsardzības tiesību aktus.

3. Datu subjektu kategorijas un personas datu veidi

3.1. Datu subjekti: veikala pircēji, reģistrētie lietotāji, apmeklētāji, jaunumu saņēmēji, B2B klientu kontaktpersonas un Pārziņa darbinieki ar piekļuvi veikalam.

3.2. Personas dati: vārds, uzvārds, e-pasts, tālrunis, piegādes un rēķina adrese, uzņēmuma rekvizīti, pasūtījumu vēsture, maksājuma statuss (kartes datus apstrādā maksājumu pakalpojuma sniedzējs, nevis platforma), IP adrese, sīkdatnes un tehniskie žurnāli, saziņas saturs.

3.3. Īpašu kategoriju datus (VDAR 9. pants) Apstrādātājs neapstrādā, ja vien Pārzinis tos neievāc pats; par to atbild Pārzinis.

4. Apstrādātāja pienākumi

4.1. Konfidencialitāte. Datiem piekļūst tikai personas, kurām tas nepieciešams darbam un kurām ir konfidencialitātes pienākums.

4.2. Drošība. Apstrādātājs veic šī pielikuma beigās aprakstītos drošības pasākumus (VDAR 32. pants).

4.3. Datu subjektu pieprasījumi. Pieprasījumus (piekļuve, labošana, dzēšana, pārnesamība) Pārzinis izpilda pats ar veikala administrācijas rīkiem. Ja tas nav iespējams, Apstrādātājs palīdz saprātīgā termiņā. Palīdzība, kas pārsniedz parasto atbalstu, var būt maksas, par to iepriekš vienojoties.

4.4. Pārkāpumi. Personas datu aizsardzības pārkāpuma gadījumā Apstrādātājs bez nepamatotas kavēšanās, ne vēlāk kā 48 stundu laikā pēc tā konstatēšanas, rakstiski informē Pārzini uz konta e-pastu. Paziņojumā norāda zināmo informāciju: pārkāpuma raksturu, skarto datu kategorijas un aptuveno apjomu, iespējamās sekas, veiktos un ieteicamos pasākumus un kontaktpersonu. Informāciju papildina, tiklīdz kļūst zināms vairāk. Apstrādātājs katru pārkāpumu reģistrē incidentu žurnālā un palīdz Pārzinim izpildīt VDAR 33. un 34. panta pienākumus; paziņot uzraudzības iestādei un datu subjektiem ir Pārziņa pienākums.

4.5. Citas palīdzības. Apstrādātājs palīdz Pārzinim izpildīt VDAR 32.–36. pantā noteiktos pienākumus, ciktāl tie attiecas uz platformu.

4.6. Informācija un auditi. Pēc Pārziņa rakstiska un pamatota pieprasījuma Apstrādātājs 1 mēneša laikā sniedz informāciju, kas nepieciešama šī līguma izpildes pierādīšanai. Ja ar to nepietiek, Pārzinis var veikt auditu ne biežāk kā reizi gadā; šis ierobežojums neattiecas uz auditu pēc personas datu aizsardzības pārkāpuma vai pēc uzraudzības iestādes prasības. Par auditu paziņo vismaz 30 dienas iepriekš. To veic darba laikā, nekaitējot citiem klientiem un ievērojot konfidencialitāti, un tā izmaksas sedz Pārzinis.

5. Mākslīgā intelekta izmantošana

5.1. Apstrādātājs izmanto MI rīkus pakalpojuma uzturēšanai, veikala izveidei un tehniskajam atbalstam. Pārziņa personas datiem drīkst piekļūt tikai MI rīki, kas darbojas uz Apstrādātāja uzņēmuma (komerciālā) konta ar pakalpojuma sniedzēja datu apstrādes līgumu, kurš aizliedz datus izmantot modeļu apmācībai. Privātie vai patērētāju MI konti Pārziņa datiem nepiekļūst.

5.2. Pārziņa personas dati netiek izmantoti programmatūras izstrādei vai testēšanai.

5.3. MI rīks piekļūst konkrētā Pārziņa veikalam un tā datiem tikai tad, ja tas nepieciešams Pārziņa pieteiktam vai drošības uzdevumam, tikai šim uzdevumam vajadzīgajā apjomā un laikā. Piekļuve un veiktās darbības tiek reģistrētas žurnālā. Pārzinis šo piekļuves žurnālu redz veikala administrācijā (sadaļa “Piekļuves žurnāls”); ieraksti tiek glabāti 12 mēnešus.

5.4. MI rīki nepieņem lēmumus ar juridiskām vai līdzīgi būtiskām sekām Pārziņa pircējiem un nesūta ziņas Pārziņa vārdā bez cilvēka apstiprinājuma.

6. Pārziņa pienākumi un tiesības

6.1. Pārzinis atbild par apstrādes likumīgumu un tiesisko pamatu, par to, ka pircēji saņem VDAR 13. un 14. pantā noteikto informāciju (veikala privātuma politika), un par piekrišanām, kā arī par to, lai norādījumi atbilstu VDAR.

6.2. Pārzinim ir tiesības dot norādījumus saskaņā ar 2.2. punktu, saņemt informāciju par apstrādi un veikt auditu saskaņā ar 4.6. punktu.

7. Apakšapstrādātāji

7.1. Pārzinis dod vispārēju atļauju izmantot zemāk minētos apakšapstrādātājus. Aktuālais saraksts ir arī lapā labaksveikals.lv/apaksapstradataji/. Par jaunu apakšapstrādātāju Apstrādātājs paziņo vismaz 14 dienas iepriekš uz Pārziņa e-pastu. Pārzinis šajā termiņā var pamatoti iebilst; ja vienoties neizdodas, Pārzinis var izbeigt līgumu bez līgumsoda un saņemt atmaksu par neizmantoto apmaksāto periodu. Ja Pārzinis neiebilst, uzskatāms, ka Pārzinis piekrīt.

7.2. Ar katru apakšapstrādātāju ir līgums ar līdzvērtīgiem datu aizsardzības pienākumiem. Apstrādātājs pilnībā atbild Pārzinim par apakšapstrādātāju pienākumu izpildi.

7.3. Maksājumu pakalpojumu sniedzēji (piemēram, EveryPay) un piegādes pakalpojumi, ko Pārzinis pievieno savam veikalam, ir Pārziņa paša izvēlēti partneri, ar kuriem Pārzinis slēdz savu līgumu; tie nav Apstrādātāja apakšapstrādātāji.

8. Datu nodošana ārpus EEZ

Datus ārpus EEZ nodod tikai ar VDAR V nodaļā paredzētiem aizsardzības mehānismiem (lēmums par aizsardzības līmeņa pietiekamību, arī ES–ASV Datu privātuma regulējums, vai līguma standartklauzulas).

9. Glabāšana, atdošana un dzēšana

9.1. Līguma beigās Pārzinis izvēlas, vai dati tiek atdoti (eksports) vai dzēsti, saskaņā ar pakalpojuma noteikumu 10. punktu. Eksports ietver pasūtījumus, klientus un preces CSV un JSON formātā, pilnu datubāzes kopiju un augšupielādētos failus. Ja Pārzinis izvēli neizdara, Apstrādātājs pēc noteikumu 10.6. punktā noteiktā termiņa datus dzēš.

9.2. Veikala datubāze, faili un domēna iestatījumi tiek dzēsti no darba sistēmām; dzēšanas drošības arhīvs tiek neatgriezeniski iznīcināts ne vēlāk kā 7 dienas pēc tam. Katrs solis tiek reģistrēts žurnālā.

9.3. Rezerves kopijas tiek dzēstas automātiski: datubāzu stundas kopijas — pēc 2 dienām, ikdienas kopijas — 30 dienas pēc to izveides. Mākoņpakalpojuma sniedzējs dzēstās kopijas vēl līdz 7 dienām glabā tikai atjaunošanai, pēc tam tās tiek neatgriezeniski iznīcinātas. Pēc dzēšanas no darba sistēmām Pārziņa dati no visām rezerves kopijām izzūd ne vēlāk kā 38 dienu laikā.

9.4. Ja normatīvie akti prasa datus glabāt (piemēram, grāmatvedības dokumentus), to dara Pārzinis savās sistēmās.

10. Atbildība un noslēguma noteikumi

10.1. Pušu atbildībai vienai pret otru piemēro pakalpojuma noteikumu 12. punktu. Tas neierobežo datu subjektu tiesības saskaņā ar VDAR 82. pantu.

10.2. Pretrunu gadījumā attiecībā uz personas datu apstrādi noteicošs ir šis līgums.

10.3. Piemērojamie tiesību akti — Latvijas Republikas. Uzraudzības iestāde — Datu valsts inspekcija.

Tehniskie un organizatoriskie pasākumi

• Šifrēts savienojums (HTTPS/TLS) visiem veikaliem un panelim.
• Integrāciju atslēgas tiek glabātas šifrētas; atslēgas var rotēt.
• Katram veikalam ir atsevišķa datubāze un datubāzes lietotājs; katrs veikals darbojas ar savu sistēmas lietotāju un atsevišķu PHP procesu, un veikali nevar piekļūt cits cita failiem.
• Ugunsmūris, aizsardzība pret paroļu minēšanu, piekļuve serveriem tikai ar atslēgām un tikai pilnvarotām personām, automātiski drošības atjauninājumi, ikdienas ievainojamību uzraudzība (WordPress, WooCommerce, operētājsistēma).
• Paroles tiek glabātas jauktā (hash) veidā.
• Rezerves kopijas Apstrādātāja vajadzībām (bez atjaunošanas garantijas, sk. noteikumu 6.3. punktu): datubāzēm katru stundu un katru dienu, failiem katru nakti; glabāšana ES; kopijas tiek šifrētas pirms saglabāšanas, atšifrēšanas atslēga glabājas atsevišķi; piekļuve kopijām tikai pilnvarotām personām.
• MI rīkiem tiek nodoti tikai uzdevumam nepieciešamie dati (5. punkts).
• Piekļuves žurnāls katrā veikalā: Alendas darbinieku, MI rīku un servera komandu piekļuve, kā arī Pārziņa pieslēgto MI rīku darbības; Pārzinis to redz veikala administrācijā, ieraksti glabājas 12 mēnešus.
• Incidentu žurnāls.