Datu apstrādes līgums

Informatīvs tulkojums. Šis dokuments ir informatīvs tulkojums latviešu valodā. Juridiski saistošā ir lietuviešu valodas versija (Duomenų tvarkymo sutartis, lietuviešu valodā); tulkojums formulējumā var atšķirties no oriģināla. Visas šī dokumenta iekšējās saites ved uz lapām lietuviešu valodā.

Spēkā no 2026-10-31 (versija 1.3). Šis līgums tiek noslēgts elektroniski: Pārzinis to akceptē portālā (sadaļā „Duomenų tvarkymo sutartis“, t. i., „Datu apstrādes līgums“) pirms sāk apstrādāt personas datus vai apstiprina kopā ar atsevišķu līgumu, kas parakstīts, izmantojot vienreizēju saiti; šajā lapā ir publicēts līguma teksts.

Akceptēšanas forma. Akceptēšana ir vienkāršs elektroniskais paraksts atbilstoši Regulai (ES) Nr. 910/2014, nevis kvalificēts elektroniskais paraksts. Puses iepriekš rakstveidā vienojas, ka šāds paraksts ir līdzvērtīgs rakstveida parakstam (Lietuvas Likuma par elektroniskās identifikācijas un elektronisko darījumu uzticamības pakalpojumiem (Elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatymas) 5. panta 1. daļa) un ka šis līgums ir noslēgts rakstveidā elektroniskā formā (VDAR 28. panta 9. punkts). Apstrādātājs glabā akceptēšanas pierādījumus: līguma versiju un teksta kontrolsummu (SHA-256), akceptējušo lietotāju un viņa lomu, servera laiku, pseidonimizēto IP vērtību un pārlūka identifikatoru. Pēc akceptēšanas Apstrādātājs nosūta apstiprinājumu uz akceptējušā lietotāja e-pastu un Pārziņa pieprasījuma gadījumā jebkurā laikā izsniedz akceptēšanas pierādījumu kopiju, tāpēc šo vienošanos var saglabāt uz paliekoša datu nesēja. Līgumu var akceptēt tikai Pārziņa īpašnieks vai administrators; apkalpojošais uzņēmums to Pārziņa vārdā neakceptē. Citas papildu formas prasības (Lietuvas Republikas Civilkodeksa (Civilinis kodeksas, CK) 1.73. panta 3. daļa) puses nenosaka.

1. Puses, priekšmets un termiņš

Šis līgums saskaņā ar Vispārīgās datu aizsardzības regulas (ES) 2016/679 (VDAR) 28. pantu reglamentē personas datu apstrādi, ko UAB NVGroup, juridiskās personas kods 149942553, juridiskā adrese Elektrinės g. 8, 03150 Vilnius (Apstrādātājs), veic klienta (Pārziņa) vārdā, sniedzot Skerry pakalpojumu saskaņā ar pakalpojuma noteikumiem (lietuviešu valodā). Pārzini norāda pasūtījumā vai līguma parakstīšanas lapā.

Līgums sagatavots atbilstoši VDAR 28. panta 3. punkta elementiem, kas uzskaitīti 12. punkta tabulā. Valsts datu aizsardzības inspekcija (VDAI) ir sagatavojusi standarta līguma noteikumus saskaņā ar VDAR 28. panta 8. punktu (Eiropas Datu aizsardzības kolēģijas atzinums 18/2021); šajā līgumā to burtiskais teksts netiek piemērots, tomēr līgums aptver tos pašus VDAR 28. panta 3. punkta elementus.

Līgums ir spēkā tik ilgi, cik Apstrādātājs sniedz Pakalpojumu Pārzinim, un līdz datu atdošanai vai dzēšanai saskaņā ar 9. punktu.

Ja Pārzinis ir apkalpojošais uzņēmums, kas apstrādā savu klientu (peldbaseinu operatoru) datus, vai energopatēriņa auditors vai cits speciālists, kas Skerry rīkā apstrādā sava pasūtītāja datus, viņš apliecina, ka ir saņēmis sava klienta vai pasūtītāja atļauju Apstrādātāju izmantot kā apakšapstrādātāju, un pats atbild par to, lai portālā vai rīkā neaugšupielādētu personas datus, kurus viņam nav tiesiska pamata apstrādāt.

2. Apstrādes veids un mērķis

Mērķis — Pārzinim sniegt peldbaseinu, SPA un līdzīgu objektu ūdens kvalitātes žurnālu, atbilstības novērtējumus un saistītos pakalpojumus.

Apstrādes darbības — datu saņemšana un glabāšana, rādīšana Pārziņa lietotājiem, pārbaude pēc normatīvajos aktos noteiktajām robežvērtībām, novērtējumu un pārskatu (PDF) sagatavošana, eksports, e-pasta ziņojumu sūtīšana, kopēšana un iznīcināšana.

Dati tiek apstrādāti tikai pēc dokumentētiem Pārziņa norādījumiem. Par norādījumiem uzskatāmi šā līguma noteikumi, pakalpojuma noteikumi, pasūtījums un Pārziņa lietotāju darbības portālā (visas portāla funkcijas ir Pārziņa norādījumi, kas Apstrādātājam jāpilda). Papildu norādījumus, kurus Pakalpojums nenosaka, Apstrādātājs izpilda, ja tas ir tehniski iespējams, nemaina Pakalpojuma būtību un Pārzinis atlīdzina saprātīgas papildu izmaksas. Apstrādātājs var apturēt norādījuma izpildi un par to nekavējoties paziņo Pārzinim, ja uzskata, ka tas pārkāpj datu aizsardzības tiesību aktus, līdz Pārzinis to apstiprina, groza vai atsauc (VDAR 28. panta 3. punkts). Apstrādātājs neizmanto personas datus saviem mērķiem; no Pārziņa datiem, kas nav personas dati, tas var veidot anonimizētu statistiku, kā norādīts pakalpojuma noteikumu 8. nodaļā.

3. Datu subjekti un datu kategorijas

Datu subjekti: Pārziņa darbinieki un portāla lietotāji (operatori, tehniķi, auditori, personas ar skatīšanās tiesībām), laboratoriju un pakalpojumu sniedzēju kontaktpersonas, kuru datus Pārzinis ieraksta, kā arī citas personas, kuru dati var būt Pārziņa augšupielādētajos dokumentos vai datos (piemēram, vadītāji, atbildīgās personas, auditora pasūtītāja kontaktpersonas).

Datu kategorijas: vārds, e-pasts, amats un loma portālā; mērījumu veikušās personas vārds (lauks measured_by) un tas, kas, kad un kādu ierakstu ievadījis (rādījumu, izmeklējumu, darbību autorība); darbību žurnāla ieraksti; pieslēgšanās dati (paroles hash, žetonu hash, pseidonimizēta IP vērtība, pārlūka identifikators); personas dati, kas atrodas Pārziņa augšupielādētajos dokumentos un brīvā teksta piezīmēs.

Īpašu kategoriju datus (tostarp apmeklētāju veselības datus) mērķtiecīgi neapstrādājam, un Pārzinim tie nav jāieraksta piezīmēs vai dokumentos. Apstrādātie ūdens rādījumi, laboratoriju rezultāti un objektu dati parasti nav personas dati.

4. Apstrādātāja pienākumi

Apstrādātājs:

1. apstrādā datus tikai pēc dokumentētiem Pārziņa norādījumiem, tostarp attiecībā uz nosūtīšanu ārpus EEZ; ja uzskata, ka norādījums pārkāpj tiesību aktus, par to nekavējoties paziņo;
2. nodrošina, ka personas, kas pilnvarotas apstrādāt datus, ir apņēmušās ievērot konfidencialitāti;
3. piemēro 7. punktā aprakstītos drošības pasākumus (VDAR 32. pants);
4. ievēro 5. punkta nosacījumus par apakšapstrādātājiem;
5. ņemot vērā apstrādes veidu, palīdz Pārzinim atbildēt uz datu subjektu pieprasījumiem, jo īpaši nodrošinot portāla funkcijas datu apskatei, eksportam un anonimizēšanai; saņemot pieprasījumu tieši, nodod to Pārzinim un pats atbildi nesniedz;
6. palīdz Pārzinim pildīt VDAR 32.–36. panta pienākumus (drošība, paziņošana par pārkāpumiem, ietekmes novērtējums), sniedzot pieejamo informāciju; parasta vispārīga informācijas sniegšana ir bez maksas, bet īpaši darbietilpīga palīdzība (piemēram, atsevišķi Pārziņa datu subjektu pieprasījumi vai ietekmes novērtējumi) tiek apmaksāta pēc saprātīgas iepriekš saskaņotas vai Apstrādātāja publicētas likmes, kas nav nesamērīga (EDAK pamatnostādnes 07/2020);
7. pēc Pakalpojuma beigām dzēš vai atdod datus saskaņā ar 9. punktu;
8. iesniedz Pārzinim informāciju, kas vajadzīga VDAR 28. panta ievērošanas pierādīšanai, un nodrošina iespēju veikt auditu saskaņā ar 10. punktu.

5. Apakšapstrādātāji

Ārēja grāmatvedības apstrādātāja un maksājumu operatora nav. Ja tāds tiks izmantots, tas tiks iekļauts šajā sarakstā un par to tiks paziņots iepriekš, kā norādīts turpmāk.

Pārzinis dod vispārēju rakstisku atļauju izmantot šos apakšapstrādātājus un to izmaiņas vai papildinājumus (VDAR 28. panta 2. punkts). Par paredzamo apakšapstrādātāja pievienošanu vai nomaiņu Apstrādātājs aktīvi paziņo Pārzinim pa e-pastu (nepietiek tikai ar saraksta publicēšanu) ne vēlāk kā 14 dienas iepriekš, norādot apakšapstrādātāja nosaukumu, vietu un mērķi; ja izmaiņas ierosina pats apakšapstrādātājs (piemēram, netcup maina savus apakšapstrādātājus), Apstrādātājs saņemto paziņojumu nekavējoties pārsūta Pārzinim, un iebildumu termiņš nevar beigties agrāk par termiņu, kas Apstrādātājam noteikts no apakšapstrādātāja puses, un jebkurā gadījumā ilgst ne mazāk kā 7 dienas. Pārzinis 10 dienu laikā no paziņojuma saņemšanas var rakstveidā iebilst tikai pamatotu datu aizsardzības iemeslu dēļ, tos norādot. Ja iebildumi netiek saņemti, uzskatāms, ka Pārzinis atļauju ir devis. Ja Pārzinis pamatoti iebilst, Apstrādātājs var (a) neizmantot jauno apakšapstrādātāju šī Pārziņa datiem, ja tas ir tehniski iespējams bez nesamērīgiem pūliņiem, vai (b) izbeigt līgumu attiecībā uz to Pakalpojuma daļu, kurai apakšapstrādātājs ir nepieciešams, atmaksājot summu, kas samaksāta par nesniegto apmaksāto periodu; citi tiesību aizsardzības līdzekļi netiek ierobežoti, ciktāl VDAR tos neaizliedz. Steidzamā gadījumā (drošības apdraudējums, apakšapstrādātāja darbības izbeigšana) apakšapstrādātāju var nomainīt nekavējoties, par to tūlīt paziņojot. Apstrādātājs ar apakšapstrādātāju noslēdz līgumu, kurā piemēro tos pašus datu aizsardzības pienākumus, un atbild Pārzinim par apakšapstrādātāja pienākumu izpildi, izņemot 11. punktā noteiktos atbildības ierobežojumus.

6. Apstrādes vieta un nosūtīšana ārpus EEZ

Dati tiek apstrādāti un glabāti Eiropas Savienībā (lietojumprogrammas serveris un datubāze — Vācijā; netcup apakšapstrādātāju personāls un atbalsta pakalpojumi — Austrijā un Vācijā) un Šveicē (e-pasts un rezerves kopijas Proton Drive). Apstrādātājs datus ārpus Eiropas Ekonomikas zonas, izņemot Šveici, kurai piemērojams atbilstības lēmums, nenosūta.

7. Tehniskie un organizatoriskie drošības pasākumi

Apstrādātājs piemēro šādus pasākumus (tie atbilst sistēmā īstenotajiem):

• Nomnieku izolācija: katra organizācija redz tikai savus datus; izolācija īstenota datubāzes rindu līmenī (PostgreSQL row-level security, ieslēgta un obligāta pat tabulu īpašniekam) un tiek pārbaudīta ar automātiskiem testiem;
• Autentifikācija: paroles tiek glabātas tikai kā argon2 hash; sesiju, uzaicinājumu un paroles atjaunošanas žetoni tiek glabāti tikai kā hash; iespējama divfaktoru autentifikācija (TOTP) ar vienreizējiem atjaunošanas kodiem, TOTP noslēpumi tiek glabāti šifrēti, katru kodu var izmantot tikai vienu reizi; platformas administratoriem tā ir obligāta;
• Sesijas: sesijas sīkdatne HttpOnly, Secure, SameSite=Lax, noklusējuma derīguma termiņš 72 stundas; pēc paroles atjaunošanas esošās sesijas tiek atsauktas;
• Mēģinājumu ierobežošana: pieslēgšanās, divfaktoru, paroles atjaunošanas un uzaicinājumu mēģinājumi tiek ierobežoti;
• Audita žurnāls: darbību žurnāls ir tikai papildināms; tajā netiek ierakstīts dokumentu saturs, failu nosaukumi vai e-pasta adreses; platformas administratora darbības, kas groza datus, tiek auditētas;
• Reģistru integritāte: rādījumu, izmeklējumu, darbību, novērtējumu ieraksti ir tikai papildināmi; labojums ir jauns ieraksts;
• Atbalsta piekļuve: Apstrādātāja darbinieks Pārziņa kontu var skatīt tikai lasīšanas režīmā, ne ilgāk kā 30 min., norādot iemeslu; šī piekļuve tiek ierakstīta Pārziņa darbību žurnālā;
• Failu augšupielāde: tiek pārbaudīts faila tips un saturs, ierobežots izmērs, aprēķināta kontrolsumma (SHA-256); faili tiek glabāti ar nejaušiem nosaukumiem, bet piekļuve pasūtījuma failiem — ar nejaušu žetonu;
• Savienojums: šifrēts (TLS, HSTS);
• Rezerves kopijas: katru dienu tiek veidota saspiesta datubāzes kopija; tā tiek glabāta 14 dienas serverī un 60 dienas Proton Drive, vecākas tiek automātiski dzēstas. Kopijas (datubāzes un dokumentu krātuves) tiek šifrētas ar simetrisko AES-256 šifru (GnuPG) pirms ierakstīšanas diskā un nosūtīšanas uz Proton Drive; šifrēšanas parole tiek glabāta atsevišķi no kopijām un no servera. Failu pretvīrusu pārbaude netiek veikta, tāpēc tā nav norādīta kā pasākums.

Apstrādātājs drīkst mainīt drošības pasākumus, ja kopējais aizsardzības līmenis nesamazinās. Detalizētāku tehnisko pasākumu aprakstu Apstrādātājs iesniedz Pārziņa drošības komandai pēc pieprasījuma: info@skerry.eu. Pārzinis atbild par savu lietotāju pieslēgšanās datu drošību, tiesisku datu iesniegšanas pamatu, datu minimizēšanu un savu norādījumu tiesiskumu; Apstrādātājs par Pārziņa lietotāju darbībām (tostarp paroļu izpaušanu) neatbild.

8. Paziņošana par personas datu aizsardzības pārkāpumiem

Konstatējis personas datu aizsardzības pārkāpumu, kas skāris Pārziņa datus, Apstrādātājs par to paziņo Pārzinim bez nepamatotas kavēšanās (VDAR 33. panta 2. punkts), ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums apstiprināts, pa e-pastu, kas norādīts kontā vai līgumā. Pārzinis atbild par paziņošanu uzraudzības iestādei un datu subjektiem; 72 stundu termiņu paziņošanai uzraudzības iestādei Pārzinis skaita no Apstrādātāja paziņojuma saņemšanas. Paziņojumā norāda pārkāpuma raksturu, skarto datu kategorijas un aptuveno apjomu, iespējamās sekas un piemērotos pasākumus, ciktāl tas ir zināms.

9. Datu atdošana un dzēšana

Pēc Pakalpojuma beigām, neatkarīgi no plāna (tostarp bezmaksas), Pārzinis pēc pieprasījuma 90 dienu laikā var saņemt savu datu eksportu strukturētā, plaši izmantotā un mašīnlasāmā formātā (CSV, XLSX) bez papildu maksas; tas atbilst pakalpojuma noteikumu (lietuviešu valodā) noteikumam par eksportu un pāriešanu (ES Datu akts 2023/2854; termiņi tiek piemēroti, ciktāl tos nosaka Datu akts).

Kas notiek tālāk. Rādījumi, izmeklējumi, darbības, novērtējumi un darbību žurnāls ir tikai papildināmi: esošu ierakstu nevar mainīt vai dzēst, izņemot personas vārdu, kas tiek anonimizēts. Apstrādātājs pēc Pārziņa pieprasījuma (un jebkurā gadījumā pēc eksporta loga beigām) anonimizē Pārziņa lietotājus: atslēdz kontu, dzēš e-pastu, paroli un divfaktoru noslēpumus, atsauc dalību un sesijas, bet reģistros mērījumu veikušās personas un darbības veicēja vārdu aizstāj ar neitrālu marķējumu; rādījumi, laiki, robežvērtības un darbības paliek. Pārziņa reģistru ieraksti tiek glabāti līdz Pārziņa rakstveida norādījumam tos atdot vai izņemt no tiem personas datus (anonimizēt), bet ne ilgāk kā 24 mēnešus no līguma beigām, jo pašus ierakstus (rādījumus, laikus, robežvērtības, darbības) sistēma fiziski nedzēš; rēķinu, līgumu un pasūtījumu datus Apstrādātājs kā patstāvīgs pārzinis glabā saskaņā ar grāmatvedības tiesību aktiem. Rezerves kopijas noveco un tiek automātiski dzēstas 60 dienu laikā (14 d. serverī un 60 d. Proton Drive); tās atjaunojot, anonimizēšanas tiek atkārtotas pēc administratora darbību žurnāla.

Pārzinim savu izvēli (atdot vai dzēst) jānorāda eksporta loga laikā; ja nenorāda, uzskatāms, ka izvēlēta atdošana un vēlāka dzēšana vai anonimizēšana šajā punktā norādītajos termiņos. Apstrādātājs datus var glabāt ilgāk tikai tik, cik to prasa tiesību akti vai cik nepieciešams, lai celtu vai aizstāvētu tiesiskas prasības (rēķinu, līgumu un pierādījumu daļa).

10. Audits

Apstrādātājs iesniedz Pārzinim informāciju, kas vajadzīga VDAR 28. panta ievērošanas pierādīšanai, jo īpaši drošības un atbilstības aprakstus un kopsavilkumus (piemēram, šā līguma 7. punktu, trešo pušu pārbaužu vai apakšapstrādātāju atbilstības pārskatu kopsavilkumus, ja tādi ir), un atbild uz pamatotiem jautājumiem rakstveidā. Ja šīs informācijas Pārzinim pamatoti nepietiek, viņš, rakstveidā brīdinot 30 dienas iepriekš, ne biežāk kā reizi 12 mēnešos (ja pastāv pamatotas aizdomas par pārkāpumu vai to prasa iestāde — bez šā ierobežojuma) var veikt attālinātu pārbaudi vai pārbaudi Apstrādātāja telpās pats vai ar neatkarīga, ar konkurentu nesaistīta un konfidencialitātes pienākuma saistīta auditora starpniecību. Pārbaude notiek parastajā darba laikā, parasti ne ilgāk kā divas darbdienas, aptver tikai Pārziņa datu apstrādi saskaņā ar šo līgumu, nedod piekļuvi citu klientu datiem, Apstrādātāja komercnoslēpumiem vai sistēmām, kuru atvēršana radītu drošības risku, un nepamatoti netraucē darbību. Pārzinis apmaksā savas un Apstrādātāja saprātīgās izmaksas (tostarp darba laiku pēc likmes), ja vien pārbaude neatklāj būtisku šā līguma pārkāpumu; izmaksas nedrīkst būt tādas, kas atturētu no tiesību īstenošanas. Pārzinis var prasīt novērst konstatētos trūkumus; Apstrādātājs to izdara saprātīgā termiņā.

11. Atbildība un piemērojamais tiesību akts

Atbildība tiek sadalīta saskaņā ar VDAR 82. pantu; ar šo līgumu datu subjektu tiesības netiek ierobežotas. Pušu attiecībās pakalpojuma noteikumu 10. nodaļas atbildības ierobežojumi un izņēmumi attiecas arī uz šo līgumu (kopēja robeža visām prasībām), ciktāl tos neaizliedz VDAR imperatīvie noteikumi; Pārzinis atlīdzina Apstrādātājam zaudējumus, kas radušies Pārziņa norādījumu, ar kuriem tiek pārkāptas datu aizsardzības tiesības, vai datu iesniegšanas bez tiesiska pamata dēļ. Piemērojami Lietuvas Republikas tiesību akti; strīdi tiek risināti sarunu ceļā, bet, ja tas neizdodas — kompetentajā Lietuvas tiesā pēc Apstrādātāja juridiskās adreses.

12. VDAR 28. panta 3. punkta elementu atbilstība

13. Līguma grozījumi

Jaunu šā līguma versiju Apstrādātājs paziņo Pārzinim pa e-pastu ne vēlāk kā 30 dienas iepriekš; par apakšapstrādātāju izmaiņām paziņo saskaņā ar 5. punktu. Apstrādātājs var grozīt līgumu bez Pārziņa apstiprinājuma tikai tiktāl, ciktāl to prasa tiesību akti vai uzraudzības iestādes lēmums (tad jaunā versija tiek piemērota no tās spēkā stāšanās). Jaunā versija Pārzinim stājas spēkā, kad viņš to akceptē portālā; līdz tam ir spēkā iepriekš akceptētā versija. Tikai publicēšana Apstrādātāja tīmekļvietnē Pārzini uz izmaiņām nesaista. Sekas, ja Pārzinis jauno versiju neakceptē, norādītas pakalpojuma noteikumu (lietuviešu valodā) 9. punktā.

14. Kontakti

Datu aizsardzības jautājumi: info@skerry.eu. UAB NVGroup, Elektrinės g. 8, 03150 Vilnius.

Saistītie dokumenti: pakalpojuma noteikumi (lietuviešu valodā), privātuma politika (lietuviešu valodā).

Izmaiņu vēsture