Zer.lv datu apstrādes līgums

1. Statuss, puses un prioritāte

Šis DPA tiek noslēgts elektroniski starp Zer.lv klientu, kas identificēts kontā, un SIA FIXLAB, reģ. Nr. 40203523267, juridiskā adrese Liepu aleja 38, Babīte, Babītes pag., Mārupes nov., LV-2101, Latvija. Zer.lv noteikumu pieņemšana ietver arī šā DPA pieņemšanu.

Attiecībā uz darba vides personas datiem klients ir pārzinis, bet SIA FIXLAB — apstrādātājs. Ja klients pats ir apstrādātājs, tas apliecina, ka attiecīgais pārzinis ir atļāvis norādījumus un SIA FIXLAB un tā apakšapstrādātāju piesaisti. Pretrunas gadījumā šis DPA ir prioritārs tikai jautājumos par datu apstrādi klienta uzdevumā.

2. Priekšmets un ilgums

SIA FIXLAB apstrādā darba vides personas datus abonementa laikā un turpmākajā atdošanas un dzēšanas periodā tikai Zer.lv nodrošināšanai, aizsardzībai, uzturēšanai, atbalstam, dublēšanai un atjaunošanai. DPA ir spēkā, līdz SIA FIXLAB saskaņā ar šā DPA 16. sadaļu “Datu atdošana un dzēšana” ir dzēsusi vai atdevusi visus darba vides personas datus.

3. Dokumentēti norādījumi

Noteikumi, šis DPA, klienta konfigurētie iestatījumi, Zer.lv atļauta izmantošana un SIA FIXLAB pieņemti rakstiski pieprasījumi veido dokumentētus norādījumus. SIA FIXLAB apstrādā un nosūta darba vides personas datus tikai saskaņā ar šiem norādījumiem, ja vien ES vai Latvijas tiesību akti neprasa citādi. Tad SIA FIXLAB pirms apstrādes informē klientu, ja likums to neaizliedz.

Norādījumam ārpus parastā Zer.lv pakalpojuma nepieciešama iepriekšēja rakstiska vienošanās, un tam var piemērot saprātīgus tehniskos ierobežojumus, izpildes termiņu un izmaksas. SIA FIXLAB nekavējoties informē klientu, ja norādījums šķiet pretrunā piemērojamajiem datu aizsardzības tiesību aktiem, un var apturēt tā izpildi līdz jautājuma noskaidrošanai.

4. Apstrādes nolūks, raksturs un darbības

Nolūki ietver CRM darba vides darbību; autentifikāciju un piekļuves kontroli; klientu, ierīču, pasūtījumu, pakalpojumu, noliktavas, pārdošanas, finanšu, darbinieku un atskaišu pārvaldību; dokumentu sagatavošanu; komentāru un pielikumu glabāšanu; izvēles paziņojumu piegādi; atbalstu; drošības žurnālus; dublēšanu un atjaunošanu.

Darbības var ietvert datu saņemšanu, vākšanu, reģistrēšanu, organizēšanu, strukturēšanu, glabāšanu, izgūšanu, aplūkošanu, atjaunināšanu, nosūtīšanu, ierobežošanu, dublēšanu, atjaunošanu, eksportēšanu pēc klienta pieprasījuma un dzēšanu. SIA FIXLAB nepārdod darba vides personas datus un neizmanto tos trešo personu reklāmai.

5. Datu subjektu kategorijas

Datu subjekti var būt klienta esošie un iespējamie klienti; klienta īpašnieki, darbinieki un līgumdarbinieki; piegādātāji un to pārstāvji; maksātāji, kontaktpersonas un jebkura cita persona, kuras datus klients likumīgi ievada darba vidē.

6. Personas datu kategorijas

Dati var ietvert vārdus, uzvārdus, amatus, uzņēmuma datus, adreses, tālruņa numurus un e-pasta adreses; klienta vēsturi; ierīces veidu, zīmolu, modeli, IMEI un sērijas numuru; pasūtījumus, pieteiktos defektus, diagnostiku, remonta rezultātus, pakalpojumus, preces, komentārus, pielikumus un saziņu; darbinieku norīkojumus, tiesības un atlīdzības aprēķinus; pārdošanu, darījumu summas un maksājuma veidu bez maksājumu karšu rekvizītiem; IP adreses, sesiju, ierīču, lietotnes, drošības un audita ierakstus; kā arī citu brīva teksta informāciju vai failus, ko klients apzināti augšupielādē.

7. Ierobežoti dati

Zer.lv nav paredzēts maksājumu karšu rekvizītiem, kontu parolēm, autentifikācijas noslēpumiem, plašiem valsts identifikācijas dokumentu ierakstiem, datiem par noziedzīgiem nodarījumiem vai īpašu kategoriju personas datiem. Klients nedrīkst tos ievadīt, ja vien tas nav absolūti nepieciešams, likumīgs, samērīgs un aizsargāts ar atbilstošiem pasākumiem, kas saskaņoti ar SIA FIXLAB. Klients atbild par nevajadzīgas konfidenciālas informācijas neievadīšanu brīva teksta laukos un pielikumos.

8. Klienta pienākumi

Klients nodrošina tiesisko pamatu un pārredzamu informāciju, izpilda datu subjektu pieprasījumus, ievēro datu minimizēšanu un glabāšanas termiņus, uztur datus saprātīgi precīzus, piešķir piekļuvi tikai pilnvarotām personām, pareizi konfigurē lomas, aizsargā lietotāju piekļuves datus un ierīces un nodrošina savu norādījumu un eksportu atbilstību tiesību aktiem. Klients bez nepamatotas kavēšanās informē SIA FIXLAB par iespējamu neatļautu piekļuvi darba videi.

9. Apstrādātāja pienākumi un konfidencialitāte

SIA FIXLAB apstrādā darba vides personas datus tikai šajā DPA paredzētajā apjomā un piekļuvi piešķir tikai pilnvarotām personām, kurām tā nepieciešama atbalstam, drošībai, atjaunošanai, uzturēšanai, ļaunprātīgas izmantošanas izmeklēšanai vai juridisko pienākumu izpildei. Šīm personām ir saistošs līgumisks vai likumā noteikts konfidencialitātes pienākums. Platformas administrācijas vai atbalsta piekļuve ir ierobežota un tiek reģistrēta.

10. Tehniskie un organizatoriskie drošības pasākumi

Ņemot vērā tehnikas attīstības līmeni, ieviešanas izmaksas, apstrādes kontekstu un risku, SIA FIXLAB uztur pasākumus, kas ietver uzņēmumu darba vižu loģisku nošķiršanu; lomās balstītu piekļuvi un mazāko nepieciešamo tiesību principu; paroļu, autentifikācijas un aizsargātu sesiju kontroles; pieprasījumu biežuma un izcelsmes aizsardzību; šifrēšanu pārraides laikā un pielikumu un rezerves kopiju aizsardzību glabāšanas laikā; privātu failu glabāšanu ar piekļuves, izmēra, tipa un kaitīga satura pārbaudēm; audita un pieteikšanās žurnālus; ierobežotu piekļuvi serveriem un noslēpumiem; drošības uzturēšanu un atkarību pārbaudi; aizsargātas cikliskas rezerves kopijas un atjaunošanas pārbaudes; kā arī incidentu atklāšanu, ierobežošanu, atjaunošanu un izvērtēšanu.

Pasākumus var atjaunināt atbilstoši tehnoloģiju attīstībai, ja kopējais aizsardzības līmenis netiek būtiski samazināts. Drošības informāciju, kuras publicēšana radītu būtisku risku Zer.lv vai citiem klientiem, var sniegt konfidenciāli, nevis publiski.

11. Datu subjektu pieprasījumi un palīdzība atbilstībai

Ja SIA FIXLAB tieši saņem datu subjekta pieprasījumu par darba vides datiem, tā nekavējoties pārsūta pieprasījumu klientam un neatbild pēc būtības, ja vien klients to nav pilnvarojis vai to neprasa likums. Ņemot vērā apstrādes raksturu un pieejamo informāciju, SIA FIXLAB saprātīgi palīdz klientam izpildīt piekļuves, labošanas, dzēšanas, ierobežošanas, pārnesamības un iebildumu pieprasījumus, kā arī VDAR 32.–36. panta pienākumus, tostarp novērtējumu par ietekmi uz datu aizsardzību un konsultācijas ar uzraudzības iestādi.

12. Personas datu aizsardzības pārkāpumi

Uzzinot par personas datu aizsardzības pārkāpumu, kas skar darba telpas datus, SIA FIXLAB bez nepamatotas kavēšanās paziņo klientam; pabeigta izmeklēšana nav priekšnosacījums. Sākotnējā ziņojumā sniedz zināmos faktus par veidu un datiem, saziņas kontaktu, iespējamām sekām un ierobežošanas vai novēršanas pasākumiem. Nezināmo norāda un papildina, tiklīdz informācija pieejama. SIA FIXLAB dokumentē izvērtējumu un rīcību. Ziņošana nav atbildības atzīšana.

13. Valsts iestāžu pieprasījumi

SIA FIXLAB informē klientu par juridiski saistošu pieprasījumu, pārbaudi vai izmeklēšanu saistībā ar darba vides datiem, ja vien likums neaizliedz informēšanu. SIA FIXLAB pārbauda juridisko pamatu, ierobežo izpaušanu līdz prasītajam apjomam un, ja tas ir pamatoti un tiesiski iespējams, apstrīd prettiesisku vai nesamērīgu pieprasījumu.

14. Apakšapstrādātāji

Klients dod vispārēju rakstisku atļauju turpmāk norādītajiem apakšapstrādātājiem. SIA FIXLAB tiem nosaka datu aizsardzības pienākumus, kas pēc būtības ir līdzvērtīgi šim DPA, un saglabā atbildību par uzticēto apstrādes pienākumu izpildi.

Hetzner Online GmbH, Vācija/EEZ — infrastruktūras mitināšana, tīkls, darba vides datubāze, privāta failu glabāšana un aizsargātas rezerves kopijas. Google Cloud EMEA Limited, Īrija — Firebase Cloud Messaging tikai tad, ja ir ieslēgti Android push paziņojumi; apstrāde aprobežojas ar ierīces push marķieri un piegādei nepieciešamajiem paziņojuma vai pasūtījuma notikuma metadatiem.

SIA FIXLAB vismaz 14 dienas iepriekš uz konta e-pastu paziņo par jebkuru iecerētu darba telpas apakšapstrādātāja pievienošanu vai aizstāšanu, norādot juridisko personu, atrašanās vietu un darbību, pirms piekļuve sākas. Klientam šajā periodā ir iespēja iebilst pamatotu datu aizsardzības iemeslu dēļ. Puses meklē atbilstošu alternatīvu; citādi attiecīgo izvēles funkciju var atslēgt vai pakalpojumu izbeigt pirms izmaiņas. Steidzams notikums neatceļ VDAR pilnvarojuma un paziņošanas prasības. Brevo pašlaik apstrādā SIA FIXLAB paša konta un abonementa saraksti kā pārziņa sniedzējs; darba telpas saziņai vispirms jāievēro šī kārtība.

15. Starptautiska datu nosūtīšana

Zer.lv darba vides galvenā mitināšana atrodas EEZ. Ja apakšapstrādātājs vai tā apstiprināts apakšapstrādātājs nosūta darba vides personas datus ārpus EEZ, SIA FIXLAB nodrošina atbilstību VDAR V nodaļai, izmantojot piemērojamu lēmumu par aizsardzības līmeņa pietiekamību, apstiprinātas standartklauzulas un vajadzības gadījumā papildu pasākumus vai citu likumīgu mehānismu. Informāciju par piemērojamo mehānismu klients var pieprasīt, rakstot uz fixlablv@gmail.com.

16. Datu atdošana un dzēšana

Uzņēmuma eksportu var lejupielādēt tikai darba telpas īpašnieks. Pilns eksports ir pieejams /workspace-export strukturētā JSON un TAR.GZ arhīvā ar darba telpas augšupielādētajiem failiem, saiknēm, metadatiem un kontrolsummu sarakstu. Netiek iekļauti autentifikācijas noslēpumi, citu klientu informācija, platformas pirmkods vai aizsargāta iekšēja drošības informācija. Apmaksāta perioda izbeigšanās pati par sevi neatceļ eksporta tiesības, kamēr dati tiek glabāti; ja parastā pieslēgšanās ir ierobežota, verificētu eksportu var pieprasīt pa e-pastu fixlablv@gmail.com bez jauna abonementa iegādes.

Klients var pieprasīt pāreju pie cita pakalpojuma sniedzēja vai uz savu infrastruktūru, vai dzēšanu, izmantojot /workspace-export vai fixlablv@gmail.com un norādot darba telpu, galamērķi vai darbību. Šādam pieprasījumam nav līgumiska iepriekšējās uzteikšanas termiņa. SIA FIXLAB apstiprina saņemšanu, pārbauda pilnvarojumu un saskaņo pārejas un izgūšanas datumus. Parastais pārejas periods nepārsniedz 30 kalendāra dienas no pieprasījuma; tehniski nepieciešamu pagarinājumu izskaidro 14 darbdienās un īsteno piemērojamā ES Datu akta obligātajās robežās. SIA FIXLAB saprātīgi palīdz nepārtrauktībai un drošai pārnešanai; klients nodrošina galamērķi un pārbauda saņemtos datus. Datus var izgūt vismaz 30 kalendāra dienas pēc pārejas beigām, ja vien klients skaidri nepieprasa agrāku dzēšanu. Par pāreju vai eksportu maksu nepiemēro. Sniedzēja programmatūra un komercnoslēpumi nav nododami. Obligātās pārejas tiesības ir prioritāras pār pretrunīgiem noteikumiem. Klients var vienreiz pagarināt pāreju uz savām vajadzībām atbilstošu periodu. Sniedzēja tehniskam pagarinājumam norāda iemeslus un alternatīvu periodu, kas nepārsniedz septiņus mēnešus. Veiksmīga pāreja izbeidz attiecīgo pakalpojuma līgumu, un SIA FIXLAB par to paziņo; tikai dzēšanas pieprasījums to izbeidz saskaņotajā datumā bez līgumiska uzteikšanas kavējuma. Eksportējamās kategorijas: klienti, kontakti un piegādātāji; ierīces; pasūtījumi, detaļas, pakalpojumi, komentāri un vēsture; produkti, noliktavas, krājumi un saņemšanas; pieraksti un atvaļinājumi; pārdošana, finanses, grāmatvedība un kases žurnāls; darbinieku uzdevumi un atlīdzības ievaddati; darba telpas iestatījumi, lomas un dokumentu veidnes; klienta pieprasījumi un ieteikumu priekšrocības; abonementa/rēķinu ieraksti, juridisko dokumentu pierādījumi un augšupielādētie oriģināli/priekšskatījumi. Saiknes un laika zīmogi ir iekļauti. Pašapkalpošanās eksports ietver līdz 128 MiB ierakstu/pierādījumu datu un atsevišķus saglabātus pielikumus līdz 64 MiB; lielākiem datiem vai trūkstošiem failiem vajadzīgs pārvaldīts eksports, nevis atteikšanās no pārejas tiesībām. Atvērtā autentificētā saskarne POST /api/workspace-data/export nodod dokumentētu JSON TAR.GZ arhīvā ar SHA-256 sarakstu; īpašs avota sistēmas importētājs nav vajadzīgs. Iekšējās sesijas, autentifikācijas noslēpumi, pretļaunprātības infrastruktūra un citu uzņēmumu dati ir izslēgti. Galamērķa imports un tā specifisko lauku pārveide ir klienta vai saņēmēja uzdevums, ievērojot SIA FIXLAB obligātos palīdzības pienākumus.

Verificēta dzēšana ir atšķirīga no perioda izbeigšanās vai nepagarināšanas. Aktīvos darba telpas ierakstus un failus parasti dzēš 30 dienās pēc saskaņotā izgūšanas perioda vai skaidra dzēšanas norādījuma. Lietotnes pārvaldīto šifrēto ikdienas kopiju atlikumi izbeidzas konfigurētajā ciklā, pašlaik 30 dienās; sniedzēja kopijas un momentuzņēmumi tiek pārvaldīti atsevišķi, nevis dzēsti ar lietotni. Saglabātās kopijas ir izolētas, nav paredzētas ikdienas darbībai, un pēc atjaunošanas dzēšanas norādījumi jāpiemēro atkārtoti. SIA FIXLAB saglabā tikai atsevišķus likumā prasītos vai pamatotai prasībai nepieciešamos ierakstus attiecīgajam mērķim un termiņam, nevis visu darba telpu kā grāmatvedības dokumentu. Atjaunošana pēc galīgas dzēšanas netiek garantēta.

17. Atbilstības pierādījumi un audits

SIA FIXLAB sniedz informāciju, kas saprātīgi nepieciešama VDAR 28. panta ievērošanas pierādīšanai. Vispirms izmanto dokumentus un attālinātus pierādījumus. Ievērojot konfidencialitāti un drošību, klients var veikt samērīgu auditu ne biežāk kā reizi 12 mēnešos, rakstiski paziņojot vismaz 30 dienas iepriekš, parastajā darba laikā un netraucējot citus klientus. Kvalificēts neatkarīgs auditors nedrīkst būt konkurents, un tam jāievēro konfidencialitāte. Saprātīgas audita izmaksas sedz klients, izņemot gadījumu, kad audits atklāj būtisku SIA FIXLAB pārkāpumu. Būtiska incidenta, ticamu neatbilstības pazīmju vai kompetentas iestādes pieprasījuma gadījumā biežuma un paziņošanas ierobežojumus nepiemēro.

18. Izbeigšana un saziņa

Ja SIA FIXLAB nevar izpildīt šo DPA, tā informē klientu un var apturēt skarto apstrādi līdz atbilstības atjaunošanai. Zer.lv noteikumu atbildības un piemērojamo tiesību noteikumi ir spēkā, neierobežojot tiesības vai pienākumus, kurus likums neļauj ierobežot. Privātuma un DPA paziņojumi jānosūta uz fixlablv@gmail.com.