Datu apstrādes līgums

Šis Datu apstrādes līgums ir pēdējo reizi atjaunināts un spēkā no 2022. gada 1. janvāra.

Šis Datu apstrādes līgums ir noslēgts starp Pakalpojumu sniedzēju un Klientu, un ir iekļauts un to regulē Pakalpojumu sniegšanas noteikumi.

1. Definīcijas

1.1. Ja vien no konteksta skaidri neizriet citādi, šādiem ar lielo sākuma burtu šajā Datu apstrādes līgumā lietotiem terminiem tiks piešķirtas šādas nozīmes:

1.2. Iepriekš tekstā nedefinētus ar lielo sākuma burtu lietotus terminus lietos tādā nozīmē, kāda tiem piešķirta Pakalpojumu sniegšanas noteikumos, ja vien no konteksta skaidri neizriet citādi.

2. Nolūks un apjoms

2.1. Dokobit sniedz Pakalpojumus Klientam saskaņā ar Pakalpojumu sniegšanas noteikumiem. Sniedzot Pakalpojumus, Dokobit apstrādā Klienta datus Klienta vārdā. Klienta dati var ietvert personas datus. Līdz ar to, Klients ir:

(i) Datu pārzinis attiecībā uz Klienta datiem; vai

(ii) Datu apstrādātājs, ja Klients apstrādā personas datus trešās personas vārdā. Šī Datu apstrādes līguma un Pakalpojumu sniegšanas noteikumu izpratnē, Dokobit ir datu apstrādātājs. Datu apstrādātājs apstrādās un aizsargās šādus Personas datus saskaņā ar šī Datu apstrādes līguma noteikumiem un Pakalpojumu sniegšanas noteikumiem.

2.2. Šis Datu apstrādes līgums ir piemērojams Klienta datu apstrādei tikai, ja Dokobit apstrādā šādus datus Klienta vārdā un pēc Klienta norādījumiem, kā arī sniedzot Pakalpojumus. Gadījumos, kad Dokobit apstrādā Klienta datus kā datu pārzinis Klienta vietā vai vārdā vai pēc Klienta norādījumiem, šis Datu apstrādes līgums nav piemērojams; tā vietā ir piemērojama Privātuma politika un citi Dokobit dokumenti.

3. Apstrādes nosacījumi

3.1. Dokobit apstrādā Klienta datus, lai sniegtu Pakalpojumus.

3.2. Dokobit apstrādā tādu datu subjektu kategoriju personas datus, kādus Klients augšupielādē vai iesniedz, lietojot Pakalpojumus. Tas var ietvert, bet neaprobežojas ar vārdu, uzvārdu, organizāciju, amatu, dzimšanas datumu, personas kodu, tālruņa numuru, u.tml. Lūdzam ņemt vērā, ka šis saraksts nav izsmeļošs un katrā atsevišķā gadījumā var atšķirties, tostarp, bet ne tikai, atkarībā no Klienta datu, ko Klients (vai trešā persona, ja Klients rīkojas datu apstrādātāja statusā) iesniedz Dokobit Pakalpojumu lietošanas laikā, dabas un satura.

3.3. Dokobit apstrādā Klienta datus no brīža, kad Klients tos augšupielādē vai iesniedz, lietojot Pakalpojumus, līdz brīdim, kad Klients tos dzēš, taču ne ilgāk kā norādīts šī Datu apstrādes līguma 13.2. punktā.

3.4. Dokobit nodrošina, ka Klienta datus apstrādā Eiropas Ekonomikas zonā, un nepiesaista Apakšapstrādātājus, kuri darbojas ārpus Eiropas Ekonomikas zonas.

4. Klienta datu konfidencialitāte

4.1. Dokobit izmanto Klienta datus tikai un vienīgi Pakalpojumu sniegšanai un savu Pakalpojumu sniegšanas noteikumos paredzēto tiesību īstenošanai. Ja vien likumā nav noteikts citādi, Dokobit neizpauž Klienta datus trešajam personām.

4.2. Dokobit nodrošina, lai piekļuve Klienta datiem būtu piešķirta tikai tiem Dokobit darbiniekiem vai piegādātājiem, kam šādi dati ir nepieciešami darba funkciju veikšanai vai pakalpojumu sniegšanai Dokobit.

4.3. Dokobit nodrošina, lai Klienta datus apstrādājošie Dokobit darbinieki vai piegādātāji ievērotu šo Datu apstrādes līgumu un apņemtos ievērot konfidencialitātes klauzulu vai tiem būtu saistošs attiecīgs konfidencialitātes pienākums, kas noteikts saskaņā ar likumiem.

4.4. Ja saskaņā ar likumu prasībām Dokobit ir pienākums izpaust Klienta datus trešajām personām (piemēram, tiesību aizsardzības iestādēm), Dokobit nekavējoties paziņo Klientam par prasībām izpaust Klienta datus, ja vien likumi nepieprasa citādi.

4.5. Šādi konfidencialitātes pienākumi paliek spēkā uz nenoteiktu laiku un pēc šī Datu apstrādes līguma termiņa beigām.

5. Klienta Dokumentētie norādījumi

5.1. Dokobit apstrādā Klienta datus tikai saskaņā ar Klienta Dokumentētiem norādījumiem. Klients nodrošina atbilstoša juridiskā pamata pastāvēšanu Klienta datu apstrādei no Dokobit puses. Dokobit ievēro arī tos pienākumus, ko VDAR un citi tiesību akti uzliek Datu apstrādātājiem.

5.2. Papildu Klienta norādījumiem ārpus Dokumentēto norādījumu apjoma (ja tādi būtu) nepieciešama iepriekšēja rakstiska vienošanās starp Pusēm, ieskaitot vienošanos par jebkādām papildu maksām, ko Klients maksā Dokobit par šādu norādījumu izpildi, tostarp, bet ne tikai:

(i) palīdzības sniegšana Datu pārziņa pienākumā atbildēt uz datu subjektu pieprasījumiem;

(ii) jebkādu papildu tehnisko un organizatorisko pasākumu veikšana, kas nav noteikti šajā Datu apstrādes līgumā;

(iii) palīdzības sniegšana Datu pārziņa pienākumā veikt novērtējumu par ietekmi uz datu aizsardzību un/vai iepriekšējo apspriešanos ar uzraudzības iestādi. 

5.3. Dokobit nekavējoties informē Klientu, ja Klienta norādījumi ir pretrunā VDAR vai citiem piemērojamajiem tiesību aktiem, kas regulē personas datu aizsardzību. Šis punkts nekādā veidā neuzliek Dokobit pienākumu pārraudzīt Klienta datus un/vai veikt jebkādus papildu pasākumus, un/vai iegūt papildu informāciju, lai novērtētu Klienta norādījumu tiesiskumu. 

6. Tehniskie un organizatoriskie pasākumi

6.1. Apstrādājot Klienta datus, Dokobit veic atbilstošus tehniskus un organizatoriskus pasākumus, lai aizsargātu Klienta datus. Dokobit izvēlas tehniskos un organizatoriskos pasākumus, ņemot vērā tehnisko iespēju attīstības līmeni, īstenošanas izmaksas un datu apstrādes dabu, apjomu, kontekstu un nolūku, kā arī dažāda veida varbūtības un nopietnības riskus attiecībā uz fizisko personu ar datu apstrādi saistītajām tiesībām un brīvībām. 

6.2. Dokobit ir īstenojis un sertificējis no akreditēta revidenta (auditora) puses arī informācijas drošības pārvaldības sistēmu saskaņā ar starptautisko drošības standartu ISO/IEC 27001. Informācijas drošības pārvaldības sistēma paredz vairākus drošības pasākumus, tostarp, bet ne tikai:

(i) personas datu pseidonimizācija un šifrēšana;

(ii) pasākumi, lai nodrošinātu pastāvīgu datu apstrādes sistēmu un pakalpojumu konfidencialitāti, integritāti, pieejamību un piekļuvi tiem;

(iii) pasākumi, lai nodrošinātu savlaicīgu pieejamības un piekļuves personas datiem atjaunošanu, fiziska vai tehniska incidenta gadījumā;

(iv) pasākumi, lai aizsargātu piekļuvi (ieskaitot attālināto piekļuvi) personas datiem;

(v) pasākumi telpu, kur personas datus apstrādā un uzglabā, fiziskai apsardzei;

(vi) pasākumi drošam attālinātam darbam no mājām. Šo drošības pasākumu efektivitāti novērtē vismaz reizi gadā. 

6.3. Puses vienojas, ka 6.2.punktā norādītie drošības pasākumi uzskatāmi par atbilstošiem un maksimāliem tehniskiem un organizatoriskiem pasākumiem, kas nepieciešami 6.1.punktā norādīto mērķu sasniegšanai. Dokobit apņemas ievērot šo vai līdzvērtīgu drošības standartu prasības visā šī Datu apstrādes līguma darbības laikā. Puses vienojas, ka Dokobit ir veicis tehniskus un organizatoriskus pasākumus, kas ir atbilstoši Klienta datu apstrādei saskaņā ar šo Datu apstrādes līgumu, un Dokobit nav pienākuma ņemt vērā jebkādus nepamatotus Klienta papildu norādījumus saistībā ar tehniskajiem un organizatoriskajiem pasākumiem.

7. Sadarbība

7.1. Ņemot vērā sniegto Pakalpojumu un apstrādāto datu un pieejamās informācijas apstrādes dabu, Dokobit sadarbojas ar Klientu, lai nodrošinātu VDAR 32. – 36. pantos norādīto pienākumu izpildi. Šajā nolūkā un tikai šajā Datu apstrādes līgumā noteiktajā apmērā, Dokobit sniedz Klientam pieprasīto informāciju, kas nepieciešama VDAR noteikto Klienta pienākumu pienācīgai izpildei.

8. Datu apstrādes audits

8.1. Lai pārliecinātos par to, vai Dokobit pienācīgi apstrādā Klienta datus, Klients ir tiesīgs veikt šādas apstrādes pārbaudes 8. sadaļā paredzētajā kārtībā.

8.2. Dokobit, vismaz vienu reizi kalendārā gada laikā, pēc savas iniciatīvas un par saviem līdzekļiem, pārbauda, vai piemērojamie tehniskie un organizatoriskie pasākumi atbilst datu apstrādes dabai, apjomam, kontekstam un nolūkam, kā arī ar datu apstrādi saistītajiem riskiem attiecībā uz fizisku personu tiesībām un brīvībām. Dokobit piesaista neatkarīgu inspektoru pārbaudes veikšanai, sniedzot norādījumus sagatavot pārbaudes protokolu (turpmāk tekstā saukts Protokols).

8.3. Pēc Klienta pieprasījuma un saskaņā ar Pušu papildu vienošanos par konfidenciālas informācijas aizsardzību, Dokobit iesniedz Protokolu Klientam. Pēc šī pienākuma izpildes no Dokobit puses, uzskatāms, ka Klients ir īstenojis savas šī Datu aizsardzības līguma 8.1.punktā un VDAR 28.panta trešās daļas h) apakšpunktā paredzētās tiesības.

8.4. Saskaņā ar piemērojamajiem tiesību aktiem, Dokobit var būt nepieciešams sniegt ar šo Datu apstrādes līgumu saistīto informāciju kompetentajām uzraudzības vai valsts pārvaldes institūcijām, bet tikai pēc to tiesiska un leģitīma pieprasījuma.

8.5. Ja Klients vēlas papildus un/vai ar līdzekļiem, kas nav norādīti 8. punktā, pārbaudīt to, kā Dokobit apstrādā personas datus un/vai pilda savus šajā Datu apstrādes līgumā noteiktos pienākumus, šādu pārbaudi var veikt ar Dokobit piekrišanu un Pusēm vienojoties par pārbaudes apjomu, metodi, laiku un cenu. Jebkurā gadījumā, ja Puses vienojas par šādu papildu pārbaudi, tai būs jāatbilst šādām prasībām:

(i) pārbaudei jābūt saistītai tikai ar Klienta datu apstrādi;

(ii) Klientam ir pienākums informēt Dokobit par vēlmi veikt papildu pārbaudi saprātīgu laiku iepriekš, kas nedrīkst būt mazāks par 4 nedēļām;

(iii) papildu pārbaude jāveic tā, lai tā netraucētu Dokobit ikdienas darbībai;

(iv) papildu pārbaude jāveic par Klienta līdzekļiem;

(v) papildu pārbaude jāveic neatkarīgai personai, kuras kandidatūrai jābūt iepriekš apstiprinātai no Dokobit puses, un attiecīgajai personai jāuzņemas pienākums aizsargāt Dokobit konfidenciālo informāciju.

8.6. Dokobit ir tiesības saņemt atlīdzību par palīdzību papildu pārbaudes veikšanā. Dokobit noteiks šādas atlīdzības apmēru, ņemot vērā saistībā ar papildu pārbaudi Dokobit radušās izmaksas. Dokobit sniedz Klientam informāciju par atlīdzības apmēru pirms pārbaudes.

8.7. Gadījumā, ja Klientu neapmierina Protokolā sniegtā informācija un/vai Puses nevienojas par papildu pārbaudi kā paredzēts šī Datu apstrādes līguma 8.5.-8.6. punktos, Klientam ir tiesības vienpusēji, ārpustiesas kartībā izbeigt šo Datu apstrādes līgumu un Pakalpojumu sniegšanas noteikumus. Šādā gadījumā šo vienošanos izbeigšana būs vienīgais pasākums, ko var piemērot Klients, un Dokobit nebūs pienākuma maksāt Klientam zaudējumu kompensāciju.

8.8. Puses vienojas, ka Dokobit nodrošina pienācīgu Klienta datu apstrādi no Dokobit Apakšapstrādātāju puses saskaņā ar šī Datu apstrādes līguma 9.sadaļu.

9. Apakšapstrādātāji

9.1. Ar šo Klients sniedz vispārīgu piekrišanu Dokobit piesaistīt Apakšapstrādātājus, kuri apstrādās Klienta datus Dokobit vārdā ievērojot šajā Datu apstrādes līgumā noteikto apmēru un nolūkus. Dokobit piesaistīs tikai tādus Apakšapstrādātājus, kuri nodrošinās turpmāk minēto:

(i) atbilstošu tehnisko un organizatorisko pasākumu veikšanu;

(ii) datu apstrādi saskaņā ar VDAR prasībām; un

(iii) datu subjekta tiesību aizsardzību.

9.2. Dokobit nodrošina, lai ar piesaistītajiem Apakšapstrādātājiem būtu noslēgts rakstisks līgums, ar ko Apakšapstrādātāji apņemas ievērot šajā Datu apstrādes līgumā noteiktos datu apstrādātāja pienākumus vismaz tādā pašā apmērā, kāds piemērojams Dokobit. Dokobit atbild Klienta priekšā par piesaistīto Apakšapstrādātāju pienākumu izpildi.

9.3. Dokobit publicēs aktualizētu piesaistīto Apakšapstrādātāju sarakstu Atbilstības tīmekļvietnē. Dokobit informē Klientu par saviem plāniem aizvietot vai piesaistīt jaunu Apakšapstrādātāju, padarot šo informāciju pieejamu Atbilstības tīmekļvietnē vismaz 14 dienas pirms plānotā notikuma. Klients var parakstīties uz (abonēt) Atbilstības tīmekļvietnes RSS (vienkāršās sindicēšanas) datplūsmu šeit, lai Klients tiktu automātiski informēts jebkādu Dokobit piesaistīto Apakšapstrādātāju saraksta izmaiņu gadījumā.

9.4. Ja Klients turpina lietot Pakalpojumus pēc Apakšapstrādātāja aizvietošanas vai jauna Apakšapstrādātāja piesaistīšanas un Klienta informēšanas šī Datu apstrādes līguma 9.3. punktā paredzētajā kārtībā un desmit (10) dienu laikā neiebilst pret to, uzskatāms, ka Klients ir piekritis šādām Dokobit darbībām. Ja Klients nepiekrīt šādai Apakšapstrādātāja aizvietošanai vai piesaistīšanai, Klientam ir tiesības vienpusēji, ārpustiesas kartībā izbeigt šo Datu apstrādes līgumu un Pakalpojumu sniegšanas noteikumus. Šādā gadījumā šo vienošanos izbeigšana būs vienīgais pasākums, ko var piemērot Klients, un Dokobit nebūs pienākuma maksāt Klientam zaudējumu kompensāciju.

9.5. Ja Klients atsauc savu vispārīgo piekrišanu piesaistīt Apakšapstrādātāju, Dokobit ir tiesības vienpusēji, ārpustiesas kartībā izbeigt Pakalpojumu sniegšanas noteikumus, un uzskatāms, ka šāda izbeigšana ir veikta būtisku iemeslu dēļ un Klientam nav radušies nekādi zaudējumi saistībā ar šādu izbeigšanu.

10. Klienta pienākumi

10.1. Klients, pēc saviem ieskatiem un pats uzņemoties atbildību, nosaka kādu datu subjektu kategoriju (tostarp, bet ne tikai darbinieku, darbuzņēmēju, darījuma partneru, pakalpojumu sniedzēju) personas dati un kādas personas datu kategorijas sniedzamas Dokobit, un sniedz Dokobit tikai tādus personas datus, kas nepieciešami pienācīgai Pakalpojumu sniegšanai no Dokobit puses. Klients uzņemas visus saistītos riskus, tostarp riskus, kas rodas gadījumos, ja Dokobit saņem vairāk personas datus nekā nepieciešams.

10.2. Klients apliecina un garantē, ka tas ir saņēmis un saglabās visā Pakalpojumu sniegšanas noteikumu spēkā esamības termiņā visas attiecīgās atļaujas un piekrišanas, kas nepieciešamas Klienta datu sniegšanai Dokobit un Dokobit piesaistei personas datu apstrādei saskaņā ar Pakalpojumu sniegšanas noteikumiem un šo Datu apstrādes līgumu.

11. Datu pārkāpums

11.1. Dokobit ziņo Klientam, bez nepamatotas kavēšanās, taču ne vēlāk kā 36 stundu laikā no brīža, kad tas uzzinājis par Datu pārkāpumu, un, ņemot vērā sniegto Pakalpojumu un personas datu un pieejamās informācijas apstrādes dabu, sniedz Klientam šādu informāciju:

(i) Datu pārkāpuma daba, tostarp, ja iespējams, datu subjektu kategorijas un to aptuveno skaitu;

(ii) Datu pārkāpuma iespējamās sekas;

(iii) pasākumus, ko Dokobit veicis vai ierosina veikt, lai novērstu Datu pārkāpumu, tostarp, ja piemērojams, pasākumus Datu pārkāpuma iespējamo negatīvo seku mazināšanai;

(iv) datu aizsardzības speciālista vai jebkuras citas kontaktpersonas, kura varētu sniegt sīkāku informāciju, pilnu vārdu un kontaktinformāciju. Gadījumos, kad informēt Klientu par Datu pārkāpumu nav iespējams (piemēram, Dokobit neizdodas sazināties ar Klientu) vai, ņemot vērā Datu pārkāpuma apmēru, tas būtu neefektīvi, Dokobit ir tiesīgs sniegt šo informāciju Klientam, padarot to pieejamu Atbilstības tīmekļvietnē.

11.2. Dokobit dokumentē visus Datu pārkāpumus, tostarp faktus, kas saistīti ar Datu pārkāpumu, tā ietekmi un veiktajām korektīvajām darbībām. Tiesību aktos paredzētajos gadījumos, Dokobit sniedz šādus dokumentus uzraudzības iestādei.

11.3. Klients atbild par tiesību aktu, kas regulē paziņojumu vai informācijas sniegšanu datu subjektiem par Datu pārkāpumu, ievērošanu.

12. Atbildība

12.1. Ņemot vērā datu apstrādes veidu, apmēru, kontekstu un nolūkus, Dokobit atbildība saskaņā ar šo Datu apstrādes līgumu aprobežojas ar, un nekādā gadījumā nedrīkst pārsniegt, summu, ko Klients ir samaksājas Dokobit 12 mēnešu laikā.

12.2. Atbildības ierobežojums nav piemērojams, ja Dokobit pārkāpj šo Datu apstrādes līgumu rupjas nolaidības vai tīša pārkāpuma rezultātā.

12.3. Šī Datu apstrādes līguma darbības laikā, Dokobit apņemas apdrošināt savu civiltiesisko atbildību. Apdrošināšanā ietilpst privātuma un kiberdrošības atbildības segums. Apdrošināšanas polises kopija ar norādītu apdrošinājuma summu tiks publicēta Atbilstības tīmekļvietnē. 

13. Spēkā esamība un izbeigšana

13.1. Šis Datu apstrādes līgums stājas spēkā Pakalpojumu sniegšanas noteikumu spēkā stāšanās brīdī un ir spēkā visā Pakalpojumu sniegšanas noteikumu spēkā esamības laikā.

13.2. Datu apstrādes līguma izbeigšanas gadījumā vai tā termiņa beigās, Dokobit iznīcina Klienta datus ne vēlāk kā 30 dienu laikā, ja vien Klienta datu apstrādei vai pārvaldībai nav kāda cita pamatojuma, izņemot tos, kas izriet no šī Datu apstrādes līguma.

14. Piemērojamie likumi un strīdu izšķiršana

14.1. Šo datu apstrādes līgumu regulē Lietuvas Republikas likumi.

14.2. Katru strīdu, domstarpību vai prasību, kas izriet no vai ir saistīta ar šo Datu apstrādes līgumu, tā pārkāpumu, izbeigšanu vai spēkā esamību, izšķir pārrunu ceļā. Ja Puses nespēj panākt vienošanos 30 dienu laikā no strīda, domstarpības vai prasības rašanās brīža, attiecīgo strīdu, domstarpību vai prasību izšķir Lietuvas Republikas tiesā.

15. Noslēguma noteikumi

15.1. Visus ar šo līgumu saistītos Klienta paziņojumus Dokobit nosūta uz elektroniskā pasta adresi dpo@dokobit.com un tos uzskata par saņemtiem, kad Dokobit apstiprina to saņemšanu, atbildot uz Klienta elektroniskā pasta ziņojumu, vai pēc trīsdesmit (30) dienām no elektroniskā pasta ziņojuma saņemšanas brīža, atkarībā no tā, kas notiek agrāk.

15.2. Ar šo Datu apstrādes līgumu saistītos Dokobit paziņojumus Klientam Dokobit publicē Atbilstības tīmekļvietnē. Dokobit paziņo Klientam par jebkādām izmaiņām šajā Datu apstrādes līgumā, padarot šo informāciju pieejamu Atbilstības tīmekļvietnē. Klients var parakstīties uz (abonēt) Atbilstības tīmekļvietnes RSS datplūsmu šeit, lai Klients tiktu automātiski informēts ar šo Datu apstrādes līgumu saistītu izmaiņu gadījumā.

15.3. Šī Datu apstrādes līguma grozījumi stājas spēkā pēc to publicēšanas Atbilstības tīmekļvietnē. Dokobit paziņo par paredzēto Datu apstrādes līguma grozījumu ar elektroniskā pasta starpniecību vismaz 30 dienas pirms plānotā grozījuma spēkā stāšanās. Ja Klients turpina lietot Pakalpojumus pēc Datu apstrādes līguma grozījumu publicēšanas, uzskatāms, ka Klients piekrīt Datu apstrādes līguma grozījumiem. Ja Klients nepiekrīt grozījumiem, Klients nevarēs lietot Pakalpojumus un Klients ir tiesīgs izbeigt Pakalpojumu sniegšanas noteikumus.

15.4. Attiecīgo Datu apstrādes līguma redakciju var lejupielādēt šeit.