MELP, UAB, juridiskās personas kods 305615566, juridiskā adrese Laisvės al. 82, LT-44250 Kauna, Lietuva, kuru pārstāv ģenerāldirektors Robertas Šaltis, kurš rīkojas saskaņā ar sabiedrības statūtiem (turpmāk – Datu apstrādātājs),
un
MELP pakalpojumu līguma speciālajos noteikumos norādītā juridiskā persona, kas tajos saukta par „Klientu” (turpmāk – Datu pārzinis),
turpmāk Datu apstrādātājs un Datu pārzinis kopā sauktas Puses, bet katra atsevišķi – Puse,
ņemot vērā, ka Datu pārzinis un Datu apstrādātājs ir noslēguši vienošanās par MELP pakalpojumu līguma speciālajiem noteikumiem un MELP platformas lietošanas noteikumiem organizācijām (turpmāk – Pamatlīgums), saskaņā ar kuru Datu apstrādātājs, sniedzot pakalpojumus Datu pārzinim un pildot noteiktās saistības, Datu pārziņa vārdā apstrādās šajā līgumā definētos Personas datus un iegūs piekļuvi šiem Personas datiem,
Datu apstrādātājs un Datu pārzinis noslēdz šo personas datu apstrādes līgumu (turpmāk – Līgums) un vienojas par turpmāko:
1. DEFINĪCIJAS
1.1. Līgumā lietotajiem terminiem ir šāda nozīme:
1.1.1. Personas datu aizsardzību regulējošie tiesību akti ir ES datu aizsardzības tiesību akti un, ciktāl piemērojams, jebkuras citas valsts datu aizsardzības vai privātuma tiesību akti.
1.1.2. VDAR ir ES Vispārīgā datu aizsardzības regula (ES) 2016/679.
1.1.3. EEZ ir Eiropas Ekonomikas zona.
1.1.4. Apakšapstrādātājs ir jebkura vienība (tostarp trešās personas vai ar Datu apstrādātāju saistītas personas, bet ne Datu apstrādātāja vai tā apakšuzņēmēju darbinieki), ko Datu apstrādātājs vai ar Datu apstrādātāju saistīta persona ir iecēlusi vai kas ir iecelta to vārdā apstrādāt Personas datus Datu pārziņa vārdā, kā paredzēts Pamatlīgumā.
1.1.5. Standarta līguma klauzulas ir Komisijas apstiprinātās standarta datu aizsardzības klauzulas saskaņā ar VDAR 93. panta 2. punktā noteikto komitejas procedūru, kā arī citas Komisijas apstiprinātās standarta datu aizsardzības klauzulas, kas atbilst Direktīvas 95/46/EK 26. panta 4. punkta nosacījumam, līdz brīdim, kad tās tiek daļēji vai pilnībā grozītas vai atceltas.
1.1.6. MELP platforma ir MELP pārvaldīta tiešsaistes platforma vietnē www.melp.com vai MELP mobilajā lietotnē. MELP platforma ir rīks, ar kura palīdzību Organizācijas var sniegt informāciju par Labumiem un pārvaldīt tos, bet Lietotāji var piekuļties Organizāciju sniegtajai informācijai, izvēlēties Labumus un veikt citas atļautas darbības. Atkarībā no izvēlētā pieslēgšanās veida MELP platformai var atšķirties MELP platformā sniegtās informācijas apjoms un piedāvātā funkcionalitāte.
1.2. Terminiem pārzinis, datu subjekts, personas dati, personas datu aizsardzības pārkāpums, Komisija, apstrādātājs, personas datu apstrāde un uzraudzības iestāde ir VDAR noteiktā nozīme, un ar tiem saistītie termini tiek interpretēti atbilstoši.
1.3. Vārds „ietver” tiek interpretēts kā „ietver, bet neaprobežojas ar”, un ar to saistītie termini tiek interpretēti atbilstoši.
1.4. Līgumā lietotajiem terminiem ir Līgumā noteiktā nozīme. Ar lielo burtu rakstītie termini, ja Līgumā nav noteikts citādi, ir definēti Pamatlīgumā un/vai saprotami tādā nozīmē, kādā tie definēti Personas datu aizsardzību regulējošajos tiesību aktos.
2. LĪGUMA PRIEKŠMETS
2.1. Līgums regulē Pušu attiecības saistībā ar Personas datu apstrādi, ko Datu apstrādātājs veic Datu pārziņa vārdā, izpildot Pamatlīgumu.
2.2. Līgums un Pamatlīgums veido vienotu vienošanos starp Pusēm un aizstāj visus iepriekšējos līgumus vai citas vienošanās starp Pusēm par to pašu priekšmetu. Ja starp Pamatlīguma un šī Līguma noteikumiem par Personas datu apstrādi ir pretrunas, piemēro šī Līguma noteikumus, ja vien šajā Līgumā un/vai Pamatlīguma speciālajos noteikumos nav noteikts citādi.
3. PUŠU TIESĪBAS UN PIENĀKUMI
3.1. Datu apstrādātājs apaņemas:
3.1.1. apstrādāt tikai tos Personas datus, kas norādīti šī Līguma 1. pielikumā, bet, ja tos nav iespējams norādīt to pastāvīgi mainīgā apjoma dēļ, – tikai tos, kurus Datu pārzinis apstrādās MELP platformā, un tikai tiktāl, ciktāl tas nepieciešams Pamatlīguma izpildei;
3.1.2. apstrādāt Personas datus tikai saskaņā ar šī Līguma un Pamatlīguma noteikumiem;
3.1.3. apstrādājot Personas datus saskaņā ar šo Līgumu, nodrošināt, ka Personas datu apstrāde atbilst Personas datu aizsardzību regulējošajiem tiesību aktiem un uzraudzības iestāžu ieteikumiem un norādījumiem;
3.1.4. neveikt tādas darbības, kuru dēļ Datu pārzinis būtu spiests rīkoties pretrunā ar Personas datu aizsardzību regulējošo tiesību aktu prasībām;
3.1.5. nenodot un nekadā citā veidā neizpaust Personas datus vai citu ar Personas datu apstrādi saistītu informāciju nevienai trešajai personai, izņemot tiesību aktos un šajā Līgumā noteiktos gadījumus;
3.1.6. nekavējoties paziņot Datu pārzinim uz tā šajā Līgumā norādīto e-pasta adresi un rakstiski par situāciju, kad, pildot tiesību aktos noteiktos pienākumus, Datu apstrādātājam ir jāizpauž Personas dati, kurus tas apstrādā Datu pārziņa vārdā. Izpaužot Personas datus tiesību aktos noteikta pienākuma izpildei, Datu apstrādātājam ir jāpieprasā trešajai personai saglabāt Personas datu konfidencialitāti;
3.1.7. iecelt datu aizsardzības speciālistu un par to rakstiski informēt Datu pārzini, ja Datu apstrādātājam saskaņā ar Personas datu aizsardzību regulējošajiem tiesību aktiem ir pienākums tādu iecelt;
3.1.8. rakstiski, tostarp elektroniskā formā, uzturēt visu Datu pārziņa vārdā veikto Personas datu apstrādes darbību ierakstus saskaņā ar Personas datu aizsardzību regulējošajiem tiesību aktiem un šī Līguma noteikumiem un pēc Datu pārziņa rakstiska pieprasījuma nekavējoties tos iesniegt Datu pārzinim.
3.2. Pēc Datu pārziņa pieprasījuma Datu apstrādātājs apaņemas šādā pieprasījumā noteiktā saprātīgā termiņā sniegt Datu pārzinim visu informāciju, kas nepieciešama, lai pierādītu, ka tiek izpildīti šajā Līgumā un Personas datu aizsardzību regulējošajos tiesību aktos noteiktie Datu apstrādātāja pienākumi.
3.3. Sadarbība un palīdzība Datu pārzinim:
3.3.1. Datu apstrādātājs apaņemas sadarboties ar Datu pārzini un palīdzēt tam tiktāl, ciktāl tas nepieciešams, lai atbildētu uz Datu subjekta pieprasījumu un pienācīgi nodrošinātu Datu subjekta tiesības, tostarp, bet ne tikai, tiesības piekuļties saviem apstrādātajiem Personas datiem, tiesības pieprasīt labot neprecīzus un papildināt nepilnīgus Personas datus, tiesības uz Personas datu dzēšanu vai to apstrādes ierobežošanu, tiesības uz Personas datu pārnesamību u.c.
3.3.2. Ja Datu apstrādātājs saņem Datu subjekta pieprasījumu vai jautājumu saistībā ar Personas datu apstrādi, ko Datu apstrādātājs veic Datu pārziņa vārdā, Datu apstrādātājam tas nekavējoties jāpārsūta Datu pārzinim uz tā norādīto e-pasta adresi. Datu apstrādātājs izpilda attiecīgos pieprasījumus tikai saskaņā ar Datu pārziņa rakstiskiem norādījumiem.
3.3.3. Datu apstrādātājam nekavējoties jāinformē Datu pārzinis par jebkādiem apstākļiem, kas varētu kavēt Personas datu apstrādi saskaņā ar šī Līguma un/vai Personas datu aizsardzību regulējošo tiesību aktu prasībām. Šādā gadījumā Datu pārzinim ir tiesības aizliegt Datu apstrādātājam turpināt Personas datu apstrādi.
3.3.4. Datu apstrādātājs apaņemas sniegt Datu pārzinim visu informāciju un palīdzību, kas nepieciešama, lai pierādītu, ka Personas datu apstrāde atbilst Personas datu aizsardzību regulējošajos tiesību aktos un šajā Līgumā noteiktajām prasībām.
3.3.5. Datu apstrādātājs apaņemas sadarboties ar Datu pārzini Personas datu apstrādes drošības nodrošināšanā, kā arī gadījumos, kad ir pienākums paziņot uzraudzības iestādei par personas datu aizsardzības pārkāpumu, paziņot Datu subjektam par personas datu aizsardzības pārkāpumu vai veikt novērtējumu par ietekmi uz datu aizsardzību.
3.4. Informācijas drošība un konfidencialitāte:
3.4.1. Datu apstrādātājs apaņemas uz sava rēķina veikt atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu atbilstošu Datu pārziņa vārdā apstrādāto Personas datu drošības līmeni, un piemērot vismaz šajā Līgumā norādītos tehniskos un organizatoriskos pasākumus.
3.4.2. Datu apstrādātājs apaņemas nodrošināt, ka, apstrādājot Personas datus Datu pārziņa vārdā, tas piemēros vismaz šādus pasākumus:
3.4.2.1. Datu apstrādātāja telpas, kurās atrodas datortehnika un pārnēsājamas informācijas glabāšanas ierīces un kurās tiek glabāti Personas dati, bez uzraudzības tiks slēgtas, lai nodrošinātu aizsardzību pret Personas datu neatļautu izmantošanu, izpaušanu un zādzību;
3.4.2.2. tiek nodrošinātas procedūras, ar kurām nosaka piekļuves Personas datiem piešķiršanu un atsaukšanu Datu apstrādātāja darbiniekiem;
3.4.2.3. tiek nodrošināts, ka piekļuves Personas datiem lietotājvārds un parole ir unikāli un nav pieejami Datu apstrādātāja neautorizētiem darbiniekiem;
3.4.2.4. tiek nodrošināts, ka tiek saglabāta pieslēgumu Personas datiem vēsture un ar Personas datiem veikto darbību vēsture, un pēc Datu pārziņa rakstiska pieprasījuma tā tiek iesniegta Datu pārzinim;
3.4.2.5. tiek nodrošināta droša Personas datu pārsūtīšana. Ja Personas datu ārējai pārsūtīšanai tiek izmantoti kanāli, kurus Datu apstrādātājs nekontrolē, tiek nodrošināta tehnisko līdzekļu izmantošana savienojuma autorizācijai un pārsūtāmo Personas datu šifrēšanai;
3.4.2.6. tiek nodrošināts process tādu ierīču drošai iznīcināšanai un remontam, kurās tika glabāti Personas dati.
3.4.3. Datu apstrādātājs apaņemas piešķirt piekļuvi Personas datiem tikai tiem saviem darbiniekiem, kuriem piekļuve šiem Personas datiem ir nepieciešama darba pienākumu veikšanai un Datu apstrādātāja saistību saskaņā ar Pamatlīgumu un šo Līgumu izpildes nodrošināšanai, kā arī informēt savus darbiniekus par to, kā tiem jāapstrādā Personas dati, un nodrošināt, ka Datu apstrādātāja darbinieki, kuriem ir piekļuve Personas datiem, ir parakstījuši konfidencialitātes vienošanos, kas ietver arī pienākumu neizpaust Personas datus:
3.4.3.1. mainoties personām, kas apstrādā personas datus, to piekļuves tiesības Datu pārziņa personas datiem tiek atsauktas ne vēlāk kā to uzdevumu pēdējā dienā, kuru veikšanai tiem ir nepieciešama piekļuve Datu apstrādātājam apstrādei uzticētajiem Datu pārziņa personas datiem, bet, ja Datu apstrādātāja darbinieka darba attiecības izbeidzas, – ne vēlāk kā viņa pēdējā darba dienā.
3.4.3.2. Personu, kurām piešķirta piekļuve personas datiem, saraksts ir periodiski jāpārskata, ne retāk kā reizi 6 mēnešos. Pārskatīšanas gaitā piekļuve personas datiem tiek atsaukta, ja tā vairs nav nepieciešama, un personas dati šīm personām vairs nav pieejami.
3.4.3.3. Pēc Datu pārziņa pieprasījuma Datu apstrādātājs pierāda, ka personām, kuras vada Datu apstrādātājs un kurām uzticēta personas datu apstrāde, ir piemērojams šī Līguma 3.4.3. punktā norādītais konfidencialitātes pienākums.
3.4.4. Datu apstrādātājs apaņemas aizsargāt Personas datus pret iznīcināšanu, pārveidošanu, nelikumīgu izplatīšanu vai neatļautu piekļuvi, kā arī pret visām nelikumīgas Personas datu apstrādes formām.
3.5. Ar Personas datiem saistītu incidentu pārvaldība:
3.5.1. Datu apstrādātājs apaņemas nekavējoties, bet ne vēlāk kā 24 stundu laikā no brīža, kad tas uzzinājis, paziņot Datu pārzinim uz tā šajā Līgumā norādīto e-pasta adresi un rakstiski par jebkuru incidentu, kas saistīts ar Datu apstrādātāja Datu pārziņa vārdā apstrādātajiem Personas datiem, tostarp par personas datu aizsardzības pārkāpumu, inter alia par jebkādu neatļautu piekļuvi Personas datiem.
3.5.2. Paziņojumā par ar Personas datiem saistītu incidentu ietver notikušā vai iespējamā incidenta aprakstu, tā raksturu un nozīmīgumu, iespējamās sekas un pasākumus, kurus Datu apstrādātājs ir veicis vai plāno veikt, pasākumus, kurus Datu pārzinim ieteicams veikt incidenta seku mazināšanai vai iespējamo seku novēršanai, apdraudēto Personas datu veidu, datu subjektu kategorijas un to aptuveno skaitu. Paziņojumam par incidentu pievieno visu ar incidentu saistīto informāciju un dokumentus, kas var būt nepieciešami, lai Datu pārzinis varētu piemērot atbilstošus Personas datu drošības pasākumus un izpildīt pienākumu paziņot uzraudzības iestādei un Datu subjektam (ja tas piemērojams saskaņā ar Personas datu aizsardzību regulējošo tiesību aktu prasībām) par personas datu aizsardzības pārkāpumu.
3.5.3. Datu apstrādātājs apaņemas personas datu aizsardzības pārkāpuma gadījumā veikt visus pasākumus, lai palīdzētu Datu pārzinim mazināt pārkāpuma negatīvās sekas, tostarp tā dokumentēšanā.
3.5.4. Pēc Datu pārziņa pieprasījuma Datu apstrādātājs papildus šī Līguma 3.5.2. punktā norādītajai informācijai iesniedz dokumentu kopijas, piemēram, veikto darbību pamatojumu, piemērotos pasākumus vai veiktās iekšējās pārbaudes un to secinājumus.
3.6. Apmācība
3.6.1. Datu apstrādātājam jānodrošina, ka visi tā darbinieki (tostarp pagaidu darbinieki, līgumpartneri un citas līdzīgas personas) ir pietiekami informēti par informācijas sistēmas drošības kontrolēm, kas attiecas uz viņu ikdienas darbu. Darbinieki, kuru darbs saistīts ar Personas datu apstrādi, regulāros kvalifikācijas paaugstināšanas kursos ir pienācīgi jāinformē par būtiskām datu aizsardzības prasībām un juridiskajām saistībām.
3.7. Audits
3.7.1. Datu pārzinim ir tiesības jebkurā šī Līguma darbības laikā pašam vai ar trešās personas starpniecību veikt Datu apstrādātāja auditu, saprātīgu laiku iepriekš, bet ne vēlāk kā 10 kalendāra dienas iepriekš par to informējot Datu apstrādātāju, lai pārliecinātos, vai Datu apstrādātāja Datu pārziņa vārdā veiktā Personas datu apstrāde atbilst šī Līguma un Personas datu aizsardzību regulējošo tiesību aktu prasībām.
3.7.2. Datu apstrādātājam ir tiesības iebilst pret audita veikšanu, ja:
3.7.2.1. Datu apstrādātājam pēdējo 12 (divpadsmit) mēnešu laikā ir veikts atbilstošs iekšējs vai ārējs (t. i., ārēju auditoru, pakalpojumu sniedzēju veikts) audits vai pārbaude;
3.7.2.2. Datu apstrādātājam notiek iekšējs vai ārējs (t. i., ārēju auditoru, pakalpojumu sniedzēju veikts) audits vai pārbaude;
3.7.2.3. Datu pārzinis ierosina vairāk nekā vienu Datu apstrādātāja pārbaudi vai auditu kalendāra gadā, izņemot papildu auditus vai pārbaudes, kas:
3.7.2.3.1. tiek veikti, ja Datu apstrādātāja pusē ir noticis datu drošības pārkāpums, kas saistīts ar Datu apstrādātāja Datu pārziņa vārdā apstrādātajiem Personas datiem;
3.7.2.3.2. tiek veikti, ja Datu pārzinis ir konstatējis šī Līguma pārkāpumu un Datu apstrādātājs to nav novērsis Datu pārziņa noteiktajā termiņā;
3.7.2.3.3. tiek veikti, ja Datu pārziņa rīcībā ir pamatota informācija, ka Datu apstrādātāja nepienācīgas darbības un/vai bezdarbības dēļ var tikt pārkāpti šajā Līgumā noteiktie Datu apstrādātāja pienākumi attiecībā uz Personas datu drošību;
3.7.2.3.4. Datu pārzinim ir pienākums vai tam tiek pieprasīts tos veikt saskaņā ar Personas datu aizsardzību regulējošajiem tiesību aktiem pēc uzraudzības iestādes vai līdzīgas regulatora iestādes, kas jebkurā valstī vai teritorijā ir atbildīga par Personas datu aizsardzību regulējošo tiesību aktu īstenošanu, pieprasījuma.
3.7.3. Datu apstrādātājs apaņemas radīt piemērotus apstākļus un palīdzēt Datu pārzinim vai tā piesaistītajai trešajai personai veikt šī Līguma 3.7.1. punktā paredzēto Datu apstrādātāja auditu. Šim nolūkam Datu apstrādātājs apaņemas nodrošināt piekļuvi savām telpām un piešķirt piekļuvi datortehnikai un/vai programmatūrai, dokumentiem u.c. tiktāl, ciktāl tas nepieciešams audita veikšanai.
3.7.4. Datu apstrādātāja audits aprobežojas ar Datu pārziņa vārdā apstrādātajiem Personas datiem un to apstrādes darbībām.
3.7.5. Datu apstrādātājs apaņemas ļaut jebkurai iestādei, kas uzrauga Datu pārziņa darbību, veikt Datu apstrādātāja auditu un palīdzēt Datu pārzinim šā audita laikā.
3.8. Datu apstrādātājam nav tiesību pieprasīt papildu atlīdzību par šajā Līgumā noteikto pienākumu izpildi.
3.9. Visi audita laikā Datu pārziņa un/vai Datu apstrādātāja sagatavotie (iesniegtie) dokumenti un dati ir konfidenciāli, un uz tiem attiecas visaugstākās neizpaušanas prasības.
4. APAKŠAPSTRĀDĀTĀJS
4.1. Lai piesaistītu citu apstrādātāju (turpmāk – Apakšapstrādātājs), Datu apstrādātājam jāievēro Regulas (ES) 2016/679 28. panta 2. un 4. punktā noteiktās prasības.
4.2. Datu pārzinis pilnvaro Datu apstrādātāju iecelt (un atļauj katram saskaņā ar šo 4. sadaļu ieceltajam Apakšapstrādātājam iecelt) šī Līguma 2. pielikumā norādītos Apakšapstrādātājus saskaņā ar šo sadaļu, nepārsniedzot Pamatlīgumā noteiktos ierobežojumus.
4.3. Datu apstrādātājs apaņemas informēt Datu pārzini par jauna Apakšapstrādātāja iecelšanu ar e-pasta paziņojumu ne vēlāk kā 30 kalendāra dienas pirms Apakšapstrādātājs uzsāk apstrādes darbības. Ja Datu pārzinis nepiekrīt Apakšapstrādātāja iecelšanai, to var uzskatīt par pamatu Pamatlīguma izbeigšanai.
4.4. Datu apstrādātājs apaņemas izmantot tikai tādus apstrādātājus (Apakšapstrādātājus), kas sniedz pietiekamas garantijas, ka atbilstoši tehniskie un organizatoriskie pasākumi tiks īstenoti tā, lai datu apstrāde atbilstu VDAR un citu tiesību aktu prasībām un tiktu nodrošināta datu subjekta tiesību aizsardzība.
4.5. Aktuālais Datu apstrādātāja Apakšapstrādātāju saraksts ir pieejams vietnē www.melp.com
4.6. Ar Apakšapstrādātāju noslēgto noteikumu un to turpmāko grozījumu kopija pēc Datu pārziņa pieprasījuma tiek iesniegta Datu pārzinim, lai Datu pārzinis varētu pārliecināties, ka Apakšapstrādātājam ir piemērojami tie paši datu aizsardzības pienākumi, kas noteikti šajā Līgumā. Datu apstrādātājs informē Datu pārzini par visiem gadījumiem, kad Apakšapstrādātājs nepienācīgi pilda ar šādu līgumu vai citu tiesību aktu noteiktos pienākumus. Datu pārzinim nav jāiesniedz ar Apakšapstrādātāju noslēgtā personas datu apstrādes līguma komerciālie noteikumi, kas neietekmē līguma juridiskos personas datu aizsardzības noteikumus.
4.7. Datu apstrādātājs ir atbildīgs par to, lai Apakšapstrādātājs pildītu vismaz tos pienākumus, kas Datu apstrādātājam noteikti šajos noteikumos un Regulā (ES) 2016/679. Ja Apakšapstrādātājs nepilda savus personas datu aizsardzības pienākumus, Datu apstrādātājs, ar kuru noslēgts Līgums, paliek pilnībā atbildīgs Datu pārzinim par Apakšapstrādātāja (un tā apakšapstrādātāju) pienākumu izpildi. Tas neietekmē datu subjektu tiesības saskaņā ar Regulu (ES) 2016/679, jo īpaši Regulas (ES) 2016/679 79. un 82. pantā paredzētās tiesības attiecībā uz Datu pārzini un Datu apstrādātāju, tostarp Apakšapstrādātājiem.
5. PERSONAS DATU NOSŪTĪŠANA UZ TREŠAJĀM VALSTĪM
5.1. Datu apstrādātājs var nosūtīt personas datus uz trešajām valstīm vai starptautiskām organizācijām tikai pēc tam, kad saņēmis Datu pārziņa dokumentētus norādījumus un/vai piekrišanu, un saskaņā ar Regulas (ES) 2016/679 V nodaļas prasībām.
5.2. Ja personas dati uz trešajām valstīm vai starptautiskām organizācijām jānosūta saskaņā ar Eiropas Savienības vai tās dalībvalsts tiesību aktiem, kas Datu apstrādātājam jāievēro, lai gan Datu pārzinis nav devis Datu apstrādātājam šādu norādījumu, Datu apstrādātājs pirms nosūtīšanas informē Datu pārzini par šo juridisko prasību, ja vien attiecīgie tiesību akti šādas informācijas sniegšanu neaizliedz.
5.3. Bez Datu pārziņa dokumentētiem norādījumiem vai bez konkrētas prasības saskaņā ar Eiropas Savienības vai tās dalībvalsts tiesību aktiem Datu apstrādātājs saskaņā ar šiem noteikumiem nedrīkst:
5.3.1. nosūtīt personas datus pārzinim vai apstrādātājam trešajā valstī vai starptautiskai organizācijai;
5.3.2. nodot personas datu apstrādi apakšapstrādātājam trešajā valstī;
5.3.3. ļaut personas datus apstrādāt apstrādātājam trešajā valstī.
5.4. Datu pārziņa norādījumi vai atļaujas attiecībā uz personas datu nosūtīšanu uz trešo valsti, tostarp, ja piemērojams, Regulas (ES) 2016/679 V nodaļā noteiktais personas datu nosūtīšanas uz trešajām valstīm pamats, uz kuru balstās Datu pārziņa norādījumi, ir norādīti šī Līguma 1. pielikumā.
5.5. Šie noteikumi nav uzskatāmi par Regulas (ES) 2016/679 46. panta 2. punkta c) un d) apakšpunktā definētajām standarta datu aizsardzības klauzulām, un puses nevar atsaukties uz šiem noteikumiem kā uz personas datu nosūtīšanas uz trešajām valstīm vai starptautiskām organizācijām pamatu Regulas (ES) 2016/679 V nodaļas izpratnē.
5.6. Pēc Datu pārziņa dokumentētu norādījumu un/vai piekrišanas saņemšanas Datu apstrādātājs apaņemas noslēgt personas datu aizsardzības līgumus saskaņā ar Standarta līguma klauzulām ar apakšapstrādātājiem ārpus Eiropas Savienības (turpmāk – ES) un Eiropas Ekonomikas zonas (turpmāk – EEZ) vai ar starptautiskām organizācijām.
6. ATBILDĪBA
6.1. Datu apstrādātājs ir atbildīgs par apstrādāto Personas datu konfidencialitāti un drošību no Personas datu saņemšanas brīža.
6.2. Ja ir pamatotas aizdomas, ka Datu apstrādātājs neievēro šī Līguma un/vai Personas datu aizsardzību regulējošo tiesību aktu prasības, Datu pārzinim ir tiesības rakstiski vērsties pie Datu apstrādātāja, nosakot termiņu paskaidrojumu sniegšanai par Personas datu apstrādi. Ja aizdomas apstiprinās un tas tiek atzīts par būtisku Līguma pārkāpumu, Datu pārzinim ir tiesības šajā Līgumā noteiktajā kārtībā vienpusēji izbeigt šo Līgumu un Pamatlīgumu Datu apstrādātāja vainas dēļ vai noteikt termiņu pārkāpuma pilnīgai novēršanai.
6.3. Datu apstrādātājs apaņemas atlīdzināt Datu pārzinim tiešos zaudējumus, kas radās Personas datu aizsardzību regulējošo tiesību aktu pārkāpuma dēļ, kas noticis Datu apstrādātāja un/vai tā piesaistītā (-o) Apakšapstrādātāja (-u) vainas dēļ. Zaudējumi ietver visas Datu pārziņa izmaksas, tostarp, bet ne tikai, naudas sodus, nodokļus, kompensāciju Datu subjektam u.c. Netiešie zaudējumi netiek atlīdzināti.
6.4. Datu apstrādātājs uzņemas pilnu atbildību par piesaistīto Apakšapstrādātāju darbībām un nodrošina, ka piesaistītie Apakšapstrādātāji ievēro visus šī Līguma noteikumus.
7. LĪGUMA DARBĪBA UN IZBEIGŠANA
7.1. Šis Līgums stājas spēkā tā noslēgšanas dienā (t. i., Pamatlīguma speciālo noteikumu parakstīšanas dienā) un ir spēkā tik ilgi, kamēr Datu apstrādātājs apstrādā Personas datus Datu pārziņa vārdā. Šajā Līgumā noteiktais konfidencialitātes pienākums ir spēkā bez termiņa ierobežojuma.
7.2. Šī Līguma pielikumi, grozījumi un papildinājumi ir spēkā tikai tad, ja tie ir noformēti rakstiski un tos parakstījuši abu Pušu pilnvaroti pārstāvji, izņemot to, ka Datu apstrādātājs piekrīt visiem nākotnes Datu pārziņa ierosinātiem vienpusējiem šī Līguma (tostarp tā pielikumu) grozījumiem un/vai papildinājumiem, kas būs obligāti, lai īstenotu mainījušās obligātās Personas datu aizsardzību regulējošo tiesību aktu prasības. Par šajā punktā paredzēto vienpusējo Līguma grozīšanu Datu apstrādātājs tiek informēts pa e-pastu, pieteikoties savā kontā vietnē www.melp.com un/vai citā Datu pārziņa izvēlētā veidā. Šajā punktā paredzētie vienpusējie Līguma grozījumi uzskatāmi par stājušos spēkā, kad Datu apstrādātājs par tiem ir informēts šajā punktā noteiktajā kārtībā.
7.3. Datu pārzinim ir tiesības nekavējoties izbeigt šo Līgumu un aizliegt Datu apstrādātājam turpmāk apstrādāt Personas datus Datu pārziņa vārdā, ja Datu apstrādātājs pēc Datu pārziņa paziņojuma par Līguma nepienācīgu izpildi (neizpildi) noteiktajā termiņā nav novērsis Līguma pārkāpumu (-us) un šāds pārkāpums uzskatāms par būtisku.
7.4. Datu apstrādātājam ir tiesības vienpusēji izbeigt šo Līgumu gadījumā, ja Pamatlīgums tiek izbeigts pēc Datu apstrādātāja iniciatīvas.
8. PASĀKUMI, KO VEIC PĒC PERSONAS DATU APSTRĀDES BEIGĀM
8.1. Pēc šī Līguma un Pamatlīguma darbības beigām Datu apstrādātājs apaņemas dzēst/iznīcināt Datu pārziņa vārdā apstrādātos Personas datus, kā arī iznīcināt esošās Personas datu kopijas un rakstiski pierādīt Datu pārzinim, ka tas ir izdarīts, un/vai, ja Datu pārzinis par to rakstiski informējis, atdot Datu pārzinim visus Personas datus, kurus tas saņēmis un apstrādājis Datu pārziņa vārdā uz Pamatlīguma un šī Līguma pamata. Šis pienākums netiek piemērots, ja Eiropas Savienības vai dalībvalsts tiesību akti, kas piemērojami Datu apstrādātājam, prasīs Personas datus glabāt arī pēc šī Līguma darbības beigām. Datu apstrādātājs nodrošina, ka tā piesaistītais (-ie) Apakšapstrādātājs (-i) veic tās pašas darbības attiecībā uz šo Personas datu apstrādi. Šī punkta prasības netiek piemērotas gadījumos, kad pēc šī Līguma un Pamatlīguma darbības beigām Datu apstrādātājam ir cits, no šī Līguma un/vai Pamatlīguma neizrietošs pamats turpināt Personas datu apstrādi kā patstāvīgam datu pārzinim. Ja Datu apstrādātājam ir cits, no šī Līguma un/vai Pamatlīguma neizrietošs pamats turpināt apstrādāt daļu Personas datu, šī punkta prasības netiek piemērotas tikai tai Personas datu daļai, kuru Datu apstrādātājam kā patstāvīgam datu pārzinim ir likumīgs pamats turpināt apstrādāt pēc šī Līguma un Pamatlīguma darbības beigām.
8.2. Datu pārzinis ir informēts un saprot, ka tam pašam ir iespēja dzēst Personas datus no MELP platformas līdz Pamatlīguma izbeigšanai, t. i., kamēr tam ir aktīvi pieslēgumi MELP platformai.
8.3. Pēc Datu pārziņa rakstiska pieprasījuma Datu apstrādātājs apaņemas iesniegt Datu pārzinim to pasākumu sarakstu, kas veikti, lai nodrošinātu Personas datu apstrādes pienācīgu izbeigšanu.
8.4. Ja Datu pārzinis Pamatlīgumā ir devis piekrišanu depersonalizētu Personas datu nodošanai Datu apstrādātājam statistikas nolūkos, Datu pārzinis saprot, ka šādi dati arī pēc šī Līguma un Pamatlīguma darbības beigām paliek Datu apstrādātāja rīcībā. Datu apstrādātājs apaņemas depersonalizēt šādus Personas datus tā, lai tos vairs nebūtu iespējams saistīt ar konkrētu datu subjektu.
8.5. Ja Datu pārzinis pieprasā, lai Personas dati pēc Līguma darbības beigām tiktu glabāti Datu pārziņa noteiktu laiku, tas tiek darīts saskaņā ar Datu pārziņa dokumentētiem norādījumiem.
9. STRĪDU IZŠĶIRŠANA
9.1. Šim Līgumam piemēro Lietuvas Republikas tiesības.
9.2. Visi strīdi, kas izriet no šī Līguma izpildes, tiek izšķirti Lietuvas Republikas tiesās. Informāciju par vēršanos tiesā, tiesvedības informāciju un tiesas nolēmumu Puses uzskata par konfidenciālu. Puses vienojas, ka pēc jebkuras Puses lūguma tiesa strīdu starp Pusēm par šī Līguma izpildi izskata slēgtā tiesas sēdē.
10. DATU AIZSARDZĪBAS SPECIĀLISTU KONTAKTINFORMĀCIJA
10.1. Datu apstrādātāja un Datu pārziņa datu aizsardzības speciālistu e-pasta adreses ir norādītas Pamatlīguma speciālajos noteikumos.
11. NOSLĒGUMA NOTEIKUMI
11.1. Šis Līgums ir Pamatlīguma neatņemama sastāvdaļa.
11.2. Katra Puse apliecina un garantē, ka tās pārstāvim ir visas šī Līguma parakstīšanai nepieciešamās pilnvaras, piekrišanas un apstiprinājumi.
11.3. Jebkura šī Līguma noteikuma spēkā neesamība nepadara spēkā neesošu visu Līgumu. Puses apaņemas darīt visu iespējamo, lai spēkā neesošo Līguma noteikumu aizstātu ar jaunu spēkā esošu noteikumu, kas pēc nozīmes un satura ir vistuvākais spēkā neesošajam noteikumam un kam ir līdzīgs juridiskais un ekonomiskais rezultāts.
11.4. Šī Līguma pielikumi ir tā neatņemama sastāvdaļa. Līguma pielikumi ir šādi:
11.4.1. 1. pielikums: Personas datu un to apstrādes noteikumu apraksts.
11.4.2. 2. pielikums: Informācija par Apakšapstrādātājiem.
11.5. Šis Līgums ir tulkots no angļu valodas. Ja starp latviešu un angļu valodas versiju rodas neatbilstība vai strīds, noteicošā ir versija angļu valodā.
PERSONAS DATU UN TO APSTRĀDES NOTEIKUMU APRAKSTS
Datu apstrādātāja veiktās Personas datu apstrādes mērķis:
Personas datu apstrādes mērķis ir pakalpojumu sniegšana saskaņā ar Pamatlīgumu, t. i., Datu pārziņa darbiniekiem paredzēto labumu administrēšana MELP platformā.
Datu subjektu kategorijas, kuru Personas datus Datu apstrādātājs apstrādā Datu pārziņa vārdā:
Datu pārziņa darbinieki vai citas ar to saistītas personas.
Datu apstrādātāja apstrādātie Personas dati / Personas datu kategorijas:
Visu kategoriju Personas dati, kurus Datu pārzinis ievada MELP platformā, lai izmantotu Pamatlīgumā paredzētos pakalpojumus. Datu apstrādātāja apstrādāto Personas datu kategorijas vienmēr ir atkarīgas no tā, kādas MELP funkcijas izmanto Datu pārzinis.
Identificējošie personas dati (vārds, uzvārds), kontaktinformācija (e-pasta adrese, tālruņa numurs), citi dati (struktūrvienība, amats, dzimšanas datums, pieņemšanas darbā datums).
Datu apstrādātāja veiktās personas datu apstrādes darbības:
Visas un jebkādas Datu pārziņa MELP platformā ierosinātās darbības. Datu apstrādātāja veiktās Personas datu apstrādes darbības vienmēr ir atkarīgas no tā, kādas MELP funkcijas izmanto Datu pārzinis.
MELP platformā izveidoto klienta darbinieku kontu administrēšana un mitiņāšana.
MELP platformas kontu izveide un administrēšana klienta personāla speciālistiem (galvenais administrators).
MELP platformas kontu izveide (pēc atsevišķa pieprasījuma) un administrēšana klienta personāla speciālistiem.
Klienta darbinieku kontu izveide MELP platformā pēc atsevišķa Datu pārziņa pieprasījuma, importējot Datu pārziņa iesniegtu CSV vai Excel formāta dokumentu ar darbinieku personas datiem.
Personas datu apstrādes vieta:
Īrijas Republika, Lietuvas Republika.
Sistēmas: AWS (Amazon Web Services); HubSpot (CRM sistēma); MELP platforma un mobilā lietotne.
Personas datu apstrādes ilgums (periods):
1. Personas dati tiek apstrādāti Pamatlīguma darbības laikā un kā noteikts Pamatlīgumā.
2. Līdz Datu pārzinis dzēš Personas datus no MELP platformas; vai
3. līdz Datu pārzinis dod norādījumu dzēst Personas datus no MELP platformas.
4. Ja Datu pārzinis pats nedzēš Personas datus no MELP platformas vai nedod norādījumu dzēst vai atdot Personas datus 10 kalendāra dienu laikā pēc Pamatlīguma izbeigšanas, MELP nekavējoties sazinās ar Datu pārzini, lai saņemtu norādījumus par to, kā rīkoties ar Personas datiem. Ja Datu pārzinis nesniedz atbildi 10 kalendāra dienu laikā no pieprasījuma saņemšanas dienas, MELP neatgriezeniski dzēš Personas datus.
5. Ja klienta darbinieku kontu izveide MELP platformā notiek pēc atsevišķa Datu pārziņa pieprasījuma, importējot Datu pārziņa iesniegtu CSV vai Excel formāta dokumentu ar personas datiem, MELP neatgriezeniski iznīcina šādus dokumentus tūlīt pēc Personas datu importēšanas.
Datu apstrādātāja veikto tehnisko un organizatorisko pasākumu apraksts
PIEKĻUVES KONTROLE (FIZISKĀS AIZSARDZĪBAS PASĀKUMU PRASĪBAS)
· Biroja telpas aizsargā slēdzamas durvis, kuru atvēršanai darbiniekam nepieciešama magnētiskā karte;
· Biroja telpas aizsargā signalizācijas un ugunsdrošības sistēmas;
PIEKĻUVES KONTROLE (NEPILNVAROTU PERSONU PIEKĻUVES SISTĒMĀM IEROBEŽOŠANA)
· Paroles tiek izveidotas un glabātas saskaņā ar iekšējo paroļu politiku, un tās ir sistemātiski jāmaina;
· Fiziskā un loģiskā piekļuve datu centriem ir ierobežota un tiek piešķirta tikai pilnvarotiem darbiniekiem, kas atbild par attiecīgajām funkcijām.
PIEKĻUVES KONTROLE (NEATĻAUTU DARBĪBU SISTĒMĀS, PĀRSNIEDZOT NOTEIKTĀS PILNVARAS, IEROBEŽOŠANA)
· Lai piekuļtos Datu apstrādātāja sistēmām un atsevišķiem datoriem/kontiem, nepieciešams lietotājvārds un parole.
· Lietotāju datu un paroļu aizsardzība un to izmantošanas kārtība ir noteikta iekšējā politikā.
· Ja lietotājs noteiktu laiku sistēmā neveic nekādas darbības, piekļuve sistēmai tiek ierobežota. Piekļuvi var atjaunot, atkārtoti ievadot pieteikšanās datus (lietotājvārdu, paroli).
· Pieteikšanās tiek izmantoti dažādi autorizācijas līmeņi, lai nodrošinātu, ka katra lietotāja piekļuve ir ierobežota noteiktā apjomā. Nepilnvarotu lietotāju piekļuve ir ierobežota.
· Piekļuve SharePoint ir stingri ierobežota. Piešķirot piekļuvi, tiek ievērots mazāko privilēģiju princips. Piekļuvi piešķir atbildīgā persona.
Visi darbinieki, noslēdzot darba līgumu, uzņemas konfidencialitātes saistības.
IEVADES KONTROLE (IZSEKOJAMĪBA, DATU PĀRVALDĪBAS UN UZTURĒŠANAS DOKUMENTĀCIJA)
· Pieslēgšanās datu pārvaldības sistēmām notiek atsevišķi.
NORĀDĪJUMU KONTROLE
· Datu apstrādātājs groza, dzēš vai citādi apstrādā Personas datus, ja Datu pārzinis ir devis šādu norādījumu.
· Pēc Datu pārziņa rakstiska norādījuma Datu apstrādātājs nosaka procedūru, kas nodrošina noteikto izsekojamības prasību izpildi.
PIEEJAMĪBAS KONTROLE
· Datu apstrādātājs savā darbībā izmanto pretvīrusu un/vai citu drošības programmatūru.
· Datu apstrādātājs veic atbilstošus pasākumus, lai nodrošinātu datu un savienojuma pieejamību maksimāli ilgu laiku.
· Personas datu rezerves kopiju veidošanas un atjaunošanas procedūras.
· Visi no klientiem savāktie un glabātie dati tiek šifrēti, izmantojot AWS piedāvātos datu šifrēšanas risinājumus (RDS, S3 u.c.).
NODALĪŠANAS KONTROLE
· Datu pārziņa dati tiek apstrādāti vismaz divās vidēs: (i) ražošanas vidē un (ii) testēšanas/izstrādes vidē.
SERTIFIKĀTI
· ISO/IEC 27001
Apakšapstrādātājs (-i):
Aktuālā informācija ir pieejama vietnē https://melp.com/lv/legal/sub-processor
Datu nosūtīšana ārpus ES un EEZ vai starptautiskai organizācijai (ja piemērojams):
Līguma noslēgšanas brīdī Personas dati netiek nosūtīti ārpus ES un EEZ vai starptautiskai organizācijai. Aktuālā informācija ir pieejama vietnē www.melp.com
INFORMĀCIJA PAR APAKŠAPSTRĀDĀTĀJIEM
1. APAKŠAPSTRĀDĀTĀJI:
Līguma noslēgšanas brīdī Datu apstrādātāja izmantotie Apakšapstrādātāji ir norādīti tīmekļa vietnē
https://melp.com/lv/legal/sub-processor
Noslēdzot šo personas datu apstrādes līgumu, Datu pārzinis piekrīt, ka Datu apstrādātājs izmanto šajā 2. pielikumā norādītos apakšapstrādātājus Līguma 1. pielikumā norādītajiem mērķiem saskaņā ar Līguma 4. sadaļas prasībām. Lai izmantotu minētos apakšapstrādātājus personas datu apstrādei citiem mērķiem, nekā noteikts Līguma 1. pielikumā, Datu apstrādātājs apaņemas informēt Datu pārzini vismaz 30 kalendāra dienas pirms šādu datu apstrādes darbību sākuma.
2. IEPRIEKŠĒJS PAZIŅOJUMS PAR JAUNU APAKŠAPSTRĀDĀTĀJU IZMANTOŠANU
Datu apstrādātājs apaņemas informēt Datu pārzini par jauna Apakšapstrādātāja iecelšanu ar e-pasta paziņojumu ne vēlāk kā 30 kalendāra dienas pirms Apakšapstrādātājs uzsāk apstrādes darbības.
Datu apstrādes līguma redakcija: V.1.1.
Stāšanās spēkā datums: 2024. gada 1. jūlijs
