Contract
1. Noteikumos lietotie termini.
1.1. Noteikumi – SIA „Visma Enterprise” fizisko personu datu apstrādes noteikumi;
1.2. Līgums – starp Klientu un VISMA noslēgts Līgums par pakalpojumu sniegšanu, kuriem saistoši šie Noteikumi;
1.3. Apstrādātājs (VISMA) – SIA „Visma Enterprise”;
1.4. Pārzinis (Klients) – fiziska vai juridiska persona, kas noslēgusi Līgumu ar VISMA;
1.5. Specifikācija – Līguma pielikums „Fizisko personu datu apstrādes specifikācija”;
1.6. Visma grupa - VISMA saistītie uzņēmumi, kas norādīti interneta vietnē:
xxxxx://xxx.xxxxx.xxx/xxxxxxxxx-xxxxxxxxx/xxxxxxxxxxxx/xxxxxxx tive-group-structure/.
2. Definīcijas.
2.1. Personas datu, īpašo (sensitīvo) personas datu, personas datu apstrādes, datu subjekta, pārziņa un apstrādātāja definīcijas ir līdzvērtīgas tām, kādas tās tiek izmantotas un kā tās tiek interpretētas spēkā esošajos normatīvajos tiesību aktos par privātumu, tostarp Vispārējā datu aizsardzības regulā (turpmāk
– Regula), kas tiek piemērota šim Līgumam un personas datu apstrādei Eiropas Savienībā (turpmāk – ES) no 2018. gada 25. maija.
3. Darbības joma.
3.1. Šie Noteikumi regulē Xxxxxxx vārdā Apstrādātāja veikto personas datu apstrādi un nosaka, kā Apstrādātājam jārīkojas, lai nodrošinātu Pārziņa un tā apstrādāto datu subjektu privātumu, piemērojot tehniskos un organizatoriskos pasākumus saskaņā ar spēkā esošajiem privātuma aizsardzību regulējošajiem normatīvajiem tiesību aktiem, tostarp Regulu.
3.2. Xxxxxxx vārdā Xxxxxxxxxxxx veiktās personas datu apstrādes mērķis ir izpildīt Līgumu.
3.3. Gadījumā, ja pastāv pretruna starp šajos Noteikumos un Līgumā vai citos starp Pusēm noslēgtajos līgumos ietvertajiem noteikumiem par fizisko personas datu apstrādi, tad noteicošais ir šajos Noteikumos noteiktais.
3.4. Šie Noteikumi stājas spēkā Līguma, kurā norādīti šie Noteikumi, parakstīšanas brīdī un ir spēkā tik ilgi, kamēr ir spēkā Līgums.
4. Apstrādātāja pienākumi.
4.1. Apstrādātājs darbojas saskaņā ar Visma grupas privātuma atrunu, kas pieejama vietnē xxxxx://xxx.xxxxx.xx/xxxxxxx-xxxxxxxxx/ un kas attiecas uz visiem Visma grupas uzņēmumiem.
4.2. Apstrādātājs apstrādā personas datus tikai:
4.2.1. Xxxxxxx vārdā un saskaņā ar tā norādēm;
4.2.2. saskaņā ar spēkā esošajiem normatīvajiem tiesību aktiem;
4.2.3. lai pildītu pienākumus saskaņā ar Līgumu;
4.2.4. ievērojot šajos Noteikumos noteikto.
4.3. Apstrādātājam jāveic Noteikumu 4.2. punktā minētās darbības saskaņā ar spēkā esošajiem normatīvajiem tiesību aktiem. Apstrādātājs, tiklīdz par to uzzina, informē Pārzini par norādēm vai citām Xxxxxxx apstrādes darbībām, kuras pēc Apstrādātāja domām pārkāpj spēkā esošos privātuma aizsardzību regulējošos normatīvos tiesību aktus.
4.4. Datu subjektu kategorijas, personas datu veidi, kā arī īpašo (sensitīvo) personu datu veidi, uz ko attiecināmi šie Noteikumi, ir norādīti Specifikācijā.
4.5. Apstrādātājs apņemas nodrošināt konfidencialitāti, integritāti un personas datu pieejamību saskaņā ar Apstrādātājam piemērojamajiem privātuma aizsardzību regulējošajiem normatīvajiem tiesību aktiem. Apstrādātājs apņemas ieviest sistemātiskus, organizatoriskus un tehniskus pasākumus, lai nodrošinātu piemērotu drošības līmeni, ņemot vērā tehnikas līmeni un ieviešanas izmaksas saistībā ar riskiem, kas var iestāties apstrādes rezultātā, un aizsargājamo personas datu raksturu.
4.6. Apstrādātājam ir jāatbalsta Pārzinis ar piemērotiem tehniskiem un organizatoriskiem līdzekļiem tiktāl, ciktāl tas ir iespējams un ņemot vērā apstrādes raksturu un Apstrādātājam pieejamo
informāciju, lai Xxxxxxxx varētu izpildīt spēkā esošajos privātuma aizsardzību regulējošajos normatīvajos tiesību aktos noteiktos pienākumus attiecībā par datu subjektu pieprasījumiem un vispārīgajām privātuma prasībām atbilstoši Regulas 32. līdz 36. pantam.
4.7. Ja Pārzinis pieprasa informāciju par drošības līdzekļiem, dokumentāciju vai cita veida informāciju saistībā ar to, kā Apstrādātājs apstrādā personas datus, un šāds pieprasījums pārsniedz Apstrādātāja sniegto standarta informāciju, kas saskaņā ar spēkā esošajiem normatīvajiem tiesību aktiem ir jāsniedz Apstrādātājam, un rada papildu darbu Apstrādātājam, Apstrādātājs var noteikt Pārzinim papildu maksu par šādiem papildpakalpojumiem.
4.8. Apstrādātājam un tā personālam ir jānodrošina konfidencialitāte attiecībā uz personas datiem, kas tiek apstrādāti saskaņā ar Līgumu. Šis noteikums ir spēkā arī pēc Līguma izbeigšanās.
4.9. Apstrādātājs bez nepamatotas kavēšanās paziņo Pārzinim par apstrādes pārkāpumiem, lai Pārzinim būtu iespējams ievērot spēkā esošajos normatīvajos tiesību aktos noteiktās prasības attiecībā uz paziņošanu par pārkāpumiem datu aizsardzības iestādēm vai datu subjektiem.
4.10. Apstrādātājs, cik tas ir pieļaujami saskaņā ar spēkā esošajiem normatīvajiem tiesību aktiem, informē Xxxxxxx par:
4.10.1. datu subjekta pieprasījumiem atklāt personas datus;
4.10.2. valsts iestāžu, piemēram, policijas, pieprasījumiem atklāt personas datus.
4.11. Apstrādātājs tieši neatbild uz datu subjektu pieprasījumiem, ja vien Pārzinis nav devis tādu atļauju. Apstrādātājs neatklāj informāciju saistībā ar šo Līgumu valsts iestādēm, piemēram, policijai, izņemot spēkā esošajos normatīvajos tiesību aktos noteiktajos gadījumos.
4.12. Apstrādātājs nekontrolē, vai un kā Pārzinis izmanto trešo personu veikto integrāciju, izmantojot lietojumprogrammas saskarni (API) vai līdzīgu saskarni, kā arī nav atbildīgs par zaudējumiem, kas radušies saistībā ar trešo personu veikto integrāciju. Xxxxxxxx uzņemas pilnu atbildību par trešo personu veikto integrāciju.
5. Pārziņa pienākumi.
5.1. Pārzinis, parakstot Līgumu, apliecina, ka:
5.1.1. Pārzinis, izmantojot Līgumā noteiktos Apstrādātāja pakalpojumus, apstrādā personas datus saskaņā ar spēkā esošo privātuma aizsardzību regulējošo normatīvo tiesību aktu prasībām;
5.1.2. Pārzinim ir tiesības apstrādāt un atklāt Apstrādātājam (tostarp visiem Apstrādātāja izmantotajiem apakšuzņēmējiem) attiecīgos personu datus;
5.1.3. Pārzinim ir vienpersoniska atbildība par Apstrādātājam atklāto personas datu precizitāti, integritāti, saturu, uzticamību un likumību;
5.1.4. Xxxxxxxx ir izpildījis visas obligātās prasības un pienākumus, lai iesniegtu paziņojumus vai saņemtu atļaujas no atbilstošajām valsts iestādēm attiecībā uz personas datu apstrādi;
5.1.5. Xxxxxxxx ir izpildījis savus pienākumus sniegt nepieciešamo informāciju datu subjektiem saistībā ar personas datu apstrādi saskaņā ar spēkā esošo normatīvo tiesību aktu prasībām;
5.1.6. Pārzinis piekrīt, ka Apstrādātājs ir sniedzis pietiekošas garantijas attiecībā uz tehnisko un organizatorisko drošības pasākumu ieviešanu, lai aizsargātu datu subjektu tiesības uz privātumu un viņu personas datus;
5.1.7. Pārzinis, izmantojot Apstrādātāja sniegtos pakalpojumus saskaņā ar Līgumiem, nedrīkst izpaust nekādus īpašo kategoriju (sensitīvos) personas datus Apstrādātājam, izņemot Specifikācijā norādītos īpašo kategoriju (sensitīvos) personas datus;
5.1.8. Pārzinim ir jāuztur aktuāls datu reģistrs par apstrādājamo personas datu kategorijām, ciktāl šāda apstrāde atšķiras no Specifikācijā norādītājām personas datu kategorijām.
6. Apakšuzņēmēju izmantošana un datu pārsūtīšana.
6.1. Saskaņā ar Līgumu un šiem Noteikumiem kā daļu no pakalpojumu nodrošināšanas Pārzinim Apstrādātājs var
izmantot apakšuzņēmējus. Šādi apakšuzņēmēji var būt citi uzņēmumi Visma grupas ietvaros vai ārēji apakšuzņēmēji, kas atrodas ES vai ārpus tās. Apstrādātājam ir jānodrošina, ka apakšuzņēmēji piekrīt uzņemties pienākumus atbilstoši šajos Noteikumos noteiktajām saistībām. Visi apakšuzņēmēji ir Visma grupas Privātuma atrunas subjekti.
6.2. Pārzinis var pieprasīt iesniegt pārskatu par apakšuzņēmējiem, kas veic personas datu apstrādi saskaņā ar Pakalpojumu līgumiem.
6.3. Ja apakšuzņēmēji atrodas ārpus ES, Pārzinis sniedz Apstrādātājam pilnvaras, lai Xxxxxxx vārdā nodrošinātu pienācīgu juridisku pamatojumu personas datu pārsūtīšanai ārpus ES, piemērojot ES Standartklauzulas vai pārsūtot personas datus saskaņā ar privātuma aizsardzību.
6.4. Visi apakšuzņēmēji, kas veic personas datu apstrādi Apstrādātāja uzdevumā, ir norādīti Apstrādātāja interneta vietnē xxxxx://xxx.xxxxx.xx/xxxxxxxxxxxxx.
6.5. Apstrādātājs iepriekš informē Pārzini par visām to apakšuzņēmēju izmaiņām, kas apstrādā personas datus, ievietojot interneta vietnē xxxxx://xxx.xxxxx.xx/xxxxxxxxxxxxx informāciju par apakšuzņēmēju vismaz 2 (divas) nedēļas pirms attiecīgais apakšuzņēmējs uzsāk personas datu apstādi. Šo 2 (divu) nedēļu laikā Pārzinim ir tiesības izteikt pamatotus iebildumus pret to, ka attiecīgais apakšuzņēmējs apstrādā personas datus saskaņā ar Līgumu. Ja jaunais apakšuzņēmējs acīmredzami ir neatbilstošs privātuma aizsardzību regulējošo normatīvo tiesību aktu prasībām, par ko Xxxxxxxx ir informējis Apstrādātāju, un pēc tam, kad Apstrādātājs ir devis pietiekošu laiku, lai nodrošinātu apakšuzņēmēja atbilstību, turpina būt neatbilstošs un Apstrādātājs nenodrošina, ka attiecīgais apakšuzņēmējs neapstrādās Pārziņa personas datus, tad Pārzinis var atkāpties no šiem Noteikumiem. Lai izvērtētu šādas atkāpšanās no Noteikumiem pamatotību, jāizvērtē, cik lielā mērā apakšuzņēmējs veic personas datu apstrādi Līgumā sniegto pakalpojumu ietvaros. Atkāpšanās no Noteikumiem rezultātā var rasties pienākums izbeigt Līgumu daļēji vai pilnībā. Apakšuzņēmēju maiņa netiek uztverta kā šo Noteikumu vai Līguma pārkāpums.
6.6. Parakstot Līgumu, Pārzinis piekrīt, ka Apstrādātājs izmanto apakšuzņēmējus šajos Noteikumos norādītajā kārtībā.
7. Drošība.
7.1. Apstrādātājs apņemas nodrošināt augstu drošības līmeni saviem produktiem un pakalpojumiem. Apstrādātājs nodrošina drošības līmeni, izmantojot organizatoriskus, tehniskus un fiziskus drošības pasākumus saskaņā ar prasībām par informācijas drošības līdzekļiem, kas minēti Regulas 32. pantā.
8. Audita tiesības.
8.1. Xxxxxxxx var reizi gadā veikt auditu par Apstrādātāja atbilstību šiem Noteikumiem. Ja to nosaka Pārzinim piemērojamie normatīvie tiesību akti, Xxxxxxxx var pieprasīt auditu veikšanu biežāk. Lai pieprasītu auditu, Pārzinim jāiesniedz Apstrādātājam detalizēts audita plāns vismaz 4 (četras) nedēļas pirms ieteiktā audita datuma, aprakstot ieteikto audita apmēru, ilgumu un sākuma datumu. Ja auditu veic trešā persona, par to xxxx Xxxxx jāvienojas. Tomēr, ja apstrādes darbības tiek veiktas “multi-tenant” vidē, tas ir, vidē, kur vienā programprodukta instancē tiek apstrādāti vairāku klientu dati, vai līdzīgā vidē, Pārzinis sniedz Apstrādātājam pilnvaras drošības nolūkos izlemt, ka auditus veiks neitrāla trešā persona pēc Apstrādātāja izvēles.
8.2. Ja plānotā audita apjoms ir minēts atzinumos, kas sagatavoti saskaņā ar ISAE (International Standard on Assurance Engagements (Starptautiskie apliecinājuma uzdevumu standarti)), ISO (International Organization for Standardization (Starptautiskā standartizācijas organizācija)) vai līdzīgiem standartiem un ko sniedzis kvalificēts auditors (trešā persona) iepriekšējo 12 (divpadsmit) mēnešu laikā, un Apstrādātājs apstiprina, ka šī auditora pārbaudītajos līdzekļos nav notikušas būtiskas izmaiņas, Pārzinis tā vietā, lai veiktu jaunu auditu par līdzekļiem, uz kuriem attiecas atzinums, piekrīt akceptēt šos atzinumus.
8.3. Jebkurā gadījumā auditi jāveic parasto darba stundu laikā piemērotās telpās atbilstoši Apstrādātāja politikām, auditi nedrīkst nepamatoti traucēt Apstrādātāja uzņēmējdarbības aktivitātes.
8.4. Xxxxxxxx ir atbildīgs par visām izmaksām, kas rodas saistībā ar Xxxxxxx pieprasītajiem auditiem. Par Apstrādātāja palīdzību, kas pārsniedz Apstrādātāja un/vai Visma grupas standarta pakalpojumus, lai atbilstu spēkā esošajiem privātuma aizsardzību regulējošajiem normatīvajiem tiesību aktiem, tiek piemērota maksa.
9. Termiņš un pārtraukšana.
9.1. Šie Noteikumi attiecībā uz Pārzini stājas spēkā brīdī, kad stājas spēkā Līgums vai Līguma grozījumi, kuros ir iekļauti šie Noteikumi.
9.2. Šie Noteikumi ir spēkā tik ilgi, cik ilgi Apstrādātājs apstrādā personas datus Xxxxxxx vārdā saskaņā ar Pakalpojumu līgumiem.
9.3. Šie Noteikumi attiecībā uz Pārzini vairs netiek piemēroti, ja tiek pārtraukts vai izbeidzas Līgums. Pārtraucot šos Noteikumus, Apstrādātājs dzēš vai xxxxxxx Xxxxxxx vārdā apstrādātos personas datus saskaņā ar Līguma vai Pakalpojumu noteikumu nosacījumiem, ja tādi attiecīgajos Pakalpojumu noteikumos ir ietverti. Ja vien rakstiski nav noteikts citādi, šādu darbību izmaksas aprēķina, pamatojoties uz:
9.3.1. Apstrādātāja veltītā laika stundu likmi;
9.3.2. nepieciešamā procesa sarežģītību.
9.4. Apstrādātājs var saglabāt personas datus pēc Līguma izbeigšanas tik ilgi, cik tas nepieciešams saskaņā ar spēkā esošajiem normatīvajiem tiesību aktiem, piemērojot tiem tāda paša tipa tehniskos un organizatoriskos drošības pasākumus, kas minēti šajos Noteikumos.
10. Noteikumu izmaiņu kārtība.
10.1. Apstrādātājam ir tiesības vienpusēji mainīt Noteikumus, par to paziņojot Pārzinim, vismaz 3 (trīs) mēnešus iepriekš nosūtot jauno Noteikumu redakciju uz Specifikācijā norādītās vai šajos Noteikumos noteiktajā kārtībā paziņotās Pārziņa kontaktpersonas e-pasta adresi. Ja Pārzinis nepiekrīt Noteikumu izmaiņām, Pārzinim ir tiesības izbeigt Līgumu, vismaz 1 (vienu) mēnesi iepriekš informējot par to Apstrādātāju.
11. Atbildība.
11.1. Xxxxx Xxxx ir atbildīga par administratīvajiem naudas sodiem, kas Pusei ir uzlikti saskaņā ar Regulu. Atbildība par citiem šajos Noteikumos noteikto saistību pārkāpumiem vai saistībām, kas izriet no Regulas, tiek noteikta saskaņā ar atbildības nosacījumiem, kas ietverti attiecīgajos Pakalpojumu noteikumos. Minētais attiecas arī uz jebkuru pārkāpumu, ko izdarījuši Apstrādātāja izmantotie apakšuzņēmēji.
12. Piemērojamie tiesību akti un strīdu izšķiršana.
12.1. No Līguma un šiem Noteikumiem izrietošo attiecību regulēšanai tiek piemēroti Latvijas Republikā spēkā esošie normatīvie tiesību akti.
12.2. Puses apņemas darīt visu iespējamo, lai strīdus, kas varētu rasties saistībā ar Līgumu un/vai šiem Noteikumiem, izšķirtu savstarpēju sarunu un vienošanās ceļā. Ja Puses nenonāk pie abpusēji pieņemamas vienošanās, tad strīds tiek izskatīts tiesā Latvijas Republikā spēkā esošajos normatīvajos aktos noteiktajā kārtībā.
13. Paziņojumu un informācijas nosūtīšanas kārtība un datu apkopošana.
13.1. Puses jebkādus paziņojumus vai korespondenci, kas saistīta ar šo Noteikumu izpildi, nosūta otrai Pusei uz Līguma Vispārējos noteikumos norādīto otras Puses juridisko adresi vai e-pasta adresi, ja vien šajos Noteikumos nav noteikts citādāk. Puses atzīst sev par saistošu elektronisko saraksti.
13.2. Paziņojums, kas nosūtīts uz Puses Līguma Vispārējos noteikumos norādīto juridisko adresi, uzskatāms par saņemtu
5. (piektajā) darba dienā pēc tā nodošanas pasta iestādē. Paziņojums, kas nosūtīts uz otras Puses e-pasta adresi, uzskatāms par saņemtu nākamajā darba dienā pēc tā nosūtīšanas.
13.3. Pušu pienākums ir nekavējoties, bet ne vēlāk kā 1 (vienas) darba dienas laikā rakstiski paziņot otrai Pusei par Puses kontaktpersonas nomaiņu vai izmaiņām Puses kontaktinformācijā un ne vēlāk kā 5 (piecu) darba dienu laikā – par izmaiņām Puses rekvizītos. Ja Puses nav ievērojušas šajā punktā minēto paziņošanas nosacījumu, kā rezultātā otra Puse Noteikumos vai Līgumā noteiktos paziņojumus ir nosūtījusi neatbilstošai kontaktpersonai vai uz neatbilstošiem rekvizītiem, Puse ir atbildīga par zaudējumiem, kas otrai Pusei radušies sakarā ar informācijas nonākšanu trešās personas rīcībā. Jebkurā gadījumā līdz paziņojuma saņemšanai par kontaktpersonas nomaiņu, izmaiņām kontaktinformācijā vai rekvizītos, informācija tiks uzskatīta par nodotu otrai Pusei, ja Puse to nosūtīs uz Specifikācijā vai Līguma Vispārējos noteikumos norādīto kontaktinformāciju vai rekvizītiem.