Papildinājums par personas datu apstrādi (DPA) — iFurn.pro
Šis Papildinājums par personas datu apstrādi (turpmāk — „DPA“) tiek piemērots, kad Izpildītājs (platforma iFurn.pro, turpmāk — „Pakalpojums“) apstrādā personas datus Lietotāja vārdā, sniedzot Pakalpojumu, un kad šādai apstrādei piemēro ES Vispārīgo datu aizsardzības regulu 2016/679 (turpmāk — „GDPR“) vai citus piemērojamos datu aizsardzības tiesību aktus.
DPA ir Publiskā piedāvājuma līguma daļa un papildina Privātuma politiku. Ja rodas pretruna par personas datu apstrādi, uz kuru attiecas GDPR, piemēro šo DPA; atbildības jautājumus regulē Publiskā piedāvājuma līgums. Šeit nedefinētajiem terminiem ir GDPR piešķirtā nozīme.
1. Pušu lomas
Attiecībā uz personas datiem, ko Lietotājs ievada vai augšupielādē Pakalpojumā (turpmāk — „Lietotāja dati“), Lietotājs ir pārzinis, bet Izpildītājs ir apstrādātājs, kas darbojas Lietotāja vārdā. Attiecībā uz Lietotāja paša konta datiem un Pakalpojuma tehniskajiem datiem pārzinis ir Izpildītājs (skatīt Privātuma politiku).
2. Apstrādes priekšmets un detaļas
Priekšmets un ilgums: Pakalpojuma sniegšana Publiskā piedāvājuma līguma darbības laikā. Būtība un mērķis: apstrāde, kas nepieciešama Pakalpojuma funkciju darbībai saskaņā ar Lietotāja norādījumiem.
Datu kategorijas: identifikācijas un kontaktinformācijas dati, kā arī citi dati, ko Lietotājs ievada Pakalpojumā (tostarp par Lietotāja klientiem, darbiniekiem vai darījumu partneriem). Datu subjektu kategorijas: personas, kuru datus Lietotājs apstrādā, izmantojot Pakalpojumu. Apstrādes darbības: vākšana, glabāšana, strukturēšana, izmantošana, nodošana Pakalpojuma ietvaros un dzēšana, kas nepieciešama Pakalpojuma sniegšanai. Lietotāja kā pārziņa tiesības un pienākumus nosaka GDPR, šis DPA un Publiskā piedāvājuma līgums. Lietotājs nedrīkst ievadīt īpašu kategoriju datus, ja vien tas nav nepieciešams un likumīgs.
3. Lietotāja norādījumi
Izpildītājs apstrādā Lietotāja datus tikai saskaņā ar Lietotāja dokumentētiem norādījumiem, tostarp Publiskā piedāvājuma līgumu, Privātuma politiku un Pakalpojuma iestatījumiem, izņemot gadījumus, kad apstrādi pieprasa likums; šādā gadījumā Izpildītājs pirms apstrādes sākšanas informē Lietotāju par attiecīgo juridisko prasību, ja vien likums neaizliedz šādu paziņošanu. Ja pēc Izpildītāja ieskatiem norādījums pārkāpj datu aizsardzības tiesību aktus, Izpildītājs nekavējoties par to paziņo Lietotājam.
4. Konfidencialitāte
Izpildītājs nodrošina, ka personas, kuras ir pilnvarotas apstrādāt Lietotāja datus, ir apņēmušās ievērot konfidencialitāti.
5. Drošība
Izpildītājs veic atbilstošus tehniskos un organizatoriskos pasākumus, ņemot vērā tehnikas līmeni, izmaksas, kā arī apstrādes būtību, apjomu un riskus, kā aprakstīts Drošības politikā. Nekādi pasākumi negarantē absolūtu drošību; Izpildītājs negarantē pilnīgu aizsardzību pret visiem iespējamiem apdraudējumiem.
6. Apakšapstrādātāji
Lietotājs sniedz vispārēju atļauju apakšapstrādātāju piesaistei (jo īpaši hostinga pakalpojumu sniedzēju, datu centru, mākoņinfrastruktūras, elektroniskā pasta, analītikas un maksājumu pakalpojumu sniedzēju). Aktuālais apakšapstrādātāju saraksts Lietotājam ir pastāvīgi pieejams (jo īpaši to publicē Izpildītājs). Par plānotu apakšapstrādātāja pievienošanu vai nomaiņu Izpildītājs laikus informē Lietotāju (tostarp, atjauninot sarakstu), nodrošinot saprātīgu iespēju iebilst.
Lietotājs saprātīgā termiņā pirms attiecīgās apstrādes sākuma var iesniegt ar datu aizsardzības apsvērumiem pamatotu iebildumu pret jaunu apakšapstrādātāju. Ja iebildumu neizdodas atrisināt, Lietotājam ir tiesības pārtraukt attiecīgās Pakalpojuma daļas izmantošanu. Izpildītājs uzliek apakšapstrādātājiem atbilstošus pienākumus attiecībā uz personas datu aizsardzību gadījumos un apjomā, kas paredzēti piemērojamos tiesību aktos. Izpildītāja atbildību par apakšapstrādātāju darbībām vai bezdarbību nosaka piemērojamie tiesību akti un Publiskā piedāvājuma līgums. Izpildītāja mantiskā (naudas) atbildība tiek ierobežota saskaņā ar Publiskā piedāvājuma līgumu tajā daļā, kurā šāds ierobežojums ir pieļaujams saskaņā ar piemērojamo tiesību aktu imperatīvajām normām.
7. Atbalsts Lietotājam
Ņemot vērā apstrādes būtību un ciktāl tas ir tehniski iespējams, Izpildītājs sniedz Lietotājam saprātīgu atbalstu: ar Pakalpojumā pieejamiem līdzekļiem — attiecībā uz datu subjektu pieprasījumiem; kā arī attiecībā uz drošības nodrošināšanu, incidentu paziņošanu un ietekmes novērtējumu (DPIA) un konsultācijām ar uzraudzības iestādi. Atbalsts, kas pārsniedz Pakalpojuma standarta funkcionalitāti, tiek sniegts par saprātīgām Lietotāja izmaksām. Datu subjektu pieprasījumu izskatīšanu attiecībā uz Lietotāja datiem nodrošina pats Lietotājs kā pārzinis.
8. Personas datu incidenti
Izpildītājs bez nepamatotas kavēšanās pēc tam, kad tam ir kļuvis zināms par personas datu incidentu, kas skar Lietotāja datus, paziņo par to Lietotājam un sniedz tajā brīdī pieejamo informāciju. Paziņošanu uzraudzības iestādei un datu subjektiem (ja nepieciešams) veic Lietotājs kā pārzinis.
9. Datu dzēšana vai atgriešana
Pēc Pakalpojuma sniegšanas izbeigšanas Izpildītājs pēc Lietotāja izvēles dzēš vai atgriež Lietotāja datus ar pieejamiem līdzekļiem, izņemot gadījumus, kad to turpmāku glabāšanu pieprasa likums. Lietotājs vajadzīgos datus savlaicīgi eksportē pats; tehniskās rezerves kopijas tiek dzēstas saskaņā ar parastajiem cikliem.
10. Audits
Pēc Lietotāja pamatota rakstiska pieprasījuma Izpildītājs sniedz informāciju, kas nepieciešama, lai apliecinātu atbilstību šim DPA, — galvenokārt pieejamās dokumentācijas, sertifikātu, pārbaužu ziņojumu vai rakstisku atbilžu veidā; parasti ar to pietiek, lai apliecinātu atbilstību. Ja sniegtā informācija ir objektīvi nepietiekama vai pastāv pamatotas šaubas par šā DPA vai GDPR ievērošanu, Izpildītājs pieļauj auditu vai inspekciju un veicina to. Šāda audita organizatoriskās detaļas (apjoms, laiks un kārtība) tiek iepriekš rakstiski saskaņotas; šādu saskaņošanu nedrīkst nepamatoti aizkavēt vai izmantot, lai atteiktu auditu. Plānoti auditi tiek veikti parasti ne biežāk kā reizi gadā, darba laikā, ar saprātīgu iepriekšēju paziņojumu, ievērojot konfidencialitāti, bez pārmērīgas iejaukšanās Pakalpojuma darbībā un par pamatotiem, dokumentāri apliecinātiem Lietotāja izdevumiem; šis biežuma ierobežojums neattiecas uz personas datu incidenta gadījumu, pamatotu iemeslu uzskatīt, ka noticis pārkāpums, būtiskām apstrādes izmaiņām vai uzraudzības iestādes prasību. Audita izmaksas netiek uzliktas Lietotājam tajā daļā, kurā audits atklājis būtisku Izpildītāja pārkāpumu. Attiecībā uz apakšapstrādātājiem (jo īpaši datu centriem un mākoņpakalpojumu sniedzējiem) tieša fiziska piekļuve var būt ierobežota ar attiecīgo piegādātāju nosacījumiem; šādā gadījumā Izpildītājs nodrošina līdzvērtīgas audita tiesības līgumos ar apakšapstrādātājiem un sniedz pieejamos ziņojumus, sertifikātus un citu saprātīgu palīdzību. Ierobežojumi attiecībā uz biežumu un kārtību neattiecas uz to daļu, kurā uzraudzības iestāde, pamatojoties uz likumu, tieši nosaka citādi.
11. Starptautiska nodošana
Ja apstrāde ietver personas datu nodošanu ārpus Eiropas Ekonomikas zonas (EEZ), šāda nodošana notiek, ja pastāv juridisks pamats saskaņā ar GDPR (tostarp lēmums par aizsardzības līmeņa pietiekamību, standarta līgumklauzulas vai citas atbilstošas garantijas).
12. Atbildība
Šis DPA nepaplašina un nepalielina Izpildītāja atbildību salīdzinājumā ar Publiskā piedāvājuma līgumu. Izpildītāja kopējā atbildība, kas saistīta ar personas datu apstrādi, ir ierobežota saskaņā ar Publiskā piedāvājuma līgumu. Izpildītājs neatbild par Lietotāja norādījumiem, par Lietotāja datu likumību un par to, ka Lietotājs nepilda savus pārziņa pienākumus. Atbildības ierobežojumi neattiecas uz to daļu, kurā tos aizliedz imperatīvās tiesību normas.
13. Dokumentu savstarpējā saistība
Attiecībā uz personas datu apstrādi, uz kuru attiecas GDPR, šim DPA ir prioritāte pār Privātuma politiku. Attiecībā uz atbildību prioritāte ir Publiskā piedāvājuma līgumam. Visos citos jautājumos piemēro Publiskā piedāvājuma līgumu un Privātuma politiku. Visi noteikumi tiek piemēroti, ņemot vērā imperatīvās tiesību normas.