Datu apstrādes līgums

Šis dokuments ir publicēts vairākās valodās. Ja starp valodu versijām ir kādas neatbilstības, saistoša ir poļu valodas versija.

Versija 2.2 · Pēdējoreiz atjaunināts: 2026. gada 29. oktobrī

Līgums par personas datu apstrādi pārziņa uzdevumā saskaņā ar Vispārīgās datu aizsardzības regulas (VDAR) 28. pantu

starp formexposed Klientu kā pārzini (turpmāk – „Klients”) un LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polija, NIP (Polijas nodokļu maksātāja identifikācijas numurs) 7252266190, kā apstrādātāju (turpmāk – „mēs”).

Ievada piezīmes: par ko ir šis Līgums

formexposed pārbauda vietņu saziņas formu aizsardzību pret surogātpastu un ļaunprātīgu izmantošanu, uzrauga tās un ziņo par izmaiņām. Lielākajai daļai datu, kas šajā procesā rodas, pārzinis esam mēs paši: klienta kontam, norēķiniem, Pakalpojuma drošībai, žurnāliem un pārbaudēm bez konta. Šo apstrādi apraksta mūsu Privātuma politika; uz to šis Līgums neattiecas.

Tomēr dažas funkcijas ienes Pakalpojumā trešo personu personas datus, un par šiem datiem lemj Klients: Klienta vietnes apmeklētāju īstu pieprasījumu kopijas, to personu adreses, kuras saņem Klienta brīdinājumus, testa konta pieteikšanās dati, kods, ko Klients mums nodod apstrādei. Šos datus mēs apstrādājam tikai Klienta uzdevumā. Uz tiem attiecas šis Līgums. Kuras tieši ir šīs funkcijas, ir izklāstīts šā Līguma beigās 1. pielikumā.

Līgums atbilst VDAR 28. panta 3. punktam, un tā struktūra un saturs ir veidots pēc Eiropas Komisijas līguma standartklauzulām starp pārziņiem un apstrādātājiem (Īstenošanas lēmums (ES) 2021/915). Tas tās nepārņem vārds vārdā, bet apraksta faktisko Pakalpojumu. Ja mēs kādu VDAR 28. pantā paredzētu pienākumu precizējam sīkāk, Regulas aizsardzības līmenis nedrīkst tikt pazemināts.

§ 1 Priekšmets, darbības joma un lomas

(1) Šā Līguma priekšmets ir personas datu apstrāde, ko mēs veicam Klienta uzdevumā, sniedzot Pakalpojumu saskaņā ar mūsu Pakalpojumu sniegšanas noteikumiem. Apstrādes priekšmets, raksturs un nolūks, personas datu veidi un datu subjektu kategorijas katrai funkcijai ir noteikti 1. pielikumā.

(2) Šis Līgums neattiecas uz apstrādi, kurai pārzinis esam mēs paši, jo īpaši uz klienta kontu un darbvietas dalībniekiem, pieteikšanos un konta drošību, norēķiniem, atbalstu, žurnāliem, šo mūsu pašu datu rezerves kopijām, bezmaksas pārbaudi bez konta, to kontā esošo domēnu pārbaudēm, kuriem Klients vēl nav iesniedzis kontroles pierādījumu, potenciālo klientu pārbaudi, pētījumu, emblēmu un to, ko pārsūta WordPress spraudnis un TYPO3 paplašinājums: dienas skaitļus, spraudņu sarakstu un – pievienotam WordPress spraudnim – saišu domēnus no bloķētiem ziņojumiem kolektīvajai aizsardzībai (pēc noklusējuma ieslēgta). Turklāt šo paplašinājumu uzbūves dēļ šajos datos nav apmeklētāju satura, vārdu, adrešu vai IP adrešu. Turpretī rezerves kopijas, ciktāl tajās ir Klienta dati, un piekļuve Klienta datiem darbības nodrošināšanai, problēmu novēršanai un drošībai ir daļa no apstrādes Klienta uzdevumā; uz tām attiecas § 7(3) un § 15(5).

(3) Attiecībā uz 1. pielikumā minētajiem datiem Klients ir pārzinis VDAR 4. panta 7. punkta nozīmē. Ja Klients pats darbojas kā apstrādātājs kādai trešai personai, piemēram, aģentūra saviem klientiem, attiecībā uz šiem datiem mēs esam apakšapstrādātājs. Tādā gadījumā Klients nodrošina, ka šis Līgums ir saderīgs ar pienākumiem, kas izriet no tā paša līguma, un trešās personas norādījumus mums nodod tikai ar savu starpniecību.

(4) Noslēgšana: Līgums tiek noslēgts reģistrācijas brīdī kopā ar Pakalpojumu sniegšanas noteikumiem ar katru Klientu, pat ja tas neizmanto nevienu no 1. pielikumā minētajām funkcijām. Tas tiek noslēgts elektroniski; tas atbilst VDAR 28. panta 9. punktam. Šim nolūkam mēs saglabājam parādīto versiju, tās kontrolsummu, kā arī piekrišanas laiku, IP adresi un pārlūkprogrammas identifikatoru.

§ 2 Definīcijas

Tādiem terminiem kā „personas dati”, „apstrāde”, „pārzinis”, „apstrādātājs” un „personas datu aizsardzības pārkāpums” ir VDAR 4. pantā noteiktā nozīme. Papildus tam:

Klienta dati ir personas dati, ko mēs apstrādājam Klienta uzdevumā saskaņā ar 1. pielikumu.
Apakšapstrādātājs ir cits apstrādātājs, kuru mēs piesaistām un kurš, to darot, apstrādā Klienta datus (VDAR 28. panta 2. un 4. punkts).
Darbvieta ir Pakalpojuma daļa, kurā Klients pārvalda savus domēnus, iestatījumus un dalībniekus. Visi Klienta dati ir piesaistīti kādai darbvietai.
Teksta forma ir jebkurš salasāms paziņojums uz pastāvīga informācijas nesēja, jo īpaši e-pasts.
Dienas ir kalendārās dienas. Ja termiņa beigas iekrīt sestdienā, svētdienā vai Polijas svētku dienā, termiņš beidzas nākamajā darba dienā.

§ 3 Darbības laiks

(1) Līgums ir spēkā tik ilgi, kamēr mēs apstrādājam Klienta datus. Tas sākas reģistrācijas brīdī un nebeidzas tikai tādēļ, ka beidzas maksas plāns: pēc abonementa izbeigšanas konts turpina darboties kā bezmaksas konts un līdz ar to attiecīgā gadījumā arī Klienta dati. Tas beidzas, kad konts ir dzēsts un mūsu rīcībā vairs nav Klienta datu, izņemot rezerves kopijās līdz to derīguma beigām (§ 15).

(2) Pienākumi, kas pēc savas būtības turpina darboties, paliek spēkā arī pēc izbeigšanas, jo īpaši konfidencialitāte, dzēšana, pierādījumi un atbildība.

(3) Šā Līguma atsevišķa parastā izbeigšana nav pieļaujama, jo bez tā, kamēr pastāv konts, Klienta datus nevarētu apstrādāt. Ja Klients vēlas to izbeigt, tas dzēš savu kontu (§ 15(3)). Izbeigšanas tiesības saskaņā ar § 9(3) un § 16, kā arī izbeigšanas tiesības saskaņā ar Pakalpojumu sniegšanas noteikumiem netiek skartas.

§ 4 Norādījumi

(1) Mēs apstrādājam Klienta datus tikai saskaņā ar Klienta dokumentētiem norādījumiem, tostarp attiecībā uz nosūtīšanu uz trešo valsti vai starptautisku organizāciju. Tas neattiecas uz gadījumiem, kad apstrāde mums jāveic saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas uz mums attiecas. Tādā gadījumā pirms apstrādes mēs informējam Klientu par šo juridisko prasību, ja vien šie tiesību akti šādu informēšanu neaizliedz svarīgu sabiedrības interešu dēļ (VDAR 28. panta 3. punkta otrā teikuma a) apakšpunkts).

(2) Klienta norādījumi ir izsmeļoši dokumentēti šajā Līgumā, Pakalpojumu sniegšanas noteikumos un iestatījumos, ko Klients veic Pakalpojumā. Piemēri: piegādes pārbaudes iestatīšana ir norādījums pieņemt un izvērtēt formu e-pasta ziņojumu kopijas; brīdinājumu galamērķa izveide ir norādījums sūtīt tur paziņojumus; testa konta saglabāšana ir norādījums ar to pieteikties skenēšanai aiz pieteikšanās. Pakalpojums ir veidots tā, ka tas dara tikai to, ko paredz šie iestatījumi.

(3) Turpmākus norādījumus Klients sniedz teksta formā uz contact@lukaswojcik.com vai atbalsta logā. Tiesības sniegt norādījumus ir darbvietas īpašniekam un administratoriem; norādījumus, izmantojot iestatījumus Pakalpojumā, sniedz tas, kam viņa loma atļauj veikt attiecīgo iestatījumu. Mutisku norādījumu Klients bez nepamatotas kavēšanās apstiprina teksta formā; līdz tam mēs varam nogaidīt ar tā izpildi, ja vien norādījums neattiecas uz datu dzēšanu vai apstrādes ierobežošanu. Norādījumu, kas pārsniedz saskaņoto pakalpojumu apjomu, mēs uzskatām par pieprasījumu mainīt pakalpojumus; mēs varam to noraidīt vai noteikt par to atlīdzību, ko iepriekš paziņojam teksta formā. Šā iemesla dēļ mēs nenoraidām norādījumu, kas attiecas uz VDAR noteiktu pienākumu, piemēram, dzēšanu.

(4) Ja, mūsuprāt, norādījums pārkāpj tiesību aktus, mēs nekavējoties informējam Klientu (VDAR 28. panta 3. punkta otrā daļa). Mēs varam apturēt tā izpildi, līdz Klients norādījumu apstiprina vai groza. Acīmredzami nelikumīgu norādījumu mēs neizpildām. Mums nav pienākuma veikt katra norādījuma visaptverošu juridisku pārbaudi; atbildība par tā likumību paliek Klientam.

§ 5 Nolūka ierobežojums un ko mēs ar Klienta datiem nedarām

(1) Mēs apstrādājam Klienta datus tikai 1. pielikumā minētajiem nolūkiem un tikai tādā apjomā, kādā tas nepieciešams attiecīgajai funkcijai.

(2) Mēs neizmantojam Klienta datus saviem nolūkiem. Jo īpaši mēs tos neanalizējam reklāmas nolūkos, nepārdodam, neapvienojam ar citu klientu datiem profilos un neizmantojam valodas modeļu apmācībai. Valodas modelis, kas palīdz atsevišķās funkcijās, darbojas mūsu pašu serverī; nekas netiek sūtīts ārējam MI pakalpojumam.

(3) Klients mums atļauj no Klienta datiem apkopot summārus skaitļus, kurus vairs nevar attiecināt ne uz vienu personu, klientu vai domēnu, piemēram, par piegādēm, kļūdām vai pārbaužu rezultātiem. Apkopošana ir apstrāde saskaņā ar šo Līgumu; iegūtie skaitļi vairs nav personas dati un vairs nav Klienta dati. Mēs nemēģinām no tiem atkārtoti identificēt personas.

§ 6 Klienta pienākumi

(1) Klients ir atbildīgs par to apstrādes darbību likumību, kuras tas uzdod mums veikt. Tas ietver juridiskā pamata esību šādai apstrādei un datu subjektu informēšanu saskaņā ar VDAR 13. un 14. pantu.

(2) Ja Klients izmanto piegādes pārbaudi, tas savā privātuma politikā informē savas vietnes apmeklētājus, ka formas e-pasta ziņojuma kopija tiek nosūtīta mums. Pakalpojums domēna lapā šim nolūkam piedāvā teksta paraugu; papildu teksta bloki ir pieejami lapā Privātuma politikas teksts Jūsu vietnei. Paraugs neaizstāj Klienta paša izvērtējumu.

(3) Skenēšanai aiz pieteikšanās Klients izveido īpašu testa kontu, kuram ir tikai tās tiesības, kas nepieciešamas norādīto lapu lasīšanai, un kurā netiek rādīti nekādi īsti klientu, pacientu, biedru vai darbinieku dati. Tas nesaglabā reālas personas pieteikšanās datus vai pieteikšanās datus, kurus tam nav tiesību izmantot. Lietošanas noteikumi ir izklāstīti arī dokumentā Pieņemama lietošana un ļaunprātīga izmantošana.

(4) Klients, ciktāl tas var no tā izvairīties, neliek ar Pakalpojuma starpniecību apstrādāt īpašu kategoriju personas datus (VDAR 9. pants) vai datus, kas attiecas uz sodāmību (VDAR 10. pants). Izmantojot „Fix it for me”, tas neievieto kodu, kas satur īstus personas datus, un klientu portālus izveido tikai personām, kuras ir pasūtījušas ziņojumu.

(5) Klientu portāli: attiecībā uz ikmēneša ziņojumu abonentiem pārzinis ir Klients, parasti aģentūra. Pakalpojums iegūst katra abonenta apstiprinājumu ar apstiprinājuma saiti (dubultā piekrišana) un katrā e-pasta ziņojumā piedāvā abonementa atteikšanu. Vai piekrišana aptver ziņojuma saturu, izvērtē Klients.

(6) Ja Klients konstatē kļūdas vai nepilnības apstrādē, tas bez nepamatotas kavēšanās mūs informē.

(7) Ja Klients iegulst emblēmu, tā nav apstrāde Klienta uzdevumā; ar to saistīto apstrādi apraksta mūsu Privātuma politika. Klients to piemin savā privātuma politikā.

§ 7 Konfidencialitāte

(1) Mēs piešķiram piekļuvi Klienta datiem tikai personām, kurām tā ir nepieciešama savu uzdevumu veikšanai un kuras ir apņēmušās ievērot konfidencialitāti vai uz kurām attiecas atbilstošs likumisks konfidencialitātes pienākums (VDAR 28. panta 3. punkta otrā teikuma b) apakšpunkts). Šī apņemšanās paliek spēkā arī pēc viņu darba beigām.

(2) Pašlaik Pakalpojumu nodrošina pats īpašnieks. Ja pievienojas citas personas, pirms tās pirmo reizi iegūst piekļuvi, tās tiek saistītas ar konfidencialitātes pienākumu un instruētas par rīcību ar personas datiem.

(3) Mēs ieskatāmies darbvietā tikai tiktāl, ciktāl tas nepieciešams darbības nodrošināšanai, problēmu novēršanai, atbalstam vai ļaunprātīgas izmantošanas novēršanai. Atbalsta funkcija „skatīt kā klients” ir ierobežota līdz vienai stundai, bloķē paroles, adreses, otrā faktora, abonementa, eksporta un dzēšanas izmaiņas un tiek reģistrēta žurnālā; Klients redz šo piekļuvi savā datu eksportā.

§ 8 Apstrādes drošība

(1) Mēs veicam VDAR 32. pantā paredzētos tehniskos un organizatoriskos pasākumus, kas nodrošina riskam atbilstošu drošības līmeni. Tie ir aprakstīti lapā Tehniskie un organizatoriskie pasākumi. Šī lapa ir šā Līguma daļa (2. pielikums) tajā redakcijā, kas tur attiecīgajā brīdī ir publicēta. Klients varēja iepazīties ar aprakstu pirms Līguma noslēgšanas. Vai pasākumi nodrošina atbilstošu drošības līmeni apstrādei, ko Klients mums uztic, Klients izvērtē uz savu atbildību (VDAR 28. panta 1. punkts), jo īpaši pirms tas ieslēdz kādu funkciju no 1. pielikuma.

(2) Lapā ir aprakstīti tikai tie pasākumi, kas faktiski ir īstenoti. Viss, kas ir plānots, bet vēl nav īstenots, tur ir skaidri apzīmēts kā „plānots” un neietilpst pasākumos, kurus apņemamies veikt, līdz tas ir īstenots.

(3) Mēs varam pielāgot pasākumus tehnikas attīstībai un Pakalpojuma attīstībai, ja vien kopējais aizsardzības līmenis nesamazinās. Katru izmaiņu mēs publicējam ar jaunu versijas numuru un datumu lapā un pārskatā Līguma dokumentu grozījumi. Ja izmaiņas atceļ iepriekš aprakstītu pasākumu bez aizstājēja vai to vājina, mēs turklāt vismaz 30 dienas iepriekš paziņojam par to Klientam teksta formā; Klients tad var iebilst tāpat kā jauna apakšapstrādātāja gadījumā (§ 9(3)). Ja pasākums ir jāaizstāj īsā laikā, lai novērstu apdraudējumu, to var darīt bez iepriekšēja paziņojuma, ja vien aizsardzības līmenis tādēļ nesamazinās; tādā gadījumā paziņojums seko bez nepamatotas kavēšanās.

§ 9 Apakšapstrādātāji

(1) Klients sniedz mums vispārēju rakstisku atļauju piesaistīt apakšapstrādātājus (VDAR 28. panta 2. punkts). Pašlaik piesaistītie apakšapstrādātāji ar to juridisko adresi, nolūku, datiem, apstrādes vietu un pamatu iespējamai nosūtīšanai uz trešo valsti ir uzskaitīti lapā Apakšapstrādātāji. Šis saraksts ir šā Līguma daļa (3. pielikums) tur publicētajā redakcijā. Tur minētajiem apakšapstrādātājiem atļauja tiek uzskatīta par sniegtu.

(2) Par jebkādu paredzētu apakšapstrādātāja pievienošanu vai aizstāšanu mēs informējam Klientu vismaz 30 dienas iepriekš ar e-pasta ziņojumu uz konta turētāja adresi. Paziņojumā norāda apakšapstrādātāju, tā juridisko adresi, attiecīgo funkciju, datus, apstrādes vietu un pamatu iespējamai nosūtīšanai. Vienlaikus paziņotās izmaiņas tiek parādītas apakšapstrādātāju lapā un izmaiņu pārskatā.

(3) Klients šo 30 dienu laikā var iebilst teksta formā, ja tam ir objektīvs ar datu aizsardzību saistīts iemesls; iebildumā tas norāda šo iemeslu. Tad mēs kopā ar Klientu meklējam risinājumu, piemēram, turpinot nodrošināt attiecīgo funkciju Klientam bez jaunā apakšapstrādātāja vai to izslēdzot. Kamēr risinājums nav atrasts, mēs neizmantojam jauno apakšapstrādātāju šā Klienta Klienta datiem; ja tas tehniski nav iespējams, attiecīgā funkcija Klientam tiek apturēta. Ja risinājums netiek atrasts, Klients var izbeigt līgumu par Pakalpojumu vai par skarto pakalpojumu ar izmaiņu spēkā stāšanās dienu un, ja mēs tam paziņojam, ka risinājums nav iespējams, tikai pēc šīs dienas, – ar tūlītēju iedarbību 14 dienu laikā pēc šā paziņojuma. Par iepriekš apmaksātu periodu, ko tas tādēļ vairs nevar izmantot, mēs atmaksājam proporcionālu summu. Mūsu tiesības uz parasto izbeigšanu saskaņā ar Pakalpojumu sniegšanas noteikumiem netiek skartas.

(4) Ar līgumu mēs uzliekam katram apakšapstrādātājam tos pašus datu aizsardzības pienākumus, kurus šis Līgums uzliek mums, jo īpaši pietiekamas garantijas atbilstošu tehnisko un organizatorisko pasākumu īstenošanai (VDAR 28. panta 4. punkta pirmais teikums). Mēs rūpīgi izvēlamies katru apakšapstrādātāju un pārbaudām, vai šīs garantijas pastāv, pirms to piesaistām, atkārtoti, ja tas būtiski maina savus noteikumus, un pārējā laikā – mūsu pasākumu ikgadējās pārskatīšanas ietvaros. Ja apakšapstrādātājs sniedz pierādījumus tikai sertifikāta, revīzijas ziņojuma vai publicēto noteikumu veidā, mēs savu pārbaudi balstām uz šiem pierādījumiem, ja tie ir aktuāli un informatīvi. Pēc pieprasījuma mēs nosūtām Klientam līguma ar apakšapstrādātāju vai tā datu aizsardzības noteikumu kopiju; iepriekš mēs varam aizklāt komercnoslēpumus un citu konfidenciālu informāciju, piemēram, cenas.

(5) Ja apakšapstrādātājs nepilda savus datu aizsardzības pienākumus, mēs paliekam atbildīgi pret Klientu par tā pienākumu izpildi tāpat kā par savu rīcību (VDAR 28. panta 4. punkta otrais teikums). Tas, ka mēs izvēlamies apakšapstrādātāju, nepārceļ nekādu atbildību uz Klientu. Ja apakšapstrādātājs nepilda savus līgumsaistības un tas attiecas uz Klienta Klienta datiem, mēs bez nepamatotas kavēšanās informējam Klientu. Ja mēs faktiski esam izzuduši, juridiski beiguši pastāvēt vai kļuvuši maksātnespējīgi un neviens tiesību pārņēmējs nav pārņēmis mūsu pienākumus, Klientam jābūt iespējai pieprasīt, lai apakšapstrādātājs dzēš vai atdod Klienta datus; mēs par to vienojamies ar katru apakšapstrādātāju, ciktāl tas to pieļauj (sal. līguma standartklauzulu 2021/915 7.7. klauzulas e) punktu).

(6) Apakšapstrādātāji nav saņēmēji, kuriem dati tiek nosūtīti tikai tādēļ, ka Klients pats tos Pakalpojumā iestata kā galamērķi: tērzēšanas pakalpojumi (piemēram, Slack, Discord, Microsoft Teams, Google Chat) un tīmekļa āķu (webhook) adreses brīdinājumiem. Galamērķa iestatīšana ir norādījums sūtīt paziņojumu uz to; līgumattiecības ar šiem pakalpojumu sniedzējiem un jebkāds pamats, kas nepieciešams nosūtīšanai uz trešo valsti, ir Klienta atbildība. Mūsu pašu pienākumi saskaņā ar šo Līgumu līdz brīdim, kad paziņojums tiek nodots, netiek skarti. Telegram arī ir Klienta izvēlēts galamērķis, taču tas darbojas citādi: mēs sūtām ziņojumu ar sava bota starpniecību uz tērzēšanu, ko adresāts pats ir piesaistījis botam, un Telegram to apstrādā ārpus Eiropas Ekonomikas zonas. Izvēloties Telegram, Klients mums skaidri uzdod nosūtīt paziņojumus uz to (VDAR 28. panta 3. punkta otrā teikuma a) apakšpunkts); ja Telegram šajā ziņā būtu jāuzskata par mūsu apakšapstrādātāju, šā galamērķa izvēle vienlaikus tiek uzskatīta par konkrētu atļauju šim nolūkam saskaņā ar VDAR 28. panta 2. punktu. Pamats saskaņā ar VDAR V nodaļu, uz kura šī nosūtīšana notiek, vēl nav galīgi noskaidrots; ikviens, kas vēlas izvairīties no nosūtīšanas bez noskaidrota pamata, izvēlas citu galamērķi. Tāpat apakšapstrādātāji nav pakalpojumu sniedzēji, kas datus tikai pārraida, piemēram, mūsu interneta pakalpojumu sniedzējs.

(7) Serverus, datubāzi un skaitļošanas jaudu, tostarp valodas modelim, mēs uzturam paši Polijā. Netiek iesaistīts neviens mitināšanas vai mākoņpakalpojumu sniedzējs.

§ 10 Nosūtīšana uz trešām valstīm

(1) Mūsu pašu serveri, kuros mēs apstrādājam Klienta datus, atrodas Polijā; ja Klienta datus apstrādā apakšapstrādātājs, atrašanās vieta ir norādīta 3. pielikumā. Nosūtīšana uz valsti ārpus Eiropas Ekonomikas zonas notiek tikai tad, ja ir izpildīti VDAR 44.–49. panta nosacījumi, un tikai saskaņā ar Klienta norādījumiem atbilstoši § 4 vai apakšapstrādātājam, kas atļauts atbilstoši § 9.

(2) Pamats katram apakšapstrādātājam (lēmums par aizsardzības līmeņa pietiekamību, piemēram, lēmums par ES un ASV datu privātuma satvaru sertificētu saņēmēju gadījumā, vai līguma standartklauzulas saskaņā ar VDAR 46. panta 2. punkta c) apakšpunktu) ir norādīts apakšapstrādātāju sarakstā. Ja sarakstā attiecībā uz kādu saņēmēju ir norādīts „jāpārbauda”, Klienta dati tam netiek sūtīti, kamēr pamats nav dokumentēts. Ja mēs piesaistām apakšapstrādātāju ārpus Eiropas Ekonomikas zonas, uz kuru neattiecas lēmums par aizsardzības līmeņa pietiekamību, mēs ar to vienojamies par līguma standartklauzulām saskaņā ar Īstenošanas lēmumu (ES) 2021/914 (3. modulis: apstrādātājs–apstrādātājs), iepriekš izvērtējam, vai galamērķa valsts tiesību akti un prakse ļauj tās ievērot, veicam nepieciešamos papildu pasākumus un dokumentējam rezultātu. Pēc pieprasījuma Klients saņem šā izvērtējuma kopsavilkumu.

(3) Par pamatu nosūtīšanai uz paša Klienta izvēlētiem galamērķiem (§ 9(6)) ir atbildīgs Klients.

§ 11 Palīdzība saistībā ar datu subjektu tiesībām

(1) Ņemot vērā apstrādes raksturu, mēs ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem, ciktāl tas ir iespējams, palīdzam Klientam atbildēt uz datu subjektu pieprasījumiem saskaņā ar VDAR III nodaļu (VDAR 28. panta 3. punkta otrā teikuma e) apakšpunkts).

(2) Daudz ko no tā Klients Pakalpojumā var izdarīt pats: mainīt vai dzēst brīdinājumu galamērķus, testa pieteikšanās datus un savu zīmolu; mainīt vai izslēgt formu ceļus; atsaukt klientu portālus (to abonenti paliek saglabāti līdz darbvietas dzēšanai); noņemt domēnu kopā ar tā datiem; lejupielādēt datu eksportu. Ja ar to nepietiek, mēs palīdzam pēc pieprasījuma teksta formā.

(3) Ja datu subjekts vēršas pie mums ar pieprasījumu par Klienta datiem, mēs paši pēc būtības uz to neatbildam, bet bez nepamatotas kavēšanās, ne vēlāk kā septiņas dienas pēc saņemšanas, pārsūtām to Klientam, ciktāl varam Klientu identificēt, un informējam personu, ka esam to izdarījuši. Ja mēs nevaram identificēt Klientu, mēs pasakām personai, kāda informācija mums ir vajadzīga, lai to atrastu.

(4) Vienu ierobežojumu mēs norādām atklāti: piegādes pārbaudes formu e-pasta ziņojumu kopijas mēs neglabājam datubāzē, un e-pasta ziņojums pēc veiksmīgas apstrādes tiek dzēsts no pastkastes vai, ja rodas izgūšanas vai dzēšanas kļūda, ar aizkavi. Tāpēc attiecībā uz konkrētu apmeklētāju mēs parasti varam tikai pateikt, ka mūsu rīcībā vairs nav nekāda satura.

(5) Ja mēs uzzinām, ka Klienta dati ir neprecīzi vai novecojuši, mēs bez nepamatotas kavēšanās informējam Klientu. Tad Klients tos var labot, dzēst vai ierobežot pats Pakalpojumā vai ar norādījumu mums.

§ 12 Palīdzība saistībā ar drošību, ietekmes novērtējumu un konsultēšanos

(1) Ņemot vērā apstrādes raksturu un mūsu rīcībā esošo informāciju, mēs palīdzam Klientam izpildīt tā pienākumus saskaņā ar VDAR 32.–36. pantu: apstrādes drošība, paziņošana un informēšana par pārkāpumiem, novērtējums par ietekmi uz datu aizsardzību un iepriekšēja apspriešanās ar uzraudzības iestādi (VDAR 28. panta 3. punkta otrā teikuma f) apakšpunkts).

(2) Šim nolūkam mēs jo īpaši sniedzam pasākumu aprakstu, apakšapstrādātāju sarakstu un pēc pieprasījuma papildu informāciju par datu plūsmām un glabāšanas termiņiem. Savu Pakalpojuma risku izvērtējumu mēs publicējam dokumentā Novērtējums par ietekmi uz datu aizsardzību; Klients to var izmantot savam izvērtējumam.

(3) Par palīdzību saskaņā ar §§ 11 un 12, ko Klients nevar sniegt sev pats, izmantojot Pakalpojuma funkcijas vai publicētos dokumentus, kas prasa vairāk nekā četras stundas darba kalendārajā gadā un kas nav radusies mūsu pieļauta šā Līguma vai VDAR pārkāpuma dēļ, mēs varam pieprasīt atlīdzību par laiku virs šā apjoma pēc stundas likmes, ko iepriekš paziņojam teksta formā. Pieprasījumu pārsūtīšana un paziņošana par pārkāpumiem vienmēr ir bez maksas. Mēs nepadarām likumā noteikto palīdzību atkarīgu no samaksas vai vienošanās par atlīdzību.

§ 13 Personas datu aizsardzības pārkāpumi

(1) Ja mums kļūst zināms par personas datu aizsardzības pārkāpumu, kas skar Klienta Klienta datus, mēs bez nepamatotas kavēšanās, ja iespējams – 48 stundu laikā, paziņojam par to Klientam ar e-pasta ziņojumu uz konta turētāja adresi (VDAR 33. panta 2. punkts). Tas paredzēts, lai nesaīsinātu 72 stundu termiņu, kas Klientam jāievēro attiecībā pret uzraudzības iestādi. Mums kļūst zināms par pārkāpumu, tiklīdz mēs ar pamatotu pārliecību esam konstatējuši, ka drošības incidents skar Klienta Klienta datus; jebkādas aizdomas mēs izmeklējam bez nepamatotas kavēšanās. Tas pats attiecas uz pārkāpumu pie apakšapstrādātāja, tiklīdz tas mums par to paziņo.

(2) Paziņojumā, ciktāl tas ir zināms, ir ietverta VDAR 33. panta 3. punktā minētā informācija: pārkāpuma raksturs, tostarp laiks vai laikposms, kad tas notika, ja iespējams, ar attiecīgo datu subjektu un ierakstu kategorijām un aptuveno skaitu, kontaktpunkts papildu informācijas iegūšanai, iespējamās sekas un veiktie vai ierosinātie pasākumi. To, kas pirmā paziņojuma brīdī vēl nav noskaidrots, mēs sniedzam bez turpmākas nepamatotas kavēšanās.

(3) Mēs nekavējoties veicam pasākumus, kas nepieciešami pārkāpuma novēršanai un tā seku mazināšanai, un saskaņojam turpmākos soļus ar Klientu. Katru pārkāpumu mēs dokumentējam, norādot faktus, tā ietekmi un veiktās koriģējošās darbības, un pēc pieprasījuma darām dokumentāciju pieejamu Klientam.

(4) Paziņošanu uzraudzības iestādei vai informēšanu datu subjektiem veic Klients. Mēs to darām tikai pēc tā norādījuma.

(5) Ziņojumus par drošības ievainojamībām, ko trešās personas atrod Pakalpojumā, mēs pieņemam lapā Drošība.

(6) Paziņojums un mūsu sadarbība saskaņā ar šo sadaļu nenozīmē pienākuma pārkāpuma vai atbildības atzīšanu. Ja pārkāpums skar arī datus, kuriem pārzinis esam mēs paši, attiecībā uz šiem datiem mēs pildām savus pienākumus saskaņā ar VDAR 33. un 34. pantu; to darot, mēs izpaužam Klienta Klienta datus tikai tiktāl, ciktāl tas šim nolūkam ir nepieciešams.

§ 14 Pierādījumi un revīzijas

(1) Mēs darām pieejamu Klientam visu informāciju, kas vajadzīga, lai apliecinātu VDAR 28. pantā paredzēto pienākumu izpildi, un dodam iespēju veikt un sekmējam revīzijas, tostarp pārbaudes, ko veic Klients vai cits tā pilnvarots revidents (VDAR 28. panta 3. punkta otrā teikuma h) apakšpunkts).

(2) Pienākumu izpildi mēs galvenokārt apliecinām ar dokumentiem: pasākumu aprakstu, apakšapstrādātāju sarakstu, Apstrādes darbību reģistru, kas aptver apstrādi klientu uzdevumā (VDAR 30. panta 2. punkts), rakstiskām atbildēm uz anketām un pēc pieprasījuma – izrakstiem no žurnāliem vai atjaunošanas testa rezultātiem. Uz anketām mēs atbildam 30 dienu laikā pēc saņemšanas un, ja pastāv 4. punktā minēts iemesls, tik ātri, cik šis iemesls prasa. Ārēju revīziju ziņojumu vai sertifikātu pašlaik nav; mēs to norādām, lai neviens nepieņemtu, ka tādi ir.

(3) Ja dokumenti nav pietiekami, Klients var pieprasīt revīziju, tostarp uz vietas. Kārtējo revīziju Klients paziņo vismaz 30 dienas iepriekš teksta formā, norādot tās priekšmetu, paredzamo ilgumu un revidentu; tā notiek parastajā darba laikā Polijā un tiek plānota tā, lai darbība netiktu nevajadzīgi traucēta. Kārtējās revīzijas uz vietas notiek ne biežāk kā reizi kalendārajā gadā; 4. punkts netiek skarts.

(4) Nav noteikta gaidīšanas laika, ja ir steidzams iemesls. Personas datu aizsardzības pārkāpuma gadījumā, ja ir konkrētas norādes uz šā Līguma vai VDAR pārkāpumu, un ja uzraudzības iestāde pieprasa revīziju, nepiemēro ne 30 dienu paziņošanas termiņu, ne ierobežojumu – viena revīzija gadā. Tad revīzija notiek tik ātri, cik to prasa iemesls un cik tas ir organizatoriski iespējams.

(5) Klients var pilnvarot revidentu, kuram ir konfidencialitātes pienākums un kurš nedz piedāvā ar formexposed salīdzināmu pakalpojumu, nedz strādā šāda pakalpojuma sniedzēja labā. Mēs varam prasīt, lai revidenti neaiznes un nefiksē citu klientu noslēpumus, pieteikšanās datus vai drošības datus. Klients un tā revidents konfidenciāli izturas pret to, ko revīzijas laikā uzzina par mūsu darbību, un izmanto to tikai, lai pārbaudītu šā Līguma un VDAR ievērošanu; viņi to var izpaust kompetentajai uzraudzības iestādei, konsultantiem, kuriem ir konfidencialitātes pienākums, un tiktāl, ciktāl to prasa tiesību akti. Šādas vienošanās nedrīkst padarīt neiespējamas likumā noteiktās revīzijas tiesības.

(6) Katra puse sedz savas revīzijas izmaksas. Ja mūsu kopējais darba apjoms saistībā ar kāda Klienta revīzijām un anketām pārsniedz astoņas stundas kalendārajā gadā, mēs varam pieprasīt atlīdzību par laiku virs šā apjoma pēc stundas likmes, ko iepriekš paziņojam teksta formā, taču ne tad, ja revīzijā atklājas mūsu pieļauts pārkāpums vai ja tā notiek 4. punktā minēta iemesla dēļ, par kuru esam atbildīgi mēs. Mēs nepadarām pašu revīziju atkarīgu no samaksas.

(7) Uzraudzības iestāžu pilnvaras netiek skartas. Mums kompetentā uzraudzības iestāde ir Personas datu aizsardzības biroja priekšsēdētājs (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Abas puses pēc pieprasījuma dara kompetentajai uzraudzības iestādei pieejamu šajā sadaļā minēto informāciju, tostarp revīziju rezultātus.

§ 15 Dzēšana un atdošana

(1) Līguma darbības laikā piemēro 1. pielikumā noteiktos glabāšanas termiņus. To ievērošanu nodrošina nakts process, kas dzēš datus atbilstoši tiem pašiem iestatījumiem, kas norādīti arī tekstos.

(2) Izvēle starp atdošanu un dzēšanu. Pēc apstrādes beigām Klients izlemj, vai mēs Klienta datus atdodam vai dzēšam (VDAR 28. panta 3. punkta otrā teikuma g) apakšpunkts). Atdošana notiek ar datu eksportu, ko Klients iestatījumos var pats lejupielādēt kā mašīnlasāmu failu, vai to veicam mēs pēc pieprasījuma teksta formā 30 dienu laikā, un tādā gadījumā tā aptver arī eksportā neietvertos Klienta datus, ciktāl tos var atdot (4. punkts). Dzēšana notiek, noņemot domēnu, kas dzēš tā datus, vai dzēšot kontu, ko Klients ierosina pats. Ja Klients vēlas gan atdošanu, gan dzēšanu, tas vispirms lejupielādē eksportu un pēc tam veic dzēšanu.

(3) Ja Klients neizdara izvēli un dzēš savu kontu, to uzskata par dzēšanas izvēli. Dzēšot kontu, darbvietas, kuru vienīgais īpašnieks ir Klients, tiek nekavējoties dzēstas darba sistēmā kopā ar visiem Klienta datiem. Ja darbvietai ir citi dalībnieki, tā pāriet dalībniekam, kurš tai pieder visilgāk, administratori pirms lasītājiem, un netiek dzēsta; šis dalībnieks tādējādi kļūst par Klientu attiecībā uz šo darbvietu. Ja tas nav vēlams, pirms dzēšanas jānoņem pārējie dalībnieki vai domēni. Ja līgums par kontu beidzas citādi, piemēram, ar mūsu izbeigšanu saskaņā ar Pakalpojumu sniegšanas noteikumiem, mēs kopā ar paziņojumu par izbeigšanu norādām Klientam uz eksportu, un Klients to var lejupielādēt līdz līguma beigām. Ne vēlāk kā 30 dienas pēc līguma beigām mēs dzēšam kontu kopā ar Klienta datiem; pašlaik tas tiek darīts manuāli.

(4) Mēs iepriekš norādām, ko nevar atdot: pieteikšanās dati skenēšanai aiz pieteikšanās nav eksporta daļa, jo tīmekļa serveris tos nevar atšifrēt (1. pielikuma 5. punkts); piegādes pārbaudes kopijas pēc apstrādes vairs nepastāv; kods no „Fix it for me” vispār netiek saglabāts.

(5) Rezerves kopijas. Datubāzes rezerves kopija tiek veidota katru nakti. Katra rezerves kopija tiek dzēsta pēc 14 dienām. Darba sistēmā dzēstie Klienta dati līdz tam paliek vecākajās rezerves kopijās; atsevišķi ieraksti rezerves kopijā selektīvi netiek dzēsti, jo rezerves kopijai jābūt negrozītam noteikta brīža attēlam. Līdz to derīguma beigām rezerves kopijas tiek aizsargātas tāpat kā pati datubāze un tiek izmantotas tikai atjaunošanai un atjaunošanas testēšanai; tajās netiek veikta meklēšana vai analīze. Ja mums ir jāatjauno rezerves kopija, pirms Pakalpojums atsāk darbību, mēs atkārtoti izpildām dzēšanas pieprasījumus, kas iesniegti pēc tās datuma, ciktāl tie mums ir zināmi. Tādējādi ieraksts no rezerves kopijām ir pazudis ne vēlāk kā 14 dienas pēc tā dzēšanas darba sistēmā.

(6) Pašlaik mums nav pienākuma glabāt Klienta datus. Ja saskaņā ar Savienības vai Polijas tiesību aktiem rodas likumisks glabāšanas pienākums, mēs attiecīgos datus nevis dzēšam, bet ierobežojam to apstrādi, izmantojam tos tikai šim nolūkam un dzēšam, kad pienākums beidzas.

(7) Pēc pieprasījuma mēs 30 dienu laikā teksta formā apstiprinām dzēšanu, norādot, kas vēl pastāv saskaņā ar 5. un 6. punktu un līdz kuram laikam.

§ 16 Pārkāpumi, apturēšana un izbeigšana

(1) Ja mēs jebkāda iemesla dēļ nevaram izpildīt kādu šajā Līgumā noteiktu pienākumu, mēs bez nepamatotas kavēšanās informējam Klientu.

(2) Ja mēs pārkāpjam šo Līgumu vai VDAR, Klients var pieprasīt, lai mēs apturam attiecīgo Klienta datu apstrādi, līdz pārkāpums ir novērsts. Ja pārkāpums turpinās vai ir smags, Klients var izbeigt līgumu par Pakalpojumu svarīga iemesla dēļ, jo īpaši, ja mēs nenovēršam pārkāpumu viena mēneša laikā pēc paziņojuma par to vai neizpildām tiesas vai uzraudzības iestādes lēmumu par to. Iepriekš samaksātās maksas par laikposmu pēc līguma beigām mēs atmaksājam proporcionāli.

(3) Ja Klients uzstāj uz norādījumu, ko mēs saskaņā ar § 4(4) uzskatām par nelikumīgu, mēs varam izbeigt līgumu par skarto pakalpojumu, ja esam par to iepriekš paziņojuši Klientam un tas viena mēneša laikā norādījumu nemaina.

(4) Pēc izbeigšanas piemēro § 15.

§ 17 Atbildība

(1) Attiecībā uz kaitējumu, kas nodarīts datu subjektam, piemēro VDAR 82. pantu. Šo atbildību neierobežo neviens līgumisks atbildības ierobežojums, tostarp Pakalpojumu sniegšanas noteikumos ietvertais.

(2) Ja puse ir izmaksājusi datu subjektam kompensāciju saskaņā ar VDAR 82. pantu, tā var no otras puses atprasīt to daļu, kas atbilst otras puses atbildības daļai par kaitējumu (VDAR 82. panta 4. un 5. punkts). Arī šo regresu neierobežo Pakalpojumu sniegšanas noteikumos paredzētie atbildības ierobežojumi.

(3) Attiecībā uz visiem citiem prasījumiem starp Klientu un mums saskaņā ar šo Līgumu, piemēram, par puses pašas zaudējumu vai izmaksu atlīdzību, ciktāl to pieļauj tiesību akti, piemēro Pakalpojumu sniegšanas noteikumu atbildības noteikumus. Par apakšapstrādātājiem mēs atbildam saskaņā ar § 9(5) tāpat kā par savu rīcību. Naudas sodu, ko uzraudzības iestāde piemērojusi pusei par tās pašas pārkāpumu, sedz pati attiecīgā puse.

(4) Ja datu subjekts vai uzraudzības iestāde vēršas pret kādu pusi ar prasījumu, šī puse bez nepamatotas kavēšanās informē otru pusi, un abas sadarbojas lietas noskaidrošanā. Neviena puse bez otras puses piekrišanas neatzīst prasījumu, attiecībā uz kuru tā plāno vērst regresu pret otru pusi; piekrišanu nevar atteikt bez objektīva iemesla.

§ 18 Kontaktpunkts un datu aizsardzības speciālists

(1) Datu aizsardzības jautājumus saistībā ar šo Līgumu, norādījumus un paziņojumus Klients adresē uz contact@lukaswojcik.com vai iesniedz atbalsta logā un lapā Kontakti. Mūsu paziņojumi saskaņā ar šo Līgumu tiek sūtīti uz konta turētāja e-pasta adresi; Klients nodrošina, ka tā ir aktuāla.

(2) Mēs neesam iecēluši datu aizsardzības speciālistu, jo, pēc mūsu vērtējuma, VDAR 37. panta 1. punkta nosacījumi nav izpildīti. Ja tas mainīsies, mēs paziņosim par iecelšanu šajā Līgumā.

§ 19 Nobeiguma noteikumi

(1) Prioritāte. Ja kāds Pakalpojumu sniegšanas noteikumu vai citas vienošanās noteikums ir pretrunā šim Līgumam, visos jautājumos, kas attiecas uz Klienta datu apstrādi, noteicošais ir šis Līgums; Klienta paša vispārējie noteikumi netiek piemēroti. Šā Līguma grozījumiem un papildinājumiem atsevišķā gadījumā nepieciešama teksta forma, un tiem skaidri jāatsaucas uz šo Līgumu; tie kļūst par šā Līguma daļu un savu noteikumu apjomā ir noteicoši attiecībā pret to. Ja šis Līgums ir pretrunā VDAR obligātajiem noteikumiem, noteicoši ir šie noteikumi.

(2) Grozījumi. Mēs grozām šo Līgumu tikai kāda no šiem objektīvajiem iemesliem: izmaiņas tiesību aktos vai to interpretācijā tiesās un iestādēs, tostarp jaunu Eiropas Komisijas līguma standartklauzulu dēļ; izmaiņas Pakalpojumā, tā funkcijās vai tehniskajā pamatā; Pakalpojuma sniegšanai nepieciešamas izmaiņas pie trešās personas; ļaunprātīgas izmantošanas vai drošības risku novēršana; kļūdu un neskaidrību labošana. Par grozījumiem, norādot grozīto redakciju, iemeslu un plānoto datumu, mēs paziņojam vismaz 30 dienas iepriekš ar e-pasta ziņojumu uz konta turētāja adresi un izmaiņu pārskatā. Bez šā paziņošanas termiņa mēs grozām tikai to, kas ir vienīgi Klienta labā, ir tīri valodiska rakstura vai labo acīmredzamas kļūdas, ko likums, tiesa vai iestāde prasa īsākā termiņā, un to, kas nepieciešams, lai novērstu tiešu drošības risku; arī šajos gadījumos mēs paziņojam par grozījumu pēc iespējas ātrāk un norādām iemeslu. Klusēšana nenozīmē piekrišanu. Ja grozījumam nepieciešama Klienta piekrišana, mēs to iegūstam skaidri izteiktā veidā; bez tās turpina piemērot iepriekšējo redakciju, un likumā un līgumā noteiktās izbeigšanas tiesības saglabājas. Klients var iebilst pret paziņotu grozījumu teksta formā līdz tā spēkā stāšanās brīdim; sekas nosaka Pakalpojumu sniegšanas noteikumu noteikumi par iebildumiem pret grozījumu. 2. un 3. pielikuma grozījumus regulē § 8(3) un § 9(2) un (3). Visas versijas ir reģistrētas pārskatā Līguma dokumentu grozījumi.

(3) Piemērojamie tiesību akti un jurisdikcija. Piemēro Pakalpojumu sniegšanas noteikumos noteiktos tiesību aktus; VDAR obligātie noteikumi netiek skarti. Jurisdikciju nosaka Pakalpojumu sniegšanas noteikumi.

(4) Valoda. Līgums ir pieejams visās Eiropas Savienības oficiālajās valodās. Neatbilstību gadījumā noteicošā ir poļu valodas versija.

(5) Ja kāds noteikums ir spēkā neesošs, pārējā Līguma daļa paliek spēkā. Spēkā neesošo noteikumu aizstāj ar to tiesību normu, kas vistuvāk atbilst tā mērķim; šaubu gadījumā – ar noteikumu, kas atbilst VDAR 28. panta 3. punkta prasībām.

1. pielikums – Apstrāde Klienta uzdevumā

Šajā pielikumā katrai funkcijai ir aprakstīts apstrādes priekšmets, raksturs un nolūks, personas datu veidi, datu subjektu kategorijas un dzēšana (VDAR 28. panta 3. punkta pirmais teikums). Ja vien nav norādīts citādi, apstrādes raksturs ir šāds: vākšana, glabāšana, izgūšana, saskaņošana, nosūtīšana uz Klienta norādītajiem galamērķiem un dzēšana. Apstrādes vieta ir mūsu pašu serveri Polijā; ja ir iesaistīts apakšapstrādātājs, tas ir norādīts. Termiņi figūriekavās ir iestatījumi, pēc kuriem faktiski darbojas nakts dzēšanas process. Apstrādes ilgums ir šā Līguma darbības laiks (§ 3); šā laika ietvaros piemēro katrai funkcijai norādītos dzēšanas termiņus. Apstrāde notiek pastāvīgi, kamēr Klients izmanto attiecīgo funkciju. Īpašu kategoriju personas dati nav apstrādes priekšmets; ja tie tomēr nonāk Pakalpojumā ar formu e-pasta ziņojumiem, piemēro § 6(4).

1. Piegādes pārbaude

Nolūks: pārbaudīt, vai e-pasta ziņojumi no Klienta formas pienāk un vai tie ir autentiski (SPF, DKIM, DMARC).

Kā tas darbojas: funkcija nav obligāta. Klients savā formā ievada kontroles pastkastes adresi kā slēpto kopiju (Bcc). Rezultātā mums tiek nosūtīta katra formas e-pasta ziņojuma kopija – ne tikai mūsu testa iesniegumu kopijas, bet arī tā apmeklētāju īsto pieprasījumu kopijas. Automātiska izgūšana ar IMAP nolasa galvenes un ne vairāk kā pirmos 8 KB teksta, piesaista e-pasta ziņojumu domēnam un attiecīgā gadījumā testa iesniegumam un pārbauda autentiskuma pazīmes. Pēc veiksmīgas apstrādes e-pasta ziņojums tiek dzēsts no pastkastes. Izgūšanas vai dzēšanas kļūdas gadījumā tas var palikt pastkastē līdz nākamajai veiksmīgajai izpildei.

Dati: formu e-pasta ziņojumu saturs un galvenes ar visu, ko ievada apmeklētāji, piemēram, vārdu, e-pasta adresi, tālruņa numuru un ziņojumu, kā arī sūtītāja un adresāta adreses un tehniskā informācija par iesaistītajiem pasta serveriem.

Datu subjekti: Klienta vietnes apmeklētāji, kuri iesniedz formu; formu e-pasta ziņojumu adresāti pie Klienta.

Glabāšana un dzēšana: datubāzē tiek saglabāts tikai laiks, piesaiste domēnam, attiecīgā gadījumā testa iesnieguma identifikators un autentiskuma pārbaudes rezultāti. Laiks un piesaiste tiek glabāti 180 dienas; jaunākais autentiskuma pārbaudes rezultāts tiek glabāts pie domēna, līdz to aizstāj nākamais e-pasta ziņojums vai domēns tiek dzēsts. Autentiskuma pārbaudes rezultāts satur piegādājošā pasta servera IP adresi un sūtītāja adreses domēnu; brīdinājumā šis domēns tiek minēts tikai tad, ja tas nepieder vietnei. Apmeklētāju saturs un pilnas sūtītāju adreses datubāzē netiek saglabātas. Pats e-pasta ziņojums pēc veiksmīgas apstrādes tiek dzēsts no pastkastes vai, ja rodas izgūšanas vai dzēšanas kļūda, ar aizkavi.

Iesaistīti: e-pasta pakalpojumu sniedzējs (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pastkastei; kopijas to sasniedz tieši caur mūsu domēna MX ierakstiem, nevis ar pāradresāciju, skatīt Apakšapstrādātāji.

Ierobežojums: sakritība apstiprina tikai to, ka attiecīgā kopija ir nonākusi kontroles pastkastē, nevis saņemšanu pie faktiskā adresāta vai ierakstu CRM sistēmā. Bez kontroles pastkastes funkcija nav pieejama. Kopijās nevajadzētu būt īpašu kategoriju personas datiem (§ 6(4)).

2. Klientu portāls un ikmēneša ziņojums abonentiem

Nolūks: ikmēneša ziņojuma par vietnes formām nosūtīšana Klienta uzdevumā, parasti aģentūras saviem klientiem, un portāla ar šiem ziņojumiem nodrošināšana.

Dati: e-pasta adrese, valoda, abonēšanas laiks un IP adrese, apstiprināšanas (dubultā piekrišana) un abonementa atteikšanas laiks; ziņojuma saturs (domēns, pārbaužu rezultāti, skaitļi).

Datu subjekti: Klienta klienti un kontaktpersonas, kuri abonē ziņojumu.

Dzēšana: neapstiprināti abonementi – pēc 30 dienām. Pēc abonementa atteikšanas ieraksts par abonēšanu, apstiprināšanu un atteikšanu tiek glabāts trīs gadus, lai Klients varētu pierādīt piekrišanu. Viss tiek dzēsts ne vēlāk kā kopā ar darbvietu; tikai portāla atsaukšana tā abonentus nedzēš.

Iesaistīti: e-pasta pakalpojumu sniedzējs (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) nosūtīšanai.

3. Brīdinājumi, ziņojumi un incidenti

Nolūks: brīdinājumu, kopsavilkumu un ziņojumu piegāde uz Klienta iestatītajiem galamērķiem un incidentu pārvaldība.

Dati: e-pasta adreses, tīmekļa āķu un tērzēšanas kanālu adreses, Telegram tērzēšanas ID pēc tam, kad adresāts to ir piesaistījis; paziņojumu saturs (domēns, notikums, laiks, saite uz Pakalpojumu, pārbaudes brīdinājumiem – ziņojuma saite, caur kuru rezultātiem un ekrānuzņēmumiem var piekļūt bez pieteikšanās; Telegram ziņojuma saites vietā saņem tikai saiti uz domēna lapu kontā, kam nepieciešama pieteikšanās); nosūtīšanas žurnāls; eskalācijas piegādes mēģinājumi katram incidentam un galamērķim (skaits, laiki, rezultāts, kļūda); tās personas vārds vai e-pasta adrese, kura apstiprina incidentu, un atbildīgā persona ar izpildes termiņu.

Datu subjekti: Klienta darbinieki un pakalpojumu sniedzēji, kuri saņem brīdinājumus vai apstrādā incidentus.

Dzēšana: galamērķi – līdz Klients tos noņem vai dzēš domēnu; nosūtīšanas žurnāls – pēc 90 dienām; apkopotie paziņojumi – 30 dienas pēc nosūtīšanas; incidenti – kamēr tie nav atrisināti, un 180 dienas pēc atrisināšanas kopā ar to eskalācijas piegādes mēģinājumiem.

Iesaistīti: e-pasta pakalpojumu sniedzējs (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) e-pastam; tērzēšanas pakalpojumiem un tīmekļa āķiem – Klienta izvēlētie pakalpojumu sniedzēji (§ 9(6)).

4. Klienta vietņu pārbaude: personas, kas nejauši ir redzamas

Nolūks: formu un to aizsardzības pārbaude un uzraudzība Klienta domēnos, kuriem tas ir iesniedzis kontroles pierādījumu. Kamēr domēnam pierādījuma nav, mēs to pārbaudām tikai pasīvi un šīm pārbaudēm pārzinis esam mēs paši; tas ir aprakstīts Privātuma politikā.

Dati: skenēšana nolasa domēna publiskās lapas: lapu adreses, formu struktūru (lauku nosaukumi, tipi, etiķetes, obligātuma un redzamības atribūti, bez vērtībām; iepriekš aizpildītu slēpto lauku un datu atribūtu sākumu skeneris nolasa tikai pārbaudes laikā un nesaglabā), iegultos skriptus, aizsardzības pasākumus. Tā uzņem sākumlapas un formu redzamās daļas ekrānuzņēmumus, bet aktīvu testa iesniegumu gadījumā – arī atbildes lapas ekrānuzņēmumus; tie netiek aizklāti. Tajos un nolasītajā lapas saturā var būt personas dati, ko Klients pats publicē, piemēram, kontaktpersonu vārdi un kontaktinformācija, fotoattēli vai atsauksmes. Formu adresātu adreses mēs glabājam tikai kā domēnu. Par katru pārbaudi Pakalpojums izveido ziņojumu ar nejaušu saiti, caur kuru rezultātiem un ekrānuzņēmumiem var piekļūt bez pieteikšanās, līdz pārbaude tiek dzēsta; saite parādās kontā un brīdinājumos (3. punkts). Ikviens, kas nodod saiti tālāk, nodod tālāk ziņojumu.

Datu subjekti: personas, kuru dati ir redzami Klienta vietnē.

Dzēšana: pārbaužu rezultāti, ieskaitot ekrānuzņēmumus, – ne ilgāk kā 13 mēnešus; jaunākā pārbaude tiek glabāta, kamēr domēns ir kontā. Kad domēns tiek noņemts, domēna dati tiek dzēsti, ieskaitot pārbaudes, konstatējumus un ekrānuzņēmumus.

Piezīme: valodas modelis mūsu pašu serverī palīdz klasificēt formas, kuru nolūku tikai ar noteikumiem nevar atpazīt. Šādi klasificētas formas nekad netiek iesniegtas un netiek ņemtas vērā vērtējumā vai slēdzienā. Aktīvie testa iesniegumi (ne vairāk kā pieci katrā pārbaudē) satur tikai marķētus testa tekstus bez personas datiem.

5. Testa konta pieteikšanās dati skenēšanai aiz pieteikšanās

Nolūks: formu nolasīšana līdz piecām Klienta norādītām lapām aiz pieteikšanās. Tikai verificētiem domēniem, tikai darbvietas īpašniekiem un administratoriem, tikai maksas plānos. Testa konts tiek izmantots tikai pilnajā pārbaudē, nevis pārlūkprogrammas pārbaudēs (6. punkts).

Dati: pieteikšanās adrese, testa konta lietotājvārds un parole, informācija par pieteikšanās laukiem; tas, kas šim kontam ir redzams nolasītajās lapās, ciktāl tas attiecas uz formu struktūru.

Datu subjekti: persona, uz kuras vārda ir testa konts, ja tas ir piešķirts personai; personas, kuru dati ir redzami testa kontā.

Aizsardzība: lietotājvārds un parole tiek šifrēti tīmekļa serverī ar skenēšanas servera publisko atslēgu un piesaistīti domēnam. Tos var atšifrēt tikai skenēšanas serveris skenēšanas laikā; tīmekļa serverī, datubāzē un rezerves kopijās ir tikai šifrteksts. Pieteikšanās dati nekad netiek parādīti, nekad netiek reģistrēti žurnālos un nekad netiek izvadīti caur saskarni; lietotāja saskarne parāda tikai lietotājvārda pirmo rakstzīmi un garumu. Aiz pieteikšanās nekas netiek iesniegts, netiek veikts neviens aktīvs tests un netiek uzņemts neviens ekrānuzņēmums; izrakstīšanās, dzēšanas vai anulēšanas lapas netiek apmeklētas.

Dzēšana: līdz Klients noņem pieteikšanās datus vai dzēš domēnu; noņemšana pārraksta šifrtekstu un notīra gaidošos uzdevumus. Atsevišķajam skenēšanas uzdevumam pievienotā kopija tiek notīrīta pēc izpildes, jebkādas atliekas – ne vēlāk kā pēc vienas stundas.

6. Formu ceļi un pārlūkprogrammas pārbaudes

Nolūks: regulāras pārbaudes, vai konfigurētās formas darbojas īstā pārlūkprogrammā līdz brīdim pirms iesniegšanas.

Dati: formu adreses, selektori, iepriekšējie klikšķi un pārbaudes soļi, pārlūkprogrammas izvēle, atbildīgā persona un izpildes termiņš; rezultāti ar statusu, tehniskajām kļūdu kategorijām, attīrītiem kļūdu ziņojumiem, laikiem un formas ekrānuzņēmumu, kurā ievades lauki ir aizklāti. Saistība ar personu rodas galvenokārt ar atbildīgo personu un saturu, ko Klients pats ieraksta soļos vai apzīmējumos.

Datu subjekti: Klienta darbinieki, kuriem ir piešķirtas formas.

Dzēšana: konfigurācijas – līdz domēna dzēšanai; Klients tās var atsevišķi mainīt vai izslēgt, bet pašlaik nevar atsevišķi noņemt. Rezultāti – pēc 13 mēnešiem.

Ierobežojums: pārlūkprogrammas pārbaudes neko neiesniedz. Pakalpojumā ir paredzēta neatkarīga otrā zonde, taču tā pašlaik nav iestatīta; bez tās nav apstiprinājuma no otras atrašanās vietas. Ja tā tiks iestatīta pie trešās personas, piemēro § 9.

7. „Fix it for me”

Nolūks: aizsargkomponenta ievietošana formas kodā, ko Klients ielīmē.

Dati: ielīmētais kods, ja tas satur personas datus, piemēram, komentāros, paraugvērtībās vai fiksēti ierakstītās adresēs.

Datu subjekti: personas, kuru dati parādās kodā.

Apstrāde un dzēšana: komponentu ievieto valodas modelis mūsu pašu serverī. Kods tiek apstrādāts tikai pieprasījuma izpildes laikā un netiek saglabāts. Pakalpojums darbojas bez Klienta sistēmu pieteikšanās datiem un neko neinstalē tā serveros.

8. Paša zīmols (white-label)

Nolūks: Klienta zīmola attēlošana ziņojumos un klientu portālā.

Dati: uzņēmuma nosaukums, vietne, kontaktinformācija un logotips, attiecīgā gadījumā kontaktpersonas vārds un kontaktinformācija.

Datu subjekti: Klienta kontaktpersonas.

Dzēšana: līdz Klients maina vai dzēš datus, ne vēlāk kā kopā ar darbvietu.

9. Papildu skaitļi bez saistības ar personu

WordPress paplašinājuma neobligātie formu un lauku kļūdu skaitļi nesatur ievadītos datus, lauku nosaukumus vai apmeklētāju identifikatorus, un tie tiek glabāti 13 mēnešus. Formu ceļu ierakstītājs glabā soļus Klienta pārlūkprogrammā ne ilgāk kā 15 minūtes; vietējie dienas skaitītāji paliek Klienta vietnē ne ilgāk kā 14 dienas. Mēs tos šeit uzskaitām, lai attēls būtu pilnīgs; pēc savas uzbūves tie nav Klienta dati.

10. Veidlapu aizsardzība (formconfirmed)

Šis punkts attiecas tikai tad, ja Klients ieslēdz veidlapu aizsardzību (Pakalpojumu sniegšanas noteikumu 5.7. punkts).

Nolūks: novērtēt iesniegumus, kas veikti ar veidlapām Klienta tīmekļa vietnēs, lai atpazītu automatizētus iesniegumus.

Kā tas darbojas: atverot lapu ar aizsargātu veidlapu, skripts apmeklētāja pārlūkā iegūst no mūsu servera parakstītu uzdevumu un to atrisina (skaitļošanas pierādījums). Iesniegšanas brīdī Klienta serveris iesniedz rezultātu mūsu pārbaudes saskarnei. Mēs pārbaudām pārbaudes marķiera parakstu, vecumu, vienreizēju izmantošanu un domēnu, kā arī citus signālus, piemēram, aizpildīšanas laiku, neredzamu slazda lauku un atkārtotus pieprasījumus no tās pašas saīsinātās adreses. Ja Klients ieslēdz satura pārbaudi, valodas modelis novērtē ziņojuma tekstu, ko līdzi nosūta Klienta serveris. Atpakaļ tiek nosūtīts punktu skaits ar ieteicamo darbību un iemesliem; kas notiek ar iesniegumu, lemj Klients. Netiek izmantotas ne sīkdatnes, ne saglabāšana pārlūkā, ne ierīces pirkstu nospiedums.

Dati: apmeklētāja IP adrese, iegūstot uzdevumu un pārbaudes laikā, lapas adrese un domēns, laika momenti un aizpildīšanas laiks, vai ir aizpildīts slazda lauks, pārlūka identifikators tīmekļa servera žurnālā; tikai tad, ja ieslēgta satura pārbaude, – ziņojuma teksts.

Datu subjekti: Klienta tīmekļa vietņu apmeklētāji, kuri atver lapu ar aizsargātu veidlapu vai iesniedz šādu veidlapu.

Glabāšana un dzēšana: IP adrese tiek saglabāta tikai saīsinātā veidā (IPv4 bez pēdējā baita, IPv6 pirmie 48 biti) un kā jaucējvērtība ar katru dienu mainīgu atslēgu, uz vienu stundu; izmantotie pārbaudes marķieri – ne ilgāk kā vienpadsmit minūtes; pārbaudes rezultāti bez IP adreses un bez teksta (darbība, punktu skaits, iemesli, domēns, satura pārbaudes kategorija) – 30 dienas; dienas rādītāji bez saistības ar personu – 400 dienas; tīmekļa servera žurnāls – 14 dienas. Ziņojuma teksts tiek apstrādāts tikai operatīvajā atmiņā, un tas netiek ne saglabāts, ne reģistrēts žurnālā, ne izmantots apmācībai.

Kur: mūsu pašu serveros Polijā, valodas modelis – mūsu pašu aparatūrā; papildu apakšapstrādātāju nav.

2. pielikums – Tehniskie un organizatoriskie pasākumi

Pasākumi ir izklāstīti lapā Tehniskie un organizatoriskie pasākumi. Tā ir šā Līguma daļa attiecīgajā brīdī publicētajā redakcijā; izmaiņas regulē § 8(3).

3. pielikums – Apakšapstrādātāji

Atļautie apakšapstrādātāji ir uzskaitīti lapā Apakšapstrādātāji. Tā ir šā Līguma daļa attiecīgajā brīdī publicētajā redakcijā; izmaiņas regulē § 9(2) un (3).

Atklāti jautājumi pirms darbības sākšanas: paredzētais e-pasta pakalpojumu sniedzējs ir Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Šim lietojumam piemērojamais datu apstrādes līgums, faktiskās apstrādes vietas un atbilstošais nosūtīšanas pamats vēl ir jādokumentē. Šī versija neapstiprina ne noslēgtu līgumu, ne sertifikāciju saskaņā ar Datu privātuma satvaru.

Versija

Versija 2.2, 2026. gada 29. oktobris, aizstāj versiju 2.1. Mainīts: jauns 10. punkts 1. pielikumā par veidlapu aizsardzību formconfirmed; tas attiecas tikai tad, ja Klients to ieslēdz. Neviens cits noteikums netiek mainīts.

Versija 2.1, 2026. gada 22. oktobris, aizstāj versiju 2.0. Mainīts: neatbilstību gadījumā tagad noteicošā ir poļu valodas versija, nevis vācu valodas versija; Līgums ir pieejams visās Eiropas Savienības oficiālajās valodās (valodas klauzula). Neviens cits noteikums netiek mainīts.

Versija 2.0, 2026. gada 11. oktobris, aizstāj 2026. gada 9. oktobra versiju. Mainīts: struktūra atbilstoši VDAR 28. panta 3. punktam ar atsauci uz līguma standartklauzulām 2021/915; 1. pielikums pilnīgs katrai funkcijai, tagad arī ar pieteikšanās datiem skenēšanai aiz pieteikšanās, formu ceļiem un piegādes pārbaudes ierobežojumiem; tehniskie un organizatoriskie pasākumi un apakšapstrādātāju saraksts ir atsevišķas lapas un ir Līguma daļa kā 2. un 3. pielikums; izvēle starp atdošanu un dzēšanu, rezerves kopijas ar derīguma termiņu un dzēšanas pieprasījumu atkārtota izpilde, nav noteikta gaidīšanas laika steidzamām revīzijām, atbildība par apakšapstrādātājiem tāpat kā par savu rīcību.

Kā varam palīdzēt?