Datu apstrādes līgums

Pakalpojumu noteikumu pielikums · spēkā no 2026-10-06 · Latviešu valodas tulkojums; noteicošā ir čehu valodas versija

Šo līgumu saskaņā ar Regulas (ES) 2016/679 (Vispārīgā datu aizsardzības regula; turpmāk — „VDAR”) 28. pantu noslēdz Organizācija, kas izmanto Negotiq platformu (turpmāk — „Pārzinis”), un SynQflows, s.r.o., reģ. Nr. 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (turpmāk — „Apstrādātājs”), un tas ir Pakalpojumu noteikumu sastāvdaļa. Līgums tiek noslēgts, pieņemot Pakalpojumu noteikumus, un ir spēkā visu Līguma darbības laiku. Terminiem, kas rakstīti ar lielo sākumburtu, ir Pakalpojumu noteikumos noteiktā nozīme.

1. Apstrādes priekšmets un apjoms

2. Pārziņa norādījumi

1. Apstrādātājs apstrādā personas datus tikai saskaņā ar Pārziņa dokumentētiem norādījumiem, tostarp attiecībā uz datu nosūtīšanu uz trešām valstīm. Norādījumi ir doti ar Pakalpojumu noteikumiem, šo līgumu un Platformas iestatījumiem; iestatot Integrāciju (Saņemšanas adrese, ERP pieslēgums, Webhook, API atslēga trešās personas aģentam), Pārzinis dod norādījumu veikt apstrādi tādā apjomā, kāds Integrācijai ir nepieciešams. Turpmākus norādījumus Organizācijas administrators dod teksta formā.
2. Ja Apstrādātājs uzskata, ka norādījums pārkāpj VDAR vai citus datu aizsardzības noteikumus, tas nekavējoties informē Pārzini un līdz Pārziņa atbildei var norādījumu neizpildīt.
3. Ja Savienības vai dalībvalsts tiesību akti Apstrādātājam uzliek par pienākumu apstrādāt datus, tas par to iepriekš informē Pārzini, ja vien šie tiesību akti to neaizliedz (VDAR 28. panta 3. punkta a) apakšpunkts).
4. Apstrādātājs neapstrādā Pārziņa personas datus saviem mērķiem. Anonimizētā un apkopotā statistika (Pakalpojumu noteikumu 11. panta 2. punkts) nesatur personas datus. Audita ķēdes ierakstus, Apliecinājumus un AP2 ierakstus Apstrādātājs apstrādā kā patstāvīgs pārzinis saskaņā ar Privātuma politiku, nevis saskaņā ar šo līgumu.
5. Pārzinis atbild par apstrādes likumību, par datu subjektu informēšanu un par to, ka tam ir tiesības ievietot personas datus Platformā un piešķirt piekļuvi pieslēgtajām sistēmām.

3. Apstrādātāja pienākumi

1. Apstrādātājs nodrošina, ka personas, kuras ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai uz tām attiecas atbilstošs likumā noteikts konfidencialitātes pienākums.
2. Apstrādātājs īsteno 1. pielikumā noteiktos tehniskos un organizatoriskos pasākumus saskaņā ar VDAR 32. pantu. Tas var tos mainīt, ja netiek pazemināts kopējais drošības līmenis.
3. Apstrādātājs palīdz Pārzinim atbildēt uz datu subjektu pieprasījumiem, galvenokārt ar Platformas rīkiem (datu eksports JSON formātā, labošana, Lietotāja konta vai Organizācijas dzēšana). Pieprasījumu, kas saņemts tieši no datu subjekta, tas bez nepamatotas kavēšanās pārsūta Pārzinim un pats uz to pēc būtības neatbild.
4. Apstrādātājs palīdz Pārzinim nodrošināt VDAR 32.–36. panta (drošība, paziņošana par pārkāpumiem, novērtējums par ietekmi uz datu aizsardzību un iepriekšēja apspriešanās) ievērošanu, ņemot vērā apstrādes raksturu un Apstrādātājam pieejamo informāciju.

4. Apakšapstrādātāji

1. Pārzinis dod Apstrādātājam vispārēju atļauju piesaistīt apakšapstrādātājus. Pašreizējais saraksts:

   Apakšapstrādātājs	Darbība	Atrašanās vieta, garantijas
   Railway Corporation	lietotnes un datubāzes mitināšana, rezerves kopijas	ASV / ES; līguma standartklauzulas (3. modulis) vai EU-U.S. Data Privacy Framework
   Anthropic, PBC	nestrukturētu cenrāžu pārveidošana tabulās (tikai tad, ja funkcija tiek izmantota)	ASV; līguma standartklauzulas (3. modulis); modeļi netiek apmācīti ar datiem
   e-pasta saņemšanas pakalpojuma sniedzējs (konkrētais pakalpojuma sniedzējs tiks iekļauts šajā sarakstā pirms funkcijas ieviešanas)	uz Saņemšanas adresēm nosūtīto vēstuļu saņemšana un nodošana Platformai	tiks norādīts kopā ar pakalpojuma sniedzēju; nosūtīšana ārpus EEZ tikai ar garantijām saskaņā ar 7. pantu
   e-pasta pakalpojuma sniedzējs (SMTP)	rēķinu, atgādinājumu un pakalpojuma ziņojumu piegāde (adresāta adrese un ziņojuma saturs)	ES

2. Apstrādātājs informē Pārzini par jebkuru plānotu apakšapstrādātāja pievienošanu vai nomaiņu vismaz 14 dienas iepriekš Platformā vai ar e-pasta vēstuli Organizācijas administratoram. Šajā termiņā Pārzinis var iesniegt iebildumus, pamatojoties uz saprātīgiem datu aizsardzības apsvērumiem. Puses centīsies rast risinājumu; ja tas neizdodas, Pārzinis var bez soda sankcijām izbeigt Līgumu ar spēkā stāšanos pirms apakšapstrādātāja piesaistīšanas.
3. Apstrādātājs ar līgumu uzliek apakšapstrādātājiem tādus pašus datu aizsardzības pienākumus, kādi tam ir saskaņā ar šo līgumu, tostarp pietiekamas garantijas tehnisko un organizatorisko pasākumu īstenošanai, un joprojām ir atbildīgs Pārziņa priekšā par to pienākumu izpildi (VDAR 28. panta 4. punkts).
4. Sistēmas, kuras izvēlas pats Pārzinis (pieslēgtās ERP sistēmas, produktu plūsmas, Webhook galapunkti un trešo personu aģenti), nav Apstrādātāja apakšapstrādātāji; Apstrādātājs tām nosūta datus pēc Pārziņa norādījuma.

5. Personas datu aizsardzības pārkāpums

1. Apstrādātājs paziņo Pārzinim par personas datu aizsardzības pārkāpumu bez nepamatotas kavēšanās, bet ne vēlāk kā 48 stundu laikā pēc tam, kad tas kļuvis tam zināms, ar e-pasta vēstuli Organizācijas administratoram un Platformā.
2. Paziņojumā ietver Apstrādātājam pieejamo VDAR 33. panta 3. punktā minēto informāciju (pārkāpuma raksturs, attiecīgo datu subjektu un ierakstu kategorijas un aptuvenais skaits, kontaktpunkts, iespējamās sekas un veiktie vai ierosinātie pasākumi); informāciju, kas vēl nav zināma, sniedz pa posmiem.
3. Apstrādātājs nekavējoties veic pasākumus pārkāpuma novēršanai un tā seku mazināšanai, sadarbojas ar Pārzini un dokumentē pārkāpumu. Paziņojums nav atbildības atzīšana.

6. Informācija un revīzijas

1. Apstrādātājs dara Pārzinim pieejamu informāciju, kas nepieciešama, lai pierādītu VDAR 28. panta prasību izpildi, galvenokārt ar dokumenta Drošība un uzticamība palīdzību un atbildot uz saprātīgu drošības anketu.
2. Ja šī informācija nav pietiekama, Apstrādātājs ļauj veikt revīziju Pārzinim vai neatkarīgam revidentam, kuram ir saistošs konfidencialitātes pienākums un kurš nav Apstrādātāja konkurents, par to paziņojot vismaz 30 dienas iepriekš, ne biežāk kā reizi kalendāra gadā (izņemot pārkāpuma gadījumu vai uzraudzības iestādes pieprasījumu), uz Pārziņa rēķina, bez piekļuves citu klientu datiem un neapdraudot to drošību.
3. Tas neskar uzraudzības iestāžu izmeklēšanas pilnvaras.

7. Nosūtīšana ārpus EEZ

1. Datu nosūtīšana uz trešām valstīm notiek tikai ar garantijām saskaņā ar VDAR V nodaļu.
2. Ja Apstrādātājs nosūta personas datus apakšapstrādātājam trešā valstī, attiecībā uz kuru nav pieņemts lēmums par aizsardzības līmeņa pietiekamību (vai ja saņēmējs nav sertificēts saskaņā ar EU-U.S. Data Privacy Framework), tas ar to noslēdz līguma standartklauzulas saskaņā ar Komisijas Īstenošanas lēmumu (ES) 2021/914, 3. modulis (no apstrādātāja apstrādātājam), izvērtē saņēmēja valsts tiesisko vidi un pieņem papildu pasākumus (jo īpaši šifrēšanu pārsūtīšanas laikā un glabāšanā, kā arī datu minimizēšanu).
3. Pārzinis ar šo atļauj šādu nosūtīšanu. Pēc pieprasījuma Apstrādātājs sniedz garantiju kopiju; komercnoteikumus tajā var aizklāt.

8. Datu dzēšana un atdošana

1. Līguma darbības laikā Pārzinis jebkurā laikā var eksportēt Organizācijas datus JSON formātā un pats dzēst datus.
2. Pēc Līguma izbeigšanās Apstrādātājs pēc Pārziņa izvēles 30 dienu laikā atdod (eksports) vai dzēš personas datus, tostarp to kopijas, ja vien tiesību akti neprasa tos glabāt arī turpmāk. Rezerves kopijas tiek pārrakstītas parastajā ciklā ne vēlāk kā 90 dienu laikā; līdz tam tās ir aizsargātas un netiek izmantotas.
3. Uz Saņemšanas adresi saņemtās vēstules tiek automātiski dzēstas pēc 90 dienām. Apstrādātājs pārtrauc izmantot pieslēgtas sistēmas piekļuves datus nekavējoties pēc pieslēguma noņemšanas un dzēš tos ne vēlāk kā saskaņā ar 2. punktu.
4. Šis pants neattiecas uz ierakstiem, kas minēti 2. panta 4. punkta otrajā un trešajā teikumā.

9. Atbildība, prioritāte un piemērojamie tiesību akti

Pušu atbildību nosaka VDAR 82. pants un Pakalpojumu noteikumi, tostarp tajos paredzētie ierobežojumi, ciktāl tos pieļauj tiesību akti. Personas datu aizsardzības jautājumos šim līgumam ir prioritāte pār Pakalpojumu noteikumiem. Šim līgumam piemērojami Čehijas Republikas tiesību akti.

1. pielikums — Tehniskie un organizatoriskie pasākumi

• Šifrēšana un pseidonimizācija: visas saziņas šifrēšana (TLS) un glabāto datu šifrēšana pie mitināšanas pakalpojuma sniedzēja; piekļuves dati pieslēgtajām sistēmām un Webhook parakstīšanas noslēpumi, kas šifrēti ar AES-256-GCM; paroles kā Argon2id jaucējvērtības; atkopšanas kodi, pieteikšanās sesijas un API atslēgas tiek glabātas tikai kā jaucējvērtības; Audita ķēdes ierakstu pseidonimizācija pēc konta dzēšanas.
• Piekļuves kontrole: uz lomām balstīta piekļuve, ko pārvalda Organizācijas administrators; Organizāciju datu nodalīšana, kas tiek nodrošināta lietotnes līmenī; pielikumi tikai pilnvarotām personām un vienmēr tikai lejupielādei; piekļuve ražošanas videi tikai pilnvarotiem Apstrādātāja darbiniekiem, kuriem ir saistošs konfidencialitātes pienākums.
• Kontu un sesiju aizsardzība: sīkdatnes HttpOnly, Secure un SameSite; izcelsmes (Origin) pārbaude pieprasījumiem, kas maina datus; konta īslaicīga bloķēšana pēc atkārtotiem neveiksmīgiem pieteikšanās mēģinājumiem; paroles maiņa izbeidz visas sesijas; API pieprasījumu skaita ierobežojumi.
• Integritāte un pārbaudāmība: Audita ķēde ar kriptogrāfiski sasaistītiem ierakstiem, kuru grozīšanu vai dzēšanu bloķē datubāzes trigeris; Mandātu, Apliecinājumu un AP2 ierakstu Ed25519 paraksti; ar HMAC-SHA256 parakstīti Webhook paziņojumi.
• Pieejamība un atjaunošana: regulāras datubāzes rezerves kopijas; rezerves kopiju pārrakstīšana ne vēlāk kā 90 dienu laikā.
• Minimizēšana un dzēšana: vēstules Saņemšanas adresē — 90 dienas; darbības žurnāli — ne ilgāk kā 90 dienas; potenciālajiem piegādātājiem tikai vispārīgā uzņēmuma kontaktinformācija; automātisks e-pasta imports tikai no Verificētiem sūtītājiem.
• Droša izstrāde: drošības invariantu (Organizāciju nodalīšana, Aģentu robežas, limitu konfidencialitāte) automatizēta testēšana pēc katrām izmaiņām; atkarības piesaistītas precīzām versijām; Aģenti neuztver failu saturu kā norādījumus.
• Incidenti un pārskatīšana: incidentu risināšana un paziņošana saskaņā ar 5. pantu; kanāls ziņošanai par ievainojamībām; regulāra pasākumu efektivitātes pārskatīšana.

Sīkāks apraksts ir sniegts dokumentā Drošība un uzticamība.