Formendi datu apstrādes līgums

Versija: dpa-2026-10-09. Spēkā no: datums, kad pilnvarota persona pieņem šo dokumentu.

1. Puses, tvērums un prioritāte

Šis līgums ir Formendi lietošanas noteikumu daļa starp pieņemšanas ierakstā norādīto klientu (“Klients”) un Glavrio, UAB, reģistrācijas numurs 307648878, juridiskā adrese Lietuvas Juridisko personu reģistrā ar kodu 307648878, Lietuva, Lietuva, saziņa [email protected] (“Formendi”).

Tas attiecas uz personas datiem, ko Formendi darba vidē apstrādā Klienta vārdā (“Klienta personas dati”). Klients ir pārzinis, Formendi – apstrādātājs. Ja Klients pats ir apstrādātājs, tas apliecina attiecīgā pārziņa pilnvarojumu piesaistīt Formendi kā apakšapstrādātāju un nodot tiesiskus norādījumus. Noteikumus šai ķēdei piemēro attiecīgi.

Formendi patstāvīgās pārziņa darbības, piemēram, kontu administrēšana un savi drošības/juridiskie ieraksti, ir aprakstītas Privātuma paziņojumā. Lomas nosaka faktiskā apstrāde, ne tikai apzīmējums. Klienta personas datiem šim līgumam ir prioritāte pār pretrunīgiem vispārējiem Noteikumiem; obligāti piemērojamām nosūtīšanas standartklauzulām ir prioritāte pār abiem.

2. Norādījumi un Klienta pienākumi

Priekšmets, raksturs, nolūki, ilgums, datu un personu kategorijas ir A pielikumā. Noteikumi, šis līgums, ieslēgtie iestatījumi un autentificētas darbības veido dokumentētus norādījumus. Papildu norādījumiem jābūt tiesiskiem, jāiekļaujas saskaņotajā pakalpojumā vai tie atsevišķi jāsaskaņo rakstiski.

Formendi apstrādā Klienta personas datus tikai pēc šiem norādījumiem, arī attiecībā uz nosūtīšanu, ja vien Savienības vai dalībvalsts tiesības nenosaka citādi. Ja tiesiski atļauts, Formendi informē Klientu pirms šādas obligātas apstrādes. Tas nekavējoties informē, ja norādījums, tā ieskatā, pārkāpj piemērojamās datu aizsardzības tiesības, un var apturēt šo norādījumu līdz jautājuma atrisināšanai.

Klients nosaka tiesisko pamatu, sniedz obligātos paziņojumus, ierobežo datus līdz vajadzīgajam un pārvalda lietotājus un saņēmējus. Tas neiesniedz A pielikumā izslēgtās kategorijas. Šie pienākumi neatbrīvo Formendi no paša likumiskajiem pienākumiem.

Formendi nepārdod Klienta personas datus, neizmanto tos savai reklāmai vai vispārīga lietojuma MI modeļu apmācībai.

3. Konfidencialitāte un drošība

Formendi atļauj piekļuvi tikai pilnvarotām personām, kurām tā vajadzīga un kurām ir konfidencialitātes vai atbilstošs likumisks pienākums. Tas ievieš un uztur apstrādes riskiem atbilstošus VDAR 32. panta pasākumus, tostarp B pielikuma minimumu.

Pasākumus var uzlabot, būtiski nesamazinot kopējo aizsardzību. Formendi sniedz pamatoti nepieciešamu informāciju par būtiskām izmaiņām, kas ietekmē Klienta atbilstību.

4. Apakšapstrādātāji

Klients dod vispārēju rakstisku atļauju izmantot aktuālajā pakalpojumu sniedzēju sarakstā norādītos apakšapstrādātājus to noteiktajiem nolūkiem. Formendi uzliek tiem būtībā līdzvērtīgus datu aizsardzības pienākumus un paliek atbildīgs Klientam par to izpildi, kā noteikts VDAR 28. panta 4. punktā.

Par paredzētu papildinājumu vai nomaiņu Formendi rakstiski paziņo vismaz 30 dienas iepriekš, norādot pakalpojumu, vietu un garantijas. Klients var 14 dienās iebilst pamatotu datu aizsardzības iemeslu dēļ. Puses meklē praktisku risinājumu; ja to nevar rast, attiecīgo apstrādi nesāk un jebkura puse var izbeigt skarto pakalpojumu, nodrošinot eksporta/atdošanas iespēju. Klusēšana neatļauj jaunu patstāvīgu datu izmantošanu.

Saraksts nodala arī sniedzēju atsevišķo pārziņa apstrādi; šī sadaļa to nepārvērš apstrādē pēc Klienta norādījumiem.

5. Palīdzība un pieprasījumi

Ņemot vērā apstrādi un pieejamo informāciju, Formendi ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem palīdz īstenot piekļuvi, labošanu, dzēšanu, ierobežošanu, pārnesamību un iebildumus. Tas nekavējoties pārsūta pieprasījumu par Klienta personas datiem un neatbild pēc būtības Klienta vārdā bez norādījumiem, ja vien to neprasa likums.

Formendi palīdz arī drošības pienākumos, pārkāpumu paziņošanā, ietekmes uz datu aizsardzību novērtējumos un iepriekšējās konsultācijās ar uzraudzības iestādēm, kad vajadzīgs. Šajā līgumā paredzētā parastā palīdzība ir iekļauta pakalpojumā. Maksai par palīdzību ārpus ierastā atbalsta apjoma jābūt saprātīgai un iepriekš saskaņotai, un tā nedrīkst kavēt juridiski obligātu palīdzību.

6. Personas datu aizsardzības pārkāpumi

Formendi bez nepamatotas kavēšanās informē Klientu pēc tam, kad uzzina par Klienta personas datu aizsardzības pārkāpumu, cenšoties sākotnēji paziņot 24 stundu laikā. Tas negaida izmeklēšanas pabeigšanu.

Paziņojumā norāda pieejamos faktus, skartās kategorijas/aptuveno skaitu, iespējamās sekas, ierobežošanas un novēršanas pasākumus un kontaktpunktu. Trūkstošo informāciju sniedz pa posmiem bez nepamatotas kavēšanās. Formendi izmeklē, saglabā vajadzīgos pierādījumus, mazina kaitējumu un sadarbojas. Klients nosaka savus pārziņa paziņojumus, neierobežojot Formendi patstāvīgos likumiskos pienākumus.

7. Starptautiska nosūtīšana

Formendi nenosūta Klienta personas datus ārpus EEZ bez tiesiskiem norādījumiem un derīga VDAR V nodaļas mehānisma. Vietas un garantijas norādītas sarakstā. Ja nepieciešams, pirms nosūtīšanas jābūt spēkā atbilstošām Komisijas nosūtīšanas klauzulām, izvērtējumiem un papildu pasākumiem.

ES mitināšana pati par sevi nenozīmē, ka visa tīkla, atbalsta vai apakšapstrādātāju apstrāde paliek EEZ. Klienta izvēlētiem ārējiem eksportiem vai integrācijām vajadzīga tiesiska izpaušana un skaidra iepriekšēja informācija.

8. Atdošana un dzēšana

Pakalpojuma laikā Klients var izmantot īpašniekam atļautos eksportus. Beigās tas var izvēlēties atdošanu atbalstītajā eksporta formātā ar sekojošu dzēšanu vai dzēšanu bez atdošanas. Parasta atdošana/dzēšana ir iekļauta.

Pieprasītai pārejai pie cita sniedzēja pirms dzēšanas termiņa sākuma piemēro Noteikumu 12. sadaļas pārejas un aizsargāto datu saņemšanas periodu. Saņemšanas piekļuve ir ierobežota ar pilnvarotu eksportu; parastā piekļuve un publicēšana beidzas, kā tur norādīts. Obligātās pārejas un dzēšanas prasības prevalē pār pretrunīgu šī līguma termiņu.

Pēc apstiprinātas slēgšanas atsauc piekļuvi, publicēšanu un aktīvās piekļuves saites. Klienta personas datus aktīvajās sistēmās dzēš 30 dienu laikā vai agrāk, ja prasīts. Ierobežotās rezerves kopijas dzēš vēl 30 dienu laikā; līdz tam tās izolē no parastas apstrādes un jebkurā atjaunošanā atkārtoti piemēro dzēšanu pirms datu pieejamības.

Ilgāk var glabāt tikai juridiski obligātus datus, ierobežojot piekļuvi un izmantošanu attiecīgajam pienākumam; Formendi izskaidro pamatu, ja atļauts. Pēc pieprasījuma apstiprina attiecīgo dzēšanas darbību pabeigšanu. Eksports nevar atsaukt neatkarīgu saņēmēju jau turētas kopijas.

9. Informācija, audits un atbilstība

Formendi sniedz atbilstības pierādīšanai nepieciešamo informāciju un ļauj Klientam vai tā pilnvarotam neatkarīgam auditoram veikt auditus, tostarp pārbaudes, un palīdz tajos. Ja pietiekami, sākumā var izmantot dokumentus vai atbilstošu neatkarīgu apliecinājumu, bet tie neaizstāj nepieciešamas audita tiesības.

Parasta audita organizēšanā ievēro saprātīgu iepriekšēju paziņošanu, konfidencialitāti un citu klientu aizsardzību. Biežumam, tvērumam un izmaksām jābūt samērīgiem. Tas neierobežo uzraudzības iestādi, steidzamu incidenta izmeklēšanu vai obligātu likumisku piekļuvi.

10. Atbildība un termiņš

Katra puse atbild par sev piemērojamajiem pienākumiem. Noteikumu atbildības normas piemēro tikai tiesiski un tās neatceļ obligāto datu aizsardzības atbildību, datu subjektu tiesības vai Formendi likumisko atbildību par apakšapstrādātājiem. Šis līgums turpinās līdz datu atdošanai/dzēšanai vai jebkuras juridiski obligātas ierobežotas glabāšanas beigām.

A pielikums — apstrādes apraksts

• Priekšmets: mitināta profesionāla projektu pārvaldības darba vide.
• Raksturs un darbības: ievākšana pēc norādījumiem, organizēšana, glabāšana, izgūšana, aprēķini, pārskatu izveide, atļaujās balstīta izpaušana, Klienta izvēlēta publicēšana/eksports un dzēšana.
• Nolūki: budžeti, izmaksas/pasūtījumi, grafiki, klientu un piegādātāju pārvaldība, anketas, sadarbība, ziņas un Klienta izvēlēti pārskati vai publicēšana.
• Ilgums: pakalpojuma attiecības un 8. sadaļas ierobežotais atdošanas/dzēšanas/rezerves kopiju periods.
• Datu subjekti: Klienta darbinieki un sadarbības dalībnieki, klienti un iespējamie klienti, piegādātāji/darbuzņēmēji un pārstāvji, anketu aizpildītāji un ziņu saņēmēji.
• Dati: vārdi, saimnieciskie/kontaktu dati, ievadītās projektu vietas un identifikatori, ar personām saistītas budžeta/rēķinu/maksājumu atsauces un summas, uzdevumu datumi, saziņa, profesionālās izvēles un atbilstošas projekta piezīmes.
• Izslēgti dati: VDAR 9. panta īpašās kategorijas, 10. panta sodāmības/noziedzīgo nodarījumu dati, personu apliecinošu dokumentu kopijas, citu pakalpojumu paroles un pilni maksājumu kartes dati. Nevajadzīgus bērnu/mājsaimniecības datus neievada.
• Pārzinis un saziņa: pieņemšanā fiksētais Klients un pilnvarotais pārstāvis; atjaunina autentificētā konta administrēšanā. Klients apstrādātāja lomā pēc pieprasījuma norāda attiecīgo pārzini, ja tas vajadzīgs atbilstībai.
• Apakšapstrādātāji, vietas un nosūtīšanas mehānismi: aktuālā sniedzēju saraksta versija, kas iekļauta attiecībā uz norādītajiem pakalpojumiem.

B pielikums — minimālie drošības pasākumi

Formendi uztur:

1. Riskā balstītu piekļuves kontroli, minimālās tiesības, individuālu autentificētu piekļuvi, projekta/darba vides atļauju pārbaudi un ātru atsaukšanu.
2. Darbinieku konfidencialitātes pienākumus un dokumentētu, ierobežotu atbalsta/administratora piekļuvi.
3. Šifrētu pārraidi ar pārbaudītu TLS līdz izcelsmes serverim, drošas sesijas, CSRF/izcelsmes aizsardzību un lietotnes ievades/izvades aizsardzību.
4. Glabāto datu aizsardzību un šifrētas rezerves kopijas ar kontrolētām atslēgām/piekļuvi; reālās vides dati nav publiskā kodā, žurnālos vai testu datos.
5. Atjaunojamas kopijas, periodiskas atjaunošanas pārbaudes, termiņos balstītu dzēšanu un dzēšanas norādījumu atkārtotu piemērošanu.
6. Ievainojamību/atjauninājumu pārvaldību, tikai nepieciešamu datu žurnālus un incidentu atklāšanu/eskalāciju.
7. Reaģēšanu uz pārkāpumiem un palīdzību tiesību pieprasījumos, ietekmes novērtējumos un vajadzīgās iestāžu konsultācijās.
8. Apstrādes/apakšapstrādātāju uzskaiti, nosūtīšanas kontroli, dokumentētu glabāšanu un periodisku pasākumu pārskatīšanu.

Pasākumi attiecas uz konfidencialitāti, integritāti, pieejamību un noturību. Pielikums nav sertifikācija, šifrēšanas no gala līdz galam vai lietotāja konta MFA solījums, ja vien šāda funkcija nav skaidri piedāvāta.