Datu apstrādes nolīgums (DPA)
Šis datu apstrādes nolīgums („DPA”) ir daļa no nolīguma starp DokDesk („Apstrādātājs”, „mēs”, „mums”) un klientu, kas izmanto DokDesk pakalpojumu („Pārzinis”, „Jūs”). Tas nosaka, kā DokDesk apstrādā personas datus Jūsu vārdā, kad izmantojat DokDesk drošo līgumu darbplūsmu, lai veidotu līgumus no veidnēm, vienotos par vienu aktīvo versiju, nosūtītu drošās saites elektroniskai parakstīšanai eIDAS SES, AES vai QES līmenī un saglabātu tiesai gatavu pierādījumu bāzi katram parakstam. Šis DPA ir paredzēts, lai atbalstītu atbilstību ES Vispārīgajai datu aizsardzības regulai (Regula (ES) 2016/679, „GDPR”) un, ciktāl tas attiecas uz elektronisko parakstīšanu, eIDAS regulai (Regula (ES) Nr. 910/2014). DokDesk pašlaik ir agrīnās piekļuves / pirmspalaišanas posmā; šis ir vispārējs veidnes dokuments, un turpmāk norādītās konkrētās komerciālās, kontaktu un darbības detaļas ir apzināti atstātas kā vietturi, kas jāaizpilda un jāpārskata pirms jebkādas izmantošanas ražošanas vidē. Ja šis DPA ir pretrunā ar pamatlīgumu datu aizsardzības jautājumā, noteicošais ir šis DPA. DokDesk nav juridiska firma un nesniedz juridiskas konsultācijas.
Pre-launch draft - to be reviewed by qualified counsel before launch. This is not legal advice.
2. Definīcijas un pušu lomas
Terminiem, piemēram, „personas dati”, „apstrāde”, „pārzinis”, „apstrādātājs”, „apakšapstrādātājs”, „datu subjekts”, „personas datu aizsardzības pārkāpums” un „uzraudzības iestāde”, ir nozīme, kas tiem piešķirta GDPR.
Attiecībā uz personas datiem, kurus Jūs augšupielādējat, ģenerējat vai apstrādājat, izmantojot DokDesk, Jūsu līgumu darbplūsmas gaitā Jūs darbojaties kā Pārzinis (Jūs nosakāt apstrādes nolūkus un līdzekļus), un DokDesk darbojas kā Apstrādātājs, apstrādājot šos personas datus tikai Jūsu vārdā un saskaņā ar Jūsu dokumentētajiem norādījumiem. Ja starp Jums un darījuma partneri tiek parakstīts līgums, katra puse saviem nolūkiem var būt atsevišķs pārzinis; šis DPA reglamentē tikai DokDesk kā Jūsu apstrādātāja lomu.
DokDesk var arī pats darboties kā neatkarīgs pārzinis attiecībā uz ierobežotu darbības datu apjomu — piemēram, kontu administrēšana, norēķini attiecīgā gadījumā, drošības žurnalēšana un produkta uzlabošanas metrika, kas neietilpst Jūsu līguma saturā. Šādu neatkarīga pārziņa veiktu apstrādi reglamentē DokDesk paziņojums par privātumu, nevis šis DPA.
3. Apstrādes priekšmets, ilgums, raksturs un nolūks
Priekšmets un raksturs: DokDesk apstrādā personas datus, lai Jūs varētu veidot līgumus no atkārtoti izmantojamām veidnēm un dinamiskiem datu laukiem, pārvaldīt līgumu tā versiju un statusu vēsturē, vienoties par vienu aktīvo versiju, nosūtīt parakstītājiem drošo saiti, iegūt elektroniskos parakstus SES, AES vai QES līmenī, izmantojot atbalstītus ES valstu eID kanālus, piemēram, Smart-ID un Mobile-ID, un saglabāt pierādījumu bāzi katram parakstam. DokDesk ir līgumu darbplūsmas un elektroniskās parakstīšanas pakalpojums. Tas NAV rēķinu izrakstīšanas, maksājumu, grāmatvedības vai CRM pakalpojums, un personas dati netiek apstrādāti nevienam no šiem nolūkiem.
Nolūks: apstrādi veic vienīgi nolūkā sniegt, aizsargāt un atbalstīt DokDesk pakalpojumu saskaņā ar Jūsu norādījumiem un pamatlīgumu.
Ilgums: apstrāde turpinās visā laikposmā, kurā Jūs izmantojat pakalpojumu, kā arī jebkurā ierobežotā laikposmā, kas nepieciešams, lai atgrieztu vai dzēstu personas datus, kā aprakstīts šajā DPA vai kā to paredz piemērojamie tiesību akti (piemēram, paraksta pierādījumu saglabāšana, kas nepieciešama, lai saglabātu parakstīta dokumenta integritāti un juridisko vērtību).
4. Datu subjektu kategorijas un personas datu veidi
Datu subjektu kategorijas parasti ietver: Jūsu pilnvarotos lietotājus (piemēram, īpašnieka, administratora, vadītāja, jurista un skatītāja lomas); Jūsu klientus, darījuma partnerus un viņu pārstāvjus; kā arī personas, kas aicinātas parakstīt līgumu vai piedalīties tā pārrunās.
Personas datu veidi parasti ietver: pušu un parakstītāju identitātes un kontaktinformāciju (piemēram, vārdu, organizāciju, lomu, e-pasta adresi un informāciju par pusēm, ko Jūs iekļaujat līgumā); līguma saturu, kuru Jūs izvēlaties iekļaut un kurā pašā var būt personas dati; parakstīšanas un identitātes apliecināšanas datus, kas saistīti ar izvēlēto eIDAS līmeni; kā arī tehniskos pierādījumus, kas iegūti parakstīšanas brīdī, piemēram, IP un ierīces metadatus, laika zīmogus, paraksta statusu, darbību revīzijas pierakstu un galīgo parakstītā dokumenta konteineru.
Jūs atbildat par personas datiem, kurus izvēlaties ievietot veidnēs un līgumos. Jums nevajadzētu iekļaut īpašas kategorijas datus (GDPR 9. pants) vai citus īpaši sensitīvus datus, ja vien Jums nav likumīga pamata to darīt un Jūs neesat atbilstoši konfigurējis pakalpojuma izmantošanu. Pakalpojuma sniegšanai DokDesk šādi dati nav nepieciešami.
5. DokDesk kā Apstrādātāja pienākumi
DokDesk apstrādās personas datus tikai saskaņā ar Jūsu dokumentētajiem norādījumiem, tostarp norādījumiem, kas ietverti pamatlīgumā un Jūsu veiktajā pakalpojuma konfigurēšanā un izmantošanā, ja vien ES vai dalībvalsts tiesību aktos, kuri ir saistoši DokDesk, nav noteikts rīkoties citādi; šādā gadījumā DokDesk pirms apstrādes informēs Jūs par šo juridisko prasību, ja vien tiesību akti neaizliedz šādu paziņošanu svarīgu sabiedrības interešu apsvērumu dēļ.
DokDesk nodrošinās, ka personām, kas pilnvarotas apstrādāt personas datus, ir saistoši attiecīgi konfidencialitātes pienākumi. DokDesk palīdzēs Jums, ņemot vērā apstrādes raksturu un tam pieejamo informāciju, atbildēt uz datu subjektu pieprasījumiem un izpildīt Jūsu pienākumus attiecībā uz drošību, paziņošanu par pārkāpumiem, datu aizsardzības ietekmes novērtējumiem un iepriekšēju apspriešanos saskaņā ar GDPR 32.–36. pantu.
DokDesk darīs Jums pieejamu informāciju, kas pamatoti nepieciešama, lai pierādītu atbilstību apstrādātāja pienākumiem, kuri paredzēti GDPR 28. pantā, un bez nepamatotas kavēšanās informēs Jūs, ja pēc tā ieskata kāds norādījums pārkāpj GDPR vai citus ES vai dalībvalsts datu aizsardzības noteikumus.
6. Apstrādes drošība
Ņemot vērā jaunākos tehnikas sasniegumus, īstenošanas izmaksas un apstrādes raksturu, apjomu, kontekstu un nolūkus, kā arī riskus datu subjektiem, DokDesk īsteno atbilstošus tehniskus un organizatoriskus pasākumus, kas paredzēti, lai nodrošinātu riskam atbilstošu drošības līmeni saskaņā ar GDPR 32. pantu.
Šie pasākumi attiecīgā gadījumā ir paredzēti, lai ietvertu: personas datu šifrēšanu datu pārraides laikā un miera stāvoklī; piekļuves kontroli un uz lomām balstītas atļaujas, kas atspoguļo darbplūsmas lomas; žurnalēšanu un revīzijas pierakstus (tostarp katram parakstam piesaistīto pierādījumu bāzi); drošo saišu un parakstīšanas plūsmu drošu apstrādi; pasākumus parakstīto dokumentu integritātes un autentiskuma saglabāšanai; kā arī procedūras personas datu pieejamības un piekļuves atjaunošanai pēc incidenta.
Tā kā DokDesk ir agrīnās piekļuves posmā, konkrētais, aktuālais drošības pasākumu saraksts ir jānorāda drošības pielikumā vai līdzvērtīgā dokumentā un jāapstiprina pirms izmantošanas ražošanas vidē. Šī veidne neapliecina nekādu konkrētu sertifikācijas vai revīzijas statusu.
7. Apakšapstrādātāji un starptautiskā datu nosūtīšana
Jūs pilnvarojat DokDesk piesaistīt apakšapstrādātājus (piemēram, mākoņmitināšanas, infrastruktūras, identitātes/eID un atbalsta pakalpojumu sniedzējus), lai palīdzētu sniegt pakalpojumu. DokDesk uzliks katram apakšapstrādātājam datu aizsardzības pienākumus, kas nodrošina ne mazāku aizsardzību kā šajā DPA paredzētie, un DokDesk paliek Jums atbildīgs par apakšapstrādātāja darbību. Šī veidne nenosauc konkrētus apakšapstrādātājus; ir jāuztur un jādara pieejams precīzs, aktuāls saraksts, un Jums būtu jādod saprātīga iespēja iebilst pret būtiskām izmaiņām.
DokDesk nodoms ir nodrošināt, ka personas dati arī turpmāk tiek mitināti un apstrādāti ES teritorijā, atbilstoši DokDesk pozīcijai, ka dati saskaņā ar GDPR paliek ES. Ja personas dati tiktu nosūtīti ārpus ES/EEZ, tas notiktu tikai, pamatojoties uz spēkā esošu nosūtīšanas mehānismu saskaņā ar GDPR V nodaļu (piemēram, lēmumu par aizsardzības līmeņa pietiekamību vai atbilstošām garantijām), un attiecīgā informācija tiktu dokumentēta pirms jebkādas šādas nosūtīšanas.
eID un uzticamības pakalpojumu kanāli, ko izmanto elektroniskai parakstīšanai (piemēram, Smart-ID, Mobile-ID, valstu eID un kvalificēti uzticamības pakalpojumu sniedzēji), darbojas saskaņā ar saviem noteikumiem un — attiecībā uz kvalificētiem pakalpojumiem — saskaņā ar eIDAS. QES spēja ir arhitektūras ziņā gatava: ja Jums ir nepieciešama kvalificēta parakstīšana, piemērojamais pakalpojumu sniedzējs un tā kārtība ir jāapstiprina pirms paļaušanās uz QES ražošanas vidē.
8. Datu subjekta tiesības, paziņošana par pārkāpumu, atgriešana un dzēšana
DokDesk, ņemot vērā apstrādes raksturu, ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem un ciktāl tas ir iespējams, palīdzēs Jums izpildīt Jūsu pienākumu atbildēt uz to datu subjektu pieprasījumiem, kuri īsteno savas tiesības saskaņā ar GDPR III nodaļu (tostarp piekļuve, labošana, dzēšana, apstrādes ierobežošana, pārnesamība un iebildumi). Ja DokDesk šādu pieprasījumu saņem tieši, tas — ja vien rīcība nav juridiski nepieciešama — pārsūtīs pieprasījumu Jums.
DokDesk bez nepamatotas kavēšanās informēs Jūs pēc tam, kad būs uzzinājis par personas datu aizsardzības pārkāpumu, kas skar Jūsu vārdā apstrādātos personas datus, un sniegs tam pamatoti pieejamo informāciju, lai palīdzētu Jums izpildīt Jūsu paziņošanas pienākumus saskaņā ar GDPR 33. un 34. pantu.
Pēc pakalpojuma izbeigšanas un pēc Jūsu izvēles DokDesk izdzēsīs vai atdos Jūsu vārdā apstrādātos personas datus un dzēsīs esošās kopijas, ja vien ES vai dalībvalsts tiesību aktos nav noteikts, ka glabāšana jāturpina, piemēram, ja saglabāšana ir nepieciešama, lai saglabātu parakstīto līgumu un ar tiem saistīto paraksta pierādījumu integritāti un juridisko vērtību. Piemērojamie glabāšanas termiņi jānosaka pirms izmantošanas ražošanas vidē.
9. Revīzijas, atbildība, piemērojamie tiesību akti un nobeiguma noteikumi
DokDesk pēc pamatota iepriekšēja rakstiska pieprasījuma un ievērojot atbilstīgu konfidencialitāti darīs pieejamu informāciju, kas vajadzīga, lai pierādītu atbilstību GDPR 28. pantam, kā arī ļaus veikt revīzijas, tostarp pārbaudes, ko veic Jūs vai Jūsu pilnvarots revidents, un sniegs tajās ieguldījumu tādā veidā, kas neapdraud citu klientu datu drošību vai konfidencialitāti.
Atbildība, atlīdzināšanas saistības un ierobežojumi ir tādi, kā noteikts pušu pamatlīgumā; šī veidne pati nenosaka atbildības maksimālos apmērus vai summas. Piemērojamie tiesību akti un kompetentās tiesas ir tie, par kuriem panākta vienošanās pamatlīgumā un kuri atbilst GDPR; konkrētā jurisdikcija jānorāda pirms parakstīšanas.
Šis DPA ir vispārēja, pirmspalaišanas veidne. Pušu identitātes un reģistrācijas dati, pasta adrese, spēkā stāšanās datums, apakšapstrādātāju saraksts, mitināšanas vietas un glabāšanas termiņi ir apzināti atstāti kā vietturi. Precīzi aizpildiet šo informāciju un pirms jebkādas izmantošanas ražošanas vidē nodrošiniet, ka dokumentu pārskata kvalificēts jurists. Šis dokuments nav juridiska konsultācija, un DokDesk nav juridiska firma.