Informatīvs tulkojums. Neatbilstības gadījumā noteicošā ir oriģinālā versija angļu valodā saskaņā ar Īrijas jurisdikciju (Cuandeoro Limited, CRO 813028).
Veripass datu apstrādes nolīgums
Ir Pakalpojumu sniegšanas noteikumu sastāvdaļa.
1. Puses un lomas. Klients ir pārzinis. Cuandeoro Limited t/a Veripass ir Klienta dokumentos un konta saturā ietverto personas datu apstrādātājs (turpmāk – "Klienta personas dati").
2. Priekšmets, raksturs un nolūks. Produktu un bateriju pasu datu glabāšana, izguve, analīze un publicēšana tikai Pakalpojuma sniegšanai.
3. Ilgums. Abonementa termiņš plus 11. punktā noteiktais dzēšanas periods.
4. Datu subjektu kategorijas. Klienta darbinieki un lietotāji; Klienta piegādātāju, klientu un laboratoriju kontaktpersonas, kas minētas augšupielādētajos dokumentos.
5. Datu kategorijas. Dokumentos norādīti vārdi un uzvārdi, darba kontaktinformācija, amata nosaukumi, paraksti un identifikatori; lietotāju konta dati. Īpašu kategoriju dati netiek paredzēti. Klients tos neaugšupielādēs.
5A. Klienta pienākumi. Klients nodrošina, ka tam ir tiesisks pamats apstrādei, un sniedz likumīgus norādījumus, informē datu subjektus, kā prasīts, un neaugšupielādē īpašu kategoriju datus.
6. Apstrādātāja pienākumi. Veripass:
- (a) apstrādā datus tikai pēc Klienta dokumentētiem norādījumiem, tostarp attiecībā uz datu nosūtīšanu uz trešo valsti, ja vien to nepieprasa Savienības vai dalībvalsts tiesību akti; šādā gadījumā Veripass pirms apstrādes informē Klientu par šo juridisko prasību, ja vien šie tiesību akti to aizliedz svarīgu sabiedrības interešu dēļ;
- (b) nodrošina, ka personas, kas pilnvarotas apstrādāt datus, ir apņēmušās ievērot konfidencialitāti;
- (c) īsteno 2. pielikumā norādītos tehniskos un organizatoriskos pasākumus;
- (d) palīdz Klientam atbildēt uz datu subjektu pieprasījumiem un izpildīt VDAR 32.–36. panta prasības, ņemot vērā apstrādes raksturu;
- (e) sniedz informāciju, kas nepieciešama atbilstības pierādīšanai;
- (f) nekavējoties informē Klientu, ja norādījums pārkāpj datu aizsardzības tiesību aktus.
7. Apakšapstrādātāji.
- Klients piešķir vispārēju atļauju 3. pielikumā norādītajiem apakšapstrādātājiem.
- Veripass par jauniem apakšapstrādātājiem paziņo pa e-pastu 30 dienas iepriekš. Klients var iebilst ar saprātīgu pamatojumu un, ja risinājums netiek saskaņots, izbeigt līgumu bez soda sankcijām.
- Veripass uzliek katram apakšapstrādātājam līdzvērtīgus datu aizsardzības pienākumus un paliek atbildīgs par tiem.
8. Starptautiska datu nosūtīšana. Klienta personas datus Amerikas Savienotajās Valstīs var apstrādāt Veripass mitināšanas pakalpojumu sniedzējs (Cloud Clusters, Inc.) un Google (Gemini API, maksas līmenis), pamatojoties uz standarta līguma klauzulām (Komisijas Lēmums (ES) 2021/914) un, ja piemērojams, ES un ASV datu privātuma regulējumu (EU-US Data Privacy Framework), kā arī papildu pasākumiem (šifrēšana pārsūtīšanas laikā un glabāšanā). Demonstrācijas versijas faili tiek dzēsti pēc 24 stundām.
9. MI apstrāde. Dokumentus apstrādā 3. pielikumā norādītie MI pakalpojumu sniedzēji, ievērojot noteikumus, kas neļauj tiem izmantot Klienta datus savu modeļu apmācīšanai. Mēs neizmantojam Jūsu dokumentus vai datus nevienam MI modelim apmācīt.
10. Personas datu aizsardzības pārkāpumi. Veripass paziņo Klientam bez nepamatotas kavēšanās un jebkurā gadījumā 48 stundu laikā pēc tam, kad kļuvis zināms pārkāpums, kas skar Klienta personas datus, sniedzot VDAR 33. panta 3. punktā prasīto informāciju, tiklīdz tā kļūst pieejama.
11. Atdošana un dzēšana. Pēc Klienta izvēles Veripass atdod vai dzēš Klienta personas datus. 60 dienu laikā pēc izbeigšanas Klients var eksportēt savus datus. Pēc tam Veripass dzēš Klienta personas datus 30 dienu laikā, tostarp rezerves kopijās to rotācijas cikla ietvaros (ne ilgāk kā 35 dienas), ja vien Savienības vai dalībvalsts tiesību akti neprasa glabāšanu.
12. Auditi. Veripass pieļauj auditus, tostarp pārbaudes, ko veic Klients vai tā pilnvarots neatkarīgs revidents, kas apņēmies ievērot konfidencialitāti, un sniedz tiem savu ieguldījumu. Auditus veic reizi 12 mēnešos, 30 dienas iepriekš paziņojot (biežāk pēc pārkāpuma vai ja to pieprasa uzraudzības iestāde), darba laikā un uz Klienta rēķina. Ja pietiek, vispirms tiek izmantota rakstveida aptauja.
13. Atbildība. Ievērojot Pakalpojumu sniegšanas noteikumos paredzētos ierobežojumus, izņemot gadījumus, kad VDAR ierobežojumus neatļauj.
14. Prioritāte. Pretrunu gadījumā šis DPA datu aizsardzības jautājumos ir noteicošs pār Noteikumiem.
1. pielikums · Apstrādes informācija
Kā norādīts 2.–5. punktā.
2. pielikums · Tehniskie un organizatoriskie pasākumi
- TLS 1.2 vai jaunāka versija pārsūtīšanas laikā; AES-256 šifrēšana glabāšanā.
- Uz lomām balstīta piekļuve, MFA darbiniekiem, minimālo privilēģiju princips.
- Klienta dati loģiski nodalīti pa kontiem.
- Apstiprinājumu un publicēšanas darbību audita žurnāls.
- Ikdienas šifrētas rezerves kopijas, 35 dienu rotācija.
- Demonstrācijas versijas faili tiek dzēsti pēc 24 h.
- Kritisko ievainojamību novēršana 7 dienu laikā.
- Šo pasākumu ikgadēja pārskatīšana.
3. pielikums · Apakšapstrādātāji
| Apakšapstrādātājs | Nolūks | Atrašanās vieta |
|---|---|---|
| Cloud Clusters, Inc. | Lietotnes un pasu lapu mitināšana | Amerikas Savienotās Valstis |
| Google (Gemini API, paid tier) | Dokumentu datu izguve | Amerikas Savienotās Valstis |
| Cloud Clusters, Inc. (own mail server, mailcow) | E-pasts | Amerikas Savienotās Valstis |
Stripe apstrādā paša Veripass norēķinu datus; tas neapstrādā dokumentos ietvertos Klienta personas datus.