Datu apstrādes līgumsKā Slot apstrādā jūsu klientu datus.

Puses, darbības joma un akceptēšana

Šis Datu apstrādes līgums (“DPA”) ir noslēgts starp uzņēmumu, kam ir Slot konts (“Uzņēmums”, pārzinis), un SIA Slot Booking (“Slot”, apstrādātājs; uzņēmuma dati blakus šim tekstam). Tas ir Pakalpojuma noteikumu daļa un tiek akceptēts kopā ar tiem: īpašnieks pirms maksājuma atzīmē lauciņu vai nospiež “Akceptēt”, kad tiek publicēta jauna versija. Slot reģistrē, kura versija tika akceptēta, kad, kādā valodā un ar kuru pieteikšanās kontu.

Tas attiecas uz personas datiem, ko Slot Uzņēmuma uzdevumā apstrādā pakalpojuma sniegšanai: Uzņēmuma klienti, viņu pieraksti un ieraksti, ko Uzņēmums par tiem glabā (“Klientu dati”). Tas neattiecas uz to, ko Slot pats nosaka kā pārzinis, piemēram, klientu konti, vizīšu uzticamības kopsavilkums, drošība un norēķini; to apraksta Privātuma politika.

Ko apstrādā, kam un kāpēc

Norādījumi un abu pušu lomas

Slot Klientu datus apstrādā tikai pēc Uzņēmuma dokumentētiem norādījumiem: Noteikumi, šis DPA, iestatījumi, ko Uzņēmums veic konsolē, un tas, ko Uzņēmums un tā komanda dara ar funkcijām. Slot informē Uzņēmumu, ja uzskata, ka norādījums pārkāpj datu aizsardzības tiesību aktus.

Šie noklusējumi ir norādījumu daļa, un Uzņēmums tos akceptē: klienta kartīte, kurā 730 dienas nekas nav mainīts un nav bijis vizīšu, tiek anonimizēta automātiski; paša klienta piezīme pierakstā tiek dzēsta 730 dienas pēc vizītes; e-pasti klientiem tiek sūtīti kā “Uzņēmums via Slot” no Slot adreses, norādot Uzņēmuma kontaktadresi, ja tā ir iestatīta, kā atbildes adresi.

Slot Klientu datus neizmanto saviem mērķiem, izņemot gadījumus, kad Slot pats ir pārzinis un to norāda Privātuma politikā: klienta, kam ir Slot konts, konts, vizīšu uzticamības kopsavilkums (kas saskaita saloniem veiktās neierašanās atzīmes), drošība un ļaunprātīgas izmantošanas novēršana un pienākumi, ko Slot uzliek likums. Uzņēmums ir savu klientu kartīšu un pierakstu pārzinis, izvēlas savus tiesiskos pamatus, informē savus klientus un atbild par to, vai tas, ko ievada vai importē, ir likumīgs.

Konfidencialitāte

Slot dod piekļuvi Klientu datiem tikai tiem, kam tā vajadzīga pakalpojumam, un viņi ir saistīti ar konfidencialitāti. Piekļuve ražošanas sistēmai ir ierobežota ar Slot administratoru; administratora pieteikšanās un darbības platformas konsolē tiek reģistrētas.

Apstrādes drošība

Slot veic riskam atbilstošus pasākumus (32. pants). Spēkā esošie ir šādi:

• Mitināšana un tīkls: serveri Eiropas Savienībā, aiz Cloudflare; šifrēti savienojumi (HTTPS ar HSTS); ugunsmūris, kas atļauj tikai SSH un tīmekļa trafiku; datubāze un lietojumprogramma ir pieejamas tikai no paša servera.
• Serveri: SSH tikai ar atslēgām, ierobežots mēģinājumu skaits un fail2ban; drošības atjauninājumi tiek instalēti automātiski; lietojumprogramma darbojas kā lietotājs bez īpašām tiesībām systemd smilškastē; noslēpumi glabājas failos, ko var nolasīt tikai lietojumprogrammas konts un administrators, nekad ne koda krātuvē.
• Piekļuves kontrole: katrs pieprasījums tiek pārbaudīts pret pieteikušās personas uzņēmumu un lomu; īpašnieks, administratori un speciālisti redz tikai to, ko atļauj viņu loma, un speciālists redz tikai savus pierakstus; neviens uzņēmums nekad neredz cita uzņēmuma datus.
• Pieteikšanās: paroles glabājas tikai kā jaucējkodi; pieteikšanās un atjaunošanas kodi glabājas kā jaucējkodi un ir īslaicīgi; sesiju žetoni glabājas kā jaucējkodi; aizsardzība pret starpvietņu pieprasījumiem; mēģinājumu ierobežojumi un pagaidu bloķēšana pēc atkārtotām nepareizām parolēm; izvēles otrais faktors platformas administratoram.
• Lietojumprogramma: pieprasījumu ierobežojumi publiskajos maršrutos; stingras drošības galvenes un satura drošības politika; augšupielādētie foto tiek pārbaudīti un no tiem tiek noņemti slēptie metadati; pieraksta notikumu žurnāls satur identifikatorus un skaitļus, nevis vārdus, tālruņa numurus vai e-pasta adreses.
• Darbību žurnāls: darbības konsolē tiek reģistrētas (kurš ko darīja, ar IP adresi 12 mēnešus).
• Rezerves kopijas: datubāzes rezerves kopijas katru nakti, glabājas rotācijā (14 dienas, 8 nedēļas un 6 mēnešu kopijas), nolasāmas tikai administratoram; kopijas, kas atstāj serveri, ir šifrētas.
• Datu minimizēšana un dzēšana: ikdienas tīrīšana anonimizē neaktīvas klientu kartītes, dzēš vecas piezīmes un beigušos ierakstus; salona klientu kartītes var eksportēt un dzēst no konsoles.

Slot pārskata šos pasākumus, kad pakalpojums mainās, un var tos uzlabot; tos nepasliktinās tā, ka samazinātos Klientu datu aizsardzība.

Apakšapstrādātāji

Uzņēmums piešķir Slot vispārēju atļauju izmantot tālāk norādītos apakšapstrādātājus, kas apstrādā Klientu datus Slot uzdevumā. Slot izmanto Hetzner un Cloudflare saskaņā ar to datu apstrādes noteikumiem, kas uzliek šā DPA līdzvērtīgus datu aizsardzības pienākumus, un paliek atbildīgs par tiem. Telegram tiek izmantots tikai tad, kad Uzņēmums to pieslēdz, saskaņā ar paša Telegram noteikumiem.

Stripe, kas pieņem Uzņēmuma abonementu maksājumus, nav Klientu datu apakšapstrādātājs: tas apstrādā paša Uzņēmuma norēķinu datus kā savs pārzinis un kā Slot pakalpojumu sniedzējs. Kartes pakalpojumu sniedzējs un adrešu piedāvājumu pakalpojums Klientu datus nesaņem.

Kad Slot vēlas pievienot vai nomainīt apakšapstrādātāju, tas par to paziņo īpašniekam vismaz 30 dienas iepriekš, e-pastā uz īpašnieka adresi, un atjaunina šo sarakstu (un šā DPA versiju), kad izmaiņas stājas spēkā. Šajā laikā Uzņēmums var iebilst saprātīgu datu aizsardzības iemeslu dēļ. Ja puses nevar vienoties, Uzņēmums var atcelt abonementu pirms izmaiņu stāšanās spēkā un eksportēt datus saskaņā ar 10. sadaļu.

Nosūtīšana ārpus Eiropas Ekonomikas zonas

Klientu dati tiek glabāti Eiropas Savienībā. Cloudflare pieder grupai ar mātesuzņēmumu ASV, un Telegram datus var apstrādāt ārpus EEZ. Ja Klientu dati tiek nosūtīti ārpus EEZ, Slot nodrošina, ka, ja tas piemērojams, darbojas nosūtīšanas instruments: lēmums par aizsardzības līmeņa pietiekamību (piemēram, ES un ASV datu privātuma regulējums) vai Eiropas Komisijas standarta līguma klauzulas ar papildu pasākumiem, kur nepieciešams. Ja piemērojamas standarta līguma klauzulas, tām pretrunu gadījumā ir priekšroka pār šo DPA.

Palīdzība Uzņēmumam

Slot, cik iespējams un ņemot vērā apstrādes veidu, palīdz Uzņēmumam atbildēt uz klientu pieprasījumiem (piekļuve, labošana, dzēšana, ierobežošana, pārnesamība, iebildumi):

• konsole eksportē klienta kartīti (ar piezīmēm, birkām, punktiem, vizītēm, atsauksmēm un salona bloķējumu) un klientu un pierakstu sarakstus kā failus un dzēš kartītes personas datus, kas paliek dzēsti;
• klients ar Slot kontu var lejupielādēt un izdzēst savu kontu, kas atvieno salona ierakstus no tā;
• ja klients raksta Slot par datiem, kurus kontrolē Uzņēmums, Slot norāda uz Uzņēmumu un, ja var Uzņēmumu identificēt, informē to;
• Slot atbild uz Uzņēmuma saprātīgiem jautājumiem un palīdz ar ietekmes uz datu aizsardzību novērtējumu vai konsultāciju ar iestādi, kā arī ar drošības un pārkāpumu pienākumiem, ciktāl tie attiecas uz pakalpojumu.

Slot 3 gadus glabā atbildēto pieprasījumu žurnālu, tikai ar skaitļiem un bez vārdiem.

Personas datu aizsardzības pārkāpumi

Ja Slot uzzina par drošības pārkāpumu, kas skar Klientu datus, tas informē Uzņēmumu bez nepamatotas kavēšanās, tādā veidā un laikā, lai Uzņēmums varētu izpildīt savu pienākumu paziņot uzraudzības iestādei 72 stundu laikā. Ziņa tiek nosūtīta uz īpašnieka e-pasta adresi un norāda zināmo: kas notika, kādi dati un aptuveni cik cilvēku skarti, iespējamās sekas un ko dara. Slot turpina palīdzēt ar Uzņēmuma paša paziņojumiem iestādei un skartajām personām.

Datu atdošana un dzēšana

• Abonementa laikā Uzņēmums pats var eksportēt un dzēst Klientu datus konsolē.
• Pēc abonementa beigām (atcelts vai beidzies bezmaksas piekļuves laiks) tiešsaistes pieraksts apstājas uzreiz; 30 dienas īpašnieks un administratori var visu lasīt un eksportēt, bet neko mainīt; Uzņēmums var atjaunot abonementu, kamēr Slot nav izdzēsis tā datus.
• Pēc šīm 30 dienām konsole tiek slēgta. Nekas netiek dzēsts automātiski: Slot dzēš Uzņēmuma datus, kad īpašnieks to lūdz rakstiski no sava e-pasta adreses, vai pēc savas iniciatīvas, un abos gadījumos ne agrāk kā 30 dienas pēc beigām. Dzēšana izņem Uzņēmuma klientus, pierakstus, atsauksmes, foto, komandu, pakalpojumus, lapas un integrācijas, kā arī tā norēķinu ierakstus Slot. Slot neinformē Uzņēmuma klientus: ja viņiem ir pieraksti uz priekšu, pastāstiet viņiem pats, pirms aizejat.
• Kas paliek: kopijas rezerves kopijās, līdz kopijas termiņš beidzas (līdz apmēram sešiem mēnešiem), un tās netiek izmantotas nekam citam kā tikai atjaunošanai; ja rezerves kopija tiek atjaunota, kopš tās veiktie dzēšanas darbi tiek atkārtoti; darbību žurnāla ieraksti, ko glabā 5 gadus (administratora darbības un ar naudu saistītie ieraksti, tikai identifikatori un skaitļi); Uzņēmuma norēķinu ieraksti Stripe saskaņā ar Stripe noteikumiem; un viss, ko Slot pienākums ir glabāt pēc likuma. Klientu Slot konti pieder klientiem, un tie netiek dzēsti.

Informācija un auditi

Slot sniedz Uzņēmumam informāciju, kas vajadzīga, lai pierādītu atbilstību 28. pantam, tostarp reizi gadā rakstisku atbildi uz Uzņēmuma saprātīgiem jautājumiem par drošību un apakšapstrādātājiem, un sniedz ieguldījumu auditos. Audits uz vietas vai tehniskais audits ir iespējams, ja to prasa likums vai uzraudzības iestāde vai pēc Klientu datu pārkāpuma, ar saprātīgu rakstisku brīdinājumu, darba laikā, uz Uzņēmuma rēķina, konfidenciāli un neapdraudot citu uzņēmumu datus.

Termiņš, prioritāte, atbildība un likums

Šis DPA ir spēkā, kamēr Slot apstrādā Klientu datus Uzņēmuma labā. Ja tas pretrunā ar Noteikumiem datu aizsardzības jautājumā, priekšroka ir šim DPA. Atbildība ir noteikta Noteikumos, taču nekas šeit neierobežo atbildību, ko likums neļauj ierobežot. Piemērojami Latvijas Republikas normatīvie akti, kā arī Eiropas Savienības un Latvijas datu aizsardzības tiesību akti.

Kontakti

Jautājumi par šo DPA vai Klientu datu apstrādi: [email protected] un operatora dati blakus šim tekstam.