Šis Datu apstrādes līgums (“DPA”) ir daļa no līguma, kas reglamentē KWIGA platformas un pakalpojumu izmantošanu, tostarp KWIGA noteikumiem un nosacījumiem (“Līgums”), starp:
TUTERIA VCC, kuras reģistrētā adrese ir Vrabcha iela 17A, 1. stāvs, 3. dzīvoklis, 1000 Sofija, Bulgārija (“KWIGA”, “TUTERIA”, “mēs”, “mums” vai “Apstrādātājs”),
un
fizisku personu, uzņēmumu, organizāciju, skolu, Ekspertu, kursu veidotāju vai citu subjektu, kas izmanto KWIGA pakalpojumus un nosaka personas datu apstrādes nolūkus un līdzekļus, izmantojot KWIGA platformu (“Klients”, “Platformas lietotājs” vai “Pārzinis”).
Šis DPA tiek piemērots, ja un ciktāl TUTERIA VCC Klienta vārdā apstrādā Personas datus saistībā ar KWIGA pakalpojumu sniegšanu.
Šis DPA papildina Līgumu un ir interpretējams kopā ar KWIGA Privātuma politiku un citiem piemērojamiem līguma dokumentiem.
Šī DPA vajadzībām:
“Piemērojamie datu aizsardzības tiesību akti” ir visi datu aizsardzības un privātuma tiesību akti, kas piemērojami Personas datu apstrādei saskaņā ar šo DPA, tostarp, ja piemērojams, Regula (ES) 2016/679 (“VDAR”).
“Pārzinis”, “Apstrādātājs”, “Datu subjekts”, “Personas dati”, “Apstrāde”, “Personas datu aizsardzības pārkāpums” un “Uzraudzības iestāde” ir VDAR vai citos piemērojamajos datu aizsardzības tiesību aktos noteiktā nozīme.
“Klients” ir Platformas lietotājs, kas izmanto KWIGA pakalpojumus un nosaka Pakalpojuma datu apstrādes nolūkus un līdzekļus.
“Pakalpojuma dati” ir Personas dati, kurus Klients vai tā vārdā augšupielādē KWIGA platformā, apkopo ar tās starpniecību, ģenerē tajā vai citādi apstrādā, saistībā ar Pakalpojumu izmantošanu.
Pakalpojuma dati var ietvert Personas datus, kas tiek apstrādāti, izmantojot KWIGA CRM, LMS, kursus, izglītības programmas, studentu un klientu pārvaldības funkcionalitāti, saziņas rīkus, automatizācijas, novērtējumus un citas Klienta izmantotās Platformas funkcijas.
“Apakšapstrādātājs” ir trešā persona, ko KWIGA piesaista, lai Klienta vārdā apstrādātu Pakalpojuma datus.
Ja Klients nosaka Pakalpojuma datu apstrādes nolūkus un līdzekļus, Klients darbojas kā šādu Personas datu Pārzinis.
Klients ir atbildīgs par savām Apstrādes darbībām un par atbilstību Pārziņiem piemērojamajiem pienākumiem saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.
Ja TUTERIA VCC Klienta vārdā un saskaņā ar Klienta norādījumiem apstrādā Pakalpojuma datus, TUTERIA VCC darbojas kā Apstrādātājs.
TUTERIA VCC apstrādā šādus Pakalpojuma datus saskaņā ar šo DPA, Līgumu, Klienta dokumentētajiem norādījumiem un Piemērojamajiem datu aizsardzības tiesību aktiem.
Noteiktas Apstrādes darbības TUTERIA VCC var veikt nolūkos, kurus TUTERIA VCC nosaka neatkarīgi.
Šādi nolūki attiecīgā gadījumā var ietvert:
KWIGA Platformas administrēšanu un darbību;
Platformas drošību un integritāti;
krāpšanas un ļaunprātīgas izmantošanas novēršanu;
neatļautas piekļuves un drošības incidentu atklāšanu un izmeklēšanu;
juridisko vai regulatīvo pienākumu ievērošanu;
TUTERIA VCC paša līgumisko attiecību pārvaldību;
juridisko prasību celšanu, īstenošanu vai aizstāvību; un
citus KWIGA Privātuma politikā aprakstītos nolūkus.
Ja TUTERIA VCC patstāvīgi nosaka šādas Apstrādes nolūkus un līdzekļus, TUTERIA VCC attiecībā uz šo Apstrādi darbojas kā neatkarīgs Pārzinis.
Šādu Apstrādi reglamentē KWIGA Privātuma politika un Piemērojamie datu aizsardzības tiesību akti, un tā nav uzskatāma par Apstrādi, ko TUTERIA VCC veic kā Apstrādātājs saskaņā ar šo DPA.
Tas, ka Klients un TUTERIA VCC var Apstrādāt noteiktu informāciju par vienu un to pašu Datu subjektu, pats par sevi nenozīmē, ka puses darbojas kā kopīgi pārziņi.
Katras puses lomu nosaka, atsaucoties uz attiecīgās Apstrādes darbības nolūkiem un līdzekļiem.
Klientam ir jāievēro Piemērojamie datu aizsardzības tiesību akti saistībā ar Pakalpojuma datu vākšanu, izmantošanu, izpaušanu un citu Apstrādi.
Klients ir atbildīgs par to, lai:
a. tam būtu atbilstošs juridiskais pamats Pakalpojuma datu Apstrādei;
b. Pakalpojuma dati būtu iegūti likumīgi;
c. Pakalpojuma dati tiktu likumīgi izpausti vai citādi darīti pieejami KWIGA Apstrādei;
d. Datu subjekti saņemtu visus paziņojumus par privātumu un informāciju, kas nepieciešama saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem;
e. jebkura Klienta Apstrādes darbībām nepieciešamā piekrišana būtu derīgi iegūta;
f. Klienta norādījumi KWIGA atbilstu Piemērojamajiem datu aizsardzības tiesību aktiem;
g. Klients Apstrādātu tikai tādus Personas datus, kas nepieciešami tā leģitīmajiem un likumīgajiem nolūkiem; un
h. Pakalpojuma datiem, kas ir Klienta kontrolē, tiktu noteikti atbilstoši glabāšanas termiņi.
Klients neizmanto Pakalpojumus, lai vāktu vai Apstrādātu Īpašu kategoriju Personas datus VDAR 9. panta izpratnē, ja vien Klients nav noteicis derīgu juridisko pamatu un, ja nepieciešams, piemērojamu VDAR 9. pantā paredzētu nosacījumu šādai Apstrādei.
Ja Klients izmanto anketas, veidlapas, pielāgotus laukus, augšupielādētu saturu vai citas Pakalpojumu funkcijas, lai vāktu vai Apstrādātu šādus datus, Klients darbojas kā Pārzinis un ir atbildīgs par šādas Apstrādes likumības, nolūku un apjoma noteikšanu, jebkādas nepieciešamās informācijas sniegšanu Datu subjektiem, nepārprotamas piekrišanas iegūšanu, ja tiek paļauts uz piekrišanu, un visu citu Piemērojamo datu aizsardzības tiesību aktu prasību ievērošanu.
KWIGA Apstrādā šādus Pakalpojuma datus Klienta vārdā un saskaņā ar Klienta dokumentētajiem norādījumiem un šo DPA.
Klients dod KWIGA norādījumus Apstrādāt Pakalpojuma datus, ciktāl tas nepieciešams, lai:
nodrošinātu Klienta izvēlētos un konfigurētos Pakalpojumus;
mitinātu un uzturētu Pakalpojuma datus;
nodrošinātu CRM, LMS un citas Platformas funkcionalitātes;
nodrošinātu piekļuvi kursiem un citiem produktiem;
administrētu Klienta izvēlēto funkcionalitāti;
nodrošinātu tehnisko atbalstu;
uzturētu un aizsargātu Pakalpojumus; un
citādi izpildītu Līgumu un Klienta dokumentētos norādījumus.
Klienta veiktā KWIGA Platformas izmantošana un konfigurēšana, tostarp Klienta aktivizētie iestatījumi, darbības un funkcionalitāte, kā arī tīmekļa lapu, veidlapu, paziņojumu un citu materiālu izveide un publicēšana, izmantojot Platformu, var tikt uzskatīta par dokumentētiem norādījumiem šī DPA nolūkos.
Klients patstāvīgi nosaka savas Privātuma politikas, paziņojumu par privātumu, veidlapu un citu materiālu, kas ar Platformas starpniecību tiek sniegti Datu subjektiem, saturu un ir atbildīgs par to atbilstību Piemērojamajiem datu aizsardzības tiesību aktiem un Klienta personas datu faktiskajai apstrādei. KWIGA nav pienākuma pārbaudīt vai apstiprināt šādu materiālu saturu.
Ja KWIGA pamatoti uzskata, ka Klienta norādījums pārkāpj piemērojamos datu aizsardzības tiesību aktus, KWIGA bez nepamatotas kavēšanās par to informē Klientu.
KWIGA var apturēt attiecīgo Apstrādi tādā apmērā, kāds ir pamatoti nepieciešams, līdz norādījums tiek grozīts, precizēts vai apstiprināts kā likumīgs.
KWIGA apstrādā Pakalpojuma datus tikai saskaņā ar Klienta dokumentētiem norādījumiem, ja vien Apstrāde nav prasīta saskaņā ar piemērojamiem Savienības vai dalībvalsts tiesību aktiem.
Ja tiesību akti pieprasa KWIGA apstrādāt Pakalpojuma datus citādi nekā saskaņā ar Klienta norādījumiem, KWIGA pirms Apstrādes informē Klientu par šo juridisko prasību, ja vien tiesību akti neaizliedz šādu informēšanu svarīgu sabiedrības interešu apsvērumu dēļ.
KWIGA nodrošina, ka personas, kuras ir pilnvarotas apstrādāt Pakalpojuma datus:
apstrādā šādus datus tikai tiktāl, cik nepieciešams viņu pienākumu izpildei;
ir pakļautas atbilstošiem konfidencialitātes pienākumiem; un
tām piekļuve tiek nodrošināta tikai tad, ja tā ir pamatoti nepieciešama.
KWIGA īsteno atbilstošus tehniskos un organizatoriskos pasākumus, kas paredzēti Pakalpojuma datu aizsardzībai saskaņā ar šī DPA 7. sadaļu un B pielikumu.
Ņemot vērā Apstrādes raksturu un KWIGA pieejamo informāciju, KWIGA sniedz Klientam saprātīgu palīdzību tā pienākumu izpildē saskaņā ar piemērojamiem datu aizsardzības tiesību aktiem, tostarp attiecībā uz pienākumiem, kas saistīti ar:
Datu subjektu pieprasījumiem;
Apstrādes drošību;
Personas datu aizsardzības pārkāpumiem;
datu aizsardzības ietekmes novērtējumiem; un
konsultācijām ar uzraudzības iestādēm, ja piemērojams.
KWIGA uztur ierakstus un informāciju par savām Apstrādes darbībām tādā apmērā, kā to prasa piemērojamie datu aizsardzības tiesību akti.
Klients kā Pārzinis galvenokārt ir atbildīgs par atbildēšanu uz Datu subjektu pieprasījumiem, kas attiecas uz Pakalpojuma datiem, kurus KWIGA apstrādā Klienta vārdā.
KWIGA nodrošina Klientam funkcionalitāti un/vai atbilstošus mehānismus, lai piekļūtu, pārvaldītu un eksportētu Klienta kontrolē esošos Pakalpojuma datus un, ja to atbalsta attiecīgā funkcionalitāte, labotu vai dzēstu šādus Pakalpojuma datus, ievērojot piemērojamās juridiskās prasības.
Ņemot vērā Apstrādes raksturu, KWIGA ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem sniedz Klientam saprātīgu palīdzību, ciktāl iespējams, lai izpildītu Klienta pienākumus atbildēt uz Datu subjektu pieprasījumiem.
Ja KWIGA saņem Datu subjekta pieprasījumu, kas galvenokārt attiecas uz Pakalpojuma datiem, kuru Pārzinis ir Klients, KWIGA var novirzīt Datu subjektu pie Klienta un, ja nepieciešams, informēt Klientu par pieprasījumu.
KWIGA patstāvīgi neatbild uz šādu pieprasījumu Klienta vārdā, ja vien:
to nav norādījis Klients;
tas nav atļauts saskaņā ar Līgumu; vai
to nepieprasa piemērojamie tiesību akti.
Pieņemot šo DPA, Klients sniedz KWIGA pastāvīgu dokumentētu norādījumu apstrādāt un attiecīgā gadījumā dzēst vai anonimizēt Pakalpojuma datus, reaģējot uz Datu subjektu pieprasījumiem par datu dzēšanu.
Ja KWIGA saņem Datu subjekta pieprasījumu attiecībā uz Pakalpojuma datiem, kuru Pārzinis ir Klients, KWIGA informē Klientu par šo pieprasījumu un nodrošina Klientam iespēju sniegt papildu dokumentētus norādījumus vai dokumentētus norādījumus, kas ir pretrunā sākotnējam norādījumam.
Ja Klients četrpadsmit (14) kalendāro dienu laikā no KWIGA paziņojuma datuma nesniedz dokumentētus norādījumus, kas ir pretrunā sākotnējam norādījumam, KWIGA ir pilnvarota un tai ir uzdots veikt attiecīgo Pakalpojuma datu dzēšanu vai anonimizāciju saskaņā ar šo DPA un Piemērojamajiem datu aizsardzības tiesību aktiem. Minētais četrpadsmit (14) kalendāro dienu termiņš ir līgumā noteikts termiņš, kurā Klients var sniegt norādījumus KWIGA, un tas nenosaka un negroza nekādus likumā noteiktos termiņus, kas piemērojami Klientam vai KWIGA saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem, tostarp VDAR (GDPR), Kalifornijas Patērētāju privātuma likumu (California Consumer Privacy Act) ar tā grozījumiem vai Teksasas Datu privātuma un drošības likumu (Texas Data Privacy and Security Act).
KWIGA var veikt šādu dzēšanu vai anonimizāciju, ja vien Klients piemērojamajā četrpadsmit (14) kalendāro dienu termiņā nav sniedzis dokumentētus norādījumus, kas ir pretrunā sākotnējam norādījumam. Personas datus nedrīkst dzēst vai anonimizēt tādā apjomā, kādā to turpmāka glabāšana vai apstrāde ir nepieciešama saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem vai šo DPA.
Klients kā Pārzinis ir atbildīgs par atbilstošu glabāšanas termiņu noteikšanu Pakalpojuma datiem, kas tiek Apstrādāti Klienta noteiktajiem nolūkiem, ievērojot šajā DPA un Līgumā noteikto glabāšanas un dzēšanas kārtību.
Pakalpojuma datiem var tikt piemēroti dažādi glabāšanas termiņi atkarībā no attiecīgo datu rakstura un nolūka, kā arī funkcionalitātes, ar kuras palīdzību šie dati tiek Apstrādāti.
Pēc Klienta abonementa izbeigšanas vai termiņa beigām ar attiecīgo Klientu saistītie Pakalpojuma dati var tikt glabāti līdz deviņdesmit (90) dienām no Klienta abonementa perioda beigu datuma, lai nodrošinātu atkārtotas aktivizēšanas, datu izgūšanas un Pakalpojumu izmantošanas sakārtotas izbeigšanas iespēju.
Pēc minētā 90 dienu perioda beigām attiecīgais konts un/vai skola var tikt deaktivizēta, paslēpta vai citādi padarīta nepieejama, izmantojot KWIGA Platformas parasto saskarni, neizdzēšot un nemainot tajā ietvertos Pakalpojuma datus.
Attiecīgie Pakalpojuma dati var tikt glabāti vēl līdz deviņdesmit (90) dienām, lai nodrošinātu to atjaunošanas iespēju, risinātu tehniskus vai līgumiskus jautājumus un nodrošinātu sakārtotu Pakalpojumu sniegšanas pabeigšanu.
Pēc kopējā simt astoņdesmit (180) dienu perioda beigām, skaitot no abonementa izbeigšanas vai termiņa beigām, attiecīgie Pakalpojuma dati tiek dzēsti no KWIGA Platformas aktīvajām sistēmām saskaņā ar piemērojamajām datu glabāšanas un dzēšanas procedūrām.
Iepriekš minētā procedūra tiek piemērota, ievērojot attiecīgā Pārziņa dokumentētos norādījumus, šo DPA un Piemērojamos Datu Aizsardzības Tiesību Aktus. Tā neattiecas uz Personas datiem, kurus TUTERIA VCC neatkarīgi un likumīgi Apstrādā kā neatkarīgs Pārzinis saskaņā ar 5.7. sadaļu.
Pakalpojuma dati parasti tiek glabāti visu Klienta attiecīgo KWIGA Pakalpojumu izmantošanas laiku un saskaņā ar:
Klienta dokumentētajiem norādījumiem;
šo DPA;
Līgumu; un
Piemērojamie datu aizsardzības tiesību akti.
Nekas šajā sadaļā neatbrīvo Klientu no tā kā pārziņa pienākuma noteikt, vai konkrēti Pakalpojuma dati joprojām ir nepieciešami un vai tie būtu jāturpina glabāt.
KWIGA nodrošina Klientam funkcionalitāti un/vai atbilstošus mehānismus, lai piekļūtu Klienta kontrolē esošajiem Pakalpojuma datiem, tos pārvaldītu un eksportētu, kā arī, ja to atbalsta attiecīgā funkcionalitāte, lai šādus Pakalpojuma datus dzēstu, ievērojot piemērojamās tiesību aktu prasības.
Ja Klients manuāli dzēš kontaktpersonu vai citus Pakalpojuma datus, izmantojot KWIGA Platformu, attiecīgie dati sākotnēji tiks loģiski dzēsti (soft deletion) un būs atjaunojami līdz trīsdesmit (30) dienām no dzēšanas dienas. Pēc šī perioda attiecīgie Personas dati tiks neatgriezeniski dzēsti no KWIGA Platformas aktīvajām sistēmām, ievērojot piemērojamās tiesību aktu prasības un saglabājot tos datus, kurus Apstrādātājam saskaņā ar tiesību aktiem ir tiesības vai pienākums saglabāt.
Pēc Klienta abonementa izbeigšanas vai termiņa beigām Pakalpojuma dati var tikt glabāti saskaņā ar 5.2. sadaļā noteiktajiem termiņiem un nosacījumiem.
Pirmo deviņdesmit (90) dienu laikā Klientam var tikt nodrošināta saprātīga iespēja izgūt vai eksportēt Pakalpojuma datus, ņemot vērā attiecīgo Pakalpojumu funkcionalitāti.
Pēc šī perioda beigām attiecīgais konts un/vai skola var tikt deaktivizēta, paslēpta vai padarīta nepieejama, izmantojot KWIGA Platformas parasto saskarni. Pakalpojuma dati var tikt glabāti vēl līdz deviņdesmit (90) dienām saskaņā ar 5.2. sadaļu.
Pēc kopējā simt astoņdesmit (180) dienu perioda beigām, skaitot no abonementa izbeigšanas vai termiņa beigām, attiecīgie Pakalpojuma dati tiek dzēsti no KWIGA Platformas aktīvajām sistēmām saskaņā ar piemērojamajām dzēšanas procedūrām, šo DPA, Pārziņa dokumentētajiem norādījumiem un Piemērojamiem Datu Aizsardzības Tiesību Aktiem.
Ja Pakalpojuma dati pēc dzēšanas no aktīvajām sistēmām uz laiku paliek rezerves kopiju, avārijas atkopšanas vai līdzīgās sistēmās, šādiem datiem joprojām piemēro atbilstošus drošības pasākumus, un tie netiek atjaunoti vai izmantoti parastai apstrādei, izņemot gadījumus, kad tas ir nepieciešams avārijas atkopšanai, drošībai, tiesību aktu ievērošanai vai citiem leģitīmiem tehniskiem nolūkiem.
Šādas kopijas tiek dzēstas vai pārrakstītas saskaņā ar KWIGA piemērojamajām rezerves kopiju glabāšanas procedūrām.
Ja Klients manuāli dzēš Pakalpojuma datus un pēc tam tie tiek neatgriezeniski dzēsti no aktīvajām sistēmām, šādu datu kopijas var saglabāties rezerves kopiju sistēmās, kas izveidotas pirms neatgriezeniskās dzēšanas, vēl līdz septiņām (7) dienām. Pēc šī perioda šādas kopijas tiks dzēstas vai pārrakstītas saskaņā ar piemērojamajām rezerves kopiju glabāšanas procedūrām.
Šī sadaļa attiecas uz Pakalpojuma datiem, kurus TUTERIA VCC apstrādā kā apstrādātājs.
Tā neprasa TUTERIA VCC dzēst personas datus, kurus TUTERIA VCC neatkarīgi un likumīgi apstrādā, pildot pārziņa funkcijas.
Šādus datus var glabāt, ja tas nepieciešams KWIGA aprakstītajiem nolūkiem Privātuma politikā un saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.
Klients sniedz KWIGA vispārēju atļauju piesaistīt apakšapstrādātājus, ja tas ir pamatoti nepieciešams KWIGA Pakalpojumu nodrošināšanai, uzturēšanai, atbalstam, darbībai vai drošībai.
Pirms atļaut apakšapstrādātājam apstrādāt Pakalpojuma datus, KWIGA nodrošina, ka uz apakšapstrādātāju attiecas līgumiskas datu aizsardzības saistības, kas nodrošina atbilstošu Pakalpojuma datu aizsardzības līmeni un atbilst prasībām, kuras saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem ir piemērojamas apakšapstrādātājiem.
KWIGA joprojām ir atbildīga par to, kā tās apakšapstrādātāji pilda tās datu aizsardzības pienākumus, ciktāl to prasa Piemērojamie datu aizsardzības tiesību akti.
KWIGA dara Klientiem pieejamu informāciju par attiecīgajiem apakšapstrādātājiem, izmantojot atbilstošu mehānismu.
Ja to prasa Piemērojamie datu aizsardzības tiesību akti, KWIGA sniedz saprātīgu iepriekšēju paziņojumu par paredzētām būtiskām izmaiņām saistībā ar apakšapstrādātāju pievienošanu vai aizstāšanu.
Klients var izteikt pamatotus iebildumus, kas īpaši attiecas uz datu aizsardzības bažām, kuras izriet no ierosinātā apakšapstrādātāja.
Puses godprātīgi sadarbojas, lai risinātu jebkurus šādus pamatotus iebildumus.
Ja Klients neatkarīgi iespējo vai pieslēdz trešās personas integrāciju, izmantojot savu kontu, piekļuves datus vai API atslēgas, TUTERIA apstrādā un nosūta Pakalpojuma datus šai trešajai personai saskaņā ar Klienta dokumentētajām norādēm.
Klients ir atbildīgs par to, lai noteiktu, vai tā šāda trešās personas pakalpojuma izmantošana atbilst Piemērojamajiem datu aizsardzības tiesību aktiem, tostarp par nepieciešamo līgumisko vienošanos un starptautiskās datu nosūtīšanas aizsardzības pasākumu nodrošināšanu ar šo trešo personu.
Ņemot vērā jaunāko tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apjomu, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes riskus fizisko personu tiesībām un brīvībām, KWIGA īsteno un uztur atbilstošus tehniskus un organizatoriskus pasākumus, kas paredzēti riskam atbilstoša drošības līmeņa nodrošināšanai.
Atkarībā no attiecīgās apstrādes rakstura un riskiem šādi pasākumi var ietvert:
a. piekļuves kontroles un autorizācijas mehānismus;
b. pasākumus, kas paredzēti atbilstošas nošķirtības un autorizācijas uzturēšanai starp Klientu vidēm un datiem;
c. autentifikācijas un piekļuves pārvaldības pasākumus;
d. reģistrēšanu žurnālos un uzraudzību;
e. pasākumi, kas paredzēti aizdomīgu darbību, ļaunprātīgas izmantošanas un neatļautas piekļuves atklāšanai;
f. datplūsmas un pieprasījumu kontroles, tostarp, ja nepieciešams, ātruma kontroles;
g. ievainojamību pārvaldība;
h. drošības testēšana;
i. incidentu atklāšanas un reaģēšanas procedūras;
j. dublēšanas un atjaunošanas pasākumi;
k. kontroles attiecībā uz darbuzņēmēju, pakalpojumu sniedzēju un citu pilnvarotu personu piekļuvi;
l. procedūras drošības notikumu un incidentu pārskatīšanai; un
m. attiecīgo tehnisko un organizatorisko drošības kontroļu periodiska pārskatīšana un testēšana.
Papildu informācija par KWIGA īstenoto tehnisko un organizatorisko pasākumu kategorijām ir izklāstīta B pielikumā.
KWIGA laiku pa laikam var atjaunināt savus tehniskos un organizatoriskos pasākumus, lai atspoguļotu:
tehnoloģiju attīstību;
identificētos riskus;
izmaiņas Pakalpojumos;
drošības pārskatu rezultātus;
drošības incidentus; un
izmaiņas piemērojamajos tiesību aktos.
Šādas izmaiņas būtiski nesamazinās Pakalpojuma datiem nodrošinātās aizsardzības vispārējo līmeni.
KWIGA bez nepamatotas kavēšanās paziņo Klientam pēc tam, kad tas uzzina par Personas datu pārkāpumu, kas ietekmē Pakalpojuma datus, kurus KWIGA apstrādā Klienta vārdā.
Ciktāl attiecīgā informācija ir saprātīgi pieejama KWIGA, paziņojumā iekļauj:
a. Personas datu pārkāpuma rakstura aprakstu;
b. ietekmēto Personas datu kategorijas;
c. ietekmēto Datu subjektu kategorijas;
d. aptuveno ietekmēto Datu subjektu skaitu, ja tas ir zināms;
e. aptuveno ietekmēto Personas datu ierakstu skaitu, ja tas ir zināms;
f. Personas datu pārkāpuma iespējamās sekas, ja tās ir saprātīgi iespējams noteikt;
g. veiktos vai ierosinātos pasākumus Personas datu pārkāpuma ierobežošanai, izmeklēšanai un novēršanai; un
h. kontaktinformāciju vai citu atbilstošu saziņas kanālu, kurā var iegūt papildu informāciju.
Ja sākotnējā paziņojuma brīdī nav pieejama visa attiecīgā informācija, KWIGA sākotnēji var sniegt pieejamo informāciju un, izmeklēšanai virzoties uz priekšu, to papildināt pa posmiem.
KWIGA veic atbilstošus pasākumus, lai:
izmeklētu incidentu;
noteiktu tā raksturu un apjomu;
ierobežotu incidentu;
mazinātu saprātīgi paredzamas nelabvēlīgas sekas;
saglabāt attiecīgos pierādījumus;
attiecīgā gadījumā novērst konstatētās ievainojamības; un
veikt saprātīgus pasākumus, lai samazinātu atkārtošanās risku.
Ņemot vērā Apstrādes veidu un KWIGA pieejamo informāciju, KWIGA sniedz saprātīgu palīdzību Klientam, izpildot piemērojamos pienākumus saistībā ar:
paziņošanu Uzraudzības iestādei;
saziņu ar skartajiem Datu subjektiem;
risku novērtēšanu attiecībā uz fizisku personu tiesībām un brīvībām; un
Personas datu aizsardzības pārkāpuma dokumentēšanu.
Klients kā Pārzinis joprojām ir atbildīgs par to, lai noteiktu, vai Personas datu aizsardzības pārkāpuma, kas ietekmē Pakalpojuma datus, gadījumā ir nepieciešama:
paziņošana Uzraudzības iestādei;
saziņa ar skartajiem Datu subjektiem; vai
cita rīcība, kas prasīta saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.
Tas neietekmē TUTERIA VCC neatkarīgos juridiskos pienākumus attiecībā uz Personas datiem, kuru Pārzinis ir TUTERIA VCC.
Paziņošana par Personas datu aizsardzības pārkāpumu vai sadarbība saistībā ar to pati par sevi nav uzskatāma par vainas vai atbildības atzīšanu no jebkuras puses.
Ja Pakalpojuma dati tiek Apstrādāti Eiropas Ekonomikas zonā (“EEZ”), šāda Apstrāde nav uzskatāma par nosūtīšanu uz trešo valsti VDAR V nodaļas vajadzībām.
Ja KWIGA vai pilnvarots Apakšapstrādātājs nosūta Pakalpojuma datus ārpus EEZ uz jurisdikciju, kas nav atzīta par tādu, kura nodrošina atbilstošu aizsardzības līmeni saskaņā ar piemērojamajiem tiesību aktiem, KWIGA nodrošina, ka vajadzības gadījumā tiek ieviests atbilstošs nosūtīšanas mehānisms.
Šādi mehānismi var ietvert:
Eiropas Komisijas pieņemtu lēmumu par aizsardzības līmeņa pietiekamību;
Eiropas Komisijas apstiprinātas standarta līguma klauzulas;
saistošus uzņēmuma noteikumus, ja piemērojams; vai
citu likumīgu nosūtīšanas mehānismu, kas atzīts saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.
Ja to prasa Piemērojamie datu aizsardzības tiesību akti, KWIGA īsteno papildu pasākumus, kas ir piemēroti attiecīgajai nosūtīšanai un ar to saistītajiem riskiem.
Pēc Klienta pieprasījuma KWIGA sniedz saprātīgu informāciju par piemērojamajiem starptautiskās nosūtīšanas aizsardzības pasākumiem, ja to prasa Piemērojamie datu aizsardzības tiesību akti.
KWIGA dara Klientam pieejamu informāciju, kas ir saprātīgi nepieciešama, lai pierādītu atbilstību KWIGA kā Apstrādātāja pienākumiem saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.
Pēc saprātīga rakstiska pieprasījuma KWIGA sniedz attiecīgu informāciju par:
tā veikto Pakalpojuma datu Apstrādi;
piemērojamajiem tehniskajiem un organizatoriskajiem pasākumiem;
attiecīgajiem Apakšapstrādātājiem; un
citiem jautājumiem, kas saprātīgi nepieciešami, lai Klients varētu novērtēt KWIGA atbilstību šim DPA.
Ja KWIGA sniegtā informācija nav saprātīgi pietiekama, lai pierādītu atbilstību, un ja audits ir nepieciešams saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem, KWIGA pieļauj un veicina saprātīgu auditu vai pārbaužu veikšanu saistībā ar Pakalpojuma datu Apstrādi.
Ja vien Uzraudzības iestāde vai Piemērojamie datu aizsardzības tiesību akti nenosaka citādi, Klientam ir:
saprātīgā termiņā iepriekš rakstiski paziņot par auditu;
ierobežot auditu ar jautājumiem, kas attiecas uz Apstrādi saskaņā ar šo DPA;
ja tas ir saprātīgi iespējams, veikt auditu parastajā darba laikā;
izvairīties no nevajadzīgiem traucējumiem KWIGA darbībā; un
nodrošināt, ka revidentiem ir piemērojami atbilstoši konfidencialitātes pienākumi.
Revīzija nedod Klientam vai tā revidentam tiesības piekļūt:
citam Klientam piederošiem Personas datiem;
cita Klienta konfidenciālai informācijai;
informācijai, kas apdraudētu KWIGA sistēmu drošību;
pirmkodam vai citam aizsargātam intelektuālajam īpašumam, izņemot gadījumus, kad to īpaši pieprasa piemērojamie tiesību akti; vai
informācijai, kas nav saistīta ar Klienta Apstrādes darbībām.
Puses godprātīgi sadarbojas attiecībā uz kompetento Uzraudzības iestāžu pamatotiem revīzijas pieprasījumiem.
Ņemot vērā Apstrādes veidu un KWIGA pieejamo informāciju, KWIGA sniedz Klientam pamatotu palīdzību saistībā ar datu aizsardzības ietekmes novērtējumiem, ja Klientam ir pienākums veikt šādu novērtējumu saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.
Ja to pieprasa Piemērojamie datu aizsardzības tiesību akti, KWIGA sniedz pamatotu palīdzību saistībā ar iepriekšēju apspriešanos ar kompetentu Uzraudzības iestādi par Apstrādi, kas tiek veikta, izmantojot Pakalpojumus.
Katra puse aizsargā Personas datus un konfidenciālo informāciju, kas saņemta saistībā ar šo DPA, pret neatļautu izpaušanu.
KWIGA nodrošina, ka darbuzņēmējiem, pakalpojumu sniedzējiem un citām personām, kuras ir pilnvarotas Apstrādāt Pakalpojuma datus, ir piemērojami atbilstoši konfidencialitātes pienākumi vai piemērojams likumā noteikts konfidencialitātes pienākums.
Klients nodrošina, ka pieteikšanās dati, piekļuves tiesības un administratīvās funkcijas, kas pieejamas, izmantojot KWIGA Platformu, izmanto tikai atbilstoši pilnvarotas personas.
Katra puse uztur ierakstus par savām Apstrādes darbībām tādā apmērā, kā to pieprasa Piemērojamie datu aizsardzības tiesību akti.
Puses pamatoti sadarbojas savā starpā, ja tas nepieciešams, lai atbildētu uz likumīgiem Uzraudzības iestāžu pieprasījumiem saistībā ar Apstrādi, ko reglamentē šis DPA.
Nekas šajā DPA neprasa nevienai pusei izpaust informāciju, ja tās izpaušanu aizliedz piemērojamie tiesību akti.
Katra puse ir atbildīga par savu atbilstību Piemērojamajiem datu aizsardzības tiesību aktiem un par pienākumiem, kas tai noteikti saskaņā ar šo DPA.
Pušu savstarpējā atbildība, kas izriet no šī DPA vai ir saistīta ar to, ir pakļauta Līgumā ietvertajiem atbildības ierobežojumiem un izņēmumiem, ciktāl to pieļauj Piemērojamie datu aizsardzības tiesību akti.
Nekas šajā DPA neizslēdz vai neierobežo atbildību, ja šāda izslēgšana vai ierobežošana ir aizliegta ar piemērojamiem tiesību aktiem.
Šis DPA stājas spēkā, kad Klientam kļūst saistošs Līgums un KWIGA sāk Apstrādāt Pakalpojuma datus Klienta vārdā.
Šis DPA paliek spēkā tik ilgi, kamēr KWIGA Apstrādā Pakalpojuma datus Klienta vārdā.
Līguma izbeigšana vai termiņa beigšanās neietekmē šī DPA noteikumus, kuri pēc savas būtības ir paredzēti spēkā palikšanai pēc izbeigšanas, tostarp noteikumus par konfidencialitāti, Pakalpojuma datu dzēšanu vai atgriešanu, atbildību un piemērojamajiem tiesību aktiem.
Šis DPA ir daļa no Līguma starp Klientu un TUTERIA VCC, kas reglamentē KWIGA Pakalpojumu izmantošanu.
Ja rodas pretruna starp šo DPA un citu Līguma noteikumu par TUTERIA VCC kā Apstrādātāja veikto Pakalpojuma datu Apstrādi, attiecībā uz pretrunīgo datu aizsardzības jautājumu noteicošais ir šis DPA.
KWIGA Privātuma politika reglamentē Apstrādes darbības, kurās TUTERIA VCC darbojas kā Pārzinis.
Šis DPA reglamentē Pakalpojuma datu Apstrādi, ko TUTERIA VCC Klienta vārdā veic kā Apstrādātājs.
Šo DPA reglamentē tiesību akti, kas piemērojami Līgumam starp Klientu un TUTERIA VCC, neskarot Piemērojamo datu aizsardzības tiesību aktu imperatīvās normas.
Nekas šajā DPA neierobežo VDAR piemērošanu vai kompetentas Uzraudzības iestādes pilnvaras un jurisdikciju, ja šādi tiesību akti vai jurisdikcija ir piemērojami.
KWIGA var atjaunināt šo DPA, ja tas ir pamatoti nepieciešams, lai:
ievērotu izmaiņas Piemērojamajos datu aizsardzības tiesību aktos;
atspoguļotu izmaiņas KWIGA pakalpojumos;
atjauninātu tehniskos vai organizatoriskos pasākumus;
atjauninātu Apstrādes kārtību; vai
precizētu pušu tiesības un pienākumus.
Ja grozījums būtiski ietekmē Pakalpojuma datu Apstrādi vai Klienta datu aizsardzības tiesības un pienākumus, KWIGA sniedz saprātīgu paziņojumu, ja to pieprasa piemērojamie tiesību akti vai Līgums.
Jautājumus par šo DPA vai KWIGA veikto Pakalpojuma datu Apstrādi Klienta vārdā var iesniegt šeit:
TUTERIA VCC
Vrabčas iela 17A, 1. stāvs, 3. dzīvoklis
1000 Sofija, Bulgārija
E-pasts: support@kwiga.com
Šis pielikums ir Datu apstrādes līguma neatņemama sastāvdaļa.
KWIGA veiktā Pakalpojuma datu Apstrāde, ciktāl tā nepieciešama, lai nodrošinātu, uzturētu, atbalstītu un aizsargātu Klienta atlasītos un konfigurētos KWIGA pakalpojumus.
Visu laiku, kamēr Klients izmanto attiecīgos KWIGA pakalpojumus. Pēc Klienta abonementa izbeigšanas vai termiņa beigām Klientam specifiskie Pakalpojuma dati var tikt saglabāti līdz deviņdesmit (90) dienām pēc Klienta abonementa perioda beigām, lai nodrošinātu atkārtotu aktivizēšanu, datu izgūšanu un pienācīgu Pakalpojumu izbeigšanu.
Pēc šī perioda beigām Klientam specifiskajos Pakalpojuma datos ietvertie Personas dati, tostarp saistītie pasūtījumu dati, tiek anonimizēti saskaņā ar DPA 5. sadaļu un KWIGA piemērojamajām datu glabāšanas procedūrām. Pēc papildu deviņdesmit (90) dienām pēc šādas anonimizācijas attiecīgie dati tiek neatgriezeniski dzēsti no KWIGA Platformas aktīvajām sistēmām saskaņā ar piemērojamajām glabāšanas un dzēšanas procedūrām, ja vien turpmāku glabāšanu nepieprasa piemērojamie tiesību akti vai tā nav citādi atļauta saskaņā ar DPA. Ja TUTERIA VCC Apstrādā Personas datus Klienta vārdā kā Apstrādātājs, šis glabāšanas un dzēšanas process tiek piemērots, ievērojot Klienta dokumentētās norādes, piemērojamo datu apstrādes līgumu un Piemērojamos datu aizsardzības tiesību aktus.
Personas datiem, ko TUTERIA VCC Apstrādā kā neatkarīgs Pārzinis, piemēro glabāšanas periodus, kas attiecas uz šo Apstrādi.
Atkarībā no Klienta atlasītajiem un konfigurētajiem Pakalpojumiem Apstrāde var ietvert:
vākšanu;
reģistrēšanu;
organizēšanu;
strukturēšanu;
glabāšanu;
mitināšanu;
pielāgošanu;
izgūšanu;
iepazīšanos;
izmantošanu;
nosūtīšanu;
padarīšanu pieejamu;
administrēšanu;
analīzi saskaņā ar Klienta norādījumiem;
ierobežošanu;
eksportēšanu;
dzēšanu;
anonimizācija; un
cita apstrāde, kas nepieciešama izvēlēto Pakalpojumu sniegšanai.
Pakalpojuma datu apstrāde Klienta noteiktajiem nolūkiem, tostarp atkarībā no tā, kā Klients izmanto KWIGA:
studentu un klientu pārvaldība;
CRM funkcionalitāte;
LMS funkcionalitāte;
kursu un izglītības programmu nodrošināšana un administrēšana;
piekļuves digitālajiem produktiem administrēšana;
testi, viktorīnas un uzdevumi;
kursa progresa izsekošana;
sertifikāti;
saziņa ar studentiem un klientiem;
e-pasta un paziņojumu funkcionalitāte;
automatizācijas;
pasūtījumu administrēšana;
integrāciju funkcionalitāte;
klientu atbalsts;
Klienta izvēlēta pārskatu veidošana un analītika; un
cita Klienta iespējota vai konfigurēta funkcionalitāte.
Atkarībā no tā, kā Klients izmanto Pakalpojumus, Datu subjekti var ietvert:
studentus;
izglītojamos;
klientus;
potenciālos klientus;
abonentus;
kursu dalībniekus;
Klienta darbiniekus un līgumdarbiniekus;
pasniedzējus;
administratorus;
asistentus;
Klienta pārstāvjus; un
citas personas, kuru Personas dati tiek iesniegti KWIGA platformā vai apstrādāti ar tās starpniecību Klienta vārdā vai uzdevumā.
Atkarībā no Klienta izmantotajiem Pakalpojumiem Pakalpojuma dati var ietvert:
Identitātes un profila informācija
vārds;
otrais vārds;
uzvārds;
profila attēls;
konta vai profila identifikatori.
Kontaktinformācija
e-pasta adrese;
tālruņa numurs;
cita kontaktinformācija, ko iesniedzis Klients vai Datu subjekts.
Izglītības un mācību informācija
kursi un programmas;
reģistrācija;
piekļuves informācija;
kursa progress;
nodarbību pabeigšana;
viktorīnu un testu atbildes;
testu rezultāti;
vērtējumi;
uzdevumi;
komentāri;
sertifikāti;
sasniegumi;
punkti un statusi.
CRM un klientu pārvaldības informācija
birkas;
grupas;
klienta statuss;
piezīmes;
klienta vēsture;
saziņas vēsture;
Klienta konfigurētie pielāgotie lauki.
Informācija par pasūtījumiem un darījumiem
pasūtījumu identifikatori;
produkti;
summas;
valūtas;
atlaides;
kuponi;
maksājuma statuss;
darījumu datumi;
informācija par atmaksu;
maksājumu pa daļām vai abonementu parametri;
cita pasūtījumu informācija, kas tiek apstrādāta Klienta vārdā.
KWIGA nepieprasa Klientiem iesniegt maksājumu karšu drošības datus, piemēram, pilnus karšu numurus vai CVC kodus, parastajos CRM vai LMS Pakalpojumu datu laukos.
Saziņa
ziņojumi;
e-pasti;
komentāri;
ar atbalstu saistīta informācija;
cita saziņa, kas tiek apstrādāta, izmantojot Klienta izvēlēto funkcionalitāti.
Tehniskā informācija
Ciktāl Apstrāde tiek veikta Klienta vārdā:
IP adrese;
pieteikšanās/darbību informācija;
informācija par ierīci vai pārlūkprogrammu;
tehniskie identifikatori;
laika zīmogi.
KWIGA Pakalpojumi neprasa Klientam Apstrādāt Īpašas personas datu kategorijas. Tomēr Pakalpojumu datos var būt ietvertas Īpašas personas datu kategorijas, ja Klients izvēlas vākt vai citādi Apstrādāt šādus datus, izmantojot anketas, veidlapas, pielāgotus laukus, augšupielādētu saturu, saziņu vai citas konfigurējamas Pakalpojumu funkcijas.
Klients nosaka šādas Apstrādes saturu un mērķus un ir atbildīgs par piemērojama tiesiskā pamata un, ja nepieciešams, piemērojama nosacījuma saskaņā ar VDAR 9. pantu noteikšanu.
Apstrāde var notikt nepārtraukti vai periodiski visu Klienta attiecīgo Pakalpojumu izmantošanas laiku atkarībā no izvēlētās funkcionalitātes un Klienta norādījumiem.
TUTERIA VCC īsteno tehniskus un organizatoriskus pasākumus, kas paredzēti, lai nodrošinātu ar Pakalpojumu datu Apstrādi saistītajiem riskiem atbilstošu drošības līmeni.
Turpmāk aprakstītie pasākumi ir drošības pasākumu kategorijas, un tos laiku pa laikam var pielāgot vai papildināt, pamatojoties uz Apstrādes raksturu, tehnoloģiju attīstību, identificētajiem riskiem un izmaiņām KWIGA Pakalpojumos.
KWIGA īsteno pasākumus, kas paredzēti, lai ierobežotu piekļuvi Personas datiem un Platformas funkcionalitātei, to piešķirot tikai autorizētiem lietotājiem, autorizētām personām un sistēmām.
Šādi pasākumi var ietvert:
lietotāju autentifikāciju;
lomu un atļauju pārvaldību;
autorizācijas kontroles;
piekļuves ierobežojumus, pamatojoties uz attiecīgo lietotāja vai Klienta kontekstu;
iekšējo piekļuves tiesību pārvaldību un pārskatīšanu; un
pasākumus, kas paredzēti, lai novērstu neatļautu piekļuvi starp Klientu vidēm.
KWIGA īsteno tehniskās kontroles, kas paredzētas, lai nodrošinātu, ka piekļuve Klientu datiem tiek pienācīgi ierobežota atbilstoši Klientam, kontam, skolai, projektam vai citam piemērojamam autorizācijas kontekstam.
Autorizācijas kontroles tiek pārskatītas un testētas atbilstoši attiecīgajai funkcionalitātei.
KWIGA izmanto Pakalpojumu darbībai un drošībai atbilstošus žurnalēšanas un uzraudzības mehānismus.
Šie pasākumi var ietvert:
lietojumprogrammu un sistēmu žurnalēšanu;
drošības notikumu uzraudzību;
aizdomīgu darbību konstatēšana;
kļūdu uzraudzība;
datplūsmas uzraudzība;
neparastas vai potenciāli ļaunprātīgas darbības analīze; un
attiecīgo drošības incidentu uzskaites uzturēšana.
KWIGA īsteno pasākumus, kas paredzēti, lai konstatētu, ierobežotu un reaģētu uz ļaunprātīgu izmantošanu, neatļautu piekļuvi un Platformas funkcionalitātes automatizētu nepareizu izmantošanu.
Atkarībā no attiecīgā pakalpojuma vai galapunkta šādi pasākumi var ietvert:
pieprasījumu kontroles;
ātruma ierobežošanas kontroles;
piekļuves ierobežojumus;
automatizētus vai manuālus bloķēšanas mehānismus;
aizdomīgu darbību konstatēšanu; un
papildu verifikācijas vai autorizācijas kontroles.
KWIGA uztur procesus drošības ievainojamību identificēšanai, novērtēšanai un novēršanai.
Šādi pasākumi var ietvert:
drošības pārbaudes;
autorizācijas kontroles testēšanu;
automatizētu testēšanu, ja tas ir piemēroti;
ievainojamību novēršanu;
drošības konstatējumu pārskatīšanu;
regresijas testēšanu; un
koriģējošo pasākumu pārbaudi.
KWIGA uztur procesus, kas paredzēti drošības incidentu un personas datu aizsardzības pārkāpumu konstatēšanai, eskalēšanai, izmeklēšanai, ierobežošanai un novēršanai.
Šādi procesi var ietvert:
incidentu eskalēšanu;
tehnisko izmeklēšanu;
attiecīgo žurnālfailu saglabāšanu un analīzi;
ierobežošanas pasākumus;
novēršanu;
riska novērtēšanu;
novērtējumu par paziņošanu uzraudzības iestādēm un Klientam;
pēcincidenta pārskatīšanu; un
koriģējošo darbību īstenošanu.
Personām, kurām ir atļauta piekļuve Pakalpojuma datiem, ir saistoši atbilstoši konfidencialitātes pienākumi.
Piekļuve personas datiem tiek nodrošināta, pamatojoties uz darbības vajadzībām, un tiek ierobežota, ciktāl tas ir saprātīgi iespējams.
KWIGA uztur attiecīgajiem Pakalpojumiem un infrastruktūrai atbilstošus dublēšanas un atkopšanas procesus.
Dublējuma datiem piemēro atbilstošus piekļuves un drošības kontroles pasākumus.
Dzēstie Personas dati var īslaicīgi saglabāties dublējuma sistēmās, līdz tie tiek dzēsti vai pārrakstīti saskaņā ar piemērojamajām dublējumu glabāšanas procedūrām.
KWIGA īsteno pasākumus, kas paredzēti, lai atbalstītu Pakalpojumu pieejamību un noturību atbilstoši attiecīgās Apstrādes raksturam un riskam.
Tehniskos un organizatoriskos pasākumus var pārskatīt un atjaunināt, pamatojoties uz:
izmaiņām Platformā;
identificētiem drošības riskiem;
ievainojamību konstatējumiem;
incidentiem;
izmaiņām piemērojamajās juridiskajās prasībās; un
tehnoloģiju attīstību.
Atjauninājumi būtiski nesamazinās Pakalpojumu datiem nodrošināto vispārējo aizsardzības līmeni.