Datu apstrādes līgums
1. Puses, tvērums un statuss
Šis līgums nosaka datu apstrādes noteikumus starp OrsunPay pakalpojumu līgumā nosaukto uzņēmuma klientu (turpmāk — Klients) un Orsun Tech OÜ, reģistrācijas kods 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (turpmāk — OrsunPay). Tas kļūst saistošs tikai tad, kad iekļauts abu pušu pieņemtā līgumā ar aizpildītiem apstrādes un drošības pielikumiem.
Šeit aptvertajai apstrādei Klients nosaka nolūkus un būtiskos līdzekļus, bet OrsunPay apstrādā personas datus Klienta vārdā. Ja Klients pats ir apstrādātājs, tam vajadzīga sava pārziņa atļauja iecelt OrsunPay. Apstrādi OrsunPay vietnes, darījumu kontaktu un kontu administrēšanas mērķiem apraksta privātuma paziņojums.
Jēdzieniem “personas dati”, “pārzinis”, “apstrādātājs” un saistītajiem jēdzieniem ir piemērojamajos datu aizsardzības tiesību aktos, tostarp VDAR, ja tā piemērojama, noteiktā nozīme. Šim datu apstrādes līgumam ir priekšroka pār pretrunīgiem pakalpojuma noteikumiem attiecībā uz tajā aptverto apstrādi; obligātajiem nosūtīšanas noteikumiem ir priekšroka, ja tie piemērojami.
2. Apstrādes apraksts
| Pozīcija | Apstrādes tvērums |
|---|---|
| Priekšmets | Personas dati, kas apstrādāti Klienta saskaņotajos maksājumu orķestrēšanas pakalpojumos un saistītajā atbalstā. |
| Darbību būtība | Ierakstu saņemšana, reģistrēšana, organizēšana, izgūšana, nosūtīšana un attēlošana; maršrutēšanas un darbības norādījumu izpilde; problēmu novēršana; datu atgriešana vai dzēšana. |
| Nolūki | Darbināt konfigurētas maksājumu darbplūsmas, apmainīties ar informāciju ar izvēlētajiem pakalpojumu sniedzējiem, uzturēt darījumu un webhook ierakstus, nodrošināt pilnvarotu piekļuvi un izmeklēt pakalpojuma problēmas. |
| Personas | Klienta pircēji un citi maksājumu dalībnieki, kā arī Klienta pilnvarotie lietotāji vai pārstāvji, ja apstrāde notiek pēc tā norādījumiem. |
| Datu kategorijas | Klientu un darījumu atsauces, iesniegtā kontaktinformācija, summas un valūtas, maksājumu un atmaksu statusi, pakalpojumu sniedzēju atsauces, tokenizēta vai maskēta maksājumu metodes informācija, tehniskie savienojuma dati un atbilstoši atbalsta materiāli. Gala pielikumam jāatspoguļo faktiskā integrācija. |
| Ilgums un biežums | Pakalpojuma lietošanas laikā un saskaņotajā atgriešanas vai dzēšanas periodā; nepārtraukta vai notikumu vadīta apstrāde atkarībā no izmantotajām funkcijām. |
| Sensitīvie dati | Īpašu kategoriju dati, dati par noziedzīgiem nodarījumiem un pilni maksājumu autentifikācijas dati neietilpst šajā vispārīgajā aprakstā, ja vien tos skaidri neaptver atsevišķs rakstisks tvērums un piemēroti kontroles pasākumi. |
3. Norādījumi un Klienta pienākumi
Pakalpojuma līgums, aizpildītie pielikumi, pilnvarotie iestatījumi un dokumentētie API pieprasījumi veido Klienta norādījumus. OrsunPay apstrādās aptvertos datus tikai pēc šiem norādījumiem, tostarp nosūtīšanas norādījumiem, ja vien piemērojamais likums neprasa citādi. Par likuma prasību tas informēs Klientu pirms apstrādes, izņemot gadījumus, kad likums šādu paziņojumu aizliedz.
Klientam jāsniedz likumīgi norādījumi, nepieciešamā privātuma informācija un derīgs pamats pieprasītajai vākšanai un apstrādei. Tam jāierobežo sniegtie dati līdz pakalpojumam nepieciešamajiem un jāuztur atbilstošas konta atļaujas. OrsunPay informēs Klientu, ja uzskatīs norādījumu par piemērojamo datu aizsardzības tiesību pārkāpumu, un var apturēt attiecīgo apstrādi līdz jautājuma atrisināšanai.
4. Konfidencialitāte un drošība
OrsunPay ierobežos piekļuvi pilnvarotām personām, kurām tā vajadzīga pakalpojuma nodrošināšanai, un nodrošinās tām konfidencialitātes pienākumus. Tas uzturēs tehniskus un organizatoriskus pasākumus, kas atbilst datu būtībai un apstrādes riskiem.
Drošības pielikumā jādokumentē piekļuves kontrole, autentifikācija, šifrēšanas kārtība, klientu vides nošķiršana, žurnalēšana, incidentu apstrāde, dublēšana un atjaunošana, dzēšana un šo pasākumu novērtēšanas process. Tajā jānošķir ieviestie un plānotie pasākumi un jānorāda attiecīgais pakalpojuma tvērums. Līguma publicēšana pati par sevi neietver audita sertifikāciju vai drošības apliecinājumu.
5. Apakšapstrādātāji
OrsunPay drīkst iecelt apakšapstrādātājus tikai ar Klienta iepriekšēju konkrētu vai vispārīgu rakstisku atļauju. Galīgajā apstiprinātajā pielikumā norāda juridisko personu, funkciju un attiecīgās apstrādes vietas. Mūsu piegādātāju reģistrs ir papildinformācija un ietver vietnes piegādātājus un vēl izvērtējamas vienošanās; iekļaušana vien nav Klienta atļauja.
Vispārīgas atļaujas gadījumā OrsunPay iepriekš rakstiski paziņos par plānotiem papildinājumiem vai aizstāšanu un dos Klientam reālu iespēju pirms jaunās apstrādes sākuma iebilst datu aizsardzības apsvērumu dēļ. Noslēgtajā pielikumā jānosaka paziņošanas termiņš, piegādes kanāls un risināšanas procedūra. Ja iebildumu nevar atrisināt, puses vienosies par likumīgu alternatīvu vai izbeigs attiecīgo pakalpojumu saskaņā ar līgumu.
OrsunPay līgumiski noteiks katram apakšapstrādātājam piemērojamos datu aizsardzības pienākumus un paliks atbildīgs par to izpildi likumā prasītajā apjomā.
6. Palīdzība un personas datu aizsardzības pārkāpumi
Ņemot vērā apstrādi un pieejamo informāciju, OrsunPay palīdzēs Klientam ar personu tiesību pieprasījumiem, drošības pienākumiem, ietekmes novērtējumiem un konsultācijām ar kompetentajām iestādēm. Saņemot pieprasījumu par Klienta datiem, tas paziņos Klientam un nesniegs atbildi pēc būtības, izņemot pēc norādījuma vai likuma prasības.
OrsunPay bez nepamatotas kavēšanās paziņos Klientam, kad uzzinās par personas datu aizsardzības pārkāpumu, kas ietekmē aptvertos datus. Pieejamā informācija aprakstīs incidentu, skartos datus un personas, iespējamās sekas, mazināšanas pasākumus un kontaktpersonu turpmākai saziņai. Informāciju var sniegt pa posmiem, izmeklēšanai attīstoties. OrsunPay sadarbosies Klienta reaģēšanā; Klients paliek atbildīgs par paziņojumiem, par kuriem tam ir juridiska atbildība.
7. Starptautiska nosūtīšana
Pirms apstrāde ietver ierobežotu nosūtīšanu, pusēm jānosaka eksportētājs, importētājs, galamērķi un piemērots nosūtīšanas mehānisms. Vajadzības gadījumā tas ietver piemērojamu lēmumu par aizsardzības līmeņa pietiekamību vai aizpildītas līguma standartklauzulas ar pareizo moduli, pielikumiem un papildpasākumiem. Jāņem vērā Apvienotās Karalistes vai Šveices prasības, ja tās piemērojamas.
Saite uz piegādātāja datu apstrādes līgumu pati par sevi nepabeidz Klienta nosūtīšanas dokumentāciju. Noslēgtajā pielikumā jāietver faktiskā kārtība, tostarp attālināta piekļuve un tālāka nosūtīšana.
8. Atgriešana, dzēšana un glabāšana
Apstrādes beigās OrsunPay pēc Klienta izvēles atgriezīs vai dzēs aptvertos personas datus un izdzēsīs atlikušās kopijas, ja vien piemērojamais likums neprasa glabāšanu. Pusēm apstrādes pielikumā jāvienojas par eksporta formātu, pieprasījuma procesu, izpildes termiņu un rezerves kopiju derīguma beigām.
Ja glabāšanu prasa likums, OrsunPay norādīs prasību, kur tas atļauts, ierobežos saglabātos datus ar šo mērķi un dzēsīs tos, kad pienākums beigsies. Rezerves kopijām, kas gaida plānoto derīguma beigšanos, jāpaliek aizsargātām un nepieejamām parastai lietošanai. Pēc pieprasījuma OrsunPay sniegs izpildes apstiprinājumu.
9. Informācija un auditi
OrsunPay nodrošinās informāciju, kas nepieciešama apstrādātāja pienākumu izpildes pierādīšanai, un atļaus un atbalstīs auditus, tostarp Klienta vai tā pilnvarotā auditora pārbaudes. Puses saskaņos saprātīgu iepriekšēju paziņojumu, konfidencialitāti un citu klientu informācijas aizsardzības pasākumus. Praktiskā kārtība nedrīkst kavēt likuma vai kompetentas iestādes prasītu auditu.
10. Līguma pabeigšana
Pirms noslēgšanas pusēm jāaizpilda konkrētā pakalpojuma datu kategorijas, apstrādes vietas, apstiprinātie apakšapstrādātāji, nosūtīšanas dokumenti, drošības pasākumi, glabāšanas un atgriešanas kārtība, paziņojumu kontakti un piegādātāju maiņas procedūra. Atbildības un piemērojamā likuma noteikumi seko noslēgtajam pakalpojuma līgumam likumīgi pieļaujamajā apjomā; nekas šeit neatņem personas likumiskās tiesības. Jautājumus par līgumu un datu apstrādes līgumu var iesniegt, izmantojot Kontakti.