Ariveno datu apstrādes līgums

Lejupielādēt nemainīgo Markdown avotu.

Versija: 2026-09-07-beta.10 Spēkā stāšanās: no brīža, kad pienācīgi identificēts un pārstāvēts Pārzinis elektroniski pieņem šo versiju Apstrādātājs: Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, NIP 7321779060, REGON 101551294 Kontaktinformācija: privacy@ariveno.com

Šis tulkojums latviešu valodā ir sniegts informatīvi. Dokumenta saistošais teksts ir tās pašas versijas (2026-09-07-beta.10) oriģināls poļu valodā, kas pieejams vietnē https://ariveno.pl/legal/dpa.

1. Puses un Līguma noslēgšana

1. Līgums tiek noslēgts starp:
   1. uzņēmēju vai organizāciju, kas Ariveno kontā identificēta ar firmu/nosaukumu, adresi, NIP vai citu identifikatoru — turpmāk Pārzinis;
   2. Brillnet Piotr Adamski — turpmāk Apstrādātājs.
2. Persona, kas pieņem Līgumu Pārziņa vārdā, apliecina, ka ir pilnvarota to noslēgt.
3. Apstrādātājs reģistrē vismaz konta identitāti, organizāciju, pārstāvības datus, versiju, UTC laiku, pilnvarojuma apliecinājuma avotu un saturu.
4. Ja Pārziņa dati tiek papildināti pēc reģistrācijas, Līgums stājas spēkā tikai tad, kad šie dati ir sasaistīti ar organizāciju un piekrišanu Līgumam. Līdz tam Pārzinim nevajadzētu ievadīt Salona klientu personas datus.
5. Līgums ir daļa no Ariveno nodrošināšanas līguma un ir līgums VDAR 28. panta 3. punkta izpratnē.

2. Definīcijas

1. VDAR — Regula (ES) 2016/679.
2. Uzticētie dati — personas dati, kurus Apstrādātājs apstrādā Pārziņa vārdā Ariveno.
3. Terminiem apstrāde, personas dati, personas datu aizsardzības pārkāpums, uzraudzības iestāde un datu subjekts ir VDAR noteiktā nozīme.
4. Apakšapstrādātājs — cits apstrādātājs, kuru Apstrādātājs piesaista Uzticēto datu apstrādei.
5. Pakalpojums — Ariveno, uz kuru attiecas Pakalpojuma noteikumi.
6. Norādījums — dokumentēts Pārziņa norādījums, kas izriet no Līguma, konfigurācijas, funkcijas izmantošanas, atbalsta pieprasījuma vai cita reģistrēta kanāla.

3. Priekšmets, ilgums, raksturs un nolūks

1. Priekšmets ir Uzticēto datu apstrāde, lai nodrošinātu, aizsargātu, uzturētu un atbalstītu Ariveno.
2. Apstrāde ilgst no Līguma spēkā esošas noslēgšanas līdz Uzticēto datu dzēšanai vai atdošanai pēc Pakalpojuma beigām, ņemot vērā tehniskās kopijas un juridiskos pienākumus.
3. Darbību raksturs ietver vākšanu, reģistrēšanu, organizēšanu, glabāšanu, izgūšanu, izmantošanu, saskaņošanu, nosūtīšanu saskaņā ar Norādījumiem, ierobežošanu, eksportu, anonimizāciju un dzēšanu.
4. Nolūki ietver:
   1. rezervācijas, grafikus, apmeklējumus un gaidīšanas sarakstu;
   2. komandas, pakalpojumu, resursu un posmu pārvaldību;
   3. darījumu e-pasta ziņojumus un izvēles SMS;
   4. pārskatus, eksportus, privātas ICS plūsmas un atbalstu;
   5. datu subjektu tiesību īstenošanu, auditu un drošību;
   6. rezerves kopijas, darbības nepārtrauktību un dzēšanu pēc izbeigšanas.
5. Apstrādātājs neizmanto Uzticētos datus savam mārketingam, datu pārdošanai, reklāmas profilēšanai vai mākslīgā intelekta modeļu apmācībai.

4. Datu subjektu un datu kategorijas

1. Datu subjektu kategorijas:
   1. Salona klienti, personas, kas veic rezervācijas, un personas, kas apmeklē salonu;
   2. Pārziņa darbinieki un sadarbības partneri;
   3. Pārziņa kontaktpersonas un pārstāvji;
   4. personas, kas norādītas rezervāciju datos vai darījumu saziņā.
2. Datu kategorijas:
   1. identifikācijas un kontaktinformācija, piemēram, vārds, uzvārds, tālruņa numurs un e-pasts;
   2. rezervāciju un apmeklējumu dati, piemēram, datums un laiks, pakalpojums, resurss, apkalpojošais darbinieks un statuss;
   3. komandas organizatoriskie dati, grafiks, atļaujas un atrašanās vieta;
   4. darījumu saziņas vēsture un piegādes metadati;
   5. preferences, piekrišanas un ierobežotas piezīmes par pakalpojuma organizēšanu;
   6. identifikatori, audita notikumi un tehniskie drošības metadati;
   7. Pārziņa atļautajā apjomā iesniegtie faili un fotogrāfijas.
3. Pārzinis neuztic veselības datus vai citas īpašas datu kategorijas saskaņā ar VDAR 9. pantu, datus par sodāmību saskaņā ar 10. pantu vai datus, kam nepieciešamas funkcijas, kuras Ariveno nenodrošina.
4. Ja Pārzinis plāno mainīt datu kategorijas vai nolūkus, tam vispirms jāsaņem Apstrādātāja rakstisks apstiprinājums un jānodrošina atbilstība likumam.

5. Norādījumi un likumība

1. Apstrādātājs apstrādā Uzticētos datus tikai saskaņā ar dokumentētiem Pārziņa Norādījumiem, tostarp attiecībā uz nosūtīšanu ārpus EEZ, ja vien Savienības vai dalībvalsts tiesību akti neprasa citādi.
2. Ja likums prasa apstrādi bez Norādījuma, Apstrādātājs informē Pārzini pirms tās sākšanas, ja vien likums to neaizliedz svarīgu sabiedrības interešu dēļ.
3. Pakalpojuma noteikumi, Pakalpojuma konfigurācija, pilnvaroto Lietotāju darbības un Pārziņa pieprasījumi veido pilnu sākotnējo Norādījumu kopumu.
4. Pārzinis atbild par Norādījumu likumību, tiesiskajiem pamatiem, pārredzamību attiecībā pret datu subjektiem, datu precizitāti un Lietotāju piekļuves apjomu.
5. Apstrādātājs nekavējoties informē Pārzini, ja tā ieskatā Norādījums pārkāpj VDAR vai citus datu aizsardzības noteikumus. Tas var apturēt izpildi līdz jautājuma noskaidrošanai.
6. Papildu Norādījumam, kas pārsniedz standarta Pakalpojumu, var būt nepieciešama vienošanās par izmaksām un termiņiem, ciktāl tas neierobežo Apstrādātāja likumā noteiktos pienākumus.

6. Konfidencialitāte un pilnvarojumi

1. Apstrādātājs piešķir piekļuvi Uzticētajiem datiem tikai personām, kurām tā ir nepieciešama.
2. Šīm personām ir likumā vai līgumā noteikts konfidencialitātes pienākums, tās ir apmācītas drošības jautājumos un uz tām attiecas piekļuves kontrole.
3. Administratīvā piekļuve tiek piešķirta pēc minimālo privilēģiju principa, reģistrēta žurnālos un periodiski pārskatīta.
4. Konfidencialitātes pienākums turpinās pēc sadarbības beigām.

7. Tehniskie un organizatoriskie pasākumi

1. Apstrādātājs īsteno VDAR 32. pantā paredzētos pasākumus, kas atbilst riskam, tehnikas attīstības līmenim, izmaksām un apstrādes raksturam.
2. Pašreizējais minimālais kopums ir aprakstīts B pielikumā. Apstrādātājs var mainīt pasākumus, ja netiek pazemināts kopējais aizsardzības līmenis.
3. Pārzinis atbild par savu Lietotāju, ierīču, pastkastīšu, SMSAPI, eksportu un integrācijas kanālu drošu konfigurāciju.

8. Palīdzība Pārzinim

1. Ņemot vērā apstrādes raksturu, Apstrādātājs ar piemērotiem tehniskiem un organizatoriskiem pasākumiem palīdz Pārzinim īstenot datu subjektu tiesības, jo īpaši piekļuvi, labošanu, dzēšanu, ierobežošanu un pārnesamību.
2. Tieši no datu subjekta saņemtu pieprasījumu par Uzticētajiem datiem Apstrādātājs pārsūta Pārzinim, patstāvīgi nepieņemot par to lēmumu, ja vien likums neprasa citādi.
3. Apstrādātājs palīdz Pārzinim izpildīt VDAR 32–36. pantā noteiktos pienākumus, tostarp attiecībā uz:
   1. riska un drošības novērtējumu;
   2. pārkāpumiem un paziņojumiem;
   3. novērtējumiem par ietekmi uz datu aizsardzību;
   4. iepriekšējām konsultācijām ar iestādi.
4. Standarta palīdzība tiek sniegta ar Pakalpojuma funkcijām un dokumentāciju. Nestandarta darbi var būt par maksu saskaņā ar iepriekš saskaņotiem nosacījumiem, ja vien palīdzības nepieciešamība neizriet no Apstrādātāja Līguma pārkāpuma.

9. Personas datu aizsardzības pārkāpumi

1. Apstrādātājs bez nepamatotas kavēšanās paziņo Pārzinim pēc tam, kad ir uzzinājis par pārkāpumu saistībā ar Uzticētajiem datiem.
2. Operatīvais mērķis ir pirmais paziņojums 24 stundu laikā pēc notikuma apstiprināšanas vai pamatotas kvalificēšanas par pārkāpumu. Ja būtisks risks pastāv agrāk, Apstrādātājs sniedz sākotnēju brīdinājumu, negaidot pilnīgu apstiprinājumu.
3. Pieejamās informācijas apjomā paziņojumā iekļauj:
   1. pārkāpuma raksturu, skartās sistēmas un aptuvenās datu subjektu un ierakstu kategorijas un skaitu;
   2. iespējamās sekas;
   3. veiktos vai ierosinātos pasākumus;
   4. kontaktpunktu;
   5. informāciju, kas Pārzinim nepieciešama, lai novērtētu savus pienākumus saskaņā ar VDAR 33. un 34. pantu.
4. Informāciju var sniegt pa posmiem.
5. Paziņojums nav vainas vai atbildības atzīšana.
6. Apstrādātājs dokumentē pārkāpumu un sadarbojas tā seku mazināšanā. Pārzinis atbild par paziņošanu iestādei un datu subjektiem, ja šāds pienākums pastāv.

10. Apakšapstrādātāji

1. Pārzinis dod vispārēju atļauju izmantot pašreizējā Apakšapstrādātāju sarakstā norādītās vienības.
2. Apstrādātājs paziņo par nodomu pievienot vai aizstāt tiešo Apakšapstrādātāju vismaz 30 dienas iepriekš, izmantojot e-pastu vai Paneli.
3. Šajā laikā Pārzinis var iesniegt pamatotu iebildumu saistībā ar datu aizsardzību uz privacy@ariveno.com.
4. Puses labā ticībā meklē risinājumu, piemēram, konfigurācijas maiņu. Ja risinājums nav saprātīgi iespējams, Pārzinis var izbeigt izmaiņu skarto Pakalpojuma daļu, pirms jaunais Apakšapstrādātājs sāk darbību.
5. Apstrādātājs noslēdz ar Apakšapstrādātāju līgumu, kas uzliek būtībā tādus pašus datu aizsardzības pienākumus, jo īpaši atbilstošas garantijas.
6. Apstrādātājs saglabā atbildību pret Pārzini par tiešā Apakšapstrādātāja datu aizsardzības pienākumu izpildi VDAR 28. panta 4. punktā prasītajā apjomā.
7. Saraksts nošķir tiešos Apakšapstrādātājus no pakalpojumu sniedzējiem, kas darbojas kā atsevišķi pārziņi, vai vienībām, ko Pārzinis izvēlas tieši.

11. Nosūtīšana ārpus EEZ

1. Apstrādātājs izmanto primāros resursus, kas konfigurēti ES jurisdikcijai, taču globālais atbalsts, tīkls un e-pasta sūtīšana ārkārtas režīmā var izraisīt nosūtīšanu ārpus EEZ.
2. Šāda nosūtīšana notiek pēc Pārziņa Norādījuma, kas izteikts ar Līguma noslēgšanu un attiecīgās funkcijas aktivizēšanu, un piemērojot atbilstošu mehānismu saskaņā ar VDAR V nodaļu.
3. Atkarībā no saņēmēja mehānisms var būt lēmums par aizsardzības līmeņa pietiekamību, ES–ASV datu privātuma regulējums (Data Privacy Framework) vai standarta līguma klauzulas kopā ar papildu pasākumiem.
4. Pēc pamatota pieprasījuma Apstrādātājs sniedz informāciju par mehānismu, nosūtīšanas novērtējumu un papildu pasākumiem, aizsargājot noslēpumus un drošību.
5. Ja Pārzinis aizliedz nosūtīšanu, kas nepieciešama konkrētai funkcijai, Apstrādātājs atspējo šo funkciju vai, ja tas nav iespējams, puses vienojas par Pakalpojuma izbeigšanu.

12. Auditi un atbilstības informācija

1. Apstrādātājs dara pieejamu informāciju, kas nepieciešama, lai pierādītu atbilstību VDAR 28. pantam, tostarp šo Līgumu, Apakšapstrādātāju sarakstu, pasākumu aprakstu un saprātīgi pieejamus kontroļu pierādījumus.
2. Pārzinis vispirms izvērtē sniegtos dokumentus un atbildes.
3. Ja tie nav pietiekami, Pārzinis var veikt auditu pats vai ar neatkarīga auditora palīdzību:
   1. ne biežāk kā reizi gadā, ja vien nav noticis pārkāpums, būtiskas riska izmaiņas vai iestādes pieprasījums;
   2. paziņojot vismaz 30 dienas iepriekš, ja vien steidzamība neizriet no pārkāpuma vai iestādes;
   3. Darbdienās, nepamatoti netraucējot Pakalpojumu;
   4. saglabājot konfidencialitāti un bez piekļuves citu Klientu datiem vai noslēpumiem, kas nav nepieciešami.
4. Pārzinis sedz saprātīgas audita un tā nodrošināšanas izmaksas, ja vien audits neatklāj būtisku Apstrādātāja Līguma pārkāpumu.
5. Apstrādātājs sadarbojas ar kompetento uzraudzības iestādi saskaņā ar likumu.

13. Glabāšana, atdošana un dzēšana

1. Līguma darbības laikā Pārzinis nosaka Salona klientu datu glabāšanas laiku 30–3650 dienu diapazonā; noklusējuma vērtība ir 180 dienas no pēdējā pabeigtā apmeklējuma. Panelī norādītā aktīvā vērtība ir konkrētajam Pārzinim spēkā esošā konfigurācija un var atšķirties no noklusējuma vērtības.
2. Pārzinis var eksportēt Uzticētos datus līguma darbības laikā un 30 dienas ar tikai lasīšanas piekļuvi pēc tā izbeigšanas.
3. Pēc izbeigšanas Pārzinis var izvēlēties atdošanu ar eksportu un dzēšanu vai tikai dzēšanu. Ja netiek dots cits Norādījums, Apstrādātājs nodrošina standarta eksportu 30 dienas un pēc tam dzēš datus.
4. Operatīvie dati un organizācijas resursi tiek dzēsti ne vēlāk kā pēc 90 dienām. D1 Time Travel var nodrošināt tehnisku atjaunošanu līdz 30 dienām, un R2 kopijas rotē līdz 35 dienām. Slēgtu rezerves kopiju dati netiek atjaunoti parastai lietošanai un tiek dzēsti rotācijas ciklā.
5. Apstrādātājs var saglabāt datus, kuru glabāšanu prasa likums, tikai nepieciešamajā apjomā, ierobežojot apstrādi un informējot Pārzini, ja tas ir atļauts.
6. Aktīva dzēšanas apturēšana juridisku vai drošības iemeslu dēļ prasa dokumentētu pamatojumu un pārskatīšanas datumu.
7. Pēc pieprasījuma Apstrādātājs apstiprina dzēšanas pabeigšanu.

14. Atbildība

1. Pušu atbildību saskaņā ar VDAR regulē jo īpaši VDAR 82. pants un imperatīvās tiesību normas.
2. Pušu līgumiskajās attiecībās piemēro Pakalpojuma noteikumos paredzētos ierobežojumus, ciktāl likums pieļauj to piemērošanu attiecīgajam pienākumam.
3. Katra puse atbild par saviem Norādījumiem, lēmumiem, pārkāpumiem un likumā noteikto pienākumu apjomu.

15. Darbības termiņš un prioritāte

1. Līgums paliek spēkā tik ilgi, kamēr Apstrādātājs apstrādā Uzticētos datus.
2. Konfidencialitātes, audita, atbildības un dzēšanas noteikumi pēc izbeigšanas paliek spēkā nepieciešamajā apjomā.
3. Pretrunu gadījumā datu apstrādes jautājumos Līgumam ir prioritāte pār Pakalpojuma noteikumiem.
4. Izmaiņām, kas būtiski ietekmē Pārziņa tiesības, nepieciešams paziņojums un, ja vajadzīgs, atkārtota pieņemšana.
5. Līgumam piemēro Polijas tiesības, neskarot tieši piemērojamās Savienības tiesības.

A pielikums — Apstrādes informācija

B pielikums — Tehniskie un organizatoriskie pasākumi

1. Arhitektūra un izolācija

1. Viena privāta D1 datubāze un viens privāts R2 resurss katrai organizācijai, kā arī rezervāciju koordinēšana ar Durable Objects.
2. ES jurisdikcijai konfigurēti operatīvie resursi.
3. Organizāciju loģiska izolācija un skaidri noteiktas resursu piesaistes.
4. Ražošanas un testēšanas vides nodalīšana ar atsevišķām zonām, marķieriem, prefiksiem, piesaistēm un izvietošanas aizsardzības pasākumiem. Netiek deklarēts atsevišķs Cloudflare konts katrai videi.

2. Piekļuves kontrole

1. Individuāli konti, autentifikācija un lomas.
2. Minimālo privilēģiju princips un nevajadzīgas piekļuves atsaukšana.
3. Būtisku administratīvo darbību reģistrēšana žurnālos.
4. Noslēpumi tiek glabāti ārpus koda un netiek rādīti Lietotājiem.

3. Šifrēšana un pārraide

1. TLS pārraidei.
2. Pakalpojumu sniedzēja pārvaldīto resursu šifrēšana glabāšanas laikā saskaņā ar tā standartu.
3. Īslaicīgi marķieri eksportiem; marķieris netiek ievietots URL.
4. Privāti failu resursi un objektu piekļuves kontrole.

4. Minimizācija

1. Rindas un asinhroni ziņojumi bez PII satura — tie izmanto organizācijas, uzdevuma, ieraksta, idempotences un mēģinājuma identifikatorus.
2. Ariveno konfigurētajos ziņojumos nav izsekošanas pikseļu.
3. Klientu, apmeklējumu un grafiku dati netiek pastāvīgi glabāti pārlūka krātuvē bezsaistes vajadzībām.
4. Uzticētajiem datiem netiek izmantoti reklāmas pakalpojumu sniedzēji, sesiju ierakstīšana vai mākslīgā intelekta pakalpojumu sniedzēji.

5. Žurnālfaili un audits

1. Salona darbību audits D1 24 mēnešus.
2. Workers žurnālfaili līdz 7 dienām.
3. Žurnālfaili, kas pārsūtīti uz ES konfigurētu privātu R2, līdz 90 dienām.
4. Korelācijas identifikatori, brīdinājumi un notikumu analīzes procedūra.

6. Pieejamība un atjaunošana

1. Pieejamības mērķis 99,5 % mēnesī.
2. RPO līdz 24 stundām un RTO mērķis līdz 8 stundām.
3. D1 Time Travel līdz 30 dienām un R2 rezerves kopiju rotācija līdz 35 dienām.
4. Atjaunošanas testi un darbības nepārtrauktības procedūras.
5. Primārās rezerves kopijas paliek pie tā paša pakalpojumu sniedzēja un netiek pasniegtas kā pilnīga avārijatjaunošana atsevišķā kontā.

7. Droša izstrāde un izmaiņu pārvaldība

1. Izmaiņu pārskatīšana, kontrolēta izvietošana un aizsardzība pret vides sajaukšanu.
2. Funkcionālie, privātuma un izolācijas testi.
3. Atkarību atjaunināšana un riskam atbilstoša reaģēšana uz ievainojamībām.
4. Incidentu procedūras un kontaktadrese security@ariveno.com.

8. Dzēšana un datu subjektu tiesības

1. Konfigurējams glabāšanas laiks un dzēšanas uzdevumi.
2. Privātuma centrs, kas nodrošina piekļuvi, labošanu, ierobežošanu, dzēšanu un pārnesamību.
3. Neatgriezeniska anonimizācija, ja ir lietderīgi pilnībā noņemt identifikatorus, saglabājot statistisko konsekvenci.
4. Izpildes statuss un pierādījums, neglabājot visu pieprasījuma saturu, ja tas nav nepieciešams.