Šo datu apstrādes līgumu ("Līgums") noslēdz Klients (pārzinis — uzņēmuma nosaukums un CVR tiek norādīti reģistrējoties) un WEAKESTLINK ApS (CVR 46614011), kas uztur weakestlink ("Pakalpojuma sniedzējs", apstrādātājs). Līgums tiek akceptēts elektroniski, reģistrējot kontu, un tas regulē to, kā Pakalpojuma sniedzējs Klienta vārdā apstrādā personas datus saistībā ar drošības apmācībām un phishing simulācijām. Jautājumos par datu apstrādi šim Līgumam ir prioritāte pār lietošanas noteikumiem; visos pārējos jautājumos piemērojami lietošanas noteikumi.

1. Priekšmets un instrukcijas

Pakalpojuma sniedzējs apstrādā personas datus tikai saskaņā ar Klienta dokumentēto instrukciju — šo Līgumu ar pielikumiem un pakalpojuma pastāvīgo lietošanu (A pielikums) — ja vien ES tiesības vai Dānijas tiesības neprasa citādi; tādā gadījumā Pakalpojuma sniedzējs pirms apstrādes informē Klientu par šo prasību, ja vien likums to neaizliedz. Instrukcija ietver arī to, ka Pakalpojuma sniedzējs drīkst sagatavot statistiku anonimizētā un apkopotā veidā, kā aprakstīts lietošanas noteikumos; pēc anonimizācijas dati vairs nav uzskatāmi par personas datiem. Pakalpojuma sniedzējs informē Klientu, ja, pēc Pakalpojuma sniedzēja ieskata, kāda instrukcija ir pretrunā ar datu aizsardzības noteikumiem, un nenodod datus uz trešajām valstīm papildus B pielikumā minētajām bez derīga nodošanas pamata.

2. Konfidencialitāte

Pakalpojuma sniedzējs nodrošina, ka personas, kurām atļauts apstrādāt datus, ir apņēmušās ievērot konfidencialitāti vai uz tām attiecas atbilstošs likumā noteikts konfidencialitātes pienākums.

3. Drošība (32. pants)

Pakalpojuma sniedzējs īsteno atbilstošus tehniskos un organizatoriskos pasākumus (C pielikums). Viens no pamatprincipiem ir datu minimizēšana: phishing simulācijās tiek reģistrēts tikai fakts, ka notikums noticis (atvērts/noklikšķināts/ievadīts dati), kā arī lauku nosaukumi — nekad vērtības, ko darbinieks ievada.

4. Apakšapstrādātāji

Klients sniedz vispārīgu iepriekšēju atļauju B pielikumā minētajiem apakšapstrādātājiem. Pakalpojuma sniedzējs uzliek katram apakšapstrādātājam tādas pašas datu aizsardzības saistības, kādas noteiktas šajā Līgumā, un par plānotajām izmaiņām paziņo pa e-pastu vismaz 30 dienas iepriekš, lai Klients varētu izteikt iebildumus. Ja iebildumu nevar atrisināt ar saprātīgu risinājumu, Klients var izbeigt klienta attiecības ar spēkā stāšanos no izmaiņu spēkā stāšanās brīža. Pakalpojuma sniedzējs saglabā pilnu atbildību par apakšapstrādātāju atbilstību.

5. Palīdzība Klientam

Pakalpojuma sniedzējs, ņemot vērā apstrādes raksturu un izmantojot atbilstošus tehniskos un organizatoriskos pasākumus, palīdz Klientam atbildēt uz pieprasījumiem par datu subjektu tiesībām (12.–23. pants) un pildīt Klienta pienākumus saskaņā ar 32.–36. pantu (drošība, personas datu aizsardzības pārkāpumu paziņošana, ietekmes novērtējums un iepriekšēja apspriešanās). Pakalpojumā ir iekļauts gatavs interešu līdzsvara izvērtējums un pārskatāmības teksts darbiniekiem, ko Klients var izmantot tieši. Palīdzība, kas būtiski pārsniedz pakalpojuma parasto apjomu, var tikt piestādīta rēķinā par patērēto laiku pēc saprātīga tarifa.

6. Personas datu aizsardzības pārkāpumi

Pakalpojuma sniedzējs bez nepamatotas kavēšanās un ne vēlāk kā 48 stundu laikā pēc uzzināšanas par pārkāpumu, kas skar Klienta datus, informē Klientu — norādot pārkāpuma raksturu, skartās kategorijas un aptuveno datu subjektu skaitu, iespējamās sekas, kā arī veiktos vai ierosinātos pasākumus. Novērtējums par to, vai pārkāpums jāpaziņo Datatilsynet (72 stundu termiņš), ir Klienta kā pārziņa pienākums.

7. Dzēšana un atgriešana

Pēc Līguma izbeigšanas Pakalpojumu sniedzējs pēc Klienta izvēles dzēš vai atdod visus personas datus. Dati tiek atdoti strukturēta, plaši izmantota un mašīnlasāma eksporta veidā (piemēram, CSV). Ja Klients līdz līguma izbeigšanai nav paziņojis savu izvēli, dati tiek dzēsti. Ja līgumu izbeidz Klients, personas dati tiek dzēsti 30 dienas pēc izbeigšanas vai nekavējoties, ja Klients to lūdz; līdz tam Klients var atsaukt izbeigšanu un lejupielādēt eksportu. Dzēšana jebkurā gadījumā tiek veikta ne vēlāk kā 90 dienas pēc līguma izbeigšanas un ir neatgriezeniska; ja klienta attiecības tiek izbeigtas tāpēc, ka konts ir bijis ierobežotā režīmā (skatīt tirdzniecības noteikumu 4. sadaļu), par dzēšanu tiek paziņots pa e-pastu vismaz 30 dienas iepriekš, un līdz dzēšanai Klients var izvēlēties datu atdošanu. Personas dati rezerves kopijās tiek dzēsti to kārtējās rotācijas gaitā, ne vēlāk kā 90 dienas pēc dzēšanas ražošanas vidē. Dati, kuru glabāšanu pieprasa tiesību akti (piemēram, grāmatvedības dokumenti), tiek glabāti tikai tik ilgi, kamēr pastāv šis pienākums.

8. Revīzija un uzraudzība

Pakalpojuma sniedzējs dara Klientam pieejamu visu informāciju, kas nepieciešama, lai pierādītu atbilstību 28. pantam, un ļauj un sniedz atbalstu revīzijām, tostarp pārbaudēm, ko veic Klients vai Klienta pilnvarots revidents. Aktuāli drošības apraksti un ziņojumi var aizstāt klātienes pārbaudi, ja tas ir saprātīgi. Klātienes revīzija tiek veikta ar saprātīgu iepriekšēju paziņojumu, ne biežāk kā vienu reizi gadā — ja vien pārkāpums vai iestādes pieprasījums nedod konkrētu pamatu citādi — un par Klienta līdzekļiem.

9. Termiņš un izbeigšana

Līgums ir spēkā, kamēr Pakalpojuma sniedzējs apstrādā personas datus Klienta vārdā, un tas automātiski izbeidzas, kad izbeidzas klienta attiecības — arī tad, ja klienta attiecības tiek uzskatītas par izbeigtām pēc ilgstošas atrašanās ierobežotā statusā saskaņā ar lietošanas noteikumiem — pēc tam piemērojama 7. sadaļa.

10. Atbildība un piemērojamie tiesību akti

Attiecībā pret datu subjektiem pušu atbildību nosaka Vispārīgās datu aizsardzības regulas 82. pants. Pušu savstarpējās attiecībās piemēro lietošanas noteikumu atbildības regulējumu, ciktāl to pieļauj piemērojamie tiesību akti. Līgumam piemērojamas Dānijas tiesības, un jurisdikcija ir noteikta tāpat kā lietošanas noteikumos.

A pielikums — apstrādes raksturs

B pielikums — apakšapstrādātāji

Hostings notiek Pakalpojuma sniedzēja pašu infrastruktūrā Dānijā. Simulācijas e-pasti tiek nosūtīti no Pakalpojuma sniedzēja pašu sistēmām, neizmantojot papildu apakšapstrādātājus.

Precizējumam: AI ģenerētais apmācības un simulācijas saturs tiek veidots, neizmantojot personas datus — tāpēc AI pakalpojuma sniedzējs nav uzskatāms par apakšapstrādātāju. Maksājumu apstrādi veic QuickPay un Clearhaus kā patstāvīgi pārziņi (maksājumu vārteja un karšu maksājumu pieņēmējs), un tas ir aprakstīts privātuma politikā.

Pielikums C — Tehniskie un organizatoriskie drošības pasākumi (32. pants)

• Nodalīšana pa klientiem (multi-tenancy): stingra lietotāju (tenant) izolācija lietojumprogrammas līmenī; viena klienta dati nav pieejami citiem klientiem.
• Piekļuves kontrole: lomām balstīta piekļuve (RBAC) pēc minimālo tiesību principa; individuāli konti; kopīgi pieteikšanās dati netiek izmantoti.
• Šifrēšana: TLS datu pārraidē; rezerves kopiju šifrēšana.
• Datu minimizēšana: simulācijas saglabā tikai notikumu un lauku nosaukumus, nekad ievadītās vērtības; pārskati ir apkopoti (minimālais grupas lielums, k ≥ 5), un individuālie rezultāti ir ierobežoti pēc lomas (tikai administrators; vadītāji tikai pēc Klienta izvēles).
• Žurnalēšana un audits: notikumu žurnāls drošībai nozīmīgām darbībām; append-only audita pieraksts.
• Drošības galvenes/CSP: stingra Content-Security-Policy un citas drošības galvenes visās lapās.
• Ārkārtas rīcības plāns: pārkāpumu procedūra ar paziņošanu Klientam 48 stundu laikā (6. sadaļa).
• Dzēšana: automatizēts process pēc līguma izbeigšanas — ja līgumu izbeidz Klients, dati tiek dzēsti 30 dienas pēc izbeigšanas (vai nekavējoties pēc pieprasījuma); pēc ierobežotā režīma — paziņojums pēc 60 dienām un dzēšana pēc 90 dienām, nekad bez vismaz 30 dienu iepriekšēja paziņojuma; pārējos gadījumos dzēšana vai atdošana ne vēlāk kā 90 dienas pēc līguma izbeigšanas (7. sadaļa).

Ja jums nepieciešama parakstīta versija jūsu paša arhīvam, rakstiet uz info@weakestlink.io.