Šie noteikumi ir Lietošanas noteikumu neatņemama sastāvdaļa un līgums par personas datu apstrādi Vispārīgās datu aizsardzības regulas (ES) 2016/679 („VDAR”) 28. panta 3. punkta izpratnē starp:
- Organizāciju, kas lieto Billy (uzņēmums, saimnieciskās darbības veicējs vai cita persona, kuras uzskaitei Billy izveidota organizācija), — pārzini, un
- SIA „Billy”, reģistrācijas Nr. 40203676674, Ulbrokas iela 23, Rīga, LV-1021 („Billy”), — apstrādātāju.
Termini lietoti VDAR un Lietošanas noteikumu nozīmē. Ja šie noteikumi ir pretrunā ar Lietošanas noteikumiem attiecībā uz personas datu apstrādi, noteicoši ir šie noteikumi.
1. Apstrādes priekšmets, ilgums, raksturs un mērķis
1.1. Priekšmets: personas dati Klienta datos, ko Organizācija vai tās Lietotāji ievada, augšupielādē, importē vai saņem Billy, vai ko Billy rada no tiem Organizācijas uzdevumā.
1.2. Ilgums: līguma darbības laiks un 3.9. punktā noteiktais laiks pēc tā izbeigšanas.
1.3. Raksturs: glabāšana, strukturēšana, attēlošana, meklēšana, salīdzināšana (piemēram, bankas maksājumu sasaiste ar rēķiniem), dokumentu teksta nolasīšana, arī ar mākslīgo intelektu, dokumentu un pārskatu sagatavošana, nosūtīšana pa e-pastu Organizācijas uzdevumā, nodošana sistēmām, ko Organizācija pieslēdz, eksports un dzēšana.
1.4. Mērķis: Billy pakalpojuma sniegšana Organizācijai saskaņā ar Lietošanas noteikumiem, tā uzturēšana, aizsardzība un atbalsts.
2. Datu subjektu kategorijas un datu veidi
| Datu subjekti | Datu veidi (piemēri) |
|---|---|
| Organizācijas klienti, piegādātāji un to kontaktpersonas | Vārds, uzvārds, amats, e-pasts, tālrunis, adrese, bankas konts, saimnieciskās darbības veicēja reģistrācijas vai PVN numurs, rēķinu, līgumu, maksājumu un sarakstes dati |
| Organizācijas darbinieki, šoferi un citi Lietotāji | Vārds, uzvārds, transportlīdzekļa un degvielas kartes dati, braucienu laiki, maršruti un adreses, odometra rādījumi un to fotoattēli, degvielas pirkumi, darba uzdevumi |
| Personas, kas sūta vēstules uz Organizācijas Billy e-pasta adresi | Vārds, e-pasta adrese, vēstules saturs un pielikumi |
| Citas personas, kuru dati ir Organizācijas augšupielādētajos dokumentos | Dati, kas ir attiecīgajos dokumentos (rēķinos, čekos, bankas izrakstos) |
2.1. Organizācija neievada Billy īpašu kategoriju personas datus (VDAR 9. pants) un datus par sodāmību (VDAR 10. pants), izņemot gadījumus, kad tas nejauši ir neizbēgami dokumentā, kas Organizācijai jāuzskaita.
3. Billy kā apstrādātāja pienākumi
3.1. Norādījumi. Billy apstrādā personas datus tikai saskaņā ar Organizācijas dokumentētiem norādījumiem. Par norādījumiem uzskatāmi Lietošanas noteikumi, šie noteikumi un Organizācijas un tās Lietotāju darbības Billy (piemēram, rēķina nosūtīšana, sistēmas pieslēgšana, datu dzēšana). Billy datus nenodod uz trešo valsti, ja vien tas nav paredzēts šajos noteikumos vai to neprasa ES vai Latvijas tiesību akti; tādā gadījumā Billy iepriekš informē Organizāciju, ja vien tiesību akti to neaizliedz. Ja Billy uzskata, ka norādījums pārkāpj VDAR vai citus datu aizsardzības tiesību aktus, tas nekavējoties informē Organizāciju.
3.2. Konfidencialitāte. Billy nodrošina, ka personas, kas ir pilnvarotas apstrādāt personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir likumā noteikts konfidencialitātes pienākums, un piekļūst datiem tikai tad un tik daudz, cik vajadzīgs pakalpojuma sniegšanai, atbalstam vai drošībai.
3.3. Drošība. Billy īsteno VDAR 32. pantā prasītos pasākumus, tostarp tos, kas norādīti 6. sadaļā, un tos regulāri pārskata.
3.4. Apakšapstrādātāji. Organizācija dod vispārēju atļauju piesaistīt 5. sadaļā minētos apakšapstrādātājus. Billy ar katru apakšapstrādātāju noslēdz līgumu, kas uzliek tam tādus pašus datu aizsardzības pienākumus kā šie noteikumi, un atbild Organizācijai par apakšapstrādātāja pienākumu izpildi. Par plānotu apakšapstrādātāja pievienošanu vai nomaiņu Billy paziņo Organizācijai vismaz 30 dienas iepriekš, atjauninot šo sarakstu un nosūtot paziņojumu e-pastā vai Billy programmā. Organizācija var pamatoti iebilst 30 dienu laikā; ja puses nevienojas par risinājumu, Organizācija var izbeigt līgumu un saņemt atpakaļ samaksu par neizmantoto apmaksāto periodu.
3.5. Datu subjektu tiesības. Ņemot vērā apstrādes raksturu, Billy palīdz Organizācijai izpildīt datu subjektu pieprasījumus (VDAR III nodaļa), galvenokārt nodrošinot, ka Organizācija pati var datus atrast, labot, eksportēt un dzēst Billy. Ja Billy saņem pieprasījumu tieši no datu subjekta par Organizācijas datiem, tas bez nepamatotas kavēšanās to pārsūta Organizācijai un pats uz to pēc būtības neatbild, ja vien Organizācija to nav uzdevusi.
3.6. Palīdzība citu pienākumu izpildē. Billy, ņemot vērā tā rīcībā esošo informāciju, palīdz Organizācijai izpildīt VDAR 32.–36. panta pienākumus (drošība, paziņošana par pārkāpumiem, ietekmes novērtējums un iepriekšēja apspriešanās).
3.7. Pārkāpumi. Billy bez nepamatotas kavēšanās, bet ne vēlāk kā 48 stundu laikā pēc tam, kad tam kļuvis zināms personas datu aizsardzības pārkāpums, kas skar Organizācijas datus, paziņo par to Organizācijas Lietotājiem ar īpašnieka vai administratora lomu un sniedz VDAR 33. panta 3. punktā minēto informāciju, ciktāl tā ir pieejama (to var sniegt pa daļām). Billy nekavējoties veic pasākumus pārkāpuma seku mazināšanai. Paziņojums par pārkāpumu nav Billy vainas atzīšana.
3.8. Informācija un revīzijas. Billy pēc pieprasījuma sniedz Organizācijai informāciju, kas vajadzīga, lai pierādītu šo noteikumu izpildi, un ļauj veikt revīzijas, tostarp pārbaudes, ko veic Organizācija vai tās pilnvarots revidents, kuram ir konfidencialitātes pienākums. Revīzija tiek veikta pēc saskaņošanas vismaz 30 dienas iepriekš, darba laikā, ne biežāk kā reizi gadā (izņemot gadījumus, kad to pieprasa uzraudzības iestāde vai noticis pārkāpums) un tā, lai netraucētu pakalpojuma sniegšanu un citu klientu datu drošību. Revīzijas izmaksas sedz Organizācija.
3.9. Datu dzēšana vai atdošana. Organizācija var jebkurā laikā eksportēt datus no Billy. Pēc līguma izbeigšanas vai Organizācijas dzēšanas pieprasījuma Billy 30 dienas glabā datus, lai Organizācija varētu tos eksportēt, un pēc tam tos dzēš, ja vien ES vai Latvijas tiesību akti neprasa tos glabāt. Ja dati ir saglabāti rezerves kopijās, tie tiek dzēsti kopiju kārtējās pārrakstīšanas gaitā un līdz tam netiek izmantoti.
4. Organizācijas kā pārziņa pienākumi
4.1. Organizācija atbild par to, ka personas datu apstrādei Billy ir tiesisks pamats, datu subjekti ir informēti saskaņā ar VDAR 13. un 14. pantu un dati ir precīzi un nepieciešami.
4.2. Organizācija pārvalda savu Lietotāju piekļuvi un lomas, atsauc piekļuvi personām, kurām tā vairs nav vajadzīga, un nodrošina, ka norādījumi Billy atbilst tiesību aktiem.
4.3. Ja Organizācija izmanto funkcijas, kas nosūta datus trešajām personām pēc tās izvēles (rēķinu sūtīšana klientiem, koplietošanas saites, pieslēgtās sistēmas, API un MCP lietotnes), šīs trešās personas nav Billy apakšapstrādātāji, un par datu nodošanu tām atbild Organizācija.
5. Apakšapstrādātāji
| Apakšapstrādātājs | Apstrāde | Datu atrašanās vieta |
|---|---|---|
| Hetzner Online GmbH (Vācija) | Serveri un datubāze | ES |
| Amazon Web Services EMEA SARL (Luksemburga) | E-pasta sūtīšana un saņemšana, rezerves kopijas | ES (Īrija) |
| Cloudflare, Inc. (ASV) | Datu plūsmas piegāde un aizsardzība, šifrēts savienojums | Globāls tīkls, tostarp ārpus EEZ |
| PostHog Inc. (ASV) | Produkta lietojuma analītika un aptaujas programmā | ES |
| Anthropic (ASV) | Augšupielādēto un e-pastā saņemto dokumentu un attēlu nolasīšana ar mākslīgo intelektu; dati netiek izmantoti modeļu apmācībai | ASV |
| Google Ireland Limited (Īrija) | Braucienu attāluma aprēķins (adreses) | ES un ārpus EEZ |
| OpenStreetMap Foundation (Apvienotā Karaliste) un Project OSRM | Adrešu atrašana kartē un maršruta attāluma aprēķins (adreses) | Apvienotā Karaliste un ES |
5.1. Ja apakšapstrādātājs apstrādā datus ārpus Eiropas Ekonomikas zonas, nosūtīšana notiek, pamatojoties uz Eiropas Komisijas lēmumu par aizsardzības līmeņa pietiekamību (piemēram, ES un ASV datu privātuma regulējumu sertificētiem uzņēmumiem vai lēmumu par Apvienoto Karalisti) vai Eiropas Komisijas standarta līguma klauzulām (VDAR 46. panta 2. punkta c) apakšpunkts) ar vajadzīgajiem papildu pasākumiem.
6. Tehniskie un organizatoriskie drošības pasākumi
- Šifrēts savienojums (HTTPS/TLS) visai datu apmaiņai ar Billy.
- Pieslēgšanās bez parolēm (vienreizējs kods e-pastā, Google, Microsoft, Smart-ID vai eParaksts); sesijas sīkdatnes ar
SecureunHttpOnlyatribūtiem. - Katras Organizācijas datu loģiska nošķiršana; piekļuve tikai Organizācijas Lietotājiem atbilstoši to lomām; API un MCP piekļuve ar atsaucamām, Organizācijai piesaistītām atļaujām.
- Darbību žurnāls par izmaiņām Organizācijā un uzņēmumu personu datu skatījumu žurnāls.
- Pieslēgto sistēmu paroļu šifrēšana (AES-256-GCM).
- Datubāzes un failu šifrēšana miera stāvoklī (LUKS2, AES-256); šifrēšanas atslēga netiek glabāta serverī.
- Ikdienas šifrētas rezerves kopijas ES (AWS, Īrija), ko glabā 30 dienas, un ikmēneša kopijas, ko glabā 12 mēnešus; atjaunošana tiek pārbaudīta.
- Piekļuve produkcijas serveriem tikai pilnvarotām personām ar SSH atslēgām; ugunsmūris, kas pieļauj tikai nepieciešamos savienojumus.
- Pieprasījumu skaita ierobežošana un aizsardzība pret automatizētiem uzbrukumiem.
- Pārkāpumu reaģēšanas kārtība (3.7. punkts).
7. Atbildība un spēkā esamība
7.1. Pušu atbildībai piemēro VDAR 82. pantu un Lietošanas noteikumu 13. sadaļu, ciktāl VDAR to pieļauj.
7.2. Šie noteikumi ir spēkā, kamēr Billy apstrādā personas datus Organizācijas uzdevumā. Grozījumus izdara Lietošanas noteikumu 16. sadaļā noteiktajā kārtībā, izņemot apakšapstrādātāju sarakstu, kas tiek grozīts 3.4. punktā noteiktajā kārtībā.
7.3. Ja Organizācijai vajadzīgs parakstīts šo noteikumu eksemplārs, rakstiet uz [email protected].