Datu apstrādes līgums

1. pielikums
GIRAFFE360 DATU APSTRĀDES LĪGUMS (DPA)

1. Pamatinformācija

1. 1.1 Šis Datu apstrādes līgums un tā pielikumi („DPA”) attiecas uz Klientiem, kas darbojas Eiropas Ekonomikas zonas (EEZ) valstīs un Apvienotajā Karalistē (AK), un atspoguļo uzņēmuma Giraffe360 un Klienta vienošanos par Klienta datu apstrādi, ko uzņēmums Giraffe360 kā apstrādātājs veic Klienta vārdā, kurš darbosies kā datu pārzinis.
2. 1.2 Šis DPA ir iekļauts Giraffe360 Pakalpojumu sniegšanas noteikumos, kas noslēgti starp Klientu un uzņēmumu Giraffe360 („Līgums”), un ir to neatņemama daļa. Ja starp kādu no šī DPA noteikumiem un Līguma noteikumiem pastāv pretruna, noteicošie ir šī DPA noteikumi.

2. Definīcijas

Ja vien turpmāk nav noteikts citādi, katram ar lielo burtu rakstītam terminam šajā DPA ir Līgumā noteiktā nozīme, un turpmāk minētie ar lielo burtu rakstītie termini, kas lietoti šajā DPA, ir definēti šādi:

„Klienta dati” nozīmē jebkurus Personas datus, kas ietverti Giraffe360 saturā, un jebkuru citu saturu vai datus, ko Klients dara pieejamus uzņēmumam Giraffe360 un ko uzņēmums Giraffe360 mitina saistībā ar Giraffe360 pakalpojuma sniegšanu, tostarp Īpašuma datus, Klienta profila datus un Klienta klientu datus, kā sīkāk aprakstīts šī DPA 3.1. punktā.

„Pārzinis” nozīmē fizisku vai juridisku personu, publisku iestādi, aģentūru vai citu struktūru, kas viena pati vai kopīgi ar citām nosaka Personas datu Apstrādes nolūkus un līdzekļus. Šā DPA nolūkā Pārzinis ir Klients.

„Datu aizsardzības tiesību akti” nozīmē VDAR, jebkurus valsts īstenošanas vai papildinošos tiesību aktus un jebkurus citus piemērojamos tiesību aktus, kas aizsargā personu pamattiesības un brīvības un to tiesības uz privātumu saistībā ar Klienta datu apstrādi.

„Datu subjekts” nozīmē fizisku personu, uz kuru attiecas Personas dati.

„Eiropas Ekonomikas zona” jeb „EEZ” nozīmē Eiropas Savienības dalībvalstis kopā ar Islandi, Norvēģiju un Lihtenšteinu.

„VDAR” nozīmē Eiropas Parlamenta un Padomes ES Vispārīgo datu aizsardzības regulu 2016/679 un, ja piemērojams, „UK GDPR”, kā definēts The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

„Norādījumi” nozīmē rakstiskus, dokumentētus norādījumus, ko Klients izdod uzņēmumam Giraffe360 un ar kuriem uzņēmumam Giraffe360 tiek uzdots veikt konkrētu vai vispārīgu darbību attiecībā uz Klienta datiem.

„Apakšapstrādātājs” nozīmē jebkuru Apstrādātāju, ko uzņēmums Giraffe360 piesaista un kas Apstrādā Giraffe360 Klienta datus.

„Personas dati” nozīmē jebkuru informāciju, kas attiecas uz identificētu vai identificējamu fizisku personu, kā definēts attiecīgajos Datu aizsardzības tiesību aktos.

„Personas datu aizsardzības pārkāpums” nozīmē nejaušu vai nelikumīgu Klienta datu iznīcināšanu, nozaudēšanu, pārveidošanu, sabojāšanu, neatļautu izpaušanu vai piekļuvi tiem, kā definēts attiecīgajos Datu aizsardzības tiesību aktos.

„Apstrāde” nozīmē jebkuru ar Personas datiem veiktu darbību vai darbību kopumu, kas ietver Personas datu vākšanu, reģistrāciju, organizēšanu, strukturēšanu, glabāšanu, pielāgošanu vai pārveidošanu, atgūšanu, aplūkošanu, izmantošanu, izpaušanu, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošanu vai kombinēšanu, ierobežošanu, dzēšanu vai iznīcināšanu. Termini „Apstrādāt”, „Apstrādā” un „Apstrādāts” tiek interpretēti atbilstoši.

„Apstrādātājs” nozīmē fizisku vai juridisku personu, publisku iestādi, aģentūru vai citu struktūru, kas Pārziņa vārdā Apstrādā Personas datus. Šā DPA nolūkā Apstrādātājs ir uzņēmums Giraffe360.

3. Datu apstrāde

1. 3.1 Uzņēmums Giraffe360 apstrādā šādas Personas datu kategorijas no šādiem Datu subjektiem turpmāk norādītajiem nolūkiem:
1. 1. Īpašuma dati: Tie ietver attēlus, video, punktu mākoņus, virtuālās tūres, stāvu plānus, GPS atrašanās vietas datus, īpašuma prezentācijas mērķlapā sniegto informāciju un citu saistītu informāciju par īpašumu, ko uzņēmis Klients, kas iegūta no Giraffe360 kameras vai ko Klients sniedzis, izmantojot Giraffe360 pakalpojumu. Lai gan šī informācija parasti neidentificē nevienu fizisku personu, retos gadījumos tā var identificēt īpašuma īpašniekus, personas, kuru dati tiek uzņemti Skenējuma laikā, vai Klientu. Klienta pienākums ir nodrošināt, ka Uzņemtie materiāli nesatur nekādu Aizliegto personisko informāciju, kā definēts Pakalpojumu sniegšanas noteikumos. Īpašuma dati tiek apstrādāti, lai izveidotu Giraffe360 saturu.
   2. Klienta profila dati: Tie ietver Personas datus par Klientu, tā pārstāvjiem vai darbiniekiem, piemēram, vārdus, uzvārdus, e-pasta adreses, tālruņa numurus, fotoattēlus, saukļus un hipersaites uz sociālo mediju kontiem, ko Klients sniedz Vadības panelī, izmantojot Giraffe360 pakalpojumu. Šie dati tiek Apstrādāti, lai nodrošinātu: Vadības paneļa profilu izveidi Klientam, tā pārstāvjiem vai darbiniekiem; piekļuvi Giraffe360 saturam Vadības panelī; Giraffe360 satura kopīgošanu, kā arī informācijas sniegšanu par Klientu, tā pārstāvjiem vai darbiniekiem, izmantojot Giraffe360 pakalpojumu.
   3. Klienta klientu dati: Tie ietver Klienta klientu personas datus, piemēram, potenciālo īpašuma pircēju vai īrnieku vārdus, uzvārdus, e-pasta adreses, tālruņa numurus un ziņojumus. Šie dati ir pieejami Klientam Vadības panelī. Tie tiek iegūti, kad Klients iespējo funkcionalitāti Leads, kas ļauj Klienta klientiem atstāt savu kontaktinformāciju, lai Klients varētu ar viņiem sazināties. Klients var atspējot šo funkcionalitāti Vadības panelī.
2. 3.2 Klienta dati tiek nosūtīti nepārtraukti saistībā ar pakalpojumu sniegšanu, kā noteikts Līgumā un šajā DPA, līdz Līguma izbeigšanai.

4. Klienta pienākumi

1. 4.1 Klients ir atbildīgs par visu to prasību ievērošanu, kas saskaņā ar Datu aizsardzības tiesību aktiem attiecas uz Klientu saistībā ar Klienta veikto Personas datu Apstrādi.
2. 4.2 Jo īpaši, bet neierobežojot iepriekš minētā vispārīgumu, Klients atzīst un piekrīt, ka tas ir vienīgais atbildīgais par:
2. 1. Klienta datu precizitāti, kvalitāti un likumību, kā arī līdzekļiem, ar kuriem Klients šādus datus ieguvis;
   2. visu nepieciešamo pārredzamības un likumības prasību ievērošanu saskaņā ar Datu aizsardzības tiesību aktiem attiecībā uz Klienta datu vākšanu un izmantošanu, tostarp atbilstošu paziņojumu sniegšanu, jebkuru nepieciešamo piekrišanu un atļauju saņemšanu un atteikšanās izvēļu ievērošanu (jo īpaši attiecībā uz Klienta veikto izmantošanu mārketinga nolūkos); un
   3. nodrošināšanu, ka tam ir tiesības nosūtīt Klienta datus uzņēmumam Giraffe360 vai nodrošināt tam piekļuvi tiem Apstrādei saskaņā ar Līguma (tostarp šī DPA) noteikumiem.
3. 4.3 Klients bez nepamatotas kavēšanās informē uzņēmumu Giraffe360, ja Klients nespēj izpildīt savus pienākumus saskaņā ar šo sadaļu vai Datu aizsardzības tiesību aktiem.
4. 4.4 Klients ir atbildīgs par to, lai tā Norādījumi uzņēmumam Giraffe360 attiecībā uz Klienta datu Apstrādi atbilstu piemērojamajiem tiesību aktiem, tostarp Datu aizsardzības tiesību aktiem.
5. 4.5 Puses vienojas, ka Līgums (tostarp šis DPA) kopā ar Klienta veikto Giraffe360 pakalpojuma izmantošanu saskaņā ar Līgumu veido Klienta pilnīgus Norādījumus uzņēmumam Giraffe360 attiecībā uz uzņēmuma Giraffe360 veikto Klienta datu Apstrādi, ciktāl Klients Līguma darbības laikā var sniegt papildu Norādījumus, kas atbilst Līgumam un Giraffe360 pakalpojuma būtībai un likumīgai izmantošanai.
6. 4.6 Klients ir atbildīgs par to, lai neatkarīgi noteiktu, vai Giraffe360 pakalpojumā nodrošinātā datu drošība pienācīgi atbilst tā pienākumiem saskaņā ar Datu aizsardzības tiesību aktiem. Klients ir atbildīgs arī par drošu Giraffe360 pakalpojuma izmantošanu.

5. Uzņēmuma Giraffe360 pienākumi

1. 5.1 Kā Personas datu Apstrādātājs uzņēmums Giraffe360 Apstrādā Klienta datus tikai šajā DPA aprakstītajiem nolūkiem vai kā citādi panākta vienošanās Klienta likumīgo Norādījumu ietvaros, izņemot gadījumus, kad un ciktāl piemērojamie tiesību akti nosaka citādi; šādā gadījumā uzņēmums Giraffe360, ciktāl to pieļauj piemērojamie tiesību akti, pirms šo Klienta datu Apstrādes informē Klientu par attiecīgo juridisko prasību. Uzņēmums Giraffe360 nav atbildīgs par to Datu aizsardzības tiesību aktu ievērošanu, kas piemērojami Klientam vai Klienta nozarei un kas parasti nav piemērojami uzņēmumam Giraffe360.
2. 5.2 Uzņēmums Giraffe360 īsteno un uztur atbilstošus tehniskus un organizatoriskus pasākumus, lai aizsargātu Klienta datus, kā to paredz Datu aizsardzības tiesību akti („Drošības pasākumi”). Neatkarīgi no jebkura pretēja noteikuma uzņēmums Giraffe360 pēc saviem ieskatiem var mainīt vai atjaunināt Drošības pasākumus ar nosacījumu, ka šādas izmaiņas vai atjauninājumi būtiski nesamazina Drošības pasākumu sniegtās aizsardzības līmeni.
3. 5.3 Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno Drošības pasākumus, lai nodrošinātu riskam atbilstošu drošības līmeni, tostarp, cita starpā, attiecīgā gadījumā:
3. 1. personas datu pseidonimizāciju un šifrēšanu;
   2. atbilstošus Drošības pasākumus, lai saglabātu spēju nodrošināt apstrādes sistēmu un pakalpojumu nepārtrauktu konfidencialitāti, integritāti, pieejamību un noturību;
   3. atbilstošus Drošības pasākumus, lai saglabātu spēju fiziska vai tehniska incidenta gadījumā laicīgi atjaunot Personas datu pieejamību un piekļuvi tiem;
   4. procesu regulārai Drošības pasākumu efektivitātes testēšanai, aplūkošanai un novērtēšanai, lai nodrošinātu Apstrādes drošību.
4. 5.4 Uzņēmums Giraffe360 nodrošina, ka uz jebkuru personālu, kas ir pilnvarots uzņēmuma Giraffe360 vārdā Apstrādāt Klienta datus, attiecas atbilstoši konfidencialitātes pienākumi attiecībā uz Klienta datiem.
5. 5.5 30 dienu laikā pēc Līguma izbeigšanas uzņēmums Giraffe360 dzēš vai pēc Klienta izvēles atdod visas Klienta datu kopijas, ko uzņēmums Giraffe360 apstrādājis saskaņā ar šo DPA. Klients paziņo uzņēmumam Giraffe360 par savu izvēli 14 darba dienu laikā pēc Līguma izbeigšanas. Šis 30 dienu termiņš tiek piemērots, izņemot gadījumus, kad piemērojamie tiesību akti mums prasa saglabāt daļu vai visus Klienta datus.
6. 5.6 Uzņēmums Giraffe360 var saglabāt un izmantot Īpašuma datus gan Līguma darbības laikā, gan pēc tā izbeigšanas mašīnmācīšanās un mākslīgā intelekta apmācības nolūkos un pakalpojuma uzlabošanai. Šādu Apstrādi uzņēmums Giraffe360 veic kā datu Pārzinis un saskaņā ar uzņēmuma Giraffe360 Privātuma politiku.
7. 5.7 Uzņēmums Giraffe360 var saglabāt Klienta datus, ciktāl uzņēmums Giraffe360 to var uzskatīt par nepieciešamu, lai celtu vai aizstāvētu jebkādu juridisku prasību, ar nosacījumu, ka šādi Klienta dati tiek saglabāti tikai tādā apmērā un uz tādu laiku, kā to prasa piemērojamie tiesību akti, vai līdz jebkura jautājuma atrisināšanai, un vienmēr ar nosacījumu, ka uzņēmums Giraffe360 nodrošina visu šādu Klienta datu konfidencialitāti.

6. Apakšapstrādātāji

1. 6.1 Klients ar šo sniedz uzņēmumam Giraffe360 vispārēju rakstisku atļauju piesaistīt Apakšapstrādātājus, lai palīdzētu sniegt Giraffe360 pakalpojumu. Uzņēmums Giraffe360 nodrošina, ka visiem Apakšapstrādātājiem ir saistoši līgumiski pienākumi, kas nodrošina vismaz tādu pašu datu aizsardzības līmeni, kādu prasa šis DPA un piemērojamie Datu aizsardzības tiesību akti. Aktuālais Apakšapstrādātāju saraksts, tostarp to nosaukums, atrašanās vieta un nolūks, tiek uzturēts Giraffe360 tīmekļa vietnē („Apakšapstrādātāju saraksts”).
2. 6.2 Uzņēmums Giraffe360 patur tiesības pēc vajadzības atjaunināt Apakšapstrādātāju sarakstu. Jebkuri papildinājumi vai aizstāšanas Apakšapstrādātāju sarakstā tiks atspoguļoti tīmekļa vietnē vismaz 15 dienas pirms jaunajam Apakšapstrādātājam tiek atļauts apstrādāt Klienta datus. Klientiem ieteicams periodiski pārskatīt Apakšapstrādātāju sarakstu.
3. 6.3 Ja Klients pamatoti iebilst pret jaunu Apakšapstrādātāju leģitīmu ar datu aizsardzību saistītu bažu dēļ, Klientam par to rakstiski jāpaziņo uzņēmumam Giraffe360 15 dienu laikā pēc atjauninājuma publicēšanas. Pēc iebilduma saņemšanas uzņēmums Giraffe360 apspriedīs Klienta bažas un labticīgi strādās, lai rastu abpusēji pieņemamu risinājumu. Ja 15 dienu paziņošanas periodā iebildums netiek saņemts, uzskatāms, ka Klients ir akceptējis atjaunināto Apakšapstrādātāju.
4. 6.4 Uzņēmums Giraffe360 vienmēr paliek atbildīgs par savu DPA noteikto pienākumu izpildi un ir atbildīgs pret Klientu par jebkura Apakšapstrādātāja darbībām un bezdarbību tā, it kā tās būtu uzņēmuma Giraffe360 darbības un bezdarbība.

7. Starptautiska datu nosūtīšana

1. 7.1 Uzņēmums Giraffe360 nenosūta Klienta datus saņēmējam valstī vai teritorijā ārpus EEZ vai AK, ja vien:
1. 1. saņēmējs vai valsts vai teritorija, kurā tas apstrādā Klienta datus vai piekļūst tiem, nodrošina pienācīgu datu subjektu tiesību un brīvību aizsardzības līmeni saistībā ar Klienta datu apstrādi, kā to noteikusi Eiropas Komisija; vai
   2. nosūtīšanas pamatā ir Komisijas Īstenošanas lēmumā (ES) 2021/914 apstiprinātās līguma standartklauzulas (apstrādātājiem) vai jebkura to turpmākā versija, vai cits juridiski atzīts nosūtīšanas mehānisms.

8. Datu drošība, revīzijas un paziņojumi par drošību

1. 8.1 Klients var, iepriekš saprātīgi paziņojot un saprātīgā laikā, veikt (pats vai ar neatkarīgu trešo personu revidentu palīdzību) revīziju par to, kā uzņēmums Giraffe360 ievēro Drošības pasākumus, tostarp veicot uzņēmuma Giraffe360 datu apstrādes objektu revīzijas. Uzņēmums Giraffe360 palīdz un sniedz ieguldījumu jebkurās revīzijās, kas tiek veiktas saskaņā ar šo DPA, ar nosacījumu, ka šādas revīzijas netiek veiktas biežāk kā reizi gadā.
2. 8.2 Pēc Klienta pieprasījuma uzņēmums Giraffe360 dara pieejamu visu informāciju, kas saprātīgi nepieciešama, lai pierādītu atbilstību šim DPA un Datu aizsardzības tiesību aktiem.
3. 8.3 Ja to prasa VDAR 28. panta 3. punkta h) apakšpunkts, uzņēmums Giraffe360 nekavējoties paziņo Klientam, ja uzņēmums Giraffe360 uzskata, ka Klienta Norādījumi ir pretrunā jebkuru Datu aizsardzības tiesību aktu vai citu ES, AK vai EEZ dalībvalstu tiesību aktu prasībām.
4. 8.4 Uzņēmums Giraffe360 bez nepamatotas kavēšanās rakstiski paziņo Klientam, tiklīdz tam kļūst zināms par jebkuru Personas datu aizsardzības pārkāpumu saistībā ar Klienta datiem un Apstrādi, kas veikta saskaņā ar šo DPA. Uzņēmums Giraffe360 sniedz Klientam saprātīgu palīdzību, lai nodrošinātu atbilstību piemērojamajiem Datu aizsardzības tiesību aktiem saistībā ar Personas datu aizsardzības pārkāpumu, tostarp atbalstu jebkurās regulatīvajās izmeklēšanās, paziņojumos uzraudzības iestādēm un/vai Datu subjektiem.
5. 8.5 Ziņojot par Personas datu aizsardzības pārkāpumu, uzņēmums Giraffe360 skaidrā un vienkāršā valodā sniegs vismaz šādu informāciju, ciktāl tas iespējams, ņemot vērā pieejamo informāciju: Datu aizsardzības pārkāpuma rakstura skaidrojumu, datu aizsardzības speciālista („DAS”) vai cita kontaktpunkta, kur var iegūt plašāku informāciju, vārdu un kontaktinformāciju, Personas datu aizsardzības pārkāpuma iespējamo seku aprakstu un to pasākumu aprakstu, kas veikti vai ierosināti Personas datu aizsardzības pārkāpuma novēršanai, tostarp, attiecīgā gadījumā, pasākumus, kas veikti iespējamo nelabvēlīgo seku mazināšanai.

9. Piekļuves pieprasījumi un datu subjektu tiesības

1. 9.1 Izņemot gadījumus, kad to prasa (vai aizliedz) piemērojamie tiesību akti, uzņēmums Giraffe360 paziņo Klientam par jebkuru pieprasījumu, ko uzņēmums Giraffe360 tieši vai ar Apakšapstrādātāja starpniecību saņēmis no Datu subjekta attiecībā uz viņa Personas datiem, kas ietverti Klienta datos, un neatbild Datu subjektam.
2. 9.2 Uzņēmums Giraffe360 nodrošina Klientam iespēju labot, dzēst, bloķēt Klienta datus, piekļūt tiem vai tos kopēt saskaņā ar Giraffe360 pakalpojuma funkcionalitāti un, ciktāl tā to pieļauj.
3. 9.3 Uzņēmums Giraffe360 paziņo Klientam par jebkuru valsts vai regulatīvās iestādes vai tiesībaizsardzības iestādes (tostarp jebkuras datu aizsardzības uzraudzības iestādes) pieprasījumu izpaust Klienta datus, ja vien to neaizliedz likums vai šādas iestādes vai aģentūras juridiski saistošs rīkojums.
4. 9.4 Attiecīgā gadījumā, ņemot vērā Apstrādes raksturu un ciktāl to prasa piemērojamie Datu aizsardzības tiesību akti, uzņēmums Giraffe360:
4. 1. pieliek visas saprātīgās pūles, lai, ieviešot atbilstošus tehniskus un organizatoriskus pasākumus, ciktāl tas iespējams, palīdzētu Klientam izpildīt tā pienākumu atbildēt uz pieprasījumiem par VDAR noteikto datu subjekta tiesību īstenošanu; un
   2. sniedz Klientam saprātīgu palīdzību saistībā ar jebkuriem novērtējumiem par ietekmi uz datu aizsardzību un jebkurām iepriekšējām konsultācijām ar jebkuru Klienta uzraudzības iestādi, katrā gadījumā tikai saistībā ar Klienta datu Apstrādi un ņemot vērā uzņēmumam Giraffe360 pieejamo informāciju.