Datu apstrādes līgums

Versija 2026-11-03. Šis līgums ir Lietošanas noteikumu pielikums un tiek noslēgts elektroniski reizē ar tiem (VDAR 28. panta devītā daļa).

1. Puses un lomas

1.1. Klients ir pārzinis to personas datu apstrādei, kurus tas ievada programmā vai augšupielādē tajā.

1.2. Sniedzējs (SLVD SIA, reģistrācijā) ir apstrādātājs. Tas apstrādā šos datus Klienta vārdā un tikai tā dokumentētajos norādījumos.

1.3. Ārpakalpojuma grāmatvedis. Ja Klients kārto savu klientu grāmatvedību, attiecībā uz to datiem Klients pats ir apstrādātājs, bet Sniedzējs – apakšapstrādātājs. Klients apliecina, ka:

• tā līgums ar katru klientu atļauj izmantot Sniedzēju un tā apakšapstrādātājus;
• tas nodos saviem klientiem šajā līgumā minēto informāciju;
• šajā līgumā minētos norādījumus Klients dod arī savu klientu vārdā.

Sniedzējs palīdz Klientam izpildīt pienākumus pret tā klientiem tāpat kā pret Klientu.

2. Apstrādes priekšmets un apraksts

3. Sniedzēja pienākumi

Sniedzējs:

3.1. apstrādā datus tikai saskaņā ar Klienta dokumentētajiem norādījumiem, arī par datu nosūtīšanu uz trešajām valstīm, ja vien to neprasa ES vai Latvijas tiesību akts. Par šādu prasību Sniedzējs paziņo Klientam pirms apstrādes, ja likums to neaizliedz. Norādījumi ir šis līgums, Lietošanas noteikumi un Klienta darbības programmā;

3.2. nekavējoties informē Klientu, ja uzskata, ka norādījums pārkāpj VDAR vai citus datu aizsardzības tiesību aktus;

3.3. nodrošina, ka personas, kurām ir piekļuve datiem, ir apņēmušās ievērot konfidencialitāti vai kurām ir likumā noteikts konfidencialitātes pienākums;

3.4. veic 3. pielikumā minētos drošības pasākumus (VDAR 32. pants);

3.5. palīdz Klientam ar tehniskiem un organizatoriskiem pasākumiem atbildēt uz datu subjektu pieprasījumiem (VDAR III nodaļa). Ja pieprasījums tiek saņemts tieši, Sniedzējs to bez kavēšanās pārsūta Klientam un pats uz to neatbild;

3.6. palīdz Klientam izpildīt VDAR 32.–36. panta pienākumus, ņemot vērā apstrādes raksturu un Sniedzējam pieejamo informāciju;

3.7. paziņo Klientam par personas datu aizsardzības pārkāpumu bez nepamatotas kavēšanās, bet ne vēlāk kā 48 stundu laikā pēc tam, kad par to uzzinājis. Paziņojumā norāda VDAR 33. panta trešajā daļā minēto informāciju, ciktāl tā ir zināma;

3.8. dara pieejamu informāciju, kas vajadzīga, lai pierādītu atbilstību šim pantam, un ļauj veikt revīzijas (5. punkts);

3.9. līguma beigās dzēš vai atdod datus saskaņā ar 7. punktu.

4. Apakšapstrādātāji

4.1. Klients dod vispārēju rakstisku atļauju piesaistīt apakšapstrādātājus. Pašreizējie ir norādīti apakšapstrādātāju sarakstā, kas ir šī līguma 2. pielikums.

4.2. Par plānotu apakšapstrādātāja pievienošanu vai nomaiņu Sniedzējs paziņo Klientam pa e-pastu vismaz 30 dienas iepriekš. Klients var iebilst 14 dienu laikā, norādot pamatotu iemeslu. Ja puses nevienojas, Klients var izbeigt līgumu bez maksas.

4.3. Sniedzējs uzliek katram apakšapstrādātājam rakstiskā līgumā tādus pašus datu aizsardzības pienākumus kā šajā līgumā, un pret Klientu atbild par apakšapstrādātāja pienākumu izpildi.

5. Revīzijas

5.1. Sniedzējs pēc pieprasījuma 30 dienu laikā sniedz informāciju par apstrādi: šo līgumu, drošības pasākumu aprakstu un apakšapstrādātāju sertifikātus un revīziju ziņojumus, kurus tie publisko.

5.2. Ja ar to nepietiek, Klients vai tā izvēlēts revidents, kas ir apņēmies ievērot konfidencialitāti, var veikt revīziju ne biežāk kā reizi gadā, par to paziņojot 30 dienas iepriekš, vai jebkurā laikā, ja to pieprasa uzraudzības iestāde vai ir noticis pārkāpums. Revīzijas izmaksas sedz Klients.

6. Datu nosūtīšana ārpus EEZ

6.1. Grāmatvedības dati un dokumenti tiek glabāti un apstrādāti EEZ, arī ar mākslīgā intelekta modeli: to sasniedz caur ES galapunktu, kas pieprasījumu apstrādā un sūta tikai ES izvietotiem modeļiem ar nulles datu glabāšanu. Atsevišķi apakšapstrādātāji (pierakstīšanās, kļūdu uzraudzība, modeļu starpnieka konta dati) ir ASV uzņēmumi un var piekļūt datiem no ASV. Šajā gadījumā nosūtīšanu pamato:

• Komisijas lēmums par ES un ASV datu privātuma regulējumu (DPF), ja apakšapstrādātājs ir sertificēts;
• vai Komisijas standartlīguma klauzulas (Lēmums (ES) 2021/914).

Pamats katram apakšapstrādātājam ir norādīts 2. pielikumā.

7. Datu atdošana un dzēšana

7.1. Datu atdošana ir eksports saskaņā ar Lietošanas noteikumu 9.3. punktu, un tas Klientam ir pieejams jebkurā laikā.

7.2. Sniedzējs datus automātiski nedzēš. Pēc Klienta pieprasījuma Sniedzējs tos dzēš saskaņā ar Lietošanas noteikumu 9.5. punktu, ja vien Klients nav devis norādījumu tos glabāt saskaņā ar 9.6. punktu.

7.3. Ieraksti līguma laikā. Programma pēc konstrukcijas neļauj dzēst iegrāmatotu ierakstu (MK noteikumu Nr. 877 22. punkts). Grāmatvedības dati jāglabā Grāmatvedības likuma 28. pantā noteiktos termiņus. Tāpēc dzēšanas tiesības uz tiem neattiecas (VDAR 17. panta trešās daļas b) punkts). Klients izvērtē datu subjekta pieprasījumu un, ja dati jālabo, ievada labojumu kā jaunu ierakstu. Sniedzējs palīdz ar datiem, kuri nav grāmatvedības dati (piemēram, partnera kontaktinformācija, kas nav nevienā ierakstā).

8. Atbildība un spēkā esamība

8.1. Pušu atbildība izriet no Lietošanas noteikumu 10. punkta un VDAR 82. panta.

8.2. Šis līgums ir spēkā, kamēr Sniedzējs apstrādā Klienta datus.

8.3. Ja šis līgums ir pretrunā ar Lietošanas noteikumiem attiecībā uz personas datu apstrādi, noteicošs ir šis līgums.

1. pielikums. Norādījumi

Klients dod norādījumu:

• glabāt un apstrādāt datus programmā, lai sniegtu pakalpojumu;
• nosūtīt dokumentus un bankas darījumus mākslīgā intelekta modelim ES, ar nulles datu glabāšanu, kad lietotājs izmanto nolasīšanas vai ieteikumu funkcijas;
• sūtīt rēķinus e-pastā un nolasīt pārsūtītos rēķinus no e-pasta kastes, ja Klients šīs funkcijas lieto;
• ja Klients pieslēdzis VID EDS API sertifikātu, ar to lasīt no EDS iesniegtos dokumentus un VID atbildes un tos glabāt programmā, lasīt nodokļu konta stāvokli, darba ņēmēju periodus un algas nodokļa grāmatiņu datus. Nodokļu konta un darba ņēmēju datus programma tikai parāda un neglabā, un apgādājamo personas kodi lietotājam netiek rādīti. EDS programma neko neizveido un neiesniedz;
• pārbaudīt PVN numurus VIES un juridisko personu reģistrācijas numurus Uzņēmumu reģistra atvērtajos datos (fiziskas personas kods netiek sūtīts);
• veidot rezerves kopijas (30 dienas; dzēstas datnes atjaunojamas vēl 35 dienas) un ikmēneša arhīva kopijas, kas tiek glabātas nemaināmas 10 gadus.

2. pielikums. Apakšapstrādātāji

Skatīt apaksapstradataji.md.

3. pielikums. Tehniskie un organizatoriskie pasākumi

Piekļuve

• Pierakstīšanās ar Google kontu caur Clerk, vai ar lietotājvārdu un paroli, kas tiek glabāta tikai kā jaucējvērtība (hash).
• Piekļuvi uzņēmumam ir tikai tā piekļuves sarakstā norādītajām adresēm. Lomas ierobežo, kas drīkst eksportēt datus un lejupielādēt rezerves kopiju.
• Sesijas sīkdatnes ir HttpOnly, Secure un SameSite=Lax.
• Infrastruktūras pārvaldība notiek ar personīgu kontu un piekļuves tiesībām, kas piešķirtas tikai tai.

Nodalīšana

• Katram uzņēmumam ir sava datubāze. Viena uzņēmuma dati nekad nav vienā tabulā ar cita uzņēmuma datiem.

Šifrēšana

• Pārsūtīšanā tiek izmantots TLS. Mākoņa krātuve pieņem tikai HTTPS savienojumus ar TLS 1.2 vai jaunāku.
• Dokumentus, rezerves kopijas un arhīva kopijas glabāšanā šifrē Azure Storage ar Microsoft pārvaldītām atslēgām. Atsevišķas katra uzņēmuma atslēgas nav.
• Uzņēmumu datubāzes pie Turso glabāšanā šifrē Turso ar savām atslēgām.
• Datubāzu piekļuves žetoni un e-pasta kastu paroles ir šifrēti.
• VID EDS API sertifikāta privātā atslēga tiek glabāta šifrēta ar atsevišķu atslēgu, kas savukārt ir šifrēta ar galveno atslēgu Azure Key Vault. Galvenā atslēga neatstāj Key Vault, un katrs tās lietojums tiek reģistrēts. Lai parakstītu EDS pieprasījumus, programma privāto atslēgu īslaicīgi atšifrē atmiņā, parasti reizi dienā. Atslēga nekad netiek parādīta lietotājam un tiek dzēsta, kad Klients sertifikātu atvieno.

Integritāte un izsekojamība

• Iegrāmatoti ieraksti ir nemaināmi datubāzes trigeru līmenī.
• Katra izmaiņa ir jauna versija.
• Darbību žurnālā ir lietotājs, darbība, laiks un IP adrese, un katra datu lejupielāde tiek reģistrēta.

Pieejamība

• Katru nakti katra uzņēmuma datubāzes kopiju saglabā rezerves krātuvē Īrijā (North Europe), kas datus glabā vairākās pieejamības zonās, un glabā 30 dienas.
• Tiek veidota ikmēneša ģeogrāfiski dublēta, nemaināma arhīva kopija.
• Nakts kopiju pirms saglabāšanas pārbauda, vai tā ir vesela, un katru ikmēneša arhīva kopiju pārbauda tāpat kā atjaunotu datubāzi.

Minimizēšana

• Mākslīgā intelekta modelim katrā pieprasījumā prasa nulles datu glabāšanu un aizliedz izmantot datus apmācībai.
• Kļūdu uzraudzībā nesūta personas datus, pieprasījumu saturu un lokālos mainīgos.
• Uzņēmumu reģistrā nesūta personas kodus.
• Servera žurnālus glabā 30 dienas.

Organizatoriskie pasākumi

• Piekļuve ražošanas videi ir tikai Sniedzēja valdes loceklim.
• Ir rīcības kārtība datu aizsardzības pārkāpuma gadījumā.
• Apakšapstrādātāju līgumus pārskata reizi gadā.