Datu apstrādes līgums

Šis Datu apstrādes līgums (“DPA”) ir daļa no un uz to attiecas to SumUp noteikumu nosacījumi, kas attiecināmi uz Pakalpojumu(-iem), ko varat izmantot (“Papildu noteikumi”), un visi citi piemērojamie SumUp noteikumi un nosacījumi, tostarp, bet ne tikai tie SumUp vispārīgos noteikumus (šeit turpmāk — “Noteikumi”), kas noslēgti un pieņemti starp jums kā SumUp tirgotāju (“jūs”, “Datu pārzinis”) un SumUp līgumslēdzēja subjektu, kā norādīts piemērojamajos Papildu noteikumos (“SumUp”, “mēs”, “Datu apstrādātājs”), kas ir daļa no SumUp S.A.R.L. uzņēmumu grupas, — SumUp Group.

Lai jums sniegtu Pakalpojumus saskaņā ar Papildu noteikumiem, SumUp apstrādā jūsu darbinieku, klientu un/vai jūsu veikala, vietnes apmeklētāju un klientu, un/vai jūsu pakalpojumu lietotāju datus (“Jūsu klienti”, “Klienti”, “Gala klienti”). SumUp veikta šādu datu apstrāde turpmāk tiek dēvēta par “apstrādi” (nozīmē, kādā šis termins ir definēts Piemērojamajos datu aizsardzības tiesību aktos). Tālāk esošajā DPA daļā ir izklāstīti šādas SumUp veiktās apstrādes noteikumi.

Katra puse piekrīt un nodrošina, ka šī DPA noteikumi ir pilnībā piemērojami arī to sadarbības partneriem, kas var būt iesaistīti personas datu apstrādē Papildu noteikumos definēto Pakalpojumu sniegšanas nolūkā. Jo īpaši SumUp nodrošina, ka visi apakšapstrādātāji darbojas saskaņā ar tiem pašiem noteikumiem, kas noteikti šajā DPA, kad viņi apstrādā Jūsu klientu datus.

1. Definīcijas

1.1. “Piemērojamie datu aizsardzības tiesību akti” apzīmē visus tiesību aktus, kas attiecas uz personas datu apstrādi saskaņā ar Papildu noteikumiem, Noteikumiem un šo DPA, tostarp, bez ierobežojuma, 2018. gada Datu aizsardzības likumu, ES Vispārīgo datu aizsardzības regulu 2016/679 (“VDAR”, “Regula”), ES direktīvu par privāto dzīvi un elektronisko komunikāciju 2002/58/EK, kā tā tiek īstenota katrā jurisdikcijā, un visiem grozījumiem vai citiem piemērojamajiem vai aizvietojošajiem starptautiskajiem, reģionālajiem vai valsts datu aizsardzības tiesību aktiem, regulām un reglamentējošajiem norādījumiem.

1.2. Terminiem “pārzinis”, “datu subjekts”, “personas dati”, “apstrāde” un “apstrādātājs” ir nozīmes, kas tiem ir piešķirtas Piemērojamajos datu aizsardzības tiesību aktos.

1.3. “Saturs” apzīmē jūsu Saturu un jebkuru saturu, kuru jūsu klienti snieguši SumUp, tostarp, bez ierobežojuma, tekstu, fotoattēlus, attēlus, audio, video, kodus, informāciju no sīkfailiem vai līdzīgām izsekošanas tehnoloģijām un jebkurus citus materiālus.

1.4. “Jūsu dati”, “Jūsu klientu dati” apzīmē Saturā ietvertos personas datus, ko jūsu vārdā un Pakalpojumu ietvaros apstrādā SumUp, un/vai jūsu darbinieku, grāmatvežu un/vai Klientu datus, kas tiek apstrādāti jūsu vārdā, lai nodrošinātu Pakalpojumus darbību. Jūsu klientu dati neietver personas datus, ja šos datus kontrolē SumUp saskaņā ar šo DPA un SumUp konfidencialitātes politiku. 

1.5. Visām definīcijām, kas tiek lietotas pašreizējā DPA, bet kam nav sniegta skaidra definīcija šajā sadaļā, ir Papildu noteikumos definētā nozīme. Ja Papildu noteikumos vai Noteikumos nav sniegta konkrēta definīcija, to nozīme ir tā, kas piešķirta Piemērojamajos datu aizsardzības tiesību aktos.

2. Piemērojamība. Šis DPA ir piemērojams tikai attiecībā uz tiem Jūsu klientu datiem, ko jūsu vārdā apstrādā SumUp, lai sniegtu Pakalpojumus. Jūs piekrītat, ka SumUp neatbild par personas datiem, ko izvēlējāties apstrādāt, izmantojot trešo pušu pakalpojumus vai ārpus Pakalpojumiem, tostarp izmantojot jebkuras citas trešās puses mākoņpakalpojumu, bezsaistes vai vietnes krātuves sistēmas.

3. Papildinformācija par Datu apstrādi. SumUp apstrādā personas datus saskaņā ar šī dokumenta 1. pielikumu.

4. Tiesības un pienākumi

4.1. Ciktāl Jūsu klientu datus apstrādā SumUp jūsu vārdā un uz šo apstrādi attiecas Piemērojamie datu aizsardzības tiesību akti, jūs atzīstat un piekrītat, ka SumUp veiktās Pakalpojumu sniegšanas nolūkos jūs esat šādu personas Datu pārzinis un, izmantojot SumUp Pakalpojumus, jūs esat sniedzis rīkojumu SumUp apstrādāt Jūsu klientu datus jūsu vārdā un saskaņā ar šo DPA.

4.2. Jūs jebkurā posmā varat atsaukt šī DPA pieņemšanu, taču šādā gadījumā SumUp vairs nevarēs jums sniegt Pakalpojumu.

4.3. SumUp, darbojoties kā personas datu apstrādātājs:

a. apstrādā Jūsu klientu datus tikai DPA norādītajos nolūkos un saskaņā ar piemērojamajiem tiesību aktiem un DPA;

b. drīkst darboties un apstrādāt Jūsu klientu datus tikai saskaņā ar jūsu dokumentētajiem norādījumiem, ja vien tiesību akti, Tiesas rīkojums vai tiesību aktu pasākumi nenosaka darbību bez šiem norādījumiem. Jūsu norādījumi šī DPA noslēgšanas laikā ir, ka SumUp drīkst apstrādāt Jūsu klientu datus tikai Pakalpojumu sniegšanas nolūkā, kā aprakstīts DPA un Papildu noteikumos. Atbilstoši šī DPA noteikumiem un, abām pusēm savstarpēji vienojoties, jūs drīkstat sniegt papildu rakstiskus norādījumus, kas saskan ar šī DPA noteikumiem;

c. garantē, ka personas, kurām ir atļauja apstrādāt personas datus, ir uzņēmušās konfidencialitātes saistības vai tām ir juridisks pienākums ievērot konfidencialitātes saistības;

d. garantē, ka piekļuve personas datiem tiek piešķirta atbilstoši vajadzībai pēc informācijas un saistībā ar Pakalpojumu izpildi saskaņā ar Papildu noteikumiem;

e. atbild par to, lai darbinieki/apakšuzņēmēji un/vai jebkādi aģenti, kas apstrādā Jūsu klientu datus, apstrādātu personas datus tikai saskaņā ar jūsu norādījumiem;

f. nekavējoties jūs informēs gadījumā, ja uzskatīs, ka daži jūsu norādījumi ir pretrunā ar Piemērojamajiem datu aizsardzības tiesību aktiem;

g. saskaņā ar šo DPA ir pienākums aizsargāt Jūsu klientu datus pret jebkādu iznīcināšanu, mainīšanu, zudumu vai citu neatļautu apstrādi. Šajā nolūkā SumUp veic atbilstošus drošības pasākumus saskaņā ar piemērojamajiem tiesību aktiem. Pastāv iespēja, ka SumUp ieviesīs alternatīvus, atbilstošus pasākumus. Ieviešot šādas alternatīvas, nedrīkst samazināt definēto drošības pasākumu līmeni. SumUp palīdzēs jums īstenot atbilstošus tehniskos un organizatoriskos pasākumus, kā nepieciešams, un, ņemot vērā apstrādes raksturu un SumUp pieejamās informācijas kategoriju, palīdzēs nodrošināt atbilstību jūsu pienākumiem, kas noteikti Piemērojamajos datu aizsardzības tiesību aktos;

h. saņemot pamatotu pieprasījumu, sniedz sertifikātus, kas pierāda SumUp atbilstību tā pienākumiem saskaņā ar šo DPA un Piemērojamajiem datu aizsardzības tiesību aktiem; un/vai sniedz informāciju, kas nepieciešama, lai pierādītu atbilstību pienākumiem saskaņā ar šo DPA un piemērojamajiem datu aizsardzības tiesību aktiem. Informācija, kas jāsniedz SumUp, ir ierobežota tikai līdz informācijai, ko uzņēmums SumUp definējis kā nepieciešamu, ņemot vērā Pakalpojumu raksturu un SumUp pieejamo informāciju, lai palīdzētu jums izpildīt jūsu pienākumus, jo īpaši saistībā ar datu aizsardzības ietekmes novērtējumu, iepriekšēju konsultēšanu un personas datu drošības nodrošināšanu;

i. saprātīgā laika posmā, veicot atbilstošus pasākumus un ciktāl tas praktiski iespējams (ņemot vērā apstrādes raksturu), palīdzēs jums nodrošināt atbilstību datu subjektu tiesībām un visiem citiem atbilstošajiem pienākumiem saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem;

j. sniegs jums paziņojumu, ja to atļauj piemērojamie tiesību akti, kad saņems pieprasījumu vai sūdzību no privātpersonas, kuras personas dati ir apstrādāti saskaņā ar DPA, vai arī saistošu pieprasījumu no valsts, tiesībaizsardzības, regulatīvās vai citas iestādes saistībā ar Jūsu klientu datiem, ko mēs apstrādājam jūsu vārdā un saskaņā ar jūsu norādījumiem.

4.4. Jūs, darbojoties kā personas datu pārzinis:

a. apkopojat, izmantojat un apstrādājat personas datus saskaņā ar jebkuriem un visiem Piemērojamajiem datu aizsardzības tiesību aktiem;

b. pilnībā atbildat par Jūsu klientu datu pareizumu, kvalitāti un likumīgu apstrādi, kā arī to iegūšanas veidiem;

c. nodrošināt atbilstošu drošības līmeni Pakalpojumu lietošanas laikā, ņemot vērā visus riskus, kas saistīti ar Jūsu klientu datiem;

d. apliecināt, ka jūs uzņematies visu risku un atbildību par Jūsu klientu datu glabāšanu un/vai pārsūtīšanu uz jebkuru trešās puses platformu vai platformu, kas nav SumUp;

e. nodrošināt, ka jūsu norādījumi attiecībā uz personas datu apstrādi atbilst visiem tiesību aktiem, regulām un noteikumiem, kas ir piemērojami saistībā ar Jūsu klientu datiem. Jūs arī nodrošināt, ka Jūsu klientu datu apstrāde saskaņā ar jūsu norādījumiem nerada vai neizraisa situāciju, kurā mēs vai jūs pārkāpjam jebkādus tiesību aktus, noteikumus vai regulas;

f. sniedzat Klientiem nepieciešamo informāciju par to, kā un kādēļ viņu dati tiek apstrādāti saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem.

5. Paziņojumi par pārkāpumiem. Puse nekavējoties informē otru pusi (taču ne vēlāk kā 48 stundu laikā), kad tā uzzina par personas datu pārkāpumu saistībā ar personas datiem, kas apstrādāti saskaņā ar šo DPA. SumUp palīdzēs jums ievērot atbilstību datu aizsardzības pārkāpuma paziņošanas pienākumiem, sniegs jums informāciju par pārkāpumu, ko var jums izpaust, ņemot vērā Pakalpojumu raksturu, mums pieejamo informāciju un jebkādus ierobežojumus, kas attiecas uz informācijas izpaušanu, piemēram, konfidencialitātes prasības. Neraugoties uz iepriekš minēto, SumUp pienākumi, kas izklāstīti šajā sadaļā, neattiecas uz jūsu izraisītiem incidentiem, jebkādām darbībām jūsu kontā un/vai trešo pušu pakalpojumu darbībām. SumUp ir pienākums sadarboties un sniegt jums atbalstu saistībā ar izmeklēšanu, negatīvo seko mazināšanu un personas datu pārkāpuma labošanu, kā arī turpmāku līdzīgu datu pārkāpumu novēršanu. SumUp paziņojums par personas datu pārkāpumu nav uzskatāms par SumUp apstiprinājumu par jebkādu kļūmi vai atbildību saistībā ar šo incidentu. Personas datu pārkāpuma gadījumā jums ir pienākums veikt pasākumus, kas noteikti piemērojamajos tiesību aktos saistībā ar Jūsu klientu datiem.

6. Apakšapstrādātāji. Ar šo jūs piešķirat SumUp vispārīgu atļauju iesaistīt apakšapstrādātājus, lai sniegtu Pakalpojumus bez nepieciešamības iegūt jebkādas turpmākas rakstiskas, konkrētas atļaujas. SumUp izpilda līgumu ar katru apakšapstrādātāju, nodrošinot, ka šie apakšapstrādātāji ievēro noteikumus un ka tiek ievērots vismaz tāds pats aizsardzības un drošības līmenis, kāds izklāstīts šajā DPA. Ja iebildīsiet pret jebkuru apakšapstrādātāju un jūsu iebildums būs pamatots un saistīts ar bažām par datu aizsardzību, mēs veiksim komerciāli pamatotus pasākumus, lai jums sniegtu iespēju izvairīties no situācijas, kurā Jūsu klientu datus apstrādā apakšapstrādātājs, pret kuru iebilstat. Ja nevarēsim šīs ierosinātās izmaiņas veikt saprātīgā laika posmā, mēs jums par to paziņosim, un, ja joprojām iebildīsiet pret attiecīgā apakšapstrādātāja pakalpojumu izmantošanu, varat atcelt vai izbeigt savu kontu vai, ja iespējams, tās Pakalpojumu daļas, kurās iesaistīta šī apakšapstrādātāja pakalpojumu izmantošana.

7. Personas datu pārsūtīšana. Jūsu klientu datu Apstrāde notiek Eiropas Ekonomikas zonas (“EEZ”) un Apvienotās Karalistes teritorijā. Jebkāda pārsūtīšana uz trešo valsti ārpus ES/EEZ un Apvienotās Karalistes un apstrāde tajā, kas nenodrošina pienācīgu aizsardzības līmeni, — kāds tiek nodrošināts AK atbilstības regulā — saskaņā ar Piemērojamajiem datu aizsardzības tiesību aktiem, tiek veikta atbilstoši Līguma standartklauzulām vai citam piemērotam mehānismam, kas garantē pienācīgu personas datu drošības līmeni saskaņā ar Piemērojamajos datu aizsardzības tiesību aktos noteiktajām prasībām.

8. Revīzijas. Jums ir tiesības reizi gadā uzsākt šajā DPA definēto SumUp pienākumu pārskatīšanu. Abas puses kopā izlemj, vai revīzija ir jāveic trešajai pusei. Taču jūs varat ļaut mums izvēlēties neitrālu trešo pusi, kas veic šo drošības pārskatīšanu. Ja ierosinātās revīzijas jomas tiek noteiktas, pamatojoties uz ISO vai līdzīgu sertifikācijas ziņojumu, ko veicis kvalificēts trešās puses revidents iepriekšējo divpadsmit mēnešu laikā, un SumUp apstiprina, ka pārskatāmajos jautājumos nav būtisku izmaiņu, tas apmierina visus šajā laika periodā saņemtos pieprasījumus. Revīzijas nedrīkst nepamatoti traucēt SumUp ierastajai uzņēmējdarbībai. Jūs esat atbildīgs par visām izmaksām, kas saistītas ar pieprasījumu veikt revīzijas pārskatīšanu. SumUp piekrīt vienreiz gadā pēc rakstiska Datu pārziņa pieprasījuma un, ciktāl to nosaka Piemērojamie datu aizsardzības tiesību akti, sadarboties un saprātīgā laika posmā sniegt Datu pārzinim šādu informāciju:

a) revīzijas pārskatu kopsavilkums, kurā apliecināta SumUp īstenoto tehnisko un organizatorisko pasākumu efektivitāte, nepieļaujot neatļautu vai nelikumīgu personas datu apstrādi, kā arī neatļautu piekļuvi personas datiem, to nejaušu zudumu vai iznīcināšanu vai arī to sabojāšanu;

b) apstiprinājums, ka revīzijā netika atklāta būtiska SumUp sistēmu ievainojamība, vai atbilstoši pakāpei, kādā tika konstatēta šāda ievainojamība, ka SumUp pilnībā novērsa šo ievainojamību.

Ja ar iepriekš aprakstītajiem pasākumiem nepietiek, lai apstiprinātu atbilstību Piemērojamajiem datu aizsardzības tiesību aktiem, vai tiek atklātas būtiskas problēmas, Datu pārzinis var pieprasīt, rakstiski par to paziņojot SumUp vismaz trīsdesmit (30) dienas iepriekš, lai ārēji, neatkarīgi revidenti veiktu SumUp datu aizsardzības atbilstības programmas revīziju. Šos revidentus kopīgi atlasa abas puses, abpusēji vienojoties par revīzijas tvērumu, laiku un ilgumu. Datu pārzinis veic visus vajadzīgos pasākumus, lai ierobežotu jebkādu negatīvi ietekmi, kas varētu tikt atstāta uz SumUp, un ir atbildīgs par visām izmaksām, kas saistītas ar tā revīzijas pieprasījumu, kā arī izmaksām, kas radušās negatīvas ietekmes rezultātā, ja tāda ir. Datu pārzinis paziņos SumUp tā datu aizsardzības atbilstības programmas revīzijas rezultātu.

9. Saistības. Uz katras puses saistībām, kas noteiktas šajā DPA, attiecas izņēmumi un atbildības ierobežojumi, kas izklāstīti Papildu noteikumos un/vai Noteikumos. Jūs piekrītat uz sava rēķina atlīdzināt par un aizsargāt SumUp pret visām izmaksām, prasībām, zaudējumiem vai izdevumiem, kas radušies SumUp vai par ko SumUp var iestāties atbildība jūsu vai jūsu darbinieku vai aģentu šajā DPA noteikto pienākumu nepildīšanas dēļ.

10. Izbeigšana. Šis DPA ir spēkā tik ilgi, kamēr izmantojat jebkuru no SumUp Pakalpojumiem. Pēc Pakalpojumu izmantošanas izbeigšanas, ja vien SumUp nav pienākuma saglabāt Jūsu klientu datus saskaņā ar SumUp Papildu noteikumiem un/vai Noteikumiem, jebkuru līgumu vai piemērojamajiem tiesību aktiem, SumUp dzēš Jūsu klientu datus, tostarp pēc jūsu rakstiska pieprasījuma, tiklīdz tas ir praktiski iespējams, kā arī atbilstoši SumUp Noteikumiem un piemērojamajiem tiesību aktiem.

11. Apkopoti anonīmi dati. Jūs apstiprināt un piekrītat, ka SumUp drīkst apstrādāt ar jums un Jūsu klientiem saistītus jebkādu veidu apkopotus datus, tostarp Pakalpojumu lietojuma datus. Klients apstiprina, pieņem un piekrīt, ka SumUp drīkst izmantot šos apkopotos datus (saprotot, ka šis saraksts nav izsmeļošs), lai analizētu, uzlabotu un nodrošinātu tā Pakalpojumus, kā arī kopumā jebkādu komercdarbību veikšanai DPA darbības laikā un arī pēc tā izbeigšanas, lai veiktu tirgus analīzi, sagatavotu statistikas datus, uzlabotu tā Produktus, Pakalpojumus un drošību, ievērojot labu rūpniecības praksi un/vai ieteikumus.

12. Dažādi

12.1. Ja rodas pretrunas starp šo DPA un jebkuru no SumUp Papildu noteikumiem un/vai Noteikumiem, noteicošie ir šī DPA nosacījumi.

12.2. Jūs esat atbildīgs par visām izmaksām un izdevumiem, kas rodas, SumUp ievērojot jūsu norādījumus vai pieprasījumus, saskaņā ar Papildu noteikumiem (tostarp šo DPA), ja tie neietilpst standarta funkcijās, ko SumUp vispārīgi nodrošina, sniedzot Pakalpojumus.

12.3. SumUp ir tiesības laiku pa laikam grozīt un/vai pielāgot jebkuru no šī DPA noteikumiem, kā nepieciešams. Tiks sniegts atbilstošs paziņojums par izmaiņām DPA, kuras SumUp veic atsevišķā Pielikumā vai izmantojot citas pamanāmas metodes, piemēram, publicējot DPA atjaunināto versiju savā tīmekļa vietnē. Apzīmējums “Pēdējoreiz grozīts” šī DPA augšdaļā norāda, kad šis DPA tika pēdējoreiz pārskatīts.

12.4. Visi jautājumi par šo DPA vai citi pieprasījumi, kas saistīti ar personas datu apstrādi, ir jānosūta mums uz [email protected]. SumUp centīsies atrisināt visas sūdzības, kas saistības ar Jūsu klientu datu izmantošanu, saskaņā ar šo DPA, Noteikumiem un SumUp iekšējām politikām.

12.5. Ja jebkurš no DPA nosacījumiem ir uzskatāms par spēkā neesošu, tas neietekmē pārējos nosacījumus. Puses aizstāj spēkā neesošos nosacījumus ar tiesisku nosacījumu, kas atspoguļo spēkā neesošā nosacījuma mērķi.

12.6. Šo DPA reglamentē un interpretē saskaņā ar tiesību aktiem, kas reglamentē piemērojamos Papildu noteikumus.