Datu apstrādes līgums
Spēkā no 25.10.2026
Šis līgums ir daļa no lietošanas noteikumiem. Tas ir spēkā starp SIA KREATIVE un katru klientu, kas lieto klientu portālu app.kreative.lv, un izpilda Vispārīgās datu aizsardzības regulas (ES) 2016/679 (VDAR) 28. panta prasības. Parakstītu eksemplāru klients var saņemt, rakstot uz info@kreative.lv.
Apstrādātājs: SIA KREATIVE, reģ. Nr. 40203677133, Raiņa iela 46/48, Liepāja, LV-3401, info@kreative.lv
Pārzinis: klients, kā norādīts sadarbības vienošanā un portāla kontā.
1. Kas ir kas
Klients nosaka, kāpēc un kā tiek apstrādāti tā kontaktu, e-pastu saņēmēju un apmeklētāju dati, tāpēc klients ir pārzinis. KREATIVE šos datus apstrādā tikai klienta uzdevumā, lai sniegtu portāla pakalpojumus, tāpēc KREATIVE ir apstrādātājs. Vārdi «personas dati», «apstrāde», «datu subjekts», «personas datu aizsardzības pārkāpums» un citi šeit nozīmē to pašu, ko VDAR.
Līgums neattiecas uz datiem, ko KREATIVE apstrādā pati savām vajadzībām (portāla lietotāju konti un pieslēgšanās, saziņa ar klientu, rēķini, pieteikumi mājaslapā). Par tiem stāsta privātuma politika.
2. Ko apstrādājam un kāpēc
| Dati | Kuru | Kāpēc |
|---|---|---|
| E-pasta kontaktu saraksti: e-pasta adrese, vārds, uzvārds, vai kontakts importēts vai pievienots ar roku, pievienošanas laiks | klienta kontakti (klienti, abonenti, partneri) | lai klients varētu glabāt sarakstus un sūtīt tiem e-pastus |
| E-pasta kampaņas: e-pasta saturs, katra saņēmēja nosūtīšanas, piegādes, atvēršanas un klikšķu laiki, noklikšķinātās saites, atlēcieni, sūdzības, atrakstīšanās | e-pastu saņēmēji | lai nosūtītu e-pastus, parādītu klientam rezultātus un vairs nesūtītu tiem, kas atrakstījušies vai sūdzējušies |
| Saišu klikšķi: laiks, ierīces veids, ražotājs un modelis, operētājsistēma, pārlūks vai lietotne, valsts, reģions, pilsēta, laika josla, valoda, interneta pakalpojumu sniedzējs, iepriekšējās lapas domēns, pseidonīms apmeklētāja identifikators (no sīkdatnes saišu domēnā) | cilvēki, kas atver klienta izsekošanas saites | lai parādītu klientam, kas un no kurienes uz saitēm klikšķina |
| Vietnes tags (k.js): apmeklējumi, skatītās lapas, klikšķi, formu iesniegšana (bez ievadītā teksta), klienta paša sūtītie notikumi (piemēram, pirkums un tā summa), ierīce, pārlūks, aptuvena atrašanās vieta, valoda, avots un UTM parametri, pseidonīms apmeklētāja identifikators (no pārlūka krātuves klienta vietnē) | klienta vietnes apmeklētāji | lai parādītu klientam, ko dara viņa vietnes apmeklētāji |
| Cits saturs, ko klients ievieto portālā (video, attēli, teksti, uzdevumi), ja tajā ir personas dati | personas, kas saturā redzamas vai minētas | lai to glabātu, rediģētu un publicētu pēc klienta norādījuma |
Klikšķiem un vietnes apmeklējumiem IP adreses neglabājam. Aptuveno atrašanās vietu brīdī, kad pieprasījums atnāk, nosaka Cloudflare, un saglabājam tikai to.
Ilgums: kamēr klients lieto portālu, un pēc tam līdz datu dzēšanai (9. punkts).
3. KREATIVE pienākumi
- Apstrādāt datus tikai pēc klienta dokumentētiem norādījumiem. Norādījumi ir šis līgums, lietošanas noteikumi un tas, ko klients dara portālā (piemēram, importē sarakstu, nosūta kampaņu, izveido saiti, uzstāda vietnes tagu). Ja kāds norādījums, mūsuprāt, pārkāpj VDAR vai citus datu aizsardzības tiesību aktus, uzreiz par to pasakām klientam.
- Izmantot datus tikai pakalpojuma sniegšanai: tos nepārdodam, nelietojam savam mārketingam, nejaucam kopā ar citu klientu datiem un neveidojam no tiem profilus saviem nolūkiem.
- Dot piekļuvi datiem tikai tiem darbiniekiem un sadarbības partneriem, kuriem tā vajadzīga pakalpojuma sniegšanai vai atbalstam un kuri ir apņēmušies ievērot konfidencialitāti vai kuriem tāds pienākums ir likumā.
- Ievērot drošības pasākumus (4. punkts) un noteikumus par apakšapstrādātājiem (5. punkts).
- Palīdzēt klientam atbildēt uz datu subjektu pieprasījumiem (6. punkts) un izpildīt VDAR 32.–36. panta pienākumus (drošība, pārkāpumu paziņošana, ietekmes novērtējums, iepriekšēja apspriešanās), ciktāl tie attiecas uz KREATIVE apstrādi un ciktāl KREATIVE ir vajadzīgā informācija.
- Dot klientam informāciju, kas vajadzīga, lai pierādītu šī līguma izpildi, un ļaut veikt pārbaudes (8. punkts).
- Ja likums liek KREATIVE izpaust klienta datus valsts iestādei, iepriekš par to paziņot klientam, ja vien likums to neaizliedz.
4. Drošība
KREATIVE īsteno riskam atbilstošus tehniskus un organizatoriskus pasākumus (VDAR 32. pants). Šobrīd tie ir šādi.
- Visi savienojumi ar portālu, tā API, saišu adresēm un e-pasta izsekošanas adresēm notiek pa šifrētu HTTPS (TLS).
- Datubāze un failu krātuves glabā datus šifrētus.
- Klientu dati ir nodalīti: katrs ieraksts pieder vienam klientam, datubāzes piekļuves noteikumi ļauj pieslēgtam lietotājam redzēt tikai sava uzņēmuma datus, un katrs portāla pieprasījums tiek pārbaudīts pret lietotāja sesiju.
- Servera atslēgas un pieslēgto sociālo tīklu piekļuves atslēgas glabājas tikai serverī; pārlūkprogramma tās neredz.
- No KREATIVE puses klientu datiem piekļūst tikai administratori. Atbalsta nolūkā administrators var atvērt klienta kontu tā, kā to redz klients.
- Klikšķiem un vietnes apmeklējumiem IP adreses neglabājam, un apmeklētāju apzīmē tikai pseidonīms identifikators.
- Uz adresēm, kas atrakstījušās vai sūdzējušās, klienta kampaņas netiek sūtītas.
Pasākumus pārskatām un uzlabojam. Tos var mainīt, ja aizsardzības līmenis nesamazinās.
5. Apakšapstrādātāji
Klients dod KREATIVE vispārēju atļauju piesaistīt apakšapstrādātājus. Šobrīd tie ir:
| Uzņēmums | Ko dara | Kur dati atrodas |
|---|---|---|
| Supabase, Inc. (ASV) | datubāze un lietotāju pieslēgšanās: kontaktu saraksti, e-pasta kampaņu un klikšķu dati, portāla saturs | Īrija (ES), AWS reģions eu-west-1 |
| Amazon Web Services (Amazon SES un Amazon SNS) | e-pastu nosūtīšana un ziņas par piegādi, atlēcieniem un sūdzībām | Vācija (ES), reģions eu-central-1 (Frankfurte) |
| Cloudflare, Inc. (ASV) | portāla un API mitināšana, saišu un e-pasta izsekošanas adreses, failu krātuve (R2), vietnes taga dati (D1), sūtīšanas rindas, servera žurnāli | Cloudflare globālais tīkls: pieprasījumu apstrādā tuvākajā datu centrā |
Kad klients pats publicē saturu Facebook, Instagram, TikTok vai LinkedIn, saturs nonāk šajās platformās pēc klienta norādījuma. Tās to apstrādā kā patstāvīgi pārziņi pēc saviem noteikumiem, nevis kā KREATIVE apakšapstrādātāji.
Ar katru apakšapstrādātāju KREATIVE ir līgums, kas tam uzliek tādus pašus datu aizsardzības pienākumus kā šis līgums. Par apakšapstrādātāju pienākumu izpildi KREATIVE klientam atbild tāpat kā par savējo.
Pirms jauna apakšapstrādātāja piesaistes vai esošā nomaiņas KREATIVE atjauno šo sarakstu un vismaz 30 dienas iepriekš paziņo klientiem pa e-pastu. Šajā laikā klients var pamatoti iebilst datu aizsardzības dēļ. Ja vienoties neizdodas, klients var bez līgumsoda pārtraukt tā pakalpojuma lietošanu, ko izmaiņas skar.
Ārpus ES. Datubāze un e-pasta sūtīšana atrodas ES, bet Supabase, Cloudflare un Amazon ir ASV uzņēmumi, un Cloudflare tīkls pieprasījumus apstrādā arī ārpus ES. Ja dati tiek nosūtīti vai ir pieejami ārpus Eiropas Ekonomikas zonas, tas notiek tikai ar VDAR V nodaļā paredzētu pamatu: ES un ASV Datu privātuma regulējumu, ja apakšapstrādātājs tam ir pievienojies, vai Eiropas Komisijas standarta līguma klauzulām.
6. Datu subjektu pieprasījumi
Klients portālā var pats dzēst kontaktus un sarakstus, un katrs e-pasta saņēmējs var pats atrakstīties ar saiti e-pastā. Ja datu subjekts ar pieprasījumu vēršas pie KREATIVE, mēs to bez nepamatotas kavēšanās pārsūtām klientam un paši pēc būtības neatbildam, ja vien klients to nelūdz. Pēc klienta lūguma palīdzam atrast, izsniegt, labot vai dzēst datus, ja klients to portālā nevar izdarīt pats.
7. Personas datu aizsardzības pārkāpumi
Ja KREATIVE uzzina par pārkāpumu, kas skar klienta personas datus (piemēram, tie nonākuši nepiederošu rokās, pazuduši vai bojāti), KREATIVE:
- paziņo klientam bez nepamatotas kavēšanās un ne vēlāk kā 48 stundu laikā pēc tam, kad par to uzzinājusi, uz klienta konta e-pasta adresi;
- pastāsta to, ko prasa VDAR 33. panta 3. punkts, ciktāl tas ir zināms: kas noticis, kādi dati un aptuveni cik cilvēku un ierakstu skarti, iespējamās sekas, ko KREATIVE dara un ko iesaka darīt klientam, un ar ko sazināties. Ko nezina uzreiz, paziņo vēlāk, tiklīdz uzzina;
- uzreiz dara visu, lai pārkāpumu apturētu un mazinātu tā sekas;
- pārkāpumu dokumentē un palīdz klientam paziņot Datu valsts inspekcijai un skartajiem cilvēkiem, ja tas vajadzīgs.
Paziņot uzraudzības iestādei un datu subjektiem ir klienta kā pārziņa pienākums; KREATIVE to klienta vārdā nedara bez klienta piekrišanas, ja vien to neprasa likums. Paziņojums pats par sevi nenozīmē, ka KREATIVE atzīst savu vainu.
8. Pārbaudes
Pēc klienta pieprasījuma KREATIVE sniedz informāciju, kas vajadzīga, lai pierādītu šī līguma izpildi. Ja ar to nepietiek, klients vai tā pilnvarots neatkarīgs auditors ar konfidencialitātes pienākumu var veikt pārbaudi: paziņojot vismaz 30 dienas iepriekš, darba laikā un ne biežāk kā reizi gadā, ja vien to neprasa uzraudzības iestāde vai nav noticis pārkāpums. Pārbaudes izmaksas sedz klients. Apakšapstrādātāju datu centrus pārbaudīt nevar; to vietā KREATIVE dod to neatkarīgo auditu ziņojumus (piemēram, SOC 2 vai ISO 27001), ciktāl tie KREATIVE ir pieejami.
9. Kad sadarbība beidzas
Pēc sadarbības beigām KREATIVE 30 dienu laikā dzēš klienta personas datus. Ja klients pirms tam lūdz, KREATIVE tos vispirms izsniedz izplatītā formātā (piemēram, CSV). Datus, kas palikuši apakšapstrādātāju rezerves kopijās, izdzēš to parastā rotācijā, un līdz tam tos neizmanto. Ilgāk datus glabājam tikai tad, ja to prasa ES vai Latvijas tiesību akti.
10. Klienta pienākumi
Klients kā pārzinis atbild par to, ka apstrāde ir likumīga. Klients jo īpaši:
- ievēro lietošanas noteikumu sadaļu «E-pasta kontakti un apmeklētāju dati»: sūta e-pastus tikai tiem, kam drīkst, un datus ir ieguvis likumīgi;
- informē datu subjektus par apstrādi (VDAR 13. un 14. pants), arī par to, ka KREATIVE ir apstrādātājs;
- neievieto portālā īpašu kategoriju datus (VDAR 9. pants) un datus par sodāmību (10. pants) un vietnes taga notikumos nesūta e-pasta adreses, vārdus, telefona numurus vai citus datus, kas tieši identificē cilvēku;
- dod tikai tādus norādījumus, kas atbilst tiesību aktiem.
11. Atbildība, izmaiņas un piemērojamie likumi
Pušu atbildību nosaka VDAR 82. pants un lietošanas noteikumi. Ja šis līgums un lietošanas noteikumi par personas datu apstrādi runā atšķirīgi, noteicošs ir šis līgums. Līgums ir spēkā, kamēr KREATIVE apstrādā klienta personas datus. Izmaiņas publicējam šeit, un būtiskas izmaiņas klientiem paziņojam pa e-pastu. Līgumu regulē Latvijas Republikas likumi.
Jautājumi par datu apstrādi: info@kreative.lv.