Fizisko personu datu apstrādes politika

I Mērķis

Politikas mērķis ir noteikt kārtību, kādā Sabiedrība veic personas datu apstrādi, nodrošina personas datu drošību un aizsardzību, nodrošina informāciju datu subjektiem par personas datu apstrādes mērķiem, tiesisko pamatu, kā arī nodrošina informāciju datu subjektiem par Sabiedrības, tās nolīgtajiem personas datu apstrādātājiem un citām personas datu apstrādē iesaistītajām personām.

II Lietotie saīsinājumi un termini

Apstrādātājs- fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kura Sabiedrības vārdā apstrādā personas datus.
Apstrāde - jebkura ar personas datiem veikta darbība (piemēram, vākšana, strukturēšana, glabāšana, pielāgošana, pārveidošana, nodošana, dzēšana). Datu subjekts - persona fiziska persona (klients, klienta pārstāvis, darbinieks), kuru var tieši vai netieši identificēt.
EEZ - Eiropas Ekonomikas zona.
ES - Eiropas Savienība. Īpašu kategoriju personas dati personas dati, kas atklāj personas rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, ģenētisko un biometrisko informāciju, veselības dati, dati par personas sodāmību un pārkāpumiem.
LR - Latvijas Republika.
Pārzinis - persona (Sabiedrība), kas attiecībā uz personas datu apstrādi nosaka personas datu apstrādes mērķus un apstrādes līdzekļus, kā arī atbild par personas datu apstrādi atbilstoši piemērojamo normatīvo aktu prasībām.
Personas dati / dati - jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu — datu subjektu.
Personas datu aizsardzības pārkāpums - drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.
Profilēšana - personas datu automātiska apstrāde ar mērķi izvērtēt noteiktas personīgās pazīmes.
Sabiedrība – SIA “ACM Project" un tās tiešās un netiešās līdzdalības meitas sabiedrības.
Uzraudzības iestāde - LR Datu valsts inspekcija.
VDAR - Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula

III Pamatnoteikumi

1. Sabiedrība šīs politikas izpratnē ir uzskatāma par datu pārzini.
2. Personas datu apstrādi Sabiedrība veic, ievērojot VDAR un citu piemērojamo normatīvo aktu prasības.
3. Sabiedrība veic datu apstrādi tikai tad, ja tam ir tiesisks pamats. Sabiedrības veiktajai personas datu apstrādei var būt dažādi tiesiskie pamati, piemēram, personas piekrišana datu apstrādei, personas un Sabiedrības līgumiskās attiecības, uz Sabiedrību attiecināma juridiska pienākuma izpilde saskaņā ar piemērojamo normatīvo aktu prasībām vai Sabiedrības leģitīmo interešu ievērošanas nodrošināšana.
4. Sabiedrība īpašu kategoriju personas datu apstrādi veic tikai tādos gadījumos, ja šādu datu apstrāde nepieciešama, lai izpildītu uz Sabiedrību attiecināmus juridiskus pienākumus saskaņā ar piemērojamo normatīvo aktu prasībām (piemēram, darbinieku obligāto veselības pārbaužu veikšana u.tml.).

5. Sabiedrība personas datu apstrādē ievēro šādus vispārējos principus:

5.1. dati tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā; Fizisko personu datu apstrādes politika 2/5;
5.2. dati tiek vākti konkrētos, skaidros un leģitīmos nolūkos un to turpmāko apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā;
5.3. dati ir adekvāti, atbilstīgi un ietver tikai to, kas ir nepieciešams apstrādes nolūkos (datu minimizēšana);
5.4. dati ir precīzi un, ja nepieciešams, tiek atjaunināti — neprecīzi personas dati nekavējoties tiek dzēsti vai laboti;
5.5. dati tiek glabāti veidā, kas pieļauj datu subjektu identifikāciju ne ilgāk kā tas nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā;
5.6. datus apstrādā, nodrošinot pienācīgu to drošību un konfidencialitāti, tostarp nepieļaujot neatļautu piekļuvi personas datiem vai to neatļautu izmantošanu, un neatļautu piekļuvi aprīkojumam, kas izmantots apstrādei.

IV Izklāsts

6. Datu apstrādes darbības, nolūki un apstrādes tiesiskais pamats

6.1. Sabiedrība atbilstoši Sabiedrības biznesa un atbalsta procesiem nosaka datu apstrādes darbības un to nolūkus, nodrošinot, ka Sabiedrības veiktajām apstrādes darbībām un to nolūkiem ir atbilstošs tiesiskais pamats.
6.2. Apstrādes darbību reģistrēšanai Sabiedrība var sagatavot un uzturēt datu apstrādes reģistru. Lēmumu par to, vai katrai konkrētai Sabiedrībai ir nepieciešams sagatavot datu apstrādes reģistru, kā arī norīkot datu aizsardzības speciālistu, pieņem SIA “ACM PROJECT”, Valde. Datu apstrādes reģistrs ir obligāts, ja:
6.2.1. Sabiedrībā tiek nodarbināti vismaz 250 darbinieki vai
6.2.2. kāda no Sabiedrības veiktajām datu apstrādes darbībām ietver būtiskus riskus datu subjekta tiesībām un brīvībām, vai
6.2.3. datu apstrāde ir regulāra biznesa procesa sastāvdaļa, vai
6.2.4. datu apstrāde ietver īpašu kategoriju personas datu apstrādi.
6.3. Datu apstrādes reģistrā ietver šādu informāciju:
6.3.1. pārziņa un datu aizsardzības speciālista (ja tāds ir norīkots) kontaktinformācija;
6.3.2. datu apstrādes darbības un atbilstoši datu apstrādes mērķi; 6.3.3. datu subjektu kategoriju un personas datu kategoriju apraksts;
6.3.4. datu saņēmēju kategorijas, tostarp trešās valstis vai starptautiskās organizācijas; 6.3.5. informācija par datu nosūtīšanu, pamatojums un garantijas, ja dati tiek sūtīti uz trešo valsti;
6.3.6. paredzētie termiņi dažādu kategoriju datu dzēšanai;
6.3.7. ja iespējams, tehnisko un organizatorisko drošības pasākumu vispārējs apraksts.
6.4. Sabiedrība nodrošina, ka pēc pieprasījuma datu apstrādes reģistrs ir pieejams uzraudzības iestādei.
6.5. Datu apstrādes reģistrā papildus ietver arī informāciju par apstrādes darbībām, kuras Sabiedrība veic kā apstrādātājs citu pārziņu vārdā.
6.6. Datu apstrādes reģistrs tiek uzturēts elektroniskā formā kā Sabiedrības iekšējais normatīvais dokuments.
6.7. Sabiedrība veic datu apstrādi šādos vispārējos nolūkos:
6.7.1. personu identifikācija;
6.7.2. normatīvo aktu prasību izpilde;
6.7.3. līgumu noslēgšana un izpilde;
6.7.4. klientu, kreditoru, debitoru, partneru un citu saistīto personu attiecību vadība;
6.7.5. personāla vadība;
6.7.6. Sabiedrības interešu aizsardzība, tajā skaitā fiziskās un informācijas drošības nodrošināšana.
6.8. Sabiedrība var veikt datu apstrādi arī citos, 6.7.punktā neminētos nolūkos ar nosacījumu, ka šādi nolūki ir leģitīmi un skaidri noteikti datu apstrādes reģistrā vai citos Sabiedrības normatīvajos dokumentos un attiecībā uz šādu datu apstrādi tiek izpildītas šīs politikas un piemērojamo normatīvo aktu prasības.

7. Datu subjekti un apstrādāto personas datu kategorijas

7.1. Datu subjektu kategorijas, kuru personas datus apstrādā Sabiedrība:
7.1.1. Sabiedrības esošie un bijušie darbinieki, amatpersonas, pilnvarnieki, kā arī šo pozīciju kandidāti;
7.1.2. Sabiedrības darbinieku un amatpersonu ģimenes locekļi;
7.1.3. Sabiedrības klienti, to patiesie labuma guvēji, pārstāvji, pilnvarnieki, darbinieki;
7.1.4. Sabiedrības akcionāri, dalībnieki, patiesie labuma guvēji, to pārstāvji, pilnvarnieki, darbinieki;
7.1.5. Līguma partneri, kreditori, debitori, pakalpojumu sniedzēji, aģenti, konsultanti un ar tiem saistītās personas (pārstāvji, darbinieki, pilnvarnieki, patiesie labuma guvēji);
7.1.6. Sabiedrības biroju, telpu, teritorijas apmeklētāji.
7.2. Sabiedrība personas datus var iegūt gan no pašiem datu subjektiem, gan trešajām personām (piemēram, publiskie vai privātie reģistri). Sabiedrība pamatā apstrādā šādu kategoriju personas datus:
7.2.1. personas identifikācijas dati (vārds, uzvārds, personas kods, dzimšanas datums un vieta, identifikācijas dokumenta dati);
7.2.2. personas kontaktinformācija (pasta adrese, tālrunis, e-pasta adrese, Skype adrese, IP adrese u.c.);
7.2.3. dati par personas saimniecisko darbību (dati par personas ienākumiem, darījumiem, maksājumiem, nodokļiem, nodokļu rezidenci, cita finanšu informācija, informācija par saimniecisko darbību, finanšu līdzekļu izcelsmi, informācija par personas saistībām, garantijām, galvojumiem, informācija par kontiem finanšu Fizisko personu datu apstrādes politika 3/5 iestādēs, kontos veiktajiem darījumiem, kontu izraksti, pārskati, līgumi, pavadzīmes, rēķini, darījumus pamatojošie dokumenti un citi saimnieciskās darbības dokumenti);
7.2.4. informācija un dati, kas attiecas uz noslēgtajiem darījumiem, līgumiem;
7.2.5. vizuālie dati (ieraksti no videonovērošanas kamerām, kas ir izvietotas Sabiedrības objektos un piegulošajā teritorijā);
7.2.6. dati, kas tiek iegūti un apstrādāti darba attiecību ietvaros ar Sabiedrības darbiniekiem (piemēram, informācija par darba samaksu, iepriekšējām darba vietām, izglītību, veselību u.tml.).

8. Datu subjekta informēšana un tiesības

8.1. Uzsākot personas datu apstrādi noteiktos nolūkos vai mainot apstrādes nolūkus, Sabiedrība sniedz datu subjektam informāciju par Sabiedrības veikto personas datu apstrādi saskaņā ar šo politiku un atbilstoši VDAR prasībām.
8.2. Datu subjektam, iesniedzot rakstveida iesniegumu Sabiedrībai, ir tiesības iepazīties ar saviem datiem, pieprasīt to labošanu, apstrādes ierobežošanu, tiesības atsaukt savu piekrišanu un iebilst pret Sabiedrības veikto datu apstrādi, kā arī tiesības uz datu pārnesamību.
8.3. Sabiedrība saskaņā ar VDAR nodrošina šādas datu subjekta tiesības:
8.3.1. subjekta datus var apstrādāt tikai tad, ja datu apstrādei ir atbilstošs tiesiskais pamats; 8.3.2. subjektam ir tiesības saņemt informāciju par Sabiedrības veikto personas datu apstrādi un datu subjekta tiesību īstenošanu;
8.3.3. subjektam ir tiesības saņemt apstiprinājumu, ja viņa datus neapstrādā;
8.3.4. subjektam ir tiesības piekļūt saviem datiem un saņemt informāciju par datu apstrādes nolūkiem un apstrādes tiesisko pamatu, datu kategoriju, datu saņēmēju, glabāšanas termiņu, informāciju par citiem datu avotiem, ja personas dati iegūti no trešajām personām, uzstādīto profilu (profilēšanas gadījumā), garantijām, ja dati tika nosūtīti trešajai pusei vai starptautiskai organizācijai;
8.3.5. subjektam ir tiesības saņemt informāciju par to, vai personas datu sniegšana ir saistīta ar likumu vai līgumu, vai datu sniegšana ir priekšnosacījums līguma noslēgšanai, kā arī informāciju par to, ka subjektam ir jāsniedz personas dati, un sekām gadījumā, ja šie dati netiks iesniegti;
8.3.6. subjektam ir tiesības uzzināt par automātisko lēmumu pieņemšanu, ieskaitot profilēšanu, un tās sekām;
8.3.7. subjektam ir tiesības uzzināt iepriekš par jaunu mērķi datu apstrādei;
8.3.8. subjektam ir tiesības iebilst pret datu apstrādi un atsaukt savu piekrišanu datu apstrādei, cik tālu to neierobežo piemērojamie normatīvie akti un tas nav pretrunā ar Sabiedrības pamatotām leģitīmām interesēm;
8.3.9. subjektam ir tiesības pieprasīt datu labošanu, ja dati ir nekorekti;
8.3.10. subjektam ir tiesības uz datu pārnešanu;
8.3.11. subjektam ir tiesības pieprasīt datu apstrādes ierobežošanu un/vai dzēšanu, ja tas nav pretrunā ar piemērojamo normatīvo aktu prasībām vai Sabiedrības likumīgām interesēm;
8.3.12. subjektam ir tiesības iesniegt sūdzību uzraudzības iestādei par personas datu izmantošanu, ja datu subjekts uzskata, ka pārkāptas tā tiesības un intereses saskaņā ar personas datu aizsardzībā piemērojamajiem normatīvajiem aktiem;
8.3.13. subjektam ir tiesības tikt informētam, ja attiecībā uz viņa personas datiem ir noticis personas datu aizsardzības pārkāpums, kas var radīt augstu risku datu subjekta tiesībām un brīvībām.
8.4. Informācija datu subjektam, kuru Sabiedrībai pēc datu subjekta pieprasījuma ir pienākums sniegt saskaņā ar VDAR un šī politikas prasībām, tiek izsniegta bez maksas un ne vēlāk kā viena mēneša laikā (ar iespēju šo termiņu pagarināt vēl uz diviem mēnešiem) pēc datu subjekta pieprasījuma saņemšanas. Ja datu subjekta pieprasījums ir acīmredzami nepamatots vai nesamērīgs, tai skaitā regulāri atkārtojas, Sabiedrība ir tiesīga neizpildīt šādu pieprasījumu vai piemērot datu subjektam maksu par informācijas izsniegšanu vai pieprasīto darbību veikšanu.
8.5. Sabiedrība nodrošina minēto datu subjekta tiesību izpildi datu subjektam, kuru Sabiedrība ir atbilstošā kārtā identificējusi.
8.6. Noteiktos gadījumos personas tiesības var netikt īstenotas vai ierobežotas, ja tas ir pamatots ar Sabiedrības leģitīmajām interesēm.

9. Datu apstrādātāji un datu saņēmēju kategorijas

9.1. Sabiedrība noteiktas apstrādes darbības var uzticēt datu apstrādātājiem, ja tie sniedz pietiekamas garantijas attiecībā uz datu un datu subjektu aizsardzību un apstrādes atbilstību Sabiedrības un piemērojamo normatīvo aktu prasībām.
9.2. Sabiedrība ar katru apstrādātāju noslēdz līgumu, kurā nosaka datu apstrādes prasības un apstrādātāja atbildību par veikto datu apstrādi saskaņā ar VDAR noteikto. 9.3. Attiecīgais apstrādātājs uzņemas atbildību par apstrādājamo datu drošību un atbilstību noteiktajam nolūkam saskaņā ar piemērojamo normatīvo aktu prasībām.
9.4. Sabiedrība, cik tālu tas ir nepieciešams apstrādes darbību veikšanai un pamatots ar apstrādes nolūkiem, var izpaust personas datus šādiem datu saņēmējiem:
9.4.1. Sabiedrības pārvaldes institūciju locekļi, darbinieki, pārstāvji, pilnvarnieki;
9.4.2. Sabiedrības sadarbības partneri, piegādātāji, pakalpojumu sniedzēji un datu apstrādātāji;
9.4.3. finanšu pakalpojumu sniedzēji (kredītiestādes, maksājumu iestādes);
9.4.4. Sabiedrības juridiskie, nodokļu konsultanti, auditori un revīzijas pakalpojumu sniedzēji; Fizisko personu datu apstrādes politika 4/5
9.4.5. valsts institūcijas, valsts amatpersonas, izmeklēšanas iestādes, tiesas, prokuratūra, operatīvās darbības subjekti, citas kompetentas iestādes, kurām ir tiesības saņemt datus, pamatojoties uz Sabiedrībai saistošām normatīvo aktu prasībām;
9.4.6. citām personām, ja Sabiedrībai ir pamats izpaust personas datus atbilstoši nolūkiem, kādos dati tiek apstrādāti, un datu izpaušanai ir atbilstošs tiesiskais pamats.
9.5. Sabiedrība datu nodošanu datu saņēmējiem (neatkarīgi no datu saņēmēja rezidences — LR, ES, EEZ vai ārpus tās) nodrošina, ievērojot piemērojamo normatīvo aktu prasības un, ja nepieciešams, noslēdzot atbilstošu līgumu starp Sabiedrību un datu saņēmēju, kas ietver datu neizpaušanas un citas datu apstrādes prasības.

10. Automatizēta apstrāde un lēmumu pieņemšana

10.1. Noteiktos gadījumos Sabiedrība var veikt personu profilēšanu un profilēšanai atbilstošu lēmumu pieņemšanu, ja to paredz piemērojamie normatīvie akti vai tas ir nepieciešams, lai izpildītu iepriekš noslēgtu līgumu ar datu subjektu, vai šādai apstrādei ir saņemta iepriekšēja datu subjekta piekrišana, vai šāda personas datu apstrāde ir pamatota ar Sabiedrības leģitīmajām interesēm.

11. Datu apstrādes apjoms un glabāšanas termiņi

11.1. Sabiedrība glabā personas datus ne ilgāk kā tas pamatoti nepieciešams nolūkiem, kādiem konkrētie personas dati tiek apstrādāti. Personas datu glabāšanas termiņus Sabiedrība nosaka, pamatojoties uz piemērojamiem normatīvajiem aktiem vai Sabiedrības leģitīmajām interesēm.
11.2. Dati par klientiem, kas tiek iegūti un apstrādāti, pamatojoties uz noslēgtu līgumu, tiek glabāti, kamēr ir spēkā Sabiedrības līgums ar klientu un 10 gadus pēc līguma spēka zaudēšanas, pamatojoties uz Sabiedrības pienākumu glabāt darījuma attaisnojuma dokumentus saskaņā ar grāmatvedību regulējošo normatīvo aktu prasībām, prasījuma tiesību vispārējo noilgumu un iespēju, ka klients var atkārtoti izvēlēties noslēgt līgumu ar Sabiedrību par pakalpojumu sniegšanu.
11.3. Vizuālie dati tiek glabāti ne ilgāk par 2 nedēļām (14 dienām) pēc to ierakstīšanas. Beidzoties minētajam termiņam, attiecīgie dati tiek dzēsti, izņemot gadījumus, kad konkrētu ierakstu tā glabāšanas termiņā ir pieprasījusi tiesībsargājošā iestāde noziedzīgu nodarījumu izmeklēšanai vai arī Sabiedrība, fiksējot noziedzīga nodarījuma pazīmes vai Sabiedrības īpašuma vai Sabiedrības darbinieku veselības, dzīvības vai īpašuma apdraudējumu, ir atsevišķi saglabājusi attiecīgo ierakstu kā pierādījumu, kas izmantojams Sabiedrības tiesību un interešu aizsardzībai normatīvajos aktos noteiktajā kārtībā.
11.4. Sabiedrība patur sev tiesības dzēst atsevišķu informāciju pirms noteiktā termiņa, ja to neaizliedz piemērojamie normatīvie akti.

12. Personas datu aizsardzība

12.1. Sabiedrība nodrošina personas datu konfidencialitāti un veic nepieciešamos tehniskos un organizatoriskos pasākumus, lai nodrošinātu personas datu aizsardzību pret dažādas iespējamības un ietekmes pakāpes riskiem (piemēram, nesankcionēta piekļuve, pretlikumīga apstrāde, nejauša iznīcināšana un/vai pazaudēšana) attiecībā uz datu subjekta tiesībām un brīvībām, ņemot vērā esošo tehnikas līmeni, nozares praksi, ieviešanas izmaksas un personas datu apstrādes veidu, apmēru, nolūkus.
12.2. Sabiedrība regulāri pārskata veiktos drošības pasākumus un aktualizē izmantotos tehniskos līdzekļus un organizatoriskos pasākumus.
12.3. Ja apstrādes veids, jo īpaši izmantojot tehnoloģijas un ņemot vērā apstrādes raksturu, apjomu un nolūkus, var radīt augstu risku personas tiesībām un brīvībām, Sabiedrība pirms apstrādes veic novērtējumu par to, kā apstrādes darbības ietekmēs personas datu aizsardzību (novērtējums par ietekmi uz datu aizsardzību).
12.4. Sabiedrība ieceļ datu aizsardzības speciālistu, ja:
12.4.1. Sabiedrības pamatdarbība sastāv no apstrādes darbībām, kas ietver regulāru un sistemātisku datu subjekta novērošanu plašā mērogā;
12.4.2. tiek uzsākta īpašu kategoriju personas datu apstrāde plašā mērogā.

13. Paziņošana par personas datu aizsardzības pārkāpumu

13.1. Sabiedrība paziņo uzraudzības iestādei par personas datu aizsardzības pārkāpuma gadījumu 72 stundu laikā no brīža, kad par pārkāpumu kļuvis zināms.
13.2. Sabiedrība dokumentē visus personas datu pārkāpumus, to apstākļus, sekas un veiktās koriģējošās darbības.
13.3. Sabiedrība savlaicīgi informē datu subjektu par konstatētu datu aizsardzības pārkāpumu, ja datu aizsardzības pārkāpums varētu radīt augstu risku fiziskas personas tiesībām un brīvībām.

14. Datu rezidence

14.1. Sabiedrība apstrādā datus LR teritorijā.
14.2. Datu nosūtīšana uz trešo valsti vai starptautisko organizāciju ir iespējama, pamatojoties uz:
14.2.1. Eiropas Komisijas pieņemto lēmumu par trešās valsts datu aizsardzības līmeni;
14.2.2. atbilstošām garantijām (piemēram, piemērojot saistošos uzņēmuma noteikumus (binding corporate rules) vai Eiropas Komisijas apstiprinātās standarta datu aizsardzības klauzulas); Fizisko personu datu apstrādes politika 5/5 SIA “ACM Project” Vangažu iela22 Tālr.: +371 26148011 Reģ. Nr. 40003858273 Rīga, LV-1027, Latvija E-pasts: Šī e-pasta adrese ir aizsargāta no mēstuļu robotiem. Pārlūkprogrammai ir jābūt ieslēgtam JavaScript atbalstam, lai varētu to apskatīt.
14.2.3. izņēmuma tiesiskiem pamatiem.

15. Politikas īstenošanas organizācija

15.1. Politikā noteikto pasākumu īstenošanai Sabiedrība, ja nepieciešams, izstrādā citus normatīvos dokumentus, kā arī veic visus nepieciešamos pasākumus un organizē savu darbu tā, lai tie atbilstu šai politikai.
15.2. Katrs darbinieks ir atbildīgs par šīs politikas ievērošanu un, konstatējot jebkādas neatbilstības šīs politikas prasībām, darbinieka pienākums ir ziņot par to Sabiedrības Valde.