Privātuma politika

Pārzinis un atbildība

SIA EBL Consulting, reģistrācijas numurs 50203595801, Kaļķu iela 7, Rīga, LV-1050, Latvija, ir atbildīga kā pārzinis par tām personas datu apstrādes darbībām, kuru nolūkus un būtiskos līdzekļus tā nosaka, tostarp par savas tīmekļvietnes, institucionālo attiecību un lietotāju kontu administrēšanu.

Kontakti: mail@exanteon.com

Apstrādē, kas skar iesaistīto institūciju iesniegtos pārvaldības ierakstus, atbildības sadalījums starp Exanteon un šīm institūcijām ir atkarīgs no attiecīgās darbības nolūkiem un līdzekļiem.

Atkarībā no situācijas Exanteon var darboties kā pārzinis, kopīgs pārzinis vai apstrādātājs. Šie pienākumi jānosaka attiecīgajos līgumos un datu apstrādes vienošanās.

Ja Exanteon darbojas kā apstrādātājs, personas dati tiek apstrādāti saskaņā ar atbildīgā pārziņa dokumentētiem norādījumiem un piemērojamiem tiesību aktiem.

Datu kategorijas un avoti

Exanteon galvenokārt apstrādā informāciju par juridiskām personām un institucionālām saistībām.

Ja tiek apstrādāti personas dati, attiecīgās kategorijas var ietvert:

• Pārstāvju, administratoru un pilnvaroto lietotāju profesionālās identifikācijas un kontaktinformāciju.
• Institucionālo piederību, profesionālo amatu, paziņošanas pilnvaras un piekļuves atļaujas.
• Kontu autentifikācijas informāciju, tehniskos identifikatorus, piekļuves žurnālus un ar drošību saistītus metadatus.
• Saziņu, institucionālās pievienošanās informāciju un līguma pieņemšanas apliecinājumus.
• Personisku informāciju, kas nejauši ietverta pilnvarotos institucionālos paziņojumos, sarakstē vai pārvaldības dokumentācijā.

Informāciju var iegūt tieši no fiziskām personām, to var iesniegt iesaistītās institūcijas, tā var rasties, izmantojot Exanteon pakalpojumus, vai to var iegūt no likumīgiem institucionālās identitātes un pārbaudes avotiem.

No dalībniekiem tiek sagaidīts, ka viņi iesniegs tikai tādu informāciju, ko atļauj piemērojamais protokols un kas nepieciešama tā noteiktajam nolūkam.

Infrastruktūra nav paredzēta īpašu kategoriju personas datu, atsevišķu patērētāju profilu vai personiskas rīcības novērtējumu vākšanai. Šādu informāciju nedrīkst iesniegt, ja vien tas nav skaidri atļauts, juridiski pamatots un nodrošināts ar atbilstošām garantijām.

Apstrādes nolūki

Personas datus var apstrādāt šādiem nolūkiem:

• Institucionālai identifikācijai, atbilstības pārbaudei un dalības administrēšanai.
• Pilnvaroto pārstāvju autentifikācijai un piekļuves atļauju pārvaldībai.
• Piemērojamo pārvaldības protokolu darbībai un drošībai.
• Iesniegumu attiecināšanai, tehniskai apliecināšanai un atļauto ierakstu saglabāšanai.
• Līgumattiecību administrēšanai, rēķinu izrakstīšanai un attiecīgo juridisko pienākumu izpildei.
• Neatļautas piekļuves, ļaunprātīgas izmantošanas un tehnisku drošības incidentu novēršanai, izmeklēšanai un pārvaldībai.
• Institucionālai saziņai, pieprasījumiem un ar pakalpojumu saistītiem paziņojumiem.
• Datu subjektu pieprasījumu, labojumu, iebildumu un strīdu izskatīšanai, ja attiecināms.

Informācija tiek apstrādāta tikai noteiktiem, leģitīmiem nolūkiem un saskaņā ar piemērojamo tiesisko pamatu.

Apstrādes tiesiskais pamats

Tiesiskais pamats ir atkarīgs no konkrētās apstrādes darbības un attiecīgajām attiecībām.

Juridiski pienākumi — VDAR 6. panta 1. punkta c) apakšpunkts

Apstrāde, kas nepieciešama, lai izpildītu piemērojamos likumā noteiktos pienākumus, tostarp attiecīgās grāmatvedības, juridiskās un regulatīvās prasības.

Leģitīmās intereses — VDAR 6. panta 1. punkta f) apakšpunkts

Apstrāde, kas nepieciešama leģitīmiem nolūkiem, piemēram, institucionālai administrēšanai, profesionālai saziņai, kontu drošībai, infrastruktūras integritātes aizsardzībai un ļaunprātīgas izmantošanas novēršanai, ja vien pār šīm interesēm nav svarīgākas fizisko personu tiesības un brīvības.

Līguma izpilde — VDAR 6. panta 1. punkta b) apakšpunkts

Apstrāde, kas nepieciešama līguma ar attiecīgo fizisko personu izpildei vai pasākumu veikšanai pēc šīs personas pieprasījuma pirms līguma noslēgšanas, ja šis tiesiskais pamats ir piemērojams.

Līgums, kas noslēgts ar juridisku personu, automātiski nepadara līguma izpildi par piemērotu tiesisko pamatu visu tās pārstāvju personas datu apstrādei.

Piekrišana — VDAR 6. panta 1. punkta a) apakšpunkts

Apstrāde, kuras pamatā ir derīga piekrišana, ja tāda ir nepieciešama, tostarp attiecībā uz noteiktiem izvēles paziņojumiem vai nebūtiskām izsekošanas tehnoloģijām.

Piekrišanu var atsaukt jebkurā laikā, neietekmējot apstrādes likumību, kas veikta pirms atsaukšanas.

Ja Exanteon apstrādā personas datus cita pārziņa vārdā, attiecīgais pārzinis joprojām ir atbildīgs par atbilstoša tiesiskā pamata nodrošināšanu šai apstrādei.

Organizatoriskie rādītāji un profilēšana

Exanteon ir paredzēts institucionālo saistību un to vēlāk paziņotās attīstības reģistrēšanai, nevis atsevišķu patērētāju rīcības vērtēšanai.

Atsevišķi pārvaldības protokoli var veidot noteiktus organizatoriskus rādītājus, pamatojoties uz attiecināmiem paziņojumiem un paziņotiem notikumiem.

Šie rādītāji attiecas uz attiecīgo institucionālās paziņošanas ietvaru un nav rīcības neatkarīga pārbaude vai sertifikācija.

Exanteon nav paredzēts tādu lēmumu pieņemšanai, kuru pamatā ir tikai automatizēta apstrāde un kuriem ir juridiskas sekas vai līdzīga būtiska ietekme uz fiziskām personām.

Ja kāda apstrāde ir profilēšana VDAR izpratnē, piemēro attiecīgās pārredzamības, tiesiskā pamata un datu aizsardzības prasības.

Organizatorisku rādītāju izmantošana neatceļ VDAR aizsardzību, ja informāciju var sasaistīt ar identificējamām fiziskām personām.

Tehniskā apliecināšana un tokenizācija

Exanteon izmanto tehniskus reģistrēšanas un apliecināšanas mehānismus, lai saglabātu pierādījumus par iesniegto informāciju, tās attiecināto avotu, integritāti un reģistrēšanas laiku.

Var tikt izmantotas kriptogrāfiskas atsauces, jaucējvērtības (hash), marķieri (tokeni) vai citi tehniski identifikatori, ja to atbalsta piemērojamā tehniskā īstenošana.

Tehniskā apliecināšana attiecas uz ierakstu. Tā neatkarīgi nepierāda pamatā esošā paziņojuma patiesumu, precizitāti vai juridisko spēku.

Tokenizācija, jaucējvērtību izmantošana vai pseidonimizācija ne vienmēr padara informāciju anonīmu. Ja fiziska persona joprojām ir identificējama, attiecīgā informācija joprojām tiek uzskatīta par personas datiem.

Exanteon tehniskie pierādījumu mehānismi nav paredzēti tirgojamu finanšu instrumentu radīšanai vai pamatā esošās institucionālās rīcības juridiskai sertificēšanai.

Saņēmēji, pakalpojumu sniedzēji un saistība ar heyData

Personas dati, ja tas ir nepieciešams un likumīgi atļauts, var būt pieejami:

• Pilnvarotiem Exanteon darbiniekiem un pakalpojuma administratoriem.
• Līgumā noteiktiem mitināšanas, infrastruktūras, autentifikācijas, drošības un tehnisko pakalpojumu sniedzējiem.
• Maksājumu, grāmatvedības, juridisko un citu profesionālo pakalpojumu sniedzējiem, ja attiecināms.
• Pilnvarotām iesaistītajām institūcijām vai citiem saņēmējiem saskaņā ar noteiktu protokola piekļuves kārtību.
• Kompetentām iestādēm, ja izpaušanu prasa tiesību akti vai tā ir citādi likumīgi atļauta.

Uz pakalpojumu sniedzējiem, kas apstrādā personas datus Exanteon vārdā, attiecas atbilstoši līgumiskie un datu aizsardzības pienākumi.

Ja iesaistītās institūcijas saņem informāciju saviem nolūkiem, tām var būt patstāvīgi datu aizsardzības pienākumi.

Saistība ar heyData

SIA EBL Consulting uztur saistītas personas vai partnera attiecības ar heyData — datu aizsardzības un atbilstības pakalpojumu sniedzēju.

Šī saistība pati par sevi nav VDAR sertifikācija, heyData iecelšana par Exanteon datu aizsardzības speciālistu vai atļauja izpaust heyData informāciju par Exanteon dalībniekiem.

Uz jebkādiem atsevišķiem apstrādes, konsultāciju vai datu aizsardzības pakalpojumiem, kuros iesaistīts heyData, attiecas attiecīgie līgumiskie noteikumi un piemērojamās tiesību aktu prasības.

Pārrobežu nosūtīšana

Ja personas dati tiek nosūtīti ārpus Eiropas Ekonomikas zonas, Exanteon piemēro VDAR V nodaļas prasības.

Atkarībā no saņēmēja un galamērķa likumīgi nosūtīšanas mehānismi var ietvert Eiropas Komisijas lēmumus par aizsardzības līmeņa pietiekamību, apstiprinātas standartlīguma klauzulas vai citas piemērojamas garantijas.

Papildu pasākumi tiek apsvērti, ja to prasa nosūtīšanas apstākļi.

Informāciju par piemērojamām nosūtīšanas garantijām var pieprasīt, sazinoties ar Exanteon datu aizsardzības kontaktpunktu.

Datu glabāšana

Personas dati tiek glabāti tikai tik ilgi, cik nepieciešams attiecīgajam apstrādes nolūkam, ievērojot piemērojamos juridiskos pienākumus un pamatotas glabāšanas prasības.

Glabāšanas termiņu nosaka atbilstoši informācijas kategorijai un tās nolūkam.

Konta un dalības informācija tiek glabāta attiecīgo institucionālo attiecību laikā un, ja tas ir pamatoti, turpmāku līgumisku, juridisku vai administratīvu prasību izpildei.

Rēķinu un grāmatvedības informācija tiek glabāta saskaņā ar piemērojamiem likumā noteiktiem pienākumiem.

Autentifikācijas un drošības žurnāli tiek glabāti noteiktus periodus, kas ir samērīgi ar darbības drošības un incidentu izmeklēšanas prasībām.

Ar pārvaldību saistītie personas dati tiek glabāti saskaņā ar piemērojamajiem protokola noteikumiem, leģitīmiem pierādīšanas nolūkiem, līgumiskajiem pienākumiem un datu aizsardzības prasībām.

Exanteon pārvaldības ieraksta pastāvīgais raksturs neatceļ obligātās tiesības attiecībā uz personas datiem vai likumīgos glabāšanas ierobežojumus.

Ja nepieciešama labošana, apstrādes ierobežošana vai dzēšana, Exanteon piemēro attiecīgās procedūras atbilstoši savai juridiskajai lomai un piemērojamajiem apstrādes noteikumiem.

Datu komercializācijas un izpaušanas politika

SIA EBL Consulting nepārvalda Exanteon kā personas datu tirgu vai komerciālu datu starpniecības pakalpojumu.

Infrastruktūra ir paredzēta pārvaldības reģistrēšanas, tehniskās apliecināšanas un kontrolētas novērojamības pakalpojumu sniegšanai.

Personas dati un institucionālā pārvaldības informācija netiek pārdota vai iznomāta kā komerciālas datu kopas nesaistītām trešajām personām.

Piekļuvi pārvaldības ierakstiem regulē piemērojamie protokola nosacījumi, pilnvarošanas kārtība, konfidencialitātes pienākumi un tiesību aktu prasības.

Atkarībā no apstākļiem piekļuves pamatā var būt derīgas līgumiskas atļaujas, atbilstošs tiesiskais pamats, piemērojama piekrišana vai cits likumīgs izpaušanas mehānisms.

Institucionāls pilnvarojums neaizstāj identificējamu fizisko personu likumīgās tiesības.

Neviens protokols tikai dalības dēļ nepiešķir neierobežotu publisku piekļuvi visai reģistrētajai informācijai.

Sīkdatnes un tīmekļvietnes tehnoloģijas

Exanteon tīmekļvietne un autentificētā platforma var izmantot tehnoloģijas, kas nepieciešamas funkcionalitātei, autentifikācijai, drošībai un lietotāju preferencēm.

Uz izvēles analītiku, trešo personu integrācijām vai citām nebūtiskām izsekošanas tehnoloģijām attiecas piemērojamās pārredzamības un piekrišanas prasības.

Ja nepieciešama piekrišana, nebūtiskas tehnoloģijas nedrīkst aktivizēt pirms derīgas piekrišanas saņemšanas.

Lietotājiem jābūt iespējai atsaukt piekrišanu, izmantojot viegli pieejamu mehānismu.

Informācija par konkrētajām faktiski izmantotajām sīkdatnēm un līdzīgām tehnoloģijām, to nodrošinātājiem, nolūkiem un glabāšanas termiņiem ir pieejama attiecīgajā sīkdatņu informācijā un preferenču iestatījumos.

Drošība un integrēta datu aizsardzība

Exanteon pārvaldības arhitektūra balstās uz institucionālu attiecināmību, noteiktām piekļuves atļaujām, datu minimizēšanu un reģistrēšanas funkciju nošķiršanu no vēlākā posma lēmumiem.

Atbilstošiem tehniskajiem un organizatoriskajiem aizsardzības pasākumiem jāatbilst apstrādājamās informācijas raksturam un ar to saistītajiem riskiem.

Atkarībā no ieviestajām sistēmām tie var ietvert autentifikāciju, ierobežotu piekļuvi, audita žurnālus, integritātes aizsardzību, drošu saziņu un incidentu reaģēšanas procedūras.

Exanteon neatkarīgā reģistrēšanas infrastruktūra nenozīmē neierobežotu datu izpaušanu.

Drošības pasākumi un datu aizsardzības pienākumi var būt sīkāk dokumentēti piemērojamos līgumiskajos vai institucionālās padziļinātās izpētes (due diligence) materiālos.

Datu subjektu tiesības

Fiziskām personām saskaņā ar VDAR ir tiesības, ievērojot piemērojamos nosacījumus un ierobežojumus.

Tās ietver tiesības piekļūt datiem, labot tos, dzēst, ierobežot apstrādi, iebilst un, ja piemērojams, tiesības uz datu pārnesamību.

Fiziskas personas var atsaukt piekrišanu, ja apstrādes pamatā ir piekrišana, un var izmantot tiesības, kas saistītas ar attiecīgu automatizētu lēmumu pieņemšanu.

Pieprasījumus var nosūtīt uz:

mail@exanteon.com

Exanteon izvērtē pieprasījumus atbilstoši savai lomai attiecīgajā apstrādes darbībā.

Ja atbildīgais pārzinis ir cita iesaistītā institūcija, Exanteon var pārsūtīt pieprasījumu vai palīdzēt to izskatīt saskaņā ar piemērojamiem līgumiskajiem un juridiskajiem pienākumiem.

Pieprasījumi tiek izskatīti VDAR noteiktajos termiņos. Ja tas ir nepieciešams un samērīgi, var tikt pieprasīta identitātes pārbaude.

Sūdzības

Fiziskas personas, kuras uzskata, ka viņu personas dati ir apstrādāti nelikumīgi, var sazināties ar Exanteon, izmantojot iepriekš norādīto adresi.

Tām ir arī tiesības iesniegt sūdzību kompetentā datu aizsardzības uzraudzības iestādē.

Apstrādei, kuru uzrauga Latvijā, kompetentā iestāde ir:

Datu valsts inspekcija

Tīmekļvietne: https://www.dvi.gov.lv/en

Fiziskas personas var arī vērsties kompetentajā uzraudzības iestādē citā ES vai EEZ dalībvalstī, ja attiecināms.

Saistītā dokumentācija

Papildu informācija par līgumisko dalību, institucionālo piekļuvi un darbības pienākumiem ir sniegta šādos Exanteon dokumentos: Lietošanas noteikumi, Juridisks paziņojums, Rekvizīti, kā arī piemērojamajos dalības vai protokolu līgumos.