Personas datu apstrāde

PERSONAS DATU APSTRĀDES UN INFORMĀCIJAS DROŠĪBAS POLITIKA

Rīgā, 2020. gada 14. septembrī

Saturs

1. Lietoto terminu definīcijas

2. Politikas mērķis un apjoms

3. Informācijas klasifikācija

4. Datu/informācijas apstrādē iesaistītās sistēmas

5. Personas datu apstrādes tiesiskais pamats

6. Personas datu apstrādes nolūki

7. Personas datu saņēmēju kategorijas

8. Personas datu glabāšanas ilgums

9. Klienta piekrišana datu apstrādei un tiesības to atsaukt

10. Darbinieku pienākumi

11. Piekļuves un aizsardzības pārvaldība

12. Drošības pasākumi

13. Aizliegtās darbības

14. Ziņošana par drošības incidentiem

1. 1. Lietoto terminu definīcijas

2. 2. Politikas mērķis un apjoms

   1. 2.1. Sabiedrības personas datu apstrādes un informācijas drošības politikas mērķis ir pasargāt Sabiedrības darbiniekus, partnerus un klientus no nelikumīgām vai kaitējošām personu tiešām vai netiešām, apzinātām vai neapzinātām darbībām, apstrādājot informāciju un datus, kas nonāk attiecīgo personu rīcībā, kā arī lietojot noteiktu aprīkojumu savu darba pienākumu izpildes vajadzībām.

   2. 2.2. Politika sniedz datu subjektam informāciju par personas datu apstrādes pamatu, nolūku, apjomu, aizsardzību un apstrādes termiņu.

   3. 2.3. Politika regulē informācijas apstrādi jebkādās sistēmās vai jebkādos nesējos, kas iesaistīti datu/informācijas apstrādē Sabiedrībā, neatkarīgi no tā, vai datu/informācijas apstrāde ir saistīta ar Sabiedrības iekšējām komercdarbības operācijām vai Sabiedrības ārējām attiecībām ar jebkādām trešajām pusēm.

   4. 2.4. Šī Politika regulē arī to, kā Sabiedrības Darbinieki lieto viņiem pieejamo aprīkojumu un rīkus, savu darba pienākumu veikšanas ietvaros. 

   5. 2.5. Politika var būt piemērojama kopā ar jebkādām citām politikām, noteikumiem, procedūrām un/vai vadlīnijām, ko periodiski pieņem un ievieš Sabiedrība.

   6. 2.6. Ar visiem personu datu apstrādes, informācijas drošības sistēmas jautājumiem un informācijas/datu drošības jautājumiem, kas nav atrunāti šajā Politikā, jāvēršas pie Sabiedrības valdes.

3. 3. Informācijas klasifikācija

   1. 3.1. Jebkādu informāciju/datus, kas kļūst pieejami Darbiniekiem, veicot savus darba pienākumus, ja šāda informācija/dati ir saistīti ar Sabiedrību un tā darbību, klientiem vai sadarbības partneriem, uzskata par Sabiedrībai piederošu un konfidenciālu informāciju, ko, līdz ar to, aizsargā atbilstoši piemērojamie normatīvie akti par konfidenciālas informācijas, tirdzniecības/komercnoslēpumu un personas datu aizsardzību.

   2. 3.2. Lai nodrošinātu pienācīgu informācijas un datu aizsardzību, Sabiedrība veic iekšējo informācijas klasifikāciju. Informāciju/datus aizsargā neatkarīgi no tā, vai šāda informācija ir nonākusi Darbinieka rīcībā drukātu materiālu veidā, jebkādās datu uzglabāšanas ierīcēs, audio/video materiālu veidā vai jebkādā citā veidā.

   3. 3.3. Sabiedrība lieto šādu vispārīgu informācijas klasifikāciju:

4. 4. Datu/informācijas apstrādē iesaistītās sistēmas

   1. 4.1. Jebkādas informācijas sistēmas, tostarp, bet ne tikai datortehnika, jebkāda veida programmatūra,  operētājsistēmas, jebkādas uzglabāšanas vides, tīkla konti, elektroniskā pasta konti, pārlūku sistēmas un jebkāda cita tehniskā bāze un rīki, ko izmanto Sabiedrības darbībā, uzskatāmi par Sabiedrības īpašumu.

   2. 4.2. Ikvienam Darbiniekam ir pienākums lietot šādu tehnisko aprīkojumu un rīkus ar pienācīgu rūpību un uzmanību, un tikai ar Sabiedrības komercdarbību saistītiem mērķiem. Vienīgais izņēmums ir gadījumi, kad Sabiedrība ir piešķīris Darbiniekam tehnisko aprīkojumu (piemēram, mobilā tālruņa ierīci), sniedzot skaidru piekrišanu to lietot arī personīgām vajadzībām.

5. 5. Personas datu apstrādes tiesiskais pamats

   1. Sabiedrība apstrādā personas datus, balstoties uz šādiem tiesiskajiem pamatiem:

      1. 5.1. līguma noslēgšanai un izpildei;

      2. 5.2. normatīvo aktu izpildei;

      3. 5.3. saskaņā ar datu subjekta piekrišanu;

      4. 5.4. lai realizētu no Sabiedrības un klienta starpā pastāvošajām saistībām vai noslēgtā līguma vai likuma izrietošās Sabiedrības likumīgās intereses.

6. 6. Personas datu apstrādes nolūki

   1. Sabiedrība apstrādā personas datus:

      1. 6.1. klientu identificēšanai;

      2. 6.2. līgumu sagatavošanai, noslēgšanai, papildināšanai, pārslēgšanai un izbeigšanai;

      3. 6.3. klientu apkalpošanai;

      4. 6.4. noslēgto līgumu saistību izpildei;

      5. 6.5. norēķinu administrēšanai;

      6. 6.6. parādu piedziņai;

      7. 6.7. pakalpojumu lietošanas veicināšanai un izplatīšanai;

      8. 6.8. klientu aptauju veikšanai;

      9. 6.9. atskaišu sagatavošanai;

      10. 6.10. uzskaitei, plānošanai un statistikai;

      11. 6.11. informācijas sniegšanai valsts pārvaldes iestādēs un operatīvās darbības subjektiem Latvijas Republikā spēkā esošajiem normatīvajos aktos noteiktajos gadījumos un apjomā.

7. 7. Personas datu saņēmēju kategorijas

7. 1. Sabiedrība neizpauž trešajām personām klientu personas datus vai jebkādu pakalpojumu sniegšanas un līguma darbības laikā iegūtu informāciju, tajā skaitā informāciju par saņemtajiem pakalpojumiem, izņemot:

      1. 7.1. ja attiecīgajai trešajai personai datu jānodod noslēgtā līguma ietvaros, lai veiktu kādu līguma izpildei nepieciešamu vai ar likumu deleģētu funkciju, piemēram, bankai norēķinu ietvaros;

      2. 7.2. rēķinu sagatavošana un piegāde klientam;

      3. 7.3. pasta sūtījumu izsūtīšana klientam;

      4. 7.4. saskaņā ar klienta skaidru un nepārprotamu piekrišanu;

      5. 7.5. Latvijas Republikā spēkā esošajos normatīvajos aktos paredzētajām personām pēc viņu pamatota pieprasījuma Latvijas Republikā spēkā esošajos normatīvajos aktos noteiktajā kārtībā un apjomā;

      6. 7.6. Latvijas Republikā spēkā esošajos normatīvajos aktos noteiktos gadījumos Sabiedrības likumīgo interešu aizsardzībai, piemēram, vēršoties tiesā vai citās valsts institūcijās pret personu, kura ir aizskārusi šis Sabiedrības likumīgās intereses.

8. 8. Personas datu glabāšanas ilgums

   1. 8.1. Sabiedrība glabā un apstrādā klientu personas datus, kamēr pastāv vismaz viens no šādiem kritērijiem:

      1. 8.1.1 ir spēkā ar klientu noslēgtais līgums;

      2. 8.1.2. kamēr Latvijas Republikā spēkā esošajos normatīvajos aktos noteiktos aktos noteiktajā kārtībā Sabiedrība vai klients var realizēt savas leģitīmās intereses, piemēram, celt prasību tiesā;

      3. 8.1.3. kamēr kādai no pusēm pastāv juridisks pamats datus glabāt;

      4. 8.1.4. kamēr ir spēkā klienta piekrišana attiecīgai personas datu apstrādei, ja nepastāv cits tiesisks datu apstrādes pamats.

   2. 8.2. Izbeidzoties Politikas 8.1.punktā minētajiem apstākļiem, klienta personas dati tiek dzēsti.

9. 9. Klienta piekrišana datu apstrādei un tiesības to atsaukt

   1. 9.1. Klienta piekrišanu personas datu apstrādei, kuras tiesiskais pamats ir piekrišana, klients var dot klātienē Sabiedrības struktūrvienībās Rīgā Ganību Dambī 25E, Priedaines ielā 35A, A.Saharova ielā 9A, Šmerļa ielā 3, Lubānas iela 129D, Kroņu ielā 11 vai rakstot uz e-pastu info@riepugaraza.lv.

   2. 9.2. Klientam ir tiesības atsaukt datu apstrādi doto piekrišanu tādā pat veidā, kādā tā dota - Sabiedrības struktūrvienībās Rīgā Ganību Dambī 25E, Priedaines ielā 35A, Brīvības gatvē 401C, Lubānas iela 129D, Kroņu ielā 11 vai rakstot uz e-pastu info@riepugaraza.lv.

   3. 9.3. Piekrišanas atsaukums neietekmē datu apstrādes, kuras veiktas tajā laikā, kad klienta piekrišana ir dota.

   4. 9.4. Klienta piekrišana nav nepieciešama un tās atsaukums neietekmē datu apstrādes, kuras veiktas uz citiem tiesiskajiem pamatiem, piemēram, noslēgta līguma pamata.

10. 10. Sabiedrības Darbinieku pienākumi

    1. 10.1. Jebkāda informācija/dati, kas nonāk Darbinieka rīcībā, pildot savus darba pienākumus, uzskatāmi par konfidenciāliem un lietojami kā konfidenciāli, ievērojot to aizsardzību saskaņā ar šo Politiku, un tos neizpauž nekādām trešajām pusēm, kamēr un ja vien Vadība nepaziņo, ka šāda informācija ir kļuvusi publiska vai ir kā citādi  pārklasificēta par informāciju, kas vairs netiek aizsargāta šajā Politikā paredzētajā kārtībā.

    2. 10.2. Visus personas datus un citu informāciju, ar kuras palīdzību var identificēt fizisku personu, ievāc un apstrādā tikai, ja tas ir nepieciešams un ciktāl tas ir nepieciešams Darbinieka darba pienākumu veikšanas nolūkā, ar nosacījumu, ka šādas darbības tiek veiktas Darbiniekam piešķirto pilnvaru robežās un saskaņā ar likumā paredzētajām datu aizsardzības prasībām (jo īpaši, saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula)).

    3. 10.3. Jebkādus datu pieprasījumus un/vai pieprasījumus par datu apstrādi, ko Darbinieks, veicot savus darba pienākumus, ir saņēmis no datu īpašniekiem – fiziskām personām, nekavējoties pārsūta turpmākai izskatīšanai Vadībai.

    4. 10.4. Ikvienam Darbiniekam ir pienākums ievērot šo Politiku, kā arī pildīt spēkā esošo vietējo, reģionālo vai starptautisko normatīvo aktu prasības, kas paredz informācijas/datu apstrādes un aizsardzības nosacījumus. Politikas neievērošanu uzskata par būtisku noteiktās darba kārtības pārkāpumu un tā rezultātā, pēc Sabiedrības ieskatiem, Darbiniekam var piemērot disciplinārsodu vai atlaist Darbinieku no darba. Tas tāpat var izraisīt pārkāpumu pieļāvušā Darbinieka saukšanu pie administratīvās vai kriminālās atbildības.

11. 11. Piekļuves un aizsardzības pārvaldība

    1. 11.1. Darbinieki var piekļūt jebkādām Darbiniekiem pieejamām ierīcēm, ja tas nepieciešams attiecīgo Darbinieku darba pienākumu veikšanas vajadzībām un atbildības ietvaros. Piekļuves tiesības jebkādai sistēmai nenozīmē, ka Darbinieks ir pilnvarots apskatīt vai lietot visu attiecīgajā sistēmā esošo informāciju.

    2. 11.2. Izmantotie lietotāja ID ir unikāli un identificē konkrētu Darbinieku. Ikviens Darbinieks atbild par visām darbībām  kas saistītas ar viņa/viņas personīgo ID kontu, līdz ar to, primārais pienākums ir nodrošināt, lai Darbinieka ID nebūtu pieejams nekādām trešajām pusēm un pat ne citiem Darbiniekiem, ja vien Sabiedrība nav noteicis citu kārtību.

    3. 11.3. Sistēmas drošības paroles izveido ar pienācīgu rūpību, ar nosacījumu, ka tās nevar viegli atminēt, tās neietver personas datus un tās tiek regulāri mainītas (vismaz reizi 3 (trīs) mēnešos). Ikviens Darbinieks personīgi atbild par savas drošības paroles atbilstību šai Politikai un jebkādiem citiem Sabiedrības noteikumiem.

    4. 11.4. Darbinieks piekļūst konfidenciālai informācijai /datiem tikai, ja šādas pilnvaras ir paredzētas attiecīgā Darbinieka Darba līgumā, un/vai ja Sabiedrība ir piešķīris Darbiniekam šādas pilnvaras.

12. 12. Drošības pasākumi

    1. 12.1. Visiem jebkādā formā (drukātā, elektroniskā, u.tml.) ievāktiem un apstrādātiem datiem un informācijai piemērojamas šīs Politikas un jebkāda normatīvā regulējuma prasības attiecībā uz datu/informācijas ievākšanu, apstrādi, aizsardzību un uzglabāšanu, un šādus dokumentus uzglabā Sabiedrības norādītā, drošā vietā ar tādu uzglabāšanas termiņu, kādu paredz piemērojamie likumi un/vai norāda Sabiedrība.

    2. 12.2. Darbiniekiem aizliegts glabāt jebkādu konfidenciālu informāciju savās ierīcēs, izņemot informāciju, kas ir īslaicīgi nepieciešama konkrētai, ar darbu saistītai darbībai. Visa nepieciešamā konfidenciālā un personīgi identificējamā informācija jāuzglabā tikai Sabiedrības IT personāla apstiprinātā mākoņa krātuvē un Sabiedrības iekštīklā. Ir jāizvairās no jebkādas šādu datu lejupielādēšanas vietējās ierīcēs  un tas jādara tikai, ja tas ir pamatoti nepieciešams saistībā ar informācijas apstrādi darba vajadzībām.

    3. 12.3. Pienācīgi pilnvarots Sabiedrības IT personāls ir tiesīgs filtrēt un pārraudzīt Darbinieku interneta piekļuvi un Darbinieku internetā veiktās darbības saskaņā ar piemērojamo normatīvo aktu prasībām.

    4. 12.4. Jebkurām mobilajām, portatīvajām ierīcēm (tostarp, klēpjdatoriem, planšetēm, viedtālruņiem un citām plaukstdatoru ierīcēm), kā arī jebkādām mākoņa informācijas uzglabāšanas vietām jābūt apstiprinātām no Sabiedrības IT personāla puses un pienācīgi aizsargātām, lai novērstu neautorizētu piekļuvi.

    5. 12.5. Sabiedrībā lietotajā aprīkojumā un rīkos var instalēt un lietot tikai Sabiedrības licencētas un autorizētas  sistēmas un programmatūru. Pirms jebkādas programmatūras lejupielādēšanas vai instalēšanas Darbiniekiem piederošās un lietotās ierīcēs šajā Politikā aprakstītajiem mērķiem, ir jāsaņem IT personāla atļauja.

    6. 12.6. Gadījumos, kad Darbinieki lieto personīgās (mājas) ierīces, lai piekļūtu Sabiedrības korporatīvajiem resursiem (piemēram, klientu attiecību pārvaldības (CRM) programma, elektroniskais pasts, tiešsaistes / mākoņa datubāzes), Darbiniekiem ir pienākums ievērot šīs Politikas prasības tieši tāpat kā ja viņi lietotu Sabiedrības nodrošināto aprīkojumu. Līdz ar to, ierīcē ir aizliegts glabāt jebkādus ar Sabiedrību saistītus datus un informāciju; jebkāda datu apstrāde ir pieļaujam tikai ar Sabiedrības lietoto mākoņa un tiešsaistes glabāšanas vietu starpniecību.

    7. 12.7. Jebkurā gadījumā, ir stingri aizliegts izmantot publiskas piekļuves ierīces (piemēram, interneta kafejnīcās, bibliotēkās, u.tml.), ja vien tas nav kritiski un steidzami nepieciešams saistībā ar darbu un Darbinieka Tiešais vadītājs ir sniedzis skaidru rakstveida piekrišanu šādai darbībai.

    8. 12.8. Gadījumā, ja Darbiniekam tiek piešķirtas tiesības piekļūt Sabiedrības klienta vai sadarbības partnera datņu glabāšanas sistēmai, Darbiniekam ir pienākums lietot klienta vai partnera piešķirtos piekļuves rīkus un ievērot sniegtos norādījumus par drošas informācijas/datu apstrādes prasībām (tostarp, šifrēšanas sistēmu, paroļu lietošana, datu lietošanas ierobežojumi, īpaši paredzētu atrašanās vietu lietošana, u.tml.).

    9. 12.9. Tiklīdz, pēc Sabiedrības ieskatiem, aizsargātie dati/informācija vairs nav nepieciešama Sabiedrības darbībai, šādus datus/informāciju dzēš, uznīcina visas to kopijas, un attiecīgās informācijas /datu apstrādē iesaistītos Darbiniekus attiecīgi informē par viņu pienākumu dzēst/iznīcināt un nodot atpakaļ Sabiedrībai informāciju/datus, kas viņiem vairs nav nepieciešami savu darba pienākumu veikšanai, un, jo īpaši, atdot atpakaļ Sabiedrībai, dzēst un iznīcināt kopijas, ja ar attiecīgo Darbinieku tiek izbeigtas darba tiesiskās attiecības.

    10. 12.10. Nekādu šajā Politikā minēto informāciju/datus nenosūta, nepārsūta un nekādā citā veidā neiesniedz Trešajai pusei, ja vien tas nav nepieciešams Darbinieka darba pienākumu izpildei, un tikai ciktāl tas ir nepieciešams šādu pienākumu izpildei. Gadījumā, ja datus pārsūta vai iesniedz Trešajām pusēm, ir noteikti jānodrošina datu aizsardzība un jāveic visi atbilstošie drošības pasākumi.

    11. 12.11. Sabiedrība auditē informācijas/datu apstrādē pielietotās sistēmas, lai kontrolētu nepārtrauktu atbilstību šai Politikai un piemērojamajām normatīvajām prasībām.

13. 13. Aizliegtās darbības

    1. 13.1. Izņemot īpaši paredzētus izņēmumus, nekādu Sabiedrībai, tā klientiem vai sadarbības partneriem piederošu aprīkojumu, sistēmas vai rīkus nekādā gadījumā un nekādos apstākļos nedrīkst izmantot ar Darbinieka darba pienākumiem vai ar Sabiedrības darbību nesaistītiem mērķiem.

    2. 13.2. Turpmāk minētās darbības ir stingri aizliegtas, bez izņēmumiem:

       1. 13.2.1. jebkuras personas vai Sabiedrības ar intelektuālā īpašuma tiesībām aizsargātu tiesību pārkāpšana, tostarp, bet ne tikai jebkādas nelegālas programmatūras, tiešsaistes platformu, jebkādu citu elektronisko saturu, kurus Sabiedrība nav licencēts lietot, uzstādīšana, kopēšana, izplatīšana vai uzglabāšana jebkādās Sabiedrības sistēmās vai aprīkojumā;

       2. 13.2.2. ar autortiesībām aizsargātu materiālu neautorizēta kopēšana;

       3. 13.2.3. jebkuras personas tiesību aizskaršana, pārmērīgi un bez vajadzības ievācot un apstrādājot attiecīgā subjekta personas datus;

       4. 13.2.4. piekļuve datiem, serverim vai kontam tādiem mērķiem, kas nav saistīti ar Sabiedrības komercdarbību vai attiecīgā Darbinieka darba pienākumu veikšanu;

       5. 13.2.5. programmatūras, tehniskās informācijas, šifrēšanas programmatūras vai tehnoloģijas eksportēšana, pārkāpjot piemērojamos starptautiskos vai nacionālos normatīvos aktus un/vai Sabiedrības norādījumus;

       6. 13.2.6. jebkādu datu vai informācijas, kurai ir īpašuma un/vai konfidenciāla vērtība Sabiedrībai, eksportēšana, ja šāda eksportēšana nav nepieciešama Sabiedrības komercdarbības vai Darbinieka darba pienākumu veikšanas gaitā, un/vai, ja tā pārkāpj Sabiedrības iekšējos noteikumus, piemērojamos normatīvos aktus;

       7. 13.2.7. Darbinieka konta paroles atklāšana citām personām un citu personu pielaišana lietot šādu kontu (tostarp, bet neaprobežojoties ar Darbinieka ģimenes locekļiem);

       8. 13.2.8. krāpniecisku produkcijas, preču vai pakalpojumu piedāvājumu izveide, izmantojot Sabiedrības kontu;

       9. 13.2.9. tīkla sakaru drošības pārkāpumu vai pārtraukumu īstenošana. Šādi drošības pārkāpumi iekļauj, bet tie neaprobežojas ar piekļuvi datiem, ja Darbinieks nav to paredzētais saņēmējs, vai pierakstīšanos serverī vai kontā, kuram Darbinieks nav skaidri pilnvarots piekļūt, ja vien šādas piekļuves tiesības nav piešķirtas Darbiniekam saistībā ar attiecīgā Darbinieka dalību konkrētā Sabiedrības projektā;

       10. 13.2.10. jebkādas programmas/skripta/komandas lietošana vai jebkāda veida ziņojuma nosūtīšana, ar nolūku ar jebkādiem līdzekļiem traucēt vai atspējot lietotāja darba sesiju.

14. 14. Ziņošana par drošības incidentiem

    1. 14.1. Par visiem informācijas/datu apstrādes drošības incidentiem vai iespējamiem incidentiem nekavējoties ir jāziņo Vadībai, kura, attiecīgi, veic visus pasākumus iespējamā kaitējuma novēršanai, radītā kaitējuma seku likvidēšanai un iepriekšējā drošības stāvokļa atjaunošanai.

    2. 14.2. Ja piemērojams, Vadībai ir pienākums nodrošināt turpmāku ziņošanu par datu/informācijas drošības pārkāpumu iestādēm un iesaistītajām fiziskajām personām, kā to paredz piemērojamie normatīvie akti un/vai Eiropas Savienības likumi.

____________________________________

Sabiedrība ar ierobežotu atbildību “Z222”

       Valdes loceklis