Datu apstrādes līgums

Pēdējās izmaiņas: 25.10.2026.

Šis Datu apstrādes līgums sastāv no trim daļām:

1. daļa. Līgums: līguma standartklauzulas papildinošie noteikumi
2. daļa. Līguma standartklauzulas: ar Komisijas Īstenošanas lēmumu (ES) 2021/915 pieņemtās klauzulas, kas iekļautas šajā līgumā ar atsauci
3. daļa. Pielikumi: I pielikums (puses), II pielikums (apstrāde), III pielikums (tehniskie un organizatoriskie pasākumi), IV pielikums (apakšapstrādātāji)

1. daļa. Līgums

1.1. Darbības joma

Šis Datu apstrādes līgums ("Līgums") ir daļa no Mozello Pakalpojuma sniegšanas noteikumiem un tiek noslēgts starp Mozello SIA ("apstrādātājs") un klientu, kura kontā ir pieņemti Pakalpojuma sniegšanas noteikumi ("pārzinis"). Tas ir Regulas (ES) 2016/679 28. panta 3. punktā paredzētais līgums attiecībā uz personas datiem, kurus apstrādātājs apstrādā pārziņa vārdā, sniedzot Mozello pakalpojumu, kā aprakstīts II pielikumā.

Ar Komisijas Īstenošanas lēmumu (ES) 2021/915 pieņemtās līguma standartklauzulas ("Klauzulas") ir šā Līguma sastāvdaļa, kā noteikts 2. daļā, kopā ar 3. daļā ietvertajiem I–IV pielikumiem. Klauzulās ir izvēlēti šādi varianti: 1. klauzulas a) punktā — 1. variants; 5. klauzula (pievienošanās klauzula) netiek izmantota; 7.7. klauzulas a) punktā — 2. variants ar 30 (trīsdesmit) dienu termiņu; 8. klauzulas c) punkta 4) apakšpunktā, 9.1. klauzulas b) un c) punktā un 9.2. klauzulas pēdējā rindkopā — 1. variants, lai atsauces būtu uz Regulu (ES) 2016/679.

Ja starp šo 1. daļu un Klauzulām ir pretrunas, noteicošās ir Klauzulas (4. klauzula).

1.2. Līguma noslēgšana

Līgums tiek noslēgts elektroniski, pieņemot Pakalpojuma sniegšanas noteikumus, un stājas spēkā apstrādātāja reģistrētajā noteikumu pieņemšanas datumā vai šīs Līguma redakcijas spēkā stāšanās datumā atkarībā no tā, kurš no šiem datumiem ir vēlāks.

1.3. Sensitīvi dati

Pakalpojums nav paredzēts īpašu kategoriju personas datu apstrādei Regulas (ES) 2016/679 9. panta izpratnē, kā arī tādu personas datu apstrādei, kas attiecas uz sodāmību un pārkāpumiem. Pārzinis apņemas neizmantot pakalpojumu šādu datu apstrādei un atzīst, ka apstrādātāja tehniskie un organizatoriskie pasākumi nav paredzēti šādu datu apstrādei.

1.4. Dokumentēti norādījumi

Pārziņa dokumentētos norādījumus 7.1. klauzulas izpratnē veido Klauzulas, pakalpojuma līgums un pārziņa veiktie iestatījumi un izvēles pakalpojumā. Papildu norādījumi tiek sniegti rakstveidā, izmantojot I pielikumā norādīto saziņas kanālu.

7.8. klauzulas a) punkta vajadzībām pārzinis uzdod apstrādātājam nosūtīt personas datus uz vietām, kas norādītas katram apakšapstrādātājam IV pielikumā minētajā sarakstā, pamatojoties uz šajā pielikumā norādītajiem pamatiem.

1.5. Palīdzība, izmantojot pakalpojuma funkcijas

Pakalpojuma funkcijas, ar kurām pārzinis pats var atrast, labot, eksportēt un dzēst personas datus, ir tehniskie pasākumi, ar kuriem apstrādātājs palīdz pārzinim saskaņā ar 8. klauzulu. Ja ar šīm funkcijām nepietiek, pārzinis pieprasa palīdzību, izmantojot I pielikumā norādīto saziņas kanālu.

1.6. Izmaiņas apakšapstrādātāju sarakstā

Apstrādātājs sniedz 7.7. klauzulas a) punktā prasīto informāciju, publicējot katru plānoto apakšapstrādātāja pievienošanu vai aizstāšanu un tās spēkā stāšanās datumu IV pielikumā norādītajā lapā, kur šī informācija ir pieejama arī RSS plūsmas veidā. Pārzinis piekrīt, ka šāda publicēšana ir uzskatāma par tā informēšanu rakstveidā saskaņā ar 7.7. klauzulas a) punktu.

Pārzinis var iebilst pret plānotajām izmaiņām 7.7. klauzulas a) punktā norādītajā termiņā, ja tam ir pamatoti ar personas datu aizsardzību saistīti iemesli, par to paziņojot apstrādātājam I pielikumā norādītajā saziņas kanālā. Ja līdz šā termiņa beigām iebildums nav atrisināts, pārzinis var izbeigt pakalpojuma līgumu attiecībā uz pakalpojumu, kuru skar izmaiņas, un šāda līguma izbeigšana ir pārziņa tiesību aizsardzības līdzeklis saistībā ar šo iebildumu.

1.7. Dzēšana pēc pakalpojumu sniegšanas beigām

Ja pārzinis pirms pakalpojumu sniegšanas beigām I pielikumā norādītajā saziņas kanālā nav devis citus norādījumus, pārziņa izvēle saskaņā ar 10. klauzulas d) punktu ir datu dzēšana. Pārzinis līdz tam jebkurā laikā var eksportēt savus datus, izmantojot pakalpojuma eksporta funkcijas.

1.8. Pielikumu un šā Līguma grozījumi

Apstrādātājs var grozīt pielikumus un šo 1. daļu, lai ievērotu piemērojamos normatīvos aktus vai saistībā ar pakalpojuma attīstību, ar nosacījumu, ka grozījumi atbilst Klauzulām un piemērojamajiem datu aizsardzības normatīvajiem aktiem. Tehniskos un organizatoriskos pasākumus var atjaunināt vai aizstāt, ja tie joprojām ir atbilstoši apstrādes riskiem saskaņā ar Regulas (ES) 2016/679 32. pantu. Pašas Klauzulas netiek grozītas.

Jebkurai apstrādes jomas paplašināšanai jābūt ietvertai pārziņa dokumentētajos norādījumos un atspoguļotai II pielikumā.

Apstrādātājs savā tīmekļvietnē publicē šā Līguma aktuālo redakciju, norādot tās spēkā stāšanās datumu. Par grozījumiem, kas būtiski mazina pārziņa līgumā paredzēto aizsardzību vai būtiski palielina tā pienākumus, tiek paziņots pa e-pastu vai pakalpojumā vismaz 30 (trīsdesmit) dienas pirms to spēkā stāšanās. Citi grozījumi var stāties spēkā publicēšanas brīdī.

Grozījumi, kas nepieciešami piemērojamo normatīvo aktu prasību ievērošanai vai steidzami risināma drošības riska novēršanai, var stāties spēkā agrāk, bet tikai tiktāl, ciktāl tas ir nepieciešams. Apstrādātājs informē pārzini par jebkuriem pārzinim būtiski nelabvēlīgiem grozījumiem tik drīz, cik tas ir saprātīgi iespējams.

Pārzinis var iebilst pret būtiski nelabvēlīgiem grozījumiem, izmantojot I pielikumā norādīto saziņas kanālu, pirms to spēkā stāšanās datuma vai, ja tie stājas spēkā agrāk, 30 (trīsdesmit) dienu laikā pēc paziņošanas. Ja iebildumu nevar atrisināt, pārzinis var izbeigt pakalpojuma līgumu attiecībā uz skarto pakalpojumu.

Šis punkts neatceļ prasības attiecībā uz dokumentētiem norādījumiem vai paziņošanas un atļaujas saņemšanas prasības attiecībā uz izmaiņām apakšapstrādātāju sastāvā.

1.9. Atbildība

Pakalpojuma līgumā noteiktais atbildības ierobežojums attiecas uz prasījumiem saskaņā ar Klauzulām un šo Līgumu, izņemot tiktāl, ciktāl piemērojamie normatīvie akti nepieļauj atbildības ierobežošanu.

2. daļa. Līguma standartklauzulas

Līguma standartklauzulas starp pārziņiem un apstrādātājiem, kas ietvertas Komisijas 2021. gada 4. jūnija Īstenošanas lēmuma (ES) 2021/915 pielikumā un publicētas Eiropas Savienības Oficiālajā Vēstnesī (EUR-Lex), ir iekļautas šajā Līgumā ar atsauci bez grozījumiem, izvēloties 1.1. punktā norādītos variantus un pievienojot 3. daļā ietvertos I–IV pielikumus. Klauzulas minētajā adresē ir pieejamas visās Eiropas Savienības oficiālajās valodās.

3. daļa. Pielikumi

I PIELIKUMS — Pušu saraksts

Pārzinis: klients — fiziska vai juridiska persona, kas norādīta Mozello kontā, kurā ir pieņemti Pakalpojuma sniegšanas noteikumi.

Vārds, uzvārds vai nosaukums, adrese un kontaktpersonas vārds, uzvārds, amats un kontaktinformācija: kā reģistrēts attiecīgajā kontā.
Paraksts un pievienošanās datums: pieņemot Pakalpojuma sniegšanas noteikumus, kuros ietverts šis Līgums; piemēro apstrādātāja reģistrēto pieņemšanas datumu.

Apstrādātājs:

Nosaukums: Mozello SIA
Adrese: Mežsargu 33, Jūrmala, LV-2008, Latvija
Uzņēmuma reģistrācijas numurs: 40203002519
Kontaktpersonas vārds, uzvārds, amats un kontaktinformācija: datu aizsardzības kontaktpersona, support
Paraksts un pievienošanās datums: pieņemts elektroniski; piemēro apstrādātāja reģistrēto pieņemšanas datumu.

II PIELIKUMS — Apstrādes apraksts

Datu subjektu kategorijas, kuru personas dati tiek apstrādāti

Pārziņa mājas lapas apmeklētāji; personas, kas veic pasūtījumus vai rezervācijas pārziņa interneta veikalā; reģistrēti veikala klienti; pārziņa sūtīto informatīvo ziņojumu saņēmēji; personas, kas iesniedz saziņas, pieprasījuma vai rezervācijas formas pārziņa mājas lapā; un jebkuras citas personas, kuru personas datus pārzinis izvēlas glabāt pakalpojumā vai nosūtīt ar tā starpniecību.

Apstrādāto personas datu kategorijas

Vārds, uzvārds; e-pasta adrese; tālruņa numurs; piegādes adrese un rēķina izrakstīšanas adrese; pasūtījumu un rezervāciju saturs un vēsture; mājas lapā iesniegtie ziņojumi un pieprasījumi; veikala klienta konta piekļuves dati; IP adrese; sīkdatņu un ierīču identifikatori; aptuvenā atrašanās vieta, kas noteikta pēc IP adreses; un identitātes dati, kas tiek apstrādāti, izmantojot neobligāto vecuma pārbaudes funkciju, tostarp dzimšanas datums, autentifikācijas metode un pārbaudes statuss.

Apstrādātie sensitīvie dati (ja attiecināms) un piemērotie ierobežojumi vai aizsardzības pasākumi

Šādu datu apstrāde nav atļauta. Pārzinis 1.3. punktā ir apņēmies neapstrādāt šādus datus pakalpojumā. Tā kā pakalpojums nodrošina brīva teksta un pielāgojamus formu laukus, piemērotais ierobežojums ir šī apņemšanās, nevis tehnisks kontroles pasākums.

Apstrādes raksturs

Pārziņa mājas lapas un interneta veikala mitināšana, glabāšana, pārraide un attēlošana; rezerves kopiju izveide un glabāšana, kā arī atjaunošana no tām; e-pasta sūtīšana pārziņa vārdā; pasūtījumu un rezervāciju apstrādes atbalsts; neobligātas mājas lapas starpniekservera un drošības funkcijas; neobligāta vecuma pārbaude; un neobligātas mākslīgā intelekta funkcijas. Neobligātās funkcijas apstrādā personas datus tikai tad, kad tās ir iespējotas vai tiek izmantotas.

Nolūki, kādos personas dati tiek apstrādāti pārziņa vārdā

Pārziņa pasūtītā mājas lapas un interneta veikala pakalpojuma sniegšana saskaņā ar pārziņa norādījumiem un starp pusēm noslēgto pakalpojuma līgumu.

Apstrādes ilgums

Visā starp pusēm noslēgtā pakalpojuma līguma darbības laikā.

Pēc pārziņa konta dzēšanas vai līguma izbeigšanas personas dati bez nepamatotas kavēšanās tiek dzēsti no pakalpojuma darbības sistēmām, tostarp no avārijas atjaunošanai paredzētās kopijas. Šifrētas rezerves kopijas, kas tiek glabātas, lai atjaunotu datus pēc datu zuduma vai drošības incidentiem, nav organizētas atsevišķi pa pārziņiem, un no tām nevar dzēst atsevišķus datus; rezerves kopijā esošie personas dati tiek dzēsti, beidzoties šīs kopijas glabāšanas termiņam, bet ne vēlāk kā 12 mēnešus pēc tās izveides. Līdz tam rezerves kopijas tiek izmantotas tikai atjaunošanai, kā aprakstīts III pielikumā.

Ja apstrādi veic (apakš)apstrādātāji, norādāms arī apstrādes priekšmets, raksturs un ilgums

Kā norādīts katram apakšapstrādātājam IV pielikumā, iepriekš norādītajā laikposmā.

III PIELIKUMS — Tehniskie un organizatoriskie pasākumi

Personas datu pseidonimizācijas un šifrēšanas pasākumi

Pakalpojuma darbības datubāze glabāšanas laikā tiek šifrēta, izmantojot nozares standartiem atbilstošu šifrēšanu ar pārvaldītām atslēgām. Datubāzes rezerves kopijas, tostarp citās vietās glabātās, tiek šifrētas.

Pasākumi datu aizsardzībai nosūtīšanas laikā

Pakalpojumā datu aizsardzībai nosūtīšanas laikā tiek izmantota TLS šifrēšana; klienti, kuri izmanto ārpus Mozello reģistrētus domēnus, un tālākpārdevēji, kuri izmanto savus domēnus, ir atbildīgi par šo domēnu pareizu konfigurēšanu, lai nodrošinātu HTTPS darbību. Datu nosūtīšana starp apstrādātāja paša sistēmām un uz ārējām rezerves kopiju glabāšanas vietām tiek šifrēta.

Pasākumi datu aizsardzībai glabāšanas laikā

Glabātie dati tiek šifrēti, kā aprakstīts iepriekš, un piekļuve datu glabātuvēm ir atļauta tikai noteiktām pakalpojuma lomām, piešķirot tikai minimāli nepieciešamās tiesības.

Pasākumi apstrādes sistēmu un pakalpojumu pastāvīgas konfidencialitātes, integritātes, pieejamības un noturības nodrošināšanai

Pārvaldīta infrastruktūra ar uzstādītiem drošības atjauninājumiem, tīkla un ugunsmūra kontroles pasākumiem; nepārtraukta automatizēta apdraudējumu atklāšana un uzraudzība infrastruktūras līmenī; mitināšana ar dublētiem resursiem; un atsevišķā ģeogrāfiskā vietā uzturēta pakalpojuma darbības datubāzes kopija avārijas atjaunošanai.

Pasākumi, lai fiziska vai tehniska incidenta gadījumā nodrošinātu spēju savlaicīgi atjaunot personas datu pieejamību un piekļuvi tiem

Rezerves kopijas tiek veidotas regulāri un glabātas pie vairākiem pakalpojumu sniedzējiem, tostarp ārējās glabāšanas vietās. Atjaunošana tiek regulāri veikta ikdienas darbības ietvaros, un pilnīga atjaunošana ir pārbaudīta.

Pēc pārziņa pieprasījuma datu atjaunošana tiek veikta atsevišķā, publiski nepieejamā vidē, uz aktīvo pakalpojuma vidi pārsūtot tikai nepieciešamos datus. Avārijas atjaunošana var ietvert pakalpojuma darbības sistēmu atjaunošanu no rezerves kopijām. Atjaunošanas procedūras ietver kontroles pasākumus, lai nepieļautu iepriekš dzēstu personas datu atkārtotu aktīvu izmantošanu.

Procesi tehnisko un organizatorisko pasākumu efektivitātes regulārai testēšanai, izvērtēšanai un novērtēšanai, lai nodrošinātu apstrādes drošību

Atjaunošana no rezerves kopijām tiek praktiski veikta ikdienas darbības ietvaros, kā aprakstīts iepriekš. Uz platformu attiecināmie drošības paziņojumi un apdraudējumu atklāšanas rezultāti tiek izvērtēti, un novēršanas pasākumu prioritātes tiek noteiktas, ņemot vērā apdraudējuma smagumu, sistēmu pakļautību apdraudējumam un darbības riskus. Drošības incidenti tiek analizēti, un pasākumi tiek pielāgoti pēc vajadzības.

Lietotāju identificēšanas un autorizācijas pasākumi

Administratīvai piekļuvei pakalpojuma darbības infrastruktūrai ir obligāta daudzfaktoru autentifikācija. Piekļuves tiesības tiek piešķirtas pēc minimāli nepieciešamo tiesību principa un tikai tiem darbiniekiem, kuriem tās ir nepieciešamas.

Pasākumi personas datu apstrādes vietu fiziskās drošības nodrošināšanai

Pakalpojuma darbības sistēmu mitināšanu un rezerves kopiju glabāšanu nodrošina IV pielikumā norādītie infrastruktūras pakalpojumu sniedzēji, piemērojot savus fiziskās drošības kontroles pasākumus.

Pasākumi notikumu reģistrēšanas nodrošināšanai

Administratīvās darbības un sistēmas notikumi tiek reģistrēti žurnālos, tostarp infrastruktūras līmeņa audita žurnālos, un tiek reģistrēti ar drošību un diagnostiku saistītie lietotnes notikumi.

Sistēmas konfigurācijas, tostarp noklusējuma konfigurācijas, nodrošināšanas pasākumi

Infrastruktūras konfigurācija tiek pārvaldīta centralizēti; platformas noklusējuma iestatījumi nodrošina, ka jaunām mājas lapām un veikaliem tiek izmantots TLS un jauni glabātie objekti tiek šifrēti glabāšanas laikā.

Iekšējās IT un IT drošības pārvaldības un vadības pasākumi

Par drošību atbild tehniskā komanda, un piekļuve tiek piešķirta un atcelta atbilstoši lomai. Platformas un tās izmantoto programmatūras komponentu atjauninājumi tiek uzstādīti sistēmas uzturēšanas ietvaros.

Procesu un produktu sertifikācijas un atbilstības apliecināšanas pasākumi

IV pielikumā uzskaitītajiem infrastruktūras pakalpojumu sniedzējiem ir atzīti informācijas drošības sertifikāti to pakalpojumiem un datu centriem, piemēram, ISO/IEC 27001.

Datu minimizēšanas pasākumi

Pakalpojums vāc tikai tos datus, kas nepieciešami mājas lapas un interneta veikala darbībai. Pārzinis nosaka, kādi papildu lauki, ja tādi ir, tiek aizpildīti ar datu subjektu sniegtajiem datiem.

Datu kvalitātes nodrošināšanas pasākumi

Datu subjektu datus sniedz paši datu subjekti vai pārzinis, un pārzinis tos var labot, izmantojot pieejamās pakalpojuma funkcijas vai pieprasot palīdzību.

Pasākumi ierobežota datu glabāšanas termiņa nodrošināšanai

Kā norādīts II pielikumā. Sarunas mākslīgā intelekta funkcijās tiek dzēstas 30 dienas pēc pēdējās darbības tajās, un vienlaikus tiek pieprasīta attiecīgo datu dzēšana pie apakšapstrādātāja.

Pārskatatbildības nodrošināšanas pasākumi

Apstrāde ir dokumentēta šajos pielikumos, un apakšapstrādātāju saraksts tiek uzturēts aktuāls saskaņā ar 7.7. klauzulas a) punktu.

Pasākumi datu pārnesamības un dzēšanas nodrošināšanai

Pārzinis var eksportēt sava kataloga un pasūtījumu datus mašīnlasāmā formātā, izmantojot pakalpojuma eksporta funkcijas. Dzēšana tiek veikta pēc pārziņa pieprasījuma ar II pielikumā norādītajām sekām un termiņiem.

Pasākumi, ko apstrādātājs veic, lai varētu sniegt palīdzību pārzinim

Personas datu aizsardzības pārkāpumi tiek risināti saskaņā ar iekšēju procedūru, informējot pārzini atbilstoši 9.2. klauzulai. Apstrādātāja saņemtie datu subjektu pieprasījumi tiek nodoti pārzinim, un pēc pārziņa norādījuma apstrādātājs palīdz atrast, eksportēt, labot vai dzēst attiecīgos personas datus. Novērtējumiem par ietekmi uz datu aizsardzību un apspriedēm ar uzraudzības iestādi apstrādātājs sniedz II–IV pielikumā ietverto informāciju un papildu informāciju, kas tam ir saprātīgi pieejama.

IV PIELIKUMS — Apakšapstrādātāju saraksts

Apstrādātājs uztur 7.7. klauzulas a) punktā minēto saskaņoto apakšapstrādātāju sarakstu adresē www.mozello.com/sub-processors/ (angļu valodā), un šis publicētais saraksts ir aktuālais saraksts šo Klauzulu vajadzībām. Katram apakšapstrādātājam sarakstā norādīts tā nosaukums, veiktā apstrāde un apstrādes vietas.

Datu nosūtīšana ārpus Eiropas Ekonomikas zonas

Ja sarakstā ir norādīta vieta ārpus Eiropas Ekonomikas zonas, jebkāda personas datu nosūtīšana uz šo vietu, neatkarīgi no tā, vai to veic apstrādātājs vai apakšapstrādātājs saviem saistītajiem uzņēmumiem vai saviem apakšapstrādātājiem, notiek saskaņā ar Regulas (ES) 2016/679 V nodaļu, pamatojoties uz vienu no šādiem pamatiem:

Regulas (ES) 2016/679 45. pantā paredzēts lēmums par aizsardzības līmeņa pietiekamību, kas attiecas uz saņēmēju, tostarp Komisijas Īstenošanas lēmums (ES) 2023/1795 (ES un ASV datu privātuma regulējums) attiecībā uz saņēmēju Amerikas Savienotajās Valstīs, kas ir sertificēts saskaņā ar šo regulējumu; vai
ja šāds lēmums nav piemērojams, ar Komisijas Īstenošanas lēmumu (ES) 2021/914 pieņemtās līguma standartklauzulas ar attiecīgajai nosūtīšanai atbilstošo moduli, kas iekļautas attiecīgā apakšapstrādātāja datu apstrādes noteikumos, kopā ar visiem papildu pasākumiem, kas nosūtīšanas novērtējumā atzīti par nepieciešamiem.

Ja izmantotais pamats vairs nav pieejams, nosūtīšana turpinās tikai uz otra pamata vai tiek pārtraukta. Pēc pieprasījuma apstrādātājs informē pārzini par pamatu, kas tiek izmantots attiecībā uz konkrētu apakšapstrādātāju.