Datu apstrādes līgums

Versija 1.0 · Spēkā no 17.10.2026.

Lucera Reviews pakalpojuma noteikumu pielikums. Versija 1.0. Spēkā no 17.10.2026. Līgums noslēgts saskaņā ar Vispārīgās datu aizsardzības regulas (ES) 2016/679 (VDAR) 28. pantu. Klients to pieņem elektroniski kopā ar Noteikumiem.

1. Puses un priekšmets

1.1. Pārzinis — Klients, kas reģistrējies Portālā reviews.lucera.site.

1.2. Apstrādātājs — Gatis Ozoliņš, pašnodarbinātā persona (Lucera), Baložu iela 28-5, Rīga, LV-1046, go@lucera.site.

1.3. Apstrādātājs apstrādā personas datus Pārziņa vārdā tikai tiktāl, ciktāl tas nepieciešams Pakalpojuma sniegšanai saskaņā ar Noteikumiem.

1.4. Termini atbilst VDAR 4. pantā noteiktajiem. Pārējie termini atbilst Noteikumiem.

2. Apstrādes apraksts

Elements	Apraksts
Nolūks	Atsauksmju lūgumu nosūtīšana pēc vizītes; privāto ziņu saņemšana un nodošana Pārzinim
Raksturs	Ievadīšana, glabāšana, e-pasta nosūtīšana, attēlošana Portālā, dzēšana
Datu subjekti	Pārziņa pacienti vai dzīvnieku īpašnieki (Adresāti); Pārziņa darbinieki, kas lieto Portālu
Adresātu dati	E-pasta adrese; vārds (neobligāts); izsūtīšanas datums un statuss; atteikšanās no lūgumiem
Privāto ziņu dati	Adresāta brīvi rakstīts teksts; kontaktinformācija, ja Adresāts to norāda; ziņas statuss
Darbinieku dati	Vārds, e-pasts, piekļuves žurnāli
Īpašu kategoriju dati	Netiek pieprasīti. Privāto ziņu brīvajā tekstā Adresāts var pēc savas iniciatīvas norādīt veselības informāciju
Ilgums	Līguma darbības laiks un 9. punktā noteiktā glabāšanas un dzēšanas kārtība.

3. Pārziņa pienākumi

3.1. Pārzinis nodrošina, ka tam ir tiesisks pamats datu apstrādei un nodošanai Apstrādātājam, un informē datu subjektus saskaņā ar VDAR 13. pantu.

3.2. Pārzinis neievada Portālā datus, kas nav minēti 2. punktā, tostarp diagnozes, personas kodus un procedūru aprakstus.

3.3. Pārziņa dokumentētie norādījumi ir šis līgums, Noteikumi un Pārziņa darbības Portālā (saraksta apstiprināšana, vēstules teksts, iestatījumi). Papildu norādījumus Pārzinis sniedz rakstveidā, arī e-pastā.

4. Apstrādātāja pienākumi

4.1. Apstrādātājs apstrādā datus tikai saskaņā ar Pārziņa dokumentētiem norādījumiem, izņemot gadījumus, kad to prasa ES vai Latvijas tiesību akti. Šādā gadījumā Apstrādātājs pirms apstrādes informē Pārzini, ja vien likums to neaizliedz.

4.2. Apstrādātājs nekavējoties informē Pārzini, ja uzskata, ka norādījums pārkāpj VDAR vai citus datu aizsardzības tiesību aktus.

4.3. Apstrādātājs neizmanto datus saviem nolūkiem, tostarp mārketingam, profilēšanai vai mākslīgā intelekta modeļu apmācībai, un nepārdod un nenodod tos trešajām personām, izņemot 5. punktā minētos apakšapstrādātājus.

4.4. Apstrādātājs nodrošina, ka personas, kurām ir piekļuve datiem, ir apņēmušās ievērot konfidencialitāti vai tām ir likumā noteikts konfidencialitātes pienākums.

4.5. Apstrādātājs īsteno 1. pielikumā aprakstītos tehniskos un organizatoriskos pasākumus saskaņā ar VDAR 32. pantu.

4.6. Apstrādātājs, ņemot vērā apstrādes raksturu, palīdz Pārzinim: atbildēt uz datu subjektu pieprasījumiem; nodrošināt VDAR 32.–36. pantā noteikto pienākumu izpildi, tostarp novērtējumu par ietekmi uz datu aizsardzību, ja tāds nepieciešams.

5. Apakšapstrādātāji

5.1. Pārzinis dod vispārēju atļauju piesaistīt 2. pielikumā norādītos apakšapstrādātājus.

5.2. Par plānotu apakšapstrādātāja pievienošanu vai nomaiņu Apstrādātājs informē Pārzini pa e-pastu vismaz 30 dienas iepriekš. Pārzinis var iebilst pamatotu datu aizsardzības iemeslu dēļ. Ja vienošanos nepanāk, Pārzinis var izbeigt līgumu bez soda un saņemt atmaksu par neizmantoto apmaksāto periodu.

5.3. Apstrādātājs ar katru apakšapstrādātāju noslēdz līgumu ar datu aizsardzības pienākumiem, kas nav mazāki par šajā līgumā noteiktajiem, un atbild Pārziņa priekšā par apakšapstrādātāja saistību izpildi.

6. Pārsūtīšana ārpus EEZ

6.1. Apstrādātājs pēc iespējas glabā datus Eiropas Ekonomikas zonā.

6.2. Ja apakšapstrādātājs nodod datus uz trešo valsti, Apstrādātājs nodrošina VDAR V nodaļā paredzēto aizsardzību: Eiropas Komisijas lēmumu par aizsardzības līmeņa pietiekamību (tostarp ES–ASV datu privātuma regulējumu) vai Eiropas Komisijas standartklauzulas.

7. Personas datu aizsardzības pārkāpumi

7.1. Apstrādātājs bez nepamatotas kavēšanās, bet ne vēlāk kā 48 stundu laikā pēc konstatēšanas, informē Pārzini par personas datu aizsardzības pārkāpumu, kas skar Pārziņa datus.

7.2. Paziņojumā, ciktāl informācija ir pieejama, norāda: pārkāpuma raksturu, skarto datu subjektu un ierakstu kategorijas un aptuveno skaitu, iespējamās sekas, veiktos un plānotos pasākumus, kontaktpersonu.

7.3. Apstrādātājs dokumentē pārkāpumus un palīdz Pārzinim izpildīt VDAR 33. un 34. panta pienākumus. Paziņot uzraudzības iestādei un datu subjektiem ir Pārziņa pienākums.

8. Datu subjektu tiesības

8.1. Ja datu subjekts vēršas tieši pie Apstrādātāja, Apstrādātājs nekavējoties, ne vēlāk kā 3 darba dienu laikā, pārsūta pieprasījumu Pārzinim un pats uz to pēc būtības neatbild bez Pārziņa norādījuma.

8.2. Adresāta atteikšanos saņemt atsauksmju lūgumus Apstrādātājs reģistrē automātiski, un šim adresātam turpmāki lūgumi netiek sūtīti.

9. Glabāšana un dzēšana

9.1. Importētais kontaktu saraksts atrodas pārlūka darba sesijas atmiņā; oriģinālais fails un pilns adresātu saraksts netiek pastāvīgi glabāts Portāla datubāzē. Izsūtīšanai nepieciešamie dati tiek nodoti e-pasta piegādes pakalpojumam. Portālā saglabā izsūtīšanas laiku, skaitu un statusu. Atteikšanās reģistrā saglabā ar klīniku saistītu e-pasta adreses kontrolsummu, nevis pašu adresi, lai turpmākus lūgumus šai adresei izlaistu.

9.2. Privātās ziņas un tajās norādītos kontaktus glabā līguma darbības laikā līdz Pārziņa norādījumam tos dzēst. Pārzinis var pieprasīt īsāku glabāšanas termiņu vai dzēšanu, rakstot go@lucera.site. Pēc līguma izbeigšanas piemēro 9.3. punktu.

9.3. Pēc līguma izbeigšanas Pārzinis 30 dienu laikā var eksportēt savus datus. Pēc tam Apstrādātājs dzēš visus Pārziņa personas datus, ja vien ES vai Latvijas tiesību akti neprasa tos glabāt.

9.4. Ja personas dati ir iekļauti infrastruktūras nodrošinātāju rezerves kopijās, tos dzēš atbilstoši attiecīgā nodrošinātāja piemērojamajai glabāšanas un rotācijas kārtībai. Līdz dzēšanai tos neizmanto citiem nolūkiem. Atjaunojot sistēmu no rezerves kopijas, Apstrādātājs atkārtoti piemēro iepriekš saņemtos dzēšanas norādījumus.

9.5. Pēc Pārziņa pieprasījuma Apstrādātājs rakstveidā apliecina dzēšanu.

10. Audits

10.1. Apstrādātājs pēc pieprasījuma sniedz Pārzinim informāciju, kas nepieciešama, lai pierādītu šī līguma izpildi.

10.2. Pārzinis vai tā pilnvarots neatkarīgs auditors var veikt auditu ne biežāk kā reizi gadā, paziņojot vismaz 30 dienas iepriekš, darba laikā un neapdraudot citu klientu datu konfidencialitāti. Biežāk auditu var veikt pēc personas datu aizsardzības pārkāpuma vai uzraudzības iestādes pieprasījuma.

10.3. Audita izmaksas sedz Pārzinis, ja vien auditā netiek konstatēts būtisks šī līguma pārkāpums.

11. Noslēguma noteikumi

11.1. Šis līgums ir spēkā, kamēr ir spēkā Noteikumi, un pēc tam tik ilgi, kamēr Apstrādātājs apstrādā Pārziņa datus.

11.2. Personas datu apstrādes jautājumos šim līgumam ir priekšroka pār Noteikumiem.

11.3. Pušu atbildība izriet no VDAR 82. panta un Noteikumu 12. punkta. Atbildības ierobežojums neierobežo datu subjektu tiesības uz kompensāciju.

11.4. Grozījumus izdara Noteikumu 13. punktā noteiktajā kārtībā, izņemot grozījumus, ko prasa tiesību akti vai uzraudzības iestāde.

1. pielikums. Tehniskie un organizatoriskie pasākumi

Joma	Pasākums
Šifrēšana	Datu pārsūtīšanai izmanto HTTPS/TLS. Glabāšanas infrastruktūrā izmanto Supabase un tā infrastruktūras nodrošinātāju īstenotos šifrēšanas pasākumus.
Piekļuves kontrole	Katrs Pārzinis redz tikai savus datus; Lucera administratora piekļuve tikai atbalsta un uzturēšanas vajadzībām
Autentifikācija	Personīgi lietotāju konti ar paroli un e-pasta apstiprināšanu. Piekļuves tiesības pārbauda serveris un datubāze.
Žurnāli	Saglabā klīnikas iestatījumu un publicēšanas versijas, izsūtīšanas skaitu un statusu, piekļuves izmaiņu auditu un līgumu pieņemšanas ierakstus. Pilnus importētos sarakstus lietotnes žurnālos nesaglabā.
Datu minimizācija	Izsūtīšanas API saņem tikai izvēlēto e-pasta adresi un neobligātu vārdu; pārējās importa kolonnas netiek nodotas izsūtīšanai.
Testēšana	Izstrādē un testos izmanto tikai izdomātus datus
Rezerves kopijas	Rezerves kopiju pieejamību nosaka infrastruktūras pakalpojuma plāns. Pakalpojums neietver garantētu atjaunošanas termiņu vai garantētu 35 dienu rezerves kopiju rotāciju.
Izsekošana	Portālā nav reklāmu, analītikas vai sociālo tīklu izsekošanas skriptu
Ievainojamības	Programmatūras atkarības un platformas tiek atjauninātas regulāri
Incidenti	Dokumentēta rīcība personas datu aizsardzības pārkāpuma gadījumā (7. punkts)

2. pielikums. Apakšapstrādātāji

Apakšapstrādātāji un apstrādes reģioni uz 17.10.2026. Pamatdatubāzes atrašanās ES nenozīmē, ka visa Pakalpojuma apstrāde notiek tikai ES. Pārsūtīšanai ārpus EEZ piemēro 6. punktā paredzētos aizsardzības pasākumus.

Apakšapstrādātājs	Funkcija	Datu atrašanās vieta	Pārsūtīšanas pamats
Supabase Pte. Ltd. (Supabase)	PostgreSQL datubāze, kontu autentifikācija un klīniku attēlu glabātuve (Storage).	Projekta pamatreģions: Īrija, ES (eu-west-1). Atbalsta un darbības nodrošināšanai iespējama apstrāde arī ārpus EEZ atbilstoši sniedzēja DPA.	Sniedzēja DPA ietver ES standartklauzulas piemērojamai pārsūtīšanai.
Vercel Inc.	Portāla un servera funkciju mitināšana; pieprasījumu izpilde, tostarp kontaktu apstrāde izsūtīšanas laikā.	Pārbaudītās portāla servera funkcijas: ASV (iad1, Ziemeļvirdžīnija). Satura piegādei un infrastruktūrai var tikt izmantoti citi reģioni.	Sniedzēja DPA un tajā ietvertās ES standartklauzulas piemērojamai pārsūtīšanai.
Plus Five Five, Inc. (Resend)	Konta, rēķinu un atsauksmju lūgumu e-pastu piegāde; privāto ziņu paziņojumi. Apstrādā e-pastu adreses, vēstuļu saturu un piegādes metadatus.	Pamatapstrāde notiek ASV. Piegādei izmanto arī saņēmēja e-pasta pakalpojumu; netiek solīta tikai ES apstrāde.	Sniedzēja DPA ietver ES standartklauzulas piemērojamai pārsūtīšanai.

Apakšapstrādātāju saraksts: https://reviews.lucera.site/legal/data-processing. Izmaiņas paziņo 5.2. punktā noteiktajā kārtībā.