1. Mērķis
Šīs politikas mērķis ir noteikt vienotu un VDAR prasībām atbilstošu kārtību, kādā SIA "STORENT" (turpmāk – Uzņēmums) veic trešo pušu datu apstrādātāju, īpaši mākoņpakalpojumu sniedzēju, atlasi, piesaisti, pārvaldību un uzraudzību, lai nodrošinātu personas datu aizsardzību un konfidencialitāti.
2. Piemērošanas joma
Politika ir saistoša visiem Uzņēmuma darbiniekiem un struktūrvienībām, kas plāno ieviest vai izmantot jebkuru trešās puses pakalpojumu, kurā tiks apstrādāti Uzņēmuma rīcībā esoši personas dati.
3. Pienācīgas pārbaudes (Due Diligence) process
Pirms līguma noslēgšanas ar jebkuru jaunu datu apstrādātāju, atbildīgajai struktūrvienībai sadarbībā ar IT nodaļu un juridisko funkciju ir jāveic un jādokumentē šādas darbības:
3.1. Datu apstrādes līguma (DAP) novērtējums: Jāpārbauda, vai pakalpojuma sniedzējs piedāvā VDAR 28. panta prasībām atbilstošu DAP. Jāizvērtē DAP noteikumi par apstrādes mērķiem, drošības pasākumiem, apakšapstrādātāju piesaisti un datu subjektu tiesību nodrošināšanu.
3.2. Drošības pasākumu novērtējums: Jāiegūst informācija par apstrādātāja ieviestajiem tehniskajiem un organizatoriskajiem drošības pasākumiem, piemēram, datu šifrēšanu, piekļuves kontroli un atbilstību starptautiskiem drošības standartiem (piem., ISO/IEC 27001, SOC 2).2
3.3. Datu rezidences un nosūtīšanas novērtējums:
3.3.1. Jānoskaidro, kādās ģeogrāfiskajās atrašanās vietās tiks glabāti un apstrādāti personas dati.
3.3.2. Ja dati tiks nosūtīti ārpus ES/EEZ, obligāti jāveic un jādokumentē Ietekmes uz datu nosūtīšanu novērtējums (IDNN). Novērtējumā jāizvērtē nosūtīšanas tiesiskais pamats (piem., SLK) un saņēmējvalsts tiesību akti, lai pārliecinātos par pietiekama aizsardzības līmeņa nodrošināšanu.
4. Līgumiskās prasības
Jebkurš līgums ar datu apstrādātāju jāpapildina ar VDAR atbilstošu Datu apstrādes pielikumu (DAP), kas ir juridiski saistošs abām pusēm.
5. Apakšapstrādātāju pārvaldība
Uzņēmumam ir jāseko līdzi apstrādātāja piesaistīto apakšapstrādātāju sarakstam. Apstrādātājam ir pienākums informēt Uzņēmumu par plānotajām izmaiņām šajā sarakstā, dodot Uzņēmumam tiesības iebilst.
6. Nepārtraukta uzraudzība
Atbildīgajai struktūrvienībai ir pienākums periodiski (vismaz reizi gadā) pārskatīt galveno apstrādātāju atbilstību, īpaši pievēršot uzmanību izmaiņām to pakalpojumu sniegšanas noteikumos, privātuma politikās vai drošības praksēs.
7. Atbildība
Par šīs politikas ievērošanu ir atbildīgs struktūrvienības vadītājs, kas iniciē jauna pakalpojuma ieviešanu. IT nodaļa nodrošina tehnisko atbalstu novērtēšanas procesā. Galīgo lēmumu par apstrādātāja apstiprināšanu pieņem Uzņēmuma vadība.