Datu apstrādes līgums (AVV) — Redakcija Latvijai

1. Priekšmets un ilgums

(1) Apstrādātājs nodrošina pārzinim programmatūru NymTime kā programmatūru kā pakalpojumu (SaaS): darba grafiku plānošana, darba laika uzskaite ar darbinieka viedtālruni pie NFC birkām (aizstājot to, ģeoverificēts objekta ieraksts bez NFC), atrašanās vietas pārbaude ieraksta brīdī, atpūtas pārtraukumu uzskaite saskaņā ar pārziņa izvēlēto noteikumu, prombūtnes, pieejamības norādes, maiņu apmaiņa, uzņēmuma paziņojumi (ziņojumu dēlis), darba laika konts, stundu analītika, eksports algu aprēķinam, kā arī pēc izvēles dokumentu glabāšana, ieskaitot attiecīgā darbinieka piekļuvi tiem, algu dokumenti, apgrozījuma dati par katru objektu un iekšējās personāla izmaksas. Šajā ietvarā apstrādātājs apstrādā personas datus pārziņa uzdevumā.

(2) Šīs vienošanās ilgumu nosaka lietošanas līgums (AGB, nymtime.com/agb). Tā beidzas līdz ar lietošanas līgumu; 10. punkts ir piemērojams arī pēc tam, līdz visi dati ir atdoti vai dzēsti.

(3) Pārziņa dati tiek glabāti tikai datu centros Eiropas Savienībā. Pārsūtīšanas laikā tie šķērso Cloudflare reverso starpniekserveri; e-pasta vēstules un push paziņojumi tiek sūtīti, izmantojot 2. pielikumā minētos pakalpojumus. Ar to saistītās datu nosūtīšanas uz trešām valstīm un to pamatu (VDAR 45. pants un 46. panta 2. punkta c) apakšpunkts) norāda 2. pielikums.

(4) Ja klients saskaņā ar AGB § 12 (5) ļauj NymTime lietot ar viņu radniecīgiem uzņēmumiem, objekta darbinieku personas datu pārzinis ir uzņēmums, kas Back Office sistēmā reģistrēts kā šī objekta darba devējs (4. pielikums). Klients noslēdz šo vienošanos savā vārdā un vienlaikus katra 4. pielikumā minētā radniecīgā uzņēmuma vārdā un uz tā pilnvaras pamata; tādējādi katrs no šiem uzņēmumiem ir savu objektu datu pārzinis šīs vienošanās un VDAR 28. panta izpratnē. Klients apliecina, ka pilnvara viņam tika piešķirta pirms reģistrācijas, un pēc apstrādātāja pieprasījuma to uzrāda. Norādījumus (3. punkts), paziņojumus un ziņojumus saskaņā ar šo vienošanos klients sniedz un saņem apvienoti visu radniecīgo uzņēmumu vārdā; 11. punktā paredzētās tiesības viņš īsteno to vārdā, ja vien imperatīvas tiesību normas neprasa radniecīgā uzņēmuma tiešu rīcību. Katrs radniecīgais uzņēmums joprojām ir atbildīgs par savu darbinieku datu apstrādes likumīgumu (VDAR 5. panta 2. punkts un 24. pants); objekta datiem piemēro tās valsts B daļu, kurā objekts atrodas. Objektiem, kuriem nav reģistrēts radniecīgais uzņēmums, pārzinis ir klients.

2. Apstrādes raksturs un nolūks, datu kategorijas un datu subjekti

(1) Apstrādes raksturs un nolūks, personas datu kategorijas un datu subjektu kategorijas ir aprakstītas 1. pielikumā. Kopsavilkumā: pamatdatu pārvaldība, darba grafiks, darba laika uzskaites ieraksti saskaņā ar objekta valsts tiesību aktiem, prombūtnes, atrašanās vietas pārbaudes rezultāts ieraksta brīdī, ierīces dati, darbinieku ziņojumi, kā arī — ja pārzinis tos izmanto — dokumenti un personāla izmaksu dati, katrā gadījumā ar nolūku plānot personāla izmantošanu, izpildīt darba tiesībās noteiktos uzskaites pienākumus un sagatavot algu aprēķinu.

(2) GPS koordinātas, maršruti vai pārvietošanās profili netiek glabāti. Atrašanās vietas pārbaudes rezultāts tiek reģistrēts tikai ieraksta brīdī maiņas laikā kā „zonā“, „ārpus zonas“ vai „atrašanās vieta nav pieejama“ ar laiku un precizitāti; atrašanās vietas noteikšana fonā nenotiek. Pārbaude notiek tikai objektos, kuros to pieļauj objekta valsts tiesību akti un kuros pārzinis to nav izslēdzis; pārzinis nodrošina, ka šajos tiesību aktos prasītie soļi ir izpildīti pirms pārbaudes izmantošanas (B daļa).

(3) Prombūtnes iemesls „darbnespēja“ tiek reģistrēts bez diagnozes un bez slimības cēloņa norādes. Īpašu kategoriju personas dati VDAR 9. panta izpratnē papildus tam ir apstrādes priekšmets tikai tiktāl, ciktāl pārzinis izmanto funkciju „Darbnespējas apliecinājums (darbnespējas lapa)“: apliecinājums par darbnespējas sākumu un paredzamo ilgumu ir veselības dati. Pārzinis to drīkst saglabāt tikai tiktāl, ciktāl viņam ir tiesības to pieprasīt saskaņā ar tās valsts tiesību aktiem, kurā darbinieks ir nodarbināts (noteikumus norāda B daļa); juridiskais pamats ir VDAR 9. panta 2. punkta b) apakšpunkts saistībā ar šiem noteikumiem un VDAR 88. pantu. Apstrādātājs ierobežo piekļuvi šiem dokumentiem, atļaujot to tikai personām, kuras pārzinis šim nolūkam pilnvarojis, un attiecīgajam darbiniekam, un neanalizē to saturu. Pārzinis nodrošina, ka brīva teksta laukos un citos dokumentos netiek saglabātas diagnozes un citi veselības dati.

(4) Papildus apstrādātājs pārziņa uzdevumā apstrādā: darbinieku pieejamības norādes (brīvprātīga norāde plānošanai; tā nav gatavība darbam un nav dežūra darba laika tiesību izpratnē, un tā nerada tiesības uz atlīdzību), piedāvājumus un pieņemšanas maiņu apmaiņā (kolēģiem tajā pašā objektā un ar to pašu lomu ir redzams darbinieka vārds, uzvārds, loma vai attiecīgi nodaļa un attiecīgās maiņas laiki — nekādi klātbūtnes vai darba snieguma dati), darbinieka paša kolēģiem atļautos kontaktdatus (piekrišana saskaņā ar VDAR 6. panta 1. punkta a) apakšpunktu, noklusējuma iestatījums „izslēgts“, atsaukšana jebkurā laikā saskaņā ar VDAR 7. panta 3. punktu ar tūlītēju iedarbību lietotnē), izlasīšanas apstiprinājumus uzņēmuma paziņojumiem (ziņojumu dēlis), kā arī reģistrētos atpūtas pārtraukumus un īsos pārtraukumus kopā ar piezīmi „Pārtraukums nav reģistrēts“. Piezīme kalpo tikai darba laika uzskaites labošanai un nav ne sankcija, ne darba snieguma novērtējums; labojumu ar pamatojumu veic pārziņa persona.

(5) Apgrozījuma dati par katru objektu, ko pārzinis ievada vai importē rādītāju vajadzībām, attiecas uz objektu, nevis uz personām, un paši par sevi nav personas dati; tie tiek analizēti tikai saistībā ar personāla izmaksām, kas ir pieejamas tikai pārziņa vadībai un vadītājiem, kuriem vadība to ir atļāvusi.

3. Pārziņa norādījumi (28. panta 3. punkta a) apakšpunkts)

(1) Apstrādātājs apstrādā personas datus tikai saskaņā ar pārziņa dokumentētiem norādījumiem, izņemot gadījumus, kad apstrāde tam ir jāveic saskaņā ar Savienības vai Austrijas tiesību aktiem; šādā gadījumā tas pirms apstrādes informē pārzini par šo prasību, ja vien tiesību akti to neaizliedz.

(2) Norādījumi tiek doti ar konfigurāciju Back Office sistēmā — jo īpaši objekti un objekta zona, lomas un atļaujas, pārtraukumu noteikums katram objektam, termiņš pieejamības norādēm, apstiprinājuma nepieciešamība maiņu apmaiņai, dokumentu redzamība darbiniekiem, glabāšanas termiņi, NFC un atrašanās vietas pārbaudes ieraksta brīdī ieslēgšana un izslēgšana katram objektam, atbalsta piekļuves atļaušana (Iestatījumi → Abonements → Atbalsta piekļuve), eksports un dzēšana —, kā arī rakstiski uz office@nymtime.com, turklāt pietiek ar e-pastu (pušu norunāta forma saskaņā ar § 886 ABGB — Austrijas Vispārīgais civilkodekss, Allgemeines bürgerliches Gesetzbuch). Pārzinis nosaka, kuri no viņa lietotājiem ir tiesīgi dot norādījumus (loma „Vadība“).

(3) Ja apstrādātājs uzskata, ka norādījums nav pieļaujams saskaņā ar datu aizsardzības tiesību aktiem, tas nekavējoties informē pārzini un drīkst apturēt tā izpildi, līdz norādījums tiek apstiprināts vai grozīts.

4. Konfidencialitāte (28. panta 3. punkta b) apakšpunkts)

(1) Apstrādātājs nodrošina, ka visas personas, kuras ir pilnvarotas apstrādāt datus, ir apņēmušās ievērot konfidencialitāti vai uz tām attiecas atbilstošs likumisks konfidencialitātes pienākums un ka šis pienākums turpinās arī pēc darbības beigām.

(2) Parastā darbībā apstrādātājs nepiekļūst klienta konta saturam. Atbalsta piekļuve ir iespējama tikai tad, ja pārzinis to Back Office sistēmā skaidri atļauj — ar apjomu, ilgumu un iespēju to jebkurā laikā atsaukt. Katra piekļuve ar laiku, personu un darbību tiek reģistrēta pārziņa darbību žurnālā.

5. Apstrādes drošība (28. panta 3. punkta c) apakšpunkts, 32. pants)

(1) Apstrādātājs veic 3. pielikumā aprakstītos tehniskos un organizatoriskos pasākumus un uztur tos visu līguma darbības laiku. Tas tos regulāri pārbauda un pielāgo tehnikas līmenim.

(2) Apstrādātājs drīkst pilnveidot pasākumus un aizstāt tos ar līdzvērtīgiem, ja netiek pazemināts aizsardzības līmenis. Būtiskas izmaiņas tiek dokumentētas 3. pielikumā un parādītas pārzinim Back Office sistēmā.

6. Citi apstrādātāji (28. panta 2. un 4. punkts, 3. punkta d) apakšpunkts)

(1) Pārzinis dod vispārēju atļauju piesaistīt 2. pielikumā minētos citus apstrādātājus. Ar katru citu apstrādātāju ir noslēgts līgums, kas tam uzliek tādus pašus datu aizsardzības pienākumus, kādus šī vienošanās uzliek apstrādātājam.

(2) Ja apstrādātājs plāno piesaistīt vai nomainīt citu apstrādātāju, tas informē pārzini vismaz 30 dienas iepriekš pa e-pastu un Back Office sistēmā. Pārzinis šajā termiņā var iebilst svarīga datu aizsardzības iemesla dēļ; ja vienošanās netiek panākta, katra puse var uzteikt lietošanas līgumu uz kārtējā mēneša beigām.

(3) Personas datu nosūtīšana uz trešo valsti ārpus Eiropas Ekonomikas zonas notiek tikai tad, ja ir izpildīti VDAR 44.–49. panta nosacījumi (lēmums par aizsardzības līmeņa pietiekamību vai standarta līguma klauzulas saskaņā ar VDAR 46. panta 2. punkta c) apakšpunktu). Apstrādātājs atbild par citiem apstrādātājiem tāpat kā par savu rīcību.

7. Palīdzība saistībā ar datu subjektu tiesībām (28. panta 3. punkta e) apakšpunkts)

(1) Apstrādātājs ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem palīdz pārzinim likumā noteiktajos termiņos atbildēt uz datu subjektu pieprasījumiem par piekļuvi, labošanu, dzēšanu, apstrādes ierobežošanu, datu pārnesamību un iebildumiem (VDAR 15.–22. pants).

(2) Šim nolūkam produktā ir pieejams: savu darba laika uzskaites ierakstu apskate un ikmēneša eksports darbinieku lietotnē (VDAR 15. un 20. pants); visu darbinieka datu eksports no Back Office; labojumi ar žurnālu; arhivēšana, anonimizēšana un dzēšana atbilstoši glabāšanas termiņiem; darbinieku lietotnē — darbinieka pieprasījums dzēst viņa kontu, kas tiek pārsūtīts pārzinim lēmuma pieņemšanai (darba laika uzskaites ieraksti tiek saglabāti likumā noteikto laiku saskaņā ar B daļu).

(3) Ja datu subjekts pieprasījumu adresē tieši apstrādātājam, tas nekavējoties pārsūta to pārzinim un pats uz to neatbild, ja vien pārzinis tam nav devis attiecīgu norādījumu.

8. Paziņošana par personas datu aizsardzības pārkāpumiem (28. panta 3. punkta f) apakšpunkts, 33. pants)

(1) Apstrādātājs par katru personas datu aizsardzības pārkāpumu paziņo pārzinim nekavējoties, ne vēlāk kā 48 stundas pēc tam, kad tas kļuvis zināms, pa e-pastu uz kontaktpersonas adresi. Paziņojumā ir VDAR 33. panta 3. punktā minētā informācija: pārkāpuma raksturs, attiecīgās kategorijas un aptuvenais personu un ierakstu skaits, iespējamās sekas, veiktie un ierosinātie pasākumi, kā arī kontaktpunkts.

(2) Apstrādātājs palīdz pārzinim paziņot uzraudzības iestādei 72 stundu laikā (33. pants) un paziņot datu subjektiem (34. pants) un dokumentē visus pārkāpumus, to ietekmi un koriģējošos pasākumus.

9. Novērtējums par ietekmi uz datu aizsardzību un iepriekšēja apspriešanās (28. panta 3. punkta f) apakšpunkts, 35. un 36. pants)

(1) Sistemātiska darbinieku klātbūtnes reģistrēšana var radīt nepieciešamību veikt novērtējumu par ietekmi uz datu aizsardzību saskaņā ar VDAR 35. panta 3. punkta a) apakšpunktu. Apstrādātājs šim nolūkam nodrošina pārzinim NymTime novērtējuma par ietekmi uz datu aizsardzību veidni un tehnisko informāciju par produktu un palīdz tam iespējamās iepriekšējas apspriešanās ar uzraudzības iestādi gadījumā (36. pants).

(2) Novērtējuma par ietekmi uz datu aizsardzību veikšana attiecībā uz pārziņa paša izmantošanu, izvērtēšana, vai attiecīgās valsts tiesību akti atrašanās vietas pārbaudei prasa darba koplīgumu vai vienošanos ar darbinieku pārstāvjiem, konsultēšanos, informēšanu vai piekrišanu, kā arī to noslēgšana vai attiecīgi saņemšana ir pārziņa pienākums. Apstrādātājs šim nolūkam nodrošina kontrolsarakstus katrai valstij un veidnes; tie nebloķē nevienu funkciju un neaizstāj juridisku konsultāciju.

10. Dzēšana un atdošana pēc līguma beigām (28. panta 3. punkta g) apakšpunkts)

(1) Pēc lietošanas līguma izbeigšanas pārzinis 30 dienas var pilnībā eksportēt savus datus no Back Office (Excel, CSV, dokumenti oriģinālformātā). Pēc šā termiņa beigām apstrādātājs dzēš visus pārziņa personas datus, ja vien Savienības vai Austrijas tiesību akti neprasa apstrādātājam pašam tos glabāt; šādā gadījumā apstrāde tiek ierobežota līdz glabāšanai. Pārziņa glabāšanas pienākumi (saskaņā ar objekta valsts tiesību aktiem, B daļa) paliek viņa paša pienākums (AGB § 14 (3)); viņš tos izpilda ar savlaicīgu eksportu.

(2) Dzēšanu pēc pieprasījuma pārzinim apstiprina rakstiski. Rezerves kopijas tiek pārrakstītas ne vēlāk kā 35 dienas pēc primāro datu dzēšanas.

(3) Līguma darbības laikā pārzinis var arhivēt, anonimizēt vai dzēst atsevišķus darbiniekus un pats noteikt glabāšanas termiņus katram datu veidam likumā noteikto minimālo vērtību robežās. Ikdienas process īsteno termiņus un reģistrē žurnālā dzēsto ierakstu skaitu un datu veidu.

11. Pierādījumi un pārbaudes (28. panta 3. punkta h) apakšpunkts)

(1) Apstrādātājs dara pieejamu pārzinim visu informāciju, kas nepieciešama, lai apliecinātu, ka tiek pildīti VDAR 28. pantā paredzētie pienākumi, jo īpaši šo vienošanos, pielikumus, reģistru saskaņā ar VDAR 30. panta 2. punktu un ziņojumus par tehnisko un organizatorisko pasākumu pārbaudi.

(2) Pārzinis vai tā pilnvarots revidents, kuram ir konfidencialitātes pienākums, drīkst pārbaudīt šīs vienošanās ievērošanu pēc samērīga, vismaz 14 dienas iepriekš sniegta paziņojuma parastajā darba laikā, ne biežāk kā reizi kalendāra gadā, ja vien personas datu aizsardzības pārkāpums vai uzraudzības iestādes rīkojums neprasa papildu pārbaudi. Apstrādātājs piedalās pārbaudēs.

(3) Apstrādātājs nekavējoties informē pārzini, ja, pēc tā domām, kāds norādījums pārkāpj VDAR vai citus Savienības vai Austrijas datu aizsardzības noteikumus.

12. Atbildība un nobeiguma noteikumi

(1) Pušu atbildību nosaka VDAR 82. pants un pārējā daļā AGB § 15. Pušu savstarpējās attiecībās katra puse atbild par to pienākumu pārkāpumu, kas tai noteikti ar šo vienošanos un VDAR.

(2) Piemēro Austrijas tiesības, izņemot starptautisko privāttiesību kolīziju normas. Par ekskluzīvo piekritības vietu saskaņā ar § 104 JN (Austrijas Jurisdikcijas likums, Jurisdiktionsnorm) — attiecībā uz pārziņiem, kuru juridiskā adrese ir citā dalībvalstī, papildus saskaņā ar Regulas (ES) Nr. 1215/2012 (Briseles Ia regula) 25. pantu — tiek noteikta Vīnes Iekšpilsētas (Wien, Innere Stadt) lietai piekritīgā tiesa. Šīs vienošanās grozījumiem un papildinājumiem nepieciešama rakstveida forma; puses šim nolūkam saskaņā ar § 886 ABGB vienojas par atvieglotu formu, pietiek ar e-pastu uz saglabāto adresi. Tas attiecas arī uz šīs prasības atcelšanu.

(3) Šīs vienošanās elektroniskais apstiprinājums pirkuma laikā vai, ja apstrādātājs klienta kontu izveidojis pēc pieprasījuma, vadības pirmajā pieteikšanās reizē Back Office sistēmā — ar laiku, versiju, apstiprinātā dokumenta teksta kontrolsummu (SHA-256), IP adresi un lietotāju — tiek reģistrēts klienta kontā un uzskatāms par noslēgšanu elektroniskā formā VDAR 28. panta 9. punkta izpratnē. Pretrunu gadījumā starp šo vienošanos un AGB datu aizsardzības jautājumos noteicoša ir šī vienošanās.

1. pielikums — Apstrādes priekšmets: datu kategorijas, datu subjekti, nolūki

Personas datu kategorijas (katrai kategorijai: dati — nolūks — pārziņa juridiskais pamats):

• Pamatdati: vārds, uzvārds, e-pasta adrese, tālruņa numurs, amats, loma, piesaiste objektam, personāla numurs, nodarbinātības veids, darba sākuma un beigu datums — pārvaldība, darba grafiks, norēķini — VDAR 6. panta 1. punkta b) un c) apakšpunkts.
• Līguma dati (vienošanās): līgumā noteiktais darba laiks (stundas nedēļā, mēnesī vai gadā), nodarbinātības kategorija (pilna slodze, nepilna slodze, jaunieši līdz 18 gadu vecumam, māceklība, sezonas darbs, cits), pārskata periods (summētā darba laika uzskaitei), piemērojamais darba koplīgums (Kollektivvertrag), tiesības uz atvaļinājumu dienās, katram ar spēkā stāšanās datumu un versiju vēsturi — darba grafiks, darba laika konts, atvaļinājuma atlikums, darba laika tiesību ierobežojumu pārbaude — VDAR 6. panta 1. punkta b) un c) apakšpunkts.
• Darba grafiks: plānotās maiņas, lomas, minimālais personāla sastāvs, brīvās maiņas, publicēšanas un apstiprināšanas laiki (kurš un kad publicēja grafiku, kad darbinieks to redzēja un apstiprināja), izmaiņas pēc publicēšanas ar pamatojumu — personāla izmantošanas plānošana, savlaicīgas paziņošanas pierādījums — VDAR 6. panta 1. punkta b) un c) apakšpunkts.
• Pieejamība: norāde par katru dienu vai pusdienu („pieejams“, „nelabprāt“, „nav pieejams“), ievadīšanas laiks — brīvprātīga norāde plānošanai, tā nav gatavība darbam un nav dežūra darba laika tiesību izpratnē — VDAR 6. panta 1. punkta b) apakšpunkts.
• Maiņu apmaiņa: piedāvājums, tā paša objekta un tās pašas lomas kolēģu atbildes (viņiem redzams: vārds, uzvārds, loma vai attiecīgi nodaļa, maiņas laiki), vadītāja lēmums, darba laika tiesību ierobežojumu pārbaudes rezultāts — personāla izmantošanas plānošana — VDAR 6. panta 1. punkta b) apakšpunkts.
• Kontaktu atļauja (Kontakti): pazīme, vai darbinieks savu tālruņa numuru un e-pasta adresi ir padarījis redzamu tā paša objekta kolēģiem, kopā ar piekrišanas sniegšanas un iespējamās atsaukšanas laiku — sasniedzamība komandā — piekrišana saskaņā ar VDAR 6. panta 1. punkta a) apakšpunktu, noklusējuma iestatījums „izslēgts“, atsaukšana jebkurā laikā saskaņā ar VDAR 7. panta 3. punktu.
• Uzņēmuma paziņojumi (ziņojumu dēlis): teksts, plakāts (attēls vai PDF, bez attēla metadatiem), adresātu loks (objekti, nodaļas), derīgums, izlasīšanas un iepazīšanās apstiprinājums katram darbiniekam ar laiku — pierādījums par iepazīšanos ar uzņēmuma informāciju — VDAR 6. panta 1. punkta b) un f) apakšpunkts; nav darba snieguma kontrole.
• Darba laika uzskaites ieraksti: faktiskais sākums un beigas, atpūtas pārtraukumi (neapmaksāti; plānotie pārtraukumu bloki katrai maiņai, apmaksāti vai neapmaksāti, kā arī objekta vadītāja apstiprināts pārtraukums ar apstiprinātāja norādi) un īsi pārtraukumi kopā ar pazīmi „Pārtraukums nav reģistrēts“, laika reģistrēšanas veids (NFC vai objekta ieraksts bez NFC), noviržu žurnāls līgumā noteiktā darba laika gadījumā (apstiprinātās dienas „kā plānots“, faktiskie laiki novirzes gadījumā, darbinieka ziņojums un vadītāja apstiprinājums), darba laika konts par katru norēķinu periodu (līguma stundas, ieskaitītās stundas, atlikums, pārnesums un perioda slēgšana), labojumi ar pamatojumu un labotāju — uzskaites pienākums saskaņā ar objekta valsts tiesību aktiem (B daļa) — VDAR 6. panta 1. punkta c) apakšpunkts.
• Prombūtnes: veids (atvaļinājums, darbnespēja, brīvs laiks par virsstundām, atbrīvojums tuvinieka aprūpei, svētku diena, īpašais atvaļinājums, apmācības, neapmaksāta prombūtne), laikposms, statuss, izskatītājs; darbnespējas gadījumā bez diagnozes — darba grafiks, darba samaksas saglabāšana — VDAR 6. panta 1. punkta b) un c) apakšpunkts.
• Atrašanās vietas pārbaude ieraksta brīdī: rezultāts „zonā“, „ārpus zonas“ vai „atrašanās vieta nav pieejama“ ar laiku un precizitāti metros; nekādu koordinātu, nekādu maršrutu — ieraksta ticamība — saskaņā ar objekta valsts tiesību aktiem (B daļa); VDAR 88. pants.
• Iestatīšanas pierādījumi (atbilstība): pārziņa norādītā valsts, uzņēmuma lielums un darbinieku pārstāvniecība, augšupielādētās vienošanās un protokoli, novērtējuma par ietekmi uz datu aizsardzību datums, iepazīšanās apliecinājumi un piekrišanas katram darbiniekam ar laiku un dokumenta versiju, atsaukumi — pierādījums, ka valsts tiesību aktos prasītie soļi ir veikti pirms funkcijas izmantošanas — VDAR 6. panta 1. punkta c) un f) apakšpunkts, piekrišanām VDAR 7. pants.
• Ierīces dati: ierīces identifikators, publiskā atslēga, modelis un operētājsistēmas versija, push marķieris paziņojumiem, statuss (aktīva, aizstāta, bloķēta), reģistrācijas laiks — viena ierīce uz personu, aizsardzība pret viltošanu — VDAR 6. panta 1. punkta f) apakšpunkts.
• Dokumenti (pēc izvēles): reģistrācija sociālajā apdrošināšanā, rakstiska informācija par būtiskajiem darba nosacījumiem, darba līgums, apliecinājumi ar iespējamo derīguma termiņu, uzņēmuma pieprasīti un darbinieka augšupielādēti dokumenti, algas lapiņas un gada algas pārskati kopā ar automātiski ieteiktiem laukiem ar pārbaudes atzīmi, katram ar pazīmi, vai dokuments ir redzams attiecīgajam darbiniekam lietotnē — personāla lieta, algu aprēķina sagatavošana — VDAR 6. panta 1. punkta c) apakšpunkts saistībā ar objekta valsts tiesību aktiem (B daļa); šajos dokumentos var būt valsts identifikācijas numuri (piemēram, sociālās apdrošināšanas numurs), ko pārzinis saglabā tikai savas valsts tiesību aktu ietvaros. Algu dokumentus redz tikai vadība, pārziņa skaidri pilnvarotas personas un attiecīgais darbinieks; katra piekļuve tiek reģistrēta žurnālā. Glabāšana: algu dokumenti atbilstoši datu veidam „Algu dokumenti“ (termiņš un tā sākums saskaņā ar B daļu), pārējie dokumenti atbilstoši datu veidam „Darbinieku dokumenti“.
• Darbnespējas apliecinājums (darbnespējas lapa, pēc izvēles): darbnespējas sākums un paredzamais ilgums bez diagnozes — darbnespējas pierādījums un darba samaksas saglabāšana — veselības dati, VDAR 9. panta 2. punkta b) apakšpunkts saistībā ar tās valsts noteikumiem, kurā darbinieks ir nodarbināts un saskaņā ar kuriem darba devējs drīkst pieprasīt apliecinājumu (B daļa). Ja darbnespēja tiek paziņota elektroniski ar sociālās apdrošināšanas iestādes starpniecību, pārzinis saglabā tikai viņam pienākošo informāciju bez diagnozes; ja apliecinājumā ir diagnozes kods, viņš to pirms augšupielādes padara nesalasāmu. Piekļuve tikai vadībai, pārziņa šim nolūkam skaidri pilnvarotām personām un attiecīgajam darbiniekam; katra piekļuve tiek reģistrēta žurnālā. Glabāšana atbilstoši datu veidam „Darbinieku dokumenti“.
• Personāla izmaksas (pēc izvēles, redzamas vadībai un vadītājiem, kuriem vadība to ir atļāvusi („Personāla izmaksas“)): bruto alga ar vēsturi (summa, vienība, algu skaits gadā, stundas nedēļā, nodarbinātības veids, darba devēja izmaksu likme), piemaksas, avansi, korekcijas ar vēsturi — iekšējā kalkulācija — VDAR 6. panta 1. punkta f) apakšpunkts.
• Apgrozījuma dati par katru objektu (pēc izvēles): dienas apgrozījums un mērķa vērtība — rādītājs „personāla izmaksu īpatsvars“ — nav personas dati; tie tiek analizēti tikai kopā ar personāla izmaksām.
• Žurnāli: darbību žurnāls (kas, ko, kad, pirms/pēc), paziņojumi — pierādījumi, drošība — VDAR 5. panta 2. punkts un 32. pants.
• Datu subjektu kategorijas: pārziņa darbinieki, ārštata darbinieki (freie Dienstnehmer), darbaspēka nodrošināšanas pakalpojuma ietvaros norīkotie darbinieki, praktikanti un mācekļi. Back Office lietotāji (vadība, vadītāji, nodokļu konsultanti) un pārziņa kontaktpersona nav šīs vienošanās priekšmets; attiecībā uz viņu datiem apstrādātājs pats ir pārzinis (privātuma politika, 6. un 7. sadaļa).
• Nolūki: personāla izmantošanas plānošana; darba laika, ieskaitot atpūtas pārtraukumus, uzskaites pienākuma izpilde saskaņā ar objekta valsts tiesību aktiem; ieraksta ticamība; prombūtņu pārvaldība; pieejamības, maiņu apmaiņas un uzņēmuma paziņojumu organizēšana; personāla dokumentu glabāšana un pieejamības nodrošināšana; algu aprēķina sagatavošana; sistēmas drošība un izsekojamība.
• Glabāšana (pārzinis var mainīt likumā noteikto minimālo vērtību robežās): noklusējuma un minimālās vērtības darba laika uzskaites ierakstiem, darbību žurnālam, darbinieku dokumentiem (datu veids „employee_documents“, ieskaitot augšupielādētos apliecinājumus un darbnespējas apliecinājumus), algu dokumentiem, personāla izmaksām un arhivētiem darbinieku profiliem (pēc tam anonimizēšana) norāda B daļa saskaņā ar objekta valsts tiesību aktiem; neapstrādāti klātbūtnes notikumi — 3 mēneši, īsāk, ja to prasa valsts tiesību akti (B daļa); paziņojumi — 6 mēneši. Pieejamības norādes, apmaiņas darbības un izlasīšanas apstiprinājumi tiek dzēsti kopā ar attiecīgo darba grafiku vai paziņojumu, ne vēlāk kā pēc 12 mēnešiem.

2. pielikums — Atļautie citi apstrādātāji

Stāvoklis uz 2026. gada 28. septembri. Apstrādātājs izmanto šādus citus apstrādātājus; aktuālais saraksts ir pieejams Back Office sadaļā Iestatījumi → Abonements.

• Pakalpojuma mitināšana (serveri, datubāze, failu krātuve, rezerves kopijas): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Vācija — datu centrs Falkenšteinā (Falkenstein, Vācija, reģions fsn1), objektu krātuve (Object Storage) tajā pašā reģionā. Garantija: datu apstrādes līgums saskaņā ar VDAR 28. pantu; nekāda apstrāde ārpus ES.
• Tīmekļvietnes nymtime.com mitināšana un piegāde, kā arī visas datplūsmas pārsūtīšana uz api.nymtime.com, app.nymtime.com un admin.nymtime.com (reversais starpniekserveris, transporta šifrēšana, aizsardzība pret pārslodzes uzbrukumiem): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, ASV). TLS savienojums beidzas pie Cloudflare; līdz ar to Cloudflare tehniski apstrādā visus pārsūtītos datus, ieskaitot darbinieku datus pārsūtīšanas laikā, taču neglabā pakalpojuma saturu — kešatmiņā tiek saglabāti tikai statiski faili, kā arī savienojumu žurnāli uzbrukumu atvairīšanai. Garantija: datu apstrādes līgums saskaņā ar VDAR 28. pantu; nosūtīšana uz ASV, pamatojoties uz sertifikāciju saskaņā ar ES un ASV datu privātuma regulējumu (EU-US Data Privacy Framework, VDAR 45. pants) un standarta līguma klauzulām (VDAR 46. panta 2. punkta c) apakšpunkts).
• E-pasta sūtīšana (pieteikšanās un uzaicinājuma saites, darbinieku lietotnes aktivizācijas kodi, paziņojumi, līguma un maksājumu paziņojumi, rēķini): Resend, Inc., San Francisco, ASV — sūtīšana, izmantojot Amazon Simple Email Service reģionā eu-west-1 (Īrija). Apstrādātie dati: saņēmēja adrese, temats, ziņojuma saturs un piegādes statuss. Garantija: datu apstrādes papildinājums (Data Processing Addendum) no 28.09.2026 (VDAR 28. pants); nosūtīšana uz ASV, pamatojoties uz ES un ASV datu privātuma regulējumu (VDAR 45. pants) un standarta līguma klauzulām (VDAR 46. panta 2. punkta c) apakšpunkts).
• Push paziņojumi darbinieku lietotnei: Expo (650 Industries, Inc., ASV), piegāde ierīcēm, izmantojot Apple Push Notification service (Apple Inc.) vai attiecīgi Firebase Cloud Messaging (Google). Apstrādātie dati: ierīces push marķieris, paziņojuma identifikators un veids, vispārīgs teksts bez personas datu satura. Garantija: datu apstrādes līgums saskaņā ar VDAR 28. pantu; nosūtīšana uz ASV, pamatojoties uz ES un ASV datu privātuma regulējumu (VDAR 45. pants) un standarta līguma klauzulām (VDAR 46. panta 2. punkta c) apakšpunkts).
• Automātiska lauku atpazīšana dokumentos (tikai tad, ja pārzinis aktivizē šo funkciju): pakalpojumu sniedzējs ar apstrādi ES, dati netiek izmantoti apmācības nolūkos — tiks papildināts šeit pirms funkcijas aktivizēšanas; līdz tam funkcija ir deaktivizēta.
• Adrešu meklēšana Back Office sistēmā (ieteikumi, ievadot objekta adresi): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Vācija (pakalpojums Photon, serveri ES; datu avots OpenStreetMap, ODbL 1.0). Tiek nosūtīts tikai ievadītais adreses teksts; pieprasījumu veic mūsu serveris, nevis pārlūkprogramma. Darbinieku dati netiek nosūtīti. Aizstājējs darbības pārtraukuma gadījumā: OpenStreetMap Foundation pakalpojums Nominatim, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Apvienotā Karaliste — ar fondu nav iespējams noslēgt datu apstrādes līgumu; pakalpojums saņem tikai adreses tekstu un tiek izmantots tikai kā rezerves ceļš. Publiskajam pakalpojumam Photon Komoot nepiedāvā datu apstrādes līgumu; tiek nosūtīts tikai ievadītais objekta adreses teksts, nekādi darbinieku dati.

Pilnības labad — patstāvīgi pārziņi, nevis citi apstrādātāji: Eiropas Komisija, Rue de la Loi 200, 1049 Bruxelles, Beļģija (pārziņa PVN numura apstiprināšana PVN informācijas apmaiņas sistēmā VIES; tiek nosūtīts tikai valsts kods un PVN numurs, juridiskais pamats — VDAR 6. panta 1. punkta c) apakšpunkts saistībā ar § 11 Abs 1a UStG 1994 (Austrijas Apgrozījuma nodokļa likums); nekādu darbinieku datu), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Īrija (maksājumu apstrāde, rēķinu izrakstīšana un abonementu pārvaldība attiecībā uz pārzini kā klientu; nosūtīšana Stripe, Inc. (ASV) saskaņā ar ES un ASV datu privātuma regulējumu un standarta līguma klauzulām), kā arī Österreichische Post AG, Rochusplatz 1, 1030 Wien, vai kurjerdienests (NFC birku piegāde uz uzņēmuma vai piegādes adresi; saņem tikai piegādes datus: uzņēmuma nosaukums, kontaktpersona, adrese, attiecīgā gadījumā tālruņa numurs). Neviens no šiem saņēmējiem neapstrādā pārziņa darbinieku datus.

3. pielikums — Tehniskie un organizatoriskie pasākumi (VDAR 32. pants)

Apstrādātājs jo īpaši īsteno šādus pasākumus:

• Fiziskās un sistēmas piekļuves kontrole: pakalpojuma darbība tikai datu centros ES; fiziskās piekļuves kontrole un sertifikācija saskaņā ar ISO 27001 ir prasība pakalpojuma mitināšanas pakalpojumu sniedzējam (Hetzner Online GmbH, 2. pielikums); administratīvā piekļuve tikai ar personalizētiem kontiem ar SSH atslēgām, divu faktoru autentifikācija pārvaldības konsolei arī kā prasība mitināšanas pakalpojumu sniedzējam; nav koplietojama konta.
• Piekļuves kontrole produktā: uz lomām un tiesībām balstīta atļauju sistēma (vadība, vadītāji, darbinieki, citas lomas ar atsevišķām atļaujām), vadītāju ierobežošana ar piešķirtajiem objektiem; personāla izmaksu dati tikai vadībai; darbnespējas apliecinājumi un algu dokumenti tikai vadībai, pārziņa skaidri pilnvarotām personām un attiecīgajam darbiniekam, katra piekļuve tiem tiek reģistrēta žurnālā; pieteikšanās Back Office ar personalizētiem kontiem, kur lietotāja identifikators ir e-pasta adrese, un paroli, kas tiek glabāta tikai kā jaucējvērtība ar nejaušu sāli (scrypt) — paroles iestatīšana ar vienreizēju saiti (derīga 24 stundas), atiestatīšana ar vienreizēju saiti (derīga 1 stundu), jaunas e-pasta adreses apstiprināšana ar kodu, kas nosūtīts uz jauno adresi, bloķēšana uz 15 minūtēm pēc 10 neveiksmīgiem mēģinājumiem, visu esošo sesiju izbeigšana pēc katras paroles maiņas, sesijas sīkdatne ar derīgumu 14 dienas, izvēles divu faktoru autentifikācija (TOTP lietotne, pārzinis to var aktivizēt visam uzņēmumam, atkopšanas kodi tikai kā jaucējvērtība, TOTP noslēpums tiek glabāts šifrēts); darbinieku lietotnes aktivizēšana ar vienreizēju kodu, kas nosūtīts uz saglabāto e-pasta adresi (ierobežots derīgums, ne vairāk kā 5 mēģinājumi, pieprasījumu skaits katrai adresei un IP adresei ierobežots); piekļuve tiek reģistrēta žurnālā.
• Ierīces piesaiste: tieši viena aktīva ierīce katram darbiniekam; kriptogrāfisks atslēgu pāris ierīces drošajā krātuvē; katru laika reģistrējumu paraksta ierīce; jauna ierīce tiek piesaistīta tikai pēc e-pasta koda apstiprināšanas un klātbūtnes objektā pierādīšanas (NFC birka vai atrašanās vietas pārbaude) — iepriekšējā ierīce tad tiek automātiski bloķēta, uzņēmums saņem paziņojumu un maiņa tiek reģistrēta žurnālā; uzņēmums jebkurā laikā var bloķēt ierīci.
• NFC birkas: NXP NTAG 424 DNA, konfigurētas dinamiskam, kriptogrāfiski parakstītam ziņojumam katrā pieskārienā (Secure Unique NFC) ar skaitītāja pārbaudi — paredzētas, lai novērstu kopēšanu un atkārtotu izmantošanu; mikroshēmas atslēga netiek atklāta ne tālrunim, ne lietotājiem; QR kods uz objekta plāksnītes ved tikai uz darbinieku lietotnes lejupielādes lapu un nav laika reģistrēšanas veids; objekta ieraksts bez NFC tikai objekta zonā.
• Datu minimizēšana: koordinātas vai maršruti netiek glabāti; laika reģistrēšanas brīdī netiek uzņemti fotoattēli — attēli nonāk sistēmā tikai kā paša darbinieka augšupielādēti dokumenti (piemēram, darbnespējas apliecinājums); no atrašanās vietas tikai pārbaudes rezultāts ieraksta brīdī („zonā“, „ārpus zonas“, „atrašanās vieta nav pieejama“, laiks, precizitāte); atrašanās vietas noteikšana fonā nenotiek; pārbaude tikai maiņas laikā un tikai objektos, kuros to pieļauj valsts tiesību akti un kuros pārzinis to nav izslēdzis; neapstrādātie notikumi tiek dzēsti pēc 3 mēnešiem, īsāk, ja to prasa valsts tiesību akti; push paziņojumi bez personas datu satura.
• Šifrēšana: pārsūtīšana tikai ar TLS 1.2 vai jaunāku versiju (līdz Cloudflare reversajam starpniekserverim un no turienes atkārtoti šifrēti līdz pakalpojuma serveriem); datubāze atrodas mitināšanas pakalpojumu sniedzēja sējumos, kas šifrēti ar LUKS (dm-crypt, AES-XTS); dokumentus lietotne pirms saglabāšanas objektu krātuvē šifrē ar AES-256-GCM, atslēgas atrodas tikai lietotnes serveros; datubāzes rezerves kopijas pgBackRest pirms saglabāšanas objektu krātuvē šifrē ar AES-256; atslēgas un piekļuves dati ārpus pirmkoda; paroles un pieteikšanās kodi tikai kā jaucējvērtība ar nejaušu sāli.
• Integritāte un izsekojamība: nemaināms darbību žurnāls (pievienošana atļauta, grozīšanu un dzēšanu novērš datubāzes noteikums) visām ar drošību saistītajām darbībām; tikai loģiskā dzēšana (soft delete) ar laikspiedolu; darba laika labojumi ar pamatojumu, labotāju un iepriekšējo vērtību.
• Serveru žurnāli: lietotnes serveru (saskarnes, tīmekļa servera) žurnālos ir IP adreses, bet nav dokumentu vai algu datu satura; tie tiek rotēti pēc apjoma (ne vairāk kā pieci faili pa 10 MB katram pakalpojumam) un tiek dzēsti ne vēlāk kā pēc 30 dienām.
• Pieejamība: divi datubāzes serveri ar nepārtrauktu replikāciju; ikdienas rezerves kopijas (reizi nedēļā pilnas, katru dienu diferenciālas, kā arī nepārtraukta transakciju žurnālu arhivēšana) ar glabāšanu līdz 35 dienām, šifrētas mitināšanas pakalpojumu sniedzēja objektu krātuvē ES; ikmēneša automātisks atjaunošanas tests; uzraudzība ar trauksmes paziņojumiem; laika reģistrējumu pagaidu saglabāšana ierīcē savienojuma zuduma gadījumā.
• Nošķiršana: klientu datu loģiska nošķiršana ar organizācijas atslēgu katrā vaicājumā; atsevišķas vides izstrādei, testēšanai un ražošanas darbībai; ražošanas dati netiek izmantoti testēšanas vai izstrādes vidēs.
• Glabāšana un dzēšana: konfigurējami termiņi katram datu veidam ar obligātām likumā noteiktajām minimālajām vērtībām; ikdienas automatizēts dzēšanas un anonimizēšanas process ar žurnālu; atdošana un dzēšana saskaņā ar 10. punktu.
• Atbalsta piekļuve: parastā darbībā apstrādātājam nav piekļuves klientu datiem; piekļuve tikai pēc tam, kad pārzinis to atļāvis, ar apjomu, ilgumu un iespēju jebkurā laikā atsaukt; katra piekļuve tiek reģistrēta žurnālā.
• Organizācija: visu iesaistīto personu apņemšanās ievērot konfidencialitāti; dokumentēts process personas datu aizsardzības pārkāpumiem ar paziņošanu 48 stundu laikā; apstrādes darbību reģistrs saskaņā ar VDAR 30. panta 2. punktu; ikgadēja šo pasākumu pārbaude; drošības atjauninājumi saprātīgā termiņā; integrētas datu aizsardzības un datu aizsardzības pēc noklusējuma principi (VDAR 25. pants) izstrādes procesā.

4. pielikums — Radniecīgie uzņēmumi kā pārziņi (1. punkta 4. daļa)

4. pielikums ir to radniecīgo uzņēmumu saraksts, kuru vārdā klients noslēdz šo vienošanos saskaņā ar 1. punkta 4. daļu: firma, valsts, adrese, PVN numurs (ja norādīts) un objekti, kuru darba devējs ir uzņēmums. Klients uztur sarakstu Back Office sistēmā; tā aktuālā redakcija tur jebkurā laikā ir pieejama, un katras saraksta izmaiņas uzskata par dokumentētu norādījumu 3. punkta izpratnē. Kamēr nav reģistrēts neviens radniecīgais uzņēmums, visu objektu pārzinis ir klients.

B1. Tiesiskais pamats nodarbinātības kontekstā

(1) Apstrādei nodarbinātības kontekstā piemēro VDAR 88. pantu un Darba likuma 10., 11., 55. un 137. pantu. Atsevišķa likuma par darbinieku uzraudzību Latvijā nav.

(2) Pārzinis informē darbiniekus pirms pirmās lietošanas (VDAR 13. pants). Ja viņš nodarbina desmit vai vairāk darbinieku, viņš darba laika uzskaiti regulē darba kārtības noteikumos, ko pieņem, konsultējoties ar darbinieku pārstāvjiem, un ar kuriem iepazīstina visus darbiniekus (Darba likuma 55. pants); esošos darbinieku pārstāvjus viņš savlaicīgi informē un konsultējas ar tiem (Darba likuma 11. panta pirmās daļas 2. punkts). Atrašanās vietas pārbaudei ieraksta brīdī (A daļas 2. punkta (2) daļa un 1. pielikums) papildus nepieciešams katra objekta pamatojums un leģitīmo interešu izvērtējums (VDAR 6. panta 1. punkta f) apakšpunkts) un skaidra iepriekšēja attiecīgo darbinieku informēšana, ko pārzinis saglabā Back Office sistēmā.

B2. Darba laika uzskaites ieraksti

Darba laika uzskaites ieraksti (A daļas 2. punkta (1) daļa un 1. pielikums) kalpo nostrādāto stundu precīzai uzskaitei saskaņā ar Darba likuma 137. panta pirmo daļu; dīkstāves laiku, kas arī minēts šajā normā, pārzinis uzskaita pats. Tiesiskais pamats ir VDAR 6. panta 1. punkta c) apakšpunkts saistībā ar šo normu. Darbinieka tiesības pārbaudīt uzskaiti saskaņā ar Darba likuma 137. panta trešo daļu pārzinis nodrošina, ļaujot aplūkot ierakstus darbinieku lietotnē un tos eksportēt. Apstrādātājs datus valsts iestādēm nesniedz.

B3. Darbnespēja un dokumenti

(1) Latvijā darbnespēju apliecina elektroniski (e-darbnespējas lapa); darba devējs datus bez diagnozes saņem valsts elektroniskajā veselības sistēmā, un darbiniekam apliecinājums nav jāiesniedz. Tāpēc pārzinis šiem apliecinājumiem neizmanto funkciju „Darbnespējas apliecinājums (darbnespējas lapa)“ (A daļas 1. pielikums); vajadzības gadījumā viņš saglabā tikai viņam paredzētos datus bez diagnozes (VDAR 9. panta 2. punkta b) apakšpunkts).

(2) Pie A daļas 1. pielikumā minētajiem dokumentiem Latvijā jo īpaši pieder darba līgums, darba kārtības noteikumi ar iepazīstināšanas apliecinājumu un algas aprēķini; tiesiskais pamats ir VDAR 6. panta 1. punkta b) un c) apakšpunkts saistībā ar Darba likumu. Personas kodu pārzinis saglabā tikai tad, ja to prasa normatīvais akts.

B4. Novērtējums par ietekmi uz datu aizsardzību

Datu valsts inspekcija savā to apstrādes darbību sarakstā, kurām jāveic novērtējums par ietekmi uz datu aizsardzību, min darbinieku sistemātisku uzraudzību (7. punkts) un atrašanās vietas datu apstrādi (9. punkts). Atrašanās vietas pārbaudei ieraksta brīdī pārzinis novērtējumu veic pirms tās izmantošanas; kamēr novērtējuma nav, viņš šim objektam Back Office sistēmā izslēdz atrašanās vietas pārbaudi. Ierašanās reģistrēšanai pie NFC birkas to ieteicams veikt. Apstrādātājs palīdz saskaņā ar A daļas 9. punktu.

B5. Glabāšana

Noklusējuma vērtības objektiem Latvijā, ko pārzinis var mainīt minimālo vērtību robežās: darba laika uzskaites ieraksti — 84 mēneši (minimums 24 mēneši); neapstrādāti klātbūtnes notikumi — 3 mēneši; atrašanās vietas pārbaudes rezultāts („zonā“, „ārpus zonas“, precizitāte) tiek izņemts no laika ieraksta 90 dienas pēc ieraksta, laika ieraksts saglabājas; darbību žurnāls — 84 mēneši (minimums 24 mēneši); darbinieku dokumenti (datu veids „employee_documents“) — 84 mēneši; algu dokumenti — 120 mēneši (minimums 120 mēneši); personāla izmaksas — 84 mēneši; paziņojumi — 6 mēneši; arhivēti darbinieku profili — 84 mēneši, pēc tam anonimizēšana. Glabāšanas termiņi saskaņā ar Latvijas darba, sociālās apdrošināšanas, nodokļu un grāmatvedības tiesībām joprojām ir paša pārziņa pienākums (A daļas 10. punkta (1) daļa). Algu dokumentu termiņš sākas tā kalendārā gada beigās, uz kuru attiecas algas aprēķins (augšupielādētām algas lapiņām — augšupielādes gada beigās).

B6. Uzraudzības iestāde

Pārziņa kompetentā uzraudzības iestāde ir Datu valsts inspekcija (DVI), Elijas iela 17, Rīga, LV-1050, pasts@dvi.gov.lv, www.dvi.gov.lv. Apstrādātāja kompetentā iestāde ir Austrijas datu aizsardzības iestāde (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.