Privātuma politika

1. Datu pārzinis

Kristaps Mudurs (turpmāk — "mēs" vai "RINDIQ"), Jelgava, Latvija. E-pasts saziņai: info@rindiq.lv.

Mēs esam datu pārzinis attiecībā uz platformas lietotāju (uzņēmumu īpašnieku un darbinieku) datiem. Attiecībā uz uzņēmumu klientu datiem, mēs esam datu apstrādātājs — jūsu uzņēmums ir datu pārzinis.

2. Kādus datus mēs apkopojam

2.1. Uzņēmumu īpašnieki un darbinieki

• Vārds, uzvārds, e-pasta adrese
• Parole (droši šifrēta ar bcrypt)
• Google konta ID (ja izmantojat Google autentifikāciju)
• Biznesa informācija: nosaukums, adrese, tālrunis, logotips
• Pieslēgšanās laiki un IP adreses (sistēmas drošībai)

2.2. Uzņēmumu klienti

• Vārds, e-pasta adrese, tālruņa numurs
• Rezervāciju vēsture
• Uzticamības rādītājs (apmeklējumu statistika)
• Klientu piezīmes (ko ievadījuši uzņēmuma darbinieki)

3. Datu apstrādes mērķi un tiesiskais pamats

4. Datu glabāšana un drošība

• Visi dati tiek droši glabāti ES teritorijā (Garmtech, Latvija)
• Paroles ir šifrētas ar bcrypt (nekad netiek glabātas atklātā tekstā)
• Visa datu pārraide notiek caur drošu HTTPS/TLS savienojumu
• Piekļuve datiem ir stingri ierobežota atbilstoši lomai (administrators, darbinieks, klients)
• Katrs uzņēmums redz tikai savus datus (pilnīga datu izolācija)

5. Datu glabāšanas ilgums

• Konta dati: kamēr konts ir aktīvs, plus 90 dienas pēc tā dzēšanas
• Rezervāciju vēsture: kamēr uzņēmuma konts ir aktīvs
• Audita žurnāla ieraksti: 2 gadus
• Pieslēgšanās žurnāli: 90 dienas

6. Jūsu tiesības (VDAR / GDPR)

Saskaņā ar Vispārīgo datu aizsardzības regulu, jums ir šādas tiesības:

• Piekļuve — pieprasīt informāciju par saviem apstrādātajiem datiem
• Labošana — labot neprecīzus vai nepilnīgus datus
• Dzēšana — pieprasīt savu datu dzēšanu ("tiesības tikt aizmirstam")
• Ierobežošana — pieprasīt datu apstrādes ierobežošanu
• Pārnesamība — saņemt savus datus strukturētā, mašīnlasāmā formātā (CSV eksports)
• Iebildums — iebilst pret noteikta veida datu apstrādi
• Piekrišanas atsaukšana — atsaukt iepriekš sniegto piekrišanu jebkurā brīdī (piem., atteikties no atgādinājumu e-pastiem). Atsaukšana neietekmē apstrādes likumību, kas veikta pirms atsaukšanas
• Sūdzības iesniegšana — iesniegt sūdzību uzraudzības iestādei. Latvijā tā ir Datu valsts inspekcija (Elijas iela 17, Rīga, LV-1050, e-pasts: pasts@dvi.gov.lv)

Lai izmantotu savas tiesības, lūdzu, sazinieties ar mums: info@rindiq.lv. Atbildi sniegsim 30 dienu laikā.

7. Sīkdatnes (Cookies)

Mēs izmantojam tikai funkcionāli nepieciešamās sīkdatnes, lai nodrošinātu platformas darbību:

• session — uztur drošu pieslēgšanās sesiju uzņēmumiem un darbiniekiem
• client_session — uztur drošu klienta sesiju (piem., pieslēdzoties ar Google)
• admin_location_id — saglabā jūsu izvēlēto aktīvo atrašanās vietu
• lang — saglabā jūsu izvēlēto saskarnes valodu (LV vai EN)
• rindiq_lr_* — krāpšanas novēršanas sīkdatne (uzņēmuma līmenī, viena uz katru uzņēmumu). Tiek iestatīta tikai tad, ja jūsu uzticamības vērtējums attiecīgajā uzņēmumā ir zem sliekšņa un uzņēmums izmanto priekšapmaksas prasību. Mērķis: novērst sliekšņa apiešanu, mainot e-pasta adresi tajā pašā ierīcē. Sīkdatne satur kriptogrāfiski parakstītu marķieri ar e-pasta adresi, kas izraisīja prasību, un izbeidzas pēc 30 dienām vai pēc veiksmīgas priekšapmaksas. Juridiskais pamats: leģitīma interese (Vispārīgās datu aizsardzības regulas 6. panta 1. punkta f) apakšpunkts) — krāpšanas un finansiālu zaudējumu novēršana uzņēmumam
• Cloudflare Turnstile — reģistrācijas formās tiek izmantota Cloudflare drošības pārbaude (CAPTCHA alternatīva), kas var iestatīt īslaicīgas sīkdatnes botu aizsardzībai. Šīs sīkdatnes ir nepieciešamas drošības nodrošināšanai un netiek izmantotas izsekošanai

Mēs neizmantojam analītikas vai mārketinga sīkdatnes. Platformā nav iestrādāti trešo pušu izsekošanas rīki.

8. Trešo pušu pakalpojumi

• Resend (e-pastu sūtīšana) — datu apstrādātājs
• Google OAuth (pieslēgšanās) — izmantots tikai autentifikācijai (profila e-pasts un vārds)
• Stripe (maksājumu apstrāde) — tiešs savienojums starp uzņēmumu un Stripe; visi klientu maksājumi tiek glabāti uzņēmuma Stripe kontā, nevis RINDIQ kontā; mēs neglabājam kredītkaršu datus un neesam līgumiska puse darījumā starp klientu un uzņēmumu
• Twilio Inc. (ASV) — SMS atgādinājumu nosūtīšana. Pārsūtām tikai tālruņa numuru, uzņēmuma nosaukumu un vizītes laiku. Ziņojumu žurnāls tiek glabāts 12 mēnešus. Piekrišana SMS un e-pasta atgādinājumiem ir vienota — atteikt var jebkurā brīdī, sazinoties ar uzņēmumu vai izmantojot saiti e-pastā.
• Garmtech (hostings) — serveri atrodas Latvijā, ES, pilnībā atbilst GDPR prasībām

9. Starptautiska datu nodošana

Lielākā daļa datu apstrādes notiek Eiropas Savienības teritorijā (Garmtech serveri Latvijā). Tomēr daži apakšapstrādātāji (Resend, Stripe, Google, Twilio) atrodas vai apstrādā datus arī ārpus Eiropas Ekonomiskās zonas (galvenokārt Amerikas Savienotajās Valstīs).

Šādai datu nodošanai mēs piemērojam aizsardzības pasākumus saskaņā ar VDAR V nodaļu:

• Eiropas Komisijas apstiprinātās Standarta līguma klauzulas (SCCs) ar katru ārpus-ES apakšapstrādātāju
• EU–U.S. Data Privacy Framework (kur attiecināms — piem., Google LLC ir sertificēts)
• Tehniskie pasākumi: TLS šifrēšana datu pārraidē, šifrēta glabāšana

Pilns apakšapstrādātāju saraksts ar to atrašanās vietām ir pieejams mūsu Datu apstrādes līgumā.

10. Automatizēta lēmumu pieņemšana (VDAR 22. pants)

Platforma izmanto automatizētu apstrādi, lai aprēķinātu klienta uzticamības rādītāju — procentuālo attiecību starp apmeklētajām un neapmeklētajām vizītēm. Šis rādītājs var ietekmēt klienta turpmāko rezervāciju pieredzi konkrētajā uzņēmumā.

Iesaistītā loģika

Rādītājs tiek aprēķināts kā: pabeigto vizīšu skaits, dalīts ar kopējo vizīšu skaitu, ko reizina ar 100. Aprēķinā tiek iekļauta tikai novēlota atcelšana (mazāk nekā 24 stundas pirms vizītes, vai cits uzņēmuma noteiktais termiņš) un neierašanās. Savlaicīga atcelšana un uzņēmuma iniciēta atcelšana rādītāju neietekmē.

Iespējamās sekas

Ja uzticamības rādītājs ir zem uzņēmuma noteiktā sliekšņa, uzņēmums var:

• Pieprasīt obligātu priekšapmaksu pirms rezervācijas apstiprināšanas
• Pieprasīt manuālu rezervācijas apstiprināšanu (manuāla apstiprināšana ar konkrētu personu, nevis automatizēta)
• Atteikt rezervāciju (uzņēmuma diskrēcijā)

Jūsu tiesības

Jums ir tiesības saskaņā ar VDAR 22. panta 3. punktu:

• Pieprasīt cilvēka iesaistīšanos (sazinieties tieši ar uzņēmumu — manuāla apstiprināšana jau ir cilvēka iesaistes mehānisms)
• Izteikt savu viedokli un apstrīdēt lēmumu
• Pieprasīt skaidrojumu par to, kā tika pieņemts konkrētais lēmums

Uzticamības rādītājs nav redzams klientam, taču ietekmē tikai pieredzi konkrētajā uzņēmumā un nav saistīts ar profilēšanu pāri uzņēmumiem. Funkciju katrs uzņēmums var ieslēgt vai izslēgt patstāvīgi.

11. Personas datu izcelsme (VDAR 14. pants)

Klientu personas datus mēs galvenokārt saņemam tieši no klienta paša (kad klients rezervē pakalpojumu caur publisko rezervāciju lapu).

Tomēr atsevišķos gadījumos klientu personas dati var nonākt mūsu sistēmā no uzņēmuma (nevis no klienta tieši), piemēram:

• Manuāla rezervācija, ko uzņēmuma darbinieks veic klienta vārdā (piemēram, telefoniska rezervācija)
• Klientu bāzes imports CSV formātā (kad uzņēmums pārceļas no cita rezervāciju rīka vai pieraksta žurnāla)
• Klienta piezīmes, ko uzņēmuma darbinieks pievieno klienta profilam

Šādos gadījumos par tiesiskā pamata esamību un datu subjekta informēšanu ir atbildīgs uzņēmums (kā datu pārzinis). RINDIQ kā datu apstrādātājs paļaujas uz uzņēmuma apliecinājumu, ka tas ir tiesīgs nodot datus apstrādei.

12. Datu drošības pārkāpumi

Personas datu aizsardzības pārkāpuma gadījumā mēs apņemamies:

• Informēt attiecīgo uzņēmumu (datu pārzini) bez liekas kavēšanās un ne vēlāk kā 72 stundu laikā pēc pārkāpuma konstatēšanas (VDAR 33. pants)
• Nodrošināt uzņēmumam visu nepieciešamo informāciju pārkāpuma novērtēšanai un iesniegumam Datu valsts inspekcijai
• Augsta riska gadījumos sniegt atbalstu tiešai datu subjektu informēšanai (VDAR 34. pants)
• Veikt nepieciešamos pasākumus, lai novērstu pārkāpuma sekas un mazinātu to ietekmi

13. Datu aizsardzības speciālists (DPO)

Ņemot vērā mūsu pakalpojuma apjomu un veidu (mēs neapstrādājam īpašās kategorijas personas datus VDAR 9. panta izpratnē un neveicam liela mēroga sistemātisku uzraudzību), mēs neesam formāli iecēluši Datu aizsardzības speciālistu saskaņā ar VDAR 37. pantu.

Tomēr visi jautājumi par datu aizsardzību, datu subjektu tiesībām un VDAR atbilstību tiek personīgi risināti, sazinoties ar:

Kristaps Mudurs — RINDIQ datu pārzinis
E-pasts: info@rindiq.lv

14. Mārketinga un komunikācijas

• Rezervācijas apstiprinājumi un atgādinājumi (transakcionāli e-pasti) — tiek sūtīti uz tiesiskā pamata (līguma izpilde / leģitīmās intereses), un no tiem var atteikties, sazinoties ar uzņēmumu
• Atgriešanas e-pasti (win-back) — tiek sūtīti tikai tad, ja klients devis piekrišanu atgādinājumu saņemšanai. Katra ziņa satur skaidru atteikšanās saiti
• Platformas paziņojumi uzņēmumiem (sistēmas atjauninājumi, jaunās funkcijas) — tiek sūtīti uz leģitīmo interešu pamata kā nepieciešamas uzņēmējdarbības attiecību sastāvdaļas
• Mēs nesūtām reklāmas e-pastus trešo pušu vārdā un nepārdodam jūsu kontaktdatus

15. Kontaktinformācija

Ja jums ir jautājumi par to, kā mēs apstrādājam jūsu personas datus, lūdzu, sazinieties ar mums:

E-pasts: info@rindiq.lv