1. Priekšmets un ilgums

• Campoff apstrādā personas datus Klienta uzdevumā, lai nodrošinātu Klienta uzņēmuma nometnes biznesa portālā: rādītu Klientam dalībnieku sarakstu, stundas un kopīgā mērķa progresu.
• Līgums ir spēkā, kamēr Klientam ir kaut viena nometne Campoff, un beidzas, kad nometnes dati ir izdzēsti saskaņā ar 9. punktu.

2. Apstrādes būtība un datu veidi

Skatīt 1. pielikumu.

3. Dokumentēti norādījumi

• Campoff apstrādā datus tikai pēc Klienta dokumentētiem norādījumiem. Norādījumi ir:
  • šis līgums un Uzņēmumu noteikumi;
  • Klienta darbības biznesa portālā (nometnes izveide, iestatījumi, arhivēšana);
  • Klienta rakstiski pieprasījumi uz kristaps@campoff.app.
• Ja Campoff uzskata, ka norādījums pārkāpj datu aizsardzības tiesības, Campoff par to nekavējoties informē Klientu.
• Ja Campoff likums uzliek pienākumu apstrādāt datus citādi, Campoff par to informē Klientu pirms apstrādes, ja vien likums to neaizliedz.

4. Konfidencialitāte

Piekļuve datiem ir tikai personām, kurām tā vajadzīga pakalpojuma sniegšanai un kuras ir apņēmušās ievērot konfidencialitāti vai kurām ir likumā noteikts konfidencialitātes pienākums.

5. Drošība

Campoff īsteno tehniskos un organizatoriskos pasākumus saskaņā ar VDAR 32. pantu, kas aprakstīti 2. pielikumā. Campoff var tos uzlabot, bet nedrīkst samazināt kopējo aizsardzības līmeni.

6. Apakšapstrādātāji

• Klients dod vispārēju atļauju izmantot 3. pielikumā minētos apakšapstrādātājus.
• Par jauna apakšapstrādātāja pievienošanu vai nomaiņu Campoff informē Klientu vismaz 14 dienas iepriekš pa e-pastu vai portālā.
• Klients var pamatoti iebilst šajā laikā. Ja vienoties neizdodas, Klients var izbeigt Uzņēmumu noteikumus un saņemt atmaksu par neizmantoto apmaksāto laiku.
• Ar katru apakšapstrādātāju Campoff ir līgums, kas uzliek tādus pašus datu aizsardzības pienākumus kā šis līgums. Campoff atbild par apakšapstrādātāju darbību.

7. Palīdzība Klientam

• Datu subjektu tiesības. Campoff palīdz Klientam atbildēt uz datu subjektu pieprasījumiem (piekļuve, labošana, dzēšana u. c.). Ja pieprasījums par nometnes datiem nonāk pie Campoff, Campoff to bez kavēšanās pārsūta Klientam vai, ja pieprasījums attiecas uz paša dalībnieka Campoff kontu, izpilda pats kā pārzinis.
• Citi pienākumi. Campoff, ciktāl iespējams, palīdz Klientam izpildīt VDAR 32.–36. panta pienākumus: drošība, pārkāpumu paziņošana, ietekmes novērtējums, iepriekšēja konsultācija.

8. Personas datu aizsardzības pārkāpumi

• Ja Campoff uzzina par pārkāpumu, kas skar nometnes datus, Campoff par to paziņo Klientam bez nepamatotas kavēšanās un ne vēlāk kā 48 stundu laikā.
• Paziņojumā ir tik daudz informācijas, cik tobrīd zināms: kas notika, kādi dati un cik cilvēku skarti, iespējamās sekas un ko Campoff dara, lai to novērstu.
• Kad informācija kļūst zināma, Campoff to papildina.

9. Dati pēc apstrādes beigām

• Kad Klients rakstiski pieprasa vai kad Uzņēmumu noteikumi izbeidzas, Campoff 30 dienu laikā izdzēš uzņēmuma nometnes datus. Pēc Klienta izvēles Campoff pirms tam tos atdod mašīnlasāmā formātā (CSV vai JSON).
• Rezerves kopijās dati tiek izdzēsti ne vēlāk kā 30 dienas pēc tam.
• Dalībnieku pašu Campoff konti un viņu laiks paliek, jo par tiem Campoff atbild kā pārzinis.
• Rēķina dati paliek, cik ilgi to prasa likums.

10. Informācija un pārbaudes

• Campoff sniedz Klientam informāciju, kas vajadzīga, lai pierādītu šī līguma izpildi.
• Klients var veikt pārbaudi (auditu) pats vai ar neatkarīgu auditoru, kuram ir konfidencialitātes pienākums. Pārbaudi piesaka vismaz 30 dienas iepriekš, ne biežāk kā reizi gadā, ja vien nav bijis pārkāpums. Pārbaude notiek darba laikā, un katra puse sedz savas izmaksas.
• Pirmkārt Campoff var atbildēt uz rakstiskiem jautājumiem un iesniegt dokumentus. Klātienes pārbaude notiek tikai tad, ja ar to nepietiek.

11. Datu nosūtīšana ārpus EEZ

Campoff nosūta datus ārpus Eiropas Ekonomikas zonas tikai tad, ja ir VDAR V nodaļas pamats: lēmums par aizsardzības līmeņa pietiekamību (piem., ES–ASV Datu privātuma regulējums sertificētiem uzņēmumiem) vai Eiropas Komisijas standarta līguma klauzulas.

12. Klienta pienākumi

Klients atbild, ka viņam ir likumīgs pamats apstrādāt nometnes datus un ka dalībnieki ir informēti (VDAR 13. pants), kā noteikts Uzņēmumu noteikumu 5. punktā.

13. Atbildība un prioritāte

• Atbildībai piemēro Uzņēmumu noteikumu 8. punktu un VDAR 82. pantu.
• Ja šis līgums ir pretrunā ar Uzņēmumu noteikumiem datu aizsardzības jautājumos, noteicošais ir šis līgums.

1. pielikums. Apstrādes apraksts

2. pielikums. Tehniskie un organizatoriskie pasākumi

• Šifrēšana. Visi savienojumi ir šifrēti ar HTTPS (TLS). Push paziņojumu saturs ir šifrēts.
• Pieteikšanās. Paroļu nav. Tiek izmantoti vienreizēji 6 ciparu kodi, derīgi 10 minūtes, ar ierobežotu mēģinājumu skaitu un ierobežotu kodu pieprasījumu skaitu no e-pasta un IP adreses.
• Piekļuves kontrole. Klients redz tikai tās nometnes, ko izveidojis tā Organizators. Biznesa portālam un admin portālam ir atsevišķas pieteikšanās atslēgas. Admin portāls ir pieejams tikai iepriekš noteiktām e-pasta adresēm. Administratoru darbības tiek pierakstītas.
• Datu minimizēšana. Klientam rāda tikai vārdu un kopsummas, nevis e-pastus vai sesijas.
• Pārlūka aizsardzība. Portāli izmanto stingru Content Security Policy, neielādē ārējus resursus un neizmanto analītiku. Portāla lapas netiek kešotas.
• Rezerves kopijas. Konsekventas datubāzes kopijas pirms izmaiņām, ne ilgāk par 30 dienām, un piekļuve tām ir tikai Campoff administratoram.
• Izmaiņu kontrole. Izmaiņas tiek pārbaudītas lokāli pirms izvietošanas, un pirms katras izvietošanas tiek veidota rezerves kopija.
• Hostings. Render infrastruktūra ar fizisko un tīkla drošību saskaņā ar Render drošības programmu.

3. pielikums. Apakšapstrādātāji

1. Subject matter and duration

• Campoff processes personal data on the Customer's behalf to run the Customer's business camps in the business portal: to show the Customer the member list, hours and progress towards the shared goal.
• This agreement applies while the Customer has at least one camp in Campoff, and ends when the camp data has been deleted under section 9.

2. Nature of processing and types of data

See Annex 1.

3. Documented instructions

• Campoff processes data only on the Customer's documented instructions. The instructions are:
  • this agreement and the Business Terms;
  • the Customer's actions in the business portal (creating a camp, settings, archiving);
  • the Customer's written requests to kristaps@campoff.app.
• If Campoff believes an instruction breaches data protection law, Campoff informs the Customer immediately.
• If the law requires Campoff to process data differently, Campoff informs the Customer before processing, unless the law forbids this.

4. Confidentiality

Only people who need access to provide the service have access to the data, and they have committed to confidentiality or are under a statutory duty of confidentiality.

5. Security

Campoff implements the technical and organisational measures under GDPR Article 32 described in Annex 2. Campoff may improve them but may not lower the overall level of protection.

6. Sub-processors

• The Customer gives general authorisation to use the sub-processors listed in Annex 3.
• Campoff informs the Customer at least 14 days in advance, by email or in the portal, before adding or replacing a sub-processor.
• The Customer may object on reasonable grounds during that time. If no agreement is reached, the Customer may end the Business Terms and get a refund for paid time not yet used.
• Campoff has a contract with each sub-processor that imposes the same data protection obligations as this agreement. Campoff is responsible for its sub-processors.

7. Assisting the Customer

• Data subject rights. Campoff helps the Customer answer data subject requests (access, correction, deletion and so on). If a request about camp data reaches Campoff, Campoff forwards it to the Customer without delay or, if the request concerns the member's own Campoff account, handles it itself as the controller.
• Other obligations. Campoff, as far as possible, helps the Customer meet its obligations under GDPR Articles 32–36: security, breach notification, impact assessment, prior consultation.

8. Personal data breaches

• If Campoff becomes aware of a breach affecting camp data, Campoff notifies the Customer without undue delay and no later than 48 hours.
• The notice contains as much as is known at the time: what happened, which data and how many people are affected, the likely consequences, and what Campoff is doing about it.
• Campoff adds to it as more becomes known.

9. Data after processing ends

• When the Customer asks in writing, or when the Business Terms end, Campoff deletes the business camp data within 30 days. If the Customer chooses, Campoff first returns it in a machine-readable format (CSV or JSON).
• The data is deleted from backups no later than 30 days after that.
• Members' own Campoff accounts and their time remain, because Campoff is responsible for them as the controller.
• Invoice details remain for as long as the law requires.

10. Information and audits

• Campoff gives the Customer the information needed to show that this agreement is being followed.
• The Customer may carry out an audit itself or through an independent auditor bound by confidentiality. Audits are announced at least 30 days in advance, no more than once a year unless there has been a breach. Audits take place during working hours, and each party bears its own costs.
• Campoff may first answer written questions and provide documents. An on-site audit takes place only if that is not enough.

11. Transfers outside the EEA

Campoff transfers data outside the European Economic Area only on a basis under Chapter V GDPR: an adequacy decision (for example the EU–U.S. Data Privacy Framework for certified companies) or the European Commission's Standard Contractual Clauses.

12. Customer obligations

The Customer is responsible for having a lawful basis to process the camp data and for members being informed (GDPR Article 13), as set out in section 5 of the Business Terms.

13. Liability and precedence

• Liability is governed by section 8 of the Business Terms and GDPR Article 82.
• If this agreement conflicts with the Business Terms on data protection matters, this agreement prevails.

Annex 1. Description of processing

Annex 2. Technical and organisational measures

• Encryption. All connections are encrypted with HTTPS (TLS). Push notification content is encrypted.
• Sign-in. No passwords. One-time 6-digit codes, valid for 10 minutes, with limited attempts and a limited number of code requests per email and IP address.
• Access control. The Customer sees only the camps its Organiser created. The business portal and admin portal have separate sign-in keys. The admin portal is open only to pre-set email addresses. Admin actions are logged.
• Data minimisation. The Customer is shown only names and totals, not emails or sessions.
• Browser protection. The portals use a strict Content Security Policy, load no external resources and use no analytics. Portal pages are never cached.
• Backups. Consistent database copies before changes, kept no longer than 30 days, accessible only to the Campoff administrator.
• Change control. Changes are tested locally before deployment, and a backup is taken before every deployment.
• Hosting. Render infrastructure with physical and network security under Render's security programme.

Annex 3. Sub-processors