I. Vispārīgie nosacījumi
1. Sabiedrība ar ierobežotu atbildību “EM&EM” (juridiskā adrese Kaķu iela 4 – 14, LV-1073, Rīga, reģ Nr.40203394215) (turpmāk – Sabiedrība) apņemas aizsargāt personas datus un nodrošināt šo datu drošību saskaņā ar Sabiedrības Privātuma politiku.
2. Privātuma politikas mērķis ir sniegt informāciju par to, kā un kādam nolūkam Sabiedrība iegūst un apstrādā personas datus, apstrādājamo datu apjomu un termiņiem, kā arī par personas tiesībām un Sabiedrības veiktajiem pasākumiem datu aizsardzībai.
3. Veicot personas datu apstrādi, Sabiedrība ievēro Eiropas Parlamenta un Padomes regulu (ES) 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (turpmāk – Regula), Latvijas Republikā spēkā esošos normatīvos aktus, kā arī citus normatīvos aktus personas datu apstrādes jomā.
4. Sabiedrības Privātuma politika ir attiecināma uz ikvienu fizisko personu, kuru personas datus apstrādā Sabiedrība. Tā attiecas uz personas datu apstrādi neatkarīgi no veida, kādā šie dati ir sniegti (izmantojot Uzņēmuma tīmekļa vietni, rakstveidā vai citādi).
5. Sabiedrības sīkdatņu politika ir pieejama tīmekļa vietnē:
https://ememai.com/privatuma-politika/
II. Datu pārzinis
6. Datu pārzinis: Sabiedrība ar ierobežotu atbildību “EM&EM” (juridiskā adrese Kaķu iela 4 – 14, LV-1073, Rīga, reģ Nr.40203394215), e-pasts: info@ememai.com tīmekļa vietnes adrese: https://ememai.com
III. Datu apstrādes nolūki
7. Sabiedrība apstrādā personas datus, lai nodrošinātu kvalitatīvu pakalpojumu sniegšanu un klientu apmierinātību. Personas datu apstrādes nolūki šim mērķim ietver:
7.1. Klienta identifikācija un mārketinga aktivitātes – vārds, uzvārds, dzimums, dzimšanas dati, kontaktinformācija (elektroniskā e-pasta adrese, tālruņa numurs), kā arī citi nepieciešamie dati atbilstoši apstrādes mērķim.
7.2. Pakalpojuma sagatavošana un piedāvāšana – klienta vārds, uzvārds, uzņēmuma juridiskie dati (uzņēmuma nosaukums, reģistrācijas Nr.), kontaktinformācija (elektroniskā e-pasta adrese, tālruņa numurs), uzņēmuma darbinieku skaits, uzņēmuma apgrozījums.
7.3. Līguma sagatavošana un noslēgšana – klienta vārds, uzvārds, personas kods vai dzimšanas datums, dzīvesvietas adrese, kontaktinformācija (elektroniskā e-pasta adrese, tālruņa numurs), finanšu informācija (bankas norēķinu konta numurs).
7.4. Pretenziju un iebildumu izskatīšanai – klienta vārds, uzvārds, kontaktinformācija (elektroniskā e-pasta adrese, tālruņa numurs), saņemto pakalpojumu uzskaitījums un cita informācija, kuru persona ir sniegusi Sabiedrībai.
8. Uzņēmuma darbības plānošanai un analīzei – klienta vārds, uzvārds, kontaktinformācija (elektroniskā e-pasta adrese, tālruņa numurs); darbinieka vārds, uzvārds, amats.
9. Darba tiesisko attiecību un personāla atlasei – vārds, uzvārds, dzimšanas dati, kontaktinformācija (tālruņa numurs, e-pasta adrese), darba pieredze, izglītība (tostarp sertifikāti un kursi), valodu prasmes, cita informācija, kuru persona (darbinieks vai uz vakanto vietu kandidāts) ir sniegusi Sabiedrībai.
10. Citu nolūku apstrādei: datu subjekts tiks informēts tajā brīdī, kad sniegs attiecīgus datus Sabiedrībai.
IV. Datu apstrādes tiesiskais pamats
11. Pakalpojumu sniegšana un klientu apmierinātība.
11.1. Klienta identifikācija, mārketinga aktivitātes, piedāvājuma sagatavošana un piedāvāšana – Regulas 6.panta 1.punkta a) apakšpunkts (datu subjekta skaidra, konkrēta un nepārprotama piekrišana identifikācijai un/vai mārketinga aktivitātēm).
11.2. Līguma sagatavošana un noslēgšana – Regulas 6.panta 1.punkta b) apakšpunkts (datu apstrāde ir nepieciešama, lai izpildītu līgumu, kurā datu subjekts ir līgumslēdzēja puse).
11.3. Pretenziju un iebildumu izskatīšana – Regulas 6.panta 1.punkta a) apakšpunkts (datu subjekta skaidra, konkrēta un nepārprotama piekrišana pretenziju un/vai iebildumu izskatīšanai).
11.4. Sabiedrības leģitīmās intereses var ietvert IT sistēmu drošības uzturēšanu,
pakalpojumu kvalitātes uzlabošanu, krāpniecisku darbību novēršanu un pakalpojumu
efektivitātes analīzi, vienmēr ievērojot datu subjekta tiesības un brīvības.
12. Sabiedrības darbības plānošana – Regulas 6.panta 1.punkta a) apakšpunkts un f) apakšpunkts (datu subjekta piekrišana vienam vai vairākiem konkrētiem nolūkiem; Sabiedrības leģitīmo interešu realizācija).
13. Darba tiesisko attiecību un personāla atlase – Regulas 6.panta 1.punkta b) apakšpunkts, Darba likums.
V. Datu glabāšanas laiks un laika noteikšanai izmantotie kritēriji
14. Personas dati tiek glabāti tik ilgi, cik nepieciešams konkrētā nolūka sasniegšanai vai cik to nosaka spēkā esošie normatīvie akti. Glabāšanas termiņu nosaka, ņemot vērā šādus kritērijus:
14.1. tādi personas dati, kas tika iegūti, pamatojoties uz datu subjekta piekrišanu (tostarp pakalpojuma nodrošināšana, personāla atlases procesa nodrošināšanai, tirgus un sabiedrības viedokļa pētījumu veikšanai u.c., tiek glabāti līdz brīdim, kamēr ir spēkā datu subjekta skaidrā, nepārprotamā un brīvi sniegtā piekrišana, bet ne ilgāk kā 3 gadus;
14.2. dati tiek glabāti visu līguma darbības laikā un pēc tā izbeigšanas periodā, kas nepieciešams iespējamā prasījuma noilguma termiņa ievērošanai, vai līdz tam laikam, kādu to prasa Latvijas Republikas tiesību akti;
14.3. ja tiesību akti nosaka konkrētus glabāšanas termiņus (grāmatvedības noteikumi u.c.), tiek ievēroti normatīvajos aktos noteiktie termiņi;
14.4. ja datu glabāšana ir nepieciešama Sabiedrības leģitīmo interešu aizsardzībai (tiesvedības gadījumos u.c.) dati tiek glabāti tik ilgi, cik ir nepieciešams šo interešu nodrošināšanai.
15. Datu glabāšanas laika noteikšanai ir izmantojami 14.punktā noteiktie kritēriji un:
15.1. kamēr pastāv juridisks pienākums datus glabāt;
15.2. kamēr nav beidzies tiesību aktos regulētais datu glabāšanas termiņš;
15.3. kamēr ir spēkā ar datu subjektu noslēgtais līgums un 1 gadu pēc tā termiņa beigām;
15.4. kamēr datu subjekts vai Sabiedrība var īstenot tādas darbības, kas attiecas uz leģitīmo interešu aizsardzību un realizāciju;
15.5. kamēr ir spēkā datu subjekta piekrišana.
15.6. Pēc glabāšanas termiņa beigām personas dati tiek droši un neatgriezeniski dzēsti, izmantojot:
– Elektronisko datu gadījumā: daudzpakāpju dzēšanas algoritmus vai kriptogrāfisko atslēgu iznīcināšanu;
– Fizisko dokumentu gadījumā: dokumentu smalcinātājus vai sertificētus iznīcināšanas pakalpojumus.
Datu dzēšana tiek dokumentēta ar audita ierakstiem (timestamp, dzēsto ierakstu skaits, atbildīgā persona).
VI. Datu subjekta personas datu iegūšanas avoti un apstrādes process
16. Personas dati tiek iegūti dažādos veidos, lai nodrošinātu efektīvu pakalpojumu sniegšanu un Sabiedrības darbības organizāciju:
16.1. datu subjekta sniegtā informācija – personas dati tiek iegūti tieši no datu subjekta (aizpildot reģistrācijas formas, sazinoties ar Sabiedrību u.c.);
16.2. trešo personu sniegtā informācija – noteiktos gadījumos dati var tikt saņemti no trešajām personām (sadarbības partneriem, valsts iestādēm, ievērojot normatīvo aktu prasības u.c.);
16.3. automātiski iegūti dati – Sabiedrība izmanto dažādus rīkus (sīkdatnes, analītiskās programmas), lai iegūtu informāciju par vietnes apmeklētājiem un viņu vietnes lietošanas paradumiem;
17. Personas datu apstrādes process ietver:
17.1. identifikāciju – klientu un darbinieku identitātes pārbaudi, lai nodrošinātu precīzu un atbilstošu datu apstrādi;
17.2. komunikāciju – elektroniskās un telefoniskās saziņas datu apstrādi dažādu jautājumu risināšanas ietvaros un nepieciešamās informācijas sniegšanai;
17.3. līguma izpildi – tādu datu apstrādi, kas nepieciešama līguma noslēgšana, izpildei un tālākai uzraudzībai;
17.4. darbības plānošanai, analītikai un uzlabošanai – datu analīze un uzkrāšana, lai nodrošinātu uzņēmuma darbības efektivitāti un attīstību.
18. Visi iegūtie dati tiek apstrādāti saskaņā ar normatīvo aktu prasībām, ievērojot pārredzamības, godprātības un datu minimizēšanas principus.
19. Sabiedrība regulāri pārskata un uzlabo datu apstrādes procesus, lai nodrošinātu augstāko iespējamo datu aizsardzības līmeni.
VII. Datu subjekta personas datu koplietošana un izsniegšana
20. Sabiedrība nodrošina, ka personas dati tiek kopīgoti un izsniegti tikai tādos gadījumos un tikai tādā apmērā, kā to paredz normatīvie akti vai cik tas ir nepieciešams konkrēta un noteikta nolūka īstenošanai. Personas dati var tikt izsniegti šādām trešajām pusēm:
20.1. Datu apstrādātājiem, kas sniedz pakalpojumus Sabiedrībai (mākoņdatošanas, IT
infrastruktūras, N8N automatizācijas, ERP integrāciju u.c. pakalpojumus). Ar visiem datu
apstrādātājiem ir noslēgti **rakstveida datu apstrādes līgumi**, kas atbilst GDPR 28. panta prasībām un ietver:
– Apstrādes priekšmetu, ilgumu, raksturu un nolūku;
– Personas datu veidus un datu subjektu kategorijas;
– Pārziņa (Sabiedrības) pienākumus un tiesības;
– Konfidencialitātes prasības un drošības pasākumus;
– Apakšapstrādātāju izmantošanas noteikumus;
– Datu dzēšanas vai atgriešanas procedūras pēc līguma izbeigšanas.
20.2. sadarbības partneriem, ja tas ir nepieciešams pakalpojuma sniegšanai, ievērojot ar Sabiedrību noslēgtos līgumus un konfidencialitātes prasības.
20.3. valsts un pašvaldību iestādēm, ja tas ir noteikts normatīvajā aktā vai tas ir nepieciešams juridisku pienākumu izpildei.
21. Personas dati var tikt nosūtīti uz valstīm ārpus Eiropas Ekonomikas zonas tikai šādos
gadījumos:
21.1. Eiropas Komisija ir pieņēmusi lēmumu par pietiekamu aizsardzības līmeni konkrētajā
valstī (piemēram, Apvienotā Karaliste, Šveice, Kanāda utt.);
21.2. Ir ieviesti atbilstoši aizsardzības pasākumi:
– **Standarta līguma klauzulas (SCC)**, ko apstiprinājusi Eiropas Komisija;
– **Saistoši uzņēmuma noteikumi (Binding Corporate Rules – BCR)**;
– **Apstiprinātie rīcības kodeksi vai sertifikācijas mehānismi**.
21.3. Datu subjekts ir devis skaidru, informētu un brīvprātīgu piekrišanu konkrētai datu
nosūtīšanai pēc tam, kad viņam ir sniegta informācija par iespējamiem riskiem.
21.4. Sabiedrība **neizmanto ASV pakalpojumus, kas nav sertificēti atbilstoši ES-ASV Data
Privacy Framework** vai citiem ES atzītiem mehānismiem.
22. Gadījumos, kad dati tiek nosūtīti uz trešajām valstīm vai starptautiskajām organizācijām, Sabiedrība informē datu subjektu par iespējamiem riskiem un izmantotajiem aizsardzības pasākumiem, ja tas var aizskart personas pamattiesības un pamatbrīvības, ja pastāv risks personas datu aizsardzības noteikumu neievērošanai vai ja personas dati tiks nosūtīti uz tādu trešo valsti, par kuru nav pieņemts Eiropas Komisijas lēmums par pietiekamu aizsardzības līmeni konkrētajā valstī vai iepriekš nav iegūta datu subjekta piekrišana datu nosūtīšanai.
23. Ja kādam no Sabiedrības darbiniekiem tiks piešķirta pieeja plašākam datu lokam darba uzdevumu veikšanai, ar šo darbinieku Sabiedrība parakstīts iekšējo līgumu par datu aizsardzības prasību ievērošanu un datu neizpaušanu, lai garantētu augstu datu subjektu tiesību aizsardzības līmeni.
24. Sabiedrība izmanto dažādas programmas, kas nodrošinās Sabiedrības iekšējo datu apstrādes procesu automatizāciju, kā arī tiks veikti automatizēti procesi klientu segmentēšanā un elektronisko e-pastu nosūtīšanā (tiem datu subjektiem, kuri būs piekrituši šādai datu apstrādei atbilstoši Regulas 6.panta 1.punkta a) apakšpunktam).
24.1. Automatizēti datu apmaiņas procesi (API integrācijas):
Sabiedrība izmanto automatizētus workflow (N8N) un API integrācijas ar:
– ES TEDB (Taxation and Excise Database) PVN likmju validācijai;
– VIES (VAT Information Exchange System) uzņēmumu validācijai;
– Klientu ERP sistēmām (Visma Horizon, Shopify) datu sinhronizācijai.
Visi API pieprasījumi tiek šifrēti (TLS 1.3), autentificēti (OAuth 2.0, API atslēgas) un reģistrēti audita logā ar timestamp, pieprasījuma veidu un atbildes statusu. Trešo pušu API pakalpojumi atbilst GDPR 28. panta prasībām un ar tiem ir noslēgti datu apstrādes līgumi.
VIII. Datu drošības pasākumi
25. Sabiedrība īsteno šādus tehniskos un organizatoriskos pasākumus personas datu aizsardzībai:
25.1. Tehniskie pasākumi:
– Datu šifrēšana (AES-256 standarts) transportēšanas un glabāšanas laikā;
– Piekļuves kontrole ar divfaktoru autentifikāciju (2FA) administratīvajām sistēmām;
– Automātiska datu dublēšana un atgriešanas procedūras;
– Ugunsmūra un iekļūšanas novēršanas sistēmas (IDS/IPS);
– Regulāri drošības auditi un ievainojamību pārbaudes;
– Kriptogrāfiska SHA-256 hash aizsardzība sensitīviem ierakstiem.
25.2. Organizatoriskie pasākumi:
– Stingra piekļuves tiesību pārvaldība (“need-to-know” princips);
– Regulāra darbinieku apmācība datu aizsardzības jomā;
– Konfidencialitātes līgumi ar visiem darbiniekiem;
– Incidentu pārvaldības un ziņošanas procedūras;
– Regulāra politiku un procedūru pārskatīšana.
25.3. Mākoņpakalpojumu drošība:
– Visi datu apstrādātāji (cloud hosting, API pakalpojumi) atbilst ISO 27001 vai līdzvērtīgiem standartiem;
– Datu glabāšana notiek tikai ES jurisdikcijā vai valstīs ar ES Komisijas atzītu pietiekamu aizsardzības līmeni.
25.4. Automatizēta lēmumu pieņemšana un profilēšana:
Sabiedrība izmanto automatizētus rīkus (N8N workflow, ERP integrācijas, mārketinga automatizācija) klientu segmentēšanai un elektronisko e-pastu nosūtīšanai. Datu subjekti tiek informēti un var izteikt iebildumus pirms datu izmantošanas automatizētajā mārketinga procesā vai profilēšanā.
Šie procesi:
– Nerada juridiskas sekas datu subjektam;
– Nav vienīgais lēmuma pamats būtiskos jautājumos;
– Balstās uz datu subjekta iepriekšēju skaidru piekrišanu (GDPR 6. panta 1. punkta a));
– Datu subjektam ir tiesības pieprasīt cilvēka iejaukšanos, iebilst automatizētam lēmumam un saņemt skaidrojumu par lēmuma loģiku.
Sabiedrība neveic automatizētu lēmumu pieņemšanu, kas būtiski ietekmē datu subjekta tiesības bez cilvēka pārskatījuma.
25.5. Tiesības uz datu pārnesamību – tiesības saņemt savus personas datus strukturētā, plaši izmantotā un mašīnlasāmā formātā (JSON, CSV, XML) vai nodot tos citam pārzinim. Sabiedrība nodrošina datu eksportu 30 dienu laikā pēc pieprasījuma saņemšanas.
26. Datu aizsardzības pārkāpuma procedūra:
26.1. Personas datu aizsardzības pārkāpuma gadījumā Sabiedrība:
– Bez nepamatotas kavēšanās, bet ne vēlāk kā 72 stundu laikā pēc pārkāpuma konstatēšanas, paziņo Datu valsts inspekcijai (DVI), ja pastāv risks datu subjekta tiesībām un brīvībām;
– Dokumentē katru pārkāpumu (datums, apjoms, ietekme, veiktie pasākumi);
– Informē skarto datu subjektu bez nepamatotas kavēšanās, ja pārkāpums rada augstu risku viņa tiesībām un brīvībām.
26.2. Paziņojums ietver:
– Pārkāpuma raksturu un iespējamās sekas;
– Kontaktinformāciju turpmākai informācijas iegūšanai;
– Veiktos vai plānotos pasākumus risku mazināšanai;
– Ieteikumus datu subjektam savu tiesību aizsardzībai.
IX. Datu subjekta tiesības
27. Datu subjektam ir šādas tiesības saistībā ar savu personas datu apstrādi:
27.1. piekļuves tiesības – tiesības pieprasīt informāciju par to, vai Sabiedrība apstrādā datu subjekta personas datus, kā arī saņemt informāciju par apstrādāto datu veidu (veidiem) un nolūku (nolūkiem).
27.2. tiesības labot datus – tiesības pieprasīt neprecīzu vai nepilnīgu datu labošanu.
27.3. tiesības uz dzēšanu (“tiesības tikt aizmirstam”) – noteiktos gadījumos pieprasīt personas datu dzēšanu, izņemot gadījumus, kad normatīvie akti nosaka pienākumu tos saglabāt.
27.4. tiesības uz apstrādes ierobežošanu – pieprasīt ierobežot personas datu apstrādi konkrētās situācijās.
27.5. tiesības uz datu pārnesamību – tiesības saņemt savus personas datus strukturētā un lasāmā formātā vai nodot tos citam pārzinim.
27.6. tiesības iebilst – iebilst pret datu apstrādi, ja tā pamatota ar Sabiedrības leģitīmajām interesēm.
27.7. tiesības atsaukt piekrišanu – jebkurā brīdī atsaukt piekrišanu datu apstrādei, ja tā ir sniegta brīvprātīgi.
27.8. Lai īstenotu savas tiesības, datu subjekts var vērsties pie Sabiedrības:
– Nosūtot rakstisku pieprasījumu uz e-pastu: info@ememai.com
– Pa pastu: Kaķu iela 4-14, LV-1073, Rīga
– Sazinoties ar datu aizsardzības kontaktpersonu
Sabiedrība izskata pieprasījumu un sniedz atbildi bez nepamatotas kavēšanās, bet ne vēlāk kā viena mēneša laikā no pieprasījuma saņemšanas. Sarežģītu pieprasījumu gadījumā termiņš var tikt pagarināts par diviem mēnešiem, par ko datu subjekts tiek informēts viena mēneša laikā.
Identitātes pārbaude: Sabiedrība var pieprasīt papildu informāciju datu subjekta identitātes apstiprināšanai, lai novērstu nesankcionētu piekļuvi personas datiem.
X. Noslēguma jautājumi
28. Sabiedrība reizi gadā vai pēc būtiskām izmaiņām IT infrastruktūrā veic privātuma un datu aizsardzības politikas revīziju, dokumentējot atbildīgo personu un datumu.
29. Privātuma politikas aktuālā versija vienmēr ir pieejama Sabiedrības tīmekļa vietnē. Datu subjekti tiek informēti par būtiskām izmaiņām, ja tās ietekmē datu apstrādi vai datu subjekta tiesības.
30. Jautājumu vai neskaidrību gadījumā datu subjekts var sazināties ar Sabiedrību, izmantojot tīmekļa vietnē norādīto kontaktinformāciju vai vēršoties pie datu aizsardzības speciālista.
31. Ja datu subjekts nav apmierināts ar Sabiedrības sniegtajām atbildēm vai veiktajām darbībām, viņam ir tiesības iesniegt sūdzību Datu valsts inspekcijā (elektroniskā e-pasta adrese: pasts@dvi.gov.lv, tālruņa Nr. +371 67223131, adrese: Elijas iela 17, Rīga, LV – 1050).
Privātuma politikas versija: 2.1
Pēdējās izmaiņas: 19.10.2025
Nākamā pārskatīšana: 19.10.2026