Datu apstrādes līgums starp CONTRIMA un fotogrāfu/fotogrāfi
Versija 2 · 2026. gada 26. jūl.
Datu apstrādes līgums starp CONTRIMA un fotogrāfu
Starp
datu apstrādātāju
Contrima GmbH, ko pārstāv tās vadītājs Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(turpmāk „CONTRIMA“)
un
datu pārziņa
{photographer_name}
{photographer_address}
{photographer_email}
(turpmāk „Tu“)
Preambula
CONTRIMA sniedz Tev pakalpojumus, nodrošinot infrastruktūru fotogrāfiju nosūtīšanai attēlā redzamajām personām, kā arī attēlu licences līgumu pārvaldību (turpmāk — „galvenais līgums“). Daļa no Galvenā līguma izpildes ir attēlā redzamo personu personas datu apstrāde, kurus Tu nosūti CONTRIMA. Lai izpildītu Vispārīgās datu aizsardzības regulas (GDPR) prasības šādos gadījumos, Tu kā atbildīgā persona datu aizsardzības tiesību izpratnē noslēdz ar CONTRIMA šo līgumu par datu apstrādi uzdevuma izpildes nolūkā.
1. Pasūtījuma priekšmets/apjoms
1.1 Pušu sadarbība saskaņā ar galveno līgumu nozīmē, ka CONTRIMA iegūst piekļuvi Jūsu sniegtajiem personas datiem (turpmāk „apstrādājamie dati”) un apstrādā tos vienīgi jūsu uzdevumā un saskaņā ar jūsu norādījumiem Vispārīgās datu aizsardzības regulas (GDPR) 4. panta 8. punktā un 28. pantā paredzētajā nozīmē.
1.2 Apstrāde var attiekties uz šādiem pasūtījuma datiem:
| Datu subjekti (kategorijas) | Datu veids |
|---|---|
| Attēlotās personas |
|
| Attēlā redzamo personu likumīgie pārstāvji |
|
| Valsts iestāžu kontaktpersonas (piemēram, nodokļu iestādes) |
|
1.3 Pasūtījuma datu apstrādes veids un apjoms ir atkarīgs no galvenā līguma mērķiem un ir ierobežots ar tiem. Apstrādes ilgums atbilst galvenā līguma termiņam.
1.4 CONTRIMA ir aizliegts apstrādāt pasūtījuma datus citādi vai plašāk, nekā noteikts 1. pielikumā un 1.2. punktā. Tas attiecas arī uz anonimizētu datu izmantošanu.
1.5 Pasūtījuma datu apstrāde notiek vienīgi Vācijas Federatīvās Republikas teritorijā, kādā no Eiropas Savienības dalībvalstīm vai citā valstī, kas ir Eiropas Ekonomikas zonas līguma dalībvalsts. Jebkura datu pārvietošana uz trešo valsti ir jāveic tikai ar pasūtītāja iepriekšēju rakstisku piekrišanu un ir atļauta vienīgi tad, ja ir izpildīti Vispārīgās datu aizsardzības regulas (GDPR) 44.–49. panta īpašie nosacījumi.
1.6 Šā līguma noteikumi attiecas uz visām darbībām, kas saistītas ar galveno līgumu un kurās CONTRIMA un tās darbinieki vai CONTRIMA pilnvarotās personas nonāk saskarsmē ar personas datiem, kas ir cēlušies no tevis vai ir vākti tavā vārdā.
2. Tavas norādījumu sniegšanas tiesības
2.1 CONTRIMA apstrādā pasūtījuma datus tikai pasūtījuma ietvaros un vienīgi pēc Jūsu pasūtījuma un saskaņā ar Jūsu norādījumiem Vispārīgās datu aizsardzības regulas (GDPR) 28. panta nozīmē (apstrāde pēc pasūtījuma); tas jo īpaši attiecas uz personas datu nosūtīšanu uz trešo valsti. Tev ir ekskluzīvas tiesības sniegt norādījumus par apstrādes darbību veidu, apjomu un metodi (turpmāk arī „tiesības sniegt norādījumus“). Ja CONTRIMA saskaņā ar Eiropas Savienības vai dalībvalstu tiesību aktiem, kuriem tā ir pakļauta, ir pienākums veikt papildu apstrādi, CONTRIMA pirms apstrādes informēs tevi par šīm juridiskajām prasībām.
2.2 Norādījumus CONTRIMA Jūs principā sniedzat rakstiski (e-pasta adrese: info@contrima.com).
2.3 Ja CONTRIMA uzskata, ka kāds no Jūsu norādījumiem pārkāpj datu aizsardzības noteikumus, CONTRIMA ir pienākums Jūs par to nekavējoties informēt. CONTRIMA ir tiesīga apturēt attiecīgā norādījuma izpildi līdz brīdim, kad pasūtītājs to apstiprina vai groza.
3. CONTRIMA aizsardzības pasākumi
3.1 CONTRIMA ir pienākums ievērot datu aizsardzības tiesību aktus un neizpaust trešajām personām no jums iegūto informāciju, kā arī neļaut tām piekļūt šai informācijai. Dati ir jāaizsargā pret nepiederošu personu piekļuvi, ņemot vērā tehnoloģiju attīstības līmeni.
3.2 Turklāt CONTRIMA rakstveidā uzliks konfidencialitātes pienākumu visām personām, kuras CONTRIMA ir pilnvarojusi apstrādāt un izpildīt šo līgumu (turpmāk — „darbinieki”) (Konfidencialitātes pienākums, VDAR 28. panta 3. punkta b) apakšpunkts) un ar pienācīgu rūpību nodrošinās šā pienākuma ievērošanu. CONTRIMA to pierādīs jums pēc pieprasījuma.
3.3 CONTRIMA organizēs iekšējo darbību tā, lai tā atbilstu īpašajām datu aizsardzības prasībām. CONTRIMA apņemas veikt visus atbilstošos tehniskos un organizatoriskos pasākumus, lai nodrošinātu pasūtījuma datu pienācīgu aizsardzību saskaņā ar VDAR 32. pantu, jo īpaši šā līguma 1. pielikumā uzskaitītos pasākumus, un uzturēt tos spēkā visā pasūtījuma datu apstrādes laikā.
3.4 CONTRIMA patur tiesības veikt izmaiņas veiktajos tehniskajos un organizatoriskajos pasākumos, vienlaikus nodrošinot, ka netiek pazemināts līgumā noteiktais aizsardzības līmenis. CONTRIMA ir pienākums nekavējoties rakstiski informēt Tevi, ja ir pamats uzskatīt, ka 1. pielikumā noteiktie pasākumi vairs nav pietiekami, un saskaņos ar Tevi turpmākos tehniskos un organizatoriskos pasākumus.
3.5 Pēc Jūsu pieprasījuma CONTRIMA ar atbilstošiem pierādījumiem apliecinās 1. pielikumā noteikto tehnisko un organizatorisko pasākumu ievērošanu.
4. Informācijas sniegšanas un atbalsta pienākumi
4.1 Ja rodas traucējumi, ir aizdomas par datu aizsardzības pārkāpumiem vai CONTRIMA līgumisko saistību pārkāpumiem, aizdomām par drošībai nozīmīgiem incidentiem vai citām neatbilstībām pasūtījuma datu apstrādē, ko CONTRIMA veic pasūtījuma ietvaros, izmantojot nodarbinātās personas vai trešās personas, CONTRIMA nekavējoties, bet ne vēlāk kā 24 stundu laikā, rakstiski vai elektroniski informēs Jūs. Tas pats attiecas uz CONTRIMA pārbaudēm, ko veic datu aizsardzības uzraudzības iestāde. Ziņojumos saskaņā ar § 4, 1. punktu, 1. teikumu katrā gadījumā ir jāiekļauj vismaz Vispārīgās datu aizsardzības regulas (GDPR) 33. panta 3. punktā minētā informācija.
4.2 CONTRIMA 4.1. punktā minētajā gadījumā sniegs Jums saprātīgu atbalstu, pildot savus pienākumus saistībā ar informēšanu, problēmu novēršanu un informācijas sniegšanu. CONTRIMA jo īpaši nekavējoties veiks nepieciešamos pasākumus, lai nodrošinātu datu drošību un mazinātu iespējamās nelabvēlīgās sekas attiecīgajām personām, kā arī informēs Jūs par to.
4.3 CONTRIMA apņemas pēc Jūsu mutiska vai rakstiska pieprasījuma saprātīgā termiņā sniegt Jums visu informāciju un pierādījumus, kas nepieciešami, lai veiktu pārbaudi saskaņā ar šā līguma § 7.1. Turklāt CONTRIMA pēc Jūsu lūguma nodrošinās Jums visaptverošu un aktuālu datu aizsardzības un drošības koncepciju attiecībā uz pasūtījuma apstrādi, kā arī informāciju par personām, kurām ir piekļuves tiesības.
5. Citas CONTRIMA saistības
5.1 CONTRIMA ir pienākums saskaņā ar VDAR 30. panta 2. punktu veidot reģistru par visām apstrādes darbību kategorijām, kas tiek veiktas saskaņā ar Jūsu pasūtījumu. Šis reģistrs pēc Jūsu pieprasījuma ir jānodrošina Jūsu rīcībā.
5.2 Ja pasūtījuma dati CONTRIMA rīcībā tiek apdraudēti ar arestu vai konfiskāciju, maksātnespējas vai izlīguma procedūru vai citu notikumu vai trešo personu rīcību dēļ, CONTRIMA ir pienākums tevi par to nekavējoties informēt, ja vien to neaizliedz tiesas vai iestāžu rīkojums. Šajā sakarā CONTRIMA nekavējoties informēs visas kompetentās iestādes par to, ka lēmumu pieņemšanas tiesības attiecībā uz datiem pieder vienīgi pasūtītājam kā „pārzinim” Vispārīgās datu aizsardzības regulas izpratnē.
6. Apakšuzņēmēju attiecības
6.1 Līgumā noteiktie pakalpojumi tiek sniegti, iesaistot 2. pielikumā minētos apakšuzņēmējus. CONTRIMA ir tiesīga līgumisko saistību ietvaros noslēgt apakšuzņēmuma līgumus ar apakšuzņēmējiem („apakšuzņēmuma attiecības”). Pirms jaunu apakšuzņēmēju attiecību izveidošanas CONTRIMA Tevi informē rakstiski vai elektroniski saskaņā ar VDAR 28. panta 2. punktu, ievērojot četru nedēļu termiņu. Tu vari iebilst pret šīm izmaiņām divu nedēļu laikā pēc iepriekš minētā paziņojuma saņemšanas.
6.2 Apakšuzņēmuma attiecības šo noteikumu izpratnē nepastāv, ja CONTRIMA uztic trešajām personām pakalpojumus, kas uzskatāmi par tīriem papildu pakalpojumiem. Tie ietver, piemēram, pasta vai telekomunikāciju pakalpojumus, kam nav konkrētas saistības ar pakalpojumiem, ko CONTRIMA sniedz jums, kā arī citus pasākumus, lai nodrošinātu datu apstrādes iekārtu aparatūras un programmatūras konfidencialitāti, pieejamību, integritāti un izturību.
7. Kontroles tiesības
7.1 Jums ir tiesības regulāri pārliecināties par šā līguma noteikumu ievērošanu, jo īpaši par tehnisko un organizatorisko pasākumu īstenošanu un ievērošanu saskaņā ar šā līguma 3.3. punktu. Šim nolūkam jūs, piemēram, varat pieprasīt informāciju vai lūgt iesniegt sertifikātus vai iekšējo pārbaužu rezultātus, vai arī personīgi vai ar kompetenta trešā persona starpniecību pārbaudīt CONTRIMA tehniskos un organizatoriskos pasākumus parastajos darba laikos, ja vien šī persona nav konkurējošā attiecībā ar CONTRIMA.
7.2 Jūs veiksiet pārbaudes tikai nepieciešamajā apjomā un pienācīgi ņemsiet vērā CONTRIMA darbības procesus. Par pārbaudes laiku un veidu puses vienojas savlaicīgi.
7.3 Jūs dokumentējat pārbaudes rezultātus un paziņojat tos CONTRIMA. Ja konstatējat kļūdas vai neatbilstības, jo īpaši pārbaudot pasūtījuma rezultātus, jūs nekavējoties informējat CONTRIMA.
8. Datu subjektu tiesības
8.1 CONTRIMA, cik vien iespējams, atbalsta Jūs ar atbilstošiem tehniskajiem un organizatoriskajiem pasākumiem, lai Jūs varētu izpildīt savus pienākumus saskaņā ar VDAR 12.–22. pantu, kā arī 32.–36. pantu. CONTRIMA nekavējoties, bet ne vēlāk kā 7 darbdienu laikā, sniegs Jums pieprasīto informāciju par pasūtījuma datiem, ja Jums pašam nav pieejama attiecīgā informācija.
8.2 Ja datu subjekts izmanto savas tiesības saskaņā ar VDAR 16.–18. pantu, CONTRIMA ir pienākums pēc Jūsu norādījuma nekavējoties, bet ne vēlāk kā 7 darbdienu laikā labot, dzēst vai ierobežot apstrādes datus. CONTRIMA pēc pieprasījuma rakstiski apliecinās datu dzēšanu, labošanu vai apstrādes ierobežošanu.
8.3 Ja datu subjekts savas tiesības, piemēram, tiesības uz informācijas saņemšanu, labošanu vai dzēšanu attiecībā uz saviem datiem, izmanto tieši pret CONTRIMA, CONTRIMA nekavējoties nosūtīs šo pieprasījumu jums un gaidīs jūsu norādījumus. Bez atbilstošiem konkrētiem norādījumiem CONTRIMA nesazināsies ar datu subjektu.
9. Darbības termiņš un līguma izbeigšana
9.1 Šā līguma darbības termiņš atbilst galvenā līguma darbības termiņam. Šaubu gadījumā galvenā līguma izbeigšana tiek uzskatīta arī par šā līguma izbeigšanu, un šā līguma izbeigšana – par galvenā līguma izbeigšanu.
9.2 Jums jebkurā brīdī ir tiesības ārkārtas kārtā izbeigt šo līgumu svarīga iemesla dēļ. Svarīgs iemesls pastāv, ja CONTRIMA nepilda savus pienākumus saskaņā ar šo līgumu, apzināti vai rupjas nolaidības dēļ pārkāpj VDAR noteikumus vai nevar vai nevēlas izpildīt norādījumu. Vienkāršu – t. i., ne tīšu, ne rupjas nolaidības – pārkāpumu gadījumā Jūs vispirms noteicat CONTRIMA atbilstošu termiņu, kurā CONTRIMA var novērst pārkāpumu. Pēc šā termiņa bezrezultatīvas beigšanās Jums ir tiesības uz ārkārtas līguma izbeigšanu.
10. Datu dzēšana un atgriešana pēc līguma termiņa beigām
10.1 Pēc galvenā līguma izbeigšanas vai jebkurā brīdī pēc pieprasījuma CONTRIMA Jums atdos visus CONTRIMA nodotos datus vai, ja nav noteikts likumā paredzēts glabāšanas termiņš, pēc Jūsu vēlēšanās tos pilnībā un neatgriezeniski dzēsīs. Tas attiecas arī uz pasūtījuma datu kopijām, kas atrodas pie CONTRIMA, piemēram, datu dublējumiem, taču neattiecas uz dokumentāciju, kas kalpo kā pierādījums par pasūtījuma datu atbilstošu un pareizu apstrādi. Šāda dokumentācija CONTRIMA ir jāglabā likumā noteikto glabāšanas termiņu laikā.
10.2 Tev ir tiesības atbilstošā veidā pārbaudīt, vai CONTRIMA ir pilnībā un saskaņā ar līgumu atdevusi vai dzēsusi datus.
10.3 CONTRIMA ir pienākums arī pēc galvenā līguma termiņa beigām konfidenciāli apstrādāt datus, kas tai kļuvuši zināmi saistībā ar galveno līgumu.
11. Atbildība
11.1 Pušu atbildība tiek regulēta saskaņā ar VDAR 82. pantu. Tas neietekmē CONTRIMA atbildību pret tevi par šajā līgumā vai galvenajā līgumā noteikto pienākumu pārkāpšanu.
11.2 Puses atbrīvojas no atbildības, ja kāda no pusēm pierāda, ka tā nekādā ziņā nav atbildīga par apstākli, kura dēļ datu subjektam ir radies zaudējums. § 11, 2. punkta 1. teikums attiecīgi piemērojams gadījumā, ja vienai no pusēm tiek uzlikts naudas sods, turklāt atbrīvošana no atbildības notiek tādā apmērā, kādā otra puse ir līdzatbildīga par pārkāpumu, par kuru uzlikts naudas sods.
12. Nobeiguma noteikumi
12.1 Izmaiņas un papildinājumi šajā vienošanās ir jāveic rakstveidā saskaņā ar VDAR 28. panta 9. punktu. Tas attiecas arī uz atteikšanos no šīs formālās prasības.
12.2 Šā līguma noteikumi šaubu gadījumā ir noteicošie salīdzinājumā ar galvenā līguma noteikumiem. Ja atsevišķi šā līguma noteikumi pilnībā vai daļēji izrādās spēkā neesoši vai neīstenojami vai kļūst spēkā neesoši vai neīstenojami sakarā ar izmaiņām likumdošanā pēc līguma noslēgšanas, tas neietekmē pārējo noteikumu spēkā esamību. Nespēkā esošā vai neīstenojamā noteikuma vietā stājas spēkā esošs un īstenojams noteikums, kas pēc iespējas tuvāk atbilst spēkā neesošā noteikuma jēgai un mērķim.
12.3 Šim līgumam piemēro Vācijas Federatīvās Republikas tiesības. Lai nodrošinātu labāku saprotamību, CONTRIMA šos noteikumus dara pieejamus vairākās valodu versijās. Ja rodas neatbilstības, par noteicošo tiek uzskatīta šī datu apstrādes līguma versija angļu valodā.
1. pielikums: Tehniskie un organizatoriskie pasākumi
1. Tehniskie un organizatoriskie drošības pasākumi
CONTRIMA ir pienākums veikt atbilstošus tehniskos un organizatoriskos pasākumus tā, lai pasūtījuma datu apstrāde notiktu saskaņā ar likumīgajām prasībām un lai tiktu pienācīgi nodrošināta attiecīgās personas tiesību aizsardzība.
2. Iekšējā organizācija
CONTRIMA organizēs savu iekšējo darbību tā, lai tā atbilstu īpašajām datu aizsardzības prasībām. Šajā sakarā jo īpaši ir jāveic pasākumi, kas ir piemēroti atkarībā no aizsargājamo datu veida vai datu kategorijām.
3. Konkrētu pasākumu noteikšana
Konkrēti tiek noteikti šādi pasākumi, kas kalpo Vispārīgās datu aizsardzības regulas (GDPR) 32. panta prasību īstenošanai:
| Nr. | Pasākums | Pasākuma īstenošana |
|---|---|---|
| 1 | Piekļuves kontrole | Produktīvā datu apstrāde notiek vienīgi AWS mākonī; fiziskās datu apstrādes iekārtas tur nodrošina AWS (sk. AVV un AWS sertifikātus). Pārvaldība notiek no darba vietas ar piekļuves kontroli, kas atrodas aizslēdzamās, publiski nepieejamās telpās aiz ugunsmūra. Nav apmeklētāju plūsmas un nav atsevišķu serveru telpu. |
| 2 | Piekļuves kontrole | Piekļuve sistēmai ir iespējama tikai pēc personīgas pieteikšanās ar lietotājvārdu un paroli. Administrācijas un AWS piekļuves ir aizsargātas ar spēcīgām parolēm un divpakāpju autentifikāciju. Galiekārtas ir aizsargātas ar operētājsistēmas pieteikšanos, ugunsmūri un cietā diska šifrēšanu. |
| 3 | Piekļuves kontrole | Lomu un atļauju koncepcija lietojumprogrammā ar centralizētu atļauju pārbaudi, pārbaudi servera pusē visos datus mainošajos galapunktos, aizsardzību pret CSRF, kā arī tikai parametrizētu datubāzes piekļuvi. Infrastruktūras līmenī minimāls administratoru skaits (viena persona) un tiesību piešķiršana saskaņā ar „vismazāko privilēģiju” principu. |
| 4 | Nošķiršanas kontrole | Visu datu loģiska nošķiršana katram fotogrāfam, izmantojot unikālu īpašnieka piešķiršanu; atsevišķa ražošanas vide. Pietiek ar loģisku nošķiršanu. |
| 5 | Pseudonimizācija / datu minimizācija | Piekļuve ārējiem lietotājiem, izmantojot nejaušus, neuzminamus žetonus (pastāvīga saite). Tiek vākti tikai tie dati, kas nepieciešami konkrētajam mērķim (galvenokārt e-pasta adrese); atpazīšanas piezīmes tiek apzināti saglabātas īsas un neitrālas. |
| 6 | Pārsūtīšanas kontrole | Pārsūtīšana notiek tikai caur šifrētām savienojumiem (TLS/HTTPS). Attēlu un līguma datu uzglabāšana šifrētā objektu krātuvē (S3 Server-Side Encryption). Nodošana apakšuzņēmējiem notiek tikai nepieciešamajā apjomā, pamatojoties uz apstrādes līgumu vai ES standarta līguma klauzulām. |
| 7 | Ievades kontrole | Pierādījumiem nozīmīgu darbību reģistrēšana lietojumprogrammas līmenī, jo īpaši vienošanās un piekrišanas pieņemšana ar laika zīmogu, IP adresi, ierīces informāciju un versijas hašu, kā arī maksājumu notikumus. Tā kā sistēmu apkalpo viena persona, katra ievade, izmaiņa un dzēšana ir attiecināma uz vienu konkrētu personu. |
| 8 | Pieejamība un izturība | Datu bāze ir dublēta vairākās AWS zonās vai reģionos ES vai EEZ teritorijā; automatizēti datu bāzes momentuzņēmumi kā dublējums; koda un servera dublējumi, kā arī sagatavots servera attēls (AMI) ātrai atjaunošanai; papildu lokāla dublējumu sistēma; dokumentēts ārkārtas situāciju un darbības atsākšanas plāns. |
| 9 | Datu aizsardzības pārvaldība | Atbildīgais ir CONTRIMA GmbH izpilddirektors. Datu aizsardzības pārstāvis nav iecelts, jo nav likumā noteiktas pienākuma to darīt. Informācijas sniegšanas pienākumu izpilde saskaņā ar VDAR 13. pantu aktivizācijas procesā, esošais process datu subjektu pieprasījumu apstrādei, kā arī apstrādes darbību reģistrs saskaņā ar VDAR 30. pantu. |
| 10 | Incidentu reaģēšanas pārvaldība | Ugunsmūris, kas tiek regulāri atjaunināts; dokumentēta procedūra datu aizsardzības pārkāpumu atklāšanai un ziņošanai saskaņā ar VDAR 33. un 34. pantu, ieskaitot tūlītēju informācijas sniegšanu pasūtītājam. |
| 11 | Datu aizsardzībai draudzīgi noklusējuma iestatījumi | Privātums pēc noklusējuma: datu vākšana tikai tiktāl, ciktāl tas ir nepieciešams; attēlu priekšskatījumi tikai ar ūdenszīmi un oriģinālu pieejamība tikai pēc atļaujas saņemšanas, kā arī vienkārša atteikuma tiesību izmantošana caur lietotāja saskarni. |
| 12 | Pasūtījumu kontrole (apakšuzņēmēji) | Rūpīga atlase; datu apstrādes līguma vai ES standarta līguma klauzulu (3. modulis) noslēgšana ar visiem apakšuzņēmējiem, ja tie atrodas trešās valstīs – ar atbilstošām garantijām; pasūtītāja informēšana pirms apakšuzņēmēja iesaistīšanas vai nomaiņas; datu dzēšanas nodrošināšana pēc līguma termiņa beigām. Pašlaik tiek izmantoti: Stripe (maksājumu apstrāde), Amazon Web Services (hostings/uzglabāšana), DeepL (reklāmu tekstu tulkošana). |
2. pielikums: Norīkotie apakšuzņēmēji
Saskaņā ar līguma 6.1. punktu iesaistītie apakšuzņēmēji, kuru izmantošanai tu piekrīti:
| Apakšuzņēmējs (nosaukums, adrese vai juridiskā adrese) |
Pakalpojuma priekšmets līguma izpildes ietvaros |
|---|---|
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock Dublin, D02 H210, Īrija („Stripe“) |
Maksājumu apstrāde; pārdošanas gadījumā – pircēja maksājumu, identitātes un darījumu dati (sk. arī 6. punktu no Privātuma politika) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luksemburga („AWS“) |
Tīmekļa un datu bāzes hostings ; attēlu datu (oriģināli, varianti, arhīvs, eksporti) uzglabāšana un apstrāde, ieskaitot EXIF metadatus; e-pasta pakalpojumi (sk. arī 6. punktu no Privātuma politika) |
| DeepL SE , Maarweg 165 , 50825 Ķelne („DeepL“) |
Vajadzības gadījumā atpazīšanas piezīmes un, ja nepieciešams, kolekcijas nosaukuma tulkojums pastāvīgās saites valodā ( sk. arī 6. punktu no Privātuma politika) |
Versija 2 · 2026. gada 26. jūl.
Data Processing Agreement between CONTRIMA and the Photographer
Between
the data processor
Contrima GmbH, represented by its managing director Mr Mark Reinhardt, Enzianweg 29, 71384 Weinstadt
(hereinafter ‘CONTRIMA’)
and
the Data Controller
{photographer_name}
{photographer_address}
{photographer_email}
(hereinafter “you”)
Preamble
CONTRIMA provides services to you for the provision of an infrastructure for the transmission of photographs to the persons depicted therein, as well as for the management of image licence agreements (hereinafter: “Main Contract”). Part of the performance of the Main Contract involves the processing of personal data relating to the persons depicted, which you transmit to CONTRIMA. In order to comply with the requirements of the GDPR in such circumstances, you, as the data controller within the meaning of data protection law, enter into the following data processing agreement with CONTRIMA.
1. Subject matter/scope of the engagement
1.1 The cooperation between the parties in accordance with the Main Contract entails that CONTRIMA will have access to personal data provided by you (hereinafter ‘Processed Data’) and that it processes this data exclusively on your behalf and in accordance with your instructions within the meaning of Article 4(8) and Article 28 of the GDPR.
1.2 The following data subject categories may be affected by the processing:
| Data subjects (categories) | Type of data |
|---|---|
| Persons depicted |
|
| Legal guardians of the persons depicted |
|
| Contact persons at public authorities (e.g. tax authorities) |
|
1.3 The nature and scope of the processing of order data are determined by the purposes of the main contract and are limited to these. The duration of the processing corresponds to the term of the main contract.
1.4 CONTRIMA is prohibited from processing contract data in any manner that deviates from or goes beyond the provisions set out in Annex 1 and clause 1.2. This also applies to the use of anonymised data.
1.5 The processing of order data shall take place exclusively within the territory of the Federal Republic of Germany, in a Member State of the European Union or in another State party to the Agreement on the European Economic Area. Any transfer to a third country requires the prior written consent of the client and may only take place if the specific conditions set out in Articles 44 to 49 of the GDPR are met.
1.6 The provisions of this contract apply to all activities related to the main contract in which CONTRIMA and its employees or persons commissioned by CONTRIMA come into contact with personal data originating from you or collected on your behalf.
2. Your authority to issue instructions
2.1 CONTRIMA shall process the contract data only within the scope of the contract and exclusively on your behalf and in accordance with your instructions within the meaning of Article 28 of the GDPR (processing on behalf of a controller); this applies in particular to the transfer of personal data to a third country. You have the sole right to issue instructions regarding the nature, scope and method of the processing activities (hereinafter also referred to as the ‘right to issue instructions’). If CONTRIMA is obliged to carry out further processing under the law of the European Union or the Member States to which it is subject, CONTRIMA shall inform you of these legal requirements prior to processing.
2.2 Instructions to CONTRIMA must, as a general rule, be given by you in writing (email address: info@contrima.com).
2.3 If CONTRIMA considers that one of your instructions contravenes data protection regulations, CONTRIMA must inform you of this without delay. CONTRIMA is entitled to suspend the implementation of the instruction in question until it is confirmed or amended by the client.
3. CONTRIMA’s protective measures
3.1 CONTRIMA is obliged to comply with the statutory provisions on data protection and not to disclose the information obtained from you to third parties or to prevent them from accessing it. Data must be secured against unauthorised access, taking into account the state of the art.
3.2 Furthermore, CONTRIMA shall require all persons entrusted by CONTRIMA with the processing and performance of this contract (hereinafter referred to as ‘employees’) to undertake in writing to maintain confidentiality (Obligation of confidentiality, Article 28(3)(b) of the GDPR) and shall ensure compliance with this obligation with due care. CONTRIMA shall provide you with evidence of this upon request.
3.3 CONTRIMA shall organise its internal operations in such a way as to meet the specific requirements of data protection. CONTRIMA undertakes to implement all appropriate technical and organisational measures to ensure the adequate protection of the commissioned data in accordance with Article 32 of the GDPR, in particular the measures set out in Annex 1 to this contract, and to maintain these for the duration of the processing of the commissioned data.
3.4 CONTRIMA reserves the right to amend the technical and organisational measures put in place, whilst ensuring that the level of protection agreed in the contract is not compromised. CONTRIMA must inform you in writing without delay if there is reason to believe that the measures set out in Annex 1 are no longer sufficient, and will consult with you regarding further technical and organisational measures.
3.5 At your request, CONTRIMA shall demonstrate compliance with the technical and organisational measures set out in Annex 1 by providing appropriate evidence.
4. Obligations to provide information and support
4.1 In the event of disruptions, suspected data breaches or breaches of CONTRIMA’s contractual obligations, suspected security incidents or other irregularities in the processing of the contract data, whether by persons employed by CONTRIMA in the context of the contract or by third parties, CONTRIMA shall inform you without delay, but at the latest within 24 hours, in writing or by electronic means. The same applies to inspections of CONTRIMA by the data protection supervisory authority. Notifications pursuant to Section 4(1), first sentence, shall in each case contain at least the information specified in Article 33(3) of the GDPR.
4.2 In the event referred to in Section 4.1, CONTRIMA shall assist you, to the extent reasonably practicable, in fulfilling its relevant obligations to provide information, take remedial action and keep you informed. In particular, CONTRIMA shall immediately implement the necessary measures to secure the data and to mitigate any potential adverse consequences for the data subjects, and shall inform you accordingly.
4.3 CONTRIMA undertakes to provide you, upon your verbal or written request and within a reasonable period, with all information and evidence necessary to carry out an audit in accordance with § 7.1 of this contract. Furthermore, at your request, CONTRIMA will provide you with a comprehensive and up-to-date data protection and security policy for the processing of personal data, as well as a list of authorised access holders.
5. Other obligations of CONTRIMA
5.1 CONTRIMA is obliged to maintain a record of all categories of processing activities carried out on your behalf in accordance with Article 30(2) of the GDPR. This record must be made available to you upon request.
5.2 Should the data processed on your behalf at CONTRIMA be at risk due to attachment or seizure, insolvency or composition proceedings, or other events or measures taken by third parties, CONTRIMA must inform you of this without delay, provided this is not prohibited by a court or official order. In this context, CONTRIMA shall immediately inform all relevant authorities that decision-making authority over the data lies exclusively with the client as the ‘controller’ within the meaning of the GDPR.
6. Subcontracting
6.1 The contractually agreed services shall be performed with the involvement of the subcontractors listed in Annex 2. CONTRIMA is authorised, within the scope of its contractual obligations, to enter into subcontracting relationships with subcontractors (‘subcontracting relationship’). Before entering into any further subcontracting relationships, CONTRIMA shall inform you in writing or by electronic means in accordance with Article 28(2) of the GDPR, giving four weeks’ notice. You may object to the change within two weeks of receiving the aforementioned notification.
6.2 A subcontracting relationship within the meaning of these provisions does not exist if CONTRIMA commissions third parties to provide services that are to be regarded as purely ancillary services. These include, for example, postal or telecommunications services with no specific connection to the services CONTRIMA provides for you, as well as other measures to ensure the confidentiality, availability, integrity and resilience of the hardware and software of data processing systems.
7. Rights of inspection
7.1 You are entitled to verify, on a regular basis, compliance with the provisions of this contract, in particular the implementation of and compliance with the technical and organisational measures set out in clause 3.3 of this agreement. To this end, you may, for example, request information, ask to be provided with certifications or internal audit reports, or have CONTRIMA’s technical and organisational measures inspected yourself during normal business hours or by a competent third party, provided that such third party is not in competition with CONTRIMA.
7.2 You shall carry out inspections only to the extent necessary and shall take due account of CONTRIMA’s operational processes. The parties shall agree in good time on the timing and nature of the inspection.
7.3 You shall document the results of the audit and notify CONTRIMA thereof. In the event of errors or irregularities which you identify, in particular when auditing the results of orders, you shall inform CONTRIMA without delay.
8. Rights of data subjects
8.1 CONTRIMA shall, where possible, support you with appropriate technical and organisational measures in fulfilling your obligations under Articles 12 to 22 and Articles 32 to 36 of the GDPR. CONTRIMA shall provide you with the requested information regarding processing data without delay, but no later than within 7 working days, unless you already have the relevant information yourself.
8.2 If a data subject exercises their rights under Articles 16 to 18 of the GDPR, CONTRIMA is obliged, on your instructions, to rectify, erase or restrict the processing of the data without undue delay, and at the latest within 7 working days. CONTRIMA will provide you with written confirmation of the erasure, rectification or restriction of the data upon request.
8.3 If a data subject exercises rights – such as the right to access, rectification or erasure of their data – directly against CONTRIMA, CONTRIMA shall forward this request to you without delay and await your instructions. CONTRIMA shall not contact the data subject without specific instructions to do so.
9. Term and Termination
9.1 The term of this contract corresponds to the term of the main contract. In case of doubt, termination of the main contract shall also be deemed to be termination of this contract, and termination of this contract shall be deemed to be termination of the main contract.
9.2 You are entitled at any time to terminate this contract extraordinarily for good cause. Good cause shall be deemed to exist if CONTRIMA fails to fulfil its obligations under this contract, breaches provisions of the GDPR intentionally or through gross negligence, or is unable or unwilling to carry out an instruction. In the case of minor breaches – i.e. those that are neither intentional nor due to gross negligence – you shall first set CONTRIMA a reasonable period within which CONTRIMA may remedy the breach. Once this period has expired without result, you shall then be entitled to terminate this contract without notice.
10. Deletion and Return upon Termination of the Contract
10.1 Upon termination of the main contract or at any time upon request, CONTRIMA shall return to you all data provided to CONTRIMA or, upon request, delete it completely and irrevocably, provided that no statutory retention period applies. This also applies to copies of the order data held by CONTRIMA, such as data backups, but not to documentation serving as evidence of the proper and compliant processing of the order data. Such documentation must be retained by CONTRIMA for the duration of the statutory retention periods.
10.2 You have the right to verify, in an appropriate manner, that the data has been returned or deleted by CONTRIMA in full and in accordance with the contract.
10.3 CONTRIMA is obliged to treat as confidential any data that has come to its knowledge in connection with the main contract, even after the main contract has ended.
11. Liability
11.1 The liability of the parties is governed by Article 82 of the GDPR. This does not affect CONTRIMA’s liability towards you for any breach of obligations arising from this contract or the main contract.
11.2 Each party shall be exempt from liability if it proves that it is in no way responsible for the circumstance that caused the damage to a data subject. Section 11(2), first sentence, shall apply mutatis mutandis in the event of a fine being imposed on a party, whereby the indemnification shall apply to the extent that the other party bears a share of the responsibility for the infringement sanctioned by the fine.
12. Final Provisions
12.1 Any amendments or additions to this agreement must be made in writing in accordance with Article 28(9) of the GDPR. This also applies to any waiver of this formal requirement.
12.2 In the event of any doubt, the provisions of this Agreement shall take precedence over those of the main contract. Should any individual provisions of this Agreement prove to be wholly or partially invalid or unenforceable, or should they become invalid or unenforceable as a result of legislative changes following the conclusion of the Agreement, this shall not affect the validity of the remaining provisions. The invalid or unenforceable provision shall be replaced by a valid and enforceable provision that comes as close as possible to the meaning and purpose of the invalid provision.
12.3 This contract is governed by the law of the Federal Republic of Germany. CONTRIMA provides these terms and conditions in a variety of language versions for the sake of clarity. In the event of any discrepancies, the English version of this Data Processing Agreement shall prevail.
Appendix 1: Technical and organisational measures
1. Technical and Organisational Security Measures
CONTRIMA is obliged to implement appropriate technical and organisational measures to ensure that the processing of the commissioned data is carried out in accordance with the statutory requirements and that the rights of the data subject are adequately safeguarded.
2. Internal Organisation
CONTRIMA shall structure its internal organisation in such a way as to meet the specific requirements of data protection. In particular, measures must be taken that are appropriate to the nature of the data or categories of data to be protected.
3. Specification of individual measures
Specifically, the following measures are set out to implement the requirements of Article 32 of the GDPR:
| No. | Measure | Implementation of the measure |
|---|---|---|
| 1 | Access control | Productive data processing takes place exclusively in the AWS cloud; the physical data processing facilities there are secured by AWS (see AWS Terms of Service and certifications). Administration is carried out from an access-controlled workstation in lockable, non-publicly accessible rooms behind a firewall. There is no public access and no dedicated server rooms. |
| 2 | Access Control | System access is granted only via personal login with a username and password. Administrative and AWS accesses are protected by strong passwords and two-factor authentication. End devices are secured by operating system login, a firewall and disk encryption. |
| 3 | Access control | Role- and authorisation-based concept within the application, featuring centralised authorisation checks, server-side validation on all endpoints that modify data, protection against CSRF, and exclusively parameterised database access. At the infrastructure level, a minimum number of administrators (single-person operation) and the granting of rights in accordance with the principle of least privilege. |
| 4 | Segregation of duties | Multi-tenant logical separation of all data for each photographer via a unique owner assignment; separate production environment. Logical separation is sufficient. |
| 5 | Pseudonymisation / Data minimisation | Access for external parties via random, non-guessable tokens (permanent link). Only the data necessary for the respective purpose is collected (essentially the email address); identifying notes are deliberately kept brief and neutral. |
| 6 | Control of data disclosure | Transmission takes place exclusively via encrypted connections (TLS/HTTPS). Image and contract data are stored on encrypted object storage (S3 Server-Side Encryption). Data is transferred to subcontractors only to the extent necessary, on the basis of the Data Processing Agreement (DPA) or EU Standard Contractual Clauses. |
| 7 | Input control | Logging of audit-relevant operations at application level, in particular the acceptance of agreements and consents, including timestamps, IP addresses, device information and version hashes, as well as payment events. As the service is operated by a single person, every entry, modification and deletion can be traced back to a single individual. |
| 8 | Availability and Resilience | Database redundancy across multiple AWS zones or regions within the EU or the EEA; automated database snapshots as backups; code and server backups, as well as a pre-configured server image (AMI) for rapid recovery; additional local backup system; documented emergency and recovery plan. |
| 9 | Data Protection Management | The Managing Director of CONTRIMA GmbH is responsible. No data protection officer has been appointed, as there is no legal obligation to do so. Compliance with the information obligations under Article 13 of the GDPR during the activation process; an existing process for handling data subjects’ enquiries; and a register of processing activities maintained in accordance with Article 30 of the GDPR. |
| 10 | Incident Response Management | Firewall updated regularly; documented process for detecting and reporting data breaches in accordance with Articles 33 and 34 of the GDPR, including the immediate notification of the client. |
| 11 | Privacy-friendly default settings | Privacy by default: no data collected beyond what is necessary; image previews only with watermarks; original files provided only after authorisation has been granted; and the right to withdraw consent can be exercised easily via the user interface. |
| 12 | Contract management (sub-processors) | Careful selection; conclusion of data processing agreements or EU Standard Contractual Clauses (Module 3) with all sub-processors, with appropriate safeguards where third countries are involved; notification of the client prior to engaging or replacing sub-processors; ensuring data erasure upon termination of the contract. Currently used: Stripe (payment processing), Amazon Web Services (hosting/storage), DeepL (translation of advert copy). |
Appendix 2: Appointed Sub-processors
Sub-processors included under clause 6.1 of the agreement, to the use of whom you consent:
| Subcontractor (name, address or registered office) |
Scope of services within the framework of data processing |
|---|---|
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock , Dublin, D02 H210, Ireland (“Stripe”) |
Payment processing; in the event of a sale, the purchaser’s payment, identity and transaction data (see also clause 6 of Privacy Policy) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg (“AWS”) |
Web and database hosting ; storage and processing of image data (originals, variants, archive, exports), including EXIF metadata. Email services (see also section 6 of Privacy Policy) |
| DeepL SE , Maarweg 165 , 50825 Cologne (“DeepL”) |
Where applicable, translation of the recognition note and, where applicable, the collection name into the language of the permanent link (see also 6. from Privacy Policy) |