§ 01

Datu pārzinis

Personas datu apstrādes pārzinis ir X DIGITAL ASSETS SIA, reģistrācijas numurs 40203611907, Rīga, Latvija.

Datu apstrāde notiek atbilstoši Eiropas Parlamenta un Padomes Regulai (ES) 2016/679 (GDPR) un Latvijas Fizisko personu datu apstrādes likumam.

§ 02

Kādi personas dati tiek apstrādāti

Apstrādājam tikai tos datus, kas nepieciešami norādītajiem mērķiem:

Datu kategorija	Konkrēti dati	Iegūšanas veids
Kontaktinformācija	Vārds, e-pasta adrese, tālrunis (ja norādīts)	Kontaktforma, e-pasts
Uzņēmuma dati	Uzņēmuma nosaukums, amats	Kontaktforma
Ziņojuma saturs	Pieprasījuma teksts, projekta apraksts	Kontaktforma
Tehniskie dati	IP adrese, pārlūkprogramma, apmeklēšanas laiks	Automātiski servera žurnālos (drošībai un darbības nodrošināšanai; analītikai netiek lietoti)

§ 03

Apstrādes mērķi un tiesiskais pamats

• Atbilde uz pieprasījumiem — tiesiskais pamats: līguma izpilde (GDPR 6. panta 1. punkta b) apakšpunkts) vai leģitīmās intereses.
• Pakalpojumu sniegšana — tiesiskais pamats: līguma izpilde.
• Vietnes drošība un tehniskā uzturēšana — tiesiskais pamats: leģitīmās intereses (GDPR 6. panta 1. punkta f) apakšpunkts).
• Juridisko pienākumu izpilde — tiesiskais pamats: juridisks pienākums (GDPR 6. panta 1. punkta c) apakšpunkts).

§ 04

Datu saņēmēji un nodošana trešajām pusēm

Personas dati netiek pārdoti trešajām pusēm. Dati var tikt nodoti:

• Cloudflare — vietnes piegāde, aizsardzība un mūsu pašu servisi (pieteikumu pieņemšana, AI čats) darbojas Cloudflare tīklā. Cloudflare Turnstile pārbauda, vai formu aizpilda cilvēks, nevis robots; tas ir drošības rīks un statistiku par Jums neveido.
• Google Cloud (Vertex AI) — ja rakstāt AI čatā, Jūsu ziņa tiek nodota valodas modelim atbildes sagatavošanai. Neievadiet čatā sensitīvus vai konfidenciālus datus.
• E-pasta pakalpojumu sniedzējam — pieteikuma saturs tiek nosūtīts uz mūsu pastkasti, lai mēs varētu atbildēt.
• Valsts iestādēm — tikai tad, ja to nosaka Latvijas vai ES tiesību akti.

Dati netiek nodoti ārpus Eiropas Ekonomikas zonas bez atbilstošiem aizsardzības pasākumiem.

§ 05

Datu glabāšanas termiņi

Datu veids	Glabāšanas termiņš
Kontaktformas pieprasījumi	3 gadi no saziņas brīža vai līdz pieprasījuma izpildei
Līgumu dati	10 gadi (atbilstoši Latvijas Komerclikumam)
Tehniskie žurnāldatni	Līdz 12 mēnešiem

§ 06

Jūsu tiesības kā datu subjektam

Atbilstoši GDPR jums ir šādas tiesības:

• Piekļuves tiesības — saņemt apstiprinājumu par to, vai apstrādājam jūsu personas datus, un pieprasīt to kopiju.
• Labošanas tiesības — pieprasīt neprecīzu vai nepilnīgu datu labošanu.
• Dzēšanas tiesības ("tiesības tikt aizmirstam") — pieprasīt datu dzēšanu, ja nav tiesiska pamata to turpmākai glabāšanai.
• Apstrādes ierobežošanas tiesības — pieprasīt apstrādes ierobežošanu noteiktos gadījumos.
• Tiesības iebilst — iebilst pret apstrādi, kas balstīta uz leģitīmajām interesēm.
• Pārnesamības tiesības — saņemt savus datus strukturētā, mašīnlasāmā formātā.
• Piekrišanas atsaukšana — jebkurā laikā atsaukt dotu piekrišanu (neietekmē iepriekšējo apstrādi).

§ 07

Sīkdatnes

Mēs izmantojam sīkdatnes vietnes darbības nodrošināšanai. Sīkdatnes ir mazi teksta faili, kas tiek saglabāti jūsu ierīcē.

• Nepieciešamās sīkdatnes — nodrošina vietnes pamatfunkcionalitāti. Tiesiskais pamats: leģitīmās intereses.

Analītikas, mārketinga vai izsekošanas sīkdatnes neizmantojam - vietnē nav ne Google Analytics, ne cita statistikas rīka, ne reklāmas pikseļu. Tā kā izmantojam tikai nepieciešamās sīkdatnes, atsevišķa piekrišana nav vajadzīga un vietne rāda tikai informatīvu paziņojumu. Plašāka informācija: Sīkdatņu politika.

§ 08

Datu drošība

Mēs ieviešam atbilstošus tehniskus un organizatoriskus pasākumus personas datu aizsardzībai pret nesankcionētu piekļuvi, nozaudēšanu vai iznīcināšanu. Pasākumi ietver:

• HTTPS šifrēšana visā vietnē
• Piekļuves tiesību ierobežošana (need-to-know princips)
• Regulāras drošības pārbaudes
• Darbinieku apmācība par datu aizsardzību

Datu pārkāpuma gadījumā informēsim kompetentās iestādes un skartās personas GDPR noteiktajos termiņos.

§ 09

Politikas grozījumi

Mēs paturam tiesības atjaunināt šo privātuma politiku. Būtiskas izmaiņas paziņosim, publicējot jauno versiju vietnē ar atjauninātu datumu. Iesakām periodiski pārskatīt šo dokumentu.

§ 10

Sūdzību iesniegšana

Ja uzskatāt, ka mēs apstrādājam jūsu datus prettiesiski, jums ir tiesības iesniegt sūdzību uzraudzības iestādē:

Aicinām sākotnēji vērsties pie mums, lai varētu atrisināt jautājumu tiešā saziņā.

§ 11

Klienta iesniegtie dokumenti un saturs

Šī sadaļa attiecas uz situācijām, kad Klients (fiziska vai juridiska persona) iesniedz mums dokumentus, failus, tekstus vai citu saturu (turpmāk - "Iesniegtais saturs") saistībā ar mūsu pakalpojumu sniegšanu, piemēram, līgumu sagatavošanu, juridiskās konsultācijas, sistēmu izstrādi, AI analīzi vai citu sadarbību.

11.1. Apstrādes mērķi un tiesiskais pamats

Iesniegto saturu apstrādājam tikai šādiem mērķiem:

• Klienta uzdoto pakalpojumu izpildei (tiesiskais pamats: līguma izpilde, GDPR 6. panta 1. punkta b) apakšpunkts).
• Likumā noteikto pienākumu izpildei, piemēram, grāmatvedības, nodokļu vai informācijas izpaušanas pienākumi (tiesiskais pamats: juridisks pienākums, GDPR 6. panta 1. punkta c) apakšpunkts).
• Mūsu likumīgo interešu aizsardzībai, piemēram, prasību celšanai vai aizstāvībai (tiesiskais pamats: leģitīmās intereses, GDPR 6. panta 1. punkta f) apakšpunkts).

Iesniegto saturu neizmantojam citiem mērķiem, tostarp mārketingam, profilēšanai, trešo personu pakalpojumiem vai AI modeļu apmācīšanai, ja vien par to nav atsevišķas rakstiskas vienošanās ar Klientu.

11.2. Konfidencialitāte

Visu Iesniegto saturu uzskatām par konfidenciālu informāciju un aizsargājam atbilstoši starp pusēm noslēgtajam līgumam, profesionālā noslēpuma pienākumiem un Komerclikuma 22. panta noteikumiem. Konfidencialitāte saglabājas arī pēc sadarbības beigām, ja vien likums neparedz citādi.

Mūsu darbinieki, sadarbības partneri un apstrādātāji ir parakstījuši konfidencialitātes vienošanās vai uz tiem attiecas līdzvērtīgi tiesiski pienākumi.

11.3. Glabāšana un dzēšana

Iesniegtā satura veids	Glabāšanas termiņš
Līgumi un grāmatvedības dokumenti	10 gadi pēc darījuma beigām (Komerclikuma 13.1 pants, Grāmatvedības likums)
Klienta projektu darba materiāli	Pakalpojuma sniegšanas laiks + 3 gadi (vai pēc Klienta rakstiska pieprasījuma - īsāk)
AI Demo lapā iesniegtais teksts/PDF	Netiek saglabāts - apstrādāts atmiņā un dzēsts uzreiz pēc atbildes nosūtīšanas
Sarakste un e-pasti par projektu	5 gadi no pēdējās saziņas
Materiāli ar trešo personu personas datiem	Tikai tik ilgi, cik nepieciešams pakalpojuma izpildei, vēlākais - atbilstoši augstākminētiem termiņiem

Klients var pieprasīt sava Iesniegtā satura dzēšanu pirms šeit noteiktajiem termiņiem, ja vien likums vai mūsu likumīgās intereses (piemēram, izpildes pierādījumu glabāšana) neliek to glabāt ilgāk. Pieprasījumu nosūtīt uz info@xda.lv ar tēmu "Iesniegtā satura dzēšanas pieprasījums".

11.4. Drošības pasākumi

• HTTPS šifrēšana visā augšupielādes ceļā (TLS 1.3).
• Glabāšana šifrētos krātuvēs (AES-256 vai līdzvērtīgi).
• Piekļuves tiesību ierobežošana need-to-know principā - tikai konkrētajā projektā iesaistītie darbinieki.
• Regulāras drošības kopijas un atjaunošanas procedūras.
• Žurnalēšana par piekļuvi sensitīvajiem dokumentiem.

§ 12

AI un automatizētās apstrādes izmantošana

Atsevišķos pakalpojumos (piemēram, AI Demo lapā xda.lv/demo vai pēc atsevišķas vienošanās izstrādātos AI risinājumos) mēs izmantojam mākslīgā intelekta (AI / LLM) modeļus, lai analizētu vai apstrādātu Iesniegto saturu.

12.1. Kā tas darbojas

• Iesniegtais teksts vai dokumenta saturs tiek nosūtīts uz mākoņa AI pakalpojuma sniedzēju (piemēram, Anthropic, OpenAI vai citi - aktuālais saraksts pieejams pēc pieprasījuma) tikai konkrētā vaicājuma izpildei.
• AI pakalpojuma sniedzējs darbojas kā apstrādātājs (processor) GDPR 28. panta izpratnē saskaņā ar attiecīgo datu apstrādes vienošanos (DPA).
• Iesniegto saturu nedz mēs, nedz AI pakalpojuma sniedzējs neizmantojam jaunu AI modeļu apmācīšanai - tas ir tieši aizliegts mūsu līgumos ar piegādātājiem.
• Atbildes tiek atgrieztas Klientam un netiek izpaustas trešajām pusēm.

12.2. Datu nodošana ārpus EEZ

Atsevišķi AI pakalpojumu sniedzēji var atrasties ārpus Eiropas Ekonomikas zonas (EEZ), piemēram, ASV. Šādās situācijās nodrošinām atbilstošus aizsardzības pasākumus saskaņā ar GDPR 46. pantu, tostarp:

• Eiropas Komisijas pieņemtās standarta līguma klauzulas (SCC, Lēmums 2021/914);
• EU-U.S. Data Privacy Framework sertifikācija (kur piemērojams);
• Papildu tehniskie pasākumi - piemēram, šifrēšana tranzītā un miera stāvoklī, datu minimizācija pirms nosūtīšanas.

Klients var pieprasīt informāciju par konkrētajiem apstrādātājiem un to atrašanās vietu, rakstot uz info@xda.lv.

12.3. Automatizēto lēmumu izslēgums

AI analīzes rezultāti ir informatīvi un ieteikuma rakstura. Tie nav automatizēti lēmumi GDPR 22. panta izpratnē un neaizstāj profesionālu juridisku, finanšu vai tehnisku konsultāciju. Galīgo lēmumu vienmēr pieņem Klients vai pilnvarots speciālists.

12.4. AI Demo lapa - īpaši noteikumi

§ 13

Klienta garantijas un atbildība par Iesniegto saturu

Iesniedzot mums dokumentus vai citu saturu, Klients apliecina un garantē, ka:

• Klientam ir visas nepieciešamās tiesības un pilnvaras nodot mums šo saturu - tostarp autortiesības, lietošanas licences un trešo personu piekrišanas.
• Iesniegtajā saturā iekļautās trešo personu personas datu apstrādes pamats ir likumīgs (Klients ir saņēmis vajadzīgās piekrišanas, paziņojumus vai cits GDPR 6. panta pamats ir nodrošināts).
• Klients ir informējis datu subjektus par to, ka viņu dati var tikt apstrādāti mūsu pakalpojuma ietvaros, ciktāl to prasa GDPR 13. un 14. pants.
• Iesniegtais saturs nepārkāpj Latvijas, ES vai cita piemērojamā tiesiskā regulējuma normas, tostarp normas par komercnoslēpumu, valsts noslēpumu, intelektuālo īpašumu vai personas tiesībām.
• Klients pats atbild par to, ka iesniegtais saturs nesatur ļaunatūru, vīrusus vai citu kaitīgu kodu.

Ja izrādās, ka kāda no šīm garantijām nav ievērota, Klients atbild par radītajiem zaudējumiem (tostarp jebkurām trešo personu prasībām pret mums) un atbrīvo X DIGITAL ASSETS SIA no šādas atbildības (indemnification).

Detalizētāka kārtība noteikta Lietošanas noteikumos un, attiecīgā gadījumā, atsevišķā pakalpojuma līgumā vai Datu apstrādes vienošanās (DPA) starp pusēm.

§ 14

Datu apstrādes vienošanās (DPA)

Ja Klients (pārzinis) nodod mums personas datus apstrādei (mēs darbojamies kā apstrādātājs), pusēm ir tiesības un, atsevišķos gadījumos, GDPR 28. panta noteiktais pienākums noslēgt atsevišķu Datu apstrādes vienošanos (DPA).

DPA paraugu un piedāvājumu lūdzam pieprasīt rakstot uz info@xda.lv ar tēmu "DPA pieprasījums". Standarta DPA balstīts uz Eiropas Komisijas paraugu (Lēmums 2021/915) un pielāgots mūsu pakalpojumu specifikai.

§ 01

Data Controller

The data controller for personal data processing is X DIGITAL ASSETS SIA, registration number 40203611907, Riga, Latvia.

Data processing is carried out in accordance with the Regulation (EU) 2016/679 of the European Parliament and of the Council (GDPR) and the Latvian Personal Data Processing Law.

§ 02

What Personal Data We Process

We process only the data necessary for the stated purposes:

Data Category	Specific Data	Collection Method
Contact information	Name, email address, phone number (if provided)	Contact form, email
Company data	Company name, job title	Contact form
Message content	Request text, project description	Contact form
Technical data	IP address, browser, visit time	Automatically in server logs (for security and operation; not used for analytics)

§ 03

Processing Purposes and Legal Basis

• Responding to inquiries — legal basis: performance of a contract (GDPR Art. 6(1)(b)) or legitimate interests.
• Provision of services — legal basis: performance of a contract.
• Website security and technical maintenance — legal basis: legitimate interests (GDPR Art. 6(1)(f)).
• Compliance with legal obligations — legal basis: legal obligation (GDPR Art. 6(1)(c)).

§ 04

Data Recipients and Third-Party Transfers

Personal data is not sold to third parties. Data may be disclosed to:

• Cloudflare — site delivery, protection and our own services (form intake, AI chat) run on the Cloudflare network. Cloudflare Turnstile checks that a form is filled in by a person rather than a bot; it is a security tool and does not build statistics about you.
• Google Cloud (Vertex AI) — if you write in the AI chat, your message is passed to a language model to produce a reply. Do not enter sensitive or confidential data into the chat.
• Email service provider — the content of your enquiry is delivered to our mailbox so that we can reply.
• Government authorities — only when required by Latvian or EU legislation.

Data is not transferred outside the European Economic Area without appropriate safeguards.

§ 05

Data Retention Periods

Data Type	Retention Period
Contact form inquiries	3 years from the date of contact or until the inquiry is fulfilled
Contractual data	10 years (in accordance with the Latvian Commercial Law)
Technical log files	Up to 12 months

§ 06

Your Rights as a Data Subject

Under the GDPR, you have the following rights:

• Right of access — to obtain confirmation as to whether we process your personal data and to request a copy thereof.
• Right to rectification — to request the correction of inaccurate or incomplete data.
• Right to erasure ("right to be forgotten") — to request the deletion of data where there is no legal basis for its continued storage.
• Right to restriction of processing — to request the restriction of processing in certain circumstances.
• Right to object — to object to processing based on legitimate interests.
• Right to data portability — to receive your data in a structured, machine-readable format.
• Withdrawal of consent — to withdraw consent at any time (without affecting the lawfulness of prior processing).

§ 07

Cookies

We use cookies to ensure the functionality of our website. Cookies are small text files stored on your device.

• Essential cookies — ensure the basic functionality of the website. Legal basis: legitimate interests.

You can change your cookie settings at any time using the button in the bottom-right corner of the page. More information: Cookie Policy.

§ 08

Data Security

We implement appropriate technical and organisational measures to protect personal data against unauthorised access, loss, or destruction. These measures include:

• HTTPS encryption across the entire website
• Access rights restriction (need-to-know principle)
• Regular security audits
• Employee training on data protection

In the event of a data breach, we will notify the competent authorities and affected individuals within the timeframes prescribed by the GDPR.

§ 09

Policy Amendments

We reserve the right to update this privacy policy. Material changes will be communicated by publishing the new version on the website with an updated date. We recommend reviewing this document periodically.

§ 10

Filing a Complaint

If you believe that we are processing your data unlawfully, you have the right to file a complaint with the supervisory authority:

We encourage you to contact us first so that we can resolve the matter through direct communication.

§ 11

Client-Submitted Documents and Content

This section applies whenever a Client (natural or legal person) submits documents, files, text or other content to us (the "Submitted Content") in connection with our services, including contract drafting, legal review, system development, AI analysis or any other engagement.

11.1. Purposes and legal basis

We process Submitted Content only for the following purposes:

• Performance of services requested by the Client (legal basis: contract performance, GDPR Art. 6(1)(b)).
• Compliance with statutory obligations such as accounting, tax or disclosure requirements (legal basis: legal obligation, GDPR Art. 6(1)(c)).
• Protection of our legitimate interests, including establishing or defending legal claims (legal basis: legitimate interests, GDPR Art. 6(1)(f)).

We do not use Submitted Content for any other purpose, including marketing, profiling, third-party services or AI model training, unless there is a separate written agreement with the Client.

11.2. Confidentiality

All Submitted Content is treated as confidential information protected under our service contract, professional secrecy obligations and Section 22 of the Latvian Commercial Law. Confidentiality continues to apply after the engagement ends, unless the law requires otherwise.

Our employees, partners and processors have signed confidentiality undertakings or are subject to equivalent legal duties.

11.3. Storage and deletion

Type of Submitted Content	Retention period
Contracts and accounting documents	10 years after the transaction ends (Section 13.1 of the Commercial Law, Accounting Law)
Client project working materials	Duration of the service + 3 years (or shorter at the Client's written request)
Text/PDF submitted to AI Demo page	Not stored - processed in memory and discarded immediately after the response is returned
Correspondence and emails about a project	5 years from the last communication
Materials containing third-party personal data	Only as long as needed for service performance, no longer than the periods above

The Client may request deletion of their Submitted Content before the above periods, unless the law or our legitimate interests (e.g. retention of performance evidence) require longer storage. Requests should be sent to info@xda.lv with the subject "Submitted Content deletion request".

11.4. Security measures

• End-to-end HTTPS encryption during upload (TLS 1.3).
• Storage in encrypted repositories (AES-256 or equivalent).
• Need-to-know access restrictions - only personnel directly engaged on the project.
• Regular backups and recovery procedures.
• Audit logging of access to sensitive documents.

§ 12

Use of AI and Automated Processing

In certain services (for example, the AI Demo page at xda.lv/en/demo or in custom-built AI solutions delivered under separate agreements) we use artificial intelligence (AI / LLM) models to analyse or process Submitted Content.

12.1. How it works

• The submitted text or document content is sent to a cloud AI provider (e.g. Anthropic, OpenAI or others - current list available on request) only to complete that specific request.
• The AI provider acts as a processor within the meaning of GDPR Art. 28 under the applicable data processing agreement (DPA).
• Neither we nor the AI provider use Submitted Content to train new AI models - this is explicitly prohibited under our supplier contracts.
• Responses are returned to the Client and are not disclosed to third parties.

12.2. Transfers outside the EEA

Some AI providers are located outside the European Economic Area (EEA), for example in the USA. For such transfers we ensure appropriate safeguards under GDPR Art. 46, including:

• EU Commission Standard Contractual Clauses (SCCs, Decision 2021/914);
• EU-U.S. Data Privacy Framework certification (where applicable);
• Additional technical measures - encryption in transit and at rest, data minimisation prior to transmission.

The Client may request information about specific processors and their location by emailing info@xda.lv.

12.3. No automated decision-making

AI analysis results are informational and advisory. They do not constitute automated decision-making within the meaning of GDPR Art. 22 and they do not replace professional legal, financial or technical advice. Final decisions are always made by the Client or an authorised expert.

12.4. AI Demo page - special terms

§ 13

Client Warranties and Liability for Submitted Content

By submitting documents or other content, the Client represents and warrants that:

• The Client holds all rights and authority necessary to share the content - including copyright, usage licences and any third-party consents.
• The legal basis for processing any third-party personal data included in the Submitted Content is lawful (the Client has obtained the necessary consents or has another valid GDPR Art. 6 basis).
• The Client has informed data subjects that their data may be processed in the course of our service, to the extent required by GDPR Arts. 13 and 14.
• Submitted Content does not violate Latvian, EU or other applicable law, including rules on trade secrets, state secrets, intellectual property or personal rights.
• Submitted Content does not contain malware, viruses or any other harmful code.

If any of these warranties is breached, the Client is liable for any resulting damages (including third-party claims against us) and shall indemnify and hold harmless X DIGITAL ASSETS SIA from such liability.

More detailed provisions are set out in our Terms of Use and, where applicable, in a separate service agreement or Data Processing Agreement (DPA) between the parties.

§ 14

Data Processing Agreement (DPA)

When the Client (as controller) shares personal data with us for processing (we act as processor), the parties are entitled - and in certain cases, under GDPR Art. 28, required - to enter into a separate Data Processing Agreement (DPA).

A DPA template and proposal can be requested by emailing info@xda.lv with the subject "DPA request". Our standard DPA is based on the EU Commission template (Decision 2021/915) and adapted to the specifics of our services.