Andmetöötlemise leping (AVV)

Standardlepingutingimused

Ametlik tekst vastavalt EUR-Lexile (CELEX 32021D0915), otsuse lisa. Valitud variandid on märgitud [Valik: …], valimata variandid on läbi kriipsutatud; muus osas on tekst muutmata.

II jagu: Poolte kohustused

Klausel 6: Töötlemise kirjeldus

Töötlemistoimingute üksikasjad, eelkõige isikuandmete kategooriad ja eesmärgid, milleks isikuandmeid vastutava isiku nimel töödeldakse, on loetletud II lisas.

Klausel 7: Poolte kohustused

7.1. Juhised

a) Töötleja töötleb isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui ta on kohustatud andmeid töötlema liidu õiguse või selle liikmesriigi õiguse alusel, mille kohaldamisalasse ta kuulub. Sellisel juhul teavitab töötleja vastutavat isikut nendest õiguslikest nõuetest enne töötlemise alustamist, kui asjaomane õigusakt ei keela seda olulise avaliku huvi tõttu. Vastutav isik võib isikuandmete töötlemise kogu kestuse jooksul anda täiendavaid juhiseid. Need juhised tuleb alati dokumenteerida.

b) Töötleja teavitab vastutavat isikut viivitamatult, kui ta leiab, et vastutava isiku antud juhised on vastuolus määrusega (EL) 2016/679, määrusega (EL) 2018/1725 või liidu või liikmesriikide kehtivate andmekaitsenõuetega.

7.2. Töötlemise eesmärgi piiratud ulatus

Töötleja töötleb isikuandmeid ainult II lisas nimetatud konkreetsel eesmärgil või eesmärkidel, kui ta ei saa vastutavalt isikult muid juhiseid.

7.3. Isikuandmete töötlemise kestus

Töötleja töötleb andmeid ainult II lisas märgitud ajavahemiku jooksul.

7.4. Töötlemise turvalisus

a) Töötleja võtab isikuandmete turvalisuse tagamiseks kasutusele vähemalt III lisas loetletud tehnilised ja organisatsioonilised meetmed. See hõlmab andmete kaitset turvalisuse rikkumise eest, mis - olgu see siis tahtmatu või ebaseaduslik - põhjustab andmete hävimist, kadumist, muutmist või volitamata avalikustamist või volitamata juurdepääsu andmetele (edaspidi „isikuandmete kaitse rikkumine”). Asjakohase kaitse taseme hindamisel võtavad pooled nõuetekohaselt arvesse tehnika taset, rakenduskulusid, töötlemise laadi, ulatust, asjaolusid ja eesmärke ning asjaomaste isikute jaoks kaasnevaid riske.

b) Töötleja võimaldab oma töötajatele juurdepääsu töödeldavatele isikuandmetele ainult niivõrd, kuivõrd see on lepingu täitmiseks, haldamiseks ja järelevalveks hädavajalik. Töötleja tagab, et isikud, kellel on õigus saada kätte isikuandmeid töötlemiseks, on võtnud endale konfidentsiaalsuskohustuse või on seotud asjakohase seadusjärgse konfidentsiaalsuskohustusega.

7.5. Tundlikud andmed

Kui töötlemine puudutab isikuandmeid, millest ilmneb isiku rassiline või etniline päritolu, poliitilised vaated, usulised või maailmavaatelised veendumused või ametiühingusse kuulumine, või geneetilisi andmeid või biomeetrilisi andmeid füüsilise isiku üheselt identifitseerimiseks, andmeid isiku tervise, seksuaalelu või seksuaalse sättumuse kohta või andmeid kriminaalkaristuste ja kuritegude kohta (edaspidi „tundlikud andmed“), kohaldab töötleja spetsiaalseid piiranguid ja/või täiendavaid tagatisi.

7.6. Dokumenteerimine ja klauslite järgimine

a) Pooled peavad suutma tõendada käesolevate klauslite järgimist.

b) Töötleja käsitleb vastutava töötleja päringuid andmete töötlemise kohta vastavalt käesolevatele klauslitele viivitamatult ja asjakohasel viisil.

c) Töötleja teeb vastutavale isikule kättesaadavaks kogu teabe, mis on vajalik käesolevates klauslites sätestatud ning määrusest (EL) 2016/679 ja/või määrusest (EL) 2018/1725 tulenevate kohustuste täitmise tõendamiseks vajalikku teavet. Vastutava töötleja nõudmisel lubab töötleja samuti käesolevate klauslite alla kuuluvate töötlemistoimingute kontrollimist sobivate ajavahemike järel või rikkumise märkide ilmnemisel ning aitab sellise kontrolli läbiviimisel kaasa. Kontrolli või auditi läbiviimise üle otsustamisel võib vastutav isik arvesse võtta töötleja asjakohaseid sertifikaate.

d) Vastutav töötleja võib kontrolli läbi viia ise või volitada selleks sõltumatu kontrollija. Kontrollid võivad hõlmata ka inspekteerimisi töötleja ruumides või füüsilistes rajatistes ning need viiakse läbi vajaduse korral piisava etteteatamisega.

e) Pooled esitavad pädevale järelevalveasutusele või -asutustele taotluse korral käesolevas klauslis nimetatud teabe, sealhulgas kontrollide tulemused.

7.7. Alltöötlejate kasutamine

a) VARIANT 2: ÜLDINE KIRJALIK LOA: Töötlejal on vastutava isiku üldine luba kasutada allhankijaid, kes on loetletud kokkulepitud nimekirjas. Töötleja teavitab vastutavat isikut vähemalt 30 päeva ette selgesõnaliselt kirjalikult kõigist kavandatavatest muudatustest selles nimekirjas, mis hõlmavad allhankijate lisamist või asendamist, ning annab vastutavale isikule seega piisavalt aega, et ta saaks enne asjaomase(te) alltöötleja(te) kaasamist esitada vastuväiteid nendele muudatustele. Töötleja edastab vastutavale isikule vajaliku teabe, et viimane saaks kasutada oma vastuväiteõigust. [Valik: 2. variant, tähtaeg 30 päeva; kokkulepitud nimekiri on IV lisas]

b) Kui töötleja volitab allhankijat teostama teatavaid töötlemistoiminguid (vastutava isiku nimel), siis peab see volitamine toimuma lepingu alusel, mis paneb allhankijale sisuliselt samad andmekaitsekohustused, mis kehtivad töötlejale käesolevate klauslite kohaselt. Andmetöötleja tagab, et allhankija täidab kohustusi, mis on andmetöötlejale kehtestatud vastavalt käesolevatele klauslitele ning määrusele (EL) 2016/679 ja/või määrusele (EL) 2018/1725.

c) Töötleja esitab vastutavale isikule tema nõudmisel koopia sellisest allhankelepingust ja selle hilisemate muudatuste kohta. Kui see on vajalik ärisaladuste või muu konfidentsiaalse teabe, sealhulgas isikuandmete kaitseks, võib töötleja enne koopia edastamist lepingu teksti varjata.

d) Töötleja vastutab vastutava isiku ees täies ulatuses selle eest, et alltöötleja täidab oma kohustusi vastavalt töötlejaga sõlmitud lepingule. Töötleja teavitab vastutavat isikut, kui alltöötleja ei täida oma lepingulisi kohustusi.

e) Töötleja lepib alltöötlejaga kokku kolmanda isiku kasuks kehtiva klausli, mille kohaselt vastutaval isikul on - juhul, kui töötleja faktiliselt või õiguslikult enam ei eksisteeri või on maksejõuetu - on tal õigus allhankeleping lõpetada ja anda allhankijale korraldus isikuandmed kustutada või tagastada.

7.8. Rahvusvahelised andmeedastused

a) Iga andmete edastamine töötleja poolt kolmandasse riiki või rahvusvahelisele organisatsioonile toimub ainult vastutava isiku dokumenteeritud juhiste alusel või selleks, et järgida konkreetset sätet, mis tuleneb liidu õigusest või selle liikmesriigi õigusest, mille alla töötleja kuulub, ning peab olema kooskõlas määruse (EL) 2016/679 või määruse (EL) 2018/1725 V peatükiga.

b) Vastutav töötleja nõustub, et juhtudel, kus töötleja kasutab vastavalt punktile 7.7 alltöötlejat teatavate töötlemistoimingute teostamiseks (vastutava töötleja nimel) ning need töötlemistoimingud hõlmavad isikuandmete edastamist määruse (EL) 2016/679 tähenduses, tagavad töötleja ja alltöötleja määruse (EL) 2016/679 V peatüki nõuete järgimist, kasutades komisjoni poolt määruse (EL) 2016/679 artikli 46 lõike 2 alusel kehtestatud standardlepingutingimusi, kui nende standardlepingutingimuste kohaldamise eeldused on täidetud.

Klausel 8: Vastutava töötleja abistamine

a) Töötleja teavitab vastutavat töötlejat viivitamatult igast taotlusest, mille ta on saanud asjaomaselt isikult. Ta ei vasta taotlusele ise, välja arvatud juhul, kui vastutav töötleja on talle selleks volituse andnud.

b) Võttes arvesse töötlemise laadi, toetab töötleja vastutavat isikut tema kohustuse täitmisel vastata andmesubjektide taotlustele seoses nende õiguste teostamisega. Punktides a ja b sätestatud kohustuste täitmisel järgib töötleja vastutava isiku juhiseid.

c) Lisaks andmetöötleja kohustusele abistada vastutavat isikut vastavalt klausli 8 punktile b abistab andmetöötleja, võttes arvesse andmetöötluse laadi ja talle kättesaadavat teavet, vastutavat isikut ka järgmiste kohustuste täitmisel:

• 1) kohustus viia läbi kavandatavate töötlemistoimingute mõju hindamine isikuandmete kaitse seisukohast (edaspidi „andmekaitse mõju hindamine”), kui töötlemise vorm võib eeldatavasti kaasa tuua suure riski füüsiliste isikute õigustele ja vabadustele;
• 2) kohustus konsulteerida enne töötlemise alustamist pädeva(te) järelevalveasutus(t)ega, kui andmekaitse mõju hindamisest selgub, et töötlemine tooks kaasa kõrge riski, juhul kui vastutav töötleja ei võta meetmeid riski vähendamiseks;
• 3) kohustus tagada, et isikuandmed on sisuliselt õiged ja ajakohased, milleks töötleja teavitab vastutavat isikut viivitamatult, kui ta tuvastab, et tema poolt töödeldavad isikuandmed on ebaõiged või aegunud;
• 4) määruse (EL) 2016/679 artiklis 32 sätestatud kohustused. [Valik: 1. variant]

d) Pooled määravad III lisas kindlaks asjakohased tehnilised ja organisatsioonilised meetmed, mille abil töötleja toetab vastutavat töötlejat käesoleva klausli kohaldamisel, ning vajaliku toetuse kohaldamisala ja ulatuse.

Klausel 9: Isikuandmete kaitse rikkumiste teatamine

Isikuandmete kaitse rikkumisekorral teeb töötleja koostööd vastutava töötlejaga ja toetab teda asjakohaselt, et vastutav töötleja saaks täita oma kohustusi vastavalt määruse (EL) 2016/679 artiklite 33 ja 34 või vajaduse korral määruse (EL) 2018/1725 artiklite 34 ja 35 kohaselt täita, võttes seejuures arvesse töötlemise laadi ja talle kättesaadavat teavet.

9.1. Vastutava töötleja poolt töödeldavate andmete kaitse rikkumine

Isikuandmete kaitse rikkumise korral seoses vastutava töötleja poolt töödeldavate andmetega toetab volitatud töötleja vastutavat töötlejat järgmiselt:

a) isikuandmete kaitse rikkumise viivitamatu teatamisel pädevale järelevalveasutusele (pädevatele järelevalveasutustele), pärast seda, kui vastutav töötleja on rikkumisest teada saanud, kui see on asjakohane (välja arvatud juhul, kui isikuandmete kaitse rikkumine tõenäoliselt ei põhjusta ohtu füüsiliste isikute isiklikele õigustele ja vabadustele);

b) järgmise teabe hankimisel, mis tuleb vastavalt määruse (EL) 2016/679 artikli 33 lõikele 3 märkida vastutava töötleja teatises, kusjuures see teave peab hõlmama vähemalt järgmist: [valik: 1. variant]

• 1) isikuandmete liik, võimaluse korral koos kategooriate ja asjaomaste isikute ligikaudse arvu ning asjaomaste isikuandmete kirjetega seotud kategooriate ja ligikaudse arvu märkimisega;
• 2) isikuandmete kaitse rikkumise tõenäolised tagajärjed;
• 3) vastutava töötleja poolt isikuandmete kaitse rikkumise kõrvaldamiseks võetud või kavandatud meetmed ning vajaduse korral meetmed selle võimalike kahjulike mõjude leevendamiseks.

Kui ja niivõrd, kui kogu seda teavet ei ole võimalik esitada üheaegselt, sisaldab esialgne teade sel hetkel kättesaadavat teavet ning täiendav teave esitatakse niipea, kui see on kättesaadav, ilma põhjendamatu viivituseta;

c) määruse artiklis 34 sätestatud kohustuse täitmisel (EL) 2016/679 kohasest kohustusest teavitada asjaomast isikut viivitamatult isikuandmete kaitse rikkumisest, kui see rikkumine tõenäoliselt põhjustab suurt ohtu füüsiliste isikute õigustele ja vabadustele. [Valik: 1. variant]

9.2. Töötleja poolt töödeldavate andmete kaitse rikkumine

Isikuandmete kaitse rikkumisekorral seoses töötlejapoolttöödeldavateandmetegateavitab töötleja sellest vastutavat isikut viivitamatult pärast rikkumisest teadasaamist. See teade peab sisaldama vähemalt järgmist teavet:

a) rikkumise laadi kirjeldus (võimaluse korral märkides asjaomaste isikute kategooriad ja ligikaudse arvu ning asjaomaste andmekogumite ligikaudse arvu);

b) kontaktandmed kontaktpunktile, kust saab isikuandmete kaitse rikkumise kohta lisateavet;

c) eeldatavad tagajärjed ning isikuandmete kaitse rikkumise kõrvaldamiseks võetud või kavandatud meetmed, sealhulgas meetmed selle võimalike kahjulike mõjude leevendamiseks.

Kui ja niivõrd, kui kõiki neid andmeid ei ole võimalik esitada üheaegselt, sisaldab esialgne teade sel hetkel kättesaadavaid andmeid ning täiendav teave esitatakse niipea, kui see on kättesaadav, ilma põhjendamatu viivituseta.

Osapooled määravad III lisas kindlaks kõik muud andmed, mida töötleja peab esitama, et aidata vastutaval töötlejal täita oma kohustusi vastavalt määruse (EL) 2016/679 artiklitele 33 ja 34. [Valik: 1. variant]

I lisa: Osapoolte nimekiri

Andmetöötleja

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Šveits, UID CHE-220.381.580, esindaja Günter Reichelt, juhatuse esimees. Kontakt: privacy@mail.transpareo.com.

Andmekaitseametnik ja esindaja ELis vastavalt GDPR-i artiklile 27: DGD Deutsche Gesellschaft für Datenschutz, prof. dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Saksamaa, info@mail.dg-datenschutz.de.

Transpareo asub Šveitsis, mille suhtes kehtib komisjoni piisavuse otsus (2000/518/EÜ). Andmed asuvad Saksamaal.

Vastutavad isikud

Transpareo sõlmib need klauslid iga vastutava isikuga eraldi. Vastutav töötleja on kas:

1. klient, kes kasutab Transpareo platvormi vastavalt üldistele tingimustele (AGB). Nimi, aadress ja kontaktisik on andmed, mille ta esitab lepingu sõlmimisel platvormi kaudu ja mida ta oma kontol haldab; kontaktisik on kontoomanik. Kõnealused tingimused loetakse käesoleva lepingu sõlmimisega kokku lepituks (üldtingimuste punkt 14).
2. tarnija, kes edastab tarnijate lehekülje kaudu päringu oma tarnijatele. Vastutavaks isikuks on ettevõte, millele on suunatud link, mille kaudu päring edastatakse, vastavalt päringus märgitule. Kontaktisikuks on edastaja, kelle nimi ja e-posti aadress on edastamisel esitatud. Tarnija sõlmib tingimused, võttes need edastamisel oma ettevõtte nimel vastu; Transpareo salvestab vastuvõetud versiooni ja aja koos edastatud lingiga. Tema suhtes kehtivad lisaks tarnijate kasutustingimused.

Transpareo nimetab vastutava isiku andmekaitseametniku niipea, kui viimane on selle nimetanud.

Üldised lepingutingimused või tarnijate kasutustingimused moodustavad vastavalt põhilepingu. Tingimused sõlmitakse elektrooniliselt (GDPR artikli 28 lõige 9); liitumise kuupäev on lepingu sõlmimise kuupäev.

III lisa: Tehnilised ja organisatsioonilised meetmed

Krüpteerimine ja pseudonüümimine

• Kõik ühendused on krüpteeritud TLS-iga.
• Juurdepääsuandmed ja muud salajased andmed (PIN-kood, ühekordsete koodide võtmed, SMTP-juurdepääsud, API-võtmed) on andmebaasis salvestatud AES-256-GCM-krüpteeringuga, kus igale töökeskkonnale on määratud oma võti.
• Varukoopiad on krüpteeritud.
• Külastajastatistika salvestab IP-aadresseid ainult salajase võtmega hash-väärtusena. Tarnijate lehekülgede külastused ei kajastu selles.

Eraldatus

• Igal kliendil on oma andmebaas.

Füüsiline turvalisus

• Serverid ja andmekandjad asuvad Hetzner Online GmbH andmekeskustes Falkensteinis, Saksamaal, mis on sertifitseeritud vastavalt standardile ISO 27001.

Identifitseerimine ja juurdepääsuõigused

• Paroolid salvestatakse ainult bcrypt-hashina.
• Kõikidel kasutajatel on võimalik kasutada kahefaktorilist sisselogimist ühekordse koodi või turvakoodiga; klient võib seda oma töökeskkonnas nõuda.
• Istung lõpeb pärast tegevusetuse perioodi, mille pikkuse määrab klient (vaikimisi kaheksa tundi).
• Töökeskkonnas kehtivad rollid ja õigused, mille määrab klient.
• Transpareo töötajad avavad töökeskkonna ainult kliendi nimel sisselogimise kaudu, mis salvestatakse platvormi logisse ja töökeskkonna turvalogisse.
• Tarnija lehekülg: link sisaldab juhuslikku 16-märgilist võtit (80 bitti); ilma PIN-koodita ei näita lehekülg andmekogumist. Pärast viit valet PIN-koodi blokeeritakse link 15 minutiks. Iga IP-aadressi kohta võtab lehekülg vastu maksimaalselt 120 külastust minutis. Blokeeringu tühistamisel saab sessioon uue identifikaatori. Lehekülg on otsingumootoritele blokeeritud ega edasta oma aadressi kolmandatele lehekülgedele.

Logimine

• Andmekogumite muudatused ja tarnija lehel toimuvad protsessid logitakse koos ajaga, tegutseja ja IP-aadressiga ning säilitatakse viis aastat; sisselogimised ja muud turvalisusega seotud sündmused säilitatakse ühe aasta jooksul.
• Serveri logid kustutatakse 14 päeva möödudes.

Terviklikkus

• Tarnijate pildid hoitakse ilma metaandmeteta kaitstud alas väljaspool avalikku salvestusruumi, kuni need kontrolli käigus heaks kiidetakse. Vastus muudab andmekirjet alles pärast kontrolli.
• Avaldatud parooliversioonid on krüptograafiliselt allkirjastatud.

Kättesaadavus ja taastamine

• Iga nelja tunni järel tehakse iga aktiivse tööala andmebaasist ja failidest varukoopia, mis krüpteeritakse ja salvestatakse serveritest eraldi objektide salvestusruumis Saksamaal. Kohalikud koopiad kustutatakse nelja päeva möödudes. Objektimälus asuvaid varukoopiaid säilitatakse 90 päeva ja need kustutatakse lõplikult 30 päeva jooksul pärast seda.
• Teenuseid ja servereid jälgitakse pidevalt; turbeuuendused paigaldatakse regulaarselt.
• Transpareo kontrollib neid meetmeid regulaarselt ja kohandab neid vastavalt tehnika tasemele.

Vastutava isiku toetamine (punktid 8 ja 9)

• Klient saab platvormil oma tööala andmeid vaadata, parandada ja kustutada. Tarnija näeb tarnijate lehel vastuseid oma edastatud andmetele ja saab iga edastatud lingi tühistada.
• Transpareo edastab viivitamatult vastutavale isikule kõik Transpareole laekunud asjaomaste isikute taotlused.
• Punktide 7.7 ja 9.2 kohased teated saadetakse e-postiga kliendi kontoomanikule ja e-posti aadressile, mille tarnija edastamisel on märkinud. Punktis 9.2 alapunktis b nimetatud kontaktpunkt on privacy@mail.transpareo.com.
• Punktis 9.2 nimetatud teates tuleb lisaks märkida rikkumise toimumise aeg ja selle avastamise aeg ning asjaomased töövaldkonnad või lingid.

Šveitsi täiendus

Käesolev täiendus on täiendav säte vastavalt punktile 2 alapunktile b. Kui andmete töötlemine kuulub Šveitsi föderaalse andmekaitseseaduse (DSG) reguleerimisalasse:

1. loetakse viited määrusele (EL) 2016/679 samal ajal viideteks DSG vastavatele sätetele, nimelt GDPRi artiklile 28 - DSG artiklile 9, artiklile 32 - artiklile 8, artiklid 33 ja 34 - artiklile 24, artiklid 35 ja 36 - artiklitele 22 ja 23, V peatükk artiklitele 16-18, andmesubjektide õigused artiklitele 25-32 DSG-st ning tundlikud andmed vastavalt klauslile 7.5 eriti kaitsevajavatele isikuandmetele vastavalt artikli 5 punktile c DSG-st;
2. on pädev järelevalveasutus Šveitsi andmekaitse- ja teabevabaduse volinik (EDÖB); GDPR-i kohased järelevalveasutuste pädevused jäävad muutumatuks;
3. loetakse liikmesriigi õiguseks ka Šveitsi õigus.

Kehtiv alates 8. oktoobrist 2026