See isikuandmete töötlemise leping on osa Sapita lepingust Otuny OÜ (volitatud töötleja, edaspidi meie) ja ettevõtte vahel, kes Sapitat kasutab (vastutav töötleja, edaspidi sina). See kehtib, kui töötleme sinu jaoks isikuandmeid allpool kirjeldatud viisil, ja see on koostatud vastavalt GDPR artiklile 28.
1. Rollid ja ulatus
Raamatute pidamiseks Sapitasse sisestatud isikuandmete puhul oled sina vastutav töötleja ja meie oleme volitatud töötleja. Töötleme neid andmeid ainult selleks, et Sapita sinu jaoks pakkuda.
Töötlemise ese, kestus, olemus ja eesmärk, isikuandmete liigid ning andmesubjektide kategooriad on esitatud lisas A.
Kui töötleme isikuandmeid oma eesmärkidel, näiteks konto-, arveldus- ja turvalisusandmeid, tegutseme vastutava töötlejana oma privaatsusteatise alusel ja see leping sellele andmele ei kehti.
2. Juhised
Töötleme isikuandmeid ainult sinu dokumenteeritud juhiste alusel. Sapita kasutamine, sealhulgas selle seaded ja tegevused, on juhis. Kui arvame, et juhis rikub GDPR-i või muud seadust, teatame sellest sulle ja ei pea juhist järgima, kuni see on selgitatud.
3. Konfidentsiaalsus
Kõik isikud, kellel on õigus isikuandmeid töödelda, on kohustunud hoidma konfidentsiaalsust või on seotud sobiva salastatuse kohustusega. Nende juurdepääs piirdub teenuse vajadusega.
4. Turvalisus
Rakendame riskiga proportsionaalseid tehnilisi ja korralduslikke meetmeid vastavalt GDPR artiklile 32. Kokkuvõtlikult hõlmavad need andmete krüptimist edastamisel ja salvestamisel, juurdepääsukontrolli, sh kontode kaheastmelist sisselogimist ja piiratud, logitud töötajate juurdepääsu, iga ettevõtte andmete eraldamist teistest, krüpteeritud varukoopiaid korrapäraste taastamiskatsetega ning teenuse jälgimist väärkasutuse suhtes.
Võime neid meetmeid uuendada, eeldusel et kaitse tase ei lange.
5. Alltöötlejad
Annad meile üldise loa kaasata alltöötlejaid, kes on nimetatud alltöötlejate loendis. Iga alltöötleja on seotud kirjaliku lepinguga, mille kohustused vastavad sellele lepingule.
Teatame sulle igast kavandatavast alltöötleja lisamisest või asendamisest vähemalt 30 päeva enne selle jõustumist, e-kirjaga ja loendis. Selle aja jooksul võid põhjendatud andmekaitsealustel vastu vaielda. Kui vastuväidet ei saa lahendada, võid oma tellimuse lõpetada.
Vastutame sinu ees oma alltöötlejate tegevuse eest.
6. Abi sinu kohustuste täitmisel
Arvestades töötlemise olemust, aitame sind vastata inimeste taotlustele, kes kasutavad oma õigusi. Sapita eksport- ja kustutamisvahendid ning meie kontaktvorm toetavad seda. Aitame sind ka täita GDPR artiklite 32–36 kohaseid kohustusi, sealhulgas rikkumisest teavitamist ja mõjuhinnanguid, kui meil on vajalik teave.
7. Isikuandmete rikkumised
Kui saame teada isikuandmete rikkumisest, mis mõjutab sinu jaoks töödeldavaid andmeid, teatame sulle sellest viivitamatult. Teade kirjeldab rikkumist nii täpselt, kui me teame, selle tõenäolisi tagajärgi ning meetmeid, mida oleme võtnud või kavandame.
Hoiame sind kursis, kui saame rohkem teada, ja aitame sind järelevalveasutusele ja asjaomastele isikutele tehtavate teatistega.
8. Teave ja auditid
Teeme kättesaadavaks teabe, mis näitab, et täidame selle lepingu kohustusi, ja vastame mõistlikele kirjalikele küsimustikele oma töötlemise kohta. Tõendid esitame dokumentide ja kokkuvõtetena. Kohapealne audit ei kuulu sellesse lepingusse, kui me sellega kirjalikult ei nõustu.
9. Tagastamine ja kustutamine
Saad oma andmed igal ajal eksportida. Lepingu lõppemisel jäävad andmed ainult lugemiseks ja eksporditavaks seadusega ettenähtud säilitusajaks. Pärast seda kustutame need, välja arvatud juhul, kui seadus nõuab nende säilitamist. Kustutatud andmed võivad jääda varukoopiatesse, kuni need vananevad. Kinnitame kustutamise, kui palud.
10. Rahvusvahelised andmeedastused
Isikuandmeid töödeldakse Euroopa Liidus. Kui alltöötleja edastab andmeid väljapoole Euroopa Majanduspiirkonda, tagame, et kehtib sobiv kaitsemeede GDPR V peatüki kohaselt, nagu alltöötlejate loend ja privaatsusteatis kirjeldavad.
11. Vastutus, kohaldatav õigus ja eelisõigus
Selle lepingu alusel tekkiv vastutus on allutatud kasutustingimustes sätestatud piirangutele. Seda lepingut reguleerib Eesti õigus ja kohtud, mis on nimetatud tingimustes, on pädevad. Kui see leping on isikuandmete töötlemist puudutavate tingimustega vastuolus, kehtib see leping.
Lisa A. Töötlemise kirjeldus
- Ese ja eesmärk: Sapita pakkumine, raamatupidamisteenus, sh sinu raamatute ja dokumentide salvestamine, kuvamine, eksport ja kustutamine.
- Kestus: sinu tellimuse periood ja sellele järgnev seadusega ettenähtud säilitusaeg.
- Andmesubjektid: sinu töötajad, juhatuse liikmed ja kontohaldajad, sinu kliendid ja tarnijad (sh füüsilisest isikust ettevõtjad) ning inimesed, kes sulle arveid saadavad.
- Isikuandmete liigid: nimed, kontaktandmed, ettevõtte ja registriandmed, pangakontode numbrid, arve- ja maksedetailid, aadressid ning sinu üleslaaditud dokumentide sisu.
Lisa B. Alltöötlejad
Alltöötlejad, kes töötlevad Sapita jaoks isikuandmeid, ja nende tegevus on järgmine. Alltöötlejate loend annab nende asukohad.
- UpCloud: Sapita klastri ja selle plokksalvestuse hosting.
- Cloudflare: võrgu- ja serva turvalisus, juurdepääsukontroll, robotikontroll, sissetulevate arvete e-kirjade suunamine ning dokumentide ja varukoopiate salvestamine.
- Cloudflare Email Service: transaktsioonilised e-kirjad.
- Stripe: maksed, tellimuste arveldus ja tellimuste arved.
- Google Firebase Cloud Messaging: push-teated mobiilirakenduse kasutajatele, kes need sisse lülitavad.