Andmetöötluslepe

1. Reguleerimisala ja rollid

See andmetöötluslepe ("DPA") on osa teenuse kasutustingimustest Rediacc OÜ ("Rediacc", "volitatud töötleja") ja kliendi vahel, kui klient kasutab teenuseid ettevõttena ja Rediacc töötleb kliendi isikuandmeid kliendi nimel. Teenuse kasutustingimustes määratletud mõistetel on siin sama tähendus. See leht on koostatud inglise keeles. Tõlked on esitatud üksnes mugavuse huvides; kui tõlge erineb ingliskeelsest versioonist, kehtib ingliskeelne versioon.

Kliendi isikuandmete puhul on klient vastutav töötleja (või oma vastutava töötleja nimel tegutsev volitatud töötleja) ning Rediacc on volitatud töötleja (või alltöötleja). Konto-, arveldus- ja nõustumiskirjete ning telemetria andmete puhul on Rediacc iseseisev vastutav töötleja, nagu on kirjeldatud privaatsuspoliitikas, ning see DPA sellele töötlemisele ei kehti.

Kliendi masinatel olevaid kliendiandmeid Rediacc ei töötle. Krüpteeritud konfiguratsioonisalvestus ja majutatud varukoopiad krüpteeritakse võtmetega, mida Rediaccil ei ole, seega Rediacc salvestab need andmeplokid, kuid ei saa nende sisu lugeda.

2. Mõisted

• "Andmekaitseõigus" tähendab ELi isikuandmete kaitse üldmäärust (määrus (EL) 2016/679, "GDPR"), Ühendkuningriigi GDPR-i ja mis tahes muud andmekaitseõigust, mida kohaldatakse selle DPA kohasele töötlemisele.
• "Kliendi isikuandmed" tähendab isikuandmeid, mida Rediacc töötleb kliendi nimel platvormi osutamisel, näiteks kliendi kutsutud volitatud kasutajate ja meeskonnaliikmete nimed ja e-posti aadressid ning krüpteeritud andmed, mida klient platvormil hoiab.
• "Isikuandmetega seotud rikkumine", "töötlemine", "vastutav töötleja", "volitatud töötleja" ja "andmesubjekt" on GDPR-is antud tähendusega.
• "SCC" tähendab Euroopa Komisjoni rakendusotsusega (EL) 2021/914 kinnitatud standardseid lepingutingimusi.
• "Alltöötleja" tähendab kolmandat osapoolt, kelle Rediacc on kaasanud kliendi isikuandmete töötlemiseks.

3. Töötlemine juhiste alusel

Rediacc töötleb kliendi isikuandmeid ainult kliendi dokumenteeritud juhiste alusel, milleks on teenuse kasutustingimused, see DPA ning kliendi teenuste kasutus ja seadistus, kui õigus ei nõua teisiti; sel juhul teavitab Rediacc klienti enne töötlemist, kui õigus seda ei keela. Rediacc teavitab klienti, kui ta leiab, et juhis rikub andmekaitseõigust.

4. Töötlemise üksikasjad

• Teema ja eesmärk: platvormi osutamine, sealhulgas konto ja meeskonna haldus, litsentside väljastamine, krüpteeritud konfiguratsioonisalvestus, majutatud varukoopiasalvestus ja tugi
• Kestus: teenuse kasutustingimuste kehtivusaeg ning jaotises 11 sätestatud kustutamisperiood
• Töötlemise laad: kogumine, säilitamine, edastamine, päringute tegemine ja kustutamine
• Andmesubjektide kategooriad: kliendi volitatud kasutajad, kutsutud meeskonnaliikmed ja partnerite kontaktisikud
• Isikuandmete kategooriad: nimed, e-posti aadressid, organisatsioon ja roll, autentimisandmed (paroolide räsid, pääsuvõtmete (passkey) avalikud võtmed), seansside võrguaadressid ja kasutajaagendid ning kõik isikuandmed krüpteeritud andmetes, mida klient platvormil hoiab
• Eriliigid: ei ole ette nähtud; klient ei tohi platvormil krüpteerimata kujul hoida eriliigilisi andmeid

5. Konfidentsiaalsus

Rediacc tagab, et iga kliendi isikuandmete töötlemiseks volitatud isikut seob konfidentsiaalsuskohustus.

6. Turvalisus

Rediacc rakendab GDPR artikli 32 kohaselt asjakohaseid tehnilisi ja korralduslikke meetmeid, sealhulgas:

• krüpteerimine edastamisel (TLS 1.2 või uuem) ja puhkeolekus ning konfiguratsioonisalvestuse ja majutatud varukoopiate kliendipoolne krüpteerimine võtmetega, mida Rediaccil ei ole
• juurdepääs tootmissüsteemidele on piiratud volitatud töötajatega ja nõuab mitmefaktorilist autentimist
• klientide andmete loogiline eraldamine ja piirkondlik andmesalvestus
• tootmissüsteemide logimine ja jälgimine ning turvameetmete regulaarne testimine

7. Alltöötlejad

Klient lubab Rediaccil kaasata alltöötlejaid. Rediacc kehtestab igale alltöötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui see DPA, ning vastutab oma alltöötlejate tegevuse eest. Praegused alltöötlejad on:

• Cloudflare, Inc. (Ameerika Ühendriigid; ülemaailmne võrk): kontoportaali ja API majutamine (Workers), kontoandmebaas (D1), majutatud varukoopia- ja objektisalvestus (R2), sisuedastus ja DNS ning vormide robotikaitse (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service AWS-i piirkonnas, mis teenindab kliendi konto piirkonda): tehinguliste e-kirjade, näiteks sisselogimislinkide, teadete ja arvete edastamine
• Stripe, Inc. ja tema sidusettevõtted (Ameerika Ühendriigid ja Iirimaa): maksete töötlemine, tellimuste arveldamine, arvete esitamine ja maksude arvutamine tasuliste tellimuste puhul
• Hostinger (virtuaalserverid Euroopa Liidus): telemetria ja jälgitavuse lõpp-punkti (otlp.rediacc.io) majutamine, mis võtab vastu telemetria andmeid ja teenuselogisid

Rediacc annab vähemalt kolmkümmend (30) päeva ette teada enne alltöötleja lisamist või asendamist, uuendades seda lehte ja teavitades konto e-posti aadressi. Klient võib selle aja jooksul esitada vastuväite mõistlikel andmekaitseteemalistel põhjustel. Kui pooled ei suuda vastuväidet lahendada, võib klient mõjutatud teenused lõpetada ja saada lõpetamisele järgneva perioodi eest ettemakstud tasud tagasi.

Veebisaidi analüütika (Plausible) ei töötle kliendi isikuandmeid ja kuulub privaatsuspoliitika alla.

8. Rahvusvahelised edastamised

Kui kliendi isikuandmeid edastatakse Euroopa Majanduspiirkonnast väljapoole riiki, millel ei ole piisavuse otsust, lisatakse SCC viitamise teel sellesse DPA-sse: teine moodul (vastutavalt töötlejalt volitatud töötlejale), kui klient on vastutav töötleja, ja kolmas moodul (volitatud töötlejalt volitatud töötlejale), kui klient on volitatud töötleja. SCC puhul: kohaldatakse valikulist liitumisklauslit (klausel 7); kohaldatakse klausli 9 punkti a varianti 2 (üldine luba) jaotises 7 sätestatud etteteatamisajaga; klausli 11 valikulist sõnastust ei kohaldata; klauslites 17 ja 18 valitud õigus ja kohtud on riigi Eesti omad; I ja II lisa täidetakse selle DPA jaotistega 1, 4 ja 6 ning III lisa jaotisega 7.

Ühendkuningriigi GDPR-i alla kuuluvate edastamiste puhul kohaldatakse koos SCC-ga Ühendkuningriigi teabevolinik välja antud rahvusvahelise andmeedastuse lisa (International Data Transfer Addendum). Rediacc tugineb ELi ja USA andmekaitseraamistikule (EU-US Data Privacy Framework) nende alltöötlejate puhul, kes on selle alusel sertifitseeritud.

9. Andmesubjekti taotlused ja abi

Rediacc edastab kliendile viivitamata iga andmesubjekti taotluse kliendi isikuandmete kohta ega vasta sellele ise, välja arvatud kliendi juhiste alusel. Võttes arvesse töötlemise laadi, aitab Rediacc klienti selliste taotlustega tegelemisel ja tema kohustuste täitmisel GDPR artiklite 32 kuni 36 alusel, sealhulgas andmekaitsealaste mõjuhinnangute ja eelnevate konsultatsioonide puhul.

10. Isikuandmetega seotud rikkumine

Rediacc teavitab klienti põhjendamatu viivituseta ja igal juhul seitsmekümne kahe (72) tunni jooksul pärast seda, kui ta on saanud teada kliendi isikuandmeid mõjutavast isikuandmetega seotud rikkumisest. Teade kirjeldab teadaolevas ulatuses rikkumise laadi, mõjutatud andmesubjektide ja kirjete kategooriaid ning ligikaudset arvu, tõenäolisi tagajärgi ning võetud või kavandatud meetmeid. Rediacc võtab mõistlikke samme rikkumise piiramiseks ja kõrvaldamiseks.

11. Kustutamine või tagastamine

Teenuste lõppedes võib klient eksportida kliendi isikuandmed kolmekümne (30) päeva jooksul. Seejärel kustutab Rediacc kliendi isikuandmed aktiivsetest süsteemidest ja üheksakümne (90) päeva jooksul varukoopiatest, välja arvatud juhul, kui õigus kohustab Rediacci neid säilitama.

12. Auditid

Rediacc teeb kliendile kättesaadavaks teabe, mis on vajalik GDPR artikli 28 järgimise tõendamiseks, peamiselt kirjalike vastustena mõistlikele turvaküsimustikele ning Rediacc ja tema alltöötlejate olemasolevate auditiaruannete ja sertifikaatide kaudu. Kui see teave ei piisa või järelevalveasutus seda nõuab, võib klient oma kulul auditi läbi viia, andes sellest kolmkümmend (30) päeva ette teada, tööaja jooksul, mitte rohkem kui kord aastas, konfidentsiaalsuskohustuste all ja nii, et see ei häiri teenuseid ega teisi kliente.

13. Vastutus ja ülimuslikkus

Kummagi poole vastutuse suhtes selle DPA alusel kehtivad teenuse kasutustingimuste piirangud, välja arvatud juhul, kui andmekaitseõigus seda ei luba. Kui see DPA on teenuse kasutustingimustega vastuolus, kehtib kliendi isikuandmete töötlemisel see DPA; kui SCC on selle DPA-ga vastuolus, kehtivad SCC.

14. Selle DPA allikas

Osad sellest DPA-st on kohandatud dokumendist Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1), mille on avaldanud Common Paper, Inc. litsentsi Creative Commons Attribution 4.0 International (CC BY 4.0) alusel. Teksti on muudetud: see on ümber struktureeritud, lühendatud ja teenustele kohandatud. Common Paper, Inc. ei kinnita seda DPA-d.