Isikuandmete töötlemise leping

1. Lepingupooled ja ese

See leping sõlmitakse kliendi kui vastutava töötleja ja EAS International, Klybeckstr. 141, 4057 Basel, Schweiz kui volitatud töötleja (Teenusepakkuja) vahel. Teenusepakkuja esindaja ELis GDPR artikli 27 kohaselt: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Lepingu ese on isikuandmete töötlemine, mida klient sisestab teenusesse Batteriepass Online või kogub selle kaudu. Töötlemise laad, eesmärk, andmeliigid ja andmesubjektide kategooriad on kirjeldatud lisas 1. Leping kehtib teenuselepingu kehtivuse ajal, sealhulgas üldtingimuste punkti 8 kohases kirjutuskaitstud etapis.

2. Juhised

Teenusepakkuja töötleb andmeid üksnes teenuselepingu raames ja kliendi dokumenteeritud juhiste alusel. Klient annab juhiseid tarkvara funktsioone kasutades (nt passi avaldamine, juurdepääsutasemete määramine, tarnijapäringu saatmine, eksport, kustutamine) ning kirjalikku taasesitamist võimaldavas vormis aadressile info@batteriepass-online.eu. Kokkulepitud ulatust ületavaid juhiseid käsitletakse muudatustaotlustena ja nende eest võidakse võtta eraldi tasu.

Kui Teenusepakkuja peab juhist õigusvastaseks, teavitab ta sellest viivitamata klienti ja võib täitmise peatada kuni juhise kinnitamiseni.

Passisisu kättesaadavaks tegemine üldsusele, õigustatud huviga isikutele ja ametiasutustele toimub vastavalt määrusele (EL) 2023/1542 kliendi valitud konfiguratsioonis ja seda loetakse kliendi juhiseks.

3. Teenusepakkuja kohustused

• Konfidentsiaalsus: kõik töötlemisse kaasatud isikud on kohustatud hoidma konfidentsiaalsust. Kliendiandmetele pääsetakse juurde ainult siis, kui see on vajalik käitamiseks, toeks või vigade kõrvaldamiseks.
• Turvalisus: Teenusepakkuja rakendab lisas 3 nimetatud tehnilisi ja korralduslikke meetmeid ning kohandab neid tehnika arengutasemega kaitsetaset alandamata.
• Abi: Teenusepakkuja abistab klienti tarkvara vahenditega (eksport, parandamine, kustutamine, juurdepääsulogi) andmesubjektide õiguste tagamisel ning andmekaitsealaste mõjuhinnangute ja järelevalveasutusega konsulteerimise puhul, niivõrd kui teave on Teenusepakkuja käsutuses.
• Teavitamine: Teenusepakkuja teavitab klienti kliendiandmeid puudutavatest isikuandmetega seotud rikkumistest põhjendamatu viivituseta, hiljemalt 48 tunni jooksul pärast teadasaamist, kontol salvestatud e-posti aadressile, esitades GDPR artikli 33 lõike 3 kohase olemasoleva teabe.
• Andmesubjektide taotlused: kui andmesubjektid pöörduvad otse Teenusepakkuja poole, edastab ta taotluse kliendile ilma ise sisuliselt vastamata, kui taotlus puudutab kliendiandmeid.
• Tõendamine: Teenusepakkuja teeb taotluse korral kättesaadavaks teabe, mis on vajalik käesoleva lepingu järgimise tõendamiseks, eelkõige lisas 3 nimetatud meetmete kirjelduse ja turvaintsidentide aruanded.
• Kustutamine: pärast töötlemise lõppemist kustutab Teenusepakkuja andmed vastavalt üldtingimuste punktile 8, välja arvatud juhul, kui kehtib seadusjärgne säilitamiskohustus. Avaldatud akupasside puhul loetakse säilitamiskohustuseks määruse (EL) 2023/1542 artikli 77 lõike 8 kohast seadusjärgset kohustust hoida neid kättesaadavana.

4. Kliendi kontrolliõigused

Klient võib käesoleva lepingu järgimist kontrollida kord aastas ja konkreetse põhjuse olemasolul. Kontroll toimub eelkõige dokumentide, aruannete ja alamtöötlejate kinnituste läbivaatamise teel. Kohapealne kontroll on võimalik pärast mõistliku tähtajaga (vähemalt 14 päeva) etteteatamist tavalisel tööajal, kui see ei ohusta teiste klientide andmeid. Kontrollide eest, mis ületavad ühe kontrolli aastas või mis ei ole põhjustatud intsidendist, võib Teenusepakkuja nõuda tekkinud kulu hüvitamist mõistliku määra alusel.

5. Alamtöötlejad

Klient nõustub lisas 2 loetletud alamtöötlejate (teiste volitatud töötlejate) kasutamisega. Teenusepakkuja seob need siin kokkulepituga samaväärsete andmekaitsekohustustega.

Teenusepakkuja teavitab klienti kavandatavatest muudatustest (lisamine või asendamine) vähemalt 30 päeva ette e-postiga. Klient võib selle tähtaja jooksul olulistel andmekaitselistel põhjustel esitada vastuväite. Vastuväite korral võib kumbki pool teenuselepingu muudatuse kuupäeva seisuga üles öelda; üldtingimuste punkt 8 jääb kehtima.

6. Töötlemine kolmandates riikides

Andmeid hoitakse Saksamaal asuvates serverites. Teenusepakkuja on asutatud Šveitsis, mille kohta on olemas Euroopa Komisjoni kaitse piisavuse otsus; seetõttu on juurdepääs Šveitsist lubatud. Töötlemine teistes kolmandates riikides toimub ainult kliendi nõusolekul ja GDPR V peatüki kohaste asjakohaste kaitsemeetmete alusel.

7. Kliendi kohustused

Klient vastutab töötlemise seaduslikkuse eest, eelkõige füüsiliste isikute kohta passides teabe avaldamise õigusliku aluse, andmesubjektide teavitamise ning tarnijate ja taotlejatega ühenduse võtmise seaduslikkuse eest. Ta määrab juurdepääsutasemed ja juurdepääsuload omal vastutusel ning kontrollib, et tarkvara kaudu kättesaadavaks tehtud andmed vastavad õigusnõuetele.

Klient määrab kontol andmekaitseküsimustes kättesaadava e-posti aadressi ja hoiab selle ajakohasena.

8. Vastutus, kehtivus, lõppsätted

Vastutuse suhtes kohaldatakse üldtingimuste punkti 11; GDPR artikkel 82 jääb kehtima. See leping lõpeb koos teenuselepinguga, kuid kehtib edasi seni, kuni Teenusepakkuja hoiab kliendiandmeid üldtingimuste punkti 8 kohaselt kättesaadavana. Muus osas kohaldatakse üldtingimuste lõppsätteid. Käesoleva lepingu ja üldtingimuste vastuolu korral on andmekaitseküsimustes ülimuslik käesolev leping.

Lisa 1 – Töötlemise ese

• Laad ja eesmärk: akupasside sisu ja seotud dokumentide majutamine, salvestamine, kuvamine, eksportimine ja edastamine; e-kirjade saatmine kliendi nimel (tarnijapäringud, juurdepääsuotsused); kaitstud sisule juurdepääsu logimine; API ja webhook’ide pakkumine.
• Andmeliigid: kliendi, tema tarnijate ja juurdepääsuloa taotlejate kontaktisikute nimed, ametikohad ja kontaktandmed (e-posti aadress, organisatsioon, roll, eesmärk, tõendid); passiväljade ja dokumentide sisu, kui need sisaldavad teavet füüsiliste isikute kohta (nt ettevõtja vastutav isik, vastavusdeklaratsioonide allkirjastajad); juurdepääsulogid (kärbitud räsitud IP-aadress, user agent, kellaaeg, juurdepääsutase); andmed, mida klient API-le edastab.
• Andmesubjektide kategooriad: kliendi, tema tarnijate ja äripartnerite töötajad ja kontaktisikud; isikud, kes taotlevad juurdepääsu kaitstud passisisule (ametiasutused, remondi- ja ringlussevõtuettevõtjad, ostjad); avalike passilehtede külastajad.
• Eriliigilised isikuandmed (GDPR artikkel 9) ei ole töötlemise ese; klient ei sisesta selliseid andmeid tarkvarasse.

Lisa 2 – Alamtöötlejad

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Saksamaa – andmekeskuse teenused (serverid, andmebaas, dokumendihoidla, varukoopiad) Falkensteinis ja Nürnbergis.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Saksamaa – e-kirjade saatmine kliendi nimel.
• Stripe Payments Europe Ltd., Dublin, Iirimaa, töötleb kliendi makseandmeid iseseisva vastutava töötlejana ega ole käesoleva lepingu tähenduses kliendiandmete alamtöötleja.

Lisa 3 – Tehnilised ja korralduslikud meetmed

• Füüsiline ja süsteemidele juurdepääs: serverid ISO 27001 sertifikaadiga Hetzneri andmekeskustes; haldus ainult võtmepõhise SSH ja privaatvõrgu kaudu; andmebaas ei ole avalikust internetist kättesaadav.
• Andmetele juurdepääs: rollipõhised õigused (omanik, toimetaja, vaataja) organisatsiooni kaupa; klientide eraldamine andmebaasi tasandil organisatsiooni ID kaudu igas päringus; passisisu juurdepääsutasemeid (avalik, õigustatud huvi, ametiasutus) jõustatakse serveri poolel ühes filtrifunktsioonis.
• Autentimine: paroolid scrypt-räsidena; seansid juhuslike tõenditega andmebaasis, 30 päeva; e-posti kinnitamine enne kirjutusõigust; sisselogimis-, registreerimis- ja lähtestamiskatsete piirangud; API-võtmed salvestatakse ainult räsidena.
• Edastamine: TLS kõigi ühenduste jaoks; Content Security Policy; allkirjastatud webhook’id (HMAC) krüpteeritult salvestatud saladustega.
• Terviklus: iga passi avaldamine loob versiooni koos räsiahelaga (eelmine räsi); kõigi kirjutustoimingute auditilogi; enne lepinguliste tähtaegade möödumist midagi füüsiliselt ei kustutata.
• Kättesaadavus: andmebaasi ja dokumendihoidla igapäevane varundamine vähemalt 30-päevase säilitamisega teises asukohas; regulaarsed taastetestid; kättesaadavuse seire.
• Eraldamine: tootmisandmed on eraldatud arendus- ja testkeskkondadest; paketi Pilot passid on märgistatud testandmetena.
• Korraldus: tarkvarasse sisse ehitatud võimalikult väheste andmete kogumine (ainult passi jaoks nõutavad väljad); turvaülevaatus teenuse iga muudatuse korral; intsidentide dokumenteerimine; süsteemikomponentide regulaarsed uuendused.