Privaatsusteade

1. Vastutav töötleja

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-post: info@batteriepass-online.eu

Meil ei ole GDPR artikli 37 kohaselt kohustust määrata andmekaitseametnikku. Palun saada andmekaitsealased päringud ülaltoodud e-posti aadressile.

1a. Esindaja ELis (GDPR artikkel 27)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-post: info@batteriepass-online.eu

Andmesubjektid ja järelevalveasutused ELis võivad pöörduda esindaja poole kõigis töötlemisega seotud küsimustes; esindaja tegutseb vastutava töötleja nimel.

2. Meie roll: vastutav või volitatud töötleja

Kliendikontode, arvelduse, turvalisuse ja veebisaidi käitamise osas oleme vastutav töötleja. See teade kirjeldab seda töötlemist.

Akupasside sisu, üleslaaditud dokumendid, tarnijate kontaktid ja juurdepääsutaotlused sisestavad tarkvarasse meie kliendid (ettevõtjad). Nende andmete puhul on vastutav töötleja vastav klient ja meie oleme tema volitatud töötleja GDPR artikli 28 alusel, lähtudes meie isikuandmete töötlemise lepingust (/avv). Nende andmete osas peaksid andmesubjektid pöörduma passis nimetatud ettevõtja poole; edastame päringud.

3. Veebisaidi külastamine

Kui avad meie lehti, töötleb meie server sinu IP-aadressi, päritud aadressi ja brauseri tunnust (user agent), et lehte edastada ja rünnakuid tõrjuda (GDPR artikli 6 lõike 1 punkt f). Meie eesmine veebiserver logib IP-aadressi, kellaaja, päritud aadressi, olekukoodi ja user agenti, et avastada rünnakuid ja kuritarvitusi; see serverilogi kustutatakse automaatselt seitsme päeva pärast. Peale selle töödeldakse IP-aadressi ainult päringupiirangu loendurites (punkt 5) ning kärbituna ja räsituna kaitstud passisisu juurdepääsulogis (punkt 7).

Me ei kasuta analüüsijälgijaid, sotsiaalmeedia pistikprogramme ega väliseid fonte. Kasutame Google Adsi oma reklaamide tulemuslikkuse mõõtmiseks ainult sinu nõusolekul (punkt 4).

4. Küpsised

Tehniliselt vajalikud küpsised ja salvestuskirjed, mille jaoks nõusolekut ei ole vaja (TDDDG § 25 lõike 2 punkt 2):

• bpo_session: sisselogimine kliendialasse; kehtivus 30 päeva, kustutatakse väljalogimisel.
• bpo_access: jätab meelde juurdepääsuloa mitteavalikule passisisule (õigustatud huvi või ametiasutus); kehtivus vastavalt loale.
• bpo_consent (brauseri kohalik salvestusruum): salvestab sinu küpsisevaliku; kehtivus 12 kuud.
• Google Ads (ainult nõusolekul): kui nõustud küpsisebänneris, lisame Google Adsi konversioonijälgimise (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Iirimaa). Google paigaldab selleks küpsised (nt _gcl_au, kehtivus kuni 90 päeva) ning saab sinu IP-aadressi, külastatud lehed, kellaaja ja brauseri andmed, et mõõta, kas klõps meie reklaamil viis registreerumise või ostuni. Õiguslik alus on sinu nõusolek (GDPR artikli 6 lõike 1 punkt a, TDDDG § 25 lõige 1). Andmete edastamine ettevõttele Google LLC USAs on kaetud ELi–USA andmekaitseraamistikuga (EU-US Data Privacy Framework). Ilma nõusolekuta Google’i koodi ei laadita. Saad oma nõusoleku igal ajal edaspidiseks tagasi võtta jaluses oleva lingi „Küpsiste seaded“ kaudu. Google’i privaatsuspoliitika: https://policies.google.com/privacy

5. Kliendikonto ja organisatsioon

Registreerimisel töötleme nime, e-posti aadressi, ettevõtet ja parooli, mida salvestame ainult räsina (scrypt). Organisatsiooni kohta salvestame juriidilise nime, aadressi, riigi, käibemaksukohustuslase registreerimisnumbri, EORI numbri ja muud ettevõtte tunnused (nt äriregistri- või LEI-kood), mille klient esitab passide ja ELi registreerimise jaoks, samuti paketi ja kvoodid. Lisaks logime viimase sisselogimise aja ja keeleseade.

Eesmärk on pakkuda kliendiala, siduda passid ettevõtjaga ja esitada arveid. Õiguslik alus on lepingu täitmine (GDPR artikli 6 lõike 1 punkt b).

E-posti kinnitused, sisselogimis- ja parooli lähtestamise lingid saadetakse STRATO GmbH (Saksamaa) e-posti teenuse kaudu. Logime saadetud e-kirjad koos saaja, teema, sisu ja kohaletoimetamise olekuga, et kohaletoimetamisprobleeme jälgida; logi kustutatakse kaheteistkümne kuu pärast.

Kuritarvituste vältimiseks piirame sisselogimiskatseid, registreerimisi ja parooli lähtestamisi IP-aadressi ja konto kohta. Selleks salvestame loendureid koos IP-aadressiga kuni 24 tundi (GDPR artikli 6 lõike 1 punkt f). Logime sisselogimiskatsed (õnnestunud ja ebaõnnestunud) koos kellaaja, e-posti aadressi, tulemuse, täieliku IP-aadressi ja user agentiga 90 päeva, et avastada rünnakuid kontodele ja eristada neid olukorrast, kus klient sisestab oma parooli valesti. Seda logi näeb ainult käitaja sisemisel haldusarmatuurlaual, kus see on vaikimisi peidetud kuvamisnupu taha.

6. Maksmine ja arveldus

Tasulisi pakette töödeldakse ettevõtte Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Iirimaa kaudu. Stripe saab nime, e-posti aadressi, ettevõtte aadressi, käibemaksukohustuslase numbri ja makseandmed; kaardi- ja kontoandmeid kogub ainult Stripe ja need ei jõua kunagi meie serveritesse. Salvestame Stripe’i kliendi-ID, tellimuse oleku ja arveandmed.

Stripe on maksete töötlemisel iseseisev vastutav töötleja; kohaldatakse Stripe’i privaatsuspoliitikat (https://stripe.com/privacy). Andmete edastamine ettevõttele Stripe Inc. USAs on kaetud ELi–USA andmekaitseraamistiku ja andmekaitse-tüüpklauslitega.

Õiguslikud alused on lepingu täitmine (GDPR artikli 6 lõike 1 punkt b) ja meie seadusjärgsed säilitamiskohustused (GDPR artikli 6 lõike 1 punkt c). Säilitame arveandmeid kümme aastat.

7. Avalikud akupassid

Avaldatud akupassid on kogu maailmas kättesaadavad oma aadressi (QR-kood) kaudu. Millised andmed on avalikud, nähtavad ainult õigustatud huviga isikutele või ainult ametiasutustele, on ette nähtud määruse (EL) 2023/1542 XIII lisas; tarkvara rakendab neid tasemeid tehniliselt. Avalike andmete hulka kuuluvad ettevõtja nimi ja kontaktandmed; kui tegemist on füüsilise isikuga, vastutab selle eest ettevõtja.

Logime kliendi jaoks juurdepääsu mitteavalikule passisisule koos kellaaja, juurdepääsutaseme, kärbitud räsitud IP-aadressi ja user agentiga. See juurdepääsulogi kustutatakse 90 päeva pärast.

Kes taotleb ametiasutusena või õigustatud huviga isikuna juurdepääsu kaitstud sisule, esitab e-posti aadressi, organisatsiooni, rolli, eesmärgi ja vajaduse korral tõendid. Klient, kes otsustab loa andmise üle, näeb seda teavet; me töötleme seda kliendi nimel.

8. Tarnijavormid, API ja webhook’id

Kliendid saavad tarnijatelt tooteandmeid küsida e-posti lingi kaudu. Selleks salvestame kliendi nimel kliendi sisestatud tarnija e-posti aadressi, töötlemise oleku ja esitatud väärtused.

API jaoks salvestame API-võtmed ainult räsina koos viimase kasutamise ajaga. Webhook’i aadressid ja saladused esitab klient; saladused salvestatakse krüpteeritult. Logime kohaletoimetamiskatsed koos kellaaja, olekukoodi ja vastuse väljavõttega 30 päeva.

9. Majutus ja vastuvõtjad

Kasutame järgmisi teenusepakkujaid, kes töötlevad andmeid meie nimel (GDPR artikkel 28):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Saksamaa: serverid rakenduse, andmebaasi ja dokumendihoidla jaoks Falkensteini ja Nürnbergi andmekeskustes.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Saksamaa: süsteemi e-kirjade saatmine.
• Stripe Payments Europe Ltd., Dublin, Iirimaa: maksete töötlemine (iseseisva vastutava töötlejana, vt punkt 6).

10. Andmete edastamine kolmandatesse riikidesse

Oleme asutatud Šveitsis. Euroopa Komisjon on tunnistanud, et Šveitsis on piisav andmekaitse tase (kaitse piisavuse otsus 2000/518/EÜ, kinnitatud 2024), mistõttu on Šveitsist juurdepääs Saksamaal salvestatud andmetele lubatud. Peale maksete töötlemise Stripe’i kaudu (punkt 6) teistesse kolmandatesse riikidesse andmeid ei edastata.

11. Säilitamistähtajad

• Kliendikonto ja organisatsiooni andmed: kuni konto kustutamiseni, seejärel 30-päevane blokeerimisperiood; arveandmed kümme aastat.
• Sisselogimisseansid: 30 päeva; sisselogimis- ja lähtestamislingid: kuni 24 tundi.
• Veebiserveri logi: seitse päeva. Päringupiirangu loendurid: 24 tundi. Sisselogimislogi: 90 päeva. Kaitstud passisisu juurdepääsulogid: 90 päeva. E-posti logi: kaksteist kuud. Webhook’i kohaletoimetamise logi: 30 päeva.
• Akupassid ja dokumendid: seadusjärgse säilitamistähtaja jooksul vastavalt määruse (EL) 2023/1542 artikli 77 lõikele 8. Pärast lepingu lõppemist jäävad passid kirjutuskaitstud režiimi vähemalt 15 aastaks ja lisaks seni, kuni ringlussevõtust teatatakse; kustutamine vastavalt meie üldtingimustele (punkt 8).
• Kliendiala muudatuste logi (auditilogi): lepingu kehtivuse ajal, et tõendada passide kontrolliahelat.

12. Turvalisus

Kõik ühendused on krüpteeritud TLS-iga. Paroolid salvestatakse scrypt-räsidena, saladused krüpteeritult. Juurdepääs on rollipõhine, sisselogimiskatsed on piiratud ja passide muudatused salvestatakse räsiahelasse. Andmebaas on kättesaadav ainult privaatvõrgust. Varukoopiad tehakse iga päev ja neid säilitatakse 30 päeva.

13. Sinu õigused

Sul on õigus tutvuda andmetega (GDPR artikkel 15), nõuda nende parandamist (artikkel 16), kustutamist (artikkel 17), töötlemise piiramist (artikkel 18), andmete ülekandmist (artikkel 20) ning esitada vastuväiteid õigustatud huvidel põhineva töötlemise suhtes (artikkel 21). Palun võta ühendust aadressil info@batteriepass-online.eu. Vastame ühe kuu jooksul.

Sul on õigus esitada kaebus andmekaitse järelevalveasutusele, Šveitsis föderaalsele andmekaitse- ja teabevolinikule (EDÖB) ning ELis oma elu- või töökoha asutusele.

Me ei tee automatiseeritud üksikotsuseid ega kasuta sinu andmeid reklaamiks ilma sinu eelneva nõusolekuta.

14. Muudatused

Ajakohastame seda teadet, kui meie töötlemine või õiguslik olukord muutub. Kehtiv versioon on alati kättesaadav aadressil /datenschutz; olulistest muudatustest teavitame kliente e-postiga.