Andmetöötlusleping
Kasutustingimuste lisa · versioon 1.0 · kehtib alates 11. novembrist 2026
See leping on kasutustingimuste lahutamatu osa. See kehtib, kui ZERPY-d kasutav ettevõte (klient, vastutav töötleja) sisestab teenusesse isikuandmeid ja Giffi OÜ (registrikood 12483222, Erna põik 12, 76907 Suurupi, Eesti; töötleja) töötleb neid kliendi nimel. Leping vastab isikuandmete kaitse üldmääruse (GDPR) artikli 28 nõuetele.
1. Töötlemise ese ja kestus
| Ese | ZERPY teenuse osutamine: andmete hoidmine, kuvamine, töötlemine kliendi tegevuste järgi, dokumentide ja e-kirjade koostamine ja saatmine, liidestused. |
| Kestus | Teenuse kasutamise ajal ja pärast seda kuni andmete kustutamiseni (vt punkt 9). |
| Eesmärk | Ainult teenuse osutamine kliendile. |
| Andmesubjektid | Kliendi töötajad ja kasutajad; kliendi kliendid, tarnijad ja nende kontaktisikud; partneriportaali kasutajad; veebivestluse külastajad; muud isikud, kelle andmeid klient teenusesse sisestab. |
| Andmete liigid | Nimed, e-posti aadressid, telefoninumbrid, aadressid, registri- ja käibemaksunumbrid, tellimuste, saadetiste, arvete ja maksete andmed, garantiinõuete vestlused ja failid, ülesannete kommentaarid ja failid, veebivestluse sõnumid, märkmed. |
Klient ei tohi teenusesse sisestada eriliiki isikuandmeid (nt terviseandmed), kui see pole teenuse kasutamiseks vältimatult vajalik.
2. Töötleja kohustused
Töötleja:
- töötleb isikuandmeid ainult kliendi dokumenteeritud juhiste järgi. Juhised on kasutustingimused, see leping ning kliendi ja tema kasutajate tegevused teenuses (nt e-kirja saatmine, liidestuse sisselülitamine). Kui juhis tundub seadusega vastuolus olevat, teavitab töötleja klienti;
- tagab, et andmeid töötlevad isikud on kohustunud hoidma konfidentsiaalsust;
- rakendab punktis 4 kirjeldatud turvameetmeid;
- kasutab alamtöötlejaid ainult punkti 5 kohaselt;
- aitab klienti andmesubjektide taotlustele vastamisel (punkt 6);
- aitab klienti turvalisuse, rikkumisest teavitamise, mõjuhinnangu ja eelneva konsulteerimise kohustuste täitmisel, arvestades töötlemise laadi ja töötlejale kättesaadavat teavet;
- kustutab või tagastab andmed lepingu lõppedes (punkt 9);
- annab kliendile teavet, mis on vajalik selle lepingu täitmise tõendamiseks (punkt 8).
Töötleja ei kasuta kliendi andmeid oma eesmärkidel, ei müü neid ega kasuta reklaamiks.
3. Kliendi kohustused
Klient vastutab, et tal on andmete töötlemiseks õiguslik alus, et andmesubjekte on töötlemisest teavitatud ja et sisestatud andmed on õiged. Klient haldab oma kasutajate ligipääsu ja rolle.
4. Turvameetmed
- Kõik ühendused on krüpteeritud (TLS/HTTPS). Rakendus ja andmebaas asuvad EL-is (Frankfurt).
- Iga kliendi andmed on loogiliselt eraldatud. Iga päring kontrollitakse serveris ettevõtte ja rolli järgi, ning andmebaasi tabelitele on otsene ligipääs väljastpoolt suletud.
- Salasõnu hoitakse räsina. Liidestuste salajased võtmed ja webhookide allkirjavõtmed on krüpteeritud (AES-GCM). API-võtmetest hoitakse ainult räsi.
- Privaatsed failid on suletud failihoidlas ja neid väljastatakse ainult õiguste kontrolli järel. Üleslaetud pildid töödeldakse ümber ja metaandmed (nt GPS) eemaldatakse.
- Rollipõhised õigused, sealhulgas omahinnad, mida osa rollidest ei näe. Tegevuste logi, sisselogimiste ajalugu ja turvateated uutest seadmetest ja olulistest muudatustest.
- Veebiturbe kaitsed (nt CSRF-kaitse, sisu turbepoliitika, sisendi kontroll, päringute piirangud).
- Andmebaasi regulaarsed varukoopiad teenusepakkuja juures.
Töötleja võib meetmeid ajakohastada, kui turvatase sellega ei vähene.
5. Alamtöötlejad
Klient annab üldise loa kasutada järgmisi alamtöötlejaid:
| Alamtöötleja | Teenus | Andmete asukoht |
|---|---|---|
| DigitalOcean, LLC | Rakenduse serverid | Frankfurt, Saksamaa |
| Supabase, Inc. | Andmebaas, autentimine, failide hoidmine | Frankfurt, Saksamaa |
| Sendinblue SAS (Brevo) | E-kirjade saatmine | EL |
Töötleja sõlmib alamtöötlejatega lepingud, mis tagavad sama kaitsetaseme kui see leping. Uue alamtöötleja lisamisest teavitab töötleja klienti vähemalt 30 päeva ette. Klient võib põhjendatud vastuväite korral teenuse kasutamise lõpetada.
Kliendi valitud teenused ei ole alamtöötlejad. Kui klient lülitab sisse liidestuse (nt Merit Aktiva, Montonio, e-pood API kaudu, webhookid, AI-vestlus kliendi enda Anthropicu või OpenAI võtmega) või kasutaja ühendab AI-assistendi (nt Claude, ChatGPT), edastab töötleja andmed sinna kliendi juhise järgi. Nende teenuste ja kliendi vahelisele suhtele kehtivad nende pakkujate tingimused.
Kui andmeid töödeldakse väljaspool Euroopa Majanduspiirkonda, tagab töötleja GDPR-i V peatüki kohased kaitsemeetmed (nt standardlepingutingimused).
6. Andmesubjektide taotlused
Enamiku taotlusi saab klient ise täita: andmeid saab teenuses vaadata, parandada, kustutada ja alla laadida. Kui see pole võimalik, aitab töötleja mõistliku aja jooksul. Kui töötleja saab taotluse otse andmesubjektilt, suunab ta selle kliendile.
7. Isikuandmetega seotud rikkumised
Töötleja teavitab klienti isikuandmetega seotud rikkumisest põhjendamatu viivituseta, võimaluse korral 48 tunni jooksul pärast sellest teadasaamist. Teates kirjeldatakse rikkumise laadi, puudutatud andmeid ja andmesubjekte, tõenäolisi tagajärgi ja võetud meetmeid. Töötleja aitab klienti järelevalveasutuse ja andmesubjektide teavitamisel.
8. Teave ja auditid
Töötleja annab kliendi põhjendatud taotluse korral teavet selle lepingu täitmise kohta. Kui kirjalikust teabest ei piisa, võib klient mõistliku etteteatamisega ja oma kulul korraldada auditi kuni kord aastas. Audit ei tohi ohustada teiste klientide andmete konfidentsiaalsust.
9. Andmete kustutamine ja tagastamine
Pärast teenuse lõppemist saab klient 30 päeva jooksul oma andmed alla laadida. Seejärel kustutab töötleja kliendi isikuandmed hiljemalt 90 päeva jooksul, välja arvatud juhul, kui seadus nõuab säilitamist. Varukoopiatest kustuvad andmed nende tavapärase vahetumise käigus.
10. Vastutus ja kehtivus
Poolte vastutusele kehtivad kasutustingimuste vastutuse sätted, kui GDPR ei näe ette teisiti. Leping kehtib nii kaua, kuni töötleja töötleb kliendi isikuandmeid. Vastuolu korral kasutustingimustega on isikuandmete töötlemise osas ülimuslik see leping.
Kontakt
Giffi OÜ · hi@giffi.ee
Vaata ka: Kasutustingimused · Privaatsusteade