Isikuandmete töötlemise leping

Vastutav töötleja: Kontevia teenuse Klient, ettevõte või füüsilisest isikust ettevõtja, kes töötleb isikuandmeid, mis sisalduvad tema raamatupidamisdokumentides ja muudes Teenusesse esitatud andmetes.

Volitatud töötleja: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Tšehhi Vabariik, registrikood 22103741, kantud Praha linnakohtu peetavasse äriregistrisse, toimiku nr C 410771. Andmekaitsealane kontakt: hello@kontevia.com.

1.1. Käesolev leping reguleerib poolte õigusi ja kohustusi, kui Volitatud töötleja töötleb Vastutava töötleja nimel isikuandmeid Kontevia teenuse (edaspidi "Teenus") osutamise käigus.

1.2. Käesolev leping moodustab Tingimuste lahutamatu osa ja jõustub Vastutava töötleja Teenusesse registreerumisel. Leping kehtib seni, kuni Volitatud töötleja töötleb Vastutava töötleja nimel isikuandmeid.

2.1. Volitatud töötleja töötleb isikuandmeid üksnes Teenuse osutamise eesmärgil, nimelt:

• vestluse, e-posti või üleslaadimise kaudu esitatud raamatupidamisdokumentide vastuvõtmine ja digiteerimine;
• andmete eraldamine dokumentidest optilise tähemärgituvastuse ja automaatsete eraldamismudelite abil;
• kategoriseerimine, duplikaatide tuvastamine ja käibemaksukäsitluse ettepanekud;
• arvete ja muude dokumentide väljastamine Vastutava töötleja juhiste alusel;
• Vastutava töötleja ühendatud pangatehingute import ning nende sobitamine dokumentidega;
• kokkuvõtete, aruannete ja Vastutava töötleja raamatupidamissüsteemi või raamatupidajale mõeldud ekspordifailide koostamine;
• dokumentide ja andmete säilitamine Teenuses lepingu kestuse ja andmete eksportimise perioodi jooksul.

2.2. Volitatud töötleja töötleb isikuandmeid ainult Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas juhiste alusel, mis puudutavad andmete edastamist kolmandatesse riikidesse, välja arvatud juhul, kui seda nõuab liidu või liikmesriigi õigus; sel juhul teavitab Volitatud töötleja Vastutavat töötlejat enne töötlemist, kui õigus ei keela seda.

3.1. Andmesubjektid: Vastutava töötleja äripartnerid (tarnijad, kliendid, kontaktisikud), Vastutava töötleja töötajad ja lepingupartnerid, kui töödeldakse palga- või kuludokumente, ning Vastutava töötleja enda Teenuse kasutajad.

3.2. Isikuandmete kategooriad: tuvastamisandmed (nimi, ettevõtte nimi, äriregistri kood ja käibemaksukohustuslase number); kontaktandmed (aadress, e-post, telefon); finantsandmed (arvete summad, pangakonto numbrid, makseviited); tööandmed, kui esitatakse palgadokumente (ametinimetus, palk, kindlustusandmed); Vastutava töötleja kasutajate kasutusandmed.

3.3. Volitatud töötleja ei vaja isikuandmete kaitse üldmääruse artikli 9 tähenduses eriliiki andmeid. Vastutav töötleja kohustub selliseid andmeid Teenuse kaudu mitte esitama, välja arvatud juhul, kui need sisalduvad dokumendis, mida Vastutav töötleja on seaduse kohaselt kohustatud säilitama; sellisel juhul vastutab Vastutav töötleja töötlemise õigusliku aluse eest.

Volitatud töötleja kohustub:

• töötlema isikuandmeid ainult Vastutava töötleja dokumenteeritud juhiste alusel ning ainult Teenuse jaoks vajalikus ulatuses;
• tagama, et isikuandmete töötlemiseks volitatud isikud on võtnud endale konfidentsiaalsuskohustuse või on seotud asjakohase seadusjärgse konfidentsiaalsuskohustusega;
• rakendama isikuandmete kaitse üldmääruse artikliga 32 nõutud tehnilisi ja korralduslikke meetmeid, eelkõige neid, mis on loetletud käesoleva lepingu lisas;
• mitte kaasama teist volitatud töötlejat ilma Vastutava töötleja eelneva üldise kirjaliku loata, mille Vastutav töötleja annab käesoleva lepingu artikli 6 alusel;
• töötlemise laadi arvesse võttes abistama Vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmete abil andmesubjektide oma õiguste teostamise taotlustele vastamisel;
• abistama Vastutavat töötlejat isikuandmete kaitse üldmääruse artiklite 32–36 (turvalisus, rikkumisest teavitamine, andmekaitsealane mõjuhinnang, eelnev konsulteerimine) täitmise tagamisel, võttes arvesse töötlemise laadi ja Volitatud töötlejale kättesaadavat teavet;
• Vastutava töötleja valikul kustutama või tagastama kõik isikuandmed pärast Teenuse osutamise lõppemist ja kustutama olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab andmete säilitamist;
• tegema Vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik isikuandmete kaitse üldmääruse artikli 28 täitmise tõendamiseks, ning võimaldama ja aitama kaasa Vastutava töötleja või tema volitatud audiitori läbiviidavatele auditile, sealhulgas kontrollidele;
• teavitama Vastutavat töötlejat viivitamata, kui tema arvates rikub mõni juhis isikuandmete kaitse üldmäärust või muid liidu või liikmesriigi andmekaitsesätteid.

5.1. Volitatud töötleja teavitab Vastutavat töötlejat igast isikuandmetega seotud rikkumisest viivitamata ja hiljemalt 48 tunni jooksul pärast sellest teadasaamist.

5.2. Teade sisaldab vähemalt: rikkumise laadi kirjeldust, sealhulgas võimalusel puudutatud andmesubjektide ja andmekirjete kategooriaid ja ligikaudset arvu; vastutava isiku nime ja kontaktandmeid; tõenäoliste tagajärgede kirjeldust; ning võetud või kavandatavate meetmete kirjeldust rikkumise lahendamiseks ja selle mõju leevendamiseks.

5.3. Volitatud töötleja teeb Vastutava töötlejaga koostööd, et aidata täita Vastutava töötleja teavitamiskohustusi pädeva järelevalveasutuse ja andmesubjektide ees.

6.1. Vastutav töötleja annab üldise loa Volitatud töötlejale kaasata isikuandmete töötlemiseks alltöötlejaid.

6.2. Alltöötlejate ajakohane loetelu, koos iga alltöötleja eesmärgi ja asukohaga, on avaldatud Volitatud töötleja veebilehe alltöötlejate lehel ning moodustab käesoleva lepingu lisa.

6.3. Volitatud töötleja teavitab Vastutavat töötlejat kavandatavast alltöötleja lisamisest või asendamisest vähemalt 14 päeva ette, saates e-kirja Vastutava töötleja kontaktaadressile või Teenuses avaldatava teatega, andes Vastutavale töötlejale võimaluse esitada vastuväide.

6.4. Kui Vastutav töötleja esitab teate saamisest 14 päeva jooksul põhjendatud vastuväite, hoidub Volitatud töötleja kavandatud muudatusest või pakub Vastutavale töötlejale võimalust leping lõpetada ilma trahvita ning ettemakstud, kuid kasutamata perioodi tasu tagastamisega.

6.5. Volitatud töötleja paneb igale alltöötlejale lepinguga samad andmekaitsekohustused, mis on sätestatud käesolevas lepingus, eelkõige piisavad tagatised asjakohaste tehniliste ja korralduslike meetmete rakendamiseks. Kui alltöötleja ei täida oma kohustusi, jääb Volitatud töötleja Vastutava töötleja ees täielikult vastutavaks selle alltöötleja kohustuste täitmise eest.

7.1. Isikuandmeid hoitakse Euroopa Liidus asuvates serverites. Volitatud töötleja ei edasta isikuandmeid väljapoole Euroopa Majanduspiirkonda, välja arvatud alltöötlejate lehel loetletud alltöötlejatele ja ainult isikuandmete kaitse üldmääruse V peatükis sätestatud asjakohaste kaitsemeetmete kohaselt.

7.2. Sellised edastused põhinevad Euroopa Komisjoni piisavusotsusel (sealhulgas ELi-USA andmekaitseraamistikul sertifitseeritud vastuvõtjate jaoks), Komisjoni poolt isikuandmete kaitse üldmääruse artikli 46 lõike 2 punkti c alusel vastu võetud standardsetel lepingutingimustel või muudel asjakohastel kaitsemeetmetel, mida vajaduse korral täiendatakse lisameetmetega, kui edastuse mõjuhinnang seda nõuab.

8.1. Volitatud töötleja annab Vastutavale töötlejale mõistlikku abi andmesubjektide taotluste käsitlemisel seoses nende isikuandmete kaitse üldmääruse artiklitest 15–22 tulenevate õiguste teostamisega (juurdepääs, parandamine, kustutamine, piiramine, ülekantavus, vastuväide). Teenus sisaldab otsingu-, ekspordi- ja kustutamisfunktsioone, mis võimaldavad Vastutaval töötlejal enamiku taotlustest otse lahendada.

8.2. Kui andmesubjekt pöördub otse Volitatud töötleja poole, suunab Volitatud töötleja andmesubjekti viivitamata Vastutava töötleja poole ja teavitab sellest Vastutavat töötlejat, välja arvatud juhul, kui taotlus puudutab andmeid, mille osas Volitatud töötleja ise on vastutav töötleja.

9.1. Volitatud töötleja võimaldab Vastutaval töötlejal või tema volitatud audiitoril läbi viia auditeid ja kontrolle, et kontrollida käesoleva lepingu ja isikuandmete kaitse üldmääruse täitmist.

9.2. Auditid viiakse läbi Vastutava töötleja kulul, mõistliku, vähemalt 14-tööpäevase etteteatamisega, tööajal ja viisil, mis ei häiri Volitatud töötleja tegevust ega ohusta teiste klientide andmete turvalisust. Audiitor peab olema seotud konfidentsiaalsuskohustusega.

9.3. Kohapealse auditi asemel võib Volitatud töötleja esitada kehtivad sertifikaadid, sõltumatute audiitorite aruanded või muud dokumendid, mis tõendavad turvameetmete täitmist, kui need on Vastutava töötleja küsimustele vastamiseks piisavad.

10.1. Käesolev leping kehtib Vastutava töötleja ja Volitatud töötleja vahelise lepingulise suhte kestuse jooksul, see tähendab seni, kuni Vastutav töötleja kasutab Teenust.

10.2. Pärast lepingulise suhte lõppemist Volitatud töötleja: võimaldab Vastutaval töötlejal eksportida oma andmed 90 päeva jooksul; kustutab pärast 90-päevase perioodi lõppu pöördumatult kõik Vastutava töötleja isikuandmed; kustutab varukoopiad hiljemalt 45 päeva jooksul pärast peamiste andmete kustutamist; ning kinnitab kustutamist Vastutava töötleja taotlusel. Väljaspool jäävad andmed, mida Volitatud töötleja peab säilitama liidu või liikmesriigi õiguse alusel (eelkõige arveldusandmed).

10.3. Käesoleva lepingu kohustused, eelkõige konfidentsiaalsus ja turvalisus, kehtivad pärast lepingulise suhte lõppemist seni, kuni Volitatud töötleja omab Vastutava töötleja isikuandmeid.

11.1. Volitatud töötleja vastutab käesoleva lepingu või isikuandmete kaitse üldmääruse rikkumisega põhjustatud kahju eest vastavalt isikuandmete kaitse üldmääruse artiklile 82, eelkõige juhul, kui ta ei ole täitnud spetsiaalselt volitatud töötlejatele suunatud üldmääruse kohustusi või on tegutsenud Vastutava töötleja seaduslike juhiste väliselt või neid rikkudes.

11.2. Tingimustes sätestatud vastutuse piirangud kehtivad käesolevale lepingule seaduses lubatud ulatuses; need ei piira andmesubjektide õigusi.

12.1. Käesolevale lepingule kohaldatakse Tšehhi Vabariigi õigust ja Euroopa Liidu vahetult kohaldatavat õigust, eelkõige GDPR-i.

12.2. Kui käesolev leping ja kasutustingimused on vastuolus, on isikuandmete kaitse küsimustes ülimuslik käesolev leping.

12.3. Käesoleva lepingu muudatused eeldavad kirjalikku vormi, mille alla kuulub ka veebisaidil avaldatud ja vastutavale töötlejale vastavalt kasutustingimustele teatavaks tehtud uuendatud versioon.

12.4. Käesolevast lepingust tulenevad vaidlused lahendavad Tšehhi Vabariigi kohtud, kes on pädevad vastavalt töötleja asukohale, ilma et see piiraks andmesubjektide ja järelevalveasutuste õigusi.

Krüpteerimine

• Puhkeolekus andmete, sealhulgas varukoopiate AES-256 krüpteerimine.
• TLS 1.2 või uuem kõikide andmeedastuste puhul, sealhulgas ühendused alltöötlejatega.

Juurdepääsukontroll

• Juurdepääs vähima privileegi põhimõttel; igal töötajal ja süsteemil on ainult tema rolli jaoks vajalikud õigused.
• Mitmefaktoriline autentimine administratiivse ja infrastruktuuri juurdepääsu puhul.
• Klientide tööruumide eraldamine rakenduse ja andmebaasi tasandil.
• Juurdepääsuõiguste regulaarne ülevaatus ja kiire tühistamine.

Käideldavus ja vastupidavus

• Regulaarsed automaatsed varukoopiad koos testitud taastamisprotseduuridega.
• Üleliigne majutusinfrastruktuur Euroopa Liidu piires.
• Käideldavuse ja jõudluse jälgimine koos teavitustega.

Terviklus ja logimine

• Isikuandmetele juurdepääsu ja administratiivsete toimingute logimine.
• Dokumentide auditijälg: kes need esitas, muutis, kinnitas või eksportis ning millal.
• Anomaaliate ja turvaintsidentide tuvastamine.

Korralduslikud meetmed

• Konfidentsiaalsuskohustused kõikidele töötajatele ja lepingupartneritele, kellel on juurdepääs isikuandmetele.
• Töötajate koolitus andmekaitse ja turvalisuse alal.
• Dokumenteeritud sisemenetlused isikuandmete töötlemiseks ja andmesubjektide taotluste käsitlemiseks.
• Intsidentidele reageerimise plaan koos määratletud rollide ja teavitustähtaegadega.
• Uute alltöötlejate andmekaitsealane hindamine enne kaasamist.