Andmetöötlusleping

Käesolev andmetöötlusleping („Leping“) on Husly kasutustingimuste osa. See kehtib, kui kasutad Huslyt teiste inimeste isikuandmete töötlemiseks, näiteks oma saidi külastajate või oma vormide täitjate andmete puhul. Lepingus on tingimused, mida nõuab Euroopa Liidu isikuandmete kaitse üldmääruse (EL 2016/679, „GDPR“) artikli 28 lõige 3.

Kasutustingimustega nõustudes sõlmid ka selle Lepingu. Eraldi allkirja pole vaja. Kui kasutustingimused ja see Leping räägivad isikuandmetest erinevalt, kehtib see Leping.

1. Vastutav töötleja ja volitatud töötleja

• Sina oled vastutav töötleja. „Sina“ on klient, kellel on Husly konto ja kes haldab sellega üht või mitut saiti. Sina otsustad, miks ja kuidas sinu saitidel isikuandmeid kogutakse.
• Husly on volitatud töötleja. Volitatud töötleja on WebAdmin OÜ, registrikood 14698205, Hauka 13, 11315 Tallinn, Eesti („Husly“, „meie“). Töötleme neid andmeid ainult selleks, et osutada sulle Teenust.

Leping ei hõlma andmeid, mida töötleme oma eesmärkidel, näiteks sinu kontot, arveldust ja platvormi turvalisust. Nende puhul oleme vastutav töötleja ja kehtib meie privaatsuspoliitika.

2. Ese ja kestus

Töötlemise ese on sinu saitide majutamine ja nende funktsioonide toimimine, mida Teenuses kasutad. Töötlemine kestab nii kaua, kui kasutustingimused meie vahel kehtivad, ja pärast seda kuni andmete kustutamise või tagastamiseni punkti 12 järgi.

3. Töötlemise laad ja eesmärk

Salvestame, korrastame, kuvame, edastame, varundame ja kustutame isikuandmeid niivõrd, kuivõrd see on vajalik, et:

• majutada sinu saite ja näidata nende lehti külastajatele;
• võtta vastu ja hoida vormide vastuseid ja nendega saadetud faile ning saata sulle nende kohta e-kirjaga teade;
• käitada funktsioone, mille sisse lülitad, näiteks broneerimist, AI-vestlusrobotit ja küpsisenõusolekut;
• kaitsta sinu saite ja Teenust rämpsposti, robotite ja muu väärkasutuse eest;
• anda sulle tuge, kui seda palud.

Me ei kasuta neid andmeid oma eesmärkidel, ei müü neid ega kasuta neid AI-mudelite treenimiseks.

4. Isikuandmete liigid

Milliseid andmeid töötleme, sõltub kasutatavatest funktsioonidest ja sellest, mida oma külastajatelt küsid. Need võivad olla:

• kontaktandmed: nimi, e-posti aadress, telefoninumber, aadress;
• sõnumite ja vormivastuste sisu ning inimeste saadetud failid;
• broneeringute andmed;
• sõnumid, mida inimesed sinu saidi AI-vestlusrobotile kirjutavad;
• tehnilised andmed: IP-aadress, brauseri- ja seadmeandmed, küpsisenõusoleku valikud, lehekülastused;
• nende meeskonnaliikmete nimed ja e-posti aadressid, kellele annad oma kontole juurdepääsu;
• muud isikuandmed, mida otsustad Teenusega koguda.

Teenus ei ole mõeldud eriliiki isikuandmete (GDPR artikkel 9, näiteks terviseandmed) ega süüteoandmete (artikkel 10) töötlemiseks. Kui sa neid siiski kogud, peab sul olema selleks õiguslik alus ja pead kontrollima, et selle Lepingu meetmed on nende jaoks piisavad.

5. Andmesubjektide kategooriad

• sinu saitide külastajad;
• inimesed, kes täidavad sinu vorme või broneerivad aja;
• inimesed, kes kirjutavad sinu saidi AI-vestlusrobotile;
• sinu kliendid ja muud kontaktid, kelle andmed Teenusesse lisad;
• sinu meeskonnaliikmed, kes sinu kontot kasutavad.

6. Sinu juhised

Töötleme isikuandmeid ainult sinu dokumenteeritud juhiste alusel, ka siis, kui andmed liiguvad riiki väljaspool EL-i/EMP-d. Sinu juhised on see Leping, kasutustingimused ning seaded ja toimingud, mida Teenuses teed. Muud juhised saad saata kirjalikult aadressile [email protected].

Kui leiame, et mõni juhis rikub GDPR-i või muud andmekaitseõigust, teatame sellest sulle kohe. Kui Euroopa Liidu või liikmesriigi õigus nõuab meilt andmete muul viisil töötlemist, teatame sellest sulle enne töötlemist, välja arvatud juhul, kui see õigus teatamist keelab.

Sina vastutad selle eest, et sinu juhitud töötlemine on seaduslik. See tähendab õiguslikku alust iga eesmärgi jaoks, privaatsusteavet külastajatele ja nõusolekuid seal, kus seadus neid nõuab.

7. Konfidentsiaalsus

Sinu andmetele pääsevad ligi ainult inimesed, kes vajavad seda oma töö jaoks (Teenuse käitamiseks, toeks või kaitsmiseks). Igal neist on konfidentsiaalsuskohustus lepingu või seaduse alusel. Me ei vaata sinu saitide isikuandmeid, välja arvatud juhul, kui see on vajalik sinu palutud toeks, vea parandamiseks või Teenuse kaitsmiseks.

8. Turvameetmed

Rakendame riskile vastavaid tehnilisi ja korralduslikke meetmeid (GDPR artikkel 32). Praegu on need järgmised:

• kõik ühendused Teenuse ja sinu saitidega on krüpteeritud HTTPS-iga (TLS);
• paroole hoiame ainult ühesuunalise räsina (bcrypt) ja saad sisse lülitada kaheastmelise sisselogimise autentimisrakendusega;
• sisselogimiskatsed on piiratud ja vormid on kaitstud robotite ja rämpsposti eest;
• juurdepääs põhineb rollidel: kasutaja näeb ainult neid saite, mille liige ta on;
• lõimingute võtmeid ja tokeneid hoiame krüpteeritult (AES-256-GCM);
• enne iga Teenuse uuendust tehakse andmebaasist varukoopia eraldi kettale, et Teenuse saaks pärast riket taastada;
• paigaldame tarkvarauuendusi ja turvaparandusi ning jälgime vealogisid.

Sinu saidid ja nende andmebaas töötavad meie enda serveris Eestis (EL). Seda serverit ei halda ükski teine ettevõte. Vaatame meetmed üle, kui Teenus või riskid muutuvad. Ükski süsteem pole täiesti turvaline. Intsidendi korral kehtib punkt 11.

9. Alamtöötlejad

Annad meile üldise kirjaliku loa kasutada alamtöötlejaid. Alamtöötleja on teine ettevõte, kes töötleb sinu andmeid meie heaks, näiteks saadab e-kirju või hoiab faile. Kehtiv loetelu koos iga ettevõtte eesmärgi, andmete, asukoha ja edastamise alusega on lehel Alamtöötlejad.

Iga alamtöötlejaga on meil kirjalik leping, milles on samad andmekaitsekohustused nagu selles Lepingus, eelkõige piisavad turvatagatised. Vastutame sinu ees oma alamtöötlejate töö eest.

Muudatustest teatamine. Vähemalt 30 päeva enne uue alamtöötleja lisamist või olemasoleva asendamist uuendame alamtöötlejate loetelu koos kavandatud kuupäevaga ja saadame e-kirjaga teate kõigile, kes on teateid soovinud. Teadete saamiseks saada e-kiri aadressile [email protected] teemaga „Alamtöötlejate teated“ sellelt aadressilt, kuhu teated peavad jõudma.

Sinu õigus esitada vastuväide. Võid muudatusele nende 30 päeva jooksul kirjalikult vastu vaielda aadressil [email protected], kui sul on mõistlik andmekaitsega seotud põhjus. Siis otsime koos sinuga heas usus lahendust. Kui lahendust ei leia, võid tellimuse enne muudatuse jõustumist lõpetada ja tagastame ette makstud tasu lõpetamisele järgneva aja eest.

Kui peame alamtöötleja kiiremini asendama, et hoida Teenus turvalisena või töös (näiteks kui teenusepakkuja lõpetab oma teenuse), teatame sellest esimesel võimalusel. Sinu õigus esitada vastuväide jääb samaks.

Lõimingud, mille ühendad ise oma kontoga, ei ole meie alamtöötlejad. Need on näiteks Mailchimp, Smaily, Brevo, MailerLite, HubSpot, Pipedrive, Slack, Microsoft Teams, Discord, Telegram, Google Sheets, Google Search Console, Canva, sinu enda analüütika (PostHog, Google Analytics, Meta Pixel), sinu enda Stripe'i konto ja veebihaagid (webhooks). Need valid sina, need töötavad sinu konto ja oma tingimuste alusel ning andmed liiguvad nendesse sinu juhisel. Nimeta need oma privaatsusteabes.

10. Abi andmesubjektide õiguste täitmisel

Kui inimene pöördub meie poole oma andmete pärast, mis on sinu saidil, edastame päringu sulle põhjendamatu viivituseta. Ise me sellele ei vasta, kui sa seda ei palu. Teenuses saad vormide vastuseid leida, eksportida ja kustutada. Kui sellest päringule vastamiseks ei piisa, aitame sind taotluse korral nii palju, kui töötlemise laadi arvestades suudame.

11. Rikkumised, mõjuhinnangud ja muu abi

Isikuandmetega seotud rikkumine. Kui saame teada isikuandmetega seotud rikkumisest, mis puudutab sinu andmeid, teatame sellest sulle põhjendamatu viivituseta, kuid hiljemalt 48 tunni jooksul. Saadame teate sinu konto omaniku e-posti aadressile. Teates on see, mida sel hetkel teame: mis juhtus, milliseid andmeid ja kui paljusid inimesi see puudutab, tõenäolised tagajärjed ning mida oleme teinud või kavatseme teha. Lisame üksikasju, kui saame rohkem teada. See aitab sul teavitada järelevalveasutust 72 tunni jooksul, kui GDPR artikkel 33 seda nõuab.

Mõjuhinnang ja konsulteerimine. Kui teed andmekaitsealase mõjuhinnangu (artikkel 35) või konsulteerid järelevalveasutusega (artikkel 36), anname sulle selleks vajaliku teabe Teenuse kohta.

12. Töötlemise lõpp: kustutamine või tagastamine

Enne lõppu saad oma sisu alla laadida, nagu kasutustingimustes kirjeldatud, ja vormide vastused eksportida. Kui palud enne lõppu, tagastame isikuandmed sulle levinud failivormingus.

Kui kasutustingimused meie vahel lõpevad (kustutad konto või suleme selle kasutustingimuste alusel), kustutame või anonümiseerime sinu jaoks töödeldavad isikuandmed hiljemalt 90 päeva pärast lõppu, välja arvatud juhul, kui Euroopa Liidu või liikmesriigi õigus nõuab nende säilitamist. Varukoopiates olevad koopiad kustuvad varukoopia aegumisel, hiljemalt 12 kuud pärast selle tegemist. Seni on varukoopiad kaitstud ja kasutame neid ainult Teenuse taastamiseks pärast riket.

13. Teave ja auditid

Anname sulle kogu teabe, mida vajad, et näidata, et täidame GDPR artikli 28 kohustusi. Küsimused saada aadressile [email protected]. Kui kirjalikust teabest ei piisa, võid sina või sinu valitud audiitor meid auditeerida. Audiitoril peab olema konfidentsiaalsuskohustus ja ta ei tohi olla meie konkurent. Teata auditist vähemalt 30 päeva ette. Audit võib toimuda kõige rohkem kord 12 kuu jooksul, välja arvatud juhul, kui rikkumine või järelevalveasutus teeb uue auditi vajalikuks. Audit ei tohi kahjustada Teenuse turvalisust ega teiste klientide andmeid. Kumbki pool kannab oma kulud ise.

14. Edastamine väljapoole EL-i/EMP-d

Sinu saidid ja nende andmebaas töötavad meie enda serveris Eestis (EL). Seda serverit ei halda ükski teine ettevõte. Mõni alamtöötleja võib andmeid töödelda väljaspool EMP-d. Edastame andmeid sinna ainult alusel, mida GDPR V peatükk lubab: Euroopa Komisjoni piisavuse otsus (näiteks ELi-USA andmekaitseraamistik sertifitseeritud ettevõtete puhul) või Euroopa Komisjoni tüüptingimused koos vajalike lisameetmetega. Alamtöötlejate loetelu näitab iga ettevõtte alust.

15. Vastutus, muudatused ja kohaldatav õigus

Kasutustingimuste vastutuse piirangud kehtivad ka selle Lepingu kohta, niivõrd kuivõrd GDPR (eelkõige artikkel 82) seda lubab. Võime Lepingut muuta, kui muutub õigus, Teenus või meie alamtöötlejad. Olulistest muudatustest teatame ette samamoodi nagu kasutustingimuste puhul. Muudatus ei vähenda sinu andmete kaitset. Lepingule kohaldatakse Eesti Vabariigi õigust.

16. Kontakt

Küsimused selle Lepingu kohta saada aadressile [email protected].