Andmetöötlusleping

1. Pooled

• Vastutav töötleja: klient, kelle jaoks tarcuses on organisatsioon.
• Volitatud töötleja: TARCON OÜ, registrikood 16487228, aadress Tartu maakond, Tartu linn, Meruski tn 10-4, 51017.

2. Ese ja kestus

Volitatud töötleja töötleb isikuandmeid ainult selleks, et osutada kliendile teenust tarcus, ning ainult lepingu kehtivuse ajal ja kuni andmete kustutamiseni pärast lepingu lõppu.

3. Andmed ja andmesubjektid

• Andmesubjektid: kliendi töötajad ja teised kasutajad, keda klient kutsub (näiteks alltöövõtjad), rikketeadete esitajad, pildil olevad inimesed ning sisus nimeliselt mainitud inimesed.
• Andmed: nimi, e-post, roll, sisselogimise andmed (IP-aadress, brauser), tegevuste ajalugu, märkused, kommentaarid ja tööd, pildid ning teavituste seaded.
• Toimingud: hoidmine, näitamine õigustega kasutajatele, teavituste saatmine, varundamine, kustutamine.

Eriliigilisi isikuandmeid teenus ei vaja ja klient neid sinna ei sisesta.

4. Volitatud töötleja kohustused

• Töötleb andmeid ainult kliendi dokumenteeritud juhiste järgi; juhised on leping ja kliendi tegevus teenuses.
• Tagab, et andmetele ligipääsu omavad inimesed on kohustatud hoidma konfidentsiaalsust.
• Rakendab lisas 1 kirjeldatud turvameetmeid.
• Aitab klienti andmesubjektide päringutele vastamisel; tarkvaras on selleks andmete väljavõte ja kustutamine.
• Teatab kliendile isikuandmetega seotud rikkumisest põhjendamatu viivituseta, hiljemalt 48 tunni jooksul pärast selle avastamist.
• Aitab klienti mõjuhinnangu ja järelevalveasutusega suhtlemisel, kui see puudutab teenust.
• Annab kliendile teabe, mis näitab nende kohustuste täitmist, ning võimaldab mõistliku etteteatamisega auditit kliendi kulul.

5. Allvolitatud töötlejad

Klient lubab kasutada lisas 2 nimetatud allvolitatud töötlejaid. Uuest allvolitatud töötlejast teatame vähemalt 30 päeva ette; kui klient on sellele põhjendatult vastu ja kokkulepet ei leita, võib ta lepingu lõpetada. Volitatud töötleja sõlmib igaühega lepingu, mis seab samad andmekaitse kohustused.

6. Andmete asukoht

Andmeid hoitakse Euroopa Liidus. Kui allvolitatud töötleja asub väljaspool Euroopa Majanduspiirkonda, toimub edastamine Euroopa Komisjoni standardsete lepingutingimuste või muu GDPR-i kohase aluse alusel.

7. Lepingu lõppemine

Kuni lepingu lõpuni saab klient oma andmed ise alla laadida. Lepingu lõppedes organisatsioon suletakse ja andmed kustutatakse 30 päeva pärast; selle aja jooksul aitab volitatud töötleja soovi korral andmed eksportida. Varukoopiatest kaovad need järgmise 14 öö jooksul. Arveldusandmeid hoitakse seaduse nõutud aja.

Lisa 1. Turvameetmed

• Ühendused on krüpteeritud (HTTPS, HSTS). Rakendusel on sisupoliitika (CSP) ja teised turvapäised.
• Paroolid on hoitud scrypt-räsina; seansi-, kutse- ja taastelingid ainult räsina.
• Kahefaktoriline sisselogimine on administraatoritele kohustuslik; klient saab selle nõuda kõigilt.
• Sisselogimiskatsed on piiratud ja kahtlastest katsetest saadetakse kasutajale e-kiri.
• Iga organisatsiooni andmed on teistest eraldatud ja seda kontrollivad automaatsed testid.
• Rollid (administraator, juht, tehnik, vaataja) piiravad, kes mida näeb ja teeb.
• Igal ööl tehakse krüpteeritud varukoopia väljaspool serverit; selle taastamist kontrollitakse.
• Kustutatud failid hoitakse 30 päeva, et neid saaks tagasi panna.
• Üles laaditud mudeleid töödeldakse eraldi protsessis, millel puudub ligipääs ühelegi saladusele.
• Kõik ärilised toimingud ja sisselogimised logitakse; teenusepakkuja liitumine kliendi organisatsiooniga kirjutatakse kliendi enda tegevuste ajalukku.
• Ligipääs serveritele ja võtmetele on ainult teenusepakkuja vastutavatel töötajatel.

Lisa 2. Allvolitatud töötlejad