Andmetöötlusleping

1.1. Pooled

Käesolev andmetöötlusleping (edaspidi "leping" või "DPA") sõlmitakse järgmiste poolte vahel:

• klient — esineja, organisatsioon või spetsialist, kes sõlmib lepingu Votinova kasutamiseks ning loob või juhib interaktiivseid hääletussessioone — kes tegutseb vastutava töötlejana (edaspidi "vastutav töötleja" või "klient"); ning
• Atbion OÜ, Eesti õiguse kohaselt asutatud osaühing registrikoodiga 16890390 ja käibemaksukohustuslase numbriga EE102728154, registrijärgse asukohaga Ahtri tn 12, Kesklinna linnaosa, Tallinn 15551, Harju maakond, Eesti, kes käitab toodet Votinova (votinova.com) ning tegutseb volitatud töötlejana (edaspidi "volitatud töötleja" või "Atbion OÜ").

Vastutavat töötlejat ja volitatud töötlejat nimetatakse koos "pooled".

1.2. Lepingu ese

Käesolev leping reguleerib osalejate isikuandmete — kliendi sessioonidega liituva ja neis vastava publiku — töötlemist, mida Atbion OÜ teostab kliendi nimel ja tema dokumenteeritud juhiste kohaselt Votinova teenuse osutamise raames. Leping sõlmitakse vastavalt määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus) (edaspidi "isikuandmete kaitse üldmäärus") artiklile 28 ning Eesti andmekaitseõigusele (isikuandmete kaitse seadus).

1.3. Seos teiste lepinguliste dokumentidega

Käesolev leping liidetakse teenusetingimustega ning moodustab lahutamatu osa kliendi ja Atbion OÜ vahelisest teenuselepingust. Seda kohaldatakse alati, kui klient töötleb osalejate isikuandmeid Votinova kaudu.

Kontoandmete osas — esineja ja organisatsiooni liikmete andmed (nimi, e-posti aadress, mandaadid, arveldusandmed, turvalogid jm) — tegutseb Atbion OÜ omaette vastutava töötlejana ning seda töötlemist ei reguleeri käesolev leping, vaid privaatsuspoliitika. Käesolev leping piirdub osalejate andmetega, mille suhtes Atbion OÜ on volitatud töötleja.

Käesoleva lepingu tähenduses on järgmistel mõistetel isikuandmete kaitse üldmääruses neile omistatud tähendus:

3.1. Laad ja eesmärk

Atbion OÜ töötleb osalejate isikuandmeid ainueesmärgiga osutada Votinova teenust vastutava töötleja nimel: võimaldada publikul liituda kliendi sessioonidega, esitada vastuseid ja hääli, osaleda avatud küsimustes ning Q&A-s, samuti et tulemused koondataks ja kuvataks reaalajas. Töötlemine hõlmab selleks vajalikke tehnilisi toiminguid (kogumine, salvestamine, koondamine, ajutine säilitamine, edastamine sessiooni publikule ja kustutamine).

3.2. Andmete liigid ja andmesubjektide kategooriad

Töödeldavate isikuandmete liigid ja andmesubjektide kategooriad (kliendi sessioonide osalejad) on kokku võetud allpool ning üksikasjalikult esitatud Lisas I. Vaikimisi on osalejad anonüümsed; klient otsustab sessiooni konfiguratsiooni kaudu, kas aktiveerib tuvastatud või autenditud režiimi ning seega, milliseid andmeid kogutakse.

3.3. Kestus

Töötlemine toimub kogu kliendi ja Atbion OÜ vahelise teenuselepingu kehtivuse ajal ning lõpeb vastavalt käesoleva lepingu punktile 9.

Atbion OÜ kohustub volitatud töötlejana täitma järgmist vastavalt isikuandmete kaitse üldmääruse artikli 28 lõikele 3:

4.1. Töötlemine kooskõlas dokumenteeritud juhistega

Töötleda isikuandmeid üksnes vastutava töötleja dokumenteeritud juhiste kohaselt, sealhulgas seoses rahvusvaheliste edastamistega, välja arvatud juhul, kui liidu või Eesti õigus kohustab Atbion OÜ-d teisiti, mille korral teavitab Atbion OÜ vastutavat töötlejat sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui see on seadusega keelatud. Kui Atbion OÜ leiab, et juhis rikub isikuandmete kaitse üldmäärust või muud andmekaitsenormi, teavitab ta sellest vastutavat töötlejat viivitamata.

4.2. Töötajate konfidentsiaalsus

Tagada, et isikuandmete töötlemiseks volitatud isikud on kohustunud järgima konfidentsiaalsust või et nende suhtes kehtib seadusest tulenev konfidentsiaalsuskohustus, ning et juurdepääs piirdub töötajatega, kes seda teenuse osutamiseks vajavad.

4.3. Turvameetmed (isikuandmete kaitse üldmääruse artikkel 32)

Rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada riskile vastav turvalisuse tase vastavalt isikuandmete kaitse üldmääruse artiklile 32. Need meetmed on kirjeldatud Lisas II ning neid vaadatakse läbi ja ajakohastatakse korrapäraselt.

4.4. Abi andmesubjektide õiguste teostamisel

Abistada vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmete kaudu ning niivõrd kui võimalik, et ta saaks rahuldada andmesubjektide õiguste teostamise taotlusi (juurdepääs, parandamine, kustutamine, piiramine, ülekandmine, vastuväide), mis on ette nähtud isikuandmete kaitse üldmääruse III peatükis. Kui osaleja esitab taotluse otse Atbion OÜ-le, edastab Atbion OÜ selle viivitamata vastutavale töötlejale ega vasta ise, välja arvatud vastutava töötleja juhise korral.

4.5. Abi turvalisuse, mõjuhinnangute ja eelnevate konsultatsioonide osas

Abistada vastutavat töötlejat isikuandmete kaitse üldmääruse artiklitest 32–36 tulenevate kohustuste täitmisel (töötlemise turvalisus, rikkumistest teatamine ja teavitamine, andmekaitsealane mõjuhinnang ja eelnev konsulteerimine järelevalveasutusega), võttes arvesse töötlemise laadi ja Atbion OÜ-le kättesaadavat teavet.

4.6. Isikuandmetega seotud rikkumistest teatamine

Teatada vastutavale töötlejale ilma põhjendamatu viivituseta pärast sellest teadasaamist mis tahes isikuandmetega seotud rikkumisest, mis puudutab vastutava töötleja nimel töödeldavaid isikuandmeid. Teade sisaldab võimalikus ulatuses rikkumise laadi, mõjutatud andmesubjektide kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi ning rikkumise kõrvaldamiseks võetud või kavandatud meetmeid. Atbion OÜ teeb vastutava töötlejaga koostööd, et viimane saaks vajaduse korral täita oma kohustusi teatada rikkumisest järelevalveasutusele ja teavitada sellest andmesubjekte (isikuandmete kaitse üldmääruse artiklid 33 ja 34).

4.7. Andmete kustutamine või tagastamine

Vastutava töötleja valikul kustutada või tagastada kõik isikuandmed pärast teenuse osutamise lõppemist ning kustutada olemasolevad koopiad, välja arvatud juhul, kui liidu või Eesti õigus nõuab nende säilitamist, vastavalt punktile 9.

4.8. Vastavuse tõendamine

Teha vastutavale töötlejale kättesaadavaks kogu vajalik teave isikuandmete kaitse üldmääruse artiklist 28 tulenevate kohustuste täitmise tõendamiseks ning võimaldada punktis 7 ette nähtud auditeid ja kontrolle ning aidata neile kaasa.

5.1. Üldine luba

Vastutav töötleja annab Atbion OÜ-le üldise loa kaasata alltöötlejaid teenuse osutamiseks. Jõustumise hetkel kontrollitud alltöötlejate loetelu on esitatud Lisas III.

5.2. Alltöötlejatele esitatavad tagatised

Atbion OÜ kehtestab igale alltöötlejale lepinguga samad andmekaitsekohustused, mis on sätestatud käesolevas lepingus, eelkõige asjakohaste tehniliste ja korralduslike meetmete rakendamise (isikuandmete kaitse üldmääruse artikli 28 lõige 4). Atbion OÜ jääb vastutava töötleja ees täielikult vastutavaks alltöötleja kohustuste täitmise eest.

5.3. Muudatuste eelteavitamine ja vastuväite esitamise õigus

Atbion OÜ teavitab vastutavat töötlejat mis tahes kavandatavast muudatusest, mis puudutab alltöötlejate kaasamist või asendamist, andes vastutavale töötlejale võimaluse esitada nendele muudatustele vastuväide andmekaitsega seotud mõistlikel põhjustel. Kui vastutav töötleja esitab vastuväite ning pooled lahendust ei leia, võib vastutav töötleja lõpetada teenuse mõjutatud osa suhtes vastavalt punktile 9.

6.1. Põhimõte: töötlemine Euroopa Liidus

Osalejate andmete töötlemine toimub peamiselt Euroopa Liidus: arvutus ja salvestus majutatakse AWS-is (ELi piirkond) ning põhiandmebaas asub MongoDB Atlase klastris ELis (vt Lisa II).

6.2. Tagatised kolmandatesse riikidesse edastamiseks

Kui alltöötleja töötleb isikuandmeid väljaspool Euroopa Majanduspiirkonda, kaetakse see edastamine kehtiva edastamismehhanismiga vastavalt isikuandmete kaitse üldmääruse V peatükile, eelkõige:

• Euroopa Komisjoni vastu võetud lepingu tüüptingimustega (CCT), mida vajaduse korral täiendatakse lisameetmetega; ja/või
• ELi-USA andmekaitseraamistikuga (Data Privacy Framework, DPF) selleks sertifitseeritud Ameerika Ühendriikide teenusepakkujate osas, kui see on kohaldatav.

Iga alltöötleja asukoha ja kohaldatavate edastamismehhanismide üksikasjad on esitatud Lisas III.

7.1. Auditeerimisõigus

Atbion OÜ teeb vastutavale töötlejale kättesaadavaks isikuandmete kaitse üldmääruse artiklist 28 tulenevate kohustuste täitmise tõendamiseks vajaliku teabe ning võimaldab auditeid ja kontrolle ning aitab neile kaasa, sealhulgas neid, mida teostab vastutav töötleja või tema määratud ja konfidentsiaalsuskohustusega seotud sõltumatu audiitor.

7.2. Tingimused

Auditid viiakse läbi mõistliku etteteatamisega, tööajal, ilma Atbion OÜ tegevuse põhjendamatu katkestamiseta ning mõistliku sagedusega (üldreeglina mitte rohkem kui üks kord aastas, välja arvatud juhul, kui esineb tõendatud turvaintsident või seda nõuab järelevalveasutus). Atbion OÜ võib auditeerimisõiguse rahuldada, esitades sertifikaate, kolmandate isikute auditiaruandeid või samaväärset dokumentatsiooni oma ja oma alltöötlejate meetmete kohta, kui selline dokumentatsioon vastab mõistlikult vastutava töötleja taotlusele.

Kumbki pool vastutab kahju eest, mis on tekitatud isikuandmete kaitse üldmäärust rikkuva töötlemisega, isikuandmete kaitse üldmääruse artikli 82 tingimustel. Ükski käesoleva lepingu — ega teenusetingimuste — säte ei piira ega välista poolte vastutust niivõrd, kuivõrd selline piiramine või välistamine on isikuandmete kaitse üldmäärusega keelatud või andmekaitse imperatiivse normiga keelatud. Teenuselepingus kokkulepitud vastutuse piirangud ei mõjuta eeltoodut.

9.1. Kestus

Käesolev leping jõustub alguses märgitud kuupäeval või, kui see on hilisem, kuupäeval, mil klient hakkab Votinova kaudu töötlema osalejate andmeid, ning kehtib seni, kuni Atbion OÜ töötleb isikuandmeid vastutava töötleja nimel. Selle kestus on seotud teenuselepingu kehtivusega.

9.2. Andmete tagastamine või kustutamine lõppemisel

Teenuse lõppemisel ning vastutava töötleja valikul tagastab või kustutab Atbion OÜ vastutava töötleja nimel töödeldud osalejate isikuandmed ning kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või Eesti õigus nõuab nende säilitamist. Reaalajataristus ajutiselt salvestatud andmed kustutatakse automaatselt pärast tehniliste säilitustähtaegade möödumist; krüpteeritud varukoopiad kirjutatakse üle vastavalt nende rotatsioonitsüklile.

9.3. Kehtima jäämine

Konfidentsiaalsuskohustused, edastamistega seotud tagatised ja vastutust käsitlevad sätted jäävad pärast lõpetamist kehtima niivõrd, kuivõrd see on vajalik andmesubjektide kaitsmiseks.

10.1. Kohaldatav õigus

Käesolevat lepingut reguleerib Eesti õigus ning isikuandmete kaitse üldmäärus ja muud Euroopa Liidu andmekaitsealased õigusaktid.

10.2. Hierarhia

Käesoleva lepingu ja teenusetingimuste vahelise vastuolu korral osalejate isikuandmete töötlemise osas on ülimuslik käesolev leping. Kõiges muus kohaldatakse teenusetingimusi.

10.3. Muudatused

Atbion OÜ võib käesolevat lepingut ajakohastada, et kajastada õiguslikke, tehnilisi või korralduslikke muudatusi, teavitades olulistest muudatustest mõistliku etteteatamisega. Seotud dokumendid on kättesaadavad õiguskeskuses: https://votinova.com/legal.

10.4. Andmekaitsealane kontakt

Mis tahes käesoleva lepingu või isikuandmete töötlemisega seotud küsimustes võib pöörduda aadressil privacy@votinova.com. Pädev järelevalveasutus on Andmekaitse Inspektsioon (AKI) — Tatari 39, Tallinn 10134, Eesti — info@aki.ee — https://www.aki.ee.

Atbion OÜ rakendab vähemalt järgmisi meetmeid, mida vaadatakse läbi ja ajakohastatakse korrapäraselt. Tundlikke parameetreid, mille avaldamine võiks hõlbustada rünnakuid, ei avalikustata.