Andmetöötlusleping

Andmetöötleja (volitatud töötleja) on [Operaatori nimi — täita], registrikood [Registrikood — täita], aadress [Aadress — täita], e-post [E-posti aadress — täita] (edaspidi operaator).

Vastutav töötleja on kaupmees, kes on Epoeplatvorm platvormil konto loonud (edaspidi kaupmees).

Leping jõustub kasutustingimuste aktsepteerimisega ja kehtib seni, kuni operaator töötleb kaupmehe nimel isikuandmeid. Lepingus kasutatud mõisted on samad, mis isikuandmete kaitse üldmääruses (EL) 2016/679 (GDPR).

Operaator töötleb isikuandmeid ainult selleks, et osutada kaupmehele e-poe platvormi teenust: andmete salvestamine, tellimuste ja maksete haldus, e-kirjade saatmine, tarnevalikute ja arvete koostamine, vestlusbot ning nendega seotud tugi.

Töötlemise kestus on sama mis kasutustingimuste kehtivus. Andmete liigid, andmesubjektide kategooriad ja lisatud tehnilised meetmed on kirjeldatud lisades 1 ja 2.

Kaupmees vastutab töötlemise seaduslikkuse eest (sh õigusliku aluse, andmesubjektide teavitamise ja nõusolekute eest) ning määrab töötlemise eesmärgid ja vahendid.

Käesolev leping ja platvormi seadistused on kaupmehe dokumenteeritud juhised. Täiendavad juhised annab kaupmees kirjalikult. Operaator teavitab kaupmeest, kui ta leiab, et juhis rikub andmekaitseõigust.

Operaator kohustub:

• töötlema isikuandmeid ainult kaupmehe dokumenteeritud juhiste alusel, sh andmete edastamisel kolmandasse riiki, välja arvatud juhul, kui seadus nõuab teisiti (sel juhul teavitab ta kaupmeest enne töötlemist, kui seadus seda ei keela);
• tagama, et andmetega tegelevad isikud on kohustatud konfidentsiaalsust hoidma;
• rakendama GDPR artikli 32 kohaseid turvameetmeid (lisa 2);
• kasutama alltöötlejaid ainult punktis 6 sätestatud tingimustel;
• aitama kaupmeest mõistlikus ulatuses andmesubjektide õiguste taotluste täitmisel (nt andmete eksport ja kustutamine platvormi vahendite kaudu);
• aitama kaupmeest GDPR artiklites 32–36 sätestatud kohustuste täitmisel (turvalisus, rikkumisest teavitamine, mõjuhinnang, eelnev konsulteerimine), võttes arvesse töötlemise laadi ja operaatori käsutuses olevat teavet;
• teavitama kaupmeest isikuandmetega seotud rikkumisest põhjendamatu viivituseta pärast rikkumise teadasaamist, esitades kättesaadava teabe rikkumise laadi, mõju ja võetud meetmete kohta;
• kustutama või tagastama pärast teenuse osutamise lõppu kõik isikuandmed vastavalt punktile 8;
• andma kaupmehele teabe, mis on vajalik selle lepingu täitmise tõendamiseks, ning võimaldama auditeid vastavalt punktile 7.

Operaator rakendab lisas 2 kirjeldatud tehnilisi ja korralduslikke meetmeid ning hindab nende sobivust regulaarselt. Operaator võib meetmeid muuta tingimusel, et üldine kaitsetase ei vähene.

Kaupmees annab operaatorile üldise loa kasutada alltöötlejaid. Praegused alltöötlejad on loetletud lisas 3.

Operaator teavitab kaupmeest alltöötlejate lisamisest või vahetamisest vähemalt 30 päeva ette e-posti teel või platvormis. Kaupmehel on selle aja jooksul õigus põhjendatud vastuväiteid esitada. Kui vastuväidet ei ole võimalik lahendada, võib kaupmees lepingu lõpetada.

Operaator sõlmib alltöötlejaga kirjaliku lepingu, mis paneb alltöötlejale samad andmekaitsekohustused, mis on sätestatud käesolevas lepingus, ja vastutab alltöötleja tegevuse eest kaupmehe ees.

Operaator esitab kaupmehe kirjalikul taotlusel teabe, mis tõendab GDPR artikli 28 nõuete täitmist. Kaupmehel on õigus mõistliku etteteatamisega (vähemalt 30 päeva) korraldada audit, kas ise või kolmanda isiku kaudu, kes on kohustatud konfidentsiaalsust hoidma. Audit ei tohi põhjendamatult häirida operaatori tegevust ega ohustada teiste kaupmeeste andmeid. Auditi mõistlikud kulud kannab kaupmees.

Pärast lepingu lõppu või kaupmehe taotlusel kustutab operaator kaupmehe poodide isikuandmed 90 päeva jooksul, kui õigusakt ei nõua nende säilitamist. Enne kustutamist võimaldab operaator andmed platvormi eksportvahendite abil alla laadida. Varukoopiad kustuvad teenusepakkuja tavapärase tsükli jooksul.

Kui alltöötleja töötleb andmeid väljaspool Euroopa Majanduspiirkonda, tagab operaator GDPR V peatüki kohase kaitse (nt Euroopa Komisjoni tüüptingimused või piisavusotsus) ja vajaduse korral täiendavad meetmed.

Poolte vastutus lepingu rikkumise eest määratakse kasutustingimuste vastutuse sätete ja GDPR artikli 82 alusel. Lepingule kohaldatakse Eesti Vabariigi õigust. Lepingu ja kasutustingimuste vastuolu korral kehtib andmekaitse osas käesolev leping.

Andmesubjektid: kaupmehe poodide kliendid ja külastajad, kliendikonto omanikud, uudiskirja tellijad, sidusettevõtete (partnerprogrammi) osalejad ja kaupmehe töötajad.

Andmeliigid: nimi, e-posti aadress, telefon, tarne- ja arveaadress, tellimuste ja maksete andmed (mitte kaardiandmed), kliendikonto andmed, ostukorvi ja vaatamisandmed, arvustused, sõnumid vestlusbotiga ja kontaktvormi kaudu, IP-aadress ja tehnilised andmed.

Eriliiki andmeid operaator teadlikult ei töötle.

Töötlemistoimingud: salvestamine, kuvamine, edastamine kaupmehele ja tema valitud makse- ja tarneteenuse pakkujatele, e-kirjade saatmine, varundamine, kustutamine.

• Andmete edastamine krüpteeritud ühenduse (TLS) kaudu.
• Kaupmeeste makseteenuse võtmed ja kaheastmelise autentimise saladused on salvestatud krüpteeritult.
• Kaupmeeste andmete eraldamine ridataseme õigustega andmebaasis ja juurdepääsu kontroll rollide alusel.
• Töötajate kaheastmeline autentimine ja valikuline IP-aadresside lubatud nimekiri.
• Auditilogi tundlike tegevuste kohta.
• Päringupiirangud ja kuritarvituste tõkestamine.
• Juurdepääs isikuandmetele ainult neile, kellel on see töö tegemiseks vajalik; konfidentsiaalsuskohustus.
• Regulaarne varundamine ja taastamise võimekus.
• Turvavigade ja riskide haldus ning tarkvara uuendamine.

• Supabase — andmebaas, autentimine ja failihoidla. Andmete asukoht: täpsustamisel.
• Vercel — majutus ja edge-võrk. Andmete asukoht: täpsustamisel.
• Upstash — vahemälu ja päringupiirangud. Andmete asukoht: täpsustamisel.
• Resend — tehinguliste e-kirjade saatmine. Andmete asukoht: täpsustamisel.
• Montonio — makse- ja tarnelahendus (kaupmehe valikul). Teenusepakkuja asukoht: täpsustamisel.
• Maksekeskus — makselahendus (kaupmehe valikul). Teenusepakkuja asukoht: täpsustamisel.
• OpenRouter ja selle kaudu ühendatud tehisintellekti mudelipakkujad — ainult tehisintellekti funktsioonide (nt vestlusbot) kasutamisel. Andmete asukoht: täpsustamisel.

Märkus: Montonio ja Maksekeskus tegutsevad makseteenuse pakkujatena ka omal vastutusel vastavalt oma tingimustele; kaupmees sõlmib nendega eraldi lepingu.