Andmetöötlusleping

Käesolev andmetöötlusleping („DPA“) on yAppointmenti teenustingimuste („Tingimused“) osa. See sõlmitakse yAppointmenti kasutava ärikliendi („Vastutav töötleja“) ja LohiSoft s. r. o. („Volitatud töötleja“, „meie“) vahel: • Komenskeho 317/135, 943 01 Štúrovo, Slovaki Vabariik; • äriregistri kood (IČO) 53253914; • maksukohustuslase number SK2121316725; • e-post: info@yappointment.com. Tingimustega nõustudes nõustub Vastutav töötleja ka käesoleva DPA-ga. Käesolevat DPA-d kohaldatakse alati, kui Volitatud töötleja töötleb yAppointmenti platvormi („Teenus“) osutamisel isikuandmeid Vastutava töötleja nimel. Mõistetel „isikuandmed“, „töötlemine“, „vastutav töötleja“, „volitatud töötleja“, „andmesubjekt“, „isikuandmetega seotud rikkumine“ ja „järelevalveasutus“ on määruses (EL) 2016/679 („GDPR“) määratletud tähendus.

1.1 Isikuandmete puhul, mille Vastutav töötleja või tema lõppkliendid Teenusesse sisestavad („Kliendi isikuandmed“), on Vastutav töötleja vastutav töötleja ja Volitatud töötleja tema volitatud töötleja. Näiteks kliendikirjed, broneeringud, arved, lojaalsusandmed ja arvustused. 1.2 Andmete puhul, mida Volitatud töötleja vajab oma äritegevuseks, tegutseb Volitatud töötleja iseseisva vastutava töötlejana vastavalt oma privaatsuspoliitikale (https://yappointment.com/privacy). Näiteks Vastutava töötleja konto- ja arveldusandmed, müügiveebisaidi analüütika ja pettuste ennetamine. Käesolev DPA seda töötlemist ei hõlma. 1.3 Vastutav töötleja vastutab tema juhistel toimuva töötlemise seaduslikkuse eest. See hõlmab õigusliku aluse olemasolu, oma lõppklientide teavitamist ja vajaliku nõusoleku saamist, näiteks turundus-SMS-ide jaoks.

2.1 Ese: Kliendi isikuandmete majutamine ja töötlemine Teenuse osutamiseks. 2.2 Kestus: Tingimuste kehtivusaeg ja pärast seda kuni andmete kustutamiseni punkti 11 kohaselt. 2.3 Töötlemise laad: • kogumine broneerimislehtede, kliendiportaali, vidina ja API kaudu; • säilitamine, korrastamine, päringute tegemine ja kuvamine; • edastamine e-posti, SMS-i ja tõuketeavituste teel; • arvete ja aruannete koostamine; • valikulised tehisintellektiga toetatud funktsioonid; • eksportimine ja kustutamine. 2.4 Eesmärk: Teenuse osutamine Tingimustes kirjeldatud ja Vastutava töötleja seadistatud viisil. See hõlmab aegade broneerimist, klientide haldust, suhtlust, makseid, arveldamist, lojaalsusprogrammi, arvustusi ja nendega seotud äri juhtimise funktsioone. 2.5 Andmesubjektide ja isikuandmete liigid on loetletud I lisas.

3.1 Volitatud töötleja töötleb Kliendi isikuandmeid üksnes Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas seoses andmete edastamisega kolmandatesse riikidesse. Need juhised moodustavad Tingimused, käesolev DPA ning viis, kuidas Vastutav töötleja Teenust kasutab ja seadistab. 3.2 Volitatud töötleja võib Kliendi isikuandmeid töödelda ka siis, kui seda nõuab liidu või liikmesriigi õigus. Sellisel juhul teavitab ta Vastutavat töötlejat enne töötlemist, välja arvatud juhul, kui seadus seda keelab. 3.3 Volitatud töötleja teavitab Vastutavat töötlejat viivitamata, kui tema arvates rikub mõni juhis GDPR-i või muid andmekaitsenorme.

Volitatud töötleja tagab, et isikud, kellel on tema volitusel õigus Kliendi isikuandmeid töödelda, on seotud lepingulise või seadusjärgse konfidentsiaalsuskohustusega. Juurdepääs on piiratud isikutega, kes vajavad seda Teenuse osutamiseks, toetamiseks või turvamiseks.

5.1 Volitatud töötleja rakendab GDPR artikli 32 kohaseid asjakohaseid tehnilisi ja korralduslikke meetmeid, mida on kirjeldatud II lisas. Meetmete puhul võetakse arvesse: • teaduse ja tehnoloogia viimast arengut; • rakendamise kulusid; • töötlemise laadi, ulatust, konteksti ja eesmärke. 5.2 Volitatud töötleja võib neid meetmeid ajakohastada tingimusel, et üldine kaitsetase ei vähene.

6.1 Üldine luba. Vastutav töötleja annab Volitatud töötlejale üldise kirjaliku loa kaasata teisi volitatud töötlejaid (alamtöötlejaid). Käesoleva DPA kuupäeva seisuga kasutatavad alamtöötlejad on loetletud III lisas ja aadressil https://yappointment.com/dpa#annexIII. 6.2 Teavitamine ja vastuväide. 1. Volitatud töötleja teavitab Vastutavat töötlejat vähemalt 30 päeva enne alamtöötleja lisamist või asendamist. Ta saadab teate e-postiga konto omanikule ja ajakohastab avalikku loetelu. 2. Selle aja jooksul võib Vastutav töötleja põhjendatud andmekaitsealastel alustel esitada vastuväite, kirjutades aadressil info@yappointment.com. 3. Pooled arutavad vastuväidet heas usus. 4. Kui nad ei suuda seda lahendada, võib Vastutav töötleja enne muudatuse jõustumist lõpetada Teenuse asjaomase osa. Volitatud töötleja tagastab proportsionaalselt lõpetamisjärgse perioodi eest ette makstud tasud. 6.3 Kohustuste edasiandmine. Volitatud töötleja paneb igale alamtöötlejale kirjaliku lepinguga andmekaitsekohustused, mis on sisuliselt samad kui käesolevas DPA-s. Volitatud töötleja vastutab Vastutava töötleja ees jätkuvalt oma alamtöötlejate kohustuste täitmise eest. 6.4 Vastutava töötleja valitud teenused. Mõned integratsioonid valib, ühendab ja sõlmib nende kohta lepingu Vastutav töötleja otse. Need teenusepakkujad ei ole Volitatud töötleja alamtöötlejad. Nende hulka kuuluvad: • arveldus- või raamatupidamistarkvara; • Vastutava töötleja enda e-posti server; • Vastutava töötleja enda telefonis töötav rakendus SMS Gateway; • Vastutava töötleja enda makseteenuse pakkuja konto. Neist mõne ühendamisega annab Vastutav töötleja Volitatud töötlejale juhise saata asjakohased andmed sellele teenusele.

7.1 Võttes arvesse töötlemise laadi, aitab Volitatud töötleja asjakohaste tehniliste ja korralduslike meetmetega Vastutaval töötlejal vastata andmesubjektide GDPR III peatüki kohastele taotlustele. Teenuses: • saab Vastutav töötleja kliendikirjeid vaadata, parandada ja kustutada; • saab Vastutav töötleja oma ettevõtte andmeid eksportida; • saavad portaalikontoga lõppkliendid oma andmeid eksportida ja kustutada. 7.2 Kui Volitatud töötleja saab andmesubjektilt otse Kliendi isikuandmeid puudutava taotluse, edastab ta selle põhjendamatu viivituseta Vastutavale töötlejale. Ta ei vasta ise, välja arvatud juhul, kui Vastutav töötleja teda selleks volitab.

Volitatud töötleja osutab mõistlikku abi Vastutava töötleja GDPR artiklitest 32–36 tulenevate kohustuste täitmisel: turvalisus, rikkumisest teavitamine, andmekaitsealane mõjuhinnang ja eelnev konsulteerimine. Abi osutamisel võetakse arvesse töötlemise laadi ja Volitatud töötlejale kättesaadavat teavet.

9.1 Teenuse serverid asuvad Euroopa Liidus. 9.2 Mõned alamtöötlejad asuvad väljaspool EMP-d või võivad sealt andmetele juurde pääseda (vt III lisa). Sellise edastamise korral tugineb Volitatud töötleja ühele järgmistest: • Euroopa Komisjoni kaitse piisavuse otsus, sealhulgas ELi ja USA andmekaitseraamistik (DPF) sertifitseeritud vastuvõtjate puhul; • komisjoni rakendusotsusega (EL) 2021/914 vastu võetud lepingutüüptingimused (SCC), moodul 3 (volitatud töötlejalt volitatud töötlejale); • muu GDPR V peatüki kohane edastamismehhanism. Volitatud töötleja rakendab vajaduse korral ka täiendavaid meetmeid.

10.1 Volitatud töötleja teavitab Vastutavat töötlejat põhjendamatu viivituseta, kuid igal juhul 48 tunni jooksul pärast seda, kui ta on saanud teada Kliendi isikuandmeid mõjutavast isikuandmetega seotud rikkumisest. Teade saadetakse konto omaniku e-posti aadressile. 10.2 Teade sisaldab, niivõrd kui teave on sel hetkel kättesaadav: • rikkumise laadi; • asjaomaste andmesubjektide ja kirjete liike ning ligikaudset arvu; • tõenäolisi tagajärgi; • võetud või kavandatud meetmeid; • kontaktpunkti. Teave, mis ei ole veel kättesaadav, esitatakse etapiviisiliselt ilma edasise põhjendamatu viivituseta. 10.3 Volitatud töötleja võtab mõistlikke meetmeid rikkumise ohjeldamiseks ja kõrvaldamiseks ning dokumenteerib selle. Järelevalveasutuste ja andmesubjektide teavitamine jääb Vastutava töötleja kohustuseks. Volitatud töötleja abistab punktis 8 kirjeldatud viisil.

11.1 Tingimuste kehtivuse ajal saab Vastutav töötleja oma ettevõtte andmeid Teenuses igal ajal eksportida. 11.2 Pärast Tingimuste lõppemist on Vastutaval töötlejal oma andmete eksportimiseks aega 30 päeva. Volitatud töötleja teavitab konto omanikku e-postiga selle perioodi algusest ja kustutamise ajast. 11.3 30-päevase perioodi lõppedes kustutab Volitatud töötleja Kliendi isikuandmed automaatselt oma töökeskkonna süsteemidest: • Vastutava töötleja jaoks säilitatud failid kustutatakse; • Vastutava töötleja klientide ja töötajate andmed kustutatakse; • kui kirje ise tuleb punkti 11.4 kohaselt säilitada, siis selles sisalduvad isikuandmed hoopis anonüümitakse. 11.4 Seadusjärgse säilitamiskohustuse tõttu säilitatakse: • arved ja muud raamatupidamisdokumendid; • kassaraamat; • maksuseadustega nõutavad võltsimiskindlad maksuarvestuse kirjed, näiteks NF525. Volitatud töötleja säilitab neid üksnes seadusega ettenähtud aja jooksul ega kasuta neid muul eesmärgil. 11.5 Varasem kustutamine. Vastutav töötleja võib taotleda kustutamist enne perioodi lõppu konto iseteenindusliku kustutamisfunktsiooni kaudu või kirjutades aadressil info@yappointment.com. Kustutamine algab sel juhul pärast 72-tunnist järelemõtlemisaega, mille jooksul saab taotluse tühistada. 11.6 Varukoopiad. Varukoopiad järgivad andmebaasiteenuse pakkuja hallatavat varundusrotatsiooni. Kustutatud andmete koopiaid varukoopiates ei taastata ühelgi eesmärgil ja need aeguvad koos selle rotatsiooniga.

12.1 Volitatud töötleja teeb Vastutavale töötlejale kättesaadavaks teabe, mis on vajalik GDPR artikli 28 järgimise tõendamiseks. Taotluse korral hõlmab see tema turvameetmete kirjeldust ja kehtivat alamtöötlejate loetelu. 12.2 Kui sellest teabest ei piisa, võib Vastutav töötleja auditeerida, kas Volitatud töötleja järgib käesolevat DPA-d. Auditi viib läbi Vastutav töötleja või konfidentsiaalsuskohustusega seotud sõltumatu audiitor järgmistel tingimustel: • mitte rohkem kui üks kord mis tahes 12 kuu jooksul; • Vastutava töötleja kulul; • vähemalt 30-päevase kirjaliku etteteatamisega. 12.3 Auditid tehakse eelkõige dokumentide läbivaatusena, tuginedes küsimustikele ja punktis 12.1 nimetatud teabele. Kohapealsed auditid toimuvad üksnes: • kui järelevalveasutus seda nõuab; või • pärast Vastutava töötleja andmeid mõjutanud isikuandmetega seotud rikkumist. Neid tehakse tavalisel tööajal, Teenust häirimata ning teiste klientide andmeid või Volitatud töötleja turvalisust ohustamata. 12.4 Alamtöötlejaid auditeeritakse nende endi sertifikaatide ja aruannete kaudu, kui need on olemas.

Kummagi poole vastutuse suhtes, mis tuleneb käesolevast DPA-st või on sellega seotud, kohaldatakse Tingimuste punkti „Vastutuse piirang“. See punkt piirab kogu vastutuse summaga, mis on makstud nõude esitamisele eelnenud 12 kuu jooksul. See ei piira kummagi poole vastutust andmesubjektide ees GDPR artikli 82 alusel ega vastutust, mida ei saa seaduse järgi piirata.

14.1 Kui käesolev DPA on vastuolus Tingimustega, on Kliendi isikuandmete töötlemise osas ülimuslik käesolev DPA. Kui kohaldatakse lepingutüüptingimusi, on need ülimuslikud mõlema suhtes. 14.2 Volitatud töötleja võib käesolevat DPA-d ajakohastada, et kajastada muudatusi õigusaktides, Teenuses või alamtöötlejates. Ta järgib Tingimuste (oluliste muudatuste korral 30 päeva) ja punkti 6.2 teavitamisreegleid. Ajakohastamine ei vähenda Kliendi isikuandmetele antavat kaitset. 14.3 Käesolevale DPA-le kohaldatakse Slovaki Vabariigi õigust. Vaidlused lahendavad Slovaki Vabariigi pädevad kohtud, nagu on sätestatud Tingimustes.

Andmesubjektide liigid, mis määratakse Vastutava töötleja Teenuse kasutamisega: • Vastutava töötleja kliendid ning potentsiaalsed kliendid, kes broneerivad, registreeruvad või esitavad päringu; • Vastutava töötleja töötajad ja kasutajad: broneerimislehtedel kuvatavad töötajad, lepingupartnerid ja teenuseosutajad; • Vastutava töötleja äriklientide ja tarnijate kontaktisikud, kui neid säilitatakse. Isikuandmete liigid: • isiku- ja kontaktandmed: nimi, e-posti aadress, telefoninumber, posti- või arveldusaadress ning arve esitamise korral maksukohustuslase number; • broneeringuandmed: broneeringud, teenused, ajad, asukohad, töötajad, märkused, tühistamised, ootenimekirja kanded, kohalolek; • kliendikonto andmed: portaalikonto, eelistused, keel, tõuketeavituste seadmelubad (tokenid); • tehinguandmed: tellimused, maksed ja makse olek, pääsmed ja kasutusõigused, arved, kreeditarved. Kaardinumbreid käsitleb makseteenuse pakkuja ja Teenus neid ei säilita; • lojaalsus- ja turundusandmed: punktid, vautšerid, nõusoleku märked; • arvustused ja tagasiside; • suhtlusandmed: Teenuse kaudu saadetud e-kirjad, SMS- ja vestlussõnumid ning nende kohaletoimetamise olek; • tehnilised andmed: IP-aadress, seadme ja brauseri teave, logid. Eriliigilised andmed: Teenus ei ole mõeldud GDPR artikli 9 kohaste eriliigiliste andmete töötlemiseks. Vastutav töötleja vastutab selle eest, et ta selliseid andmeid ei sisesta. Kui tema tegevus muudab selle vältimatuks, näiteks tervisega seotud vastuvõttude puhul, vastutab Vastutav töötleja õigusliku aluse ja asjakohaste kaitsemeetmete olemasolu eest. Sagedus: pidev, Tingimuste kehtivuse ajal.

1. Kliendikeskkondade eraldamine. Iga ettevõtte andmed on piiritletud tema ettevõtte identifikaatoriga. Andmetele juurdepääsu kiht nõuab iga kliendikeskkonna päringu puhul ettevõtte filtrit ja kustutamine kasutab sama ettevõttepõhist piiritlust. 2. Krüptimine edastamisel ja salvestatuna. Avalikud lõpp-punktid kasutavad HTTPS-i koos TLS 1.2/1.3 ja HSTS-iga. Väljaminevate ühenduste puhul on TLS-sertifikaatide kontrollimine vaikimisi sisse lülitatud. Andmebaasis ja failihoidlas salvestatud andmeid kaitseb taristuteenuse pakkuja tagatud salvestatud andmete krüptimine. 3. Saladuste krüptimine. Järgmisi andmeid säilitatakse AES-256-GCM-iga krüptituna, kasutades väljaspool andmebaasi hoitavaid võtmeid: • ühendatud arveldusteenuse pakkujate OAuth-lubad (tokenid); • kolmandate osapoolte integratsioonide volitusandmed, versioonitud võtmetega; • veebihaakide (webhook) allkirjastamise saladused; • salvestatud e-posti volitusandmed. Lubasid ei kirjutata kunagi logidesse. 4. Autentimine. Paroolid räsitakse Argon2id-ga. Kasutada saab kaheastmelist autentimist. Sisemine halduspaneel nõuab kaheastmelist autentimist ja eraldi API-võtit. 5. Juurdepääsukontroll. Vastutav töötleja saab anda oma kasutajatele rolli- ja õigusepõhise juurdepääsu. Iga API-päring on autenditud: kasutajate puhul JWT-ga, integratsioonide puhul API-võtmetega ja mobiilirakenduste puhul seadmelubadega. 6. Kaitse kuritarvitamise eest. • Päringute piiramine toimib tõrke korral suletud režiimis: päringud lükatakse tagasi, kui piirangute hoidla ei ole kättesaadav. • Otsingumustrites kasutatav kasutaja sisend varjestatakse (escape). • Väljaminevaid URL-e valideeritakse serveripoolse päringu võltsimise (SSRF) vastu. 7. Võimalikult väheste andmete kogumine ja kustutamine. Kustutamine toimub automaatselt pärast lõpetamisjärgset eksportimisperioodi ja taotluse korral pärast 72-tunnist järelemõtlemisaega. See eemaldab või anonüümib kõik ettevõttega seotud andmed ja failid, säilitab üksnes seadusega nõutavad kirjed ja jätab auditijälje. Ettevõtetele ja lõppklientidele on kättesaadav iseteeninduslik eksportimine ja kustutamine. 8. Käideldavus ja vastupidavus. Mitu API-sõlme töötab olekukontrolliga koormusjaoturi taga hallatud andmebaasiteenusel. Varukoopiad järgivad andmebaasiteenuse pakkuja hallatavat varundusrotatsiooni. Kustutatud andmete koopiaid varukoopiates ei taastata ühelgi eesmärgil ja need aeguvad koos selle rotatsiooniga. 9. Korralduslikud meetmed. • Juurdepääs töökeskkonnale on piiratud ühe isikuga, Volitatud töötleja juhatuse liikmega. • Juurutamine toimub ainult versioonihalduse all olevast peaharust. • Töötajad on seotud konfidentsiaalsuskohustusega.

Volitatud töötleja kasutab järgmisi alamtöötlejaid. Integratsioonid, mille Vastutav töötleja ise valib ja ühendab, ei ole alamtöötlejad (punkt 6.4). Nende hulka kuuluvad arveldus- või raamatupidamistarkvara, Vastutava töötleja enda e-posti server, tema enda seadmes olev rakendus SMS Gateway ja tema enda makseteenuse pakkuja konto.