Andmetöötluslepe

See andmetöötluslepe ("ATL") sõlmitakse statycs'i teenuseid kehtiva teenuselepingu alusel kasutava kliendi ("Vastutav töötleja") ja statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viin, Austria ("Volitatud töötleja") vahel.

See ATL reguleerib isikuandmete töötlemist statycs'i poolt Vastutava töötleja nimel seoses statycs'i SaaS-platvormiga finantsplaneerimiseks ja -analüüsiks. See jõustub, kui Vastutav töötleja aktsepteerib kasutustingimused või sõlmib muul viisil statycs'iga teenuselepingu, ning kehtib seni, kuni statycs töötleb isikuandmeid Vastutava töötleja nimel. Selle ATL ja muude lepingusätete vahelise vastuolu korral on ATL andmekaitse küsimustes ülimuslik.

Töötlemise ese. Isikuandmete töötlemine, mis on vajalik statycs'il oma finantsplaneerimise ja -analüüsi platvormi osutamiseks Vastutavale töötlejale.

Töötlemise kestus. Aluseks oleva teenuselepingu kehtivuse ajaks, sealhulgas §11 kohane lõpetamis- ja kustutamisperiood.

statycs töötleb isikuandmeid, et pakkuda Vastutavale töötlejale oma finantsplaneerimise ja -analüüsi platvormi. Selles leppes tähendab "kliendi sisu" andmeid, mille Vastutav töötleja platvormile üles laadib, ning nendest loodud aruandeid, plaane ja muid väljundeid. Töötlemine hõlmab andmete kogumist, salvestamist, korraldamist, struktureerimist, otsimist, konsulteerimist, kasutamist ja kustutamist ulatuses, mis on vajalik teenuse osutamiseks.

Töötlemine toimub ainult Vastutava töötleja dokumenteeritud juhiste alusel. Need juhised hõlmavad koondatud ja anonümiseeritud statistika ning tööstuse võrdlusaluste koostamist; pärast anonümiseerimist ei ole selline väljund enam isikuandmed ja jääb selle ATL kohaldamisalast välja. statycs ei töötle isikuandmeid muul eesmärgil kui kokkulepitud teenuse osutamine, välja arvatud juhul, kui seda nõuab EL-i või Austria õigus. Sel juhul teavitab statycs Vastutavat töötlejat juriidilisest nõudest enne töötlemist, välja arvatud juhul, kui seadus keelab sellise teavitamise.

Isikuandmete kategooriad. Võib töödelda järgmisi isikuandmete liike: nimed, emailiaadressid, telefoninumbrid, ametinimetused, ettevõtte kuuluvus, IP-aadressid, brauseri ja seadme andmed ning kõik muud isikuandmed, mille Vastutav töötleja platvormile sisestab. Platvormile üleslaetud finantsandmed - näiteks raamatupidamisarvestus, aruanded ja plaanid - võivad sisaldada isikuandmeid ulatuses, milles Vastutav töötleja neid kaasab.

Andmesubjektide kategooriad. Andmesubjektide hulka võivad kuuluda Vastutava töötleja töötajad, töövõtjad, kliendid, tarnijad, investorid ja kõik muud füüsilised isikud, kelle isikuandmeid Vastutav töötleja platvormi kaudu töötleb.

Vastutav töötleja on GDPR-i kohane andmete vastutav töötleja ja vastutab ainuisikuliselt isikuandmete töötlemise seaduslikkuse tagamise eest, sealhulgas kehtiva õigusliku aluse olemasolu nii töötlemise enda kui ka andmete statycs'ile edastamise jaoks.

Vastutav töötleja vastutab statycs'ile esitatud isikuandmete täpsuse, kvaliteedi ja seaduslikkuse eest ning kõigi kohaldatavate andmekaitseseaduste täitmise eest, sealhulgas andmesubjektide teavitamise eest nende andmete töötlemisest.

statycs kohustub:

• Töötlema isikuandmeid ainult Vastutava töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui seadus nõuab teisiti
• Tagama, et kõik isikuandmete töötlemiseks volitatud isikud on seotud kirjaliku konfidentsiaalsuskohustusega
• Rakendama asjakohaseid tehnilisi ja organisatsioonilisi meetmeid, et tagada riskiga proportsionaalne turvalisuse tase
• Abistama Vastutavat töötlejat vastamisel andmesubjektide taotlustele GDPR-i artiklite 15 kuni 22 alusel
• Abistama Vastutavat töötlejat GDPR-i artiklite 32 kuni 34 täitmisel, andmekaitsemõju hindamistel ja eelneval konsulteerimisel järelevalveasutustega, arvestades töötlemise laadi ja statycs'ile kättesaadavat teavet
• Teavitama Vastutavat töötlejat põhjendamatu viivituseta isikuandmete rikkumisest teadlikuks saamisel
• Vastutava töötleja valikul kustutama või tagastama kõik isikuandmed Vastutavale töötlejale teenuselepingu lõppemisel, välja arvatud juhul, kui säilitamist nõuab seadus
• Teavitama Vastutavat töötlejat viivitamata, kui statycs'i arvates rikub juhis GDPR-i või muid kohaldatavaid andmekaitseseadusi

statycs täidab GDPR-i artikli 28(3)(h) kohased auditikohustused, esitades põhjendatud kirjaliku taotluse korral ja mitte rohkem kui korra kaheteistkümne kuu jooksul oma praeguse turvakokkuvõtte, alamtöötlejate nimekirja ja kirjalikud vastused Vastutava töötleja põhjendatud küsimustikule. Lisaks võib Vastutav töötleja - või sõltumatu audiitor, kelle ta on konfidentsiaalsuskohustuse alusel volitanud - teha kohapealseid auditeid mitte rohkem kui korra iga kahekümne nelja kuu jooksul, või igal ajal pärast järelevalveasutuse volitust või põhjendatud rikkumistekahtlust. Kohapealsed auditid toimuvad Vastutava töötleja kulul, kolmekümne päevase eelneva kirjaliku etteteatamisega, tööajal, kusjuures ulatus, ajastus ja konfidentsiaalsus lepitakse eelnevalt kirjalikult kokku.

statycs kaasab teenuse osutamisel järgmisi pakkujaid. Hetzner, Cloudflare ja Hanko töötlevad isikuandmeid Vastutava töötleja nimel ning on alamtöötlejad GDPR-i artikli 28 tähenduses. PostHog ja Stripe on loetletud läbipaistvuse huvides; nende rollid on esitatud nende kirjete juures. Vastutav töötleja annab statycs'ile käesolevaga GDPR-i artikli 28(2) tähenduses ja selle jaotise kohaselt üldise kirjaliku loa kaasata allpool loetletud alamtöötlejad ning teha neis muudatusi.

• Hetzner (Hetzner Online GmbH, Saksamaa) - majutus
• Cloudflare (Cloudflare, Inc., USA) - sisuedastus, TLS-ühenduse lõpetamine ja robotikaitse aadressil app.statycs.com
• Hanko (Hanko GmbH, Saksamaa) - autentimine
• PostHog (PostHog Inc., USA; PostHog Cloud EU majutatud Saksamaal) - tooteanalüütika. statycs määrab oma tooteanalüütika eesmärgid ja on selle vastutav töötleja, mistõttu PostHog tegutseb selle tegevuse puhul statycs'i enda volitatud töötlejana, mitte Vastutava töötleja alamtöötlejana
• Stripe (Stripe Payments Europe Ltd., Iirimaa; Stripe, LLC, USA) - maksete töötlemine ja tellimuste arveldus. Maksete teostamisel ja oma regulatiivsete kohustuste täitmisel tegutseb Stripe sõltumatu vastutava töötlejana ning on siin nimetatud läbipaistvuse huvides, mitte Vastutava töötleja alamtöötlejana

statycs tagab, et kõik alamtöötlejad on seotud kirjalike lepingutega, mis kehtestavad samaväärsed andmekaitsekohustused. Vastutavat töötlejat teavitatakse kavandatavatest muudatustest alamtöötlejates vähemalt kolmkümmend päeva ette. Vastutav töötleja võib teavitamise saamisest neliteist päeva jooksul esitada vastuväite uue alamtöötleja vastu põhjendatud alustel. Kui vastuväidet ei suudeta lahendada, võib Vastutav töötleja lõpetada lepingu, mis jõustub alamtöötleja muudatuse jõustumise kuupäeval, ning statycs tagastab ettemakstud tasud proportsionaalselt kasutamata perioodi eest.

Kliendi sisu - platvormile üleslaetud finantsandmeid, aruandeid ja plaane - hoitakse koos varukoopiatega üksnes Euroopa Liidus asuvates serverites. Majutuse tagab Hetzner (Saksamaa) ja autentimise Hanko (Saksamaa). Tooteanalüütika töötab PostHog Cloud EU-s (Saksamaa), mis võtab vastu kasutussündmusi, kuid mitte kunagi kliendi sisu.

Sellest jääb välja kolm asja. Makse- ja arveldusandmeid töötleb Stripe, kes käitab taristut Ameerika Ühendriikides. Cloudflare lõpetab TLS-ühenduse aadressil app.statycs.com, mistõttu võib liiklus teel läbida väljaspool Euroopa Liitu asuvaid asukohti, kuigi kliendi sisu seal ei säilitata. Lisaks kuulub mitu pakkujat, sealhulgas Cloudflare ja PostHog, Ameerika Ühendriikides asutatud emaettevõtjate kontrolli alla, mistõttu jääb tugi- või haldusjuurdepääs väljastpoolt EMP-d võimalikuks ka siis, kui serverid asuvad Euroopas. statycs käsitleb kõiki kolme andmeedastusena GDPR-i V peatüki tähenduses.

Nende edastuste puhul tugineb statycs Euroopa Komisjoni vastu võetud EL-i lepingu tüüptingimustele, millele lisanduvad vajaduse korral täiendavad tehnilised ja organisatsioonilised meetmed, ning - juhul kui asjaomane vastuvõtja on sertifitseeritud - Euroopa Komisjoni 10. juuli 2023. aasta kaitse piisavuse otsusele EL-i ja USA andmekaitseraamistiku kohta (EU-US Data Privacy Framework). statycs hindab sihtriikide õigusraamistikku korrapäraselt uuesti, sealhulgas seda, kas kaitse piisavuse otsused, millele ta tugineb, on jätkuvalt jõus. Kaitsemeetmete koopia on taotluse korral saadaval aadressil [email protected].

statycs rakendab isikuandmete kaitsmiseks asjakohaseid tehnilisi ja organisatsioonilisi meetmeid, sealhulgas:

• Andmete krüpteerimine edastamisel (TLS) ja salvestamisel
• Rollipõhised juurdepääsukontrollid minimaalsete õiguste põhimõtte alusel
• Mitmefaktoriline autentimine sisemiste süsteemide jaoks
• Perioodilised turvakontrollid, mis on proportsionaalsed töötlemise olemuse ja ulatusega, sealhulgas aeg-ajalt kolmandate osapoolte testimine
• Automatiseeritud andmete varundamine ja katastroofi taastamise protseduurid
• Isikuandmetele juurdepääsu logimine ja jälgimine
• Töötajate turvateadlikkuse koolitus

Tehniliste ja organisatsiooniliste meetmete praegune kirjeldus on taotluse korral saadaval aadressil [email protected].

statycs teavitab Vastutavat töötlejat põhjendamatu viivituseta igast isikuandmete rikkumisest, millest ta teada saab. GDPR-i artikkel 33(2) ei sea volitatud töötleja poolt vastutavale töötlejale esitatavale teavitusele riskilävendit ning ka statycs ühtegi lävendit ei kohalda.

Teavitus sisaldab teadaolevas ulatuses: rikkumise laadi, mõjutatud andmesubjektide kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi, rikkumise kõrvaldamiseks ja selle mõju leevendamiseks võetud või kavandatavaid meetmeid ning kontaktpunkti ([email protected]), kellelt Vastutav töötleja saab täiendavat teavet.

statycs teeb Vastutava töötlejaga koostööd ja võtab mõistlikke meetmeid, et aidata rikkumise uurimisel, piiramisel ja kõrvaldamisel.

Selle ATL kohane vastutus andmete töötlemise eest on reguleeritud aluseks oleva teenuselepingu kasutustingimustega. Miski selles ATL-is ei muuda ega laienda poolte vahel kokkulepitud vastutuse sätteid.

Kumbki pool vastutab GDPR-i rikkuvast töötlemisest põhjustatud kahju eest vastavalt GDPR-i artiklile 82. statycs vastutab ainult kahju eest, mis on põhjustatud töötlemisest, mis ei vasta GDPR-i spetsiaalselt volitatud töötlejatele suunatud nõuetele või Vastutava töötleja seaduslikele juhistele.

See ATL lõpeb automaatselt Vastutava töötleja ja statycs'i vahelise aluslepingu lõppemisel, kuid jääb kehtima kõigi isikuandmete suhtes, mida statycs veel Vastutava töötleja nimel hoiab, kuni need andmed on selle jaotise kohaselt tagastatud või kustutatud.

Lõppemisel säilitatakse Vastutava töötleja nimel töödeldud isikuandmeid 30 päeva. Selle perioodi jooksul võib Vastutav töötleja valida, kas statycs tagastab andmed struktureeritud, üldkasutatavas ja masinloetavas formaadis või kustutab need. Valiku puudumisel statycs kustutab need: tootmissüsteemidest 30 päeva möödumisel ning krüpteeritud varukoopiatest järgmise varundustsükli jooksul. statycs võib säilitada isikuandmeid selle perioodi ületades ainult juhul, kui seda nõuab EL-i või Austria õigus, ning teavitab Vastutavat töötlejat igast sellisest nõudest.

Seda ATL-i reguleerib Austria õigus. Ainupädev kohtualluvus on Viini pädev kohus.

See ATL avaldatakse mitmes keeles. Ingliskeelne versioon on siduv versioon ja reguleerib poolte vahelist lepingut. Kõik muud keeleversioonid on esitatud üksnes mugavuse huvides; lahknevuse korral on ülimuslik ingliskeelne versioon.