Andmetöötluslepe

See andmetöötluslepe ("ATL") sõlmitakse statycs'i teenuseid kehtiva teenuselepingu alusel kasutava kliendi ("Vastutav töötleja") ja statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viin, Austria ("Volitatud töötleja") vahel.

See ATL reguleerib isikuandmete töötlemist statycs'i poolt Vastutava töötleja nimel seoses statycs'i SaaS-platvormiga finantsplaneerimiseks ja -analüüsiks. See jõustub, kui Vastutav töötleja aktsepteerib kasutus- ja tingimused või sõlmib muul viisil statycs'iga teenuselepingu, ning kehtib seni, kuni statycs töötleb isikuandmeid Vastutava töötleja nimel. Selle ATL ja muude lepingusätete vahelise vastuolu korral on ATL andmekaitse küsimustes ülimuslik.

Töötlemise ese. Isikuandmete töötlemine, mis on vajalik statycs'il oma finantsplaneerimise ja -analüüsi platvormi osutamiseks Vastutavale töötlejale.

Töötlemise kestus. Aluseks oleva teenuselepingu kehtivuse ajaks, sealhulgas §11 kohane lõpetamis- ja kustutamisperiood.

statycs töötleb isikuandmeid, et pakkuda Vastutavale töötlejale oma finantsplaneerimise ja -analüüsi platvormi. Töötlemine hõlmab andmete kogumist, salvestamist, korraldamist, struktureerimist, otsimist, konsulteerimist, kasutamist ja kustutamist ulatuses, mis on vajalik teenuse osutamiseks.

Töötlemine toimub ainult Vastutava töötleja dokumenteeritud juhiste alusel. statycs ei töötle isikuandmeid muul eesmärgil kui kokkulepitud teenuse osutamine, välja arvatud juhul, kui seda nõuab EL-i või Austria õigus. Sel juhul teavitab statycs Vastutavat töötlejat juriidilisest nõudest enne töötlemist, välja arvatud juhul, kui seadus keelab sellise teavitamise.

Isikuandmete kategooriad. Võib töödelda järgmisi isikuandmete liike: nimed, emailiaadressid, telefoninumbrid, ametinimetused, ettevõtte kuuluvus, IP-aadressid, brauseri ja seadme andmed ning kõik muud isikuandmed, mille Vastutav töötleja platvormile sisestab. Platvormile üleslaetud finantsandmed - näiteks raamatupidamisarvestus, aruanded ja plaanid - võivad sisaldada isikuandmeid ulatuses, milles Vastutav töötleja neid kaasab.

Andmesubjektide kategooriad. Andmesubjektide hulka võivad kuuluda Vastutava töötleja töötajad, töövõtjad, kliendid, tarnijad, investorid ja kõik muud füüsilised isikud, kelle isikuandmeid Vastutav töötleja platvormi kaudu töötleb.

Vastutav töötleja on GDPR-i kohane andmete vastutav töötleja ja vastutab ainuisikuliselt isikuandmete töötlemise seaduslikkuse tagamise eest, sealhulgas kehtiva õigusliku aluse olemasolu nii töötlemise enda kui ka andmete statycs'ile edastamise jaoks.

Vastutav töötleja vastutab statycs'ile esitatud isikuandmete täpsuse, kvaliteedi ja seaduslikkuse eest ning kõigi kohaldatavate andmekaitseseaduste täitmise eest, sealhulgas andmesubjektide teavitamise eest nende andmete töötlemisest.

statycs kohustub:

• Töötlema isikuandmeid ainult Vastutava töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui seadus nõuab teisiti
• Tagama, et kõik isikuandmete töötlemiseks volitatud isikud on seotud kirjalike konfidentsiaalsuskohustusega
• Rakendama asjakohaseid tehnilisi ja organisatsioonilisi meetmeid, et tagada riskiga proportsionaalne turvalisuse tase
• Abistama Vastutavat töötlejat vastamisel andmesubjektide taotlustele GDPR-i artiklite 15 kuni 22 alusel
• Abistama Vastutavat töötlejat artiklite 32 kuni 34 GDPR-i täitmisel, andmekaitsemõju hindamistel ja eelneval konsulteerimisel järelevalveasutustega, arvestades töötlemise laadi ja statycs'ile kättesaadavat teavet
• Teavitama Vastutavat töötlejat põhjendamatu viivituseta isikuandmete rikkumisest teadlikuks saamisel
• Kustutama või tagastama kõik isikuandmed Vastutavale töötlejale teenuselepingu lõppemisel, välja arvatud juhul, kui säilitamist nõuab seadus
• Teavitama Vastutavat töötlejat viivitamata, kui statycs'i arvates rikub juhis GDPR-i või muid kohaldatavaid andmekaitseseadusi

statycs täidab GDPR-i artikli 28(3)(h) kohased auditikohustused, esitades põhjendatud kirjaliku taotluse korral ja mitte rohkem kui korra kaheteistkümne kuu jooksul oma praeguse turvakokkuvõtte, alamtöötlejate nimekirja ja kirjalikud vastused Vastutava töötleja põhjendatud küsimustikule. Lisaks võib Vastutav töötleja - või sõltumatu audiitor, kelle ta on konfidentsiaalsuskohustuse alusel volitanud - teha kohapealseid auditeid mitte rohkem kui korra iga kahekümne nelja kuu jooksul, või igal ajal pärast järelevalveasutuse volitust või põhjendatud rikkumistekahtlust. Kohapealsed auditid toimuvad Vastutava töötleja kulul, kolmekümne päevase eelneva kirjaliku etteteatamisega, tööajal, kusjuures ulatus, ajastus ja konfidentsiaalsus lepitakse eelnevalt kirjalikult kokku.

statycs kasutab teenuse osutamiseks järgmisi alamtöötlejaid:

• Google Analytics (Google LLC, USA) - analüütika
• PostHog (PostHog Inc., USA; PostHog Cloud EU majutatud Saksamaal) - tooteanalüütika
• Hanko (Hanko GmbH, Saksamaa) - autentimine
• Zero (Zero Inc., Soome) - CRM
• Hetzner (Hetzner Online GmbH, Saksamaa) - majutus
• Chatwoot (Chatwoot Inc., USA) - reaalajas vestlus veebisaidi külastajatele, mitte rakenduse kasutajatele

statycs tagab, et kõik alamtöötlejad on seotud kirjalike lepingutega, mis kehtestavad samaväärsed andmekaitsekohustused. Vastutavat töötlejat teavitatakse kavandatavatest muudatustest alamtöötlejates vähemalt kolmkümmend päeva ette. Vastutav töötleja võib teavitamise saamisest neliteist päeva jooksul esitada vastuväite uue alamtöötleja vastu põhjendatud alustel. Kui vastuväidet ei suudeta lahendada, võib Vastutav töötleja lõpetada lepingu, mis jõustub alamtöötleja muudatuse jõustumise kuupäeval, ning statycs tagastab ettemakstud tasud proportsionaalselt kasutamata perioodi eest.

statycs salvestab ja töötleb kliendiandmeid Euroopa Liidus ja Euroopa Majanduspiirkonnas. Kui andmeid tuleb edastada EL-ist või EMP-st väljaspool asuvatele alamtöötlejatele - eelkõige Ameerika Ühendriikidesse - tagab statycs asjakohaste kaitsemeetmete olemasolu vastavalt GDPR-i peatükile V.

Need kaitsemeetmed hõlmavad Euroopa Komisjoni poolt vastuvõetud EL-i standardlepinguklausleid ning vajaduse korral piisavuse otsuseid. statycs hindab regulaarselt vastuvõtvate riikide õigusraamistikku, et tagada pidev vastavus. Kaitsemeetmete koopia on taotluse korral saadaval aadressil [email protected].

statycs rakendab isikuandmete kaitsmiseks asjakohaseid tehnilisi ja organisatsioonilisi meetmeid, sealhulgas:

• Andmete krüpteerimine edastamisel (TLS) ja salvestamisel
• Rollipõhised juurdepääsukontrollid minimaalsete õiguste põhimõtte alusel
• Mitmefaktoriline autentimine sisemiste süsteemide jaoks
• Perioodilised turvakontrollid, mis on proportsionaalsed töötlemise olemuse ja ulatusega, sealhulgas aeg-ajalt kolmandate osapoolte testimine
• Automatiseeritud andmete varundamine ja katastroofi taastamise protseduurid
• Isikuandmetele juurdepääsu logimine ja jälgimine
• Töötajate turvateadlikkuse koolitus

Tehniliste ja organisatsiooniliste meetmete praegune kirjeldus on taotluse korral saadaval aadressil [email protected].

statycs teavitab Vastutavat töötlejat põhjendamatu viivituseta, kui saab teadlikuks isikuandmete rikkumisest, mis tõenäoliselt kujutab endast riski andmesubjektide õigustele ja vabadustele.

Teavitus sisaldab teadaolevast ulatuses: rikkumise laadi, mõjutatud andmesubjektide kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi, rikkumise kõrvaldamiseks ja selle mõju leevendamiseks võetud või kavandatavaid meetmeid ning kontaktpunkti ([email protected]), kellelt Vastutav töötleja saab täiendavat teavet.

statycs teeb Vastutava töötlejaga koostööd ja võtab mõistlikke meetmeid, et aidata rikkumise uurimisel, piiramisel ja kõrvaldamisel.

Selle ATL kohane vastutus andmete töötlemise eest on reguleeritud aluseks oleva teenuselepingu kasutustingimustega. Miski selles ATL-is ei muuda ega laienda poolte vahel kokkulepitud vastutuse sätteid.

Kumbki pool vastutab GDPR-i rikkumisest põhjustatud töötlemisest tingitud kahju eest vastavalt GDPR-i artiklile 82. statycs vastutab ainult kahju eest, mis on põhjustatud töötlemisest, mis ei vasta GDPR-i kohastele volitatud töötlejale suunatud kohustuslikele sätetele või Vastutava töötleja seaduslikele juhistele.

See ATL lõpeb automaatselt Vastutava töötleja ja statycs'i vahelise aluslepingu lõppemisel.

Lõppemisel säilitatakse Vastutava töötleja nimel töödeldud isikuandmeid 30 päeva ja seejärel kustutatakse jäädavalt, välja arvatud juhul, kui Vastutav töötleja taotleb andmete tagastamist struktureeritud, üldkasutatavas formaadis selle perioodi jooksul. statycs võib säilitada isikuandmeid selle perioodi ületades ainult juhul, kui seda nõuab EL-i või Austria õigus, ning teavitab Vastutavat töötlejat sellistest nõuetest.

Seda ATL-i reguleerib Austria õigus. Eksklusiivne kohtualluvuse koht on Viini pädev kohus.