Andmetöötlusleping (ATL)
§1 Ese, kestus ja eesmärk
Käesolev andmetöötlusleping (ATL) reguleerib IKÜM art 28 alusel isikuandmete töötlemist, mida UAB NVGroup ("Volitatud töötleja") teeb kliendi ("Vastutav töötleja") tellimusel, kasutades demurrit.eu teenust (edaspidi — Teenus).
Töötlemise eesmärk — Teenuse osutamine: andmete eraldamine kauba- ja tollidokumentidest, arvete/deklaratsioonide kontroll ning sellega seotud aruannete/nõuete koostamine Vastutava töötleja huvides.
Töötlemise kestus — käesolev ATL kehtib seni, kuni kehtib Vastutava töötleja ja Volitatud töötleja vaheline aluseks olev teenuseosutamisleping. Pärast alusleppe lõppemist kohaldatakse §7 (Andmete tagastamine ja kustutamine lepingu lõppemisel).
Andmesubjektide kategooriad — Vastutava töötleja töötajad ja kliendiportaali kasutajad (nimi, e-post, roll organisatsioonis); ning kolmandad isikud, kelle andmed sisalduvad Vastutava töötleja üleslaaditud dokumentide sisus (nt juhid, kontaktisikud, saajad).
Isikuandmete kategooriad — kontaktandmed (nimi, e-post, telefon), kauba-/tollidokumentidega seotud andmed (sõiduki registreerimisnumber, juhi nimi, aadressid, allkirjad dokumentidel) ning konto kasutamise andmed (sisselogimisajad, tegevuslogi).
§2 Töötlemise asukoht
Kogu Teenuse põhitöötlus ja säilitamine toimub eranditult ELi/EMP piires: rakendusserver ja andmebaas — netcup GmbH andmekeskuses Nürnbergis, Saksamaal; dokumentide talletamine — Hetzner Online GmbH andmekeskuses, samuti Nürnbergis; varukoopiad — Akenes SA (Exoscale) andmekeskuses Viinis, Austrias.
Andmete edastamine väljapoole EMP-d toimub kahel juhul: (1) automatiseeritud andmete eraldamiseks dokumentidest, mida ei saa töödelda deterministlikult ELi infrastruktuuris (vt Privaatsuspoliitika punkti 6.1 — astmeline töötlemine, enamik dokumente EI LAHKU KUNAGI ELi-st), edastatakse sisu Anthropic PBC-le, mis on registreeritud USA-s; (2) e-kirjade (arvete, sisselogimislinkide, meeldetuletuste) saatmiseks, Proton AG kaudu, mis on registreeritud Šveitsis.
USA-l ei ole üldist piisavusotsust; edastamine Anthropic PBC-le põhineb ELi standardsetel lepingutingimustel (IKÜM art 46), mis on osa Anthropicu andmetöötlustingimustest. Šveitsi suhtes kohaldatakse Euroopa Komisjoni piisavusotsust (IKÜM art 45) — Proton AG-le edastamiseks ei ole vaja täiendavaid kaitsemeetmeid.
§3 Alltöötlejate nimekiri (heakskiidetud volitatud töötlejad)
| Alltöötleja | Asukoht | Eesmärk |
|---|---|---|
| netcup GmbH | Registreeritud: Karlsruhe, DE<br>Andmekeskus: Nürnberg, DE | Serveri majutus, rakendus + andmebaas |
| Hetzner Online GmbH | Nürnberg, DE | Dokumentide talletamine (S3-ühilduv) |
| Akenes SA (Exoscale) | Registreeritud: Šveits<br>Andmekeskus: Viin, AT (IKÜM art 45 piisavusotsus Šveitsile) | Krüpteeritud varukoopiad |
| Anthropic PBC | San Francisco, USA (IKÜM art 46 standardsed lepingutingimused) | Tehisintellektil põhinev andmete eraldamine dokumentidest, mida ei saa töödelda deterministlikult |
| Proton AG | Šveits (IKÜM art 45 piisavusotsus) | E-kirjade saatmine (arved, sisselogimislingid, meeldetuletused) |
Käesoleva ATL-iga annab Vastutav töötleja Volitatud töötlejale üldise loa kaasata eespool nimetatud alltöötlejaid. Volitatud töötleja kohustub teavitama Vastutavat töötlejat igast kavandatavast muudatusest, mis puudutab alltöötleja kaasamist või vahetamist, hiljemalt 30 kalendripäeva ette (vt Privaatsuspoliitika punkti 7), et Vastutaval töötlejal oleks võimalus esitada 15 päeva jooksul põhjendatud vastuväide. Kui selline vastuväide esitatakse ja pooled ei jõua mõistliku aja jooksul kokkuleppele alternatiivi osas, on kummalgi poolel õigus lõpetada alusleping selle Teenuse osa suhtes, mis vajab vaidlustatud alltöötlejat.
§4 Volitatud töötleja kohustused
Volitatud töötleja kohustub:
- töötlema isikuandmeid ainult Vastutava töötleja dokumenteeritud juhiste kohaselt (sealhulgas juhised, mis puudutavad isikuandmete edastamist kolmandasse riiki), välja arvatud juhul, kui seda nõuab liidu või liikmesriigi õigus — sellisel juhul teavitab Volitatud töötleja enne töötlemise alustamist Vastutavat töötlejat sellisest õiguslikust nõudest, välja arvatud juhul, kui selline teave on keelatud olulise avaliku huvi tõttu;
- tagama, et isikud, kellel on õigus isikuandmeid töödelda, on kirjalikult kohustunud konfidentsiaalsust hoidma või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus;
- võtma §6 nimetatud tehnilisi ja korralduslikke meetmeid vastavalt IKÜM art 32;
- järgima §3 nimetatud tingimusi alltöötlejate kaasamiseks;
- võttes arvesse töötlemise laadi, abistama Vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega, et täita tema kohustust vastata taotlustele andmesubjekti õiguste teostamiseks (IKÜM III peatükk);
- abistama Vastutavat töötlejat IKÜM art 32–36 kohustuste (töötlemise turvalisus, rikkumisest teatamine, andmekaitsealase mõjuhinnangu koostamine, eelnev konsulteerimine) täitmise tagamisel, võttes arvesse töötlemise laadi ja Volitatud töötlejale kättesaadavat teavet;
- Vastutava töötleja valikul pärast töötlemisega seotud teenuste osutamise lõppemist kustutama või tagastama Vastutavale töötlejale kõik isikuandmed ning kustutama olemasolevad koopiad, kui liidu või liikmesriigi õigus ei nõua isikuandmete säilitamist (vt §7);
- andma Vastutavale töötlejale kogu teabe, mis on vajalik IKÜM art 28 sätestatud kohustuste täitmise tõendamiseks, ning võimaldama ja kaasa aitama auditite, sealhulgas kontrollide läbiviimisele, mida teostab Vastutav töötleja või tema volitatud audiitor (vt §5).
§5 Auditiõigus
Vastutaval töötlejal on õigus, teatades sellest kirjalikult vähemalt 20 tööpäeva ette, mitte rohkem kui üks kord kalendriaastas (välja arvatud juhul, kui audit viiakse läbi põhjendatud kahtluse tõttu rikkumise suhtes — sellisel juhul etteteatamistähtaega ei kohaldata), nõuda Volitatud töötlejalt dokumente, mis kinnitavad käesoleva ATL-i ja IKÜM art 28 järgimist. Audit viiakse läbi tavapärasel tööajal, häirimata põhjendamatult Volitatud töötleja tegevust, ning konkreetse auditiga seotud mõistlikud kulud kannab Vastutav töötleja, välja arvatud juhul, kui audit tuvastab tegeliku IKÜM-i või käesoleva ATL-i rikkumise.
§6 Tehnilised ja organisatsioonilised meetmed (TOM)
Need meetmed on käesoleva dokumendi koostamise ajal (2026-09-06) tegelikult rakendatud ja kontrollitud — nimekiri on aus, mitte turundusvorm:
- Krüpteerimine edastamisel: kogu liiklus üle TLS-i (Let's Encrypt, automaatselt uuenev sertifikaat).
- Andmebaasi isolatsioon: organisatsioonide eraldamine andmebaasi tasemel (row-level security koos FORCE-ga), rakendatud IGALE organisatsiooni andmeid sisaldavale tabelile — kontrollitud automatiseeritud testidega.
- Serveri juurdepääsu kontroll: SSH ainult võtmepõhine autentimine (paroolipõhine sisselogimine keelatud), root-kasutaja sisselogimine keelatud, tulemüür (ufw) lubab ainult vajalikud pordid (22/80/443), automaatsed turvauuendused.
- Dokumendihoidla kaitse: üleslaaditud originaaldokumente säilitatakse versioonihaldusega ja Object Lockiga (Governance režiimis) — kinnitatud reaalse testiga, et isegi administreerimisvõti ei saa salvestatud versiooni jäädavalt kustutada ilma täiendava loata.
- Varukoopiad: igapäevased, automaatsed, säilitatud TEISE teenusepakkuja juures kui tootmisinfrastruktuur, kasutades kustutamisõiguseta võtmeid. Reaalselt kontrollitud taastamisprotseduur sõltumatusse serverisse.
- Juurdepääsulogi: iga dokumendi staatuse muudatuste logi (ainult lisamisõigusega, kirjutamiseks ja lugemiseks rakenduse juurdepääsu jaoks).
Tehniliste ja korralduslike meetmete üksikasjalik kirjeldus, sealhulgas nende praegused piirangud, tehakse ostja turvameeskonnale või andmekaitsespetsialistile kättesaadavaks taotluse korral: privacy@demurrit.eu.
§7 Säilitamise kestus, kustutamine ja andmete tagastamine lepingu lõppemisel
Jooksva töötlemise tähtajad on kehtestatud Privaatsuspoliitika punktis 9 (24 kuud dokumentide originaalidele, 40 kuud tollidokumentidele jne) — käesolev ATL neid ei dubleeri, vaid viitab samale allikale, et need kaks dokumenti ei saaks aja jooksul lahkneda.
Sõltumata eespool nimetatud tähtaegadest, kustutab Volitatud töötleja pärast Vastutava töötleja ja Volitatud töötleja vahelise alusleppe lõppemist 30 päeva jooksul Vastutava töötleja taotlusest kõik allesjäänud isikuandmed või tagastab need (kui Vastutav töötleja seda taotleb) ning kustutab olemasolevad koopiad — välja arvatud andmed, mille pikemaajalist säilitamist nõuab liidu või liikmesriigi õigus (nt raamatupidamisõigus, CMR konventsioon või liidu tolliseadustik); sellisel juhul säilitatakse andmeid ainult nii kaua, kui seda nõuab see õiguslik alus, ja neid ei töödelda muul eesmärgil.
§8 Isikuandmetega seotud rikkumisest teatamine
Volitatud töötleja, kes saab teada isikuandmetega seotud rikkumisest, mis puudutab käesoleva ATL-i alusel töödeldavaid andmeid, teatab sellest Vastutavale töötlejale põhjendamatu viivituseta ja hiljemalt 48 tunni jooksul teadasaamisest, saates e-kirja aadressile, mille Vastutav töötleja on esitanud oma kontol või lepingus. Teade sisaldab võimaluste piires rikkumise laadi, selle tõenäolisi tagajärgi ning võetud või kavandatud meetmeid rikkumise kõrvaldamiseks või selle võimalike negatiivsete tagajärgede leevendamiseks. See tähtaeg on kehtestatud selleks, et Vastutaval töötlejal oleks reaalne aeg täita oma 72-tunnist teatamiskohustust järelevalveasutusele vastavalt IKÜM art 33.
§9 Vastutus
Kumbki pool vastutab kahju eest, mis on põhjustatud tema enda IKÜM-i või käesoleva ATL-i rikkumisest, vastavalt IKÜM art 82 ja kohaldatavale riigisisesele õigusele. Poolte vahel kokkulepitud vastutuse piirangud (kui need on sätestatud aluseks olevas teenuseosutamislepingus) kehtivad ka käesoleva ATL-i suhtes, välja arvatud juhul, kui sellised piirangud on IKÜM-i imperatiivsete sätetega keelatud.
§10 Kohaldatav õigus ja vaidluste lahendamine
Käesolevale ATL-ile kohaldatakse Leedu Vabariigi õigust. Käesolevast ATL-ist tulenevad või sellega seotud vaidlused lahendatakse läbirääkimiste teel ning kokkuleppe mittesaavutamisel — Leedu Vabariigi pädevas kohtus Volitatud töötleja registrijärgse asukoha järgi.
§11 Kontaktid
Küsimustega käesoleva ATL-i, individuaalse kokkuleppimise või teie andmekaitsespetsialisti küsimuste kohta: privacy@demurrit.eu. UAB NVGroup, Leedu (rekvisiidid — vt Privaatsuspoliitika punkti 1).