Isikuandmete töötlemise lisa (DPA) — iFurn.pro

Käesolevat isikuandmete töötlemise lisa (edaspidi — „DPA“) kohaldatakse, kui Täitja (platvorm iFurn.pro, edaspidi — „Teenus“) töötleb isikuandmeid Kasutaja nimel Teenuse osutamisel ja kui sellisele töötlemisele kohaldatakse ELi isikuandmete kaitse üldmäärust 2016/679 (edaspidi — „GDPR“) või muid kohaldatavaid andmekaitseõiguse akte.

DPA on Avaliku pakkumise lepingu osa ja täiendab Privaatsuspoliitikat. Kui tekib vastuolu GDPR-i kohaldamisalasse kuuluvate isikuandmete töötlemise osas, kohaldatakse käesolevat DPA-d; vastutuse küsimusi reguleerib Avaliku pakkumise leping. Siin määratlemata mõistetel on GDPR-is neile antud tähendus.

1. Poolte rollid

Isikuandmete puhul, mille Kasutaja sisestab või laadib Teenusesse (edaspidi — „Kasutaja andmed“), on Kasutaja vastutav töötleja ja Täitja on volitatud töötleja, kes tegutseb Kasutaja nimel. Kasutaja enda konto andmete ja Teenuse tehniliste andmete puhul on vastutav töötleja Täitja (vt Privaatsuspoliitikat).

2. Töötlemise ese ja üksikasjad

Ese ja kestus: Teenuse osutamine Avaliku pakkumise lepingu kehtivuse ajal. Laad ja eesmärk: töötlemine, mis on vajalik Teenuse funktsioonide toimimiseks vastavalt Kasutaja juhistele.

Andmete kategooriad: identifitseerimis- ja kontaktandmed ning muud andmed, mille Kasutaja Teenusesse sisestab (sealhulgas Kasutaja klientide, töötajate või lepingupartnerite kohta). Andmesubjektide kategooriad: isikud, kelle andmeid Kasutaja Teenuse kaudu töötleb. Töötlemistoimingud: kogumine, säilitamine, struktureerimine, kasutamine, edastamine Teenuse piires ja kustutamine, mis on vajalikud Teenuse osutamiseks. Kasutaja kui vastutava töötleja õigused ja kohustused määrab kindlaks GDPR, käesolev DPA ja Avaliku pakkumise leping. Kasutaja ei tohi sisestada eriliigilisi andmeid, välja arvatud juhul, kui see on vajalik ja seaduslik.

3. Kasutaja juhised

Täitja töötleb Kasutaja andmeid ainult Kasutaja dokumenteeritud juhiste alusel, sealhulgas Avaliku pakkumise leping, Privaatsuspoliitika ja Teenuse seaded, välja arvatud juhul, kui töötlemist nõuab seadus; sellisel juhul teavitab Täitja Kasutajat enne töötlemise algust asjaomasest õiguslikust nõudest, välja arvatud juhul, kui seadus sellist teavitamist keelab. Kui Täitja hinnangul rikub juhis andmekaitseõigust, teavitab Täitja sellest viivitamata Kasutajat.

4. Konfidentsiaalsus

Täitja tagab, et isikud, kellel on õigus Kasutaja andmeid töödelda, on kohustatud hoidma konfidentsiaalsust.

5. Turvalisus

Täitja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, võttes arvesse tehnika taset, kulusid ning töötlemise laadi, ulatust ja riske, nagu on kirjeldatud Turvapoliitikas. Ükski meede ei taga absoluutset turvalisust; Täitja ei garanteeri täielikku kaitset kõigi võimalike ohtude eest.

6. Alltöötlejad

Kasutaja annab üldise loa alltöötlejate kaasamiseks (eelkõige hostinguteenuse pakkujad, andmekeskused, pilvetaristu, e-posti, analüütika- ja makseteenuste pakkujad). Alltöötlejate ajakohane loend on Kasutajale pidevalt kättesaadav (eelkõige avaldab selle Täitja). Alltöötleja kavandatavast lisamisest või asendamisest teavitab Täitja Kasutajat aegsasti (sealhulgas loendi ajakohastamise teel), andes mõistliku võimaluse esitada vastuväide.

Kasutaja võib esitada andmekaitse kaalutlustel põhjendatud vastuväite uue alltöötleja suhtes mõistliku aja jooksul enne asjaomase töötlemise algust. Kui vastuväidet ei õnnestu lahendada, on Kasutajal õigus lõpetada Teenuse asjaomase osa kasutamine. Täitja paneb alltöötlejatele vastavad kohustused isikuandmete kaitse osas juhtudel ja ulatuses, mis on ette nähtud kohaldatavas õiguses. Täitja vastutus alltöötlejate tegevuse või tegevusetuse eest määratakse kohaldatava õiguse ja avaliku pakkumise lepinguga. Täitja varaline (rahaline) vastutus on piiratud vastavalt avaliku pakkumise lepingule osas, milles selline piirang on kohaldatava õiguse imperatiivsete normide kohaselt lubatud.

7. Abi Kasutajale

Võttes arvesse töötlemise laadi ja niivõrd, kuivõrd see on tehniliselt võimalik, osutab Täitja Kasutajale mõistlikku abi: Teenuses kättesaadavate vahenditega — andmesubjektide taotluste osas; samuti turvalisuse tagamise, intsidentidest teatamise ja mõjuhinnangu (DPIA) ning järelevalveasutusega konsulteerimise osas. Abi, mis ületab Teenuse standardfunktsionaalsuse, osutatakse Kasutaja mõistlike kulude eest. Andmesubjektide taotluste menetlemise Kasutaja andmete osas tagab Kasutaja ise vastutava töötlejana.

8. Isikuandmetega seotud intsidendid

Täitja teavitab Kasutajat Kasutaja andmeid puudutavast isikuandmetega seotud intsidendist põhjendamatu viivituseta pärast sellest teadasaamist ning esitab sel hetkel kättesaadava teabe. Järelevalveasutuse ja andmesubjektide teavitamise (vajaduse korral) teostab Kasutaja vastutava töötlejana.

9. Andmete kustutamine või tagastamine

Pärast Teenuse osutamise lõppemist Täitja Kasutaja valikul kustutab või tagastab Kasutaja andmed kättesaadavate vahenditega, välja arvatud juhul, kui nende edasist säilitamist nõuab seadus. Kasutaja ekspordib vajalikud andmed aegsasti ise; tehnilised varukoopiad kustutatakse tavapäraste tsüklite kohaselt.

10. Audit

Kasutaja põhjendatud kirjaliku taotluse korral esitab Täitja teabe, mis on vajalik käesoleva DPA järgimise tõendamiseks, — eelkõige olemasoleva dokumentatsiooni, sertifikaatide, kontrolliaruannete või kirjalike vastuste kujul; reeglina piisab sellest vastavuse tõendamiseks. Kui esitatud teave on objektiivselt ebapiisav või esineb põhjendatud kahtlusi käesoleva DPA või GDPR-i järgimise suhtes, võimaldab Täitja auditit või inspektsiooni ja aitab sellele kaasa. Sellise auditi korralduslikud üksikasjad (ulatus, aeg ja kord) lepitakse eelnevalt kirjalikult kokku; sellist kokkulepet ei tohi põhjendamatult edasi lükata ega kasutada auditist keeldumiseks. Plaanilised auditid tehakse reeglina mitte sagedamini kui üks kord aastas, tööajal, mõistliku eelneva etteteatamisega, konfidentsiaalsust järgides, Teenuse töösse liigselt sekkumata ja Kasutaja põhjendatud, dokumentaalselt tõendatud kulul; seda sageduse piirangut ei kohaldata isikuandmetega seotud intsidendi, rikkumise toimumise põhjendatud aluste, töötlemise olulise muutuse või järelevalveasutuse nõude korral. Auditi kulusid ei panda Kasutajale osas, milles audit tuvastas Täitja olulise rikkumise. Alltöötlejate (eelkõige andmekeskuste ja pilveteenuse pakkujate) puhul võib otsene füüsiline juurdepääs olla piiratud vastavate tarnijate tingimustega; sellisel juhul tagab Täitja samaväärsed auditiõigused alltöötlejatega sõlmitud lepingutes ning esitab olemasolevad aruanded, sertifikaadid ja muu mõistliku abi. Sageduse ja korra piiranguid ei kohaldata osas, milles järelevalveasutus seaduse alusel sõnaselgelt teisiti ette näeb.

11. Rahvusvahelised edastamised

Kui töötlemine hõlmab isikuandmete edastamist väljapoole Euroopa Majanduspiirkonda (EMP), toimub selline edastamine õigusliku aluse olemasolul vastavalt GDPR-ile (sealhulgas kaitse piisavuse otsus, tüüptingimused või muud asjakohased kaitsemeetmed).

12. Vastutus

Käesolev DPA ei laienda ega suurenda Täitja vastutust võrreldes Avaliku pakkumise lepinguga. Täitja koguvastutus, mis on seotud isikuandmete töötlemisega, on piiratud vastavalt Avaliku pakkumise lepingule. Täitja ei vastuta Kasutaja juhiste, Kasutaja andmete seaduslikkuse ega selle eest, et Kasutaja ei täida oma kohustusi vastutava töötlejana. Vastutuse piiranguid ei kohaldata ulatuses, milles need on imperatiivsete õigusnormidega keelatud.

13. Dokumentide omavaheline seos

GDPR-i kohaldamisalasse kuuluvate isikuandmete töötlemise osas on käesoleval DPA-l eesõigus Privaatsuspoliitika ees. Vastutuse osas on eesõigus Avaliku pakkumise lepingul. Kõiges muus kohaldatakse Avaliku pakkumise lepingut ja Privaatsuspoliitikat. Kõiki sätteid kohaldatakse imperatiivseid õigusnorme arvestades.