Avaleht / Andmetöötlusleping (DPA)

Andmetöötlusleping (DPA)

See DPA rakendab GDPR-i artiklit 28 GDE Systems OÜ (volitatud töötleja) ja kliendi (vastutav töötleja) vahel. See on avalik, et piloot ei peaks ootama juriidilist ülevaatamist, ja versioonitud, et audiitor näeks, milline tekst kehtis.

18. oktoober 2026v1.0GDE Systems OÜ

1. Pooled ja rollid

• Volitatud töötleja: GDE Systems OÜ, Tallinn, Eesti, support@gde.ee („Volitatud töötleja”).
• Vastutav töötleja: klient, kes on tuvastatud tööruumi kontol („Vastutav töötleja”).
• Oma kontoandmete (e-post, nimi, arveldus) osas tegutseb GDE Systems OÜ iseseisva vastutava töötlejana privaatsuspoliitika alusel; see DPA kehtib äridokumentidele, mille vastutav töötleja teenusesse sisestab.

2. Ese, olemus ja eesmärk

• Volitatud töötleja pakub veebirakendust arveldamiseks, klientide ja tehingute haldamiseks, tööaja arvestuseks ja dokumentide säilitamiseks („Teenus”).
• Töötlemine hõlmab vastutava töötleja andmete salvestamist, sünkroonimist, vastutava töötleja kavandatud krüpteerimist, päringuid, eksporti ja kustutamist.
• Volitatud töötleja ei töötle vastutava töötleja andmeid oma eesmärkidel, ei koosta reklaamiprofiile ega müü andmeid.

3. Andmesubjektide ja isikuandmete kategooriad

• Andmesubjektid: vastutava töötleja töötajad ja lepingulised partnerid; kontaktisikud vastutava töötleja klientide ja tarnijate juures.
• Isikuandmed: identifitseerimis- ja kontaktandmed (nimi, e-post, telefon, aadress), ärisuhte andmed ning arvetes ja dokumentides sisalduvad isikuandmed.
• Isikuandmete eriliike (artikkel 9) teenus ei nõua ja neid ei tohi sisestada.

4. Kestus

• Töötlemine kestab lepingu kehtivusaja ja lisaks Eesti seadusest tuleneva säilitustähtaja (arved: vähemalt 7 aastat).
• Pärast lõpetamist kustutatakse vastutava töötleja andmed 30 päeva jooksul, välja arvatud juhul, kui seadusest tuleneb säilituskohustus; vastutav töötleja saab enne kustutamist kõik masinloetavas vormis eksportida.

5. Dokumenteeritud juhised

• Volitatud töötleja töötleb isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas ülekanded kolmandasse riiki, välja arvatud juhul, kui seda nõuab liidu või liikmesriigi õigus; sel juhul teavitab volitatud töötleja vastutavat töötlejat enne töötlemist, kui seadus seda ei keela.
• Vastutava töötleja valitud teenuse konfiguratsioon (seif sisse või välja, valikuline AI-otsing, valikuline väline salvestus) moodustab vastava töötlemise dokumenteeritud juhise.

6. Konfidentsiaalsus ja personal

• Isikuandmete töötlemiseks volitatud isikud on seotud konfidentsiaalsuskohustustega, mis kehtivad ka pärast lepingu lõppemist.
• Juurdepääs järgib vähimate õiguste põhimõtet; tootmiskeskkonna juurdepääs on piiratud nimetatud isikutega ja vaadatakse üle meeskonna koosseisu muutumisel.

7. Turvameetmed (artikkel 32)

• Kliendipoolne AES-256-GCM krüpteerimine PBKDF2 võtmetuletamisega (600 000 iteratsiooni); volitatud töötleja ei saa kunagi krüpteerimisvõtit ega taastefraasi.
• Krüpteerimine ülekandel (TLS 1.2+), rentnike eraldamine tööruumide vahel, rollipõhine juurdepääsukontroll, seansside ja seadmete haldamine.
• Turvalisusega seotud sündmuste auditilogi: 30 päeva Pro paketis, 90 päeva Business paketis, vastutava töötleja eksporditav.
• Build'i-aegne valve saladuste brauserisse sattumise vastu; avalik kolmanda osapoole skriptide loend lehtedel.
• Praegused meetmed on üksikasjalikult kirjeldatud turvalisuse lehel, mis on viite kaudu käesoleva DPA osa.

8. Subprotsessorid

• Vastutav töötleja annab üldise loa kaasata subprotsessoreid avalikust, versioonitud subprotsessorite nimekirjast.
• Volitatud töötleja teatab vähemalt 30 päeva ette subprotsessori lisamisest või asendamisest ja annab vastutavale töötlejale võimaluse vastu vaielda; kui vastuväidet ei õnnestu lahendada, võib vastutav töötleja lepingu trahvita lõpetada.
• Iga subprotsessor on seotud andmekaitsekohustustega, mis ei ole vähem kaitsvad kui käesolev DPA, eelkõige turvalisuse ja rikkumisest teatamise osas.

9. Abi vastutavale töötlejale

• Volitatud töötleja abistab andmesubjekti taotluste (juurdepääs, parandamine, kustutamine, ülekantavus, vastuväide) lahendamisel 5 tööpäeva jooksul alates aadressile privacy@gde.ee saadetud taotlusest.
• Volitatud töötleja abistab andmekaitse mõjuhinnangute ja järelevalveasutusega eelneva konsulteerimise puhul, arvestades töötlemise olemust.
• Teenuse iseteenindusvahendid (eksport, tööruumi kustutamine, seansside tühistamine) rahuldavad enamiku taotlustest ilma volitatud töötleja osaluseta, mida volitatud töötleja kiiruse huvides soovitab.

10. Isikuandmetega seotud rikkumisest teatamine

• Volitatud töötleja teatab vastutavale töötlejale viivitamata ja seab eesmärgiks 24 tundi pärast rikkumise kinnitamist, et vastutav töötleja saaks täita oma 72-tunnise kohustuse artikli 33 järgi.
• Teade sisaldab: rikkumise olemus, andmesubjektide ja kirjete kategooriad ning ligikaudne arv, tõenäolised tagajärjed, võetud või kavandatud meetmed ja kontaktpunkt.
• Kui andmed olid kliendipoolselt krüpteeritud, märgib volitatud töötleja selgesõnaliselt, kas mõjutatud andmepakett oli loetav, ega spekuleeri väljaspool tõendeid.

11. Audit

• Volitatud töötleja teeb kättesaadavaks kogu vastavuse tõendamiseks vajaliku teabe, sealhulgas käesoleva DPA, turvalisuse lehe, subprotsessorite nimekirja ja auditilogi.
• Kord aastas võib vastutav töötleja teha auditi kirjaliku küsimustiku teel või kohapeal, teatades sellest 30 päeva ette ja järgides konfidentsiaalsust; beeta ajal on audit piiratud kahe tööpäevaga.
• Volitatud töötleja teavitab vastutavat töötlejat viivitamata, kui juhis rikub GDPR-i või muid liidu või liikmesriigi andmekaitsealaseid sätteid.

12. Tagastamine ja kustutamine

• Vastutav töötleja võib igal ajal eksportida kõik andmed masinloetavas vormis (CSV) koos genereeritud dokumentidega (PDF).
• Pärast lõpetamist kustutab volitatud töötleja isikuandmed 30 päeva jooksul ja kinnitab kustutamist kirjalikult nõudmisel, välja arvatud andmed, mida tuleb seaduse järgi säilitada.
• Varukoopiad pööratakse välja 35 päeva jooksul pärast kustutamist.

13. Rahvusvahelised ülekanded

• Tootmisandmeid hoitakse EMP-s (Frankfurt).
• Ainsad ülekanded väljapoole EMP-d on seotud Cloudflare'i (edge), Resendi (e-post) ja Google Gemini (valikuline AI-otsing) teenustega, millest igaüht katavad standardsed lepingutingimused ja vajaduse korral ELi–USA andmekaitse raamistik.
• Ainult EL-i hõlmav konfiguratsioon (ilma AI-otsinguta, andmete lokaliseerimine edge-kihis) on reguleeritud klientidele nõudmisel saadaval.

14. Vastutus ja ülimuslikkus

• Käesolevast DPA-st tulenev vastutus on piiratud kasutustingimustes sätestatud piirangutega, sealhulgas beeta-klausliga (SLA puudub, tööaja garantii puudub).
• Vastuolu korral käesoleva DPA ja kasutustingimuste vahel andmekaitse küsimustes on ülimuslik käesolev DPA.
• DPA suhtes kohaldatakse Eesti Vabariigi õigust; vastutava töötleja seadusest tulenevad õigused GDPR-i järgi jäävad puutumata.

Lisa 1 — Subprotsessorid

Versiooni kuupäeva seisuga lubatud subprotsessorid koos eesmärgi, piirkonna ja ülekande alusega:

See leht on toote- ja vastavusdokument, mitte õigusnõuanne. Lepingud, ülekandemehhanismid ja säilitustähtajad vaatab enne nende siduvaks muutumist üle Eesti jurist.

gde.ee · Andmetöötlusleping — gde.ee · https://gde.ee/et/dpa/