Andmetöötlusleping (DPA)

Käesolev andmetöötlusleping ("DPA") on osa Signeto kasutustingimustest ja reguleerib isikuandmete töötlemist Signeto teenuse raames kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 (GDPR).

1. Osapooled

• Vastutav töötleja (Controller): Signeto klient (ettevõte või eraisik, kes kasutab teenust).
• Volitatud töötleja (Processor): Relond Grupp OÜ, registrikood 14812345, Kooli 10, Jõhvi, 41532, Eesti.

2. Töötlemise ese ja eesmärk

Relond Grupp OÜ töötleb isikuandmeid üksnes selleks, et osutada Signeto teenust vastavalt kasutustingimustele. Töötlemine hõlmab digitaalsete tööaktide loomist, allkirjastamist, salvestamist ja edastamist.

3. Töötlemise laad ja eesmärk

• Andmete kogumine ja salvestamine tarkvaras.
• Dokumentide töötlemine ja PDF-failide genereerimine.
• Elektrooniliste allkirjade rakendamine ja valideerimine.
• Andmete edastamine vastutavale töötlejale ja tema volitatud isikutele.

4. Töödeldavate isikuandmete liigid

• Kontaktandmed: nimi, e-posti aadress, telefoninumber, ametinimetus.
• Allkirjaandmed: elektrooniliste allkirjastajate identiteediandmed, ajatemplid, IP-aadressid.
• Dokumendisisestus: tööaktidesse sisestatud sisu (nt tehtud tööde kirjeldused, kogused, hinnad).
• Tehniline metainfo: seadme info, sisselogimisajad, kasutuslogid.

5. Andmesubjektide kategooriad

Klientide töötajad, alltöövõtjad ja kliendid, kelle andmeid töödeldakse Signeto tööaktides.

6. Töötlemise kestus

DPA kehtib nii kaua, kuni vastutav töötleja kasutab Signeto teenust. Lepingu lõppemisel kustutatakse isikuandmed vastavalt käesoleva DPA jaotisele 11.

7. Volitatud töötleja kohustused (GDPR art 28)

Relond Grupp OÜ kohustub:

• töötlema isikuandmeid üksnes vastutava töötleja dokumenteeritud juhiste alusel;
• tagama, et andmetele ligipääsu omavad isikud on võtnud endale konfidentsiaalsuskohustuse;
• rakendama GDPR art 32 kohased asjakohased tehnilised ja korralduslikud turvameetmed;
• mitte kaasama uusi volitatud töötlejaid ilma vastutava töötleja eelneva kirjaliku nõusolekuta;
• abistama vastutavat töötlejat andmesubjektide õiguste tagamisel;
• abistama vastutavat töötlejat GDPR artiklite 32–36 kohaste kohustuste täitmisel;
• kustutama või tagastama kõik isikuandmed pärast teenuse osutamise lõppu;
• esitama vastutavale töötlejale kogu vajaliku teabe vastavuse tõendamiseks.

8. Alamtöötlejad

Praegused heakskiidetud alamtöötlejad:

• Hetzner GmbH (Saksamaa, registreeritud Gunzenhausenis) — pilvemajutus ja serverid, mis asuvad Helsingis, Soomes (EL). Eesmärk: andmete salvestamine ja teenuse majutamine.

Uute alamtöötlejate kaasamisel teavitame vastutavat töötlejat vähemalt 14 päeva ette. Vastutaval töötlejal on õigus esitada põhjendatud vastuväide 14 päeva jooksul.

9. Turvameetmed

Rakendame järgmisi meetmeid:

• Krüpteerimine edastamisel: TLS 1.3 kõigi ühenduste jaoks.
• Krüpteerimine salvestusel: AES-256 andmebaasi ja failisalvestuse tasandil.
• Juurdepääsukontroll: rollipõhine ligipääs, mitmikautentimine (MFA) administraatoritele.
• Varukoopiad: igapäevased automatiseeritud varundused, 30-päevane säilitusaeg.
• Turvatestimine: regulaarsed haavatavuse hindamised ja läbitungimistestid.
• Juurdepääsulogid: kõik andmetele ligipääsud logitakse ja säilitatakse 12 kuud.

10. Andmeturvarikkumisest teavitamine

Andmeturvarikkumise avastamisel teavitame vastutavat töötlejat kirjalikult 72 tunni jooksul (GDPR art 33). Teade sisaldab: rikkumise kirjeldust, mõjutatud andmekategooriate ja andmesubjektide arvu (hinnangulist), tõenäolisi tagajärgi ning võetud ja kavandatavaid meetmeid.

11. Andmete tagastamine ja kustutamine

Pärast lepingulise suhte lõppu:

• vastutaval töötlejal on 30 päeva jooksul võimalik andmed eksportida masinloetavas formaadis;
• pärast 30-päevast perioodi kustutame kõik isikuandmed pöördumatult (v.a juhul, kui seadus nõuab pikemat säilitamist);
• esitame vastutava töötleja nõudmisel kirjaliku kinnituse andmete kustutamise kohta.

12. Auditeerimiõigused

Vastutaval töötlejal on õigus teostada auditeid ja inspektsioone, et kontrollida käesoleva DPA täitmist. Auditisoov tuleb esitada kirjalikult vähemalt 30 päeva ette. Auditid toimuvad vastastikusel kokkuleppel ja ei tohi häirida teenuse toimimist ega teiste klientide andmete konfidentsiaalsust. Relond Grupp OÜ võib auditi asemel esitada sertifitseeritud audiitori aruande.

13. Rahvusvahelised andmeedastused

Andmeid töödeldakse üksnes EL/EMP territooriumil. Hetzner GmbH Helsingi andmekeskused asuvad Soomes (EL), mistõttu täiendavaid kolmandasse riiki edastamise kaitsemeetmeid ei ole vaja.

14. Kontakt

DPA-ga seotud küsimustes pöörduge: info@signeto.eu
Relond Grupp OÜ, Kooli 10, Jõhvi, 41532, Eesti.