Privaatsuspoliitika

1. Üldtingimused

1.1. Käesolev privaatsuspoliitika sätestab korra, mille alusel SIA SAM MARTIN GROYP, registreerimisnumber 40203520646, juriidiline aadress: Matīsa iela 16-2, Riia, Läti, LV-1001 (edaspidi – vastutav töötleja), töötleb füüsiliste isikute isikuandmeid kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk GDPR), Läti füüsiliste isikute andmete töötlemise seadusega ja muude isikuandmete kaitset reguleerivate kohaldatavate õigusaktidega.

1.2. Käesoleva privaatsuspoliitika eesmärk on anda andmesubjektidele selget, läbipaistvat ja õiguslikult korrektset teavet isikuandmete töötlemise eesmärkide, õiguslike aluste, isikuandmete kategooriate, säilitamistähtaegade, isikuandmete vastuvõtjate, andmete edastamise kohta väljapoole Euroopa Liitu või Euroopa Majanduspiirkonda, andmesubjektide õiguste ning vastutava töötlejaga suhtlemise korra kohta.

1.3. Vastutav töötleja tegutseb infotehnoloogia valdkonnas ning võib oma majandustegevuse raames arendada, hallata ja administreerida veebilehti, tarkvaralahendusi, servereid, hostingukeskkondi, varunduslahendusi, e-posti infrastruktuuri, tehnilise toe süsteeme ja muid digiteenuseid klientidele.

1.4. Sõltuvalt konkreetse teenuse iseloomust võib vastutav töötleja tegutseda nii isikuandmete vastutava töötlejana kui ka kliendi nimel volitatud töötlejana, kui klient määrab isikuandmete töötlemise eesmärgid ja vahendid.

1.5. Kui vastutav töötleja pakub kliendile serverite haldust, hostingut, süsteemihaldust, varundamist, intsidentide analüüsi, e-posti infrastruktuuri, pilveteenuseid, kasutajatuge või muid tehnilisi teenuseid, võib ta töödelda isikuandmeid sellises ulatuses, mis on vajalik teenuse osutamiseks, turvalisuse ja katkematuse tagamiseks ning lepinguliste kohustuste täitmiseks.

1.6. Vastutava töötleja teenused, veebilehed ja nendega seotud infoühiskonna teenused on mõeldud ainult täisealistele isikutele (alates 18. eluaastast). Vastutav töötleja ei kogu ega töötle teadlikult laste isikuandmeid, kui teenust pakutakse otse lastele, ning rakendab proportsionaalseid meetmeid, et piirata teenuste kasutamist alaealiste poolt ilma seadusliku aluseta.

1.7. Kui vastutav töötleja tuvastab, et teenust kasutab tegelikult alla 18-aastane isik ja andmete töötlemiseks puudub õiguslik alus (nt seadusliku esindaja nõusolek), võib vastutav töötleja andmed kustutada või muuta need anonüümseks ning piirata sellise isiku edasist juurdepääsu teenustele.

2. Vastutava töötleja ja kontaktandmed

2.1. Isikuandmete vastutav töötleja on SIA SAM MARTIN GROYP, registreerimisnumber 40203520646, juriidiline aadress: Matīsa iela 16-2, Riia, Läti, LV-1001.

2.2. E-posti aadress isikuandmete töötlemise küsimustes suhtlemiseks: [email protected].

2.3. Käesoleva privaatsuspoliitika, isikuandmete töötlemise, andmesubjekti õiguste teostamise, päringute läbivaatamise või isikuandmete kaitsega seotud küsimustes võib andmesubjekt pöörduda vastutava töötleja poole, kirjutades aadressile [email protected].

3. Vastutava töötleja roll andmetöötluses

3.1. Vastutav töötleja töötleb isikuandmeid iseseisva vastutava töötlejana juhtudel, kui ta ise määrab isikuandmete töötlemise eesmärgid ja vahendid, näiteks koostööpartnerite, klientide kontaktisikute, tarnijate, potentsiaalsete klientide, veebilehe külastajate, raamatupidamisdokumentide ja suhtlusandmete töötlemisel.

3.2. Vastutav töötleja võib tegutseda ka isikuandmete volitatud töötlejana GDPR artikli 28 tähenduses, kui klient on isikuandmete vastutav töötleja ning vastutav töötleja tagab kliendi ülesandel IT-infrastruktuuri, veebilehe majutuse, andmebaaside haldamise, serverite administreerimise, tehnilise monitooringu, andmete säilitamise, varundamise, süsteemide hoolduse või muid seotud tehnilisi teenuseid.

3.3. Juhtudel, kui vastutav töötleja tegutseb volitatud töötlejana, toimub isikuandmete töötlemine kooskõlas kliendiga sõlmitud lepingu, kliendi dokumenteeritud juhiste ja kohaldatavate õigusnormide nõuetega.

3.4. Kui konkreetses koostöömudelis määravad vastutav töötleja ja klient isikuandmete töötlemise eesmärgid või olulised vahendid ühiselt, võib poolte omavahelised suhted olla reguleeritud kaasvastutavate töötlejate suhetena vastavalt GDPR nõuetele.

4. Isikuandmete kategooriad

4.1. Sõltuvalt osutatavast teenusest, koostöö liigist ja töötlemise eesmärgist võib vastutav töötleja töödelda järgmisi isikuandmete kategooriaid:

4.1.1. identifitseerimisandmed, näiteks ees- ja perekonnanimi, isiku ametikoht või esindusstaatus;

4.1.2. kontaktandmed, näiteks e-posti aadress, telefoninumber, postiaadress, ettevõtte nimi ja muu suhtlusteave;

4.1.3. lepingu- ja arveldusandmed, näiteks lepingute sisu, tellimuste teave, arved, makseteave, koostöö ajalugu ja muu teenuse osutamisega seotud teave;

4.1.4. suhtlusandmed, näiteks e-kirjavahetus, tugitaotlused, päringud, intsidendiavaldused, vestluste kirjavahetus, kõnemärkmed ja muud suhtluse kirjed;

4.1.5. tehnilised andmed, näiteks IP-aadress, seadme identifikaatorid, brauseri parameetrid, autentimisteave, juurdepääsuajad, sessiooniteave, süsteemi sündmuste logid, veakirjed ja turvasündmuste teave;

4.1.6. veebilehe ja teenuse kasutusandmed, näiteks kasutaja tegevused tehnilises keskkonnas, sisselogimised, haldustoimingud, konfiguratsioonimuudatused, juurdepääsuõiguste muudatused, süsteemi auditikirjed ja muud kasutusandmed;

4.1.7. serverite, hostingu ja infrastruktuuri tööandmed, näiteks logifailid, ressursikasutuse teave, varukoopiate teave, seire- ja kättesaadavusmonitooringu andmed, intsidentide diagnostikaandmed ja teenuse katkematuse andmed;

4.1.8. klientide lõppkasutajate andmed, kuivõrd need satuvad vastutava töötleja kätte hostingu, süsteemihalduse, e-posti, varundamise, andmebaaside hoolduse, veebilehtede hoolduse või muude tehniliste teenuste osutamisel klientide huvides ja kliendi juhiste kohaselt;

4.1.9. muud isikuandmed, mida andmesubjekt või klient esitab vastutavale töötlejale koostöö, päringu, lepingu täitmise või teenuse osutamise raames.

4.2. Vastutav töötleja töötleb ainult selliseid isikuandmeid, mis on asjakohased, piisavad ja vajalikud konkreetse eesmärgi saavutamiseks, järgides andmete minimeerimise ja aruandekohustuse põhimõtteid.

5. Isikuandmete allikad

5.1. Isikuandmeid saadakse peamiselt otse andmesubjektilt, kliendilt, koostööpartnerilt või nende volitatud esindajatelt, näiteks lepingu sõlmimisel, taotlusvormide täitmisel, päringute esitamisel, e-kirjade saatmisel või vastutava töötleja pakutavate teenuste kasutamisel.

5.2. Isikuandmeid võidakse saada ka avalikest registritest, kliendi kasutatavatest infosüsteemidest, tehnilisest infrastruktuurist, serverilogidest, monitooringulahendustest, varundussüsteemidest, autentimissüsteemidest ja muudest teenuse osutamiseks vajalikest tehnilistest allikatest, kuivõrd see on õiguspärane ja vajalik.

5.3. Kui vastutav töötleja tegutseb isikuandmete volitatud töötlejana, võidakse isikuandmeid saada kliendilt või kliendi kasutatavatest süsteemidest, infrastruktuurist ja teenustest, mida vastutav töötleja kliendi ülesandel tehniliselt haldab või administreerib.

6. Isikuandmete töötlemise eesmärgid

6.1. Vastutav töötleja võib töödelda isikuandmeid järgmistel eesmärkidel:

6.1.1. klientide, tarnijate ja koostööpartnerite identifitseerimiseks ning koostöö alustamiseks;

6.1.2. lepingute ettevalmistamiseks, sõlmimiseks, täitmiseks, haldamiseks ja lõpetamiseks;

6.1.3. klientide päringute, konsultatsioonide, taotluste ja tehnilise toe küsimuste töötlemiseks;

6.1.4. veebilehtede, rakenduste, serverite, hostingteenuste, andmebaaside, e-posti lahenduste, API-de, integratsioonide ja muu IT-infrastruktuuri hoolduseks ja administreerimiseks;

6.1.5. juurdepääsuõiguste andmiseks, autentimiseks, autoriseerimiseks ja kasutajakontode haldamiseks;

6.1.6. süsteemide töö jälgimiseks, vigade kõrvaldamiseks, jõudluse analüüsiks, turvamonitooringuks, intsidentide uurimiseks ja tehnilise keskkonna stabiilsuse tagamiseks;

6.1.7. varukoopiate loomiseks, taastamiseks, andmete taastamiseks ja tegevuse katkematuse tagamiseks;

6.1.8. info- ja küberturvalisuse riskide juhtimiseks, loata juurdepääsu ennetamiseks, turvaauditi läbiviimiseks ja teenuste kaitsmiseks;

6.1.9. raamatupidamise, maksude, õiguslike kohustuste, nõuete, tõendite ja sisemise juhtimise tagamiseks;

6.1.10. statistika, kvaliteedikontrolli, teenuste parandamise, süsteemide optimeerimise ja kasutusanalüüsi läbiviimiseks;

6.1.11. õigusaktidega ette nähtud kohustuste täitmiseks, sealhulgas koostööks riigi- ja kohaliku omavalitsuse asutuste, õiguskaitseasutuste ja järelevalveasutustega;

6.1.12. ärilise suhtluse tagamiseks, kuivõrd see on kohaldatavate õigusaktide kohaselt lubatud ja vajaduse korral on saadud asjakohane nõusolek.

6.2. Vastutav töötleja võib saata oma teenuseid puudutavaid kommertsteateid olemasolevatele klientidele õigustatud huvi alusel, järgides infoühiskonna teenuste seaduse nõudeid ja tagades igas teates lihtsa loobumisvõimaluse (näiteks “unsubscribe” link või suhtlus aadressil [email protected]).

6.3. Kui kommertssuhtlus põhineb andmesubjekti nõusolekul, on andmesubjektil õigus nõusolek igal ajal tagasi võtta, kasutades saadud teates märgitud loobumismehhanismi.

7. Isikuandmete töötlemise õiguslikud alused

7.1. Isikuandmete töötlemise õiguslik alus võib sõltuvalt konkreetsest olukorrast olla:

7.1.1. lepingu sõlmimine ja täitmine või meetmete võtmine andmesubjekti taotlusel enne lepingu sõlmimist vastavalt GDPR artikli 6 lõike 1 punktile b;

7.1.2. vastutavale töötlejale kohustusliku õigusliku kohustuse täitmine vastavalt GDPR artikli 6 lõike 1 punktile c;

7.1.3. vastutava töötleja või kolmanda isiku õigustatud huvid vastavalt GDPR artikli 6 lõike 1 punktile f, näiteks seoses võrgu- ja infoturbega, nõuete kaitsmisega, teenuse kvaliteedi tagamisega, tehnilise stabiilsusega, pettuste ennetamisega, süsteemiauditiga ja äritegevuse korraldamisega;

7.1.4. andmesubjekti nõusolek vastavalt GDPR artikli 6 lõike 1 punktile a, kui töötlemine põhineb konkreetsel juhul nõusolekul, näiteks teatud turunduskirjade saatmiseks või mittevajalike küpsiste kasutamiseks.

7.2. Kui vastutav töötleja tegutseb kliendi nimel isikuandmete volitatud töötlejana, toimub isikuandmete töötlemine kliendi dokumenteeritud juhiste ja lepingu alusel, järgides GDPR artikli 28 nõudeid ning sõlmides asjakohase andmetöötluslepingu (DPA).

8. Erisätted IT-teenuste ja hostingukeskkonna kohta

8.1. Veebilehtede hostingu, virtuaalsete või füüsiliste serverite, andmebaaside hoolduse, e-posti infrastruktuuri, süsteemihalduse, pilveteenuste või muude IT-teenuste pakkumisel võib vastutav töötleja töödelda tehnilisi ja kasutusega seotud isikuandmeid, mis tekivad teenuse toimimise käigus, sealhulgas juurdepääsuandmeid, süsteemilogisid ja turvasündmuste kirjeid.

8.2. Süsteemide turvalisuse, kättesaadavuse, terviklikkuse ja stabiilsuse tagamiseks võib vastutav töötleja teostada võrguliikluse jälgimist, serverikoormuse monitooringut, vigade diagnostikat, varundamist, avariitaastet, haavatavuste hindamist, konfiguratsioonide ülevaatust ja muid proportsionaalseid tehnilisi turvameetmeid.

8.3. Tehniliste intsidentide, küberturvalisuse ohtude, loata juurdepääsukatsete, teenusehäirete või süsteemivigade korral võib vastutav töötleja pääseda ligi asjakohasele tehnilisele teabele ja piiratud ulatuses ka isikuandmetele, kuivõrd see on objektiivselt vajalik intsidendi tuvastamiseks, analüüsimiseks, kõrvaldamiseks ja dokumenteerimiseks.

8.4. Kui kliendi tellitud teenus hõlmab kliendi veebilehtede, andmebaaside, e-postkastide, kasutajakontode või muude süsteemide hooldust, võib vastutav töötleja neis sisalduvaid isikuandmeid tehniliselt töödelda ainult sellises ulatuses, mis on vajalik teenuse toimimise, turvalisuse, varundamise, teisaldamise, migreerimise, taastamise või probleemide kõrvaldamise tagamiseks.

8.5. Vastutav töötleja ei määra kliendi lõppkasutajate andmete töötlemise eesmärke, välja arvatud juhul, kui konkreetse koostöö olemusest või õigusaktidest tuleneb teisiti; sellistel juhtudel loetakse tavaliselt vastutavaks töötlejaks klienti ja volitatud töötlejaks vastutavat töötlejat.

8.6. Vastutav töötleja võib kasutada allvolitatud töötlejaid, näiteks andmekeskuste, hostingu, pilveteenuste, e-posti, monitooringu, varundamise, küberturvalisuse või infrastruktuuriteenuste pakkujaid, kui see on teenuse osutamiseks vajalik ja järgitakse asjakohaseid andmekaitsenõudeid.

9. Küpsised ja sarnased tehnoloogiad

9.1. Kui vastutava töötleja veebilehel või kliendile pakutavates lahendustes kasutatakse küpsiseid või sarnaseid tehnoloogiaid, võidakse neid kasutada lehe põhifunktsionaalsuse, turvalisuse, sessioonihalduse, kasutaja autentimise, keelevaliku salvestamise, analüütika, toimivuse parandamise või muude tehniliselt vajalike funktsioonide tagamiseks.

9.2. Kasutajale tuleb anda selget ja põhjalikku teavet küpsiste kasutamise eesmärkide kohta ning juhtudel, kui kohaldatavad õigusaktid seda nõuavad, tagatakse võimalus anda või mitte anda nõusolek vastavate küpsiste kasutamiseks.

9.3. Mittevajalike küpsiste kasutamine võib põhineda andmesubjekti nõusolekul, tehniliselt vajalikke küpsiseid võib aga kasutada elektrooniliste teenuste toimimise ja turvalisuse tagamiseks kooskõlas kohaldatava regulatsiooniga.

10. Isikuandmete säilitamistähtajad

10.1. Vastutav töötleja säilitab isikuandmeid mitte kauem, kui see on vajalik vastava töötlemiseesmärgi saavutamiseks, lepinguliste kohustuste täitmiseks, õiguste kaitseks või õigusaktidega ette nähtud kohustuste täitmiseks.

10.2. Säilitamistähtajad võivad andmekategooriast ja eesmärgist sõltuvalt erineda, näiteks lepinguandmeid, raamatupidamisdokumente, tehnilisi logisid, varukoopiaid, juurdepääsukirjeid, tugitaotlusi ja turvaintsidentide andmeid võidakse säilitada erinevate tähtaegadega, arvestades õiguslikku alust, tehnilist vajadust, turvakaalutlusi ja õigusaktide nõudeid.

10.3. Varukoopiates sisalduvaid isikuandmeid võidakse säilitada kuni järgmiste varundustsükliteni või kauem, kui see on vajalik süsteemide taastamiseks, intsidentide uurimiseks, tegevuse katkematuseks või õiguslike nõuete täitmiseks.

10.4. Kui isikuandmeid ei ole vastava eesmärgi saavutamiseks enam vaja, need kustutatakse, anonüümitakse, kirjutatakse üle või arhiveeritakse kooskõlas kohaldatavate õigusnormide ja tehniliste võimalustega.

11. Isikuandmete vastuvõtjad

11.1. Isikuandmeid võidakse avaldada vastutava töötleja töötajatele, volitatud isikutele ja koostööpartneritele ainult sellises ulatuses, mis on vajalik tööülesannete või lepinguliste kohustuste täitmiseks, järgides konfidentsiaalsuse põhimõtet ja asjakohaseid turvameetmeid.

11.2. Isikuandmeid võidakse edastada volitatud töötlejatele või allvolitatud töötlejatele, näiteks hostingu, andmekeskuste, pilveteenuste, varundamise, e-posti, küberturvalisuse, raamatupidamise, juriidiliste teenuste, klienditoe, monitooringu, dokumendihalduse või muude seotud teenuste pakkujatele, kuivõrd see on teenuste osutamiseks vajalik.

11.3. Õigusaktidega ette nähtud juhtudel võidakse isikuandmeid edastada riigi- ja kohaliku omavalitsuse asutustele, kohtutele, õiguskaitseasutustele, järelevalveasutustele või muudele isikutele, kui selline kohustus tuleneb õigusaktidest või on vajalik vastutava töötleja õiguste, õigustatud huvide või turvalisuse kaitseks.

12. Andmete edastamine väljapoole Euroopa Liitu või EMP-d

12.1. Kui isikuandmeid edastatakse teenuste osutamise raames väljapoole Euroopa Liitu või Euroopa Majanduspiirkonda, tagab vastutav töötleja, et selline edastamine toimub ainult kooskõlas kohaldatavate GDPR nõuetega ning rakendatakse asjakohaseid andmekaitsemehhanisme.

12.2. Sellised mehhanismid võivad hõlmata Euroopa Komisjoni otsust kaitse piisavuse kohta, standardseid lepingutingimusi, siduvaid kontsernisiseseid eeskirju või muid GDPR-iga tunnustatud isikuandmete kaitse vahendeid.

13. Isikuandmete turvalisus

13.1. Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, et kaitsta isikuandmeid loata või ebaseadusliku töötlemise, juhusliku kaotsimineku, hävimise, kahjustumise, avalikustamise või loata juurdepääsu eest.

13.2. Sõltuvalt konkreetse teenuse iseloomust võivad sellised meetmed hõlmata juurdepääsukontrolli, kasutajate autentimist, juurdepääsuõiguste haldust, võrgu segmenteerimist, andmete krüpteerimist, tulemüüre, varundamist, sündmuste logimist, haavatavuste haldust, tarkvara uuendamist, intsidentide haldust, töötajate konfidentsiaalsuskohustusi ja muid proportsionaalseid turvameetmeid.

13.3. Vastutav töötleja rakendab füüsiliste isikute õigustele ja vabadustele avalduvaid riske hinnates turvameetmeid kooskõlas GDPR artiklis 32 sätestatud turvalisuse tasemega.

13.4. Kui vastutav töötleja tuvastab isikuandmete kaitse intsidendi, tegutseb ta kooskõlas kohaldatava regulatsiooniga, sealhulgas hindab kohustust teavitada järelevalveasutust ja vajaduse korral ka mõjutatud andmesubjekte.

14. Andmesubjekti õigused

14.1. Andmesubjektil on õigus nõuda juurdepääsu oma isikuandmetele, nende parandamist, kustutamist, töötlemise piiramist, esitada töötlemisele vastuväiteid ning kasutada õigust andmete ülekandmisele, kuivõrd need õigused tulenevad kohaldatavatest õigusaktidest.

14.2. Kui isikuandmete töötlemine põhineb nõusolekul, on andmesubjektil õigus oma nõusolek igal ajal tagasi võtta, mõjutamata nõusoleku tagasivõtmiseni tehtud töötlemise õiguspärasust.

14.3. Oma õiguste teostamiseks võib andmesubjekt esitada taotluse, kirjutades aadressile [email protected].

14.4. Vastutav töötleja vaatab taotluse läbi põhjendamatu viivituseta ja vastab õigusaktides sätestatud tähtaja jooksul, tavaliselt hiljemalt ühe kuu jooksul taotluse saamisest, kui konkreetne olukord ei õigusta tähtaja pikendamist vastavalt GDPR-ile.

14.5. Vastutaval töötlejal on õigus küsida lisateavet isiku identiteedi kontrollimiseks, et tagada teabe mitteavaldamine volitamata isikule.

14.6. Kui vastutav töötleja tegutseb konkreetses andmetöötlussuhtes ainult kliendi nimel volitatud töötlejana, võib ta edastada andmesubjekti taotluse vastavale kliendile või vaadata selle läbi koostöös kliendiga, arvestades poolte rolle ja kohustusi vastavalt GDPR-ile.

15. Kaebuste esitamine

15.1. Kui andmesubjekt leiab, et tema isikuandmete töötlemine rikub kohaldatavate õigusaktide nõudeid, on tal õigus pöörduda esmalt vastutava töötleja poole, kirjutades aadressile [email protected].

15.2. Andmesubjektil on ka õigus esitada kaebus Läti Andmete Riiklikule Inspektsioonile (Datu valsts inspekcija), mis on Lätis isikuandmete kaitse järelevalveasutus.

15.3. Andmete Riikliku Inspektsiooni kontaktandmed: Elijas iela 17, Riia, LV-1050, Läti; e-post: [email protected]; telefon: +371 67223131.

15.4. Andmete Riiklik Inspektsioon soovitab enne kaebuse esitamist pöörduda esmalt isikuandmeid töötleva vastutava töötleja poole.

16. Vestluste salvestised ja alternatiivne suhtlus

16.1. Klienditoe ja suhtluse tagamisel võib vastutav töötleja salvestada telefonikõnesid, internetikõnesid, häälsõnumeid või muud elektroonilist suhtlust, kui see on vajalik teenuste osutamiseks, kvaliteedikontrolliks, vaidluste lahendamiseks, turvalisuse tagamiseks ja vastutava töötleja õigustatud huvide kaitseks, järgides GDPR-i ja muude kohaldatavate õigusaktide nõudeid.

16.2. Vestluste salvestisi säilitatakse tavaliselt kuni 90 päeva salvestamise päevast, kui konkreetsel juhul ei õigusta pikemat säilitamistähtaega vaidluste lahendamine, kvaliteedikontroll, vastutava töötleja õiguste kaitse või õigusaktides sätestatud aegumistähtajad.

16.3. Enne vestluse salvestamist teavitatakse andmesubjekti salvestamisest ning salvestisi säilitatakse ainult nii kaua, kui see on vajalik vastava eesmärgi saavutamiseks, vaidluste lahendamiseks, kvaliteedikontrolliks või õiguslike nõuete täitmiseks.

16.4. Kui andmesubjekt ei soovi konkreetse vestluse salvestamist, võib ta valida alternatiivse suhtlusviisi, kirjutades aadressile [email protected] või kasutades suhtlust näiteks WhatsAppi numbril +371 28 706 247.

16.5. Vestluste salvestisi ja häälsõnumeid peetakse isikuandmeteks ning neile kohalduvad täies ulatuses andmesubjekti õigused vastavalt GDPR-ile, sealhulgas juurdepääsu-, parandamise-, kustutamise-, töötlemise piiramise ja vastuväidete esitamise õigus, kuivõrd see on kooskõlas salvestamise eesmärgi ja kohaldatavate õigusaktidega.

17. Vormide täitmine ja andmete töötlemine

17.1. Vastutava töötleja veebilehtedel, rakendustes või klientidele pakutavates lahendustes võib olla saadaval erinevaid elektroonilisi vorme (näiteks kontaktivormid, taotlusvormid, teenusepäringu vormid, tugitaotluse vormid), mille täitmisel esitab andmesubjekt isikuandmeid, et vastutav töötleja saaks tagada soovitud teenuse, suhtluse või muu konkreetse eesmärgi.

17.2. Vormi täites märgib andmesubjekt tavaliselt identifitseerimis- ja kontaktandmed ning muud päringuga seotud andmed, mida vastutav töötleja töötleb, et päringule vastata, teenust osutada, avaldust läbi vaadata, pakkumist koostada või teha muid andmesubjekti algatatud samme.

17.3. Vormide kaudu esitatud isikuandmete töötlemise õiguslikeks aluseteks võivad olla lepingu sõlmimine või täitmine, vastutavale töötlejale kohustusliku õigusliku kohustuse täitmine, vastutava töötleja õigustatud huvid (näiteks suhtluse tagamine, nõuete kaitsmine, teenuse kvaliteedi parandamine) või andmesubjekti nõusolek, kui konkreetses vormis on selle kohta antud vastav teave.

17.4. Vormide täitmise tulemusel saadud isikuandmeid säilitatakse ainult nii kaua, kui see on vajalik vastava eesmärgi saavutamiseks, suhtluse tagamiseks, lepinguliste kohustuste täitmiseks, vastutava töötleja õiguste kaitseks või õigusaktidega ette nähtud kohustuste täitmiseks, seejärel need kustutatakse, anonüümitakse või arhiveeritakse käesolevas privaatsuspoliitikas sätestatud korra kohaselt.

17.5. Andmesubjektil on igal ajal õigus pöörduda vastutava töötleja poole, et selgitada välja, millised andmed tema kohta on kogutud, millistel eesmärkidel neid kasutatakse ja milline on nende andmete säilitamistähtaeg, ning kasutada muid GDPR-is ette nähtud õigusi vormide kaudu esitatud isikuandmete suhtes.

18. Veebivestlus kodulehel

18.1. Kodulehel evoex.eu on saadaval veebivestlus, mille abil saab andmesubjekt vastutava töötleja tugimeeskonnaga ühendust võtta. Vestlust pakutakse vastutava töötleja klienditeenindusportaalist (portal.evoex.eu) ning kirjavahetust säilitatakse vastutava töötleja serverites Euroopa Liidus (Soomes).

18.2. Vestlus algab sõnumi kirjutamisega. Soovi korral võib andmesubjekt märkida oma nime, e-posti aadressi ja telefoninumbri (näiteks kui ta soovib vastust e-posti teel) ning lisada faile.

18.3. Kvaliteetse vastuse ja turvalisuse tagamiseks töödeldakse vestluse ajal automaatselt ka tehnilisi andmeid: IP-aadress ja selle põhjal määratud ligikaudne asukoht (riik, linn, piirkond), seadme tüüp, brauser ja operatsioonisüsteem, ekraani suurus, keel ja ajavöönd, leht, kust kirjutatakse, selle külastuse ajal vaadatud kodulehe lehed, suunamisallikas (näiteks otsingumootor või reklaamikampaania parameetrid) ja külastuste arv. Need andmed edastatakse ainult siis, kui andmesubjekt vestluse avab.

18.4. Töötlemise õiguslik alus on meetmete võtmine andmesubjekti taotlusel enne lepingu sõlmimist (GDPR artikli 6 lõike 1 punkt b) ning vastutava töötleja õigustatud huvi tagada suhtlus, teenuse kvaliteet ja infoturve (GDPR artikli 6 lõike 1 punkt f). Enne vestluse alustamist kinnitab andmesubjekt, et on käesoleva privaatsuspoliitikaga tutvunud.

18.5. Kuritarvitamise ja automatiseeritud (robotite) päringute vältimiseks kasutatakse teenust Cloudflare Turnstile. Lisatud faile kontrollitakse automaatselt viirusetõrjetarkvara ja turvafiltritega ning piltidelt eemaldatakse metaandmed (näiteks asukohateave). Kontrolli mitte läbinud faile ei salvestata.

18.6. Kui vastutav töötleja vastus antakse hetkel, mil andmesubjekt ei ole enam kodulehel, saadetakse vastuse teavitus märgitud e-posti aadressile.

18.7. Vestluse kirjavahetust, lisatud faile ja vestlusega seotud tehnilisi andmeid säilitatakse kuni 12 kuud pärast viimast sõnumit, kui vestluse tulemusel ei sõlmita lepingut või kui pikem säilitamine ei ole vajalik vastutava töötleja õiguste kaitseks. Andmesubjekt võib igal ajal nõuda kirjavahetuse ja sellega seotud andmete kustutamist, kirjutades aadressile [email protected].

18.8. Vestluse kirjavahetusele on juurdepääs ainult vastutava töötleja volitatud töötajatel. Vestluse andmeid ei kasutata automatiseeritud otsuste tegemiseks ega profileerimiseks.

18.9. Selleks et andmesubjekt saaks suhelda endale sobivas keeles, võidakse vestluse sõnumeid automaatselt tõlkida tehisintellekti teenusega Claude, mida pakub Anthropic PBC (USA). Tõlkimiseks edastatakse ainult vastava sõnumi tekst (sealhulgas isikuandmed, kui andmesubjekt on need sõnumisse lisanud); nime, e-posti aadressi, telefoninumbrit, tehnilisi andmeid ja lisatud faile tõlkimiseks ei edastata. Anthropic tegutseb vastutava töötleja volitatud töötlejana ega kasuta oma äritingimuste kohaselt neid andmeid tehisintellekti mudelite treenimiseks. Andmete edastamine USA-sse toimub isikuandmete kaitse üldmääruse artiklis 46 sätestatud kaitsemeetmete alusel (Euroopa Komisjoni heakskiidetud lepingu tüüptingimused). Tõlgitud sõnumid on vestluses tähistatud märkega „Translated by Claude AI“ ning originaaltekst säilitatakse koos tõlkega punktis 18.7 sätestatud aja jooksul. Tõlget ei kasutata automatiseeritud otsuste tegemiseks.

19. Küberturvalisus ja süsteemide hooldus

19.1. Vastutav töötleja tagab, et tema hallatavaid info- ja kommunikatsioonitehnoloogia süsteeme kaitstakse kooskõlas Läti Vabariigis kehtiva küberturvalisuse valdkonna regulatsiooniga, sealhulgas riikliku küberturvalisuse seaduse ja sellega seotud Ministrite Kabineti määruste nõuetega, kuivõrd need õigusaktid on vastutavale töötlejale kohaldatavad.

19.2. Vastutav töötleja haldab servereid, hostingukeskkonda, andmebaase, e-posti infrastruktuuri ja muid IT-süsteeme proportsionaalses ulatuses, arvestades tehnilisi võimalusi, riskitaset ja minimaalseid küberturvalisuse nõudeid, samuti klientide lepingutega määratud kohustusi ja vastutuse piire.

19.3. Vastutav töötleja rakendab tehnilisi ja korralduslikke meetmeid küberturvalisuse riskide vähendamiseks, näiteks juurdepääsukontrolli, autentimist, turvauuendusi, varundamist, intsidentide haldust, monitooringut ja muid proportsionaalseid kaitsemeetmeid, kuivõrd see on objektiivselt võimalik, arvestades riskitaset ja vastava süsteemi tähtsust.

19.4. Vastutav töötleja ei vastuta küberturvalisuse intsidentide ega süsteemihäirete eest, mis on tekkinud asjaolude tõttu, mida vastutav töötleja objektiivselt kontrollida ei saa (näiteks kolmandate isikute tegevus, kliendi enda infrastruktuuri konfiguratsioon, kliendi kasutajate tegevus, ülemaailmsed küberrünnakud), kuid vastutav töötleja rakendab proportsionaalseid meetmeid tagajärgede leevendamiseks ja teenuse osutamise taastamiseks nii palju, kui see on praktiliselt võimalik.

19.5. Kui vastutav töötleja vastab riikliku küberturvalisuse seaduse subjekti staatusele (näiteks oluline või tähtis teenuseosutaja), täidab ta lisaks käesolevale privaatsuspoliitikale seaduses sätestatud kohustusi, sealhulgas määrab küberturvalisuse juhi, esitab enesehindamisaruandeid, teatab intsidentidest järelevalveasutusele ning täidab muid seadusega ette nähtud nõudeid.

20. Automatiseeritud otsuste tegemine ja profileerimine

20.1. Vastutav töötleja ei tee automatiseeritud otsuseid, sealhulgas profileerimist, mis tekitaksid õiguslikke tagajärgi või avaldaksid andmesubjektile sarnaselt olulist mõju GDPR artikli 22 tähenduses.

20.2. Vastutav töötleja võib teostada piiratud analüütikat ja teenuse kasutusandmete analüüsi (näiteks süsteemi jõudluse, funktsionaalsuse kasutamise, juurdepääsustatistika analüüs), mida ei loeta andmesubjektile olulist mõju avaldavaks profileerimiseks.

21. Lõppsätted

21.1. Vastutaval töötlejal on õigus käesolevat privaatsuspoliitikat ühepoolselt igal ajal muuta või täiendada, avaldades kehtiva redaktsiooni oma veebilehel, klienditeenindusportaalis või muus vastutava töötleja määratud suhtluskanalis.

21.2. Privaatsuspoliitika kehtiv redaktsioon jõustub avaldamise päevast, kui selles ei ole sätestatud muud jõustumistähtaega.

21.3. Kui mõni käesoleva privaatsuspoliitika osa muutub kehtetuks, vasturääkivaks või kohaldamatuks, ei mõjuta see ülejäänud sätete kehtivust; sellisel juhul asendab vastutav töötleja vastava sätte sättega, mis vastab võimalikult täpselt algsele eesmärgile ja kohaldatavale regulatsioonile.

21.4. Käesolev privaatsuspoliitika kehtib seni, kuni vastutav töötleja töötleb isikuandmeid oma majandustegevuse raames; üksikute teenuste, lepingute või projektide jaoks võidakse koostada spetsiifilisi andmetöötlustingimusi, mida kohaldatakse koos käesoleva poliitikaga, kuivõrd need ei ole vastuolus GDPR-i ja Läti Vabariigi õigusaktidega.

Isikuandmete töötlemise küsimused: [email protected].