Andmetöötlusleping (DPA)
Käesolev andmetöötlusleping (edaspidi „DPA") on osa DokDeski (edaspidi „volitatud töötleja", „meie") ja DokDeski teenust kasutava kliendi (edaspidi „vastutav töötleja", „teie") vahelisest lepingust. See reguleerib, kuidas DokDesk töötleb teie nimel isikuandmeid, kui kasutate DokDeski turvalist lepingu töövoogu, et luua lepinguid mallidest, pidada läbirääkimisi ühe reaalajas versiooni üle, saata kontot mittenõudvaid turvalinke elektrooniliseks allkirjastamiseks eIDASe SES-, AES- või QES-tasemel ning säilitada iga allkirja kohta kohtukõlblik tõendibaas. Käesoleva DPA eesmärk on toetada ELi isikuandmete kaitse üldmääruse (määrus (EL) 2016/679, „GDPR") ning, kui see on elektroonilise allkirjastamise puhul asjakohane, eIDASe määruse (Regulation (EU) No 910/2014) täitmist. DokDesk on praegu varajases juurdepääsus / käivituseelses etapis; tegemist on üldise näidisdokumendiga ning allpool toodud konkreetsed kaubanduslikud, kontakti- ja tegevusandmed on tahtlikult jäetud kohatäideteks, mis tuleb enne mis tahes tootmiskasutust täita ja läbi vaadata. Kui käesolev DPA on andmekaitse küsimuses vastuolus põhilepinguga, on ülimuslik käesolev DPA. DokDesk ei ole õigusbüroo ega anna õigusnõu.
Pre-launch draft - to be reviewed by qualified counsel before launch. This is not legal advice.
1. Käivituseelne staatus – nõutav on läbivaatamine kvalifitseeritud õigusnõustaja poolt (ei ole õigusnõu)
Käesolev dokument on käivituseelne näidisvorm (MUSTAND/DRAFT), mis on esitatud üksnes teavitamise ja planeerimise eesmärgil. DokDesk on varajases juurdepääsus; teenus, selle majutuskorraldus, alamtöötlejad ja turvameetmed võivad enne käivitamist ja selle käigus muutuda. Miski käesolevas DPA-s ei ole õigusnõu ja DokDesk ei ole õigusbüroo.
Enne kui käesolevale DPA-le tuginetakse mis tahes isikuandmete tegelikul töötlemisel, PEAB kvalifitseeritud õigusnõustaja selle läbi vaatama, täiendama ja kohandama vastavalt teie organisatsiooni konkreetsetele asjaoludele, teie jurisdiktsioonile (jurisdiktsioonidele) ELis ja Baltikumis ning teie töödeldavate andmete kategooriatele. Käesoleva vormi kohatäited – sealhulgas poolte isiku- ja registreerimisandmed, postiaadress, nimetatud alamtöötlejate loend, majutuskohad, säilitustähtajad ja jõustumiskuupäevad – tuleb enne allkirjastamist täita täpse ja ajakohase teabega.
Ühtegi käesoleva vormi osa ei tohi käsitada kinnitusena, et mõni konkreetne sertifikaat, audit, integratsioon või allkirjastamise tase (sealhulgas QES) on tootmises juba kasutusel. Kui vormis kirjeldatakse võimalusi, mis on pigem arhitektuuriliselt valmis kui üldiselt kättesaadavad, tuleb need enne nendele tuginemist kirjalikult kinnitada.
2. Poolte määratlused ja rollid
Sellistel mõistetel nagu „isikuandmed", „töötlemine", „vastutav töötleja", „volitatud töötleja", „alamtöötleja", „andmesubjekt", „isikuandmetega seotud rikkumine" ja „järelevalveasutus" on käesolevas DPA-s neile GDPR-is antud tähendus.
Isikuandmete puhul, mille te oma lepingu töövoo käigus DokDeski üles laadite, selles genereerite või selle kaudu töötlete, tegutsete teie vastutava töötlejana (teie määrate kindlaks töötlemise eesmärgid ja vahendid) ning DokDesk tegutseb volitatud töötlejana, töödeldes neid isikuandmeid üksnes teie nimel ja teie dokumenteeritud juhiste kohaselt. Kui leping allkirjastatakse teie ja vastaspoole vahel, võib kumbki pool olla oma eesmärkidel eraldiseisev vastutav töötleja; käesolev DPA reguleerib üksnes DokDeski rolli teie volitatud töötlejana.
DokDesk võib ise tegutseda sõltumatu vastutava töötlejana piiratud tegevusandmete puhul – näiteks konto haldamine, vajaduse korral arveldamine, turvalogimine ja tootearenduse mõõdikud, mis ei ole osa teie lepingu sisust. Sellist sõltumatu vastutava töötleja töötlemist reguleerib DokDeski privaatsusteatis, mitte käesolev DPA.
3. Töötlemise sisu, kestus, laad ja eesmärk
Sisu ja laad: DokDesk töötleb isikuandmeid, et te saaksite koostada lepinguid korduvkasutatavatest mallidest ja dünaamilistest andmeväljadest, hallata lepingut selle versioonide ja olekuajaloo kaudu, pidada läbirääkimisi ühe reaalajas versiooni üle, saata allkirjastajatele kontot mittenõudvat turvalinki, jäädvustada elektroonilisi allkirju SES-, AES- või QES-tasemel toetatud ELi riiklike eID-kanalite kaudu, nagu Smart-ID ja Mobiil-ID, ning säilitada iga allkirja kohta tõendibaasi. DokDesk on lepingu töövoo ja elektroonilise allkirjastamise teenus. See EI OLE arvete esitamine, maksed, raamatupidamine ega CRM ning isikuandmeid ei töödelda ühelgi neist eesmärkidest.
Eesmärk: töötlemine toimub ainult eesmärgiga pakkuda, kindlustada ja toetada DokDesk teenus vastavalt teie juhistele ja põhilepingule.
Kestus: töötlemine jätkub selle aja jooksul, mille jooksul te teenust kasutate, ning mis tahes piiratud ajavahemik, mis on vajalik isikuandmete tagastamiseks või kustutamiseks, nagu on kirjeldatud käesolevas andmekaitselepingus või nõutud kohaldatavas õiguses (näiteks allkirjastatud dokumendi terviklikkuse ja õigusliku väärtuse säilitamiseks vajalike allkirjatõendite säilitamine).
4. Andmesubjektide kategooriad ja isikuandmete liigid
Andmesubjektide kategooriad on tavaliselt järgmised: teie volitatud kasutajad (nt omanik, administraator, juhataja, juriidilised ja vaatajarollid); teie kliendid, vastaspooled ja nende esindajad; ning isikud, keda kutsutakse lepingule alla kirjutama või selles osalema.
Isikuandmete liigid hõlmavad tavaliselt järgmist: poolte ja allkirjastajate identiteedi- ja kontaktandmed (näiteks nimi, organisatsioon, roll, e-posti aadress ja poole andmed, mille te lepingusse lisate); lepingu sisu, mille te otsustate lisada ja mis ise võib sisaldada isikuandmeid; valitud eIDAS-tasemega seotud allkirja- ja identiteedikinnituse andmed; ning allkirjastamise hetkel jäädvustatud tehnilised tõendid, näiteks IP- ja seadme metaandmed, ajatemplid, allkirja olek, toimingute auditijälg ja lõplik allkirjastatud dokumendikonteiner.
Teie vastutate isikuandmete eest, mille te otsustate mallidesse ja lepingutesse lisada. Te ei tohiks lisada eriliiki isikuandmeid (GDPR artikkel 9) ega muid eriti delikaatseid andmeid, välja arvatud juhul, kui teil on selleks õiguslik alus ja olete teenuse kasutamise vastavalt seadistanud. DokDesk ei vaja teenuse osutamiseks selliseid andmeid.
5. DokDeski kui volitatud töötleja kohustused
DokDesk töötleb isikuandmeid üksnes teie dokumenteeritud juhiste alusel, sealhulgas põhilepingus sisalduvate juhiste ning teie poolt teenuse seadistamise ja kasutamise alusel, välja arvatud juhul, kui DokDeskile kohalduv ELi või liikmesriigi õigus nõuab teisiti tegutsemist; sellisel juhul teavitab DokDesk teid sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui õigus keelab sellise teavitamise avaliku huvi olulistel põhjustel.
DokDesk tagab, et isikuandmete töötlemiseks volitatud isikud on seotud asjakohaste konfidentsiaalsuskohustustega. DokDesk abistab teid, võttes arvesse töötlemise laadi ja talle kättesaadavat teavet, andmesubjektide taotlustele vastamisel ning teie kohustuste täitmisel seoses turvalisuse, rikkumisest teavitamise, andmekaitsealaste mõjuhinnangute ja eelneva konsulteerimisega vastavalt GDPR artiklitele 32–36.
DokDesk teeb teile kättesaadavaks teabe, mis on põhjendatult vajalik GDPR artiklist 28 tulenevate volitatud töötleja kohustuste täitmise tõendamiseks, ning teavitab teid põhjendamatu viivituseta, kui mõni juhis tema arvates rikub GDPR-i või muid ELi või liikmesriigi andmekaitsesätteid.
6. Töötlemise turvalisus
Võttes arvesse tehnika taset, rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti andmesubjektidele avalduvaid riske, rakendab DokDesk asjakohaseid tehnilisi ja korralduslikke meetmeid, mille eesmärk on tagada riskile vastav turvalisuse tase kooskõlas GDPR artikliga 32.
Need meetmed hõlmavad kohaldatavuse korral järgmist: isikuandmete krüpteerimine edastamisel ja säilitamisel; juurdepääsukontrollid ja rollipõhised õigused, mis kajastavad töövoo rolle; logid ja auditijäljed (sealhulgas iga allkirja kohta jäädvustatud tõendibaas); turvalinkide ja allkirjastamisvoogude turvaline käitlemine; meetmed allkirjastatud dokumentide terviklikkuse ja autentsuse säilitamiseks; ning menetlused isikuandmete kättesaadavuse ja neile juurdepääsu taastamiseks pärast intsidenti.
Kuna DokDesk on varajases juurdepääsus, tuleb turvameetmete konkreetne ja ajakohane loend esitada turvalisuse lisas või samaväärses dokumendis ning kinnitada enne tootmiskasutust. Käesolevas vormis ei kinnitata ühtegi konkreetset sertifitseerimis- ega auditistaatust.
7. Alamtöötlejad ja rahvusvahelised edastamised
Te volitate DokDeski kaasama alamtöötlejaid (näiteks pilvemajutuse, infrastruktuuri, identiteedi/eID ja tugiteenuste pakkujad), et abistada teenuse osutamisel. DokDesk kehtestab igale alamtöötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui käesolevas DPA-s sätestatud, ja DokDesk jääb teie ees vastutavaks alamtöötleja tegevuse eest. Käesolevas vormis ei nimetata konkreetseid alamtöötlejaid; tuleb pidada ja kättesaadavaks teha täpne ja ajakohane loend ning teile tuleb anda mõistlik võimalus esitada vastuväiteid oluliste muudatuste suhtes.
DokDeski eesmärk on, et isikuandmeid säilitatakse ja töödeldakse ELis, kooskõlas DokDeski positsioneeringuga, mille kohaselt andmed jäävad GDPR-i alusel ELi. Kui isikuandmeid peaks edastatama väljapoole ELi/EMP-d, toimuks see üksnes GDPR V peatüki kohase kehtiva edastamismehhanismi alusel (näiteks kaitse piisavuse otsus või asjakohased kaitsemeetmed) ning asjakohased üksikasjad dokumenteeritaks enne mis tahes sellist edastamist.
eID- ja usaldusteenuste kanalid, mida kasutatakse elektrooniliseks allkirjastamiseks (näiteks Smart-ID, Mobiil-ID, riiklikud eID-d ja kvalifitseeritud usaldusteenuse osutajad), tegutsevad oma tingimuste alusel ning kvalifitseeritud teenuste puhul eIDASe alusel. QES-võimekus on arhitektuuriliselt valmis: kui vajate kvalifitseeritud allkirjastamist, tuleb kohaldatav teenusepakkuja ja selle korraldus enne QES-ile tootmises tuginemist kinnitada.
8. Andmesubjekti õigused, rikkumisest teavitamine, tagastamine ja kustutamine
DokDesk abistab teid, võttes arvesse töötlemise laadi, asjakohaste tehniliste ja korralduslike meetmetega niivõrd, kui see on võimalik, teie kohustuse täitmisel vastata GDPR III peatüki alusel oma õigusi teostavate andmesubjektide taotlustele (sealhulgas juurdepääs, parandamine, kustutamine, piiramine, ülekantavus ja vastuväite esitamine). Kui DokDesk saab sellise taotluse otse, suunab ta selle teile edasi, välja arvatud juhul, kui õigus nõuab tegutsemist.
DokDesk teavitab teid põhjendamatu viivituseta pärast seda, kui ta on saanud teadlikuks teie nimel töödeldavaid isikuandmeid mõjutavast isikuandmetega seotud rikkumisest, ning esitab talle mõistlikult kättesaadava teabe, et aidata teil täita GDPR artiklitest 33 ja 34 tulenevaid teavitamiskohustusi.
Teenuse lõpetamisel kustutab või tagastab DokDesk teie valikul teie nimel töödeldud isikuandmed ning kustutab olemasolevad koopiad, välja arvatud juhul, kui ELi või liikmesriigi õigus nõuab nende jätkuvat säilitamist – näiteks juhul, kui säilitamine on vajalik allkirjastatud lepingute ja nendega seotud allkirjatõendite terviklikkuse ja õigusliku väärtuse säilitamiseks. Kohaldatavad säilitustähtajad tuleb enne tootmiskasutust kindlaks määrata.
9. Auditid, vastutus, kohaldatav õigus ja lõppsätted
DokDesk teeb põhjendatud eelneva kirjaliku taotluse korral ja asjakohast konfidentsiaalsust järgides kättesaadavaks teabe, mis on vajalik GDPR artikli 28 täitmise tõendamiseks, ning võimaldab teie või teie volitatud audiitori läbiviidavaid auditeid, sealhulgas kohapealseid kontrolle, ja aitab neile kaasa viisil, mis ei ohusta teiste klientide andmete turvalisust ega konfidentsiaalsust.
Vastutus, hüvitised ja piirangud on sätestatud poolte vahelises põhilepingus; käesolevas vormis ei määrata vastutuse ülempiire ega summasid. Kohaldatav õigus ja pädevad kohtud on need, milles on põhilepingus kokku lepitud ja mis on kooskõlas GDPR-iga; konkreetne jurisdiktsioon tuleb enne allkirjastamist täita.
Käesolev DPA on üldine käivituseelne näidisvorm. Poolte isikuandmed ja registreerimisandmed, postiaadress, jõustumiskuupäev, alamtöötlejate loend, majutuskohad ja säilitustähtajad on tahtlikult jäetud kohatäideteks. Täitke need üksikasjad täpselt ja laske dokument enne mis tahes tootmiskasutust kvalifitseeritud õigusnõustajal läbi vaadata. Käesolev dokument ei ole õigusnõu ja DokDesk ei ole õigusbüroo.