Andmetöötluse leping
Sõlmitud IKÜM art 28 lg 3 alusel. See on kasutustingimuste lahutamatu osa ja kohaldub automaatselt igale WorkAist Cloud'i kliendile.
Kehtib alates: 2026-07-10
See dokument on avaldatud mitmes keeles. Erinevuste korral on siduv ingliskeelne versioon.
1. Pooled ja rollid
Käesolev andmetöötluse leping (edaspidi „DPA“) sõlmitakse WorkAisti kontol märgitud kliendi (edaspidi „vastutav töötleja“) ja ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal, NIF 517251876 (edaspidi „volitatud töötleja“) vahel.
WorkAist Cloud'is töödeldavate kliendiandmete osas määrab vastutav töötleja töötlemise eesmärgid ja vahendid ning volitatud töötleja töötleb vastutava töötleja nimel. Kui vastutav töötleja on ise kolmanda isiku volitatud töötleja, kinnitab vastutav töötleja, et tal on õigus see DPA sõlmida ning et tema antavad juhised vastavad selle kolmanda isiku juhistele.
See DPA ei kohaldu WorkAist Self-Hosted'ile, mille puhul kliendiandmed ei jõua volitatud töötleja süsteemidesse, ega andmetele, mille suhtes volitatud töötleja ise on vastutav töötleja ja mida reguleerib privaatsuspoliitika.
2. Ülimuslikkuse järjekord
Kui see DPA on vastuolus kasutustingimustega, on see DPA andmekaitseküsimustes ülimuslik. Kui see on vastuolus individuaalselt läbiräägitud tellimisvormi või allkirjastatud andmetöötluse lepinguga, on see dokument ülimuslik.
3. Ese, kestus, olemus ja eesmärk
Ese on WorkAist Cloud'i osutamine. Töötlemise olemus ja eesmärk on kliendiandmete majutamine, säilitamine, edastamine ja automatiseeritud töötlemine, et vastutava töötleja seadistatud agendid, connectorid ja protsessid saaksid toimida, koos teenuse osutamiseks vajalike tugi-, turva-, mõõtmis- ja arveldustegevustega.
Töötlemine kestab seni, kuni vastutava töötleja leping WorkAist Cloud'i kohta kehtib, millele lisandub punktis 11 sätestatud kustutamisperiood.
4. Andmesubjektide ja isikuandmete kategooriad
Vastutav töötleja otsustab, mida ta üles laadib. Tavapäraselt puudutab töötlemine:
| Andmesubjektide kategooriad | Isikuandmete kategooriad |
|---|---|
| Vastutava töötleja töötajad ja volitatud kasutajad | Nimi, töömeili aadress, roll, autentimisandmed, auditilogi kirjed |
| Vastutava töötleja kliendid, potentsiaalsed kliendid ja kontaktid | Nimi, e-post, telefoninumber, ettevõte, kirjavahetus, CRM-kirjed, iga identifikaator, mille vastutav töötleja otsustab sünkroonida |
| Vastutava töötleja tarnijad ja partnerid | Kontaktandmed, lepingu- ja arveandmed |
| Iga andmesubjekt, kes esineb vastutava töötleja töödeldavates dokumentides või sõnumites | Kõik isikuandmed failides, e-kirjades, transkriptsioonides, piltides või sõnumites, mille vastutav töötleja teenusesse esitab |
Isikuandmete eriliike IKÜM art 9 tähenduses ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid IKÜM art 10 tähenduses ei tohi teenuses töödelda, kui pooled ei ole eelnevalt kirjalikult kokku leppinud täiendavates kaitsemeetmetes.
Andmete allikas
Kliendiandmed jõuavad teenusesse seetõttu, et vastutav töötleja ühendab väliseid süsteeme, laadib üles faile või annab oma agentidele korralduse need tuua. Ainult vastutav töötleja valib need allikad ja otsustab, mida imporditakse.
Vastutav töötleja kinnitab, et tal on IKÜM art 6 — ja kohaldatavuse korral art 9 — kohane õiguslik alus nende isikuandmete kogumiseks ja nende edastamiseks volitatud töötlejale ning et kõik lähtesüsteemis nõutavad teabeteatised või nõusolekud on olemas. Volitatud töötlejal ei ole juurdepääsu vastutava töötleja lähtesüsteemidele, ta ei vali neid ega kontrolli ega saa kontrollida, kas need vastavad andmekaitseõigusele. Selle kindlakstegemine on vastutava töötleja kui vastutava töötleja kohustus.
5. Töötlemine dokumenteeritud juhiste alusel
Volitatud töötleja töötleb kliendiandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas seoses edastamisega kolmandatesse riikidesse, välja arvatud juhul, kui volitatud töötlejale kohalduv Euroopa Liidu või liikmesriigi õigus nõuab temalt teisiti toimimist. Sellisel juhul teavitab volitatud töötleja vastutavat töötlejat sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui asjaomane õigus keelab seda olulistel avaliku huvi põhjustel.
Kasutustingimused, see DPA ning vastutava töötleja poolt teenuse seadistamine ja kasutamine moodustavad vastutava töötleja täielikud dokumenteeritud juhised. Iga täiendav juhis peab olema kirjalikus vormis ning kui see nõuab teenuse standardsest funktsionaalsusest suuremat pingutust, võib selle suhtes kohaldada eelnevalt kokkulepitud mõistlikku tasu.
Volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta, kui tema arvates rikub mõni juhis IKÜM-i või muud Euroopa Liidu või liikmesriigi andmekaitseõigust.
6. Konfidentsiaalsus
Volitatud töötleja tagab, et isikud, kellel on õigus kliendiandmeid töödelda, on võtnud endale konfidentsiaalsuskohustuse või on nende suhtes kohaldatav asjakohane seadusjärgne konfidentsiaalsuskohustus, ning et juurdepääs on piiratud nendega, kes seda lepingu täitmiseks vajavad.
7. Töötlemise turvalisus
Võttes arvesse tehnika taset, rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti riski füüsiliste isikute õigustele ja vabadustele, rakendab volitatud töötleja järgmisi tehnilisi ja korralduslikke meetmeid IKÜM art 32 alusel.
II lisa — Tehnilised ja korralduslikud meetmed
| Meede | Rakendamine |
|---|---|
| Krüpteerimine edastamisel | Kogu liiklus teenusesse ja teenusest väljub TLS-i kaudu automaatselt uuendatavate sertifikaatidega. Sisemine teenustevaheline liiklus ei lahku hostivõrgust. |
| Saladuste krüpteerimine | Kliendi volitusandmed ja connectorite saladused krüpteeritakse puhkeolekus AES-256-GCM abil, kasutades rakenduse andmebaasist väljaspool hoitavat võtit. |
| Pseudonümiseerimine | Telemeetria- ja mõõtmiskirjed viitavad klientidele ja agentidele identifikaatori, mitte nime või e-posti kaudu, kui identifikaatorist piisab. |
| Konfidentsiaalsus — juurdepääsukontroll | Rollipõhine juurdepääsukontroll iga töökeskkonna kohta. Iga agent on piiratud oma salvestuse prefiksi ja oma andmebaasiskeemiga; klientideülene juurdepääs on keelatud andmetasandil, mitte ainult kasutajaliideses. |
| Konfidentsiaalsus — töötajad | Vähimate õiguste põhimõttel antud haldusõigused, mida antakse individuaalselt ja vaadatakse üle rolli muutumisel. Kõik haldustoimingud kirjutatakse ainult lisamist võimaldavasse auditilogisse. |
| Terviklus | Sisendi valideerimine ja parameetritega päringud kogu süsteemis. Iga muudatus operatsioonide API kaudu salvestab auditilogi kirje, mis tuvastab tegutseja. |
| Käideldavus ja vastupidavus | Hallatud majutus Tier III klassi andmekeskuses Saksamaal. Automatiseeritud igapäevased andmebaasi varukoopiad, mida hoitakse krüpteerituna ja eraldi tootmiskeskkonnast. |
| Taastamine | Dokumenteeritud taastamisprotseduur uusimast varukoopiast; taastamist harjutatakse infrastruktuuri muudatuste raames. |
| Testimine ja hindamine | Sõltuvuste haavatavuste skaneerimine pidevas integratsioonis, koodiülevaatus enne ühendamist ning nende meetmete perioodiline ülevaatamine vähemalt kord aastas ja teenuse oluliste muudatuste korral. |
| Andmete minimeerimine juba disaini järgi | Connectorid sünkroonivad ainult vastutava töötleja poolt lubatud väljad. Vastutav töötleja saab igal ajal kustutada iga sünkroonitud tabeli. |
Volitatud töötleja võib neid meetmeid tehnoloogia arenedes uuendada, tingimusel et kaitse tase ei vähene. Kehtiv on alati sellel lehel avaldatud versioon.
8. Volitatud alltöötlejad
Vastutav töötleja annab volitatud töötlejale üldise kirjaliku loa kaasata volitatud alltöötlejaid. Volitatud töötleja kehtestab lepinguga igale volitatud alltöötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui käesolevas DPA-s sätestatud, ning jääb vastutava töötleja ees täielikult vastutavaks volitatud alltöötleja tegevuse eest.
III lisa — Volitatud alltöötlejad
Järgmisi volitatud alltöötlejaid kasutatakse iga WorkAist Cloud'i kliendi puhul, kuna need on osa infrastruktuurist, millel teenus töötab.
| Volitatud alltöötleja | Eesmärk | Asukoht | Edastuse kaitsemeede |
|---|---|---|---|
| Hetzner Online GmbH | Rakendusserverite, andmebaasi ja varukoopiate majutamine | Saksamaa (EL) | Ei kohaldu |
| Cloudflare, Inc. | DNS, pöördproksi, TLS-lõpetus, DDoS-kaitse | Globaalne servivõrk, sealhulgas EL | SCC-d; EL-USA andmekaitseraamistik |
| Stripe Payments Europe, Ltd. | Maksete ja tellimuste töötlemine | Iirimaa (EL) | SCC-d kontsernisiseste edasiste edastuste jaoks; EL-USA andmekaitseraamistik |
| Resend, Inc. | Tehingupõhiste e-kirjade edastamine | Ameerika Ühendriigid | SCC-d |
Mudelipakkujad
Suurte keelemudelite pakkujaid koheldakse erinevalt, kuna vastutav töötleja valib need ise.
- Kui vastutav töötleja esitab omaenda pakkuja volitusandmed, kaasab selle pakkuja vastutav töötleja, tema juhiste alusel ja tema enda selle pakkujaga sõlmitud lepingu raames. See ei ole volitatud töötleja volitatud alltöötleja. Volitatud töötleja üksnes edastab päringu esitatud volitusandmeid kasutades ega anna mingit garantiid selle pakkuja turvalisuse, töötlemise asukoha, treenimispraktikate ega vastavuse osas.
- Kui vastutav töötleja kasutab volitatud töötleja hallatavat tokenite arveldust, valib pakkuja volitatud töötleja ning see on volitatud töötleja volitatud alltöötleja. Praegu selles rollis kaasatud pakkuja on Anthropic PBC (Ameerika Ühendriigid) suure keelemudeli järeldamiseks, tüüptingimuste alusel ning tal on lepinguga keelatud treenida talle saadetud andmetel.
Vastutav töötleja näeb igal ajal teenuse sees, millist mudelipakkujat iga tema agent kasutab, ja saab seda muuta.
Volitatud alltöötlejate muutmine
Volitatud töötleja teavitab vastutavat töötlejat e-posti teel vähemalt 30 päeva ette enne volitatud alltöötleja lisamist või asendamist. Vastutav töötleja võib nende 30 päeva jooksul esitada vastuväite mõistlikel andmekaitsealastel põhjustel. Kui pooled ei suuda vastuväidet lahendada, võib vastutav töötleja lõpetada teenuse mõjutatud osa ilma leppetrahvita ning saada proportsionaalse tagasimakse ettemakstud tasudest.
9. Abistamine andmesubjektide õiguste teostamisel
Võttes arvesse töötlemise laadi, abistab volitatud töötleja vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega, niivõrd kui see on võimalik, vastutava töötleja kohustuse täitmisel vastata taotlustele, mis puudutavad andmesubjekti IKÜM III peatükis sätestatud õiguste teostamist.
Teenus annab vastutavale töötlejale otsese juurdepääsu kliendiandmetele, et ta saaks isikuandmeid ise leida, eksportida, parandada ja kustutada. Kui taotlus siiski nõuab volitatud töötleja kaasamist, vastab volitatud töötleja põhjendamatu viivituseta ja igal juhul 10 tööpäeva jooksul. Kui andmesubjekt võtab volitatud töötlejaga otse ühendust kliendiandmete asjus, ei vasta volitatud töötleja sisuliselt; ta edastab taotluse põhjendamatu viivituseta vastutavale töötlejale.
10. Abistamine artiklite 32–36 osas
Volitatud töötleja abistab vastutavat töötlejat IKÜM art 32–36 kohustuste täitmise tagamisel, võttes arvesse töötlemise laadi ja volitatud töötlejale kättesaadavat teavet — eelkõige seoses töötlemise turvalisuse, isikuandmetega seotud rikkumisest teavitamise, andmesubjektidele teatamise, andmekaitsealase mõjuhinnangu ja eelneva konsulteerimisega.
Isikuandmetega seotud rikkumine
Volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta ja igal juhul 48 tunni jooksul pärast seda, kui ta on saanud teadlikuks kliendiandmeid mõjutavast isikuandmetega seotud rikkumisest. Teavitus kirjeldab rikkumise laadi, mõjutatud andmesubjektide ja kirjete kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi, võetud või kavandatud meetmeid ning kontaktisikut. Kui kogu teave ei ole korraga kättesaadav, esitatakse see etappide kaupa ilma põhjendamatu täiendava viivituseta. Volitatud töötleja ei teavita järelevalveasutust ega andmesubjekte vastutava töötleja nimel, välja arvatud juhul, kui talle on selleks korraldus antud.
11. Kliendiandmete kustutamine ja tagastamine
Vastutava töötleja valikul kustutab või tagastab volitatud töötleja kõik kliendiandmed pärast töötlemisega seotud teenuste osutamise lõppu ning kustutab olemasolevad koopiad, välja arvatud juhul, kui Euroopa Liidu või liikmesriigi õigus nõuab isikuandmete säilitamist.
- 30 päeva jooksul pärast lepingu lõppemist võib vastutav töötleja eksportida kliendiandmed teenusest või taotleda nende tagastamist struktureeritud, üldkasutatavas ja masinloetavas vormingus.
- Volitatud töötleja kustutab kliendiandmed käigus olevatest süsteemidest 30 päeva jooksul pärast selle ekspordiakna sulgumist.
- Kliendiandmeid sisaldavad krüpteeritud varukoopiad kirjutatakse üle nende tavapärase rotatsiooni käigus ja igal juhul 90 päeva jooksul pärast kustutamist käigus olevatest süsteemidest.
- Kirjaliku taotluse korral kinnitab volitatud töötleja kustutamise kirjalikult.
12. Auditid ja teave
Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik IKÜM art 28 järgimise tõendamiseks, ning võimaldab ja aitab kaasa vastutava töötleja või tema poolt volitatud teise audiitori läbi viidavatele audititele, sealhulgas kontrollidele.
Praktikas esitab volitatud töötleja esmalt oma kehtiva tehniliste ja korralduslike meetmete dokumentatsiooni, oma volitatud alltöötlejate loetelu ning kirjalikud vastused turvaküsimustikule. Kui sellest ei piisa vastavuse tõendamiseks, võib vastutav töötleja 30-päevase kirjaliku etteteatamisega läbi viia kohapealse või kaugauditi, mitte rohkem kui üks kord kalendriaastas, välja arvatud juhul, kui on toimunud isikuandmetega seotud rikkumine või seda nõuab järelevalveasutus. Auditid toimuvad tööajal, ei tohi põhjendamatult häirida volitatud töötleja tegevust ning nende suhtes kohaldub konfidentsiaalsus. Vastutav töötleja kannab oma auditikulud; volitatud töötleja kannab omad, välja arvatud juhul, kui audit paljastab käesoleva DPA olulise rikkumise.
13. Rahvusvahelised edastused
Volitatud töötleja säilitab kliendiandmeid puhkeolekus Saksamaal. Edastused III lisas loetletud volitatud alltöötlejatele väljaspool Euroopa Majanduspiirkonda toimuvad Euroopa Komisjoni tüüptingimuste alusel (rakendusotsus (EL) 2021/914), moodul kolm, mille korral volitatud töötleja tegutseb volitatud töötlejana, kaasates volitatud alltöötleja, mida vajaduse korral täiendatakse lisameetmetega, ning — kui vastuvõtja on sertifitseeritud — EL-USA andmekaitseraamistiku piisavusotsuse alusel.
Sõlmides selle DPA, volitab vastutav töötleja volitatud töötlejat sõlmima neid tüüptingimusi iga volitatud alltöötlejaga vastutava töötleja nimel ja tema eest.
14. Vastutus
Vastutust selle DPA alusel reguleerib kasutustingimustes sätestatud vastutuse piirang, kusjuures miski ei piira kummagi poole vastutust andmesubjekti ees IKÜM art 82 alusel ega järelevalveasutuse ees.
15. Kehtivusaeg, kohaldatav õigus ja kontakt
See DPA jõustub, kui algab vastutava töötleja leping WorkAist Cloud'i kohta, ning jääb kehtima seni, kuni volitatud töötleja kliendiandmeid töötleb. Seda reguleerib Portugali õigus ning ainupädevus on Lissaboni kohtutel, ilma et see piiraks IKÜM art 79 kohaldamist.
Kontakt kõigis selle DPA-ga seotud küsimustes: [email protected].