Kuidas leping sõlmida: printige see leht (või salvestage PDF-ina), täitke vastutava töötleja andmed ja allkirjaplokid, allkirjastage ning saatke skann aadressile info@cloudgps.online — saadame vastuallkirjastatud eksemplari tagasi. Käesolev leping loetakse ka viite alusel poolte vahelisse teenuselepingusse lisatuks.
Kõiki kliendiandmeid majutatakse ainult EL-is — Hetzner Online GmbH, Falkenstein, Saksamaa. Vt meie privaatsuspoliitikat.
Käesolev andmetöötlusleping („DPA") on sõlmitud järgmiste poolte vahel:
Vastutav töötleja: klient, kes on nimetatud allpool olevas allkirjaplokis ja/või teenuselepingus („vastutav töötleja"), ja
Volitatud töötleja: Oleksandr Oliinyk, Ukrainas registreeritud füüsilisest isikust ettevõtja, kes tegutseb ärinime cloudGPS all („cloudGPS" või „volitatud töötleja"). Täielikud registriandmed ja registrijärgne aadress kantakse käesoleva lepingu allkirjastatud eksemplari,
koos „pooled"; käesolev leping täiendab lepingut, mille alusel cloudGPS osutab vastutavale töötlejale sõidukipargi telemaatika teenust („teenuseleping").
1. Mõisted
„GDPR" tähendab määrust (EL) 2016/679. Mõisted „isikuandmed", „töötlemine", „vastutav töötleja", „volitatud töötleja", „andmesubjekt", „isikuandmetega seotud rikkumine" ja „järelevalveasutus" on kasutusel GDPR-is antud tähenduses. „Alltöötleja" tähendab volitatud töötlejat, kelle volitatud töötleja on kaasanud isikuandmete töötlemiseks vastutava töötleja nimel.
2. Kohaldamisala ja rollid
2.1. Volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel I lisas kirjeldatud viisil, üksnes teenuselepingu järgsete teenuste osutamiseks.
2.2. Nende andmete osas tegutseb vastutav töötleja vastutava töötlejana ja volitatud töötleja volitatud töötlejana. Andmekaitse küsimustes on käesolev leping teenuselepingu suhtes ülimuslik.
2.3. Partneri stsenaarium — tegutsemine oma kaubamärgi all. Kui vastutava töötlejana nimetatud pool kasutab platvormi teenuste osutamiseks oma klientidele (sealhulgas cloudGPS-i partnerprogrammi raames, oma domeenil ja kaubamärgi all), võib ta ise tegutseda volitatud töötlejana nende klientide nimel. Sellisel juhul kohaldatakse käesolevat lepingut vastavate muudatustega all-töötlemise lepinguna: cloudGPS tegutseb alltöötlejana, selle poole dokumenteeritud juhised loetakse hõlmavaks tema vastutavate töötlejatena tegutsevate klientide juhiseid ning punkti 11.2 tähenduses kohaldatakse lepingu tüüptingimuste kolmandat moodulit (volitatud töötlejalt volitatud töötlejale). Nimetatud pool kinnitab, et tema enda klientidega sõlmitud andmetöötluslepingud lubavad cloudGPS-i kaasamist käesoleva lepingu tingimustel.
3. Juhised
3.1. Volitatud töötleja töötleb isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas kolmandatesse riikidesse edastamise osas, välja arvatud juhul, kui EL-i või liikmesriigi õigus nõuab teisiti; sel juhul teavitab volitatud töötleja vastutavat töötlejat enne töötlemist, kui õigus seda olulise avaliku huvi tõttu ei keela.
3.2. Teenuseleping, käesolev leping ning vastutava töötleja seadistused ja platvormi kasutus (sealhulgas tema seaded, API-päringud ja kasutajate tegevused) moodustavad vastutava töötleja dokumenteeritud juhised.
3.3. Volitatud töötleja teavitab vastutavat töötlejat viivitamata, kui tema hinnangul rikub juhis GDPR-i või muid kohalduvaid andmekaitsenorme.
4. Konfidentsiaalsus
Volitatud töötleja tagab, et kõik isikuandmete töötlemiseks volitatud isikud on võtnud endale konfidentsiaalsuskohustuse või neil on asjakohane seadusest tulenev konfidentsiaalsuskohustus ning et nad pääsevad andmetele ligi rangelt teadmisvajaduse alusel rollipõhise juurdepääsu kontrolli raames.
5. Turvalisus
Volitatud töötleja rakendab ja hoiab töös II lisas sätestatud tehnilised ja korralduslikud meetmed kooskõlas GDPR-i artikliga 32. Volitatud töötleja võib neid meetmeid aeg-ajalt ajakohastada tingimusel, et ajakohastused ei vähenda oluliselt üldist kaitsetaset.
6. Alltöötlejad
6.1. Vastutav töötleja annab üldise loa kaasata III lisas loetletud alltöötlejaid.
6.2. Volitatud töötleja teavitab vastutavat töötlejat vähemalt 30 päeva ette (e-posti teel või platvormi kaudu) igast kavandatavast alltöötleja lisamisest või vahetamisest. Vastutav töötleja võib esitada vastuväite põhjendatud andmekaitsealastel alustel; kui pooled vastuväidet ei lahenda, võib vastutav töötleja lõpetada asjaomased teenused.
6.3. Volitatud töötleja paneb igale alltöötlejale kirjaliku lepinguga andmekaitsekohustused, mis ei ole vähem kaitsvad kui käesolevas lepingus sätestatud, ning jääb vastutava töötleja ees täielikult vastutavaks alltöötleja tegevuse eest.
7. Abi andmesubjekti õiguste teostamisel
Võttes arvesse töötlemise laadi, aitab volitatud töötleja vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega (sealhulgas platvormi ekspordi-, parandamis- ja kustutamisfunktsioonidega) täita vastutava töötleja kohustust vastata andmesubjektide taotlustele GDPR-i III peatüki alusel. Volitatud töötleja edastab põhjendamatu viivituseta vastutavale töötlejale iga taotluse, mille ta saab otse andmesubjektilt, ega vasta sellele muul viisil kui vastutava töötleja juhise alusel.
8. Isikuandmetega seotud rikkumine
Volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta ja igal juhul 48 tunni jooksul pärast seda, kui ta saab teada vastutava töötleja isikuandmeid puudutavast rikkumisest, esitades GDPR-i artikli 33 lõikes 3 nõutud teabe selle laekumise järjekorras, ning dokumenteerib kõik rikkumised, nende mõju ja võetud parandusmeetmed.
9. Mõjuhinnangud
Volitatud töötleja osutab vastutavale töötlejale mõistlikku abi andmekaitsealaste mõjuhinnangute ja eelnevate konsultatsioonide läbiviimisel GDPR-i artiklite 35–36 alusel ulatuses, milles need puudutavad käesoleva lepingu järgset töötlemist.
10. Auditid
10.1. Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik GDPR-i artikli 28 järgimise tõendamiseks, eelkõige turvadokumentatsiooni ja täidetud küsimustike kaudu.
10.2. Volitatud töötleja võimaldab vastutava töötleja või tema volitatud audiitori auditeid, sealhulgas kohapealseid kontrolle, ja aitab neile kaasa: mitte sagedamini kui kord 12 kuu jooksul (välja arvatud pärast isikuandmetega seotud rikkumist), vähemalt 30-päevase kirjaliku etteteatamisega, tööajal, konfidentsiaalsuse tingimustel, ilma juurdepääsuta teiste klientide andmetele ja vastutava töötleja kulul.
11. Rahvusvahelised edastused
11.1. Kõiki isikuandmeid puhkeolekus hoitakse ainult Euroopa Liidus — Hetzner Online GmbH pühendatud serverites Falkensteinis Saksamaal, sealhulgas andmebaasi koopiad, failihoidla ja varukoopiad.
11.2. Volitatud töötleja personal võib platvormile hallatavaks ja toe osutamiseks kaugjuurdepääsu saada Ukrainast. Selle kaugjuurdepääsu suhtes lisavad pooled viite alusel komisjoni rakendusotsusega (EL) 2021/914 vastu võetud lepingu tüüptingimused (teine moodul: vastutavalt töötlejalt volitatud töötlejale), kusjuures vastutav töötleja on andmete eksportija ja volitatud töötleja andmete importija; käesoleva lepingu I ja II lisa täidavad nimetatud tingimuste I ja II lisa rolli; pädev järelevalveasutus on vastutava töötleja liikmesriigi asutus.
11.3. Edastused alltöötlejatele väljaspool EL-i/EMP-d toimuvad üksnes III lisas loetletud kaitsemeetmete alusel (EL-i ja USA andmekaitseraamistik ja/või lepingu tüüptingimused).
12. Tagastamine ja kustutamine
Teenuselepingu lõppemisel kustutab või tagastab volitatud töötleja vastutava töötleja valikul (struktureeritud, üldkasutatavas ja masinloetavas vormingus) kõik vastutava töötleja nimel töödeldud isikuandmed ning kustutab olemasolevad koopiad 90 päeva jooksul, välja arvatud juhul, kui EL-i või liikmesriigi õigus nõuab edasist säilitamist. Taotluse korral kinnitab volitatud töötleja kustutamist kirjalikult.
13. Vastutus
Kummagi poole vastutusele käesoleva lepingu alusel kohalduvad teenuselepingus sätestatud vastutuse piirangud ja välistused ning andmesubjektide ees vastutab kumbki pool vastavalt GDPR-i artiklile 82.
14. Kehtivus ja kohaldatav õigus
14.1. Käesolev leping jõustub viimase allkirja kuupäeval (või viite alusel lisamise korral teenuselepingu jõustumise kuupäeval) ja kehtib kuni kõigi isikuandmete kustutamise või tagastamiseni punkti 12 alusel.
14.2. Käesolevale lepingule kohaldatakse teenuselepingule kohaldatavat õigust; sellise valiku puudumisel selle EL-i liikmesriigi õigust, kus vastutav töötleja on asutatud.
Allkirjad
Vastutav töötleja
Ettevõtte nimi / registrikood
Registrijärgne aadress
Nimi, ametikoht
Kuupäev, allkiri
Volitatud töötleja
Oleksandr Oliinyk, FIE
ärinimi cloudGPS, Ukraina
registriandmed — allkirjastatud eksemplaris
info@cloudgps.online
Nimi, ametikoht
Kuupäev, allkiri
A. Pooled
Andmete eksportija (vastutav töötleja): allkirjaplokis / teenuselepingus nimetatud klient.
Andmete importija (volitatud töötleja): Oleksandr Oliinyk, FIE, ärinimi cloudGPS, Ukraina, info@cloudgps.online (täielikud registriandmed allkirjastatud eksemplaris).
B. Töötlemise üksikasjad
| Ese | cloudGPS-i sõidukipargi telemaatika platvormi pilveteenusena pakkumine: GPS-jälgimine, kütusekontroll, geotsoonid, aruanded, teavitused, hooldus ja juhtide haldus. |
|---|---|
| Kestus | Teenuselepingu kehtivusaeg ning punktis 12 sätestatud kustutamisperiood. |
| Laad ja eesmärk | Sõidukite telemeetria ja seotud andmete kogumine (jälgimisseadmetest ja kasutajate sisestustest), säilitamine, struktureerimine, otsimine, kuvamine, analüüsimine ja kustutamine, et osutada vastutavale töötlejale sõidukipargi jälgimise teenuseid. |
| Andmesubjektide kategooriad | Vastutava töötleja juhid ja muud töötajad või töövõtjad; vastutava töötleja volitatud kasutajad; vastutava töötleja kontaktisikud. Kui vastutav töötleja teenust edasi müüb (partnerprogramm oma kaubamärgi all, punkt 2.3) — vastavad isikud vastutava töötleja klientide poolel. |
| Isikuandmete kategooriad | Sõidukite asukohaandmed (GPS-koordinaadid, kiirus, suund, marsruudid, läbisõit, mootoritunnid); telemeetria ja andurite näidud (süüde, kütus, temperatuur, CAN-siin); seadmete identifikaatorid (IMEI, seerianumber, SIM); juhtide tuvastamise sündmused (iButton / RFID); juhtide nimed, telefoninumbrid, e-posti aadressid ja fotod, kui vastutav töötleja on need sisestanud; sõidukite registreerimismärgid; sisselogimise ja kasutuse logid. |
| Eriliigilised andmed | Ei ole ette nähtud. Vastutav töötleja kohustub mitte esitama platvormile eriliigilisi isikuandmeid (GDPR art 9). |
| Sagedus | Pidev, teenuselepingu kehtivuse ajal. |
- Majutus: kõik tootmisandmed Hetzner Online GmbH pühendatud serverites Falkensteinis (Saksamaa, EL); füüsilise turvalisuse tagavad ISO 27001 sertifikaadiga andmekeskused; kliendiandmeid ei hoita väljaspool EL-i.
- Krüpteerimine edastamisel: TLS kogu veebi-, mobiili- ja API-liiklusele; sõlmedevahelise liikluse eraldamine privaatvõrgus (VLAN).
- Juurdepääsu kontroll: rollipõhine juurdepääsu kontroll (RBAC), iga rentniku andmete eraldatus, personali jaoks minimaalsete õiguste põhimõte.
- Autentimine: mitmefaktoriline autentimine haldusjuurdepääsuks; paroolitugevuse nõuded; automaatne kaitse paroolirünnakute ja varastatud sisselogimisandmete automaatse proovimise vastu koos blokeerimisega.
- Taristu turvestamine: SSH-juurdepääs ainult krüptovõtmetega; hosti tulemüürid ja võrgu segmenteerimine; rakendusserverid on kättesaadavad ainult pühendatud koormusjaoturite kaudu (rakendusserverite eraldatus).
- Töökindlus: replikeeritud kolme sõlmega andmebaasiklaster automaatse tõrkesiirdega; regulaarsed varukoopiad EL-i piires; ööpäevaringne kättesaadavuse seire ja teavitused.
- Logimine ja seire: tsentraliseeritud turva- ja autentimislogimine; haldustoimingute logimine.
- Korralduslikud meetmed: konfidentsiaalsuskohustused kogu personalile; juurdepääs teadmisvajaduse alusel; määratletud intsidentidele reageerimise protsess; alltöötlejad on seotud kirjalike andmekaitselepingutega.
| Alltöötleja | Töötlemine / roll | Asukoht | Edastuse kaitsemeede |
|---|---|---|---|
| Hetzner Online GmbH | Pühendatud serverid, hoidla ja varukoopiad kõigi tootmisandmete jaoks | Saksamaa (EL) | Pole nõutav (EL) |
| Hetzner Online GmbH | Tehingumeilide saatmine ja vastuvõtmine (teenuseteavitused) | Saksamaa (EL) | Pole nõutav (EL) |
| Functional Software, Inc. (Sentry) | Rakenduse veaseire | EL-i andmepiirkond (Saksamaa) | Andmed EL-is; DPF toe juurdepääsuks |
| Anthropic | AI-tugiassistent — vestluse tekst ja asjakohane seadmete kontekst ainult tugivestluse kasutamisel; API andmeid ei kasutata mudelite treenimiseks | USA | DPF / SCC |
| Cloudflare, Inc. | DNS platvormi domeenidele; rakenduse liiklus ja kliendiandmed Cloudflare'i ei läbi | Globaalne | DPF / SCC |
Volitatud töötleja teavitab vastutavat töötlejat vähemalt 30 päeva enne alltöötleja lisamist või vahetamist (punkt 6). Ajakohane loetelu on avaldatud ka aadressil cloudgps.online/et/dpa/.
Oma kaubamärgi all tegutsevad rentnikud võivad seadistada väljuvate teavituste jaoks oma SMTP-serveri. Sel juhul toimetab selle rentniku e-kirjad kohale partneri valitud teenusepakkuja (partneri enda volitatud töötlejana) ülalnimetatud e-posti alltöötleja asemel.