Andmetöötlusleping

See andmetöötlusleping („DPA“) on osa Kasutustingimused vahel, mis on sõlmitud Passport Digital Limited („meie“, volitatud töötleja) ja kliendi („teie“, vastutav töötleja) vahel. See kehtib alati, kui töötleme MyProductPassporti pakkumisel teie nimel isikuandmeid, ning vastab UK GDPR-i ja kohaldamise korral EU GDPR-i artiklile 28. Kui teie tööruumi haldab partner, kellel on teie leping, oleme selle partneri alamtöötleja samadel tingimustel.

1. Töötlemise üksikasjad

• Sisu ja kestus: MyProductPassporti pakkumine teile lepingu kehtivuse ajal ja kuni andmete kustutamiseni, nagu allpool kirjeldatud.
• Olemus ja eesmärk: teie tooteandmete ja passide majutamine, salvestamine, avaldamine, tõlkimine ja kuvamine; passide vaatamisstatistika koostamine; tugi; ja varukoopiad.
• Kui te neid kasutate, ka: teie valitud tarnijatelt teabe küsimine, iga avaldatud passi allkirjastatud ajaloo säilitamine ja teie meeskonna sisselogimine teie identiteedipakkuja kaudu.
• Asjaomased isikud: teie töötajad ja meeskonnaliikmed; teie tooteandmetes ja dokumentides nimetatud isikud; ning isikud, kes vaatavad teie avaldatud passe.
• Isikuandmete liigid: nimed, ärikontaktandmed ja ametikohad; kõik isikuandmed, mille lisate tooteandmetesse või dokumentidesse; ning passi vaatajate puhul riik, seadme tüüp, brauser, operatsioonisüsteem, viitav leht ja kodeeritud külastaja identifikaator (mitte kunagi IP-aadress).
• Kui lülitate müügijärgse teeninduse sisse: teie toodete omanike registreerimine ja nende garantiiandmete pidamine, teenindustaotluste, teie vastuste ja klientide fotode edastamine teie ja nende vahel, omanikele toote edasiandmise võimaldamine ning eksemplari ehtsuse kontroll.
• Asjaomased isikud, kui kasutate müügijärgset teenindust: isikud, kes registreerivad mõne teie toote, saadavad teile teenindustaotluse, saavad toote selle omanikult või kontrollivad eksemplari ehtsust.
• Nende isikuandmete liigid: nimi ja e-posti aadress; mida nad ise lisada otsustavad, näiteks telefoninumber, riik, ostu kuupäev ja koht, seerianumber, sõnumid ja fotod; kas nad nõustusid teilt uudiseid saama, koos täpse sõnastusega, mida nad nägid; ning ehtsuse kontrolli puhul riik ja kodeeritud külastaja identifikaator (mitte kunagi IP-aadress).
• Kui küsite tarnijatelt teavet: teie tarnijate kontaktisikud (nimi, e-posti aadress ja ettevõte) ning nende saadetud vastused ja failid. Kui kasutate ühekordset sisselogimist: nimi ja e-posti aadress, mille teie identiteedipakkuja iga inimese kohta saadab. Passi allkirjastatud ajalugu säilitab iga avaldatud versiooni sellisena, nagu see oli, sealhulgas väljade varasemad väärtused. See kustutatakse koos teie tööruumiga ja me eemaldame varasemad versioonid teie juhise alusel, kui neist tuleb isikuandmed kustutada.

Teenus ei ole mõeldud eriliigiliste andmete (näiteks terviseandmete) jaoks. Palun ärge neid üles laadige.

Teie otsustate, mida teie klientidele öeldakse. Teie privaatsusteade on lingitud igas müügijärgse teeninduse vormis ja e-kirjas ning need funktsioonid jäävad välja lülitatuks, kuni selle lisate. E-kirjad teie klientidele saadetakse teie nimel ja teie vastamisaadressiga meie saateteenuse pakkuja kaudu.

2. Meie kohustused

Me kohustume:

• töödelda isikuandmeid ainult teie dokumenteeritud juhiste alusel, milleks on need tingimused ja teie teenuse kasutamine, välja arvatud juhul, kui seadus nõuab teisiti, millisel juhul teatame sellest teile eelnevalt, kui seadus seda ei keela;
• teavitama teid, kui leiame, et juhis rikub andmekaitseõigust;
• tagame, et kõik, keda volitame andmeid töötlema, on seotud konfidentsiaalsuskohustusega;
• rakendama allpool kirjeldatud turvameetmeid;
• kasutama alamtöötlejaid ainult allpool kirjeldatud viisil;
• aitama teil vastata oma õigusi kasutavate isikute taotlustele;
• aitama teil täita kohustusi seoses turvalisuse, rikkumisest teatamise, andmekaitsealase mõjuhinnangu ja eelneva konsulteerimisega, võttes arvesse meile kättesaadavat teavet;
• kustutama või tagastama isikuandmed lepingu lõppemisel, nagu allpool kirjeldatud;
• teeme kättesaadavaks teabe, mis on vajalik nende kohustuste täitmise tõendamiseks, ja lubame auditeid, nagu allpool kirjeldatud.

3. Alamtöötlejad

Volitate meid kasutama järgmisi alamtöötlejaid:

• DigitalOcean Cloudwaysi kaudu: majutus, andmebaasid ja varukoopiad (London, Ühendkuningriik).
• Cloudflare: võrk, turvalisus ja sisuedastus (ülemaailmne võrk).
• Brevo (Sendinblue SAS): teenuse e-kirjade saatmine teile ja teie meeskonnale ning müügijärgse teeninduse kasutamisel teie klientidele (Prantsusmaa).
• OpenAI: avaldatud passide teksti automaatne tõlkimine ja nende dokumentide lugemine, mille otsustate passi importida (Ameerika Ühendriigid).
• Sentry (Functional Software, Inc.): vigade jälgimine (Saksamaa, ELi andmepiirkond).
• Microsoft (Microsoft 365): e-post tugikirjavahetuse jaoks.

Paneme igale alamtöötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui see DPA, ja jääme teie ees vastutavaks nende töö eest. Teavitame teid uuest alamtöötlejast e-posti teel või rakenduses vähemalt 30 päeva enne selle tööle asumist. Võite esitada vastuväite mõistlikel andmekaitsealastel põhjustel; kui me ei suuda vastuväidet lahendada, võite mõjutatud teenuse lõpetada ja hüvitame lõppemisele järgneva perioodi eest makstud tasud.

4. Rahvusvahelised edastamised

Teie andmeid hostitakse Ühendkuningriigis, mille puhul Euroopa Komisjon tunnustab piisavat kaitset. Kui alamtöötleja töötleb isikuandmeid riigis, mille kohta pole kaitse piisavuse otsust, tugineme Euroopa Komisjoni tüüplepingutingimustele koos UK International Data Transfer Addendumiga või alamtöötleja sertifitseerimisele ELi-USA andmekaitseraamistiku ja selle Ühendkuningriigi laienduse alusel.

5. Üksikisikute taotlused

Teenus võimaldab teil andmeid ise vaadata, parandada, eksportida ja kustutada. Kui keegi võtab meiega ühendust teie kontrollitavate isikuandmete kohta, edastame taotluse teile põhjendamatu viivituseta ega vasta sellele ise, kui te seda ei palu.

Registreeritud toodete omanikud saavad ka ise teie turundus-e-kirjadest loobuda ja oma registreeringu omaniku lehelt kustutada.

6. Turvameetmed

• Krüpteerimine edastamisel: TLS igal ühendusel koos HTTP Strict Transport Securityga.
• Krüpteerimine salvestatuna: kasutajakontodel hoitavad registrikood, KMKR-number ja telefoninumber on rakenduses krüpteeritud; paroole hoitakse ainult ühesuunaliste räsidena.
• Juurdepääs: rollipõhine juurdepääs tööruumides (omanik, administraator, toimetaja, vaataja), valikuline kaheastmeline autentimine ja piiratud sisselogimiskatsed. Juurdepääs tootmisserveritele on ainult nimeliselt määratud administraatoritel.
• Logimine: olulised toimingud salvestatakse koos kasutaja, aja ja IP-aadressiga ning neid säilitatakse 90 päeva.
• Passide vaatajad: IP-aadresse ei salvestata kunagi; ainult salajase võtmega loodud kodeeritud identifikaator.
• Müügijärgne teenindus: eksemplaride peidetud koodid, turvaliste siltide võtmed ja teie klientidele saadetud e-kirjade privaatsed lingid krüpteeritakse rakenduses; klientide saadetud fotosid hoitakse privaatselt ja näidatakse ainult teie meeskonnale ja kliendile, kes need saatis.
• Vastupidavus: igapäevased andmebaasi varukoopiad ja Cloudflare'i kaitse teenusetõkestusrünnete eest.
• Rakenduse turvalisus: range sisuturbepoliitika (CSP) koos rikkumisteadetega.

7. Isikuandmetega seotud rikkumised

Kui saame teada teie andmeid mõjutavast isikuandmetega seotud rikkumisest, teeme järgmist:

• teavitama teid põhjendamatu viivituseta ja igal juhul 48 tunni jooksul e-posti teel teie tööruumi omanikule;
• andma teile teabe, mida vajate Information Commissioner’s Office'i või oma järelevalveasutuse teavitamiseks 72 tunni jooksul, ja seda uuendama, kui saame rohkem teada;
• tegema teiega koostööd rikkumise uurimiseks ja ohjeldamiseks ning dokumenteerima, mis juhtus ja mida me selle suhtes tegime.

Võimalikust turvaprobleemist saate teatada aadressil [email protected].

8. Auditid

Vastame mõistlikele kirjalikele küsimustele selle DPA järgimise kohta. Kui sellest ei piisa, võite omal kulul teha auditi:

• vähemalt 30-päevase kirjaliku etteteatamisega;
• tavapärasel tööajal;
• konfidentsiaalsuskohustusega audiitorite poolt;
• mitte sagedamini kui kord aastas, välja arvatud juhul, kui rikkumine või järelevalveasutus nõuab veel ühte.

9. Andmete tagastamine ja kustutamine

Saate oma andmeid igal ajal eksportida ja lepingu lõppemisel taotleda täielikku eksporti (vt „Teisele teenusepakkujale üleminek“ meie Kasutustingimused). Konto kustutamisel kustutatakse selles olevad isikuandmed kohe. Kui leping lõpeb muul viisil, kustutame andmed 30 päeva pärast lõppemist. Varukoopiates olevad koopiad kirjutatakse üle 60 päeva jooksul pärast seda. Säilitame ainult seda, mida seadus nõuab, näiteks arveid, ja kinnitame soovi korral kustutamist kirjalikult.

Alates 26. oktoobrist 2026 jäävad akupassid pärast konto kustutamist kättesaadavaks, nagu on kirjeldatud kasutustingimustes (määrus (EL) 2023/1542, artikli 78 punkt e).

Müügijärgse teeninduse andmed: registreering, mida keegi ei kinnita, kustutatakse 30 päeva pärast ning kutsutud uue omaniku andmed kohe, kui üleandmine on vastu võetud, tühistatud või aegunud. Omanikud saavad oma registreeringu ise omaniku lehelt kustutada ning teie saate töölaual registreeringu eemaldada või teenindustaotluse kustutada. Muul juhul kustutatakse need andmed koos teie tööruumiga.

10. Kohaldatav õigus

Sellele DPA-le kohaldatakse Inglismaa ja Walesi õigust, nagu ka meie kasutustingimustele. Kui EU GDPR nõuab, et sellele kohaldataks ELi liikmesriigi õigust, kohaldatakse Iiri õigust ja pädevad on Iirimaa kohtud. Kui see DPA on vastuolus kasutustingimustega, on isikuandmete töötlemise osas ülimuslik see DPA.

Küsimused selle andmetöötluslepingu kohta: [email protected].