ISIKUANDMETE TÖÖTLEMISE LEPING

ISIKUANDMETE TÖÖTLEMISE LEPING 1 Sissejuhatus Käesolev isikuandmete töötlemist puudutav leping (“Lisa”) on lahutamatu osa hetkel kehtivast lepingust, mis on sõlmitud kontoripindade üürimise ja/või ruumidega seotud teenuste osutamise eesmärgil (“Leping”) Technopolis Oyj või samast grupist üürileandja ja/või teenuste osutajana tegutseva ettevõtte (“Pakkuja”) ja alltoodud 10. punktis kirjeldatud kliendi vahel (“Klient”). Käesoleva Lisa eesmärk on kokku leppida Kliendi isikuandmete privaatsuses ja kaitses, millest Pakkuja juhindub kontoriruumide üürimisel ja sellega seotud teenuste osutamisel (“Teenused”). Lisa jõustub pärast selle allkirjastamist mõlema poole poolt. Käesolev Lisa saab ilma eraldiseisva sellekohase viiteta kõigi poolte vahel kehtivate ja tulevikus sõlmitavate teenuslepingute ja tellimuste osaks. Lisa rakendatakse, kui Pakkuja töötleb Kliendi nimel vastavalt Lepingule Kliendi isikuandmeid. Käesolev Lisa kujutab endast isikuandmete töötlemist puudutavat Lepingut vastavalt Euroopa Liidu isikuandmete kaitse üldmäärusele (679/2016) (edaspidi GDPR). Otseselt GDPR-ist lähtuvad kohustused ja õigused jõustuvad alates GDPR-i rakendumise kuupäevast, milleks on 25.o5.2018. Vastuolude korral Lepingu ja käesoleva Lisa sätete vahel tuleb juhinduda käesoleva Lisa sätetest. 2 Definitsioonid Lähtuvalt käesoleva Lisa eesmärkidest ja kooskõlas GDPR-iga on kasutusel järgmised väljendid: „vastutav töötleja” – Klient, kes määratleb isikuandmete töötlemise eesmärgi ja meetmed. „volitatud töötleja” – Pakkuja, kes vastavalt Lepingule töötleb isikuandmeid vastutava töötleja nimel. „töötlemine” – igasugune toiming või toimingute jada, mida teostatakse isikuandmete või isikuandmete hulkadega kas automatiseeritud või automatiseerimata kujul, nagu näiteks kogumine, salvestamine, korrastamine, struktureerimine, säilitamine, kohandamine või muutmine, väljavõtete tegemine, päringute teostamine, kasutamine, avalikustamine edastamise, avaldamise või mis tahes muul viisil kättesaadavaks tegemise teel, liitmine või ühendamine, piiramine, kustutamine või hävitamine. „isikuandmed” – ükskõik milline informatsioon, mis on seotud tuvastatud või tuvastatava füüsilise isikuga (“andmesubjektiga”). Tuvastatav füüsiline isik on isik, keda on võimalik kaudselt või otseselt tuvastada, viidates väärtustele nagu nimi, isikukood, asukoha andmed; internetipõhistele väärtustele või ühele või enamale väärtusele, mis on seotud antud isiku füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse identiteediga; 1(5)  „isikuandmetega seotud rikkumine” – turvarikkumine, mis põhjustab edastatavate, säilitatavate või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävimise, kadumise, muutmise, loata avalikustamise või kättesaadavuse. 3 Andmekaitse ja isikuandmete töötlemine 3.1 Pakkuja ja Kliendi kohustused Pakkuja töötleb Kliendi isikuandmeid (“Kliendiandmed”) Kliendi nimel vastavalt Lepingule. Isikuandmed võivad olla tuvastatavad näiteks töötajale, klientidele või teistele füüsilistele isikutele. Klient on isikuandmete vastutav töötleja ja Pakkuja on nende andmete volitatud töötleja. Pooled nõustuvad järgima pädeva jurisdiktsiooni ja Euroopa Liidu kehtestatud seadusi, regulatsioone, ametlikke määrusi ja juhendeid ning vajadusel viima sisse parandusi käesolevasse Lisasse, et toimida kooskõlas eelmainitud seaduste ja regulatsioonidega. Vastutava töötlejana peab Klient tagama, et tal on vajalikud õigused ja ta on omandanud asjassepuutuvad nõusolekud isikuandmete töötlemiseks. Lisaks andmesubjektide teavitamisele nende andmete töötlemise kohta vastutab Klient kirjete koostamise ja nende kättesaadavuse eest. Klient vastutab Pakkujale edastatud isikuandmete õigsuse eest. Kliendil on õigus ja kohustus määrata kindlaks isikuandmete töötlemise eesmärk ja meetmed. Töötlemise objekti, iseloomu ja eesmärke on täpsemalt kirjeldatud Lepingus. Pakkujal on õigus töödelda Kliendiandmeid ainult kooskõlas käesoleva Lepingu, Lisa ja Kliendi poolt antud kirjalike juhenditega ning ainult sellisel määral, mis on vajalik Teenuse osutamiseks. Pakkuja teavitab Klienti kõigist avastatud vastuoludest juhendi ja Euroopa Liidu või pädeva jurisdiktsiooni andmekaitseseaduste või määruste vahel ja sellisel juhul võib Pakkuja koheselt keelduda Kliendi juhendit täitmast. Pakkujal peab olema Teenuse kirjeldus või muu normatiivne materjal, mis kirjeldab Teenuse osutamise raames teostatavaid töötlemistoiminguid. Pakkujal on õigus koguda anonüümseid ja statistilisi andmeid Lepingu alusel osutatud Teenuste kasutamise kohta, juhul kui vastavate andmete abil pole võimalik Klienti ega andmesubjekti tuvastada ning andmeid kasutatakse üksnes Pakkuja teenuste analüüsimiseks ja arenduseks. 3.2 Isikuandmete kustutamine/tagastamine Lepingu lõppemisel tagastab Pakkuja Kliendile kõik Kliendi andmed või kustutab andmed ja nende koopiad vastavalt Kliendi antud juhistele, juhul kui kehtiv seadusandlus ei nõua isikuandmete säilitamist. 3.3 Alltöövõtja Pakkuja võib Kliendi andmete töötlemiseks kasutada alltöövõtjaid. Pakkuja vastutab alltöövõtja tegevuse eest samuti nagu enda tegevuse eest ning sõlmib alltöövõtjatega isikuandmete töötlemiseks kirjalikud lepingud. Kliendi nõudmisel teavitab Pakkuja Klienti ette alltöövõtjate kasutamise kavatsusest isikuandmete töötlemisel vastavalt Lepingule. Kliendil on õigus mõistlikel põhjustel keelduda uute alltöövõtjate kasutamisest. 2(5)  3.4 Pakkuja abistamiskohustus Pakkuja peab Kliendile koheselt edastama kõik andmesubjektidelt saadud andmete kontrollimise, parandamise ja kustutamise, andmetöötluse keelamise ja muud taotlused. Kliendi kohus on tagada vastused sellistele taotlustele. Vastavalt töötlemise iseloomule peab Pakkuja Klienti võimalusel aitama asjakohaste tehniliste ja organisatsiooniliste abinõudega, et Klient saaks täita andmesubjekti taotlusele vastamise kohustust. Lähtuvalt töötlemise iseloomust ja saadaolevatest andmetest on Pakkuja ülesanne aidata Kliendil tagada, et Kliendi tegevus oleks kooskõlas tema GDPR-is määratletud kohustustega. Need kohustused võivad puudutada andmekaitset, andmekaitsega seotud juhtumitest teavitamist, andmekaitsealaseid mõjuhinnanguid ja nõustamist. Pakkuja peab abistama Klienti ainult sel määral, kuivõrd andmekaitset puudutav seadusandlus seda isikuandmete töötlejalt nõuab. Kui pole teisiti kokku lepitud, võib Pakkuja käesoleva sätte täitmise raames sooritatud toimingute kulude eest esitada arve vastavalt oma kehtivale hinnakirjale. Pakkuja suunab kõik järelevalveasutuste päringud otse Kliendile, kuna suhtluses Kliendile suunatud järelevalveasutustega pole Pakkujal õigust Klienti esindada ega tema nimel tegutseda. 4 Andmetöötluse spetsifikatsiooniankeet Andmesubjektide kategooriad ja isikuandmete liigid, mida Teenuse osutamisel töödeldakse, isikuandmete töötlemise kestus, iseloom ja eesmärgid ning Kliendi poolt antud juhised on välja toodud igas Lepingus ja selle Lisades. Erandina või lisaks nendele nõustuvad Pooled käesolevas Lisas järgmisega: Teenuse kestus Vastavalt kehtivale üüri- ja/või teenuslepingule Teenuse iseloom Kontoripindade üürimine, koristusteenused, linnakuteenused, ja eesmärk ürituskorraldusteenused, IKT-teenused, elektri- ja hooldustööd, tööruumide kujundusteenused ja muud teenused, mis on seotud kontoripindadega, ning neist Teenustest teavitamine. Teenuste eesmärk on rahuldada Kliendi kontoripindadega seotud vajadused. Isikute Esindajad, töötajad, Kliendi partnerid ja muud Kliendiga seotud kategooriad, kelle isikud, kelle informatsiooni Klient on kogunud ja edastanud suhtes Pakkujale Lepingu täitmise eesmärgil. töötlemistoiming uid kohaldatakse Kogutud Nimi, sünniaeg, telefoninumber, e-posti aadress ja töökoht Kliendi isikuandmete organisatsioonis, võimalikud seosed teiste asutustega. liigid 3(5)  Käesoleva Lisa kehtivus lõpeb koos vastava Lepinguga, kui Lepingu ja käesoleva Lisa raames teostatud isikuandmete töötlemine on lõppenud. 5 Töötlemine väljaspool Euroopa Liitu / Euroopa Majanduspiirkonda Pakkuja ja tema alltöövõtjad ei tohi töödelda isikuandmeid väljaspool Euroopa Liitu / Euroopa Majanduspiirkonda ilma Kliendi kirjaliku nõusolekuta. Pooled lepivad eelnevalt kirjalikult kokku igas väljaspool Euroopa Liitu / Euroopa Majanduspiirkonda toimuvas Kliendiandmete edastamises või töötlemises. Euroopa Liidu poolt heaks kiidetud standardseid lepingutingimusi kohaldatakse kõigi Kliendiandmete edastuste korral väljapoole Euroopa Liitu / Euroopa Majanduspiirkonda. 6 Auditid Klient või kolmandast isikust audiitor (kes ei ole Pakkuja konkurent) võib Kliendi nimel kontrollida käesolevas Lisas määratletud toiminguid. Pooled lepivad auditi kuupäevas ja muudes üksikasjades eelnevalt kokku ja sealjuures ei tohi audit toimuda varem kui 14 tööpäeva pärast auditi soovist teatamisest. Audit viiakse läbi selliselt, et see ei häiriks Pakkuja ega tema alltöövõtjate kohustuste täitmist kolmandate isikute ees. Kliendi esindaja ja audiitor peavad allkirjastama konfidentsiaalsuslepingud. Kõik pooled kannavad auditiga seotud kulutused ise. 7 Andmekaitse Pakkuja võtab Kliendiandmete kaitsmiseks tarvitusele asjakohased tehnilised ja organisatsioonilised abinõud, arvestades isikuandmete töötlemisega kaasnevaid riske, nagu näiteks andmete juhuslik või ebaseaduslik hävimine, kadumine, muutmine, lubamatu avalikustamine või ligipääs edastatavatele, säilitatavatele või muul viisil töödeldavatele andmetele. Turvameetmete korraldamisel võetakse arvesse tehnilisi võimalusi ja nendega kaasnevaid kulusid, mis tulenevad isikuandmete töötlemise ja nende tundliku iseloomuga seotud riskidest, millest Klient on teavitanud või mille Klient on kirjalikult välja toonud. Klient peab tagama, et Pakkuja oleks teadlik kõigist asjaoludest, mis on seotud Kliendi poolt edastatud isikuandmetega, nagu näiteks riskianalüüsid ja erikategooriatesse kuuluvate isikute andmete töötlemine, mis võivad mõjutada käesoleva Lisaga kooskõlas olevaid tehnilisi ja organisatsioonilisi abinõusid. Pakkuja peab tagama, et Pakkuja personal ja alltöövõtjad, kes osalevad isikuandmete töötlemises, peavad kinni vajalikest konfidentsiaalsusnõuetest. 8 Isikuandmetega seotud rikkumisest teavitamine Pakkuja teavitab Klienti kõigist isikuandmetega seotud rikkumistest ilma põhjendamatu viivituseta alates hetkest, kui Pakkuja või tema alltöövõtja saab teada isikuandmetega seotud rikkumisest. Kliendi nõudmisel peab Pakkuja ilma põhjendamatu viivituseta edastama Kliendile kogu isikuandmetega seotud rikkumist puudutava asjakohase informatsiooni. Määral, mil Pakkujale on vastav informatsioon kättesaadav, peab teade kirjeldama vähemalt järgmist: 4(5)  (a) toimunud isikuandmetega seotud rikkumise laadi; (b) asjaomaste andmesubjektide kategooriaid ja ligikaudset arvu ning isikuandmete asjaomaste kirjete liike ja ligikaudset arvu; (c) isikuandmetega seotud rikkumise tõenäolisi tagajärgi, ja (d) meetmeid, mida Pakkuja rikkumise lahendamiseks on tarvitusele võtnud või võtab, et vältida isikuandmetega seotud rikkumisi tulevikus, ja vajaduse korral ka meetmeid, mille abil leevendada rikkumise võimalikke negatiivseid mõjusid. Pakkuja peab Kliendi jaoks viivitamatult dokumenteerima uurimise tulemused ja tarvitusele võetud meetmed. Klient vastutab järelevalveasutustele vajaliku teavitustöö eest. 9 Muud sätted Kui GDPR-i või käesoleva Lisa rikkumine põhjustab andmesubjektile materiaalset või mittemateriaalset kahju, vastutab Pakkuja tekitatud kahju eest ainult ulatuses, mille osas Pakkuja ei ole täitnud GDPR-i või käesoleva Lisa poolt selgesõnaliselt sätestatud kohustusi. Mõlemad pooled on kohustatud hüvitama ainult selle osa tekkinud kahjudest ja haldustrahvidest, mis on kooskõlas järelevalveasutuse poolt või kohtuotsusega määratud vastava osapoole vastutusega tekitatud kahju eest. Muus osas määratleb poolte vastutuse nendevaheline Leping. Pakkuja teavitab Klienti kirjalikult kõigist muudatustest, mis võivad mõjutada Pakkuja võimet või väljavaateid pidada kinni käesolevast Lisast ja Kliendi kirjalikest juhistest. Pooled lepivad kõigis käesolevat Lisa puudutavates täiendustes ja muudatustes kokku kirjalikult. Käesolev Lisa jõustub selle allkirjastamisel mõlema poole poolt. Lisa kehtib, kuni (i) kehtib pooltevaheline Leping või (ii) pooltel on omavahelisi kohustusi, mis on seotud isikuandmete töötlemisega. Kohustused, mis oma iseloomu tõttu peavad jääma jõusse hoolimata käesoleva Lisa kehtivuse lõppemisest, jäävad pärast käesoleva Lisa kehtivuse lõppemist jõusse. 10 Allkirjad Pakkuja Klient /allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/ 5(5)