MELP, UAB, registrikood 305615566, registreeritud asukoha aadress Laisvės al. 82, LT-44250 Kaunas, Leedu, keda esindab tegevjuht Robertas Šaltis, kes tegutseb äriühingu põhikirja alusel (edaspidi Volitatud töötleja),
ja
MELP-i teenuslepingu eritingimustes nimetatud juriidiline isik, keda seal nimetatakse „Kliendiks“ (edaspidi Vastutav töötleja),
edaspidi Volitatud töötleja ja Vastutav töötleja koos Pooled ja eraldi Pool,
arvestades, et Vastutav töötleja ja Volitatud töötleja on sõlminud lepingud MELP-i teenuste eritingimuste ja organisatsioonidele mõeldud MELP platvormi kasutustingimuste kohta (edaspidi Põhileping), mille alusel Volitatud töötleja töötleb Vastutava töötleja nimel käesolevas lepingus määratletud Isikuandmeid, osutades Vastutavale töötlejale teenuseid ja täites kokkulepitud kohustusi, ning saab juurdepääsu järgmistele Isikuandmetele,
on Volitatud töötleja ja Vastutav töötleja sõlminud järgmise isikuandmete töötlemise lepingu (edaspidi Leping), milles Pooled leppisid kokku järgmises:
1. MÕISTED
1.1. Lepingus kasutatud mõistetel on järgmine tähendus:
1.1.1. Isikuandmete kaitset reguleerivad õigusaktid on ELi andmekaitseõigus ja kohaldatavas ulatuses mis tahes muu riigi andmekaitse- või eraelu puutumatuse alased õigusaktid.
1.1.2. IKÜM on ELi isikuandmete kaitse üldmäärus (EL) 2016/679.
1.1.3. EMP on Euroopa Majanduspiirkond.
1.1.4. Alamtöötleja on mis tahes üksus (sealhulgas kolmandad isikud või Volitatud töötlejaga seotud isikud, kuid mitte Volitatud töötleja töötajad ega tema alltöövõtjate töötajad), kelle Volitatud töötleja või Volitatud töötlejaga seotud isik on määranud või kes on määratud nende nimel töötlema Isikuandmeid Vastutava töötleja nimel, nagu on sätestatud Põhilepingus.
1.1.5. Tüüplepingutingimused on andmekaitse tüüptingimused, mille Komisjon on heaks kiitnud IKÜMi artikli 93 lõikes 2 sätestatud komiteemenetluse kohaselt, ning muud Komisjoni heaks kiidetud andmekaitse tüüptingimused, mis vastavad direktiivi 95/46/EÜ artikli 26 lõike 4 tingimusele, kuni neid täielikult või osaliselt muudetakse või need kehtetuks tunnistatakse.
1.1.6. MELP platvorm on MELP-i hallatav veebiplatvorm aadressil www.melp.com või MELP mobiilirakenduses. MELP platvorm on tööriist, mille abil Organisatsioonid saavad Hüvede kohta teavet jagada ja Hüvesid hallata ning Kasutajad saavad Organisatsioonide jagatud teabega tutvuda, Hüvesid valida ja teha muid lubatud toiminguid. Olenevalt valitud MELP platvormiga ühendamise viisist võivad MELP platvormil esitatava teabe maht ja pakutavad funktsioonid erineda.
1.2. Mõisteid vastutav töötleja, andmesubjekt, isikuandmed, isikuandmetega seotud rikkumine, Komisjon, volitatud töötleja, isikuandmete töötlemine ja järelevalveasutus kasutatakse IKÜMis sätestatud tähenduses ning nendega seotud mõisteid tõlgendatakse vastavalt.
1.3. Sõna „hulgas“ tõlgendatakse tähenduses „sealhulgas, kuid mitte ainult“ ning sellega seotud mõisteid tõlgendatakse vastavalt.
1.4. Lepingus kasutatud mõistetel on Lepingus neile antud tähendus. Suure algustähega mõisted, kui Lepingus ei ole sätestatud teisiti, on määratletud Põhilepingus ja/või neid mõistetakse Isikuandmete kaitset reguleerivates õigusaktides määratletud tähenduses.
2. LEPINGU ESE
2.1. Leping reguleerib Poolte vahelisi suhteid seoses Isikuandmete töötlemisega Volitatud töötleja poolt Vastutava töötleja nimel Põhilepingu täitmisel.
2.2. Leping ja Põhileping moodustavad Poolte vahel ühe lepingu ning asendavad kõik Poolte varasemad sama esemega seotud lepingud või muud kokkulepped. Kui Põhilepingu ja käesoleva Lepingu Isikuandmete töötlemist puudutavad tingimused on vastuolus, kohaldatakse käesoleva Lepingu tingimusi, kui Lepingus ja/või Põhilepingu eritingimustes ei ole sätestatud teisiti.
3. POOLTE ÕIGUSED JA KOHUSTUSED
3.1. Volitatud töötleja kohustub:
3.1.1. töötlema üksnes Lepingu lisas 1 nimetatud Isikuandmeid ning kui neid ei ole nende pidevalt muutuva ulatuse tõttu võimalik täpsustada, siis üksnes neid Isikuandmeid, mida Vastutav töötleja MELP platvormil töötleb, ja üksnes Põhilepingu täitmiseks vajalikus ulatuses;
3.1.2. töötlema Isikuandmeid üksnes Lepingu ja Põhilepingu tingimuste kohaselt;
3.1.3. tagama Isikuandmete töötlemisel Lepingu kohaselt, et Isikuandmete töötlemine vastab Isikuandmete kaitset reguleerivatele õigusaktidele ning järelevalveasutuste soovitustele ja juhistele;
3.1.4. mitte tegema toiminguid, mille tagajärjel oleks Vastutav töötleja sunnitud tegutsema vastuolus Isikuandmete kaitset reguleerivate õigusaktide nõuetega;
3.1.5. mitte edastama ega muul viisil avalikustama Isikuandmeid ega muud Isikuandmete töötlemisega seotud teavet ühelegi kolmandale isikule, välja arvatud õigusaktides ja Lepingus sätestatud juhtudel;
3.1.6. viivitamata teavitama Vastutavat töötlejat e-posti teel ja Lepingus määratud kirjalikul viisil olukorrast, kus Volitatud töötleja peab õigusaktidest tulenevate kohustuste täitmiseks avalikustama Isikuandmeid, mida ta töötleb Vastutava töötleja nimel. Isikuandmete avalikustamisel seadusest tuleneva kohustuse täitmiseks peab Volitatud töötleja nõudma kolmandalt isikult Isikuandmete konfidentsiaalsuse säilitamist;
3.1.7. määrama andmekaitseametniku ja teavitama sellest Vastutavat töötlejat kirjalikult, kui Volitatud töötleja on kohustatud sellise isiku Isikuandmete kaitset reguleerivate õigusaktide kohaselt määrama;
3.1.8. pidama kirjalikult, sealhulgas elektroonilises vormis, arvestust kõigi Vastutava töötleja nimel tehtavate Isikuandmete töötlemistoimingute kohta kooskõlas Isikuandmete kaitset reguleerivate õigusaktide ja Lepingu tingimustega ning esitama selle Vastutava töötleja kirjalikul nõudmisel viivitamata Vastutavale töötlejale.
3.2. Volitatud töötleja kohustub Vastutava töötleja nõudmisel andma Vastutavale töötlejale sellises nõudmises määratud mõistliku tähtaja jooksul kogu teabe, mis on vajalik tõendamaks, et Volitatud töötleja Lepingust ja Isikuandmete kaitset reguleerivatest õigusaktidest tulenevaid kohustusi täidetakse.
3.3. Koostöö ja abi Vastutavale töötlejale:
3.3.1. Volitatud töötleja kohustub tegema Vastutava töötlejaga koostööd ja aitama teda ulatuses, mis on vajalik Andmesubjekti taotlusele vastamiseks ja Andmesubjekti õiguste nõuetekohaseks tagamiseks, sealhulgas, kuid mitte ainult, õigus tutvuda töödeldavate Isikuandmetega, õigus nõuda ebatäpsete Isikuandmete parandamist ja puudulike täiendamist, õigus Isikuandmete kustutamisele või nende töötlemise peatamisele, õigus Isikuandmete ülekandmisele jne.
3.3.2. Kui Volitatud töötleja saab Andmesubjektilt taotluse või päringu seoses Isikuandmete töötlemisega Volitatud töötleja poolt Vastutava töötleja nimel, peab Volitatud töötleja selle viivitamata edastama Vastutavale töötlejale tema esitatud e-posti aadressile. Volitatud töötleja täidab asjaomaseid taotlusi üksnes Vastutava töötleja kirjalike juhiste kohaselt.
3.3.3. Volitatud töötleja peab viivitamata teavitama Vastutavat töötlejat kõigist asjaoludest, mis võivad takistada Isikuandmete töötlemist kooskõlas Lepingu ja/või Isikuandmete kaitset reguleerivate õigusaktide nõuetega. Sellisel juhul on Vastutaval töötlejal õigus keelata Volitatud töötlejal Isikuandmete edasine töötlemine.
3.3.4. Volitatud töötleja kohustub andma Vastutavale töötlejale kogu teabe ja abi, mis on vajalik tõendamaks, et Isikuandmete töötlemine vastab Isikuandmete kaitset reguleerivates õigusaktides ja Lepingus sätestatud nõuetele.
3.3.5. Volitatud töötleja kohustub tegema Vastutava töötlejaga koostööd Isikuandmete töötlemise turvalisuse tagamisel ning juhtudel, kui on kohustus teavitada Järelevalveasutust isikuandmetega seotud rikkumisest, teavitada Andmesubjekti isikuandmetega seotud rikkumisest või teha andmekaitsealane mõjuhinnang.
3.4. Infoturve ja konfidentsiaalsus:
3.4.1. Volitatud töötleja kohustub võtma omal kulul asjakohased tehnilised ja korralduslikud meetmed, et tagada Vastutava töötleja nimel töödeldavate Isikuandmete asjakohane turvalisuse tase, ning rakendama vähemalt Lepingus nimetatud tehnilisi ja korralduslikke meetmeid.
3.4.2. Volitatud töötleja kohustub tagama, et ta rakendab Isikuandmete töötlemisel Vastutava töötleja nimel vähemalt järgmisi meetmeid:
3.4.2.1. Volitatud töötleja ruumid, kus hoitakse arvutiseadmeid ja kaasaskantavaid teabe salvestamise servereid ning kus säilitatakse Isikuandmeid, on järelevalveta ajal lukustatud, et kaitsta Isikuandmeid loata kasutamise, paljastamise ja varguse eest;
3.4.2.2. kehtestatakse kord Volitatud töötleja töötajatele Isikuandmetele juurdepääsu andmiseks ja selle tühistamiseks;
3.4.2.3. tagatakse, et Isikuandmetele juurdepääsuks kasutatavad kasutajaandmed ja salasõna on unikaalsed ega ole kättesaadavad Volitatud töötleja volitamata töötajatele;
3.4.2.4. tagatakse, et Isikuandmetele sisselogimiste ajalugu ja Isikuandmetega tehtud toimingute ajalugu säilitatakse ning see esitatakse Vastutava töötleja kirjalikul nõudmisel Vastutavale töötlejale;
3.4.2.5. tagatakse Isikuandmete turvaline edastamine. Isikuandmete välise edastamise korral kanalite kaudu, mida Volitatud töötleja ei kontrolli, tagatakse tehniliste vahendite kasutamine ühenduse autoriseerimiseks ja edastatavate Isikuandmete krüpteerimiseks;
3.4.2.6. tagatakse Isikuandmeid sisaldavate seadmete turvalise hävitamise ja parandamise protsess.
3.4.3. Volitatud töötleja kohustub andma juurdepääsu Isikuandmetele üksnes neile oma töötajatele, kellele on juurdepääs neile Isikuandmetele vajalik tööülesannete täitmiseks ning Volitatud töötleja Põhilepingust ja käesolevast Lepingust tulenevate kohustuste täitmise tagamiseks, samuti teavitama oma töötajaid sellest, kuidas nad peavad Isikuandmeid töötlema, ning tagama, et Volitatud töötleja töötajad, kellel on juurdepääs Isikuandmetele, on sõlminud konfidentsiaalsuslepingu, mis hõlmab kohustust Isikuandmeid mitte avalikustada:
3.4.3.1. Isikuandmeid töötlevate isikute muutumise korral tühistatakse nende juurdepääsuõigused Vastutava töötleja Isikuandmetele hiljemalt nende ülesannete viimasel päeval, mille täitmiseks neil on vaja juurdepääsu Volitatud töötlejale töötlemiseks usaldatud Vastutava töötleja Isikuandmetele, ning Volitatud töötleja töötaja töösuhte lõppemisel hiljemalt tema viimasel tööpäeval.
3.4.3.2. Isikuandmetele juurdepääsu saanud isikute nimekirja tuleb perioodiliselt üle vaadata, vähemalt iga 6 kuu järel. Ülevaatuse käigus tühistatakse juurdepääs Isikuandmetele, kui seda enam ei vajata, ning Isikuandmed ei ole nendele isikutele enam kättesaadavad.
3.4.3.3. Vastutava töötleja nõudmisel tõendab Volitatud töötleja, et tema juhitavatel ja Isikuandmete töötlemisega tegelevatel isikutel on Lepingu punktis 3.4.3 nimetatud konfidentsiaalsuskohustus.
3.4.4. Volitatud töötleja kohustub kaitsma Isikuandmeid hävitamise, muutmise, ebaseadusliku levitamise või loata juurdepääsu ning Isikuandmete ebaseadusliku töötlemise kõigi vormide eest.
3.5. Isikuandmetega seotud intsidentide haldamine:
3.5.1. Volitatud töötleja kohustub viivitamata, kuid mitte hiljem kui 24 tunni jooksul teadasaamisest, teavitama Vastutavat töötlejat e-posti teel ja Lepingus määratud kirjalikul viisil igast intsidendist, mis on seotud Volitatud töötleja poolt Vastutava töötleja nimel töödeldavate Isikuandmetega, sealhulgas isikuandmetega seotud rikkumisest, inter alia mis tahes loata juurdepääsust Isikuandmetele.
3.5.2. Isikuandmetega seotud intsidendi teade sisaldab toimunud või tõenäoliselt toimuva intsidendi kirjeldust, selle olemust ja olulisust, tõenäolisi tagajärgi ning Volitatud töötleja võetud või kavandatud meetmeid, meetmeid, mida Vastutaval töötlejal soovitatakse võtta intsidendi tagajärgede vähendamiseks või ärahoidmiseks, ohustatud Isikuandmete laadi, andmesubjektide kategooriaid ja nende ligikaudset arvu. Isikuandmetega seotud intsidendi teatele lisatakse kogu intsidendiga seotud teave ja dokumendid, mis võivad olla vajalikud, et Vastutav töötleja saaks rakendada asjakohaseid Isikuandmete turvameetmeid ja täita kohustust teavitada isikuandmetega seotud rikkumisest järelevalveasutust ja Andmesubjekti (kui see on Isikuandmete kaitset reguleerivate õigusaktide nõuete kohaselt kohaldatav).
3.5.3. Volitatud töötleja kohustub võtma isikuandmetega seotud rikkumise korral kõik meetmed, et aidata Vastutavat töötlejat rikkumise negatiivsete tagajärgede minimeerimisel, sealhulgas dokumenteerimisel.
3.5.4. Vastutava töötleja nõudmisel esitab Volitatud töötleja lisaks Lepingu punktis 3.5.2 nimetatud teabele dokumentide koopiad, näiteks võetud meetmete põhjenduse, rakendatud meetmed või tehtud siseauditid ja nende järeldused.
3.6. Koolitus
3.6.1. Volitatud töötleja peab tagama, et kõiki tema töötajaid (sealhulgas ajutisi töötajaid, lepingupartnereid ja muid sarnaseid isikuid) teavitatakse piisavalt nende igapäevatöö jaoks olulistest infosüsteemi turvakontrollidest. Isikuandmete töötlemisega tegelevaid töötajaid tuleb korrapärastel täienduskoolitustel piisavalt teavitada olulistest andmekaitsenõuetest ja õiguslikest kohustustest.
3.7. Audit
3.7.1. Vastutaval töötlejal on õigus Lepingu kehtivuse ajal igal ajal auditeerida Volitatud töötlejat ise või kolmanda isiku kaudu, teavitades Volitatud töötlejat sellest mõistliku aja jooksul ette, kuid mitte hiljem kui 10 kalendripäeva ette, et kontrollida, kas Isikuandmete töötlemine Volitatud töötleja poolt Vastutava töötleja nimel vastab Lepingu ja Isikuandmete kaitset reguleerivate õigusaktide nõuetele.
3.7.2. Volitatud töötlejal on õigus auditi vastu vaielda, kui:
3.7.2.1. Volitatud töötleja on viimase 12 (kaheteistkümne) kuu jooksul läbinud asjakohase sise- või välisauditi või kontrolli (st välisaudiitorite või teenuseosutajate tehtud auditi või kontrolli);
3.7.2.2. Volitatud töötleja suhtes toimub sise- või välisaudit või kontroll (st välisaudiitorite või teenuseosutajate tehtav audit või kontroll);
3.7.2.3. Vastutav töötleja algatab Volitatud töötleja suhtes rohkem kui ühe kontrolli või auditi kalendriaastas, välja arvatud täiendavad auditid või kontrollid, mis:
3.7.2.3.1. tehakse juhul, kui Volitatud töötleja poolel on toimunud andmeturbe rikkumine, mis on seotud Volitatud töötleja poolt Vastutava töötleja nimel töödeldavate Isikuandmetega;
3.7.2.3.2. tehakse juhul, kui Vastutav töötleja on tuvastanud Lepingu rikkumise ja Volitatud töötleja ei ole seda Vastutava töötleja määratud tähtaja jooksul kõrvaldanud;
3.7.2.3.3. tehakse juhul, kui Vastutaval töötlejal on põhjendatud teave, et Volitatud töötleja ebanõuetekohane tegevus ja/või tegevusetus võib rikkuda Lepingus sätestatud Volitatud töötleja kohustusi seoses Isikuandmete turvalisusega;
3.7.2.3.4. Vastutav töötleja peab või on kohustatud tegema Isikuandmete kaitset reguleerivate õigusaktide alusel Järelevalveasutuse või mis tahes riigis või territooriumil Isikuandmete kaitset reguleerivate õigusaktide rakendamise eest vastutava sarnase reguleeriva asutuse nõudmisel.
3.7.3. Volitatud töötleja kohustub looma sobivad tingimused ja aitama Vastutavat töötlejat või tema kaasatud kolmandat isikut Lepingu punktis 3.7.1 nimetatud Volitatud töötleja auditi tegemisel. Selleks kohustub Volitatud töötleja tagama juurdepääsu oma ruumidesse ning võimaldama juurdepääsu arvutitele ja/või tarkvarale, dokumentidele jne auditi tegemiseks vajalikus ulatuses.
3.7.4. Volitatud töötleja audit piirdub Vastutava töötleja nimel töödeldavate Isikuandmete ja nende töötlemistoimingutega.
3.7.5. Volitatud töötleja kohustub võimaldama igal Vastutava töötleja tegevuse üle järelevalvet teostaval asutusel Volitatud töötlejat auditeerida ja aitama Vastutavat töötlejat sellise auditi tegemisel.
3.8. Volitatud töötlejal ei ole õigust nõuda Lepingust tulenevate kohustuste täitmise eest lisatasu.
3.9. Kõik Volitatud töötleja ja/või Vastutava töötleja poolt auditi käigus koostatud (esitatud) dokumendid ja andmed on konfidentsiaalsed ning nende suhtes kohaldatakse kõrgeimaid mitteavalikustamise standardeid.
4. ALAMTÖÖTLEJA
4.1. Teise volitatud töötleja (edaspidi Alamtöötleja) kaasamiseks peab Volitatud töötleja täitma määruse (EL) 2016/679 artikli 28 lõigetes 2 ja 4 sätestatud nõudeid.
4.2. Vastutav töötleja volitab Volitatud töötlejat määrama (ja lubab igal käesoleva punkti 4 kohaselt määratud Alamtöötlejal määrata) Lepingu lisas 2 loetletud Alamtöötlejaid kooskõlas käesoleva punktiga Põhilepingus sätestatud piirides.
4.3. Volitatud töötleja kohustub teavitama Vastutavat töötlejat uue Alamtöötleja määramisest e-posti teel hiljemalt 30 kalendripäeva enne, kui Alamtöötleja alustab töötlemistoiminguid. Kui Vastutav töötleja ei nõustu Alamtöötleja määramisega, võib seda pidada Põhilepingu lõpetamise aluseks.
4.4. Volitatud töötleja kohustub kasutama üksnes selliseid volitatud töötlejaid (Alamtöötlejaid), kes tagavad piisavalt, et asjakohased tehnilised ja korralduslikud meetmed rakendatakse viisil, mis tagab andmetöötluse vastavuse IKÜMi ja muude õigusaktide nõuetele ning andmesubjekti õiguste kaitse.
4.5. Volitatud töötleja Alamtöötlejate ajakohane nimekiri on kättesaadav aadressil www.melp.com
4.6. Alamtöötlejaga sõlmitud tingimuste ja nende hilisemate muudatuste koopia esitatakse Vastutava töötleja nõudmisel Vastutavale töötlejale, et Vastutav töötleja saaks veenduda, et Alamtöötlejal on samad andmekaitsekohustused, mis on sätestatud Lepingus. Volitatud töötleja teavitab Vastutavat töötlejat kõigist juhtudest, kui Alamtöötleja ei täida sellise lepingu või muu õigusaktiga kehtestatud kohustusi nõuetekohaselt. Vastutav töötleja ei ole kohustatud esitama Alamtöötlejaga sõlmitud isikuandmete töötlemise lepingu ärilisi sätteid, mis ei mõjuta lepingu isikuandmete kaitse õiguslikke tingimusi.
4.7. Volitatud töötleja vastutab selle eest, et Alamtöötleja täidaks vähemalt neid kohustusi, mis on Volitatud töötlejale pandud tingimuste ja määrusega (EL) 2016/679. Kui Alamtöötleja ei täida isikuandmete kaitse kohustusi, vastutab Lepingu sõlminud Volitatud töötleja Vastutava töötleja ees täielikult Alamtöötleja (ja tema alamtöötlejate) kohustuste täitmise eest. See ei mõjuta andmesubjektide määrusest (EL) 2016/679 tulenevaid õigusi, eelkõige määruse (EL) 2016/679 artiklites 79 ja 82 sätestatud õigusi Vastutava töötleja ja Volitatud töötleja, sealhulgas Alamtöötlejate suhtes.
5. ISIKUANDMETE EDASTAMINE KOLMANDATESSE RIIKIDESSE
5.1. Volitatud töötleja võib edastada isikuandmeid kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele üksnes Vastutava töötleja dokumenteeritud juhiste ja/või nõusoleku alusel ning kooskõlas määruse (EL) 2016/679 V peatüki nõuetega.
5.2. Kui isikuandmeid tuleb edastada kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele Euroopa Liidu või selle liikmesriigi õiguse alusel, mida Volitatud töötleja peab järgima, kuigi Vastutav töötleja ei ole Volitatud töötlejale selleks juhist andnud, teavitab Volitatud töötleja Vastutavat töötlejat sellest õiguslikust nõudest enne edastamist, välja arvatud juhul, kui see õigus sellise teabe edastamise keelab.
5.3. Volitatud töötleja ei tohi ilma Vastutava töötleja dokumenteeritud juhisteta või Euroopa Liidu või selle liikmesriigi õigusest tuleneva konkreetse nõudeta käesolevate tingimuste kohaselt:
5.3.1. edastada isikuandmeid vastutavale töötlejale või volitatud töötlejale kolmandas riigis või rahvusvahelisele organisatsioonile;
5.3.2. anda Isikuandmete töötlemist üle alamtöötlejale kolmandas riigis;
5.3.3. lubada isikuandmeid töödelda volitatud töötlejal kolmandas riigis.
5.4. Vastutava töötleja juhised või load isikuandmete edastamiseks kolmandasse riiki, sealhulgas vajaduse korral määruse (EL) 2016/679 V peatükis sätestatud isikuandmete kolmandatesse riikidesse edastamise alus, esitatakse Lepingu lisas 1.
5.5. Käesolevaid tingimusi ei loeta määruse (EL) 2016/679 artikli 46 lõike 2 punktides c ja d määratletud andmekaitse tüüptingimusteks ning pooled ei saa tugineda neile tingimustele kui isikuandmete kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele edastamise alusele määruse (EL) 2016/679 V peatüki tähenduses.
5.6. Pärast Vastutava töötleja dokumenteeritud juhiste ja/või nõusoleku saamist kohustub Volitatud töötleja sõlmima väljaspool Euroopa Liitu (edaspidi EL) ja Euroopa Majanduspiirkonda (edaspidi EMP) asuvate alamtöötlejatega või rahvusvaheliste organisatsioonidega Isikuandmete kaitse lepingud kooskõlas Tüüplepingutingimustega.
6. VASTUTUS
6.1. Volitatud töötleja vastutab töödeldavate Isikuandmete konfidentsiaalsuse ja turvalisuse eest alates Isikuandmete saamisest.
6.2. Põhjendatud kahtluse korral, et Volitatud töötleja ei täida Lepingu ja/või Isikuandmete kaitset reguleerivate õigusaktide nõudeid, on Vastutaval töötlejal õigus pöörduda Volitatud töötleja poole kirjalikult, määrates tähtaja Isikuandmete töötlemise kohta selgituste andmiseks. Kui kahtlus leiab kinnitust ja seda peetakse Lepingu oluliseks rikkumiseks, on Vastutaval töötlejal õigus Leping ja Põhileping Volitatud töötleja süü tõttu ühepoolselt lõpetada või määrata Lepingus sätestatud korras tähtaeg rikkumise täielikuks kõrvaldamiseks.
6.3. Volitatud töötleja kohustub hüvitama Vastutavale töötlejale otsese kahju, mis on tekkinud Isikuandmete kaitset reguleerivate õigusaktide rikkumisest Volitatud töötleja ja/või tema kaasatud Alamtöötleja(te) süü tõttu. Kahju hõlmab kõiki Vastutava töötleja kantud kulusid, sealhulgas, kuid mitte ainult, trahve, makse, hüvitist Andmesubjektile jne. Kaudset kahju ei hüvitata.
6.4. Volitatud töötleja võtab täieliku vastutuse kasutatavate Alamtöötlejate tegevuse eest ja tagab, et kasutatavad Alamtöötlejad järgivad kõiki Lepingu tingimusi.
7. LEPINGU KEHTIVUS JA LÕPPEMINE
7.1. Leping jõustub selle sõlmimise päeval (st Põhilepingu eritingimuste allkirjastamise päeval) ja kehtib seni, kuni Volitatud töötleja töötleb Isikuandmeid Vastutava töötleja nimel. Lepingus sätestatud konfidentsiaalsuskohustus kehtib tähtajatult.
7.2. Lepingu lisad, muudatused ja täiendused kehtivad üksnes siis, kui need on vormistatud kirjalikult ja allkirjastatud mõlema Poole volitatud esindajate poolt, välja arvatud see, et Volitatud töötleja nõustub Vastutava töötleja algatatud Lepingu (sealhulgas selle lisade) tulevaste ühepoolsete muudatuste ja/või täiendustega, mis on vajalikud Isikuandmete kaitset reguleerivate õigusaktide kohustuslike nõuete muutustega vastavuse tagamiseks. Volitatud töötlejat teavitatakse käesolevas punktis nimetatud Lepingu ühepoolsest muutmisest e-posti teel, tema kontol aadressil www.melp.com ja/või muul Vastutava töötleja valitud viisil. Käesolevas punktis nimetatud Lepingu ühepoolsed muudatused loetakse jõustunuks, kui Volitatud töötlejat on neist käesolevas punktis sätestatud korras teavitatud.
7.3. Vastutaval töötlejal on õigus Leping viivitamata lõpetada ja keelata Volitatud töötlejal Isikuandmete edasine töötlemine Vastutava töötleja nimel, kui Volitatud töötleja ei ole pärast Vastutava töötleja teadet Lepingu mittenõuetekohase täitmise (täitmata jätmise) kohta Lepingu rikkumis(t)e(d) määratud tähtaja jooksul kõrvaldanud ja sellist rikkumist peetakse oluliseks.
7.4. Volitatud töötlejal on õigus Leping ühepoolselt lõpetada juhul, kui Põhileping lõpetatakse Volitatud töötleja algatusel.
8. ISIKUANDMETE TÖÖTLEMISE LÕPPEMISEL VÕETAVAD MEETMED
8.1. Lepingu ja Põhilepingu lõppemisel kohustub Volitatud töötleja kustutama/hävitama Vastutava töötleja nimel töödeldud Isikuandmed ning hävitama olemasolevad Isikuandmete koopiad ja tõendama Vastutavale töötlejale kirjalikult, et ta on seda teinud, ja/või Vastutava töötleja kirjalikul teatel tagastama Vastutavale töötlejale kõik Põhilepingu ja Lepingu alusel Vastutava töötleja nimel saadud ja töödeldud Isikuandmed. See kohustus ei kehti, kui Volitatud töötleja suhtes kohaldatav Euroopa Liidu või liikmesriigi õigus nõuab Isikuandmete säilitamist pärast Lepingu lõppemist. Volitatud töötleja tagab, et tema kasutatav(ad) Alamtöötleja(d) teeb (teevad) nende Isikuandmete töötlemisel samad toimingud. Käesoleva punkti nõudeid ei kohaldata juhtudel, kui Volitatud töötlejal on pärast Lepingu ja Põhilepingu lõppemist muu kui Lepingust ja/või Põhilepingust tulenev alus jätkata Isikuandmete töötlemist iseseisva vastutava töötlejana. Kui Volitatud töötlejal on muu kui Lepingust ja/või Põhilepingust tulenev alus osa Isikuandmete edasiseks töötlemiseks, ei kohaldata käesoleva punkti nõudeid üksnes selle osa Isikuandmete suhtes, mida Volitatud töötlejal on iseseisva vastutava töötlejana õiguslik alus pärast Lepingu ja Põhilepingu lõppemist edasi töödelda.
8.2. Vastutav töötleja on teadlik ja mõistab, et tal on võimalik kustutada Isikuandmed MELP platvormilt enne Põhilepingu lõppemist, st seni, kuni tal on aktiivne ühendus MELP platvormiga.
8.3. Vastutava töötleja kirjalikul nõudmisel kohustub Volitatud töötleja esitama Vastutavale töötlejale loetelu meetmetest, mis on võetud Isikuandmete töötlemise korrakohase lõpetamise tagamiseks.
8.4. Kui Vastutav töötleja on Põhilepingus andnud nõusoleku depersonaliseeritud Isikuandmete edastamiseks Volitatud töötlejale statistilistel eesmärkidel, mõistab Vastutav töötleja, et need andmed jäävad Volitatud töötleja valdusse ka pärast Lepingu ja Põhilepingu lõppemist. Volitatud töötleja kohustub sellised Isikuandmed depersonaliseerima nii, et neid ei ole enam võimalik seostada konkreetse andmesubjektiga.
8.5. Kui Vastutav töötleja taotleb, et Isikuandmeid säilitataks pärast Lepingu lõppemist Vastutava töötleja määratud aja jooksul, tehakse seda Vastutava töötleja dokumentides kehtestatud juhiste kohaselt.
9. VAIDLUSTE LAHENDAMINE
9.1. Lepingule kohaldatakse Leedu Vabariigi õigust.
9.2. Kõik Lepingu täitmisest tulenevad vaidlused lahendatakse Leedu Vabariigi kohtutes. Kohtusse pöördumise teavet, kohtumenetluse teavet ja kohtuotsust käsitlevad Pooled konfidentsiaalsena. Pooled lepivad kokku, et kummagi Poole taotlusel arutatakse Poolte vahelist Lepingu täitmisega seotud vaidlust kinnisel kohtuistungil.
10. ANDMEKAITSEAMETNIKE KONTAKTANDMED
10.1. Volitatud töötleja ja Vastutava töötleja andmekaitseametnike e-posti aadressid on esitatud Põhilepingu eritingimustes.
11. LÕPPSÄTTED
11.1. Leping on Põhilepingu lahutamatu osa.
11.2. Kumbki Pool kinnitab ja tagab, et Poole esindajal on kõik Lepingu allkirjastamiseks vajalikud volitused, nõusolekud ja kinnitused.
11.3. Lepingu mis tahes sätte kehtetus ei muuda kehtetuks kogu Lepingut. Pooled kohustuvad tegema kõik endast oleneva, et asendada Lepingu kehtetu punkt uue kehtiva punktiga, mis on tähenduselt ja sisult kehtetule punktile kõige lähedasem ning millel on sarnane õiguslik ja majanduslik tulemus.
11.4. Lepingu lisad on Lepingu lahutamatu osa. Lepingu lisad on järgmised:
11.4.1. Lisa 1: Isikuandmete ja nende töötlemise tingimuste kirjeldus.
11.4.2. Lisa 2: Teave Alamtöötlejate kohta.
11.5. Leping on tõlgitud inglise keelest. Eesti- ja ingliskeelse versiooni vahelise lahknevuse või vaidluse korral lähtutakse ingliskeelsest versioonist.
ISIKUANDMETE JA NENDE TÖÖTLEMISE TINGIMUSTE KIRJELDUS
Isikuandmete töötlemise eesmärk Volitatud töötleja poolt:
Isikuandmete töötlemise eesmärk on Põhilepingu kohaste teenuste osutamine, st Vastutava töötleja töötajate hüvede haldamine MELP platvormil.
Andmesubjektide kategooriad, kelle Isikuandmeid Volitatud töötleja Vastutava töötleja nimel töötleb:
Vastutava töötleja töötajad või muud temaga seotud isikud.
Volitatud töötleja töödeldavad Isikuandmed / Isikuandmete kategooriad:
Kõikide kategooriate Isikuandmed, mille Vastutav töötleja sisestab MELP platvormile Põhilepingus ette nähtud teenuste kasutamiseks. Volitatud töötleja töödeldavate Isikuandmete kategooriad sõltuvad alati Vastutava töötleja kasutatavatest MELP-i funktsioonidest.
Isikut tuvastavad andmed (ees- ja perekonnanimi), kontaktandmed (e-posti aadress, telefoninumber), muud andmed (struktuuriüksus, ametikoht, sünnikuupäev, töölevõtmise kuupäev).
Volitatud töötleja tehtavad isikuandmete töötlemistoimingud:
Kõik Vastutava töötleja poolt MELP platvormil algatatud toimingud. Volitatud töötleja tehtavad Isikuandmete töötlemistoimingud sõltuvad alati sellest, milliseid MELP-i funktsioone Vastutav töötleja kasutab.
MELP platvormil loodud kliendi töötajate kontode haldamine ja majutamine.
Organisatsioonide personalispetsialistidele MELP platvormi kontode loomine ja haldamine (peaadministraator).
Organisatsioonide personalispetsialistidele MELP platvormi kontode loomine (taotluse korral) ja haldamine.
Kliendi töötajate kontode loomine MELP platvormil Vastutava töötleja eraldi taotlusel, importides Vastutava töötleja esitatud töötajate isikuandmetega CSV- või Excel-vormingus dokumendi.
Isikuandmete töötlemise asukoht:
Iirimaa Vabariik, Leedu Vabariik.
Süsteemid: AWS (Amazon Web Services); HubSpot (CRM-süsteem); MELP platvorm ja mobiilirakendus.
Isikuandmete töötlemise kestus (periood):
1. Isikuandmeid töödeldakse Põhilepingu kehtivuse ajal ja Põhilepingus sätestatud korras.
2. Kuni Vastutav töötleja kustutab Isikuandmed MELP platvormilt; või
3. kuni Vastutav töötleja annab juhise Isikuandmed MELP platvormilt kustutada.
4. Kui Vastutav töötleja ei kustuta Isikuandmeid MELP platvormilt ise ega anna juhist Isikuandmete kustutamiseks või tagastamiseks 10 kalendripäeva jooksul Põhilepingu lõppemisest, võtab MELP viivitamata Vastutava töötlejaga ühendust, et saada juhiseid Isikuandmetega toimimiseks. Kui Vastutav töötleja ei vasta 10 kalendripäeva jooksul päringu saamisest, kustutab MELP Isikuandmed jäädavalt.
5. Kui kliendi töötajate kontod luuakse MELP platvormil Vastutava töötleja eraldi taotlusel, importides Vastutava töötleja esitatud isikuandmetega CSV- või Excel-vormingus dokumendi, hävitab MELP sellised dokumendid jäädavalt kohe pärast Isikuandmete importimist.
Volitatud töötleja võetud tehniliste ja korralduslike meetmete kirjeldus
JUURDEPÄÄSU KONTROLL (FÜÜSILISTE KAITSEMEETMETE NÕUDED)
· Kontoriruume kaitseb lukustatav uks, mille avamiseks peab töötajal olema magnetkaart;
· Kontoriruume kaitsevad signalisatsiooni- ja tulekaitsesüsteemid;
JUURDEPÄÄSU KONTROLL (VOLITAMATA ISIKUTE JUURDEPÄÄSU PIIRAMINE SÜSTEEMIDELE)
· Salasõnad luuakse ja neid hoitakse sisemiste salasõnapoliitikate kohaselt ning neid tuleb süstemaatiliselt muuta;
· Füüsiline ja loogiline juurdepääs andmekeskustele on piiratud vastavate funktsioonide eest vastutavate volitatud töötajatega.
JUURDEPÄÄSU KONTROLL (VOLITAMATA JUURDEPÄÄSU PIIRAMINE SÜSTEEMIDELE ÜLE KEHTESTATUD VOLITUSTE)
· Volitatud töötleja süsteemidele ning üksikutele arvutitele/kontodele juurdepääsuks on nõutav kasutajanimi ja salasõna.
· Kasutajaandmete ja salasõnade kaitse ning nende kasutamise kord on sätestatud sisemises poliitikas.
· Kui kasutaja ei tee süsteemis teatud aja jooksul ühtegi toimingut, piiratakse juurdepääsu süsteemile. Juurdepääsu saab taastada sisselogimisandmete (kasutajanimi, salasõna) uuesti sisestamisega.
· Sisselogimisel kasutatakse erinevaid volitustasemeid, et tagada iga kasutaja juurdepääsu piiramine teatud ulatusega. Volitamata kasutajate juurdepääs on piiratud.
· Juurdepääs SharePointile on rangelt piiratud. Juurdepääsu andmisel järgitakse vähimate õiguste põhimõtet. Juurdepääsu annab vastutav isik.
Kõik töötajad võtavad töölepingu sõlmimisel konfidentsiaalsuskohustuse.
SISESTUSE KONTROLL (JÄLGITAVUS, ANDMEHALDUS JA HOOLDUSDOKUMENTATSIOON)
· Ühendus andmehaldusüsteemidega luuakse eraldi.
JUHISTE KONTROLL
· Volitatud töötleja muudab, kustutab või muul viisil töötleb Isikuandmeid, kui Vastutav töötleja on selleks juhise andnud.
· Vastutava töötleja kirjalikul juhisel kehtestab Volitatud töötleja korra, mis tagab määratud jälgitavusnõuete täitmise.
KÄTTESAADAVUSE KONTROLL
· Volitatud töötleja kasutab oma tegevuses viirusetõrje- ja/või muud turvatarkvara.
· Volitatud töötleja võtab asjakohased meetmed, et tagada andmete ja ühenduse kättesaadavus maksimaalse aja jooksul.
· Isikuandmete varundamise ja taastamise kord.
· Kõik klientidelt kogutavad ja säilitatavad andmed krüpteeritakse AWS-i pakutavate andmekrüpteerimislahendustega (RDS, S3 jne).
ERALDAMISE KONTROLL
· Vastutava töötleja andmeid töödeldakse vähemalt kahes keskkonnas: (i) tootmiskeskkonnas ja (ii) testimise/arenduse keskkonnas.
SERTIFIKAADID
· ISO/IEC 27001
Alamtöötleja(d):
Ajakohane teave on kättesaadav aadressil https://melp.com/et/legal/sub-processor
Andmete edastamine väljapoole ELi ja EMP-d või rahvusvahelisele organisatsioonile (kui see on kohaldatav):
Lepingu sõlmimise ajal ei edastata Isikuandmeid väljapoole ELi ja EMP-d ega rahvusvahelisele organisatsioonile. Asjakohane teave on kättesaadav aadressil www.melp.com
TEAVE ALAMTÖÖTLEJATE KOHTA
1. ALAMTÖÖTLEJAD:
Lepingu sõlmimise hetkel Volitatud töötleja kasutatavad Alamtöötlejad on loetletud veebilehel
https://melp.com/et/legal/sub-processor
Käesoleva isikuandmete töötlemise lepingu sõlmimisega nõustub Vastutav töötleja, et Volitatud töötleja kasutab käesolevas lisas 2 nimetatud alamtöötlejaid Lepingu lisas 1 nimetatud eesmärkidel kooskõlas Lepingu IV peatüki nõuetega. Nimetatud alamtöötlejate kasutamiseks isikuandmete töötlemisel muudel kui Lepingu lisas 1 sätestatud eesmärkidel kohustub Volitatud töötleja teavitama Vastutavat töötlejat vähemalt 30 kalendripäeva enne selliste andmetöötlustoimingute algust.
2. EELNEV TEAVITAMINE UUTE ALAMTÖÖTLEJATE KASUTAMISEST
Volitatud töötleja kohustub teavitama Vastutavat töötlejat uue Alamtöötleja määramisest e-posti teel hiljemalt 30 kalendripäeva enne, kui Alamtöötleja alustab töötlemistoiminguid.
Andmekaitselepingu versioon: V.1.1.
Jõustumise kuupäev: 1. juuli 2024
