Andmetöötlusleping (DPA)

1.1 Põhimõisted

1.2 Andmekaitseseadused

Tähendab kõiki kohaldatavaid andmekaitse ja privaatsusega seotud seadusi:

• ELi isikuandmete kaitse üldmäärus (GDPR)
• Türgi isikuandmete kaitse seadus (KVKK)
• California tarbijate privaatsuse seadus (CCPA)
• Muud kohaldatavad andmekaitsemäärused

2.1 Poolte Suhe

• Klient tegutseb isikuandmete osas andmevastutajana
• LUNAAR tegutseb selle ATL alusel töödeldavate isikuandmete osas andmetöötlejana
• See ATL kehtib kõigi töötlemistegevuste suhtes, mida LUNAAR teostab kliendi nimel

2.2 Kliendi Juhised

• Töötleja töötleb isikuandmeid ainult andmevastutaja dokumenteeritud juhiste alusel
• Leping ja see ATL moodustavad andmevastutaja täielikud juhised
• Täiendavad juhised nõuavad kirjalikku kokkulepet ja võivad tuua kaasa lisatasusid

3.1 Andmesubjektide Kategooriad

• Kliendi töötajad ja personal
• Kliendi kliendid
• Kliendi tarnijad ja partnerid
• Kliendi teenuse kasutajad
• Muud kliendi esitatud isikud

3.2 Isikuandmete Liigid

• Identiteediandmed (nimi, isikukoodid)
• Kontaktteave (e-post, telefon, aadress)
• Konto mandaadid ja autentimisandmed
• Makse- ja arveldusteave
• Kasutusandmed ja analüütika
• Pildid ja visuaalne sisu
• Tehisintellekti loodud sisu ja väljundid
• Muud kliendi üles laaditud või töödeldud andmed

3.3 Töötlemistegevused

• Andmete salvestamine ja majutamine
• Tehisintellekti mudeli töötlemine ja genereerimine
• Andmete varundamine ja taastamine
• Tehnilise toe teenused
• Analüütika ja aruandlus
• Turvaseire
• Teenuse täiustamine

4.1 Vastavus

Töötleja kohustub:

• Töötlema isikuandmeid kooskõlas andmekaitseseadustega
• Pidama töötlemistegevuste registrit
• Tegema koostööd järelevalveasutustega
• Rakendama lõimitud andmekaitse põhimõtteid

4.2 Andmeturve

Turvameetmed

Töötleja rakendab ja säilitab asjakohaseid tehnilisi ja organisatsioonilisi meetmeid:

• Andmete krüpteerimine puhkeolekus (AES-256) ja edastamisel (TLS 1.3)
• Juurdepääsukontrollid ja autentimismehhanismid
• Korrapärased turvahindamised ja läbistustestid
• Intsidentidele reageerimise ja avariitaaste protseduurid
• Andmekeskuste füüsiline turvalisus

4.3 Andmesubjekti Õigused

Töötleja kohustub:

• Abistama andmevastutajat andmesubjektide taotlustele vastamisel
• Rakendama tehnilisi meetmeid andmesubjektide õiguste toetamiseks
• Teavitama andmevastutajat viivitamatult andmesubjektidelt saadud otsetaotlustest
• Mitte vastama andmesubjektidele otse, kui pole volitatud

5.1 Praegused Alamtöötlejad

5.2 Alamtöötleja Nõuded

Töötleja kohustub:

• Kehtestama alamtöötlejatele samad andmekaitsekohustused
• Jääma täielikult vastutavaks alamtöötlejate tegevuse eest
• Tagama asjakohased kaitsemeetmed rahvusvahelisteks edastusteks

6.1 Edastusmehhanismid

EMP/piisava kaitsetasemega riikidest väljapoole edastuste puhul tagab töötleja:

• Standardsete lepingutingimuste olemasolu
• Vajaduse korral täiendavad meetmed
• Vastavuse Schrems II nõuetele

6.2 Edastuse Kaitsemeetmed

• Taotluse korral on saadaval andmete lokaliseerimise võimalused
• Kõigi rahvusvaheliste edastuste krüpteerimine
• Geograafilisel asukohal põhinevad juurdepääsupiirangud
• Kolmandate riikide seaduste korrapärane hindamine

7.1 Intsidendile Reageerimine

Pärast turvaintsidendist teadasaamist kohustub töötleja:

• Teavitama andmevastutajat põhjendamatu viivituseta (72 tunni jooksul)
• Uurima ja dokumenteerima intsidenti
• Rakendama meetmeid mõjude leevendamiseks
• Tegema koostööd andmevastutaja uurimisega

7.2 Teate Sisu

Intsidenditeated sisaldavad:

• Intsidendi olemus ja ulatus
• Mõjutatud andmesubjektide kategooriad ja arv
• Asjaomaste isikuandmete kategooriad ja maht
• Tõenäolised tagajärjed ja riskid
• Võetud või soovitatud meetmed
• Kontaktpunkt lisateabe saamiseks

8.1 Säilitamise Periood

• Isikuandmeid säilitatakse ainult nii kaua, kui see on vajalik
• Säilitamisperioodid määratakse kindlaks andmevastutaja juhistega
• Õiguslikud säilitamisnõuded tühistavad kustutamistaotlused

8.2 Andmete Tagastamine ja Kustutamine

Lõpetamisel või andmevastutaja taotlusel:

• Tagastada kõik isikuandmed kokkulepitud vormingus
• Kustutada kõik koopiad, kui seadus ei nõua nende säilitamist
• Esitada kustutamissertifikaat
• Lõpetada kustutamine 30 päeva jooksul

9.1 Õiguspärased Juhised

Andmevastutaja kohustub:

• Tagama, et juhised vastavad andmekaitseseadustele
• Omama töötlemiseks õiguslikku alust
• Hankima vajalikud nõusolekud
• Järgima andmete minimeerimise põhimõtteid

9.2 Õigused ja Volitused

Andmevastutaja kinnitab, et tal on õigus:

• Kõik vajalikud õigused isikuandmete esitamiseks
• Vajalike nõusolekute hankimine
• Vajalike teadete tegemine andmesubjektidele
• Volitus selle ATL sõlmimiseks

10.1 Vastutuse Jaotus

• Iga pool vastutab oma mittevastavuse eest
• Töötleja vastutab andmevastutaja juhistest väljapoole jääva töötlemise eest
• Andmevastutaja vastutab ebaseaduslike juhiste eest

10.2 Vastutuse Piiramine

• Allub andmekaitseseaduste kohustuslikele sätetele
• Koguvastutus on piiratud peamises lepingus sätestatud viisil
• Välistab regulatiivsed trahvid ja karistused

11.1 Euroopa Liit (GDPR)

• Töötleja tegutseb vastavalt GDPR artiklile 28
• Standardsed lepingutingimused on lisatud viitega
• Andmekaitseametnik: spark@lunaarvision.com

11.2 Türgi (KVKK)

• Vastavus KVKK nõuetele
• VERBİS registreeringu säilitamine
• Saadaval on kohalikud andmete residentsuse võimalused

11.3 California (CCPA/CPRA)

• Teenuseosutaja CCPA alusel
• Isikuandmete müüki ei toimu
• Kohaldatakse konkreetse eesmärgi piirangut