Andmetöötluse leping

Isikuandmete töötlemise leping (GDPR art 28) Kliendi kui vastutava töötleja ja DigiSoov OÜ kui volitatud töötleja vahel. See on IT-teenuste lepingu lahutamatu osa ja ei vaja eraldi allkirja.

Viimati muudetud: 13.11.2026

1. Pooled ja kohaldamine

Käesolev leping täiendab Kliendi ja DigiSoov OÜ (registrikood 11025977, K. Kärberi tn 50-159, 13919 Tallinn, info@digisoov.ee) vahelist teenuste lepingut («Leping») ja kehtib alati, kui DigiSoov OÜ («Töötleja») töötleb IT-teenuste osutamisel Kliendi («Vastutav töötleja») nimel isikuandmeid.

Leping jõustub koos teenuste lepinguga, st kui Klient võtab Pakkumise vastu või tasub esimese arve, ja kehtib kuni isikuandmete töötlemise lõpuni.

2. Töötlemise ese, laad ja eesmärk

Töötleja töötleb isikuandmeid üksnes selleks, et osutada Kliendile IT-teenuseid: serverite, tööjaamade, võrgu, e-posti ja varunduse haldus, monitooring ja kasutajatugi.

Andmeliigid: andmed, mis asuvad Kliendi süsteemides või on neis kättesaadavad, näiteks kasutajakontod, e-kirjade sisu ja metaandmed, failid, logid ning seadme- ja võrguandmed (identifitseerimis- ja kontaktandmed). Andmesubjektid: Kliendi töötajad, kliendid, partnerid ja teised isikud, kelle andmed Kliendi süsteemides asuvad.

Töötleja ei töötle tahtlikult erilist liiki isikuandmeid. Kui Kliendi süsteemides on selliseid andmeid, teatab Klient sellest Töötlejale ette.

3. Juhised

Töötleja töötleb isikuandmeid ainult Vastutava töötleja dokumenteeritud juhiste alusel. Juhis on Leping ning Kliendi kirjalikud (sh e-posti teel esitatud) taotlused. Kui Töötleja leiab, et juhis rikub andmekaitsereegleid, teatab ta sellest Kliendile.

4. Konfidentsiaalsus

Isikuandmetele pääsevad ligi ainult need Töötleja töötajad, kellele see on teenuse osutamiseks vajalik ja kes on kohustatud andmeid saladuses hoidma.

5. Turvameetmed

Töötleja rakendab riskidele vastavaid tehnilisi ja organisatoorseid meetmeid (GDPR art 32). Meetmed on loetletud lisas.

6. Alltöötlejad

Töötleja ei kaasa alltöötlejaid ilma Vastutava töötleja eelneva kirjaliku loata (üldine või konkreetne). Kaasatud alltöötlejale kehtivad samad andmekaitsekohustused ning Töötleja vastutab tema tegevuse eest. Alltöötlejate loetelu esitatakse soovi korral.

7. Abi andmesubjekti õiguste ja kohustuste täitmisel

Töötleja aitab mõistliku ulatuses Vastutaval töötlejal vastata andmesubjektide taotlustele, teha mõjuhinnanguid ja pidada nõu järelevalveasutusega. Paketiväline abi tasutakse Lepingus sätestatud tunnihinnaga.

8. Isikuandmetega seotud rikkumine

Töötleja teatab Vastutavale töötlejale isikuandmetega seotud rikkumisest põhjendamatu viivituseta, igal juhul 48 tunni jooksul pärast sellest teadasaamist, ning esitab selleks hetkeks teada oleva teabe.

9. Andmete kustutamine ja tagastamine

Lepingu lõppemisel kustutab Töötleja Vastutava töötleja valikul isikuandmed või annab need tagasi, välja arvatud juhul, kui õigusaktid nõuavad säilitamist. Varukoopiad kustutatakse tavapärase säilitustsükli jooksul.

10. Auditid

Töötleja esitab Vastutavale töötlejale teabe, mis on vajalik nõuete täitmise tõendamiseks, ning võimaldab auditeid. Auditist teatatakse mõistliku aja ette, see toimub tööajal, mitte sagedamini kui kord aastas ja Vastutava töötleja kulul.

11. Edastamine kolmandatesse riikidesse

Töötleja töötleb isikuandmeid Euroopa Liidus / Euroopa Majanduspiirkonnas ega edasta neid kolmandatesse riikidesse ilma Vastutava töötleja eelneva loata ja GDPR-i kohaste kaitsemeetmeteta.

12. Vastutus ja kohaldatav õigus

Vastutuse suhtes kehtivad Lepingu sätted, kuivõrd seadus seda lubab. Kohaldatav on Eesti õigus; lahknevuse korral on ülimuslik eestikeelne versioon.

Lisa. Tehnilised ja organisatoorsed meetmed

Meetmed vastavalt riskile, sealhulgas:

• isiklikud kasutajakontod ja vähimate õiguste põhimõte; ligipääs ainult vajaduse korral
• mitmeastmeline autentimine haldusligipääsudel, kus süsteem seda toetab
• krüpteeritud ühendused (TLS, VPN, SSH)
• hallatavate süsteemide regulaarsed uuendused ja turvaparandused
• monitooring ja varundus vastavalt paketile või kokkuleppele
• ligipääsude ja paroolide turvaline hoidmine, ligipääsu kaotamine töötaja lahkumisel
• töötajate konfidentsiaalsuskohustus