Leping

WEBWARE andmetöötlusleping Käesolev Webware andmetöötlusleping (“ Leping ”) kuulub lahutamatu osana Teenusepakkuja ja Kliendi vahel sõlmitava Webware T arkvarateenuste lepingu nr 3-5/1090 üldtingimuste ja eritingimuste („ Põhileping “) juurde . Webware OÜ , registrikood 10839212 , aadress Telliskivi 57b/1, 10412 Tallin n, Harju maa , Ees ti Vabar iik , e- po s ti aadr ess [email protected] e ( edasp id i „ Volita t ud Töötl eja “ ), m i da esin d ab juhat u se li ige Ke rt Val be t ; ja Riigi Tugiteenuste Keskus , registrikood 70007340 , aadress Lõkke 4, Tallinn, Harjumaa, mida esindab peadirektor Pärt-Eo Rannap põhimääruse alusel ( edaspidi „ RTK “); ning Muinsuskaitseamet , registrikood 70000958, aadress Pikk 2, 10123 Tallinn, kes on RTK teenusel olev andmete Vastutav T öötleja (edaspidi „Vastutav T öötleja“) , ja võttes arvesse, et Riigi Tugiteenuste Keskus os u tab eraldiseisva teenusleppe alusel Muinsuskaitseametile dokumendihalduse ja arhiiviteenust , mille kohaselt on Muinsuskaitseamet käesoleva teenuse raames töödeldavate andmete V astutav T öötleja . edaspidi Volitatud Töötleja , RTK ja Vastutav Töötleja koos kui „ Pooled “ ja eraldi kui „ Pool “ , on kokku leppinud alljärgnevas: Eesmärk ja kohaldamisala Käesoleva Lepingu eesmärk on tagada vastavus Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 (füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta; isikuandmete kaitse üldmäärus ; „ Määrus “) artikli 28 lõigetele 3 ja 4 ning kohalduvatele M ääruse alusel kehtestatud siseriiklikele õigusaktidele („ Andmekaitsealased Õigusaktid “) Lepingu esemeks on kõik P õhilepingust tulenevate kohustuste täitmisel V olitatud Töötlejale teatavaks saadavad Vastutava Töötleja poolt loodud isikuandmed ni ng nende töötlemine, sealhulgas: (i) isikuandmed, mida töödeldakse Volitatud Töötleja poolt tarkvarateenuse (sh serveriteenuse, tugiteenuste ja lisateenuste) osutamisel, kui Põhilepingu alusel osutab Volitatud Töötleja RTK-le tarkvarateenuseid; (ii) isikuandmed, mida töödeldakse Volitatud Töötleja poolt RTK-le mistahes muu teenuse osutamisel . Kõik käesolevas Lepingus toodud õigused ja kohustused, mis on seotud Vastutava Töötleja tegevusega, täidetakse RTK kaudu Vastutava Töötleja nimel ja vastavalt nendevahelisele sõlmitud teenusleppele, välja arvatud andmete, sealhulgas isikuandmete sisuline vastutus, mis jääb Vastutava Töötleja kanda. Leping ei piira Poolte suhtes kehtivatest Andmekaitsealastest Õigusaktidest tulenevaid muid kohustusi. Vastutav Töötleja on kohustatud tagama Andmekaitsealaste Õigusaktide alusel nõutavate nõusoleku te olemasolu ja andmesubjektide teavitamise , võimaldamaks Vastutava Töötleja Isikuandmete seaduslikku töötlemist vastavalt RTK ja Volitatud Töötleja vahelisele teenuse Põhilepingule. Tõlgendamine, hierarhia Kui Lepingus kasutatakse Määruses defineeritud mõisteid, on neil mõistetel sama tähendus kui Määruses. Lepingut mõistetakse ja tõlgendatakse Määruse sätteid silmas pidades. Lepingut ei tõlgendata viisil, mis on vastuolus Määruses sätestatud õiguste ja kohustustega, ega viisil, mis piirab andmesubjektide põhiõigusi või -vabadusi. Käesoleva Lepingu ja Põhilepingu või mistahes muu Poolte vahelise kokkuleppe sätete vastuolu korral kohaldatakse Lepingu tingimusi. Poolte kohustused Vastutava Töötleja Isikuandmete töötlemine toimub üksnes RTK ja Volitatud Töötleja vahel sõlmitud Põhilepingu kehtivuse jooksul. Andmetöötlustoimingutega seonduvad üksikasjad on sätestatud Põhilepingus. Volitatud Töötleja ja RTK töötle vad isikuandmeid üksnes Vastutava Töötleja dokumenteeritud juhiste alusel (seejuures sellisteks dokumenteeritud juhisteks loetakse ka Põhilepingus sätestatud tingimusi), välja arvatud , kui ta on kohustatud seda tegema tema suhtes kohalduva õiguse alusel . Sellisel juhul teavitab Volitatud Töötleja vastavast õiguslikust nõudest Vastutavat Töötlejat enne isikuandmete töötlemist, kui selline teatamine ei ole olulise avaliku huvi tõtt u seadusega keelatud. Vastutav T öötleja võib anda edasisi juhiseid ka isikuandmete töötlemise kestel. Kõik juhised tuleb alati dokumenteerida. Volitatud Töötlejale , sh RTK-le , antavad juhised peavad järgima Põhilepingus sätestatud põhimõtteid ning Poolte õigusi ja kohustusi ning juhiseid ei või anda viisil, mille järg imine eeldaks Põhilepingu esemest kõrvalekaldumist . Volitatud Töötleja teavitab Vastutavat Töötlejat ja RTK-st kohe, kui Vastutava Töötleja antud juhised lähevad Volitatud Töötleja arvates vastuollu mõne Andmekaitsealase Õigusaktiga. Volitatud Töötleja rakendab isikuandmete turvalisuse tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, võttes vajaliku turvalisuse taseme hindamisel arvesse tehnika taset, rakendamise kulusid, isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning andmesubjektidele kaasnevaid ohte. See hõlmab andmete kaitsmist sellise turvanõuete rikkumise eest, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (isikuandmetega seotud rikkumine). Täpsemate meetmete loetelu serveriteenuse osutamisel on loetletud andmetöötluslepingu lisas ( Lisa 1 ). Volitatud Töötleja ja RTK anna vad oma töötajatele töödeldavatele isikuandmetele juurdepääsu üksnes ulatuses, mis on rangelt vajalik Põhilepingu täitmiseks, haldamiseks ja selle täitmise üle tehtavaks järelevalveks. Volitatud Töötleja tagab, et isikuandmeid töötlema volitatud isikud on kohustunud järgima konfidentsiaalsusnõuet või nende suhtes kehtib asjakohane seadusjärgne konfidentsiaalsuskohustus. Dokumendid ja nõuetele vastavus Pooled peavad suutma tõendada Lepingus sätestatud kohustuste täitmist. Volitatud Töötleja tegeleb viivitamata ja asjakohaselt RTK või Vastutava Töötleja päringutega andmete töötlemise kohta kooskõlas käesoleva Lepinguga. Volitatud Töötleja teeb RTK-le ja Vastutavale Töötlejale kättesaadavaks kogu teabe, mis on vajalik käesolevates tingimustes sätestatud ja otseselt Andmekaitsealastest Õigusaktidest tulenevate kohustuste täitmise tõendamiseks. Volitatud T öötleja lubab ja aitab Vastutava T öötleja või tema nimel RTK poolt 15 tööpäeva ette esitatud taotluse korral mõistlike ajavahemike järel (s.o. mitte sagedamini kui üks kord 12 kuu jooksul) , või kui on tõendeid Lepinguga mitteva stavuse kohta, teha käesoleva Lepinguga hõlmatud töötlemistoimingute auditeid. Volitatud Töötleja ja Vastutav Töötleja või vad otsustada teha auditi ise või volitada selleks sõltumatu audiitori. Auditid võivad hõlmata kontrollkäike Volitatud Töötleja tööruumidesse või füüsilistesse rajatistesse, millest Vastutav Töötleja on kohustatud ette teatama vähemalt 15 tööpäeva. Pooled teevad punktis REF _Ref143780868 \r \h 4 osutatud teabe, sealhulgas auditite tulemused vastavate taotluse korral kättesaadavaks pädeva(te) le järelevalveasutus(t) ele . Alamtöötlejate kasutamine Volitatud Töötlejal on Vastutava Töötleja üldine luba kasutada alamtöötlejaid järgnevate teenuste osutamiseks: [ majutus, monitooring, analüütika , pilveteenused, versioonihaldussüsteem, allkirjastamine, autentimine, raamatupidamistarkvara (e- arveldaja ), projektihaldustarkvara, klienditoe tarkvara, kliendihaldustarkvara. ] . Volitatud Töötleja kasutab alamtöötlejaid, kes on üld tuntud . Volitatud Töötleja teavitab Vastutavat T öötlejat igast kõnealuse loetelu kavandatud muudatusest, st alamtöötlejate lisamisest või asendamisest, Volitatud Töötleja veebilehe ( https://www.webware.ee ) vahendusel vähemalt 1 nädal ette, andes Vastutavale T öötlejale ja RTK-le enne asjaomas(t)e alamtöötleja(te) kaasamist seeläbi piisavalt aega sell istele muudatustele vastuväidete esitamiseks . Volitatud Töötleja esitab Vastutavale T öötle jale kõnealuses loetelus teabe, mis on vajalik, et Vastutav T öötleja saaks kasutada õigust esitada vastuväiteid. Kui Volitatud Töötleja kaasab konkreetsete t öötlemistoimingute tegemiseks (Vastutava T öötleja nimel) alamtöötleja, teeb ta seda lepinguga, millega kehtestatakse alamtöötlejale sisuliselt samad andmekaitsekohustused, mis on Volitatud Töötlejal käesolevate tingimuste kohaselt. Volitatud Töötleja jääb Vastutava Töötleja ees täielikult vastutavaks alamtöötleja kohustuste täitmise eest vastavalt Volitatud Töötlejaga sõlmitud lepingule. Volitatud Töötleja teavitab Vastutavat T öötlejat, kui alamtöötleja ei täida oma lepingulisi kohustusi. Rahvusvaheline edastamine Volitatud Töötleja edastab andmeid kolmandale riigile või rahvusvahelisele organisatsioonile üksnes Vastutava Töötleja dokumenteeritud juhiste alusel või Volitatud Töötleja suhtes Andmekaitsealasest Õigusaktist tuleneva konkreetse kohustuste täitmiseks ning edastamine toimub kooskõlas Määruse V peatükiga. Vastutav Töötleja nõustub, et kui Volitatud Töötleja kaasab konkreetsete töötlemistoimingute tegemiseks (Vastutava Töötleja nimel) Lepingu kohaselt alamtöötleja ja need töötlemistoimingud hõlmavad isikuandmete edastamist Määruse V peatüki tähenduses, saavad Volitatud Töötleja ja alamtöötleja kasutada Määruse V peatüki järgimise tagamiseks Euroopa Komisjoni poolt Määruse artikli 46 lõike 2 kohaselt vastu võetud lepingu tüüptingimusi, kui nende lepingu tüüptingimuste kasutamise tingimused on täidetud. Vastutava töötleja abistamine Volitatud Töötleja teavitab Vastutavat Töötlejat viivitamata igast andmesubjektilt saadud taotlusest. Volitatud Töötleja ei vasta taotlusele ise, välja arvatud juhul, kui Vastutav Töötleja on andnud selleks loa. Volitatud Töötleja aitab Vastutaval Töötlejal täita kohustust vastata andmesubjektide taotlustele kasutada oma õigusi, võttes arvesse isikuandmete töötlemise laadi. Täiendavalt aitab Volitatud Töötleja Vastutavat T öötlejat järgmiste kohustuste täitmise tagamisel, võttes arvesse andmetöötluse laadi ja Volitatud T öötlejale kättesaadavat teavet: kohustus hinnata kavandatavate töötlemistoimingute mõju isikuandmete kaitsele ( andmekaitsealane mõjuhinnang ), kui teatava töötlemisviisiga kaasneb tõenäoliselt suur oht füüsiliste isikute õigustele ja vabadustele; kohustus konsulteerida enne isikuandmete töötlemist pädeva(te) järelevalveasutus(te)ega, kui andmekaitsealasest mõjuhinnangust nähtub, et töötlemise t ulemusena tekiks suur oht, kui Vastutav T öötleja ei võta ohu leevendamiseks meetmeid; kohustus tagada isikuandmete õi gsus ja ajakohasus, teavitades Vastutavat T öötlejat viivitamata, kui Volitatud T öötleja saab teada, et tema töödeldavad isikuandmed on ebaõiged või aegunud; kohustused, mis on sätestatud Määruse artiklis 32 . Isikuandmetega seotud rikkumisest teatamine Isikuandmetega seotud rikkumise korral teeb Volitatud Töötleja koostööd nii RTK kui Vastutava Töötlejaga ja aitab neil täita kohustusi, mis tulenevad Määruse artiklitest 33 ja 34, võttes arvesse isikuandmete töötlemise laadi ja Volitatud Töötlejale kättesaadavat teavet. Vastutava Töötleja töödeldavate isikuandmetega seotud rikkumise korral aitab Volitatud Töötleja Vastutaval Töötlejal mõistlikus ulatuses, võttes arvesse Volitatud Töötlejale kättesaadavat teavet ja isikuandmete töötlemise laadi: teavitada pädevat järelevalveasutust / pädevaid järelevalveasutusi isikuandmetega seotud rikkumisest põhjendamatu viivituseta pärast seda, kui Vastutav Töötleja on rikkumisest teada saanud, kui see on asjakohane, välja arvatud juhul, kui isikuandmetega seotud rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele; saada järgmist teavet, mis esitatakse vastavalt Määruse artikli 33 lõikele 3 Vastutava T öötleja teates ja peab sisalda ma vähemalt järgmist, seejuures juhul ja niivõrd, kui kogu seda teavet ei ole võimalik esitada korraga, peab esialgne teade sisaldama sel ajal kättesaadavat teavet ning täiendav teave esitatakse pärast selle saam ist ja põhjendamatu viivituseta: isikuandmete laad, sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning asjaomaste isikuandmekirjete liigid ja ligikaudne arv; isikuandmetega seotud rikkumise tõenäolised tagajärjed; Vastutava T öötleja võetud või võtmiseks kavandatud meetmed isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral meetmed rikkumise võimaliku kahjuliku mõju leevendamiseks. täita vastavalt M ääruse artiklile 34 kohustust teavitada andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest, kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Volitatud Töötleja töödeldavate isikuandmetega seotud rikkumise korral teavitab Volitatud Töötleja Vastutavat Töötlejat ja RTK-st põhjendamatu viivituseta pärast seda, kui Volitatud Töötleja on rikkumisest teada saanud. Selline teade peab sisaldama vähemalt järgmist, seejuures juhul ja niivõrd, kui kogu seda teavet ei ole võimalik esitada korraga, peab esialgne teade sisaldama sel ajal kättesaadavat teavet ning täiendav teave esitatakse pärast selle saamist ja põhjendamatu viivituseta. rikkumise laadi kirjeldus (sealhulgas võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning asjaomased andmekirjed); isikuandmetega seotud rikkumise kohta lisateavet andva kontaktpunkti andmed; rikkumise tõenäolised tagajärjed ning rikkumise lahendamiseks, sealhulgas rikkumise võimaliku kahjuliku mõju leevendamiseks võetud või võtmiseks kavandatud meetmed. Turvaintsidentide haldamine Volitatud Töötleja teavitab Vastutavat Töötlejat ja RTK-st esimesel võimalusel igast sündmusest, mis põhjustab, on põhjustanud või võib põhjustada edastavate, salvestatud või muul viisil töödeldavate andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või nendele juurdepääsu saamise, ning millega kaasneb andmete konfidentsiaalsuse kadu või tekib oluline oht andmete konfidentsiaalsuse kao tekkeks; edaspidi „ Turvaintsident “) viivitamatult peale Turvaitsidendist teadasaamist. Volitatud Töötleja tagab, et kõik Volitatud Töötleja töötajad on teadlikud Turvaintsidentidest teavitamise korrast ning RTK ja Vastutava Töötleja kontaktisikust, kellele tuleb nende esinemisest teavitada. Volitatud Töötleja kohustub teavitama Vastutavat Töötlejat ja küberturvalisuse seaduse kohaselt Riigi Infosüsteemi Ameti infoturbeintsidentide käsitlemise osakonda (edaspidi „ CERT-EE “) ([email protected]) viivitamatult, kuid mitte hiljem kui 24 tundi pärast sellest teada saamisest toimunud Turvaintsidendist või selle toimumise ohust. Vastutav Töötleja avaldab, et tal on õigus saada CERT-EE- lt täielikku teavet käesolevas punktis viidatud Turvaintsidentide kohta. Lõppsätted Ilma et see piiraks Andmekaitsealaste Õigusaktide sätete kohaldamist, võib Vastutav Töötleja või tema nimel tegutsev RTK juhul, kui Volitatud Töötleja ei täida käesolevast Lepingust tulenevaid kohustusi, anda Volitatud Töötlejale korralduse peatada isikuandmete töötlemine seniks, kuni Volitatud Töötleja järgib käesoleva Lepingu tingimusi. Volitatud Töötleja teavitab Vastutavat Töötlejat viivitamata, kui ta ei suuda käesolevat Lepingut mistahes põhjusel täita. RTK- sel on õigus lõpetada Põhileping, kui: V astutav Töötleja või RTK on Volitatud Töötleja poolse isikuandmete töötlemise punkti REF _Ref143783934 \r \h 10.1 kohaselt peatanud ja kui käesolevat Lepingut ei hakata järgima mõistliku aja jooksul ja igal juhul ühe kuu jooksul pärast peatamist; Volitatud Töötleja rikub oluliselt või jätkuvalt käesolevast Lepingust või mõnest Andmekaitsealasest Õigusaktist tulenevat kohustust ; Volitatud Töötleja ei täida pädeva kohtu või pädeva(te) järelevalveasutus(t)e siduvat otsust seoses tema kohustustega, mis tulenevad käesolevast Lepingust või Andmekaitsealasest Õigusaktist. Volitat ud töötlejal on õigus lõpetada L eping, kui ta on Vastutavat T öötlejat ja RTK-st vastavalt Lepingule teavitan ud, et tema juhised lähevad vastuollu mõne Andmekaitsealase Õigusaktiga, kuid Vastutav T öötleja nõuab nende juhiste järgimist. Pärast L epingu lõppemist kustutab Volitatud Töötleja Vastutava Töötleja valikul kõik V astutava T öötleja nimel töö deldud isikuandmed ja kinnitab Vastutavale T öötlejale, et ta on seda teinud, või tagastab kõik isikuandmed Vastutavale T öötlejale ja kustutab olemasolevad koopiad, välja arvatud juhul, kui Andmekaitsealaste Õigusaktide kohaselt nõutakse isikuandmet e säilitamist. Volitatud T öötleja jätkab Lepingu tingimustele vastavuse tagamist seni, kuni andmed kustutatakse või tagastatakse. Volitatud Töötleja võib säilitada isikuandmeid ulatuses, millises kohalduvad õigusaktid nõuavad või mida ta peab vajalikuks mistahes õigusliku nõude esitamiseks või kaitsmiseks, tingimusel, et selliseid isikuandmeid säilitatakse turvaliselt ning üksnes ulatuses ja sellise aja jooksul, mida kohalduvad õigusaktid nõuavad või kuni mis tahes nõuete võ i muude vaidluste lahendamiseni. Leping jõustub Põhilepingu allkirjastamisel Poolte poolt. Käesolevas L epingus reguleerimata küsimustes kohaldatakse Põhilepingu sätteid . Põhilepingu lõppemisel loetakse käesolev L eping samaaegselt lõppenuks . LISAD: tehnilised ja organisatsioonilised kaitsemeetmed serveriteenuse osutamise korral. T ehnilised ja organisatsioonilised kaitsemeetmed serveriteenuse osutamise korral Kohaldatavad meetmed Volitatud Töötleja kasutab Telia ja CITIC Telecom CPC andmekeskuseid serverite majutamiseks. Serverid on avalikust internetist eraldatud tulemüüriga, kasutusel on viirusetõrjetarkvara. Testkeskkondades on kliendil võimalik andmeid anonümiseerida . Serveritele ligipääs on piiratud arvul Volitatud Töötleja töötajatel. Volitatud Töötleja annab Isikuandmeid sisaldavale süsteemile ligipääsuõigusi üksnes ulatuses, mis on vajalik RTK-le ja Vastutavale Töötlejale teenuse osutamiseks. Volitatud Töötleja kinnitab, et isikuandmetele on ligipääs üksnes neil töötajatel, kes vajavad ligipääsu seoses Vastutava Töötleja poolt antud ülesannetega. Volitatud Töötleja tühistab viivitamata ligipääsuõigused Isikuandmete töötlemiseks kasutatavale süsteemile, kui ligipääsu omav töötaja vahetub. Kui Volitatud Töötleja loob isikuandmeid sisaldavale süsteemile ligipääsemiseks eraldi kasutajaid, loob ta igale isikuandmetega kokkupuutuvale Volitatud Töötleja töötajale eraldi kasutaja ning Volitatud Töötleja töötajad ei tohi omavahel kasutajaid jagada. Volitatud Töötleja le usaldatud isikuandmed on ligipääsetavad Volitatud Töötleja tarkvara kaudu, milles olevate Volitatud Töötleja töötajate kasutajakontosid on võimalik administreerida ja kontrollida Vastutaval Töötlejal ning Volitatud Töötleja serverite administraatoritel. Serverite administraatoritele on Volitatud Töötleja poolt rakendatud kahetasemeline autentimine. K ahetasandilise aut entimise rakendamise võimalus on ka RTK-sel ja Vastutaval Töötlejal. Volitatud Töötleja süsteemid, mis sisaldavad i sikuandmeid, on stabiilse Debin /Linux operatsioonisüsteemiga, Volitatud Töötleja kasutajatoe poolt monitooritavad ning automaatsete turvauuenduste paigaldamisega. Serveritele ligipääsud on piiratud ja kõiki tegevusi serverites logitakse. Pahavara juurdepääsu ennetamine Volitatud Töötleja on i sikuandmete kaitsmiseks paigaldanud kõigile oma serveritele tulemüüri, mis hoiab ära võimalikud rünnakud pahavara poolt, ja tagab kõrge kaitsetaseme läbi automaatsete uuenduste teostamise. Volitatud Töötleja töötajad, kes vastutavad süsteemide turvalisuse eest, jälgivad pidevalt kõikide seadmete logisid ja teavitusi, et tuvastada ja ennetada võimalikke ohte. Infoturbeintsidentide haldamine Volitatud Töötleja teavitab RTK-st ja Vastutavat T öötlejat infoturbeintsidentidest esimesel võimalusel. Kõik Volitatud Töötleja töötajad on teadlikud infoturbeintsidentidest teavitamise korrast ning isikust, kellele tuleb nende esinemisest teavitada.