Isikuandmete töötlemise leping

ISIKUANDMETE TÖÖTLEMISE LEPING nr 4-8/19/124 Eesti Töötukassa, registrikood 74000085 (edaspidi vastutav töötleja), asukoht Lasnamäe 2, 11412 Tallinn, keda esindab põhikirja alusel juhatuse esimees Meelis Paavel ja Astangu Kutserehabilitatsiooni Keskus, registrikood 70003566 (edaspidi volitatud töötleja), asukoht Astangu tn 27, Tallinn 13519, keda esindab põhimääruse alusel asutuse esindusõiguslik isik Kert Valdaru, keda nimetatakse edaspidi eraldi pool või koos pooled, sõlmisid käesoleva isikuandmete töötlemise lepingu (edaspidi leping) alljärgnevas: 1. Lepingu ese 1.1. Lepingu esemeks on poolte õiguste ja kohustuste ning vastutuse määratlemine isikuandmete töötlemisel poolte vahel olemasolevate või tulevikus tekkivate kõikvõimalike lepingute, lepingusarnaste, lepinguväliste või haldusõiguslike suhete alusel (edaspidi nimetatud põhileping). 1.2. Volitatud töötleja töötleb põhilepingu alusel vastutava töötleja nimel vastutavalt töötlejalt või põhilepingu täitmise käigus andmesubjektilt või kolmandalt isikult saadud isikuandmeid. Iga sõlmitud põhileping ja käesolev leping moodustavad ühtse terviku ning põhilepingu täitmisel juhinduvad pooled konkreetsest põhilepingust ja isikuandmete töötlemise osas lisaks ka käesolevast lepingust. 1.2.1. Töödeldavateks isikuandmeteks on kõik andmed, mida loetakse isikuandmeteks, sh eriliigilised isikuandmed (s.o terviseandmed). Töödeldavad isikuandmed kirjeldatakse vajadusel põhilepingus. Isikuandmete töötlemisel lähtutakse minimaalsuse ja eesmärgipärasuse põhimõttest. 1.2.2. Isikuandmete töötlemise eesmärk on põhilepingu täitmine. 1.3. Pooled lähtuvad lepingu täitmisel kehtivatest isikuandmete kaitset reguleerivatest õigusaktidest, sh Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (edaspidi üldmäärus), isikuandmete kaitse seadus, või mis tahes tulevikus kehtestatavatest, asendavatest või muutvatest õigusaktidest (edaspidi nimetatud koos andmekaitse aktid). 1.4. Põhilepingus võidakse sätestada erisusi käesolevast lepingust ning sellisel juhul lähtutakse põhilepingus toodud erisustest. 1.5. Vastutav töötleja töötleb isikuandmeid seaduse alusel. Vastutav töötleja volitab volitatud töötlejat töötlema isikuandmeid vastutava töötleja nimel ulatuses, mis tuleneb konkreetsest põhilepingu iseloomust, kooskõlas andmekaitse aktidega. 1.6. Volitatud töötleja kinnitab, et tal on olemas teadmised, usaldusväärus ja vahendid, millega ta suudab rakendada tehnilisi ja korralduslikke meetmeid, mis vastavad üldmääruse nõuetele, sh töötlemise turvalisusele kehtestatud nõuetele. 1.7. Lepingus kasutatavaid isikuandmete kaitse alaseid mõisteid või termineid mõistetakse üldmääruses antud tähenduses. 2. Vastutava töötleja kohustused: 2.1. tagama isikuandmete töötlemise vastavuse andmekaitse aktides sätestatud nõuetele; 2.2. andma volitatud töötlejale isikuandmete töötlemiseks korraldusi ja täiendavaid juhiseid. 3. Vastutava töötleja õigused: 3.1. anda volitatud töötlejale isikuandmete töötlemise nõuete osas korraldusi ja täiendavaid juhiseid, mida volitatud töötleja kohustub täitma; 3.2. igal ajal kontrollida volitatud töötleja ja tema kaasatud volitatud töötlejate isikuandmete töötlemise vastavust andmekaitse aktidele ja vastutava töötleja antud korraldustele ja juhistele ning kontrollida asjakohaste tehniliste ja korralduslike meetmete rakendamist; 3.3. esitada vastuväiteid volitatud töötleja poolt teiste volitatud töötlejate kaasamiseks ja keelduda teiste volitatud töötlejate kaasamiseks loa andmisest; 3.4. auditeerida volitatud töötleja tegevuse vastavust lepingule. 4. Volitatud töötleja kohustub: 4.1. töötlema isikuandmeid kindlaksmääratud õiguspärastel eesmärkidel, s.o üksnes konkreetse põhilepingu täitmise eesmärgil ning tagama isikuandmete konfidentsiaalsuse ja andmesubjekti õiguste kaitse; 4.2. mõistlike meetmetega tagama, et andmetöötluse eesmärgi seisukohast ebaõiged isikuandmed kustutatakse või parandatakse viivitamata; 4.3. säilitama isikuandmeid kujul, mis võimaldab andmesubjekti tuvastada üksnes seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; 4.4. tagama, et kõik isikud, keda ta on volitanud isikuandmeid töötlema ja põhilepingu täitmisel kasutab, järgiksid konfidentsiaalsusnõuet ning nõudma nimetatud isikutelt selle kohustuse tingimusteta ja tähtajatut täitmist. Samuti tagab volitatud töötleja, et tema ja tema volitatud isikud ei töötle isikuandmeid suuremas ulatuses, kui on vajalik põhilepingu täitmiseks. Vastutus konfidentsiaalsusnõude ja isikuandmete töötlemise nõuete täitmise eest lasub volitatud töötlejal; 4.5. mitte edastama ja avaldama isikuandmeid kolmandatele isikutele, sh riikidesse, mis asuvad väljaspool Euroopa Liitu või Euroopa Majanduspiirkonda või rahvusvahelisele organisatsioonile, ega andma neile andmetele ligipääsu ilma vastutava töötleja eelneva nõusolekuta; 4.6. mitte kaasama teist volitatud töötlejat ilma vastutava töötleja eelneva konkreetse kirjaliku loata; 4.6.1. volitatud töötleja tagab kaasatud teise volitatud töötleja poolt samade isikuandmete töötlemise nõuete täitmise (andmekaitsekohustused), milliste täitmise kohustus on käesoleva lepingu järgi volitatud töötlejal; 4.6.2. kui see teine volitatud töötleja ei täida oma andmekaitsekohustusi, jääb algne volitatud töötleja vastutava töötleja ees täielikult vastutavaks kõnealuse teise volitatud töötleja kohustuste täitmise eest; 4.7. juhul, kui andmesubjekt, järelevalveasutus (nt Andmekaitse Inspektsioon) või muu kolmas isik soovib volitatud töötlejalt põhilepingu alusel töödeldavaid isikuandmeid, suunab volitatud töötleja vastava soovi vastutavale töötlejale. Volitatud töötlejal ei ole lubatud avaldada isikuandmeid ega muud teavet isikuandmete töötlemise kohta ilma vastutava töötleja eelneva kirjaliku nõusolekuta, välja arvatud juhul, kui avaldamise kohustus tuleneb otseselt seadusest. Viimasel juhul teavitab volitatud töötleja viivitamata vastutavat töötlejat taotlusest seadusega lubatud ulatuses; 4.8. rakendama isikuandmete töötlemise turvalisuse tagamiseks asjakohaseid ning vajalikke tehnilisi ja korralduslikke meetmeid, rakendades vajadusel muuhulgas üldmääruse art 32 toodud meetmeid, sh tagama isikuandmete töötlemise viisil, mis kindlustab nende  turvalisuse, kaitse loata või ebaseadusliku töötlemise eest ning juhusliku või ebaseadusliku kadumise, hävimise, muutmise, loata avalikustamise ja juurdepääsu või kahjustumise eest; 4.9. esitama vastutavale töötlejale omal kulul kõik andmed ja dokumendid ning osutama abi, mis on vastutavale töötlejale vajalik andmekaitse aktide nõuete vastavuse täitmise korraldamiseks, tõendamiseks või andmesubjekti taotlusele vastamiseks või tema õiguste teostamiseks; 4.10. pidama kõigi vastutava töötleja nimel tehtavate isikuandmete töötlemise toimingute kirjalikku registrit, mis peab sisaldama üldmääruse art 30 lõikes 2 nimetatud teavet. Registrit tuleb pidada kirjalikku taasesitamist võimaldavas vormis. Taotluse korral teeb volitatud töötleja registri kättesaadavaks vastutavale töötlejale või Andmekaitse Inspektsioonile; 4.11. säilitama ja hoidma kättesaadavana ajakohased andmed volitatud töötleja ja tema kaasatud teise volitatud töötleja töötlemistegevuste ja isikuandmeid töödelnud isikute kohta, sealhulgas iga isiku nime, kontaktandmete ja asukoha kohta, vastutava töötleja nimel tehtud isikuandmete töötlemise liikide kohta, ning esitama vastutava töötleja taotlusel ja viivituseta vastutavale töötlejale kogu vajaliku informatsiooni; 4.11.1. automatiseeritud süsteemides tehtavate isikuandmete töötlemise toimingute kohta pidama logisid vähemalt järgmiselt: kogumine, muutmine, lugemine, avalikustamine, edastamine, ühendamine ja kustutamine. Lugemist, avalikustamist ja edastamist kajastavad logid peavad võimaldama kindlaks teha nimetatud toimingute tegemise põhjenduse, kuupäeva ja kellaaja ning teabe isikuandmeid lugenud, avalikustanud või edastanud isiku kohta, samuti selliste isikuandmete vastuvõtjate nimed. Logisid säilitatakse kaks (2) aastat, kui põhilepingus ei ole sätestatud lühemat või pikemat tähtaega; 4.12. konkreetse põhilepingu lõppemisel või juhul, kui isikuandmete töötlemine ei ole enam vajalik, on volitatud töötleja ja tema kaasatud teised volitatud töötlejad kohustatud kustutama või tagastama vastutavale töötlejale kõik isikuandmed ja kustutama olemasolevad koopiad, välja arvatud juhul, kui säilitamise kohustus tuleneb õigusaktidest. Isikuandmete kustutamisel kinnitab volitatud töötleja vastutava töötleja taotlusel viivitamatult isikuandmete kustutamist. Kui vastutav töötleja soovib isikuandmete tagastamist, tagastab volitatud töötleja kõik isikuandmed vastutava töötleja soovitud viisil ja vormis ning kustutab neist kõik olemasolevad koopiad. Volitatud töötleja tagab, et tema kaasatud teised volitatud töötlejad täidavad samu kohustusi ning vastutus nimetatud kohustuste täitmise eest lasub volitatud töötlejal; 4.13. teostama ise ja/või lubama vastutaval töötlejal või tema määratud isikul, sh audiitoril, teostada isikuandmete töötlemise nõuete täitmise kontrolle. Selleks teeb volitatud töötleja vastutavale töötlejale kättesaadavaks kogu vajaliku informatsiooni 10 kalendripäeva jooksul vastava nõude saamisest ja vajadusel lubab teostada kohapealset kontrolli volitatud töötleja juures. Volitatud töötleja tutvustab vastutavale töötlejale tema nõudmisel isikuandmete kaitseks rakendatud tehnilisi ja korralduslikke meetmeid ja nende muudatusi. Volitatud töötleja kõrvaldab viivitamatult kontrolli tulemusena tuvastatud puudused ja teavitab puuduste kõrvaldamisest vastutavat töötlejat, nimetades sealhulgas kasutusele võetud meetmeid; 4.14. teavitama vastutava töötleja kontaktisikut viivitamatult, kuid mitte hiljem kui 24 tunni jooksul isikuandmetega seotud rikkumisest, samuti mistahes volitatud töötlejale esitatud kaebustest seoses tema või tema volitatud isikute poolt või tema kaasatud teise volitatud töötleja poolt isikuandmete kaitse nõuete rikkumisega ning vastavate olukordade tekkimisel  lahendama need ka võimalikult kiiresti, vältimaks edasist kahju ja leevendamaks juhtumi mõjusid; 4.15. teavitama viivitamatult vastutavat töötlejat, kui volitatud töötleja suhtes algatatakse menetlus (nt järelevalve- või kohtumenetlus vm), mis on seotud otseselt või kaudselt põhilepingu täitmisega ja mis võib tuua kaasa hüvitamise nõude või trahvi andmekaitse aktide alusel. Menetluse alustamise korral esitab volitatud töötleja vastutavale töötlejale kõik menetlusega seotud üksikasjad, sealhulgas konkreetsed rikkumisega seotud süüdistused ja asjaolud ning menetluse lõppedes teavitab vastutavat töötlejat selle tulemustest; 4.16. vajadusel osalema vastutava töötleja andmekaitsealase mõjuhinnangu koostamisel; 4.17. järgima isikuandmete töötlemisel andmekaitse akte ja vastutava töötleja antud täiendavaid korraldusi ja juhiseid; 4.18. teavitama viivitamatult vastutavat töötlejat, kui volitatud töötleja hinnangul toob vastutava töötleja antud korraldus või juhis kaasa andmekaitse aktide rikkumise või esineb vastuolu. 5. Volitatud töötleja õigused: 5.1. saada vastutavalt töötlejalt isikuandmete töötlemise nõuete osas korraldusi ja täiendavaid juhiseid; 5.2. saada vastutavalt töötlejalt vastuseid tekkinud küsimustele. 6. Pooltevahelised teated ja kontaktisikud 6.1. Lepinguga seotud teadete edastamine toimub üldjuhul e-posti teel. Informatiivset teadet võib edastada ka telefoni teel. Lepingust tulenevad nõuded ja ülesütlemisavaldused peavad olema edastatud kirjalikult posti teel või digitaalselt allkirjastatuna e-posti teel lepingus nimetatud aadressil. 6.2. Poole teade loetakse teise poole poolt kätte saaduks kui: 6.2.1. teade on saadetud elektroonilisel teel lepingus nimetatud e-posti aadressil samal päeval, kui elektrooniline kiri on saadetud hiljemalt kell 16.00, pärast kella 16.00 saadetud elektrooniline kiri loetakse kätte saaduks järgmisel tööpäeval; 6.2.2. teade on saadetud tähitud kirjaga lepingus näidatud aadressil ning kui tähitud kirja postitamisest on möödunud 5 (viis) kalendripäeva. 6.3. Poolte kontaktisikud: 6.3.1. vastutava töötleja kontaktisik: andmekaitsespetsialist Katrin Uuetalu, tel 614 7993, e-post: [email protected]; 6.3.2. volitatud töötleja kontaktisik: Kadri Joost, tel 687 7215, e-post: [email protected]. 6.4. Kontaktisiku või kontaktandmete muutumisest teavitab pool teist poolt viivitamatult. 7. Vastutus 7.1. Lepingus ettenähtud kohustuste mitte täitmisel või mittenõuetekohasel täitmisel vastutab pool andmekaitse aktides jt õigusaktides ettenähtud korras ja ulatuses. Järelevalvet isikuandmete töötlemise nõuete täitmise üle teostab Andmekaitse Inspektsioon. 7.2. Lepingu rikkumisel loetakse, et pool on rikkunud ka rikkumisega seotud konkreetset põhilepingut ning poolel on õigus kasutada lepingu mittetäitmise või mittekohase täitmise korral õigusaktides ja konkreetses põhilepingus sätestatud õiguskaitsevahendeid. 7.3. Vaidlused lahendatakse konkreetses põhilepingus sätestatud korras. 8. Lepingu kehtivus 8.1. Käesolev leping jõustub selle allakirjutamisest ning kehtib tähtajatult. 8.2. Lepingut on võimalik muuta poolte kirjalikul kokkuleppel. 8.3. Leping on sõlmitud 1 (ühes) digitaalselt allkirjastatud eksemplaris. Poolte allkirjad Vastutav töötleja: Volitatud töötleja: (allkirjastatud digitaalselt) (allkirjastatud digitaalselt) Meelis Paavel Kert Valdaru juhatuse esimees asutuse esindusõiguslik isik