Tõlge on esitatud informatiivsel eesmärgil. Lahknevuse korral on ülimuslik ingliskeelne originaalversioon, Iirimaa jurisdiktsiooni all (Cuandeoro Limited, CRO 813028).
Veripassi andmetöötluslepe
On teenusetingimuste osa.
1. Pooled ja rollid. Klient on vastutav töötleja. Cuandeoro Limited t/a Veripass on Kliendi dokumentides ja konto sisus sisalduvate isikuandmete volitatud töötleja („Kliendi isikuandmed“).
2. Töötlemise ese, olemus ja eesmärk. Toote- ja akupassi andmete salvestamine, ekstraheerimine, analüüsimine ja avaldamine ainult Teenuse osutamiseks.
3. Kestus. Tellimuse kestus pluss punktis 11 sätestatud kustutamisperiood.
4. Andmesubjektide kategooriad. Kliendi töötajad ja kasutajad; üleslaaditud dokumentides nimetatud Kliendi tarnijate, klientide ja laboratooriumide kontaktisikud.
5. Andmete kategooriad. Dokumentides esinevad nimed, ärikontaktandmed, ametinimetused, allkirjad ja identifikaatorid; kasutajakonto andmed. Eriliiki andmeid ei oodata. Klient neid üles ei laadi.
5A. Kliendi kohustused. Klient tagab, et tal on töötlemiseks õiguslik alus, annab seaduslikke juhiseid, teavitab andmesubjekte vastavalt nõuetele ega lae üles eriliiki andmeid.
6. Volitatud töötleja kohustused. Veripass:
- (a) töötleb andmeid ainult Kliendi dokumenteeritud juhiste alusel, sealhulgas seoses edastamisega kolmandasse riiki, välja arvatud juhul, kui ELi või liikmesriigi õigus seda nõuab; sel juhul teavitab Veripass Klienti sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui see õigus keelab sellise teavitamise olulistel avaliku huvi põhjustel;
- (b) tagab, et töötlemiseks volitatud isikud on kohustatud hoidma konfidentsiaalsust;
- (c) rakendab lisas 2 sätestatud tehnilisi ja korralduslikke meetmeid;
- (d) aitab Klienti andmesubjektide taotlustega ja GDPR artiklitest 32–36 tulenevate kohustuste täitmisel, võttes arvesse töötlemise olemust;
- (e) teeb kättesaadavaks teabe, mis on vajalik nõuete täitmise tõendamiseks;
- (f) teavitab Klienti viivitamata, kui juhis rikub andmekaitseõigust.
7. Allkäitlejad.
- Klient annab üldise loa lisas 3 loetletud allkäitlejate kasutamiseks.
- Veripass teavitab uutest allkäitlejatest e-posti teel 30 päeva ette. Klient võib põhjendatud alusel vastu vaielda ja, kui lahendust ei lepita kokku, lepingu trahvita lõpetada.
- Veripass paneb igale allkäitlejale samaväärsed andmekaitsekohustused ja vastutab nende eest.
8. Rahvusvaheline edastamine. Kliendi isikuandmeid võidakse töödelda Ameerika Ühendriikides Veripassi majutusteenuse pakkuja (Cloud Clusters, Inc.) ja Google'i (Gemini API, tasuline pakett) poolt standardsete lepingutingimuste (komisjoni otsus (EL) 2021/914) ja, kui kohaldatav, ELi ja USA andmekaitseraamistiku alusel, täiendavate meetmetega (krüpteerimine edastamisel ja salvestatuna). Demofailid kustutatakse 24 tunni möödudes.
9. Tehisintellektiga töötlemine. Dokumente töötlevad lisas 3 nimetatud tehisintellekti teenusepakkujad tingimustel, mis ei luba neil kasutada Kliendi andmeid oma mudelite treenimiseks. Me ei kasuta teie dokumente ega andmeid ühegi tehisintellekti mudeli treenimiseks.
10. Isikuandmete rikkumised. Veripass teavitab Klienti põhjendamatu viivituseta ja igal juhul 48 tunni jooksul pärast seda, kui ta on saanud teada Kliendi isikuandmeid mõjutavast rikkumisest, esitades GDPR art. 33(3) nõutud teabe selle kättesaadavaks muutudes.
11. Tagastamine ja kustutamine. Kliendi valikul tagastab või kustutab Veripass Kliendi isikuandmed. Kliendil on õigus oma andmeid eksportida 60 päeva jooksul pärast lepingu lõppemist. Seejärel kustutab Veripass Kliendi isikuandmed 30 päeva jooksul, sealhulgas varukoopiad nende rotatsioonitsükli jooksul (maksimaalselt 35 päeva), välja arvatud juhul, kui ELi või liikmesriigi õigus nõuab säilitamist.
12. Auditid. Veripass võimaldab Kliendil või tema volitatud ja konfidentsiaalsuskohustusega sõltumatul audiitoril korraldada auditeid, sealhulgas inspekteerimisi, ning aitab neile kaasa. Auditeid tehakse üks kord 12 kuu jooksul 30-päevase etteteatamisega (sagedamini pärast rikkumist või kui järelevalveasutus seda nõuab), tööajal ja Kliendi kulul. Kirjalik küsimustik tuleb esimesena, kui see on piisav.
13. Vastutus. Kohaldatakse teenusetingimustes sätestatud piiranguid, välja arvatud juhul, kui GDPR ei luba piirata.
14. Ülimuslikkus. Vastuolu korral on käesolev DPA andmekaitseküsimustes tingimuste suhtes ülimuslik.
Lisa 1 · Töötlemise üksikasjad
Nagu punktides 2 kuni 5.
Lisa 2 · Tehnilised ja korralduslikud meetmed
- TLS 1.2 või uuem edastamisel; AES-256 krüpteerimine salvestatuna.
- Rollipõhine juurdepääs, MFA töötajatele, vähimate õiguste põhimõte.
- Kliendiandmed on loogiliselt eraldatud konto kaupa.
- Kinnituste ja avaldamiste auditilogi.
- Igapäevased krüpteeritud varukoopiad, 35-päevane rotatsioon.
- Demofailid kustutatakse 24 h möödudes.
- Kriitiliste haavatavuste parandamine 7 päeva jooksul.
- Nende meetmete iga-aastane läbivaatamine.
Lisa 3 · Allkäitlejad
| Allkäitleja | Eesmärk | Asukoht |
|---|---|---|
| Cloud Clusters, Inc. | Rakenduse ja passilehtede majutus | Ameerika Ühendriigid |
| Google (Gemini API, paid tier) | Dokumentide ekstraheerimine | Ameerika Ühendriigid |
| Cloud Clusters, Inc. (oma meiliserver, mailcow) | E-post | Ameerika Ühendriigid |
Stripe töötleb Veripassi enda arveldusandmeid; ta ei töötle Kliendi isikuandmeid dokumentidest.