Käesolev isikuandmete töötlemise leping (edaspidi Leping) määrab kindlaks tingimused, mille kohaselt Ukraina õiguse alusel tegutsev füüsilisest isikust ettevõtja Anna Serdiukova (edaspidi Administratsioon või Volitatud töötleja) töötleb teenuse PodoCard Kasutaja klientide ja töötajate isikuandmeid Kasutaja nimel ja tema ülesandel Teenuse osutamisel.
Leping täiendab teenuse PodoCard Kasutustingimusi ja Privaatsuspoliitikat, mis on avaldatud veebisaidil https://podocard.com, ning seda kohaldatakse koos nendega. Leping on liitumisleping Ukraina tsiviilkoodeksi artikli 634 tähenduses. Kasutaja ühineb Lepinguga (aktseptib selle), kui ta nõustub Kasutustingimustega ja sisestab Teenusesse Kasutaja klientide või Kasutaja töötajate isikuandmeid, sealhulgas kui ta lülitab sisse broneeringute vastuvõtmise Veebibroneeringu lehe kaudu.
Leping on koostatud kooskõlas Ukraina 01.06.2010 seadusega nr 2297-VI „Isikuandmete kaitse kohta“ ning nende Kasutajate puhul, kelle suhtes kohaldatakse isikuandmete kaitse üldmäärust (EL) 2016/679 (GDPR), ka kooskõlas GDPR artikliga 28.
Viimati uuendatud: 1. november 2026.
JAGU 1: TERMINOLOOGIA
Lepingus kasutatakse Kasutustingimuste ja Privaatsuspoliitika mõisteid (sealhulgas „Teenus“, „Veebisait“, „Kasutaja“, „Kasutaja klient“, „Kliendi profiil“, „CRM-funktsioonid“, „Veebibroneeringu leht“, „Kasutaja töötaja“), samuti järgmisi mõisteid:
„Vastutav töötleja“ — Kasutaja, kes on Teenuses ettevõtte omanik, ning kui ettevõtte kontoruumi peetakse juriidilise isiku või füüsilisest isikust ettevõtja jaoks, siis see isik. Vastutav töötleja määrab kindlaks Usaldatud andmete töötlemise eesmärgid ja vahendid ning on Ukraina seaduse „Isikuandmete kaitse kohta“ mõistes nende omanik.
„Volitatud töötleja“ — Administratsioon, kes töötleb Usaldatud andmeid Vastutava töötleja nimel ja tema ülesandel; Ukraina seaduse „Isikuandmete kaitse kohta“ mõistes isikuandmete valdaja.
„Usaldatud andmed“ — Kasutaja klientide ja Kasutaja töötajate isikuandmed, mille sisestavad ettevõtte kontoruumi Vastutav töötleja, Kasutaja töötajad või Kasutaja kliendid ise Veebibroneeringu lehe kaudu ja mida Volitatud töötleja töötleb Vastutava töötleja ülesandel. Nende koosseis on esitatud 1. lisas.
„Andmesubjekt“ — füüsiline isik, kellega Usaldatud andmed on seotud.
„Alamtöötleja“ — kolmas isik, kelle Volitatud töötleja kaasab Usaldatud andmete töötlemisse.
„Intsident“ — turvanõuete rikkumine, mis on põhjustanud Usaldatud andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu.
„Andmekaitseõigusaktid“ — Ukraina seadus „Isikuandmete kaitse kohta“, samuti GDPR ja muud isikuandmete kaitset käsitlevad seadused, kui neid kohaldatakse Vastutava töötleja suhtes.
JAGU 2: LEPINGU ESE JA KOHALDAMISALA
2.1. Vastutav töötleja annab Volitatud töötlejale ülesande töödelda Usaldatud andmeid ning Volitatud töötleja kohustub neid töötlema üksnes Teenuse osutamiseks Vastutavale töötlejale kooskõlas Kasutustingimustega, Teenuse tehniliseks toeks ja kaitseks. Töötlemise laad ja eesmärgid, andmete ja Andmesubjektide kategooriad ning töötlemise kestus on esitatud 1. lisas.
2.2. Leping ei laiene isikuandmetele, mille töötlemise eesmärgid ja vahendid määrab Administratsioon ise omanikuna (vastutava töötlejana): Kasutajate kontode andmed, sealhulgas Kasutaja töötajate kui Teenuse kasutajate andmed; andmed tellimuse eest tasumise kohta; tehniline teave, küpsised ja analüütikaandmed; partnerprogrammi (soovitusprogrammi) osalejate andmed. Nende töötlemist reguleerib Privaatsuspoliitika.
2.3. Kui Lepingu ning Kasutustingimuste või Privaatsuspoliitika vahel esineb Usaldatud andmete töötlemise osas vastuolu, kohaldatakse Lepingu sätteid.
JAGU 3: VASTUTAVA TÖÖTLEJA KOHUSTUSED
3.1. Vastutav töötleja määrab iseseisvalt Usaldatud andmete töötlemise eesmärgid ja vastutab töötlemise õiguspärasuse eest, sealhulgas:
töötlemiseks nõuetekohase õigusliku aluse olemasolu eest, sealhulgas Kasutaja klientide nõusoleku eest terviseandmete, fotode ja allkirjade töötlemiseks, kui selline nõusolek on õigusaktide kohaselt nõutav;
Andmesubjektide teavitamise eest nende andmete töötlemise eesmärkidest, koosseisust ja tähtaegadest ning sellest, et andmeid töödeldakse Teenuse abil;
sisestatavate andmete õigsuse, ajakohasuse ja töötlemise eesmärkidele vastavuse eest.
3.2. Juhised, mida Vastutav töötleja Volitatud töötlejale annab, peavad vastama Andmekaitseõigusaktidele.
3.3. Vastutav töötleja määrab Kasutaja töötajatele rollid ja filiaalid nii, et nende juurdepääs andmetele vastaks tehtavale tööle, ning deaktiveerib või kustutab õigeaegselt töö lõpetanud Kasutaja töötajate kontod. Kasutaja töötajate tegusid ettevõtte kontoruumis loetakse Vastutava töötleja tegudeks.
3.4. Vastutav töötleja tagab nende paroolide ja seadmete kaitse, millega ta ise ja Kasutaja töötajad Teenusesse sisse logivad, ning vastutab Teenusest saadud Usaldatud andmete eest: ekspordi, PDF-dokumentide, fotode ja muude allalaaditud failide eest.
3.5. Vastutav töötleja vaatab Andmesubjektide pöördumised iseseisvalt läbi ja täidab need (7. jagu).
JAGU 4: VOLITATUD TÖÖTLEJA KOHUSTUSED
4.1. Volitatud töötleja töötleb Usaldatud andmeid üksnes Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas andmete välisriiki edastamise osas (9. jagu), kui Volitatud töötleja suhtes kohaldatavad õigusaktid ei nõua teisiti. Sellisel juhul teavitab Volitatud töötleja Vastutavat töötlejat sellisest nõudest enne töötlemise alustamist, kui seadus sellist teavitamist ei keela.
4.2. Vastutava töötleja dokumenteeritud juhised on: Leping ja Kasutustingimused; Vastutava töötleja ja Kasutaja töötajate toimingud Teenuses (andmete sisestamine, muutmine ja kustutamine, ettevõtte ja filiaalide seaded, CRM-funktsioonide ja Veebibroneeringu lehe sisselülitamine, dokumentide saatmine klientidele); ettevõtte omaniku kirjalikud pöördumised tugiteenuse poole aadressil support@podocard.com, sealhulgas andmete ekspordi taotlus. Muid juhiseid täidetakse, kui need on Teenuse raames tehniliselt teostatavad ja pooled on need kokku leppinud.
4.3. Volitatud töötleja teavitab Vastutavat töötlejat viivitamata, kui Vastutava töötleja juhis tema arvates rikub Andmekaitseõigusakte.
4.4. Volitatud töötleja ei kasuta Usaldatud andmeid oma eesmärkidel, sealhulgas turunduseesmärkidel, ei müü neid ega edasta neid kolmandatele isikutele, välja arvatud Alamtöötlejatele (6. jagu) ning seaduses ettenähtud juhtudel. Volitatud töötleja ei saada Kasutaja klientidele reklaamsõnumeid.
4.5. Volitatud töötleja annab juurdepääsu Usaldatud andmetele üksnes isikutele, kellele see on vajalik Teenuse osutamiseks, toetamiseks ja kaitsmiseks, ning tagab, et need isikud on kohustunud järgima konfidentsiaalsust või neil on seadusjärgne konfidentsiaalsuskohustus. Kliendi profiilide sisu vaatavad sellised isikud üksnes siis, kui see on vajalik Kasutaja pöördumise lahendamiseks tugiteenuses, tehnilise rikke kõrvaldamiseks või õigusaktide nõuete täitmiseks.
4.6. Volitatud töötleja võtab Usaldatud andmete kaitseks tehnilisi ja korralduslikke meetmeid (5. jagu ja 3. lisa), abistab Vastutavat töötlejat tema kohustuste täitmisel (7. ja 8. jagu) ning esitab teabe, mis on vajalik Lepingu täitmise tõendamiseks (10. jagu).
JAGU 5: TÖÖTLEMISE TURVALISUS
5.1. Arvestades Usaldatud andmete, sealhulgas terviseandmete laadi, rakendab Volitatud töötleja 3. lisas nimetatud meetmeid ja hoiab nende taset Lepingu kehtivusaja jooksul. Volitatud töötlejal on õigus üksikuid meetmeid muuta tingimusel, et Usaldatud andmete üldine kaitstuse tase ei vähene.
5.2. Osa meetmeid on Vastutava töötleja enda kontrolli all: rollide ja filiaalide määramine Kasutaja töötajatele, nende kontode õigeaegne deaktiveerimine, tugevad paroolid, seadmete kaitse, veebibroneeringu väljalülitamine filiaali, Kasutaja töötaja või kliendi jaoks. Vastutav töötleja hindab iseseisvalt, kas Volitatud töötleja meetmed on tema töötlemise jaoks piisavad.
JAGU 6: ALAMTÖÖTLEJAD
6.1. Vastutav töötleja annab Volitatud töötlejale üldise loa Alamtöötlejate kaasamiseks. Kehtiv Alamtöötlejate loetelu on esitatud 2. lisas.
6.2. Volitatud töötleja teatab kavatsusest kaasata uus Alamtöötleja või asendada olemasolev Alamtöötleja, avaldades Veebisaidil uuendatud 2. lisa, milles on märgitud muudatuse jõustumise kuupäev, hiljemalt 14 (neliteist) kalendripäeva enne seda kuupäeva.
6.3. Enne nimetatud kuupäeva on Vastutaval töötlejal õigus saata aadressile support@podocard.com põhjendatud vastuväide. Kui pooled kokkuleppele ei jõua, on Vastutaval töötlejal õigus lõpetada Teenuse kasutamine enne muudatuse jõustumist: saada andmete eksport ja kustutada konto 11. jaos sätestatud korras.
6.4. Kui Alamtöötleja asendamine on Teenuse turvalisuse või katkematu toimimise tagamiseks kiiresti vajalik, on Volitatud töötlejal õigus see teha ilma eelneva teavitamiseta tingimusel, et säilib võrreldav andmekaitse tase, ning ta avaldab uuendatud 2. lisa võimalikult kiiresti. Vastutaval töötlejal on õigus esitada sellisele asendamisele vastuväide punktis 6.3 sätestatud korras.
6.5. Volitatud töötleja kaasab Alamtöötlejaid üksnes lepingu alusel, millega pannakse neile andmekaitsekohustused, mis ei ole vähem ranged kui Lepinguga ettenähtud kohustused, ulatuses, milles need on Alamtöötleja teenuste suhtes kohaldatavad, ning vastutab Vastutava töötleja ees selle eest, et Alamtöötlejad need kohustused täidavad.
JAGU 7: ANDMESUBJEKTIDE PÖÖRDUMISED
7.1. Teenus võimaldab Vastutaval töötlejal Andmesubjektide pöördumisi iseseisvalt täita: vaadata, parandada ja kustutada kliendi andmeid, tema visiite ja broneeringuid, lülitada kliendi jaoks välja veebibroneering ning saada ettevõtte kontoruumi andmete koopia (eksport) Privaatsuspoliitikas sätestatud korras.
7.2. Kui Andmesubjekti pöördumine saabub Volitatud töötlejale, ei vaata Volitatud töötleja seda sisuliselt läbi, vaid edastab selle vastava ettevõtte omanikule, kui ettevõtet on võimalik pöördumises sisalduva teabe põhjal kindlaks teha, ning teatab pöördumise esitajale, et oma õiguste teostamiseks peab ta pöörduma Vastutava töötleja poole.
7.3. Kui Vastutav töötleja ei saa pöördumist Teenuse vahenditega täita, aitab Volitatud töötleja ettevõtte omaniku taotlusel mõistlikes piirides kaasa selle täitmisele, arvestades töötlemise laadi.
JAGU 8: INTSIDENDID JA VASTUTAVA TÖÖTLEJA ABISTAMINE
8.1. Volitatud töötleja teavitab Vastutavat töötlejat Intsidendist viivitamata, ilma põhjendamatu viivituseta pärast seda, kui ta on sellest teada saanud. Teade saadetakse kontol märgitud ettevõtte omaniku e-posti aadressile ja/või sõnumiga Teenuses.
8.2. Teade sisaldab, niivõrd kui see teave on Volitatud töötlejale teada: Intsidendi kirjeldust, asjaomaste Andmesubjektide ja isikuandmete kirjete kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi, võetud ja kavandatud meetmeid, kontakti lisateabe saamiseks. Teabe, mis ei ole teavitamise ajal teada, esitab Volitatud töötleja etapiviisiliselt vastavalt selle saamisele.
8.3. Volitatud töötleja võtab viivitamata mõistlikud meetmed Intsidendi kõrvaldamiseks ja selle tagajärgede leevendamiseks ning esitab Vastutavale töötlejale teabe, mis on vajalik järelevalveasutuse ja Andmesubjektide teavitamiseks. Sellised teated, kui need on nõutavad, saadab Vastutav töötleja.
8.4. Arvestades töötlemise laadi ja talle kättesaadavat teavet, abistab Volitatud töötleja Vastutavat töötlejat andmekaitsealase mõjuhinnangu tegemisel ja järelevalveasutusega eelneval konsulteerimisel, kui need on Vastutava töötleja jaoks nõutavad, esitades teavet Teenuse ja rakendatavate kaitsemeetmete kohta.
JAGU 9: TÖÖTLEMISE ASUKOHT JA ANDMETE EDASTAMINE VÄLISRIIKI
9.1. Usaldatud andmeid säilitatakse serverites, mis asuvad Saksamaa Liitvabariigis Hetzner Online GmbH andmekeskustes (Nürnberg, Falkenstein). Andmebaasi varukoopiaid säilitatakse sama pakkuja eraldi hoidlas Saksamaal. Usaldatud andmete säilitamise asukohta muudetakse 6. jaos sätestatud korras.
9.2. Volitatud töötleja on registreeritud Ukrainas. Volitatud töötleja poolt selleks volitatud isikute juurdepääs Usaldatud andmetele Teenuse toetamiseks, hooldamiseks ja kaitsmiseks võib toimuda väljastpoolt Euroopa Majanduspiirkonda, sealhulgas Ukrainast.
9.3. Kui Vastutava töötleja suhtes kohaldatakse GDPR-i ja selline juurdepääs kujutab endast isikuandmete edastamist riiki, mille kohta Euroopa Komisjon ei ole teinud kaitse piisavuse otsust, kohaldatakse sellise edastamise suhtes lepingu tüüptingimusi, mis on kinnitatud komisjoni 4. juuni 2021. aasta rakendusotsusega (EL) 2021/914, ja nimelt nende teist moodulit „edastamine vastutavalt töötlejalt volitatud töötlejale“ (edaspidi tüüptingimused). Tüüptingimused lisatakse Lepingusse viitega; Vastutav töötleja on neis andmeeksportija ja Volitatud töötleja andmeimportija. Tüüptingimuste kohaldamisel: 7. tingimust ei kohaldata; 9. tingimuse punkti a puhul kohaldatakse 2. varianti (üldine luba) Lepingu punktis 6.2 sätestatud teavitamistähtajaga; 11. tingimuse punkti a valikulist sõnastust ei kohaldata; 17. tingimuse kohaselt kohaldatakse selle ELi liikmesriigi õigust, kus Vastutav töötleja on asutatud, ning kui selle õigusega ei nähta ette soodustatud kolmandate isikute õigusi, siis Saksamaa Liitvabariigi õigust; 18. tingimuse kohaselt lahendatakse vaidlused selle ELi liikmesriigi kohtutes, kus Vastutav töötleja on asutatud; tüüptingimuste I, II ja III lisa loetakse täidetuks vastavalt Lepingu 1., 3. ja 2. lisas esitatud teabega. Lepingu ja tüüptingimuste vahelise vastuolu korral on ülimuslikud tüüptingimused.
JAGU 10: TEAVE JA KONTROLLID
10.1. Ettevõtte omaniku taotlusel esitab Volitatud töötleja teabe, mis on vajalik Lepingu täitmise tõendamiseks: rakendatavate kaitsemeetmete kirjelduse, Alamtöötlejate loetelu, teabe taristu pakkuja sertifitseerimise kohta ning vastused Vastutava töötleja mõistlikele küsimustele Usaldatud andmete töötlemise kohta.
10.2. Kui sellest teabest ei piisa või kontrolli nõuab järelevalveasutus, on Vastutaval töötlejal õigus teha Usaldatud andmete töötlemise kontroll (audit) ise või kaasates konfidentsiaalsuskohustusega seotud sõltumatu audiitori. Kontrolli tehakse mitte sagedamini kui üks kord 12 (kaheteistkümne) kuu jooksul, kui see ei ole tingitud Intsidendist või järelevalveasutuse nõudest, teavitades Volitatud töötlejat vähemalt 30 (kolmkümmend) kalendripäeva ette, tööajal, ilma juurdepääsuta Teenuse teiste kasutajate andmetele ja Vastutava töötleja kulul. Alamtöötlejate taristut kontrollitakse nende aruannete ja sertifikaatide alusel.
JAGU 11: KEHTIVUSAEG, ANDMETE TAGASTAMINE JA KUSTUTAMINE
11.1. Leping jõustub aktseptimise hetkest ja kehtib seni, kuni Volitatud töötleja töötleb Vastutava töötleja Usaldatud andmeid, st kuni nende kustutamiseni käesoleva jao kohaselt.
11.2. Kliendid, visiidid ja kalendri broneeringud, mille Vastutav töötleja või Kasutaja töötajad on Teenuses kustutanud, viiakse arhiivi ning neid saab 30 (kolmekümne) kalendripäeva jooksul taastada. Pärast selle tähtaja möödumist kustutatakse need automaatselt ilma taastamise võimaluseta koos nendega seotud fotode ja dokumentidega. Seejuures ei kustutata kalendri broneeringuid, mille kohta on sisestatud makseid, vaid need säilitatakse ettevõtte kontoruumis, pärast kliendi kustutamist aga ilma temaga seostamata.
11.3. Kasutaja kliendi e-posti aadressi ja eesnime koopia Veebibroneeringu lehe vormist, mis on salvestatud visiidi meeldetuletuste saatmiseks, kustutatakse 30 (kolmkümmend) päeva pärast visiidi algust.
11.4. Enne andmete kustutamist on ettevõtte omanikul õigus saada tasuta ettevõtte kontoruumi andmete koopia (eksport). Ekspordi koosseis, vorming ja kord on sätestatud Privaatsuspoliitikas.
11.5. Kui ettevõtte omanik kustutab oma konto, kustutatakse ettevõtte kontoruum ja kõik Usaldatud andmed ilma taastamise võimaluseta pärast 7 (seitsme) kalendripäeva möödumist kustutamistaotluse kinnitamise hetkest. Enne selle tähtaja möödumist võib taotluse tühistada Kasutustingimustes sätestatud korras.
11.6. Kui juurdepääs Teenusele on lõppenud prooviperioodi või tasutud perioodi lõppemisel, kuid konto ei ole kustutatud, säilitatakse Usaldatud andmeid selleks, et Vastutav töötleja saaks juurdepääsu taastada: 2 (kaks) kuud prooviperioodi lõpust, kui tasulist tellimust ei ole ostetud, või 2 (kaks) aastat viimase tasutud perioodi lõpust. Pärast nende tähtaegade möödumist kustutatakse andmed automaatselt ilma taastamise võimaluseta. Vastutaval töötlejal, kes sellist säilitamist ei soovi, on õigus konto igal ajal kustutada punktis 11.5 sätestatud korras.
11.7. Varukoopiatest kustutatakse Usaldatud andmed varukoopiate plaanipärase asendamise käigus. Seni kaitstakse varukoopiaid samade meetmetega ja neid kasutatakse üksnes Teenuse taastamiseks pärast tõrkeid.
11.8. Kui õigusaktid nõuavad Volitatud töötlejalt teatud Usaldatud andmete edasist säilitamist, säilitab Volitatud töötleja neid üksnes ettenähtud tähtaja jooksul, tagab nende konfidentsiaalsuse ega töötle neid muudel eesmärkidel.
JAGU 12: VASTUTUS
12.1. Pooled vastutavad Lepingu rikkumise eest kooskõlas kohaldatava õigusega. Kasutustingimustes sätestatud vastutuse piiranguid kohaldatakse Lepingu suhtes ulatuses, milles Andmekaitseõigusaktid seda lubavad, ning need ei piira Andmesubjektide õigusi.
JAGU 13: LÕPPSÄTTED
13.1. Administratsioonil on õigus Lepingut muuta, avaldades Veebisaidil uue versiooni, milles on märgitud viimase uuendamise kuupäev. Alamtöötlejate loetelu muudatused tehakse 6. jaos sätestatud korras. Teenuse kasutamise jätkamine pärast uue versiooni jõustumist tähendab sellega nõustumist. Kui Kasutaja ei nõustu, on tal õigus Teenuse kasutamine lõpetada ja konto kustutada.
13.2. Lepingu suhtes kohaldatakse Ukraina õigust, arvestades Vastutava töötleja suhtes kohaldatavate Andmekaitseõigusaktide kohustuslikke norme ja 9. jagu. Vaidlused lahendatakse Kasutustingimustes sätestatud korras.
13.3. Teated Vastutavale töötlejale saadetakse kontol märgitud ettevõtte omaniku e-posti aadressile või sõnumiga Teenuses; Volitatud töötlejale — aadressile support@podocard.com.
13.4. Lepingu üksiku sätte kehtetus ei too kaasa selle ülejäänud sätete kehtetust.
LISA 1: TÖÖTLEMISE KIRJELDUS
1. Andmesubjektide kategooriad:
Kasutaja kliendid, sealhulgas isikud, kes on broneerinud vastuvõtuaja Veebibroneeringu lehe kaudu;
Kasutaja töötajad — nende andmete osas, mida ettevõte Teenusesse sisestab.
2. Usaldatud andmete kategooriad:
Kasutaja klientide andmed: perekonnanimi, eesnimi, isanimi, sugu, sünniaeg, elukutse; telefoninumber, e-posti aadress, kontaktid Telegramis ja Instagramis; terviseankeet (teave haiguste ja seisundite, allergiate, jala suuruse kohta, märkmed); visiitide ajalugu (protseduuride kirjeldused, märked jalaskeemidel, teave korrigeerivate süsteemide kohta, märkmed, fotod, sealhulgas enne ja pärast protseduure); elektroonilised allkirjad ja allkirjastatud dokumendid, sealhulgas teadlikud nõusolekud PDF-vormingus; muu teave ja failid, mille Vastutav töötleja sisestab;
CRM-funktsioonide kasutamisel: broneeringud (kuupäev ja kellaaeg, filiaal, spetsialist, teenused ja nende hind, broneeringu olek, kommentaarid), andmed broneeringute maksete (summa, makseviis, kuupäev) ja klientidega arvelduste kohta, kliendile antud luba broneerida Veebibroneeringu lehe kaudu;
Veebibroneeringu lehe kaudu broneerimisel: vormil märgitud eesnimi, perekonnanimi, telefoninumber ja e-posti aadress, valitud teenused, spetsialist, kuupäev ja kellaaeg ning märge isikuandmete töötlemiseks nõusoleku andmise kohta (kuupäev ja kellaaeg, IP-aadress, andmed brauseri kohta, dokumendi versioon);
Kasutaja töötajate andmed: eesnimi, perekonnanimi, kontaktandmed, ametikoht, foto (avatar), roll ja filiaalid, töögraafik (tööpäevad ja -tunnid, pausid, puhkepäevad), klientide broneeringud ja osutatud teenused, töötasu tingimused (protsent teenuste hinnast ja/või põhitasu), kui Vastutav töötleja need määrab, ning nende alusel arvutatud tasusummad.
3. Isikuandmete eriliigid: Kasutaja klientide terviseandmed (terviseankeet, protseduuride kirjeldused, fotod). Nende töötlemise ulatuse määrab Vastutav töötleja.
4. Töötlemise laad: kogumine, sealhulgas Veebibroneeringu lehe kaudu; salvestamine, süstematiseerimine, säilitamine ja muutmine; kuvamine ettevõtte kontoruumi kasutajatele vastavalt nende rollidele ja filiaalidele; PDF-dokumentide, aruannete ja arvutuste koostamine; kirjade saatmine — dokumendid kliendile tema e-posti aadressile, broneeringu kohta käivad kirjad ja visiidi meeldetuletused Kasutaja klientidele, teated Veebibroneeringu lehe kaudu tehtud broneeringute kohta ettevõtte omanikule, filiaali juhatajatele ja administraatoritele; spetsialistide eesnime, perekonnanime, ametikoha ja foto kuvamine Veebibroneeringu lehel; kaitse kuritarvituste eest; varundamine; eksport; kustutamine.
5. Töötlemise eesmärgid: Teenuse ja selle funktsioonide osutamine Vastutavale töötlejale, Vastutava töötleja tehniline toetamine, Teenuse turvalisuse ja katkematu toimimise tagamine, taastamine pärast tõrkeid.
6. Töötlemise kestus: Lepingu kehtivusaja jooksul (11. jagu).
LISA 2: ALAMTÖÖTLEJAD
Loetelu kehtib alates 15. novembrist 2026.
Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Saksamaa) — Teenuse pilvetaristu: serverid, andmebaas, fotode ja dokumentide hoidla, varukoopiad. Töötlemise koht — Saksamaa (andmekeskused Nürnbergis ja Falkensteinis).
Brevo SAS (106 boulevard Haussmann, 75008 Paris, Prantsusmaa) — Teenuse e-kirjade saatmise teenus, sealhulgas Kasutaja klientidele saadetavad kirjad (PDF-dokumendid, veebibroneeringu kohta käivad kirjad, visiidi meeldetuletused). Töötlemise koht — Euroopa Liit.
Teenuse kirjad, sealhulgas Kasutaja klientidele saadetavad kirjad, saadetakse Brevo kaudu ning selle teenuse kättesaamatuse või piirangute korral Volitatud töötleja enda e-posti serveri kaudu Saksamaal. Privaatsuspoliitikas nimetatud makseteenuse pakkujad, rakendusepoed ja analüütikateenused ei ole Alamtöötlejad: nad saavad ainult neid Kasutaja andmeid, mis on nende funktsioonide täitmiseks vajalikud, ning neil puudub juurdepääs Kliendi profiilidele.
LISA 3: TEHNILISED JA KORRALDUSLIKUD MEETMED
1. Paiknemine. Teenuse serverid ja varukoopiad paiknevad Hetzner Online GmbH andmekeskustes Saksamaal. Pakkuja infoturbe halduse süsteem on sertifitseeritud rahvusvahelise standardi ISO/IEC 27001 järgi.
2. Andmeedastuse kaitse. Andmevahetus mobiilirakenduse, veebisaidi ja Teenuse serverite vahel toimub üksnes turvalise ühenduse kaudu (HTTPS/TLS).
3. Failide säilitamine. Fotosid ja dokumente hoitakse privaathoidlas ning need ei ole kättesaadavad püsivate otselinkide kaudu: rakendus annab neile juurdepääsu piiratud kehtivusajaga ajutiste linkide kaudu.
4. Juurdepääs taristule. Andmebaas ei ole internetist ligipääsetav. Haldusjuurdepääs serveritele on ainult Volitatud töötleja poolt selleks volitatud tehnilisel personalil, kasutades võtmepõhist autentimist.
5. Kontod. Paroole säilitatakse üksnes krüptograafiliste räsidena. Juurdepääs Teenusele antakse piiratud kehtivusajaga tokenite alusel; pärast parooli lähtestamist tühistatakse varem väljastatud tokenid. Sisselogimiskatsete ja kinnituskoodide sisestamise katsete arv on piiratud.
6. Juurdepääsu piiritlemine. Ettevõtte andmed on kättesaadavad ainult selle kontoruumi kasutajatele. Kasutaja töötajate juurdepääsu ulatuse määrab nende roll (omanik, juhataja, administraator, spetsialist), CRM-funktsioonide kasutamisel aga ka filiaalid, millega nad on seotud; eelkõige ei kuvata spetsialistile Kasutaja klientide kontaktandmeid. Rollid ja seotud filiaalid määravad ettevõtte omanik ja juhatajad.
7. Volitatud töötleja personal. Isikud, kellel on juurdepääs Usaldatud andmetele, on kohustatud järgima konfidentsiaalsust ja vaatavad Kliendi profiilide sisu üksnes Lepingu punktis 4.5 nimetatud juhtudel.
8. Veebibroneeringu leht. Päringute ja taotluste arvu piiratakse IP-aadressi, telefoninumbri ja e-posti aadressi järgi; neid väärtusi kasutatakse räsidena ajutistes loendurites, mis kustutatakse automaatselt piiranguperioodi möödumisel. Broneeringu tühistamise link sisaldab äraarvamatut koodi, andmebaasis säilitatakse ainult selle räsi. Veebibroneeringu lehel ja broneeringu tühistamise lehel ei kasutata pikslit Meta Pixel ega muid reklaami- ja analüütikavahendeid.
9. Logid. Vead ja tõrked registreeritakse logides Teenuse toimimise kontrollimiseks; paroolid, tokenid ja kinnituskoodid maskeeritakse logides.
10. Varundamine. Andmebaasi varukoopiaid luuakse korrapäraselt ja säilitatakse eraldi hoidlas Saksamaal.
11. Kustutamine. Kustutatud kliente, visiite ja broneeringuid säilitatakse arhiivis 30 (kolmkümmend) kalendripäeva, mille järel need kustutatakse automaatselt; ettevõtte kontoruumi andmed kustutatakse automaatselt säilitustähtaegade möödumisel (Lepingu 11. jagu).
12. Eksport. Ettevõtte kontoruumi andmete koopia väljastatakse ainult ettevõtte omanikule: allalaadimislink saadetakse ainult tema kontol märgitud e-posti aadressile ja see kehtib 7 (seitse) kalendripäeva, mille järel arhiiv kustutatakse Teenuse serveritest.
REKVISIIDID
Ukraina õiguse alusel tegutsev füüsilisest isikust ettevõtja Anna Serdiukova
Maksukohustuslase number 3117915209
Tel. +380731234011
E-post: support@podocard.com