Andmetöötlusleping (DPA)

Need mallid järgivad GDPR-i üldiselt. Need ei väida, et täidavad iga riigi siseriiklikku õigust. Andmekaitse Inspektsioon on näide selle keele lugejatele; pädevus järgib siiski vastutava töötleja peamist tegevuskohta (GDPR artikkel 56). Pädevus järgib siiski vastutava töötleja peamist tegevuskohta (GDPR artikkel 56).

Vahel teenuse klient vastutava töötlejana (Vastutav töötleja)

ja Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (Volitatud töötleja).

See leping kehtib, kui Volitatud töötleja töötleb isikuandmeid Vastutava töötleja eest teenuse jaoks aadressil https://exemple-saas.example. See ei hõlma töötlemist, mille puhul teenusepakkuja ise on vastutav töötleja.

1. Ese, laad, kestus

Volitatud töötleja majutab, salvestab ja kuvab teenuse osutamiseks vajalikke andmeid ning koostab failid, mida toode koostab. Kestus: leping, seejärel kustutamine või tagastamine nagu artiklis 8, välja arvatud juhul, kui Volitatud töötlejale kohaldatav seadus nõuab pikemat arhiivi.

2. Dokumenteeritud juhised

Volitatud töötleja tegutseb ainult Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas selle lepingu alusel, kui liidu või liikmesriigi õigus ei nõua teisiti. Sel juhul teavitab Volitatud töötleja Vastutavat töötlejat enne töötlemist, kui õigus teavitamist ei keela.

3. Konfidentsiaalsus

Andmeid töötlema volitatud isikutel on konfidentsiaalsuskohustus.

4. Turvalisus

Teenusepakkuja rakendab tehnilisi ja organisatsioonilisi meetmeid, mis on GDPR-i artikli 32 järgi asjakohased (juurdepääsu kontroll, HTTPS, minimeerimine, kutselised teenusepakkujad), lubamata, et jääkrisk on kadunud. Ühtegi ISO 27001 ega SOC 2 ruutu ei märgitud: kumbagi sertifitseerimist ei väideta.

5. Alltöötlejad

Vastutav töötleja volitab lisa 3 alltöötlejaid. Volitatud töötleja teavitab Vastutavat töötlejat enne ühe lisamist või asendamist. Vastutav töötleja võib esitada vastuväite 30 päeva jooksul. Kui vastuväidet ei lahendata, võib Vastutav töötleja mõjutatud töötlemise peatada.

6. Abi

Volitatud töötleja abistab Vastutavat töötlejat, niivõrd kui võimalik, andmesubjektide taotluste, turvalisuse, rikkumisteadete ja mõjuhinnangutega, arvestades töötlemise laadi.

7. Rikkumine

Volitatud töötleja teavitab Vastutavat töötlejat isikuandmetega seotud rikkumisest põhjendamatu viivituseta pärast sellest teadasaamist. Mall ei leiuta kindlat tundide arvu.

8. Kustutamine ja tagastamine

Teenuse lõppedes kustutab või tagastab Volitatud töötleja andmed Vastutava töötleja valikul ja kustutab allesjäänud koopiad, kui seadus ei nõua säilitamist.

9. Auditid

Vastutav töötleja võib auditeerida, sealhulgas konfidentsiaalsusega seotud volitatud ülevaataja kaudu, mõistliku etteteatamisega, mitte sagedamini kui kord aastas, välja arvatud rikkumise või asutuse taotluse korral. Volitatud töötleja võib keelduda ülevaatajast, kes on konkurent.

10. Edastused

Edastused väljapoole EL-i/EMP-d kasutavad GDPR-i V peatüki mehhanismi. Lisa 3 kordab seda, mida teenusepakkuja avaldab. See ei lisa mehhanismi, mille leht märgib kui ei ole teatatud.

11. Vastutus

GDPR-i artikkel 82 kehtib andmesubjektide suhtes. Leping ei nihuta poole enda trahvi teisele poolele. Siseriiklikku kindlat hüvitist ei lisata.

Lisa 1 — Kirjeldus

• Ese: teenus aadressil https://exemple-saas.example.
• Toimingud: majutus, autentimine seal, kus seda kasutatakse, salvestus, failide koostamine, tugi, logid.
• Inimesed: Vastutava töötleja kasutajad ja Vastutava töötleja töötajad. Sellest väljapoole jäävad kategooriad on selle malli puhul ei ole teatatud.

Lisa 2 — Turvalisus

Teenusepakkuja rakendab tehnilisi ja organisatsioonilisi meetmeid, mis on GDPR-i artikli 32 järgi asjakohased (juurdepääsu kontroll, HTTPS, minimeerimine, kutselised teenusepakkujad), lubamata, et jääkrisk on kadunud. Ühtegi ISO 27001 ega SOC 2 ruutu ei märgitud: kumbagi sertifitseerimist ei väideta.

Lisa 3 — Volitatud alltöötlejad

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Iirimaa (Stripe, Inc. grupp, Ameerika Ühendriigid) — Makse ja arveldamine. Makseandmed, tehingu identifikaatorid, arvelduse e-post. Teenusepakkuja ei salvesta täielikke kaardinumbreid. Stripe Payments Europe tegutseb sõltuvalt voost vastutava või volitatud töötlejana; grupisisesed edastused on kaetud SCC-dega.

1. Resend, Inc. (Resend) — Ameerika Ühendriigid — Tehingu e-post. Saaja e-posti aadressid, sõnumite teema ja sisu, saatmislogid. Edastus väljapoole ELi on kaetud SCC-dega.

1. Plausible Insights OÜ (Plausible) — Eesti — Küpsisteta auditooriumi mõõtmine. Koondatud lehevaatamised, ligikaudne riik, kasutajaagent, viitaja. Reklaamiküpsist ei ole. Töötlemine EL-is (Eesti). Kontrollige oma kontol valitud majutust.

Teade. See fail on mall, mille StackLégal koostas teie sisestatud teabe põhjal. See ei ole õigusnõuanne ega vastavustunnistus. Vaadake see üle, kohandage seda oma tegeliku tegevusega ja kui panused on suured (tervis, rahandus, lapsed, tundlikud andmed, suurettevõtte kliendid), laske advokaadil see läbi lugeda.

Mall kuupäevaga 6. oktoober 2026. Ainult struktuur: määrus (EL) 2016/679, eelkõige artiklid 12–14, 28, 32 ja 82; direktiiv 2011/83/EL taganemise kohta, kui kaasatud on tarbija; määrus (EL) 2022/2065 (DSA), kui kasutajad avaldavad sisu. Ühtegi siseriiklikku seadust ei viidata nii, nagu see kehtiks kõikjal.

Mall täidetud: Atelier Exemple — https://exemple-saas.example