Volitatud töötleja määramine (GDPR-i artikkel 28)
Käesolev leping (Andmetöötlusleping) reguleerib isikuandmete töötlemist, mida Dentra teostab kliendi nimel projekteerimisteenuse raames. Klient (hambaravikabinet või labor) on Vastutav töötleja; Hundredjack OÜ, mis tegutseb kaubamärgi Dentra all, on Volitatud töötleja. See moodustab Teenusetingimuste lahutamatu osa ja aktsepteeritakse platvormil enne esimese tellimuse esitamist.
See on automaatne tõlge. Selle dokumendi siduv versioon on itaaliakeelne.
1. Eesmärk, rollid ja töödeldavad andmed
Vastutav töötleja: klient (hambaravikabinet või labor), kes määrab oma patsientide andmete töötlemise eesmärgid ja vahendid.
Volitatud töötleja: Hundredjack OÜ (kaubamärk «Dentra»), registrikood 17310584, asukohaga Telliskivi tn 57, 10412 Tallinn (Eesti), kes töötleb andmeid Vastutava töötleja nimel, piirdudes projekteerimistegevusega.
Mõisted, mida ei ole teisiti määratletud, omavad tähendust, mis on neile antud määrusega (EL) 2016/679 (GDPR).
Eesmärk: isikuandmete töötlemine, mis on vajalik Vastutava töötleja tellitud digitaalse projekteerimisteenuse (CAD/CAM) täitmiseks.
Loodus ja eesmärgid: Vastutava töötleja poolt üles laaditud failide ja teabe vastuvõtmine, toote töötlemine ja projekteerimine, ülevaatamine, projekteeritud failide edastamine ja võimalik edastamine näidatud tootmispartnerile.
Kestus: töötlemine kestab lepinguperioodi ja jätkub seaduses sätestatud kohustuste täitmiseks vajaliku aja jooksul, vastavalt Privaatsusteates märgitud säilitamistähtaegadele.
Andmesubjektide kategooriad: Vastutava töötleja patsiendid; Vastutava töötleja personal ja koostööpartnerid, kes platvormi kasutavad.
Andmete liigid: minimaalsed identifitseerimisandmed, mis on vajadusel seotud juhtumiga (tavaliselt anonüümne kood), skaneeringud ja pildid, retsept ja — kui see on seadme vastavusdeklaratsiooniks rangelt vajalik — patsiendi identifitseerimisandmed. Võivad sisalduda terviseandmed (erikategooria vastavalt GDPR-i artiklile 9).
2. Volitatud töötleja kohustused
Volitatud töötleja töötleb andmeid ainult Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas juhised võimalike edastamiste kohta, välja arvatud juhul, kui teda kohustab seda tegema liidu või liikmesriigi õigus, millele ta allub; sellisel juhul teavitab ta Vastutavat töötlejat enne töötlemist, välja arvatud juhul, kui seadus seda keelab.
Käesolevad tingimused, Teenusetingimused ja platvormi kaudu antud toimingud moodustavad Vastutava töötleja dokumenteeritud juhised. Volitatud töötleja teavitab Vastutavat töötlejat, kui ta leiab, et juhis rikub GDPR-i või muid andmekaitsenorme.
Volitatud töötleja tagab, et töötlemiseks volitatud isikud on võtnud endale konfidentsiaalsuskohustuse või neil on asjakohane seadusjärgne konfidentsiaalsuskohustus ning et andmetele juurdepääs on piiratud iga ülesande täitmiseks vajalikuga.
Volitatud töötleja rakendab riskile vastavaid tehnilisi ja organisatsioonilisi meetmeid: juurdepääsu kontroll ja autentimine, andmete krüpteerimine edastamisel ja patsiendi identifitseerimisandmete puhul krüpteerimine puhkeolekus; päringute jälgimine; andmete asukoht Euroopa Liidus peamise infrastruktuuri jaoks. Meetmed on kirjeldatud Privaatsusteates ja turvadokumentatsioonis.
Arvestades töötlemise laadi, abistab Volitatud töötleja Vastutavat töötlejat asjakohaste tehniliste ja organisatsiooniliste meetmetega, et täita andmesubjektide taotlusi (artiklid 12-22) ja tagada turvakohustuste, rikkumiste teatiste ja mõjuhindamise (artiklid 32-36) järgimine.
Volitatud töötleja teavitab Vastutavat töötlejat põhjendamatu viivituseta pärast seda, kui ta on saanud teada andmerikkumisest, mis puudutab tema nimel töödeldud andmeid. Eelkõige peab Volitatud töötleja vastavalt GDPR-i artiklitele 33-34 toetama Vastutavat töötlejat isikuandmete rikkumise (andmerikkumise teatis) teavitamisel pädevatele Andmekaitseametitele ja andmesubjektidele. Sel eesmärgil, näitena ja mitte ammendavalt, peab Volitatud töötleja teavitama Vastutavat töötlejat viivituseta ja igal juhul mitte hiljem kui 48 tunni jooksul pärast avastamist: i. igast olulisest sündmusest, mis on seotud andmete töötlemisega (nt volitamata juurdepääsud või katsed, eeskirjade eiramise asjaolud või sündmused, mis on suurendanud andmesubjektide õiguste riski); ii. oma IT-süsteemide igast turvarikkumisest; iii. igast katsest tungida sellistesse süsteemidesse, mis võiksid mõistlikult ohustada isikuandmete turvalisust; iv. igast teost või sündmusest, sõltumata teo toimepanija identiteedist, mis võib kujutada endast Vastutava töötleja juhiste, Lepingu, käesoleva määramisakti või andmekaitsealaste õigusaktide rikkumist;
3. Alltöötlejad ja andmete edastamine väljapoole Euroopa Liitu
Vastutav töötleja annab Volitatud töötlejale üldise loa kasutada teenuse osutamiseks teisi volitatud töötlejaid (alltöötlejaid). Ajakohastatud loetelu on esitatud Privaatsusteate jaotises «Kolmandate osapoolte teenused».
Volitatud töötleja kehtestab alltöötlejatele käesolevas dokumendis sätestatutega samaväärsed andmekaitsenõuded ja vastutab nende tegevuse eest. Muudatuste korral (alltöötleja lisamine või asendamine) võib Vastutav töötleja esitada vastuväiteid andmekaitsega seotud õigustatud põhjustel.
Alltöötlejate poolt väljaspool Euroopa Liitu toimuv töötlemine toimub piisavate tagatiste alusel (piisavuse otsus või standardsed lepingutingimused), nagu on märgitud Privaatsusteate jaotises «Andmete edastamine väljapoole Euroopa Liitu».
4. Andmete lõpetamine, audit ja kohaldatav õigus
Teenuse lõppemisel, Vastutava töötleja valikul, kustutab või tagastab Volitatud töötleja tema nimel töödeldud isikuandmed ja kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab säilitamist.
Volitatud töötleja teeb Vastutavale töötlejale kättesaadavaks vajaliku teabe, et tõendada artikli 28 kohustuste täitmist, ning võimaldab ja panustab auditeerimistegevusse, sealhulgas kontrollides, kokkulepitud piirides ja viisil ning teiste klientide turvalisust ja konfidentsiaalsust kahjustamata.
Käesolevat lepingut reguleerivad määrus 679/2016 (ehk GDPR) ja kohalikud asjakohased seadused ning see on Teenusetingimuste lahutamatu osa. Itaalia partnerlaborite poolt teostatud seadmete füüsilise tootmise puhul jäävad kehtima Tellimistingimuste sätted.