Andmetöötlusleping (DPA)
Uuendatud: 8. juuli 2026
Käesolev andmetöötlusleping („DPA”) on osa lepingust CarsEXP-i kasutava töökoja („Vastutav töötleja”) ja GBO Eesti OÜ („Volitatud töötleja”, „CarsEXP”) vahel ning reguleerib isikuandmete töötlemist vastutava töötleja nimel vastavalt GDPR artiklile 28. See kehtib automaatselt, kui töötled CarsEXP-is oma klientide isikuandmeid.
1. Rollid
Andmete puhul, mille töökoda CarsEXP-i sisestab (kliendid, sõidukid, tellimused, arved, ülevaatuse meedia), on töökoda vastutav töötleja ja CarsEXP volitatud töötleja. Konto- ja platvormiandmete puhul on vastutav töötleja CarsEXP (vt privaatsuspoliitikat).
2. Ese, olemus ja eesmärk
CarsEXP töötleb isikuandmeid ainult töökoja haldusteenuse osutamiseks: kliendid ja sõidukid, tellimused ja ülevaatused, arved, kliendiportaal, broneeringud ja suhtlus. Kestus on tellimuse periood ja allpool toodud säilitustähtajad.
3. Andmete ja andmesubjektide kategooriad
Andmesubjektid: töökoja kliendid ja nende esindajad. Kategooriad: tuvastus- ja kontaktandmed (nimi, e-post, telefon), sõidukiandmed (number, VIN), teenindusajalugu, arved ja makse staatus, ülevaatuse fotod/märkmed. Eriliiki andmeid teenus ei nõua.
4. Töötlemine dokumenteeritud juhiste alusel
CarsEXP töötleb andmeid ainult vastutava töötleja dokumenteeritud juhiste alusel (sh platvormi seadistamine ja kasutamine), välja arvatud kui seda nõuab EL-i või liikmesriigi õigus (siis teavitab CarsEXP vastutavat töötlejat, kui see pole keelatud).
5. Konfidentsiaalsus
Töötlemiseks volitatud personal on seotud konfidentsiaalsuskohustusega ja pääseb andmetele ligi rangelt teadmisvajaduse alusel.
6. Turvameetmed (art 32)
CarsEXP rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid: range rentnike isolatsioon (andmebaasi RLS + rakenduse filter), krüpteerimine edastamisel ja kettal, tugev autentimine, RBAC, muudetamatu auditlogi, varukoopiad ja seire. Vt lähemalt turvalisuse lehelt.
7. Alltöötlejad
Vastutav töötleja volitab CarsEXP-i kaasama alltöötlejaid, mis on loetletud aadressil /legal/subprocessors (hosting, maksed, sõnumid). CarsEXP seab igale alltöötlejale kohustused, mis pole käesolevast DPA-st vähem kaitsvad, ja teavitab uutest alltöötlejatest ette.
8. Abi vastutavale töötlejale
Arvestades töötlemise olemust, aitab CarsEXP vastutavat töötlejat andmesubjektide taotluste (juurdepääs, parandamine, kustutamine, ülekantavus) ning turvalisuse, rikkumisest teavitamise ja mõjuhinnangute osas. Platvorm pakub iseteenindusliku andmete ekspordi ja kustutamise tööriistu.
9. Isikuandmetega seotud rikkumine
CarsEXP teavitab vastutavat töötlejat põhjendamatu viivituseta pärast vastutava töötleja andmeid puudutavast rikkumisest teadasaamist, andes teabe, mida vastutav töötleja vajab oma teavitamiskohustuse täitmiseks.
10. Kustutamine või tagastamine
Lepingu lõppedes kustutab või tagastab CarsEXP vastutava töötleja isikuandmed tema valikul, välja arvatud kui säilitamist nõuab seadus (nt raamatupidamis-/maksudokumendid arvete kohta). Enne kustutamist saab vastutav töötleja andmed igal ajal eksportida.
11. Auditid
CarsEXP teeb kättesaadavaks artikkel 28 vastavuse tõendamiseks vajaliku teabe ning võimaldab auditeid (sh kontrolle) vastutava töötleja või volitatud audiitori poolt mõistliku etteteatamise ja konfidentsiaalsuse tingimustel.
12. Rahvusvahelised edastused
CarsEXP majutab andmeid EL-is. Kui alltöötleja töötleb andmeid väljaspool EMP-d, tuginevad edastused kaitse piisavuse otsusele või EL-i tüüptingimustele (SCC) koos täiendavate meetmetega. Praegused asukohad on toodud alltöötlejate lehel.
13. Kuidas DPA vormistada
Käesolev DPA kehtib automaatselt CarsEXP-i kasutamisele. Kui su organisatsioon vajab allkirjastatud koopiat, kirjuta privacy@carsexp.com.