Andmetöötlusleping (AVV) — Eesti redaktsioon

1. Ese ja kestus

(1) Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks tarkvara NymTime tarkvarana kui teenusena (SaaS): töögraafikute koostamine, tööajaarvestus töötaja nutitelefoniga NFC-siltidel (asendusena geotuvastusega tegevuskoha kanne ilma NFC-ta), asukohakontroll kande tegemise hetkel, puhkepauside arvestus vastutava töötleja valitud reegli kohaselt, puudumised, saadavuse andmed, vahetuste vahetamine, ettevõtte teated (teadetetahvel), tööajakonto, tundide analüüs, eksport palgaarvestuse jaoks ning valikuliselt dokumentide hoidmine, sealhulgas asjaomase töötaja poolt vaatamine, palgadokumendid, käibeandmed tegevuskohtade kaupa ja sisemine tööjõukulu. Seejuures töötleb ta isikuandmeid vastutava töötleja nimel.

(2) Käesoleva kokkuleppe kestus määratakse kasutuslepingu (üldtingimused, nymtime.com/agb) järgi. See lõpeb koos kasutuslepinguga; punkt 10 kehtib ka pärast seda, kuni kõik andmed on tagastatud või kustutatud.

(3) Vastutava töötleja andmeid salvestatakse üksnes Euroopa Liidus asuvates andmekeskustes. Edastamise ajal läbivad need Cloudflare’i pöördproksi; e-kirjad ja tõuketeated saadetakse 2. lisas nimetatud teenuste kaudu. Seejuures toimuvad edastamised kolmandatesse riikidesse ja nende aluse (IKÜMi artikkel 45 ja artikli 46 lõike 2 punkt c) nimetab 2. lisa.

2. Töötlemise laad ja eesmärk, andmekategooriad ja andmesubjektid

(1) Töötlemise laad ja eesmärk, isikuandmete kategooriad ja andmesubjektide kategooriad on kirjeldatud 1. lisas. Kokkuvõtlikult: põhiandmete haldamine, töögraafik, tööajaarvestus tegevuskoha riigi õiguse kohaselt, puudumised, kande tegemisel tehtud asukohakontrolli tulemus, seadmeandmed, töötajate teated ning — kui vastutav töötleja neid kasutab — dokumendid ja tööjõukulu andmed, igaühel juhul personali töökorralduse kavandamise, tööõiguslike arvestuskohustuste täitmise ja palgaarvestuse ettevalmistamise eesmärgil.

(2) GPS-koordinaate, liikumisteid ega liikumisprofiile ei salvestata. Asukohakontrolli tulemus registreeritakse üksnes kande tegemise hetkel vahetuse ajal kujul „tsoonis“, „väljaspool tsooni“ või „asukoht pole saadaval“ koos ajahetke ja täpsusega; taustal asukohta ei määrata. Kontroll toimub üksnes siis, kui vastutav töötleja on tegevuskoha ja asjaomase töötaja jaoks lõpule viinud tegevuskoha riigi õiguse kohaselt nõutavad sammud ja talletanud need Back Office’is (B osa).

(3) Puudumise põhjus „haigus“ registreeritakse ilma diagnoosita ja haiguse põhjust märkimata. Isikuandmete eriliike IKÜMi artikli 9 tähenduses töödeldakse peale selle üksnes juhul, kui vastutav töötleja kasutab funktsiooni „Arstitõend“: tõend töövõimetuse alguse ja eeldatava kestuse kohta on terviseandmed. Vastutav töötleja võib seda talletada üksnes ulatuses, milles ta võib seda nõuda selle riigi õiguse kohaselt, kus töötaja töötab (õigusnormid nimetab B osa); õiguslik alus on IKÜMi artikli 9 lõike 2 punkt b koostoimes nende õigusnormide ja IKÜMi artikliga 88. Volitatud töötleja piirab juurdepääsu nendele dokumentidele vastutava töötleja poolt selleks volitatud isikute ja asjaomase töötajaga ega analüüsi nende sisu. Vastutav töötleja tagab, et vabateksti väljadesse ja muudesse dokumentidesse ei talletata diagnoose ega muid terviseandmeid.

(4) Lisaks töötleb volitatud töötleja vastutava töötleja nimel: töötajate saadavuse andmeid (vabatahtlik teave planeerimiseks; ei ole töövalmiduses olek ega valveaeg tööajaõiguse tähenduses, ei anna õigust tasule), vahetuste vahetamise pakkumisi ja nõustumisi (sama tegevuskoha ja sama rolli kolleegidele on nähtavad asjaomase vahetuse nimi, roll või osakond ja ajad — mitte kohaloleku- ega tulemuslikkuse andmed), töötaja enda poolt kolleegidele nähtavaks tehtud kontaktandmeid (nõusolek IKÜMi artikli 6 lõike 1 punkti a alusel, vaikeseade „väljas“, nõusoleku võib IKÜMi artikli 7 lõike 3 kohaselt igal ajal tagasi võtta, mis jõustub rakenduses kohe), ettevõtte teadete (teadetetahvel) lugemiskinnitusi ning registreeritud puhkepause ja lühikesi pause koos märkega „Paus registreerimata“. Märge on mõeldud üksnes tööajaarvestuse parandamiseks ega ole sanktsioon ega tulemuslikkuse hindamine; parandamise teeb vastutava töötleja poolne isik koos põhjendusega.

(5) Tegevuskohtade kaupa käibeandmed, mille vastutav töötleja näitajate jaoks sisestab või impordib, on seotud tegevuskohaga, mitte isikutega, ja ei ole iseenesest isikuandmed; neid analüüsitakse üksnes koos tööjõukuluga, mis on kättesaadav üksnes vastutava töötleja juhtkonnale ja juhtkonna poolt selleks lubatud juhtidele.

3. Vastutava töötleja juhised (artikli 28 lõike 3 punkt a)

(1) Volitatud töötleja töötleb isikuandmeid üksnes vastutava töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui liidu või Austria õigus kohustab teda töötlema; sellisel juhul teavitab ta vastutavat töötlejat sellest kohustusest enne töötlemist, välja arvatud juhul, kui asjaomane õigus seda keelab.

(2) Juhised antakse Back Office’i konfiguratsiooni kaudu — eelkõige tegevuskohad ja tegevuskoha tsoon, rollid ja õigused, pausireegel tegevuskohtade kaupa, saadavuse andmete esitamise tähtaeg, vahetuste vahetamise kinnitamise nõue, dokumentide nähtavus töötajatele, säilitamistähtajad, asukohakontrolli aktiveerimine kande tegemisel tegevuskohtade ja töötajate kaupa Back Office’is talletatud riigi sammude kohaselt, toe juurdepääsu lubamine (Seaded → Tellimus → Toe juurdepääs), eksport ja kustutamine — ning kirjalikult aadressil office@nymtime.com, kusjuures piisab e-kirjast (kokkulepitud vorm § 886 ABGB (Austria tsiviilseadustiku säte kirjaliku vormi kohta) kohaselt). Vastutav töötleja määrab, millistel tema kasutajatel on õigus juhiseid anda (roll „juhtkond“).

(3) Kui volitatud töötleja leiab, et juhis on andmekaitseõiguse kohaselt lubamatu, teavitab ta sellest viivitamata vastutavat töötlejat ja võib juhise täitmise peatada, kuni juhis kinnitatakse või seda muudetakse.

4. Konfidentsiaalsus (artikli 28 lõike 3 punkt b)

(1) Volitatud töötleja tagab, et kõik isikud, kellel on luba isikuandmeid töödelda, on võtnud endale konfidentsiaalsuskohustuse või neil on asjakohane seadusjärgne konfidentsiaalsuskohustus ning et see kohustus kehtib ka pärast tegevuse lõppemist.

(2) Tavapärase tegevuse käigus ei pääse volitatud töötleja kliendikonto sisule juurde. Toe juurdepääs on võimalik üksnes siis, kui vastutav töötleja selle Back Office’is sõnaselgelt lubab — koos ulatuse, kestuse ja võimalusega see igal ajal tagasi võtta. Iga juurdepääs talletatakse vastutava töötleja auditilogis koos ajahetke, isiku ja toiminguga.

5. Isikuandmete töötlemise turvalisus (artikli 28 lõike 3 punkt c, artikkel 32)

(1) Volitatud töötleja rakendab 3. lisas kirjeldatud tehnilisi ja korralduslikke meetmeid ja säilitab need kogu lepingu kehtivuse ajal. Ta kontrollib neid korrapäraselt ja kohandab need tehnika taseme järgi.

(2) Volitatud töötleja võib meetmeid edasi arendada ja asendada samaväärsetega, tingimusel et kaitsetase ei lange. Olulised muudatused dokumenteeritakse 3. lisas ja kuvatakse vastutavale töötlejale Back Office’is.

6. Teised volitatud töötlejad (artikli 28 lõiked 2 ja 4, lõike 3 punkt d)

(1) Vastutav töötleja annab üldise loa kasutada 2. lisas nimetatud teisi volitatud töötlejaid. Iga teise volitatud töötlejaga on sõlmitud leping, millega pannakse talle samad andmekaitsekohustused, mis käesoleva kokkuleppega on pandud volitatud töötlejale.

(2) Kui volitatud töötleja kavatseb kaasata teise volitatud töötleja või selle asendada, teavitab ta vastutavat töötlejat sellest vähemalt 30 päeva ette e-posti teel ja Back Office’is. Vastutav töötleja võib selle tähtaja jooksul mõjuval andmekaitsealasel põhjusel esitada vastuväite; kui kokkuleppele ei jõuta, võib kumbki pool kasutuslepingu jooksva kuu lõpuks üles öelda.

(3) Isikuandmeid edastatakse väljapoole Euroopa Majanduspiirkonda asuvasse kolmandasse riiki üksnes juhul, kui IKÜMi artiklites 44–49 sätestatud tingimused on täidetud (kaitse piisavuse otsus või IKÜMi artikli 46 lõike 2 punkti c kohased andmekaitse-tüüptingimused). Volitatud töötleja vastutab teiste volitatud töötlejate eest nagu oma tegevuse eest.

7. Abi andmesubjekti õiguste tagamisel (artikli 28 lõike 3 punkt e)

(1) Volitatud töötleja abistab vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega, et vastata seadusjärgsete tähtaegade jooksul andmesubjektide taotlustele, mis käsitlevad juurdepääsu, parandamist, kustutamist, töötlemise piiramist, isikuandmete ülekandmist ja vastuväidete esitamist (IKÜMi artiklid 15–22).

(2) Selleks on tootes olemas: oma tööajaarvestuse vaatamine ja igakuine eksport töötaja rakenduses (IKÜMi artiklid 15 ja 20); kõigi töötaja andmete eksport Back Office’ist; parandused koos logiga; arhiveerimine, anonüümimine ja kustutamine säilitamistähtaegade kohaselt; töötaja rakenduses töötaja taotlus oma konto kustutamiseks, mis edastatakse otsustamiseks vastutavale töötlejale (tööajaarvestus säilitatakse B osa kohase seadusjärgse aja jooksul).

(3) Kui andmesubjekt esitab taotluse otse volitatud töötlejale, edastab volitatud töötleja selle viivitamata vastutavale töötlejale ega vasta sellele ise, välja arvatud juhul, kui vastutav töötleja on andnud selleks juhise.

8. Isikuandmetega seotud rikkumistest teatamine (artikli 28 lõike 3 punkt f, artikkel 33)

(1) Volitatud töötleja teatab vastutavale töötlejale igast isikuandmetega seotud rikkumisest viivitamata, kuid mitte hiljem kui 48 tunni jooksul pärast sellest teada saamist, e-posti teel kontaktisiku aadressile. Teade sisaldab IKÜMi artikli 33 lõike 3 kohast teavet: rikkumise laad, asjaomaste andmesubjektide ja isikuandmete kirjete kategooriad ja ligikaudne arv, tõenäolised tagajärjed, võetud ja kavandatud meetmed ning kontaktpunkt.

(2) Volitatud töötleja abistab vastutavat töötlejat järelevalveasutusele 72 tunni jooksul teatamisel (artikkel 33) ja andmesubjektide teavitamisel (artikkel 34) ning dokumenteerib kõik rikkumised koos nende mõju ja parandusmeetmetega.

9. Andmekaitsealane mõjuhinnang ja eelnev konsulteerimine (artikli 28 lõike 3 punkt f, artiklid 35 ja 36)

(1) Töötajate kohaloleku süstemaatiline registreerimine võib nõuda andmekaitsealast mõjuhinnangut IKÜMi artikli 35 lõike 3 punkti a kohaselt. Volitatud töötleja teeb selleks vastutavale töötlejale kättesaadavaks NymTime’i andmekaitsealase mõjuhinnangu malli ja toote tehnilised andmed ning abistab teda järelevalveasutusega võimaliku eelneva konsulteerimise korral (artikkel 36).

(2) Oma kasutuse kohta andmekaitsealase mõjuhinnangu tegemine, hinnangu andmine selle kohta, kas asjaomase riigi õigus nõuab asukohakontrolli jaoks kollektiivlepingut või kokkulepet töötajate esindusega, konsulteerimist, teavitamist või nõusolekut, ning nende sõlmimine või saamine on vastutava töötleja kohustus. Volitatud töötleja pakub selleks riikide kaupa kontrollnimekirju ja malle; need ei asenda õigusnõustamist.

10. Kustutamine ja tagastamine pärast lepingu lõppemist (artikli 28 lõike 3 punkt g)

(1) Pärast kasutuslepingu lõppemist saab vastutav töötleja oma andmed 30 päeva jooksul Back Office’ist täielikult eksportida (Excel, CSV, dokumendid algvormingus). Selle tähtaja möödumisel kustutab volitatud töötleja kõik vastutava töötleja isikuandmed, välja arvatud juhul, kui liidu õigus või Austria õigus kohustab volitatud töötlejat ennast neid säilitama; sellisel juhul piiratakse töötlemine säilitamisega. Vastutava töötleja säilitamiskohustused (tegevuskoha riigi õiguse kohaselt, B osa) jäävad tema enda kohustuseks (üldtingimuste § 14 lõige 3); ta täidab need õigeaegse ekspordiga.

(2) Kustutamist kinnitatakse vastutavale töötlejale tema nõudmisel kirjalikult. Varukoopiad kirjutatakse üle hiljemalt 35 päeva pärast esmaste andmete kustutamist.

(3) Lepingu kehtivuse ajal võib vastutav töötleja üksikuid töötajaid arhiveerida, anonüümida või kustutada ja määrata ise andmeliikide kaupa säilitamistähtajad seadusjärgsete miinimumväärtuste piires. Igapäevane käivitus rakendab tähtaegu ja logib kustutatud kirjete arvu ja andmeliigi.

11. Tõendamine ja auditid (artikli 28 lõike 3 punkt h)

(1) Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik IKÜMi artiklis 28 sätestatud kohustuste täitmise tõendamiseks, eelkõige käesoleva kokkuleppe, lisad, IKÜMi artikli 30 lõike 2 kohase registri ning tehniliste ja korralduslike meetmete kontrollimise aruanded.

(2) Vastutav töötleja või tema volitatud, konfidentsiaalsuskohustusega seotud audiitor võib käesoleva kokkuleppe täitmist kontrollida pärast mõistlikku, vähemalt 14-päevast etteteatamist tavapärasel tööajal, kõige rohkem üks kord kalendriaastas, välja arvatud juhul, kui isikuandmetega seotud rikkumine või järelevalveasutuse korraldus nõuab täiendavat kontrolli. Volitatud töötleja osaleb auditites.

(3) Volitatud töötleja teavitab vastutavat töötlejat viivitamata, kui tema arvates rikub juhis IKÜMi või liidu või Austria muid andmekaitsenorme.

12. Vastutus ja lõppsätted

(1) Poolte vastutus määratakse IKÜMi artikli 82 ja muus osas üldtingimuste § 15 kohaselt. Poolte omavahelistes suhetes vastutab kumbki pool talle käesoleva kokkuleppe ja IKÜMi kohaselt pandud kohustuste rikkumise eest.

(2) Kohaldatakse Austria õigust, välja arvatud rahvusvahelise eraõiguse kollisiooninormid. Ainsa kohtualluvusena lepitakse § 104 JN (Austria kohtualluvuse seadus, Jurisdiktionsnorm) kohaselt — vastutavate töötlejatega, kelle asukoht on teises liikmesriigis, lisaks määruse (EL) nr 1215/2012 (Brüsseli I bis) artikli 25 kohaselt — kokku Viini Innere Stadti sisuliselt pädeva kohtu alluvuses. Käesoleva kokkuleppe muudatused ja täiendused peavad olema kirjalikud; pooled lepivad selleks § 886 ABGB kohaselt kokku lihtsustatud vormis, piisab e-kirjast talletatud aadressile. See kehtib ka selle nõude tühistamise kohta.

(3) Käesoleva kokkuleppe elektrooniline kinnitamine ostu sooritamisel või, kui volitatud töötleja on kliendikonto loonud taotluse alusel, juhtkonna esimesel sisselogimisel Back Office’isse — koos ajahetke, versiooni, kinnitatud dokumendi teksti kontrollsumma (SHA-256), IP-aadressi ja kasutajaga — talletatakse kliendikontol ja loetakse sõlmimiseks elektroonilises vormis IKÜMi artikli 28 lõike 9 tähenduses. Käesoleva kokkuleppe ja üldtingimuste vastuolu korral on andmekaitseküsimustes ülimuslik käesolev kokkulepe.

1. lisa — Töötlemise ese: andmekategooriad, andmesubjektid, eesmärgid

Isikuandmete kategooriad (iga kategooria puhul: andmed — eesmärk — vastutava töötleja õiguslik alus):

• Põhiandmed: nimi, e-posti aadress, telefoninumber, ametikoht, roll, tegevuskoha määramine, personalinumber, töösuhte liik, töölevõtmise ja töölt lahkumise kuupäev — haldamine, töögraafik, arveldamine — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Lepinguandmed (kokkulepe): lepinguline tööaeg (tunnid nädalas, kuus või aastas), töösuhte kategooria (täistööaeg, osaline tööaeg, alla 18-aastased noored, õpipoisiõpe, hooajatöö, muu), summeeritud tööaja arvestusperiood, kohaldatav kollektiivleping, puhkuse õigus päevades, igaühel juhul koos kehtivuse alguse ja versiooniajalooga — töögraafik, tööajakonto, puhkusejääk, tööaja õiguslike piiride kontroll — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Töögraafik: kavandatud vahetused, rollid, minimaalne koosseis, vabad vahetused, avaldamise ja kinnitamise ajahetked (kes graafiku millal avaldas, millal töötaja selle nägi ja kinnitas), avaldamisjärgsed muudatused koos põhjendusega — personali töökorralduse kavandamine, õigeaegse teatavakstegemise tõendamine — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Saadavus: märge päeva või poolpäeva kaupa („saadaval“, „pigem mitte“, „ei ole saadaval“), sisestamise ajahetk — vabatahtlik teave planeerimiseks, ei ole töövalmiduses olek ega valveaeg tööajaõiguse tähenduses — IKÜMi artikli 6 lõike 1 punkt b.
• Vahetuste vahetamine: pakkumine, sama tegevuskoha ja sama rolli kolleegide vastused (neile nähtav: nimi, roll või osakond, vahetuse ajad), juhi otsus, tööaja õiguslike piiride kontrolli tulemus — personali töökorralduse kavandamine — IKÜMi artikli 6 lõike 1 punkt b.
• Kontaktide jagamine (kontaktid): märge selle kohta, kas töötaja on teinud oma telefoninumbri ja e-posti aadressi sama tegevuskoha kolleegidele nähtavaks, koos nõusoleku andmise ja võimaliku tagasivõtmise ajahetkega — meeskonnas kättesaadavus — nõusolek IKÜMi artikli 6 lõike 1 punkti a alusel, vaikeseade „väljas“, nõusoleku võib igal ajal tagasi võtta IKÜMi artikli 7 lõike 3 kohaselt.
• Ettevõtte teated (teadetetahvel): tekst, adressaatide ring, kehtivus, iga töötaja lugemiskinnitus koos ajahetkega — ettevõttesisese teabega tutvumise tõendamine — IKÜMi artikli 6 lõike 1 punktid b ja f; ei ole tulemuslikkuse kontroll.
• Tööajaarvestus: tegelik algus ja lõpp, puhkepausid (tasustamata; vahetuste kaupa kavandatud pausiplokid, tasustatud või tasustamata, ning tegevuskoha juhi poolt kinnitatud paus koos töötlejaga) ja lühikesed pausid koos märkega „Paus registreerimata“, registreerimisviis (NFC või tegevuskoha kanne ilma NFC-ta), kõrvalekallete logi lepingulise tööaja korral (kinnitatud päevad „plaanipäraselt“, tegelikud ajad kõrvalekalde korral, töötaja teade ja juhi kinnitus), tööajakonto arvestusperioodide kaupa (lepingulised tunnid, arvestatud tunnid, saldo, ülekanne ja perioodi sulgemine), parandused koos põhjenduse ja töötlejaga — arvestuskohustus tegevuskoha riigi õiguse kohaselt (B osa) — IKÜMi artikli 6 lõike 1 punkt c.
• Puudumised: liik (puhkus, haigus, vaba aeg ületundide eest, hoolduspuhkus, püha, eripuhkus, koolitus, palgata), ajavahemik, olek, töötleja; haiguse puhul ilma diagnoosita — töögraafik, tasu maksmise jätkamine — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Asukohakontroll kande tegemisel: tulemus „tsoonis“, „väljaspool tsooni“ või „asukoht pole saadaval“ koos ajahetke ja täpsusega meetrites; ei koordinaate ega liikumisteid — kande usutavus — tegevuskoha riigi õiguse kohaselt (B osa); IKÜMi artikkel 88.
• Seadistamise tõendid (vastavus): vastutava töötleja andmed riigi, ettevõtte suuruse ja töötajate esinduse kohta, üles laaditud kokkulepped ja protokollid, andmekaitsealase mõjuhinnangu kuupäev, iga töötaja teadmiseks võtmised ja nõusolekud koos ajahetke ja dokumendi versiooniga, tagasivõtmised — tõendamine, et riigisisese õiguse kohaselt nõutavad sammud on tehtud enne funktsiooni lubamist — IKÜMi artikli 6 lõike 1 punktid c ja f, nõusolekute puhul IKÜMi artikkel 7.
• Seadmeandmed: seadme identifikaator, avalik võti, mudel ja operatsioonisüsteemi versioon, teavituste tõukeluba (push-token), olek (aktiivne, asendatud, lukustatud), registreerimise ajahetk — üks seade isiku kohta, võltsimisvastane kaitse — IKÜMi artikli 6 lõike 1 punkt f.
• Töötaja teated: „tulen hiljem“, „täna mitte“, vabatekst ettevõttele — vahetuse korraldamine — IKÜMi artikli 6 lõike 1 punkt b.
• Dokumendid (valikuline): sotsiaalkindlustusse registreerimine, kirjalik teave oluliste töötingimuste kohta, tööleping, tõendid koos võimaliku kehtivuse lõppkuupäevaga, ettevõtte nõutud ja töötaja üles laaditud dokumendid, palgalehed ja aasta palgateatised koos automaatselt pakutud väljade ja kontrollimärkega, igaühel juhul koos märkega selle kohta, kas dokument on asjaomasele töötajale rakenduses nähtav — personalitoimik, palgaarvestuse ettevalmistamine — IKÜMi artikli 6 lõike 1 punkt c koostoimes tegevuskoha riigi õigusega (B osa); need dokumendid võivad sisaldada riiklikke identifitseerimisnumbreid (näiteks sotsiaalkindlustusnumber), mida vastutav töötleja talletab üksnes oma riigi õiguse raames. Palgadokumente näevad üksnes juhtkond, vastutava töötleja poolt sõnaselgelt volitatud isikud ja asjaomane töötaja; iga juurdepääs logitakse. Säilitamine: palgadokumendid andmeliigi „Palgadokumendid“ kohaselt (tähtaeg ja selle algus B osa järgi), ülejäänud dokumendid andmeliigi „Töötajate dokumendid“ kohaselt.
• Arstitõend (valikuline): töövõimetuse algus ja eeldatav kestus ilma diagnoosita — haiguse tõendamine ja tasu maksmise jätkamine — terviseandmed, IKÜMi artikli 9 lõike 2 punkt b koostoimes selle riigi õigusnormiga, kus töötaja töötab ja mille kohaselt tööandja võib tõendit nõuda (B osa). Kui töövõimetusest teatatakse elektrooniliselt sotsiaalkindlustusasutuse kaudu, talletab vastutav töötleja üksnes talle ettenähtud teabe ilma diagnoosita; kui tõend sisaldab diagnoosikoodi, muudab ta selle enne üleslaadimist loetamatuks. Juurdepääs üksnes juhtkonnale, vastutava töötleja poolt selleks sõnaselgelt volitatud isikutele ja asjaomasele töötajale; iga juurdepääs logitakse. Säilitamine andmeliigi „Töötajate dokumendid“ kohaselt.
• Tööjõukulu (valikuline, nähtav juhtkonnale ja juhtkonna poolt lubatud juhtidele („Tööjõukulu“)): brutopalk koos ajalooga (summa, ühik, palkade arv aastas, nädalatunnid, töösuhte liik, tööandja kulumäär), lisatasud, ettemaksed, korrigeerimised koos ajalooga — sisemine kalkulatsioon — IKÜMi artikli 6 lõike 1 punkt f.
• Käibeandmed tegevuskohtade kaupa (valikuline): päevakäive ja sihtväärtus — tööjõukulu osakaalu näitaja — ei ole isikuandmed; neid analüüsitakse üksnes koos tööjõukuluga.
• Logid: auditilogi (kes, mida, millal, enne/pärast), teavitused — tõendamine, turvalisus — IKÜMi artikli 5 lõige 2 ja artikkel 32.
• Andmesubjektide kategooriad: vastutava töötleja töötajad, töövõtu- või käsunduslepingu alusel töötavad isikud, renditöötajad, praktikandid ja õpipoisid. Back Office’i kasutajad (juhtkond, juhid, maksunõustajad) ja vastutava töötleja kontaktisik ei kuulu käesoleva kokkuleppe esemesse; nende andmete osas on volitatud töötleja ise vastutav töötleja (privaatsuspoliitika, punktid 6 ja 7).
• Eesmärgid: personali töökorralduse kavandamine; tööaja, sealhulgas puhkepauside arvestamise kohustuse täitmine tegevuskoha riigi õiguse kohaselt; kande usutavus; puudumiste haldamine; saadavuse, vahetuste vahetamise ja ettevõtte teadete korraldamine; personalidokumentide hoidmine ja kättesaadavaks tegemine; palgaarvestuse ettevalmistamine; süsteemi turvalisus ja jälgitavus.
• Säilitamine (vastutav töötleja võib seda muuta seadusjärgsete miinimumväärtuste piires): tööajaarvestuse, auditilogi, töötajate dokumentide (andmeliik „employee_documents“, sealhulgas üles laaditud tõendid ja arstitõendid), palgadokumentide, tööjõukulu ja arhiveeritud töötajaprofiilide (seejärel anonüümimine) vaikeväärtused ja miinimumväärtused nimetab B osa tegevuskoha riigi õiguse kohaselt; kohaloleku algsündmused 3 kuud, lühemalt, kui riigi õigus seda nõuab (B osa); teated 12 kuud; teavitused 6 kuud. Saadavuse andmed, vahetustehingud ja lugemiskinnitused kustutatakse koos vastava töögraafiku või teatega, kuid hiljemalt 12 kuu pärast.

2. lisa — Lubatud teised volitatud töötlejad

Seisuga 28. september 2026. Volitatud töötleja kasutab järgmisi teisi volitatud töötlejaid; kehtiv loetelu on nähtav Back Office’is jaotises Seaded → Tellimus.

• Teenuse majutamine (serverid, andmebaas, failide hoidmine, varukoopiad): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Saksamaa — andmekeskus Falkenstein (Saksamaa, piirkond fsn1), objektisalvestus (Object Storage) samas piirkonnas. Tagatis: andmetöötlusleping IKÜMi artikli 28 kohaselt; töötlemist väljaspool ELi ei toimu.
• Veebisaidi nymtime.com majutamine ja edastamine ning kogu andmeliikluse suunamine aadressidele api.nymtime.com, app.nymtime.com ja admin.nymtime.com (pöördproksi, edastuskrüpteerimine, kaitse ülekoormusrünnete eest): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, USA). TLS-ühendus lõpeb Cloudflare’is; seega töötleb Cloudflare tehniliselt kõiki edastatavaid andmeid, sealhulgas töötajate andmeid edastamise ajal, kuid ei salvesta teenuse sisu — vahemällu salvestatakse üksnes staatilised failid, lisaks ühenduslogid rünnete tõrjumiseks. Tagatis: andmetöötlusleping IKÜMi artikli 28 kohaselt; edastamine USAsse ELi-USA andmekaitseraamistiku (EU-US Data Privacy Framework) kohase sertifitseerimise (IKÜMi artikkel 45) ja andmekaitse-tüüptingimuste (IKÜMi artikli 46 lõike 2 punkt c) alusel.
• E-kirjade saatmine (sisselogimis- ja kutselingid, töötaja rakenduse aktiveerimiskoodid, teavitused, lepingu- ja maksete teated, arved): Resend, Inc., San Francisco, USA — saatmine teenuse Amazon Simple Email Service kaudu piirkonnas eu-west-1 (Iirimaa). Töödeldavad andmed: saaja aadress, sõnumi teema, sisu ja kättetoimetamise olek. Tagatis: andmetöötluse lisa (Data Processing Addendum) 28.09.2026 (IKÜMi artikkel 28); edastamine USAsse ELi-USA andmekaitseraamistiku (IKÜMi artikkel 45) ja andmekaitse-tüüptingimuste (IKÜMi artikli 46 lõike 2 punkt c) alusel.
• Tõuketeated töötaja rakendusele: Expo (650 Industries, Inc., USA), kättetoimetamine seadmetele teenuse Apple Push Notification service (Apple Inc.) või Firebase Cloud Messaging (Google) kaudu. Töödeldavad andmed: seadme tõukeluba (push-token), teavituse identifikaator ja liik, üldine tekst ilma isikuandmeteta. Tagatis: andmetöötlusleping IKÜMi artikli 28 kohaselt; edastamine USAsse ELi-USA andmekaitseraamistiku (IKÜMi artikkel 45) ja andmekaitse-tüüptingimuste (IKÜMi artikli 46 lõike 2 punkt c) alusel.
• Väljade automaatne tuvastamine dokumentides (üksnes siis, kui vastutav töötleja selle funktsiooni aktiveerib): teenusepakkuja, kes töötleb andmeid ELis ega kasuta andmeid treenimise eesmärgil — lisatakse siia enne funktsiooni aktiveerimist; seni on funktsioon välja lülitatud.
• Aadressiotsing Back Office’is (soovitused tegevuskoha aadressi sisestamisel): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Saksamaa (teenus Photon, serverid ELis; andmete alus OpenStreetMap, ODbL 1.0). Edastatakse üksnes sisestatud aadressitekst; päringu teeb meie server, mitte brauser. Töötajate andmeid ei edastata. Asendusena rikke korral: OpenStreetMap Foundationi teenus Nominatim, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Ühendkuningriik — sihtasutusega ei ole võimalik andmetöötluslepingut sõlmida; teenus saab üksnes aadressiteksti ja sellelt tehakse päring üksnes varulahendusena.

Täielikkuse huvides — iseseisvad vastutavad töötlejad, mitte teised volitatud töötlejad: Euroopa Komisjon, Rue de la Loi 200, 1049 Brüssel, Belgia (vastutava töötleja käibemaksukohustuslase registreerimisnumbri kinnitamine käibemaksualase teabevahetuse süsteemis VIES; edastatakse üksnes riigikood ja käibemaksukohustuslase registreerimisnumber, õiguslik alus IKÜMi artikli 6 lõike 1 punkt c koostoimes § 11 Abs 1a UStG 1994 (Austria käibemaksuseadus); töötajate andmeid ei edastata), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Iirimaa (maksete töötlemine, arvete esitamine ja tellimuste haldamine vastutava töötleja kui kliendi jaoks; edastamine ettevõttele Stripe, Inc. (USA) ELi-USA andmekaitseraamistiku ja andmekaitse-tüüptingimuste alusel) ning Österreichische Post AG, Rochusplatz 1, 1030 Wien, või kullerteenus (NFC-siltide kättetoimetamine äri- või tarneaadressile; saab üksnes saatmisandmed: ärinimi, kontaktisik, aadress, vajaduse korral telefoninumber). Ükski neist vastuvõtjatest ei töötle vastutava töötleja töötajate andmeid.

3. lisa — Tehnilised ja korralduslikud meetmed (IKÜMi artikkel 32)

Volitatud töötleja rakendab eelkõige järgmisi meetmeid:

• Füüsilise ja süsteemidele juurdepääsu kontroll: teenust käitatakse üksnes ELis asuvates andmekeskustes; füüsilise juurdepääsu kontroll ja ISO 27001 kohane sertifitseerimine on nõuded teenuse majutusteenuse pakkujale (Hetzner Online GmbH, 2. lisa); haldusjuurdepääs üksnes isikustatud kontode kaudu SSH-võtmetega, kaheastmeline autentimine halduskonsooli jaoks samuti nõudena majutusteenuse pakkujale; ühiskasutuses kontot ei ole.
• Juurdepääsukontroll tootes: rollidel ja õigustel põhinev õiguste süsteem (juhtkond, juhid, töötajad, muud üksikute õigustega rollid), juhtide piiramine neile määratud tegevuskohtadega; tööjõukulu andmed üksnes juhtkonnale; arstitõendid ja palgadokumendid üksnes juhtkonnale, vastutava töötleja poolt sõnaselgelt volitatud isikutele ja asjaomasele töötajale, iga juurdepääs neile logitakse; sisselogimine Back Office’isse isikustatud kasutajakontode kaudu, kus kasutajatunnus on e-posti aadress ja parool salvestatakse üksnes juhusliku soolaga räsiväärtusena (scrypt) — parooli määramine ühekordse lingi kaudu (kehtib 24 tundi), lähtestamine ühekordse lingi kaudu (kehtib 1 tund), uue e-posti aadressi kinnitamine uuele aadressile saadetud koodiga, 15-minutiline lukustus pärast 10 ebaõnnestunud katset, kõigi olemasolevate seansside lõpetamine iga paroolimuudatuse korral, seansiküpsis, mis aegub 14 päeva pärast, valikuline kaheastmeline autentimine (TOTP-rakendus, vastutav töötleja saab selle aktiveerida kogu ettevõtte jaoks, taastekoodid üksnes räsiväärtusena, TOTP-saladus salvestatakse krüpteeritult); töötaja rakenduse aktiveerimine talletatud e-posti aadressile saadetud ühekordse koodiga (piiratud kehtivus, kõige rohkem 5 katset, päringud aadressi ja IP-aadressi kohta piiratud); juurdepääsud logitakse.
• Seadme sidumine: täpselt üks aktiivne seade töötaja kohta; krüptograafiline võtmepaar seadme turvalises mälus; iga registreerimine allkirjastatakse seadme poolt; uus seade seotakse üksnes pärast e-posti koodi kinnitamist ja tegevuskohal kohaloleku tõendamist (NFC-silt või asukohakontroll) — senine seade lukustatakse seejuures automaatselt, ettevõtet teavitatakse ja vahetus logitakse; ettevõte võib seadme igal ajal lukustada.
• NFC-sildid: NXP NTAG 424 DNA, seadistatud dünaamilisele, iga puudutuse puhul krüptograafiliselt allkirjastatud sõnumile (Secure Unique NFC) koos loenduri kontrolliga — kavandatud kopeerimise ja taasesitamise vältimiseks; kiibi võtit ei avaldata telefonile ega kasutajatele; tegevuskoha tahvlil olev QR-kood viib üksnes töötaja rakenduse allalaadimislehele ega ole registreerimisviis; tegevuskoha kanne ilma NFC-ta üksnes tegevuskoha tsooni piires.
• Võimalikult väheste andmete kogumine: koordinaate ega liikumisteid ei salvestata; registreerimisel fotosid ei tehta — pildid jõuavad süsteemi üksnes töötaja enda üles laaditud dokumentidena (näiteks arstitõend); asukohast üksnes kande tegemisel tehtud kontrolli tulemus („tsoonis“, „väljaspool tsooni“, „asukoht pole saadaval“, ajahetk, täpsus); taustal asukohta ei määrata; kontroll üksnes vahetuse ajal ja alles siis, kui tegevuskoha riigi õiguse kohased sammud on Back Office’is talletatud; algsündmused kustutatakse 3 kuu pärast, lühemalt, kui riigi õigus seda nõuab; tõuketeated ilma isikuandmeteta.
• Krüpteerimine: edastamine üksnes TLS 1.2 või uuema kaudu (kuni Cloudflare’i pöördproksini ja sealt uuesti krüpteerituna kuni teenuse serveriteni); andmebaas asub majutusteenuse pakkuja juures LUKS-iga (dm-crypt, AES-XTS) krüpteeritud köidetel; dokumendid krüpteerib rakendus enne objektisalvestusse talletamist AES-256-GCM-iga, võtmed asuvad üksnes rakendusserverites; andmebaasi varukoopiad krüpteerib pgBackRest enne objektisalvestusse talletamist AES-256-ga; võtmed ja juurdepääsuandmed väljaspool lähtekoodi; paroolid ja sisselogimiskoodid üksnes juhusliku soolaga räsiväärtusena.
• Terviklus ja jälgitavus: muutumatu auditilogi (lisamine lubatud, muutmine ja kustutamine andmebaasireegliga takistatud) kõigi turvalisuse seisukohast oluliste toimingute kohta; üksnes pehme kustutamine (soft delete) koos ajatempliga; tööaja parandused koos põhjenduse, töötleja ja varasema väärtusega.
• Serverilogid: rakendusserverite (liides, veebiserver) logid sisaldavad IP-aadresse, kuid mitte dokumentide sisu ega palgaandmeid; neid roteeritakse suuruse järgi (kõige rohkem viis faili, igaüks 10 MB, teenuse kohta) ja kustutatakse hiljemalt 30 päeva pärast.
• Käideldavus: kaks andmebaasiserverit pideva replikatsiooniga; igapäevased varukoopiad (iganädalaselt täielikud, iga päev diferentsiaalsed, lisaks tehingulogide pidev arhiveerimine) kuni 35-päevase säilitamisega, krüpteeritult majutusteenuse pakkuja ELis asuvas objektisalvestuses; igakuine automaatne taastamistest; seire koos häiretega; registreerimiste ajutine salvestamine seadmes ühenduse katkemise korral.
• Eraldamine: kliendiandmete loogiline eraldamine organisatsioonivõtme abil igas päringus; eraldi keskkonnad arenduse, testimise ja tootmise jaoks; tootmisandmeid test- ega arenduskeskkondades ei ole.
• Säilitamine ja kustutamine: andmeliikide kaupa seadistatavad tähtajad koos jõustatud seadusjärgsete miinimumväärtustega; igapäevane automatiseeritud kustutamis- ja anonüümimiskäivitus koos logiga; tagastamine ja kustutamine punkti 10 kohaselt.
• Toe juurdepääs: tavapärase tegevuse käigus ei ole volitatud töötlejal juurdepääsu kliendiandmetele; juurdepääs üksnes pärast vastutava töötleja luba koos ulatuse, kestuse ja võimalusega see igal ajal tagasi võtta; iga juurdepääs logitakse.
• Korraldus: kõigi osaliste konfidentsiaalsuskohustus; dokumenteeritud protsess isikuandmetega seotud rikkumiste korral koos teatamisega 48 tunni jooksul; töötlemistoimingute register IKÜMi artikli 30 lõike 2 kohaselt; nende meetmete iga-aastane läbivaatamine; turvauuendused mõistliku aja jooksul; lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtted (IKÜMi artikkel 25) arendusprotsessis.

B1. Õiguslikud alused töösuhte kontekstis

(1) Töösuhte kontekstis toimuvale töötlemisele kohaldatakse IKÜMi artiklit 88, töölepingu seaduse (TLS) § 28 lõike 2 punkte 4, 7 ja 11 ning 30 või enama töötaja korral töötajate usaldusisiku seaduse (TUIS) §-e 17–21. Eraldi seadust töötajate jälgimise kohta Eestis ei ole.

(2) Enne töötlemist koostab vastutav töötleja kirjaliku õigustatud huvi analüüsi, nagu Andmekaitse Inspektsioon seda ootab, ning teavitab töötajaid üldiselt (töökorralduse reeglid) ja eelnevalt konkreetselt (IKÜMi artikkel 13). 30 või enama töötaja korral teavitab ta kirjalikult usaldusisikut või töötajaid; volitatud töötleja aktiveerib registreerimise kõige varem 15 tööpäeva pärast seda ja, kui konsulteerimist taotleti, alles pärast selle lõppemist. Asukohakontroll kande tegemisel (A osa punkti 2 lõige 2 ja 1. lisa) eeldab lisaks iga tegevuskoha põhjendust ja õigustatud huvi analüüsi vastavat osa (IKÜMi artikli 6 lõike 1 punkt f), lauset töökorralduse reeglites ja asjaomaste töötajate eelnevat konkreetset teavitamist, mille vastutav töötleja talletab Back Office’is.

B2. Tööajaarvestus

Tööajaarvestus (A osa punkti 2 lõige 1 ja 1. lisa) on TLS § 28 lõike 2 punkti 4 kohane tööajaarvestus; õiguslik alus on IKÜMi artikli 6 lõike 1 punkt c koostoimes selle sättega. Volitatud töötleja ei edasta andmeid ametiasutustele.

B3. Töövõimetus ja dokumendid

(1) Eestis tõendatakse töövõimetust elektrooniliselt (töövõimetusleht); tööandja saab andmed ilma diagnoosita Tervisekassa kaudu ja töötaja ei pea tõendit esitama. Seetõttu ei kasuta vastutav töötleja nende tõendite jaoks funktsiooni „Arstitõend“ (A osa 1. lisa); vajaduse korral talletab ta üksnes talle ettenähtud andmed ilma diagnoosita (IKÜMi artikli 9 lõike 2 punkt b).

(2) A osa 1. lisa kohaste dokumentide hulka kuuluvad Eestis eelkõige tööleping, töökorralduse reeglid ja palgalehed; õiguslik alus on IKÜMi artikli 6 lõike 1 punktid b ja c koostoimes töölepingu seadusega. Isikukoodi talletab vastutav töötleja üksnes siis, kui õigusnorm seda nõuab. Biomeetrilisi andmeid ei töödelda.

B4. Andmekaitsealane mõjuhinnang

Andmekaitse Inspektsiooni loetelu nõuab andmekaitsealast mõjuhinnangut töötajate jälgimise puhul üksnes ulatusliku töötlemise korral. Asukohakontrolli puhul kande tegemisel on see soovitatav; NFC-sildiga registreerimise puhul piisab lühikesest eelhindamise märkest. Punkti B1 lõike 2 kohane õigustatud huvi analüüs tuleb igal juhul koostada enne töötlemist. Volitatud töötleja abistab A osa punkti 9 kohaselt.

B5. Säilitamine

Eestis asuvate tegevuskohtade vaikeväärtused, mida vastutav töötleja võib miinimumväärtuste piires muuta: tööajaarvestus 84 kuud (miinimum 24 kuud); kohaloleku algsündmused 3 kuud; asukohakontrolli tulemus („tsoonis“, „väljaspool tsooni“, täpsus) eemaldatakse ajakandest 90 päeva pärast kannet, ajakanne jääb alles; teated 12 kuud; auditilogi 84 kuud (miinimum 24 kuud); töötajate dokumendid (andmeliik „employee_documents“) 84 kuud; palgadokumendid 120 kuud (miinimum 120 kuud); tööjõukulu 84 kuud; teavitused 6 kuud; arhiveeritud töötajaprofiilid 84 kuud, seejärel anonüümimine. Eesti töö-, sotsiaalkindlustus-, maksu- ja raamatupidamisõiguse kohased säilitamistähtajad jäävad vastutava töötleja enda kohustuseks (A osa punkti 10 lõige 1).

B6. Järelevalveasutus

Vastutava töötleja pädev järelevalveasutus on Andmekaitse Inspektsioon (AKI), Tatari 39, 10134 Tallinn, info@aki.ee, www.aki.ee. Volitatud töötleja pädev järelevalveasutus on Austria andmekaitseasutus (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.