Isikuandmete töötlemise eeskirjad

Isikuandmete töötlemise eeskirjad

1. Põhimõisted

1.1. Ettevõte on UAB „Open 24“, Leedu Vabariigi seaduste kohaselt asutatud ettevõte, mille juriidiline aadress on Turgelių tn. 1, Vilnius, LT-02103, Leedu, ettevõtte registrikood 300569944, ettevõtte andmed on kogutavad ja säilitatavad Juriidiliste isikute registris.

1.2. Andmesubjekt on füüsiline isik, kelle isikuandmeid Ettevõte töötleb.  

1.3. Isikuandmed on igasugune teave, mis on seotud füüsilise isiku – Andmesubjektiga, kelle isikusamasus on teada või mida saab otseselt või kaudselt kindlaks teha selliste andmete abil, nagu isikukood või tema ühe või mitme füüsilise, psühholoogilise, majandusliku, kultuurilise või sotsiaalse omaduse kaudu. 

1.4. Isikuandmete töötlemine on iga isikuandmetega tehtav toiming: kogumine, salvestamine, korrastamine,  säilitamine, klassifitseerimine, rühmitamine, ühendamine, muutmine (täiendamine või parandamine), esitamine, avaldamine, kasutamine, loogika- ja/või matemaatilised operatsioonid, otsing, levitamine, hävitamine või muu tegevus või tegevuste kogum.

1.5. Automatiseeritud töötlemine on isikuandmete täielik või osaline töötlemine, kasutades automaatseid vahendeid.

1.6. Töötaja on isik, kes on sõlminud Ettevõttega töölepingu või sarnase lepingu ja on Ettevõtte juhi poolt määratud Isikuandmeid töötlema või kelle isikuandmed on töödeldavad.

1.7. Töötleja on juriidiline või füüsiline isik, kes on Ettevõtte poolt volitatud isikuandmeid töötlema. Töötleja (d) peab olema registreeritud Inspektsiooni.

1.8. Andmesaaja on juriidiline või füüsiline isik, kellele isikuandmed esitatakse.  Andmesaaja (d) peab olema registreeritud Inspektsiooni.

1.9. Inspektsioon on Leedu Vabariigi andmekaitse inspektsioon.  

1.10. Küpsis on väike tekstifail, mis saadetakse iga veebilehte külastava isiku seadmesse, läbi mille on liitutud veebilehega ja on selles seadmes ajutiselt säilitatav. Järgmise veebilehe külastuse ajal loeb veebilehitseja küpsise ja edastab teabe veebilehele või elemendile. Küpsiste kogutav teave aitab tunda ära veebilehe külastaja, säilitada veebilehe külastamise ajalugu ja kohandada selle põhjal veebilehe sisu.

2. Üldsätted

2.1. Käesolev dokument reguleerib Ettevõtte ja selle Töötajate tegevust isikuandmete töötlemisel, Ettevõttes kasutatavaid isikuandmete automaatse töötlemise vahendeid, samuti määratleb Andmesubjektide õigusi, Isikuandmete kaitse rikkumise riskitegureid, Isikuandmete kaitse rakendusmeetmeid ja teisi isikuandmete töötlemisega seotud küsimusi.

2.2. Isikuandmed peavad olema täpsed, asjakohased ja mitte ülemäärased seoses eesmärkidega, mille jaoks neid kogutakse või edasi töödeldakse. Kui see on isikuandmete töötlemiseks vajalik, on need pidevalt uuendatavad.

2.3. Isikuandmete töötlemise eesmärgid on otseturundus ja teised seaduslikud ning enne nende kogumist määratletud eesmärgid.

2.4. Ettevõte töötleb Eeskirjade 2.3. punktis näidatud eesmärkidel järgmisi Andmesubjekti isikuandmeid:

(a) nimi;

(b) perekonnanimi;

(c) e-posti aadress;

(d) telefoninumber;

(e) sugu;

(f) huvi pakkuv teave, mida Andmesubjekt tellib;

(g) lojaalsuskaardi number, kehtivusaeg;  

(h) pood, kus on ankeet täidetud.

2.5. Isikuandmete töötlemisel juhindutakse Leedu Vabariigi isikuandmete kaitse seadusest (1. veebruar 2008. a nr X-1444), teistest seadustest ja õigusaktidest mis reguleerivad andmetöötlust ja -kaitset, samuti käesolevatest Eeskirjadest.

3. Isikuandmete töötlemine  

3.1. Ettevõte töötleb isikuandmeid järgmistel eesmärkidel:

• Veebikaubanduse teenuste pakkumine;
• Otseturunduse, kaasa arvatud uudiskirjade saatmine;
• Muud eesmärgid, mis on seotud sisehaldusega, näiteks Ettevõtte töötajate andmete töötlemine.

3.2. Ettevõte kogub ja töötleb järgmiste kategooriate isikuandmeid:

(a) eelloetletud eesmärkide jaoks vajalikud põhiandmed: nimi, perekonnanimi ja kontaktandmed;

(b) kaupade müümiseks vajalikud andmed: tellimuse andmed, arvetel olev teave, maksetega jms seotud andmed;

(c) muud, Teie nõusolekul kogutavad andmed mis on määratletud üksikasjalikumalt peale Teie nõusoleku saamist.

3.3. Isikuandmeid töödeldakse automatiseerimata ja automatiseeritult kasutades Ettevõtte isikuandmete töötlemise vahendeid.

3.4. Isikuandmete töötlemise õigus on ainult Töötajatel ja Töötlejatel. Iga isikuandmeid töötlema määratud Töötaja / Töötleja peab hoidma isikuandmete saladust ja järgima isikuandmete kaitse õigusaktide nõudeid.

3.5. Töötaja / Töötleja on kohustatud:

(a) hoidma isikuandmete saladust;

(b) juhinduma isikuandmete töötlemisel Leedu Vabariigi seadustest, teistest õigusaktidest ja käesolevatest Eeskirjadest;

(c) mitte avaldama, edastama ega looma mingite vahenditega tingimusi isikuandmetega tutvumiseks ühelgi isikul, kes ei ole volitatud isikuandmeid töötlema;   

(d) teavitama Ettevõtte juhti või tema poolt määratud isikut viivitamata iga kahtlase olukorra kohta, mis võib ohustada Isikuandmete turvalisust.

3.6. Töötajad, kes töötlevad isikuandmeid automatiseeritult või läbi kelle arvutite võib pääseda kohtvõrgu piirkondadesse, milles on isikuandmed säilitatavad,  peavad kasutama salasõnu. Salasõnu peab muutma perioodiliselt ja vastavate asjaolude korral (nt: töötaja vahetumisel, häkkimise ohu korral, kahtluse korral, et salasõna on saanud teada kolmas isik jms). Konkreetse arvutiga töötav töötaja võib teada ainult enda salasõna.

3.7. Arvutite hoolduse eest vastutav isik peab tagama, et isikuandmete failid ei ole „nähtavad“  (shared) teistes arvutites ja viirusetõrjeprogrammid on perioodiliselt uuendatavad.

3.8. Arvutite hoolduse eest vastutav töötaja teeb arvutites olevatest andmefailidest koopiaid. Nende failide kadumisel või rikkumisel peab vastutav töötaja taastama need hiljemalt paari tööpäeva jooksul. 

3.9. Isikuandmete kaitset korraldab ja tagab Ettevõtte juht ja tema poolt määratud Töötaja.

3.10. Töötaja kaotab isikuandmete töötlemise õigused, kui lõpeb tema ja Ettevõtte vaheline tööleping või sarnane leping või kui Ettevõtte juht tühistab Töötaja isikuandmete töötlemise kohustuse.  

3.11. Töötaja kaotab isikuandmete töötlemise õigused, kui on lõpetatav tema ja Ettevõtte vaheline tööleping.

4. Ettevõtte veebilehel (open24.ee) kogutavad andmed:

(a) hallates veebilehte ja diagnoosides häireid „Open 24“ serveri töös, võime kasutada külastajate IP aadresse. IP aadress on arvutivõrgus asuvat seadet identifitseeriv unikaalne kood. Seda saab kasutada külastaja kindlaks tegemisel ja erineva demograafilise teabe kogumisel;

(b) kasutades küpsiseid kogume me andmeid teenuste kasutamise kohta. Teave küpsiste, küpsiste tüüpide ja nende otstarvete kohta on esitatud eeskirjade 5 punktis;

(c) Teie registreerumisel „Open 24“ veebipoe kasutajaks kogume me kasutaja tuvastamiseks vajalikku teavet, mille Te esitate, täites registreeringuvormi, so nimi, perekonnanimi, e-posti aadress.

(d) „Open 24“ veebipoest kaupade või teenuste soetamisel kogume me andmeid, mis on vajalikud tellimuse täitmiseks, näiteks kaup, selle tellimuse detailid, kontaktandmed ja seotud kanded.

5. Küpsiste kasutamine:

(a) Tehnilised küpsised: kindlustavad veebilehe funktsionaalsuse kasutajakonto loomisel, liitumisel ja Andmesubjekti tellimuste töötlemisel. Need tehnilised küpsised on vajalikud veebilehe korraliku töötamise tagamiseks. 

(b) Funktsionaalsed küpsised: aitavad jätta meelde Andmesubjekti soove ja kasutada meie veebilehte tõhusalt.  Näiteks jätavad need küpsised meelde Teie valitud keele, liitumisteabe, otsingud, varem vaadatud kaubad jms. Need funktsionaalsed küpsised ei ole vajalikud veebilehe töötamiseks, kuid lisavad funktsionaalsust ja parandavad Andmesubjekti veebilehe kasutamise kogemust.

(c) Analüütilised küpsised: aitavad saada ülevaadet sellest, kuidas Ettevõtte külastajad veebilehte kasutavad. Aitavad optimeerida ja parandada veebilehte, mõista reklaamide ja suhtluse efektiivsust.  

(d) Kaubanduslikud küpsised: Ettevõtte ja kolmandate poolte küpsised on mõeldud selleks, et näidata enda ja teiste veebilehtedel individualiseeritud reklaami, mis põhineb veebilehitsemisel, näiteks Andmesubjekti poolt otsitud, vaadatud kaupadel.

(e) „Google Analytics“ tööriista pakub USA ettevõte „Google Inc.“, seepärast on ka temal ligipääs nende tööriistadega kogutud statistilistele andmetele. „Google Inc.“ On kohustunud rakendama EL-USA Privaatsuskilbi põhimõtteid, mis tagavad, et teenuste osutaja vastab EL privaatsusstandardite nõuetele. Selle teenusepakkuja suhtes kohaldatakse samuti lepingulisi eraelu puutumatuse nõudeid. Selle kohta saate lugeda https://www.google.com/analytics/terms/dpa/dataprocessingamendment_20160909.html.

6. Andmesubjekti õiguste rakendamine

6.1. Andmesubjektil on õigus peale Ettevõttele isikusamasust kinnitava dokumendi esitamist saada teavet, millistest allikatest ja millised tema isikuandmed on kogutud, millistel eesmärkidel on need töödeldavad ja kellele esitatavad. Isikuandmetega tutvumise võimalus luuakse peale Ettevõttele selleks kirjaliku taotluse esitamist e-posti või posti teel.

6.2. Peale Andmesubjektilt päringu saamist tema isikuandmete töötlemise kohta vastav Ettevõte, kas tema isikuandmed on töödeldavad ja esitab Andmesubjektile tema küsitud andmed mitte hiljem kui 30 kalendripäeva jooksul alates Andmesubjekti pöördumise päevast. Andmesubjekti taotlusel esitatakse sellised andmed kirjalikult näidatud aadressil või e-posti teel.

6.3. Andmesubjektile luuakse isikuandmete parandamise, hävitamise või töötlemise lõpetamise võimalus Andmesubjekti kirjaliku taotluse alusel posti, e-posti või suulise taotluse alusel, kui Andmesubjekti isikusamasust on võimalik tuvastada. Sellise taotluse saamisel kontrollib Ettevõte viivitamata isikuandmeid ja parandab Andmesubjekti valed, puudulikud, ebaõiged isikuandmed.

6.4. Ettevõte teavitab viivitamata Andmesubjekti tema taotlusel tehtud või tegemata isikuandmete paranduste, hävitamise kohta.

6.5. Ettevõte tagab ka kõik teised Leedu Vabariigi seaduste ja teiste õigusaktidega määratud Andmesubjekti õigused, garantiid ja huvid.  

7. Isikuandmete edastamine

7.1. Isikuandmeid võib edastada vaid neile Andmesaajatele, kellega on Ettevõte sõlminud vastavad lepingud seoses Isikuandmete edastamise / esitamisega ja Andmesaaja tagab Isikuandmete asjakohase turvalisuse.  Isikuandmeid võib edastada kolmandatele isikutele Leedu Vabariigi seadustes ja teistes õigusaktides ettenähtud juhtudel ja korras.

7.2. Ettevõte ei kasuta ja ei avalda ilma Andmesubjekti nõusolekuta erilisi isikuandmeid, nagu teave tervise, rassilise päritolu, religioossete veendumuste või poliitiliste vaadete kohta, välja arvatud juhud, kui seda nõuavad ja võimaldavad seadused.  

7.3. Isikuandmeid võib edastada kolmandatele isikutele Leedu Vabariigi seadustes ja teistes õigusaktides ettenähtud juhtudel ja korras.

8. Isikuandmete kaitse rikkumise riskitegurid  

8.1. Isikuandmete kaitse rikkumine on tegevus ja tegevusetus, mis võivad põhjustada soovimatuid tagajärgi ja mis on vastuolus isikuandmete kaitset reguleerivate imperatiivsete õigusnormidega. Isikuandmete kaitse rikkumise mõjutaset, kahju ja tagajärgi määrab igal konkreetsel juhul Ettevõtte juhi või tema volitatud isiku moodustatud komisjon.

8.2. Isikuandmete kaitse rikkumise riskitegurid:

(a) tahtmatud, kui isikuandmete kaitse on rikutud juhuslikel põhjustel (andmetöötlusvead, andmekandjate, salvestatud andmete kustutamine, hävitamine valel aadressil edastamine jms või süsteemirikked seoses elektrikatkestuse, arvutiviirusega jms, sise-eeskirjade rikkumine, süsteemi hoolduse puudused, programmiseadmete testid, ebasobiv andmete hooldamine, ebasobiv liinide jõudlus ja kaitse, arvutite integreerimine võrku, arvutiprogrammide kaitse, ebapiisavate faksiandmete esitamine jms);

(b) tahtlikud, kui isikuandmete kaitse on rikutav teadlikult (ebaseaduslik tungimine Ettevõtte- / hotelliruumidesse,  isikuandmete säilitamise hoidlatesse, teabesüsteemidesse, arvutivõrku, pahatahtlik kehtestatud eeskirjade rikkumine isikuandmete töötlemisel, tahtlik arvutiviiruse levitamine, isikuandmete vargus, ebaseaduslik kasutamine teise Töötaja huvides jms);  

(c) ootamatud juhuslikud sündmused (välk, tulekahju, uputus, üleujutus, tormid, elektripaigaldise põleng, temperatuuri ja / või niiskusmuutuste mõju, mustuse, tolmu ja magnetväljade mõju, juhuslikud tehnilised avariid, muud vääramatud ja / või kontrollimatud tegurid jms).

9. Isikuandmete kaitse rakendamise meetmed

9.1. Isikuandmete kaitse tagamiseks rakendab või näeb Ettevõte ette järgmisi isikuandmete kaitsemeetmeid: 

(a) haldustegevus (turvaline dokumentide ja arvutiandmete ning arhiivide töötlemine, samuti erinevate tegevusvaldkondade töö korraldamine, personali tutvustamine isikuandmete kaitsega tööle värbamisel ja töösuhete või sarnaste suhete lõpetamisel jms);

(b) riistvara ja tarkvara kaitse (teenistusjaamade, teabesüsteemide ja andmebaaside haldamine, töökohtade, Ettevõtte ruumide hooldus, operatsioonisüsteemide ohutus, viirusekaitse jms);

(c) side- ja arvutivõrkude kaitse (üldkasutatavate andmete, programmide, soovimatute andmepakettide filtreerimine (firewalling) jms).

9.2. Isikuandmete kaitse tehnilised ja tarkvara turvameetmed peavad tagama:

(a) operatsioonisüsteemide ja andmebaaside koopiate hoidlate, kopeerimistehnika olemasolu ja nende järelvalve;

(b) katkematu andmete töötlemise protsessi tehnoloogia;

(c) strateegia süsteemide uuendamiseks ettenägematute juhtumite korral (ootamatuste haldamine);

(d) programmide testimise keskkonna füüsilise (loogilise) eraldamise töörežiimi protsessidest;

(e) andmete autoriseeritud kasutamise, nende puutumatuse.

9.3. Kõik isikuandmete töötlemise, korraldamise ja kaitse tagamise õigust omavad Töötajad peavad pidama rangelt kinni Ettevõttes kehtestatud Isikuandmete kaitsemeetmetest ja vastavatest eeskirjadest, juhistest ja korranõuetest.

10. Isikuandmete töötlemise tähtaeg

10.1. Ettevõte töötleb Isikuandmeid kliendi osalemisel lojaalsusprogrammis mitte kauem, kui see on vajalik andmete töötlemise eesmärkidel või kui näevad ette õigusaktid, kui nendega on määratud andmete pikaajalisem säilitamine.  

10.2. Kui isikuandmed ei ole enam töötlemise eesmärkidel vajalikud, on need hävitatavad, väljaarvatud andmed, mis tuleb seadusega määratud juhtudel edastada riiklikele arhiividele.  

10.3 Andmeid, mis on mõeldud otseste ja kaudsete turunduskampaaniate jaoks, säilitab ettevõte mitte kauem, kui see on vajalik andmete töötlemise eesmärkidel ja näevad ette õigusaktid või soovib Andmesubjekt. Subjekti nõudmisel hävitab Ettevõte kõik andmed, mille säilitamine ei ole kohustuslik vastavalt kõigile seaduslikele nõuetele.  

11. Vastutus

11.1. Töötajatele, kes rikuvad Leedu Vabariigi isikuandmete kaitse seadust, teisi isikuandmete töötlemise ja kaitse õigusakte või käesolevaid Eeskirju, on kohaldatavad Leedu Vabariigi seadustega ettenähtud vastutusmeetmed. 

12. Lõppsätted

12.1. Eeskirjade täitmise järelvalvet ja kontrolli teostab Ettevõtte juht või tema volitatud isik.

12.2. Vastutavaid Töötajaid tutvustatakse Eeskirjadega allkirja alusel.