Andmetöötlusleping (AVV) — Eesti redaktsioon

1. Ese ja kestus

(1) Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks tarkvara NymTime tarkvarana kui teenusena (SaaS): töögraafikute koostamine, tööajaarvestus töötaja nutitelefoniga NFC-siltidel (asendusena geotuvastusega tegevuskoha kanne ilma NFC-ta), asukohakontroll kande tegemise hetkel, puhkepauside arvestus vastutava töötleja valitud reegli kohaselt, puudumised, saadavuse andmed, vahetuste vahetamine, ettevõtte teated (teadetetahvel), tööajakonto, tundide analüüs, eksport palgaarvestuse jaoks ning valikuliselt dokumentide hoidmine, sealhulgas asjaomase töötaja poolt vaatamine, palgadokumendid, käibeandmed tegevuskohtade kaupa ja sisemine tööjõukulu. Seejuures töötleb ta isikuandmeid vastutava töötleja nimel.

(2) Käesoleva kokkuleppe kestus määratakse kasutuslepingu (üldtingimused, nymtime.com/agb) järgi. See lõpeb koos kasutuslepinguga; punkt 10 kehtib ka pärast seda, kuni kõik andmed on tagastatud või kustutatud.

(3) Vastutava töötleja andmeid salvestatakse üksnes Euroopa Liidus asuvates andmekeskustes. Edastamise ajal läbivad need Cloudflare’i pöördproksi; e-kirjad ja tõuketeated saadetakse 2. lisas nimetatud teenuste kaudu. Sellega seotud edastamised kolmandatesse riikidesse ja nende õigusliku aluse (IKÜMi artikkel 45 ja artikli 46 lõike 2 punkt c) nimetab 2. lisa.

(4) Kui klient laseb NymTime’i üldtingimuste § 12 lõike 5 alusel kasutada temaga seotud ettevõtjatel, on tegevuskoha töötajate isikuandmete vastutav töötleja see ettevõtja, kes on Back Office’is kantud selle tegevuskoha tööandjana (4. lisa). Klient sõlmib käesoleva kokkuleppe enda nimel ja samal ajal iga 4. lisas nimetatud sidusettevõtja nimel ja arvel tema antud volituse alusel; seega on iga selline ettevõtja oma tegevuskohtade andmete vastutav töötleja käesoleva kokkuleppe ja IKÜMi artikli 28 tähenduses. Klient kinnitab, et volitus anti talle enne kandmist, ning tõendab seda volitatud töötlejale nõudmise korral. Käesoleva kokkuleppe kohaseid juhiseid (punkt 3), teateid ja teavitusi annab ja võtab vastu klient koondatult kõigi sidusettevõtjate eest; punkti 11 kohaseid õigusi teostab ta nende eest, välja arvatud juhul, kui kohustuslik õigus nõuab sidusettevõtja vahetut tegutsemist. Iga sidusettevõtja vastutab jätkuvalt oma töötajate andmete töötlemise õiguspärasuse eest (IKÜMi artikli 5 lõige 2 ja artikkel 24); tegevuskoha andmetele kohaldatakse selle riigi B osa, kus tegevuskoht asub. Tegevuskohtade puhul, mille kohta ei ole sidusettevõtjat kantud, on vastutav töötleja klient.

2. Töötlemise laad ja eesmärk, andmekategooriad ja andmesubjektid

(1) Töötlemise laad ja eesmärk, isikuandmete kategooriad ja andmesubjektide kategooriad on kirjeldatud 1. lisas. Kokkuvõtlikult: põhiandmete haldamine, töögraafik, tööajaarvestus tegevuskoha riigi õiguse kohaselt, puudumised, kande tegemisel tehtud asukohakontrolli tulemus, seadmeandmed, töötajate teated ning — kui vastutav töötleja neid kasutab — dokumendid ja tööjõukulu andmed, kõigil juhtudel personali töökorralduse kavandamise, tööõiguslike arvestuskohustuste täitmise ja palgaarvestuse ettevalmistamise eesmärgil.

(2) GPS-koordinaate, liikumisteid ega liikumisprofiile ei salvestata. Asukohakontrolli tulemus registreeritakse üksnes kande tegemise hetkel vahetuse ajal kujul „tsoonis“, „väljaspool tsooni“ või „asukoht pole saadaval“ koos ajahetke ja täpsusega; taustal asukohta ei määrata. Kontroll toimub üksnes tegevuskohtades, kus tegevuskoha riigi õigus seda lubab ja vastutav töötleja ei ole seda välja lülitanud; vastutav töötleja tagab, et selle õiguse kohaselt nõutavad sammud on enne kontrolli kasutamist täidetud (B osa).

(3) Puudumise põhjus „haigus“ registreeritakse ilma diagnoosita ja haiguse põhjust märkimata. Isikuandmete eriliike IKÜMi artikli 9 tähenduses töödeldakse peale selle üksnes juhul, kui vastutav töötleja kasutab funktsiooni „Arstitõend“: tõend töövõimetuse alguse ja eeldatava kestuse kohta on terviseandmed. Vastutav töötleja võib seda talletada üksnes ulatuses, milles ta võib seda nõuda selle riigi õiguse kohaselt, kus töötaja töötab (õigusnormid nimetab B osa); õiguslik alus on IKÜMi artikli 9 lõike 2 punkt b koostoimes nende õigusnormide ja IKÜMi artikliga 88. Volitatud töötleja piirab juurdepääsu nendele dokumentidele vastutava töötleja poolt selleks volitatud isikute ja asjaomase töötajaga ega analüüsi nende sisu. Vastutav töötleja tagab, et vabateksti väljadesse ja muudesse dokumentidesse ei talletata diagnoose ega muid terviseandmeid.

(4) Lisaks töötleb volitatud töötleja vastutava töötleja nimel: töötajate saadavuse andmeid (vabatahtlik teave planeerimiseks; ei ole töövalmiduses olek ega valveaeg tööajaõiguse tähenduses, ei anna õigust tasule), vahetuste vahetamise pakkumisi ja nõustumisi (sama tegevuskoha ja sama rolli kolleegidele on nähtavad pakkuva töötaja nimi, roll või osakond ning asjaomase vahetuse ajad — mitte kohaloleku- ega tulemuslikkuse andmed), töötaja enda poolt kolleegidele nähtavaks tehtud kontaktandmeid (nõusolek IKÜMi artikli 6 lõike 1 punkti a alusel, vaikeseade „väljas“, nõusoleku võib IKÜMi artikli 7 lõike 3 kohaselt igal ajal tagasi võtta, mis jõustub rakenduses kohe), ettevõtte teadete (teadetetahvel) lugemiskinnitusi ning registreeritud puhkepause ja lühikesi pause koos märkega „Paus registreerimata“. Märge on mõeldud üksnes tööajaarvestuse parandamiseks ega ole sanktsioon ega tulemuslikkuse hindamine; parandamise teeb vastutava töötleja poolne isik koos põhjendusega.

(5) Tegevuskohtade kaupa käibeandmed, mille vastutav töötleja näitajate jaoks sisestab või impordib, on seotud tegevuskohaga, mitte isikutega, ja ei ole iseenesest isikuandmed; neid analüüsitakse üksnes koos tööjõukuluga, mis on kättesaadav üksnes vastutava töötleja juhtkonnale ja juhtkonna poolt selleks lubatud juhtidele.

3. Vastutava töötleja juhised (artikli 28 lõike 3 punkt a)

(1) Volitatud töötleja töötleb isikuandmeid üksnes vastutava töötleja dokumenteeritud juhiste alusel, välja arvatud juhul, kui liidu või Austria õigus kohustab teda töötlema; sellisel juhul teavitab ta vastutavat töötlejat sellest kohustusest enne töötlemist, välja arvatud juhul, kui asjaomane õigus seda keelab.

(2) Juhised antakse Back Office’i konfiguratsiooni kaudu — eelkõige tegevuskohad ja tegevuskoha tsoon, rollid ja õigused, pausireegel tegevuskohtade kaupa, saadavuse andmete esitamise tähtaeg, vahetuste vahetamise kinnitamise nõue, dokumentide nähtavus töötajatele, säilitamistähtajad, NFC ja kande tegemisel toimuva asukohakontrolli sisse- ja väljalülitamine tegevuskohtade kaupa, toe juurdepääsu lubamine (Seaded → Tellimus → Toe juurdepääs), eksport ja kustutamine — ning kirjalikult aadressil office@nymtime.com, kusjuures piisab e-kirjast (kokkulepitud vorm § 886 ABGB (Austria tsiviilseadustiku säte kirjaliku vormi kohta) kohaselt). Vastutav töötleja määrab, millistel tema kasutajatel on õigus juhiseid anda (roll „juhtkond“).

(3) Kui volitatud töötleja leiab, et juhis on andmekaitseõiguse kohaselt lubamatu, teavitab ta sellest viivitamata vastutavat töötlejat ja võib juhise täitmise peatada, kuni juhis kinnitatakse või seda muudetakse.

4. Konfidentsiaalsus (artikli 28 lõike 3 punkt b)

(1) Volitatud töötleja tagab, et kõik isikud, kellel on luba isikuandmeid töödelda, on võtnud endale konfidentsiaalsuskohustuse või neil on asjakohane seadusjärgne konfidentsiaalsuskohustus ning et see kohustus kehtib ka pärast tegevuse lõppemist.

(2) Tavapärase tegevuse käigus ei pääse volitatud töötleja kliendikonto sisule juurde. Toe juurdepääs on võimalik üksnes siis, kui vastutav töötleja selle Back Office’is sõnaselgelt lubab — koos ulatuse, kestuse ja võimalusega see igal ajal tagasi võtta. Iga juurdepääs talletatakse vastutava töötleja tegevuslogis koos ajahetke, isiku ja toiminguga.

5. Isikuandmete töötlemise turvalisus (artikli 28 lõike 3 punkt c, artikkel 32)

(1) Volitatud töötleja rakendab 3. lisas kirjeldatud tehnilisi ja korralduslikke meetmeid ja säilitab need kogu lepingu kehtivuse ajal. Ta kontrollib neid korrapäraselt ja kohandab need tehnika taseme järgi.

(2) Volitatud töötleja võib meetmeid edasi arendada ja asendada samaväärsetega, tingimusel et kaitsetase ei lange. Olulised muudatused dokumenteeritakse 3. lisas ja kuvatakse vastutavale töötlejale Back Office’is.

6. Teised volitatud töötlejad (artikli 28 lõiked 2 ja 4, lõike 3 punkt d)

(1) Vastutav töötleja annab üldise loa kasutada 2. lisas nimetatud teisi volitatud töötlejaid. Iga teise volitatud töötlejaga on sõlmitud leping, millega pannakse talle samad andmekaitsekohustused, mis käesoleva kokkuleppega on pandud volitatud töötlejale.

(2) Kui volitatud töötleja kavatseb kaasata teise volitatud töötleja või selle asendada, teavitab ta vastutavat töötlejat sellest vähemalt 30 päeva ette e-posti teel ja Back Office’is. Vastutav töötleja võib selle tähtaja jooksul mõjuval andmekaitsealasel põhjusel esitada vastuväite; kui kokkuleppele ei jõuta, võib kumbki pool kasutuslepingu jooksva kuu lõpuks üles öelda.

(3) Isikuandmeid edastatakse väljapoole Euroopa Majanduspiirkonda asuvasse kolmandasse riiki üksnes juhul, kui IKÜMi artiklites 44–49 sätestatud tingimused on täidetud (kaitse piisavuse otsus või IKÜMi artikli 46 lõike 2 punkti c kohased standardsed andmekaitseklauslid). Volitatud töötleja vastutab teiste volitatud töötlejate eest nagu oma tegevuse eest.

7. Abi andmesubjekti õiguste tagamisel (artikli 28 lõike 3 punkt e)

(1) Volitatud töötleja abistab vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega, et vastata seadusjärgsete tähtaegade jooksul andmesubjektide taotlustele, mis käsitlevad andmetega tutvumist, parandamist, kustutamist, töötlemise piiramist, isikuandmete ülekandmist ja vastuväidete esitamist (IKÜMi artiklid 15–22).

(2) Selleks on tootes olemas: oma tööajaarvestuse vaatamine ja igakuine eksport töötaja rakenduses (IKÜMi artiklid 15 ja 20); kõigi töötaja andmete eksport Back Office’ist; parandused koos logiga; arhiveerimine, anonüümimine ja kustutamine säilitamistähtaegade kohaselt; töötaja rakenduses töötaja taotlus oma konto kustutamiseks, mis edastatakse otsustamiseks vastutavale töötlejale (tööajaarvestus säilitatakse B osa kohase seadusjärgse aja jooksul).

(3) Kui andmesubjekt esitab taotluse otse volitatud töötlejale, edastab volitatud töötleja selle viivitamata vastutavale töötlejale ega vasta sellele ise, välja arvatud juhul, kui vastutav töötleja on andnud selleks juhise.

8. Isikuandmetega seotud rikkumistest teatamine (artikli 28 lõike 3 punkt f, artikkel 33)

(1) Volitatud töötleja teatab vastutavale töötlejale igast isikuandmetega seotud rikkumisest viivitamata, kuid mitte hiljem kui 48 tunni jooksul pärast sellest teada saamist, e-posti teel kontaktisiku aadressile. Teade sisaldab IKÜMi artikli 33 lõike 3 kohast teavet: rikkumise laad, asjaomaste andmesubjektide ja isikuandmete kirjete kategooriad ja ligikaudne arv, tõenäolised tagajärjed, võetud ja kavandatud meetmed ning kontaktisik.

(2) Volitatud töötleja abistab vastutavat töötlejat järelevalveasutusele 72 tunni jooksul teatamisel (artikkel 33) ja andmesubjektide teavitamisel (artikkel 34) ning dokumenteerib kõik rikkumised koos nende mõju ja parandusmeetmetega.

9. Andmekaitsealane mõjuhinnang ja eelnev konsulteerimine (artikli 28 lõike 3 punkt f, artiklid 35 ja 36)

(1) Töötajate kohaloleku süstemaatiline registreerimine võib nõuda andmekaitsealast mõjuhinnangut IKÜMi artikli 35 lõike 3 punkti a kohaselt. Volitatud töötleja teeb selleks vastutavale töötlejale kättesaadavaks NymTime’i andmekaitsealase mõjuhinnangu malli ja toote tehnilised andmed ning abistab teda järelevalveasutusega võimaliku eelneva konsulteerimise korral (artikkel 36).

(2) Oma kasutuse kohta andmekaitsealase mõjuhinnangu tegemine, hinnangu andmine selle kohta, kas asjaomase riigi õigus nõuab asukohakontrolli jaoks kollektiivlepingut või kokkulepet töötajate esindajaga, konsulteerimist, teavitamist või nõusolekut, ning nende sõlmimine või saamine on vastutava töötleja kohustus. Volitatud töötleja pakub selleks riikide kaupa kontrollnimekirju ja malle; need ei lukusta ühtegi funktsiooni ega asenda õigusnõustamist.

10. Kustutamine ja tagastamine pärast lepingu lõppemist (artikli 28 lõike 3 punkt g)

(1) Pärast kasutuslepingu lõppemist saab vastutav töötleja oma andmed 30 päeva jooksul Back Office’ist täielikult eksportida (Excel, CSV, dokumendid algvormingus). Selle tähtaja möödumisel kustutab volitatud töötleja kõik vastutava töötleja isikuandmed, välja arvatud juhul, kui liidu õigus või Austria õigus kohustab volitatud töötlejat ennast neid säilitama; sellisel juhul piiratakse töötlemine säilitamisega. Vastutava töötleja säilitamiskohustused (tegevuskoha riigi õiguse kohaselt, B osa) jäävad tema enda kohustuseks (üldtingimuste § 14 lõige 3); ta täidab need õigeaegse ekspordiga.

(2) Kustutamist kinnitatakse vastutavale töötlejale tema nõudmisel kirjalikult. Varukoopiad kirjutatakse üle hiljemalt 35 päeva pärast esmaste andmete kustutamist.

(3) Lepingu kehtivuse ajal võib vastutav töötleja üksikuid töötajaid arhiveerida, anonüümida või kustutada ja määrata ise andmeliikide kaupa säilitamistähtajad seadusjärgsete miinimumväärtuste piires. Igapäevane automaatne protsess rakendab tähtaegu ja logib kustutatud kirjete arvu ja andmeliigi.

11. Tõendamine ja auditid (artikli 28 lõike 3 punkt h)

(1) Volitatud töötleja teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik IKÜMi artiklis 28 sätestatud kohustuste täitmise tõendamiseks, eelkõige käesoleva kokkuleppe, lisad, IKÜMi artikli 30 lõike 2 kohase registri ning tehniliste ja korralduslike meetmete kontrollimise aruanded.

(2) Vastutav töötleja või tema volitatud, konfidentsiaalsuskohustusega seotud audiitor võib käesoleva kokkuleppe täitmist kontrollida pärast mõistlikku, vähemalt 14-päevast etteteatamist tavapärasel tööajal, kõige rohkem üks kord kalendriaastas, välja arvatud juhul, kui isikuandmetega seotud rikkumine või järelevalveasutuse korraldus nõuab täiendavat kontrolli. Volitatud töötleja osaleb auditites.

(3) Volitatud töötleja teavitab vastutavat töötlejat viivitamata, kui tema arvates rikub juhis IKÜMi või liidu või Austria muid andmekaitsenorme.

12. Vastutus ja lõppsätted

(1) Poolte vastutus määratakse IKÜMi artikli 82 ja muus osas üldtingimuste § 15 kohaselt. Poolte omavahelistes suhetes vastutab kumbki pool talle käesoleva kokkuleppe ja IKÜMi kohaselt pandud kohustuste rikkumise eest.

(2) Kohaldatakse Austria õigust, välja arvatud rahvusvahelise eraõiguse kollisiooninormid. Pooled lepivad § 104 JN (Austria kohtualluvuse seadus, Jurisdiktionsnorm) kohaselt — vastutavate töötlejatega, kelle asukoht on teises liikmesriigis, lisaks määruse (EL) nr 1215/2012 (Brüsseli I bis) artikli 25 kohaselt — kokku Viini Innere Stadti sisuliselt pädeva kohtu ainupädevuses. Käesoleva kokkuleppe muudatused ja täiendused peavad olema kirjalikud; pooled lepivad selleks § 886 ABGB kohaselt kokku lihtsustatud vormis, piisab e-kirjast talletatud aadressile. See kehtib ka selle nõude tühistamise kohta.

(3) Käesoleva kokkuleppe elektrooniline kinnitamine ostu sooritamisel või, kui volitatud töötleja on kliendikonto loonud taotluse alusel, juhtkonna esimesel sisselogimisel Back Office’isse — koos ajahetke, versiooni, kinnitatud dokumendi teksti kontrollsumma (SHA-256), IP-aadressi ja kasutajaga — talletatakse kliendikontol ja loetakse sõlmimiseks kirjalikult elektroonilisel kujul IKÜMi artikli 28 lõike 9 tähenduses. Käesoleva kokkuleppe ja üldtingimuste vastuolu korral on andmekaitseküsimustes ülimuslik käesolev kokkulepe.

1. lisa — Töötlemise ese: andmekategooriad, andmesubjektid, eesmärgid

Isikuandmete kategooriad (iga kategooria puhul: andmed — eesmärk — vastutava töötleja õiguslik alus):

• Põhiandmed: nimi, e-posti aadress, telefoninumber, ametikoht, roll, tegevuskoha määramine, personalinumber, töösuhte liik, töölevõtmise ja töölt lahkumise kuupäev — haldamine, töögraafik, arveldamine — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Lepinguandmed (kokkulepe): lepinguline tööaeg (tunnid nädalas, kuus või aastas), töösuhte kategooria (täistööaeg, osaline tööaeg, alla 18-aastased noored, õpipoisiõpe, hooajatöö, muu), summeeritud tööaja arvestusperiood, kohaldatav kollektiivleping, puhkuse õigus päevades, kõigil juhtudel koos kehtivuse alguse ja versiooniajalooga — töögraafik, tööajakonto, puhkusejääk, tööaja õiguslike piiride kontroll — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Töögraafik: kavandatud vahetused, rollid, minimaalne koosseis, vabad vahetused, avaldamise ja kinnitamise ajahetked (kes graafiku millal avaldas, millal töötaja selle nägi ja kinnitas), avaldamisjärgsed muudatused koos põhjendusega — personali töökorralduse kavandamine, õigeaegse teatavakstegemise tõendamine — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Saadavus: märge päeva või poolpäeva kaupa („saadaval“, „pigem mitte“, „ei ole saadaval“), sisestamise ajahetk — vabatahtlik teave planeerimiseks, ei ole töövalmiduses olek ega valveaeg tööajaõiguse tähenduses — IKÜMi artikli 6 lõike 1 punkt b.
• Vahetuste vahetamine: pakkumine, sama tegevuskoha ja sama rolli kolleegide vastused (neile nähtav: nimi, roll või osakond, vahetuse ajad), juhi otsus, tööaja õiguslike piiride kontrolli tulemus — personali töökorralduse kavandamine — IKÜMi artikli 6 lõike 1 punkt b.
• Kontaktide jagamine (kontaktid): märge selle kohta, kas töötaja on teinud oma telefoninumbri ja e-posti aadressi sama tegevuskoha kolleegidele nähtavaks, koos nõusoleku andmise ja võimaliku tagasivõtmise ajahetkega — meeskonnas kättesaadavus — nõusolek IKÜMi artikli 6 lõike 1 punkti a alusel, vaikeseade „väljas“, nõusoleku võib igal ajal tagasi võtta IKÜMi artikli 7 lõike 3 kohaselt.
• Ettevõtte teated (teadetetahvel): tekst, plakat (pilt või PDF, ilma pildi metaandmeteta), adressaatide ring (tegevuskohad, osakonnad), kehtivus, iga töötaja lugemis- ja teadmiseksvõtmise kinnitus koos ajahetkega — ettevõttesisese teabega tutvumise tõendamine — IKÜMi artikli 6 lõike 1 punktid b ja f; ei ole tulemuslikkuse kontroll.
• Tööajaarvestus: tegelik algus ja lõpp, puhkepausid (tasustamata; vahetuste kaupa kavandatud pausiplokid, tasustatud või tasustamata, ning tegevuskoha juhi poolt kinnitatud paus koos menetlejaga) ja lühikesed pausid koos märkega „Paus registreerimata“, registreerimisviis (NFC või tegevuskoha kanne ilma NFC-ta), kõrvalekallete logi lepingulise tööaja korral (kinnitatud päevad „plaanipäraselt“, tegelikud ajad kõrvalekalde korral, töötaja teade ja juhi kinnitus), tööajakonto arvestusperioodide kaupa (lepingulised tunnid, arvestatud tunnid, saldo, ülekanne ja perioodi sulgemine), parandused koos põhjenduse ja menetlejaga — arvestuskohustus tegevuskoha riigi õiguse kohaselt (B osa) — IKÜMi artikli 6 lõike 1 punkt c.
• Puudumised: liik (puhkus, haigus, vaba aeg ületundide eest, hoolduspuhkus, püha, eripuhkus, koolitus, palgata), ajavahemik, olek, menetleja; haiguse puhul ilma diagnoosita — töögraafik, tasu maksmise jätkamine — IKÜMi artikli 6 lõike 1 punktid b ja c.
• Asukohakontroll kande tegemisel: tulemus „tsoonis“, „väljaspool tsooni“ või „asukoht pole saadaval“ koos ajahetke ja täpsusega meetrites; ei koordinaate ega liikumisteid — kande usutavus — tegevuskoha riigi õiguse kohaselt (B osa); IKÜMi artikkel 88.
• Seadistamise tõendid (vastavus): vastutava töötleja andmed riigi, ettevõtte suuruse ja töötajate esinduse kohta, üles laaditud kokkulepped ja protokollid, andmekaitsealase mõjuhinnangu kuupäev, iga töötaja teadmiseks võtmised ja nõusolekud koos ajahetke ja dokumendi versiooniga, tagasivõtmised — tõendamine, et riigisisese õiguse kohaselt nõutavad sammud on tehtud enne funktsiooni kasutamist — IKÜMi artikli 6 lõike 1 punktid c ja f, nõusolekute puhul IKÜMi artikkel 7.
• Seadmeandmed: seadme identifikaator, avalik võti, mudel ja operatsioonisüsteemi versioon, tõuketeadete tunnus (push-token), olek (aktiivne, asendatud, lukustatud), registreerimise ajahetk — üks seade isiku kohta, võltsimisvastane kaitse — IKÜMi artikli 6 lõike 1 punkt f.
• Dokumendid (valikuline): sotsiaalkindlustusse registreerimine, kirjalik teave oluliste töötingimuste kohta, tööleping, tõendid koos võimaliku kehtivuse lõppkuupäevaga, ettevõtte nõutud ja töötaja üles laaditud dokumendid, palgalehed ja aasta palgateatised koos automaatselt pakutud väljade ja kontrollimärkega, kõigil juhtudel koos märkega selle kohta, kas dokument on asjaomasele töötajale rakenduses nähtav — personalitoimik, palgaarvestuse ettevalmistamine — IKÜMi artikli 6 lõike 1 punkt c koostoimes tegevuskoha riigi õigusega (B osa); need dokumendid võivad sisaldada riiklikke isikukoode või muid üldkasutatavaid tunnuseid (näiteks sotsiaalkindlustusnumber), mida vastutav töötleja talletab üksnes oma riigi õiguse raames. Palgadokumente näevad üksnes juhtkond, vastutava töötleja poolt sõnaselgelt volitatud isikud ja asjaomane töötaja; iga juurdepääs logitakse. Säilitamine: palgadokumendid andmeliigi „Palgadokumendid“ kohaselt (tähtaeg ja selle algus B osa järgi), ülejäänud dokumendid andmeliigi „Töötajate dokumendid“ kohaselt.
• Arstitõend (valikuline): töövõimetuse algus ja eeldatav kestus ilma diagnoosita — haiguse tõendamine ja tasu maksmise jätkamine — terviseandmed, IKÜMi artikli 9 lõike 2 punkt b koostoimes selle riigi õigusnormiga, kus töötaja töötab ja mille kohaselt tööandja võib tõendit nõuda (B osa). Kui töövõimetusest teatatakse elektrooniliselt sotsiaalkindlustusasutuse kaudu, talletab vastutav töötleja üksnes talle ettenähtud teabe ilma diagnoosita; kui tõend sisaldab diagnoosikoodi, muudab ta selle enne üleslaadimist loetamatuks. Juurdepääs üksnes juhtkonnale, vastutava töötleja poolt selleks sõnaselgelt volitatud isikutele ja asjaomasele töötajale; iga juurdepääs logitakse. Säilitamine andmeliigi „Töötajate dokumendid“ kohaselt.
• Tööjõukulu (valikuline, nähtav juhtkonnale ja juhtkonna poolt lubatud juhtidele („Tööjõukulu“)): brutopalk koos ajalooga (summa, ühik, palkade arv aastas, nädalatunnid, töösuhte liik, tööandja kulumäär), lisatasud, ettemaksed, korrigeerimised koos ajalooga — sisemine kalkulatsioon — IKÜMi artikli 6 lõike 1 punkt f.
• Käibeandmed tegevuskohtade kaupa (valikuline): päevakäive ja sihtväärtus — tööjõukulu osakaalu näitaja — ei ole isikuandmed; neid analüüsitakse üksnes koos tööjõukuluga.
• Logid: tegevuslogi (kes, mida, millal, enne/pärast), teavitused — tõendamine, turvalisus — IKÜMi artikli 5 lõige 2 ja artikkel 32.
• Andmesubjektide kategooriad: vastutava töötleja töötajad, töövõtu- või käsunduslepingu alusel töötavad isikud, renditöötajad, praktikandid ja õpipoisid. Back Office’i kasutajad (juhtkond, juhid, maksunõustajad) ja vastutava töötleja kontaktisik ei kuulu käesoleva kokkuleppe esemesse; nende andmete osas on volitatud töötleja ise vastutav töötleja (privaatsuspoliitika, punktid 6 ja 7).
• Eesmärgid: personali töökorralduse kavandamine; tööaja, sealhulgas puhkepauside arvestamise kohustuse täitmine tegevuskoha riigi õiguse kohaselt; kande usutavus; puudumiste haldamine; saadavuse, vahetuste vahetamise ja ettevõtte teadete korraldamine; personalidokumentide hoidmine ja kättesaadavaks tegemine; palgaarvestuse ettevalmistamine; süsteemi turvalisus ja jälgitavus.
• Säilitamine (vastutav töötleja võib seda muuta seadusjärgsete miinimumväärtuste piires): tööajaarvestuse, tegevuslogi, töötajate dokumentide (andmeliik „employee_documents“, sealhulgas üles laaditud tõendid ja arstitõendid), palgadokumentide, tööjõukulu ja arhiveeritud töötajaprofiilide (seejärel anonüümimine) vaikeväärtused ja miinimumväärtused nimetab B osa tegevuskoha riigi õiguse kohaselt; kohaloleku algsündmused 3 kuud, lühemalt, kui riigi õigus seda nõuab (B osa); teavitused 6 kuud. Saadavuse andmed, vahetustehingud ja lugemiskinnitused kustutatakse koos vastava töögraafiku või teatega, kuid hiljemalt 12 kuu pärast.

2. lisa — Lubatud teised volitatud töötlejad

Seisuga 28. september 2026. Volitatud töötleja kasutab järgmisi teisi volitatud töötlejaid; kehtiv loetelu on nähtav Back Office’is jaotises Seaded → Tellimus.

• Teenuse majutamine (serverid, andmebaas, failide hoidmine, varukoopiad): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Saksamaa — andmekeskus Falkenstein (Saksamaa, piirkond fsn1), objektisalvestus (Object Storage) samas piirkonnas. Tagatis: andmetöötlusleping IKÜMi artikli 28 kohaselt; töötlemist väljaspool ELi ei toimu.
• Veebisaidi nymtime.com majutamine ja edastamine ning kogu andmeliikluse suunamine aadressidele api.nymtime.com, app.nymtime.com ja admin.nymtime.com (pöördproksi, edastuskrüpteerimine, kaitse ülekoormusrünnete eest): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München / Cloudflare, Inc., San Francisco, USA). TLS-ühendus lõpeb Cloudflare’is; seega töötleb Cloudflare tehniliselt kõiki edastatavaid andmeid, sealhulgas töötajate andmeid edastamise ajal, kuid ei salvesta teenuse sisu — vahemällu salvestatakse üksnes staatilised failid, lisaks ühenduslogid rünnete tõrjumiseks. Tagatis: andmetöötlusleping IKÜMi artikli 28 kohaselt; edastamine USAsse ELi-USA andmekaitseraamistiku (EU-US Data Privacy Framework) kohase sertifitseerimise (IKÜMi artikkel 45) ja standardsete andmekaitseklauslite (IKÜMi artikli 46 lõike 2 punkt c) alusel.
• E-kirjade saatmine (sisselogimis- ja kutselingid, töötaja rakenduse aktiveerimiskoodid, teavitused, lepingu- ja maksete teated, arved): Resend, Inc., San Francisco, USA — saatmine teenuse Amazon Simple Email Service kaudu piirkonnas eu-west-1 (Iirimaa). Töödeldavad andmed: saaja aadress, sõnumi teema, sisu ja kättetoimetamise olek. Tagatis: andmetöötluse lisa (Data Processing Addendum) 28.09.2026 (IKÜMi artikkel 28); edastamine USAsse ELi-USA andmekaitseraamistiku (IKÜMi artikkel 45) ja standardsete andmekaitseklauslite (IKÜMi artikli 46 lõike 2 punkt c) alusel.
• Tõuketeated töötaja rakendusele: Expo (650 Industries, Inc., USA), kättetoimetamine seadmetele teenuse Apple Push Notification service (Apple Inc.) või Firebase Cloud Messaging (Google) kaudu. Töödeldavad andmed: seadme tõuketeadete tunnus (push-token), teavituse identifikaator ja liik, üldine tekst ilma isikuandmeteta. Tagatis: andmetöötlusleping IKÜMi artikli 28 kohaselt; edastamine USAsse ELi-USA andmekaitseraamistiku (IKÜMi artikkel 45) ja standardsete andmekaitseklauslite (IKÜMi artikli 46 lõike 2 punkt c) alusel.
• Väljade automaatne tuvastamine dokumentides (üksnes siis, kui vastutav töötleja selle funktsiooni aktiveerib): teenusepakkuja, kes töötleb andmeid ELis ega kasuta andmeid treenimise eesmärgil — lisatakse siia enne funktsiooni aktiveerimist; seni on funktsioon välja lülitatud.
• Aadressiotsing Back Office’is (soovitused tegevuskoha aadressi sisestamisel): Komoot GmbH, Hauptstraße 35, 12159 Berlin, Saksamaa (teenus Photon, serverid ELis; andmete alus OpenStreetMap, ODbL 1.0). Edastatakse üksnes sisestatud aadressitekst; päringu teeb meie server, mitte brauser. Töötajate andmeid ei edastata. Asendusena rikke korral: OpenStreetMap Foundationi teenus Nominatim, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Ühendkuningriik — sihtasutusega ei ole võimalik andmetöötluslepingut sõlmida; teenus saab üksnes aadressiteksti ja sellelt tehakse päring üksnes varulahendusena. Avaliku teenuse Photon jaoks ei paku Komoot andmetöötluslepingut; edastatakse üksnes sisestatud asukoha aadressi tekst, töötajate andmeid ei edastata.

Täielikkuse huvides — iseseisvad vastutavad töötlejad, mitte teised volitatud töötlejad: Euroopa Komisjon, Rue de la Loi 200, 1049 Brüssel, Belgia (vastutava töötleja käibemaksukohustuslase registreerimisnumbri kinnitamine käibemaksualase teabevahetuse süsteemis VIES; edastatakse üksnes riigikood ja käibemaksukohustuslase registreerimisnumber, õiguslik alus IKÜMi artikli 6 lõike 1 punkt c koostoimes § 11 Abs 1a UStG 1994 (Austria käibemaksuseadus); töötajate andmeid ei edastata), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Iirimaa (maksete töötlemine, arvete esitamine ja tellimuste haldamine vastutava töötleja kui kliendi jaoks; edastamine ettevõttele Stripe, Inc. (USA) ELi-USA andmekaitseraamistiku ja standardsete andmekaitseklauslite alusel) ning Österreichische Post AG, Rochusplatz 1, 1030 Wien, või kullerteenus (NFC-siltide kättetoimetamine äri- või tarneaadressile; saab üksnes saatmisandmed: ärinimi, kontaktisik, aadress, vajaduse korral telefoninumber). Ükski neist vastuvõtjatest ei töötle vastutava töötleja töötajate andmeid.

3. lisa — Tehnilised ja korralduslikud meetmed (IKÜMi artikkel 32)

Volitatud töötleja rakendab eelkõige järgmisi meetmeid:

• Füüsilise ja süsteemidele juurdepääsu kontroll: teenust käitatakse üksnes ELis asuvates andmekeskustes; füüsilise juurdepääsu kontroll ja ISO 27001 kohane sertifitseerimine on nõuded teenuse majutusteenuse pakkujale (Hetzner Online GmbH, 2. lisa); haldusjuurdepääs üksnes isikustatud kontode kaudu SSH-võtmetega, kaheastmeline autentimine halduskonsooli jaoks samuti nõudena majutusteenuse pakkujale; ühiskasutuses kontot ei ole.
• Juurdepääsukontroll tootes: rollidel ja õigustel põhinev õiguste süsteem (juhtkond, juhid, töötajad, muud üksikute õigustega rollid), juhtide piiramine neile määratud tegevuskohtadega; tööjõukulu andmed üksnes juhtkonnale; arstitõendid ja palgadokumendid üksnes juhtkonnale, vastutava töötleja poolt sõnaselgelt volitatud isikutele ja asjaomasele töötajale, iga juurdepääs neile logitakse; sisselogimine Back Office’isse isikustatud kasutajakontode kaudu, kus kasutajatunnus on e-posti aadress ja parool salvestatakse üksnes juhusliku soolaga räsiväärtusena (scrypt) — parooli määramine ühekordse lingi kaudu (kehtib 24 tundi), lähtestamine ühekordse lingi kaudu (kehtib 1 tund), uue e-posti aadressi kinnitamine uuele aadressile saadetud koodiga, 15-minutiline lukustus pärast 10 ebaõnnestunud katset, kõigi olemasolevate seansside lõpetamine iga paroolimuudatuse korral, seansiküpsis, mis aegub 14 päeva pärast, valikuline kaheastmeline autentimine (TOTP-rakendus, vastutav töötleja saab selle aktiveerida kogu ettevõtte jaoks, taastekoodid üksnes räsiväärtusena, TOTP-saladus salvestatakse krüpteeritult); töötaja rakenduse aktiveerimine talletatud e-posti aadressile saadetud ühekordse koodiga (piiratud kehtivus, kõige rohkem 5 katset, päringud aadressi ja IP-aadressi kohta piiratud); juurdepääsud logitakse.
• Seadme sidumine: täpselt üks aktiivne seade töötaja kohta; krüptograafiline võtmepaar seadme turvalises mälus; iga registreerimine allkirjastatakse seadme poolt; uus seade seotakse üksnes pärast e-posti koodi kinnitamist ja tegevuskohal kohaloleku tõendamist (NFC-silt või asukohakontroll) — senine seade lukustatakse seejuures automaatselt, ettevõtet teavitatakse ja vahetus logitakse; ettevõte võib seadme igal ajal lukustada.
• NFC-sildid: NXP NTAG 424 DNA, seadistatud dünaamilisele, iga puudutuse puhul krüptograafiliselt allkirjastatud sõnumile (Secure Unique NFC) koos loenduri kontrolliga — kavandatud kopeerimise ja taasesitamise vältimiseks; kiibi võtit ei avaldata telefonile ega kasutajatele; tegevuskoha tahvlil olev QR-kood viib üksnes töötaja rakenduse allalaadimislehele ega ole registreerimisviis; tegevuskoha kanne ilma NFC-ta üksnes tegevuskoha tsooni piires.
• Võimalikult väheste andmete kogumine: koordinaate ega liikumisteid ei salvestata; registreerimisel fotosid ei tehta — pildid jõuavad süsteemi üksnes töötaja enda üles laaditud dokumentidena (näiteks arstitõend); asukohast üksnes kande tegemisel tehtud kontrolli tulemus („tsoonis“, „väljaspool tsooni“, „asukoht pole saadaval“, ajahetk, täpsus); taustal asukohta ei määrata; kontroll üksnes vahetuse ajal ja üksnes tegevuskohtades, kus riigi õigus seda lubab ja vastutav töötleja ei ole seda välja lülitanud; algsündmused kustutatakse 3 kuu pärast, lühemalt, kui riigi õigus seda nõuab; tõuketeated ilma isikuandmeteta.
• Krüpteerimine: edastamine üksnes TLS 1.2 või uuema kaudu (kuni Cloudflare’i pöördproksini ja sealt uuesti krüpteerituna kuni teenuse serveriteni); andmebaas asub majutusteenuse pakkuja juures LUKS-iga (dm-crypt, AES-XTS) krüpteeritud köidetel; dokumendid krüpteerib rakendus enne objektisalvestusse talletamist AES-256-GCM-iga, võtmed asuvad üksnes rakendusserverites; andmebaasi varukoopiad krüpteerib pgBackRest enne objektisalvestusse talletamist AES-256-ga; võtmed ja juurdepääsuandmed väljaspool lähtekoodi; paroolid ja sisselogimiskoodid üksnes juhusliku soolaga räsiväärtusena.
• Terviklus ja jälgitavus: muutumatu tegevuslogi (lisamine lubatud, muutmine ja kustutamine andmebaasireegliga takistatud) kõigi turvalisuse seisukohast oluliste toimingute kohta; üksnes pehme kustutamine (soft delete) koos ajatempliga; tööaja parandused koos põhjenduse, menetleja ja varasema väärtusega.
• Serverilogid: rakendusserverite (liides, veebiserver) logid sisaldavad IP-aadresse, kuid mitte dokumentide sisu ega palgaandmeid; neid roteeritakse suuruse järgi (kõige rohkem viis faili, igaüks 10 MB, teenuse kohta) ja kustutatakse hiljemalt 30 päeva pärast.
• Käideldavus: kaks andmebaasiserverit pideva replikatsiooniga; igapäevased varukoopiad (iganädalaselt täielikud, iga päev diferentsiaalsed, lisaks tehingulogide pidev arhiveerimine) kuni 35-päevase säilitamisega, krüpteeritult majutusteenuse pakkuja ELis asuvas objektisalvestuses; igakuine automaatne taastamistest; seire koos häiretega; registreerimiste ajutine salvestamine seadmes ühenduse katkemise korral.
• Eraldamine: kliendiandmete loogiline eraldamine organisatsioonivõtme abil igas päringus; eraldi keskkonnad arenduse, testimise ja tootmise jaoks; tootmisandmeid test- ega arenduskeskkondades ei ole.
• Säilitamine ja kustutamine: andmeliikide kaupa seadistatavad tähtajad koos jõustatud seadusjärgsete miinimumväärtustega; igapäevane automatiseeritud kustutamis- ja anonüümimisprotsess koos logiga; tagastamine ja kustutamine punkti 10 kohaselt.
• Toe juurdepääs: tavapärase tegevuse käigus ei ole volitatud töötlejal juurdepääsu kliendiandmetele; juurdepääs üksnes pärast vastutava töötleja luba koos ulatuse, kestuse ja võimalusega see igal ajal tagasi võtta; iga juurdepääs logitakse.
• Korraldus: kõigi osaliste konfidentsiaalsuskohustus; dokumenteeritud protsess isikuandmetega seotud rikkumiste korral koos teatamisega 48 tunni jooksul; töötlemistoimingute register IKÜMi artikli 30 lõike 2 kohaselt; nende meetmete iga-aastane läbivaatamine; turvauuendused mõistliku aja jooksul; lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtted (IKÜMi artikkel 25) arendusprotsessis.

4. lisa — Sidusettevõtjad vastutavate töötlejatena (punkti 1 lõige 4)

4. lisa on nende sidusettevõtjate loetelu, kelle eest klient sõlmib käesoleva kokkuleppe punkti 1 lõike 4 alusel: ärinimi, riik, aadress, käibemaksukohustuslase registreerimisnumber (kui see on esitatud) ja tegevuskohad, mille tööandja ettevõtja on. Klient peab loetelu Back Office’is; selle kehtiv redaktsioon on seal igal ajal kättesaadav ning iga loetelu muudatust käsitatakse dokumenteeritud juhisena punkti 3 tähenduses. Kuni ühtegi sidusettevõtjat ei ole kantud, on klient kõigi tegevuskohtade vastutav töötleja.

B1. Õiguslikud alused töösuhte kontekstis

(1) Töösuhte kontekstis toimuvale töötlemisele kohaldatakse IKÜMi artiklit 88, töölepingu seaduse (TLS) § 28 lõike 2 punkte 4, 7 ja 11 ning 30 või enama töötaja korral töötajate usaldusisiku seaduse (TUIS) §-e 17–21. Eraldi seadust töötajate jälgimise kohta Eestis ei ole.

(2) Enne töötlemist koostab vastutav töötleja kirjaliku õigustatud huvi analüüsi, nagu Andmekaitse Inspektsioon seda ootab, ning teavitab töötajaid üldiselt (töökorralduse reeglid) ja eelnevalt konkreetselt (IKÜMi artikkel 13). 30 või enama töötaja korral teavitab ta kirjalikult usaldusisikut või töötajaid; registreerimise võtab vastutav töötleja kasutusele kõige varem 15 tööpäeva pärast seda ja, kui konsulteerimist taotleti, alles pärast selle lõppemist. Asukohakontroll kande tegemisel (A osa punkti 2 lõige 2 ja 1. lisa) eeldab lisaks iga tegevuskoha põhjendust ja õigustatud huvi analüüsi vastavat osa (IKÜMi artikli 6 lõike 1 punkt f), lauset töökorralduse reeglites ja asjaomaste töötajate eelnevat konkreetset teavitamist, mille vastutav töötleja talletab Back Office’is.

B2. Tööajaarvestus

Tööajaarvestus (A osa punkti 2 lõige 1 ja 1. lisa) on TLS § 28 lõike 2 punkti 4 kohane tööajaarvestus; õiguslik alus on IKÜMi artikli 6 lõike 1 punkt c koostoimes selle sättega. Volitatud töötleja ei edasta andmeid ametiasutustele.

B3. Töövõimetus ja dokumendid

(1) Eestis tõendatakse töövõimetust elektrooniliselt (töövõimetusleht); tööandja saab andmed ilma diagnoosita Tervisekassa kaudu ja töötaja ei pea tõendit esitama. Seetõttu ei kasuta vastutav töötleja nende tõendite jaoks funktsiooni „Arstitõend“ (A osa 1. lisa); vajaduse korral talletab ta üksnes talle ettenähtud andmed ilma diagnoosita (IKÜMi artikli 9 lõike 2 punkt b).

(2) A osa 1. lisa kohaste dokumentide hulka kuuluvad Eestis eelkõige tööleping, töökorralduse reeglid ja palgalehed; õiguslik alus on IKÜMi artikli 6 lõike 1 punktid b ja c koostoimes töölepingu seadusega. Isikukoodi talletab vastutav töötleja üksnes siis, kui õigusnorm seda nõuab. Biomeetrilisi andmeid ei töödelda.

B4. Andmekaitsealane mõjuhinnang

Andmekaitse Inspektsiooni loetelu nõuab andmekaitsealast mõjuhinnangut töötajate jälgimise puhul üksnes ulatusliku töötlemise korral. Asukohakontrolli puhul kande tegemisel on see soovitatav; NFC-sildiga registreerimise puhul piisab lühikesest eelhindamise märkest. Punkti B1 lõike 2 kohane õigustatud huvi analüüs tuleb igal juhul koostada enne töötlemist. Volitatud töötleja abistab A osa punkti 9 kohaselt.

B5. Säilitamine

Eestis asuvate tegevuskohtade vaikeväärtused, mida vastutav töötleja võib miinimumväärtuste piires muuta: tööajaarvestus 84 kuud (miinimum 24 kuud); kohaloleku algsündmused 3 kuud; asukohakontrolli tulemus („tsoonis“, „väljaspool tsooni“, täpsus) eemaldatakse ajakandest 90 päeva pärast kannet, ajakanne jääb alles; tegevuslogi 84 kuud (miinimum 24 kuud); töötajate dokumendid (andmeliik „employee_documents“) 84 kuud; palgadokumendid 120 kuud (miinimum 120 kuud); tööjõukulu 84 kuud; teavitused 6 kuud; arhiveeritud töötajaprofiilid 84 kuud, seejärel anonüümimine. Eesti töö-, sotsiaalkindlustus-, maksu- ja raamatupidamisõiguse kohased säilitamistähtajad jäävad vastutava töötleja enda kohustuseks (A osa punkti 10 lõige 1). Palgadokumentide tähtaeg algab selle kalendriaasta lõpust, mille kohta palgaarvestus käib (üleslaaditud palgalehtede puhul üleslaadimise aasta lõpust).

B6. Järelevalveasutus

Vastutava töötleja pädev järelevalveasutus on Andmekaitse Inspektsioon (AKI), Tatari 39, 10134 Tallinn, info@aki.ee, www.aki.ee. Volitatud töötleja pädev järelevalveasutus on Austria andmekaitseasutus (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.