Kasutus- ja andmetöötlustingimused

Versioon 1.0 · Jõustub 1. novembril 2026

I osa. Kasutustingimused

1. Üldsätted ja mõisted

1.1. Käesolevad kasutus- ja andmetöötlustingimused (edaspidi Tingimused) reguleerivad VITS solutions Eesti OÜ (registrikood 16549739, aadress L. Koidula tn 16, 90502 Haapsalu, e-post info@vits.ee; edaspidi VITS) tööohutuse ja töökeskkonna juhtimise tarkvara kasutamist ning isikuandmete töötlemist, mida VITS teeb selle kasutamisel Kliendi nimel.

1.2. Tingimused moodustavad VITS-i ja Kliendi vahelise lepingu (edaspidi Leping). Kui Klient ja VITS on sõlminud Teenuslepingu, kohalduvad Tingimused üksnes ulatuses, milles Teenusleping neile viitab. Isikuandmete töötlemise küsimustes on Tingimuste II osa I osa ees.

1.3. Platvormi pakutakse üksnes juriidilistele isikutele ja asutustele nende majandus- või kutsetegevuses. Tarbijale ette nähtud õigusi, sh taganemisõigust, Lepingule ei kohaldata.

1.4. Tingimustes kasutatakse järgmisi mõisteid:

• Platvorm – VITS-i veebipõhine tööohutuse ja töökeskkonna juhtimise tarkvara, mida pakutakse teenusena (SaaS), sh töötajate portaal ja mobiilirakendus.
• Klient – juriidiline isik või asutus, kes kasutab Platvormi Lepingu alusel.
• Konto – Platvormis ühe Kliendi jaoks avatud eraldi keskkond.
• Kasutaja – füüsiline isik, kellele on antud Kontole ligipääs. Peakasutaja on Kasutaja, kellel on Kontol administraatori õigused.
• Töötaja – Kliendi töötaja või muu isik, kelle andmeid Klient Platvormis töötleb, sh töötajate portaali ja mobiilirakenduse kasutaja.
• Kliendi andmed – andmed, mille Klient, Kasutajad või Töötajad Platvormi sisestavad või mis tekivad Platvormi kasutamisel, sh isikuandmed.
• Prooviperiood – Konto loomisest algav tasuta ajavahemik Platvormi testimiseks (punkt 4).
• Teenusleping – VITS-i ja Kliendi vahel eraldi sõlmitud leping Platvormi tasuliseks kasutamiseks.
• Pool – VITS või Klient, koos Pooled.

1.5. Kui Klient kasutab Platvormi VITS-i partneri (edaspidi Partner) kaudu ja Partner on Kliendi Konto VITS-ilt tellinud, ei kohaldata Prooviperioodi sätteid (punkt 3.1, peatükk 4, punkt 10.1 ja punktid 11.2–11.5), olenemata sellest, kas Konto avas Klient või Partner. Sel juhul nõustub Klient Tingimustega Partneri kaudu. Klient võib Platvormi kasutada seni, kuni Partner on Konto VITS-ilt tellinud, ning kasutusõiguse ulatuse ja tasud lepivad kokku Klient ja Partner. VITS käsitleb Partneri korraldusi Konto kohta Kliendi korraldustena, kuni Klient ei ole VITS-ile teatanud teisiti.

1.6. VITS vastutab Partneri kaudu Platvormi kasutava Kliendi ees üksnes tahtlikult või raske hooletuse tõttu tekitatud kahju eest. See ei piira isikuandmete kaitse üldmääruse artiklist 82 tulenevat vastutust. Kui Partner Konto sulgeb ja Klient ei sõlmi VITS-iga Teenuslepingut, Konto lukustatakse ning VITS väljastab Kliendi taotlusel tema andmed ja kustutab need 35 päeva jooksul pärast Konto sulgemist.

2. Lepingu sõlmimine, konto ja kasutajad

2.1. Leping jõustub, kui Klient nõustub Tingimustega Konto loomisel, märkides selleks kohustusliku linnukese, või punktis 1.5 sätestatud korras. Kliendi nimel nõustuv isik kinnitab, et tal on õigus Klienti esindada.

2.2. VITS võib Konto avamisest keelduda või Konto kasutamise peatada mõjuval põhjusel.

2.3. Üks Konto on ühe juriidilise isiku jaoks.

2.4. Peakasutaja annab ja eemaldab Kasutajate õigused. Klient tagab, et Kasutajatel on ligipääs üksnes neile vajalikele andmetele ja et lahkunud isikute ligipääs eemaldatakse viivitamata.

2.5. Kasutajakonto on isikustatud ja seda ei tohi teistega jagada. Kasutaja hoiab oma kasutajatunnused salajas. VITS soovitab kasutada Platvormis pakutavat kaheastmelist autentimist.

2.6. Klient teavitab VITS-i viivitamata, kui kahtlustab, et tema Kontole on pääsenud volitamata isik. Klient vastutab Kontol tema Kasutajate tehtud toimingute eest.

2.7. Klient hoiab Kontol oma ja Peakasutaja kontaktandmed ajakohasena, sest VITS saadab Lepinguga seotud teated neile.

3. Teenuse sisu ja kättesaadavus

3.1. VITS annab Kliendile Prooviperioodi ajaks lihtlitsentsi kasutada Platvormi selle testimiseks.

3.2. VITS arendab Platvormi pidevalt ning võib funktsionaalsust lisada, muuta või asendada.

3.3. Prooviperioodil antakse Platvorm kasutada sellisena, nagu see on. VITS ei taga Platvormi katkematut ega veatut toimimist.

3.4. Platvorm on töövahend. Selle kasutamine ei asenda tööandja kohustusi töötervishoiu ja tööohutuse seaduse ning muude õigusaktide järgi ega pädeva isiku hinnangut. Platvormis olevad näidised ja põhjad on üldised ning Klient kohandab need oma töökeskkonnale.

3.5. Klient vastutab Platvormis koostatud dokumentide sisu õigsuse ja nende kasutamise eest.

4. Prooviperiood

4.1. Konto loomisel saab Klient tasuta Prooviperioodi 30 päevaks. VITS võib Prooviperioodi Kliendi soovil pikendada. Klient esitab soovi VITS-ile kirjalikult Platvormi vestlusakna kaudu.

4.2. Prooviperioodil on kasutatav Platvormi kogu funktsionaalsus, sh tehisintellektil põhinevad funktsioonid. Mõned liidestused ja lisafunktsioonid (nt ühekordne sisselogimine ja töötervishoiuteenuse osutaja liides) lülitab VITS sisse Kliendi soovil.

4.3. Prooviperiood on tasuta ega muutu automaatselt tasuliseks. Tasuline kasutus algab, kui Klient ja VITS sõlmivad Teenuslepingu ja andmetöötluslepingu.

4.4. VITS võib Prooviperioodi ennetähtaegselt lõpetada, teatades sellest Kliendile e-posti teel, eelkõige kui Kontot kasutatakse Tingimusi rikkudes.

4.5. Pärast Prooviperioodi kasutatav funktsionaalsus lepitakse kokku Teenuslepingus ja see võib erineda Prooviperioodil kasutatust.

4.6. VITS soovitab Prooviperioodil kasutada näidisandmeid või üksnes testimiseks vajalikke andmeid. Klient ei sisesta Prooviperioodil terviseandmeid ega isikukoode, kui see ei ole testimiseks vältimatult vajalik. Tehisintellektil põhinevatesse funktsioonidesse ei sisestata terviseandmeid ega isikukoode ka testimisel (punkt 19.3).

4.7. Prooviperiood võib toimuda ka VITS-i eraldi prooviperioodi keskkonnas. Sealt ei viida andmeid Teenuslepingu sõlmimisel üle ning need kustutatakse punkti 11.4 kohaselt.

5. Kliendi kohustused ja lubatud kasutus

5.1. Klient kasutab Platvormi õiguskorra ja Tingimuste kohaselt. Klient ei tohi:

• Platvormi kopeerida, muuta ega pöördprojekteerida ega luua selle põhjal tuletatud teoseid;
• Platvormi kasutusõigust edasi müüa ega kolmandatele isikutele kasutada anda;
• püüda pääseda ligi teiste klientide andmetele ega Platvormi osadele, milleks tal õigust ei ole;
• koormata Platvormi viisil, mis häirib selle toimimist, sh teha automatiseeritud massipäringuid ilma VITS-i loata;
• laadida Platvormi pahavara ega õigusvastast sisu.

5.2. Klient on Platvormis töödeldavate isikuandmete vastutav töötleja. Kliendi kohustused isikuandmete töötlemisel on sätestatud Tingimuste II osas.

5.3. Klient vastutab Platvormi sisestatud andmete õigsuse eest ja selle eest, et tal on õigus Platvormi üles laaditud dokumente ja muud sisu kasutada.

5.4. Klient tagab, et Kasutajad ja Töötajad järgivad Tingimusi.

6. Kasutajatugi

6.1. VITS osutab Kasutajatele kasutajatuge tööpäeviti kell 9.00–17.00 Platvormi vestlusakna ja e-posti (info@vits.ee) kaudu ning vastab pöördumisele hiljemalt ühe tööpäeva jooksul.

6.2. Kasutajatugi hõlmab nõuandeid Platvormi kasutamise kohta ja Platvormi vigade lahendamist. Kasutajate väljaõpe ja Kliendi andmete sisestamine ei ole kasutajatoe osa.

6.3. Pöördumise lahendamiseks võivad VITS-i töötajad siseneda Kliendi Kontole ulatuses, mis on selleks vajalik.

7. Kliendi andmed ja konfidentsiaalsus

7.1. Kliendi andmed kuuluvad Kliendile. VITS kasutab Kliendi andmeid üksnes Lepingu täitmiseks.

7.2. Isikuandmete töötlemisel on Klient vastutav töötleja ja VITS volitatud töötleja. VITS töötleb isikuandmeid Tingimuste II osa alusel.

7.3. VITS võib kasutada anonüümitud ja koondandmeid, millest ei ole võimalik tuvastada Klienti ega ühtegi isikut, Platvormi arendamiseks, statistikaks ja turvalisuse tagamiseks. VITS ei kasuta Kliendi isikuandmeid tehisintellekti mudelite treenimiseks.

7.4. Pooled hoiavad konfidentsiaalsena teise Poole ärisaladused ja Lepingu täitmisel teatavaks saanud mitteavaliku teabe. Kohustus kehtib Lepingu kehtivuse ajal ja 3 aastat pärast selle lõppemist, isikuandmete suhtes tähtajatult.

7.5. Konfidentsiaalsuskohustus ei kehti avalikult kättesaadavale teabele ega teabele, mille avaldamist nõuab seadus.

8. Intellektuaalomand

8.1. Kõik õigused Platvormile, sh tarkvarale, disainile, andmebaasidele ja VITS-i loodud sisule (nt näidisdokumendid ja juhendite põhjad), kuuluvad VITS-ile või tema litsentsiandjatele. Leping ei anna Kliendile muid õigusi kui punktides 1.5 ja 3.1 nimetatud.

8.2. Kliendi loodud sisu ja Kliendi andmed kuuluvad Kliendile. Klient annab VITS-ile Lepingu kehtivuse ajaks õiguse kasutada seda sisu ulatuses, mis on vajalik Platvormi teenuse osutamiseks.

8.3. VITS võib Kliendi tagasisidet ja arendusettepanekuid tasuta kasutada Platvormi arendamiseks.

9. Kolmandate isikute teenused, integratsioonid ja tehisintellekt

9.1. Klient võib Platvormi siduda kolmandate isikute teenustega, nt personalisüsteemi, töötervishoiuteenuse osutaja infosüsteemi, dokumendiarhiivi või ühekordse sisselogimise (SSO) teenusega. Kolmanda isiku teenusele kehtivad selle teenuse tingimused. VITS ei vastuta kolmanda isiku teenuse toimimise eest.

9.2. Klient võib lisada Platvormi sisule kolmandate isikute videoid ja linke (nt YouTube, Vimeo). Nende vaatamisel kehtivad vastava teenuse tingimused ja privaatsuspõhimõtted.

9.3. Platvormi tehisintellektil põhinevad funktsioonid (nt juhendite koostamine ja tõlkimine) on valikulised ega ole Platvormi põhifunktsioonide kasutamiseks vajalikud. Need kasutavad välise teenuseosutaja keelemudelit. Funktsiooni kasutamisel edastatakse teenuseosutajale funktsioonile esitatud tekst, failid ja pildid. Alamtöötlejad on loetletud Lisas 3.

9.4. Tehisintellekti loodud tulemus võib sisaldada vigu. Klient laseb tulemuse enne kasutamist üle vaadata pädeval isikul ja vastutab selle kasutamise eest.

9.5. Koolitusturu tehingutele kehtivad ostu tegemisel kuvatavad tingimused.

10. Vastutus

10.1. Prooviperiood on tasuta, mistõttu VITS vastutab Prooviperioodil üksnes tahtlikult või raske hooletuse tõttu tekitatud kahju eest. See ei piira isikuandmete kaitse üldmääruse artiklist 82 tulenevat vastutust.

10.2. VITS ei vastuta kahju eest, mis tuleneb Kliendi sisestatud andmetest, Kliendi või Kasutajate tegevusest, Platvormis koostatud dokumentide sisust (punkt 3.5) või kolmandate isikute teenustest (punkt 9).

10.3. Pool ei vastuta kohustuse rikkumise eest, mille põhjustas vääramatu jõud: asjaolu, mida Pool ei saanud mõjutada ega mõistlikult ette näha (nt loodusõnnetus, sõjategevus, ulatuslik küberrünnak, elektri-, side- või pilveteenuse katkestus). Pool teavitab teist Poolt sellest viivitamata.

11. Konto peatamine ja Prooviperioodi lõppemine

11.1. VITS võib Konto või Kasutaja ligipääsu ajutiselt peatada, kui Kasutaja rikub punkti 5 või ohustab Platvormi turvalisust või kui seda nõuab seadus või ametiasutus. VITS teatab peatamisest ette, välja arvatud kiireloomulise turvaohu korral. Peatamise ajal Kliendi andmed säilivad.

11.2. Kui Teenuslepingut ei sõlmita, lõpeb Leping Prooviperioodi lõppemisel ja Konto lukustatakse. Andmetöötlustingimused kehtivad kuni andmete kustutamiseni.

11.3. Prooviperioodi jooksul saab Klient andmeid Platvormi aruannete kaudu eksportida. Pärast Prooviperioodi lõppu väljastab VITS Kliendi taotlusel Kliendi andmed masinloetavas vormingus (nt XLSX või CSV) koos Kliendi üleslaaditud failidega kuni andmete kustutamiseni.

11.4. VITS kustutab lukustatud Konto ja Kliendi andmed 35 päeva jooksul pärast Prooviperioodi lõppu. Kliendi taotlusel kustutab VITS andmed varem.

11.5. Kui Klient sõlmib Teenuslepingu, jäävad Prooviperioodil sisestatud andmed Kontole ning nende töötlemisele kohaldatakse Teenuslepingut ja andmetöötluslepingut. See ei kehti punktis 4.7 nimetatud keskkonnale.

12. Tingimuste muutmine ja lõppsätted

12.1. VITS võib Tingimusi muuta, teatades muudatusest Kliendile e-posti teel või Platvormis vähemalt 30 päeva ette. Kliendi jaoks ebasoodsa olulise muudatuse korral võib Klient Lepingu muudatuse jõustumise päevast üles öelda. Platvormi kasutamise jätkamist pärast muudatuse jõustumist loetakse muudatusega nõustumiseks. Alamtöötlejate muutmisele kohaldatakse punkti 16.

12.2. Kehtivad Tingimused on avaldatud VITS-i veebilehel koos versiooni ja jõustumise kuupäevaga.

12.3. Klient ei või Lepingust tulenevaid õigusi ja kohustusi üle anda ilma VITS-i kirjaliku nõusolekuta. VITS võib Lepingu üle anda Platvormi või oma äri omandajale, teatades sellest Kliendile.

12.4. Teated edastatakse e-posti teel: VITS-ile aadressil info@vits.ee ja Kliendile Kontol märgitud Peakasutaja aadressil.

12.5. Lepingule kohaldatakse Eesti õigust. Vaidlused lahendatakse läbirääkimiste teel, kokkuleppe puudumisel Harju Maakohtus.

12.6. Kui mõni Lepingu säte osutub kehtetuks, ei mõjuta see ülejäänud sätete kehtivust.

12.7. Tingimused jõustuvad 1. novembril 2026.

II osa. Andmetöötlustingimused

13. Ese ja rollid

13.1. Tingimuste II osa (edaspidi Andmetöötlustingimused) reguleerib isikuandmete töötlemist, mida VITS teeb Kliendi nimel Platvormi teenuse osutamisel. Klient on vastutav töötleja ja VITS volitatud töötleja isikuandmete kaitse üldmääruse (EL) 2016/679 (edaspidi üldmäärus) artikli 28 tähenduses.

13.2. Andmetöötlustingimusi ei kohaldata isikuandmetele, mida VITS töötleb vastutava töötlejana: Kliendi kontaktisikute ja Kasutajate kontaktandmed kliendisuhte haldamiseks, arveldamiseks ja teavitusteks ning rünnakuna tuvastatud võrguliikluse IP-aadressid, mida VITS edastab oma serverite kaitseks kaasvastutavale töötlejale CrowdSec SAS-ile (Prantsusmaa). Nende töötlemist kirjeldab VITS-i privaatsuspoliitika.

13.3. Töötlemise ese, laad, eesmärk, isikuandmete liigid ja andmesubjektide kategooriad on kirjeldatud Lisas 1. VITS töötleb isikuandmeid Lepingu kehtivuse ajal ja pärast seda punktis 20 sätestatud korras.

13.4. Andmetöötlustingimused kehtivad seni, kuni VITS töötleb Kliendi andmeid, sh pärast Lepingu lõppemist kuni andmete kustutamiseni. Kui Klient ja VITS sõlmivad eraldi andmetöötluslepingu, asendab see Andmetöötlustingimused.

14. VITS-i kohustused

14.1. VITS töötleb isikuandmeid üksnes Kliendi dokumenteeritud juhiste alusel. Kliendi juhised on Leping, Kliendi ja Kasutajate toimingud ja seadistused Platvormis ning Kliendi kirjalikud korraldused. Kui VITS peab juhist õigusaktiga vastuolus olevaks, teavitab ta sellest Klienti viivitamata.

14.2. VITS ei töötle isikuandmeid oma eesmärkidel ega kasuta neid tehisintellekti mudelite treenimiseks ega turunduseks. Kui õigusakt kohustab VITS-i isikuandmeid töötlema, teavitab VITS sellest Klienti enne töötlemist, kui seadus seda ei keela.

14.3. Isikuandmetele on ligipääs üksnes VITS-i töötajatel ja alamtöötlejatel, kes seda oma ülesannete täitmiseks vajavad ja kes on kohustatud hoidma andmeid konfidentsiaalsena.

14.4. VITS-i töötajad sisenevad Kliendi Kontole üksnes kasutajatoe osutamiseks, vigade kõrvaldamiseks või turvalisuse tagamiseks ja ainult vajalikus ulatuses.

14.5. VITS rakendab Lisas 2 kirjeldatud tehnilisi ja korralduslikke meetmeid ning ajakohastab neid tehnika arengu ja riskide muutumise järgi. Muudatused ei tohi kaitse taset alandada.

14.6. VITS peab üldmääruse artikli 30 lõike 2 kohast töötlemistoimingute registrit.

15. Kliendi kohustused

15.1. Klient vastutab selle eest, et isikuandmete töötlemine Platvormis on õiguslik. Kliendil on töötlemiseks õiguslik alus, ta on andmesubjekte töötlemisest teavitanud (üldmääruse artiklid 13 ja 14) ja ta sisestab Platvormi üksnes eesmärgi saavutamiseks vajalikke andmeid.

15.2. Terviseandmeid (nt tervisekontrolli otsused ja vigastuste andmed) ja isikukoode töötleb Klient Platvormis üksnes ulatuses, mis on vajalik tema töötervishoiu ja tööohutuse kohustuste täitmiseks.

15.3. Klient määrab Kasutajate õigused nii, et terviseandmetele ja muudele tundlikele andmetele on ligipääs üksnes neid vajavatel Kasutajatel.

15.4. Klient vastab andmesubjektide taotlustele. VITS abistab Klienti punkti 18 kohaselt.

15.5. Klient teavitab VITS-i viivitamata, kui ta saab teada Platvormiga seotud isikuandmetega seotud rikkumisest või turvanõrkusest.

15.6. Kui Klient seob Platvormi kolmanda isiku süsteemiga (nt personalisüsteemi või töötervishoiuteenuse osutaja süsteemiga), vastutab Klient andmete edastamise õigusliku aluse eest. VITS ei vastuta kolmanda isiku süsteemi eest.

16. Alamtöötlejad

16.1. Klient annab VITS-ile üldise loa kasutada alamtöötlejaid. Alamtöötlejate kehtiv nimekiri on Lisas 3 ja VITS-i veebilehel.

16.2. VITS teatab Kliendile alamtöötleja lisamisest või asendamisest vähemalt 14 päeva ette e-posti teel või Platvormis. Klient võib selle aja jooksul esitada põhjendatud vastuväite. Kui Klient vastuväidet ei esita, loetakse muudatus aktsepteerituks. Kui Pooled vastuväite korral lahendust ei leia, võib Klient Lepingu muudatuse jõustumise päevast üles öelda.

16.3. VITS sõlmib alamtöötlejaga kirjaliku lepingu, mis paneb talle samad andmekaitsekohustused kui Andmetöötlustingimused. VITS vastutab Kliendi ees alamtöötleja kohustuste täitmise eest.

16.4. Kolmanda isiku süsteem, millega Klient on Platvormi ise sidunud (punkt 15.6), ei ole VITS-i alamtöötleja.

17. Turvalisus ja isikuandmetega seotud rikkumised

17.1. VITS rakendab üldmääruse artikli 32 kohaseid turvameetmeid, mis on kirjeldatud Lisas 2.

17.2. VITS teavitab Klienti Kliendi andmeid puudutavast isikuandmetega seotud rikkumisest viivitamata, kuid hiljemalt 24 tunni jooksul pärast sellest teadasaamist. Teates on rikkumise laad ja aeg, puudutatud andmeliigid, andmesubjektide ligikaudne arv, tõenäolised tagajärjed, võetud ja kavandatud meetmed ning kontaktisik. Kui kõike ei ole võimalik teatada korraga, annab VITS teavet järk-järgult.

17.3. VITS võtab viivitamata meetmed rikkumise tagajärgede leevendamiseks ja dokumenteerib rikkumise.

17.4. Andmekaitse Inspektsiooni ja andmesubjektide teavitamise üle otsustab Klient. VITS ei teavita neid Kliendi nimel ilma Kliendi nõusolekuta, välja arvatud juhul, kui seadus seda nõuab.

18. Abi Kliendile ja auditid

18.1. VITS abistab Klienti andmesubjekti õiguste tagamisel: juurdepääs, parandamine, kustutamine, piiramine, ülekandmine ja vastuväited. Klient saab andmeid Platvormis vaadata, parandada ja eksportida. Kui taotluse täitmiseks Platvormi funktsioonidest ei piisa, teeb VITS vajaliku toimingu Kliendi korraldusel.

18.2. Kui andmesubjekti või ametiasutuse taotlus Kliendi andmete kohta jõuab VITS-ini, edastab VITS selle viivitamata Kliendile ega vasta sellele ise, välja arvatud juhul, kui seadus seda nõuab.

18.3. VITS abistab Klienti üldmääruse artiklites 32–36 sätestatud kohustuste täitmisel: turvalisus, rikkumisest teavitamine, andmekaitsealane mõjuhinnang ja eelnev konsulteerimine. Abi ulatus sõltub töötlemise laadist ja VITS-i käsutuses olevast teabest.

18.4. VITS teeb Kliendile kättesaadavaks teabe, mis on vajalik Andmetöötlustingimuste täitmise tõendamiseks.

18.5. Klient või tema volitatud audiitor võib VITS-i andmetöötlust auditeerida, teatades sellest vähemalt 30 päeva ette. Audit tehakse tööajal, see ei tohi häirida VITS-i tegevust ega ohustada teiste klientide andmeid ning audiitor on kohustatud hoidma saladust. Auditit võib teha kuni kord aastas, välja arvatud pärast isikuandmetega seotud rikkumist või järelevalveasutuse nõudel. Auditi kulud kannab Klient.

18.6. Kui Klient vajab abi tavapärasest suuremas mahus, võib VITS selle eest võtta mõistlikku tasu eelneva kokkuleppe alusel. Tasu ei võeta, kui abi on vajalik VITS-i rikkumise tõttu.

19. Andmete edastamine väljapoole Euroopa Majanduspiirkonda

19.1. Kliendi andmed ja failid hoitakse Euroopa Majanduspiirkonnas (EMP), välja arvatud punktis 19.4 nimetatud eelvaade.

19.2. VITS edastab isikuandmeid väljapoole EMP-d üksnes Lisas 3 märgitud alamtöötlejale ja üldmääruse V peatüki kohaste kaitsemeetmete alusel, välja arvatud punktis 19.4 nimetatud eelvaade. Kaitsemeede on Euroopa Komisjoni kaitse piisavuse otsus (sh EL–USA andmekaitseraamistik) või Euroopa Komisjoni standardsed andmekaitseklauslid (rakendusotsus (EL) 2021/914).

19.3. Tehisintellektil põhinevad funktsioonid on valikulised ega ole Platvormi põhifunktsioonide kasutamiseks vajalikud. Kui Kasutaja funktsiooni kasutab, edastatakse funktsioonile esitatud tekst, failid ja pildid Lisas 3 nimetatud keelemudeli teenuseosutajale USA-sse. Klient ei sisesta neisse funktsioonidesse terviseandmeid ega isikukoode.

19.4. Mõne failitüübi (nt .doc, .ppt, .pptx, .odt, .rtf ja .txt, mobiilibrauseris ka PDF) eelvaate kuvamiseks edastatakse fail Google’i või Microsofti failivaaturisse, mis võib asuda väljaspool EMP-d.

20. Säilitamine, tagastamine ja kustutamine

20.1. Lepingu kehtivuse ajal saab Klient andmeid Platvormist eksportida. Pärast Lepingu lõppemist väljastab VITS Kliendi taotlusel Kliendi andmed punkti 1.6 või 11.3 kohaselt.

20.2. Pärast Lepingu lõppemist kustutab VITS Kliendi andmed punkti 1.6 või 11.4 kohaselt, kui õigusakt ei nõua nende säilitamist, ja kinnitab Kliendi taotlusel kustutamist kirjalikult.

20.3. Varukoopiates olevad andmed kustuvad varukoopiate tavapärase asendumise käigus hiljemalt 35 päeva pärast kustutamist. Kuni selleni neid ei kasutata ja need on kaitstud nagu muud Kliendi andmed.

20.4. Sisselogimiste ajalugu säilitatakse kuni 12 kuud ja muudatuste ajalugu koos Kliendi andmetega. Mõlemad kustutatakse koos Kliendi andmetega. Rakenduse logifaile säilitatakse serveris ja logiteenuses kuni 30 päeva, vigade ja turvasündmuste logisid serveris kuni 90 päeva ning logiarhiivis (EL) kuni 6 kuud.

20.5. Seadusest tulenevate dokumentide säilitamise tähtaegade järgimise eest vastutab Klient.

21. Vastutus

21.1. Pooled vastutavad Andmetöötlustingimuste rikkumise eest üldmääruse artikli 82 ning punktide 1.6 ja 10 kohaselt.

Lisa 1. Töötlemise kirjeldus

Ese ja eesmärk. VITS töötleb isikuandmeid Platvormi teenuse osutamiseks, et Klient saaks korraldada töötervishoidu ja tööohutust ning täita töötervishoiu ja tööohutuse seaduse nõudeid. See hõlmab Platvormi funktsioone, e-kirja ja SMS-i teel saadetavaid teavitusi, PDF-dokumentide koostamist, autentimist (sh Smart-ID, Mobiil-ID ja ID-kaart), Kliendi tellitud liidestusi, valikulisi tehisintellektil põhinevaid funktsioone, kasutajatuge, turvalisuse tagamist ja varundamist.

Laad. Kogumine Kliendi sisestuse ja importide kaudu, salvestamine, korrastamine, kuvamine, päringud, edastamine teavituste ja liidestuste kaudu, väljavõtted ja kustutamine.

Kestus. Lepingu kehtivuse aeg ja punktis 20 sätestatud aeg pärast seda.

Andmesubjektid.

• Kliendi töötajad, sh endised ja ajutiselt eemal olevad töötajad.
• Kasutajad: Kliendi administraatorid, töökeskkonnaspetsialistid, juhid ning Kliendi teenuseosutajate töötajad.
• Muudes rollides isikud: juhendajad, töökeskkonnavolinikud, tööandja ja töötajate esindajad.
• Välised isikud: välisaudiitorid, vahejuhtumis kannatanud mittetöötajad (nt alltöövõtja töötaja või külastaja), tunnistajad, vahejuhtumist teatajad, vahejuhtumist teavitatud välised isikud ja tervisekontrolli arstid.

Isikuandmete liigid.

Eriliigilised isikuandmed. Terviseandmeid sisaldavad tervisekontrollide, vahejuhtumite ja tööõnnetuste ning kaugtöö riskianalüüsi andmed. Terviseandmeid võivad sisaldada ka vabatekstilised väljad, dokumendid ja fotod.

Isikukood. Isikukoodi töödeldakse töötajate ja kannatanute tuvastamiseks, sisselogimisel, juhendamise ja väljaõppe kinnitustes, tervisekontrolli broneerimisel ning Kliendi aruannetes (nt tööõnnetuse teade Tööinspektsioonile).

Lisa 2. Tehnilised ja korralduslikud turvameetmed

Majutus ja töökindlus

• Platvorm töötab Amazon Web Servicesi pilves Euroopa Liidus. Serverid, andmebaas ja failid asuvad Rootsis (Stockholm), andmebaasi varukoopiad ka Saksamaal (Frankfurt). AWS järgib teenuse osutamisel standardi ISO 27001 nõudeid.
• Arendus- ja tootmiskeskkonna serverid ja teenused on eraldatud. Tootmisandmeid arendus- ega testkeskkonnas ei kasutata ega kopeerita. Automaattestides kasutatakse ainult testandmeid. Punktis 4.7 nimetatud prooviperioodi keskkond asub samuti AWS-is EL-is, selle andmebaas on krüpteeritud ja failid hoitakse eraldi.
• Andmebaasist tehakse varukoopia iga päev ja täiskoopia kord nädalas. Varukoopiaid säilitatakse EL-is (Rootsis ja Saksamaal) 35 päeva. Failide varasemaid ja kustutatud versioone säilitatakse 35 päeva. Taastamist testitakse vähemalt kord kuue kuu jooksul ja tulemus dokumenteeritakse. Kui andmed taastatakse varukoopiast, kustutatakse uuesti andmed, mis olid enne taastamist kustutatud.
• Tõrke korral taaskäivitatakse rakendus automaatselt.

Andmete kaitse

• Andmebaasile pääseb ligi üksnes rakendusserveritelt suletud turvagruppide kaudu või krüpteeritud ühenduse kaudu. Rakenduse andmebaasikontol on üksnes minimaalsed vajalikud õigused.
• Andmebaas ja failid on salvestamisel krüpteeritud. Töötajatevaheliste sõnumite sisu ja autentimise saladused salvestatakse täiendavalt krüpteeritult.
• Andmeside Platvormiga ja andmebaasiühendused on krüpteeritud.

Juurdepääsu kontroll

• Kasutajate õigused määratakse rollide ja valdkondade kaupa. Isikuandmetele ja terviseandmetele on eraldi õigused, mida saab piirata osakondade kaupa.
• Iga Kliendi andmed on teiste klientide andmetest loogiliselt eraldatud ja ligipääsuõigusi kontrollitakse serveris.
• Paroolid salvestatakse tugeva räsialgoritmiga ja paroolile kehtivad keerukuse nõuded.
• Kaheastmeline autentimine on kõigile Kasutajatele kättesaadav ning Klient saab selle oma Kontol kohustuslikuks teha.
• Sisse saab logida ka ühekordse sisselogimisega (SAML 2.0, OpenID Connect) ning Smart-ID, Mobiil-ID ja ID-kaardiga.
• Korduvaid ebaõnnestunud sisselogimisi piiratakse ja tegevusetu seanss aegub.

VITS-i töötajate ligipääs

• Kliendi Kontole pääsevad üksnes selleks volitatud VITS-i töötajad ja iga sisenemine logitakse.
• Isikuandmetele on ligipääs üksnes töötajatel, kes seda vajavad, ja nad on kohustatud hoidma konfidentsiaalsust.
• VITS-i töötajad kasutavad AWS-i kontodel kaheastmelist autentimist. Platvormi superkasutajad, kellel on ligipääs Klientide Kontodele, kasutavad kohustuslikku kaheastmelist autentimist. Serveritele pääseb ligi ainult SSH-võtmega lubatud IP-aadressidelt ja andmebaasile ainult krüpteeritud SSH-tunneli kaudu.

Logimine ja jälgimine

• Olulistel andmetel (nt töötajad, kasutajad, juhendamised, väljaõpe, Vahendid, vahejuhtumid ja tegevuskavad) säilitatakse muudatuste ajalugu.
• Sisselogimised logitakse ja Platvormi Kasutaja näeb oma viimaseid sisselogimisi.
• Pahatahtlikud päringud tuvastatakse automaatselt ja nende allikad blokeeritakse.
• VITS jälgib andmebaasi ja rakendusserverite tööd ning reageerib kahtlasele tegevusele viivitamata.

Korralduslikud meetmed

• Alamtöötlejatega on sõlmitud andmetöötluslepingud.
• Isikuandmetega seotud rikkumised registreeritakse ja neid käsitletakse kehtestatud korra alusel.

Lisa 3. Alamtöötlejad

VITS kasutab Platvormi teenuse osutamisel järgmisi alamtöötlejaid.

Kliendi enda valitud liidestused ei ole VITS-i alamtöötlejad (punkt 16.4). Need on nt personalisüsteemid, töötervishoiuteenuse osutaja infosüsteem, dokumendiarhiiv, Slack ja ühekordse sisselogimise (SSO) teenus.