Andmetöötlusleping

See dokument reguleerib isikuandmete töötlemist, mida Animiyo teostab rentniku nimel. Rentnik tähendab veterinaarkliinikut, lemmikloomapoodi või -teenust või kasvatajat, kes tegutseb platvormi eraldi töökeskkonnas, oma töötajate ja oma klientidega. Selle piiri sees määrab rentnik töötlemise eesmärgid ja vahendid ning on vastutav töötleja; Animiyo pakub taristut, täidab saadud juhiseid ja on volitatud töötleja määruse (EL) 2016/679 artikli 4 punkti 8 tähenduses.

Leping sõlmitakse ilma eraldi allkirjata. See muutub siduvaks hetkel, mil rentniku töökeskkond aktiveeritakse ja /termini lehel avaldatud tingimused aktsepteeritakse: sellest hetkest on käesolev tekst lehe ülaosas näidatud kuupäeval kehtivas versioonis artikli 28 lõike 3 nõutav õigusakt. Rentnik, kes vajab oma dokumentatsiooni jaoks allkirjastatud koopiat, saab seda taotleda /contatti lehelt ning saab sama teksti kuupäevastatud ja allkirjastatud dokumendina.

Leping ei hõlma töötlemist, mille puhul Animiyo määrab eesmärgid ja vahendid ise, see tähendab platvormi isiklikel eesmärkidel kasutavate lemmikloomaomanike kontosid: nende puhul on Animiyo vastutav töötleja ja kohaldatav dokument on /privacy lehel olev teatis. Samuti ei hõlma see teenusepakkujaid, keda rentnik ise valib ja kes jäävad tema vastutusalasse, nagu on kirjeldatud /sub-responsabili lehel. Eristus on oluline, sest see määrab, kelle poole andmesubjekt peab pöörduma taotlusega ja kes vastutab järelevalveasutuse ees.

Animiyo on mitme rentnikuga platvorm, seega tema roll muutub sõltuvalt kõnealustest andmetest, mitte hetkest. Sama looma ümber võivad kõrvuti eksisteerida kaks eraldiseisvat töötlemistoimingut: kirje, mida omanik peab iseenda jaoks, kus Animiyo on vastutav töötleja, ja kliiniline dokumentatsioon, mille kliinik kirjutab oma töökeskkonnas, kus vastutav töötleja on kliinik. Tabel näitab, kus piir kulgeb, funktsioon funktsiooni haaval, ja seda tuleks lugeda koos vastava tabeliga /privacy lehel olevas teatises, millega see ühtib.

Kaks rolli ei kattu ega ole mugavuse huvides vahetatud. Kui Animiyo tegutseb volitatud töötlejana, ei otsusta ta, milliseid andmeid koguda või kui kaua neid säilitada: ta täidab rentniku dokumenteeritud juhiseid ja kui ta läheb neist kaugemale, loetakse teda selle töötlemise osas artikli 28 lõike 10 alusel vastutavaks töötlejaks koos kõigi sellest tulenevate tagajärgedega. Kui ta seevastu tegutseb vastutava töötlejana, vastutab ta otseselt oma valikute eest ega saa tugineda kellegi juhisele.

Animiyost allavoolu ahel jätkub. /sub-responsabili lehel loetletud teenusepakkujad töötlevad andmeid Animiyo nimel ning suhtes rentnikuga on nad artikli 28 lõigete 2 ja 4 alusel volitatud alltöötlejad. Ahel on seega lineaarne ja kontrollitav: rentnik on vastutav töötleja, Animiyo on volitatud töötleja, Google Ireland Limited koos Google LLC-ga on taristuteenuste alltöötleja. Käesoleva lepingu kuupäeval ei ole ühtegi teist lüli.

Artikli 28 lõige 3 nõuab, et õigusakt sätestaks teatavad elemendid täpselt, ja praktikas taandatakse need sageli üldisesse lisasse. Siin on need kirjutatud dokumendi põhiteksti ja seotud platvormil tegelikult olemasolevate funktsioonidega, sest abstraktne loetelu ei võimalda vastutaval töötlejal midagi kontrollida.

Eesmärgid ei ole üldised. Igaüks vastab toote osale, mille rentnik lubab või jätab keelatuks, ning ükski neist ei hõlma andmete kasutamist muul viisil kui vastutava töötleja soovitud viisil. Eelkõige ei kasutata rentniku nimel töödeldavaid andmeid Animiyo enda eesmärkidel, kaubandusstatistika, profileerimise ega tehisintellekti mudelite treenimise jaoks.

• Kliendikirjete ja ravitavate loomade haldamine, sealhulgas omaniku volitatud jagamised.
• Kliinilise dokumentatsiooni kirjutamine ja säilitamine: SOAP-märkmed, laboritulemused, kroonilised seisundid, haiglaravi.
• Vaktsineerimiste, ravimravide, ussitõrjeravide ja kaalumõõtmiste registreerimine.
• Vastuvõtupäevik, rentniku seadistatud vastuvõtutüübid ja nendega seotud meeldetuletused.
• Nõusolekuvormid, allkirja jäädvustamine ja allkirjastatud nõusolekute säilitamine.
• Rentniku hallatavad hinnapakkumised, arved, tellimused, tellimused ja püsikliendiskeemid.
• Rentniku töötajate ja klientide vahelised vestlused platvormi sees.
• Platvormi turvalisus, auditilogi ja automatiseeritud kuritarvituste ennetamine.
• Andmete eksport vastutava töötleja või vastutava töötleja poole pöörduva andmesubjekti taotlusel.

Üks selgitus kestuse kohta hoiab ära sagedase arusaamatuse. Töötlemine ei lõpe päeval, mil rentnik lõpetab platvormi kasutamise, vaid päeval, mil allpool kirjeldatud tagastamise või kustutamise menetlus on lõpule viidud. Vahepealsel perioodil jätkab Animiyo andmete hoidmist, piirates töötlemist säilitamise ja andmete üleandmiseks või kustutamiseks vajalike toimingutega. See vahepealne periood ei ole piiramata: sellel on suhte lõppu käsitlevas jaotises sätestatud tähtajad.

Tabelis on loetletud andmete kategooriad, mida Animiyo rentniku nimel töötleb, koos konkreetsete näidetega ja Firestore'i kogudega, milles need asuvad. Kogude nimetamine ei ole üleliigne tehniline detail: see võimaldab vastutaval töötlejal kontrollida, et siin deklareeritu vastab süsteemis tegelikult olemasolevale, ning kirjeldada töötlemist oma registris sama täpsusega.

Kaasatud on neli andmesubjektide kategooriat ja neid tasub eraldi hoida, sest neil on erinevad ootused ja õigused ning kuna vastutav töötleja peab teavitama neid kõiki, mitte ainult oma maksvaid kliente.

• Rentniku kliendid, see tähendab kliiniku, poe või kasvataja ravitavate loomade omanikud.
• Isikud, kes on nimetatud looma kontaktisikuks: pereliikmed, leibkonnaliikmed, volitatud isikud, saatev veterinaar.
• Rentniku töötajad, kes pääsevad platvormile oma kontoga ja kelle toimingud satuvad auditilogisse.
• Kolmandad isikud, keda aeg-ajalt mainitakse märkme, tulemuse, hinnapakkumise või vestluse vabatekstis.

Viimane kategooria põhjustab kõige rohkem probleeme ja on ka volitatud töötleja jaoks kõige vähem kontrollitav. Vabatekstiväli aktsepteerib kõike, mis sinna trükitakse, sealhulgas andmeid isikute kohta, kellel ei ole platvormiga mingit suhet. Animiyo ei filtreeri professionaalsete märkmete sisu, sest selle filtreerimine tähendaks selle lugemist ja hindamist, see tähendab saadud juhiste ületamist. Vastutava töötleja ülesanne on juhendada oma töötajaid kirjutama vabatekstiväljadele ainult seda, mis on vajalik ja asjakohane, artikli 5 lõike 1 punkti c minimeerimise põhimõtte kohaselt.

Looma terviselukku salvestatud andmed ei ole terviseandmed määruse artikli 9 tähenduses. Põhjus on lihtne ega võimalda otseteid: artikkel 9 kaitseb andmesubjektiga seotud isikuandmete eriliike ja andmesubjekt on definitsiooni järgi füüsiline isik. Loom ei ole füüsiline isik, seega ei käivita tema kliiniline kirje artikli 9 lõikes 1 sätestatud keeldu ega erandi otsimist lõikes 2 loetletute hulgast.

See ei muuda neid andmeid anonüümseks, mis on vastupidine ja sama levinud viga. Vaktsineerimine, ravi, haiglaravi või laboritulemus on omistatav omanikule, kes on tuvastatud konto kaudu, millega loom on seotud: see kirjeldab tema kulutusi, harjumusi, käike vastuvõtule ja paljudel juhtudel tema perekondlikku olukorda. Seega jäävad need omaniku tavalisteks isikuandmeteks ja neid tuleb sellisena käsitleda, õigusliku aluse, teatise, säilitamistähtaegade ja täielikult kohaldatavate õigustega.

Eristusel on praktilised tagajärjed mõlemas suunas. Allapoole hoiab see vastutavat töötlejat otsimast selgesõnalist nõusolekut seal, kus piisab lepingust, mis muudab andmete kogumise asjatult keerukaks ja tühistatavaks töötlemistoimingu, mis seda ei ole. Ülespoole hoiab see ära looma kliinilise kirje käsitlemise ebaolulisena: kui rentnik teenindab suurt hulka kliente, kaaluvad selle teabe maht ja tajutav tundlikkus riskihindamises isegi artikli 9 puudumisel.

Tehniliselt rakendab Animiyo sellele teabele samu kaitsemeetmeid, mida kasutatakse eriliikide puhul, sõltumata selle õiguslikust klassifikatsioonist, sest volitamata juurdepääsust tulenev võimalik kahju on võrreldav.

• Juurdepääs on piiratud omanikuga ja nendega, keda ta on jagamise kaudu selgesõnaliselt volitanud.
• Firestore'i ja Cloud Storage'i turvareeglid, mis kontrollivad dokumendi omandiõigust iga lugemise ja iga kande puhul.
• Eraldatus rentnike vahel, nii et kliinik näeb ainult temaga jagatud loomi.
• Kliinilise dokumentatsiooni oluliste toimingute registreerimine rakenduse auditilogis.
• Krüpteerimine edastamisel TLS-iga ja säilitamisel 256-bitise AES-iga.
• Igasuguse teisese kasutuse puudumine: kaubandusstatistika, profileerimine ega mudelite treenimine.

Üks punkt jääb vastutava töötleja enda käsitleda. Kliinilise dokumentatsiooni vabatekstiväljad võivad jäädvustada andmeid füüsiliste isikute tervise kohta ja sel juhul kohaldatakse artiklit 9 täies ulatuses. Animiyo ei saa seda märgata, sest ta ei loe märkmete sisu. Seega peab vastutav töötleja juhendama oma töötajaid mitte sisestama teavet omaniku või kolmandate isikute tervise kohta, kui see ei ole looma raviks vajalik, ning koguma selgesõnalise nõusoleku, kui see on vajalik.

Animiyo töötleb rentniku andmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, artikli 28 lõike 3 punkti a kohaselt. Dokumenteeritud ei tähenda tingimata paberil kirjutatut: see tähendab taastatavat, juhise andjale omistatavat ja hiljem kontrollitavat. Tarkvaraplatvormil antakse enamik juhiseid toodet kasutades ja käesolev leping tunnistab seda selgesõnaliselt, selle asemel et teeselda, et kõik käib kirjavahetuse kaudu.

Artikli 28 lõige 3 lõpeb kohustusega, mis kulgeb kõigist teistest vastupidises suunas: volitatud töötleja peab viivitamata teavitama vastutavat töötlejat, kui tema arvates rikub juhis määrust või muid liidu või liikmesriigi andmekaitsesätteid. See ei ole viisakusakt ja see on ainus juhtum, mil volitatud töötleja peab vastutavale töötlejale vastu vaidlema. Animiyo teeb seda kirjalikult, /contatti lehelt rentniku administraatori e-posti aadressile, viie tööpäeva jooksul juhise saamisest, ja peatab ainult vaidlustatud osa täitmise, kuni ta saab vastuse.

Järgmistest juhistest, näite korras ja mitte ammendavalt, teatataks ja neid ei täidetaks. Need on realistlikud näited, mis on võetud platvormil tegelikult olemasolevatest funktsioonidest, mitte õpikuhüpoteesid.

• Rentniku auditilogi keelamine või juba kirjutatud kannete muutmine.
• Kliendi kliinilise dokumentatsiooni säilitamine kauem kui vastutava töötleja enda määratud periood, ilma täiendava õigusliku aluseta.
• Kliendi andmete avaldamine kolmandale isikule, keda vastutav töötleja või seadus ei ole volitanud.
• Juurdepääs juhist andvast rentnikust erineva rentniku andmetele, isegi võrdlemiseks või kontrollimiseks.
• Rentniku klientide kontaktandmete kasutamine kaubanduslike massisõnumite jaoks ilma kehtiva nõusolekuta.
• Andmesubjekti taotlusel kustutatud andmete taastamine varukoopiate abil.
• Andmete edastamine rentniku valitud teenusepakkujale, kes ei paku artikli 28 lõikega 1 nõutavaid tagatisi.
• Rentnike vahelise eralduse eemaldamine, et võimaldada ristotsingut teiste professionaalide loomade üle.

Kui vastutav töötleja pärast teatamist juhise kirjalikult kinnitab ja kinnitus ei kõrvalda tuvastatud õigusvastasust, siis Animiyo seda ei täida ja võib suhte lõpetada /termini lehel sätestatud etteteatamisajaga. Teade, kinnitus ja tulemus säilitatakse ning tehakse vastutavale töötlejale taotluse korral kättesaadavaks, sest need on tõendid selle kohta, kuidas iga pool käitus.

Artikli 28 lõike 3 punkt b nõuab, et andmete töötlemiseks volitatud isikud oleksid kohustunud tagama konfidentsiaalsuse või oleksid asjakohase seadusjärgse konfidentsiaalsuskohustuse all. Animiyos on tootmisandmetele juurdepääsu omavate inimeste arv väga väike ja langeb kokku nendega, kes teostavad platvormil tehnilist hooldust. Seda öelda on kasulikum kui kirjeldada olematut organisatsiooniskeemi: sellise suurusega teenuse puhul on peamine turvameede just see, et võimalikke juurdepääse on vähe ja kõik on jälgitavad.

• Kirjalik konfidentsiaalsuskohustus kõigile, kes pääsevad tootmisandmetele, kehtiv ka pärast suhte lõppu.
• Halduslik juurdepääs antakse vähima õiguse põhimõttel ja võetakse tagasi, kui selle õigustanud põhjus lakkab.
• Juurdepääs tootmisandmetele on lubatud ainult hoolduseks, defektide parandamiseks, turvaintsidendi käsitlemiseks või vastutava töötleja kirjaliku taotluse alusel.
• Mitmefaktoriline autentimine on kohustuslik petdiary-10327 projekti Google Cloudi konsooli kontodel.
• Oluliste haldustoimingute registreerimine rakenduse auditilogis ja taristupakkuja logides.
• Andmetele juurdepääsuga kolmanda osapoole klienditoeteenuse puudumine, nagu juba deklareeritud /sub-responsabili lehel.
• Tootmisandmete mittekasutamine testkeskkondades: testid kasutavad sünteetilisi andmeid või kohalikku emulaatorit.

Vastutav töötleja võib igal ajal taotleda /contatti lehelt projektis aktiivsete haldusrollide praegust loetelu ja kinnitust, et konfidentsiaalsuskohustused on allkirjastatud. Ta ei saa üksikisikute nimesid, mis on ise kolmandate isikute isikuandmed, kuid ta saab aktiivsete juurdepääsude arvu, igaühega seotud õiguse tüübi ja viimase läbivaatamise kuupäeva. See on teave, mis on vajalik meetme hindamiseks ilma uut töötlemistoimingut loomata.

Siin loetletud meetmed on need, mis on platvormil tegelikult rakendatud. Kolmas veerg on see, mis muudab tabeli kasulikuks: see sätestab, kuidas vastutav töötleja saab meedet iseseisvalt kontrollida, ilma et peaks deklaratsiooni usaldama. Turvameede, mida ei saa kontrollida, on väide, mitte tagatis.

Artikli 32 lõige 1 loetleb neli meetmete kategooriat. Vastavus ülaltoodud tabeliga on allpool esitatud täies ulatuses, nii et vastutav töötleja saab selle oma registrisse kopeerida ilma seda taastamata.

• Pseudonümiseerimine ja krüpteerimine, punkt a: krüpteerimine edastamisel TLS-iga ja säilitamisel 256-bitise AES-iga; pseudonümiseeritud tehnilised tunnused turvalogides ja avaliku saidi mõõtmises.
• Konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus, punkt b: kogupõhised turvareeglid, eraldatus rentnike vahel, rollipõhine kontroll, App Check, hallatavad teenused koos taristupakkuja liiasusega.
• Õigeaegne taastamine, punkt c: Google Cloudi hallatav varundamine ja replikatsioon Cloud Firestore'i ja Cloud Storage'i jaoks, koos teenusepakkuja dokumenteeritud taastamismenetlusega.
• Tõhususe korrapärane testimine, punkt d: meetmete läbivaatamine igas väljalaskes, mis puudutab autentimist, juurdepääsureegleid või andmestruktuuri, koos turvareeglite automatiseeritud testidega.

Kaht asja ei deklareerita ja nende puudumine on osa teabest. Animiyol ei ole omaenda sertifikaate: saadaolevad vastavusaruanded on need, mille Google avaldab Google Cloudi ja Firebase'i teenuste kohta, ja need puudutavad taristut, mitte rakendust. Ja ükski meede ei luba absoluutset turvalisust, mida ükski võrku ühendatud süsteem ei saa pakkuda. Vastutav töötleja peab seda oma riskihindamises arvesse võtma, selle asemel et pidada punkti lahendatuks, sest volitatud töötleja on selle loetlenud.

Käesoleva lepinguga annab vastutav töötleja Animiyole üldise volituse alltöötlejate kaasamiseks määruse (EL) 2016/679 artikli 28 lõike 4 alusel. Üldine volitus on ainus töötav valik SaaS-teenuse puhul, sest taristu on kõigi rentnike vahel jagatud ja iga alltöötleja jaoks eraldi volituse nõudmine muudaks igasuguse hoolduse võimatuks. See ei ole aga blankotšekk: vastutav töötleja säilitab õiguse eelnevalt teada, mis muutub, esitada vastuväide ja leping lõpetada.

Alltöötlejate autoriteetne ja pidevalt uuendatav loetelu avaldatakse /sub-responsabili lehel, kus iga teenusepakkuja kohta on esitatud teenus, andmete kategooriad, töötlemise asukoht ja edastamise alus. Käesoleva lepingu jõustumise kuupäeval on ahel koostatud järgmiselt.

• Google Ireland Limited koos Google LLC-ga täiendava alltöötlejana Firebase Authenticationi, Cloud Firestore'i, Cloud Storage for Firebase'i, Cloud Functionsi, Cloud Runi, Firebase Cloud Messagingu, Firebase App Checki koos reCAPTCHA Enterprise'iga ja Google Analytics 4 jaoks.
• Stripe Payments Europe Limited maksete töötlemiseks: integratsioon on koodis olemas, kuid lüüs on konfiguratsioonilipuga välja lülitatud, seega käesoleva lepingu kuupäeval ei saa see mingeid andmeid.

Väliseid andmeallikaid, mida kasutaja brauser otse päringu teeb, ei ole alltöötlejad: openFDA, Open Pet Food Facts, dog.ceo, Wikipedia, iNaturalist, frankfurter.app ja tile.openstreetmap.org. Need päringud ainult loevad andmeid, need ei kanna ei kontotunnuseid ega päeviku sisu ning neid ei tehta Animiyo juhiste alusel kogutud andmete kasutamise osas. Neile edastatavate ühendusandmete, eelkõige brauseri IP-aadressi osas on need teenused sõltumatud vastutavad töötlejad. Vastutav töötleja peab seda oma privaatsusteatises arvesse võtma, kui ta lubab funktsioone, mis neid kasutavad.

1. 1

   Teate avaldamine

   Vähemalt kolmkümmend päeva enne alltöötleja lisamist või asendamist avaldatakse muudatus /sub-responsabili lehel, näidates teenusepakkuja, teenuse, kaasatud andmed ja kavandatud aktiveerimiskuupäeva.

2. 2

   Sõnum vastutavale töötlejale

   Samaaegselt avaldamisega saadetakse teade e-posti aadressile, mille rentnik on oma profiili sisestanud. Selle aadressi ajakohasena ja jälgituna hoidmine on vastutava töötleja kohustus, sest just seal teade jõustub.

3. 3

   Põhjendatud vastuväide

   Vastutav töötleja võib esitada vastuväite viieteistkümne päeva jooksul teatest, kirjutades /contatti lehelt. Vastuväide peab olema põhjendatud, see tähendab, et selles tuleb märkida, milline konkreetne risk või milline õiguslik piirang muudab kavandatud teenusepakkuja vastuvõetamatuks.

4. 4

   Alternatiivse meetme otsimine

   Enne aktiveerimiskuupäeva kontrollivad pooled, kas vastuväite saab lahendada teistsuguse konfiguratsiooni, teistsuguse töötlemispiirkonna, edastatavate andmete vähendamise või selle funktsiooni jaoks teistsuguse teenusepakkujaga.

5. 5

   Lõpetamine ilma trahvita

   Kui vastuväidet ei saa lahendada, võib vastutav töötleja lõpetada ilma trahvita muudatusest mõjutatud teenuse osa, säilitades õiguse andmete tagastamisele suhte lõppu käsitlevas jaotises kirjeldatud menetluse kohaselt.

Igale alltöötlejale kehtestab Animiyo lepinguga andmekaitsekohustused, mis ei ole vähem koormavad kui käesoleva lepingu alusel võetud kohustused, nagu artikli 28 lõige 4 nõuab. Sama säte sätestab, et kui alltöötleja neid ei täida, jääb volitatud töötleja nende kohustuste täitmise eest vastutavale töötlejale täielikult vastutavaks. See tähendab, et vastutav töötleja ei pea taristu tõrke pärast Google Ireland Limitedi taga ajama: ta pöördub Animiyo poole, kes vastutab ja otsib seejärel hüvitist allavoolu. Kriteeriumid, mille alusel teenusepakkuja vastu võetakse või välja jäetakse, on kirjeldatud /sub-responsabili lehel ja hõlmavad absoluutset keeldu klauslitele, mis lubavad teenusepakkujal kasutada andmeid oma eesmärkidel.

Volitatud töötleja peab abistama vastutavat töötlejat rea kohustustega, mis jäävad vastutava töötleja enda kohustusteks, kuid mis praktikas vajavad teavet või vahendeid, mis on ainult volitatud töötlejal. Tabelis on esitatud iga kohustus, seda sätestav säte, konkreetne viis, kuidas see täidetakse, ja tähtaeg, mille jooksul vastutav töötleja saab vastuse.

Andmesubjektide õiguste puhul on reegel selge: Animiyo ei vasta sisuliselt vastutava töötleja nimel. Kui kliiniku klient küsib Animiyolt juurdepääsu oma kliinilistele andmetele või nende kustutamist, edastatakse taotlus pädevale vastutavale töötlejale viie tööpäeva jooksul ja andmesubjektile öeldakse, et see on edastatud, koos poole nimega, kelle poole pöörduda. Täielik menetlus koos vastamisaegade, isikusamasuse kontrollide ja otse rakenduses saadaolevate tööriistadega on kirjeldatud /diritti-privacy lehel. Vastutav töötleja jääb vabaks taotlust oma vahenditega käsitlema; Animiyo pakub tehnilisi väljavõtteid, mida ta vajab.

Andmekaitsealase mõjuhinnangu puhul on jaotus sama selge. Otsustamine, kas DPIA on vajalik, ja selle teostamine on vastutava töötleja kohustus, kes teab konteksti, oma klientide mahtu ja tegelikke eesmärke. Animiyo tarnib tehnilise tooraine ja märgib funktsioonid, mis kogemuse põhjal väärivad hindamisel tähelepanu. Allolev loetelu ei asenda vastutava töötleja enda analüüsi, kuid see näitab, kuhu risk koondub.

• Asukohaandmed jalutuskäikudest, jagatud marsruutidest ja rühmajalutuskäikudest, mis võivad paljastada harjumusi ja sagedasti külastatud kohti.
• Avalik kadunud looma sildi leht, mis on kättesaadav igaühele, kellel on link, isegi ilma kontota.
• Looma jagamine omaniku ja rentniku vahel, mis avab juurdepääsu valitud terviseandmete alamkogudele.
• Sümptomite triaaž, mis annab soovitusliku ettepaneku, mitte diagnoosi, kirjeldatud /privacy lehel automatiseeritud otsuste jaotises.
• Kliinilise dokumentatsiooni ulatuslik töötlemine, kus rentnik teenindab suurt hulka kliente.
• Andmete edastamine us-central1 piirkonda, kirjeldatud edastamiste jaotises.
• Alaealisi puudutavate andmete töötlemine, kus rentniku klient on alaealine või kus alaealisi puudutavad andmed ilmuvad vabatekstiväljadel.

Kui vastutav töötleja peab pärast hindamist järelevalveasutusega eelnevalt konsulteerima artikli 36 alusel, pakub Animiyo vajalikku tehnilist dokumentatsiooni ja vastab küsimustele, mille asutus esitab vastutava töötleja kaudu. Abi osutatakse tabelis näidatud piirides ilma lisatasuta; taotlused, mis ilmselgelt ületavad neid piire sageduses või ulatuses, kuuluvad dokumenteeritud kulude hüvitamisele, millest teatatakse eelnevalt ja mis aktsepteeritakse kirjalikult enne töö algust.

Isikuandmetega seotud rikkumine tähendab seda, mida määruse artikli 4 punkt 12 määratleb: turvanõuete rikkumine, mis põhjustab töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, volitamata avalikustamise või neile juurdepääsu. Seega hõlmab see ka juhtumeid, kus keegi ei ole midagi varastanud, näiteks andmekadu tehnilise tõrke tõttu või teenuse pikaajalist kättesaamatust. Volitatud töötleja ei otsusta, kas rikkumisest tuleb asutusele teatada: see hinnang kuulub vastutavale töötlejale ja oluline on, et kõik selle tegemiseks vajalik jõuab vastutava töötlejani kiiresti.

1. 1

   Tuvastamine ja kvalifitseerimine

   Iga sisemine teade, iga auditilogis märgatud anomaalia ja iga taristupakkujalt saadud teade kvalifitseeritakse viivitamata: me teeme kindlaks, kas tegemist on rikkumisega artikli 4 punkti 12 tähenduses ja millised rentnikud on mõjutatud.

2. 2

   Esimene hoiatus kahekümne nelja tunni jooksul

   Kahekümne nelja tunni jooksul pärast seda, kui Animiyo saab rikkumisest teada, saab mõjutatud vastutav töötleja esimese hoiatuse oma profiili e-posti aadressil, koos sellega, mis on juba teada, ja selgesõnalise avaldusega selle kohta, mida veel selgitatakse.

3. 3

   Uuendus seitsmekümne kahe tunni jooksul

   Seitsmekümne kahe tunni jooksul saab vastutav töötleja teatise allolevas tabelis sätestatud minimaalse sisuga, see tähendab elementidega, mida ta vajab, et otsustada, kas teatada järelevalveasutusele ja kas edastada rikkumine andmesubjektidele.

4. 4

   Lõpparuanne viieteistkümne päeva jooksul

   Viieteistkümne päeva jooksul teadasaamisest saab vastutav töötleja lõpparuande: juhtunu rekonstrueerimine, põhjused, tegelikult mõjutatud andmed, võetud parandusmeetmed ja kordumise vältimiseks kehtestatud ennetusmeetmed.

5. 5

   Tugi teatamisel ja edastamisel

   Vastutava töötleja taotlusel pakub Animiyo tehnilisi elemente, mis lisatakse artikli 33 kohasele teatele asutusele ja artikli 34 kohasele edastamisele andmesubjektidele, ning vastab asutuse järelküsimustele vastutava töötleja kaudu.

Teatamine järelevalveasutusele seitsmekümne kahe tunni jooksul artikli 33 alusel on vastutava töötleja kohustus ja Animiyo ei tee seda tema asemel, välja arvatud üksiku sündmuse kohta antud konkreetse kirjaliku volituse alusel. Põhjus ei ole vormiline: vastutava töötleja nimel teatamine tähendaks riski kvalifitseerimist teabe abil, mis on ainult vastutaval töötlejal, näiteks tema klientide tegelik arv, nende haavatavus ja kontekst, milles andmed koguti. Kahekümne nelja tunni tähtaeg esimese hoiatuse jaoks on kalibreeritud just selleks, et jätta vastutavale töötlejale aega tegutseda oma seitsmekümne kahe tunni jooksul.

Kui rikkumine puudutab andmeid, mille puhul Animiyo on vastutav töötleja, näiteks omanike kontod või platvormi auditilogi, langeb teatamine asutusele ja edastamine andmesubjektidele Animiyole, nagu on kirjeldatud /privacy lehel. Jagatud taristut mõjutav intsident toob tavaliselt kaasa mõlemad tagajärjed: Animiyo teatab osa kohta, kus ta on vastutav töötleja, ja teavitab rentnikke osa kohta, kus ta on volitatud töötleja, hoides kaks teatist eraldi, et vältida segadust rollide osas.

Suhte lõpus valib vastutav töötleja andmete tagastamise ja kustutamise vahel, artikli 28 lõike 3 punkti g alusel. Valik on vastutava töötleja, mitte volitatud töötleja oma, ja see tuleb edastada kirjalikult /contatti lehelt. Kui allpool sätestatud tähtaegade jooksul selgesõnalist valikut ei tehta, kustutatakse andmed: see on vaikimisi tulemus, sest andmete hoidmine ilma juhise ja õigusliku aluseta oleks andmesubjektide jaoks kõige riskantsem valik.

1. 1

   Suhte lõpp

   Suhe lõpeb kummagi poole lõpetamise, professionaalse litsentsi lõppemise või tühistamise, töökeskkonna sulgemise või alltöötlejale esitatud vastuväite järgse lõpetamisõiguse teostamise kaudu.

2. 2

   Kolmekümnepäevane ekspordiaken

   Suhte lõpust jookseb kolmkümmend päeva, mille jooksul jääb töökeskkond kättesaadavaks ainult lugemisrežiimis ja kõik ekspordivahendid jäävad aktiivseks. Selle akna jooksul saab vastutav töötleja alla laadida kõike, mida ta vajab, ilma kelleltki küsimata.

3. 3

   Valik tagastamise ja kustutamise vahel

   Sama kolmekümnepäevase akna jooksul teatab vastutav töötleja, kas ta soovib andmete abistatud üleandmist või kas kustutamine võib jätkuda. Abistatud üleandmine hõlmab ka sisu, mida rakendusesisesed tööriistad ei ekspordi.

4. 4

   Kustutamine töötavatest süsteemidest

   Akna lõpus või varem, kui vastutav töötleja seda küsib, kustutatakse andmed töötavatest süsteemidest kolmekümne päeva jooksul. Kustutamine hõlmab Cloud Firestore'i ja Cloud Storage'i ning sisaldab fotosid, üleslaaditud dokumente ja nõusolekute allkirju.

5. 5

   Kirjalik kinnitus

   Kui kustutamine on lõpule viidud, saab vastutav töötleja kirjaliku kinnituse, milles on märgitud toimingu kuupäev, mõjutatud kogud ja juriidilise kohustuse alusel säilitatud andmed koos asjakohase õigusliku alusega.

Varukoopiad vajavad selgitust, mille paljud lepingud välja jätavad. Google Cloudi hallatavad varukoopiad ja replikad ei võimalda üksiku dokumendi valikulist kustutamist: need jäävad alles, kuni projektis konfigureeritud rotatsioonitsükkel need üle kirjutab, ja neid ei kasutata kunagi taotlusel kustutatud andmete taastamiseks. Praegu konfigureeritud rotatsiooniaken avaldatakse vastutavale töötlejale taotlusel /contatti lehelt, koos eeldatava kuupäevaga, mil tema andmeid sisaldavad koopiad üle kirjutatakse. Ka varukoopiatest kohese kustutamise deklareerimine oleks rahustavam ja vähem tõene.

Andmed, mida volitatud töötleja on kohustatud säilitama liidu või liikmesriigi õiguse alusel, on kustutamisest välja jäetud, mis on juhtum, mille artikli 28 lõike 3 punkt g sõnaselgelt säilitab. Käesoleva lepingu kuupäeval puudutab peamine juhtum maksudokumente, mis muutuvad asjakohaseks, kui maksed on aktiivsed, ja mida tsiviil- ja maksuõigus nõuab säilitada kümme aastat. Nendel juhtudel piirdub töötlemine ainult säilitamisega, ilma päringu või täiendava kasutuseta, ja kustutamise kinnitus ütleb seda selgesõnaliselt.

Artikli 28 lõike 3 punkt h annab vastutavale töötlejale õiguse panustada audititesse, sealhulgas kontrollidesse. Klausel kirjutati volitatud töötleja jaoks, kellel on külastatav masinaruum, ja mitme rentnikuga SaaS-teenuse puhul see pilt ei tööta: Animiyol ei ole andmekeskusi, taristu on kõigi rentnike vahel jagatud ja igasugune ühele vastutavale töötlejale antud juurdepääs võiks ohustada teiste andmeid. Auditiõigus jääb puutumatuks, kuid seda teostatakse muude vahenditega kui kohapealne külastus, mis on siin loetletud, et vastutav töötleja teaks ette, mida ta saab.

Mõningaid asju ei saa vastutav töötleja saada ja neid tasub üles kirjutada enne, kui neid pingelisel hetkel küsitakse. Need ei ole piirid, mis on seatud volitatud töötleja mugavuse jaoks: igaüks kaitseb huvi, mida vastutav töötleja ise jagab, sest teistel rentnikel on oma andmete kohta samad ootused, mis tal on oma andmete kohta.

• Juurdepääs oma rentnikust erineva rentniku andmetele, dokumentidele või logidele, isegi mitte osalisel või koondatud kujul.
• Otsene juurdepääs Google Cloudi projekti petdiary-10327 halduskonsoolile.
• Lähtekoodi või täielike turvareeglite täielik koopia, mis kirjeldavad ka teisi rentnikke.
• Hävitavad testid, koormustestid või teenusetõkestusrünnakud, mis halvendaksid teenust kõigi jaoks.
• Füüsilised kontrollid andmekeskustes, mis kuuluvad taristupakkujale, mitte volitatud töötlejale.
• Tootmisandmete masseksport kontrolli eesmärgil, mis suurendaks riski, mitte ei vähendaks seda.
• Juurdepääs turvalogidele osas, mis puudutab teiste rentnike operaatoreid või kliente.

Kui vastutav töötleja peab ülalloetletud vahendeid konkreetse juhtumi jaoks ebapiisavaks, võib ta pakkuda alternatiivset lähenemist /contatti lehelt, märkides, millist konkreetset aspekti ta kavatseb kontrollida. Seejärel otsivad pooled lahendust, mis saavutab eesmärgi ilma kolmandate isikute andmeid avaldamata, näiteks juhendatud demonstratsioon testkeskkonnas või tehniline avaldus kitsa punkti kohta. Taotlusest ei keelduta ebatavalisuse pärast, vaid ainult siis, kui seda ei ole võimalik rahuldada ilma teiste andmesubjektide õigusi mõjutamata.

Platvormi peamised ressursid asuvad us-central1 piirkonnas, Ameerika Ühendriikides. Andmeid, mida rentnik oma klientide kohta töötleb, töödeldakse seega väljaspool Euroopa Majanduspiirkonda ja vastutav töötleja peab seda teadma enne lepingu allkirjastamist, mitte pärast. Edastamine tugineb kehtival õiguslikul alusel ja piisavatel tehnilistel meetmetel, mida on kirjeldatud siin ja täielikumalt /sub-responsabili lehel.

Kohaldatavad lepingu tüüptingimused on need, mille Euroopa Komisjon võttis vastu rakendusotsusega (EL) 2021/914. Animiyo ja Google Ireland Limitedi vahelises suhtes kohaldatakse kolmandat moodulit, volitatud töötlejalt alltöötlejale, mis on õige moodul, kui eksportija ise tegutseb vastutava töötleja nimel. Rentnikust vastutav töötleja jääb ahela algseks vastutavaks töötlejaks ja säilitab õigused, mille tüüptingimused annavad poolele, kelle nimel edastamine toimub, sealhulgas õiguse saada kohaldatavate tüüptingimuste koopia.

• Google Ireland Limited lepingupartnerina Google Cloud Data Processing Terms'i alusel.
• Rakendusotsusega (EL) 2021/914 vastu võetud lepingu tüüptingimused, kolmas moodul.
• Google LLC sertifikaat EU United States Data Privacy Framework'i alusel.
• Andmete krüpteerimine edastamisel TLS-iga ja säilitamisel 256-bitise AES-iga.
• Edastamise mõjuhinnang, mille projekti omanik on dokumenteerinud ja mis tehakse rentnikule taotlusel kättesaadavaks.
• Google'i poliitika ametiasutuste taotluste käsitlemise kohta koos nendega seotud läbipaistvusaruannetega.
• Kohustus teavitada vastutavat töötlejat igast kolmanda riigi ametiasutuselt saadud juurdepääsutaotlusest, kui see ei ole seadusega keelatud, ja vaidlustada see, kui see on ilmselgelt õigusvastane.

Edastamise mõjuhinnang kaalub kaasatud andmete laadi, mis valdaval enamikul juhtudest ei ole füüsiliste isikutega seotud eriliik, krüpteerimise tõhusust edastamisel ja säilitamisel, teenusepakkuja dokumenteeritud praktikat ametiasutuste taotluste käsitlemisel, andmesubjektidele saadaolevaid õiguskaitsevahendeid ja konkreetset tõenäosust, et Euroopa klientide veterinaarandmed muutuvad juurdepääsutaotluse objektiks. Vastutav töötleja saab koopia /contatti lehelt ja peab seda täiendama oma konteksti hinnanguga, mida teab ainult tema.

Ressursside migreerimine Euroopa piirkonda, europe-west alale, on kaalumisel, kuid ei ole lõplik otsus, sest see tähendab osa taristu ümberehitamist ja teenuse katkestuse akna aktsepteerimist. Kui see juhtub, teatatakse sellest /sub-responsabili lehel sama kolmekümnepäevase etteteatamisajaga, mis on kehtestatud alltöötlejate muudatuste jaoks, nii et vastutavad töötlejad saavad enne muudatuse jõustumist oma dokumentatsiooni uuendada.

Määruse artikkel 82 sätestab, et volitatud töötleja vastutab töötlemisega tekitatud kahju eest ainult siis, kui ta ei ole täitnud spetsiaalselt volitatud töötlejatele suunatud kohustusi või kui ta on tegutsenud väljaspool vastutava töötleja seaduslikke juhiseid või nendega vastuolus. Väljaspool neid kahte juhtumit jääb vastutus vastutavale töötlejale, kes otsustas eesmärgid ja vahendid. Tabel tõlgib põhimõtte olukordadeks, mis sellel platvormil tegelikult esinevad.

/termini lehel avaldatud tingimustes sätestatud vastutuse piirangud kehtivad ka käesoleva lepingu suhtes, kahe erandiga, millest ei saa loobuda: tahtliku üleastumise või raske hooletusega tekitatud kahju ja artikli 82 kohane vastutus andmesubjekti ees, mida määrus ei luba lepinguga piirata. Kui üks pool maksab andmesubjekti kantud kahju eest täieliku hüvitise, on tal õigus nõuda teiselt poolelt tagasi osa, mis vastab selle poole vastutusele, artikli 82 lõike 5 alusel.

Suhet reguleerivate dokumentide vahelise vastuolu korral kohaldatakse /termini lehel sätestatud ülimuslikkuse järjekorda, mida siin meenutatakse andmetöötlust puudutava osa jaoks.

1. Rentnikuga kirjalikult kokku lepitud eritingimused, mis on ülimuslikud ainult selle rentnikuga suhtes.
2. Käesolev leping ja alltöötlejate loetelu /sub-responsabili lehel, kõige osas, mis puudutab vastutava töötleja nimel teostatud töötlemist.
3. /termini lehel avaldatud tingimused, mis reguleerivad platvormi kasutamist iga kasutaja poolt.
4. /privacy teatis ja /cookie küpsiseteatis, mis kirjeldavad töötlemist, kus Animiyo on vastutav töötleja, ja on selles osas ülimuslikud.

Lepingut reguleerib Itaalia õigus ja määrus (EL) 2016/679, mida täiendavad seadusandlik dekreet 196/2003, muudetud seadusandliku dekreediga 101/2018. Kuna rentnik tegutseb oma professionaalse tegevuse käigus, kuuluvad käesolevat lepingut puudutavad vaidlused /contatti lehel märgitud teenusepakkuja registrijärgse asukoha kohtu ainupädevusse, kooskõlas sellega, mida /termini sätestab professionaalsete kasutajate kohta. See ei mõjuta andmesubjekti õigust algatada menetlus oma alalise elukoha kohtus määruse artikli 79 alusel ega õigust esitada kaebus järelevalveasutusele. Itaalia- ja ingliskeelsel versioonil on sama sisu; tõlgenduserinevuse korral on ülimuslik itaaliakeelne tekst.

See leping võib muutuda, sest platvormi funktsioonid, teenusepakkujad ja õigusraamistik muutuvad. Sisulised muudatused ei jõustu ootamatult: need järgivad sama teatamise, vastuväite ja lõpetamise mehhanismi, mis on kehtestatud alltöötlejate jaoks, sest lepingu muudatus mõjutab suhet sama palju kui teenusepakkuja muudatus ja rohkemgi.

Sisulise muudatuse ees võib vastutav töötleja esitada vastuväite viieteistkümne päeva jooksul teatest, kirjutades /contatti lehelt. Kui vastuväidet ei saa alternatiivsete meetmetega lahendada, võib ta lõpetada ilma trahvita, säilitades õiguse andmete tagastamisele ülalkirjeldatud menetluse kohaselt. Vaikimine üle viieteistkümne päeva loetakse aktsepteerimiseks ja see mõju on siin selgesõnaliselt sätestatud, et vastutav töötleja oleks sellest teadlik enne perioodi algust.

Hilisemad muudatused lisatakse sellesse tabelisse ja neid jälgitakse koodi versioonihalduse ajaloos, mis säilitab iga versiooni täpse teksti koos muudatuse kuupäevaga. Vastutav töötleja, kes peab rekonstrueerima, milline leping antud hetkel kehtis, näiteks vastuseks järelevalveasutuse taotlusele, saab selle versiooni /contatti lehelt.