Alltöötlejate loend

Animiyo on mitme tenandiga (multi-tenant) SaaS-platvorm lemmikloomade haldamiseks: Google Cloud Runis hostitud Next.js-i veebirakendus ja native iOS-i rakendus jagavad sama Firebase'i taustsüsteemi Google Cloudi projektis petdiary-10327. Ükski neist komponentidest ei tööta teenuse arendaja omanduses olevatel masinatel, seega läbib iga platvormi käsitletav andmehulk kolmanda osapoole teenusepakkuja. Nende teenusepakkujate loendi avaldamine on kõige otsesem viis lasta igaühel kontrollida, kuhu tema andmed jõuavad.

Animiyol on kaks eraldiseisvat rolli. Ta on vastutav töötleja lemmikloomaomanike kontode osas, see tähendab inimeste osas, kes registreeruvad ja kasutavad rakendust iseenda jaoks. Ta on aga volitatud töötleja nende andmete osas, mida tenantid, veterinaarkliinikud ja poed töötlevad oma klientide kohta. See loend kehtib mõlemal juhul, erinevusega õiguslikus kvalifikatsioonis: esimesel juhul on teenusepakkujad Animiyo määratud volitatud töötlejad, teisel juhul on nad alltöötlejad, kes on volitatud määruse (EL) 2016/679 artikli 28 lõigete 2 ja 4 alusel.

Seda lehte kasutavad kahte tüüpi lugejad. Andmesubjekt, see tähendab isik, kelle andmeid töödeldakse, kasutab seda kontrollimaks, et aadressil /privacy olev teade räägib tõtt, ning aadressil /diritti-privacy kirjeldatud õiguste teostamiseks. Tenandist vastutav töötleja kasutab seda, et täita teavitamiskohustust, mis on sätestatud aadressil /dpa oleva lepingus, uuendada oma isikuandmete töötlemise toimingute registrit ning otsustada, kas nõustuda teenusepakkujaga või esitada selle vastu vastuväide. Avaldamine rahuldab seega nii läbipaistvuse kohustuse andmesubjektide ees kui ka teavitamiskohustuse tenandist vastutavate töötlejate ees.

Allolevad tabelid moodustavad selle dokumendi sisu: lõigud on olemas üksnes nende selgitamiseks. Kui mõni rida muutub, muutub ka lehe ülaosas olev uuendamise kuupäev ning lõpus olevasse muudatuste logisse ilmub kanne.

Teenusepakkuja aktiveeritakse alles pärast kindla kontrollide kogumi läbimist, mida rakendatakse alati samas järjekorras. Tegemist ei ole vaba valikuga: need on miinimumnõuded, ja teenusepakkuja, kes neid ei täida, ei pääse platvormile, ükskõik kui mugav või odav teenus ka poleks.

• Piisavad tagatised artikli 28 lõike 1 alusel: allkirjastatud andmetöötlusleping, dokumenteeritud turvameetmed, läbipaistvus selle kohta, kus andmeid hoitakse.
• Absoluutne keeld klauslitele, mis lubavad teenusepakkujal töödelda andmeid oma eesmärkidel, sealhulgas tehisintellekti mudelite treenimiseks, ilma eraldi ja tagasivõetava nõusolekuta.
• Rikkumisest teavitamine kahekümne nelja tunni jooksul, vastuvõetav kuni neljakümne kaheksani.
• Kohustus kustutada andmed kolmekümne päeva jooksul suhte lõppemisest, kirjaliku kinnitusega, et kustutamine toimus.
• Teenusepakkuja poolt oma edasiste alltöötlejate loendi avaldamine.
• Minimeerimine: sama funktsiooni jaoks valime teenusepakkuja, kes saab kõige väiksema vajaliku andmehulga.

Üksainus tingimus ei ole läbiräägitav. Ükski teenusepakkuja ei tohi töödelda kasutajaandmeid oma eesmärkidel, ja eelkõige tehisintellekti mudelite treenimiseks, ilma eraldi, teadliku ja tagasivõetava nõusolekuta. Igas muus punktis saab ebasoodsamat klauslit tasakaalustada tehniliste või korralduslike meetmetega; selles punktis ei saa, sest andmeid, mis on mudelisse sisenenud, ei ole enam võimalik mingil kontrollitaval viisil tagasi saada ega kustutada. Kui teenusepakkuja lisab oma tingimustesse sellise klausli, asendatakse teenus edaspidi kirjeldatud korra kohaselt.

See on dokumendi peamine tabel. Iga teenusepakkuja kohta on märgitud teenus, saadavate andmete kategooriad, töötlemise koht ja õiguslik roll. Roll on märgitud volitatud töötlejana, sest teenusepakkuja käsitleb andmeid Animiyo nimel ja tema juhiste järgi; tenandist vastutavate töötlejate suhtes on sama teenusepakkuja volitatud alltöötleja.

Google'i kontsern esineb kaheksa korda, mitte üks kord. See ei ole mõttetu kordamine: iga rida on eraldi teenus oma seadistuse, oma asukoha ja oma andmekategooriaga. Firebase Authentication teab e-posti aadressi, kuid mitte terviskaardi sisu; Cloud Storage for Firebase hoiab fotosid, kuid ei tea vastuvõttudest midagi; Google Analytics 4 näeb üksnes avalikku saiti ega kunagi sisselogitud ala. Teenuste eraldi loetlemine võimaldab mõista, milliseid andmeid puudutaks intsident, mis mõjutab ainult üht neist, ning asendada üks neist teisi puudutamata.

Sõnastus globaalne taristu tähistab teenuseid, mis ei võimalda töötlemispiirkonda valida: teenusepakkuja pakub neid hajutatud võrgust ja andmeid võidakse käsitleda rohkem kui ühes asukohas. See kehtib tõuketeavituste, pettuse ennetamise kontrollide ja avaliku saidi mõõtmise kohta, see tähendab teenuste kohta, mis käsitlevad tehnilisi identifikaatoreid, mitte konto sisu. Nendel juhtudel on edastamise alus sama, mis on kirjeldatud andmete asukoha jaotises.

Stripe Payments Europe Limited esineb loendis, kuigi ta ei saa mingeid andmeid. Integratsioon on koodis olemas, kuid lüüs on seadistuse lipuga välja lülitatud, seega ei lahku platvormilt ükski makseandmete kild. Rida jääb tabelisse läbipaistvuse huvides: päeval, mil lipp sisse lülitatakse, ei ole see varjatud uudis, ning aktiveerimine järgib igal juhul alltöötlejate muudatuste jaoks kehtestatud etteteatamistähtaega.

Mõned platvormi funktsioonid loevad teavet avalikest andmebaasidest: ravimi andmeleht, toidu toiteväärtus, tõukirjeldus, valuutakurss, kaardipaan. Need on päringud, mis üksnes loevad andmeid, need lähtuvad kasutaja brauserist ega kanna endaga kaasas konto identifikaatorit ega mingit päeviku sisu. Nad edastavad siiski brauseri IP-aadressi ja päringu tehnilised üksikasjad, mistõttu tuleb need deklareerida.

Need teenused ei ole volitatud töötlejad, sest nad ei töötle andmeid Animiyo nimel ega saa Animiyolt juhiseid selle kohta, kuidas saadud teavet kasutada. Nende kogutavate ühendusandmete osas on nad sõltumatud vastutavad töötlejad: nad määravad ise eesmärgid ja vahendid, kohaldavad oma teateid ning vastutavad otse oma valikute eest. See erinevus ei ole vormistus. Volitatud töötleja käsitleb andmeid üksnes nii, nagu talle on öeldud, ja kustutab need nõudmisel; sõltumatu vastutav töötleja vastutab omaenda õiguses, ning neid ühendusandmeid puudutavad taotlused tuleb suunata talle.

Platvormi peamised ressursid asuvad us-central1 piirkonnas Ameerika Ühendriikides. See tähendab, et konto andmeid, üleslaaditud sisu ja süsteemilogisid töödeldakse väljaspool Euroopa Majanduspiirkonda ning et edastamine peab tuginema kehtivale õiguslikule alusele ja asjakohastele tehnilistele meetmetele.

Ameerika Ühendriikidesse edastamisega kaasnevad kaitsemeetmed on järgmised.

• Google Ireland Limited lepingupartnerina Google Cloud Data Processing Terms tingimuste alusel.
• Standardsed lepingutingimused, mille Euroopa Komisjon võttis vastu rakendusotsusega 2021/914.
• Google LLC sertifitseerimine EL-i ja Ameerika Ühendriikide andmekaitseraamistiku (Data Privacy Framework) alusel.
• Andmete krüpteerimine edastamise ajal TLS-iga ja puhkeolekus AES-iga 256 bitti.
• Omaniku poolt dokumenteeritud edastamise mõjuhinnang.
• Google'i põhimõtted ametiasutuste taotluste käsitlemiseks.

Kaalumisel on ressursside migreerimine Euroopa piirkonda, europe-west alale. See ei ole lõplik otsus, sest see tähendab osa taristu uuesti ülesehitamist ja teenuse katkestuse ajaakna aktsepteerimist. Kui see toimub, teatatakse sellest sellel lehel sama etteteatamistähtajaga, mis on kehtestatud alltöötleja lisamise või asendamise jaoks, nii et tenandist vastutavad töötlejad saavad enne muudatuse jõustumist oma dokumentatsiooni uuendada.

Tenandist vastutavate töötlejate suhtes tugineb loetletud teenusepakkujate kasutamine üldisele volitusele määruse (EL) 2016/679 artikli 28 lõike 4 alusel. Üldine volitus ei ole tühi tšekk: see, kes selle annab, säilitab õiguse teada ette, mis muutub, ja esitada vastuväiteid. Allolev kord kirjeldab, kuidas seda õigust praktikas teostatakse.

1. 1

   Teate avaldamine

   Vähemalt kolmkümmend päeva enne alltöötleja lisamist või asendamist avaldatakse muudatus sellel lehel, märkides teenusepakkuja, teenuse, asjaomased andmed ja kavandatud aktiveerimiskuupäeva.

2. 2

   Sõnum tenandile

   Samaaegselt avaldamisega saadetakse teade e-posti aadressile, mille tenant on oma profiilis sisestanud. Selle aadressi ajakohasena hoidmine ja jälgimine on tenandi vastutus.

3. 3

   Põhjendatud vastuväide

   Tenant võib esitada vastuväite viieteistkümne päeva jooksul teatest, esitades vastuväite põhjendused. Vastuväited saadetakse lehelt /contatti ja need peavad olema põhjendatud, see tähendab, et need peavad selgitama, milline risk või milline piirang muudab pakutud teenusepakkuja vastuvõetamatuks.

4. 4

   Alternatiivse meetme otsimine

   Enne aktiveerimiskuupäeva hindame, kas vastuväite saab lahendada alternatiivsete meetmetega: teistsuguse seadistuse, teistsuguse piirkonna, edastatavate andmete vähendamise või selle funktsiooni jaoks teistsuguse teenusepakkujaga.

5. 5

   Lõpetamine ilma leppetrahvita

   Kui vastuväidet ei saa lahendada, võib tenandist vastutav töötleja lõpetada ilma leppetrahvita teenuse selle osa, mida muudatus mõjutab, aadressil /dpa avaldatud lepingus sätestatud viisil.

Kolmekümne päeva etteteatamisele on üksainus erand. Kui teenusepakkuja tuleb asendada turvakaalutlustel, näiteks pärast tõsist turvaauku või teenuse ootamatut lõpetamist, võib asendamine toimuda lühendatud etteteatamisega. Sel juhul on sõnum tenantidele kohene ja vastuväite esitamise õigus jääb puutumatuks, kuid seda teostatakse pärast muudatust, mitte enne. Kolmkümmend päeva ootamine käimasoleva riski ees kahjustaks just neid inimesi, keda kord on mõeldud kaitsma.

See loend hõlmab teenusepakkujaid, kelle Animiyo on valinud platvormi käitamiseks. See ei hõlma tenandi valitud teenusepakkujaid. Kui veterinaarkliinik või pood ühendab oma tööriistad, ekspordib platvormilt andmeid või edastab need oma teenusepakkujatele, siis need teenusepakkujad siin ei esine ja jäävad tenandi vastutusele: tenant peab määrama nad volitatud töötlejateks ja teavitama oma andmesubjekte.

See eristus on oluline eelkõige inimeste jaoks, kes on jätnud oma andmed kliinikusse või poodi. Kui taotlus puudutab teenusepakkujat, kelle tenant on ise valinud, tuleb see suunata tenandile, sest tenant on selle töötlemise vastutav töötleja ja üksnes tenant teab, millised tööriistad ta on ühendanud. See leht jääb siiski lähtepunktiks, et mõista, millised teenusepakkujad on kõigile ühised ja millised mitte.

Alltöötlejate loend ütleb palju selle kaudu, mille ta välja jätab. Allolevad teenusepakkujate kategooriad puuduvad platvormilt ning nende puudumine on kavandatud valik, mitte ajutine olukord, mis ootab eelarvet.

• Mitte ühtki reklaamivõrku, mitte ühtki andmemaaklerit, mitte ühtki ärilise profileerimise teenusepakkujat.
• Mitte ühtki tehisintellekti mudeli teenusepakkujat, kes saaks kasutajaandmeid.
• Mitte ühtki kolmanda osapoole klienditoe teenust, millel on juurdepääs andmetele.
• Mitte ühtki turundus-e-kirjade süsteemi, mida toidetakse kasutajabaasiga.
• Mitte mingit andmete müüki ega edastamist kolmandatele osapooltele.

Iga selline kanne vastab teenusepakkujale, kes ei esine peatabelis ega hakka esinema ilma ülalkirjeldatud teateta. Kui üks neist kategooriatest peaks kunagi vajalikuks muutuma, järgiks lisamine sama teavitamis- ja vastuväite esitamise korda, mis on kehtestatud teistele teenusepakkujatele, ning nõusolekut nõudvate eesmärkide puhul kogutakse see nõusolek eraldi ja tagasivõetavalt.

Iga muudatus sellesse loendisse avaldatakse sellel samal lehel, mis on autoriteetne allikas. Tenandist vastutavaid töötlejaid teavitatakse lisaks nende profiilis sisestatud e-posti aadressil, sest nende jaoks on teatel lepingulised, mitte üksnes informatiivsed tagajärjed.

Kõige lihtsam viis teada saada, kas midagi on muutunud, on kontrollida lehe ülaosas olevat uuendamise kuupäeva ja võrrelda seda lõpus oleva muudatuste logiga. Loendit puudutavate küsimuste jaoks, teenusepakkujaga seotud lepingulise dokumentatsiooni taotlemiseks või vastuväite esitamiseks kasutage lehte /contatti, mis on ainus kanal kõigi seda dokumenti puudutavate teadete jaoks.

Hilisemad muudatused lisatakse sellesse tabelisse ja neid jälgitakse koodi versioonihalduse ajaloos, mis säilitab iga versiooni täpse teksti koos muudatuse kuupäevaga. Igaüks, kellel on vaja rekonstrueerida, milline loend kehtis antud hetkel, saab küsida lehe /contatti kaudu.