Andmetöötluse lisa

1. Pooled, kohaldamisala ja tähtsuse järjekord

1.1See andmetöötluse lisa („Lisa“) on sõlmitud Oktul OÜ, registrikood 17589681, aadress Seebi tn 1-703, 11316 Tallinn, Harjumaa, Eesti („Oktul“, volitatud töötleja), ja Oktuli rakendust paigaldava või kasutava organisatsiooni („Klient“, vastutav töötleja) vahel. Lisa on aadressil oktul.com/legal/app-terms avaldatud rakenduse litsentsilepingu („Litsentsileping“) osa. Litsentsilepingus määratletud mõistetel on Lisas sama tähendus ning „isikuandmete kaitse üldmäärus“ tähendab määrust (EL) 2016/679.

1.2Lisa kohaldub isikuandmetele, mis sisalduvad Rakenduse töödeldavates Kliendiandmetes. Lisa ei kohaldu Atlassiani Oktulile edastatud litsentsiandmetele ega tugiteenusega seotud kirjavahetusele, mille puhul on Oktul vastutav töötleja ja mida reguleerib Oktuli privaatsuspoliitika.

1.3Vastuolu korral on isikuandmete töötlemise osas ülimuslik Lisa.

1.4Lisa jõustub koos Litsentsilepinguga ja kehtib seni, kuni Oktul töötleb isikuandmeid Kliendi nimel.

2. Töötlemise andmed

2.1Töötlemist kirjeldatakse allpool isikuandmete kaitse üldmääruse artikli 28 lõike 3 kohaselt.

Töötlemise ese

Kliendi paigaldatud Rakenduse pakkumine vastavalt Dokumentatsioonile.

Kestus

Seni, kuni Rakendus on Kliendi Atlassiani saidile paigaldatud.

Olemus ja eesmärk

Andmete töötlemine Kliendi Atlassiani saidil ja Rakenduse privaatsuspoliitikas nimetatud teenuste kaudu Dokumentatsioonis kirjeldatud Rakenduse funktsioonide pakkumiseks. Analüüsi, profiilianalüüsi, andmete rikastamist ega muud teisest kasutust ei toimu.

Isikuandmete liigid

Andmed, mida Rakendus loeb, kirjutab või saab ja mille üle otsustab Klient: tavaliselt Atlassiani kontode tunnused, kuvatavad nimed ja e-posti aadressid ning isikuandmed, mille Kliendi kasutajad sisestavad Rakenduse töödeldavasse sisusse. Hõlmatud on ka Rakenduse privaatsuspoliitikas nimetatud muu liik, näiteks isikukood, mida allkirjastamise sertifikaat võib sisaldada.

Andmesubjektide kategooriad

Kliendi kasutajad ja administraatorid, Jira Service Managementi portaali kasutamise korral Kliendi kliendid ning iga muu isik, keda Rakenduse privaatsuspoliitika nimetab, näiteks e-posti aadressi järgi kutsutud allkirjastaja, kellel ei ole Kliendi saidil kontot.

Eriliiki isikuandmed

Ei ole ette nähtud. Rakendused ei ole loodud selliste andmete töötlemiseks.

3. Juhised

3.1Oktul töötleb isikuandmeid üksnes Kliendi dokumenteeritud juhiste alusel, sealhulgas isikuandmete edastamisel kolmandasse riiki, välja arvatud juhul, kui seda nõuab liidu või liikmesriigi õigus. Sellisel juhul teavitab Oktul Klienti sellisest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui see õigus keelab sellise teavitamise olulise avaliku huvi tõttu.

3.2Kliendi juhised on Litsentsileping, Lisa, Dokumentatsioon ja Kliendi administraatorite määratud seadistus.

3.3Oktul teavitab Klienti viivitamata, kui tema arvates rikub juhis isikuandmete kaitse üldmäärust või muid liidu või liikmesriigi andmekaitsesätteid.

3.4Oktul ei müü isikuandmeid, ei kasuta neid ühegi mudeli treenimiseks ega töötle neid oma eesmärkidel.

4. Konfidentsiaalsus ja juurdepääs

4.1Oktul tagab, et isikuandmeid töötlema volitatud isikud on seotud kirjaliku konfidentsiaalsuskohustusega, mis kehtib ka pärast nende töösuhte või lepingu lõppemist.

4.2Juurdepääs on piiratud nimeliselt määratud töötajatega ja ulatusega, mida konkreetne tugitaotlus või viga nõuab. Oktulil ei ole alalist juurdepääsu. Rakenduse puhul, mis ei deklareeri väliseid õigusi, puudub Oktulil võimalus Kliendiandmetele juurde pääseda, sest andmed jäävad Kliendi Atlassiani saidile ning Oktulil ei ole serverit ega andmebaasi. Atlassian jagab Forge'i logisid Oktuliga, kui Kliendi administraator logide jagamist välja ei lülita. Kui Rakendus võib nendesse logidesse Kliendiandmeid kirjutada, ütleb seda Rakenduse privaatsuspoliitika. Kui Oktul vajab vea diagnoosimiseks teavet, küsib ta seda Kliendilt.

5. Töötlemise turvalisus

5.1Oktul rakendab isikuandmete kaitse üldmääruse artiklis 32 nõutud tehnilisi ja korralduslikke meetmeid, nagu on kirjeldatud selles punktis.

5.2Rakendused töötavad Atlassian Forge'i platvormil. Atlassiani dokumentatsiooni kohaselt tagab Forge rentnike eraldatuse ning krüpteerimise edastamisel ja salvestamisel ning rakendus, mille manifest ei deklareeri permissions.external ega remotes õigusi, ei saa andmeid väljapoole Atlassiani platvormi saata. Rakenduse õigused on deklareeritud selle manifestis ja kuvatakse administraatorile paigaldamisel.

5.3Oktul kasutab mitmikautentimist igal kontol, millel on juurutamis- või tugiteenuse juurdepääs, täisketta krüpteerimist ja automaatset ekraanilukku igas seadmes ning läbivaadatud muudatusi lähtekoodihalduses. Kontosid ei jagata.

5.4Oktulil ei ole turvasertifikaati. Kui Rakendusel on CSA STAR Level 1 enesehindamine, 138 küsimusega CAIQ Lite küsimustik, on see avaldatud ja nimetatud selle Rakenduse privaatsuspoliitikas. Enesehindamine ei ole sõltumatu audit.

5.5Oktul testib iga Rakenduse uut versiooni enne selle avaldamist. Testide arvandmed avaldatakse iga Rakenduse kohta eraldi.

6. Alamtöötlejad

6.1Klient annab Oktulile üldise kirjaliku loa kaasata alamtöötlejaid (teisi volitatud töötlejaid) kooskõlas selle punktiga.

6.2Oktul paneb igale alamtöötlejale andmekaitsekohustused, mis ei ole Lisas sätestatutest vähem kaitsvad, ning vastutab Kliendi ees täielikult iga alamtöötleja kohustuste täitmise eest.

6.3Atlassian Pty Ltd majutab Rakendusi Forge'i platvormil Oktuli nimel ja on selle majutuse osas Oktuli alamtöötleja Atlassiani ja Oktuli vahelise Forge'i andmetöötluse lisa (Forge Data Processing Addendum) ja sellesse lisatud lepingu tüüptingimuste alusel. Atlassiani enda alamtöötlejad on loetletud aadressil atlassian.com/legal/sub-processors. Rakenduse muud alamtöötlejad on loetletud selle Rakenduse privaatsuspoliitikas.

6.4Oktul teatab enda otse kaasatava alamtöötleja kavandatavast lisamisest või asendamisest vähemalt kolmkümmend päeva ette, uuendades Rakenduse privaatsuspoliitikat ja versioonimärkmeid. Atlassiani enda alamtöötlejate muudatused avaldab Atlassian punktis 6.3 nimetatud loetelus; Oktul tellib Atlassiani teavitused nendest muudatustest ja teavitab Klienti igast muudatusest versioonimärkmetes. Klient võib selle aja jooksul esitada Oktuli abikeskuse kaudu põhjendatud andmekaitsealase vastuväite. Kui pooled alternatiivis kokku ei lepi, võib Klient asjaomase Rakenduse Litsentsilepingu lõpetada; kui Atlassian Tellimuse järelejäänud aja eest tasutud tasusid ei tagasta, tagastab Oktul nende kasutamata osa.

7. Abi osutamine

7.1Võttes arvesse töötlemise laadi, aitab Oktul Klienti asjakohaste tehniliste ja korralduslike meetmetega vastata andmesubjektide taotlustele nende õiguste kasutamiseks. Kliendiandmeid hoitakse Kliendi Atlassiani saidil, kus Kliendi administraatorid saavad neile juurde pääseda, neid parandada ja kustutada. Kui Klient vajab Oktuli abi, võib ta seda tasuta taotleda Oktuli abikeskuse kaudu.

7.2Oktul aitab Klienti tagada isikuandmete kaitse üldmääruse artiklitest 32–36 tulenevate kohustuste täitmist, sealhulgas andmekaitsealase mõjuhinnangu ja eelneva konsulteerimise osas, ning vastab turvaküsimustikele.

7.3Oktul teavitab Klienti Kliendiandmeid puudutavast isikuandmetega seotud rikkumisest põhjendamatu viivituseta ja igal juhul 24 tunni jooksul sellest teada saamisest, esitades sel hetkel kättesaadava teabe, võetud meetmed ja soovitatavad meetmed. Hinnangu selle kohta, kas rikkumisest tuleb teavitada järelevalveasutust või andmesubjekte, annab Klient vastutava töötlejana.

8. Kustutamine ja tagastamine

8.1Töötlemise lõppemisel kustutab või tagastab Oktul isikuandmed vastavalt Kliendi valikule, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab nende säilitamist.

8.2Mis jääb alles pärast Rakenduse eemaldamist ja kui kaua Atlassian seda säilitab, on märgitud selle Rakenduse privaatsuspoliitika andmete ülekantavuse jaotises. Atlassian kustutab andmed oma andmete säilitamise poliitika ja Forge'i andmetöötluse lisa kohaselt. Klient peab vajalikud andmed enne eemaldamist eksportima. Oktulil ei ole Kliendiandmete koopiat, varukoopiat ega väljavõtet väljaspool Atlassiani platvormi, välja arvatud selles jaotises märgitud ulatuses.

8.3Isikuandmed, mida Oktul hoiab väljaspool Kliendi Atlassiani saiti, näiteks tugiteenusega seotud kirjavahetus, kustutatakse Oktuli privaatsuspoliitikas sätestatud säilitamistähtaegade kohaselt või taotluse alusel varem, välja arvatud juhul, kui seadus nõuab nende säilitamist.

9. Teave ja auditid

9.1Oktul teeb Kliendile kättesaadavaks kogu teabe, mis on vajalik isikuandmete kaitse üldmääruse artiklis 28 sätestatud kohustuste täitmise tõendamiseks, ning võimaldab Kliendi või tema volitatud audiitori tehtavaid auditeid, sealhulgas kontrolle, ja aitab nendele kaasa.

9.2Audit eeldab mõistlikku eelnevat teadet, toimub tööajal, on konfidentsiaalne ja võib toimuda kõige rohkem üks kord kaheteistkümne kuu jooksul, välja arvatud juhul, kui seda nõuab järelevalveasutus või see järgneb isikuandmetega seotud rikkumisele. Auditit ei tohi teha Oktuli konkurent. Kumbki pool kannab oma kulud ning Klient kannab Oktuli mõistlikud kulud auditi puhul, mis ei ole tingitud rikkumisest ega nõuete mittetäitmise tuvastamisest.

9.3Kliendiandmeid säilitatakse Atlassiani taristul, mida katavad Atlassiani sertifikaadid ja auditiaruanded. Oktuli lähtekood, manifestid, juurdepääsukontrollid ja olemasolu korral CSA STAR enesehindamine on auditiks kättesaadavad.

10. Rahvusvaheline edastamine

10.1Oktulil ei ole taristut väljaspool Euroopa Majanduspiirkonda. Rakenduse puhul, mis ei deklareeri väliseid õigusi, ei lahku Kliendiandmed Atlassiani platvormilt. Nende asukoha määrab Atlassian: kui Klient on oma Atlassiani saidile seadistanud andmeresidentsuse, säilitab Atlassian Forge'i majutatud salvestusruumi andmeid samas asukohas kui Kliendi tooteandmeid.

10.2Kui Oktul edastab isikuandmeid eksportijana väljapoole Euroopa Majanduspiirkonda, kohaldatakse komisjoni rakendusotsuse (EL) 2021/914 lepingu tüüptingimusi, moodul 3 (volitatud töötlejalt volitatud töötlejale), millele kohaldatakse Eesti õigust ja mille pädev järelevalveasutus on Andmekaitse Inspektsioon. Edastamine ettevõttele Atlassian Pty Ltd põhineb Forge'i andmetöötluse lisasse lisatud lepingu tüüptingimustel.

10.3Kui Rakendus saadab andmeid oma olemuse tõttu kolmandale isikule, on vastuvõtja, andmed ja eesmärk enne paigaldamist kirjeldatud selle Rakenduse privaatsuspoliitikas ning edastamine toimub Kliendi juhise alusel.

11. Vastutus

11.1Oktuli kohustustele Lisa ja kohalduva andmekaitseõiguse alusel ei kohaldu Litsentsilepingu punktis 15.2 sätestatud vastutuse piirang.

11.2Miski Lisas ei piira andmesubjektide õigusi ega järelevalveasutuse volitusi.

12. Muudatused

12.1Oktul võib Lisa muuta. Kui muudatus on oluline ja Kliendi jaoks ebasoodne, avaldab Oktul selle sellel lehel ja iga asjaomase Rakenduse versioonimärkmetes ning teavitab Paigalduse tehnilist kontaktisikut e-posti teel vähemalt kolmkümmend päeva enne muudatuse jõustumist.

Versioonide ajalugu. 1.3, kehtib alates 05.10.2026: isikuandmete liigid ja andmesubjektide kategooriad hõlmavad Rakenduse privaatsuspoliitikas nimetatuid; Forge'i logid punktis 4.2; CSA STAR enesehindamine sõnastatud Rakendusepõhiselt punktides 5.4 ja 9.3. 1.2, kehtib alates 28.09.2026: töötlemise kirjeldus ja punkt 8.2 sõnastatud kõigi Rakenduste kohta ning säilitamine pärast eemaldamist viidatud iga Rakenduse privaatsuspoliitikale; Atlassian Pty Ltd nimetatud Forge'i majutuse alamtöötlejana; Forge'i majutatud salvestusruumi säilitamine ja andmete asukoht esitatud Atlassiani dokumentatsiooni kohaselt; Atlassiani enda alamtöötlejate muudatustest teavitamine; tagasimakse alamtöötlejale esitatud vastuväite korral. 1.1, kehtis alates 28.09.2026: esitatud nummerdatud punktidena isikuandmete kaitse üldmääruse artikli 28 lõike 3 sõnastuses. 1.0, kehtis alates 09.09.2026: esimene avaldatud versioon.