Andmetöötlusleping

Kehtiv alates: 04.11.2026

Lühidalt. Teie ettevõte otsustab, mida ja miks jälgitakse — Teie olete vastutav töötleja. Meie hoiame ja kuvame andmeid Teie nimel ega kasuta neid oma eesmärkidel. Ajalugu on näha 24 kuud, pärast teenuse lõppu veel 3 kuud. Andmeid säilitatakse Eestis; alltöötlejad on Lisas 3. Teie teavitate sõidukite kasutajaid enne jälgimise algust. See kokkuvõte on teavituslik; siduvad on Lepingu punktid.

1. Üldsätted ja kohaldamine

1.1. Käesolev andmetöötlusleping („Leping") on veebipoe gpsauto.ee müügi- ja kasutustingimuste lahutamatu osa. Leping kohaldub, kui klient kasutab GPS-jälgimisteenust („Teenus") oma majandus- või kutsetegevuses; sellisel juhul määrab klient asukohaandmete töötlemise eesmärgid ja vahendid isikuandmete kaitse üldmääruse (EL) 2016/679 („GDPR") tähenduses ning on nende andmete vastutav töötleja.

1.2. Müüja teeb Lepingu kliendile kättesaadavaks veebilehel gpsauto.ee enne selle vastuvõtmist ja enne kliendi nimel asukohaandmete töötlemise alustamist. Leping sõlmitakse elektroonilises vormis (GDPR art 28 lg 9), kui klient nõustub müügi- ja kasutustingimustega ning nende lisaks oleva Lepinguga tellimuse esitamisel või kinnitab nõustumist e-posti teel. Teenuse kasutuselevõtt või selle eest tasumine väljendab nõustumist, kui kliendile on enne tehtud Leping kättesaadavaks ja tal on olnud võimalus sellega tutvuda. Eraldi allkirjastamist ei nõuta; soovi korral allkirjastame Lepingu ka paberil või digitaalselt.

1.3. Füüsilisest isikust kliendi suhtes, kes kasutab Teenust eranditult isiklikul otstarbel enda või oma leibkonna sõiduki jälgimiseks, ei kohaldata käesolevat Lepingut ega GDPR-ist tulenevaid vastutava töötleja kohustusi (GDPR art 2 lg 2 p c). See erand ei vabasta Müüjat tema andmekaitsekohustustest: ka sellisel juhul kehtivad Müüja kohustused andmete kaitsel, säilitamisel ja kustutamisel vastavalt Teenuse tingimustele; Müüja enda eesmärkidel toimuvat töötlemist kirjeldab privaatsuspoliitika.

2. Pooled ja rollid

2.1. Vastutav töötleja on klient, kes otsustab, milliseid sõidukeid, millisel eesmärgil ja millises ulatuses jälgitakse („Klient").

2.2. Volitatud töötleja on OÜ Ravolar Grupp (registrikood 10224806; Häälinurme tn 1, Peetri alevik, Rae vald, Harju maakond 75312; e-post klienditugi@mugavauto.ee; kaubamärk Mugav Auto) („Müüja"), kes töötleb asukohaandmeid Kliendi nimel Teenuse osutamiseks.

2.3. Müüja on iseseisev vastutav töötleja üksnes ulatuses, milles ta töötleb kliendi- ja kontaktandmeid enda arvelduse, kliendisuhte haldamise, seadusest tulenevate kohustuste või enda õiguspäraste turvaeesmärkide (sh turvalogid) täitmiseks; seda töötlemist kirjeldab privaatsuspoliitika.

3. Töötlemise kirjeldus

3.1. Töötlemise ese, laad, eesmärk, kestus, isikuandmete liigid ja andmesubjektide kategooriad on kirjeldatud Lisas 1. „Asukohaandmed" tähendavad käesolevas Lepingus Lisas 1 kirjeldatud isikuandmeid, mida Müüja töötleb Kliendi nimel.

3.2. Kliendi kui vastutava töötleja õigused ja kohustused on sätestatud punktis 4, käesoleva Lepingu muudes punktides ning müügi- ja kasutustingimustes (GDPR art 28 lg 3).

4. Kliendi kohustused ja juhised

4.1. Klient määrab ja dokumenteerib enne jälgimise alustamist õigusliku aluse (tööandjal üldjuhul õigustatud huvi või töölepingu täitmine; GDPR art 6 lg 1) ning tagab, et jälgimine on eesmärgi suhtes vajalik ja proportsionaalne. Töölepingu olemasolu iseenesest ei anna õigust GPS-jälgimiseks.

4.2. Klient teavitab sõidukite kasutajaid jälgimisest enne jälgimise algust (GDPR art 13 ja 14), austab töösuhetes töötaja eraelu puutumatust (töölepingu seaduse § 28 lg 2 p 11) ning arvestab Andmekaitse Inspektsiooni juhistega. Abimaterjalid (tööandja meelespea ja töötaja teavitamise näidis) on kättesaadavad veebilehel gpsauto.ee/info.

4.3. Müüja töötleb asukohaandmeid üksnes Kliendi dokumenteeritud juhiste alusel. Dokumenteeritud juhisteks loetakse tellimus, müügi- ja kasutustingimused koos käesoleva Lepinguga, Teenuse seadistused Kliendi kontol ning Kliendi kirjalikud (sh e-posti teel esitatud) korraldused.

4.4. Kui Müüja hinnangul rikub Kliendi juhis GDPR-i või muud kohalduvat õigust, teavitab Müüja sellest Klienti viivitamata ja võib juhise täitmise peatada. Kui Klient jääb pärast teavitamist juhise juurde, võib Müüja asjaomase seadme osas Teenuse lõpetada.

5. Müüja kohustused volitatud töötlejana

Müüja kohustub (GDPR art 28 lg 3):

a) töötlema asukohaandmeid üksnes punktis 4.3 nimetatud dokumenteeritud juhiste alusel, sh mitte kasutama neid oma eesmärkidel; kui töötlemist nõuab Müüjalt liidu või liikmesriigi õigus, teavitab Müüja Klienti enne töötlemist, kui teavitamine ei ole seadusega keelatud;

b) tagama, et asukohaandmetele juurdepääsu omavad isikud on võtnud konfidentsiaalsuskohustuse või neil on seadusjärgne saladuse hoidmise kohustus ning juurdepääs on piiratud tööülesannete täitmiseks vajalikuga;

c) rakendama turvameetmeid vastavalt GDPR artiklile 32; meetmed on kirjeldatud Lisas 2;

d) kaasama alltöötlejaid üksnes punktis 7 sätestatud korras;

e) abistama Klienti asjakohaste tehniliste ja korralduslike meetmetega andmesubjektide õigustele (GDPR art 12–23) vastamisel: edastama Müüjale laekunud andmesubjekti pöördumise viivitamata Kliendile ning andma Kliendi taotlusel väljavõtted, tegema parandused ja piirama töötlemist või teostama kustutamise, mida Klient ise Teenuses teha ei saa, õigeaegselt, et Klient saaks täita seadusest tulenevaid tähtaegu;

f) abistama Klienti GDPR artiklitest 32–36 tulenevate kohustuste täitmisel (sh andma kättesaadava teabe, mida Klient vajab mõjuhinnanguks või järelevalveasutusega konsulteerimiseks), võttes arvesse töötlemise laadi ja Müüjale kättesaadavat teavet; isikuandmetega seotud rikkumisest teavitab Müüja Klienti põhjendamatu viivituseta pärast rikkumisest teadasaamist, esitades GDPR art 33 lg 3 kohase teabe; kui kogu teave ei ole esialgu teada, edastab Müüja esmase teate olemasoleva teabega ja täiendab seda põhjendamatu viivituseta;

g) Teenuse lõppemisel Kliendi valikul tagastama või kustutama andmed punktis 6 sätestatud korras;

h) tegema Kliendile kättesaadavaks teabe, mis on vajalik käesolevas Lepingus sätestatud kohustuste täitmise tõendamiseks, ning võimaldama auditeid punktis 9 sätestatud korras.

6. Säilitamine ja kustutamine

6.1. Sõidu- ja asukohaajalugu on Teenuses kättesaadav jooksvalt viimase 24 kuu ulatuses; varasemad andmed kustutatakse jooksvalt. Seadme viimane teadaolev asukoht säilib ka pärast seda kuni seadme kustutamiseni, et seade oleks kaardil leitav.

6.2. Teenuse (sh pikendamata teenusperioodi) lõppemisel tagastab Müüja Kliendi valikul kõik tema nimel töödeldavad isikuandmed või kustutab need. Kui Klient muud juhist ei anna, säilivad ligipääs ja olemasolevad andmed veel 3 kuud ilma uute asukohauuendusteta; selle aja jooksul saab Klient andmed ise alla laadida (aruanded) või teenust pikendada. Kui veebikonto aruanded ei sisalda kõiki tagastatavaid andmeid, annab Müüja ülejäänud andmed Kliendi taotlusel üle tavapärases elektroonilises vormingus. Pärast kolme kuu möödumist kustutab Müüja seadme ja kogu selle ajaloo; kasutajakonto kustutatakse, kui sellel ei ole teisi seadmeid. Kliendi taotlusel kinnitab Müüja kustutamist kirjalikku taasesitamist võimaldavas vormis.

6.3. Kliendi kirjalikul juhisel kustutab Müüja konkreetse seadme andmed ka varem.

6.3.1. Kustutatud andmed võivad varukoopiates säilida vastavalt varukoopiate rotatsioonile veel kuni 12 kuud, misjärel need kustuvad lõplikult. Varukoopiaid kasutatakse üksnes süsteemi taastamiseks ega töödelda muul eesmärgil; varukoopiatele kohaldub sama juurdepääsupiirang kui töökeskkonnale. Kui süsteem taastatakse varukoopiast, kustutab Müüja varem kustutatud andmed uuesti põhjendamatu viivituseta. Nimetatud tähtaeg on varukoopiate lõpliku kustumise ülempiir, mitte õigus säilitada andmeid kauem, kui see on vajalik; Müüja selgitab Kliendi taotlusel varukoopiate säilitamise korraldust.

6.4. Punktid 6.1–6.3 on Kliendi juhis GDPR art 28 lg 3 punkti g tähenduses. Kui seadus nõuab Müüjalt pikemat säilitamist, teavitab Müüja sellest Klienti.

7. Alltöötlejad

7.1. Klient annab Müüjale üldloa kaasata alltöötlejaid. Lepingu sõlmimise ajal kasutatavad alltöötlejad on loetletud Lisas 3.

7.2. Alltöötlejate lisandumisest või vahetumisest teavitab Müüja veebilehel gpsauto.ee/andmetootlusleping ja e-posti teel Kliendi jälgimissüsteemi kasutajakonto aadressile vähemalt 14 päeva ette (GDPR art 28 lg 2). Teates nimetab Müüja alltöötleja, tema asukoha ja talle usaldatava töötlemise. Kliendil on õigus esitada sama tähtaja jooksul põhjendatud vastuväide; vastuväite lahendamiseni ei anta asjaomase Kliendi andmeid uuele alltöötlejale. Kui lahendust ei leita, võib Klient asjaomase seadme osas Teenuse lõpetada; kasutamata perioodi ettemakse tagastatakse sellisel juhul proportsionaalselt.

7.3. Müüja sõlmib alltöötlejaga lepingu, mis paneb alltöötlejale sisuliselt samad andmekaitsekohustused kui käesolev Leping, ning vastutab alltöötleja tegevuse eest Kliendi ees.

8. Andmete asukoht ja edastused

8.1. Teenuse andmeid säilitatakse Müüja valduses olevates serverites Eestis (Euroopa Liidus); serverimajutuse alltöötlejat ei kasutata. Väljaspool Müüja servereid hoitakse üksnes krüpteeritud varukoopiaid Lisas 3 nimetatud hoidja juures Euroopa Liidus. Veebikonto ja Müüja serveri vaheline ühendus on krüpteeritud (HTTPS); seadmed edastavad asukohaandmed mobiilsidevõrgu kaudu otse Müüja serverile. Väljaspool Euroopa Majanduspiirkonda andmeid ei säilitata.

8.2. Müüja edastab asukohaandmeid väljapoole Euroopa Majanduspiirkonda üksnes Kliendi dokumenteeritud juhise alusel või kui seda nõuab Müüjale kohalduv liidu või liikmesriigi õigus, ning üksnes GDPR V peatüki kohase kaitsemeetme (nt Euroopa Komisjoni lepingu tüüptingimused) alusel. Väljaspool EMP-d asuva alltöötleja kaasamisest teavitab Müüja punktis 7.2 sätestatud korras; kui Klient tähtaja jooksul vastuväidet ei esita, loetakse see edastust lubavaks juhiseks.

9. Auditid ja teave

9.1. Müüja annab Kliendi taotlusel teabe, mis on mõistlikult vajalik GDPR art 28 kohustuste täitmise tõendamiseks.

9.2. Kliendil on õigus auditeerida käesoleva Lepingu täitmist ise või tema volitatud audiitori kaudu (GDPR art 28 lg 3 p h). Korraline audit toimub kuni üks kord aastas vähemalt 30-päevase etteteatamisega poolte kokkulepitud ajal; lisaks võimaldatakse audit pärast isikuandmetega seotud rikkumist, põhjendatud kahtluse korral Lepingu rikkumises või pädeva järelevalveasutuse nõudmisel, olukorrale vastava etteteatamisega. Audit toimub Kliendi kulul, tööajal ja viisil, mis ei ohusta teiste klientide andmeid ega Müüja ärisaladust; audiitor võtab konfidentsiaalsuskohustuse. Müüja võib esitada audiitori isiku suhtes põhjendatud vastuväite (nt Müüja konkurent); sellisel juhul lepivad pooled kokku sõltumatu audiitori. Pooled teevad käesolevas punktis nimetatud teabe, sh auditi tulemused, pädeva järelevalveasutuse nõudmisel talle kättesaadavaks.

10. Vastutus ja lõppsätted

10.1. Poolte vastutus andmesubjektide ees määratakse GDPR artikli 82 alusel; käesolev Leping ei piira andmesubjektide õigusi.

10.1.1. Omavahelises suhtes vastutab kumbki pool oma kohustuste rikkumise eest. Müüja koguvastutus Kliendi ees käesoleva Lepingu alusel (sh GDPR artikli 82 lõike 5 kohane tagasinõue) on piiratud summaga, mille Klient on Müüjale rikkumisega seotud seadmete ja nende Teenuse eest kokku tasunud, kuid mitte vähem kui 500 eurot. Piirang ei kehti tahtliku rikkumise, raske hooletuse ega surma või tervisekahjustuse põhjustamise korral (VÕS § 106 lg 2, § 42 lg 3 p 1 ja § 44).

10.1.2. Klient hüvitab Müüjale kahju ja kulud (sh andmesubjektidele makstud hüvitised ja mõistlikud õigusabikulud), mis tekivad Müüjale seetõttu, et Klient on jälginud sõidukeid ilma õigusliku aluseta, jätnud sõidukite kasutajad teavitamata või andnud Müüjale õigusvastase juhise. Kui pool on andmesubjektile hüvitanud kahju, mille eest vastutab GDPR artikli 82 lõike 5 kohaselt teine pool, võib ta nõuda teiselt poolelt tagasi hüvitise selle osa, mis vastab teise poole vastutuse osale.

10.2. Lepingule kohaldub Eesti õigus. Vaidlused lahendatakse läbirääkimiste teel, kokkuleppe puudumisel Harju Maakohtus.

10.3. Müüja teatab Lepingu kavandatavatest muudatustest veebilehel ja e-posti teel vähemalt 30 päeva ette, esitades muudatuste sisu ja põhjuse. Olulised muudatused töötlemise eesmärkides, andmete ulatuses või Kliendi õigustes jõustuvad Kliendi suhtes üksnes tema dokumenteeritud nõustumisel; muude muudatuste puhul loetakse Teenuse kasutamise jätkamine pärast jõustumist nõustumiseks. Alltöötlejate muutmisele kohaldatakse punkti 7.2. Kui Klient olulise muudatusega ei nõustu, jätkub senine töötlemine senistel tingimustel või lõpetatakse mõjutatud Teenuse osa, arveldades kasutamata ettemakse proportsionaalselt. Isikuandmete töötlemist puudutavas osas kohaldub vastuolu korral müügi- ja kasutustingimustega käesolev Leping.

10.4. Leping kehtib Teenuse osutamise ajal ja kuni andmete kustutamiseni punkti 6 kohaselt.

10.5. Lepinguga seotud teated edastatakse kirjalikku taasesitamist võimaldavas vormis: Müüjale aadressil klienditugi@mugavauto.ee, Kliendile tema jälgimissüsteemi kasutajakonto e-posti aadressil. Klient hoiab selle aadressi ajakohasena.

10.6. Lepingu eestikeelne tekst on ülimuslik; tõlked on esitatud teavitamise eesmärgil.

Lisa 1. Töötlemise kirjeldus

Töötlemise ese. GPS-jälgimisteenus: Kliendi sõidukite asukoha- ja sõiduandmete kogumine, salvestamine ja kuvamine Kliendi veebikontol.

Töötlemise laad. Kogumine, salvestamine, säilitamine, struktureerimine, kuvamine, aruannete koostamine, kustutamine.

Töötlemise eesmärk. Kliendi määratud eesmärgid, näiteks sõidukipargi haldus, töösõitude arvestus (sh sõidupäevik), vara kaitse ja logistika korraldamine.

Isikuandmete liigid. Sõiduki asukoht ja liikumisteekonnad, kiirus, sõitude ajad ja peatused; sõiduki registreerimismärk ja muud sõiduki tunnused, kui need sisalduvad seadme nimes või Kliendi esitatud andmetes; seadme ja SIM-kaardi tehnilised identifikaatorid; seadme nimi (tavaliselt sõiduki registreerimismärk või mark/mudel) ja seadme juurde Kliendi esitatud kontaktandmed (kontaktisik, telefon) — need võivad Kliendi valikul sisaldada füüsiliste isikute andmeid, mille esitamise õiguspärasuse eest vastutab Klient; Kliendi seadistatud teavitused. Eriliiki isikuandmeid (GDPR art 9) sihipäraselt ei töödelda.

Andmesubjektide kategooriad. Kliendi sõidukite kasutajad (sh töötajad) ja muud isikud, kelle kohta Kliendi seadistatud andmed võivad teavet sisaldada.

Kestus. Teenuse kehtivuse aeg ja 3 kuud pärast selle lõppu; ajalugu jooksvalt viimase 24 kuu ulatuses; varukoopiates kuni 12 kuud pärast kustutamist (Lepingu punkt 6).

Lisa 2. Tehnilised ja korralduslikud turvameetmed

• Juurdepääs Kliendi veebikontole toimub isiklike kasutajakontode kaudu; paroolid salvestatakse räsituna koos soolaga; Klient haldab oma kasutajate ligipääse ise.
• Andmeside veebikontoga on krüpteeritud (HTTPS); seadmed edastavad andmed mobiilsidevõrgu kaudu otse Müüja serverile.
• Serverid asuvad Eestis Müüja valduses olevates ruumides; füüsiline juurdepääs serveritele on piiratud Müüja volitatud isikutega.
• Juurdepääs serverile ja andmetele on piiratud Müüja volitatud isikutega; jälgimissüsteemi haldusõigusega konto on isikustatud, haldusõigusi ei anta klientidele.
• Andmetest tehakse regulaarselt varukoopiaid; varukoopiatele kohaldub sama juurdepääsupiirang, neid säilitatakse kuni 12 kuud ja kasutatakse üksnes süsteemi taastamiseks; väljaspool Müüja servereid hoitakse varukoopiaid üksnes krüpteerituna.
• Süsteemi ja sisselogimiste üle peetakse logisid; serveri tehnilised logid (sh seadmete andmeliiklus) säilivad kuni 7 päeva; tarkvara uuendatakse regulaarselt.
• Müüja võib Lisas 2 kirjeldatud meetmeid täiendada või asendada vähemalt samaväärsete meetmetega ilma punkti 10.3 kohase etteteatamiseta; kaitsetaseme vähendamine on Lepingu muutmine punkti 10.3 tähenduses.

Lisa 3. Alltöötlejad

Müüja osutab Teenust oma serveritaristul Eestis; serverimajutuse alltöötlejaid ei kasutata.

Süsteemi e-kirjad (teavitused, parooli lähtestamine) saadab Müüja oma e-posti server Eestis; välist e-posti teenust ei kasutata. Geokodeerimine (aadressi kuvamine koordinaatide järgi) toimub Müüja serverites. Kaardi kuvamiseks loob Kliendi brauser ühenduse kaarditeenuse pakkujaga (Google) ning edastab talle vähemalt kasutaja IP-aadressi ja kaardipäringus määratud piirkonna; kaarditeenuse pakkuja ei saa Müüjalt isikuandmeid, tema töötlemist kirjeldab privaatsuspoliitika.

Mobiilsideoperaator, kelle võrgus seadme SIM-kaart töötab, edastab andmeid sideteenuse osutajana ja tegutseb iseseisva vastutava töötlejana elektroonilise side seaduse alusel.