Privaatsuspoliitika

1.1.Kohaldatav õigus. Isikuandmete töötlemist reguleerivad määrus (EL) 2016/679 (edaspidi GDPR), Eesti Vabariigi isikuandmete kaitse seadus (edaspidi IKS), turundussõnumite ja küpsiste osas elektroonilise side seadus (edaspidi ESS) ning klientide kontrollimise osas rahapesu ja terrorismi rahastamise tõkestamise seadus (edaspidi RahaPTS) ja rahvusvahelise sanktsiooni seadus.

1.2.Mõisted. Käesolevas poliitikas kasutatakse järgmisi mõisteid:

1.3.Kohaldamisala. Poliitikat kohaldatakse kõigile isikuandmetele, mida Averium töötleb vastutava töötlejana. Kui töötleme andmeid kliendi ülesandel (näiteks kliendi töötajate andmeid tööloa taotluste ettevalmistamisel), tegutseme volitatud töötlejana ning töötlemise korra määrab kliendiga sõlmitud leping.

1.4.Seos lepinguga. Kui teenuseleping sisaldab andmete töötlemise erisätteid, kohaldatakse lepingu sätteid. Muus osas kehtib käesolev poliitika.

1.5.Töötlemise põhimõtted. Igasugusel töötlemisel juhindume GDPR art 5 põhimõtetest: seaduslikkus, õiglus ja läbipaistvus – andmeid töödeldakse üksnes mõnel jaotises 6 loetletud alusel ja andmesubjekti teavitatakse töötlemisest; eesmärgi piirang – ühel eesmärgil kogutud andmeid ei kasutata ilma uue aluseta sellega kokkusobimatul eesmärgil; võimalikult väheste andmete kogumine – küsime üksnes neid andmeid, mis on konkreetse eesmärgi jaoks vajalikud, ega kogu andmeid „igaks juhuks“; õigsus – andmeid ajakohastatakse asjaolude muutumisel ning ebaõiged andmed parandatakse või kustutatakse; säilitamise piirang – andmeid säilitatakse jaotises 10 nimetatud tähtaegade jooksul; usaldusväärsus ja konfidentsiaalsus – kohaldatakse jaotises 11 kirjeldatud turvameetmeid; vastutus – peame töötlemistoimingute registrit (GDPR art 30) ja suudame järelevalveasutusele tõendada poliitika järgimist.

1.6.Konfidentsiaalsus. Lisaks andmekaitsekohustustele on kõik, mis saab meile teatavaks seoses õigusteenuste osutamisega, konfidentsiaalne ning seda kaitsevad teenuseleping, võlaõigusseadus (VÕS § 625) ja sisereeglid. Konfidentsiaalsus hõlmab kliendi pöördumise fakti, asja eset ning nõuannete ja dokumentide sisu. Avalikustamine on lubatud üksnes kliendi nõusolekul, seaduse nõudel või ulatuses, mis on vajalik Averiumi õiguste kaitsmiseks vaidluses kliendiga.

1.7.Kliendi esitatud kolmandate isikute andmed. Edastades meile oma töötajate, kasusaajate, lepingupartnerite ja muude isikute andmeid, kinnitab klient, et tal on selliseks edastamiseks õiguslik alus, ning kohustub teavitama neid isikuid nende andmete töötlemisest Averiumi poolt, sealhulgas andes neile viite käesolevale poliitikale. Kliendi soovil koostame lühikese töötlemisteate, mille klient saab neile isikutele edastada.

2.1.Isikuandmete vastutav töötleja on Averium Consulting OÜ, Eesti äriregistris registrikoodiga 17232358 registreeritud osaühing, aadress Maakri tn 19/1, 10145 Tallinn, Eesti. Põhitegevusalad: õigusteenused (EMTAK 69102) ning äri- ja muu juhtimisalane nõustamine (EMTAK 70201). Averium ei ole krediidi-, makse- ega muu finantsasutus.

2.2.Kõigis isikuandmetega seotud küsimustes saab meiega ühendust võtta e-posti teel aadressil privacy@averium.ee, üldaadressil info@averium.ee või kirjaga eespool nimetatud postiaadressil. Andmekaitse eest vastutav isik on määratud sisekorraldusega; aadressile privacy@averium.ee saadetud pöördumine jõuab otse temani.

2.3.Averium ei ole kohustatud määrama GDPR art 37 tähenduses andmekaitseametnikku (DPO), kuna tema põhitegevus ei ole seotud andmesubjektide ulatusliku korrapärase jälgimisega ega seisne eriliigiliste isikuandmete ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete (GDPR art 10) ulatuslikus töötlemises. Sellegipoolest on poliitika järgimise kontrolli ülesanded pandud andmekaitse eest vastutavale isikule.

Töötleme järgmiste isikurühmade isikuandmeid:

3.1.Veebilehe averium.ee külastajad – kõik isikud, kes avavad veebilehe lehekülgi ükskõik millises selle neljast keeleversioonist.

3.2.Päringu esitanud isikud – isikud, kes on täitnud vormi „Kirjeldage oma ülesannet“, kirjutanud aadressile info@averium.ee või ettevõtte muule aadressile, helistanud või pöördunud LinkedIni kaudu.

3.3.Kliendid ja nende esindajad – füüsilisest isikust kliendid ning juriidilisest isikust klientide juhatuse liikmed, prokuristid, volitatud isikud ja kontaktisikud.

3.4.Klientide tegelikud kasusaajad, osanikud ja aktsionärid – isikud, kelle andmed oleme kohustatud RahaPTS-i kohaselt tuvastama ja kontrollima.

3.5.Klientide lepingupartnerid ja asjaga seotud kolmandad isikud – lepingupooled, vaidluste vastaspooled, tunnistajad, kliendi töötajad, pereliikmed ümberasumise korral ning muud isikud, kelle andmed sisalduvad asja dokumentides.

3.6.Partnerid ja tarnijad – partneradvokaadibüroode, notarite, tõlkide, pankade, makseasutuste ja teenusepakkujate esindajad.

3.7.Tööle kandideerijad – isikud, kes on saatnud oma CV või kandideerinud vabale ametikohale.

3.8.Uudiskirja tellijad ja ürituste osalejad – isikud, kes on tellinud uudiskirja, registreerunud meie üritustele või neist osa võtnud. Praegu me uudiskirja ei saada ega korralda üritusi; tellijaid ja osalejaid käsitlevaid sätteid kohaldatakse siis, kui uudiskiri või üritused lisanduvad.

3.9.Telefoni- ja videokõnedes osalejad. Videokonsultatsioone me ilma osalejate eelneva teavitamise ja nõusolekuta ei salvesta. Kui kõne salvestatakse (näiteks läbirääkimiste protokollimiseks), teatatakse sellest kõne alguses ning salvestist säilitatakse asja toimiku osana.

3.10.Kontori külastajad. Aadressil Maakri tn 19/1 asuvas kontoris võib hoone haldusettevõte teostada üldruumide videovalvet; sellise töötlemise vastutav töötleja on haldusettevõte. Averium peab turvalisuse tagamiseks külastajate registrit (nimi, ettevõte, külastuse aeg); kandeid säilitatakse 6 kuud.

4.1.Eriliigilised isikuandmed. Me ei kogu sihipäraselt eriliigilisi isikuandmeid (GDPR art 9). Selliseid andmeid võib sisalduda asja dokumentides (näiteks terviseandmed elamisloa taotlemisel või perekondlikud asjaolud vaidlustes). Neid töödeldakse üksnes asja ajamiseks vajalikus ulatuses GDPR art 9 lg 2 p f (õigusnõuete koostamine, esitamine või kaitsmine) või art 9 lg 2 p a alusel – andmesubjekti selgesõnalisel nõusolekul.

4.2.Süüdimõistvate kohtuotsuste ja süütegudega seotud andmed. Kliendi kontrollimisel RahaPTS-i alusel võime saada avalikest allikatest, sanktsiooninimekirjadest ja negatiivsete uudiste andmebaasidest teavet karistatuse, kriminaalmenetluse ja süütegude kohta. Sellist töötlemist tehakse GDPR art 10 alusel koostoimes RahaPTS-iga (§ 20 lg 1, § 48 lg 2).

5.1.Andmesubjektilt endalt – vormi täitmisel, kirjavahetuses, kohtumistel, dokumentide esitamisel ja lepingu allkirjastamisel.

5.2.Kliendilt – tema esindajate, kasusaajate, töötajate, lepingupartnerite ja muude asjaga seotud isikute kohta. Klient vastutab selle eest, et tal on alus selliste andmete meile edastamiseks, ning nende isikute teavitamise eest.

5.3.Avalikest registritest ja avatud allikatest – Eesti äriregister ja teiste riikide registrid, tegelike kasusaajate register, kinnistusraamat, kaubamärgiregistrid, kohtuandmebaasid, ELi, ÜRO, Ühendkuningriigi (UK Sanctions List) ja USA (OFAC) ametlikud sanktsiooninimekirjad, meedias avaldatud teave.

5.4.Kolmandatelt isikutelt asja käigus – pankadelt, makseasutustelt, notaritelt, riigiasutustelt, kohtutelt, partneradvokaadibüroodelt, vastaspooltelt ja nende esindajatelt.

5.5.Automaatselt – tehnilised andmed veebilehe külastamisel ja e-posti kasutamisel.

5.6.Klientide kontrollimiseks vajalike andmete pakkujatelt – sanktsiooninimekirjade, PEP-ide ja negatiivsete uudiste kommertsandmebaasid, mida kasutatakse taustakontrolliks.

5.7.Vastutus andmete õigsuse eest. Lähtume sellest, et andmesubjekti või kliendi esitatud andmed on õiged ja ajakohased. Klient on kohustatud viivitamata teatama muudatustest esindajate koosseisus, omandistruktuuris, aadressides ja kontaktandmetes, kuna sellest sõltub RahaPTS-ist tulenevate kohustuste täitmine ning registritele ja pankadele esitatavate dokumentide õigsus.

5.8.Juhuslikult saadud andmed. Kui saame asja käigus dokumente, mis sisaldavad asjaga mitteseotud isikute andmeid (näiteks kui klient edastab kogu kirjavahetuse), me selliseid andmeid ei kasuta ega edasta ning kustutame need niipea, kui see on võimalik toimiku terviklikkust kahjustamata.

• Päringule vastamine, esmane konsultatsioon, pakkumise koostamine

  Andmete kategooriad

  Päringu esitanud isikute andmed

  Õiguslik alus

  GDPR art 6 lg 1 p b – lepingu sõlmimisele eelnevad meetmed andmesubjekti taotlusel

• Huvide konflikti kontroll enne ülesande vastuvõtmist

  Andmete kategooriad

  Poolte ja seotud isikute nimed

  Õiguslik alus

  Art 6 lg 1 p f – õigustatud huvi järgida kutsealaseid kohustusi

• Kliendi, esindajate ja kasusaajate isikusamasuse tuvastamine ja kontrollimine; sanktsioonide kontroll; PEP-staatuse kindlakstegemine; rahaliste vahendite päritolu väljaselgitamine

  Andmete kategooriad

  Klientide, esindajate ja kasusaajate andmed

  Õiguslik alus

  Art 6 lg 1 p c – juriidiline kohustus RahaPTS §-de 19–23 ja rahvusvahelise sanktsiooni seaduse alusel

• Teenuselepingu sõlmimine ja täitmine, asja ajamine, esindamine

  Andmete kategooriad

  Klientide, esindajate, lepingupartnerite ja kolmandate isikute andmed

  Õiguslik alus

  Art 6 lg 1 p b – lepingu täitmine; kolmandate isikute puhul art 6 lg 1 p f – kliendi ja Averiumi õigustatud huvi asja ajamiseks

• Eriliigiliste isikuandmete töötlemine asja dokumentides

  Andmete kategooriad

  Eriliigilised isikuandmed

  Õiguslik alus

  Art 9 lg 2 p f – õigusnõuded; art 9 lg 2 p a – nõusolek

• Süüdimõistvate kohtuotsustega seotud andmete töötlemine KYC raames

  Andmete kategooriad

  Süüdimõistvate kohtuotsuste ja süütegudega seotud andmed

  Õiguslik alus

  GDPR art 10, RahaPTS (§ 20 lg 1, § 48 lg 2)

• Ärisuhte pidev jälgimine, kontrolliandmete ajakohastamine

  Andmete kategooriad

  Klientide ja kasusaajate andmed

  Õiguslik alus

  Art 6 lg 1 p c – RahaPTS § 23

• Kahtlastest tehingutest teatamine RAB-ile

  Andmete kategooriad

  Klientide ja tehingute andmed

  Õiguslik alus

  Art 6 lg 1 p c – RahaPTS § 49

• Arvete esitamine, raamatupidamine, maksuaruandlus

  Andmete kategooriad

  Klientide, partnerite ja tarnijate andmed

  Õiguslik alus

  Art 6 lg 1 p c – raamatupidamise seadus, maksukorralduse seadus

• Võlgade sissenõudmine, kaitse esitatud nõuete vastu, vaidluste pidamine klientidega

  Andmete kategooriad

  Klientide ja esindajate andmed

  Õiguslik alus

  Art 6 lg 1 p f – õigustatud huvi kaitsta oma õigusi

• Suhtlus partnerite ja tarnijatega

  Andmete kategooriad

  Partnerite ja tarnijate andmed

  Õiguslik alus

  Art 6 lg 1 p b – leping; art 6 lg 1 p f – õigustatud huvi

• Uudiskirjad, kutsed üritustele

  Andmete kategooriad

  Tellijate ja klientide andmed

  Õiguslik alus

  Art 6 lg 1 p a – nõusolek; praeguste ja endiste klientide puhul art 6 lg 1 p f ja ESS § 103¹ (sõnumid sarnaste teenuste kohta koos loobumisõigusega)

• Ürituste korraldamine, pildistamine ja filmimine

  Andmete kategooriad

  Osalejate andmed

  Õiguslik alus

  Art 6 lg 1 p b – registreerimine; art 6 lg 1 p f – õigustatud huvi üritusi kajastada; art 6 lg 1 p a – nõusolek lähivõtete avaldamiseks

• Personalivalik

  Andmete kategooriad

  Kandidaatide andmed

  Õiguslik alus

  Art 6 lg 1 p b – töölepingu sõlmimisele eelnevad meetmed; art 6 lg 1 p f; säilitamine pärast konkursi lõppu – art 6 lg 1 p a

• Veebilehe toimimise tagamine, turvalisus, kuritarvituste ennetamine

  Andmete kategooriad

  Tehnilised andmed

  Õiguslik alus

  Art 6 lg 1 p f – õigustatud huvi

• Valitud veebilehe keele meelespidamine

  Andmete kategooriad

  Küpsis NEXT_LOCALE (keelekood)

  Õiguslik alus

  Art 6 lg 1 p f – õigustatud huvi; nõusolekut ei ole vaja, kuna küpsis on hädavajalik (direktiivi 2002/58/EÜ art 5 lg 3)

• Küpsistebänneris tehtud valiku meelespidamine

  Andmete kategooriad

  Küpsis averium_consent (aktsepteeritud kategooriad, valiku kuupäev, juhuslik nõusoleku identifikaator)

  Õiguslik alus

  Art 6 lg 1 p f – õigustatud huvi; nõusolekut ei ole vaja, kuna küpsis on hädavajalik (direktiivi 2002/58/EÜ art 5 lg 3)

• Veebilehe külastatavuse analüüs ja reklaami mõõtmine

  Andmete kategooriad

  Küpsiste andmed

  Õiguslik alus

  Praegu ei kasutata; kui need lisanduvad – art 6 lg 1 p a – nõusolek küpsistebänneri kaudu, direktiivi 2002/58/EÜ art 5 lg 3

• Sisemine kvaliteedikontroll, audit, kutsealase vastutuse kindlustus

  Andmete kategooriad

  Kliendiasjade andmed

  Õiguslik alus

  Art 6 lg 1 p f – õigustatud huvi

6.1.Õigustatud huvi. Kui tugineme õigustatud huvile, oleme eelnevalt hinnanud, et andmesubjekti huvid ja õigused ei kaalu üles Averiumi või kolmanda isiku huvi. Andmesubjektil on õigus taotleda sellise hindamise lühikokkuvõtet (huvide kaalumise test) ja esitada töötlemise suhtes vastuväiteid (punkt 12.7).

6.2.Nõusolek. Nõusolek antakse alati eraldi konkreetse eesmärgi jaoks ja vabatahtlikult ning selle võib igal ajal tagasi võtta. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist toimunud töötlemise seaduslikkust.

6.3.Eesmärgi muutmine. Kui kavatseme andmeid töödelda muul eesmärgil kui see, milleks need koguti, hindame eelnevalt eesmärkide kokkusobivust (GDPR art 6 lg 4), võttes arvesse eesmärkide vahelist seost, andmete kogumise konteksti, andmete laadi ja võimalikke tagajärgi andmesubjektile. Kui eesmärgid ei ole kokkusobivad, küsime nõusolekut või ei kasuta andmeid uuel eesmärgil.

6.4.Veebilehe kaudu toimuv töötlemine. Veebilehe külastamisel salvestab majutusteenuse pakkuja server automaatselt tehnilised andmed (IP-aadress, aeg, päritud lehekülg, vastuse kood, edastatud andmete maht, brauser). Neid logisid kasutatakse üksnes veebilehe toimivuse ja turvalisuse tagamiseks, neid ei ühendata muude andmetega ja neid säilitatakse mitte kauem kui 12 kuud. Vormi „Kirjeldage oma ülesannet“ andmed edastatakse turvalise ühenduse kaudu e-kirjade edastamise teenuse vahendusel meie aadressile info@averium.ee; veebilehe andmebaasi koopiat ei salvestata.

7.1.Kohustatud isiku staatus. Averium on RahaPTS § 2 tähenduses kohustatud isik kui raamatupidamis- ja maksunõustamisteenuseid (lg 1 p 7–8), äriühingute asutamise teenuseid (lg 1 p 9) ning kliendi tehingutes osaledes õigusteenuseid (lg 2) osutav isik. See tähendab, et oleme kohustatud kohaldama klientide suhtes hoolsusmeetmeid enne ärisuhte loomist ja kogu selle kestel.

7.2.Hoolsusmeetmed. Kooskõlas RahaPTS §-dega 19–23 ja rahvusvahelise sanktsiooni seadusega me: tuvastame ja kontrollime kliendi ja tema esindaja isikusamasust isikut tõendava dokumendi alusel või e-identimise vahendite abil; tuvastame tegelikud kasusaajad ja kontrollime omandistruktuuri; selgitame välja ärisuhte eesmärgi ja olemuse; kõrgema riski korral selgitame välja rahaliste vahendite päritolu ja vara päritolu; kontrollime klienti, esindajaid ja kasusaajaid sanktsiooninimekirjade ja PEP-andmebaaside alusel; jälgime ärisuhet pidevalt.

7.3.Sanktsioonide kontroll. Kontroll ELi, ÜRO, Ühendkuningriigi ja USA sanktsiooninimekirjade alusel tehakse kliendiks võtmisel ning edaspidi korrapäraselt, sealhulgas iga kord, kui nimekirju uuendatakse. Vasteid kontrollib töötaja käsitsi; automaatset keeldumisotsust ei tehta (jaotis 15).

7.4.Riikliku taustaga isikud. Teeme kindlaks, kas klient, esindaja või kasusaaja on PEP, PEP-i pereliige või lähedane kaastöötaja. Selliste isikute suhtes kohaldatakse tugevdatud hoolsusmeetmeid, sealhulgas juhtkonna heakskiitu ja vara päritolu väljaselgitamist.

7.5.Teatamiskohustus. Kui meil tekib rahapesu või terrorismi rahastamise kahtlus, oleme kohustatud sellest teatama RAB-ile (RahaPTS § 49). Seadus keelab teavitada klienti või kolmandaid isikuid teate esitamisest (RahaPTS § 51). Sel juhul võidakse andmesubjekti õigust saada teavet ja juurdepääsuõigust piirata GDPR art 23 ja RahaPTS § 51 alusel.

7.6.Säilitamine. Kliendi kontrollimise andmeid ja dokumente ning tehingute andmeid säilitatakse 5 aastat pärast ärisuhte lõppemist või tehingu tegemist (RahaPTS § 47). Järelevalveasutuse ettekirjutusel võib tähtaega pikendada kuni 5 aasta võrra.

7.7.Teenindamisest keeldumine. Kui me ei saa hoolsusmeetmeid kohaldada, ei tohi me ärisuhet luua või oleme kohustatud selle lõpetama (RahaPTS § 42). Keeldumist ei pea kliendile põhjendama osas, milles põhjuste avalikustamine on seadusega keelatud.

7.8.Rahaliste vahendite päritolu ja vara päritolu. Rahaliste vahendite päritolu väljaselgitamiseks võime küsida kontoväljavõtteid, vahendite päritolu tõendavaid lepinguid, maksudeklaratsioone ning dokumente vara müügi, pärimise või dividendide kohta. Vara päritolu väljaselgitamiseks küsime teavet kutsetegevuse, äritegevuse ja varade kohta. Sellised dokumendid kuuluvad kliendi kontrollimise toimikusse, neid hoitakse eraldi ja neile on juurdepääs piiratud arvul töötajatel.

7.9.Isikusamasuse kaugtuvastamine. Isikusamasuse tuvastamisel ilma füüsilise kohalolekuta kasutame RahaPTS § 20 lg 1 p 1 ja § 21 lg 4 kohaselt lubatud vahendeid: Eesti ID-kaarti, Mobiil-ID-d, Smart-ID-d, ELi kvalifitseeritud e-allkirju (eIDAS) või videotuvastamist kehtestatud korras koos seansi salvestamisega. Tuvastamisseansi salvestis on toimiku osa ja seda säilitatakse 5 aastat pärast ärisuhte lõppemist.

7.10.Sisereeglid. Klientide kontrollimise kord, riskihindamine ning töötajate rollid ja vastutus on sätestatud Averiumi juhatuse kinnitatud RahaPTS-i sisereeglites. Avalik kokkuvõte on esitatud veebilehel avaldatud kliendiks võtmise poliitikas.

8.1.Edastame isikuandmeid üksnes isikutele, kellele need on nimetatud eesmärkidel vajalikud, ja üksnes vajalikus ulatuses.

• Partneradvokaadibürood ELis, Ühendkuningriigis ja teistes riikides

  Milliseid andmeid ja miks

  Asja andmed selles osas, mis puudutab nende jurisdiktsiooni

  Vastuvõtja staatus

  Iseseisev vastutav töötleja, keda seovad leping ja konfidentsiaalsuskohustus

• Notarid, vandetõlgid, patendivolinikud

  Milliseid andmeid ja miks

  Notariaaltoiminguks, tõlkimiseks või taotluse esitamiseks vajalikud andmed

  Vastuvõtja staatus

  Iseseisev vastutav töötleja

• Pangad, makseasutused ja e-raha asutused

  Milliseid andmeid ja miks

  Kliendi ja kasusaajate andmed konto avamise taotluse esitamisel ja panga päringutele vastamisel – kliendi ülesandel

  Vastuvõtja staatus

  Iseseisev vastutav töötleja

• Riiklikud registrid ja asutused: äriregister, Maksu- ja Tolliamet, Politsei- ja Piirivalveamet, Finantsinspektsioon, kohtud, Patendiamet, EUIPO

  Milliseid andmeid ja miks

  Dokumentide esitamiseks ja esindamiseks vajalikud andmed

  Vastuvõtja staatus

  Avaliku sektori asutused

• RAB, AKI, järelevalveasutused, kohus, õiguskaitseasutused

  Milliseid andmeid ja miks

  Seaduse nõudel või kohtu otsuse alusel

  Vastuvõtja staatus

  Avaliku sektori asutused

• IT-teenuste pakkujad: veebilehe majutus, e-post ja kalender, dokumentide pilvesalvestus, e-allkirja süsteem, CRM ja asjade haldus, videokonverentsid, raamatupidamistarkvara, sanktsioonide kontrolli tööriistad

  Milliseid andmeid ja miks

  Vastavates süsteemides töödeldavad andmed

  Vastuvõtja staatus

  Volitatud töötlejad GDPR art 28 kohaste lepingute alusel

• Averiumi audiitorid, raamatupidajad, õigus- ja maksunõustajad

  Milliseid andmeid ja miks

  Andmed kontrolliks või nõustamiseks vajalikus ulatuses

  Vastuvõtja staatus

  Iseseisvad vastutavad töötlejad, keda seob kutsesaladus (audiitorid, advokaadid) või konfidentsiaalsuskohustus

• Kutsealase vastutuse kindlustusandja

  Milliseid andmeid ja miks

  Asja andmed nõude menetlemisel

  Vastuvõtja staatus

  Iseseisev vastutav töötleja

• Õigusjärglased

  Milliseid andmeid ja miks

  Ümberkorraldamise, ühinemise või ettevõtte müügi korral kogu andmebaas, säilitades käesoleva poliitika tingimused

  Vastuvõtja staatus

  Iseseisev vastutav töötleja

8.2.Me ei müü isikuandmeid ega edasta neid kolmandatele isikutele nende enda turunduseesmärkidel.

8.3.Kõigi volitatud töötlejatega on sõlmitud isikuandmete töötlemise lepingud, mis kohustavad neid töötlema andmeid üksnes meie juhiste kohaselt, tagama turvalisuse, mitte kaasama ilma meie loata teisi volitatud töötlejaid ning teenuse lõppemisel andmed kustutama või tagastama.

8.4.Edastamine partnerbüroodele. Partneradvokaadibüroo kaasamisel teises riigis edastame ainult selle osa tööks vajalikud andmed ning teavitame klienti eelnevalt partneri kaasamisest ja riigist, kuhu andmed edastatakse. Partnerbüroo tegutseb iseseisva vastutava töötlejana kooskõlas oma riigi õigusaktide ja kutse-eeskirjadega, teda seob Averiumiga konfidentsiaalsusleping ning tal ei ole õigust kasutada andmeid muudel eesmärkidel.

8.5.Edastamine ametiasutuste nõudel. Riigiasutuste andmepäringute puhul kontrollime õigusliku aluse olemasolu ja täidame need üksnes seadusega nõutud ulatuses. Kui seadus seda ei keela, teavitame klienti saadud päringust. Kliendi konfidentsiaalseid andmeid edastatakse üksnes seaduses otseselt ette nähtud juhtudel.

8.6.Avaldamine. Me ei avalda klientide nimesid, nende asjade sisu ega muud teavet nende kohta ilma kliendi kirjaliku nõusolekuta. Veebilehel ja turundusmaterjalides avaldatud asjade kirjeldused on anonüümitud nii, et klienti ei ole võimalik tuvastada.

9.1.Üldjuhul säilitatakse ja töödeldakse andmeid EMP-s; e-post on majutatud Šveitsis (riik, mille kohta on tehtud kaitse piisavust käsitlev otsus). Andmeid edastatakse väljapoole EMP-d järgmistel juhtudel: asja ajamine väljaspool EMP-d asuvas jurisdiktsioonis (näiteks Ühendkuningriigi või Šveitsi partnerbüroo kaudu), dokumentide esitamine kolmanda riigi pangale või asutusele kliendi ülesandel ning selliste IT-teenuse pakkujate kasutamine, kelle taristu asub kolmandates riikides.

9.2.Andmeid edastatakse üksnes juhul, kui on tagatud üks GDPR V peatükis sätestatud kaitsemeetmetest:

9.3.Enne andmete edastamist riiki, mille kohta ei ole tehtud kaitse piisavust käsitlevat otsust, hindame vastuvõtja riigi õigusakte ja kohaldame vajaduse korral lisameetmeid (krüpteerimine, pseudonüümimine, juurdepääsu lepingulised piirangud).

9.4.Andmesubjektil on õigus taotleda kohaldatavate kaitsemeetmete koopiat, saates päringu aadressile privacy@averium.ee.

10.1.Säilitame andmeid mitte kauem, kui on vajalik töötlemise eesmärkide saavutamiseks või seadusega nõutud. Tähtaja möödumisel andmed kustutatakse või anonüümitakse.

• Kliendi suhtes kohaldatud hoolsusmeetmete andmed, dokumentide koopiad, andmed kasusaajate kohta, kontrolli tulemused

  Säilitamistähtaeg

  5 aastat pärast ärisuhte lõppemist; järelevalveasutuse ettekirjutusel kuni 10 aastat

  Alus

  RahaPTS § 47

• Teenuselepingud, kirjavahetus ja asja dokumendid

  Säilitamistähtaeg

  10 aastat pärast asja lõppemist

  Alus

  Lepingust tulenevate nõuete üldine aegumistähtaeg on 3 aastat (tsiviilseadustiku üldosa seaduse (TsÜS) § 146), tahtliku rikkumise korral 10 aastat (TsÜS § 146 lg 4); kutsealase vastutuse kindlustuse kehtivusaeg

• Arved, maksedokumendid, raamatupidamisregistrid

  Säilitamistähtaeg

  7 aastat alates majandusaasta lõpust

  Alus

  Raamatupidamise seadus § 12

• Päringu esitanud isikute andmed, kui päringust ei saanud lepingut

  Säilitamistähtaeg

  1 aasta alates viimasest kontaktist

  Alus

  Õigustatud huvi vastata korduvatele pöördumistele

• Huvide konflikti kontrolli tulemused

  Säilitamistähtaeg

  10 aastat

  Alus

  Õigustatud huvi järgida kutsealaseid kohustusi

• Kandidaatide andmed

  Säilitamistähtaeg

  1 aasta pärast konkursi lõppu; nõusolekul 3 aastat

  Alus

  Õigustatud huvi kaitsta end nõuete eest; nõusolek

• Turundusandmed ja tellimused

  Säilitamistähtaeg

  Kuni nõusoleku tagasivõtmise või tellimusest loobumiseni; tellimusest loobumise fakt – 3 aastat

  Alus

  Nõusolek; õigustatud huvi tõendada tellimusest loobumist

• Ürituste foto- ja videomaterjalid

  Säilitamistähtaeg

  5 aastat

  Alus

  Õigustatud huvi

• Veebilehe ja e-postiserveri tehnilised logid

  Säilitamistähtaeg

  mitte kauem kui 12 kuud

  Alus

  Õigustatud huvi tagada turvalisus

• Kontori külastajate register

  Säilitamistähtaeg

  6 kuud

  Alus

  Õigustatud huvi tagada turvalisus

• Küpsised

  Säilitamistähtaeg

  Vastavalt küpsiste poliitikale – küpsist NEXT_LOCALE säilitatakse brauseriseansi lõpuni, küpsist averium_consent 12 kuud

  Alus

  Õigustatud huvi (hädavajalikud küpsised)

• Andmesubjektide taotlustega seotud kirjed

  Säilitamistähtaeg

  3 aastat pärast taotluse täitmist

  Alus

  Õigustatud huvi tõendada kohustuste täitmist

10.2.Kui andmete suhtes on käimas vaidlus, kontroll või uurimine, pikendatakse säilitamistähtaega kuni asja lõpliku lahendamiseni.

11.1.Korralduslikud meetmed. Juurdepääs andmetele antakse teadmisvajaduse põhimõttel; kõik töötajad ja kaasatud isikud allkirjastavad konfidentsiaalsuskohustuse; andmekaitse ja infoturbe sisereeglid on kõigile kohustuslikud; töötajad läbivad andmekaitse ja RahaPTS-i koolituse tööle asumisel ja vähemalt kord aastas; töölt lahkumisel tühistatakse juurdepääsud töösuhte lõppemise päeval.

11.2.Tehnilised meetmed. Kaheastmeline autentimine kõigis töösüsteemides; andmete krüpteerimine edastamisel (TLS) ja salvestamisel; varundamine, mille koopiaid hoitakse EMP-s või Šveitsis; juurdepääsu logimine asjade haldamise süsteemides; viirusetõrje ja tarkvara uuendamine; õiguste eristamine süsteemides; soovi korral turvalised kanalid dokumentide vahetamiseks klientidega.

11.3.Dokumentide vahetamine. Tavaline e-post ei ole täielikult turvaline kanal. Isikut tõendavate dokumentide koopiate ja muu tundliku teabe edastamiseks pakume turvalist üleslaadimislinki või manuste krüpteerimist.

11.4.Intsidendid. Isikuandmetega seotud rikkumise korral dokumenteerime intsidendi, hindame riske ning, kui rikkumine võib põhjustada ohtu füüsiliste isikute õigustele ja vabadustele, esitame AKI-le teate 72 tunni jooksul (GDPR art 33). Suure ohu korral teavitame mõjutatud andmesubjekte põhjendamatu viivituseta (GDPR art 34).

11.5.Töö väljaspool kontorit. Kaugtöö on lubatud üksnes ketta krüpteerimisega tööseadmetest, turvalise ühenduse kaudu ning reeglite kohaselt, mis keelavad klientide andmete hoidmise isiklikes seadmetes ja isiklikes pilvehoidlates. Paberdokumente hoitakse lukustatavates kappides; säilitamistähtaja möödumisel hävitatakse need paberipurustiga.

11.6.Volitatud töötlejate kontroll. Enne volitatud töötleja kaasamist hindame tema turvameetmeid, sertifitseerimist (näiteks ISO 27001) ja töötlemise asukohta. Volitatud töötlejatega sõlmitud lepingud näevad ette auditeerimisõiguse ja kohustuse teavitada meid intsidentidest viivitamata.

11.7.Vastutuse piirangud. Me ei vastuta nende andmete turvalisuse eest, mida andmesubjekt saadab meile omal algatusel turvamata kanalite kaudu enne turvalise edastusviisi kokkuleppimist, ega andmete töötlemise eest kolmandate isikute veebilehtedel, millele viitavad lingid veebilehel averium.ee.

Andmesubjektil on oma isikuandmete suhtes järgmised õigused. Need õigused ei ole absoluutsed ja neid võib seadusega piirata, eelkõige RahaPTS-i ja GDPR art 23 alusel.

12.1.Õigus saada teavet ja juurdepääsuõigus (GDPR art 13–15). Teil on õigus saada kinnitus selle kohta, kas me töötleme teie andmeid, ja kui töötleme, siis saada neile juurdepääs ning teave töötlemise eesmärkide, andmete kategooriate, vastuvõtjate, säilitamistähtaegade, andmete allika ja teie õiguste kohta. Andmete koopia esitame tasuta; täiendavate koopiate eest võidakse võtta mõistlikku tasu. Juurdepääsu võib piirata, kui see kahjustaks teiste isikute õigusi, sealhulgas kliendi teabe konfidentsiaalsust, või rikuks RahaPTS § 51 kohast avalikustamise keeldu.

12.2.Õigus andmete parandamisele (art 16). Teil on õigus nõuda ebaõigete andmete parandamist ja mittetäielike andmete täiendamist. Kliendi kontrollimise andmete parandamine võib eeldada tõendavate dokumentide esitamist.

12.3.Õigus andmete kustutamisele („õigus olla unustatud“, art 17). Teil on õigus nõuda andmete kustutamist, kui need ei ole enam töötlemise eesmärkideks vajalikud, olete nõusoleku tagasi võtnud, esitanud töötlemise suhtes vastuväite või andmeid on töödeldud ebaseaduslikult. Seda õigust ei kohaldata, kui säilitamine on nõutud seadusega (näiteks RahaPTS § 47, raamatupidamise seadus) või vajalik õigusnõuete jaoks.

12.4.Õigus isikuandmete töötlemise piiramisele (art 18). Teil on õigus nõuda töötlemise piiramist ajaks, mil kontrollitakse andmete õigsust või vaadatakse läbi teie vastuväidet, samuti juhul, kui töötlemine on ebaseaduslik, kuid te olete andmete kustutamise vastu.

12.5.Õigus andmete ülekandmisele (art 20). Andmeid, mille olete meile esitanud ja mida töödeldakse nõusoleku või lepingu alusel automatiseeritult, on teil õigus saada struktureeritud ja masinloetavas vormingus ning edastada need teisele vastutavale töötlejale.

12.6.Õigus nõusolek tagasi võtta (art 7 lg 3). Nõusoleku võib igal ajal tagasi võtta samal viisil, kuidas see anti, või kirjaga aadressile privacy@averium.ee. Tagasivõtmine ei mõjuta enne tagasivõtmist toimunud töötlemise seaduslikkust.

12.7.Vastuväidete esitamise õigus (art 21). Teil on õigus esitada oma konkreetse olukorraga seotud põhjustel vastuväiteid õigustatud huvi alusel toimuva töötlemise suhtes. Lõpetame töötlemise, kui me ei tõenda, et töötlemiseks on mõjuv õiguspärane põhjus, mis kaalub üles teie huvid. Otseturunduse eesmärgil toimuva töötlemise suhtes võite esitada vastuväite igal ajal põhjust nimetamata – lõpetame selle tingimusteta.

12.8.Õigus, et teie kohta ei tehtaks automatiseeritud otsust (art 22). Vt jaotis 15.

12.9.Taotluse esitamise kord. Taotlus saadetakse aadressile privacy@averium.ee või posti teel. Andmete kaitsmiseks volitamata avalikustamise eest võime paluda isikusamasuse kinnitamist (näiteks taotluse digiallkirjastamist või üksnes andmesubjektile teadaolevate andmete esitamist). Taotluse vorm on esitatud lisas B.

12.10.Tähtajad. Vastame põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul taotluse saamisest. Taotluste keerukuse või suure arvu korral võib tähtaega pikendada veel kahe kuu võrra, teavitades teid sellest esimese kuu jooksul.

12.11.Tasu. Taotluste läbivaatamine on tasuta. Kui taotlused on ilmselgelt põhjendamatud või ülemäärased, eelkõige nende korduvuse tõttu, võime võtta mõistlikku tasu või keelduda taotluse täitmisest, põhjendades keeldumist.

12.12.Keeldumine. Kui me ei saa taotlust täielikult või osaliselt täita, teatame põhjused, välja arvatud juhul, kui seadus keelab nende avalikustamise, ning teavitame teid õigusest esitada kaebus AKI-le ja pöörduda kohtusse.

12.13.Õiguste piirangud RahaPTS-i alusel. Kooskõlas GDPR art 23 ja RahaPTS-iga (§ 48 lg 2¹–2², § 51) võib rahapesu ja terrorismi rahastamise tõkestamise eesmärgil töödeldavate andmete suhtes piirata õigust saada teavet, juurdepääsuõigust, õigust isikuandmete töötlemise piiramisele, õigust andmete ülekandmisele ja vastuväidete esitamise õigust niivõrd, kuivõrd nende õiguste kasutamine takistaks RahaPTS-ist tulenevate kohustuste täitmist või avaldaks RAB-ile teate esitamise fakti. Sellistel juhtudel teatame andmesubjektile, et töötlemine toimub kooskõlas seadusega ja et tal on õigus pöörduda AKI poole, mis kontrollib töötlemise seaduslikkust.

12.14.Taotlused kolmandate isikute nimel. Andmesubjekti esindaja taotlus täidetakse volikirja või muu esindusõigust tõendava dokumendi esitamisel. Teise isiku (näiteks abikaasa või äripartneri) andmeid puudutavat taotlust ilma tema volituseta ei täideta.

12.15.Õigused seoses kliendi asja andmetega. Kolmandad isikud, kelle andmed sisalduvad asja toimikus (lepingupartnerid, vastaspooled), võivad oma õigusi kasutada niivõrd, kuivõrd see ei kahjusta konfidentsiaalsust ega kliendi õigusi. Eelkõige võib piirata juurdepääsu kliendile antud nõuannete ja kliendiga peetud kirjavahetuse sisule, kui see kahjustaks kliendi õigusi ja vabadusi (GDPR art 15 lg 4).

13.1.Uudiskirjad. Kui uudiskirja saatmine algab, saadame ülevaateid õigusaktide muudatustest, artikleid ja kutseid üritustele isikutele, kes on andnud tellimiseks nõusoleku, ning praegustele ja endistele klientidele varem osutatud teenustega sarnaste teenuste kohta (ESS § 103¹). Igas kirjas on tellimusest loobumise link; loobumine jõustub kohe.

13.2.Sagedus ja sisu. Mitte rohkem kui kaks kirja kuus, välja arvatud kiireloomulised teated kliente puudutavatest õigusaktide muudatustest. Me ei edasta tellijate nimekirja kolmandatele isikutele.

13.3.Üritused. Üritusele registreerumisel töötleme andmeid osalemise korraldamiseks. Üritustel võidakse meie kanalites kajastamiseks pildistada ja filmida; sellest teatatakse registreerumisel ja kohapeal. Osalejal on õigus paluda, et tema lähivõttega pilte ei avaldataks, kirjutades aadressile privacy@averium.ee.

13.4.LinkedIn. Meil ei ole veel LinkedInis ettevõtte lehte. Kui see luuakse, reguleerib sellega suhtlemisel toimuvat andmete töötlemist LinkedIni poliitika ning lehe statistika osas Averiumi ja LinkedIn Irelandi kui kaasvastutavate töötlejate ühine vastutus.

14.1.Kandidaatide andmeid töödeldakse ametikohale sobivuse hindamiseks, vestluste läbiviimiseks ja töölevõtmise otsuse tegemiseks. Võime küsida soovitusi kandidaadi nimetatud isikutelt ja kontrollida avalikult kättesaadavat erialast teavet (LinkedIn, publikatsioonid). Muudest allikatest teeme kontrolli üksnes kandidaadi teadmisel.

14.2.Klientide kontrollimise ja klientide vahenditele juurdepääsuga seotud ametikohtade puhul on meil õigus küsida karistusregistri väljavõtet seadusega lubatud ulatuses.

14.3.Valituks mitteosutunud kandidaatide andmeid säilitatakse võimalike nõuete eest kaitsmiseks 1 aasta pärast konkursi lõppu; kandidaadi nõusolekul 3 aastat tulevaste vabade ametikohtade pakkumiseks.

15.1.Me ei tee otsuseid, mis põhinevad üksnes automatiseeritud töötlemisel ja millel on andmesubjekti jaoks õiguslikud tagajärjed.

15.2.Sanktsioonide ja PEP-kontroll tehakse tarkvaratööriistadega, mis võrdlevad andmeid nimekirjadega. Iga vastet kontrollib töötaja käsitsi; kliendiks võtmise või teenindamisest keeldumise otsuse teeb vastutav isik, mitte süsteem.

15.3.Praegu ei kasuta veebileht analüüsitööriistu. Kui need lisanduvad, koostavad need üksnes üldistatud statistikat ja neid ei kasutata üksikisikute kohta otsuste tegemiseks.

Meie teenused on mõeldud ettevõtetele ja täisealistele isikutele. Me ei osuta teenuseid alla 18-aastastele isikutele ega kogu sihipäraselt nende andmeid. Alaealiste andmeid võidakse töödelda üksnes kliendi asja raames (näiteks pereliikmetele elamisloa taotlemisel) seadusliku esindaja ülesandel. Kui saame teada, et oleme saanud lapse andmed ilma sellise aluseta, kustutame need.

Küpsiste, pikslite ja sarnaste tehnoloogiate kasutamist veebilehel averium.ee kirjeldatakse eraldi küpsiste poliitikas. Praegu salvestab veebileht ainult hädavajalikud küpsised NEXT_LOCALE (veebilehe keel) ja averium_consent (teie valik küpsistebänneris) ega kasuta analüüsi- ja reklaamitööriistu. Bänneri ja iga lehekülje allosas oleva lingi „Küpsiste seaded“ kaudu saate juba praegu oma valiku teha ja seda muuta; kui sellised tööriistad lisanduvad, töötavad need üksnes teie nõusolekul.

18.1.Kui leiate, et teie andmete töötlemine rikub seadust, palume esmalt pöörduda meie poole aadressil privacy@averium.ee – püüame küsimuse lahendada ühe kuu jooksul.

18.2.Teil on õigus igal ajal esitada kaebus Eesti Andmekaitse Inspektsioonile: Andmekaitse Inspektsioon, Tatari 39, 10134 Tallinn, telefon +372 627 4135, e-post info@aki.ee, www.aki.ee (avaneb uuel vahelehel). Kui elate teises EMP lepinguriigis, võite esitada kaebuse oma elukohajärgsele järelevalveasutusele.

18.3.Teil on ka õigus pöörduda kohtusse. Averiumiga seotud vaidlusi lahendab Harju Maakohus, kui kohtualluvust reguleerivatest kohustuslikest sätetest ei tulene teisiti.

19.1.Vaatame poliitika üle vähemalt kord aastas ning õigusaktide, tegevuse või kasutatavate süsteemide muutumisel. Kehtiv redaktsioon koos kuupäevaga on alati avaldatud aadressil averium.ee/policies.

19.2.Olulistest muudatustest, mis puudutavad klientide ja tellijate õigusi, teavitame e-posti teel vähemalt 14 päeva enne muudatuste jõustumist. Teenuste kasutamise jätkamine pärast seda tähendab uue redaktsiooniga tutvumist; nõusoleku alusel toimuva töötlemise puhul küsime oluliste muudatuste korral nõusolekut uuesti.

19.3.Poliitika on koostatud eesti, inglise, vene ja ukraina keeles. Versioonide lahknevuse korral on ülimuslik ingliskeelne versioon, kui kliendiga sõlmitud lepingus ei ole sätestatud teisiti.

• Veebilehe majutus ja CDN

  Eesmärk

  Veebilehe averium.ee majutamine, kaitse rünnakute eest

  Töötlemise asukoht

  EMP; CDN – globaalselt DPF/SCC alusel

• Veebilehe vormi sõnumite saatmine

  Eesmärk

  Vormi „Kirjeldage oma ülesannet“ sõnumite edastamine aadressile info@averium.ee

  Töötlemise asukoht

  EMP (teenusepakkuja ELi piirkond); teenusepakkuja kaugjuurdepääs USAst – DPF või SCC alusel

• E-post, kalender, videokonverentsid

  Eesmärk

  Ärikirjavahetus ja kohtumised

  Töötlemise asukoht

  E-post – Šveits (kaitse piisavust käsitlev otsus); kalender ja videokonverentsid – EMP; varukoopiad – samas

• Dokumentide pilvesalvestus ja haldus

  Eesmärk

  Klienditoimikute ja asja dokumentide hoidmine

  Töötlemise asukoht

  EMP

• Asjade haldamise süsteem ja CRM

  Eesmärk

  Päringute, asjade, tähtaegade ja kontaktide arvestus

  Töötlemise asukoht

  EMP

• Digiallkiri ja isikutuvastus

  Eesmärk

  Lepingute allkirjastamine, isikusamasuse kaugtuvastamine (ID-kaart, Smart-ID, Mobiil-ID, ELi kvalifitseeritud allkiri)

  Töötlemise asukoht

  EMP

• Raamatupidamistarkvara ja arveldamine

  Eesmärk

  Raamatupidamine, arved, aruandlus

  Töötlemise asukoht

  EMP

• Sanktsioonide ja PEP-kontrolli tööriistad

  Eesmärk

  Klientide kontrollimine nimekirjade ja negatiivsete uudiste alusel

  Töötlemise asukoht

  EMP või riik, mille kohta on tehtud kaitse piisavust käsitlev otsus

• Uudiskirjade saatmise teenus (praegu ei kasutata)

  Eesmärk

  Uudiskirjad ja kutsed

  Töötlemise asukoht

  EMP või USA (DPF)

• Varundamine

  Eesmärk

  Süsteemide varukoopiate hoidmine

  Töötlemise asukoht

  EMP

Konkreetsete teenusepakkujate ajakohase loetelu saadame taotluse alusel, mis tuleb esitada aadressile privacy@averium.ee.

Et saaksime teie taotluse kiiresti ja täpselt täita, palume märkida:

1. 1.Ees- ja perekonnanimi ning e-posti aadress, kuhu vastus saata.
2. 2.Millises rollis me teie andmeid töötleme (klient, kliendi esindaja, kasusaaja, lepingupartner, kandidaat, tellija, veebilehe külastaja) ja vajaduse korral kliendi nimi ning asja number või ese.
3. 3.Millist õigust te kasutate: juurdepääs, parandamine, kustutamine, piiramine, ülekandmine, vastuväide, nõusoleku tagasivõtmine.
4. 4.Milliseid andmeid või millist töötlemisperioodi taotlus täpselt puudutab.
5. 5.Isikusamasuse kinnitamise viis: digiallkiri (ID-kaart, Smart-ID, Mobiil-ID, eIDAS), taotlus e-posti aadressilt, mis on meil teie kohta registreeritud, või muu kokkulepitud viis.
6. 6.Eelistatud vastuse vorm (elektrooniline dokument, paberkiri).

Taotlus saadetakse aadressile privacy@averium.ee teemaga „Andmesubjekti taotlus“ või posti teel: Averium Consulting OÜ, Maakri tn 19/1, 10145 Tallinn, Eesti. Kinnitame taotluse kättesaamist 3 tööpäeva jooksul ja vastame sisuliselt punktis 12.10 nimetatud tähtaegadel.