Privaatsuspoliitika

1. Vastutav töötleja ja kontaktandmed

1.1 Käesolev privaatsuspoliitika selgitab, kuidas Inwolt Technologies OÜ (registrikood 17590425, registrijärgne asukoht Tallinn, Eesti; edaspidi Teenusepakkuja, meie) töötleb isikuandmeid seoses veebipõhise arveldamisteenusega, mis on kättesaadav aadressil https://aa9a87d2.inwolt.com (edaspidi Teenus).

1.2 Teenusepakkuja on käesolevas privaatsuspoliitikas kirjeldatud eesmärkidel töödeldavate isikuandmete suhtes vastutav töötleja isikuandmete kaitse üldmääruse (EL) 2016/679 (GDPR) artikli 4 punkti 7 tähenduses. Sõltuvalt konkreetsest töötlemistoimingust võime tegutseda ka volitatud töötlejana oma Klientide nimel; seda eristust selgitame täpsemalt punktis 9.

1.3 Kui Teil on küsimusi käesoleva privaatsuspoliitika kohta või soovite kasutada oma andmesubjekti õigusi, palume meiega ühendust võtta Teenuse veebilehel oleva kontaktivormi kaudu.

1.4 Käesolev privaatsuspoliitika on Teenuse kasutustingimuste lahutamatu osa ning seda tuleb lugeda koos kasutustingimustega. Suure algustähega mõistetel, mida siin eraldi ei defineerita, on sama tähendus nagu kasutustingimustes.

2. Kohaldamisala

2.1 Käesolev privaatsuspoliitika kohaldub järgmistele isikutele ja andmetöötlustoimingutele:

• Külaliskasutajad (Kickstart pakett): juriidiliste isikute esindajad või füüsilisest isikust ettevõtjad, kes kasutavad Teenust kasutajakontot loomata PDF-arve koostamiseks ja allalaadimiseks.
• Registreeritud kasutajad (Boost pakett): juriidiliste isikute esindajad või füüsilisest isikust ettevõtjad, kes loovad kasutajakonto, et kasutada Teenuse täisfunktsionaalsust, sealhulgas XML-vormingus e-arvete genereerimist ning ettevõtte- ja kliendiandmete salvestamist.
• Kolmandad isikud, kelle isikuandmed Kliendid Teenusesse sisestavad: näiteks nimelised kontaktisikud, füüsilisest isikust ettevõtjad või arvel märgitud eraisikutest ostjad.

2.2 Teenus on mõeldud kasutamiseks üksnes juriidiliste isikute ja ettevõtluses tegutsevate isikute poolt või nende nimel. Teenust kasutades kinnitab Klient, et tegutseb äri- või kutsetegevuse raames. Kui Teenusesse sisestatakse kolmandate isikute isikuandmeid, võivad need puudutada ka tarbijatena tegutsevaid füüsilisi isikuid.

2.3 Me ei kogu teadlikult alla 18-aastaste isikute andmeid. Kui Teil on alust arvata, et alla 18-aastase isiku andmed on Teenusesse sisestatud, palume meid sellest viivitamata teavitada; sellisel juhul kustutame vastavad andmed mõistliku aja jooksul.

3. Milliseid isikuandmeid me kogume

3.1 Külaliskasutajad. Kui kasutate Teenust ilma kasutajakontota, töötleme üksnes neid andmeid, mille sisestate arve koostamise vormile oma sessiooni jooksul, näiteks ettevõtte nime, aadressi, registri- või KMKR numbri, pangarekvisiidid ning arveridade kirjeldused. Neid andmeid töödeldakse ainult sessiooni ajal ja üksnes selleks, et genereerida soovitud PDF-arve. Pärast sessiooni lõppu neid andmeid meie serverites ei säilitata. Lisaks kogume tavapärast serverilogide teavet, nagu kirjeldatud punktis 3.3.

3.2 Registreeritud kasutajad. Kasutajakonto loomisel kogume ja säilitame järgmisi andmekategooriaid:

• Kontoandmed: nimi, e-posti aadress, räsitud kujul salvestatud salasõna ning vajaduse korral isiku tuvastamise andmed (näiteks Eesti isikukood ID-kaardiga sisselogimisel).
• Ettevõtte- ja kliendiandmed: ettevõtte nimi, registrikood, KMKR number, aadressid, pangakonto andmed ning kontaktandmed, mille salvestate hilisemaks kasutamiseks.
• Arveandmed: arve sisu, arveread, kuupäevad, summad ning muud kontoga seotud dokumendiandmed.
• Kasutusandmed: teave selle kohta, kuidas Teenust kasutate, sealhulgas sisselogimiste ajatemplid, funktsioonide kasutus ja sessiooniandmed.
• Suhtlusandmed: meile kontaktivormi või e-posti teel saadetud pöördumised ja nende sisu.

3.3 Serverilogid. Teenusele ligipääsemisel salvestavad meie serverid automaatselt tavapärast tehnilist teavet, sealhulgas IP-aadressi, brauseri tüübi ja versiooni, operatsioonisüsteemi, viitava veebiaadressi (URL-i), külastatud lehed ning ligipääsu kuupäeva ja kellaaja. Neid andmeid kasutatakse üksnes turvalisuse tagamiseks, pettuste ennetamiseks ning Teenuse tehnilise toimimise tagamiseks.

3.4 Kolmandate isikute andmed, mille Kliendid Teenusesse sisestavad. Kui sisestate Teenusesse kolmandate isikute andmeid, näiteks ostjate või arvesaajate nimesid, aadresse, registrikoode või isikukoode või kontaktandmeid, siis olete Teie nende andmete suhtes vastutav töötleja. Meie töötleme neid andmeid üksnes ulatuses, mis on vajalik Teenuse osutamiseks. Teie vastutate selle eest, et Teil oleks nende andmete Teenusesse sisestamiseks ja meiega jagamiseks kehtiv õiguslik alus. Täpsem regulatsioon on toodud punktis 9.

4. Isikuandmete töötlemise õiguslikud alused

4.1 Töötleme isikuandmeid üksnes juhul, kui selleks on olemas GDPR artikli 6 alusel õiguslik alus. Peamised õiguslikud alused on järgmised:

• Teenuse osutamine külaliskasutajatele (sessioonipõhine arve genereerimine): lepingu täitmine või õigustatud huvi GDPR artikli 6 lõike 1 punkti b või f tähenduses.
• Kasutajakonto loomine ja haldamine: GDPR artikli 6 lõike 1 punkt b.
• Ettevõtte-, kliendi- ja arveandmete salvestamine registreeritud kasutajatele: GDPR artikli 6 lõike 1 punkt b.
• Turvalisus, pettuste ennetamine ja väärkasutuse tuvastamine: GDPR artikli 6 lõike 1 punkt f.
• Õigusaktidest tulenevate kohustuste täitmine: GDPR artikli 6 lõike 1 punkt c.
• Serverilogide pidamine: GDPR artikli 6 lõike 1 punkt f.
• Analüütikaküpsised (kui neid kasutatakse): GDPR artikli 6 lõike 1 punkt a.
• Teenusega seotud teavitused: GDPR artikli 6 lõike 1 punkt b.

4.2 Kui tugineme õigustatud huvile kui õiguslikule alusele, oleme hinnanud, et meie õigustatud huvid ei kaalu üles andmesubjekti huve ega põhiõigusi, arvestades töödeldavate andmete laadi ja mõistlikke ootusi, mis kaasnevad B2B SaaS-arveldamisteenuse kasutamisega.

5. Kuidas me isikuandmeid kasutame

5.1 Kasutame isikuandmeid eelkõige järgmistel eesmärkidel:

• Teenuse osutamiseks ja toimimise tagamiseks;
• arvete ja nendega seotud dokumentide koostamiseks vastavalt kasutaja juhistele;
• kasutajakonto loomiseks ja haldamiseks;
• ettevõtte-, kliendi- ja arveandmete säilitamiseks ning hilisemaks kasutamiseks;
• kasutajaga suhtlemiseks seoses tema konto või Teenusega;
• Teenuse turvalisuse, tervikluse ja tehnilise toimimise tagamiseks;
• pettuste, väärkasutuse, rahapesu või muu õigusvastase tegevuse ennetamiseks ja uurimiseks;
• õigusaktidest tulenevate kohustuste täitmiseks; ning
• Teenuse täiustamiseks koondatud ja anonüümitud kasutusanalüüsi põhjal.

5.2 Me ei kasuta isikuandmeid käitumispõhiseks reklaamiks, sihitud turunduseks ega andmete müümiseks kolmandatele isikutele.

6. Andmete säilitamine

6.1 Säilitame isikuandmeid üksnes nii kaua, kui see on vajalik nende kogumise eesmärgi täitmiseks või kohaldatavate õigusaktide nõuete järgimiseks.

• Külaliskasutaja sessiooniandmed: neid ei säilitata; andmed kustutatakse sessiooni lõppemisel.
• Konto- ja registreerimisandmed: säilitame neid kasutajakonto olemasolu ajal ning kustutame üldjuhul 90 päeva jooksul pärast konto sulgemist, kui õigusaktid ei nõua pikemat säilitamist.
• Ettevõtte-, kliendi- ja arveandmed: säilitame neid kasutajakonto olemasolu ajal ning kustutame üldjuhul 90 päeva jooksul pärast konto sulgemist.
• Serverilogid: säilitame neid kuni 90 päeva turvalisuse ja Teenuse toimimise tagamise eesmärgil.
• Turvaintsidentide ja pettusekahtluste andmed: säilitame neid kuni 12 kuud või kauem, kui see on vajalik õigusnõude või järelevalvemenetluse tõttu.
• Kirjavahetus: säilitame seda kuni 3 aastat viimasest suhtlusest arvates.
• Õigusnõuetega seotud andmed: kui andmete säilitamine on vajalik nõude esitamiseks, kaitsmiseks või tõendamiseks, säilitame neid kuni asjakohase aegumistähtaja lõpuni Eesti õiguse alusel.

6.2 Kontod, mis on olnud järjest vähemalt 24 kuud passiivsed, võime kustutada kooskõlas kasutustingimuste punktiga 3.4. Võimaluse korral teavitame registreeritud kasutajat vähemalt 30 päeva enne kustutamist.

6.3 Kasutaja vastutab ise selle eest, et tema raamatupidamis- ja äridokumendid oleksid eksporditud ja säilitatud ulatuses, mida nõuavad kohaldatavad õigusaktid. Teenus ei ole raamatupidamisarhiiv ega täida kasutaja eest ühtegi seadusest tulenevat säilitamiskohustust.

7. Infoturve

7.1 Rakendame mõistlikke tehnilisi ja korralduslikke turvameetmeid, et kaitsta isikuandmeid loata või õigusvastase juurdepääsu, juhusliku kadumise, hävimise või kahjustumise eest. Need meetmed hõlmavad muu hulgas andmete krüpteerimist edastamisel, salasõnade räsitud kujul säilitamist ning ligipääsupiiranguid, mille alusel pääsevad andmetele ligi üksnes selleks volitatud isikud.

7.2 Ükski internetipõhine teenus ei ole täielikult riskivaba. Seetõttu ei saa me tagada, et kolmandad isikud ei suuda kunagi turvameetmetest mööduda. Kasutaja vastutab oma konto sisselogimisandmete konfidentsiaalsuse eest ning kogu tegevuse eest, mis toimub tema konto alt.

7.3 Kui isikuandmete rikkumine võib tõenäoliselt kaasa tuua kõrge riski andmesubjekti õigustele ja vabadustele, teavitame sellest asjaomaseid isikuid põhjendamatu viivituseta kooskõlas GDPR artikliga 34.

8. Isikuandmete jagamine ja volitatud töötlejad

8.1 Me ei müü, rendi ega vaheta isikuandmeid kolmandatele isikutele.

8.2 Võime isikuandmeid jagada järgmiste vastuvõtjate kategooriatega:

• Majutus- ja infrastruktuuriteenuste osutajad: teenuseosutajad, kelle serverites või infrastruktuuris Teenus töötab ja kes tegutsevad meie volitatud töötlejatena GDPR artikli 28 tähenduses.
• Analüütikateenuse pakkujad: juhul, kui olete selleks andnud nõusoleku, võime kasutada analüütikateenuseid, et mõista Teenuse koondkasutust.
• E-posti teenuse pakkujad: kui neid kasutatakse kontoga seotud teadete edastamiseks.
• Õiguskaitse- ja järelevalveasutused: kui see on nõutav või lubatud kohaldatava õiguse alusel, sealhulgas pettuse, rahapesu või muu õigusvastase tegevuse kahtluse korral.
• Kutselised nõustajad: advokaadid, audiitorid ja kindlustusandjad, kui see on vajalik meie äritegevuse korraldamiseks ning kui neile kehtib konfidentsiaalsuskohustus.

8.3 Kõik kolmandad isikud, kes töötlevad isikuandmeid meie nimel, on kaasatud kirjalike lepingute alusel, mis vastavad GDPR artikli 28 nõuetele. Nõuame, et kõik volitatud töötlejad rakendaksid asjakohaseid tehnilisi ja korralduslikke turvameetmeid. Kehtiv volitatud töötlejate nimekiri on kättesaadav mõistliku taotluse alusel Teenuse veebilehel oleva kontaktivormi kaudu. Kui kohaldatav õigus seda nõuab, teavitame registreeritud kasutajaid ka olulistest muudatustest volitatud töötlejate koosseisus.

8.4 Ühinemise, omandamise või kogu ettevõtte või selle olulise osa võõrandamise korral võivad isikuandmed minna tehingu osana üle uuele omandajale. Sellisel juhul teavitame registreeritud kasutajaid enne, kui andmetele hakkab kehtima oluliselt erinev privaatsuspoliitika.

9. Klientide sisestatud kolmandate isikute andmed

9.1 Kui sisestate Teenusesse kolmandate isikute andmeid, näiteks arvesaaja nime, aadressi, registri- või isikukoodi või kontaktandmed, tegutsete Teie nende andmete suhtes vastutava töötlejana ning meie tegutseme Teie volitatud töötlejana GDPR artikli 4 punkti 8 tähenduses.

9.2 Vastutava töötlejana vastutate eelkõige selle eest, et:

• Teil oleks GDPR artikli 6 alusel kehtiv õiguslik alus nende andmete töötlemiseks ja meiega jagamiseks;
• oleksite andnud andmesubjektidele asjakohase teabe nende andmete töötlemise kohta; ning
• Teenusesse sisestatud andmed oleksid õiged ja ajakohased.

9.3 Me töötleme Klientide sisestatud kolmandate isikute andmeid üksnes selleks, et koostada soovitud arved ja muud seotud dokumendid ning registreeritud kasutajate puhul salvestada need andmed hilisemaks korduskasutuseks Teenuses. Me ei kasuta neid andmeid ühelgi muul eesmärgil.

9.4 Kui tulevikus lisandub funktsionaalsus, mille raames peame kliendi andmeid töötlema senisest ulatuslikumalt volitatud töötlejana, näiteks API-liidestuste, PEPPOL-võrgu kaudu e-arvete edastamise või mitme kasutajaga kontode korral, teeme kasutajatele kättesaadavaks eraldi andmetöötluslepingu lisa (Data Processing Addendum), nagu on viidatud ka kasutustingimustes.

10. Rahvusvahelised andmeedastused

10.1 Isikuandmete edastamine väljapoole Euroopa Majanduspiirkonda võib toimuda seoses kolmandate osapoolte teenustega, mida Teenuse osutamisel kasutame. Sellisel juhul tagame, et andmete edastamiseks oleksid kehtestatud GDPR artiklite 44-49 kohased asjakohased kaitsemeetmed.

10.2 Kui kasutame Ameerika Ühendriikides asuvate teenusepakkujate teenuseid, võib isikuandmete edastamine toimuda eelkõige järgmistel alustel:

• Euroopa Komisjoni piisavusotsus, kui see on konkreetse teenusepakkuja suhtes kohaldatav; või
• Euroopa Komisjoni kinnitatud tüüptingimused (Standard Contractual Clauses, SCC-d) GDPR artikli 46 lõike 2 punkti c alusel.

10.3 Täpsemat teavet konkreetsete andmeedastusmehhanismide ja kasutatavate kaitsemeetmete kohta, sealhulgas asjakohaste kaitsemeetmete koopiat, saab küsida meilt Teenuse veebilehel oleva kontaktivormi kaudu.

11. Küpsised

11.1 Kasutame oma veebisaidil küpsiseid ja nendega sarnaseid jälgimistehnoloogiaid. Käesolev punkt selgitab, milliseid küpsiseid kasutame ja kuidas neid hallata saab.

Rangelt vajalikud küpsised

11.2 Need küpsised on Teenuse toimimiseks hädavajalikud ja neid ei saa välja lülitada. Nende hulka kuuluvad näiteks sessiooniküpsised, mis hoiavad kasutajat sisselogituna, ning CSRF-kaitse tokenid, mis aitavad vältida võltsitud päringuid. Rangelt vajalike küpsiste kasutamiseks ei ole nõusolek vajalik, sest need on tehniliselt vajalikud kasutaja soovitud teenuse osutamiseks.

Analüütikaküpsised

11.3 Kasutaja nõusolekul võime kasutada analüütikavahendeid, näiteks Google Analyticsi (teenusepakkujaks Google Ireland Ltd), et koguda koondteavet selle kohta, kuidas külastajad veebisaiti kasutavad. See aitab meil mõista kasutusmustreid ja Teenust parandada. Analüütikaküpsised paigaldatakse ainult siis, kui kasutaja on selleks nõusoleku andnud meie küpsiste eelistuste kaudu. Nõusoleku saab igal ajal tagasi võtta, muutes küpsiste seadeid.

11.4 Kui kasutame Google Analyticsi, võidakse andmeid edastada Google'i serveritesse. Google Ireland Ltd tegutseb oma analüütikateenuste osas iseseisva vastutava töötlejana. Täpsem teave on kättesaadav Google'i privaatsuspoliitikas aadressil policies.google.com/privacy.

Küpsiste haldamine

11.5 Küpsiseid saab hallata ja kustutada veebilehitseja seadete kaudu. Enamik veebilehitsejaid võimaldab küpsistest keelduda või juba paigaldatud küpsised kustutada. Rangelt vajalike küpsiste keelamine võib mõjutada Teenuse toimimist. Lisateavet küpsiste haldamise kohta leiate aadressilt www.youronlinechoices.com.

12. Teie õigused andmesubjektina

12.1 GDPR-i ja Eesti isikuandmete kaitse seaduse alusel on Teil oma isikuandmete suhtes järgmised õigused:

• Õigus tutvuda isikuandmetega (GDPR artikkel 15): Teil on õigus saada kinnitus selle kohta, kas töötleme Teie isikuandmeid, ning kui töötleme, siis saada koopia nendest andmetest ja teave nende kasutamise kohta.
• Õigus isikuandmete parandamisele (GDPR artikkel 16): Teil on õigus nõuda ebaõigete isikuandmete parandamist või puudulike andmete täiendamist.
• Õigus isikuandmete kustutamisele (GDPR artikkel 17): Teil on õigus teatud juhtudel nõuda oma isikuandmete kustutamist, sealhulgas juhul, kui andmed ei ole enam vajalikud eesmärgil, milleks need koguti.
• Õigus töötlemise piiramisele (GDPR artikkel 18): Teil on õigus nõuda teatud juhtudel oma isikuandmete töötlemise piiramist.
• Õigus andmete ülekandmisele (GDPR artikkel 20): kui töötlemine põhineb nõusolekul või lepingul ning toimub automatiseeritult, on Teil õigus saada oma andmed struktureeritud, üldkasutatavas ja masinloetavas vormingus ning edastada need teisele vastutavale töötlejale.
• Õigus esitada vastuväiteid (GDPR artikkel 21): Teil on õigus esitada vastuväide oma isikuandmete töötlemisele juhul, kui tugineme õigustatud huvile. Sellisel juhul lõpetame töötlemise, välja arvatud juhul, kui suudame tõendada ülekaalukaid õiguspäraseid põhjuseid töötlemise jätkamiseks.
• Õigus nõusolek tagasi võtta (GDPR artikkel 7 lõige 3): kui töötlemise aluseks on Teie nõusolek, saate selle igal ajal tagasi võtta. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist toimunud töötlemise seaduslikkust.
• Õigus mitte alluda üksnes automatiseeritud otsustele (GDPR artikkel 22): me ei tee Teie suhtes üksnes automatiseeritud töötlusel põhinevaid otsuseid, millel oleks õiguslik või samaväärselt oluline mõju.

12.2 Nende õiguste kasutamiseks palume võtta meiega ühendust Teenuse veebilehel oleva kontaktivormi kaudu. Vastame taotlusele üldjuhul ühe kuu jooksul selle kättesaamisest. GDPR artikli 12 kohaselt võime seda tähtaega pikendada kuni kahe kuu võrra, kui taotlus on keerukas või neid on arvukalt; sellisel juhul teavitame Teid pikendusest esialgse ühe kuu jooksul. Vajaduse korral võime paluda Teil oma isikusamasust tõendada.

12.3 Isegi juhul, kui isikuandmete kustutamist on nõutud, võime säilitada isikuandmete koopiad ulatuses, mis on vajalik meie õigustatud huvide kaitseks, ametiasutuste korralduste täitmiseks, vaidluste lahendamiseks või lepinguliste õiguste jõustamiseks.

13. Automatiseeritud otsused ja profiilianalüüs

13.1 Me ei tee Teie suhtes üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, põhinevaid otsuseid, millel oleks GDPR artikli 22 tähenduses õiguslik või samaväärselt oluline mõju.

13.2 Võime kasutada koondatud ja anonüümitud andmeid Teenuse kasutusmustrite analüüsimiseks, et Teenust täiustada. See ei kujuta endast üksikisiku tasemel profiilianalüüsi.

14. Privaatsuspoliitika muudatused

14.1 Võime käesolevat privaatsuspoliitikat aeg-ajalt uuendada, et kajastada muudatusi meie andmetöötluspraktikas, õigusaktides või Teenuse funktsionaalsuses. Kui muudatused on olulised, teavitame registreeritud kasutajaid neist enne muudatuste jõustumist kasutajakontoga seotud kontaktandmete kaudu.

14.2 Uuendatud privaatsuspoliitika avaldatakse Teenuse veebisaidil koos uue „viimati uuendatud“ kuupäevaga. Soovitame privaatsuspoliitika regulaarselt üle vaadata. Teie isikuandmete töötlemist reguleerivad alati käesolevas poliitikas toodud kehtivad õiguslikud alused ning töötlemine ei põhine üksnes selle poliitikaga nõustumisel.

15. Järelevalveasutus

15.1 Kui leiate, et Teie isikuandmete töötlemine rikub GDPR-i või kohaldatavat riigisisest õigust, on Teil õigus esitada kaebus pädevale andmekaitse järelevalveasutusele.

15.2 Eestis on pädevaks järelevalveasutuseks Andmekaitse Inspektsioon (AKI):

• Aadress: Tatari 39, 10134 Tallinn, Eesti
• Veebileht: www.aki.ee
• E-post: info@aki.ee
• Telefon: +372 627 4135

15.3 Kaebuse võib esitada ka selle Euroopa Liidu liikmesriigi järelevalveasutusele, kus on Teie alaline elukoht või töökoht või kus väidetav rikkumine aset leidis.

16. Kontakt

16.1 Kui Teil on küsimusi või taotlusi seoses käesoleva privaatsuspoliitika või Teie isikuandmete töötlemisega, palume võtta meiega ühendust Teenuse veebilehel oleva kontaktivormi kaudu.

16.2 Käesolevat privaatsuspoliitikat uuendati viimati 27.06.2025.