Tvarka privaatsuspoliitika

Tvarka privaatsuspoliitika

See privaatsuspoliitika selgitab, kuidas Tvarka töötleb isikuandmeid.

Viimati uuendatud: 2026-08-08

1. Vastutavad töötlejad

1.1. Isikuandmete vastutavad töötlejad on oma Tvarka.pro ülesannete piires Advokato M. Kiškio kontora INVENT (õigusteenuste osutaja) ja Socialiniai algoritmai, UAB (platvormi haldaja). Nende rollid ja kontaktandmed on kontaktide jaotises.

1.2. Isikuandmete töötlemisel järgime Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrust (EL) 2016/679 (isikuandmete kaitse üldmäärus, GDPR) ning Leedu Vabariigi kehtivaid õigusakte.

2. Kellele see privaatsuspoliitika kehtib

2.1. See privaatsuspoliitika kehtib Tvarka platvormi külastajatele ja kasutajatele ning klientide, partnerite ja teenuseosutajate esindajatele, kui nad meiega suhtlevad või Tvarkat kasutavad.

2.2. Tvarka teenuseid pakutakse ainult ettevõtluseks. Tvarka ei ole mõeldud alaealistele. Kui oled alla 18-aastane, ära kasuta platvormi.

2.3. Kui esitad Tvarkat kasutades teiste inimeste isikuandmeid, vastutad nende teavitamise eest andmete töötlemisest ja selle privaatsuspoliitika tutvustamise eest.

3. Milliseid isikuandmeid töötleme

Tvarka töötleb isikuandmeid platvormi pakkumiseks ja haldamiseks vajalikus ulatuses. Andmete hulk sõltub kasutatavatest funktsioonidest.

3.1. Isikutuvastuse ja sisselogimise andmed

Kõigi kasutajate isik tuvastatakse Mitsoft TSP ja/või riigiettevõtte Registrų centras lahenduste kaudu, kasutades Leedu elektroonilisi isikutuvastusvahendeid (näiteks Smart-ID, Mobile-ID või eID kaart).

Võime saada ja töödelda isikutuvastuse pakkujatelt järgmisi andmeid: isikukood (asmens kodas), eesnimi, perekonnanimi, riigikood ja sertifikaadi andmed kontrolljälje jaoks.

3.2. Konto ja rollide andmed

Tvarka talletab konkreetse juriidilise isikuga seotud konto- ja rolliandmed: antud rollid ja õigused, nende andmise kuupäeva, õigused andnud isiku ning rollimuudatuste kontrollkirjed.

3.3. Juriidilise isiku ja tegevuse andmed

Tvarka töötleb platvormil hallatava juriidilise isiku ja kasutaja tegevuse andmeid, näiteks juriidilise isiku registrikoodi, nime, liiki (näiteks UAB või MB), nõuetele vastavuse seadeid, osanike registri kirjeid, kalendrisündmusi, ülesandeid ja dokumentide metaandmeid.

Mõnel juhul võib Tvarka kasutada avalikke või ametlikke allikaid (näiteks registri- või maksumaksja andmeid), et juriidilise isiku andmeid kontrollida või ette täita, kui platvorm seda võimaldab.

3.4. Dokumendid ja kvalifitseeritud e-allkirjastamise andmed

Kui kasutad dokumentide hoidmist, loomist või allkirjastamist, töötleb Tvarka üles laaditud dokumente, loodud faile ja allkirjastamisel tekkivaid tehnilisi andmeid (näiteks allkirjastamise aega, sertifikaadi andmeid ja allkirjastamislogi). Kvalifitseeritud allkirjastamiseks kasutatakse Mitsoft TSP ja/või riigiettevõtte Registrų centras taristut.

3.5. Makse- ja arveandmed

Saldo lisamise, arvete ja muude tasuliste toimingute makseid töötleb valitud makseteenuse pakkuja. Tvarka võib saada ligipääsu andmiseks ja raamatupidamiseks vajalikke andmeid makse oleku, saldo, arve ja maksekuupäeva kohta. Tvarka ei talleta maksekaardi ega pangakonto täielikke andmeid.

3.6. Tehnilised andmed ja küpsised

Tvarka kasutab hädavajalikke küpsiseid ja sarnaseid tehnoloogiaid (näiteks seansiküpsiseid ja CSRF-kaitset), et platvorm toimiks turvaliselt. Kui kasutatakse analüüsi- või turundusküpsiseid, tehakse seda ainult sinu nõusolekul.

4. Andmetöötluse eesmärgid, õiguslikud alused ja säilitamine

Peamised töötlemise eesmärgid on allpool. Täpseid säilitamisaegu võidakse kohandada seaduse nõuete ja teenuse tegeliku osutamise järgi.

5. Andmete saajad (volitatud ja/või vastutavad töötlejad)

Tvarka võib isikuandmeid kolmandatele isikutele avaldada ainult ulatuses, mis on vajalik teenuste osutamiseks, turvalisuse tagamiseks või seadusest tulenevate kohustuste täitmiseks.

Peamised andmesaajate liigid:

• IT- ja majutusteenuse pakkujad (näiteks pilvetaristu);
• Mitsoft TSP ja/või riigiettevõte Registrų centras – isikutuvastuse ja kvalifitseeritud allkirjastamise teenuste pakkujad;
• makseteenuse pakkujad (näiteks Stripe või muu platvormil nimetatud pakkuja);
• kutselised nõustajad (näiteks advokaadid ja audiitorid), kui see on vajalik õigustatud huvide kaitseks või seaduse järgi;
• riigiasutused ja kohtud, kui seda nõuab seadus või vaidluse lahendamine.

Sõlmime volitatud töötlejatega lepingud, mis tagavad GDPR-i nõuete täitmise.

6. Küpsised ja muud tehnoloogiad

6.1. Hädavajalikud küpsised. Tvarka ei kasuta lisaküpsiseid analüüsiks ega turunduseks. Platvormi tööks ja turvalisuseks võidakse kasutada ainult taristu- või isikutuvastusteenuse pakkujate hädavajalikke küpsiseid (näiteks robotitõrjeks, liikluse suunamiseks ja seansi hoidmiseks isikutuvastuse ajal). Nende töötlemise alus on meie õigustatud huvi (GDPR artikli 6 lõike 1 punkt f).

6.2. Valikulised küpsised. Tvarka ei kasuta analüüsi- ega turundusküpsiseid ega küsi nende jaoks nõusolekut.

6.3. Kasutatavate küpsiste loend

Märkus: „kui kasutatakse” tähendab, et küpsis seatakse ainult siis, kui selles keskkonnas kasutatakse vastavat taristu- või isikutuvastusteenust, arvestades kasutaja seadeid.

7. Andmete edastamine kolmandatesse riikidesse

7.1. Tvarka võib kasutada teenusepakkujaid, kes töötlevad isikuandmeid väljaspool Euroopa Majanduspiirkonda. Sel juhul tagame asjakohased kaitsemeetmed (näiteks Euroopa Komisjoni lepingu tüüptingimused, piisavusotsused või muud GDPR-is ette nähtud meetmed).

8. Isikuandmete turvalisus

8.1. Kasutame tehnilisi ja korralduslikke meetmeid, et kaitsta isikuandmeid loata juurdepääsu, kaotsimineku ja avalikustamise eest.

8.2. Tvarka süsteemis töödeldakse isikukoodi turvaliselt: indekseerimiseks kasutatakse HMAC-SHA256 räsiidentifikaatorit ning krüptitud andmeid hoitakse eraldi (võtmeid hallatakse eraldi), et vähendada riski.

8.3. Kuigi teeme mõistlikke pingutusi, ei ole ükski andmete edastamise ega säilitamise viis 100% turvaline.

9. Sinu õigused

Sul on GDPR-ist tulenevad õigused: saad oma andmetega tutvuda, neid parandada või kustutada, nõuda töötlemise piiramist, esitada töötlemisele vastuväite, saada andmed ülekantaval kujul (kui see õigus kehtib) ning esitada järelevalveasutusele kaebuse.

Oma õiguste kasutamiseks kirjuta jaotises 12 nimetatud e-posti aadressile. Vastame hiljemalt 1 kuu jooksul, kui GDPR ei luba vastamisaega pikendada.

Leedu järelevalveasutus on Valstybinė duomenų apsaugos inspekcija (VDAI), L. Sapiegos g. 17, 10312 Vilnius, e-post [email protected].

10. Privaatsuspoliitika muutmine

10.1. Võime seda privaatsuspoliitikat uuendada. Avaldame uuendused platvormil. Olulistest muudatustest võime sind ka eraldi teavitada.

11. Vastutus ja konto turvalisus

11.1. Tvarka kasutajad vastutavad oma seadmete ja elektrooniliste isikutuvastusvahendite turvalisuse ning platvormil tehtud toimingute eest. Soovitame kasutada ajakohast tarkvara ja sobivaid küberturbe meetmeid.

12. Vastutavad töötlejad ja kontaktandmed

Tvarka.pro projekti haldavad Advokato M. Kiškio kontora INVENT ja Socialiniai algoritmai, UAB. Nende rollid, registrikoodid, käibemaksukohustuslase numbrid ja aadressid leiad lehelt Meist.

Tvarka.pro üldised kontaktandmed ja päringukanali leiad lehelt Kontakt.

13. Tvarka Signi tasuta isiklik pakett

13.1. See jaotis kehtib siis, kui eraisik kasutab Tvarka Signi rakenduse tasuta isiklikku paketti ilma Tvarka kontota. Erandina punktist 2.2 osutatakse teenust selles ulatuses ka isiklikuks, mitteäriliseks kasutuseks. Siin kirjeldatud andmetöötluse vastutav töötleja on platvormi haldaja Socialiniai algoritmai, UAB.

13.2. Töötleme järgmisi andmeid:

• seadme registreerimise andmed: juhuslikult loodud seadme tunnus ja juurdepääsutõend, tehnilised logid ja IP-aadress (turvalisuse, päringute piiramise ja kuritarvituse ennetamise jaoks);
• allkirjastamisandmed: allkirjastamisel eID kaardilt loetud kvalifitseeritud sertifikaadi andmed (eesnimi, perekonnanimi, isikukood ja sertifikaadi teave) ning allkirjastamislogi, nagu kirjeldatud jaotises 3.4;
• kuulimiidi arvestuskirje: sertifikaadist saadud isikukoodi räsi (HMAC), kalendrikuu ja allkirjade arv. Limiidi arvestamiseks ei talletata isikukoodi lihttekstina;
• teavituste tõend (push-token), kui teavitused on seadmes lubatud.

13.3. Allkirjastatav PDF laaditakse platvormile ainult allkirjastamistoimingu tegemiseks ja seda ei kasutata muuks. Dokument ja selle allkirjastatud versioon kustutatakse, kui rakendus kinnitab allkirjastatud dokumendi allalaadimist, kuid igal juhul hiljemalt 48 tunni jooksul üleslaadimisest.

13.4. Õiguslikud alused: teenuse osutamine – leping (GDPR artikli 6 lõike 1 punkt b); limiidi arvestus, päringute piiramine ja kuritarvituse ennetamine – õigustatud huvi (GDPR artikli 6 lõike 1 punkt f); rakenduse turundusteavitused – ainult eraldi nõusolek (GDPR artikli 6 lõike 1 punkt a), mis on vaikimisi välja lülitatud ja mille saad rakenduse seadetes igal ajal tagasi võtta.

13.5. Andmesaajad: Euroopa Liidu kvalifitseeritud ajatempliteenuse pakkujad (näiteks ACCV Hispaanias) – ajatemplipäringuga edastatakse ainult krüptograafiline räsi, mitte dokumendi sisu; sertifikaadi kehtivuse (OCSP) päringud saadetakse sertifikaadi väljastanud kvalifitseeritud usaldusteenuse pakkujale; teavituste saatmiseks kasutatakse Androidis Google Firebase Cloud Messagingut ja iOS-is Apple Push Notification service'i (APNs), kui teavitused on lubatud; samuti jaotises 5 nimetatud IT- ja majutusteenuse pakkujad.

13.6. Pärast dokumendi kustutamist jäävad alles ainult tehnilised ja isikustamata kirjed. Seetõttu võime GDPR-i õiguste kasutamisel küsida lisaandmeid, et seostada sinu isik kirjetega (GDPR artikkel 11). Õiguste kasutamiseks võta meiega ühendust jaotises 12 toodud kontaktidel. Seadme registreeringu saad igal ajal lõpetada, kustutades rakenduse või esitades taotluse.

13.7. Tvarka Signi andmete kustutamise taotlus

Kui valid rakenduses „Seaded” ja „Kustuta ja alusta uuesti” ("Settings" ja "Clear and start over"), eemaldatakse telefonist aktiveering, seotud kaardi andmed ja rakenduse ajalugu. See kohalik toiming ei saada serverikirjete kustutamise taotlust.

Serveriandmete kustutamise taotluseks kirjuta aadressile [email protected], kirjuta teemareale „Tvarka Sign data deletion” ja ütle, et kasutasid tasuta isiklikku paketti. Kui seadme tunnus on rakenduses veel näha, lisa see taotlusele. Võime küsida lisaandmeid, et siduda sinu isik taotletud kirjetega.

Põhjendatud taotluse saamisel kustutame või muudame isikustamatuks seadme registreeringuga seotud andmed, mida enam vaja ei ole. Dokumendid ja nende allkirjastatud versioonid kustutatakse punktis 13.3 toodud aja jooksul. Tehnilisi turvaloge hoitakse tavaliselt kuni 12 kuud ja tugipäringuid kuni 2 aastat. Andmeid, mida peame säilitama seadusest tuleneva kohustuse, turvalisuse, pettuse ennetamise või vaidluse tõttu, hoiame ainult jaotises 4 nimetatud asjakohase aja jooksul.