# Isikuandmete töötlemise leping

**Täidetav ja allkirjastatav näidis. Allalaadimine ei sõlmi lepingut.**

Versioon 18.10.2026. Teenuslepingu nr **[number]**, **[kuupäev]** lisa. Enne andmete üleandmist täidavad pooled lisad ning kontrollivad meetmete tegelikku rakendamist. Näidis sobib Selge Data, Selge Site’i ja Selge Care’i töödele, milles täitja töötleb isikuandmeid tellija juhiste alusel.

## 1. Pooled ja rollid

**Tellija — vastutav töötleja:** [täielik nimi, registrikood, aadress]. Esindaja ja andmekaitsekontakt: [nimi, e-post, telefon].

**Täitja — volitatud töötleja:** ASTERUS GRUPP OÜ, registrikood 10927175, Eesti. Aadress: [juriidiline aadress]. Kontakt: info@selgesite.ee, +372 512 4990. Esindaja: [nimi ja esindusõiguse alus].

Kui tellija on ise volitatud töötleja, kinnitab ta õigust kaasata täitja alltöötlejana ning edastab vastutava töötleja vajalikud juhised. Rolli nimetus põhilepingus ei kõrvalda poolte tegelikke IKÜM-i kohustusi.

## 2. Ese ja juhised

Täitja teeb ainult lisas 1 ja tellija volitatud esindaja hilisemates dokumenteeritud juhistes nimetatud toiminguid kokkulepitud eesmärkidel, andmekategooriatega ja tähtaja jooksul. Juhiseid võib fikseerida allkirjastatud dokumendis või kokkulepitud kirjavahetuses, millest selguvad saatja, sisu ja kuupäev.

Täitja ei kasuta isikuandmeid enda turunduseks, avalike mudelite õpetamiseks ega muul iseseisval eesmärgil. Seadusest tulenevast avaldamisest teavitab ta tellijat ette, kui seadus seda ei keela. Kui juhis rikub täitja hinnangul kohaldatavat andmekaitseõigust, teatab ta sellest viivitamata ja peatab vaidlusaluse toimingu asjaolude selgitamiseni.

Tellija määrab õigusliku aluse, tagab inimestele vajalikud teavitused ja andmete allika õiguspärasuse ning edastab minimaalse vajaliku mahu. Täitja ei saa õigust eesmärke laiendada.

## 3. Konfidentsiaalsus ja ligipääs

Ligipääsu saavad ainult ülesandeks vajalikud isikud, kes on seotud konfidentsiaalsuskohustuse või vastava seadusest tuleneva kohustusega. Täitja piirab õigused vajalikuga ning dokumenteerib ligipääsu andmise ja tühistamise. Konfidentsiaalsus kehtib ka projekti lõppemisel.

Paroole ei saadeta avatud kirjavahetuses koos failidega. Võimaluse korral kasutatakse isiklikke kutseid ja eraldi kasutajakontosid; kliendi peakonto püsiv üleandmine ei ole tavapärane ligipääsuviis.

## 4. Turvameetmed

Enne andmete saamist rakendab täitja lisa 2 meetmeid, arvestades riski, töötluse laadi ja mahtu. Meetmeid kontrollitakse korrapäraselt ning kaitset ei vähendata oluliselt ilma kokkuleppeta. Vajaduse korral lepivad pooled kirjalikult kokku lisameetmed, mõjuhinnangu (DPIA) ja tundlike andmete töötlemise tingimused.

Terviseandmed, tuvastamiseks kasutatavad biomeetrilised andmed, süüteoandmed, laste andmed ja muud kõrgema riskiga kategooriad ei kuulu näidise tavapärasesse ulatusse. Neid ei edastata enne eraldi hindamist, õigusliku aluse kontrolli ja meetmete kokkuleppimist.

## 5. Alltöötlejad ja tehisintellekt

Uue alltöötleja kaasamiseks on vaja tellija eelnevat konkreetset kirjalikku luba lisas 3 või eraldi kokkuleppes. Enne edastamist sõlmib täitja alltöötlejaga lepingu, mis tagab vähemalt IKÜM-i artikli 28 nõuetele vastava kaitse. Täitja vastutab tellija ees alltöötleja kohustuste täitmise eest.

ChatGPT (OpenAI) ja Claude (Anthropic) **ei ole vaikimisi lubatud kliendi isikuandmete jaoks**. Loa korral märgitakse lisasse 3 konkreetne toode ja pakett, teenusepakkuja juriidiline isik, eesmärk ja andmekategooriad, töötlemise riigid, DPA, säilitamisajad, mudeli õpetamiseks kasutamise sätted, rahvusvahelise edastamise alus ning lisameetmed. Õpetamise väljalülitamine või tasuline tellimus üksi ei ole piisav.

Arenduseks võib kasutada sünteetilisi või päriselt anonüümseid näiteid, millest ei saa inimest tuvastada. Tuvastamisvõimaluse säilimisel on identifikaatorite asendamine pseudonüümimine, mitte IKÜM-ist vabastus.

## 6. Rahvusvaheline edastamine

Isikuandmeid ei edastata ega tehta kättesaadavaks väljaspool EMP-d ilma tellija dokumenteeritud juhisteta ja IKÜM-i V peatüki nõuete täitmiseta. Aluseks on kehtiv kaitse piisavuse otsus või sobivad kaitsemeetmed, sealhulgas asjakohased lepingu tüüptingimused, edastuse hindamine ja vajaduse korral lisameetmed. See leping üksi ei ole rahvusvahelise edastamise alus.

## 7. Inimeste taotlused ja abi tellijale

Täitja edastab andmesubjekti taotluse tellijale turvaliselt põhjendamatu viivituseta, võimaluse korral hiljemalt 5 tööpäeva jooksul. Sisulise vastuse annab ta ainult juhise või seaduse alusel; inimese võib suunata tellija poole.

Arvestades töötluse laadi ja olemasolevat teavet, aitab täitja tellijal tagada inimeste õigused ja turvalisuse ning täita rikkumisteadete, mõjuhinnangu ja järelevalveasutusega eelneva konsulteerimise kohustusi IKÜM-i artiklite 32–36 järgi. Abi korraldus ei tohi takistada kohustuslike tähtaegade täitmist.

## 8. Isikuandmetega seotud rikkumine

Rikkumisest teada saamisel teavitab täitja tellijat põhjendamatu viivituseta; esialgse teate kokkulepitud piirtähtaeg on 24 tundi avastamisest. Uurimise lõppu ei oodata.

Esialgne teade kirjeldab teadaolevaid asjaolusid, süsteeme, andmete ja inimeste kategooriaid ning ligikaudset arvu, avastamise aega, tõenäolisi tagajärgi, meetmeid ja kontaktisikut. Puuduv teave lisatakse selgumisel. Täitja säilitab tõendid, piirab kahju ja dokumenteerib tegevuse liigseid andmeid avaldamata.

AKI ja inimeste teavitamise vajaduse otsustab vastutav töötleja: IKÜM-i artikkel 33 näeb järelevalveasutusele nõutava teate esitamiseks ette 72 tundi; inimeste teavitamisel kehtib eraldi suure ohu kriteerium. Täitja teade tellijale ei asenda neid toiminguid.

## 9. Tagastamine, kustutamine ja töö lõpp

Tellija valikul tagastab täitja andmed ja kustutab allesjäänud koopiad või kustutab andmed tagastamata. Vaikimisi kustutatakse töökoopiad hiljemalt 30 kalendripäeva jooksul projekti lõppemisest. Lõppemise hetk ja valik fikseeritakse lisas 1; ennetähtaegsel lõpetamisel annab tellija juhise.

Tähtaeg hõlmab ajutisi faile, väljavõtteid, täitja kontrolli all olevaid manuseid ja kokkulepitud varukoopiaid. Kui üksikut objekti ei saa varukoopiast eemaldada, eraldatakse koopia tavakasutusest ning hävitatakse või kirjutatakse üle sama kokkulepitud tähtaja jooksul; taastamine ei tohi kustutatud andmeid töötlusse tagasi tuua.

Erand on seadusest tulenev säilitamiskohustus, mille alus, maht ja tähtaeg dokumenteeritakse, või enne tähtaja saabumist antud uus õiguspärane kirjalik juhis. Soovi korral kinnitab täitja kustutamist. Raamatupidamisdokumente hoitakse eraldi seadusega nõutud mahus, mitte kogu kliendibaasi säilitamise ettekäändena.

## 10. Kontroll ja vastutus

Täitja annab artikli 28 täitmise tõendamiseks vajalikku teavet ning võimaldab tellija või tema sõltumatu konfidentsiaalsuskohustusega audiitori proportsionaalseid auditeid ja kontrollkäike. Plaaniline kontroll lepitakse ette kokku; rikkumise või järelevalveasutuse päringu korral võimaldatakse kiirendatud korda. Teiste klientide andmeid kaitstakse. Kontrolli korraldus ja tasu ei tohi takistada kohustuslikke kontrolliõigusi.

Pooled dokumenteerivad rikkumised ja kõrvaldavad puudused. Leping ei piira inimeste kohustuslikke õigusi, järelevalveasutuse volitusi ega seadusjärgset vastutust. Kohaldatakse Eesti õigust IKÜM-iga lubatud ulatuses. Vastuolu korral põhilepinguga kohaldatakse andmekaitseküsimustes siinset lepingut.

## Lisa 1. Töötluse kirjeldus — täita enne alustamist

| Väli | Kokkulepe |
|---|---|
| Suund ja konkreetne ülesanne | [Selge Data / Site / Care; töö kirjeldus] |
| Eesmärk ja lubatud toimingud | [koondamine, puhastus, arvutused, graafikud, hooldus; üleliigne eemaldada] |
| Inimeste kategooriad | [kliendid / esindajad / töötajad; täpsustada] |
| Andmeväljad ja kategooriad | [täpne loend; mitte „kõik andmed“] |
| Allikas ja tellija õiguslik alus | [täita] |
| Süsteemid ja töötluskoht | [Google Workspace: Gmail ja ettevõtte Google Drive; ajutised kohalikud koopiad tööarvutis; muud süsteemid eraldi] |
| Töötluse algus ja lõpp | [kuupäevad või määratletav sündmus] |
| Tagastamine või kustutamine | [valik; turvaline tagastusviis; kustutamise kuupäev, vaikimisi kuni 30 päeva] |
| Edastuskanal ja volitatud kontaktid | [täita] |
| Lisariskid ja piirangud | [täita; eraldi lubatud tundlikud kategooriad] |

## Lisa 2. Meetmed — kinnitada tegelik rakendamine

- Kaitstud eraldi projektikaust, ligipääs ainult volitatutele; tööketta krüptimine, ekraanilukk, ajakohane operatsioonisüsteem ja seadmekaitse.
- Unikaalsed paroolid paroolihalduris; MFA e-postil, majutuses ja kliendi süsteemides, kus toetatud; ligipääsude lõpetamine töö lõpus.
- Kokkulepitud kaitstud edastuskanal; krüptitud arhiivi võti teise kanali kaudu. Kliendifaile ei panda avalikku GitHubi ega avaliku lingi taha.
- Andmete minimeerimine, eraldi sünteetilised arendus- ja demonäited, tulemuse inimkontroll.
- Vajadusel varundamise kokkulepe: [koht, krüptimine, ligipääs, sagedus, taastamise kontroll]. Varukoopiatele kehtib kustutuskord.
- Ligipääsude, juhiste, rikkumiste ja kustutamise register; tähtaegade igakuine kontroll. Kontrollimise kuupäev ja vastutaja: [täita].
- Isikuandmeid ei anta tehisintellektile ilma täidetud lisata 3. Saladusi ei sisestata päringutesse ega vestlusajalukku.

**Täitamata punkt on rakendamise nõue, mitte kinnitus, et meede juba toimib.**

## Lisa 3. Lubatud alltöötlejad

Kliendi isikuandmete jaoks on loend vaikimisi tühi. SELGE avaliku veebilehe majutaja ei muutu automaatselt kliendifailide lubatud saajaks.

| Pakkuja, toode/pakett ja juriidiline isik | Toimingud ja andmekategooriad | Riigid ja edastamise alus | DPA, säilitamine ja meetmed | Tellija kirjalik luba, kuupäev |
|---|---|---|---|---|
| [vajaduse korral täita] | | | | |

## Allkirjad

Tellija: [nimi, amet, kuupäev, allkiri].

ASTERUS GRUPP OÜ: [nimi, amet, kuupäev, allkiri].

### Ametlik alus

[IKÜM, eelkõige artiklid 28, 32–36 ja V peatükk](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng); [EDPB rollide ja lepingu selgitus](https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_en); [EL-i ametlikud vastutava ja volitatud töötleja tüüptingimused 2021/915](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32021D0915). See iseseisvalt koostatud näidis ei ole ametlike tüüptingimuste sõnasõnaline koopia ega rahvusvahelise edastamise mehhanism.


### Google Workspace projektis

Ärikirjavahetus ja tööfailid asuvad ettevõtte Google Workspace’is (Gmail ja Google Drive) Google’i taristus. Enne kliendi isikuandmete edastamist täidavad pooled lisa 3: Google’i lepinguline juriidiline isik, eesmärk, andmeliigid, kohaldatav Google Cloud Data Processing Addendum, töötlemise asukohad ja rahvusvahelise edastamise alus. See näidis ei anna iseenesest luba alltöötleja kaasamiseks. Täitja hallatavad tööfailid, sealhulgas prügikast ja ajutised kohalikud koopiad, kustutatakse kokkulepitud 30 päeva jooksul; Google’i tehniliste koopiate kustutamiseks võib Google’i DPA järgi kuluda kuni 180 päeva.