Isikuandmete töötlemise leping

Lasteaia ja 4V3D OÜ vahel, Minute Missioni rühmateenuse jaoks. Versioon 1.1, 23. september 2026.

See on lepingu eestikeelne tekst ja Eesti klientide jaoks on see algupärane. Leping on avaldatud ka inglise keeles; kui tekstid Eesti kliendi osas erinevad, kehtib eestikeelne.

Kuidas lepingut sõlmida

Kaks võimalust, mõlemal sama mõju.

• Ostu vormistamisel. Märkige kastike, millega kinnitate versiooni 1.1. Versioon ja kuupäev salvestatakse teie konto juurde ja e-postiga saadetav koopia on täpselt see tekst, mille te kinnitasite. See jääb ka kontol kättesaadavaks.
• Paberil, kui asutus vajab allkirja. Kirjutage aadressile info@4v3d.ee ja saadame sama teksti dokumendina, kus on tabel teie andmete jaoks. Allkirjastage see DigiDoc4 rakendusega ja saatke tagasi. 4V3D OÜ allkirjastab sama faili ja saadab selle teile. Leping kehtib alates viimasest allkirjast.

Kui lepingut on vaja muuta. 4V3D OÜ võib lepingut muuta üksnes siis, kui seadus seda nõuab, või kui muudatus ei vähenda lasteaia kaitset ega laienda töötlemist. Teatame sellest lasteaia kontaktisikule e-postiga ja anname 30 päeva ette teada. Muudatus, mis üksnes lisab teavet või muudab 4V3D OÜ enda kohustusi rangemaks, jõustub selle tähtaja lõppedes. Iga muu muudatus vajab lasteaia aktiivset nõusolekut ja kuni selle andmiseni kehtib versioon, mille lasteaed on kinnitanud. Punktis 3 nimetatud Euroopa Komisjoni tüüptingimusi ennast ei muudeta kunagi, muuta saab ainult nende lisasid.

Varasemad versioonid. Uue versiooni avaldamisel jääb asendatud versioon kättesaadavaks oma aadressil, märkega, et see ei ole enam kehtiv, nii et lasteaed saab alati lugeda versiooni, mille ta kinnitas.

Volitatud töötleja: 4V3D OÜ, registrikood 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn. Esindaja: Oskar Viil, juhatuse liige. Kontakt: info@4v3d.ee.

1. Mida leping reguleerib

Lasteaed (vastutav töötleja) kasutab 4V3D OÜ (volitatud töötleja) veebirakendust Minute Mission, kus õpetaja peab rühma ülesannete ja tasude tahvlit. Selleks töötleb 4V3D OÜ lasteaia nimel ja lasteaia juhiste järgi lisas II kirjeldatud isikuandmeid.

Käesolev leping sisaldab kõike, mida isikuandmete kaitse üldmääruse artikli 28 lõige 3 ja Ühendkuningriigi isikuandmete kaitse üldmääruse sama säte nõuavad vastutava ja volitatud töötleja vahel kirjalikult kokku leppida. Leping kehtib sõltumata sellest, kas lasteaed asub Euroopa Majanduspiirkonnas või Ühendkuningriigis.

2. Milline õigus teile kohaldub

• Lasteaed Euroopa Majanduspiirkonnas. Kohaldub isikuandmete kaitse üldmäärus. Kohaldub ka punkt 3.
• Lasteaed Ühendkuningriigis. Kohalduvad Ühendkuningriigi isikuandmete kaitse üldmäärus ja 2018. aasta andmekaitseseadus. Allpool olevaid viiteid üldmäärusele loetakse viideteks Ühendkuningriigi üldmäärusele, viiteid järelevalveasutusele viideteks teabevolinikule, ja punkt 3 ei kohaldu.
• Lasteaed mujal. Teile kohaldub teie enda andmekaitseõigus ja käesolevad tingimused on 4V3D OÜ-le siduvad lepingu alusel. 4V3D OÜ asub Euroopa Liidus ja on selle töötlemise osas igal juhul üldmäärusega seotud. Miski siin ei vähenda õigust, mille annab teile teie enda õigus.

3. Euroopa Komisjoni tüüptingimused

Kui lasteaed asub Euroopa Majanduspiirkonnas, kohaldavad pooled Euroopa Komisjoni rakendusotsuse (EL) 2021/915 lisas olevaid vastutava ja volitatud töötleja vahelisi tüüptingimusi nende ametlikus eestikeelses sõnastuses. Tüüptingimused on lepingu osa ja allolevad lisad I kuni IV on nende lisad. Punkti 5 ei kohaldata; punktist 7.7 kohaldatakse 2. varianti (üldine luba, muudatustest teatatakse 30 päeva ette). Vastuolu korral kehtivad tüüptingimused.

4. Mida kumbki pool lubab

4V3D OÜ lubab:

• Töödelda isikuandmeid ainult teenuse osutamiseks ja üksnes lasteaia dokumenteeritud juhiste järgi, sealhulgas kolmandasse riiki edastamise osas. Need juhised on käesolev leping ja see, kuidas lasteaed teenust kasutab. Kui Euroopa Liidu või liikmesriigi õigus kohustab 4V3D OÜ-d andmeid teisiti töötlema, teatab ta sellest lasteaiale ette, välja arvatud juhul, kui see õigus seda keelab.
• Mitte kasutada andmeid oma tarbeks, mitte müüa neid, mitte kasutada neid millegi treenimiseks ja mitte näidata neid kellelegi peale lisas IV nimetatud alamtöötlejate.
• Tagada, et kõik, kellel on ligipääs, on seotud konfidentsiaalsuskohustusega.
• Hoida lisas III kirjeldatud turvameetmeid ja mitte neid nõrgendada.
• Kasutada ainult lisas IV nimetatud alamtöötlejaid. 4V3D OÜ võib alamtöötleja lisada või välja vahetada, teatades sellest lasteaia kontaktisikule 30 päeva ette kirjalikult. Vastuväite esitamiseks kirjutage nende 30 päeva jooksul aadressile info@4v3d.ee. 4V3D OÜ vastab 10 tööpäeva jooksul kas muudatusega, mis vastuväite lahendab, või kinnitusega, et muudatus jääb jõusse. Kui vastuväide lahendust ei saa, võib lasteaed teenuse 30 päeva jooksul pärast seda vastust lõpetada ja saab tagasi tasutud perioodi kasutamata osa.
• Aidata lasteaial vastata lapsevanema või töötaja päringule. Õpetajad ja direktor saavad neid andmeid teenuses ise vaadata, parandada, eksportida ja kustutada. Kui päring jõuab 4V3D OÜ-ni, edastatakse see lasteaia kontaktisikule viie tööpäeva jooksul ja 4V3D OÜ ise sellele ei vasta.
• Aidata lasteaial täita artiklitest 32 kuni 36 tulenevaid kohustusi (turvalisus, rikkumisest teatamine, andmekaitsealane mõjuhinnang, eelnev konsulteerimine), arvestades seda, mida 4V3D OÜ tegelikult teab.
• Teatada isikuandmetega seotud rikkumisest lasteaia kontaktisikule 24 tunni jooksul sellest teada saamisest, koos sellega, mis on sel hetkel teada, ja ülejäänuga siis, kui see selgub.
• Teenuse lõppemisel kustutada andmed 30 päeva jooksul või anda need enne tagasi, kui lasteaed seda soovib. Varukoopiatest kaovad andmed 90 päeva jooksul. 4V3D OÜ kinnitab kirjalikult, kui andmed on kustutatud.
• Teha kättesaadavaks teabe, mida on vaja nende kohustuste täitmise tõendamiseks, ja võimaldada auditit. Praktikas tähendab see kirjalikke vastuseid ja dokumente nõudmisel. Kohapealse või kolmanda isiku auditi saab kokku leppida 30 päeva ette, lasteaia kulul, kuni korra aastas, välja arvatud juhul, kui on toimunud rikkumine.
• Teatada lasteaiale kohe, kui mõni juhis näib olevat andmekaitseõigusega vastuolus.

Lasteaed lubab:

• Tagada, et tal on selleks töötlemiseks õiguslik alus ja et lapsevanemaid on teavitatud. 4V3D OÜ ei näe lapsevanemaid ega saa seda lasteaia eest teha.
• Hoida teenuses olevad andmed lisas II kirjeldatud piirides. Eelkõige mitte kirjutada vabatekstiväljale lapse perekonnanime, terviseandmeid, hinnangut lapse kohta ega midagi pere olukorra kohta.
• Hoida oma konto andmed õigena ja teatada 4V3D OÜ-le, kui kontaktisik vahetub.
• Hallata ise oma töötajate kontosid: eemaldada õpetaja sisselogimine, kui see õpetaja lahkub.

5. Kaks asja, mis ei ole töötlemine lasteaia nimel

Kirjas siin, et hiljem ei peaks arvama.

• Töötajate kontod. Õpetaja ja direktori nimi, e-posti aadress ja parool on vajalikud teenuse enda toimimiseks ja selle üle otsustab 4V3D OÜ. Selles kitsas osas on 4V3D OÜ vastutav töötleja, mitte volitatud töötleja, ja kehtib tema enda privaatsuspoliitika. Kõik, mis puudutab lapsi, on töötlemine lasteaia nimel ja on selle lepinguga kaetud.
• Maksmine. Kui lasteaed maksab kaardiga, teeb makse Stripe Payments Europe Ltd. Stripe saab lasteaia arve nime, aadressi, KMKR numbri, e-posti ja kaardiandmed ning mitte ühtegi lapse andmet. Nende andmete vastutav töötleja on 4V3D OÜ. Stripe ei ole seega selle lepingu mõttes alamtöötleja ja teda ei ole lisas IV.

6. Lepingu kestus, kohaldatav õigus ja vastutus

Leping kehtib seni, kuni 4V3D OÜ töötleb lasteaia andmeid. Pärast teenuse lõppemist kehtib leping edasi, kuni andmed on kustutatud ja kustutamine kirjalikult kinnitatud.

Lepingule kohaldatakse Eesti õigust ja vaidlused lahendab Harju Maakohus. Kui lasteaed on avaliku sektori asutus, kelle enda reeglid nõuavad tema riigi õiguse ja kohtu kohaldamist, lepivad pooled selles enne lepingu jõustumist kirjalikult kokku ja see kokkulepe asendab käesoleva lõigu.

Kumbki pool vastutab teise poole ees kahju eest, mille ta on käesoleva lepingu rikkumisega tekitanud, võlaõigusseaduses sätestatud korras.

Kui seadus ei nõua teisiti, on kummagi poole vastutus teise poole ees käesoleva lepingu ja Minute Missioni kasutustingimuste (kui need kohalduvad) alusel kokku piiratud summaga, mille lasteaed on teenuse eest tasunud kahju põhjustanud sündmusele eelnenud kaheteistkümne kuu jooksul. Kui teenust on selleks ajaks kasutatud vähem kui kaksteist kuud, on piirmääraks kaheteistkümne kuu tasu lasteaia hinna järgi. Piirmäär ei hõlma teenuse eest maksmisele kuuluvat tasu.

Piirmäär ei kehti, kui kahju on tekitatud tahtlikult või raske hooletuse tõttu, ega inimese surma põhjustamise või tervise kahjustamise korral.

Lapsevanem või töötaja võib isikuandmete kaitse üldmääruse artikli 82 alusel nõuda kahju hüvitamist lasteaialt või 4V3D OÜ-lt ja käesolev leping seda õigust ei muuda. Kui üks pool on sellise nõude täies ulatuses hüvitanud, võib ta teiselt poolelt tagasi nõuda osa, mis vastab teise poole vastutusele kahju eest, ja eespool nimetatud piirmäär seda osa ei vähenda. Järelevalveasutuse määratud trahvi maksab pool, kellele see on määratud.

Lisa I. Pooled

Vastutav töötleja: lasteaed, kelle andmed on ostu vormistamisel antud või allkirjastatud eksemplari tabelisse kantud. Roll: rühma tahvlil hoitavate laste andmete vastutav töötleja. Kui lasteaed ei ole ise juriidiline isik, on vastutav töötleja vald, linn või muu asutus, kes lasteaeda peab, ja lepingu kinnitanud isik teeb seda selle asutuse nimel.

Volitatud töötleja: 4V3D OÜ, registrikood 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn. Kontakt: Oskar Viil, juhatuse liige, info@4v3d.ee. Andmekaitseametnikku ei ole määratud, sest IKÜM seda ei nõua.

Kumbki pool võib oma kontaktisikut muuta, teatades sellest teisele kirjalikult.

Lisa II. Töötlemise kirjeldus

Lisa III. Turvameetmed

• Andmed asuvad Euroopa Liidus. Rakendus ja varukoopiad on Hetzner Online GmbH andmekeskuses Helsingis (ISO/IEC 27001). Teenuse e-kirjad saadab Scaleway SAS Prantsusmaalt. Kolmandasse riiki andmeid ei edastata.
• Kogu andmeside on krüpteeritud (HTTPS, sisuturbepoliitika kehtib). Paroole ei salvestata, ainult nende räsi, ja ka sessioonivõtmeid hoitakse räsituna, nii et andmebaasi koopia ei ole võtmekimp.
• Iga rühm on eraldi konto. Õpetaja näeb ainult oma rühma lapsi. Direktoril on oma rühmade peale üks sisselogimine ja ligipääsu kellegi teise rühmale ei ole.
• Rühmakontosse ei saa fotosid üles laadida, tõuketeated on välja lülitatud ja laste pildid on valik joonistusi.
• Igapäevased krüpteeritud varukoopiad, serveris 14 päeva ja väljaspool 90 päeva. Need on krüpteeritud avaliku võtmega, mida serveris ei ole, nii et server ei saa oma varukoopiaid ise lugeda. Taastamist on testitud.
• Serverile pääseb ligi ainult 4V3D OÜ juhatuse liige. Töötajaid, alltöövõtjaid ega tugiagente ligipääsuga ei ole.
• Analüütikat, reklaamitööriistu ega jälgimist ei kasutata. Ainus korraline aruanne on päevane kokkuvõte registreerumistest, aktiivsetest kontodest ja vigadest, kus nimesid ei ole.
• Päringupiirangud sisselogimisel ja registreerumisel ning 30 päeva piir sellele, kui kaugele tagasi saab ülesannet ära märkida.
• Kogu lähtekoodi turvaülevaatus on tehtud kaks korda välise mudeliga, viimati 20. septembril 2026, ja leiud on lahendatud.

Lisa IV. Alamtöötlejad

Mõlemad on Euroopa Liidus. Väljaspool EL-i alamtöötlejat ei ole ja rahvusvahelist edastust hinnata ei ole vaja.