Kuidas me teie andmeid käsitleme.

See leht selgitab, milliseid isikuandmeid AI Arenduskeskus OÜ kogub, miks ja kui kaua neid säilitatakse. Dokument järgib Euroopa Liidu isikuandmete kaitse üldmäärust (GDPR) ja Eesti isikuandmete kaitse seadust.

Milliseid andmeid kogume

1. Eelvestluse broneerimisel

Kui broneerite 30-minutilise eelvestluse, kogume järgmised andmed:

• ees- ja perekonnanimi;
• e-posti aadress;
• ettevõtte nimi ja roll (vabatahtlik, aitab kõnet ette valmistada);
• valitud aeg ja ajavöönd;
• sõnum, kui te selle saadate.

2. Discovery Sprinti käigus

Kui alustame lepingulist koostööd, võib Discovery käigus jõuda meieni:

• intervjueeritavate kontaktandmed (nimi, roll, e-post);
• ettevõtte protsesside, süsteemide ja töövoogude kirjeldused;
• vajadusel anonüümitud näidisdokumendid;
• vajadusel read-only juurdepääs piiratud süsteemidele.

Enne kliendi nimel Discovery käigus töödeldavate isikuandmete töötlemist allkirjastame eraldi andmetöötluslepingu (DPA), mis täpsustab ulatuse, säilitusaja ja turvameetmed.

Miks me neid andmeid kogume

• eelvestluse kokkuleppimiseks ja läbiviimiseks;
• sobivuse hindamiseks (kas Discovery on teie ettevõttele õige formaat);
• Discovery raporti koostamiseks, kui leping on sõlmitud;
• arveldamiseks ja raamatupidamise kohustuste täitmiseks;
• enda kohustuste täitmiseks teie ja kolmandate osapoolte (nt audiitorite) ees.

Kolmandad teenused, mida kasutame

Ajakava ja broneerimine

Eelvestluse broneerimine toimub Calendly kaudu. Calendly saab teie nime, e-posti ja valitud aja. Calendly privaatsustingimused: calendly.com/privacy.

Veebileht ja tehniline tugi

• Fondid: leht kasutab Google Fontsi, mis laadib kirjatüübid Google’i serveritest;
• Hosting / CDN: leht on teenindatud Cloudflare’i kaudu, mis näeb standardseid serverilogisid (IP-aadress, päringu aeg, kasutatud brauser);
• Veebianalüütika: kasutame esmapoole tehnilist sündmuslogi, et mõista lehe avamist, kerimist, sektsioonide nähtavust, ligikaudset nähtaval oldud aega, vaateakna mõõte ning linkide/CTA-de klikke. Korduvkülastuse ligikaudseks eristamiseks salvestab brauser pseudonüümse külastaja ID (localStorage) koos 60-päevase kasutusajaga; aegunud ID-d ei kasutata ja järgmisel külastusel eemaldab/asendab skript selle uuega. Kui külastaja pärast aegumist lehele ei naase, võib brauser tehnilise kirje alles hoida kuni brauseri enda puhastuse või kasutaja kustutamiseni. Kui brauseris on lubatud Do Not Track või Global Privacy Control, siis avaliku lehe analüütikasündmusi ei saadeta ja seda külastaja ID-d ei looda ega värskendata. Me ei logi vormiväljade teksti, paroole, e-posti/telefoni väärtusi, päringuparameetreid ega lehe sisu. IP-aadressi ennast ei salvestata; kui tehniline salajane võti on seadistatud, salvestub ainult lühike võtmega pseudonüümne IP-hash, ning kui võti puudub, ei salvestu ka IP-hashi. Sündmuslogi säilitatakse vaikimisi kuni 90 päeva. Andmeid hoitakse Cloudflare D1 andmebaasis ning kasutatakse lehe toimivuse ja arusaadavuse parandamiseks. Parooliga kaitstud töökeskkonna ligipääsude ja kasutuse kohta vt eraldi lõiku „Kaitstud töökeskkonna ligipääsud ja kasutuslogid”.
• E-post: kliendile saadetavad raportid ja teavitused edastatakse Google Workspace’i (Google Ireland Ltd) e-posti taristu kaudu;
• Koodi- ja versioonihaldus: teenuse tehniline kood ja minimaalne tööseisund hoitakse versioonihalduses (GitHub, Microsoft). Kaitstud raportite sisu hoitakse krüpteeritult ega ole versioonihalduses loetav.

AI-mudelid teenuse osutamisel

Töö käigus võidakse sisend edastada valitud tehisintellekti-teenusepakkujale (näiteks suure keelemudeli pakkujale) töötlemiseks. Konkreetsed AI-teenusepakkujad valitakse iga projekti ja teenuse jaoks eraldi — andmetundlikkuse, kvaliteedinõuete ja lepingulise riski järgi. Kliendi isiku- või konfidentsiaalseid andmeid töötleme tehisintellektiga ainult projekti jaoks kinnitatud äri-, enterprise- või API-teenuses, mille andmetöötlusleping, treeningu-välistus ja edastusraam on kontrollitud; teenusepakkuja fikseeritakse vajaduse korral DPA-s. Personaalseid consumer-teenuseid kasutame ainult avaliku, täielikult anonüümitud või sünteetilise materjaliga. Kliendi- ja isikuandmeid ei kasuta me tehisintellekti mudelite treenimiseks.

Kaitstud töökeskkonna ligipääsud ja kasutuslogid

Kui te kasutate meie parooliga kaitstud töökeskkonda (raportid, monitorid, töövaated), töötleme mõningaid tehnilisi andmeid selleks, et keskkond oleks turvaline, töötaks korralikult ja et me saaksime seda teie jaoks paremaks teha.

Mida me logime. Ligipääsu- ja avamissündmused (sh õnnestunud ja ebaõnnestunud sisselogimiskatsed), millised sektsioonid ja read avati, ligikaudne nähtaval oldud aeg, kerimine, teksti kopeerimise sündmused ning tehniline kontekst: brauseri tüüp, ligikaudne riik ja serveri asukoht, sessiooni tunnus ja lühike pseudonüümne IP-hash. Kui te sisestate sisselogimisel vabatahtliku nime-välja või kasutate teile saadetud isiklikku ligipääsulinki, seome need sündmused selle nime või lingiga, et näha, kes ja millal keskkonda kasutas.

Miks. Õiguslik alus on meie õigustatud huvi (isikuandmete kaitse üldmääruse art 6 lg 1 p f): kaitstud keskkonna turvalisuse tagamine, volitamata või ebatavalise ligipääsu märkamine, ligipääsude haldus ning teenuse toimimise ja arusaadavuse parandamine.

Turvateavitus. Keskkonna avamisel võib meie süsteem saata meile automaatse turvateavituse (ilma raporti sisuta), et me näeksime ligipääse ja märkaksime ebatavalist tegevust.

Ligipääsu meeldejätmine. Et te ei peaks parooli igal külastusel uuesti sisestama, võib teie brauser hoida ligipääsu-mandaadi kohalikus salvestuses (localStorage) piiratud aja jooksul. Selle saab kustutada brauseri andmete puhastamisega; see ei ole reklaami- ega jälgimisküpsis.

Mida me ei logi. Me ei salvesta teie parooli, kaitstud raporti dekrüpteeritud sisu, ravimi- ega ettevõttenimesid, tabelilahtrite teksti ega muid tundlikke andmeväljasid. Sündmuslogi säilitatakse vaikimisi kuni 90 päeva Cloudflare D1 andmebaasis. Kui teenusepakkuja töötleb andmeid väljaspool Euroopa Majanduspiirkonda, rakendame allpool kirjeldatud edastuskaitseid. Me ei müü ega rendi neid andmeid ega jaga neid kolmandatele isikutele muul otstarbel kui teenuse osutamiseks.

Kui kaua andmeid säilitame

• Eelvestluse broneerimise andmed — kuni 12 kuud, kui eelvestlus ei too kaasa lepingut;
• Discovery lepinguga seotud andmed — lepingus määratud aeg + 7 aastat (raamatupidamise seaduse järgi);
• Intervjuude töömaterjalid — lepingus täpsustatud periood, seejärel kustutatakse;
• Valmis raport — teie omand, kustutame meie koopia kliendi kirjaliku taotluse korral.

Kellega andmeid jagame

Me ei müü ega rendile anna isikuandmeid kolmandatele osapooltele. Andmeid võime jagada ainult järgmistel juhtudel:

• teenusepakkujatega, kes aitavad meil teenust osutada (nt broneerimissüsteem, hosting, raamatupidamine) — alati lepingulisel alusel;
• õigusaktist tuleneva kohustuse korral (nt maksuhalduri või kohtu nõudel);
• teie selgesõnalisel nõusolekul (nt kui soovite, et viitaksime koostööle referentsina).

Kus andmeid töödeldakse

Põhiliselt töötleme andmeid Euroopa Majanduspiirkonnas (EMP). Kui mõni teenusepakkuja kasutab serverit väljaspool EMP-d, põhineb edastus Euroopa Komisjoni kaitsemeetmetel, näiteks standardlepingu tingimustel. Discovery kliendiandmete puhul fikseeritakse see lepingus või vajaduse korral DPA-s.

Teie õigused

GDPR annab teile õiguse:

• saada teavet oma andmete töötlemisest;
• küsida enda kohta säilitatud andmete koopiat;
• nõuda andmete parandamist, kui need on valed;
• nõuda kustutamist („õigus olla unustatud”), kui seaduslik alus säilitamiseks puudub;
• piirata või vaidlustada töötlemist;
• kaevata järelevalveasutusele — Andmekaitse Inspektsioon.

Õiguste kasutamiseks kirjutage juri@arenduskeskus.ai. Vastame 30 päeva jooksul.

Turvameetmed

• kõik tööseadmed on krüpteeritud;
• paroolid hallatakse paroolihaldusega;
• kliendiandmetele pääsevad ligi ainult Discovery meeskonna liikmed, kes on allkirjastanud NDA;
• süsteemiligipääsud tühistatakse Discovery viimasel päeval;
• raportite edastus toimub krüpteeritud kanalit pidi (e-post TLS-iga või krüpteeritud failihaldus).

Muudatused selles dokumendis

Uuendame seda poliitikat, kui muutuvad teenused, kolmandad osapooled või õiguslik kontekst. Olulistest muudatustest anname teada, kui teie andmete töötlus on aktiivne.

Teenuste üldtingimused: arenduskeskus.ai/tingimused.