Privaatsuspoliitika

1. Vastutav töötleja

Vastutav töötleja on:

Kõikide privaatsust ja isikuandmete töötlemist puudutavate küsimustega pöördu palun eeltoodud e-posti aadressile.

2. Mis andmeid me kogume

2.1. Konto- ja profiiliandmed

• Ees- ja perekonnanimi
• E-posti aadress
• Telefoninumber (valikuline)
• Parooli krüpteeritud räsi (algset parooli me ei näe ega salvesta)
• Ettevõtte nimi, registrikood, aadress ja arveldusandmed

2.2. Projekti- ja dokumendiandmed

Kõik andmed, mida sa Teenuses loomisel või üleslaadimisel sisestad, sealhulgas:

• Ehituspäeviku kanded (kuupäev, ilm, tehtud tööd, tööjõud, tehnika, materjalid)
• Kaetud tööde aktid (KTA-d) ja nende manused
• Tööohutuse kontrollaktid, tellingute ülevaatused, tööohutusplaan, töömaaskeemid
• Koosolekute protokollid ja osalejate nimekirjad
• Ajagraafik ja projekti tööde staatused
• Failid, joonised ja fotod (koos EXIF-andmetega, kui need on lisatud)
• Digitaalselt allkirjastatud ASiC-E konteinerid (.asice)
• Projekti osalejate nimed, kontaktid, rollid ja õigused

2.3. Digitaalse allkirjastamisega seotud andmed

Kui kasutad Smart-ID või Mobiil-ID allkirjastamist, edastame SK ID Solutions AS-ile sinu isikukoodi ja (Mobiil-ID puhul) telefoninumbri. ID-kaardiga allkirjastades loetakse isikukood kaardilt ja SK ID Solutions AS-ile seda ei edastata. Iga allkirja kehtivuskinnituse (OCSP) päringuga saab SK ID Solutions AS sinu allkirjastamise sertifikaadi seerianumbri. Allkirjastatud dokumendis säilib sinu nimi, isikukood ja allkirja tehniline sisu (ajatempli ja kehtivuskinnituse andmed). Me ei näe ega säilita sinu PIN-koode.

Sinu isikukood lukustatakse sinu esimese allkirjaga ja me hoiame seda, et järgmisi allkirju saaks anda ainult sinu nimel olev sertifikaat.

2.4. Tehnilised andmed

• IP-aadress, brauseri tüüp ja versioon
• Seansi tunnused (autentimiseks vajalik kohalik salvestus)
• Vea- ja diagnostikalogid (veateade, tehniline jälg, marsruut, seansi tunnus), mis on vajalikud Teenuse töökindluse ja turvalisuse tagamiseks

2.5. Kasutusstatistika (nõusoleku alusel)

Kui oled selleks nõusoleku andnud, kogume Teenuse kasutamise kohta sündmusi, et näha, milliseid osi rakendusest kasutatakse ja kus kasutajad takerduvad:

• Sündmuse nimi (nt lehe avamine, mooduli avamine, dokumendi loomine, allkirjastamine)
• Marsruut ja moodul üldistatud kujul (konkreetsed ID-d asendatakse mustriga)
• Seansi tunnus, kasutaja tunnus (kui oled sisse logitud), rakenduse versioon
• Brauseri tüüp ja akna suurus

Neid andmeid kasutame ainult Teenuse parandamiseks. Me ei müü neid, ei kasuta reklaami suunamiseks ega jaga reklaamivõrkudega. Nõusoleku puudumisel neid andmeid ei koguta ega salvestata sinu seadmesse.

2.6. Turunduskampaaniate andmed

Kui jõuad meieni märgistatud lingi või trükitud QR-koodi kaudu (nt aadress ehitus.app/qr), salvestame serveris kampaania koodi ja seadme tüübi (arvuti, tahvel, telefon), et teada, kui palju külastusi kampaania toob. See kirje on anonüümne koondloendur.

Ainult sinu nõusolekul salvestame lisaks juhusliku seadmetunnuse (30 päeva), lingi kampaaniamärgised (nt utm_source, utm_campaign), viitava lehe ja brauseri kirjelduse ning seome hilisema kontoloomise selle kampaaniaga. Ilma nõusolekuta seda seost ei tehta ja sinu seadmesse midagi ei salvestata.

2.7. Asukohaandmed

Kogume asukohaandmeid ainult siis, kui sisestad projektile aadressi. Aadressi otsinguks kasutame Maa-ameti IN-ADS teenust ning kuvame projektikaardi Google Mapsi staatilise pildina. Töömaaskeemi aluskaardi valimiseks avaneb Google Mapsi interaktiivne kaart. Sinu seadme reaalajas asukohta me ei jälgi.

2.8. Kontaktivormi andmed

Kui saadad meile avalehel oleva kontaktivormi kaudu sõnumi, salvestame sinu nime, e-posti aadressi ja sõnumi sisu ning rämpspostikaitseks päringu tehnilised tunnused.

2.9. Lingiga jagatud failid

Projekti haldaja võib jagada üksikut faili või kausta lingiga inimesele, kellel Teenuses kontot ei ole. Lingi saaja näeb jagatud faile ja saab neid alla laadida ning näeb ka jagaja nime, projekti ja ettevõtte nime ning lingi kehtivusaega. Allkirjastatud konteinerites (.asice) on allkirjastajate nimed ja isikukoodid – need on digiallkirja osa. Link kehtib haldaja valitud aja, kõige rohkem 365 päeva, ja lakkab varem töötamast, kui haldaja jagamise lõpetab või kaotab ise ligipääsu jagatud failidele. Lingi avamisel salvestame avamiste arvu ja viimase avamise aja ning kuritarvituste piiramiseks IP-aadressi krüptograafilise räsi, mille kustutame 24 tunni jooksul. Lingi kirje kustutame 30 päeva pärast selle aegumist või lõpetamist; lingi loomise ja lõpetamise sündmused jäävad turvalogisse.

3. Eesmärgid ja õiguslik alus

3.1. Lepingu täitmine (GDPR art 6(1)(b))

• Kasutajakonto loomine ja haldamine
• Projektide majutamine ja dokumendihaldus
• Digitaalse allkirjastamise vahendamine
• Arvete koostamine ja arveldamine

3.2. Juriidiline kohustus (GDPR art 6(1)(c))

• Ehitusdokumentide säilitamine vastavalt ehitusseadustikule (EhS) ja majandus- ja taristuministri määrusele nr 24 „Nõuded ehitusprojektile“: vähemalt 7 aastat.
• Raamatupidamise seadusest tulenev arvete säilitamine (7 aastat).

3.3. Õigustatud huvi (GDPR art 6(1)(f))

• Teenuse turvalisuse tagamine ja pettuste vältimine
• Klienditoe pakkumine ja kontaktivormi sõnumitele vastamine
• Vea- ja diagnostikalogid, et Teenus töökindlalt toimiks. Need on tehnilised kirjed, mida ei kasutata profileerimiseks ega turunduseks.
• Kampaaniate anonüümne külastuste loendamine ilma seadmetunnuseta

3.4. Nõusolek (GDPR art 6(1)(a))

• Kasutusstatistika (punkt 2.5) – kogume ainult nõusoleku olemasolul.
• Kampaaniate seostamine kontoloomisega (punkt 2.6) – samuti ainult nõusoleku olemasolul.
• E-posti teavitused olulistest sündmustest ja tootearendustest. Nõusoleku saad igal ajal tagasi võtta ühe klõpsuga iga teavituse jaluses oleva lingi kaudu.

Nõusoleku andmine on vabatahtlik ja selle saad igal ajal tagasi võtta, ilma et see mõjutaks Teenuse kasutamist. Nõusoleku tagasivõtmisel kustutame ka sinu seadmesse selle alusel salvestatud tunnused.

4. Andmete säilitamine

• Projektidokumendid (ehituspäevik, KTA, tööohutuse aktid, koosolekud, failid, allkirjastatud konteinerid) – säilitame vähemalt 7 aastat, tulenevalt ehitusseadustikust. Kui projekti tasuline periood lõpeb, projekt lukustatakse ja arhiveeritakse, kuid selle sisu jääb meie juures tasuta alles ning projekti saab hiljem uuesti aktiveerida.
• Loodud, kuid tasumata projektid – kui projekti eest ei ole tasutud ja sellel ei ole kehtivat prooviperioodi, kustutame projekti koos sisuga 30 päeva möödumisel selle loomisest.
• Konto- ja profiiliandmed – kustutame 30 päeva jooksul pärast konto sulgemist, välja arvatud raamatupidamislikult vajalikud andmed (arved), mida säilitame 7 aastat vastavalt raamatupidamise seadusele.
• Kasutusstatistika – säilitame kuni 24 kuud, seejärel kustutame või anonümiseerime.
• Kampaaniate külastuskirjed – säilitame kuni 24 kuud. Seadmesse salvestatud kampaania tunnus aegub 30 päevaga.
• Süsteemi- ja veakogud – säilitame kuni 90 päeva ainult diagnostika eesmärgil.
• Kontaktivormi sõnumid – säilitame kuni 24 kuud pärast viimast kirjavahetust.

5. Alltöötlejad ja teenusepakkujad

Kasutame teenuse osutamiseks järgmisi alltöötlejaid ja teenusepakkujaid. Teenusepakkujatega, kes töötlevad isikuandmeid meie nimel, on sõlmitud andmetöötluslepingud (DPA). Kui andmed liiguvad väljapoole Euroopa Majanduspiirkonda (EMP), kaitsevad neid punktis 6 kirjeldatud meetmed.

Alltöötlejate nimekiri võib muutuda. Olulistest muudatustest teavitame kasutajaid e-posti teel või Teenuse sees.

6. Andmete edastamine kolmandatesse riikidesse

Teenuse andmebaasi ja faile hoiame Euroopa Liidus, Supabase'i Stockholmi (Rootsi) andmekeskuses. Osa teenusepakkujaid on aga asutatud väljaspool Euroopa Majanduspiirkonda (EMP) või töötleb andmeid ka väljaspool seda:

• Supabase Pte. Ltd. on Singapuri ettevõte. Andmebaasi, autentimise ja failide andmeid hoitakse ja töödeldakse peamiselt meie valitud EL-i piirkonnas, kuid tugi- ja seiretoiminguid võidakse teha ka väljaspool EMP-d. Serverita funktsioonid käivituvad Supabase'i piirkonnas, mis on päringule lähim, ja see võib asuda ka väljaspool EL-i.
• Vercel Inc. (USA) edastab veebirakenduse faile ülemaailmse serverivõrgu kaudu ja töötleb seejuures päringu tehnilisi andmeid, nt IP-aadressi.
• Plus Five Five, Inc. (Resend, USA) saadab e-kirjad EL-ist (Iirimaa), kuid hoiab kirjade metaandmeid ja logisid USA-s.
• Anthropic Ireland, Limited hoiab tehisintellekti funktsioonide päringute andmeid USA-s ja võib päringuid töödelda USA-s, Euroopas, Aasias ja Austraalias. Funktsiooni kasutamisel edastame Anthropicule selle toimingu sisendi (nt analüüsitavad dokumendid, projekti andmed või sinu küsimus). Anthropic ei kasuta Teenuse kaudu edastatud andmeid oma mudelite treenimiseks.
• Google Ireland Limited võib Google Mapsi päringute andmeid (nt IP-aadress ja kaardi koordinaadid) töödelda ka väljaspool EMP-d.

Nende edastuste õiguslik alus on Euroopa Komisjoni standardsed lepinguklauslid (SCC, rakendusotsus (EL) 2021/914). Need on osa teenusepakkujate andmetöötlustingimustest, Google'i puhul osa Google'i vastutavate töötlejate vahelistest andmekaitsetingimustest (Controller-Controller Data Protection Terms). Vercel ja Resend on lisaks liitunud EL-i ja USA andmekaitseraamistikuga (EU-U.S. Data Privacy Framework), mille kohta on Euroopa Komisjon teinud kaitse piisavuse otsuse. Kaitsemeetmete kohta lisateabe saamiseks kirjuta aadressil info@ehitus.app.

7. Sinu õigused

Sul on GDPR artiklite 15–22 alusel järgmised õigused:

• Juurdepääsuõigus – saada teavet, milliseid sinu isikuandmeid me töötleme
• Parandamise õigus – nõuda ebaõigete andmete parandamist
• Kustutamise õigus („õigus olla unustatud“) – nõuda oma andmete kustutamist, v.a kui neid tuleb säilitada seadusest tulenevalt (nt ehitusdokumendid)
• Töötlemise piiramise õigus
• Andmete ülekantavuse õigus – saada oma andmed masinloetavas vormingus
• Vastuväite õigus – vaidlustada töötlemine, mis põhineb õigustatud huvil
• Nõusoleku tagasivõtmise õigus igal ajal, ilma et see mõjutaks eelneva töötlemise seaduslikkust

Oma õiguste kasutamiseks võta meiega ühendust aadressil info@ehitus.app. Vastame päringule 30 päeva jooksul.

Kui leiad, et rikume sinu andmekaitseõigusi, on sul õigus esitada kaebus Andmekaitse Inspektsioonile aki.ee.

8. Turvalisus

Rakendame tehnilisi ja organisatsioonilisi meetmeid sinu andmete kaitsmiseks:

• Kogu andmeliiklus on krüpteeritud TLS-iga (HTTPS)
• Andmebaasitasandi juurdepääsu poliitikad (Row-Level Security)
• Rollipõhine juurdepääs projektidele, mis tagab, et kasutaja näeb ainult neid projekte, kuhu ta on lubatud
• Digitaalallkirjad ASiC-E konteinerites
• Paroolid on salvestatud üksnes krüptograafilise räsina
• Regulaarsed varukoopiad

9. Küpsised ja jälgimine

Me ei kasuta kolmandate osapoolte reklaamiküpsiseid, ei müü andmeid ega jaga neid reklaamivõrkudega. Kogu allpool kirjeldatud salvestus toimub sinu enda seadmes (küpsised ning brauseri local storage ja session storage).

9.1. Tehniliselt vajalik salvestus (nõusolekut ei küsita)

• Autentimise seansiandmed, et püsiksid sisse logituna
• Keele- ja kuvaeelistused
• Sinu küpsisevaliku salvestamine, et me ei küsiks seda korduvalt
• Võrguühenduseta töö järjekorrad (nt ehituspäeviku kanded, mis salvestatakse seadmesse, kuni ühendus taastub)
• Vea- ja tõrkeandmed, mis on vajalikud Teenuse turvalisuse ja töökindluse tagamiseks

9.2. Nõusolekut vajav salvestus

• Kasutusstatistika seansi tunnus (punkt 2.5)
• Kampaania seadmetunnus ja esimese kokkupuute kirje, mis aegub 30 päevaga (punkt 2.6)

Küsime nõusolekut esimesel külastusel lehe allservas oleval ribal. Kuni sa pole valinud, ei salvestata sinu seadmesse midagi ega saadeta ühtegi sündmust; kui nõustud, saadame ka enne valikut avatud lehtede sündmused. Kui valid „Ainult vajalikud“, need kustuvad, sinu seadmesse ei salvestata ühtegi statistika- ega kampaaniatunnust ja Teenus toimib täies mahus edasi.

9.3. Nõusoleku muutmine

Saad oma valikut igal ajal muuta lehe jaluses oleva lingi „Küpsised“ kaudu. Nõusoleku tagasivõtmisel kustutame vastavad tunnused sinu seadmest. Küsime valikut uuesti ka siis, kui eelmisest otsusest on möödunud üle 12 kuu.

10. Muudatused privaatsuspoliitikas

Võime seda privaatsuspoliitikat aeg-ajalt uuendada. Olulistest muudatustest teavitame registreeritud kasutajaid e-posti teel vähemalt 14 päeva enne muudatuste jõustumist. Vähemtähtsad muudatused (nt sõnastuse täpsustused) avaldame lehel, uuendades ülalolevat „Viimati uuendatud“ kuupäeva.