Privaatsuspoliitika

2. Teenuse olemus

Failijagaja võimaldab sisselogitud kasutajatel jagada faile, määrata ligipääsu isikukoodi, e-posti aadressi või domeeni alusel, kasutada ühekordseid kinnituskoode, hallata organisatsioone ja kasutajakohti ning luua digitaalsete allkirjade kogumise töövooge.

Teenuse kasutajad logivad sisse tugeva elektroonilise tuvastusega, näiteks Smart-ID, Mobiil-ID või ID-kaardi lahendusega läbi Authentigate teenuse. Jagatud failide avamine sõltub saatja määratud ligipääsureeglitest ja autentimisest.

3. Milliseid isikuandmeid töötleme

• Konto ja autentimise andmed: isikukood, isikukoodi riik, eesnimi, perekonnanimi, e-posti aadress, autentimisteenuse pakkuja, autentimise meetod, teenusepakkuja subjekti ID ja viimase sisselogimise aeg.
• Sessiooniandmed: rakenduse sessiooni tehniline identifikaator, sessiooni räsi, loomise, aegumise, tühistamise ja viimase kasutamise aeg. Sessiooniküpsised on HTTP-only, production keskkonnas secure ning sameSite lax seadistusega.
• Failiandmed: faili algne nimi, salvestusvõti, MIME tüüp, suurus, loomise aeg, aegumise aeg, jagamise tüüp, krüpteeringu metaandmed, kontrollsummad ja seotud ligipääsureeglid.
• Saajate ja ligipääsuandmed: lubatud saajate isikukoodid ja riigid, lubatud e-posti aadressid või domeenid, e-posti OTP koodi räsi, OTP aegumine, katsete arv, lukustamise info ning e-kirja saatmise, tarnimise, avamise, põrkumise või ebaõnnestumise staatus.
• Ligipääsulogid: millisele failile ligi pääseti, millise meetodiga ligipääs kinnitati, isikukood või e-posti aadress, kui see on konkreetse ligipääsu puhul olemas, ja ligipääsu aeg.
• Allkirjastamise töövoogude andmed: töövoo pealkiri ja kirjeldus, allkirjastajate nimed, e-posti aadressid, oodatavad isikukoodid ja riigid, allkirjastamise staatused, tokenite staatused, OTP andmed, üleslaaditud versioonide failimetaandmed, ASiC-E või muu konteineri info, valideerimise kokkuvõtted, sündmuste logid, IP-aadressid ja user-agent väärtused.
• Organisatsiooni andmed: organisatsiooni nimi, liikmed, rollid, õigused, kasutajakohad, omanikuvahetused, auditilogid ja organisatsiooni tegevustega seotud IP-aadressid ning user-agent väärtused.
• Arveldusandmed: valitud pakett, Stripe’i kliendi ID, Stripe’i tellimuse või makse viide, tellimuse staatus, perioodi lõpp, tühistamise info ja maksetõrke info. Kaardiandmeid töötleb Stripe; rakendus ei salvesta täielikke kaardiandmeid.
• Klienditoe ja kontaktandmed: andmed, mille saadad meile e-posti teel.

4. Failide sisu ja kasutusõigused

Failide ja dokumentide õigused jäävad sulle või sinu organisatsioonile. Failijagaja ei omanda sinu üleslaaditud failidele omandiõigust.

Kasutame faile ainult teenuse osutamiseks: üleslaadimiseks, krüpteeritud kujul säilitamiseks, õigustatud saajatele väljastamiseks, allkirjastamise töövoogude haldamiseks, tehnilise toe pakkumiseks sinu taotluse alusel, turvalisuse tagamiseks ning seadusest tulenevate kohustuste täitmiseks.

Me ei kasuta üleslaaditud faile reklaami tegemiseks, kolmandatele isikutele müümiseks ega tehisintellekti mudelite treenimiseks. Kui tulevikus peaks lisanduma funktsioon, mis kasutab dokumentide sisu muul eesmärgil, peab see olema kasutajale eraldi selgelt kirjeldatud ja vajama eraldi õiguslikku alust või nõusolekut.

5. Milleks andmeid kasutame

• Kasutaja tuvastamiseks ja sisselogimise võimaldamiseks.
• Failide üleslaadimiseks, krüpteerimiseks, säilitamiseks, allalaadimiseks ja kustutamiseks.
• Faili saajate ligipääsu kontrollimiseks isikukoodi, e-posti aadressi, domeeni või kinnituskoodi alusel.
• Allkirjastamise töövoogude loomiseks, allkirjastajate kutsumiseks, tegevuste logimiseks ning allkirjastatud versioonide haldamiseks.
• Organisatsioonide, rollide, kasutajakohtade ja omanikuvahetuste haldamiseks.
• Pakettide, tellimuste ja makse staatuse haldamiseks.
• Turvalisuse tagamiseks, väärkasutuse tuvastamiseks, vigade lahendamiseks ja auditijälje hoidmiseks.
• Seadusest tulenevate kohustuste täitmiseks ning õiguste kaitsmiseks.

6. Õiguslikud alused

• Lepingu täitmine: konto, failijagamise, allkirjastamise, organisatsiooni ja arvelduse põhifunktsioonide pakkumiseks.
• Õigustatud huvi: teenuse turvalisus, auditilogid, pettuste ennetamine, tehnilised logid, vigade lahendamine ja õiguste kaitsmine.
• Seadusest tulenev kohustus: raamatupidamine, maksuarvestus, õigusaktidest tulenevad nõuded ja pädevate asutuste õiguspärased päringud.
• Nõusolek: juhul kui kasutame andmeid tegevuseks, mis vajab eraldi nõusolekut.

7. Krüpteering ja turvameetmed

Failide kaitseks kasutatakse AES-256-GCM krüpteeringut. Tavaliste failide üleslaadimisel luuakse krüpteerimisümbrik ning fail krüpteeritakse enne salvestusse saatmist.

Allkirjastamise töövoogude failiversioonidel on samuti krüpteeringu metaandmed ja allalaadimisel dekrüpteeritakse objekt alles pärast ligipääsu kontrolli. Failide tervikluse kontrollimiseks kasutatakse kontrollsummasid ja krüpteeritud objekti metaandmeid.

Rakendus kasutab sessioonide ja allkirjastamise tokenite puhul räsimist või HMAC-põhist kontrolli. Auditilogidesse salvestatakse olulised tegevused, sealhulgas organisatsiooni haldus, allkirjastamise sündmused ja ligipääsu kinnitused.

8. Ligipääs failidele

Failile pääseb ligi ainult juhul, kui kasutaja on faili omanik või vastab saatja määratud ligipääsureeglile. Isikukoodipõhise jagamise puhul kontrollitakse saaja isikukoodi ja riiki. E-posti jagamise puhul kontrollitakse e-posti või domeeni ning kinnituskoodi.

Faili allalaadimisel kontrollitakse ka faili aegumist. Aegunud faili ei väljastata. Edukad ligipääsud logitakse, et saatjal või organisatsioonil oleks auditijälg.

9. Andmete edastamine teenusepakkujatele

Teenuse toimimiseks kasutatakse valitud kolmandaid teenusepakkujaid. Teenuse toimimiseks kasutatakse muu hulgas Authentigate autentimiseks, Stripe'i maksete töötlemiseks, Resendit e-kirjade saatmiseks ning S3-ühilduvat objektisalvestust failide hoidmiseks.

Teenusepakkujad saavad andmeid ainult ulatuses, mis on vajalik konkreetse funktsiooni pakkumiseks. Näiteks Stripe töötleb makse- ja tellimusandmeid, Resend e-kirjade saatmise ja kättetoimetamise andmeid ning autentimisteenuse pakkuja elektroonilise tuvastuse andmeid.

10. Andmete säilitamine

• Tasuta paketis on failide säilitamine piiratud ja teenuse seadistuse järgi on maksimaalne tasuta säilitamine kuni 7 päeva. Pärast säilitustähtaja lõppu kustutatakse aegunud failid automaatselt öise puhastusprotsessi käigus.
• Tasulise paketiga saab faile ja töövooge säilitada kuni käsitsi kustutamiseni, kui konto või organisatsiooni pakett on aktiivne, paketi salvestusmahu limiit ei ole ületatud ning fail või töövoog ei kustutata varem kasutaja, organisatsiooni või õiguspärase nõude tõttu.
• Paketi salvestusmaht tähendab konto või organisatsiooni aktiivselt salvestatud failide ja töövoogude kogumahtu, mitte ühe faili limiiti ega kuist ülekandemahtu.
• Üleslaadimise intentid on lühiajalised ja aeguvad teenuse seadistuse järgi vaikimisi 15 minutiga.
• E-posti ligipääsu OTP koodidel on aegumisaeg ning koodi ennast salvestatakse räsina, mitte lihttekstina.
• Sessioonidel on aegumisaeg ning neid saab tühistada. Rakenduse sessiooni vaikimisi kestus on teenuse seadistuse järgi 7 päeva.
• Arveldus-, audit- ja turvalogisid säilitatakse nii kaua, kui see on vajalik teenuse toimimiseks, vaidluste lahendamiseks, turvalisuse tagamiseks või seadusest tulenevate kohustuste täitmiseks.

11. Failide kustutamine ja taastamine

Turvalisuse ja andmekaitse eesmärgil ei taasta me kasutaja poolt lõplikult kustutatud faile. Kasutaja vastutab vajalike koopiate säilitamise eest enne faili kustutamist.

12. Rahvusvahelised kasutajad ja andmeedastus

Teenust saab kasutada Eesti, Läti, Leedu ja Belgia isikukoodidega kasutajate ning e-posti kaudu ka teiste saajatega. Kui andmeid töödeldakse või edastatakse väljapoole Euroopa Majanduspiirkonda kasutatava teenusepakkuja tõttu, tuleb kasutada asjakohaseid kaitsemeetmeid, näiteks andmetöötluslepinguid ja standardseid lepingutingimusi, kui need on nõutavad.

Securesoft OÜ rakendab mõistlikke meetmeid tagamaks, et kasutatavad teenusepakkujad ja andmetöötluse asukohad vastavad kohaldatavatele andmekaitsenõuetele.

Vajadusel kasutatakse Euroopa Komisjoni kinnitatud standardseid lepingutingimusi (SCC).

13. Kasutaja õigused

Sul on õigus küsida ligipääsu oma isikuandmetele, nõuda ebaõigete andmete parandamist, taotleda kustutamist, piirata töötlemist, esitada vastuväiteid ja taotleda andmete ülekandmist, kui see on kohaldatav.

Õiguste kasutamiseks kirjuta aadressile info@failijagaja.ee. Kui kasutad teenust organisatsiooni liikmena või oled organisatsiooni kliendi/partneri saaja, võib osa päringuid vajada kooskõlastamist selle organisatsiooniga, kes määras andmete töötlemise eesmärgi.

Vastame taotlustele üldjuhul ühe kuu jooksul alates taotluse saamisest.

Vajadusel võime identiteedi kinnitamiseks küsida lisateavet.

14. Kaebused

Kui arvad, et sinu andmeid on töödeldud õigusvastaselt, võta esmalt ühendust aadressil info@failijagaja.ee. Sul on õigus pöörduda ka Andmekaitse Inspektsiooni või oma asukohariigi pädeva andmekaitseasutuse poole.

15. Muudatused

Võime privaatsuspoliitikat muuta, kui teenus, õigusaktid või kasutatavad teenusepakkujad muutuvad. Oluliste muudatuste korral teavitame kasutajaid mõistlikul viisil.