Andmetöötlusleping (DPA)

Viimati uuendatud: 29. mai 2026

1. Pooled

Käesolev andmetöötlusleping („DPA") sõlmitakse järgmiste poolte vahel:

Costplus OÜ, Eestis registreeritud äriühing, registrijärgne asukoht Pärnu mnt 139b, 11317 Tallinn, Eesti, registrikood 16936614 („Volitatud töötleja", „meie", „meid" või „Cost+"); ning
kaupmees, kes on paigaldanud Cost+ Checkouti Shopify rakenduse või muul viisil liidestanud Cost+ Checkouti teenuse ning nõustunud meie teenustingimustega aadressil https://costplus.io/shopify-app-terms.html („Vastutav töötleja", „Kaupmees" või „teie"),

kumbki eraldi „Pool" ning ühiselt „Pooled".

Käesolev DPA moodustab osa Poolte vahel sõlmitud teenustingimustest ja allub neile. Kõigis vastuoludes käesoleva DPA ja teenustingimuste vahel isikuandmete töötlemise osas on ülimuslik käesolev DPA.

2. Mõisted

Kui ei ole teisiti määratletud, on suure algustähega mõistetel tähendus, mis on neile antud määruses (EL) 2016/679 („GDPR"). Selguse huvides:

„Isikuandmed" on GDPR artikli 4 lõike 1 tähenduses.
„Töötlemine" on GDPR artikli 4 lõike 2 tähenduses.
„Andmesubjekt" tähendab Shopify klienti või lõppkasutajat, kelle isikuandmeid käesoleva DPA alusel töödeldakse.
„Alamvolitatud töötleja" tähendab mis tahes kolmandat isikut, kelle Volitatud töötleja on kaasanud isikuandmete töötlemiseks Vastutava töötleja nimel.
„Teenused" tähendab Cost+ Checkout teenust (Shopify rakendust, seotud API-sid ja hostitud kassalehti), mida Volitatud töötleja osutab Vastutavale töötlejale teenustingimuste alusel.

3. Töötlemise ese, olemus, eesmärk ja kestus

3.1 Töötlemise ese

Volitatud töötleja töötleb vastutava töötleja klientide isikuandmeid teenuste osutamiseks. Cost+ Checkout on müügilehtri haldamise tööriist, mis suunab kaupmehe määratud kanalitest, näiteks e-posti kampaaniatest, sihtlehtedelt, sotsiaalmeedia reklaamidest või Shopify poe otselinkidelt saabuvad ostjad ühtsesse makseprotsessi ning loob pärast maksmist tellimuse kaupmehe Shopify poes.

3.2 Töötlemise olemus ja eesmärk

Volitatud töötleja töötleb isikuandmeid järgmistel eesmärkidel:

Ostja kontaktandmete ja tarneaadressi kogumine makseprotsessi käigus;
Kohaldatavate maksude ja tarnekulude arvestamine Shopify enda maksu- ja tarnekulude arvutamisteenuste kaudu;
Vastava Shopify tellimuse loomine pärast seda, kui ostja makse on sooritatud;
Maksete töötlemine Cost+ makseteenuse infrastruktuuri või Kaupmehe seadistatud makseettevõtte kaudu;
Kaupmehe Shopify halduskeskkonnas algatatud tagasimaksete, tühistamiste ja tellimuste täitmise sündmuste kajastamine kaupmehe Cost+ Checkouti seadistuses;
Vastamine andmesubjektide päringutele, mille Shopify on edastanud standardsete GDPR webhookide kaudu (customers/data_request, customers/redact, shop/redact);
Kaupmeestele analüütika pakkumine koondatud ja pseudonümiseeritud seansiandmete põhjal.

3.3 Kestus

Volitatud töötleja töötleb isikuandmeid Teenuste osutamise ajal ning säilitab selliseid andmeid allpool jaotises 9 sätestatud perioodide jooksul.

4. Isikuandmete liigid ja andmesubjektide kategooriad

4.1 Isikuandmete liigid

Ees- ja perekonnanimi;
E-posti aadress;
Telefoninumber (kui on esitatud);
Tarneaadress (tänav, linn, postiindeks, riik, valikuline aadressirida 2, maakond/osariik);
Arveaadress (samad väljad);
Tellimuse andmed, sh kaubaread, tooteidentifikaatorid, kogused, hinnad, rakendatud sooduskoodid, tellimuse kogusumma, valuuta ja täitmise olek;
Maksega seotud metaandmed (makseviisi token või viide, autoriseerimise ja hõivamise identifikaatorid) — täielikud esmased kontonumbrid (PAN) ei sisene kunagi Volitatud töötleja süsteemidesse; need tokeniseeritakse Cost+ PCI-DSS-nõuetele vastava makseinfrastruktuuri või Kaupmehe seadistatud makseettevõtte poolt.

4.2 Andmesubjektide kategooriad

Vastutava töötleja kliendid (ostjad), kes sooritavad ostu Cost+ Checkout kaudu.

5. Volitatud töötleja kohustused

Volitatud töötleja kohustub:

5.1 Dokumenteeritud juhised

Töötlema isikuandmeid üksnes Vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas isikuandmete edastamisel kolmandasse riiki või rahvusvahelisele organisatsioonile, välja arvatud juhul, kui Volitatud töötlejale kohaldatav liidu või liikmesriigi õigus seda nõuab. Sellisel juhul teavitab Volitatud töötleja Vastutavat töötlejat sellest õiguslikust nõudest enne töötlemist, välja arvatud juhul, kui see seadus keelab sellise teavitamise ülekaaluka avaliku huvi tõttu. Pooled lepivad kokku, et teenustingimused, käesolev DPA ning Vastutava töötleja poolt standardsete konfiguratsioonivalikute kaudu Teenuste kasutamine kujutavad endast dokumenteeritud juhiseid GDPR artikli 28 lõike 3 punkti a tähenduses.

5.2 Konfidentsiaalsus

Tagama, et isikuandmete töötlemiseks volitatud isikud on võtnud endale konfidentsiaalsuskohustuse või on asjakohase seadusliku konfidentsiaalsuskohustuse all.

5.3 Turvameetmed

Rakendama asjakohased tehnilised ja organisatsioonilised meetmed, et tagada riskile vastav turvalisuse tase vastavalt GDPR artiklile 32. Nende meetmete kokkuvõte on esitatud 1. lisas. Vastutav töötleja tunnistab, et 1. lisa võidakse aeg-ajalt uuendada, et kajastada Volitatud töötleja turvataseme parandusi, ning selline uuendus ei too kaasa turvalisuse taseme olulist vähenemist.

5.4 Alamvolitatud töötlejad

Kaasama alamvolitatud töötlejaid üksnes allpool jaotises 7 sätestatud tingimustel.

5.5 Abi andmesubjektide õiguste teostamisel

Arvestades töötlemise olemust, abistama Vastutavat töötlejat asjakohaste tehniliste ja organisatsiooniliste meetmetega, niivõrd kui see on võimalik, Vastutava töötleja kohustuse täitmiseks vastata GDPR III peatüki alusel andmesubjektide õiguste teostamise taotlustele.

5.6 Abi Vastutava töötleja muude kohustuste täitmisel

Abistama Vastutavat töötlejat GDPR artiklite 32–36 kohaste kohustuste täitmisel, arvestades töötlemise olemust ja Volitatud töötlejale kättesaadavat teavet.

5.7 Tagastamine või kustutamine Teenuste lõppemisel

Vastutava töötleja valikul kustutama või tagastama kõik isikuandmed Vastutavale töötlejale pärast töötlemisega seotud Teenuste osutamise lõppu ning kustutama olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab isikuandmete säilitamist. Volitatud töötleja kustutab isikuandmed 90 päeva jooksul Teenuste lõppemisest, välja arvatud juhul, kui jaotis 9 nõuab pikemat säilitamist.

5.8 Töötlemistoimingute register

Pidama kirjalikku registrit kõigi Vastutava töötleja nimel teostatud töötlemistoimingute kategooriate kohta vastavalt GDPR artikli 30 lõikele 2.

5.9 Auditid

Tegema Vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik GDPR artikli 28 täitmise tõendamiseks, ning võimaldama ja toetama auditeid, sealhulgas Vastutava töötleja või tema volitatud muu audiitori läbiviidavaid inspektsioone. Vastutav töötleja kannab kõik auditite kulud, mis ületavad Vastutavale töötlejale Teenuste kaudu juba kättesaadava standardteabe esitamist. Vastutav töötleja esitab mõistliku etteteatamise (vähemalt 30 päeva), viib auditid läbi tavapäraste tööaegade jooksul ega sega Volitatud töötleja tegevust.

6. Vastutava töötleja kohustused

Vastutav töötleja kinnitab, et:

Ta on kehtestanud GDPR artikli 6 alusel (ning vajaduse korral GDPR artikli 9 alusel) kehtiva õigusliku aluse kõigi isikuandmete jaoks, mille ta teeb Volitatud töötlejale Teenuste kaudu kättesaadavaks;
Ta on esitanud andmesubjektidele GDPR artiklite 13 ja 14 kohase nõutava läbipaistvusteabe, sealhulgas asjaolu, et kassa- ja tellimisandmete töötlemiseks kasutatakse Cost+ Checkout'i;
Ta on Cost+ Checkout'i nõuetekohaselt seadistanud (sealhulgas voogude reeglid, lubatud riigid, makseviisid ning mis tahes kohandatud skriptid või plokid), nii et Teenused töötlevad üksnes isikuandmeid, mis on vajalikud Kaupmehe seaduslikeks eesmärkideks;
Ta vastab Volitatud töötleja poolt edastatud andmesubjektide taotlustele seadusega nõutavate tähtaegade jooksul.

7. Alamvolitatud töötlejad

7.1 Üldine volitus

Vastutav töötleja annab volitatud töötlejale üldise loa kaasata teenuste osutamiseks alamvolitatud töötlejaid. Nende kehtiv nimekiri on esitatud 2. lisas ja seda uuendatakse vajaduse korral.

7.2 Muudatustest teavitamine

Volitatud töötleja teavitab vastutavat töötlejat alamvolitatud töötlejate nimekirja kavandatavatest muudatustest, sealhulgas lisamistest ja asendamistest, vähemalt 30 päeva ette ning annab talle võimaluse esitada põhjendatud vastuväiteid. Kui vastutav töötleja esitab vastuväite ja pooled ei jõua 30 päeva jooksul lahenduseni, võib vastutav töötleja mõjutatud teenuseosa omal äranägemisel lõpetada.

7.3 Kohustuste edasiandmine

Volitatud töötleja kehtestab igale alamvolitatud töötlejale lepinguga samad andmekaitsekohustused, mis on sätestatud käesolevas DPA-s, ning vastutab vastutava töötleja ees täielikult iga alamvolitatud töötleja kohustuste täitmise eest.

8. Rahvusvahelised andmeedastused

8.1 Peamine majutuskoht

Volitatud töötleja majutab teenuseid Euroopa Liidus ja töötleb isikuandmeid peamiselt EL-is/EMP-s. Mõned heakskiidetud alamvolitatud töötlejad, näiteks teatud kaardimaksete vastuvõtmise partnerid, asuvad väljaspool EMP-d. Sellisel juhul tagab volitatud töötleja andmeedastuse kaitse piisavusotsuse või jaotises 8.2 kirjeldatud lepingu tüüptingimustega ning nimetab asjaomased alamvolitatud töötlejad 2. lisas.

8.2 Andmeedastus alamvolitatud töötlejatele

Kui alamvolitatud töötleja asub väljaspool EL-i/EMP-d, tagab volitatud töötleja, et andmeedastus põhineb GDPR-i artikli 45 kohasel piisavusotsusel, Euroopa Komisjoni vastu võetud lepingu tüüptingimustel (vastavalt vajadusele moodul 2: vastutavalt töötlejalt volitatud töötlejale või moodul 3: volitatud töötlejalt volitatud töötlejale) või muul GDPR-i V peatüki kohasel kehtival andmeedastusmehhanismil.

8.3 Edasised edastused

Shopify ise tegutseb sõltumatu vastutava töötlejana seoses kliendiandmetega, mille Vastutav töötleja on oma Shopify poodi sisestanud. Volitatud töötleja poolt selliste andmete vastuvõtmine Shopifylt ning Shopify loodud tellimusandmete tagastamine Shopifyle on hõlmatud Shopify enda andmekaitsetingimustega Kaupmehega ning ei kujuta endast käesoleva DPA kohast edasist edastust.

9. Säilitamine ja kustutamine

Volitatud töötleja säilitab isikuandmeid järgmistel perioodidel:

Aktiivsed seansiandmed (pooleli olevad kassaseansid, mis ei ole lõpetatud): kustutatakse 30 päeva pärast seansi aegumist;
Lõpetatud tellimuste andmed (seansid, mille tulemusena loodi Shopify tellimus): säilitatakse 7 aastat Eesti ja enamiku EL liikmesriikide maksu- ja raamatupidamisõiguse säilitamisnõuete täitmiseks, seejärel kustutatakse;
Makse tokenid ja autoriseerimisandmed: säilitatakse aluseks oleva makseviisi säilitusperioodi jooksul (tavaliselt 7 aastat);
Logiandmed (päringulogid, webhookide kohaletoimetamise logid): säilitatakse 90 päeva, seejärel kustutatakse;
Auditi- ja turvasündmuste logid: säilitatakse 1 aasta.

Teenuste lõpetamisel kustutab või tagastab Volitatud töötleja isikuandmed vastavalt eespool jaotises 5.7 sätestatule, arvestades kohaldatavast õigusest tulenevaid säilitustähtaegu.

10. Andmeleketest teavitamine

Volitatud töötleja teavitab Vastutavat töötlejat põhjendamatu viivituseta ja igal juhul 48 tunni jooksul pärast seda, kui ta saab teadlikuks Vastutava töötleja andmeid puudutavast isikuandmete rikkumisest. Teatis sisaldab vähemalt GDPR artikli 33 lõikes 3 nõutavat teavet, niivõrd kui see on kättesaadav, ning seda täiendatakse lisateabe selgumisel.

11. Vastutus

Poolte vastutus käesoleva DPA alusel allub teenustingimuste vastutussätetele, välja arvatud et teenustingimuste mis tahes vastutuse piirang ei välista ega piira vastutust mis tahes küsimuse eest, mille puhul selline välistamine või piirang oleks kohaldatava andmekaitseõiguse alusel õigusvastane.

12. Kohaldatav õigus ja kohtualluvus

Käesolevale DPA-le kohaldatakse Eesti õigust, arvestamata selle kollisiooninorme. Pooled alluvad käesolevast DPA-st tuleneva või sellega seotud vaidluse lahendamiseks Harju Maakohtu ainupädevusele, arvestades tarbijate või andmesubjektide vaidlusi puudutavaid kohustuslikke seadusesätteid.

13. Kehtivus ja lõpetamine

Käesolev DPA jõustub päeval, mil vastutav töötleja teenuse esimest korda paigaldab või seda kasutab, ning lõpeb automaatselt teenustingimuste lõppemisel. Sätted, mis peavad oma olemuselt jääma kehtima ka pärast lepingu lõppu, sealhulgas jaotised 5.7, 9, 10 ja 12, kehtivad edasi.

14. Terviklikkus

Käesolev DPA koos teenustingimustega aadressil https://costplus.io/shopify-app-terms.html ja privaatsuspoliitikaga aadressil https://costplus.io/privacy-policy.html, kujutab endast Poolte vahelist täielikku kokkulepet käesoleva DPA eseme osas ning asendab kõik varasemad kokkulepped.

1. lisa — Tehnilised ja organisatsioonilised meetmed

Volitatud töötleja rakendab isikuandmete kaitseks järgmisi tehnilisi ja organisatsioonilisi meetmeid:

Krüpteerimine

Kõik transiidis olevad andmed on krüpteeritud TLS 1.2 või kõrgema versiooniga; sertifikaate haldab Let's Encrypt automaatse roteerimisega.
Shopify API pääsutõendid ja kolmandatest osapooltest makseettevõtete pääsuandmed on säilitamisel krüpteeritud AES-256-GCM abil. Selleks kasutatakse rakenduskihi võtmeid, mida haldab HashiCorp Vault Transit või samaväärne võtmehaldussüsteem.
Andmebaasi varukoopiad krüpteeritakse enne välisesse salvestuskohta edastamist.

Juurdepääsukontroll

Tootmissüsteemile juurdepääs on piiratud kindlaksmääratud volitatud töötajatega, kellel on isikupõhised kontod, SSH-võtmepõhine autentimine serverile juurdepääsuks ning riistvara-põhine või TOTP mitmefaktoriline autentimine administreerimisliidesele.
Rakenduse tasemel kaupmeeste paroolid on räsitud Argon2id abil mälumahukate parameetritega.
Juurdepääs isikuandmetele on logitud ja säilitatud vastavalt DPA jaotisele 9.

Taristu

Teenused on majutatud Tier-III või samaväärsetes andmekeskustes, mis asuvad Euroopa Liidus.
Loogiline eraldatus test- ja tootmiskeskkondade vahel; tootmisandmeid ei kasutata arendus- ega testikeskkondades.
Operatsioonisüsteemide, käituskeskkondade ja kolmandate osapoolte sõltuvuste regulaarne turvapaikamine.

Personal

Isikuandmetele juurdepääsu omavatel töötajatel on kirjalik konfidentsiaalsuskohustus, mis kehtib ka pärast töösuhte lõppu.
Sisseelamiskoolitus ja perioodiline turvateadlikkuse koolitus kõigile personaliliikmetele, kellel on juurdepääs isikuandmetele või tootmistaristu juurde.

Intsidentidele reageerimine

Dokumenteeritud turvaintsidentidele reageerimise kord hõlmab tuvastamist, ohjeldamist, uurimist, teavitamist (sealhulgas vastutava töötleja teavitamist 48 tunni jooksul vastavalt jaotisele 10) ja intsidenti puudutavat järelanalüüsi.
Intsidentidele reageerimise korra ja kontaktandmete ülevaatus kord kvartalis.

Andmekao ennetamine

Rakenduskihi juurdepääsupiirangud kehtivad iga kaupmehe ja seansi kaupa. Ükski kaupmees ei pääse API kaudu ligi teise kaupmehe andmetele.
Isikuandmetele juurdepääsude auditilogid säilitatakse vastavalt jaotisele 9.
Krüpteeritud varukoopiate taastamise regulaarsed testid.

Turvaline arendus

Lähtekood on majutatud privaatses hoidlas, kus kõik muudatused enne ühendamist vaadatakse kohustuslikult üle.
Automaatne sõltuvuste skannimine ja kolmandate osapoolte teekide regulaarne uuendamine.
Läbistustestimine vähemalt kord aastas pärast teenuste üldiselt kättesaadavaks muutumist.

Lisa 2 — heakskiidetud alamvolitatud töötlejad

Käesoleva DPA viimase uuendamise kuupäeva seisuga on järgmised alamvolitatud töötlejad volitatud töötlema isikuandmeid vastutava töötleja nimel:

Volitatud töötleja	Eesmärk	Asukoht	Edastusmehhanism
OVH SAS	Pilvtaristu majutus (arvutus, salvestus, võrk) ja krüpteeritud välised varukoopiad	Prantsusmaa (EL)	EMP-sisene
SMTP2GO	Tehingute ja teenusega seotud teavituskirjad	EL	EMP-sisene
Cost+ maksete taristu (Costplus OÜ)	Makse tokeniseerimine, autoriseerimine, kinnitamine ja tagasimaksmine	EL	EMP-sisene
Ginger Payments	Maksevärav ja tehingute suunamine	Holland (EL)	EMP-sisene
FinteqHub	Maksevärav ja maksete suunamise korraldamine	Küpros ja Leedu (EL)	EMP-sisene
ComplyPay	Pangandus-teenusena (BaaS) pakkuja	Taani (EL)	EMP-sisene
Rapyd	Kaardimaksete vastuvõtmine ja töötlemine	EL / Ühendkuningriik	EMP-sisene; Ühendkuningriiki edastamine EL–UK piisavusotsuse alusel
SHIFT4	Kaardimaksete vastuvõtmine ja töötlemine	EL / Ühendkuningriik	EMP-sisene; Ühendkuningriiki edastamine EL–UK piisavusotsuse alusel
Elavon	Kaardimaksete vastuvõtmine ja töötlemine	EL / Ühendkuningriik	EMP-sisene; Ühendkuningriiki edastamine EL–UK piisavusotsuse alusel
Clearhaus	Kaardimaksete vastuvõtmine ja töötlemine	Taani (EL)	EMP-sisene
Paynetics	Kaardimaksete vastuvõtmine ja e-raha väljastamine	Bulgaaria (EL)	EMP-sisene
Didit	Isikusamasuse kontroll ja KYB-, KYC- ning AML-nõuete täitmine	Ameerika Ühendriigid / Hispaania (EL)	Standardsed lepingutingimused (GDPR art. 46)

Volitatud töötleja haldab selle loendi ajakohast versiooni aadressil https://costplus.io/dpa/sub-processors ning teavitab vastutavat töötlejat kõigist lisandumistest või asendustest vastavalt käesoleva DPA jaotisele 7.2.

Andmetöötluslepingu lõpp.