Privaatsuspoliitika

Acnova Oy — Tuusula, Suomi

Käesolev privaatsuspoliitika kirjeldab, kuidas Acnova Oy töötleb isikuandmeid vastavalt Euroopa Liidu isikuandmete kaitse üldmäärusele (GDPR) ja Soome andmekaitseseadustele.

Kus meie süsteemid asuvad. Acnova rakenduse taristu ja püsivalt salvestatud rakenduse andmed (kliendikontod, tellimused, arved, üleslaaditud dokumendid ja varukoopiad) asuvad Helsingis, Soomes (EL). acnova.eu edastatakse Cloudflare'i ülemaailmse võrgu kaudu, mis toimib meie pöördproksi ja turvakihina (vt Cloudflare'i käsitlevat osa punktis 11 ja punkti 13). Lihtsas keeles ülevaade sellest, mida Soomes töödeldakse ja mida mitte, on aadressil acnova.eu/data-residency.

Võime töödelda järgmisi andmekategooriaid:

• Ees- ja perekonnanimi

• Ettevõtte nimi

• E-posti aadress

• Telefoninumber

• Tarne- ja arveldusaadress

• Tellimuse andmed

• Ostuajalugu

• Vormide või vestluse kaudu saadetud sõnumid

• Analüütikaandmed (nõusoleku alusel)

• Andmed reklaamiks Meta teenustes (kui oled andnud nõusoleku turundusele, vt punkt 4): lehtede ja toodete vaatamised, ostukorvi lisamised, vormistatud tellimused ja vormide saatmised, piksli küpsiste tunnused, IP-aadress ja brauseri andmed

• IP-aadress (veebilehe ja vormide kaitseks rämpsposti ja bottide eest, vt punktid 10 ja 11; küpsisenõusoleku logis ainult hashitud kujul)

Töötleme isikuandmeid järgmistel alustel:

• Lepingu täitmine (tellimused, tarne, maksed)

• Õiguslik kohustus (raamatupidamine ja maksuarvestus)

• Õigustatud huvi (veebisaidi turvalisus, pettuste ennetamine)

• Nõusolek (analüütika, turundus, sealhulgas Meta piksel, küpsised); saad selle igal ajal tagasi võtta veebisaidi jaluses oleva lingi „Küpsiste seaded“ kaudu

Kasutame Google Analytics 4 teenust veebisaidi kasutuse analüüsimiseks. Analüütika aktiveeritakse ainult pärast kasutaja nõusoleku saamist. Enne nõusolekut analüütikaküpsiseid ei laadita. Kasutatakse Google Consent Mode v2 mehhanismi.

Küpsisenõusoleku logisid säilitatakse 365 päeva kaitstud kujul (IP ja User-Agent hashitakse soola abil).

Teenusepakkuja:

Google Ireland Limited.

Kui oled andnud nõusoleku analüütikale, võib Acnova server ise edastada Google Analyticsile teabe tellimuse tasumise kohta (tellimuse või arve number, summa ja tooted), seotuna sinu brauseri Google Analyticsi tunnusega. Selleks võime maksmise juurde liikumisel salvestada selle tunnuse kõige rohkem 30 päevaks; see kustutatakse pärast andmete edastamist või otsust neid mitte edastada. Ilma analüütika nõusolekuta seda ei edastata. Et pärast analüütika nõusoleku tagasivõtmist ostu ei edastataks, võib nõusolekuküpsis sisaldada sinu otsuse juhuslikku numbrit, mis ei sisalda andmeid sinu kohta; sel juhul salvestatakse number küpsiste nõusoleku logisse koos otsuse endaga.

Meta piksel

Kui oled küpsiste teavitusribal sisse lülitanud valiku „Turundus“ või nõustunud kõigi küpsistega, töötab veebisaidil Meta piksel — ettevõtte Meta Platforms Ireland Limited tööriist. Kasutame seda, et hinnata oma reklaamide tõhusust Meta teenustes (näiteks Facebookis ja Instagramis) ja näidata Acnova reklaame inimestele, kes on meie veebisaiti külastanud (taasturundus).

Enne sinu nõusolekut Meta koodi ei laadita, Metale andmeid ei saadeta ja piksli küpsiseid ei seata. Kui nõusolekut ei ole, kuid sinu seadmesse on varasematest külastustest jäänud piksli küpsiseid või piksli kirjeid brauseri salvestusruumis, kustutab veebisait need.

Piksel saadab Metale järgmised sündmused:

• lehe vaatamine

• tootelehe vaatamine: avalik tootekood, toote nimetus, hind ilma käibemaksuta ja valuuta (hind ainult siis, kui see on sulle kuvatud)

• toote lisamine ostukorvi: avalik tootekood, toote nimetus, kogus, summa ilma käibemaksuta ja valuuta

• vormi edukas saatmine veebisaidil (näiteks tagasisidevorm või PRO-konto taotlus): ainult vormi liik, ilma sinu sisestatud andmeteta

• tellimuse vormistamine (kui makse on kinnitatud või arvega tasutav tellimus on loodud): toodete avalikud tootekoodid ja kogused, toodete koguarv, summa ilma käibemaksuta ja valuuta ning tellimuse või arve number — ainult sündmuse tehnilise tunnusena, et sama ostu ei arvestataks kaks korda

Iga sündmusega saab Meta muu hulgas piksli tunnuse, lehe aadressi ja selle lehe aadressi, millelt sa tulid, sündmuse aja, ekraani suuruse, küpsiste _fbp ja _fbc väärtused ning — nagu iga brauseri päringu puhul serverile — sinu IP-aadressi ja andmed brauseri kohta. Meta võib need andmed siduda sinu Meta kontoga, kui see sul on.

Sinu nime, e-posti aadressi, telefoninumbrit ega postiaadressi Metale ei saadeta: laiendatud vastavusse viimist (advanced matching) ei kasutata ja piksli automaatne andmete kogumine lehtedelt on välja lülitatud. Samuti ei saadeta Metale sisemisi viitenumbreid: ainult avalikud tootekoodid ning tellimuse või arve number.

Piksli küpsised _fbp ja _fbc säilivad sinu seadmes 90 päeva viimasest uuendamisest. Meta skript võib lisaks salvestada brauseri salvestusruumi (localStorage) domeenil acnova.eu oma tehnilisi kirjeid (multiFbc, lastExternalReferrer ja lastExternalReferrerTime), näiteks millelt veebisaidilt sa tulid (Facebook, Instagram, muu veebisait või otse) ja millal, ning andmeid Meta reklaamilingil tehtud klõpsu kohta. Meta võib need andmed saada koos piksli sündmustega. Nagu piksli küpsised, tekivad need kirjed ainult sinu nõusolekul valikule „Turundus“; kui keeldud või võtad nõusoleku tagasi, kustutab veebisait need koos küpsistega _fbp ja _fbc. Piksli küpsistest ja kirjetest ning sellest, millal piksel sündmusi ei saada, räägib täpsemalt küpsistepoliitika.

Meie veebisaidil piksli abil andmete kogumise ja nende Metale edastamise eest vastutame meie ja Meta Platforms Ireland Limited ühiselt (kaasvastutavad töötlejad, GDPR artikkel 26). Metaga sõlmitud kokkuleppe kohaselt teavitame meie sind sellest töötlemisest ja küsime sinu nõusolekut, Meta aga tagab sinu õigused nende andmete osas, mida Meta pärast edastamist säilitab. Oma õigusi saad kasutada nii meie kui ka Meta suhtes. Kokkuleppe olemus: facebook.com/legal/controller_addendum.

Meta töötleb neid andmeid edasi iseseisva vastutava töötlejana oma privaatsuspoliitika alusel: facebook.com/privacy/policy. Piksli kaudu saadud andmeid säilitab Meta oma reeglite järgi. Meta võib neid andmeid edastada väljapoole EMPd, sealhulgas USA-sse — vt punkt 13.

Õiguslik alus: GDPR artikkel 6 lõige 1 punkt a — nõusolek. Piksli küpsiste salvestamine sinu seadmesse ja nende lugemine eeldab lisaks sinu nõusolekut Soome elektroonilise side teenuste seaduse (917/2014) § 205 alusel.

Nõusoleku saad igal ajal tagasi võtta: ava veebisaidi jaluses link „Küpsiste seaded“, lülita välja valik „Turundus“ ja salvesta oma valik. Seejärel lõpetab Meta piksel kohe andmete saatmise ja seda enam ei laadita ning veebisait kustutab sinu seadmest piksli küpsised (_fbp, _fbc) ja piksli kirjed brauseri salvestusruumis. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist tehtud töötlemise seaduslikkust.

Maksete töötlemiseks kasutatakse Stripe’i ja Paytraili. Maksepakkujad tegutsevad makseteabe osas iseseisvate vastutavate töötlejatena.

Sinu tellimuse kohaletoimetamiseks edastame saaja andmed valitud vedajale: nimi, tarneaadress või pakiautomaat, e-post ja telefon.

Kellele. Kasutame vedajaid Shipit Oy Ab, PostNord Oy. Nad tegutsevad meie nimel isikuandmete volitatud töötlejana ja kasutavad andmeid ainult kohaletoimetamiseks ja selle teavitusteks (nt sms «pakk on väljastuspunktis»).

Alus. GDPR art 6 lg 1 p b — töötlemine on vajalik tellimuslepingu täitmiseks. Eraldi nõusolekut ei ole vaja.

Kui kaua. Kontaktandmed (e-post, telefon) kustuvad tellimusest, kui palud oma konto kustutamist. Saaja nimi ja tarneaadress säilivad raamatupidamise seadusjärgse säilitustähtaja jooksul, kuna need on osa täidetud tellimuse tõendiahelast (GDPR art 17 lg 3 p b).

Teenuse- ja tehingupõhised teated. Tellimuse kinnitused, pakkumised (proforma-arved), arved, maksekinnitused ja kreeditarved saadame teile lepingu täitmise alusel (isikuandmete kaitse üldmääruse artikkel 6 lõige 1 punkt b) ning meil lasuvate juriidiliste kohustuste täitmiseks, sealhulgas raamatupidamise eesmärgil (artikkel 6 lõige 1 punkt c). Tegemist ei ole otseturundusega, need teated ei eelda eraldi nõusolekut ning neid ei saa tellimuse kehtivuse ajal välja lülitada, kuna need on tellimuse täitmise lahutamatu osa.

Turundusteated. Uudiskirju ja pakkumisi ning meeldetuletusi pooleli jäänud tellimuse kohta (lõpetamata ostukorv) saadame ainult tellimuse vormistamisel antud nõusoleku alusel või Soome elektroonilise side teenuste seaduse (laki sähköisen viestinnän palveluista 917/2014) § 200 kohaselt olemasolevatele klientidele suunatud otseturundusena. Iga turundussõnumi saab ühe klikiga tellimusest loobuda ning pärast loobumist me teile rohkem turundusteateid ei saada. Turundusteated edastatakse Google Workspace'i kaudu.

Kui teie tellimus on kohale toimetatud, võime teid samuti tänada ja paluda teil jätta oma ostu kohta arvustus (sealhulgas meie arvustuspartneri Trustpiloti kaudu). Need kirjad saadetakse samal alusel — otseturundus olemasolevatele klientidele (§ 200) — ja need sisaldavad, nagu kõik turundussõnumid, ühe klõpsuga tellimusest loobumise linki.

Arvustuste kogumiseks kasutame teenust Trustpilot (Trustpilot A/S, Taani, EL). Meie ülesandel edastatakse sellele teie nimi, e-posti aadress ja tellimuse sisu, et saata teile kutse arvustuse jätmiseks. Trustpilot tegutseb andmete volitatud töötlejana andmetöötluslepingu alusel; vastutav töötleja on jätkuvalt Acnova Oy.

Suhtlemiseks kasutame WhatsApp Business API-t (Meta) ja Telegrami. Mõlemas kanalis vastab sulle AI-assistent Hanna — vt punkt 9. Andmeid võidakse edastada väljapoole EMP-d, vt punkt 13.

Kui vestled meie veebilehe vestlusaknas ning WhatsAppis ja Telegramis, vestled sa Hannaga — Acnova Oy AI-assistendiga. Tema ei ole inimene. Ütleme seda kohe esimeses sõnumis ja vestluse päises. Igal ajal võid paluda inimest — piisab, kui ütled seda: vestlus antakse üle inimesele ja Hanna taandub.

Mida töödeldakse. Sinu sõnumite tekst ja sama vestluse varasemad sõnumid; failid, mille ise lisad; kasutajaliidese keel ja leht, kust kirjutasid. Nimi, e-post ja vajadusel telefon — ainult see, mida ise ütled.

Milleks ja millisel alusel. Ainult selleks, et vastata sinu küsimusele ja lahendada sinu pöördumine. Alus on GDPR art 6 lg 1 p b — sammud sinu enda taotlusel enne lepingut. Eraldi nõusolekut selleks ei ole vaja ega küsita. Uudiskiri on eraldi teema: seda saadame ainult eraldi antud nõusoleku alusel, mida kinnitatakse e-kirjas oleva lingiga.

Kes veel vestlust näeb. Selleks, et Hanna saaks vastata, edastatakse vestluse tekst meie tehisintellekti mudeli pakkujale — Anthropic PBC-le, kes tegutseb meie volitatud alltöötlejana andmetöötluslepingu alusel. Vastutavaks töötlejaks jääb Acnova Oy. Töötlemine toimub USA-s; edastuse aluseks on Euroopa Komisjoni standardsed lepingutingimused (SCC) — täpsemalt punktis 13. Pakkuja tingimuste kohaselt ei kasutata sinu vestlust tema mudelite treenimiseks.

Mida mudel kunagi ei näe. Tervist puudutavaid pöördumisi — nahareaktsioon, põletus, lööve, arsti poole pöördumine — välisele mudelile üldse ei edastata: sellise pöördumise võtab kohe üle inimene. Tegu on eriliiki isikuandmetega (GDPR art 9) ja otsustasime neid mitte kunagi, isegi mitte hetkeks, välja saata.

Kui kaua säilitame. Säilitame vestlust nii kaua, kui seda on vaja sinu pöördumise lahendamiseks. Kui vestlusest kasvab välja tellimus või arve, kehtivad neile andmetele punkti 12 tähtajad.

Kuidas kustutada. Kirjuta aadressil [email protected] — kustutame sinu kontaktandmed ja eemaldame need vestluse tekstist põhjendamatu viivituseta, igal juhul kuu aja jooksul (GDPR art 12 lg 3). Vestlus ise võib jääda alles anonümiseeritud kujul — ilma nime, e-posti ja telefonita. Säilitame ka tõendi selle kohta, mida sulle näidati ja mida vastasid (GDPR art 7 lg 1): see on meie kohustus ning sinu kontaktandmed on sellest eemaldatud.

Kui sul on kliendikonto, saad sama teha ise: jaotisest "Minu andmed" näed täpselt, mis sinu kohta on, mis kuupäevani peame seda säilitama, ning sealt leiab kustutamistaotluse nupu.

Vormide kaitseks ei kasuta me Google reCAPTCHA-t ega teiste teenusepakkujate CAPTCHA-sid ega laadi selleks kolmandate osapoolte skripte: kontroll toimub meie enda serverites. Sellest sõltumata läbib kogu veebilehe liiklus Cloudflare'i, mis kaitseb veebilehte pahatahtlike bottide eest ja võib mõnel juhul kuvada turvakontrolli (vt punkt 11 ja küpsistepoliitika).

Vormide kaitseks kasutame olenevalt vormist:

• peidetud välja, mida inimene ei näe ja jätab tühjaks

• allkirjastatud ajatemplit, mille server väljastab vormi avamisel (selles ei ole isikuandmeid): selle abil kontrollitakse, et vormi ei saadetud kiiremini, kui inimene jõuaks selle täita

• ühelt IP-aadressilt tehtavate saatmiste arvu piiramist: praegu kuni 8 saatmist 10 minuti jooksul

Sinu isikuandmetest kasutatakse selle kaitse jaoks ainult IP-aadressi: selle järgi loetakse saatmisi. Rämpspostina tagasi lükatud vormi ei salvestata; andmed tagasilükkamise kohta, sealhulgas IP-aadress, võidakse kanda meie tehnilisse logisse. Töötlemise õiguslik alus on meie õigustatud huvi (GDPR art 6 lg 1 p f) veebilehe turvalisuse tagamisel.

Saatmiste loendurit säilitatakse vaid lühikest aega. Osa vormide puhul ei salvestata loendurisse IP-aadressi ennast, vaid selle soola abil hashitud väärtus, ja üle ööpäeva vanused kirjed kustutatakse iga päev automaatselt. Ülejäänud vormide puhul peetakse loendurit ajutises mälus ja see kustub ise 10 minuti pärast.

Mõnel veebisaidi lehel — näiteks avalehel, kontaktilehel ning lehtedel „Kättesaamispunktid“ ja „Leia spetsialist“ — on manustatud Google Mapsi kaardid. Kaart laaditakse ainult siis, kui oled küpsiste teavitusribal sisse lülitanud valiku „Kaardid (Google Maps)“ või nõustunud kõigi küpsistega, või ühekordselt, kui vajutad konkreetsel lehel nuppu „Näita kaarti“; enne seda ei pöördu sinu brauser kaardi pärast Google'i poole. Kaardi laadimisel saab Google sinu IP-aadressi, andmed sinu brauseri ja seadme kohta ning selle lehe aadressi, kuhu kaart on manustatud, ning võib oma domeenidel seada või lugeda oma küpsiseid. Õiguslik alus on sinu nõusolek (GDPR art 6 lg 1 p a). Täpsemalt räägib sellest küpsistepoliitika.

Cloudflare'i kasutamine (sisu edastamine ja veebilehe kaitse)

Meie veebileht kasutab Cloudflare, Inc-i (101 Townsend Street, San Francisco, CA 94107, Ameerika Ühendriigid) teenust pöördvõrguserverina, sisuedastusvõrguna (CDN), veebirakenduse tulemüürina (WAF) ning DDoS-rünnakute ja pahatahtlike robotite tõrjeks. Kogu liiklus sinu seadme ja meie veebilehe vahel läbib Cloudflare'i võrku.

Alltöötlejana töötleb Cloudflare külastaja IP-aadressi, päringu metaandmeid (sh lehe aadress, brauseri tüüp ja versioon, viitaja ja päringu päised) ning Cloudflare'i tehnilisi küpsiseid. Kuna Cloudflare toimib pöördvõrguserverina ja lõpetab krüpteeritud (TLS) ühenduse, on liikluse sisu töötlemise hetkel Cloudflare'ile tehniliselt kättesaadav. Töötlemise õiguslik alus on meie õigustatud huvi (GDPR art 6 lg 1 p f) veebilehe turvalisuse, kättesaadavuse ja jõudluse tagamisel.

Andmeid töödeldakse Cloudflare'i ülemaailmses võrgus, sealhulgas USA-s, mis on isikuandmete edastamine väljapoole EMP-d. Edastamine toimub Euroopa Komisjoni tüüptingimuste (SCC) alusel, mis on osa Cloudflare'i andmetöötluslisast (DPA), koos täiendavate kaitsemeetmetega; lisaks on Cloudflare, Inc. sertifitseeritud EU-U.S. Data Privacy Framework programmi. Lisateave: https://www.cloudflare.com/cloudflare-customer-dpa/ ; https://www.cloudflare.com/gdpr/subprocessors/ ; https://www.cloudflare.com/privacypolicy/ .

Raamatupidamisandmed — 10 aastat. Säilitame tellimusi, arveid, makseid ja nendega seotud dokumente 10 aastat selle majandusaasta lõpust, mil dokument tekkis. Kumbki kontserni ettevõte on vastutav töötleja oma klientide dokumentide osas: Acnova Oy oma (Soome ja teiste) klientide arvete ja tellimuste osas, YDE Areal Est OÜ oma Eesti klientide arvete ja tellimuste osas. Mõlema ettevõtte dokumentidele kehtib sama säilitustähtaeg.

Seadus nõuab vähem: Soome raamatupidamisseadus (kirjanpitolaki 1336/1997, 2. ptk § 10) nõuab raamatupidamisregistritele 10 aastat ja algdokumentidele 6 aastat; Eesti raamatupidamise seadus § 12 nõuab vähemalt 7 aastat. Valisime teadlikult ühe ühise, pikema tähtaja — nii on lihtsam ja me ei kustuta kunagi seda, mida oleme kohustatud säilitama.

Tähtaja kestel ei saa me neid andmeid taotluse alusel kustutada — see tuleneb otse GDPR art 17 lg 3 punktist b (töötlemine on vajalik meie juriidilise kohustuse täitmiseks). Küll aga piiratakse nende töötlemist (GDPR art 18): sellised kirjed jäetakse välja turundusest, analüütikast ja soovitustest ning püsivad ainult seaduse tõttu. Tähtaja möödudes kustutatakse need tavakorras. Täpse kuupäeva oma andmete kohta näed ise kliendikonto jaotisest "Minu andmed".

Ülejäänu. Turundusandmed — kuni nõusoleku tagasivõtmiseni. Küpsiste nõusoleku logid — 365 päeva. Vestlused chatis — vt punkt 9.

Veebisaidi tehnilised andmed. Küpsiste nõusoleku logides säilitatakse IP-aadressi ja brauseri andmeid ainult hashitud kujul; üle 365 päeva vanused kirjed kustutatakse iga päev automaatselt. Ka vormide saatmiste loenduri (punkt 10) üle ööpäeva vanused kirjed kustutatakse iga päev automaatselt ning osa vormide puhul kustub kirje ise 10 minuti pärast. Meta piksli küpsised (_fbp, _fbc) säilivad sinu seadmes 90 päeva viimasest uuendamisest; piksli kaudu saadud andmeid säilitab Meta oma reeglite järgi (punkt 4).

Osa meie teenusepakkujatest töötleb andmeid väljaspool EMPd. Nimetame nad otse, et teaksid, kellest jutt käib:

— Anthropic PBC (USA) — tehisintellekti mudel, millel assistent Hanna töötab. Edastatakse vestluse tekst ja sinu enda lisatud failid (punkt 9). — Cloudflare, Inc. (USA) — veebilehe kaitse ja edastus. Mida täpselt edastatakse ja millisel alusel, on kirjeldatud punktis 11. — WhatsApp / Meta — vestlused WhatsApp-kanalis (punkt 8). — Meta Platforms Ireland Limited / Meta Platforms, Inc. (USA) — Meta piksel, kui oled andnud nõusoleku turundusele (punkt 4). Meta Platforms Ireland Limited edastab iseseisva vastutava töötlejana andmed ettevõttele Meta Platforms, Inc. USA-s; Meta andmetel põhineb see edastamine EU-U.S. Data Privacy Frameworkil ja standardsetel lepingutingimustel (SCC). — Google Ireland Limited — analüütika, e-posti teenus ja kaardid (punktid 4, 7, 11); Google'i kontserni siseselt võidakse andmeid töödelda väljaspool EMPd.

Edastuse alus: Euroopa Komisjoni standardsed lepingutingimused (SCC), mis on lisatud teenusepakkujatega sõlmitud andmetöötluslepingutesse; kohaldatavatel juhtudel kehtib täiendavalt vastava pakkuja sertifitseering EU-U.S. Data Privacy Framework programmis.

Rakendatud kaitsemeetmete koopiat (edastuse lepingutingimusi) saad meilt küsida aadressil [email protected] — oleme kohustatud selle esitama (GDPR art 13 lg 1 p f ja art 15 lg 2).

See ei kehti piksliga seotud andmete edastamise kohta Meta kontserni sees: seda teeb Meta ise iseseisva vastutava töötlejana ja rakendab ise kaitsemeetmeid, mistõttu meil nende koopiaid ei ole. Teave nende kohta on Meta privaatsuspoliitikas: facebook.com/privacy/policy.

Teil on õigus:

• Saada juurdepääs oma andmetele

• Nõuda parandamist

• Nõuda kustutamist

• Piirata töötlemist

• Võtta nõusolek tagasi

• Esitada kaebus Soome andmekaitse ombudsmanile

Acnova Oy

Email:

[email protected]

Telefon:

+358 9 424 513 15