1. Rakenduse haldaja ja kontakt
Rakendus: Estonian Accounting Bridge.
Haldaja: RoofTec OÜ (registrikood 12871510).
Andmekaitsega seotud päringud: richard@rooftec.ee.
Rakendus on mõeldud piiratud, haldaja poolt kontrollitavale kasutajaskonnale. See ei ole avalik meili- ega raamatupidamisteenus. Kui töödeldakse teiste ettevõtete või isikute andmeid, määratakse vastutava ja volitatud töötleja rollid vastavalt konkreetsele töösuhtele ja andmetöötlusele.
2. Milliseid Google'i andmeid rakendus saab?
Google OAuthi kaudu küsitakse Gmaili ainult lugemisõigust (https://www.googleapis.com/auth/gmail.readonly). See õigus võib võimaldada juurdepääsu Gmaili kirjadele, metaandmetele, manustele ja lõimedele; see ei võimalda kirjade saatmist, muutmist ega kustutamist.
Praegu toimuv töötlemine: rakendus tuvastab konto e-posti aadressi Gmaili users.getProfile päringuga ning kontrollib juurdepääsuloa toimimist. OAuthi värskendustoken salvestatakse eraldi kaitstud saladusena Google Cloud Secret Manageris. Haldusliidese ligipääs on piiratud ning veebiteenuste turvalogidesse võib jääda tehnilist infot (näiteks päringute aeg, võrguaadress ja veakood).
3. Andmete kasutamise eesmärk
- Konto ühendamine: kontrollida, et kasutaja on andnud ühendamiseks loa ja ühendatud postkast on oodatud konto.
- Turvalisus: vältida lubamatut juurdepääsu, hallata autentimist, tuvastada süsteemivigu ja kaitsta ühendusandmeid.
- Raamatupidamise töövood tulevikus: kui need eraldi aktiveeritakse, võib rakendus otsida ja töödelda raamatupidamisega seotud e-kirju ning dokumente. Enne aktiveerimist täpsustatakse vajalik andmete ulatus, säilitamine, andmesaajad ja õiguslik alus.
Gmaili teavet ei kasutata reklaamimiseks, kasutajaprofiilide müügiks, krediidivõimelisuse hindamiseks ega üldotstarbeliste tehisintellektimudelite treenimiseks. Praegu ei saadeta Gmaili kirjade sisu AI-teenustele.
4. Õiguslik alus ja kasutaja kontroll
Konto ühendamise algatab ja kinnitab Google'i konto omanik OAuthi nõusolekuekraanil. See on tehniline volitus Gmaili API kasutamiseks ega asenda isikuandmete töötlemisel nõutavat õiguslikku alust. Rakenduse turvalisuse ja haldamisega seotud andmeid töödeldakse asjakohasel juhul õigustatud huvi alusel; konkreetsete raamatupidamisdokumentide töötlemise õiguslik alus määratakse enne vastava funktsiooni kasutuselevõttu (näiteks seadusest tulenev kohustus).
Kasutaja saab Google'i antud ligipääsu tühistada Google'i konto ühenduste lehel. Rakenduse juurde salvestatud loa ja seotud andmete kustutamist saab taotleda haldajalt.
5. Säilitamine ja turvalisus
OAuthi värskendustokenid salvestatakse Google Cloud Secret Manageris eraldi salajaste versioonidena, piiratud teenusekontode õigustega. Neid ei lisata avalikku veebilehte ega lähtekoodi. Konto ühenduse kinnitamiseks kasutatakse kaitstud haldusliidest ja Google'i autentimisteenuseid.
Juurdepääsutokenid ja vajalikud kontoühenduse andmed säilitatakse kuni ühenduse lõpetamiseni, kustutamistaotluse täitmiseni või õigusliku säilitamiskohustuse lõpuni, kui see on kohaldatav. Google Cloudi tavaliste rakenduselogide praegune vaikimisi säilitusaeg on 30 päeva; kohustuslike auditi- ja teenusepakkuja logide säilitus võib erineda. Kui hiljem aktiveeritakse arvete import, avaldatakse enne seda dokumentide säilitamise kord.
6. Andmete edastamine ja teenusepakkujad
Rakendus kasutab Google'i teenuseid, sealhulgas Gmail API-t ja Google Cloudi taristut (näiteks Cloud Run ja Secret Manager). Google võib töötlemisel tegutseda asjaomase teenuse tingimuste kohaselt teenusepakkujana. Google'i andmeid ei müüda ega edastata reklaamiplatvormidele või andmevahendajatele. Muid edastusi tehakse ainult kasutajale nähtavate funktsioonide pakkumiseks, turbe tagamiseks või seadusest tuleneva kohustuse korral ning nõutava õigusliku aluse olemasolul.
Kui tulevikus kasutatakse raamatupidamise töötlemiseks täiendavaid teenusepakkujaid või AI-liideseid, avaldatakse andmesaajad ja töötlemise eesmärk enne sellise töötluse käivitamist.
Avalike teabelehtede majutus: käesolevad tutvustus-, privaatsuspoliitika- ja kasutustingimuste lehed asuvad Cloudflare Pagesis. Nende avamisel võib Cloudflare teenuse toimimiseks ja turvalisuse tagamiseks töödelda veebipäringute tehnilisi andmeid (nt IP-aadress, päringu aeg, veebilehitseja teave). Avalikud lehed ei saa ühendatud Gmaili kirjade sisu, manuseid ega OAuthi tokeneid ega laadi sisse meie lisatud analüütika- või reklaamiskripte.
7. Google API Limited Use nõuded
Rakenduse Google API kaudu saadud andmete kasutamine järgib Google API Services User Data Policy tingimusi, sealhulgas Limited Use nõudeid. Gmaili andmeid kasutatakse vaid kirjeldatud kasutajale nähtavate funktsioonide pakkumiseks või parandamiseks; inimeste juurdepääs e-kirjade sisule on piiratud Google'i poliitikas lubatud olukordadega.
8. Andmesubjekti õigused
Kui isikuandmete kaitse üldmäärus (GDPR) on kohaldatav, võib inimene vastavalt seaduses toodud tingimustele taotleda oma andmetega tutvumist, ebatäpsuste parandamist, kustutamist või töötlemise piiramist ning esitada vastuväite töötlemisele. Vastava taotluse saab saata aadressile richard@rooftec.ee. Samuti võib pöörduda Andmekaitse Inspektsiooni poole aadressil aki.ee.
9. Muudatused
Poliitikat uuendatakse, kui muutuvad rakenduse funktsioonid, andmekasutus või õiguslikud nõuded. Enne Gmaili andmete senisest erineval eesmärgil kasutamist teavitatakse kasutajaid ning vajaduse korral küsitakse uus nõusolek.