1. ÜLEVAADE

Isikuandmete vastutav töötleja Picapac OÜ (äriregistri kood 12670875), kuulub Omniva kontserni, mille emaettevõte on AS Eesti Post ning teised tütarettevõtted Finbite OÜ, Leedus Omniva LT UAB ja Lätis Omniva SIA.

Käesolevaga esitame isikuandmete kaitse üldmääruse (IKÜM) artiklite 12-14 kohaselt nõutud teabe selle kohta, kuidas Picapac kliendi isikuandmeid töötleb. Teave kehtib füüsiliste isikute isikuandmete kohta, sh juriidiliste isikute ja asutustega seotud inimeste kohta, kuid mitte äriühingute või asutuste muude andmete kohta.

Kliendiandmete töötlemine toimub kooskõlas isikuandmete kaitse seadusega, isikuandmete kaitse üldmäärusega ja muude õigusaktidega, konkreetse kliendiga sõlmitava või sõlmitud lepinguga, sh konkreetsele teenusele kohalduvate tüüptingimustega.

Picapac-il on õigus käesolevat ülevaadet ühepoolselt muuta, teavitades sellest klienti kas iseteeninduses, e-kirjaga, oma kodulehel, sotsiaalmeedias või muul viisil.

Picapac tagab kohalduva õiguse raames kliendiandmete konfidentsiaalsuse ja kliendiandmete töötlemise seaduslikkuse ning rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid kliendiandmete kaitsmiseks loata juurdepääsu, ebaseadusliku töötlemise või avalikustamise, juhusliku kaotsimineku, muudatuste või hävitamise eest.

2. MÕISTED

Andmesubjekt on füüsiline isik ehk inimene, kelle kohta on Picapac-il andmeid, millega on võimalik isik tuvastada. Andmesubjektideks on võimalikud tulevased, olemasolevad ja endised kliendid, esindajad, koostööpartnerite esindajad, päringute esitajad.

Isikuandmed on mistahes andmed tuvastatud või tuvastatava inimese kohta, sõltumata sellest, millisel kujul või millises vormis need andmed on.

Klient käesolevate põhimõtete kontekstis on iga füüsiline või juriidiline isik, kes kasutab või on avaldanud soovi kasutada Picapac-i poolt osutatavaid või vahendatavaid teenuseid, kelle kasuks on teenuseleping sõlmitud, kes on muul viisil seotud mistahes teenuse kasutamise või kasutajaga või kellel on Picapac-iga mistahes muu suhe (v.a töösuhe või tööle kandideerimine). 

Töötlemine on igasugune kliendiandmetega tehtav toiming (sh kogumine, salvestamine, säilitamine, muutmine, ligipääsu andmine, kustutamine, päringute tegemine, edastamine, korrastamine, kasutamine, levitamine jne).

Ülejäänud mõistetel, mida käesolevas dokumendis kasutatakse ning mis seonduvad isikuandmete töötlemisega, on sama tähendus nagu neile on antud IKÜM-is. 

3. KLIENDIANDMETE TÖÖTLEMISE EESMÄRGID

Picapac OÜ üürib pakiautomaate ning pakub klientidele sellega seoses iseteeninduskeskkonda (infoühiskonnateenus), mille kaudu kliendid saavad esitada hallata oma tellimusi ja tasuda arveid.

Lisaks lepingu ettevalmistamiseks ja otseselt teenuse osutamiseks hädavajalikule andmetöötlusele töötleme andmeid ka järgmistel eesmärkidel:

• veebilehel kasutame veebilehe toimimiseks vajalikke (funktsionaalseid) küpsised. Kui veebilehel kasutame lisaks muid küpsiseid, teavitame sellest veebilehel eraldi, võttes kliendilt selleks vajaliku nõusoleku. Rohkem infot küpsiste kasutamise kohta leiate https://picapac.com/et/cookie-policy/;
• klient helistab meile või meie töötaja helistab kliendile, kõne salvestatakse;
• klient kirjutab meile e-posti teel või sotsiaalmeedia kaudu; pöördumine ja selle lahenduskäik salvestatakse kliendihaldusprogrammis;
• saadame klientidele soovi korral meie uudiskirja;
• teeme klientide hulgas tagasisideküsitlusi, et paremini mõista rahulolu meie tegevusega ja klientide ootusi;
• korraldame kampaaniaid (sh koostöös teiste partneritega) ja tarbijamänge ning avaldame võitjaid;
• analüüsime oma ärikliendiportfelli, tuvastamaks, milliseid teenused võiksid meie äriklientidele veel kasulikud olla;
• suuname reklaami, sh sotsiaalmeedias;
• tutvustame Picapac-i tegevust ning suhtleme sotsiaalmeedia kaudu sotsiaalmeedia kasutajatega;
• järelmaksu võimalust sisaldavate teenuste puhul hindame ärikliendi krediidivõimelisust ning äripartneri usaldusväärsust;
• arvehaldus, raamatupidamine, võlgade sissenõudmine;
• säilitame teenusega seotud andmed tehingust tulenevate nõuete aegumistähtaja jooksul, et lahendada võimalikke tekkivaid nõudeid;
• lahendame esitatud pretensioone;
• esitame ise kahjuhüvitisnõudeid oma partneritele ning kahju tekitajatele (näiteks pakiautomaadi lõhkumise korral), nõuame sisse võlgu oma lepingupartneritelt ja klientidelt, edastame ärikliendi võlaandmed maksehäireregistrile;
• kontserni tasandil analüüsib AS Eesti Post igakülgselt kontserni äritegevust nii äriklientide kui ka tegevuste lõikes: mh näiteks osutatud teenuste maht, teenuste osutamise kiirus ja kvaliteet, äriklientuuri maht ja profiil, vead ja intsidendid, kahjuhüvitised, finantsanalüüs (nt kulud, tulud, tasuvus), riskianalüüs (nt tururiskid, likviidsus, kasumi-, krediidi-, kapitali-, finantseerimisrisk, ettenägematud kulud) ja koostame prognoose;
• töötleme andmeid seadustega nõutud juhtudel – vt täpsemalt punktist 6;
• haldame ja korrastame (parandame, täiendame, kustutame) kliendiandmebaasi.

4. ANDMESUBJEKTIDE KATEGOORIAD JA ISIKUANDMETE ALLIKAD

4.1. Picapac kogub ja töötleb järgmiste füüsiliste isikute andmeid:

• teenuse kasutajad ja kolmandad isikud, kelle kasuks leping on sõlmitud (pakiautomaadi lisakasutajad);
• seaduslikud ja volitatud esindajad;
• teenuse kohta infot otsivad või teenust kasutada soovivad inimesed (nt inimene külastab Picapac-i kodulehte, helistab ning küsib teenuse hindade kohta);
• Picapac-i juriidilistest isikutest klientide (äriklient) ja Picapac-ile teenuseid osutavate lepingupartneritega seotud inimesed, näiteks aktsionärid, osanikud, juhatuse liikmed, ettevõtte esindajad ja kontaktisikud, muud töötajad, tegelikud kasusaajad;
• kahju tekitajad, õigusrikkujad ja kannatanud;
• Picapac-iga suhtlevate riigiasutuste esindajad;
• Picapac-i sotsiaalmeediakontode jälgijad;
• uudiskirja tellijad.

4.2.        Picapac kogub isikuandmeid valdavalt teenuse tellijalt endalt (pakiautomaadi üürnikult, pretensiooni esitajalt jne). Lisakasutajate andmed edastab Picapac-ile pakiautomaadi üürnik.

Avalikest allikatest kogume isikuandmeid äriklientide ja äripartneritega seoses – äriregister, kohtulahendite register, karistusregister, rahvusvahelise sanktsiooni subjektide nimekiri.

Kolmandatelt isikutelt – nt maksehäireregistri pidajalt, riigiasutustelt (juhul, kui nad esitavad meile päringuid).

5. TÖÖDELDAVATE KLIENDIANDMETE LIIGI

Isikuandmete kaitse üldmääruse artiklite 13 ja 14 kohaselt toome välja, milliseid isikuandmete liike me oma eelpoolkirjeldatud tegevuste käigus võime töödelda. Vajadusel esitame lisateenuse tingimustes või andmete kogumisel (nt küpsiste nõusoleku võtmisel, kampaaniamängu juures) täpsema ülevaate.

Andmed iseteeninduskeskkonnas: nimi, kasutajanimi ja salasõna, (v.a kolmanda osapoole sisselogimisrakenduse kaudu sisenedes), kliendi staatuse alguskuupäev, arveldusaadress, tarneaadress, e-postiaadress, telefoninumber, pakiautomaadi lisakasutajate telefoninumbrid; andmed tarbitud teenuse ja maksete kohta: tarbitud teenus (põhiteenusena pakiautomaadi üürimine, kuid võib lisanduda muid lisateenuseid), teenuse maksumus, teenuse eest tasumise andmed; viimase tellimuse kuupäev, järgmine maksekuupäev, arve, makseviis, Stripe kliendi ID (krediitkaardiga tasumiseks sisestab klient iseteeninduskeskkonnas krediitkaardi numbri, kehtivusaja lõpu ja turvakoodi Stripe makseteenuse aknasse, Picapac OÜ neid andmeid ei näe);

Veebilehe kasutamise teave: IP-aadress ja muud tehnilised andmed, nagu brauseri tüüp, unikaalne seadme tunnus, keele-eelistus, viitav veebileht, juurdepääsu kuupäev ja kellaaeg, operatsioonisüsteem ja mobiilsidevõrgu teave;

Arve maksekorraldusega tasumise andmed: arve tasuja pangakonto number ja nimi, viitenumber, summa, kuupäev, makse selgitus;

Pakiautomaadi kasutuslogi: pakiautomaadi IMEI-kood, SIM-kaardi number, pakiautomaadi kaane avamisaeg (kuupäev, kellaaeg), pakiautomaadi staatus (kas avatud, st tühi), pakiautomaadi lahtri kaane sulgemisaeg (kuupäev, kellaaeg).

Suhtlusandmed ja salvestised: suhtluskeel, kõnesalvestus, kui klient suhtleb Picapac-iga telefoni teel, kirjaliku suhtluse sisu e-posti ning teiste suhtluskeskkondade kaudu, nt sotsiaalmeedia;

Sotsiaalmeedia ja kolmanda osapoole sisselogimisrakendused: kasutajanimi, sisselogimisrakendusega vahetatav identifitseerimiskood;

Andmed kliendi eelistuste ja rahulolu kohta: kliendi rahuloluküsitluste vastused;

Tarbijamängudes ja kampaaniates osalemisega seotud andmed: osalemisega seotud isikuandmete töötlemise nõusolekud, mängu või kampaania sisuga seotud andmed, võidetud auhinnad;

Nõusolekud ja keelud: Uudiskirjade ja reklaampakkumiste nõusolekud ja keelud; muud isikuandmete töötlemise nõusolekud, kui andmete töötlemine põhineb nõusolekul;

Võlaandmed ja kahju tekitamise andmed: kliendi võlg Picapac ees, andmed lepingurikkumiste kohta, Picapac tekitatud kahju andmed (kahju põhjustaja, põhjustamise asjaolud, summa, menetluse käigus tekkivad andmed), pakiautomaadi varguse või rüüstamise juhtumitega seotud andmed;

Seadusest tuleneva kohustuse täitmisel kogutud või saadud andmed: nt uurimisorganite, kohtu järelpärimistest tulenevad andmed, rahvusvahelise sanktsiooni subjektiks oleku andmed.  

Seadusliku või volitatud esindaja andmed: esindusõigust tõendav dokument, esindaja nimi, isikukood, allkiri, esindusõiguse ulatuse andmed.

6. KLIENDIANDMETE TÖÖTLEMISE ÕIGUSLIKUD ALUSED 

• Teenuse osutamiseks ehk lepingu täitmiseks (IKÜM art 6 lg 1 p b);
• Lepingu ettevalmistamisel (IKÜM art 6 lg 1 p b);
• Inimese enda nõusolekul (IKÜM art 6 lg 1 p a) – uudiskirjad ja reklaam e-kirja või SMS teel, küpsised veebilehel, andmete edastamiseks kolmanda osapoole sisselogimisrakendusele, kampaaniamängud (sh mängus andmete edastamine kampaanias osalevale partnerile). Pange tähele, et teil on õigus antud nõusolek igal ajal tagasi võtta (vt õiguste kohta täpsemalt punkt 11 all);
• Seaduse täitmiseks (IKÜM art 6 lg 1 p c):
  • raamatupidamise seaduse alusel tehingute ja maksete dokumenteerimine ja säilitamine;
  • riigiasutuste seaduslikele päringutele vastamine (nt kui politsei nõuab andmeid);
  • auditeerimine äriseadustiku alusel;
  • rahvusvahelise sanktsiooni seaduse kohaselt rahvusvahelise sanktsiooni kontrollimine;
  • isikuandmete kaitse üldmääruse alusel andmesubjektide nõuete lahendamine, andmekaitsealaste rikkumiste menetlemine, andmekaitsespetsialisti poolt andmetöötluse kontrollimine.
• Õigustatud huvi alusel (IKÜM art 6 lg 1 p f). Selleks, et teenus saaks kiiresti, mugavalt, õigeaegselt ja võimalikult soodsalt osutatud, peab ettevõtte tegema palju analüütilist ja korraldavat tööd nö taustal. Kuigi kogu selline tegevus on täielikult orienteeritud teenuste osutamisele, ei mahu see eelpoolviidatud lepingu täitmise punkti alla. Õiguslikult defineeritakse see siis ettevõtte õigustatud huvidena. Meie õigustatud huvid:
  • Picapac-i teenuste pakkumiseks vajaliku majandustegevuse korraldamine kuluefektiivselt ja professionaalselt (see hõlmab andmevahetust iseseisvatest vastutavatest töötlejatest lepingupartneritega, vt punkt 7 all toodud vastutavate töötlejate loetelu);
  • Teenuse osutamisel kliendile kõrgema lisaväärtuse pakkumine, nt lisades teenusele funktsionaalsusi, mis ei ole otseselt lepingu eesmärgi täitmiseks vajalikud, ent suurendavad kliendi (sh ärikliendi) mugavust;
  • Teenuse kasutamise võimaldamine kliendiga seotud isikutele (lisakasutajad);
  • Picapac-i majandustegevuse edendamine läbi reklaami, turunduse, lojaalsusprogrammide, kampaaniate, võistluste jms. Teil on õigus oma selline kontaktandmete kasutamine igal ajal keelata, võttes meiega ühendust alltoodud kontaktandmetel või järgides teile saadetud teates toodud juhiseid;
  • Tööprotsessi korraldamine ja toimivuse tagamine (et kõikvõimalikud tööprotsessid toimiksid tõrgeteta ja võimalikult kiiresti);
  • Klienditeeninduse hea kvaliteedi ja kliendirahulolu tagamine (sh kõnede salvestamine ning pöördumiste säilitamine ja analüüs). See hõlmab kliendikogemuse ja klienditeeninduse kvaliteedi jälgimist, hindamist, analüüsi, tagasiside küsimist, järelmeetmete võtmist; klienditeeninduse statististilist ja ajas võrdlevat analüüsi (muutused, trendid);
  • Tagasiside küsimine. See hõlmab tagasisideküsitluste läbiviimist, et saaksime oma teenuste ja toodete kasutusmugavust parendada. Teil on õigus oma selline kontaktandmete kasutamine igal ajal keelata, võttes meiega ühendust alltoodud kontaktandmetel või järgides teile saadetud küsitluse teates toodud juhiseid;
  • Teenuste ja toodete arendamine. See hõlmab teenuste kasutuse statistikat ja analüüsi, trendide jälgimist, pretensioonidest ilmnenud kitsaskohtade lahendamist;
  • Teenuse hindade määramine ja tasuvusanalüüs (hõlmab teenuse kõigi komponentide ning riskide kulude analüüsi);
  • Ettevõtte ja kontserni majandusnäitajate igakülgne analüüs (hõlmab ka teenuste statistikat) ja aruandlus;
  • Kliendiandmete haldus (nt et äriklientide esindajate andmed oleks ajakohased, teenuse kasutamise lõpetanud klientide kontode sulgemine);
  • Infosüsteemide arendamine (sh testimine) ja hooldamine;
  • Infosüsteemide ja infovara kaitsmine (võrgu- ja infoturve, küberturve, andmete turvalisuse tagamine);
  • Omniva ja Omniva klientide vara (saadetised) kaitse;
  • Taotluste ja pretensioonide lahendamine (sh selleks vajalik asjaolude väljaselgitamine);
  • Õigusvaidluste lahendamine (lepingulised vaidlused, lepinguväline kahju tekitamine), sh vaidlusaluse juhtumiga seotud asjaolude väljaselgitamine, Omniva õiguste ja nõuete kaitsmine, sh kohtus;
  • Pettuste ja teenuste väärkasutamise või häirimise ennetamine, riskide tuvastamine, hindamise, maandamine ja vältimine (riskijuhtimine);
  • Võlgade sissenõudmine või loovutamine ning ärikliendi võlaandmete avaldamine kolmandale isikule võla tasumisele sundimise ning kolmandate isikute kaitse eesmärgil;
  • Ärikliendi ja äripartneri usaldusväärsuse hindamine (et vältida lepingulisse suhtesse astumist ettevõttega, kes ei suuda võetud kohustusi täita, kes on jätnud täitmata olulised seadusest tulenevad nõuded, sh tasumata maksud, või kes on seotud õigusrikkumistega).

Õigustatud huvi alusel isikuandmeid töödeldes oleme eelnevalt viinud läbi nõuetekohase vastanduvate huvide kaalumise, mille raames oleme hinnanud, kas meie huvi isikuandmete töötlemise vastu kaalub üles teie huvid ning õigused ja vabadused, mille nimel isikuandmeid kaitstakse. Selliselt töötlemisele võite alati esitada vastuväite (vt õiguste kohta täpsemalt punkti 11 all). Samuti on teil õigus küsida meie õigustatud huvide kohta täpsemat teavet, võttes ühendust punktis 12 toodud kontaktide.

7. VASTUVÕTJATE KATEGOORIAD

Tihti osaleb inimese vaatest ühe teenuse osutamisel palju erinevaid osalisi, kellest igaüks teeb inimese heaks oma osa. Näiteks võib pakiautomaate hooldada- ja remontida hooldusfirma, krediitkaardi makse teostab makseteenuse pakkuja, iseteeninduskeskkonda saab sisse logida kolmanda osapoole sisselogimisrakendusega (nt Google).

Järgnevalt toomegi välja, milliseid partnereid Picapac kasutab selleks, et oma klientidele võimalikult head teenust pakkuda või kellele seaduse järgi tuleb andmeid edastada.

• Volitatud töötlejad – kes osutavad meile teenuseid: valmistarkvara pakkujad ja andmete majutajad (iseteeninduskeskkonna tarkvara, kõnesalvestuste haldamine ja majutamine, veebilehe küpsiste haldamine, küsitluskeskkond), e-kirjade ja SMS-de saatmise teenuse pakkuja, kõnekeskus, tarkvara arendaja, küsitluste läbiviijad, reklaami-, turundus- ja disainibürood; sotsiaalmeedias reklaami suunamise vahendaja, tehnika hooldus ja parandamine, e-arvete haldaja, inkassofirma.
• Iseseisvad vastutavad töötlejad – posti- või kullerteenuse pakkuja (kui Picapac edastab neile kliendiandmeid näiteks selleks, et klient saaks kasutada eeltäidetud tarnekoha valikuna pakiautomaadi aadressi); makset vastuvõttev või ülekannet teostav pank; makseteenuse pakkuja; sotsiaalmeedia platvormid (osaliselt ka kaasvastutava töötleja rollis) ja sisselogimisrakenduse pakkuja (nt Google sign-in); kampaaniapartner, kellega koos me kampaania läbi viime (nt kasutades Omniva teenust, teenid meie partneri juures boonuspunkte ning selleks me edastame talle andmed, mis on vajalikud boonuspunktide arvestuseks); muud kolmandad isikud, kui neil on andmete saamiseks seaduslik alus (sh õigustatud huvi, nt kindlustusandjad); advokaadibüroo, kohtutäitur, riigiasutused.

Omniva kontsernis korraldab AS Eesti Post infosüsteemide arendust, haldust, kaitset ja andmemajutust, klienditeenindust (klientide kõned ja pöördumised), kampaaniaid ja reklaami,  teeb raamatupidamist, haldab kliendiandmeid, teeb punktis 6 loetletud eesmärkideks vajalikku andmeanalüüsi. AS Eesti Post on neis olukordades kaasvastutav töötleja, ainuvastutav töötleja või volitatud töötleja, sõltuvalt sellest, kes konkreetse töötlemistoimingu eesmärgi määrab.

Omniva nimel isikuandmeid töötlevate volitatud töötlejatega sõlmime andmetöötluslepingud, milles määrame kindlaks isikuandmete töötlemise asjaolud, kohustame rakendama asjakohaseid turvameetmeid ning tagama kliendiandmete töötlemise seaduslikkuse ja konfidentsiaalsuse. Omniva kontserni sisesuhted isikuandmete töötlemisel reguleeritakse kontsernisiseses andmetöötluspoliitikas.

8. TÖÖTLEMISE GEOGRAAFILINE PIIRKOND

Omniva kontsern majutab andmeid Euroopa Liidus. Kui Picapac-i volitatud töötleja töötleb andmeid väljaspool Euroopa Liitu või Euroopa Majanduspiirkonda, kontrollib Picapac, kas on järgitud isikuandmete kaitse üldmääruse artiklites 46-49 nõutut.

Stripe makseteenust osutab Iirimaal registreeritud ettevõte (Stripe Payments Europe, Limited; Stripe Technology Europe, Limited), mis suunates teenuseid EL kodanikele, peab kohaldama IKÜM-it. Iseteeninduskeskkonna pidamiseks kasutatav tarkvara WordPress (Aut O’Mattic A8C Ireland Ltd), teatud kolmanda osapoole sisselogimisrakendused (nt Google Sign-in, Meta log-in) ja Stripe võivad edastada andmeid USAsse. Aut O’Mattic A8C Ireland Ltd, Google, Meta ja Stripe tuginevad isikuandmete USAsse edastamisel Euroopa Komisjoni poolt kinnitatud standardsetele andmekaitseklauslitele ning Meta rakendab ka täiendavaid kaitsemeetmeid.

9. AUTOMATISEERITUD OTSUSED

IKÜM artikli 22 lõigete 1 ja 4 kohaselt tähendab automatiseeritud otsus üksnes automatiseeritud töötlemisel põhinevat otsust, mille tegemises inimene ei osale.  Picapac selliseid otsuseid ei tee.

10. ANDMETE SÄILITAMISE PERIOOD

Säilitamise periood põhineb lepingutel kliendiga, nõusolekul, Picapac-i õigustatud huvil või kohaldataval õigusel (nt raamatupidamisega seotud seadused, aegumistähtajaga seotud seadused, muu eraõigus). Säilitame isikuandmeid seni kuni see on vajalik, et täita eesmärk, milleks isikuandmeid kogusime ja milleks neid töötleme. Näiteks:

• Raamatupidamise seaduse § 12 kohaselt tuleb tehingute andmeid koos nende kohta käivate algdokumentidega säilitada 7 aastat alates selle majandusaasta lõpust, kui majandustehing algdokumendi alusel raamatupidamisregistris kirjendati.
• Nende tehingute puhul, millele pole erireegleid kehtestatud, näeb tsiviilseadustiku üldosa seadus ette tehingust tulenevate nõuete üldise aegumistähtaja 3 aastat, mille jooksul on vajalik, et andmed tehingu kohta oleksid alles. Ka lepinguväliste kahju tekitamise nõuete aegumistähtaeg on 3 aastat. Sellest tulenevalt võime kliendiandmeid säilitada kuni 3 aastat kliendisuhte lõppemisest.
• Andmed, mida võib olla vaja võimaliku väärteovastutuse puhul, säilitame 2 aastat (väärteo aegumistähtaeg).
• Telefonikõnede salvestused 1 või 2 aastat (sõltuvalt kliendiandmebaasi kirje olemasolust).
• Nõusoleku alusel töödeldavaid isikuandmeid säilitame kuni nõusoleku tagasivõtmisena, kui puudub muu õiguslik alus selliste isikuandmete edasiseks töötlemiseks.