Isikuandmete töötlemise leping

Versioon 27.10.2026. See leping on Vestly.ai kasutustingimuste osa.

1. Pooled

Vastutav töötleja: Vestly.ai teenust kasutav ettevõte (klient).
Volitatud töötleja: RITOLD OÜ (registrikood 16402166, Betooni tn 15a-1, Lagedi alevik, Rae vald, 75303 Harju maakond, hello@rixio.ee), edaspidi „Vestly“.

2. Töötlemise ese, kestus ja eesmärk

Vestly osutab kliendile AI-vestlusteenust: vastab kliendi kodulehel ja kliendi ühendatud kanalites (nt WhatsApp, Messenger, Instagram) küsimustele kliendi sisu põhjal, kogub kontaktipäringuid ja broneeringuid, edastab vestlusi kliendi meeskonnale ning näitab statistikat. Isikuandmeid töödeldakse ainult selle teenuse osutamiseks, lepingu kehtivuse ajal ja punktis 8 nimetatud kustutamise ajani.

3. Andmesubjektid ja andmed

• Kliendi kodulehe külastajad ja kliendi kliendid: vestluse sõnumid, leht, millel vestlus algas, keel, IP-aadressi soolatud räsi (aadressi ennast ei salvestata); kui isik need ise annab, siis nimi, e-post, telefon, pöördumise põhjus, kliendi määratud lisaväljad ja nõusolek, broneeringu aeg; tellimuse oleku päringul tellimuse number ja e-post; kui klient on fotod lubanud, siis isiku saadetud foto; sõnumikanalites kanali kasutajatunnus ja nimi.
• Kliendi töötajad: nimi, e-post, roll, tegevuste logi.

Teenus ei ole mõeldud eriliiki isikuandmete (nt terviseandmed) kogumiseks. Klient seab vestluse nii, et see eriliiki andmeid ei küsi; kliinikutele on juhis turvalisuse lehel.

4. Vestly kohustused

1. Vestly töötleb isikuandmeid ainult kliendi dokumenteeritud juhiste järgi. Juhised on see leping, kasutustingimused ja kliendi valikud töölaual (nt mida vestlus küsib, mis integratsioonid on sees, kui kaua andmeid hoitakse). Kui Vestly arvates rikub juhis andmekaitseõigust, teatab ta sellest kliendile viivitamata.
2. Andmetele pääsevad juurde ainult inimesed, kes vajavad seda teenuse osutamiseks ja on seotud konfidentsiaalsuskohustusega.
3. Vestly rakendab lisas 1 kirjeldatud turvameetmeid ja hoiab neid ajakohasena.
4. Vestly aitab kliendil vastata andmesubjekti taotlustele: töölaual ja API kaudu saab andmeid vaadata, eksportida ja kustutada; WordPressi plugin lisab Vestly andmed WordPressi isikuandmete ekspordi ja kustutamise tööriistadesse.
5. Vestly aitab kliendil täita isikuandmete kaitse üldmääruse artiklites 32–36 sätestatud kohustusi, arvestades töötlemise olemust ja Vestlyle kättesaadavat teavet.
6. Isikuandmetega seotud rikkumisest teatab Vestly kliendile põhjendamatu viivituseta, hiljemalt 48 tunni jooksul pärast sellest teadasaamist, koos teadaoleva teabega rikkumise olemuse, mõjutatud andmete ja võetud meetmete kohta.
7. Vestly ei kasuta kliendi andmeid oma AI-mudelite treenimiseks ega müü neid.

5. Alamtöötlejad

Klient annab üldise loa kasutada alamtöötlejate nimekirjas nimetatud alamtöötlejaid. Uue alamtöötleja lisamisest teatab Vestly konto omanikule e-postiga vähemalt 30 päeva ette. Kui klient on põhjendatult vastu, võib ta lepingu enne muudatuse jõustumist lõpetada ja saab ettemakstud kasutamata perioodi eest raha tagasi. Vestly sõlmib alamtöötlejatega lepingud, mis kohustavad neid vähemalt sama andmekaitse tasemeni.

Integratsioonid, mille klient ise sisse lülitab (nt Meta, Shopify, Google Calendar, Cal.com, Calendly, HubSpot, Pipedrive, Klaviyo, Mailchimp, Notion, Slack, Telegram), on kliendi juhis saata andmed sellele teenusele; nende teenuste andmetöötlus käib kliendi enda lepingu alusel nendega.

6. Andmete edastamine väljapoole Euroopa Majanduspiirkonda

Andmeid hoitakse Euroopa Liidus. AI-vastuse koostamiseks saadetakse küsimus koos asjakohase sisuga AI-teenusele, kelle töötlemine võib toimuda Ameerika Ühendriikides. Selline edastamine toimub Euroopa Komisjoni standardlepingutingimuste ja/või EL–USA andmekaitseraamistiku alusel.

7. Audit

Vestly annab kliendile kogu teabe, mis on vajalik selle lepingu täitmise tõendamiseks, ja vastab kirjalikele turvaküsimustikele. Kohapealset auditit võib klient teha kord aastas, teatades 30 päeva ette, oma kulul ja Vestly konfidentsiaalsust kahjustamata.

8. Lepingu lõppemine ja andmete kustutamine

Kui klient kustutab konto või leping lõpeb, kustutab Vestly kliendi isikuandmed 30 päeva jooksul, kui seadus ei nõua nende säilitamist. Klient saab enne seda andmed töölaualt eksportida. Krüpteeritud varukoopiatest kaovad andmed nende tavapärase vahetuse käigus: igapäevastest 35 päeva, igakuistest 13 kuu jooksul. Teenuse ajal kustutatakse vestlused 90 päeva, fotod 30 päeva ja kontaktipäringud 24 kuu möödudes, kui klient ei ole määranud lühemat aega.

9. Muud tingimused

Vastutus on piiratud kasutustingimuste järgi. Lepingule kohaldatakse Eesti õigust. Kui see leping ja kasutustingimused lähevad isikuandmete töötlemise küsimuses vastuollu, kehtib see leping.

Lisa 1. Turvameetmed

• Asukoht: serverid ja andmebaas Hetzneri andmekeskuses Helsingis (Soome); varukoopiad Backblaze'i EL-i andmekeskuses Amsterdamis.
• Krüpteerimine: kogu liiklus HTTPS-iga (TLS); paroolid räsituna; integratsioonide võtmed ja ligipääsutokenid krüpteeritult (AES-256); IP-aadressist hoitakse ainult soolatud räsi.
• Varukoopiad: andmebaas igal ööl, krüpteeritult (age, X25519) teise riigi andmekeskusesse; taastamist on proovitud.
• Ligipääs: töölaual rollid (omanik, admin, agent, vaataja), kaheastmeline sisselogimine autentimisrakendusega, Enterprise-paketis sisselogimine ainult ettevõtte Google Workspace'i kontoga. Serverisse pääseb ainult SSH-võtmega, parooliga ja juurkasutajana sisselogimine on keelatud, tulemüür lubab ainult vajalikud pordid.
• Logid: tegevuste logi (seadete muutmine, vestluste ülevõtmine, ekspordid, API-võtmed); Vestly töötaja ligipääs kliendi kontole on logitud.
• Töökindlus: välised kättesaadavuse kontrollid iga 5 minuti järel, tervisekontroll ja teavitused; teise AI-teenuse varuvariant, kui esimene ei vasta.
• Arendus: iga uuendus läbib enne avaldamist automaattestid.

Kuidas sõlmida: konto omanik nõustub lepinguga töölaual (Konto → Turvalisus ja privaatsus) ja laadib sealt alla allkirjastatud PDF-i.