Privaatsuspoliitika

1. Vastutav töötleja

Isikuandmete vastutav töötleja on Ideearendus OÜ (registrikood 17484404, KMKR nr EE102976647), aadress Viljandi tn 24, Türi, kes haldab platvormi RendiHuub (edaspidi „Platvorm"). Kontakt: [email protected]. Eraldi andmekaitseametnikku ei ole määratud (ei ole kohustuslik).

2. Millised andmed kogutakse

• Registreerimisel: nimi, e-posti aadress, telefoninumber, parool (säilitatakse ühesuunaliselt räsituna, bcrypt). Ärikasutajatel lisaks: ärinimi, äriregistri kood, KMKR number ja äriaadress.
• Kuulutuse loomisel: asukoht (sh aadressist geokodeeritud koordinaadid), hind, kirjeldus, fotod ja rendileandja kontaktandmed.
• Broneerimisel: broneerija nimi, e-post, telefon, rendiperiood, rendihind, RendiHuubi vahendustasu ja sooduskoodi info.
• Arvustused ja vaidlused: rentija arvustuses salvestatakse broneeringuga seotud rentija e-post; vaidluse esitamisel teataja nimi ja e-post.
• Arveldus: koondarvete ja vahendustasu andmed (summad, arve number, käibemaks, maksetähtaeg).
• Külastusandmed: IP-aadressi pöördumatu päeva-räsi (mitte IP-d ennast), liiklusallikas/suunaja, UTM-parameetrid ning seadme- ja brauseritüüp — pseudonüümne statistika ilma küpsisteta. Eraldi loendatakse kuulutuse vaatamisi (kuulutuse ID + päeva-räsi).
• Kasutajatoe vestluste sisu kasutaja ja administraatori vahel (päringute lahendamiseks).
• Tehnilised tunnused: Ajabroneerimine.ee kaudu sisselogimisel selle identifikaator ja juurdepääsutoken; parooli-lähtestuse tokenite räsi; administraatorite toimingute auditilogi.

Osa andmesubjekte ei ole registreeritud kasutajad (nt rentijad ja vaidluse esitajad). Nende andmed saame broneerimisel sisestatud teabest või rendileandjalt (GDPR art 14).

3. Miks ja millisel õiguslikul alusel andmeid töödeldakse

• Platvormi toimimine, kasutajakonto haldamine ning broneeringute ja osapoolte kontakti vahendamine — lepingu täitmiseks (GDPR art 6(1)(b)).
• Vahendustasu, sooduskoodide ja koondarvete arvestus ning raamatupidamis- ja maksukohustuste täitmine — juriidiline kohustus (art 6(1)(c)).
• Vaidluste, pettuse ja reeglirikkumiste ennetamine ning platvormisisene statistika kasutuskogemuse parendamiseks — õigustatud huvi (art 6(1)(f)).
• Google Analytics külastatavuse mõõtmiseks — nõusoleku alusel(art 6(1)(a)), vt p 6.
• Andmete edastamine õiguskaitseorganitele või kohtule seadusest tuleneval nõudmisel.

4. Andmete jagamine kolmandatele

Andmeid ei müüda ega jagata turunduslikel eesmärkidel. Platvormi toimimiseks kasutame järgmisi alltöötlejaid ja saajaid:

• Hetzner Online GmbH (Saksamaa, EL) — serverimajutus ja andmebaas.
• Zoho (e-kirjade saatmine) — broneeringu- ja arvekirjade edastamine.
• GitHub, Inc. (USA) — kasutajatoe probleemipäringud (e-posti aadressid ja telefoninumbrid eemaldatakse enne edastamist). Andmete ülekanne USA-sse toimub tüüptingimuste (SCC) alusel.
• OpenStreetMap Nominatim — kuulutuse aadressi geokodeerimine koordinaatideks; kaardiplaadid kuvatakse OpenStreetMapi kaudu.
• Google LLC (USA) — veebistatistika teenusepakkujana, ainult sinu nõusolekul (vt p 6).
• Ajabroneerimine.ee partneri kuulutuse broneerimisel edastatakse broneerija nimi, e-post, telefon, kuupäevad ja märkused partnerile ajabroneerimine.ee (eraldiseisev vastutav töötleja, Eesti).
• Õiguskaitseorganitele seadusest tuleneva kohustuse korral.
• Renditehingu kinnitamisel rendileandjale ja rentijale teineteise kontaktandmed (nimi, e-posti aadress, telefoninumber).

Kui mõni teenusepakkuja töötleb andmeid väljaspool Euroopa Majanduspiirkonda, toimub edastus asjakohaste kaitsemeetmete (nt Euroopa Komisjoni tüüptingimuste) alusel.

Kontaktandmeid ei kuvata avalikult kõigile külastajatele. Rendileandja kontaktandmed avatakse rentijale ning rentija kontaktandmed rendileandjale pärast broneeringu kinnitamist (enne kinnitamist näeb rendileandja rentija nime osaliselt varjatuna), samuti saadetakse need osapooltele kinnituse e-kirjas.

5. Andmete säilitamine

Kontoandmeid säilitatakse konto kehtivuse ajal. Konto või isikuandmete kustutamiseks saab esitada taotluse aadressil [email protected] (taotlus täidetakse käsitsi).

Broneerimis-, vahendustasu-, sooduskoodi-, arve- ja muid tehinguandmeid säilitatakse vähemalt 7 aastat (raamatupidamis- ja maksuseadusest tulenev miinimum). Pärast selle tähtaja möödumist andmeid automaatselt ei kustutata; kustutamine toimub taotluse korral käsitsi.

Pseudonüümset statistikat (külastus- ja vaatamisandmed) ning kasutajatoe vestlusi säilitatakse seni, kuni see on vastaval eesmärgil vajalik. Parooli-lähtestuse tokenid aeguvad lühikese aja jooksul ning Ajabroneerimine.ee juurdepääsutoken kuni 30 päevaga.

6. Küpsised ja statistika

Vajalikud küpsised (sisselogimise seanss, turvalisus/CSRF) on alati aktiivsed ega vaja nõusolekut.

Google Analytics. Külastatavuse mõõtmiseks kasutame Google Analyticsit (Google LLC, USA), mis seab statistikaküpsised (nt _ga) ja edastab andmeid (sh IP-aadress) Google'ile. Google Analytics laaditakse ainult sinu eelneval nõusolekul (küpsisebänneril „Nõustun“); keeldumisel seda ei laadita. Õiguslik alus on nõusolek (GDPR art 6(1)(a)). Andmete ülekanne USA-sse toimub Google'i EL–USA andmekaitseraamistiku (Data Privacy Framework) ja tüüptingimuste (SCC) alusel. Nõusoleku saad igal ajal tagasi võtta lehe jaluses lingi „Küpsiste eelistused“ kaudu.

Platvormisisene statistika. Lisaks loeme külastusi kokku ilma küpsisteta: salvestame IP-aadressi pöördumatu päeva-räsi (mitte IP-d ennast), samuti liiklusallika, UTM-parameetrid ning seadme- ja brauseritüübi. Turundus- ega reklaamiküpsiseid ei kasuta.

7. Kasutaja õigused

Kasutajal ja andmesubjektil on GDPR-ist tulenevalt õigus:

• tutvuda enda kohta kogutud andmetega ja saada neist koopia;
• nõuda andmete parandamist või kustutamist;
• piirata andmete töötlemist;
• esitada vastuväiteid õigustatud huvil põhinevale töötlemisele (art 21);
• võtta antud nõusolek igal ajal tagasi (nt Google Analytics, vt p 6);
• nõuda andmete ülekandmist (lepingu või nõusoleku alusel töödeldud andmete osas);
• esitada kaebus Andmekaitse Inspektsioonile (aki.ee).

Õiguste teostamiseks kirjuta [email protected] — vastame taotlusele ühe kuu jooksul (GDPR art 12). Pane tähele: e-posti aadressi muutmiseks tuleb pöörduda kasutajatoe poole ([email protected]) ning tehinguandmeid säilitatakse kustutustaotlusest hoolimata seadusest tuleneva 7-aastase miinimumtähtaja jooksul.

8. Turvalisus

Paroolid säilitatakse ühesuunaliselt räsituna (bcrypt). Andmeid edastatakse krüpteeritud HTTPS-ühenduse kaudu. Juurdepääs andmetele on rollipõhiselt piiratud ning administraatorite toimingud logitakse (auditilogi).

9. Muudatused

Privaatsuspoliitikat võidakse aeg-ajalt uuendada. Olulistest muudatustest teavitatakse kasutajaid e-posti või platvormi teel.