Privaatsuspoliitika

1. Mõisted ja kohaldamisala

Käesolev privaatsuspoliitika (edaspidi Poliitika) kirjeldab, kuidas RATTURI KALA OÜ (edaspidi Tarje või meie) töötleb isikuandmeid. Poliitika lähtub Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 (isikuandmete kaitse üldmäärus, edaspidi GDPR), isikuandmete kaitse seadusest (IKS) ja elektroonilise side seadusest (ESS).

Poliitika kohaldub:

• veebilehele tarje.ee ja selle ingliskeelsele versioonile tarjepos.com (edaspidi Veebileht);
• veebipõhisele kassa- ja juhtimissüsteemile aadressil pos.tarje.ee (edaspidi Rakendus; Veebileht ja Rakendus koos edaspidi Teenus).

Poliitikas kasutatakse järgmisi mõisteid:

• Klient — juriidiline isik (restoran, kohvik, baar või muu toitlustusettevõte), kes kasutab Teenust Tarjega sõlmitud lepingu alusel. Teenus on suunatud üksnes ettevõtjatele (B2B).
• Kasutaja — füüsiline isik, kes kasutab Teenust Kliendi nimel (nt Kliendi esindaja, juhataja või töötaja).
• Lõppklient — Kliendi klient (nt restorani külastaja), kelle andmed Klient sisestab Rakendusse oma äritegevuse käigus.
• DPA — Tarje ja Kliendi vahel kohalduv andmetöötlusleping GDPR-i artikli 28 tähenduses, kättesaadav aadressil tarje.ee/dpa.html.
• Kasutustingimused — Teenuse kasutamise tingimused, kättesaadavad aadressil tarje.ee/tingimused.html.

Poliitika eestikeelne versioon on ülimuslik kõigi tõlgete suhtes.

2. Vastutav töötleja ja kontaktandmed

Tarje ei ole määranud andmekaitseametnikku (DPO), sest GDPR-i artikli 37 kohane määramiskohustus Tarje suhtes ei kohaldu. Kõigis andmekaitseküsimustes vastab Tarje aadressil info@tarje.ee.

3. Tarje rollid — vastutav ja volitatud töötleja

Tarje roll andmekaitses sõltub sellest, milliseid andmeid ja millises kontekstis töödeldakse:

Volitatud töötlemise osas töötleb Tarje andmeid üksnes Kliendi dokumenteeritud juhiste alusel. Poolte vahel kohaldub andmetöötlusleping (DPA) GDPR-i artikli 28 kohaselt, mis on kättesaadav aadressil tarje.ee/dpa.html. Kui olete Lõppklient või Kliendi töötaja ja soovite teavet oma andmete töötlemise kohta Rakenduses, pöörduge esmalt vastutava töötleja — s.o teid teenindava restorani, kohviku või baari — poole. Tarje abistab Klienti selliste päringute täitmisel DPA-s kokkulepitud korras.

4. Töödeldavate isikuandmete kategooriad ja allikad

4.1. Andmed, mille esitate meile ise

• Konto- ja kontaktandmed — nimi, e-posti aadress, ettevõtte andmed, kasutaja roll ja sisselogimisandmed, mille esitate konto loomisel (sh 14-päevase prooviperioodi alustamisel) või Veebilehe vormide kaudu.
• Autentimisandmed — parool (säilitatakse üksnes räsituna) ning kaheastmelise kinnituse (2FA) tegurid, kui Kasutaja on 2FA kasutusele võtnud.
• Kirjavahetus — päringud ja klienditoe pöördumised aadressil info@tarje.ee või Teenuse kaudu.

4.2. Andmed, mille saame Kliendilt (teie tööandjalt)

• Kui Klient loob oma töötajale Kasutaja konto, saab Tarje töötaja nime, e-posti aadressi ja rolli Kliendilt, mitte andmesubjektilt endalt. Sellisel juhul on teabe allikaks Klient (GDPR art 14).

4.3. Automaatselt kogutavad andmed

• Kasutus- ja logiandmed — tehniline teave Teenuse kasutamise kohta: IP-aadress, seadme- ja brauseriandmed, sisselogimisajad, toimingute logid ning seadme vealogid (rakenduse veateated). Neid kasutatakse Teenuse turvalisuse, toimimise ja arendamise tagamiseks.
• Veebilehe tehnilised andmed — Veebilehe kuvamisel töötleb külastaja IP-aadressi tehniliselt Tarje veebiserver. Kogu Veebilehe sisu, sealhulgas kirjatüübid, väljastatakse Tarje enda serverist; kolmandate osapoolte kirjatüübi- ega sisuteenuseid ei kasutata (vt punktid 6 ja 8).

4.4. Arveldusandmed

• Tellitud pakett, maksete ajalugu ja arved. Kaardimaksed töödeldakse makseteenuse pakkuja Stripe kaudu; Tarje ei salvesta kaardiandmeid. Stripe edastab Tarjele makse staatuse ja arvelduseks vajalikud andmed.

4.5. Andmed, mida Tarje töötleb volitatud töötlejana

• Andmed, mille Klient sisestab Rakendusse oma äritegevuse käigus: tellimused, püsikliendi- ja kliendisuhete andmed, kinkekaartide (QR/PIN) andmed, e-arvete ja e-kviitungite saajate andmed ning Kliendi töötajate tööalased andmed. Nende osas on vastutav töötleja Klient (vt punkt 3).

Andmete esitamise kohustuslikkus: konto- ja arveldusandmete esitamine on lepingu sõlmimise ja täitmise eeldus. Kui neid andmeid ei esitata, ei saa Tarje Teenust osutada. Muude andmete (nt turundusnõusolek) esitamine on vabatahtlik.

Tarje ei kogu ega töötle teadlikult eriliigilisi isikuandmeid GDPR-i artikli 9 tähenduses.

5. Töötlemise eesmärgid ja õiguslikud alused

Tarje töötleb isikuandmeid vastutava töötlejana järgmistel eesmärkidel ja õiguslikel alustel:

Nõusoleku andmise korral on andmesubjektil õigus see igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist toimunud töötlemise õiguspärasust. Õigustatud huvil põhineva töötlemise vastu on õigus esitada vastuväide (vt punkt 10).

6. Küpsised, localStorage ja sarnased tehnoloogiad

Teave selle punkti kohaselt antakse ESS-i § 102¹ ja GDPR-i nõuete täitmiseks.

6.1. Veebileht tarje.ee

• Veebileht ei kasuta analüütika- ega reklaamiküpsiseid ega muid jälgimistehnoloogiaid.
• Veebileht salvestab külastaja brauseri localStorage-vahemällu keele-eelistuse, et kuvada lehte valitud keeles (Veebileht on saadaval 23 keeles). Tegemist on funktsionaalse, kasutaja soovitud teenuse osutamiseks vajaliku salvestusega ESS-i § 102¹ tähenduses; eraldi nõusolekut selleks ei nõuta. Keele-eelistus säilib üksnes külastaja enda seadmes ja Tarje serveritele seda ei edastata.
• Veebilehe kirjatüübid väljastatakse Tarje enda serverist. Veebileht ei kasuta Google Fonts'i ega muid kolmandate osapoolte kirjatüübi- või sisuteenuseid, mistõttu kirjatüüpide laadimisel ei edastata külastaja IP-aadressi ega muid andmeid ühelegi kolmandale isikule.

6.2. Rakendus pos.tarje.ee

• Rakendus kasutab vajalikke küpsiseid ja sarnaseid tehnoloogiaid sisselogimissessiooni hoidmiseks ja turvalisuse tagamiseks. Need on Teenuse toimimiseks hädavajalikud ega vaja nõusolekut.
• Makse tegemisel loob Stripe maksesessiooni ja võib seada küpsiseid, mis on vajalikud makse turvaliseks töötlemiseks ja pettuste ennetamiseks.
• Rakendus salvestab seadme vahemällu andmeid, mis võimaldavad müügil jätkuda ka internetiühenduse katkemisel; ühenduse taastumisel sünkroniseeritakse andmed serveriga.

6.3. Haldamine

Külastaja saab küpsiseid ja localStorage-salvestust hallata ning kustutada oma brauseri seadetes. Vajalike tehnoloogiate keelamine võib piirata või takistada Teenuse toimimist. Kui Tarje võtab tulevikus kasutusele nõusolekut vajavaid küpsiseid (nt analüütika), küsitakse selleks eelnevalt nõusolek ja ajakohastatakse käesolevat Poliitikat.

7. Andmete vastuvõtjad ja volitatud töötlejad

Teenuse osutamiseks kasutab Tarje järgmisi teenusepakkujaid, kes töötlevad isikuandmeid Tarje juhiste alusel ja kohaldatavate andmekaitsenõuete kohaselt:

Veebilehe kirjatüübid väljastatakse Tarje enda serverist; kirjatüüpide laadimiseks kolmandate osapoolte teenuseid (nt Google Fonts) ei kasutata ja sellega seoses ei ole ühtegi täiendavat andmete vastuvõtjat.

Tarje sõlmib volitatud töötlejatega vajalikud andmetöötluslepingud, mis tagavad isikuandmete kaitse nõuetekohase taseme. Kliendi andmete volitatud töötlemisel kasutatavad alltöötlejad on loetletud DPA-s (tarje.ee/dpa.html).

Lisaks võib Tarje andmeid edastada:

• Merit Aktiva raamatupidamistarkvarale — üksnes juhul, kui Klient on Merit-liidestuse ise aktiveerinud; sellisel juhul edastatakse Kliendi määratud müügi- ja arveandmed Kliendi algatusel ja juhisel Kliendi Merit kontole;
• pädevatele riigiasutustele (nt Maksu- ja Tolliamet, kohus, õiguskaitseasutused), kui edastamise kohustus tuleneb õigusaktist;
• õigus-, audiitor- vm nõustajatele, kui see on vajalik Tarje õiguste kaitseks, konfidentsiaalsuskohustuse alusel.

Tarje ei müü isikuandmeid ega jaga neid kolmandate isikutega turunduse eesmärgil.

8. Andmete edastamine väljapoole EL/EMP-d

Isikuandmeid töödeldakse üldjuhul Euroopa Liidus või Euroopa Majanduspiirkonnas (EL/EMP).

Tarje andmebaas (Supabase) asub Euroopa Liidus (Frankfurt, AWS eu-central-1), mistõttu Kliendi ja Kasutajate andmeid regulaarselt väljapoole EL/EMP-d ei edastata. Majutuse ning domeeni-, DNS- ja e-posti taristu pakkuja veebimajutus.ee (Elkdata OÜ) asub Eestis (EL). Veebilehe kirjatüübid väljastatakse Tarje enda serverist, mistõttu kirjatüüpide laadimisega seoses ei toimu andmete edastamist kolmandatele isikutele ega kolmandatesse riikidesse.

Osa punktis 7 nimetatud teenusepakkujaid on Ameerika Ühendriikidega seotud kontsernid, mistõttu võib andmete töötlemine osaliselt toimuda ka väljaspool EL/EMP-d. Sellisel juhul rakendab Tarje GDPR-i V peatüki kohaseid kaitsemeetmeid:

• Stripe ja Resend — kui töötlemine toimub väljaspool EL/EMP-d, on edastuse aluseks Euroopa Komisjoni heaks kiidetud standardsed lepingutingimused (SCC) koos vajaduse korral täiendavate kaitsemeetmetega (GDPR art 46), nagu on sätestatud ka DPA alltöötlejate loetelus (tarje.ee/dpa.html).

Andmesubjektil on õigus saada kohaldatud kaitsemeetmete kohta lisateavet ja koopia, pöördudes aadressil info@tarje.ee.

9. Säilitustähtajad

Tarje säilitab isikuandmeid üksnes nii kaua, kui see on vajalik töötlemise eesmärkide täitmiseks või õigusaktidega nõutud:

Säilitustähtaja möödumisel andmed kustutatakse või anonümiseeritakse.

10. Andmesubjekti õigused

Andmesubjektil on GDPR-i artiklite 15–22 kohaselt järgmised õigused:

• õigus tutvuda oma isikuandmetega ja saada neist koopia (art 15);
• õigus andmete parandamisele, kui need on ebaõiged või mittetäielikud (art 16);
• õigus andmete kustutamisele («õigus olla unustatud»), kui kustutamiseks esineb seaduslik alus (art 17);
• õigus töötlemise piiramisele seaduses ettenähtud juhtudel (art 18);
• õigus andmete ülekandmisele struktureeritud, üldkasutatavas ja masinloetavas vormingus (art 20); Teenuses on andmete eksport võimalik ka CSV- ja Exceli-vormingus;
• õigus esitada vastuväide õigustatud huvil põhinevale töötlemisele (art 21);
• õigus võtta nõusolek tagasi, kui töötlemine põhineb nõusolekul (art 7 lg 3);
• õigus mitte olla üksnes automatiseeritud töötlusel põhineva otsuse subjekt (art 22; vt punkt 11).

Õiguste teostamiseks saab pöörduda aadressil info@tarje.ee. Tarje vastab taotlusele põhjendamatu viivituseta, hiljemalt ühe kuu jooksul; keerukate või arvukate taotluste korral võib tähtaega pikendada kahe kuu võrra, teavitades sellest taotlejat. Taotluse täitmine on üldjuhul tasuta. Tarje võib küsida taotleja isikusamasuse kinnitamiseks vajalikku lisateavet.

Kui isikuandmed on Teenusesse sisestanud Klient ja Tarje on nende osas volitatud töötleja, suunatakse päring vastutava töötleja (Kliendi) poole ning Tarje abistab Klienti päringu täitmisel DPA kohaselt.

Kui leiate, et Tarje töötleb teie isikuandmeid õigusvastaselt, soovitame pöörduda esmalt Tarje poole aadressil info@tarje.ee. Samuti on teil igal ajal õigus esitada kaebus järelevalveasutusele — Andmekaitse Inspektsioonile (www.aki.ee) — ning pöörduda oma õiguste kaitseks kohtusse (GDPR art 77–79).

11. Automatiseeritud otsused ja profiilianalüüs

Tarje ei tee andmesubjektide suhtes üksnes automatiseeritud töötlusel põhinevaid otsuseid, millel oleksid andmesubjektile õiguslikud tagajärjed või mis teda muul viisil märkimisväärselt mõjutaksid (GDPR art 22), ega kasuta isikuandmeid profiilianalüüsiks.

12. Isikuandmete turvalisus ja rikkumistest teavitamine

Tarje rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid isikuandmete kaitsmiseks volitamata juurdepääsu, muutmise, avalikustamise või hävitamise eest (GDPR art 32). Meetmete hulka kuuluvad muu hulgas:

• andmete krüpteerimine edastamisel;
• paroolide säilitamine üksnes räsituna ning kaheastmelise kinnituse (2FA) võimalus;
• juurdepääsuõiguste piiramine teadmisvajaduse põhimõttel;
• turvaline majutus usaldusväärsete teenusepakkujate juures;
• regulaarsed varukoopiad ja nende automaatne rotatsioon;
• turvalogide pidamine ja seire.

Ükski andmete edastamise või säilitamise viis ei ole siiski täielikult turvaline. Isikuandmetega seotud rikkumise korral, mis kujutab tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab Tarje Andmekaitse Inspektsiooni põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul rikkumisest teadasaamisest (GDPR art 33). Kui rikkumine kujutab tõenäoliselt suurt ohtu, teavitab Tarje ka mõjutatud andmesubjekte (GDPR art 34). Volitatud töötlejana teavitab Tarje rikkumisest Klienti DPA-s sätestatud korras.

13. Laste andmed

Teenus on suunatud üksnes ettevõtjatele (B2B) ega ole suunatud lastele. Tarje ei kogu ega töötle teadlikult alla 13-aastaste laste isikuandmeid. Kui Tarje saab teada, et talle on esitatud lapse isikuandmeid ilma seadusliku aluseta, kustutab ta need mõistliku aja jooksul.

14. Privaatsuspoliitika muutmine

Tarjel on õigus käesolevat Poliitikat aeg-ajalt ajakohastada, näiteks seoses Teenuse arendamise, teenusepakkujate vahetumise või õigusaktide muutumisega. Kehtiv versioon on alati avaldatud aadressil tarje.ee/privaatsus.html. Olulistest muudatustest teavitatakse Kliente mõistliku aja jooksul ette Teenuse kaudu või e-posti teel.

Käesolev Poliitika jõustus 01.07.2026. Viimati uuendatud: 16.07.2026 (asendab 14.07.2026 versiooni; peamised muudatused — küpsiste ja localStorage kirjelduse täpsustamine, kinnitus, et Veebilehe kirjatüübid väljastatakse Tarje enda serverist ilma kolmandate osapoolte teenusteta, ning vastuvõtjate ja kolmandate riikide edastuse teabe viimine kooskõlla andmetöötluslepinguga).