Mõisted:
Veebileht on reisiteenuste internetileht coraltravel.ee, aadressiga www.coraltravel.ee;
Ettevõte on Coral Travel Estonia OÜ, registrikood 16194673, juriidiline aadress Liivalaia 22, 10145 Tallinn, Eesti. Ettevõte on isikuandmete vastutav töötleja.
Isikuandmed tähendab igasugust teavet tuvastatud või tuvastatava füüsilise isiku (andmesubjekti) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige viidates identifikaatorile, nagu nimi, identifitseerimisnumber, asukohaandmed ja veebipõhine identifikaator, või viited ühele või mitmele tegurile nagu isiku füüsiline, geneetiline, vaimne, majanduslik, kultuuriline või sotsiaalne identiteet.
Töötlemine tähendab iga üksikut või mitut toimingut, mis on isikuandmetega tehtud nagu kogumine, salvestamine, säilitamine, klassifitseerimine, organiseerimine, kombineerimine, parandamine (lisamine või korrigeerimine), pakkumine, avaldamine, kasutamine, loogilised ja/või aritmeetilised operatsioonid, otsing, levitamine või hävitamine.
Privaatsuspoliitika on käesolev dokument, mis sisaldab peamisi reegleid Veebilehe kasutamise ajal isikuandmete ja muu asjakohase teabe kogumiseks, säilitamiseks ja töötlemiseks.
Isikuandmeid töödeldakse järgmistel eesmärkidel:
• Lepingu sõlmimise ja täitmise eesmärgil, sealhulgas asjaomaste teenuste kvaliteedi tagamiseks (õiguslik alus – isikuandmete kaitse üldmääruse [edaspidi – GDPR] artikkel 6.1 [b]).
• Seaduslike kohustuste täitmiseks, näiteks finantsaruannete ja raamatupidamisaruannete koostamine (sh arvete esitamine ja säilitamine) või kaebustele vastamiseks (õiguslik alus – GDPR artikkel 6.1 [c]).
• Nõuete esitamiseks (õiguslik alus – GDPR artikkel 6.1 [f]).
• Teenuste kvaliteedi parandamiseks, sealhulgas reisijate rahulolu-uuringute läbiviimiseks (õiguslik alus – GDPR artikkel 6.1 [f)).
• Turundusteabe (nt uudiskirja) saatmise eesmärgil, kui selleks on antud nõusolek töötlemiseks (õiguslik alus – GDPR artikkel 6.1 [a] – nõusolek).
• Otseturundus, sealhulgas turundussisu isikupärastamise eesmärgil (õiguslik alus – GDPR artikkel 6.1 [f]). Vastutav töötleja võib töödelda isikuandmeid pakettreisi personaalse pakkumise koostamiseks ja esitamiseks. Selliseid andmeid töödeldakse ka automatiseeritud vahenditega, kuid tehtud otsustel ei ole andmesubjektile õiguslikku mõju.
Turundus- ja kontakteesmärkidel kogub Ettevõte järgmisi isikuandmeid: nimi, e-posti aadress ja telefoninumber. Nõusolekut isikuandmete kasutamiseks turundus- ja kontakteesmärkidel väljendatakse vastavasse lahtrisse märgistades.
Milliseid isikuandmeid töödeldakse:
• eesnimi(ed),
• perekonnanimi,
• sünnikuupäev,
• sugu,
• e-posti aadress (ainult turunduse ja kontakteerumise eesmärgil andmesubjekti eelneval nõusolekul);
• telefoninumber (ainult turunduse ja kontakteerumise eesmärgil andmesubjekti eelneval nõusolekul);
• elukoha aadress,
• allkirjanäidis,
• andmed isikutunnistusel või passil (olenevalt sihtriigist või pakkumisest).
Nimetatud isikuandmete esitamine on vabatahtlik, kuid vajalik lepingu sõlmimiseks ja täitmiseks (v.a e-posti aadress). Isikuandmete puudumisel ei ole reisikorraldajal võimalik lepingut sõlmida ja täita.
Lepingu sõlmimiseks ja ettevalmistamiseks ning kvaliteetsete teenuste tagamiseks võib vastutav töötleja töödelda ka teatud kategooria isikuandmeid (sh terviseandmeid, nt puuetega või eriarstiabi vajavate liikumispuudega isikute kohta), tingimusel, et andmesubjekt on andnud selgesõnalise nõusoleku selliste isikuandmete töötlemiseks nimetatud eesmärgil (õiguslik alus – GDPR artikkel 9.2 [a]) – nõusolek). Vastutav töötleja töötleb isikuandmeid äriteadete saatmise (e-posti aadressile) ja otseturunduse eesmärgil (telefoninumbri abil) individuaalse nõusoleku alusel.
Andmete töötlemise aeg
Vastutaval töötlejal on õigus töödelda isikuandmeid nii kaua, kuni see on vajalik kavandatud eesmärkide saavutamiseks. Töötlemise õiguslikku alust silmas pidades hõlmab see järgmist:
• lepingu täitmiseks kuluv aeg;
• seadusest tulenevate kohustuste täitmise aeg ja aeg, mille jooksul vastutav töötleja on kohustatud andmeid säilitama vastavalt seadusesätetele, nt. maksuseaduse alusel,
• lepingujärgsete nõuete aegumistähtaeg;
• seni, kuni andmesubjekt oma nõusoleku tagasi võtab (kehtib nõusoleku alusel töödeldavate andmete kohta).
Andmete edastamine
Andmesubjektilt saadud teavet ei avaldata ilma seadusliku aluseta kolmandatele isikutele, välja arvatud:
Kõigi andmeturbe garantiide kohaselt võib vastutav töötleja andmesubjekti isikuandmeid edastada teistele üksustele, sealhulgas:
• üksused, kes töötlevad andmeid vastutava töötleja nimel, nt. esindajatele, tehniliste teenuste pakkujatele ja konsultatsiooniteenuste pakkujatele;
• muud andmetöötlejad ulatuses, mis on vajalik teenuste osutamiseks ja seadusest tulenevate nõuete täitmiseks, nt. elektrooniliste makseteenuste pakkujatele, vedajatele, hotelliteenuste pakkujatele, kindlustusandjatele, abiteenuste pakkujatele (nt parkimisrajatised, lennujaamateenused), kulleritele, vastutavale töötlejale lepingute alusel teenuseid osutavatele äripartneritele.
Andmesubjekti isikuandmeid edastatakse Euroopa Liidu liikmesriikidele või teistele välisriikidele samadel tingimustel ja korras kui isikuandmete vastuvõtjatele Eesti Vabariigis ainult käesolevas Privaatsuspoliitikas sätestatud eesmärkidel.
Andmesubjekti õigused
Andmesubjekt annab Ettevõttele õiguse koguda, hallata, töödelda ja säilitada andmesubjekti isikuandmeid Privaatsuspoliitikas ja muudes Veebilehe reeglites ja tingimustes sätestatud ulatuses ja eesmärkidel.
Andmesubjektil on õigus saada teavet oma andmete töötlemise kohta. Teave GDPR artiklites 13 ja 14 nimetatud andmesubjekti isikuandmete töötlemise kohta esitatakse kirjalikult isikuandmete kättesaamise ajal. Selle teabe esitab andmesubjektile vastutav töötleja.
Andmesubjektil on õigus ligi pääseda oma töödeldavatele isikuandmetele. Et teha kindlaks, milliseid isikuandmeid ja millistest allikatest Ettevõte on kogunud, millistel eesmärkidel neid töödeldakse, millistele adressaatidele nad on esitanud ja esitanud, peab andmesubjekt eelnevalt võtma ühendust Ettevõttega käesolevas Privaatsustingimustes toodud e-posti aadressil.
Andmesubjektil on õigus nõuda, et tema isikuandmed kustutatakse (õigus olla unustatud). Andmesubjekti õigust oma isikuandmete kustutamisele (õigus olla unustatud) teostatakse GDPR-i artiklis 17 sätestatud juhtudel. Andmesubjekti õigust nõuda oma isikuandmete kustutamist (õigus olla unustatud) ei saa kasutada GDPR-i artikli 17 lõikes 3 sätestatud juhtudel. Kui andmesubjekti isikuandmed on edastatud andmete saajatele, teavitab vastutav töötleja neid saajaid, välja arvatud juhul, kui see oleks võimatu või nõuaks ebaproportsionaalselt suuri jõupingutusi. Andmesubjektil on õigus nõuda teavet selliste andmete saajate kohta.
Andmesubjektil on õigus piirata andmete töötlemist. GDPR artikli 18 lõikes 1 sätestatud juhtudel peab vastutav töötleja rakendama andmesubjekti õigust piirata oma isikuandmete töötlemist. Isikuandmeid, mille töötlemine on piiratud, säilitatakse ja andmesubjekti teavitatakse e-posti teel enne sellise piirangu tühistamist. Kui andmesubjekti isikuandmed (mille töötlemine on andmesubjekti taotluse alusel piiratud) on edastatud andmete saajatele, teavitab vastutav töötleja neid saajaid, välja arvatud juhul, kui see oleks võimatu või nõuaks. ebaproportsionaalsed pingutused. Andmesubjektil on õigus nõuda teavet selliste vastuvõtjate kohta.
Õigus andmete teisaldatavusele. Vastutav töötleja rakendab andmesubjekti õigust andmete teisaldatavusele, mis on sätestatud GDPR artiklis 20 sätestatud juhtudel. Andmesubjektil ei ole õigust andmete teisaldatavusele seoses isikuandmetega, mida töödeldakse automatiseerimata kontinendil struktureeritud failides, näiteks paberfailides. Andmesubjekt märgib andmete teisaldatavuse õiguse taotlemisel, kas ta soovib oma isikuandmete edastamist talle või teisele vastutavale töötlejale. Andmesubjekti nõudmisel edastatud isikuandmeid automaatselt ei kustutata. Kui andmesubjekt seda nõuab, peab ta võtma ühendust vastutava töötlejaga oma isikuandmete kustutamise õiguse (õigus olla unustatud) rakendamiseks.
Õigus esitada vastuväiteid andmete töötlemisele. Andmesubjektil on GDPR-i artiklis 21 sätestatud juhtudel õigus esitada igal ajal vastuväiteid, et vastutav töötleja töötleb tema isikuandmeid konkreetse juhtumiga seotud põhjustel. Isikuandmete töötlemise nõusoleku tagasivõtmine toimub andmesubjekti poolt eelnevalt märgitud lahtrist “Nõustun oma kontaktandmete töötlemisega” linnukese kustutamisega (andmeid töödeldakse turundus- ja kontaktandmete töötlemise eesmärgil) või esitades infot info@coraltravel.ee. Kui andmesubjekt ei nõustu isikuandmete töötlemisega, toimub töötlemine ainult siis, kui põhjendatud juhul otsustatakse, et isikuandmete töötlemise põhjused on ülimuslikud andmesubjekti huvide, õiguste ja vabaduste suhtes või kui isikuandmed on vajalikud õigusnõuete esitamiseks, täitmiseks või kaitsmiseks.
Õigus nõuda, et otsus ei piirduks automatiseeritud töötlemisega, sh profileerimisega. Sellistel juhtudel on andmesubjektil õigus nõuda, et automatiseeritud töötlemisel põhinevat otsust ei kohaldataks tema suhtes ja et kõik automatiseeritud töötlemisel põhinevad otsused vaadataks läbi. Kui andmesubjekt taotleb automatiseeritud töötlemisel põhineva otsuse läbivaatamist, peab vastutav töötleja läbi viima kõikide asjakohaste andmete, sealhulgas andmesubjekti esitatud teabe igakülgse hindamise.
Kui andmesubjekt leiab pärast oma isikuandmetega tutvumist, et isikuandmed on ebaõiged, puudulikud või ebatäpsed, on tal õigus nõuda Ettevõttelt e-posti teel ebaõigete, mittetäielike, ebatäpsete isikuandmete parandamist ja/või peatada selliste isikuandmete töötlemine. Isikuandmed parandatakse ja hävitatakse või nende töötlemine peatatakse andmesubjekti isiku ja tema isikuandmeid tõendavate dokumentide alusel. Kui andmesubjekti isikuandmed (andmesubjekti taotlusel parandatud) on edastatud andmete saajatele, teavitab vastutav töötleja sellest neid saajaid, välja arvatud juhul, kui see oleks võimatu või nõuaks ebaproportsionaalselt suuri jõupingutusi. Andmesubjektil on õigus nõuda teavet selliste vastuvõtjate kohta.
Andmesubjektil on õigus esitada andmekaitseinspektsioonile kaebus, kui ta leiab, et isikuandmete töötlemine on ebaseaduslik.
Andmesubjekti õiguste teostamine
Ülaltoodud õiguste teostamisel võib andmesubjekt võtta Ettevõttega ühendust aadressil info@coraltravel.ee. E-posti teel avalduse esitamisel peab taotlus olema allkirjastatud kehtiva elektroonilise allkirjaga või vormistatud elektroonilisel teel, mis võimaldab tagada teksti terviklikkuse ja kirjalikku taasesitamist võimaldava vormi. Seda sätet ei kohaldata, kui andmesubjekt taotleb teavet isikuandmete töötlemise kohta vastavalt GDPR-i artiklitele 13 ja 14. Andmesubjekti õiguste teostamise taotlus peab olema loetav, isiku poolt allkirjastatud, sisaldama andmesubjekti ees- ja perekonnanime, aadressi, sünniaega ja/või muid kontaktandmeid suhtlemiseks või vastuvõtmiseks. Andmesubjekt võib oma õigusi teostada ise või esindaja kaudu. Isiku esindaja peab avalduses märkima oma ees- ja perekonnanime, aadressi ja/või muud kontaktandmed, samuti esindatava ees- ja perekonnanime ning sünniaja ning esitama dokumendi või esinduse alust kinnitava dokumendi koopia. Andmesubjekti isikusamasuse suhtes kahtluse korral on Ettevõttel õigus nõuda kontrollimiseks vajalikku lisateavet.
Ettevõte esitab andmesubjektile teabe taotlusele vastamiseks tehtud toimingute kohta hiljemalt 1 (ühe) kuu jooksul pärast taotluse saamist. Teabe esitamisega viivitamise korral teavitatakse andmesubjekti määratud tähtaja jooksul, näidates ära viivitamise põhjused ja võimaluse esitada kaebus riiklikule Andmekaitse Inspektsioonile. Kui avaldus ei vasta Privaatsuspoliitika käesolevas punktis sätestatud korda ja nõudeid, ei vaata Ettevõte sellist taotlust läbi ning teavitab andmesubjekti viivitamata, kuid mitte hiljem kui 5 (viie) tööpäeva jooksul selle põhjustest. Kui taotluse läbivaatamise käigus selgub, et andmesubjekti õigusi piiratakse GDPR artikli 23 lõikes 1 sätestatud alustel, teavitab Ettevõte sellest andmesubjekti.
Ettevõte esitab teabe andmesubjekti taotluse kohta tema õiguste teostamise kohta riigikeeles.
Kõik andmesubjekti taotlustega seotud toimingud seoses andmesubjekti õiguste teostamisega viiakse läbi ja tehakse tasuta, välja arvatud käesolevas Privaatsuspoliitika punktis sätestatud juhtudel.
Isikuandmete kaitse
Ettevõte tagab, et andmesubjekti poolt Veebilehel esitatud isikuandmed oleksid kaitstud õigusvastaste toimingute eest: isikuandmete volitamata muutmine, avaldamine või hävitamine, identiteedivargus, kelmus ning isikuandmete kaitse standard vastaks isikuandmete kaitse standardi nõuetele vastavalt Eesti Vabariigi õigusaktidele.
Isikuandmed on kaitstud kadumise, volitamata kasutamise ja muutmise eest. Ruumid, kus kogutud andmeid hoitakse, on füüsiliselt kaitstud volitamata juurdepääsu eest. Veebilehe kasutajate andmeid kaitsev andmebaas on kaitstud arvutivõrkude kaudu volitamata juurdepääsu eest.
Veebilehe kasutaja kohustub säilitama parooli ja Veebilehele sisselogimise kasutajanime ning muud vajalikud andmeid. Kasutaja kohustub ja ei tohi avaldada enda ega kolmandate isikute isikuandmeid ühelegi teisele kolmandale osapoolele ning juhul, kui sellised kolmandate isikute isikuandmed on kasutajale kättesaadavaks tehtud ning teavitama Ettevõtet viivitamatult kõigist täheldatud rikkumistest.