Õiguslik

Privaatsusteade.

Heatrail kannab kahte mütsi, ja nende segi ajamine on see, kuidas privaatsusteated valeks lähevad. Oma ärikontaktide ja portaalikontode jaoks oleme meie vastutav töötleja. Kontrollide jaoks, mida pood kassas teeb, oleme ainult poe volitatud töötleja, ja kui te olete ostja, räägite te poega.

Dokument

Version 1.1
Published 4 September 2026
Controller: Heatrail OÜ
Contact: privacy@heatrail.eu

Lugege esmalt

Rollid

Millist mütsi me kanname.

Kõik selles teates sõltub ühest vahest, seega tuleb see esimesena. Leidke oma olukord tabelist ja järgige seda.

Te külastate seda veebisaiti või kirjutate meile: Heatrail OÜ on vastutav töötleja. See teade on selle töötlemise teatis, jaod 2 ja 3.
Teil on partneriportaali konto või te taotlete seda: Heatrail OÜ on vastutav töötleja teie konto, arvelduse ja lepingukirjete suhtes, jagu 4.
Teie pood saadab Heatrailile kontrolle: Teie ettevõte on vastutav töötleja ja Heatrail on teie volitatud töötleja. Me tegutseme ainult teie dokumenteeritud juhiste järgi andmetöötluslepingu alusel, mille te sõlmite registreerumisel. Jagu 5 võtab selle kokku, aga leping ise on toimiv tekst.
Te ostsite midagi poest, mis kasutab Heatraili: Pood on teie vastutav töötleja, mitte meie. Teostage oma õigusi poe juures, kust te ostsite. Ta on teie ainus kontaktpunkt ja ta hoiab toorest e-posti aadressi või telefoninumbrit, mida meie tahtlikult kunagi ei saa. Mida me poe jaoks töötleme, on kirjas selges keeles kliendi avalikustamislehel, mis on avaldatud just sellele lugejale.

See veebisait

Selle veebisaidi külastamine.

See sait ei sea küpsiseid. Pole analüütikat, pole sildihaldurit, pole A/B testi, pole reklaamipikslit, pole sessiooni salvestust. Sait saadab ühe väikese JavaScripti paki: hinnakalkulaatori, mis arvutab mälus ega kirjuta kuhugi, ja eelkäivituse värava, mis kirjutab ühe sessionStorage kirje, sõnasõnalise väärtuse open, mis tühjendatakse vahelehe sulgemisel, pärast seda, kui te olete pääsuparooli sisestanud, et lehtede vahel liikumine ei küsiks uuesti. See kirje on rangelt vajalik millegi jaoks, mida te palusite, ja seepärast ei ole ikka veel nõusolekuriba. Küpsiste teatis paneb selle täies mahus kirja.

Serverilogid. Sait on staatiliste failide komplekt. Nende serveerimine tähendab, et majutaja töötleb päringut, IP-aadressi, kasutajaagenti, küsitud URL-i, aega, et leht kohale toimetada ja teenus kättesaadav ning turvaline hoida. See on tavaline veebiserveri töötlemine meie õigustatud huvi alusel veebisaiti pidada (GDPR artikkel 6(1)(f)). Me ei ehita sellest profiile ega ühenda seda millegi muuga.

Google Fonts, ja selle eemaldamine. Kuni 4. septembrini 2026 tulid selle saidi kirjatüübid Google'i fonditeenusest, nii et teie brauser võttis ühendust aadressidega fonts.googleapis.com ja fonts.gstatic.com ning teie aadress paljastati Google'ile selle päringu käigus. Ettevõtte jaoks, kes elatub andmete minimeerimise argumendist, oli see vale vaikimisi valik, ja ta on kadunud: fondifailid tulevad sellelt domeenilt ja iga lehe sisuturvapoliitika lubab ainult seda päritolu. Jätame selle lõigu siia, mitte ei kustuta teda vaikselt, sest igaüks, kes vana luges, väärib näha, mis temast sai.

Kirjavahetus

Meile kirjutamine.

Kui te kirjutate aadressile hello@heatrail.eu, security@heatrail.eu või privacy@heatrail.eu, töötleme seda, mida te saadate: teie nime ja e-posti aadressi, teie ettevõtet, ja kirjavahetuse sisu.

Kasutame seda teile vastamiseks ja kirje pidamiseks, milles lepiti kokku või millest teatati. Õiguslik alus on meie õigustatud huvi päringutele vastata ja turvateadete kirjet pidada (artikkel 6(1)(f)), või teie taotlusel enne lepingu sõlmimist tehtud sammud (artikkel 6(1)(b)). Hoiame kirjavahetust nii kaua, kui asi on elus, ja pärast seda nii kaua, kui meil võib seda vaja olla õigusnõude esitamiseks või kaitsmiseks.

Palun ärge saatke oma klientide isikuandmeid e-postiga. Kui asi nõuab konkreetset identifikaatorit, ütleme teile, kuidas saata see räsitud kujul, mida teenus tegelikult kasutab.

Kontod

Partneriportaali kontod.

Partneriportaal on eraldi rakendus oma andmebaasiga, tahtlikult eraldatud teenuse mootoriruumist: portaali kood ei ulatu logiraamatu, skoorimisreeglite ega operaatorikontodeni. Siin on see, mida ta hoiab partnerikontot pidavate inimeste kohta, ja miks.

Konto ja ettevõtte andmed: Sisselogimise e-posti aadress, räsitud parool, ettevõtte nimi, registrikood, poe domeen, e-kaubanduse platvorm ja kontakt e-post. Eesmärk: teenuse osutamine ja ettevõtte ülevaatus enne kinnitamist. Alus: lepingu täitmine, artikkel 6(1)(b).
Lepingukirjed: Iga teenusetingimuste ja andmetöötluslepingu aktsepteerimise kohta: dokumendi võti ja versioon, näidatud täpse teksti SHA-256 kokkuvõte, kuidas see aktsepteeriti, aeg UTC-s, IP-aadress ja brauseri klient, kust see tuli, ning hetkeseis ettevõtte nimest, registrikoodist, domeenist ja sisselogimise e-postist. Eesmärk: tõestada, milles lepiti kokku, kelle poolt ja millal. Alus: meie juriidiline kohustus suuta näidata kirjalikku artikli 28 lepingut, ja meie õigustatud huvi suuta esitada või kaitsta õigusnõuet. Need kirjed kirjutatakse üks kord ja rakendus ei uuenda neid kunagi.
Arveldus: Stripe'i kliendiidentifikaator, tellimuse staatus, kaardi kaubamärk ja neli viimast numbrit metaandmetena, ning arveldatavate tellimuste arv poe ja päeva kohta. Kaardiandmed ei jõua kunagi Heatrailini. Need sisestatakse Stripe'i enda lehtedel. Alus: lepingu täitmine, ja meie juriidiline kohustus pidada raamatupidamiskirjeid.
Sisselogimissessioonid: Sessioonikirje, mis hoiab IP-aadressi, brauseri kasutajaagenti ja viimase tegevuse aega, pluss rangelt vajalikud sessiooni- ja CSRF küpsised, mida kirjeldab küpsiste teatis. Eesmärk: hoida teid sisse logituna ja konto kaitstud. Alus: lepingu täitmine ja meie õigustatud huvi turvalisuse vastu.

Volitatud töötlejana

Poe kliendiandmed: meie roll volitatud töötlejana.

Kui poe kassa saadab kontrolli, on pood vastutav töötleja ja meie töötleme tema dokumenteeritud juhiste järgi. Andmetöötlusleping on toimiv tekst ja kliendi avalikustamisleht on selges keeles versioon ostjatele. Kokkuvõttes, ja kooskõlas mõlemaga:

Mida me saame. E-posti aadressi ja telefoninumbri pöördumatud räsad, arvutatud kahes etapis, esimene poe enda serveris, nii et toores aadress ja number ei jõua kunagi meieni, ja teine meie enda võtmega räsi enne, kui midagi salvestatakse. IP-aadress. Üldised tellimuse omadused: summa vahemik, toote riskiklass, kogus, konto vanuse klass ja viiteallika klass. Tellimuse viide ja sessiooni varjunimi. Kui pood on selle kihi sisse lülitanud, seadme üldised tehnilised omadused.

Mida me kunagi ei saa. Nimesid, postiaadresse, maksevahendi andmeid, tellimuse sisu ega tooreid kontaktandmeid. API lükkab tagasi väljad, mis jäävad lubatud nimekirjast välja, mitte ei salvesta neid vaikselt.

Mida me nendega teeme. Üks eesmärk: maksepettuse ennetamine ja avastamine. Tagastame nõuandva skoori ja põhjuste kategooriad. Me ei otsusta kunagi midagi tellimuse kohta, ja disain teeb võimatuks ostu peatamise, viivitamise või tühistamise. Kui pood kinnitab pettuse, panustab räsitud jälg jagatud signaali, ja ühe poe silt üksi ei saa kunagi tõsta võrgutaseme signaali, mida teine pood näeb.

Kui kaua. Üheksakümmend päeva signaalidele, siis automaatne kustutamine. Tuletatud kuumus loeb skoori kuni 400 päeva, täiskaalul esimesed 90 ja siis langus kolmandikuni päevaks 365. Kinnitatud pettuse tõendit võidakse hoida kauem, kui seda on vaja õigusnõude esitamiseks või kaitsmiseks, GDPR artikli 17(3)(e) alusel, dokumenteeritud otsusena nimetatud piiriga, mitte vaikimisi.

Vastuvõtjad

Vastuvõtjad, alltöötlejad ja edastamised.

Me ei müü isikuandmeid ega jaga neid kellegi teise turunduseks. Kolmandate osapoolte täielik nimekiri on piisavalt lühike, et trükkida.

Laravel Cloud: Rakenduse majutus, hallatud Postgres, võtmeväärtuse hoidla ja järjekorra töötajad, platvorm, millel teenus ja portaal jooksevad, piirkonnas eu-central-1 Frankfurtis.
Amazon Web Services: Arvutus, salvestus ja võrk Laravel Cloudi all, sealhulgas andmebaasi varukoopiad, seitsmepäevase säilituse ja ajahetke taastega. Sama piirkond, eu-central-1 Frankfurtis.
Alltöötlejate täielik nimekiri: Need kaks, ja mitte ühtegi teist, isikuandmete jaoks, mida me poodide nimel töötleme. AWS on loetletud omaette, mitte Laravel Cloudi sisse voldituna, et see nimekiri ja usalduskeskus annaksid hanke küsimustikule sama vastuse. Stripe allpool ei ole alltöötleja poe andmetöötluslepingu all, põhjusel, mille see kanne annab, ja Google Fonts ei ole lehel enam üldse.
Stripe: Maksed ja tellimuse arveldus ainult partnerikontodele, meie enda ärisuhe teiega, mitte kunagi poe kliendiandmed. Kaardiandmed sisestatakse Stripe'i lehtedel ja neid hoiab Stripe. Meie saame identifikaatori, staatuse ning kaardi kaubamärgi ja neli viimast numbrit. Stripe tegutseb ülemaailmselt, ja tema enda privaatsuspoliitika ja edastamise kaitsemeetmed reguleerivad seda töötlemist. Me viitame neile, mitte ei parafraseeri neid.
Google Fonts, eemaldatud 4. septembril 2026: Ainult see veebisait, ja ainult kirjatüüpide jaoks. Kuni 4. septembrini 2026 paljastas teie brauseri päring teie IP-aadressi ja kasutajaagendi Google'ile. Need tulevad nüüd sellelt domeenilt ja seda päringut enam ei ole, seega Google ei ole vastuvõtja. Rida jääb, mitte ei kao, sest lugeja, kes nägi vana, on õigustatud teadma, mis muutus, vt jagu 2.
Edastamised väljapoole ELi: Poodide nimel töödeldud isikuandmed jäävad Euroopa Liitu. Need on salvestatud Frankfurtis ja neid ei edastata väljapoole ELi ega EMPd. Kui see kunagi peab muutuma, nõuab andmetöötlusleping, et me paneksime esmalt paika GDPR-i nõutud kaitsemeetmed ja teavitaksime vastutavat töötlejat. Meie enda arveldussuhe Stripe'iga on erand pildist, mis on ainult ELis, ja ta on piiratud partnerikonto andmetega.
Asutused: Avaldame andmeid avalikule asutusele ainult seal, kus seadus meid kohustab, ja me ei saada automatiseeritud teateid õiguskaitsele, järelevalveasutustele ega partneritele. Kui operaator valmistab pettusemustri kohta memo, on see mustand, mille inimene üle vaatab ja saadab, mitte midagi, mida süsteem ise saadaks.

Säilitus

Säilitus.

Kontrollid: Kuni 90 päeva, siis kustutatakse öise puhastusega. Kirjed, mis on seotud aktiivse, tühistamata kinnitatud pettuse või chargeback tulemusega, on erand, vt rida allpool.
Tuletatud kuumus: Kuni 400 päeva, täiskaalul esimesed 90 ja siis langus kolmandikuni päevaks 365.
Kinnitatud pettuse tõend: Hoidetakse üle 90 päeva, kui seda on vaja õigusnõude esitamiseks, teostamiseks või kaitsmiseks ja pettuse ennetamise õigustatud huvi jaoks (GDPR artikkel 17(3)(e) koos põhjendusega 47). Iga selline säilitus on dokumenteeritud otsus nimetatud piiriga, tehtud koos vastutava töötlejaga, mitte avatud vaikimisi.
Logiraamat ja auditikirjed: Ainult lisatavat tervikluseahelat ja operaatori auditijälge ei kustutata kunagi. Midagi teenuses ei kustuta ega kirjuta neid ümber, ja iga muudatuse avastaks öine ahela läbimine ja allkirjastatud ankur. Need on minimeeritud disaini järgi ja kannavad ainult läbipaistmatuid viiteid: kirjete identifikaatoreid, tellimuste viiteid, räsi prefikseid, sündmuse metaandmeid. Kunagi tooreid identifikaatoreid. Kui kirje, millele logiraamatu kanne osutab, on puhastatud, on sisu kadunud, samal ajal kui tõend, et midagi ei kirjutatud ümber, jääb.
Portaalikontod: Konto olemasolu ajal, ja pärast seda nii kaua, kui meil on vaja õigusnõuet esitada või kaitsta.
Lepingu- ja raamatupidamiskirjed: Aktsepteerimiskirjeid hoitakse tõendina, et leping sõlmiti. Eesti raamatupidamisseadus nõuab raamatupidamiskirjete hoidmist seitse aastat.
Kirjavahetus: Kuni asi on elus, ja pärast seda aegumistähtaja jooksul.

Teie õigused

Teie õigused, ja kus neid teostada.

Kui te olete ostja, minge poodi, kust te ostsite. Ta on teie vastutav töötleja ja teie ainus kontaktpunkt, ja marsruut on praktiline sama palju kui juriidiline: meil ei ole kunagi teie e-posti aadressi ega telefoninumbrit, nii et me ei saa teid ühe järgi üles otsida. Pood normaliseerib ja rärib väärtuse oma poolel ja edastab taotluse. Me aitame andmetöötluslepingu alusel ja täidame vastutava töötleja otsuse. Kui te võtate meiega otse ühendust, ei ignoreeri me teid. Ütleme teile kirjalikult, et suunake see poe kaudu, ja ütleme poele samal päeval.

Üks piir kustutamisele. Kui andmed on seotud aktiivse, kinnitatud pettuse või chargeback tulemusega, võidakse kustutamistaotlus GDPR artikli 17(3) alusel keelduda. See keeldumine ei ole automaatne ega õlga kehitus: see on kirjalik kaalumisotsus, mis salvestab õigusliku aluse ja säilituspiiri, tagastatud vastutavale töötlejale koos põhjendustega, et seda saaks edasi anda ja, kui te ei nõustu, vaidlustada. Kõik, mis ei ole seotud kinnitatud pettusega, kustutatakse taotluse peale.

Kui te olete portaali kasutaja, ärikontakt või kirjutasite meile, kirjutage aadressile privacy@heatrail.eu. Teil on juurdepääsu, parandamise, kustutamise, töötlemise piiramise, vastuväite ja, kus see kehtib, ülekantavuse õigused. Võime küsida teilt teavet, et kindlaks teha, et taotlus on teie oma. GDPR annab meile vastamiseks ühe kuu, ja lubab seda pikendada, kui taotlus on keeruline. Ütleme teile, kui meil on vaja.

Kaebused. Te võite kaevata Andmekaitse Inspektsioonile, meie järelevalveasutusele, või selle ELi riigi järelevalveasutusele, kus te elate või töötate. Me eelistaksime, et te ütleksite esmalt meile, aga see on teie valik, mitte eeltingimus.

Me ei ole määranud andmekaitseametikku ega ole selleks kohustatud. Kontaktpunkt kõige jaoks selles teates on privacy@heatrail.eu.

Turvalisus

Turvalisus.

Meetmed on kirjeldatud seal, kus neid saab kontrollida, mitte väita: krüpteeritud transport, allkirjastatud API päringud korduskaitsega, kaheastmeline räsi nii et toored kontaktandmed ei jõua kohale, ainult lisatav logiraamat räsihelana öise Ed25519 ankru ja öise kontrolli lõksuga, nii et iga muudatus on avastatav, mis on väide, mida me teeme, mitte et muudatus oleks võimatu, kaheastmeline autentimine operaatorikontodel, ja operaatori lugemiste ning tegevuste auditijälg. Andmetöötluslepingu lõige 5 kohustub neid rakendama, ja turvaleht kirjeldab arhitektuuri ja selle piire.

Meie kontrollid on kaardistatud OWASP ASVS 2. taseme vastu. Kui isikuandmete rikkumine toimub, teavitame puudutatud vastutavaid töötlejaid põhjendamatu viivituseta pärast sellest teada saamist, ja teavitame järelevalveasutust ning andmesubjekte seal, kus GDPR seda nõuab.

Muudatused

Muudatused ja kontakt.

Selle teate oluline muudatus avaldatakse siin uue versioonina uue kuupäevaga, ja kui see puudutab lepingut, mille te olete juba aktsepteerinud, palutakse teil aktsepteerida uus versioon portaalis enne teenuse kasutamise jätkamist. Me ei muuda avaldatud versiooni paigal.

See on reegel, mis andis versiooni 1.1, 4. septembril 2026: versioon 1.0, 1. septembril 2026, loetles Google Fontsi teie IP-aadressi ja kasutajaagendi vastuvõtjana, ja 4. septembril 2026 kolisid kirjatüübid sellele domeenile, seega jagu 2 ja vastuvõtjate nimekiri jaos 6 kannavad nüüd nii vana käitumist kui selle eemaldamist.

Vastutav töötleja: Heatrail OÜ · Registry code 16731349
Mõisa 4, 13522 Tallinn, Estonia
Andmekaitse kontakt: privacy@heatrail.eu
Versioon: 1.1, published 4 September 2026

Leht, mida teie kliendid saavad lugeda.

Kliendi avalikustamisleht on kirjutatud ostjatele, mitte juristidele, ja ta on tahtlikult iseseisev: ilma skriptideta, ilma andmebaasita, ilma sõltuvusteta, nii et ta renderdub ka siis, kui kõik muu on maas. Viidake talle oma privaatsusteates, kui see aitab.

Kliendi avalikustamisleht Andmetöötlusleping Usalduskeskus