Privaatsusteade

Veebilehe turvakontroll · audit.oej.ee · versioon 1 · 25.10.2026

Vastutav töötleja

OEJ OÜ, registrikood 17394015, KMKR EE102940327, Toompuiestee 21, 10137 Tallinn, Eesti. Kontakt: info@oej.ee, +372 5846 0000.

Milliseid andmeid töötleme

1. Veebilehe aadress, mille sisestad.
2. Kontrolli tulemused. Need on avalik teave selle veebilehe kohta. Tulemustes võib olla nimesid või kontakte, mida veebileht ise avaldab.
3. Privaatne tulemuse link.
4. Hädavajalik seansiküpsis oej_session (kehtib 1 tund).
5. Sinu IP-aadress. Kasutame seda ainult kuritarvituste piiramiseks (päringute piirangud). IP-aadressi ennast me ei salvesta. Sellest tehakse võtmega räsi, mida hoitakse serveri mälus. Iga alustatud kontrolli juures hoitakse seda räsi kuni kontrolli kustutamiseni (30 päeva). Räsi võti vahetub, kui server taaskäivitub.
6. Makseandmed. Stripe töötleb sinu nime, e-posti ja kaardiandmeid. OEJ saab e-posti aadressi, summa ja makse oleku.
7. Arved ja raamatupidamise dokumendid, mida hoiame raamatupidamise seaduse järgi.
8. Sisselogimise ja konto loomise lehel, ka siis, kui sul kontot ei ole: hädavajalik küpsis __Host-oej_account_guest (sisselogimise samm, 1 tund). See tekib, kui avad sisselogimise või konto loomise lehe. Hoiame sellest ainult räsi ja kustutame selle 1 tunni pärast.
9. Konto toimingute päringupiirangud: konto loomise, sisselogimise ja taastamise katsed, ka ebaõnnestunud. Need aitavad vältida paroolide arvamist ja kuritarvitusi. Hoiame neid ainult võtmega räsidena kliendi ja sisestatud kasutajanime kohta, ilma IP-aadressita. Kustutame need, kui piirangu aeg lõpeb (kuni 1 tund).

Kui lood konto

Konto on vabatahtlik. Ainult siis, kui lood konto, töötleme lisaks:

1. kasutajanime;
2. kasutajanime ja parooliga konto puhul parooli kontrollväärtust (argon2 räsi; parooli ennast me ei salvesta);
3. kasutajanime ja parooliga konto puhul taastevõtme räsi;
4. kontole salvestatud tulemuste nimekirja;
5. konto keelevalikut (eesti või inglise);
6. konto turvasündmusi koos ajaga: konto loomine, sisse- ja väljalogimine, parooli muutmine, taastevõtme vahetus (30 päeva, kuni 100 viimast);
7. hädavajalikku konto küpsist __Host-oej_account (sisselogitud seanss kuni 8 tundi; 30 minutit tegevuseta lõpetab seansi).

E-posti aadressi konto jaoks ei küsita: e-posti teel taastamist ei ole.

Sisselogimine Google'i kontoga

Google'i kontoga sisselogimine on vabatahtlik. Võid kasutada ka kasutajanime ja parooli.

Kui logid sisse Google'i kontoga, salvestame ainult:

1. selle, et kasutasid Google'i kontot;
2. kasutajatunnuse, mille Google meile annab.

Google'i kaudu avatud kontol ei ole OEJ parooli ega taastevõtit: juurdepääsu taastad Google'i kaudu.

Sinu e-posti aadressi, nime ega pilti me ei salvesta.

Google saab teada, et logisid sisse OEJ veebilehe turvakontrolli. Selle kohta kehtivad Google'i enda privaatsustingimused.

OEJ konto kustutamisel kustub ka seos sinu Google'i kontoga. OEJ juurdepääsu võid eemaldada ka oma Google'i konto seadetes.

Töötlemise alus on sama mis konto puhul: leping ehk teenus, mida ise soovisid.

Milleks ja mis alusel

1. Leping: kontrolli tegemine, lühitulemuse ja täisaruande andmine, konto pidamine.
2. Õigustatud huvi: teenuse kaitse ja kuritarvituste vältimine; avaliku teabe töötlemine kontrollitava veebilehe kohta.
3. Seadusest tulenev kohustus: raamatupidamine.

Kellele andmed lähevad

1. Cloudflare: võrk ja sisuedastusvõrk (CDN). Cloudflare näeb külastajate IP-aadresse ja päringuid aadressile audit.oej.ee. Cloudflare vastab ka DNS-päringutele aadressil 1.1.1.1. Privaatsuspoliitika: https://www.cloudflare.com/privacypolicy/
2. Google: DNS-päringud aadressil 8.8.8.8. Google saab kontrollitava veebilehe domeeninime. Privaatsuspoliitika: https://policies.google.com/privacy
3. Stripe: maksed ja arved. Stripe saab ka arvel oleva lingi (tulemuse link või konto lehe link). Privaatsuspoliitika: https://stripe.com/privacy
4. Google: sisselogimine, ainult siis, kui valid Google'i kontoga sisselogimise. Google näeb, et logid sisse OEJ veebilehe turvakontrolli. Privaatsuspoliitika: https://policies.google.com/privacy

Need teenusepakkujad võivad andmeid töödelda ka väljaspool Euroopa Liitu (näiteks USAs). Selleks kasutatakse Euroopa Liidu heakskiidetud kaitsemeetmeid.

Me ei kasuta analüütikat ega reklaamiküpsiseid.

Kui kaua andmeid hoiame

1. Tulemused ja tõendid: 30 päeva kontrolli algusest, seejärel kustutame.
2. Varukoopiad on krüpteeritud ja asuvad samas serveris eraldi kettal. Varukoopiatest kustuvad andmed 14 päeva jooksul pärast seda.
3. Raamatupidamise dokumendid: 7 aastat.
4. Konto: kuni sa konto kustutad. Kontole salvestatud tulemused aeguvad ikka 30 päeva järel. Konto kustutamisel kustuvad ka kontole salvestatud tulemused. Varukoopiatest kustuvad konto andmed 14 päeva jooksul.

Sinu õigused

Sul on õigus küsida oma andmetele juurdepääsu, neid parandada või kustutada ning esitada töötlemisele vastuväide. Kirjuta info@oej.ee.

Kaebuse võid esitada Andmekaitse Inspektsioonile: https://www.aki.ee

Website security check · audit.oej.ee · version 1 · 2026-10-25

Controller

OEJ OÜ, registry code 17394015, VAT number EE102940327, Toompuiestee 21, 10137 Tallinn, Estonia. Contact: info@oej.ee, +372 5846 0000.

What data we process

1. The website address you enter.
2. The check results. These are public information about that website. The results may include names or contacts that the website itself publishes.
3. The private result link.
4. A strictly necessary session cookie oej_session (valid for 1 hour).
5. Your IP address. We use it only to limit abuse (rate limits). We do not store the IP address itself. A keyed hash is made from it and held in the server's memory. With each check that is started, this hash is kept until the check is deleted (30 days). The key for the hash changes when the server restarts.
6. Payment data. Stripe processes your name, email and card details. OEJ receives the email address, the amount and the payment status.
7. Invoices and accounting records, kept as the Accounting Act requires.
8. On the sign-in and account creation pages, even if you have no account: a strictly necessary cookie __Host-oej_account_guest (sign-in step, 1 hour). It is set when you open the sign-in or account creation page. We keep only a hash of it and delete it after 1 hour.
9. Rate limits for account actions: attempts to create an account, sign in or recover an account, including unsuccessful ones. They help prevent password guessing and abuse. We keep them only as keyed hashes of the client and the username entered, without the IP address. We delete them when the limit period ends (at most 1 hour).

If you create an account

An account is optional. Only if you create one, we also process:

1. the username;
2. for a username-and-password account, a password verifier (an argon2 hash; the password itself is not stored);
3. for a username-and-password account, a hash of the recovery key;
4. the list of results saved to the account;
5. the account's language choice (Estonian or English);
6. account security events with their time: account creation, sign-in and sign-out, password change, recovery key replacement (30 days, at most the last 100);
7. a strictly necessary account cookie __Host-oej_account (signed-in session up to 8 hours; 30 minutes without activity ends the session).

No email address is collected for the account: there is no recovery by email.

Signing in with Google

Signing in with Google is optional. You can also use a username and password.

If you sign in with Google, we store only:

1. that you used a Google account;
2. the user ID that Google gives us.

An account opened through Google has no OEJ password or recovery key: you restore access through Google.

We do not store your email address, name or picture.

Google learns that you signed in to OEJ's website security check. Google's own privacy terms apply to that.

Deleting your OEJ account deletes the link to your Google account. You can also remove OEJ's access in your Google account settings.

The legal basis is the same as for the account: contract, that is, providing the service you asked for.

Why and on what legal basis

1. Contract: running the check, providing the short result and the full report, keeping the account.
2. Legitimate interest: protecting the service and preventing abuse; processing public information about the checked website.
3. Legal obligation: accounting.

Who receives data

1. Cloudflare: network and content delivery network (CDN). Cloudflare sees visitors' IP addresses and requests to audit.oej.ee. Cloudflare also answers DNS lookups at 1.1.1.1. Privacy policy: https://www.cloudflare.com/privacypolicy/
2. Google: DNS lookups at 8.8.8.8. Google receives the domain name of the checked website. Privacy policy: https://policies.google.com/privacy
3. Stripe: payments and invoices. Stripe also receives the link that is on the invoice (the result link or the account page link). Privacy policy: https://stripe.com/privacy
4. Google: sign-in, only if you choose to sign in with Google. Google sees that you sign in to OEJ's website security check. Privacy policy: https://policies.google.com/privacy

These providers may process data outside the European Union (for example in the USA). They do so under safeguards approved by the European Union.

We do not use analytics or advertising cookies.

How long we keep data

1. Results and evidence: 30 days from the start of the check, then deleted.
2. Backups are encrypted and kept on a separate disk on the same server. Data in backups is deleted within 14 days after that.
3. Accounting records: 7 years.
4. Account: until you delete the account. Results saved to the account still expire after 30 days. Deleting the account also deletes the results saved to it. Account data is deleted from backups within 14 days.

Your rights

You have the right to access, correct or erase your data, and to object to its processing. Email info@oej.ee.

You can complain to the Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon): https://www.aki.ee