Henkilötietojen käsittelysopimus

1. Sopimusosapuolet ja soveltamisala

Rekisterinpitäjä: Tilviriin yritystilin rekisteröinyt tai erillisen pilottisopimuksen tehnyt yritys tai yrittäjä ("Asiakas").

Henkilötietojen käsittelijä: Monifix IT-palvelut Oy, Y-tunnus 3601766-4, Jukolantanhua 2, 85100 Kalajoki, yhteys info@tilvir.fi ("Tilvir").

Tämä sopimus on erottamaton osa osapuolten välistä Tilvirin palvelusopimusta ja koskee henkilötietoja, joita Asiakas tallentaa palveluun omien asiakkaidensa, työntekijöidensä ja muiden rekisteröityjen osalta. Sopimus tulee sitovaksi, kun toimivaltainen yrityksen edustaja hyväksyy sen Tilvirin rekisteröintivaiheessa tai osapuolet hyväksyvät sen kirjallisesti.

Tilvir toimii erillisenä rekisterinpitäjänä omille SaaS-käyttäjätileilleen, palvelun sopimushallinnalleen ja tietoturvan hallinnan tiedoilleen. Niitä koskee erillinen tietosuojaseloste.

2. Käsittelyn kohde, kesto ja luonne (liite A)

Kohde ja tarkoitus: Asiakkaan työtilausten, huoltokohteiden, omien asiakassuhteiden, tarjousten, laskujen, asiakasportaalin ja palveluun liittyvän viestinnän tekninen käsittely Asiakkaan lukuun.

Kesto: palvelusopimuksen voimassaolo ja sen päättymisen jälkeinen erikseen kuvattu tietojen palautus- ja poistamisvaihe.

Käsittelytoimet: tallentaminen, jäsentely, näyttäminen valtuutetuille käyttäjille, muokkaaminen, tekninen varmuuskopiointi, välittäminen sovittujen sähköpostitoimintojen kautta sekä poistaminen.

Rekisteröityjen ryhmät: Asiakkaan työntekijät ja yhteyshenkilöt, Asiakkaan kuluttaja- tai yritysasiakkaiden yhteyshenkilöt sekä palvelun asiakasportaalia käyttävät henkilöt.

Henkilötietoryhmät: nimi, yhteystiedot, yritys, työtilausten ja huoltotapahtumien kuvaustiedot, huoltokohteeseen liittyvät tunnisteet sekä tarjouksiin, laskuihin ja viestintään kuuluvat tiedot. Asiakas vastaa tallentamansa vapaan tekstin sisällöstä.

Rajoitukset: Asiakas ei saa tallentaa tarpeettomia erityisiin henkilötietoryhmiin kuuluvia tietoja, henkilötunnuksia tai arkaluonteista tietoa ilman erillistä nimenomaista sopimusta ja asianmukaisia turvatoimia. Tilvir ei tarjoa asiakastiedostojen tai liitteiden tallennusominaisuutta.

3. Ohjeet, vastuut ja luottamuksellisuus

Tilvir käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden, tämän sopimuksen ja palvelun sovitun toiminnan mukaisesti, jollei unionin tai jäsenvaltion lainsäädäntö muuta edellytä. Tällöin Asiakkaalle ilmoitetaan lain vaatimuksesta etukäteen, jollei se ole oikeudellisesti kiellettyä.

Asiakas vastaa käsittelyn lainmukaisesta perustasta, rekisteröityjen informoinnista, käyttötarkoitusten määrittämisestä sekä käyttäjien käyttöoikeuksista. Tilvir ilmoittaa Asiakkaalle, jos se katsoo ohjeen rikkovan tietosuojalainsäädäntöä.

Tilvir varmistaa, että henkilötietoihin pääsevät vain valtuutetut, salassapitovelvoitteen alaiset henkilöt. Tilvir ei käytä Asiakkaan sisältötietoja omiin markkinointitarkoituksiinsa eikä myy niitä.

4. Turvatoimet (liite B)

Tilvir ylläpitää käsittelyn riskeihin nähden asianmukaisia teknisiä ja organisatorisia suojauksia ja arvioi niitä säännöllisesti. Suunniteltuja ja sovelluksessa toteutettuja suojauskerroksia ovat HTTPS-yhteys, palvelinpuoliset yrityskohtaiset käyttöoikeustarkistukset, kirjautumisen kaksivaiheinen tunnistautuminen, lokitus, tietojen säilytysmenettely, tietoturvapäivitykset sekä varmuuskopioiden palautusmenettely.

Asiakkaan käyttäjien oikeudet rajataan rooleilla. Tuotantoympäristön suojauksen, palautustestien ja yrityseristystestien tarkistukset dokumentoidaan erillisessä turvallisuustodennuksessa ennen oikean asiakastiedon käsittelyä. Tämä sopimus ei yksin ole todistus testien suorittamisesta.

5. Alikäsittelijät (liite C)

Asiakas myöntää yleisen kirjallisen valtuutuksen alla luetelluille ja asianmukaisesti ilmoitetuille henkilötietojen alikäsittelijöille niiden sovitussa roolissa. Tilvir vastaa siitä, että varsinaisten alikäsittelijöiden kanssa on tarvittavat tietosuojasopimukset ja vähintään vastaavat tietosuojavelvoitteet.

Cloudflare Turnstilen mahdollinen itsenäisen rekisterinpitäjän rooli arvioidaan erikseen sen tietosuojadokumentaation mukaan; kaikkia teknisiä toimittajia ei välttämättä pidetä kaikissa käsittelytoimissa alikäsittelijöinä. Tilvir tiedottaa olennaisista alikäsittelijämuutoksista Asiakkaalle ennakkoon mahdollisuuksien mukaan ja antaa mahdollisuuden esittää perustellun tietosuojaväitteen. Jos väitettä ei voida ratkaista, sovitaan kyseisen käsittelyn tai palvelun päättämisestä.

6. Kansainväliset tietosiirrot

Tilvirin MySQL-tietokanta sijaitsee Frankfurtissa (EU). Laravel Cloudin ylläpitoon ja Cloudflare Turnstileen voi liittyä henkilötietojen käsittelyä ETA:n ulkopuolella, kuten Yhdysvalloissa. Mahdollisiin ETA:n ulkopuolisiin siirtoihin on sovellettava GDPR:n V luvun siirtoperustetta, kuten komission riittävyyspäätöstä tai vuoden 2021 vakiosopimuslausekkeita tarvittavine lisäsuojatoimineen. Tarkempia siirtoperustetietoja saa osoitteesta info@tilvir.fi.

Tilvir ei siirrä Asiakkaan henkilötietoja ETA:n ulkopuolelle ilman soveltuvan GDPR V luvun siirtoperusteen ja tarvittavien suojatoimien varmistamista. Tämä DPA ei yksin ole kansainvälisiä siirtoja koskeva Euroopan komission vakiosopimuslausekesopimus (SCC); soveltuvat sopimukset tehdään erikseen asianosaisten kesken.

7. Rekisteröidyn oikeudet ja rekisterinpitäjän avustaminen

Tilvir avustaa Asiakasta käytettävissä olevilla tiedoilla ja kohtuullisin teknisin toimin rekisteröityjen tarkastus-, oikaisu-, poisto- ja muissa oikeuspyynnöissä. Jos pyyntö koskee Asiakkaan sisältötietoja ja saapuu suoraan Tilvirille, se ohjataan Asiakkaalle, ellei laki muuta vaadi.

Tilvir avustaa mahdollisuuksiensa mukaan Asiakasta tietoturvaloukkauksen arvioinnissa, vaikutustenarvioinnissa ja tietosuojaviranomaisten kuulemisessa GDPR:n mukaisesti.

8. Henkilötietojen tietoturvaloukkaukset

Tilvir ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietoonsa Asiakkaan henkilötietoihin kohdistuneen tietoturvaloukkauksen ja antaa käytettävissään olevat tiedot tapahtumasta, sen todennäköisistä vaikutuksista ja korjaavista toimista. Tietoja voidaan täydentää vaiheittain. Asiakas vastaa rekisterinpitäjälle kuuluvista viranomais- ja rekisteröityilmoituksista. Ilmoituskanava: info@tilvir.fi.

9. Tietojen palautus ja poistaminen (liite D)

Asiakkaalla on 30 päivää palvelusopimuksen päättymisestä aikaa sopia tietojen viennistä Tilvirin kanssa. Asiakkaan sisältötietojen tavoitteellinen poistamisen takaraja on 60 päivää ja vain päättyneeseen asiakkuuteen kuuluvien käyttäjätilien 90 päivää. Poistot käynnistetään erillisellä, dokumentoidulla hallintamenettelyllä sen jälkeen, kun vienti on vahvistettu. Automatisoidut poistot ovat oletusarvoisesti pois käytöstä; ellei menettelyä saada toteutettua määräajassa, osapuolet sopivat tarvittavat jatkotoimet ja tiedottamisen.

MySQL-varmuuskopiot säilyvät 30 päivän kiertoajan mukaisesti. Säilytysvelvoitteet, vireillä olevat oikeusvaateet, laskutusasiakirjat sekä tarvittavat tutkintalukot voivat edellyttää rajattua pidempää säilytystä. Tällaiset tiedot eristetään muusta käytöstä lain sallimassa laajuudessa ja poistetaan, kun peruste päättyy.

Tilvir vahvistaa pyynnöstä toteutetun palautuksen tai poiston sovitussa laajuudessa. Tietojen poistaminen varmuuskopioista tapahtuu kierron myötä; palautustilanteessa aikaisemmat poistot on huomioitava uudelleen.

10. Tarkastusoikeus ja sopimuksen päättyminen

Tilvir antaa Asiakkaalle kohtuudella tarvittavat tiedot GDPR 28 artiklan velvoitteiden osoittamiseksi ja mahdollistaa dokumentoidut, tarkoituksenmukaiset tarkastukset sovittuna aikana, luottamuksellisuutta ja muiden asiakkaiden tietoturvaa vaarantamatta. Tarkastuksesta ja mahdollisista kustannuksista sovitaan etukäteen; tämä ei rajoita pakottavia lakisääteisiä oikeuksia.

Mahdollisessa ristiriidassa käsittelyohjeita ja henkilötietojen suojaamista koskevissa kohdissa tätä DPA:ta sovelletaan ensisijaisesti yleisiin käyttöehtoihin nähden. Suomen lakia sovelletaan siltä osin kuin pakottava EU-oikeus ei edellytä muuta.