Tietojenkäsittelyehdot

1. Osapuolet ja etusijajärjestys

Rekisterinpitäjä on Vuoromajurin tilausvahvistuksessa tai asiakassopimuksessa nimetty asiakas. Käsittelijä on Mainos 21 Oy, Y-tunnus 2347006-4. Nämä ehdot täydentävät pääsopimusta. Tietosuoja-asioissa nämä ehdot ovat ensisijaiset suhteessa ristiriitaiseen pääsopimuksen ehtoon.

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

Käsittely koskee Vuoromajuri-palvelun toimittamista, ylläpitoa, tukea, tietoturvaa, varmuuskopiointia ja asiakkaan käyttöön ottamia moduuleja. Käsittely kestää pääsopimuksen voimassaolon ja sen jälkeen vain tietojen palauttamisen, poistamisen, varmuuskopioiden kierron tai lain vaatiman säilytyksen ajan. Käsittelytoimia ovat tietojen vastaanottaminen, tallentaminen, järjestäminen, haku, näyttäminen, muuttaminen, siirtäminen asiakkaan ohjeesta, suojaaminen ja poistaminen.

3. Henkilötietojen tyypit ja rekisteröidyt

Tietotyyppejä voivat olla yhteys- ja tunnistetiedot, käyttäjätilit, roolit, organisaatiojäsenyydet, vuorot, tapahtumat, viestit, palautteet, saapumiset, ajoneuvot, sopimukset, perheenjäsenet, henkilötunnukset, avainkortit, palkinnot, lainat, huoltopyynnöt, sähkömittarit ja -lukemat, tiedostot, IP-osoitteet sekä auditointitiedot. Rekisteröityjä voivat olla asiakkaan henkilöstö, jäsenet, vapaaehtoiset, hallinnon käyttäjät, asiakkaat, vieraat, sopimusosapuolet ja heidän perheenjäsenensä.

4. Dokumentoidut ohjeet

Käsittelijä käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden ja pääsopimuksen mukaisesti, myös kansainvälisten siirtojen osalta. Palvelun tavanomainen käyttö, asetukset, tukipyynnöt ja kirjalliset viestit muodostavat ohjeita. Jos käsittelijä katsoo ohjeen rikkovan tietosuojalainsäädäntöä, se ilmoittaa tästä viipymättä ja voi keskeyttää ohjeen toteuttamisen asian selvittämiseksi. Lakiin perustuvasta käsittelystä ilmoitetaan asiakkaalle etukäteen, ellei laki kiellä ilmoittamista.

5. Luottamuksellisuus ja henkilöstö

Käsittelijä varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet luottamuksellisuuteen, saavat tarpeellisen tietosuoja- ja tietoturvaohjeistuksen ja käyttävät tietoja vain tehtäviensä edellyttämässä laajuudessa.

6. Turvallisuus

Käsittelijä toteuttaa riskitasoon nähden asianmukaiset tekniset ja organisatoriset toimet. Näihin kuuluvat tilanteen mukaan käyttöoikeuksien ja organisaatioiden erottelu, salatut yhteydet, salasanojen tiivistys, henkilötunnusten kenttäsalaus, lokitus, varmuuskopiointi, haavoittuvuuksien hallinta, palautumiskyky ja käyttöoikeuksien rajaaminen. Toimia arvioidaan teknisen kehityksen, kustannusten, käsittelyn luonteen ja rekisteröityihin kohdistuvien riskien perusteella.

7. Alikäsittelijät

Asiakas antaa yleisen kirjallisen luvan käyttää palvelun toimittamiseen tarvittavia alikäsittelijöitä. Keskeisiä alikäsittelijöitä ovat Hetzner (infrastruktuuri ja tietokanta; ympäristöä hallitaan itse ylläpidetyllä Coolify-ohjelmistolla), Cloudflare (R2-tiedostot ja sisällönjakelu), Resend (sähköposti), 46elks (tekstiviestit) ja Sentry (valinnainen virhevalvonta). Käsittelijä pitää ajantasaista luetteloa ja ilmoittaa suunnitellusta lisäyksestä tai vaihdosta kohtuullisesti etukäteen.

Asiakas voi vastustaa uutta alikäsittelijää perustellusta tietosuojasyystä. Osapuolet pyrkivät kohtuulliseen vaihtoehtoon; jos vaihtoehtoa ei ole kohtuudella saatavilla, asiakas voi päättää kyseisen palveluosan. Alikäsittelijälle asetetaan olennaisesti samat tietosuojavelvoitteet, ja käsittelijä vastaa alikäsittelijän velvoitteiden täyttämisestä lain edellyttämässä laajuudessa.

8. Kansainväliset siirrot

Henkilötietoja siirretään ETA:n ulkopuolelle vain asiakkaan ohjeen ja tietosuojalainsäädännön mukaisesti. Siirtoperusteena käytetään soveltuvin osin riittävyyspäätöstä, EU–USA-tietosuojakehystä tai Euroopan komission vakiolausekkeita sekä siirron riskiarvioinnin edellyttämiä lisätoimia. Käsittelijä toimittaa pyynnöstä olennaiset tiedot siirtomekanismista.

9. Rekisteröityjen pyynnöt

Käsittelijä välittää saamansa pyynnön asiakkaalle ilman aiheetonta viivytystä eikä vastaa siihen asiakkaan puolesta ilman valtuutusta. Käsittelijä auttaa kohtuullisin teknisin ja organisatorisin keinoin asiakasta tietojen tarkastamisessa, oikaisussa, poistamisessa, rajoittamisessa, siirtämisessä ja vastustamisoikeuden toteuttamisessa, ottaen huomioon käsittelyn luonteen.

10. Avustaminen ja tietoturvaloukkaukset

Käsittelijä avustaa asiakasta käsittelyn turvallisuutta, vaikutustenarviointeja ja ennakkokuulemisia koskevissa velvoitteissa saatavillaan olevien tietojen puitteissa. Henkilötietojen tietoturvaloukkauksesta ilmoitetaan asiakkaalle ilman aiheetonta viivytystä sen tultua käsittelijän tietoon. Ilmoitus sisältää saatavilla olevat tiedot tapahtuman luonteesta, rekisteröidyistä ja tiedoista, todennäköisistä seurauksista, yhteyspisteestä sekä toteutetuista tai suunnitelluista korjaustoimista. Tietoja voidaan täydentää vaiheittain.

11. Tietojen palauttaminen ja poistaminen

Pääsopimuksen päättyessä käsittelijä poistaa tai palauttaa asiakkaan valinnan mukaan käsiteltävät henkilötiedot ja poistaa jäljennökset, ellei unionin tai jäsenvaltion laki edellytä säilyttämistä. Asiakkaan on ilmoitettava valintansa ja noudettava tarvitsemansa aineisto ennen palvelun sulkemista. Varmuuskopioissa olevat tiedot poistuvat suojatun normaalin kierron yhteydessä eikä niitä palauteta aktiiviseen käyttöön muuhun kuin palautumistarkoitukseen.

12. Osoitusvelvollisuus ja auditoinnit

Käsittelijä toimittaa asiakkaalle velvoitteiden noudattamisen osoittamiseksi kohtuudella tarvittavat tiedot. Asiakkaalla tai sen valtuuttamalla riippumattomalla auditoijalla on oikeus auditointiin enintään kerran vuodessa sekä perustellusti tietoturvaloukkauksen tai viranomaisvaatimuksen yhteydessä. Auditointi sovitaan etukäteen, tehdään normaalina työaikana, ei saa vaarantaa muiden asiakkaiden tietoja tai turvallisuutta ja perustuu ensisijaisesti olemassa oleviin raportteihin ja etäselvitykseen. Asiakas vastaa omista kustannuksistaan; käsittelijä voi veloittaa tavanomaisen hinnaston mukaisen kohtuullisen työn, ellei auditointi osoita olennaista rikkomusta.

13. Asiakkaan velvollisuudet

Asiakas vastaa käsittelyn lainmukaisuudesta, oikeusperusteista, informoinnista, rekisteröityjen pyyntöihin vastaamisesta, tietojen minimoinnista, säilytysajoista, käyttäjien valtuuttamisesta ja antamiensa ohjeiden lainmukaisuudesta. Asiakas arvioi vaikutustenarvioinnin tarpeen etenkin käsitellessään henkilötunnuksia tai muita korkean riskin tietoja.

14. Vastuu

Osapuolten vastuu määräytyy yleisen tietosuoja-asetuksen 82 artiklan, muun pakottavan lain ja pääsopimuksen vastuunrajoitusten mukaisesti. Vastuunrajoitukset eivät rajoita rekisteröidyn tai valvontaviranomaisen pakottavia oikeuksia.

15. Voimassaolo ja yhteydenpito

Ehdot ovat voimassa niin kauan kuin käsittelijä käsittelee asiakkaan henkilötietoja. Tietosuojaa koskevat ilmoitukset lähetetään sopimuksen yhteyshenkilöille ja osoitteeseen [email protected]. Muutokset, jotka ovat tarpeen lain tai palvelun muuttumisen vuoksi, ilmoitetaan asiakkaalle ennen voimaantuloa.