Henkilötietojen käsittelysopimus

Tämä henkilötietojen käsittelysopimus (”Sopimus”) on osa yleiset sopimusehdot ja sitä sovelletaan siltä osin kuin Seviranta, joka on 1Star BV:n aputoiminimi, Zonnehorst 5, 7207 BT Zutphen, Alankomaat, kaupparekisterinumero (KvK) 65195876 (“Käsittelijä”), käsittelee henkilötietoja Asiakkaan (“Rekisterinpitäjä”) toimeksiannosta maksullisen palvelun yhteydessä. Käsitteillä on yleisessä tietosuoja-asetuksessa (“GDPR”) määritelty merkitys.

1. Kohde, luonne ja kesto

Käsittelijä käsittelee henkilötietoja yksinomaan sovitun palvelun tuottamiseksi: Asiakkaan verkkosivuston tai verkkosivustojen saavutettavuuden ja, mikäli tilattu, AI-läpinäkyvyyden testaamiseksi ja jatkuvaksi seuraamiseksi (chat-widgetin tunnistus ja AI-ilmoitus), niihin liittyvien Raporttien, Dossierin ja AI-rekisterin säilyttämiseksi sekä tilin ja laskutuksen hallinnoimiseksi. Sopimus on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Asiakkaan puolesta.

2. Henkilötietojen tyypit ja rekisteröidyt

• Tiedot: tili- ja yhteystiedot (nimi, sähköpostiosoite, yrityksen nimi), laskutustiedot (laskutusosoite, alv-numero) sekä käyttö- ja tilaustiedot. Skannatut verkkosivut ovat julkisia, ja ne tutkitaan yksinomaan teknisesti saavutettavuuden ja AI-läpinäkyvyyssignaalien osalta.
• Rekisteröidyt: Asiakkaan yhteyshenkilöt ja käyttäjät.
• Erityisiä henkilötietoryhmiä ei käsitellä.

3. Ohjeet

Käsittelijä käsittelee henkilötietoja yksinomaan Asiakkaan kirjallisten ohjeiden perusteella, mukaan lukien tämä Sopimus ja palvelun käyttö, ellei lakisääteinen velvoite muuta edellytä. Jos Käsittelijä katsoo, että ohje on ristiriidassa yleisen tietosuoja-asetuksen kanssa, hän ilmoittaa siitä.

4. Luottamuksellisuus

Käsittelijä varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon.

5. Tietoturva

Käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet (GDPR 32 art.), mukaan lukien salaus siirron aikana (TLS), salasanojen salattu tallennus, tarpeeseen perustuva pääsy (least privilege), rivitason pääsynhallinta tietokannassa ja käsittely mieluiten EU:n sisällä.

6. Alikäsittelijät

Asiakas antaa yleisen suostumuksen alikäsittelijöiden käyttöön. Käsittelijä asettaa jokaiselle alikäsittelijälle vähintään samat velvoitteet kuin tässä Sopimuksessa ja valitsee ensisijaisesti kumppaneita, joiden datan säilytys on EU:ssa. Toiminnallisesti kyseeseen tulevat muun muassa: tietokanta-, todennus- ja tallennuskumppani, skannaus- ja seurantainfrastruktuuri, verkkosivuston hosting, maksupalveluntarjoaja, transaktiosähköpostin palveluntarjoaja sekä infrastruktuuri- ja tietoturvakumppani.

Ajantasainen luettelo tietyistä alikäsittelijöistä (nimi, tehtävä ja sijainti) on Asiakkaan saatavilla pyynnöstä. Suunnitellusta alikäsittelijöiden muutoksesta Käsittelijä ilmoittaa Asiakkaalle etukäteen, jotta tämä voi esittää vastalauseen.

7. Avustaminen

Käsittelijä avustaa Asiakasta, ottaen huomioon käsittelyn luonteen, kohtuullisessa määrin rekisteröityjen pyyntöihin vastaamisessa (tarkastus, oikaisu, poistaminen jne.) sekä GDPR:n 32-36 artiklan mukaisten velvoitteiden noudattamisessa (turvallisuus, tietoturvaloukkaukset, tietosuojaa koskeva vaikutustenarviointi).

8. Tietoturvaloukkaukset

Käsittelijä ilmoittaa Asiakkaalle ilman kohtuutonta viivytystä saatuaan tiedon henkilötietojen tietoturvaloukkauksesta ja toimittaa käytettävissä olevat olennaiset tiedot, jotta Asiakas voi täyttää ilmoitusvelvollisuutensa.

9. Palauttaminen ja poistaminen

Sopimuksen päätyttyä Käsittelijä poistaa henkilötiedot tai palauttaa ne Asiakkaan valinnan mukaan, lukuun ottamatta tietoja, jotka Käsittelijän on lain mukaan säilytettävä (kuten laskut verotuksen säilytysvelvollisuuden nojalla). Asiakas voi viedä Dokumentaation itse ennen päättymistä.

10. Auditoinnit

Käsittelijä asettaa Asiakkaan saataville tiedot, jotka ovat tarpeen tämän Sopimuksen noudattamisen osoittamiseksi, ja myötävaikuttaa kohtuullisiin auditointeihin erikseen sovittaessa sekä luottamuksellisuutta ja palvelun jatkuvuutta noudattaen.

11. Siirrot ETA:n ulkopuolelle

Jos alikäsittelijä käsittelee tietoja Euroopan talousalueen ulkopuolella, se tapahtuu asianmukaisin suojatoimin, joita GDPR edellyttää (esimerkiksi Euroopan komission vakiosopimuslausekkeet).

12. Sovellettava tietosuojalainsäädäntö (kansainväliset järjestelmät)

Tämä Sopimus on laadittu käyttäen yleistä tietosuoja-asetusta (GDPR) korkeimpana standardina. Siltä osin kuin käsittelyyn sovelletaan muuta tietosuojalainsäädäntöä, tämän Sopimuksen määräyksiä sovelletaan soveltuvin osin (mutatis mutandis) myös kyseisen lainsäädännön nojalla, mukaan lukien UK GDPR (Yhdistynyt kuningaskunta), Sveitsin laki (nFADP) ja sovellettavat Yhdysvaltain osavaltiolait (kuten CCPA/CPRA). Kansainvälisiin siirtoihin sovelletaan vastaavia hyväksyttyjä mekanismeja siltä osin kuin ne ovat merkityksellisiä: EU:n vakiosopimuslausekkeet (SCC:t), Yhdistyneen kuningaskunnan International Data Transfer Addendum (IDTA) ja Sveitsin lisäys. Käsittelijä suosii EU:ssa tapahtuvaa tietojen tallennusta.

13. Kalifornia (CCPA/CPRA)

Siltä osin kuin Käsittelijä käsittelee henkilötietoja, jotka kuuluvat California Consumer Privacy Actin (CCPA) soveltamisalaan, sellaisena kuin se on CPRA:lla muutettuna, Käsittelijä toimii “service providerina”. Käsittelijä: (a) ei myy tai jaa näitä tietoja (ei CCPA:n tarkoittamaa “salea” tai “sharea”); (b) käsittelee niitä yksinomaan tässä Sopimuksessa kuvattuja liiketoiminnallisia tarkoituksia varten eikä omiin kaupallisiin tarkoituksiinsa; (c) ei säilytä, käytä tai luovuta niitä Asiakkaan välittömän liikesuhteen ulkopuolella; ja (d) antaa Asiakkaalle kohtuullista apua CCPA:n mukaisissa rekisteröityjen pyynnöissä.

14. Loppusäännökset

Jos tämä Sopimus ja yleiset sopimusehdot ovat ristiriidassa, tämä Sopimus on etusijalla henkilötietojen käsittelyn osalta. Tähän Sopimukseen sovelletaan Alankomaiden lakia. Kysymyksiä tai allekirjoitettu kappale? info@seviranta.com.