Tietosuojaliite Visma Signin Palveluehtoihin
Tietosuojaliite Visma Signin Palveluehtoihin
Tämä sopimusliite on oleellinen osa Visma Signin yleisiä palveluehtoja ja sääntelee siihen liittyvää henkilötietojen käsittelyä, joka on palveluehtojen kohta 5: Henkilötietojen käsittely.
1. Määritelmät
Henkilötietojen, erityisten henkilötietoryhmien (esimerkiksi arkaluontoiset henkilötiedot), henkilötietojen käsittelyn, rekisteröidyn henkilön (Rekisteröity), rekisterinpitäjän (Rekisterinpitäjä) ja henkilötietojen käsittelijän (Käsittelijä) määrittely vastaa termien käyttöä ja tulkintaa tietosuojaan liittyvässä lainsäädännössä, mukaan lukien EU:n yleisessä tietosuoja-asetuksessa (General Data Protection Regulation, GDPR) 25.5.2018 alkaen.
Asiakas toimii Rekisterinpitäjänä Visma Sign -palveluun tallettamiensa tietojensa osalta. Visma Solutions Oy toimii Käsittelijänä ja noudattaa toiminnassaan Visma-konsernin tietosuojaohjeistusta, joka on saatavilla osoitteessa xxxxx://xxxxxxx.xxxxxxxxxxxxxx.xxx ja jota sovelletaan kaikkiin Visman konserniyhtiöihin.
2. Sopimusliitteen sisältö
Tämä sopimusliite sääntelee Käsittelijän Rekisterinpitäjän puolesta tekemää henkilötietojen käsittelyä ja määrittelee sen, miten Käsittelijä osaltaan varmistaa yksityisyyden Rekisterinpitäjän ja sen Rekisteröityjen puolesta teknisillä ja organisatorisilla toimenpiteillä. Osapuolten tarkoituksena ei ole tässä liitteessä siirtää mitään Rekisterinpitäjän lakisääteisiä velvollisuuksia Käsittelijälle.
Käsittelijän Rekisterinpitäjän puolesta tekemän henkilötietojen käsittelyn tarkoitus on palvelusopimuksen ja tämän liitteen noudattaminen.
Ristiriitatilanteissa tämä liite on ensisijainen palvelusopimukseen tai osapuolten keskenään solmimiin muihin sopimuksiin nähden. Tämä liite on voimassa niin kauan kuin yksikin henkilötietojen käsittelyä sisältävä osapuolten välinen palvelusopimus on voimassa.
Käsittelijän velvollisuudet
Käsittelijä käsittelee henkilötietoja vain Rekisterinpitäjän puolesta ja Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Hyväksyessään tämän liitteen Rekisterinpitäjä ohjeistaa Käsittelijän käsittelemään henkilötietoja seuraavalla tavalla:
i) vain sovellettavien lakien mukaisesti,
ii) kaikkien palvelusopimuksesta johtuvien velvollisuuksien noudattamiseksi,
iii) Rekisterinpitäjän Käsittelijän palvelujen tavanomaiseen käyttöön liittyen erikseen määrittelemällä tavalla ja
iv) tässä liitteessä määritellyllä tavalla.
Käsittelijä ilmoittaa Rekisterinpitäjälle saadessaan tiedon sellaisista ohjeista tai muusta Rekisterinpitäjän käsittelytoimenpiteistä, jotka Käsittelijän mielestä rikkovat sovellettavaa tietosuojasääntelyä.
Tämän liitteen mukaisesti käsiteltävät rekisteröityjen henkilöiden ryhmät ja käsiteltävien henkilötietojen tyypit on lueteltu kohdassa A.
Käsittelijä auttaa Rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, ottaen mahdollisuuksien mukaan huomioon käsittelyn luonteen ja henkilötietojen käsittelijän saatavilla olevat tiedot, täyttämään Rekisterinpitäjän velvollisuuden vastata Rekisteröityjen GDPR:n jakson 3 mukaisiin pyyntöihin ja varmistaakseen yksityisyyden suojan GDPR:n 32–36 artiklojen edellyttämällä tavalla.
Jos Rekisterinpitäjä pyytää tietoja tai avustusta tietoturvaan liittyvistä toimenpiteistä, dokumentaatiosta tai muista Käsittelijän henkilötietojen käsittelyyn liittyvistä tiedoista, ja pyyntöjen sisältö poikkeaa Käsittelijän sovellettavan tietosuojasääntelyn vaatimusten mukaan esittämistä vakiotiedoista tai avustuksesta ja tästä aiheutuu ylimääräistä työtä Käsittelijälle, Käsittelijä voi veloittaa Rekisterinpitäjää tällaisista ylimääräisistä palveluista.
Käsittelijä varmistaa, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.
Käsittelijä ilmoittaa ilman aiheetonta viivytystä tietoturvaloukkauksista Rekisterinpitäjälle, jotta Rekisterinpitäjä voi täyttää lakisääteisen tietoturvaloukkauksiin liittyvän ilmoitusvelvollisuutensa tietosuojaviranomaisille ja Rekisteröidyille.
Lisäksi Käsittelijä ilmoittaa Rekisterinpitäjälle seuraavista asioista siinä määrin kuin se on asianmukaista ja laillista;
i) Rekisteröidyn esittämät pyynnöt saada pääsy henkilötietoihin,
ii) viranomaisten, kuten esimerkiksi poliisin, esittämät pyynnöt saada pääsy henkilötietoihin
Käsittelijä ei vastaa suoraan Rekisteröityjen pyyntöihin, ellei Rekisterinpitäjä ole valtuuttanut Käsittelijää toimimaan tällä tavalla. Käsittelijä ei anna pääsyä tämän liitteen perusteella käsiteltäviin henkilötietoihin viranomaisille, kuten esimerkiksi poliisille, muutoin kuin lain nojalla, esimerkiksi tuomioistuimen päätöksellä tai muulla vastaavalla määräyksellä.
Käsittelijä ei hallinnoi eikä vastaa siitä, miten Rekisterinpitäjä käyttää Käsittelijän tarjoamaa API-rajapintaa tai vastaavaa kolmannen osapuolen ohjelmistojen integroimiseksi käsittelijän tarjoamaan palveluun. Rekisterinpitäjä on täysin vastuussa näistä integraatioista.
Rekisterinpitäjän velvollisuudet
Rekisterinpitäjä vahvistaa seuraavat kohdat hyväksyessään tämän liitteen:
i. Tämä liite täyttää Rekisterinpitäjän sijoittautumismaan tietosuojalakien asettamat Rekisterinpitäjän kirjallista henkilötietojen käsittelysopimusta koskevat vaatimukset.
ii. Rekisterinpitäjä käsittelee henkilötietoja sovellettavan tietosuojasääntelyn mukaisesti käyttäessään Käsittelijän tarjoamia palveluja palvelusopimuksen mukaisesti.
iii. Rekisterinpitäjällä on lakisääteinen oikeus käsitellä ja siirtää kyseeseen tulevat henkilötiedot Käsittelijälle (myös Käsittelijän käyttämät alihankkijat).
iv. Rekisterinpitäjä on yksinomaan vastuussa Käsittelijälle luovutettujen henkilötietojen paikkansapitävyydestä, eheydestä, sisällöstä, luotettavuudesta ja laillisuudesta.
v. Rekisterinpitäjä on täyttänyt kaikki pakolliset viranomaisille henkilötietojen käsittelyyn liittyen tehtävät ilmoitukset ja lupien hankintaa koskevat velvollisuudet ja vaatimukset.
vi. Rekisterinpitäjä on täyttänyt velvollisuutensa tarjota oleellisia Rekisteröityjen henkilötietojen käsittelyyn liittyviä tietoja Rekisteröidyille sovellettavan pakollisen tietosuojasääntelyn mukaisesti.
vii. Rekisterinpitäjä on hyväksynyt, että Käsittelijän tässä liitteessä esittämät Rekisteröidyn yksityisyyden suojan ja henkilötietojen riittävän suojaamisen edellyttämät tekniset ja organisatoriset turvatoimet ovat riittävät.
viii. Rekisterinpitäjä käyttää Käsittelijän tarjoamia palveluja palvelusopimuksen mukaisesti ja ei välitä Käsittelijälle arkaluonteisia henkilötietoja kuin ainoastaan tämän liitteen kohdassa A yksiselitteisesti määritetyissä tapauksissa.
ix. Rekisterinpitäjä ylläpitää ajantasaista rekisteriä sellaisista käsittelemiensä henkilötietojen tyypeistä ja ryhmistä, joiden käsittely poikkeaa tämän liitteen kohdan A mukaisista henkilötietojen tyypeistä ja ryhmistä.
3. Alihankkijoiden käyttö ja tietojen siirtäminen
Käsittelijällä on oikeus siirtää palvelun toteuttamista varten henkilötietoja Euroopan unionin, Euroopan talousalueen tai muiden maiden sisällä, joiden Euroopan Komissio on todennut takaavan riittävän tietosuojan tason. Käsittelijällä on oikeus palvelun toteuttamista varten siirtää henkilötietoja EU/ETA-alueen ulkopuolelle vain Rekisterinpitäjän kirjallisella suostumuksella ja tietosuojalainsäädännön siirtoperusteiden mukaisesti.
Käsittelijä voi käyttää alihankkijoita palvelusopimuksen ja tämän liitteen mukaiseen palvelujen tarjoamiseen Rekisterinpitäjälle. Tällaiset alihankkijat voivat olla muita Visman konserniyhtiöitä tai ulkopuolisia, EU:ssa tai sen ulkopuolella sijaitsevia alihankkijoita. Käsittelijä varmistaa, että alihankkijat sitoutuvat noudattamaan tämän liitteen mukaisia velvollisuuksia vastaavia velvoitteita. Kaikkeen alihankkijoiden käyttöön sovelletaan Visma-konsernin tietosuojaohjeistusta.
Tämän liitteen kohdassa B on listattu Käsittelijän nykyiset alihankkijat, joilla on pääsy henkilötietoihin. Rekisterinpitäjä voi myös milloin tahansa pyytää täydellistä katsausta ja tarkempia tietoja palvelusopimukseen liittyvistä alihankkijoista. Kyseinen katsaus voidaan toimittaa Rekisterinpitäjälle Käsittelijän tietosuojaan dedikoidun verkkosivun kautta.
Käsittelijällä on oikeus vaihtaa alihankkijoita palvelusopimuksen voimassaoloaikana. Käsittelijä ilmoittaa Rekisterinpitäjälle ennakkoon kaikista henkilötietoja käsittelevien alihankkijoiden muutoksista. Rekisterinpitäjällä on oikeus vastustaa tällaisia muutoksia perustellusta syystä. Rekisterinpitäjän on ilmoitettava vastustamisesta ilman aiheetonta viivytystä sen jälkeen, kun se sai Käsittelijältä tiedon asiasta. Jos Rekisterinpitäjä ei hyväksy alihankkijan vaihtamista tai lisäämistä, Käsittelijällä on oikeus irtisanoa palvelusopimus 30 päivän irtisanomisajalla.
Hyväksyessään tämän liitteen Rekisterinpitäjä hyväksyy Käsittelijän alihankkijoiden käytön yllä kuvatulla tavalla.
4. Turvallisuus
Käsittelijä sitoutuu tarjoamaan turvallisuutensa puolesta korkeatasoisia tuotteita ja palveluja. Käsittelijä varmistaa asianmukaisen turvallisuuden organisatoristen, teknisten ja fyysisten turvatoimien avulla, jotka vastaavat GDPR:n artiklan 32 mukaisia tietoturvatoimia ottaen huomioon uusin tekniikka ja toteuttamiskustannukset suhteessa käsittelyyn liittyviin riskeihin ja suojattavien henkilötietojen luonteeseen tässä liitteessä täsmennetyllä tavalla.
Osapuolet sopivat palvelusopimuksessa erikseen ne toimenpiteet tai muut tietoturvamenettelyt, jotka Käsittelijä toteuttaa henkilötietojen käsittelyn osalta. Rekisterinpitäjä vastaa vastuullaan olevien tarvittavien laitteiden ja tietoteknisen käyttöympäristön asianmukaisesta ja riittävästä tietoturvallisuudesta.
5. Tarkastusoikeudet
Rekisterinpitäjä voi tarkastaa Käsittelijän tämän liitteen noudattamisen enintään kerran vuodessa. Rekisterinpitäjä voi pyytää tarkastusten suorittamista useammin, mikäli Rekisterinpitäjään sovellettava lainsäädäntö edellyttää tätä. Tarkastusta pyytäessään Rekisterinpitäjän on esitettävä Käsittelijälle yksityiskohtainen tarkastussuunnitelma, josta ilmenee tarkastuksen suunniteltu laajuus, kesto ja alkamispäivä, vähintään 4 viikkoa ennen tarkastuksen suunniteltua alkamisajankohtaa. Jos kolmas osapuoli suorittaa tarkastuksen, molempien osapuolten on sovittava tästä yhteisesti. Jos tietojen käsittely tapahtuu ympäristössä, jota käyttävät Käsittelijän muut asiakkaat tai muut kolmannet osapuolet, Käsittelijä voi vaatia, että, että turvallisuussyistä tarkastuksen suorittaa Käsittelijän valitsema neutraali kolmas osapuoli.
Jos pyydetyn tarkastuksen sisältöä on käsitelty kolmannen tarkastajan edeltävän 12 kuukauden aikana laatimassa ISAE-, ISO- tai vastaavassa raportissa, ja Käsittelijä vahvistaa, että oleellisia muutoksia ei ole tapahtunut tarkastetuissa toimenpiteissä, Rekisterinpitäjä sitoutuu hyväksymään raportin tulokset eikä vaadi kyseisen raportin sisältämien toimenpiteiden tarkastamista uudelleen.
Tarkastukset on joka tapauksessa tehtävä tavanomaisena työaikana paikan päällä Käsittelijän omien käytäntöjen mukaisesti eivätkä ne saa kohtuuttomasti häiritä Käsittelijän liiketoimintaa.
Rekisterinpitäjä vastaa kaikista pyytämiensä tarkastusten kustannuksista. Käsittelijällä on oikeus veloittaa Rekisterinpitäjää sellaisesta sovellettavan tietosuojasääntelyn noudattamiseksi tarjotusta avusta, joka ylittää Käsittelijän ja/tai Visma-konsernin Rekisterinpitäjälle tarjoaman liitteen tai palvelusopimuksen mukaisen palvelun.
6. Voimassaoloaika ja sopimuksen päättyminen
Tämä liite on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän puolesta palvelusopimuksen mukaisesti.
Tämän liitteen voimassaolo päättyy automaattisesti palvelusopimuksen päätyttyä. Tämän liitteen voimassaolon päättyessä Käsittelijä poistaa tai palauttaa Rekisterinpitäjän puolesta käsittelemänsä henkilötiedot palvelusopimuksen soveltuvien ehtojen mukaisesti. Jos muuta ei ole kirjallisesti sovittu, tästä aiheutuvat kustannukset lasketaan;
i) Käsittelijän tuntihinnan ja tähän työhön kuluneen tuntimäärän mukaisesti ja
ii) vaadittujen toimien vaativuuden perusteella.
Käsittelijä voi säilyttää henkilötiedot palvelusopimuksen päättymisen jälkeen siinä määrin kuin laki edellyttää, ja noudattamalla tässä liitteessä määriteltyjä vastaavia teknisiä ja organisatorisia turvallisuustoimenpiteitä.
7. Muutokset ja lisäykset
Liitteen muutoksissa noudatetaan Visma Sign -palvelun yleisissä palveluehdoissa kohdassa 7. Sopimuksen päättyminen ja voimassaoloa määriteltyä menettelytapaa.
Jos jokin tämän liitteen ehto osoittautuu pätemättömäksi, se ei vaikuta liitteen muiden ehtojen voimassaoloon. Osapuolet korvaavat pätemättömän ehdon laillisella ehdolla, jonka tarkoitus vastaa pätemätöntä ehtoa.
8. Vastuu
Osapuolet ovat sopineet seuraavaa:
Jos Rekisteröidylle aiheutuu vahinkoa GDPR:n rikkomisesta, kumpikin osapuoli vastaa itse Rekisteröidylle aiheutuneesta vahingosta GDPR:n 82 artiklan mukaisesti. Kumpikin osapuoli vastaa itse myös valvontaviranomaisen sille mahdollisesti määräämistä GDPR:n 83 artiklan mukaisista hallinnollisista sakoista.
Muilta osin yleisten palveluehtojen rikkomiseen tai GDPR:ään liittyvään muuhun vaatimukseen liittyvä vastuu määritellään Visma Sign -palvelun yleisten palveluehtojen kohdassa 8. Vastuut ja vastuunrajoitukset. Xxxxx sovelletaan myös Käsittelijän alihankkijoiden rikkomuksiin.
A. Rekisteröityjen henkilöiden ryhmät ja käsiteltävien henkilötietojen tyypit
Tämän liitteen mukaisesti käsiteltävät Rekisteröityjen henkilöiden ryhmät ja käsiteltävien henkilötietojen tyypit:
a. Rekisteröityjen henkilöiden ryhmät
i. asiakkaan henkilökunnan käyttäjät
ii. yksityishenkilöt
b. Käsiteltävien henkilötietojen tyypit
i. henkilön täydellinen nimi
ii. fyysinen osoite
iii. yhteystiedot
iv. käyttäjien lokitiedot ja IP osoitteet
v. tunnistuksen tekevän pankin tai operaattorin nimi
vi. henkilötunnus
vii. henkilötunnuksesta muutettu juokseva numero, kun henkilötunnus on poistettu tunnistuksen jälkeen
viii. y-tunnus
B. Nykyisten alihankkijoiden tiedot
Visman nykyiset alihankkijat, jotka osallistuvat Visma Sign -palvelun tuottamiseen ja näin käsittelevät Rekisterinpitäjän Visman palveluun tallentamia henkilötietoja ovat listattuna osoitteessa: xxxxx://xxxxxxxxxxxxxx.xxx/xxxxxxxxxx/xxxxxxxxxxxxxxx-xxxxxxxxx-xxxxx-xxxxxxxx/
Tällä hetkellä kaikki henkilötietoja käsittelevät alihankkijamme sijaitsevat EU/ETA-alueella eikä henkilötietoja siirretä tämän alueen ulkopuolelle.