HENKILÖTIETOJEN KÄSITTELYSOPIMUS

HENKILÖTIETOJEN KÄSITTELYSOPIMUS

1 Johdanto

Tätä henkilötietojen käsittelysopimusta (”Liite”) sovelletaan Fonecta Oy:n tai sen kanssa samaan konserniin kuuluvien yhtiöiden (jäljempänä “Toimittaja”) ja asiakkaan (”Asiakas”) välillä solmittuihin sopimuksiin, liittyen Fonectan tuotteisiin ja palveluihin, joissa käsitellään Asiakkaiden henkilötietoja (”Sopimus”).

Tässä Liitteessä sovitaan Asiakkaan henkilötietojen tietosuojasta ja tietoturvasta Toimittajan palveluissa. Tämä Liite muodostaa osapuolten välille EU:n yleisen tietosuoja-asetuksen (679/2016) mukaisen kirjallisen sopimuksen henkilötietojen käsittelystä. Välittömästi EU:n tietosuoja-asetukseen perustuvat velvollisuudet ja oikeudet tulevat voimaan vasta, kun EU:n tietosuoja-asetuksen soveltaminen alkaa 25.5.2018.

Jos tämän Liitteen ja Sopimuksen henkilötietojen käsittelyä koskevat ehdot ovat ristiriidassa keskenään, osapuolet soveltavat ensisijaisesti tämän Liitteen ehtoja.

2 Määritelmät

Tässä Liitteessä tarkoitetaan EU:n tietosuoja-asetuksen mukaisesti

“rekisterinpitäjällä” Asiakasta, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.

“käsittelijällä” Toimittajaa, joka käsittelee henkilötietoja rekisterinpitäjän lukuun Sopimuksen perusteella.

“käsittelyllä” toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.

“henkilötiedoilla” kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ”rekisteröityyn”, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

“henkilötietojen tietoturvaloukkauksella” tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.

3 Tietosuoja ja henkilötietojen käsittely

3.1 Toimittajan ja Asiakkaan vastuut

Toimittaja käsittelee Asiakkaan henkilötietoja Asiakkaan lukuun ja tämän toimeksiannosta Sopimuksen perusteella. Henkilötietoja voivat olla esim. työntekijöitä, asiakkaita taikka muita luonnollisia henkilöitä koskevat tiedot. Xxxxxxx on palvelussa käsiteltävien henkilötietojensa rekisterinpitäjä ja Toimittaja käsittelijä. Osapuolet sitoutuvat noudattamaan Suomessa ja EU:ssa kulloinkin voimassa olevaa henkilötietojen käsittelyä koskevaa lainsäädäntöä, asetuksia sekä viranomaisten määräyksiä ja ohjeistuksia ja tarvittaessa muuttamaan tämän Liitteen ehtoja niiden mukaiseksi.

Rekisterinpitäjänä Asiakas on vastuussa siitä, että sillä on tarvittavat oikeudet ja suostumukset Sopimuksen mukaiseen henkilötietojen käsittelyn. Asiakas vastaa selosteen laatimisesta ja saatavilla pidosta sekä rekisteröityjen informoinnista ja ilmoituksista tietosuojaviranomaisille. Asiakas vastaa Toimittajalle antamiensa henkilötietojen oikeellisuudesta.

Asiakkaalla on oikeus ja velvollisuus määrittää henkilötietojen käsittelyn tarkoitus ja keinot. Käsittelyn kohde, luonne ja tarkoitus on tarkemmin määritelty Sopimuksessa. Fonectan palveluissa käsiteltävien henkilötietojen tyypit ja rekisteröityjen ryhmät on määritelty Liitteessä 1 tai palvelukuvauksessa/palvelusopimuksessa.

Toimittajalla on oikeus käsitellä Asiakkaan henkilötietoja ja muita Asiakkaan tietoja vain Sopimuksen, tämän Liitteen ja Asiakkaan kirjallisten ohjeiden mukaisesti ja vain siltä osin ja siten kuin on tarpeellista palveluiden toimittamiseksi. Toimittaja ilmoittaa Asiakkaalle, mikäli ohjeissa havaitaan EU:n tai Suomen tietosuojasäännösten vastaisuutta ja tällöin Toimittaja voi välittömästi kieltäytyä ja lopettaa soveltamasta Asiakkaan ohjeita.

Toimittaja ylläpitää palvelun kuvausta tai muuta EU:n tietosuoja-asetuksen vaatimaa selostetta palvelussa suoritettavista käsittelytoimista. Toimittajalla on oikeus kerätä Sopimuksen mukaisten palvelujen käytöstä anonyymiä ja tilastollista tietoa, joka ei yksilöi Asiakasta eikä rekisteröityjä ja käyttää sitä palvelujensa analysointiin ja kehittämiseen.

3.2 Tietojen poisto/palauttaminen

Sopimuksen päätyttyä Toimittaja palauttaa tai poistaa, Asiakkaan antaman ohjeistuksen mukaisesti, kaikki Asiakkaan henkilötiedot Asiakkaalle sekä poistaa olemassa olevat jäljennökset, ellei sovellettava lainsäädäntö edellytä henkilötietojen säilyttämistä.

3.3 Alihankkijat

Toimittajalla on oikeus käyttää alihankkijoita Asiakkaan henkilötietojen käsittelyssä. Toimittaja vastaa alihankkijoiden toimista kuin omistaan ja laatii alihankkijoiden kanssa vastaavat kirjalliset sopimukset henkilötietojen käsittelystä. Toimittaja ilmoittaa pyydettäessä Asiakkaalle etukäteen alihankkijoista, joita se aikoo käyttää Sopimuksen mukaiseen henkilötietojen käsittelyyn. Asiakkaalla on perustellusta syystä oikeus vastustaa uuden alihankkijan käyttöä.

3.4 Toimittajan avustamisvelvollisuus

Toimittaja siirtää Asiakkaalle kaikki Rekisteröidyiltä saamansa henkilötietojen tarkastamista, oikaisemista, poistamista tai niiden käsittelyn kieltämistä koskevat pyynnöt tai muut Rekisteröidyltä saamansa pyynnöt. Asiakkaan velvollisuutena on huolehtia ko. pyyntöihin vastaamisesta. Ottaen huomioon käsittelytoimen luonteen, Toimittaja auttaa Asiakasta asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään Asiakkaan velvollisuuden vastata Rekisteröidyn pyyntöihin.

Toimittaja on velvollinen, ottaen huomioon henkilötietojen käsittelyn luonteen ja sen saatavilla olevat tiedot, auttaa Asiakasta varmistamaan, että sille laissa asetettuja velvollisuuksia noudatetaan. Nämä velvollisuudet voivat käsittää tietoturvallisuutta, tietoturvaloukkauksista ilmoittamista, tietosuojaa koskevaa vaikutustenarviointia ja ennakkokuulemista koskevia velvoitteita. Toimittaja on velvollinen avustamaan Asiakasta ainoastaan sovellettavan tietosuojalainsäädännön henkilötiedon käsittelijälle asettamien velvoitteiden mukaisessa laajuudessa. Ellei toisin sovita, Toimittajalla on oikeus laskuttaa tämän sopimuskohdan mukaisista toimista aiheutuvat kustannukset voimassa olevan hinnastonsa mukaisesti.

Toimittaja ohjaa kaikki tietosuojaviranomaisten tiedustelut suoraan Asiakkaalle, eikä Toimittajalla ei ole valtuuksia edustaa Asiakasta tai toimia Asiakkaan puolesta Asiakasta valvovien tietosuojaviranomaisten kanssa.

4 Käsittely EU:n / ETA:n ulkopuolella

5 Auditointi

Toimittaja ja sen alihankkijat eivät käsittele henkilötietoja EU-/ETA-alueen ulkopuolella ilman Asiakkaan kirjallista suostumusta, joka annetaan lähtökohtaisesti palvelusopimuksessa.

Osapuolet sopivat kirjallisesti etukäteen kaikista Asiakkaan tietojen siirroista tai käsittelystä EU:n/ETA:n ulkopuolella ja niihin sovelletaan lähtökohtaisesti Euroopan Unionin hyväksymiä mallisopimuslausekkeita henkilötietojen siirtämisestä EU:n/ETA:n ulkopuolelle.

Asiakkaalla tai tämän valtuuttamalla auditoijalla (joka ei kuitenkaan saa olla Toimittajan kilpailija) on oikeus auditoida Liitteen alainen toiminta. Sopijapuolet sopivat auditoinnin ajankohdasta ja muista yksityiskohdista hyvissä ajoin ja vähintään 14 työpäivää ennen tarkastusta. Auditointi tulee suorittaa tavalla, joka ei haittaa Toimittajan ja sen alihankkijoiden sitoumuksia kolmansiin osapuoliin nähden. Asiakkaan edustajien ja auditoijan on allekirjoitettava tavanomaiset salassapitositoumukset.

Osapuolet vastaavat omalta osaltaan auditoinnista aiheutuvista kustannuksista.

6 Tietoturva

Toimittaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Asiakkaan henkilötietojen suojaamiseksi ottaen huomioon käsittelyn sisältämät riskit,

erityisesti siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen tahaton tai laiton tuhoaminen, hävittäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy. Suojatoimenpiteiden järjestämisessä otetaan huomioon saatavilla olevat tekniset vaihtoehdot ja niiden kustannukset suhteessa käsillä olevaan tietojenkäsittelyyn liittyviin erityisiin riskeihin sekä käsiteltävien henkilötietojen arkaluonteisuuteen.

Xxxxxxx on velvollinen varmistamaan, että Toimittajalle tiedotetaan kaikista niistä Asiakkaan toimittamiin henkilötietoihin liittyvistä seikoista, kuten riskiarvioinneista sekä erityisten henkilöryhmien käsittelystä, jotka vaikuttavat tämän Liitteen mukaisiin teknisiin ja organisatorisiin toimenpiteisiin. Toimittaja varmistaa, että henkilötietojen käsittelyyn osallistuva Toimittajan tai Toimittajan käyttämän alihankkijan henkilöstö noudattaa asianmukaista salassapitovelvollisuutta.

7 Tietoturvaloukkauksesta ilmoittaminen

Toimittajan on ilmoitettava Asiakkaalle kaikista henkilötietoihin kohdistuneista tietoturvaloukkauksista ilman aiheetonta viivytystä loukkauksesta tiedon saatuaan tai kun Toimittajan käyttämä alihankkija on saanut loukkauksen tietoonsa.

Asiakkaan pyynnöstä Toimittajan tulee ilman aiheetonta viivytystä toimittaa Asiakkaalle kaikki asiaankuuluva tietoturvaloukkaukseen liittyvä tieto. Siltä osin kuin kyseinen tieto on Toimittajan saatavilla, Toimittajan on Asiakkaalle tehtävässä ilmoituksessa kuvattava vähintään:

(a) tapahtunut tietoturvaloukkaus,

(b) mahdollisuuksien mukaan rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvoidut lukumäärät,

(c) kuvaus tietoturvaloukkauksen aiheuttamista todennäköisistä seurauksista, ja

(d) kuvaus korjaavista toimenpiteistä, jotka Toimittaja on suorittanut tai tulee suorittamaan tietoturvaloukkausten ennaltaehkäisemiseksi jatkossa, sekä tarvittaessa myös toimenpiteet mahdollisten tietoturvaloukkauksen haittavaikutusten minimoimiseksi.

Toimittaja dokumentoi ja raportoi selvityksen tulokset ja suoritetut toimenpiteet Asiakkaalle.

Asiakas vastaa tarvittavista ilmoituksista tietosuojaviranomaisille.

8 Muut ehdot

Jos henkilölle aiheutuu EU:n tietosuoja-asetuksen tai Liitteen loukkauksista aineellista tai aineetonta vahinkoa, Toimittaja on vastuussa vahingosta vain siltä osin, kuin se ei ole noudattanut nimenomaisesti henkilötietojen käsittelijöille osoitettuja EU:n tietosuoja-asetuksen tai tämän Liitteen velvoitteita.

Kumpikin osapuoli on velvollinen maksamaan määrätyistä vahingonkorvauksista ja hallinnollista sakoista vain sen osan, joka vastaa sille tietosuojavalvontaviranomaisen tai tuomioistuimen lainvoimaisessa päätöksessä vahvistettua vastuuta vahingosta. Muilta osin osapuolten vastuu määräytyy Sopimuksen perusteella.

Toimittaja tiedottaa Asiakasta kirjallisesti kaikista muutoksista, jotka saattavat vaikuttaa sen kykyyn tai mahdollisuuksiin noudattaa tätä Liitettä ja Asiakkaan antamia kirjallisia ohjeita. Toimittaja voi muuttaa tämän Liitteen sisältöä perustellusta syystä ilmoittamalla siitä Asiakkaalle kirjallisesti kaksi (2) viikkoa ennen muutoksen voimaanastumista.

Tämä Liite tulee voimaan 25.5.2018. Liite on voimassa (i) niin pitkään kuin Sopimus on voimassa tai (ii) osapuolilla on henkilötietojen käsittelytoimiin perustuvia velvoitteita toisiaan kohtaan.

Velvoitteet, joiden on niiden luonteen vuoksi tarkoitus säilyä voimassa tämän Liitteen voimassaolon päättymisestä riippumatta, jäävät voimaan Liitteen päättymisen jälkeen.

9 Allekirjoitus

Helsingissä, 9.4.2018

Fonecta Oy Xxxxxx Xxxxxxxx

LIITE 1 Fonectan palveluissa käsiteltävien henkilötietojen tyypit ja rekisteröityjen ryhmät

LIITE 1

Fonectan palveluissa käsiteltävien henkilötietojen tyypit ja rekisteröityjen ryhmät*

FONECTAN PALVELU	REKISTERÖITYJEN RYHMÄ	HENKILÖTIETOJEN TYYPIT
Ajanvarauspalvelut	Fonectan asiakas ja hänen asiakkaansa	Yhteystiedot, verkkotunnistetiedot, henkilötunnus**, välitystiedot, asiakasviestit
Analytiikkapalvelut	Fonectan asiakkaan asiakas	Yhteystiedot, VTJ-tiedot, henkilötunnus**, luokitustiedot
B2B data	Fonectan asiakkaan asiakas	Yhteystiedot
B2C data	Fonectan asiakkaan asiakas	Yhteystiedot, VTJ-tiedot, henkilötunnus**, luokitustiedot
Fonecta Chat & Puhelut	Fonectan asiakas ja hänen asiakkaansa ja/tai Fonectan asiakkaan asiakas	Yhteystiedot, verkkotunnistetiedot, välitystiedot, asiakasviestit, henkilötunnus**, puhelutallenteet, käyttäjätunnus ja salasana
Display-mainonta ja - kohderyhmät	Fonectan asiakkaan asiakas	Evästeet
Facebook-mainonta	Fonectan asiakas	Evästeet, käyttäjätunnus ja salasana
Finder / NumeroNetti	Fonectan asiakas ja hänen asiakkaansa ja/tai Fonectan asiakkaan asiakas	Yhteystiedot, asiakasviestit, välitystiedot, verkkotunnistetiedot
Fonecta Kontakti	Fonectan asiakas ja hänen asiakkaansa ja/tai Fonectan asiakkaan asiakas	Yhteystiedot, välitystiedot
Fonecta Kotisivut	Fonectan asiakas ja hänen asiakkaansa ja/tai Fonectan asiakkaan asiakas	Yhteystiedot, verkkotunnistetiedot, välitystiedot, asiakasviestit, henkilötunnus**, käyttäjätunnus ja salasana
Google Hakusanamainonta	Fonectan asiakas	Evästeet, käyttäjätunnus ja salasana
Hakukoneoptimointi	Fonectan asiakas	Yhteystiedot, käyttäjätunnus ja salasana
LinkedIn	Fonectan asiakkaan asiakas	Yhteystiedot
Ohjelmallinen ostaminen	Fonectan asiakkaan asiakas	Evästeet
Postitus- ja kohderyhmäpalvelut	Fonectan asiakkaan asiakas	Yhteystiedot, asiakasviestit, välitystiedot
SMS-palvelut	Fonectan asiakas ja hänen asiakkaansa ja/tai Fonectan asiakkaan asiakas	Yhteystiedot, asiakasviestit, välitystiedot, verkkotunnistetiedot
Trafi-tuotteet	Fonectan asiakkaan asiakas	Yhteystiedot, henkilötunnus**, rekisterinumero
Verkkokauppa	Fonectan asiakas ja hänen asiakkaansa ja/tai Fonectan asiakkaan asiakas	Yhteystiedot, verkkotunnistetiedot

*Lista ei sisällä kaikkia Fonectan palveluita, vaan henkilötietojen tyypeistä ja rekisteröityjen ryhmistä voidaan sopia Asiakkaan kanssa erikseen myös palvelusopimuksella tai muulla sopimuksella.

**Henkilötunnusta voidaan tarvita palvelussa, jos rekisteröidyn yksiselitteinen yksilöiminen on tärkeää laissa säädetyn tehtävän suorittamiseksi, tai rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi.