Tietojenkäsittelysopimus
Tämä tietojenkäsittelysopimus (”DPA”) on osa Aigen PackTrack -palvelun käyttöehtoja ja täyttää EU:n yleisen tietosuoja-asetuksen 28 artiklan vaatimukset. Se tulee voimaan, kun asiakas hyväksyy käyttöehdot, ja on voimassa niin kauan kuin käsittelemme henkilötietoja asiakkaan lukuun.
1. Osapuolet
- Rekisterinpitäjä: asiakasyritys (”asiakas”).
- Käsittelijä: AI Generation Oy, Y-tunnus 3365357-7, Selkämerenkatu 12 B 34, 00180 Helsinki (”käsittelijä”).
2. Käsittelyn kohde, luonne ja tarkoitus
Käsittelijä valmistelee asiakkaan pakkaustietoja tuottajayhteisölle tehtävää ilmoitusta varten palvelun käytön ajan. Käsittely käsittää tietojen tallentamisen, järjestämisen, luokittelun, laskennan, esittämisen asiakkaan käyttäjille, viennin ja poistamisen.
3. Rekisteröidyt ja tietoryhmät
- Rekisteröidyt: asiakkaan käyttäjät sekä toimittajien ja muiden yhteyshenkilöiden tiedot siinä laajuudessa kuin asiakas tuo niitä palveluun.
- Tiedot: nimet ja yhteystiedot tuontiaineistossa, käyttäjä- ja jäsenyystunnisteet sekä tapahtumaloki.
- Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyyn, eikä asiakkaan pidä tuoda niitä palveluun.
4. Asiakkaan ohjeet
Käsittelijä käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeet muodostuvat käyttöehdoista, tästä sopimuksesta ja asiakkaan palvelussa tekemistä valinnoista. Ohjeisiin kuuluvat myös henkilötietojen siirrot kolmansiin maihin alikäsittelijäsivulla kerrotuin siirtoperustein. Käsittelijä ilmoittaa asiakkaalle, jos ohje on sen käsityksen mukaan lainvastainen.
5. Luottamuksellisuus
Henkilötietoja käsittelevät vain ne käsittelijän henkilöt, joiden tehtävät sitä edellyttävät ja jotka ovat sitoutuneet salassapitoon.
6. Tietoturva (32 artikla)
- Tietoliikenteen salaus (HTTPS/TLS).
- Tunnistautuminen sähköpostilla ja salasanalla (vahvistettu sähköpostiosoite, salasana tallennetaan vain tiivisteenä); istuntoevästeet HttpOnly ja SameSite; bottitarkistus rekisteröitymisessä ja salasanan vaihdossa; tilaa muuttavien pyyntöjen alkuperätarkistus ja pyyntömäärärajoitukset.
- Pääsynhallinta yrityksen ja roolin mukaan; yritysten tiedot on eroteltu toisistaan.
- Toimenpiteiden kirjaus tapahtumalokiin.
- Maksujen tapahtumailmoitusten aitous tarkistetaan allekirjoituksesta.
- Tietokanta palveluntarjoajan ylläpitämänä, palveluntarjoajan varmuuskopioinnein.
7. Alikäsittelijät
Asiakas antaa yleisen ennakkoluvan käyttää alikäsittelijäsivulla (/subprocessors) lueteltuja alikäsittelijöitä. Käsittelijä sitoo alikäsittelijät vähintään tätä sopimusta vastaaviin tietosuojavelvoitteisiin ja vastaa niiden toiminnasta. Uusista tai vaihtuvista alikäsittelijöistä ilmoitetaan vähintään 30 päivää etukäteen. Jos asiakas vastustaa muutosta perustellusta syystä, se voi irtisanoa tilauksen ja saada hyvityksen käyttämättömältä ajalta.
8. Siirrot EU:n ja ETA:n ulkopuolelle
Jos alikäsittelijä on EU:n ulkopuolella tai voi päästä tietoihin sieltä, siirto suojataan EU:n komission vakiosopimuslausekkeilla (täytäntöönpanopäätös (EU) 2021/914) tai tietosuojan riittävyyttä koskevalla päätöksellä (EU–USA-tietosuojakehys, täytäntöönpanopäätös (EU) 2023/1795). Kunkin alikäsittelijän siirtoperuste on alikäsittelijäsivulla.
9. Avustaminen ja tietoturvaloukkaukset
Käsittelijä avustaa asiakasta kohtuudella rekisteröityjen pyynnöissä, tietoturvaloukkauksista ilmoittamisessa sekä vaikutustenarvioinnissa ja ennakkokuulemisessa. Käsittelijä ilmoittaa henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä, ja ilmoitus sisältää käsittelijän käytettävissä olevat 33 artiklan 3 kohdan tiedot.
10. Tietojen palautus ja poisto
Omistaja voi ladata tiedot koneluettavassa muodossa ja poistaa yrityksen tietoineen palvelussa itse. Kun palvelun tarjoaminen asiakkaalle päättyy (sopimus päättyy tai yritys poistetaan), käsittelijä asiakkaan valinnan mukaan palauttaa tai poistaa henkilötiedot ja poistaa olemassa olevat kopiot. Muuten käsittelijä poistaa asiakkaan henkilötiedot asiakkaan pyynnöstä ja toimittaa ne pyynnöstä ennen poistoa koneluettavassa muodossa. Poisto ei koske tietoja, joiden säilyttämistä laki edellyttää. Käyttäjän tilin poiston jälkeen käsittelijä säilyttää omana rekisterinpitäjän käsittelynään vain suppean näytön käyttöehtojen ja tämän sopimuksen hyväksymisestä 3 vuoden ajan tietosuojaselosteen mukaisesti. Käyttämättömät tilit: jos käyttäjän tiliin ei ole kirjauduttu eikä palvelua käytetty kirjautuneena 24 kuukauteen, käsittelijä lähettää varoituksen sähköpostitse ja poistaa tilin 30 päivän kuluttua, ellei tiliin kirjauduta sitä ennen. Jos käyttäjä on yrityksen ainoa omistaja, myös yrityksen tiedot poistuvat; jos yrityksellä on kuitenkin voimassa oleva tilaus, ainoan omistajan tiliä ei poisteta. Poisto tehdään samoin kuin käyttäjän itse tekemä tilin poisto (tietosuojaseloste). Varmuuskopioista tiedot poistuvat varmuuskopiokierron mukaisesti.
11. Tarkastukset
Käsittelijä antaa asiakkaalle tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi. Asiakas voi tehdä tai teettää tarkastuksen kohtuullisella ennakkoilmoituksella ja omalla kustannuksellaan, enintään kerran vuodessa, ellei tietoturvaloukkaus tai viranomainen edellytä muuta.
12. Vastuu ja etusijajärjestys
Vastuuseen sovelletaan käyttöehtojen vastuunrajoitusta tietosuoja-asetuksen 82 artiklan sallimissa rajoissa. Henkilötietojen käsittelyn osalta tämä sopimus on etusijalla käyttöehtoihin nähden.