Tietojenkäsittelysopimus (DPA)

Tämä tietojenkäsittelysopimus ("DPA") on liite käyttöehtoihin ("pääsopimus") asiakkaan ("rekisterinpitäjä") ja Verca AB:n, y-tunnus 559564-2629, Malmössa Ruotsissa rekisteröidyn ("henkilötietojen käsittelijä") välillä.

Tämä DPA sääntelee Verca AB:n henkilötietojen käsittelyä asiakkaan puolesta alustan tarjoamisen yhteydessä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 ("GDPR") 28 artiklan mukaisesti.

Jos tämän DPA:n ja pääsopimuksen välillä on ristiriita, tätä DPA:ta sovelletaan ensisijaisesti henkilötietojen käsittelyn osalta.

Pääsopimuksessa olevien määritelmien lisäksi sovelletaan seuraavia:

"Rekisterinpitäjä" — asiakas, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot.

"Henkilötietojen käsittelijä" — Verca AB, joka käsittelee henkilötietoja rekisterinpitäjän puolesta.

"Rekisteröity" — tunnistettavissa oleva luonnollinen henkilö, jonka henkilötietoja käsitellään, esimerkiksi asiakkaan käyttäjät tai yhteyshenkilöt.

"Henkilötiedot" — kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot, siltä osin kuin kyseisiä tietoja käsitellään alustan puitteissa.

"Käsittely" — kaikki henkilötiedoille suoritettavat toimenpiteet, mukaan lukien kerääminen, tallentaminen, säilyttäminen, muokkaaminen, siirtäminen ja poistaminen.

"Alikäsittelijä" — kolmas osapuoli, jonka Verca AB on ottanut suorittamaan tiettyjä henkilötietojen käsittelytoimia asiakkaan puolesta.

Verca AB käsittelee henkilötietoja asiakkaan puolesta alustan tarjoamista ja ylläpitämistä varten. Käsittely kattaa:

Rekisteröityjen ryhmät:

• Asiakkaan käyttäjät (tilille pääsyn omaavat työntekijät ja konsultit)
• Asiakkaan alustalle rekisteröimät yhteyshenkilöt

Henkilötietoryhmät:

• Nimi ja sähköpostiosoite
• Organisaatioon kuuluminen ja rooli
• Kirjautumistiedot (hajautettu) ja istuntotiedot
• IP-osoite ja tekniset laitetiedot
• Toimintalokit ja alustassa suoritettujen toimien aikaleimät

Käsittelyn luonne ja tarkoitus:

• Todennus ja pääsynhallinta
• Alustan toiminnallisuuden tarjoaminen
• Viestintä (ilmoitukset, sähköposti)
• Tekniset toiminnot, vianetsintä ja tietoturvan seuranta
• Auditointilokit

Käsittelyn kesto: Käsittely jatkuu pääsopimuksen voimassaolon ajan ja päättyy tämän DPA:n kohdan 8 mukaisesti.

Verca AB sitoutuu seuraavaan:

Ohjeet — Käsittelemään henkilötietoja yksinomaan Asiakkaan dokumentoitujen ohjeiden mukaisesti, mukaan lukien pääsopimuksessa ja tässä DPA:ssa esitetyt ohjeet. Jos Verca AB katsoo, että jokin ohje on GDPR:n tai muun sovellettavan tietosuojalainsäädännön vastainen, Asiakkaalle ilmoitetaan asiasta viipymättä.

Salassapito — Varmistamaan, että henkilötietoja käsittelevä henkilöstö on sitoutunut salassapitoon tai on lakisääteisen vaitiolovelvollisuuden alainen.

Tekniset ja organisatoriset toimenpiteet — Toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, mukaan lukien:

• Henkilötietojen salaus levossa (AES-256) ja siirrossa (TLS 1.2+)
• Roolipohjainen pääsynhallinta vähimpien oikeuksien periaatetta noudattaen
• Monivaiheinen todennus (MFA) kaikessa tuotantoympäristöjen hallinnollisessa käytössä
• Kaksoisvahvistus tietoturvakriittisille toimenpiteille (esim. asiakastietojen poistaminen tai massavienti)
• Vuokralaisten eristäminen tietokantatasolla
• Täydellinen auditointipolku tietojenkäytöstä
• Säännölliset tietoturvatarkastukset
• Tietoturvahäiriöiden hallintaprosessi määriteltyine eskalointipolkuineen

Avustaminen — Avustamaan Asiakasta rekisteröityjen oikeuksia, tietosuojan vaikutustenarvioinneja ja valvontaviranomaisten ennakkokuulemisia koskevien velvollisuuksien täyttämisessä siinä määrin kuin se on kohtuullista ja mahdollista.

Asiakas myöntää täten Verca AB:lle yleisen ennakkoluvan käyttää alihenkilötietojen käsittelijöitä henkilötietojen käsittelyssä. Verca AB ilmoittaa Asiakkaalle kirjallisesti ennen uuden alihenkilötietojen käsittelijän ottamista tai olemassa olevan vaihtamista. Asiakkaalla on oikeus vastustaa tätä 30 päivän kuluessa ilmoituksen vastaanottamisesta.

Verca AB varmistaa, että kutakin alihenkilötietojen käsittelijää sitovat tietosuojavelvoitteet, jotka vastaavat tässä DPA:ssa asetettuja velvoitteita. Tekoälyä käyttävät alihenkilötietojen käsittelijät käsittelevät tietoja vain, kun Asiakas on ottanut tekoälyn käyttöön organisaatiossaan ja valtuutettu käyttäjä käynnistää tekoälytoiminnon.

Nykyiset alihenkilötietojen käsittelijät:

Verca AB avustaa Asiakasta asianmukaisin teknisin ja organisatorisin toimenpitein täyttämään Asiakkaan velvollisuuden vastata rekisteröityjen GDPR:n III luvun mukaisia oikeuksiaan koskeviin pyyntöihin, mukaan lukien:

• Oikeus saada pääsy tietoihin (15 art.) — tiedot siitä, mitä tietoja käsitellään
• Oikeus tietojen oikaisemiseen (16 art.) — virheellisten tietojen korjaaminen
• Oikeus tietojen poistamiseen (17 art.) — tietojen poistaminen sovellettavien edellytysten mukaisesti
• Oikeus käsittelyn rajoittamiseen (18 art.) — käsittelyn rajoittaminen
• Oikeus tietojen siirrettävyyteen (20 art.) — tietojen vienti jäsennellyssä muodossa

Jos Verca AB vastaanottaa pyynnön suoraan rekisteröidyltä, Verca AB ohjaa rekisteröidyn viipymättä Asiakkaan puoleen, ellei laista muuta johdu.

Henkilötietoja koskevat tietoturvaloukkaukset: Vahvistetun tai epäillyn henkilötietojen tietoturvaloukkauksen sattuessa Verca AB ilmoittaa siitä Asiakkaalle ilman aiheetonta viivytystä ja viimeistään 36 tunnin kuluessa. Ilmoituksen tulee sisältää tiedot loukkauksen luonteesta, asianomaisten rekisteröityjen kategorioista ja arvioidusta lukumäärästä, todennäköisistä seurauksista sekä toteutetuista tai ehdotetuista toimenpiteistä.

Vercan ensisijaiset alustatiedot käsitellään ja tallennetaan EU/ETA-alueella. Verca AB:n ensisijaiset palvelinkeskukset sijaitsevat Frankfurtissa, Saksassa (EU). Kun Asiakas ottaa käyttöön tekoälyominaisuuden, kyseiseen ominaisuuteen lähetetyt henkilötiedot voidaan siirtää tekoälyn alikäsittelijöille Yhdysvalloissa.

Henkilötietoja siirretään kolmansiin maihin EU:n/ETA:n ulkopuolelle vain, jos:

• Euroopan komissio on tehnyt vastaanottavan maan tai organisaation riittävyyttä koskevan päätöksen
• Asianmukaiset suojatoimet on otettu käyttöön GDPR:n luvun V mukaisesti, mukaan lukien EU:n vakiosopimuslausekkeet (SCC) komission täytäntöönpanopäätöksen (EU) 2021/914 mukaisesti.

Ennen siirron alkamista Verca AB toteuttaa:

• EU:n vakiosopimuslausekkeet (SCC) tai muu GDPR:n luvun V mukainen siirtoväline
• Tekniset ja organisatoriset lisätoimenpiteet sovellettavien EDPB:n suositusten mukaisesti, mukaan lukien tietojen minimointi, salattu siirto ja rajoitettu pääsy
• Dokumentoitu arvio vastaanottavan maan oikeussuojasta (siirtovaikutusten arviointi), jos tällaista arviointia vaaditaan

AI on oletuksena poissa käytöstä. Asiakas voi valita tiukan vain EU-tilan, joka estää nykyiset ulkoiset AI-aliprosessorit. Kaupallisia asiakastietoja ei käytetä palveluntarjoajan mallikoulutukseen sovellettavien palveluntarjoajan ehtojen mukaisesti.

Tämä DPA on voimassa koko Pääsopimuksen voimassaoloajan ja päättyy automaattisesti Pääsopimuksen päättyessä.

Sopimuksen päättyessä Verca AB Asiakkaan valinnan mukaan joko:

• Poistaa kaikki Asiakkaan puolesta käsitellyt henkilötiedot, mukaan lukien kaikki kopiot, 30 päivän kuluessa päättymisestä, tai
• Palauttaa henkilötiedot Asiakkaalle jäsennellyssä, koneellisesti luettavassa muodossa ennen poistamista

Asiakkaalla on mahdollisuus viedä tietoja 30 päivän ajan Sopimuksen päättymispäivästä. Tämän jakson jälkeen poistaminen suoritetaan automaattisesti.

Verca AB voi säilyttää henkilötietoja siinä laajuudessa kuin sovellettava lainsäädäntö edellyttää, mukaan lukien Ruotsin kirjanpitolaki. Tällaisia tietoja käsitellään edelleen tämän DPA:n ja GDPR:n ehtojen mukaisesti.

Vastuu GDPR-rikkomuksista: Siltä osin kuin Verca AB on henkilötietojen käsittelijän ominaisuudessaan suoraan aiheuttanut rekisteröidylle vahinkoa GDPR:n vastaisella käsittelyllä, Verca AB on vastuussa GDPR:n 82 artiklan mukaisesti, Pääsopimuksen vastuunrajoituslausekkeesta riippumatta.

Auditointi: Asiakkaalla on oikeus omalla kustannuksellaan ja vähintään 30 päivän ennakkoilmoituksella suorittaa tai teettää auditointi Verca AB:n tämän DPA:n noudattamisesta enintään kerran kalenterivuodessa — ellei valvontaviranomainen toisin vaadi. Verca AB toimittaa asiaankuuluvat asiakirjat 10 arkipäivän kuluessa virallisesta pyynnöstä. Asiakkaille, joilla on dokumentoituja enterprise-tason tarpeita, laajennetuista auditointioikeuksista voidaan sopia erikseen.