Henkilötietojen käsittelysopimus

Rekisterinpitäjä on asiakas eli yritys, joka on rekisteröitynyt Siivioon ja hyväksynyt käyttöehdot.

Käsittelijä on:

Luma Software Oy

Y-tunnus: 3498264-7

Pietolankatu 41 B 4, 04440 Järvenpää

Sähköposti: hei@siivio.fi

Asiakas päättää, mitä tietoja palveluun tallennetaan ja mihin niitä käytetään. Me käsittelemme tietoja vain asiakkaan puolesta ja sen ohjeiden mukaisesti.

Käsittelemme henkilötietoja tuottaaksemme palvelun. Tallennamme ja säilytämme tietoja, näytämme ja välitämme niitä asiakkaan käyttäjille, työntekijöille ja asiakasportaalin käyttäjille, lähetämme ilmoituksia ja muodostamme asiakkaan pyytämiä aineistoja, kuten laskuja, raportteja ja palkka-aineistoja. Lisäksi ylläpidämme varmuuskopioita, selvitämme virhetilanteita ja huolehdimme tietoturvasta.

Käsittely kestää niin kauan kuin asiakas käyttää palvelua ja sen jälkeen kohdassa 13 kuvatun säilytysajan.

—asiakkaan henkilöstö: ylläpitäjät, työnjohtajat ja työntekijät

—asiakkaan asiakkaiden yhteyshenkilöt ja asiakasportaalin käyttäjät

—yksityistaloudet, jotka ovat asiakkaan asiakkaita

—asiakastyytyväisyyskyselyihin vastaavat henkilöt

Palveluun voidaan tallentaa:

—nimet, yhteystiedot (sähköposti, puhelin, osoite) ja käyttäjäroolit

—kirjautumistiedot sekä tekniset loki- ja virhetiedot

—työsuhteen tiedot, kuten tuntipalkka, työsuhteen tyyppi ja osaamiset

—työajat, tauot ja poissaolot

—sijainti käynnin alkaessa, kun työntekijä kirjautuu kohteeseen

—käynneillä otetut valokuvat

—viestit ja tiedotteet

—kohteiden osoitteet sekä kulku- ja avaintiedot, kuten ovikoodit

—laskut, sopimukset ja tarjoukset

—kyselyvastaukset ja reklamaatiot

—push-ilmoitusten laitetunnisteet

Poissaolon tyyppi voi paljastaa sairausloman eli terveystiedon, ja valokuviin voi tallentua ihmisiä. Asiakas vastaa siitä, että sillä on peruste näiden tietojen käsittelyyn, eikä palveluun tallenneta tarpeettomia erityisiä henkilötietoryhmiä.

Asiakas vastaa siitä, että:

—tietojen käsittelyllä on tietosuoja-asetuksen mukainen peruste

—rekisteröidyille on kerrottu käsittelystä, esimerkiksi työntekijöille sijainnin tallentamisesta kohteeseen kirjauduttaessa ja valokuvien ottamisesta

—palveluun tallennetaan vain tarpeellisia tietoja, ja ne pidetään ajan tasalla

—asiakkaan ohjeet meille ovat tietosuojalainsäädännön mukaisia

Me:

—käsittelemme henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti; ohjeita ovat nämä ehdot sekä asiakkaan palvelussa tekemät valinnat ja asetukset

—ilmoitamme asiakkaalle, jos katsomme, että ohje rikkoo tietosuojalainsäädäntöä

—emme käsittele tietoja omiin tarkoituksiimme emmekä luovuta niitä kolmansille, ellei laki sitä vaadi; jos viranomainen vaatii tietoja, ilmoitamme siitä asiakkaalle, ellei laki kiellä

—varmistamme, että tietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon

—toteutamme kohdan 7 tietoturvatoimet

—avustamme asiakasta rekisteröityjen oikeuksien toteuttamisessa, tietoturvaloukkausten käsittelyssä ja tietosuojaa koskevissa vaikutustenarvioinneissa (tietosuoja-asetuksen 32–36 artikla)

—pidämme selostetta käsittelytoimista (30 artiklan 2 kohta)

Suojaamme henkilötiedot asianmukaisin teknisin ja organisatorisin toimin:

—tiedot siirretään salattua yhteyttä (TLS) pitkin, ja ne on salattu myös tallennettuina

—jokaisen asiakkaan tiedot on eristetty muiden asiakkaiden tiedoista, ja käyttöoikeudet määräytyvät käyttäjän roolin mukaan; rajaukset on toteutettu tietokannan ja tiedostotallennuksen suojaussäännöissä eikä vain sovelluksessa

—salasanoja ei tallenneta selväkielisinä

—tietokannasta otetaan päivittäin varmuuskopio, jota säilytetään 7 päivää, ja viikoittain varmuuskopio, jota säilytetään 12 viikkoa; lisäksi tietokannan voi palauttaa mihin tahansa hetkeen viimeisten 7 päivän ajalta, ja tietokanta on suojattu vahingossa poistamiselta

—pääsy tuotantoympäristöön on rajattu henkilöille, jotka tarvitsevat sitä työssään

Asiakas vastaa omien laitteidensa ja käyttäjätunnustensa suojaamisesta ja siitä, kenelle se antaa käyttöoikeuksia.

Asiakas antaa yleisen luvan käyttää seuraavia alikäsittelijöitä:

—Google Ireland Limited (Firebase ja Google Cloud): tietokanta (Firestore), taustatoiminnot (Cloud Functions) ja tiedostot (Cloud Storage) Belgiassa (europe-west1). Kirjautuminen (Firebase Authentication), sivujen jakelu (Firebase Hosting), push-ilmoitukset (Firebase Cloud Messaging) sekä loki- ja virhetiedot (Cloud Logging ja Error Reporting) voivat käsitellä tietoja myös ETA-alueen ulkopuolella.

—Stripe Payments Europe, Limited (Irlanti): tilausten laskutus ja maksut. Stripe käsittelee vain tilaajan laskutusyhteystietoja ja maksutietoja.

—Resend: sähköpostien lähetys, kun sähköpostitoiminnot otetaan käyttöön. Tietoja käsitellään Yhdysvalloissa.

—Selainten push-palvelut (Google, Apple ja Mozilla): toimittavat push-ilmoitukset käyttäjän laitteelle sen mukaan, mitä selainta käyttäjä käyttää.

Varmistamme, että alikäsittelijöitä sitovat vähintään tämän sopimuksen mukaiset tietosuojavelvoitteet, ja vastaamme niiden toiminnasta kuten omastamme. Ilmoitamme uusista tai vaihtuvista alikäsittelijöistä vähintään 30 päivää etukäteen. Jos asiakas vastustaa muutosta perustellusta syystä, se voi irtisanoa tilauksen päättymään ennen muutoksen voimaantuloa.

Jos henkilötietoja siirretään EU:n ja ETA:n ulkopuolelle, siirto perustuu Euroopan komission hyväksymiin vakiosopimuslausekkeisiin tai EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (Data Privacy Framework), jos vastaanottaja on sitoutunut siihen.

Ilmoitamme asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun olemme saaneet sen tietoomme. Ilmoituksessa kerromme sen, mitä silloin tiedämme: mitä tapahtui, mitä tietoja ja keitä se koskee, mitä seurauksia sillä todennäköisesti on ja mitä olemme tehneet. Täydennämme tietoja sitä mukaa kuin niitä saadaan.

Asiakas päättää rekisterinpitäjänä ilmoituksesta tietosuojavaltuutetun toimistolle ja rekisteröidyille, ja me avustamme sitä.

Asiakas voi katsoa, korjata ja poistaa useimmat tiedot itse palvelussa. Jos rekisteröity ottaa yhteyttä suoraan meihin, ohjaamme pyynnön asiakkaalle. Avustamme asiakasta pyyntöjen täyttämisessä silloin, kun asiakas ei voi tehdä sitä itse palvelussa.

Annamme asiakkaalle pyynnöstä tiedot, joita tarvitaan tämän sopimuksen noudattamisen osoittamiseen. Asiakas tai sen valtuuttama, salassapitoon sitoutunut tarkastaja voi tehdä auditoinnin asiakkaan kustannuksella kerran vuodessa, ja lisäksi silloin, kun tietoturvaloukkaus tai viranomaisen vaatimus antaa siihen syyn. Auditoinnista sovitaan vähintään 30 päivää etukäteen, eikä se saa vaarantaa muiden asiakkaiden tietoja. Alikäsittelijöiden osalta voimme toimittaa niiden omat tarkastusraportit.

Kun kokeilu tai tilaus päättyy, säilytämme tiedot 90 päivää ja poistamme ne sen jälkeen, ellei asiakas pyydä poistoa aiemmin tai laki edellytä säilyttämistä. Pyynnöstä toimitamme tiedot asiakkaalle koneluettavassa muodossa ennen poistamista.

Poistetut tiedot häviävät varmuuskopioista niiden säilytysajan kuluessa, viimeistään 12 viikon kuluttua poistosta.

Vastuu tietosuoja-asetuksen rikkomisesta määräytyy tietosuoja-asetuksen 82 artiklan mukaan. Muilta osin osapuolten vastuuseen sovelletaan käyttöehtojen vastuunrajoitusta siltä osin kuin laki sen sallii.

Tämä sopimus on voimassa niin kauan kuin käsittelemme henkilötietoja asiakkaan puolesta. Jos tämä sopimus ja käyttöehdot ovat henkilötietojen käsittelyn osalta ristiriidassa, noudatetaan tätä sopimusta. Sopimuksen muuttamiseen sovelletaan käyttöehtojen muutosmenettelyä.