Henkilötietojen käsittelysopimus

1.Johdanto

Tämä henkilötietojen käsittelysopimus (”Liite”) on erottamaton osa Liid Oy:n (”Palveluntarjoaja”) ja sinun (”Asiakas”) välillä solmittuja yleisiä käyttöehtoja, jotka olet hyväksynyt ladatessasi ”Liid for CRM” -nimisen sovelluksen ja hyväksyessäsi edellä mainitut käyttöehdot (”Sopimus”).

Tämän Liitteen tarkoituksena on sopia Rekisterinpitäjän henkilötietojen yksityisyydestä ja tietosuojasta Palveluntarjoajan palveluissa. Tämä Liite muodostaa EU:n yleisen tietosuoja-asetuksen (679/2016) (”Asetus”) mukaisen kirjallisen sopimuksen henkilötietojen käsittelystä. Ne velvollisuudet ja oikeudet, jotka perustuvat suoraan EU:n yleiseen tietosuoja-asetukseen, tulevat voimaan vasta, kun EU:n yleistä tietosuoja-asetusta aletaan soveltaa 25.5.2018.

Jos Liitteen ja Sopimuksen henkilötietojen käsittelyä koskevat ehdot ovat ristiriidassa keskenään, osapuolet soveltavat ensisijaisesti tämän Liitteen ehtoja.

2. Määritelmät

EU:n yleisen tietosuoja-asetuksen mukaisesti jäljempänä olevat termit määritellään seuraavasti:

”Rekisterinpitäjä” tarkoittaa Asiakasta tai Asiakkaan asiakasta, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja menetelmät.

”Käsittelijä” tarkoittaa Palveluntarjoajaa, joka käsittelee henkilötietoja Rekisterinpitäjän puolesta Sopimuksen perusteella.

”Käsittely” tai ”Käsittelytoimet” tarkoittaa mitä tahansa henkilötietoihin tai henkilötietoryhmiin kohdistuvaa toimintoa tai toimintojen kokonaisuutta, joka suoritetaan automaattisesti tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, luovuttamista siirtämällä, levittämällä tai muutoin saattamalla saataville, yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.

”Henkilötiedot” tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ”Rekisteröity”, liittyviä tietoja. Tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetiedon tai yhden tai useamman hänen fyysiseen, fysiologiseen, geneettiseen, psyykkiseen, taloudelliseen, kulttuuriseen tai sosiaaliseen identiteettiinsä liittyvän tekijän perusteella.

”Henkilötietojen tietoturvaloukkaus” tarkoittaa tietoturvaloukkausta, jonka seurauksena siirretyt, tallennetut tai muutoin käsitellyt henkilötiedot vahingossa tai lainvastaisesti tuhoutuvat, häviävät, muuttuvat, niitä luovutetaan luvattomasti tai niihin päästään luvattomasti.

3. Tietosuoja ja henkilötietojen käsittely

3.1 Palveluntarjoajan ja Asiakkaan velvollisuudet

Palveluntarjoaja käsittelee Rekisterinpitäjän henkilötietoja Asiakkaan puolesta ja toimeksiannosta Sopimuksen perusteella. Palveluntarjoajan käsittelemät henkilötiedot voivat liittyä esimerkiksi työntekijöihin tai asiakkaisiin. Asiakas tai Asiakkaan asiakas toimii Rekisterinpitäjänä ja Palveluntarjoaja palvelussa käsiteltävien henkilötietojen Käsittelijänä. Osapuolet sitoutuvat noudattamaan kulloinkin voimassa olevaa henkilötietojen käsittelyä koskevaa lainsäädäntöä, asetuksia sekä viranomaisten määräyksiä ja ohjeita sekä Suomessa että EU:ssa.

Rekisterinpitäjä vastaa siitä, että sillä on henkilötietojen käsittelyyn tarvittavat oikeudet ja oikeusperusteet sekä siitä, että tarvittavat suostumukset on hankittu. Rekisterinpitäjä vastaa tietosuojaselosteen laatimisesta ja Rekisteröityjen informoinnista. Asiakas vastaa Palveluntarjoajalle toimittamiensa henkilötietojen paikkansapitävyydestä.

Rekisterinpitäjällä on oikeus ja velvollisuus määrittää henkilötietojen käsittelyn tarkoitus ja menetelmät. Käsittelyn kohde, luonne ja tarkoitus määritellään tarkemmin Sopimuksessa. Palveluissa käsiteltävien henkilötietojen tyypit ja Rekisteröityjen ryhmät on määritelty käsittelytoimia täsmentävässä lomakkeessa, Liitteessä 1.

Palveluntarjoajalla on oikeus käsitellä Rekisterinpitäjän henkilötietoja ja muita tietoja ainoastaan Sopimuksen, tämän Liitteen ja Asiakkaan kirjallisten ohjeiden perusteella sekä ainoastaan siinä laajuudessa ja sillä tavalla kuin palvelujen tarjoaminen edellyttää. Palveluntarjoajan tulee ilmoittaa Asiakkaalle, jos ohjeiden havaitaan olevan ristiriidassa EU:n tai Suomen tietosuojalainsäädännön kanssa, ja tällaisessa tapauksessa Palveluntarjoaja voi välittömästi kieltäytyä Asiakkaan ohjeiden soveltamisesta ja keskeyttää niiden noudattamisen.

Palveluntarjoajan tulee ylläpitää palvelukuvausta tai muuta rekisteriä palvelun Käsittelytoimista silloin, kun EU:n yleinen tietosuoja-asetus sitä edellyttää. Palveluntarjoajalla on Sopimuksen mukaisesti oikeus kerätä palvelujen käytöstä anonymisoituja ja tilastollisia tietoja, joista Asiakasta tai Rekisteröityjä ei voida tunnistaa, sekä käyttää niitä palvelujensa analysointiin ja kehittämiseen.

3.2 Tietojen poistaminen tai palauttaminen

Sopimuksen päättymisen jälkeen Palveluntarjoajan tulee Asiakkaan ohjeiden mukaisesti palauttaa tai poistaa kaikki Rekisterinpitäjän henkilötiedot sekä poistaa kaikki niiden kopiot, ellei sovellettava lainsäädäntö edellytä henkilötietojen säilyttämistä.

3.3 Alihankkijat

Palveluntarjoaja voi käyttää alihankkijoita Rekisterinpitäjän henkilötietojen käsittelyssä. Palveluntarjoaja vastaa alihankkijoidensa toiminnasta kuten omastaan ja laatii alihankkijoidensa kanssa kirjalliset henkilötietojen käsittelyä koskevat sopimukset.

Palveluntarjoajan on pyydettäessä ilmoitettava Asiakkaalle etukäteen niistä alihankkijoista, joita Palveluntarjoaja aikoo käyttää Sopimuksen mukaiseen henkilötietojen käsittelyyn. Asiakkaalla on oikeus vastustaa uuden alihankkijan käyttöä perustellusta syystä. Jos osapuolet eivät pääse yhteisymmärrykseen uuden alihankkijan käytöstä, Asiakkaalla on oikeus irtisanoa Sopimus kolmenkymmenen (30) päivän irtisanomisajalla siltä osin kuin alihankkijan muutos vaikuttaa Sopimuksen mukaiseen henkilötietojen käsittelyyn.

3.4 Palveluntarjoajan avustamisvelvollisuus

Palveluntarjoajan tulee välittömästi välittää Asiakkaalle kaikki Rekisteröidyiltä saamansa pyynnöt, jotka koskevat henkilötietojen tarkastamista, oikaisemista, poistamista tai käsittelyn vastustamista, sekä muut Rekisteröityjen pyynnöt. Asiakkaan pyynnöstä Palveluntarjoajan tulee tukea Asiakasta Rekisteröityjen pyyntöjen toteuttamisessa.

Palveluntarjoajalla on henkilötietojen käsittelyn luonne ja käytettävissä olevat tiedot huomioon ottaen velvollisuus avustaa Asiakasta varmistamaan, että Asiakas täyttää lakisääteiset velvollisuutensa. Näihin voivat kuulua tietoturvaa, tietoturvaloukkauksista ilmoittamista, tietosuojaa koskevia vaikutustenarviointeja sekä ennakkokuulemista koskevat velvollisuudet. Palveluntarjoaja on velvollinen avustamaan Asiakasta vain siinä laajuudessa kuin sovellettava lainsäädäntö velvoittaa henkilötietojen Käsittelijää. Ellei toisin sovita, Palveluntarjoajalla on oikeus laskuttaa tämän kohdan 3.4 mukaisista toimenpiteistä aiheutuvat kustannukset Palveluntarjoajan kulloinkin voimassa olevan hinnaston mukaisesti.

Palveluntarjoajan tulee välittää kaikki tietosuojaviranomaisten tekemät tiedustelut suoraan Asiakkaalle ja odottaa Asiakkaan lisäohjeita. Ellei toisin sovita, Palveluntarjoajalla ei ole oikeutta edustaa Asiakasta tai toimia Asiakkaan puolesta Asiakasta valvovien viranomaisten kanssa.

4. EU:n/ETA:n ulkopuolella tapahtuva käsittely

Palveluntarjoaja ja sen alihankkijat voivat käsitellä henkilötietoja EU-/ETA-alueen ulkopuolella. Mikäli tällaisia siirtoja tai käsittelyä tapahtuu, Palveluntarjoaja varmistaa, että henkilötietojen siirtoon EU-/ETA-alueen ulkopuolelle sovelletaan EU:n komission mallisopimuslausekkeita 2010/87/EU tai muuta Asetuksen hyväksymää vastaavaa oikeudellista suojamekanismia.

Allekirjoittamalla tämän Liitteen Asiakas valtuuttaa Palveluntarjoajan edustamaan Asiakasta ja allekirjoittamaan sopimuslausekkeet Asiakkaan puolesta ja nimissä. Lisäksi Asiakas hyväksyy nimenomaisesti, että Palveluntarjoaja voi edustaa myös kyseistä alihankkijaa sopimuslausekkeisiin liittyvissä asioissa.

5. Auditointi

Asiakkaalla tai Asiakkaan valtuuttamalla auditoijalla, joka ei kuitenkaan saa olla Palveluntarjoajan kilpailija, on oikeus auditoida tämän Liitteen mukaisia toimintoja. Osapuolten tulee sopia auditoinnin ajankohdasta ja muista yksityiskohdista etukäteen ja viimeistään 14 päivää ennen tarkastusta. Auditointi on suoritettava tavalla, joka ei haittaa Palveluntarjoajan tai sen alihankkijoiden velvoitteiden täyttämistä kolmansia osapuolia kohtaan. Asiakkaan edustajien ja auditoijan tulee allekirjoittaa tavanomaiset salassapitositoumukset.

Asiakas vastaa omista sekä Palveluntarjoajalle auditoinnista aiheutuvista kustannuksista. Jos auditoinnissa havaitaan merkittäviä puutteita, Palveluntarjoaja vastaa auditoinnista aiheutuneista kustannuksista.

6. Tietoturva

Palveluntarjoajan tulee toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Rekisterinpitäjän henkilötietojen suojaamiseksi ottaen huomioon kaikki käsittelyyn liittyvät riskit, erityisesti henkilötietojen tahaton tai lainvastainen tuhoutuminen, häviäminen, muuttuminen, luvaton luovuttaminen tai pääsy siirrettyihin, tallennettuihin tai muutoin käsiteltyihin henkilötietoihin.

Turvallisuustoimenpiteitä järjestettäessä teknisiä vaihtoehtoja ja niiden kustannuksia arvioidaan suhteessa kyseiseen käsittelyyn liittyviin erityisiin riskeihin ja käsiteltävien henkilötietojen arkaluonteisuuteen.

Asiakkaan on varmistettava, että Palveluntarjoajalle ilmoitetaan kaikista Asiakkaan toimittamiin henkilötietoihin liittyvistä olosuhteista, kuten riskiarvioinneista ja erityisten Rekisteröityryhmien käsittelystä, jotka vaikuttavat tämän Liitteen mukaisiin teknisiin ja organisatorisiin toimenpiteisiin.

Palveluntarjoajan tulee varmistaa, että Palveluntarjoajan henkilöstö tai Palveluntarjoajan alihankkijan henkilöstö noudattaa asianmukaisia salassapitositoumuksia.

7. Tietoturvaloukkaukset

Palveluntarjoajan tulee ilmoittaa Asiakkaalle kaikista henkilötietojen tietoturvaloukkauksista ilman aiheetonta viivytystä (72 tunnin kuluessa) saatuaan tiedon loukkauksesta tai sen jälkeen, kun Palveluntarjoajan alihankkija on saanut tiedon loukkauksesta.

Asiakkaan pyynnöstä Palveluntarjoajan tulee ilman aiheetonta viivytystä toimittaa Asiakkaalle kaikki olennaiset tietoturvaloukkausta koskevat tiedot. Siltä osin kuin kyseiset tiedot ovat Palveluntarjoajan saatavilla, Palveluntarjoajan tulee kuvata Asiakkaalle vähintään seuraavat asiat:

(a) tapahtunut tietoturvaloukkaus
(b) mahdollisuuksien mukaan Rekisteröityjen ryhmät ja niiden lukumäärä sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät
(c) kuvaus tietoturvaloukkauksen todennäköisistä seurauksista
(d) kuvaus korjaavista toimenpiteistä, jotka Palveluntarjoaja on toteuttanut tai aikoo toteuttaa tulevien tietoturvaloukkausten estämiseksi, sekä tarvittaessa toimenpiteistä tietoturvaloukkauksen haitallisten vaikutusten minimoimiseksi.

Palveluntarjoajan tulee dokumentoida selvityksen tulokset ja toteutetut toimenpiteet sekä raportoida ne Asiakkaalle.

Asiakas vastaa tarvittavien ilmoitusten tekemisestä tietosuojaviranomaisille.

8. Muut määräykset

Jos henkilölle aiheutuu aineellista tai aineetonta vahinkoa EU:n yleisen tietosuoja-asetuksen tai tämän Liitteen rikkomisen seurauksena, Palveluntarjoaja vastaa vahingosta vain siltä osin kuin se ei ole nimenomaisesti noudattanut EU:n yleisessä tietosuoja-asetuksessa tai tässä Liitteessä henkilötietojen Käsittelijälle asetettuja velvollisuuksia.

Kumpikin osapuoli on velvollinen maksamaan ainoastaan sen osan vahingonkorvauksista tai hallinnollisesta sakosta, joka vastaa tietosuojaviranomaisen tai tuomioistuimen lainvoimaisessa päätöksessä vahvistettua vastuuta vahingosta. Osapuolten vastuu määräytyy kaikissa tapauksissa Sopimuksen mukaisesti.

Palveluntarjoajan tulee ilmoittaa Asiakkaalle kirjallisesti kaikista muutoksista, jotka voivat vaikuttaa sen kykyyn tai mahdollisuuksiin noudattaa tätä Liitettä ja Asiakkaan kirjallisia ohjeita. Osapuolet sopivat kaikista tämän Liitteen lisäyksistä ja muutoksista kirjallisesti.

Tämä Liite tulee voimaan, kun molemmat osapuolet ovat allekirjoittaneet sen. Liite pysyy voimassa (i) niin kauan kuin Sopimus on voimassa tai (ii) niin kauan kuin osapuolilla on toisiaan kohtaan henkilötietojen käsittelyyn liittyviä velvollisuuksia.

Ne velvollisuudet, joiden on luonteensa vuoksi tarkoitus jäädä voimaan tämän Liitteen päättymisen jälkeen, säilyvät voimassa Liitteen päättymisen jälkeen.

Liite – Henkilötietojen käsittelyn määrittely

1. Soveltamisala

Tämä käsittelyn määrittelylomake on erottamaton osa henkilötietojen käsittelyä koskevaa Liitettä. Käsittelyn määrittelylomakkeessa täsmennetään käsittelytoimeksianto, jonka Käsittelijä suorittaa Rekisterinpitäjän hyväksi Sopimuksessa ja tässä Liitteessä määrätyllä tavalla.

2. Palvelut

Käsittely koskee seuraavia LiiD-asiakasyrityksen CRM-tietojen automaatio- ja rikastuspalveluja.

3. Henkilötietojen maantieteellinen sijainti

Henkilötietoja käsitellään sekä EU-/ETA-alueella että sen ulkopuolella, mukaan lukien muun muassa Yhdysvallat.

4. Rekisteröityjen ryhmät

Käsiteltävät henkilötiedot koskevat seuraavia Rekisteröityjen ryhmiä:

LiiD-asiakasyrityksen työntekijät
LiiD-sovelluksen käyttäjät
LiiD-asiakkaan asiakkaiden yhteyshenkilöt
LiiD-asiakkaan kuluttaja-asiakkaat

5. Henkilötietotyypit

Käsiteltäviä henkilötietotyyppejä voivat olla esimerkiksi asiakastiedot ja toimittajan tiedot, kuten nimi, tehtävänimike, kotiosoite, puhelinnumero, sähköpostiosoite, syntymäaika, sukupuoli, asiakasnumero, ostohistoria ja palvelujen käyttöhistoria; taloudelliset tiedot; työntekijä- ja henkilöstötiedot; sekä IT-hallinnon tiedot, kuten tarjottuun palveluun liittyvät järjestelmätiedot, mukaan lukien tekniset tunnistetiedot, käyttäjätunnukset, sijainti, yhteystiedot ja tarjottuihin palveluihin liittyvät tekniset toimenpiteet, kuten järjestelmä- ja sovelluslokitiedot sekä tietoturvalokitiedot, toimitilojen ja järjestelmien valvontatiedot sekä tietoturvaloukkauksia koskevat tiedot. Huomioi tässä kohdassa henkilötunnusten kerääminen tai taustatarkastukset.

Palvelussa käsiteltävät henkilötiedot koostuvat seuraavista henkilötietotyypeistä:

Nimi
Yritys
Tehtävänimike
Sähköpostiosoite
Puhelinnumero
Osoite ja muut yhteystiedot
Asiakastoimintaan liittyvät tiedot, kuten puhelut, sähköpostikeskustelut ja kalenteritapaamiset

Nro	Nimi	Jatkokäsittelijän osoite	Käsittelypaikka	Henkilötietojen jatkokäsittelyn tarkoitus ja laajuus
1.	Microsoft Azure	Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399 USA	Irlanti	Täydentävä sovelluspalvelin käyttäjän sähköpostipalveluntarjoajalle lähetettävien ja sieltä vastaanotettavien pyyntöjen käsittelyä varten.
2.	Salesforce	The Landmark @ 1 Market St., Suite 300, San Francisco, CA 94105	Frankfurt	Säilytämme asiakastietojamme Salesforcessa. Salestrail-sovelluksen asentavat henkilöt lisätään Salesforceen (nimi, sähköpostiosoite, puhelinnumero).
3.	Hubspot	25 First Street, 2nd Floor, Cambridge, MA 02141, United States	Yhdysvallat, AWS East -alue	Käytämme Hubspotia asiakkaidemme kanssa viestimiseen. Kaikki Salestrail-sovelluksen asentavat henkilöt tallennetaan Hubspotiin (nimi, sähköpostiosoite).
4.	Intercom	55 2nd Street, 4th Floor, San Francisco, CA 94105	Yhdysvallat, AWS East -alue	Käytetään asiakastukialustana, mukaan lukien sovelluksen sisäinen chat.
5.	Customer.io	9450 SW Gemini Dr, Suite 43920, Beaverton, Oregon 97008-7105 US	Belgia	Säilytämme asiakastietojamme Customer.io-palvelussa.
6.	Twilio	1801 California St #500, Denver, CO 80202, United States	Yhdysvaltain itärannikko, Virginia, Yhdysvallat	Kirjautumisprosessissa tarvittavat OTP-koodit lähetetään käyttäjälle Twilion kautta. Myös sovelluksen lataamista varten puhelimeen lähetettävät linkit lähetetään Twilion kautta.
7.	Sendgrid	1801 California St #500, Denver, CO 80202, United States	Herndon, Virginia; Las Vegas ja Chicago	Kirjautumisprosessissa tarvittavat OTP-koodit lähetetään käyttäjälle Twilion kautta. Myös sovelluksen lataamista varten puhelimeen lähetettävät linkit lähetetään Twilion kautta.
8.	Google BigQuery and Google Data Studio	1600 Amphitheatre Pkwy, Mountain View, CA 94043, United States	Dalles, Oregon	Markkinointitoimenpiteiden ja rekisteröitymisten alkuperän analysointi. BigQueryta käytetään analysointiin ja Data Studiota tiedonsiirtoon.

YHTEYSTIEDOT

Jos sinulla on kysyttävää henkilötietojen käsittelysopimuksesta, lähetä meille sähköpostia osoitteeseen info@liid.com.