Tämä liite on tietosuoja-asetuksen 28 artiklan 3 kohdan tarkoittama käsittelysopimus. Se on osa jokaista Kirjus-sopimusta eikä vaadi erillistä allekirjoitusta: hyväksymällä käyttöehdot asiakas hyväksyy myös tämän liitteen. Tarvittaessa toimitamme liitteen allekirjoitettavaksi asiakirjana.
Asiakas on rekisterinpitäjä niiden henkilötietojen osalta, jotka se tallentaa Kirjukseen. VMH Group Oy on käsittelijä ja käsittelee tietoja vain asiakkaan lukuun ja ohjeiden mukaan.
Kohde ja tarkoitus: henkilötietojen käsittely siinä laajuudessa kuin Kirjus-palvelun tuottaminen asiakkaalle edellyttää.
Luonne: tietojen tallentaminen, säilyttäminen, muokkaaminen, haku, yhdistely, tulostaminen, siirtäminen asiakkaan pyynnöstä ja poistaminen.
Kesto: sopimuksen voimassaoloajan sekä kohdassa 8 kuvatun palautus- ja poistoajan.
| Rekisteröityjen ryhmä | Tyypilliset tiedot |
|---|---|
| Asiakkaan työntekijät ja käyttäjät | Nimi, sähköposti, puhelin, rooli, työtunnit ja niiden ajankohdat, poissaolot, päivärahat ja kilometrikorvaukset, ajopäiväkirjan merkinnät, kulut ja kuitit, mahdolliset palkkaperusteet |
| Asiakkaan omat asiakkaat ja näiden yhteyshenkilöt | Nimi, yritys ja Y-tunnus, osoite, sähköposti, puhelin, tilaukset, tarjoukset, laskut ja maksut, työkohteet |
| Toimittajien yhteyshenkilöt | Nimi, yritys, yhteystiedot, ostolaskut ja kuitit |
| Muut palveluun tallennetut henkilöt | Vapaamuotoisiin kenttiin, muistiinpanoihin, valokuviin ja liitteisiin tallennetut tiedot |
Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluvien tietojen eikä rikostuomioita koskevien tietojen käsittelyyn. Asiakas sitoutuu siihen, ettei tällaisia tietoja tallenneta palveluun, ei myöskään vapaamuotoisiin kenttiin tai liitteisiin.
Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Ohjeiksi katsotaan tämä liite, käyttöehdot, palvelun asetukset ja toiminnot sekä asiakkaan erikseen antamat kirjalliset ohjeet.
Jos laki velvoittaa käsittelijää käsittelemään tietoja muulla tavoin, käsittelijä ilmoittaa siitä rekisterinpitäjälle ennen käsittelyä, ellei laki kiellä ilmoittamista. Käsittelijä ilmoittaa rekisterinpitäjälle, jos se katsoo ohjeen rikkovan tietosuojasääntelyä.
Henkilötietoihin pääsevät vain ne käsittelijän henkilöt, joiden tehtävät sitä edellyttävät. Heitä sitoo salassapitovelvollisuus, joka jatkuu työsuhteen päätyttyä. Pääsy tuotantojärjestelmiin on henkilökohtaisin tunnuksin ja se lokitetaan. Käsittelijä kouluttaa henkilöstöään tietosuojan ja tietoturvan osalta.
Käsittelijä toteuttaa 32 artiklan mukaiset toimenpiteet. Keskeiset toimet:
Kuvaus päivittyy sivulla Tietoturva.
Rekisterinpitäjä antaa yleisen ennakkohyväksynnän alla lueteltujen alikäsittelijöiden käytölle. Käsittelijä sitoo alikäsittelijän samoihin velvoitteisiin sopimuksella ja vastaa alikäsittelijän työstä kuin omastaan.
| Alikäsittelijä | Tehtävä | Sijainti |
|---|---|---|
| Hetzner Online GmbH | Palvelinkapasiteetti ja konesalitila | Helsinki, Suomi |
| SMTP2GO | Palvelun lähettämien sähköpostiviestien välitys. Välityksessä käsitellään vastaanottajan osoite, lähettäjä ja viestin sisältö. | EU/ETA tai palveluntarjoajan muu lähetysalue |
Muita alikäsittelijöitä ei ole.
Maksunvälittäjä ei ole alikäsittelijä, koska se toimii maksutapahtuman osalta itsenäisenä rekisterinpitäjänä oman lainsäädäntönsä nojalla.
Uudesta tai vaihtuvasta alikäsittelijästä ilmoitetaan vähintään 30 vuorokautta etukäteen sähköpostilla ja palvelussa. Rekisterinpitäjä voi perustellusta tietosuojasyystä vastustaa muutosta ilmoitusaikana; jos ratkaisua ei löydy, rekisterinpitäjä voi irtisanoa sopimuksen päättymään ennen muutoksen voimaantuloa ilman seuraamuksia.
Palvelimet, tietokannat ja varmuuskopiot ovat Suomessa, eikä niissä oleva aineisto poistu ETA:n alueelta.
Ainoa poikkeus on lähtevä sähköposti: palvelun lähettämät viestit kulkevat välityspalvelun kautta, jolloin vastaanottajan osoite ja viestin sisältö käsitellään välityksen ajan. Jos välitys tapahtuu ETA:n ulkopuolella, se perustuu palveluntarjoajan vakiosopimuslausekkeisiin (46 artikla). Muuta aineistoa ei siirretä ETA:n ulkopuolelle.
Kirjanpitoaineiston osalta rekisterinpitäjä vastaa kirjanpitolain mukaisesta säilyttämisestä. Käsittelijä huolehtii siitä, että aineisto on saatavissa selväkielisenä ja koneellisesti käsiteltävässä muodossa.
Käsittelijä avustaa rekisterinpitäjää
Jos rekisteröity ottaa yhteyttä suoraan käsittelijään, käsittelijä ei vastaa asiakysymykseen itse vaan ohjaa pyynnön rekisterinpitäjälle ja ilmoittaa siitä ilman aiheetonta viivytystä.
Käsittelijä ilmoittaa rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja pyrkii siihen, että ilmoitus on tehty 24 tunnin kuluessa loukkauksen havaitsemisesta. Aikataulu on valittu niin, että rekisterinpitäjä ehtii tehdä oman 72 tunnin ilmoituksensa valvontaviranomaiselle.
Ilmoituksessa kerrotaan, mitä tiedetään:
Käsittelijä antaa rekisterinpitäjälle tiedot, jotka ovat tarpeen tässä liitteessä sovittujen velvoitteiden noudattamisen osoittamiseksi. Rekisterinpitäjällä on oikeus tehdä auditointi kerran vuodessa ilmoittamalla siitä 30 vuorokautta etukäteen. Auditointi tehdään normaalina työaikana, se ei saa vaarantaa muiden asiakkaiden tietoturvaa, ja rekisterinpitäjä vastaa omista kustannuksistaan. Jos käsittelijä joutuu käyttämään auditointiin merkittävästi työaikaa, siitä voidaan veloittaa kohtuullinen korvaus.
Tämä liite on voimassa niin kauan kuin käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun. Jos liite ja käyttöehdot ovat henkilötietojen käsittelyn osalta ristiriidassa, sovelletaan tätä liitettä.
Liitettä koskevat kysymykset ja pyynnöt: info@vmh.fi.
Liite päivitetty 23.9..
Vastaan Kirjuksesta ja hinnoittelusta