Trifectask Henkilötietojen käsittelyliite (DPA)

Tämä henkilötietojen käsittelyliite (DPA) muodostaa osan sopimusta Tilauksessa yksilöidyn asiakkaan (Asiakas) ja TRIFECTA OÜ:n, rekisterikoodi 17027345 (Trifectask), välillä Trifectask-palveluista (Sopimus).

1. Soveltamisala ja roolit

1.1 Tämä DPA soveltuu, kun Trifectask käsittelee henkilötietoja Asiakkaan puolesta verkkosivuston tai verkkokaupan ylläpidon, SEO:n, tuen, portaalin tehtävien, liitteiden tai muiden Palveluiden yhteydessä (Asiakkaan henkilötiedot).

1.2 Asiakkaan henkilötietojen osalta Asiakas on rekisterinpitäjä ja Trifectask on käsittelijä, ellei Asiakas toimi käsittelijänä toiselle rekisterinpitäjälle, jolloin Trifectask on Asiakkaan alikäsittelijä. Kumpikin osapuoli pysyy itsenäisenä rekisterinpitäjänä tili-, laskutus-, toimittajahallinta- ja liikesuhdetietojen osalta, joita se päättää käsitellä omiin tarkoituksiinsa.

1.3 Termeillä kuten rekisterinpitäjä, käsittelijä, rekisteröity, henkilötiedot, henkilötietojen tietoturvaloukkaus, käsittely ja valvontaviranomainen on asetuksessa (EU) 2016/679 (GDPR) annetut merkitykset.

2. Käsittelyn yksityiskohdat

2.1 Käsittelyn kohde, kesto, luonne ja tarkoitus, henkilötietojen kategoriat sekä rekisteröityjen kategoriat kuvataan Liitteessä 1.

2.2 Asiakas ohjeistaa Trifectaskia käsittelemään Asiakkaan henkilötietoja ainoastaan:

• Sopimuksessa ja valtuutetuissa tehtäväpyynnöissä dokumentoitujen Palveluiden tarjoamiseen, turvaamiseen ja tukemiseen;
• kuten Asiakas edelleen dokumentoi kirjallisesti; sekä
• kuten unionin tai jäsenvaltion laki edellyttää, jolloin Trifectask ilmoittaa Asiakkaalle ennen käsittelyä, ellei laki kiellä kyseistä ilmoitusta.

2.3 Trifectask ilmoittaa Asiakkaalle viipymättä, jos se katsoo ohjeen rikkovan GDPR:ää tai muuta sovellettavaa unionin tai jäsenvaltion tietosuojalainsäädäntöä. Trifectask voi keskeyttää vaikuttavan käsittelyn, kunnes osapuolet ratkaisevat asian.

2.4 Trifectask ei myy Asiakkaan henkilötietoja eikä luovuta niitä asiaankuulumattomalle kolmannelle osapuolelle kyseisen osapuolen omiin tarkoituksiin. Pääsy on rajoitettu valtuutettuun henkilöstöön, hyväksyttyihin alikäsittelijöihin, jotka tarvitsevat tietoja Palveluiden tarjoamiseen tai turvaamiseen, sekä lain edellyttämiin luovutuksiin.

3. Asiakkaan velvoitteet

3.1 Asiakas vastaa:

• lainmukaisten, dokumentoitujen ja riittävän selkeiden ohjeiden antamisesta;
• voimassa olevan oikeusperustan ja vaaditun läpinäkyvyyden varmistamisesta käsittelylle;
• siitä, että Asiakkaan henkilötiedot ovat asianmukaisia, relevantteja ja rajoitettuja siihen, mikä on tarpeellista;
• rekisteröityihin ja valvontaviranomaisiin vastaamisesta rekisterinpitäjänä; sekä
• siitä, ettei se toimita erityisiä henkilötietoryhmiä tai rikostuomioihin liittyviä tietoja, elleivät osapuolet ensin dokumentoi tarvetta ja asianmukaisia lisäsuojatoimia.

3.2 Asiakas ei ohjeista Trifectaskia käsittelemään henkilötietoja sovellettavan lain vastaisesti.

4. Luottamuksellisuus ja henkilöstö

Trifectask varmistaa, että Asiakkaan henkilötietojen käsittelyyn valtuutetut henkilöt ovat sidottuja luottamuksellisuuteen, saavat asianmukaiset tietosuoja- ja tietoturvaohjeet ja käyttävät tietoja vain tehtäviensä edellyttämässä määrin.

5. Tietoturva

5.1 Ottaen huomioon tekniikan tason, toteutuskustannukset sekä käsittelyn luonteen, laajuuden, kontekstiin ja tarkoitukset sekä yksilöihin kohdistuvan riskin Trifectask toteuttaa ja ylläpitää asianmukaisia teknisiä ja organisatorisia toimenpiteitä GDPR:n 32 artiklan mukaisesti. Nykyiset vähimmäistoimenpiteet kuvataan Liitteessä 2.

5.2 Asiakas hyväksyy, että tietoturvatoimenpiteet voivat kehittyä. Trifectask voi korvata toimenpiteen yhtä vahvalla tai vahvemmalla toimenpiteellä, mutta ei olennaisesti vähennä kokonaistietoturvaa aktiivisen Tilauksen aikana.

6. Henkilötietojen tietoturvaloukkaukset

6.1 Trifectask ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietää Asiakkaan henkilötietoja koskevasta henkilötietojen tietoturvaloukkauksesta.

6.2 Siltä osin kuin tiedot ovat saatavilla, ilmoitus kuvaa:

• loukkauksen luonteen, mukaan lukien asiaankuuluvat rekisteröityjen ja tietueiden kategoriat sekä likimääräiset määrät;
• todennäköiset seuraukset;
• toimenpiteet, joihin on ryhdytty tai joita ehdotetaan loukkauksen rajoittamiseksi ja korjaamiseksi; sekä
• yhteyspisteen jatkotoimia varten.

6.3 Trifectask voi toimittaa tietoja vaiheittain niiden tullessa saataville. Ilmoitus ei ole myöntö syyllisyydestä tai vastuusta.

6.4 Trifectask ryhtyy kohtuullisiin toimiin loukkauksen rajoittamiseksi, tutkimiseksi ja korjaamiseksi sekä avustaa kohtuudella Asiakasta sen ilmoitus- ja dokumentointivelvollisuuksissa. Asiakas vastaa päätöksestä, ilmoitetaanko valvontaviranomaiselle tai rekisteröidyille, ellei laki määrää kyseistä velvollisuutta Trifectaskille.

7. Rekisteröityjen pyynnöt ja vaatimustenmukaisuuden avustaminen

7.1 Ottaen huomioon käsittelyn luonteen Trifectask tarjoaa kohtuullista teknistä ja organisatorista apua, jotta Asiakas voi vastata rekisteröityjen oikeuksia koskeviin pyyntöihin.

7.2 Jos Trifectask vastaanottaa suoraan Asiakkaan henkilötietoja koskevan pyynnön, se välittää pyynnön Asiakkaalle ilman aiheetonta viivytystä eikä vastaa asiallisesti, ellei Asiakas ohjeista sitä tai laki sitä edellytä.

7.3 Ottaen huomioon käsittelyn luonteen ja saatavilla olevat tiedot Trifectask avustaa kohtuudella Asiakasta tietoturvavelvoitteissa, loukkausilmoituksissa, tietosuojan vaikutustenarvioinneissa ja ennakkokuulemisissa GDPR:n 32–36 artiklojen mukaisesti.

7.4 Tavalliseen tukeen sisältyvä apu tarjotaan ilman lisämaksua. Trifectask voi periä kohtuullisia, ennalta sovittuja maksuja epätavallisen laajasta avusta, joka johtuu Asiakkaan järjestelmistä, ohjeista tai vaatimustenmukaisuuden laiminlyönnistä, ellei apua tarvita Trifectaskin rikkomuksen vuoksi.

8. Alikäsittelijät

8.1 Asiakas antaa Trifectaskille yleisen kirjallisen valtuutuksen käyttää Liitteessä 3 lueteltuja alikäsittelijöitä. Liite 3 yksilöi kunkin alikäsittelijän tehtävän ja käsittelyn pääasiallisen sijainnin.

8.2 Trifectask antaa Asiakkaalle vähintään 15 päivän ennakkoilmoituksen uudesta alikäsittelijästä, joka käsittelee Asiakkaan henkilötietoja. Asiakas voi vastustaa kyseisenä aikana kohtuullisin tietosuojaperustein. Osapuolet pyrkivät vilpittömässä mielessä kaupallisesti kohtuulliseen vaihtoehtoon. Jos sellaista ei ole saatavilla, Asiakas voi irtisanoa vaikuttavan Palvelun ennen kuin uusi alikäsittelijä aloittaa käsittelyn ja saada hyvityksen ennakkoon maksetuista maksuista käyttämättömältä vaikuttavalta jaksolta.

8.3 Trifectask asettaa kullekin alikäsittelijälle tietosuojavelvoitteet, jotka eivät ole vähemmän suojaavia kuin tämän DPA:n asiaankuuluvat velvoitteet siltä osin kuin ne soveltuvat kyseisen alikäsittelijän työhön. Trifectask pysyy vastuussa alikäsittelijän suorituksesta GDPR:n 28 artiklan edellyttämällä tavalla.

9. Kansainväliset siirrot

9.1 Asiakkaan henkilötietoja ei siirretä Euroopan talousalueen (ETA) ulkopuolelle eikä kansainväliselle järjestölle, ellei siirto ole GDPR:n V luvun mukainen.

9.2 Kun riittävyyspäätös ei sovellu, osapuolet tai asiaankuuluva alikäsittelijä käyttävät asianmukaista siirtomekanismia, kuten Euroopan komission sillä hetkellä voimassa olevia vakiosopimuslausekkeita, sekä toteuttavat täydentäviä toimenpiteitä tarvittaessa.

9.3 Kohtuullisesta pyynnöstä Trifectask toimittaa tiedot, joita Asiakas tarvitsee asiaankuuluvien siirtosuojatoimien arvioimiseksi, luottamuksellisuus- ja tietoturvarajoitusten mukaisesti.

9.4 Trifectask-portaali ja siihen liittyvät itsehostatut sovellukset toimivat OVHcloud-virtuaalipalvelimella, joka sijaitsee fyysisesti Saksassa. Kun Trifectask hostaa Asiakkaan verkkosivustoa, ensisijaiset verkkosivuston tiedot ja varmuuskopiot hostataan kyseisessä infrastruktuurissa. Kun Asiakas tai kolmas osapuoli hostaa verkkosivustoa, Palveluiden kautta luodut verkkosivuston varmuuskopiot pysyvät kyseisessä hosting-ympäristössä. Muita Palvelutietoja voivat käsitellä jakson 8 mukaisesti hyväksytyt alikäsittelijät.

9.5 Trifectaskin palvelimen fyysinen hosti on OVHcloud Saksassa (ETA). Siltä osin kuin OVHcloudin yhteisö käyttää Asiakkaan henkilötietoja ETA-alueen ulkopuolelta tuki- tai konsernitoimintojen yhteydessä, Trifectask nojautuu soveltuvan OVHcloudin tietojenkäsittelysopimuksen siirtosuojatoimiin, mukaan lukien vakiosopimuslausekkeet tarvittaessa.

10. Poisto ja palautus

10.1 Sopimuksen aikana Asiakas voi noutaa Asiakkaan henkilötietoja käyttäen saatavilla olevaa portaalin tai palvelun toiminnallisuutta tai pyytää kohtuullista vientiä, kun se on teknisesti mahdollista.

10.2 Sopimuksen päättyessä Trifectask palauttaa tai poistaa Asiakkaan valinnan mukaisesti kaikki Asiakkaan puolesta käsitellyt henkilötiedot ja poistaa olemassa olevat kopiot, ellei unionin tai jäsenvaltion lainsäädäntö edellytä niiden säilyttämistä. Asiakkaan tulee esittää mahdollinen tietojen palautuspyyntö 30 päivän kuluessa Sopimuksen päättymisestä. Tämän jälkeen Trifectask voi edetä jäljellä olevien Asiakkaan henkilötietojen poistamiseen, joita ei enää tarvita lakisääteiseen säilytysvelvollisuuteen.

10.3 Rutiinivarmuuskopioihin jääneet tiedot voidaan poistaa normaalin varmuuskopiokierron mukaisesti edellyttäen, ettei niitä käsitellä muihin tarkoituksiin kuin katastrofipalautukseen, tietoturvaan tai lakisääteisen velvoitteen täyttämiseen. Jos tiedot palautetaan, sovellettavat poisto-ohjeet sovelletaan uudelleen.

11. Tiedot ja auditoinnit

11.1 Trifectask asettaa saataville tiedot, jotka ovat kohtuudella tarpeen GDPR:n 28 artiklan noudattamisen osoittamiseksi, joihin voivat sisältyä nykyiset käytännöt, kontrollien yhteenvedot, sertifikaatit tai riippumattomat auditointiraportit, kun niitä on saatavilla.

11.2 Asiakas voi auditoida vaatimustenmukaisuutta kerran missä tahansa 12 kuukauden jaksossa sekä lisäksi perustellun olennaisen häiriön tai valvontaviranomaisen pyynnön jälkeen. Auditointien on:

• alettava kirjallisella tietopyynnöllä tai etätarkastuksella, kun se riittää;
• oltava pyydettyjä vähintään 30 päivää etukäteen, ellei kyseessä ole kiire;
• tapahduttava normaalien työaikojen aikana häiritsemättä toimintaa;
• oltava Asiakkaan tai luottamuksellisuuteen sidotun riippumattoman auditoijan suorittamia; sekä
• vältettävä pääsyä toisen asiakkaan tietoihin tai tietoturva-arkaluonteisiin tietoihin, jotka eivät ole relevantteja auditointiin.

11.3 Kumpikin osapuoli vastaa omista auditointikustannuksistaan. Asiakas korvaa Trifectaskille epätavallisen rasittavan auditoinnin kohtuulliset kustannukset, ellei auditointi osoita Trifectaskin olennaista vaatimustenvastaisuutta.

12. Vastuu ja etusija

12.1 Tästä DPA:sta syntyvä vastuu on Sopimuksen vastuumääräysten alainen, ellei sovellettava laki edellytä toisin.

12.2 Jos tämä DPA on ristiriidassa Sopimuksen kanssa Asiakkaan henkilötietojen käsittelyn osalta, tämä DPA on ensisijainen.

13. Voimassaolo

Tämä DPA alkaa, kun Trifectask ensimmäisen kerran käsittelee Asiakkaan henkilötietoja, ja pysyy voimassa, kunnes kyseinen käsittely päättyy ja tiedot palautetaan tai poistetaan jakson 10 mukaisesti.

Liite 1 — Käsittelyn kuvaus

Kohde

Käsittely, joka on tarpeen Asiakkaan pyytämän verkkosivuston ja verkkokaupan ylläpidon, SEO:n, tuen, raportoinnin, asiakasportaalin ja niihin liittyvien palveluiden tarjoamiseksi.

Kesto

Asiaankuuluvien Palveluiden keston sekä Sopimuksessa ja tässä DPA:ssa kuvattujen rajoitettujen palautus-, poisto-, lakisääteisen säilytys- ja varmuuskopiojaksojen ajan.

Käsittelyn pääasiallinen sijainti

Asiakkaan hostaamat verkkosivuston tiedot pysyvät Asiakkaan tai sen hosting-palveluntarjoajan ympäristössä. Trifectask-portaali, siihen liittyvät itsehostatut sovellukset sekä Trifectaskin hostaamat verkkosivuston tiedot ja varmuuskopiot toimivat OVHcloud-infrastruktuurissa, joka sijaitsee fyysisesti Saksassa. Maksu-, tunnistautumis-, viestintä- ja tukitietoja voidaan käsitellä myös Liitteessä 3 ilmoitetuissa sijainneissa.

Luonne ja tarkoitus

Henkilötietojen käyttäminen, katselu, kerääminen, tallentaminen, järjestäminen, hostaus, säilyttäminen, noutaminen, konsultointi, analysointi, päivittäminen, oikaiseminen, siirtäminen, rajoittaminen, vieminen ja poistaminen siltä osin kuin on tarpeen:

• asiakasportaalin käyttämiseen sekä valtuutettujen tehtävien ja liitteiden käsittelyyn;
• Asiakkaan verkkosivustojen tai verkkokauppojen ylläpitoon, vianmääritykseen, turvaamiseen ja päivittämiseen;
• sisältö-, tuote-, teknisten tai SEO-muutosten toteuttamiseen;
• hakusuorituskyvyn analysointiin ja raporttien valmisteluun; sekä
• tuen ja häiriövasteen tarjoamiseen.

Rekisteröityjen kategoriat

• Asiakkaan henkilöstö, urakoitsijat ja valtuutetut käyttäjät;
• Asiakkaan verkkosivustojen tai kauppojen kävijät ja rekisteröityneet käyttäjät;
• Asiakkaan prospektit, asiakkaat ja loppuasiakkaat;
• Asiakkaan toimittajat, kumppanit ja muut yhteystahot; sekä
• muut henkilöt, joiden tietoja Asiakas lainmukaisesti sijoittaa vaikuttaviin järjestelmiin tai Asiakassisältöön.

Henkilötietojen kategoriat

• tunnistamis- ja yhteystiedot;
• tili-, rooli- ja tunnistautumiseen liittyvät tiedot, pois lukien selväkieliset salasanat, kun ne voidaan välttää;
• verkkosivusto-, lomake-, tuki- ja viestintäsisältö;
• verkkokaupan tilaus-, tapahtuma- ja asiakaspalvelutiedot, pois lukien täydet maksukorttitiedot, ellei erikseen ja nimenomaisesti sovita;
• laite-, eväste-, loki-, IP-osoite- ja analytiikkatiedot;
• tehtävä-, chat-, liite- ja raportointitiedot; sekä
• muut henkilötiedot, jotka sisältyvät järjestelmiin tai materiaaleihin, joihin Asiakas myöntää valtuutetun pääsyn.

Arkaluonteiset tiedot

Palveluita ei ole suunniteltu GDPR:n 9 artiklan mukaisille erityisille henkilötietoryhmille eikä GDPR:n 10 artiklan mukaisille rikostuomioihin liittyville tiedoille. Asiakas ei saa tarkoituksellisesti toimittaa tällaisia tietoja ilman ennakollista kirjallista sopimusta ja dokumentoituja suojatoimia.

Tiheys

Jatkuvaa tai satunnaista aktiivisen suunnitelman ja Asiakkaan valtuutettujen pyyntöjen mukaan.

Liite 2 — Tekniset ja organisatoriset toimenpiteet

Pääsy ja tunnistautuminen

• yksilölliset käyttäjätilit ja roolipohjainen käyttöoikeus tehtävien mukaisesti;
• palvelimen käyttö rajoitettu valtuutetuille ylläpitäjille;
• etähallinta palvelimelle sallittu ainoastaan SSH:n kautta käyttäen valtuutetun ylläpitäjän SSH-avainta;
• tarpeettoman pääsyn nopea poistaminen;
• vahva salasanatiiviste salasanaan perustuville portaalin tileille.

Siirto ja tallennus

• salattu tiedonsiirto nykyisillä HTTPS/TLS-kokoonpanoilla ja muilla suojatuilla yhteyksillä tarvittaessa;
• tiedot tallennettu käyttöoikeuksin hallittuun OVHcloud VPS -infrastruktuuriin Saksassa;
• palvelimen palomuuri, joka rajoittaa verkkokäyttöä;
• hallitut menetelmät tunnusten vastaanottamiseen, turvallisempia siirtotapoja edellyttäen pääsyn arkaluonteisuuden mukaisesti;
• maksukorttien numerot ja muut maksuvälineen tiedot käsittelee Stripe, eikä Trifectask tallenna niitä; sekä
• asiakasympäristöjen erottelu tai loogiset käyttöoikeudet arkkitehtuuriin sopivalla tavalla.

Toiminnallinen tietoturva

• palvelin- ja sovellustietoturvapäivitykset suoritetaan viikoittain, kun päivityksiä on saatavilla ja ne ovat kohtuudella sopivia käyttöönotettaviksi;
• järjestelmä- ja käyttölokeja voidaan säilyttää tietoturvaa, vianmääritystä ja häiriöiden selvittämistä varten enintään 30 päivää, ellei pidempi aika ole kohtuudella tarpeen aktiivisen häiriön selvittämiseksi tai lain noudattamiseksi;
• muutosten hallinta ja tarkastus suhteessa tuotantomuutosten riskiin; sekä
• tietoturvaongelmista voidaan ilmoittaa portaalin kautta tai osoitteeseen info@trifectask.com, ja ne eskaloidaan valtuutetuille ylläpitäjille.

Saatavuus ja palautus

• Trifectask ylläpitää automaattisia päivittäisiä varmuuskopioita järjestelmistä ja asiakasympäristöistä, joita Trifectask hostaa tai hallinnoi, siltä osin kuin se on teknisesti sovellettavissa;
• varmuuskopioiden käyttö on rajoitettu valtuutetuille ylläpitäjille; sekä
• hostatut verkkosivusto- ja portaalin tiedot asetetaan saataville ja poistetaan jakson 10 ja Sopimuksen mukaisesti.

Henkilöstö ja toimittajat

• luottamuksellisuussitoumukset valtuutetulle henkilöstölle;
• tietosuoja- ja tietoturvaohjeet kunkin roolin mukaisesti;
• due diligence ja kirjalliset ehdot alikäsittelijöille; sekä
• pääsyn ja asiaankuuluvien suojatoimien säännöllinen tarkastelu.

Poisto ja elinkaari

• säilytyssäännöt portaalin sisällölle, lokeille ja varmuuskopioille;
• turvallinen poisto tai anonymisointi, kun tietoja ei enää tarvita; sekä
• prosessit palautukselle tai poistolle Palveluiden päättyessä.

Liite 3 — Hyväksytyt alikäsittelijät

Asiakkaan valitsemat hosting-palveluntarjoajat eivät ole Trifectaskin alikäsittelijöitä pelkästään siksi, että Trifectask käyttää Asiakkaan verkkosivustoa siellä Asiakkaan ohjeiden mukaisesti. Trifectaskin OVHcloud VPS:lle asentama ja käyttämä ohjelmisto ei ole erillinen alikäsittelijä, ellei sen tarjoaja vastaanota tai voi käyttää Asiakkaan henkilötietoja.

Stripea käytetään maksujen käsittelyyn, Google-kirjautuminen tarjotaan valinnaisena tunnistautumispalveluna ja Google Analytics 4 -palvelua käytetään analytiikkaan. Nämä palvelut käsittelevät tietoja Trifectaskin omiin tili-, laskutus-, tunnistautumis- tai verkkosivustoanalytiikkatarkoituksiin eikä Asiakkaan verkkosivuston ylläpitämiseksi Asiakkaan puolesta, ja ne kuvataan siksi tietosuojaselosteessa eikä luetella tässä Liitteessä. Jos jotakin niistä myöhemmin käytetään Asiakkaan henkilötietojen käsittelyyn Asiakkaan puolesta, se on arvioitava ja lisättävä tähän Liitteeseen ennen kyseistä käyttöä.