DPA (Data Protection Addendum)

TÄMÄ TIETOSUOJALISÄYSLISÄYS ("Lisäys") on erottamaton osa Sopimusta (sellaisena kuin se on määritelty GapHook Oy:n (“Tiimly”) käyttöehdoissa).

Tässä lisäyksessä käytetyillä isolla alkukirjaimella kirjoitetuilla termeillä on tässä lisäyksessä määritellyt merkitykset. Isolla alkukirjaimella kirjoitetuilla termeillä, joita ei ole tässä määritelty toisin, on sama merkitys kuin sopimuksessa. Sopimuksen ehdot pysyvät täysin voimassa, lukuun ottamatta jäljempänä esitettyjä muutoksia.

Jos tämän lisäyksen ja sopimuksen välillä on ristiriitaisuuksia, sovelletaan tämän lisäyksen ehtoja.

Tässä lisäyksessä esitetyt ehdot ja edellytykset koskevat "meidän" Tiimlyn Palveluehdot ja Toimittajana ja Tietojen käsittelijänä ja/tai alihankkijana toimivan Tiimlyn Käsittelytoimia suhteessa Asiakkaan henkilötietoihin, joita käsittelemme "sinun" Asiakkaan puolesta, joka toimii Rekisterinpitäjänä.

Tietojenkäsittelyn yksityiskohtainen tausta ja kuvaus on seuraava:

• Aihe ja kesto: Asiakkaan henkilötietojen käsittely sopimuksen voimassaoloaikana
• Käsittelyn luonne ja tarkoitus: Asiakkaan henkilötietojen kerääminen, tallentaminen ja käyttäminen palvelussa palvelun tarjoamiseksi.
• Henkilötietojen tyyppi: koko nimi, sähköpostiosoite, henkilökuva, työsuhdetiedot, kuten tehtävänimike ja organisaatioyksikkö, henkilökohtaisen asiantuntemuksen ja kiinnostuksen kohteet, sekä muut henkilötiedot, jotka käyttäjät voivat antaa itsestään tai muista henkilöistä.
• Rekisteröityjen ryhmät: pääsääntöisesti Asiakkaan työntekijät ja muut henkilöt, jotka Asiakas tai Asiakkaan valtuuttamat käyttäjät haluavat antaa pääsyn Asiakastilille, sekä lisäksi muut henkilöt, joiden henkilötietoja kyseiset käyttäjät voivat syöttää Tilille osana Käyttäjäsisältöä.

‍

1. Määritelmät

1.1 Tässä lisäyksessä seuraavilla termeillä on jäljempänä esitetyt merkitykset, ja samankaltaisia termejä tulkitaan vastaavasti:

"Käsittelyllä/käsittelyllä", "henkilötiedoilla", "rekisterinpitäjällä", "henkilötietojen käsittelijällä", "rekisteröidyllä" ja "henkilötiedoilla" on sama merkitys kuin tietosuojalainsäädännössä, ja "rekisterinpitäjä" ja "henkilötietojen käsittelijä" tulkitaan termien "rekisterinpitäjä" ja "henkilötietojen käsittelijä" mukaisesti;

"Sidossuhteella" tarkoitetaan yhteisöä, joka omistaa tai valvoo osapuolta, on sen omistuksessa tai määräysvallassa tai joka on yhteisen määräysvallan tai omistuksen alainen osapuolen kanssa, jolloin määräysvalta määritellään siten, että osapuolella on suoraan tai epäsuorasti valta ohjata tai määrätä yhteisön johtoa tai toimintalinjoja joko äänivaltaisten arvopapereiden omistuksen kautta, sopimuksen perusteella tai muulla tavoin;

"Sovellettavat lait" tarkoittaa (i) Euroopan unionin tai jäsenvaltioiden lakeja, jotka koskevat Asiakkaan henkilötietoja, joiden osalta Asiakas on EU:n tietosuojalakien mukainen rekisterinpitäjä; ja (ii) mitä tahansa muuta sovellettavaa lakia, sääntöä, säännöstöä, säännöstöä, sopimusta, määräystä, päätöstä, kieltoa, tuomiota tai asetusta, mukaan lukien toimivaltaisen tuomioistuimen tai sääntely- ja valtion viranomaisen antamat määräykset, jotka koskevat Asiakkaan henkilötietoja, joita Asiakas on noudattanut;

"Asiakkaan henkilötiedot" tarkoittaa Asiakkaan tietoja, jotka luovutetaan, siirretään tai joihin Toimittaja saa muutoin pääsyn Sopimuksen nojalla, sekä kaikkia muita henkilötietoja, joita Toimittaja käsittelee Asiakkaan puolesta Sopimuksen nojalla tai sen yhteydessä;

"Tietosuojalailla" tarkoitetaan Euroopan parlamentin ja neuvoston yleistä tietosuoja-asetusta (EU) 2016/679 ("GDPR") ja direktiiviä 2002/58/EY, kussakin tapauksessa sellaisina kuin ne on saatettu osaksi kunkin ETA:n jäsenvaltion kansallista lainsäädäntöä ja kussakin tapauksessa sellaisina kuin niitä on ajoittain muutettu, korvattu tai korvattu (GDPR ja direktiivi 2002/58/EY yhdessä "EU:n tietosuojalainsäädäntö"), sekä soveltuvin osin minkä tahansa ETA:n ulkopuolisen kolmannen maan tietosuojaa tai yksityisyydensuojaa koskevaa lainsäädäntöä;

"Loppupäivällä" tarkoitetaan päivää, joka osuu aikaisempaan seuraavista ajankohdista: (i) Toimittaja lopettaa Asiakkaan henkilötietojen käsittelyn; tai (ii) Sopimuksen irtisanominen;

"Osapuoli" tarkoittaa asiakasta tai toimittajaa erikseen ja "Osapuolet" tarkoittaa asiakasta ja toimittajaa yhdessä;

"Henkilötietojen tietoturvaloukkauksella" tarkoitetaan tietoturvaloukkausta, joka johtaa Asiakkaan siirrettyjen, tallennettujen tai muulla tavoin käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoutumiseen, katoamiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn niihin;

"Palvelu" tarkoittaa palveluja, jotka toimittaja ja/tai toimittajan tytäryhtiöt toimittavat asiakkaalle sopimuksen mukaisesti;

"Alihankkijalla" tarkoitetaan mitä tahansa tietojen käsittelijää (mukaan lukien kolmannet osapuolet ja toimittajan tytäryhtiöt), jonka toimittaja on nimittänyt käsittelemään asiakkaan henkilötietoja asiakkaan puolesta;

"Valvontaviranomaisella" tarkoitetaan a) riippumatonta viranomaista, jonka jäsenvaltio on perustanut yleisen tietosuoja-asetuksen 51 artiklan mukaisesti; ja b) mitä tahansa vastaavaa sääntelyviranomaista, joka vastaa tietosuojalainsäädännön täytäntöönpanosta.

‍

2. Tietojenkäsittelyn ehdot

2.1 Toimittaja voi käsitellä Asiakkaan henkilötietoja Asiakkaan puolesta tarjotessaan Palvelua Asiakkaalle Sopimuksen mukaisesti. Toimittaja sitoutuu noudattamaan tietosuojalakeja ja tämän lisäyksen määräyksiä kaikkien Asiakkaan henkilötietojen osalta, joita Toimittaja käsittelee Palvelun yhteydessä tai joita Toimittaja muuten käsittelee Asiakkaan puolesta.

‍

3. Asiakkaan henkilötietojen käsittely

3.1 Toimittaja käsittelee vain sellaisia Asiakkaan henkilötietoja, jotka ovat välttämättömiä Palvelun tarjoamiseksi tai muutoin Sopimuksen tarkoituksiin liittyen. Toimittaja sitoutuu olemaan käsittelemättä Asiakkaan henkilötietoja muutoin kuin Sopimuksessa tai tässä lisäyksessä annettujen Asiakkaan kirjallisten ohjeiden mukaisesti, ellei tällaista Käsittelyä edellytetä Sovellettavassa lainsäädännössä, jonka alainen Toimittaja on.

3.2 Asiakas takaa, että Asiakas noudattaa ja noudattaa sopimuksen voimassaoloaikana kaikkia tietosuojasäännösten rekisterinpitäjille asettamia velvollisuuksia rekisteröityjä, Toimittajaa ja asiaankuuluvia kolmansia osapuolia kohtaan.

3.3 Asiakas takaa erityisesti, että Asiakkaalla on oikeus luovuttaa tai siirtää Asiakkaan henkilötietoja Toimittajalle tämän sopimuksen mukaista laillista käsittelyä varten.

3.4 Asiakas myöntää, että Palvelun luonteen vuoksi Toimittaja ei voi valvoa eikä hänellä ole velvollisuutta tarkistaa Asiakkaan henkilötietoja, jotka on siirretty tai annettu Toimittajan käyttöön Sopimuksen mukaista käsittelyä varten.

‍

4. Toimittajan henkilöstö

4.1 Toimittajan on toteutettava kohtuulliset toimenpiteet varmistaakseen kaikkien niiden työntekijöiden, edustajien tai alihankkijoiden luotettavuuden, joilla voi olla pääsy Asiakkaan henkilötietoihin, ja varmistettava, että pääsy rajoitetaan tiukasti niihin henkilöihin, joiden on päästävä käsiksi kyseisiin Asiakkaan henkilötietoihin sovittuja tarkoituksia varten, ja varmistettava, että kaikki tällaiset henkilöt:

• ovat tietoisia Asiakkaan henkilötietojen luottamuksellisesta luonteesta ja ovat tietoisia Toimittajan tämän lisäyksen ja Sopimuksen mukaisista Asiakkaan henkilötietoihin liittyvistä velvoitteista;
• on osallistunut tietosuojalakeihin liittyvään koulutukseen; ja
• joihin sovelletaan salassapitositoumuksia tai ammatillisia tai lakisääteisiä salassapitovelvoitteita.

‍

5. Turvallisuus

5.1 Toimittaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet asianmukaisen turvallisuustason varmistamiseksi, kuten yleisen tietosuoja-asetuksen 32 artiklassa kuvatut toimenpiteet.

5.2 Arvioidessaan asianmukaista turvallisuustasoa Toimittajan on otettava huomioon käsittelyyn liittyvät riskit, jotka liittyvät erityisesti käsiteltävien Asiakkaan henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoutumiseen, katoamiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn niihin.

‍

6. Jalostuksen jatkojalostus

6.1 Asiakas hyväksyy ja valtuuttaa täten Toimittajan käyttämään alihankkijoita Toimittajan sopimuksen mukaisten velvoitteiden suorittamiseen.

6.2 Toimittaja sitoutuu ilmoittamaan Asiakkaalle muutoksista (lisäyksistä tai korvauksista) alihankkijoissaan, joita Toimittaja käyttää Asiakkaan henkilötietojen käsittelyyn Sopimuksen yhteydessä. Asiakas voi yksityisyyteen ja tietosuojaan liittyvästä perustellusta syystä vastustaa tietyn alihankkijan käyttöä. Tällaisessa tapauksessa osapuolet pyrkivät löytämään vaihtoehtoisen ratkaisun, joka koskee asiakkaan henkilötietojen käsittelyä sopimuksen mukaisen palvelun tarjoamiseksi. Jos tällaista ratkaisua ei löydy, Toimittaja voi lopettaa tai keskeyttää Asiakkaan henkilötietojen käsittelyn rikkomatta sopimusta.

6.3 Toimittajan on kunkin alihankkijan osalta:

• käyttää vain sellaisia alihankkijoita, jotka toimittajan kohtuullisen tietämyksen mukaan kykenevät tarjoamaan tässä lisäyksessä vaaditun suojan tason Asiakkaan henkilötiedoille siten, että Käsittely täyttää GDPR:n ja tämän lisäyksen vaatimukset;
• sisällyttää toimittajan ja kunkin alihankkijan väliseen sopimukseen ehtoja, jotka ovat olennaisilta osin samanlaisia kuin tässä lisäyksessä esitetyt ehdot; ja
• on vastuussa (tietosuoja-asetuksen mukaisesti) alihankkijoidensa toimista kuten omastaan.

‍

7. Rekisteröidyn oikeudet

7.1 Toimittaja sitoutuu auttamaan asiakasta kohtuullisesti ja siinä määrin kuin se on käytännössä mahdollista asiakkaan (kussakin tapauksessa rekisterinpitäjänä) velvollisuuksien täyttämisessä vastaamaan pyyntöihin, jotka koskevat tietosuoja-asetuksessa vahvistettujen rekisteröidyn oikeuksien käyttämistä. Toimittajan on viipymättä ilmoitettava Asiakkaalle, jos se saa rekisteröidyltä rekisteröidyltä jonkin tietosuojalain mukaisen pyynnön, joka koskee Asiakkaan henkilötietoja.

7.2 Toimittaja sitoutuu tekemään kohtuullisesti ja siinä määrin kuin se on käytännössä mahdollista yhteistyötä Asiakkaan kanssa, jotta Asiakas voi noudattaa minkä tahansa tietosuojalainsäädännön mukaisia rekisteröidyn oikeuksia Asiakkaan henkilötietojen osalta ja noudattaa minkä tahansa tietosuojalainsäädännön mukaisen arvioinnin, tiedustelun, ilmoituksen tai tutkimuksen mukaisia arviointeja, tiedusteluja, ilmoituksia tai tutkimuksia Asiakkaan henkilötietojen tai tämän lisäyksen osalta esimerkiksi toimittamalla Asiakkaalle tarvittavat tiedot Toimittajan suorittamasta Asiakkaan henkilötietojen käsittelystä.

7.3 Asiakkaan on korvattava toimittajalle kohtuulliset kustannukset, joita toimittajalle aiheutuu toimittajan tarjotessa apua asiakkaalle edellä olevien kohtien 7.1 ja 7.2 mukaisesti.

‍

8. Henkilötietojen tietoturvaloukkaus

8.1 Toimittajan on ilmoitettava Asiakkaalle ilman aiheetonta viivytystä saatuaan tietoonsa henkilötietojen tietoturvaloukkauksen ja annettava Asiakkaalle riittävät tiedot, joiden avulla Asiakas voi täyttää tietosuojasäännösten mukaiset velvollisuutensa ilmoittaa henkilötietojen tietoturvaloukkauksesta. Tällaisen ilmoituksen on sisällettävä yleisen tietosuoja-asetuksen 33 artiklassa vaaditut tiedot. Tiedot voidaan toimittaa myös erissä, jos toimittaja ei voi kohtuudella toimittaa kaikkia vaadittuja tietoja kerralla.

8.2 Henkilötietojen tietoturvaloukkauksen tapahtuessa Toimittaja ei ilmoita asiasta kolmannelle osapuolelle saamatta ensin Asiakkaan etukäteen antamaa kirjallista suostumusta, paitsi jos Toimittajaan sovellettava lainsäädäntö edellyttää ilmoittamista, jolloin Toimittaja ilmoittaa Asiakkaalle kyseisen lainsäädännön sallimissa rajoissa kyseisestä lakisääteisestä vaatimuksesta, toimittaa kopion ehdotetusta ilmoituksesta ja ottaa huomioon Asiakkaan mahdolliset huomautukset ennen kuin se ilmoittaa asiasta kolmannelle osapuolelle.

8.3 Asiakkaan on korvattava toimittajalle kohtuulliset kustannukset, joita toimittajalle aiheutuu toimittajan tarjotessa apua asiakkaalle edellä olevien kohtien 8.1 ja 8.2 mukaisesti.

‍

9. Tietosuojaa koskeva vaikutustenarviointi ja ennakkokuuleminen

9.1 Toimittaja antaa Asiakkaalle kohtuullista apua tietosuojaa koskevissa vaikutustenarvioinneissa, joita edellytetään yleisen tietosuoja-asetuksen 35 artiklan mukaisesti, ja 36 artiklan mukaisesti vaadittavissa Asiakkaan valvontaviranomaisen ennakkokuulemisissa, kussakin tapauksessa ainoastaan suhteessa Asiakkaan henkilötietojen käsittelyyn, jota Toimittaja suorittaa Asiakkaan puolesta, ja ottaen huomioon Käsittelyn luonteen ja Toimittajan käytettävissä olevat tiedot.

9.2 Asiakkaan on korvattava toimittajalle kohtuulliset kustannukset, joita toimittajalle aiheutuu toimittajan tarjotessa apua asiakkaalle edellä olevien kohtien 9.1 mukaisesti.

‍

10. Asiakkaan henkilötietojen poistaminen tai palauttaminen

10.1 Loppupäivän jälkeen Toimittajan on kohtuullisen ajan kuluessa, mutta joka tapauksessa kuuden (6) kuukauden kuluessa, poistettava ja huolehdittava siitä, että kaikki Toimittajan tai sen alihankkijan (alihankkijoiden) käsittelemien Asiakkaan henkilötietojen kopiot poistetaan, ellei Toimittajan tarvitse säilyttää Asiakkaan henkilötietoja Sovellettavan lainsäädännön pakottavien vaatimusten vuoksi.

10.2 Edellä olevan kohdan 10.1 lisäksi Asiakas voi pyytää Toimittajaa toimittamaan kopion Asiakkaan henkilötiedoista. Tällaiset Asiakkaan henkilötiedot toimitetaan yleisesti käytössä olevassa sähköisessä muodossa. Toimittajalla on oikeus veloittaa tietojen keräämisestä, käsittelystä ja toimittamisesta kulloinkin voimassa olevan hinnastonsa mukaisesti.

10.3 Toimittaja pidättää oikeuden käyttää Palvelun käyttöön liittyviä volyymi- ja tilastotietoja, edellyttäen, että nämä tiedot ovat nimettömiä ja koottuja, Palvelun parantamiseen, markkinointitarkoituksiin, tilastojen ja analyysien laatimiseen ja muihin kaupallisiin tarkoituksiin.

‍

11. Auditointioikeudet

11.1 Toimittaja sitoutuu pyynnöstä antamaan Asiakkaan käyttöön tiedot, jotka ovat tarpeen tämän lisäyksen noudattamisen osoittamiseksi, ja sallimaan ja osallistumaan tarkastuksiin, mukaan lukien Asiakkaan tai Toimittajan hyväksymän kolmannen osapuolen tarkastajan suorittamat tarkastukset, jos tällaista hyväksyntää ei voida kohtuuttomasti evätä ja jos molemmat osapuolet ovat sopineet siitä, Toimittajan tiloissa, joissa Asiakkaan henkilötietojen käsittely tapahtuu, tämän lisäyksen noudattamisen arvioimiseksi. Toimittajan on sallittava Asiakkaan tai sen valtuuttaman auditoijan tarkastaa, auditoida ja kopioida Toimittajan asiaankuuluvat asiakirjat sekä tarkastaa ja auditoida prosessit ja järjestelmät. Toimittaja sitoutuu tekemään yhteistyötä tällaisen tarkastuksen osalta. Kaikista Asiakkaan tai valtuutetun tilintarkastajan suorittamista tarkastuksista on ilmoitettava kirjallisesti kolmekymmentä (30) päivää etukäteen.

11.2 Elleivät osapuolet toisin sovi, Asiakas saa tehdä yhden (1) auditoinnin kahdentoista (12) kuukauden välein. Kaikki auditoinnit on suoritettava tavanomaisena työaikana ja siten, että ne eivät aiheuta merkittävää häiriötä Toimittajan liiketoiminnalle. Asiakas vastaa kaikista tällaisesta tarkastuksesta aiheutuvista kustannuksista, paitsi jos tarkastus paljastaa, että Toimittaja on rikkonut olennaisesti tätä lisäystä, jolloin Toimittaja vastaa tarkastuskustannuksista.

11.3 Asiakkaalla on myös oikeus pyytää ja saada Toimittajalta tietoja ja aineistoa, jotka ovat ehdottoman välttämättömiä Asiakkaan toimintaan liittyvää viranomaisvalvontaa, tilintarkastusta tai sisäistä riskienhallintaa ja valvontaa varten. Tähän sisältyy valvontaviranomaisten tai tilintarkastajien suorittamien tarkastusten salliminen Toimittajan tiloissa, joita käytetään Asiakkaan henkilötietojen käsittelyyn. Toimittajan on varmistettava, että sen alihankkijat ovat myös velvollisia antamaan tarvittavat tiedot ja aineiston ja sallimaan edellä mainitut tarkastukset.

‍

12. Siirrot

12.1 Asiakas hyväksyy sen, että Toimittaja tai sen alihankkijat Euroopan talousalueen ("ETA") ulkopuolella voivat käsitellä ja käyttää Toimittajan henkilötietoja Palvelun tarjoamiseksi. Jos henkilötietoja siirretään ETA:sta käsiteltäväksi ETA:n ulkopuolisessa maassa, jonka Euroopan komissio ei ole tunnustanut tarjoavan riittävää henkilötietojen suojaa, Asiakas valtuuttaa Toimittajan liittymään Asiakkaan puolesta ja nimissä Euroopan komission hyväksymiin tai hyväksymiin vakiosopimuslausekkeisiin, joita sovelletaan ETA:n ulkopuolella tapahtuvaan käsittelyyn, tai Toimittaja huolehtii muista asianmukaisista suojatoimista ETA:n ulkopuolelle siirrettyjen henkilötietojen suojaamiseksi yleisen tietosuoja-asetuksen mukaisesti.

‍

13. Vastuu

13.1 Kummankin osapuolen vastuu vahingoista, joita rekisteröidylle aiheutuu sopimuksen mukaisesta asiakkaan henkilötietojen käsittelystä, määritellään yleisen tietosuoja-asetuksen 82 artiklan tai muun vastaavan ja sovellettavan pakollisen tietosuojalainsäädännön säännöksen mukaisesti.

13.2 Toimittaja ei ole vastuussa mistään välillisistä tai välillisistä menetyksistä tai vahingoista, jotka aiheutuvat tämän lisäyksen tai sopimuksen yhteydessä. Muutoin Toimittajan Asiakkaan puolesta suorittamaan Asiakkaan henkilötietojen käsittelyyn sovelletaan Sopimuksen vastuuehtoja.

‍

14. Yleiset ehdot

14.1 Osapuolet sopivat, että tämä lisäys päättyy automaattisesti, kun (i) sopimus päättyy tai (ii) kaikki palvelusopimukset, työselostukset, työtilaukset tai vastaavat sopimusasiakirjat, jotka toimittaja on tehnyt asiakkaan kanssa sopimuksen mukaisesti, päättyvät tai lakkautetaan, sen mukaan, kumpi ajankohta on myöhäisempi.

‍