Tietojenkäsittelysopimus

Osapuolet

Rekisterinpitäjä ("Toimeksiantaja")

Käsittelijä ("Alvoru")

Jäljempänä yhdessä: "Osapuolet".

Ottaen huomioon, että

• Osapuolet ovat solmineet pääsopimuksen, jossa Alvoru Käsittelijänä käsittelee henkilötietoja Toimeksiantajan lukuun (jäljempänä: "Pääsopimus");
• GDPR:n artiklan 28 kohdan 3 nojalla vaaditaan kirjallinen tietojenkäsittelysopimus, jossa on määritelty, miten Käsittelijä käsittelee henkilötietoja;
• tämä tietojenkäsittelysopimus (jäljempänä: "DPA") on erottamaton osa Pääsopimusta.

Artikla 1 — Määritelmät

Tässä DPA:ssa isolla alkukirjaimella kirjoitetuilla käsitteillä on GDPR:ssä niille annettu merkitys, täydennettynä Alvorun yleisten ehtojen määritelmillä.

Artikla 2 — Kohde ja kesto

2.1 Tämä DPA sääntelee henkilötietojen käsittelyä, jonka Alvoru suorittaa Toimeksiantajan toimeksiannosta Pääsopimuksen puitteissa.

2.2 Tämä DPA tulee voimaan päivänä, jona Pääsopimus alkaa, ja päättyy lain nojalla Pääsopimuksen päättyessä, tämän kuitenkaan rajoittamatta niitä määräyksiä, joiden on luonteensa vuoksi tarkoitus pysyä voimassa.

Artikla 3 — Käsittelyn luonne ja tarkoitus

3.1 Käsittelyn luonne ja tarkoitus muodostuu Pääsopimuksessa kuvatun palvelun tuottamisesta (AI-asiakaspalvelu, mukaan lukien chatbot, sähköposti ja kalenteri).

3.2 Alvoru käsittelee henkilötietoja ainoastaan Toimeksiantajan dokumentoitujen ohjeiden mukaisesti, ellei laki muuta edellytä (GDPR:n artiklan 28 kohta 3 alakohta a). Viimeksi mainitussa tapauksessa Alvoru ilmoittaa Toimeksiantajalle käsittelystä ennen sitä, ellei laki painavista syistä kiellä tätä.

Artikla 4 — Henkilötietojen tyyppi ja rekisteröityjen ryhmät

Erityisiä henkilötietoryhmiä (GDPR:n artikla 9) ja rikosoikeudellisia tietoja (GDPR:n artikla 10) ei käsitellä, ellei kirjallisesti toisin sovita.

Artikla 5 — Käsittelijän velvollisuudet

5.1 Alvoru käsittelee henkilötietoja ainoastaan Pääsopimuksessa ja tässä DPA:ssa määriteltyihin tarkoituksiin sekä Toimeksiantajan kirjallisten ohjeiden mukaisesti.

5.2 Alvoru varmistaa, että henkilötietoja käsittelevillä henkilöillä on salassapitovelvollisuus, joko lain tai sopimuksen nojalla.

5.3 Alvoru antaa Toimeksiantajalle, käsittelyn luonne huomioon ottaen, kohtuullista apua rekisteröityjen GDPR:n mukaisten oikeuksien käyttämistä koskevien pyyntöjen täyttämisessä.

5.4 Alvoru asettaa Toimeksiantajan saataville kaikki tiedot, jotka ovat tarpeen GDPR:n artiklan 28 noudattamisen osoittamiseksi.

5.5 Tekoälyn koulutuskielto. Alvoru ei koskaan käytä Rekisterinpitäjän lukuun käsittelemiään henkilötietoja tekoälymallien kouluttamiseen, hienosäätöön tai muuhun parantamiseen, eikä omien tai kolmannen osapuolen tekoälysovellusten kehittämiseen.

Artikla 6 — Turvatoimenpiteet (GDPR:n artikla 32)

Alvoru toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, mukaan lukien:

• Salaus siirron aikana (TLS 1.2+) ja soveltuvin osin salaus levossa;
• Pääsynvalvonta perustuen least privilege; kaksivaiheinen todennus ylläpitäjille;
• Palomuurit, fail2ban ja tunkeutumisen valvonta;
• Päivittäiset salatut varmuuskopiot, säilytysaika enintään 90 päivää;
• Rajoittavat tiedosto-oikeudet (600) konfiguraatio- ja datatiedostoissa;
• Tuotantojärjestelmien käytön kirjaus ja valvonta;
• Turvatoimenpiteiden säännöllinen arviointi ja päivitys.

Artikla 7 — Alikäsittelijät

7.1 Toimeksiantaja antaa Alvorulle yleisen kirjallisen suostumuksen alikäsittelijöiden käyttämiseen, edellyttäen että Alvoru noudattaa tämän artiklan muita määräyksiä.

7.2 Tällä hetkellä käytössä olevat alikäsittelijät ovat:

7.3 Alvoru asettaa alikäsittelijöille samat tietosuojavelvoitteet kuin tähän DPA:han sisältyy (GDPR:n 28 artiklan 4 kohta).

7.4 Alvoru ilmoittaa Toimeksiantajalle vähintään 14 päivää etukäteen alikäsittelijöiden vaihtamisesta tai lisäämisestä. Toimeksiantaja voi tämän määräajan kuluessa esittää perustellun vastalauseen. Perustellun vastalauseen tapauksessa Toimeksiantajalla on oikeus irtisanoa Pääsopimus maksutta.

8 artikla — Siirto ETA:n ulkopuolelle

Henkilötietojen siirto Euroopan talousalueen ulkopuoliseen maahan tapahtuu ainoastaan riittävyyspäätöksen (GDPR:n 45 artikla), yritystä koskevien sitovien sääntöjen, EU:n vakiosopimuslausekkeiden (GDPR:n 46 artiklan 2 kohdan c alakohta) tai muun GDPR:ssä säädetyn suojatoimen perusteella, täydennettynä tarvittaessa täydentävillä teknisillä ja organisatorisilla toimenpiteillä.

9 artikla — Rekisteröityjen oikeudet

9.1 Alvoru tarjoaa Toimeksiantajalle asianmukaista tukea rekisteröityjen pyyntöjen käsittelyssä (tarkastus, oikaisu, poistaminen, rajoittaminen, siirrettävyys, vastustaminen) asiakasportaalin teknisten toimintojen avulla ja tarvittaessa lisäavun kautta.

9.2 Alvoru välittää suoraan Alvorulle saapuvat rekisteröityjen pyynnöt viipymättä Toimeksiantajalle.

10 artikla — Tietoturvaloukkaukset

10.1 Alvoru ilmoittaa Toimeksiantajalle viipymättä ja viimeistään 48 tunnin kuluessa henkilötietojen tietoturvaloukkauksen havaitsemisesta (GDPR:n 33 artiklan 2 kohta), jotta Toimeksiantaja voi ajoissa täyttää ilmoitusvelvollisuutensa 72 tunnin kuluessa tietosuojaviranomaiselle.

10.2 Ilmoitus sisältää joka tapauksessa: loukkauksen luonteen, rekisteröityjen ryhmät ja lukumäärän, kyseessä olevien tietueiden ryhmät ja lukumäärän, todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet.

10.3 Alvoru antaa Toimeksiantajalle asianmukaista apua ilmoituksen tekemisessä tietosuojaviranomaiselle ja tarvittaessa rekisteröidyille.

11 artikla — Auditointi

11.1 Toimeksiantaja voi kerran kalenterivuodessa, vähintään 30 päivää etukäteen tehdyn kirjallisen ilmoituksen jälkeen, omalla kustannuksellaan suorittaa tai suorituttaa auditoinnin siitä, miten Alvoru noudattaa tätä DPA:ta.

11.2 Auditoinnin suorittaa riippumaton, salassapitovelvollisuuteen sitoutunut auditoija toimistoaikoina ja tavalla, joka ei häiritse Alvorun normaalia liiketoimintaa.

11.3 Alvoru voi paikan päällä tehtävän auditoinnin sijaan toimittaa ajantasaisen riippumattoman kolmannen osapuolen raportin (esimerkiksi ISO 27001 tai SOC 2), edellyttäen että raportti antaa kohtuudella riittävän varmuuden.

12 artikla — Irtisanominen ja tietojen poistaminen

12.1 Pääsopimuksen päättymisen jälkeen Alvoru poistaa tai palauttaa kaikki henkilötiedot Toimeksiantajalle tämän valinnan mukaan ja ensimmäisestä kirjallisesta pyynnöstä, GDPR:n 28 artiklan 3 kohdan g alakohdan mukaisesti.

12.2 Tällainen pyyntö voidaan esittää 60 päivän kuluessa päättymisestä. Jos näin ei tehdä, tiedot poistetaan automaattisesti 60 päivän kuluttua.

12.3 Offline-varmuuskopiot poistetaan säännöllisen kiertoaikataulun mukaisesti viimeistään 90 päivän kuluttua päättymisestä.

12.4 Tiedot, jotka Alvorun on lain nojalla säilytettävä, säilytetään laissa säädetyn ajan.

13 artikla — Vastuu

13.1 Alvorun tämän DPA:n mukainen vastuu sisältyy Pääsopimukseen liittyvien Yleisten ehtojen vastuumääräyksiin ja on niiden rajoittama.

13.2 GDPR:n pakottavat säännökset pysyvät voimassa muuttumattomina.

13a artikla — Selosteet käsittelytoimista

Alvoru pitää selostetta käsittelytoimista GDPR:n 30 artiklan mukaisesti. Tämä seloste sisältää joka tapauksessa: Alvorun nimen ja yhteystiedot käsittelijänä, rekisterinpitäjien puolesta suoritettujen käsittelyjen ryhmät, siirrot kolmansiin maihin ja sovelletut suojatoimet sekä yleisen kuvauksen teknisistä ja organisatorisista turvatoimenpiteistä. Seloste on pyynnöstä tietosuojaviranomaisen saatavilla.

14 artikla — Sovellettava laki ja riidat

Tähän DPA:han sovelletaan Alankomaiden lakia. Riidat viedään Overijsselin käräjäoikeuteen, Almelon toimipisteeseen.

Allekirjoitus

Lähetä allekirjoitettu versio (skannattuna tai digitaalisesti allekirjoitettuna) osoitteeseen info@alvoru.com. Alvoru palauttaa yhdessä allekirjoitetun kopion.