Tietojenkäsittelysopimus

1. Osapuolet

• Rekisterinpitäjä on asiakas eli yritys tai yhteisö, jonka työtilassa palvelua käytetään.
• Käsittelijä on ManjaMedia (AilonDigital), Y-tunnus 2314358-1, Lehdontie 1, Harjamäki.

Jos sopimuksen ja käyttöehtojen välillä on ristiriita henkilötietojen käsittelyssä, noudatetaan tätä sopimusta.

2. Käsittelyn kohde ja tarkoitus

Käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta vain, jotta se voi tuottaa Pöhinä-palvelun. Käsittely kestää niin kauan kuin asiakkaan tilaus on voimassa, ja sen jälkeen kohdan 10 mukaisesti.

Mitä käsitellään

• Uutiskirjeen tilaajat: sähköpostiosoite, nimi, tilauksen tila, suostumuksen teksti, sivu ja aika, vahvistus- ja perumistiedot sekä lähetysten tilastot.
• Verkkosivun kävijät: seurantatagin tapahtumat (sivu, viittaava sivusto, kampanjatunnisteet, laitetyyppi) ja päivittäin vaihtuva kävijätunniste. IP-osoitetta ei tallenneta. Jos kävijä on antanut markkinointisuostumuksen ja Meta-pikseli on käytössä, IP-osoite ja selaimen tiedot välitetään Metalle.
• Sisältöjen henkilötiedot: asiakkaan asiakkaiden, työntekijöiden tai muiden henkilöiden tiedot, joita käyttäjät kirjoittavat, sanelevat tai lataavat sisältöihin ja kuviin.
• Liitettyjen palvelujen tiedot: Metan ja Googlen palveluista luettavat julkaisujen, mainosten, reaktioiden ja kommenttien tiedot sekä kävijätilastot.

Mitä käsittelyyn kuuluu

Tallennus, järjestäminen, muokkaaminen, tekoälyllä käsittely, julkaiseminen ja lähettäminen asiakkaan pyynnöstä sekä poistaminen.

Rekisterinpitäjä ei saa tuoda palveluun erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten terveystietoja, ellei siitä ole erikseen sovittu.

3. Rekisterinpitäjän vastuut

• Rekisterinpitäjällä on käsittelylle laillinen peruste, esimerkiksi uutiskirjeen tilaajien suostumus.
• Rekisterinpitäjä kertoo käsittelystä rekisteröidyille omassa tietosuojaselosteessaan.
• Rekisterinpitäjä antaa käsittelijälle ohjeet palvelun asetusten ja toimintojen kautta.

4. Käsittelijän velvollisuudet

• Käsittelijä käsittelee tietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaan. Ohjeita ovat nämä ehdot ja palvelussa tehdyt valinnat. Jos ohje on käsittelijän mielestä lainvastainen, käsittelijä kertoo siitä.
• Tietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon.
• Käsittelijä ei käytä tietoja omiin tarkoituksiinsa.
• Käsittelijä auttaa rekisterinpitäjää vastaamaan rekisteröityjen pyyntöihin, kuten tietojen tarkastus- ja poistopyyntöihin.
• Käsittelijä auttaa rekisterinpitäjää tietoturvassa, poikkeamailmoituksissa ja tarvittaessa vaikutustenarvioinnissa.

5. Tietoturva

Käsittelijä suojaa tiedot asianmukaisilla teknisillä ja organisatorisilla toimilla (GDPR 32 artikla), muun muassa:

• kirjautuminen salasanalla ja sähköpostiin lähetettävällä kertakäyttöisellä koodilla
• uusi koodivahvistus herkissä toiminnoissa
• roolipohjaiset käyttöoikeudet työtilakohtaisesti
• työtilojen erottelu tietokannan rivitason suojauksella (PostgreSQL row-level security)
• liitettyjen palvelujen tunnusten salaus ja salatut yhteydet
• palvelimet Microsoft Azuressa EU:n alueella
• saneluäänitteiden automaattinen poisto 30 päivän kuluttua

Tarkempi kuvaus on tietoturvasivulla.

6. Alikäsittelijät

Rekisterinpitäjä antaa yleisen luvan käyttää seuraavia alikäsittelijöitä:

• Microsoft Azure – palvelimet ja tallennus, EU
• OpenAI – tekstien tuottaminen ja puheen litterointi, Yhdysvallat
• Mailjet – ilmoitusten, vahvistusviestien ja uutiskirjeiden lähettäminen, EU

Meta ja Google ovat palveluja, jotka asiakas itse liittää työtilaansa. Ne käsittelevät niille välitettyjä tietoja omien ehtojensa mukaan asiakkaan ja palvelun välisen sopimuksen perusteella.

Käsittelijä sitoo alikäsittelijät samoihin tietosuojavelvoitteisiin. Käsittelijä kertoo uusista tai vaihtuvista alikäsittelijöistä etukäteen, ja rekisterinpitäjä voi vastustaa muutosta perustellusta syystä.

7. Siirrot EU:n ulkopuolelle

Tietoja siirretään EU:n ja ETA:n ulkopuolelle vain, jos siirrolle on GDPR:n mukainen peruste, kuten EU:n ja Yhdysvaltojen välinen tietosuojakehys (EU–US Data Privacy Framework) tai Euroopan komission vakiosopimuslausekkeet (SCC).

8. Tietoturvaloukkaukset

Käsittelijä ilmoittaa rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä sen havaittuaan. Ilmoituksessa kerrotaan, mitä on tapahtunut, mitä tietoja ja keitä se koskee, mitä seurauksia sillä voi olla ja mitä on tehty. Näin rekisterinpitäjä voi tarvittaessa ilmoittaa tietosuojavaltuutetulle 72 tunnin kuluessa.

9. Auditointi

Käsittelijä antaa rekisterinpitäjän pyynnöstä tiedot, joilla voidaan osoittaa, että tätä sopimusta noudatetaan. Rekisterinpitäjä voi tehdä tarkastuksen omalla kustannuksellaan, kun siitä on sovittu kohtuullisessa ajassa etukäteen.

10. Tietojen palauttaminen ja poistaminen

Kun tilaus päättyy, rekisterinpitäjä voi ladata tietonsa talteen 30 päivän ajan. Sen jälkeen käsittelijä poistaa henkilötiedot, ellei laki vaadi säilyttämään niitä. Varmuuskopioista tiedot poistuvat 30 päivän kuluessa.

11. Yhteystiedot

Tietosuoja-asiat: hei@pohina.app