Tietojenkäsittelysopimuksen yleiskuvaus
Tila: julkinen yleiskuvaus, ei allekirjoitettu sopimus. Asiakkaan kanssa kirjallisesti sovittu tietojenkäsittelysopimus on ensisijainen tähän yleiskuvaukseen nähden.
1. Tarkoitus
Kun organisaatio käyttää Fleksiä henkilötietojen käsittelyyn omiin tarkoituksiinsa, organisaatio toimii yleensä rekisterinpitäjänä ja Fleksi henkilötietojen käsittelijänä.
Tämä sivu kuvaa henkilötietojen käsittelyn nykyisen perustason. Se ei korvaa asiakkaan kanssa kirjallisesti sovittua tietojenkäsittelysopimusta, joka huomioi yleisen tietosuoja-asetuksen 28 artiklan vaatimukset ja on ensisijainen.
2. Käsittelyn kuvaus
Käsittely on seuraava:
| Kohde | Fleksi SaaS -palvelun tarjoaminen, toiminta, suojaaminen, tuki ja ylläpito |
|---|---|
| Kesto | Palvelukausi sekä sovellettava tietojen palautus- ja poistoaika |
| Käsittelyn luonne | Kerääminen, tallentaminen, järjestäminen, säilyttäminen, hakeminen, tarkastelu, siirtäminen, varmuuskopiointi, rajoittaminen, vienti ja poistaminen |
| Tarkoitus | Palvelun tarjoaminen ja suojaaminen sekä asiakkaan dokumentoitujen ohjeiden noudattaminen |
| Rekisteröidyt | Asiakkaan henkilöstö, alihankkijat, hakijat, asiakas- ja toimittajayhteyshenkilöt, loppuasiakkaat, työmaakontaktit ja muut henkilöt, joiden tiedot asiakas laillisesti tallentaa |
| Henkilötiedot | Henkilöllisyys-, yhteys-, ammatti-, käyttäjätili-, käyttöoikeus-, projekti-, aikataulu-, viestintä- ja asiakirjatiedot sekä muut asiakkaan valitsemat kentät |
| Arkaluonteiset tiedot | Ei tarkoitettu käsiteltäviksi, ellei tietystä käytöstä ja asianmukaisista suojatoimista ole nimenomaisesti sovittu |
Asiakkaan kanssa sovittu sopimus rajaa kuvauksen asiakkaan tosiasiassa käyttämiin tietoihin ja toimintoihin.
3. Ohjeet ja vastuut
Fleksi käsittelee Asiakkaan henkilötietoja vain asiakkaan dokumentoitujen ohjeiden perusteella. Ohjeita ovat muun muassa sopimus, Palvelun tavanomainen käyttö, asetukset ja tukipyynnöt.
Jos laki vaatii muuta käsittelyä, Fleksi ilmoittaa siitä asiakkaalle ennakkoon, ellei laki kiellä ilmoittamista. Fleksi ilmoittaa asiakkaalle, jos sen mielestä ohje rikkoo sovellettavaa tietosuojalainsäädäntöä.
Asiakas vastaa ohjeistaan, käsittelyn oikeusperusteesta, rekisteröidyille annettavista tiedoista sekä Asiakkaan henkilötietojen lainmukaisuudesta ja oikeellisuudesta.
4. Salassapito ja tietoturva
Asiakkaan henkilötietojen käsittelyyn valtuutettuja henkilöitä sitoo salassapitovelvollisuus, ja he saavat pääsyn vain tehtäviensä edellyttämässä laajuudessa.
Fleksi ylläpitää riskeihin nähden asianmukaisia tietoturvatoimia, kuten:
- käyttöoikeuksien hallinnan ja vähimpien oikeuksien periaatteen;
- tunnistautumisen ja korkean käyttöoikeuden suojauksen;
- turvallisen tiedonsiirron ja asianmukaisen salauksen;
- asiakkaiden ja ympäristöjen erottamisen;
- lokituksen, valvonnan ja haavoittuvuuksien hallinnan;
- varmuuskopioinnin, palautumisen ja häiriönsietokyvyn;
- turvallisen kehityksen sekä muutos- ja päivityshallinnan;
- henkilöstön salassapidon ja tietoturvaosaamisen;
- poikkeamiin reagoimisen ja dokumentoinnin; sekä
- turvallisen poistamisen ja tallennusvälineiden käsittelyn.
Fleksi ei väitä omaavansa sertifiointia, jota ei ole riippumattomasti varmennettu.
5. Alikäsittelijät
Asiakas antaa yleisen kirjallisen luvan Palvelun tuottamiseen tarvittavien alikäsittelijöiden käyttämiseen. Fleksi:
- ylläpitää luetteloa, jossa yksilöidään alikäsittelijä, palvelu ja olennainen maa tai käsittelyalue;
- ilmoittaa uudesta tai korvaavasta alikäsittelijästä ennakkoon, kun se on mahdollista;
- sallii muutoksen vastustamisen perustellusta tietosuojasyystä;
- asettaa olennaisilta osin vastaavat tietosuojavelvoitteet; sekä
- säilyttää yleisen tietosuoja-asetuksen ja tietojenkäsittelysopimuksen edellyttämän vastuun.
Jos perusteltua vastustusta ei voida ratkaista, kyseinen toiminto tai Palvelun osa voidaan lopettaa.
6. Kansainväliset siirrot
Tilauksessa ja alikäsittelijäluettelossa yksilöidään sovittu ensisijainen isännöintialue ja olennaiset tuki- tai toimittajasijainnit.
Asiakkaan henkilötietoja ei siirretä Euroopan talousalueen ulkopuolelle muutoin kuin asiakkaan dokumentoitujen ohjeiden ja tarvittavan lainmukaisen siirtoperusteen nojalla. Perusteena voidaan käyttää tietosuojan riittävyyttä koskevaa päätöstä tai Euroopan komission vakiolausekkeita täydentävine suojatoimineen.
7. Asiakkaan avustaminen
Fleksi avustaa kohtuullisesti käsittelyn luonne ja saatavilla olevat tiedot huomioiden:
- rekisteröityjen oikeuksien toteuttamista koskevissa pyynnöissä;
- tietoturvaa ja henkilötietojen tietoturvaloukkauksia koskevissa velvollisuuksissa;
- tietosuojaa koskevissa vaikutustenarvioinneissa ja ennakkokuulemisissa; sekä
- vaatimustenmukaisuuden osoittamiseksi kohtuudella tarvittavien tietojen toimittamisessa.
Fleksi ei vastaa rekisteröidylle asiakkaan puolesta ilman asiakkaan ohjetta tai lakiin perustuvaa velvollisuutta.
8. Henkilötietojen tietoturvaloukkaukset
Fleksi ilmoittaa asiakkaalle ilman aiheetonta viivytystä saatuaan tietää Asiakkaan henkilötietoihin vaikuttavasta tietoturvaloukkauksesta. Fleksi antaa saatavilla olevat asiakkaan velvollisuuksien hoitamiseen tarvittavat tiedot, ja lisätietoja voidaan toimittaa vaiheittain.
Fleksi ryhtyy kohtuullisiin toimiin loukkauksen rajaamiseksi, tutkimiseksi, haittojen vähentämiseksi ja dokumentoimiseksi. Ilmoitus ei merkitse vastuun myöntämistä.
Yleisen tietosuoja-asetuksen 72 tunnin määräaika koskee rekisterinpitäjän tarvittaessa valvontaviranomaiselle tekemää ilmoitusta. Se ei ole aika, jonka käsittelijä saa odottaa ennen asiakkaalle ilmoittamista.
9. Palauttaminen ja poistaminen
Palvelun päättyessä asiakas voi valita Asiakkaan henkilötietojen palauttamisen tai poistamisen, ellei laki edellytä säilyttämistä. Perustaso on 30 päivän poistumisjakso, minkä jälkeen tiedot poistetaan tai anonymisoidaan aktiivisista järjestelmistä tavallisesti 90 päivän kuluessa. Suojatut varmuuskopiot poistuvat normaalin varmuuskopiointikierron mukaisesti.
Säilytettävät tiedot pidetään suojattuina ja erillään tavanomaisesta käytöstä, ja niitä käsitellään vain lain edellyttämään tarkoitukseen.
10. Tiedot ja tarkastukset
Fleksi antaa kohtuudella tarvittavat tiedot vaatimustenmukaisuuden osoittamiseksi. Tavanomainen etenemisjärjestys on:
- ajantasainen tietoturva- ja vaatimustenmukaisuusdokumentaatio;
- kohtuulliseen kyselyyn vastaaminen;
- riippumattomat raportit tai sertifioinnit, kun niitä on saatavilla; ja
- tarkastus, jos aikaisempi aineisto ei riitä tai poikkeama tai viranomaisen pyyntö antaa siihen perustellun syyn.
Tarkastuksiin sovelletaan kohtuullista ennakkoilmoitusta sekä salassapitoa, tietoturvaa, laajuutta ja toistuvuutta koskevia rajoja. Tarkastus ei saa vaarantaa toisen asiakkaan tietoja.
11. Etusijajärjestys
Asiakkaan kanssa kirjallisesti sovittu tietojenkäsittelysopimus on ensisijainen tähän yleiskuvaukseen nähden. Sovittua suojaa ei olennaisesti heikennetä kesken sopimuskauden ilman lainmukaista perustetta ja sovittua seurausta.
Tietojen käsittelyä koskevat kysymykset voi lähettää Fleksi.io:n yhteydenottolomakkeella.