Tietojenkäsittelysopimus

Selkokielellä

Kun yrityksesi käyttää Toimeenia, yrityksesi päättää, mitä sen postissa ja asiakirjoissa oleville henkilötiedoille tapahtuu: se on rekisterinpitäjä. Käsittelemme näitä tietoja vain Toimeenin tarjoamiseksi ja vain ohjeidesi mukaan. Suojaamme ne, kerromme sinulle tietoturvaloukkauksista, autamme sinua vastaamaan ihmisten pyyntöihin ja poistamme tiedot, kun lopetat palvelun käytön.

1. Osapuolet ja soveltamisala

Tämä sopimus ("tietojenkäsittelysopimus") on Toimeenia käyttävän yrityksen ("Rekisterinpitäjä", "sinä") ja Fidanet Solution Oy:n, Y-tunnus 3497432-1, Marinkallio 6b, 02320 Espoo, Finland ("Käsittelijä", "me"), välinen. Se täydentää Käyttöehtoja ja tulee osaksi niitä, kun luot tilin. Sitä sovelletaan aina, kun käsittelemme henkilötietoja puolestasi Palvelua tarjotessamme.

Käsitteillä kuten henkilötiedot, käsittely, rekisterinpitäjä, käsittelijä, alikäsittelijä, rekisteröity ja henkilötietojen tietoturvaloukkaus on sama merkitys kuin GDPR:ssä (asetus (EU) 2016/679).

2. Käsittelyn kohde ja kesto

Käsittelemme henkilötietoja tarjotaksemme Käyttöehdoissa kuvattua Palvelua: luemme postia ja asiakirjoja, valmistelemme luonnoksia ja ehdotuksia, ylläpidämme hyväksyntäjonoa ja toimintalokia, muodostamme yhteydet valitsemiisi järjestelmiin ja tallennamme tulokset käyttäjillesi. Käsittely kestää niin kauan kuin tilisi on voimassa, ja lisäksi kohdassa 11 tarkoitetun palautus- ja poistoajan. Liitteessä I luetellaan tietoryhmät ja rekisteröityjen ryhmät.

3. Ohjeesi

Käsittelemme henkilötietoja vain dokumentoitujen ohjeidesi mukaisesti. Ohjeesi ovat nämä ehdot, tämä tietojenkäsittelysopimus ja tapa, jolla käytät Palvelun asetuksia ja yhteyksiä. Jos laki edellyttää muuta käsittelyä, kerromme siitä sinulle ensin, ellei laki kiellä sitä. Jos katsomme, että ohje rikkoo tietosuojalainsäädäntöä, ilmoitamme siitä sinulle viipymättä.

Agentti ei koskaan itse lähetä, kirjaa tai muuta mitään Toimeenin ulkopuolella: jokainen tällainen toimi odottaa yrityksesi henkilön hyväksyntää. Hyväksynnät ovat ohjeitasi.

4. Luottamuksellisuus

Kaikilla Fidanet Solution Oy:n henkilöillä, joilla on pääsy tietoihisi, on vaitiolovelvollisuus.

5. Tietoturva

Toteutamme riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet GDPR:n 32 artiklan edellyttämällä tavalla. Ne kuvataan liitteessä II. Voimme parantaa niitä, mutta emme heikentää suojan kokonaistasoa.

6. Alikäsittelijät

Annat meille yleisen luvan käyttää alikäsittelijöitä. Ne luetellaan liitteessä III. Ennen kuin lisäämme tai vaihdamme henkilötietojasi käsittelevän alikäsittelijän, ilmoitamme siitä sinulle vähintään 30 päivää etukäteen. Voit vastustaa muutosta perustellulla tietosuojaan liittyvällä syyllä kirjoittamalla osoitteeseen hello@toimeen.com tämän ajan kuluessa. Jos emme pysty ratkaisemaan asiaa, voit päättää sopimuksen ennen muutosta.

Sitoutamme jokaisen alikäsittelijän tietosuojavelvoitteisiin, jotka eivät ole näitä heikompia, ja vastaamme sinulle edelleen niiden työstä.

7. Siirrot EU:n ulkopuolelle

Tietosi tallennetaan Suomessa. Jos alikäsittelijä käsittelee niitä EU:n/ETA:n ulkopuolella (ks. liite III), siirto perustuu Euroopan komission vakiosopimuslausekkeisiin (päätös (EU) 2021/914). Valtuutat meidät sopimaan näistä lausekkeista alikäsittelijän kanssa.

8. Rekisteröityjen pyynnöt

Autamme sinua vastaamaan pyyntöihin, joilla ihmiset käyttävät GDPR:n mukaisia oikeuksiaan, ottaen huomioon käsittelyn luonteen: pyynnöstäsi etsimme, viemme, oikaisemme tai poistamme kyseiset tiedot. Jos henkilö ottaa yhteyttä suoraan meihin hallinnassasi olevista tiedoista, välitämme pyynnön sinulle viipymättä.

9. Henkilötietojen tietoturvaloukkaukset

Ilmoitamme sinulle tietojasi koskevasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun saimme tiedon siitä. Kerromme, mitä tiedämme loukkauksen luonteesta, asianomaisista tiedoista ja henkilöistä, todennäköisistä seurauksista sekä toimista, jotka olemme toteuttaneet tai joita ehdotamme. Autamme sinua täyttämään omat velvollisuutesi GDPR:n 33 ja 34 artiklan mukaisesti.

10. Vaikutustenarvioinnit ja auditoinnit

Autamme sinua kohtuullisessa määrin tietosuojaa koskevissa vaikutustenarvioinneissa ja viranomaisen ennakkokuulemisessa. Annamme sinulle tiedot, joita tarvitaan sen osoittamiseen, että täytämme GDPR:n 28 artiklan vaatimukset. Voit auditoida toimintamme vaatimustenmukaisuuden kerran vuodessa 30 päivän kirjallisella ennakkoilmoituksella, työaikana, luottamuksellisuutta noudattaen ja omalla kustannuksellasi, ellei auditoinnissa havaita tämän tietojenkäsittelysopimuksen olennaista rikkomista.

11. Palautus ja poisto

Kun sopimus päättyy, voit pyytää tietosi koneluettavassa muodossa 60 päivän ajan. Sen jälkeen poistamme ne 30 päivän kuluessa, ellei unionin oikeus tai Suomen laki velvoita meitä säilyttämään niitä.

12. Vastuu ja etusijajärjestys

Vastuuseen sovelletaan Käyttöehtojen rajoituksia, paitsi silloin, kun laki ei salli vastuun rajoittamista. Henkilötietoja koskevissa asioissa tämä tietojenkäsittelysopimus on ensisijainen Käyttöehtoihin nähden. Sopimukseen sovelletaan Suomen lakia, ja riidat ratkaistaan Käyttöehtojen mukaisesti.

Liite I: Käsittelyn kuvaus

Luonne ja tarkoitus: postin, liitteiden ja asiakirjojen tallentaminen ja lukeminen; luonnosten, ehdotusten, laskujen ja tilausten valmistelu hyväksyttäväksi; päätösten kirjaaminen; hyväksytyn työn siirtäminen yhdistettyihin järjestelmiin; julkisiin lähteisiin perustuva tutkimus pyynnöstä; ilmoitusten lähettäminen.

Rekisteröidyt:

• Rekisterinpitäjän käyttäjät (omistajat, työntekijät ja muut sen kutsumat henkilöt);
• henkilöt, jotka esiintyvät Rekisterinpitäjän postissa ja asiakirjoissa: asiakkaiden ja toimittajien yhteyshenkilöt, lähettäjät ja vastaanottajat;
• henkilöt, joista Rekisterinpitäjä pyytää julkisiin lähteisiin perustuvaa tutkimusta, jos se on ottanut tämän toiminnon käyttöön.

Henkilötietoryhmät:

• nimet, sähköpostiosoitteet, puhelinnumerot, tehtävänimikkeet ja yritystiedot;
• postin, liitteiden ja asiakirjojen sisältö sekä niistä laaditut luonnokset ja ehdotukset;
• käyttäjien kirjautumistiedot (salasanan tiiviste, istunnot IP-osoitteineen ja selaintietoineen), toimintalokin toimet sekä Telegram-keskustelun tunniste (chat ID), jos Telegram on yhdistetty;
• julkisista lähteistä saadut tutkimushavainnot.

Erityiset henkilötietoryhmät: Palvelua ei ole suunniteltu erityisiin henkilötietoryhmiin kuuluville tiedoille (GDPR:n 9 artikla). Älä tuo tällaisia tietoja Palveluun, ellei sinulla ole siihen oikeusperustetta ja ellet ole sopinut kanssamme niiden käsittelystä.

Tiheys ja kesto: jatkuva, niin kauan kuin tili on voimassa, sekä kohdassa 11 tarkoitettu aika.

Liite II: Tekniset ja organisatoriset toimenpiteet

• Palvelimet Suomessa (Hetzner, Helsinki); yhteydet salattu TLS-protokollalla.
• Kunkin yrityksen tiedot erotettu tietokannassa rivitason suojauksella.
• Salasanat tallennettu scrypt-tiivisteinä; yhdistettyjen palvelujen käyttöavaimet salattu AES-256-GCM-menetelmällä palvelinavaimella, jota säilytetään tietokannan ulkopuolella.
• Sähköpostiosoitteet vahvistetaan rekisteröitymisen yhteydessä; salasanan vaihto kirjaa muut laitteet ulos ja palautus kaikki laitteet; kirjautumisyrityksiä rajoitetaan.
• Kunkin yrityksen sisäiset roolit määräävät, kuka näkee ja hyväksyy mitäkin; hyväksymisraja rajaa suuret hyväksynnät omistajille ja ylläpitäjille.
• Jokainen hyväksyntä, hylkäys ja asetusmuutos kirjataan toimintalokiin.
• Ulospäin suuntautuvat toimet tehdään vasta, kun henkilö on hyväksynyt ne.
• Pääsy palvelimille rajattu nimetyille Fidanet Solution Oy:n henkilöille.
• Tutkimusagentti: vain julkiset lähteet, tunnistautuu nimellä ToimeenBot, noudattaa robots.txt-tiedostoa, henkilöitä koskeva tutkimus oletuksena pois päältä, havainnot poistetaan oletuksena 180 päivän jälkeen.

Liite III: Alikäsittelijät

Palvelut, jotka valitset itse yhdistettäviksi (postilaatikkosi, kirjanpito-ohjelmasi, kassajärjestelmäsi, Telegram ja muut), eivät ole alikäsittelijöitämme: ne toimivat omien, kanssasi tekemiensä sopimusten perusteella.