HENKILÖTIETOJEN KÄSITTELYSOPIMUS (DPA)

Arlens Oy · Y-tunnus 3241659-6 · GDPR 28 artikla · arlens.fi/compliance/dpa_1

Mikä tämä on?

Henkilötietojen käsittelysopimus (DPA), joka on GDPR:n 28 artiklan nojalla pakollinen, kun Arlens käsittelee henkilötietoja Asiakkaan lukuun Arlens-sovelluksessa. Se määrittelee, mitä tietoja käsitellään, mihin tarkoitukseen ja millaisin tietoturvatoimin. Ilman hyväksyttyä DPA:ta käsittely ei ole lain mukaista.

1. Osapuolet ja roolit

Toimittaja on Arlens Oy, Y-tunnus 3241659-6 (jäljempänä Arlens). Asiakas on tilausvahvistuksessa yksilöity yritys. Asiakkaan sovellukseen tallentamien tiedostojen ja mallidatan osalta Asiakas on rekisterinpitäjä ja Arlens käsittelijä. Käyttäjätili- ja analytiikkadatan osalta Arlens toimii omiin tarkoituksiinsa itsenäisenä rekisterinpitäjänä, ja niihin sovelletaan Arlensin tietosuojaselostetta. Tämä sopimus koskee Arlensia käsittelijänä.

2. Käsittelyn kohde ja kesto

Arlens käsittelee henkilötietoja Asiakkaan lukuun ainoastaan Arlens-sovelluksen tuottamiseksi Asiakkaan ohjeiden mukaisesti. Käsittelyn kesto vastaa palvelun voimassaoloa.

3. Käsiteltävät tiedot ja rekisteröidyt

Käsittelijänä Arlens käsittelee Asiakkaan sovellukseen tallentamia tiedostoja ja mallidataa. Rekisteröidyt ovat Asiakkaan valtuutetut käyttäjät ja työntekijät. Erityisiin henkilötietoryhmiin kuuluvia tietoja ei käsitellä. Sovelluksen tuottama paikkatieto on oletuksena anonyymiä ja kulkee järjestelmän läpi ilman, että sitä säilytetään henkilötietona. Analytiikkadata on oletuksena anonyymiä eikä kuulu tähän käsittelijärooliin.

4. Arlensin velvollisuudet käsittelijänä

Arlens käsittelee henkilötietoja vain Asiakkaan dokumentoiduista ohjeista, joina toimivat tämä sopimus ja käyttöehdot. Arlens varmistaa, että tietoja käsittelevät henkilöt ovat salassapitovelvollisia. Arlens toteuttaa 32 artiklan mukaiset tietoturvatoimet kohdan 7 mukaisesti. Arlens avustaa Asiakasta rekisteröityjen oikeuksien toteuttamisessa sekä vaikutustenarvioinnissa (35 art.) ja ennakkokuulemisessa (36 art.). Arlens ilmoittaa tietoturvaloukkauksesta kohdan 8 mukaisesti, poistaa tai palauttaa tiedot palvelun päätyttyä kohdan 10 mukaisesti sekä antaa tiedot, jotka osoittavat tämän sopimuksen noudattamisen, ja sallii auditoinnin kohdan 11 mukaisesti.

5. Alikäsittelijät

Asiakas antaa Arlensille yleisen valtuutuksen käyttää seuraavia alikäsittelijöitä: Supabase (tietokanta- ja tallennuspalvelu) ja Hetzner (palvelin- ja konesalipalvelu, Helsinki). Arlens asettaa jokaiselle alikäsittelijälle tätä sopimusta vastaavat tietosuojavelvoitteet ja vastaa niiden toiminnasta kuin omastaan. Arlens ilmoittaa alikäsittelijöiden muutoksista vähintään 30 päivää etukäteen, ja Asiakas voi vastustaa muutosta 14 päivän kuluessa.

6. Tietojen sijainti ja siirrot

Henkilötiedot käsitellään pääsääntöisesti EU/ETA-alueella. Mikäli alikäsittelijän oma toimitusketju edellyttää käsittelyä ETA:n ulkopuolella, siihen sovelletaan GDPR:n luvun V mukaisia suojatoimia, käytännössä Euroopan komission vakiolausekkeita (SCC). Arlens ei siirrä henkilötietoja ETA:n ulkopuolelle ilman tällaista suojamekanismia.

7. Tietoturva

Arlens ja sen alikäsittelijät toteuttavat riskiin nähden asianmukaiset tekniset ja organisatoriset toimet, mukaan lukien henkilötietojen salaus siirrossa ja levossa, pääsynhallinta, lokitus sekä toimien säännöllinen testaus ja arviointi. Alikäsittelijöiden yksityiskohtaiset toimet on kuvattu niiden omissa tietoturvaliitteissä.

8. Tietoturvaloukkaukset

Arlens ilmoittaa Asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivätystä saatuaan siitä tiedon. Ilmoitus sisältää loukkauksen luonteen, arvioidut seuraukset ja toteutetut toimet. Asiakas vastaa omista ilmoitusvelvoitteistaan valvontaviranomaiselle ja rekisteröidyille.

9. Rekisteröityjen oikeudet

Arlens avustaa Asiakasta kohtuullisin toimin, jotta Asiakas voi vastata rekisteröityjen pyyntöihin, mukaan lukien tarkastus, oikaisu, poisto ja siirto. Jos rekisteröity ottaa yhteyttä suoraan Arlensiin, Arlens ohjaa pyynnön Asiakkaalle.

10. Poisto ja palautus

Palvelun päätyttyä Arlens Asiakkaan valinnan mukaan joko palauttaa henkilötiedot koneluettavassa muodossa tai poistaa ne, ellei lainsäädäntö edellytä säilyttämistä. Palautus- tai poistopyyntö on esitettävä 30 päivän kuluessa palvelun päättymisestä.

11. Auditointi

Arlens antaa pyynnöstä tiedot, jotka osoittavat tämän sopimuksen noudattamisen, ensisijaisesti alikäsittelijöiden sertifikaatteina tai tietoturvadokumentaationa. Asiakas voi auditoida enintään kerran vuodessa kohtuullisella ennakkoilmoituksella ja omalla kustannuksellaan.

12. Vastuu

Osapuolten vastuu tämän sopimuksen nojalla määräytyy Arlensin käyttöehtojen vastuunrajoituksen mukaisesti, sovellettavan pakottavan lain sallimissa rajoissa.

13. Voimassaolo ja hyväksyntä

Sopimus on voimassa niin kauan kuin Arlens käsittelee henkilötietoja Asiakkaan lukuun. Se on osa Arlens-sovelluksen käyttöehtoja ja ohittaa ristiriitatilanteessa niiden henkilötietojen käsittelyä koskevat kohdat. Asiakas hyväksyy tämän sopimuksen hyväksymällä käyttöehdot. Allekirjoitettavan version saa pyynnöstä lähettämällä sähköpostin osoitteeseen cl@arlens.fi ja ilmoittamalla yrityksen nimen ja Y-tunnuksen.

14. Valtuutus

Sopimuksen hyväksyjä tai allekirjoittaja vakuuttaa olevansa oikeutettu edustamaan Asiakasta ja sitomaan tämän tähän sopimukseen.

15. Sovellettava laki ja riidat

Suomen laki. Riidat ratkaistaan käyttöehtojen riidanratkaisulausekkeen mukaisesti (välimiesmenettely, FAI/Keskuskauppakamari, Helsinki).

Allekirjoitukset

Arlens Oy, käsittelijä: Casper Lönnqvist, toimitusjohtaja, päiväys

Asiakas, rekisterinpitäjä: nimi, asema, päiväys