Tietojenkäsittelysopimus

1. Määritelmät

Kaikki muualla Sopimuksessa määritellyt termit pätevät myös tähän DPA:han. Selkeyden vuoksi keskeiset termit on kuitenkin toistettu tässä. Tässä DPA:ssa käytetyt GDPR:ssä määritellyt termit on ymmärrettävä samalla tavalla kuin GDPR:ssä.

"Rekisterinpitäjä" tarkoittaa Asiakasta.

"Henkilötietojen käsittelijä" tarkoittaa HavuHR:ää.

"GDPR" tarkoittaa EU:n yleistä tietosuoja-asetusta (EU-asetus nro 2016/679).

"Henkilötieto" tarkoittaa GDPR:n 4 artiklan 1 kohdan mukaista määritelmää: kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa esimerkiksi nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetiedon taikka yhden tai useamman kyseiselle luonnolliselle henkilölle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella.

"Arkaluonteinen henkilötieto" tarkoittaa henkilötietoja, jotka kuuluvat GDPR:n 9 artiklan 1 kohdassa määriteltyihin erityisiin henkilötietoryhmiin (esim. rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnolliset tai filosofiset vakaumukset, ammattiliiton jäsenyys, geneettiset tiedot, biometriset tiedot, terveystiedot, seksuaalinen suuntautuminen) sekä GDPR:n 10 artiklan mukaisiin rikostuomioita ja rikkomuksia koskeviin henkilötietoihin.

"Palvelut" tarkoittaa HavuHR Oy:n asiakkaalle tarjoamaa ohjelmistopohjaista henkilöstöhallintajärjestelmää (SaaS).

"Käyttäjä" tarkoittaa asiakasta tai henkilöä, jolle asiakas on myöntänyt pääsyn palveluihin ja joka käyttää palveluja esimerkiksi verkkoselaimen, mobiilisovellusten tai muun vastaavan kautta.

Soveltaminen eri asiakkuustilanteissa

Tätä DPA:ta sovelletaan seuraavasti riippuen siitä, missä ominaisuudessa Asiakas käsittelee henkilötietoja.

(A) Suora asiakkuus. Milloin Asiakas käsittelee tämän DPA:n piiriin kuuluvia henkilötietoja rekisterinpitäjänä omaan lukuunsa, eli määrittää itse käsittelyn tarkoitukset ja keinot omien työntekijöidensä tai muiden omien rekisteröityjensä osalta eikä toimi yksinomaan kolmannen osapuolen ohjeiden mukaisesti, sovelletaan tämän DPA:n määritelmiä ja ehtoja sellaisenaan: Asiakas on Rekisterinpitäjä ja HavuHR on Henkilötietojen käsittelijä.

(B) Kumppanuustilanteet. Milloin Asiakas on solminut HavuHR:n kanssa erillisen kumppanuussopimuksen, jonka nojalla Asiakas ("Kumppani") avaa Palvelun käyttöoikeuden omille asiakkailleen ("Loppuasiakkaat") ja käsittelee näin ollen Loppuasiakkaidensa henkilötietoja yksinomaan Loppuasiakkaiden ohjeiden mukaisesti, riippumatta siitä mitä termejä kyseisessä kumppanuussopimuksessa asiasta käytetään, käsittelysuhteet ovat seuraavat:

• kukin asianomainen Loppuasiakas on rekisterinpitäjä omien rekisteröityjensä henkilötietojen osalta;
• Kumppani toimii henkilötietojen käsittelijänä;
• HavuHR on Kumppanin alikäsittelijä.

Tässä tapauksessa Kumppanilla on ja se käyttää niitä tämän DPA:n mukaisia oikeuksia ja velvollisuuksia, jotka koskevat HavuHR:n ja Kumppanin välistä yhteydenpitoa ja menettelyä (kohdat 3.1, 4, 5, 6, 7, 9 ja 10). Tämä koskee esimerkiksi alihankkijamuutosten hyväksymistä (kohta 4), tietoturvatarkastusoikeutta (kohta 7) ja tietoturvapoikkeamailmoitusten vastaanottamista (kohta 6). Kumppani käyttää näitä oikeuksia ja vastaa niistä HavuHR:ään nähden sillä valtuutuksella, joka sillä on kunkin Loppuasiakkaan kanssa tekemänsä tietosuoja-asetuksen 28 artiklan mukaisen käsittelysopimuksen nojalla.

Sen sijaan kohtien 2 ja 3.2 mukaiset kuvaukset ja vakuutukset itse käsiteltävistä henkilötiedoista ja niiden käsittelyn perusteista, kuten käsiteltävien tietojen tyypit ja käyttötarkoitus, käsittelyn oikeusperusta ja lainmukaisuus, tietojen sisältö ja oikeellisuus, rekisteröityjen informointi sekä tietojen omistus, koskevat kutakin Loppuasiakasta tosiasiallisena rekisterinpitäjänä, ei Kumppania. Kumppani vakuuttaa HavuHR:lle saaneensa vastaavat vakuutukset kultakin Loppuasiakkaalta osana niiden välistä tietosuoja-asetuksen 28 artiklan mukaista käsittelysopimusta.

Termi "Henkilötietojen käsittelijä" tarkoittaa edelleen HavuHR:ää, sen toimiessa tällöin alikäsittelijän asemassa.

Kumppani vastaa siitä, että sillä on kunkin Loppuasiakkaan kanssa edellä tarkoitettu käsittelysopimus, jossa HavuHR:n käyttö alikäsittelijänä on hyväksytty ja joka valtuuttaa Kumppanin käyttämään edellä tarkoitettuja kohtien 3.1, 4, 5, 6, 7, 9 ja 10 mukaisia rekisterinpitäjän oikeuksia kunkin Loppuasiakkaan puolesta.

2. Käsittelyn tarkoitus ja laajuus

2.1 Käsittelyn tarkoitus

Palvelujen ja Henkilötietojen käsittelijän suorittaman henkilötietojen käsittelyn tarkoituksena on mahdollistaa Rekisterinpitäjälle erilaisten henkilöstöhallintoon liittyvien toimintojen hallinta. Rekisterinpitäjällä on oikeus käyttää Palveluja Sopimuksen mukaisesti, ja Henkilötietojen käsittelijä tarjoaa Palvelut Rekisterinpitäjän henkilötietojen käsittelyn helpottamiseksi.

2.2 Käsiteltävien tietojen tyypit

Palvelut sisältävät tilauksesta riippuen toiminnallisuuksia seuraavien henkilötietojen tallentamiseen ja käsittelyyn, mukaan lukien mutta näihin rajoittumatta:

• Etu- ja sukunimi
• Osoite
• Sähköpostiosoite
• Puhelinnumero
• Syntymäaika
• Sukupuoli
• Kansalaisuus
• Tehtävänimike
• Työsuhteen tyyppi
• Työaikaprosentti
• Palkkausaika
• Ensimmäinen työpäivä
• Työsuhteen päättymispäivä
• Viimeinen työpäivä
• Työsuhteen tunnistetieto
• Pankkitilin numero
• Palkka
• Henkilötunnus
• Hätäyhteystietojen nimet, suhteet ja puhelinnumerot
• Ladatut henkilötietoihin liittyvät asiakirjat
• Poissaolojen päivämäärät ja tyypit
• Suoritettuja sertifiointeja ja muuta osaamista
• Arkaluonteiset henkilötiedot (siltä osin kuin Rekisterinpitäjä on ne toimittanut)

Käytännössä tämän DPA:n nojalla käsiteltävien henkilötietojen tyypit riippuvat Rekisterinpitäjän valinnoista siitä, mitä toiminnallisuuksia käytetään ja miten.

2.3 Käsittelyn tyypit

• Henkilötietojen tallentaminen, muokkaaminen, hakeminen, näyttäminen ja poistaminen sekä niiden saataville asettaminen Rekisterinpitäjälle ja käyttäjille, joille Rekisterinpitäjä on myöntänyt pääsyn
• Henkilötietojen suodattaminen ja ryhmittely Rekisterinpitäjän määrittelemien kriteerien perusteella
• Automaattisten ilmoitusten ajoittaminen ja välittäminen käyttäjille
• Henkilötietoihin liittyvien asiakirjojen tallentaminen ja saataville asettaminen
• Henkilötietojen automaattinen poistaminen Rekisterinpitäjän määrittelemien säilytysaikojen perusteella

2.4 Käsittelyn kesto

Tämän DPA:n nojalla käsiteltäviä henkilötietoja säilytetään vain niin kauan kuin on tarpeen Palvelujen tarjoamiseksi Rekisterinpitäjälle. Henkilötiedot poistetaan, kun Rekisterinpitäjä antaa niiden poistamista koskevan toimeksiannon kirjallisesti tai Sopimus päättyy, kuten kohdassa 10 (Sopimuksen päättyminen) kuvataan.

2.5 Käsittelyn kohteet

Pääasiassa Rekisterinpitäjän työntekijät sekä muut henkilöt, joiden tietoja Rekisterinpitäjä käsittelee työnantajan roolissaan, kuten palkatut konsultit ja työntekijöiden hätäyhteyshenkilöt.

2.6 Vastuu käsittelystä

Rekisterinpitäjä vastaa henkilötietojen rekisteröinnistä järjestelmään sekä tallennettujen tietojen käyttämisestä ja noutamisesta. Henkilötietojen käsittelijä vastaa siitä, että tiedot tallennetaan asianmukaisesti ja poistetaan tai anonymisoidaan myöhemmin tämän DPA:n mukaisesti.

3. Velvollisuudet

3.1 Henkilötietojen käsittelijä

Henkilötietojen käsittelijä on velvollinen noudattamaan GDPR:ssä sekä paikallisesti sovellettavassa lainsäädännössä ja säädöksissä kuvattuja henkilötietojen käsittelijöitä koskevia vaatimuksia.

Kaikkia henkilötietoja, joita Henkilötietojen käsittelijä käsittelee Rekisterinpitäjän puolesta, on käsiteltävä tässä DPA:ssa määriteltyjen tarkoitusten ja rajoitusten mukaisesti. Henkilötietojen käsittelijä ei saa käsitellä tällaisia tietoja enempää kuin tässä DPA:ssa määritellyt tarkoitukset edellyttävät ilman kirjallista sopimusta Rekisterinpitäjän kanssa.

Henkilötietojen käsittelijä helpottaa Rekisterinpitäjän GDPR:n noudattamista seuraavasti:

• Toimittamalla tarvittavat tiedot ja asiakirjat 28 artiklan 3 kohdan mukaisten velvollisuuksien täyttämisen osoittamiseksi.
• Avustamalla Rekisterinpitäjää III luvussa asetettujen rekisteröityjen oikeuksia koskevien velvollisuuksien täyttämisessä. Pääsääntöisesti Henkilötietojen käsittelijä antaa Rekisterinpitäjälle pääsyn Palveluissa oleviin työkaluihin, joiden avulla tämä voi (i) tarkastella, (ii) muokata tai (iii) poistaa Henkilötietojen käsittelijän tämän DPA:n nojalla käsittelemiä henkilötietoja. Mikäli nämä työkalut eivät kohtuudella riitä velvollisuuden täyttämiseen, Henkilötietojen käsittelijä avustaa Rekisterinpitäjää ilman aiheetonta viivästystä. Henkilötietojen käsittelijällä on oikeus veloittaa tällaisesta avusta kohtuullinen korvaus, mikäli se ylittää tavanomaisen palvelun laajuuden.
• Avustamalla Rekisterinpitäjää 32–34 artiklojen mukaisten velvollisuuksien täyttämisessä.

Henkilötietojen käsittelijän avustamisvelvollisuuden laajuus määräytyy Rekisterinpitäjän tarpeen, Henkilötietojen käsittelijän käytettävissä olevien tietojen ja tosiasiallisesti suoritettavan käsittelyn luonteen perusteella.

Henkilötietojen käsittelijä ja sen alihankkijat ovat velvollisia pitämään kaiken Sopimuksen nojalla käyttämiensä henkilötietojen salassa. Tämä velvollisuus on voimassa myös Sopimuksen päättymisen jälkeen.

Henkilötietojen käsittelijä ei saa jakaa tai muutoin luovuttaa Sopimuksen nojalla saamiaan henkilötietoja ulkopuolisille, ellei tämä johdu Sopimuksesta, sovellettavasta lainsäädännöstä tai Rekisterinpitäjän nimenomaisesta kirjallisesta suostumuksesta.

3.2 Rekisterinpitäjä

Rekisterinpitäjä on velvollinen noudattamaan GDPR:ssä sekä paikallisesti sovellettavassa lainsäädännössä kuvattuja rekisterinpitäjiä koskevia vaatimuksia.

Rekisterinpitäjä vahvistaa, että:

• Henkilötietojen käsittelyyn on riittävä oikeusperusta.
• Rekisterinpitäjällä on oikeus siirtää henkilötietoja Henkilötietojen käsittelijälle, ja Rekisterinpitäjä vastaa siirron lainmukaisuudesta.
• Rekisterinpitäjä vastaa käsiteltävien henkilötietojen oikeellisuudesta, eheydestä, sisällöstä, luotettavuudesta ja lainmukaisuudesta.
• Rekisterinpitäjä on informoinut rekisteröityjä voimassa olevien lakisääteisten vaatimusten mukaisesti.
• Tämä DPA sisältää kaikki Rekisterinpitäjän toimeksiannot Sopimuksen allekirjoitushetkellä.

Rekisterinpitäjä on vastuussa mukautettujen tietokenttien lainmukaisuudesta yksin tai niiden sisällön perusteella, mukaan lukien raportit ja vastaavat. Rekisterinpitäjä takaa myös olevansa järjestelmässä olevien tekstien, datan tai muun tiedon täysimääräinen omistaja tai haltija.

Järjestelmän käyttöoikeuksia hallinnoi Rekisterinpitäjän nimeämä ylläpitäjä. Rekisterinpitäjä vastaa siitä, että kirjautumistiedot ovat ainoastaan valtuutettujen henkilöiden saatavilla.

4. Alihankkijat

Henkilötietojen käsittelijä käyttää alihankkijoita eri velvollisuuksiensa toteuttamiseen, mukaan lukien järjestelmän fyysiseen ylläpitoon. Henkilötietojen käsittelijä vastaa alihankkijan suorituksesta samalla tavoin kuin jos se olisi itse vastuussa tehtävien toteuttamisesta. Henkilötietojen käsittelijällä on oltava erilliset tietojenkäsittelysopimukset kaikkien alihankkijoidensa kanssa tämän DPA:n ehtojen ja GDPR:n 28 artiklan noudattamisen varmistamiseksi.

Hyväksymällä tämän DPA:n Rekisterinpitäjä hyväksyy Henkilötietojen käsittelijän alihankkijoiden käytön ("Alihankkijat") listattujen henkilötietojen käsittelijöiden luettelon mukaisesti.

Jos alihankkijoita lisätään tai vaihdetaan, Rekisterinpitäjälle ilmoitetaan tulevasta muutoksesta vähintään 30 kalenteripäivää ennen kuin uusi alihankkija aloittaa henkilötietojen käsittelyn. Rekisterinpitäjä voi 30 kalenteripäivän kuluessa vastustaa muutosta. Jos Rekisterinpitäjä vastustaa muutosta, Henkilötietojen käsittelijä harkitsee vastalausetta. Mikäli vastalausetta ei voida kohtuudella ratkaista, Rekisterinpitäjä voi irtisanoa Sopimuksen välittömin vaikutuksin. Irtisanomisilmoitus on annettava ilmoitusajan kuluessa. Jos Rekisterinpitäjä ei irtisano Sopimusta, uusi alihankkija katsotaan hyväksytyksi.

Jos alihankkija poistetaan Alihankkijoiden listalta, Henkilötietojen käsittelijän on varmistettava, että entinen alihankkija on poistanut kaikki sen puolesta käsitellyt henkilötiedot järjestelmistään.

5. Siirrot EU/ETA-alueen ulkopuolelle

Henkilötietojen käsittelijä saa siirtää henkilötietoja EU/ETA-alueen ulkopuolelle vain Rekisterinpitäjän dokumentoidun toimeksiannon perusteella. Rekisterinpitäjä hyväksyy siirrot hyväksytyille Alihankkijoille alihankkijaluettelon mukaisesti. Henkilötietojen käsittelijän on varmistettava, että kaikilla siirroilla on GDPR:n V luvun mukainen pätevä peruste.

Rekisterinpitäjän pyynnöstä Henkilötietojen käsittelijän on toimitettava Rekisterinpitäjälle tiedot siirron oikeusperustasta, mukaan lukien tarvittaessa kopio allekirjoitetuista vakiosopimuslausekkeista.

Poikkeuksellisesti henkilötietoja voidaan siirtää myös EU:n tai ETA-maan kansallisen lainsäädännön mukaisten velvollisuuksien täyttämiseksi.

6. Tietoturva

Henkilötietojen käsittelijä varmistaa asianmukaisen tietoturvan kaikessa henkilötietojen käsittelyssä GDPR:n 32 artiklan mukaisesti. Tämä sisältää kohtuullisten suunniteltujen, järjestelmällisten, organisatoristen ja teknisten toimenpiteiden toteuttamisen asianmukaisen luottamuksellisuuden, eheyden ja saatavuuden ylläpitämiseksi. Toimenpiteisiin kuuluvat soveltuvin osin:

• Henkilötietojen pseudonymisointi ja salaus.
• Käsittelyjärjestelmien ja -palvelujen jatkuvan luottamuksellisuuden, eheyden, saatavuuden ja vikasietoisuuden varmistaminen.
• Menettely teknisten ja organisatoristen toimenpiteiden tehokkuuden säännöllistä testaamista, arviointia ja evaluointia varten.

Henkilötietojen käsittelijällä on kyky toimittaa dokumentaatio turvatoimenpiteistä ja se asettaa sen saataville Rekisterinpitäjän pyynnöstä.

Henkilötietojen käsittelijä toteuttaa prosessit tietoturvauhkien havaitsemiseksi ja seurantaan ("Poikkeama") ja ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivästystä kaikista Rekisterinpitäjän tietoihin vaikuttavista tai riskiä aiheuttavista Poikkeamista.

Henkilötietojen käsittelijä ylläpitää säännöllisiä varmuuskopioita käsittelemistään henkilötiedoista ja varmistaa datan palautettavuuden tietoturvapoikkeaman tai teknisen vian yhteydessä.

Henkilötietojen käsittelijä suosittelee vahvasti, että kaikki Rekisterinpitäjän Palveluiden ulkopuolella Henkilötietojen käsittelijälle lähettämät henkilötiedot lähetetään vain salatussa muodossa.

7. Tietoturvatarkastukset

Rekisterinpitäjällä on oikeus tarkastaa Henkilötietojen käsittelijän tämän DPA:n mukainen toiminta. Tarkastusoikeus toteutuu ensisijaisesti siten, että Henkilötietojen käsittelijä toimittaa Rekisterinpitäjälle pyynnöstä kirjallisen selvityksen tietoturvakäytännöistään ja turvatoimenpiteistään.

Rekisterinpitäjä voi pyytää tarkastusta enintään kerran (1) kalenterivuodessa. Tarkastus suoritetaan Henkilötietojen käsittelijän normaalin liiketoiminnan häiritsemistä minimoiden, ja siitä sovitaan vähintään 30 päivää etukäteen. Tarkastuksesta aiheutuvat todelliset ja kohtuulliset kustannukset veloitetaan Rekisterinpitäjältä etukäteen sovitun mukaisesti.

8. Vastuu

Osapuolten toistensa DPA:n rikkomisesta johtuviin vaatimuksiin sovelletaan samoja vastuusääntelyä ja vastuunrajoituksia kuin Sopimuksessa on säädetty.

9. Voimassaolo

Tämä DPA on voimassa Rekisterinpitäjän Sopimuksen hyväksymisestä siihen saakka, kunnes Sopimus päättyy tai Henkilötietojen käsittelijän velvollisuus tarjota Palveluja Sopimuksen nojalla päättyy mistä tahansa syystä, lukuun ottamatta määräyksiä, jotka jäävät voimaan päättymisen jälkeen. Olennaisen DPA-rikkomuksen sattuessa Rekisterinpitäjä voi vaatia Henkilötietojen käsittelijää lopettamaan henkilötietojen käsittelyn välittömin vaikutuksin. Henkilötietojen käsittelijä voi kohtuullista ennakkoilmoitusta noudattaen – joka antaa Rekisterinpitäjälle mahdollisuuden korjata rikkomus, mikäli se on korjattavissa – lopettaa kaiken käsittelyn Rekisterinpitäjän puolesta.

10. Sopimuksen päättyminen

Sopimuksen päätyttyä Henkilötietojen käsittelijä on velvollinen poistamaan kaikki tämän DPA:n piiriin kuuluvat henkilötiedot 90 päivän sisällä sopimuksen päättymisestä, ellei niitä voida riittävästi anonymisoida siten, että ne eivät enää muodosta henkilötietoja. Mikäli Rekisterinpitäjä toimittaa Henkilötietojen käsittelijälle kirjallisen pyynnön, Henkilötietojen käsittelijä voi toimittaa Rekisterinpitäjälle kirjallisen vakuutuksen siitä, ettei Henkilötietojen käsittelijällä ole säilytetty kopioita Rekisterinpitäjän henkilötiedoista missään muodossa, tukeakseen Rekisterinpitäjän GDPR:n 5 artiklan 2 kohdan mukaista noudattamista.

Rekisterinpitäjän odotetaan käyttävän Palveluja tarpeellisten henkilötietojen vientiin ennen Sopimuksen päättymistä. Mikäli tämä ei ole kohtuudella mahdollista, Henkilötietojen käsittelijä toimittaa pyynnöstä viennin kyseisistä tiedoista edellyttäen, että pyyntö on tehty ennen kuin Henkilötietojen käsittelijä on toteuttanut tässä DPA:n kohdassa 9 kuvatut poistamisvelvollisuutensa.