Henkilötietojen käsittelysopimus

Versio: 1.0

Voimassa alkaen: [PÄIVÄMÄÄRÄ]

Tämä sopimus, jäljempänä ”DPA”, tehdään:

1. Sentivaro-tilillä ilmoitetun organisaation, jäljempänä ”Rekisterinpitäjä”, ja
2. Dawid Balcerin, joka ylläpitää Sentivaro-projektia yksityishenkilönä ilman elinkeinotoimintaa, postiosoite ul. Jana Brzechwy 8, 60-195 Poznań, Puola, sähköposti contact@sentivaro.com, jäljempänä ”Käsittelijä”,

välillä. DPA on osa Sentivaron käyttöä koskevaa sopimusta.

1. Kohde ja kesto

1. Rekisterinpitäjä antaa Käsittelijän käsiteltäväksi henkilötietoja siinä laajuudessa kuin luvallisten kyberturvallisuustietoisuuskampanjoiden määrittäminen, toteuttaminen, mittaaminen ja raportointi sekä niihin liittyvien koulutusmateriaalien tarjoaminen edellyttävät.
2. Käsittely jatkuu ensimmäisestä tietojen luovutuksesta niiden poistamiseen tai palauttamiseen Palvelun päätyttyä, varmuuskopioiden ylikirjoitusaika huomioiden.
3. Yksittäinen Kampanja muodostaa dokumentoidun ohjeen sen asetuksista, vastaanottajista, tapahtumista ja säilytysajoista.

2. Käsittelyn luonne ja tarkoitus

Toimiin voi kuulua tietojen vastaanottaminen tai tuonti, järjestäminen ja liittäminen Kampanjaan, tallentaminen, hallitun viestin luominen ja lähettäminen, määritettyjen tapahtumien kirjaaminen, pseudonymisointi ja koostaminen, tulosten esittäminen valtuutetuille käyttäjille, vienti Rekisterinpitäjän ohjeesta, koulutusmateriaalin tarjoaminen, oikaisu, rajoittaminen ja poistaminen.

Käsittelyn ainoa tarkoitus on toteuttaa Rekisterinpitäjän luvallinen kyberturvallisuustietoisuusohjelma.

3. Rekisteröidyt ja tiedot

1. Rekisteröityjä ovat Rekisterinpitäjän työntekijät ja toimeksisaajat sekä muut sen lainmukaisen ja luvallisen ohjelman piiriin kuuluvat henkilöt erikseen sovittaessa.
2. Tietoryhmiä ovat nimi, työsähköposti, osasto, tiimi, organisaatioyksikkö tai koulutusryhmä, sisäinen osallistujatunniste, asetuksista riippuvat toimitus-, avaus-, napsautus-, ilmoitus- ja koulutustapahtumat, tulosten oikaisutiedot sekä välttämättömät rajatut tekniset tiedot.
3. Ilman etukäteen tehtyä kirjallista sopimusta Rekisterinpitäjä ei saa luovuttaa GDPR 9 artiklan erityisiä henkilötietoryhmiä, 10 artiklan tietoja, todellisia salasanoja, MFA-koodeja tai tunnistetietoja, taloustietoja, asiakirjanumeroita tai virallisia henkilötunnisteita, yksityisiä sähköpostiosoitteita eikä yksityisen viestinnän sisältöä.

4. Rekisterinpitäjän ohjeet

1. Käsittelijä käsittelee tietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, jollei unionin tai Puolan lainsäädäntö velvoita käsittelyyn.
2. Kampanjan asetukset ja valtuutetun käyttäjän toimet hallintapaneelissa ovat ohjeita, jos ne ovat DPA:n, Käyttöehtojen ja Hyväksyttävän käytön periaatteiden mukaisia.
3. Käsittelijä ilmoittaa viipymättä, jos ohje sen mielestä rikkoo GDPR:ää tai muuta tietosuojalainsäädäntöä, ja voi keskeyttää toteutuksen asian selvittämiseen asti.
4. Käsittelijä ei käytä Kampanjatietoja mainontaan, omaan työntekijäarviointiinsa, tietokauppaan tai tekoälymallien kouluttamiseen.

5. Rekisterinpitäjän velvollisuudet

Rekisterinpitäjä vastaa tietojen luovutuksen ja käsittelyn lainmukaisuudesta, oikeusperusteen määrittämisestä, informointivelvollisuudesta, tarvittavasta tasapainotestistä ja DPIA-arvioinnista, työoikeuden ja sisäisten sääntöjen noudattamisesta, tietojen minimoinnista, asianmukaisista käyttöoikeuksista, henkilöä koskevan tuloksen tarkistamisesta, siitä ettei tulos yksin ratkaise automaattista henkilöstöpäätöstä, sekä vain lainmukaisten ohjeiden antamisesta.

6. Salassapito

1. Tietoihin pääsevät vain Käsittelijän valtuuttamat henkilöt, joille pääsy on tarpeen.
2. Heitä sitoo sopimukseen tai lakiin perustuva salassapitovelvollisuus.
3. Salassapitovelvollisuus jatkuu yhteistyön päätyttyä.

7. Tietoturva

1. Käsittelijä toteuttaa GDPR 32 artiklan mukaiset riskiin suhteutetut toimenpiteet.
2. Nykyisen arkkitehtuurin mukaan niihin kuuluvat tiedonsiirron salaus, turvallinen salasanojen tiivistäminen, roolipohjainen hallinta, Organisaatioiden tietojen erottelu, riittävän satunnaiset ja määräaikaiset tunnisteet, hallintatoimien lokitus, varmuuskopiot ja palautustestit, päivitys- ja haavoittuvuuksien korjausprosessi, säilytysajan rajaaminen, poikkeamien hallinta, hallinnollisen pääsyn suojaaminen sekä säännöllinen arviointi.
3. Ajantasainen kuvaus voidaan antaa Rekisterinpitäjälle pois lukien tiedot, joiden paljastaminen lisäisi turvallisuusriskiä.

8. Alikäsittelijät

1. Rekisterinpitäjä antaa yleisen kirjallisen luvan käyttää [alikäsittelijäluettelossa](/subprocessors/?lang=fi) mainittuja tahoja.
2. Käsittelijä ilmoittaa suunnitellusta muutoksesta vähintään 14 päivää etukäteen, ellei kiireellinen turvallisuusmuutos ole tarpeen.
3. Rekisterinpitäjä voi tässä ajassa esittää tietosuojaan perustuvan vastalauseen.
4. Jos vastalauseen syytä ei voida kohtuudella poistaa, Rekisterinpitäjä voi lopettaa kyseistä toimittajaa edellyttävän Palvelun osan käytön.
5. Käsittelijä asettaa alikäsittelijälle tätä DPA:ta vastaavat tietosuojavelvoitteet ja vastaa GDPR 28 artiklan mukaisesti niiden täyttämisestä.

9. Tietojen siirrot

1. Kampanjatiedot käsitellään ETA-alueella, ellei alikäsittelijäluettelossa nimenomaisesti toisin mainita.
2. Siirto ETA-alueen ulkopuolelle voi tapahtua vain Rekisterinpitäjän dokumentoidusta ohjeesta tai GDPR:n sallimalla mekanismilla.
3. Käsittelijä antaa saatavilla olevat tiedot vakiosopimuslausekkeiden, siirtoarvioinnin tai lisäsuojatoimien arvioimiseksi.

10. Rekisteröityjen oikeudet

1. Käsittelijä avustaa käsittelyn luonne huomioiden Rekisterinpitäjää oikeuksien toteuttamisessa käytettävissä olevin teknisin ja organisatorisin keinoin.
2. Jos Osallistuja esittää pyynnön suoraan Käsittelijälle, se välittää pyynnön ilman aiheetonta viivytystä eikä vastaa sisällöllisesti ilman Rekisterinpitäjän ohjetta, jollei laki sitä vaadi.
3. Rekisterinpitäjä vastaa henkilöllisyyden tarkistamisesta ja oikea-aikaisesta vastauksesta.

11. Vaatimustenmukaisuuden tukeminen

Käsittelijä avustaa käsittelyn luonne ja saatavilla olevat tiedot huomioiden turvallisuudessa, riskiarvioinnissa, tietoturvaloukkauksista ilmoittamisessa, rekisteröityjen tiedottamisessa, DPIA-arvioinnissa, valvontaviranomaisen ennakkokuulemisessa sekä tietojen poistamisen osoittamisessa. Avustaminen ei sisällä oikeudellista neuvontaa eikä Rekisterinpitäjän vastuun siirtämistä.

12. Henkilötietojen tietoturvaloukkaukset

1. Käsittelijä ilmoittaa Kampanjatietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan sen tietoonsa.
2. Ilmoitus sisältää saatavuuden mukaan loukkauksen luonteen, rekisteröityjen ryhmät ja arvioidun määrän, tietueiden ryhmät ja arvioidun määrän, mahdolliset seuraukset, toteutetut tai ehdotetut toimet, yhteyspisteen sekä havaitsemisajan ja tunnetun tapahtuma-ajan.
3. Tiedot voidaan antaa vaiheittain.
4. Ilmoitus ei merkitse vastuun myöntämistä.
5. Rekisterinpitäjä päättää ilmoituksesta viranomaiselle ja rekisteröidyille.

13. Poistaminen ja palauttaminen

1. Rekisterinpitäjä voi poistaa Kampanjatiedot hallintapaneelissa tai antaa poistamisohjeen.
2. Palvelun päätyttyä Käsittelijä poistaa tai palauttaa aktiiviset Kampanjatiedot Rekisterinpitäjän valinnan mukaan, jollei laki edellytä säilyttämistä.
3. Kiertävissä varmuuskopioissa tilapäisesti olevat tiedot eristetään normaalikäytöstä ja poistuvat kopion ylikirjoituksessa.
4. Koontitietoja voidaan säilyttää vain, jos henkilöä ei enää voida kohtuullisen todennäköisin keinoin tunnistaa.

14. Auditoinnit

1. Käsittelijä antaa GDPR 28 artiklan noudattamisen osoittamiseksi tarvittavat tiedot.
2. Rekisterinpitäjä voi auditoida enintään kerran vuodessa, ellei loukkaus tai viranomaisvaatimus edellytä lisätarkastusta.
3. Auditoinnista ilmoitetaan vähintään 14 päivää etukäteen, se tehdään sovittuna aikana vaarantamatta muiden Organisaatioiden turvallisuutta, ensisijaisesti asiakirjojen ja etävastausten avulla sekä salassapitovelvollisten henkilöiden toimesta.
4. Rekisterinpitäjä vastaa omista kustannuksistaan. Käsittelijä ei veloita kohtuullisesta avusta maksuttomassa Palvelussa, mutta voi kieltäytyä kohtuuttomista toimista tai ehdottaa muuta sovittua osoittamistapaa.

15. Vastuu ja etusijajärjestys

1. Osapuolten vastuu määräytyy GDPR:n, sovellettavan lain ja Käyttöehtojen perusteella.
2. Jos DPA ja Käyttöehdot ovat ristiriidassa Kampanjatietojen suojasta, DPA on ensisijainen.
3. Sovellettavat vakiosopimuslausekkeet ovat ristiriitatilanteessa ensisijaisia DPA:han nähden.

16. Sopimuksen päättyminen

DPA on voimassa niin kauan kuin Käsittelijä käsittelee Kampanjatietoja Rekisterinpitäjän lukuun.