Tietojenkäsittelysopimus

Rekisterinpitäjä: Kontevia-palvelun Asiakas, yritys tai itsenäinen ammatinharjoittaja, joka käsittelee kirjanpitodokumenteissaan ja muissa Palveluun toimitetuissa tiedoissa olevia henkilötietoja.

Henkilötietojen käsittelijä: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Tšekki, yritystunnus 22103741, rekisteröity Prahan kaupunginoikeuden ylläpitämään kaupparekisteriin, tiedosto nro C 410771. Yhteystiedot tietosuoja-asioissa: hello@kontevia.com.

1.1. Tämä Sopimus säätelee osapuolten oikeuksia ja velvollisuuksia, kun Henkilötietojen käsittelijä käsittelee henkilötietoja Rekisterinpitäjän puolesta Kontevia-palvelun ("Palvelu") tarjoamisen yhteydessä.

1.2. Tämä Sopimus on erottamaton osa Käyttöehtoja ja tulee voimaan, kun Rekisterinpitäjä rekisteröityy Palveluun. Sitä sovelletaan niin kauan kuin Henkilötietojen käsittelijä käsittelee henkilötietoja Rekisterinpitäjän puolesta.

2.1. Henkilötietojen käsittelijä käsittelee henkilötietoja ainoastaan Palvelun tarjoamiseksi, nimittäin:

• chatin, sähköpostin tai latauksen kautta lähetettyjen kirjanpitodokumenttien vastaanotto ja digitointi;
• tietojen poiminta dokumenteista optista merkintunnistusta ja automatisoituja poimintamalleja käyttäen;
• luokittelu, kaksoiskappaleiden tunnistus ja arvonlisäverokohtelun ehdotukset;
• laskujen ja muiden dokumenttien laatiminen Rekisterinpitäjän ohjeiden mukaisesti;
• Rekisterinpitäjän yhdistämien pankkitapahtumien tuonti ja niiden täsmäytys dokumentteihin;
• yhteenvetojen, raporttien ja vientien laatiminen Rekisterinpitäjän kirjanpitojärjestelmään tai kirjanpitäjälle;
• dokumenttien ja tietojen säilytys Palvelussa sopimuksen keston ja vientijakson ajan.

2.2. Henkilötietojen käsittelijä käsittelee henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, mukaan lukien ohjeet siirroista kolmansiin maihin, ellei unionin tai jäsenvaltion lainsäädäntö edellytä muuta; tällaisessa tapauksessa Henkilötietojen käsittelijä ilmoittaa asiasta Rekisterinpitäjälle ennen käsittelyä, ellei laki kiellä sitä.

3.1. Rekisteröidyt: Rekisterinpitäjän liikekumppanit (toimittajat, asiakkaat, yhteyshenkilöt), Rekisterinpitäjän työntekijät ja urakoitsijat silloin kun palkka- tai kuludokumentteja käsitellään, sekä Rekisterinpitäjän omat Palvelun käyttäjät.

3.2. Henkilötietojen luokat: tunnistetiedot (nimi, yritys, yritys- ja alv-tunnisteet); yhteystiedot (osoite, sähköposti, puhelin); taloudelliset tiedot (laskutetut summat, pankkitilinumerot, maksuviitteet); työsuhdetiedot silloin kun palkkadokumentteja lähetetään (tehtävänimike, palkka, vakuutustunnisteet); Rekisterinpitäjän käyttäjien käyttötiedot.

3.3. Henkilötietojen käsittelijä ei edellytä GDPR:n artiklassa 9 tarkoitettuja erityisiä tietoluokkia. Rekisterinpitäjä sitoutuu olemaan lähettämättä tällaisia tietoja Palvelun kautta, ellei niitä sisälly dokumenttiin, jonka säilyttämiseen Rekisterinpitäjä on lain mukaan velvollinen, jolloin Rekisterinpitäjä vastaa käsittelyn oikeusperustasta.

Henkilötietojen käsittelijä sitoutuu:

• käsittelemään henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti ja vain siinä laajuudessa kuin Palvelu edellyttää;
• varmistamaan, että henkilötietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet salassapitoon tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus;
• toteuttamaan GDPR:n artiklan 32 edellyttämät tekniset ja organisatoriset toimenpiteet, erityisesti tämän Sopimuksen liitteessä luetellut toimenpiteet;
• olemaan ottamatta käyttöön toista henkilötietojen käsittelijää ilman Rekisterinpitäjän ennalta antamaa yleistä kirjallista valtuutusta, jonka Rekisterinpitäjä antaa tämän Sopimuksen artiklan 6 mukaisesti;
• käsittelyn luonne huomioon ottaen avustamaan Rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimenpitein rekisteröityjen oikeuksien käyttöä koskeviin pyyntöihin vastaamisessa;
• avustamaan Rekisterinpitäjää GDPR:n artiklojen 32–36 (tietoturva, tietoturvaloukkauksesta ilmoittaminen, tietosuojaa koskeva vaikutustenarviointi, ennakkokuuleminen) noudattamisen varmistamisessa, ottaen huomioon käsittelyn luonteen ja Henkilötietojen käsittelijän käytettävissä olevat tiedot;
• Rekisterinpitäjän valinnan mukaan poistamaan tai palauttamaan kaikki henkilötiedot Palvelun tarjoamisen päättymisen jälkeen ja poistamaan olemassa olevat kopiot, ellei unionin tai jäsenvaltion lainsäädäntö edellytä säilyttämistä;
• antamaan Rekisterinpitäjän käyttöön kaikki tiedot, jotka ovat tarpeen GDPR:n artiklan 28 noudattamisen osoittamiseksi, ja mahdollistamaan Rekisterinpitäjän tai tämän valtuuttaman tarkastajan suorittamat auditoinnit, mukaan lukien tarkastukset, sekä osallistumaan niihin;
• ilmoittamaan välittömästi Rekisterinpitäjälle, jos Henkilötietojen käsittelijän näkemyksen mukaan jokin ohje rikkoo GDPR:ää tai muita unionin tai jäsenvaltion tietosuojasäännöksiä.

5.1. Henkilötietojen käsittelijä ilmoittaa Rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on saanut siitä tiedon.

5.2. Ilmoitus sisältää vähintään: kuvauksen loukkauksen luonteesta, mukaan lukien mahdollisuuksien mukaan kyseessä olevien rekisteröityjen ja tietueiden luokat ja arvioidun määrän; vastuuhenkilön nimen ja yhteystiedot; kuvauksen todennäköisistä seurauksista; sekä kuvauksen toteutetuista tai ehdotetuista toimenpiteistä loukkauksen käsittelemiseksi ja sen vaikutusten lieventämiseksi.

5.3. Henkilötietojen käsittelijä toimii yhteistyössä Rekisterinpitäjän kanssa täyttäessään Rekisterinpitäjän ilmoitusvelvollisuuksia toimivaltaista valvontaviranomaista ja rekisteröityjä kohtaan.

6.1. Rekisterinpitäjä antaa yleisen valtuutuksen Henkilötietojen käsittelijälle ottaa käyttöön alikäsittelijöitä henkilötietojen käsittelyä varten.

6.2. Ajantasainen luettelo alikäsittelijöistä, kunkin tarkoituksesta ja sijainnista, julkaistaan Henkilötietojen käsittelijän verkkosivuston Alikäsittelijät-sivulla ja muodostaa tämän Sopimuksen liitteen.

6.3. Henkilötietojen käsittelijä ilmoittaa Rekisterinpitäjälle suunnitellusta alikäsittelijän lisäämisestä tai vaihtamisesta vähintään 14 päivää etukäteen, sähköpostitse Rekisterinpitäjän yhteysosoitteeseen tai Palvelun sisäisellä ilmoituksella, antaen Rekisterinpitäjälle mahdollisuuden vastustaa muutosta.

6.4. Jos Rekisterinpitäjä esittää perustellun vastalauseen 14 päivän kuluessa ilmoituksesta, Henkilötietojen käsittelijä joko luopuu suunnitellusta muutoksesta tai tarjoaa Rekisterinpitäjälle mahdollisuuden irtisanoa sopimus ilman seuraamuksia ja käyttämättömän jakson ennakkoon maksettujen maksujen palautuksella.

6.5. Henkilötietojen käsittelijä asettaa jokaiselle alikäsittelijälle sopimuksella samat tietosuojavelvoitteet kuin tässä Sopimuksessa on esitetty, erityisesti riittävät takeet asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamisesta. Jos alikäsittelijä ei täytä velvoitteitaan, Henkilötietojen käsittelijä on edelleen täysin vastuussa Rekisterinpitäjälle kyseisen alikäsittelijän velvoitteiden täyttämisestä.

7.1. Henkilötietoja säilytetään Euroopan unionissa sijaitsevilla palvelimilla. Henkilötietojen käsittelijä ei siirrä henkilötietoja Euroopan talousalueen ulkopuolelle lukuun ottamatta Alikäsittelijät-sivulla lueteltuja alikäsittelijöitä, ja tällöinkin ainoastaan GDPR:n V luvun mukaisin asianmukaisin suojatoimin.

7.2. Tällaiset siirrot perustuvat Euroopan komission tietosuojan riittävyyttä koskevaan päätökseen (mukaan lukien EU:n ja Yhdysvaltojen tietosuojakehys sertifioiduille vastaanottajille), komission GDPR:n artiklan 46(2)(c) nojalla hyväksymiin vakiosopimuslausekkeisiin tai muihin asianmukaisiin suojatoimiin, joita täydennetään lisätoimenpiteillä silloin kun siirtovaikutusten arviointi sitä edellyttää.

8.1. Henkilötietojen käsittelijä avustaa Rekisterinpitäjää kohtuullisessa määrin rekisteröityjen GDPR:n artiklojen 15–22 mukaisten oikeuksien (tarkastusoikeus, oikaisu, poistaminen, käsittelyn rajoittaminen, siirrettävyys, vastustaminen) käyttöä koskevien pyyntöjen käsittelyssä. Palvelu sisältää haku-, vienti- ja poistotoiminnot, joiden avulla Rekisterinpitäjä voi käsitellä useimmat pyynnöt itse.

8.2. Jos rekisteröity ottaa suoraan yhteyttä Henkilötietojen käsittelijään, Henkilötietojen käsittelijä ohjaa rekisteröidyn viipymättä Rekisterinpitäjän puoleen ja ilmoittaa asiasta Rekisterinpitäjälle, ellei pyyntö koske tietoja, joiden osalta Henkilötietojen käsittelijä itse on rekisterinpitäjä.

9.1. Henkilötietojen käsittelijä sallii Rekisterinpitäjän tai tämän valtuuttaman tarkastajan suorittaa auditointeja ja tarkastuksia tämän Sopimuksen ja GDPR:n noudattamisen varmistamiseksi.

9.2. Auditoinnit suoritetaan Rekisterinpitäjän kustannuksella, vähintään 14 arkipäivän kohtuullisella etukäteisilmoituksella, työaikana ja tavalla, joka ei häiritse Henkilötietojen käsittelijän toimintaa tai vaaranna muiden asiakkaiden tietojen turvallisuutta. Tarkastajaa sitoo salassapitovelvollisuus.

9.3. Paikan päällä tehtävän auditoinnin sijaan Henkilötietojen käsittelijä voi toimittaa ajantasaisia sertifikaatteja, riippumattomien tarkastajien raportteja tai muuta dokumentaatiota, joka osoittaa turvallisuustoimenpiteiden noudattamisen, mikäli ne riittävät vastaamaan Rekisterinpitäjän kysymyksiin.

10.1. Tämä Sopimus on voimassa Rekisterinpitäjän ja Henkilötietojen käsittelijän välisen sopimussuhteen keston ajan, eli niin kauan kuin Rekisterinpitäjä käyttää Palvelua.

10.2. Sopimussuhteen päättymisen jälkeen Henkilötietojen käsittelijä: sallii Rekisterinpitäjän viedä tietonsa 90 päivän ajan; 90 päivän jakson jälkeen poistaa peruuttamattomasti kaikki Rekisterinpitäjän henkilötiedot; poistaa varmuuskopiot viimeistään 45 päivän kuluttua ensisijaisten tietojen poistamisesta; ja vahvistaa poistamisen Rekisterinpitäjän pyynnöstä. Tiedot, jotka Henkilötietojen käsittelijän on unionin tai jäsenvaltion lainsäädännön mukaan säilytettävä (erityisesti laskutustiedot), eivät kuulu tämän piiriin.

10.3. Tämän Sopimuksen velvoitteet, erityisesti salassapito ja tietoturva, jäävät voimaan sopimussuhteen päättymisen jälkeen niin kauan kuin Henkilötietojen käsittelijällä on hallussaan Rekisterinpitäjän henkilötietoja.

11.1. Henkilötietojen käsittelijä vastaa vahingosta, joka aiheutuu tämän Sopimuksen tai GDPR:n vastaisesta käsittelystä GDPR:n artiklan 82 mukaisesti, erityisesti jos se ei ole noudattanut nimenomaan henkilötietojen käsittelijöille osoitettuja GDPR:n velvoitteita tai on toiminut Rekisterinpitäjän laillisten ohjeiden ulkopuolella tai niiden vastaisesti.

11.2. Käyttöehtojen vastuunrajoitukset koskevat tätä Sopimusta lain sallimassa laajuudessa; ne eivät rajoita rekisteröityjen oikeuksia.

12.1. Tähän sopimukseen sovelletaan Tšekin tasavallan lakia ja suoraan sovellettavaa Euroopan unionin lainsäädäntöä, erityisesti GDPR-asetusta.

12.2. Jos tämän sopimuksen ja käyttöehtojen välillä on ristiriita, tämä sopimus on ensisijainen henkilötietojen suojaa koskevissa asioissa.

12.3. Tämän sopimuksen muutokset edellyttävät kirjallista muotoa, johon kuuluu verkkosivustolla julkaistu ja rekisterinpitäjälle käyttöehtojen mukaisesti ilmoitettu päivitetty versio.

12.4. Tästä sopimuksesta johtuvat riidat ratkaisee Tšekin tasavallan toimivaltainen tuomioistuin käsittelijän kotipaikan mukaan, sanotun kuitenkaan rajoittamatta rekisteröityjen ja valvontaviranomaisten oikeuksia.

Salaus

• AES-256-salaus levossa olevalle datalle, myös varmuuskopioille.
• TLS 1.2 tai uudempi kaikelle siirrettävälle datalle, mukaan lukien yhteydet alikäsittelijöihin.

Pääsynhallinta

• Pääsy vähimmän oikeuden periaatteella; jokaisella työntekijällä ja järjestelmällä on vain roolinsa vaatimat oikeudet.
• Monivaiheinen tunnistautuminen hallinnollisiin ja infrastruktuuriin liittyviin käyttöoikeuksiin.
• Asiakkaiden työtilojen erottelu sovellus- ja tietokantatasolla.
• Käyttöoikeuksien säännöllinen tarkistus ja nopea peruuttaminen.

Käytettävyys ja häiriönsietokyky

• Säännölliset automaattiset varmuuskopiot testatuilla palautusmenettelyillä.
• Redundanttinen hosting-infrastruktuuri Euroopan unionin alueella.
• Käytettävyyden ja suorituskyvyn seuranta hälytyksin.

Eheys ja lokitus

• Henkilötietoihin kohdistuvan pääsyn ja hallinnollisten toimien lokitus.
• Dokumenttien tarkastusjälki: kuka on lähettänyt, muuttanut, hyväksynyt tai vienyt asiakirjoja ja milloin.
• Poikkeamien ja tietoturvahäiriöiden havainnointi.

Organisatoriset toimenpiteet

• Salassapitovelvollisuus kaikille henkilötietoihin pääsyllä oleville työntekijöille ja alihankkijoille.
• Henkilöstön koulutus tietosuojasta ja tietoturvasta.
• Dokumentoidut sisäiset menettelyt henkilötietojen käsittelyyn ja rekisteröityjen pyyntöjen käsittelyyn.
• Häiriöiden hallintasuunnitelma määriteltyine rooleineen ja ilmoitusaikatauluineen.
• Uusien alikäsittelijöiden tietosuojatarkastus ennen käyttöönottoa.