B2B Market -palvelun tietosuojaseloste

Soveltamisala
Nämä tietosuojaehdot tulevat sovellettavaksi osapuolten välisessä sopimussuhteessa, mikäli B2B Market toimii EU:n tietosuoja-asetuksen tarkoittamana henkilötietojen käsittelijänä suhteessa asiakkaaseen.

Määritelmät
Tässä liitteessä käytetyt käsitteet saavat sen merkityssisällön, joka niille on annettu Euroopan Unionin asetuksessa 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (jäljempänä "tietosuoja-asetus"). Tällaisia käsitteitä ovat erityisesti termit rekisterinpitäjä, henkilötietojen käsittelijä, henkilötieto, rekisteröity, käsittely ja henkilötietojen tietoturvaloukkaus.
 
Tarkoitus
Tällä liitteellä osapuolet sopivat siitä, että B2B Market henkilötietojen käsittelijänä käsittelee sopimuksen voimassaoloaikana henkilötietoja asiakkaan, rekisterinpitäjän, lukuun.

Asiakas toimii rekisterinpitäjänä suhteessa tämän sopimusliitteen perusteella käsiteltäviin henkilötietoihin ja asiakas vastaa siitä, että se täyttää kaikki ne velvollisuudet, joita lainsäädäntö edellyttää rekisterinpitäjältä (mm. tietosuojaselosteiden laatiminen ja saatavilla pitäminen, riittävien käsittelyperusteiden varmistaminen, mukaan lukien suostumusten hankkiminen, mikäli käsittely suostumusta edellyttää). Henkilötietojen käsittelijä käsittelee henkilötietoja ainoastaan sopimuksessa kuvattujen velvoitteiden täyttämiseksi rekisterinpitäjän antamien kirjallisten ohjeiden mukaisesti.

Henkilötietojen käsittelijällä ei ole oikeutta käsitellä henkilötietoja mihinkään muuhun tarkoitukseen tai kenenkään muun hyväksi. Henkilötietojen käsittelijällä on oikeus siirtää henkilötietoja EU:n tai ETA:n ulkopuolisiin maihin, edellyttäen että siirto tapahtuu tietosuoja-asetuksessa määriteltyä riittäviä suojamekanismeja käyttäen. Henkilötietojen käsittelijän on välittömästi ilmoitettava rekisterinpitäjälle, jos tämä katsoo, että rekisterinpitäjän antamat käsittelyä koskevat kirjalliset ohjeistukset rikkovat tietosuoja-asetusta tai muita unionin tai jäsenvaltion tietosuojasäännöksiä. Tämän liitteen ehtojen lisäksi kumpikin osapuoli sitoutuu noudattamaan sovellettavia kansallisia tietosuojalakeja ja tietosuoja-asetuksen säännöksiä toimintaansa soveltuvin osin.

Käsittelyä koskevat tarkemmat tiedot, kuten käsittelyn luonne, henkilötietojen tyyppi ja rekisteröityjen ryhmät, on tarvittaessa kuvattu sopimuksessa tai erillisessä asiakirjassa.

Alihankinnat
Henkilötietojen käsittelijällä on oikeus käyttää käsittelyssä toisen henkilötietojen käsittelijän palveluja edellyttäen, että henkilötietojen käsittelijä ilmoittaa tästä kirjallisesti vähintään 14 päivää etukäteen rekisterinpitäjälle. Kirjallisten ilmoitusten toimittamisvelvollisuus koskee suunniteltua käsittelijän lisäämistä, poistamista tai vaihtamista. Ilmoituksen saatuaan rekisterinpitäjä voi vastustaa suunniteltuja muutoksia. Käyttäessään toisen henkilötietojen käsittelijän palveluja, henkilötietojen käsittelijän tulee sopia palveluntarjoajan kanssa, että käsittely tapahtuu noudattaen samoja tietosuojavelvoitteita, kuin mitä tässä liitteessä on kuvattuna. Henkilötietojen käsittelijä vastaa siitä, että sen käyttämän toisen henkilötietojen käsittelijän palvelut toteutetaan tämän liitteen vaatimusten mukaisina.

Salassapito
Kaikkia henkilötietoja joita henkilötietojen käsittelijä käsittelee rekisterinpitäjän lukuun pidetään rekisterinpitäjän luottamuksellisina tietoina ja henkilötietojen käsittelijä sitoutuu pitämään tiedot salassa ja olemaan luovuttamatta tai paljastamatta niitä kenellekään kolmannelle osapuolelle tai käyttämättä tietoja muuhun kuin sovittuun tarkoitukseen. Henkilötietojen käsittelijä sitoutuu myös olemaan luovuttamatta ja paljastamatta henkilötietoja omassa organisaatiossaan muille kuin sellaisille työntekijöilleen tai muille henkilöille (ml. mahdolliset alihankkijat), joiden on tarpeen tuntea kyseinen tieto sovittua tarkoitusta varten ja jotka ovat palvelu- tai muiden sopimustensa perusteella taikka lakisääteisesti velvollisia pitämään tiedon luottamuksellisena. Salassapitovelvoitteet pysyvät voimassa sopimuksen päättymisestä huolimatta.

Tietoturva
Henkilötietojen käsittelijän tulee huolehtia, että se toteuttaa kaikki asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla pyritään estämään henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin. Toimenpiteet tulee suunnitella huomioiden uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, kuten

a)  henkilötietojen pseudonymisointi ja salaus;
b)  kyky taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;
c)  kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa;
d)  menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

Henkilötietojen tietoturvaloukkaukset
Henkilötietojen käsittelijän on ilmoitettava tietoonsa tulleesta käsittelyssä tapahtuneesta henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä, jotta rekisterinpitäjä voi täyttää tietosuoja-asetuksessa määritellyt ilmoitusvelvoitteet asetetussa määräajassa. Tietoturvaloukkauksesta tulee antaa riittävät tiedot ja henkilötietojen käsittelijän tulee muutoinkin avustaa rekisterinpitäjää, jotta rekisterinpitäjä voi täyttää tälle tietosuoja-asetuksessa asetetut velvoitteet. Henkilötietojen käsittelijän tulee myös ryhtyä tarpeellisiin jatkotoimenpiteisiin, joilla henkilötietojen tietoturvaloukkauksen haittavaikutuksia voidaan lieventää tai tulevia loukkauksia estää.

Tietosuojaa koskeva vaikutustenarviointi
Mikäli henkilötietojen käsittelijä tulee tietoiseksi siitä, että suunniteltu käsittely aiheuttaisi korkean riskin luonnollisen henkilön oikeuksien ja vapauksien kannalta, tulee sen ilmoittaa tästä rekisterinpitäjälle ja avustaa tätä tarvittaessa tietosuojaa koskevan vaikutustenarvioinnin toteuttamisessa.

Rekisteröidyn oikeuksien toteuttaminen
Ottaen huomioon käsittelytoimen luonteen, henkilötietojen käsittelijän tulee kohtuudella ja ilman aiheetonta viivästystä auttaa rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään rekisterinpitäjän velvollisuuden vastata pyyntöihin, jotka koskevat tietosuoja-asetuksessa säädettyjen rekisteröidyn oikeuksien käyttämistä. Tällaisia oikeuksia voivat olla muun muassa, sellaisina kuin ne on tietosuoja-asetuksessa määritelty, rekisteröidyn oikeus saada pääsy tietoon, oikeus saada tieto korjatuksi, oikeus kieltää käsittely, oikeus tietojen poistamiseen (ns. "oikeus tulla unohdetuksi"), oikeus käsittelyn rajoittamiseen ja oikeus saada tiedot siirretyksi järjestelmästä toiseen. Mikäli tällaisia vaatimuksia esitetään suoraan henkilötietojen käsittelijälle, sen tulee viipymättä ilmoittaa niistä rekisterinpitäjälle.

Auditoinnit
Henkilötietojen käsittelijän tulee saattaa rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen tietosuoja-asetuksessa säädettyjen velvollisuuksien noudattamisen osoittamista varten, ja henkilötietojen käsittelijä sallii ja kohtuudella avustaa rekisterinpitäjän tai muun rekisterinpitäjän valtuuttaman auditoijan suorittamat auditoinnit, kuten tarkastukset henkilötietojen käsittelijän tiloihin, järjestelmiin, prosesseihin ja dokumentaatioon, sekä osallistuu itse niihin, mikäli rekisterinpitäjä katsoo tarpeelliseksi sellaisen toteuttamisen. Auditoinnit pyritään suorittamaan normaalin työajan puitteissa siten, että niistä aiheutuisi mahdollisimman vähän haittaa henkilötietojen käsittelijän liiketoiminnalle. Kumpikin osapuoli vastaa omista auditoinnin suorittamiseen liittyvistä kustannuksistaan. Rekisterinpitäjän tulee ilmoittaa henkilötietojen käsittelijälle vähintään 30 päivää etukäteen auditoinnin toteuttamisesta.

Muut ehdot
Mikäli henkilötietojen käsittelijä joutuu avustamaan rekisterinpitäjää tietosuoja-asetuksen tietoturvaloukkauksia, rekisteröityjen oikeuksien toteuttamista ja tietosuojavaikutusten arviointia koskevien säännösten täyttämisessä, toteutetaan nämä avustamistehtävät lähtökohtaisesti kuukausiveloitettavan palvelusopimuksen ja siinä määritellyn ajankäytön puitteissa. Mikäli avustamisvelvoitteiden täyttämiseen käytettävä työmäärä ylittää kuukausiveloitettavassa palvelusopimuksessa sovitun kiinteän enimmäistuntimäärän tai osapuolet eivät ole sopineet tällaista ajankäyttösopimusta, on henkilötietojen käsittelijä oikeutettu laskuttamaan kohtuulliset toteutuneet työtunnit tavanomaisen tuntihinnan mukaisesti. Lisätyötunneista laskuttaminen edellyttää kuitenkin sitä, että rekisterinpitäjä on etukäteen hyväksynyt avustamisvelvoitteiden täyttämiseen liittyvän ajankäytön. Henkilötietojen käsittelijä ei ole vastuussa rekisterinpitäjälle sopimusrikkomusten aiheuttamista välillisistä tai epäsuorista vahingoista taikka kolmansien esittämistä vaatimuksista.

Tietosuojaselosteen voimaantulo ja sopimuksen päättymisen vaikutukset
Tämä tietosuojaseloste tulee voimaan samanaikaisesti sopimuksen tullessa voimaan ja pysyy voimassa sopimuksen voimassaoloa koskevien ehtojen mukaisesti. Sopimuksen päättyessä henkilötietojen käsittelijän tulee, rekisterinpitäjän valinnan mukaan, joko poistaa tai palauttaa kaikki henkilötiedot rekisterinpitäjälle ja poistaa olemassa olevat jäljennökset, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä vaaditaan säilyttämään henkilötiedot. Siinä tapauksessa henkilötietojen käsittelijällä on oikeus säilyttää henkilötiedot lain vaatimusten mukaisesti, jatkamatta muutoin henkilötietojen käsittelyä ja noudattaen edelleen tässä liitteessä kuvattuja salassapitovelvoitteita.

KÄSITTELYÄ KOSKEVAT VAATIMUKSET

Käsittelyn luonne
B2B Market:n palvelujen tarjoaminen ja toimittaminen asiakkaalle. B2B Market käsittelee asiakkaan henkilötietoja sopimuksen, sovellettavan lainsäädännön ja näiden ehtojen mukaisesti. Henkilötiedot koskevat pääasiassa seuraavia henkilötietoryhmiä: nimi, sähköpostiosoite, ip-osoite, asiakkaan verkkosivuston käyttöä koskevat tiedot, sitoutuminen digitaalisen markkinoinnin kampanjoihin ja muu data. Henkilötiedot koskevat pääasiassa asiakkaan potentiaalisia ja nykyisiä asiakkaita tai kumppaneita sekä asiakkaan verkkopalveluiden käyttäjiä.

HYVÄKSYTYT ALIHANKKIJAT HENKILÖTIETOJEN KÄSITTELYLLE
Preto Design
M101 Helsinki Oy