Käyttöehdot

1. JOHDANTO JA TAUSTA

1.1. Molemmat osapuolet vahvistavat, että allekirjoittanut on valtuutettu tekemään tämän tietojenkäsittelysopimuksen ("sopimus"). Tämä sopimus on osa sopimuksen osapuolten välisistä palvelusopimuksista ("palvelusopimukset") johtuvia henkilötietojen käsittelyä koskevia määräyksiä ja sääntelee niitä:

1. 1. Sopimus Plandisciin liittyen DD-MM-YYYY

1.2. Jos Rekisterinpitäjä vaihtaa sopimuksessa mainittuja yhteyshenkilöitä, siitä on ilmoitettava kirjallisesti Henkilötietojen käsittelijälle.

2.1. Henkilötiedot, erityiset henkilötietoryhmät (arkaluonteiset henkilötiedot), Henkilötietojen käsittely, Rekisteröity, Rekisterinpitäjä ja Henkilötietojen käsittelijä tarkoittavat samaa kuin kulloinkin voimassa olevassa henkilötietojen käsittelyä koskevassa lainsäädännössä, mukaan lukien tietosuoja-asetus (EU) 2016/679 (GDPR) annettu 27. huhtikuuta 2016.

3. TAUSTA

3.1. Sopimus koskee henkilötietojen käsittelyä, jota Henkilötietojen käsittelijä suorittaa Rekisterinpitäjän puolesta, ja siinä kuvataan, miten henkilötietojen käsittelijä osallistuu henkilötietojen suojan varmistamiseen Rekisterinpitäjän ja sen rekisteröityjen puolesta teknisin ja organisatorisin toimenpitein henkilötietojen käsittelyä koskevan sovellettavan lainsäädännön, myös yleisen tietosuoja-asetuksen, mukaisesti.

3.2. Henkilötietojen käsittelijän Rekisterinpitäjän puolesta suorittaman henkilötietojen käsittelyn tarkoituksena on palvelusopimusten täyttäminen.

3.3. Tämä sopimus on ensisijainen kaikkiin ristiriitaisiin henkilötietojen käsittelyä koskeviin määräyksiin nähden, jotka sisältyvät palvelusopimuksiin tai muihin osapuolten välisiin sopimuksiin tai osapuolten väliseen kirjalliseen viestintään. Tämä sopimus on voimassa niin kauan kuin liitteessä A on sovittu.

4. TIETOJENKÄSITTELIJÄN VASTUU JA VELVOLLISUUDET

4.1. Henkilötietojen käsittelijä sitoutuu käsittelemään henkilötietoja ainoastaan rekisterinpitäjän puolesta ja tämän antamien kirjallisten ohjeiden perusteella. Solmimalla tämän sopimuksen Rekisterinpitäjä antaa Henkilötietojen käsittelijälle ohjeet käsitellä henkilötietoja seuraavalla tavalla: i) yksinomaan sovellettavan lainsäädännön mukaisesti, ii) kaikkien palvelusopimuksen määräysten mukaisten velvoitteiden täyttämiseksi, iii) siten kuin Rekisterinpitäjä on määritellyt käyttämällä asianmukaisesti Henkilötietojen käsittelijän palveluja ja iv) siten kuin tässä sopimuksessa on määritelty.

4.2. Tietojenkäsittelijällä ei ole syytä uskoa, että sovellettava lainsäädäntö estäisi tietojen käsittelijää täyttämästä edellä mainittuja ohjeita. Tietojenkäsittelijän on, jos se tulee hänen tietoonsa, ilmoitettava Rekisterinpitäjälle Rekisterinpitäjän antamista ohjeista tai muista käsittelyyn liittyvistä seikoista, jotka ovat Tietojenkäsittelijän mielestä henkilötietojen käsittelyä koskevan sovellettavan lainsäädännön vastaisia.

4.3. Liitteessä A on esitetty henkilötietojen kategoriat, joita tämän sopimuksen mukainen käsittely koskee.

4.4. Henkilötietojen käsittelijän on varmistettava, että henkilötiedot ovat luottamuksellisia, eheitä ja saatavilla henkilötietojen käsittelyä koskevan sovellettavan lainsäädännön mukaisesti. Henkilötietojen käsittelijä toteuttaa järjestelmällisiä, organisatorisia ja teknisiä toimenpiteitä asianmukaisen turvallisuustason varmistamiseksi ottaen huomioon tekniikan ja toteutuskustannukset suhteessa käsittelyyn liittyviin riskeihin ja suojattavien henkilötietojen luonteeseen.

4.5. Henkilötietojen käsittelijä avustaa Rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan, ottaen huomioon käsittelyn luonteen ja Henkilötietojen käsittelijän käytettävissä olevat tiedot, jotta Rekisterinpitäjä voi täyttää sovellettavasta henkilötietojen käsittelyä koskevasta lainsäädännöstä johtuvat Rekisterinpitäjän velvoitteet, ja jotka koskevat vastaamista rekisteröidyltä tuleviin pyyntöihin ja rekisteröidyn oikeuksien harjoittamista yleisen tietosuoja-asetuksen 32-36 artiklan mukaisesti.

4.6. Jos Rekisterinpitäjä pyytää tietoja turvatoimista, dokumentaatiota tai muunlaisia tietoja siitä, miten Henkilötietojen käsittelijä käsittelee henkilötietoja, ja tällaiset tiedot ylittävät tavanomaiset tiedot, jotka Henkilötietojen käsittelijä toimittaa henkilötietojen käsittelyä koskevan sovellettavan lainsäädännön noudattamiseksi, Henkilötietojen käsittelijällä on oikeus veloittaa Rekisterinpitäjää pyydetystä lisätyöstä.

4.7. Tietojenkäsittelijän ja sen työntekijöiden on varmistettava sopimuksen mukaisesti käsiteltävien henkilötietojen luottamuksellisuus. Tätä määräystä sovelletaan myös sopimuksen päättymisen jälkeen.

4.8. Henkilötietojen käsittelijän on varmistettava, että henkilötietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet salassapitovelvollisuuteen tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

4.9. Henkilötietojen käsittelijä ilmoittaa Rekisterinpitäjälle viipymättä kaikista tapahtumista, joista Rekisterinpitäjällä on lain mukaan velvollisuus ilmoittaa tietosuojaviranomaiselle tai rekisteröidyille.

Lisäksi Henkilötietojen käsittelijän on ilmoitettava Rekisterinpitäjälle siinä määrin kuin se on asianmukaista ja lainmukaista:

i) rekisteröidyltä vastaanotetut henkilötietojen luovutuspyynnöt.

ii) viranomaisten, kuten poliisin, esittämät henkilötietojen luovutuspyynnöt.

4.10. Henkilötietojen käsittelijä ei vastaa rekisteröidyltä saatuihin suoriin tiedusteluihin, ellei Rekisterinpitäjä ole antanut siihen suostumusta.  Henkilötietojen käsittelijä ei luovuta henkilötietoja viranomaisille, kuten poliisille, ellei siihen ole oikeudellista perustetta.

4.11. Henkilötietojen käsittelijä ei ole vastuussa eikä valvo sitä, haluaako Rekisterinpitäjä käyttää kolmannen osapuolen integraatioita Henkilötietojen käsittelijän sovellusrajapinnan kautta, suoran yhteyden kautta tietokantaan tai vastaavalla tavalla. Vastuu tällaisista integroinneista kolmansien osapuolten kanssa on yksinomaan Rekisterinpitäjällä.

4.12. Tietojenkäsittelijä voi käsitellä henkilötietoja Käyttäjien ja Rekisterinpitäjien Palvelun käytöstä, kun se on tarpeen palautteen saamiseksi ja Palvelun parantamiseksi. Rekisterinpitäjä myöntää Käsittelijälle oikeuden käyttää ja analysoida Palvelujen käyttöön liittyviä koottuja järjestelmätoimintatietoja, jotta voidaan optimoida tai parantaa tapaa, jolla Käsittelijä tarjoaa Palveluja, ja jotta Käsittelijä voi luoda uusia ominaisuuksia ja toimintoja Palveluihin liittyen. Vismaa pidetään Rekisterinpitäjänä tällaisessa käsittelyssä, eikä käsittely siten kuulu tämän sopimuksen soveltamisalaan.

4.13. Käyttäessään palveluita Rekisterinpitäjä lisää tietoja ohjelmistoon ("Asiakastiedot"). Rekisterinpitäjä hyväksyy sen eikä vastusta sitä, että henkilötietojen käsittelijä käyttää asiakastietoja aggregoidussa ja anonymisoidussa muodossa asiakkaille tarjottavien palveluiden parantamiseen, tutkimukseen, koulutukseen, opetukseen ja/tai tilastollisiin tarkoituksiin.

5. REKISTERINPITÄJÄN OIKEUDET JA VELVOLLISUUDET

5.1. Rekisterinpitäjä vahvistaa allekirjoittamalla tämän sopimuksen, että:

5.1. Rekisterinpitäjällä on oikeus käsitellä ja luovuttaa kyseisiä henkilötietoja Henkilötietojen käsittelijälle (mukaan lukien kaikki henkilötietojen käsittelijän käyttämät alihankkijat).

5.3. Rekisterinpitäjä on yksin vastuussa Henkilötietojen käsittelijälle luovutettujen henkilötietojen tarkkuudesta, eheydestä, sisällöstä, luotettavuudesta ja lainmukaisuudesta.

5.4. Rekisterinpitäjä on noudattanut kaikkia pakollisia vaatimuksia ja velvoitteita, jotka koskevat tietojen ilmoittamista, ilmoittamista tai luvan hankkimista asianomaisilta valvontaviranomaisilta tai rekisteröidyiltä henkilötietojen käsittelyn yhteydessä.

5.5. Käyttäessään palvelusopimuksen mukaisia Henkilötietojen käsittelijän tarjoamia palveluja Rekisterinpitäjä on velvollinen olemaan luovuttamatta arkaluonteisia henkilötietoja, ellei tästä ole nimenomaisesti sovittu tämän sopimuksen liitteessä A.

6. ALIHANKKIJOIDEN KÄYTTÖ JA TIETOJEN SIIRTO

6.1. Osana palvelusopimusten ja tämän sopimuksen mukaisten palvelujen tarjoamista Rekisterinpitäjälle Henkilötietojen käsittelijällä on oikeus käyttää alihankkijoita. Nämä alihankkijat voivat olla muita Visma-konserniin kuuluvia yrityksiä tai ulkopuolisia kolmansia toimittajia. Henkilötietojen käsittelijän on varmistettava, että alihankkijoihin sovelletaan samoja velvoitteita kuin tässä sopimuksessa määrätään.

6.2. Lista alihankkijoista, joilla on pääsy henkilötietoihin, löytyy Visma Trust Centeristä osoitteessa: https://www.visma.com/trust-centre/product-search/ . Henkilötietojen käsittelijä voi lisätä muita EU/ETA-alueella sijaitsevia Visma-konsernin yhtiöitä alihankkijoiksi ilman, että Visma-yhtiön täytyy olla lueteltuna Trust Centerissä tai ilman ennakkohyväksyntää tai ennakkoilmoitusta Rekisterinpitäjälle. Tämä on tavanomaista esimerkiksi kehityksen, tuen ja operatiivisten toimintojen yhteydessä. Lisäksi Rekisterinpitäjä voi pyytää Henkilötietojen käsittelijältä tarkempia tietoja alihankkijoista.

6.3. Jos alihankkijat sijaitsevat EU:n ulkopuolella, Rekisterinpitäjä antaa suostumuksensa siihen, että Henkilötietojen käsittelijä varmistaa oikean oikeusperustan henkilötietojen siirtämiselle EU:n ulkopuolelle Rekisterinpitäjän puolesta muun muassa liittymällä EU:n komission vakiosopimuslausekkeisiin (SCC).

6.4. Rekisterinpitäjälle on ilmoitettava etukäteen henkilötietoja käsittelevien alihankkijoiden vaihtumisesta. Jos Rekisterinpitäjä vastustaa uusia alihankkijoita 30 päivän kuluessa ilmoituksen tekemisestä, Henkilötietojen käsittelijän ja Rekisterinpitäjän on hankittava ja tarkasteltava alihankkijasta tietoja ja asiakirjoja, joista käy ilmi, että alihankkija noudattaa tietosuoja-asetusta. Jos Rekisterinpitäjä jatkaa vastalauseiden esittämistä, ja jos siihen on kohtuulliset perusteet, Henkilötietojen käsittelijä voi oman harkintansa mukaan joko olla käyttämättä kiistanalaista alihankkijaa tai sallia Asiakkaan irtisanoa kyseinen palvelusopimus sopimuksen irtisanomismääräysten mukaisesti.

7. TURVALLISUUS 

7.1. Henkilötietojen käsittelijällä on velvollisuus varmistaa tuotteidensa ja palvelujensa korkea turvallisuustaso. Henkilötietojen käsittelijä tarjoaa tämän turvallisuustason organisatorisilla, teknisillä ja fyysisillä turvatoimilla yleisen tietosuoja-asetuksen 32 artiklassa säädettyjen tietoturvatoimia koskevien vaatimusten mukaisesti.

7.2. Palvelusopimuksessa määritellään toimenpiteet ja muut tietoturvamenettelyt, joita Henkilötietojen käsittelijä toteuttaa henkilötietojen käsittelyssä. Rekisterinpitäjä vastaa vastuullaan olevien laitteiden ja IT-ympäristön asianmukaisesta ja riittävästä tietoturvasta.

8. VALVONTA

8.1. Rekisterinpitäjä voi enintään kerran vuodessa tehdä tarkastuksen varmistaakseen, että Henkilötietojen käsittelijä noudattaa tätä sopimusta. Jos Rekisterinpitäjään sovelletaan lakisääteistä vaatimusta, Rekisterinpitäjä voi pyytää tiheämpiä tarkastuksia.

Pyytääkseen tarkastusta Rekisterinpitäjän on lähetettävä henkilötietojen käsittelijälle vähintään neljä viikkoa ennen ehdotettua tarkastuspäivää yksityiskohtainen tarkastuskatsaus, jossa on kuvaus tarkastuksen ehdotetusta laajuudesta, kestosta ja alkamisajankohdasta. Jos tarkastuksen suorittavat kolmannet osapuolet, tästä on pääsääntöisesti sovittava osapuolten kesken. Jos käsittely tapahtuu monitilaympäristössä tai vastaavassa, Rekisterinpitäjä antaa turvallisuussyistä johtuen  Henkilötietojen käsittelijälle oikeuden valita, että tarkastukset suorittaa Henkilötietojen käsittelijän valitsema puolueeton kolmas osapuoli.

8.2. Jos pyydettyä tarkastuksen laajuutta on käsitelty ISAE-, ISO- tai vastaavassa turvallisuusraportissa, jonka pätevä kolmas osapuoli on laatinut viimeksi kuluneiden 12 kuukauden aikana, ja käsittelijä vahvistaa, että tarkastettuihin toimenpiteisiin ei ole tehty olennaisia muutoksia, Rekisterinpitäjä vahvistaa, että kyseiset havainnot hyväksytään sen sijaan, että pyydettäisiin uutta tarkastusta raportin kattamiin toimenpiteisiin.

8.3. Tarkastukset on kaikissa tapauksissa suoritettava tavanomaisena työaikana kyseisessä toimipaikassa Henkilötietojen käsittelijän käytäntöjen mukaisesti, eivätkä ne saa kohtuuttomasti häiritä Henkilötietojen käsittelijän liiketoimintaa.

8.4. Rekisterinpitäjä vastaa kaikista kustannuksista, jotka liittyvät Rekisterinpitäjän pyytämiin tarkastuksiin. Henkilötietojen käsittelijän apu, joka ylittää Henkilötietojen käsittelijän tai Visma Groupin tarjoaman vakiopalvelun henkilötietojen käsittelyä koskevan sovellettavan lainsäädännön noudattamiseksi, on maksullista.

9. KESTO JA PÄÄTTYMINEN

9.1. Tämä sopimus on voimassa niin kauan kuin henkilötietojen käsittelijä käsittelee henkilötietoja Rekisterinpitäjän puolesta palvelusopimusten mukaisesti tai lisäyksessä A sovitulla tavalla.

9.2. Sopimus päättyy automaattisesti palvelusopimuksen päättyessä. Tämän sopimuksen päättyessä Henkilötietojen käsittelijä poistaa tai palauttaa Rekisterinpitäjän puolesta käsitellyt henkilötiedot palvelusopimuksen sovellettavien määräysten mukaisesti. Poistaminen suoritetaan niin pian kuin mahdollista, ellei sovellettavassa lainsäädännössä edellytetä myöhempää säilytystä. Jollei kirjallisesti toisin sovita, tällaisten toimenpiteiden kustannukset perustuvat: i) tietojen käsittelijän käyttämän ajan tuntihintaan ja ii) pyydetyn käsittelyn vakavuuteen.

10. MUUTOKSET JA LISÄYKSET

10.1. Muutokset sopimukseen on tehtävä sopimukseen liitettävällä liitteellä, jonka molemmat sopimuspuolet allekirjoittavat ollakseen voimassa.

10.2. Jos jokin tämän sopimuksen määräys on pätemätön, se ei vaikuta muiden määräysten pätevyyteen. Osapuolet korvaavat pätemättömän määräyksen oikeudellisella määräyksellä, joka vastaa pätemättömän määräyksen tarkoitusta.

11. VASTUUALUEET

11.1. Molemmat osapuolet ovat erikseen vastuussa ja velvollisia maksamaan kaikki hallinnolliset sakot ja vahingonkorvaukset, jotka viranomaiset tai tuomioistuin määräävät osapuolelle tietosuoja-asetuksen nojalla. Osapuolten välisestä vastuusta määrätään palvelusopimuksessa.

12. LAINVALINTA JA TOIMIVALTA

12.1. Tähän sopimukseen sovelletaan lakia ja lainkäyttövaltaa, jotka on mainittu osapuolten välisessä palvelusopimuksessa.