Tietojenkäsittelysopimus (DPA)

Tämä GDPR:n 28 artiklan mukainen tietojenkäsittelysopimus on osa Tunnista.fi-palvelun asiakassopimusta. Rekisterinpitäjä on palvelua käyttävä asiakasorganisaatio (”Asiakas”). Henkilötietojen käsittelijä on Internerds Oy, Y-tunnus 3271281-1, Suomi (”Käsittelijä”). Tunnista.fi ei ole erillinen oikeushenkilö.

Sopimus koskee Asiakkaan aineiston henkilötietoja, joita Käsittelijä käsittelee Asiakkaan lukuun. Se ei koske Internerdsin omiin rekisterinpitäjän tarkoituksiin kuuluvaa laskutusta, asiakassuhteen hallintaa tai muuta tietosuojaselosteessa eroteltua käsittelyä.

Liitteet A (käsittelykuvaus), B (suojatoimet) ja C (palautus ja poistaminen) ovat osa tätä sopimusta. Alikäsittelijät ja muut vastaanottajat -asiakirja yksilöi käytettävät palvelut ja roolirajaukset. Yleisen asiakassopimuksen ehdot soveltuvat siltä osin kuin ne eivät ole ristiriidassa tämän sopimuksen kanssa.

Tämä versio koskee uusia asiakassopimuksia sen julkaisemisesta alkaen. Olemassa oleville asiakkaille olennaiset muutokset tulevat voimaan aikaisintaan 30 päivän kuluttua asiakkaalle annetusta muutosilmoituksesta, ellei asiakkaan kanssa nimenomaisesti sovita muuta tai pakottava laki edellytä muuta. Pelkkä verkkosivun päivitys ei korvaa asiakkaalle annettavaa ilmoitusta. Asiakas voi päättää tilauksen ennen muutoksen voimaantuloa.

Asiakas määrittää käsittelyn tarkoitukset, oikeusperusteet, tietojen tarpeellisuuden, rekisteröityjen informoinnin, käyttöoikeudet ja säilytystarpeen. Asiakas vastaa siitä, että sillä on oikeus toimittaa aineisto Käsittelijälle ja antaa sitä koskevat ohjeet.

Dokumentoituja ohjeita ovat tämä sopimus, asiakkaan tekemät palveluasetukset, sen valtuutettujen käyttäjien palvelussa antamat toimeksiannot ja osapuolten kirjallisesti sopimat muut ohjeet. Integraation tai AI-toiminnon käyttö valtuutetun käyttäjän pyynnöstä on ohje vain toiminnon edellyttämässä laajuudessa.

Asiakas ilmoittaa tietosuoja-asioista vastaavan yhteyshenkilön ja pitää yhteystiedot ajan tasalla. Erityisiä tietoryhmiä, henkilötunnuksia tai rikostuomioihin liittyviä tietoja saa toimittaa vain, kun siihen on soveltuva oikeusperuste ja tiedot ovat käyttötarkoitukseen tarpeellisia.

Käsittelijä käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden perusteella, myös ETA:n ulkopuolisten siirtojen osalta. Se ei myy Asiakkaan henkilötietoja eikä käytä niitä omiin mainonta-, profilointi- tai mallikoulutustarkoituksiinsa.

Jos unionin oikeus tai Käsittelijään sovellettava jäsenvaltion laki edellyttää muuta käsittelyä, Käsittelijä ilmoittaa oikeudellisesta vaatimuksesta Asiakkaalle ennen käsittelyä, ellei kyseinen laki kiellä ilmoittamista tärkeän yleisen edun vuoksi.

Käsittelijä ilmoittaa välittömästi, jos se katsoo ohjeen rikkovan GDPR:ää tai muuta unionin tai jäsenvaltion tietosuojalainsäädäntöä. Osapuolet selvittävät lainmukaisen toteutustavan. Käsittelijän ei tarvitse toteuttaa lainvastaista ohjetta.

Käsittelijä varmistaa, että tietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä sitoo lakisääteinen salassapitovelvollisuus. Pääsy rajataan tehtävän ja tarpeen perusteella. Suojaamisvelvollisuus jatkuu niin kauan kuin tietoja on Käsittelijän hallussa.

Käsittelijä toteuttaa GDPR:n 32 artiklan mukaiset asianmukaiset tekniset ja organisatoriset toimet ottaen huomioon tekniikan tason, toteutuskustannukset, käsittelyn luonteen ja laajuuden sekä rekisteröityjen oikeuksiin kohdistuvat riskit. Vähimmäisjärjestelyt kuvataan liitteessä B.

Toimia voidaan kehittää tekniikan ja uhkien muuttuessa, mutta sovittua suojaustasoa ei saa olennaisesti heikentää. Asiakas saa pyynnöstä käsittelyn turvallisuuden arviointiin tarpeelliset tiedot muiden asiakkaiden ja palvelun turvallisuus huomioiden.

Asiakas vastaa omien laitteidensa, käyttäjiensä ja vastaanottavien järjestelmiensä suojauksesta. Tämä ei vähennä Käsittelijän vastuuta sen omasta palvelusta.

Asiakas antaa yleisen kirjallisen valtuutuksen käyttää Alikäsittelijät ja muut vastaanottajat -asiakirjassa asiakkaan aineiston käsittelyyn nimettyjä alikäsittelijäpalveluita vain kyseiseen palveluun tarvittavassa laajuudessa. Rekisterinpitäjän omiin tarkoituksiin toimivaa vastaanottajaa ei tämän valtuutuksen perusteella muuteta alikäsittelijäksi.

Käsittelijän on ennen alikäsittelyn aloittamista asetettava alikäsittelijälle kirjallisesti vähintään samat soveltuvat tietosuojavelvoitteet kuin tässä sopimuksessa, mukaan lukien riittävät takeet asianmukaisista suojatoimista. Alikäsittelijän laiminlyönti ei poista Käsittelijän GDPR:n 28 artiklan 4 kohdan mukaista vastuuta Asiakkaalle.

Aiotusta alikäsittelijän lisäämisestä tai korvaamisesta ilmoitetaan Asiakkaalle kirjallisesti vähintään 30 päivää ennen kyseisen Asiakkaan tietojen käsittelyn aloittamista. Ilmoituksessa kuvataan palvelu, käsittelyn tarkoitus ja olennaiset tietosuoja- ja siirtovaikutukset.

Asiakas voi vastustaa muutosta perustellusta tietosuojasyystä ilmoitusaikana. Osapuolet pyrkivät ratkaisemaan asian esimerkiksi vaihtoehtoisella toteutuksella. Asiakkaan tietoja ei siirretä vastustetulle uudelle alikäsittelijälle ennen ratkaisua. Ellei ratkaisua löydy, kumpikin voi päättää muutoksen välttämättä edellyttämän palveluosan, ja Asiakkaan aineisto palautetaan tai poistetaan liitteen C mukaan. Jo maksettujen, tämän vuoksi toimittamatta jäävien palvelujen maksuista sovitaan tilanteen ja sovellettavan lain mukaisesti.

Asiakkaan ohjeistuksen tai yleisen alikäsittelijävaltuutuksen lisäksi ETA:n ulkopuolinen luovutus edellyttää GDPR:n V luvun vaatimusten täyttymistä. Käsittelijän on varmistettava soveltuva siirtoperuste ja tarvittavat lisäsuojatoimet ennen siirtoa.

Siirtoperuste voi olla soveltuva riittävyyspäätös tai muu lainmukainen suojatoimi, kuten oikeisiin käsittelyrooleihin soveltuvat Euroopan komission vakiosopimuslausekkeet. Tarvittaessa arvioidaan vastaanottajamaan olosuhteet ja täydentävät suojatoimet. Pelkkä palvelimen EU-sijainti tai toimittajan yleinen markkinointiväite ei korvaa tätä arviointia.

Käsittelijä antaa Asiakkaalle pyynnöstä tiedot käsittelypaikoista, siirtoperusteista ja suojatoimista sekä tarpeelliset jäljennökset liikesalaisuudet ja muiden asiakkaiden tiedot suojaten. Tämän sopimuksen teksti ei ole vakuutus siitä, että jokin nimetty toimittaja kuuluisi tiettyyn sertifiointijärjestelmään.

Käsittelijä avustaa Asiakasta asianmukaisin teknisin ja organisatorisin toimin rekisteröityjen GDPR:n III luvun mukaisten pyyntöjen käsittelyssä ottaen huomioon käsittelyn luonteen. Asiakas vastaa pyyntöön annettavasta ratkaisusta ja lakisääteisistä määräajoista.

Suoraan Käsittelijälle saatu Asiakkaan aineistoa koskeva pyyntö välitetään Asiakkaalle ilman aiheetonta viivytystä. Käsittelijä ei ratkaise pyyntöä itsenäisesti, ellei Asiakas ole ohjeistanut sitä tai laki velvoita siihen. Käsittelijä auttaa tietojen löytämisessä, palautuksessa, oikaisussa, rajoittamisessa ja poistossa palvelun ja sopimuksen mukaisesti.

Avustamisen järjestelyistä ja tavanomaisen palvelun ulkopuolisesta erikseen tilattavasta työstä voidaan sopia, mutta kustannus- tai menettelyehdoilla ei saa estää lakisääteistä avustamista.

Käsittelijä ilmoittaa Asiakkaan aineistoon kohdistuvasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan siitä tiedon. Ilmoitusta ei lykätä siihen asti, että kaikki yksityiskohdat ovat selvillä.

Saatavilla olevien tietojen perusteella ilmoitetaan tapahtuman luonne, henkilötieto- ja rekisteröityryhmät ja arvioidut määrät, todennäköiset seuraukset, toteutetut tai ehdotetut korjaustoimet sekä lisätietojen yhteyshenkilö. Puuttuvia tietoja täydennetään vaiheittain ilman aiheetonta viivytystä.

Käsittelijä ryhtyy vastuullaan oleviin suojaus- ja rajoittamistoimiin, dokumentoi tapahtuman ja avustaa Asiakasta viranomaiselle ja rekisteröidyille tehtävissä ilmoituksissa. Asiakas ratkaisee omat ilmoitusvelvollisuutensa. Käsittelijän ilmoitusvelvollisuus ei ole sama kuin rekisterinpitäjän mahdollinen 72 tunnin viranomaisilmoituksen määräaika.

Käsittelijä avustaa Asiakasta GDPR:n 32–36 artiklojen velvoitteissa, mukaan lukien turvallisuuden arviointi, tietosuojaa koskeva vaikutustenarviointi ja ennakkokuuleminen, käsittelyn luonne ja sen saatavilla olevat tiedot huomioiden.

Käsittelijä antaa Asiakkaalle tämän sopimuksen ja GDPR:n 28 artiklan noudattamisen osoittamiseen tarvittavat tiedot sekä sallii Asiakkaan tai sen valtuuttaman riippumattoman auditoijan tarkastukset ja osallistuu niihin.

Tavanomainen auditointi järjestetään ensisijaisesti dokumentaation ja etäarvioinnin avulla, ja tarvittaessa tehdään tarkastus. Se sovitaan kohtuullisella kirjallisella ennakkoilmoituksella siten, ettei muiden asiakkaiden tietoja tai palvelun turvallisuutta vaaranneta. Auditoijaa voidaan edellyttää sitoutumaan asianmukaiseen salassapitoon.

Tavanomaisia Asiakkaan kustannuksella tehtäviä auditointeja järjestetään lähtökohtaisesti kerran kalenterivuodessa. Tämä ei rajoita viranomaisen edellyttämää tarkastusta, olennaiseen tietoturvaloukkaukseen tai perusteltuun vaatimustenvastaisuusepäilyyn liittyvää tarkastusta eikä tarpeellista korjausten seurantaa. Menettely- tai kustannusehdot eivät saa tehdä tarkastusoikeutta tehottomaksi.

Osapuolet sopivat havaittujen puutteiden korjaamisesta ja niiden seurannasta. Käsittelijä vastaa vastuulleen kuuluvien vaatimustenvastaisuuksien korjaamisesta.

Käsittelyn päättyessä Käsittelijä palauttaa tai poistaa henkilötiedot Asiakkaan valinnan mukaisesti ja poistaa olemassa olevat kopiot, ellei unionin oikeus tai jäsenvaltion laki edellytä säilyttämistä. Menettely, määräajat ja varmuuskopioiden käsittely kuvataan liitteessä C.

Sopimuksen tietosuoja- ja salassapitovelvoitteet jatkuvat niin kauan kuin Asiakkaan henkilötietoja käsitellään. Yleisten käyttöehtojen vastuunrajoitukset eivät rajoita vastuuta, jota ei voida lain mukaan rajoittaa, eivätkä rekisteröidyn tai viranomaisen oikeuksia.

Tietosuoja- ja sopimusasioiden yhteysosoite on hello@internerds.fi.

Kohde ja tarkoitus: Asiakkaan tilaamien KYC-lomakkeiden, tunnistamisen, allekirjoittamisen, pakoteseulonnan, tallennuksen, sähköpostitoimitusten ja integraatioiden toimittaminen. AI-avustajaa käytettäessä tarkoituksena on käyttäjän pyytämä neuvonta ja vahvistettavien toimenpiteiden valmistelu.

Käsittelytoimet: vastaanotto, tallennus, järjestäminen, haku, käyttöoikeusrajattu näyttäminen, tunnistustietojen yhdistäminen, allekirjoitustapahtumien ja tiedostotiivisteiden tallennus, seulonta, asiakkaan ohjaama luovutus, palautus ja poisto. Automatisoidut toimet tukevat Asiakkaan päätöksentekoa eivätkä siirrä sen rekisterinpitäjän vastuuta Käsittelijälle.

Rekisteröidyt: Asiakkaan vastaajat, asiakkaat, allekirjoittajat, edustajat, yhteyshenkilöt, tosiasialliset edunsaajat ja aineistossa esiintyvät muut henkilöt sekä Asiakkaan käyttäjät siltä osin kuin heidän tietonsa kuuluvat Asiakkaan ohjaamaan käsittelyyn.

Tietoryhmät: nimi, sähköposti, osoite ja muut yhteystiedot, henkilötunnus tai syntymäaika, kansalaisuus, yritys- ja edustajatiedot, PEP- ja edunsaajatiedot, varojen alkuperä ja muut asiakkaan keräämät tuntemistiedot, asiakirjat ja liitteet, tunnistustulokset, allekirjoitus- ja auditointitapahtumat, IP-osoitteet, integraatioiden ja viestien toimitustiedot sekä AI-keskustelut ja työkalujen tarvitsemat työtilatiedot.

Erityistä suojaa tarvitsevat tiedot: henkilötunnukset ja luottamukselliset tuntemisasiakirjat sekä Asiakkaan käyttötarkoituksesta riippuvat GDPR:n 9 tai 10 artiklan tiedot. Kaikki KYC- tai PEP-tiedot eivät sellaisenaan kuulu näihin artikloihin. Asiakkaan on varmistettava soveltuva oikeusperuste ja minimoitava tarpeettomat tiedot.

Kesto: käsittelypalvelun ajan sekä liitteen C mukaisen palautus- ja poistomenettelyn ajan. Lakisääteisesti säilytettävien tietojen osalta kesto rajoittuu todelliseen velvoitteeseen.

Pääsynhallinta: käyttäjien tunnistaminen, työtila- ja roolikohtaiset oikeudet, tietokannan rivikohtaiset käyttöoikeussäännöt ja tehtäväperusteinen ylläpitopääsy. Käyttöoikeuksia tarkistetaan ja tarpeeton pääsy poistetaan.

Salaus ja tunnisteet: TLS tiedonsiirrossa, tallennettujen tietojen suojaus, henkilötunnuksen AES-GCM-salaus ja avaimellinen tiiviste sekä peitetty näyttö. API-avainten ja kutsutunnisteiden tarkistuksessa käytetään tiivisteitä. Salausavainten hallinta erotetaan tavallisesta asiakaskäytöstä.

Todentaminen ja lokit: tapahtumien auditointi, täydellisen henkilötunnuksen näyttämisen kirjaaminen, asiakirjatiivisteet, määräaikaiset latauslinkit ja webhookien HMAC-allekirjoitus. Sähköpostitoimitus voi edellyttää tokenin sisältävän linkin käsittelyä suojatussa toimitusjonossa.

Saatavuus ja palautuminen: varmuuskopiointi seitsemän päivän kierrolla sekä menettelyt tekniseen palautumiseen. Käsittelijä arvioi ja testaa suojatoimien tehokkuutta riskiperusteisesti ja huolehtii palautumiskyvystä. Tämä liite ei anna erillistä SLA- tai keskeytyksettömän toiminnan takuuta.

Organisatoriset menettelyt: henkilöstön salassapito ja ohjeistus, tietoturvapoikkeamien käsittely, muutosten ja käyttöoikeuksien hallinta, toimittajien arviointi sekä palautus- ja poistamisohjeiden toteuttaminen. Käsittelijä ei tällä liitteellä ilmoita omistavansa tiettyä sertifiointia.

Asiakas voi ohjeistaa aineistonsa palauttamisen tai poistamisen palvelun aikana ja sen päättyessä. Pelkkä maksullisen tilauksen päättyminen ja siirtyminen vain luku -tilaan eivät ole poistamisohje. Käsittelypalvelun päättyminen sovitaan erikseen tai seuraa työtilan sulkemisesta.

Kun asiakkaan aineiston käsittelypalvelu päättyy, asiakkaalla on 30 päivää aikaa pyytää ja vastaanottaa aineistonsa palautus asiakaspalvelun kautta tai antaa poistamisohje. Työtilan sulkeminen voi katkaista itsepalvelupääsyn heti, mutta se ei poista tätä palautusoikeutta. Palveluntarjoaja järjestää ajoissa pyydetyn palautuksen turvallisesti palautusajan kuluessa.

Palautuspyynnön voi lähettää sopimusyhteyshenkilö tai muu Asiakkaan valtuuttama henkilö tietosuoja-asioiden yhteysosoitteeseen. Valtuutus tarkistetaan ennen luovutusta. Palautus kattaa pyynnön mukaiset Asiakkaan henkilötiedot, KYC-vastaukset, liitteet, allekirjoitustulokset ja tarpeelliset Asiakkaan tapahtumatiedot yleisesti käytettävässä, aineistoon soveltuvassa muodossa turvallisella toimitustavalla.

Valmiiden allekirjoituspakettien PDF-tuloksia voi ladata palvelusta käyttöoikeuksien voimassa ollessa. Yksittäisen myönnetyn latauslinkin voimassaolo on viisi minuuttia. Koottua KYC-vastausten, liitteiden ja auditointilokien itsepalveluvientiä ei ole; niiden palautus järjestetään asiakaspalvelun kautta. Palautuksen yhteydessä suojataan muiden asiakkaiden ja ulkopuolisten henkilöiden tiedot.

Palautusajan päätyttyä Palveluntarjoaja poistaa asiakkaan aineiston aktiivisista järjestelmistä viimeistään seuraavien 30 päivän kuluessa. Sama määräaika koskee poistamista, jos asiakas ei anna muuta ohjetta. Asiakkaan pyytäessä aikaisempaa poistamista se toteutetaan ilman aiheetonta viivytystä. Palautuspyynnön käsittely ei saa raueta eikä aineistoa poisteta ennen sovitun palautuksen toteuttamista Palveluntarjoajasta johtuvan viivästyksen vuoksi.

Palvelun varmuuskopioiden kierto on seitsemän päivää. Aktiivisista järjestelmistä poistettu aineisto poistuu varmuuskopioista tämän kierron mukaisesti. Varmuuskopioita käytetään tekniseen palautumiseen, ei asiakkaan aineiston jatkuvaan käyttöön. Palautuksen yhteydessä aiemmat poistamisohjeet on toteutettava uudelleen.

Poiston toteuttamisesta annetaan Asiakkaalle pyynnöstä kirjallinen vahvistus. Jos laki vaatii Käsittelijää säilyttämään osan aineistosta, poikkeus rajataan välttämättömiin tietoihin ja aikaan, tiedot suojataan ja käsittely rajoitetaan tähän velvoitteeseen. Asiakkaalle kerrotaan peruste ja laajuus, ellei laki kiellä ilmoittamista.

Asiakkaan oma AML- tai muu säilytysvelvoite ei automaattisesti edellytä Käsittelijältä kopiota palautuksen jälkeen. Internerdsin oma lakisääteinen kirjanpitoaineisto on erillistä rekisterinpitäjän käsittelyä, ei peruste säilyttää kaikkea Asiakkaan aineistoa.