Henkilötietojen käsittelysopimus

1. Kohde ja roolit

Tämä Käsittelysopimus sääntelee henkilötietojen käsittelyä, jonka MAINSYSTEMS, LDA. (”Käsittelijä”) suorittaa Asiakkaan (”Rekisterinpitäjä”) lukuun UNOVOX-alustan yhteydessä asetuksen (EU) 2016/679 (”tietosuoja-asetus”) 28 artiklan nojalla. Asiakas määrittelee tapaustietojensa käsittelyn tarkoitukset ja keinot; MAINSYSTEMS käsittelee näitä tietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, mukaan lukien alustalla tehdyt asetukset, ellei unionin oikeus tai jäsenvaltion lainsäädäntö sitä edellytä; tässä tapauksessa MAINSYSTEMS ilmoittaa Asiakkaalle ennen käsittelyä, ellei laki kiellä tällaista ilmoittamista.

2. Käsittelyn kuvaus

• Kohde: UNOVOX-alustan isännöinti ja tarjoaminen, mukaan lukien ilmoitusportaali, tapaustenhallinta, viestintä, raportointi, tekninen tuki ja, jos Asiakas ottaa ne käyttöön, AI Agents.
• Kesto: tilauskausi sekä kohdassa 10 tarkoitettu palautus- ja poistojakso.
• Luonne ja tarkoitus: tietojen kerääminen, tallentaminen, järjestäminen, haku, luovuttaminen Asiakkaalle ja poistaminen yksinomaan Asiakkaan ilmoituskanavan ja tapaustenhallinnan toteuttamiseksi.
• Rekisteröityjen ryhmät: ilmoittajat, ilmoituksen kohteet, todistajat ja mainitut kolmannet; Asiakkaan valtuutetut käyttäjät.
• Tietoryhmät: tunniste- ja yhteystiedot, ammatilliset tiedot, ilmoitusten sisältö, viestit ja liitteet, tapaustenhallinnan kirjaukset; nämä voivat syötetystä sisällöstä riippuen sisältää erityisiin henkilötietoryhmiin kuuluvia tietoja (9 artikla) ja rikkomuksia koskevia tietoja (10 artikla).

3. Asiakkaan ohjeet

MAINSYSTEMS ilmoittaa Asiakkaalle välittömästi, jos ohje sen näkemyksen mukaan rikkoo tietosuoja-asetusta tai muita tietosuojasäännöksiä, ja voi keskeyttää kyseisen ohjeen toteuttamisen, kunnes se vahvistetaan tai sitä muutetaan. Asiakas takaa, että sen ohjeet ovat lainmukaisia ja että sillä on oikeusperuste määrittelemälleen käsittelylle.

4. Luottamuksellisuus

MAINSYSTEMS varmistaa, että henkilötietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus ja että pääsy on rajattu siihen, mikä on ehdottoman välttämätöntä palvelun tarjoamiseksi, suojaamiseksi ja tukemiseksi. Ilmoituskanavan kontekstissa luottamuksellisuus kattaa erityisesti ilmoittajien henkilöllisyyden ja tiedot, joista se voidaan päätellä, direktiivin (EU) 2019/1937 16 artiklan sekä Suomessa ilmoittajansuojelulain (1171/2022) 32 §:n mukaisesti; salassa pidettävää on myös ilmoituksen kohteen ja ilmoituksessa mainittujen kolmansien henkilöllisyys.

5. Turvallisuustoimenpiteet

MAINSYSTEMS soveltaa tietosuoja-asetuksen 32 artiklan edellyttämiä riskiin nähden asianmukaisia teknisiä ja organisatorisia toimenpiteitä, tämän version mukaisesti muun muassa: pääsynhallinta ja Asiakkaan määrittelemät roolipohjaiset käyttöoikeudet; tunnistautuminen salatulla salasanojen säilytyksellä; pääsy alustalle HTTPS-yhteyksien kautta; kunkin asiakkaan ympäristön looginen eriyttäminen; ilmoittajien IP-osoitteita ei kirjata ilmoitusportaalissa; toimintalokit hallinta-alueella; säännölliset varmuuskopiot; haavoittuvuuksien hallinta ja poikkeamien käsittelymenettelyt. Päivitetty kuvaus toimenpiteistä on saatavilla pyynnöstä ja se voi kehittyä edellyttäen, ettei suojan kokonaistaso olennaisesti heikkene.

6. Alikäsittelijät

Asiakas antaa yleisen valtuutuksen alikäsittelijöiden käyttöön isännöinnin ja infrastruktuurin, viestinnän, tietoturvan ja, jos ne on otettu käyttöön, tekoälypalvelujen osalta. MAINSYSTEMS ylläpitää luetteloa merkityksellisistä alikäsittelijöistä, joka on Asiakkaan saatavilla pyynnöstä, ja ilmoittaa Asiakkaalle kohtuullisessa ajassa etukäteen olennaisista muutoksista antaen mahdollisuuden vastustaa niitä perustellusta syystä; jos kohtuullista ratkaisua ei löydy, Asiakas voi päättää asianomaisen palvelun. MAINSYSTEMS asettaa kullekin alikäsittelijälle sopimuksin tätä Käsittelysopimusta vastaavat tietosuojavelvoitteet ja vastaa Asiakkaalle niiden noudattamisesta.

7. Asiakkaan avustaminen

Käsittelyn luonne huomioon ottaen MAINSYSTEMS antaa Asiakkaalle kohtuullista apua asianmukaisin teknisin ja organisatorisin toimenpitein sekä alustan toiminnoin, jotta Asiakas voi vastata rekisteröityjen pyyntöihin ja noudattaa tietosuoja-asetuksen 32 artiklasta 36 artiklaan sisältyviä velvoitteita, mukaan lukien tietoturva, tietoturvaloukkauksista ilmoittaminen, vaikutustenarvioinnit ja ennakkokuulemiset. Jos rekisteröity ottaa suoraan yhteyttä MAINSYSTEMSiin Asiakkaan lukuun käsiteltävistä tiedoista, MAINSYSTEMS välittää pyynnön Asiakkaalle ilman aiheetonta viivytystä eikä vastaa asiakysymykseen ilman Asiakkaan ohjetta, paitsi lakisääteisessä tapauksessa. Palvelun puitteissa kohtuullisen ylittävästä avusta voidaan veloittaa kohtuullinen hinta.

8. Henkilötietojen tietoturvaloukkaukset

MAINSYSTEMS ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietäänsä Asiakkaan lukuun käsiteltäviä tietoja koskevan henkilötietojen tietoturvaloukkauksen ja antaa kohtuudella saatavilla olevat tiedot loukkauksen luonteesta, asianomaisten rekisteröityjen ja tietueiden ryhmistä ja likimääräisestä lukumäärästä, todennäköisistä seurauksista sekä toteutetuista tai ehdotetuista toimenpiteistä, ja täydentää tietoja niiden tullessa saataville. Ilmoittaminen valvontaviranomaiselle ja rekisteröidyille on Asiakkaan päätös ja vastuu rekisterinpitäjänä; MAINSYSTEMS tekee kohtuullista yhteistyötä.

9. Kansainväliset siirrot

Tiedot käsitellään Euroopan talousalueella. Siirto ETA:n ulkopuolelle tapahtuu vain tietosuoja-asetuksen V luvun mukaisen pätevän mekanismin nojalla (riittävää tietosuojan tasoa koskeva päätös, Euroopan komission vakiolausekkeet tarvittaessa täydentävin toimenpitein tai muu oikeudellisesti tunnustettu väline), ja se näkyy alikäsittelijätiedoissa.

10. Palauttaminen ja poistaminen

Palvelun päättyessä ja Asiakkaan valinnan mukaan MAINSYSTEMS palauttaa henkilötiedot käytettävissä olevin vientitoiminnoin 30 päivän palautusjakson aikana, ellei Tilauksessa ole sovittu muusta jaksosta, ja poistaa sen jälkeen olemassa olevat tiedot ja kopiot, paitsi siltä osin kuin unionin oikeus tai jäsenvaltion lainsäädäntö edellyttää niiden säilyttämistä. Poistaminen varmuuskopioista tapahtuu turvallisissa kierroissa. Asiakas vastaa siitä, että se vie ennen palautusjakson päättymistä tiedot, joita se tarvitsee täyttääkseen ilmoittajansuojelulain (1171/2022) mukaiset velvoitteensa: vastaanotettujen ilmoitusten kirjaaminen asianhallintarekisteriin tai muu rekisteröinti (37 §:n 1 momentti) sekä ilmoituskanavan kautta saatujen tietojen poistaminen viiden vuoden kuluttua ilmoituksen saapumisesta, jollei säilyttäminen ole välttämätöntä laissa säädettyjen oikeuksien tai velvollisuuksien toteuttamiseksi taikka oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi (29 §:n 2 momentti).

11. Tiedot ja auditoinnit

MAINSYSTEMS antaa Asiakkaan saataville tiedot, jotka ovat tarpeen tietosuoja-asetuksen 28 artiklan noudattamisen osoittamiseksi, mukaan lukien vastaukset tietoturvakyselyihin ja dokumentaatio sovelletuista toimenpiteistä. Asiakas voi suorittaa tai valtuuttaa salassapitovelvollisen riippumattoman tarkastajan suorittamaan merkityksellisiä käsittelytoimia koskevan auditoinnin kohtuullisella ennakkoilmoituksella, enintään kerran vuodessa lukuun ottamatta valvontaviranomaisen vaatimusta tai olennaisen loukkauksen jälkeistä tilannetta, työaikana ja ilman pääsyä muiden asiakkaiden tietoihin. Auditoinnin kustannuksista vastaa Asiakas.

12. Vastuu ja voimassaolo

Osapuolten vastuu tämän Käsittelysopimuksen nojalla määräytyy tietosuoja-asetuksen 82 artiklan ja Palveluehtojen rajoitusten mukaisesti siltä osin kuin niitä voidaan laillisesti soveltaa. Tämä Käsittelysopimus on voimassa niin kauan kuin MAINSYSTEMS käsittelee henkilötietoja Asiakkaan lukuun ja on ensisijainen Ehtojen kanssa ristiriitaisiin määräyksiin nähden henkilötietojen käsittelyä koskevissa asioissa. Siihen sovelletaan Portugalin lakia.

13. Yhteystiedot

MAINSYSTEMS, LDA. (UNOVOX)
Av. da República, 50, 2.º andar, 1050-196 Lissabon, Portugali
Tietosuoja: dpo@mainsystems.pt
Yleiset asiat: info@mainsystems.pt
Puhelin: +351 211 245 202