Henkilötietojen käsittelysopimus
LUONNOS — odottaa juridista tarkistusta. Älä saata voimaan ennen kuin tietosuojaan erikoistunut juristi on arvioinut tämän asiakirjan.
Versio: v1-2026-04
1. Osapuolet
Rekisterinpitäjä ("Asiakas"):
- Nimi: [Yrityksesi nimi]
- Y-tunnus: [Y-tunnus]
- Osoite: [Osoite]
- Yhteystiedot: [sähköposti]
Henkilötietojen käsittelijä ("Toimittaja"):
- Buusti-alusta
- Yhteystiedot: legal@buusti.app
2. Sopimuksen kohde ja kesto
Tämä sopimus täydentää Asiakkaan ja Toimittajan välistä palvelusopimusta ("Palvelusopimus") ja täyttää yleisen tietosuoja-asetuksen (EU 2016/679, "GDPR") 28 artiklan vaatimukset.
Sopimus on voimassa niin kauan kuin Toimittaja käsittelee henkilötietoja Asiakkaan puolesta Palvelusopimuksen perusteella.
3. Käsittelyn luonne, tarkoitus ja kesto
Tarkoitus: Asiakkaan asiakaskunnan ajanvarausten vastaanottaminen, tallentaminen, näyttäminen Asiakkaalle hallintapaneelissa sekä Asiakkaan verkkosivuston ylläpito.
Luonne: Sähköinen tallentaminen ja näyttäminen (SaaS-palvelu).
Kesto: Henkilötietoja säilytetään 365 päivää varauksen päivämäärästä, minkä jälkeen Toimittaja anonymisoi henkilötiedot automaattisesti. Asiakas voi muuttaa säilytysaikaa palvelun hallintapaneelista sovellettavan lainsäädännön sallimissa rajoissa.
4. Käsiteltävien henkilötietojen tyypit
- Asiakkaan asiakkaiden nimi
- Sähköpostiosoite (vapaaehtoinen)
- Puhelinnumero (vapaaehtoinen)
- Osoite (vain palveluissa, jotka edellyttävät asiakkaan luona käyntiä)
- Vapaamuotoiset asiakkaan kirjoittamat lisätiedot
- Varauksen ajankohta, palvelu ja työntekijä
- Suostumustiedot (mitä asiakas hyväksyi varauksen yhteydessä, milloin,
miltä IP-osoitteelta)
5. Rekisteröityjen ryhmät
Asiakkaan loppuasiakkaat, jotka tekevät varauksen Asiakkaan verkkosivustolla.
6. Toimittajan velvollisuudet
Toimittaja sitoutuu:
- Käsittelemään henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti. Asiakkaan ohjeet sisältävät tämän sopimuksen, Palvelusopimuksen sekä Asiakkaan hallintapaneelin asetusten kautta antamat ohjeet (esim. säilytysaika, erityisten henkilötietoryhmien käsittelylippu).
- Varmistamaan, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.
- Toteuttamaan GDPR 32 artiklan mukaiset turvatoimenpiteet, jotka sisältävät tällä hetkellä vähintään: - Salatut tiedonsiirrot (HTTPS/TLS) kaikessa liikenteessä - Pääsynhallinta rooliperustaisesti, monitenanttirakenteen eristys tietokantatasolla (Postgres Row Level Security) - Säännölliset varmuuskopiot - Lokitus käyttäjän toimista (`audit_log`-taulu)
- Pyytämään Asiakkaalta yleisen kirjallisen ennakkohyväksynnän alikäsittelijöiden käytölle. Tällä hetkellä käytössä olevat alikäsittelijät on listattu osoitteessa /subprocessors. Toimittaja ilmoittaa Asiakkaalle kirjallisesti vähintään 14 päivää ennen uuden alikäsittelijän ottamista käyttöön. Asiakkaalla on oikeus vastustaa muutosta perustellusta syystä.
- Avustamaan Asiakasta rekisteröidyn oikeuksien toteuttamisessa (tarkastusoikeus, oikaisu, poisto, käsittelyn rajoittaminen, siirto-oikeus). Toimittaja tarjoaa tähän tarvittavat työkalut palvelun hallintapaneelissa ja /privacy/request-rajapinnan kautta.
- Avustamaan Asiakasta GDPR 32–36 artiklan mukaisissa velvoitteissa (tietoturva, tietoturvaloukkausilmoitukset, vaikutustenarvioinnit).
- Ilmoittamaan tietoturvaloukkauksesta Asiakkaalle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun Toimittaja on saanut tiedon loukkauksesta. Ilmoituksessa annetaan kohtuudella saatavilla olevat tiedot, jotta Asiakas voi täyttää oman 72 tunnin ilmoitusvelvollisuutensa valvontaviranomaiselle (Tietosuojavaltuutettu).
- Palauttamaan tai poistamaan kaikki henkilötiedot Asiakkaan valinnan mukaan sopimuksen päättyessä, ellei Unionin oikeudessa tai jäsenvaltion lainsäädännössä edellytetä säilyttämistä.
- Antamaan Asiakkaalle tämän velvollisuuksien noudattamisen osoittamiseksi tarvittavat tiedot sekä mahdollistamaan auditoinnit ja tarkastukset Asiakkaan tai sen valtuuttaman tarkastajan toimesta. Tarkastukset tehdään kohtuullisin ennakkoilmoituksin Toimittajan tavanomaisina toimistoaikoina.
7. Tietojen siirto EU/ETA-alueen ulkopuolelle
Henkilötietoja käsitellään ja säilytetään EU/ETA-alueella. Tietoja ei siirretä kolmansiin maihin ilman Asiakkaan etukäteistä kirjallista suostumusta ja GDPR 44–49 artiklan mukaisia takeita.
8. Vastuu
Osapuolten vastuu määräytyy Palvelusopimuksen mukaan. Toimittaja vastaa GDPR 82 artiklan mukaisesti niistä vahingoista, jotka aiheutuvat sen tämän sopimuksen tai GDPR:n vastaisesta toiminnasta.
9. Sopimuksen päättyminen
Tämä sopimus päättyy automaattisesti Palvelusopimuksen päättyessä. Päättymisen jälkeen Toimittaja toimii kohdan 6.8 mukaisesti.
10. Sovellettava laki ja riidanratkaisu
Sopimukseen sovelletaan Suomen lakia. Riidat ratkaistaan ensisijaisesti neuvottelemalla. Mikäli neuvottelut eivät tuota tulosta, riidat ratkaistaan Helsingin käräjäoikeudessa.
Hyväksymällä tämän sopimuksen vahvistat, että sinulla on oikeus toimia Asiakkaan puolesta sitovan sopimuksen tekemiseen.