Toimittajan tietosuojaliite

1. TAUSTA JA TARKOITUS

Tämä tietosuojaliite soveltuu Osapuolten väliseen Sopimukseen, kun Toimittaja ja/tai sen Alihankkijat Käsittelevät Asiakkaan Henkilötietoja Sopimuksen perusteella. Asiakas on oikeushenkilö, kuten yritys. Tämä liite ei sovellu kuluttaja-asiakkaiden henkilötietoihin.

Tämän liitteen mukaisessa Henkilötietojen Käsittelyssä Asiakas on Rekisterinpitäjä ja Toimittaja on Henkilötietojen Käsittelijä.

2. MÄÄRITTELYT

“Alihankkija” tarkoittaa kolmansia osapuolia, joita Toimittaja käyttää sopimusvelvoitteidensa täyttämisessä. Selvyyden vuoksi, ne toimittajat, joilta Toimittaja hankki Asiakkaalle toimitettavia tuotteita, eivät ole Toimittajan alihankkijoita.

“Erillinen Hinnoittelu” on määritelty kohdassa 3.

“Henkilötiedot” tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (jäljempänä ”Rekisteröity”) liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

”Henkilötietojen Käsittelijä” tarkoittaa luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka Käsittelee henkilötietoja Rekisterinpitäjän lukuun.

“Henkilötietojen Tietoturvaloukkaus”tarkoittaa tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen Henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy Henkilötietoihin.

“Käsittely” tarkoittaa toimintoa tai toimintoja, joita kohdistetaan Henkilötietoihin tai Henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.

“Laki” ja ”Lait” tarkoittaa Euroopan Unionin yleistä tietosuoja-asetusta (679/2016) ja muita soveltuvia Suomessa voimassa olevia tietosuojasäännöksiä.

“Rekisterinpitäjä” tarkoittaa luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee Henkilötietojen Käsittelyn tarkoitukset ja keinot; jos tällaisen Käsittelyn tarkoitukset ja keinot määritellään Euroopan Unionin tai jäsenvaltioiden lainsäädännössä, Rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa Euroopan Unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.

”Rekisteröity” on määritelty yllä “Henkilötietojen” määrittelyn yhteydessä.

“Sopimus” tarkoittaa yhteistyösopimusta, johon tämä liite on liitetty tai johon tätä liitettä muuten sovelletaan.

3. KÄSITTELY

Henkilötietojen tyyppi ja Rekisteröityjen ryhmät ovat:

• Asiakkaan työntekijöiden ja edustajien Henkilötiedot, jotka ovat tarpeen Toimittajan tuotteiden ja palveluiden toimittamiseksi Asiakkaalle: nimi, osoite, puhelinnumero, sähköpostiosoite ja muut yhteystiedot

Käsittelyn kohde on em. Henkilötiedot ja Käsittelyn kesto on Sopimuksen ajan.

Käsittelyn luonne ja tarkoitus on Sopimuksen mukaisten tuotteiden ja palveluiden toimittaminen.

Toimittaja käsittelee Henkilötietoja ainoastaan Asiakkaan antamien dokumentoitujen ohjeiden mukaisesti, ja tällaiset ohjeet ovat alla liitteenä 1 tässä tietosuojaliitteessä, paitsi jos Toimittajaan sovellettavassa lainsäädännössä toisin vaaditaan. Selvyyden vuoksi todetaan, että Asiakas voi myös antaa sähköpostitse tai kirjallisesti myöhemmin ohjeita asiassa. Siinä tapauksessa, että Toimittajaan sovellettavassa lainsäädännössä toisin vaaditaan, Toimittaja tiedottaa Asiakkaalle tästä oikeudellisesta vaatimuksesta ennen Käsittelyä, paitsi jos tällainen tiedottaminen kielletään laissa.

Toimittaja varmistaa, että sen ja sen Alihankkijoiden henkilöstö, joilla on oikeus Käsitellä Henkilötietoja sen puolesta, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

Jos Toimittaja on Lakien tai muun sovellettavan lainsäädännön, määräysten tai viranomaisten päätösten perusteella velvollinen tai Toimittajaa ohjeistetaan tai velvoitetaan avustamaan Asiakasta Asiakkaan Henkilötietoihin liittyvien velvollisuuksien täyttämisessä, kuten jos Asiakkaan tulee vastata Rekisteröityjen tai viranomaisten tietopyyntöihin tai jos Toimittajan tulee muuten suorittaa tehtäviä, jotka eivät ole sen tuotteiden tai palveluiden toimituksiin sisältyviä tehtäviä, Asiakkaan on maksettava Toimittajalle erillinen hinta näistä tehtävistä Toimittajan tunti-/päivähinnaston mukaisesti (“Erillinen Hinnoittelu”). Nämä tehtävät voivat olla esim. Henkilötietojen siirtämistä, poistamista tai korjaamista tai tietojen Henkilötiedoista ilmoittamista tai tietojen kyseisiin tarkoituksiin keräämistä tai auditointien tai tarkastusten sallimista.

Erillisen Hinnoittelun mukaisella hinnalla ja ottaen huomioon käsittelytoimen luonteen, Toimittaja auttaa Asiakasta asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään Asiakkaan velvollisuuden vastata pyyntöihin, jotka koskevat Rekisteröidyn oikeuksien käyttämistä Lakien mukaan.

Erillisen Hinnoittelun mukaisella hinnalla, Toimittaja auttaa varmistamaan, että Asiakas voi noudattaa Lakien mukaisia velvollisuuksiaan Käsittelyn turvallisuutta koskevien velvoitteiden täyttämisessä, Henkilötietojen Tietoturvaloukkausten ilmoittamisessa valvontaviranomaiselle tai Rekisteröidylle, tietosuojaa koskevassa vaikutustenarvioinnissa ja valvontaviranomaisen ennakkokuulemisessa.

Erillisen Hinnoittelun mukaisella hinnalla, Toimittaja Asiakkaan valinnan mukaan poistaa tai palauttaa Sopimuksen päätyttyä kaikki Henkilötiedot Asiakkaalle ja poistaa olemassa olevat Henkilötietojen jäljennökset, paitsi jos lainsäädännössä vaaditaan säilyttämään henkilötiedot tai jos Toimittajalla on tarve säilyttää se lainmukaisin edellytyksin oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

Erillisen Hinnoittelun mukaisella hinnalla, Toimittaja saattaa Asiakkaan saataville tiedot, jotka ovat tarpeen tässä sopimuskohdassa säädettyjen velvollisuuksien noudattamisen osoittamista varten, ja sallii Asiakkaan tai muun Asiakkaan valtuuttaman auditoijan suorittamat auditoinnit, kuten tarkastukset, sekä osallistuu niihin. Auditoija ei saa olla Toimittajan kilpailija, ja auditoinnin ajankohdasta on sovittava etukäteen Toimittajan kanssa.

Joidenkin Henkilötietojen käsittelyyn sovelletaan myös Toimittajan tietosuojaselostetta, joka on saatavilla kulloinkin muutettuna osoitteesta https://www.verkkokauppa.com/fi/ohjeet/tietosuojaseloste.

4. ALIHANKKIJOIDEN KÄYTTÖ

Asiakas antaa täten yleisen kirjallisen ennakkoluvan, että Toimittaja saa käyttää Alihankkijan palveluksia Henkilötietojen Käsittelyssä. Toimittajan lista kulloisistakin Alihankkijoista on osoitteessa https://www.verkkokauppa.com/fi/ohjeet/alikasittelijat. Jos Asiakas ei hyväksy uutta Alihankkijaa, Toimittajalla tai Asiakkaalla on oikeus irtisanoa Sopimus kolmenkymmenen (30) päivän irtisanomisajalla. Kuitenkaan jo tehtyjä tuotteiden tai palveluiden tilauksia tai kauppasopimuksia tai muita sopimuksia niiden toimittamisesta ei voi irtisanoa tai peruuttaa.

Kun Toimittaja käyttää Alihankkijan palveluksia erityisten käsittelytoimintojen suorittamiseksi Asiakkaan puolesta, kyseiseen toiseen Alihankkijaan sovelletaan samoja tietosuojavelvoitteita kuin tässä liitteessä.

5. ASIAKKAAN VELVOITTEISTA

Asiakas on tämän liitteen mukaisesti Käsiteltävien Henkilötietojen Rekisterinpitäjä. Asiakas on vastuussa mm. Henkilötietojen oikeellisuudesta, ja että Toimittajalla ja Alihankkijoilla on oikeus Käsitellä Henkilötietoja. Asiakas on vastuussa siitä, että sen Toimittajalle tai sen Alihankkijoille toimittamat Henkilötiedot ovat henkilötietolainsäädännön mukaisia ja että ne on luovutettu Toimittajalle ja Alihankkijoille henkilötietolainsäädännön edellyttämällä tavalla. Toimittaja on Rekisterinpitäjä kuitenkin niiden Henkilötietojen osalta, joiden käsittelyyn sovelletaan Toimittajan tietosuojaselostetta.

6. TIETOTURVA

Ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, Käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, Asiakkaan ja Toimittajan on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet Henkilötietojen suojaamiseksi, kuten

a) henkilötietojen pseudonymisointi ja salaus;

b) kyky taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;

c) kyky palauttaa nopeasti Henkilötietojen saatavuus ja pääsy Henkilötietoihin fyysisen tai teknisen vian sattuessa;

d) menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

7. ILMOITUS HENKILÖTIETOJEN TIETOTURVALOUKKAUKSESTA

Toimittajan on ilmoitettava Henkilötietojen Tietoturvaloukkauksesta Asiakkaalle ilman aiheetonta viivytystä saatuaan sen tietoonsa.

8. HENKILÖTIETOJEN SIIRTO KOLMANSIIN MAIHIN JA MUITA EHTOJA

Toimittaja ei siirrä Henkilötietoja Euroopan talousalueen tai Euroopan Unionin ulkopuolisiin maihin, jollei sillä ole oikeutusta siihen Lakien perusteella tai jollei Asiakas anna siihen suostumustaan. Oikeus Lakien perusteella voi olla esimerkiksi Euroopan Unionin Komission mallilausekkeiden solmiminen tai muu lainmukainen peruste.

Selvyyden vuoksi todetaan, että Sopimuksen vastuunrajoituksia sovelletaan myös tähän liitteeseen.

LIITE 1. ASIAKKAAN ANTAMAT HENKILÖTIETOJEN KÄSITTELYOHJEET

1. HENKILÖTIETOA KÄSITTELEVÄT HENKILÖT

Toimittaja rajoittaa pääsyn Asiakkaan Henkilötietoihin siten, että vain valtuutetuilla ja asianmukaisesti koulutetuilla henkilöillä on niihin pääsy. Sekä Käsitellyt Henkilötiedot että henkilöt, joilla on Henkilötietoihin pääsy, rajoitetaan vain siihen, mikä on kulloinkin tarpeellista liittyen tiettyyn Käsittelyn toimenpiteisiin.

Toimittaja varmistaa, että sen ja sen Alihankkijoiden henkilöstö, joilla on oikeus Käsitellä Henkilötietoja sen puolesta, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee lakisääteinen salassapitovelvollisuus.

2. TIETOSUOJAN JA TIETOTURVAN HALLINNOINTI

Toimittajalla on kattava tietosuojan ja tietoturvallisuuden hallintapolitiikka, jota sovelletaan Asiakkaalle tarjottaviin palveluihin. Toimittaja käy kyseisen politiikan läpi vuosittain ja päivittää sitä tarpeen mukaan. Politiikassa on muun muassa johdolle ja työntekijöille ohjeita ja tukea tietosuojan ja tietoturvan kysymyksissä liiketoiminnan vaatimusten ja sovellettavien lakien mukaisesti.

3. TILATURVALLISUUS

Toimittaja on vastuussa omien toimitilojensa tilaturvallisuudesta ja relevanttien määräysten antamisesta pyrkiessään varmistamaan, että ainoastaan sellaisilla henkilöillä, joita tarvitaan Sopimuksen toteuttamiseksi, on pääsy Asiakkaan Henkilötietoihin kohdan 1.1 mukaisesti. Toimittaja pyrkii varmistamaan myös ylläpitotoimien aikana Henkilötietojen tietosuojan ja tietoturvallisuuden.

4. TIETOLIIKENNE

Tarvittaessa salataan Sopimukseen ja sen toteuttamiseen liittyvä tietoliikenne Toimittajan ja Asiakkaan välillä. Mahdollinen manuaalinen tiedonsiirto tapahtuu ottaen huolellisesti huomioon siirrettävien tietojen suojausluokitukset.

5. HENKILÖTIETOJEN KÄSITTELYN LOKITIEDOT

Toimittajan on kohtuullisesti harkittava auditointilokien käyttöä sellaisissa Toimittajan järjestelmissä tai sovelluksissa, jotka sisältävät Henkilötietoja. Mahdollisia lokeja säilytetään kohtuullisen ajan verran siten, kuin sovellettava laki kussakin tilanteessa edellyttää.