Tietojenkäsittelysopimus

Käsittelijä tuottaa rekisterinpitäjälle Tydyy-palvelun. Käsittely kestää käyttöehtojen mukaisen sopimuksen voimassaolon ajan ja sen jälkeen siihen asti, kunnes henkilötiedot on palautettu tai poistettu kohdan 10 mukaisesti.

Käsittely on henkilötietojen tallentamista, säilyttämistä, järjestämistä, hakua, näyttämistä, varmuuskopiointia ja poistamista palvelussa. Tarkoitus on palvelun tuottaminen: tehtävien, työajan, hinnoittelun, laskutuksen ja kannattavuuden hallinta sekä niihin liittyvä tuki ja tietoturva.

• Rekisterinpitäjän käyttäjät eli sen henkilöstö: nimi, sähköposti, rooli, toimisto ja tiimi, viikkotyöaika, omakustannushinta, henkilönumero palkkajärjestelmässä, tuntikirjaukset, työaikakellon jaksot, poissaolot, lisätyöt, liukuma- ja tuntipankkisaldot, palkanlaskentaan viedyt palkka-aineistot sekä muutoshistoria.
• Sairauspoissaolot: palveluun tallennetaan vain poissaolon laji ja ajankohta, ei diagnoosia eikä muuta terveydentilaa koskevaa tietoa. Tieto sairauspoissaolosta on terveystieto (tietosuoja-asetuksen 9 artikla), jota rekisterinpitäjä käsittelee työnantajana työelämän tietosuojalain (759/2004) 5 §:n mukaisesti. Muille käyttäjille, myös esihenkilölle, poissaolo näkyy vain merkinnällä ”Poissa”; laji näkyy poissaolijalle itselleen ja palkka-aineistossa.
• Asiakasyritysten yhteyshenkilöt: nimi, sähköposti, puhelinnumero sekä laskutus- ja verkkolaskutiedot.
• Asiakkaan tuntemisen (KYC) tiedot rahanpesulain (444/2017) velvoitteiden täyttämiseksi: asiakasyrityksen edustajien ja tosiasiallisten edunsaajien nimi, henkilötunnus, syntymäaika, kansalaisuus, omistus- ja määräysvalta, henkilöllisyysasiakirjan tiedot ja kopio, poliittisesti vaikutusvaltainen asema (PEP), pakotelistaseulonnan tulokset ja riskiarvio.
• Asiakasyrityksiin liittyvät tiedot, jotka voivat koskea luonnollisia henkilöitä, kuten toiminimen harjoittajia, sekä kirjausten selitteisiin, tehtävien muistiinpanoihin ja ohjeisiin kirjoitetut tiedot.
• Käyttöönoton yhteydessä aiemmasta järjestelmästä (esimerkiksi Koho, Netvisor tai Procountor) tuodut tiedot edellä mainituista ryhmistä. Tuonti tehdään kerran käyttöönotossa, ei jatkuvana synkronointina.

Henkilötunnuksia käsitellään vain asiakkaan tuntemisen osiossa, jossa rahanpesulaki edellyttää edustajien ja edunsaajien tunnistamista. Henkilötunnukset ja asiakirjojen numerot tallennetaan salattuina, ne näytetään peitettyinä, ja jokainen avaus kirjataan muutoslokiin. Muihin vapaatekstikenttiin ei ole tarkoitus kirjoittaa henkilötunnuksia eikä terveystietoja; rekisterinpitäjä ohjeistaa käyttäjänsä tästä.

Rekisterinpitäjä vastaa siitä, että sillä on käsittelylle lainmukainen peruste, että rekisteröidyille on annettu tarvittavat tiedot ja että sen palvelussa antamat ohjeet ovat lainmukaisia.

• Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Ohjeita ovat tämä sopimus, käyttöehdot ja rekisterinpitäjän palvelussa tekemät valinnat. Käsittelijä ilmoittaa viipymättä, jos ohje on sen käsityksen mukaan lainvastainen.
• Käsittelijä varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon ja käsittelevät tietoja vain tehtäviensä edellyttämässä laajuudessa.
• Käsittelijä toteuttaa tietosuoja-asetuksen 32 artiklan mukaiset turvatoimet (liite 2).
• Käsittelijä avustaa rekisterinpitäjää rekisteröidyn oikeuksien toteuttamisessa sekä 32–36 artiklan velvoitteissa, kuten vaikutustenarvioinnissa, ottaen huomioon käsittelyn luonteen ja sen käytettävissä olevat tiedot.
• Käsittelijä pitää 30 artiklan 2 kohdan mukaista selostetta käsittelytoimista.

Rekisterinpitäjä voi toteuttaa useimmat rekisteröidyn pyynnöt itse palvelussa: tietojen korjaus, käyttäjän poistaminen käytöstä ja koko aineiston vienti. Jos käsittelijä saa pyynnön suoraan rekisteröidyltä, se ohjaa pyynnön rekisterinpitäjälle viipymättä eikä vastaa siihen itse ilman rekisterinpitäjän ohjetta.

Käsittelijä ilmoittaa rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on havainnut loukkauksen. Ilmoitus tehdään pääkäyttäjän sähköpostiin.

Ilmoituksessa kerrotaan tiedossa olevat seikat: loukkauksen luonne, rekisteröityjen ja tietojen arvioitu määrä, todennäköiset seuraukset ja toteutetut tai ehdotetut toimenpiteet. Tietoja täydennetään sitä mukaa kuin niitä saadaan.

Rekisterinpitäjä antaa käsittelijälle yleisen luvan käyttää liitteessä 1 lueteltuja alihankkijoita. Käsittelijä sitoo alihankkijat kirjallisesti vähintään tämän sopimuksen mukaisiin tietosuojavelvoitteisiin ja vastaa niiden toiminnasta kuin omastaan.

Käsittelijä ilmoittaa uudesta tai vaihtuvasta alihankkijasta vähintään 30 päivää etukäteen. Rekisterinpitäjä voi vastustaa muutosta perustellusta syystä. Jos osapuolet eivät pääse ratkaisuun, rekisterinpitäjä voi irtisanoa sopimuksen päättymään ennen muutoksen voimaantuloa.

Henkilötiedot käsitellään ja säilytetään Euroopan unionin tai Euroopan talousalueen alueella. Tietoja ei siirretä EU:n tai ETA:n ulkopuolelle ilman rekisterinpitäjän ohjetta ja tietosuoja-asetuksen V luvun mukaista siirtoperustetta.

Jos käyttäjä yhdistää palvelun tekoälyavustajaan tai muuhun kolmannen osapuolen palveluun (esim. MCP-yhteys), tiedot siirtyvät käyttäjän pyynnöstä palveluun, jonka rekisterinpitäjä tai käyttäjä on valinnut. Tällaisen palvelun käyttö on rekisterinpitäjän vastuulla, eikä palvelu ole käsittelijän alihankkija.

Rekisterinpitäjän pääkäyttäjä päättää, saavatko käyttäjät yhdistää sovelluksia. Pääkäyttäjä näkee voimassa olevat yhteydet ja voi katkaista ne, ja käyttäjä näkee ja voi katkaista omat yhteytensä milloin tahansa. Yhdistetty sovellus toimii käyttäjän oikeuksilla, eikä se näe asiakkaan tuntemisen tietoja, henkilötunnuksia, palkka-aineistoja eikä poissaoloja. Yhteys vanhenee, jos sitä ei käytetä 30 päivään, ja viimeistään 90 päivän kuluttua valtuutuksesta.

Käsittelijä antaa rekisterinpitäjän pyynnöstä tiedot, jotka osoittavat tämän sopimuksen velvoitteiden noudattamisen. Rekisterinpitäjällä tai sen valtuuttamalla riippumattomalla tarkastajalla on oikeus auditoida käsittely kerran vuodessa tai tietoturvaloukkauksen jälkeen. Auditoinnista sovitaan vähintään 30 päivää etukäteen, ja jokainen osapuoli vastaa omista kustannuksistaan.

• Sopimuksen aikana rekisterinpitäjä päättää säilytyksestä palvelussa: käyttäjä poistetaan käytöstä ja asiakasyritys arkistoidaan, kun tarve päättyy. Kirjaukset ja laskut säilyvät rekisterinpitäjän kirjanpitovelvoitteiden vuoksi.
• Asiakkaan tuntemisen tiedot, myös henkilötunnukset ja asiakirjakopiot, poistetaan palvelusta automaattisesti, kun asiakassuhteen päättymisestä on kulunut viisi vuotta (rahanpesulaki 3 luvun 3 §). Asiakassuhteen päättymispäivä on asiakasyrityksen arkistointipäivä; rekisterinpitäjä vastaa siitä, että asiakas arkistoidaan asiakassuhteen päättyessä.
• Istunnot poistetaan viimeistään 30 päivän kuluttua, käytetyt ja vanhentuneet kirjautumislinkit vuorokauden kuluttua ja sovellusyhteyksien tunnisteet viimeistään 90 päivän kuluttua valtuutuksesta.
• Muutosloki säilyy sopimuksen voimassaolon ajan.

Rekisterinpitäjä voi viedä koko aineistonsa avoimessa muodossa milloin tahansa ja 30 päivän ajan sopimuksen päättymisestä. Sen jälkeen käsittelijä poistaa henkilötiedot palvelusta viimeistään 90 päivän kuluessa sopimuksen päättymisestä ja varmuuskopioista niiden 30 päivän säilytysajan päätyttyä, ellei laki edellytä säilyttämistä.

Poisto koskee kaikkia rekisterinpitäjän tietoja, myös asiakkaan tuntemisen aineistoa. Koska rahanpesulaki velvoittaa rekisterinpitäjää säilyttämään asiakkaan tuntemisen tiedot viisi vuotta asiakassuhteen päättymisestä, rekisterinpitäjän on vietävä tämä aineisto ennen vientiajan päättymistä.

Poiston pyytää käsittelijän nimetty pääylläpitäjä, ja toinen ylläpitäjä hyväksyy sen. Käsittelijä säilyttää tiedon poistosta (ajankohta, pyytäjä ja hyväksyjä) sekä sopimusten hyväksynnät todisteena sopimuksesta. Rekisterinpitäjän pääkäyttäjät saavat poistosta vahvistuksen sähköpostiin.

Tämä sopimus on voimassa niin kauan kuin käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta. Vastuuseen sovelletaan käyttöehtojen vastuunrajoituksia siltä osin kuin vastuuta voi lain mukaan rajoittaa. Ristiriitatilanteessa tämä sopimus on ensisijainen henkilötietojen käsittelyä koskevissa asioissa.

• UpCloud Oy, Suomi: palvelimet, tietokanta ja varmuuskopiot. Sijainti Suomi (Helsinki), varmuuskopiot EU:ssa. [vahvistettava varmuuskopioiden konesali]
• Microsoft Ireland Operations Ltd, Irlanti: Microsoft 365, kirjautumislinkkien, muistutusten ja ilmoitusten sähköpostin lähetys. Sijainti EU. [vahvistettava, tai korvattava käytetyllä SMTP-palvelulla]

Palvelu hakee yritystietoja Patentti- ja rekisterihallituksen avoimesta datasta (YTJ). Haku ei siirrä rekisterinpitäjän henkilötietoja.

• Tilitoimistojen aineistot on eristetty toisistaan sekä sovelluksessa että tietokannan rivitasolla (PostgreSQL Row Level Security). Eristys testataan automaattisesti jokaiselle taululle.
• Liikenne on salattu (HTTPS/TLS). Tietokanta ei ole avoinna internetiin.
• Kirjautuminen tapahtuu kertakäyttöisellä sähköpostilinkillä ja kaksivaiheisella tunnistautumisella (authenticator-sovellus), joka on pakollinen kaikille käyttäjille. Sähköpostitilin kaappaus ei siten yksin riitä pääsyyn. Kaksivaiheisen tunnistautumisen avaimet on salattu.
• Henkilötunnukset ja henkilöllisyysasiakirjojen numerot tallennetaan salattuina, näytetään peitettyinä, ja jokainen avaus kirjataan muutoslokiin.
• Istuntoevästeet ovat suojattuja (HttpOnly, Secure, SameSite). Kirjautumis- ja käyttöoikeustunnuksista tallennetaan vain tiivisteet. Selaimelle annetaan sisältöturvallisuuskäytäntö (CSP), ja palvelun upottaminen muille sivuille on estetty.
• Sovellusyhteydet (OAuth 2.1 ja PKCE): pääsytunnisteet ovat voimassa 15 minuuttia, refresh-tunnisteet kierrätetään ja niiden uudelleenkäyttö mitätöi yhteyden, paluuosoitteet hyväksytään vain sallituille palveluille, ja yhteys pitää valtuuttaa uudelleen viimeistään 90 päivän kuluttua.
• Käyttöoikeudet perustuvat rooleihin. Palvelun ylläpitopääsy on rajattu nimetyille henkilöille kaksivaiheisella tunnistautumisella.
• Muutokset tallentuvat muutoslokiin. Sovellusvirheitä valvotaan, ja niistä ilmoitetaan ylläpidolle.
• Varmuuskopiot otetaan päivittäin ja säilytetään 30 päivää. Palautus testataan säännöllisesti.
• Rekisterinpitäjä voi viedä koko aineistonsa avoimessa muodossa milloin tahansa.

Käsittelijä: UTJ Oy, [katuosoite, postinumero ja -toimipaikka]. Tietosuoja-asiat [tietosuojan sähköposti].