Palveluehtojen (”Ehdot”) mukaisesti Smartsupp tarjoaa sinulle Palvelun käyttäjänä Palvelua Ehdoissa määritellyllä tavalla. Smartsuppin ja käyttäjän välinen suhde perustuu siten käyttäjän verkkorekisteröitymiseen tai kirjalliseen tai sähköiseen sopimukseen, johon Ehdot on liitetty. Nämä muodostavat yhdessä sinun ja Smartsuppin välisen sopimuksen ("Sopimus"). Tämä tietojenkäsittelyä koskeva liite (jäljempänä "DPA") on erottamaton osa Sopimusta.

Isolla alkukirjaimella kirjoitetuilla sanoilla on sama merkitys kuin Ehdoissa tai muussa Ehdoissa mainitussa liitteessä, ellei tässä DPA:ssa toisin määrätä.

Smartsupp tekee tämän DPA:n sovellettavan tietosuojalainsäädännön, kuten luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta annetun Euroopan parlamentin ja neuvoston asetuksen 2016/679 (”GDPR”) , Data Protection Act 2018 -lain tai CCPA/CPRA:n sekä muun Sopimuksen mukaiseen Palvelun tarjoamiseen sovellettavan tietosuojalainsäädännön (”Sovellettava tietosuojalainsäädäntö”).

Kun tässä DPA:ssa määrätään Smartsuppin toimivan henkilötietojen käsittelijänä, tällä tarkoitetaan GDPR:n mukaista ”käsittelijää” ja muita vastaavia käsitteitä muussa sovellettavassa tietosuojalainsäädännössä (esimerkiksi CCPA:ssa määriteltyä ”palveluntarjoajaa”). Kun tässä DPA:ssa määrätään sinun toimivan rekisterinpitäjänä, tällä tarkoitetaan GDPR:n mukaista ”rekisterinpitäjää” ja muita vastaavia käsitteitä sovellettavassa tietosuojalainsäädännössä (esimerkiksi CCPA:ssa määriteltyä ”yritystä”).

Olemme jakaneet artikkelin seuraaviin osioihin:

1.1 Henkilötietojen käsittely henkilötietojen käsittelijänä.Smartsupp voi käsitellä henkilötietoja käyttäjän puolesta tarjotessaan käyttäjälle Palvelua, jolloin Smartsupp toimii käyttäjään nähden henkilötietojen käsittelijänä (tai alikäsittelijänä).

Smartsuppin suorittamat käsittelytoimet perustuvat rekisteröitymiseen, Sopimukseen tai käyttäjän Palvelun tarjoamisen aikana tekemiin dokumentoituihin pyyntöihin alustan kautta, joka on saatavilla osoitteessa https://www.smartsupp.com (”Alusta”).

1.2 Valtuutus henkilötietojen käsittelyyn.Käyttäjä valtuuttaa täten Smartsuppin käsittelemään käyttäjän toimittamia rekisteröityjen henkilötietoja Palvelun mukaisesti tässä DPA:ssa määritellyllä tavalla. Smartsupp käsittelee henkilötietoja käyttäjän puolesta käyttäjän dokumentoitujen ohjeiden mukaisesti ja vain siinä määrin kuin on tarpeen Smartsuppin Sopimuksen mukaisten velvollisuuksien asianmukaiseksi täyttämiseksi.

1.3 Käyttäjän vastuu. Kun Smartsupp toimii henkilötietojen käsittelijänä, käyttäjä toimii rekisterinpitäjänä ja vastaa siten kaikkien henkilötietojen käsittelyyn liittyvien velvollisuuksien täyttämisestä. Näihin velvollisuuksiin kuuluvat rekisteröityjen asianmukainen informointi henkilötietojen käsittelystä, tarvittaessa suostumuksen hankkiminen henkilötietojen käsittelyyn sekä rekisteröityjen oikeuksien käyttämistä koskevien pyyntöjen käsittely (kuten oikeus saada tietoja, pääsy tietoihin, tietojen oikaiseminen ja poistaminen, käsittelyn rajoittaminen, vastustaminen jne.). Smartsupp auttaa käyttäjää näiden velvollisuuksien täyttämisessä Alustan kautta tai käyttäjän dokumentoitujen pyyntöjen perusteella. Smartsupp ei kuitenkaan vastaa millään tavoin käyttäjän toiminnan oikeellisuudesta ja lainmukaisuudesta, mukaan lukien toiminta, joka saattaa rikkoa tietosuojalainsäädäntöä tai muuta lainsäädäntöä siinä maassa, josta käyttäjä käyttää Palvelua.

2.1 Käsittelyn kohde. Smartsuppin suorittaman jäljempänä määriteltyjen henkilötietojen käsittelyn kohteena on Palvelun tarjoaminen Sopimuksessa määritellyllä tavalla, erityisesti henkilötietojen käsittely silloin, kun käytät Palvelumme ominaisuuksia Verkkosivustolla kuvatulla tavalla.

2.2 Henkilötietojen tyypit. Sopimuksen mukaisten velvollisuuksien täyttämisen ja Palvelun tarjoamisen yhteydessä voidaan käsitellä seuraavia henkilötietotyyppejä tämän DPA:n mukaisesti:

a) Yhteystiedot, kuten etunimi, sukunimi, sähköpostiosoite, puhelinnumero tai sosiaalisen verkoston tilin yhteystieto,

b) Tiedot käyttäjän verkkosivustolla vierailusta, kuten vieraillun verkkosivuston URL, vierailun päivämäärä ja kellonaika, tekniset tiedot (näytön tarkkuus, laitetyyppi, selaintyyppi, käyttöjärjestelmä jne.), IP-osoite, maantieteelliset sijaintitiedot (maa ja kaupunki, josta käyttäjä katseli verkkosivustoasi),

c) Tiedot, jotka sisältyvät käyttäjien ja asiakkaiden tai muiden käyttäjien välisiin keskusteluihin Palvelun ominaisuuksia käytettäessä,

d) Tekniset lokit ja muut tiedot Palvelua käyttävistä käyttäjistä (Smartsupp käyttää kolmansien osapuolten työkaluja tällaisten tietojen keräämiseen),

e) Muut käyttäjän lataamat tai muulla tavoin käyttämät henkilötiedot, tai

f) Henkilötiedot, joiden tyypin, laajuuden ja yksityiskohdat käyttäjä määrittää ja joita käyttäjä hallinnoi yksinomaisen harkintansa mukaan Palvelun tarjoamisen aikana.

Henkilötietojen laajuus riippuu käyttäjän käyttämistä Palvelun ominaisuuksista. Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluvien tietojen säilyttämiseen. Käyttäjä ei saa käyttää Palvelua erityisiin henkilötietoryhmiin kuuluvien tietojen säilyttämiseen tai käsittelyyn. Jos käyttäjä käsittelee niitä Palvelun kautta, Smartsupp ei ota vastuuta tällaisesta käsittelystä.

2.3 Rekisteröityjen ryhmät. Smartsupp käsittelee seuraavia rekisteröityjen ryhmiä koskevia henkilötietoja:

a) Käyttäjän työntekijät (sekä muut työntekijät ja käyttäjän puolesta toimivat henkilöt);

b) Henkilöt, joille käyttäjä on luonut tilin Palveluun;

c) Käyttäjän asiakkaat ja muut käyttäjät, joille Palvelua tarjotaan;

d) Käyttäjän verkkosivuston kävijät;

e) Muut henkilöt, joiden henkilötietoja käyttäjä on toimittanut Smartsuppille Palvelun tarjoamisen aikana ja joiden henkilötietoja on tallennettu tai muuten käsitelty käyttäjälle tarjottavan Palvelun mukaisesti.

3.1 Henkilötietojen käsittelyn luonne. Smartsupp käsittelee henkilötietoja automatisoidusti ja sähköisesti. Käsittely koostuu pääsystä henkilötietoihin osana Palvelun tarjoamista, henkilötietojen katselusta ja säilyttämisestä sekä muista toimista, jotka voivat liittyä Palvelun tarjoamiseen käyttäjälle. Henkilötietojen käsittelyn luonne määräytyy seuraavien perusteella:

a) Osapuolten tekemä Sopimus;

b) Käyttäjän tai muiden käyttäjän puolesta Alustaa käyttävien valtuutettujen käyttäjien pyynnöt;

c) Palvelun ja Alustan luonne;

d) Muut käyttäjän antamat dokumentoidut ohjeet.

3.2 Käsittelyn tarkoitus. Käsittelyn tarkoituksia ovat Palvelun tarjoaminen käyttäjälle Ehdoissa määritellyllä tavalla sekä muut tarkoitukset, jotka voivat johtua Palvelun tarjoamisesta.

4.1 Henkilötietojen käsittelyn kesto.Henkilötietoja käsitellään Sopimuksen voimassaolon ajan tai niin kauan kuin käyttäjä antaa Smartsuppille ohjeita Sopimuksen täyttämiseen liittyen. Smartsupp sitoutuu noudattamaan tietosuojalainsäädännössä asetettuja velvollisuuksia koko Sopimuksen voimassaolon ajan, ellei Sopimuksesta selvästi ilmene, että niiden noudattamista on jatkettava sen päättymisen jälkeen.

4.2 Henkilötietojen palauttaminen ja poistaminen. Jos Sopimus päättyy, Smartsupp poistaa kaikki Palvelun tarjoamista varten säilytetyt henkilötiedot 3 kuukauden kuluessa päättymisestä siinä määrin kuin sovellettava tietosuojalainsäädäntö sallii. Jos Käyttäjä pyytää Smartsuppilta edellä mainitun määräajan kuluessa tietojen palauttamista, Smartsuppilla on oikeus periä kohtuullinen maksu, jonka määrä ilmoitetaan etukäteen.

5.1 Smartsuppin velvollisuudet.Henkilötietoja käsitellessään Smartsupp sitoutuu:

a) Käsittelemään henkilötietoja yksinomaan käyttäjän dokumentoitujen ohjeiden perusteella; selvyyden vuoksi Sopimuksen mukaisten velvollisuuksien täyttämiseksi suoritettavan henkilötietojen käsittelyn katsotaan tapahtuvan käyttäjän ohjeiden mukaisesti;

b) Noudattamaan käyttäjän ohjeita henkilötietojen siirtämisestä kolmanteen maahan tai kansainväliselle järjestölle, ellei Smartsuppiin sovellettava Euroopan unionin tai jäsenvaltion lainsäädäntö jo edellytä tällaista käsittelyä;

c) Varmistamaan, että henkilötietojen käsittelyyn valtuutettuja henkilöitä sitoo salassapitovelvollisuus tai lakisääteinen salassapitovelvollisuus;

d) Auttamaan käyttäjää mahdollisuuksien mukaan asianmukaisin teknisin ja organisatorisin toimenpitein täyttämään velvollisuutensa vastata rekisteröityjen oikeuksien käyttämistä koskeviin pyyntöihin käsittelyn luonne huomioon ottaen; rekisteröityjen pyyntöjen käsittelyä koskevat säännöt määritellään tämän DPA:n kohdassa 5.2;

e) Auttamaan käyttäjää täyttämään velvollisuutensa (i) varmistaa käsittelyn turvallisuustaso, (ii) ilmoittaa henkilötietojen tietoturvaloukkauksista tietosuojaviranomaiselle ja tarvittaessa rekisteröidyille, (iii) arvioida vaikutukset henkilötietojen suojaan ja (iv) suorittaa ennakkokuuleminen tietosuojaviranomaisen kanssa, kaikissa tapauksissa käsittelyn luonne ja käsiteltävien henkilötietojen luonne huomioon ottaen;

f) Sallimaan käyttäjän tai käyttäjän valtuuttaman henkilön tarkistaa (mukaan lukien auditointi tai tarkastus) tämän DPA:n noudattamisen, erityisesti siitä johtuvien henkilötietojen käsittelyä koskevien velvollisuuksien täyttämisen, ja osallistumaan tällaisiin tarkistuksiin käyttäjän tai valtuutetun henkilön kohtuullisten ohjeiden mukaisesti; auditointeja koskevat erityiset säännöt määritellään tämän DPA:n kohdissa 5.3 ja 5.4;

g) Antamaan käyttäjälle kaikki tiedot, joita Smartsuppilta voidaan kohtuudella odottaa sen osoittamiseksi, että asiaankuuluvassa tietosuojalainsäädännössä asetetut velvollisuudet on täytetty.

5.2 Rekisteröityjen pyynnöt. Jos rekisteröity ottaa suoraan yhteyttä Smartsuppiin, Smartsupp ilmoittaa rekisteröidylle, että tämän tulee osoittaa pyyntö suoraan käyttäjälle. Smartsupp pyrkii ainoastaan kaupallisesti kohtuullisin toimin auttamaan käyttäjää vastaamaan tällaiseen rekisteröidyn pyyntöön siinä määrin kuin Smartsuppilla on siihen lain mukaan oikeus. Käyttäjä vastaa kaikista tällaisen avun tarjoamisesta Smartsuppille aiheutuvista kustannuksista ja pyynnön asianmukaisesta käsittelystä.

5.3 Auditointia koskevat säännöt. Käyttäjän on lähetettävä kaikki auditointia (tarkistusta) koskevat pyynnöt yksinomaan Smartsuppin sähköpostiosoitteeseen dpo@smartsupp.com, kohtuullisin väliajoin. Auditointipyynnön vastaanottamisen jälkeen osapuolet sopivat etukäteen (i) auditoinnin mahdollisesta päivämäärästä, (ii) turvatoimista ja siitä, miten salassapitovelvollisuuksien noudattaminen varmistetaan auditoinnin aikana, sekä (iii) auditoinnin odotetusta aloituksesta, laajuudesta ja kestosta. Jos sopimukseen ei päästä 30 päivän kuluessa pyynnön päivämäärästä, Smartsupp määrittää auditoinnin ehdot.

5.4 Auditoija.Smartsupp voi esittää kirjallisen vastalauseen käyttäjän nimeämää auditoijaa (valtuutettua henkilöä) kohtaan, jos auditoija ei Smartsuppin näkemyksen mukaan ole riittävän pätevä tai riippumaton, kilpailee Smartsuppin kanssa tai on muuten ilmeisen sopimaton. Vastalauseen jälkeen käyttäjän on nimettävä toinen auditoija tai suoritettava auditointi itse. Käyttäjän on viipymättä ilmoitettava Smartsuppille auditoinnissa havaitusta sovellettavan tietosuojalainsäädännön tai tämän DPA:n noudattamatta jättämisestä.

5.5 Auditoinnin laajuus. Käyttäjän suorittama auditointi kattaa vain asiakirjat ja prosessit, jotka liittyvät suoraan kyseisen käyttäjän Palvelun käyttöön.

5.6 Alikäsittelijät. Käyttäjä hyväksyy muiden alikäsittelijöiden osallistumisen henkilötietojen käsittelyyn. Käyttäjälle tarjottavan tai käyttäjän pyytämän Palvelun tyypistä riippuen Smartsupp voi käyttää muita alikäsittelijöitä tai jakaa henkilötietoja muiden henkilötietojen vastaanottajien kanssa. Käyttäjä hyväksyy, että Smartsupp käyttää seuraavassa osoitteessa lueteltuja alikäsittelijöitä: https://help.smartsupp.com/fi/articles/12647685

5.7 Muita alikäsittelijöitä koskevat vastalauseet. Smartsupp ilmoittaa käyttäjälle uuden alikäsittelijän käyttämisestä kirjallisesti tai päivittämällä alikäsittelijöiden luetteloa ennen uuden alikäsittelijän käyttöönottoa. Käyttäjä voi vastustaa uuden alikäsittelijän käyttämistä 10 arkipäivän kuluessa ilmoituksesta. Jos käyttäjä ei esitä vastalausetta määräajassa, Smartsupp ottaa uuden alikäsittelijän käyttöön. Jos käyttäjä esittää vastalauseen, Smartsupp arvioi sen ja, jos se katsoo vastalauseen perustelluksi, jättää uuden alikäsittelijän ottamatta käyttöön tai tekee kaupallisesti kohtuullisen muutoksen käyttäjän määrityksiin tai Palvelun käyttöön välttääkseen kyseisen alikäsittelijän suorittaman käsittelyn. Jos muutos ei ole mahdollinen, Smartsupp voi päättää käyttäjän kanssa tehdyn Sopimuksen (tai osan siitä) tai jättää tarjoamatta sen Palvelun osan, johon uusi alikäsittelijä liittyy, ilman että sen katsotaan laiminlyövän tai rikkovan mitään velvollisuutta. Smartsupp palauttaa käyttäjälle kaikki ennakkoon maksetut maksut, jotka kattavat tällaisen Sopimuksen jäljellä olevan voimassaoloajan päättymisen voimaantulopäivän jälkeen päättyneen Palvelun osalta, määräämättä käyttäjälle seuraamusta tällaisesta päättämisestä.

5.8 Muita alikäsittelijöitä koskevat velvollisuudet.Jos Smartsupp käyttää toista alikäsittelijää, tämän alikäsittelijän on sitouduttava sopimuksella samoihin henkilötietojen suojaamista koskeviin velvollisuuksiin kuin käyttäjän ja Smartsuppin välillä on sovittu sekä toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet.

5.9 Vastuu alikäsittelijästä.Smartsupp vastaa alikäsittelijöidensä teoista ja laiminlyönneistä samassa laajuudessa kuin se vastaisi, jos kukin alikäsittelijä tarjoaisi Palvelua suoraan tämän DPA:n ehtojen mukaisesti, ellei Sopimuksessa toisin määrätä.

5.10 DPA:n täyttämiseen liittyvät kustannukset. Ellei kirjallisesti toisin sovita, käyttäjä vastaa omista DPA:n täyttämiseen liittyvistä kustannuksistaan. Smartsuppilla on oikeus veloittaa käyttäjältä kohtuulliset kustannukset, jotka aiheutuvat minkä tahansa pyynnön käsittelystä ja tämän DPA:n mukaisen velvollisuuden täyttämisestä.

6.1 Velvollisuus suojata henkilötiedot.Smartsupp on ottanut käyttöön ja ylläpitää teknisiä ja organisatorisia toimenpiteitä estääkseen luvattoman tai tahattoman pääsyn henkilötietoihin, niiden muuttamisen, tuhoamisen tai menettämisen, luvattomat siirrot, muun luvattoman käsittelyn tai muun henkilötietojen luvattoman väärinkäytön. Smartsupp valvoo säännöllisesti näiden toimenpiteiden noudattamista.

6.2 Erityiset turvatoimet.Smartsupp on ottanut käyttöön ja ylläpitää seuraavia toimenpiteitä riittävän turvallisuustason varmistamiseksi:

Tekniset toimenpiteet:

a) Henkilötietojen pseudonymisointi ja salaus:

Alusta, jolla henkilötietoja käsitellään, sallii saapuville verkkoyhteyksille vain suojatut kanavat tai protokollat; Smartsupp salaa tiedot SSL/TLS:n avulla kaikessa tiedonsiirrossa

Henkilötietoja käsittelevät IT-järjestelmät sallivat vain suojatut kanavat tai protokollat;

Salausavaimia hallinnoidaan turvallisesti.

b) Kyky varmistaa käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, saatavuus ja häiriönsietokyky:

Fyysinen pääsy on sallittu vain Smartsuppin valtuutetuille henkilöstön jäsenille;

Smartsupp on ottanut käyttöön mekanismeja rajoittaakseen fyysistä tai verkon kautta tapahtuvaa pääsyä henkilötietoja sisältäville palvelimille;

Luvattomien henkilöiden pääsy henkilötietoihin ja henkilötietojen luvaton käyttö estetään;

Henkilötietojen käsittelyyn valtuutetuilla henkilöillä on pääsy vain tarvitsemiinsa henkilötietoihin, joihin heillä on käyttöoikeus, eikä henkilötietoja voi lukea, kopioida, muuttaa tai poistaa luvatta käsittelyn aikana;

Pääsy edellyttää vahvaa todentamista (esimerkiksi vahvoja salasanoja);

Käyttöoikeudet tarkistetaan määräajoin;

Pääsy-yritykset (sekä onnistuneet että epäonnistuneet) kirjataan lokiin ja niitä valvotaan;

Smartsuppin henkilöstö ei saa ladata eikä käsitellä henkilötietoja paikallisesti työasemillaan tai missään muussa verkkosijainnissa;

Kaikki Alustan mahdolliset häiriöt ja poikkeamat kirjataan lokiin.

c) Kyky palauttaa henkilötietojen saatavuus ja pääsy niihin oikea-aikaisesti fyysisen tai teknisen häiriön sattuessa:

Smartsupp on ottanut käyttöön varmuuskopiointiprosessin, -mekanismin ja -työkalut;

Palautusmenettelyä, tietojen luettavuutta ja varmuuskopioiden eheyttä testataan määräajoin.

d) Smartsupp on ottanut käyttöön prosessin käsittelyn turvallisuuden varmistamiseksi toteutettujen teknisten ja organisatoristen toimenpiteiden tehokkuuden säännöllistä testaamista, arviointia ja tarkastelua varten.

e) Henkilötietoja ei voi muuttaa tai poistaa luvatta sähköisen siirron, kuljetuksen tai säilytyksen aikana, ja kaikkien siirtojen vastaanottajatahot voidaan selvittää ja todentaa.

Organisatoriset toimenpiteet:

f) Kaikille henkilötietojen käsittelyyn osallistuville henkilöstön jäsenille on ilmoitettu henkilötietojen luottamuksellisuudesta, he ovat saaneet asianmukaisen koulutuksen vastuualueistaan ja tehneet kirjalliset salassapitosopimukset.

g) Smartsupp on ottanut käyttöön sisäisiä ohjeita ja prosesseja henkilötietojen käsittelyn turvaamiseksi sovellettavan tietosuojalainsäädännön mukaisesti.

h) Asiakas voi lähettää tätä DPA:ta, tietosuojalainsäädännön noudattamista, tietosuojaa tai muita yksityisyydensuojaan liittyviä asioita koskevat kysymykset sähköpostitse osoitteeseen dpo@smartsupp.com.

6.3 Tietoturvahäiriöt.Jos Smartsupp havaitsee henkilötietojen tietoturvaloukkauksen, sen on ilmoitettava siitä käyttäjälle ilman aiheetonta viivytystä, viimeistään 48 tunnin kuluessa tietoturvahäiriön havaitsemisesta, ja pyrittävä kohtuullisin toimin antamaan käyttäjälle kaikki tiedossa olevat tiedot tapahtumasta, rajoittuen seuraaviin:

Smartsupp vastaa käyttäjän tietoturvaloukkauksen yhteydessä esittämiin avunpyyntöihin aiheettomalla viiveellä.

6.4 Lainvastaiset ohjeet.Jos käyttäjä ohjeistaa Smartsuppia siten, että tietosuojalainsäädännön mukaisia velvollisuuksia rikotaan, ja valvontaviranomainen tai muu sääntelyelin määrää Smartsuppille seuraamuksia tällaisten ohjeiden perusteella tai Smartsupp velvoitetaan maksamaan korvauksia rekisteröidyille, käyttäjä sitoutuu maksamaan Smartsuppille korvauksen ja korvaamaan kaikki aiheutuneet vahingot Smartsuppin kirjallisen ilmoituksen perusteella.

6.5 Vastuunrajoitus. Tähän DPA:han sovelletaan samoja vastuunrajoituksia kuin Ehdoissa.

6.6 Muutokset. Muutoksiin sovelletaan samoja sääntöjä kuin Ehdoissa.

6.7 Voimaantulo. Tämä DPA tulee käyttäjän ja Smartsuppin välillä oikeudellisesti sitovaksi yhdessä Sopimuksen kanssa.