Tämä on käännös. Eroavuuksien ilmetessä sovelletaan englanninkielistä versiota. Tämä tietojenkäsittelysopimus (”Sopimus”) on osa ehtoja, jotka ovat voimassa Avtalor AS:n, yritystunnus (org.nr.) 916 048 092, Oslo (”Avtalor”, ”Käsittelijä”), ja palvelua käyttävän organisaation välillä, joko yrityksenä, jolla on portaali, tai toimittajana (”Asiakas”, ”Rekisterinpitäjä”). Sopimuksella säännellään henkilötietojen käsittelyä, jota Avtalor suorittaa Asiakkaan puolesta Euroopan unionin yleisen tietosuoja-asetuksen (EU) 2016/679, jäljempänä tietosuoja-asetus (GDPR), ja personopplysningsloven (Norjan henkilötietolaki) mukaisesti. Ristiriitatilanteessa tämä Sopimus on henkilötietojen käsittelyä koskevissa asioissa ensisijainen ehtoihin nähden.
Asiakas on rekisterinpitäjä niiden henkilötietojen osalta, jotka syötetään palveluun tai kerätään Asiakkaan palvelun käytön yhteydessä. Tämä koskee sekä yrityksiä, jotka luovat portaalin työntekijöilleen, että toimittajia, jotka hallinnoivat sopimuksia ja vastaanottavat pyyntöjä.
Avtalor on henkilötietojen käsittelijä ja käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti. Tämä Sopimus, ehdot ja Asiakkaan tapa käyttää palvelun toimintoja muodostavat dokumentoidut ohjeet. Jos Avtalor katsoo, että ohje rikkoo tietosuoja-asetusta (GDPR) tai muuta tietosuojalainsäädäntöä, ilmoitamme siitä Asiakkaalle ilman aiheetonta viivytystä.
Käsittelyn tarkoituksena on palvelun toimittaminen: portaali, josta työntekijät löytävät yrityksen sopimukset, jossa yritys ja toimittajat ylläpitävät sopimusten sisältöä ja jonka kautta ilmoitukset ja viestit lähetetään niille, jotka ovat antaneet suostumuksensa.
Käsittely käsittää keräämisen, tallentamisen, jäsentämisen, luovuttamisen siirtämällä (sähköposti ja ilmoitukset), yhdistämisen ja poistamisen. Käsittely kestää niin kauan kuin Asiakkaalla on voimassa oleva asiakassuhde, ja se päättyy tietojen vientiin tai poistamiseen kohdan 9 mukaisesti.
Rekisteröidyt: Asiakkaan työntekijät ja ylläpitäjät, toimittajien yhteyshenkilöt sekä henkilöt, jotka Asiakas kutsuu palveluun.
Tietotyypit: nimi, sähköpostiosoite, puhelinnumero, tehtävänimike, toimipaikka, kirjautumis- ja suostumushistoria, mobiililaitteiden push-tunnukset sekä sopimuksiin liittyvät käyttötiedot (katselut ja napsautukset, koostettuina aina kun mahdollista). Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyyn, eikä Asiakas saa syöttää tällaisia tietoja.
Asiakas omistaa kaikki palveluun syötetyt tiedot, sekä henkilötiedot että sopimusten sisällön. Avtalor ei vaadi niihin omistusoikeutta.
Avtalorilla on rajoitettu oikeus käyttää tietoja palvelun ylläpitämiseen, suojaamiseen, vianmääritykseen ja kehittämiseen. Kehittäminen tehdään koostettujen tai anonymisoitujen tietojen pohjalta aina kun mahdollista. Avtalor ei koskaan myy henkilötietoja eikä käytä niitä kolmansien osapuolten markkinointiin.
Henkilöitä, joilla on Avtalorissa oikeus käsitellä henkilötietoja, sitoo salassapitovelvollisuus sopimuksen tai lakisääteisen velvollisuuden perusteella.
Avtalor toteuttaa tietosuoja-asetuksen (GDPR) 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet, joita ovat muun muassa tietojen salaus siirron aikana ja levossa, asiakkaiden tiedot toisistaan erottava rivitason suojaus, roolipohjainen pääsynhallinta, tukipääsyjen peruuttamaton lokikirjaus sekä koodikannan pääsysääntöjen jatkuva tietoturvatestaus.
Asiakas antaa Avtalorille yleisen ennakkoluvan käyttää alikäsittelijöitä. Suunnitelluista muutoksista Avtalor ilmoittaa Asiakkaalle vähintään 30 päivää etukäteen, jotta Asiakas voi vastustaa niitä.
Nykyiset alikäsittelijät: Supabase (tietokanta, tunnistautuminen ja tiedostojen tallennus; tiedot tallennetaan EU:n/ETA:n alueelle), Vercel (verkkosovelluksen palvelinympäristö; funktiot suoritetaan EU-alueella), Resend (sähköpostien lähettäminen Asiakkaan puolesta) ja Anthropic (niiden sopimusasiakirjojen konelukeminen, jotka Asiakas lähettää tekoälytuontiin; sisältöä ei käytetä mallien kouluttamiseen). Suunniteltu alikäsittelijä: Expo (650 Industries, Inc., Yhdysvallat; push-ilmoitusten lähettäminen mobiilisovellukseen, jolloin käsitellään laitteen push-tunnus sekä ilmoituksen otsikko, teksti ja linkki). Expo otetaan käyttöön, kun sovelluksen push-ilmoitukset julkaistaan, aikaisintaan 30 päivää sen jälkeen, kun Asiakkaalle on ilmoitettu asiasta.
Jos henkilötietoja siirretään EU:n/ETA:n ulkopuolisiin maihin, se tapahtuu ainoastaan tietosuoja-asetuksen (GDPR) V luvun mukaisella pätevällä siirtoperusteella, kuten Euroopan komission vakiosopimuslausekkeiden (SCC) tai riittävyyspäätöksen perusteella, ja tarvittaessa täydentävin toimenpitein.
Avtalor avustaa Asiakasta mahdollisuuksien mukaan ja käsittelyn luonne huomioon ottaen vastaamaan rekisteröityjen tietosuoja-asetuksen (GDPR) III luvun mukaisiin pyyntöihin (oikeus saada pääsy tietoihin, oikaisu, poistaminen, siirtäminen järjestelmästä toiseen ja muut oikeudet). Asiakkaan työntekijät voivat tehdä suuren osan tästä itse palvelussa: tarkastella tietojaan, ladata ne ja poistaa tilinsä.
Avtalor avustaa Asiakasta myös tietosuoja-asetuksen (GDPR) 32–36 artiklan mukaisten velvollisuuksien täyttämisessä, mukaan lukien tietosuojaa koskevat vaikutustenarvioinnit ja ennakkokuulemiset valvontaviranomaisen, Datatilsynet (Norjan tietosuojaviranomainen), kanssa, kun Asiakas sitä pyytää.
Henkilötietojen tietoturvaloukkauksen sattuessa Avtalor ilmoittaa siitä Asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon loukkauksesta. Ilmoituksessa kuvataan loukkauksen luonne, loukkauksen kohteena olevat rekisteröidyt ja tiedot, todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet. Asiakas vastaa mahdollisesta ilmoituksesta valvontaviranomaiselle (Datatilsynet) ja rekisteröidyille.
Asiakassuhteen päättyessä Asiakas valitsee, palautetaanko henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa vai poistetaanko ne. Jos Asiakas ei tee valintaa, tiedot poistetaan viimeistään 90 päivän kuluttua päättymisestä. Varmuuskopioissa olevat kopiot poistetaan varmuuskopioiden kierron mukaisesti, viimeistään 35 lisäpäivän kuluessa.
Avtalor voi säilyttää tietoja, jos lainsäädäntö edellyttää niiden säilyttämistä, esimerkiksi kirjanpitoaineistoa, mutta vain niin kauan ja siinä laajuudessa kuin laki edellyttää.
Avtalor asettaa Asiakkaan saataville kaikki tiedot, jotka ovat tarpeen tietosuoja-asetuksen (GDPR) 28 artiklassa säädettyjen velvollisuuksien noudattamisen osoittamiseksi, ja sallii Asiakkaan tai Asiakkaan valtuuttaman tarkastajan suorittamat auditoinnit, tarkastukset mukaan lukien, sekä osallistuu niihin. Auditoinneista ilmoitetaan kirjallisesti vähintään 14 päivää etukäteen, ja ne toteutetaan niin, etteivät ne häiritse toimintaa kohtuuttomasti tai anna pääsyä muiden asiakkaiden tietoihin.
Sopimus on voimassa niin kauan kuin Avtalor käsittelee henkilötietoja Asiakkaan puolesta. Sopimukseen sovelletaan Norjan lakia, ja sovittu oikeuspaikka on Oslo tingrett (Oslon käräjäoikeus) ehtojen mukaisesti.