Henkilötietojen käsittelysopimus

1. Sopimusosapuolet ja kohde

Tämä sopimus tehdään asiakkaan rekisterinpitäjänä ja EAS International, Klybeckstr. 141, 4057 Basel, Schweiz henkilötietojen käsittelijänä (Palveluntarjoaja) välillä. Palveluntarjoajan edustaja EU:ssa GDPR:n 27 artiklan mukaisesti: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Sopimuksen kohteena on sellaisten henkilötietojen käsittely, jotka asiakas syöttää palveluun Batteriepass Online tai kerää sen avulla. Käsittelyn luonne, tarkoitus, tietotyypit ja rekisteröityjen ryhmät on kuvattu liitteessä 1. Sopimus on voimassa palvelusopimuksen voimassaoloajan, mukaan lukien yleisten sopimusehtojen kohdan 8 mukainen vain luku -vaihe.

2. Ohjeet

Palveluntarjoaja käsittelee tietoja ainoastaan palvelusopimuksen puitteissa ja asiakkaan dokumentoitujen ohjeiden mukaisesti. Asiakas antaa ohjeita käyttämällä ohjelmiston toimintoja (kuten passin julkaiseminen, käyttöoikeustasojen määrittäminen, toimittajapyynnön lähettäminen, vienti, poisto) sekä tekstimuodossa osoitteeseen info@batteriepass-online.eu. Sovitun laajuuden ylittävät ohjeet käsitellään muutospyyntöinä, ja niistä voidaan laskuttaa erikseen.

Jos Palveluntarjoaja katsoo ohjeen olevan lainvastainen, se ilmoittaa asiakkaalle viipymättä ja voi keskeyttää ohjeen toteuttamisen, kunnes ohje on vahvistettu.

Passisisällön asettaminen yleisön, henkilöiden, joilla on oikeutettu etu, ja viranomaisten saataville tapahtuu asetuksen (EU) 2023/1542 mukaisesti asiakkaan valitsemalla kokoonpanolla, ja sitä pidetään asiakkaan ohjeena.

3. Palveluntarjoajan velvollisuudet

• Luottamuksellisuus: kaikki käsittelyyn osallistuvat henkilöt ovat sitoutuneet luottamuksellisuuteen. Asiakastietoihin pääsy tapahtuu vain, kun se on tarpeen ylläpitoa, tukea tai vianmääritystä varten.
• Tietoturva: Palveluntarjoaja toteuttaa liitteen 3 mukaiset tekniset ja organisatoriset toimenpiteet ja mukauttaa ne tekniikan tasoon alentamatta suojan tasoa.
• Avustaminen: Palveluntarjoaja avustaa asiakasta ohjelmiston keinoin (vienti, oikaisu, poisto, käyttöloki) rekisteröityjen oikeuksien toteuttamisessa sekä tietosuojaa koskevissa vaikutustenarvioinneissa ja valvontaviranomaisen ennakkokuulemisissa siltä osin kuin tiedot ovat Palveluntarjoajan hallussa.
• Ilmoittaminen: Palveluntarjoaja ilmoittaa asiakkaalle asiakastietoja koskevista henkilötietojen tietoturvaloukkauksista ilman aiheetonta viivytystä, viimeistään 48 tunnin kuluessa siitä, kun se on saanut niistä tiedon, tilille tallennettuun sähköpostiosoitteeseen ja antaa GDPR:n 33 artiklan 3 kohdan mukaiset käytettävissä olevat tiedot.
• Rekisteröityjen pyynnöt: jos rekisteröidyt ottavat yhteyttä suoraan Palveluntarjoajaan, se välittää pyynnön asiakkaalle vastaamatta siihen itse asiasisällöltään, jos pyyntö koskee asiakastietoja.
• Osoittaminen: Palveluntarjoaja antaa pyynnöstä tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi, erityisesti kuvauksen liitteen 3 toimenpiteistä ja raportit tietoturvapoikkeamista.
• Poisto: käsittelyn päätyttyä Palveluntarjoaja poistaa tiedot yleisten sopimusehtojen kohdan 8 mukaisesti, ellei lakisääteistä säilytysvelvollisuutta ole. Julkaistujen akkupassien osalta asetuksen (EU) 2023/1542 77 artiklan 8 kohdan mukaista lakisääteistä velvollisuutta pitää ne saatavilla pidetään säilytysvelvollisuutena.

4. Asiakkaan tarkastusoikeudet

Asiakas voi tarkastaa tämän sopimuksen noudattamisen kerran vuodessa ja silloin, kun siihen on erityinen syy. Tarkastus tehdään ensisijaisesti käymällä läpi dokumentaatiota, raportteja ja alikäsittelijöiden vahvistuksia. Paikan päällä tehtävä tarkastus on mahdollinen kohtuullisella ennakkoilmoituksella (vähintään 14 päivää) tavanomaisena työaikana, jos se ei vaaranna muiden asiakkaiden tietoja. Tarkastuksista, jotka ylittävät yhden vuodessa tai jotka eivät johdu poikkeamasta, Palveluntarjoaja voi laskuttaa aiheutuneen työn kohtuullisen hinnan mukaan.

5. Alikäsittelijät

Asiakas hyväksyy liitteessä 2 lueteltujen alikäsittelijöiden (muiden käsittelijöiden) käytön. Palveluntarjoaja sitoo heidät tässä sovittuja vastaaviin tietosuojavelvoitteisiin.

Palveluntarjoaja ilmoittaa asiakkaalle suunnitelluista muutoksista (lisäys tai vaihto) sähköpostitse vähintään 30 päivää etukäteen. Asiakas voi vastustaa muutosta tämän määräajan kuluessa painavista tietosuojaan liittyvistä syistä. Vastustamisen tapauksessa kumpikin osapuoli voi irtisanoa palvelusopimuksen päättymään muutoksen ajankohtana; yleisten sopimusehtojen kohta 8 pysyy voimassa.

6. Käsittely kolmansissa maissa

Tiedot tallennetaan palvelimille Saksassa. Palveluntarjoaja on sijoittautunut Sveitsiin, josta on olemassa Euroopan komission tietosuojan riittävyyttä koskeva päätös; pääsy Sveitsistä on siksi sallittua. Käsittelyä muissa kolmansissa maissa tapahtuu vain asiakkaan suostumuksella ja GDPR:n V luvun mukaisten asianmukaisten suojatoimien perusteella.

7. Asiakkaan velvollisuudet

Asiakas vastaa käsittelyn lainmukaisuudesta, erityisesti oikeusperusteesta luonnollisia henkilöitä koskevien tietojen julkaisemiselle passeissa, rekisteröityjen informoinnista sekä toimittajiin ja hakijoihin otettavien yhteyksien lainmukaisuudesta. Asiakas määrittää käyttöoikeustasot ja myöntää käyttöoikeudet omalla vastuullaan ja tarkistaa, että ohjelmiston kautta saataville asetetut tiedot ovat lakisääteisten vaatimusten mukaisia.

Asiakas nimeää tilillä tietosuoja-asioissa tavoitettavan sähköpostiosoitteen ja pitää sen ajan tasalla.

8. Vastuu, voimassaolo, loppumääräykset

Vastuuseen sovelletaan yleisten sopimusehtojen kohtaa 11; GDPR:n 82 artikla pysyy voimassa. Tämä sopimus päättyy palvelusopimuksen päättyessä, mutta se on edelleen voimassa niin kauan kuin Palveluntarjoaja pitää asiakastietoja saatavilla yleisten sopimusehtojen kohdan 8 mukaisesti. Muilta osin sovelletaan yleisten sopimusehtojen loppumääräyksiä. Jos tämän sopimuksen ja yleisten sopimusehtojen välillä on ristiriita, tämä sopimus on tietosuoja-asioissa ensisijainen.

Liite 1 – Käsittelyn kohde

• Luonne ja tarkoitus: akkupassien sisällön ja niihin liittyvien asiakirjojen säilyttäminen palvelimella, tallentaminen, näyttäminen, vienti ja siirtäminen; sähköpostien lähettäminen asiakkaan puolesta (toimittajapyynnöt, käyttöoikeuspäätökset); suojatun sisällön käytön kirjaaminen; API:n ja webhookien tarjoaminen.
• Tietotyypit: asiakkaan, sen toimittajien ja käyttöoikeuden hakijoiden yhteyshenkilöiden nimet, tehtävät ja yhteystiedot (sähköpostiosoite, organisaatio, rooli, tarkoitus, todisteet); passikenttien ja asiakirjojen sisältö siltä osin kuin ne sisältävät tietoja luonnollisista henkilöistä (kuten talouden toimijan vastuuhenkilö, vaatimustenmukaisuusvakuutusten allekirjoittajat); käyttölokit (lyhennetty tiivistetty IP-osoite, user agent, ajankohta, käyttöoikeustaso); asiakkaan API:in siirtämät tiedot.
• Rekisteröityjen ryhmät: asiakkaan, sen toimittajien ja liikekumppaneiden työntekijät ja yhteyshenkilöt; henkilöt, jotka pyytävät pääsyä suojattuun passisisältöön (viranomaiset, korjaus- ja kierrätysyritykset, ostajat); julkisten passisivujen kävijät.
• Erityisiä henkilötietoryhmiä (GDPR:n 9 artikla) ei käsitellä; asiakas ei syötä tällaisia tietoja ohjelmistoon.

Liite 2 – Alikäsittelijät

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Saksa – konesalipalvelut (palvelimet, tietokanta, asiakirjatallennus, varmuuskopiot) Falkensteinissa ja Nürnbergissä.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berliini, Saksa – sähköpostien lähettäminen asiakkaan puolesta.
• Stripe Payments Europe Ltd., Dublin, Irlanti, käsittelee asiakkaan maksutietoja itsenäisenä rekisterinpitäjänä eikä ole tässä sopimuksessa tarkoitettu asiakastietojen alikäsittelijä.

Liite 3 – Tekniset ja organisatoriset toimenpiteet

• Fyysinen pääsy ja järjestelmiin pääsy: palvelimet Hetznerin ISO 27001 -sertifioiduissa konesaleissa; hallinta vain avainpohjaisen SSH:n ja yksityisen verkon kautta; tietokantaan ei pääse julkisesta internetistä.
• Tietoihin pääsy: roolipohjaiset oikeudet (omistaja, muokkaaja, katselija) organisaatiokohtaisesti; asiakkaiden erottelu tietokantatasolla organisaatiotunnuksen avulla jokaisessa kyselyssä; passisisällön käyttöoikeustasot (julkinen, oikeutettu etu, viranomainen) pannaan täytäntöön palvelinpuolella yhdessä suodatinfunktiossa.
• Todennus: salasanat scrypt-tiivisteinä; istunnot satunnaisilla tunnisteilla tietokannassa, 30 päivää; sähköpostin vahvistus ennen kirjoitusoikeutta; kirjautumis-, rekisteröitymis- ja palautusyritysten rajoitukset; API-avaimet tallennetaan vain tiivisteinä.
• Siirto: TLS kaikissa yhteyksissä; Content Security Policy; allekirjoitetut webhookit (HMAC) ja salattuina tallennetut salaisuudet.
• Eheys: jokainen passin julkaisu luo version tiivisteketjulla (edellinen tiiviste); auditointiloki kaikista kirjoittavista toimista; mitään ei poisteta fyysisesti ennen sopimuksen mukaisten määräaikojen päättymistä.
• Saatavuus: tietokannan ja asiakirjatallennuksen päivittäinen varmuuskopiointi ja vähintään 30 päivän säilytys toisessa sijainnissa; säännölliset palautustestit; saatavuuden valvonta.
• Erottelu: tuotantotiedot erotettu kehitys- ja testiympäristöistä; Pilot-tilauksen passit on merkitty testitiedoiksi.
• Organisaatio: ohjelmistoon sisäänrakennettu tietojen minimointi (vain passiin vaadittavat kentät); tietoturvatarkastus jokaisen palvelun muutoksen yhteydessä; poikkeamien dokumentointi; järjestelmäkomponenttien säännölliset päivitykset.