Tietosuojaseloste

1. Rekisterinpitäjä

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

Sähköposti: info@batteriepass-online.eu

Meillä ei ole GDPR:n 37 artiklan mukaista velvollisuutta nimittää tietosuojavastaavaa. Lähetä tietosuojaa koskevat pyynnöt yllä olevaan sähköpostiosoitteeseen.

1a. Edustaja EU:ssa (GDPR 27 artikla)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

Sähköposti: info@batteriepass-online.eu

Rekisteröidyt ja valvontaviranomaiset EU:ssa voivat ottaa yhteyttä edustajaan kaikissa käsittelyä koskevissa asioissa; edustaja toimii rekisterinpitäjän puolesta.

2. Roolimme: rekisterinpitäjä vai käsittelijä

Asiakastilien, laskutuksen, tietoturvan ja verkkosivuston ylläpidon osalta olemme rekisterinpitäjä. Tässä selosteessa kuvataan tämä käsittely.

Akkupassien sisällön, ladatut asiakirjat, toimittajien yhteystiedot ja käyttöoikeuspyynnöt syöttävät ohjelmistoon asiakkaamme (talouden toimijat). Näiden tietojen osalta rekisterinpitäjä on kyseinen asiakas, ja me olemme sen henkilötietojen käsittelijä GDPR:n 28 artiklan mukaisesti henkilötietojen käsittelysopimuksemme (/avv) perusteella. Rekisteröityjen tulee näiden tietojen osalta ottaa yhteyttä passissa mainittuun talouden toimijaan; välitämme pyynnöt eteenpäin.

3. Verkkosivustolla vierailu

Kun avaat sivujamme, palvelimemme käsittelee IP-osoitettasi, pyydettyä osoitetta ja selaimen tunnistetta (user agent) sivun toimittamiseksi ja hyökkäysten torjumiseksi (GDPR:n 6 artiklan 1 kohdan f alakohta). Edustapalvelimemme kirjaa IP-osoitteen, ajankohdan, pyydetyn osoitteen, tilakoodin ja user agentin hyökkäysten ja väärinkäytösten havaitsemiseksi; tämä palvelinloki poistetaan automaattisesti seitsemän päivän kuluttua. Muutoin IP-osoitetta käsitellään vain pyyntörajoituksen laskureissa (kohta 5) sekä lyhennettynä ja tiivistettynä suojatun passisisällön käyttölokissa (kohta 7).

Emme käytä analytiikkaseurantaa, sosiaalisen median liitännäisiä emmekä ulkoisia fontteja. Käytämme Google Adsia mainostemme tehokkuuden mittaamiseen vain suostumuksellasi (kohta 4).

4. Evästeet

Teknisesti välttämättömät evästeet ja tallennusmerkinnät, joihin ei tarvita suostumusta (TDDDG:n 25 §:n 2 momentin 2 kohta):

• bpo_session: kirjautuminen asiakasalueelle; voimassaoloaika 30 päivää, poistetaan uloskirjautumisen yhteydessä.
• bpo_access: muistaa käyttöoikeuden ei-julkiseen passisisältöön (oikeutettu etu tai viranomainen); voimassaoloaika käyttöoikeuden mukaan.
• bpo_consent (selaimen paikallinen tallennustila): tallentaa evästevalintasi; voimassaoloaika 12 kuukautta.
• Google Ads (vain suostumuksella): jos annat suostumuksen evästebannerissa, otamme käyttöön Google Adsin konversioseurannan (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanti). Google asettaa tätä varten evästeitä (kuten _gcl_au, voimassaoloaika enintään 90 päivää) ja saa IP-osoitteesi, vierailemasi sivut, ajankohdan ja selaintiedot mitatakseen, johtiko mainoksemme napsautus rekisteröitymiseen tai ostoon. Käsittelyn oikeusperuste on suostumuksesi (GDPR:n 6 artiklan 1 kohdan a alakohta, TDDDG:n 25 §:n 1 momentti). Siirrot Google LLC:lle Yhdysvaltoihin kuuluvat EU:n ja Yhdysvaltojen välisen tietosuojakehyksen (EU-US Data Privacy Framework) piiriin. Ilman suostumusta Googlen koodia ei ladata. Voit peruuttaa suostumuksesi milloin tahansa tulevaisuuden osalta alatunnisteen kohdasta ”Evästeasetukset”. Googlen tietosuojakäytäntö: https://policies.google.com/privacy

5. Asiakastili ja organisaatio

Rekisteröitymisen yhteydessä käsittelemme nimeä, sähköpostiosoitetta, yritystä ja salasanaa, jonka tallennamme vain tiivisteenä (scrypt). Organisaatiosta tallennamme virallisen nimen, osoitteen, maan, arvonlisäverotunnisteen, EORI-numeron ja muut yritystunnisteet (kuten kaupparekisteri- tai LEI-tunnuksen), jotka asiakas antaa passeja ja EU-rekisteröintiä varten, sekä tilauksen ja kiintiöt. Kirjaamme myös viimeisimmän kirjautumisen ajankohdan ja kieliasetuksen.

Tarkoituksena on tarjota asiakasalue, kohdistaa passit talouden toimijalle ja laskuttaa. Oikeusperuste on sopimuksen täytäntöönpano (GDPR:n 6 artiklan 1 kohdan b alakohta).

Sähköpostivahvistukset sekä kirjautumis- ja salasanan palautuslinkit lähetetään STRATO GmbH:n (Saksa) sähköpostipalvelun kautta. Kirjaamme lähetetyt sähköpostit vastaanottajan, aiheen, sisällön ja toimitustilan kanssa toimitusongelmien selvittämiseksi; loki poistetaan kahdentoista kuukauden kuluttua.

Väärinkäytösten estämiseksi rajoitamme kirjautumisyrityksiä, rekisteröitymisiä ja salasanan palautuksia IP-osoitetta ja tiliä kohden. Tätä varten tallennamme laskureita IP-osoitteen kanssa enintään 24 tunnin ajan (GDPR:n 6 artiklan 1 kohdan f alakohta). Kirjaamme kirjautumisyritykset (onnistuneet ja epäonnistuneet) ajankohdan, sähköpostiosoitteen, tuloksen, täydellisen IP-osoitteen ja user agentin kanssa 90 päivän ajan, jotta voimme havaita tileihin kohdistuvat hyökkäykset ja erottaa ne tilanteista, joissa asiakas kirjoittaa oman salasanansa väärin. Tämän lokin näkee vain ylläpitäjä sisäisessä ylläpitonäkymässä, jossa se on oletuksena piilotettu näyttöpainikkeen taakse.

6. Maksaminen ja laskutus

Maksulliset tilaukset käsitellään Stripe Payments Europe Ltd:n, 1 Grand Canal Street Lower, Dublin, Irlanti, kautta. Stripe saa nimen, sähköpostiosoitteen, yrityksen osoitteen, arvonlisäverotunnisteen ja maksutiedot; kortti- ja tilitiedot kerää yksinomaan Stripe, eivätkä ne koskaan päädy palvelimillemme. Tallennamme Stripen asiakastunnuksen, tilauksen tilan ja laskutiedot.

Stripe on maksujen käsittelyssä itsenäinen rekisterinpitäjä; sovelletaan Stripen tietosuojakäytäntöä (https://stripe.com/privacy). Siirrot Stripe Inc:lle Yhdysvaltoihin kuuluvat EU:n ja Yhdysvaltojen välisen tietosuojakehyksen sekä vakiosopimuslausekkeiden piiriin.

Oikeusperusteet ovat sopimuksen täytäntöönpano (GDPR:n 6 artiklan 1 kohdan b alakohta) ja lakisääteiset säilytysvelvollisuutemme (GDPR:n 6 artiklan 1 kohdan c alakohta). Säilytämme laskutiedot kymmenen vuotta.

7. Julkiset akkupassit

Julkaistut akkupassit ovat saatavilla maailmanlaajuisesti osoitteensa (QR-koodi) kautta. Asetuksen (EU) 2023/1542 liitteessä XIII säädetään, mitkä tiedot ovat julkisia ja mitkä näkyvät vain henkilöille, joilla on oikeutettu etu, tai vain viranomaisille; ohjelmisto toteuttaa nämä tasot teknisesti. Julkisiin tietoihin kuuluvat talouden toimijan nimi ja yhteystiedot; jos kyse on luonnollisesta henkilöstä, vastuu tästä on talouden toimijalla.

Kirjaamme asiakkaan puolesta ei-julkisen passisisällön käytön ajankohdan, käyttöoikeustason, lyhennetyn tiivistetyn IP-osoitteen ja user agentin kanssa. Tämä käyttöloki poistetaan 90 päivän kuluttua.

Joka pyytää pääsyä suojattuun sisältöön viranomaisena tai henkilönä, jolla on oikeutettu etu, ilmoittaa sähköpostiosoitteen, organisaation, roolin, tarkoituksen ja tarvittaessa selvityksen. Käyttöoikeudesta päättävä asiakas näkee nämä tiedot; käsittelemme niitä asiakkaan lukuun.

8. Toimittajalomakkeet, API ja webhookit

Asiakkaat voivat pyytää toimittajilta tuotetietoja sähköpostilinkin avulla. Tätä varten tallennamme asiakkaan lukuun asiakkaan syöttämän toimittajan sähköpostiosoitteen, käsittelyn tilan ja lähetetyt arvot.

API:a varten tallennamme API-avaimet vain tiivisteinä yhdessä viimeisimmän käyttöajankohdan kanssa. Webhook-osoitteet ja -salaisuudet antaa asiakas; salaisuudet tallennetaan salattuina. Kirjaamme toimitusyritykset ajankohdan, tilakoodin ja vastauksen otteen kanssa 30 päivän ajan.

9. Palvelinpalvelut ja vastaanottajat

Käytämme seuraavia palveluntarjoajia, jotka käsittelevät tietoja lukuumme (GDPR:n 28 artikla):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Saksa: palvelimet sovellukselle, tietokannalle ja asiakirjatallennukselle Falkensteinin ja Nürnbergin konesaleissa.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berliini, Saksa: järjestelmäsähköpostien lähettäminen.
• Stripe Payments Europe Ltd., Dublin, Irlanti: maksujen käsittely (itsenäisenä rekisterinpitäjänä, ks. kohta 6).

10. Siirrot kolmansiin maihin

Olemme sijoittautuneet Sveitsiin. Euroopan komissio on todennut, että Sveitsissä on riittävä tietosuojan taso (tietosuojan riittävyyttä koskeva päätös 2000/518/EY, vahvistettu 2024), joten pääsy Sveitsistä Saksaan tallennettuihin tietoihin on sallittua. Stripen kautta tapahtuvaa maksujen käsittelyä (kohta 6) lukuun ottamatta tietoja ei siirretä muihin kolmansiin maihin.

11. Säilytysajat

• Asiakastilin ja organisaation tiedot: tilin poistamiseen asti, sen jälkeen 30 päivän estoaika; laskutiedot kymmenen vuotta.
• Kirjautumisistunnot: 30 päivää; kirjautumis- ja palautuslinkit: enintään 24 tuntia.
• Verkkopalvelimen loki: seitsemän päivää. Pyyntörajoituksen laskurit: 24 tuntia. Kirjautumisloki: 90 päivää. Suojatun passisisällön käyttölokit: 90 päivää. Sähköpostiloki: kaksitoista kuukautta. Webhook-toimitusten loki: 30 päivää.
• Akkupassit ja asiakirjat: asetuksen (EU) 2023/1542 77 artiklan 8 kohdan mukaisen lakisääteisen säilytysajan. Sopimuksen päätyttyä passit pysyvät vain luku -tilassa vähintään 15 vuotta ja sen jälkeenkin, kunnes kierrätyksestä ilmoitetaan; poisto yleisten sopimusehtojemme mukaisesti (kohta 8).
• Asiakasalueen muutosloki (auditointiloki): sopimuksen voimassaoloajan passien todennusketjun osoittamiseksi.

12. Tietoturva

Kaikki yhteydet salataan TLS:llä. Salasanat tallennetaan scrypt-tiivisteinä, salaisuudet salattuina. Pääsy perustuu rooleihin, kirjautumisyrityksiä rajoitetaan ja passien muutokset kirjataan tiivisteketjuun. Tietokantaan pääsee vain yksityisestä verkosta. Varmuuskopiot tehdään päivittäin ja niitä säilytetään 30 päivää.

13. Oikeutesi

Sinulla on oikeus saada pääsy tietoihisi (GDPR:n 15 artikla), oikaista tietoja (16 artikla), poistaa tiedot (17 artikla), rajoittaa käsittelyä (18 artikla), siirtää tiedot järjestelmästä toiseen (20 artikla) sekä vastustaa oikeutettuihin etuihin perustuvaa käsittelyä (21 artikla). Ota yhteyttä osoitteeseen info@batteriepass-online.eu. Vastaamme kuukauden kuluessa.

Voit tehdä valituksen tietosuojavalvontaviranomaiselle, Sveitsissä liittovaltion tietosuoja- ja julkisuusvaltuutetulle (EDÖB), EU:ssa asuin- tai työpaikkasi viranomaiselle.

Emme tee automatisoituja yksittäispäätöksiä emmekä käytä tietojasi mainontaan ilman ennakkosuostumustasi.

14. Muutokset

Päivitämme tätä selostetta, kun käsittelymme tai oikeustila muuttuu. Voimassa oleva versio on aina saatavilla osoitteessa /datenschutz; ilmoitamme asiakkaille olennaisista muutoksista sähköpostitse.