Tietojenkäsittelysopimus (DPA) — malli
Huomio: Tämä on sopimusmalli neuvottelun pohjaksi, ei valmis oikeudellinen asiakirja. Tarkistuta se organisaatiosi juristilla ennen allekirjoitusta. Useissa tapauksissa Koukku Taituri ei toimi henkilötietojen käsittelijänä lainkaan, koska asiakirjojen sisältö ei poistu käyttäjän laitteelta (ks. Tietoturva ja arkkitehtuuri).
Tämä tietojenkäsittelysopimus (”Sopimus”) täydentää [rekisterinpitäjä]:n (”Rekisterinpitäjä”) ja Koukku Kapital Oy:n (Y-tunnus 3331246-5, PL 3, 20201 Turku; ”Käsittelijä”) välistä palvelusopimusta ja täyttää EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan vaatimukset.
1. Käsittelyn kohde ja luonne
Käsittelijä tarjoaa selainpohjaisen PDF-työkalupalvelun (Koukku Taituri). Palvelun ydinarkkitehtuurissa asiakirjojen sisältöä käsitellään yksinomaan Rekisterinpitäjän käyttäjien päätelaitteilla; Käsittelijä ei vastaanota, tallenna eikä siirrä asiakirjojen sisältöä. Tämä Sopimus koskee ainoastaan mahdollisia henkilötietoja, joita Käsittelijä käsittelee palvelun toimittamiseksi (esim. tilaajan yhteys- ja laskutustiedot).
2. Käsittelyn kesto
Henkilötietoja käsitellään palvelusopimuksen voimassaolon ajan.
3. Käsittelyn tarkoitus ja henkilötietoryhmät
- Tarkoitus: lisenssin hallinta, laskutus ja asiakastuki.
- Rekisteröidyt: tilaajaorganisaation yhteyshenkilöt.
- Tietoryhmät: nimi, sähköposti, organisaatio, lisenssitiedot.
4. Käsittelijän velvollisuudet
- Käsittelee henkilötietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti.
- Varmistaa käsittelyyn oikeutettujen henkilöiden salassapidon.
- Toteuttaa 32 artiklan mukaiset asianmukaiset tekniset ja organisatoriset turvatoimet.
- Avustaa Rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa ja tietoturvaloukkausten ilmoittamisessa.
- Poistaa tai palauttaa henkilötiedot palvelun päättyessä Rekisterinpitäjän valinnan mukaan.
- Antaa Rekisterinpitäjälle tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden noudattamisen osoittamiseksi, ja sallii auditoinnit.
5. Alihankkijat
Käsittelijä käyttää seuraavia alihankkijoita lisenssi- ja yhteystietojen käsittelyyn. Ajantasainen luettelo on tietosuojaselosteessa, ja Käsittelijä ilmoittaa Rekisterinpitäjälle muutoksista etukäteen.
- Google (Firebase Hosting, Cloud Functions, Firestore) — sovelluksen jakelu sekä lomaketietojen vastaanotto ja tallennus. Käytettävä palvelinalue on EU (europe-west1).
- Google Analytics — verkkosivuston aggregoitu kävijämittaus. Ei koske lisenssi- eikä asiakirjatietoja.
- Resend — tilaus-, kokeilu- ja lisenssisähköpostien lähetys.
- HubSpot — asiakkuudenhallinta: tarjouspyynnöt, tarjoukset ja asiakasviestintä.
Yksikään alihankkija ei käsittele asiakirjojen sisältöä, koska sisältö ei poistu käyttäjän laitteelta.
6. Tietojen sijainti ja siirrot
Asiakirjojen sisältöä ei siirretä lainkaan, koska se ei poistu käyttäjän laitteelta.
Lisenssi- ja yhteystietojen osalta: sovelluksen jakelu ja lomaketietojen tallennus tapahtuvat EU-alueella. Sähköposti- ja asiakkuudenhallintapalvelut (Resend, HubSpot) sekä kävijämittaus (Google Analytics) ovat yhdysvaltalaisia, joten osa yhteystiedoista siirtyy EU/ETA-alueen ulkopuolelle. Siirtojen perusteena käytetään EU:n komission vakiosopimuslausekkeita (SCC) tai riittävyyspäätöstä (EU–US Data Privacy Framework) sen mukaan, kumpi kunkin palveluntarjoajan kohdalla on voimassa. Selvitys siirtoperusteista toimitetaan pyynnöstä.
Työasemakohtaisia lisenssiavaimia myönnettäessä käsitellään lisäksi työasemien teknisiä tunnuslukuja. Niitä ei viedä markkinointi- tai analytiikkapalveluihin eikä siirretä EU/ETA-alueen ulkopuolelle. Kuvaus: tietosuojaseloste, kohta 3.3.
7. Allekirjoitukset
[paikka ja päiväys]
Rekisterinpitäjä: [nimi, asema]
Käsittelijä: Koukku Kapital Oy, [nimi, asema]