Liite 1: Henkilötietojen käsittelyliite (DPA)

1. Roolit ja ohjeet

Asiakas toimii rekisterinpitäjänä ja Webicularis henkilötietojen käsittelijänä. Webicularis käsittelee henkilötietoja vain sopimuksen, tämän liitteen ja asiakkaan dokumentoitujen lainmukaisten ohjeiden mukaisesti, ellei EU:n tai jäsenvaltion laki muuta edellytä. Jos ohje on Webiculariksen käsityksen mukaan lainvastainen, Webicularis ilmoittaa siitä asiakkaalle ja voi keskeyttää ohjeen toteuttamisen.

• Webiculariksen käyttöehdot

2. Käsittelyn kohde ja kesto

Käsittelyn kohteena ovat verkkosivuston hosting, ylläpito, varmuuskopiointi, yhteydenottolomakkeet ja muut tilatut toiminnot. Yhteydenottolomakkeilla annetut tiedot tallennetaan Supabase-tietokantaan. Käsittely kestää sopimuksen ajan ja päättymisen jälkeisen sovitun poistoajan.

Rekisteröityjä voivat olla sivuston kävijät, asiakkaat, potentiaaliset asiakkaat, työnhakijat ja asiakkaan henkilöstö. Tietoryhmiä voivat olla yhteys-, viesti-, tekniset loki-, käyttötapahtuma- ja muut asiakkaan palveluun tallentamat tiedot. Asiakas ei saa tallentaa erityisiä henkilötietoryhmiä ilman erillistä kirjallista sopimusta.

3. Salassapito ja turvallisuus

Webicularis varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon. Webicularis toteuttaa riskiin nähden asianmukaiset tekniset ja organisatoriset toimet, kuten käyttöoikeuksien hallinnan, salauksen soveltuvin osin, varmuuskopioinnin, lokituksen, haavoittuvuuksien hallinnan ja palautumiskyvyn.

4. Alikäsittelijät

Asiakas antaa yleisen kirjallisen ennakkoluvan käyttää alikäsittelijöitä palvelun tuottamiseen (GDPR 28 art. 2 kohta).

Nykyiset alikäsittelijät (nimi – tarkoitus – käsittelyalue): Cloudflare, Inc. – hosting, sisällönjakelu ja tietoturva – maailmanlaajuinen verkko; Lovable – sovellusalusta, ajoympäristö ja tietokantapalvelu (taustalla Supabase) – alue varmistetaan; Supabase, Inc. – tietokanta ja tiedostotallennus – EU-alue varmistetaan; sähköpostin lähetyspalvelu – asiakassivuston lomakeviestien välitys – alue varmistetaan; Stripe Payments Europe Ltd – maksut (koskee vain verkkokauppaa) – EU/ETA ja Yhdysvallat. Luettelo pidetään ajan tasalla tällä sivulla.

Webicularis ilmoittaa asiakkaalle sähköpostitse uusista ja vaihtuvista alikäsittelijöistä vähintään 30 päivää etukäteen. Asiakas voi esittää perustellun tietosuojaan perustuvan vastustuksen ilmoitusajan kuluessa. Osapuolet selvittävät vastustuksen ja pyrkivät kohtuulliseen ratkaisuun, kuten vaihtoehtoiseen toteutukseen. Jos ratkaisua ei löydy, asiakas voi päättää kyseisen palvelun ennen muutoksen voimaantuloa ilman sopimussakkoa.

Webicularis tekee kunkin alikäsittelijän kanssa sopimuksen, joka asettaa GDPR 28 artiklan mukaiset, tätä liitettä vastaavat tietosuojavelvoitteet, ja vastaa asiakkaaseen nähden alikäsittelijän velvoitteiden täyttämisestä.

5. Siirrot ETA-alueen ulkopuolelle

Henkilötietoja voidaan siirtää ETA-alueen ulkopuolelle vain, jos siirrolle on GDPR V luvun mukainen peruste, kuten Euroopan komission riittävyyspäätös (esim. EU–US Data Privacy Framework sertifioidun vastaanottajan osalta) tai komission vakiosopimuslausekkeet täydentävine suojatoimineen. Kunkin alikäsittelijän siirtoperuste ilmoitetaan pyynnöstä.

6. Avustamisvelvollisuus

Webicularis avustaa saatavilla olevien tietojen ja käsittelyn luonteen perusteella kohtuullisesti asiakasta rekisteröityjen pyyntöjen, vaikutustenarviointien, ennakkokuulemisten ja tietoturvavelvoitteiden hoitamisessa. Tavanomaisen palvelun ylittävä työ voidaan laskuttaa sovitun hinnaston mukaan, ellei tarve johdu Webiculariksen sopimusrikkomuksesta.

7. Tietoturvaloukkaukset

Webicularis ilmoittaa asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon asiakkaan henkilötietoja koskevasta tietoturvaloukkauksesta. Ilmoituksessa kuvataan saatavilla olevin osin tapahtuman luonne, vaikutukset, toimenpiteet ja yhteyspiste. Webicularis täydentää tietoja niiden tarkentuessa.

8. Tarkastukset

Webicularis antaa asiakkaalle kaikki tiedot, jotka ovat tarpeen GDPR 28 artiklan velvoitteiden noudattamisen osoittamiseksi, ja sallii asiakkaan tai sen valtuuttaman tarkastajan tekemät tarkastukset ja osallistuu niihin. Tarkastuksesta sovitaan kohtuullisella ennakkoilmoituksella ja se toteutetaan niin, ettei muiden asiakkaiden tietoja tai palvelun turvallisuutta vaaranneta. Nämä käytännön järjestelyt eivät rajoita asiakkaan tai valvontaviranomaisen pakottavan lain mukaisia tarkastusoikeuksia.

9. Tietojen palautus ja poistaminen

Kun maksullinen palvelukausi päättyy, sivusto poistetaan julkisesta käytöstä ja alkaa 30 päivän siirto- ja poistojakso. Jakson aikana asiakas voi pyytää asiakkaan lukuun käsitellyt tiedot yleisesti käytetyssä, koneellisesti luettavassa muodossa.

Jakson jälkeen Webicularis poistaa asiakkaan lukuun käsitellyt henkilötiedot aktiivisista järjestelmistä hallitusti: poistotapaus ja määräpäivä kirjataan, poistettavat tiedot esikatsellaan ja valtuutettu Webiculariksen ylläpitäjä hyväksyy poiston ennen mitään peruuttamatonta toimenpidettä. Poisto tehdään vaiheittain, siitä jää loki ja asiakkaalle voidaan antaa kuitti. Jos määräpäivä uhkaa ylittyä, asia eskaloidaan ja mahdollinen viive syineen kirjataan.

Lain edellyttämät kirjanpito- ja sopimusasiakirjat säilytetään erillään lakisääteisen ajan. Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin kierron mukana eivätkä ne ole sitä ennen aktiivisessa käytössä; yksittäisten varmuuskopioiden erillistä poistoa ei luvata. Ulkoisissa palveluissa (esim. maksupalvelu, verkkotunnusrekisteri) olevat tiedot käsitellään palvelukohtaisesti; verkkotunnuksen omistajuutta tai siirto-oikeutta ei poisteta.