Tämä tietojenkäsittelysopimus ("DPA") on osa Vektoria-palvelun ("Palvelu") käyttöehtoja ja sitoo Palveluntarjoajaa ("Käsittelijä": Vektoria Solutions Oy, Y-tunnus 3638053-5, kotipaikka Vantaa, info@vektoria.fi) ja Palvelua käyttävää yritystä tai organisaatiota ("Rekisterinpitäjä"). DPA tulee voimaan, kun Rekisterinpitäjän valtuutettu edustaja hyväksyy sen yhdessä käyttöehtojen kanssa Palvelussa. Hyväksyntä hankitaan ennen Projektiaineiston henkilötietojen käsittelyn aloittamista; käyttäjätilin luonti tai kirjautuminen ei korvaa sitä. Ristiriitatilanteessa henkilötietojen käsittelyyn sovelletaan tätä DPA:ta, muilta osin käyttöehtoja.
DPA koskee vain Rekisterinpitäjän Palveluun lataamaa ja siinä syntyvää aineistoa ("Projektiaineisto"). Käyttäjätilien tietoja (nimi, sähköpostiosoite, kirjautumistiedot) Käsittelijä käsittelee omana rekisterinpitäjänään tietosuojaselosteen mukaisesti.
| Kohde ja tarkoitus | Asiakkaan projektiaineiston säilytys ja käsittely määrälaskentapalvelun tarjoamiseksi. |
|---|---|
| Luonne | Automaattinen tiedostojen säilytys ja laskenta Palvelussa; ei manuaalista tarkastelua muuten kuin Rekisterinpitäjän pyytämän tuen yhteydessä. |
| Kesto | Käyttöoikeuden voimassaolo; poisto kohdan 8 mukaisesti. |
| Henkilötietoryhmät | Piirustuksissa ja niiden metatiedoissa mahdollisesti esiintyvät nimet, yhteystiedot, osoitteet, huoneisto- ja tilatiedot sekä suunnittelijoiden ja muiden osapuolten nimet ja allekirjoitukset. Käsittelijä ei erottele eikä käytä näitä tietoja. |
| Rekisteröityjen ryhmät | Rekisterinpitäjän asiakkaat, suunnittelijat, kiinteistöjen omistajat ja käyttäjät sekä muut piirustuksissa esiintyvät henkilöt. |
| Erityiset henkilötietoryhmät | Ei tarkoitettu käsiteltäväksi. Rekisterinpitäjä vastaa siitä, ettei Palveluun ladata GDPR 9 artiklan mukaisia tietoja. |
Rekisterinpitäjä vastaa siitä, että sillä on oikeus ladata Projektiaineisto Palveluun, että käsittelylle on lainmukainen peruste ja että rekisteröityjä on informoitu. Rekisterinpitäjä antaa käsittelyohjeensa käyttämällä Palvelua sen toimintojen mukaisesti; muut ohjeet annetaan kirjallisesti osoitteeseen info@vektoria.fi, ja Palvelun toiminnallisuuden ylittävästä työstä sovitaan erikseen. Tämä ei rajoita kohdan 4 mukaista lakisääteistä avustamisvelvollisuutta. Lainvastaista ohjetta ei toteuteta, ja siitä ilmoitetaan viipymättä Rekisterinpitäjälle.
Käsittelijä (a) käsittelee henkilötietoja vain tämän DPA:n ja Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, ellei laki toisin vaadi; (b) varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon; (c) toteuttaa liitteen 3 mukaiset tekniset ja organisatoriset toimet; (d) noudattaa kohdan 5 alihankkijaehtoja; (e) avustaa Rekisterinpitäjää rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa käsittelyn luonne huomioon ottaen; (f) avustaa Rekisterinpitäjää GDPR 32–36 artiklan velvoitteissa käytettävissään olevilla tiedoilla; (g) poistaa tai palauttaa tiedot kohdan 8 mukaisesti; ja (h) antaa kohdan 7 mukaiset tiedot.
Opetusaineiston poiminta ja käyttö: Rekisterinpitäjä ohjeistaa Käsittelijää poimimaan Projektiaineistosta symbolin muodon (vektorigeometrian) ja tuotenimen käyttöehtojen kohdan 4 mukaisesti. Poiminta on osa tätä toimeksiantoa, eikä poimittuun opetusaineistoon siirry henkilötietoja: piirustuksia, tiedostoja, metatietoja eikä asiakkaan, kohteen tai projektin tunnisteita. Näin syntyvä opetusaineisto ei ole henkilötietoa, joten Käsittelijä käyttää sitä tunnistuksen kehittämiseen omaan lukuunsa. Projektiaineistoa sellaisenaan Käsittelijä ei käytä omiin tarkoituksiinsa.
Rekisterinpitäjä antaa yleisen luvan käyttää liitteessä 2 lueteltuja alihankkijoita. Uudesta tai vaihtuvasta alihankkijasta ilmoitetaan vähintään 14 päivää ennen käyttöönottoa päivittämällä liite 2 ja lähettämällä ilmoitus tilin sähköpostiin; Rekisterinpitäjä voi vastustaa muutosta perustellusta tietosuojasyystä 14 päivän kuluessa ja irtisanoa Palvelun muutoksen kohteena olevalta osalta. Käsittelijä asettaa alihankkijalle vastaavat velvoitteet ja vastaa sen toiminnasta kuin omastaan kohdan 9 rajoituksin.
Projektiaineisto säilytetään ja käsitellään EU:ssa: sovelluspalvelin Helsingissä (Suomi), tunnistautuminen ja tietovarasto Tukholmassa (Ruotsi) sekä salatut varmuuskopiot Amsterdamissa (Alankomaat). Projektiaineistoa ei siirretä sähköpostivälittäjälle.
Tiliviestien (kirjautuminen, tilin palautus, käyttäjäkutsu) välityksessä käsitellään vastaanottajan sähköpostiosoitetta, viestin sisältöä ja toimituslokia. Viestit lähetetään Irlannista (EU), mutta välittäjä säilyttää nämä tiedot Yhdysvalloissa. Siirron perusteena ovat EU:n vakiosopimuslausekkeet ja EU–Yhdysvallat-tietosuojakehys.
Käsittelijä ilmoittaa Rekisterinpitäjälle Projektiaineistoon kohdistuvasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan siitä tiedon, tilin sähköpostiin, ja antaa käytettävissään olevat tiedot. Ilmoitus ei ole myönnytys vastuusta. Rekisterinpitäjä vastaa ilmoituksista valvontaviranomaiselle ja rekisteröidyille.
Käsittelijä antaa pyynnöstä tiedot, jotka ovat tarpeen GDPR 28 artiklan velvoitteiden noudattamisen osoittamiseksi, ensisijaisesti kirjallisesti. Auditointi on mahdollinen kerran 12 kuukaudessa 30 päivän ennakkoilmoituksella, tavanomaisena työaikana, salassapidon alaisena ja Palvelun muita asiakkaita vaarantamatta, ja Rekisterinpitäjä vastaa sen kustannuksista. Näitä rajoituksia ei sovelleta, jos pakottava laki tai viranomainen edellyttää muuta.
Käsittelyn päättyessä Käsittelijä Rekisterinpitäjän valinnan mukaan palauttaa tai poistaa henkilötiedot, ellei laki edellytä säilyttämistä. Projektiaineisto poistetaan 30 päivän kuluessa käyttöoikeuden päättymisestä tai Rekisterinpitäjän poistopyynnöstä, ja salatuista varmuuskopioista viimeistään kuuden kuukauden kuluessa. Rekisterinpitäjä saa oman aineistonsa ulos Palvelun vientitoiminnolla käyttöoikeuden voimassa ollessa. Palautusta tai poistoa voi pyytää osoitteesta info@vektoria.fi.
Käsittelijän korvausvastuuseen sovelletaan käyttöehtojen kohdan 5 vastuun enimmäismäärää ja vahinkolajien rajauksia. DPA ei muodosta erillistä tai lisättävää vastuukattoa. Rajoitukset eivät rajoita rekisteröidyn GDPR 82 artiklan mukaista oikeutta korvaukseen, pakottavaan lakiin perustuvaa vastuuta tai takautumisoikeutta eivätkä tahallisesti tai törkeällä huolimattomuudella aiheutettua vahinkoa. Kumpikin osapuoli vastaa itse sille määrätyistä hallinnollisista sakoista. Rekisterinpitäjä vastaa kolmannen vaatimuksesta siltä osin kuin se johtuu sen lainvastaisesta aineistosta tai ohjeesta.
DPA:n muutoksista ilmoitetaan kuten käyttöehtojen muutoksista. Sovellettava laki ja riidanratkaisu määräytyvät käyttöehtojen mukaan. Jos jokin ehto on pätemätön, muut ehdot pysyvät voimassa.
| Alihankkija | Tehtävä | Käsittelyalue |
|---|---|---|
| Hetzner Online GmbH | Palvelun ylläpito | Helsinki, Suomi (EU) |
| Supabase, Inc. | Tunnistautuminen ja tietojen säilytys | Tukholma, Ruotsi (EU). Alikäsittelijän omat alihankkijat on lueteltu sen julkisessa alihankkijaluettelossa. |
| Backblaze, Inc. (B2) | Varmuuskopioiden säilytys | Amsterdam, Alankomaat (EU) |
| Resend, Inc. | Tiliviestien välitys: vastaanottajan sähköpostiosoite, viestin sisältö ja toimitusloki | Lähetys Irlannista (EU), säilytys Yhdysvalloissa. Siirtoperusteena EU:n vakiosopimuslausekkeet ja EU–Yhdysvallat-tietosuojakehys. |