Tässä tietosuojaselosteessa kuvataan, miten Vektoria-palvelussa (jäljempänä "Palvelu") käsitellään henkilötietoja. Palvelun käyttäjätilien ja kirjautumistietojen osalta rekisterinpitäjänä toimii Vektoria Solutions Oy, Y-tunnus 3638053-5, kotipaikka Vantaa, joka tarjoaa Palvelua Vektoria-tuotenimellä (jäljempänä "Palveluntarjoaja"). Palvelua koskevissa asioissa yhteysosoite on info@vektoria.fi ja tietosuoja-asioissa tietosuoja@vektoria.fi.
Henkilötietoja käsitellään Palvelussa kahdessa eri roolissa.
Palveluntarjoaja toimii rekisterinpitäjänä niiden tietojen osalta, jotka liittyvät käyttäjätilien hallintaan ja Palvelun käyttöön (esimerkiksi käyttäjän yhteystiedot ja kirjautumistiedot).
Käyttäjän Palveluun lataama projektiaineisto (kuten piirustukset ja PDF-tiedostot) voi sisältää henkilötietoja. Näiden tietojen osalta käyttäjä (asiakas) on rekisterinpitäjä ja Palveluntarjoaja toimii henkilötietojen käsittelijänä käyttäjän lukuun. Käsittelijän roolissa Palveluntarjoaja: käsittelee aineistoa vain käyttäjän ohjeiden mukaisesti; sitoutuu salassapitoon; käyttää alihankkijoita vain vastaavin tietosuojaehdoin; avustaa käyttäjää rekisteröityjen oikeuksien toteuttamisessa ja tietoturvavelvoitteissa; sekä palauttaa tai poistaa aineiston toimeksiannon päättyessä käyttäjän ohjeiden mukaisesti. Käsittelyä koskevat velvollisuudet määritellään tietojenkäsittelysopimuksessa (DPA). Asiakas vastaa projektiaineiston käsittelyn tarkoituksesta, oikeusperusteesta, rekisteröityjen informoinnista ja antamiensa ohjeiden lainmukaisuudesta. Palveluntarjoaja vastaa omista rekisterinpitäjän ja käsittelijän velvollisuuksistaan. Tämä seloste ei siirrä lakisääteistä vastuuta eikä rajoita rekisteröityjen oikeuksia.
Palvelussa käsitellään seuraavia henkilötietoja:
Sopimushyväksynnän tiedot: hyväksyjän käyttäjätunniste ja sähköpostiosoite, edustettu yritys ja sen tunnistetiedot, hyväksymisaika, käyttöehtojen ja DPA:n versiot, sisällön tiiviste sekä hyväksytty sisältö. Hyväksyntätietoihin ei tallenneta IP-osoitetta eikä selaimen user-agent-tietoa.
Henkilötietoja käsitellään seuraaviin tarkoituksiin ja seuraavilla oikeusperusteilla:
Käyttäjätilin perustamiseksi ja Palvelun käyttämiseksi tarvittavien tietojen (kuten nimi tai käyttäjätunnus ja sähköpostiosoite) antaminen on edellytys käyttäjätilin luomiselle ja Palvelun käytölle. Jos näitä tietoja ei anneta, käyttäjätiliä ei voida luoda eikä Palvelua käyttää.
Sopimushyväksynnän näyttöä käsitellään yrityksen sopimuksen ja hyväksymisvaltuuden osoittamiseksi sekä oikeusvaateiden laatimiseksi, esittämiseksi tai puolustamiseksi. Peruste on Palveluntarjoajan oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta). Tietosuojaseloste on tiedote, eikä sopimuksen hyväksyminen ole suostumus kaikkeen henkilötietojen käsittelyyn tai markkinointiin.
Palvelu tuottaa määrälaskelmia asiakkaan aineistosta. Nämä ovat apuväline, eivätkä ne muodosta tietosuoja-asetuksen 22 artiklassa tarkoitettua pelkkään automaattiseen käsittelyyn perustuvaa päätöstä, jolla olisi rekisteröityyn kohdistuvia oikeusvaikutuksia tai joka muutoin vaikuttaisi häneen merkittävästi. Käyttäjä tarkistaa tulokset ja päättää niiden käytöstä. Rekisteröityjä ei profiloida markkinointi- tai muihin vastaaviin tarkoituksiin.
Henkilötietoja ei myydä eikä luovuteta sivullisille markkinointitarkoituksiin. Palvelun toteuttamiseksi käytetään huolellisesti valittuja ulkopuolisia palveluntoimittajia, jotka käsittelevät henkilötietoja Palveluntarjoajan lukuun. Näitä ovat seuraavat alihankkijakategoriat:
Palvelun teknisten alihankkijoiden luettelo on tietojenkäsittelysopimuksen (DPA) liitteessä 2.
Käsittelyalueet on kuvattu DPA:n alihankkijaluettelossa. Sovelluspalvelin on Helsingissä (Suomi), tunnistautumis- ja tietovarastopalvelun projektialue on Tukholma, Ruotsi (EU), ja salatut varmuuskopiot säilytetään Amsterdamissa (Alankomaat). Asiakkaan projektiaineistoa ei siirretä EU:n tai ETA:n ulkopuolelle. Alikäsittelijän omat alihankkijat on lueteltu sen julkisessa alihankkijaluettelossa.
Laskutus hoidetaan Palveluntarjoajan erillisessä laskutusjärjestelmässä Palvelun ulkopuolella. Palveluntarjoaja vastaa omassa laskutuksessaan käsittelemistään henkilötiedoista rekisterinpitäjänä myös käyttäessään ulkopuolista palvelua.
Tilin vahvistus-, salasanan palautus- ja kutsuviestien välitykseen käytetään erillistä sähköpostipalvelua (Resend, Inc.). Tässä yhteydessä käsitellään vastaanottajan sähköpostiosoitetta, viestin sisältöä ja toimituslokia. Viestit lähetetään Irlannista (EU), mutta välittäjä säilyttää nämä tiedot Yhdysvalloissa; siirron perusteena ovat EU:n vakiosopimuslausekkeet ja EU–Yhdysvallat-tietosuojakehys. Asiakkaan projektiaineistoa ei siirretä sähköpostivälittäjälle. Ajantasainen tieto käytetystä välittäjästä ja siirron oikeusperusteesta toimitetaan pyynnöstä osoitteesta info@vektoria.fi.
Henkilötietoja säilytetään vain niin kauan kuin se on tarpeen niiden käsittelyn tarkoitusten toteuttamiseksi tai lainsäädännön edellyttämänä.
Käyttäjätilin tiedot säilytetään tilin voimassaolon ajan. Tili ja projektiaineisto poistetaan 30 päivän kuluessa käyttöoikeuden päättymisestä tai poistopyynnöstä, ja salatuista varmuuskopioista tiedot poistuvat viimeistään kuuden kuukauden kuluessa. Lainsäädännön edellyttämät tiedot säilytetään lakisääteisen ajan. Käsittelijän roolissa käsiteltävän projektiaineiston palautuksesta ja poistosta sovitaan DPA:ssa.
Väärinkäytösten havaitsemiseen käytettävät turvalokit (istunnot, kyselymäärät, IP-osoitteet ja ohjelmistotiedot) säilytetään 12 kuukautta. Jos lokit liittyvät selvitettävään rikkomukseen, niitä säilytetään asian selvittämisen ja mahdollisen oikeusvaateen ajan.
Sähköpostiosoite säilytetään osana sopimusnäyttöä hyväksyjän yksilöimiseksi myös tilin poistamisen jälkeen. Säilytyksen peruste on sama oikeutettu etu sopimuksen ja oikeusvaateiden osoittamiseen. Sopimushyväksynnän näyttö säilytetään sopimuksen voimassaolon ajan ja kolme vuotta sen päättymisestä oikeusvaateiden selvittämistä varten. Jos yksilöity vaatimus on vireillä, siihen liittyvää näyttöä säilytetään asian lopulliseen ratkaisuun asti. Tarpeellisuus tarkistetaan vuosittain. Näyttöä saavat käsitellä vain sopimushallintoon tai oikeusvaateen käsittelyyn valtuutetut henkilöt; tilin poistaminen ei automaattisesti poista tarpeellista sopimusnäyttöä.
Henkilötietojen suojaamiseksi käytetään asianmukaisia teknisiä ja organisatorisia toimenpiteitä. Keskeisiä suojatoimia ovat:
Tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle ja rekisteröidyille tietosuojalainsäädännön edellyttämällä tavalla. Kun Palveluntarjoaja toimii käsittelijänä, sen ilmoitusvelvollisuudesta sovitaan DPA:ssa.
Palvelussa ei käytetä seuranta- tai mainosevästeitä eikä käyttäjiä profiloida markkinointitarkoituksiin. Palvelu käyttää ainoastaan kirjautumiseen ja istunnon ylläpitoon tarvittavaa välttämätöntä istuntotietoa, joka on edellytys Palvelun toiminnalle. Maksaminen tapahtuu maksunvälittäjän omilla sivuilla, joihin sovelletaan kyseisen palveluntarjoajan omia eväste- ja tietosuojakäytäntöjä.
Rekisteröidyllä on tietosuojalainsäädännön mukaiset oikeudet omiin henkilötietoihinsa. Näitä oikeuksia ovat muun muassa:
Käyttäjä saa oman tilinsä ja projektiensa perustiedot itse Palvelusta kohdasta Oma tili → ”Lataa tilin tiedot (JSON)”. Tämä toteuttaa oikeuden saada jäljennös omista tiedoista ja oikeuden siirtää tiedot järjestelmästä toiseen ilman erillistä pyyntöä.
Oikeuksien käyttämistä koskevat pyynnöt voi toimittaa osoitteeseen tietosuoja@vektoria.fi. Pyyntöön vastataan tietosuojalainsäädännön mukaisessa ajassa, ja henkilöllisyys voidaan tarvittaessa varmistaa ennen pyynnön toteuttamista. Jos pyyntö koskee asiakkaan projektiaineistossa olevia henkilötietoja, pyyntö tulee ensisijaisesti osoittaa kyseiselle käyttäjälle (rekisterinpitäjälle), ja Palveluntarjoaja avustaa pyynnön täyttämisessä käsittelijän roolissa.
Jos rekisteröity katsoo, että hänen henkilötietojensa käsittely on tietosuojalainsäädännön vastaista, hänellä on oikeus tehdä valitus valvontaviranomaiselle. Suomessa valvontaviranomainen on tietosuojavaltuutetun toimisto (tietosuoja.fi).
Tätä tietosuojaselostetta voidaan päivittää Palvelun tai lainsäädännön muuttuessa. Olennaisista muutoksista ilmoitetaan käyttäjille asianmukaisella tavalla, esimerkiksi Palvelussa tai sähköpostitse.