Suunta.ai tietojenkäsittelysopimus (DPA)

Osapuolet

Rekisterinpitäjä (asiakas): taho, joka on hyväksynyt Suunta.ai:n käyttöehdot ja käyttää palveluja. Jos asiakas käsittelee palveluissa henkilötietoja omien asiakkaidensa lukuun, asiakas toimii niiden osalta käsittelijänä ja Suunta.ai asiakkaan alikäsittelijänä, ja tätä sopimusta sovelletaan vastaavasti.

Henkilötietojen käsittelijä (Suunta.ai): Y4 Works Oy, Y-tunnus 2978296-6, Kanavaranta 9, 00160 Helsinki, privacy@suunta.ai.

Määritelmät

Tässä sopimuksessa käytetään käyttöehtojen määritelmiä. Lisäksi "henkilötiedot", "käsittely", "rekisteröity", "rekisterinpitäjä" ja "henkilötietojen käsittelijä" tarkoittavat samaa kuin GDPR:ssä, ja:

"Alikäsittelijä" tarkoittaa kolmatta osapuolta, jota Suunta.ai käyttää asiakkaan tietoihin sisältyvien henkilötietojen käsittelyyn.

"GDPR" tarkoittaa Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679 (yleinen tietosuoja-asetus).

"Vakiosopimuslausekkeet" tarkoittavat Euroopan komission hyväksymiä vakiosopimuslausekkeita henkilötietojen siirtämiseksi EU/ETA-alueen ulkopuolelle.

"Tietoturvaloukkaus" tarkoittaa tietoturvaloukkausta, joka johtaa asiakkaan tietoihin sisältyvien henkilötietojen vahingossa tapahtuvaan tai lainvastaiseen tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn.

Soveltamisala ja tarkoitus

2.1 Soveltamisala. Palvelut on tarkoitettu organisaation liiketoimintatietojen, kuten strategioiden, tavoitteiden ja päätösten, käsittelyyn. Asiakkaan tiedot voivat kuitenkin sisältää henkilötietoja, esimerkiksi henkilöiden nimiä, rooleja ja vastuita. Tämä sopimus koskee näiden henkilötietojen käsittelyä, jonka Suunta.ai tekee asiakkaan lukuun palvelujen yhteydessä.

2.2 Roolit. Asiakkaan tietoihin sisältyvien henkilötietojen osalta asiakas on rekisterinpitäjä ja Suunta.ai henkilötietojen käsittelijä. Suunta.ai on itsenäinen rekisterinpitäjä niiden henkilötietojen osalta, joita se käsittelee omiin tarkoituksiinsa, kuten käyttäjätilien ja kirjautumisen hallintaan, laskutukseen, asiakassuhteen hoitamiseen, tietoturvaan, tuoteanalytiikkaan ja palveluun liittyvään viestintään. Tähän käsittelyyn ei sovelleta tätä sopimusta, vaan siitä kerrotaan Suunta.ai:n tietosuojaselosteessa.

2.3 Käsittelyn kohde ja tarkoitus. Suunta.ai käsittelee asiakkaan tietoihin sisältyviä henkilötietoja palvelujen tuottamiseksi käyttöehtojen mukaisesti, erityisesti:

• asiakkaan ja käyttäjien palveluun viemien tietojen tallentamiseen ja käsittelyyn
• strategisen suunnittelun, seurannan ja päätöksenteon toimintojen tarjoamiseen
• tekoälyavusteisten analyysien, ehdotusten ja muun tulosteen tuottamiseen
• asiakkaan pyytämään tukeen ja asiakkaan ohjeiden toteuttamiseen
• tietojen suojaamiseen ja varmuuskopiointiin.

2.4 Käsittelyn kesto. Käsittely kestää käyttöehtojen mukaisen sopimuksen ajan ja sen jälkeen siihen asti, kunnes tiedot on palautettu tai poistettu kohdan 4.6 mukaisesti.

Rekisteröidyt ja henkilötietoryhmät

3.1 Rekisteröityjen ryhmät. Asiakkaan tiedot voivat sisältää henkilötietoja seuraavista ryhmistä:

• asiakkaan käyttäjät, kuten työntekijät, luottamushenkilöt, urakoitsijat ja konsultit
• muut henkilöt, joiden tietoja asiakas tai käyttäjät vievät palveluun, esimerkiksi asiakkaan asiakkaiden, kumppanien ja sidosryhmien edustajat.

3.2 Henkilötietoryhmät. Käsiteltävät henkilötiedot riippuvat siitä, mitä asiakas ja käyttäjät vievät palveluun. Niihin kuuluu tyypillisesti:

Käyttäjätilien, kirjautumisen, laskutuksen, tietoturvalokien ja tuoteanalytiikan tietoja Suunta.ai käsittelee rekisterinpitäjänä kohdan 2.2 mukaisesti.

3.3 Erityiset henkilötietoryhmät. Asiakas ei saa viedä palveluihin GDPR:n 9 artiklassa tarkoitettuja erityisiä henkilötietoryhmiä eikä 10 artiklassa tarkoitettuja rikostuomioita ja rikkomuksia koskevia henkilötietoja ilman Suunta.ai:n kirjallista ennakkosuostumusta. Jos tällaisia tietoja kuitenkin päätyy palveluihin, Suunta.ai käsittelee niitä tämän sopimuksen mukaisesti ja avustaa asiakasta niiden poistamisessa.

Käsittelijän velvoitteet

4.1 Käsittelyohjeet. Suunta.ai käsittelee asiakkaan tietoihin sisältyviä henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Tämä sopimus, käyttöehdot ja palvelujen käyttö niiden toimintojen mukaisesti muodostavat asiakkaan ohjeet. Jos lainsäädäntö velvoittaa Suunta.ai:n käsittelemään tietoja muuten, Suunta.ai ilmoittaa siitä asiakkaalle ennen käsittelyä, ellei laki kiellä ilmoittamista. Suunta.ai ilmoittaa asiakkaalle, jos se katsoo ohjeen rikkovan GDPR:ää.

4.2 Salassapito. Suunta.ai varmistaa, että tietoja käsitteleviä henkilöitä sitoo salassapitovelvollisuus.

4.3 Turvatoimet. Suunta.ai toteuttaa GDPR:n 32 artiklan mukaiset, riskiin nähden asianmukaiset tekniset ja organisatoriset turvatoimet, jotka kuvataan yleisellä tasolla liitteessä B. Suunta.ai voi muuttaa turvatoimia tekniikan ja uhkien kehittyessä, kunhan suojan yleinen taso ei olennaisesti heikkene.

4.4 Alikäsittely. Suunta.ai voi käyttää alikäsittelijöitä kohdan 6 mukaisesti.

4.5 Avustaminen. Suunta.ai avustaa asiakasta kohtuullisessa laajuudessa ja käsittelyn luonne huomioon ottaen rekisteröityjen pyyntöihin vastaamisessa, GDPR:n 32–36 artiklan mukaisten velvoitteiden täyttämisessä ja vaatimustenmukaisuuden osoittamisessa. Tavanomaista olennaisesti laajemmasta avusta Suunta.ai voi veloittaa kohtuullisen, etukäteen ilmoitetun korvauksen.

4.6 Palautus ja poisto. Sopimuksen päätyttyä: (a) asiakas voi pyytää tietojensa vientiä käyttöehtojen kohdan 15.5 mukaisesti, ja vienti toimitetaan yleisesti käytetyssä koneluettavassa muodossa; ja (b) Suunta.ai poistaa tai anonymisoi asiakkaan tietoihin sisältyvät henkilötiedot kohtuullisessa ajassa, ellei laki edellytä niiden säilyttämistä. Varmuuskopioista tiedot poistuvat niiden tavanomaisen kierron mukana.

Tekoälyä koskeva käsittely

5.1 Tekoälykäsittely. Kun tekoälyominaisuuksia käytetään, kehotteet ja niihin liittyvä asiakkaan tietoihin perustuva konteksti välitetään kolmannen osapuolen tekoälypalveluntarjoajalle vastauksen tuottamiseksi. Syötteitä voidaan tarkistaa automaattisesti väärinkäytön varalta, jolloin niitä välitetään tarkistuspalveluun. Tarjoajien olennaiset säilytyskäytännöt kerrotaan alikäsittelijäluettelossa. Suunta.ai tallentaa tekoälyominaisuuksien sisältöä, kuten keskusteluhistoriaa, siinä määrin kuin palvelun toiminta edellyttää.

5.2 Johdetut tiedot. Palvelu voi muodostaa asiakkaan tiedoista johdettuja tietoja, kuten tiivistelmiä, havaintoja, päätöskirjauksia ja organisaation muistia, joita käytetään palvelun toiminnassa. Työtilassa käydyistä keskusteluista voidaan muodostaa työtilan yhteistä muistia, jota työtilan jäsenten tekoälyominaisuudet hyödyntävät. Johdetut tiedot ovat asiakkaan tietoja, ja niihin sovelletaan tätä sopimusta, mukaan lukien kohdan 4.6 mukaista palautusta ja poistoa. Organisaation itsepalveluviennistä rajataan pois yksittäisen käyttäjän yksityinen sisältö, kuten yksityiset keskustelut, henkilökohtainen muisti ja omat tavoitteet. Rajaus ei rajoita asiakkaan oikeutta saada asiakkaan tietoihin sisältyvät henkilötiedot palautetuiksi tai poistetuiksi eikä Suunta.ai:n velvollisuutta avustaa rekisteröityjen oikeuksia koskevissa pyynnöissä; tällaiset pyynnöt käsitellään tapauskohtaisesti kohtien 4.6 ja 7 mukaisesti. Asiakas vastaa rekisterinpitäjänä siitä, että organisaation sisäiselle tietojen jakamiselle palvelussa, kuten työtilan yhteiselle muistille, on peruste.

5.3 Ei koulutusta asiakkaan tiedoilla. Suunta.ai ei käytä asiakkaan tietoja yleiskäyttöisten tekoälymallien kouluttamiseen ilman asiakkaan suostumusta ja valitsee kolmannen osapuolen tekoälypalveluntarjoajat ja niiden asetukset tämän periaatteen mukaisesti.

5.4 Dokumenttien käsittely. Palveluun ladatuista dokumenteista muodostetaan hakua varten indeksi. Kun asiakas poistaa dokumentin palvelusta, dokumenttia ei enää käytetä palvelussa ja siitä muodostettu indeksi poistetaan. Seitsemän päivän ajan poistosta dokumentti voidaan asiakkaan pyynnöstä palauttaa. Alkuperäinen tiedosto poistetaan pysyvästi viimeistään 30 päivän kuluessa poistosta. Dokumentin perusteella palveluun tehdyt kirjaukset, kuten päätökset ja hyväksytyt muutokset, säilyvät asiakkaan tietoina. Varmuuskopioista tiedot poistuvat niiden tavanomaisen kierron mukana.

Alikäsittelijät

6.1 Yleinen valtuutus. Asiakas antaa Suunta.ai:lle yleisen valtuutuksen käyttää alikäsittelijöitä. Kulloinkin käytössä olevat alikäsittelijät on lueteltu liitteessä A mainitussa luettelossa.

6.2 Alikäsittelijöiden velvoitteet. Suunta.ai valitsee alikäsittelijät huolellisesti ja tekee niiden kanssa kirjalliset sopimukset, joiden tietosuojavelvoitteet suojaavat asiakkaan tietoihin sisältyviä henkilötietoja vähintään tämän sopimuksen tasoisesti. Suunta.ai vastaa alikäsittelijöidensä toiminnasta asiakkaalle kuin omastaan.

6.3 Muutoksista ilmoittaminen. Suunta.ai pitää ajantasaista alikäsittelijäluetteloa osoitteessa https://work.suunta.ai/legal/subprocessors ja ilmoittaa uudesta alikäsittelijästä sähköpostitse tai palvelussa vähintään 14 päivää ennen sen käyttöönottoa. Ilmoitusaika voi olla lyhyempi, jos alikäsittelijä on vaihdettava kiireellisesti palvelun turvallisuuden tai jatkuvuuden vuoksi.

6.4 Vastustaminen. Asiakas voi vastustaa uutta alikäsittelijää perustellusta tietosuojasyystä ilmoitusajan kuluessa, jolloin osapuolet pyrkivät löytämään ratkaisun. Jos ratkaisua ei löydy 30 päivän kuluessa, asiakas voi irtisanoa palvelut, joita muutos koskee, ilman seuraamuksia ja saada hyvityksen etukäteen maksetulta, käyttämättä jäävältä ajalta. Tämä on asiakkaan ainoa oikeussuojakeino alikäsittelijää koskevassa vastustuksessa.

Rekisteröityjen oikeudet

7.1 Avustaminen. Suunta.ai avustaa asiakasta rekisteröityjen pyyntöihin vastaamisessa kohdan 4.5 mukaisesti.

7.2 Rekisteröidyn pyynnöt. Jos Suunta.ai saa rekisteröidyltä pyynnön, joka koskee asiakkaan tietoihin sisältyviä henkilötietoja, se ohjaa pyynnön asiakkaalle ilman aiheetonta viivytystä eikä vastaa siihen itse, ellei asiakas ole siihen valtuuttanut tai laki sitä edellytä. Käyttäjätiliä ja muita Suunta.ai:n rekisterinpitäjänä käsittelemiä tietoja koskevat pyynnöt Suunta.ai käsittelee itse tietosuojaselosteensa mukaisesti.

7.3 Itsepalvelutoiminnot. Palvelut voivat sisältää toimintoja, joilla käyttäjät ja asiakkaan pääkäyttäjät voivat itse hoitaa pyyntöjä, esimerkiksi tarkastella, korjata, viedä ja poistaa tietoja sekä pyytää organisaation tietojen vientiä tai poistoa.

Tietoturvaloukkaukset

8.1 Ilmoitus. Suunta.ai ilmoittaa asiakkaalle tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan sen tietoonsa. Ilmoitus sisältää ne GDPR:n 33 artiklan 3 kohdan mukaiset tiedot, jotka ovat tuolloin saatavilla, ja tietoja täydennetään selvityksen edetessä.

8.2 Yhteistyö. Suunta.ai ryhtyy kohtuullisiin toimiin loukkauksen vaikutusten rajoittamiseksi ja avustaa asiakasta kohtuullisessa laajuudessa loukkauksen selvittämisessä sekä valvontaviranomaiselle ja rekisteröidyille tehtävissä ilmoituksissa.

8.3 Kirjanpito. Suunta.ai pitää kirjaa tietoturvaloukkauksista ja niiden johdosta tehdyistä toimista.

8.4 Vastuu. Ilmoitus tietoturvaloukkauksesta tai siihen liittyvä yhteistyö ei merkitse, että Suunta.ai myöntäisi olevansa vastuussa loukkauksesta.

Kansainväliset siirrot

9.1 Käsittelypaikat. Tietoja käsitellään ensisijaisesti EU/ETA-alueella. Osa käsittelystä, erityisesti tekoälykäsittely, voi tapahtua EU/ETA-alueen ulkopuolella. Käsittelypaikat on lueteltu alikäsittelijäluettelossa.

9.2 Siirtomekanismit. Siirrot EU/ETA-alueen ulkopuolelle perustuvat Euroopan komission tietosuojan riittävyyttä koskevaan päätökseen, kuten EU–USA-tietosuojakehykseen, tai vakiosopimuslausekkeisiin sekä tarvittaessa täydentäviin suojatoimiin. Jos käytetty siirtomekanismi lakkaa olemasta voimassa, Suunta.ai siirtyy käyttämään toista GDPR:n mukaista siirtomekanismia.

9.3 Siirtojen arviointi. Ennen siirtoa Suunta.ai arvioi siirrettävien tietojen luonteen, käytettävissä olevat suojatoimet, kohdemaan lainsäädännön ja alikäsittelijän kanssa sovitut sopimukselliset suojat.

Tarkastusoikeudet

10.1 Selvitykset. Asiakkaan kirjallisesta pyynnöstä, enintään kerran vuodessa, Suunta.ai toimittaa kohtuullisessa ajassa tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi, kuten kuvauksen turvatoimista ja tiedot asiakkaan tietoihin kohdistuneista tietoturvaloukkauksista. Kerran vuodessa -raja ei koske tilanteita, joissa tietoja tarvitaan asiakkaan tietoihin kohdistuneen tietoturvaloukkauksen tai perustellusti epäillyn tämän sopimuksen rikkomisen selvittämiseen, eikä asiakkaan lakisääteistä oikeutta saada tietoja.

10.2 Tarkastukset. Jos kohdan 10.1 tiedot eivät riitä, asiakas voi tehdä tai teettää tarkastuksen enintään kerran vuodessa. Tarkastuksesta on ilmoitettava kirjallisesti 30 päivää etukäteen, ja se tehdään työaikana, palvelua ja muiden asiakkaiden tietoja vaarantamatta, asiakkaan kustannuksella ja salassapitositoumuksin. Tarkastaja ei saa olla Suunta.ai:n kilpailija. Tarkastus rajoittuu tämän sopimuksen noudattamiseen. Kerran vuodessa -raja ja ilmoitusaika eivät koske tarkastusta, joka on tarpeen asiakkaan tietoihin kohdistuneen vakavan tietoturvaloukkauksen tai perustellusti epäillyn tämän sopimuksen rikkomisen vuoksi; tällöin tarkastuksesta sovitaan viipymättä. Tämän kohdan rajoitukset eivät koske valvontaviranomaisen lakisääteisiä tarkastuksia.

10.3 Sertifioinnit. Suunta.ai kertoo pyynnöstä mahdollisista tietoturvaa koskevista sertifioinneistaan ja arvioinneistaan.

Tietojen säilyttäminen

11.1 Säilytysajat. Asiakkaan tietoja säilytetään sopimuksen ajan, kunnes asiakas tai käyttäjä poistaa ne palvelussa tai ne poistetaan kohdan 4.6 mukaisesti. Poistettujen dokumenttien osalta noudatetaan kohtaa 5.4. Varmuuskopioista tiedot poistuvat niiden tavanomaisen kierron mukana rajoitetun ajan kuluessa. Jos tiedot palautetaan varmuuskopiosta, Suunta.ai poistaa palautetuista tiedoista uudelleen ne, jotka oli poistettu ennen palautusta, ennen kuin palvelu avataan käyttöön. Suunta.ai:n rekisterinpitäjänä käsittelemien tietojen säilytyksestä kerrotaan tietosuojaselosteessa.

11.2 Organisaation poisto. Organisaation poisto alkaa asiakkaan pääkäyttäjän pyynnöstä tai sopimuksen päätyttyä kohdan 4.6 mukaisesti. Pääkäyttäjän pyytämää poistoa voi edeltää siirtymäaika, jonka kuluessa pyynnön voi perua. Sen jälkeen organisaation tiedot poistetaan, ja poistosta jää lokimerkintä. Käyttäjätilit säilyvät, mutta niiden pääsy organisaatioon päättyy.

Vastuu

Osapuolten vastuu tämän sopimuksen perusteella määräytyy käyttöehtojen vastuunrajoitusten mukaisesti. Tämä ei rajoita rekisteröityjen GDPR:n mukaisia oikeuksia.

Voimassaolo

Tämä sopimus on voimassa niin kauan kuin Suunta.ai käsittelee asiakkaan tietoihin sisältyviä henkilötietoja, myös käyttöehtojen mukaisen sopimuksen päätyttyä.

Sovellettava laki ja riitojenratkaisu

Tähän sopimukseen sovelletaan Suomen lakia. Riidat ratkaistaan käyttöehtojen riitojenratkaisua koskevien määräysten mukaisesti.

Yhteystiedot

Y4 Works Oy (Suunta.ai), Kanavaranta 9, 00160 Helsinki, privacy@suunta.ai.

Alikäsittelijät

Ajantasainen luettelo alikäsittelijöistä, niiden tehtävistä ja käsittelypaikoista on osoitteessa https://work.suunta.ai/legal/subprocessors.

Tekniset ja organisatoriset turvatoimet

1. Sijainti: tiedot tallennetaan ensisijaisesti EU/ETA-alueelle. Poikkeukset on lueteltu alikäsittelijäluettelossa.
2. Pääsynhallinta: roolipohjaiset oikeudet, organisaatioiden tietojen erottelu, henkilökohtaiset tunnukset, istuntojen aikakatkaisu ja kirjautumisen suojaus.
3. Salaus: tiedot salataan tallennettuina ja siirrettäessä, ja salasanat tallennetaan suojattuina.
4. Varmuuskopiot ja palautuminen: säännölliset automaattiset varmuuskopiot ja dokumentoitu palautusmenettely. Palautuksessa aiemmin poistetut tiedot poistetaan uudelleen ennen käyttöönottoa.
5. Lokitus ja seuranta: käyttäjätoiminnot, tekoälyn käyttö ja tietoturvatapahtumat kirjataan, ja niitä seurataan.
6. Poikkeamat: poikkeamille on käsittelymenettely, ja tietoturvaloukkauksista ilmoitetaan kohdan 8 mukaisesti.
7. Henkilöstö: salassapitovelvollisuus, tietoturvaohjeet ja vain tehtävään tarvittavat oikeudet.
8. Toimittajat: alikäsittelijät valitaan huolellisesti, ja niitä sitovat kirjalliset tietosuojavelvoitteet.
9. Testaus ja arviointi: turvatoimien toimivuutta testataan ja arvioidaan säännöllisesti.