Henkilötietojen käsittelysopimus

1. Osapuolet ja sovellettavuus

Tämä henkilötietojen käsittelysopimus (”DPA”) muodostaa liitteen ja erottamattoman osan sopimusta, joka säätelee Asiakkaan Talentwisen palveluiden käyttöä (”Pääsopimus”). Tätä DPA-sopimusta sovelletaan yksinomaan sellaiseen henkilötietojen käsittelyyn, jossa Talentwise toimii henkilötietojen käsittelijänä asetuksen (EU) 2016/679 (”yleinen tietosuoja-asetus” tai ”GDPR”) mukaisesti.

• Rekisterinpitäjä (”Asiakas”) viittaa oikeushenkilöön, joka on tehnyt Pääsopimuksen.
  

• Henkilötietojen käsittelijä (”Talentwise”) viittaa yhtiöön Talentwise AB, rekisterinumero 556956-0351.
  

Talentwise AB toimii konserniyhtiönä, joka vastaa tietosuojan hallinnasta, infrastruktuurin johtamisesta ja alikäsittelijöiden hallinnasta Palveluiden yhteydessä.

2. Käsittelyn luonne, tarkoitus ja laajuus

2.1. Talentwise käsittelee henkilötietoja toimittaakseen palveluita, jotka Asiakas on tilannut Pääsopimuksen ja sovellettavien Palvelusopimusten mukaisesti.

2.2. Käsittely voi sisältää säilyttämistä, jäsentämistä, pääsynvalvontaa, teknistä toteuttamista, tukea ja muita tarvittavia toiminnallisia toimia.

2.3. Henkilötietoryhmät ja rekisteröityjen ryhmät on määritelty sovellettavissa Palvelusopimuksissa tai Asiakkaan ohjeissa.

2.4. Käsittelyä suoritetaan Sopimuksen voimassaoloajan ja sovellettavissa Palvelusopimuksissa tai Asiakkaan ohjeissa määriteltyjen säilytysaikojen mukaisesti.

2.5. Yksityiskohtaiset käsittelyohjeet kutakin palvelua varten on esitetty tämän DPA-sopimuksen liitteessä 2.1.

3. Henkilötietojen käsittelijän velvollisuudet

3.1. Talentwise käsittelee henkilötietoja vain tämän DPA-sopimuksen, Pääsopimuksen ja Asiakkaan dokumentoitujen ohjeiden mukaisesti.

3.2. Talentwise varmistaa, että vain valtuutetuilla henkilöillä on pääsy henkilötietoihin ja että näitä henkilöitä koskee työsopimuksiin, sisäisiin ohjeisiin tai muihin sitoviin sitoumuksiin perustuva salassapitovelvollisuus.

3.3. Talentwise ja sen henkilöstö eivät saa laittomasti ilmaista tai muutoin käyttää tämän DPA-sopimuksen alaisuudessa käsiteltyjä henkilötietoja. Poikkeuksena on tilanne, jossa ilmaisemista edellytetään laissa tai toimivaltaisen viranomaisen päätöksessä.

3.4 Talentwise avustaa Asiakasta mahdollisuuksien mukaan toimittamalla tiedot, jotka ovat tarpeen, jotta Asiakas voi täyttää GDPR:n artiklojen 32–36 mukaiset velvollisuutensa, osoittaa tämän DPA-sopimuksen noudattamisen sekä mahdollistaa tarvittavat tarkastukset ja osallistua niihin.

3.5. Talentwise oikaisee, poistaa tai rajoittaa henkilötietojen käsittelyä Asiakkaan pyynnöstä tai Asiakkaan ohjeiden mukaisesti ilman aiheetonta viivytystä siltä osin kuin sovellettava laki sen sallii ja tekniset rajoitukset huomioon ottaen. Käsittelyn päätyttyä henkilötietojen poistaminen ja mahdollinen palauttaminen suoritetaan osion Säilyttäminen ja poistaminen mukaisesti.

3.6. Talentwise ilmoittaa Asiakkaalle ilman aiheetonta viivytystä ja joka tapauksessa viimeistään neljänkymmenenkahdeksan (48) tunnin kuluessa siitä, kun se on tullut tietoiseksi henkilötietojen tietoturvaloukkauksesta tai luvattoman pääsyn yrityksestä, GDPR:n artiklan 33 mukaisesti.

Tällaisen ilmoituksen tulee sisältää tiedot, joiden avulla Asiakas voi täyttää GDPR:n mukaiset velvollisuutensa, mukaan lukien kuvaus tapahtuman luonteesta, sen todennäköisistä seurauksista sekä toimenpiteistä, joihin on ryhdytty tai joita ehdotetaan tapahtuman johdosta.

4. Alikäsittelijät ja ulkopuoliset palveluntarjoajat

4.1. Asiakas antaa täten yleisen kirjallisen valtuutuksen Talentwiselle käyttää alikäsittelijöitä tämän DPA-sopimuksen mukaisten velvoitteidensa täyttämiseksi.

4.2. Kuhunkin alikäsittelijään on kirjallisella sopimuksella sovellettava samoja tietosuojavelvoitteita kuin ne, jotka on asetettu Talentwiselle tämän DPA-sopimuksen mukaisesti, siltä osin kuin alikäsittelijä käsittelee henkilötietoja henkilötietojen käsittelijänä.

4.3. Kulloinkin voimassa oleva luettelo alikäsittelijöistä on saatavilla osoitteessa refapp.com/fi/legal-fi/data-processing. Pääsopimuksen tekemisen ajankohtana sovellettava alikäsittelijäluettelo on esitetty versiossa 2025.02.

4.4. Talentwisen on ilmoitettava Asiakkaalle kirjallisesti vähintään kolmekymmentä (30) päivää ennen uuden alikäsittelijän ottamista tai olemassa olevan alikäsittelijän korvaamista. Asiakkaalla on oikeus vastustaa tällaista muutosta, mikäli sille on tietosuojaan tai tietoturvaan liittyvät objektiivisesti perustellut syyt. Mikäli Osapuolet eivät pääse sopimukseen asianmukaisista toimenpiteistä, Asiakkaalla on oikeus purkaa Pääsopimus ennen muutoksen voimaantuloa, ottaen huomioon Pääsopimuksessa määrätyt ennakkoon maksettuja jaksoja koskevat säännöt.

4.5. Asiakkaan pyynnöstä Talentwise toimittaa tiedot alikäsittelijöiden henkilöllisyydestä, käsittelyn sijaintipaikasta sekä kuvauksen palveluiden luonteesta siltä osin kuin tällainen ilmoitus ei paljasta kaupallisesti arkaluonteisia tietoja.

5. Käsittelyn sijainti ja siirrot kolmansiin maihin

5.1. Henkilötietoja käsitellään siinä käyttöympäristössä, jonka Asiakas on valinnut sovellettavassa Palvelusopimuksessa.

5.2. Talentwise voi siirtää henkilötietoja EU/ETA-alueen ulkopuolelle vain siltä osin kuin tällainen siirto suoritetaan GDPR:n luvun V ja Asiakkaan ohjeiden mukaisesti.

5.3. Asiakas hyväksyy sen, että Talentwise voi käyttää kolmansissa maissa sijaitsevia alikäsittelijöitä, edellyttäen että GDPR:n artiklan 46 mukaiset asianmukaiset suojatoimet on toteutettu.

6. Asiakkaan velvollisuudet

6.1. Asiakas vastaa siitä, että:

(i) kaikelle henkilötietojen käsittelylle on voimassa oleva laillinen peruste;

(ii) rekisteröidyille tiedotetaan GDPR:n artiklojen 13–14 mukaisesti;

(iii) Talentwiselle toimitetut ohjeet ovat lainmukaisia, selkeitä ja ajan tasalla;

(iv) Asiakkaan oma henkilötietojen käsittely ja säilytys noudattavat GDPR-asetusta; ja

(v) Asiakas ei ohjeista Talentwisea suorittamaan mitään lainvastaista käsittelyä.

7. Rekisteröidyn oikeudet

7.1. Talentwise avustaa Asiakasta rekisteröityjen pyyntöjen käsittelyssä:

(i) toimittamalla asiaankuuluvat tiedot;

(ii) pyynnöstä suorittamalla toimenpiteitä, jotka kuuluvat Talentwisen vaikutusvaltaan; ja

(iii) muutoin avustamalla Asiakasta siinä laajuudessa kuin GDPR sitä edellyttää.

7.2. Asiakas vastaa viestinnästä rekisteröityjen kanssa ja päätöksenteosta toimenpiteisiin ryhtymisestä. Talentwise ei vastaa suoraan rekisteröidyille, ellei Asiakas ole nimenomaisesti ohjeistanut sitä tekemään niin.

8. Tietoturva

Talentwise soveltaa asianmukaisia teknisiä ja organisatorisia suojatoimia GDPR:n artiklan 32 mukaisesti suojatakseen henkilötietoja luvattomalta pääsyltä, häviämiseltä, muuttamiselta tai laittomalta ilmaisemiselta. Tällaisia suojatoimia ovat muun muassa:

• Salaus: kaikki tunnistetiedot säilytetään salatussa muodossa käyttäen nykyaikaista salaustekniikkaa (esim. AES-pohjaista salausta), ja viestintä suojataan TLS-salauksella.

• Pääsynvalvonta: rooli- ja käyttöoikeuspohjainen pääsynvalvonta, monivaiheinen tunnistautuminen (MFA) järjestelmänvalvojan pääsyssä sekä pääsytapahtumien lokitus.

• Lokitus: järjestelmälokeja ja turvallisuuslokeja ylläpidetään ja valvotaan poikkeavan käyttäytymisen havaitsemiseksi.

• Varmuuskopiointi ja palautus: varmuuskopiointi suoritetaan säännöllisesti ja varmuuskopioita säilytetään rajoitetun ajan, jotta tiedot voidaan palauttaa poikkeustilanteen sattuessa.

• Redundanssi: käyttöympäristössä käytetään kahdennettuja komponentteja (mukaan lukien verkko, virransyöttö ja jäähdytys) korkean saatavuuden varmistamiseksi.

• Häiriönhallinta: käytössä on vakiintuneet prosessit tietoturvaloukkausten ja -häiriöiden havaitsemiseksi, hallitsemiseksi ja raportoimiseksi.

• Koulutus: henkilöstö saa säännöllistä koulutusta tietoturvasta ja tietosuojasta.

• Datamigraatiot: tarvittaessa Talentwise voi luoda tilapäisiä salattuja kopioita tuotantodatasta tietokantamigraatioiden yhteydessä. Tällaisia kopioita säilytetään vain migraation suorittamiseen vaadittavan ajan (enintään kolmekymmentä (30) päivää), minkä jälkeen ne poistetaan.

9. Auditointi

9.1. Asiakkaalla on oikeus suorittaa riippumattoman auditoijan tai tarkastajan välityksellä ja vähintään kolmenkymmenen (30) päivän etukäteisellä kirjallisella ilmoituksella tarkastus siitä, noudattaako Talentwise tätä DPA-sopimusta. Tällainen tarkastus voidaan suorittaa kerran kalenterivuodessa, tai useammin, mikäli on perusteltu epäily sopimusrikkomuksesta.

9.2. Tarkastus on suoritettava normaalin työajan puitteissa, se ei saa kohtuuttomasti häiritä Talentwisen toimintaa, se ei saa paljastaa muiden asiakkaiden tietoja tai Talentwisen liikesalaisuuksia, ja se on rajoitettava tämän DPA-sopimuksen kattamiin järjestelmiin ja prosesseihin.

9.3. Talentwise voi toimittaa kolmannen osapuolen tarkastusraportteja tai sertifiointeja (esim. ISAE, SOC, ISO) vaihtoehtona tällaiselle tarkastukselle.

10. Säilyttäminen ja poistaminen

10.1. Talentwise poistaa tai tarvittaessa ja mahdollisuuksien mukaan anonymisoi henkilötiedot tämän DPA-sopimuksen ja siihen liittyvien liitteiden mukaisesti. Yksityiskohtaiset säilytys- ja poistamisperiaatteet on esitetty sovellettavissa Palvelusopimuksissa ja tämän DPA-sopimuksen liitteessä 2.1.

10.2. Poistaminen tai anonymisointi suoritetaan ilman aiheetonta viivytystä sovellettavan säilytysajan päätyttyä, ellei pidempää säilytystä edellytetä laissa tai toimivaltaisen viranomaisen päätöksessä.

11. Voimassaolo ja päättyminen

11.1. Tämä DPA on voimassa niin kauan kuin Talentwise käsittelee henkilötietoja Asiakkaan lukuun GDPR:n mukaisesti, ja se muodostaa erottamattoman osan Pääsopimusta. Tätä DPA-sopimusta ei voi irtisanoa erikseen, ja se seuraa Pääsopimuksen voimassaoloa. Pääsopimuksen päättyessä tai umpeutuessa käsittely lakkaa tämän DPA-sopimuksen mukaisesti, lukuun ottamatta käsittelyä, jota vaaditaan varmuuskopioita ja lokeja varten tavanomaisten säilytyskäytäntöjen mukaisesti.

11.2. Asiakkaalla on oikeus purkaa tämä DPA päättymään välittömästi, jos Talentwise syyllistyy tämän DPA-sopimuksen olennaiseen rikkomukseen eikä korjaa kyseistä rikkomusta kolmenkymmenen (30) päivän kuluessa sitä koskevasta kirjallisesta pyynnöstä.

11.3. Jos Asiakas ei hyväksy tähän DPA-sopimukseen tehtäviä muutoksia tai alikäsittelijöiden muutoksia osion Alikäsittelijät ja ulkopuoliset palveluntarjoajat mukaisesti, Asiakkaalla on oikeus purkaa Pääsopimus ennen tällaisen muutoksen voimaantuloa, ottaen huomioon Pääsopimuksessa määrätyt ennakkoon maksettuja jaksoja koskevat säännöt.

11.4. Käsittelyn päätyttyä Talentwisen on Asiakkaan valinnan mukaan poistettava tai palautettava kaikki henkilötiedot, ellei jatkosäilytystä edellytetä laissa tai toimivaltaisen viranomaisen päätöksessä.

12. Sovellettava laki ja erimielisyydet

12.1. Mikäli tämän DPA-sopimuksen ja Yleisten sopimusehtojen välillä on ristiriitaa, tämä DPA on ensisijainen henkilötietojen käsittelyyn liittyvissä asioissa.

12.2. Sovellettavaa lakia ja erimielisyyksien ratkaisemista koskevat määräykset määräytyvät Pääsopimuksen mukaisesti ja noudattavat sitä.