ZEF - GDPR-liite

Alla mainitut Asiakas ja Toimittaja ovat tehneet tässä sovituin ehdoin sopimuksen siitä, että Toimittaja käsittelee henkilötietoja Asiakkaan lukuun tämän sopimuksen perusteella. Asiakas on rekisterinpitäjä ja Toimittaja on henkilötietojen käsittelijä. Tähän sopimukseen sovelletaan IT2022 EHK erityisehtoja henkilötietojen käsittelystä sekä IT2022 YSE yleisiä sopimusehtoja. Tämän sopimusliitteen hyväksyminen ja noudattaminen ovat edellytyksiä Zeffi-ohjelmistopalvelun käyttämiselle.

Asiakas: Asiakas on taho, joka on hankkinut Toimittajalta lisenssin Ohjelmistopalvelun (Zeffi) käyttöön ja hyväksynyt tämän ZEF - GDPR-liitteen ja ZEF - Käyttöehdot

Toimittaja: ZEF Oy (Y-tunnus: 0640379-1). Toimittajan osoite: Elektroniikkatie 6, 90590 Oulu.

Käsiteltävien henkilötietojen luonne ja tarkoitus on määritelty seuraavasti:

Toimittaja käsittelee Asiakkaan henkilötietoja kahden ryhmän osalta: 1) Kyselyiden laatijat, joiden tiedot on tuotu Asiakkaan hallinnoimaan Zeffi-organisaatioon ja 2) kyselyiden vastaajat, joiden tiedot Asiakas on tuonut vastaajien kutsumiseksi tai jotka vastaajat ovat itse luovuttaneet Ohjelmistopalveluun kyselyvastauksina.

Asiakkaan ohjeistus Toimittajalle on henkilötietojen käsittely ainoastaan pääsopimuksen mukaisen Ohjelmistopalvelun tuottamiseksi tätä GDPR-liitettä noudattaen. Asiakas on Zeffi-organisaatiossaan olevien tietojen osalta rekisterinpitäjä ja omistaa siinä olevat tiedot. Toimittajan henkilöstö käsittelee tietoja vain asiakaspalvelutarkoituksessa, esimerkiksi tukipyyntöihin vastattaessa, jolloin tietoja käsitellään ainoastaan tukipyynnön edellyttämässä laajuudessa.

Selvyyden vuoksi todetaan, että Toimittaja ei käytä Asiakkaan Zeffi-organisaation dataa tekoälyn kouluttamiseen tai muuhun tarkoitukseen, joka ei ole Asiakkaan ohjeistuksen mukainen ja että vastaajien dataa ei käsitellä tai tallenneta EU-alueen ulkopuolelle.

4.1 Kyselyiden laatijoiden osalta käsiteltäviä henkilötietoja voivat olla:

- sähköposti

- nimi (valinnainen)

- puhelinnumero (valinnainen)

- sosiaalisen median tilit (valinnainen)

- kirjautumisessa käytetty IP-osoite (säilytetään rajoitetun ajan teknisen tuen tarpeisiin)

- luottokortti- ja laskutustiedot (mikäli henkilö näkyy asiakkuuden laskutuskontaktihenkilönä)

4.2 Kyselyiden vastaajien osalta käsiteltäviä henkilötietoja voivat olla (Asiakkaan määriteltävissä):

- nimi, sähköpostiosoite, kotiosoite, puhelinnumero ja muut yhteystiedot

- ikä ja syntymäaika,

- työsuhdetiedot, koulutus ja pätevyys

- muut Asiakkaan määrittämät, vastaajan tiettyyn kyselyyn antamat henkilötiedot

Asiakas voi myös päättää tehdä kyselyn siten, ettei vastaajilta kerätä henkilötietoja. Tällöin yllä listattuja henkilötietoja ei kerätä eikä käsitellä.

Tietoturvan suhteen sovelletaan yleisesti hyväksyttyjä käytäntöjä, jotka määritellään liitteenä olevissa IT2022-sopimusehdoissa.

Varmuuskopiointi: Asiakkaan käytössä syntyvä data säilytetään sopimuskauden aikana Toimittajan palvelimella. Asiakkaalla on lisenssinsä puitteissa kirjautuneena käyttäjänä pääsy viimeisimpään sisältöön ja lisäksi aiempia kyselyversioita säilytetään 30 päivän ajan varmuuskopioarkistossa.

Tavanomainen henkilötietojen käsittely sisältyy lisenssimaksuun. Toimittajalla on IT2022 EHK -ehtojen 3.4 kohdan mukaisesti oikeus laskuttaa sellaiset henkilötietojen käsittelyyn liittyvät avustamis- ja tukityöt rekisteröityjen oikeuksien toteuttamiseksi, joita ei voida toteuttaa tavanomaisten tukikanavien piirissä. Mahdollisesti laskutettavista töistä pyydetään kirjallinen vahvistus ennen toteuttamista.

Asiakkaan yksityiskohtaisemmat velvollisuudet rekisterinpitäjänä on määritelty seuraavasti:

7.1 Asiakkaan tulee nimetä Zeffi-organisaatiolleen Omistaja, joka vastaa on Zeffi-organisaation pääsyoikeuksien ajantasaisuudesta. Omistajan tulee peruuttaa sellaisten käyttäjien pääsyoikeudet, joilla ei ole enää oikeutta käyttää Ohjelmistopalvelua.

7.2 Kuten IT2022 EHK -ehtojen kohta 3.3 edellyttää, Asiakas on osaltaan vastuussa siitä, että Toimittajalle siirrettyjen tietojen käsittely on tietosuojalainsäädännön mukaista.

Henkilötietojen käsittelyn kohde ja kesto on määritelty seuraavasti:

8.1 Asiakas määrittää rekisterinpitäjänä käsittelyn kohteen ja keston Zeffi-organisaatiossaan.

8.2 Asiakkaan tulee henkilötietojen käsittelyn kohteen ja keston osalta huolehtia sopimuksen kohdan 7.2 mukaisesti käsittelyn tietosuojalainsäädännön mukaisuudesta.

8.3 Toimittajan rooli tietojen käsittelijänä rajoittuu tietojen teknisluonteiseen käsittelyyn Ohjelmistopalvelun tarjoajana Asiakkaan ohjeistuksen mukaisesti.

8.4 Lisäksi Toimittajan henkilöstö tarjoaa Asiakkaalle teknistä tukipalvelua, minkä yhteydessä voidaan käsitellä asiakkaan Zeffi-organisaation tietoja tukipyynnön edellyttämässä laajuudessa.

9.1 Kyselyvastaajien osalta mitään henkilötietoja ei siirretä EU:n/ETA-alueen ulkopuolelle.

9.2 Kyselyn laatijoiden henkilötietoja voidaan EU:n/ETA-alueen lisäksi käsitellä myös US-alueella. Tiedonsiirto tapahtuu Euroopan komission mallisopimuslausekkeiden mukaisesti.

9.3 Käsittelijän yksityiskohtaisemmat velvollisuudet henkilötietojen siirrossa EU:n/ETA-alueen ulkopuolelle on määritelty seuraavasti: Toimittaja rajoittaa tiedonsiirrot niin vähäisiksi, kuin Ohjelmistopalvelun tarjoamisen kannalta on tarpeellista. Ohjelmistopalvelun kannalta välttämättömiä tietoja ovat kirjautumisen ja autentikoinnin yhteydessä käsiteltävät sähköposti- ja IP-osoite sekä laskutustiedot.

Henkilötietojen käsittelystä aiheutuva vahingonkorvausvelvollisuus ja vastuunrajoitukset on määritelty IT2022 EHK erityisehtojen kohdassa 9.

12.1 Toimittaja varmistaa, että kaikki sen alaisuudessa toimivat henkilötietojen käsittelyyn osallistuvat henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus ja lisäksi, että henkilötietoja käsitellään ainoastaan tämän Sopimusliitteen, Sopimuksen ja Asiakkaan ohjeiden mukaisesti.

12.2 Toimittaja avustaa asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä Asiakasta täyttämään rekisteröityjen oikeuksien käyttämistä koskevat velvollisuutensa, sekä ilmoittamaan Asiakkaalle mahdollisesti saamistaan rekisteröityjen pyynnöistä.

12.3 Toimittaja avustaa Asiakasta mahdollisissa Ohjelmistopalvelun tietosuojaa koskevissa vaikutustenarvioinneissa, tietoturvaloukkausilmoituksissa sekä viranomaiselle tehtävissä ennakkokuulemispyynnöissä.

12.4 Tämä ZEF - GDPR-liite astuu voimaan 1.7.2025 ja on voimassa toistaiseksi.

13.1 Tämä ZEF - GDPR-liite on erottamaton osa Asiakkaan ja Toimittajan välistä sopimusta. ZEF - Käyttöehdot ovat ensisijaiset suhteessa tähän ZEF - GDPR-liitteeseen.

13.2 Tähän ZEF - GDPR-liitteeseen kuuluvat erottamattomasti seuraavat liitteet (vapaasti tutustuttavissa www-osoitteessa: it-ehdot.fi/tutustu-ehtoihin)

IT2022 EHK - Erityisehtoja henkilötietojen käsittelystä

IT2022 YSE - Yleiset sopimusehdot