YRITYKSEN EU GDPR -TIETOSUOJASELOSTE Osallistujarekisteri

Transkriptio

1 PEILIPINTA CONSULTING OY KÖYDENPUNOJANKATU TURKU Y-TUNNUS: YRITYKSEN EU GDPR -TIETOSUOJASELOSTE Osallistujarekisteri Yhteydenotot koskien kysymyksiä tietosuojasta ja toimenpiteistä tietosuojavuodon tapahtuessa. Tietosuojavastaava: Aleksi Perämäki

2 TIETOSUOJASELOSTEEN SISÄLTÖ 1. REKISTERINPITÄJÄ 2. REKISTERIN VASTUUHENKILÖ 3. REKISTERIN KÄYTTÖTARKOITUS 4. REKISTERIN PITÄMISEN PERUSTE 5. REKISTERIN NIMI 6. REKISTERIN TIETOSISÄLTÖ 7. REKISTERIN TIETOLÄHTEET 8. HENKILÖTIETOJEN LUOVUTUKSET 9. REKISTERIEN SISÄINEN KÄYTTÖ 10. REKISTERIN SUOJAAMINEN 11. HENKILÖREKISTERIEN JA REKISTERITIETOJEN SÄILYTYS JA ARKISTOINTI JA HÄVITTÄMINEN 12. REKISTERÖIDYN INFORMOINTI 13. REKISTERÖIDYN TARKASTUSOIKEUS JA TIEDON KORJAUS JA LUOVUTTAMINEN 14. SISÄISET REKISTERITOIMINNAN OHJEET JA KOULUTUS 15. SEURANNAN JÄRJESTÄMINEN, ONGELMISTA JA PUUTTEISTA ILMOITTAMINEN

3 1. REKISTERINPITÄJÄ PeiliPinta Consulting Oy Köydenpunojankatu Turku Y-tunnus REKISTERIN VASTUUHENKILÖ Yrityksen tietosuojavastaavana toimii Aleksi Perämäki, joka asemaansa liittyen vastaa siitä, että rekisteritoiminnot suunnitellaan ja toteutetaan säännösten ja määräysten sekä annettujen yleisohjeiden mukaisesti ja jonka asiana on määrätä tai todeta eri rekisteritoimintoja koskeva päätösvalta sekä rekisterinpidon tehtäviin osallistuvat. Aleksi Perämäki Puhelin REKISTERIN KÄYTTÖTARKOITUS Yritys kerää, käsittelee asiakasyrityksen asiakasrekisterissä olevaa henkilötietoa tarpeellisten ydinliiketoiminnan harjoittamiseen tarvittavien toimintojen täyttämiseksi vaadittavilta osin. Yleisimmin vaadittavat rekisteritiedot ovat yhteystiedot rekisteröidyn tavoittamiseksi, materiaalin postittamiseen ja osallistumisen laskuttamiseksi. Yritys ylläpitää asiakasrekisteriä asiakasyrityksen vaatimien rekisteritietojen osalta, jotka vaihtelevat asiakasyrityksittäin. Rekisteritiedot ovat pääasiallisesti laskutusta ja asiakasyrityksen dokumentointia varten. Asiakastietoja voidaan käyttää myös markkinointitarkoitukseen sekä viestintään tapahtuman onnistumiseksi. 4. REKISTERIN PITÄMISEN PERUSTE Yrityksen käsittelemät asiakastiedot hankitaan ja käsitellään asiakasyrityksen toimittamien työpyyntöjen täyttämiseen. Rekisteri tyhjennetään, kun toimeksianto on laskutettu ja päättynyt. 5. REKISTERIN NIMI Osallistujarekisteri. 6. REKISTERIN TIETOSISÄLTÖ Työtehtävien ja laskutuksen toteuttamista vaadittavien tietojen osalta tarpeellista ja lainmukaista henkilötietoa ovat yrityksen käsittelemänä; - Asiakkaan nimi - Postiosoite

4 - Postinumero - Kaupunki - Puhelinnumero - Sähköposti - Syntymäaika - Allergiatiedot/erikoisruokavaliot - Muut työtehtävän vaatimat yksilöintitiedot 7. REKISTERIN TIETOLÄHTEET Osallistujarekisteriin saapuvat henkilötiedot ovat lähtöisin rekisteröidyltä tai asiakasyrityksen ylläpitämästä asiakasrekisteristä. Tietoa saadaan myös ilmoittautumisen yhteydessä osallistujalta itseltään. Yritys tallentaa vain relevantin tiedon yrityksen osallistujarekisteriin. Osallistujarekisterin tietojen virheettömyyttä ei tarkisteta, eikä päivitetä toimeksiantojen lyhyen keston vuoksi, ellei tieto ole virheellistä. 8. HENKILÖTIETOJEN LUOVUTUKSET Asiakastietoa ei luovuteta rekisteröidyn, PeiliPinta Consulting Oy:n tai asiakasyrityksen ulkopuolisille osapuolille (pl. viranomaiskyselyt). Tietoja saatetaan luovuttaa kolmannelle osapuolelle, kun osallistujalle tilataan kortti koulutuksesta. Tieto säilytetään manuaalisena ja sähköisenä. Sähköinen rekisteritiedon käsittely ja säilytys tapahtuu asianmukaisesti suojattuna EU-alueella, niille soveltuvilla ohjelmistoilla, josta vastaavat palveluntarjoajat. 9. REKISTERIEN SISÄINEN KÄYTTÖ Asiakasyritys luovuttaa yritykselle osallistujalistan, jossa on mukana toimeksiannon vaatimat tiedot. Tieto voidaan vastaanottaa manuaalisesti tai sähköisesti. Asiakasrekisteriin lisätään asiakaskohtaiset henkilötiedot työtoimeksiannon osalta, jotta työpyyntö voidaan ohjata työtä suorittavalle työntekijälle työtehtävän suorittamista vaativien asiakastietojen kanssa. Rekisteröity täyttää osallistuessaan yhteystietolomakkeen ja antaa suostumuksen rekisteritietojen lisäämiseen. Manuaaliset yhteystiedot viedään sähköiseen asiakasrekisteriin ja manuaalinen aineisto tuhotaan tietoturvallisesti. Rekisteritietoja käytetään rekisteröidyn tavoittamiseen, postitukseen tai asiakasyritykselle lähetettävän dokumentaation muodossa. Toimeksiannon päättyessä rekisteritiedot poistetaan sähköisestä järjestelmästä. Sähköistä rekisteriä ei jaeta, vaan asianomaiset kirjautuvat rekisteriin. Rekisteristä muodostu duplikaatteja. Rekisteritietoja voidaan käsitellä sähköpostiohjelmalla, muttei niitä rekisteröidä erikseen sähköiseen rekisteriin. Asiakastiedot siirretään tarpeen mukaan yrityksen laskutusjärjestelmään. Asiakasrekisterin tai tietolähteen käyttöä ei rekisteröidä. Muilla kuin yrityksen työntekijöillä ei ole pääsyä asiakasrekisteriin. 10. REKISTERIN SUOJAAMINEN Manuaalinen materiaali tuhotaan, kun tieto on viety rekisteriin tai toimeksianto on päättynyt. Manuaalinen aineisto siirretään toimistolle, jossa tieto siirretään sähköiseen järjestelmään. Paperi tuhotaan tietoturvallisesti. Yrityksen toimipiste ulkopuolisilta lukittu ja kulunvalvottu.

5 Sähköisesti saatu materiaali viedään asiakasrekisteriin. Asiakasrekisteriä hallinnoidaan ja ylläpidetään pilvipalveluna, jonka tietoturvasta vastaa palveluntarjoaja. Rekisteritietoa sisältävä tietoa käsitellään ja säilytetään päätelaitteilla ja ohjelmistoilla, jotka ovat turvattu salasanoin, virusturvin, palomuurein, SSL-suojauksin sekä muiden alan yleisesti hyväksymin suojaustavoin. Yrityksen henkilökunta on koulutettu rekisteritietojen käsittelystä ja tietoturvallisista käytännöistä. Työntekijät tuntevat yrityksen tietoturvapolitiikan ja ovat sitoutuneet yrityksen tietosuojakäytäntöihin. Työntekijät ovat allekirjoittaneet salassapitosopimuksen, joka kattaa asiakasrekisterit ja muun niihin liittyvän tiedon. Kaikkea asiakastietoa käsitellään yrityksen toimesta luottamuksellisena ja salassapitosopimuksen alaisena tietona. 11. HENKILÖREKISTERIEN JA REKISTERITIETOJEN SÄILYTYS JA ARKISTOINTI JA HÄVITTÄMINEN Asiakasrekisteri on pakollinen työkalu asiakasyritysten pyytämien työtehtävien suorittamiseksi. Tieto säilytetään pääasiallisesti arkistoituna ja sähköisesti ja poistetaan toimeksiannon päätyttyä. Manuaalinen materiaali poistetaan, kun tieto on viety sähköiseen rekisteriin. Rekisteri poistetaan, kun toimeksianto on päättynyt. Laskutustiedot arkistoidaan sähköisesti yrityksen laskutus- ja toiminnanohjausjärjestelmiin. Päivittäistoiminnassa syntyvä paperillinen asiakasrekisteri ja siihen liittyvä henkilötietodokumentaatio tuhotaan tietoturvallisesti, kun tieto on viety sähköiseen järjestelmään. Tietoa säilytetään normaalisti noin kuukausi tiedon saamisesta, mutta kuitenkin viimeistään toimeksiantosopimuksen päätyttyä. 12. REKISTERÖIDYN INFORMOINTI Mikäli henkilötietoja koskeva tietosuojavuoto tapahtuu, yritys on yhteydessä asiakkaaseen parhaaksi katsomallaan tavalla. Yksittäistapauksissa asianomainen tavoitetaan ensisijaisesti puhelimitse. Suuremmassa tietoturvavuodossa siitä informoidaan ensisijaisesti postitse tai sähköpostitse. 13. REKISTERÖIDYN TARKASTUSOIKEUS JA TIEDON KORJAUS JA LUOVUTTAMINEN Asiakkailla on oikeus asiakasrekisterin tietojen tarkastamista, poistamista tai korjaamista koskevissa asioissa olla yhteydessä postitse tai asioimalla toimipisteessä. Tietosuojaseloste on luettavissa yrityksen toimipisteessä ja pyynnöstä toimitettavissa sähköisesti. Postitse Postitse tapahtuva yhteydenoton tulee sisältää vähintään: Asianomaisen nimi, postiosoite, postinumero, kaupunki, käytettävä oikeus, allekirjoituspäivä,

6 Toimipisteessä EU GDPR-TIETOSUOJASELOSTE allekirjoituspaikka, asianomaisen allekirjoitus ja nimenselvennys. Kirjallinen pyyntö on toimitettava postin kuljetettavaksi suljetussa kirjekuoressa ao. mukaisin merkinnöin. PeiliPinta Consulting Oy /Tietosuojavaltuutettu Köydenpunojankatu Turku Kirjallinen vastaus jätetään postin kuljetettavaksi viimeistään kaksi työpäivää sen saapumisesta. Oikeuden epäämisestä ilmoitetaan postitse. Mikäli kirje ei sisällä kaikkia vaadittuja tietoja, ei pyydettyä toimenpidettä suoriteta, manuaalinen aineisto tuhotaan heti eikä sen suorittamatta jättämisestä informoida erikseen. Kirjalliset pyynnöt tuhotaan normaalisti viikko niiden saapumisesta, ellei asiankäsittely muutoin vaadi pidempää säilytystä. Kirjalliset pyynnöt säilytetään toimistossa siihen tarkoitetussa kansiossa. Asioidessa yrityksen toimipisteessä, on asianomaisen sovittava ennalta tapaaminen tietosuojavaltuutetun kanssa valitsemallaan yhteydenottotavalla. Tapaamisella asianomaisella on oikeus pyytää tietojaan, korjata niitä tai poistaa ne ja yrityksellä on 72h aikaa toimittaa asiakkaalle tiedot nähtäväksi yrityksen toimitiloihin. Yhteystietojen päivitystapauksessa yritys voi puhelimitse vahvistaa tiettyjen asiakastietojen sisältöä mm. silloin kun asianomainen soittaa päivittääkseen tai tarkastaakseen yrityksen hallussa olevien asiakastietojen ajanmukaisuuden vahvistamalla asiakkaan luettelemat yhteystiedot. Mikäli yhteydenottaja ei ole asianomainen, tulee yritykselle toimittaa paperisena valtakirja tai muu dokumentaatio, joka antaa asianmukaisen valtuuden toimia asianomaisen puolesta. Yrityksellä on oikeus epäselvässä tapauksessa varmistua tietojen luovuttamisesta tarpeellisuudesta ja informoida yhteydenottajaa kohtuullisen ajan kuluessa. Tietojen luovuttamisen epäämisestä ilmoitetaan ensisijaisesti postitse tiedonpyytäjän ilmoittamaan postiosoitteeseen. 14. SISÄISET REKISTERITOIMINNAN OHJEET JA KOULUTUS Yrityksen työntekijöitä on ohjeistettu tietoturvallisesta toiminnasta, tietosuojavuodoista, yrityksen toimintatavoista ja rekisterin käytöstä. Yritys on järjestänyt jokaiselle työntekijälle tietoturvakoulutuksen ja yrityksen tietoturvaohjeistus löytyy toimipisteestä. Ohjeistusta päivitetään muutosten edetessä ja tarkastetaan vuosittain ulkopuolisen asiantuntijayrityksen kanssa.

7 15. SEURANNAN JÄRJESTÄMINEN, ONGELMISTA JA PUUTTEISTA ILMOITTAMINEN Yrityksen rekisterin vastuuhenkilö pitää huolen, että seuranta pysyy säännöllisenä ja asiakasrekisteritoimintojen kuvausdokumenttia päivitetään ja rekisteriä ylläpidetään vaaditulla tavalla. Puutteista ja ongelmista, jotka ovat tai saattavat olla potentiaalisia tietoturvauhkia, tulee puuttua viipymättä ja keskusteltava ulkopuolisen asiantuntijayrityksen kanssa. Rekisterin käyttäjät seuraavat omalla toiminnallaan rekisterin ylläpitoa ja oikeanlaista toimintatapaa ja mahdollisista riskeistä tai uhista ilmoitetaan yrityksen rekisteristä vastaavalle kirjallisesti sähköpostilla, ja kiireellisissä asioissa nopeimmalla mahdollisella yhteydenpitotavalla.