HENKILÖTIETOJEN KÄSITTELIJÄSOPIMUS

Transkriptio

1 HENKILÖTIETOJEN KÄSITTELIJÄSOPIMUS Asiakas: Rekisterinpitäjä Unifaun: Henkilötietojen käsittelijä tai Asiakas: Henkilötietojen käsittelijä Unifaun: Henkilötietojen alikäsittelijä 1 TARKOITUS JA VOIMASSAOLOAIKA 1.1 Tämä Henkilötietojen käsittelijäsopimus on kiinteä osa sopimusta, täydennettynä tarvittaessa Unifaunin yleisillä ehdoilla ( Palvelusopimus ), joka on allekirjoitettu yhtäältä Unifaun AB:n, Ruotsin Y-tunnus , tai jonkin sen tytäryhtiön kuten Unifaun Oy:n, Suomen Y-tunnus , Unifaun ApS:n, Tanskan Y-tunnus , Unifaun AS:n, Norjan Y-tunnus tai Unifaun Sp.z.o.o:n, Puolan Y-tunnus , ( Unifaun ), sekä toisaalta sellaisen osapuolen ( Asiakas ) välillä, joka on ostanut tai tilannut, tai jonka odotetaan ostavan tai tilaavan Unifaunin kehittämiä ja/tai tarjoamia kuljetusjärjestelmäpalveluja, online-palveluja, ohjelmistoja, aputoimintoja ja ohjausta ( Palvelu ). 1.2 Mikäli Palvelusopimuksen voimassaoloaika päättyy, myös tämän Henkilötietojen käsittelysopimuksen voimassaolo päättyy ilman erillistä irtisanomista. 1.3 Rekisterinpitäjä-, Henkilötietojen käsittelijä-, Rekisteröity-, Käsittely-, Henkilötieto-, Valvontaviranomainen- ja Henkilötietojen tietoturvaloukkaus -käsitteillä on tässä Henkilötietojen käsittelysopimuksessa sama määritelmä kuin Euroopan parlamentin ja neuvoston tietosuoja-asetuksessa (EU) 2016/679 ( GDPR ). 1.4 Palvelua tarjotessaan Unifaun voi käsitellä Asiakkaan puolesta tietoja, jotka voivat suoraan tai epäsuoraan viitata luonnolliseen henkilöön. Tällaiset tiedot katsotaan Henkilötiedoiksi, joilla on erityinen lakisääteinen suoja. Päätöksen Henkilötietojen Käsittelyn tarkoituksesta ja välineistä tekee Asiakas. Tässä yhteydessä Asiakas toimii Rekisterinpitäjänä ja Unifaun Henkilötietojen käsittelijänä. Sovellettava lainsäädäntö vaatii kirjallisen sopimuksen laatimista Henkilötietojen käsittelijän käsitellessä Henkilötietoja Rekisterinpitäjän puolesta. Osapuolet ovat tätä taustaa vasten sopineet solmivansa tämän Henkilötietojen käsittelysopimuksen. 1.5 Mikäli Asiakas toimii Henkilötietojen käsittelijänä ja Unifaun tämän alihankkijana ( Henkilötietojen alikäsittelijä ), sovelletaan luvussa 6 mainitut asiat. 2 KÄSITTELYN LUONNE JA TARKOITUS 2.1 Pystyäkseen tarjoamaan Palvelua ja säilyttämään Palvelusopimuksen mukaisen palvelutason, joidenkin Henkilötietojen siirtäminen Unifaunille on välttämätöntä, kuten myös Unifaunille kyseisten tietojen käsitteleminen tämän Henkilötietojen käsittelysopimuksen mukaisesti. Pystyäkseen suorittamaan Palvelun Unifaunin tulee voida siirtää Henkilötiedot tarvittaessa ulkopuoliselle (mm. kuljettajille). 2.2 Mikäli Asiakas ei kirjallisesti anna muita ohjeita Unifaunille, Unifaun käsittelee tämän Henkilötietojen käsittelysopimuksen mukaisesti seuraavia Rekisteröityjen ja Henkilötietojen kategorioita alla mainittua tarkoitusta varten. 2.3 Rekisteröidyt: palvelun käyttäjä, lähettäjä, vastaanottaja, mahdolliset muut lähetyksen osalliset, Asiakkaiden ja toimittajien kuljetus- ja hallintohenkilöstö.

2 2.4 Henkilötiedot: nimi, osoite, puhelinnumero, sähköpostiosoite, henkilötunnus (jos sitä erityisesti vaaditaan). 2.5 Tarkoitus: Palvelun tarjoaminen Asiakkaalle. 3 UNIFAUNIN OIKEUS ALIKÄSITTELIJÄN KÄYTTÖÖN 3.1 Asiakas antaa täten Unifaunille oikeuden käyttää Asiakkaan Henkilötietojen käsittelyssä toista Henkilötietojen käsittelijää ( Alikäsittelijä ) Palvelun suorittamiseksi. Tällöin Unifaun tulee varmistaa Alikäsittelijän kanssa tekemässään kirjallisessa sopimuksessa ( Alikäsittelijän sopimus"), että tämän Henkilötietojen käsittelysopimuksen mukaiset Unifaun velvollisuudet siirretään Alikäsittelijälle kuin kyseinen Alikäsittelijä olisi tämän Henkilötietojen käsittelysopimuksen osapuoli. Unifaun vastaa Asiakkaalle Alikäsittelijän suorittamasta Asiakkaan Henkilötietojen Käsittelystä Alikäsittelijän sopimuksen mukaisesti. 3.2 Unifaun tulee tiedottaa asiakkaalle kirjallisesti etukäteen, mikäli se aikoo käyttää Alikäsittelijää. Asiakkaan on siinä tapauksessa ilmoitettava kahdenkymmenen (20) työpäivän kuluessa kirjallisesti Unifaunille, jos Asiakas vastustaa Alikäsittelijän käyttöä. Mikäli Asiakas vastustaa Alikäsittelijän käyttöä, osapuolten on kaikin mahdollisin tavoin pyrittävä löytämään yhteinen ratkaisu tilanteeseen. Mikäli Alikäsittelijän käyttöä ei vastusteta, Unifaunilla on oikeus käyttää Alikäsittelijää ilman Asiakkaan lisähyväksyntää. 3.3 Mikäli Asiakkaan näkemyksestä Alikäsittelijä käsittelee Henkilötietoja puutteellisesti, tai mikäli Alikäsittelijä ei jollain muulla tavoin täytä Alikäsittelijän sopimuksen mukaisia velvoitteitaan, Asiakkaalla on oikeus kirjallisesti vaatia Unifaunia välittömästi ja omalla kustannuksellaan purkamaan Alikäsittelijän kanssa tekemänsä sopimuksen sekä varmistamaan, ettei Alikäsittelijällä ole enää hallussaan kyseisiä Henkilötietoja. Mikäli Unifaun ei ole samaa mieltä Asiakkaan esittämistä puutteista, osapuolten on toimittava yhdessä järjestääkseen pikaisesti neuvottelu Valvontaviranomaisen kanssa. Alikäsittelijän sopimus säilyy voimassa siihen saakka, kunnes Valvontaviranomainen on antanut päätöksensä. Valvontaviranomaisen ratkaisu toimii ohjeena kysymyksen jatkokäsittelyssä osapuolten kesken. 4 UNIFAUNIN OIKEUDET JA VELVOLLISUUDET 4.1 Unifaun sitoutuu pysymään ajan tasalla ja noudattamaan lakeja, asetuksia ja määräyksiä, jotka ovat kulloinkin voimassa sopimuskumppanina olevan Unifaun-yhtiön valtiossa, mukaan lukien asianomaisten Valvontaviranomaisten antamat määräykset luonnollisten henkilöiden perusoikeuksien ja vapauksien suojasta sekä erityisesti Rekisterinpitäjiin ja Henkilötietojen käsittelijöihin sovellettavasta luonnollisten henkilöiden Henkilötietojen suojasta Henkilötietojen Käsittelyssä, mukaan lukien direktiivin 95/46/EY ja 25. toukokuuta 2018 voimaan tulevan GDPR:n täytäntöönpanosta johtuva lainsäädäntö, asetukset ja määräykset. 4.2 Unifaun ja sen johdolla työskentelevät henkilöt saavat käsitellä Henkilötietoja ainoastaan Asiakkaan antamien ohjeiden mukaan. 4.3 Edellyttäen, ettei Rekisteröidyn koskemattomuutta vaaranneta, eikä Unifaun määrittele uusia tarkoituksia tai keinoja Käsittelylle, Unifaunilla on oikeus kehittää ja parantaa palvelujaan ilman, että niiden katsotaan olevan Asiakkaan ohjeiden vastaisia. Unifaunilla on aina oikeus ilman Asiakkaan lupaa kehittää ja parantaa palvelujaan tunnistamattomien tietojen avulla. 4.4 Mikäli Asiakkaan antama ohje on Unifaunin mukaan ristiriidassa GDPR:n, muun EU-oikeuden tai EU:n jäsenvaltion kansallisen lainsäädännön kanssa, Unifaunin on välittömästi informoitava siitä Asiakkaalle. Osapuolten on jommankumman vaatimuksesta toimittava yhdessä järjestääkseen pikaisesti ohjetta koskeva neuvottelu Valvontaviranomaisen kanssa. Valvontaviranomaisen ratkaisu toimii ohjeena kysymyksen jatkokäsittelyssä osapuolten kesken. Unifaunilla on oikeus pidättäytyä Käsittelystä Valvontaviranomaisen lausuntoa odottaessaan. 4.5 Mikäli Unifaun velvoitetaan pakottavan lainsäädännön perusteella käsittelemään Henkilötietoja muulla kuin Asiakkaan ohjeistamalla tavalla, Unifaunin on ilmoitettava tästä velvoitteesta Asiakkaalle ennen Käsittelyä.

3 4.6 Osapuolet sitoutuvat 7. kohdan mukaiseen salassapitovelvollisuuteen, joka koskee Unifaunin Palvelua suorittaessaan saamia Henkilötietoja ja niiden Käsittelyä. 4.7 Unifaun sitoutuu ryhtymään tarpeellisiin suojatoimiin GDPR:n 32 artiklan mukaisesti. Unifaun ryhtyy tarpeellisiin teknisiin ja organisatorisiin toimenpiteisiin Henkilötietojen suojaamiseksi luvattomalta pääsyltä, tuhoamiselta ja muuttamiselta noudattaen GDPR:n 28 (3) artiklaa. Unifaunin on Asiakkaan pyynnöstä informoitava Asiakasta tehdyistä teknisistä ja organisatorisista toimenpiteistä. 4.8 Tässä Henkilötietojen käsittelysopimuksessa esitetyn lisäksi Unifaun sitoutuu käsittelyn luonteen huomioiden auttamaan Asiakasta mahdollisuuksiensa mukaan asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä siten, että Asiakas pystyy täyttämään velvollisuutensa ja vastaamaan Rekisteröidyn pyyntöön käyttää GDPR:n III luvun mukaisia oikeuksiaan. Asiakkaan on korvattava työ Unifaunille kyseisenä ajankohtana voimassa olevan Unifaun hinnaston mukaan. 4.9 Unifaun sitoutuu Asiakkaan pyynnöstä, Käsittelyn luonne ja Unifaunin saatavilla olevat tiedot huomioiden, auttamaan Asiakasta täyttämään GDPR:n artiklojen mukaiset velvollisuutensa. Asiakkaan on korvattava työ Unifaunille kyseisenä ajankohtana voimassa olevan Unifaun hinnaston mukaan Unifaun sitoutuu Asiakkaan valinnasta riippuen joko poistamaan tai palauttamaan Asiakkaalle kaikki Henkilötiedot 90 päivän kuluessa siitä, kun käsittelypalvelujen tarjoaminen on päättynyt, sekä poistamaan olemassa olevat kopiot, ellei EU:n tai EU:n jäsenvaltion kansallinen lainsäädäntö vaadi Henkilötietojen säilyttämistä. Jos Asiakkaalla on jo Henkilötiedot hallussaan, palauttaminen on mahdotonta tai vaatii suhteettoman suuren panostuksen, tai Henkilötietojen on pysyttävä luottamuksellisina lakisääteisistä tai sovituista salassapitovelvoitteista johtuen, tiedot on sen sijaan poistettava samassa määräajassa Unifaunin tulee antaa Asiakkaalle kaikki tarpeelliset tiedot, jotka osoittavat, että GDPR:n 28 artiklan mukaiset velvollisuudet on täytetty, sekä mahdollistaa ja tukea tarkastuksia, mukaan lukien Asiakkaan itsensä tai tämän valtuuttaman tilintarkastajan suorittamat tarkastukset Unifaunin on tarvittaessa autettava Asiakasta luovuttamaan Valvontaviranomaisen, muun viranomaisen tai Rekisteröidyn Asiakkaalta pyytämiä tietoja. Asiakkaan on korvattava työ Unifaunille kyseisenä ajankohtana voimassa olevan Unifaun hinnaston mukaan Unifaun sitoutuu ilmoittamaan Asiakkaalle Valvontaviranomaisen jokaisesta Henkilötietojen Käsittelyä koskevasta pyynnöstä tai määräyksestä, paitsi jos ilmoittaminen on nimenomaan kielletty laissa, kuten esimerkiksi käynnissä olevan rikostutkimuksen vaatiman salassapidon johdosta. Mikäli Rekisteröity, Valvontaviranomainen tai muu ulkopuolinen taho pyytää Unifaunilta Asiakkaan Henkilötietojen Käsittelyä koskevia tietoja, Unifaunin on ilmoitettava pyynnöstä kirjallisesti Asiakkaalle Unifaunin on mahdollisimman pian, mutta viimeistään 24 tunnin sisällä mahdollisen tietoturvaloukkauksen havaitsemisesta, ilmoitettava Asiakkaalle loukkauksesta. Asiakkaalle annettavan ilmoituksen yhteydessä Unifaunin on toimitettava Asiakkaalle kaikki tarvittavat tiedot, jotka mahdollistavat loukkauksen raportoinnin Valvontaviranomaiselle, sekä autettava loukkauksen tutkimisessa niin pitkälle kuin Asiakas kohtuudella voi vaatia, sekä yhteistuumin Asiakkaan kanssa ryhdyttävä kohtuullisiin toimenpiteisiin uusien loukkauksien ehkäisemiseksi Asiakkaalla on oikeus omalla kustannuksellaan tai ulkopuolisen tahon kautta tarkastaa, että Unifaun noudattaa tätä Henkilötietojen käsittelijäsopimusta. Tällaiset tarkastukset on tehtävä tavalla ja aikana, mikä ei häiritse Unifaunin muuta toimintaa enemmän kuin on välttämätöntä. Unifaunilla on oikeus vaatia, että tarkastuksen suorittavat ennalta nimetyt henkilöt, joilla on tarvittava osaaminen tarkastuksen suorittamiseen, sekä jotka pystyvät tarkoituksenmukaisesti hyödyntämään sen tuloksia. Unifaunilla on oikeus vastustaa kolmannen osapuolen suorittamaa tarkastusta, jos se voi johtaa liikesalaisuuksien vaarantumiseen, tai jos kyseistä osapuolta voidaan muusta kohtuullisesta syystä pitää sopimattomana. Mikäli Asiakas havaitsee olennaisia puutteita Unifaunin Asiakkaan lukuun tehtävässä Henkilötietojen Käsittelyssä, eikä Unifaun korjaa puutetta 30 päivän kuluessa Asiakkaan kirjallisesta kehotuksesta, Asiakkaalla on oikeus päättää Palvelusopimus ja tämä Henkilötietojen käsittelijäsopimus välittömin vaikutuksin. Jos suoritettu tarkastus ei osoita muuta kuin pienehköjä puutteita

4 Unifaunin tämän Henkilötietojen käsittelysopimuksen mukaisten velvollisuuksien täyttämisessä, Unifaunilla on oikeus saada kohtuullinen korvaus tarkastuksen aiheuttamista kuluista Unifaunin on korvattava Asiakkaalle vahingot tai kulut, jotka aiheutuvat Unifaunin tai tämän käyttämän Alikäsittelijän suorittamasta Käsittelystä. Palvelusopimuksen ja Unifaunin yleisten ehtojen sisältämiä vastuurajoituksia sovelletaan myös tähän Henkilötietojen käsittelysopimukseen Unifaun ei tämän Henkilötietojen käsittelysopimuksen puitteissa ole velvollinen käsittelemään arkaluontoisia Henkilötietoja, kuten rotua, etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta, ammattiyhdistyksen jäsenyyttä, taikka geneettisiä tietoja tai biometrisia tietoja luonnollisen henkilön yksiselitteiseksi tunnistamiseksi, terveystietoja tai luonnollisen henkilön sukupuolielämää tai seksuaalista suuntautumista koskevia tietoja. 5 ASIAKKAAN VASTUU, OIKEUDET JA VELVOITTEET 5.1 Asiakas sitoutuu pysymään ajan tasalla ja noudattamaan kulloinkin voimassa olevaa Henkilötietoja koskevaa lainsäädäntöä ja seuraamaan sen päivityksiä sopimuskumppanina olevan Unifaun-yhtiön valtiossa. 5.2 Asiakkaan vastuulla on muun muassa informoida Rekisteröityjä Unifaunin Asiakkaan ohjeistuksen mukaan suorittamasta Käsittelystä, hankkia tarvittaessa Rekisteröityjen suostumus, arvioida Käsittelyn laillisuutta ja luvallisuutta, sekä tarvittaessa ilmoitettava Käsittelystä Valvontaviranomaiselle. 5.3 Asiakkaan on viipymättä informoitava Unifaunille Käsittelyssä tapahtuvista muutoksista, jotka vaikuttavat Unifaunin tämän Henkilötietojen käsittelysopimuksen mukaisiin velvollisuuksiin ja oikeuksiin. Asiakkaan on samoin informoitava Unifaunille ulkopuolisen tahon, mukaan lukien Valvontaviranomaisen, Rekisteröidyn, tai Kolmannen Osapuolen (määritelty kohdassa 6.1) ryhtymisestä toimenpiteisiin Käsittelyn johdosta. 5.4 Asiakkaalla on oikeus päivittää tätä Henkilötietojen käsittelijäsopimusta tarpeellisin osin 5.3 kohdan mukaisten muutosten johdosta. Mikäli muutoksesta aiheutuu Unifaunille lisäkuluja, Asiakkaan on korvattava Unifaunin lisäkulut. 5.5 Asiakkaan on korvattava Unifaunille lisäkulut, jotka johtuvat muutoksista tai lisäyksistä Unifaunin Käsittelyn ohjeistukseen. 5.6 Asiakas vastaa siitä, että Unifauniin ei Käsittelyn johdosta aiheudu vahinkoa tai kuluja, jotka johtuvat Asiakkaan, Kolmannen Osapuolen (määritelty kohdassa 6.) tai muun Asiakkaan puolella olevan tahon toimenpiteestä. 6 HENKILÖTIETOJEN ALIKÄSITTELIJÄ 6.1 Mikäli ulkopuolinen taho ( Kolmas Osapuoli ) toimii Rekisterinpitäjänä, Asiakas toimii Kolmannen Osapuolen Henkilötietojen käsittelijänä ja Unifaun toimii Asiakkaan alikäsittelijänä ( Henkilötietojen alikäsittelijä ), tulee Unifaunin Käsitellä Henkilötietoja vain sellaisten ohjeiden mukaisesti, jotka Asiakas on saanut Kolmannelta Osapuolelta ja jotka ovat Unifaunin saatavilla, sekä Asiakkaan aika ajoin Kolmannen Osapuolen lukuun antamien dokumentoitujen lisäohjeiden mukaisesti. Muilta osin Henkilötietojen käsittelijäsopimusta sovelletaan Asiakkaan ja Unifaunin välillä. 7 SIIRROT KOLMANTEEN MAAHAN 7.1 Mikäli Unifaunin tämän Henkilötietojen käsittelysopimuksen mukainen Asiakkaan luovuttamien Henkilötietojen Käsittely aiheuttaa Unifaunille velvollisuuden siirtää Henkilötiedot kolmanteen maahan (EU:n ja/tai ETA:n ulkopuolella) tai kansainväliseen organisaatioon, jossa ei sovelleta riittävää suojatasoa, Asiakkaan tehtävänä on jokaisen siirron yhteydessä huolehtia GDPR:n 46 artiklan mukaisiin asianmukaisiin toimenpiteisiin ryhtymisestä.

5 Unifaunilla ei ole milloinkaan velvollisuutta siirtää Henkilötietoja kolmanteen maahan, mikäli tällaisiin asianmukaisiin suojatoimenpiteisiin ei ole ryhdytty ennen siirtoa. 8 SALASSAPITO 8.1 Unifaun sitoutuu olemaan luovuttamatta Henkilötietoja ulkopuoliselle taholle tai muulla tavoin olemaan asiattomasti paljastamatta tämän Henkilötietojen käsittelysopimuksen mukaisia Henkilötietojen Käsittelyä koskevia tietoja. 8.2 Unifaunin tulee varmistaa, että Henkilötietoja luvanvaraisesti käsittelevät henkilöt ovat sitoutuneet noudattamaan vastaavaa salassapitoa kuin Unifaun tämän Henkilötietojen käsittelysopimuksen mukaan noudattaa. 8.3 Unifaunin tämän kohdan 8 mukainen salassapitovelvoite ei koske tietoja, joita Unifaun luovuttaa Valvontaviranomaisen, muun viranomaisen tai tuomioistuimen määräyksestä, tai Rekisteröityä koskevia tietoja, joiden luovuttamiselle Unifaun on saanut Rekisteröidyn suostumuksen. 8.4 Tämän kohdan 8 mukainen salassapitovelvoite säilyy voimassa myös tämän Henkilötietojen käsittelysopimuksen päättymisen jälkeen.