1 (6) TIETOSUOJASELOSTE 1 Yleistä Tällä tietosuojaselosteella annetaan EU:n yleisen tietosuoja-asetuksen (jäljempänä tietosuojaasetus) sekä kansallisen tietosuojalain edellyttämiä tietoja yhtäältä rekisteröidylle, kuten rekisterinpitäjän asiakkaalle tai henkilöstölle, ja toisaalta valvovalle viranomaiselle. 2 Rekisterinpitäjä ja rekisterinpitäjän yhteystiedot Pivo Wallet Oy Postiosoite: PL 308, 00013 OP Käyntiosoite: Gebhardinaukio 1 00510 HELSINKI Rekisterinpitäjän yhteyshenkilö: Kristian Luoma Puhelinnumero: +358 10 25 44852 Sähköpostiosoite: kristian.luoma@op.fi 3 Tietosuojavastaavan yhteystiedot 4 Rekisterin nimi ja rekisteröidyt OP Ryhmän tietosuojavastaava OP Ryhmä Postiosoite: PL 308, 00013 OP Sähköpostiosoite: tietosuoja@op.fi Pivo Wallet Oy:n OP-Laskulaina -palvelun asiakasrekisteri Rekisterin rekisteröityjä ovat palvelun asiakkaat ja potentiaaliset asiakkaat, joiden tiedot rekisterinpitäjä saa hakemus- ja asiakkaaksituloprosessissa. Rekisteröityinä on yritysten puolesta toimivia henkilöitä ja yksityisiä elinkeinonharjoittajia. 5 Henkilötietojen käsittelyn tarkoitukset ja käsittelyn oikeusperusteet 5.1 Käsittelyn tarkoitukset Yritysluototus edellyttää sekä yrityksen taustatietojen että nimenkirjoitusoikeudellisten henkilöiden henkilötietojen käsittelyä. Rekisterinpitäjä käsittelee rekisteriin kuuluvia tietoja pääasiassa luototuspalvelujen tuottamiseksi, tarjoamiseksi ja toimittamiseksi. Alla on tarkempaa tietoa henkilötietojen käytöstä rekisterissä. Henkilötietojen käyttötarkoituksiin kuuluvat: - asiakaspalvelu sekä asiakassuhteen aloittaminen, hoito ja kehittäminen - palvelujen tuottaminen ja kehittäminen - liiketoiminnan kehittäminen - palvelujen käytön seuranta ja analysointi, jotta rekisterinpitäjä pystyy tarjoamaan käyttäjille muun muassa personoitua sisältöä - markkinatutkimukset - suoramarkkinointi - markkinoinnin ja mainonnan kohdentaminen
2 (6) - lakiin perustuvien sekä viranomaisten määräysten ja ohjeiden mukaisten velvoitteiden hoitaminen - riskienhallinta 5.2 Käsittelyn oikeusperusteet Automaattinen päätöksenteko asikkaaksiottamisessa ja luototuksessa Automaattisesta päätöksenteosta on kyse silloin, kun päätös tehdään pelkästään automaattisesti siten, ettei ihminen osallistu yksittäisen päätöksen tekemiseen, ja kun tällaisella päätöksellä on rekisteröityä koskevia oikeusvaikutuksia tai se vaikuttaa rekisteröityyn vastaavalla tavalla merkittävästi. Jos tällaista päätöksentekoa sisältyy rekisteröidyn hankkimaan tuotteeseen tai palveluun, siitä kerrotaan tuotteen tai palvelun oston yhteydessä. Päätösprosessin ollessa täysin automaattinen rekisterinpitäjä varmistaa, että rekisteröity voi saattaa asian manuaalisessa prosessissa tarkastettavaksi ja päätettäväksi. Rekisterin piiriin kuuluva henkilötietojen käsittely sisältää profilointia. Profiloinnilla tarkoitetaan yritys- ja/tai henkilötietojen automaattista käsittelyä, jossa näitä tietoja käyttämällä arvioidaan tiettyjä yritys- tai henkilökohtaisia ominaisuuksia. Nopean ja tehokkaan asiakaspalvelun varmistamiseksi rekisterissä tehdään luototuspäätöksiä automaattisesti. Päätöksenteossa käytetään rekisteröidyn hakemusprosessissa antamien tietojen lisäksi häntä koskevia rekisterinpitäjän asiakasrekisterissä jo olevia tietoja sekä eräistä ulkoisista lähteistä, kuten luottotietorekisteristä, saatavia tietoja. Yleistä tietoa automaattisesta päätöksenteosta ja profiloinnista OP Ryhmässä saat tietosuojalausekkeesta osoitteesta op.fi/tietosuoja. Rahanpesun ja terrorismin rahoittamisen estäminen sekä pakoteseuranta Asiakkaan tuntemistietoja ja rekisteröidyn muita henkilötietoja voidaan käyttää rahanpesun ja terrorismin rahoittamisen estämiseen, paljastamiseen ja selvittämiseen sekä muihin laissa rahanpesun ja terrorismin rahoittamisen estämisestä edellytettyihin tarkoituksiin. Rekisteröidyn henkilötietoja voidaan käyttää sen selvittämiseen, onko henkilö rekisterinpitäjän noudattamien kansainvälisten pakotteiden kohteena. Saat lisätietoa pakotteiden noudattamisesta OP Ryhmässä pääsääntöisesti hankkimasi tuotteen tai palvelun ehdoista. Alla on kuvattu rekisterin käyttämät henkilötietojen käsittelyn oikeusperusteet sekä esimerkkejä kullakin perusteella suoritettavasta käsittelystä. Oikeusperuste Sopimussuhde tai sopimuksen tekemistä edeltävät toimenpiteet Suostumus Lakisääteinen velvoite Esimerkki Sopimukseen liittyvät toimenpiteet Mahdollinen suoramarkkinointilupa Rekisterissä käsitellään henkilötietoja lain rahanpesun ja terrorismin rahoittamisen estämiseksi sekä pakotelainsäädännön perusteella.
3 (6) Rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut Suoramarkkinointi ja liiketoiminnan kehittäminen perustuvat usein rekisterinpitäjän oikeutettuun etuun. Rekisterinpitäjän suorittama kansainvälisten pakotteiden seuranta perustuu osin oikeutettuun etuun. Rekisterinpitäjä voi luovuttaa tietoja muihin OP Ryhmän yhteisöjen henkilörekistereihin oikeutetun edun perusteella. Useimmiten rekisterinpitäjän oikeutettu etu perustuu rekisterinpitäjän ja rekisteröidyn väliseen asiakas- tai vastaavaan suhteeseen. Rekisterinpitäjä huolehtii siitä, että tällä perusteella suoritettava käsittely on oikeasuhteista rekisteröidyn etuihin nähden ja vastaa hänen kohtuullisia odotuksiaan. 6 Henkilötietoryhmät Henkilötietoryhmä Perustiedot Tuntemistiedot Asiakkuustiedot Ryhmän tietosisältö Rekisteröidyn nimi, sukupuoli, henkilötunnus, sähköposti, kotimaa ja nimenkirjoitusoikeus Lainsäädännön määrittelemät tuntemistiedot, kuten asiakkaan tunnistamiseksi sekä taloudellisen aseman ja poliittisen vaikutusvallan selvittämiseksi tarpeelliset tiedot Asiakkuuden yksilöivät ja luokittelevat tiedot Suostumukset Sopimus- ja tuotetiedot Rekisteröidyn antamat, henkilötietojen käsittelyä koskevat suostumukset ja kiellot Rekisterinpitäjän ja asiakasyrityksen välisen sopimuksen allekirjoittajien tiedot Asiakastapahtumatiedot Taustatiedot Käyttäytymistiedot (ml. evästeillä ja muilla vastaavilla teknologioilla kerätyt tiedot) Tallenteet ja viestien sisältö Asiakassuhteen hoitamiseen liittyvät tehtävät ja tapahtumat Tiedot rekisteröidyn elämäntilanteesta ja taloudellisesta asemasta Verkkokäyttäytymistiedot, jotka ovat pääosin kumppanijärjestelmän rajapinnalta saadun käyttötiedon seurantaa ja lokitusta. Erimuotoiset tallenteet ja viestit, joissa rekisteröity on osapuolena
4 (6) Tekniset tunnistamistiedot Laitteen tai sovelluksen määrittämä tunniste, jonka avulla laitteen tai sovelluksen käyttäjä on tunnistettavissa käyttämällä tarvittaessa lisätietoja 7 Henkilötietojen vastaanottajat ja vastaanottajaryhmät 7.1 Tietojen luovutuksensaajat 7.2 Tietojen siirto alihankkijoille 7.3 Kansainväliset tiedonsiirrot Kerättyjä henkilötietoja voidaan luovuttaa OP Ryhmän sisällä lainsäädännön sallimissa puitteissa. Lisäksi henkilötietoja voidaan luovuttaa muun muassa: - viranomaisille lakisääteisissä tapauksissa - ensisijaiselle palveluntarjoajalle, jonka kautta rekisteröity hankkii OP-Laskulainapalvelua Rekisterinpitäjä käyttää alihankkijoita tietojen käsittelyssä. Alihankkijat tuottavat rekisterinpitäjälle mm. tietoteknisiä palveluja. Osa käytetyistä alihankkijoista on muita OP Ryhmän yhteisöjä. Rekisterinpitäjä ei säännönmukaisesti siirrä tämän rekisterin tietoja EU:n / ETA:n ulkopuolelle. Mikäli tietoja kuitenkin yksittäistapauksessa siirrettäisiin EU:n / ETA:n ulkopuolelle, soveltaa rekisterinpitäjä aina lainsäädännössä sallittuja siirtomekanismeja, kuten tietosuojalainsäädännön mukaisia mallisopimuslausekkeita, joilla taataan asianmukainen henkilötietojen suoja. Mallisopimuslausekkeet löydät osoitteesta: https://ec.europa.eu/info/strategy/justice-and-fundamental-rights/data-protection/datatransfers-outside-eu/model-contracts-transfer-personal-data-third-countries_en 8 Henkilötietojen säilytysaika tai säilytysajan määrittämiskriteerit 9 Henkilötietojen lähteet ja päivittäminen Rekisterinpitäjä käsittelee henkilötietoja sopimussuhteen voimassaolon ajan. Sopimussuhteen päätyttyä rekisterinpitäjä poistaa tai anonymisoi tiedot pääsääntoisesti noin 6 vuoden kuluttua noudattamiensa poistoprosessien mukaisesti. Potentiaalisten asiakkaiden henkilötietoja rekisterinpitäjä käsittelee korkeintaan vuoden ajan laskettuna siitä, kun rekisteröity viimeksi aktiivisella toimenpiteellään on osoittanut kiinnostusta rekisterinpitäjän tuotteita tai palveluja kohtaan. Rekisterinpitäjä voi käsitellä sopimussuhteen päätyttyä henkilötietoja suoramarkkinointitarkoituksiin soveltuvan lainsäädännön mukaisesti. Rekisterinpitäjällä voi olla velvollisuus käsitellä joitakin rekisteriin kuuluvia henkilötietoja yllä todettua pitempään lainsäädännön tai viranomaisvaatimusten noudattamiseksi. Henkilötietoja kerätään pääasiassa rekisteröidyltä itseltään. Henkilötietoja voidaan kerätä myös, kun rekisteröity käyttää tiettyjä rekisterinpitäjän palveluja, kuten verkkopalvelut.
5 (6) 10 Rekisteröidyn oikeudet 11 Oikeus peruuttaa suostumus 12 Miten rekisterin suojaus on järjestetty Henkilötietoja voidaan kerätä ja päivittää lain sallimissa puitteissa myös kolmansien osapuolten rekistereistä, kuten: - Väestörekisterikeskuksesta - muiden viranomaisten pitämistä rekistereistä - luottotietorekisterinpitäjiltä - poliittisen vaikutusvallan ja rekisterinpitäjän noudattamien kansainvälisten pakotteiden piiriin kuulumisen selvittämiseksi tarpeelliset tiedot tällaisia tietokantoja ylläpitäviltä tahoilta - muista OP Ryhmän yhteisöjen asiakasrekistereistä OP Ryhmän piirissä rekisterinpitäjä kerää tietoja erityisesti ryhmän OP Yrityspankki Oyj:ltä. Rekisterinpitäjä voi käyttää näitä tietoja esimerkiksi ryhmän rahoitusvastuiden määrittämiseen sekä markkinointikohderyhmien muodostamiseen ja markkinointiin. Rekisteröidyllä on oikeus saada rekisterinpitäjän vahvistus siitä, käsitelläänkö rekisteröidyn henkilötietoja vai ei tai onko niitä käsitelty. Mikäli rekisterinpitäjä käsittelee rekisteröidyn henkilötietoja, rekisteröidyllä on oikeus saada tämän asiakirjan tiedot sekä jäljennös käsiteltävistä ja käsitellyistä henkilötiedoista. Rekisterinpitäjä voi periä kohtuullisen hallinnollisen maksun rekisteröidyn pyytämistä lisäjäljennöskappaleista. Mikäli rekisteröity tekee pyynnön sähköisesti, eikä hän ole pyytänyt muuta toimitusmuotoa, tiedot toimitetaan yleisesti käytössä olevassa sähköisessä muodossa edellyttäen, että tiedot voidaan toimittaa tietoturvallisella tavalla. Rekisteröidyllä on myös oikeus pyytää rekisterinpitäjää oikaisemaan tai poistamaan henkilötietojaan ja hän voi kieltää henkilötietojensa käsittelyn suoramarkkinointitarkoituksiin. Tietosuoja-asetuksen soveltamisen alettua rekisteröidyllä on myös tietyissä tilanteissa oikeus pyytää henkilötietojensa käsittelyn rajoittamista tai muuten vastustaa käsittelyä. Lisäksi rekisteröity voi pyytää itse toimittamiensa tietojen siirtoa koneluettavassa muodossa tietosuojaasetukseen perustuen. Kaikki tässä mainitut pyynnöt tulee toimittaa yllämainitulle rekisterinpitäjän yhteyshenkilölle. Mikäli rekisteröity katsoo, ettei hänen henkilötietojensa käsittely ole lainmukaista, hänellä on oikeus tehdä asiassa valitus valvontaviranomaiselle. Mikäli rekisterinpitäjä käsittelee rekisteröidyn henkilötietoja suostumuksen perusteella, rekisteröidyllä on oikeus peruuttaa suostumuksensa. Suostumuksen peruuttaminen ei vaikuta ennen sen peruuttamista suoritetun suostumusperusteisen käsittelyn lainmukaisuuteen. Suostumuksen peruuttaminen voi kuitenkin vaikuttaa palvelun käytettävyyteen ja toiminnallisuuksiin. Tietoja säilytetään OP-Laskulainan tietoturva-auditoidussa tietovarastossa noudattaen OP Ryhmän tietoturvastandardeja sekä tietosuojaperiaatteita. Rekisterinpitäjä on huolellisesti arvioinut käsittelytoimiin liittyvät mahdolliset riskit ja ryhtynyt tarvittaviin toimenpiteisiin näiden riskien hallitsemiseksi.
6 (6) Rekisterinpitäjä on suojannut tiedot asianmukaisesti teknisesti ja organisatorisesti. Rekisterin suojauksessa käytetään mm. seuraavia keinoja: - laitteistojen ja tiedostojen suojaus - kulunvalvonta - käyttäjien tunnistus - käyttövaltuudet - käyttötapahtumien rekisteröinti - käsittelyn ohjeistus ja valvonta Rekisterinpitäjä edellyttää myös alihankkijoiltaan ja muilta yhteistyökumppaneiltaan käsiteltävien henkilötietojen asianmukaista suojaamista.