Ohje tietosuojaselosteen laatimiseen Tämä ohje tietosuojaselosteen laatimiseen on tarkoitettu rekisterinpitäjän apuvälineeksi yleisen tietosuoja-asetuksen informointivelvoitteen toteutuksessa erityisesti kaupan alalla. Ohjeessa on kuvattu kunkin otsikon alle tarvittava informaatio ja annettu käytännön esimerkki tiedon esittämistavasta. Esimerkit ovat nimensä mukaisesti tarkoitettu vain esimerkeiksi, eivätkä ne välttämättä sovellu kaikkiin tilanteisiin. Suomalaisen kaupan alan yrityksillä on hyvin erilaisia tarkoituksia henkilötietojen käsittelylle, ja yritysten onkin rekisterinpitäjinä mukautettava tietosuojaselosteensa omiin tarpeisiinsa. Tietosuojaselosteen tietosisältö on kuvattava yksinkertaisella ja selkeällä kielellä. Tämä on erityisen tärkeää, kun informoidaan lapsia. Tarkoituksena onkin, että potentiaaliseen kohderyhmään kuuluva keskivertohenkilö saa kattavan ja selkeän kuvan henkilötietojen käsittelyn kokonaisuudesta. Kiinnitä huomiota siihen, että käsittelyn tarkoitus ja seuraukset on kuvattu helposti ymmärrettävällä tavalla. Esimerkiksi käsittelyn tarkoituksen määrittelyssä on vältettävä sanamuotoja voimme, on mahdollista ja usein. Varmista myös mahdollisten kieliversioiden vastaavuus toisiinsa. Ohje on laadittu Kaupan liiton tietosuojatyöryhmässä yhteistyössä liiton jäsenyritysten asiantuntijoiden kanssa. Selostetta koskeva ohje on tarkoitettu osaksi laajempaa kokonaisuutta, kaupan alan käytännesääntöjä, jotka julkaistaan, kun tietosuojavaltuutettu on hyväksynyt ne. Lisätietoja: Janne Koivisto, asiantuntija, Kaupan liitto janne.koivisto@kauppa.fi 1
Ohje tietosuojaselosteen laatimiseen Tämä tietosuojaseloste koskee henkilötietojen käsittelyä palvelussa X SISÄLLYS 1. Rekisterinpitäjä...3 2. Mitä tietoja käsittelemme?...3 3. Mihin tarkoituksiin henkilötietojasi käsitellään?...3 4. Säilytysaika...4 5. Oikeutesi peruuttaa suostumus...5 6. Mitä muita oikeuksia sinulla on?...5 7. Kuinka käytät oikeuksiasi?...6 8. Tietoja henkilötietojen vastaanottajista...6 9. Valitusosoitus...7 10. Välttämättömät tiedot palvelun X kannalta...7 11. Tieto automaattisesta päätöksenteosta ml profilointi...8 12. Tietojen käyttö muihin tarkoituksiin...8 13. Tiedot, jotka on hankittu muualta, kuin sinulta...8 14. Tietosuojavastaava...8 2
1. REKISTERINPITÄJÄ - Tässä ilmoitetaan, kuka on rekisterinpitäjä ja kerrotaan, miten tähän voi olla yhteydessä. Rekisterinpitäjän tulee olla helposti tunnistettavissa. - Asetuksessa ei edellytetä, että julkistettavissa yhteystiedoissa nimetään rekisterinpitäjän edustajaksi tietty henkilö, eli yleisen sähköpostiosoitteen ja/tai vaihteen numeron ilmoittaminen riittää. Rekisterinpitäjä voi tarjota erilaisia tapoja ottaa yhteyttä (esim. puhelinnumero, sähköposti ja postiosoite) Yritys Oy on rekisterinpitäjä ja vastaa henkilötietojen käsittelystä. Tämän palvelun osalta voit olla yhteydessä rekisterinpitäjään seuraavilla tavoilla: - sähköposti - puhelinnumero [puhelun hintatiedot] - postiosoite 2. MITÄ TIETOJA KÄSITTELEMME? - Tässä informoidaan käsiteltävistä henkilötietoryhmistä. o Huom! Jos tietoa kerätään rekisteröidyltä itseltään (13 art.), tätä ei ole välttämätöntä kertoa. Vaatimus henkilötietoryhmistä koskee vain tietoja, joita ei ole saatu rekisteröidyltä (14 art.) itseltään. Henkilötietoryhmät kannattaa kuitenkin ilmoittaa aina, jolloin selosteessa ei tarvitse erotella ilmoitusta kahteen luokkaan sen perusteella, mistä tieto on kerätty. - Suositeltavaa on eritellä käsitellyt tiedot selosteessa yksilöidysti. Esimerkki tietosisällön kuvauksesta Nimi ja yhteystiedot o (esim. osoite, puhelinnumero, sähköpostiosoite) Asiakkaan tunnistetiedot o (asiakasnumero, asiakastyyppi (henkilö/yritys), syntymäaika tai henkilötunnus, sukupuoli) Kielivalinta erilaiset mahdollisesti ilmoittamasi kiellot o henkilötietojen luovuttamista varten. Antamasi suostumus vastaanottaa markkinointiviestintää sähköpostitse tai matkapuhelimeen asiakassuhteen hoitamiseen liittyviä tietoja, mm. asiakaspalautteet asiakaspalvelupuhelunauhoitteet ja tietoja markkinointi- ja asiakaspalvelutoimenpiteistä. asiakkuuteen tai henkilöön liittyvät profiilit ja muut luokitukset 3. MIHIN TARKOITUKSIIN HENKILÖTIETOJASI KÄSITELLÄÄN? - Tässä kuvataan henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste. o mitä palveluita asiakkaalle toimitetaan tietojen avulla tai miksi on välttämätöntä käsitellä tietoja jonkun sopimuksen velvoitteiden täyttämiseksi. o Suositeltavaa on eritellä käyttötarkoituksia. Eri tiedoilla voi olla eri käyttötarkoituksia samankin palvelun sisällä, ja käyttötarkoitus vaikuttaa usein säilytysaikaan. Samalla tiedolla voi olla myös useita rinnakkaisia käyttötarkoituksia. Henkilötiedon käsittelyä (esim. sähköpostiosoite yhteystietona) voi siis olla mahdollista jatkaa vaikkapa sopimuksen täytäntöön panemiseksi, vaikka rekisteröity peruuttaisikin suostumuksen sähköiseen suoramarkkinointiin. - Jokaisen henkilötietoryhmän osalta tulee erikseen ottaa kantaa, mikä on käsittelyn lainmukainen edellytys kyseisessä prosessissa/käsittelytarkoituksessa. o Lainmukaisia käsittelyperusteita ovat mm. suostumus, lakisääteinen velvoite tai sopimuksen paneminen täytäntöön. o Käsittelyperusteet ja käsiteltävät henkilötietoryhmät voivat vaihdella käsittelytarkoituksen mukaan. Esimerkiksi ostotapahtumatietojen, asiakaspalvelutapahtumien tai kanta-asiakasjärjestelmän tietojen käsittely eroavat toisistaan prosesseina. Tämä tulee huomioida rekisteröidyn informoinnissa. 3
Käsittelyn lainmukaiset perusteet: 1. Henkilön antama suostumus; a. Huomaa riittävä dokumentointi/osoitusvelvollisuus. b. Suostumuksen tulee olla vapaaehtoinen, yksilöity, tietoinen tahdonilmaisu. Suostumus on jotakin aktiivista toimintaa, se ei ole sama kuin kieltomahdollisuus. c. Kun kyseessä on tietoyhteiskunnan palvelujen tarjoaminen suoraan lapselle, lapsen henkilötietojen käsittely on lainmukaista [Suomen tietosuojalain mukaan], jos lapsi on vähintään 13-vuotias. Jos lapsi on alle 13 vuotta, tällainen käsittely on lainmukaista vain siinä tapauksessa ja siltä osin kuin lapsen vanhempainvastuunkantaja, eli tyypillisesti huoltaja, on antanut siihen suostumuksen tai valtuutuksen. 2. käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; 3. käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi; 4. käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; 5. käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi; tai 6. käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi. Erityisiä henkilötietoryhmiä ( arkaluonteiset tiedot ), rikostuomioita ja rikkomuksia sekä henkilötunnusta koskevasta käsittelystä on säädetty lisäedellytyksiä asetuksessa sekä tietosuojalaissa. Henkilötietojen käsittelyn tarkoitukset ja lailliset käsittelyperusteet palvelussa X Käsittelyn tarkoitus Lainmukainen käsittelyperuste Käsiteltävät henkilötietoryhmät Ostotietojen käsittely Sopimuksen täytäntöön paneminen Nimi ja yhteystiedot, asiakkaan tunnistetiedot, ostotiedot Yrityksen lakisääteisten velvoitteiden noudattaminen Lakisääteinen velvoite koskien mm. kirjanpitolakia ja kuluttajakaupan virhevastuuta. Nimi ja yhteystiedot, asiakkaan tunnistetiedot, ostohistoria Sähköinen suoramarkkinointi Suostumus Nimi, sähköposti, ostohistoria, asiakkaan tunnistetiedot, suostumus, kielivalinta Vaarallisten tuotteiden kiireelliset takaisinvedot Elintärkeiden etujen suojaaminen Nimi ja yhteystiedot, asiakkaan tunnistetiedot, ostotiedot 4. SÄILYTYSAIKA - Yksilöidään henkilötietojen säilytysaika palvelussa X tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit. o Säilytysaika voidaan siis ilmoittaa kiinteänä aikamääreenä (esim. tietoja säilytetään X vuotta ostotapahtumasta) tai se voidaan kytkeä tiettyyn tapahtumaan (esim. tiedot poistetaan välittömästi, kun käyttäjä eroaa postituslistalta). - Eri henkilötietoryhmille ja/tai eri käsittelytarkoituksille tulisi tapauskohtaisesti määritellä eri säilytysajat. - Jos säilytysvelvoite perustuu nimenomaiseen lain säädökseen, mainitse se. 4
- Mahdolliset tietoihin liittyvät kanneajat on otettava huomioon säilytysajan määrittelyssä. kuluttajansuoja- ja kuluttajaturvallisuuslainsäädäntöön liittyvä virhevastuu tulee huomioida säilytysajan määrittelyssä. Henkilötietojesi säilytysajat [palvelussa X] ovat seuraavat: Ostohistoria: x vuotta Asiakaspalvelutapahtumat: xx kuukautta Kirjanpitoaineisto: Henkilötietoja sisältävää tositeaineistoa säilytetään kirjanpitolain 2:10 :n nojalla kuusi vuotta sen kalenterivuoden lopusta, jonka aikana tilikausi päättyy. jne. 5. OIKEUTESI PERUUTTAA SUOSTUMUS - Kuvataan rekisteröidyn oikeus peruuttaa suostumuksensa milloin tahansa. - Huom! Tämä kohta tarvitaan vain, jos joku osa käsittelystä perustuu suostumukseen. - Kun henkilötietojesi käsittely perustuu antamaasi suostumukseen, voit milloin tahansa peruuttaa suostumuksesi. Henkilötietojesi käsittely perustuu suostumukseen esimerkiksi silloin, kun olet antanut luvan sähköiseen suoramarkkinointiin. Voit peruuttaa antamasi suostumuksen [yksilöi tapa]. 6. MITÄ MUITA OIKEUKSIA SINULLA ON? - Rekisterinpitäjän on silloin, kun henkilötietoja saadaan, kerrottava rekisteröidylle tämän oikeuksista asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi. Näitä ovat: o rekisteröidyn oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin; o oikeus pyytää kyseisten tietojen oikaisemista tai poistamista taikka käsittelyn rajoittamista: o vastustaa käsittelyä; sekä o siirtää tiedot järjestelmästä toiseen. - Oikeuksista tulee kertoa rekisteröidylle tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa. - Palvelua koskevassa selosteessa on mahdollista informoida myös siitä, mikäli rekisteröidyllä ei ole oikeutta esimerkiksi siirtää tai poistaa tietojaan tai mitä rekisterin tietoja kyseinen oikeus koskee. 1. Sinulla on oikeus pyynnöstäsi saada tietää, käsitteleekö Rekisterinpitäjä henkilötietojasi. Jos käsittelemme tietojasi, sinulla on oikeus saada kopio käsittelemistämme tiedoista. Jos emme käsittele tietojasi, on sinulla oikeus saada vahvistus tästäkin. 2. Sinulla on oikeus korjata tai täydentää käsittelyn kannalta virheellinen tai puutteellinen henkilötietosi 3. Sinulla voi olla oikeus poistaa henkilötietosi tietyissä asetuksessa tarkoitetuissa tilanteissa. Poistamme tiedot pyynnöstäsi, mikäli lainsäädännössä määritetyt perusteet täyttyvät. Sinulla on oikeus asetuksen mukaan poistaa henkilötietosi järjestelmästämme, jos a) henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin tai b) olet peruuttanut suostumuksesi, johon käsittely on perustunut eikä käsittelyyn ole muuta laillista perustetta tai c) vastustat henkilökohtaisiin syihin vedoten käsittelyä, joka on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi kuten esimerkiksi profilointia; a) Tällöin rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. d) henkilötietoja on käsitelty lainvastaisesti; e) henkilötiedot on poistettava unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan rekisterinpitäjään sovellettavan lakisääteisen velvoitteen noudattamiseksi; f) henkilötiedot on kerätty lapselta tietoyhteiskunnan palvelujen tarjoamisen yhteydessä. 5
4. Sinulla voi olla oikeus rajoittaa henkilötietojesi käsittelyä. Rajoitamme käsittelyä pyynnöstäsi, mikäli kyse on lainsäädännössä määritetyistä tilanteista. Voit rajoittaa henkilötietojesi käsittelyä jos a) kiistät henkilötietojesi paikkansapitävyyden, jolloin käsittelyä rajoitetaan ajaksi, jonka kuluessa voimme varmistaa niiden paikkansapitävyyden; b) käsittely on lainvastaista ja vastustat henkilötietojen poistamista ja vaadit sen sijaan niiden käytön rajoittamista c) rekisterinpitäjänä emme enää tarvitse kyseisiä henkilötietoja käsittelyn tarkoituksiin, mutta sinä tarvitset niitä oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi; d) olet vastustanut henkilökohtaisiin syihin vedoten henkilötietojen käsittelyä, joka on tarpeen joko yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi taikka rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi ja odotamme sen todentamista, syrjäyttävätkö rekisterinpitäjän oikeutetut perusteet sinun perusteesi. Kun henkilötietojesi käsittelyä on rajoitettu, niitä voidaan säilyttämistä lukuun ottamatta käsitellä ainoastaan suostumuksellasi taikka oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi tai toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä. 5. Sinulla on tietyissä tilanteissa oikeus siirtää hallussamme olevat henkilötietosi itsellesi tai toiselle rekisterinpitäjälle. Oikeus koskee sellaisia henkilötietoja, jotka olet itse toimittanut meille ja joita käsittelemme suostumuksesi nojalla tai toteuttaaksemme sellaisen sopimuksen, jossa olet osallinen. Oikeus koskee niitä tietoja, joita käsitellään automaattisen tietojenkäsittelyn avulla. Osa tiedoista on paperikopiona eikä oikeus koske tällaisia asiakirjoja. 6. Sinulla voi olla oikeus vastustaa henkilötietojesi käsittelyä. Lopetamme henkilötietojen käsittelyn pyynnöstäsi, mikäli kyse on lainsäädännössä määritetyistä tilanteista. Voit vastustaa henkilötietojesi käsittelyä a) rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, kuten esimerkiksi profilointi, henkilökohtaisiin syihisi vedoten; a) Tällöin rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. b) milloin tahansa, jos henkilötietojasi käsitellään suoramarkkinointia varten, mukaan lukien profilointi, silloin kun se liittyy tällaiseen suoramarkkinointiin. 7. KUINKA KÄYTÄT OIKEUKSIASI? - Tässä kuvataan tavat, joilla rekisteröity voi käyttää oikeuksiaan. Yrityksillä voi olla erilaisia teknisiä ratkaisuja, kuten verkkopalveluita, joissa rekisteröity voi esittää pyynnön käyttää oikeuksiaan tai päästä suoraan rajapinnan kautta käyttämään oikeuksiaan. - Rekisteröidylle annetaan ohjeet tietopyynnön tekemiseen ja kuvataan, millä tavoin henkilötiedot toimitetaan rekisteröidylle. Voit lähettää meille pyynnön oikeuksiesi käyttämisestä verkkosivujen kautta [linkki]. Vaihtoehtoisesti voit lähettää henkilökohtaisesti allekirjoittamasi pyynnön kirjeitse yllä mainittuun osoitteeseen käyttäen seuraavaa lomaketta [linkki]. Mikäli vastaus sisältää henkilötietojasi, toimitamme tiedot tapauksesta riippuen joko salattuna sähköisessä muodossa tai postitse henkilökohtaisena kirjattuna kirjeenä. Kirjettä ei voi kuitata vastanotetuksi kukaan muu, kuin vastanottajaksi merkitty henkilö. Näin varmistamme kirjeen oikean vastaanottajan tietojen luottamuksellisuuden. 8. TIETOJA HENKILÖTIETOJEN VASTAANOTTAJISTA - Yksilöidään henkilötietojen vastaanottajat tai vastaanottajaryhmät, kuten IT-palveluiden tarjoajat, jotka käsittelevät henkilötietoja rekisterinpitäjän lukuun. Lähtökohtaisesti rekisterinpitäjän tulisi toimittaa tiedot todellisesta (nimetystä) henkilötietojen vastaanottajasta. Pelkän vastaanottajaryhmän ilmoittaminen on riittävää esimerkiksi silloin, kun 6
o tietoa sopimussuhteen olemassaolosta henkilötiedon vastaanottajiin (l. yrityksiin) on pidettävä liikesalaisuutena o henkilötietojen vastaanottajien yksilöinti vaarantaisi käsittelyn turvallisuuden, jos vastaanottajiin kohdistettaisiin esim. systemaattista tietojenkalastelua tai kyberhyökkäys; tai o vastaanottajien merkitys henkilötietojen käsittelyn kannalta on kokonaisuutena arvioiden vähäinen. o Rekisterinpitäjän on tällöin pystyttävä osoittamaan, miksi valittu menettelytapa on asianmukainen. - Lisäksi tarvittaessa kuvataan tiedot henkilötietojen siirtämisestä kolmanteen maahan tai kansainväliselle järjestölle. Tällöin maa tai järjestö tulee yksilöidä. Kolmansiin maihin tapahtuvaa henkilötietojen siirtoa koskevista vaatimuksista on säädetty asetuksen 44-50 artiklassa. Alla olevassa esimerkissä siirrossa on käytetty asianmukaisena suojatoimena komission antamia tietosuojaa koskevia vakiolausekkeita. Yritys Oy rekisterinpitäjänä käsittelee henkilötietoja itse, mutta käyttää myös apunaan erilaisia palveluntuottajia. Yritys Oy pyrkii käyttämään parhaita ja luotettavia yhteistyökumppaneita ja vastaa valitsemiensa palveluntuottajien toiminnasta henkilötietoja käsiteltäessä. Yritys Oy käyttää seuraavia ulkopuolisia palveluita palveluita tarjoava yritys X1 palveluita tarjoava yritys Xn Henkilötietoja katsotaan siirtyvän EU- ja ETA-alueen ulkopuolelle tietotekniikkapalveluiden tuottamisen yhteydessä, kun henkilötietoihin on käyttömahdollisuus [EU- ja ETA-alueen ulkopuolinen maa] käsin. Tästä tietojen siirrosta on tehty palvelutoimittajan kanssa sopimus noudattaen EU-komission vahvistamia mallisopimuslausekkeita. (Mallisopimuslausekkeita koskeviin komission päätöksiin voi tutustua alla olevasta linkeistä. - linkki 1 - linkki 2 - linkki 3 Myös eräillä viranomaisilla on lakiin perustuva tiedonsaantioikeus. Tällaisia viranomaisia ovat mm. poliisi-, tulli-, rajavartioja veroviranomaiset. 9. VALITUSOSOITUS - Kerrotaan rekisteröidylle mahdollisuudesta saattaa asia valvontaviranomaisen käsiteltäväksi ja käyttää muita oikeussuojakeinoja. Mikäli katsot, että emme käsittele henkilötietojasi EU:n yleisen tietosuoja-asetuksen mukaisesti, voit tehdä valituksen valvontaviranomaiselle siinä EU:n jäsenvaltiossa, jossa vakituinen kotipaikkasi tai työpaikkasi on tai jossa katsot säännösten rikkomisen tapahtuneen. Suomessa kyseinen viranomainen on tietosuojavaltuutettu. 10. VÄLTTÄMÄTTÖMÄT TIEDOT PALVELUN X KANNALTA - Kuvataan, onko henkilötietojen antaminen lakisääteinen tai sopimukseen perustuva vaatimus taikka sopimuksen tekemisen edellyttämä vaatimus. Lisäksi kuvataan, onko rekisteröidyn pakko toimittaa henkilötiedot ja tällaisten tietojen antamatta jättämisen mahdolliset seuraukset. o Tiedot, jotka rekisteröidyn on välttämätöntä antaa palvelun käyttöä tai sopimuksen solmimista varten. o Tiedot, joiden antaminen ei ole välttämätöntä, mutta joita ilman rekisteröidylle tarjottavaa palvelua saatetaan rajoittaa. 7
Jotta voisimme tarjota sinulle sopimuksessa mainitut edut tai palvelut, on meidän käsiteltävä sopimuksen täytäntöön panemiseksi välttämättömiä henkilötietoja. Tällaisia tietoja ovat mm. nimi, yhteystiedot ja tiedot ostoksista. Suostumus sähköiseen markkinointiin ei ole välttämätön tieto, mutta ilman suostumusta emme voi toimittaa sähköistä ja yleensä kohdennettua suoramarkkinointia. Mikäli et salli profilointia, emme voi kohdentaa sinulle lähetettäviä markkinointiviestejä. Saat silloin vain yleisluontoista markkinointiviestintää, et tietoa niistä tuotteista, joista voisimme profiloinnin avulla päätellä sinun olevan kiinnostunut. 11. TIETO AUTOMAATTISESTA PÄÄTÖKSENTEOSTA ML. PROFILOINTI - Mikäli automaattista päätöksentekoa (kuten profilointia) käytetään, ilmoitetaan sen olemassaolo. Samalla on annettava merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle. Profilointi tarkoittaa sellaista henkilötietojen käsittelyä, jossa henkilötietoja käyttämällä arvioidaan joitakin henkilökohtaisia ominaisuuksiasi. Profiloimme asiakkaita markkinoinnin kohdentamiseksi. Katsomme kuitenkin, ettei tällaisella profiloinnilla ole asetuksessa tarkoitettuja oikeusvaikutuksia tai muuten merkittäviä vaikutuksia profiloinnin kohteelle. Rekisteröitynä sinulla on oikeus vastustaa profilointia, joka perustuu rekisterinpitäjän oikeutettuun etuun henkilökohtaisen erityisen perusteen nojalla. Voit myös milloin tahansa vastustaa profilointia, joka suoritetaan suoramarkkinoinnin kohdentamiseksi. 12. TIETOJEN KÄYTTÖ MUIHIN TARKOITUKSIIN - Kuvataan toimintatapa, jos rekisterinpitäjä aikoo käsitellä henkilötietoja edelleen muuhun tarkoitukseen kuin siihen, johon henkilötiedot kerättiin. Emme käytä tietoja muihin kuin tässä asiakirjassa ilmoitettuihin tarkoituksiin. Mikäli myöhemmin ilmenee uusia käyttötarpeita, informoimme siitä sinua ja informoimme sinua laillisesta käsittelyperusteesta tai tarvittaessa pyydämme sinulta suostumuksen henkilötietojen käsittelyyn uusia käyttötarkoituksia varten. 13. TIEDOT, JOTKA ON HANKITTU MUUALTA KUIN SINULTA - Mikäli henkilötietoja on saatu muualta kuin rekisteröidyltä: Kuvataan, mistä henkilötiedot on saatu sekä tarvittaessa se, onko tiedot saatu yleisesti saatavilla olevista lähteistä; Päivitämme osoitteen- ja nimenmuutostietoja Suomen Postin postinsaajarekisteristä, mikäli rekisteröity ei ole kieltänyt tietojen luovutusta. 8
14. TIETOSUOJAVASTAAVA - Tietosuojavastaavan yhteystiedot, jos tämä on nimitetty. Yhteystietojen olisi sisällettävä tiedot, joiden avulla rekisteröidyt ja valvontaviranomainen voivat helposti tavoittaa tietosuojavastaavan (tietosuojavastaavan postiosoite, puhelinnumero ja/tai sähköpostiosoite). - Asetuksessa ei edellytetä, että julkistettavissa yhteystiedoissa ilmoitetaan tietosuojavastaavan nimi. Voit olla yhteydessä Yritys Oy:n tietosuojavastaavaan, jos asiasi koskee henkilötietojen käsittelyä tai EU:n yleiseen tietosuojaasetukseen perustuvien oikeuksiesi käyttämistä Yritys Oy:n toiminnoissa. Saat yhteyden tietosuojavastaavaan sähköpostitse tietosuojavastaava@xx.fi tai puhelimitse puh 010-xxx ja pyytämällä tietosuojavastaavalle (puhelun hinta). 9
Kaupan liitto ry Eteläranta 10, PL 340 00130 Helsinki Kauppa.fi 10