ZEF - Tietojenkäsittelysopimus (DPA)

Alla mainitut Asiakas ja Toimittaja ovat tehneet tässä sovituin ehdoin sopimuksen siitä, että Toimittaja käsittelee henkilötietoja Asiakkaan lukuun tämän sopimuksen perusteella. Asiakas on rekisterinpitäjä ja Toimittaja on henkilötietojen käsittelijä. Tähän sopimukseen sovelletaan IT2022 EHK erityisehtoja henkilötietojen käsittelystä sekä IT2022 YSE yleisiä sopimusehtoja. Tämän sopimusliitteen hyväksyminen ja noudattaminen ovat edellytyksiä Zeffi-ohjelmistopalvelun käyttämiselle.

Asiakas: Asiakas on taho, joka on hankkinut Toimittajalta lisenssin Ohjelmistopalvelun (Zeffi) käyttöön ja hyväksynyt tämän ZEF - Tietojenkäsittelysopimuksen ja ZEF - Käyttöehdot

Toimittaja: ZEF Oy (Y-tunnus: 0640379-1). Toimittajan osoite: Elektroniikkatie 6, 90590 Oulu.

Käsiteltävien henkilötietojen luonne ja tarkoitus on määritelty seuraavasti:

Toimittaja käsittelee Asiakkaan henkilötietoja kahden ryhmän osalta: 1) Kyselyiden laatijat, joiden tiedot on tuotu Asiakkaan hallinnoimaan Zeffi-organisaatioon ja 2) kyselyiden vastaajat, joiden tiedot Asiakas on tuonut vastaajien kutsumiseksi tai jotka vastaajat ovat itse luovuttaneet Ohjelmistopalveluun kyselyvastauksina.

Asiakkaan ohjeistus Toimittajalle on henkilötietojen käsittely ainoastaan pääsopimuksen mukaisen Ohjelmistopalvelun tuottamiseksi tätä tietojenkäsittelysopimusta noudattaen. Asiakas on Zeffi-organisaatiossaan olevien tietojen osalta rekisterinpitäjä ja omistaa siinä olevat tiedot. Toimittajan henkilöstö käsittelee tietoja vain asiakaspalvelutarkoituksessa, esimerkiksi tukipyyntöihin vastattaessa, jolloin tietoja käsitellään ainoastaan tukipyynnön edellyttämässä laajuudessa.

Selvyyden vuoksi todetaan, että Toimittaja ei käytä Asiakkaan Zeffi-organisaation dataa tekoälyn kouluttamiseen tai muuhun tarkoitukseen, joka ei ole Asiakkaan ohjeistuksen mukainen ja että vastaajien dataa ei käsitellä tai tallenneta EU-alueen ulkopuolelle.

4.1 Kyselyiden laatijat

Toimittajan käsittelemiä henkilötietoja voivat olla:

1. Sähköposti

2. Nimi (valinnainen)

3. Puhelinnumero (valinnainen)

4. Sosiaalisen median tilit (valinnainen)

5. Kirjautumisessa käytetty IP-osoite (säilytetään rajoitetun ajan teknisen tuen tarpeisiin)

6. Luottokortti- ja laskutustiedot (mikäli henkilö näkyy asiakkuuden laskutuskontaktihenkilönä)

4.2 Kyselyiden vastaajat

Toimittajan käsittelemiä henkilötietoja voivat olla (Asiakkaan määriteltävissä):

1. Nimi

2. Sähköpostiosoite

3. Kotiosoite

4. Puhelinnumero ja muut yhteystiedot (kaikki valinnaisia)

5. Ikä

6. Syntymäaika

7. Työsuhdetiedot, koulutus ja pätevyys

8. Sosiaalisen median tilit (valinnainen)

9. Muut Asiakkaan määrittämät, vastaajan tiettyyn kyselyyn antamat henkilötiedot

Asiakas voi myös päättää tehdä kyselyn siten, ettei vastaajilta kerätä henkilötietoja. Tällöin yllä listattuja henkilötietoja ei kerätä eikä käsitellä.

Tietoturvan suhteen sovelletaan yleisesti hyväksyttyjä käytäntöjä, jotka määritellään liitteenä olevissa IT2022-sopimusehdoissa.

Varmuuskopiointi: Asiakkaan käytössä syntyvä data säilytetään sopimuskauden aikana Toimittajan palvelimella. Asiakkaalla on lisenssinsä puitteissa kirjautuneena käyttäjänä pääsy viimeisimpään sisältöön ja lisäksi aiempia kyselyversioita säilytetään 30 päivän ajan varmuuskopioarkistossa.

6.1 Säilyttäminen. Käyttöehtojen mukaisesti Toimittaja käsittelee ja säilyttää henkilötietoja Asiakkaan voimassa olevan maksullisen tilauksen ajan. Jos Asiakkaalla ei ole voimassa olevaa tilausta, Toimittaja säilyttää Henkilötietoja 60 päivän ajan Asiakkaan viimeisimmästä järjestelmään kirjatusta aktiivisesta toiminnasta Ohjelmistopalvelussa. Aktiivisella toiminnalla tarkoitetaan esimerkiksi kyselyjen tai kyselykutsujen laatimista, ei pelkkää kirjautuneena olemista ilman kyselyihin liittyvää toimintaa. Jos Asiakas on tilannut Käyttöehtojen kohdassa 7.2 tarkoitetun tiedonhallintapalvelun, Henkilötietoja säilytetään tiedonhallintapalvelun voimassaolon ajan 60 päivän määräajan sijaan.

6.2 Ilmoitus. Toimittaja ilmoittaa Asiakkaan tilin pääkäyttäjälle kohtuullisen ajan ennen kohdassa 6.1 tarkoitetun säilytysajan perusteella tapahtuvaa Henkilötietojen poistamista. Ilmoitusten tarkemmasta aikataulusta päättää Toimittaja.

6.3 Poistaminen. Sovellettavan säilytysajan päätyttyä Toimittaja poistaa pysyvästi tuotantojärjestelmistä sellaisten tilien Henkilötiedot, joilla ei ole voimassa olevaa maksullista lisenssiä, mukaan lukien Free- ja päättyneet tilit. Asiakas voi estää Henkilötietojen poistamisen milloin tahansa ennen sen tapahtumista aktivoimalla maksullisen lisenssin uudelleen, tilaamalla Käyttöehtojen kohdassa 7.2 tarkoitetun tiedonhallintapalvelun tai palaamalla tilin aktiiviseen käyttöön.

6.4 Tietojen vienti. Asiakas voi milloin tahansa ennen Henkilötietojen poistamista viedä Henkilötiedot Ohjelmistopalvelun tarjoamilla vientityökaluilla.

Tavanomainen henkilötietojen käsittely sisältyy lisenssimaksuun. Toimittajalla on IT2022 EHK -ehtojen 3.4 kohdan mukaisesti oikeus laskuttaa sellaiset henkilötietojen käsittelyyn liittyvät avustamis- ja tukityöt rekisteröityjen oikeuksien toteuttamiseksi, joita ei voida toteuttaa tavanomaisten tukikanavien piirissä. Mahdollisesti laskutettavista töistä pyydetään kirjallinen vahvistus ennen toteuttamista.

Asiakkaan yksityiskohtaisemmat velvollisuudet rekisterinpitäjänä on määritelty seuraavasti:

8.1 Asiakkaan tulee nimetä Zeffi-organisaatiolleen Omistaja, joka vastaa Zeffi-organisaation pääsyoikeuksien ajantasaisuudesta. Omistajan tulee peruuttaa sellaisten käyttäjien pääsyoikeudet, joilla ei ole enää oikeutta käyttää Ohjelmistopalvelua.

8.2 Kuten IT2022 EHK -ehtojen kohta 3.3 edellyttää, Asiakas on osaltaan vastuussa siitä, että Toimittajalle siirrettyjen tietojen käsittely on tietosuojalainsäädännön mukaista.

Henkilötietojen käsittelyn kohde ja kesto on määritelty seuraavasti:

9.1 Asiakas määrittää rekisterinpitäjänä käsittelyn kohteen ja keston Zeffi-organisaatiossaan.

9.2 Asiakkaan tulee henkilötietojen käsittelyn kohteen ja keston osalta huolehtia sopimuksen kohdan 8.2 mukaisesti käsittelyn tietosuojalainsäädännön mukaisuudesta.

9.3 Toimittajan rooli tietojen käsittelijänä rajoittuu tietojen teknisluonteiseen käsittelyyn Ohjelmistopalvelun tarjoajana Asiakkaan ohjeistuksen mukaisesti.

9.4 Lisäksi Toimittajan henkilöstö tarjoaa Asiakkaalle teknistä tukipalvelua, minkä yhteydessä voidaan käsitellä asiakkaan Zeffi-organisaation tietoja tukipyynnön edellyttämässä laajuudessa.

10.1 Kyselyvastaajien osalta mitään henkilötietoja ei siirretä EU:n/ETA-alueen ulkopuolelle.

10.2 Kyselyn laatijoiden henkilötietoja voidaan EU:n/ETA-alueen lisäksi käsitellä myös US-alueella. Tiedonsiirto tapahtuu Euroopan komission mallisopimuslausekkeiden mukaisesti.

10.3 Käsittelijän yksityiskohtaisemmat velvollisuudet henkilötietojen siirrossa EU:n/ETA-alueen ulkopuolelle on määritelty seuraavasti: Toimittaja rajoittaa tiedonsiirrot niin vähäisiksi, kuin Ohjelmistopalvelun tarjoamisen kannalta on tarpeellista. Ohjelmistopalvelun kannalta välttämättömiä tietoja ovat kirjautumisen ja autentikoinnin yhteydessä käsiteltävät sähköposti- ja IP-osoite sekä laskutustiedot.

Yllä olevan taulukon osassa Hyväksytyt alikäsittelijät ovat asiakkaan tietoja Ohjelmistopalvelussa käsittelevät alikäsittelijät. ZEF ilmoittaa Asiakkaan tilin pääkäyttäjälle Ohjelmistopalvelun kautta kohtuullisen ajan ennen uuden Hyväksytyn alikäsittelijän käyttöönottoa. Jos Asiakkaalla on muutokseen liittyvä perusteltu tietosuojaongelma, Asiakas voi ilmoittaa siitä ZEFille ennen muutoksen voimaantuloa. Osapuolet pyrkivät tällöin löytämään kohtuullisen ratkaisun.

Jos kohtuullista ratkaisua ei löydetä, Asiakas voi irtisanoa muutoksen kohteena olevan Ohjelmistopalvelun ennen muutoksen voimaantuloa. Muussa tapauksessa Ohjelmistopalvelun käyttö jatkuu muutoksen mukaisesti.

Henkilötietojen käsittelystä aiheutuva vahingonkorvausvelvollisuus ja vastuunrajoitukset on määritelty IT2022 EHK erityisehtojen kohdassa 9.

13.1 Toimittaja varmistaa, että kaikki sen alaisuudessa toimivat henkilötietojen käsittelyyn osallistuvat henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus ja lisäksi, että henkilötietoja käsitellään ainoastaan tämän Sopimusliitteen, Sopimuksen ja Asiakkaan ohjeiden mukaisesti.

13.2 Toimittaja avustaa asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä Asiakasta täyttämään rekisteröityjen oikeuksien käyttämistä koskevat velvollisuutensa, sekä ilmoittamaan Asiakkaalle mahdollisesti saamistaan rekisteröityjen pyynnöistä.

13.3 Toimittaja avustaa Asiakasta mahdollisissa Ohjelmistopalvelun tietosuojaa koskevissa vaikutustenarvioinneissa, tietoturvaloukkausilmoituksissa sekä viranomaiselle tehtävissä ennakkokuulemispyynnöissä.

13.4 ZEF - Tietojenkäsittelysopimus (DPA) astuu voimaan 21.9.2026 ja on voimassa toistaiseksi.

14.1 Tämä ZEF - Tietojenkäsittelysopimus (DPA) on erottamaton osa Asiakkaan ja Toimittajan välistä sopimusta. ZEF - Käyttöehdot ovat ensisijaiset suhteessa tähän ZEF - Tietojenkäsittelysopimukseen (DPA).

14.2 Tähän ZEF - Tietojenkäsittelysopimukseen (DPA) kuuluvat erottamattomasti seuraavat liitteet (vapaasti tutustuttavissa www-osoitteessa: it-ehdot.fi/tutustu-ehtoihin)

1. IT2022 EHK - Erityisehtoja henkilötietojen käsittelystä

2. IT2022 ETP - Erityisehtoja tietoverkon välityksellä toimitettavista palveluista

3. IT2022 YSE - Yleiset sopimusehdot