Henkilötietojen käsittelyn liite

Tämä liite on osa Yritys- ja yhdistysrekisteri -palvelun vakioehtoja. Tilaaja sitoutuu liitteeseen tilaamalla palvelun — erillistä allekirjoitusta ei tarvita. Liitteessä sovitaan henkilötietojen käsittelystä yleisen tietosuoja-asetuksen (EU) 2016/679 (”tietosuoja-asetus”) 28 artiklan mukaisesti. Ristiriitatilanteessa tämä liite on ensisijainen henkilötietojen käsittelyä koskevilta osin. Kulloinkin voimassa oleva versio on saatavilla palvelussa, ja olennaisista muutoksista ilmoitetaan Tilaajalle.

Palvelussa käsitellään kahdenlaisia henkilötietoja, ja roolit eroavat niiden välillä:

• Rekisteridata. Palvelun ydinsisältö on viranomaislähteistä (PRH, Verohallinto, yhdistysrekisteri) koottua julkista yritys- ja yhteisötietoa. Siihen sisältyy henkilötietoja lähinnä yksityisten elinkeinonharjoittajien nimissä ja yhteystiedoissa. Tämän datan osalta ArtCloud on itsenäinen rekisterinpitäjä; käsittely on kuvattu palvelun tietosuojaselosteessa. Rekisteritiedot ovat palvelussa vain luettavina, ja korjaukset tehdään viranomaisen kautta.
• Tilaajan tiedot. Tilaajan käyttäjätilit sekä Tilaajan tai organisaatioiden edustajien itse palveluun syöttämät tiedot. Näiden osalta Tilaaja on rekisterinpitäjä ja ArtCloud käsittelijä, ja tämä liite koskee ensisijaisesti tätä käsittelyä.

Päättäjätiedot

Rekisteridataan sisältyy myös organisaatioiden päättäjätietoja sekä yhdistys- että yritystasolla. Päättäjillä tarkoitetaan henkilöitä, jotka asemansa perusteella tekevät työtehtäviinsä kuuluvia päätöksiä organisaationsa nimissä ja lukuun. Käsiteltävät tiedot rajautuvat henkilön tehtävään ja asemaan liittyviin tietoihin: nimi, rooli tai asema organisaatiossa sekä työrooliin liittyvät yhteystiedot.

Päättäjätietojen osalta ArtCloud on itsenäinen rekisterinpitäjä. Käsittelyn oikeusperusteena on rekisterinpitäjän ja sen asiakkaiden oikeutettu etu sekä tietosuojalain (1050/2018) 4 §:n 2 kohta, jonka mukaan henkilötietoja saa käsitellä, kun kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä, elinkeinoelämässä tai järjestötoiminnassa kuvaavista tiedoista ja käsittely on oikeasuhtaista yleisen edun mukaiseen tavoitteeseen nähden. Tiedot ovat lähtökohtaisesti julkisia.

Tietolähteet: viranomaisrekisterit (PRH:n kauppa- ja yhdistysrekisteri, YTJ — myös maksulliset viranomaislähteet), Tilaajan tai organisaation edustajan palveluun päivittämät tiedot sekä organisaatioiden julkiset lähteet. Rekisteröidyllä on oikeus vastustaa käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella ja pyytää tietojensa oikaisua; itse päivitetyt tiedot oikaistaan palvelussa, viranomais­lähteistä tulevat viranomaisen kautta.

Käsittely on sähköistä tallentamista, säilyttämistä, näyttämistä ja poistamista palvelun tuottamiseksi. Käsittely kestää sopimuksen voimassaolon ajan (kohta 9).

• ArtCloud käsittelee Tilaajan tietoja vain tämän liitteen ja Tilaajan dokumentoitujen ohjeiden mukaisesti, palvelun tuottamiseksi.
• Henkilötietoja käsittelevät henkilöt ovat salassapitovelvollisia.
• ArtCloud toteuttaa kohdan 6 mukaiset tekniset ja organisatoriset suojatoimet (tietosuoja-asetus 32 art.).
• ArtCloud avustaa Tilaajaa kohtuullisin keinoin rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa sekä 32–36 artiklan velvoitteissa.
• ArtCloud asettaa Tilaajan saataville tiedot, jotka ovat tarpeen tämän liitteen noudattamisen osoittamiseksi, ja sallii Tilaajan tai tämän valtuuttaman tarkastajan tekemät auditoinnit kohtuullisella ennakko­ilmoituksella, normaalina työaikana ja liikesalaisuudet suojaten.

Tilaaja antaa yleisen ennakkoluvan seuraavien alikäsittelijöiden käytölle. Muutoksista ilmoitetaan Tilaajalle etukäteen, ja Tilaajalla on oikeus vastustaa muutosta perustellusta syystä.

¹ Lisäpalveluissa käsitellään organisaatioiden julkisia tietoja; henkilötietojen siirto EU:n ulkopuolelle rajautuu vähäiseksi. Siirtoperusteena EU:n hyväksymät siirtomekanismit (mm. EU–US Data Privacy Framework / vakiosopimuslausekkeet).

Tietoja säilytetään EU/ETA-alueella (Suomi). Suomi.fi-palveluväylä ja viranomaislähteet ovat tiedon lähteitä, eivät alikäsittelijöitä.

• Tietoliikenne on salattu (TLS).
• Pääsy tietoihin on roolipohjainen: ylläpitäjä, tilin pääkäyttäjä, käyttäjä, katselija ja organisaation edustaja näkevät kukin vain heille kuuluvan osan, ja rajaus valvotaan palvelinpäässä.
• Salasanat tallennetaan yksisuuntaisesti tiivistettyinä; salasanan asettaminen tapahtuu kertakäyttöisellä palautuslinkillä.
• Muutokset kirjataan muutoslokiin (kuka, mitä, milloin).
• Tietokannoista otetaan säännölliset varmuuskopiot EU-alueelle.
• Ympäristöjen pääsynhallintaa ja ohjelmistopäivityksiä ylläpidetään jatkuvasti; tuotanto- ja kehitysympäristöt on eriytetty.

ArtCloud ilmoittaa Tilaajalle tämän tietoja koskevasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä siitä tiedon saatuaan ja toimittaa Tilaajalle 33 artiklan mukaisen ilmoituksen tekemiseen tarvittavat tiedot sitä mukaa kuin niitä on saatavilla.

Jos rekisteröity osoittaa Tilaajan tietoja koskevan pyynnön (tarkastus, oikaisu, poisto) suoraan ArtCloudille, ArtCloud ohjaa pyynnön Tilaajalle ilman aiheetonta viivytystä ja avustaa sen toteuttamisessa. Rekisteridataa koskevat pyynnöt ArtCloud käsittelee itsenäisenä rekisterinpitäjänä tietosuojaselosteensa mukaisesti.

Käsittely jatkuu palvelusopimuksen voimassaolon ajan. Sopimuksen päättyessä ArtCloud poistaa tai palauttaa Tilaajan valinnan mukaan käyttäjätilit ja Tilaajan syöttämät tiedot 30 päivän kuluessa, ellei lainsäädäntö edellytä säilyttämistä. Varmuuskopiot poistuvat varmuuskopiokierron mukaisesti.

Tietosuojaa koskevat yhteydenotot: asiakaspalvelu@artcloud.fi.