Tietojenkäsittelysopimus

Tämä tietojenkäsittelysopimus ("DPA") on osa Käyttöehdot, jotka ovat Passport Digital Limited ("me", käsittelijä) ja asiakkaan ("sinä", rekisterinpitäjä) välillä. Sitä sovelletaan aina, kun käsittelemme henkilötietoja puolestasi tarjotessamme MyProductPassportia, ja se täyttää UK GDPR:n ja soveltuvin osin EU GDPR:n 28 artiklan. Jos kumppani hallinnoi työtilaasi ja sillä on sopimuksesi, olemme kyseisen kumppanin alihankkijakäsittelijä samoin ehdoin.

1. Käsittelyn tiedot

• Kohde ja kesto: MyProductPassportin tarjoaminen sinulle sopimuksen voimassaolon ajan ja kunnes tiedot poistetaan alla kuvatulla tavalla.
• Luonne ja tarkoitus: tuotetietojesi ja passiesi isännöinti, tallennus, julkaisu, kääntäminen ja näyttäminen; passien katselutilastojen tuottaminen; tuki; ja varmuuskopiot.
• Jos käytät niitä, myös: tietojen pyytäminen valitsemiltasi toimittajilta, allekirjoitetun historian säilyttäminen jokaisesta julkaistusta passista ja tiimisi sisäänkirjautuminen identiteetintarjoajasi kautta.
• Asianomaiset henkilöt: henkilöstösi ja tiimisi jäsenet; tuotetiedoissasi ja asiakirjoissasi mainitut henkilöt; sekä henkilöt, jotka katsovat julkaisemiasi passeja.
• Henkilötietotyypit: nimet, yrityksen yhteystiedot ja tehtävänimikkeet; kaikki henkilötiedot, jotka sisällytät tuotetietoihin tai asiakirjoihin; ja passien katselijoista maa, laitetyyppi, selain, käyttöjärjestelmä, viittaava sivu ja koodattu kävijätunniste (ei koskaan IP-osoitetta).
• Jos otat myynnin jälkeiset palvelut käyttöön: tuotteidesi omistajien rekisteröinti ja heidän takuutietojensa ylläpito, palvelupyyntöjen, vastaustesi ja asiakkaidesi kuvien välittäminen sinun ja heidän välillään, sen mahdollistaminen, että omistajat voivat luovuttaa tuotteen eteenpäin, ja tuotteen aitouden tarkistaminen.
• Asianomaiset henkilöt, jos käytät myynnin jälkeisiä palveluja: henkilöt, jotka rekisteröivät jonkin tuotteistasi, lähettävät sinulle palvelupyynnön, saavat tuotteen sen omistajalta tai tarkistavat tuotteen aitouden.
• Heitä koskevat henkilötietotyypit: nimi ja sähköpostiosoite; mitä he itse haluavat lisätä, kuten puhelinnumero, maa, ostopäivä ja ostopaikka, sarjanumero, viestit ja kuvat; ovatko he suostuneet yhteydenottoihisi, ja tarkka sanamuoto, jonka he näkivät; sekä aitouden tarkistuksissa maa ja koodattu kävijätunniste (ei koskaan IP-osoitetta).
• Kun pyydät toimittajilta tietoja: toimittajiesi yhteyshenkilöt (nimi, sähköpostiosoite ja yritys) sekä heidän lähettämänsä vastaukset ja tiedostot. Kun käytät kertakirjautumista: nimi ja sähköpostiosoite, jotka identiteetintarjoajasi lähettää kustakin henkilöstä. Passin allekirjoitettu historia säilyttää jokaisen julkaistun version sellaisenaan, mukaan lukien aiemmat kenttäarvot. Se poistetaan työtilasi mukana, ja poistamme aiemmat versiot ohjeidesi mukaisesti, jos niistä on poistettava henkilötietoja.

Palvelua ei ole suunniteltu erityisiin henkilötietoryhmiin kuuluville tiedoille (kuten terveystiedoille). Älä lataa niitä.

Sinä päätät, mitä asiakkaillesi kerrotaan. Tietosuojaselosteesi on linkitetty jokaiseen myynnin jälkeisten palvelujen lomakkeeseen ja sähköpostiin, ja nämä toiminnot ovat pois päältä, kunnes lisäät sen. Sähköpostit asiakkaillesi lähetetään sinun nimissäsi ja vastausosoitteellasi lähetyspalvelumme kautta.

2. Velvoitteemme

Sitoudumme:

• käsitellä henkilötietoja vain dokumentoitujen ohjeidesi mukaisesti, joita ovat nämä ehdot ja palvelun käyttösi, ellei laki edellytä muuta, jolloin kerromme siitä sinulle etukäteen, ellei laki sitä kiellä;
• ilmoittaa sinulle, jos katsomme ohjeen rikkovan tietosuojalainsäädäntöä;
• varmistaa, että kaikkia, joille annamme luvan käsitellä tietoja, sitoo salassapitovelvollisuus;
• soveltaa alla kuvattuja turvatoimia;
• käyttää alihankkijakäsittelijöitä vain alla kuvatulla tavalla;
• auttaa sinua vastaamaan oikeuksiaan käyttävien henkilöiden pyyntöihin;
• auttaa sinua täyttämään turvallisuuteen, tietoturvaloukkauksista ilmoittamiseen, tietosuojaa koskeviin vaikutustenarviointeihin ja ennakkokuulemiseen liittyvät velvoitteesi ottaen huomioon käytettävissämme olevat tiedot;
• poistaa tai palauttaa henkilötiedot sopimuksen päättyessä alla kuvatulla tavalla;
• asettaa saataville tiedot, joita tarvitset osoittaaksesi näiden velvoitteiden täyttyvän, ja sallia auditoinnit alla kuvatulla tavalla.

3. Alihankkijakäsittelijät

Valtuutat meidät käyttämään näitä alihankkijakäsittelijöitä:

• DigitalOcean Cloudwaysin kautta: hosting, tietokannat ja varmuuskopiot (Lontoo, Yhdistynyt kuningaskunta).
• Cloudflare: verkko, tietoturva ja sisällönjakelu (maailmanlaajuinen verkko).
• Brevo (Sendinblue SAS): palvelusähköpostien lähettäminen sinulle ja tiimillesi sekä, jos käytät myynnin jälkeisiä palveluja, asiakkaillesi (Ranska).
• OpenAI: julkaistujen passien tekstin automaattinen kääntäminen ja niiden asiakirjojen lukeminen, jotka päätät tuoda passiin (Yhdysvallat).
• Sentry (Functional Software, Inc.): virheiden valvonta (Saksa, EU:n data-alue).
• Microsoft (Microsoft 365): sähköposti tukikirjeenvaihtoa varten.

Asetamme jokaiselle alihankkijakäsittelijälle tietosuojavelvoitteet, jotka eivät ole tätä DPA:ta heikompia, ja vastaamme edelleen sinulle niiden työstä. Kerromme uudesta alihankkijakäsittelijästä sähköpostitse tai sovelluksessa vähintään 30 päivää ennen sen aloittamista. Voit vastustaa perustelluista tietosuojasyistä; jos emme pysty ratkaisemaan vastustusta, voit lopettaa asianomaisen palvelun ja palautamme päättymisen jälkeiseltä ajalta maksetut maksut.

4. Kansainväliset siirrot

Tietosi säilytetään Yhdistyneessä kuningaskunnassa, jonka Euroopan komissio on todennut tarjoavan riittävän tietosuojan tason. Jos alihankkijakäsittelijä käsittelee henkilötietoja maassa, josta ei ole tietosuojan riittävyyttä koskevaa päätöstä, nojaamme Euroopan komission vakiosopimuslausekkeisiin yhdessä UK International Data Transfer Addendumin kanssa tai alihankkijakäsittelijän sertifiointiin EU:n ja Yhdysvaltojen tietosuojakehyksen ja sen Yhdistyneen kuningaskunnan laajennuksen mukaisesti.

5. Yksityishenkilöiden pyynnöt

Palvelun avulla voit itse tarkastella, korjata, viedä ja poistaa tietoja. Jos joku ottaa meihin yhteyttä hallinnoimistasi henkilötiedoista, välitämme pyynnön sinulle ilman aiheetonta viivytystä emmekä vastaa siihen itse, ellet pyydä.

Rekisteröityjen tuotteiden omistajat voivat myös itse lopettaa markkinointisähköpostisi ja poistaa rekisteröintinsä omistajasivultaan.

6. Turvatoimet

• Salaus siirron aikana: TLS jokaisessa yhteydessä ja HTTP Strict Transport Security.
• Salaus levossa: käyttäjätileillä säilytettävät yritystunnus, ALV-numero ja puhelinnumero salataan sovelluksessa; salasanat tallennetaan vain yksisuuntaisina tiivisteinä.
• Käyttöoikeudet: roolipohjaiset käyttöoikeudet työtiloissa (omistaja, ylläpitäjä, muokkaaja, katselija), valinnainen kaksivaiheinen tunnistautuminen ja rajoitetut kirjautumisyritykset. Tuotantopalvelimille pääsevät vain nimetyt ylläpitäjät.
• Lokitus: merkittävät toimet tallennetaan käyttäjän, ajan ja IP-osoitteen kanssa ja säilytetään 90 päivää.
• Passien katsojat: IP-osoitteita ei koskaan tallenneta; vain salaisella avaimella luotu koodattu tunniste.
• Myynnin jälkeiset palvelut: tuotteiden piilokoodit, suojattujen tagien avaimet ja asiakkaillesi lähetettyjen sähköpostien yksityiset linkit salataan sovelluksessa; asiakkaiden lähettämät kuvat tallennetaan yksityisesti, ja ne näytetään vain tiimillesi ja kuvat lähettäneelle asiakkaalle.
• Häiriönsieto: päivittäiset tietokantavarmuuskopiot ja Cloudflaren suojaus palvelunestohyökkäyksiä vastaan.
• Sovellusturvallisuus: tiukka sisällön suojauskäytäntö (CSP) ja rikkomusten raportointi.

7. Henkilötietojen tietoturvaloukkaukset

Jos saamme tietää tietojasi koskevasta henkilötietojen tietoturvaloukkauksesta, me:

• ilmoittaa sinulle ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa sähköpostitse työtilasi omistajalle;
• antaa sinulle tiedot, joita tarvitset ilmoittaaksesi Information Commissioner’s Officelle tai valvontaviranomaisellesi 72 tunnin kuluessa, ja päivittää niitä, kun saamme tietää lisää;
• tehdä kanssasi yhteistyötä loukkauksen selvittämiseksi ja rajaamiseksi sekä kirjata, mitä tapahtui ja mitä teimme asialle.

Voit ilmoittaa epäillystä tietoturvaongelmasta osoitteeseen [email protected].

8. Auditoinnit

Vastaamme kohtuullisiin kirjallisiin kysymyksiin tämän DPA:n noudattamisesta. Jos se ei riitä, voit tehdä tarkastuksen omalla kustannuksellasi:

• vähintään 30 päivän kirjallisella ilmoituksella;
• tavanomaisena työaikana;
• salassapitovelvollisten tilintarkastajien toimesta;
• enintään kerran vuodessa, ellei tietoturvaloukkaus tai viranomainen edellytä muuta.

9. Tietojen palauttaminen ja poistaminen

Voit viedä tietosi milloin tahansa ja pyytää täydellistä vientiä sopimuksen päättyessä (katso "Siirtyminen toiseen palveluntarjoajaan" asiakirjasta Käyttöehdot). Kun poistat tilisi, sen henkilötiedot poistetaan heti. Jos sopimus päättyy muulla tavoin, poistamme tiedot 30 päivän kuluttua päättymisestä. Varmuuskopioissa olevat kopiot korvataan 60 päivän kuluessa sen jälkeen. Säilytämme vain sen, mitä laki vaatii, kuten laskut, ja vahvistamme poiston kirjallisesti pyydettäessä.

Akkupassit pysyvät saatavilla tilin poistamisen jälkeen 26. lokakuuta 2026 alkaen, kuten käyttöehdoissa kuvataan (asetus (EU) 2023/1542, 78 artiklan e alakohta).

Myynnin jälkeisten palvelujen tiedot: rekisteröinti, jota kukaan ei vahvista, poistetaan 30 päivän kuluttua, ja kutsutun uuden omistajan tiedot heti, kun siirto on hyväksytty, peruttu tai vanhentunut. Omistajat voivat itse poistaa rekisteröintinsä omistajasivultaan, ja sinä voit poistaa rekisteröinnin tai palvelupyynnön hallintapaneelissa. Muuten nämä tiedot poistetaan työtilasi mukana.

10. Sovellettava laki

Tähän DPA:han sovelletaan Englannin ja Walesin lakia, kuten käyttöehtoihimmekin. Jos EU GDPR edellyttää, että siihen sovelletaan EU:n jäsenvaltion lakia, sovelletaan Irlannin lakia ja toimivalta on Irlannin tuomioistuimilla. Jos tämä DPA on ristiriidassa käyttöehtojen kanssa, tämä DPA on ensisijainen henkilötietojen käsittelyn osalta.

Kysymykset tästä tietojenkäsittelysopimuksesta: [email protected].