Tietojenkäsittelysopimus
Tämä tietojenkäsittelysopimus (DPA) täydentää Nexionin ja asiakkaan palvelusopimusta ja täyttää GDPR artiklan 28 vaatimukset. Asiakas on rekisterinpitäjä ja Nexion on käsittelijä. Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoituja, kirjallisia ohjeita noudattamalla.
Käsittelyn kohde on asiakkaan IT-ympäristön hallinta, tuki, valvonta, varmuuskopiointi, tietoturva ja sopimuksen mukaiset projektit. Käsiteltyjä tietoja voivat olla esimerkiksi käyttäjänimi, sähköposti, työnantaja, laitetiedot, lokitiedot ja tekniset tunnisteet.
Käsittely alkaa palvelun käyttöönotosta ja päättyy, kun palvelu on päättynyt ja tietojen palautus tai poisto on toteutettu (ks. kohta 8).
Nexion varmistaa, että käsittelijän henkilöt käsittelevät tietoja vain ohjeiden mukaisesti ja on velvoitettu tai sitoutunut noudattamaan asianmukaista salassapitovelvollisuutta.
Nexion toteuttaa tekniset ja organisatoriset toimenpiteet riskin mukaisesti (GDPR art. 32), kuten käyttöoikeushallinta, MFA hallintokanavissa, päivitykset, varmuuskopiot ja lokitus.
Nexion avustaa rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa ja GDPR art. 32–36 velvoitteissa kohtuullisessa määrin.
Nexion käyttää alikäsittelijöitä palvelun toteuttamiseen. Ajantasainen lista on julkaistu sivustolla alikäsittelijäluettelossa.
Rekisterinpitäjällä on 30 kalenteripäivän vastustusoikeus uuden alikäsittelijän käyttöönottoon ilmoituksen vastaanottamisesta. Vastustuksen perusteella osapuolet neuvottelevat; jos ratkaisua ei synny, rekisterinpitäjä voivat irtisanoa palvelun kyseisen alikäsittelijän käyttöön liittyvän osan.
Hallinnoitujen henkilötietojen käsittely tapahtuu ensisijaisesti EU/ETA-alueella tai palveluntarjoajan EU-datacenterissa, kun se on teknisesti mahdollista.
Jos alikäsittelijä käsittelee hallinnoitua henkilötietoa EU/ETA-alueen ulkopuolella (esimerkiksi tietoturva- tai RMM-telemetria), käsittely tapahtuu GDPR art. 46 mukaisilla siirtomechanismeilla (esim. SCC) tai muulla laillisella perusteella. Käsittelijä ilmoittaa rekisterinpitäjälle merkittävistä muutoksista siirtoperusteissa.
Käsittelijä ilmoittaa rekisterinpitäjälle tietoturvaloukkauksesta kirjallisesti 72 tunnin kuluessa havaitsemisesta, kun ilmoitus on kohtuullisesti mahdollista. Ilmoitus sisältää loukkauksen kuvaus, arvio vaikutuksista ja suositeltavat toimenpiteet.
Käsittelijä dokumentoi loukkaukset ja avustaa rekisterinpitäjää viranomais- ja rekisteröityjen ilmoitusvelvoitteissa.
Rekisterinpitäjällä on oikeus auditoida käsittelijän toimintaa kerran kalenterivuodessa tai pyytää riippumattoman auditoijan raportti (esim. sertifiointi tai SOC-raportti), kun se on kohtuullisesti saatavilla.
Auditointi ilmoitetaan etukäteen, ei häiritsee palvelua ja salassapito säilyy. Käsittelijä voivat laskuttaa kohtuulliset auditointikustannukset, jos auditointi ylittää normaalin palvelun dokumentaation.
Sopimuksen päättyessä käsittelijä palauttaa rekisterinpitäjän pyynnöstä kaikki hallinnoitujen henkilötietojen kopiot strukturoitussa, yleisesti käytetyssä muodossa tai poistaa tiedot turvallisesti 30 kalenteripäivän kuluessa palvelun päättymisestä.
Lakisääteiset säilytysvelvoitteet (esim. kirjanpito) sallivat tarpeellisen säilytyksen erillisessä, rajatussa arkistossa.
Rekisterinpitäjä vastaa käsittelyn laillisuudesta, laillisuusperusteista, rekisteröityjen tiedottamisesta ja ohjeiden antamisesta käsittelijälle.
Rekisterinpitäjä ylläpitää tarvittaessa omaa käsittelyrekisteriä (GDPR art. 30) ja antaa käsittelijälle tarvittavat käyttöoikeudet ja tiedot palvelun toteuttamiseen.
DPA on voimassa palvelusopimuksen voimassaoloajan. DPA:n muutokset noudattavat palvelusopimuksen muutos- ja irtisanomislogiikkaa. Sovellettava laki ja riidanratkaisu vastaavat toimitusehtoja (Länsi-Uudenmaan käräjäoikeus, Suomen laki).