Henkilötietojen käsittelysopimus

1. Kohde, luonne ja tarkoitus

Käsittelemme henkilötietoja vain tarjotaksemme Palvelun Asiakkaalle: tilien ja paikkojen hallinta, tekoälylukutaidon koulutuksen toteuttaminen, testien ja kartoitusten arviointi, todistusten myöntäminen ja tarkistaminen, sähköpostien lähettäminen, koulutuksen todisteiden ja audit-jäljen ylläpito sekä raporttien ja vientien tarjoaminen. Käsittely käsittää keräämisen, tallentamisen, järjestämisen, käytön, siirron jäljempänä lueteltuille alikäsittelijöille, poistamisen ja muut näiden tarkoitusten edellyttämät toimet.

2. Kesto

Tätä DPA:ta sovelletaan niin kauan kuin käsittelemme henkilötietoja Asiakkaan lukuun: tilauksen voimassaoloajan ja sitä seuraavan, kohdassa 11 kuvatun ajan tietojen poistamiseen asti.

3. Rekisteröidyt ja tietoryhmät

• Rekisteröidyt: Asiakkaan työntekijät, joille on määritetty paikka, sekä Asiakkaan ylläpitäjät.
• Tunniste- ja yhteystiedot: nimi, sähköposti, osasto, työrooli ja ensisijainen kieli.
• Tilitiedot: salasanan tiiviste (Argon2id), kaksivaiheisen tunnistautumisen tiedot, jos sitä käytetään, kirjautumisajat ja IP-osoitteet.
• Koulutustiedot: määritetyt kurssit, edistyminen ja oppitunteihin käytetty aika, vastaukset testeihin ja kartoituksiin, tulokset ja yritykset, todistukset, Asiakkaan tekoälyohjeistuksen vahvistukset.
• Asiakkaan syöttämät tiedot: tekoälytyökalujen luettelo ja muut ylläpitäjien syöttämät tiedot.
• Audit-loki tärkeistä toimista ajankohtineen ja tekijöineen.

Palvelua ei ole suunniteltu erityisiin henkilötietoryhmiin (GDPR 9 artikla), eikä Asiakas syötä niitä.

4. Asiakkaan ohjeet

Käsittelemme tietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti. Tämä DPA, käyttöehdot sekä Asiakkaan ylläpitäjien asetukset ja toimet Palvelussa muodostavat Asiakkaan täydelliset ohjeet. Ilmoitamme Asiakkaalle, jos katsomme ohjeen rikkovan tietosuojalainsäädäntöä, ja voimme käsitellä tietoja muulla tavoin vain, jos unionin tai jäsenvaltion oikeus sitä edellyttää; tällöin ilmoitamme siitä Asiakkaalle etukäteen, ellei laki sitä kiellä.

5. Luottamuksellisuus

Tietoihin on pääsy vain henkilöillä, jotka tarvitsevat sitä Palvelun ylläpitoon tai tukeen, ja heitä sitoo salassapitovelvollisuus.

6. Tietoturvatoimenpiteet

• Palvelu ja kaikki tiedot toimivat palvelimella datakeskuksessa Saksassa (EU).
• Salatut yhteydet (HTTPS); salasanat tallennetaan vain Argon2id-tiivisteinä; allekirjoitetut, vain HTTP:n kautta käytettävät istuntoevästeet.
• Asiakkaiden tiukka erottelu: jokainen pyyntö tarkistetaan kirjautunutta käyttäjää ja hänen yritystään vasten.
• Kaksivaiheinen tunnistautuminen ylläpitäjille, pakollinen omille tukitileillemme ja kaikkien Asiakkaan ylläpitäjien käytettävissä.
• Kirjautumis-, salasanan nollaus- ja todistusten tarkistusyritysten määrän rajoittaminen.
• Tallennetut salaisuudet, kuten sähköpostin lähettäjän tunnistetiedot ja kaksivaiheisen tunnistautumisen avaimet, on salattu (AES-256-GCM).
• Testivastaukset arvioidaan palvelimella; oikeat vastaukset eivät koskaan päädy selaimeen.
• Audit-loki tärkeistä toimista ja tietoturvatapahtumien loki, jota säilytetään 30 päivää.
• Varmuuskopiot, joita säilytetään enintään 30 päivää, ja dokumentoitu menettely tietoturvapoikkeamia varten.

7. Tuen pääsy

MadHoneyn valtuutettu tukihenkilöstö voi kirjautua Asiakkaan ylläpitäjätilille määrittääkseen tilin tai ratkaistakseen ongelman Asiakkaan pyynnöstä tai silloin, kun se on tarpeen Palvelun suojaamiseksi. Tällainen pääsy rajoittuu hallintapaneeliin (ei koskaan oppitunteihin, testeihin tai todistuksiin työntekijöiden puolesta), on ajallisesti rajattu ja kirjataan Asiakkaan audit-lokiin.

8. Alikäsittelijät

• Hostinger International Ltd. (Kypros) - Palvelun suorittavan virtuaalisen yksityispalvelimen vuokraus; datakeskus Saksassa (EU).
• ZONER a.s. (Tšekki) - SMTP-palvelin sähköpostien (kutsut, muistutukset, ilmoitukset) toimittamiseen; datakeskukset Brnossa.

Asiakas antaa yleisen ennakkohyväksynnän alikäsittelijöiden käyttämiselle. Asetamme kullekin niistä tätä DPA:ta vastaavat tietosuojavelvoitteet. Ilmoitamme Asiakkaan ylläpitäjille sähköpostitse vähintään 30 päivää ennen alikäsittelijän lisäämistä tai vaihtamista; Asiakas voi vastustaa perustellusta syystä ja, jos emme pysty ratkaisemaan vastustusta, perua tilauksen ennen muutoksen voimaantuloa.

Paddle.com Market Ltd käsittelee maksu- ja laskutustietoja itsenäisenä rekisterinpitäjänä (Merchant of Record) eikä saa mitään tietoja Asiakkaan työntekijöistä.

9. Asiakkaan avustaminen

Ylläpitäjät voivat tarkastella, oikaista, viedä ja poistaa työntekijöidensä tietoja suoraan Palvelussa. Käsittelyn luonne huomioon ottaen autamme Asiakasta myös vastaamaan rekisteröityjen pyyntöihin ja täyttämään GDPR:n 32-36 artiklan mukaiset velvoitteensa (tietoturva, tietoturvaloukkauksista ilmoittaminen, tietosuojaa koskeva vaikutustenarviointi ja ennakkokuuleminen). Meille tulevat työntekijöiden pyynnöt välitetään Asiakkaalle.

10. Henkilötietojen tietoturvaloukkaukset

Ilmoitamme Asiakkaan ylläpitäjille henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun olemme saaneet sen tietoomme, GDPR:n 33 artiklan 3 kohdan mukaisilla käytettävissä olevilla tiedoilla, ja täydennämme ilmoitusta lisätietojen selvitessä. Toteutamme toimenpiteet loukkauksen rajoittamiseksi ja sen seurausten lieventämiseksi.

11. Tietojen poistaminen ja palauttaminen

Tilauksen aikana Asiakas voi milloin tahansa viedä raporttinsa, koulutuksen todisteet ja audit-jäljen. Tilauksen päätyttyä ylläpitäjät voivat kirjautua vielä 90 päivän ajan, vain tietojen viemiseksi; sen jälkeen yritys ja kaikki sen tiedot poistetaan automaattisesti, ellei Asiakas pyydä aiempaa poistamista. Varmuuskopioissa olevat kopiot korvataan 30 päivän kuluessa. Tämä kohta ei koske tietoja, jotka meidän on säilytettävä lain nojalla (esim. laskut).

12. Auditoinnit

Annamme Asiakkaan saataville tiedot, joita tarvitaan tämän DPA:n noudattamisen osoittamiseen, ja mahdollistamme Asiakkaan tai salassapitovelvollisen auditoijan suorittamat auditoinnit, myös tarkastukset. Auditoinnit tehdään kohtuullisen kirjallisen ennakkoilmoituksen jälkeen, työaikana, enintään kerran vuodessa (paitsi henkilötietojen tietoturvaloukkauksen jälkeen) ja Asiakkaan kustannuksella häiritsemättä Palvelua tai antamatta pääsyä muiden asiakkaiden tietoihin.

13. Asiakkaan velvollisuudet

Asiakas vastaa siitä, että sillä on oikeusperuste käsittelylle, työntekijöidensä informoinnista sekä meille antamiensa tietojen ja ohjeiden lainmukaisuudesta.

14. Vastuu ja sovellettava laki

Tämän DPA:n mukainen vastuu määräytyy käyttöehtojen mukaan, ellei GDPR:ssä toisin säädetä. Tähän DPA:han sovelletaan Tšekin lakia; siitä johtuvat riidat ratkaistaan Tšekin toimivaltaisissa tuomioistuimissa kotipaikkamme mukaan määräytyvässä paikallisessa toimivallassa. Yhteystiedot tietosuoja-asioissa: sales@guard-ai.eu.