Tiedoksi annettu käännös. Jos käännös ja alkuperäinen englanninkielinen versio poikkeavat toisistaan, englanninkielinen alkuperäisversio on ensisijainen, Irlannin lainkäyttövallan alaisena (Cuandeoro Limited, CRO 813028).
Veripassin tietojenkäsittelysopimus
Osa palveluehtoja.
1. Osapuolet ja roolit. Asiakas on rekisterinpitäjä. Cuandeoro Limited t/a Veripass on Asiakkaan asiakirjoissa ja tilin sisällössä olevien henkilötietojen käsittelijä (”Asiakkaan henkilötiedot”).
2. Käsittelyn kohde, luonne ja tarkoitus. Tuote- ja akkupassien tietojen tallennus, poiminta, analysointi ja julkaisu yksinomaan Palvelun tuottamiseksi.
3. Kesto. Tilauksen voimassaoloaika sekä kohdassa 11 tarkoitettu poistoaika.
4. Rekisteröityjen ryhmät. Asiakkaan henkilöstö ja käyttäjät; ladatuissa asiakirjoissa mainittujen Asiakkaan toimittajien, asiakkaiden ja laboratorioiden yhteyshenkilöt.
5. Tietoryhmät. Asiakirjoissa esiintyvät nimet, työyhteystiedot, tehtävänimikkeet, allekirjoitukset ja tunnisteet; käyttäjätilitiedot. Erityisiä henkilötietoryhmiä ei odoteta käsiteltävän. Asiakas ei lataa niitä.
5A. Asiakkaan velvoitteet. Asiakas varmistaa, että sillä on käsittelylle laillinen peruste, antaa lailliset ohjeet, tiedottaa rekisteröityjä vaadittavalla tavalla eikä lataa erityisiä henkilötietoryhmiä.
6. Käsittelijän velvoitteet. Veripass:
- (a) käsittelee tietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, myös siirrettäessä tietoja kolmanteen maahan, paitsi jos EU:n tai jäsenvaltion laki sitä edellyttää, jolloin Veripass ilmoittaa Asiakkaalle tästä oikeudellisesta vaatimuksesta ennen käsittelyä, ellei kyseinen laki kiellä ilmoitusta tärkeää yleistä etua koskevista syistä;
- (b) varmistaa, että käsittelyyn valtuutetut henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta;
- (c) toteuttaa liitteessä 2 kuvatut tekniset ja organisatoriset toimenpiteet;
- (d) avustaa Asiakasta rekisteröityjen pyyntöjen käsittelyssä ja GDPR:n artikloissa 32–36 säädettyjen velvoitteiden täyttämisessä käsittelyn luonne huomioon ottaen;
- (e) antaa saataville tarvittavat tiedot vaatimustenmukaisuuden osoittamiseksi;
- (f) ilmoittaa Asiakkaalle välittömästi, jos ohje rikkoo tietosuojalainsäädäntöä.
7. Alikäsittelijät.
- Asiakas antaa yleisen valtuutuksen liitteessä 3 lueteltujen alikäsittelijöiden käyttöön.
- Veripass ilmoittaa uusista alikäsittelijöistä sähköpostitse 30 päivää etukäteen. Asiakas voi vastustaa perustellusta syystä ja, jos ratkaisusta ei sovita, irtisanoa sopimuksen ilman seuraamuksia.
- Veripass asettaa jokaiselle alikäsittelijälle vastaavat tietosuojavelvoitteet ja vastaa niistä.
8. Kansainväliset siirrot. Asiakkaan henkilötietoja voidaan käsitellä Yhdysvalloissa Veripassin hosting-palveluntarjoajan (Cloud Clusters, Inc.) ja Googlen (Gemini API, maksullinen taso) toimesta vakiosopimuslausekkeiden (komission päätös (EU) 2021/914) ja soveltuvin osin EU–Yhdysvallat-tietosuojakehyksen nojalla, täydentävin toimenpitein (salaus siirron aikana ja levossa). Demotiedostot poistetaan 24 tunnin kuluttua.
9. Tekoälykäsittely. Asiakirjoja käsittelevät liitteessä 3 mainitut tekoälypalveluntarjoajat ehdoilla, jotka eivät salli niiden käyttää Asiakkaan tietoja malliensa kouluttamiseen. Emme käytä asiakirjojanne tai tietojanne minkään tekoälymallin kouluttamiseen.
10. Henkilötietojen tietoturvaloukkaukset. Veripass ilmoittaa Asiakkaalle ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa siitä, kun se on saanut tietää Asiakkaan henkilötietoja koskevasta loukkauksesta, sisältäen GDPR:n art. 33(3) edellyttämät tiedot sitä mukaa kuin ne ovat saatavilla.
11. Palauttaminen ja poistaminen. Asiakkaan valinnan mukaan Veripass palauttaa tai poistaa Asiakkaan henkilötiedot. Asiakas voi viedä tietonsa 60 päivän kuluessa sopimuksen päättymisestä. Sen jälkeen Veripass poistaa Asiakkaan henkilötiedot 30 päivän kuluessa, mukaan lukien varmuuskopiot niiden kiertojakson puitteissa (enintään 35 päivää), paitsi jos EU:n tai jäsenvaltion laki edellyttää säilyttämistä.
12. Auditoinnit. Veripass sallii Asiakkaan tai sen valtuuttaman, salassapitovelvollisuuden alaisen riippumattoman tarkastajan suorittamat auditoinnit, tarkastukset mukaan lukien, ja myötävaikuttaa niihin. Auditoinnit suoritetaan kerran 12 kuukauden aikana 30 päivän ennakkoilmoituksella (useammin tietoturvaloukkauksen jälkeen tai jos valvontaviranomainen sitä vaatii), tavanomaisina työaikoina ja Asiakkaan kustannuksella. Kirjallinen kysely tehdään ensin, jos se riittää.
13. Vastuu. Palveluehtojen rajoitusten mukaisesti, paitsi jos GDPR ei salli rajoitusta.
14. Ensisijaisuus. Ristiriitatilanteessa tämä DPA on ensisijainen palveluehtoihin nähden tietosuoja-asioissa.
Liite 1 · Käsittelyn tiedot
Kuten kohdissa 2–5.
Liite 2 · Tekniset ja organisatoriset toimenpiteet
- TLS 1.2 tai uudempi siirrossa; AES-256-salaus levossa.
- Roolipohjainen pääsynhallinta, henkilöstön MFA, vähimpien oikeuksien periaate.
- Asiakkaan tiedot erotettu loogisesti tileittäin.
- Validointien ja julkaisujen auditointiloki.
- Päivittäiset salatut varmuuskopiot, 35 päivän kierto.
- Demotiedostot poistetaan 24 h kuluttua.
- Kriittisten haavoittuvuuksien korjaus 7 päivän kuluessa.
- Näiden toimenpiteiden vuosittainen tarkastelu.
Liite 3 · Alikäsittelijät
| Alikäsittelijä | Tarkoitus | Sijainti |
|---|---|---|
| Cloud Clusters, Inc. | Sovelluksen ja passisivujen hosting | Yhdysvallat |
| Google (Gemini API, paid tier) | Asiakirjojen poiminta | Yhdysvallat |
| Cloud Clusters, Inc. (oma sähköpostipalvelin, mailcow) | Sähköposti | Yhdysvallat |
Stripe käsittelee Veripassin omia laskutustietoja; se ei käsittele Asiakkaan henkilötietoja asiakirjoista.