Henkilötietojen käsittelyä koskeva liite

Tämä henkilötietojen käsittelyä koskeva liite (Liite) on osa teidän ja palveluntarjoajan laskussanne nimetty GridStudio-konsernin yhtiö (me, meitä) välisiä Käyttöehtoja. Sitä sovelletaan aina, kun käsittelemme Asiakkaan aineistoon sisältyviä henkilötietoja lukuunne. Isolla alkukirjaimella kirjoitetuilla termeillä, joita ei ole määritelty tässä, on Käyttöehdoissa annettu merkitys.

Tässä käsittelyssä te olette rekisterinpitäjä tai omien asiakkaidenne lukuun toimiva henkilötietojen käsittelijä, ja me olemme teidän henkilötietojen käsittelijänne. Kumpikin osapuoli noudattaa siihen sovellettavaa tietosuojalainsäädäntöä, mukaan lukien soveltuvin osin EU:n ja Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus, Turkin henkilötietojen suojaa koskeva laki (KVKK) ja Yhdistyneiden arabiemiirikuntien henkilötietojen suojaa koskeva laki.

Tämä Liite ei koske tietoja, joita käsittelemme rekisterinpitäjänä omia tarkoituksiamme varten, kuten tili- ja laskutustietoja. Tätä käsittelyä kuvataan Tietosuojaselosteessa.

Jos tämä Liite ja Käyttöehtojen muut osat ovat ristiriidassa henkilötietojen käsittelyn osalta, sovelletaan ensisijaisesti tätä Liitettä.

• Kohde ja tarkoitus: viestien lähettäminen ja vastaanottaminen yhdistämissänne Kanavissa, niiden tilan raportointi, webhook-tapahtumien toimittaminen teille, laskutus ja Palvelun turvallisuuden ylläpitäminen.
• Kesto: niin kauan kuin teillä on Tili ja sen jälkeen siihen asti, kun tiedot poistetaan kohdassa 10 kuvatulla tavalla.
• Käsittelyn luonne: vastaanottaminen, tallentaminen, siirtäminen Kanavan tarjoajille, lokiin kirjaaminen, näyttäminen teille ja poistaminen.
• Rekisteröidyt: henkilöt, joille lähetätte viestejä ja joilta vastaanotatte viestejä, sekä kaikki muut viesteissä mainitut henkilöt.
• Tietoryhmät: tunnisteet, kuten puhelinnumerot, keskustelutunnukset ja alustojen käyttäjätunnukset; viestien sisältö ja niissä viitatut mediatiedostot; toimitus- ja lukutilat; sekä liittämänne viitteet ja metatiedot.
• Erityiset henkilötietoryhmät: Palvelua ei ole suunniteltu erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyyn. Te päätätte, mitä viestinne sisältävät, ettekä saa lähettää tällaisia tietoja, ellei teillä ole siihen laillista perustetta ja ellei Kanavan tarjoaja salli sitä.

Käsittelemme henkilötietoja ainoastaan dokumentoitujen ohjeidenne mukaisesti. Käyttöehdot, tämä Liite sekä se, miten käytätte API:a ja konsolia, muodostavat täydelliset ohjeenne. Ilmoitamme teille, jos ohje mielestämme rikkoo tietosuojalainsäädäntöä, eikä meillä ole velvollisuutta noudattaa tällaista ohjetta.

Voimme käsitellä tietoja myös silloin, kun meihin sovellettava laki sitä edellyttää. Tällöin ilmoitamme siitä teille ensin, ellei kyseinen laki kiellä sitä.

Te vastaatte käsittelyn lainmukaisuudesta: oikeusperusteen olemassaolosta, rekisteröidyille kuuluvista suostumuksista ja ilmoituksista sekä toimittamienne tietojen oikeellisuudesta.

Varmistamme, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta ja pääsevät tietoihin vain siinä laajuudessa kuin heidän työnsä edellyttää.

Toteutamme riskiä vastaavat asianmukaiset tekniset ja organisatoriset toimenpiteet, ja voimme päivittää niitä, kunhan suojan taso ei heikkene. Tällä hetkellä niihin kuuluvat:

• siirrettävien tietojen salaus TLS:llä;
• salasanojen tallentaminen Argon2id-tiivisteinä sekä istuntotunnisteiden ja API-avainten tallentaminen vain tiivisteinä;
• webhookien allekirjoitussalaisuuksien ja Tilin toimitusalustaan liittävien avainten salaus levossa AES-256-GCM:llä;
• Kanavien tunnistetietojen, käyttöoikeustunnusten ja valtuutuskoodien välittäminen toimitusalustalle ilman, että yhdyskäytävä tallentaa tai kirjaa niitä lokiin;
• roolipohjainen pääsynhallinta Tilin jäsenille, käyttöoikeuksien ja IP-osoitteen mukaan rajatut API-avaimet, pyyntöjen rajoittaminen ja lukitus toistuvien epäonnistuneiden kirjautumisten jälkeen;
• kunkin Tilin tietojen looginen erottelu;
• valvontaloki hallinnollisista toimista, mukaan lukien jokainen kerta, jolloin henkilöstömme käyttää Tiliä tuen antamiseksi;
• allekirjoitetut webhook-toimitukset ja webhook-osoitteiden tarkistaminen yksityisten verkkojen osoitealueita vasten.

Annatte meille yleisen valtuutuksen käyttää alikäsittelijöitä. Käytämme niitä kirjallisen sopimuksen nojalla, jossa asetetaan tämän Liitteen velvoitteita vastaavat tietosuojavelvoitteet, ja vastaamme teille edelleen niiden työstä.

Asiakkaan aineiston käsittelyssä käyttämämme alikäsittelijäryhmät ovat:

• Palvelinympäristö ja infrastruktuuri: palveluntarjoajat, jotka ylläpitävät palvelimiamme, tietokantojamme ja varmuuskopioitamme;
• GridStudio-konsernin yhtiöt: jotka ylläpitävät Kanavan tarjoajiin yhdistyvää toimitusalustaa ja tukevat Palvelua.

Ilmoitamme Tilinne omistajille ennen kuin lisäämme tai vaihdamme alikäsittelijän. Voitte vastustaa muutosta perustelluista tietosuojasyistä neljäntoista päivän kuluessa. Jos emme pysty ratkaisemaan vastustuksen aihetta, voitte päättää sopimuksen, jolloin palautamme maksamanne käyttämättömän Lompakon saldon sekä ostamienne vanhentumattomien Pakettien käyttämättömän osan suhteellisesti laskettuna.

Kanavan tarjoajat, kuten Meta, Telegram, TikTok, Twilio sekä muut SMS-palveluntarjoajat ja operaattorit, eivät ole alikäsittelijöitämme. Te valitsette ne, teillä on oma sopimus kunkin kanssa, ja me siirrämme niille tietoja ohjeidenne mukaisesti. Maksunvälittäjämme ja sähköpostin toimituspalvelumme käsittelevät tili- ja laskutustietoja meidän lukuumme, kun toimimme rekisterinpitäjänä, eivätkä ne vastaanota Asiakkaan aineistoa.

Ottaen huomioon käsittelyn luonteen autamme teitä asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä vastaamaan oikeuksiaan käyttävien rekisteröityjen pyyntöihin. Konsolin ja API:n avulla voitte hakea ja noutaa vastaanottajan viestit. Jos rekisteröity ottaa yhteyttä suoraan meihin, ohjaamme hänet teidän puoleenne emmekä vastaa pyyntöön itse, ellette pyydä sitä tai ellei laki sitä edellytä.

Annamme teille myös kohtuullista apua tietosuojaa koskevissa vaikutustenarvioinneissa, valvontaviranomaisten kuulemisissa ja käsittelyn turvallisuudessa siltä osin kuin ne liittyvät Palveluun ettekä voi saada tietoja itse.

Ilmoitamme Tilinne omistajille ilman aiheetonta viivytystä saatuamme tiedon Asiakkaan aineistoa koskevasta henkilötietojen tietoturvaloukkauksesta. Ilmoituksessa kuvataan, mitä tiedämme loukkauksen luonteesta, asianomaisista tiedoista, loukkauksen todennäköisistä seurauksista sekä toteutetuista tai ehdotetuista toimenpiteistä, ja täydennämme tietoja sitä mukaa kuin niitä saadaan. Ilmoitus ei ole virheen tai vastuun myöntäminen.

Ohjeistatte meidät siirtämään Asiakkaan aineistoa Kanavan tarjoajille ja osoittamillenne vastaanottajille riippumatta siitä, missä ne sijaitsevat. Me ja alikäsittelijämme voimme käsitellä Asiakkaan aineistoa muissa maissa kuin siinä, johon olette sijoittautuneet.

Jos tietosuojalainsäädäntö rajoittaa siirtoa, osapuolet tukeutuvat sen tunnustamaan siirtomekanismiin. Jos siirto teiltä meille edellyttää Euroopan komission hyväksymiä vakiosopimuslausekkeita, soveltuvin osin Yhdistyneen kuningaskunnan lisäyksellä täydennettyinä, ne sisällytetään tähän Liitteeseen viittauksella siten, että te olette tietojen viejä ja me tietojen tuoja ja että käsittelyn tiedot ovat kohdissa 2 ja 5 esitetyt.

Sopimuksen voimassaoloaikana voitte noutaa Asiakkaan aineiston konsolin ja API:n kautta. Kun sopimus päättyy, poistamme Asiakkaan aineiston kohtuullisessa ajassa, ellei meihin sovellettava laki edellytä sen säilyttämistä; siinä tapauksessa pidämme sen luottamuksellisena emmekä käytä sitä mihinkään muuhun tarkoitukseen. Ennen Tilin sulkemista esitetystä pyynnöstä annamme teille kohtuullista apua tietojen viennissä.

Varmuuskopiot korvataan uusilla varmuuskopiointisyklimme mukaisesti. Tietoja, joita tarvitsemme rekisterinpitäjänä, kuten laskutuksen käyttömääriä, säilytetään Tietosuojaselosteen mukaisesti.

Saatamme saatavillenne tiedot, jotka ovat kohtuudella tarpeen sen osoittamiseksi, että noudatamme tätä Liitettä, ja vastaamme turvatoimiamme koskeviin kirjallisiin kysymyksiin.

Jos nämä tiedot eivät riitä lakisääteisen vaatimuksen täyttämiseen, voitte enintään kerran kahdentoista kuukauden jaksossa ja ilmoitettuanne siitä kirjallisesti kolmekymmentä päivää etukäteen tehdä auditoinnin itse tai salassapitovelvollisuuteen sitoutuneen riippumattoman auditoijan välityksellä. Auditointi tehdään tavanomaisena työaikana, se ei saa häiritä Palvelua eikä paljastaa muiden asiakkaiden tietoja, ja se tehdään teidän kustannuksellanne. Auditointeja voidaan tehdä useammin, jos valvontaviranomainen sitä edellyttää tai jos on tapahtunut henkilötietojen tietoturvaloukkaus.

Käyttöehtojen vastuunrajoituksia ja vastuun poissulkemisia sovelletaan tähän Liitteeseen, paitsi siltä osin kuin tietosuojalainsäädäntö ei salli niiden soveltamista rekisteröityjen oikeuksiin.

Tätä Liitettä sovelletaan niin kauan kuin käsittelemme henkilötietoja lukuunne. Jos tarvitsette allekirjoitetun kappaleen, kirjoittakaa osoitteeseen support@omnimessage.co.