1Määritelmät
Tässä DPA:ssa:
”Sovellettava Tietosuojalainsäädäntö” tarkoittaa yksityisyyden suojaa ja tietosuojaa koskevia lakeja, joita sovelletaan Henkilötietojen käsittelyyn Sopimuksen nojalla.
”Rekisterinpitäjä” tarkoittaa henkilöä tai organisaatiota, joka määrittää Henkilötietojen käsittelyn tarkoitukset ja keinot, tai sovellettavan lain mukaista vastaavaa käsitettä.
”Käsittelijä” tarkoittaa henkilöä tai organisaatiota, joka käsittelee Henkilötietoja Rekisterinpitäjän puolesta, tai sovellettavan lain mukaista vastaavaa käsitettä.
”Yrityksellä” (Business) ja ”Palveluntarjoajalla” (Service Provider) on soveltuvin osin niille Yhdysvaltain osavaltioiden yksityisyydensuojalaeissa annettu merkitys.
”Asiakastiedot” tarkoittaa tietoja, jotka toimitetaan Palveluihin, tallennetaan niihin, välitetään niiden kautta tai joita Palvelut muutoin käsittelevät Asiakkaan puolesta.
”Henkilötiedot” tarkoittaa tunnistettuun tai tunnistettavissa olevaan henkilöön liittyviä tietoja tai muita tietoja, jotka Sovellettavassa Tietosuojalainsäädännössä määritellään henkilötiedoiksi, henkilökohtaisiksi tiedoiksi tai vastaavalla käsitteellä.
”Käsittely” tarkoittaa mitä tahansa Henkilötiedoille suoritettavaa toimintoa, mukaan lukien Henkilötietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, niihin pääsy, niiden muuttaminen, hakeminen, käyttäminen, välittäminen, luovuttaminen, rajoittaminen, poistaminen tai hävittäminen.
”Rekisteröity” tarkoittaa henkilöä, jota Henkilötiedot koskevat.
”Alikäsittelijä” tarkoittaa kolmatta osapuolta, jonka 255 on ottanut käsittelemään Henkilötietoja Asiakkaan puolesta Palvelujen yhteydessä.
”Henkilötietojen tietoturvaloukkaus” tarkoittaa tietoturvaloukkausta, joka johtaa tämän DPA:n nojalla käsiteltyjen Henkilötietojen vahingossa tapahtuvaan tai lainvastaiseen tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai luvattomaan pääsyyn niihin, sellaisena kuin se määritellään Sovellettavassa Tietosuojalainsäädännössä.
2Osapuolten roolit
Asiakas ja 255 hyväksyvät, että niiden tietosuojaroolit riippuvat siitä, missä yhteydessä Henkilötietoja käsitellään.
Henkilötietojen osalta, jotka Asiakas toimittaa Palveluihin tai käsittelee niiden kautta omia liiketoimintatarkoituksiaan varten:
- Asiakas toimii yleensä Rekisterinpitäjänä tai Yrityksenä.
- 255 toimii yleensä Käsittelijänä tai Palveluntarjoajana Asiakkaan puolesta.
Asiakas määrittää tarkoitukset, joita varten Asiakkaan Henkilötietoja käsitellään, ja vastaa siitä, että sen ohjeet ovat Sovellettavan Tietosuojalainsäädännön mukaisia.
255 käsittelee tällaisia Henkilötietoja Asiakkaan dokumentoitujen ohjeiden mukaisesti, myös siltä osin kuin se on tarpeen Palvelujen tarjoamiseksi Sopimuksen ja tämän DPA:n mukaisesti.
255 voi erikseen toimia itsenäisenä Rekisterinpitäjänä tiettyjen tietojen osalta, joita se käsittelee omiin oikeutettuihin liiketoimintatarkoituksiinsa, kuten tilien hallinnointiin, suoriin asiakassuhteisiin, tietoturvaan, laskutukseen, petosten estämiseen ja lakisääteisten velvoitteiden noudattamiseen. Tällaiseen käsittelyyn sovelletaan 255:n tietosuojakäytäntöä ja sovellettavaa lakia.
3Asiakkaan ohjeet
Asiakas ohjeistaa 255:tä käsittelemään Henkilötietoja siltä osin kuin se on kohtuudella tarpeen seuraaviin tarkoituksiin:
- Palvelujen tarjoaminen
- 255 Business Platformin ylläpitäminen
- Asiakkaan tilien ylläpitäminen
- Asiakastietojen ylläpito ja tallentaminen
- CRM-toimintojen tarjoaminen
- asiakasviestinnän mahdollistaminen
- ajanvaraus- ja tapaamistoimintojen tarjoaminen
- määritettyjen automaatioiden suorittaminen
- Asiakkaan pyytämien integraatioiden tarjoaminen
- teknisen tuen ja asiakastuen tarjoaminen
- tietoturvan ylläpitäminen
- petosten ja väärinkäytösten estäminen
- teknisten ongelmien selvittäminen
- Sopimuksen mukaisten velvoitteiden täyttäminen
- sovellettavien lakisääteisten velvoitteiden noudattaminen
Asiakas ja 255 voivat sopia muista dokumentoiduista ohjeista.
Jos 255:llä on perusteltu syy uskoa, että Asiakkaan ohje rikkoo Sovellettavaa Tietosuojalainsäädäntöä, 255 voi ilmoittaa asiasta Asiakkaalle ja, kun se on oikeudellisesti asianmukaista, keskeyttää asianomaisen käsittelyn, kunnes asia on ratkaistu.
4Asiakkaan vastuut
Asiakas vastaa siitä, että sen Palvelujen kautta suorittama Henkilötietojen kerääminen ja käsittely on Sovellettavan Tietosuojalainsäädännön mukaista.
Asiakas vakuuttaa ja takaa soveltuvin osin, että se:
- on asianmukaisesti valtuutettu toimittamaan Henkilötietoja 255:lle
- on antanut lain edellyttämät tietosuojaselosteet
- on hankkinut lain edellyttämän suostumuksen
- sillä on asianmukainen oikeusperuste käsittelylle
- noudattaa sovellettavia markkinointia ja viestintää koskevia lakeja
- noudattaa soveltuvia kieltäytymispyyntöjä
- säilyttää asianmukaiset tallenteet suostumuksista, kun sitä vaaditaan
- antaa lainmukaiset käsittelyohjeet
- ei ohjeista 255:tä käsittelemään Henkilötietoja lainvastaisesti
Asiakas vastaa sen arvioimisesta, soveltuvatko Palvelut Asiakkaan omiin oikeudellisiin, sääntelyyn liittyviin ja toimialakohtaisiin vaatimuksiin.
5Käsittelyn tiedot
Käsittelyn luonne ja laajuus riippuvat Asiakkaan valitsemista ja määrittämistä Palveluista.
Kohde
Henkilötietojen käsittely, joka on tarpeen Asiakkaan pyytämien Palvelujen tarjoamiseksi.
Kesto
Sopimuksen voimassaolon ajan sekä mahdollisen lisäajan, jonka 255:llä on oikeus tai lakisääteinen velvollisuus säilyttää Henkilötietoja.
Käsittelyn luonne
Käsittelyyn voi sisältyä:
- kerääminen
- vastaanottaminen
- tallentaminen
- järjestäminen
- säilyttäminen
- hakeminen
- katseleminen
- käyttö
- siirtäminen
- viestintä
- synkronointi
- analysointi
- automaatio
- muuttaminen
- vienti
- rajoittaminen
- poistaminen
käytetyistä Palveluista riippuen.
6Rekisteröityjen ryhmät
Riippuen siitä, miten Asiakas käyttää Palveluja, Rekisteröityihin voi kuulua:
- Asiakkaan asiakkaat
- mahdolliset asiakkaat
- liidit
- yhteyshenkilöt
- verkkosivuston kävijät
- ajanvarausten osallistujat
- työntekijät
- alihankkijat
- valtuutetut käyttäjät
- yritysten edustajat
- viestinnän vastaanottajat
- muut henkilöt, joiden Henkilötietoja Asiakas käsittelee lainmukaisesti Palvelujen kautta
7Henkilötietoryhmät
Käytetyistä Palveluista ja Asiakkaan määrityksistä riippuen Henkilötietoihin voi kuulua:
- nimet
- sähköpostiosoitteet
- puhelinnumerot
- yritystiedot
- yhteystiedot
- CRM-tietueet
- liiditiedot
- myyntimahdollisuuksia koskevat tiedot
- ajanvaraustiedot
- viestintähistoria
- SMS- ja viestintätiedot
- sähköpostiviestintä
- lomakkeiden kautta lähetetyt tiedot
- muistiinpanot
- tunnisteet
- tehtävät
- asiakasvuorovaikutus
- tilitunnisteet
- laite- ja tekniset tiedot
- IP-osoitteisiin liittyvät tiedot
- liiketoimiin liittyvät tiedot
- markkinointiasetukset
- suostumustallenteet
- muut Asiakkaan toimittamat Henkilötiedot
255 ei edellytä Asiakkaalta sellaisten Henkilötietoryhmien toimittamista, jotka eivät ole tarpeen Palveluja varten.
8Arkaluonteiset Henkilötiedot
Asiakas ei saa toimittaa arkaluonteisia tai erityisen suojattuja Henkilötietoja, ellei:
- asianomaisia Palveluja ole suunniteltu ja valtuutettu tällaisten tietojen käsittelyyn;
- Asiakkaalla ole siihen pätevää oikeusperustetta;
- kaikki vaaditut suojatoimet, ilmoitukset, sopimukset ja suostumukset ole voimassa; ja
- tällainen käsittely ole Sopimuksen ja Sovellettavan Tietosuojalainsäädännön mukaista.
Asiakas vastaa sen arvioimisesta, sovelletaanko sen tietoihin toimialakohtaisia tai tiukempia vaatimuksia.
Palvelujen käyttö ei sellaisenaan osoita HIPAA:n, GLBA:n, FERPA:n tai minkään muun toimialakohtaisen sääntelykehyksen noudattamista.
9Luottamuksellisuus
255 varmistaa, että Asiakkaan Henkilötietoja käsittelemään valtuutettua henkilöstöä sitovat asianmukaiset salassapitovelvoitteet.
Pääsy Henkilötietoihin rajataan henkilöstöön ja palveluntarjoajiin, jotka tarvitsevat pääsyä Palvelujen tarjoamiseen, ylläpitämiseen, suojaamiseen tai tukemiseen liittyviin oikeutettuihin tarkoituksiin.
10Tietoturvatoimenpiteet
255 ylläpitää kohtuullisia ja asianmukaisia teknisiä ja organisatorisia toimenpiteitä, joiden tarkoituksena on suojata Asiakkaan Henkilötiedot luvattomalta tai lainvastaiselta pääsyltä, luovuttamiselta, muuttamiselta, tuhoamiselta tai häviämiseltä.
Palvelujen ja asianomaisten järjestelmien luonteesta riippuen suojatoimiin voi sisältyä toimenpiteitä, jotka liittyvät seuraaviin:
- käyttöoikeuksien hallinta
- todennus
- valtuutus
- tunnistetietojen hallinta
- verkon tietoturva
- sovellusten tietoturva
- salaus tarvittaessa
- lokitus ja valvonta
- infrastruktuurin tietoturva
- varmuuskopiointi ja palautus
- haavoittuvuuksien hallinta
- tietoturvapäivitykset
- poikkeamien hallinta
- työntekijöiden käyttöoikeuksien hallinta
- toimittajien hallinta
- liiketoiminnan jatkuvuus
Tietoturvatoimenpiteet voivat kehittyä ajan myötä teknologioiden, uhkien ja Palvelujen muuttuessa.
255 ei olennaisesti heikennä Palvelujen yleistä tietoturvaa asianomaisen tilauskauden aikana ilman asianmukaista perustetta.
11Pääsy Henkilötietoihin
255 rajaa pääsyn Asiakkaan Henkilötietoihin henkilöihin ja Alikäsittelijöihin, jotka kohtuudella tarvitsevat pääsyä:
- Palvelujen tarjoamiseen
- infrastruktuurin ylläpitämiseen
- tuen tarjoamiseen
- teknisten ongelmien selvittämiseen
- tietoturvan ylläpitämiseen
- väärinkäytösten estämiseen
- lakisääteisten velvoitteiden noudattamiseen
Pääsyyn sovelletaan asianmukaisia valtuutus- ja salassapitovaatimuksia.
12Alikäsittelijät
Asiakas antaa 255:lle yleisen luvan käyttää Alikäsittelijöitä siltä osin kuin se on tarpeen Palvelujen tarjoamiseksi.
Alikäsittelijät voivat tarjota esimerkiksi seuraavia palveluja:
- pilvipalvelinpalvelut
- infrastruktuuri
- tietokantapalvelut
- viestintä
- sähköpostin toimitus
- SMS-viestien toimitus
- maksujen käsittely
- analytiikka
- tietoturva
- asiakastuki
- todennus
- integraatiot
- muut tekniset palvelut
255 edellyttää, että sen puolesta Asiakkaan Henkilötietoja käsitteleviin Alikäsittelijöihin sovelletaan niiden käsittelyn luonteeseen nähden asianmukaisia tietosuojavelvoitteita.
255 vastaa edelleen tämän DPA:n mukaisista velvoitteistaan Alikäsittelijöidensä suorittaman käsittelyn osalta siinä laajuudessa kuin Sovellettava Tietosuojalainsäädäntö edellyttää.
13Alikäsittelijäluettelo
255 voi ylläpitää ajantasaista luetteloa soveltuvista Alikäsittelijöistä osoitteessa:
www.255adv.com/legal/subprocessors
Luettelossa tulee tarvittaessa yksilöidä:
- Alikäsittelijän nimi
- tarkoitus
- palvelun tyyppi
- sijainti tai käsittelyalue, jos merkityksellinen
255:n ei tule merkitä palveluntarjoajaa Alikäsittelijäksi, ellei kyseinen palveluntarjoaja tosiasiallisesti käsittele Asiakkaan Henkilötietoja 255:n puolesta.
14Alikäsittelijöiden muutokset
Kun Sovellettava Tietosuojalainsäädäntö tai sopimusperusteiset sitoumukset sitä edellyttävät, 255 ilmoittaa asianmukaisesti Alikäsittelijöitä koskevista olennaisista muutoksista.
Jos Asiakkaalla on lakiin perustuva oikeus vastustaa uutta Alikäsittelijää, Asiakas voi esittää kohtuullisen tietosuojaan perustuvan vastalauseen ottamalla yhteyttä:
support@255adv.com
Osapuolet pyrkivät vilpittömässä mielessä ratkaisemaan oikeutetut huolenaiheet.
15Asiakkaan valitsemat kolmansien osapuolten integraatiot
Palvelut voivat mahdollistaa sen, että Asiakas yhdistää niihin kolmansien osapuolten sovelluksia, alustoja tai palveluja.
Kun Asiakas päättää itsenäisesti ottaa käyttöön kolmannen osapuolen integraation, Asiakas ohjeistaa 255:tä välittämään tai saattamaan saataville asiaankuuluvat Henkilötiedot siltä osin kuin se on tarpeen kyseisen integraation tarjoamiseksi.
Itsenäiset kolmansien osapuolten palvelut voivat käsitellä tietoja omien ehtojensa ja tietosuojakäytäntöjensä mukaisesti.
Asiakas vastaa niiden kolmansien osapuolten palvelujen arvioimisesta, jotka se päättää yhdistää.
16Rekisteröityjen pyynnöt
Ottaen huomioon käsittelyn luonteen ja Palvelujen kautta käytettävissä olevat toiminnot 255 avustaa Asiakasta kohtuullisesti vastaamaan soveltuviin Rekisteröityjen pyyntöihin, kun Sovellettava Tietosuojalainsäädäntö sitä edellyttää.
Tällaiset pyynnöt voivat koskea esimerkiksi:
- pääsyä tietoihin
- oikaisemista
- poistamista
- siirrettävyyttä
- rajoittamista
- vastustamista
- oikeutta kieltäytyä
Jos Rekisteröity ottaa suoraan yhteyttä 255:een Asiakkaan puolesta käsiteltyjä Henkilötietoja koskien, 255 voi ohjata pyynnön Asiakkaalle, ellei sovellettava laki edellytä 255:n vastaavan suoraan.
Asiakas vastaa edelleen sen arvioimisesta, miten Asiakkaan hallinnoimia Henkilötietoja koskeviin pyyntöihin on asianmukaista vastata.
17Avustaminen vaatimustenmukaisuudessa
Ottaen huomioon käsittelyn luonteen ja 255:n kohtuudella saatavilla olevat tiedot 255 avustaa Asiakasta kohtuullisesti soveltuvien tietosuojavelvoitteiden täyttämisessä, kun laki sitä edellyttää.
Tähän voi sisältyä avustaminen seuraavissa asioissa:
- tietoturva
- Henkilötietojen tietoturvaloukkaukset
- Rekisteröityjen pyynnöt
- tietosuojaa koskevat vaikutustenarvioinnit
- viranomaisten kuuleminen
Palvelujen vakiotoiminnot ylittävästä avusta voidaan periä kohtuullisia maksuja, jos Sopimus ja sovellettava laki sen sallivat.
18Henkilötietojen tietoturvaloukkaus
255 ylläpitää menettelyjä, joiden tarkoituksena on tunnistaa tietoturvapoikkeamat ja reagoida niihin.
Jos 255 saa tietoonsa Asiakkaan Henkilötietoihin kohdistuvan Henkilötietojen tietoturvaloukkauksen, josta on Sovellettavan Tietosuojalainsäädännön mukaan ilmoitettava Asiakkaalle, 255 ilmoittaa siitä Asiakkaalle ilman aiheetonta viivytystä.
Siltä osin kuin tietoja on kohtuudella saatavilla, ilmoitus voi sisältää tietoja seuraavista:
- poikkeaman luonne
- asianomaisten tietojen ryhmät
- mahdolliset seuraukset
- toteutetut tai ehdotetut toimenpiteet
- asiaankuuluvat yhteystiedot
255 voi antaa tietoja vaiheittain sitä mukaa kuin lisätietoja tulee saataville.
Ilmoitus tietoturvapoikkeamasta ei merkitse virheen tai vastuun myöntämistä.
Asiakas vastaa sen arvioimisesta, onko henkilöille, valvontaviranomaisille, asiakkaille tai muille osapuolille ilmoittaminen lakisääteisesti pakollista, ellei sovellettavassa laissa toisin säädetä.
19Tietojen palauttaminen ja poistaminen
Asianomaisten Palvelujen päättyessä tai niiden voimassaolon lakatessa Asiakas voi menettää pääsyn Asiakkaan Henkilötietoihin.
Mahdollisuuksien mukaan Asiakkaan tulee viedä tiedot, jotka se haluaa säilyttää, ennen tilin päättämistä.
Päättymisen jälkeen ja sovellettavan lain asettamissa rajoissa 255 poistaa tai palauttaa Asiakkaan Henkilötiedot seuraavien mukaisesti:
- Sopimus
- Palvelun toiminnot
- sovellettavat säilytysajat
- lakisääteiset velvoitteet
- tietoturvavaatimukset
- varmuuskopiointimenettelyt
255 voi säilyttää Henkilötietoja, kun sovellettava laki sitä edellyttää tai sallii.
Varmuuskopioissa olevat tiedot voivat säilyä, kunnes ne poistetaan tai korvataan sovellettavien varmuuskopioiden säilytysprosessien mukaisesti.
20Tietojen siirrettävyys ja vienti
Jos Palvelut sitä tukevat, Asiakas voi viedä tiettyjä Asiakastietoja käytettävissä olevien toimintojen avulla.
Asiakas vastaa tarvittavien vientien suorittamisesta ennen tilinsä päättämistä.
255 ei takaa, että kaikki tietoryhmät voidaan viedä kaikissa muodoissa, ellei sovellettava laki tai sopimus sitä nimenomaisesti edellytä.
21Kansainväliset tiedonsiirrot
Asiakas hyväksyy, että 255 ja sen valtuutetut Alikäsittelijät voivat käsitellä Henkilötietoja Yhdysvalloissa ja muilla lainkäyttöalueilla.
Jos kansainvälinen siirto edellyttää lakiin perustuvaa siirtomekanismia, osapuolet käyttävät Sovellettavan Tietosuojalainsäädännön edellyttämää asianmukaista mekanismia.
22Siirrot Euroopan talousalueelta
Kun GDPR:n (yleinen tietosuoja-asetus) soveltamisalaan kuuluvia Asiakkaan Henkilötietoja siirretään Euroopan talousalueelta maahan, jota ei koske sovellettava tietosuojan riittävyyttä koskeva päätös, osapuolet käyttävät tarvittaessa asianmukaista siirtomekanismia.
Tähän voivat sisältyä Euroopan komission sovellettavat vakiosopimuslausekkeet (”SCC:t”).
Kun SCC:t ovat lakisääteisesti pakollisia, ne sisällytetään tähän DPA:han tai allekirjoitetaan erikseen soveltuvin osin.
Osapuolet tekevät kohtuullista yhteistyötä sovellettavan lain edellyttämien lisätoimenpiteiden osalta.
23Siirrot Yhdistyneestä kuningaskunnasta
Kun Yhdistyneen kuningaskunnan tietosuojalainsäädännön soveltamisalaan kuuluvia Henkilötietoja siirretään kansainvälisesti ja asianmukainen siirtomekanismi on tarpeen, osapuolet käyttävät soveltuvaa lakiin perustuvaa mekanismia.
Tähän voi sisältyä Yhdistyneen kuningaskunnan kansainvälisiä tiedonsiirtoja koskeva lisäys (UK International Data Transfer Addendum) tai muu hyväksytty siirtomekanismi soveltuvin osin.
24Yhdysvaltain osavaltioiden yksityisyydensuojalait
Kun 255 käsittelee Henkilötietoja Asiakkaan puolesta ja sovellettavassa Yhdysvaltain osavaltion yksityisyydensuojalaissa Asiakasta pidetään Yrityksenä tai Rekisterinpitäjänä ja 255:tä Palveluntarjoajana, Sopimuskumppanina (Contractor) tai Käsittelijänä, 255 käsittelee tällaisia Henkilötietoja sovellettavien sopimusvaatimusten mukaisesti.
Soveltuvin osin 255 ei:
- myy Asiakkaan Henkilötietoja rahallista vastiketta vastaan
- säilytä, käytä tai luovuta Asiakkaan Henkilötietoja muihin kuin Sopimuksen ja sovellettavan lain sallimiin tarkoituksiin
- yhdistä Asiakkaan Henkilötietoja muihin tietoihin, jos sovellettava laki sen kieltää
255 käsittelee Asiakkaan Henkilötietoja Sopimuksessa, tässä DPA:ssa ja Asiakkaan dokumentoiduissa ohjeissa kuvattuihin rajattuihin ja määriteltyihin tarkoituksiin.
25Kalifornian yksityisyydensuojavaatimukset
Kun tämän DPA:n mukaiseen käsittelyyn sovelletaan California Consumer Privacy Act -lakia, sellaisena kuin se on muutettuna California Privacy Rights Act -lailla (”CCPA/CPRA”), osapuolten tarkoituksena on, että 255 toimii Palveluntarjoajana tai Sopimuskumppanina (Contractor) soveltuvin osin Asiakkaan puolesta käsiteltyjen Asiakkaan Henkilötietojen osalta.
255 käsittelee tällaisia Henkilötietoja ainoastaan Sopimuksen, tämän DPA:n ja sovellettavan lain sallimiin rajattuihin ja määriteltyihin liiketoimintatarkoituksiin.
255 ei myy tai jaa Asiakkaan Henkilötietoja siinä merkityksessä kuin nämä käsitteet määritellään sovellettavassa Kalifornian laissa, paitsi lain ja Asiakkaan dokumentoitujen ohjeiden sallimissa rajoissa.
255 ilmoittaa Asiakkaalle, jos se toteaa, ettei se enää pysty täyttämään tämän kohdan mukaisia velvoitteitaan, kun laki sitä edellyttää.
Asiakas voi ryhtyä sovellettavan lain sallimiin kohtuullisiin ja asianmukaisiin toimiin varmistaakseen, että 255 käsittelee Asiakkaan Henkilötietoja Asiakkaan velvoitteiden mukaisesti.
26Auditoinnit ja vaatimustenmukaisuutta koskevat tiedot
Kohtuullisesta pyynnöstä ja kun Sovellettava Tietosuojalainsäädäntö sitä edellyttää, 255 asettaa saataville tiedot, jotka ovat kohtuudella tarpeen sen osoittamiseksi, että se noudattaa velvoitteitaan Käsittelijänä tai Palveluntarjoajana.
Kun laki sitä edellyttää, 255 voi sallia kohtuulliset auditoinnit edellyttäen, että noudatetaan asianmukaisia:
- luottamuksellisuuden suojatoimia
- tietoturvavaatimuksia
- laajuutta koskevia rajoituksia
- ennakkoilmoitusta
- aikataulutusta koskevia vaatimuksia
- muiden asiakkaiden suojaa
- luottamuksellisten liiketietojen suojaa
Osapuolten tulee ensisijaisesti käyttää saatavilla olevia asiakirjoja, sertifikaatteja, raportteja tai kyselylomakkeita, jos ne kohtuudella täyttävät sovellettavan vaatimuksen.
27Viranomaisten ja oikeudelliset pyynnöt
255 voi luovuttaa Henkilötietoja, kun sovellettava laki, tuomioistuimen määräys, haaste tai muu oikeudellisesti sitova viranomaisen pyyntö sitä edellyttää.
Kun se on lain sallimaa ja asianmukaista, 255 voi ilmoittaa Asiakkaalle ennen Asiakkaan Henkilötietojen luovuttamista tällaisen pyynnön perusteella.
255 voi tarvittaessa riitauttaa pyynnöt, joita se perustellusti pitää lainvastaisina tai liiallisina.
28Asiakkaan Henkilötietoja ei myydä
255 ei saa omistusoikeutta Asiakkaan Henkilötietoihin pelkästään käsittelemällä niitä Palvelujen kautta.
255 ei myy Asiakkaan Henkilötietoja rahallista vastiketta vastaan toimiessaan Asiakkaan Käsittelijänä tai Palveluntarjoajana.
255:n Rekisterinpitäjänä suorittamaan itsenäiseen käsittelyyn sovelletaan tietosuojakäytäntöämme ja Sovellettavaa Tietosuojalainsäädäntöä.
29Tietojen omistusoikeus
Asiakkaan ja 255:n välisessä suhteessa Asiakas säilyttää kaikki sille kuuluvat oikeudet Asiakastietoihin.
Tämä DPA ei siirrä Asiakastietojen omistusoikeutta 255:lle.
Asiakas myöntää 255:lle ainoastaan ne oikeudet, jotka ovat kohtuudella tarpeen Asiakastietojen käsittelemiseksi Palvelujen tarjoamista, suojaamista, ylläpitämistä ja tukemista sekä sovellettavien lakisääteisten velvoitteiden täyttämistä varten.
30Luottamukselliset liiketiedot
Asiakastiedot voivat sisältää Henkilötietojen lisäksi luottamuksellisia liiketietoja.
255 käsittelee tällaisia tietoja Sopimukseen sisältyvien soveltuvien salassapitovelvoitteiden mukaisesti.
31Vastuu
Kummankin osapuolen tästä DPA:sta johtuvaan tai siihen liittyvään vastuuseen sovelletaan Sopimukseen sisältyviä soveltuvia vastuunrajoituksia ja vastuuvapauslausekkeita, paitsi siltä osin kuin Sovellettava Tietosuojalainsäädäntö kieltää tällaiset rajoitukset.
32Voimassaolo ja päättyminen
Tämä DPA tulee voimaan, kun sitä sovelletaan Asiakkaan ja 255:n välisen Sopimuksen mukaiseen käsittelyyn.
Se on voimassa niin kauan kuin 255 käsittelee DPA:n soveltamisalaan kuuluvia Asiakkaan Henkilötietoja.
Määräykset, joiden on luonteensa vuoksi tarkoitus jäädä voimaan päättymisen jälkeen, pysyvät voimassa niin kauan kuin se on tarpeen soveltuvien lakisääteisten tai sopimusperusteisten velvoitteiden täyttämiseksi.
33Etusijajärjestys
Jos tietosuojaan liittyen on ristiriita seuraavien välillä:
- sovellettava pakottava lainsäädäntö;
- lakisääteisesti edellytetyt siirtomekanismit;
- tämä DPA; ja
- Sopimus,
korkeamman etusijan vaatimus on ensisijainen ristiriidan laajuudessa.
34Tämän DPA:n muutokset
255 voi päivittää tätä DPA:ta vastaamaan muutoksia seuraavissa:
- sovellettava laki
- viranomaisvaatimukset
- Palvelut
- tietoturvakäytännöt
- käsittelytoimet
- Alikäsittelijäjärjestelyt
Asiakkaan tietosuojaoikeuksiin vaikuttavista olennaisista muutoksista ilmoitetaan, kun sovellettava laki tai sopimusperusteiset sitoumukset sitä edellyttävät.
Viimeksi päivitetty -päivämäärä osoittaa viimeisimmän muutoksen.
35Yhteystiedot
Tätä DPA:ta, yksityisyyttä, tietoturvaa tai tietojenkäsittelyä koskevat kysymykset voi osoittaa:
255 Advertising Agency & Marketing LLC
Rekisteröity toimipaikka
400 E Royal Lane, Suite 104
Irving, TX 75039
Yhdysvallat
Tietosuoja- ja tukisähköposti
Verkkosivusto
Tukikeskus
Liite 1 — Käsittelyn tiedot
DPA:han suosittelen sisällytettäväksi virallisen liitteen loppuun:
Kohta
Tiedot
Rekisterinpitäjä / Yritys
Asianomainen 255:n Asiakas
Käsittelijä / Palveluntarjoaja
255 Advertising Agency & Marketing LLC
Kohde
Käsittely, joka on tarpeen sovittujen 255:n Palvelujen tarjoamiseksi
Kesto
Asianomaisen Sopimuksen voimassaoloaika sekä sallittu/vaadittu säilytysaika
Tarkoitus
Sovittujen Palvelujen tarjoaminen, suojaaminen, ylläpitäminen, tukeminen ja kehittäminen
Rekisteröidyt
Asiakkaat, liidit, yhteyshenkilöt, työntekijät, käyttäjät, verkkosivuston kävijät, ajanvarausten osallistujat ja muut henkilöt, joiden tietoja Asiakas toimittaa
Henkilötiedot
Yhteystiedot, CRM-tiedot, viestintä, ajanvaraukset, lomakkeet, tilitunnisteet, suostumustiedot, tekniset tiedot ja muut Asiakkaan toimittamat tiedot
Arkaluonteiset tiedot
Vain silloin, kun se on nimenomaisesti tuettua, valtuutettua ja lain sallimaa
Käsittelytoimet
Kerääminen, tallentaminen, järjestäminen, hakeminen, siirtäminen, viestintä, automaatio, muuttaminen, vienti ja poistaminen
Tiheys
Jatkuva tai Asiakkaan käynnistämä/määrittämä
Säilytys
Palvelukauden ja sovellettavan säilytysajan ajan
Liite 2 — Tekniset ja organisatoriset toimenpiteet
Emme lisää tietoturvasertifikaatteja, joita ei ole olemassa. Kirjaamme vain sen, minkä 255 pystyy tosiasiallisesti osoittamaan.
Dokumentoitavat ryhmät:
Käyttöoikeuksien hallinta
Roolipohjaiset käyttöoikeudet, tilin todennus, ylläpitäjän käyttöoikeuksien hallinta sekä käyttöoikeuksien rajaaminen toiminnallisen tarpeen perusteella, siltä osin kuin ne on toteutettu.
Tietosuoja
Siirrettävien ja tallennettujen tietojen asianmukainen suojaus käytetyn arkkitehtuurin ja palvelujen mukaisesti.
Infrastruktuurin tietoturva
255:n suoraan ja soveltuvien infrastruktuuripalvelujen tarjoajien toteuttamat palvelinympäristön, verkon, infrastruktuurin ja ympäristön tietoturvatoimenpiteet.
Sovellusten tietoturva
Turvallinen kehitys, riippuvuuksien hallinta, haavoittuvuuksien korjaaminen ja tuotantoympäristön käyttöoikeuskäytännöt, siltä osin kuin ne on toteutettu.
Lokitus ja valvonta
Asianmukainen toiminnallinen ja tietoturvaan liittyvä lokitus ja valvonta.
Varmuuskopiointi ja palautus
Palveluihin nähden asianmukaiset varmuuskopiointi- ja palautusmenettelyt.
Poikkeamiin reagointi
Prosessit soveltuvien tietoturvapoikkeamien tutkimiseksi, rajaamiseksi, korjaamiseksi ja niistä viestimiseksi.
Toimittajien hallinta
Asiakkaan Henkilötietoja käsittelevien Alikäsittelijöiden kohtuullinen arviointi ja sopimusperusteiset valvontakeinot.
Henkilöstöturvallisuus
Salassapito- ja käyttöoikeusrajoitukset henkilöstölle, jolla on pääsy Asiakkaan Henkilötietoihin.