1. Osapuolet ja soveltamisala

Tämä tietojenkäsittelysopimus ("DPA") on tehty asiakkaan ("Rekisterinpitäjä") ja Armin Zaribaf, Libero professionista, ALV-numero IT16634531004, Viale Giacomo Aicardi 8, 00177 Roma (RM), Italia ("Käsittelijä") välillä, ja se on osa käyttöehtoja. Se säätelee Käsittelijän suorittamaa henkilötietojen käsittelyä Rekisterinpitäjän lukuun asetuksen (EU) 2016/679 ("GDPR") 28 artiklan mukaisesti. Mikäli Rekisterinpitäjän ja Käsittelijän välillä on ristiriitoja, tätä DPA-sopimusta sovelletaan henkilötietojen osalta ensisijaisesti.

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

Käsittelijä tarjoaa suostumustenhallinta-alustan: se näyttää suostumusbannerin Rekisterinpitäjän verkkosivustoilla, tallentaa Rekisterinpitäjän verkkosivuston vierailijoiden suostumuspäätökset ja asettaa nämä tiedot Rekisterinpitäjän saataville todisteeksi suostumuksesta. Käsittely kestää Rekisterinpitäjän tilauksen voimassaolon ja kohdassa 8 kuvatun säilytysajan.

3. Rekisteröityjen ryhmät ja henkilötietoryhmät

Rekisteröityjä ovat Rekisterinpitäjän verkkosivustojen vierailijat. Jokaisesta suostumustapahtumasta Käsittelijä tallentaa: pseudonymisoidun suostumustunnisteen, käyttötarkoituksen mukaisen suostumuspäätöksen, vierailijan IP-osoitteesta johdetun maan ja alueen, verkkosivuston verkkotunnuksen, anonymisoidun viittaavan osoitteen, mahdollisen IAB TCF -merkkijonon sekä tapahtuman ajankohdan.

Suostumustietueet eivät sisällä vierailijoiden IP-osoitteita tai user-agent-merkkijonoja. IP-osoitteita käytetään pyyntöjen rajoittamiseen (rate limiting) ja maantieteelliseen paikannukseen, mukaan lukien osoitteessa /subprocessors lueteltu ulkoinen varajärjestelmä. Infrastruktuurin ja alikäsittelijöiden diagnostiikka voi käsitellä pyyntöjen metatietoja sovellettavien säilytysehtojensa mukaisesti. Suostumustietueiden rakenne ei kerää GDPR:n 9 artiklan mukaisia erityisiä henkilötietoryhmiä.

4. Käsittelijän velvollisuudet

Käsitellä henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, mukaan lukien kansainväliset tiedonsiirrot, ellei unionin tai jäsenvaltion lainsäädäntö toisin edellytä.
Varmistaa, että henkilöt, joilla on oikeus käsitellä tietoja, ovat sitoutuneet salassapitovelvollisuuteen.
Toteuttaa kohdassa 6 kuvatut tekniset ja organisatoriset toimenpiteet.
Ottamalla huomioon käsittelyn luonteen ja Käsittelijän saatavilla olevat tiedot, auttaa Rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä vastaamaan rekisteröityjen pyyntöihin sekä noudattamaan GDPR:n 32–36 artiklan mukaisia velvollisuuksiaan. Rekisterinpitäjä voi täyttää useimmat tällaiset pyynnöt itse hallintapaneelin vienti- ja poistotyökalujen avulla; siltä osin kuin apu ylittää näiden työkalujen toiminnallisuudet, Käsittelijä voi veloittaa kulloinkin voimassa olevan asiantuntijapalveluhinnastonsa mukaisesti.
Saattaa saataville tiedot, jotka ovat tarpeen velvoitteiden noudattamisen osoittamiseksi, ja sallia kohdassa 9 kuvatut auditoinnit.

5. Alikäsittelijät

Rekisterinpitäjä antaa yleisen suostumuksensa sille, että Käsittelijä käyttää alikäsittelijöitä. Ajan tasalla oleva luettelo on julkaistu osoitteessa /subprocessors. Käsittelijä päivittää kyseistä sivua vähintään kolmekymmentä (30) päivää ennen kuin uusi alikäsittelijä aloittaa tietojenkäsittelyn. Ilmoitukset muutoksista ovat saatavilla pyynnöstä kohdassa 13 mainitun tietosuojayhteyshenkilön kautta; automaattiset ilmoitustilaukset ovat suunnitteilla, mutta eivät tällä hetkellä käytettävissä. Rekisterinpitäjä voi vastustaa muutosta kyseisen määräajan kuluessa kohtuullisilla ja dokumentoiduilla tietosuojaperusteilla. Jos osapuolet eivät pääse yksimielisyyteen vastustuksesta, Rekisterinpitäjän ainoa ja yksinomainen oikeussuojakeino on irtisanoa kyseinen palvelu kirjallisella ilmoituksella, jolloin ennakkoon maksetut maksut palautetaan suhteessa käyttämättä jääneeseen tilauskauteen. Jos muutosta ei vastusteta ilmoitusajan kuluessa, muutos katsotaan hyväksytyksi. Kukin alikäsittelijä on sidottu vähintään yhtä kattaviin tietosuojavelvoitteisiin kuin tässä DPA-sopimuksessa.

6. Turvatoimenpiteet

TLS suojaa julkisen palvelun yhteydet. Sisäisten tietokantojen TLS-varmenteiden todentaminen, todennettu Redis TLS ja palveluntarjoajan lepotilassa olevien tietojen salauksen konfigurointi ovat suunnitteilla; näitä kontrolleja ei vahvisteta tällä sopimuksella.
Roolipohjainen pääsynhallinta, jossa käyttöoikeudet rajataan tiimi- ja bannerikohtaisesti sekä vähimpien oikeuksien periaatteen mukainen erottelu tuki- ja ylläpitoroolien välillä.
Tietojen minimointi suostumustietueissa: vierailijoiden IP-osoitteita ja user-agent-merkkijonoja ei tallenneta näihin tietueisiin; infrastruktuurin ja alikäsittelijöiden diagnostiikka pidetään erillään.
Valittujen tiimi- ja laskutustoimintojen auditointilokit määritellyn säilytyskäytännön mukaisesti; alustan ylläpitotoimintojen kattava lokitus on suunnitteilla.
Tietokannan varmuuskopiointi- ja palautuksen tarkistustyökalut sekä valvottu virheraportointi. Neljännesvuosittain dokumentoidut palautustestit ja varmuuskopiotiedostojen salaus ovat suunnitteilla; tämän sopimuksen perusteella ei vahvisteta voimassa olevaa onnistunutta palautusta.

7. Henkilötietojen tietoturvaloukkaukset

Käsittelijä ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan tiedon Rekisterinpitäjän henkilötietoihin vaikuttavasta henkilötietojen tietoturvaloukkauksesta ja toimittaa tiedot, jotka ovat sillä hetkellä kohtuudella saatavilla, jotta Rekisterinpitäjä voi täyttää GDPR:n 33 ja 34 artiklan mukaiset velvoitteensa. Tietoja voidaan toimittaa vaiheittain tutkinnan edetessä. Ilmoitusta ei pidetä virheen tai vastuun tunnustamisena.

8. Säilytys, palautus ja poistaminen

Suostumustietueita säilytetään tilaustason mukaisen ajan (ellei hyväksytystä ylläpidollisesta poikkeuksesta muuta johdu) ja tällä hetkellä vähintään kaksitoista kuukautta, jotta ne toimivat todisteena suostumuksesta GDPR:n 7 artiklan 1 kohdan mukaisesti. Säilytysaikoja koskevia muutoksia voidaan pyytää tietosuojayhteyshenkilön kautta toteutettavuuden ja oikeudellisen arvioinnin suorittamiseksi; asiakkaan itsepalveluna toimivat säilytysasetukset ovat suunnitteilla, mutta eivät tällä hetkellä käytettävissä. Rekisterinpitäjät voivat viedä suostumustietueensa milloin tahansa hallintapaneelista, ja he vastaavat tämän tekemisestä ennen sopimuksen päättymistä. Sopimuksen päättyessä Käsittelijä Rekisterinpitäjän kolmenkymmenen (30) päivän kuluessa tekemästä kirjallisesta pyynnöstä palauttaa tai poistaa henkilötiedot, ja tällaisen pyynnön puuttuessa voi poistaa ne. Rutiininomaisissa varmuuskopioissa olevat kopiot käsitellään sovellettavan varmuuskopioiden kiertoprosessin mukaisesti eikä välittömästi vaadittaessa, ja niihin sovelletaan tätä DPA-sopimusta poistamiseen saakka. Varmuuskopiotiedostojen salaus on suunnitteilla, eikä varmuuskopiointiskripti tällä hetkellä tarjoa sitä; etäkopiotoimintojen säilytys ja vanhentuminen edellyttävät operatiivista tarkistusta. Käsittelijä voi säilyttää tietoja siltä osin kuin unionin tai jäsenvaltion lainsäädäntö sitä vaatii.

9. Auditoinnit

Käsittelijä saattaa saataville tiedot, jotka ovat tarpeen tämän DPA-sopimuksen noudattamisen osoittamiseksi. Rekisterinpitäjän auditointioikeus täyttyy ensisijaisesti Käsittelijän kirjallisilla vastauksilla kohtuulliseen tietoturvakyselyyn sekä Käsittelijän mahdollisesti hankkimilla kolmannen osapuolen raporteilla tai sertifioinneilla. Paikan päällä tapahtuva tai käytännönläheinen auditointi voidaan suorittaa vain, jos nämä aineistot ovat todistettavasti riittämättömiä tai jos valvontaviranomainen sitä vaatii, vähintään kolmenkymmenen (30) päivän kirjallisella ennakkoilmoituksella, enintään kerran kahdentoista kuukauden aikana, normaaleina aukioloaikoina, Käsittelijän toimintaa häiritsemättä, ja sen voi suorittaa Rekisterinpitäjä tai riippumaton auditoija, joka ei ole Käsittelijän kilpailija ja jota sitoo salassapitovelvollisuus. Rekisterinpitäjä vastaa omista ja Käsittelijälle aiheutuvista kohtuullisista auditoinnin kustannuksista.

10. Kansainväliset tiedonsiirrot

Henkilötietoja säilytetään Euroopan unionissa. Mikäli osoitteessa /subprocessors lueteltu alikäsittelijä käsittelee tietoja ETA-alueen ulkopuolella, siirto toteutetaan Euroopan komission mallisopimuslausekkeiden tai muun pätevän siirtomekanismin mukaisesti yhdessä tarvittavien täydentävien toimenpiteiden kanssa.

11. Rekisterinpitäjän vastuut

Rekisterinpitäjä päättää, mitä henkilötietoja Palvelun kautta kerätään ja miksi. Rekisterinpitäjä takaa, että sillä on voimassa oleva oikeusperuste kyseiselle käsittelylle, että sen ohjeet – mukaan lukien sen banneri-, kategoria- ja alueelliset konfiguraatiot – ovat sovellettavan tietosuojalainsäädännön mukaisia, ja että se on antanut kaikki ilmoitukset ja hankkinut kaikki suostumukset, joita sen oma käyttö edellyttää.

Palvelu on työkalu suostumuksen tallentamiseen ja välittämiseen. Se ei ole oikeudellista neuvontaa, eikä Käsittelijä takaa, että mikään tietty konfiguraatio tekee Rekisterinpitäjästä GDPR:n, sähköisen viestinnän tietosuojadirektiivin (ePrivacy) tai minkään muun lain mukaisen. Rekisterinpitäjä vastaa siitä, että sen konfiguraatio täyttää sen omat velvoitteet.

Rekisterinpitäjä korvaa Käsittelijälle vaatimukset, sakot ja kustannukset, jotka aiheutuvat Rekisterinpitäjän antamista ohjeista, sen tekemistä Palvelun konfiguraatioista tai siitä, että se ei ole hankkinut pätevää oikeusperustetta.

12. Vastuu

Kummankin osapuolen kokonaisvastuuseen, joka johtuu tästä DPA-sopimuksesta tai liittyy siihen, sovelletaan käyttöehdoissa määriteltyjä vastuunrajoituksia ja kokonaisvastuun enimmäismäärää, ja osapuolten vastuu tämän DPA-sopimuksen ja käyttöehtojen nojalla lasketaan yhteen kohti kyseistä yhtä enimmäismäärää eikä erikseen. Mikään tässä kohdassa ei rajoita vastuuta, jota ei voida lain mukaan rajoittaa, mukaan lukien rekisteröidyn GDPR:n 82 artiklan mukaiset oikeudet.

Katso Käyttöehdot sovellettavan vastuukaton osalta.

13. Yhteystiedot

Tietosuojakyselyt: [email protected] · Oikeudelliset asiat: [email protected]

Tietojenkäsittelysopimus