Tietojenkäsittelysopimus

Osapuolet ja roolit Asiakasorganisaatio on arviointi- ja tilitietojen rekisterinpitäjä. Islenord (yksityinen elinkeinonharjoittaja, Y-tunnus 3650802-5, Mariabergintie 3 F 28, 02820 Espoo, Suomi) on näiden tietojen käsittelijä. Käsittely tapahtuu vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, joita ovat palvelun käyttö ja nämä ehdot.

Maksutapahtumien käsittely erillisenä Maksutapahtumien käsittely on erillistä arviointitietojen käsittelystä. Tuetuissa tapahtumissa Stripe (mukaan lukien Link) toimii myyjänä (merchant of record) ja käsittelee ostajan laskutus- ja maksutiedot omana rekisterinpitäjänään, ei Islenordin käsittelijänä. Islenord ei toimi tältä osin käsittelijänä eikä vastaanota korttitietoja. Tämä ei muuta arviointitietoja koskevia rekisterinpitäjä- ja käsittelijärooleja.

Käsittelyn kohde ja kesto Kohde: Culture State -palvelun tuottaminen (kulttuuriarvioinnit, ryhmätason raportointi ja tuki). Kesto: sopimuksen voimassaoloaika sekä sovittu säilytysaika sen jälkeen (oletuksena 24 kuukautta).

Käsittelyn luonne ja tarkoitus Kyselyiden toteutus, nimettömien vastausten tallennus, ryhmätason tulosten laskenta, raporttien tuottaminen, tilin- ja tilaushallinta sekä tekninen tuki.

Henkilötietoryhmät ja rekisteröidyt Rekisteröidyt: asiakasorganisaation käyttäjät (yhteyshenkilöt) sekä arviointeihin osallistuvat työntekijät. Tiedot: käyttäjätiedot (nimi, työsähköposti, rooli, organisaatio), laskutuksen viitetiedot sekä vapaaehtoiset jatkoyhteydenottotiedot (sähköpostiosoite). Kyselyvastaukset tallennetaan ilman vastaajan tunnistetietoa, eikä niitä voi yhdistää yksittäiseen henkilöön.

Erityiset henkilötietoryhmät Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin. Asiakas sitoutuu olemaan syöttämättä tällaisia tietoja palveluun.

Käsittelijän velvollisuudet Käsittelemme tietoja vain ohjeiden mukaisesti, varmistamme käsittelyyn oikeutettujen salassapitovelvollisuuden, toteutamme 32 artiklan mukaiset tekniset ja organisatoriset suojatoimet, avustamme rekisteröityjen pyyntöjen sekä 32–36 artiklojen velvoitteiden täyttämisessä ja annamme tarvittavat tiedot noudattamisen osoittamiseksi.

Suojatoimet Tiedot salataan siirrossa ja levossa. Pääsy on rooliperusteinen ja rajattu vähimpään tarpeeseen. Yksittäisiä vastauksia ei ole kenenkään ihmiskäyttäjän saatavilla. Tulokset raportoidaan vain ryhmätasolla, ja ryhmä raportoidaan vasta kun vähimmäisvastausmäärä täyttyy. Toimintaa lokitetaan tietoturvan varmistamiseksi. Varmuuskopiot säilytetään EU:ssa.

Alikäsittelijät Asiakas antaa yleisen ennakkovaltuutuksen alla lueteltujen alikäsittelijöiden käyttöön. Ilmoitamme suunnitelluista muutoksista etukäteen, ja asiakkaalla on oikeus vastustaa perustellusta syystä. Alikäsittelijöitä sitovat vastaavat velvoitteet.

Nykyiset alikäsittelijät: · Lovable Labs Incorporated — sovelluksen isännöinti, tietokanta, kirjautuminen ja sähköpostien lähetys. Henkilötiedot säilytetään EU:ssa. · Cloudflare, Inc. — sisällönjakelu, liikenteen käsittely ja hyökkäysten torjunta. EU:n reunapalvelimet; sovellustietoja ei säilytetä. Stripe ja Link eivät ole arviointitietojen alikäsittelijöitä, koska ne eivät vastaanota eivätkä käsittele arviointitietoja asiakkaan lukuun. Ne on kuvattu erikseen kohdassa ”Itsenäiset maksu- ja liiketoimintapalvelut”.

Luetteloa päivitetään ennen uusien alikäsittelijöiden käyttöönottoa. Kysymykset luettelosta: contact@culturestate.fi.

Itsenäiset maksu- ja liiketoimintapalvelut Nämä toimijat eivät ole arviointitietojen alikäsittelijöitä.

· Stripe, Inc. ja sen konserniyhtiöt, mukaan lukien Link — Managed Payments -maksupalvelu: kassa, maksun käsittely, laskutus, tuetut välilliset verot, maksutapahtumatason tuki, petostentorjunta ja maksuriidat. · Stripe (mukaan lukien Link) toimii tuettujen tapahtumien myyjänä (merchant of record). · Stripe (mukaan lukien Link) käsittelee laskutus- ja maksutapahtumatiedot erillään palvelun muusta tietojenkäsittelystä ja omana itsenäisenä rekisterinpitäjänään, ei Islenordin alikäsittelijänä. · Stripe (mukaan lukien Link) ei vastaanota arviointivastauksia, vastaajien tietoja, OCHI- tai OCCI-lukuja, raporttien havaintoja, raportteja, organisaatiorakennetta taikka Alignment- tai Monitoring-tietoja. · Islenordin asema arviointitietojen käsittelijänä asiakasorganisaation lukuun säilyy tämän DPA:n mukaisena eikä muutu maksupalvelun vuoksi.

Tietojen sijainti ja siirrot Henkilötietoja käsitellään ja säilytetään EU:n alueella. Jos siirto EU:n ulkopuolelle olisi joskus tarpeen, se tehdään vakiosopimuslausekkeiden tai muun pätevän siirtomekanismin nojalla.

Tietoturvaloukkaukset Ilmoitamme asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuamme siitä tiedon ja avustamme asiakasta viranomais- ja rekisteröityilmoituksissa.

Rekisteröityjen oikeudet Avustamme asiakasta rekisteröityjen pyyntöjen käsittelyssä. Koska arviointivastaukset ovat nimettömiä, niitä ei voida palauttaa, oikaista tai poistaa yksilötasolla.

Auditointi Toimitamme pyynnöstä noudattamisen osoittavat tiedot ja mahdollistamme kohtuullisin ehdoin tehtävät auditoinnit, jotka asiakas tai sen valtuuttama tarkastaja suorittaa enintään kerran vuodessa, ellei viranomainen edellytä muuta.

Tietojen palautus ja poisto Sopimuksen päätyttyä organisaation tiedot säilytetään sovitun säilytysajan (oletuksena 24 kuukautta) ja poistetaan sen jälkeen automaattisesti ja pysyvästi. Laskutus- ja kirjanpitoaineistoa koskevat omat lakisääteiset säilytysaikansa. Asiakas voi pyytää tietojen palautusta koneluettavassa muodossa ennen poistoa. Nimettömät vertailuaineistot eivät sisällä henkilötietoja eivätkä ole tunnistettavissa, joten ne säilyvät.

Voimassaolo ja yhteystiedot Tämä DPA on voimassa niin kauan kuin käsittelemme henkilötietoja asiakkaan lukuun. Allekirjoitettu versio: contact@culturestate.fi.