Tietojenkäsittelysopimus (DPA)
Liite SaaS-sopimukseen · versio 2026-10-02 · GDPR 28 artikla
1. Roolit
Rekisterinpitäjä: Asiakas.
Käsittelijä: IsoFan Oy (Y-tunnus 3512918-9).
Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Ohjeita ovat tämä sopimus, Palvelun käyttöliittymässä annetut toiminnot (tuonti, haku, poisto, vienti) ja kirjalliset lisäohjeet, jotka eivät edellytä Palvelun muuttamista.
2. Käsittelyn kohde
| Tarkoitus | B2B-myynnin liidien, yhteydenottojen, viestiluonnosten, tarjousten ja seurantojen hallinta Palvelussa |
|---|---|
| Luonne | Tallennus, haku, järjestäminen, luovutus Tekoälytoimintojen alikäsittelijälle Asiakkaan käynnistämänä, vienti Asiakkaalle, poisto |
| Kesto | Sopimuksen voimassaolo ja SaaS-sopimuksen mukainen 30 päivän palautusjakso, sen jälkeen poisto, jollei laki vaadi säilytystä |
| Rekisteröidyt | Asiakkaan liidien yhteyshenkilöt ja muut Asiakasdataan kirjatut luonnolliset henkilöt; Asiakkaan omat Käyttäjät |
| Tietotyypit | Nimi, titteli, työsähköposti, puhelin, yritys, osoite, Y-tunnus, viestit, muistiinpanot, liitteet, kalenteritiedot, käyttöloki. Erityisiä henkilötietoryhmiä (GDPR 9 art.) ei ole tarkoitus käsitellä — Asiakas ei saa syöttää niitä Palveluun |
3. Palveluntarjoajan velvollisuudet
- Käsitellä tietoja vain SaaS-sopimuksen ja tämän DPA:n mukaisesti, ei omiin tarkoituksiinsa eikä kolmansien markkinointiin.
- Varmistaa, että tietoja käsittelevät henkilöt ovat salassapitovelvollisia.
- Toteuttaa kohdan 6 mukaiset tekniset ja organisatoriset toimenpiteet.
- Käyttää alikäsittelijöitä vain kohdan 4 mukaisesti.
- Avustaa Asiakasta rekisteröidyn pyynnöissä, tietoturvaloukkauksissa ja vaikutustenarvioinneissa Palvelun ominaisuuksien puitteissa. Avustuksesta, joka ylittää tavanomaisen tuen, voidaan periä kohtuullinen korvaus.
- Ilmoittaa Asiakkaalle tietoturvaloukkauksesta ilman aiheetonta viivytystä, tavoite 72 tuntia tietoon tulosta, siltä osin kuin tieto on Palveluntarjoajalla.
- Poistaa tai palauttaa tiedot sopimuksen päättyessä kohdan 8 mukaan.
- Asettaa Asiakkaan saataville tiedot, jotka osoittavat tämän DPA:n noudattamisen.
4. Alikäsittelijät
Asiakas antaa yleisen ennakkoluvan seuraaville alikäsittelijöille. Uudesta alikäsittelijästä ilmoitetaan Palvelussa tai sähköpostitse. Asiakas saa vastustaa perustellusta syystä 14 päivän kuluessa; tällöin osapuolet neuvottelevat, ja Asiakas saa irtisanoa Palvelun 30 päivän irtisanomisajalla jos yhteisymmärrystä ei synny.
| Alikäsittelijä | Tehtävä ja sijainti |
|---|---|
| Anthropic, PBC | Tekoälytoiminnot (viestiluonnokset, liidihaku). Yhdysvallat. Siirto: EU:n komission vakiosopimuslausekkeet Anthropicin sopimusehtojen mukaisesti. API-ehtojen mukaan rajapintadataa ei käytetä mallin koulutukseen, ellei Asiakas toisin sovi Anthropicin kanssa. |
| Cloudflare, Inc. | Nimipalvelu ja HTTPS-liikenne verkkotunnukselle myyntihaku.fi. Yhdysvallat / EEA. |
| Palvelininfrastruktuuri (Hetzner / vastaava) | Palvelimen isännöinti EU/ETA-alueella. Palveluntarjoaja nimeää tarkan toimittajan pyynnöstä. |
Maksuliikenteen tiedot eivät ole tämän sopimuksen Asiakasdataa. Laskutus ja korttimaksu kuvataan tietosuojaselosteessa. Liiditietoja ei siirretä maksunvälittäjälle.
PRH:n avoin yritysrekisteri ei ole alikäsittelijä vaan julkinen tietolähde. Kalenterin haku Asiakkaan itsensä antamasta ICS-osoitteesta on Asiakkaan ohje, ei uusi alikäsittelijä.
Palveluntarjoaja tekee alikäsittelijöiden kanssa kirjalliset sopimukset, jotka velvoittavat vähintään tämän DPA:n tasolle.
5. Siirrot ETA:n ulkopuolelle
Tekoälytoiminnot siirtävät Asiakasdataa Yhdysvaltoihin Anthropicille. Oikeusperusteena ovat vakiosopimuslausekkeet ja Anthropicin tietojenkäsittelyehdot. Ellei Asiakas hyväksy siirtoa, Tekoälytoiminnot on pidettävä poissa päältä; muu Palvelu toimii viestipohjilla.
6. Tekniset ja organisatoriset toimenpiteet
- Kirjautuminen: scrypt-tiiviste, istuntoeväste HttpOnly, erilliset käyttäjätunnukset
- Asiakkaiden eristys: oma tietokanta ja hakemisto Asiakasta kohden
- Yhteys: HTTPS käänteisproxyn kautta tuotannossa
- Tekoälyavain: ei lähetetä selaimeen; Asiakas ei hallinnoi avainta
- Pääsy Asiakasdataan rajattu Palveluntarjoajan operatiiviseen henkilöstöön
- Varmuuskopiot Palveluntarjoajan käytännön mukaan; Asiakas voi viedä datan itse milloin tahansa
Toimenpiteitä saa parantaa ilman tämän DPA:n muuttamista, kunhan taso ei heikkene.
7. Rekisteröidyn oikeudet
Rekisteröity kääntyy Asiakkaan puoleen. Palvelu tarjoaa haun, muokkauksen, poiston ja Excel-viennin, jotta Asiakas voi täyttää pyynnöt. Jos pyyntö tulee Palveluntarjoajalle, se ohjataan Asiakkaalle ilman aiheetonta viivytystä, jollei laki kiellä ilmoittamista.
8. Palautus ja poisto
Asiakas vie datan Excelillä tai pyytää kopion ennen sopimuksen päättymistä. 30 päivän kuluttua päättymisestä Palveluntarjoaja poistaa tuotantoaineiston ja siihen liittyvät varmuuskopiot seuraavassa varmuuskopiokierrossa, paitsi kirjanpitoon tai riitoihin tarvittavan minimimäärän (laskutus, sopimusloki).
9. Tarkastusoikeus
Asiakas saa pyytää kirjallisen kuvauksen toimenpiteistä ja, jos se ei riitä GDPR 28 artiklan täyttämiseen, teettää tarkastuksen Palveluntarjoajan tiloissa tai järjestelmissä 30 päivän ennakkoilmoituksella, enintään kerran vuodessa, ellei tietoturvaloukkaus tai viranomainen muuta edellytä. Tarkastus ei saa vaarantaa muiden asiakkaiden tietoja. Asiakas vastaa tarkastuksen kuluista, jollei tarkastus paljasta olennaista DPA-rikkomusta.
10. Vastuu
Kummankin osapuolen vastuu noudattaa SaaS-sopimuksen vastuunrajoitusta, siltä osin kuin GDPR tai muu pakottava laki ei toisin määrää. Rekisterinpitäjä vastaa käsittelyperusteesta ja informoinnista rekisteröidyille.
11. Voimassaolo
Tämä DPA on voimassa niin kauan kuin Palveluntarjoaja käsittelee henkilötietoja Asiakkaan lukuun, myös SaaS-sopimuksen päättymisen jälkeisen poistoajan.