Tietojenkäsittelysopimus (DPA)

Tämä tietojenkäsittelysopimus ("DPA") on osa Liidi-palvelun käyttöehtoja ja koskee Verkkosite Oy:n ("Käsittelijä") suorittamaa henkilötietojen käsittelyä Asiakkaan ("Rekisterinpitäjä") lukuun. DPA täydentää EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan vaatimuksia.

1. Käsittelyn kohde ja kesto

Käsittelijä käsittelee henkilötietoja vain siltä osin kuin on tarpeen Palvelun tuottamiseksi ja Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Käsittely kestää sopimuksen voimassaolon ajan.

2. Käsittelyn luonne ja tarkoitus

Palvelun tarjoaminen: henkilötietojen tallennus, järjestäminen, haku, näyttäminen ja poisto Rekisterinpitäjän myyntitoiminnan tueksi (CRM).

3. Henkilötietojen tyypit ja rekisteröityjen ryhmät

• Tyypit: nimi, yhteystiedot (sähköposti, puhelin), yritys ja titteli, muistiinpanot, puheluihin ja tapaamisiin liittyvät tiedot sekä muut Rekisterinpitäjän syöttämät tiedot.
• Ryhmät: Rekisterinpitäjän liidit, asiakkaat ja yhteyshenkilöt sekä Rekisterinpitäjän omat käyttäjät.

4. Käsittelijän velvollisuudet

Käsittelijä: (a) käsittelee tietoja vain dokumentoitujen ohjeiden mukaan; (b) varmistaa henkilöstön salassapidon; (c) toteuttaa 5 kohdan turvatoimet; (d) avustaa Rekisterinpitäjää rekisteröityjen pyynnöissä ja tietoturvavelvoitteissa; (e) poistaa tai palauttaa tiedot sopimuksen päättyessä; (f) antaa Rekisterinpitäjälle 28 artiklan noudattamisen osoittamiseksi tarvittavat tiedot.

5. Turvatoimet

Käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimet, mukaan lukien: pääsynhallinta ja rooliperustainen käyttöoikeus, tenant-eristys tietokantatasolla (row-level security), salaus siirrossa, salasanojen tiivistäminen, lokitus sekä säännölliset varmuuskopiot. [TÄYDENNÄ: kuvaa varmuuskopiointi- ja palautuskäytännöt tarkemmin.]

6. Alikäsittelijät

Rekisterinpitäjä antaa yleisen valtuutuksen käyttää alla lueteltuja alikäsittelijöitä. Käsittelijä ilmoittaa muutoksista etukäteen ja Rekisterinpitäjä voi perustellusti vastustaa muutosta.

• Supabase — tietokanta, autentikointi ja tiedostotallennus (EU-alue). [TÄYDENNÄ: vahvista EU-regio.]
• Vercel — sovelluksen hosting ja CDN.
• Stripe — maksujen välitys.
• Telnyx — puhelut ja puhelinnumerot (valinnainen lisäosa).
• Anthropic — tekoälytoiminnot (valinnainen lisäosa).
• Resend — transaktiosähköpostit.

[TÄYDENNÄ: vahvista kunkin alikäsittelijän käsittelysijainti ja siirtojen suojatoimet (esim. EU:n vakiolausekkeet).]

7. Rekisteröityjen oikeuksien avustaminen

Käsittelijä avustaa Rekisterinpitäjää vastaamaan rekisteröityjen pyyntöihin (pääsy, oikaisu, poisto, siirrettävyys) Palvelun toiminnoilla (mm. organisaation datan export ja poisto).

8. Tietoturvaloukkaukset

Käsittelijä ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan tiedon henkilötietojen tietoturvaloukkauksesta ja avustaa loukkauksen selvittämisessä ja ilmoitusvelvoitteissa.

9. Tietojen poistaminen ja palauttaminen

Sopimuksen päättyessä Käsittelijä poistaa tai palauttaa henkilötiedot Rekisterinpitäjän valinnan mukaan kohtuullisen ajan kuluessa, ellei laki edellytä säilyttämistä.

10. Auditointi

Käsittelijä antaa Rekisterinpitäjälle kohtuulliset tiedot 28 artiklan noudattamisen osoittamiseksi ja mahdollistaa kohtuulliset auditoinnit sovitulla tavalla.

11. Tietojen siirrot

Mahdolliset siirrot EU/ETA-alueen ulkopuolelle tehdään vain asianmukaisin suojatoimin (esim. EU:n vakiolausekkeet).

12. Voimassaolo

Tämä DPA on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun.