Tietojenkäsittelysopimus (DPA)
Tämä tietojenkäsittelysopimus (”DPA”) kuvaa, miten Ritun palveluntarjoaja käsittelee henkilötietoja rekisterinpitäjän lukuun EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukaisesti. DPA on osa Ritun käyttöehtoja ja täydentää niitä henkilötietojen käsittelyn osalta.
1. Osapuolet ja roolit
Rekisterinpitäjä: Perheen ylläpitäjä (omainen tai läheisestä huolehtiva henkilö), joka päättää, mitä tietoja palveluun tallennetaan ja mihin tarkoitukseen. Rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot.
Käsittelijä: Tuittupaa Productions Oy, y-tunnus 3640226-3, kotipaikka Helsinki, Suomi (”Palveluntarjoaja”), joka käsittelee henkilötietoja rekisterinpitäjän lukuun palvelun tuottamiseksi.
Huomioitava: Kun perhe käyttää palvelua puhtaasti henkilökohtaiseen tai kotitalouden toimintaan, käsittelyyn voi soveltua GDPR:n kotitalouspoikkeus (2 art. 2 c). Palveluntarjoaja sitoutuu silti noudattamaan tässä kuvattuja käsittelijän velvollisuuksia ja tietoturvakäytäntöjä.
2. Määritelmät
Termeillä ”henkilötieto”, ”käsittely”, ”rekisterinpitäjä”, ”käsittelijä”, ”rekisteröity” ja ”erityisiin henkilötietoryhmiin kuuluvat tiedot” on sama merkitys kuin GDPR:ssä. Muut termit määritellään käyttöehdoissa.
3. Käsittelyn kohde ja kesto
Käsittelyn kohteena ovat rekisterinpitäjän palveluun tallentamat henkilötiedot. Käsittely jatkuu niin kauan kuin rekisterinpitäjä käyttää palvelua, tai kunnes tiedot poistetaan kohdan 12 mukaisesti. DPA on voimassa yhtä kauan kuin henkilötietoja käsitellään palvelussa.
4. Käsittelyn luonne ja tarkoitus
Palveluntarjoaja käsittelee henkilötietoja ainoastaan tuottaakseen palvelun: tietojen tallentaminen, näyttäminen, synkronointi laitteiden välillä, varmuuskopiointi sekä palvelun ylläpito, tietoturva ja tuki. Tietoja ei käytetä Palveluntarjoajan omiin tarkoituksiin, kuten markkinointiin tai profilointiin, eikä niitä myydä.
5. Tietoryhmät ja rekisteröidyt
Rekisteröityjen ryhmät: Läheinen (muistisairas henkilö), perheenjäsenet sekä palvelun ylläpitäjä.
| Tietoryhmä | Esimerkkejä |
|---|---|
| Perustiedot | Nimi, syntymäaika, sukulaisuussuhde |
| Sisältötiedot | Tapahtumat, lisätiedot/muistiinpanot, valokuvat |
| Tunnistetiedot | Ylläpitäjän sähköpostiosoite, kirjautumis- ja istuntotiedot, PIN-/kutsukoodien tiivisteet |
| Tekniset tiedot | Laite- ja lokitiedot, IP-osoite palvelun toimittamiseksi |
| Erityiset henkilötietoryhmät (9 art.) | Terveyteen liittyvät tiedot voivat ilmetä välillisesti (esim. muistisairaus, kuvien tai muistiinpanojen sisältö). Rekisterinpitäjä vastaa käsittelyn oikeusperusteesta, kuten nimenomaisesta suostumuksesta. |
6. Käsittelijän velvollisuudet
Palveluntarjoaja sitoutuu:
- käsittelemään henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti (näiden ehtojen ja palvelun toimintojen mukaisesti), ellei lainsäädäntö muuta edellytä;
- varmistamaan, että tietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon;
- toteuttamaan 7 kohdan mukaiset tekniset ja organisatoriset turvatoimet;
- käyttämään alikäsittelijöitä vain 8 kohdan ehdoin;
- avustamaan rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa ja tietoturvavelvoitteissa;
- poistamaan tai palauttamaan tiedot käsittelyn päätyttyä (kohta 12);
- asettamaan saataville tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden osoittamiseksi.
Jos Palveluntarjoaja katsoo, että ohje rikkoo tietosuojalainsäädäntöä, se ilmoittaa asiasta rekisterinpitäjälle.
7. Turvatoimet (32 art.)
Palveluntarjoaja toteuttaa riskiä vastaavat tekniset ja organisatoriset toimet, muun muassa:
- tietojen tallennus EU-alueen palvelimille;
- salattu tiedonsiirto (TLS) ja tietojen salaus säilytyksessä;
- perhekohtainen tietojen eristys tietokannan rivitason käyttöoikeussäännöillä (RLS);
- kirjautumis- ja PIN-koodien suojaus vahvalla tiivistyksellä (bcrypt);
- kirjautumisyritysten rajoittaminen (lukitus toistuvien virheellisten yritysten jälkeen);
- pääsynhallinta ja käsittelyn minimointi vähimmän tarpeen periaatteella.
8. Alikäsittelijät
Rekisterinpitäjä antaa yleisen valtuutuksen käyttää alikäsittelijöitä palvelun tuottamiseksi. Palveluntarjoaja tekee kunkin alikäsittelijän kanssa sopimuksen, joka asettaa vastaavat tietosuojavelvoitteet. Nykyiset alikäsittelijät:
| Alikäsittelijä | Tehtävä | Sijainti |
|---|---|---|
| Supabase | Tietokanta, todennus ja tiedostojen (kuvien) tallennus | EU-alue |
| Vercel | Sovelluksen (staattinen sisältö) jakelu ja tekniset lokit | EU / maailmanlaajuinen CDN |
Palveluntarjoaja ilmoittaa uusista tai vaihtuvista alikäsittelijöistä etukäteen. Rekisterinpitäjällä on oikeus perustellusta tietosuojasyystä vastustaa muutosta; tällöin osapuolet etsivät ratkaisun, tai rekisterinpitäjä voi lopettaa palvelun käytön.
9. Rekisteröityjen oikeudet
Palveluntarjoaja avustaa rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimin vastaamaan rekisteröityjen pyyntöihin (tarkastus-, oikaisu-, poisto-, rajoitus- ja siirto-oikeus). Palvelun toiminnot mahdollistavat tietojen muokkaamisen ja poistamisen suoraan ylläpitäjän toimesta. Jos rekisteröity ottaa suoraan yhteyttä Palveluntarjoajaan, pyyntö ohjataan rekisterinpitäjälle.
10. Tietoturvaloukkaukset (33 art.)
Havaitessaan henkilötietojen tietoturvaloukkauksen Palveluntarjoaja ilmoittaa siitä rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan siitä tiedon, ja toimittaa kohtuudella saatavilla olevat tiedot loukkauksesta ja sen johdosta tehdyistä toimenpiteistä, jotta rekisterinpitäjä voi täyttää omat ilmoitusvelvollisuutensa.
11. Avustaminen vaikutustenarvioinnissa
Palveluntarjoaja avustaa rekisterinpitäjää kohtuullisessa määrin tietosuojaa koskevissa vaikutustenarvioinneissa (35 art.) ja mahdollisissa valvontaviranomaisen ennakkokuulemisissa (36 art.), ottaen huomioon käsittelyn luonteen ja saatavilla olevat tiedot.
12. Tietojen palautus ja poisto
Käsittelyn päättyessä Palveluntarjoaja rekisterinpitäjän valinnan mukaan poistaa tai palauttaa henkilötiedot ja poistaa olemassa olevat kopiot, ellei lainsäädäntö edellytä tietojen säilyttämistä. Palvelussa ylläpitäjä voi myös itse tyhjentää perheen tiedot tai poistua perheestä.
13. Auditoinnit
Palveluntarjoaja asettaa rekisterinpitäjän saataville tarpeelliset tiedot 28 artiklan velvoitteiden noudattamisen osoittamiseksi ja sallii kohtuulliset, ennalta sovitut tarkastukset. Ensisijaisesti noudattamista osoitetaan dokumentaatiolla ja alikäsittelijöiden sertifioinneilla.
14. Kansainväliset tiedonsiirrot
Henkilötiedot tallennetaan ja käsitellään ensisijaisesti EU/ETA-alueella. Jos alikäsittelijä käsittelee tietoja ETA:n ulkopuolella (esim. teknisten lokien osalta), Palveluntarjoaja varmistaa asianmukaiset suojatoimet, kuten Euroopan komission vakiosopimuslausekkeet (SCC).
15. Vastuu ja voimassaolo
Osapuolten vastuuseen sovelletaan käyttöehtojen ja pakottavan lainsäädännön mukaisia rajoituksia. Ristiriitatilanteessa tämä DPA on henkilötietojen käsittelyn osalta ensisijainen käyttöehtoihin nähden. DPA on voimassa, kunnes henkilötietojen käsittely palvelussa päättyy.
16. Yhteystiedot
Tietosuojaa koskevat yhteydenotot: tuulia.virhia@gmail.com
Palveluntarjoaja: Tuittupaa Productions Oy (y-tunnus 3640226-3) · kotipaikka Helsinki, Suomi
Tietosuojavastaava (jos nimetty): ei nimetty