Henkilötietojen käsittelysopimus
1. Osapuolet, soveltamisala ja asema
Tässä sopimuksessa vahvistetaan henkilötietojen käsittelyn ehdot OrsunPay-palvelusopimuksessa nimetyn yritysasiakkaan (”Asiakas”) ja seuraavan yhtiön välillä: Orsun Tech OÜ, rekisteritunnus 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (”OrsunPay”). Sopimus tulee sitovaksi vain, kun se sisällytetään molempien osapuolten hyväksymään sopimukseen ja sen käsittely- ja turvallisuusliitteet on täytetty.
Tässä tarkoitetussa käsittelyssä Asiakas määrittää tarkoitukset ja olennaiset keinot, ja OrsunPay käsittelee henkilötietoja Asiakkaan lukuun. Jos Asiakas itse on henkilötietojen käsittelijä, sillä on oltava rekisterinpitäjänsä valtuutus OrsunPayn nimeämiseen. OrsunPayn omaan verkkosivustoon, liikekontakteihin ja tilihallintoon liittyvä käsittely kuvataan tietosuojaselosteessamme.
”Henkilötiedoilla”, ”rekisterinpitäjällä”, ”henkilötietojen käsittelijällä” ja niihin liittyvillä termeillä on sovellettavan tietosuojalainsäädännön, mukaan lukien GDPR sen soveltuessa, mukaiset merkitykset. Tämä käsittelysopimus on ensisijainen suhteessa sen kattamaa käsittelyä koskeviin ristiriitaisiin palveluehtoihin. Pakolliset siirtolausekkeet ovat ensisijaisia niiden soveltuessa.
2. Käsittelyn kuvaus
| Kohta | Käsittelyn laajuus |
|---|---|
| Kohde | Henkilötiedot, joita käsitellään Asiakkaan sovittujen maksujen orkestrointipalvelujen ja niihin liittyvän tuen yhteydessä. |
| Toimien luonne | Tietueiden vastaanottaminen, kirjaaminen, järjestäminen, hakeminen, siirtäminen ja esittäminen; reititys- ja toimintaohjeiden toteuttaminen; vianmääritys sekä tietojen palauttaminen tai poistaminen. |
| Tarkoitukset | Määritettyjen maksutyönkulkujen toteuttaminen, tietojen vaihto valittujen palveluntarjoajien kanssa, tapahtuma- ja webhook-tietueiden ylläpito, valtuutetun pääsyn tarjoaminen ja palveluongelmien tutkiminen. |
| Rekisteröidyt henkilöt | Asiakkaan ostajat ja muut maksujen osapuolet sekä Asiakkaan valtuutetut käyttäjät tai edustajat, kun tietoja käsitellään Asiakkaan ohjeiden mukaisesti. |
| Tietoryhmät | Asiakas- ja tapahtumaviitteet, annetut yhteystiedot, summat ja valuutat, maksujen ja hyvitysten tilat, palveluntarjoajaviitteet, tokenisoidut tai peitetyt maksutapatiedot, tekniset yhteystiedot ja asiaankuuluva tukiaineisto. Lopullisen liitteen on vastattava todellista integraatiota. |
| Kesto ja toistuvuus | Palvelun käytön ja sovitun palautus- tai poistoajan aikana; jatkuva tai tapahtumaohjattu käsittely käytettyjen ominaisuuksien mukaan. |
| Arkaluonteiset tiedot | Erityiset henkilötietoryhmät, rikostiedot ja täydelliset maksujen tunnistetiedot eivät kuulu tähän yleiskuvaukseen, ellei erillinen kirjallinen soveltamisala ja asianmukaiset hallintakeinot nimenomaisesti kata niitä. |
3. Ohjeet ja Asiakkaan vastuut
Palvelusopimus, täytetyt liitteet, valtuutetut asetukset ja dokumentoidut API-pyynnöt muodostavat Asiakkaan ohjeet. OrsunPay käsittelee sopimuksen kattamia tietoja vain näiden ohjeiden, myös siirtoja koskevien ohjeiden, mukaisesti, ellei sovellettava laki edellytä muuta. Se ilmoittaa Asiakkaalle lakisääteisestä vaatimuksesta ennen käsittelyä, ellei laki kiellä ilmoittamista.
Asiakkaan on annettava lainmukaiset ohjeet, tarvittavat tietosuojatiedot ja pätevä peruste pyytämälleen keräämiselle ja käsittelylle. Sen on rajattava toimitetut tiedot palvelun tarvitsemiin tietoihin ja ylläpidettävä asianmukaisia tilioikeuksia. OrsunPay ilmoittaa Asiakkaalle, jos se katsoo ohjeen rikkovan sovellettavaa tietosuojalainsäädäntöä, ja voi keskeyttää kyseisen käsittelyn asian ratkaisemisen ajaksi.
4. Luottamuksellisuus ja turvallisuus
OrsunPay rajaa pääsyn valtuutettuihin henkilöihin, jotka tarvitsevat sitä palvelun suorittamiseen, ja varmistaa, että heitä sitovat salassapitovelvoitteet. Se ylläpitää tietojen luonteeseen ja käsittelyn riskeihin nähden asianmukaisia teknisiä ja organisatorisia toimenpiteitä.
Turvallisuusliitteessä on dokumentoitava pääsynhallinta, tunnistautuminen, salausjärjestelyt, asiakasympäristöjen erottelu, lokitus, poikkeamien käsittely, varmuuskopiointi ja palautus, poistaminen sekä näiden toimenpiteiden arviointiprosessi. Siinä on erotettava käyttöönotetut ja suunnitellut hallintakeinot ja yksilöitävä sovellettava palvelun laajuus. Sopimuksen julkaiseminen ei itsessään sisällytä mitään auditointisertifikaattia tai turvallisuusvarmennusta.
5. Alikäsittelijät
OrsunPay voi nimetä alikäsittelijöitä vain Asiakkaan etukäteisellä erityisellä tai yleisellä kirjallisella luvalla. Lopullisessa hyväksytyssä liitteessä yksilöidään oikeushenkilö, tehtävä ja asiaankuuluvat käsittelypaikat. Meidän toimittajarekisterimme on täydentävää tietoa ja sisältää verkkosivuston toimittajia sekä arvioitavina olevia järjestelyjä. Pelkkä luetteloon sisällyttäminen ei ole Asiakkaan lupa.
Yleisen luvan yhteydessä OrsunPay ilmoittaa suunnitelluista lisäyksistä tai vaihdoista kirjallisesti etukäteen ja antaa Asiakkaalle todellisen mahdollisuuden vastustaa niitä tietosuojasyistä ennen uuden käsittelyn aloittamista. Allekirjoitetussa liitteessä on määritettävä ilmoitusaika, toimituskanava ja ratkaisumenettely. Jos vastustusta ei voida ratkaista, osapuolet sopivat lainmukaisesta vaihtoehdosta tai päättävät kyseisen palvelun sopimuksensa mukaisesti.
OrsunPay asettaa jokaiselle alikäsittelijälle sovellettavat tietosuojavelvoitteet sopimuksella ja vastaa edelleen alikäsittelijän velvoitteiden täyttämisestä lain edellyttämällä tavalla.
6. Avustaminen ja henkilötietojen tietoturvaloukkaukset
Käsittelyn ja käytettävissään olevat tiedot huomioon ottaen OrsunPay avustaa Asiakasta rekisteröityjen oikeuspyynnöissä, turvallisuusvelvoitteissa, vaikutustenarvioinneissa ja toimivaltaisten viranomaisten kuulemisissa. Jos se saa Asiakkaan tietoja koskevan pyynnön, se ilmoittaa Asiakkaalle eikä vastaa siihen sisällöllisesti muuten kuin ohjeesta tai lain vaatiessa.
OrsunPay ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon sopimuksen kattamiin tietoihin vaikuttavasta henkilötietojen tietoturvaloukkauksesta. Saatavilla olevissa tiedoissa kuvataan tapahtuma, vaikutuksen alaiset tiedot ja henkilöt, todennäköiset seuraukset, lieventämistoimet ja jatkotoimien yhteyshenkilö. Tietoja voidaan toimittaa vaiheittain tutkinnan edetessä. OrsunPay tekee yhteistyötä Asiakkaan reagoinnissa. Asiakas vastaa edelleen ilmoituksista, joista sillä on oikeudellinen vastuu.
7. Kansainväliset siirrot
Ennen kuin käsittelyyn sisältyy rajoitusten alainen siirto, osapuolten on yksilöitävä viejä, tuoja, kohdemaat ja asianmukainen siirtomekanismi. Tarvittaessa tähän kuuluu sovellettava tietosuojan riittävyyttä koskeva päätös tai täytetyt vakiosopimuslausekkeet oikeine moduuleineen, liitteineen ja täydentävine toimenpiteineen. Yhdistyneen kuningaskunnan tai Sveitsin vaatimukset on huomioitava niiden soveltuessa.
Linkki toimittajan käsittelysopimukseen ei itsessään täydennä Asiakkaan siirtoasiakirjoja. Allekirjoitetun liitteen on sisällettävä todelliset järjestelyt, mukaan lukien etäkäyttö ja edelleen siirtäminen.
8. Palauttaminen, poistaminen ja säilyttäminen
Käsittelyn päättyessä OrsunPay palauttaa tai poistaa Asiakkaan valinnan mukaan sopimuksen kattamat henkilötiedot ja poistaa jäljellä olevat kopiot, ellei sovellettava laki vaadi säilyttämistä. Osapuolten on sovittava vientimuodosta, pyyntömenettelystä, toteutusajasta ja varmuuskopioiden vanhenemisesta käsittelyliitteessä.
Kun laki edellyttää säilyttämistä, OrsunPay yksilöi vaatimuksen sallitussa laajuudessa, rajaa säilytetyt tiedot tähän tarkoitukseen ja poistaa ne velvoitteen päättyessä. Suunniteltua vanhenemista odottavien varmuuskopioiden on pysyttävä suojattuina ja poissa tavanomaisesta käytöstä. OrsunPay vahvistaa toteutuksen pyynnöstä.
9. Tiedot ja auditoinnit
OrsunPay antaa saataville tiedot, joita tarvitaan sen käsittelijävelvoitteiden noudattamisen osoittamiseen, sekä sallii auditoinnit ja osallistuu niihin, mukaan lukien Asiakkaan tai sen valtuuttaman auditoijan tarkastukset. Osapuolet sopivat kohtuullisesta ennakkoilmoituksesta, luottamuksellisuudesta ja muiden asiakkaiden tietoja suojaavista toimenpiteistä. Käytännön järjestelyt eivät saa estää lain tai toimivaltaisen viranomaisen vaatimaa auditointia.
10. Sopimuksen täydentäminen
Ennen allekirjoittamista osapuolten on täydennettävä palvelukohtaiset tietoryhmät, käsittelypaikat, hyväksytyt alikäsittelijät, siirtoasiakirjat, turvatoimet, säilytys- ja palautusjärjestelyt, ilmoitusten yhteyshenkilöt ja toimittajamuutosten menettely. Vastuu- ja lainvalintamääräykset seuraavat allekirjoitettua palvelusopimusta lain sallimassa laajuudessa. Mikään tässä ei poista yksilön lakisääteisiä oikeuksia. Sopimusta ja käsittelysopimusta koskevia tiedusteluja voi lähettää seuraavan kanavan kautta: Yhteystiedot.