Henkilötietojen käsittelysopimus (DPA) – AIDUU® HR-auditointi
Voimassa 1.10.2026 alkaen. Tämä henkilötietojen käsittelysopimus (DPA) on AIDUU® HR-auditoinnin toimitusehtojen erottamaton osa ja täyttää EU:n yleisen tietosuoja-asetuksen (GDPR 2016/679) 28 artiklan vaatimukset. Sopimus tulee voimaan, kun Asiakas hyväksyy sen tilauksen yhteydessä verkkokaupassa tai tilausvahvistuksen hyväksymällä.
1 Osapuolten roolit
Rekisterinpitäjä: tilauksen tehnyt organisaatio (jäljempänä ”Asiakas”), joka yksilöidään tilauslomakkeella annetuilla tiedoilla (organisaation nimi ja Y-tunnus). Asiakas määrittää käsittelyn tarkoitukset ja vastaa siitä, että sillä on oikeus luovuttaa aineisto käsiteltäväksi ja että se on informoinut työntekijöitään henkilötietojen käsittelystä lainsäädännön edellyttämällä tavalla.
Käsittelijä: Muutoslinnut Oy (Y-tunnus 3397404-7). Käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti. Tilaus, toimitusehdot ja tämä sopimus muodostavat dokumentoidut ohjeet.
2 Käsittelyn kuvaus
Kohde ja tarkoitus: AIDUU® HR-auditoinnin toteuttaminen eli henkilötietoja sisältävän HR-aineiston analysointi auditointiraportin tuottamiseksi.
Kesto: tilauksesta siihen, kun aineisto on poistettu kohdan 7 mukaisesti.
Rekisteröidyt: Asiakkaan työntekijät, esihenkilöt ja johto; tarvittaessa työnhakijat.
Henkilötietoryhmät: esimerkiksi nimi, yhteystiedot, työsuhdetiedot sekä haastattelu- ja kyselyvastaukset. Käsittelijä ei pyydä henkilötason listauksia (palkkalistat, poissaolot henkilöittäin), ellei siitä sovita erikseen.
Erityiset henkilötietoryhmät: ei lähtökohtaisesti käsitellä.
3 Käsittelijän velvollisuudet
Käsittelijä a) käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti; b) varmistaa, että tietoja käsittelevät henkilöt ovat salassapitovelvollisia; c) toteuttaa GDPR 32 artiklan mukaiset asianmukaiset tekniset ja organisatoriset turvatoimet (kohta 5); d) avustaa Asiakasta rekisteröityjen pyyntöihin (GDPR 12–23 artikla) vastaamisessa; e) avustaa tietoturvaloukkausten, vaikutustenarviointien ja ennakkokuulemisen osalta; f) ilmoittaa tietoturvaloukkauksesta Asiakkaalle ilman aiheetonta viivytystä; g) asettaa Asiakkaan saataville tiedot velvoitteiden noudattamisen osoittamiseksi ja sallii kohtuulliset auditoinnit.
4 Alikäsittelijät
Asiakas antaa Käsittelijälle yleisen luvan käyttää alikäsittelijöitä. Käsittelijä varmistaa, että jokainen alikäsittelijä sitoutuu tätä sopimusta vastaaviin tietosuojavelvoitteisiin, ja vastaa alikäsittelijän työstä kuin omastaan.
Käytössä olevat alikäsittelijät: Tresorit AG (Sveitsi, palvelimet EU:ssa): aineiston vastaanotto ja raportin toimitus päästä päähän salatulla tiedonsiirtopalvelulla. Tresorit ei pysty lukemaan tiedostojen sisältöä.
Verkkokaupan tilaus- ja maksutietojen käsittelijät (Squarespace, Squarespace Payments) eivät käsittele HR-aineistoa; niistä kerrotaan Käsittelijän tietosuojaselosteessa.
Käsittelijä ilmoittaa Asiakkaalle etukäteen alikäsittelijöitä koskevista muutoksista. Asiakkaalla on oikeus perustellusti vastustaa muutosta.
5 Tietoturva
• Aineisto vastaanotetaan ja raportti toimitetaan päästä päähän salatulla tiedonsiirtopalvelulla. Aineistoa ei vastaanoteta sähköpostilla, verkkokaupan kautta eikä yhteydenottolomakkeella.
• Henkilötiedot analysoidaan paikallisesti Käsittelijän hallinnassa olevalla laitteella. Aineistoa ei viedä ulkopuolisille tekoälypalveluille eikä käytetä tekoälymallien kouluttamiseen.
• Laitteen levy on salattu ja pääsy on suojattu vahvalla tunnistautumisella.
• Pääsy aineistoon on rajattu niihin henkilöihin, joiden on välttämätöntä käsitellä sitä toimeksiannon toteuttamiseksi.
• Aineisto pseudonymisoidaan aina kun se on mahdollista.
6 Tietojen siirrot
Henkilötietoja ei siirretä EU/ETA-alueen ulkopuolelle ilman Asiakkaan lupaa ja GDPR:n V luvun mukaisia suojatoimia.
7 Tietojen palautus ja poisto
Käsittelijä poistaa Asiakkaan toimittaman aineiston, työversiot ja niiden kopiot 30 päivän kuluttua raportin toimituksesta, ellei Asiakas pyydä poistoa aiemmin. Poisto koskee myös alikäsittelijän hallussa olevia kopioita. Auditointiraportti liitteineen säilytetään 12 kuukautta toimituksesta mahdollisia huomautuksia ja jatkotyötä varten, minkä jälkeen se poistetaan. Asiakas voi pyytää raportin poistamista aiemmin. Käsittelijä vahvistaa poiston Asiakkaalle kirjallisesti. Lainsäädännön edellyttämä säilytys (esimerkiksi kirjanpito) koskee vain tilaus- ja laskutustietoja.
8 Voimassaolo
Tämä sopimus on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Asiakkaan puolesta. Salassapito- ja tietoturvavelvoitteet jatkuvat käsittelyn päätyttyä.
9 Hyväksyminen
Sopimus hyväksytään sähköisesti tilauksen yhteydessä. Tilausnumero, tilauspäivä ja tilauslomakkeella annetut organisaation tiedot toimivat hyväksynnän tunnisteena. Allekirjoitettu kappale toimitetaan pyynnöstä, julkisyhteisöille aina.
Muutoslinnut Oy · Y-tunnus 3397404-7 · heta.woods@muutoslinnut.com · (+358) 040 7788 879