TIETOJENKÄSITTELYSOPIMUKSEN EHDOT ("DPA"), jotka koskevat henkilötietojen käsittelyä. Nämä ehdot muodostavat osan sopimuksesta, jonka ovat tehneet Asiakas ("Asiakas" tai "Rekisterinpitäjä") ja Fixably Oy, Y-tunnus 2694664-6 ("Fixably" tai "Käsittelijä"). Sopimuksen mukaan Fixably, joka toimii verkkosivustolla www.flip1.com ("Sivusto"), tarjoaa Asiakkaalle palvelua (Trade-in-as-a-payment) nimeltä "Flip1" ("Palvelu" tai "Ohjelmisto") sekä siihen liittyvää teknistä tukea. Tämä Tietojenkäsittelysopimus täydentää Asiakkaan ja Fixablyn välillä solmittua pääsopimusta ("Sopimus"), jota voidaan ajoittain päivittää.
1. Tausta ja tarkoitus
1.1 Tämän tietojenkäsittelysopimuksen tarkoituksena on määritellä henkilötietojen käsittelyn ehdot sovellettavan tietosuojalainsäädännön, mukaan lukien EU:n yleisen tietosuoja-asetuksen (GDPR), mukaisesti.
1.2 Fixably toimii Asiakkaan henkilötietojen käsittelijänä sovellettavan tietosuojalainsäädännön mukaisesti.
1.3 Asiakas toimii rekisterinpitäjänä ja vastaa siitä, että henkilötietojen käsittely on lainmukaista.
1.4 Tämä sopimus määrittelee ne ehdot, joiden mukaisesti Fixably käsittelee henkilötietoja, jotka se on saanut tai jotka Asiakas on siirtänyt sille Sopimuksen täytäntöönpanoa varten.
1.5 Rekisterinpitäjä valtuuttaa Käsittelijän käsittelemään henkilötietoja ainoastaan rekisterinpitäjän puolesta ja yksinomaan Ohjelmiston ja siihen liittyvien palvelujen tarjoamista varten Sopimuksen mukaisesti, sekä rekisterinpitäjän antamien kirjallisten ohjeiden mukaisesti.
1.6 Osapuolet toimivat tietosuojalainsäädännön mukaisissa rooleissaan: Asiakas rekisterinpitäjänä ja Fixably henkilötietojen käsittelijänä.
2. Termit
Ellei tässä asiakirjassa toisin mainita, seuraavilla termeillä ja niiden kieliopillisilla muodoilla on seuraavat merkitykset:
2.1 Kaikilla muilla termeillä, joita ei ole erikseen määritelty tässä asiakirjassa, on niille yleisessä tietosuoja-asetuksessa annettu merkitys.
3. Henkilötietojen käsittely
3.1 Henkilötietojen käsittelyn kohde, tarkoitus ja keinot on esitetty liitteessä 1 tai rekisterinpitäjän toimittamissa kirjallisissa ohjeissa, jotka on vastaanotettu sähköpostitse osoitteesta privacy@fixably.com ennen henkilötietojen käsittelyn aloittamista.
4. Osapuolten oikeudet ja velvollisuudet
4.1 Rekisterinpitäjän velvollisuudet
Rekisterinpitäjän tulee:
a) käsitellä henkilötietoja yleisen tietosuoja-asetuksen (GDPR) ja hyvän tietosuojakäytännön mukaisesti;
b) olla valmisantamaan tarkempia ja dokumentoituja ohjeita henkilötietojen käsittelystä käsittelijälle;
c) valvoa henkilötietojen käyttöä ja käsittelyä;
d) säilyttää kaikki henkilötietoihin liittyvät omistus- ja hallintaoikeudet;
e) vastata henkilötietojen käsittelyn lainmukaisuudesta; ja
f) varmistaa, että sillä on oikeus siirtää henkilötietoja käsittelijän käsiteltäväksi.
4.2 Tietojen käsittelijän velvollisuudet
Tietojen käsittelijän tulee:
a) käsitellä henkilötietoja yleisen tietosuoja-asetuksen ja hyvän käsittelytavan mukaisesti, käyttäen asianmukaisia varotoimia ja noudattaen korkeimpia ammatillisia standardeja;
b) käsitellä henkilötietoja ainoastaan tämän sopimuksen ehtojen sekä rekisterinpitäjän kirjallisten ja dokumentoitujen ohjeiden mukaisesti;
c) ylläpitää ajan tasalla olevaa rekisteriä kaikista henkilötietojen käsittelytoimista;
d) ryhtyä kohtuullisiin toimenpiteisiin varmistaakseen, että kaikki käsittelijän työntekijät, alihankkijat ja muut henkilöt, joilla on pääsy henkilötietoihin, ovat:
e) toteuttaa käsittelyn luonne ja viimeisin teknologia huomioon ottaen asianmukaiset tekniset, fyysiset ja organisatoriset turvatoimet henkilötietojen suojaamiseksi luvattomalta tai laittomalta käsittelyltä, sekä vahingossa tapahtuvalta katoamiselta, tuhoutumiselta, paljastumiselta, vahingoittumiselta tai muuttumiselta. Käsittelijän tulee toteuttaa vähintään liitteessä 2 kuvatut turvatoimet;
f) käsittelyn luonne huomioon ottaen, avustaa rekisterinpitäjää toteuttamalla asianmukaisia teknisiä ja organisatorisia toimenpiteitä, jotta rekisterinpitäjä voi täyttää velvollisuutensa vastata rekisteröityjen oikeuksia koskeviin pyyntöihin;
g) avustaa rekisterinpitäjää varmistamaan tietoturvaa ja tietosuoja-asetuksen vaatimuksia, mukaan lukien ilmoitusvelvollisuus ja vaikutustenarviointien tekeminen, ottaen huomioon käsittelytoimien luonne ja käsittelijän käytettävissä oleva tieto; sekä
h) antaa rekisterinpitäjälle kaikki tarvittavat tiedot, jotta tämä voi osoittaa noudattavansa tietosuoja-asetuksen mukaisia velvoitteitaan.
5. Alikäsittelijät
5.1 Rekisterinpitäjä antaa käsittelijälle ennakkovaltuutuksen käyttää toisia tietojen käsittelijöitä (alikäsittelijöitä) henkilötietojen käsittelyyn tämän sopimuksen ehtojen mukaisesti. Käsittelijän tulee säännöllisesti varmistaa, että alikäsittelijät noudattavat tässä tietosuojalausekkeessa asetettuja luottamuksellisuutta, tietoturvaa ja muita sovellettavia velvoitteita.
5.2 Käsittelijän on tehtävä jokaisen alikäsittelijän kanssa kirjallinen sopimus, jossa määritellään henkilötietojen käsittelyyn liittyvät oikeudet ja velvollisuudet. Käsittelijän on annettava rekisterinpitäjälle tämän pyynnöstä dokumentoidut tiedot siitä, miten alikäsittelijät täyttävät tietoturva- ja luottamuksellisuusvaatimukset.
5.3 Käsittelijä vastaa alikäsittelijöiden toiminnasta kuin omastaan. Alikäsittelijän tekemät laiminlyönnit, tahalliset väärinkäytökset tai törkeät laiminlyönnit katsotaan käsittelijän omiksi vastaaviksi laiminlyönneiksi tai väärinkäytöksiksi.
6. Rekisteröidyn oikeudet
6.1 Ottaen huomioon henkilötietojen käsittelyn luonteen, käsittelijän tulee, mikäli se on mahdollista, avustaa rekisterinpitäjää toteuttamalla asianmukaisia teknisiä ja organisatorisia toimenpiteitä, jotta rekisterinpitäjä voi vastata rekisteröityjen tietosuoja-asetuksen mukaisiin oikeuksiin liittyviin pyyntöihin.
6.2 Käsittelijän tulee:
a) ilmoittaa rekisterinpitäjälle viipymättä, mikäli se saa rekisteröidyltä pyynnön, joka koskee rekisteröidyn oikeuksia tietosuoja-asetuksen mukaisesti; ja
b) pidättyä vastaamasta tällaiseen pyyntöön ilman rekisterinpitäjän dokumentoitua ohjetta, ellei sovellettava laki toisin vaadi. Tällaisessa tapauksessa käsittelijän on, lain sallimissa rajoissa, ilmoitettava rekisterinpitäjälle kyseisestä vaatimuksesta ennen kuin vastaa pyyntöön.
7. Henkilötietojen siirto
7.1 Käsittelijä ei saa siirtää henkilötietoja Euroopan unionin tai Euroopan talousalueen ulkopuolelle ilman rekisterinpitäjän etukäteen antamaa kirjallista lupaa sekä tietosuoja-asetuksen (GDPR) mukaisten vaatimusten täyttymistä.
7.2 Mikäli alikäsittelijän käyttö edellyttää henkilötietojen siirtämistä Euroopan unionin tai Euroopan talousalueen ulkopuolelle ja rekisterinpitäjä on nimenomaisesti hyväksynyt tällaisen siirron, käsittelijä saa siirtää henkilötietoja kyseiselle alikäsittelijälle rekisterinpitäjän puolesta. Siirto tulee toteuttaa Euroopan komission hyväksymien, muuttamattomina sovellettavien vakiosopimuslausekkeiden (Standard Contractual Clauses, SCC) mukaisesti ja muutoin tietosuoja-asetuksen edellyttämällä tavalla. Käsittelijän on toimitettava kopio sovellettavista vakiosopimuslausekkeista rekisterinpitäjälle viipymättä siirron toteuttamisen jälkeen.
Kaikki tällaiset vakiosopimuslausekkeet lakkaavat olemasta voimassa automaattisesti tämän tietosuojasopimuksen päättyessä.
8. Rekisterit
8.1 Käsittelijän on pidettävä rekisteriä kaikista rekisterinpitäjän puolesta suoritetuista henkilötietojen käsittelytoimista. Rekisterin tulee sisältää vähintään seuraavat tiedot:
a) käsittelijän ja tämän edustajien nimi ja yhteystiedot;
b) käsittelytoimien tyypit ja luonne, joita käsittelijä suorittaa rekisterinpitäjän puolesta;
c) tarvittaessa tiedot henkilötietojen siirroista Euroopan unionin ja/tai Euroopan talousalueen ulkopuolelle sekä asiakirjat, jotka osoittavat käytetyt asianmukaiset suojatoimet;
d) yleinen kuvaus toteutetuista teknisistä ja organisatorisista turvatoimenpiteistä; sekä
e) luettelo henkilötietojen käsittelyyn käytetyistä alikäsittelijöistä (jos sellaisia on).
8.2 Käsittelijän on toimitettava rekisteri rekisterinpitäjän pyynnöstä ilman aiheetonta viivytystä.
9. Auditointi
Käsittelijän on tietosuojasopimuksen voimassaoloaikana sallittava ja mahdollistettava rekisterinpitäjän tai tämän nimeämän riippumattoman tarkastajan suorittamat tarkastukset, mukaan lukien paikan päällä tehtävät auditoinnit, edellyttäen, että tarkastajaa sitoo asianmukainen salassapitovelvollisuus.
Rekisterinpitäjän on ilmoitettava suunnitellusta tarkastuksesta vähintään kolmekymmentä (30) päivää etukäteen. Tarkastukset on suoritettava arkipäivisin, normaalien työaikojen puitteissa, ja ne tulee toteuttaa siten, että niistä aiheutuu mahdollisimman vähän haittaa käsittelijän liiketoiminnalle.
Rekisterinpitäjä vastaa tarkastuksesta aiheutuvista kustannuksista, ellei tarkastus osoita, että käsittelijä on laiminlyönyt tämän tietosuojasopimuksen mukaiset velvoitteensa. Tällöin käsittelijä vastaa tarkastuksen kustannuksista.
10. Ilmoitus henkilötietoloukkauksesta
10.1 Käsittelijän on dokumentoitava kaikki tietoonsa tulleet henkilötietojen tietoturvaloukkaukset ja ilmoitettava niistä rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan tiedon loukkauksesta.
10.2 Henkilötietojen tietoturvaloukkausilmoituksen tulee sisältää kaikki tiedot, joita rekisterinpitäjä tarvitsee täyttääkseen tietosuoja-asetuksen mukaiset ilmoitusvelvollisuutensa, ja vähintään seuraavat tiedot siltä osin kuin käsittelijällä on nämä tiedot saatavilla:
i) kuvaus henkilötietoloukkauksen luonteesta, mukaan lukien rekisteröityjen ryhmät ja arvioitu lukumäärä sekä kyseessä olevien tietueiden tyypit ja arvioitu lukumäärä;
ii) kuvaus loukkauksen todennäköisistä tai toteutuneista seurauksista; ja
iii) käsittelijän tietosuoja-asioista vastaavan henkilön nimi ja yhteystiedot.
10.3 Saatuaan ilmoituksen tietoturvaloukkauksesta, rekisterinpitäjän on ilman aiheetonta viivytystä annettava käsittelijälle kirjalliset ohjeet tarvittavista toimenpiteistä loukkauksen seurausten minimoimiseksi. Käsittelijän tulee myös itsenäisesti ryhtyä kaikkiin kohtuullisesti vaadittaviin teknisiin ja organisatorisiin toimenpiteisiin henkilötietojen suojaamiseksi ja vahinkojen rajoittamiseksi.
11. Henkilötietojen palauttaminen tai tuhoaminen
11.1 Tämän tietosuojasopimuksen päättyessä tai rekisterinpitäjän sitä ennen antamasta kirjallisesta pyynnöstä käsittelijän on rekisterinpitäjän valinnan mukaisesti joko:
a) palautettava kaikki rekisterinpitäjältä saadut henkilötiedot, mukaan lukien kaikki niiden kopiot; tai
b) tuhottava kaikki edellä mainitut henkilötiedot ja niiden kopiot luotettavalla ja tietoturvallisella tavalla.
Toimenpiteet on toteutettava ilman aiheetonta viivytystä, kuitenkin viimeistään kymmenen (10) arkipäivän kuluessa sopimuksen päättymisestä tai pyynnön vastaanottamisesta. Käsittelijällä on oikeus säilyttää ainoastaan ne henkilötiedot, jotka sen on pidettävä voimassa olevan lainsäädännön tai viranomaismääräysten perusteella.
12 Korvaus ja vastuunrajoitukset
12.1 Osapuoli, joka rikkoo olennaisesti tätä tietosuojasopimusta tai tietosuoja-asetuksen mukaisia velvoitteita, vastaa täysimääräisesti toiselle osapuolelle aiheutuneista suorista vahingoista.
12.2 Ellei sovellettava laki tai viranomaismääräys muuta edellytä, kumpikaan osapuoli ei ole vastuussa:
a) epäsuorista tai välillisistä vahingoista, mukaan lukien menetetty liikevoitto, maineen vahingoittuminen tai liiketoiminnan keskeytyminen;
b) vahingoista, jotka johtuvat ylivoimaisesta esteestä (force majeure), johon osapuoli ei ole voinut kohtuudella vaikuttaa, eikä ole voinut kohtuudella ennakoida tai estää sen seurauksia sopimusta solmiessaan.
12.3 Osapuolet sopivat, että kumpikin osapuoli vastaa valvontaviranomaisen määräämistä hallinnollisista seuraamuksista (esim. sakot) ja vahingonkorvauksista siltä osin kuin ne johtuvat kyseisen osapuolen tietosuoja-asetuksen mukaisten velvoitteiden rikkomisesta. Kumpikin osapuoli vastaa vain omasta osuudestaan kokonaisvastuusta.
12.4 Mikäli osapuoli maksaa rekisteröidylle korvausta tietosuoja-asetuksen rikkomisesta aiheutuneista vahingoista, sillä on oikeus vaatia toiselta osapuolelta takaisin sille kuuluva osuus vahingosta, mikäli toinen osapuoli on ollut osaltaan vastuussa kyseisestä rikkomuksesta. Tämä oikeus on voimassa riippumatta tämän sopimuksen muista vastuunrajoituksista.
13. Luottamuksellisuus
13.1 Osapuolet sitoutuvat pitämään toiselta osapuolelta tämän tietosuojasopimuksen nojalla saamansa luottamukselliset tiedot salassa. Luottamuksellisia tietoja saa käyttää ainoastaan tämän tietosuojasopimuksen mukaisten velvoitteiden täyttämiseen, ja niitä on suojattava asianmukaisin teknisin ja organisatorisin toimin siten, että tiedot eivät päädy kolmansien osapuolten tietoon ilman lupaa.
13.2 Luottamuksellisina tietoina ei pidetä tietoja, jotka:
i) osapuoli on saanut toisen osapuolen kirjallisella suostumuksella oikeudella käyttää tai luovuttaa;
ii) ovat yleisesti saatavilla tai tulevat myöhemmin yleisesti saataville muusta syystä kuin vastaanottavan osapuolen rikkomuksesta;
iii) ovat olleet vastaanottavan osapuolen tiedossa ennen tietojen luovutusta ja tämä voi osoittaa tiedon hankitun riippumattomasti ilman salassapitovelvoitteen rikkomista.
14. Tietosuojasopimuksen voimassaolo ja päättyminen
14.1 Tämä tietosuojasopimus astuu voimaan päivänä, jona molemmat osapuolet sen allekirjoittavat.
14.2 Sopimus on voimassa niin kauan kuin käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta, ja se päättyy vasta, kun kaikki henkilötietojen käsittely on pysyvästi lopetettu ja kohdan 11 mukaiset palautus- tai tuhoamisvelvoitteet on täytetty.
14.3 Tietosuojasopimuksen päättyminen ei vapauta käsittelijää niistä velvoitteista, jotka tämän sopimuksen tai sovellettavan tietosuojalainsäädännön mukaan jatkuvat sopimuksen päättymisen jälkeen, mukaan lukien, mutta ei rajoittuen, luottamuksellisuusvelvoitteet ja henkilötietojen suojan varmistaminen.
15. Sovellettava laki ja toimivalta
15.1 Kaikki tästä tietosuojasopimuksesta johtuvat tai siihen liittyvät riidat, erimielisyydet tai vaatimukset, joita ei voida ratkaista sovinnollisesti, ratkaistaan lopullisesti välimiesmenettelyssä Keskuskauppakamarin välimiesmenettelysääntöjen mukaisesti.
Välimiesoikeuden kokoonpano on yksi (1) välimies, ja välimiesmenettelyn paikka on Helsinki, Suomi. Menettely käydään englannin kielellä.
16 Muuta
16.1 Kaikki tähän tietosuojasopimukseen tehtävät muutokset on tehtävä kirjallisesti. Muutokset tulevat voimaan vasta, kun molempien osapuolten asianmukaisesti valtuutetut edustajat ovat ne allekirjoittaneet.
Liitteet
Liite 1 Henkilötietojen käsittelyn aihe, tarkoitus ja keinot
Liite 2 Turvatoimenpiteet
Liite 1
HENKOLÖTIETOJEN KÄSITTELYN AIHE, TARKOITUS JA KEINOT
Aihe:
Flip1 maksupalvelun tarjoaminen asiakkaalle.
Käsittelyn kesto:
Tämän tietosuojasopimuksen voimassaoloaika, siihen saakka kun Fixably poistaa kaikki asiakkaan henkilötiedot tämän sopimuksen ehtojen ja sovellettavan tietosuojalainsäädännön mukaisesti.
Käsittelyn luonne ja tarkoitus:
Fixably käsittelee asiakkaan henkilötietoja tarjotakseen verkkokaupan maksupalveluratkaisun ja siihen liittyviä tukipalveluita sopimuksen mukaisesti.
Henkilötietojen luokat:
Asiakkaan Flip1 palvelun kautta toimittamat henkilötiedot.
Rekisteröity:
Luonnollinen henkilö, jonka henkilötietoja käsitellään tämän tietosuojasopimuksen mukaisesti.
Liite 2
TURVATOIMENPITEET
korkean turvallisuustason henkilötietojen käsittelyssä. Toimenpiteet suojaavat tietoja luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta katoamiselta, tuhoutumiselta, muuttumiselta, vahingoittumiselta tai paljastumiselta.
Käsittelijän toimenpiteet perustuvat muun muassa ISO/IEC 27001 -standardin mukaisiin käytäntöihin sekä EU:n yleisen tietosuoja-asetuksen (GDPR) artikloihin 25 (sisäänrakennettu ja oletusarvoinen tietosuoja) ja 32 (käsittelyn turvallisuus).
Käsittelijän on varmistettava vähintään, että seuraavat toimenpiteet on toteutettu:
2. Tekniset toimenpiteet
3. Fyysiset toimenpiteet
Yllä oleva luettelo on esimerkinomainen, ei tyhjentävä. Käsittelijän on jatkuvasti arvioitava ja toteutettava tarkoituksenmukaisia teknisiä ja organisatorisia toimenpiteitä korkeatasoisen tietoturvan varmistamiseksi. Toimenpiteet on suhteutettava henkilötietojen käsittelyn luonteeseen, laajuuteen, kontekstiin ja tarkoituksiin sekä arvioituihin riskeihin rekisteröityjen oikeuksille ja vapauksille ottaen huomioon riskien todennäköisyys ja mahdollinen vakavuus.
Fixably Oy (Ltd.) © 2025
Unlock your customers' purchasing power with plug-and-play trade-in payments.
We're still by invitation only for consumers. Get on the waitlist to secure your spot soon.