Henkilötietojen käsittelysopimus (DPA)
Pohja 30.9.2026. Liitetään asiakassopimukseen EU:n tietosuoja-asetuksen 28 artiklan mukaisesti.
Tämä on sopimusneuvottelujen pohja, ei allekirjoitettu sopimus. Osapuolten tiedot, säilytysajat ja alikäsittelijöiden yksilöivät tiedot täydennetään sopimusta tehtäessä.
1. Osapuolet ja roolit
Rekisterinpitäjä on palvelua käyttävä asiakasorganisaatio. Käsittelijä on vaikuta.ai-palvelun tarjoaja, joka käsittelee henkilötietoja vain rekisterinpitäjän kirjallisten ohjeiden mukaan.
2. Käsittelyn kohde ja tarkoitus
- Tarkoitus: haasteiden valmistelu, yhteistyö työtilassa, kutsut ja valmiit ratkaisuehdotukset.
- Rekisteröidyt: asiakasorganisaation käyttäjät, asiantuntijat, kutsutut täydentäjät ja kommentoijat.
- Tiedot: nimi, sähköposti, organisaatio, rooli, käyttäjän tuottama sisältö ja tekniset lokit.
- Kesto: asiakassopimuksen voimassaolo.
3. Käsittelijän velvollisuudet
- Käsittelee tietoja vain rekisterinpitäjän ohjeiden mukaan.
- Varmistaa, että tietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon.
- Avustaa rekisterinpitäjää rekisteröityjen pyyntöihin vastaamisessa.
- Ilmoittaa henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä.
- Antaa tiedot, joita tarvitaan velvoitteiden noudattamisen osoittamiseen.
4. Tietoturvatoimet
- Roolipohjainen ja tapauskohtainen pääsynhallinta.
- Salattu tiedonsiirto ja suljettu tallennustila liitteille.
- Salasanaton kirjautuminen sähköpostiin lähetettävällä kertakäyttöisellä koodilla.
- Tilin poiston vahvistus sähköpostikoodilla (voimassa 15 minuuttia, enintään viisi yritystä).
- Kutsu- ja lukulinkkien peruminen työtilasta.
- Kriittiset toiminnot (tila, julkisuus, poisto) vain vastuullisella valmistelijalla.
5. Alikäsittelijät
Käsittelijä käyttää pilvipalvelualustaa (tietokanta, kirjautuminen, tallennus), sovelluspalvelinta, tekoälypalvelua ja sähköpostin välityspalvelua. Tekoälypyyntöjä ei tallenneta pysyvästi eikä käytetä mallien opettamiseen.
Siirrot EU:n ulkopuolelle: tietokanta ja pysyvä tallennus sijaitsevat EU-alueella. Sovelluspalvelimen ja tekoälytoimintojen teknisessä käsittelyssä hyödynnetään yhdysvaltalaisia alikäsittelijöitä, joiden osalta siirtoperusteena sovelletaan EU–US Data Privacy Framework -päätöstä ja EU-komission vakiosopimuslausekkeita (SCC). Tekoälytoimintoihin lähetettyä materiaalia ei tallenneta pysyvästi eikä käytetä tekoälymallien kouluttamiseen.
Alikäsittelijöiden viralliset nimet ja sijainnit yksilöidään sopimuksen liitteessä. Käsittelijä ilmoittaa alikäsittelijöiden muutoksista etukäteen, ja rekisterinpitäjä voi vastustaa muutosta.
6. Tietojen palauttaminen, poistaminen ja säilytysajat
Sopimuksen päättyessä käsittelijä palauttaa tai poistaa henkilötiedot rekisterinpitäjän valinnan mukaan 90 päivän kuluessa, ellei laki edellytä säilyttämistä.
Palvelussa on valmiit toiminnot rekisteröityjen pyyntöihin: käyttäjä voi ladata tietonsa ja poistaa tilinsä sähköpostikoodilla vahvistettuna, ja rekisterinpitäjän pääkäyttäjä voi poistaa oman organisaationsa käyttäjän. Poistossa käsittelemättömät haasteet poistetaan ja käsittelyyn edenneistä poistetaan nimet ja yhteystiedot.
Ehdotetut säilytysajat, jotka vahvistetaan sopimusta tehtäessä:
| Tieto | Säilytysaika |
|---|---|
| Käyttäjätili ja profiili | Tilin käytön ajan. Poistetaan käyttäjän tai pääkäyttäjän pyynnöstä heti. Käyttämättömät tilit poistetaan 24 kuukauden jälkeen ennakkoilmoituksen jälkeen. |
| Haasteet, työtilan sisältö, ehdotukset ja kommentit | Asiakassopimuksen ajan. Sopimuksen päättyessä palautetaan tai poistetaan 90 päivän kuluessa. Tilin poistossa käsittelemättömät haasteet poistetaan ja käsittelyyn edenneistä poistetaan nimet ja yhteystiedot. |
| Kutsu- ja lukulinkit | Voimassa 14–30 päivää, peruttavissa milloin tahansa. Vanhentuneet kutsutiedot poistetaan 12 kuukauden kuluessa. |
| Kirjautumis- ja vahvistuskoodit | Voimassa 15 minuuttia. Tilin poiston koodi mitätöityy viiden väärän yrityksen jälkeen. |
| Tilin poistosta jäävä kirjaus | Säilytetään ilman henkilötietoja palvelun toiminnan osoittamiseksi. |
| Tietoturva- ja tapahtumalokit | 12 kuukautta. |
| Sähköpostien lähetyslokit | Enintään 12 kuukautta. |
| Tekoälypyynnöt | Tekoälypalvelu ei tallenna tekstejä pysyvästi. Vain käyttäjän itse tallentamat luonnokset säilyvät työtilassa. |
| Varmuuskopiot | Poistetut tiedot poistuvat varmuuskopioista noin 30–35 päivän kuluessa (tarkka aika varmistetaan palveluntarjoajalta). |
7. Auditointi
Rekisterinpitäjällä on oikeus tarkastaa käsittelyn asianmukaisuus kohtuullisella ennakkoilmoituksella tai pyytää siihen tarvittavat selvitykset.
Katso myös tietosuojaseloste, käyttöehdot ja palveluehdot. Sopimuspohjaa voi pyytää: tietosuoja@vaikuta.ai.