ChaosBuddyChaosBuddy

Luonnos: tietosuojasähköposti puuttuu (NEXT_PUBLIC_PRIVACY_EMAIL). Tarkistuta tekstit lakimiehellä ennen julkaisua.

Henkilötietojen käsittelysopimus

Versio 2026-10-26 · tietosuoja-asetuksen 28 art. · osa käyttöehtoja. Organisaation omistaja hyväksyy sopimuksen organisaation puolesta.

1. Osapuolet ja roolit

Asiakasorganisaatio on rekisterinpitäjä ja ChaosBuddy Oy (3648800-1) käsittelijä niiden henkilötietojen osalta, jotka asiakas tallentaa palveluun (esim. asiakkaiden yhteyshenkilöt, esiintyjät, osallistujat, työntekijöiden kulukorvaukset).

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

  • Tarkoitus: toiminnanohjaus- ja keikkamyyntipalvelun tarjoaminen asiakkaalle.
  • Luonne: tallentaminen, järjestäminen, haku, näyttäminen, vienti, ilmoitusten lähettäminen ja poistaminen palvelun toimintojen kautta.
  • Rekisteröidyt: asiakkaan työntekijät, asiakkaat, yhteyshenkilöt, esiintyjät ja heidän edustajansa, keikkapaikkojen yhteyshenkilöt sekä osallistujat (voi sisältää alaikäisiä).
  • Tiedot: nimi, yhteystiedot, rooli, osallistumiset, keikka-, laskutus-, maksu- ja kulutiedot sekä asiakkaan lataamat dokumentit. Erityiset henkilötietoryhmät: ruokavaliotoiveet vain rekisteröidyn nimenomaisella suostumuksella, jonka keräämisestä asiakas vastaa.
  • Kesto: asiakassopimuksen voimassaolo sekä kohdan 8 mukainen tietojen palautus- ja poistoaika.

3. Asiakkaan ohjeet

  • Käsittelemme tietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeita ovat tämä sopimus, käyttöehdot sekä palvelun toiminnot ja asetukset, joita asiakas käyttää. Sama koskee tietojen siirtoja EU:n ja ETA:n ulkopuolelle (kohta 6).
  • Jos lainsäädäntö velvoittaa meidät käsittelemään tietoja muuten, kerromme siitä asiakkaalle etukäteen, ellei laki kiellä sitä.
  • Ilmoitamme asiakkaalle viipymättä, jos ohje on mielestämme tietosuojalainsäädännön vastainen.

4. Käsittelijän velvollisuudet

  • Henkilöstömme ja alihankkijamme ovat sitoutuneet salassapitoon.
  • Toteutamme 32 artiklan mukaiset tietoturvatoimet (liite).
  • Avustamme rekisteröityjen oikeuksien toteuttamisessa: palvelussa voi viedä, oikaista ja poistaa tietoja. Jos rekisteröity ottaa yhteyttä meihin, ohjaamme hänet asiakkaalle.
  • Ilmoitamme tietoturvaloukkauksesta asiakkaalle ilman aiheetonta viivytystä, viimeistään 48 tunnin kuluessa havaitsemisesta. Ilmoitus sisältää 33 artiklan 3 kohdan tiedot siltä osin kuin ne ovat tiedossa.
  • Avustamme asiakasta 32–36 artiklan velvoitteissa: tietoturva, loukkausten ilmoittaminen, vaikutustenarviointi ja ennakkokuuleminen.
  • Pidämme 30 artiklan 2 kohdan mukaista selostetta käsittelytoimista.

5. Alihankkijat

Asiakas antaa yleisen ennakkoluvan alla lueteltujen alihankkijoiden käyttöön. Ilmoitamme uusista tai vaihtuvista alihankkijoista vähintään 30 päivää etukäteen. Asiakas voi vastustaa muutosta perustellusta syystä; jos emme löydä ratkaisua, asiakas voi irtisanoa sopimuksen päättymään ennen muutosta. Sidomme alihankkijat kirjallisesti vähintään samoihin tietosuojavelvoitteisiin kuin tässä sopimuksessa, ja vastaamme asiakkaalle niiden toiminnasta kuin omastamme.

  • Supabase Inc. – Tietokanta, tunnistautuminen, tiedostot, reaaliaikaisuus (EU (valittu alue), USA-yhtiö – EU:n vakiosopimuslausekkeet)
  • Vercel Inc. – Sovelluksen hosting (EU (Frankfurt), USA-yhtiö – EU–USA-tietosuojakehys ja vakiosopimuslausekkeet)
  • Resend Inc. – Ilmoitussähköpostit (USA – EU:n vakiosopimuslausekkeet)

6. Siirrot EU:n ja ETA:n ulkopuolelle

Tietokanta, tiedostot ja sovelluksen palvelinkoodi sijaitsevat EU:ssa. Siirrämme tai annamme pääsyn tietoihin EU:n ja ETA:n ulkopuolelle vain, jos siirrolle on tietosuoja-asetuksen V luvun mukainen peruste (esim. komission tietosuojan riittävyyttä koskeva päätös tai vakiosopimuslausekkeet) ja tarvittavat lisäsuojatoimet.

7. Tarkastukset

Annamme pyynnöstä tiedot, joilla asiakas voi osoittaa velvoitteiden noudattamisen (esim. tietoturvakuvaus ja alihankkijoiden sertifikaatit). Jos tiedot eivät riitä, asiakas voi teettää tarkastuksen enintään kerran 12 kuukaudessa ja ilmoittaa siitä 30 päivää etukäteen. Tarkastajan on oltava riippumaton ja sitouduttava salassapitoon. Asiakas vastaa tarkastuksen kustannuksista, ellei tarkastus paljasta olennaista rikkomusta. Viranomaisen tarkastuksiin osallistumme aina.

8. Sopimuksen päättyminen ja palveluntarjoajan vaihto

  • Asiakas voi milloin tahansa ladata kaikki organisaation tiedot ja tiedostot koneluettavassa muodossa (Asetukset → Lataa organisaation kaikki tiedot ja tiedostot: JSON ja alkuperäiset tiedostot ZIP-paketissa).
  • Sopimuksen päätyttyä tiedot ovat ladattavissa vähintään 30 päivän ajan. Sen jälkeen poistamme tiedot ja tiedostot 90 päivän kuluessa, ellei laki vaadi säilyttämistä. Varmuuskopioista tiedot poistuvat niiden säilytysajan kuluessa. Vahvistamme poiston pyynnöstä kirjallisesti.
  • Palveluntarjoajan vaihdossa noudatamme EU:n datasäädöksen ehtoja (kohta 9 käyttöehdoissa).

9. Asiakkaan vastuut

Asiakas vastaa käsittelyn oikeusperusteesta, rekisteröityjen informoinnista, suostumusten keräämisestä (esim. ruokavaliotiedot, alaikäisten huoltajat), palveluun tallennettavien tietojen lainmukaisuudesta sekä säilytysaikojen asettamisesta palvelun asetuksissa.

10. Vastuu ja etusijajärjestys

Vastuunrajoitukset määräytyvät käyttöehtojen mukaan, eivät kuitenkaan rajoita rekisteröityjen oikeuksia tietosuoja-asetuksen 82 artiklan nojalla. Jos tämä sopimus ja käyttöehdot ovat ristiriidassa henkilötietojen käsittelyn osalta, tätä sopimusta sovelletaan ensisijaisesti.

Liite: tekniset ja organisatoriset toimenpiteet

  • Salaus: kaikki liikenne HTTPS/TLS-salattuna; tietokanta ja tiedostot salattuina levyllä palveluntarjoajan toimesta.
  • Pääsynhallinta: rivitason käyttöoikeudet jokaisessa taulussa, organisaatiot erotettu toisistaan, roolit (omistaja, ylläpitäjä, jäsen), kirjanpitoaineiston muutos- ja poistosuojaus.
  • Tunnistautuminen: sähköpostiosoitteen vahvistus, kertakäyttöiset ja vanhenevat kutsulinkit (tallennettu vain tiiviisteinä), kutsujen käyttörajat.
  • Tiedostot: yksityinen tallennus, lyhytaikaiset allekirjoitetut linkit, koko- ja tiedostotyyppirajat.
  • Lokitus: muutosloki (kuka muutti mitä ja milloin, ei sisältöjä).
  • Tietojen minimointi: automaattiset säilytysajat (osallistujat, ruokavaliot, lomakkeet, ilmoitukset, lokit) ja orpojen tiedostojen yöllinen poisto.
  • Saatavuus: pilvipalvelun varmuuskopiot; käyttöä edeltävästi otetaan käyttöön ajankohtaan palautus (PITR).
  • Kehitys: automaattiset tietoturvatestit (käyttöoikeudet, organisaatioiden erottelu), riippuvuuksien haavoittuvuustarkistus.
  • Organisaatio: salassapitositoumukset, pääsy tuotantotietoihin vain tarpeen mukaan, tietoturvaloukkausten käsittelyohje.