Tietojenkäsittelysopimus
Tämä tietojenkäsittelysopimus (”Sopimus”) on osa käyttöehtoja, joiden osapuolina ovat Aweb Design SRL, CUI RO30874746, kotipaikka Str. Crangasi, nr. 40, Bl. 11, Sc.1, Ap. 37 (”Käsittelijä”, ”me”), ja Asiakas (”Rekisterinpitäjä”, ”sinä”). Sitä sovelletaan silloin, kun käsittelemme henkilötietoja Asiakkaan puolesta Palvelun tarjoamisen yhteydessä, ja se toteuttaa asetuksen (EU) 2016/679 (”yleinen tietosuoja-asetus”) 28 artiklan vaatimukset sekä soveltuvin osin Yhdistyneen kuningaskunnan tietosuoja-asetuksen (UK GDPR) vaatimukset. Jos Asiakas on itse henkilötietojen käsittelijä kolmannen osapuolen rekisterinpitäjälle, tätä Sopimusta sovelletaan vastaavasti peräkkäisessä käsittelysuhteessa.
1. Roolit ja soveltamisala
Loppuasiakkaiden ja muiden rekisteröityjen henkilötietojen osalta, joita käsitellään tekoälywidgetin ja Työtilan kautta, Asiakas on rekisterinpitäjä (tai henkilötietojen käsittelijä omalle rekisterinpitäjälleen) ja me toimimme henkilötietojen käsittelijänä (tai alikäsittelijänä). Käsittelemme tällaisia henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti — mukaan lukien ohjeet, jotka annetaan Palvelun määrityksen ja tavanomaisen käytön kautta — ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä toimintaa, jolloin ilmoitamme siitä Asiakkaalle etukäteen, ellei laki sitä kiellä. Ilmoitamme Asiakkaalle, jos ohje mielestämme rikkoo tietosuojalainsäädäntöä. Omien tili-, laskutus- ja turvallisuustietojemme osalta toimimme itsenäisenä rekisterinpitäjänä tietosuojakäytäntömme mukaisesti, eikä kyseinen käsittely kuulu tämän Sopimuksen piiriin.
2. Kohde, kesto, luonne ja tarkoitus
Käsittelyn kohde, kesto, luonne ja tarkoitus, henkilötietojen tyypit sekä rekisteröityjen ryhmät on esitetty liitteessä I. Käsittely kestää käyttöehtojen voimassaoloajan sekä sen lisäajan, jonka ajan meidän on tämän Sopimuksen ja sovellettavan lain nojalla säilytettävä tietoja tai jonka ajan meillä on siihen oikeus.
3. Luottamuksellisuus
Varmistamme, että henkilötietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet asianmukaiseen salassapitovelvollisuuteen ja käsittelevät tietoja vain siinä laajuudessa kuin Palvelun tarjoaminen edellyttää.
4. Käsittelyn turvallisuus
Ottaen huomioon uusin tekniikka, toteuttamiskustannukset sekä käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset samoin kuin luonnollisiin henkilöihin kohdistuvat riskit toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi yleisen tietosuoja-asetuksen 32 artiklan mukaisesti. Nämä toimenpiteet on kuvattu liitteessä II, ja niihin kuuluvat pseudonymisointi ja henkilötietojen peittäminen, salaus siirron aikana (TLS) ja levossa, pääsynvalvonta ja monivaiheinen tunnistautuminen, asiakaskohtainen eristys, lokitus, varmuuskopiot ja IP-osoitteiden anonymisointi.
5. Alikäsittelijät
Asiakas antaa yleisen kirjallisen ennakkoluvan siihen, että käytämme alikäsittelijöitä henkilötietojen käsittelyyn Palvelun tarjoamiseksi. Nykyiset alikäsittelijämme on lueteltu osoitteessa https://account.ovebot.ai/fi/legal/sub-processors. Asetamme jokaiselle alikäsittelijälle tietosuojavelvoitteet, jotka ovat vähintään yhtä suojaavat kuin tämän Sopimuksen velvoitteet, ja olemme edelleen täysimääräisesti vastuussa Asiakkaalle niiden suorituksesta. Ilmoitamme Asiakkaalle vähintään 30 päivää etukäteen alikäsittelijän lisäämisestä tai vaihtamisesta; Asiakas voi vastustaa sitä perustelluilla tietosuojaan liittyvillä syillä kyseisen määräajan kuluessa, ja osapuolet pyrkivät vilpittömässä mielessä ratkaisemaan asian, minkä epäonnistuessa Asiakas voi irtisanoa Palvelun kyseisen osan.
6. Rekisteröityjen oikeudet
Ottaen huomioon käsittelyn luonteen avustamme Asiakasta asianmukaisin teknisin ja organisatorisin toimenpitein mahdollisuuksien mukaan vastaamaan rekisteröityjen pyyntöihin, jotka koskevat heidän yleisen tietosuoja-asetuksen III luvun mukaisia oikeuksiaan (pääsy tietoihin, oikaiseminen, poistaminen, käsittelyn rajoittaminen, siirrettävyys ja vastustaminen). Palvelu tarjoaa itsepalvelutyökaluja, joilla Loppuasiakkaat voivat ladata tai poistaa oman keskustelunsa suoraan. Jos vastaanotamme pyynnön, joka koskee Asiakkaan tietoja, välitämme sen Asiakkaalle ilman aiheetonta viivytystä emmekä vastaa siihen itse muutoin kuin Asiakkaan ohjeen perusteella tai lain edellyttäessä.
7. Avustaminen turvallisuudessa, tietoturvaloukkauksissa ja vaikutustenarvioinneissa
Ottaen huomioon käsittelyn luonteen ja saatavillamme olevat tiedot avustamme Asiakasta sen yleisen tietosuoja-asetuksen 32–36 artiklan mukaisten velvoitteiden noudattamisessa, mukaan lukien käsittelyn turvallisuus, henkilötietojen tietoturvaloukkauksesta ilmoittaminen, tietosuojaa koskeva vaikutustenarviointi ja valvontaviranomaisen ennakkokuuleminen.
8. Henkilötietojen tietoturvaloukkauksesta ilmoittaminen
Ilmoitamme Asiakkaalle ilman aiheetonta viivytystä saatuamme tiedon Asiakkaan henkilötietoihin vaikuttavasta henkilötietojen tietoturvaloukkauksesta, ja joka tapauksessa niin ajoissa, että Asiakas voi noudattaa omia yleisen tietosuoja-asetuksen 33 ja 34 artiklan mukaisia ilmoitusaikojaan. Ilmoituksessa kuvataan tiedossa olevilta osin loukkauksen luonne, asianomaisten rekisteröityjen ja tietueiden ryhmät ja likimääräinen lukumäärä, todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet. Toteutamme kohtuulliset toimet loukkauksen lieventämiseksi ja korjaamiseksi. Tällainen ilmoitus ei ole tunnustus virheestä tai vastuusta.
9. Kansainväliset siirrot
Henkilötietoja käsitellään pääasiassa EU:n/ETA:n alueella. Osa alikäsittelijöistä (erityisesti kielimallien toimittajat) sijaitsee Yhdysvalloissa. Kun henkilötietoja siirretään EU:n/ETA:n ulkopuolelle, siirto perustuu tietosuojan riittävyyttä koskevaan päätökseen, EU-Yhdysvallat-tietosuojakehykseen tai Euroopan komission vakiosopimuslausekkeisiin (täytäntöönpanopäätös (EU) 2021/914) sekä tarvittaviin täydentäviin toimenpiteisiin, ja Yhdistyneestä kuningaskunnasta peräisin olevien tietojen osalta UK-lisäykseen (UK Addendum) tai IDTA-sopimukseen. Kopiot asianomaisesta siirtomekanismista ovat saatavilla pyynnöstä.
10. Auditoinnit
Saatamme Asiakkaan saataville tiedot, jotka ovat tarpeen yleisen tietosuoja-asetuksen 28 artiklan noudattamisen osoittamiseksi, sekä sallimme Asiakkaan tai sen valtuuttaman riippumattoman tarkastajan suorittamat auditoinnit, mukaan lukien tarkastukset, ja osallistumme niihin. Auditoinnit tehdään kohtuullisella ennakkoilmoituksella, normaalina työaikana, enintään kerran vuodessa (ellei valvontaviranomainen sitä edellytä tai ellei auditointi seuraa tietoturvaloukkausta), luottamuksellisuutta noudattaen ja tavalla, joka ei häiritse toimintaamme. Voimme ensin vastata auditointipyyntöön toimittamalla asiaankuuluvat sertifioinnit ja raportit.
11. Tietojen palauttaminen ja poistaminen
Palvelun päättyessä poistamme tai palautamme Asiakkaan valinnan mukaan kaikki sen puolesta käsitellyt henkilötiedot ja poistamme olemassa olevat kopiot, ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä säilyttämistä. Jos poistaminen ei ole välittömästi käytännössä mahdollista (esimerkiksi varmuuskopioissa), eristämme tiedot jatkokäsittelystä ja poistamme ne tavanomaisessa varmuuskopioiden kiertosyklissä. Automaattista säilytystä ja anonymisointia sovelletaan lisäksi koko sopimuskauden ajan tilauspakettikohtaisen säilytysaikataulun ja Asiakkaan määrittämän säilytysajan mukaisesti.
12. Kielletyt tiedot
Asiakas ei saa toimittaa Palvelun kautta erityisiin henkilötietoryhmiin kuuluvia tietoja (yleisen tietosuoja-asetuksen 9 artikla), rikostuomioihin ja rikkomuksiin liittyviä tietoja (10 artikla), viranomaisen myöntämiä henkilötunnisteita, maksukorttinumeroita, tunnistautumistietoja, biometrisiä tai geneettisiä tietoja taikka tarkkoja sijaintitietoja, ja sen on määritettävä widgetinsä siten, ettei tällaisia tietoja pyydetä eikä kerätä.
Chat-käyttöliittymä ottaa vastaan Loppuasiakkaiden vapaamuotoista tekstiä, eikä kumpikaan osapuoli voi estää Loppuasiakasta kertomasta tällaisia tietoja oma-aloitteisesti. Emme pyydä, edellytä emmekä tietoisesti käsittele kiellettyjä tietoja. Jos niitä siitä huolimatta toimitetaan, sovellamme kohdassa 4 ja liitteessä II kuvattuja peittämis- ja turvatoimenpiteitä niiden tallentumisen rajoittamiseksi, ja tiedot poistetaan tai anonymisoidaan kohdan 11 mukaisesti. Automaattinen peittäminen tunnistaa rakenteisia kaavoja — sähköpostiosoitteet, puhelinnumerot, IBAN-tilinumerot, kansalliset henkilötunnukset ja maksukorttinumerot — eikä se pysty tunnistamaan vapaamuotoisessa tekstissä ilmaistuja erityisiin henkilötietoryhmiin kuuluvia tietoja. Näiden toimenpiteiden lisäksi emme ota vastuuta kielletyistä tiedoista, joita Loppuasiakas päättää toimittaa tai joita Asiakas toimittaa tai joiden toimittamisen se aiheuttaa. Rekisterinpitäjänä Asiakas vastaa edelleen Loppuasiakkaille esitettävistä tietosuojatiedoista ja ohjeistamansa käsittelyn oikeusperusteesta.
Jos jompikumpi osapuoli saa tiedon siitä, että kiellettyjä tietoja on toimitettu, se ilmoittaa asiasta toiselle ilman aiheetonta viivytystä, ja me poistamme tiedot Asiakkaan ohjeen mukaisesti.
13. Vastuu ja etusijajärjestys
Kummankin osapuolen vastuuseen tämän Sopimuksen nojalla sovelletaan käyttöehtojen rajoituksia ja poissulkemisia. Ristiriitatilanteessa etusijajärjestys on: (1) vakiosopimuslausekkeet (silloin kun niitä sovelletaan), (2) tämä Sopimus, (3) käyttöehdot, (4) tietosuojakäytäntö.
14. Sovellettava laki
Tähän Sopimukseen sovelletaan samaa lakia ja oikeuspaikkaa kuin käyttöehtoihin (Romanian lakia), paitsi jos vakiosopimuslausekkeet tai pakottava tietosuojalainsäädäntö edellyttävät muuta. Tämä Sopimus on laadittu englanniksi; käännökset annetaan käytännön syistä, ja ristiriitatilanteessa englanninkielinen versio on määräävä.
Liite I — Käsittelyn yksityiskohdat
- Kohde: Ovebot-tekoälyasiakaskohtaamispalvelun tarjoaminen.
- Kesto: käyttöehtojen voimassaoloaika sekä sovellettavat säilytysajat.
- Luonne ja tarkoitus: henkilötietojen isännöinti, vastaanotto, tallentaminen, peittäminen, analysointi ja siirtäminen tekoälychat-avustajan käyttämiseksi, vastausten ja suositusten tuottamiseksi, ihmiselle siirtojen ohjaamiseksi ja tilausten kohdistamiseksi Asiakkaan analytiikkaa varten.
- Rekisteröityjen ryhmät: Asiakkaan sivuston kävijät ja Loppuasiakkaat sekä sen Käyttäjät.
- Henkilötietojen ryhmät: keskustelusisältö, IP-osoite (lyhennetään 90 päivän jälkeen), chatin siirtolomakkeessa annettu sähköpostiosoite ja tilauksen tiedot, tilausten seurantatunnisteet, klikatut tuoteviitteet sekä pseudonyymit evästetunnisteet (ovebot_vid, ovebot_sid).
- Erityiset henkilötietoryhmät: ei pyydetä eikä tietoisesti käsitellä — kielletty kohdan 12 nojalla. Loppuasiakkaan oma-aloitteisesti kertomiin tällaisiin tietoihin sovelletaan peittämistä, ja ne poistetaan tai anonymisoidaan kohdan 11 mukaisesti.
Liite II — Tekniset ja organisatoriset toimenpiteet
- Henkilötietojen peittäminen (sähköposti, puhelin, IBAN, kansallinen henkilötunnus, korttinumerot) ennen tallentamista ja ennen kielimallille lähettämistä.
- Salaus siirron aikana (TLS) sekä tallennettujen tietojen ja varmuuskopioiden salaus levossa.
- Asiakaskohtainen tietokantaeristys ja manuaalinen Redis-avainten nimiavaruus asiakkaiden välisten vuotojen estämiseksi.
- Pääsynvalvonta, vähimmän oikeuden periaate, monivaiheinen tunnistautuminen ja sallittujen IP-osoitteiden luettelo hallinnollista käyttöä varten.
- IP-osoitteiden anonymisointi 90 päivän jälkeen; suolatut kohdistustiivisteet poistetaan 90 päivän jälkeen.
- Tilauspakettikohtainen säilytys, jossa keskustelusisältö anonymisoidaan automaattisesti säilytysajan päätyttyä.
- Allekirjoitetut, ensimmäisen osapuolen ehdottoman välttämättömät evästeet (ei kolmansien osapuolten seurantaa, ei sormenjälkitunnistusta).
- Audit-jäljet suostumusten ja tietosuojailmoitusten kuittauksista sekä GDPR-poistotoimista.
- Ajastetut poistoajot, varmuuskopiointimenettelyt säännöllisine testauksineen, lokitus ja valvonta.
- Alikäsittelijäsopimukset, joissa asetetaan vastaavat velvoitteet.
Liite III — Alikäsittelijät
Ajantasainen luettelo hyväksytyistä alikäsittelijöistä sekä niiden käyttötarkoituksesta, sijainnista ja siirtojen suojatoimista ylläpidetään osoitteessa https://account.ovebot.ai/fi/legal/sub-processors, ja se on osa tätä Sopimusta.