Käyttöehtojen liite 1: Tietojenkäsittelysopimus

Sopimuksen osapuolet ovat Iotera Oy (Y-tunnus 3454475-1, Tanhuankatu 63b, 33560 Tampere; "Palveluntarjoaja") ja Palveluun rekisteröitynyt Organisaatio. Sopimus on Ehtojen liite. Organisaatio hyväksyy sen yhdessä Ehtojen kanssa, kun Organisaatio perustetaan Palveluun tai kun Organisaation edustaja hyväksyy Ehdot Palvelussa. Jos Sopimus ja Ehdot ovat henkilötietojen käsittelyä koskevissa asioissa ristiriidassa, Sopimus on ensisijainen. Sopimusta sovelletaan henkilötietoihin, joita Palveluntarjoaja käsittelee Organisaation lukuun Palvelua tuottaessaan. Roolit ovat seuraavat: • Verohallinnon rajapinnoista haettavien verotietojen ja Organisaation Palveluun tallentamien asiakastietojen osalta Organisaatio on rekisterinpitäjä tai, jos se käsittelee tietoja asiakkaansa lukuun, tämän käsittelijä. Palveluntarjoaja on käsittelijä tai, jälkimmäisessä tapauksessa, alikäsittelijä. • Tulorekisteritietojen (aineisto 312) osalta rekisterinpitäjä on työnantaja eli Organisaation asiakasyritys, Organisaatio on työnantajan käsittelijä ja Palveluntarjoaja on Organisaation alikäsittelijä. Sopimuksessa "rekisterinpitäjällä" tarkoitetaan kussakin tilanteessa sitä tahoa, jonka lukuun Organisaatio toimii. Kun Organisaatio toimii käsittelijänä, se vakuuttaa, että sillä on rekisterinpitäjän antama oikeus käyttää Palveluntarjoajaa alikäsittelijänä tässä Sopimuksessa kuvatuin ehdoin, ja että sen Palveluntarjoajalle antamat ohjeet vastaavat rekisterinpitäjän ohjeita. Sopimus ei koske tietoja, joiden osalta Palveluntarjoaja on itsenäinen rekisterinpitäjä. Tällaisia ovat Käyttäjien tili- ja laskutustiedot, joita käsitellään tietosuojaselosteen mukaisesti.

Kohde ja tarkoitus: Palveluntarjoaja käsittelee henkilötietoja vain sen verran kuin on tarpeen Palvelun tuottamiseksi Organisaatiolle Ehtojen mukaisesti. Palvelu hakee Organisaation asiakkaiden tietoja Verohallinnon rajapinnoista sen valtuuden perusteella, jonka asiakas on antanut Organisaatiolle Suomi.fi-valtuuksissa, ja esittää ne yhdessä näkymässä. Tulorekisteritiedot haetaan tulorekisteristä Organisaation omalla varmenteella samaan valtuuteen perustuen. Palvelu vain lukee tietoja eikä lähetä niitä Verohallinnolle. Käsittelyn luonne: tietojen vastaanottaminen, tallentaminen, järjestäminen, esittäminen, hakeminen, muokkaaminen Organisaation ohjeiden mukaan, siirtäminen Organisaation pyynnöstä (esim. vienti), poistaminen sekä tietojen suojaaminen ja varmuuskopiointi. Kesto: Sopimus on voimassa niin kauan kuin Palveluntarjoaja käsittelee henkilötietoja Organisaation lukuun, ja käsittelyn jälkeisten velvoitteiden osalta niin kauan kuin ne ovat voimassa (kohta 10).

Rekisteröidyt: • Organisaation asiakkaina olevien yritysten ja yhteisöjen edustajat ja yhteyshenkilöt • Organisaation asiakkaina olevat yksityiset elinkeinonharjoittajat ja muut luonnolliset henkilöt, joiden verotietoja Palvelussa käsitellään • työnantaja-asiakkaiden tulonsaajat (esim. työntekijät, toimitusjohtajat, osakkaat) • Organisaation Käyttäjät Henkilötietoryhmät: • Verohallinnon rajapinnoista haettavat verotiedot: verokirjeet ja -ilmoitukset, ALV-ilmoitukset ja -päätökset, ennakkoveropäätökset ja maksutilanne, verotusyhteenvedot ja -päätökset • asiakastiedot: nimi, Y-tunnus, yhteyshenkilön nimi ja yhteystiedot, Suomi.fi-valtuutustiedot ja niiden voimassaolo • tulorekisteritiedot (aineisto 312): maksupäiväkohtaiset ja kuukausikohtaiset summat sekä tulonsaajakohtaiset tuloerät ja summat. Tulonsaaja yksilöidään pseudonymisoidulla tunnisteella, joka lasketaan tulonsaajan tunnisteesta (henkilötunnus tai ulkomainen tunniste) organisaatiokohtaisella avaimella; itse tunnistetta ei tallenneta eikä kirjata lokeihin. Tulonsaajan nimi tallennetaan vain, jos Organisaatio on syöttänyt sen nimirekisteriin. Syntymäaika säilytetään vain tulonsaajilla, joilla ei ole lainkaan tunnistetta. • Käyttäjien tiedot, jotka Palvelu käsittelee Organisaation lukuun: nimi, sähköpostiosoite, rooli ja Palvelun käytöstä syntyvät audit-lokit (kuka katsoi kenen tietoja ja milloin) Henkilötunnusta käsitellään vain hetkellisesti muistissa pseudonymisoidun tunnisteen laskemiseksi (tulorekisteriaineisto ja nimirekisteriin syöttäminen); sitä ei tallenneta eikä kirjata lokeihin. Erityisiä henkilötietoryhmiä (GDPR art. 9) tai rikostuomioihin liittyviä tietoja (art. 10) ei tietoisesti käsitellä, eikä Organisaation tule syöttää niitä Palveluun.

Palveluntarjoaja käsittelee henkilötietoja vain Organisaation dokumentoitujen ohjeiden mukaisesti, ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä muuta. Tällöin Palveluntarjoaja ilmoittaa vaatimuksesta Organisaatiolle ennen käsittelyä, jos laki sen sallii. Organisaation dokumentoidut ohjeet ovat tämä Sopimus, Ehdot sekä Organisaation ja sen Käyttäjien Palvelun toiminnoilla ja asetuksilla antamat toimeksiannot (esimerkiksi asiakkaan lisääminen, tietojen haku ja poistaminen). Lisäohjeet annetaan kirjallisesti osoitteeseen tuki@veronavi.fi. Palveluntarjoaja ei käsittele henkilötietoja omiin tarkoituksiinsa, ei yhdistä niitä muihin aineistoihin eikä luovuta niitä muille kuin tässä Sopimuksessa sallituille alikäsittelijöille, paitsi Organisaation ohjeesta (esimerkiksi Verohallinnolle tehtävät tietohaut ja Palvelun kautta lähetettävät sähköpostit) tai lain sitä edellyttäessä. Jos Palveluntarjoaja katsoo, että ohje rikkoo GDPR:ää tai muuta tietosuojalainsäädäntöä, se ilmoittaa asiasta Organisaatiolle viipymättä. Palveluntarjoajalla on tällöin oikeus keskeyttää ohjeen noudattaminen, kunnes Organisaatio on vahvistanut tai muuttanut ohjetta.

Palveluntarjoaja varmistaa, että henkilötietoja käsittelevät henkilöt on sitoutettu salassapitoon tai heitä sitoo lakisääteinen salassapitovelvollisuus, ja että heillä on pääsy tietoihin vain siinä määrin kuin tehtävien hoitaminen edellyttää. Salassapitovelvollisuus jatkuu Sopimuksen päättymisen jälkeen.

Palveluntarjoaja toteuttaa GDPR:n artiklan 32 mukaiset tekniset ja organisatoriset toimenpiteet, jotka vastaavat käsittelyyn liittyviä riskejä. Toimenpiteet ovat tämän Sopimuksen tekohetkellä muun muassa: • tietoliikenteen salaus ja varmenteeseen perustuva kaksisuuntainen todentaminen Verohallinnon rajapintayhteyksissä • Verohallinnon valtuustunnisteiden ja muiden salaisuuksien salaus erillisellä avaintenhallintapalvelulla; salaisuuksia ei säilytetä lähdekoodissa • tulorekisterin tulonsaajatunnisteiden pseudonymisointi organisaatiokohtaisella avaimella; avain tuhotaan Organisaation poistuessa, jolloin tunnisteita ei voi enää yhdistää henkilöihin • usean Organisaation tietojen looginen erottelu: kaikki tietokantakyselyt rajataan Organisaation tunnisteella • roolipohjainen pääsynhallinta ja asiakaskohtaiset näkyvyysrajaukset • audit-loki tietojen katselusta ja muokkauksesta • palvelimet sijaitsevat Suomessa (EU) ja pääsy palvelimiin on rajattu • tietokannan varmuuskopiot otetaan päivittäin, salataan ennen siirtoa ja säilytetään tuotantopalvelimesta erillisessä tallennuspaikassa EU:ssa (ks. Liite A); tallennuspalvelun tarjoajalla ei ole pääsyä salausavaimeen Palveluntarjoaja ylläpitää ja kehittää toimenpiteitä tekniikan kehittyessä. Toimenpiteet eivät saa heikentyä olennaisesti Sopimuksen voimassaoloaikana. Palveluntarjoaja ei väitä Palvelun tai sen tietoturvan olevan sertifioitu, ellei sertifiointia ole erikseen ilmoitettu.

Organisaatio antaa Palveluntarjoajalle yleisen ennakkoluvan käyttää alikäsittelijöitä. Tämän Sopimuksen tekohetkellä hyväksytyt alikäsittelijät on lueteltu liitteessä A. Palveluntarjoaja ilmoittaa aiotuista alikäsittelijämuutoksista (uusi alikäsittelijä tai alikäsittelijän vaihtuminen) Palvelussa tai sähköpostitse vähintään 30 päivää ennen muutoksen käyttöönottoa. Organisaatiolla on oikeus vastustaa muutosta perustellusta tietosuojasyystä kirjallisesti tuki@veronavi.fi -osoitteeseen 30 päivän kuluessa ilmoituksesta. Jos osapuolet eivät löydä ratkaisua, jolla vastustus voidaan ottaa huomioon kohtuullisessa ajassa, Organisaatiolla on oikeus irtisanoa Ehtojen mukainen sopimus päättymään ennen muutoksen voimaantuloa. Irtisanomisesta ei aiheudu Organisaatiolle lisämaksuja, mutta ennakkoon maksettuja maksuja ei lähtökohtaisesti palauteta; Palveluntarjoaja voi harkita hyvitystä tapauskohtaisesti. Palveluntarjoaja asettaa alikäsittelijälle kirjallisella sopimuksella samat tietosuojavelvoitteet kuin tässä Sopimuksessa on asetettu Palveluntarjoajalle, erityisesti riittävät takeet asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamisesta. Palveluntarjoaja vastaa Organisaatiolle alikäsittelijän velvoitteiden täyttämisestä kuten omastaan.

Rekisteröidyn oikeudet: Palveluntarjoaja avustaa Organisaatiota asianmukaisin teknisin ja organisatorisin toimenpitein sen velvollisuudessa vastata rekisteröityjen oikeuksien käyttämistä koskeviin pyyntöihin (GDPR luku III). Jos rekisteröity esittää pyynnön suoraan Palveluntarjoajalle ja pyyntö koskee tietoja, joiden osalta Palveluntarjoaja toimii käsittelijänä, Palveluntarjoaja ohjaa hänet Organisaatiolle eikä vastaa pyyntöön itse ilman Organisaation ohjetta. Tulorekisteritiedot: tulonsaaja esittää tietopyyntönsä ensisijaisesti työnantajalleen tai tämän tilitoimistolle. Tulonsaajan tiedot yksilöidään pseudonymisoidulla tunnisteella, ja Organisaatio voi tunnistaa henkilön rivit lisäämällä hänet asiakkaan nimirekisteriin henkilötunnuksella, minkä jälkeen Organisaatio voi toimittaa tiedot tai poistaa nimimerkinnän. Tämä menettely kattaa vain asiakaskortilla näkyvät rivit, ja kortti näyttää enintään asiakkaan 500 uusinta tulonsaajariviä. Katkaistun kortin tai vanhemman säilytetyn historian osalta sekä tulonsaajille, joilla ei ole henkilötunnusta (ulkomainen tunniste, pelkkä syntymäaika tai ei tunnistetta), Palveluntarjoaja avustaa tapauskohtaisella käsihaulla Organisaation ohjeen mukaan. Tunnisteettomat rivit voidaan kohdistaa vain maksupäivän ja summien perusteella, ja jos kohdistus ei ole yksiselitteinen, tietoja ei luovuteta ja asiasta kerrotaan rekisterinpitäjälle. Palveluntarjoaja avustaa tarvittaessa pyynnön käsittelyssä esimerkiksi ohjeistuksella tai tietojen poistolla Organisaation ohjeen mukaan. GDPR:n artiklat 32–36: Palveluntarjoaja avustaa Organisaatiota tietoturvaa, tietoturvaloukkauksista ilmoittamista ja rekisteröidyille tiedottamista, tietosuojaa koskevaa vaikutustenarviointia sekä ennakkokuulemista valvontaviranomaisen kanssa koskevien velvoitteiden täyttämisessä, käsittelyn luonne ja Palveluntarjoajan käytettävissä olevat tiedot huomioon ottaen. Avustaminen kuuluu Palveluun siltä osin kuin se on kohtuullista ja vähäistä. Poikkeuksellisen laajasta tai Organisaation omaan toimintaan liittyvästä avustamisesta Palveluntarjoaja voi veloittaa Palveluntarjoajan kulloinkin voimassa olevan tuntihinnan mukaan. Palveluntarjoaja ilmoittaa tällaisesta veloituksesta etukäteen.

Palveluntarjoaja ilmoittaa Organisaatiolle henkilötietojen tietoturvaloukkauksesta, joka koskee tämän Sopimuksen mukaisesti käsiteltäviä tietoja, ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun Palveluntarjoaja on saanut loukkauksesta tiedon. Ilmoituksessa kerrotaan Palveluntarjoajan tiedossa olevilta osin GDPR:n artiklan 33(3) mukaiset tiedot: • loukkauksen luonne, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ja tietueiden ryhmät ja likimääräiset määrät • yhteyshenkilö, jolta lisätietoja saa • loukkauksen todennäköiset seuraukset • toimenpiteet, joihin Palveluntarjoaja on ryhtynyt tai joita se ehdottaa loukkauksen korjaamiseksi ja haittojen lieventämiseksi Jos kaikkia tietoja ei ole ilmoitushetkellä saatavilla, tiedot voidaan antaa vaiheittain ilman aiheetonta lisäviivytystä. Palveluntarjoaja avustaa Organisaatiota loukkauksen selvittämisessä ja rajaamisessa sekä viranomais- ja rekisteröityilmoitusten laatimisessa. Rekisterinpitäjä vastaa ilmoituksista valvontaviranomaiselle ja rekisteröidyille, ellei laista muuta johdu. Palveluntarjoaja dokumentoi loukkaukset.

Organisaatio voi poistaa asiakkaiden ja Organisaation tietoja Palvelussa ja pyytää tietojensa vientiä osoitteesta tuki@veronavi.fi. Palveluntarjoaja toimittaa pyydetyt tiedot koneluettavassa muodossa 30 päivän kuluessa pyynnöstä. Jos Organisaation ainoa jäsen poistaa tilinsä Palvelussa, Organisaatio ja sen lukuun käsitellyt henkilötiedot poistetaan välittömästi, eikä niitä voi sen jälkeen palauttaa. Organisaation on siksi pyydettävä ja vastaanotettava tietonsa ennen tilin poistamista. Kun Organisaation Ehtojen mukainen sopimus päättyy kirjalliseen irtisanomiseen, Organisaatio voi 30 päivän kuluessa päättymisestä pyytää Organisaation lukuun käsiteltyjen henkilötietojen palauttamista koneluettavassa muodossa, ja Palveluntarjoaja poistaa nämä henkilötiedot viimeistään 90 päivän kuluessa päättymisestä. Organisaation poistuessa myös tulorekisterin tunnisteiden avain tuhotaan. Palvelusta poistetut tiedot häviävät varmuuskopioista niiden kiertäessä. Varmuuskopioita säilytetään enintään 6 kuukautta, eikä niitä käytetä muuhun kuin palvelun palauttamiseen häiriötilanteessa. Palveluntarjoaja voi säilyttää tietoja sen jälkeenkin, jos unionin oikeus tai Suomen lainsäädäntö sitä edellyttää (esimerkiksi audit-lokit ja kirjanpitoaineisto Ehtojen ja tietosuojaselosteen mukaisesti). Tällöin tietoja käsitellään vain tähän tarkoitukseen ja tämän Sopimuksen suojatoimin.

Palveluntarjoaja antaa Organisaation pyynnöstä käyttöön tiedot, jotka ovat tarpeen tässä Sopimuksessa määriteltyjen velvoitteiden noudattamisen osoittamiseksi, kuten kuvaukset tietoturvatoimenpiteistä ja vastaukset kohtuullisiin tietoturvakyselyihin. Jos nämä tiedot eivät riitä, Organisaatio tai sen valtuuttama, salassapitovelvollinen ulkopuolinen tarkastaja voi tehdä Palveluntarjoajaan auditoinnin, jonka Palveluntarjoaja sallii ja johon se osallistuu. Audit tehdään seuraavin ehdoin: • Organisaatio ilmoittaa auditoinnista kirjallisesti vähintään 30 päivää etukäteen ja yhdessä Palveluntarjoajan kanssa sovitaan laajuus ja ajankohta. • Audit tehdään Palveluntarjoajan normaalina työaikana siten, ettei se kohtuuttomasti häiritse Palveluntarjoajan toimintaa. • Audit tehdään Organisaation kustannuksella. • Auditoinnin saa tehdä enintään kerran vuodessa, ellei kyse ole tietoturvaloukkauksesta tai viranomaisen vaatimuksesta. • Audit voi koskea vain tämän Sopimuksen mukaista käsittelyä. Muiden asiakkaiden tietoja tai Palveluntarjoajan liikesalaisuuksia ei luovuteta. • Auditoija ja Organisaatio sitoutuvat pitämään auditoinnissa saamansa tiedot salassa. Palveluntarjoajan käyttämien alikäsittelijöiden tiloissa auditointi toteutetaan ensisijaisesti alikäsittelijän toimittamien selvitysten perusteella.

Palveluntarjoaja ja sen alikäsittelijät käsittelevät tämän Sopimuksen piiriin kuuluvia henkilötietoja ainoastaan EU/ETA-alueella eikä tietoja siirretä EU/ETA-alueen ulkopuolelle. Siirto kolmanteen maahan on mahdollinen vain Organisaation kirjallisella ennakkosuostumuksella ja GDPR:n luvun V edellytysten täyttyessä. Palveluntarjoaja käsittelee Organisaation laskutustietoja rekisterinpitäjänä tietosuojaselosteen mukaisesti, ja maksupalveluntarjoaja Stripe käsittelee niitä Palveluntarjoajan henkilötietojen käsittelijänä. Laskutustiedot eivät kuulu tämän Sopimuksen piiriin. Salatut varmuuskopiot tallennetaan AWS:n (Amazon Web Services EMEA SARL) palveluun EU:ssa (Ruotsi). Varmuuskopiot salataan ennen siirtoa, eikä AWS:llä ole pääsyä salausavaimeen tai sisältöön. AWS on yhdysvaltalaisen Amazon.com, Inc.:n tytäryhtiö, ja mahdollisten siirtojen varalta AWS:n tietojenkäsittelylisäys sisältää EU:n vakiosopimuslausekkeet.

Osapuolten vastuu tämän Sopimuksen mukaisista velvoitteista määräytyy Ehtojen kohdan "Vastuunrajoitus" mukaisesti, ellei pakottavasta lainsäädännöstä (mukaan lukien GDPR:n artikla 82 rekisteröidyn oikeudesta korvaukseen) muuta johdu. Sopimus tulee voimaan, kun Organisaatio hyväksyy Ehdot, ja on voimassa niin kauan kuin Palveluntarjoaja käsittelee henkilötietoja Organisaation lukuun. Sopimuksen salassapitoa, tietojen poistamista ja vastuuta koskevat määräykset jäävät voimaan Sopimuksen päättymisen jälkeen niin kauan kuin ne ovat tarpeen. Sopimusta muutetaan Ehtojen kohdan "Ehtojen muutokset" mukaisesti. Sopimukseen sovelletaan Suomen lakia, ja riidat ratkaistaan Ehtojen mukaisesti. Yhteydenotot: tuki@veronavi.fi.

Organisaatio hyväksyy seuraavat alikäsittelijät: • Hetzner Online GmbH (Saksa) — palvelininfrastruktuuri. Palvelimet sijaitsevat Suomessa. Käsiteltävät tiedot: kaikki kohdassa 3 kuvatut tiedot. • Elestio Limited (Irlanti, yritysnumero 755058) — palvelinten ylläpitopalvelu. Käsiteltävät tiedot: kaikki kohdassa 3 kuvatut tiedot ylläpitotehtävien edellyttämässä laajuudessa. • Amazon Web Services EMEA SARL (Luxemburg, 38 Avenue John F. Kennedy, L-1855 Luxembourg) — salattujen varmuuskopioiden tallennus EU:ssa (Ruotsi). Käsiteltävät tiedot: salatut varmuuskopiot kaikista kohdassa 3 kuvatuista tiedoista; AWS:llä ei ole pääsyä sisältöön, koska varmuuskopiot salataan ennen siirtoa. AWS on yhdysvaltalaisen Amazon.com, Inc.:n tytäryhtiö; AWS:n tietojenkäsittelylisäys (AWS GDPR DPA) sisältyy AWS:n palveluehtoihin ja sisältää EU:n vakiosopimuslausekkeet. Ei alikäsittelijöitä: • Verohallinto ja Digi- ja väestötietovirasto (Suomi.fi) ovat tietolähteitä ja viranomaisia, eivät Palveluntarjoajan alikäsittelijöitä. • Palvelun sähköpostit lähetetään Palveluntarjoajan omalta palvelimelta; ulkopuolista sähköpostipalvelua ei käytetä. • Laskutustietoja käsittelee Palveluntarjoaja rekisterinpitäjänä tietosuojaselosteen mukaisesti ja Stripe Palveluntarjoajan henkilötietojen käsittelijänä; laskutustiedot eivät kuulu tämän Sopimuksen piiriin (ks. kohta 12).