Henkilötietojen käsittelysopimus (DPA)

1. Osapuolet

Rekisterinpitäjä ("Asiakas"): LAATU-palvelun käyttösopimuksen allekirjoittanut organisaatio, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.

Henkilötietojen käsittelijä ("Toimittaja"):

Karkitimpurit Oy
Leinikkitie 23 C, 01350 Vantaa
Y-tunnus: 2755078-2
Sähköposti: tuki@laatu.io

Toimittaja käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti LAATU-palvelun ("laatu.io") tuottamiseksi.

2. Käsittelyn kohde ja tarkoitus

Henkilötietojen käsittelyn tarkoituksena on LAATU-palvelun tuottaminen Asiakkaalle. Palvelu on rakennusalan laadun- ja turvallisuudenhallintajärjestelmä, joka kattaa:

• Rakennustyömaan laatuhavaintojen kirjaaminen ja seuranta
• Turvallisuusmittaukset (TR- ja MVR-mittaukset)
• Tarkastusasiakirjojen hallinta
• Työmaamuistioiden ja -päiväkirjojen ylläpito
• Valokuvadokumentaatio ja pohjakuva-analyysit
• Projektitiimien hallinta ja viestintä
• Tarkistuslistojen ja tehtävälistojen hallinta

Käsittely kestää niin kauan kuin Asiakkaan palvelusopimus on voimassa.

3. Käsiteltävät henkilötiedot

Palvelun yhteydessä käsitellään seuraavia henkilötietoja:

• Nimi ja yhteystiedot (nimi, sähköpostiosoite, puhelinnumero)
• Organisaatio- ja roolltiedot
• Käyttäjätunnisteet ja kirjautumistiedot
• Valokuvat ja kuvien metatiedot (EXIF-tiedot mukaan lukien GPS-sijainti)
• Sijaintitiedot (työmaakohtainen sijainti havainnoissa)
• IP-osoitteet ja selaintiedot (audit-lokit)
• Sähköiset allekirjoitukset (nimi, aikaleima, IP-osoite)
• Laitetiedot ja push-ilmoitustunnisteet (mobiilisovellus)
• Palvelun käyttötiedot ja toimintalokit

4. Rekisteröityjen ryhmät

Käsittely koskee seuraavia rekisteröityjen ryhmiä:

• Asiakkaan työntekijät ja työnjohtajat
• Tarkastajat ja laadunvalvojat
• Projektipäälliköt ja organisaation ylläpitäjät
• Aliurakoitsijat ja heidän työntekijänsä
• Muut Asiakkaan LAATU-palveluun kutsumat käyttäjät

5. Käsittelijän velvollisuudet

Toimittaja sitoutuu seuraaviin velvollisuuksiin:

5.1 Ohjeidenmukaisuus

Toimittaja käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti, ellei EU:n tai jäsenvaltion lainsäädäntö edellytä muuta käsittelyä.

5.2 Salassapito

Toimittaja varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet noudattamaan salassapitovelvoitetta tai heitä koskee asianmukainen lakisääteinen salassapitovelvoite.

5.3 Tietoturvatoimenpiteet

Toimittaja toteuttaa GDPR:n artiklan 32 mukaiset tekniset ja organisatoriset suojatoimenpiteet, mukaan lukien:

• TLS-salaus kaikessa tietoliikenteessä
• Tietokannan rivitason tietoturva (Row Level Security, RLS)
• Salasanojen bcrypt-hajautus
• Pääsynhallinta ja roolipohjainen käyttöoikeuksien rajaus
• Säännölliset varmuuskopiot ja tietojen palautusmenettely
• Lokien seuranta ja poikkeamien havaitseminen
• Sovelluksen haavoittuvuuksien säännöllinen arviointi

5.4 Avustamisvelvollisuus

Toimittaja avustaa Asiakasta rekisteröityjen oikeuksien toteuttamisessa (tarkastus-, oikaisu-, poisto-, rajoitus-, siirto- ja vastustusoikeus) sekä tietosuojaa koskevien vaikutustenarviointien laatimisessa.

6. Alikäsittelijät

Asiakas antaa Toimittajalle yleisen luvan käyttää alikäsittelijöitä. Toimittaja ilmoittaa Asiakkaalle alikäsittelijöiden muutoksista vähintään 30 päivää etukäteen. Asiakkaalla on oikeus vastustaa muutosta.

Nykyiset alikäsittelijät:

Toimittaja varmistaa, että jokaisen alikäsittelijän kanssa on tehty GDPR:n artiklan 28 mukainen kirjallinen sopimus, joka asettaa alikäsittelijälle vähintään samat tietosuojavelvoitteet kuin tässä sopimuksessa on määritelty.

7. Auditointi

Toimittaja asettaa Asiakkaan saataville kaikki tiedot, jotka ovat tarpeen tässä sopimuksessa ja GDPR:n artiklassa 28 säädettyjen velvollisuuksien noudattamisen osoittamiseksi.

Asiakkaalla tai Asiakkaan valtuuttamalla kolmannella osapuolella on oikeus suorittaa auditointeja ja tarkastuksia. Auditoinnista on sovittava kirjallisesti vähintään 30 päivää ennen suunniteltua ajankohtaa. Auditoinnit suoritetaan normaalina työaikana siten, ettei Toimittajan liiketoiminta häiriinny kohtuuttomasti.

Toimittaja voi tarjota vaihtoehtoisesti riippumattoman kolmannen osapuolen auditointiraportin (esim. SOC 2 Type II), mikäli sellainen on saatavilla.

8. Tietoturvaloukkaukset

Toimittaja ilmoittaa Asiakkaalle tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa loukkauksen havaitsemisesta. Ilmoituksen tulee sisältää vähintään seuraavat tiedot:

• Loukkauksen luonne ja laajuus
• Arvio loukkauksen vaikutuksista rekisteröityihin
• Kuvaus loukkaukseen liittyvistä henkilötietoryhmistä ja rekisteröityjen ryhmistä
• Toimenpiteet, joihin on ryhdytty tai aiotaan ryhtyä loukkauksen korjaamiseksi
• Toimenpiteet mahdollisten haittavaikutusten lieventämiseksi

Toimittaja avustaa Asiakasta GDPR:n artiklojen 33 ja 34 mukaisten velvoitteiden täyttämisessä (ilmoitus valvontaviranomaiselle 72 tunnin kuluessa ja ilmoitus rekisteröidyille).

9. Tietojen palauttaminen ja poistaminen

Palvelusopimuksen päättyessä Toimittaja on velvollinen Asiakkaan valinnan mukaan:

• Palauttamaan kaikki Asiakkaan henkilötiedot yleisesti käytetyssä ja koneellisesti luettavassa muodossa (esim. CSV, JSON); tai
• Poistamaan kaikki Asiakkaan henkilötiedot ja niiden kopiot, ellei EU:n tai jäsenvaltion lainsäädäntö edellytä tietojen säilyttämistä.

Tietojen palauttaminen tai poistaminen suoritetaan 30 päivän kuluessa sopimuksen päättymisestä. Toimittaja antaa Asiakkaalle kirjallisen vahvistuksen tietojen poistamisesta.

Varmuuskopioista tiedot poistetaan viimeistään 30 päivän kuluessa varsinaisten tietojen poistamisen jälkeen.

10. Vastuut

Kumpikin osapuoli vastaa omalta osaltaan GDPR:n mukaisten velvoitteidensa noudattamisesta. Toimittajan vastuu rajoittuu palvelusopimuksen vastuunrajoitusehtojen mukaisesti.

Toimittaja vastaa ainoastaan sellaisista vahingoista, jotka johtuvat Toimittajan GDPR:n mukaisten velvoitteiden rikkomisesta tai Asiakkaan laillisten ohjeiden vastaisesta toiminnasta.

Mikäli rekisteröity esittää korvausvaatimuksen jompaakumpaa osapuolta kohtaan, osapuolet tekevät yhteistyötä vaatimuksen käsittelyssä. Kumpikin osapuoli vastaa omasta osuudestaan vahingonkorvauksesta suhteessa omaan vastuuseensa tietosuojaloukkauksesta.

11. Voimassaolo ja muutokset

Tämä Käsittelysopimus tulee voimaan, kun Asiakas aloittaa LAATU-palvelun käytön, ja on voimassa niin kauan kuin Toimittaja käsittelee henkilötietoja Asiakkaan puolesta.

Palvelusopimuksen päättyessä tämä Käsittelysopimus pysyy voimassa siltä osin kuin se on tarpeen henkilötietojen palauttamisen tai poistamisen loppuunsaattamiseksi (kohta 9).

Toimittaja voi päivittää tätä Käsittelysopimusta lainsäädännön muutosten tai palvelun kehityksen vuoksi. Olennaisista muutoksista ilmoitetaan Asiakkaalle vähintään 30 päivää ennen muutosten voimaantuloa. Asiakkaalla on oikeus irtisanoa palvelusopimus, mikäli muutokset eivät ole hyväksyttäviä.

12. Sovellettava laki ja riidanratkaisu

Tähän Käsittelysopimukseen sovelletaan Suomen lakia. Sopimuksesta aiheutuvat erimielisyydet pyritään ratkaisemaan ensisijaisesti neuvottelemalla. Mikäli neuvotteluissa ei päästä sopimukseen, ratkaistaan riita Helsingin käräjäoikeudessa.

13. Yhteystiedot

Tietosuojaan liittyvissä kysymyksissä ja pyynnöissä ota yhteyttä:

Karkitimpurit Oy
Leinikkitie 23 C, 01350 Vantaa
Sähköposti: tuki@laatu.io