Tietojenkäsittelysopimus

Nämä mallit noudattavat tietosuoja-asetusta yleisesti. Ne eivät väitä täyttävänsä jokaisen maan kansallista lakia. Tietosuojavaltuutetun toimisto on esimerkki tämän kielen lukijoille; toimivalta määräytyy silti rekisterinpitäjän päätoimipaikan mukaan (tietosuoja-asetuksen 56 artikla). Toimivalta määräytyy silti rekisterinpitäjän päätoimipaikan mukaan (tietosuoja-asetuksen 56 artikla).

Välillä palvelun asiakas rekisterinpitäjänä (Rekisterinpitäjä),

ja Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (Käsittelijä).

Tätä sopimusta sovelletaan, kun Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun palvelussa osoitteessa https://exemple-saas.example. Se ei kata käsittelyä, jossa palveluntarjoaja on itse rekisterinpitäjä.

1. Kohde, luonne, kesto

Käsittelijä ylläpitää, tallentaa ja näyttää palvelun tarjoamiseen tarvittavat tiedot ja laatii tiedostot, jotka tuote laatii. Kesto: sopimus, sitten poisto tai palautus kuten 8 artiklassa, ellei Käsittelijään sovellettava säädös edellytä pidempää arkistointia.

2. Dokumentoidut ohjeet

Käsittelijä toimii vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaan, tämä sopimus mukaan lukien, ellei unionin tai jäsenvaltion laki muuta edellytä. Siinä tapauksessa Käsittelijä ilmoittaa Rekisterinpitäjälle ennen käsittelyä, ellei laki kiellä ilmoitusta.

3. Luottamuksellisuus

Henkilöt, joilla on lupa käsitellä tietoja, ovat salassapitovelvollisia.

4. Tietoturva

Palveluntarjoaja toteuttaa tekniset ja organisatoriset toimenpiteet, jotka ovat asianmukaisia tietosuoja-asetuksen 32 artiklan mukaan (pääsynhallinta, HTTPS, minimointi, ammatilliset palveluntarjoajat), lupaamatta, että jäännösriski on poistunut. ISO 27001- tai SOC 2 -ruutua ei valittu: kumpaakaan sertifiointia ei väitetä.

5. Alikäsittelijät

Rekisterinpitäjä valtuuttaa liitteen 3 alikäsittelijät. Käsittelijä ilmoittaa Rekisterinpitäjälle ennen yhden lisäämistä tai vaihtamista. Rekisterinpitäjä voi vastustaa 30 päivän kuluessa. Jos vastustusta ei ratkaista, Rekisterinpitäjä voi lopettaa asianomaisen käsittelyn.

6. Avustaminen

Käsittelijä avustaa Rekisterinpitäjää mahdollisuuksien mukaan rekisteröityjen pyynnöissä, tietoturvassa, loukkausilmoituksissa ja vaikutustenarvioinneissa ottaen huomioon käsittelyn luonteen.

7. Loukkaus

Käsittelijä ilmoittaa Rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä tultuaan siitä tietoiseksi. Malli ei keksi kiinteää tuntimäärää.

8. Poisto ja palautus

Palvelun päättyessä Käsittelijä poistaa tai palauttaa tiedot Rekisterinpitäjän valinnan mukaan ja poistaa jäljellä olevat kopiot, ellei laki edellytä säilytystä.

9. Tarkastukset

Rekisterinpitäjä voi tarkastaa, myös salassapitoon sidotun valtuutetun tarkastajan avulla, kohtuullisella varoitusajalla, enintään kerran vuodessa, ellei ole loukkausta tai viranomaisen pyyntöä. Käsittelijä voi kieltäytyä tarkastajasta, joka on kilpailija.

10. Siirrot

Siirrot EU:n/ETA:n ulkopuolelle käyttävät tietosuoja-asetuksen V luvun mekanismia. Liite 3 toistaa sen, mitä toimittaja julkaisee. Se ei lisää mekanismia, jonka kortti merkitsee muodossa ei ilmoitettu.

11. Vastuu

Tietosuoja-asetuksen 82 artikla soveltuu rekisteröityihin nähden. Sopimus ei siirrä osapuolen omaa sakkoa toiselle osapuolelle. Kansallista kiinteää hyvitystä ei lisätä.

Liite 1 — Kuvaus

• Kohde: palvelu osoitteessa https://exemple-saas.example.
• Toiminnot: ylläpito, tunnistautuminen kun käytössä, tallennus, tiedostojen laatiminen, tuki, lokit.
• Henkilöt: Rekisterinpitäjän käyttäjät ja Rekisterinpitäjän henkilöstö. Sitä laajemmista ryhmistä tässä mallissa on merkintä ei ilmoitettu.

Liite 2 — Tietoturva

Palveluntarjoaja toteuttaa tekniset ja organisatoriset toimenpiteet, jotka ovat asianmukaisia tietosuoja-asetuksen 32 artiklan mukaan (pääsynhallinta, HTTPS, minimointi, ammatilliset palveluntarjoajat), lupaamatta, että jäännösriski on poistunut. ISO 27001- tai SOC 2 -ruutua ei valittu: kumpaakaan sertifiointia ei väitetä.

Liite 3 — Valtuutetut alikäsittelijät

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irlanti (Stripe, Inc. -konserni, Yhdysvallat) — Maksu ja laskutus. Maksutiedot, tapahtumatunnisteet, laskutussähköposti. Palveluntarjoaja ei tallenna täysiä korttinumeroita. Stripe Payments Europe toimii rekisterinpitäjänä tai käsittelijänä virran mukaan; konsernin sisäiset siirrot vakiosopimuslausekkeilla.

1. Resend, Inc. (Resend) — Yhdysvallat — Tapahtumasähköposti. Vastaanottajien sähköpostiosoitteet, viestien aihe ja sisältö, lähetyslokit. Siirto EU:n ulkopuolelle vakiosopimuslausekkeilla.

1. Plausible Insights OÜ (Plausible) — Viro — Yleisömittaus ilman evästeitä. Koostetut sivunäytöt, likimääräinen maa, user agent, viittaaja. Ei mainosevästettä. Käsittely EU:ssa (Viro). Tarkistakaa tilillenne valittu ylläpito.

Huomautus. Tämä tiedosto on malli, jonka StackLégal on laatinut syöttämistänne tiedoista. Se ei ole oikeudellista neuvontaa eikä vaatimustenmukaisuustodistus. Tarkistakaa se, sovittakaa se todelliseen toimintaanne ja, jos panokset ovat suuret (terveys, rahoitus, lapset, arkaluonteiset tiedot, suuryritysasiakkaat), antakaa asianajajan lukea se.

Malli päivätty 6. lokakuuta 2026. Vain rakenne: asetus (EU) 2016/679, erityisesti artiklat 12–14, 28, 32 ja 82; direktiivi 2011/83/EU peruuttamisesta, kun kyseessä on kuluttaja; asetus (EU) 2022/2065 (DSA), jos käyttäjät julkaisevat sisältöä. Mitään kansallista säädöstä ei siteerata ikään kuin se soveltuisi kaikkialla.

Malli täytetty: Atelier Exemple — https://exemple-saas.example