Tietojenkäsittelysopimus (DPA)

Sovelletaan julkaisemisesta lukien. Tämä sopimus täydentää Metaventuksen yleisiä palveluehtoja.

1. Kohde ja roolit

Tämä tietojenkäsittelysopimus („DPA“) sääntelee yleisen tietosuoja-asetuksen 28 artiklan mukaisesti niitä henkilötietojen käsittelyjä, joita VENTUS, yksinkertaistettu osakeyhtiö, pääoma 60 000 €, Rouenin kaupparekisteri 917 982 969, 14 chemin des Tilleuls, 76130 Mont-Saint-Aignan („Metaventus“, joka toimii henkilötietojen käsittelijänä) suorittaa tilin haltijan („Asiakas“, joka toimii rekisterinpitäjänä) lukuun Palvelujen tuottamisen yhteydessä.

Kun Asiakas itse toimii kolmannen osapuolen käsittelijänä, Metaventus toimii alikäsittelijänä, ja Asiakas takaa, että sen omat sitoumukset ovat tämän DPA:n mukaisia.

Niiden käsittelyjen osalta, jotka Metaventus suorittaa omaan lukuunsa (asiakastilin hallinta, laskutus, alustan turvallisuus, tilastot), Metaventus toimii rekisterinpitäjänä tietosuojaselosteensa mukaisesti.

2. Ohjeet

Metaventus käsittelee Asiakkaan Tietoja yksinomaan Asiakkaan dokumentoitujen ohjeiden mukaisesti. Palveluehdot, tämä DPA sekä Asiakkaan ja sen käyttäjien alustan toimintojen käyttö muodostavat Asiakkaan ohjeet. Metaventus ilmoittaa Asiakkaalle, jos ohje näyttää sen mielestä olevan tietosuoja-asetuksen vastainen.

3. Käsittelyn kuvaus

Yksityiskohtainen kuvaus (luonne, tarkoitukset, tietojen ja rekisteröityjen ryhmät, kesto) on liitteessä 1.

4. Luottamuksellisuus

Metaventus takaa, että Asiakkaan Tietojen käsittelyyn valtuutetut henkilöt ovat salassapitovelvollisia ja pääsevät niihin vain tehtäviensä edellyttämässä laajuudessa.

5. Turvallisuus

Metaventus toteuttaa liitteessä 2 kuvatut asianmukaiset tekniset ja organisatoriset toimenpiteet tietosuoja-asetuksen 32 artiklan mukaisesti.

6. Alikäsittelijät

Asiakas antaa yleisen valtuutuksen liitteessä 3 lueteltujen alikäsittelijöiden käyttöön. Metaventus tekee kunkin kanssa sopimuksen, joka asettaa tämän DPA:n velvoitteita vastaavat tietosuojavelvoitteet, ja vastaa edelleen niiden täyttämisestä.

Metaventus ilmoittaa Asiakkaalle (sähköpostitse tai alustan ilmoituksella) jokaisesta alikäsittelijän lisäämisestä tai vaihtamisesta vähintään kolmekymmentä (30) päivää ennen sen voimaantuloa. Asiakas voi vastustaa sitä perustellusta syystä; jos sopimukseen ei päästä, Asiakas voi irtisanoa kyseisen tilauksen ennen muutoksen voimaantuloa.

7. Rekisterinpitäjän avustaminen

Käsittelyn luonne huomioon ottaen Metaventus avustaa Asiakasta asianmukaisin toimenpitein (ensisijaisesti alustan toiminnoilla): rekisteröityjen oikeuksien käyttöä koskeviin pyyntöihin vastaamisessa (tarkastus, oikaisu, poisto, siirrettävyys, vastustaminen); sekä tietosuoja-asetuksen 32–36 artiklan mukaisten velvoitteiden noudattamisessa (turvallisuus, tietoturvaloukkausten ilmoittaminen, vaikutustenarvioinnit). Kaikista vakiotoiminnot ylittävistä avustuspyynnöistä voidaan veloittaa kohtuullinen, etukäteen sovittu korvaus.

8. Tietoturvaloukkaukset

Metaventus ilmoittaa Asiakkaalle mahdollisimman pian tiedon saatuaan jokaisesta Asiakkaan Tietoja koskevasta tietoturvaloukkauksesta tilin järjestelmänvalvojan tai järjestelmänvalvojien sähköpostiosoitteeseen tietosuoja-asetuksen 33 artiklan 3 kohdassa edellytetyin tiedoin (luonne, kyseessä olevat ryhmät ja määrät, todennäköiset seuraukset, toteutetut tai ehdotetut toimenpiteet).

9. Siirrot Euroopan unionin ulkopuolelle

Asiakkaan Tiedot säilytetään Euroopan unionin alueella. Tietyt alikäsittelijät (liite 3) voivat käsitellä tietoja kolmansista maista; tällöin siirto suojataan tietosuojan riittävyyttä koskevalla päätöksellä (mukaan lukien EU-U.S. Data Privacy Framework) ja/tai Euroopan komission vakiosopimuslausekkeilla, joita täydennetään tarvittaessa lisätoimenpitein.

10. Poistaminen ja palauttaminen

Koko sopimuksen keston ajan Asiakas voi viedä tietonsa alustan toimintojen avulla. Sopimuksen päättyessä Metaventus poistaa Asiakkaan Tiedot kolmenkymmenen (30) päivän kuluessa, ellei säilyttäminen ole lakisääteistä. Ennen tämän määräajan päättymistä esitetystä kirjallisesta pyynnöstä Metaventus vahvistaa poiston.

11. Seloste ja auditoinnit

Metaventus pitää selostetta Asiakkaan lukuun suoritetuista käsittelytoimista (tietosuoja-asetuksen 30 artiklan 2 kohta). Metaventus asettaa Asiakkaan saataville tiedot, jotka ovat tarpeen tämän DPA:n noudattamisen osoittamiseksi (dokumentaatio, toimenpiteiden kuvaukset, saatavilla olevat todistukset).

Asiakas voi suorittaa enintään kerran (1) kahdentoista (12) kuukauden jaksossa auditoinnin, joka rajoittuu sen lukuun suoritettuihin käsittelyihin, kolmenkymmenen (30) päivän kirjallisella ennakkoilmoituksella, omalla kustannuksellaan, työaikana, ilman pääsyä muiden asiakkaiden tietoihin tai liikesalaisuuksiin. Auditointi paikan päällä on mahdollinen vain, jos dokumentaatio ei anna tyydyttävää vastausta.

12. Kesto ja vastuu

Tätä DPA:ta sovelletaan koko palveluehtojen keston ajan ja niin kauan kuin Metaventus käsittelee Asiakkaan Tietoja. Palveluehtojen vastuunrajoituksia ja -poissulkemisia sovelletaan tähän DPA:han.

Tietosuojayhteydenotot: contact@metaventus.com.

13. Kieli

Tämä DPA on laadittu ranskaksi. Jos käännös annetaan ymmärtämisen helpottamiseksi, vain ranskankielinen versio on todistusvoimainen.

Liite 1 — Käsittelyn kuvaus

Luonne ja tarkoitukset: Asiakkaan CRM-tietojen säilyttäminen, tallentaminen, jäsentäminen ja katselu; sähköisten viestien (sähköpostit, tekstiviestit, puhelut) lähettäminen Asiakkaan aloitteesta; tapaamisten varaaminen; Asiakkaan loppuasiakkaiden laskutus; prosessien automatisointi; tekoälyavusteiset toiminnot (käyttäjien pyynnöstä); tekninen lokitus ja käyttötilastot.

Rekisteröityjen ryhmät: Asiakkaan käyttäjät; Asiakkaan yhteystiedot, liidit ja asiakkaat; tapaamisiin osallistuvat; viestien vastaanottajat.

Tietoryhmät: henkilöllisyys ja yhteystiedot (sukunimi, etunimi, sähköposti, puhelin, osoite); ammatilliset tiedot (yritys, tehtävä); liiketoimintatiedot (myyntimahdollisuudet, tarjoukset, laskut, tapaamiset, muistiinpanot); alustan kautta lähetettyjen viestien sisältö; tekniset tiedot (lokit, IP-osoitteet, tunnisteet). Erityisten henkilötietoryhmien käsittely (tietosuoja-asetuksen 9 artikla) on poissuljettu (ks. käyttöehdot).

Kesto: sopimuksen kesto, minkä jälkeen poisto 30 päivän kuluessa (10 artikla), ottaen huomioon Asiakkaan alustalla määrittämät säilytysajat ja lakisääteiset velvoitteet.

Liite 2 — Turvatoimet

• Liikenteen salaus (TLS) kaikissa julkisissa palveluissa;
• Tietojen tiukka eriyttäminen asiakastileittäin (monitilaympäristö);
• Pääsynhallinta rooleittain ja oikeuksittain (RBAC) hienojakoisesti;
• Vahva tunnistautuminen: kaksivaiheinen tunnistautuminen saatavilla (tekstiviesti, TOTP, pääsyavaimet/WebAuthn) ja pakollinen järjestelmänvalvojan rooleille;
• Tunnistautumissalaisuuksien tallennus vahvasti salattuna (AES-256-GCM) ja salasanat tiivisteinä;
• Aikaleimatut auditointilokit (kirjautumiset, roolimuutokset, arkaluonteiset toimet) vähimmäissäilytysajoin, joita ei voi lyhentää;
• Tietojen automaattinen poisto säilytysaikojen päätyttyä;
• Vähimpien oikeuksien periaate henkilöstölle; tuotantopääsyt rajattuja ja henkilökohtaisia;
• Konesalitoimittajan hallinnoimat säännölliset varmuuskopiot (säilytys ja palautus);
• Erilliset kehitys- ja tuotantoympäristöt;
• Sopimushyväksyntöjen jäljitettävyys (aikaleima, versio, SHA-256-tiiviste).

Liite 3 — Alikäsittelijät

Metaventuksen alikäsittelijöitä eivät ole: kolmansien osapuolten palvelut, jotka Asiakas omasta aloitteestaan yhdistää tiliinsä (Google, Microsoft, Zoom, sosiaalinen media jne.) — nämä integraatiot kuuluvat Asiakkaan ja kyseisen kolmannen osapuolen väliseen suoraan suhteeseen.