Tietojenkäsittelysopimus (DPA)

Tämä on pelkkä informatiivinen käännös. Englanninkielinen versio on sitova.

Tässä sopimuksessa määritetään, miten Aphroa käsittelee henkilötietoja asiakkaan lukuun. Sopimusta sovelletaan Fair Lead Hub -palveluun ja jokaiseen palveluun, jossa Aphroa voi nähdä henkilötietoja asiakkaan verkkosivustolla tai järjestelmissä. Asiakas on rekisterinpitäjä ja Aphroa henkilötietojen käsittelijä GDPR:n 28 artiklan mukaisesti. Sopimus on osa käyttöehtoja ja tulee voimaan, kun asiakas tekee tilauksen tai aloittaa kokeilun.

1. Osapuolet ja soveltamisala

• Rekisterinpitäjä: tilaava tai kokeilun aloittava yritys (”asiakas”).
• Henkilötietojen käsittelijä: yksityisyrittäjä Sedeus, joka toimii brändillä Aphroa (”käsittelijä”). Yrityksen omistaja: Sercan Uslu. Osoite ja yhteystiedot ovat oikeudellisissa tiedoissa.
• Sopimuksen piiriin kuuluvat palvelut: Fair Lead Hub sekä Website Fix & Speed, New Website, SEO & AI Visibility, Integrations & Automation ja For Agencies, kun käsittelijälle annetaan pääsy järjestelmiin, joissa on henkilötietoja.
• Henkilötiedot, jotka asiakas lähettää pyyntö- tai tilauslomakkeessa, käsitellään rekisterinpitäjänä toimien. Se on kuvattu tietosuojaselosteessa, ei tässä.

2. Käsittelyn kohde ja kesto

Kohteena on kohdassa 3 kuvattu käsittely. Sopimus on voimassa niin kauan kuin siihen kuuluvaa palvelua tarjotaan, sekä sen ajan, joka tarvitaan tietojen palauttamiseen tai poistamiseen kohdan 10 mukaisesti.

3. Käsittelyn luonne ja tarkoitus

• Fair Lead Hub: palveluna tarjotaan verkkosovellus, jolla käyntikortit skannataan, niiden tiedot luetaan, yhteystietoja säilytetään ja viedään sekä tervetuloviestit ja jatkoviestit valmistellaan ja lähetetään asiakkaan omasta osoitteesta ja omalla SMTP-palvelimella. Jatkoviestit personoidaan automaattisilla työkaluilla.
• Työ asiakkaan verkkosivustolla tai järjestelmissä: asiakkaan antamaa pääsyä käytetään sovitun työn tekemiseen. Siellä tallennettuja henkilötietoja voi tulla nähtäväksi, esimerkiksi lomakkeiden tietoja, tilauksia tai käyttäjätilejä. Niitä käytetään vain työn tekemiseen.
• Tietoja käsitellään vain näihin tarkoituksiin eikä käsittelijän omiin tarkoituksiin. Niitä ei myydä.

4. Tietotyypit ja rekisteröidyt

• Fair Lead Hub: henkilöt, joiden käyntikortit skannataan tai joiden tiedot syötetään; asiakkaan oma henkilöstö, joka käyttää sovellusta. Tiedot: nimi, titteli, yritys, sähköpostiosoite, puhelinnumero, verkkosivusto ja heille valmisteltujen jatkoviestien sisältö sekä käyttäjien tilitiedot.
• Työ asiakkaan järjestelmissä: asiakkaan asiakkaat, verkkosivuston kävijät, käyttäjät ja henkilöstö siltä osin kuin heidän tietonsa ovat järjestelmissä, joihin pääsy on. Tiedot: yhteystiedot, tilitiedot, tilaus- ja lomaketiedot, tekniset tiedot.
• Erityisiä henkilötietoryhmiä (GDPR 9 artikla) tai rikostuomioita koskevia tietoja ei tule antaa käsittelijälle. Jos asiakkaan järjestelmissä on tällaisia tietoja, siitä on ilmoitettava ennen pääsyn antamista.

5. Asiakkaan velvollisuudet

• Asiakas vastaa käsittelyn lainmukaisuudesta, mukaan lukien oikeusperuste, rekisteröityjen informointi ja tarvittaessa heidän suostumuksensa sähköposteihin.
• Ohjeet annetaan kirjallisesti (sähköposti riittää). Käyttöehdot, tarjous ja palvelun käyttö ovat asiakkaan täydelliset ohjeet alussa.
• Asiakas ilmoittaa viipymättä, jos ohjetta ei voida noudattaa lainmukaisesti tai jos tiedot ovat virheellisiä.

6. Käsittelijän velvollisuudet

• Henkilötietoja käsitellään vain asiakkaan dokumentoitujen ohjeiden mukaisesti, myös siirroissa muihin maihin, ellei laki edellytä toisin. Asiakkaalle ilmoitetaan, jos ohjeen katsotaan rikkovan tietosuojalainsäädäntöä.
• Jokainen, jolla on käsittelijän puolesta pääsy tietoihin, on sidottu vaitiolovelvollisuuteen.
• Käsittelijä toteuttaa kohdan 7 mukaiset toimenpiteet.
• Alikäsittelijöitä käytetään vain kohdan 8 mukaisesti.
• Käsittelijä auttaa asiakasta mahdollisuuksien mukaan vastaamaan rekisteröityjen pyyntöihin (pääsy, oikaisu, poisto, rajoitus, siirrettävyys, vastustaminen). Jos tällainen henkilö ottaa yhteyttä suoraan käsittelijään, pyyntö välitetään asiakkaalle.
• Käsittelijä auttaa asiakasta GDPR:n 32–36 artiklan mukaisissa velvollisuuksissa (tietoturva, tietoturvaloukkauksista ilmoittaminen, vaikutustenarviointi, ennakkokuuleminen) käsittelijän tietämys huomioon ottaen.
• Asiakkaalle ilmoitetaan aiheetta viivyttelemättä ja viimeistään 24 tunnin kuluessa siitä, kun käsittelijä saa tiedon asiakkaan tietoihin kohdistuvasta henkilötietojen tietoturvaloukkauksesta, ja asiakkaalle annetaan ilmoitusta varten käsittelijän hallussa olevat tiedot.
• Asiakkaalle annetaan tiedot, joita tarvitaan sen osoittamiseksi, että käsittelijä noudattaa tätä sopimusta (kohta 11).

7. Tekniset ja organisatoriset toimenpiteet

Näitä toimenpiteitä sovelletaan Aphroan verkkosivustoon, lomakkeisiin ja sähköpostijärjestelmiin.

• Salatut yhteydet: verkkosivusto ja lomakkeet toimivat vain HTTPS-yhteydellä. Sähköpostit lähetetään omalta sähköpostipalvelimelta salattujen yhteyksien kautta.
• Rajattu pääsy: pääsy asiakkaan tietoihin rajataan niihin, jotka tarvitsevat sitä työtä varten. Pääsy pyydetään antamaan työtä varten luodulla tilapäisellä tilillä. Pääsyä käytetään vain työtä varten, ja se pyydetään sulkemaan työn päätyttyä.
• Tietojen minimointi: liidi- ja suostumustietueisiin ei tallenneta IP-osoitteita; tallennetaan päivittäin vaihtuva tiiviste. Pyydetään vain työn tarvitsemat tiedot.
• Lyhyt säilytys: tietueet poistetaan automaattisesti säilytysajan jälkeen: liidit 24 kuukauden kuluttua, jonossa olevat sähköpostit 30 päivän kuluttua, lähetyslisäosan loki 14 päivän kuluttua ja palvelimen lokit 7 päivän kuluttua.
• Verkkosivuston koventaminen: tiedostojen muokkaus hallinnassa on poistettu käytöstä, XML-RPC-rajapinta on pois päältä, käyttäjänimilistoja ei paljasteta ja tietokantayhteydet käyttävät valmisteltuja lauseita.
• Väärinkäytön esto: lomakkeissa on piilokenttä, allekirjoitettu aikatunniste, Cloudflare Turnstile ja yrityskertojen rajoitus.
• Oma sähköpostipalvelin: sähköposteja ei lähetetä kolmannen osapuolen postituspalvelun kautta.

8. Alikäsittelijät

Asiakas antaa käsittelijälle yleisen luvan käyttää taulukon alikäsittelijöitä. Asiakkaalle ilmoitetaan sähköpostitse tai tällä sivulla ennen alikäsittelijän lisäämistä tai vaihtamista. Asiakas voi vastustaa muutosta perustellusta tietosuojasyystä 30 päivän kuluessa. Jos yhteisymmärrystä ei löydy, kumpi tahansa osapuoli voi päättää kyseisen palvelun.

9. Siirrot muihin maihin

Cloudflare, Inc. sijaitsee Yhdysvalloissa. Siirrossa perusteena on EU:n ja Yhdysvaltojen välinen tietosuojakehys (Data Privacy Framework), jos palveluntarjoaja on sertifioitu, sekä vakiosopimuslausekkeet.

Anthropic sijaitsee Yhdysvalloissa. Fair Lead Hub -palvelun tiedot, jotka siirtyvät Anthropic-yhtiölle käyntikorttien lukemista ja sähköpostien personointia varten, siirretään vain asianmukaisin suojatoimin.

Käsittelijä toimii Turkissa, jota varten EU:lla ei ole tietosuojan riittävyyttä koskevaa päätöstä, ja tietoja avataan sieltä. Jos siirtosäännöt edellyttävät suojatoimia asiakkaan tiedoille, sopivista suojatoimista sovitaan asiakkaan kanssa, esimerkiksi Euroopan komission vakiosopimuslausekkeista. Yhteydenotto osoitteeseen legal@aphroa.com, minkä jälkeen ne toteutetaan.

10. Poistaminen ja palauttaminen

Kun palvelu päättyy, asiakkaan henkilötiedot poistetaan tai palautetaan asiakkaalle 30 päivän kuluessa asiakkaan valinnan mukaan. Fair Lead Hub -yhteystiedot palautetaan CSV-tiedostona. Asiakkaan antamaa pääsyä ei enää käytetä. Tietoja säilytetään vain, jos laki sitä edellyttää, ja silloinkin vain kyseistä tarkoitusta varten.

11. Tiedot ja tarkastukset

Pyynnöstä asiakkaalle annetaan tiedot, joita tarvitaan sen osoittamiseksi, että tätä sopimusta noudatetaan. Jos tämä ei riitä, asiakas voi tarkastaa käsittelyn kohtuullisella ennakkoilmoituksella, työaikana ja häiritsemättä käsittelijän muita asiakkaita. Kumpikin osapuoli vastaa omista kuluistaan. Tarkastukset koskevat vain asiakkaan tietojen käsittelyä.

12. Vastuu ja muut ehdot

Tähän sopimukseen sovelletaan käyttöehtojen vastuuehtoja. Jos tämä sopimus ja käyttöehdot poikkeavat toisistaan henkilötietojen osalta, sovelletaan tätä sopimusta.

13. Sovellettava laki ja toimivaltainen tuomioistuin

Tähän sopimukseen sovelletaan Turkin tasavallan lakia. Toimivaltaisia ovat Eskişehirin tuomioistuimet ja ulosottovirastot, ellei pakottavasta laista muuta johdu.

14. Yhteystiedot

Tätä sopimusta koskevat kysymykset: legal@aphroa.com.