Henkilötietojen käsittelysopimus (DPA)

Voimassa 10.9.2026 alkaen. Tämä sopimus on osa Urakkavaaka-palvelun käyttöehtoja ja tulee voimaan, kun Asiakas hyväksyy käyttöehdot. Se täyttää EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 (jäljempänä Tietosuoja-asetus) 28 artiklan 3 kohdan vaatimukset.

1. Osapuolet ja roolit

Rekisterinpitäjä: Urakkavaaka-palvelun asiakasyritys (jäljempänä Asiakas). Käsittelijä: Törmän Liikenne Oy, Y-tunnus 3662589-7, Tuulenpolku 2, 61300 Kurikka (jäljempänä Toimittaja). Asiakas päättää, mitä henkilötietoja se tallentaa Palveluun ja mihin tarkoitukseen; Toimittaja käsittelee tietoja Asiakkaan lukuun Palvelun tuottamiseksi.

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

Käsittelyn kohde on Asiakkaan Urakkavaaka-palveluun tallentama sisältö. Käsittelyn tarkoitus on urakkatarjousten laskenta, tarjouspyyntöjen ja tilausten laatiminen tarvikkeiden toimittajille sekä tarjousten tulostaminen ja säilytys. Käsittely on tietojen tallentamista, säilyttämistä, näyttämistä Asiakkaan käyttäjille, varmuuskopiointia ja poistamista. Käsittely kestää tilauksen tai kokeilujakson ajan ja sen jälkeisen säilytysajan (24 kuukautta), ellei Asiakas pyydä poistoa aiemmin.

3. Henkilötietoryhmät ja rekisteröityjen ryhmät

• Asiakkaan tilaajat ja heidän yhteyshenkilönsä: nimi, osoite, puhelinnumero, sähköpostiosoite, kohteen osoite, tarjouksen ja sopimuksen tiedot. Rekisteröityjä ovat yksityishenkilöt, taloyhtiöiden ja yritysten yhteyshenkilöt.
• Asiakkaan käyttäjät: nimi, sähköpostiosoite, rooli, kirjautumistiedot.
• Tarvikkeiden toimittajien yhteyshenkilöt: nimi, sähköpostiosoite, puhelinnumero, jos Asiakas tallentaa ne.
• Erityisiin henkilötietoryhmiin kuuluvia tietoja (Tietosuoja-asetuksen 9 artikla) ei ole tarkoitus käsitellä, eikä Asiakas saa tallentaa niitä Palveluun.

4. Toimittajan velvoitteet

1. Toimittaja käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti. Käyttöehdot, tämä sopimus ja Palvelun toiminnot muodostavat ohjeet. Jos Toimittaja katsoo ohjeen rikkovan lakia, se ilmoittaa siitä Asiakkaalle.
2. Toimittaja varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon.
3. Toimittaja toteuttaa Tietosuoja-asetuksen 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet, jotka on kuvattu liitteessä 2.
4. Toimittaja avustaa Asiakasta rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa Palvelun toimintojen avulla (tietojen katselu, vienti, oikaisu ja poisto) ja tarvittaessa muutoin kohtuullista korvausta vastaan.
5. Toimittaja avustaa Asiakasta 32, 33, 34, 35 ja 36 artiklan mukaisten velvoitteiden täyttämisessä käytettävissään olevien tietojen perusteella.
6. Toimittaja ilmoittaa Asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun Toimittaja on saanut loukkauksen tietoonsa, jotta Asiakas voi tehdä ilmoituksen valvontaviranomaiselle 72 tunnin määräajassa. Ilmoituksessa kuvataan loukkauksen luonne, todennäköiset seuraukset ja toteutetut toimenpiteet.
7. Käsittelyn päätyttyä Toimittaja poistaa henkilötiedot kohdan 7 mukaisesti.
8. Toimittaja antaa Asiakkaalle tämän pyynnöstä tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden noudattamisen osoittamiseksi, ja sallii kohdan 8 mukaiset auditoinnit.

5. Alikäsittelijät

Asiakas antaa yleisen ennakkoluvan liitteessä 3 lueteltujen alikäsittelijöiden käyttöön. Toimittaja tekee jokaisen alikäsittelijän kanssa kirjallisen sopimuksen, jossa alikäsittelijälle asetetaan vastaavat velvoitteet kuin tässä sopimuksessa, ja vastaa alikäsittelijöiden toiminnasta kuin omastaan. Toimittaja ilmoittaa uudesta alikäsittelijästä tai alikäsittelijän vaihtamisesta Asiakkaalle sähköpostitse vähintään 30 päivää ennen muutosta. Asiakas voi vastustaa muutosta perustellusta syystä; jos ratkaisua ei löydy, Asiakas voi irtisanoa tilauksen päättymään muutoksen voimaantuloon, ja käyttämättä jäänyt tilauskauden osuus palautetaan.

6. Tietojen sijainti ja siirrot

Henkilötietoja käsitellään ja säilytetään EU:n alueella. Tietoja ei siirretä EU:n tai ETA:n ulkopuolelle ilman Asiakkaan kirjallista lupaa, lukuun ottamatta liitteessä 3 mainittuja alikäsittelijöiden konsernin sisäisiä siirtoja sekä avustajapalvelun käyttämää Cloudflare, Inc:tä, jonka käsittelyä EU:ssa ei voida taata ja joihin Asiakas antaa luvan tällä sopimuksella. Jos alikäsittelijän ylläpito edellyttää poikkeuksellisesti pääsyä tietoihin ETA:n ulkopuolelta, siirto perustuu Euroopan komission hyväksymiin vakiosopimuslausekkeisiin, EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen tai muuhun Tietosuoja-asetuksen V luvun mukaiseen siirtoperusteeseen.

7. Tietojen palauttaminen ja poistaminen

Asiakas voi milloin tahansa viedä tietonsa Palvelusta koneluettavassa muodossa. Tilauksen tai kokeilujakson päätyttyä tiedot säilyvät 24 kuukautta, jotta Asiakas voi jatkaa palvelun käyttöä, ja poistetaan sen jälkeen. Asiakkaan kirjallisesta pyynnöstä Toimittaja poistaa tiedot 30 päivän kuluessa aikaisemmin. Varmuuskopioista tiedot poistuvat varmuuskopiokierron mukaisesti viimeistään 30 päivässä. Toimittaja säilyttää tiedot, joiden säilyttämistä laki edellyttää, säilytysajan loppuun.

8. Auditointi

Asiakkaalla on oikeus enintään kerran vuodessa, ja lisäksi tietoturvaloukkauksen jälkeen, tarkastaa tämän sopimuksen noudattaminen. Tarkastus tehdään ensisijaisesti Toimittajan antamien kirjallisten selvitysten ja alikäsittelijöiden auditointiraporttien (esimerkiksi SOC 2) perusteella. Paikan päällä tehtävästä tarkastuksesta sovitaan erikseen vähintään 30 päivää etukäteen, se tehdään Toimittajan työaikana ja siitä aiheutuvat kohtuulliset kustannukset korvaa Asiakas, ellei tarkastuksessa todeta olennaista rikkomusta.

9. Vastuu ja voimassaolo

Osapuolten vastuu määräytyy Tietosuoja-asetuksen 82 artiklan ja käyttöehtojen mukaisesti. Käyttöehtojen vastuunrajoitus koskee myös tätä sopimusta siltä osin kuin pakottava lainsäädäntö sen sallii. Tämä sopimus on voimassa niin kauan kuin Toimittaja käsittelee henkilötietoja Asiakkaan lukuun.

Liite 1: Käsittelyn kuvaus

Kohta	Sisältö
Käsittelyn kohde	Urakkalaskelmat, tarjoukset, tarjouspyynnöt, tilaukset, toimittajahinnastot ja yrityksen tiedot, jotka Asiakas tallentaa Palveluun
Tarkoitus	Urakkatarjousten laskenta ja laatiminen Asiakkaan liiketoiminnassa
Käsittelytoimet	Tallennus, säilytys, näyttäminen Asiakkaan käyttäjille, vienti Asiakkaalle, varmuuskopiointi, poisto
Rekisteröidyt	Asiakkaan tilaajat ja heidän yhteyshenkilönsä, Asiakkaan käyttäjät, toimittajien yhteyshenkilöt
Henkilötiedot	Nimi, osoite, puhelinnumero, sähköpostiosoite, kohteen osoite, tarjouksen tiedot; käyttäjän nimi, sähköposti ja kirjautumistiedot
Kesto	Tilauksen ajan ja 24 kuukautta sen päättymisestä, tai Asiakkaan pyynnöstä lyhyemmin
Sijainti	EU (Tukholma, Ruotsi) ja Suomi

Liite 2: Tekniset ja organisatoriset toimenpiteet

• Salaus siirrossa: kaikki yhteydet HTTPS-salattuja, HSTS käytössä. Salaus levossa: tietokanta salattu AES-256 (Supabase).
• Pääsynhallinta: jokaisella tietokantataululla rivitason käyttöoikeudet, joilla käyttäjä näkee vain oman yrityksensä tiedot. Julkinen sovellusavain ei anna lukuoikeutta mihinkään tietoon; kaikki luku vaatii kirjautumisen.
• Tunnistus: henkilökohtaiset käyttäjätunnukset ja salasanat, jotka tallennetaan tiivisteinä. Ylläpitotunnuksissa kahden vaiheen tunnistus.
• Sisällön turvakäytäntö (Content Security Policy) ja muut selaimen turvaotsakkeet Palvelun sivuilla.
• Lokitus: kirjautumiset ja epäonnistuneet kirjautumisyritykset kirjataan ja tarkistetaan säännöllisesti.
• Varmuuskopiot: tietokannasta otetaan päivittäinen varmuuskopio, jota säilytetään vähintään 7 päivää, ja palautus testataan.
• Ohjelmistokehitys: lähdekoodi yksityisessä versionhallinnassa, salaisia avaimia ei tallenneta koodiin, muutokset testataan ennen julkaisua.
• Alikäsittelijät: vain sopimuksen perusteella, tiedot EU:ssa.
• Tietoturvaloukkaukset: kirjallinen menettely havaitsemisesta ilmoitukseen 48 tunnin kuluessa.

Liite 3: Alikäsittelijät

Alikäsittelijä	Tehtävä	Sijainti	Lisätiedot
Supabase Inc.	Tietokanta, kirjautuminen, tallennus	Tukholma, Ruotsi (EU)	SOC 2 Type 2, ISO 27001, tietojenkäsittelysopimus supabase.com/legal/dpa
Planeetta Internet Oy (Domainhotelli), Y-tunnus 1753494-9, Firdonkatu 2 T 105, 00520 Helsinki	Verkkopalvelin ja sähköposti	Suomi	Varmuuskopiot 2 viikkoa
Stripe Payments Europe, Limited ja Stripe Technology Europe, Limited, Dublin, Irlanti	Maksupalvelu: korttimaksut, laskut, kuitit, maksukortin säilytys	Irlanti (EU); konsernin sisäiset siirrot Yhdysvaltoihin	Tietojenkäsittelysopimus stripe.com/legal/dpa, EU:n ja Yhdysvaltojen tietosuojakehys ja vakiosopimuslausekkeet; PCI DSS -taso 1
Cloudflare, Inc. (Workers AI)	Avustajan tekoälyvastaukset (kysymyksen teksti, ohjetekstit ja näkymän tilatiedot, ei hintoja eikä tilaajien tai toimittajien tietoja) ja toimittajan tarjouksen lukeminen (käyttäjän itse valitsema tarjoustiedosto, vain käyttäjän suostumuksella)	Cloudflaren maailmanlaajuinen verkko; ajopaikkaa EU:ssa ei voida taata	Cloudflaren tietojenkäsittelysopimus, EU:n ja Yhdysvaltojen tietosuojakehys ja vakiosopimuslausekkeet; sisältöä ei käytetä mallien koulutukseen ilman suostumusta

Sopimusasiakirjat: Käyttöehdot · Tietosuojaseloste · Henkilötietojen käsittelysopimus · Tietoturvakuvaus · Sivuston tietosuojaseloste