Tietosuojaliite

Tämä tietosuojaliite (“Liite”) koskee Asiakkaan ja Millilanen (Y-tunnus: 3361874-7), joka toimii Revuu-kauppanimellä (“Revuu”), välistä suhdetta siltä osin kuin Revuu käsittelee henkilötietoja Asiakkaan puolesta Asiakkaan käyttäessä Revuun verkkoalustaa (“Palvelu”) Revuun käyttöehtojen (“Sopimus”) mukaisesti. Asiakasta pidetään tällaisten henkilötietojen rekisterinpitäjänä EU:n asetuksen 2016/679 (“GDPR”) mukaisesti, ja Revuu käsittelee Palvelua tarjotessaan näitä henkilötietoja Asiakkaan puolesta henkilötietojen käsittelijänä Sopimuksen tarkoituksia varten. Tässä liitteessä “henkilötiedoilla” tarkoitetaan sellaisia henkilötietoja, joita Revuu käsittelee Asiakkaan puolesta Asiakkaan henkilötietojen käsittelijänä. Selvyyden vuoksi tätä Liitettä ei sovelleta henkilötietojen käsittelyyn, jossa Revuu toimii itsenäisenä rekisterinpitäjänä GDPR:n mukaisesti (esim. liiketoiminnan yhteystiedot ja laskutustiedot osapuolten yhteistyön puitteissa). On huomioitava, että Revuu on Millilanen käyttämä kauppanimi, ja kaikki viittaukset Revuuhun tässä Liitteessä tarkoittavat Millilanea, joka operoi Revuu-alustaa ja -palveluita.

Käsittely määritellään aluksi seuraavasti:

Käsittelyn luonne, tarkoitus ja kesto: Palvelun tarjoaminen Asiakkaalle Sopimuksen voimassaoloaikana.

Henkilötietojen tyypit: Nimet ja yhteystiedot, tunnistettavan henkilön antama palaute, tunnistettava mediasisältö kuten videosuosittelut ja valokuvat.

Rekisteröityjen ryhmät: Asiakkaan asiakkaat, työntekijät tai alihankkijat.

1. MÄÄRITELMÄT

1.1 “Revuu” viittaa tässä sopimuksessa käytettyyn kaupalliseen nimeen alustalle ja palveluille.

1.2 “Millilane” viittaa suomalaiseen yksityiseen elinkeinonharjoittajaan (Y-tunnus: 3361874-7), joka operoi Revuu-palvelua.

1.3 “Henkilötietojen käsittelijä” tarkoittaa tässä sopimuksessa Millilanea, joka toimii Revuu-kauppanimellä.

2. OSAPUOLTEN SUHDE

2.1 Tässä liitteessä Henkilötietojen käsittelijä on Millilane, suomalainen yksityinen elinkeinonharjoittaja (Y-tunnus: 3361874-7), joka toimii Revuu-kauppanimellä. Kaikki viittaukset Revuuhun tässä sopimuksessa tarkoittavat Millilanea, joka operoi Revuu-alustaa ja -palveluita.

2.2 Rekisterinpitäjä ymmärtää, että se tekee tämän sopimuksen Millilanen kanssa, vaikka sopimuksessa ja palveluihin liittyen käytetään Revuu-kauppanimeä.

3. HENKILÖTIETOJEN KÄSITTELY

Revuu käsittelee henkilötietoja ainoastaan tämän Liitteen ja Asiakkaan dokumentoitujen ohjeiden mukaisesti, ellei unionin tai jäsenvaltion lainsäädäntö, jota Revuuhun sovelletaan, toisin edellytä. Tällaisessa tapauksessa Revuu ilmoittaa Asiakkaalle tästä oikeudellisesta vaatimuksesta ennen käsittelyä, paitsi jos kyseinen laki kieltää tällaisen ilmoittamisen tärkeän yleisen edun vuoksi. Asiakkaan ohjeiden tulee olla kaupallisesti kohtuullisia, sovellettavan tietosuojalainsäädännön mukaisia ja tämän Liitteen kanssa yhdenmukaisia. Jos Asiakkaan ohjeet edellyttävät Revuulta lisätoimenpiteitä tai -työtä, Revuulla on oikeus veloittaa Asiakkaalta tuntiperusteinen konsultointimaksu (75€/h+alv) tällaisten Asiakkaan ohjeiden noudattamisesta, edellyttäen Asiakkaan ennakkohyväksyntää tällaisille lisäkustannuksille.

Revuu ilmoittaa välittömästi Asiakkaalle kirjallisesti, jos sen mielestä Asiakkaan ohje rikkoo sovellettavaa tietosuojalainsäädäntöä.

4. TIETOTURVA

Ottaen huomioon uusimman teknologian, toteutuskustannukset sekä Revuun suorittaman käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset, kuten myös luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, Revuu toteuttaa ja ylläpitää asianmukaisia teknisiä ja organisatorisia turvatoimenpiteitä suojatakseen henkilötietoja luvattomalta tai laittomalta käsittelyltä ja vahingoilta, erityisesti tahattomalta tai laittomalta tuhoamiselta, häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai pääsyltä henkilötietoihin.

Revuu ilmoittaa Asiakkaalle tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa loukkauksen havaitsemisesta. Ilmoituksessa tulee olla:

• (i) kuvaus tietoturvaloukkauksen luonteesta, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät
• (ii) Revuun yhteyshenkilön nimi ja yhteystiedot, josta saa lisätietoja
• (iii) kuvaus loukkauksen todennäköisistä seurauksista
• (iv) kuvaus toimenpiteistä, joihin Revuu on ryhtynyt loukkauksen johdosta, mukaan lukien tarvittaessa toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.

Revuu toimittaa Asiakkaalle säännöllisiä päivityksiä ja lisätietoja tietoturvaloukkauksesta sitä mukaa kun niitä on saatavilla.

Revuu dokumentoi kaikki henkilötietojen tietoturvaloukkaukset, mukaan lukien henkilötietojen tietoturvaloukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet.

Revuu varmistaa, että henkilöt, jotka käsittelevät henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

5. AVUSTAMISVELVOLLISUUDET

Ottaen huomioon käsittelyn luonteen, Revuu avustaa Asiakasta asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, siinä määrin kuin se on mahdollista, Asiakkaan velvollisuuden täyttämisessä vastata rekisteröityjen oikeuksia koskeviin pyyntöihin GDPR:n III luvun mukaisesti (kuten oikeus saada pääsy tietoihin sekä oikeus tietojen oikaisemiseen tai poistamiseen).

Ottaen huomioon käsittelyn luonteen ja Revuun käytettävissä olevat tiedot, Revuu avustaa lisäksi Asiakasta varmistamaan, että Asiakas noudattaa GDPR:n 32-36 artikloissa säädettyjä velvoitteita (esim. turvallisuus- ja tietosuojaa koskevien vaikutustenarviointien suorittaminen, siirtovaikutusten arviointi, tietoturvaloukkauksista ilmoittaminen ja toimivaltaisen valvontaviranomaisen ennakkokuuleminen).

Mikäli tällainen avustaminen edellyttää toimenpiteitä Revuulta, Revuulla on oikeus veloittaa Asiakkaalta tuntiperusteinen konsultointimaksu tällaisten avustuspyyntöjen käsittelystä Revuun sen hetkisen konsultointipalveluiden hinnaston mukaisesti, edellyttäen Asiakkaan ennakkohyväksyntää tällaisille lisäkustannuksille.

6. ALIHANKKIJAT

Asiakas antaa yleisen valtuutuksen Revuulle käyttää alihankkijoita henkilötietojen käsittelijöinä Palvelun tarjoamiseen liittyvässä henkilötietojen käsittelyssä. Revuu voi vapaasti valita ja vaihtaa alihankkijoitaan.

Jos alihankkijaa myöhemmin vaihdetaan (lisätään tai korvataan), Revuu ilmoittaa Asiakkaalle kirjallisesti vähintään kymmenen (10) päivää etukäteen uusista alihankkijoista ennen näiden valtuuttamista käsittelemään Henkilötietoja Palvelun tarjoamisen yhteydessä. Asiakas voi vastustaa uuden alihankkijan käyttöä ilmoittamalla siitä kirjallisesti Revuulle kymmenen (10) arkipäivän kuluessa Revuun ilmoituksesta. Mikäli Asiakas vastustaa uutta alihankkijaa, Revuu pyrkii kohtuullisin kaupallisin ponnistuksin tarjoamaan Asiakkaalle vaihtoehtoista ratkaisua Palvelun toteuttamiseksi ilman kyseistä alihankkijaa. Jos Revuu ei kykene tarjoamaan vaihtoehtoista ratkaisua kolmenkymmenen (30) päivän kuluessa, kummallakin Osapuolella on oikeus irtisanoa Sopimus niiden palveluiden osalta, joita ei voida tarjota ilman kyseistä alihankkijaa.

Kun Revuu käyttää alihankkijaa tiettyjen käsittelytoimintojen suorittamiseen Asiakkaan puolesta, alihankkijan ja Revuun väliseen sopimukseen on sisällytettävä samat tietosuojavelvoitteet kuin tässä Liitteessä on esitetty. Jos alihankkija ei täytä tietosuojavelvoitteitaan, Revuu on täysimääräisesti vastuussa Asiakkaalle alihankkijan velvoitteiden suorittamisesta.

7. KANSAINVÄLISET SIIRROT

Asiakas hyväksyy, että Revuu voi käsitellä henkilötietoja ja antaa niihin pääsyn Revuulle tai sen alihankkijoille Euroopan talousalueen (“ETA”) ulkopuolella Palvelun tarjoamiseksi. Jos henkilötietoja siirretään ETA:lta käsiteltäväksi missä tahansa ETA:n ulkopuolisessa maassa, jota Euroopan komissio ei ole tunnustanut tarjoavan riittävää henkilötietojen suojaa, Asiakas valtuuttaa Revuun tekemään Asiakkaan puolesta Euroopan komission hyväksymät tai vahvistamat uudistetut vakiosopimuslausekkeet (Moduuli Kolme, Käsittelijältä käsittelijälle -siirrot), jotka koskevat ETA:n ulkopuolella tapahtuvaa käsittelyä, tai Revuu tarjoaa muut asianmukaiset suojatoimet ETA:n ulkopuolelle siirrettävien henkilötietojen suojaamiseksi GDPR:n mukaisesti.

Pyynnöstä Revuu toimittaa Asiakkaalle tiedot kansainvälisiä siirtoja varten käyttöönotetuista täydentävistä suojatoimista, mukaan lukien tiedot toteutetuista täydentävistä toimenpiteistä henkilötietojen suojaamiseksi siinä lainkäyttöalueella, johon ne siirretään.

8. AUDITOINNIT

Asiakkaalla tai Asiakkaan nimeämällä auditoijalla on Revuun avustuksella oikeus tarkastaa Revuun tämän Liitteen mukaiset käsittelytoimet arvioidakseen Revuun sopimuksellisten velvoitteiden noudattamista tämän Liitteen ja sovellettavan tietosuojalainsäädännön mukaisesti Revuun tavanomaisen työajan puitteissa ja 90 päivän kirjallisella ennakkoilmoituksella. Auditointi saa kestää enintään kaksi (2) arkipäivää, ja se tulee suorittaa tavalla, joka aiheuttaa mahdollisimman vähän häiriötä Revuun liiketoiminnalle. Asiakas vastaa Revuulle tai Asiakkaalle tarkastuksesta aiheutuneista kustannuksista.

Jos tarkastus voi Revuun yksinomaisen näkemyksen mukaan johtaa Revuun liikesalaisuuksien paljastumiseen tai uhata Revuun immateriaalioikeuksia, Asiakkaan tulee käyttää riippumatonta auditoijaa, joka ei ole Revuun kilpailija, suorittamaan tarkastus, ja auditoijan on sitouduttava salassapitoon Revuun eduksi.

Revuu asettaa Asiakkaan saataville Asiakkaan pyynnöstä tiedot, jotka ovat tarpeen GDPR:n noudattamisen osoittamiseksi. Jos edellä mainittu Asiakkaan pyyntö edellyttää Revuulta toimenpiteitä tai työtä, Revuulla on oikeus veloittaa tuntiperusteinen konsultointimaksu (75€/h+alv) tällaisten pyyntöjen käsittelystä, edellyttäen Asiakkaan ennakkohyväksyntää tällaisille lisäkustannuksille.

9. HENKILÖTIETOJEN POISTAMINEN TAI PALAUTTAMINEN

Kohtuullisen ajan kuluessa Sopimuksen päättymisen tai umpeutumisen jälkeen tai sen jälkeen, kun Asiakas on pysyvästi lakannut käyttämästä Palvelua, Revuu joko poistaa tai palauttaa Asiakkaalle kaikki henkilötiedot Asiakkaan ohjeiden mukaisesti, paitsi siltä osin kuin Revuulla on Euroopan unionin tai jäsenvaltion lainsäädännön mukainen velvollisuus jatkaa kyseisten henkilötietojen säilyttämistä.