Tietojenkäsittelysopimus

Liite 1
GIRAFFE360-TIETOJENKÄSITTELYSOPIMUS (DPA)

1. Tausta

1. 1.1 Tätä tietojenkäsittelysopimusta ja sen liitteitä (”DPA”) sovelletaan Euroopan talousalueen (ETA) maissa ja Yhdistyneessä kuningaskunnassa (UK) toimiviin Asiakkaisiin, ja se ilmentää Giraffe360:n ja Asiakkaan sopimusta Asiakastietojen käsittelystä, jota Giraffe360 suorittaa käsittelijänä rekisterinpitäjänä toimivan Asiakkaan puolesta.
2. 1.2 Tämä DPA on sisällytetty Asiakkaan ja Giraffe360:n välisiin Giraffe360:n Palveluehtoihin (”Sopimus”), ja se on osa niitä. Jos tämän DPA:n määräysten ja Sopimuksen määräysten välillä on ristiriita, tämän DPA:n määräykset ovat ensisijaisia.

2. Määritelmät

Ellei jäljempänä toisin määritellä, kullakin tässä DPA:ssa isolla alkukirjaimella kirjoitetulla termillä on Sopimuksessa määritelty merkitys, ja seuraavat tässä DPA:ssa isolla alkukirjaimella kirjoitetut termit määritellään seuraavasti:

”Asiakastiedot” tarkoittaa kaikkia Giraffe360-sisältöön sisältyviä Henkilötietoja ja muuta sisältöä tai tietoja, jotka Asiakas asettaa Giraffe360:n saataville ja joita Giraffe360 säilyttää Giraffe360-palvelun tarjoamisen yhteydessä, mukaan lukien Kiinteistötiedot, Asiakasprofiilitiedot ja Asiakkaan asiakkaiden tiedot, kuten tarkemmin kuvataan tämän DPA:n kohdassa 3.1.

”Rekisterinpitäjä” tarkoittaa luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä muiden kanssa määrittää Henkilötietojen Käsittelyn tarkoitukset ja keinot. Tämän DPA:n soveltamiseksi Rekisterinpitäjä on Asiakas.

”Tietosuojalainsäädäntö” tarkoittaa yleistä tietosuoja-asetusta, kansallista täytäntöönpano- tai täydentävää lainsäädäntöä ja muuta sovellettavaa lainsäädäntöä, joka suojaa henkilöiden perusoikeuksia ja -vapauksia sekä heidän oikeuttaan yksityisyyteen Asiakastietojen käsittelyn osalta.

”Rekisteröity” tarkoittaa henkilöä, jota Henkilötiedot koskevat.

”Euroopan talousalue” tai ”ETA” tarkoittaa Euroopan unionin jäsenvaltioita sekä Islantia, Norjaa ja Liechtensteinia.

”Yleinen tietosuoja-asetus” tarkoittaa Euroopan parlamentin ja neuvoston EU:n yleistä tietosuoja-asetusta 2016/679 ja soveltuvin osin ”UK GDPR” -asetusta, sellaisena kuin se määritellään asetuksessa The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

”Ohjeet” tarkoittaa Asiakkaan Giraffe360:lle antamia kirjallisia, dokumentoituja ohjeita, joilla Giraffe360 ohjataan suorittamaan tietty tai yleinen toimenpide Asiakastietojen osalta.

”Alikäsittelijä” tarkoittaa Giraffe360:n käyttämää Käsittelijää, joka Käsittelee Giraffe360:n Asiakastietoja.

”Henkilötiedot” tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja, sellaisina kuin ne määritellään asiaankuuluvassa Tietosuojalainsäädännössä.

”Henkilötietojen tietoturvaloukkaus” tarkoittaa Asiakastietojen vahingossa tapahtuvaa tai lainvastaista tuhoamista, häviämistä, muuttamista, turmeltumista tai luvatonta luovuttamista taikka luvatonta pääsyä Asiakastietoihin, sellaisena kuin se määritellään asiaankuuluvassa Tietosuojalainsäädännössä.

”Käsittely” tarkoittaa toimintoa tai toimintoja, joita kohdistetaan Henkilötietoihin ja jotka käsittävät Henkilötietojen keräämisen, tallentamisen, järjestämisen, jäsentämisen, säilyttämisen, muokkaamisen tai muuttamisen, haun, kyselyn, käytön, tietojen luovuttamisen siirtämällä, levittämällä tai asettamalla ne muutoin saataville, yhteensovittamisen tai yhdistämisen, rajoittamisen, poistamisen tai tuhoamisen. Termejä ”Käsitellä”, ”Käsittelee” ja ”Käsitelty” tulkitaan vastaavasti.

”Käsittelijä” tarkoittaa luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka Käsittelee Henkilötietoja Rekisterinpitäjän puolesta. Tämän DPA:n soveltamiseksi Käsittelijä on Giraffe360.

3. Tietojenkäsittely

1. 3.1 Giraffe360 käsittelee seuraavien Rekisteröityjen seuraavia Henkilötietoryhmiä jäljempänä kuvattuihin tarkoituksiin:
1. 1. Kiinteistötiedot: Näihin sisältyvät kuvat, videot, pistepilvet, virtuaalikierrokset, pohjapiirrokset, GPS-sijaintitiedot, kiinteistön esittelysivulla annetut tiedot ja muut asiaan liittyvät kiinteistötiedot, jotka Asiakas on tallentanut, jotka on poimittu Giraffe360-kamerasta tai jotka Asiakas on antanut Giraffe360-palvelun käyttönsä seurauksena. Vaikka nämä tiedot eivät tyypillisesti yksilöi luonnollista henkilöä, ne voivat harvinaisissa tapauksissa yksilöidä kiinteistön omistajat, henkilöt, joiden tietoja tallentuu Skannauksen aikana, tai Asiakkaan. Asiakkaan vastuulla on varmistaa, etteivät Kuvausaineistot sisällä Palveluehdoissa määriteltyjä Kiellettyjä henkilötietoja. Kiinteistötietoja käsitellään Giraffe360-sisällön luomiseksi.
   2. Asiakasprofiilitiedot: Näihin sisältyvät Asiakasta, sen edustajia tai työntekijöitä koskevat Henkilötiedot, kuten etunimet, sukunimet, sähköpostiosoitteet, puhelinnumerot, valokuvat, iskulauseet ja hyperlinkit sosiaalisen median tileihin, jotka Asiakas antaa Hallintapaneelin kautta käyttäessään Giraffe360-palvelua. Näitä tietoja Käsitellään seuraavien mahdollistamiseksi: Hallintapaneeliprofiilien luominen Asiakkaalle, sen edustajille tai työntekijöille; pääsy Giraffe360-sisältöön Hallintapaneelissa; Giraffe360-sisällön jakaminen sekä Asiakasta, sen edustajia tai työntekijöitä koskevien tietojen antaminen Giraffe360-palvelun kautta.
   3. Asiakkaan asiakkaiden tiedot: Näihin sisältyvät Asiakkaan asiakkaiden henkilötiedot, kuten mahdollisten kiinteistön ostajien tai vuokralaisten etunimet, sukunimet, sähköpostiosoitteet, puhelinnumerot ja viestit. Nämä tiedot asetetaan Asiakkaan saataville Hallintapaneelin kautta. Ne tallentuvat, kun Asiakas ottaa käyttöön Leads-toiminnon, jonka avulla Asiakkaan asiakkaat voivat jättää yhteystietonsa, jotta Asiakas voi ottaa heihin yhteyttä. Asiakas voi poistaa tämän toiminnon käytöstä Hallintapaneelissa.
2. 3.2 Asiakastietoja siirretään jatkuvasti Sopimuksessa ja tässä DPA:ssa määriteltyjen palvelujen tarjoamisen yhteydessä Sopimuksen päättymiseen asti.

4. Asiakkaan velvollisuudet

1. 4.1 Asiakas vastaa kaikkien Tietosuojalainsäädännön mukaisten Asiakkaaseen sovellettavien vaatimusten noudattamisesta Asiakkaan suorittaman Henkilötietojen Käsittelyn osalta.
2. 4.2 Erityisesti, mutta rajoittamatta edellä mainitun yleisyyttä, Asiakas hyväksyy ja sitoutuu siihen, että se on yksin vastuussa:
2. 1. Asiakastietojen oikeellisuudesta, laadusta ja laillisuudesta sekä keinoista, joilla Asiakas on hankkinut tällaiset tiedot;
   2. kaikkien tarvittavien Tietosuojalainsäädännön mukaisten läpinäkyvyys- ja lainmukaisuusvaatimusten noudattamisesta Asiakastietojen keräämisessä ja käytössä, mukaan lukien riittävien ilmoitusten antaminen, tarvittavien suostumusten ja lupien hankkiminen sekä kieltäytymistä koskevien valintojen kunnioittaminen (erityisesti Asiakkaan markkinointitarkoituksiin tapahtuvan käytön osalta); ja
   3. sen varmistamisesta, että sillä on oikeus siirtää Asiakastiedot Giraffe360:lle tai antaa Giraffe360:lle pääsy niihin Käsittelyä varten Sopimuksen (mukaan lukien tämä DPA) ehtojen mukaisesti.
3. 4.3 Asiakkaan on ilmoitettava Giraffe360:lle ilman aiheetonta viivytystä, jos Asiakas ei pysty täyttämään tämän kohdan tai Tietosuojalainsäädännön mukaisia velvollisuuksiaan.
4. 4.4 Asiakas vastaa sen varmistamisesta, että sen Giraffe360:lle antamat Asiakastietojen Käsittelyä koskevat Ohjeet ovat sovellettavien lakien, mukaan lukien Tietosuojalainsäädännön, mukaisia.
5. 4.5 Osapuolet sopivat, että Sopimus (mukaan lukien tämä DPA) yhdessä Asiakkaan Sopimuksen mukaisen Giraffe360-palvelun käytön kanssa muodostaa Asiakkaan täydelliset Ohjeet Giraffe360:lle Giraffe360:n suorittaman Asiakastietojen Käsittelyn osalta, kuitenkin niin, että Asiakas voi antaa Sopimuksen voimassaoloaikana lisäohjeita, jotka ovat Sopimuksen sekä Giraffe360-palvelun luonteen ja lainmukaisen käytön mukaisia.
6. 4.6 Asiakas vastaa sen itsenäisestä arvioimisesta, täyttääkö Giraffe360-palvelussa tarjottu tietoturva riittävästi sen Tietosuojalainsäädännön mukaiset velvollisuudet. Asiakas vastaa myös Giraffe360-palvelun turvallisesta käytöstään.

5. Giraffe360:n velvollisuudet

1. 5.1 Henkilötietojen Käsittelijänä Giraffe360 Käsittelee Asiakastietoja ainoastaan tässä DPA:ssa kuvattuihin tarkoituksiin tai muutoin Asiakkaan lainmukaisten Ohjeiden puitteissa sovitulla tavalla, paitsi jos ja siltä osin kuin sovellettava laki muuta edellyttää, jolloin Giraffe360 ilmoittaa Asiakkaalle kyseisestä oikeudellisesta vaatimuksesta ennen kyseisten Asiakastietojen Käsittelyä, siltä osin kuin sovellettava laki sen sallii. Giraffe360 ei vastaa sellaisen Asiakkaaseen tai Asiakkaan toimialaan sovellettavan Tietosuojalainsäädännön noudattamisesta, jota ei yleisesti sovelleta Giraffe360:een.
2. 5.2 Giraffe360 toteuttaa ja ylläpitää asianmukaiset tekniset ja organisatoriset toimenpiteet Asiakastietojen suojaamiseksi Tietosuojalainsäädännön edellyttämällä tavalla (”Turvatoimet”). Päinvastaisista määräyksistä riippumatta Giraffe360 voi harkintansa mukaan muuttaa tai päivittää Turvatoimia edellyttäen, että tällainen muutos tai päivitys ei johda Turvatoimien tarjoaman suojan olennaiseen heikkenemiseen.
3. 5.3 Ottaen huomioon uusimman tekniikan, toteuttamiskustannukset ja käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja käsittelijän on toteutettava Turvatoimet, joilla varmistetaan riskiä vastaava turvallisuustaso, mukaan lukien tarvittaessa muun muassa:
3. 1. henkilötietojen pseudonymisointi ja salaus;
   2. asianmukaiset Turvatoimet, joilla ylläpidetään kykyä taata käsittelyjärjestelmien ja palvelujen jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;
   3. asianmukaiset Turvatoimet, joilla ylläpidetään kykyä palauttaa nopeasti Henkilötietojen saatavuus ja pääsy niihin fyysisen tai teknisen vian sattuessa;
   4. menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti Turvatoimien tehokkuutta Käsittelyn turvallisuuden varmistamiseksi.
4. 5.4 Giraffe360 varmistaa, että kaikkia henkilöstön jäseniä, joilla on lupa Käsitellä Asiakastietoja Giraffe360:n puolesta, koskevat asianmukaiset Asiakastietoja koskevat salassapitovelvoitteet.
5. 5.5 Giraffe360 poistaa tai Asiakkaan valinnan mukaan palauttaa kaikki tämän DPA:n nojalla käsittelemiensä Asiakastietojen kopiot 30 päivän kuluessa Sopimuksen päättymisestä. Asiakkaan on ilmoitettava valinnastaan Giraffe360:lle 14 arkipäivän kuluessa Sopimuksen päättymisestä. Tätä 30 päivän määräaikaa sovelletaan, paitsi jos sovellettava laki velvoittaa meidät säilyttämään osan Asiakastiedoista tai kaikki Asiakastiedot.
6. 5.6 Giraffe360 voi säilyttää ja käyttää Kiinteistötietoja sekä Sopimuksen voimassaolon aikana että sen päättymisen jälkeen koneoppimisen ja tekoälyn koulutustarkoituksiin ja palvelun parantamiseen. Giraffe360 suorittaa tällaisen Käsittelyn Rekisterinpitäjänä ja Giraffe360:n Tietosuojakäytännön mukaisesti.
7. 5.7 Giraffe360 voi säilyttää Asiakastietoja siinä määrin kuin Giraffe360 katsoo tarpeelliseksi oikeudellisen vaatimuksen esittämiseksi tai puolustamiseksi edellyttäen, että tällaisia Asiakastietoja säilytetään vain siinä laajuudessa ja niin kauan kuin sovellettava laki edellyttää tai kunnes asia on ratkaistu, ja aina edellyttäen, että Giraffe360 varmistaa kaikkien tällaisten Asiakastietojen luottamuksellisuuden.

6. Alikäsittelijät

1. 6.1 Asiakas antaa täten Giraffe360:lle yleisen kirjallisen luvan käyttää Alikäsittelijöitä avustamaan Giraffe360-palvelun tarjoamisessa. Giraffe360 varmistaa, että kaikkia Alikäsittelijöitä sitovat sopimusvelvoitteet, jotka tarjoavat vähintään samantasoisen tietosuojan kuin tämä DPA ja sovellettava Tietosuojalainsäädäntö edellyttävät. Ajantasaista luetteloa Alikäsittelijöistä, joka sisältää niiden nimet, sijainnit ja tarkoitukset, ylläpidetään Giraffe360-verkkosivustolla (”Alikäsittelijäluettelo”).
2. 6.2 Giraffe360 pidättää itsellään oikeuden päivittää Alikäsittelijäluetteloa tarvittaessa. Kaikki Alikäsittelijäluetteloon tehtävät lisäykset tai korvaamiset päivitetään verkkosivustolle vähintään 15 päivää ennen kuin uudelle Alikäsittelijälle annetaan lupa käsitellä Asiakastietoja. Asiakkaita kehotetaan tarkistamaan Alikäsittelijäluettelo säännöllisesti.
3. 6.3 Jos Asiakas vastustaa perustellusti uutta Alikäsittelijää tietosuojaan liittyvien oikeutettujen huolenaiheiden vuoksi, Asiakkaan on ilmoitettava asiasta Giraffe360:lle kirjallisesti 15 päivän kuluessa päivityksen julkaisemisesta. Vastaanotettuaan vastustuksen Giraffe360 keskustelee Asiakkaan huolenaiheista ja pyrkii vilpittömässä mielessä löytämään molempia osapuolia tyydyttävän ratkaisun. Jos vastustusta ei vastaanoteta 15 päivän ilmoitusajan kuluessa, Asiakkaan katsotaan hyväksyneen päivitetyn Alikäsittelijän.
4. 6.4 Giraffe360 vastaa aina DPA:n mukaisten velvoitteidensa noudattamisesta ja on vastuussa Asiakkaalle kaikkien Alikäsittelijöiden teoista ja laiminlyönneistä ikään kuin ne olisivat Giraffe360:n tekoja ja laiminlyöntejä.

7. Kansainväliset siirrot

1. 7.1 Giraffe360 ei siirrä Asiakastietoja vastaanottajalle ETA:n tai Yhdistyneen kuningaskunnan ulkopuolella olevaan maahan tai alueelle, ellei:
1. 1. vastaanottaja tai maa tai alue, jossa se käsittelee Asiakastietoja tai pääsee niihin, tarjoa Euroopan komission päätöksen mukaisesti riittävää suojan tasoa rekisteröityjen oikeuksille ja vapauksille Asiakastietojen käsittelyn osalta; tai
   2. siirto perustu komission täytäntöönpanopäätöksellä (EU) 2021/914 hyväksyttyihin vakiosopimuslausekkeisiin (käsittelijät) tai niiden myöhempään versioon taikka muuhun oikeudellisesti tunnustettuun siirtomekanismiin.

8. Tietoturva, auditoinnit ja tietoturvailmoitukset

1. 8.1 Asiakas voi kohtuullisella ennakkoilmoituksella ja kohtuullisina aikoina auditoida (joko itse tai riippumattomia kolmansien osapuolten tarkastajia käyttäen), noudattaako Giraffe360 Turvatoimia, myös tekemällä auditointeja Giraffe360:n tietojenkäsittelytiloissa. Giraffe360 avustaa ja osallistuu tämän DPA:n mukaisesti tehtäviin auditointeihin edellyttäen, että tällaisia auditointeja ei tehdä useammin kuin kerran vuodessa.
2. 8.2 Asiakkaan pyynnöstä Giraffe360 asettaa saataville kaikki tiedot, jotka ovat kohtuudella tarpeen tämän DPA:n ja Tietosuojalainsäädännön noudattamisen osoittamiseksi.
3. 8.3 Jos yleisen tietosuoja-asetuksen 28 artiklan 3 kohdan h alakohta sitä edellyttää, Giraffe360 ilmoittaa Asiakkaalle välittömästi, jos Giraffe360 katsoo, että Asiakkaan Ohjeet ovat ristiriidassa Tietosuojalainsäädännön tai muun EU:n, Yhdistyneen kuningaskunnan tai ETA-jäsenvaltion lainsäädännön vaatimusten kanssa.
4. 8.4 Giraffe360 ilmoittaa Asiakkaalle kirjallisesti ilman aiheetonta viivytystä saatuaan tiedon Asiakastietoihin ja tämän DPA:n mukaisesti suoritettuun Käsittelyyn liittyvästä Henkilötietojen tietoturvaloukkauksesta. Giraffe360 antaa Asiakkaalle kohtuullista apua sovellettavan Tietosuojalainsäädännön noudattamisen varmistamiseksi Henkilötietojen tietoturvaloukkauksen osalta, mukaan lukien tuki viranomaistutkimuksissa sekä ilmoituksissa valvontaviranomaisille ja/tai Rekisteröidyille.
5. 8.5 Ilmoittaessaan Henkilötietojen tietoturvaloukkauksesta Giraffe360 kertoo selkeällä ja yksinkertaisella kielellä vähintään ja siltä osin kuin se on käytettävissä olevien tietojen perusteella mahdollista: selvityksen tietoturvaloukkauksen luonteesta, tietosuojavastaavan (”DPO”) tai muun yhteyspisteen, josta voi saada lisätietoja, nimen ja yhteystiedot, kuvauksen Henkilötietojen tietoturvaloukkauksen mahdollisista seurauksista sekä kuvauksen toimenpiteistä, jotka on toteutettu tai joita ehdotetaan Henkilötietojen tietoturvaloukkauksen korjaamiseksi, mukaan lukien tarvittaessa toimenpiteet mahdollisten haitallisten vaikutusten lieventämiseksi.

9. Pääsypyynnöt ja Rekisteröityjen oikeudet

1. 9.1 Ellei sovellettava laki muuta edellytä (tai kiellä), Giraffe360 ilmoittaa Asiakkaalle kaikista Rekisteröidyltä joko suoraan tai Alikäsittelijän kautta vastaanottamistaan pyynnöistä, jotka koskevat Asiakastietoihin sisältyviä heidän Henkilötietojaan, eikä Giraffe360 vastaa Rekisteröidylle.
2. 9.2 Giraffe360 antaa Asiakkaalle mahdollisuuden korjata, poistaa, estää, tarkastella tai kopioida Asiakastietoja Giraffe360-palvelun toimintojen mukaisesti ja niiden mahdollistamassa laajuudessa.
3. 9.3 Giraffe360 ilmoittaa Asiakkaalle kaikista viranomaisen, sääntelyelimen tai lainvalvontaviranomaisen (mukaan lukien tietosuojavalvontaviranomaiset) Asiakastietojen luovuttamista koskevista pyynnöistä, ellei laki tai tällaisen elimen tai viraston oikeudellisesti sitova määräys sitä kiellä.
4. 9.4 Soveltuvin osin, ottaen huomioon Käsittelyn luonteen ja siinä laajuudessa kuin sovellettava Tietosuojalainsäädäntö edellyttää, Giraffe360:
4. 1. pyrkii kaikin kohtuullisin toimenpitein avustamaan Asiakasta toteuttamalla asianmukaiset tekniset ja organisatoriset toimenpiteet, mikäli mahdollista, jotta Asiakas voi täyttää velvollisuutensa vastata pyyntöihin, jotka koskevat yleisessä tietosuoja-asetuksessa säädettyjen rekisteröityjen oikeuksien käyttämistä; ja
   2. antaa Asiakkaalle kohtuullista apua tietosuojaa koskevissa vaikutustenarvioinneissa ja Asiakkaan valvontaviranomaisen ennakkokuulemisissa, kummassakin tapauksessa ainoastaan Asiakastietojen Käsittelyn osalta ja ottaen huomioon Giraffe360:n käytettävissä olevat tiedot.